DSH 沙箱隔离插件：Agent 跑命令不碰你 C 盘，3 条规则自查

DeepSeek Harness（DSH）的主仓现在 26.5 万 Star、MIT 协议、0 个 open issue，最近一次 push 是 10-28——官方基本盘还在高速跑。但真正决定「你敢不敢让它跑命令」的，是生态里的隔离层。今天看 5 个沙箱类插件，加 3 条装前自查规则。

来财IP · AI行业每日情报

先给没接触过 DSH 的读者一句话背景：DeepSeek Harness 是 DeepSeek 官方开源的 Agent 运行框架，口号就是「Everything is a Plugin」——命令执行、工具接入、审批流全是插件，你可以像装 App 一样给它叠各种能力。正因为它「什么都能装」，危险也在这里：一个跑命令的插件权限给大了，Agent 就能删你的文件、改你的配置。隔离类插件解决的就是这个问题——给 Agent 的能力装笼子。

另一个值得注意的信号：主仓 0 open issue。26.5 万 Star 的项目 issue 数挂 0，说明官方在 10 月下旬做了一次 issue 全量清理/重新收敛（或者用项目制管理 issue），配合 10-28 的活跃 push，基本盘没烂——这是选生态之前先看的基本面。

一、5 个沙箱/权限类插件，GitHub 一手核验（2026-10-30）

主仓 0 issue 不等于插件都成熟——上面 5 个里 3 个 10 月还在活跃 push，2 个停更近 2 个月，装之前看 pushed_at，不是看 Star。

再给一个筛选口径：Star 数反映的是「多少人点过赞」，pushed_at 反映的是「作者还在不在维护」。隔离类插件属于安全组件，停更 60 天以上意味着它没跟上主仓的 API 变更，叠上去的风险比不用还大。这 5 个里，dsh-win32（10-28）、dsh-permission-rules（10-27）、dsh-auto-review（10-28）三条都在一个月内活跃，是当前相对稳的组合；另外两条看需求再叠。

把 5 个插件对号入座：dsh-win32 管的是「环境地基」（命令能不能在 Windows 上正常跑），auto-mode 管「命令沙箱」，permission-rules 管「命令+文件白名单」，auto-review 管「审批兜底」，sandbox-escalation-fix 管「会话提权」。你会发现三层里有两层（命令沙箱、审批）有现成插件可叠，文件系统白名单要靠 permission-rules 配置，网络出口则完全没有插件——这就是「3 条规则自查」要逐层打勾的原因。

二、隔离分 3 层，别只盯一层

来财IP · AI行业每日情报

注意第三层是生态缺口——5 个插件没有一个做网络出口管控。如果你的 Agent 要连外部 API，网络隔离得自己在网关层做，别默认「装了沙箱插件就安全了」。

三层之间的优先级也很清楚：命令沙箱是第一道（拦得最多）、文件系统白名单是第二道（拦得最狠）、网络出口是第三道（目前没人拦，风险敞口最大）。把三道全做齐才算「关进笼子」，只做第一道 = 笼门开着，Agent 能顺着网络出口把信息传出去。

三、装前 3 条自查（30 秒过一遍）

1. pushed_at 距今 < 60 天？ 主仓 10-28 push，插件停更 2 个月的先别装（API 可能已经变了）。 2. 有没有声明式规则文件？ permission-rules 这类「规则可审计」的优先于「黑盒自动放行」——出事能查谁批准的。 3. 审批要不要双模型？ 主力模型自己批自己的命令 = 自己给自己盖章。加 auto-review（242 Star，10-28 活跃）做第二道只读 review，是成本最低的一条。

双模型审批值得单独说透：它解决的是「同一个人既当运动员又当裁判」的问题。主力模型负责发起命令（运动员），auto-review 用一个只读模型专门看「这条命令要不要批」（裁判），两个模型不共享上下文、不共享利益，裁判不会被运动员说服。落地成本很低——auto-review 不跑业务，只在审批节点被调用，平时不占资源，是「花小钱买保险」的典型。

四、5 个插件的叠加顺序（别乱装，乱叠会打架）

乱叠隔离插件会互相打架——权限规则说「拦」，自动模式说「放行」，最后谁说了算不可预测。一条稳定的叠加顺序：

顺序的核心是「先立规则、再加自动化、最后兜审批」——自动化必须在规则之上跑，没有基准规则的自动放行 = 无差别放行。

五、最典型的 2 个翻车形态

两个形态都指向同一件事：三层各管各的，缺哪层就开哪个口子。自查时对着上面的 3 层表逐项打勾，哪个打不上勾就是当前最大的敞口。

给个可执行的 30 秒演练：在自己机器上建个空文件夹当「诱饵」（里面放一个 重要数据.txt），让 Agent 跑一条 rm 目标指向该文件夹。理想结果是三层里至少两层拦下它——命令沙箱拦住「rm 工作区外」，文件系统白名单拦住「cd 出工作区」。如果两层都没拦，说明你只装了第一层，补装 permission-rules + 白名单配置。这一条演练能直接暴露你当前哪层是空的。

六、三个常见误区

三条里第一条最伤——它让人以为「装了=安全」，于是网络出口一直是敞开的。自查时把这三条各念一遍，哪条中了就补哪一层。

来财IP · AI行业每日情报

七、对读者意味着什么

• 你在 Windows 上跑 DSH：先装 dsh-win32（148 Star，10-28 活跃）垫底，再叠 permission-rules，最后 auto-review 兜审批——装完 30 秒验一次：让它 del 一个测试文件，看是被拦还是被放行。
• 做 Agent 产品的：隔离层是你对外承诺的「不碰用户数据」的底层，三层里缺网络出口的最多，这条缺口就是你可以做的差异化——谁先把网络出口管住，谁就能对「数据不出本机」给出可审计的证明，这是招商/企业客户最买账的一档。
• 你跑本地 Agent 自动化：把「装前 3 条自查 + 诱饵演练」固化成你的部署清单，每次叠新插件先过一遍，比出事再补便宜一个量级。
• 背景句：最近知乎热榜「古法编程」（75 万热度）讨论的是「模型撤了，本地工具链还活不活」——沙箱插件跑在本地工作区，正好是这套逻辑的落地验证。

数据口径声明

全部 Star/push 时间：GitHub API（api.github.com）2026-10-30 实时查询，主仓 deepseek-ai/deepseek-harness 265,769 Star / MIT / 0 open issue / pushed 2026-10-28；插件数据见上表。本文不含安装教程全步骤，装前先看各仓 README 与 issue。

你订阅的「DSH 插件线」下一篇预告：dsh-desktop 1.7 万 Star 桌面版的 3 个本机部署坑（端口/token/僵尸进程），明天实操。

关注后台回复「沙箱」，领《DSH 隔离规则 3 条自查表》（含权限白名单模板 + 双模型审批接线图）。

免责声明：本文数据均来自公开渠道，仅供信息参考，不构成任何投资或使用建议