<div align="center">

🛡️ dsh-defend

DeepSeek Harness 的提示注入、越狱与密钥泄露防护。

规则裁决已知的，拦截裁决其余的——一切都有审计。

      

English · 简体中文 · Español · Português · हिन्दी

</div>

---

兼容性

| 方面 | 状态 | |---|---| | Harness | DeepSeek Harness 0.1.1-rc.2（peer 范围 >=0.1.0-rc.8 <0.2.0） | | Node | ^22.19.0 \|\| >=24.0.0 | | 平台 | 全部（纯 host；无原生代码、无网络） | | 模型 | 任意（检测发生在内容到达模型之前） |

你能得到什么

dsh-defend 在 agent 面前放了两层相互独立的防线：

1. 危险删除门禁 —— 8·14/8·16 事故教训的可执行形态。在 tools/pre-execute 上，递归删除类 shell 命令被拒绝，除非每个目标都是会话工作区内的显式绝对路径且不触碰受保护前缀（家目录配置、.dsh/.claude、系统目录）。dry-run 标记（-WhatIf、--dry-run、git clean -n）放行——它们正是教训要求的删除前核对。 2. 检测层 —— 移植自四个上游资产（均为 Apache-2.0，见 THIRD_PARTY_NOTICES.md）：25 条 Prompt-Injection-Payloads 规则、25 条 Jailbreak-Detector 模式（纯 TypeScript Aho-Corasick 自动机）、来自 Secret-Key-Leaker-Detect 与各签发方公开文档的 12 条密钥语法、以及原样保留为回归基准的 Prompt-Attack-Dataset。

三个拦截点，同一套决策模型：

默认：每个 family 均为 ask，critical 级密钥一律 block（上游「见即中断」语义）。没有审批应答者即失败关闭。每次放行都调用 next()——下游策略插件永不被短路。

入站消息 ── agent/pre-step ── 扫描 ── 干净 → next()/enter
工具参数 ── tools/pre-execute ── 扫描 ── 放行 → next()
工具结果 ── tools/post-execute ── 扫描 ── 拦截 → 反馈
                              │
                              └─ defend/detection 审计（规则 id/类别/
                                 严重度/决策——从不含匹配文本）

快速开始

# 1. 把 bundle 装进你的 profile
dsh plugin --profile web add "github:PerryLink/dsh-defend#main"

# 或从 npm 安装（正式发布版）
dsh plugin --profile web add dsh-defend

# 2. 重启并核实行
dsh --profile web --dump-config | grep -A3 'id: dsh-defend'

安装与卸载

• git 通道（最新 main）：dsh plugin --profile web add "github:PerryLink/dsh-defend#main" —— prepare 脚本仅用生产依赖构建。
• npm 通道（正式发布版）：dsh plugin --profile web add dsh-defend。
• tarball 通道：在本仓库执行 pnpm pack，然后 dsh plugin --profile web add ./dsh-defend-<version>.tgz。
• 卸载：dsh plugin --profile web remove dsh-defend（或从 profile patch 中删除该行）。

配置

所有可调项都是 Schemastery Config 字段（可在 cordis.yml 中修改）。按 id 定向覆盖会替换整行——需要重新声明每个键。cordis.patch.yml 内联说明了每个键。

工具与界面

权限与数据

• 权限：ask 决策走官方审批接缝；绝不重实现或绕过。workshop manifest 声明 session:append 与 network:none。
• 数据：不落盘任何东西；报告环形缓冲仅在内存且有界。无网络请求、无子进程。
• 会话日志：defend/detection 事件只带规则 id、family、类别、严重度、密钥类型、决策与扫描事实——匹配文本从不入日志，密钥匹配在构造上只留类型。

安全边界

• 检测，而非执法。 门禁与检测层只在官方 seam 上产出 deny/ask/block 决策；沙箱与审批系统仍是执行权威。
• 失败关闭。 审批应答者缺失、会话缺失或服务面缺失时，一律退化为最严格决策——绝不静默放行。
• 内容不出进程。 扫描在本地完成；审计事件已脱敏；密钥绝不入日志、展示或报告。
• 有界工作。 扫描上限、每规则至多一条匹配、环形缓冲上限，恶意输入无法消耗无界资源。

已知限制

• 检测缺口。 规则库覆盖已移植词汇及其容错变体；新式措辞、形近 Unicode 编码（NFKC 归一化列为后续工作）与多步攻击可能绕过。基准把实测下限（上游数据集 27/28）钉进测试，回归可见。
• 无模型级判定。 dsh-defend 是确定性的，绝不调用模型，无法判断全新意图。
• 消息拒绝是静默的。 agent/pre-step 的 reject 不给模型理由（seam 没有理由字段）；审计事件记录规则事实。
• 会话审计与 ignorable 标记。 审计追加请求 envelope 的 ignorable: true 标记，任何 harness 构建都能加载日志。截至目前所有已发布线（0.1.0-rc.1–0.1.0-rc.8、0.1.1-rc.1–0.1.1-rc.2）都会静默丢弃它——事件未标记落盘，更严格构建上会话将无法恢复；因此 dsh-defend 在首次使用时探测这类宿主（peer 版本预判 + 追加返回 envelope 探测）并以一次性告警停用会话日志审计。设 detection.allowUnmarkedAudit: true 可重新开启；已有未标记的 defend/detection 行可给其 envelope 补 "ignorable": true 修复。见 issue #2。

开发

pnpm install        # node ^22.19 || >=24
pnpm run typecheck  # tsc：src + tests，对照本地 harness checkout
pnpm run typecheck:ci  # tsc：对照已发布的 0.1.1-rc.2 类型（无 paths）
pnpm test           # vitest：75 个测试、8 个套件（含检测基准）
pnpm run build      # tsdown bundle + tsc 声明（lib/）
pnpm run verify:self-contained  # 依赖声明全部来自 registry
pnpm run verify:artifacts       # 构建产物 ESM 面 + 发布文件齐全
pnpm pack           # 发布用 tarball

Topics

dsh, dsh-plugin, deepseek-harness, deepseek, cordis, security, prompt-injection, jailbreak, secret-scanning, ai-safety

Contributors

• @PerryLink —— 创建者与维护者：危险删除门禁、四资产检测移植、拦截接线、审计面与五语文档。
• @cuohua —— 关于 defend/detection 事件未标记落盘导致会话在更严格构建上无法恢复的精准报告（#2）；运行时的宿主能力检测与 ignorable 标记纪律直接源自该分析。

PerryLink DSH Plugin Family

本项目是由 PerryLink 维护的 29 个 DeepSeek Harness 插件之一。如果这个对你有用，其他插件很可能也会：

License

[Apache License 2.0](LICENSE) © 2026 dsh-defend contributors