DeepSeek Harness — der Agenten-Unterbau wird austauschbar

Wer über KI-Agenten redet, redet meist über das Sprachmodell. Das ist die falsche Hälfte. Ein Modell kann Text erzeugen; dass daraus ein Agent wird, der eine Datei liest, einen Befehl ausführt, sich an das Gespräch von gestern erinnert und eine Teilaufgabe an ein zweites Modell abgibt, macht das Programm darum herum. Im Englischen heißt diese Schicht „Harness“ — das Geschirr, das dem Zugtier erst erlaubt, etwas zu ziehen. Sie entscheidet über fast alles, was man im Alltag als Qualität wahrnimmt, und sie war bei allen bekannten Anbietern bisher zugenagelt: Wer Claude Code benutzt, benutzt Anthropics Geschirr; wer Codex benutzt, das von OpenAI. Das Modell konnte man tauschen, den Unterbau nicht.

Am 13. August 2026 hat DeepSeek genau diesen Unterbau offengelegt, unter MIT-Lizenz, als eigenständiges Programm namens dsh. Neun Tage später trug das Verzeichnis 184.800 Sterne und 20.400 Kopien — Zahlen, die man von quelloffenen Werkzeugen sonst nicht kennt.

Alles ist ein Bauteil

Der Leitsatz des Projekts ist ein einziger: „Everything is a Plugin.“ Darunter liegt ein Mikrokern namens Cordis, und darüber liegt nichts Fertiges, sondern ein Stapel austauschbarer Bauteile. Modelle, Werkzeuge, Fähigkeiten, Sitzungen, Abschottung, Dateisystem, Sprachserver-Anbindung, Verdichtung langer Verläufe, Subagenten, geplante Aufgaben, sogar die Agentenschleife selbst und die Oberfläche sind Plugins. Zusammengesetzt wird nicht im Quelltext, sondern in gestapelten Konfigurationsschichten: eine Grundausstattung, darüber ein Profil, darüber die eigenen Änderungen.

Das Programm startet in drei Formen. dsh web öffnet eine Oberfläche auf dem eigenen Rechner. dsh --profile headless "Auftrag" führt einen einzelnen Lauf aus, gibt die Antwort und beendet sich — die Form, die ein Dienst braucht. Dazu kommen ein Entwickler-Paket für TypeScript, eines für Python und ein Anschluss nach dem Agent-Client-Protokoll für fremde Programme.

Der Preis dieser Bauweise steht in der Kritik, die es von Anfang an gab: über fünfzig Pakete für etwas, das anderswo ein Programm ist. Wer nur einen Agenten will, hat hier zu viel in der Hand. Wer Teile tauschen will, hat zum ersten Mal überhaupt eine Naht.

Die drei Anschlüsse, die uns angehen

Für uns ist nicht der Agent interessant, sondern wo er andockt — und da trifft es dreimal auf Arbeit, die bei uns schon liegt.

Das Modell. Der eingebaute Anbieter-Anschluss nimmt jeden Dienst mit OpenAI-kompatibler Schnittstelle. Die Anleitung sagt es in einem Satz: ein Unternehmens-Vermittler, ein selbst betriebener Server oder ein Anbieter, den der mitgelieferte Katalog nicht kennt, sei „Konfiguration statt Codeänderung“ — Adresse, Protokoll, Modellliste, Zugangsdaten als Verweis auf eine Umgebungsvariable, nicht als Eintrag in der Datei. Unsere Grafikkarte im Haus wäre damit ein Absatz in einer Einstellungsdatei. Die Anleitung ist dabei ungewöhnlich ehrlich über die Stolperstellen echter Vermittler: welche Rolle den Systemtext trägt, welches Feld die Ausgabelänge begrenzt, wie eine Denkstufe über die Leitung geht — lauter Dinge, an denen kompatible Server in der Praxis scheitern und die hier einzeln nachstellbar sind.

Die Werkzeuge. Es bringt einen MCP-Anschluss mit und meldet fremde Werkzeug-Server als eigene Werkzeuge an. Wir betreiben elf solcher Server für unsere eigenen Apps. Sie wären in einer solchen Oberfläche sofort bedienbar, ohne dass wir eine Zeile dafür schreiben.

Die Anleitungen und Haken. Fähigkeiten werden als SKILL.md aus Projekt-, Benutzer- und einem geteilten Wurzelordner gelesen — dasselbe Format, in dem unsere eigenen Arbeitsanleitungen bereits liegen. Und es gibt Brücken, die die Erweiterungs-Haken von Claude Code und von Codex originalgetreu ausführen, statt ein eigenes Format zu erfinden. Das ist die eigentliche Wette des Projekts: Wer die Schnittstellen der Etablierten nachbaut, erbt deren Ökosystem.

Dazu kommt eine Kuriosität mit Folgen: Das Programm kann fremde Agenten als Kinder starten, darunter echte Claude-Code-Läufe über deren offizielles Entwickler-Paket. Der Unterbau will nicht ersetzen, er will vermitteln — und das ist dieselbe Bauform wie unsere Ausweich-Weichen bei Spracherkennung und Sprachausgabe, nur eine Ebene höher.

Die andere Hälfte der Nachricht

Am selben Tag erschien DeepSeeks neues Modell V4-Pro in der endgültigen Fassung, und drei Tage später wurden die Preise der gehosteten Schnittstelle auf Haupt- und Nebenzeit umgestellt. Je nach Modell und Token-Art liegen die neuen Sätze zwischen fünfzig Prozent und dem Elffachen der bisherigen; die beworbene „um die Hälfte günstigere Nebenzeit“ ist die Hälfte des neuen Höchstpreises, nicht des alten. Ein Anbieter macht seinen Unterbau frei und seinen Betrieb teurer.

Das ist kein Widerspruch, sondern das übliche Muster, und für uns ist ausgerechnet die freie Hälfte die brauchbare: Wir können das Geschirr nehmen und das Zugtier selbst stellen. Wer allerdings die Bestwerte des neuen Modells liest, sollte wissen, dass die Agenten-Zahlen im eigenen Unterbau gemessen wurden. Das sind Aussagen über die Kombination, nicht über das Modell.

Wo es gefährlich wird

Drei Dinge stehen zwischen diesem Programm und einem ruhigen Betrieb.

Die Telemetrie ist eine Voreinstellung, keine Grenze. Bis zum 10. August 2026 meldeten beide Ausgangskanäle in der Grundeinstellung nach Hause; der Sitzungs-Kanal konnte dabei vollständige Sitzungsinhalte, Werkzeugdaten, Anfragetexte und Arbeitspfade ausleiten. Seither gilt: nicht gesetzt heißt aus, und es gibt einen harten Riegel, der vor dem Laden greift. Aber der ausleitende Modus bleibt fertig verdrahtet — eine spätere Fassung müsste nichts bauen, nur die Voreinstellung drehen. Und das Programm fragt beim ersten Start nichts davon ab.

Erweiterungen laufen nicht in der Abschottung. Für Kommandozeilen-Aufrufe gibt es eine Sandbox mit Richtlinie je Sitzung. Für Plugins und angeschlossene Werkzeug-Server gibt es sie nicht: Sie laufen mit den Rechten des Agenten. Genau an dieser Naht ist die Agenten-Szene in diesem Jahr reihenweise gescheitert, und ein Feld, das in neun Tagen zwanzigtausend Kopien hat, ist noch niemandes Verantwortung.

Die Oberfläche ist ein Agent mit Shell-Zugriff. Sie hört auf der Rückschleife des eigenen Rechners. Dort gehört sie hin und nirgendwo anders. Das ist bei uns ohnehin die Hausregel, aber sie ist hier keine Formalie: Wer diese Adresse nach außen führt, verschenkt eine Maschine.

Der Versuch, gemessen am 22. August 2026

Wir haben es laufen lassen — abgeschottet, in einem Wegwerf-Verzeichnis, mit gesetztem Riegel gegen die Telemetrie, gegen unser eigenes Modell-Gateway. Drei Fragen, kein Ausbau. Gemessen wurde die Fassung 0.1.1-rc.2; bei einem Projekt, das brechende Änderungen ankündigt, ist eine Messung ohne Fassungsnummer wertlos.

Erstens: Läuft ein Modell von der eigenen Grafikkarte durch einen echten Werkzeuglauf? Ja, und zwar sauber — der Auftrag „lies diese Datei, rechne, schreib das Ergebnis in eine neue Datei“ erzeugte genau die zwei richtigen Werkzeugaufrufe mit den richtigen Feldern, und die Datei stand danach da. Das Anbinden kostete zwei Anläufe: ein Endpunkt ohne eigenen Schlüssel braucht trotzdem einen Platzhalter-Verweis, sonst bricht der Start mit „kein Schlüssel für Anbieter“ ab, und unser Gateway will seinen Schlüssel in einer eigenen Kopfzeile statt im üblichen Feld — beides ist vorgesehen und in je einer Zeile erledigt. Nicht sauber war die Geschwindigkeit: 18,7 Minuten zwischen den zwei Werkzeugaufrufen, Abbruch nach 22 Minuten, weil unser Gateway das lokale Modell wegen Zeitüberschreitung als ungesund markierte. Der Unterbau tat, was er sollte; das Zugtier war zu langsam.

Zweitens: Läuft eine unserer bestehenden Arbeitsanleitungen unverändert? Ja, unverändert und ohne Umschreiben. Das Programm fand unsere Anleitungen im geteilten Wurzelordner, stellte sie mit ihrer deutschen Beschreibung in den Katalog, lud die verlangte über das Fähigkeits-Werkzeug und fasste ihre Bedingungen richtig zusammen — mitsamt der Regel, dass ohne Beleg am Werk nichts aufgenommen wird. Dafür brauchte es 17,6 Sekunden über ein schnelles Modell. Eine Einschränkung, die man kennen muss: gelesen wird der geteilte Wurzelordner ~/.agents und der eigene Ordner des Programms, nicht der Ordner des Werkzeugs, mit dem wir sonst arbeiten. Wer die Anleitungen an beiden Orten will, legt sie an beide.

Drittens: Geht wirklich nichts nach draußen? Nichts, was wir nicht selbst adressiert haben. Über beide Läufe hinweg im Sekundentakt mitgeschnitten (und dabei absichtlich zu weit gefasst — alle Programme dieser Art auf dem Rechner, nicht nur dieses): zwei Ziele außerhalb des Hauses, das Paket-Verzeichnis für die Installation und unser eigenes Modell-Gateway. Keine Verbindung zur eingebauten Telemetrie-Adresse. Diese Adresse steht fest im mitgelieferten Aufbau und löst auf eine Cloud-Funktion in Peking auf. Sie schweigt, solange niemand den Modus setzt — aber sie ist da, und das ist der Grund, sie zu messen statt sie zu glauben.

Zwei Zahlen am Rand, weil sie Erwartungen setzen: die Erstinstallation dauerte knapp acht Minuten und legte 1,1 Gigabyte auf die Platte.

Unsere Haltung dazu

Wir wechseln nichts. Ein Projekt, das neun Tage alt ist und im ersten Absatz brechende Änderungen ankündigt, trägt keinen Arbeitsweg.

Was sich geändert hat, ist die Ausgangslage. Bisher konnten wir sagen: eigenes Modell auf eigener Karte, eigene Werkzeuge im eigenen Verzeichnis — und dazwischen ein Programm, das jemand anderem gehört. Diese Lücke ist jetzt mit einer MIT-Lizenz gefüllt, und zwar von einem Projekt, das unsere drei Anschlüsse bereits bedient. Das ist keine Empfehlung, sondern eine Beobachtung mit Datum.

Der Versuch ist gefahren, und alle drei Fragen sind mit Ja beantwortet — mit einer Einschränkung, die nicht dem Programm gehört: Unser lokales Modell ist für eine Agentenschleife heute zu langsam. Das ist eine Aussage über unsere Grafikkarte und unsere Zeitgrenzen, nicht über den Unterbau. Damit gehört die Sache in den Strang „unabhängige KI“ und nicht in eine Fußnote — und die nächste Frage ist keine über Agenten mehr, sondern die alte: Was läuft bei uns schnell genug, um mehr als zu antworten?