ds-harness-remote

检测报告

能力清单

• 可执行外部程序spawns-processes高关注14 处命中
  • dist/acp.js:20import { spawn } from 'node:child_process';
  • …/adapters/antigravity-process.js:4import { spawn } from 'node:child_process';
  • dist/codex/app-server.js:1import { spawn } from 'node:child_process';
  • dist/control-runtime.js:2import { execFileSync } from 'node:child_process';
  • 看它调用哪些程序。调用本机已有的工具是常见做法。
• 以 shell 执行命令shell-exec高关注2 处命中
  • dist/control-runtime.js:383execFileSync(process.platform === 'win32' ? 'where' : 'which', [command], { stdio: 'ignore' });
  • dist/service.js:427execFileSync(process.platform === 'win32' ? 'where' : 'which', [command], { stdio: 'ignore' });
  • 看命令字符串是拼出来的还是写死的。拼接用户输入才是真正的风险。
• 含混淆或编码代码obfuscated-code需留意114 处命中
  • dist/client.github.js:2009terminalRemoteHint: "\u5141\u8BB8\u53D7\u4FE1\u4EFB\u7684 Remote \u8BBE\u5907\u4EE5\u6B64 Host \u7528\u6237\u8EAB\u4EFD\…
  • dist/client.github.js:2010terminalRemoteUnavailable: "\u8FDC\u7A0B\u7EC8\u7AEF\u4E0D\u53EF\u7528\u3002\u8BF7\u5728 Host \u7684 Remote \u8BBE\u7F6E…
  • dist/client.github.js:2012previewPortsHint: "\u586B\u5199\u5141\u8BB8\u8BBF\u95EE\u7684 Host \u7AEF\u53E3\uFF081024\u201365535\uFF09\uFF0C\u4EE5\u…
  • dist/client.github.js:2014developmentSaved: "\u8FDC\u7A0B\u9884\u89C8\u7AEF\u53E3\u5DF2\u4FDD\u5B58\uFF0C\u7ACB\u5373\u751F\u6548\u3002",
  • 混淆本身不是恶意，但公开源码里出现大段混淆值得问一句为什么。
• 写入文件writes-files需留意13 处命中
  • dist/identity-store.js:40await mkdir(this.directory, { recursive: true, mode: 0o700 });
  • dist/identity-store.js:159await mkdir(dirname(path), { recursive: true, mode: 0o700 });
  • dist/identity-store.js:161await writeFile(temporary, value, { encoding: 'utf8', mode, flag: 'wx' });
  • dist/identity-store.js:163await rename(temporary, path);
  • 看写入位置。写自己的配置目录是正常的，写系统目录不是。
• 发起网络请求network需留意2 处命中
  • dist/loopback-host.js:221const socket = new WebSocket(`ws://127.0.0.1:${value.port}${value.path}`, value.protocols, {
  • dist/server-connection.js:33constructor(config, identity, identities, api, connections, logger, createWebSocket = url => new WebSocket(url), rtcFact…
  • 看请求发往哪些域名。发往作者自己的后端是常见做法。
• R011 客户端可疑脚本client-side-risk需留意2 处命中
  • client.github.js: postMessage 无 origin 校验; client.js: postMessage 无 origin 校验
  • 浏览器侧代码能改你看到的界面。确认改动范围符合插件用途。
• 可终止进程kills-processes需留意1 处命中
  • …adapters/antigravity/executor.js:94this.activeProcess.kill('SIGTERM');
  • 看它终止的是自己启动的进程，还是按名字匹配到的任意进程。
• 接触凭据或密钥credentials一般38 处命中
  • dist/client-runtime.js:98await this.host.authorizeHostAsOwned(credentials.accessToken, credentials.account);
  • dist/client-runtime.js:255await this.host.authorizeHostAsOwned(credentials.accessToken, credentials.account);
  • dist/client-runtime.js:781accessToken: credentials.accessToken,
  • dist/client-runtime.js:938if (typeof value.email !== 'string' || typeof value.password !== 'string') {
  • 看它读取哪些凭据、发往哪里。用于登录自己的服务是正常的。
• 读取文件reads-files一般22 处命中
  • …/adapters/antigravity-process.js:25if (existsSync(defaultLocal)) {
  • dist/codex/domain.js:903const rows = await readdir(target.path, { withFileTypes: true }).catch(() => undefined);
  • dist/codex/domain.js:1024const manifest = JSON.parse(readFileSync(join(codexCli, 'codex-package.json'), 'utf8'));
  • dist/codex/domain.js:1029if (!existsSync(candidate))
  • 读文件是绝大多数插件的正常工作方式，本身不构成顾虑。
• 读取环境变量reads-env一般20 处命中
  • …/adapters/antigravity-process.js:66env: process.env,
  • dist/cli.js:177env: input.env ?? process.env,
  • dist/config.js:83export function resolveConfig(input = {}, env = process.env) {
  • …t/acp/adapters/cursor-process.js:41env: process.env,
  • 环境变量里常混有密钥。看它是否把整个 env 都读走。
• 动态加载模块dynamic-import一般8 处命中
  • dist/cli.js:193const { default: QRCode } = await import('qrcode');
  • dist/cli.js:211const { default: QRCode } = await import('qrcode');
  • …antigravity/transcript-loader.js:131const { DatabaseSync } = await import('node:sqlite');
  • …antigravity/transcript-loader.js:146const { execFile } = await import('node:child_process');
  • 动态导入本身无害，但会让依赖关系难以静态审阅。

这份报告的口径

扫描读的是包里的源码，全程不执行第三方代码。 本次读了 156 个文件，扫描于 2026-10-15。 命中次数只说明源码里出现过这类调用，不说明行为好坏——一个插件读写文件 500 次和 1 次 都会被记为「读取文件」。这是能力清单，不是信任评分，也不是安全结论： 没扫出来的能力可能只是写法没被规则覆盖。

可信度

• 0没有可扣分的项