deja-vu 调整安装路径与官方市场对接
截至 2026 年 10 月 10 日至 11 日，跨平台 AI 记忆插件 deja-vu 的 GitHub 仓库正式更新了针对终端编程代理 Grok Build 的安装说明。
新指南明确指出，用户需要首先在终端中执行命令 grok plugin marketplace add xai-org/plugin-marketplace 添加官方市场源，随后运行 grok plugin install deja 来完成插件安装。
作为承载该生态的核心基础，xai-org/plugin-marketplace 是 xAI 旗下 Grok Build 的官方插件市场，于 2026 年 6 月 11 日正式上线，内置于终端工具中供开发者直接浏览、安装和更新各类扩展。
代码所有者审查与 SHA 锁定机制
xAI 的官方插件市场是一个基于 GitHub 的开放目录。第三方开发者若要收录并分发自定义插件，必须向 xai-org/plugin-marketplace 仓库提交 Pull Request。
在该市场的供应链设计中，目录中的每个远程插件都严格锁定（Pinned）在特定的 Git 提交 SHA 哈希值上。所有提交的 PR 必须经过自动验证器和代码所有者的强制审查；插件若要发布更新，开发者必须主动修改并提交新的 SHA 值，避免了任何静默更新的风险。与此同时，Grok Build 客户端在本地执行安装时也会重新校验该 SHA 值是否匹配。
社区分析强调，这一机制提供的是代码的完整性而非绝对信任，能够杜绝代码被暗中掉包，但无法自动保证插件本身的绝对安全性。xAI 也在仓库中明确声明，收录的第三方插件并非由 xAI 编写、控制、验证或认可，所有插件按“原样”提供；由于插件具备执行代码和访问系统数据的能力，最终的安全责任由用户自行承担。
插件架构兼容性与 deja-vu 运行机制
作为适配该体系的组件之一，deja-vu 是一个由 Go 语言编写的零依赖本地二进制程序，专门为 Grok Build、Claude Code、Cursor 以及 Codex 等 30 多种编程代理提供持久化记忆支持。
技术机制上，deja-vu 通过直接读取磁盘中既有的会话历史记录进行工作，无需调用大语言模型或生成向量嵌入。在相关安全审计中，它被评定为“SAFE”，未检测到凭证窃取或数据外泄风险。
在平台架构层面，Grok Build 允许单个插件目录集中打包多种组件，包括技能、斜杠命令、子代理、生命周期钩子、MCP 服务器和 LSP 服务器。其中，Grok Build 的技能格式与 Claude Code 等代理兼容共享，使得多款现存技能无需调整即可在 Grok Build 环境下直接运行。