🧩

dsh-shield

admin-security 更新于 2026.08.25

在终端中运行以下命令：

dsh plugin install 245678000000/dsh-shield

将以下提示词粘贴到 DeepSeek Harness 对话框中：

在 DeepSeek Harness 中安装 dsh-shield，源码地址为 https://github.com/245678000000/dsh-shield，执行 dsh plugin install 245678000000/dsh-shield 即可。

插件介绍

在 DeepSeek Harness 中，插件、MCP Server 和内置工具全部运行在宿主机 Node 进程权限下。一次插件安装触发的 prepare 或 preinstall 脚本，可在任何插件代码加载之前就在本地执行；运行时，模型又可通过 MCP 调用把本地文件、密钥或客户资料送出机器。dsh-shield 正是卡在这些边界上的安全防火墙，用两层机制覆盖安装前和运行时的关键缝隙。

它由静态预检扫描器和运行时护栏组成，共用同一套确定性安全模型。预检层在下载、解包、解析、检查待安装包，绝不执行目标代码；运行时层挂在官方 tools/pre-execute 与 ctx.tools.guard() 上，对每一次工具调用返回 allow、ask 或 deny。核心能力包括风险发现、四档策略执行、MCP 信任分级、密钥出境拦截、数据六级分类脱敏、Prompt Injection 检测与升级响应，以及完整审计日志。风险评分由确定性公式计算，LLM 无法决定 ALLOW 或 DENY，配置损坏时 fail closed，不会静默放行。

适合在生产环境部署 Harness 的团队、需要为第三方插件和 MCP 建立可审计安全边界的运维与安全工程师，以及任何希望用确定性策略替代人工逐条审查的开发者。dsh-shield 不声称完美安全，也不会保证百分之百防住 Prompt Injection，但它把风险发现、决策留痕和人工审批固化成可审计的流程，让安全从期望走向有据可查。