一、五分钟，一句提示词，一个能用的东西

   

     先把机制说清楚，因为它决定了后面所有讨论的走向。   

     Harness 是黑鲸（DeepSeek）开源的桌面客户端，MIT 协议，底层用 Cordis 插件系统。它的设计原则写在项目简介第一行：一切皆插件。工具是插件，技能是插件，你看到的整个界面也是插件。以前这条路是给开发者留的——你想改什么，自己去写；现在这条路开口变大了：你在对话框里说想改什么，Agent 自己写。   

     入口不显眼。在插件页「添加插件」按钮旁边有个箭头，点开，里面有一项「让 Agent 创建插件」。切过去之后，输入框就变成了施工指令：你说要个随手记东西的地方，它就在左侧边栏长出一个便签墙；你说嫌界面太素，整套 UI 当场切成复古像素风；你说要个海报台，窗口就变成左设置、右预览的设计工作台，连背景的动态光影颜色都能拿鼠标拖。   

     关键在最后一步：这些不是 AI 生成的一次性网页，是装进客户端里的插件。重启之后还在，下次打开还在侧边栏挂着，用不上可以卸掉。这个差别听起来小，实际是两个物种——一次性网页关掉就没了，插件是长在你工作台上的家具。   

     时间成本低到有点反常识。有实测记录：一个屏幕悬浮的番茄钟，从一句需求到能用，5 分 24 秒。中文区一位博主拿官方提示词跑了三个，3D 地标馆约 21 分钟、花了 0.38 美元；海报工作台约 10 分钟、0.1 美元；会话统计约 11 分钟、0.16 美元。也有社区口径说，四个插件做下来不到 1 美元。   

     对比一下原来的流程：你有个想法，找 AI 写代码，它给你一段代码，然后你自己复制出来、装环境、跑起来、看报错、再贴回去问、再改。中间那一大段摩擦，是过去两年所有「AI 编程」产品的真实体验。这次被砍掉的就是这一段——写、打包、安装、验证，在一个窗口里连续做完。   

     有个冷水要先泼：手机上那个 DeepSeek App 里翻不到这个功能。宿主是电脑上的桌面客户端，官方 10 月底才正式发布。拿手机聊天查资料的人，这件事跟你没关系。   

二、这功能八月就躺在仓库里，昨晚只是发了张说明书

   

     这里有个反转，很多报道没写。   

     AI 科技评论博主罗汉·保罗（Rohan Paul）指出：Harness 的创造模式从 8 月就已经有了，11 月 2 日新发的，是演示视频和提示词。再往前查一条线索：10 月 2 日 Claude Code 推出 Mods 功能时，Harness 负责人崔添翼发文表示庆祝，同时顺带介绍过自家创造模式的几个用途——改界面、改 Agent 的循环机制、增加新的编排方式。   

     换句话说，昨晚不是一次技术突破，是一次产品化的宣告：把一个潜伏了三个月的能力，单独拎出来命名，配上七组可以直接复制的提示词，配上一条一分半的片子，然后告诉所有人——这个开关在这里。   

     为什么这个区别值得写一段？因为技术能力和使用门槛是两件事。能力在八月就成立了，但那时候只有会写插件的人用得上；昨晚之后，条件从「会写代码」降到「会描述需求」。同一个仓库，同一套接口，用户基数从一个群体换成了所有人。软件行业里，这种换挡往往比多几个百分点的指标更改变格局。   

     官方自己也留了老实话，写在提示词合集的开头：部分演示插件经过了多轮对话调整，仅凭一条提示词，不保证能复现视频里的效果。这句话很重要，它决定了你对这件事的期待值——不是「一句话出成品」，是「一句话出一版，然后来回改几轮」。   

三、七个提示词，跨度大得像换了个行业

   

     官方公开的七组，覆盖的形态差得非常远：   

3D 地标馆——侧边栏加一个入口，用 3D 模型展示巴黎埃菲尔铁塔、中国长城、紫禁城，外加一座由 AI 自己选的著名建筑。Transformer 三维可视化——把大模型内部的计算过程做成可交互的 3D 演示，每一层的结构变成能拖拽旋转的立体模型。像素风主题——一键把整个应用的视觉风格切掉，提供五种风格选项。   

海报设计工作台——左侧样式、右侧预览，标题、正文、Shader 背景颜色都能调。视频编辑工作台——深色界面、多视频上传、画面预览器、多轨时间轴、导出，大白话也能指挥剪辑。论文阅读器——上传后保留原始排版、字体、图片，选中一段就能高亮、记笔记，或者直接扔进对话里追问。   

     七个里面最不起眼、也最值得看的是第七个：会话统计。它用你真实的对话数据，统计 Token 总消耗、会话数量、按用量估算成本、Token 使用时间线、单次会话用量，还带 CPU 活动与利用率。   

     为什么这条最重要？因为它说明插件能读到客户端里已经存在的数据——你的对话、你的用量、你的账单。至于具体能读到哪一层、能往哪里发，取决于宿主开放了什么接口。这不是漏洞，这是插件机制的必然：插件要能干活，就得有权限；权限给到什么程度，产品设计说了算，用户通常看不见。   

     还有个细节，能看出距离「一句话出成品」还有多远。Transformer 那条官方提示词里，专门写了一句：确保面板标题和工具栏避开 macOS 原生窗口按钮，不发生重叠。连窗口左上角那三个圆点的位置都得提前交代，说明模型对「软件长在什么系统上」这件事，仍然需要人喂上下文。   

     很多人会问：这跟 Claude 的 Artifacts、跟市面上一句话生成网页的工具，到底差在哪？差别在「之后怎么用」。一次性网页是作品，关掉就结束；插件是工作台，装上去之后变成你日常流程的一部分——做海报时那套标题和配色留在面板上，下次接着调；读论文时那个批注栏还在右边挂着。软件从「提前买好的固定商品」，变成了「现场按需制作的工具」。   

四、它不住在沙箱里，它住在主进程里

   

     现在讲这件事最硬核的一层，也是所有欢呼声里最少被提到的一句。   

     黑鲸自己的插件管理组件文档里，有一句定性：「DSH 插件是 Host 进程中的受信任代码，不是隔离的浏览器扩展。」这句话不是评测者写的，是官方文档里的原话。   

     长期使用它的开发者给出的描述更具体：装好的插件在主进程里运行，不受工作区沙箱限制，对同一个配置下的所有会话都生效，重启也还在。安装时会弹窗问权限，点「允许一次」就行——一次授权，长期有效。   

     这两句放在一起，含义是这样的：沙箱管的是 Agent 干活时所在的那个环境，围栏、白名单、命令闸门都在那一层。但插件不是 Agent 的活，插件是客户端自己的一部分——它跑在围栏外面，就在你的应用进程里。   

     打个比方：你请了个装修工，他在工地里干活，工地有围栏、有监工、有工具清单，这一层管得挺严。但他给你打的那组柜子，是直接砌进墙体的。柜子里放了什么、有没有暗格、通不通到隔壁房间，围栏管不着——因为柜子不在工地上，柜子在你家里。   

     风险路径也不复杂。目前的运行逻辑是：Agent 写完代码，直接安装这个插件。如果代码有 bug，或者被恶意提示词诱导写了对电脑有害的东西，损害直接落在本机。整条链路上，没有一道闸门是强制要求人工审查过代码才能装的——你可以先看一眼它生成了哪些文件、要不要联网，但那是「可以」，不是「必须」。   

     要说清楚：这不是在暗示这次发布里带了什么坏东西。目前公开的七组提示词和社区反馈，都是正常工具。要说的是结构——当造工具的成本降到五分钟，审查工具的成本没有跟着降。两者之间的落差，就是风险真正待着的地方。   

五、官方那份安全说明，比任何评测都直白

   

     这一节几乎全是引用，因为原文已经写得足够清楚，不需要我再加工。   

     仓库里的安全说明写着：Harness 是实验性的开发者预览软件，尚未接受安全审计，不得视为安全或可用于生产环境的软件。同一份文件接着说：沙箱、审批提示与权限控制可以降低风险，但不保证隔离，也不能保证防止损害；不要把 Harness 当作不可信工作负载的唯一安全控制措施。   

     它还给了具体做法：给最小权限；放在一次性虚拟机或容器里跑；备份好它能访问的文件；除非你接受风险，否则不要暴露敏感凭据；允许运行之前，先检查插件配置和将要执行的命令。README 另外补了一句：项目处于开发者预览阶段，未来会有破坏兼容性的变更——翻译成人话：今天写的插件明天可能要重写，别当资产囤。   

     这份说明的价值，在于它诚实。它没有把「沙箱」当成一句营销词，而是明确告诉你沙箱的边界在哪里、审批能挡住什么、挡不住什么。相比之下，那条 1 分 39 秒的视频里，这些字一个都没有出现。   

     也要说句公道话：这不是黑鲸独有的问题。所有「让 AI 写代码并且当场执行」的产品，都站在这条线上——Claude Code 的 Mods、各种 Agent 框架、各种一键部署工具，都在同一个结构里：代码的作者和代码的执行者，第一次变成了同一个东西。区别只在于谁把边界说得更清楚。黑鲸说得算清楚，只是这句话放在仓库里，不放在发布会上。   

     把五段连起来看，其实是一条很短的链：能力八月就有了；昨晚把它包装成了人人都能按的按钮；按下之后，插件越过沙箱直接进主进程；而这条链上唯一写着「未审计」的那份文件，藏在 GitHub 里。   

     我不觉得这是坏事，甚至觉得方向是对的。软件行业几十年没变过的规矩——产品经理猜你要什么、程序员花半年做出来、封死界面卖给你、你为那 95% 用不上的功能付钱——确实该被撬一次了。撬它的不是又一个聊天框，是「你可以自己造」这件事本身。   

     但撬开之后，责任分配也跟着变了。过去你买软件，安全由厂商兜底；现在你造软件，安全由你自己兜底。造工具的成本从半年降到五分钟，信任的成本没降，还从「审一个程序员」变成了「审每一次对话」。这大概就是这一代软件最真实的代价：你终于能造任何东西了，代价是你得自己确认它不会咬你。