dengyier/openworkproof-dsh-plugin

OpenWorkProof for DeepSeek Harness

为 DeepSeek Harness 代码变更添加事前授权、执行证据、独立复核和人工验收。

· 核心协议

当前状态

这是一个通过官方 DeepSeek Harness dsh-plugin GitHub 主题发现的社区插件。它由独立方维护，并非 DeepSeek 官方产品或背书。

plugin: 0.1.0
DeepSeek Harness: exactly 0.1.1-rc.2
OpenWorkProof Core: 1.4.0 public release
customer_adoption: not_evidenced
deepseek_endorsement: not_evidenced

经过测试的协议依赖是 OpenWorkProof Core 1.4.0。发布证据证明了下文所述的打包集成行为；它并不证明生产使用、客户采用或 DeepSeek 背书。

本地预检会将确切的插件 tarball 和 OpenWorkProof wheel 安装到全新环境中。它驱动真实的 Harness 工具调用、外部 Verifier、宿主重启、组合离线交付验证以及篡改拒绝。生成的清单绑定了两个构件和仓库修订版本。这并非外部复现、生产使用、客户采用或 DeepSeek 背书。

为什么需要它

当 agent 声称某项变更已完成时，客户仍然需要知道：

- 是谁授权的；
- 范围涵盖哪个仓库、路径、工具、配额和测试配置；
- 补丁和测试是否属于同一次执行；
- 独立验证者实际检查了什么；
- 是谁验收或拒绝了最终交付。

OpenWorkProof 并不会让 agent 变得更聪明。它让所声明的 agent 工作变得可被独立审查。

两种模式

未配置，然后进入 Audit

安装的 bundle 默认处于禁用状态，并且不报告任何证据；请将该状态视为 NOT_CONFIGURED。在操作员显式启用插件并提供私有 case 目录后，Audit 是默认运行模式。Audit 观察 Harness 工具流水线，并请求 Python bridge 签署一条 ObservationRecord。它不会阻止现有的原生工具，也绝不会将未经事前授权的操作转变为 ActionReceipt。

Enforce

Enforce 必须显式启用。它会拒绝已知的原生变更面 write、edit、bash、pwsh、str_replace_editor、cordis_define、cordis_run、cordis_stop 和 cordis_undefine，然后仅暴露两个会产生后果的工具：

- owp_apply_patch：应用一个经过事前授权、有边界的补丁；
- owp_run_tests：通过外部 Verifier 边界运行冻结的测试配置。

异步授权之后会跟随一个单调的最终守卫。缺失、重放或不匹配的决策状态会以失败关闭方式处理。

安装

npm 包

公开包可在
npm 上获取。安装确切的发布版本：

dsh plugin --profile owp-preview add @openworkproof/dsh-plugin@0.1.0
dsh --profile owp-preview --dump-config

GitHub 源

带标签的源码也可以直接安装：

dsh plugin --profile owp-preview add \
github:dengyier/openworkproof-dsh-plugin#v0.1.0

此路径通过包的 prepare 脚本构建 TypeScript。使用 pnpm 10
或更高版本时，该 profile 可能需要为
@openworkproof/dsh-plugin 显式添加 allowBuilds 条目。当该策略
无法更改时，优先使用预构建的 npm 包。

本地发布 tarball

要在安装前复现或检查该包：

pnpm install --frozen-lockfile
pnpm test
pnpm typecheck
pnpm build
pnpm pack --pack-destination dist

dsh plugin --profile owp-preview add \
/absolute/path/openworkproof-dsh-plugin-0.1.0.tgz
dsh --profile owp-preview --dump-config

已安装的 bundle 处于禁用状态（NOT_CONFIGURED）。对于已准备好的
私有 case 目录，显式应用打包的 Enforce profile：

export OWP_CASE_DIRECTORY=/absolute/path/to/private-case
dsh --profile owp-preview \
--patch "$DSH_HOME/profiles/owp-preview/node_modules/@openworkproof/dsh-plugin/profiles/owp-verified.patch.yml"

该 case 不得包含任何 Manager、Verifier 或 Acceptor 私钥。通用
case 初始化、独立的 Verifier 服务以及外部 Acceptor
工作流在此 V0.1 候选版本中仍属于集成职责。

五分钟发布预检

OWP_CORE_ROOT=/absolute/path/to/OpenWorkProof-at-v1.4.0 \
node scripts/live-preflight.mjs \
dist/openworkproof-dsh-plugin-0.1.0.tgz \
/absolute/path/openworkproof-1.4.0-py3-none-any.whl \
dist/preflight-manifest.json

预检会将两个打包的产物安装到临时干净环境中，
检查生效的 profile，跨进程重启演练真实的 Harness 操作和外部
Verifier，在第二个进程中验证组合交付，拒绝被篡改的包，并写入一个与修订版本绑定的清单。
OWP_CORE_ROOT 必须指向提供实时
fixture 及其隔离 .venv 的确切 Core 源码检出目录；该脚本不会猜测本地工作树。
临时 profile 会在退出时被移除。不会发布任何包，也不会联系任何远程
服务。

用户命令

在打开的 case 中，该插件会注册：

/owp-status
/owp-evidence
/owp-verify
/owp-export

/owp-verify 不接受自由形式的声明。它会将确切关联的
owp_apply_patch 回执提交给核心桥接，以进行独立的仓库、
产物、冻结测试和因果账本回读。UNKNOWN 和 REFUTED
结果仍为非成功，绝不会仅仅因为存在结果文件就变为 VERIFIED。

/owp-export 会准备离线重放所需的完整客户私有证据包。请在单独的进程中验证该包：

owp dsh-delivery-verify /absolute/path/to/export

验证与验收被有意分开：

VERIFIED != ACCEPTED != PAID/SETTLED/LEGAL AUDIT/ADOPTION
代理没有接受签名的界面。Manager 和 Acceptor 私钥
保留在 Harness 之外。

数据与流程行为

该插件启动 owp dsh-bridge --stdio，交换封闭的 JSONL 消息，
观察声明的工具元数据和持久事件标识符，并可能将
已签名的观察结果写入案例证据根目录。一次性决策令牌仅存在于内存中。

它不会收集隐藏推理、任意环境变量或
冻结案例之外的文件。它不持有资金、执行支付或
代表人类接受工作。DeepSeek Harness 和其他已安装插件可能具有
各自的网络和遥测行为。

卸载与证据保留

dsh plugin --profile owp-preview remove @openworkproof/dsh-plugin

卸载配置文件依赖项不会删除账本、证据根目录、
会话事件、导出或公钥。在删除任何所需的
交付证据之前，请先归档并验证。

兼容性与限制

- 这是社区插件，并非 DeepSeek 官方发行版；
- 确切测试的主机：DeepSeek Harness 0.1.1-rc.2；
- V0.1 支持一个仓库以及串行的 owp_apply_patch / owp_run_tests；
- 审计无法证明所观察工具管道之外的副作用；
- 不同的密钥本身并不能证明组织独立性；
- Codex、ChatGPT 和 Claude Code 是未来的适配器，并非当前支持；
- 本地夹具并非零配置的生产初始化器。

参见 SECURITY.md 和核心
集成指南。

许可证

Apache-2.0。参见 LICENSE。