dsh-agent-guard：在工具执行前拦截凭据泄露与高危主机操作

dsh-agent-guard 是 lyc0110 维护的 DSH admin-security 插件，挂在 tools/pre-execute，在工具真正执行前用正则拦截可机械判定的风险：任意工具参数中的 API Key 等凭据形态，以及 Shell 里停服务、提权、改 HKLM 注册表、防火墙/DNS、删驱动等命令。规则命中返回 ask 由用户审批，凭据片段打码展示。安装通过 install_bundle 本地路径或 pnpm 加 Git 依赖并写入 dsh.profile.bundles，装后须重启 DSH；规则在 lib/index.js，可用 node lib/index.js 跑 11 个用例自检。