Plugins

Deklarative Berechtigungsregeln im Claude-Code-Stil: geordnete Allow/Deny/Ask-YAML-Regeln, die Toolnamen, Argumente, Arbeitsbereichspfade und Agentenidentität in der tools/pre-execute-Kaskade abgleichen, mit vollständigem Sitzungsprotokoll-Audit, Trockenlaufmodus und Hot Reload.

Nur-Forschung-Trading-Workbench-Bundle: Typisierte Marktdaten-Provider-Schnittstelle mit einem CSV-Referenz-Provider, Multi-Timeframe-Indikator-Regime-Snapshot und OHLCV-Tools, interaktive Diagramm-Karten in dsh web mit herkunftsgesteuerten Modell-Annotationen und ein Risk-Guard, der ausführungsähnliche Tool-Aufrufe bei tools/pre-execute ablehnt.

Klassifiziert anstehende Tool-Aufrufe mit Jev (dem nicht-generativen Entscheidungsmodell von TypeSafe AI) auf tools/pre-execute — sicher hochriskante Aufrufe werden abgelehnt, unklare zur Freigabe eskaliert — und genehmigt klar erlaubte, reversible Aufrufe auf approval/request automatisch, hinter Argument-Evidence-Gating. Erweitert außerdem den Session-Reference-Resolver per Subclassing, damit Snapshots Jev-bewertete Nachrichten behalten statt älteste zuerst zu verwerfen. Fällt bei jedem Provider-Fehler auf Standardverhalten zurück; Shadow-Modus mit /jev-stats-Befehl; TypeSafe- oder OpenRouter-Endpunkte; 64 Tests.

Erkennt Muster für Prompt-Injection, Jailbreak und Secret-Leak an den Übergängen agent/pre-step, tools/pre-execute und tools/post-execute – mit den Stufen allow/ask/block, bereinigten defend/detection-Audit-Ereignissen, einem Tool defend_report und einem Guard gegen destruktive Löschbefehle.

Feingranulare Berechtigungsregeln pro Tool für DSH am tools/pre-execute-Gate, Deny- und Ask-Listen in Claude-Code-Regelsyntax (`Bash(rm -rf:*), Read(_secrets_), mcp__server__tool`), funktioniert eigenständig ohne Migration.

Härtungs-Guard für mcp__omni__parse in DeepSeek Harness: ein tools/pre-execute-Listener, der private/reservierte Host-URLs ablehnt (SSRF), eine Allow-List oder Ask (Consent) erzwingt und fail-closed ist, wenn allowedRoots leer ist.

Viertes Berechtigungs-Preset für dsh: unbeschränkte, GPU-fähige Sitzungen (danger-full-access) mit Benutzerfreigabe pro Operation für Schreibvorgänge außerhalb des Arbeitsbereichs oder in geschützte Pfade (.git/**, .env*); rein als Bundle über den offiziellen ask-Hook tools/pre-execute umgesetzt, ohne Kernänderungen.

Deterministisches Zielabschluss-Gate für DSH: contract-first-AC-Grammatik mit benannten, fehlschlagbaren Prüfkommandos; das Gate führt jede Prüfung selbst erneut aus (null Modellvertrauen). Urteile sind an einen Tree-Digest gebunden, daher machen Dateiänderungen ein bestandenes Urteil ungültig. tools/pre-execute verweigert falschen Abschluss bei `update_goal`; ein false-complete-Zähler blockiert nach zwei Treffern. Umfangsbezogene Aufgabenbehauptungen (strict oder goal-only) verhindern Deadlocks in Multi-Task-Agent-Teams-Schleifen.

Sicherheitsventil vor der DSH-Ausführung: Fängt jeden bash/pwsh-Aufruf über `tools/pre-execute` ab, wendet zuerst Offline-Statikregeln an und fragt dann TypeSafe Jevs System-One-Modell, ob der Befehl reale Daten unumkehrbar löscht/überschreibt. Entscheidungen: allow/revise/block/escalate; revise gibt dem Modell eine sicherere Fassung, escalate bietet ein einmaliges menschliches Token. Bei erschöpftem Guthaben oder fehlendem API key gibt es einen deutlichen Fehler, keinen stillen Ausfall. Fehlt der Schlüssel, fordert der Dialog `guard key set` an und liest ihn von stdin. Jeder Entscheid kommt ins gemeinsame Auditlog; Texte zh-CN/en.

Pre-execute hook that denies writes under a read-only result zone of protected roots; every other path passes through.

Deterministisches Egress-Gate: Prüft Web-Fetches und -Suchen in tools/pre-execute gegen eine Ziel-Allowlist und verweigert sie vor Ausführung. Shell-Fetch-Verben werden beobachtet; Durchsetzung ist optional.

Schutz vor selbstbeendenden Befehlen: safe_kill schließt Aufrufer und alle Vorfahren immer aus. bash pre-execute erkennt pkill-Selbsttreffer, sudo -S-stdin-Abgriffe, rm -rf / und Ähnliches. Erweiterbare Regeln mit block / warn / hint.

Adversariales Prüf-Gate für Tool-Aufrufe. Es hängt an tools/pre-execute und prüft zerstörerische Befehle (rm -rf, git push --force, git reset --hard, DROP TABLE, format, Schreibzugriffe auf Datenträger) sowie sensible Pfade (.env, id_rsa, .ssh, .git/, $DSH_HOME) zuerst verzögerungsfrei per lokaler Regex. Nur bei Treffer erfolgt ein Aufruf des Review-Modells, das allow oder deny zurückgibt. Normale Lese- und Schreibvorgänge durchlaufen diesen Pfad nicht und verursachen keine Zusatzlatenz. Jedes Urteil erscheint live in der Web-GUI.

Entfernt sandbox_permissions/justification, wenn sie den aktuellen Sandboxmodus nicht erweitern können, und verhindert so Aufruffehler. tools/pre-execute vergleicht angeforderten mit dem durch die Sitzungspolicy aufgelösten Modus und entfernt Felder bei Gleichheit oder engerem Modus (auch einzelnes justification). null, leer und use_default aus Codex-Shell gelten als keine Anfrage; bei danger-full-access werden alle Werte einschließlich require_escalated entfernt. Echte Erweiterungen, unbekannte Modi und Tools ohne DSH-Eskalationsschema bleiben beim DSH-Kern. Erweitert nie Berechtigungen. Toolliste konfigurierbar; Standard bash/pwsh/write/edit/run_code. Keine Abhängigkeiten.

Führt Jev-(TypeSafe-System-One-)Bewertungen an den Agent-Loop-Gates von DeepSeek Harness aus: pre-step, pre-execute, post-execute und Turn-Stopp. Keine UI-Abhängigkeiten; in jede Harness-Komposition integrierbar.

SBTD-Workflowadapter für den DSH-Host. Derzeit T5: registriert einen kurzen chinesischen sbtd-Abschnitt, Sitzungszustand im Prozess, `sbtd_plan`, `sbtd_review`, Sperren in den Hooks `tools/pre-execute` und `agent/pre-step` sowie schreibgeschützt aus 640-skills synchronisierte `manuals/`.

DeepSeek-Harness-Plugin: Legt je Deployment eine Sperrliste von Dateisystemwurzeln fest, die das Modell niemals berühren darf, und blockiert Lese-, Schreib-, Such- und Shell-Toolaufrufe unter tools/pre-execute.