dsh-csp-runtime 是 CSP v0.1 跨框架认知状态互操作层。其安全模型建立以下边界之上：

1. 只序列化 / 校验，不执行：本插件从不执行不可信代码、不强制 LLM 调用。 导入的 CSP JSON 仅经 zod/v4 校验后入库，不进入任何 eval / Function / 动态 import() 路径。
2. 路径白名单：所有文件 IO 仅经 node:fs/promises，且路径必须用 path.resolve 后校验前缀落在 config.persistence.path 允许的 baseDir 内，越界抛 Error('path-traversal blocked')。
3. 最小服务暴露：仅注册 ctx.provide('cspStore', store)。禁用 cdpRegistry / universalAdapter / intentNetwork， 避免与既有插件冲突或意外扩大攻击面。
4. 依赖纯净：严禁 @modelcontextprotocol/*。仅 @deepseek-ai/cordis、@deepseek-ai/dsh-tools 为必选 peer； @deepseek-ai/cdp-metadata、@deepseek-ai/intent-network 为可选 peer。

• belief_set 的自动提取为 best-effort，可能引入错误信念；迁移前应由接手 agent 复核 evidence。
• capture 默认关闭（capture.enabled=false），开启需显式配置，避免无意识采集。
• 交接令牌（handoff token）含 continuation_prompt 与 required_capabilities，但 M1 不做加密签名， 仅做哈希摘要完整性校验；生产环境应在 Host 层叠加传输加密与能力匹配鉴权。

请通过 GitHub Issues（private security advisory 优先）报告： https://github.com/helibeiqi/dsh-csp-runtime/security/advisories

勿在公开 Issue 粘贴密钥或完整不可信 CSP 样本。