上下文溯源账本 030611/dsh-context-provenance

dsh-context-provenance

CI
npm
License: MIT

DSH Context Provenance 社交预览图

将相邻请求证据比较为 Observed、Estimated 或 Unavailable——不返回提示文本、消息内容、工具 schema 或原始路径。

dsh plugin --profile web add dsh-context-provenance

由社区维护，并非 DeepSeek 官方项目。相关信任层插件：Telemetry Redactor、Verification Receipt 和 Evidence Audit。

一个仅观察、仅 CPU、仅本地的 DeepSeek Harness 插件，用于报告公共运行时接口能够实际证明的关于请求 Agent 上下文的信息。它仅在内存中保留最近两次普通 agent-loop 请求观测，并通过现有的 Cordis inspect 查询机制暴露它们。它不执行任何文件、网络、子进程、GPU、持久化、会话、权限、工具、模型路由或请求变更操作。

审计结论

针对官方 DSH 提交 47f943859bef60e4160492346772ded9b24f765a 有条件通过。存在稳定的公共接缝，可用于一个刻意不完整的证据账本。此插件并非完整的上下文溯源图，无法解释所有行为差异。

公共冲突审查发现了官方 pluginInventory/list、官方 token-meter 投影、官方 Cordis inspect 以及社区 dsh-context-doctor。此插件不会重新扫描文件、重新实现 token 估算、添加优化建议，也不会添加另一个 token 细分 UI。其独特之处在于严格的证据标注加上相邻实际请求比较。

证据矩阵

| 字段 | 标签 | 公共接口 | 边界 |
| 有效请求 provider/model | Observed | llm/stream GenerateOptions，由 isAgentLoopRequest() 门控 | 仅普通 Agent-loop 请求 |
| 适配器上下文窗口 | Observed | Session.requestContext() | 适配器声明的容量，可选 |
| 系统存在/变更 | Observed | GenerateOptions.system | 不返回文本或摘要；变更使用仅保留在内存中的进程随机密钥比较 |
| 工具名称/目录变更 | Observed | GenerateOptions.tools | 不返回描述、参数 schema 或摘要 |
| 工具所有者/插件映射 | Unavailable | 公共 ToolSchema 没有所有者 | 不根据名称进行推断 |
| 活跃的 AGENTS 源类别 | 已观测 | 持久的 user/message.source.kind=agent-instructions 变更 | 仅限工作区根目录/工作区嵌套/工作区外部；原始路径不予披露 |
| 技能名称/来源/提供方类别 | 已观测或部分观测 | ctx.skills.snapshot({ cwd, scope }) | 原始自定义来源/提供方标识符不予披露；complete=false 表示不完整 |
| 加载器顺序/模块类型/启用状态/纤程阶段 | 已观测 | 官方 pluginInventory/list 服务 | entryId 和 moduleName 不予披露；并非贡献来源 |
| 系统/工具/消息细分 | 已估算 | 官方 contextBreakdown 投影 | 固定启发式；并非提供方分词或计费 |
| 提示压力 | 已观测 | 官方 contextPressure.pressureTokens | 派生自提供方报告的使用量分桶 |
| 预测的下一个提示 | 已估算 | 官方 contextPressure.projectedTokens | 提供方锚点加启发式增量 |
| 隐藏策略/私有提示/隐藏工具 | 不可用 | 无公开接口 | 从不声称或推断 |
| 完整行为因果关系 | 不可用 | 无公开接口 | 相邻变更只是相关性，而非解释 |

每个返回字段都带有 Observed、Estimated 或 Unavailable、其来源接口，以及必要时的边界说明。缺失的服务、投影键、可选字段或不完整的技能发现会按字段降级；缺失绝不会被静默转换为零。

用法

将捆绑包添加到某个配置文件，重启 DSH，然后使用现有的 inspect 工具查询 Host 提供方 ContextProvenance、方法 report。当官方 Cordis inspect 服务存在时，该提供方会出现；没有该服务的旧组合仍会挂载观察器，但没有查询界面。仅当用户或模型显式检查它时，该提供方才对模型可见；该插件不会添加新的工具 schema 或普通请求内容。

安装与兼容性边界

公开源代码仓库是 030611/dsh-context-provenance。将公开捆绑包添加到选定的 DSH 配置文件，然后检查解析后的配置：

dsh plugin --profile add dsh-context-provenance
dsh --profile --dump-config

安装前，请核实注册表版本、源标签和发布说明，而不是将未打标签的仓库检出视为发布产物。

版本 0.1.2 在 Node.js ^22.19.0 || >=24.0.0 上恰好支持 DSH 0.1.2-alpha.3、0.1.2-alpha.4 和 0.1.2-alpha.5。每个版本都通过了本地包门禁，以及一次性 Windows Web Profile 安装、组合配置、冷启动和卸载验收。确切边界见当前兼容性证据；0.1.1 证据仍可作为历史证据查阅。
此前的公共接口审计仍以官方 DSH 提交 47f943859bef60e4160492346772ded9b24f765a 作为历史设计证据。当前的编译、单元、生命周期、加载器组合、构建产物、补丁、包安装和一次性 Profile 门禁使用已发布的 0.1.2-alpha.5 包，而一次性 Profile 验收覆盖全部三个已声明的发布版本。这些检查并不代表对远程 API、实时模型/提供商、macOS 或 Linux 测试的声明。

隐私与生命周期

请求体在 llm/stream 边界处被同步缩减为提供商/模型、布尔值、安全类别、工具名称和官方数值投影。系统文本、消息、工具描述、JSON 参数模式、原始插件标识符、原始技能提供商/来源标识符以及 AGENTS 路径或内容永远不会被返回。

相等性指纹并非隐私保护。 对低熵或已知的提示/模式进行简单的 SHA-256 摘要，会让观察者能够离线确认猜测。此前的模式版本 1 会返回此类摘要；模式版本 2 已将其移除。相邻的 systemChanged 和 toolCatalogChanged 布尔值由仅保存在私有 WeakMap 中的进程随机键控指纹计算得出，且永远不会被序列化。这些布尔值仍会揭示所保留相邻对之间的相等/变化情况，这是该插件有意暴露的最小比较信号。

AGENTS 折叠按活动 Agent 增量进行。插件加载后的第一个请求会执行一次 O(会话事件数) 的追赶；后续请求仅检查新追加的事件。如果会话事件视图缩小，折叠会安全地从可见尾部重建。内存中的双请求和指令状态 WeakMap、请求监听器以及 inspect 注册会变得不可达，或随插件 Fiber 一起被释放。重启或卸载会丢失所有观察结果。

版本降级

官方仓库处于预发布阶段，且未声明任何会话格式兼容性承诺。因此，版本 0.1.2 将其运行时对等契约绑定到三个经过明确测试的 0.1.2-alpha 发布版本，而非宽泛的预发布范围。缺少可选服务或较新字段会产生 Unavailable；缺少 cordisInspect 服务仅会移除报告界面，并不会阻止观察器挂载。

模型体验

该插件向现有的 Cordis inspect 提供商目录添加一个条目和一个方法。普通模型请求不会收到任何新增的提示、消息或工具模式。一次有意的 inspect 调用会返回有界证据报告，随后该报告会在现有 Cordis inspect 工具下进入正常的工具结果历史。

Token 与 KV 缓存影响

对普通请求无直接影响。一次有意的 inspect 调用会将其有界结果添加到对话历史中。现有 inspect 工具模式保持不变。

已知限制

- 加载器条目不会标识引入它们的 bundle、profile、override 或依赖项。
- 插件清单会揭示有序的启用状态和生命周期类别，但绝不会暴露原始条目 ID、包名、文件 URL、绝对路径或补丁说明符。
- 工具名称或模式并不能标识其所属插件。
- 技能名称仍然可见，因为它们是公开的可调用身份；来源/提供者被简化为固定类别。如果部署选择了敏感名称，技能名称本身仍可能具有敏感性。
- AGENTS 位置类别是持久注入的源元数据，而非文件系统清单或隐藏指令的证明。
- 相邻观测涵盖在此插件挂载期间看到的实际普通 llm/stream 调用。更早的请求、辅助调用以及卸载或重启时丢失的观测均不可用。