dsh-safety

对社区开源的 DeepSeek Harness（DSH）插件做安装前安全审计的 MCP 服务器。

✅ 状态：M0-M3 已完成（规则库 v1 + 轻量 AST + 扫描引擎 + MCP + 动态沙箱），详见 DESIGN.md

能做什么

输入插件来源（npm 包名 / GitHub 仓库 / 本地插件目录），输出结构化安全报告：

静态（正则 + 轻量 AST）

AST 增强：eval 变量溯源（base64 解码来源）、敏感路径常量折叠（拆片拼接对抗）、 数据流外传（readFile → 变量 → fetch 多行拆分对抗）、凭据读取精确判定 （读取实参折叠后即敏感路径）、排除类型声明与文档文件、注释/纯文本行不参与代码规则。

动态（受限沙箱试运行）

在受限子进程中试运行插件 host 端，记录真实行为轨迹：

• 读取了哪些文件（敏感路径标记，HOME 重定向隔离，不碰真实文件系统）

• 联网目标（网络黑洞，不真实外发）

• 命令调用 / eval（记录不执行）

• 超时强杀（20s）、V8 堆限制（内存炸弹遏制）

🔀 静态 × 动态交叉验证

静态发现与动态轨迹逐威胁交叉印证：✅ 证实（静态说读凭据，动态真读了）、 ⚠️ 未证实（静态标风险但动态没触发——可能是功能面噪音或未触发到）、 动态额外发现（动态暴露了静态没标的行为，如延迟触发敏感读取）。 CLI：audit <source> --dynamic；MCP：dynamicOnReview: true 自动附带。

隔离为本地方案（Node 权限模型 + 插桩，不依赖 Docker）；Docker 容器模式代码 就绪为可选增强。真实插件动态加载率 5/6。

Related MCP server: meok-mcp-injection-scan-mcp

快速开始

# 安装依赖并构建
npm install && npm run build

# 静态审计（本地 / npm / GitHub）
node dist/cli.js audit "npm:some-dsh-plugin"

# 动态沙箱试运行（远程来源自动装依赖 --ignore-scripts）
node dist/cli.js dynamic "npm:some-dsh-plugin"

# MCP 服务器模式（stdio）
node dist/cli.js serve

自动触发（配合 DSH 会话）

用户在会话中表达「想装/想试社区 dsh 插件」时，agent 自动：

1. 静态审计（dynamicOnReview: true）→ 风险为 REVIEW 时自动附加动态沙箱

2. 对话流输出：完整报告 + 动态轨迹（如有）+ 大白话总结

3. 需要时保存文件报告到桌面

检测率（真实恶意样本）

仿真恶意样本库：12 个攻击技法提炼自真实供应链攻击事件的完整 DSH 插件 （凭据窃取+外传 / 供应链 stage2 / 零宽字符投毒 / DNS 隧道 / 持久化后门 / client 钓鱼 / 多层编码混淆 / 延迟+拆串对抗 / 密钥嗅探 / 双面代码 / 依赖链投毒 / registry 篡改）， 全部带伪装业务逻辑与反检测手法。 样本与 ground truth 见 fixtures/malicious-real/。

本轮测试驱动的规则增强（真实对抗手法）：

• T02：零宽字符转义文本形态（\u200b）识别——攻击者用转义规避字符集检测

• T02：AST eval 溯源扩展到 new Function(变量) 间接执行

• T05：AST 数据流外传检查——readFile(敏感路径) → 变量 → fetch 跨行拆分

• T10：homedir()/os.homedir() + 写 API 拼启动文件形态识别

• T06：AST 凭据读取精确判定（读取实参折叠后即敏感路径）

• T14：依赖链投毒——已知恶意包名单 / typosquatting / registry 篡改 / 通配版本

复现：npm run build && node scripts/detection-rate.mjs 回归门槛：node --test test/detection-rate.test.mjs

测试

npm test   # 27 项：T01-T11 恶意样本命中、良性零误报、AST 对抗样本、动态沙箱验收、检测率门槛、契约校验
node scripts/mcp-smoke.mjs   # MCP 工具注册冒烟测试

为什么是 MCP

独立进程 = 信任隔离：扫描器不运行在被审计插件的信任域内，恶意插件无法干扰审计自身；审计对源文件只读（writesPerformed: false 契约），下载物落临时目录自动清理；动态沙箱为独立受限子进程（权限模型 + 插桩 + 超时/内存限制）。

文档

• 设计文档 DESIGN.md — 权威设计来源（威胁模型、架构、协议、路线图）

• 动态沙箱设计 docs/DYNAMIC-SANDBOX.md — 隔离方案（本地方案为主）、验收标准

• 自动触发规范 docs/AUTOTRIGGER.md

• 规则编写指南 docs/RULES.md

• MCP 装配到 DSH docs/MCP-INTEGRATION.md

• 白名单指南 docs/ALLOWLIST.md

许可

Apache-2.0（待正式发布时确认）