DSH Plugins
返回列表
🧩

dsh-plugin-security-audit

admin-security 更新于 2026.08.16

在终端中运行以下命令：

dsh plugin install chendengyuanxm/dsh-plugin-security-audit

将以下提示词粘贴到 DeepSeek Harness 对话框中：

在 DSH（v0.1.0-rc.6+）中执行 dsh plugin install chendengyuanxm/dsh-plugin-security-audit（开源地址：https://github.com/chendengyuanxm/dsh-plugin-security-audit）即可完成安装，随后重启 profile 生效。

插件介绍

DSH 中的动态 Cordis 插件以纯 JavaScript 运行，可直接访问文件、Shell、会话、凭据等 Host 服务。沙箱只防误用，并非对抗恶意代码的安全边界。dsh-plugin-security-audit 在每次 cordis_define 与 cordis_run 调用上叠加一层确定性、零 token 的静态安全审查，让会话中的每一个动态插件包在出厂前都先过一遍 16 条规则引擎。

核心工作流分三步：定义即扫描——源码在打包落库前由规则引擎逐条比对；激活前把关——存在 critical 或 high 发现的包在 cordis_run 时升级为用户审批，理由附带最高危发现；报告进对话流——紧凑风险摘要以 additionalContexts 通知形式追加在工具结果旁，模型与用户同时可见。整个审查层设计上永不阻塞：内部异常只记日志，被审调用照常放行，reviewer 自身绝不成为 harness 的故障点。

适合已经在 DSH 中使用动态插件、或计划让 agent 在会话内即时生成 Cordis 包的团队与个人。如果你的 profile 中任何 agent 都可能触碰真实 Host 服务，这层零开销的静态审查是成本最低的第一道防线。

使用场景

  • Agent 会话中动态定义 Cordis 插件时，自动触发 16 条规则扫描并输出风险报告。
  • 插件包含高危调用如 eval 或硬编码密钥，激活前自动升级为用户审批并附带最高危发现。
  • 多 Agent profile 下统一叠加零 token 静态审查层，不改变现有工具管线工作流。

适合人员

  • 在 DSH 中使用动态 Cordis 插件的开发者与团队。
  • 需要让 Agent 即时生成并运行 Host 代码、关注安全边界的工程师。
  • 希望以零 token 开销为插件运行时增加一层静态防护的运维管理者。