中HT-DATA-001同一模块同时接触凭据与网络
置信度 中L2 · 静态分析
lib/index.js:479GitHub
479credential access at line 479 + outbound network at line 515
模型研判功能所需
resolveDeepSeekApiKey 读取用户自身配置的 DEEPSEEK_API_KEY 后仅用于向 DeepSeek 官方接口 api.deepseek.com/user/balance 查询余额，符合插件计费统计功能，未发往第三方。
同一执行边界同时拥有秘密读取和对外发送能力，已形成直接的数据外传路径；对模型接入类插件这通常是功能本身。
修复建议拆分能力边界、限定目的域名，并证明不会发送凭据值。
