🧩

dsh-safeguard

admin-security 更新于 2026.08.25

在终端中运行以下命令：

dsh plugin install ZhijiangTang/dsh-safeguard

将以下提示词粘贴到 DeepSeek Harness 对话框中：

在 DeepSeek Harness 中运行 dsh plugin install ZhijiangTang/dsh-safeguard 即可安装该插件，项目源码地址为 https://github.com/ZhijiangTang/dsh-safeguard 。

插件介绍

在 DeepSeek Harness 中，模型会调用 bash、curl、SQL 等工具执行真实命令，一旦误触发 rm -rf /、git push --force 或把 AKIA 密钥写进工具参数，后果往往不可逆。dsh-safeguard 挂载在 tools/pre-execute waterfall 上，在工具真正执行前对命令和参数做正则拦截，命中即短路拒绝，被拦截的副作用不会发生。

插件覆盖两类高风险场景：危险命令（rm -rf、force push、mkfs、dd 写盘、curl|sh 管道、SQL DROP/DELETE/TRUNCATE 等十五条规则）和密钥泄漏（AWS AKIA、sk-、GitHub PAT、PEM 私钥、Slack Token 等六种模式）。规则可通过 extraPatterns 追加、allowList 精确豁免、enableDanger / enableSecrets 开关控制，也内置 guard_list 和 guard_check 两个辅助工具供模型程序化自检。

需要明确的是，这是一层基于正则的启发式护栏，不验签、不识别密钥真伪、不做进程或文件系统沙箱。它适合把 DSH 用于生产工作流、希望给模型工具调用加一道低成本拦截网的管理员，作为密钥扫描器和操作系统级沙箱的前置补充，而非替代品。