换个模型提示词就该跟着换dsh-purge 如何给 DeepSeek Harness 做提示词清洗【免费下载链接】dsh-purgeDeepSeek Harness 破甲让所有模型都能破甲不同模型可换不同提示词默认提示词面向国模「小码酱」。Jailbreak for every model — swap prompts per model. 求 Star 收藏 ⭐ 如要二开请查看署名要求部分项目地址: https://gitcode.com/GitHub_Trending/ds/dsh-purge给同一个问题换个模型再发一遍有的模型直给答案有的先来一句抱歉我无法。很多人把这种差异直接记在模型头上但装过 dsh-purge 的人知道相当一部分拒绝根本不是模型说的。dsh-purge 是装在本机官方 DeepSeek Harness 上的开源插件清洗宿主默认提示词、按模型切换规则集还给红队评测留了入口。这篇拆的是它的默认提示词从出厂、加密、注入到还原的完整链路——读完你能说清三个问题默认提示词藏在哪、最高优先级是怎么保证的、为什么只点应用不重启就像没生效。答不答得出来不一定算模型的事很多人以为模型答不答得出来就是全部其实不是。宿主 Harness 在运行时还会改提示词、加审批门、控沙箱和会话格式原话见 README.md只看模型的回答很容易把宿主拦截误当成模型拒绝。dsh-purge 想做的就是把这两层分开宿主层是官方默认身份、开场白和限制话术模型层才是模型本身能做什么。插件不追求让模型放飞而是把宿主策略里多余的身份包装换成一套干净、可控的提示词让评测结果真实也方便你判断宿主默认策略该不该收紧。⚠️ 关键前提它只作用于你自己本机已安装的官方 Harness不是公网扫描器也不是针对第三方系统的攻击套件。宿主在运行时动手脚是清洗成立的原因那插件具体洗掉什么、又留下什么身份句逐条降级官方功能保留身份包装拿掉一个有意思的类比先把术语点破把宿主默认提示词想成一张没冲洗的胶片上面同时拍进了两样东西——环境水印你是由某某模型驱动、运行在 DeepSeek Harness 上的编程代理和真实画面工作目录、GUI 地址。插件的工作是重新冲洗这张胶片水印洗掉画面留下。执行这个工作的就是 lib/identity.js 的stripHarnessPersonaL41-L102。它是一连串正则对每类身份句做两件事之一——删除或降级。降级是新手容易忽略的细节宿主那句你是由 {model} 模型驱动、运行在 DeepSeek Harness 上的编程代理工作目录是 {cwd}洗完只剩有用的部分You are a coding agent powered by the {{model}} model, running on the DeepSeek Harness. Your working directory is {{cwd}}. ↓ stripHarnessPersona Working directory: {{cwd}}.你是 XX 编程代理的身份包装没了工作目录这条真信息留着。官方功能保留身份包装拿掉——清洗两个字在这里兑现。洗掉水印只是第一半。更麻烦的是出厂默认提示词本身其实根本不以明文形式存在。发布包里找不到默认提示词因为它是加密槽很多人以为默认提示词是 npm 包里一个明文的prompt-inject.md打开就能看、随手能改。其实不是——发布包里根本没有这个文件。package.json 的files字段L21-L36明确排除了源码lib/default-prompt-inject.mdfiles: [ lib, !lib/default-prompt-inject.md, ... ],取而代之的是一张加密暗房lib/asset-table.js 里一长串 base64 行。构建时scripts/embed-default-prompt.mjs 把 Markdown 压缩后加密、按 96 字符分块写进这张表L14-L33运行时再由 lib/table-read.js 解密还原export function openSlot() { const decipher createDecipheriv( aes-256-gcm, mixKey(MASK), Buffer.from(IV, base64)); ... return inflateSync(raw).toString(utf8); }密钥不写死在文件里而是由几段常量加随机 MASK 混淆生成lib/table-key.js 的mixKey。这么做不神秘就两个朴素目的默认提示词不以明文躺在 npm 包里避免被人随手改坏应用时若你没自定义就写入这份内置默认你改过则保留你的prompt-inject.md。这里藏着一个改了默认却不生效的老坑代码注释自己交代得很直白lib/core.js L8166-L8173判定磁盘上这份是不是插件自己写的旧默认不能只跟当前加密槽比——每次重新加密后槽的哈希都会变直接拿磁盘比新默认会把插件自己写的旧默认误判成用户手改从此永久拒绝更新。所以状态文件里记着我们上次写下去的那一份的哈希对hash/seedHash先认血统再谈更新。出厂形态解决了从哪来剩下最后一环每一轮对话里这段注入如何保证排在最前、且只出现一次给 assemble 套守卫最高优先级块如何保证恰好一次宿主组装系统提示词时会把各段文本排好序交给一个叫assemble的方法。插件没有去改文件而是给assemble包了一层守卫宿主原方法先跑输出回来后再改写一遍lib/identity.js 的installAssembleGuardL586-L704。注释里还解释了一个坑宿主每次读这个服务方法都会新建代理守卫必须幂等——已经包过就只刷新改写函数绝不重复包一层否则层层套下去最终栈溢出L586-L592。改写这一步里注入块有三个设计细节order: -100000——排序值最小永远排到所有段落之前盖过宿主默认人设interpolate: false——这段按原样进提示词不做变量插值先查后插——装配前先看这段是否已整份存在于任意段落存在就跳过这是幂等的落点核心就几行lib/identity.js L112-L128function assemblyHasExactInject(sections, inject) { return sections.some( (section) String(section?.text || ).includes(inject)); }不查就插注入块每轮都会多叠一份。这不是纸面担忧release-notes.md L736 记录过早期 bug——提示词补丁每次应用都叠加约 841 字符、永不收敛后来给补丁加了去重标记才收敛。现在的行为是多轮会话之后身份句始终恰好出现一次长度不漂移。这就是默认提示词敢写得霸道的原因——装配逻辑有兜底。提示词本身管到这一层就完了。那不同模型用不同提示词这件事落在哪些文件上规则集按模型切换一套启用其余互不干扰dsh-purge 的主张是不同模型配不同提示词。面向国模的默认套已经调校好你要跑别的模型再建一套换语气、换边界不用从零写。文件层面多套规则都住在$DSH_HOME/rules/下每套一个正文文件加一个元数据文件lib/rules.js L50-L64元数据里记显示名和写入目标AGENTS.md/CLAUDE.md。启用某一套时activateRule干三件事L266-L284if (!fs.existsSync(backup)) { // 目标文件内容不属于任何规则集时先备份 await atomicCopyFile(target, backup); } await atomicWriteFile(target, content); await setActive(dshHome, id);原目标文件首次被覆盖前备份为.dsh-purge-rule.bak然后原子写入规则内容state.json只记当前启用的那套——所以同一时刻只有一套生效切换时互不干扰。rulesStatusL340-L383会报出agents_synced规则内容和目标文件是否一致方便你区分没保存和宿主没读到。每套有 256KB 上限聊天里/rules use id可以切不用进界面。规则切换是界面里的事而让这一切真正落到当前会话靠的是一次应用加一次重启。应用与重启生效链路和两个常见坑落地路径很短但每一步都有讲究仓库放到$DSH_HOME/plugins/dsh-purgeWeb 与官方桌面端各装各的分开点应用完全退出宿主再重开会话标题旁点dsh-purge→清洗→应用成功后自动重启一次最常见的坑是第 3 步之后的错觉只点应用、不重启就像没生效。应用只把提示词和补丁写进文件、给assemble挂上守卫当前进程里跑的还是旧代码。重启、新开一轮对话注入才进当前会话。release-notes.md L86 的说法更直接清洗完点重启后重启成功立刻就能用默认提示词。第二个坑在还原侧。每个目标文件应用前都有.dshpurge.bak备份「还原」用备份覆盖回去并删掉备份但prompt-inject.md是用户文件还原时保留README.md 还原节。也就是说插件洗得掉宿主身份却从不覆盖你亲手写的提示词。卸载同理先还原已应用的补丁再删注入文件、规则库和插件本身。另外启动时插件会自动补种默认提示词lib/core.js 的seedPromptInjectAtBootnpm 升级盖掉node_modules之后不用手改文件。三件克制的事把整条链路收拢dsh-purge 的默认提示词设计其实只做对了三件克制的事出厂默认加密存放且用户可覆盖。加密槽只保证出厂那份不被随手改坏判定血统靠哈希对插件只刷新自己写的旧默认用户的prompt-inject.md一律保留注入块永远最高优先级、且幂等。order: -100000排最前includes去重保证恰好一次多轮不叠加、长度不漂移规则集按模型切换互不干扰。启用前备份、原子写入、状态文件只记一套还原随时可回它不追求最强提示词追求的是可评测、可还原、可切换。宿主层和模型层拆开后默认策略该不该收紧从此有数可依。合规提醒dsh-purge 是非盈利开源项目只用于你有权管理的本机官方 Harness、离线靶标或已书面授权的演练严禁用于任何未授权攻击一切行为由使用者独立承担法律责任。【免费下载链接】dsh-purgeDeepSeek Harness 破甲让所有模型都能破甲不同模型可换不同提示词默认提示词面向国模「小码酱」。Jailbreak for every model — swap prompts per model. 求 Star 收藏 ⭐ 如要二开请查看署名要求部分项目地址: https://gitcode.com/GitHub_Trending/ds/dsh-purge创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
换个模型提示词就该跟着换dsh-purge 如何给 DeepSeek Harness 做提示词清洗【免费下载链接】dsh-purgeDeepSeek Harness 破甲让所有模型都能破甲不同模型可换不同提示词默认提示词面向国模「小码酱」。Jailbreak for every model — swap prompts per model. 求 Star 收藏 ⭐ 如要二开请查看署名要求部分项目地址: https://gitcode.com/GitHub_Trending/ds/dsh-purge给同一个问题换个模型再发一遍有的模型直给答案有的先来一句抱歉我无法。很多人把这种差异直接记在模型头上但装过 dsh-purge 的人知道相当一部分拒绝根本不是模型说的。dsh-purge 是装在本机官方 DeepSeek Harness 上的开源插件清洗宿主默认提示词、按模型切换规则集还给红队评测留了入口。这篇拆的是它的默认提示词从出厂、加密、注入到还原的完整链路——读完你能说清三个问题默认提示词藏在哪、最高优先级是怎么保证的、为什么只点应用不重启就像没生效。答不答得出来不一定算模型的事很多人以为模型答不答得出来就是全部其实不是。宿主 Harness 在运行时还会改提示词、加审批门、控沙箱和会话格式原话见 README.md只看模型的回答很容易把宿主拦截误当成模型拒绝。dsh-purge 想做的就是把这两层分开宿主层是官方默认身份、开场白和限制话术模型层才是模型本身能做什么。插件不追求让模型放飞而是把宿主策略里多余的身份包装换成一套干净、可控的提示词让评测结果真实也方便你判断宿主默认策略该不该收紧。⚠️ 关键前提它只作用于你自己本机已安装的官方 Harness不是公网扫描器也不是针对第三方系统的攻击套件。宿主在运行时动手脚是清洗成立的原因那插件具体洗掉什么、又留下什么身份句逐条降级官方功能保留身份包装拿掉一个有意思的类比先把术语点破把宿主默认提示词想成一张没冲洗的胶片上面同时拍进了两样东西——环境水印你是由某某模型驱动、运行在 DeepSeek Harness 上的编程代理和真实画面工作目录、GUI 地址。插件的工作是重新冲洗这张胶片水印洗掉画面留下。执行这个工作的就是 lib/identity.js 的stripHarnessPersonaL41-L102。它是一连串正则对每类身份句做两件事之一——删除或降级。降级是新手容易忽略的细节宿主那句你是由 {model} 模型驱动、运行在 DeepSeek Harness 上的编程代理工作目录是 {cwd}洗完只剩有用的部分You are a coding agent powered by the {{model}} model, running on the DeepSeek Harness. Your working directory is {{cwd}}. ↓ stripHarnessPersona Working directory: {{cwd}}.你是 XX 编程代理的身份包装没了工作目录这条真信息留着。官方功能保留身份包装拿掉——清洗两个字在这里兑现。洗掉水印只是第一半。更麻烦的是出厂默认提示词本身其实根本不以明文形式存在。发布包里找不到默认提示词因为它是加密槽很多人以为默认提示词是 npm 包里一个明文的prompt-inject.md打开就能看、随手能改。其实不是——发布包里根本没有这个文件。package.json 的files字段L21-L36明确排除了源码lib/default-prompt-inject.mdfiles: [ lib, !lib/default-prompt-inject.md, ... ],取而代之的是一张加密暗房lib/asset-table.js 里一长串 base64 行。构建时scripts/embed-default-prompt.mjs 把 Markdown 压缩后加密、按 96 字符分块写进这张表L14-L33运行时再由 lib/table-read.js 解密还原export function openSlot() { const decipher createDecipheriv( aes-256-gcm, mixKey(MASK), Buffer.from(IV, base64)); ... return inflateSync(raw).toString(utf8); }密钥不写死在文件里而是由几段常量加随机 MASK 混淆生成lib/table-key.js 的mixKey。这么做不神秘就两个朴素目的默认提示词不以明文躺在 npm 包里避免被人随手改坏应用时若你没自定义就写入这份内置默认你改过则保留你的prompt-inject.md。这里藏着一个改了默认却不生效的老坑代码注释自己交代得很直白lib/core.js L8166-L8173判定磁盘上这份是不是插件自己写的旧默认不能只跟当前加密槽比——每次重新加密后槽的哈希都会变直接拿磁盘比新默认会把插件自己写的旧默认误判成用户手改从此永久拒绝更新。所以状态文件里记着我们上次写下去的那一份的哈希对hash/seedHash先认血统再谈更新。出厂形态解决了从哪来剩下最后一环每一轮对话里这段注入如何保证排在最前、且只出现一次给 assemble 套守卫最高优先级块如何保证恰好一次宿主组装系统提示词时会把各段文本排好序交给一个叫assemble的方法。插件没有去改文件而是给assemble包了一层守卫宿主原方法先跑输出回来后再改写一遍lib/identity.js 的installAssembleGuardL586-L704。注释里还解释了一个坑宿主每次读这个服务方法都会新建代理守卫必须幂等——已经包过就只刷新改写函数绝不重复包一层否则层层套下去最终栈溢出L586-L592。改写这一步里注入块有三个设计细节order: -100000——排序值最小永远排到所有段落之前盖过宿主默认人设interpolate: false——这段按原样进提示词不做变量插值先查后插——装配前先看这段是否已整份存在于任意段落存在就跳过这是幂等的落点核心就几行lib/identity.js L112-L128function assemblyHasExactInject(sections, inject) { return sections.some( (section) String(section?.text || ).includes(inject)); }不查就插注入块每轮都会多叠一份。这不是纸面担忧release-notes.md L736 记录过早期 bug——提示词补丁每次应用都叠加约 841 字符、永不收敛后来给补丁加了去重标记才收敛。现在的行为是多轮会话之后身份句始终恰好出现一次长度不漂移。这就是默认提示词敢写得霸道的原因——装配逻辑有兜底。提示词本身管到这一层就完了。那不同模型用不同提示词这件事落在哪些文件上规则集按模型切换一套启用其余互不干扰dsh-purge 的主张是不同模型配不同提示词。面向国模的默认套已经调校好你要跑别的模型再建一套换语气、换边界不用从零写。文件层面多套规则都住在$DSH_HOME/rules/下每套一个正文文件加一个元数据文件lib/rules.js L50-L64元数据里记显示名和写入目标AGENTS.md/CLAUDE.md。启用某一套时activateRule干三件事L266-L284if (!fs.existsSync(backup)) { // 目标文件内容不属于任何规则集时先备份 await atomicCopyFile(target, backup); } await atomicWriteFile(target, content); await setActive(dshHome, id);原目标文件首次被覆盖前备份为.dsh-purge-rule.bak然后原子写入规则内容state.json只记当前启用的那套——所以同一时刻只有一套生效切换时互不干扰。rulesStatusL340-L383会报出agents_synced规则内容和目标文件是否一致方便你区分没保存和宿主没读到。每套有 256KB 上限聊天里/rules use id可以切不用进界面。规则切换是界面里的事而让这一切真正落到当前会话靠的是一次应用加一次重启。应用与重启生效链路和两个常见坑落地路径很短但每一步都有讲究仓库放到$DSH_HOME/plugins/dsh-purgeWeb 与官方桌面端各装各的分开点应用完全退出宿主再重开会话标题旁点dsh-purge→清洗→应用成功后自动重启一次最常见的坑是第 3 步之后的错觉只点应用、不重启就像没生效。应用只把提示词和补丁写进文件、给assemble挂上守卫当前进程里跑的还是旧代码。重启、新开一轮对话注入才进当前会话。release-notes.md L86 的说法更直接清洗完点重启后重启成功立刻就能用默认提示词。第二个坑在还原侧。每个目标文件应用前都有.dshpurge.bak备份「还原」用备份覆盖回去并删掉备份但prompt-inject.md是用户文件还原时保留README.md 还原节。也就是说插件洗得掉宿主身份却从不覆盖你亲手写的提示词。卸载同理先还原已应用的补丁再删注入文件、规则库和插件本身。另外启动时插件会自动补种默认提示词lib/core.js 的seedPromptInjectAtBootnpm 升级盖掉node_modules之后不用手改文件。三件克制的事把整条链路收拢dsh-purge 的默认提示词设计其实只做对了三件克制的事出厂默认加密存放且用户可覆盖。加密槽只保证出厂那份不被随手改坏判定血统靠哈希对插件只刷新自己写的旧默认用户的prompt-inject.md一律保留注入块永远最高优先级、且幂等。order: -100000排最前includes去重保证恰好一次多轮不叠加、长度不漂移规则集按模型切换互不干扰。启用前备份、原子写入、状态文件只记一套还原随时可回它不追求最强提示词追求的是可评测、可还原、可切换。宿主层和模型层拆开后默认策略该不该收紧从此有数可依。合规提醒dsh-purge 是非盈利开源项目只用于你有权管理的本机官方 Harness、离线靶标或已书面授权的演练严禁用于任何未授权攻击一切行为由使用者独立承担法律责任。【免费下载链接】dsh-purgeDeepSeek Harness 破甲让所有模型都能破甲不同模型可换不同提示词默认提示词面向国模「小码酱」。Jailbreak for every model — swap prompts per model. 求 Star 收藏 ⭐ 如要二开请查看署名要求部分项目地址: https://gitcode.com/GitHub_Trending/ds/dsh-purge创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
平方复杂度无法被常规优化消除｜TaoToken 统一 Key 通道实测)
