ds-bot

检测报告

能力清单

• 可执行外部程序spawns-processes高关注1 处命中
  • src/host/dsh-update.js:9import { spawn } from 'node:child_process'
  • 看它调用哪些程序。调用本机已有的工具是常见做法。
• 写入文件writes-files需留意47 处命中
  • src/host/agents.js:157await ctx.sessionTitle.rename(agent_.session, clean.slice(0, AGENT_SESSION_TITLE_MAX))
  • src/host/chat-index.js:77await mkdir(home, { recursive: true })
  • src/host/chat-index.js:85if (fresh) await unlink(indexPath).catch(() => {})
  • src/host/diagnostics.js:148await mkdir(dirname(logPath), { recursive: true })
  • 看写入位置。写自己的配置目录是正常的，写系统目录不是。
• 发起网络请求network需留意8 处命中
  • src/host/channel.js:347ctx.effect(() => ctx.connection.fetch.register({
  • src/host/steward.js:114'- Where the work stands: what is done, and what is under way and how far it got.',
  • src/host/update.js:66const response = await fetch(url, { headers: { accept: 'application/json', ...headers }, signal: AbortSignal.timeout(FET…
  • src/host/usage.js:358for (let index = got.length - 1; index >= 0; index -= 1) {
  • 看请求发往哪些域名。发往作者自己的后端是常见做法。
• 可终止进程kills-processes需留意1 处命中
  • src/host/home-lock.js:16process.kill(pid, 0)
  • 看它终止的是自己启动的进程，还是按名字匹配到的任意进程。
• 读取文件reads-files一般21 处命中
  • src/host/diagnostics.js:94return JSON.parse(readFileSync(fileURLToPath(new URL('../../package.json', import.meta.url)), 'utf8')).version
  • src/host/diagnostics.js:106const manifest = JSON.parse(readFileSync(join(dir, 'package.json'), 'utf8'))
  • src/host/diagnostics.js:134? readFile(logPath, 'utf8').then(text => text.split('\n').filter(Boolean).slice(-KEEP).flatMap((line) => {
  • src/host/dsh-update.js:18const PKG = JSON.parse(readFileSync(new URL('../../package.json', import.meta.url), 'utf8'))
  • 读文件是绝大多数插件的正常工作方式，本身不构成顾虑。
• 动态加载模块dynamic-import一般4 处命中
  • src/host/capabilities.js:244const exports = await loader.import(MCP_CLIENT)
  • src/host/chat-index.js:76({ DatabaseSync } = await import('node:sqlite'))
  • src/host/connectors.js:84const exports = await loader.import(MCP_CLIENT)
  • src/host/usage.js:241({ DatabaseSync } = await import('node:sqlite'))
  • 动态导入本身无害，但会让依赖关系难以静态审阅。
• 读取环境变量reads-env一般2 处命中
  • index.js:51const dshHome = folders.dshHomeOf(process.env.DSH_HOME)
  • web-search.js:760const envOf = ctx => name => ctx.get('launchEnvironment')?.get(name)?.value ?? process.env[name]
  • 环境变量里常混有密钥。看它是否把整个 env 都读走。
• 接触凭据或密钥credentials一般2 处命中
  • web-search.js:263export const AUTH_STYLES = { bearer, 'x-api-key': key => ({ 'x-api-key': key }), 'api-key': key => ({ 'api-key': key }) …
  • 看它读取哪些凭据、发往哪里。用于登录自己的服务是正常的。
• 文中出现远程脚本地址remote-url-reference一般1 处命中
  • web-search.js:73'vercel-ai-gateway': ['anthropic-messages', 'https://ai-gateway.vercel.sh', 'AI_GATEWAY_API_KEY'],
  • 只是文本里出现了远程脚本地址，没有看到加载它的调用。多半是文档或注释；若确实可疑，搜一下这个地址在包里的其他出现位置。

这份报告的口径

扫描读的是包里的源码，全程不执行第三方代码。 本次读了 40 个文件，扫描于 2026-10-16。 命中次数只说明源码里出现过这类调用，不说明行为好坏——一个插件读写文件 500 次和 1 次 都会被记为「读取文件」。这是能力清单，不是信任评分，也不是安全结论： 没扫出来的能力可能只是写法没被规则覆盖。

可信度

• 0没有可扣分的项