第 32 卷

第 32 / 43 卷作者：Un-named日期：2026-08-17

github.com/	check pathname	使用之间路径被
deepseek-ai/	race可绕过	换，可越界写
deepseek-	workspace-write
harness/	文件边界

discussions/159

#584https://	scrubbedParentEn	子进程环境	合法环境变量被
github.com/	v子串误伤		scrubbed，行为异
deepseek-ai/	KEYBOARD/MON		常

KEY 等合法环境变 deepseek- 量（附可 cherry-

harness/ pick 修复）

discussions/584

#381https://	默认localhost	前端点击劫持	恶意网页诱导用户
github.com/	Web可被跨站		在dsh UI上点出高
deepseek-ai/	iframe点击劫持，		权限
deepseek-	诱导授权Full
harness/	access并驱动高权
discussions/381	限操作
#817https://	安全审计报告：沙	系统性审计	覆盖vm逃逸（同
github.com/	箱/审批边界绕过与		族#243#778）、
deepseek-ai/	本地RPC无认证		本地/api无鉴权
deepseek-	（PoC可私下提		（同族#451，
harness/	供）		CVSS 8.8）、
discussions/817			approval回环

（#250）

#2562https://	Windows上	编辑器面可写入，
github.com/	workspace-write	ACL沙箱却拒绝
deepseek-ai/	的写围栏把字面量	shell面写同一路
deepseek-	/tmp解析成C:	径，两个写入面对
harness/	\tmp，静默授予一	同一路径判定不一
discussions/2562	个机器级可写目录	致

**同族高价值补充**（帖号来自仓库内 `docs/research/discussion-mining.md` §2.6，该报告称全量 780 帖程序化核验）：

帖号	一句话	启示
#149	workspace-write下可递	工作区内容也要防"自毁"

归删除整个工作区，零确认

#250Web approval 回环：模审批不是安全边界型自批准 danger-full-

access

#461Full Access 模式误删整高权限预设风险实锤个家目录（真实事故）

#587第三方插件 boot 期有全插件信任 = 供应链安全配置树写权限

#466沙箱内 agent 可 taskkill进程可见性在沙箱词汇外杀宿主

#674崩溃后 .tmp 明文会话残隐私风险留不清理

> 免责：以上为 rc.6 时代（2026-08-13 发布后 48h 内）的社区报告，部分可能已在新 rc 修复；

引用时注意版本语境。

13.6.1 Windows 受限令牌的运行期失败签名

上面几条是策略层的边界。Windows ACL 后端还有一类问题在**运行期**才显形，报错长得不像权限问题，所以排查成本很高。以下三条均在 `windows-latest` 或真实机器上实测。

现象	签名	说明
所有HTTPS请求失败	SECENOCREDENTIALS	受限令牌破坏Windows

凭据栈，走 Schannel 的客户端（curl、

PowerShell）全灭，走 OpenSSL 的（node、

python）不受影响。看起来像网络问题

MSYS / Git Bash启动即	cygheapuser::init:	Cygwin的cygheap初
死	NtSetInformationToken	始化需要一个受限令牌不
	TokenDefaultDacl,	允许的token操作，
	0xC0000022	shell到不了提示符。报

错长得像 PTY 问题，其实是 ACL 问题

同上，另一台机器的变体CreateFileMapping同一堵墙的另一个症状， Win32 error 5由第三方在自己机器上独

立复现

**可操作的结论**：受限令牌下要持久 shell，就得换一个没有 POSIX 模拟层的 shell。

busybox-w32 的 `ash` 在同一个受限令牌下能完成 send/read 往返（`windows-latest` CI 实测）。要 Git Bash 就只能把权限切到 `danger-full-access`。

来源 [#2184](https://github.com/deepseek-ai/deepseek-harness/discussions/2184)。

13.7 企业安全基线

给"要上生产 / 团队推广"的决策建议（对齐第 6 章风格）：

维度基线依据

网络暴露保持 loopback（--host#76 #130 #397 0.0.0.0 被官方拒绝是有意

的）；远程认证完善前勿绕过

权限预设默认 workspace-write +官方 preset 表 + #461 ask；danger-full-access

只在隔离机 / 一次性任务用

审批策略人肉应答链路必备；approval.md + #291 headless 用 never（确定

性拒绝）并前置 review 闸

插件治理白名单源 + 装前过 13.5#587 #656 清单；禁止裸 dsh plugin

add github:

工作区边界敏感目录（家目录/密钥目#149 #461 录）不进 workspace；工

作区内容定期提交版本控制

审计会话日志留存（approvalapproval.md + #674 审计对可回溯）；防

.tmp 明文残留

升级纪律rc 阶段每次升级重跑第 12 章 rc 版诚信 13.5 清单（沙箱后端/预

设表可能变）

**决策速记**：本地个人开发 → 默认预设即可；团队共享 → `workspace-write` + ask + 插件白名单；CI/无人值守 → headless + `never` + 前置代码 review；任何场景都别为省事长

期挂 `danger-full-access`。

**场景 → 推荐组合**（决策建议，按上表基线推导）：

场景	推荐组合	理由
本地个人开发	默认workspace-write +	开箱即用，审批不烦人

ask

团队共享主机	workspace-write + ask	多用户共用，插件供应链
	+插件白名单	风险放大
CI /无人值守	headless + never +前	确定性拒绝，无人挂起

置 review 闸

隔离机 / 一次性任务danger-full-access（机授权最大化但攻击面控制器本身隔离）在单机

---

全站分卷索引 · 43 卷