dsh-sensitive-guard：把密鑰擋在模型上下文之外

dsh-sensitive-guard 是 DeepSeek Harness 插件，由 wangxy496 維護，分類 admin-security，MIT 許可，當前版本 0.5.0，要求 dsh 0.2.0 以上、Node 18 以上。它在用戶輸入和工具結果進入上下文之前把密鑰、令牌、密碼替換爲 <SG_xxxxxxxxxxxx> 佔位符，代號前綴來自 HMAC-SHA256(vault.key, 明文)，明文以 AES-256-GCM 加密保存在本地保管庫，需要時點鎖揭示或通過 sensitive_guard_export 導出爲 0600 文件供命令行使用。插件通過 agent/pre-step、tools/post-execute 兩個鉤子攔截，llm/stream 做流式兜底清洗，內置 221 條 gitleaks 廠商規則並對結構化 JSON 字段名做判定；配置通過 rules.json 生效，提供設置頁、暫停/關閉、規則開關等操作。文章同時寫明已知邊界：膠囊只覆蓋用戶消息、不做出口改寫、歷史會話不受保護、開放網段會暴露完整明文。