Плагины

Декларативные правила разрешений в стиле Claude Code: упорядоченные YAML-правила allow/deny/ask, сопоставляемые с именами инструментов, аргументами, путями рабочего пространства и идентичностью агента на каскаде tools/pre-execute, с полным аудитом журнала сессии, режимом пробного прогона (dry-run) и горячей перезагрузкой.

Набор торгового верстака только для исследований: типизированный шов провайдера рыночных данных с CSV-провайдером-справочником, снимок режима индикаторов на нескольких таймфреймах и инструменты OHLCV, интерактивные карточки графиков в dsh web с аннотациями моделей, ограниченными происхождением, и risk-guard, отклоняющий вызовы инструментов в форме исполнения на tools/pre-execute.

Классифицирует ожидающие вызовы инструментов с помощью Jev (негенеративная решающая модель TypeSafe AI) на хуке tools/pre-execute: уверенно рискованные вызовы отклоняются, неоднозначные эскалируются на подтверждение, а явно разрешённые обратимые вызовы авто-одобряются на approval/request при гейтинге по аргументам-доказательствам. Также наследует резолвер ссылок на сессии, чтобы снапшоты сохраняли сообщения с оценкой Jev, а не отбрасывали самые старые. При любом сбое провайдера деградирует до штатного поведения; теневой режим с командой /jev-stats; эндпоинты TypeSafe или OpenRouter; 64 теста.

Обнаруживает паттерны инъекции промптов, джейлбрейка и утечки секретов на стыках agent/pre-step, tools/pre-execute и tools/post-execute с уровнями allow/ask/block, очищенными событиями аудита defend/detection, инструментом defend_report и защитой от деструктивных команд удаления.

Тонко настраиваемые правила разрешений для каждого инструмента DSH на гейте tools/pre-execute, списки запрета и запроса в синтаксисе правил Claude Code (`Bash(rm -rf:*), Read(_secrets_), mcp__server__tool`), работает автономно без миграции.

Защитный guard для mcp__omni__parse в DeepSeek Harness: слушатель tools/pre-execute, который запрещает URL-адреса частных/зарезервированных хостов (SSRF), применяет allow-list или запрос (согласие) и закрывается при пустом allowedRoots.

Четвёртый пресет прав для dsh: неограниченные сессии с доступом к GPU (danger-full-access) с подтверждением пользователем каждой операции записи вне рабочего пространства или в защищённые пути (.git/**, .env*); реализовано исключительно как бандл поверх официального ask-хука tools/pre-execute, без правок ядра.

Детерминированный шлюз завершения целей для DSH: contract-first грамматика AC с именованными проверками, которые могут провалиться; шлюз сам повторяет все проверки (нулевое доверие модели). Вердикты привязаны к tree digest, поэтому изменения файлов аннулируют успех. tools/pre-execute жестко запрещает ложное завершение `update_goal`; false-complete counter блокирует после двух выявлений. Обработка заявлений на уровне задач с учетом области (strict или goal-only) предотвращает deadlock в многоцелевых циклах Agent Teams.

Предохранитель перед запуском DSH: перехватывает каждый вызов bash/pwsh через `tools/pre-execute`, сначала применяет автономные статические правила, затем спрашивает модель System One от TypeSafe Jev, удалит или перезапишет ли команда реальные данные необратимо. Решения: allow/revise/block/escalate; revise возвращает модели более безопасный вариант, escalate выдаёт одноразовый токен человека. При исчерпании кредита или отсутствии API key сообщает об ошибке явно, не молча. Если ключа нет, запрашивает в диалоге `guard key set` и читает его из stdin. Все вердикты добавляются в общий журнал аудита; тексты на zh-CN/en.

Pre-execute hook that denies writes under a read-only result zone of protected roots; every other path passes through.

Детерминированный шлюз исходящего трафика: проверяет web-запросы и поиск по списку разрешенных адресатов в tools/pre-execute и блокирует до выполнения. Fetch-команды shell отслеживаются; принудительная блокировка включается отдельно.

Защита от самозавершения: safe_kill всегда исключает вызывающий процесс и всех его предков; bash pre-execute выявляет самосовпадения pkill, перехват stdin через sudo -S, rm -rf / и подобные шаблоны. Расширяемые правила block / warn / hint.

Шлюз состязательной проверки вызовов инструментов. Подключается к tools/pre-execute и сначала без задержки применяет локальное regex к разрушительным командам (rm -rf, git push --force, git reset --hard, DROP TABLE, format, запись на диск) и чувствительным путям (.env, id_rsa, .ssh, .git/, $DSH_HOME). Только при совпадении один раз вызывается модель проверки, возвращающая allow или deny. Обычное чтение и запись не попадают в этот маршрут и не добавляют задержки. Каждый вердикт отображается в Web GUI в реальном времени.

Удаляет sandbox_permissions/justification, если они не расширяют текущий sandbox mode, предотвращая сбои вызова. tools/pre-execute сравнивает запрошенный mode с разрешённым политикой сессии и удаляет поля при равенстве или более узком режиме (включая одиночный justification). null, пустое значение и use_default из Codex shell — отсутствие запроса; в danger-full-access удаляются любые значения, включая require_escalated. Реальные запросы расширения, неизвестные режимы и инструменты без схемы DSH остаются ядру DSH. Не расширяет права. Список инструментов настраивается; по умолчанию bash/pwsh/write/edit/run_code. Без зависимостей.

Выполняет оценки Jev (TypeSafe System One) на этапах цикла агента DeepSeek Harness: pre-step, pre-execute, post-execute и остановка хода. Без зависимостей от UI; подключается к любой композиции Harness.

Адаптер workflow SBTD для хоста DSH. Сейчас T5: регистрирует короткий раздел sbtd на китайском, хранит состояние сеанса в процессе, предоставляет `sbtd_plan`, `sbtd_review`, проверки в хуках `tools/pre-execute` и `agent/pre-step`, а также `manuals/`, синхронизируемые из 640-skills только для чтения.

Плагин DeepSeek Harness: задает для развертывания список корней файловой системы, к которым модели запрещено обращаться, и блокирует чтение, запись, поиск и вызовы shell-инструментов на tools/pre-execute.