deepseek-harness-sentinel

检测报告

能力清单

• 可执行外部程序spawns-processes高关注3 处命中
  • engine/package/acquire.js:9import { spawnSync } from 'node:child_process'
  • engine/supplychain/osv.js:10import { spawnSync } from 'node:child_process'
  • engine/package/tarball.js:11import { spawnSync } from 'node:child_process'
  • 看它调用哪些程序。调用本机已有的工具是常见做法。
• 写入文件writes-files需留意23 处命中
  • engine/package/acquire.js:37rmSync(out, { force: true })
  • engine/package/audit.js:78const removeTarball = () => rmSync(dl.tarballPath, { force: true })
  • engine/package/audit.js:201rmSync(dl.tarballPath, { force: true })
  • engine/package/audit.js:207rmSync(dl.tarballPath, { force: true })
  • 看写入位置。写自己的配置目录是正常的，写系统目录不是。
• 动态执行代码dynamic-code需留意9 处命中
  • engine/rules.js:130description: 'eval、new Function、vm.runIn*、Module._compile、process.binding 等动态执行机制。配合网络或解码即高危。',
  • engine/rules.js:142// `new Function("return this")()` / `new Function("")()` globalThis
  • engine/rules.js:154message: '对解码内容执行(eval(atob(...)) 等)',
  • engine/semantic/taint.js:16{ names: ['exec', 'execSync', 'spawn', 'spawnSync', 'execFile', 'execFileSync', 'fork', 'eval', 'vm.runInNewContext', 'v…
  • 看 eval / new Function 的入参来自哪里。常量字符串和用户输入是两回事。
• 发起网络请求network需留意4 处命中
  • engine/package/audit.js:18import { strictDnsEnabled } from '../supplychain/fetch.js'
  • engine/rules.js:458description: '插件存在出网能力。相对路径的同源调用(fetch(\'/plugin-api/...\'))是客户端插件与自家宿主的本地通道,不算外发;只有绝对 URL(http/https/ws)、协议相对(//host)或变…
  • engine/package/tarball.js:48const { assertPublicDns } = await import('../supplychain/fetch.js')
  • package.json:58"test": "node --test test/scan.test.js test/plugin-load.test.js test/professional.test.js test/professional-contract.tes…
  • 看请求发往哪些域名。发往作者自己的后端是常见做法。
• 接触凭据或密钥credentials一般100 处命中
  • …ine/semantic/capability-graph.js:6['SEN-TAINT-001', 'credential-access'],
  • …ine/semantic/capability-graph.js:14'credential-access', 'decode', 'filesystem-read', 'filesystem-write',
  • engine/config.js:6* 绝不允许静默忽略。redactSecrets 永远开启,config 中 false 会被忽略并警告。
  • engine/config.js:24redactSecrets: true,
  • 看它读取哪些凭据、发往哪里。用于登录自己的服务是正常的。
• 读取文件reads-files一般54 处命中
  • engine/package/acquire.js:35try { text = readFileSync(out, 'utf8') } catch { text = null }
  • engine/config.js:36if (!existsSync(p)) continue
  • engine/config.js:38const raw = JSON.parse(readFileSync(p, 'utf8'))
  • …ine/semantic/cross-file-taint.js:106sourceByPath.set(node.path, readFileSync(join(root, node.path), 'utf8'))
  • 读文件是绝大多数插件的正常工作方式，本身不构成顾虑。
• 动态加载模块dynamic-import一般23 处命中
  • engine/semantic/ast.js:14const acorn = await import('acorn')
  • engine/semantic/ast.js:18const vendored = await import('../../.github/actions/dsh-sentinel/vendor/acorn.mjs')
  • engine/semantic/ast.js:153/** 收集 child_process 别名:const { exec: run } = require(...) / import { exec as run } / const cp = require(...)。 */
  • engine/package/audit.js:159const { verdictFor } = await import('../report.js')
  • 动态导入本身无害，但会让依赖关系难以静态审阅。
• 读取环境变量reads-env一般10 处命中
  • engine/package/acquire.js:13return process.env.SENTINEL_NPM_REGISTRY ?? 'https://registry.npmjs.org'
  • engine/supplychain/fetch.js:76return process.env.SENTINEL_STRICT_DNS === '1'
  • engine/index.js:41export function resolveDshHome(env = process.env) {
  • engine/index.js:363const home = resolveDshHome(opts.env ?? process.env)
  • 环境变量里常混有密钥。看它是否把整个 env 都读走。

这份报告的口径

扫描读的是包里的源码，全程不执行第三方代码。 本次读了 42 个文件，扫描于 2026-10-14。 命中次数只说明源码里出现过这类调用，不说明行为好坏——一个插件读写文件 500 次和 1 次 都会被记为「读取文件」。这是能力清单，不是信任评分，也不是安全结论： 没扫出来的能力可能只是写法没被规则覆盖。

依赖安全公告

已查询这个插件声明的全部依赖，没有匹配到已公开的安全公告。（含 DSH 框架包在内的 @deepseek-ai/* 不作查询——那是运行时自己的问题，不是插件的。）