2026-w44

发布于 2026-10-25

← 全部周报

21768

已扫描

严重

149

需注意

21347

低风险

严重风险插件

共 0 个插件被评为严重——vet critical，或密钥 / 外传 / 破坏性 / 挖矿等阻断（blocking）模式

插件	是什么	风险
无

需注意插件（中）

共 149 个插件被评为中——vet suspicious，或代码执行 / Shell 等旧“高”档命中

插件	是什么	风险
@lyc0110/dsh-agent-guard ★ 0	DSH pre-execute gate: ask before a tool call leaks a credential, stops a service, or rewrites host network/registry state.	需注意
dsh-web-profile ★ 0	—	需注意
@dgagf111/dsh-hydrasearch ★ 0	TinyFish + AnySearch web search and fetch provider for DeepSeek Harness: one failover-chain provider with an operator-controlled backend priority and a settings card.	需注意
@Justin-Mai/dsh-stock-view ★ 1	DeepSeek Harness 右上角行情盯盘插件：A 股 / ETF / 港股 / 美股自选股 + 加密货币实时行情	需注意
dsh-smart-reminder ★ 0	Smart calendar reminder & schedule assistant for DSH Web GUI: lunar calendar, holidays, system notifications on macOS/Windows, and WeCom/platform push integration.	需注意
dsh-upgrade-kit ★ 0	DSH 装备升级套件：看钱（dsh-cost 费用面板）、看文件（file-preview 预览）、搜外网（research-mcp）、看图片（vision-bridge）。一条命令全装。	需注意
dsh-tmwebdriver ★ 0	One tool, infinite reach: arbitrary JS in your real logged-in browser. Unlike fixed-action plugins, browser_execute_js does anything DevTools can — read, click, type, fill, navigate, screenshot, CDP. Plus list_tabs/snapshot/type. Zero-setup, self-healing.	需注意
@hunyu-feng/dsh-vision ★ 0	Vision for DSH agents and MCP clients: analyze_image over local files or URLs using Doubao models on Volcano Ark, with model fallback.	需注意
dsh-passwords ★ 78	Server-grade gateway that turns DeepSeek Harness into a multi-tenant platform: remote access + auto HTTPS, subuser permissions & quotas, sandbox enforcement, encrypted auth, audit log.	需注意
@fancyui/dsh-openrouter-imagen-v2 ★ 0	dsh plugin: use openrouter models to generate images	需注意
dsh-remote ★ 0	Remote access suite for DeepSeek Harness: QR pairing, HMAC sessions, cloudflared tunnel and PWA. Zero installs on any device.	需注意
claude-in-dsh ★ 3	在 dsh web 里用本机 Claude Code 驱动会话：原生渲染、权限档、模型/effort、命令面板、broker 托管进程	需注意
@derkinL/dsh-remembers ★ 0	Long-term memory for DeepSeek Harness, built for companion AI. It says it does not remember instead of making things up. 情感陪伴向记忆插件：向量 + 中文 BM25 + 分层衰减。	需注意
dsh-remote ★ 1	Operate DeepSeek Harness from your phone: self-hosted relay + desktop plugin tunnel with a mobile-adapted web UI. MIT	需注意
dsh-desktop ★ 2	DeepSeek Harness 桌面端（macOS / Windows）：双击即用的官方 dsh「瘦壳」——不内置 dsh、首次运行自动安装，无需 Node/npm 等任何环境，带版本管理与回滚、App 内更新、插件管理与干净卸载。	需注意
dsh-cordis-mcp ★ 1	DeepSeek Harness 插件：把 DSH 的动态 Cordis 工具集（inspect/define/run/stop/undefine）以 MCP 暴露给 Claude Code。端点强制身份认证，token 可在 DSH 设置页配置。	需注意
vision-toolkit-for-dsh-v0.1-maybe- ★ 1	Zero-dependency vision OCR/Q&A toolkit (CLI + local web GUI) for OpenAI-compatible VLMs: Zhipu GLM, Qwen, OpenAI, OpenRouter, SiliconFlow	需注意
dsh-auto-classifier ★ 1	—	需注意
dsh-launcher ★ 0	macOS 程序坞一键启动 DeepSeek Harness (DSH) 的快捷启动器 / One-click DSH launcher for macOS Dock	需注意
@AhYi8/dsh-agent-recycle-guard ★ 0	DSH 删除防护插件：拦截 Agent 的 rm/del/Remove-Item 等删除命令，强制转入 Windows 回收站，fail-closed 无永久删除退路，安装即用零配置。	需注意

展示最需要关注的 20 个（按严重发现排序）。

自动启发式扫描（静态分析）——规模化的第一道风险防线，可能存在误报；不是人工审核。

历史周报归档

12 期

2026-W442026-10-250 严重149 需注意 2026-W432026-10-240 严重147 需注意 2026-W422026-10-180 严重131 需注意 2026-W412026-10-100 严重113 需注意 2026-W402026-10-030 严重110 需注意 2026-W392026-09-260 严重105 需注意 2026-W382026-09-180 严重108 需注意 2026-W372026-09-121249 严重2083 需注意 2026-W362026-09-0512 严重944 需注意 2026-W352026-08-2911 严重892 需注意 2026-W342026-08-228 严重778 需注意 2026-W332026-08-1621 严重105 需注意

这份周报衡量什么？

本报告衡量 2026-w44 期间 dsh.so 插件市场的自动静态扫描状态：已扫描插件数量、低 / 中 / 严重三档风险分布，以及自上一期归档以来风险档位发生变化的插件。

为什么这不是背书？

报告里的每一行都来自公开仓库元数据与启发式规则命中，而非人工审计或运行时验证。误报与漏报都有可能，因此风险标记是一个在安装前检查插件的理由，而不是检查的替代品。

静态扫描只是其中一层。另有一层模型驱动的动态安全审计：对静态判定已达到需注意及以上的条目读取源码上下文（不执行插件代码）给出结论，只覆盖这一子集而非全库。有动态结论时以动态结论为准——它可能上调、也可能下调；没有动态结论时才用静态/vet 融合档，不再按「取更严者」处理。豁免只能人工三筛手写，动态审计脚本从不写豁免表；人工复核可记 withdrawn 撤回，档位回落到静态/vet 档。最近一次运行：动态审计记录 2864 条，其中完成模型审计 2289 条；严于静态判定 321 条，低于静态判定 789 条。

来源：dsh.so 安全标准 · 维护：dsh.so · 发布于 2026-10-25