原文链接：DeepSeek Harness 生产观察：把运行时拆开重写，生产才接得住

这篇聚焦一件事：DeepSeek Harness 到底怎么重塑了 Agent 的运行时。把这件事讲透，比堆一堆生产建议更有用。

背景先一句话带过。业内常把 LLM 比作操作系统：模型像内核，上下文像内存，工具调用像系统调用，Agent 框架干的就是操作系统的活。DeepSeek Harness 的不同在于，它把这台"操作系统"的内核接口，几乎全做成了可插拔的。

先拉取DeepSeek Harness代码，运行起来

1、首先在本地目录拉取代码

git clone https://github.com/deepseek-ai/deepseek-harness.git

2、下载依赖，编译、启动

cd deepseek-harness pnpm install pnpm run build pnpm dsh web

效果如下：

我觉得单从界面看，干净整洁，简单易用，符合现今常见风格，既然“一切皆插件”，那么后期有机会我会更换一套UI试试。

传统运行时长什么样

主流 Agent 运行时，大多是一段写死的代码。循环怎么转、何时停、工具怎么调、上下文怎么拼，都焊在框架里。开发者能动的，通常只有提示词和工具清单。

带来的结果是：换模型要等框架；加一道审批要改业务；想复盘 Agent 为什么这么干，只能读日志瞎猜；最要命的是，会话状态是隐式的，跑过的过程没法干净地重放和分叉。

总的来说：传统运行时是"死的"，能跑，但难改、难查、难复用中间过程。

它把运行时从"一段程序"改成了一份活配置

DeepSeek Harness 的做法，是把运行时从"一段程序"变成"一份可回放、可自改、可声明的活配置"。具体改了五处，每一处都是对运行时的结构性影响。

1. 状态模型：从隐式变量，变成只追加的事件流。 这是最被低估、却最要命的一条。DeepSeek Harness 规定，任何进入模型请求的内容，都必须能从会话日志重建。系统提示、推理、工具调用与结果、子 Agent 调度、每次上下文注入，全写进一条只追加的事件流。影响是根本性的：重放、分叉、续跑、持久化，都从同一条事件流派生。会话状态第一次成了运行时本身的一部分，而不是事后补的日志。

2. 控制流：从写死的循环，变成可插拔的"停"决策。 一次 step 是一个模型请求加它调的工具；一次 turn 可含多个 step，直到运行时判断不用再干。影响在于，"什么时候该停"从一个写死在框架里的固定逻辑，升级成一个能被插件接管的一等公民。

3. 工具执行：从直接调用，变成带关卡的可扩展流水线。 一次工具调用不再直接执行，而是一条流水线：执行前过 Hook、审批、权限、沙箱、超时；执行后还能做结果改写、记录、UI 渲染。影响是，安全策略和审计埋点可以无侵入地织进执行路径，而不是散落在业务代码里。这一条对做过安全的人吸引力最大，我自己评估框架时会专门看它有没有把"拦截点"留出来，DeepSeek Harness 把拦截点留得很全。

4. 运行时自身：从不可改，变成能被自己改写。 创造模式是一组自指的 Cordis 工具：Agent 能检查当前插件树，动态挂临时插件，临时写监听器、注册新工具、提供服务，干完再卸。这个模式默认不启用。临时插件只在内存，不落盘、不装包、不改配置，重启即失。这用上了 Cordis 的可逆效应：自我修改有确定的回收路径。影响是，运行时第一次具备了"边跑边升级"的能力。

5. 组装方式：从写代码，变成声明式组合。 DeepSeek Harness 用 YAML 把八层插件（上篇按官方架构文档归纳过）拼成一份运行时。影响是，"定义一套 Agent"不再是写程序，而是声明要哪些插件、谁依赖谁、信任定多高。换能力，改的是配置，不是源码。

把这五处合起来看：DeepSeek Harness 对运行时最本质的影响，是把它从"我写了一段程序让它跑"，重构成了"我声明了一份由插件组成、可回放、可自改的基板"。

维度	传统运行时	DeepSeek Harness 运行时
状态	隐式、难重放	事件流、可回放
停的逻辑	写死在框架	插件可接管
工具执行	直接调用	流水线带关卡
自我修改	不支持	创造模式可改
组装	写代码	YAML 声明

为什么生产反而接得住

现在说说开头讲的模型只是下限，真正卡人的是延迟、安全、可观测、评估。有意思的是，DeepSeek Harness 对运行时的这五处改变，几乎精准对应了这四个痛点。它不是先有框架再补特性，而是把生产特性做进了运行时本身。

• 可观测不是接上去的，是长出来的。会话日志天然就是树状 trace 的来源：每步耗时、进出 JSON、状态变化，全在事件流里。官方还带了 OpenTelemetry 遥测插件，想接进公司现有的监控体系，有现成的口子。这点我特别看重，我自己的监控习惯是宁可多打一行日志，也不想出事的时候两眼一抹黑。
• 安全不是写死的，是插在路上的。Agent 能读写文件、跑命令，凭证一大就可能删资产、漏密钥；读网页或上传文档还可能被藏起来的指令带偏。我自己的观察，把 Agent 推到生产，事故最容易出在凭证给得太大、记忆被污染、出了事没日志可查。我的看法很明确：会执行代码的 Agent 必须跑沙箱，不可逆动作前必须人工确认。DeepSeek Harness 把这关做成工具流水线上的标准插件，不用写进业务。还有一点很实在：凭据是引用式存储，页面只收脱敏后的描述符，轮换之后下一次请求就生效，密钥本身不进会话日志。这套设计，做企业安全的人会懂。
• 评估回放不再靠猜。事件流可重放、可分叉、可断言调用顺序，CI 里跑回归比事后救火强。官方有 headless 模式，一条命令跑一次任务、打印结果退出，接进 CI 脚本非常自然；另外还有 Python SDK 和 ACP 协议入口，自动化接入有得选。我算过一笔账：与其每次上线靠人肉点一遍，不如把典型任务固化成回归，让 Agent 自己跑自己测。
• 成本也顺理成章地压。多步 Agent 端到端常常几十秒，每轮都是一次模型调用。模型无关加自定义 Loop，让"规划用贵模型、执行用便宜模型"变成配置而非重写。这个判断现在尤其值钱：8 月 17 日零时起，V4 API 正式换成峰谷定价，高峰时段（北京时间上午 9 点到 12 点、下午 2 点到 6 点）价格是低谷的两倍，低谷统一按高峰的一半计。多步 Agent 跑一轮任务，token 量不小，高峰时段让 Agent 随便试错的账单，肉眼可见会变难看。便宜到敢让它随便试错的窗口，正在关小。

基于这套运行时，怎么造更扛生产的 Agent

底座是可组装的运行时，造更强 Agent 的思路就清楚了：挑插件、换插件、写插件，不从头写框架。几条路，我自己评估下来觉得最值得先试：

1. 多模型路由。推理层是插件，按任务类型与置信度动态选模型。
2. 自定义 Loop。循环层是插件，标准"想一步做一步"能换成反思、树搜、Plan-Execute。
3. 长期记忆。会话层、存储层是插件，跨会话记忆、按 Git 分支感知项目状态，直接治失忆。
4. 企业安全。沙箱层、审批层是插件，敏感动作强制审批，执行环境换内网合规沙箱。
5. 可观测回放。基于会话日志做调试面板与合规复盘。
6. 自进化。创造模式之上，运行时注册临时能力、用完即卸，是 Agent 自我升级的起点。

真要动手，我的建议是先跑通第 5 条和第 1 条：可观测回放成本最低、见效最快，多模型路由直接关系账单。其余几条等接口稳定了再动，别在预览版上把架构焊死。

边界我说在前面

• 还是开发者预览。官方明说会有破坏兼容的改动，今天更适合评估、改装、参与生态，不是无脑接生产。
• 信任边界要守。创造模式能直接操作运行时，临时插件虽不落盘，仍可能做有副作用操作，企业部署必须配审批和沙箱。
• 本地优先。DeepSeek Harness 是你自己跑的软件，Web UI 默认绑在本机地址上，不是为对外服务设计的。
• 基准自己判断。官方口径给 V4-Pro 报的 Agent 基准（Terminal Bench 2.1 是 87.9，DeepSWE 是 62.7，Toolathlon-Verified 是 74.1，DSBench-FullStack 是 71.1，其中 DSBench-FullStack 是官方内部测试集），方向我信，幅度等第三方复现。

结论

它最值得记下的，是把 Agent 的运行时，从一段写死的代码，重构成了一份可回放、可自改、能用 YAML 声明的活基板。Agent 的竞争，正从谁模型更强，转向谁的运行时更开放、更能被自由重组。对开发者是能随便改的底板，对企业是能换合规实现的可控框架，对行业是把开放权重逻辑从模型推到了运行时。

基础设施之争才刚开头。如果你在落地时遇到什么问题，欢迎评论区聊聊；觉得有用的话，顺手点个关注，后面我写更实操的落地经验。

  【欢迎访问我的个人博客主页，这里有我的精选文章和AI大模型日报专栏。👇）
 

本文用到

[1]: DeepSeek Harness 官方仓库与架构文档. github.com/deepseek-ai/deepseek-harness
[2]: 论文《A Programming Paradigm for Spatiotemporal Composability》. github.com/cordiverse/paper
[3]: DeepSeek V4 官方更新日志与 API 定价. api-docs.deepseek.com/updates；定价页 api-docs.deepseek.com/quick_start/pricing