dsh-plugin-security-audit
v0.1.0 · 4 天前发布
DeepSeek Harness plugin: run a live security health check on the deployment (credential file permissions, process-env secrets, permission/approval mode, telemetry, anonymous id, LAN exposure, sandbox backend) and get an actionable report mapping each find
README
dsh-plugin-security-audit
DeepSeek Harness 插件：对当前部署运行实时安全体检，输出 PASS/WARN/FAIL 报告。
背景
我们审计 DeepSeek Harness 0.1.0-rc.6 时发现了 2 条 critical + 17 条 major（凭据保密边界、Windows 沙箱语义、审批可被 LAN 旁路、glob/grep 绕过沙箱、匿名 ID 外发等）。这个插件把那些发现变成可重复运行的健康检查：对任意部署跑一遍，逐项给出严重级、详情，以及对应的上游讨论帖链接。
检查项
| id | 检查 | 对应发现 |
|---|---|---|
| credential_file_permissions | 凭据文件 0600（POSIX）／ACL 继承（Windows，SB3） | 讨论 962 |
| process_env_secrets | 进程环境中的 API key（C2：/proc/<pid>/environ 可读） | 讨论 962 |
| permission_mode / approval_policy | 权限模式与审批策略（danger-full-access → never） | — |
| telemetry_mode | 遥测模式（FULL 原始导出无脱敏，L3） | 讨论 962 |
| anonymous_id | .anonymous-user-id 存在性（telemetry 关闭仍外发，M14） | 讨论 952 |
| lan_exposure | webserver 绑定（0.0.0.0 → critical；trustedHosts → warn，W1/W3） | 讨论 950 |
| sandbox_backend | 当前平台的
版本兼容矩阵
| DSH 版本 | 状态 | 说明 |
|---|---|---|
dsh@0.1.0-rc.6 | ❓ 未知 | metadata 缺失 |
dsh@0.1.0 | ❓ 未知 | — |
dsh@0.2.0 | ⚠️ 待验证 | 待实测（API 可能在变） |
dsh@0.3.0+ | ❓ 未知 | 尚未发布 |
💡 兼容矩阵每周末自动跑实测，欢迎 PR 修正
元数据
- License
- MIT
- npm
- dsh-plugin-security-audit
- Repo
- —
- Engines
{"node":">=18"}- Weekly DL
- 0
- Monthly DL
- 0
- dsh.bundle
{}