插件化Agent上线前，先过这4关
Agent 框架越“能插拔”，越不能只看它能不能跑。真正的风险是：换了一个模型适配器、工具插件或权限策略，系统表面没报错，实际却改变了谁能读文件、谁能执行命令、以及哪些信息会进入模型上下文。

8 月 13 日，DeepSeek AI 发布开源 DeepSeek Harness（dsh）开发者预览版。它把模型适配器、工具注册、会话日志和 Agent 循环都设计为插件；官方文档还把沙箱、审批策略、凭据和遥测列入基础能力。这种架构的价值在于可替换，但也意味着“装上插件”不是上线验收。

如果你准备把插件化 Agent 用进真实工作流，建议先过四关。

第一关：能力清单。列出每个插件新增的文件、网络、命令和凭据访问面；默认拒绝，再按任务开最小权限。工具名称看起来无害，不代表实际调用范围也小。

第二关：上下文清单。官方架构强调，进入模型请求的信息应能从会话日志重建。落地时要检查：插件追加的提示、工具回显和错误信息是否被记录、是否含敏感数据、能否按会话隔离。

第三关：替换测试。插件化最怕“换一块，别处变了”。每次替换模型、沙箱或工具实现，都跑一组固定回归：同一任务的权限请求、命令参数、结构化输出、失败中止和人工审批是否一致。

第四关：回退演练。DeepSeek 在 README 中明确标注 developer preview，且会有兼容性破坏。生产前应锁定版本、保存配置快照，并实际演练禁用插件和回到上一配置；没有做过回退，升级就还没有完成。

插件化不是天然更安全，它只是把“哪里可以变化”暴露得更清楚。把每次变化都变成可审计、可回归、可撤销的改动，Agent 才不会在扩展能力时悄悄扩大风险边界。

AI安全 DeepSeek 开发者工具