随着企业级 Agent 功能的持续扩张，工具数量往往会迅速膨胀到数十甚至上百个。如果继续采用传统的工具调用方式，系统将面临灾难性的困境：

• 在 System Prompt 里塞入 50 个工具的完整 JSON Schema，单次调用的输入 Token 就高达上万，费用极度昂贵；
• 如果任务需要“在代码库中检索 20 个包含特定关键字的文件并分别提取第 10 行”，模型必须与宿主连续进行 20 次往返交互（Round-Trip），响应延迟被无限拉长。

为了攻克这一瓶颈，DeepSeek Harness 引入了高级的 Code Mode（代码模式 / 编排运行态）。

一、Code Mode 的本质：压缩上下文，提升表达密度

Code Mode 的设计初衷绝不是“给模型一个裸奔的 Bash Shell”，而是将结构化的原子工具直接投射为受限的编程语言 API 绑定（Bindings）。

模型不再需要笨拙地一步步发起 JSON 格式的工具调用，而是可以直接输出一段精炼的 TypeScript / JavaScript 代码：

1
2
3
4
5
6
7
8
9
10
11
12

// Code Mode 下的模型输出示例：一段代码解决 20 次工具往返
const files = await dsh.glob('src/**/*.ts');
const matches = [];

for (const file of files) {
  const content = await dsh.readFile(file);
  if (content.includes('DEPRECATED_API')) {
    matches.push(file);
  }
}

return { count: matches.length, files: matches };

原本需要模型与环境来回交互 40 个回合的漫长流程，在 Code Mode 下被压缩为单次模型推理生成代码 + 本地沙箱高吞吐执行。这不仅节省了 80% 以上的通信 Token，更将执行延迟从数分钟压缩到数百毫秒。

二、核心铁律：代码分派绝不是安全审批的旁路

许多开发者在实现类似功能时，最致命的疏忽是把代码直接丢给 Node.js 的 eval() 或 vm 模块运行，并认为“既然代码是内部生成的，里面的工具调用就可以直接放行”。

DSH 确立了一条生死线：代码分派（Code Dispatch）只是一种更高密度的调度形态，它绝不是绕过安全鉴权的后门！

  flowchart TD
  LLMCode["模型输出编排代码 (run_code)"] --> Sandbox["受限 Runtime 沙箱隔离"]
  Sandbox --> Loop["代码执行引擎 (JS 虚拟机)"]

  Loop -->|调用 dsh.readFile| Interceptor["内部代理拦截器 (Proxy)"]
  Interceptor --> Pipeline["完整 Tool Pipeline<br/>(权限 / 单调 Guard / 审批)"]
  Pipeline -->|鉴权通过| RealOp["读取文件并返回数据"]
  Pipeline -->|鉴权失败| Reject["抛出受限异常，沙箱安全捕获"]
  

在沙箱中注入的 dsh.readFile 绝不是底层的 fs.promises.readFile，而是一个经过严格代理包装的 RPC 客户端。代码内部发起的每一次子调用，都会重新携带调用凭据，完整穿透标准 Tool Pipeline 的五道拦截闸门。如果某个文件读取触发了保护规则，沙箱内会立即捕获到被安全策略拦截的异常，而绝不可能发生越权数据访问。

三、三层物理安全边界模型

为了彻底防御不可信代码对宿主机系统的破坏，DSH 在架构上构建了严密的三层边界：

[!CAUTION]
生死准则：必须 Fail-Closed（默认失败阻断）！
在系统启动或配置迁移时，若沙箱插件因为依赖问题无法成功启动，或者安全策略规则解析抛出异常，系统必须立即中止执行（Fail-Closed）！绝对禁止为了所谓的“用户体验”而静默降级为在宿主机主进程中裸奔执行代码！

四、六类可区分的失败语义

当一段代码在沙箱中运行失败时，如果仅仅抛出一个含糊的 Execution Failed，模型将完全不知道该如何自我修正。DSH 建立了细粒度的错误分类标准：

1. exception：业务代码自身的语法错误或逻辑异常（如 TypeError: Cannot read properties of undefined），模型通常能够根据堆栈自行修复代码；
2. timeout：代码执行超出时间片预算（可能存在无限循环），触发强制熔断；
3. abort：用户在执行过程中按下了打断按钮，协作式退出；
4. worker-exit：底层沙箱 Worker 进程遭遇 OOM 或底层致命信号崩溃；
5. invalid-output：代码的最终返回值无法进行无损 JSON 序列化（例如返回了循环引用的对象或函数引用）；
6. output-limit：控制台输出的日志量超出了系统上限（如代码内疯狂 console.log 导致撑爆内存），触发强制截断。

通过将程序化表达能力与严苛的三层安全边界有机融合，Code Mode 在大幅降低 Token 消耗的同时，为工业级复杂任务的批量编排树立了标杆。