2026-W36
发布于 2026-09-05
12632
已扫描
12
严重
944
需注意
11457
低风险
本周变化
▲ 新增需注意
严重风险插件
共 12 个插件被评为严重——vet critical，或密钥 / 外传 / 破坏性 / 挖矿等阻断（blocking）模式
| 插件 | 是什么 | 风险 |
|---|---|---|
| dsh-plugin-security-review ★ 2 | DSH 动态 Cordis 插件安装安全审查守卫 (DeepSeek Harness plugin install security review gate, security-first) | 严重 |
| dsh-qrcode-hassle-free ★ 2 | DSH plugin bundle: scan a QR to open the deepseek-harness web UI on your phone inside the same session - cloudflared quick tunnel, no database, Windows/macOS/Linux | 严重 |
| dsh-lmstudio-router ★ 0 | Local LM Studio model router for the dsh web GUI: routes token-expensive bulk tasks (text work, compaction, session titles) to a local LM Studio model over its OpenAI-compatible /v1 endpoint, auto-launches LM Studio, and fits requests into the model context window. Zero-dependency host plugin. | 严重 |
| dsh-smooth-stream ★ 84 | DeepSeek Harness Web UI plugin for streaming rendering and scroll handling. | 严重 |
| dsh-opencode-zen-free-provider ★ 29 | OpenCode Zen 免费模型接入 DeepSeek Harness。1M 上下文，同步全部元数据 | 严重 |
| dsh-file-viewer ★ 5 | DeepSeek Harness 通用只读文件预览插件，支持图片、PDF、CSV、Markdown、JSON、YAML、源码及大文件。 | 严重 |
| DSH_VsCodeMode ★ 19 | VSCode-style coding for DeepSeek Harness: Monaco editor (tabs/QuickOpen), agent edit-diff review (keep/reject/archive/rollback), LSP intelligence with VSIX installs | 严重 |
| dsh-report-studio ★ 2 | Turn a DeepSeek Harness session into deliverable work reports (daily/weekly/handoff/article) with verifiable receipts | 严重 |
| dsh-themes ★ 1 | — | 严重 |
| dsh-vscode-workbench ★ 12 | DeepSeek Harness 的 VS Code 风格本地开发工作台：文件管理、Monaco 编辑、文档预览、搜索、Git、分屏终端与 DSH 对话一体化。 | 严重 |
| plugin-manager ★ 1 | — | 严重 |
| meww ★ 1 | pokemon ai pet🐣电子宠物 | 严重 |
需注意插件（中）
共 944 个插件被评为中——vet suspicious，或代码执行 / Shell 等旧“高”档命中
| 插件 | 是什么 | 风险 |
|---|---|---|
| dsh-doctor ★ 6 | DeepSeek Harness environment diagnostic tool: dsh_doctor checks env, profile, config, bundles, mount, port, health, and disk | 需注意 |
| DeepSeek-Harness-Desktop ★ 6 | 一个 Electron 桌面壳，内嵌官方 DeepSeek Harness Web UI。启动时让用户选择安装模式，自动完成环境检测、安装、服务拉起，以百分比进度条展示各阶段，服务就绪后打开主界面。 | 需注意 |
| dsh-deepseek-web-adapter ★ 18 | 免费的 DeepSeek 网页版（chat.deepseek.com）LLM 服务提供方，用于 DeepSeek Harness——无需 API 密钥。自动启动网关，支持工具调用和连续对话。Free DeepSeek Web (chat.deepseek.com) LLM provider for DeepSeek Harness — no API key. Auto-launches gateway, tool calling, continuous chat. | 需注意 |
| dsh-flowglass ★ 24 | 流镜 Flowglass — DeepSeek Harness session flowgraph，实时可视化消息、工具组、子代理分支与步骤详情。 | 需注意 |
| dsh-wallpaper-bridge ★ 2 | Wallpaper Engine bridge for DeepSeek Harness (DSH) on Windows | 需注意 |
| dsh-plugin-gate ★ 0 | Installation safety gate & data-protection guard for DeepSeek Harness: 60 static signature rules (31 high/24 medium/5 low) scan plugin sources before dsh plugin add; 12 destructive-command patterns + workspace-boundary checks block accidental deletion. | 安装安全闸门与数据保护闸：60 条静态签名规则，12 种危险命令模式拦截误删。 | 需注意 |
| dsh-raw-html ★ 85 | VCP visual-synesthesia protocol plugin for DeepSeek Harness: render agent HTML output as real UI (cards / KaTeX math / Mermaid diagrams / built-in calligraphy fonts / zero-JS interactions), plug-and-play on any DSH environment | 需注意 |
| dsh-automation ★ 0 | RPA-style scheduled web automation for DeepSeek Harness: record browser operations -> requirements doc -> LLM generates Python + Playwright -> schedule with run records and email notifications | 需注意 |
| dsh-remote-access ★ 0 | — | 需注意 |
| dsh-witness ★ 0 | — | 需注意 |
| dsh-purge ★ 10,472 | DeepSeek Harness 破甲：让所有模型都能破甲，不同模型可换不同提示词；默认提示词面向国模「小码酱」。Jailbreak for every model — swap prompts per model. 求 Star 收藏 ⭐ 如要二开，请查看署名要求部分 | 需注意 |
| dsh-pet-remielle ★ 54 | — | 需注意 |
| dsh-desktop-electron ★ 3 | Cross-platform Electron desktop shell for the DSH Web GUI: tray-resident standalone window over your own dsh web, no bundled Node runtime | 需注意 |
| dsh-vision ★ 7 | Vision for DeepSeek Harness: Doubao Web by default (zero-cost, no API key), Antigravity IDE quota (flash/pro), any IDE CLI, Gemini — auto detail escalation, evidence memory | 需注意 |
| crossplug ★ 1 | crossplug — AI coding-agent plugin bridge: convert plugins between DSH / MiniMax Code (mcode) / pi, agent-plugins.org 1.0.0 packages, pi extensions; dual-side installers | 需注意 |
| dsh-web-launcher ★ 1 | One-click Windows launcher for the DeepSeek Harness Web UI - PowerShell tray mode or an Electron desktop client with multi-tab browsing, Chrome extensions, and one-click updates. | 需注意 |
| chromex-browser ★ 1 | A complete, hardware-accelerated Web Browser inside VS Code with Widevine DRM video playback, native audio, and zero iframe restrictions. | 需注意 |
| dsh-shield ★ 1 | Security, Trust & Policy Layer for DeepSeek Harness. Don't trust your agent's tools. Verify them. | 需注意 |
| dsh-sim-restart ★ 0 | Simulated-restart testing for DeepSeek Harness plugins: verifies plugins survive restart (module eval → apply → smoke → dispose) in isolated subprocesses, with a resident auto-watcher and agent feedback loop | 需注意 |
| dsh-server-deployment ★ 35 | DeepSeek Harness 多用户服务器部署：登录门户 / 每用户独立实例与 OS 级隔离 / 独立 API Key / 交付文件抽屉；文件访问经 sudo 助手降权执行（修复 issue #1 TOCTOU）。非本机工具。 | 需注意 |
展示最需要关注的 20 个（按严重发现排序）。
自动启发式扫描（静态分析）——规模化的第一道风险防线，可能存在误报；不是人工审核。
历史周报归档
11 期2026-W432026-10-210 严重132 需注意2026-W422026-10-180 严重131 需注意2026-W412026-10-100 严重113 需注意2026-W402026-10-030 严重110 需注意2026-W392026-09-260 严重105 需注意2026-W382026-09-180 严重108 需注意2026-W372026-09-121249 严重2083 需注意2026-W362026-09-05当前12 严重944 需注意2026-W352026-08-2911 严重892 需注意2026-W342026-08-228 严重778 需注意2026-W332026-08-1621 严重105 需注意
这份周报衡量什么？
本报告衡量 2026-W36 期间 dsh.so 插件市场的自动静态扫描状态：已扫描插件数量、低 / 中 / 严重三档风险分布，以及自上一期归档以来风险档位发生变化的插件。
为什么这不是背书？
报告里的每一行都来自公开仓库元数据与启发式规则命中，而非人工审计或运行时验证。误报与漏报都有可能，因此风险标记是一个在安装前检查插件的理由，而不是检查的替代品。
静态扫描只是其中一层。另有一层模型驱动的动态安全审计：对静态判定已达到需注意及以上的条目读取源码上下文（不执行插件代码）给出结论，只覆盖这一子集而非全库，且只能上调、永不豁免——全站展示的结论取两者中更严的一档（max(静态, 动态)）。最近一次运行：动态审计记录 1898 条，其中完成模型审计 1767 条；上调 258 条，低于静态判定 0 条。
来源：dsh.so 安全标准 · 维护：dsh.so · 发布于