dsh-backdoor-guard

当模型权重里被「训练进」后门时，隐藏触发词可能在某次对话里悄悄拉起恶意工具调用或把凭据往外送——而正在跑任务的智能体往往无法可靠地自我审查。dsh-backdoor-guard 挂在 DeepSeek Harness 的工具执行链路上，在每次调用真正派发之前，用一套与主模型分离的判定模型做一次快速裁决。

判定侧可以是托管的 Jev（TypeSafe AI），也可以是本机自建的 LiquidAI d1，二者共用同一套 systemone 决策接口；不必 fork 主模型、不必维护 logprobs 或正则规则库。裁决输入是一份状态文档：用户本轮诉求、智能体是否明确说明即将执行的操作、工具名与规范化参数、以及同轮内更早的调用——其中「无声调用」正是许多固化后门载荷的典型痕迹。安全概率达到阈值则放行，否则在 pre-execute 阶段拒绝并在会话里留下安全提示。

威胁模型聚焦「经工具行动」的权重后门与凭据窃取；纯文本层面的不当输出不在本插件职责内。判定服务应视为可信基础设施（本地 d1 或自有 Jev 密钥），且不要经由被审模型转发。需要更强保障时可把阈值与 onJudgeError 调成 fail-closed，并与网络出口控制配合使用。

适合在接入不可完全信任权重、多工具、多租户的 Harness 部署里做默认护栏；也适合安全与平台团队在调参阶段先用宽松策略观察误拦，再逐步收紧。