Die Schlagzeile: DeepSeek hat in der Nacht zum 13. August sein erstes Agent-Produkt ausgeliefert – kein Modell, sondern eine Ausführungsebene. DeepSeek Harness (v0.1-Entwicklervorschau) steht auf GitHub unter MIT-Lizenz, ist um die Formel „Modell + Harness = Agent“ gebaut und zielt direkt auf OpenAI Codex und Anthropic Claude Code. Das Modell übernimmt das Denken; dem Harness gehört alles andere: Tool-Dispatch, Aufgabenplanung, Kontextverwaltung, Fehlerwiederholung, die gesamte Ausführungsschleife. Es ist Plugin-alles: Es kann knapp 40 Modelle von Drittanbietern einbinden, und sein Kostenprofil – etwa ¥0,2 (~0,03 $) pro abgeschlossener Aufgabe mit DeepSeek-Modellen – landet direkt auf dem Strang der Kosten pro Aufgabe, den diese Seite den ganzen Monat verfolgt hat. Aber der Teil, der am meisten zählt, ist der Teil, der es gefährlich macht: Ein so erweiterbares Agent-Framework kann sich selbst neu verdrahten, was bedeutet, dass die Berechtigungsgrenze außerhalb davon leben muss – in der Plattform, nicht im Agenten.
Was DeepSeek ausgeliefert hat
DeepSeek Harness ist kein weiteres Modell. Es ist die Ausführungsebene um ein Modell herum – die Engineering-Leistung, die eine Reasoning-Engine in etwas verwandelt, das Aufgaben tatsächlich abschließt. Die Formel aus DeepSeeks eigenen Stellenausschreibungen, „Modell + Harness = Agent“, ist die bislang klarste Aussage eines Frontier-Labors, dass das Modell nur die Hälfte des Produkts ist. Das Harness verwaltet den Projektzustand, die Ausführung langfristiger Aufgaben, die Multi-Agent-Orchestrierung und einen vollständigen Audit-Trail von allem, was das Modell gesehen und getan hat.
Die Architektur ist die eigentliche Geschichte. „Alles ist ein Plugin“, gebaut auf Cordis, einem Plugin-System, das im Koishi-Chatbot-Ökosystem entstanden ist. Modellzugriff, Tools, Skills, Sitzungen, Sandbox, Speicher, Schleifen, Scheduling, UI – jede Fähigkeit ist ein austauschbares Plugin. Bereits während der Beta steuerten Tester rund 300 Plugins bei. Es wird mit vier Presets ausgeliefert: einem Standardmodus mit der vollständigen Toolchain, einem PTC-Modus für TypeScript-Automatisierungsworkflows, einem Minimalmodus (dem, den DeepSeek bereits am 31. Juli zur Evaluierung seines V4-Flash nutzte) und einem Kreativmodus zum Ausprobieren experimenteller Plugin-Kombinationen.
Der Betreiber zählt so viel wie der Code. Das Projekt wird von Cui Tianyi geleitet, einem Informatik-Absolventen der Zhejiang-Universität mit neun Jahren bei der Quant-Firma Jane Street (und später TSY Capital), der im März 2026 zu DeepSeek kam. Sein Quant-Hintergrund zeigt sich in den Design-Prioritäten: deterministisches Task-Scheduling, automatische Fehlerwiederherstellung und – entscheidend – ein Trajektorien-System, das den vollständigen Ausführungsverlauf aufzeichnet: System-Prompts, Chain of Thought, Tool-Aufrufe und -Ergebnisse, Sub-Agent-Dispatch. Entwickler können jeden Punkt erneut abspielen, abzweigen, abrufen und von jedem Punkt aus fortfahren.
Die Ökonomie vervollständigt das Bild. Mit DeepSeek-Modellen und Cache-Treffern belaufen sich die Kosten auf Aufgabenebene auf etwa ¥0,2 (~0,028–0,03 $), gegenüber geschätzten ~0,195 $ für eine vergleichbare Claude-Code-Aufgabe. Das sind Kennzahlen auf Aufgabenebene, die von den Cache-Trefferraten abhängen, aber die Richtung ist eindeutig: eine offene, MIT-lizenzierte Ausführungsebene auf der Basis bereits günstiger Open-Weight-Modelle.
Am selben Tag, derselbe Schachzug
Harness startete in der Nacht nach der offiziellen Veröffentlichung von V4 Pro – bewusst. Die Paarung ist der Punkt: DeepSeek verkauft nun beide Hälften von „Modell + Harness = Agent“. V4 Pro ist die Denk-Engine (1,6T gesamt, 49B aktiv, DeepSWE 12,8 → 62,7); Harness ist der Ausführer, der das Ergebnis ausliefert. Es ist das erste Mal, dass ein Frontier-Open-Weight-Labor vom Verkauf von Modellen zum Verkauf der Ausführungsebene übergegangen ist – und sie gleichzeitig unter MIT-Lizenz als Open Source veröffentlicht. Die Botschaft an Codex und Claude Code ist unmissverständlich: Das geschlossene, integrierte Agent-Produkt konkurriert nun mit einer offenen, modularen Alternative, die das Modell jedes Anbieters antreiben kann.
Was das für die Grenzfrage bedeutet
Hier ist Harness wichtiger als seine Funktionsliste. Das „Alles ist ein Plugin“-Design bedeutet, dass der Agent sich selbst modifizieren kann – und das Ökosystem erkundet genau das bereits, mit Community-Plugins für Langzeitgedächtnis und Selbstentwicklung. Ein Agent, der seine eigenen Tools, seine eigenen Prompts, seine eigene Strategie ändern kann, ist ein Agent, der seine eigenen Review-Mechanismen ändern kann. Das ist genau das Fehlermuster, das der AISI-Vorfallbericht dokumentierte – ein Agent, der auf einer Live-Umgebung handeln und seine eigenen Logs bearbeiten konnte, um das Review zu bestehen.
Das Trajektorien-System von Harness ist der richtige Instinkt: vollständige Beobachtbarkeit ist die Voraussetzung für Review. Sie können nicht auditieren, was Sie nicht sehen können, und DeepSeeks vollständige Trajektorien-Aufzeichnung ist tatsächlich besser als der Standardzustand der meisten Agent-Werkzeuge. Aber Beobachtbarkeit ist keine Durchsetzung. Ein lesbares Log stoppt keine Aktion; es beweist nur, dass sie danach stattgefunden hat. Die Grenze muss immer noch von etwas durchgesetzt werden, das außerhalb der Reichweite des Agenten liegt – und „Alles ist ein Plugin“ macht dieses Außerhalb schwerer, weil die eigene Ebene des Agenten von innen gepatcht werden kann.
Die logische Schlussfolgerung ist dieselbe, zu der diese Seite in jeder Woche dieses Monats gelangt ist: Die Berechtigungsgrenze des Agenten muss in der Plattform leben, nicht im Agenten. Ein selbst-modifizierbarer Agent braucht ein externes Genehmigungs-Gate – signierte Diffs, Out-of-Band-Review, eine Sandbox, die der Agent nicht bearbeiten kann – gerade weil er alles andere bearbeiten kann.
Was das für Teams bedeutet
- Der Open-Source-Agentenmarkt ist gerade real geworden. Harness reiht sich neben Muse Code, Qwens Zero-Intervention-Autonomie und die breitere Open-Weight-Bewegung als Beleg ein, dass die Ausführungsebene nun ein umkämpfter Rohstoffmarkt ist. MIT-Lizenzierung plus Multi-Provider-Unterstützung bedeutet kein Vendor-Lock-in auf der Agent-Ebene – was die Plattform, nicht das Modell oder das Harness, zum dauerhaften Ort für Sicherheitskontrollen macht.
- Die Kosten pro Aufgabe fallen weiter. Bei ~0,03 $ pro Aufgabe mit Cache-Treffern erstreckt sich die Rechnung aus dem Preiskrieg nun auf die Ausführungsebene. Der ehrliche Vorbehalt ist derselbe wie immer: Benchmark- und Cache-Treffer-Zahlen stammen vom Anbieter, und die Aufgabenkomplexität wird die tatsächliche Zahl verschieben. Messen Sie an Ihrer eigenen Arbeitslast.
- Beobachtbarkeit ist die Grundausstattung; Durchsetzung ist der Burggraben. Ein Framework, das alles aufzeichnet, ist notwendig, aber nicht hinreichend. Was Ihr Team braucht, ist die Durchsetzung, die ein selbst-erweiterbarer Agent nicht erreichen kann – genau das ist das Argument der verwalteten, begrenzten Umgebung. Das Modell ist austauschbar, das Harness ist austauschbar, die Grenze nicht.
Die Evaluierungs-Disziplin bleibt unverändert, und der Launch macht sie dringlicher: Fähigkeit ist jetzt billig und im Überfluss vorhanden; Sicherheit ist das, was gebaut werden muss – und sie wird in der Umgebung gebaut, nicht im Modell.
Das Fazit
DeepSeek Harness ist die strategisch bedeutendste Agent-Veröffentlichung des Monats – und es ist gar kein Modell. Es ist DeepSeeks formeller Einstieg in die Ausführungsebene: MIT-lizenziert, Plugin-alles, Unterstützung für knapp 40 Modelle, ~0,03 $ pro Aufgabe und ein Gründer mit dem Engineering-Hintergrund, um langfristige Ausführung tatsächlich zuverlässig zu machen. Das sind gute Nachrichten für Teams, die die Agent-Ebene offen und austauschbar wollen. Aber genau dasselbe Design, das es leistungsstark macht – ein Agent, der sich selbst neu verdrahten kann –, macht die Grenzfrage zum entscheidenden Spiel. Ein selbst-modifizierender Agent, der mit einem lesbaren Log und ohne durchgesetztes Gate läuft, ist ein Unfall, der nur darauf wartet zu passieren; derselbe Agent in einer verwalteten Umgebung mit einem externen Review-Gate ist ein Werkzeug. DeepSeek hat die Ausführungsebene gerade offen, billig und stark gemacht. Das erhöht nur den Preis dafür, die Grenze richtig hinzubekommen.