DeepSeek 的编码智能体不用 @ 了，但默认只许把想干的记下来
DeepSeek Harness 团队周六开源了一个不用 @ 就会自己找活干的编码智能体原型，默认却只记录、不执行。这篇拆开它的三层授权闸、两组实验数字与自认的安全边界，并说明：不用点名已经不稀奇，差别在许可怎么写、怎么撤。
周六晚上 8 点 29 分，DeepSeek Harness 团队的公众号发出一篇九节的架构长文，配了一整套系统图。1
同一晚，GitHub 上多了一个仓库，一次提交，MIT 许可。那次提交比公众号发文早二十四分钟。2
十五个小时后，彭博的 Debby Wu 把它写成一条短稿：DeepSeek 发布了一个更自主的编码智能体原型，想挑战 Claude Code。3
仓库第一段先把话说死了：这是研究原型，仅供参考，不是 DeepSeek 的正式产品。4
所以这条新闻的真实形状，是一篇讲怎么做的文章，加一个证明自己能做的样例。
那它到底新在哪？
对标 Claude Code，只说对了一半
按「干什么」对，两者确实一样：接一个代码仓库，读 issue 和 PR，改代码，提 PR。
按「什么时候动手」对，差别就出来了。
Claude Code 在 Slack 里的启动方式，是人 @ 它一下，它才判断意图、开一个云端会话。5
DeepSeek 这个原型做的，是另一面。README 的原话是「a proactive coding agent for one GitHub repository」——一个主动的编码智能体。4
公众号写得更具体：内部运行的实例「会持续观察公共群聊中的反馈，在无人 @ 的情况下主动定位根因并提交修复 Pull Request」。1
这里先把一个词说清。harness 指包在大模型外面、让它能调用工具干活的那层软件骨架。3 两家比的都是这层骨架，不是模型。
彭博写的是「monitor group chats among developers」，读起来像任意群聊。
实际监听两路：GitHub，和可选的飞书群。4
演示里那个「公共群聊」，是 DeepSeek 内部的 Harness 用户群。1
它没有在监听互联网，它在监听自己人的工作现场。 范围窄，是它现在能跑起来的条件之一。
它怎么做到「不吵人」
一个会自己找活干的智能体，第一件要解决的事不是能力，是烦人。
公众号开篇给的观察很实在：在单会话的 Agent 里，「一个人通常只能同时跟进 3 到 5 个活跃 Session」。1
公众号把这个观察压成一句话：单任务的上限取决于模型能力，多任务的上限取决于人的注意力。
这句话下面，是五个模块。
常驻的 Router 层管交互与分派，多个上下文隔离的 Worker 层并行干活。
群消息、PR 评论、CI 结果这类半结构化事件，取代人的逐条提示词，成了主要输入。
Worker 里的 ReAct 循环改成异步，命令还在跑就能接下一句。
Agent 的计算、会话状态、执行环境拆成三份，前两者上云，后者留在原地。外面再挂一个 Watchdog，判断任务还有没有实质进展。
读者不需要全懂这些。只需要知道一件事：「由谁决定开工」这件事，被单独拿出来做成了一个部件。 它不在模型里，在调度里。
三道闸
这是彭博一句话带过的部分。
原型把「动手的许可」拆成三层，一层比一层具体。
第一层是模式。每个来源各有一份策略，策略里有一个接单模式，三个取值：
| 模式 | 行为 |
|---|---|
off | 未经点名的事件一律不进入候选 |
observe（默认） | 会评估；评成「该接」的，只记一条「本会接单」的标注，不接 |
auto | 评成「该接」的，真的接单执行 |
第二层是规则。就算切到
auto，一次主动接单也必须匹配至少一条团队自己写下的规则。6规则写成了提示词：团队用自然语言描述一类活。6
第三层是授权单。接单会生成一份 Mandate，上面记着：依据的是哪一版策略、强度是「明确」还是「推断」、谁发起的、匹配到了哪几条规则。6
策略一改，正在跑的评估全部作废、重新排队；已经结束的单子续跑前要重新校验，不通过就吊销。6
撤销只需要一句话。任何人回到那个线程说一句「停」，就是一次普通事件，由评估判定为停止，授权收回，单子永久结束。6
还有一条容易被忽略的硬规定：在即时通讯信道里，官方规定的单次回复上限是 100 词。1
三层闸加这条上限，才是它敢不叫你的前提。 不是它学会了克制，是系统里写死了它不被允许的地方。
两组实验，测的是排队
第七节给了两组实验，测的东西不一样。
第一组是端到端对照。单次实验约 300 条消息，其中约 20 条是工作请求，其余是闲聊、跟进、叫停和 CI 消息；四种方案各跑 5 次。1
结果：这套架构的任务完成时间 p50 是 12.4 分钟，p95 是 15.7 分钟。1
作为对照，单会话挂一个子代理工具、提示词写得中性，5 次里一次都没调用子代理，p95 到了 29.5 分钟。1
第二组是 Router 的批处理。把需要判断的事件从每分钟约 1 条提到约 40 条，平均批大小从 1.0 涨到 2.8，单次请求耗时只从 2.5 秒涨到 3.9 秒。按原文自己的统计，摊到每个决定上的时间从 6.4 秒降到 1.6 秒。1
这两组数字证明的是「不排队」，不是「写得更好」。
公众号自己标了边界：编码工作由一个「只消耗时间的工具」代替，所以测的是调度与协作能力，不是单任务的执行能力。实验还基于合成负载与简化环境，部分设置可以更严谨。1
这意味着整篇长文里，DeepSeek 没有拿出任何一项写代码的能力数据。立论不在模型，在系统。
北美那边，谁已经不用 @ 了
要判断它新不新，得先看这条线上别人走到哪了。
| 产品 | 谁让它开工 |
|---|---|
| Claude Code（Slack） | 人 @ 它一下，才开一个云端会话 |
| Claude Tag | 默认读频道里每条未点名消息，自己决定回不回 |
| GitHub Copilot coding agent | 把 issue 指派给它 |
| GitHub Agent HQ | 在统一控制台里派活、纠偏、跟踪 |
| OpenAI Codex | 发一条任务；ChatGPT 的定时任务可盯 Slack 频道新消息 |
| Google Jules | 给 issue 打 jules 标签，或网页里提任务，先出计划 |
| Cursor | @cursor 起；Automations 可按 Slack 频道新消息触发 |
| Cognition Devin | @Devin 起；专用 code channel 里省掉 @，但仍要有人说话 |
最接近的是 Claude Tag。它的文档写：在一个频道里，Claude 会读每条顶层消息和线程回复，不管有没有人 @ 它；「对未点名消息自动回复」这个开关每个频道各有一份，默认是开的。9
Cursor 的 Automations 里也有一条触发器，原文就叫「New message in channel」。10
所以「不用点名」本身已经不是差异。差异在别的地方。
许可被写成了一条记录
两边其实都有「规则」这一层。
Claude Tag 也不是听到什么就干什么。对未点名的消息，它只有在频道里有人事先交代过接这类活时才动手。9
差别在三个地方。
第二是粒度。 Claude Tag 是每个频道一个开关；DeepSeek 的许可挂在规则条目上——一条规则描述一类活，接单时记下匹配到了哪几条。
第三是可撤回性。 DeepSeek 把撤回写成了状态机里的一个操作：人说停，授权收回；规则被调弱，续跑前重新校验，不通过就吊销。6
第三点最像工程，也最像监管语言。
一个团队真正怕的，不是智能体不干活，是它干了一件没人批过的事，事后说不清是谁批的。授权单加版本号，回答的就是这个问题。
我在这篇里愿意下的判断只有一条，而且它是推测：在这个方向上，中国公司更可能靠把许可做得更细拉开差距，而不是靠模型更强。
唯一被它标成隐患的一段
第八节里，安全与隐私单独占了一小节，语气明显变了。
原话是：这套设计默认建立在云端与端侧环境彼此受信任的前提上。
端侧设备——也就是员工自己的电脑——上存着私有代码、敏感数据和本地凭据。「一旦云端的 Agent Loop 遭遇服务端入侵或提示词注入而被攻破，其连接的全部端侧设备都面临被控制的潜在风险」。1
另一种泄露路径是凭据：只要凭据能进模型的上下文，正常执行过程中同样会漏。1
这条风险不是设计失误，是这套架构的代价。
它不想把整套开发环境复制到云上——未提交的改动、内网依赖、本地凭据，都复制不过去。所以 Agent 留在云上，环境留在原地，中间靠一个只执行命令、不保存会话的守护进程连着。1
公众号把这条线叫 BYOM——Bring Your Own Machine，把员工日常那台开发机接进云端 Agent。1
同一个思路 Anthropic 早写过：把「脑」和「手」拆开，让 harness 不再住在容器里，而是像调用任何工具一样调用容器。11
DeepSeek 自己点出了区别。那篇讲的是托管服务，沙箱按需创建在客户的 VPC 里；这里要接进来的第一类对象，是员工那台「可能间歇在线」的个人机器。1
一旦接上个人机器，攻击面就从机房挪到了每个人的桌面。
两份文件，几乎在给它写条文
今年五月，国家网信办等三部门发过一份《智能体规范应用与创新发展实施意见》。12
第六条讲决策权限：要厘清「仅限用户本人决策、需由用户授权决策和智能体自主决策」的边界。
同一条接着写：「确保用户对智能体自主决策享有知情权和最终决策权，智能体执行操作不得超出用户授权范围」。
九月发布的《人工智能安全治理框架 3.0》，把「人类最终控制」列在可信准则第一条，手段写得很具体：安全控制阈值、安全终止开关、预留人工干预窗口。13
同一份文件的风险清单里，2.1.1(d) 写的是模型「可能突破规则秩序，不经授权自主获取系统权限和外部资源」；专栏一讲「非预期自主行为」，怕的是「人工干预被规避」。
把这两份文件和那个仓库的文档并排放：授权、知情、终止、可追溯——四个词，两边各写了一遍。
我不认为 DeepSeek 是照着文件写的。工程团队做这类设计，本来就会走到同一个地方。但巧合本身说明：在这条路上，合规不是外挂，它和架构是同一个问题的两个面。
为什么它要写这份文件
DeepSeek Harness 是这家公司的开源 agent 外壳。8 月 13 日开仓库，做到今天 26.7 万 star、3.2 万 fork。14
团队自己的公众号时间线很密：8 月 21 日发招聘和官方渠道说明，9 月 10 日 v0.1.5，9 月 29 日 v0.2 桌面端，10 月 17 日 v0.2.1 适配 V4.1-Flash-1017，10 月 31 日这篇架构文。15
彭博八月中旬报道过这个团队的起步：在微信上开号，挂出招聘启事。16
从挂招聘到今天这个原型，两个半月。
官网的插件列表里，Agent teams、Auto approval review、Scheduled tasks、Voice input 四项都标着实验。17 零件全是现成的，它做的是按一套规则把它们拼起来。
写这份文件，不是因为想得更远，是因为它的分发方式逼它把话写清楚。
Claude Tag 是要卖给 Team 和 Enterprise 的产品，说明书可以只写「默认开启，关掉就只回 @」。开源项目不行：别人把仓库拉下来，得自己配白名单、自己写规则、自己决定切不切自动。
规则必须写成文字，否则没人能装。 顺带的，它就成了这一批产品里，规则写得最细的一份公开文档。
收尾
回到那个没人 @ 它的场景。
真正值得问的，不是它能不能追上谁，而是：当智能体开始自己找活干，谁来定它能不能干、干到哪一步、怎么叫停。
两份中文文件给了原则，没给可执行的实现口径。DeepSeek 递上来的是一份可执行的草案：默认只记录、每条主动接单都要有规则、授权带版本、一句话能撤。
接下来有四件事可以验。
有没有团队真的把接单模式从观察切到自动；端侧守护进程的凭据隔离做没做出来。Harness 正式版会不会把默认值往自动挪一格；国内对这类主动型智能体的备案与检测，按什么口径归类。
前三个看代码，第四个看文件。
References
- 1
- 2
- 3
- 4README：dsh-superagent
github.com
- 5Claude Code 文档：Use Claude Code in Slack
code.claude.com
- 6docs/002-authorization.md
github.com
- 7GitHub 文档：Kick off a task with Copilot agents
docs.github.com
- 8GitHub Blog：Introducing Agent HQ（2025-10-28）
github.blog
- 9
- 10Cursor 文档：Automations
cursor.com
- 11
- 12《智能体规范应用与创新发展实施意见》（2026-05-08）
cac.gov.cn
- 13《人工智能安全治理框架 3.0》（2026-09）
cac.gov.cn
- 14GitHub API：deepseek-ai/deepseek-harness
api.github.com
- 15DeepSeek Harness 团队公众号：DeepSeek Harness 桌面端（2026-09-29）
mp.weixin.qq.com
- 16
- 17DeepSeek Harness 官网
deepseek.com
This story was produced automatically by a channel. One sentence is all it takes for Neodrop to keep producing for you.