zhanxin-xu/dsh-sandbox-escalation-prompt

dsh-sandbox-escalation-prompt

仓库：

往 DSH 的系统提示词里注入一条沙箱提权纪律（sandbox_permissions 的使用规则），
让 bash / fs / pwsh 等工具在提权请求上不再出现「当前模式本来就允许却仍然申请」
或「只给 justification 却不提权」这类偏差。

注入的文本（默认可通过 text 覆盖）

Only set sandbox_permissions when the current sandbox mode is insufficient and a strictly higher permission level is required.
If the current sandbox mode already permits the operation, omit sandbox_permissions entirely.
Never request the same permission level as the current sandbox mode.
Only include justification together with a real permission escalation.

它是什么 / 不是什么

- 是一条静态的 system-prompt section，对所有 agent（含子代理、所有预设）生效；
- 注册的是 section（提示词正文），不是 context（每轮动态运行时快照）：
dsh 自带 sandbox:policy / approval:policy 两个动态 context 会随会话模式变化
（例如 approval=never 时会说「不要请求提权」），本插件不与之冲突，也不复制它们；
静态注册还有个好处：文本不变则提示词前缀稳定，KV cache 不受影响；
- 不使用 complete: true，因此不会顶掉别的人格、工具指引或运行时快照；
- 不 import 任何包，只依赖 ctx.systemPrompt 服务，放在 ~/.dsh/plugins/ 下的裸目录即可加载。

配置（挂载行的 config）

| 字段 | 默认 | 说明 |
|---|---|---|
| enabled | true | false（或 'false'/'no'/0）时不注入任何 section，用于临时关闭 |
| text | 上面四行原文 | 注入文本；纯空白视为不注入 |
| order | 9990 | section 排序位，越小越靠前 |
| sectionName | user:sandbox-escalation-policy | section 名，必须全局唯一（重名会抛 duplicate 错误） |

order 的常见选择：

| order | 位置 |
|---|---|
| 700 | 紧随 PLAN_POLICY(500) / TEAM_POLICY(600) 的策略带 |
| 1050 | 紧随 TOOL_BASH(1000) / TOOL_PWSH(1010) 的 shell 工具带 |
| 9990（默认） | 末尾环境事实之前（STRUCTURED_OUTPUT(9900) 之后），作为收尾性纪律，遵循度最好 |

安装到 web profile（本机已按此配置）

1. 链接到 profile 的 node_modules
ln -s ../../../plugins/dsh-sandbox-escalation-prompt \
~/.dsh/profiles/web/node_modules/dsh-sandbox-escalation-prompt

2. profile package.json 的 dependencies 里登记（让 pnpm install 不再丢掉链接）
"dsh-sandbox-escalation-prompt": "link:../../plugins/dsh-sandbox-escalation-prompt"

3. ~/.dsh/profiles/web/cordis.patch.yml 里挂载
- insert:
- id: sandbox-escalation-prompt
name: dsh-sandbox-escalation-prompt
config:
enabled: true

web profile 的 patchReload 是 live：改完 cordis.patch.yml 无需重启 dsh web，
Host 会热应用补丁；首次在 node_modules 里放链接建议先做，改动补丁文件即可生效。
其它 profile（headless/acp 等）= startup，需要重启进程。

验证

cd ~/.dsh/plugins/dsh-sandbox-escalation-prompt
node scripts/smoke.mjs        # 假 ctx：注册/覆盖/开关分支
node scripts/integration.mjs  # 真 cordis + 真 dsh-system-prompt：装配后提示词确实含四行

热加载/重启后还可以这样确认运行中的 Host 真的注入了：读当前会话日志里最近一条
system/message 事件（就是渲染后的完整系统提示词）：

zstd -dc ~/.dsh/sessions/--Users-user-.dsh--/session-*/session.v3.jsonl.zstd \
| grep -c "Never request the same permission level as the current sandbox mode"

关闭与卸载

- 临时关闭：把挂载行 config.enabled 改成 false（热加载立即生效）；
- 彻底移除：删掉 cordis.patch.yml 里的挂载行，再删 node_modules 链接与
package.json 里的依赖登记，最后删除本目录。

目录结构

dsh-sandbox-escalation-prompt/
├── package.json          # 声明 dsh.bundle.patch（供 dsh plugin add 安装时自挂载）
├── cordis.patch.yml      # 自挂载补丁；已手工挂载时用 !!js 守卫自动退让，避免重复挂载
├── lib/index.js          # 插件本体：注册 system-prompt section
├── scripts/smoke.mjs     # 离线单元 smoke 测试
├── scripts/integration.mjs # 真 cordis + 真 systemPrompt 集成测试
└── README.md