dsh-startlux-decision

给 DeepSeek Harness 的 System-1 决策守卫，专为 Bamboo Relay / StartLux 打造。 在每次工具调用前问模型四个问题（风险、可逆性、任务相关性、注入嫌疑），据此放行、 询问或拦截。默认 shadow：只记录判断，绝不打断你干活。

安装

从 npm 安装（推荐）

dsh plugin add dsh-startlux-decision

或手动装进 profile：

cd ~/.dsh/profiles/desktop
pnpm add dsh-startlux-decision

然后在 profile 的 package.json → dsh.profile.bundles 里加入 "dsh-startlux-decision"，重启 DSH。

本地开发

git clone https://github.com/zuosus/dsh-startlux-decision.git
cd dsh-startlux-decision
# 复制到 profile 的 node_modules，或 pnpm link

配置

插件配置页

插件 → 已安装 → dsh-startlux-decision → 点进该插件，配置区（「包含的组件」 上方）会出现 StartLux 卡片，布局与内置 dsh-rewind-plugin 一致：

• 两个开关：启用守卫、真正拦截
• 一个 API Key 输入框 + 保存 按钮
• 一个 测试端点 按钮
• 决策模型参与点列表：每个决策点一行，右侧是 关闭 / 观察 / 生效 三态
• 自身 token 预算 输入框，以及实时的缓存命中率与每个点的 token / 延迟统计

改完点保存即写入 startlux.yml，不需要重启：监听器常驻注册，模式在 每次调用时现读；预算与缓存参数同样是取值函数而非启动期快照。

决策点（参与哪些环节）

这个插件的定位不是「工具调用风险闸门」，而是一个便宜的判断层：用一次 约 1.9k token 的小模型调用，去替代或阻止更贵的 LLM 开销。因此判断必须克制—— 只在「替代更贵的调用」或「阻止更大的开销」处介入，绝不为了「多一道检查」而介入。

八个决策点全部已实装，由你决定让决策模型进入哪些环节。

| # | 决策点 | 挂载位置 | 触发闸（为什么不是每次都问） | 生效方式 | 省 token 机制 | |---|---|---|---|---|---| | 1 | 工具授权 | tools/pre-execute | 只读工具 / auto 预设 / 排除名单直接放行 | ask / deny | 替代 auto-review 的满上下文审查 | | 2 | 模型路由 | agent/request | 每轮仅前 N 步 + 路由未变不问 + 新用户输入不问 | 替换 provider/model | 机械步骤下沉到便宜模型 | | 3 | 子任务分派 | agent/pre-step | 仅每轮第一步且带新用户输入 | 注入一条提示 | 少开一个 subagent = 省一整个上下文 | | 4 | 上下文压缩 | agent/pre-step → ctx.compaction | 仅实测 token 达触发线 ×70% | 先跑确定性裁剪，让摘要被跳过 | 省掉一次摘要调用 | | 5 | 轮次延续 | agent/turn-stopping | 同一轮最多续一次 | agent.steer() | 避免空转一整轮 | | 6 | 检索必要性 | tools/pre-execute | 仅检索类工具；其余工具零开销 | deny | 省搜索与结果 token | | 7 | 技能选择 | tools/pre-execute | 仅 skill 工具且候选 ≥2 | deny + 指路 | 省误加载的技能正文 | | 8 | 思维链翻译门槛 | 包住 translator.translate() | 本地预筛 + 同文本缓存 | 跳过并返回原文 | 按条省翻译调用 |

三态的含义

| 模式 | 行为 | |---|---| | 关闭 | 连请求都不发。省 token，也省那约 2 秒延迟 | | 观察 | 照常判断并记录「本该怎样」，但不改变任何行为 | | 生效 | 按判断执行该点的处置 |

新接入的决策点都应当先跑 观察，确认与人工判断一致后再切 生效。

阈值是实测校准的，不是拍脑袋的

每个决策点的阈值都用真实端点跑过对照样本（「该判 A」与「该判 B」成对输入）， 只有两类输入真的分得开才留着。校准过程发现并修掉了三个问题，值得记下来：

1. choice 的 confidence 是被选中项的概率。三选项平分时天然只有 0.33， 所以分派点的门槛不能设 0.6，否则永远判不出 advise。现在按「显著高于均分」 取 0.5。
2. question 的问法决定一切。原来问「这个信息是否已知道」，两类输入给出 0.30 / 0.12 —— 完全没有区分力。改问「recent 里是否逐字覆盖了这个事实， 只依据那段文本回答」之后变成 0.92 / 0.01。
3. 判据顺序会改变结果。轮次延续若先看 closed，「明确未完成」那组 因为 closed=0.28 不达线就会掉进默认 stop——而它恰恰该续轮。 现在先看 unfinished。

校准后的实测对照（scripts/verify-endpoint.mjs + 成对样本）：

| 决策点 | 输入 A | 判定 | 输入 B | 判定 | |---|---|---|---|---| | 模型路由 | 机械步骤 | switch | 新架构设计 | keep | | 子任务分派 | 三个包并行补测试 | advise | 变量改名 | inline | | 上下文压缩 | 结论已落地 | prune | 对话承载状态 | summarize | | 轮次延续 | 任务已完成 | stop | 明确还有三步 | continue | | 检索必要性 | 上下文已覆盖 | skip | 完全没提过 | allow | | 思维链翻译 | 英文→中文 | translate | 中文→中文 | skip |

为什么不是「所有 hook 都开」

决策模型每次约 1.9k token、p50 约 0.5 秒。agent/pre-step 与 agent/request 都是每步触发，两个都开且不加闸，等于每步多等 1 秒以上。所以热路径上的 决策点（注册表里标了 hotPath，配置页显示「热路径」角标）都带明确的触发闸， 不能无条件调用。

同时有两道护栏兜底：

• 自身预算（budgetTokens，默认每小时 40 万）：超限后所有决策点自动退回 启发式并放行。省钱的东西不能反过来成为主要消耗方。
• 双层缓存：见下节。

模型选择

配置页的「模型」是下拉框，由服务商实时提供，另有「自动（服务端默认）」选项。

默认就是「自动」（startlux.yml 里 model: 留空）：插件不发送该字段， 服务端用它当前的默认决策模型。实测省略 model 返回 200，响应里回填实际使用的模型名：

{"answers":{...},"model":"startlux-decision-27b-autothink","usage":{...}}

这样即便服务商将来更换模型名，留空配置也不会因此 400。

注意：startlux.yml 里的 model: 必须写出来但留空（model: 后面不跟值）。 解析器把显式空值保留为 ""；若整行删掉，键会缺失并回落到内置的硬编码模型名， 「自动」就不生效了。

列表为何要过滤：/v1/models 返回全部 20 个模型，其中多数是 chat 模型， 拿去打 /v1/decisions 会 400 model ... is not served by this plugin。 本插件按 supported_endpoint_types 只保留声明了 StartLux Decision / StartLux SystemOne 的模型。实测 typesafe/jev-1.14 虽声明 jev-decisions， 仍被本端点拒绝，因此也排除。

超时与自动回退

每次请求都带硬超时（默认 8000ms），超时不是错误，而是降级放行：

AbortSignal.timeout(budget) → 超时 → degrade("timeout") → 钩子 next() 放行

三层保护，保证守卫永远不会拖住工具执行：

1. 单次超时：timeoutMs（默认 8000ms，可在配置页调整，最小 1000ms）。 实测该端点 p50≈0.7s、冷启动 p95≈6.4s，8s 覆盖冷启动又不至于让用户干等。
2. 连续失败冷却：连续 failureThreshold（默认 3）次失败后进入 cooldownMs（默认 60s）冷却，冷却期内直接放行、0ms 返回， 不再对着故障端点反复消耗。
3. 调用方取消：若上层传入 AbortSignal 且被中止，立即降级返回 caller-aborted。

实测（指向不可路由地址，timeoutMs: 1500）：

第1次: 1504ms → 降级      第4次: 0ms → 降级   ← 冷却生效
第2次: 1502ms → 降级      第5次: 0ms → 降级
第3次: 1502ms → 降级（触发冷却）

没有配置 key 时根本不发请求，直接 no-key 降级，零延迟。

失败降级（fail-open）

插件的设计原则是任何不确定都退回原生行为，绝不因为守卫自身故障而卡住工具调用。 以下情形全部 next() 放行，并在 telemetry.jsonl 记一条 action=degraded：

| 情形 | detail | | --- | --- | | 插件未启用（enabled: false） | 不进入判断，直接放行 | | 没有 API key | no-key | | 命中失败冷却 | cooldown | | 端点 4xx / 5xx | http-404 / http-500 等（附 endpoint、body） | | 网络不可达 | network-error | | 超时 | timeout（附 budgetMs） | | 返回非 JSON / 非对象 | invalid-json / invalid-response | | 缺 answers 字段 | missing-answers | | 答案形状不符（类型错、缺字段、choice 非法、概率越界/NaN） | answer-shape-mismatch | | 守卫内部抛异常 | 捕获后放行，仅 logger.warn | | 只读工具 / auto 权限预设 / 被排除工具 | 不判断，直接放行 |

默认 mode: shadow 时，即使判断出 deny 也只记录不执行。

省 token 的设计

• 双层缓存：

  • 精确：完整 state + 问题集一致即复用，绝对安全。

  • 同类复用：键是「工具名 + 命令族 + 风险标记」的归一化签名， 只有低风险放行的裁决才进这一层；ask / deny 永不复用， 否则会把一次危险判断错误地扩散到同类操作。

    这一层是必要的：旧实现只用精确键，而键里含 args_preview， 于是实测 309 次调用命中 0 次——等于缓存完全没工作。 现在 4 条同类 node -e '...' 变体只需 1 次真实请求（命中率 60%）， 而 rm -rf 不会复用任何缓存裁决。

• thinkMode: never：实测主要省延迟（约 1.9s vs 7.2s）；输入 token 基本不变 （该端点 output_tokens 恒为 0，思考开销未计入计量）。
• 只读工具直接放行：read/grep/glob/todo_write 等不发请求。
• state 截断：args 走头尾摘要，recent 只带最近 4 条、每条 240 字符。
• 失败冷却：连续 3 次失败进入 60s 冷却，避免对着故障端点烧钱。
• 自身预算：budgetTokens 限制决策模型每小时的花费，超限自动退回启发式。
• 默认只观察：新决策点先跑 observe，确认与人工判断一致后再切 enforce。

验证链路

自动化验收（三条，全部可重复跑）

pnpm test              # 78 项单元测试：纯函数 + 适配器接线 + 降级语义
pnpm verify:wiring     # 39 项接线检查：用真实 schemastery 加载插件
pnpm verify:endpoint   # 8 个决策点逐个打真实端点，校验题型与答案形状
pnpm verify            # 前两条一起跑

verify:wiring 需要 profile 的依赖可解析。仓库里没有 node_modules 时先建链接：

ln -s ~/.dsh/profiles/desktop/node_modules node_modules

它检查的是「宿主到底给不给这个服务」——包括缺 translator / sessionTitle 时 apply() 不抛、所有监听器都注册上、每个新点默认 off（升级不改变行为）。

verify:endpoint 要网络与 BAMBOO_API_KEY，它逐点校验： 端点接受该点的问题集（choice 必须有 criteria、score 必须 2–10 档、 题型只认三种）、答案能被 parse() 解析、decide() 产出合法 kind。 这一步不能省：题型写错会在运行时 400 并静默降级，光看日志很难发现 「这个点其实一直没生效」。

手工验证

1. 「测试端点」按钮 → 看到 HTTP 200 和 x-oneapi-request-id，说明配置与网络都对。
2. 插件配置页 → 确认 端点、模型、密钥 已配置 ✅； 决策点列表里每个点都应有 关闭 / 观察 / 生效 三态（没有「即将支持」）。 若某个点显示 宿主缺服务，说明宿主没有它依赖的服务（如 translator）， 该点无法开启——这不是 bug，是不适用的部署。
3. 把某个点切到 观察，触发一次对应动作 → 看 ~/.dsh/dsh-startlux-decision/telemetry.jsonl：
   • action=degraded, detail=no-key → key 没读到
   • detail=http-404 / http-400 → 地址或模型不对（记录里带 endpoint 和 body）
   • detail=answer-shape-mismatch → 端点返回的答案形状不对（该点的问题集要复核）
   • point=route, action=switch → 该点判出了「本该下沉到便宜模型」
   • 每条的 point 字段标明是哪个决策点，scores 里是原始判断分数
4. 服务商后台 → 出现 type=2 · Action decision 记录。

阈值

工具授权

| 键 | 默认 | 含义 | | --- | --- | --- | | guardDenyConfidence | 0.85 | 高风险 + 高置信 + 不可逆 → deny | | guardIrreversibleDenyFloor | 0.5 | 判定不可逆的门槛 | | guardIrreversibleCeiling | 0.2 | 低风险但不可逆 → 升级询问 | | guardConfidenceMin | 0.6 | 中风险置信下限，低于则放行 | | guardInjectionAskThreshold | 0.8 | 注入嫌疑 → 升级询问 |

其余八个决策点

全部阈值都在 startlux.yml 里可覆盖，默认值按实测校准（见上文「阈值是实测 校准的」）。下表列出「改动它会怎样」：

| 键 | 默认 | 调高会怎样 | 调低会怎样 | | --- | --- | --- | --- | | routeCheapProvider / routeCheapModel | 空 | 留空即不路由，点开着也只记录 | — | | routeMaxStepsPerTurn | 3 | 每轮判断更多步，更准但更慢 | 更快但后续步骤沿用旧裁决 | | routeMaxScore | 0.4 | 更少下沉（更保守） | 更多下沉（更省但可能降质） | | routeMechanicalFloor | 0.6 | 更难判为机械（更保守） | 更易下沉 | | routeRiskFloor | 0.3 | 风险稍高就保留强模型（更保守） | 更敢下沉 | | delegateConfidenceFloor | 0.5 | 更少建议分派 | 更多建议分派 | | delegateBlockingFloor | 0.6 | 更容易判「被阻塞」→ 更少分派 | 更敢分派 | | delegateParallelFloor | 0.5 | 组队需要更强并行证据 | 更容易建议组队 | | compactContextWindow | 0 | — | 设成实际窗口才能按比例提前介入 | | compactThresholdRatio | 0.7 | 更晚介入（贴近 compaction 自己的 0.8） | 更早介入 | | compactDistilledFloor | 0.6 | 更少裁剪（更保守） | 更多裁剪 | | compactVerbatinFloor | 0.6 | 更少因「需要原文」而改走摘要 | 更保守（更容易摘要） | | turnStopMaxSteers | 1 | 一轮可续多次（注意空转风险） | 0 = 永不续轮 | | turnStopUnfinishedFloor | 0.6 | 更少续轮 | 更易续轮 | | turnStopValueFloor | 0.35 | 更少续轮 | 更易续轮 | | retrievalCoveredFloor | 0.5 | 更少跳过检索（更安全） | 更敢跳过 | | retrievalWouldAddCeiling | 0.8 | 更敢跳过（更省） | 更少跳过 | | skillPickConfidenceFloor | 0.5 | 更少改指路 | 更敢改指路 | | cotProseFloor | 0.5 | 更少翻译（更省） | 更敢翻译 | | cotSameLanguageFloor | 0.8 | 更少判「已是目标语言」→ 更多翻译 | 更敢跳过 |

License

MIT