モデル提供元のAI基盤を使う企業が知っておきたいOSS「DeepSeek Harness」の確認点

「モデルを契約している提供元が、そのままエージェントの土台まで出している。これを使えば、社内のエージェント整備は一気に楽になるのか、それとも新しい確認ごとが増えるのか」「公開元が大きな会社だから、そのまま本番に入れてよいのか、それとも別の見方をすべきか」——AIの活用を全社に広げる段階に入った情報システム部門から、ここ数か月でよく聞く二つの声です。この問いは、道具の良し悪しだけでは答えが出ません。分かれ目になるのは、モデル提供元が公式に出す基盤を、自社の統制のどこに置くかを先に決めているかどうかです。この記事では、DeepSeek AI が公開しているAIエージェント基盤「DeepSeek Harness」を取り上げ、2026年10月16日時点で一次情報から確かめられる事実と、実行の権限・外部への送信・プラグインの出どころという三つの論点を整理します。導入や設定の手順は扱いません。

DeepSeek Harnessとは何か。2026年10月時点で確かめられる事実

DeepSeek Harness は、DeepSeek AI という組織のアカウントがGitHubで公開している、AIエージェントの基盤です。リポジトリの説明は「DeepSeek Harness。すべてがプラグイン」と短くまとめられ、READMEでは「DeepSeek AI が開発した公開のエージェント基盤」と説明されています。ここでいうハーネス（基盤）とは、モデルと道具の間に入り、道具を渡して実行の順番を回し、結果を記録する土台のことです。モデルそのものは文章を作るだけで、ファイルを読んだり命令を実行したりはしません。その役割を引き受けるのがハーネスで、エージェントの能力と危険の多くは、モデルではなくこの土台の側で決まると考えてよい部分です。

配布の形を確かめます。リポジトリの作成は2026年8月13日、ライセンスはMITです。2026年10月16日時点で、スター（関心を示す登録）は約25万600、派生（フォーク）は約3万、最後の更新は10月15日でした。作成から2か月あまりでこの数に達しており、1日あたりに直すとおよそ3,900件のペースで関心が集まっている計算になります。公開から日の浅い基盤に、これだけの注目が集まっていることが、まず押さえるべき事実です。

提供元はDeepSeek AI の組織アカウントで、2023年10月に作られており、ほかにも多数のリポジトリを公開しています。個人が趣味で出したものではなく、モデル提供元が本腰を入れて出した基盤だと分かります。公式のサイトと文書のサイトも用意されており、リポジトリには不具合や要望を受け付ける課題の欄がありません。質問はディスカッションの場で受ける形です。配布されている版は「0.2.1」という番号に試用段階を示す印が付いており、まだ仕上がった製品ではないことが番号からも読み取れます。

なぜモデル提供元が、エージェントの基盤まで出すのか

背景にあるのは、AIエージェントの使い方が変わってきたことです。これまでは、利用者が会話の窓に文章を打ち込み、返ってきた文章を読む使い方が中心でした。いまは、モデルが自分で道具を呼び出し、ファイルを読み書きし、命令を実行し、必要なら作業を他のエージェントに任せる使い方が広がっています。この使い方を支えるには、モデルの外側に、道具の登録・実行の制御・記録の保管をまとめた土台が要ります。

DeepSeek Harness は、その土台を提供元自身が用意したもの、という位置づけです。READMEによると、この基盤は Cordis という枠組みの上に作られており、その設計は公開された論文で説明されているとされます。モデル提供元が自社モデルに合わせた実行環境を公式に用意すれば、使う側は一から組み立てる手間を省けます。ここまでは利点です。

一方で、評価の前提として押さえておきたい副作用があります。モデルと基盤を同じ提供元から取ると、情報の行き先と、依存する先が同じ方向に重なるという点です。モデルを呼び出す通信も、道具の追加も、記録の保管も、提供元が想定した作りの上に載ります。便利さと引き換えに、替えのききにくさが増える構図は、基盤を選ぶときの判断材料になります。ただし基盤側は他の提供元や自社で用意した接続先も選べる作りだと案内されており、必ず縛られるわけではありません。

設計の芯：モデルも道具も記録も「すべてがプラグイン」

この基盤の性格を決めているのが、設計の説明文書に書かれた考え方です。それによると、モデルへの接続、道具の登録、会話の記録、そしてエージェントを回す繰り返し処理そのものまで、製品のあらゆる部分がプラグインとして作られているとされます。付け替えを前提にした中核は存在せず、機能を足すときは、他のプラグインの隣に新しいプラグインを載せる形になります。プラグインを外せば、それが加えた登録も元に戻るとされます。

起動している状態は、決まった順番の層から組み上げられたプラグインの木だと説明されています。用途ごとのまとまりとして、画面で使う形、画面を持たない一括実行の形、外部のプログラムから呼び出す形などが用意されています。複数の形が共通して最初に載せる層には、モデル接続、道具、記録の保存、実行の囲いと承認の方針、設定、資格情報、利用状況の計測が含まれます。

この設計を、企業の立場で読み替えるとこうなります。構成は設定と部品の組み合わせで決まるので、実際に何が動いているかは、入れた部品の一覧そのものです。会話の記録は追記のみで、モデルが見た情報はすべて記録から再現できる、という決まりも文書に書かれています。何が入っているかを把握する手段は用意されていますが、把握し続けるのは使う側の仕事です。

実行の囲いと承認：何を止められて、何を止められないか

安全性の評価で最も重要なのが、この章です。基盤の共通の層には、実行の囲い（サンドボックス）と承認の方針、資格情報の扱いが含まれています。エージェントは作業場所のファイルを読み書きし、命令を実行し、作業を任せ、計画を保つとされ、承認が必要な操作については画面が先に尋ねる、と使い方の案内に書かれています。

ただし、囲いがあることと、囲いが守ってくれることは別です。安全に関する注意文書は、囲い・承認・権限の制御は危険を減らすが、隔離を保証するものでも、被害を防ぐものでもないと明記しています。正しく働いている制限でも、その基盤に触れることを許した資源は守れない、という理由も添えられています。そして「信頼できない処理を任せるときの、唯一の防御として頼ってはいけない」と書いています。

設計の説明文書には、ファイルと命令の実行を担う部分が同じ実行の世界を共有しているため、その世界ごと遠くの隔離環境に向ければ、命令の実行や端末、編集の支援まで一緒に移る、という記述があります。実行の場を丸ごと外に出せることは、使いどころが広い半面、囲いの位置を自社で決めて確かめなければ意味を持ちません。

外へ出る通信：どこが関所を通り、どこが直接出るか

外部への送信を考えるときの一次情報が、通信の経路についての案内文書です。それによると、この基盤はモデルの呼び出し、網の検索、ページの取得、外部の道具をつなぐ接続の通信を、標準的な経路指定の設定（プロキシ環境変数）に従って通します。設定は起動時に一度だけ読まれ、ほかに手を入れる必要はないとされます。

注目したいのは、リポジトリの中の設定ファイルでは、この経路を書き換えられないという決まりです。理由も書かれています。取得した中身が通信先を決められないように、書き換えられていたら起動を断るという作りです。これは、入手したコードに通信の乗っ取りを仕込まれるのを防ぐ、良い設計です。

一方で、すべての通信が関所を通るわけではありません。文書は、手元の機械の中だけの通信、モデルが書いたコードを動かす処理、そして利用状況の計測を、直接つながる例として挙げています。計測は、外部への持ち出しが遮断された環境では単に失敗し、基盤の動作には影響しないとされ、切り替えで完全に止められると書かれています。また、経路の指定にパスワードを埋め込むと、その値はモデルが書いた命令からも読め、出力に残りうると警告しています。

プラグインの入手先と、出どころの確かめ方

第三者製のプラグインを読み込む以上、その出どころの管理が要ります。案内文書によると、この基盤は、入れられる部品を並べた索引ファイルを1つ置くだけで「市場」を作れる仕組みを持っています。試験的な機能として、索引の在りかを登録すると、そこから部品を探して入れられるようになるとされます。

ここで押さえるべきは、市場の中身は第三者の主張だという点です。部品の題名、説明、作者、入手先は市場が決めた表示であり、基盤は形式が正しいかどうかしか確かめない、と文書は明記しています。信頼できる在りかだけを登録し、入れる前の確認の画面で入手先を確かめるよう求めています。確認なしに入ることはない、という作りも明記されています。

版の固定の仕方も決まっています。公開パッケージの置き場から入れる場合は名前と版で、Gitのリポジトリから入れる場合は変更を特定する識別子と置き場所で固定するとされます。下の表は、二つの入手元を文書に沿って整理したものです。

入手元	版の固定の仕方	確かめる点
公開パッケージの置き場	名前と版の番号を指定して入れる	登録先が社内で認めた置き場か。名前が紛らわしくないか
Gitのリポジトリ	変更を特定する識別子と、部品のある場所を指定して入れる	識別子が指す中身を誰が確かめたか。置き場は社外か
索引ファイル（市場）	取得先の在りかを登録する。暗号化されていない取得は書き換えられうる	在りかは暗号化された通信か。誰が索引を管理しているか

なお、索引を作るための補助の道具も同梱されていますが、文書によれば、それはファイルを取得して読むだけで、部品を入れたり、そのコードを動かしたりはしないとされています。

三つの論点を一枚の表で整理する

ここまでの内容を、企業が決めるべき三つの論点ごとにまとめます。左から、論点、一次情報に書かれていること、そして使う側が決めることです。右の欄はこの記事の整理であり、公開元が示した指針ではありません。

論点	一次情報に書かれていること	使う側が決めること
実行の権限	モデルが書いたコードと命令を実行し、第三者製のプラグインを読み込む。囲いと承認で危険は減るが、隔離や被害の防止は保証されないと明記	どの作業場所で、何に触れてよいか。人の承認を必ず挟む操作はどれか
外部への送信	モデルの呼び出し・検索・ページ取得・外部の道具は経路指定に従う。計測など直接つながる通信もあり、切り替えで止められる	使ってよいモデルの経路はどれか。網の出口で何を見張るか
プラグインの出どころ	市場は第三者の内容で、形式以外は確かめない。入手は名前と版、または変更の識別子で固定する	許可する市場と部品はどれか。誰が更新を承認するか

三つの論点は、どれも道具の性能では決まりません。決めごとを先に持っているかどうかが、そのまま守りの差になる領域です。次の章から、この三つを具体的に確かめる手順と対策に入ります。

社外に公開するときの前提：既定は手元の内側だけ

画面で使う形は、既定では自分の機械の内側だけで待ち受けると説明されています。別の機械のブラウザから使うには、前に代理の仕組みを置き、ブラウザから見える在りかを基盤に伝える必要があります。このとき、表示用に伝える在りかと、呼び出しを受け入れる在りかは別物だと明記されています。受け入れる在りかを指定しない限り、その在りかからの呼び出しはすべて拒まれるという作りです。

注意すべきは、待ち受けている口そのものは、この仕組みでは守られないという記述です。信頼できる代理の仕組みか、社内の網からだけ届くように、口の側で絞る必要があると書かれています。また、起動時に表示される在りかには、そのプロセスの資格情報が含まれるため、配る相手を限定するよう求めています。暗号化されていない在りかのまま外に出すと、その資格情報が平文で見えることも添えられています。

実務では、そもそも外に出さないのが既定だと考えておくのが安全です。社内の一部の担当にだけ見せる場合でも、誰に配るか、どの網から届くようにするかを、公開の前に決めておく必要があります。

安全性の評価：「注意付き」とした根拠

このラインでは、OSSをクローンもインストールも実行もせず、公開されている事実だけで安全面を判定しています。DeepSeek Harness の判定は「注意付き」です。悪意のあるソフトの報告、説明と配布方法の食い違い、有名なソフトと紛らわしい名前といった、記事にしない理由に当たる事実は見つかりませんでした。公開元は組織のアカウントで作者は明確、ライセンスはMIT、GitHub上のセキュリティ勧告は2026年10月16日時点で0件です。

注意を付けた理由は、インストール時に自動で動く処理があることです。開発用の部品の一覧に、取り込みの後に自動で走る処理として、版管理の検査を組み込む道具の導入が登録されています。中身の説明によると、これはコミット（変更の記録）の前に決まった検査を走らせる仕掛けを、リポジトリの設定に組み込むものです。開発の現場ではよく使われる仕組みですが、利用者が明示的に頼まなくても、取り込みの手順の中で自動的に動く点は、確かめる対象に入ります。

補足すると、この処理は版管理された作業場所でだけ働き、自動実行の環境では何もせずに終わる作りです。また、既存の設定を勝手に置き換えないよう、持ち主が分からない設定には手を出さずに断る作りになっています。それでも、取り込みの手順に自動で動く処理が含まれること自体は変わらないので、注意付きとしました。加えて、公開元自身が試用段階だと明記していること、勧告が0件であることも、そのまま安心の材料にはなりません。問題が見つからなかった点があっても、それは安全の保証ではないからです。

「開発者向けの試用段階」という前提の重さ

READMEと安全に関する注意文書は、この基盤を開発者向けの試用段階だと繰り返し書いています。互換性を壊す変更がこれから起きる、と太字で注意し、セキュリティ監査を受けていない、本番向けとして扱ってはいけない、とも明記しています。保証はなく、利用は自己責任だとされています。

この宣言は、事実の整理として非常に有用です。提供元が「まだ安心して本番に置けるものではない」と言っている以上、使う側が「公式だから大丈夫」と読み替える余地はありません。試用段階のものは、評価の場と本番の場を分けて扱うのが原則です。

具体的には、扱う情報の区分の低い作業から試し、できれば使い捨ての環境で動かすことが、注意文書自身の推奨として書かれています。ファイルの控えを取ること、資格情報や重要な情報を渡さないこと、部品や設定や実行される命令を確認してから動かすことも、同じ文書に並んでいます。提供元の推奨と、自社の規程が同じ方向を向いているかを確かめる材料になります。

悪用されうるリスク

DeepSeek Harness は攻撃のための道具ではなく、汎用のエージェント基盤です。それでも、使い方しだいで生まれうる危険はあります。以下は、公開情報から読み取れる範囲の推測を含みます。

一つ目は、権限を広く取ったまま配ることです。モデルが書いたコードと命令がそのまま実行される作りなので、読み込んだ文書や網のページに紛れ込んだ指示で、意図しないファイルの書き換えや情報の持ち出しに進むおそれがあります。囲いと承認の方針は、この危険を減らすが、消しはしないと注意文書自身が書いています。

二つ目は、プラグインの供給網です。市場の題名や作者の表示は第三者の主張で、基盤は形式しか確かめません。名前と版で固定しても、その版の中身を第三者が検証したわけではない点は変わりません。三つ目は、記録と鍵の扱いです。会話の記録には社内の情報が溜まり、通信の経路の設定を誤れば、想定していない送信が起きる可能性があります。

なお、この基盤が実際の攻撃に使われたという報告は、2026年10月16日時点で一次情報からは確認できませんでした。確認できないことを、安全だという意味に読み替えないことが大切です。

導入を検討するときに確かめること

導入を検討する段階で確かめておきたい点を、順に並べます。動かして試す前に、書類と公開情報で確かめられる範囲に絞っています。

この五つの要は、道具を入れる前に、人が決めておく範囲を紙の上で確定させることにあります。動かしてから決めようとすると、すでに社内の作業に入り込んでいて、止めにくくなります。

企業が取るべき対策

使うかどうかにかかわらず、モデル提供元の基盤を社内で使うときに取っておきたい対策を挙げます。一つ目は、基盤を、社内の重要な仕組みと同じ扱いにすることです。実行の権限を持つ道具なので、資産の台帳に載せ、脆弱性の管理の対象に入れ、管理者を決めます。

二つ目は、扱う情報の区分ごとに使ってよい作業の範囲を決めることです。三つ目は、経路の指定に資格情報を埋め込まないことです。パスワードを含む値は、モデルが書いた命令からも読め、出力に残りうるためです。社内の代理の仕組みに、資格情報を伴わない入口を用意するのが現実的です。

四つ目は、網の出口での見張りです。基盤の側の設定は、あくまで基盤の中の話です。どの宛先へ、どれだけの情報が出たかは、出口側で記録して初めて確かめられます。五つ目は、社内規程への落とし込みです。使ってよいモデルの経路、許可するプラグインの入手元、承認を挟む操作、記録の保存の扱いを、基盤の名前ではなく決めごととして書きます。

六つ目は、試用段階のものを本番の基盤と同じ手順で更新しないことです。版を固定し、上げるときは変更の記録を読んだ人が決める、という順番を守ります。社員が個人で動かしているエージェントの洗い出しと、その基盤への寄せ集めも、あわせて進めたいところです。

モデル提供元に渡る情報を、どう区切るか

この基盤は、モデルの呼び出しを外部への通信として扱います。案内文書の一覧にも、モデルの呼び出しは外へ出る通信として最初に挙げられています。既定で案内されているのはモデル提供元のAPI鍵を使う経路で、ほかの提供元や、互換の受け口も設定できるとされています。どの経路を選ぶかで、情報の行き先が変わるということです。

したがって、扱う情報の区分ごとに使ってよい経路を決める必要があります。たとえば、対外に出せない情報を含む作業場所では、外部へ出ない経路だけを使う、といった線引きです。ただし、この記事で確認した文書には、依頼の中身が提供元でどう扱われるか（学習に使われるか、保存されるか）の記述は見当たりませんでした。この点は、提供元の契約と設定の条件を、自社で確かめる必要がある未確認の領域です。

ここは、基盤の選定と契約の確認を別々に進めるべき典型的な論点です。基盤の作りが良くても、情報の扱いの条件が自社の求める水準に合わなければ、その作業には使えません。技術の確認と、契約の確認を、同じ担当がまとめて行うと、どちらかが抜けます。

AIに任せる範囲と、人が決める範囲

エージェントの基盤は、AIにどこまで任せるかを決めやすくする道具であって、決めること自体を肩代わりするものではありません。避けたい向き合い方を挙げます。

• 公開元が大きな会社だからと、試用段階のものをそのまま本番の業務に入れる
• 囲いと承認の仕組みがあるからと、渡す権限と触れてよい範囲を決めない
• 第三者が用意した市場の説明だけを信じて、プラグインの入手先を確かめない
• 経路の指定に資格情報を埋め込み、モデルが書いた命令から読める状態にする
• 外部へ出る通信を、基盤の設定だけに任せて、網の出口で見張らない
• 理由を書かせないまま、モデルが提案した操作をそのまま承認する

裏を返せば、人が決める範囲ははっきりしています。どの経路を使うか、どの作業場所で何に触れてよいか、どのプラグインを許すか、いつ止めるか。この四つは、AIにも道具にも委ねません。そして、AIに任せてよいのは、人が決めた範囲の中で、取り消せる作業を速く広く進める部分です。承認を求められたときは、なぜその操作が必要なのかをモデルに書かせ、人がそれを読んでから決める、という順番を守ります。人が確認する範囲を先に決めておけば、この順番は自然に回ります。

よくある質問：提供元の公式な基盤なら、安心してよいのか

問い1：モデル提供元の公式な基盤だから、そのまま本番に使ってよいですか。答えは「公開元自身がそう言っていない」です。安全に関する注意文書は、試用段階であり、監査を受けておらず、本番向けとして扱ってはいけないと明記しています。公式であることは、動作の保証や安全の保証を意味しません。

問い2：ほかの似た基盤と、どう選び分ければよいですか。この記事で確認した限りでは、選び分けの軸は、実行の権限をどこまで細かく制御できるか、外へ出る通信をどこで止められるか、部品の出どころをどこまで固定できるかの三つです。機能の数より、自社の決めごとを書き込めるかどうかで見るほうが、後で困りません。

問い3：日本語の情報はありますか。2026年10月時点では、名前は知られ始めているものの、社内導入の観点でまとまった日本語の解説はまだ少ない状況です。公式の文書は英語が中心で、更新も速いため、判断の前には一次情報を確かめてください。問い4：無償ですか。ライセンスはMITで、公開元は商用の利用を妨げていません。ただし無償であることは、監査や保証を伴わないという意味でもあります。

• DeepSeek Harness の機能・設計・判定は、GitHubのリポジトリとその中の文書（README・安全に関する注意文書・設計の説明・利用案内）、公式サイトと公式の文書のサイトを2026年10月16日に確かめた範囲に基づきます。内容は変わります
• スター数・派生数・版・勧告の有無は、確かめた時点の値です。開発者向けの試用段階と明記されているため、使う前に最新の状態を確かめてください
• モデル提供元での情報の扱い（学習への利用や保存）は、この記事で確認した文書には記述が見つかりませんでした。契約と設定の条件は別途の確認が必要です
• この記事は DeepSeek Harness を動かして試したものではありません。導入・設定・実行の方法は扱いません

まとめ

DeepSeek Harness は、モデル提供元の DeepSeek AI が公開しているAIエージェント基盤です。モデル接続から道具、記録、繰り返し処理まで、すべてがプラグインとして差し替えられる設計で、2026年10月時点でスターは約25万、作成から2か月あまりで大きな関心を集めています。実行の囲いと承認の方針、資格情報の扱い、通信の経路の制御まで備えており、提供元が公式に用意した土台としては、よく作り込まれていると読めます。

一方で、安全に関する注意文書は、試用段階であり、監査を受けておらず、本番向けとして扱ってはいけないと自ら書いています。モデルが書いたコードと命令を実行し、第三者製のプラグインを読み込むという前提は、利用の仕方しだいでそのまま危険になります。公式であることは、安全の保証でも本番利用の許可でもないという点は、提供元の規模にかかわらず押さえておきたいところです。

持ち帰るべきは、特定の基盤の可否ではなく、決めごとの型です。どのモデルの経路を使い、どの作業場所で何に触れさせ、どのプラグインを許し、いつ止めるか。この四つを人が先に決めておけば、基盤が変わっても守りは残ります。基盤を選ぶ前に決めごとを持つことが、モデル提供元の道具を社内で使うときの、いちばん確かな備えになります。

※本記事にはAIが活用されています。編集者が確認・編集し、可能な限り正確で最新の情報を提供するよう努めておりますが、情報の完全性、正確性、最新性、有用性等について保証するものではありません。本記事の内容に基づいて行動を取る場合は、読者ご自身の責任で行っていただくようお願いいたします。