ARTICLE · 1350878
DSH 插件要装进你电脑:装之前先查这 3 件事
先给你一串数字。DeepSeek Harness（下文简称 DSH）的插件市场里：27,841 个插件做过安全扫描，16,767 个被评为“金级信任”，26,496 个做过沙盒安装实测，17,863 个通过了运行实测，15,261 个是活跃仓库。
这些数字很容易让人放下戒备——毕竟听起来像“都验过了”。
但同一个项目的安全文档里有另一句话：沙箱、审批提示、权限控制能降低风险，但不保证隔离，也不能防止损害。
一边是两万多个通过扫描，一边是官方自己说“不能防止损害”。这两句不矛盾，它们说的是两件事：扫描管的是“你现在装的那个版本”，损害管的是“装上之后它能干什么”。
我的判断是：装插件这件事，本质不是“挑一个好插件”，是“给一段陌生代码发一张门禁卡”。
官方安全文档写得很直接：这类框架能执行模型生成的代码和命令、加载第三方插件、访问网络、进程、凭证和文件。
翻成人话就是四句话：网络——它能访问外部服务；进程——它能在你的环境里执行任务；凭证——它能读取你保存在本机的登录信息；文件——它能读写你指定的目录。
四项加起来，差不多就是“你这台电脑上的全部”。这也就是为什么“装插件”和“装软件”听着像一回事，风险等级却不一样。
四项里最该盯的是“凭证”。文件读写和联网请求，多数情况下你能在系统里看到记录；凭证不一样，它的读取在本机上通常没有任何提示，你只能靠权限档位来判断。
顺带说说审批提示。它的机制是“它要动手时先问你一句”。问题是装十个插件、跑二十轮之后，那个弹窗会变成条件反射——你会本能点“允许”。审批有用没用，取决于你看不看；不看的话，它只是一次点击训练。
第一件，它要什么权限。常见做法是把沙箱分三档：只读、工作区可写（一般是出厂默认，只允许改你指定的文件夹和系统临时区）、完全放开（切换时会有二次确认）。你要做的是看清它当前在哪一档，别凭感觉以为“应该挺安全”。
第二件，它从哪来。作者是谁、仓库还活不活跃、有没有被扫描过。这三样，插件市场的列表页一般都能看到。看不到的，就当没有。
第三件，它改什么。装完会不会动配置文件、会不会开机自动运行、会不会顺手改了你已有目录的权限。这三样最容易被忽略，也最容易出问题。
扫描是“当时那一刻”的体检，不是终身保险。
插件会更新。第一版老老实实读文件，第二版多了一个网络请求，你根本不会察觉——因为你的印象停在了“它扫过了”那一行。
“金级信任”是个评级，不是担保。评级看的是它当时的代码和行为，不是它以后会干什么。
所以更实用的做法是：把“扫描通过”当成“可以试用”，别当成“可以放开”。
怎么判断它有没有变过行为？看三个信号：更新日志里冒出“新增网络请求”“扩大文件写入范围”；版本号跳得莫名其妙；仓库突然换了主要维护者。任何一条出现，都值得你把权限重新看一遍。
第一步，先在最严格的只读沙箱里跑一次。它大概率会报“权限不够”，这恰好是好事——你会从报错里知道它到底想碰什么。
第二步，切到工作区可写，只让它改一个临时文件夹里的东西。别把你的项目目录当试验田，那是你三个月的活。
第三步，确认它确实有用，再考虑放开。放开也只对那一个项目，别全局开。全局放开的意思是：你以后装的每个插件，都直接继承这份权限。
这三步看着麻烦，但它把一个“不可逆”的决定，拆成了三个“可逆”的步骤。
最常见的反面操作是：装完第一天就切“完全放开”，理由是“老报权限不够，太烦”。那一刻你换来的是顺手，押上的是整台机器。
一个插件该不该给完全放开，只需要问一句：它要是干错了，我能不能在一分钟内恢复？
能——备份在、版本能回、目录干净——那就给。不能——那就别给，或者先把它放进一个随时能删掉的环境里。
给权限的标准不是“它值不值得信任”，是“你恢复起来有多快”。因为信任总会出错，恢复能力不会。
再补一个更细的做法：给每个项目单独一个环境。需要放开的插件只在那一个环境里放开，别的项目根本看不到它。这样万一它出问题，波及的只是那一个项目，不是整台机器。
1. 看它现在在哪一档沙箱。看不清就先别装。
2. 看它的来源和最近一次更新。一个两年没动的仓库，和一个每天都在改的仓库，风险不是一回事。
3. 先用只读跑一次，从它的报错里看它想碰什么。这一步的信息量，比读十页介绍都大。
三件事做完再决定放不放权限。这个顺序别倒，倒了就是先给钥匙、再问来意。这句话很值得记一下——它几乎就是所有权限问题的原型。
如果你身边有人刚开始往 Agent 里装插件，把这篇发给他，让他先只读跑一次。也欢迎留言：你装第一个插件时，看权限了吗？
