要点： DeepSeek Harness は v0.1 リリースから 7 日で、すでに 2 つ目のリリース候補を迎えた。8 月 20 日早朝に公開された rc.8 は、実行層にチェンジログの記載以上に重要な 3 つのアップグレードをもたらす。ネイティブ画像入力（フレームワークがテキストを読むだけでなく世界を知覚できるようになる）、インストール可能なサブエージェント（Claude Code と Codex が Harness 内部で下位エージェントとして実行できる）、そして最も重要なのが、ステップごとの人間の承認なしでタスクを実行できる Codex の非対話権限モードだ。エージェントが自分自身を書き換えられるフレームワークにおいて、これほど急速に高まる自律性は、権限境界をめぐる問いを抽象的なものから緊急性の高いものへと変える。レビューは、自己拡張するエージェントが到達できない場所に置かれなければならない。
7日間で2つのリリース候補
DeepSeek は 8 月 13 日に Harness v0.1 をリリースした。rc.7 は 8 月 17 日に、プラグイン自己登録と改良された Cordis プラグインパネルを携えて登場。rc.8 は rc.7 の 2 日後、8 月 20 日の早朝に到着した。このリズムこそが記事の裏にある本題だ。これはプレビュー製品が猛烈な勢いで開発されており、その開発者エコシステムには破壊的変更があることが明示的に警告されている（たとえば rc.8 の高速な SQLite バックエンドは、古いセッションデータとの後方互換性がない）。
rc.8 が実際に変えたもの
マルチモーダル入力。 DeepSeek モデルアダプタでネイティブ画像リクエストが有効化できるようになった。/goal と /plan コマンドはテキストと画像の混在入力を受け付け、@ メニューはファイルや過去のセッションを参照できる。これが重要なのは、DeepSeek 自身の V4 モデルがテキストのみで、その API が画像データを拒否するためだ。rc.8 は実質的にハーネスに「目」を追加した。つまり実行層は、それを駆動するモデルが画像を扱えなくても、スクリーンショットや図、実世界のコンテキストを知覚できる。これにより Harness は純テキストのプログラミングから、物理世界に触れるタスクへと拡張される。
ライバルエージェントが下位エージェントに。 Claude Code と Codex は、プロファイルバンドル経由でサブエージェントとしてインストールできるようになった。サブエージェントが完了すると、reportDelivery がその結果を親タスクに返し、親タスクが再開する。Codex は並列作業用に複数の名前付きインスタンスを獲得した。その意義はエコシステムレベルにある。市場で最も著名なクローズドエージェント製品 2 つが、オープンな MIT ライセンスのオーケストレーター内部のプラグイン可能なコンポーネントになったのだ。実行層はコモディティ化されつつあり、「すべてはプラグイン」というテーゼは、いまや競合エージェント製品全体にまで拡張されている。
非対話権限モード。 Codex のサブエージェントモードには、ステップごとの人間の確認なしで実行する非対話権限モードが追加された。これは長時間の並列エージェント実行を実用的にするために存在するが、同時に本サイトが今月ずっと追跡してきた軌跡を完成させるものでもある。まず、尋ねずに行動するエージェント（AISI）があった。次に、自分自身を書き換えられるハーネス（v0.1）があった。そして今度は、ホットパスから人間の確認を取り除く明示的なモードが登場した。どのステップも同じことをより一層必要としている。権限境界は、エージェントが変更できないインフラによって強制されなければならない。人間はもはや「ノー」と言うためにループの中にいないからだ。
なぜこれが権限境界の問いを鋭くするのか
これらの機能のどれも、それ自体は無謀ではない。マルチモーダル入力はエージェントが見える範囲を広げ、サブエージェントはオーケストレーションできる範囲を広げ、非対話モードは無人で実行できる量を広げる。しかしそれらは一つの方向に複合する。エージェントはより有能に、よりモジュール化され、同時により監督されなくなる。Claude Code と Codex をサブエージェントとして保持でき（どちらもオーケストレーターが指示を出せる）、かつ対話的な承認なしで実行できるハーネスは、単一の侵害されたプロンプトが 2 つの異なるフロンティアエージェントを動かし得るシステムである。Harness が記録する全軌跡の可観測性（システムプロンプト、思考連鎖、ツール呼び出し、サブエージェントのディスパッチ）は、何が起こったかを監査するための正しい基盤だ。しかし、何が起こり得るかをゲートする代わりにはならない。読めるログは後知恵であり、境界は先見である。
設計論理は v0.1 と同じ方向を、より大きな声で指し示している。帯域外レビューゲートと署名付き差分を備えた管理された境界付き環境は、スピードを求めるチームにとっての妥協ではない。それらは、非対話で自己改変可能なエージェントが安全に実行できる唯一の場所だ。設計によって承認経路から人間が取り除かれるとき、強制は完全に環境側に置かれなければならない。エージェントが逃げ出せないサンドボックス、自分では署名できない差分、到達できないレビューキュー。それらが要件となる。
チームにとっての意味
- バズワードではなくフレームワークを評価せよ。 プレビュー段階のインターフェース変更は現実のものだ。SQLite ストレージは rc バージョン間で互換性がなく、サードパーティプラグインはコアに追いついていない。自律性機能を信頼する前に、自社のワークロードと自前のプロンプトインジェクション試験でベンチマークを取るべきだ。
- 非対話モードを利便性ではなくアーキテクチャ上の決定として扱え。 ステップごとの確認がオフになった瞬間、レビュープロセスはプラットフォーム側に移っていなければならない。そうでなければ、強制層を持たない自己改変エージェントを出荷したことになる。
- サブエージェントパターンは新たな攻撃面だ。 オーケストレーターからサブエージェントへのすべての指示チャネルは、親エージェントのプロンプトを含め、潜在的なインジェクション経路である。ユーザーが提供した文字列をテストするのと同じように、その境界を明示的にテストせよ。
- マルチモデルオーケストレーションはもはや当然の要件だ。 オープンソースのハーネスはクローズドなフロンティアエージェントを駆動でき、その逆も可能だ。プラットフォームは、今日どのモデルが接続されているかではなく、強制する境界で選べ。
まとめ
Harness rc.8 は速く有能なアップデートだ。テキストのみのモデルスタックに「感覚」を与え、ファーストクラスのサブエージェントオーケストレーションを実装し、Windows での操作性も向上させた。しかし、その真の意義は方向性にある。マルチモーダルな知覚、ライバルエージェントの下位エージェント化、そして非対話権限モードは、すべて同じ方向へと押し進める。すなわち、より多くを見て、より多くをオーケストレーションし、尋ねることなくより長く実行できるエージェントへ。これはまさに、プラットフォームレベルの権限境界を譲歩不可能にする軌跡だ。DeepSeek は実行層を迅速に、そして公開の場で構築している。勝つチームは、同じスピードで境界を構築したチームだろう。なぜなら、エージェントは来週にはさらに多くのことを可能にしているからだ。