DeepSeek Harness 带来的新机会？

 

400G 文件，没了。

一个刚开源的框架，凭什么能删掉别人 400G 的数据？它是来帮你的，还是来害你的？别急着站队。我们把它拆开，从头看——因为这一次，炸的不只是数据，还有一道被大多数人忽略的门。

8 月 13 日，DeepSeek 悄无声息地把一个仓库设成了公开。没人开发布会，没人预热，连条官方推文都难找。

24 小时后，它刷屏了。三天，star 从 5.5 万一路飙到 11.5 万，登顶 GitHub 趋势第一。这不是某个小工具的正常走红，这是炸。

但就在所有人狂欢的时候，出事了。B 站一位用户，装了个社区插件，dsh 想把插件从符号链接换成真实目录。一条命令转义出错，rmdir 开始递归删除整个 G 盘，直到超时才被叫停。

01 先别急，它到底是什么？

一句话：DeepSeek 开源了一个做 AI Agent 的底座框架，叫 dsh（DeepSeek Harness）。

但如果你只把它当成「又一个 Claude Code 竞品」，那你就错过了最狠的东西。真正的王炸，藏在它的一句设计哲学里——

一切皆插件，不管是 Skill、UI、workflow，连 Agent 的核心循环都是插件。模型之外都算插件。

这就是 dsh 的 Web UI 主界面（实测截图）——一张朴素的「组装工作台」，没有花哨包装。

Agent 能给自己「装新器官」。

官方演示了一个此前只存在于论文结语里的东西——Agent 自进化。Agent 被装上了几个「自指」工具：

• cordis_inspect：检查自己的插件树，我有哪些能力？
• cordis_define：现场写一个新插件
• cordis_run：挂载，立即生效，不用重启
• cordis_stop / cordis_undefine：卸载，自动回滚

于是循环变成了这样：检查自己 → 现场写插件 → 挂载生效 → 卸载回滚。

Agent 不再是「用工具」，而是「给自己造工具」。

媒体实测里最出圈的是差评君那个案例：他用 Creator 模式，让 dsh 现场给自己做出了第五个工作模式——「生存模式」，血条等于上下文长度，蓝条等于账户余额。

dsh 的四种运行模式（实测截图）——Creator 模式下，Agent 能现场给自己造工具。

听起来像整活。但技术圈看到的是另一件事：

这个 Agent，在运行中给自己装了一个新器官。

这种「当场长出新能力」的演示，比任何发布会都更有说服力。

02 连「思考」都能热插拔

我们常用的 WorkBuddy、Codex、Claude Code 被称为桌面 Agent。什么是 Agent？

Agent = 大模型 + Harness（马具 / 缰绳）

为了让大模型稳定发挥，做了很多工程工作，让模型更好地遵循 Prompt、完成任务，这个叫 Harness Engineering（驾驭工程）。

他们通常会提供一个叫 Agent loop 的内核（Agent 工作任务循环），这是最小的执行单元，多复杂的任务都由许多 Agent loop 组成。

如果你要优化 Agent 表现，就要修改它们。怎么定制 Harness？

这些工具给你一堆钩子。你可以在循环里塞 hook、挂 skill、加 tool，但那个循环本身，你动不了。它是硬编码在骨架里的主干，你只能打补丁，不能换心脏。

dsh 的做法是：

别的框架让你在循环里插钩子，dsh 让你把循环整个拧下来。

在 dsh 里，agent loop 不是核心代码，它就是一个普通的插件，躺在配置表的一行里。换一个循环策略，等于换一个插件，进程运行中热插拔，出错自动回滚。

这背后的东西更硬：它跑在一个叫 Cordis 的微内核上，核心机制是「可逆效果 + 依赖注入」——每一个效果注册时都配一个逆函数，卸载时自动清理。这套内核已经被 Koishi 生态用 4000+ 插件验证了多年。

更少见的是，DeepSeek 专门为这套机制写了一篇论文——《A Programming Paradigm for Spatiotemporal Composability》，讲一个叫「时空可组合」的编程范式：在空间上，插件能任意组合、卸载不留痕迹；在时间上，状态能随时回滚到任意一个点。

论文开头就写着一个问题：一个 Agent 能不能同时做到「越跑越大」和「越跑越干净」？

dsh 就是用代码回答了这个问题。

Flask 之父、Pi、Rust 核心贡献者 Armin Ronacher 评论：

“我不认为 DeepSeek Harness 是完美的，但这确实是我头一回在这个赛道里看到新东西，让我很想回头重新审视我们自己的选择。我非常喜欢它开源这一点。”

——Armin Ronacher，Flask 之父 / Pi / Rust 核心贡献者

03 为什么这次不一样：一个共识，把护城河挪了位置

前面是给技术人的「好玩」，下面这段是给盯机会的人看的。

过去一年，业界慢慢形成一个共识：Agent 的可靠性，由 harness 决定，不由模型决定。

三个证据：

1. LangChain 52.8% → 66.5% 同一个模型、不改任何参数，只优化 harness，Terminal Bench 2.0 得分从 52.8% 涨到 66.5%，排名从 30 名外冲进前 5。
2. OpenAI 3 人 · 5 个月 · 100 万行 3 个人（后扩到 7 人），5 个月、零行手写代码，靠 Agent 交付约 100 万行代码。他们的话是：「Humans steer. Agents execute.」
3. Anthropic 2025.11 报告 第一次把 harness 正式用于 Agent 语境，结论就是：长任务的可靠性主要取决于 harness 的质量。

三条证据：可靠性由 harness 决定

这句话的分量在于一个推论：如果决定上限的是 harness 而不是模型，那「模型」就不再是壁垒——谁更会搭 harness，谁就赢。

而模型正在变成商品。护城河，从「谁能训出最强的模型」，转移到了「谁能把模型稳稳落到生产里」——落到工程和行业 know-how上。

对投资人，这比任何跑分都重要：竞争逻辑变了，新壁垒出现在了一个全新的位置。

04 一张入场券，门槛低到只有三样东西

那这张新护城河的门票，贵吗？

在 dsh 里，一个插件（Skill）只有三样东西：

1. name 我叫什么 →
2. inject 我需要哪些服务 →
3. apply 我生效时做什么

一个插件只有三样东西

没了。没有框架黑魔法，没有必须继承的基类。一个最小插件，30 分钟就能跑通第一个。

对喜欢 Vibe coding 的人，这意味着「写一个 Skill」第一次变得像「发一条朋友圈」一样轻——你对着 Agent 描述意图，它自己装插件、改自己、用完了再卸载回滚。

05 机会在哪：一个新资产类别正在形成

把上面这些收拢，机会藏在一次「生产关系」的重构里。

过去企业做 AI 落地，是按人天卖项目：驻场工程师手写胶水代码，对接客户的 ERP、选品库、合规规则，项目结束代码就死，客户下次还得再买一次人天。

而在 dsh 这套「一切皆插件」的底座上，同一件事被降级成了组装插件：接客户内部系统是一个插件，配沙箱权限是一个插件，连换模型都是一个插件。

于是四个东西，从「靠人」变成了「靠资产」：

四个东西，从「靠人」变成「靠资产」

也就是：「插件」正在变成一个新的资产类别——它不是工具，是行业 know-how 的封装，从 Workflow 到软件 UI，一切都要根据企业的业务需求定制化，并且随着业务的迭代而迭代。

谁先把某个行业的经验提炼成「可加载、可复用、可被 Agent 直接调用」的插件，谁就掌握了那个行业在 AI 时代的新护城河。

市场已经在用真金白银投票：

• OpenAI · Deployment 40 亿美元
• 2026 年 5 月成立，19 家机构，收购 150 人 FDE（前沿部署工程师）团队。
• Anthropic 1 亿美元 建伙伴网络，要培训约 3 万名落地工程师。
• Indeed · FDE 岗位 +729%
• 一年从 643 涨到 5,330。
• 国内 · 基础算法岗 50%→20%
• 猎聘 × 清华报告：需求占比从 2022 年约 50% 跌到 2026 年一季度的 20%；「AI 智能体构建」需求四年环比 +40%。

市场已经在用真金白银投票

方向已经很清楚了：不缺会训模型的人，缺的是能把模型「用起来」的人。

但问题在于：FDE 交付的成果，标准在哪里？每一家企业都有自己的理解。

而 DSH 用「一切皆插件」给出了一个新标准：只要能解决业务场景里的问题，不管是 UI、Skill 还是 Workflow，都是有利于企业的插件。这不仅仅是 DSH 的插件，更应该是企业的插件。

06 官方主动让位，生态一天长成森林

更狠的一招是姿态。

DeepSeek 的 CONTRIBUTING.md 写得非常直白：现阶段不接受核心仓库的外部 PR（团队小），主战场是插件生态。

翻译一下：内核我们守，舞台给你们。

这一让，让出了什么？

设置页里的插件列表（实测截图）——133 个插件，每一个都能单独启停、替换。

• 插件仓库：288 → 361 → 1191，一天之内，如今已经 4000+。
• 热榜第一是一个皮肤——鲸鱼娘 dsh-web-ui，1087 星。
• 官方没做界面？社区一天补齐了终端、桌面端、WebUI 三种壳。

前六名里四个是「界面类」插件——这暴露了 dsh 最大的缺口，也证明了它最大的威力：

官方缺什么，社区补什么，补完还能热插拔、能回滚。

连「换模型」和「换皮肤」，在 dsh 里都成了同一类操作。这就是「一切皆插件」的真正杀伤力。

07 这背后是一盘更大的生意

看懂这步棋，得看 DeepSeek 同一天干的另一件事：8 月 17 日 0 时起，API 全线涨价，缓存命中最高涨 500%。

一边把 runtime 免费开源，一边把模型涨价——这是典型的「剃刀-刀片」打法：免费修高速公路，等车流上来了，再收油钱。

更深的盘算是数据飞轮：

1. 开源 Harness（免费）
2. 海量真实任务涌入
3. 执行轨迹回流
4. 反哺下一轮模型训练

↻ 模型更强 → 更吸引开发者 → 更多任务 → 轨迹更密 ……循环加速

数据飞轮：免费修路，赚的是油钱和数据

护城河不在「绑定某个模型」，而在生态密度——谁能定义开发者怎么和模型协作，谁就握住了下一代的入口。

08 能力越猛，越危险

回到开头那个 400G。

命令转义出错，只是那根点燃的导火索；真正让它烧掉 400G 的，是机制。有博主扒了源码：dsh 有两套独立防线——文件沙箱管「能写哪」，审批策略管「要不要弹窗问你」。而 danger-full-access 这个最高档，一次性把两套全拆了，而且整个会话持续生效。他批过一次，后面所有操作都不再问他。加上 rmdir /S /Q 是永久删除、不进回收站，400G 只能靠恢复软件碰运气。

最扎心的细节是：源码里其实有「单次放行」的临时通行证（allowed_once）。工具明明给了安全带，只是太容易一开了之。

Agent 自己的复盘倒是很诚实：“错误在我——我不该用嵌套引号的 cmd 命令做删除操作，应该在执行前验证命令字符串。”

但说句公道话，把锅全甩给 dsh 也不公平。它的出厂配置其实极其保守：Code Mode 默认关闭、自我改造工具组要手动安装、别家模型适配器默认休眠。它不是生来鲁莽，只是把打开潘多拉盒子的钥匙，直接递到了用户手上。

所以上手之前，值得先做三分钟的权限体检：

看当前档位顺带关掉了哪些安全机制。

找有没有「记住此类操作」的细粒度规则，别被弹窗疲劳逼着开全局。

切最高权限只临时用，用完立刻切回；删除这种不可逆操作，让 AI 列清单、人来动手。

上手前，先做三分钟的权限体检

热闹归热闹，再冷静说三句：

1. 它还是 v0.1 开发者预览版。64 天 1.2 万次提交，骨架搭得飞快，但包名、API、目录随时可能变，别拿它上生产。
2. 生态是「一天长出来」的，质量参差。最火的皮肤插件甚至没许可证文件，建议只自用。
3. 官方没有插件市场，分发靠 GitHub 标签和社区目录站。目录站都能火，说明生态在成型，但也说明它还很原始。

对投资人的诚实判断是：这是一个值得放进观察名单的信号，不是现在就能重仓的标的。真正的窗口，是它从 v0.1 走到 v1.0、API 稳定下来的那一段——那时候地基定了，再上车不迟。

但窗口，往往只留给先动手的人——插件生态刚起步，还没有任何事实标准。L1 通用能力是红海，官方迟早自己做；真正值钱的 L3/L4（行业垂直方案包、行业数据 / 协议），现在几乎没人占位。

真正的开发者看到的是机会，跟风的人看到的是热闹。你是哪种？

09 最后

DeepSeek 下了一盘更大的棋。

它把「用什么模型」「怎么思考」的主动权，重新放回了使用者手里。当「换模型」和「换皮肤」是同一件事，它其实是在建立一个新的 Harness 工程的标准。AI 的下一场战争，拼的就不再是谁的模型更大，而是谁的底座能让生态自己长出来。

总结就是：

模型是商品，工程是护城河，人是连接器。

那么问题来了——如果 Agent 能自己迭代，你觉得「写 Skill」还需要人吗？评论区聊聊，也把这篇文章转给那个总在找机会的朋友。

而这，才刚开了个头。

本文数据截至 2026-08-16，star / 插件数为 GitHub API 实测；行业数据（OpenAI / Anthropic / LangChain 等）为公开渠道转引。