Безопасность и защита

Выполняет локальный аудит безопасности ретрансляторов AI API и прокси-серверов LLM из DeepSeek Harness, создавая отчеты Markdown для быстрого внедрения, сигналов замены модели, переписывания вызовов инструментов, утечки ошибок, целостности потока и рисков Web3 с контролем профиля.

Коллекция DSH авторизованной безопасности: девять режимов работы (координатор Redteam, пентест, аудит кода, двоичный анализ, защита от атак, уклонение от AV, реагирование на инциденты, облачная безопасность, решение CTF) и пятнадцать подключаемых модулей среды выполнения, управление которыми осуществляется со страницы настроек с возможностью развертывания, установки, обновления и удаления одним щелчком мыши.

Авторизованный режим пентеста для DeepSeek Harness — цепочка исследования, активы и результаты с веб-просмотром.

Автоматическая проверка второй модели в цепочке отвечающих на утверждение: субагент рецензента, доступный только для чтения, возвращает структурированные вердикты о разрешении/отказе с указанием причин, по умолчанию закрывающиеся при сбое.

Декларативные правила разрешений в стиле Claude Code: упорядоченные YAML-правила разрешения/запрета/запроса, соответствующие именам инструментов, аргументам, путям к рабочей области и удостоверению агента в каскаде инструментов/предварительного выполнения, с полным аудитом журнала сеансов, режимом пробного запуска и горячей перезагрузкой.

Плагин для анализа безопасности в одном пакете: сужение инструмента начальной загрузки, маршрутизатор домена и 25 инструментов обратного проектирования, охватывающих образцы APK, собственных двоичных файлов, протоколов, вредоносных программ и LLM, а также справочную документацию по запросу.

Автоматизация утверждения с учетом рисков для DeepSeek Harness: Flash предварительно классифицирует, является ли запись/команда необратимой — безопасные операции утверждаются автоматически, опасные передаются на одобрение человека (отказоустойчивость). Проверка различий в файлах с возможностью возврата в один клик и создание снимков на уровне сеанса (версия 0.5.1: точные снимки посредством отслеживания параметров вызова инструмента, включая случаи одобрения человеком).

Плагин безопасности и соответствия требованиям только для чтения для DeepSeek Harness: обнаружение быстрого внедрения, редактирование китайской идентификационной информации и аудит локальной конфигурации с отредактированными воспроизводимыми отчетами.

Плагин «dsh-redteam-mode#packages/redteam-bundle» для DeepSeek Harness: Red-team engagement mode: send one target organization name and a planner session runs a five-role agent team (recon, asset triage, vulnerability discovery, exploitation, internal pivot) at up to three concurrent agents, preflight-checking skills and resources and asking for any missing key or VPS first; findings land in a local SQLite fact base with discovery timestamps, shown in a persistent right-side console (asset mapping with a discovery timeline, agent roster, session/tunnel state, five-stage attack chain, scoring targets, a report that spells out how each score was obtained — actions, exact commands, credential provenance, tunnel build commands — and a category-organised POC/EXP knowledge base); ships 13 native skills, 53 redteam_* tools and one-command self-update.

Превращает DeepSeek Harness в многопользовательскую платформу серверного уровня: удаленный доступ + автоматический HTTPS, права субпользователя и токены/дневные квоты, принудительное использование песочницы, зашифрованный журнал аутентификации и аудита.

Удаленный доступ и аутентификация для веб-интерфейса DeepSeek Harness: шлюз входа в систему с учетной записью и паролем, MFA (TOTP), подписанные файлы cookie сеанса, доступ на основе ролей, выбор каталога в браузере, настройки управления учетной записью, полностью локализованы на английском и китайском языках.

Заменяет веб-запуск dsh, чтобы разрешить привязку 0.0.0.0, контролируемую именем пользователя и паролем для входа в систему: подписанные файлы cookie сеанса, защита маршрута /api, вкладка аутентификации на панели настроек и интерфейс командной строки сброса, который меняет ключ подписи, чтобы сделать все сеансы недействительными.

Инструментарий аудита во время фиксации для агентов кодирования ИИ: 24 правила git-diff (секреты, изменения за пределами области действия, внедрение подсказок), подписанный HMAC контрольный журнал, откат моментальных снимков и сервер MCP с 79 инструментами. Устанавливается через плагин dsh.

Плагин для тестирования на проникновение на основе PTES с архитектурой Root-Orchestrator для DeepSeek Harness.

Плагин «dsh-jev-interceptor» для DeepSeek Harness: Classifies pending tool calls with Jev (TypeSafe AI's non-generative decision model) on tools/pre-execute — confident high-risk calls are denied, ambiguous ones escalated to approval — and auto-approves clearly-granted reversible calls on approval/request behind argument-evidence gating. Also subclasses the session-reference resolver so snapshots keep Jev-scored messages instead of dropping oldest-first. Degrades to stock behavior on any provider failure; shadow mode with a /jev-stats command; TypeSafe or OpenRouter endpoints; 64 tests.

Обнаруживает шаблоны быстрого внедрения, джейлбрейка и утечки секрета в швах агент/предварительный этап, инструменты/предварительное выполнение и инструменты/после выполнения с уровнями разрешения/запроса/блокировки, очищенными событиями аудита защиты/обнаружения, инструментом defence_report и защитой команд деструктивного удаления.

Пакет навыков по методологии аудита безопасности плюс шлюз цепочки поставок плагин_vet: восемь навыков агента (секретное сканирование, аудит зависимостей, проверка цепочки поставок, проверка оперативного внедрения, оркестровка аудита, моделирование угроз, информация об уязвимостях, реагирование на инциденты) в китайской и английской версиях, с пакетом поставщика npm, который монтирует навыки и регистрирует автоматический предустановленный сканер плагина_vet.

Добавляет настройку разрешений «авто» между записью в рабочую область и полным доступом к опасностям: классификатор разрешает обычные эскалации в песочнице один раз, в то время как опасные или неопределенные запросы по-прежнему поступают к человеку.

Аудит локальной безопасности: конфигурация, происхождение плагинов, сеансы, воздействие сети — отредактированный отчет о рисках, доступный только для чтения.

Шлюз входа в веб-интерфейс dsh: аутентификация по паролю или общему токену, файлы cookie сеанса, ограничение скорости и интерфейс командной строки для управления пользователями (манифест dsh.bundle начиная с версии 0.4.1, монтирование «dsh плагин add» одной командой).

Пароль + шлюз двухфакторной аутентификации TOTP для веб-интерфейса dsh: каждый HTTP-запрос и обновление WebSocket отклоняются до тех пор, пока не будет выполнен вход в систему, с блокировкой для каждого источника, глобальными ограничениями скорости и одноразовыми резервными кодами.

Причинно-следственная защита белого ящика для dsh: каждый вызов инструмента оценивается перед выполнением по детерминированной причинно-логической цепочке — блокирует деструктивные операции и операции с файлами учетных данных, эскалирует повторяющиеся нарушения границ, обрезает ошибочные ссылки до тех пор, пока они не будут проверены-исправлены, и выдает вердикты о риске при непроверяемом выполнении; работает полностью локально с нулевой стоимостью API, плюс 6 инструментов самопроверки «белого ящика».

Детально детализированные правила разрешений для каждого инструмента для DSH на шлюзе инструментов/предварительного выполнения, списки запретов и запросов в синтаксисе правил Claude Code (Bash(rm -rf:*), Read(_secrets_), mcp__server__tool), работают автономно без миграции.

Автоматическое утверждение с помощью LLM с обратным отсчетом для предустановленных автоматических разрешений: статические правила, уровни риска, прерыватель и аудит файлов.

Отслеживает выпуски DSH и плагинов, повторно тестирует точные опубликованные артефакты в одноразовых бегунах, публикует машиночитаемые доказательства совместимости и согласовывает управляемые проблемы после исправлений.

Маскирование PII для DeepSeek Harness — анонимизирует имена, телефоны, электронные письма, идентификаторы и ключи перед запросами и восстанавливает их на уровне отображения, не допуская попадания открытого текста в журналы сеансов.

Многопользовательский шлюз входа в веб-интерфейс DSH: при первом посещении создается учетная запись администратора, администраторы добавляют пользователей и управляют ими на панели настроек графического интерфейса, обычные пользователи видят только свои собственные разговоры, а неаутентифицированные посетители перенаправляются на /login.

Зашифрованное локальное хранилище учетных данных для Harness: страница веб-настроек и инструменты vault_* для хранения, поиска и копирования паролей, ключей API, секретов TOTP и данных карт, с проверками работоспособности, ротацией срока действия, импортом/экспортом и режимами доступа только для чтения/запроса.

Детализированный шлюз разрешений: просмотр вызовов инструментов по каждой категории (каталоги вне рабочей области, команды, чтение/запись файлов, подагенты, повторяющиеся действия) с глобальными и для каждого проекта исключениями разрешения/запрета, быстрыми настройками инструментов по умолчанию, настраиваемыми правилами, двуязычным модальным окном утверждения со встроенными сведениями о различиях, настраиваемыми причинами отклонения и потоком обновления в песочнице.

Сканер безопасности для подключаемых модулей DSH: статическая и семантическая обработка источника подключаемого модуля, правила поверхностей атак, специфичные для DSH, аудит npm, пакетное сканирование и отчет HTML с серьезностью и доказательствами для каждого обнаружения.

Аутентификация веб-интерфейса, реализованная на уровне HTTP/транспорта: четырехуровневый шлюз входа (ресурсы, пакеты плагинов, /api, WebSocket), сеансы на стороне сервера с файлами cookie HttpOnly.

Утверждение разрешения на основе модели: ответчик на запрос утверждения, поддерживаемый отдельной моделью проверяющего.

Автоматическое одобрение в стиле CC для DeepSeek Harness: детерминированные правила запрета/разрешения плюс двухэтапный классификатор разрешения/отклонения с автоматическим выключателем и руководством по запрету.

Добавляет переключатель режима утверждения рядом с переключателем разрешений: утверждение по умолчанию сохраняет подтверждение для каждого вызова, обходное утверждение автоматически утверждает каждый вызов инструмента, оставаясь в рабочей области записи.

Безопасность выполнения с учетом происхождения, которая отслеживает конфиденциальные данные при вызовах инструментов DSH и блокирует рискованную утечку перед выполнением.

Усиление защиты для mcp__omni__parse в DeepSeek Harness: прослушиватель инструментов/предварительного выполнения, который запрещает URL-адреса частных/зарезервированных хостов (SSRF), применяет список разрешений или запрашивает (согласие) и закрывается при сбое, когда значение AllowRoots пусто.

Добавляет разрешение на запись в рабочую область++, которое сохраняет файловые инструменты внутри рабочей области, пропуская при этом изолированную программную среду процессов Windows для исполняемых файлов, включенных в список разрешенных подстановочных знаков, таких как Git Bash.

Шлюз аутентификации для веб-интерфейса DeepSeek Harness: вход распространяется на страницы, /api, /plugins и обновления WebSocket; Хеширование паролей PBKDF2, файлы cookie сеанса HttpOnly SameSite, блокировка входа на основе IP, панель настроек управления пользователями (пользователи редактируют свой собственный профиль, администраторы добавляют или удаляют пользователей и сбрасывают пароли), защита конфигурации модели только для администратора и ключей API, изоляция каждого пользователя в API REST/списка и потоках событий WebSocket, сохранение сеанса после перезапуска, журнал аудита JSONL и шлюз, закрывающийся при сбое.

Статический сканер безопасности для подключаемых модулей DSH: аудит только для чтения (исполнение, учетные данные, эксфильтрация, обфускация, сценарии установки, манифест пакета) с оценкой риска 0–100.

Вход администратора Caddyforward_auth для DeepSeek Harness Web с паролями Argon2id, отзывными сеансами, двуязычным пользовательским интерфейсом и встроенным действием выхода из боковой панели.

Добавляет предустановку разрешений автоматического утверждения в веб-интерфейс, используя новый ограниченный агент рецензента для разрешения или отклонения каждого запроса на утверждение.

Записывает локальные сводные данные JSONL о количестве инструментов за оборот и сигналы грубой проверки без сохранения подсказок, аргументов инструмента или текста результата.

Проверяет сторонние плагины, прежде чем вы им доверяете: статическое сканирование на наличие вредоносных шаблонов (эксфильтрация, доступ к учетным данным, обфускация, сохранение) и использование путей с чрезмерными привилегиями, покрытие транзитивных зависимостей, базовый уровень хэша официального пакета для обнаружения несанкционированного доступа в цепочке поставок и дополнительный шлюз вызова инструмента плагина.

Добавляет локальные квитанции JSONL с хеш-цепочкой для результатов инструмента и событий сеанса без сохранения подсказок, аргументов инструмента, текста результата или необработанных идентификаторов сеанса.

Предварительная установка статической проверки безопасности и защиты во время выполнения для подключаемых модулей dsh: деобфускация, проверка цепочки поставок, веб-проверка/установка/удаление одним щелчком мыши и дополнительная защита от вызова инструментов во время выполнения.

Агентская защита безопасности: перехватывает и проверяет каждый вызов инструмента, требуя подтверждения человеком при выполнении конфиденциальных операций.

Поддержка серверной части микропесочницы.

Автоматическое одобрение LLM для запросов на эскалацию в песочнице с предустановками и резервным вариантом закрытия при сбое.

Конвейер доверия плагинов для DeepSeek Harness: детерминированное статическое сканирование с вердиктами, встроенная защита во время выполнения с приманками-приманками, навыки протокола аудита агента и индикатор состояния защиты браузера. Только сигнализация, никогда не исполнитель.

Плагин «dsh-dsml-artifact-guard» для DeepSeek Harness: Sanitizes leaked DeepSeek DSML closing tags from model text streams.

Плагин «dsh-workspace-acl-allow» для DeepSeek Harness: Windows workspace pre-authorization: adds an explicit full-control DACL ACE (including WRITE_OWNER, required by dsh >=0.1.7 sandbox startup) to user-declared workspace directories, removing the repeated full-access escalation prompt. Grants only on explicit intent — new workspace records or paths added in the plugin settings page; system directories are hard-blocked. Windows only.

Редактирует поддерживаемые секретные шаблоны из экспортной копии `session-telemetry/record` до того, как настроенные серверные части телеметрии получат ее.

Механизм правил разрешений в стиле Claude Code: уровни «жесткий/запретить/спрашивать/разрешить» с жестким уровнем выше полного доступа, правила на уровне рабочей области, защита пути с подстановочными знаками и визуальный поэтапный редактор; правила сохраняются в settings.yaml.

Перед выполнением настроенных инструментов (bash по умолчанию, pwsh) требуется единовременное одобрение пользователя — закрытые инструменты приостанавливаются и запрашивают, все остальное делегируется, а отсутствующий канал утверждения не закрывается.

Механизм выполнения правил для dsh: анализирует AGENTS.md, жестко блокирует вызовы инструментов, нарушающие правила, текстовый аудит правил B/D, команду /guard, защиту версий для файлов с поддержкой версий и поддержку свободной зоны (движок пропускает разделы свободной зоны).

Инструменты создания сообщества SonarQube, доступные только для чтения: статус экземпляра, контроль качества проекта для ветки или запроса на включение, поиск проблем и точек безопасности, подробные сведения об одной точке доступа, а также покрытие, дублирование или меры, выбранные вызывающим абонентом. Результаты проблем и горячих точек имеют нормализованное местоположение с ключом компонента, путем к файлу, строкой и диапазоном текста.

Независимый субагент по утверждению оценивает каждую эскалацию в песочнице с помощью настраиваемой модели и журнала аудита.

Поддержка серверной части песочницы nono.

Добавляет настройку разрешений «авто» между записью в рабочую область и полным доступом к опасностям: классификатор разрешает обычные эскалации в песочнице один раз, в то время как опасные или неопределенные запросы по-прежнему поступают к человеку.

Отклоняет следующий вызов инструмента после настраиваемой серии последовательных идентичных вызовов с одинаковыми аргументами.

Защита разрешений на автоматическое одобрение: средний уровень между записью в рабочую область и полным доступом к опасностям — автоматически разрешает безопасные операции внутри доверенных каталогов, всегда запрашивает у человека деструктивные операции, с 11 переключателями на каждую категорию и журналом аудита.

Утверждения «Разрешить эту задачу» с пошаговой областью действия: автоматически разрешают соответствующие эскалации «опасность-полный доступ» только для текущей задачи, а затем истекают.

Статический предустановленный аудит безопасности для пакетов плагинов: сценарии жизненного цикла, динамическое выполнение, комбинации кражи учетных данных и опасности уровня исправлений, с нулевыми зависимостями и анализом tar в памяти.

Сканирует навыки и конфигурации MCP на предмет быстрого внедрения, гомоглифов, скрытого Unicode, опасной оболочки и утечек учетных данных.

Автоматизированная проверка утверждения: автоматическое одобрение инструментов, доступных только для чтения, автоматическое отклонение опасных команд, механизм политики закрытия при сбое.

Автоматическое редактирование секретов в результатах инструмента: маскирует ключи API, токены, JWT, закрытые ключи и настроенные секреты до того, как модель их увидит.

Проверяет локальный источник плагинов, npm и GitHub перед установкой, блокирует настроенные вызовы инструментов с высоким уровнем риска во время выполнения, проверяет секретные шаблоны вывода и записывает локальные журналы аудита с цепочкой HMAC.

Необратимая защита секретной очистки: перезаписывает ключи доступа, токены-носители и блоки секретных ключей в заполнители `[УДАЛЕНО:<категория>]`, прежде чем они попадут в журнал сеанса и модель.

Шлюз перехвата деструктивных команд для dsh: анализирует семантику оболочки, оценивает риск по 41 встроенному правилу и удерживает необратимые команды стиля rm -rf, git reset --hard и git push --force на шлюзе подтверждения.

Строка сопоставляет входные аргументы вызова инструмента, блокирует опасные вызовы инструментов (запретить) или разрешает их с помощью встроенного предупреждения (предупреждение), а также предоставляет полную панель управления правилами.

Аудит гигиены учетных данных группы агентов только для чтения: разрешения для файлов учетных данных, встроенные учетные данные в удаленные устройства git (маскированные в выходных данных) и счетчики литералов токена поставщика; нулевая зависимость и детерминированность.

Инструментальная среда для сканирования исходного кода на основе искусственного интеллекта: 5 инструментов моделирования (запуск/поиск/статус/отчет/список), а также веб-интерфейс /hawkeye и отчеты об уязвимостях JSON/Markdown/HTML; Плагин Cordis с нулевой зависимостью, устанавливаемый как предустановка агента или пакет npm.

Добавляет страницу настроек и интерфейс командной строки, который статически сканирует установленные плагины DeepSeek Harness на предмет возможностей, буквальных пунктов назначения, сценариев установки и подсказок, а затем отображает вердикт, который вы можете подтвердить.

Добавляет проверки политики опасных операций, редактирование выходных данных и рабочий процесс проверки безопасности.

Повторно проверяет JWT Cloudflare Access в источнике DSH, чтобы настройки, учетные данные, управление предустановками агента и обнаружение модели работали с удаленным именем хоста.

Поддержка кроссплатформенной песочницы Microsoft.

Динамический аудит CVE/цепочки поставок для зависимостей собственных проектов вашего рабочего пространства (npm/pip/go), поддерживаемый OSV.dev, с помощью инструмента `cve_audit` плюс дополнительное автоматическое повторное сканирование при изменении файла блокировки.

Детерминированная проверка безопасности кода: более 40 правил, обнаружение секретной энтропии, поэтапная проверка различий, экспорт SARIF, базовая приемка, инвентаризация зависимостей SBOM-lite и самопроверка работоспособности.

Шлюз аутентификации на транспортном уровне для веб-интерфейса DeepSeek Harness с сеансами на стороне сервера, файлами cookie HttpOnly, регулированием входа в систему на основе IP и CLI для шифрования паролей.

Статический плагин и клиника для DSH: аудит перед установкой, блокировка хэш-функций после установки, поиск локальных отпечатков пальцев по теме GitHub: dsh-plugin и механическая детоксикация. Никогда не запускает целевой плагин.

Гигиена текста в виде плагина dsh: очищайте ненадежный текст, сканируйте невидимые символы, очищайте форматирование LLM и избегайте внедрения формул CSV.

Четвертый пресет разрешений для dsh: неограниченные сеансы с поддержкой графического процессора (опасный полный доступ) с одобрением пользователя для каждой операции на запись за пределами рабочей области или в защищенные пути (.git/**, .env*); реализован исключительно как пакет поверх официальных инструментов / крючка запроса предварительного выполнения, без каких-либо основных изменений.

Предварительно установленный сканер «подозрительных» цепочек поставок для плагинов DSH: AST (JS-X-Ray) + деобфускация + эвристика регулярных выражений, ненулевые выходы при выводах для шлюзования CI.

Шлюз разрешений DSH: единый самодостаточный, детерминированный, закрывающийся при сбое шлюз, охватывающий жесткое запрещение P0 -> предоставление сеанса P1 -> цепочку статических правил P2 (разрешить/запретить) -> дополнительный семантический классификатор P3 LLM -> запрос P4 с командой белый список/черный список.

Плагин «dsh-file-shield» для DeepSeek Harness: Blocks an agent from reading, searching, writing, or editing chosen files and directories, keeping their contents out of the conversation — including sensitive-word files whose text can make later provider requests fail with a 400. Rules are picked from a file/directory browser on the plugin page.

Плагин «KISS_Law-DSH» для DeepSeek Harness: English edition of Weiwen's Law (KISS's Law): the first and only domain-agnostic white-box causal adjudication middleware for AI agents. Unlike domain-specific causal-inference tooling (statistics/economics/ML) or evidence-gated agent firewalls, it adjudicates *every* tool call along a deterministic structural causal chain (R->S->D->H->M) before execution - across any domain, with no training or per-domain tuning. It blocks destructive and credential-file operations, escalates repeated boundary violations, cuts faulting links until verified-fixed, and gives risk verdicts on un-auditable execution; runs fully local with zero API cost.

Надежная проверка партии и принятие мер безопасности в отношении побочных эффектов инструмента DeepSeek Harness.

Жестко останавливает дальнейшие вызовы инструментов после достижения настраиваемого бюджета на сеанс.

Пакет управления агентами: фильтрация инструментов на основе политик (разрешить/запретить/запросить с подстановочными знаками и приоритетами), структурированный журнал аудита JSONL и квоты токенов для каждого агента по счетчику токенов хоста с состоянием в $DSH_HOME/gov.

Шлюз безопасности при установке плагинов DSH: антивирусное сканирование установочных сценариев, разрешений, секретов и сетевых обратных вызовов в локальных каталогах или архивах npm, возвращающее вердикт BLOCK/WARN/PASS перед «добавлением плагина dsh».

Использует изолированную проверку LLM для утверждения или отклонения запросов на разрешения песочницы DSH.

Режим разрешений между записью в рабочее пространство и полным доступом: команды оболочки проверяются детерминированными правилами и проверкой субагента; необратимые действия или действия на уровне системы требуют явного одобрения.

Режим разрешений автоматической проверки в стиле Кодекса: добавляет настройку автоматической проверки, которая автоматически утверждает безопасные эскалации в песочнице, запрашивает рискованные или неоднозначные операции и отклоняет важные неподтвержденные операции.

Инструмент Semgrep SAST для DeepSeek Harness с областью действия в пределах рабочей области, управляемой средой выполнения Windows x64, структурированными ограниченными результатами, управлением отменой и тайм-аутом, а также эскалацией прав песочницы с одобрением пользователя. Устанавливается из npm как @aaub-software/dsh-semgrep-sast.

Статическая защита и защита во время выполнения для dsh: сканирование на основе правил на наличие вредоносного кода, внедрение подсказок и нерациональная трата токенов, перехват вызовов опасных инструментов во время выполнения, команда /scan, инструмент plug_scan, веб-панель и список разрешений.

Шлюз записи обязательств: правила, созданные оператором, применяются до запуска вызова инструмента — детерминированный уровень защиты плюс уровень LLM-судьи, по умолчанию закрывающийся при сбое, каждый блок записывается в журнал противоречий.

Проверки цепочки поставок перед установкой плагинов DeepSeek Harness: убедитесь, что архив, который вы собираетесь установить, соответствует исходному коду, который вы прочитали, прежде чем запускать какой-либо код.

Плагин политик, который контролирует kubectl по контексту kubeconfig: безусловно запрещает необратимые операции вне локальных кластеров, а для остальных запрашивает подтверждение.

Режим ручного утверждения («Ручной режим» / «Режим запроса»).

Блокирует агентам чтение или запись конфиденциальных файлов (.env, учетные данные, материалы ключа), маскирует утечку секретных значений в результатах инструмента, ведет журнал аудита и предоставляет безопасные инструменты проверки sg_*, которые никогда не печатают необработанные значения.

Ограждения честности в конвейере инструментов: не позволяют агенту кодирования ослаблять тесты, поглощать ошибки, заглушать проверки типов или удалять тесты через оболочку — девять детерминированных перехватчиков, каждый из которых подкреплен тестом на установленный отказ, доказывающим, что защита может потерпеть неудачу.

Плагин-аудитор DSH, доступный только для чтения, со статическим сканированием, обзором модели текущего сеанса и шлюзами подтверждения.

Автономный классификатор разрешений для автоматической настройки: правила разрешения/запрета на уровне инструмента, семантический судья LLM и контрольные точки git для автоматических сеансов.

Глобальное быстрое внедрение/защита от контекстных вирусов для DeepSeek Harness: сканирует аргументы инструмента, результаты инструмента, сообщения предварительной модели и исходящий поток; режимы карантина/блокировки/мониторинга, канареечная ловушка и расширяемая библиотека сигнатур на диске с возможностью обучения/импорта/экспорта.

Серверная часть HashiCorp Vault для соединения учетных данных: KV v2/v1, машинная аутентификация AppRole, чтение для каждой операции, поэтому вращение не требует перезапуска, а также запись сравнения и замены.

Шлюз безопасности во время выполнения в конвейере инструмента: запрещает вызовы, присваивающие имена хостам за пределами исходящего списка разрешений, удаляет учетные данные из результатов по каноническому значению, а не только из отображаемого контента, и добавляет каждое решение в журнал аудита JSONL; поставляется в режиме «только монитор».

Шлюз входа для веб-интерфейса dsh: неаутентифицированные посетители видят страницу входа/регистрации, а первый зарегистрированный пользователь становится администратором; включает управление пользователями и ролями, а также журналы входов и аудита доступа.

Канал Feishu (Lark), ориентированный на безопасность, для DeepSeek Harness: доступ к удаленным агентам из разрешенного списка с путями в пределах рабочей области, проверки символических ссылок, утверждения на основе рисков, изоляция сеансов, отредактированные журналы и ограниченные очереди сообщений.

Парольный шлюз локальной сети для веб-интерфейса: телефоны и планшеты в одной сети входят в систему с общим ключом и видят одни и те же сеансы в режиме реального времени со встроенным полиполом randomUUID для простого HTTP-источника.

Одноразовый переключатель полного доступа для DeepSeek Harness: новые сеансы (рабочие области и разговоры) начинаются с полного опасного доступа и пропускают подтверждение полного доступа для каждого сеанса; устанавливается как пакет dsh или через сценарии исправлений.

Плагин «dsh-agent-loop-guard» для DeepSeek Harness: Fail-closed runtime tool-call loop guard for DeepSeek Harness.

Плагин «dsh-privacy-guard» для DeepSeek Harness: Control panel for a local credential-redaction gateway in DeepSeek Harness: gateway and model health, audit metrics, a dry-run leak tester, an exemption whitelist, encrypted key management, credential-protected model entries and deployment controls.

Автоматическая проверка второй модели в цепочке отвечающих на утверждение: субагент рецензента, доступный только для чтения, возвращает структурированные вердикты о разрешении/отказе с указанием причин, по умолчанию закрывающиеся при сбое.

Плагин «dsh-credential-manager» для DeepSeek Harness: Named user credentials the model uses by reference: values are entered on a Settings → Credentials page and injected into each shell execution as DSH_CM_* variables instead of being printed into the transcript, with credential_read as the documented last resort.

Плагин «dsh-allow» для DeepSeek Harness: Filesystem permissions for shell calls, granted per path and capability rather than per command name. The command line is parsed for the read, write, create, delete and execute effects it needs, a capability it lacks raises the approval card instead of a flat refusal, and the same rules are compiled into the macOS Seatbelt profile the process, its children and the code its arguments never showed all run under. An Approvals tab in the conversation reads the audit log back and shows which rule, automatic reviewer or person answered each call.

Плагин «dsh-approval-explain» для DeepSeek Harness: Adds an Explain button to the approval card: one model call returns exactly three lines reading the pending operation, covering what it does, which files or system state it reads, writes, modifies or executes, and a risky/attention/safe verdict with a one-sentence justification. It also renders the detail area for `write` and `edit` calls, which the shipped renderer leaves blank because it only reads a `command` field.

Плагин «euthyna» для DeepSeek Harness: Security-audit facts AI coding agents cannot compute, plus a verdict gate: euthyna history attributes deleted lines to commits and flags those from security fixes (--origins finds the first introducer), euthyna coverage reports which changed symbols no test ever invoked, and euthyna gate checks each finding against six gates, downgrading any without evidence to an observation.

Защита плагина DSH Desktop: при загрузке плагина происходит самовосстановление, происходит сбой и выполняется 8 основных проверок безопасности (2 опционально: глубокая настройка и дым), уведомляющих вас об изменении плагина. Доступен некоммерческий источник.

Фоновый аудитор безопасности для DeepSeek Harness: сканирует вывод агентов на предмет утечки секретов, проверяет безопасность команд перед выполнением и отображает обнаруженные проблемы в постоянном журнале аудита.

Уровень контракта задачи и сертификации завершения: восемь перехватчиков жизненного цикла хранят неизменяемый реестр требований, восстанавливают ограниченный контракт после /compact или возобновления и блокируют неподдерживаемые заявки на завершение с привязкой доказательств при закрытии при сбое.

Панель различий при изменении файлов со сводкой о сохранении/отмене, а также одобрение опасных команд и красная подсветка для bash/pwsh.

Защита инструментов, которая перемещает выданные агентом цели «rm» в корзину macOS вместо удаления, с помощью лексера с поддержкой оболочки, охватывающего составные и замаскированные команды; переключатель в «Настройки» → «Основные» отключает его.

Аудитор ценности плагина: проверка перед установкой (сканирование исходного кода + оценка LLM) и аудит установленных пакетов после установки с напоминаниями о повторной проверке при смене модели.

Защита DSH во время выполнения: ограничение импортов загрузчика, проверка HTTP-заголовка Host и патч исходного кода для устранения побегов из VM sandbox (4 CVE). С поддержкой AI.

Испортит агент, когда результаты инструмента содержат ненадежный контент, блокирует последующие привилегированные вызовы и отклоняет учетные данные, передаваемые сетевым инструментам в каждом режиме.

Аудит с нулевым прерыванием и блокировка предохранителей для DeepSeek Harness: тихо записывает каждый вызов инструмента с детерминированной оценкой риска, накопительными бонусами за риск, разбивкой по уровням риска и очисткой на основе удержания; блокирует необратимые катастрофы (удаление защищенного пути, очистка диска, принудительное нажатие на защищенные ветки/ссылки, эксфильтрация учетных данных) и отображает отредактированный отчет об операции /защиты от рисков с помощью --since filtering.

Изолированная от контейнера серверная часть для шва `ctx.codeRuntime`: каждая программа в режиме кода запускается в новом контейнере без сети, с корневой файловой системой только для чтения, удаленными возможностями и ограничениями памяти, ЦП и pid, поддерживаемыми ядром.

Локальный защитный механизм для вызовов инструментов в DSH: перед выполнением блокирует фиксированный список высокорисковых шаблонов команд оболочки и попытки чтения файлов с учётными данными, ведёт для каждого сеанса связанный хешами журнал аудита JSONL и поддерживает необязательный внешний Gateway для централизованного применения политик.

Проверяет каждый HTTP-маршрут плагина в профиле на наличие границы доверия браузера: маршруты плагинов выигрывают у шлюза /api при выборе веб-сервером самого длинного совпадающего префикса, поэтому не проходят его проверку доверия и должны самостоятельно закреплять Host на loopback. Для каждого маршрута выставляет PASS/WARN/FAIL и отклоняет защиту, которая сравнивает Origin с Host, не закрепляя его (такую защиту можно обойти через DNS rebinding). Поставляется как CLI для CI и инструмент route_fence_scan.

Защита DSH во время выполнения: ограничение импортов загрузчика, проверка HTTP-заголовка Host и патч исходного кода для устранения побегов из VM sandbox (4 CVE). С поддержкой AI.

Плагин «dsh-totp» для DeepSeek Harness: TOTP-only access control for personal DeepSeek Harness Web instances, with in-app QR enrollment, single-use recovery codes, live protection controls and lock-all revocation of page access.

Плагин «dsh-workspace-tools» для DeepSeek Harness: Applies per-workspace default Agent and permission presets to new root sessions automatically (Settings - Workspace defaults), using only official extension points.

Плагин «dsh-risk-gate» для DeepSeek Harness: Semantic risk grading and progressive authorization: classifies tool calls into safe/risky/redline, asks before irreversible actions, auto-allows only approved-and-succeeded signatures.

Плагин «dsh-permission-matrix» для DeepSeek Harness: Turns DSH permissions into 9 selectable presets (3 sandbox modes x 4 approval tiers), with rule plus LLM risk classification across four risk levels, password-gated approval for high-risk operations, and a JSONL audit log.

Плагин «dsh-sandbox-arg-guard» для DeepSeek Harness: Keeps a redundant sandbox-escalation argument from failing a tool call. Escalating tools (pwsh, bash, write, edit) advertise the full sandbox_permissions enum, but DSH only accepts a level strictly wider than the one already in effect — a check its own source calls 'deliberately not a schema constraint'. A model that reflexively passes the argument therefore picks the level it is already at and the call dies before running with 'sandbox escalation to "workspace-write" is not strictly wider than this call's current "workspace-write" mode', costing some models a whole turn of retries. This plugin registers one tools/execute waterfall listener and, only on that documented rejection and only when the arguments really carried an escalation field, re-issues the identical call once without it. Safe by DSH's own documentation: the rejection precedes any execution ('nothing has run'), and the corrected call cannot match again, so the retry is loop-free. Reproduced and verified end to end — before: isError true, the command never ran; after: the command's real output, isError false, one tool/call and one tool/result. Zero dependencies.

Плагин «dsh-auto-pass» для DeepSeek Harness: A continuation of simon300000/dsh-auto: the Auto Approve permission preset for the DSH Web UI reviews each approval with one single-shot model call instead of a reviewer subagent, auto-approves only the actions that pass and hands the rest to human approval, and remembers confirmed decisions as project- and global-scope allow/deny lists, with an approval timeline in the right sidebar.

Плагин «dsh-fs-allowlist» для DeepSeek Harness: Approval-free writes into whitelisted directories — wraps the filesystem fence for write/edit tools and auto-answers bash sandbox escalations that touch whitelisted paths, with a settings GUI.

Плагин «dsh-jumpserver» для DeepSeek Harness: Query and manage JumpServer through conversation: assets, users, accounts, permissions, sessions, command audit logs, command filters, and RBAC roles, authenticated with an AccessKeyID/AccessKeySecret pair (HTTP Signature).

Плагин «dsh-almazom-approve-escalate» для DeepSeek Harness: One-click Approve & escalate on the approval card: answers the pending request and switches the live session to a permission preset.

Плагин «dsh-tm-guard» для DeepSeek Harness: Zero-intervention permission gate for DSH agents on macOS: auto-allows local writes made reversible by git or Time Machine, blocks network, package installs, process control and sensitive-path reads, with full audit logs.

Плагин «dsh-jev-guard» для DeepSeek Harness: Pre-execution safety valve for DSH that judges with TypeSafe Jev: it hooks tools/pre-execute and decides every bash/pwsh call by first applying offline static rules, then by asking the Jev model — the System One model from TypeSafe, which returns a structured decision instead of prose — one yes-no question ("will this command irreversibly delete or overwrite real data?"), turning the answer into allow, revise, block or escalate; revise hands the model a safer rewrite, escalate offers a one-shot human token; exhausted credit or a missing API key degrades loudly instead of failing silent, and a missing key is requested in the conversation itself (`guard key set`, read from stdin); every verdict is appended to a shared audit log and the text people read is bilingual zh-CN/en.

Автоматизация утверждения с учетом рисков для DeepSeek Harness: Flash предварительно классифицирует, является ли запись/команда необратимой — безопасные операции утверждаются автоматически, опасные передаются на одобрение человека (отказоустойчивость). Проверка различий в файлах с возможностью возврата в один клик и создание снимков на уровне сеанса (версия 0.5.1: точные снимки посредством отслеживания параметров вызова инструмента, включая случаи одобрения человеком).

Плагин «dsh-fs-allowlist» для DeepSeek Harness: Approval-free writes into whitelisted directories — wraps the filesystem fence for write/edit tools and auto-answers bash sandbox escalations that touch whitelisted paths, with a settings GUI.

Плагин «dsh-keychain-credentials» для DeepSeek Harness: Pure JavaScript macOS Keychain credentials provider for DeepSeek Harness, replacing plaintext .credentials.yaml storage and fully supporting both refs and records without native builds, signing, or Xcode.

Плагин «dsh-key-panel» для DeepSeek Harness: A secret store for DSH Desktop that keeps API keys in one place and injects them into the assistant's shell as $DSH_* variables.

Плагин «dsh-plugins#dsh-policy» для DeepSeek Harness: Apply configurable allow, deny, and approval rules to dsh tool calls, including shell command patterns.