dsh-plugin-autoreview

智能命令审查 · dsh-plugin-autoreview

给 DeepSeek Harness 的 Agent 加一道风险审查：
普通操作直接执行，只有高风险或涉及敏感信息的操作才请你确认。

这是一个 DeepSeek Harness（DSH）插件，适用于 DSH Desktop 和普通 dsh web。

它在权限选择器中提供 「自动审查」 模式。在这个模式下，Agent 的每次工具调用在执行前都会经过风险审查：

审查用的 模型 和 思考程度 可以在插件页单独设置，例如用一个便宜、快速的模型专门做审查。

效果预览

在输入框下方的权限选择器中选择「自动审查」：

审查模型判定为高风险时，弹出标准审批卡片，并附上理由：

明显危险的命令由本地规则直接拦下，不需要等待模型：

安装后，插件出现在侧栏「插件」页的「已安装插件」中：

> 截图来自隔离测试环境（DSH 0.2.1-rc.2）。环境中接入的是一个本地测试网关，所以模型名显示为 agent-model 和 reviewer-mini。实际使用时显示你自己配置的模型。

安装

要求 DSH 0.2.1-rc.2 或更新版本。DSH Desktop 当前固定的上游版本就是 0.2.1-rc.2。插件是纯 JavaScript，不需要构建。

方式一：插件页（推荐）

1. 在 DSH Desktop 侧栏打开 插件，点击 添加插件。
2. 输入下面的 Git 地址，点击 安装：

https://github.com/Fleey/dsh-plugin-autoreview.git

3. 安装完成后点击 立即启用。如果页面提示需要重启，就重启 DSH Desktop。

也可以先把仓库克隆到本地，在第 2 步输入本地目录的绝对路径。本地目录以链接方式安装，修改代码后重启 DSH 即可生效，适合二次开发。

方式二：Desktop 终端

从托盘或 Desktop 设置打开 Open DSH Terminal，然后运行：

dsh plugin --profile desktop add https://github.com/Fleey/dsh-plugin-autoreview.git

然后重启 DSH Desktop。使用普通 dsh web 时，把 desktop 换成 web。

卸载

在插件页的插件详情中点击 卸载，或者运行：

dsh plugin --profile desktop remove dsh-plugin-autoreview

使用

1. 在对话输入框下方的权限选择器中选择 自动审查（带 EXP 标记），勾选风险提示并确认。
2. 之后这个会话中的工具调用都会按上表审查。放行时没有任何提示，只会比平时稍慢；需要确认时弹出审批卡片。
3. 切换回其他权限模式后，审查立即停止。

> 注意：「自动审查」模式下 Agent 不使用沙箱（与「完全权限」相同），安全性完全依赖审查结果。请在理解这一点之后再启用。

设置

打开侧栏 插件，进入 智能命令审查 的详情页即可看到设置。修改后点击 保存，新设置对下一次工具调用生效，不需要重启。

这些设置保存在当前 profile 的 cordis.patch.yml 中，也可以手动编辑：

- id: dsh-autoreview
config:
provider: deepseek        # 留空则跟随会话模型
model: deepseek-chat
reasoningEffort: ''       # 留空则使用模型默认值
threshold: high           # high | medium
scope: balanced           # balanced | all
onError: ask              # ask | deny
timeoutSeconds: 90
trustedTools: []
customRules: ''

工作原理

Agent 发起工具调用
│
├─ 不是「自动审查」模式 / run_code 外层 / 内部工具 / 信任的工具 ─▶ 交给后续流程
│
├─ 本地规则：危险命令（rm -rf ~、sudo、curl | sh、mkfs、git push --force …）─▶ 请你确认
├─ 本地规则：只读工具读取敏感路径（.env、~/.ssh、*.pem、credentials.json …）─▶ 请你确认
├─ 「均衡」范围下的普通只读调用、项目内文件编辑 ─▶ 直接执行
│
└─ 其他调用 ─▶ 审查模型返回 {risk, sensitive, reason}
├─ high、sensitive，或达到你设置的阈值 ─▶ 请你确认（卡片显示 reason）
└─ 其他 ─▶ 直接执行

• 插件注册 DSH 的 auto 权限预设（无沙箱 + ask 审批策略），并在 tools/pre-execute 流水线最前面检查每个调用。
• 审查模型只收到这次调用本身：工具名、参数（过长的文件内容会截断）、工作目录、操作系统，以及本地规则命中的提示。它不会收到对话历史。审查请求不写入会话记录。
• 模型回复不是 JSON 时，插件会把这次回复发回去要求更正，最多重试一次。仍然失败时按「审查失败时」的设置处理，卡片中会附上模型回复的开头部分，便于排查。
• 相同的调用在 15 分钟内复用上一次的审查结果。修改模型、阈值或自定义规则后会重新审查。
• 如果后续的其他插件拒绝、取消或要求确认这次调用，它们的决定优先。

注意事项与限制

• 不要和官方实验插件「自动授权审查」（@deepseek-ai/dsh-experimental-auto-review）同时启用。 两者都提供「自动审查」权限模式，后加载的一方会启动失败，日志中会说明原因。
• 选择「自动审查」时弹出的确认框由 DSH 提供，其中写的是“由与当前 agent 相同的模型进行审查”。使用本插件时，实际模型以设置页为准。
• 进程内子 Agent 的审批策略固定为 never，无法弹出确认，所以子 Agent 中需要确认的调用会被直接拒绝。
• 模型可能误判。本地规则只覆盖常见的危险模式，不是完整的安全沙箱。run_code 程序内部直接执行的代码不经过审查，只有它调用的工具会被审查。
• 每次送审都会产生一次额外的模型请求，会消耗 token 并增加延迟。可以用「均衡」范围、更快的模型或「信任的工具」来减少开销。
• 禁用或卸载插件时，正在运行的「自动审查」会话会切换到「完全权限」。已保存为「自动审查」的旧会话在插件缺失时无法重新打开（这是 DSH 的限制），重新启用插件即可恢复。

开发

git clone https://github.com/Fleey/dsh-plugin-autoreview.git
cd dsh-plugin-autoreview
npm test

npm run check 会先检查三个入口文件的语法，再运行单元测试。测试只依赖 Node.js 22 内置的 node:test。

许可证

MIT