dsh-guardwall
为 DeepSeek Harness 提供双层安全防护：基于源代码的安装前审查，加上故障关闭式运行时防护和 HMAC 链式审计日志。零运行时依赖。
插件会安装到这里；不确定时保持 web。
npx -y @deepseek-ai/dsh plugin --profile web add github:iiiweiii/dsh-guardwall#162ff316eacde260e810d55c67a5c7513e044937Guardwall 以 dsh-guardwall 发布，当前版本为 0.5.0。Plugin Hub 会校验它的 manifest，并保存精确安装来源，便于复现安装结果。
DeepSeek Harness 的安全插件：安装前体检 + 运行时护栏，装前把关、装后看门、全程留痕。
dsh plugin --profile web add dsh-guardwall
验证挂载：
dsh --profile web --dump-config | grep -A2 'id: guardwall'
npm 尚未发布时可用 GitHub 通道：
dsh plugin --profile web add "github:iiiweiii/dsh-guardwall#main"
"装这个插件 = 给了它什么权限？" —— 装之前先回答：
npx guardwall check <spec> # 体检输出报告
npx guardwall add <spec> [--force] # 体检 → 门禁通过才安装
# spec：本地路径 / npm 包名 / github:owner/repo
四步体检：
--ignore-scripts 安装到隔离临时目录，GitHub 引用检出精确 ref；拿不到源码就不做放行结论--force 放行）、C 级警告、A/B 放行对话里问 Agent"这个插件安全吗"会调用 guard_check 工具。HTTP 接口默认关闭，见下方安全配置。
按 stars 取 awesome-dsh-plugin 前 120 个插件全量体检，覆盖率 91%（110/120）， 校准了评分阈值并修复多种误判（skill 类插件、提示注入、GitHub 元数据、源码未装依赖等）：
dsh-guardwall 对 120 个高星插件的批量体检结果批量工具：node scripts/batch-vet.mjs（读 plugins.json，输出 batch-result.jsonl），
体检汇总见 docs/batch-vetting-report.md、
评分校准记录见 docs/scoring-calibration.md。
在工具调用执行前拦截高危参数（输入侧 tools/execute），监听输出泄露（输出侧 tools/result）。
Agent 被诱导执行 rm -rf / 时，调用被替换为：
Error: dsh-guardwall 拦截了该调用（规则 SEC-001 · 风险 10/10）
原因：破坏性删除/格式化/磁盘写入
建议：禁止对根目录/家目录/系统盘执行删除或格式化；如确需清理，改用回收站或限定路径后二次确认
如需放行，请管理员显式启用 Agent 白名单，并限定规则、精确工具名与有效期。
与社区安全插件的差异：44/51 个是静态扫描（对运行时动态构造的命令全盲）；运行时拦截的 7 个依赖 cordis/dsh-tools（与恶意插件同框架）。本插件零第三方运行时依赖，并使用 HMAC 链式审计日志。
自定义规则：~/.dsh/cache/dsh-guardwall/rules.d/*.json，保存即生效
[
{ "id": "MY-001", "direction": "input", "risk": 8,
"re": "internal\\.corp\\d+\\.com", "summary": "禁止访问内网域名", "advice": "确认授权后访问" }
]
热配置：同目录 config.json 改阈值立即生效：{ "blockThreshold": 6, "warnThreshold": 3 }
工具：guard_reload 手动刷新 · guard_rules 查看生效规则
输入侧（可拦截）：
| ID | 风险 | 检测 |
|---|---|---|
| SEC-001 | 10 | 破坏性删除/格式化/磁盘写入（rm -rf /、format、mkfs、dd 到块设备） |
| SEC-002 | 9 | 访问凭据/密钥文件（~/.ssh、.aws、.env、.netrc 等） |
| SEC-003 | 9 | 参数中出现疑似明文凭据（password=、sk-、AKIA、ghp_） |
| SEC-004 | 9 | SSRF：云元数据端点（169.254.169.254 / metadata 域名） |
| SEC-005 | 10 | 反向 shell / 下载执行管道（bash -i、nc -e、/dev/tcp、curl|sh） |
| SEC-006 | 8 | 命令链注入（;rm、&&rm、反引号执行） |
| SEC-007 | 8 | 提权/权限变更（sudo su、chmod 777 /） |
| SEC-008 | 9 | 系统关键文件/设备写入（/etc/passwd、/boot、SYSTEM32） |
| SEC-009 | 5 | 对外发布操作（git push / npm publish，默认放行但审计） |
输出侧（只读审计）：
| ID | 风险 | 检测 |
|---|---|---|
| OUT-001 | 10 | 密钥/私钥泄露（sk-、AKIA、Bearer、BEGIN PRIVATE KEY） |
| OUT-002 | 6 | 内网 IP 输出 |
| OUT-003 | 8 | 带口令数据库连接串 |
| OUT-004 | 8 | 环境变量密钥 dump |
| OUT-005 | 7 | 公钥/证书/私密材料 |
默认：risk >= 7 拦截、risk >= 4 告警、其余记录。可在 cordis.patch.yml 的 config 调整：
- insert:
- id: guardwall
name: dsh-guardwall
config:
blockThreshold: 7
warnThreshold: 4
dataDir: ~/.dsh/cache/dsh-guardwall
failMode: closed # 护栏初始化/扫描异常时拒绝执行
allowAgentWhitelist: false # 默认禁止 Agent 自助放行
| 工具 | 用途 |
|---|---|
guard_check | 安装前体检（权限/风险/评分/门禁建议） |
guard_status | 拦截/告警/记录统计、审计链完整性、白名单 |
guard_whitelist | 临时放行某规则；默认关闭，只接受精确工具名和 1–60 分钟 |
guard_reload | 手动重载热加载规则与配置 |
guard_rules | 查看生效规则与热加载状态 |
HTTP 接口默认不注册。如确需使用，配置 enableHttpApi: true 与非空 httpToken，请求携带 Authorization: Bearer <token>；HTTP 体检默认禁止本地路径，可由 allowHttpLocalVet 显式开启。
数据落在 ~/.dsh/cache/dsh-guardwall/：audit-YYYY-MM-DD.jsonl（每条含 prevHash + HMAC hash）、
checkpoint-YYYY-MM-DD.json（尾部锚点）、chain.key（链密钥，0600 权限）。内容修改、并发链分叉或尾部截断会让 verify() 返回失败。
该机制用于检测意外损坏和未持有密钥的修改；与 Agent 插件同一 OS 用户、可读取 chain.key 的攻击者不在其不可伪造威胁模型内。本地读写、无遥测；安装前体检仅为获取 npm/GitHub 制品而联网。
@deepseek-ai/dsh 0.1.0-rc.5（web profile，拦截/审计/接口实测通过）tools/execute（可拦截）、tools/result（只读）为宿主标准事件；接口走 webServer.register--dump-config 与宿主升级日志dsh plugin add dsh-guardwall 一键安装）MIT