CSP設定はデフォルトに加え、広告プラグインを実行するために推奨される変更を加えているため、ハッシュは自分で追加していません。
何がそのハッシュを追加しているのか分かりませんが、metaのCSPにも含まれているため、Discourseが追加しているのではないかと疑っています。