操作存证链 zhengqiuyang/dsh-attest-chain

dsh-attest-chain

为 DeepSeek Harness（dsh）会话提供带签名的监管链。

无头智能体完全绕过 PR 门禁；聊天界面展示的只是智能体自称做了什么。这个插件记录智能体实际做了什么：每个被监视的工具结果（bash、write、edit、web_fetch……）都会向一份持久化 JSONL 账本追加一条哈希链式、ed25519 签名的监管记录。改动任意一行，链就断裂；删掉尾部，它就和已发布的头部对不上。信任路径中零 LLM 调用。

同系列：dsh-read-guard 守护智能体读什么，dsh-pr-gate 把关它写什么，dsh-attest-chain 证明它做了什么。

为什么是现在（核查于 2026-10-12）

dsh 插件生态里还没有任何东西能产出防篡改的智能体活动记录。最接近的邻居要么是清单类插件（dsh-harbor，24★ —— 一份只读列表，列出装了什么），要么是加上基于 LLM 的审查。而 in-toto 形态的那条赛道 —— 带签名、可验证、CI 可消费的智能体会话证据 —— 还是空白。签名核心取自 agent-attest，它的 CI 门禁可以把这份账本当作会话侧证据来消费。

工作原理

tool result ──> custody record {time, tool, callId, isError, sha256(content)}
──> chained: digest = sha256(canonicalJSON({seq, prevDigest, record}))
──> signed: ed25519 over the digest (keypair in .dsh-attest-chain/keys/)
──> appended: .dsh-attest-chain/session.jsonl (one line, strict order)

验证是纯离线操作：重放账本，重算每个摘要，检查每一条链接和签名。把头部摘要（或公钥）发布到任何持久的地方 —— PR 描述、CI 变量 —— 之后任何一次比对都能确定性地发现篡改或截断。

首次运行时生成密钥对；私钥那一半永远不会离开运行智能体的机器。如果你只需要针对已发布头部的防篡改能力，sign: false 会跑一条仅摘要的链。

安装

dsh plugin --profile default add dsh-attest-chain

从 npm 安装 —— 无需构建步骤，无需 allowBuilds 授权；git 安装同样是预构建好的（lib/ 随仓库一起发布）。

配置

- id: dsh-attest-chain
name: dsh-attest-chain
config:
tools: [bash, write, edit, str_replace_editor, web_fetch]
ledgerPath: .dsh-attest-chain/session.jsonl
keysDir: .dsh-attest-chain/keys
sign: true

把 .dsh-attest-chain/ 加进你仓库的 .gitignore —— 私钥绝不能提交；验证方检查的是公钥。

开发

npm install
npm test # syncs the vendored agent-attest core, builds, runs unit tests

canonical-JSON 序列化器和 ed25519 PEM 辅助函数取自同级的 agent-attest 检出（npm run sync；CI 跑 sync --check）。

路线图

- 会话结束时的 in-toto statement 信封（与 agent-attest CI 完全互通）
- 按会话 id 索引的每会话账本
- 一张 verify 工具卡片：在 Web UI 里回放 + 给出结论
- GitHub check-run 桥接：把 head digest 发到 PR

终止条件

如果 dsh 先推出第一方签名的会话记录，或者有主流插件原生加上存证，这个项目就冻结在最后一个可用版本，并在这里留一份复盘。无论哪种情况，签名核心都仍归 agent-attest 所有。