企业-底层技术断供隐患排查：用 Skill 梳理技术依赖与制裁风险
企业-底层技术断供隐患排查（@user_d277dc19/technology-supply-chain-security-auditor，v1.0.4）是 SkillHub 上的 professional 类社区 Skill，用于在对话中扫描核心零部件技术依赖、评估国产替代与备胎计划、推演断供情景并关注出口管制影响。本文基于官方页面与安装文档说明坐标、激活场景、skillhub CLI 安装路径（含 Cursor/Claude Code/Codex 目录差异）及典型提问方式，并提醒不能替代正式合规认定。
閱讀全文dsh-tool-vet：装第三方插件之前，先看它会动什么
dsh-tool-vet（@deepwhale-cn/dsh-tool-vet）由 feely0208 维护，面向 admin-security 场景：在安装第三方插件或包之前，对本地目录做静态审查，枚举 install 钩子、凭据路径、混淆执行、出网、外部命令与非 registry 依赖等六类能力，并给出文件行号与规则依据。不做沙箱拦截、不做运行时审批、不替代 dsh-dep-audit。安装：dsh plugin --profile web add @deepwhale-cn/dsh-tool-vet；用法含 --root、--demo、--list-rules、--html。
閱讀全文自創技能安全檢測技能：第三方 Skill 八大維度安全掃描
SkillHub 社區技能「自創技能安全檢測技能」（@user_c64d3056/sin129，v1.0.0）面向第三方 Skill，從惡意代碼、高危調用、硬編碼密鑰、Prompt 注入、權限越權、依賴安全、數據合規與源碼篡改等八個維度掃描，輸出風險評分、等級、檢測報告與審覈建議。無需 API Key。文章說明定位、八維能力、skillhub CLI 安裝到 Cursor/Claude Code 等 skills 目錄的步驟，以及上線前審覈與定期巡檢等場景；安裝與路徑以 SkillHub 官方文檔爲準。
閱讀全文dsh-dep-audit：依賴樹投毒與供應鏈風險檢查
dsh-dep-audit（@deepwhale-cn/dsh-dep-audit）是 feely0208 維護的 DSH admin-security 插件，掃描當前目錄依賴 manifest 與 lock，標出 install/postinstall 腳本、無 lockfile、* / latest、git/http 來源及無上界的 >= 約束等供應鏈風險面。支持 dsh plugin 安裝與 npx 純 CLI，可 --demo 與 --html 出報告。不查 CVE、不做 typosquat；帶 install 腳本的常見包有白名單，命中項需人工確認。
閱讀全文skill-scanner：安裝前本地靜態掃描 Agent Skill 安全風險
skill-scanner 是 SkillHub 社區 Skill（@user_87fe1a85/gwchen17，v1.0.0），由騰訊朱雀 Lab A.I.G（AI-Infra-Guard）支撐，在安裝或使用任意 Agent Skill 前做 100% 本地靜態安全分析，文件與憑據不外傳。無需 API Key，兼容 Cursor、Claude Code、Windsurf、OpenClaw 等。文章說明核心能力、skillhub CLI 安裝路徑與對話觸發語，並區分其與日常開發調試類請求的邊界。
閱讀全文supply-chain-risk-auditor：用腳本度量依賴供應鏈風險
supply-chain-risk-auditor 是 Trail of Bits skills 市場中的 Agent Skill，針對 npm、PyPI、Go 項目的 manifest 與鎖文件生成供應鏈風險報告。通過 collect.py 與 render.py 採集版本匹配的公告、傳遞依賴、上游歸檔、npm 發佈者集中度及安裝腳本等指標，Agent 負責優先級與升級建議。文章說明安裝方式、工作流、gh 認證影響及適用邊界，強調 unassessable 與覆蓋範圍表的讀法，避免手工估數替代腳本測量。
閱讀全文dsh-plugin-guard：DeepSeek Harness 插件安全體檢
`dsh-plugin-guard` 是 DeepSeek Harness 的插件安全體檢工具，旨在識別第三方插件風險。該工具通過靜態代碼掃描、依賴審查、AI 在線審計及 SafeSkill 平臺掃描，對插件進行分級評估。它能檢測危險 API、密鑰泄露、權限聲明不匹配及供應鏈風險，並以綠/黃/紅面板展示結果。插件支持版本監控與告警，幫助開發者在引入插件前或定期巡檢時識別潛在安全威脅。
閱讀全文dsh-attestation-proof：DeepSeek Harness 的離線確定性發佈證明
dsh-attestation-proof 是 DeepSeek Harness（DSH）的一款插件，用於生成離線、確定性的發佈證明。該插件通過驗證 manifest 與本地主體及固定密鑰的一致性，填補了供應鏈安全驗證的空白。其核心功能包括離線驗證、支持 DSSE/in-toto 語句、安全報告生成以及嚴格的文件系統限制。它提供 inspect 和 verify 兩個命令，僅輸出包含內容的 JSON 判決，不包含敏感信息，適合在無網環境下進行安全審計和構建隔離場景。
閱讀全文DeepSeek Harness 插件介紹：dsh-poison-guard
DSH Harness（DSH）爲防止供應鏈投毒，提供了一個預安裝的掃描器插件 `dsh-poison-guard`。該工具通過靜態分析插件代碼，採用三層機制識別威脅：AST 分析識別危險操作與數據泄露；反混淆解碼處理常見編碼；正則啓發式匹配可疑腳本。安裝後可通過 `scan` 命令掃描插件目錄，利用退出碼輔助 CI 流程檢查。需注意其僅做靜態分析，可能存在誤報，且依賴 Harness 的沙箱配置來限制權限，無法防禦強混淆代碼。
閱讀全文dsh-provenance：在 DeepSeek Harness 插件安裝前做來源校驗
dsh-provenance 是由 Darren Tang 開發的一個 DSH 插件，旨在解決智能體插件安裝過程中的供應鏈安全風險。它通過在代碼運行前檢查待安裝壓縮包與已讀源碼的一致性，提前發現潛在問題並給出 ok、review 或 block 的判定。該工具支持檢查來源固定性、註冊表完整性、安裝鉤子、SLSA 構建來源及製品與源碼比對。它提供 CLI 和 DSH 工具兩種使用方式，支持 CI 集成，並具備安裝攔截功能，防止未經審計的插件被安裝。需要注意的是，dsh-provenance 專注於來源驗證，不執行被審計包，不驗證 Sigstore 簽名，也不進行代碼行爲掃描或運行時監控。其乾淨報
閱讀全文Eligahyu/dsh-sentinel-scanner：爲 DSH 插件做只讀安全掃描
Eligahyu/dsh-sentinel-scanner 是一個面向 DeepSeek Harness (DSH) 插件的只讀靜態安全掃描工具，旨在在代碼執行前進行供應鏈與安全風險評估。該工具通過 51 條基於 AST 啓發式規則檢測命令執行、憑據訪問、數據外傳及混淆等風險，輸出 0-100 的風險評分及安全判定，但絕不執行被掃描代碼。 它提供多種集成方式：可作爲 DSH Agent Tool 插件、獨立 CLI (`dsh-sentinel`)、GitHub Action 或 JavaScript API 使用。核心功能包括源碼、包產物及 Profile 三種掃描模式，支持 npm 包的預
閱讀全文dsh-plugin-healthcheck：裝完插件不重啓，先驗再上線
dsh-plugin-healthcheck 是 chenw2759-wq 維護的 DSH 插件健康檢查工具，歸類 admin-security。它在 Web 設置面板提供「插件檢測」，串聯 L0 靜態檢查（files 完整性、依賴聲明、高危副本、cordis 用法等）、L1 配置組合、L2 隔離試跑（子進程完整 boot，無需重啓後端）和 C8 純靜態木馬掃描。發現問題後支持一鍵修復、自動回滾（寫 home patch 禁用行，HMR 熱生效）或複製預製提示詞交給 agent。修復鐵律限定只改插件代碼與配置層，嚴禁修改 harness 源碼。MIT 許可，GitHub 14 stars。
閱讀全文