@mnemon-dev/dsh-mnemon

检测报告

能力清单

• 可执行外部程序spawns-processes高关注16 处命中
  • …ach/assets/pi/mnemond-current.ts:1import { execFile, type ChildProcess } from "node:child_process";
  • …ency/attach/assets/pi/mnemond.ts:1import { execFile, execFileSync, type ChildProcess } from "node:child_process";
  • …/setup/assets/opencode/mnemon.js:1import { spawnSync } from "node:child_process"
  • …memory/setup/assets/pi/mnemon.ts:1import { spawnSync } from "node:child_process";
  • 看它调用哪些程序。调用本机已有的工具是常见做法。
• 以 shell 执行命令shell-exec高关注5 处命中
  • …ency/attach/assets/pi/mnemond.ts:35execFileSync("mnemon", ["agency", ...args], {
  • …aw/hooks/mnemon-prime/handler.js:24const status = execSync("mnemon status 2>/dev/null", {
  • test/memory/pi/extension.test.mjs:17execFileSync(command, args, options) {
  • …nemond/runtime/pi/fake-child.mjs:9const secret = execFileSync("sh", ["-c", credential.key.slice(1)], { encoding: "utf8" }).trim();
  • 看命令字符串是拼出来的还是写死的。拼接用户输入才是真正的风险。
• 向其他插件注入plugin-tree-injection高关注1 处命中
  • dsh-mnemon
  • 看 patch 里 insert 的包是不是本项目自己的。插入第三方代码要格外留意。
• 写入文件writes-files需留意67 处命中
  • …ory/setup/assets/hermes/nudge.sh:33state_dir.mkdir(parents=True, exist_ok=True)
  • …ry/setup/assets/hermes/remind.sh:64path.unlink(missing_ok=True)
  • …y/setup/assets/nanoclaw/SKILL.md:85fs.mkdirSync(groupMnemonDir, { recursive: true });
  • …/assets/openclaw/plugin/index.js:20writeFileSync(COMPACT_FLAG, String(Date.now()), "utf-8");
  • 看写入位置。写自己的配置目录是正常的，写系统目录不是。
• 可终止进程kills-processes需留意8 处命中
  • npm/cli/lib/child.js:34process.kill(process.pid, result.signal);
  • …memory/opencode/timeout.test.mjs:59assert.throws(() => process.kill(pid, 0), { code: "ESRCH" }, "native child must be reaped")
  • …memory/opencode/timeout.test.mjs:61try { process.kill(Number(await readFile(pidFile, "utf8")), "SIGKILL") } catch {}
  • test/memory/pi/process.test.mjs:32assert.throws(() => process.kill(pid, 0), { code: "ESRCH" }, "native child must be reaped");
  • 看它终止的是自己启动的进程，还是按名字匹配到的任意进程。
• 发起网络请求network需留意3 处命中
  • web/dist/assets/index-CXicYQ-x.js:2(function(){const a=document.createElement("link").relList;if(a&&a.supports&&a.supports("modulepreload"))return;for(cons…
  • web/dist/assets/index-CXicYQ-x.js:200*/const ic=Ve("X",[["path",{d:"M18 6 6 18",key:"1bl5f8"}],["path",{d:"m6 6 12 12",key:"d8bk6v"}]]);class ac extends Erro…
  • web/src/api.ts:15const response = await fetch(url, {
  • 看请求发往哪些域名。发往作者自己的后端是常见做法。
• 运行时改写自身配置modifies-own-manifest需留意3 处命中
  • npm/cli/test/update.test.mjs:165await writeFile(path.join(root, "package.json"), `${JSON.stringify(metadata)}\n`, "utf8");
  • …memory/opencode/timeout.test.mjs:25await writeFile(path.join(runtime, "package.json"), '{"name":"fixture-runtime"}')
  • test/memory/pi/fixtures.mjs:36await writeFile(path.join(modules, target.alias, "package.json"), JSON.stringify({ name: target.alias }));
  • 运行时改写自身配置会让下次启动的行为和你看过的源码不一致。
• 启动伪终端spawns-pty需留意2 处命中
  • …/runtime/pi/delegate-runtime.mjs:207writer = spawn("sh", ["-c", 'exec cat > "$1"', "pi-delegate-writer", fifoPath], {
  • …nemond/runtime/pi/fake-child.mjs:9const secret = execFileSync("sh", ["-c", credential.key.slice(1)], { encoding: "utf8" }).trim();
  • 伪终端等于给了一个完整 shell。确认这是插件的核心功能。
• 读取环境变量reads-env一般97 处命中
  • …aw/hooks/mnemon-prime/handler.js:9const dataRoot = process.env.MNEMON_DATA_DIR || join(homedir(), ".mnemon");
  • …/setup/assets/opencode/mnemon.js:28for (const directory of (process.env.PATH || "").split(path.delimiter)) {
  • …/setup/assets/opencode/mnemon.js:52env: process.env,
  • …memory/setup/assets/pi/mnemon.ts:10return path.join(process.env.MNEMON_DATA_DIR || path.join(homedir(), ".mnemon"), "prompt", "pi");
  • 环境变量里常混有密钥。看它是否把整个 env 都读走。
• 读取文件reads-files一般66 处命中
  • …y/setup/assets/nanoclaw/SKILL.md:94if (fs.existsSync(globalMnemonDir)) {
  • …aw/hooks/mnemon-prime/handler.js:11if (!existsSync(scopedPath) && existsSync(LEGACY_GUIDE_PATH)) {
  • …aw/hooks/mnemon-prime/handler.js:42const guide = readFileSync(guidePath(), "utf-8");
  • …/assets/openclaw/plugin/index.js:33if (compact && existsSync(COMPACT_FLAG)) {
  • 读文件是绝大多数插件的正常工作方式，本身不构成顾虑。
• 动态加载模块dynamic-import一般9 处命中
  • npm/cli/test/windows-hide.test.mjs:24const { runChild } = await import("../lib/child.js?windows-hide-child");
  • npm/cli/test/windows-hide.test.mjs:25const { productionRunner } = await import("../lib/update.js?windows-hide-update");
  • npm/cli/test/windows-hide.test.mjs:49const { runChild } = await import("../lib/child.js?windows-hide-override");
  • …/memory/opencode/plugin.test.mjs:31const module = await import(`data:text/javascript;base64,${Buffer.from(source).toString("base64")}#${++generation}`)
  • 动态导入本身无害，但会让依赖关系难以静态审阅。
• 接触凭据或密钥credentials一般6 处命中
  • …/runtime/pi/delegate-runtime.mjs:140requireBoundedString("api_key", options?.apiKey, 16 * 1024);
  • …/runtime/pi/delegate-runtime.mjs:214writer.stdin.end(options.apiKey);
  • …/runtime/pi/delegate-runtime.mjs:318if (finalText.includes(options.apiKey)) {
  • web/dist/assets/index-CXicYQ-x.js:2(function(){const a=document.createElement("link").relList;if(a&&a.supports&&a.supports("modulepreload"))return;for(cons…
  • 看它读取哪些凭据、发往哪里。用于登录自己的服务是正常的。
• 文中出现远程脚本地址remote-url-reference一般2 处命中
  • …ist/assets/cytoscape-G6xtpWZq.js:13https://github.com/jquery/jquery/blob/master/src/event.js
  • web/package-lock.json:2113"resolved": "https://registry.npmjs.org/decimal.js/-/decimal.js-10.6.0.tgz",
  • 只是文本里出现了远程脚本地址，没有看到加载它的调用。多半是文档或注释；若确实可疑，搜一下这个地址在包里的其他出现位置。

这份报告的口径

扫描读的是包里的源码，全程不执行第三方代码。 本次读了 191 个文件，扫描于 2026-10-22。 命中次数只说明源码里出现过这类调用，不说明行为好坏——一个插件读写文件 500 次和 1 次 都会被记为「读取文件」。这是能力清单，不是信任评分，也不是安全结论： 没扫出来的能力可能只是写法没被规则覆盖。

可信度

这个插件只在 GitHub 上发布，没有走过 npm 的分发链路。下面的梯子按 GitHub 通道的证据计算：补丁审计、钉在 commit 上的源码快照、隔离试装；L2 的「宿主启动」这一层还没有对 git 通道跑过，所以等级停在 L1。

• -10声明与实物不符：client-present-undeclaredmajor：['internal/agency/client/agent_commands.go', 'internal/agency/client/agent_commands_test.go', 'internal/agency/client/control_client.go', 'i
• -2没有 READMEminor