Zaufanie i bezpieczeństwo

Nikt nie powinien instalować skilla, któremu nie może ufać. Deep Work Plan jest zbudowany tak, by dało się go zweryfikować, a nie przyjąć na wiarę: open source, Markdown-first, niedestrukcyjny i sprawdzalny przed uruchomieniem. Ta strona mówi wprost, co robi, czego nie robi i jak potwierdzić jedno i drugie.

Czemu ufasz

Open source na licencji MIT

Witryna i skill są publiczne i diffowalne. Możesz przeczytać każdą linię przed uruchomieniem i porównać dowolną kopię ze źródłem przy oznaczonym wydaniu.

Markdown-first — bez sieci, bez telemetrii

Skill nie ma CLI, API HTTP ani przepływu uwierzytelniania. Nie wykonuje żadnych połączeń sieciowych i nie wysyła telemetrii; jego jedynym lokalnym pomocnikiem jest odczyt metadanych git i środowiska. Żadna informacja o Twoim repozytorium nie opuszcza Twojej maszyny.

Niedestrukcyjny z założenia

Jedyne działanie skilla istotne z punktu widzenia bezpieczeństwa to zmiana Twojego repozytorium — a robi to przez uzgadnianie, a nie nadpisywanie. Wykrywa, co istnieje, proponuje plan i pyta przed zastąpieniem czegokolwiek. Efekty planu trafiają do ignorowanego przez git katalogu .dwp/.

Nie dotyka sekretów

Metodyka nigdy nie zatwierdza sekretów i trzyma stan roboczy poza kontrolą wersji. Onboarding dopisuje do .gitignore zamiast go nadpisywać, a każda zmiana ma być przeglądana w małych, czytelnych diffach.

Weryfikowalne pochodzenie

Każde wydanie publikuje sumy kontrolne dla dostarczonego skilla, dzięki czemu możesz potwierdzić, że pobrana kopia odpowiada temu, co zostało opublikowane, zanim jej zaufasz.

Zweryfikuj przed uruchomieniem

Traktuj skill jako niezaufany, dopóki go nie sprawdzisz. Każde wydanie dołącza plik SHA256SUMS obejmujący dostarczony skill. Pobierz go dla wersji, którą zamierzasz zainstalować, a następnie sprawdź, czy Twoja kopia pasuje — niezerowe wyjście oznacza, że plik nie pasuje i powinieneś się zatrzymać.

shell

git clone https://github.com/DailybotHQ/deepworkplan-skill.git
cd deepworkplan-skill
git checkout v7.9.0
# Download the checksums for the release you intend to install (current release: v7.9.0):
curl -fsSL -o SHA256SUMS \
  https://github.com/DailybotHQ/deepworkplan-skill/releases/download/v7.9.0/SHA256SUMS
# Confirm SHA256SUMS integrity (digest: 96aba583874ff5d52c222ab0fc6b5fee21567f61fa5933006021f54805f06ac2):
echo "96aba583874ff5d52c222ab0fc6b5fee21567f61fa5933006021f54805f06ac2  SHA256SUMS" | sha256sum -c -
./setup.sh --verify        # non-zero exit means a file does not match — stop

Wydania mają sumy kontrolne, a nie podpisy — podpisy (cosign lub GPG maintainera) to udokumentowany kolejny krok, a nie obecne twierdzenie. Ponieważ wszystko jest otwarte, można także porównać dowolny plik z repozytorium przy danym tagu.

Ta sama zasada dotyczy instalatora DeepWorkPlan Vim: jego strona pokazuje SHA-256 skryptu udostępnianego teraz oraz kroki: pobierz, sprawdź, zweryfikuj, uruchom. Sprawdź instalator DeepWorkPlan Vim

Sumy kontrolne i przypięte wydania każdego produktu ekosystemu (agentkit, Herdr, devcontainer, Vim oraz AI Diff Reviewer) znajdziesz w tabeli weryfikacji ekosystemu w /init.md.

Zgłoś podatność

Znalazłeś problem z bezpieczeństwem? Zgłoś go prywatnie przez prywatne raportowanie podatności GitHub we właściwym repozytorium — skill lub stronie (patrz poniżej linkowane polityki bezpieczeństwa) — zamiast otwierać publiczne zgłoszenie, które ujawniłoby problem przed powstaniem poprawki.

Zgłoś podatność — Repozytorium umiejętności Zgłoś podatność — Repozytorium witryny

Zasoby dotyczące zaufania

Uczciwe ograniczenia

Wydania są sumowane kontrolnie, ale jeszcze nie podpisywane — podpisywanie jest zaplanowane, nie wykonane.
Deep Work Plan uruchamia autonomicznego agenta kodującego względem Twojego repozytorium. Przeglądaj jego proponowany plan i diffe; metodyka jest zaprojektowana do tego przeglądu, nie do jego zastąpienia.
Twierdzenia dotyczące zaufania opisują wyłącznie oficjalne źródła. Zmodyfikowana lub zewnętrzna kopia, która odeszła od repozytoriów, nie niesie żadnej z tych gwarancji — najpierw ją zweryfikuj.

Adoptuj z pewnością

Przeczytaj metodykę i specyfikację, skieruj agenta na endpoint init i zweryfikuj instalację przed uruchomieniem.

Przeczytaj metodykę Szybki start