[Bug 报告 / 设计问题] glob/grep 工具完全绕过沙箱：path 无任何策略约束，可读取工作区外任意文件（含隐藏文件）并注入模型上下文

[truelove-dreamer]

建议分类：Bug report 或 Ideas（安全模型）
环境：@deepseek-ai/dsh 0.1.0-rc.6，全平台
严重级别：major（取决于安全模型定位）——若沙箱是部署的安全边界，这是可绕过的后门；若"读开放、写受控"是刻意设计，则需文档化并收窄

摘要

glob / grep 两个搜索工具（dsh-tool-fs-search）通过 ctx.subprocess.spawn 直接运行 ripgrep，没有任何 sandboxPolicy 或路径约束（代码注释自称 "unconfined (a plain ctx.subprocess call)"）。工具的 path 参数被原样拼进 rg argv，且 rg 以 --no-ignore --hidden 运行（刻意枚举隐藏文件）。因此：

• 模型（或被提示注入的代理）可以传 path: "C:\Users\<someone>\.ssh"、path: "$DSH_HOME" 等任意路径，读取工作区之外的 .env、密钥、其它用户文件的内容并注入模型上下文；
• 这与同一部署中 bash/pwsh 的沙箱 + 审批升级体系、以及 fs 工具 write/edit 的 FS_SANDBOX_DENIED 机制完全不一致。

证据（代码与行号）

• 无围栏的 spawn：dsh-tool-fs-search/lib/index.js:159-178（runRipgrep → ctx.subprocess.spawn({ argv: [rg, "--no-config", ...argv], cwd: workdir, ... })，全程无 sandboxPolicy）；
• path 原样进 argv：同文件 :561（glob { path: args.path }）与 :911（grep { path: args.path }）；
• 枚举隐藏文件：--no-ignore --hidden（见工具描述/实现，刻意如此）；
• 对比：fs 工具 write/edit 有完整围栏（dsh-fs-sandbox/lib/index.js:157-170 的 checkedTarget → FS_SANDBOX_DENIED）；bash/pwsh 有沙箱 + escalation（dsh-sandbox / dsh-pwsh-sandbox）；
• 读取本身在所有模式下放行（dsh-fs-sandbox/lib/index.js:74-75："Reads pass through untouched: every mode permits reading"）——若读取开放是设计，则与"bash 的读也被沙箱约束"形成面差。

复现步骤

在任意会话中调用 grep（普通工具调用，无需特殊权限）：

grep  pattern: "DEEPSEEK_API_KEY"  path: "C:\Users\<你的用户名>\.dsh"   # 或任意工作区外目录

• 预期（按"沙箱存在"的心智模型）：拒绝或至少提示越界；
• 实际：返回匹配行内容（含 .credentials.yaml、.env 等文件内容）到模型上下文。

同样，glob 传 path: "C:\Users\..." 可枚举任意目录下的文件名（含隐藏文件），作为后续读取的侦察手段。

影响

• 权限模式（read-only / workspace-write）对搜索工具完全不生效——搜索是"读"，而读不受限；
• 若用户的机器上存在其他敏感文件（浏览器凭据、SSH key、其他项目），一次提示注入即可把它们拖进模型上下文并（通过其它工具）外发；
• 安全心智模型不一致：模型被告知有沙箱，但搜索工具是例外面。

建议修复（供讨论）

1. 收窄：对 path 施加与 fs 工具一致的策略根/工作区约束（越界报 FS_SANDBOX_DENIED 类错误），或将 rg 的 spawn 纳入与 bash 相同的沙箱执行路径；
2. 或明确设计：若"读开放、写受控"是刻意设计（合理），请在工具描述与权限文档中明确说明"glob/grep/read 不受沙箱约束，可读任意路径"，并考虑默认禁止读取隐藏/敏感文件（.env、.credentials*、.ssh 等）或至少对工作区外读取追加审批；
3. 至少去掉对工作区外路径的 --hidden 静默支持，改为显式 opt-in。

附注

• 已确认非问题：argv 直传无 shell 注入面；工具输出截断/窗口正确；
• 本报告不主张"必须禁止所有越界读"，而是指出机制面不一致：要么统一收窄，要么统一文档化，避免部署方把沙箱当作边界后出现意外开口。