侧边栏打开文件时生成的临时脚本文件会被火绒识别频繁触发警告

[jinlif]

版本：0.1.7-rc.2
OS：Windows 10
火绒版本：5.0.51.0

DSH 在 Windows 上为支持「应用打开文件 / 提取应用图标」功能，会在 %TEMP% 下创建随机目录（dsh-native-command-XXXXXX
），写入内嵌 C#（Win32 P/Invoke）的 PowerShell 脚本，并以 powershell -ExecutionPolicy Bypass -File 方式执行，目录用完即自删。

该行为序列与恶意软件 dropper 的典型手法高度同构（落盘随机脚本 → Bypass 执行 → 运行时编译 Win32 代码 → 自清理），触发热键等行为引擎的拦截。用户侧表现为：侧边栏文件树打开时反复弹毒、隔离文件，严重干扰使用。

[lhopitalkuma]

确实，版本 V0.2.1-rc.2 Windows11 也是一样频繁报毒

[ViCrack]

这是误报吧，不是应该提给杀软吗

[jinlif]

内网环境杀软版本固定的，只能寄希望于dsh。至少说放在temp下的固定目录，我还能把这个目录加入白名单

[ViCrack]

你给dsh本身加白名单试试，最好还是提供给杀软厂商才合理，误报总会存在的，就算在内网，病毒库也会定期更新。杀软也是要及时更新。

[jinlif]

病毒库没有更新，已经把火绒卸载掉了

[rbh0524]

補充一筆 Avast 的資料，和這裡回報的應該是同一類問題。

環境

• DeepSeek Harness 0.2.1-rc.5（Windows x64 桌面版）
• Windows 11 Home 10.0.26300
• Avast One 26.10.11201.1041

現象

Avast 把 powershell.exe 偵測為 IDP.HELU.PSE96（命令列偵測）。我比對 Windows PowerShell 事件 400 和 Avast 的偵測紀錄，下面這條命令執行 5 次，每次 14～18 秒後都有一筆偵測，再過 22～30 秒又有第二筆。11-03 那次是在桌面版啟動約 26 秒後執行。

powershell.exe -NoProfile -NonInteractive -ExecutionPolicy Bypass -File %TEMP%\dsh-open-in-app-<亂數>\extract-icon.ps1 C:\WINDOWS/explorer.exe %TEMP%\dsh-open-in-app-<亂數>\icon.png

腳本啟動	第一筆偵測	第二筆偵測
10-28 09:58:58	09:59:13	09:59:42
10-28 10:04:39	10:04:56	10:05:24
10-30 06:49:52	06:50:08	06:50:35
10-30 16:14:15	16:14:29	16:14:51
11-03 06:43:54	06:44:12	06:44:42

時間為本機時間（UTC+8）。11-03 這次確認是 rc.5，較早幾次的版本沒有逐一確認。

程式位置

extractExecutableIconPng 會把腳本寫到暫存資料夾再執行。腳本只呼叫 ExtractAssociatedIcon 並存成 PNG，所以我判斷是誤報。

還不確定的地方

• 第二筆偵測在事件 400 找不到對應的啟動紀錄，來源不明。
• 10-28 的兩次，前幾秒還執行過 dsh-native-command-*\associations.ps1（同樣是 -ExecutionPolicy Bypass -File），這兩列無法單獨歸因給 extract-icon.ps1。
• 同一台電腦上，其他程式用 -ExecutionPolicy Bypass -File 執行暫存腳本 2 次，30 秒內都沒有偵測，所以 Avast 的實際觸發條件還不清楚。
• 沒有確認偵測是否造成圖示缺失。從程式碼看，腳本失敗時只會回傳 null。

建議方向（未測試）

這裡已有火絨和 Avast 兩家防毒會報，只向單一廠商回報誤報，換一家可能又會遇到。可以考慮在 Windows 上不再為這類查詢啟動 PowerShell，例如把圖示提取放進現有的 @deepseek-ai/dsh-native-command，桌面版也可以評估 Electron 的 app.getFileIcon。