插件隔离是把风险插件从"安全事故"变成"无事发生"的功能。deepseek-harness 自带 landlock-run 原生沙箱，把 Linux Landlock 引入 dsh 运行时。本文解释 Landlock 沙箱如何工作、dsh 插件隔离模型实际覆盖什么，以及它为何改变安装者的安全计算。
Landlock 给你什么
Landlock 是一个无特权 Linux 安全模块：进程可以用细粒度规则限制自己的文件系统访问，无需 root。landlock-run 包装 dsh 运行时，让每个插件运行在其 bundle manifest 定义的规则集内——系统路径只读、只写自己的数据目录、不触碰 home 或 ssh 密钥。
隔离模型覆盖什么
- 文件系统：作用域读写，插件数据目录有显式白名单。
- 网络：landlock-run 设置可与网络命名空间配合，阻止或允许出站流量。
- 执行：子进程继承受限规则集而非逃逸它。
它不覆盖什么
Landlock 以文件系统为先。它不会神奇地包含内存安全 bug，且依赖支持该特性的内核版本（Linux 5.13+）。在没有 Landlock 的平台上，运行时降级为建议性隔离——此时你更应该信任质量评分与安装脚本扫描。
安装者的新安全计算
有了沙箱，危险安装脚本变得可遏制而非灾难性。但遏制是安全网，不是随便安装的许可。推荐姿态：让扫描器否决明显风险，让 Landlock 遏制其余，仍要审查任何打算以特权运行的东西。沙箱让错误可承受；它不会让错误变安全。