leetom314/dsh-risk-gate

dsh-risk-gate

面向 DeepSeek Harness 的语义风险分级 + 渐进式授权。
按操作语义自动分级，不要求用户写规则——把 Hermes Agent 的可逆性决策链移植成 dsh 插件。

功能说明

挂接 tools/pre-execute，并按操作语义对每次工具调用进行分类：

| 级别 | 含义 | 动作 |
|---|---|---|
| safe | 可逆 / 只读（read、search、web、无害 bash） | 直接放行（next()） |
| risky | 不可逆但低风险（write、edit、install、git commit） | 通过审批接缝 ask |
| redline | 四条红线之一：远程状态变更 / 外发消息 / 删除 / 付费配额 | 带明确红线类型的 ask；无应答者时 fail-closed deny |

分类是本地且确定性的——无网络、无 LLM 调用。未知工具默认归为 risky（fail-closed）。

渐进授权（渐进授权）

同一操作签名被批准并成功 N 次后 → 之后自动放行；一次失败/拒绝即把签名清零，回到 ask。

- 签名 = 工具名 + 规范化参数（大文本载荷会被截断）
- 红线操作默认永不自动放行（alwaysAskRedline: true）
- 状态为进程级（内存中）；HMR dispose 会清除它

安装

from GitHub (requires dsh CLI; git-based install)
dsh plugin --profile web add "github:leetom314/dsh-risk-gate#main"

or clone and verify locally first
git clone https://github.com/leetom314/dsh-risk-gate.git
cd dsh-risk-gate && ./setup.sh && npm test && ./verify.sh

配置

- id: dsh-risk-gate
name: dsh-risk-gate
config:
autoAllowThreshold: 3      # 0 = disable progressive auth, always ask
alwaysAskRedline: true     # redline ops never auto-allow
verbose: false
overrides:                 # optional per-tool override
some_tool: deny          # 'safe' | 'deny'

测试

npm test        # node --test (classifier + host-level progressive auth)

E2E（真实模型 + 无头 profile，隔离的 DSH_HOME）：

./setup.sh
DEEPSEEK_API_KEY=... ./verify.sh
expect: read-only pass / rm single-file blocked / rm -rf redline blocked /
quoted echo string not blocked / git push + scp + ssh remote blocked

verify.sh 动态生成临时 overlay（$HERE/index.js 路径），不需要仓库内 overlay 文件——overlay.yml 已 gitignore（含本机绝对路径，不随版本库分发）。

语义如何映射（红线）

Shell 命令检查（仅 bash/pwsh，保守正则）：

- DELETE — rm -rf、shred、mkfs、dd ... of=/dev/...
- REMOTE — git push（含 git -C dir push 变体）、git reset --hard、rsync user@host:、ssh user@host、curl/wget -X POST/PUT/DELETE、数据上传
- PAY — 云资源开通（aws ec2 run-instances、gcloud compute、……）
- MESSAGE — 外发消息工具（send_message、im_send、……）

工具名映射：read/glob/grep/web_/skill/job_* 为 safe · write/edit/str_replace_editor/todo_write/create_goal 为 risky。

限制
- Shell 检查基于正则表达式（不做完整的 shell 解析）：设计上偏保守（宁可误报，不可漏报），但精心构造的提示词仍可能通过混淆手段夹带命令。它是安全闸门，而非沙箱——请配合 dsh-permission-rules / 沙箱执行器以实现纵深防御。
- 学习状态仅存于内存中（目前重启后不会持久化）。
- 审批 UI 由渠道提供；在无头模式下且没有应答器时会失败关闭（拒绝）。