セキュリティと権限

DeepSeek Harness Web UIの認証ゲート。ログインゲートはページ、/api、/plugins、WebSocketアップグレードをカバー。PBKDF2パスワードハッシュ、HttpOnly SameSiteセッションCookie、IPベースのログインロックアウト。招待コードによる登録。TOTPまたはパスキー(WebAuthn)による2要素ログイン。アカウントごとに複数キー、QRでの携帯登録、ユーザー名なしサインイン、ログイン要素の追加・削除前にパスワードまたは第二要素のステップアップ。ユーザー管理設定パネル(ユーザー自身のプロフィール編集、TOTPとパスキーの管理、管理者によるユーザー追加・削除、パスワードリセット、招待管理、紛失デバイスのパスキークリア)。管理者専用のモデル・APIキー設定ガード。REST/list APIとWebSocketイベントストリームでのユーザー単位の分離。再起動後も持続するセッション。JSONL監査ログ。フェイルクローズドゲートウェイ。設定なしで両方のDSHトランスポートライン(0.1.1-rc.2レガシーと0.1.2+モダン)で動作。パスキーログインにはブラウザがセキュアコンテキストを要求するためlocalhostまたはHTTPSオリジンが必要。

DeepSeek Harness向けCCスタイル自動承認。決定論的な拒否/許可ルールに加え、サーキットブレーカーと拒否ガイダンスを備えた2段階の許可/却下分類器。

DeepSeek Harness (DSH)用マルチテナントプリミティブ：テナントID、不変セッション所有権、フェイルクローズド認可、および交換可能な所有権ストア契約。

DeepSeek Harness Web 用 Caddy forward_auth 管理者ログイン。Argon2id パスワード、取消可能セッション、バイリンガル UI、ネイティブサイドバーサインアウトアクション。

DSH 向けの認証情報プロバイダー。パスワード保護された AES-256-GCM ストレージ、Argon2id 鍵導出（旧 scrypt v2 からの自動アップグレード）、SHA3-256 整合性チェック、一時的なランタイム復号を提供します。

Web UI に Auto Approve 権限プリセットを追加。制限付きの新規レビュアーエージェントが各承認リクエストを許可/拒否する。

DSH Web の一時停止プラグインです。agent が 1 回分のツール対話を終え、次のモデルリクエストを送信する直前で一時停止し、composer の入力欄は使える状態のままにします。人間が Enter／送信で再開し、補足テキストを添えることもできます。この一時停止は進行中の API 呼び出しを中断せず、モデルのコンテキストは常に完全なままで、モデル側はそれを感知しません。純粋なプラグインで自己完結しており、DSH のソースコードは変更しません。

workspace-write++ 権限を追加します。ファイルツールをワークスペース内に保ちつつ、Git Bash などワイルドカードで許可リスト登録された実行ファイルに対して Windows のプロセスサンドボックスをスキップします。

メタデータとディープサプライチェーンスキャンでリスクのある npm インストールをブロックする DeepSeek Harness プラグイン。

DeepSeek Harness 向けセキュリティ監査プラグイン：サードパーティプラグインに対する静的パーミッションプロファイリングとランタイムセンチネル

DSH プラグイン向け静的セキュリティスキャナー: 読み取り専用監査(exec、資格情報、情報流出、難読化、インストールスクリプト、バンドルマニフェスト)と 0-100 のリスクスコア。

dshプラグインのインストール前静的セキュリティレビューとランタイムガード：難読化デコード、サプライチェーン検査、Webワンクリックレビュー/インストール/アンインストール、およびオプションのランタイムツールコールガード。

サードパーティプラグインを信頼する前に審査: 悪意あるパターン(情報流出、資格情報アクセス、難読化、永続化)と過剰特権パス利用の静的スキャン、推移的依存カバレッジ、サプライチェーン改ざん検出向け公式パッケージハッシュベースライン、オプションのプラグインツール呼び出しゲート。

プロンプト・ツール引数・結果テキストを保存せず、ターンごとのツール呼び出し件数と大まかな検証シグナルのみをローカル JSONL として記録。

実行前に DeepSeek Harness のツール呼び出しを許可、確認、または拒否します。

承認が必要なツール呼び出しの自動承認とレビュー：キーワードバケットがコンテキストなしでレッドラインに一致し、次にジャッジモデルが要求された内容を分類し、一致した行とリスクレベルに従って許可、拒否、または人間に送ります。実行されなかった判断は常に人間に回され、拒否はモデルに理由を伝えます。

宣言したワークスペースのサブパス（例：.git）を読み取り専用に保ち、ワークスペースルートの読み取り専用ルールファイルに従い、workspace-write では追加の書き込み可能ルートを許可し、モデルがセッション単位の書き込みアクセスを要求できるようにします。サンドボックス化された CLI コマンドと write/edit ツールに対して適用されます。

設定されたツール（既定は bash、pwsh）の実行前にワンショットのユーザー承認を要求します。ゲート対象のツールは一時停止して確認を求め、それ以外は委譲され、承認チャネルが存在しない場合はフェイルクローズします。

独立した承認サブエージェントがすべてのサンドボックスエスカレーションを判定します。設定可能なモデルと監査ログを備えています。

DeepSeek Harness用SecurStackプラグイン：セキュリティスキャン、ポリシー検査、doctor診断、JSON CLI結果を提供。

DeepSeek Harness向けplugin信頼パイプライン：判定付きの決定的static scan、honeypot lureを用いるオプトインruntime guard、エージェント監査プロトコルskill、ブラウザーshieldステータスライト。アラーム専用で、強制は行いません。

サンドボックス昇格リクエストに対するLLM自動承認。プリセットとフェイルクローズ方式のフォールバックを備えます。

dsh のルール実行エンジン：AGENTS.md を解析し、ルール違反のツール呼び出しをハードブロック、テキストベースの B/D ルール監査、/guard コマンド、バージョン付きファイルの version-guard、フリーゾーン対応（エンジンはフリーゾーン区間をスキップ）。