dsh-vault-wall

使用 DSH agent 处理项目时，一个常被忽视的风险是：agent 在执行读取、编写、搜索或 shell 等操作时，可能误触你根本不希望它碰到的敏感路径——API 密钥、私有配置、审计日志，甚至安全规则定义本身。dsh-vault-wall 正是为解决这一手滑问题而生的客户端安全围栏：它让 agent 对你指定的路径完全无感知，或在触碰时得到明确拒绝，从而把敏感区域挡在 agent 的可操作范围之外。

核心能力方面，它提供两种防护模式：隐藏模式下，命中规则的路径对 agent 伪装为不存在，读取、列出、触碰一律返回 not-found，连路径名都不透露；拒绝模式下，agent 会收到明确错误提示，知道该处受规则保护。规则可按工具粒度限定范围——read、write、edit、bash、grep 等八种 exec 工具均可单独配置，也可对全部工具统一生效。每条规则支持多条绝对路径，精确到单文件或整棵目录树。更关键的是自我防护：规则文件、审计日志和设置文档本身对该 agent 也处于隐藏状态，会话内无法自改规则或偷看审计。

它适合所有使用 DSH Desktop 或官方 dsh CLI、需要在 agent 工作流中划定敏感区域边界的开发者与运维人员。如果你正在用 agent 跑全仓搜索、批量改写文件或执行 shell 脚本，又担心它顺手翻到 .env 或 secrets 目录，装上它、在设置页加几条规则，就能把风险兜住。注意它是策略围栏而非内核边界，真正的读侧隐身仍需 OS 层账户隔离或加密容器配合。