插件安全审查 rogerdigital/dsh-vet

dsh-vet

dsh-vet

针对 DeepSeek Harness (DSH) 插件的安全审查：安装前的权限与供应链审计，依据开放的 dsh-vet/v1 报告标准进行评级。

状态：v0.3 进行中。 v0.2 交付了作者侧——参考扫描器（npm，16 条经过校准的规则，附公开理由）、CI Action，以及可审计的评级徽章，已在两个仓库中上线。v0.3 是生态轮：面向消费者的报告验证、已验证发射者计划，以及在合约正式冻结前的市场采用（路线图）。

安装

需要 Node ≥ 20。

npm install -g dsh-vet # 或：pnpm add -g dsh-vet / bun add -g dsh-vet
dsh-vet --help

不想安装？npx dsh-vet 以零足迹运行同一个扫描器。扫描器是唯一运行的东西——dsh-vet 从不安装它所审计的插件。

用法

npx dsh-vet # npm 包、git URL 或本地路径
npx dsh-vet --json # 在 stdout 上输出 dsh-vet/v1 报告
npx dsh-vet --strict # 当发现 >= high（置信度 >= medium）时退出码为 1
npx dsh-vet --rules dep.install-scripts
npx dsh-vet validate # 依据合约检查报告
npx dsh-vet diff base.report.json head.report.json --json

任何完成的报告都以 0 退出——评级描述发现，它们不设门禁。扫描器失败以非零退出。扫描器在本地运行，仅从 npm registry 读取依赖元数据，绝不传输被审计的代码。

每份报告都记录扫描实际覆盖的内容（x-dsh-vet 扫描上下文：规则配置、覆盖率、内容摘要、稳定的发现标识）；人类可读输出和徽章在评级旁边显示覆盖率，缺失的上下文读作 unknown，绝不读作完整。

比较两份报告（发布审查）

dsh-vet diff 比较由同一扫描器版本和规则配置在完整扫描下生成的两份报告，并报告变更内容：dsh-vet/diff/v1——按稳定标识的添加/移除/变更发现、行为观察增量、每次转换的两侧。对于可比较的结果，无论风险变化如何，退出码为 0；当这一对无法被信任为描述同一检查下的同一对象时（附明确原因），退出码为 1；用法错误或报告无效时退出码为 2。两次本地目录扫描额外需要 --subject 。不可比较的一对提示用相同配置重新扫描两个产物——绝不是声称什么都没变。

已发布的规则（每条都在 docs/rules/ 下有公开理由）：

| 系列 | 规则 |
| perm. | seam-mismatch、undeclared-fs-write、subprocess-spawn、network-client、unreachable-files |
| dep. | install-scripts、floating-range、typosquat-proximity |
| obf. | eval-detect、dynamic-require、encoded-payload、charcode-chain、unparseable |
| egress. | outbound-endpoints、secret-adjacent |

dsh-vet 使用同一个扫描器审计自身： examples/dsh-vet.report.json 是从实际发布的 tarball 生成的（npm pack → 扫描），seams 在 package.json 中声明。
这不是一份靠作弊得来的 A 级报告——扫描器在自身发现的每一个信号都记录在其中。

面向插件作者的 CI 与徽章

在每次 push 和 PR 时审计你的插件，并从提交到仓库的报告发布你的评级—— shields.io 直接从你的仓库读取徽章，因此其值可通过 git 历史审计，且不涉及任何徽章服务：

- uses: rogerdigital/dsh-vet/action@v0.4.0
with:
specifier: '.'
commit-report: true

每次运行都会将完整报告作为 artifact 上传；PR 会获得一条就地编辑的评论。
将 baseline-report 设置为从合并基线扫描得到的报告，PR 还会额外显示自那以来的变化——参见比较发布版本了解可信基线配方，以及试点记录了解该比较在真实发布版本对上的表现。
就地编辑的发现评论。徽章片段及所有输入： action/README.md。如果你自行接入 CI，dsh-vet badge 命令会渲染 shields 端点 JSON。

为什么

DSH 的万物皆插件架构是其最大的优势，也是其最大的攻击面：你安装的插件可以注册工具、访问文件系统并打开网络连接。社区中得票最高的功能请求要求建立市场标准和审查机制（deepseek-harness#1115），而诸如 Full Access 会话删除用户主目录之类的事件（#461）表明了其中的利害关系。官方市场尚需时日；信任工具不能等。

dsh-vet 的存在是为了让“我应该安装这个插件吗？”有一个共享的、机器可读的答案，而不是凭感觉。

它检查什么（v0.1 范围）

- 能力表面——插件注入了哪些 Cordis seams（fs、shell、web……），与其 manifest 和 README 所声称的是否一致
- 供应链——依赖树、安装脚本、postinstall 钩子、与 typosquat 相邻的包名
- 混淆行为——eval / new Function / 动态 require / 编码载荷
- 数据外泄——从可读取机密、会话数据或 DSH 主目录的代码可达的出站端点

dsh-vet/v1 报告标准

差异化的部分不是又一个扫描器——而是 docs/dsh-vet-v1.md：一个与实现无关的、确定性的 JSON 报告契约（发现项带有严重性和置信度，并推导出 A–F 等级），任何扫描器都可以输出，任何市场、CI 任务或 UI 都可以消费，其精神与社区中的 dsh-doctor/v1 契约一致。TypeScript 参考类型和参考 markdown 渲染器由本包提供；dsh-vet validate 会依据该契约校验任何报告——包括推导出的等级，因此来自你不认识的输出器的报告无法伪造等级。欢迎第三方输出器，并在验证后列出；市场可以从 docs/adopt-marketplace.md 开始。

有何不同

| 工具 | 形式 | 关注点 |
| dsh-plugin-vetting | dsh 插件 | 安装时静态启发式检查 |
| dsh-audit | CLI | 生态系统范围的目录评分（维护 / 文档 / npm，安全一票否决） |
| dsh-plugin-audit | dsh 插件 | 逐插件权限画像 + 运行时哨兵 |
| plugin_vet 技能包 | 智能体技能 | 审计方法论 + 门禁 |
| dsh-vet | 库 + CLI + CI action | 开放的 dsh-vet/v1 报告契约、参考扫描器，以及作者侧徽章——其他人可以输出和消费的共享信任层 |

发现项是信号，而非裁决

报告描述的是代码做了什么，而不是其作者的意图。低置信度的发现项绝不会降低等级，并且每个发现项都带有证据和修复建议。如果你认为关于你的插件的某个发现项有误，请提交一个误报争议——有争议的规则会被重新审查，规则集会在公开场合得到修正。

路线图

- v0.1 —— 契约已发布（稳定，自 0.1.0 起仅做增量添加）+ 参考 CLI（dsh-vet ），包含上述四个检查族
- v0.2 —— GitHub Action + 徽章，让插件作者自我审计并发布其等级
- v0.3 —— 生态系统回合：dsh-vet validate + 已验证输出器计划、渲染 dsh-vet/v1 报告的市场集成，以及反馈回合后契约的正式冻结

详细、可跟踪的计划——任务分解、已记录的决策、完成定义、风险和终止标准——见 ROADMAP.md。

开发

pnpm install
pnpm test # vitest
pnpm build # tsdown → lib/
pnpm verify # typecheck + test + build + pack check

安全

报告 dsh-vet 自身的漏洞：见 SECURITY.md。dsh-vet 在本地运行，会读取 npm registry 以获取依赖元数据，并且绝不会将受审计的代码或结果传输到任何地方。

许可证

MIT