插件找的是 ctx.tools、ctx.llm 这类能力，不是某个写死的实现。
DEVELOPER PREVIEW·2026-08-26 核对
ELI5 / DEEPSEEK HARNESS
模型是大脑。
Harness 是身体。
DeepSeek Harness 不是一个新模型。它是一套可替换的 Agent 运行结构：给模型装上工具、记忆、循环、沙箱和界面，让它能在真实环境里持续工作。
AGENT=MODEL+HARNESS
把它拆开看 一句话类比同一颗大脑，可以换整套身体。
01
Everything is a plugin
连 Agent Loop 都能替换
02
事件是事实
模型看过的内容必须可重建
03
本地优先
但执行代码仍需权限边界
01 / 04 · COMPOSITION LAB
试着拔掉一个模块。
点击开关，看看这个 Agent 会失去什么。这里的“可插拔”不是比喻：DeepSeek Harness 的模型、工具、会话、沙箱、存储、循环和 UI 都通过插件树组装。
02 / 04 · ONE TURN
一次任务，实际怎么跑？
不是模型“想完就结束”，而是 Harness 把模型请求、工具调用和结果重新串成下一步。
NOW
收到任务 — 消息进入 Agent inbox，开始一个 turn。
turn/start最关键的设计约束
“模型能看到的事实，必须已经被记录。”
官方架构把会话视为追加式事件日志。恢复、回放、转录和 UI 都从这条事件流派生，因此一次行动不只是“输出文字”，而是一串可检查的事实。
03 / 04 · CORDIS
谁把这些零件接起来？
Cordis 像一条带规则的供电轨：插件声明自己需要什么服务，依赖就绪后才启动；插件卸载时，它注册的工具、监听器和副作用也会撤销。
需要的服务没就绪，插件就等待；不用手工猜启动顺序。
事件可以观察、串行、并行，也可以像中间件一样改写或否决。
热更新或卸载时，注册项按生命周期被撤销，不留半套能力。
同一个工具 schema文件系统
替换 provider→
A本地 workspace
B远程 sandbox
对模型来说还是“读写文件”；对部署来说，执行世界已经换了。官方把这种可替换能力边界称作 seam。
04 / 04 · REALITY CHECK
能做什么，不能误会什么。
适合现在试
把 Agent 当可组装系统
- 01替换模型、工具或执行环境，而不改主循环
- 02从事件日志回放一次任务究竟发生了什么
- 03用 Web UI 或 Python SDK 驱动同一套 runtime
- 04研究工具策略、会话持久化、子 Agent 等组合
不要这样误会
它不是生产稳定承诺
- 01Developer preview：官方明确提示会有破坏兼容的变化
- 02本地优先 ≠ 无风险：它能运行代码、访问文件并作用于真实系统
- 03有沙箱 ≠ 自动安全：边界取决于你实际加载的 provider 与 policy
- 04能上网 ≠ 能信网页：非可信内容仍可能触发 prompt injection
最小安全起点隔离 workspace · 最小权限 · 审批关键动作 · 不把秘密放进可读目录
官方 Safe Use PolicyTRY IT / LOCAL FIRST
先在可丢弃的目录里试。
官方提供 Web UI 快速入口。它会在本机启动 Harness；运行前仍需配置兼容的模型端点与凭据。
注意Developer preview；不要直接对重要仓库开放高权限。