前言¶
DeepSeek Harness（DSH）的插件生态里，大量插件依赖 LLM 来审核智能体行为。这类审查本质上依赖概率模型，无法保证结果可验证、可追溯，也不适合作为决策链的最终防线。尤其是对那些必须“非 LLM”把关的场景，如果用 LLM 做拦截，就违背了安全逻辑。
dsh-trust-suite 提供了一套确定性信任链：通过九个插件覆盖智能体会话中可能出错的八个通道（读、写、做、调用、遗留、流出、被告知、运行/遗忘），并在每个通道上使用确定性规则引擎，而非 LLM。信任链本身不调用 LLM，所有决策都可验证、可审计。
插件概览¶
插件名称为 dsh-trust-suite，由维护者 zhengqiuyang 在 GitHub 上维护，分类为 admin-security，当前星标数为 0。
插件家族包含以下九个守卫：
| 插件 | 监控通道 | 功能说明 |
|---|---|---|
| dsh-read-guard | 读取 | 在 tools/post-execute 水流中拦截提示注入：文件读取、仓库搜索、网络抓取在进入模型上下文前被扫描，可隔离、阻断或放行。底层引擎为 repo-inject-guard |
| dsh-pr-gate | 写入 | 确定性写入门：作用域策略在写入触碰磁盘前拒绝越权写入，残留规则扫描写入文本，内容哈希的 JSONL 账本记录所有决策。CI 门控移至写入时刻。底层引擎为 agent-pr-gate |
| dsh-attest-chain | 所做之事 | 签署的保管链：每个被监控工具结果追加一条基于哈希链、ed25519 签名的记录。篡改一行会断链，删除尾部会断已发布头部 |
| dsh-mcp-test | 可调用 | 工具面快照与漂移门：完整可见注册表（第一方、插件、MCP 工具）基线化并做差异比对；静默改变模型可见面的升级会触发告警 |
| dsh-janitor | 遗留 | 会话残留（计划文档、临时脚本）的确定性清理计划：扫描 → 附证据的裁决 → 审核。janitor 不是智能体；v0.1 不执行删除 |
| dsh-egress-gate | 数据流出 | 网络抓取/搜索的目标允许列表，在 tools/pre-execute 中执行前拒绝；shell 抓取动词（可选开启）也在这一阶段被观察。这是数据流出防御的另一半：内容扫描守入口，这里守出口 |
| dsh-prompt-drift | 被告知 | 系统提示面漂移门：任何插件/预设贡献的每一节都会被哈希并基线化；提示的静默重写会触发告警 |
| dsh-freeze | 运行状态 | 封装锁定：对配置的依赖、捆绑顺序、锁文件哈希、补丁层做指纹化；启动漂移的组合会警告，或在使用 strict 模式（CI 的 --frozen 态）时失败 |
| dsh-compaction-guard | 遗忘 | 压缩完整性：从被压缩范围提取指令行并与摘要验证（逐字或实质）；任何智能体静默遗忘的约束都会被报告并记入账本 |
八个通道中每个都由一个确定性规则引擎把关，每个引擎都有配套的测试套件、Windows+Linux CI 和明确的“终止条件”。
安装与启用¶
从 npm 安装整个家族（需 DSH v0.3.0+）：
dsh plugin --profile web add dsh-trust-suite
若更偏好 git 检出，可使用安装脚本（web profile）：
curl -fsSL https://raw.githubusercontent.com/zhengqiuyang/dsh-trust-suite/main/install.sh | bash -s -- web
也可以单独添加各个插件（无需 allowBuilds，均为预构建）：
dsh plugin --profile web add github:zhengqiuyang/dsh-read-guard
dsh plugin --profile web add github:zhengqiuyang/dsh-pr-gate
dsh plugin --profile web add github:zhengqiuyang/dsh-attest-chain
dsh plugin --profile web add github:zhengqiuyang/dsh-mcp-test
dsh plugin --profile web add github:zhengqiuyang/dsh-janitor
dsh plugin --profile web add github:zhengqiuyang/dsh-egress-gate
dsh plugin --profile web add github:zhengqiuyang/dsh-prompt-drift
dsh plugin --profile web add github:zhengqiuyang/dsh-freeze
每个插件都自带 cordis.patch.yml 配置，不同管道阶段之间互不干扰：read-guard 观察结果、pr-gate 门控写入、attest 记录一切、mcp-test 监控注册表、egress-gate 检查目标、prompt-drift 监控组装后的提示、freeze 锁定组合、janitor 按需扫描。
典型用法¶
以一个基本信任链为例，在 DSH 配置中启用 read-guard 和 pr-gate：
dsh plugin --profile web add github:zhengqiuyang/dsh-read-guard
dsh plugin --profile web add github:zhengqiuyang/dsh-pr-gate
read-guard 会在每次文件读取、仓库搜索、网络抓取后进入 tools/post-execute 流水线，根据配置的拦截规则决定是否放行；pr-gate 在写入前检查作用域策略与残留规则，并将决策写入内容哈希的 JSONL 账本。
若需要审计与漂移防护，可继续添加：
dsh plugin --profile web add github:zhengqiuyang/dsh-attest-chain
dsh plugin --profile web add github:zhengqiuyang/dsh-prompt-drift
attest-chain 会为每次工具调用生成带 ed25519 签名的哈希链记录，prompt-drift 则持续比对系统提示各节的哈希基线。
适用场景与注意¶
- 适合需要可验证、可审计决策链的场景：企业级智能体、合规性要求高的任务编排。
- 适合对 LLM 不可信的环节：读、写、调用、留存、流出、提示修改等通道必须使用确定性规则。
- 插件以当前 DSH 进程权限运行，请在使用前检查源码与许可证。
- 信任链家族旨在提供确定性信任层，若 DSH 自身提供第一方确定性信任层，家族将冻结并记录事后分析。
总结¶
dsh-trust-suite 通过九个插件，将智能体会话的八个风险通道纳入确定性规则引擎管理，形成一条不依赖 LLM 的信任链。每个守卫都有清晰的边界、配套测试与 CI，适合需要严格可控、可追溯的智能体系统。
- 插件目录页：https://www.skillhub.cn/plugins/zhengqiuyang/dsh-trust-suite
- GitHub 仓库：https://github.com/zhengqiuyang/dsh-trust-suite
