10月31日晚，DeepSeek Harness 团队发布长文《Super-agent 设计探索》。给出的例子很抓人：内部实例盯着公共群聊，没人 @ 它，它自己定位根因、提交修复 PR，同一件开发任务还能在 IM 和 GitHub 之间接着推进。 看上去，“手动 @AI”这道工序要被删掉了。DeepSeek 公众号
但把开源的 dsh-superagent-prototype 翻开，默认设置却是另一回事：对主动接单，授权默认是观察档。 模型判断“该接”，程序也不开工，只记一条“本来会接”。要真正自动接单，得人工切到自动档，而且必须匹配一条团队事先写好并启用的规则。README 也写明，这是研究原型，不是正式产品。
这解释了 Super-agent 的“主动”到底是什么。它不靠模型突然有了主动性，而是把驱动源从人的提示词换成环境事件：群消息、邮件、日程、代码评论、CI 结果。 事件先过程序白名单，再交给模型做语义判断；已订阅的讨论串直接送到对应的 Worker，不再绕回 Router。模型负责判断，权限由代码把关，判断说该接，没有命中规则，照样驳回。DeepSeek 公众号知乎
所以“靠谱吗”的第一层答案，不在它敢不敢动手，在它能不能在该安静的时候安静。原型仓库把“占用尽可能少的人类注意力”写成核心原则。 原文对“主动”的定义里也有一句“不需要介入时则保持安静”。 主动响应最容易失败的地方，不是漏掉了活，是干了不该干的活，然后把一队人的注意力重新拖回来验收、解释、善后。DeepSeek 公众号
第二层答案在实验数字里。文章报的 p95 完成时间从单 Session 的 29.5 分钟降到 15.7 分钟。 但这是合成负载：约 300 条消息里只有 20 条是工作请求，编码工作用一个只耗时的工具代替，测的是调度和协作，不是写代码的本事。 两级过滤能挡住多少噪音、会漏掉多少真请求，文章没有单独给出准确率；实验量的是完成时间。知乎DeepSeek 公众号
第三层是安全。事件驱动让 Agent 接触更多外部输入，也就把提示词注入的入口放大了。原文写得很清楚：云端 Agent Loop 一旦被入侵或注入攻破，连接的所有端侧设备都面临被控制的潜在风险；凭据进入上下文也有泄露风险。 没有这层保障，Super-agent 只能在很小且可信的范围内工作。知乎
把这三层合起来看，“不用手动@”在一种场景里已经成立：一个团队、一个代码仓库、几条团队写下的规则、结果有人验收。原型默认“先记账不动手”，其实是对这种边界的诚实承认。至于把它放大成替个人处理消息、日程和邮件的助手，眼下更缺的是有人定义“值得处理”、有人承担误判，以及一个随时能叫停的开关。主动的成熟度，最后看的不是它做了多少，是它忍住了多少。
