dsh-capsule：为第三方 DeepSeek Harness 插件提供 Linux 沙箱隔离

dsh-capsule 是一个基于 Bubblewrap 的安全插件，旨在为 DeepSeek Harness 提供系统级隔离能力。它通过创建独立的 Linux 进程，将第三方插件与宿主环境物理隔离，防止恶意代码破坏系统。该插件支持完整性验证、工具注册及逐次调用隔离，并允许通过 `workspace-read` 权限有限制地访问宿主文件。目前 v0.1 版本主要支持 Linux 系统，仅提供文件读取权限，不包含网络、写入或子进程执行能力。