dsh-skill-pack-security

dsh-skill-pack-security 是面向 DeepSeek Harness（dsh）的安全审计技能包与 plugin_vet 供应链门禁。包含八个双语 agent 技能（密钥扫描、依赖审计、供应链审查、提示注入审查、审计编排、威胁建模、漏洞情报、事件响应）以及 plugin_vet 自动化安装前扫描器。Apache-2.0 许可。

• 八个安全审计技能提供两个版本：skills/（中文）与 skills-en/（英文），名称与元数据保持一致。
• 技能包括：security-audit、secret-scan、dependency-audit、supply-chain-review、prompt-injection-review、threat-model、vuln-intel、incident-response。
• plugin_vet：由可选 provider/ 插件在 ctx.tools 上注册的零依赖安装前扫描器。
• plugin_vet 检查项包括许可证、SBOM、提交锁定、恶意模式、数据责任审查与五维风险卡。
• 风险报告综合许可证/来源/依赖/构建脚本/维护五个维度给出 PASS、WARN 或 FAIL，并接入安装门禁（gate.policy: warn 或 deny）。
• 每条发现都引用对应的技能章节，便于 agent 继续进行人工审计。
• 安装脚本 scripts/install.ps1 与 scripts/install.sh 面向四个技能根目录（project-dsh、project-agents、user-dsh、user-agents）。
• Apache-2.0 许可；README 说明了 Node ^22.19.0 || >=24.0.0 与 DeepSeek Harness dsh-v0.1.7-rc.2 的兼容性。