2026-W38
发布于 2026-09-18 · 静态快照（未合并动态审计）
该期未合并动态审计
这份归档发布于动态审计并入周报之前，记录的是当时的静态扫描快照（三档：低 / 中 / 严重；「高」档当时并入「中」）。历史发布即冻结——不用今天的动态结论回填历史数据，最新口径请看最近一期周报与插件详情页。
本周变化
与上一期归档对比（生效档口径）。若上一期是未合并动态审计的旧归档，这一组差异里同时含有口径变化，不只是真实变动。
严重风险插件
共 0 个插件生效档为「严重」（静态扫描快照）。
| 插件 | 是什么 | 档位 |
|---|---|---|
| 无 | ||
高风险插件
共 0 个插件生效档为「高」（静态扫描快照）。
| 插件 | 是什么 | 档位 |
|---|---|---|
| 无 | ||
中风险插件
共 108 个插件生效档为「中」（静态扫描快照）。
| 插件 | 是什么 | 档位 |
|---|---|---|
| dsh-remote★ 47 | 公网远程控制 DeepSeek Harness（dsh web）：安装即得专属加密地址，人在外面也能用手机远程访问，无需同一局域网/WiFi、无内网穿透，可选自建服务。Remote control DeepSeek Harness (dsh web) from anywhere — encrypted public URL, no LAN required. | 中 |
| dsh-web-profile★ 0 | — | 中 |
| dsh-smart-reminder★ 0 | Smart calendar reminder & schedule assistant for DSH Web GUI: lunar calendar, holidays, system notifications on macOS/Windows, and WeCom/platform push integration. | 中 |
| dsh-upgrade-kit★ 0 | DSH 装备升级套件：看钱（dsh-cost 费用面板）、看文件（file-preview 预览）、搜外网（research-mcp）、看图片（vision-bridge）。一条命令全装。 | 中 |
| dsh-tmwebdriver★ 0 | One tool, infinite reach: arbitrary JS in your real logged-in browser. Unlike fixed-action plugins, browser_execute_js does anything DevTools can — read, click, type, fill, navigate, screenshot, CDP. Plus list_tabs/snapshot/type. Zero-setup, self-healing. | 中 |
| dsh-v-explorer★ 2 | right slider for deepseek-harness-plugin. | 中 |
| dsh-remote★ 0 | Remote access suite for DeepSeek Harness: QR pairing, HMAC sessions, cloudflared tunnel and PWA. Zero installs on any device. | 中 |
| claude-in-dsh★ 3 | 在 dsh web 里用本机 Claude Code 驱动会话：原生渲染、权限档、模型/effort、命令面板、broker 托管进程 | 中 |
| cli★ 7 | Generate AI images, videos, speech, and 3D assets from your terminal, Claude Code, or Codex with Atlas Cloud CLI. | 中 |
| dsh-remote★ 1 | Operate DeepSeek Harness from your phone: self-hosted relay + desktop plugin tunnel with a mobile-adapted web UI. MIT | 中 |
| dsh-cordis-mcp★ 1 | DeepSeek Harness 插件：把 DSH 的动态 Cordis 工具集（inspect/define/run/stop/undefine）以 MCP 暴露给 Claude Code。端点强制身份认证，token 可在 DSH 设置页配置。 | 中 |
| vision-toolkit-for-dsh-v0.1-maybe-★ 1 | Zero-dependency vision OCR/Q&A toolkit (CLI + local web GUI) for OpenAI-compatible VLMs: Zhipu GLM, Qwen, OpenAI, OpenRouter, SiliconFlow | 中 |
| dsh-desktop★ 2 | DeepSeek Harness 桌面端（macOS / Windows）：双击即用的官方 dsh「瘦壳」——不内置 dsh、首次运行自动安装，无需 Node/npm 等任何环境，带版本管理与回滚、App 内更新、插件管理与干净卸载。 | 中 |
| dsh-auto-classifier★ 1 | — | 中 |
| dsh-launcher★ 0 | macOS 程序坞一键启动 DeepSeek Harness (DSH) 的快捷启动器 / One-click DSH launcher for macOS Dock | 中 |
| dsh-balance-plugin★ 62 | deepSeek 余额监控与用量统计（DSH 动态 Cordis 插件）：余额监控 · 官方充值入口 · 用量统计 · 三方插件管理 | 中 |
| dsh-convmap★ 1 | DeepSeek Harness web 插件：在主对话区左缘中部渲染「对话地图」刻度（每条 = 一轮用户提问），hover 梯度展开并预览该轮提问/回复摘要，点击跳转（未渲染的老轮次自动分页加载后再跳），滚动时当前轮次自动高亮。 | 中 |
| dsh-moodball★ 0 | DeepSeek Harness Pet | 中 |
| paper-workbench★ 0 | — | 中 |
| dsh-balance★ 2 | DeepSeek Harness web 插件：输入框下方状态栏展示当前供应商的余额/用量 —— DeepSeek 官方余额 + 本会话花费，Kimi Coding、OpenCode Go、GLM Coding Plan 等订阅用量（支持的供应商见 README）。按 provider 判断、2 秒轮询实时切换、5 分钟缓存。 | 中 |
展示最需要关注的 20 个（按静态发现数排序），其余 88 个见插件列表筛选。
历史周报归档
12 期这份周报衡量什么？
本报告衡量 2026-W38 期间 dsh.so 插件市场的当前风险状态：已扫描插件数量、低 / 中 / 高 / 严重四档分布，以及自上一期归档以来档位发生变化的插件。档位不是单一静态规则的产物——有动态审计结论时以动态结论为准，没有结论时才用静态扫描档。
动态审计与静态扫描的关系
静态扫描是确定性的规则匹配（代码形态、清单、权限申请），覆盖全库；动态审计由模型读取脱敏后的源码上下文（不执行插件代码），只覆盖静态判定 ≥ 中（中/高/严重）的子集，判断的是上下文——运行时真正加载什么、名单是防守还是进攻。合并口径：有动态结论以动态为准（可上调也可下调），没有结论时用静态扫描档。人工复核认为模型判错时，可在复核表记 withdrawn 撤回，档位回落静态档并即时生效。豁免只能人工三筛手写，动态审计脚本从不写豁免表。
为什么这不是背书？
报告里的每一行都来自公开仓库元数据、启发式规则命中与模型对源码上下文的判断，都可出错：规则会误报，模型也可能判错或以被注入的源码说明骗过。因此风险标记是一个在安装前检查插件的理由，而不是检查的替代品。
来源：dsh.so 安全标准 · 维护：dsh.so · 发布于