Was ist DeepSeek Harness?

DeepSeek Harness ist eine offene Agent Runtime unter MIT Lizenz, im Terminal erreichbar über das Kommando dsh. Der Kerngedanke steht schon in der Beschreibung des Repositorys: Alles ist ein Plugin. Modelle, Tools, Skills, Sessions, Sandboxes, Speicher, die Agent Schleife und sogar die Oberfläche lassen sich per Konfiguration austauschen.

Eine Harness ist die Schicht zwischen dem Modell und der Umgebung, in der es arbeitet. DeepSeek bringt das auf die Formel: Agent gleich Modell plus Harness. Das Modell denkt, die Harness gibt ihm Hände.

Die meisten Frameworks verdrahten diese Schicht fest. Agent Schleife, Tool Registry und Session Speicher liegen im Code, erweitern kann man nur an den Haken, die die Autoren vorgesehen haben. Harness dreht das um. Jede Komponente sitzt hinter einer Plugin Grenze des Cordis Meta Frameworks und lässt sich ersetzen, ohne den Quellcode der Harness anzufassen.

Geschrieben ist das Ganze in TypeScript auf Node.js. Der Code liegt offen im Repository deepseek-ai/deepseek-harness. Seit der Preview von Version 0.2 am 29. September 2026 gibt es zusätzlich Desktop Installer für macOS und Windows.

Never Code Alone arbeitet täglich mit Coding Agenten im Terminal. Wir kennen den Unterschied zwischen einem Agenten, der in der Demo beeindruckt, und einem, der im echten Projekt hält. Der Punkt, an dem Teams scheitern, ist selten die Wahl der Runtime. Es sind fehlende Quality Gates: kein Test, keine statische Analyse, keine Möglichkeit nachzuvollziehen, was der Agent eigentlich getan hat.

Genau deshalb ist der Session Log bei Harness der interessantere Teil als die Plugin Architektur. Wer Agentenläufe wiederholen, verzweigen und durchsuchen kann, kann sie auch prüfen.

Wir unterstützen Teams beim Aufbau: Vibe Coding Beratung für den Einstieg, eine belastbare KI Strategie, die Einordnung, welches KI Modell ohne US Anbieter passt, und CI/CD Pipelines für Vibe Coding, in denen die Arbeit der Agenten auch wirklich geprüft wird.

Der Satz klingt erst mal nach Marketing. Er ist aber wörtlich gemeint. Neun Bereiche sitzen hinter Plugin Grenzen und lassen sich aus der Konfiguration heraus tauschen, ohne den Quellcode anzufassen.

• Modelle: der Adapter, über den das Sprachmodell angesprochen wird
• Tools: die Registry der Werkzeuge, die der Agent aufrufen darf
• Skills: vorgefertigte Fähigkeiten, die sich einhängen lassen
• Sessions: der Verlaufsspeicher eines Laufs
• Sandboxes: die Umgebung, in der Befehle ausgeführt werden
• Storage: wo Daten dauerhaft liegen
• Loops: die Agent Schleife selbst, also die Denk und Handlungslogik
• Orchestrierung: die Steuerung mehrerer Agenten
• UI: die Oberfläche, über die du mit dem Agenten redest

Der spannendste Punkt in dieser Liste ist die Agent Schleife. Wer eine andere Denkstrategie ausprobieren will, ersetzt sie als Plugin, statt ein Framework zu forken. Das ist für Forschung und für Teams mit eigenen Anforderungen ein echter Unterschied. Verwandte Konzepte beschreiben wir unter Agent Looping und LangGraph.

Alles, was das Modell sieht, landet in einem Ereignisstrom, der nur angehängt und nie überschrieben wird: System Prompts, Denkketten, Werkzeugaufrufe, Ergebnisse, Kontexteinspielungen. Aus diesem Log heraus lassen sich Läufe fortsetzen, verzweigen, durchsuchen und noch einmal abspielen.

Für uns ist das der wichtigste Teil der ganzen Software. Ein Coding Agent, dessen Lauf du nicht nachvollziehen kannst, ist im Unternehmenskontext schwer zu verantworten. Wer prüfen können muss, was passiert ist, braucht genau so einen Log.

Dazu kommt ein Detail, das man leicht übersieht. DeepSeek hat in den Benchmark Tabellen zu seinen V4 Modellen als Messumgebung die eigene Harness angegeben, die damals niemand außerhalb der Firma einsehen konnte. Mit der Veröffentlichung ist ein Teil dieser Methodik nachprüfbar geworden. Für V4.1 Flash misst DeepSeek die Code Agent Benchmarks im Minimal Modus der Harness und legt für DeepSWE eine Anleitung zur Reproduktion bei. Unsere Einordnung der Modelle steht unter DeepSeek für Entwickler.

Im September 2026 erschien Harness 0.1.5. Die Version ist gezielt auf das Modell DeepSeek V4.1 Flash abgestimmt, und zwar in allen drei Modi: Standard, Programmatic Tool Calling und Minimal. System Prompts lassen sich ändern, ohne den vorhandenen KV Cache zu verwerfen. Bei langen Agent Läufen spart das Rechenarbeit.

Die weiteren Neuerungen in 0.1.5:

• Datei Upload: Bilder und PDFs lassen sich hochladen, das Modell liest sie mit
• Dateibaum: eine Seitenleiste zeigt Markdown, HTML, PDF, Code und Bilder direkt an
• Plugin Einstiege: standardisierte Erweiterungspunkte links und rechts in der Oberfläche
• Lange Sessions: bessere Performance, wenn ein Lauf viele Schritte braucht
• Child Agents: Kommunikation mit untergeordneten Agenten in beide Richtungen
• Agent Teams: ein experimentelles Plugin, mit dem ein Hauptagent mehrere Teammitglieder steuert, standardmäßig deaktiviert

Am 29. September 2026 folgte die Preview von Version 0.2. Sie bringt Desktop Installer für macOS und Windows, eine Plugin Verwaltung, über die sich Plugins per npm Paketname installieren, deaktivieren und entfernen lassen, und Plugins für Automationen, die wiederkehrende Aufgaben zeitgesteuert ausführen. Damit zielt DeepSeek erstmals auch auf Nutzer ohne Terminal.

Spannend ist ein Detail aus DeepSeeks Modellkarte zu V4.1 Flash. Dort läuft das Modell in mehreren Umgebungen gegeneinander: Claude Code, Codex, OpenCode, Pi, mini-SWE und drei Harness Modi. Die Abstände sind klein. Auf Terminal Bench 2.1 liegt der Minimal Modus der Harness vorn, auf DeepSWE der mini-SWE Agent. Das bestätigt unsere Sicht: Die Runtime ist austauschbar, entscheidend sind die Quality Gates darum herum.

DeepSeek positioniert Harness offen gegen Claude Code. Der Unterschied ist weniger die Funktionsliste als die Bauweise. Claude Code ist ein fertiges Produkt mit viel Feinschliff. Harness ist ein Baukasten, bei dem du selbst zusammensteckst, was du brauchst, und bei dem die Teile noch wackeln.

Näher dran ist der Vergleich mit OpenCode. Beide sind offen, beide laufen lokal, beide lassen sich an beliebige Modelle hängen. OpenCode ist heute deutlich weiter und wird im Alltag ohne Nachdenken benutzt. Harness geht bei der Austauschbarkeit weiter, kostet dafür aber Aufbauarbeit.

Wer es noch minimaler mag, findet in unserem Glossar den Pi Coding Agent, einen bewusst winzigen Terminal Harness mit vier Werkzeugen.

Die Versionsnummer steht auch mit der 0.2 Preview noch ganz am Anfang. Im Projekt steht ausdrücklich, dass brechende Änderungen kommen. Das Agent Teams Plugin ist experimentell und standardmäßig aus. Wer heute darauf aufbaut, arbeitet morgen nach. Für Production ist das nichts, für einen Nachmittag im Testprojekt schon.

Der zweite Punkt betrifft die Bindung an den Hersteller. Die aktuellen Versionen sind sichtbar auf DeepSeeks eigenes Modell zugeschnitten. Die Plugin Architektur verhindert zwar einen Lock In, der Feinschliff landet aber zuerst beim Hausmodell. Das macht die Offenlegung nicht weniger wert, man sollte sie nur nicht als neutrales Werkzeug lesen.

Für uns wichtiger als beides: Harness ist local first und läuft mit deinem eigenen Schlüssel. Du kannst es auch gegen ein lokales Ollama oder einen europäischen Anbieter hängen. Es zwingt dich nicht zu DeepSeeks API.

Bleibt die Frage der Datensouveränität. DeepSeek ist ein chinesisches Unternehmen, und für Teams mit sensiblen Daten gehört das in die Risikobewertung. Unsere Regel ändert sich dadurch nicht: Coding Modelle, die nicht auf eigener Infrastruktur laufen, setzen wir gegen lokale Entwicklungsumgebungen mit Fake Daten ein. Coding aus der Cloud, Datenverarbeitung im eigenen Netz. Mehr dazu in unserem Beitrag zu lokaler KI für Compliance.

Wir empfehlen DeepSeek Harness nicht für Production. Wir helfen Teams, es einzuordnen und gegen ihren bestehenden Stack zu bewerten.

Am 24. August 2026 meldete das Threat Intelligence Center von Qi An Xin eine unauthentifizierte Remote Code Execution in DeepSeek Harness unter der Kennung QVD-2026-57410. Inzwischen ist die Lücke als CVE-2026-82533 registriert. VulnCheck bewertet sie mit CVSS 9.4. Betroffen sind Versionen vor 0.1.2-alpha.1, die Korrektur steckt in 0.1.2-alpha.1 und allen späteren Versionen.

Die Ursache ist ein Klassiker. Der /api Endpunkt entschied anhand des HTTP Host Headers, ob eine Anfrage vom eigenen Rechner kommt, und gab darüber privilegierte RPC Methoden frei. Den Host Header setzt aber der Client. Wer ihn auf localhost fälschte, galt als lokaler Aufrufer, konnte einen eigenen Modell Provider registrieren und die Agent Tools beliebige Systembefehle ausführen lassen. Ein gültiger API Key war dafür nicht nötig.

Betroffen war nicht jede Installation. Der Web Service lauscht per Default auf 127.0.0.1. Gefährlich wird es, sobald ein Docker Port Mapping oder ein Reverse Proxy die Oberfläche ins Netz hebt. Genau das passiert schneller als gedacht, wenn ein Team den Agenten auf einem Server statt auf dem Laptop laufen lässt.

Konkret heißt das: Auf eine aktuelle Version aktualisieren. Die Agent Oberfläche nicht ins offene Netz stellen, sondern hinter VPN oder einen Reverse Proxy mit Authentifizierung. Im Proxy den Host Header fest überschreiben. Und jede Instanz, die mit einer alten Version exponiert war, als kompromittiert behandeln und alle Schlüssel tauschen, die sie sehen konnte.

Für uns ist der Fall lehrreich über DeepSeek hinaus. Eine Agent Runtime darf Dateien lesen, Shell Befehle ausführen und Netzwerkzugriffe machen. Wer sie übernimmt, übernimmt die Maschine. Deshalb gehört jeder Coding Agent in eine abgesicherte Umgebung mit klaren Grenzen, nicht auf einen offenen Port. Wie das aussieht, zeigen wir in Vise Coding mit Guardrails, und wer solche Lücken selbst finden will, findet in Shannon als KI Pentester den passenden Ansatz.

Bei Never Code Alone laufen KI Modelle nicht in der Präsentation, sondern im Terminal. Unsere Erfahrung: Die Runtime ist selten das Problem. Das Problem ist, dass niemand prüft, was der Agent produziert hat. Deshalb steht bei uns die Absicherung vor der Automatisierung. Statische Analyse, Unit Tests, funktionale Tests und E2E Tests mit Cypress sind die Bedingung dafür, dass ein Agent überhaupt sinnvoll arbeiten kann.

Gerade beim Aufräumen von Altlasten gilt das doppelt. Refactoring läuft bei uns stark manuell mit KI Unterstützung, nie als autonomer Agent. Erst die Quality Gates, dann das Aufräumen.

Weiterführende Themen aus dem NCA Glossar:

• OpenCode als Coding Agent und der Pi Coding Agent
• NeMo Switchyard für Model Routing und Agent Looping
• LangGraph und LangChain als Agent Frameworks
• Langfuse für Observability und NemoClaw als sicherer Agent Stack
• DeepSeek V4.1 Flash für Entwickler und chinesische KI Modelle für AI Coding
• Ollama für lokale Modelle und lokale Modelle für MCP und Tool Handling
• Muse Glimmer als offenes Modell für lokale Agenten
• Vise Coding mit Guardrails und Vibe Coding Best Practices
• Lokale KI für Compliance und lokale KI wirtschaftlich betreiben

Die wichtigsten Fragen zu Lizenz, Reifegrad, Betrieb und Datenschutz kurz beantwortet.