DSH Artifact Promotion Proof

DeepSeek Harness 공급망을 위한 오프라인, 결정적 증거 계층입니다. 하나의 명시적 아티팩트 다이제스트가 선언된 빌드 → 스테이징 → 프로덕션 체인을 각 단계에서 요구되는 정확한 환경 바인딩, 전임 단계 증명, 게이트 증거와 함께 따랐는지 확인합니다.

이 계층은 아무것도 배포하지 않으며, 레지스트리를 호출하지 않고, 승인을 부여하지 않으며, 런타임 상태를 검증하지 않고, 환경을 변경하지 않습니다. 또한 증명을 인증하지도 않으며 출처(provenance) 서명을 검증하지 않습니다. promoted 판정은 제공된 해시 전용 레코드가 내부적으로 완전하고, 순서대로 정렬되어 있으며, 정책을 준수한다는 것만 의미합니다.

보완 경계

• dsh-release-proof는 HTTP, 길이, 버전 및 SHA-256 일치 여부에 대해 다운로드 엔드포인트를 비교합니다.

• dsh-attestation-proof는 DSSE/in-toto 서명, subject 및 서명자 임계값을 검증합니다.

• dsh-reproducible-build-proof는 독립적인 재빌드 출력을 비교합니다.

• dsh-build-hermeticity-proof는 기록된 하나의 빌드에 대해 선언된 외부 영향 클로저(closure)를 확인합니다.

• dsh-output-custody-proof는 DSH 도구 결과가 어떻게 투영되고, 유출되며, 영구적으로 기록되는지 확인합니다.

• 이 플러그인은 선언된 배포 단계 전반에 걸쳐 재빌드 없는 승격 연속성을 확인합니다. dsh-evidence-arena는 선택된 코딩 워크트리를 저장소로 승격하는 반면, 이 플러그인은 후보물이나 저장소를 결코 쓰지 않습니다.

모든 단계는 정확히 한 번, 그리고 순서대로 나타나야 합니다. 아티팩트 다이제스트, 단계/환경 해시, 전임 배포 증명은 연속성을 유지해야 합니다. 요구되는 게이트 유형은 한 번 나타나야 하며, 동일한 아티팩트에 바인딩되고, 승격보다 앞서야 하며, 해당 단계의 별도 권한(distinct-authority) 임계값을 충족해야 합니다. 누락, 만료, 재정렬, 교차 아티팩트 또는 추가된 게이트 증거는 실패 시 폐쇄(fail-closed) 처리됩니다.

Related MCP server: proofspec

설치

dsh plugin --profile evidence add github:dongsheng123132/dsh-artifact-promotion-proof#COMMIT

번들은 단일 헤드리스 코어에서 dsh_artifact_promotion_inspect와 dsh_artifact_promotion_verify를 노출합니다. 독립적인 MCP stdio 서버는 artifact_promotion_inspect와 artifact_promotion_verify를 노출합니다. CLI는 inspect 또는 verify와 함께 명시적 JSON 경로를 받습니다.

examples/promoted.json을 참조하세요. 보고서에는 해시, 개수, 불리언, 게이트 분류 및 판정만 포함됩니다. 비밀 형태의 자료와 원시 로그/본문/콘텐츠 필드는 거부됩니다. DSH verify 도구는 작업공간 기준의 비심볼릭 링크 매니페스트를 읽고, 명시적 작업공간 기준 artifactDir에만 쓰며, 오직 결정적 콘텐츠 주소 지정 출력만 생성하고, 재읽기로 이를 검증합니다.

npm test
npm run check
npm run smoke:plugin
npm run smoke:mcp
python C:/Users/YOU/.codex/skills/.system/plugin-creator/scripts/validate_plugin.py .

Node.js 22 이상이 필요합니다. 검증기에는 런타임 의존성이 없으며, 프로세스를 생성하지 않고, 네트워크 요청도 하지 않습니다.