DeepSeek 插件生态失控：安全权限形同虚设

DeepSeek Harness 开源十余天后，GitHub 上 dsh-plugin 标签下的仓库数已过万。我们拆解了这些仓库，写了探针插件实测权限，也安装了 20 余个下载量最高的插件跑了一夜，发现这个标榜“一切皆插件”的生态，目前几乎处于无人治理状态。

01 一万多个插件，真正能用的有多少？

同一天，不同网站统计的插件数量各有说法，原因在于“插件”还没有公认定义。把整个生态做成漏斗：从顶层到第三层缩水 81%，第三层到第五层再缩水 55%。所以“有一万多个插件”和“只有不到一千个能用”同时成立。

官方对插件生态的全部指引，只有 README 和 CONTRIBUTING 里的两句话：打上 dsh-plugin 标签，方便别人发现。没有目录、搜索、版本兼容矩阵、签名校验、安全上报通道，也没有官方推荐清单。任何人都能给自己仓库打任意标签，无需审批。

官方 README 链接点过去，GitHub 默认按“最佳匹配”排序，结果排名第四的是一个 2020 年就存在的简历生成器，比 DeepSeek Harness 早了六年，只因为加了个标签就混进前排。

有人整理了 1,883 条拒稿记录：93% 的仓库按规则装不上，没有 dsh.bundle 声明，也没有 dsh 依赖。但被拒不等于空壳。随机抽 50 个，只有 1 个在 5KB 以下，中位数 407KB，最大 336MB；三成用的语言根本无法做插件——插件走 npm，Node 之外的进不来。

真实构成分三类：少量纯空壳；代码完整但没按规则打包；以及完全无关的东西——Windows 启动器、macOS 组件、桌面客户端，还有 505 个名字里带 deepseek-harness-desktop 的仓库，多个团队做同名客户端。社区甚至有人做了个插件，把界面装扮成 2005 年中文门户，假广告位里实时拉取真实仓库。

02 开放了内核，但大家只想装工具

注册表 2,143 个插件分三类：卖铲子的（市场、计费、文档）、娱乐体验（主题、桌宠）、扩展能力（工具、记忆、视觉）。下载量前三全是市场和界面类；第四名才是视觉插件。把这个分类套到 Anthropic 的 Claude Code 插件生态，结构几乎一致。

这解释了为什么全生态下载量第一的插件，功能是帮你找插件。它周下载 15.9 万，约为官方入口的 24%。

官方最自豪的“没有特权内核、主循环都能换”，实际使用者寥寥。真正以插件形态替换主循环的只有两个：一个换成 Kimi Code，周下载 438；另一个补了“暂停当前回合”功能，连 npm 都没发。相反，换模型接口被 69 个插件用爆了。

03 装一个插件的代价

dsh 有三档文件权限。我们写了一个最小探针插件，用正常流程安装，在三档权限下各跑九项试探，结果全部成功——任何一档都无法约束插件行为。read-only 档下，探针照样列 ~/.ssh/、读到 API Key、写 /tmp、连外网。

原因是插件不需要请求 dsh 帮忙，它自己就是 dsh，权限设置挡不住。最坏情况下，插件能做的事等于你电脑账号能做的一切。安装插件不需要授权，装上即可生效。