DeepSeek 开源了个狠活:一切皆插件,连 Agent 循环也不例外

昨儿把 deepseek-ai/deepseek-harness 拉下来了。

仓库标题就一行。Everything is a Plugin。

不是扫 README。是对着 architecture、dsh-base 的 cordis.patch.yml、agent-loop、sandbox、skill、subagent 一点点抠。

抠完第一个感觉特别强烈。

这年头拆编码 Agent，你大概已经听过两条路。Claude Code，把零件做成可配置。Codex，把铁丝网焊在操作系统上，还把循环摊开。

DeepSeek Harness 走第三条。

它说，模型适配器是插件。工具表是插件。会话日志是插件。连 Agent loop 本身，也是插件。

不存在一个你必须 fork 才能改的特权核心。扩展方式是，在旁边再挂一个。卸载，注册就撤销。

底层叫 Cordis。论文写在 arXiv 上，讲时空可组合。CLI 叫 dsh。MIT。开发者预览。兼容性会破。跑之前务必读 SAFETY。沙箱和审批能降风险，不保证隔离。优先用一次性环境。

组装方式也很硬核。

运行中的 dsh，是启动时叠起来的插件树。Profile 是具名组装。Bundle 是配置行加代码的分发单元。web、headless、sdk、acp 这些表面，共享第一层叫 dsh-base。模型、工具、持久化、沙箱与审批、设置、凭据、遥测，全在里面。

层序清楚。bundles，profile 的 cordis.patch.yml，home patch，命令行 overlay。patch 整行替换，不深合并。你想换默认模型、收紧权限，改自己的 patch，别去碰所谓内核。

本机可以 dump。

dsh --profile web --dump-config

打印出来的每一行，理论上都能被你替换。

循环长什么样？

一步是一次模型请求加工具调用。一轮是零或多步。turn 打开，claim 输入，组装提示词和工具 schema，过 agent/pre-step，再 stream，再走 tools 的 pre、execute、post。欠下就下一步。最后 turn-stopping，turn 结束。

更重要的一句写在架构里。Model-visible means logged。模型看见的东西，必须能从会话日志重建。会话日志是真相源，不是旁路缓存。

扩展怎么选型，我建议直接借用 Skills 那套写法。写 WHAT，更写 WHEN。

约定老错？写 AGENTS.md。

可复用流程第三遍？收成 Skill。packages/skill 里有注册表、文件系统发现、Office 工作流，还有面向模型的 skill 工具。目录短，正文按需。description 写糊了，隐式调用就哑火。

必须每次发生？走 tools 瀑布，或审批，或 sandbox。

外部系统？MCP。

侧任务淹没主会话？Subagent。这里有个狠的。进程内可以 spawn、fork。进程外可以挂真实 Codex，真实 Claude Code，ACP，或者另一套 dsh-sdk。不是只能开自己的子循环。

换整层能力？新 Bundle，或 patch 替换行。

沙箱呢，并没有因为一切皆插件就消失。模式还是 read-only、workspace-write、danger-full-access。Linux 先 bwrap 再 Landlock。macOS Seatbelt。Windows 受限令牌。和 Codex 同族。DeepSeek 多强调一点，sandbox 是可替换 seam。远程沙箱一换，Bash、PTY、LSP 可以一起走。

我自己翻完，压箱底几条。

1、先分清建议、闸门、铁丝网、组合。Prompt 是建议。事件瀑布和审批是闸门。Sandbox 是铁丝网。Profile 和 Bundle 是组合。

2、写 Skill 先写触发。WHAT 加 WHEN。别把百科全书塞进常驻目录。

3、改行为优先挂插件和 patch，别一上来改循环。

4、跑生产前先读 SAFETY。预览软件，责任在你选的环境和最小权限。

5、想抄，优先抄会话日志中心和插件可卸载。组合力比再写一个 while 更值钱。

Claude Code 教你把旋钮配齐。Codex 教你把边界交给操作系统。Harness² 教壳自己在实验里进化。DeepSeek Harness 教你，连循环都可以是树上的一个节点。

模型还会更强。壳不会消失。壳的形状，越来越像可组合的插件宇宙。

以上，既然看到这里了，如果觉得不错，随手点个赞、在看、转发三连吧。如果想第一时间收到推送，也可以给我个星标⭐