Plugins

Règles de permissions déclaratives façon Claude Code : règles YAML ordonnées allow/deny/ask correspondant aux noms d'outils, arguments, chemins de l'espace de travail et identité de l'agent dans la cascade tools/pre-execute, avec audit complet du journal de session, mode simulation (dry-run) et rechargement à chaud.

Bundle d'atelier de trading réservé à la recherche : jointure de fournisseur de données de marché typée avec un fournisseur de référence CSV, instantané de régime d'indicateurs multi-périodes et outils OHLCV, cartes graphiques interactives dans dsh web avec annotations de modèle soumises à la provenance, et un garde de risque refusant les appels d'outils de type exécution à tools/pre-execute.

Classe les appels d'outils en attente avec Jev (modèle de décision non génératif de TypeSafe AI) sur tools/pre-execute — les appels à haut risque jugés sûrs sont refusés, les ambigus escaladés vers une approbation — et approuve automatiquement les appels réversibles clairement autorisés sur approval/request derrière un filtrage par preuves d'arguments. Sous-classe aussi le résolveur de références de session pour que les instantanés conservent les messages notés par Jev au lieu de supprimer les plus anciens en premier. Revient au comportement d'origine en cas d'échec du fournisseur ; mode fantôme avec une commande /jev-stats ; points de terminaison TypeSafe ou OpenRouter ; 64 tests.

Détecte les motifs d'injection de prompt, de jailbreak et de fuite de secrets au niveau des points de jonction agent/pre-step, tools/pre-execute et tools/post-execute, avec des niveaux allow/ask/block, des événements d'audit defend/detection assainis, un outil defend_report et une protection contre les commandes de suppression destructive.

Règles d'autorisation fine par outil pour DSH au point de contrôle tools/pre-execute, listes de refus et de demande dans la syntaxe de règles de Claude Code (`Bash(rm -rf:*), Read(_secrets_), mcp__server__tool`), fonctionne de manière autonome sans migration.

Garde de durcissement pour mcp__omni__parse dans DeepSeek Harness : un listener tools/pre-execute qui refuse les URLs d'hôtes privés/réservés (SSRF), impose une liste blanche ou demande (consentement), et est en fail-closed quand allowedRoots est vide.

Quatrième preset de permissions pour dsh : sessions sans restriction et compatibles GPU (danger-full-access) avec approbation utilisateur par opération pour les écritures hors espace de travail ou vers des chemins protégés (.git/**, .env*) ; implémenté uniquement comme un bundle au-dessus du hook ask officiel tools/pre-execute, sans modification du cœur.

Gate déterministe d’achèvement d’objectif pour DSH : grammaire AC contract-first avec commandes de contrôle nommées et susceptibles d’échouer ; le gate relance lui-même tous les contrôles (aucune confiance au modèle). Les verdicts sont liés à un tree digest, donc tout changement de fichier invalide l’approbation. tools/pre-execute bloque tout faux achèvement via `update_goal` ; un compteur bloque après deux détections. Le traitement des revendications par tâche, conscient du périmètre (strict ou goal-only), évite les blocages des boucles Agent Teams multi-tâches.

Soupape de sûreté avant exécution pour DSH : intercepte chaque appel bash/pwsh via `tools/pre-execute`, applique d’abord des règles statiques hors ligne, puis demande au modèle System One de TypeSafe Jev si la commande supprimera/écrasera irréversiblement des données réelles. Décisions : allow/revise/block/escalate ; revise soumet au modèle une variante plus sûre, escalate offre un token humain à usage unique. Crédit épuisé ou API key absente : erreur explicite, jamais silencieuse. Si la clé manque, demande `guard key set` dans la conversation et la lit sur stdin. Chaque verdict est ajouté au journal d’audit partagé ; textes zh-CN/en.

Pre-execute hook that denies writes under a read-only result zone of protected roots; every other path passes through.

Barrière déterministe de sortie réseau : vérifie recherches et requêtes Web avec une liste de destinations autorisées dans tools/pre-execute et les bloque avant exécution. Observe les verbes fetch du shell ; leur application est optionnelle.

Protection contre les commandes qui tueraient l’agent : safe_kill exclut toujours l’appelant et ses ancêtres ; bash pre-execute détecte les auto-correspondances pkill, captures stdin de sudo -S, rm -rf / et similaires. Règles extensibles block / warn / hint.

Barrière de revue adversariale des appels d’outils. Accrochée à tools/pre-execute, elle applique d’abord sans latence une regex locale aux commandes destructrices (rm -rf, git push --force, git reset --hard, DROP TABLE, format, écritures disque) et chemins sensibles (.env, id_rsa, .ssh, .git/, $DSH_HOME). Seule une correspondance déclenche un appel au modèle de revue, qui répond allow ou deny. Les lectures ordinaires et écritures courantes ne suivent pas ce parcours et n’ajoutent aucun délai. Chaque verdict s’affiche en direct dans l’interface Web.

Supprime sandbox_permissions/justification lorsque ces arguments ne peuvent élargir le mode sandbox courant, évitant les échecs. tools/pre-execute compare le mode demandé à celui résolu par la politique de session et retire les champs si identique ou plus restreint (y compris justification seule). Traite null, vide et use_default du shell Codex comme absence de demande ; en danger-full-access, retire toute valeur, même require_escalated. Laisse au cœur DSH les véritables élargissements, modes inconnus et outils sans schéma d’escalade DSH. N’élargit jamais les permissions. Liste configurable, défaut bash/pwsh/write/edit/run_code. Sans dépendance.

Exécute les jugements Jev (TypeSafe System One) aux gates de l’agent loop DeepSeek Harness : pre-step, pre-execute, post-execute et arrêt du tour. Aucune dépendance à l’UI ; intégrable à toute composition Harness.

Adaptateur de workflow SBTD pour l’hôte DSH. En T5 : enregistre une courte section sbtd en chinois, l’état de session en mémoire de processus, `sbtd_plan`, `sbtd_review`, des contrôles dans les hooks `tools/pre-execute` et `agent/pre-step`, et `manuals/` synchronisés en lecture seule depuis 640-skills.

Plugin DeepSeek Harness : définit, par déploiement, une liste de racines du système de fichiers auxquelles le modèle ne peut jamais toucher ; bloque lecture, écriture, recherche et appels d’outils shell dans tools/pre-execute.