ARTICLE · 1006967
DeepSeek Harness 插件别装一堆,先补“查证”和“看图”
DeepSeek Harness 插件别装一堆,先补“查证”和“看图”写这篇的时候，我差点又犯了一个老毛病：打开插件市场，看见一长串名字，就想凑一份“必装清单”。 后来忍住了。对一个靠模型写稿、整理资料、看后台截图的人来说，插件再多，真正把时间吞掉的也就两件事：一句话究竟能不能回到原文核对；一张图里的数字到底是不是它说的那个数字。 所以我对插件有个很偏执的标准：不能少翻一次网页、少对一次数字、少补一次证据链的，先别进我的工作区。 DeepSeek Harness 正好适合拿来做这件事。它把模型和工具接在一起，但官方同时把它标成 developer preview，安全说明也写着项目尚未接受安全审计。二十万 Star 和这两行字放在一起，反而把话说透了：大家已经涌进场，边界却还在施工。 别急着给模型装一整个五金店。先让它学会两件正经事——查证，和看图。 
01 市场负责递门牌号，钥匙还得自己拿着 
Harness 的插件市场 dsh-market，我会装，但只把它当目录。 它需要 dsh web 0.1.0-rc.6 或更新版本。装好以后，可以在 Web UI 的 Settings → Plugin Market 里找插件、看依赖、看更新。方便，没毛病。 但它的目录来自第三方精选注册表，项目 README 也明说了：listing ≠ endorsement。被收录，只代表“这个名字值得你点进去看看”；不代表“装上去就没事”。 我看一个插件，先不看宣传页写了多少“智能”，先看三件小事：版本有没有钉住，安装时会不会跑脚本，卸载后能不能干净离场。市场把门牌号递到你手里，裁判还得自己当。 
02 写稿时，我更需要一个会交出处的搜索助手 
模型会搜索，听起来已经不稀奇。真正让人头疼的是：它给你一段很顺的结论，却不告诉你哪一句来自哪里，哪一句只是把空白脑补圆了。 ModSearch 的价值，不在“联网”两个字，而在它把来源和 uncertainty 一起留在输出里。安装命令是： 要它查资料，我不会只丢一句“搜一下”。我会像交给编辑助理那样下任务： 找本周 AI 行业最值得关注的 3 条消息。每条按“事实、原文链接、发布时间、仍无法确认的部分”返回；没有原文链接的，不要写进结论。 这句话看上去多了几行，实际是在给答案加刹车。链接负责让人回去核；uncertainty 负责把不知道的地方空出来。能把空白交出来的工具，才不会逼着你在发布前替它擦一地的“看起来没问题”。 这里有一条边界别偷懒。ModSearch 可以接 Firecrawl 等抓取路线，走云端抓取时，公共页面 URL 会交给对应服务；网页内容本身也被当作不可信输入。内网地址、客户文档、带 token 的链接，别因为“顺手搜一下”就塞进去。它是查公开资料的跑腿，不是把整个工作盘递出去的快递员。 
03 截图最怕的，不是看不见，是看错了还很笃定 
做内容的人大概都遇过这种场面：后台截图摆在眼前，模型把“阅读”认成“曝光”，或者把相邻两列数字对错位，然后用极其自信的语气写出一段分析。 ModLens 值得看的地方，是它没有把输出停在“这是一张数据图”。它可以给出转写、布局区域、实体关系和 uncertainty。安装命令： 我会直接把任务卡死在字段上： 读取这张公开后台截图，只返回 JSON：标题、发布时间、阅读、点赞、收藏、评论、uncertainty。看不清就留空，不要猜。 这比让它“分析一下截图”靠谱得多。前一种会留下可以对照的格子；后一种，常常只会多出一段很像分析、却无法逐项核验的废话。 不过“能读图”不等于“图片随便喂”。ModLens 能切换 Gemini API、OpenAI 兼容视觉端点、Anthropic 和本机 CLI；不同路线带走什么数据、要什么密钥，根本不是一回事。它会把本地图片复制进权限收紧的临时目录，但作者也明确写了：那不是操作系统级沙箱。合同、客户后台、个人信息，先打码；看不清的字段，宁可空着。 
04 我会怎么给这两个插件出第一道题 
别一口气装十个，然后在出问题时猜半天是哪一个动了手脚。Harness 的插件会注册工具、服务和事件；官方安全说明也提醒，插件可能执行模型生成的代码和命令，访问被授予的网络、进程、凭据和文件。 我会单开一个 profile，只做两道公开题： 装前、装后各跑一次： 确认实际加载了什么；不合适就卸掉： 这不是仪式感，是给自己留一条撤退路。尤其是从 GitHub 装源码包时，prepare 一类脚本可能在安装阶段执行；如果你把包加入 allowBuilds，等于同意它在本机跑代码。能锁定 commit，就别追着会变的分支跑；能选构建好的包，就少给一次本机执行机会。 
05 先让模型搬资料，别急着把判断也外包 
我不相信“装完插件，AI 就替你工作”这种话。它最多把资料搬得更整齐，把截图拆得更可读，把不知道的地方圈出来。 真正要签字的人还是你：链接有没有说到点上，数字有没有对齐，结论有没有越界。 如果你今天只准备装一个插件，别去找最炫的。找一张你每天都要手填的公开截图，或者一篇你总得来回核对的公开页面，让它把字段、链接和空白交出来。跑完一轮真实任务，你就知道它是在帮你干活，还是只是在替你制造新的复核工作。
dsh plugin --profile web add dshmarketnpx -y @deepseek-ai/dsh plugin --profile web add @liustack/modsearch@5.10.0npx -y @deepseek-ai/dsh plugin --profile web add @liustack/modlens@3.25.4给 ModSearch 一篇公开发布说明，看它能不能把版本、日期、关键变化和原文链接分开； 给 ModLens 一张公开数据截图，看它能不能按固定字段交 JSON，并把看不清的地方留在 uncertainty。
dsh --profile web --dump-configdsh plugin --profile web remove <package>