Dsh Plugin Audit — Security skill for Claude Code

plugin-audit

中文 · English

**装插件之前，先看一眼它要碰什么。**

一个给 [DeepSeek Harness（DSH）](https://github.com/deepseek-ai/deepseek-harness) 用的 [Agent Skill](https://agentskills.io)：一次静态安全审计，把 `eval`、patch 层 `!!js`、安装期脚本、开机自启、凭据复制、出网域名、子进程调用、提示词注入面全部扫出来，按「硬否决 / 待确认能力 / 观察项」三层给出结论。

第三方插件是**别人写的、与你同进程同权限运行的代码**。它能不能跑，装之前几乎没人看得见；装之后又不一定回得去。这个技能把「装之前先看一眼」变成一条命令。

**注意：** 本项目为社区项目，与 DeepSeek 官方无隶属关系，亦未获官方背书。

为什么需要它

DSH 对「模型行为」有生产级防护（沙箱、权限、审批），但对「插件代码」没有安全设计。以下四条来自官方 Discussion [#454](https://github.com/deepseek-ai/deepseek-harness/discussions/454) 以及第三方插件安全审计报告：

事实	后果
插件与宿主同进程、同权限	插件能做的事 = DSH 能做的事
文件沙箱只挡「写」，不挡「读」	你的 ~/.dsh、.credentials.yaml、.ssh 都在可读范围
patch 层 !!js 表达式在加载期执行	光看 package.json 看不出任何异常，代码在装载时就跑了
恶意 bundle 安装即执行	而且事后 remove 清不掉已经落下的后门

也就是说：插件来源不明时，风险不在「功能不好用」，而在「你根本不知道它动了什么」。

它检查什么

脚本按三层归纳，全部是**模式匹配 + 上下文过滤**（跳过纯注释行，同一文件同一规则只算一条）：

**硬否决项（VETO）——单项即可否**

项	命中内容
动态求值	eval( / new Function / vm.runIn*
patch 注入	!!js（加载期执行）
安装期脚本	postinstall / preinstall / prepare / prepublish
开机自启	注册表 Run / schtasks / LaunchAgents / systemd unit
凭据落盘	把 credential / .env / .ssh / id_rsa 复制到别处

**待确认能力（RISK）——不是指控，是「它有权做什么」**

项	命中内容
出网能力	fetch / axios / WebSocket / net.connect
遥测导出	telemetry / `otel