dsh-purge 一文讲透：剥掉宿主拦截，考一次模型-育师

dsh-purge 一文讲透：剥掉宿主拦截，考一次模型

【免费下载链接】dsh-purgeDeepSeek Harness 破甲：让所有模型都能破甲，不同模型可换不同提示词；默认提示词面向国模「小码酱」。Jailbreak for every model — swap prompts per model. 求 Star 收藏 ⭐ 如要二开，请查看署名要求部分项目地址: https://gitcode.com/GitHub_Trending/ds/dsh-purge

给本机的 AI 助手一道题，它拒答，你在评测报告里写下「模型安全训练太强」。但这句拒答可能根本不是模型说的——dsh-purge，一个跑在 DeepSeek Harness 上的红队评测插件，存在的意义就是把这层拆开看。

DSH 并不会只把问题原样递给模型：运行时还会改提示词、过审批门和沙箱、重塑会话格式。dsh-purge 就是一台「分层」X 光机：它不评判你的模型好不好，它回答那句「不」到底是谁说的。

拆开两层：宿主拦截与模型拒答

痛点很直白：一个「不」混进评测里，没人知道是哪一层切的，后面所有调优都是盲调。

dsh-purge 的做法是在你自己的安装里做受控评测。它把补丁注入本机已安装的官方@deepseek-ai包，把宿主层行为和模型层行为拆成两条可独立观察的线。你得到的结果是清晰的归因：同一个用例被拒，是模型的安全训练拦的，还是宿主策略拦的。结论从「模型不听话」变成「模型本来会答，是宿主拦的」，这俩差得很远，一个说明模型的问题，一个说明你的默认策略该不该收。

提示词也可以按模型分别换，不同模型各配一套基线，评测不再一刀切。

先留底再动手：补丁生命周期走一遍

改宿主已装的文件，信任成本很高：写错了怎么办，回不去怎么办？

它的流程被钉死：写入前先把原件备份成.dshpurge.bak；启动时自动再检查并应用，npm 升级盖掉node_modules之后也不用手改文件。重复应用是幂等的——像拨电灯开关，拨一百下结果和拨一次完全一样，不会重复写、不会算两遍账。

宿主升级后的处理更见分寸：原文对不上的补丁会显示「待应用」或跳过，这次应用仍算完成，不会碰对不上文件的任何一个字节。版本对应关系也写得明明白白：1.1.78 适配 DSH 0.2.1-rc.2，0.2.0 仍可用，别拿它去打 0.1.x。

出口同样干净：「还原」用备份覆盖回去再删备份；「卸载」先还原，再删掉注入文件、规则库和插件本身，把指向红队模式的预设改回 standard。网页版和桌面端分开装、分开应用，动一边不碰另一边。备份与还原逻辑可看 lib/core.js。

白名单不听口头话：本地靶场硬锁

开源版的攻击任务默认全拦，只放行本机回环和 RFC1918 私网。域名先解析再判断，解析出的每一个地址都必须是私网或回环，hosts 把实验域名指到公网，一样拦。

在对话里说「这是我的服务器」不算数；密钥、密码、网段、通配符、口头说明，都不能增加例外。只认你在清洗页登记的那台服务器，主机名按它当时解析出的地址放行。这套判定细节在 lib/net-scope.js 里。

三步跑完一次受控评测 🛠️

你手里有台跑着 DSH 网页版的机器，流程是这样：

把插件装进 web profile，完全退出宿主再重新打开；
点会话标题旁的按钮，在「清洗」页点「应用」，成功后自动重启；
跑一组测试用例，遇到拒答时，在聊天里用/purge status核对补丁列表和路径，确认是哪一层切的。

演练台也在同一个侧栏里：读完声明、过完确认，才能看本机资产与环境。资产数据落在一个 SQLite 库里，界面看到的、智能体工具查到的，是同一份数据，不会各说各话。

谁该装，谁该划走

它只在你自己安装的官方 Harness 上工作，不是公网扫描器，也不是针对第三方站点的攻击套件；开源版不下发技能库和知识库。做 AI 安全评测、模型鲁棒性测试，或者想搞清楚自己助手为什么「不听话」的人，值得装；只是拿 AI 聊天，划走不亏。

同类工具里它的位置很清楚：评测对象是模型周围那层壳，本地靶场的锁直接焊在代码里，不是靠文档提醒。项目为 Apache-2.0，非营利，不允许商用倒卖。

Agent 的宿主外壳只会越来越厚，「分层」这类能力的重要性也随之上升——外层替模型发声的权利越大，越需要有人能确认这句话究竟是谁说的。

创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考

dsh-purge 一文讲透：剥掉宿主拦截，考一次模型