一万个插件九成是废品：DeepSeek生态繁荣背后藏安全黑洞

DeepSeek Harness 开源后，GitHub 上【dsh-plugin】标签下已有一万多个仓库。然而，我们拆解了这些仓库，并实测了二十余个高下载量插件，发现插件生态数量虚高，质量参差，且存在显著安全风险。数据显示，截至 2026 年 8 月 25 日，这一繁荣景象背后隐藏着令人担忧的真相。

数量水分大，官方零门槛

插件数量水分极大：不同统计口径下，插件数从 1.1 万到不足一千不等。官方对“插件”无明确定义，仅要求打上 GitHub 标签即可，零门槛导致大量无关或低质仓库混入。例如，官方推荐列表排名第四的竟是一个 2020 年制作的简历生成器，仅因蹭标签而排前。这种宽松机制使得生态看似庞大，实则鱼龙混杂。

真实可用性低，拒稿率惊人

真实可用性令人堪忧。有人公开了 1,883 条拒稿记录，其中 93% 因“装不上”被拒，原因是缺少必要声明或依赖。抽样 50 个被拒仓库发现，仅 1 个是空壳，多数有真实代码但未按规范打包，还有部分完全是无关项目，如 Windows 启动器、桌面客户端。此外，有 505 个仓库名称相似，造成严重混淆，进一步加剧了生态的混乱。

生态结构失衡，核心功能无人问津

在可用的 2,143 个插件中，下载量前三名均为“卖铲子”的市场或界面类插件，而非核心能力扩展。全生态下载量第一的插件是“帮你找插件”的市场工具。官方最引以为傲的“可替换主循环”功能几乎无人问津，仅找到 2 个相关插件，且下载量极低。相反，更换模型接口的插件有 69 个，被广泛使用。这种结构失衡表明，开发者更倾向于实用工具，而非官方力推的深度定制。

安全机制形同虚设，API Key 可被窃取

最严重的问题在于安全机制形同虚设。dsh 宣称的三档文件权限（read-only、workspace-write、danger-full-access）被实测证实无法约束插件行为。一个探针插件在三档权限下，均能读取 ~/.ssh/ 文件、获取 API key、写入 /tmp 并连接外网。原因在于权限设置仅审查模型请求，而插件本身作为 dsh 的一部分，可绕过审查。官方设计笔记也明确“安全与权限不是设计目标”，自指工具集 README 更称“沙箱不是安全边界”。这意味着，任何插件都能轻易窃取用户敏感信息。

综上，当前 dsh 插件生态虽数量庞大，但有效供给不足，安全防护缺失。用户需警惕安装任意插件带来的完全控制权风险。在官方补上安全漏洞之前，谨慎选择插件，或许是保护自身数据的唯一办法。