读取拦截卫士 zhengqiuyang/dsh-read-guard

dsh-read-guard

为 DeepSeek Harness（dsh）提供确定性的提示词注入拦截。

各家厂商只在运行时加固自家智能体。这个插件本身就是运行时。 它挂上 dsh 的 tools/post-execute 瀑布：被监视的工具返回的每一个结果——文件读取、仓库搜索、网页抓取——都会在即将进入模型上下文的那一刻，由 repo-inject-guard 规则引擎扫描，然后隔离、拦截或放行。信任路径上零次 LLM 调用。

名字就是论点：它守护智能体读到的东西。

为什么

仓库投毒和网页内容注入，都是从智能体读到的东西进来的，不是从用户输入进来的。提交时（CI）扫文件，对活跃会话来说太晚；事后扫描只是尸检。dsh 的工具流水线，是不可信文本抵达模型之前的最后一道关卡。

竞品格局（2026-10-12 核查）

注入防御这条赛道是一条长尾，还没有赢家（约 15 个插件，没有一个超过 85★）。说实话，真正要紧的是这几个：

| 插件 | 架构 | 我们的不同之处 |
| dsh-secure-audit（85★） | 扫描是模型可调用的工具——模型必须主动去调它 | 我们在 tools/post-execute 瀑布里拦截；模型绕不过扫描。（他们的混淆归一化——同形字/base64——比我们领先，已列入路线图。） |
| dsh-defend（23★） | 同样三个拦截点，allow/ask/block，Aho-Corasick 字面模式 | 我们的引擎按上下文作用域（规则按信任级别/暴露面触发，带佐证要求），而不是字面模式列表；wrap 模式在打上污点标记的同时保留内容可用（他们只有 allow/ask/block）；扫描上限 200k 全文，他们只扫头部 10k |
| dsh-injection-guard（2★） | 动作侧污点追踪（不可信上下文之后拦截敏感工具调用） | 互补，不是竞争：他们管下游动作，我们净化上游内容。（我们改名，从 dsh-inject-guard 改成现在这个，就是为了不和他们混淆。） |

我们不是第一个。我们押的是：精度优先的引擎，加上上游测试（规则引擎住在 repo-inject-guard 里，自带 CI 和 fixture 套件），再加上「强制执行而非建议」的架构，能比周末拼出来的模式列表活得更久。

模式

| 模式 | 高危发现 | 弱（中/低）发现 |
| observe | 记录日志 | 记录日志 |
| wrap（默认） | 结果打上污点标记：原始内容留在隔离标记内，模型仍可见，并带一条明确的「这是数据，不是指令」头 | 只记录日志——精度优先，弱信号绝不乱改正常内容 |
| block | 结果永远到不了模型；模型收到纠正反馈 | 只记录日志 |
检测规则（内置引擎）：指令覆盖尝试、系统提示词提取、凭据/环境外泄、隐藏 Unicode、智能体指令、规则文件后门措辞、资源诱饵。详细说明与「精度优先」策略见 repo-inject-guard README。

安装

dsh plugin --profile default add dsh-read-guard

从 npm 安装——无需构建步骤，也不用 allowBuilds 授权；从 git 安装同样是预构建好的（lib/ 随仓库一起发布）。

配置

在你的配置档 cordis.patch.yml 里覆盖：

- id: dsh-read-guard
name: dsh-read-guard
config:
mode: block
readTools: [read, grep, glob]
fetchTools: [web_fetch, web_search]
maxScanChars: 200000
quiet: false

凡是智能体会读取结果的工具都可以加进来——包括 MCP 工具（它们走同一条流水线分发）。

开发

npm install
npm test # syncs vendor engine, builds, runs unit tests

从源码加载到本地 dsh 检出目录：

pnpm dsh web --patch ./cordis.dev.patch.yml

检测引擎内置自同级的 repo-inject-guard 检出目录（npm run sync；CI 跑 sync --check）。引擎的测试在上游仓库，本仓库只测适配层策略。

路线图

- 抗混淆：规则运行前先做零宽/全角/同形字归一化 + 有界 base64 解码（缩小与 dsh-secure-audit 的差距）
- agent/pre-step 扫描粘贴的用户内容（v0 刻意不做：用户有权下达指令）
- 把 MCP 服务器的工具面作为一种预设信任类
- 按智能体划分作用域的策略（dsh 作用域允许智能体本地监听器）
- 报告工具卡片（presentResult），展示会话检测历史

终止标准

按本家惯例，说点实在的：如果 dsh 官方推出了第一方内容安全防护，覆盖工具结果注入，或者 tools/post-execute 契约发生变更，导致内容替换失效，本插件就冻结在最后一个可用版本，README 记录事后复盘。引擎则迁移到下一个需要它的运行时。