kiokuko-dsh

检测报告

能力清单

• 可执行外部程序spawns-processes高关注14 处命中
  • dist/db/backup-worker.js:1import { spawn } from 'node:child_process';
  • dist/dsh/lisp/ci.js:1import { execFile } from 'node:child_process';
  • dist/dsh/lisp/compiled-cache.js:1import { spawn } from 'node:child_process';
  • dist/repository/detect-root.js:1import { execFileSync } from 'node:child_process';
  • 看它调用哪些程序。调用本机已有的工具是常见做法。
• 以 shell 执行命令shell-exec高关注4 处命中
  • dist/repository/detect-root.js:44const output = execFileSync('git', ['rev-parse', '--show-toplevel'], {
  • dist/repository/git-origin.js:4const value = execFileSync('git', ['config', '--get', 'remote.origin.url'], {
  • …t/enno-oduno/repository-state.js:13return execFileSync('git', ['-C', root, ...args], {
  • dist/memory/scoped-memory.js:22const executeGitProvenance = (executable, args, options) => execFileSync(executable, args, options);
  • 看命令字符串是拼出来的还是写死的。拼接用户输入才是真正的风险。
• 写入文件writes-files需留意96 处命中
  • dist/dsh/advisory-runner.js:86unlink();
  • …sh/agenticreplay-read-service.js:148await rename(temporary, output);
  • dist/dsh/agenticreplay-recorder.js:78await handle.writeFile(JSON.stringify({ format: 'dsh.capture-status.v1', httpCapture: false,
  • dist/dsh/agenticreplay-recorder.js:88await rename(temporary, join(dir, 'capture-status.json'));
  • 看写入位置。写自己的配置目录是正常的，写系统目录不是。
• 含混淆或编码代码obfuscated-code需留意90 处命中
  • dist/client.cjs:830"dialog.preparingDescription": "\u3053\u306ESession\u3001\u5B50Session\u3001\u6DFB\u4ED8\u30D5\u30A1\u30A4\u30EB\u3092ZI…
  • dist/client.cjs:831"dialog.successTitle": "Session\u306E\u30A8\u30AF\u30B9\u30DD\u30FC\u30C8\u5B8C\u4E86",
  • dist/client.cjs:832"dialog.successDescription": "Session ZIP\u3092\u4FDD\u5B58\u3001\u307E\u305F\u306F\u30D6\u30E9\u30A6\u30B6\u306E\u30C0\…
  • dist/client.cjs:833"dialog.errorTitle": "Session\u306E\u30A8\u30AF\u30B9\u30DD\u30FC\u30C8\u306B\u5931\u6557",
  • 混淆本身不是恶意，但公开源码里出现大段混淆值得问一句为什么。
• 发起网络请求network需留意20 处命中
  • dist/client.cjs:71const response = await fetch("/api/kiokuko.models" + query, {
  • dist/client.cjs:935const probe = await fetch(`${endpoint}?sessionId=${encodeURIComponent(sessionId)}&includeDescendants=true`, {
  • dist/client.cjs:1052const response = await fetch(url, action ? { method: "POST", headers: { "content-type": "application/json" }, body: JSON…
  • dist/client.cjs:1183const response = await fetch(url, { signal: controller.signal, headers: etag ? { "if-none-match": etag } : {} });
  • 看请求发往哪些域名。发往作者自己的后端是常见做法。
• 可终止进程kills-processes需留意4 处命中
  • …sh/agenticreplay-read-service.js:31process.kill(pid, 0);
  • dist/dsh/lisp/manager.js:85process.kill(saved.pid, 0);
  • dist/enno-oduno/verifier.js:189process.kill(-child.pid, signal);
  • lisp/supervisor.mjs:9if (launch.group && child?.pid) process.kill(-child.pid, 'SIGKILL')
  • 看它终止的是自己启动的进程，还是按名字匹配到的任意进程。
• 动态执行代码dynamic-code需留意1 处命中
  • lisp/vendor/mgl-pax/README.md:5177[0d6e]: http://www.lispworks.com/documentation/HyperSpec/Body/f_eval.htm "EVAL (MGL-PAX:CLHS FUNCTION)"
  • 看 eval / new Function 的入参来自哪里。常量字符串和用户输入是两回事。
• 运行时改写自身配置modifies-own-manifest需留意1 处命中
  • dist/dsh/lisp/packages.js:218await writeFile(join(directory, 'package.json'), JSON.stringify(model, null, 2));
  • 运行时改写自身配置会让下次启动的行为和你看过的源码不一致。
• 清单可疑manifest-obfuscation需留意1 处命中
  • 安装脚本：prepare
  • 清单被刻意写乱时，加载行为会难以预测。看原文而不是看渲染结果。
• 动态加载模块dynamic-import一般187 处命中
  • dist/dsh/agenticreplay-files.js:110const { lstat } = await import('node:fs/promises');
  • …t/dsh/agenticreplay-libraries.js:10return import(pathToFileURL(entry).href);
  • dist/dsh/composition.js:214const { mountLispSurface } = await import('./lisp/surface.js');
  • …/dsh/configured-skill-prompts.js:56async require(name, relativePath = 'SKILL.md') {
  • 动态导入本身无害，但会让依赖关系难以静态审阅。
• 读取文件reads-files一般77 处命中
  • dist/dsh/agenticreplay-files.js:106for (const name of await readdir(current)) {
  • …t/dsh/agenticreplay-libraries.js:17const manifest = JSON.parse(await readFile(path, 'utf8'));
  • dist/memory/application.js:164for (const child of readdirSync(absolute).sort())
  • dist/memory/application.js:171rows.push([relative, stat.mode, canonicalContentHash(readFileSync(absolute).toString('base64'))]);
  • 读文件是绝大多数插件的正常工作方式，本身不构成顾虑。
• 接触凭据或密钥credentials一般44 处命中
  • dist/client.cjs:464}) : input(auth.prompt.message, answer, setAnswer, auth.prompt.type === "secret" ? "password" : "text"),
  • dist/models-client.cjs:466}) : input(auth.prompt.message, answer, setAnswer, auth.prompt.type === "secret" ? "password" : "text"),
  • dist/dsh/typesafe/client.js:8this.credentials = credentials;
  • dist/dsh/typesafe/client.js:11status() { return this.credentials.status(); }
  • 看它读取哪些凭据、发往哪里。用于登录自己的服务是正常的。
• 读取环境变量reads-env一般31 处命中
  • dist/dsh/lisp/ci.js:19for (const directory of (process.env.PATH ?? '').split(delimiter).filter(Boolean)) {
  • dist/dsh/lisp/ci.js:35const env = { ...process.env };
  • dist/embedding/config.js:21export function findDeprecatedEmbeddingEnvironmentVariables(environment = process.env) {
  • dist/embedding/config.js:111export function parseEmbeddingConfig(environment = process.env) {
  • 环境变量里常混有密钥。看它是否把整个 env 都读走。
• 文中出现远程脚本地址remote-url-reference一般8 处命中
  • dist/skills/config.js:5const TRUSTED_SKILLS_SH_ORIGIN = 'https://skills.sh';
  • dist/skills/config.js:61const apiUrl = value ?? 'https://skills.sh';
  • …ls/providers/skills-sh-compat.js:25this.apiUrl = baseUrl(options.apiUrl ?? 'https://skills.sh');
  • …skills/providers/skills-sh-v1.js:31const url = providerUrl(options.apiUrl ?? 'https://skills.sh');
  • 只是文本里出现了远程脚本地址，没有看到加载它的调用。多半是文档或注释；若确实可疑，搜一下这个地址在包里的其他出现位置。

这份报告的口径

扫描读的是包里的源码，全程不执行第三方代码。 本次读了 1125 个文件，扫描于 2026-10-16。 命中次数只说明源码里出现过这类调用，不说明行为好坏——一个插件读写文件 500 次和 1 次 都会被记为「读取文件」。这是能力清单，不是信任评分，也不是安全结论： 没扫出来的能力可能只是写法没被规则覆盖。

依赖安全公告

可信度

• -10被版本门禁拦下：与当前 dsh 基线不兼容major