插件安全护栏 iiiweiii/dsh-guardwall

dsh-guardwall

DeepSeek Harness 的安全插件：安装前体检 + 运行时护栏，装前把关、装后看门、全程留痕。

- 安装前体检：权限清单 · 静态风险扫描 · A–D 信任评分 · 安装门禁（D 级拒绝）
- 运行时拦截：危险工具调用直接拦截（破坏性命令、凭据、SSRF、反向 shell）
- 输出审计：密钥/内网 IP/数据库串泄露检测
- 篡改检测审计：HMAC 链式哈希 + 尾部 checkpoint，内容修改与日志截断可检测
- 热加载：自定义规则与阈值改完秒级生效，不用重启
- 零第三方运行时依赖：仅使用 Node 内置模块，减少依赖供应链攻击面

安装

dsh plugin --profile web add dsh-guardwall

验证挂载：

dsh --profile web --dump-config | grep -A2 'id: guardwall'

npm 尚未发布时可用 GitHub 通道：dsh plugin --profile web add "github:iiiweiii/dsh-guardwall#main"

第一层 · 安装前体检

“装这个插件 = 给了它什么权限？” —— 装之前先回答：

npx guardwall check # 体检输出报告
npx guardwall add [--force] # 体检 → 门禁通过才安装
spec：本地路径 / npm 包名 / github:owner/repo

四步体检：

1. 真实制品落地 —— npm 包以 --ignore-scripts 安装到隔离临时目录，GitHub 引用检出精确 ref；拿不到源码就不做放行结论
2. 权限清单 —— 静态分析源码，列出插件访问的文件路径（~/.ssh、.env、云凭据）、执行的命令（rm、curl、sudo）、连接的域名（正常 API / SSRF 元数据 / 遥测端点）
3. 静态风险扫描 —— 依赖树 + 危险模式（eval、动态执行、密钥读取、SSRF 目标、无约束递归删除、混淆载荷、安装脚本）
4. 信任评分与门禁 —— 五维评分；D 级拒绝（--force 放行）、C 级警告、A/B 放行

对话里问 Agent“这个插件安全吗”会调用 guard_check 工具。HTTP 接口默认关闭，见下方安全配置。

批量压测：前 120 高星插件

按 stars 取 awesome-dsh-plugin 前 120 个插件全量体检，覆盖率 91%（110/120），校准了评分阈值并修复多种误判（skill 类插件、提示注入、GitHub 元数据、源码未装依赖等）：

批量工具：node scripts/batch-vet.mjs（读 plugins.json，输出 batch-result.jsonl），体检汇总见 docs/batch-vetting-report.md、评分校准记录见 docs/scoring-calibration.md。

第二层 · 运行时护栏

在工具调用执行前拦截高危参数（输入侧 tools/execute），监听输出泄露（输出侧 tools/result）。
Agent 被诱导执行 rm -rf / 时，调用被替换为：

Error: dsh-guardwall 拦截了该调用（规则 SEC-001 · 风险 10/10）原因：破坏性删除/格式化/磁盘写入建议：禁止对根目录/家目录/系统盘执行删除或格式化；如确需清理，改用回收站或限定路径后二次确认如需放行，请管理员显式启用 Agent 白名单，并限定规则、精确工具名与有效期。

与社区安全插件的差异：44/51 个是静态扫描（对运行时动态构造的命令全盲）；运行时拦截的 7 个依赖 cordis/dsh-tools（与恶意插件同框架）。本插件零第三方运行时依赖，并使用 HMAC 链式审计日志。

热加载 · 改规则不用重启

- 自定义规则：~/.dsh/cache/dsh-guardwall/rules.d/*.json，保存即生效

[
{ "id": "MY-001", "direction": "input", "risk": 8,
"re": "internal\\.corp\\d+\\.com", "summary": "禁止访问内网域名", "advice": "确认授权后访问" } ]

- 热配置：同目录 config.json 改阈值立即生效：{ "blockThreshold": 6, "warnThreshold": 3 }
- 工具：guard_reload 手动刷新 · guard_rules 查看生效规则

规则表

输入侧（可拦截）：

| ID | 风险 | 检测 |
| SEC-001 | 10 | 破坏性删除/格式化/磁盘写入（rm -rf /、format、mkfs、dd 到块设备） |
| SEC-002 | 9 | 访问凭据/密钥文件（~/.ssh、.aws、.env、.netrc 等） |
| SEC-003 | 9 | 参数中出现疑似明文凭据（password=、sk-、AKIA、ghp_） |
| SEC-004 | 9 | SSRF：云元数据端点（169.254.169.254 / metadata 域名） |
| SEC-005 | 10 | 反向 shell / 下载执行管道（bash -i、nc -e、/dev/tcp、curl\|sh） |
| SEC-006 | 8 | 命令链注入（;rm、&&rm、反引号执行） |
| SEC-007 | 8 | 提权/权限变更（sudo su、chmod 777 /） |
| SEC-008 | 9 | 系统关键文件/设备写入（/etc/passwd、/boot、SYSTEM32） |
| SEC-009 | 5 | 对外发布操作（git push / npm publish，默认放行但审计） |

输出侧（只读审计）：

| ID | 风险 | 检测 |
| OUT-001 | 10 | 密钥/私钥泄露（sk-、AKIA、Bearer、BEGIN PRIVATE KEY） |
| OUT-002 | 6 | 内网 IP 输出 |
| OUT-003 | 8 | 带口令数据库连接串 |
| OUT-004 | 8 | 环境变量密钥 dump |
| OUT-005 | 7 | 公钥/证书/私密材料 |

策略与配置

默认：risk >= 7 拦截、risk >= 4 告警、其余记录。可在 cordis.patch.yml 的 config 调整：

- insert:
- id: guardwall
name: dsh-guardwall
config:
blockThreshold: 7
warnThreshold: 4
dataDir: ~/.dsh/cache/dsh-guardwall
failMode: closed # 护栏初始化/扫描异常时拒绝执行 allowAgentWhitelist: false # 默认禁止 Agent 自助放行

工具

| 工具 | 用途 |
| guard_check | 安装前体检（权限/风险/评分/门禁建议） |
| guard_status | 拦截/告警/记录统计、审计链完整性、白名单 |
| guard_whitelist | 临时放行某规则；默认关闭，只接受精确工具名和 1–60 分钟 |
| guard_reload | 手动重载热加载规则与配置 |
| guard_rules | 查看生效规则与热加载状态 |

HTTP 接口默认不注册。如确需使用，配置 enableHttpApi: true 与非空 httpToken，请求携带 Authorization: Bearer ；HTTP 体检默认禁止本地路径，可由 allowHttpLocalVet 显式开启。

审计

数据落在 ~/.dsh/cache/dsh-guardwall/：audit-YYYY-MM-DD.jsonl（每条含 prevHash + HMAC hash）、 checkpoint-YYYY-MM-DD.json（尾部锚点）、chain.key（链密钥，0600 权限）。内容修改、并发链分叉或尾部截断会让 verify() 返回失败。
该机制用于检测意外损坏和未持有密钥的修改；与 Agent 插件同一 OS 用户、可读取 chain.key 的攻击者不在其不可伪造威胁模型内。本地读写、无遥测；安装前体检仅为获取 npm/GitHub 制品而联网。

兼容性

- 真机验证：@deepseek-ai/dsh 0.1.0-rc.5（web profile，拦截/审计/接口实测通过）
- tools/execute（可拦截）、tools/result（只读）为宿主标准事件；接口走 webServer.register
- 预览版 API 可能变动，若失效先看 --dump-config 与宿主升级日志

路线图

- [ ] 白名单按 agent/会话隔离
- [ ] 高敏操作二次确认（approval 集成）
- [ ] 审计导出 + 周报
- [ ] npm 发布（dsh plugin add dsh-guardwall 一键安装）

License

MIT