dsh 安全指南：沙箱、审批、密钥与安全漏洞披露
DeepSeek Harness 安全吗？一文讲清 dsh 的沙箱三档、审批策略、守卫与超时、密钥保护，以及已公开的安全漏洞披露该怎么看。大白话版 dsh 指南。
最近更新: 2026-10-07
威胁模型，一句话
插件是以智能体权限运行的代码——而智能体能执行命令、改文件、访问网络。安全模型存在的意义，就是让有 bug 的或恶意的插件（以及被哄骗的模型）无法悄无声息地造成破坏。
DeepSeek Harness 用四层来应对：沙箱、审批、守卫、密钥处理。
沙箱：诚实的三个档位
每个会话都跑在进程沙箱里，共三档：
| 档位 | 允许什么 | 什么时候用 |
|---|---|---|
read-only | 能读工作区，不能改 | 代码审查、审计，任何想要零写入的场景 |
workspace-write | 工作区内可读可写，工作区外不可写 | 日常开发——工作的默认形态 |
danger-full-access | 用户账户能碰的一切，智能体都能碰 | 仅在刻意、有人监督的系统级操作时使用 |
隔离尽量用操作系统原生的机制——Linux 上 bwrap/Landlock、macOS 上 Seatbelt、Windows 上 ACL 受限令牌。而且后端如实上报：它承诺的隔离到底有没有生效，一查便知；某个档位没生效，会明明白白显示出来，而不是假装安全。
审批：风险操作先问一声
与沙箱相互独立，风险操作要走审批系统：智能体暂停，你来拍板。什么算"风险"由策略预设调节——从"几乎事事都问"到"只在沙箱外才问"，一个设置整体切换。
实用习惯：一开始从严，观察智能体表现稳定后再放宽。一次审批提示只花一次点击；一次无人监督的工作区外写入，可能搭进去一个下午。
守卫与超时
两道自动机制专治失控：
- 超时 —— 卡住的工具调用会被强制中断，而不是让这一轮永远等下去。
- 循环检测 —— 反复无进展的动作（同一条失败命令一遍遍重试）会触发守卫打断循环。
插件还可以在每次工具执行、每次模型请求前后的拦截点上加自己的守卫——这个接缝在插件开发入门里有讲。
你的密钥去了哪里
凭据（API Key、token）走的是与会话日志分离的独立通道：日志里只记录引用，不记录明文。所以分享或导出会话不会泄露密钥。
另外两个值得知道的默认值：
- 会话日志默认不上传，遥测需显式开启；
- 你贴进对话框的内容模型照样看得到——所以别把密钥当消息内容贴进去；工具支持供应商侧鉴权时优先用它。
尝试任何新东西前的检查清单
- 从
read-only开始，看到可信行为后再升到workspace-write。 - 安装前读插件的源码、许可证和权限声明——安装指南把这套动作变成了例行公事。
- 在一次性工作区里试新插件，别拿主力项目试。
- 留意最初的几条审批提示：它们会告诉你插件到底想干什么。
- 出问题就停会话、删掉插件条目、去仓库提 issue。
已知安全披露，以及怎么读它们
官方讨论区有两份已公开的沙箱相关披露——都是负责任地报告的，都只影响特定配置，都不是停用 dsh 的理由；但都是保持更新的理由。
- **#8887（2026-10-05，严重级别：高）：**经由 dsh 自己的本地控制面
127.0.0.1:3080的沙箱逃逸加审批策略绕过链——沙箱会话里的一条命令（哪怕在read-only文件策略下）就能以你的用户身份写到任意文件。在 0.2.0-rc.2 上验证。 - **#9026（2026-10-06）：**根目录为
/的会话或工作区能通过沙箱的路径检查，进而在所有强制后端（bwrap、Landlock、sandbox-exec）上拿到整个文件系统的读写权。
务实的读法：沙箱是加固手段，不是安全边界。Web UI 保持默认回环绑定、绝不把 3080 端口隧道到你控制不了的网络、别让沙箱会话接触存有贵重资产机器上的不可信内容，修复发布后及时更新。故障排除页在跟这两条线程。
常见问题
安装第三方 dsh 插件安全吗？
没有什么能让不受信的代码变安全——上面这几层让它变得可遏制。审查过的插件、在一次性工作区里从 read-only 试起、再升到 workspace-write，是合理的风险；没审查过的插件直接给 danger-full-access，不是。完整的审查流程在安装指南里。
插件能偷走我的 API Key 吗？ 密钥走独立通道、从不进入会话日志，所以读日志、分享日志都不会泄露。但插件是以智能体权限运行的代码——这正是装之前要读源码的原因，也是工具支持供应商侧鉴权时优先用它、别把密钥贴进对话框的原因。
日常应该用哪档沙箱？
日常工作用 workspace-write；审查、审计、第一次接触新东西用 read-only。danger-full-access 当成 sudo 对待：刻意、有人看着、用完就收。
dsh 有已知的安全漏洞吗？
有——官方讨论区在案的两份公开披露（#8887，本地控制面逃逸加审批绕过；#9026，根目录为 / 的工作区让沙箱失效），都出自 2026 年 10 月。它们是「保持 Web UI 只绑回环、及时更新」的理由，不是恐慌的理由。细节见上一节和故障排除页。
dsh 会把我的会话偷偷传出去吗？ 会话日志默认留在本地，遥测需显式开启。但你贴进对话框的内容照样会发给模型供应商——日志策略改变不了模型能看到什么。