dsh-canary

在多智能体或工具调用链路中，模型一旦读到被注入的恶意指令，最隐蔽的外泄方式就是把上下文中的某个值原样塞进工具参数或出站 URL。dsh-canary 针对的正是这一条窄缝：它在模型可见的工具描述里种下一枚一次性金丝雀字符串（DSHCANARY_ 前缀加 32 位十六进制），然后在你自己的 wrapExecute 调用点做一次纯子串遍历——任何参数、对象键、URL 路径、查询串（含两轮百分号解码）里出现该值，工具在执行前就被拒绝，错误码设为 CANARY_TRIP，同时往一条 0600 权限的追加 JSONL 里落一行不含金丝雀本身的事件记录。没有模型、没有打分、没有阈值；近义截断、大小写不同、拆到两个字段都不触发，因为设计者认为一次误拒就足以让管理员把这个插件关掉。换句话说，它是一只精确到单值、只防"回显外泄"的绊线，不假装能拦住改写文件、跳过步骤、外带真实数据的其他注入形态。适合运行 DeepSeek Harness 且想以最低认知成本获得一条"金丝雀有没有被读走"的可审计信号的管理员与安全工程师：每次插件 apply 自动铸一枚新 128-bit 金丝雀，生命周期随插件结束而结束，不需要维护词库、不需要接红队语料，也不需要给 CI 喂任何凭据。