提示注入防御 PerryLink/dsh-defend

🛡️ dsh-defend

- 1024 store channel：先执行一次 npm i -g dsh1024，再执行 dsh1024 plugin --profile web add dsh-defend（计入 deepseek1024.com 的安装排行）。

dshfind

为 DeepSeek Harness 提供提示词注入、越狱和密钥泄露防护。

规则判定已知威胁，拦截兜住其余情况——而且每一步都有审计记录。

dsh-doctor
DSH Market

English · 简体中文 · Español · Português · हिन्दी

dsh plugin --profile <name> add dsh-defend

📖 生态知识库 —— 实测数据，不是营销话术：插件开发指南 · 插件选型数据 · 维护标准。

安装与卸载

- git 渠道（最新 main）：dsh plugin --profile web add github:PerryLink/dsh-defend —— prepare 脚本只用生产依赖构建。
- npm 渠道（已发布版本）：dsh plugin --profile web add dsh-defend。
- tarball 渠道：在本仓库执行 pnpm pack，再执行 dsh plugin --profile web add ./dsh-defend-<version>.tgz。
- 卸载：dsh plugin --profile web remove dsh-defend（或从配置档补丁里删掉对应那行）。

⭐ 如果它帮到了你

这个插件是 DSH 插件家族的一员（95 个，全部 Apache-2.0）。如果你在用，给个 star —— 它不会解锁任何功能，但会让下一个人在搜索里更容易找到它。
中文： 属于 DeepSeek Harness 的 95 个插件家族之一。如果它对你有用，点个 star 能帮下一个人找到它——没有任何功能藏在 star 后面。

dsh-defend 是什么？

为 DeepSeek Harness 提供提示词注入、越狱和密钥泄露防御。

规则决定已知的部分。拦截决定其余的部分——而且一切都有审计记录。

dsh-defend 的工作流图：请求 → 策略 / 审查 → 判定。

工作流概览：请求 → 策略 / 审查 → 判定。下面的示例使用真实的命令接口。

维护状态：🧊 已冻结

2026-10-05 冻结。不再新增功能。 这个包仍然可用，也没有退役——但它不再接受功能开发。只有真正的故障才会修复。

维护者认为，这项能力生态已经收敛到更广泛采用的实现，所以精力已经转移到别处。下面的对比在 2026-10-05 测得，记录下来，省得别人再重做一遍。

| | 包 | 每周下载量 |
| 本包 | dsh-defend | 937 |
| 更广泛采用的实现 | cc-safety-net | 13,087 |

为什么它是主流选择。 cc-safety-net 作为编码智能体的命令行钩子，提供拦截破坏性命令和密钥文件访问的能力。

兼容性。 未声明任何 dsh 对等依赖，所以兼容性守卫永远不会拦截它。

本包仍然做到、而替代方案做不到的事。 本包的差异点在于：从提示词注入 / 越狱 / 密钥泄露资产集移植的 Aho-Corasick 模式引擎；对用户消息、工具参数和工具结果做三路 allow/ask/block 拦截；以及经过脱敏的 defend/* 会话审计事件。上面那个竞品范围更窄（破坏性命令和密钥文件），但采用量高出一个数量级。

👉 新项目请用 cc-safety-net，它是破坏性命令闸门的主流选择；dsh-defend 仍是覆盖面更广的检测器。 已有安装照常工作，不会有任何东西被移除。

完整证据，包括宿主版本兼容性矩阵：dsh-plugin-supersession-review-20261005.md。

对比

dsh-defend 的实测对比图

105 个样本（75 个正例 / 30 个负例）· 来自本仓库的 benchmark/RESULTS.md

兼容性

| 层面 | 状态 |
| Harness | DeepSeek Harness dsh-v0.2.1-alpha.1（2026-09-25 验证；peer 范围 >=0.1.2-rc.1 <0.2.0 \|\| >=0.1.5-alpha.1 <0.2.0 \|\| >=0.1.6-0 <0.2.0 \|\| >=0.1.7-0 <0.2.0）。在这一版本线上，Session.append 的第三个参数只对 surface-eligible 事件类型存在，且类型是 SurfaceIntent，所以非 surface 的 defend/detection 类型仍然无法打上 ignorable 标记：会话日志审计保持 fail-closed-disabled，/defend 会明确渲染这一状态。会话格式 V4 没有 tool-result 内容块——本插件从未产生过这种块，它的两个内容遍历器为已退役的 V3 包装保留了只读回退，因此升级前写入的会话仍能扫描。2026-09-25 验证（双 typecheck 标尺 + 完整测试套件 + 构建 + self-contained/artifacts 门禁 + pack；宿主类型图恰好一份副本）。 |
| Node | ^22.19.0 \|\| >=24.0.0 |
| 平台 | 全部（纯宿主；无原生代码，无网络） |
| 模型 | 任意（检测在内容到达模型之前运行） |

你能得到什么

dsh-defend 在智能体前面放了两层独立防护：

1. 破坏性删除防护——把 8·14/8·16 复盘教训落成可执行形式。在 tools/pre-execute 上，递归删除的 shell 命令一律拒绝，除非每个目标都是显式绝对路径，位于会话工作区内，且在受保护前缀（home 配置、.dsh/.claude、系统目录）之外。dry-run 标记（-WhatIf、--dry-run、git clean -n）放行，因为它们正是这条教训要求的检查。
2. 检测层——移植自四份上游资产（均为 Apache-2.0，见 THIRD_PARTY_NOTICES.md）：25 条 Prompt-Injection-Payloads 规则、25 条 Jailbreak-Detector 模式（经纯 TypeScript Aho-Corasick 自动机）、12 条来自 Secret-Key-Leaker-Detect 的密钥语法外加签发方的公开引用，以及原样保留作回归基准的 Prompt-Attack-Dataset。

三个拦截点，各自一套决策模型：

| 拦截点 | 扫描对象 | 决策 |
| agent/pre-step | 入站用户消息 | allow → next()；ask → 审批；block → 拒绝该步骤 |
| tools/pre-execute | 工具参数 | allow → next()；ask → 审批；block → 拒绝 |
| tools/post-execute | 工具结果 | allow → next()；ask → 审批；block → 纠正反馈 |

默认值：每个族都是 ask，critical 级密钥是 block（沿用上游「见即中断」语义）。没有审批应答器 = fail closed。每次放行都调用 next()——下游策略插件绝不会被短路。

inbound message ── agent/pre-step ── scan ── clean → next()/enter
tool arguments ── tools/pre-execute ── scan ── allow → next()
tool results ── tools/post-execute ── scan ── block → feedback
│
└─ defend/detection audit (rule id, family,
severity, decision — never matched text)

快速开始

sh

1. 把插件包安装到你的配置档

dsh plugin --profile web add github:PerryLink/dsh-defend

或从 npm 安装（已发布版本）

dsh plugin --profile web add dsh-defend

2. 重启并验证配置行

dsh --profile web --dump-config | grep -A3 'id: dsh-defend'

示例

下面是插件的真实入口；安装一次，然后调用其中一个。

详细示例

命令

~~~sh
defend_report

输入

~~~json
{}

输出

~~~text
dsh-defend: 0 recorded detection(s), 0 blocked, 0 asked.

观察自 tests/lifecycle.spec.ts:91-126 (canonical empty value at :110-117); src/index.ts:772-775

失败分支

输入

~~~text
Remove-Item -Recurse

输出

~~~text
{"kind":"deny","reason":"blocked dangerous recursive delete command (Remove-Item -Recurse): no explicit target path was printed. Dry-run first (Remove-Item -WhatIf / git clean -n / list the directory), verify each target one by one, then retry with an explicit absolute path"}

观察自 plugins/dsh-defend/src/index.ts:376-379; plugins/dsh-defend/tests/destructive-delete.spec.ts:68-71; 已通过 plugins/dsh-defend/lib/index.js 验证

简要示例

- /defend

配置

所有可调项都是 Schemastery Config 字段（可在 cordis.yml 中修改）。按 id 定位的覆盖会替换整行——你需要用到的每个键都要重新写一遍。cordis.patch.yml 在每个键旁都有行内说明。

| 键 | 默认值 | 含义 |
| enabled | true | 两层的总开关 |
| action | deny | 危险删除防护的动作（deny / ask） |
| toolNames | ['bash','persistent-bash','terminal-bash'] | 防护要审查其命令参数的工具名 |
| detection.enabled | true | 检测层开关 |
| detection.maxScanChars | 10000 | 每次拦截的扫描上限（只扫开头） |
| detection.normalizeUnicode | true | 扫描前先做 NFKC 归一化（挡住形近 Unicode 绕过） |
| detection.secretMinEntropy | 3.0 | 密钥正则命中放行所需的最小香农熵（bit/字符）；0 表示关闭 |
| detection.injectionAction | ask | 注入类：allow / ask / block |
| detection.jailbreakAction | ask | 越狱类：allow / ask / block |
| detection.secretAction | ask | 密钥类：allow / ask / block |
| detection.secretBlockCritical | true | 严重密钥一律拦截，不受 secretAction 影响 |
| detection.audit | true | 写入 defend/detection 会话审计事件 |
| detection.allowUnmarkedAudit | false | 在 Session.append 早于 ignorable 标记的主机上（目前所有已发布版本，含 0.2.x 预发布版），或对未知事件类型 fail-closed 的主机上（主机 0.1.2-rc.1+），仍继续写会话审计，并接受会话无法恢复的风险 |
| detection.maxReportEntries | 200 | 内存中报告环形缓冲区的上限 |
| registerCommand | true | 注册 /defend 命令 |
| registerTool | true | 注册 defend_report 工具 |

工具与界面

| 界面 | 类型 | 说明 |
| defend_report | 工具 | 汇总数据（已记录/已拦截/已询问）、按家族统计的数量，以及最近 20 条匹配——绝不包含匹配到的文本 |
| /defend | 命令 | 以文本形式输出同样的摘要 |
| agent/pre-step | 监听器 | 扫描入站消息（enter/reject） |
| tools/pre-execute | 监听器 | 扫描工具参数（deny/ask）+ 破坏性删除防护 |
| tools/post-execute | 监听器 | 扫描工具结果（block 反馈） |

权限与数据

- 权限：ask 决策走官方审批通道；不重新实现，也不绕过。插件在其 workshop manifest 中声明 session:append 和 network:none。
- 数据：不向磁盘写入任何内容；报告环形缓冲区在内存中，且有上限。不发网络请求，不启动子进程。
- 会话日志：defend/detection 事件携带规则 id、家族、类别、严重级别、密钥类型、决策和扫描事实——匹配到的文本绝不会进入日志，密钥匹配在构造上只记录类型。

安全边界

- 只做检测，不做强制执行。 防护和检测层只在官方接缝上产出 deny/ask/block 决策；沙箱和审批系统仍是强制执行方。
- 失败即关闭。 缺少审批应答器、缺少会话，或缺少 services 界面时，降级为最严格的决策——绝不静默放行。
- 内容不离开进程。 扫描在本地进行；审计事件经过脱敏；密钥绝不记录、显示或上报。
- 工作量有界。 扫描上限、每条规则只匹配一次，以及环形缓冲区上限，防止恶意输入消耗无界资源。

已知限制

- 检测盲区。 规则库能捕获移植的词汇表及其容错变体；新奇的措辞、形近 Unicode 编码（NFKC 归一化列为未来工作）和多步攻击可以绕过它。基准测试固定了实测下限（上游数据集上 27/28），让回归可见。
- 没有模型级判定。 dsh-defend 是确定性的；它从不调用模型，也无法判断新奇的意图。
- 消息拒绝是静默的。 agent/pre-step 的 reject 不向模型传递原因（该接缝没有原因字段）；审计事件记录规则事实。
- 会话审计与 ignorable 标记。 审计追加时会带上信封的 ignorable: true 标记，这样任何 harness 构建都能加载日志。但迄今为止发布的每个 harness 版本线（0.1.0-rc.1–0.1.0-rc.8、0.1.1-rc.1–0.1.1-rc.2，以及 0.2 走廊——2026-10-04 对照已发布的 0.2.1-alpha.1 重新验证过，它的 append(type, data, ...opts) 只从 options 包里读 sourceEventSeqs/surfaceOp，并按 { type, seq, time, data } 构造信封）都会悄悄丢掉这个标记——事件落盘时没有标记，在更严格的构建上会让会话无法恢复；宿主 0.1.2-rc.1 保留信封字段只是为了兼容读取已存日志，但 Session.append 仍然无法打上标记，读取路径又会拒绝未标记的未知事件类型（defend/detection 没有注册），所以在那里写入同样会让会话无法加载。因此 dsh-defend 在第一次追加之前就做决定（对端版本预检；版本无法确定时按失败关闭处理），并关闭会话日志审计，同时给出一次性警告；0.2.x 的预发布版正是因为这个原因被提前归类为未标记，而稳定的 0.2.x 仍会回退到追加探测。设置 detection.allowUnmarkedAudit: true 可以重新开启。见 issue #2。

Development
sh
pnpm install # node ^22.19 || >=24
pnpm run typecheck # tsc: src + tests against the local harness checkout
pnpm run typecheck:ci # tsc against the published 0.1.7-rc.2 types (no paths)
pnpm test # vitest: 97 tests, 9 suites (detection benchmark incl.)
pnpm run build # tsdown bundle + tsc declarations (lib/)
pnpm run verify:self-contained # dependency specs resolve from the registry
pnpm run verify:artifacts # built ESM face + shipped files present
pnpm pack # the published tarball

Benchmark

红队基准（按类别统计 105 个样本的 P/R/F1，外加 27/28 的 fixture 下限）发布在 benchmark/RESULTS.md；用 node --experimental-strip-types benchmark/run.mjs 重新生成（不新增依赖，无需构建步骤）。

与其他 DSH 插件的互操作性

已对照 DSH 0.2.0-rc.2（本 README 面向的运行时）以及 2026-10-05 调研的高星插件集验证。

本插件不会干扰其他插件，包括广泛安装的高星插件：

- 无工具名冲突。 每个工具都带命名空间；没有注册已发布工具或其他插件占用的裸名。
- 无服务键冲突。 它完全不提供服务键，因此不可能在服务键上冲突。
- 无槽位冲突。 它不注册客户端槽位键，因此不会争抢 shadows-shipped-ui 的席位。
- 无 HTTP 路由冲突。 它不注册 webServer 前缀。
- 无补丁层冲突。 打包补丁只 insert 自己那一行；从不覆盖内置行的 config。
- 不做全局改动。 它不改写原型，不改写 process.env，也不替换全局 fetch 调度器。

共享事件监听器从设计上就互不干扰。 它用 ctx.on() 观察对顺序敏感的事件 agent/pre-step、tools/post-execute、tools/pre-execute —— 这是 Cordis 的广播注册方式，每个监听器都会执行，谁也无法饿死别人。这里的每个监听器都通过 next() 委托，所以调用链绝不会被短路；改动施加在 next() 产出的值上，而不是拿自己的返回值顶替它：
- agent/pre-step —— dsh-routing-suite（7000★，7 个监听器）、modlens（4122★）、dsh-purge（3317★）、dsh-agent-teams（1923★）、dsh-context（1849★）也在用。
- tools/post-execute —— cc-safety-net（1576★）也在用。
- tools/pre-execute —— cc-safety-net（1576★）也在用。

静态证据：dsh-plugin-doctor 的 K10–K13 对本仓库的每一项检查都报告 pass。

Topics

dsh, dsh-plugin, deepseek-harness, deepseek, cordis, security, prompt-injection, jailbreak, secret-scanning, ai-safety

Contributors

- @PerryLink —— 创建者与维护者：破坏性删除防护、四类资产检测的移植、拦截接线、审计界面，以及五种语言的文档。
- @cuohua —— 精确报告了 defend/detection 事件落地时未打标记、导致会话在更严格的构建上无法恢复的问题（#2）；运行时宿主能力检测与 ignorable 标记规范直接源自那次分析。

PerryLink DSH Plugin Family

本项目属于 PerryLink 的 DeepSeek Harness 插件家族。下面的名册默认折叠，好让每个 README 的首屏都保持简短；展开即可看到每一行及其状态。

展开全部插件

| 插件 | 状态 |
| dsh-aqua-input-check | |
| dsh-archive-check | |
| dsh-auto-review | |
| dsh-autotier | 🧊 FROZEN —— 见仓库 README |
| dsh-bid-ca-precheck | |
| dsh-bid-qual-check | |
| dsh-cert-mcp | 🧊 FROZEN —— 见仓库 README |
| dsh-checkpoint-rewind | |
| dsh-click | |
| dsh-composer-history | |
| dsh-contract-stance | |
| dsh-customs-doc-check | |
| dsh-data-quality | |
| dsh-demurrage-ledger | |
| dsh-doublecheck | |
| dsh-drill-script-check | |
| dsh-eia-guide-check | |
| dsh-emergency-plan | |
| dsh-essay-rubric-check | |
| dsh-evidence-check | |
| dsh-export-ctl-check | |
| dsh-fast | |
| dsh-fmea-table-check | |
| dsh-forecast-penalty | |
| dsh-fund-research | |
| dsh-github | |
| dsh-gongwen-flow-check | |
| dsh-gongwen-word-check | |
| dsh-guard-plan-qc | |
| dsh-hazchem-check | |
| dsh-hazplan-check | |
| dsh-hidden-risk-map | |
| dsh-hs-classify | |
| dsh-icd-rule-check | |
| dsh-industry-research | |
| dsh-lawcite-adapter | |
| dsh-laya | |
| dsh-lc-doc-check | |
| dsh-learning-gap-check | |
| dsh-library | |
| dsh-local-ai | |
| dsh-lsp-actions | |
| dsh-mask | |
| dsh-mcp-panel | |
| dsh-medrec-qc | |
| dsh-memento | |
| dsh-nsfc-form-check | |
| dsh-nurse-record-check | |
| dsh-observe | |
| dsh-origin-rvc-check | |
| dsh-ota-review-check | |
| dsh-output-styles | |
| dsh-paper-doc-adapter | |
| dsh-permission-rules | |
| dsh-permit-report-check | |
| dsh-pipeline-check | |
| dsh-pleading-draft | |
| dsh-plugin-doctor | |
| dsh-plugin-guide | |
| dsh-plugin-kit | |
| dsh-plugin-upgrade | |
| dsh-policy-brief-draft | |
| dsh-power-loss-split | |
| dsh-power-ticket-check | |
| dsh-ppap-check | |
| dsh-protest-deadline | |
| dsh-railway-window | |
| dsh-repair-order-qc | |
| dsh-research-report | |
| dsh-review-reply-check | |
| dsh-rulefile-check | |
| dsh-safety-brief-check | |
| dsh-score | |
| dsh-session-sync | |
| dsh-site-log-check | |
| dsh-skill-pack-security | |
| dsh-soe-decision-check | |
| dsh-soilwater-check | |
| dsh-sop-sync-check | |
| dsh-spc-gbt-adapter | |
| dsh-talk | |
| dsh-tender-extract | |
| dsh-tender-matrix | |
| dsh-test-drive | |
| dsh-ticktick | |
| dsh-translate | |
| dsh-warranty-calc | |
| dsh-budget | 🧊 已冻结 — 见仓库 README |
| dsh-claude-move | 🧊 已冻结 — 见仓库 README |
| dsh-defend | 🧊 已冻结 — 见仓库 README |
| dsh-draw | 🧊 已冻结 — 见仓库 README |
| dsh-reach | 🧊 已冻结 — 见仓库 README |
| dsh-background-agents | 🚫 已退役 — 见仓库 README |
| dsh-session-pin | 🚫 已退役 — 见仓库 README |
| dsh-team-rooms | 🚫 已退役 — 见仓库 README |

许可证

Apache License 2.0 © 2026 dsh-defend contributors