前两天，一个问题把我问住了。
有人问我：DeepSeek 说「一切皆插件」，一切核心都可以替换——模型可换、循环可换、连会话日志都是插件。那么，什么东西是不可替换的？ 是不是只有人和人的协作？再往深一层，是不是「信任」不可替换？
我盯着这个问题想了很久，因为它恰好戳中了我这两天写 一切皆插件：DeepSeek Harness 真正硬核的是三个细节 时一直绕不开的东西。
一切皆插件——注册即副作用，卸载即回滚。整个系统的设计哲学只有一句话：没有什么是不能拿掉的。
但真的什么都可以拿掉吗？
答案是否定的。有一样东西，不管架构怎么解耦、日志怎么追加、插件怎么热插拔，它既不能被替换，也不能被快速恢复。
那就是信任。
一、可替换靠什么成立
先说清楚 DeepSeek 为什么敢把一切都做成插件。
不是胆大。是因为它解决了可替换的代价。
在 三个细节 里我写过：dsh 的 Session 是一份仅追加的事件日志。模型看见的一切——提示词、思维链、工具调用、结果——全部写进同一份日志。换掉模型适配器，日志不断；换掉 Agent Loop，事件流继续；恢复一个会话，系统知道当时到底给模型看了什么。
这就是可替换的前提条件：一切都有日志，一切可恢复。
用公式说：
可替换 = 能力 + 可恢复的历史
能力是快照——现在强就行，随时可以换。历史是日志——append-only，永远在。两者都不需要「时间」这个变量。换一个模型不需要等，恢复一段历史不需要重演。
所以 DeepSeek 的架构之所以成立，是因为它把所有状态都变成了 不需要时间就能重建的东西。
二、信任恰好是反过来的
但有一种状态，既不是快照，也不能从日志恢复。它需要时间，而且需要 共同经历的时间。
我把它叫作信任。
信任不是「我知道你能做什么」（那是能力评估，可以导入）。信任是「我知道在我不看着的时候，你会怎么做」。后者的信息不在任何一份文档、日志或 eval 记录里——它在 两个人（或人和 Agent）共同经历过的每一次托付和兑现里。
你没法给一个新同事「导入」三年共事。你也没法给一个新 Agent「导入」团队的信任。只能一天一天长。
这就是 数字员工的活人感，不是设计出来的，是长出来的 那篇文章的底层机制：长得出来的东西，都不可替换。
三、一组对称
把 Agent 侧和组织侧放在一起看，对称结构非常清晰：
| Agent 侧（Harness 的答案） | 组织侧（人的答案） | |
|---|---|---|
| 状态载体 | 仅追加会话日志 | 信任关系 |
| 解决什么 | 恢复、分叉、回放、审计 | 授权、托付、兜底、交接 |
| 能否快速重建 | 能——日志就是历史本身 | 不能——只能共同经历 |
| 写入方式 | 每次工具调用自动写入 | 每次反馈、每次托付、每次兜底 |
左边那列，DeepSeek 已经用工程解决了。右边那列，还没有人解决——甚至还没有人把它当成一个工程问题来看。
但如果你仔细看，右边那列的「写入方式」其实每天都在发生：
- 一个人在钉钉上纠正 Agent 的一次输出——这是一笔写入
- 一个人批准了 Agent 的一个方案——这是一笔写入
- 一个人把一件事托付给 Agent，Agent 完成了，没有翻车——这是一笔写入
- 一个人给 Agent 兜了底——这也是一笔写入，只不过是负面的
反馈是信任的写入操作。 每一次人对 Agent 的反馈，都是在往这个 Agent 的「组织信任账户」里追加一条 append-only 的记录。写得越多，Agent 越从「一个工具」变成「我们的人」。
人 ──纠正──┐
人 ──批准──┤──→ Agent 的组织信任账户 ──→「我们的人」
人 ──托付──┤ （append-only，
人 ──兜底──┘ 没有快捷键）
# generated by hugo AI
这正是 数字员工背后的 Agent，是五层基础设施的叠加 里说的：五层里四层只能由组织提供。现在可以说得更精确了——组织提供的那四层，本质上是信任的基础设施。
四、最强反方：信任不能冷启动吗？
写到这里必须预判一个质疑：「信任也可以冷启动啊。新 Agent 跑出一串漂亮的 eval 记录、有审计轨迹、有试用期考核——信任不就导入了吗？」
对，但只说对了一半。
信任的冷启动可以导入，信任的深度不能导入。
这跟人一模一样。简历能让你入职，不能让你被托付。试用期能证明你「不会搞砸」，不能证明你「在没人看着的时候也不会搞砸」。前者是能力验证，后者是信任积累。区别在于：能力验证可以加速，信任积累不能。
所以准确的说法不是「信任不可建立」，而是：
信任没有快车道，只有积累。
这恰好和可替换性形成对比：能力可以一夜替换（换个 Provider），历史可以瞬间恢复（读日志），但信任只能一天一天长。它是整个系统里唯一需要真实时间的状态。
五、平台之争的下半场
如果上面的推理成立，那结论就很清楚了：
当 Harness 把能力层全部插件化、商品化——模型可换、循环可换、工具可换——价值必然向不可替换的那一层迁移。而那一层恰好是组织的关系层：
- 人和人的信任图谱：审批链、汇报线、谁兜过谁的底、谁批准过谁
- 人对 Agent 的反馈流：纠正、批准、托付、兜底的完整记录
这两样东西有一个共同特征：它们天然发生在协作平台上，而不是发生在 Agent 运行时里。
DeepSeek Harness 可以记录 Agent 做了什么（Trajectory 日志），但它记录不了「这个人为什么愿意把这件事交给这个 Agent」——那个决定发生在组织关系里，发生在审批流里，发生在一次次「我信你」的积累里。
所以：
能力可以一切皆插件，信任只能一切皆积累。 平台之争的上半场拼能力生态，下半场拼谁握着组织的信任账本。
这也是为什么我在 从货架到 Agent：平台争夺的不再是人 里说平台争夺的不再是人——更准确地说，上半场争夺的是人的注意力，下半场争夺的是组织的信任。注意力可以被算法抢走，信任不能——因为信任是长出来的，不是推过来的。
写在最后
回到开头那个问题：真的什么都可以拿掉吗？
DeepSeek 用 200 多个包回答了「能拿掉什么」：模型、循环、日志、UI，一切。
但「一切皆插件」这句话真正的力量，不在于它说出了什么可以替换，而在于它划出了那条线——什么不可以替换。
不可以替换的，是信任。是人和 Agent 之间、人和人之间，那些一天一天长出来的、append-only 的、没有快捷键的积累。
一切皆插件的时代，信任是唯一的常量。你的组织里，人和 Agent 之间的信任账户，开始记了吗？欢迎留言聊聊。