DeepSeek Harness 플러그인 보안 체크리스트

체크리스트가 있는 이유

DeepSeek Harness는 능력을 Cordis 플러그인으로 만듭니다. 합성으로 fork를 피하는 내기입니다. 동시에 스킨·「도우미」·비전 팩도 도구 면을 넓힐 수 있습니다. 이 글은 플러그인 가이드와 큐레이션 디렉터리의 권한 사고방식 짝이며, 취약점 DB도 스토어 평점도 아닙니다.

dsh plugin add를 복사하기 전에

1. README의 정확한 설치 줄을 읽으세요 — github:owner/repo인지 npm 스코프인지. 오타는 낯선 사람을 설치합니다.
2. 저장소를 여세요 — 최근 커밋, 라이선스, 등록 도구 설명 여부.
3. 폭발 반경을 정하세요 — 먼저 폐기 워크스페이스. 첫날에 급여 저장소는 안 됩니다.
4. 고정할 DSH 프리뷰 버전을 적어두세요. 플러그인 SHA만 있으면 사고를 재현할 수 없습니다.

공식 자료와 GitHub topic dsh-plugin은 발견면입니다. 이 사이트의 큐레이션 카드는 요약 재작성일 뿐, 안전을 인증하지 않습니다.

정말 중요한 권한 질문

소리 내어 묻거나 PR에 쓰세요:

• 이 플러그인이 셸을 띄울 수 있나요?
• 선택한 워크스페이스 루트 밖을 읽고 쓰나요?
• 「텔레메트리」「트레이스 업로드」「자동 업데이트」로 네트워크를 요구하나요?
• UI 스킨이 외관만인가요, 아니면 도구도 등록하나요? (스킨은 Cordis 버스를 공유합니다 — UI 스킨.)

README가 답하지 못하면 민감한 트리에 넣지 마세요.

설치 후 — 무엇이 바뀌었는지 증명

1. 플러그인이 건드리는 프로필을 다시 로드/재시작.
2. 버릴 폴더에서 저위험 프롬프트 하나.
3. Trajectory/세션 로그를 엽니다(관측성 입문). 예상 밖 도구 이름을 찾으세요.
4. 설명 못 할 호출이 보이면 다음을 더하기 전에 마지막 플러그인을 제거하세요.

새 패키지 세 개를 한꺼번에 디버깅하는 일이 “에이전트가 미쳤다” 이야기의 시작입니다.

큐레이션 ≠ 승인

| 신호 | 의미 | 의미하지 않음 |
|------|------|---------------|
| 이 디렉터리의 카드 | 요약+설치 줄 재작성 | 보안 감사 |
| GitHub 스타 | 인기 | 안전한 기본값 |
| MIT / BSD | 재배포 조건 | 무해한 도구 |
| 노트북에서 동작 | 오늘 호환 | 다음 주도 안전 |

문제가 나면 이 독립 포털 스크린샷보다 업스트림 GitHub issues를 우선하세요.

최소 운영 체크리스트(런북에 복사)

• [ ] 폐기 가능한 워크스페이스 선택
• [ ] DSH 버전 고정
• [ ] 플러그인 SHA 또는 tag 기록
• [ ] README 권한 훑어보기
• [ ] 첫 작업 후 Trajectory 한 번 검토
• [ ] 롤백 계획(플러그인 제거 / 프로필 복원)

관련 글

• 0.1.2-alpha.1 이전 제품 제어면: DeepSeek Harness CVE-2026-82533
• 운영 여정: 발견 → 추가: DSH 플러그인 찾고 추가하기
• 설치와 작성자용: 플러그인 가이드
• 탐색: 커뮤니티 플러그인
• 환경이 버그일 때: npx / 포트 3080
• 발견면 수정은 업스트림으로: 기여