dsh-guard-sensitive-paths：DeepSeek Harness 敏感路径审批插件

DeepSeek Harness 插件 `dsh-guard-sensitive-paths` 采用插件化架构，通过注册 `tools/pre-execute` 策略拦截智能体对敏感路径的访问。该插件默认开启，优先级最高，主要拦截对 `.env`、`.git`、`.ssh` 目录及 SSH 私钥、`.pem` 证书的写/改/执行操作，以及对密钥类文件的读取操作。它支持扫描 Bash 命令文本，并在命中时强制审批。安装后零配置即生效，可防止敏感数据泄露，但无法拦截宿主级 sidecar 行为、网络出口或模型推理端点的数据传输。