@dsh-edge/dsh-edge-agent 0.0.0-stage → 0.1.2

package/presets/edge.patch.yml

@@ -0,0 +1,557 @@
+# ── 边缘模式 preset（§7.135）──────────────────────────────────────────
+#
+# 宿主 DSH 的「Agent Preset」机制：preset 是一份 cordis insert patch，声明
+# 一行 `@deepseek-ai/dsh-agent-preset`，其 `config.plugins` 是该工作方式
+# 的**完整**插件行列表。宿主内置四种工作方式，都由 bundle 的 patch 文件
+# 声明（@deepseek-ai/dsh-web-app/presets/*.patch.yml）：
+#
+#   standard —— 标准模式：persona / 工具 / plan-mode / compaction /
+#               delegation / subagent …
+#   ptc / minimal / cordis —— 另外三种
+#
+# 本文件声明**边缘模式**：标准模式的插件列表 **+ 本项目的功能**（隐私护栏、
+# 意图判定、路由决策、PII 脱敏、两个 LLM adapter、Realm 闸门、威胁总线、
+# Edge 面板）。主人裁决（2026-10-28）：
+#
+#   「我需要在 dsh 桌面上成一新的 agent 工作时间，叫做边缘模式，功能是在
+#     标准模式之上增加本项目的功能」
+#   「只有选择 边缘模式 才会出现 edge tab」
+#
+# ## 本项目的插件行在哪（§7.136 修正）
+#
+# 行为面（护栏 / 判定 / 路由 / 脱敏 / Realm / Edge 面板）**在这里**，并且整体
+# 关进一个 `cordis:group` + `isolate` 隔离 realm —— 宿主规则（dsh-agent-preset-
+# registry README）：「preset 的服务提供方及其消费方必须共享同一个 cordis:group
+# 隔离 realm」。挂载审计（lib/types/mount.js）会把「挂在 preset 子树里却把服务
+# 存进 root realm」的行判为泄漏 ⇒ 整个 preset 挂载失败 ⇒ 设置页那张卡显示
+# 「加载失败」。这正是 §7.135 那版预设加载失败的原因。
+#
+# **三行必须留在宿主树**（bundle 顶层 insert 段）—— 宿主机制的限制，不是偏好：
+#
+#   dsh-edge-agent（裸包名行）—— 宿主的 client-modules 只扫**宿主 Loader 的
+#     entries**（dsh-client-modules/lib/index.js：「scans the host Loader's
+#     entries」；processOne() 遍历 `this.ctx.loader.entries()`），preset 的插件树
+#     是独立的 EntryTree、不在其中 ⇒ Edge tab 的浏览器半边只有从宿主树里的裸
+#     包名行才能被发现。
+#   audit-log / file-logger —— 裸包名行 inject ['auditLog']，且它 apply() 里的
+#     installFileLogger 会先占住 `fileLogger` 服务名 ⇒ 两者必须在 root realm，
+#     且 file-logger 行必须比裸包名行更早装载（否则桌面 ops log 的文件名会从
+#     `dsh-edge-agent-desktop.log` 退回 `dsh-edge-agent.log`）。
+#
+# ## 「切回标准模式会怎样」（§7.136 实测结论）
+#
+# 宿主的 preset 是**启动即挂载**的（dsh-agent-preset README：「声明会提前加载」）：
+# 声明过的 preset 在启动时都建好插件树，选哪个只决定 **Agent 绑到哪个 scope**
+# （可见的工具 / 提示词 / 服务）。所以：
+#
+#   * 本项目的插件在任何工作方式下都已挂载 —— 切回标准模式**不会**卸载它们；
+#     让标准模式变「纯宿主」的是**事件作用域**，不是卸载：
+#   * 我们的 hook（agent/pre-step / agent/request / system-prompt/assemble /
+#     tools/pre-execute / tools/result）**不再带 `{ global: true }`**。宿主的
+#     事件过滤（cordis EventsService.dispatch：
+#     `hook.global || !filter || filter.call(thisArg, hook.ctx)`）按 scope 链
+#     判定 —— 监听器自己的 scope 必须是派发 scope 或其祖先；Agent 的 scope 父
+#     链接到所选 preset 的代际 scope（dsh-agent-preset-registry 的
+#     `bindScopeParent`），事件沿 scope 链向上流、不向下 ⇒ 标准模式的 Agent
+#     收不到边缘模式 preset 里的 hook ⇒ 标准模式不经过本项目的护栏；
+#   * `llm/stream` 保留 `{ global: true }`：该事件不带 scope 载体（去掉也不
+#     生效），且无 pre-step state 时恒直通；
+#   * Edge tab 的浏览器半边是全局的（客户端只有一张全局 boot 图，tab 类型是
+#     全局注册表），所以「只有边缘模式才有 edge tab」由**客户端按 roster 的
+#     默认 preset 注册/注销 tab 类型**实现（src/client/index.ts，5s 轮询
+#     `agentPresets.list()` 的 `isDefault`）。
+#
+# ## 为什么标准模式的行是抄来的
+#
+# 注册表**不合并**：preset 的 plugins 是完整列表，覆盖式（宿主原文：「用户覆盖
+# 替换完整子插件列表，不自动合并内置列表的未来更新」）。所以边缘模式要
+# 「在标准模式之上增加」，就必须把标准模式的行**整份抄进来**。
+#
+# 代价要说清楚：**宿主升级后标准模式的插件列表若变了，边缘模式不会自动跟随**
+# —— 需要人把宿主的
+#   @deepseek-ai/dsh-web-app/presets/standard.patch.yml
+# 重新对齐到本文件。生成器 scripts/_gen-edge-preset.mjs 就是干这件事的。
+#
+# ## 主机 row 的覆盖留在顶层
+#
+# 本 bundle 顶层对宿主行的覆盖（tool-web / web / web-search-deepseek）是
+# **patch 层**语义 —— preset 只能声明插件行，不能覆盖宿主行。所以这些覆盖
+# 在任何工作方式下都生效。这是 preset 机制的边界，如实记录在此。
+
+- insert:
+    - id: preset-edge
+      name: '@deepseek-ai/dsh-agent-preset'
+      config:
+        id: edge
+        name: 边缘模式
+        description: 标准模式 + 本项目的端侧隐私能力（意图判定 / 路由决策 / PII 脱敏 / Realm 闸门）
+        order: 5
+        plugins:
+          # §7.175（2026-11-11）：这里**故意没有** `agent-default-model` 行；
+          # §7.176（2026-11-11）起，本地模型默认值改由**本 preset 内的
+          # input-guard** 给出（见下面 edge-stack 组里的 input-guard 行）。
+          #
+          # 实测（桌面 App 日志 2026-11-11 10:24 / 10:26，两次启动一致）：
+          #   WARN [agent-preset-registry] agent preset edge:
+          #     agent-default-model (@deepseek-ai/dsh-agent-default-model):
+          #     service "agentDefaultModel" has been registered at <AgentDefaultModelConfig>
+          # ⇒ 加了这一行，**整个边缘模式 preset 挂载失败**（设置页那张卡显示
+          # 「加载失败」），Edge 模式用不了。
+          #
+          # 根因：宿主 dsh-base/cordis.patch.yml L90-94 已经在 **host scope** 声明了
+          # 同一个插件（provider: deepseek-official / model: deepseek-flash）；该插件
+          # 用 `super(ownerContext, "agentDefaultModel")` 注册 cordis service，
+          # 而这个 service 名**跨 scope 唯一** ⇒ preset scope 再声明一次 ⇒ 撞名。
+          #
+          # ⚠️ 本文件此前写的理由（「service 注册在插件所在 scope，scope 查找就近 ⇒
+          # preset 内就近拿到这一行、遮蔽 host scope 的全局默认」）是**推断，实测证伪**
+          # —— 真正的读取方是 host scope 的那份：
+          # `dsh-api-session-controller` 的 `agentOptions()` 读 `this.ctx.agentDefaultModel`，
+          # preset scope 里那份即使不撞名也**没有读者**。
+          #
+          # §7.176：为什么由 input-guard 给默认值，而不是这一行：
+          #   1. 宿主 0.2.2-rc.1 起，路由只由**会话级** modelSelection 决定
+          #      （`agent/request` 里改写会被 prepareRequest() 判非法并抛错）；
+          #   2. 桌面 GUI 建的 agent，其 agentOptions 来自 host scope 的
+          #      agentDefaultModel（宿主自带的云端模型）⇒ 边缘模式默认会跑云端；
+          #   3. 本地路由 local-llm 在模型目录里隐身（§7.106 Option A：它是管线
+          #      内部件，不是用户可选项）⇒ GUI 里**选不到**它，用户没法手动纠正；
+          #   ⇒ 只能由 preset 侧把会话选择钉成 local-llm。input-guard 用的是宿主
+          #      自己的合规入口 `agent.model.select()`（agent-loop 的
+          #      applyConfiguredRoute() 也是这么写的），**不动**宿主的全局默认 ——
+          #      `sessionController.selectModel()` 会顺手 `saveSelection()` 改全局，
+          #      那样会波及同 profile 的标准模式。
+          #
+          # 主人裁决（2026-11-11）：**npm 包里不会带本地模型配置**（config/edge.json
+          # 被 `files` 白名单排除）⇒ local-llm 走 DELEGATE（§7.171）转发宿主
+          # provider ⇒ 装上就能用（先用 dsh 自带的云端模型），而 provider 身份仍是
+          # local-llm ⇒ §7.175 的 fail-closed 闸门照样放行。
+          # 实测记录见 docs/PROGRESS.md §7.175 / §7.176。
+          - id: persona
+            name: '@deepseek-ai/dsh-persona'
+            config:
+              prefix: You are a coding agent powered by the {{model}} model.
+          - id: agent-instructions
+            name: '@deepseek-ai/dsh-agent-instructions'
+            config:
+              maxBytes: 65536
+          - id: time-context
+            name: '@deepseek-ai/dsh-time-context'
+          - id: tool-bash
+            name: '@deepseek-ai/dsh-tool-bash'
+            disabled: !!js process.platform === 'win32'
+          - id: tool-pwsh
+            name: '@deepseek-ai/dsh-tool-pwsh'
+            disabled: !!js process.platform !== 'win32'
+          - id: tool-fs
+            name: '@deepseek-ai/dsh-tool-fs'
+            config:
+              # §7.174：随宿主 0.2.2-rc.1 的 standard preset 对齐 ——
+              # Set false to drop the apply_patch tool beside edit.
+              applyPatch: false
+          - id: tool-fs-search
+            name: '@deepseek-ai/dsh-tool-fs-search'
+            config:
+              sampleOverCapGlobResults: false
+          - id: tool-jobs
+            name: '@deepseek-ai/dsh-tool-jobs'
+          - id: tool-schedule
+            name: '@deepseek-ai/dsh-tool-schedule'
+          - id: skill-filesystem
+            name: '@deepseek-ai/dsh-skill-filesystem'
+          - id: tool-skill
+            name: '@deepseek-ai/dsh-tool-skill'
+          - id: command-goal
+            name: '@deepseek-ai/dsh-command-goal'
+          - id: tool-goal
+            name: '@deepseek-ai/dsh-tool-goal'
+          - id: planning
+            name: cordis:group
+            group: true
+            isolate:
+              planMode: true
+            config:
+              - id: plan-mode
+                name: '@deepseek-ai/dsh-plan-mode'
+                config:
+                  section: |
+                    You are in plan mode. Stay in plan mode until the user approves your plan through exit_plan_mode or switches the session mode. Imperative language to implement changes means plan the implementation, not execute it. A user's conversational agreement — including an answer confirming something you asked — approves nothing and does not end plan mode; fold the confirmed decision into the plan and submit it through exit_plan_mode.
+
+                    Explore first. Use non-mutating reads, searches, static analysis, and checks to ground the plan in the actual repository. Do not edit or write files, change configuration, run formatters or code generation that rewrites tracked files, commit, or otherwise carry out the plan. Prefer existing functions and patterns over new machinery.
+
+                    The tool catalog stays the same across modes for request-cache stability. These plan-mode rules override any later tool description or guidance that suggests using mutation tools; those tools remain listed to keep the tool catalog unchanged. Do not use todo_write to track this planning phase: it tracks implementation after an approved plan, while the plan itself belongs in exit_plan_mode.
+
+                    Resolve discoverable facts by inspection. Use ask_user_question only for user-owned choices or material ambiguity that inspection cannot answer. Do not ask the user where code lives or how current behavior works when you can find out.
+
+                    Make the plan decision-complete: state the goal and success criteria; group implementation changes by subsystem; identify public API, schema, and data-flow changes; cover edge cases, failure modes, tests, acceptance criteria, and explicit assumptions. Keep it concise enough to review but detailed enough that another engineer can implement it without making design decisions.
+
+                    When ready, call exit_plan_mode with the complete plan markdown, starting with a # title. Make exit_plan_mode the only and final tool call in that assistant response: it presents the plan for approval, and implementation begins only in a later step after approval. Do not paste the final plan as a plain reply or ask "should I proceed?" through prose or ask_user_question. If review rejects it, incorporate the feedback and present again. If the review channel is unavailable or aborted, stay in plan mode and ask the user to switch modes manually; do not proceed with implementation.
+          - id: compaction
+            name: cordis:group
+            group: true
+            isolate:
+              compaction: true
+              toolResultPruner: true
+            config:
+              - id: compaction-basic
+                name: '@deepseek-ai/dsh-compaction-basic'
+              - id: command-compact
+                name: '@deepseek-ai/dsh-command-compact'
+              - id: tool-result-pruner
+                name: '@deepseek-ai/dsh-compaction-tool-result-pruner'
+                config:
+                  thresholdChars: 8192
+                  headChars: 4096
+                  tailChars: 1024
+          - id: delegation
+            name: cordis:group
+            group: true
+            isolate:
+              workflowEngine: true
+            config:
+              - id: tool-subagent-control
+                name: '@deepseek-ai/dsh-tool-subagent-control'
+              # §7.174：宿主 0.2.2-rc.1 的 dsh-tool-subagent-control **不再导出**
+              # './list-agents' 子路径 ⇒ 保留这行会在 preset 挂载时抛
+              # ERR_PACKAGE_PATH_NOT_EXPORTED ⇒ 整个 edge preset 被判 broken
+              # ⇒ 设置页「边缘模式」消失。宿主四个内置 preset 都没有这一行。
+              - id: tool-subagent
+                name: '@deepseek-ai/dsh-tool-subagent'
+                config:
+                  provider: spawn
+                  toolName: subagent
+                  # §7.136 曾经**故意不写** modelSelection（旧宿主键名是
+                  # `modelSelectionSettings`，per-agent 二次安装会重复注册）；
+                  # 上游已改为「挂载时注册一次」，宿主现有 preset 也都写着
+                  # 这两项 ⇒ §7.174 对齐，边缘模式恢复「子 Agent 选模型」。
+                  modelSelection: true
+                  modelDiscovery: true
+              - id: tool-subagent-fork
+                name: '@deepseek-ai/dsh-tool-subagent'
+                config:
+                  provider: fork
+                  toolName: subagent_fork
+              - id: workflow-ptc
+                name: '@deepseek-ai/dsh-workflow-ptc'
+                config:
+                  provider: spawn
+              - id: tool-workflow
+                name: '@deepseek-ai/dsh-tool-workflow'
+          - id: tool-ask-user
+            name: '@deepseek-ai/dsh-tool-ask-user'
+          - id: tool-todo
+            name: '@deepseek-ai/dsh-tool-todo'
+            config:
+              allowParallelInProgress: true
+          - id: tool-web
+            name: '@deepseek-ai/dsh-tool-web'
+            config:
+              fetch: true
+              searchTimeoutMs: 60000
+          - id: present
+            name: '@deepseek-ai/dsh-tool-present'
+          - id: tool-plugin-manager
+            name: '@deepseek-ai/dsh-plugin-manager/tools'
+            disabled: true
+          - id: tool-plugin-market
+            name: '@deepseek-ai/dsh-plugin-market/tools'
+            disabled: true
+
+          # ── 边缘模式：本项目的功能（§7.135 + §7.136）──────────────────────
+          #
+          # 宿主规则（dsh-agent-preset-registry README）：
+          #   「preset 的服务提供方及其消费方必须共享同一个 cordis:group 隔离 realm」
+          # 挂载审计（lib/types/mount.js）：preset 子树里的服务如果存进 root realm
+          # ⇒ 泄漏 ⇒ 整个 preset 挂载失败（设置页那张卡显示「加载失败」）。
+          # 所以本组用 cordis:group + isolate 把组内每一行提供的服务关进组内 realm：
+          # 组内互相可见，组外（宿主）看不见 ⇒ 不泄漏。
+          #
+          # isolate 名单由 scripts/_isolate-edge-group.mjs 从源码推导
+          # （super(ctx,'<svc>')），门禁 scripts/verify-preset-isolate.ts 复核 ——
+          # 改源码后必须重跑本脚本。
+          - id: edge-stack
+            name: cordis:group
+            group: true
+            isolate:
+              edgeTools: true
+              functionCallExternal: true
+              httpApi: true
+              inputGuard: true
+              intentRouter: true
+              localStorage: true
+              modelRouter: true
+              privacyPolicy: true
+              promptGuard: true
+              realmSkillBridge: true
+              sanitizer: true
+              tcm: true
+              tdBus: true
+            config:
+              # tcm: prompt-guard injects this; must mount first
+              - id: tcm
+                name: '@dsh-edge/dsh-edge-agent/tcm'
+                # §7.102: teeType / keyStorePath come from config/edge.json (tee.*).
+
+              # td-bus: http-api injects this; must mount before http-api.
+              # Config schema (`td-bus.ts`):
+              #   - windowSeconds: number             (sliding window in seconds; default 60)
+              #   - thresholds.cloudRequestsPerMinute: number (default 20)
+              #   - blockLevel: 'elevated' | 'high' | 'critical'  (default 'critical')
+              # Block triggers at 4× threshold within windowSeconds.
+              - id: td-bus
+                name: '@dsh-edge/dsh-edge-agent/td-bus'
+                inject: [auditLog, privacyPolicy]
+                config:
+                  windowSeconds: 60
+                  thresholds:
+                    cloudRequestsPerMinute: 8        # tighter than default 20 — escalate earlier
+                    failedSanitizationStreak: 3
+                    permissionDeniedStreak: 5
+                  blockLevel: critical                # block on critical (4× = 32/min)
+
+              # realm-skill-bridge: realm-aware skill catalog filtering + tool gating.
+              # Must mount before http-api (which injects realmSkillBridge).
+              # §7.102: configPath / hot-reload knobs come from config/edge.json
+              # (privacy.realm*). Row carries no config.
+              - id: realm-skill-bridge
+                name: '@dsh-edge/dsh-edge-agent/realm-skill-bridge'
+                inject: [auditLog, skills, edgeTools, tools]
+
+              # §7.102: host/port from config/edge.json http.*, session/body caps
+              # from resources.*, bearer token from secrets.edgeApiKey — all filled
+              # fill-if-unset in http-api.ts apply(). The bare EDGE_API_KEY env stays
+              # a per-process override via edge-config's ENV_OVERRIDES. Row carries
+              # no config.
+              - id: http-api
+                name: '@dsh-edge/dsh-edge-agent/http-api'
+                inject: [agents, intentRouter, auditLog, tdBus, realmSkillBridge, edgeTools]
+
+              - id: cloud-llm-adapter
+                name: '@dsh-edge/dsh-edge-agent/cloud-llm-adapter'
+                inject: [llm, auditLog]
+                config:
+                  providers: [cloud-llm]
+                  # §7.100: 兜底链改为 `||`（空串视为未配置，根治 .env.sh export "" +
+                  # §7.102 (2026-10-21): 池配置 + delegate 旋钮迁到 config/edge.json
+                  # (llm.cloud.*)。patch 不再读 process.env —— 桌面 GUI 起进程时没有
+                  # 任何 DSH_EDGE_* 变量，读到的全是 undefined。
+                  #   baseUrl 空 = DELEGATE 模式：cloud-llm 路由转发到宿主 profile 已
+                  #   配置的模型提供商（GUI selection > live 宿主路由），key/凭据归
+                  #   宿主 adapter。显式配置 llm.cloud.baseUrl 才走自研直连。
+                  #   delegate=false → 禁用委托（LOCAL-only 部署；恢复 §7.35
+                  #   "云不可用→降级 LOCAL" 语义）
+                  #   delegateProvider → 显式指定目标路由 id
+                  #   delegateModel   → wire model override（压过 GUI selection.model）
+
+              - id: local-llm-adapter
+                name: '@dsh-edge/dsh-edge-agent/local-llm-adapter'
+                inject: [llm, auditLog]
+                config:
+                  providers: [local-llm]
+                  # §7.102: baseUrl / model / key / stripTools / enableThinking 全部
+                  # 来自 config/edge.json 的 llm.local.*。§7.171: baseUrl 留空 =
+                  # DELEGATE（local-llm 路由照样注册，转发给宿主 profile 的提供商，
+                  # 与 cloud-llm 对称）；`llm.local.delegate=false` 才是「不注册本地
+                  # LLM 路由」（模型列表里不出现 local-llm，意图分类 / prompt-guard
+                  # 自动降级到关键词 / 正则规则档）。
+
+              - id: model-router
+                name: '@dsh-edge/dsh-edge-agent/model-router'
+                inject: [llm]
+                config:
+                  # §7.75: 删 defaultModel（v0.1.x 死字段，model-router.ts:143 构造时
+                  # 只接 localModels/cloudModels）。routing 由 intent 分类 + classificationProvider
+                  # 走 modelRouter.resolve() 决定，不靠"默认目标"变量
+                  localModels: [local-llm]
+                  cloudModels: [cloud-llm]
+
+              - id: intent-router
+                name: '@dsh-edge/dsh-edge-agent/intent-router'
+                inject: [llm, auditLog, privacyPolicy]
+                config:
+                  # 2026-09-02: changed from CLOUD to SANITIZED. Old default failed open
+                  # (ambiguous requests → CLOUD LLM, raw data egress). New default routes
+                  # through input-guard sanitizer first; sanitize failure downgrades to
+                  # LOCAL (fail-closed). See intent-router.ts:60 schema default.
+                  defaultCategory: SANITIZED
+                  # §7.102 (2026-10-21): 分类器 + jev 全部参数迁到 config/edge.json
+                  # (stages.intent.* / jev.*)。patch 不再读 process.env。
+
+              # NOTE: id renamed from `tools` to avoid colliding with dsh-base.
+              - id: edge-tools-registry
+                name: '@dsh-edge/dsh-edge-agent/tools'
+                inject: [auditLog, tools]
+                config:
+                  defaultRateLimitPerMinute: 60
+                  enableToolIsolation: true
+                  presentationMode: native
+
+              # §7.98:14 个**只读** etscli 子命令注册进 ctx.tools。
+              #
+              # 注册即安全边界:不在注册表里的工具不会出现在
+              # realm-skill-bridge.getToolSchemasForExternal() 的产物里,needle 物理上选不中,
+              # ctx.tools.execute() 也没法执行它。写/删类工具(auth logout / fs rm /
+              # file delete / chat send / migrate verify …)一律**不注册**,排除依据见
+              # src/dsh-adapter/etscli-tools.ts 模块头。
+              #
+              # 依赖 tools + shell:前者是注册表本体;后者提供子进程执行,白拿超时/中止
+              # 判别、输出截断、凭据擦除 env、进程组 kill 升级 —— 不自己 spawn。
+              # §7.102: etscliBin / timeoutMs come from config/edge.json (etscli.*).
+              - id: etscli-tools
+                name: '@dsh-edge/dsh-edge-agent/etscli-tools'
+                inject: [tools, shell]
+
+              # §7.120: 封堵「bash 里直接调 etscli 写子命令」这条逃逸口。
+              #
+              # 上面那份注册表白名单管的是**工具清单**（模型选不到写子命令），
+              # 管不住「模型自己在 shell 里敲 etscli」—— §7.118 那次实测就是
+              # `bash: etscli file upload …` 把本地文件传到了 MEOS 设备。
+              # 本行挂在 `tools/pre-execute` waterfall 上：shell 里只放行注册表
+              # 派生的那 14 个只读子命令，其余一律拒（白名单，不是黑名单）。
+              #
+              # 独立成行（不与 etscli-tools 合并）⇒ headless HTTP profile 与
+              # desktop-safe preset 可以只挂这道闸、不引入那 14 个工具。
+              - id: etscli-shell-guard
+                name: '@dsh-edge/dsh-edge-agent/etscli-shell-guard'
+
+              - id: local-storage
+                name: '@dsh-edge/dsh-edge-agent/local-storage'
+                config:
+                  # §7.102: root comes from config/edge.json (storage.root), default
+                  # ~/.dsh-edge-agent/storage (2026-08-29 unified bundle root).
+                  filename: storage.plain.jsonl
+                  enablePIIRedaction: true
+
+
+              # ── A1 端侧隐私安全防护 ─────────────────────────────────────────────────
+              - id: prompt-guard
+                name: '@dsh-edge/dsh-edge-agent/prompt-guard'
+                inject: [auditLog, llm]
+                config:
+                  maxInputLength: 10000
+                  maxRequestsPerMinute: 20
+                  enablePIIRedaction: true
+                  enableInjectionDetection: true
+                  enableRateLimit: true
+                  # §7.102 (2026-10-21): 模型检测配置迁到 config/edge.json
+                  # (stages.guard.*)。patch 不再读 process.env。
+
+              # ── Phase 4: 隐私策略引擎 + 脱敏管线 ──────────────────────────────────
+              - id: privacy-policy
+                name: '@dsh-edge/dsh-edge-agent/privacy-policy'
+                inject: [auditLog]
+                # §7.102: row carries no config — policyPath / hot-reload 由
+                # config/edge.json (privacy.*) 提供。
+                  # 2026-09-03 (§7.36): 默认 policy path 改为单 bundle root `~/.dsh-edge-agent/`。
+                  # §7.33 之前：fallback 到 `~/.dsh-edge-agent-web/`（web profile isolated root）。
+                  # §7.36：user 决定合并 web + tui → 单 root。DSH CLI 一次只跑一个 profile，
+                  # 所有 profile 共用同一份 policy 文件——跟 6 个 channel 数据合并一致。
+                  # §7.102: policyPath 默认 ~/.dsh-edge-agent/privacy-policy.json ——
+                  # 现由 config/edge.json (privacy.policyPath / policyHotReload /
+                  # policyWatchMs) 提供，行内不再保留。
+                  # 2026-09-03 (§7.36): 默认 policy path 单 bundle root（见 PROGRESS）。
+
+              - id: sanitizer-pipeline
+                name: '@dsh-edge/dsh-edge-agent/sanitizer-pipeline'
+                inject: [privacyPolicy, auditLog]
+                config:
+                  enableAutoDetection: true
+                  maxReplacementsPerSession: 1024
+                  # 明文 PII 映射表的生命周期兜底（2026-08-30）
+                  # §7.102: sessionTtlMs / maxSessions / sweepIntervalMs 迁到
+                  # config/edge.json (privacy.*)。patch 不再读 process.env。
+
+              # ── Phase 5 (§7.82): Tavily → 博查 AI → DeepSeek 三级 web_search 兜底链
+              # 注册一个 aggregator search provider(id='tavily-bocha-fallback')到 ctx.web;
+              # web.searchProvider = 'tavily-bocha-fallback' 即指向它。任一 tier 抛错
+              # (非 2xx / 网络 / JSON 解析) → 下一 tier 接续; 三 tier 都失败 →
+              # WEB_PROVIDER_UNAVAILABLE。配置走裸名 env (§7.75: .env + .env.sh source
+              # chain;避开 DSH 黑名单 DSH_/XDG_/DYLD_/BASH_FUNC_): TAVILY_API_KEY /
+              # BOCHA_API_KEY / DEEPSEEK_API_KEY,都在 repo .env 里跟其他 secret 同地。
+              - id: web-search-tavily-bocha
+                name: '@dsh-edge/dsh-edge-agent/web-search-tavily-bocha'
+                inject: [web]
+                config:
+                  reserved: {}
+
+
+              # ── Phase 6: input-guard 编排器 ────────────────────────────────────
+              # 端侧隐私安全管线的编排器。把安全/隐私/脱敏逻辑从 transport 层
+              # (http-api) 上移到 Agent Loop 的事件链上 (agent/pre-step + llm/stream)，
+              # 让所有入口（http-api / Web UI / CLI / SDK）自动统一走同一套管线。
+              #
+              # 组合调用：
+              #   promptGuard.checkInput   (攻击检测)
+              #   privacyPolicy.matchRouting (策略 REJECT)
+              #   intentRouter.classify    (LOCAL/CLOUD 路由)
+              #   sanitizer.sanitize       (仅 CLOUD：PII → 占位符)
+              #   sanitizer.desanitize     (输出方向：占位符 → PII)
+              #
+              # 设计详见：docs/input-guard-design.md
+              # ── §7.93.1(2026-09-25 通用化):function-call-external 插件
+              # 把 tool-call prefill 抽象成 ExternalToolCaller 接口(healthCheck +
+              # extract);当前实现 = NeedleHttpCaller(cactus-needle 3.0.1,API.md v1.1)。
+              # 后续替换 = 新增 class implements ExternalToolCaller + 改 apply() 一行。
+              # **必须早于 input-guard apply**:本插件是 agent/pre-step waterfall 的最
+              # 外层 listener(await next() 串到 input-guard,等 input-guard 的 classify +
+              # setSessionRealm 完成后才返回,我们才看得到本 turn 的 realm)。
+              # 否则读到 undefined 或上 turn 旧 realm → 触发跳过路径。
+              # cordis waterfall 注册顺序 = 执行顺序(shift 第一个 = 最外层)。
+              - id: function-call-external
+                name: '@dsh-edge/dsh-edge-agent/function-call-external'
+                inject: [auditLog, realmSkillBridge, tools]
+                # §7.102: row carries no config — 全部旋钮由 config/edge.json
+                # (functionCallExternal.*) 提供。默认关(user 终裁)。
+                  # §7.102 (2026-10-21): 全部旋钮迁到 config/edge.json
+                  # (functionCallExternal.*)。patch 不再读 process.env。
+                  # 当前实现 = cactus-needle 3.0.1:GET /health + POST /extract(stateless 无 /reset;
+                  # P1 中文数字归一化服务端内置;client 不做翻译,管什么语种 caller 自带 cn_grounding)。
+                  # functionCallExternalEnabled: !!js process.env.DSH_EDGE_FUNCTION_CALL_EXTERNAL_ENABLED === 'true'
+                  # functionCallExternalUrl: !!js process.env.DSH_EDGE_FUNCTION_CALL_EXTERNAL_URL ?? 'http://127.0.0.1:8081'
+                  # 实测 /extract 在 caller 当前 LAN 引擎下需 4-7s(dry-run #1 标 376-548ms 是
+                  # API.md spec 理想值,实际 25-30x degradation);10s 给单请求 1x 余量。
+                  # 后续引擎恢复 < 1s 时再调低。
+                  # functionCallExternalTimeoutMs: !!js parseInt(process.env.DSH_EDGE_FUNCTION_CALL_EXTERNAL_TIMEOUT_MS ?? '10000', 10)
+                  # functionCallExternalConfidenceThreshold: !!js parseFloat(process.env.DSH_EDGE_FUNCTION_CALL_EXTERNAL_CONFIDENCE_THRESHOLD ?? '0.5')
+                  # §7.92.6:circuit breaker(单 fetch 模式,open-on-first-failure,jev
+                  # all-batches 失败才开的等价位)。dry-run #1 验证 timeout 几乎全中,
+                  # breaker 必须计入 timeout。
+                  # functionCallExternalBreakerTtlMs: !!js parseInt(process.env.DSH_EDGE_FUNCTION_CALL_EXTERNAL_BREAKER_TTL_MS ?? '30000', 10)
+                  # §7.92.7:boot probe + 周期恢复 probe(GET /health)
+                  # functionCallExternalBootProbeEnabled: !!js process.env.DSH_EDGE_FUNCTION_CALL_EXTERNAL_BOOT_PROBE_ENABLED !== 'false'
+                  # functionCallExternalBootProbeTimeoutMs: !!js parseInt(process.env.DSH_EDGE_FUNCTION_CALL_EXTERNAL_BOOT_PROBE_TIMEOUT_MS ?? '2000', 10)
+                  # functionCallExternalBreakerProbeMs: !!js parseInt(process.env.DSH_EDGE_FUNCTION_CALL_EXTERNAL_BREAKER_PROBE_MS ?? '5000', 10)
+                  # functionCallExternalProbeTimeoutMs: !!js parseInt(process.env.DSH_EDGE_FUNCTION_CALL_EXTERNAL_PROBE_TIMEOUT_MS ?? '2000', 10)
+              - id: input-guard
+                name: '@dsh-edge/dsh-edge-agent/input-guard'
+                # §7.176 (2026-11-11): 本行是**边缘模式本地模型默认值的给出点**。
+                # 宿主 0.2.2-rc.1 起路由只由会话级 modelSelection 决定，而 GUI 建的
+                # agent 默认取 host scope 的 agentDefaultModel（宿主自带云端模型），
+                # local-llm 又在模型目录里隐身（§7.106 Option A，GUI 选不到）⇒
+                # 只能由本 preset 侧把会话选择钉成 local-llm。input-guard 监听
+                # `agent/created`，用宿主的合规入口 `agent.model.select()` 写会话级
+                # 选择；不动宿主的全局默认（那会波及同 profile 的标准模式）。
+                # 详见 docs/PROGRESS.md §7.176。
+                # §7.123 (2026-10-27): realmSkillBridge was missing here while
+                # input-guard.ts:35-39 declares it MANDATORY ("必须 inject realmSkillBridge，
+                # 否则 this.ctx.realmSkillBridge 永远 undefined"). With it absent,
+                # setSessionRealm() was silently skipped → the session realm was never
+                # registered → the Layer-3 tools/pre-execute gate had no realm to
+                # enforce against (fail-open). The row now matches the plugin's own
+                # inject declaration.
+                inject: [promptGuard, privacyPolicy, intentRouter, sanitizer, auditLog, realmSkillBridge]
+                config:
+                  # §7.102 (2026-10-21): 开关 + 降级 model 迁到 config/edge.json
+                  # (privacy.* + llm.local.model)。patch 不再读 process.env。
+                  #   enableInputGuard          → 全局 hook 开关
+                  #   rejectOnPolicyViolation   → 攻击 / privacy-policy REJECT 阻断 step
+                  #   downgradeOnSanitizeFailure → sanitize 失败降级 LOCAL（fail-closed）
+                  #   localModel                → 本地池的 model id，跟随 LOCAL 池
+                  #                              （§7.176 起还兼作边缘模式会话的默认 model）
+                  sanitizeLocalTraffic: false
+                  # §7.179 (2026-11-11): 本 preset 的 id。`agent-preset/selected`
+                  # 是**全局**事件（宿主 registry 直接 ctx.emit，不带 scope 载体）
+                  # ⇒ input-guard 必须自己按 presetId 过滤，否则会把标准模式的
+                  # 会话也钉成 local-llm。必须与上面 `config.id` 一致 ——
+                  # scripts/verify-preset-isolate.ts 复核这一点。
+                  presetId: edge