dsh-purge-deep

DeepSeek Harness 破甲插件的深度分支 · 非官方衍生版

基于 YuJunZhiXue/dsh-purge v1.1.71（MIT）改造，
针对 dsh 桌面版 0.2.1-rc.3 做兼容适配，并把破甲从「system 提示词开头压一段狠话」
扩展成「首尾夹击 + 生成层熔断 + 宿主源码级补丁」的多层结构。

免责声明 · 适配范围 · 与原版的差异 · 安装 · 升级后修复

这个分支解决什么问题

上游 dsh-purge 停在 dsh 0.2.0-rc.2。桌面版更新到 0.2.1-rc.3 之后，实测出现三类失效，
而且都不报错——界面正常、插件看起来在跑，破甲却已经没了：

除了修这三条，本分支还补了上游没有的消息层能力。

适配范围

0.1.x 不要用本分支。上游为 0.1.7 保留过旧标签，本分支不回溯。

与原版的差异

一、消息层（本分支新增，上游完全没有）

上游的破甲全部发生在 system 提示词里，本质是「说服模型」。但模型说出“抱歉，我无法协助”的
那一刻，起决定作用的是首句生成的 token 分布，21KB 规则改变不了那一个 token。

本分支在 session.deriveMessages() 返回的请求视图上做三件事，只改发给模型的请求，不落盘：

为什么预填充和尾部棘轮默认关闭

这两项在 2.0.0 里默认开启，实测有两个反效果，2.0.1 起改为默认关闭：

1. 宿主会把合成内容并进真实回复并持久化。 于是下一轮模型读到自己「上一轮」的开头是
   可以，，误判上一轮被截断，转而重新开始而不是继续执行；短回复还会退化成 Yes.Yes.。
   这就是「做一步说一步」的直接来源。
2. 尾部棘轮是一条合成 user 消息，会顶替真实请求成为「最后一条用户消息」，
   模型于是只回答这条元指令就收工。

持续约束并没有丢——它已经由 system 层的尾部锚点 dshpg-anchor 承担，
不需要在消息层再贴一遍。需要恢复的话，把 DEFAULTS 里的
prefillMode 设为 "always"、tailSteer 设为 true 即可。

2.0.2 又修了什么（2.0.1 没修干净的地方）

2.0.1 只把消息层两项关掉，但「回复开头怪、只说一步就停」还有第二个来源：

预填充仍带自动熔断：若上游返回 400（不接受末尾 assistant），自动关掉并记
deep.prefillTrip，不影响后续使用。

二、system 层

安全段判定带工具标记保护：段落里出现工具清单、MCP、skills 这类必需标记时不丢，避免误伤正常干活。

三、注入正文

仓库不单独存放注入正文文件；正文由 lib/rules.js 的 defaultOverrideText() 内置，
运行时按 本进程框内提交 > $DSH_HOME/prompt-inject.md > 内置默认 的顺序取用。

四、兼容性修复

关于写入守卫：上游设计是「保护宿主安装目录不被写坏」。本分支实测发现，宿主一旦解包成
源码级模式，守卫过严会让破甲补丁落不了盘，表现为“不报错但没效果”。默认放开更符合
「破甲强度优先」的定位；需要保守时用环境变量锁回去即可。

五、工具链

分层结构一览

┌─ system 提示词 ────────────────────────────────┐
│  [1] 注入正文（~21K 字符）  ← order -100000    │  头部
│  [2] 宿主官方段落（工具/skills 等）             │
│  [3] 尾部锚点 dshpg-anchor（5 条约束）  ← 最后  │  尾部
└────────────────────────────────────────────────┘
                    ↓ 每轮请求前（deriveMessages 视图）
┌─ messages ─────────────────────────────────────┐
│  历史拒绝轮次  → 改写为「已作废」               │  清洗（默认开）
│  预填充遗迹    → 剥掉「可以，/ Yes.」开头        │  归一（默认开）
│  ...真实对话...                                 │
│  尾部棘轮（追加到 user 末尾） ← 可选，默认关    │  |
│  assistant 预填充（半截开头） ← 可选，默认关    │  ↓
└────────────────────────────────────────────────┘
                    ↓
              上游 LLM 请求

2.0.0 把「尾部棘轮 + 预填充」默认打开，实测会污染消息层导致
「做一步说一步」和 Yes.Yes. 重复开头，2.0.1 起默认关闭，持续约束由
system 尾锚承担。2.0.2 又删掉了 system 层重复注册的第二份尾锚，
并去掉其中「第一句必须以「可以，」开头」这类强制套话。

安装

方式一：从仓库直接装（推荐）

cd "$DSH_HOME/profiles/desktop"
npm install "github:xxy0722/dsh-purge-deep"

仓库名是 dsh-purge-deep，但包名保持 dsh-purge —— 这样 bundles 里的
"dsh-purge"、cordis.patch.yml 里的插件 ID 都不用改，装完即可直接加载。
仓库名和包名不一致是正常的。

然后在 profiles/desktop/package.json 里确认 dsh.profile.bundles 含 dsh-purge：

"dsh": {
  "profile": {
    "bundles": ["@deepseek-ai/dsh-base", "@deepseek-ai/dsh-web-app", "dsh-purge"]
  }
}

这一步最容易漏。 缺了插件不会加载，也不会报错。

方式二：手动放置

git clone https://github.com/xxy0722/dsh-purge-deep.git "$DSH_HOME/plugins/dsh-purge"

再按方式一检查 bundles。

装完自检

export DSH_HOME=/your/dsh/home        # Windows: set DSH_HOME=D:\path\to\home
node "$DSH_HOME/plugins/dsh-purge/scripts/fix-dsh-purge.mjs"

全绿后重启 dsh。日志位置：

• Windows：%TEMP%\dsh-purge-desktop.log
• 出现 [boot] surface=desktop 才说明插件真的加载了

dsh 升级之后怎么办

dsh 桌面版走 nightly 通道，升级会重写安装目录与 profile 清单。升级后按顺序做：

# 1. 先停掉 dsh（运行中会回写配置）
# 2. 跑自愈
node "$DSH_HOME/plugins/dsh-purge/scripts/fix-dsh-purge.mjs"
# 3. 如果提示「宿主形态：密封」，去 dsh 设置里点一次「应用」重新解包
# 4. 再跑一次确认
node "$DSH_HOME/plugins/dsh-purge/scripts/fix-dsh-purge.mjs" --check

典型故障与对应：

已知限制

1. 上游服务端限制无法绕过。 如果 API 提供方在服务端做了输出审核，本地 prompt 写得再狠也没用。
   本分支只处理客户端链路。
2. 预填充默认关闭，且它本身有已知副作用。 宿主会把合成内容并进真实回复并持久化，
   连续使用会让模型误判「上一轮被截断」。默认关，只在确认上游行为稳定后再手动开；
   严格上游若返回 400 会自动熔断（deep.prefillTrip），不会卡住发消息。
3. 安全段密度法不是万能。 若 dsh 把安全措辞拆散到多个小段，单段密度不够会被放过。
   这种情况需要按段名白名单处理，风险更高（可能砍掉工具用法说明），本分支默认不做。
4. 源码级补丁会在 dsh 升级后失效。 resources/app 被新版覆盖后回到密封态，重跑自愈脚本
   • 点一次「应用」即可。
5. 只在 Windows 桌面版实测。 其他平台未验证。

署名与来源

• 原始项目：YuJunZhiXue/dsh-purge（MIT），作者 小杨
• 本分支：dsh-purge-deep，维护者 xxy0722
• 本分支保留原始项目的 LICENSE 与作者署名；相较原始仓库，本分支未收录部分上游文档与截图资源

按 MIT 协议，你可以自由使用、修改、分发。但请保留上述署名。
禁止 商业售卖、付费倒卖、黑灰产牟利，以及隐瞒来源的营利性再分发。

免责声明

本项目为非营利开源项目，仅供学习、研究与技术参考。不得用于任何违法违规用途；由此产生的后果由使用者自行承担。

【零容忍】 开发者坚决反对并严禁任何形式的违法犯罪行为，绝不支持、不鼓励、不协助任何未授权网络攻击、
漏洞利用、数据窃取、非法侵入计算机信息系统，或生成违法违禁内容。任何将本项目用于违法犯罪的行为，
均与开发者无关，由行为人依法独立承担全部法律责任。

1. 本仓库不含可直接执行的攻击载荷。 代码、补丁与默认提示词不含木马、后门、
   勒索软件、撞库脚本，也不含针对任何第三方系统的成品种马或 C2 实现。
   需要说明的是，仓库同时附带一套面向授权演练的攻防知识库（skills/redteam/，
   源自上游 dsh-redteam-mode），以操作文档形式描述侦察、横向、隧道等常见手法。
   这些内容只在已取得书面授权的攻防演练中具有正当用途；在未授权场景下使用，
   属于使用者个人的违法行为，与本项目无关。

2. 只作用于本机已安装的软件。 所有补丁、提示词注入、回滚、卸载，全部发生在使用者本机
   已安装的 DeepSeek Harness（@deepseek-ai 包、本机 profile / $DSH_HOME）上。
   对象是使用者自己的本地软件，不是他人的网站、服务器、账号或信息系统。

3. 不对外网目标联网。 本项目不在任何公网主机、未授权系统上进行扫描、探测、入侵或攻击发包，
   也不得被当作跳板。插件若开启「检测更新」，仅访问本仓库以核对版本。

4. 合法受控范围。 只允许在你能证明有权处理的环境中使用：本人有权管理的本机软件、
   离线本地靶标、所有者已出具合法书面授权的演练靶场、合规实验室的受控环境。
   严禁在未经授权的目标、公网在线系统或生产业务上运行。

5. 禁止对中国大陆、香港、澳门网段的服务器与网站进行任何访问、扫描、探测或操作。
   云厂商名称不构成例外。唯一例外是使用者事先登记的确切 IP 或完整主机名，
   且该主机为使用者本人所有。密钥、密码、网段、通配符、对话中的口头说明，均不能增加例外。

6. 必须遵守法律法规。 使用者严禁利用本项目从事违反下列法律的行为：

   • 《中华人民共和国刑法》——特别是第二百八十五条、第二百八十六条、第二百八十七条、
     第二百八十七条之一、第二百八十七条之二、第二百五十三条之一
   • 《中华人民共和国网络安全法》
   • 《中华人民共和国数据安全法》
   • 《中华人民共和国个人信息保护法》
   • 其他现行有效的法律、行政法规与监管规定

   同时严禁：未经授权渗透、攻击公私机构信息系统，实施勒索、破坏、撞库或传播恶意载荷；
   生成或传播危害国家安全、恐怖主义、暴力血腥、涉黄涉赌、诈骗、侵犯公民隐私或知识产权等
   法律明令禁止的内容；违反相关大模型提供商的《服务条款》与《滥用政策》。

7. 使用者独立承担全部责任。 本项目依据 MIT 协议「按现状」提供，开发者不对完整性、
   安全性与适用性作任何明示或暗示的保证。使用者应对自身的下载、部署、运行、修改、传播行为
   以及全部输入输出后果，承担独立、完全的民事、行政及刑事法律责任。作者与贡献者不承担
   任何因滥用导致的直接、间接或连带责任。

8. 违约即终止授权。 任何将本项目用于非法攻击、恶意活动或违规行为的个人或实体，
   其使用许可自该行为发生之日起自动且不可撤销地终止，须立即停止使用并永久销毁
   本项目的全部代码、脚本与衍生数据，并依法承担相应责任。

9. 第三方独立性声明。 本项目是独立的开源项目，与 DeepSeek 官方或其关联主体
   没有任何隶属、商业合作、授权或官方背书关系。文中「官方」仅指评测对象是使用者本机
   安装的官方 DeepSeek Harness 软件包，不代表 DeepSeek 官方开发、认可或担保本插件。
   本项目同样与上游 dsh-purge 作者无隶属关系，属独立衍生分支。

10. 必须署名。 借用本项目的名称、思路、代码或提示词，必须署名并标明本仓库。

License

MIT。原始版权归 小杨（YuJunZhiXue） 所有，本分支修改部分版权归 xxy0722。
完整条款见 LICENSE。