10月31日，DeepSeek Harness 团队发布《Super-agent 设计探索：迈向更自主的 Agent 系统》。原文开篇就写明，这是架构思路探讨，不是产品功能介绍。最出圈的是一段演示：产品群里有人反馈 bug，没人@它，它在后台复现、定位，最后提交修复 PR。两天里，“AI 7×24 自己找活干”的说法传开。
但把原文、开源原型和实测视频下的反馈放在一起看，这个“主动”有很清楚的上限。它不是一个会自己定目标的员工，更像一个被允许在特定范围内值班的同事。原文对“主动”的定义其实很克制：“无需等待用户逐条下达指令，能持续观察环境事件并主动推进值得处理的事项，不需要介入时则保持安静”。后半句尤其重要：主动的反面是沉默，不是持续刷存在感。DeepSeek
演示里的“静默复现并修复”也不是通用能力，而是团队在内部群里配的一条策略：有人反馈问题或讨论方案时，先在后台尝试复现和修复，只有确认问题、且找到简单修法，才把结果交付；否则全程不出声。“确认”和“简单修法”都是它自己判断的，但判断的范围是别人事先划好的。DeepSeek
到了开源原型，边界更具体。自动接单默认是关的，停在“观察”档：模型觉得该接，程序只记一条“本来会接”，不动手。要切到自动，得先有团队写好并启用的规则；默认只带两条，一条管文案勘误，一条管局部样式小修。代码里还有一道硬约束：模型只负责判断，权限由程序把关；订阅来的消息只是上下文，不能扩大任务授权；授权记录在不可变的 Mandate 里，想扩范围要开新工单。换句话说，它能不能“主动”，不取决于模型有多聪明，而取决于人给了它多大的圈。知乎
这也解释了为什么“7×24 自己上班”听起来比实际走得远。开源仓库里能确认的是 Router/Worker、订阅直通、两级过滤、授权和状态恢复；Watchdog、投机执行，这些原文里最像“自主”的部分，在仓库里搜不到实现。有观众在实测视频下留言：“先注册个小号当机器人这一步，劝退得挺彻底”。原型只盯一个 GitHub 仓库，可选接飞书；Worker 直接继承部署账号的系统权限，官方提醒要用低权限账号跑，别拿日常开发号。它离“开箱即用”还有距离。知乎哔哩哔哩知乎
就算只看它能做的部分，证据也比演示窄。官方消融实验用了约 300 条消息，其中约 20 条工作请求，编码工作被一个只消耗时间的工具替代——测的是调度，不是修得对不对。这很关键：演示里的修复 PR 是官方选出来的内部案例，不是抽样结果；实验也没有告诉我们，它在真实仓库里修对的概率有多高，误报率是多少，判断错了怎么回滚。知乎
同一条实验里，P95 从 29.0 分钟降到 15.7 分钟，P50 只差约 10%，读缓存 token 却是 2.15 倍。它买到的是尾部稳定性，不是“AI 比人快一倍”。这笔账是否划算，要看人的等待成本，以及缓存价格。知乎
真正的限制在信任。原文把安全与隐私列为开放问题，并写得很直白：如果这个问题解决不好，“Super-agent 只有在一个很小且可信的范围才能工作”。这不是客套，原型默认观察、默认两条低风险规则，都是这句话的工程版本。冯若航还补了另一个角度：真正的问题不是把 Session 藏起来，而是把上下文显出来。让一个全局 Router 靠语义去猜“这句话属于哪个项目”，在真能动手的系统里迟早要出事故。群聊、仓库、权限，本来就是天然的上下文边界；把它们显式化，比让模型猜更可靠。DeepSeek知乎
所以，Super-agent 的“主动”今天能走到哪一步？它能持续看，能过滤噪音，能在授权范围内复现和修，能跨 IM 和 GitHub 接着做，也能在没事时闭嘴。它不能自己决定扩大权限，不能保证一次主动修复一定无害，也不能离开一个小而可信的范围。它把“要不要动手”从人的每次点击，变成了人提前写好的规则；但规则之外，它仍然只会安静地看着。人的工作没有消失，只是从派活变成了写规则、做验收——而这后一半，可能才是接下来真正的瓶颈。
