模型免费后，真正的护城河是 Harness

上个月我把一个用了两年的老后端从互相发 HTTP 请求，重构成四层架构。第一件事不是写代码，是定规矩：业务层里不许出现框架的上下文对象。原因不是那个对象危险，而是不该出现的依赖，一旦允许它出现，就再也收不回来。这周看编码 agent 的新闻，我有点恍惚，同一个道理正在这个圈子里重新发生一遍。

当模型开源免费、价格趋零，编码 agent 真正的护城河，不再是模型强不强，而是那层衔接模型、工具和执行的运行时层（Harness），以及它把权限和成本管得干不干净。

模型成了 commodity，竞争面就下移到了衔接层。

证据摆在眼前：阿里 11-11 把商业产品 Qoder 打磨过的 Harness 反哺开源到 Qwen Code 1.0，事件驱动的运行时，推理、记忆、工具按事件接入，模型服务统一入口管授权和调用记录，沙箱按权限边界复用，MCP 统一治理。腾讯 LoopForge 把编排 CodeBuddy、Codex、Claude Code 加上人工审批门做成自托管。阿里 open-code-review 把确定性规则管道和模型兜底做成混合审查。三家同一天附近集中出手，不是巧合：模型免费之后，谁能把模型、工具、执行接缝处治理好，谁才站得住。

我每天自己就用 Claude Code、Codex 和 CodeBuddy 改生产代码，最深的体会是：模型能力是共享的，但同样一个需求，有的 agent 跑完留下干净的可审查改动，有的把依赖和权限搅成一团。差别不在模型，在我给它套的那层结构和规矩，这层结构，正是 Harness 在做的事。我二十年做分层架构的判断，在这里完全成立：边界和验证闭环不会换，模型会换。一个编码 agent 跑得稳不稳，取决于它的 Harness 有没有把能调谁、能写哪、花多少写成结构，而不是靠模型自己懂事。

不该出现的依赖，一旦允许它出现，就再也收不回来。

把人工审批焊进编排节点，是权限治理最便宜的一刀。

LoopForge 的设计里，人工审批门是编排的一个显式节点，不是事后补丁。这和我做电力项目时的审批门一个逻辑：审批单管人，执行点管系统，二者分开才收得住。Claude Code 这一周又在修写权限的边界，只读文件开头就覆盖整份的坑刚填上，说明厂商默认姿势仍不可靠，治理得自己焊。我把高危操作收进独立的执行点，默认拒绝，要放行就显式审批，这套姿势在编码 agent 上同样适用。

依赖模型应该知道边界，迟早翻车。

我带团队做改造时最怕的不是功能写不出，是 agent 越界改到它不该动的模块。四层架构里那句不许出现框架上下文，本质就是先把执行面收窄，再让 agent 进驻。约束从来不是限制能力，是给 agent 一张清晰的地图，它反而敢放开了干。

约束不等于限制能力，把权限收窄，agent 反而敢放开了干。

不用等供应商出新政策，这三件事现在就能在你的系统里落地：

第一，今天就把编码 agent 能写哪列成一张目录白名单。不是信任它不会乱写，是让它在结构上不能乱写，目录白名单比任何系统提示都管用。

第二，给多 agent 流程加一个显式的人工审批节点。哪怕只是这一步执行前让我看一眼，成本几乎为零，却把不可逆操作挡在了结构里。

第三，把工具调用和模型调用拆开计量。这一周的趋势是 Harness 开源、模型免费，但真正的账单在编排层的调用次数和重试上，先有数，才有得谈治理。

真正的账单在编排层的调用次数和重试上。

今日其他信号：

• 11-13 llama.cpp 与 ggml 发布 v1.0.0，本地推理第一次有了语义化版本契约，下游升级不再破（基础设施里程碑，非模型代际）。
• 11-13 OpenAI 解散独立机器人团队，GPT-6 Astra 通用模型直接控机器人，研究称仿真成功率 74.8% 超专用模型 51%（仿真条件，未独立复现）。
• 11-14 ChatGPT Wallet 上线，agent 第一次代用户用真实卡网络支付，支付令牌让 agent 碰不到真实卡号。
• 11-14 腾讯混元 Hy Realtime 实时语音模型新增工具调用能力，多模态 agent 的入口从打字扩到说话。
• 11-14 Claude 大范围错误，把关键流程押在单一闭源接口上，失败模式从答错变成整体不可达。