DeepSeek 送你缰绳，是为了卖马料——Harness 两个月观察

导语

Harness 的本义是马具、缰绳。在 AI 圈，它指模型外面那层"执行框架"：模型负责想，harness 负责让想法安全落地——替模型调用工具、管理文件、控制权限、记住上下文。你用的 Claude Code，就是 Anthropic 的模型套着 Anthropic 的缰绳，这副缰绳不开源、也不让你换别家的马。

8 月 13 日，DeepSeek 把缰绳本身开源了，宣布"一切皆插件"、什么模型都能套。两个月过去，社区目录收录了 13,160 个插件，第三方基准测出它用七分之一的 token 干完了 Claude Code 的活，它也吃到了第一个 CVSS 9.4 的高危漏洞。

看懂这件事只需要一句话：DeepSeek 送缰绳，是为了卖马料。 Anthropic 靠订阅赚钱，harness 越封闭、用户锁得越牢，所以它的缰绳是商品；DeepSeek 靠卖 token 赚钱，harness 越普及、API 调用越多，所以它的缰绳是赠品。缰绳从来都在替它的主人算账——你选哪家的 harness，就在按哪家的商业模式花钱。下面用数据把这句话展开。

一、这东西是真火，还是刷出来的？

真火，而且火的形态很少见。

Reddit 上与它相关的讨论 248 帖、12,166 赞，负面只占 8.1%——对照 DeepSeek 品牌本身 12.7% 的负面占比，Harness 是这家公司今年少有的"纯增量好消息"。发布当天三帖齐发（327 赞、247、247），八天后 v0.1.1 迭代帖再上榜。最能说明"住下了"的信号反而是个玩笑帖：发布第四天，社区给它做了个"梁氏滑块"主题皮肤，拿下全切面最高的 1,224 赞。给工具装修，说明打算常住（推断）。

好评里信息量最大的是那篇 190 条评论的 "Insanely Good" 帖。作者想要一个走 SimpleX 加密通道的消息代理——没等社区插件、没翻文档，直接让 agent 自己写了这个集成，他原话连用大写强调："BY SIMPLY ASKING IT TO"。另一个高频评价是 "unopinionated"：它没把自己焊死成编程助手，你可以把它捏成任何形态的 agent（归因）。

两根刺同样真实。一根扎在安全上：8 月 24 日"它逃出了工作目录"（126 赞、187 评论，全切面最吵）；9 月 10 日安全通告给出了正式版本——CVE-2026-82533，CVSS 9.4：沙箱里的 agent 可以反手关掉自己的沙箱（已确认）。马自己解开了缰绳。另一根刺是预览期的粗糙：子代理"bug 多"（用户原话，归因）、官方自己预告会有不兼容变更。

二、效果到底怎么样？同一匹马，换副缰绳差七倍

社区其实早就起了疑心。发布前三周，一位用户把同一个 DeepSeek V4 Flash 分别放进 Claude Code、OpenCode、Pi 三个 harness 跑自己的工作负载：产出质量基本相同，耗时差近 4 倍（308 赞、158 评论，个人实验，归因）。DSH 发布后，第三方平台 Composio 把它做成了正式基准（9/1，已确认）：30 个高难度真实应用任务（Gmail、Sheets、GitHub、PagerDuty 等，真实账号、按事后状态判分），六个 harness 全部接同一个 DeepSeek V4 Pro，单任务 900 秒上限。结果：

先把结论说人话：质量同档（差 1 题，n=30 无统计意义），速度略慢 6%，token 消耗只有七分之一。最干净的单点对照是 PostHog 那道题：两边全对，Claude Code 烧了 428,677 token，DSH 烧了 53,243——同一匹马、同一个答案，上下文差 8 倍。

这张表里最反常的是工具调用那一格：Claude Code 动作更少（11.7 次对 14.2 次），token 却是 7.3 倍。它没有多干活，它只是每走一步都背着整个行李箱。而"每步背多少行李"，正是 harness 的本职工作。

为什么两家在这件事上做出了相反的选择？把收入结构放进来，答案立刻不体面了：Anthropic 按高价卖 token，harness 大手大脚也没有痛感；[DeepSeek 按地板价卖 token](/insights/deepseek-analysis)，harness 必须锱铢必较，"便宜"这个招牌才立得住。 DSH 还有一层独门咬合：官方称它把请求组织成最大化命中 DeepSeek 原生缓存的形状，KV 缓存命中率最高 99.93%（厂商自述口径）——而 DeepSeek 的 API 对命中缓存的输入打折计费。执行框架和计费表咬合得越紧，账单越薄。

也有用户持相反看法：V4 Pro 只有在 DSH 的 minimal 零噪音模式下才见真水平（74 赞，归因）——执行框架自身的开销是真实存在的争论，官方的四种预设模式就是对这个争论的回应。

三、正在用 Claude Code 的人：该不该换？

别问"哪个更好"，先看你的账单结构。按数据分三种人说：

该认真试的：按量付费、任务量大、预算敏感的人。 你的核心数字是 $0.028 对 $0.074——单次成功成本差 2.6 倍，token 差 7.3 倍。如果你每月在 agent 任务上烧三位数美元，这个价差够你养一台新显卡；Reddit 上已经有"6 分钟、一把过、$0.07"的体感帖（304 赞）。

该按兵不动的：安全敏感和合规场景。 CVSS 9.4 的沙箱自解除漏洞发生在发布后第 28 天；腾讯朱雀实验室已经专门发论文评估它的提示注入抗性（arXiv 在案）。给它接生产环境凭据（邮箱、代码库、工单系统）之前，等 1.0 的安全模型，或者至少等下一个 CVE 的响应表现。插件生态同理——社区目录自己写着"收录不代表安全"。

可以不动的：重速度、轻成本、深度绑定 Claude 生态的人。 Claude Code 仍是六个 harness 里最快的（305 秒对 324 秒），如果你的时薪远贵于 token 账单，快 6% 就是它的全部理由，也是个够用的理由。

说到底，选 harness 已经变成一道立场题：用 DSH，省下的是你的钱；用 Claude Code，多花的钱变成 Anthropic 的收入。两家都没骗你，它们的缰绳只是各为其主（判断）。

四、做 AI 工具创业的人：会被干掉，还是该上车？

分两种命运说，然后泼一盆所有人共用的冷水。

做第三方客户端的（给模型套一层好用界面和执行环境的公司），判决已经下了，缓期执行。 过去一年围绕便宜模型长出一批这样的公司，它们的存在理由被 4 月一位用户一语道破："DeepSeek v4 便宜，但没有配套的执行工具根本没法用——所以我还留在这"（原帖，2 赞的小帖，全切面信息密度最高的一条）。官方工具来了以后，这个存在理由被免费收编：UI 被夸、缓存咬合别人做不到、还开源。用户已经在公开讨论迁移（"等子代理修好就取代 zcode"，归因）。留给这类公司的活路只剩垂直纵深——某个行业的合规包装、某类企业的私有化交付，纯通用客户端的窗口正在关闭（判断）。

做插件的，红利真实，但请看清保质期。 上车方式简单到粗暴：GitHub 仓库打上 dsh-plugin 标签、README 写清楚怎么配合 dsh，就进了生态目录——没有商店审核、没有分成、没有平台谈判。34 天 13,160 个插件、13 个分类、按真实 star 排序（社区站核验口径），头部插件（记忆、推理增强、桌面端）已经积起自己的 star 池。独立开发者第一次能用一个周末的作品接住官方生态的流量。

但第一节那个 SimpleX 案例在这里露出另一面：那位用户需要新集成时，没有去插件目录里找——他让 agent 当场写了一个。如果 agent 能按需生成集成，插件目录的繁荣本身就是过渡态：这 13,160 个插件，可能是最后一代主要由人类编写的插件（判断，可反驳——复杂插件的质量与长期维护仍需人类，现场生成目前只覆盖浅集成）。对插件创业者的实操含义：赚窗口期的钱，往"agent 短期内写不出来"的深度走（私有数据源、行业合规逻辑、需要运维承诺的服务），浅胶水层的护城河按月计。

三条平台风险，所有上车的人共用：① 官方明文预告不兼容变更，1.0 之前维护成本不可预算；② 你的插件火了，官方下个版本可以内置同类能力，没有任何机制承诺不这么做；③ "一切皆插件"同时是"一切皆攻击面"，企业客户的信任成本会摊到每个插件作者头上。

五、这步棋说明什么：缰绳之战开场了

为什么一家模型公司要免费送一个别家拿来卖钱的东西？因为两家的商业逻辑从根上不同，卖什么决定了送什么。Anthropic 卖订阅：harness 越闭环、体验越独占，月费越稳，所以 Claude Code 是产品，要收钱。DeepSeek 卖 token：什么工具都行，只要最后调的是它的 API，所以 harness 是渠道，白送反而划算——4 月那句"便宜但没法用"就是它的商机备忘录。送缰绳，卖马料；缰绳越好用、越普及，马料卖得越多。这与它在模型层的打法完全同构：开源权重换生态，生态换标准地位，现在同一套剧本在执行框架层重演——连理论包装都是同款配方（Cordis 内核背后是一篇北大与 DeepSeek 合著的编程语言论文《时空可组合性的编程范式》，已确认）。

往大了说，这是缰绳之战的第一枪。模型层的分数已经卷到贴面（竞技场前几名差距在个位数百分比），下一轮入口之争在执行框架层：谁的 harness 成为 agent 时代的默认执行环境，谁就站在所有 token 流量的必经之路上。行业早有预感——"是 harness 的问题，模型没病"的论述 6 月就有了（已确认）——DeepSeek 只是第一个把预感变成开源产品的模型厂。

软肋也已经亮出来了，而且和这个模式的基因绑在一起：一体化闭源的 harness 可以用封闭换安全边界，全插件开源的 harness 把边界交给了社区。发布第 28 天就吃下 CVSS 9.4，漏洞的内容偏偏是"马自己解开了缰绳"——这几乎是给这个模式写好的警世寓言：缰绳可以送，但送出去的缰绳，松紧就由不得你了（判断）。DeepSeek 品牌在大众层本就背着信任负债（本项目 9/29 品牌报告：内容安全议题 NSS -34.1），Harness 若在企业语境里积累安全案底，"便宜但不敢用"的旧叙事会在新产品上复活。

留一个可验证的赌注，十二个月后回看：如果缰绳之战成立，Claude Code 阵营将在一年内被迫二选一——开放（开源部分组件或接入第三方模型）或降价。 两者都没发生，就说明闭源路线的体验护城河比本文估计的深，欢迎拿这篇来对账（判断）。

常见问题

DeepSeek Harness 真的比 Claude Code 省钱吗？ 在现有的唯一第三方基准上，差距很大。Composio 让六个 harness 接同一个 DeepSeek V4 Pro 跑 30 个真实应用任务：Claude Code 平均每任务 649,900 token，DeepSeek Harness 88,562，是七分之一；单次共同成功成本 $0.074 对 $0.028。通过率 19/30 对 20/30，差一题，n=30 下没有统计意义。

可以把 DeepSeek Harness 接进生产系统吗？ 安全敏感或合规场景下，暂时不要。发布第 28 天它就吃到 CVE-2026-82533，CVSS 9.4——沙箱里的 agent 可以反手关掉自己的沙箱；腾讯朱雀实验室已就其提示注入抗性发了 arXiv 论文。官方也明文预告 1.0 之前会有不兼容变更，社区插件目录自己写着"收录不代表安全"。

Anthropic 卖 harness，DeepSeek 为什么要开源一个？ 因为两家卖的东西不同。Anthropic 卖订阅，harness 越封闭、体验越独占，月费越稳，所以 Claude Code 是收费产品；DeepSeek 卖 token，什么工具都行、只要最后调的是它的 API，所以 harness 是渠道，白送反而划算。DSH 还把请求组织成最大化命中 DeepSeek 原生缓存的形状——官方称 KV 缓存命中率最高 99.93%，而命中缓存的输入是打折计费的。