中HT-DATA-001同一模块同时接触凭据与网络
置信度 中L2 · 静态分析
src/index.js:545GitHub
545credential access at line 545 + outbound network at line 492
模型研判功能所需
credentials.resolve('DEEPSEEK_API_KEY') 取得的密钥仅用于向用户配置或默认的 DeepSeek 官方余额接口(/user/balance)发起请求，符合插件声明的余额查询功能。
同一执行边界同时拥有秘密读取和对外发送能力，已形成直接的数据外传路径；对模型接入类插件这通常是功能本身。
修复建议拆分能力边界、限定目的域名，并证明不会发送凭据值。
