10 月 31 日，DeepSeek Harness 团队发了一篇长文，提出 Super-agent，并把原型代码开源了。 长文里最抓人的不是架构图，是三个内部案例：群里有人抱怨双击误触，它自己去后台复现、排查、修好；大家还在争论波浪号该在训练里解决还是改渲染规则，它的 PR 已经提交了。一个会自己找活干的同事，第一反应当然是：它会不会乱来？知乎
11 月 2 日，AI信息Gap 发了一篇实测。他在一个笔记应用仓库里提交了一个没 @ 任何人的错别字 Issue。49 秒后它自动回复，不到 2 分钟 PR 就交到手上，只改了 1 行代码，CI 通过，花了 4 分钱。 这不像一个会乱操作的新手。知乎
但同一个实测里还有另一幕。作者 @ 它，让它“给笔记加一个账号系统，支持微信扫码登录，笔记同步到云端”。它没问范围、没要方案，回了句“收到”就开干，14 分钟后代码分支已经推上去了。 直到作者补了一句“这个先不做了”，它才在十几秒后收手，PR 也没提交。这就是它让人不安的地方：它不会偷偷绕过你，但它会把你交给它的任务按自己的理解做到尽头。知乎
原型的闸门其实设得很紧。默认只听 @，主动接活要手动打开“接收仓库里的新 Issue”和“接收仓库里的评论”，打开后默认还是“仅观察”，只记录不动手。 要它真干活，得切到“自动接单”并自己写规则，默认规则只有错别字和样式两条。知乎
它默认只监听一个 GitHub 仓库，同时最多跑 3 个任务，每个工单独立目录和分支，有停止按钮，还能记住你叫停过的请求。最重要的是，它不会合并自己提交的 PR，合并这一步默认留给人。知乎
上手教程里反复强调，要给这个智能体单独注册一个 GitHub 账号，别用你的大号。知乎
真正的口子不在“接不接活”，在“怎么干活”。这套架构里，Router 只负责派活和对外说话，甚至可以不配 Bash；真正执行的是上下文隔离的 Worker，它有完整工具，但默认不直接跟人说话。 这套分工把“决定”和“动手”分开了，但它解决的是注意力问题，不是权限问题。问题也在这里：有上手者把它写进了保命清单，Worker 在后台执行命令行时默认免审批，别在核心宿主机上裸跑，最好放进隔离的虚拟机或容器里。机器之心知乎
更麻烦的是，DeepSeek 自己在长文第 8.4 节写得很清楚：事件驱动让 Agent 接触到更多不可信输入。云端 Agent Loop 加端侧 daemon 的设计，默认建立在两端互信的前提上；一旦云端被服务端入侵或提示词注入攻破，连接的所有端侧设备都可能被控制，凭据进入上下文也有泄露风险。 翻译一下：它不需要“起坏心”，一段恶意 Issue 或评论就够把“修个错别字”变成“执行一条命令”。它继承的是那个 GitHub 账号的权限，不是你的意图。机器之心
另一个细节是，内部群里那 99 个按分支名推断由它提交的 PR，大多是小修小补，还有一个被同事回滚了。 它更像一个拿到了仓库写权限的新同事，而不是一个会自己决定公司战略的 AI。真正决定风险大小的，是你给它的账号有多大的权限、跑在什么环境里、有没有人复核。知乎
所以，DeepSeek 的超级智能体会不会越权？它不会偷偷用你的大号，除非你把大号给了它。让它主动干活之前，先把这三件事做了：单独账号、最小权限；隔离环境、别裸跑；先开只观察，看几天再放权。它不合并自己的 PR，这个默认值最好别改。
