DeepSeek Harness chuẩn bị chợ plugin chính thức: kiểm tra nguồn trước khi cài

TechNode đưa tin nhóm DeepSeek đang chuẩn bị chợ plugin chính thức cho Harness, cùng chương trình hỗ trợ người tạo plugin và kế hoạch cải thiện độ ổn định, khả năng tương thích và an toàn của API plugin. Theo bài báo, Harness có 1,54 triệu người dùng hoạt động mỗi ngày tính đến ngày 4 tháng 11 năm 2026, trong đó cách tính chỉ bao gồm người truy cập qua API chính thức của DeepSeek.

Bài báo của TechNode cũng dẫn lại con số khoảng 35.000 plugin bên thứ ba và khoảng 60% người dùng hoạt động từng tạo hoặc cài ít nhất một plugin. Các số này cho thấy quy mô sử dụng và nguồn cung đang được chú ý, nhưng chưa trả lời plugin làm được gì trong một quy trình cụ thể, đọc được dữ liệu nào và ai chịu trách nhiệm khi kết quả sai.

1,54 triệu người dùng Harness được tính như thế nào?

1,54 triệu là số người dùng hoạt động mỗi ngày của Harness qua API chính thức của DeepSeek, tính đến ngày 4 tháng 11 năm 2026. Đây không phải số người dùng của mọi bản cài, mọi nhà cung cấp mô hình hay mọi cách chạy Harness.

TechNode đăng thông tin ngày 6 tháng 11 và ghi rõ phạm vi API trong số liệu. Khi trích dẫn, cần giữ cả ngày đo lẫn đường vào dịch vụ. Nếu một nhóm dùng Harness qua nhà cung cấp khác, bản cài riêng hoặc một phương án triển khai không nằm trong API nói trên, bài báo không cho biết nhóm đó có được tính hay không.

Số người dùng hằng ngày, số plugin và tỷ lệ người tạo hoặc cài plugin là ba chỉ số khác nhau. Chúng không đo chất lượng câu trả lời, thời gian tiết kiệm, số lỗi, số sự cố bảo mật hay mức độ phù hợp với dữ liệu của một doanh nghiệp. Vì vậy, quy mô sử dụng không thay thế cho phép thử nội bộ.

Chợ chính thức khác gì Custom plugin markets?

Chợ plugin chính thức vẫn là kế hoạch được TechNode đưa tin; tính năng đã có trong tài liệu là Custom plugin markets, một cơ chế thử nghiệm để người dùng tự thêm nguồn. Hai khái niệm này không nên được viết như cùng một cửa hàng do DeepSeek vận hành.

Trang sản phẩm chính thức của DeepSeek giới thiệu Harness ở trạng thái public preview, với plugin được ghép vào tác vụ hằng ngày, công việc lập trình, nghiên cứu và xử lý nền. Trang này cũng trình diễn Creator mode tạo plugin Pomodoro, sau đó plugin được cài qua trình quản lý. Đây là ví dụ thao tác của sản phẩm, không phải kết quả đánh giá độc lập về an toàn hoặc năng suất.

Tài liệu Plugin markets của DeepSeek Harness mô tả một tệp chỉ mục JSON liệt kê tên, biểu tượng, tác giả và phiên bản plugin. Người dùng phải bật bundle thử nghiệm Custom plugin markets, mở thẻ Discover rồi tự nhập URL của tệp chỉ mục. Harness không cung cấp sẵn nguồn chỉ mục.

Tài liệu nói rõ chợ là nội dung của bên thứ ba. Harness kiểm tra định dạng tệp, nhưng không xác minh tên, mô tả, tác giả hoặc tuyên bố nguồn mà chợ đưa ra. Mỗi phiên bản được liệt kê có khả năng trỏ tới package npm hoặc kho Git; màn hình xác nhận hiển thị registry, commit và thư mục trước khi người dùng bắt đầu cài.

Plugin mở rộng được những phần nào của agent?

Plugin nối thêm công cụ, kỹ năng hoặc giao diện vào agent, nhưng phạm vi thật phụ thuộc vào mã plugin, phiên bản tương thích và môi trường chạy. Harness trình diễn các tệp DOCX, XLSX, PDF, Markdown, HTML, TypeScript và Python trong các tác vụ sắp xếp tài liệu, phân tích dữ liệu và sửa mã.

Trong một ví dụ, agent sửa tệp label.ts bằng cách loại khoảng trắng ở đầu và cuối chuỗi, rồi trả về giá trị mặc định khi đầu vào rỗng. Một nhóm phát triển nên dùng dạng tác vụ hẹp này để đo số bước thủ công, thời gian sửa lỗi và tỷ lệ kết quả cần người duyệt.

Khi plugin được nối vào quy trình lặp lại, cần ghi rõ thư mục được đọc, nơi lưu kết quả, quyền ghi hoặc xóa, khả năng chạy lệnh và đường truyền dữ liệu. Một plugin dùng để gom ghi chú hằng tuần không có cùng rủi ro với plugin được phép truy cập kho mã nguồn, khóa API hoặc môi trường sản xuất.

Kiểm tra gì trước khi cài plugin?

URL chỉ mục, nguồn thật, phiên bản tương thích và quyền truy cập phải được kiểm tra trước khi xác nhận cài đặt. Một giao diện tìm kiếm giúp phân phối plugin, không biến mã nguồn bên dưới thành phần mềm đã được thẩm định.

Tài liệu Harness khuyến nghị dùng HTTPS cho chỉ mục từ mạng không thuộc quyền kiểm soát của nhóm. Với HTTP, người khác trên đường truyền có thể thay đổi tệp chỉ mục và thông số cài đặt. HTTPS bảo vệ đường truyền, nhưng không xác nhận người duy trì chợ, nội dung package hay mã trong commit là đáng tin.

Nhóm nên đối chiếu tên package, registry, URL kho Git, commit và thư mục với nguồn do người duy trì công bố. Nếu plugin có script cài đặt, mã chạy sau khi cài hoặc quyền gọi mạng, các phần đó cần được xem riêng. Một phiên bản cố định giúp tái hiện phép thử, nhưng không tự chứng minh package chưa bị thay đổi trước khi đóng gói.

GitHub mô tả kế hoạch tăng an toàn cho chuỗi cung ứng npm sau sự cố Shai-Hulud được thông báo ngày 14 tháng 9 năm 2025. Bài viết nói tới việc tài khoản maintainer bị chiếm và package bị chèn script độc hại. Harness vẫn liệt kê package npm, nên tên package hiển thị trong màn hình xác nhận cần được đối chiếu với phiên bản, người duy trì và nội dung cài đặt.

Quyền truy cập nên được rút xuống mức cần thiết cho một tác vụ. Lần chạy đầu nên dùng workspace cô lập, dữ liệu không nhạy cảm và nhật ký đủ để so sánh đầu vào, lệnh đã chạy, tệp bị sửa và đầu ra. Nếu plugin chạm vào dữ liệu khách hàng, khóa bí mật hoặc môi trường sản xuất, người phụ trách dữ liệu và người duyệt kỹ thuật cần được xác định trước.

Tại Việt Nam thì sao

Ở Việt Nam, nhóm phát triển nên bắt đầu bằng câu hỏi plugin sẽ hỗ trợ khâu nào, thay vì xem 1,54 triệu người dùng như bằng chứng để cài ngay. Một nhóm phần mềm nên thử plugin trên tác vụ đọc issue, tạo bản nháp kiểm thử hoặc sửa một hàm nhỏ. Một trường đại học có thể thử trên mã nguồn mẫu và dữ liệu đã loại thông tin nhận diện. Hai tình huống này có yêu cầu về quyền, chi phí và trách nhiệm khác nhau.

Về giá, chưa có bảng giá chính thức từ cơ quan chức năng Việt Nam để so sánh chi phí triển khai DeepSeek Harness và plugin. Báo giá của nhà cung cấp cần được hỏi theo từng khoản: phí mô hình hoặc API, giới hạn lượt gọi, dung lượng tệp, thời gian lưu, phí lưu trữ, phí kết nối kho mã, hỗ trợ kỹ thuật và chi phí nhân sự kiểm tra. Nếu plugin chạy qua npm hoặc kho Git riêng, cần hỏi thêm phí registry, máy chủ chỉ mục, sao lưu và giám sát. Một con số theo tháng không đủ nếu không nêu hạn mức và cách tính phần vượt.

Đơn vị ở Việt Nam cũng nên tách chi phí thử nghiệm khỏi chi phí vận hành. Giai đoạn đầu nên dùng một workspace riêng, một phiên bản plugin cố định và một tập nhiệm vụ nhỏ. Hồ sơ thử nên ghi ngày báo giá, đơn vị tiền tệ, thời hạn hiệu lực, điều kiện thay đổi mô hình và cách dừng dịch vụ. Nếu nhà cung cấp chưa công bố mức giá cho khu vực hoặc chưa trả lời bằng văn bản, điểm chưa rõ đó cần được ghi vào quyết định thử nghiệm, không nên tự ước lượng.

Quy định cần được xem theo loại dữ liệu và loại tổ chức. Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân trên Cổng thông tin điện tử Chính phủ Việt Nam là nguồn cần tra cứu khi hệ thống xử lý dữ liệu cá nhân tại Việt Nam. Nhóm không nên đưa tên người dùng, thông tin liên hệ, hồ sơ nhân sự, mã khách hàng hoặc tệp có thể gắn với một cá nhân vào chợ plugin chỉ vì công cụ đọc được các định dạng đó.

Trước khi gửi dữ liệu ra ngoài, cần lập danh mục dữ liệu, mục đích xử lý, bên được truy cập, thời gian lưu và cách xóa hoặc xuất dữ liệu. Điều khoản của nhà cung cấp nên được hỏi rõ về quyền dùng dữ liệu để cải thiện dịch vụ, nhật ký truy cập, nơi lưu trữ, thông báo sự cố và khả năng tắt hoặc xóa workspace. Đây là các câu hỏi thực tế cho nhóm ở Việt Nam, không thể suy ra từ việc plugin được đánh dấu tương thích.

Quyết định 127/QĐ-TTg về chiến lược quốc gia nghiên cứu, phát triển và ứng dụng trí tuệ nhân tạo đến năm 2030 là tài liệu chính sách để tham khảo khi lập kế hoạch AI tại Việt Nam. Văn bản này không phải giấy phép tự động cho một plugin truy cập mã nguồn, dữ liệu nội bộ hoặc hệ thống sản xuất. Đơn vị công, trường học và doanh nghiệp vẫn cần kiểm tra quy chế mua sắm, an toàn thông tin, hợp đồng và yêu cầu của đơn vị quản lý dữ liệu.

Mức độ sẵn có tại Việt Nam phụ thuộc vào nhà cung cấp, đường truyền, khu vực dịch vụ, nơi lưu dữ liệu, phương thức thanh toán và khả năng hỗ trợ khi phiên bản thay đổi. Khi hỏi nhà cung cấp, nhóm nên yêu cầu câu trả lời bằng văn bản về phiên bản Harness được hỗ trợ, registry được phép dùng, thời gian lưu tệp, quyền truy cập của nhân viên hỗ trợ, nhật ký sự kiện, thời gian khôi phục và cách quay lại quy trình thủ công. Nếu chưa có câu trả lời, plugin chỉ nên ở phạm vi thử nghiệm cô lập.

Một ví dụ phù hợp là dùng kho mã nguồn giả lập, dữ liệu không chứa bí mật và một bài sửa nhỏ có bộ kiểm thử cố định. Người duyệt so sánh diff, lệnh đã chạy và kết quả kiểm thử trước khi cho phép plugin chạm vào kho thật. Với công ty có dữ liệu khách hàng, tập giữ lại nên tách khỏi dữ liệu dùng để sửa prompt hoặc chọn plugin. Với nhóm sinh viên, người hướng dẫn cần giữ quyền tắt workspace và thu hồi khóa nếu plugin chạy sai. Những cách này không chứng minh dịch vụ nào đã đáp ứng mọi yêu cầu ở Việt Nam; chúng tạo ra bằng chứng để quyết định có mở rộng hay không.

Đánh giá plugin trước khi đưa vào quy trình

Plugin nên được đánh giá bằng nhiệm vụ lặp lại, đầu ra dễ đối chiếu và quyền truy cập được giới hạn. Nhóm nên đi theo sáu bước:

1. Chọn nhiệm vụ: ghi rõ đầu vào, đầu ra, thư mục được phép đọc và điều kiện dừng.
2. Đối chiếu nguồn: kiểm tra HTTPS, package hoặc kho Git, registry, commit và phiên bản.
3. Thu hẹp quyền: dùng workspace cô lập, dữ liệu không nhạy cảm và quyền tối thiểu.
4. Đặt nhóm đối chứng: so sánh quy trình thủ công với plugin trên cùng đầu vào, ghi thời gian, lỗi và phần sửa bằng tay.
5. Ghi đường lui: xác định người tắt plugin, cách thu hồi khóa, cách xóa cài đặt và cách tiếp tục thủ công.
6. Chỉ mở rộng khi lặp lại được: kết quả, quyền, phiên bản và chi phí phải được ghi đủ để người khác kiểm tra.

Chợ plugin chính thức của DeepSeek vẫn đang ở giai đoạn kế hoạch theo nguồn được dẫn. Custom plugin markets trong tài liệu là một cơ chế thử nghiệm do người dùng tự thêm chỉ mục, không phải dấu chứng nhận an toàn. Số 1,54 triệu người dùng giúp mô tả quy mô của một đường vào API, còn quyết định triển khai phải dựa trên phép thử riêng, giới hạn dữ liệu và người chịu trách nhiệm.

Câu hỏi thường gặp

Chợ plugin chính thức của DeepSeek đã mở chưa?
TechNode đưa tin nhóm đang lên kế hoạch xây dựng chợ chính thức và chưa nêu ngày mở. Tài liệu hiện mô tả Custom plugin markets là tính năng thử nghiệm.

1,54 triệu người dùng có nghĩa bao nhiêu người đang dùng plugin?
Không. Đây là số người dùng Harness hoạt động mỗi ngày qua API chính thức của DeepSeek tại ngày được nêu. Số người dùng plugin là chỉ số khác và không được suy ra từ con số đó.

Plugin hiển thị tương thích thì đã an toàn chưa?
Chưa. Tương thích và kiểm tra định dạng chỉ xử lý một phần điều kiện cài đặt. Nguồn, mã, phiên bản, quyền truy cập và đường truyền dữ liệu vẫn phải được kiểm tra.

Nhóm ở Việt Nam nên thử từ đâu?
Chọn một tác vụ nhỏ, dùng dữ liệu không nhạy cảm, workspace cô lập và người duyệt. Ghi lại chi phí, phiên bản, lỗi, quyền đã dùng và cách quay lại quy trình thủ công trước khi mở rộng.