DeepSeek Harness 试用前指南：插件架构、自建职责与安全核对清单
文档核对日期：2026-10-29。本文为公开资料分析，不代表完成安装或性能测试。
1. 文档范围与试用结论
文档事实： 本文依据 2026-10-29 检索的官方仓库 README 与 master 分支 SAFETY.md。该日期是检索日期，不代表发布日期；材料没有提供固定发布版本或提交标识。README 将 DeepSeek Harness 标为 developer preview，明确表示将出现破坏兼容性的变化。安全声明进一步说明，项目尚未经过安全审计，不得将其视为安全或生产就绪的软件。
编辑判断： 可以考虑由能承担插件审查、环境隔离和升级维护的 Agent 开发者进行可丢弃环境中的探索。需要稳定接口，或准备直接接入生产凭据、重要文件的团队，应先暂停这类接入。本指南支持的是受限评估决策，不构成部署认可。
2. 插件化解决哪个层面的问题，哪些责任仍需自建
文档事实： DeepSeek 将 dsh 定义为开源 Agent harness，采用由 Cordis 支撑的“一切皆插件”架构。安全声明确认它可以执行模型生成的代码和命令、加载第三方插件，并访问向它开放的资源。
架构解读： 这一定位面向 Agent 执行环境的组织与扩展。开发者可以据此评估插件化是否适合自己的集成需求，但现有材料没有展开插件接口、生命周期、依赖解析或隔离机制，不能据此承诺组件可无成本替换，也不能把插件边界当成安全边界。
选型时应分开四层：模型权重属于模型交付层；推理服务器属于模型运行与请求服务层；编码 Agent 属于面向任务的应用层；这里的 Harness 是官方所称的 Agent 执行框架。当前材料没有证明 dsh 随附哪些权重、支持哪些推理服务器，或构成怎样的完整编码 Agent。
开发者职责： 插件选择与审查、配置、授权资源、外部隔离、备份和兼容性维护仍需团队负责。若需求仅是调用模型，本文证据不足以说明有必要引入这个执行框架；若需求涉及工具执行和插件集成，才值得进一步核对架构文档。
3. 运行条件：已确认的入口与尚缺的前提
文档事实： README 提供 npm 与源码两种运行路径。npm 路径要求先安装 Node.js；Web UI 默认在本机回环地址的 3080 端口启动。本地启动默认打开浏览器，SSH 启动则只打印主机地址，本地转发地址由 SSH 客户端或编辑器负责。源码路径需要先构建仓库产物，后续 Web 启动使用已有产物，不会自行重新构建。
试用前核对建议，未经实测：
- 先选定 npm 包或源码路径，记录包版本或提交标识；不要仅记录“最新版”。
- 对所选版本核对 Node.js、包管理器、操作系统及构建依赖要求。材料没有给出完整版本矩阵，不应猜测最低版本。
- 核对所需模型连接、认证方式及插件配置；材料未提供这些前提的完整说明。
- 若通过 SSH 访问，检查转发范围和实际监听地址，避免为了访问方便而未经审查地扩大网络暴露。
- 源码更新后，核对构建产物是否与选定提交一致。有关入口和构建步骤应以该版本 README、Web UI 指南及开发指南为准。
4. 权限边界：能访问的资源仍可能受损
文档事实： 安全声明列出的可访问资源包括网络、进程、凭据和文件。错误模型输出、软件缺陷、配置错误、恶意输入或不可信插件，都可能导致主机受损、文件修改或删除，以及数据或凭据泄露。沙箱、审批提示和权限控制可以降低风险，但不保证隔离或阻止损害；即使限制正确执行，也无法保护已经允许访问的资源。官方明确要求不要将 Harness 作为不可信工作负载的唯一安全控制。
决策方法： 按“失去哪些资源可以接受”设定权限预算，再决定允许哪些插件和任务。审批提示不能替代这一步。例如，允许写入测试目录后，该目录内的数据仍应视为可能被修改或删除。
试用建议，未经实测： 优先使用可丢弃虚拟机、容器或专用环境，并单独检查其宿主挂载、共享目录和网络出口。不要默认挂入个人目录、生产配置或宿主凭据。确需连接外部服务时，只提供任务必需、可撤销的测试凭据，并在执行前审查插件、配置与拟执行命令。这些措施降低暴露范围，不构成隔离保证。
5. 首次运行与升级前的验证清单
以下是根据官方风险提示整理的未实测建议，不代表项目已经提供这些保护或恢复功能。
| 检查项 | 具体做法与通过条件 |
|---|---|
| 版本记录 | 记录 Harness 包版本或提交、运行时、插件版本、配置和构建来源；能重新取得同一组合。 |
| 隔离范围 | 在投入真实数据前检查挂载、文件权限、凭据注入和网络规则；暴露范围应与事先列出的测试资源一致。 |
| 最小试验 | 使用合成输入与可丢弃文件，先做单一、可检查的任务；审阅拟执行命令，核对结果文件和可观察到的副作用。一次通过不证明安全。 |
| 凭据撤销 | 若试验使用凭据，事先确认撤销方式，并在试验后撤销；不要将凭据写入版本记录或共享日志。 |
| 恢复演练 | 在运行前备份允许访问的文件；用测试副本验证恢复步骤，确认能够重建环境并恢复文件。 |
| 升级检查 | 在独立副本中升级，重新检查插件兼容性、权限及构建产物；保留先前版本组合和备份。代码回退不能撤销已发生的外部操作或凭据泄露。 |
继续或停止： 仅在团队能够列清访问资源、审查插件并完成恢复演练时继续受限探索。任何一项无法确认，就暂停扩大权限；即使全部完成，也不能据此推断生产就绪。
证据与适用范围
证据仅限于资料包内 2026-10-29 检索的官方 README 与 master 分支安全声明，未包含固定提交、完整架构文档、插件 API、运行版本矩阵或模型兼容清单。未进行安装、构建、插件运行、权限验证、隔离测试或恢复实测。所有核对与恢复步骤均为明确标注的建议，不是测试结果；不据此推断性能、内存要求、隔离有效性或生产适用性。
本文使用 AI 辅助起草，并经过独立模型审稿；属于来源分析，未进行独立性能测试。