howmp/dsh-pentest

它是什么

dsh-pentest 是 DeepSeek Harness (DSH)（一个开源 AI 智能体框架）的插件包。该插件包增加了一种渗透测试模式，允许 DSH 会话在 DSH UI 内记录、组织和可视化安全评估数据（目标、意图、事实、发现、资产及其关系）。

适用人群

• 已经使用 DSH 并拥有测试目标的明确授权的安全专业人员。
• 需要以结构化方式捕获和显示渗透测试工件的自定义 DSH 智能体开发者。
• 任何希望在 LLM 驱动的工作流中拥有现成 UI 来跟踪安全参与过程的人。

核心组件（如 README 所述）

组件	角色
主机插件 (pentest.js)	公开九个 pentest_* 工具（例如 pentest_add_goal, pentest_add_finding, pentest_submit），供智能体调用以存储数据。
SQLite 后端 (storage-sqlite.js)	使用 Node 内置的 node:sqlite 将渗透测试图持久化到 $DSH_HOME/storages/pentest-sessions.db 中。
Web UI (ui-pentest.client.js)	在 DSH Web 客户端中添加一个新标签页，包含四个子视图：探索图、漏洞列表、资产视图和 Markdown 报告。
领域模型 (spec.ts)	定义了六个表 – goals, intents, facts, findings, assets, edges – 以及边词汇表（spawns, yields, derived_from, proves, parent）。
投影层 (projection.ts)	将存储的图投影为窗口化视图（最近 200 个节点/资产），以便在保持数据库完整历史记录的同时实现快速 UI 渲染。
协议 (instructions.ts)	提供一个系统提示（pentest:protocol），引导 LLM 遵循渗透测试工作流并通过工具写入数据。

如何使用

1. 安装 – 通过 DSH CLI，从 npm (dsh plugin add @howmp/dsh-pentest) 安装或下载发布的 tarball。
2. 重启 DSH – 插件会自动注册；会话选择器中会出现一个新的“渗透模式” (pentest mode)。
3. 运行渗透测试 – 使用提供的工具（或让子智能体调用 pentest_submit）来添加目标、意图、事实、发现和资产。所有调用都存储在 SQLite 数据库中，而不是主 DSH 会话日志中。
4. 探索 – UI 显示参与的有向图、漏洞列表（包含严重性、可重现步骤、受影响资产）、资产层级以及生成的 Markdown 报告。
5. 导出/修复 – 该包附带一个 dsh-pentest-repair 脚本，用于修复由旧版本 DSH 导致的损坏会话日志。

限制与安全说明

• 仅限授权 – 该插件旨在用于法律授权的测试；它不强制执行任何访问控制。
• 会话范围数据 – 每次渗透测试运行都在单个 DSH 会话中；没有跨会话持久性。
• 窗口化 UI – UI 仅显示最近的 200 个节点/资产；旧项目仍保留在数据库中，可通过 pentest_state 或 pentest_report 访问。
• 无日志污染 – 该插件特意避免将自己的事件写入主 DSH 会话日志，以防止破坏旧版本的 DSH。
• 兼容性 – 要求 DSH ≥ 0.1.6 和 Node ≥ 22.5；旧版本的 DSH 需要该包的特定预发布版本。

为什么它很重要

安全评估通常涉及许多动态部分（目标、发现、证据、补救步骤）。通过将此工作流直接嵌入到 LLM 驱动的智能体平台中，dsh-pentest 让分析师能够在不离开 AI 助手环境的情况下，保持整个参与过程的结构化、可重现和可视化。

---

以上所有详细信息均直接取自存储库的 README；未推断出任何额外功能。