Plugins können Werkzeugaufrufe vor der Ausführung per Hook verändern. Seit Version 2026.10.5 wird ein Aufruf mit geänderten Parametern blockiert, wenn zuvor eine vertrauenswürdige Freigabe inline abgeschlossen wurde, es sei denn, der ändernde Hook fordert für die endgültigen Argumente eine eigene Freigabe an.
Wofür
Für Teams, die OpenClaw mit eigenen Plugins betreiben, die Argumente normalisieren, Pfade umschreiben oder Werte ersetzen, und zugleich Freigaben für riskante Aufrufe verlangen. Vor dem Update lohnt die Suche nach solchen Hooks; die Migration beschreibt die Dokumentation unter docs/plugins/hooks/tool-policy.md. Eigener Betrieb und Modellkosten bleiben nötig.
Unsere Einordnung
Eine Freigabe ist nur etwas wert, wenn genau das läuft, was genehmigt wurde. Laut Release Notes konnten gewöhnliche Hooks die Argumente nach der Zustimmung noch umschreiben; für den beschriebenen Inline-Fall braucht die Ersetzung jetzt eine zweite Entscheidung, und die Blockade nennt ihren Grund im Fehlertext. Für Nachweise ist das brauchbar: Jede Freigabe bezieht sich auf einen festen Parametersatz.
Grenze der Prüfung
Release Notes, die Dokumentation am Tag und ihr Unterschied zur Vorversion 2026.10.4 sowie die MIT Lizenzdatei geprüft; keine Installation, kein eigenes Plugin und kein Test der Blockade. Laut Dokumentation bleiben die engeren Regeln nativer Codex Relays unverändert. Die Version bringt viele weitere Änderungen, die hier nicht bewertet sind. Veröffentlicht am 2026-10-18 um 23:47 Uhr Berliner Zeit. Mathias Heinke
MIT (Lizenzdatei am Tag v2026.10.5 gelesen) · Geprüft am
Die Vorabversion vom 2026-10-18 verlangt bei externen Modellproxy-Anfragen einen Archestra-Zugangsnachweis. Ein allein mitgesendeter Anbieterschlüssel wird im neuen Standard mit HTTP 401 zurückgewiesen.
Wofür
Für Teams, die Modellzugriffe über Archestra bündeln und Anfragen einer Anwendung oder Person zuordnen wollen. Vor einem Upgrade müssen bestehende Clients einen unterstützten Plattformzugang mitsenden; ein virtueller Durchleitungsschlüssel ersetzt dabei keinen Modellzugang. Eigener Betrieb und Modellkosten bleiben nötig.
Unsere Einordnung
Die Änderung betrifft auch vorgeschaltete Zugänge zu lokalen Modellservern. Wichtig ist die dokumentierte Ausnahme: Administratoren können Anfragen ohne Plattformnachweis wieder erlauben. Bei einem schlüssellosen Ollama- oder vLLM-Server kann dann jeder zugreifen, der den Proxy erreicht; personenbezogene Limits und Zuordnung entfallen. Diese Einstellung gehört für mich in die Übergabeprüfung.
Grenze der Prüfung
Release Notes, taggebundene Authentifizierungsdokumentation, Änderungsdiff und Lizenzaufteilung geprüft; keine Installation und kein eigener Zugriffstest. Veröffentlicht am 2026-10-18 um 14:52 Uhr Berliner Zeit, ausdrücklich Release Candidate, keine Empfehlung zum sofortigen Produktivupgrade. Die begleitenden Regelmigrationen brauchen einen eigenen Upgrade- und Rückwegcheck. Mathias Heinke
Standardcode AGPL-3.0-only; markierte Enterprise-Dateien und -Bereiche unter eigener proprietärer Lizenz. Kein pauschal freies Gesamtpaket. · Geprüft am
A2UI beschreibt Agentenoberflächen als JSON, das die eigene Anwendung mit ihren Komponenten darstellt. Die Python-Bibliothek a2ui-core 0.4.0 kann Komponenten, Eigenschaftsschemata und Funktionen aus anderen übergebenen Katalogen referenzieren.
Wofür
Für Entwickler, die gemeinsame UI-Bausteine über mehrere Kataloge pflegen und Agentenantworten dagegen prüfen möchten. Benötigt Python ab 3.10, eine passende Clientdarstellung und einen Agenten; Modellzugang und dessen Kosten sind separat.
Unsere Einordnung
Interessant ist die Wiederverwendung ohne Änderung am gemeinsamen Katalog: Die Verknüpfung arbeitet mit Kopien. Beim Update muss vorhandener Code aber zwischen der geschriebenen Schemadefinition und ihrer aufgelösten Fassung unterscheiden. Catalog.from_json löst Referenzen nicht mehr direkt in den einzelnen Definitionen auf; dafür gibt es resolved_component_schema und die entsprechenden Funktions- und Themezugriffe.
Grenze der Prüfung
Release vom 2026-10-17, README, Apache-Lizenz, Paketvoraussetzungen und zugehörigen Quellcode gelesen; nichts installiert oder ausgeführt. 0.4.0 bezeichnet das Python-Paket, nicht die A2UI-Protokollversion. Weitere inkompatible API-Änderungen stehen in den Release Notes. Die Prüfung einer UI-Beschreibung ersetzt keine Berechtigungsprüfung für ausgelöste Aktionen in der eigenen Anwendung. Mathias Heinke
Apache License 2.0 für den geprüften Projektcode; Modellzugang separat. · Geprüft am
OpenSpec strukturiert Änderungen für Coding-Agenten mit Anforderungen, Entwurf und Aufgaben. Seit Version 1.14.3 kann eine spec.md auf eine andere Datei im selben Projekt verlinken; Auflisten, Anzeigen, Prüfen und Archivieren unterstützen diesen Dateilink.
Wofür
Für Entwicklungsteams, deren verbindliche Anforderungen bereits neben der Produktdokumentation liegen. Ein symbolischer Dateilink lässt OpenSpec mit derselben Datei arbeiten, statt eine zweite Fassung zu pflegen. Die lokale CLI benötigt Node.js ab 20.19; der verwendete Coding-Agent und dessen Modellzugang haben eigene Voraussetzungen und Kosten.
Unsere Einordnung
Die gemeinsame Datei ist der interessante Teil: Eine geänderte Anforderung muss dadurch nicht an zwei Stellen nachgezogen werden. Für die unterstützten spec.md-Dateilinks prüft die CLI das aufgelöste Ziel gegen die Projektgrenze. Bei durch Dateimuster bestimmten neuen Artefakten verlangen die Agentenanweisungen zusätzlich eine Pfadprüfung vor dem Schreiben.
Grenze der Prüfung
Release vom 2026-10-17, README, MIT-Lizenz und die zugehörigen Pfadprüfungen und Agentenvorlagen gelesen; nichts installiert oder ausgeführt. Eine Anweisung an den Agenten ist keine technische Schreibsperre. Die Aussagen zu Dateilinks gelten nicht pauschal für alle Verzeichnislinks oder Speicherorte; daraus folgt keine allgemeine Sandbox-Garantie. Mathias Heinke
DeepSeek hat Flash am 2026-10-17 aktualisiert und die Gewichte veröffentlicht. In der API liefert der bisherige Name deepseek-flash nun die neue Version; Aufruf und Tokenpreise bleiben laut Changelog unverändert.
Wofür
Für Teams, die DeepSeek in Coding-Agenten einsetzen und Ergebnisse nach einem Modellupdate vergleichen wollen. Der Eigenbetrieb benötigt eine eigene Inferenzumgebung; die Referenzanleitung zeigt eine Aufteilung auf acht Prozesse.
Unsere Einordnung
Den bisherigen Modellnamen können Sie weiterverwenden. Für einen späteren Vergleich würde ich zusätzlich das Datum des Laufs, die angekündigte Modellversion und die Version der Agentensoftware festhalten. DeepSeek empfiehlt für dieses Update Harness 0.2.1-rc.1 oder neuer.
Grenze der Prüfung
Modellkarte, Lizenz, Inferenzanleitung und API-Changelog geprüft, keinen Modelllauf ausgeführt. Die besseren Leistungswerte sowie kürzere Laufzeiten und Antworten sind Herstellerangaben. Terminal-Bench und DeepSWE nutzen unterschiedliche Agentenumgebungen. Keine eigene Kosten- oder Hardwaremessung. Mathias Heinke
MIT für Repository und Modellgewichte; die gehostete API ist ein gesonderter Dienst. · Geprüft am
Reflection stellt seit 2026-10-16 die Gewichte seines Coding- und Agentenmodells Beam bereit. Die Modellkarte nennt 501 Milliarden Gesamtparameter, davon rund 23 Milliarden pro Schritt aktiv, und ein Kontextfenster von einer Million Tokens.
Wofür
Für Entwicklungsteams, die einen selbst betriebenen Modellendpunkt mit bestehenden Coding-Agenten vergleichen möchten. BF16-, FP8- und NVFP4-Gewichte sind verfügbar; der Betrieb auf eigener Infrastruktur ist dadurch nicht kostenlos.
Unsere Einordnung
Die Apache-Lizenz erleichtert einen eigenen Vergleich ohne die Umsatzgrenze anderer neuer Modelllizenzen. Dabei zählt der vollständige Aufbau aus Modell, Agentenwerkzeugen und Infrastruktur. Weniger aktive Parameter bedeuten nicht, dass nur dieser Teil des Modells gespeichert werden muss.
Grenze der Prüfung
Veröffentlichte Modellgewichte samt Lizenz und Mirror-Dokumentation quellengeprüft; nichts installiert oder ausgeführt. Aussagen über weniger Denktokens stammen von Reflection, nicht aus einem eigenen Vergleich. Das Modell ist vorwiegend für Englisch entwickelt; die deutsche Arbeitsqualität ist hier ungeprüft.
Apache License 2.0 für die geprüften Modellgewichte. Die Modellkarte erklärt ausdrücklich, dass sie die Lizenz nicht einschränkt. Gehostete Dienste haben separate Bedingungen und Kosten. · Geprüft am
Anthropic gibt sechs METR-Mitarbeitern laut Mitteilung vom 2026-10-15 weitreichenden internen Zugang. METR soll Risikobewertungen ohne Veröffentlichungsveto des Herstellers publizieren können.
Wofür
Für Teams, die Sicherheitsberichte von Modellanbietern bewerten und wissen wollen, welche Informationen externe Prüfer tatsächlich sehen dürfen.
Unsere Einordnung
Zugang und Veröffentlichungsrecht werden getrennt beschrieben. In der ersten Prüferstufe braucht eine Veröffentlichung Anthropics Zustimmung; für METR gilt das nicht. Diese Unterscheidung gehört neben jedes Urteil über die Unabhängigkeit.
Grenze der Prüfung
Bislang eine Anbieterankündigung, kein neuer METR-Prüfbericht. Anthropic darf eng definierte vertrauliche Informationen schwärzen lassen; METR darf diese Schwärzungen öffentlich bewerten. Keine eigene Prüfung der Vereinbarungen.
Öffentliche Unternehmensmitteilung; keine offene Lizenz ausgewiesen. · Geprüft am
Meta veröffentlicht am 2026-10-15 Muse Spark Open mit nach eigenen Angaben 816 Milliarden Parametern, davon 42 Milliarden aktiv, und einer Million Tokens Kontext.
Wofür
Für Entwicklungsteams, die ein großes multimodales Modell selbst betreiben wollen. Metas gezeigter Desktop-Aufbau nutzt zwei M5-Ultra-Mac-Studios mit jeweils bis zu 512 GB Speicher.
Unsere Einordnung
Die Muse Model License erlaubt viele kommerzielle Nutzungen, verlangt aber eine sichtbare Produktkennzeichnung und die Einhaltung einer Nutzungsrichtlinie. Offene Gewichte sind hier kein MIT- oder Apache-lizenziertes Modell.
Grenze der Prüfung
Der Modellzugang auf Hugging Face erfordert zum Prüfzeitpunkt manuelle Freigabe. Für Modellanbieter mit über 20 Millionen US-Dollar Gesamtumsatz samt verbundenen Unternehmen in zwölf Monaten gelten besondere Vertragsbedingungen. Keine Gewichte geladen, keine Leistung oder Hardwareanforderungen selbst gemessen.
Muse Model License, Fassung Muse Spark Open vom 2026-10-15; eigene Lizenz mit Nutzungsbedingungen. · Geprüft am
Version 0.24.0 vom 2026-10-15 verschiebt die automatische Responses-Kontextverdichtung, solange Werkzeugaufrufe oder gehostete MCP-Freigaben noch auf ihre Antwort warten.
Wofür
Für Entwickler, deren Agenten zur menschlichen Freigabe anhalten und danach weiterlaufen. Der behobene Fehler konnte vor dieser Unterbrechung eine HTTP-400-Antwort auslösen.
Unsere Einordnung
Der Fix setzt an einem konkreten Übergang an: Offene Aufrufe bleiben für Zustimmung oder Ablehnung erhalten, statt als unvollständige Gruppe an die Verdichtung zu gehen. Das ist ein nützlicher Fall für eigene Wiederaufnahmeprüfungen.
Grenze der Prüfung
Release, MIT-Lizenz und Änderung #5363 geprüft; SDK nicht installiert. Manuelle Verdichtung und öffentliche APIs bleiben laut Änderungsbeschreibung unverändert. Daraus folgt keine Garantie für sämtliche Speicher- oder Freigabepfade. Modellaufrufe verursachen weiterhin Kosten.
MIT (SDK); Modellzugang und Inferenz separat. · Geprüft am
GitHub Agentic Workflows übersetzt Aufgaben aus Markdown in GitHub Actions. Release v0.91.12 vom 2026-10-14 verlangt für schreibende MCP-Werkzeuge die Startoption --allow-write-tools; Werkzeugargumente können diese Befugnis nicht einschalten.
Wofür
Für Entwicklungsteams, die etwa Issue-Sichtung oder Dokumentationspflege durch Agenten ausführen lassen und die erlaubten Änderungen bereits beim Start begrenzen wollen. Einrichtung in GitHub Actions sowie Modellzugang und mögliche Ausführungskosten bleiben nötig.
Unsere Einordnung
Die konkrete Trennung ist nützlich: Der Betreiber schaltet eine Fähigkeit frei, der Agent nutzt sie innerhalb dieser Grenze. Auch reine Konfigurationsinspektion wurde von der Live-Abfrage fremder MCP-Server getrennt. Das macht den Umfang einer Prüfung klarer.
Grenze der Prüfung
README, MIT-Lizenz, Release und die zusammengeführten Änderungen an MCP und pull_request_target geprüft; kein eigener Workflowlauf. Strict Mode weist bestimmte unsichere pull_request_target-Rollen zurück, ersetzt aber keine Prüfung der eigenen Konfiguration. Das integrierte Modellrouting verlangt in dieser Version GitHub-Copilot-Inferenz; daraus folgt keine Bindung sämtlicher Workflows an Copilot.
Bello ergänzt einen Coding-Agenten um zuschaltbare Aufsicht, Abschlussprüfung und einen Gegenprüfer. Ein lokales ModernBERT-Modell wählt Originaltext aus Werkzeugausgaben aus; die Prüfer erhalten die ungekürzte Ausgabe.
Wofür
Für Entwicklungsteams, die sparsamere Modelle mit separater Prüfung vergleichen wollen. Benötigt Python 3.11 oder neuer und einen unterstützten Modellzugang. Der optionale Logfilter lädt ein 599-MB-Modell.
Unsere Einordnung
Der Projektvergleich meldet 66,3 Prozent weniger Wochenquota bei vier Aufgaben und je zwölf Läufen. Dabei tritt Luna mit Prüfern gegen Sol ohne Bello an. Das zeigt eine mögliche Teamkonfiguration, isoliert aber nicht Bellos Wirkung. Die durchschnittliche Laufzeit steigt von 28:27 auf 1:49:44.
Grenze der Prüfung
README, Lizenz und v0.7.2 vom 2026-10-08 geprüft; nichts installiert. Der separate Logfiltervergleich spart rechnerische API-Kosten bei leicht niedrigeren Scores. Für Codex im Abo braucht der Filter eine separat gepatchte Binärdatei; er ist keine Funktion des unveränderten Codex. Modellzugänge haben eigene Kosten und Grenzen.
MIT (Bello); separates Filtermodell laut README Apache 2.0 · Geprüft am
Agentchat von BerriAI verbindet einen vorhandenen Python-Agenten mit Slack, Teams, Discord, iMessage und WhatsApp. Die Anwendung behält ihren Agenten und nimmt Nachrichten über gemeinsame Schnittstellen entgegen. Geprüft ist main vom 2026-10-12; die Paketdatei nennt die Vorabversion 0.1.0a1. Ein GitHub-Release gibt es noch nicht.
Wofür
Für Entwickler, die denselben Agenten über mehrere Chatdienste erreichbar machen wollen. Senderberechtigungen prüft die eigene Anwendung. iMessage braucht BlueBubbles auf einem angemeldeten Mac und antwortet mit dessen Apple-Konto. WhatsApp nutzt die Business Cloud API, keinen privaten WhatsApp-Zugang. Modell- und Plattformkosten bleiben zusätzlich zu berücksichtigen.
Unsere Einordnung
Die Zustelldokumentation trennt drei Schritte, die im Betrieb leicht durcheinandergeraten. Ein Webhook wird nach Aufnahme der Nachricht bestätigt. Der zugehörige Auftrag liegt dann im laufenden Prozess und kann bei einem Absturz verloren gehen. Für eine Antwort wartet der Adapter auf die Annahme durch den Plattformanbieter; diese Quittung belegt weder Empfang noch Lesen durch einen Menschen. Wer verlässliche Wiederaufnahme braucht, muss dauerhafte Verarbeitung und die Klärung ungewisser Sendungen selbst vorsehen.
Grenze der Prüfung
Bei Discord und BlueBubbles können Ereignisse oberhalb der Kapazitätsgrenze verloren gehen; Wiederverbinden holt sie nicht dauerhaft nach. Nach einem Timeout kann eine Antwort bereits angenommen sein, deshalb ist blindes Wiederholen riskant. Die Projektbeschreibung nennt E-Mail, doch README und vollständiger Adapterbaum enthalten noch keinen E-Mail-Adapter. Gelesen wurden Dokumentation, Lizenz und Dateibaum am 2026-10-13. Keine Installation und kein eigener Zustellversuch. Mathias Heinke
MIT, LICENSE und pyproject.toml am 2026-10-13 gelesen. Geprüfter Commit fb892cb8945af17b2e6dbe7aa1563daeb15cfcad vom 2026-10-12; Paketversion 0.1.0a1. · Geprüft am
Agentbox ist eine offene App von Savannah Feder, die Claude Code und Codex auf dem eigenen Rechner mit dem vorhandenen Abo startet. Jede Aufgabe wird eine Zeile in einer Inbox und bekommt eine eigene Sitzung im Hintergrund. Die Zeile meldet sich erst wieder, wenn der Agent fertig ist oder nicht weiterkommt, mit zwei Zeilen dazu, was er getan hat und was er braucht. Seit 2026-10-10 lässt sich die Inbox auch vom Telefon bedienen, im WLAN, über Tailscale und seit 2026-10-12 über ein Relay auf Cloudflare.
Wofür
Für Entwickler, die mehrere Issues gleichzeitig an Agenten geben und dafür keine zehn Terminals offen halten wollen. Aus einer eingefügten Liste wird je Zeile ein Agent. Geantwortet wird per Taste oder mit einem kurzen Satz, der in dieselbe Sitzung zurückgeht. Nötig sind Node 22 und ein angemeldetes Claude Code oder Codex. Agentbox läuft als Mac-App, unter Linux oder im Browser über npx agentbox-app.
Unsere Einordnung
Zwei Voreinstellungen gefallen mir. Eine gestartete Sitzung darf ab Werk nur die Werkzeuge des eigenen Aufgabenspeichers nutzen, also lesen, Fragen stellen und den Stand eintragen. Code bearbeiten und Befehle ausführen schaltet man in der Konfiguration selbst frei, und laut README erweitert die App das nie von sich aus. Die Reihenfolge gehört dem Menschen. Prioritäten und die Rangfolge der Projekte setzt man selbst. Erklärt ein Agent die eigene Aufgabe für dringend, wird das ignoriert. Dieselbe Reihenfolge entscheidet, wer einen der begrenzten Plätze bekommt. Seit 2026-10-11 startet bei knappem Arbeitsspeicher kein neuer Agent, von Ausnahmen wie dringenden Zeilen abgesehen.
Grenze der Prüfung
Der Telefonzugang ist zwei Tage alt und wurde am 2026-10-11 nachgebessert. Bis dahin war der einfache HTTP-Zugang auch bei gewähltem Tailscale aus jedem Netz erreichbar, in dem der Mac hing, und ein Telefon, das diese Adresse je benutzt hatte, schickte den Schlüssel unverschlüsselt. Beim Relay verschlüsselt laut Commit das Telefon jede Anfrage selbst, der Schlüssel steht nur hinter dem # der QR-Adresse. Belegt ist das mit Tests der Entwicklerin, unabhängig geprüft ist es nicht. Das Relay betreibt man im eigenen Cloudflare-Konto. Das npm-Paket 0.1.12 vom 2026-10-08 enthält den Telefonzugang noch nicht, ein Release auf GitHub gibt es nicht. Was eine Sitzung liest und schreibt, geht wie sonst an Anthropic oder OpenAI. Veröffentlichte Builds zählen zwölf abschaltbare Nutzungsereignisse, ein selbst gebauter Klon sendet nichts. Ich habe README, Lizenz, package.json und die Commits bis 2026-10-12 gelesen und nichts installiert. Mathias Heinke
GPL-3.0-or-later laut README und package.json, LICENSE (GNU GPL Version 3) am 2026-10-12 gelesen. Geprüfter Stand: Commit ba892c2ecf vom 2026-10-12, npm-Paket agentbox-app 0.1.12. · Geprüft am
Plannotator ist ein offenes Werkzeug, mit dem man Pläne und Code-Diffs von Coding-Agenten kommentiert. Seit 2026-10-07 gehört eine Inbox dazu: ein lokales Fenster, in das Agenten Nachrichten, Fragen, Dateien und geführte Reviews legen. Jede Sitzung bekommt einen eigenen Thread, sortiert nach Repository. Fragen erscheinen als Karten mit Antwortoptionen. Kein Agent wartet auf die Inbox. Die Sitzung arbeitet weiter oder beendet ihren Zug, und die Antwort geht später an genau die Sitzung, die gefragt hat.
Wofür
Für Entwickler, die lange Aufgaben an Claude Code, Codex, Pi oder OpenCode abgeben und offene Fragen nicht am Terminal abwarten wollen. Mehrere Threads lassen sich in einem Durchgang beantworten, angehängte Dateien vor der Antwort kommentieren. Codex und andere MCP-Clients binden die Inbox als MCP-Server ein. Wer Tailscale nutzt, öffnet sie ab Version 0.28.10 auch vom Telefon.
Unsere Einordnung
Fragen eines Agenten haben hier einen festen Ort, getrennt nach Projekt und Sitzung, und lassen sich gesammelt beantworten. Bei Claude Code, Pi und OpenCode 2 kommt die Antwort als neuer Zug an, sobald die Sitzung ruht; einen laufenden Zug unterbricht sie nie. Sorgfältig gebaut ist der Fernzugriff. Die Inbox bleibt an 127.0.0.1 gebunden, Tailscale veröffentlicht sie nur im eigenen Tailnet, und hinein kommt nur das Login, dem der Rechner gehört. Ein früherer manueller Behelf hat die Inbox dem ganzen Tailnet geöffnet. Erkennt die Inbox diese Freigabe, weist sie Anfragen darüber ab.
Grenze der Prüfung
Codex und andere reine MCP-Clients weckt die Antwort nicht. Der Agent muss sie mit wait_for_reply oder read_thread selbst abholen, und man muss ihn darum bitten. Braucht der Agent eine Entscheidung, bevor er weitermacht, empfiehlt die Doku selbst das Planreview statt der Inbox. Das Modul für Claude Code läuft nicht in claude -p, im SDK und unter Windows. Wer weitere Tailscale-Logins zulässt, gibt ihnen mehr als Lesezugriff: Ihre Antworten laufen als Züge in Agentensitzungen, die auf dem Rechner Befehle ausführen. Die Inbox kam am 2026-10-07 als Vorschau, die Doku ist gegen Version 0.28.10 geprüft. Ich habe Doku, README und Release Notes am 2026-10-11 gelesen und nichts installiert. Mathias Heinke
MIT oder Apache-2.0 nach Wahl laut README, LICENSE-MIT und LICENSE-APACHE am 2026-10-11 gelesen. Workspaces für Teams ist ein getrenntes gehostetes Angebot. Geprüfter Stand: Release v0.28.12 vom 2026-10-11. · Geprüft am
Ein offener Protokollentwurf, Version 0.1 vom 2026-10-09, regelt, wie ein persönlicher Agent im Auftrag einer Person mit einem Unternehmen arbeitet. Das Unternehmen beschreibt sein Angebot in einer Datei unter /.well-known/poppy.json. Die Person meldet sich per OAuth auf der Seite des Unternehmens an und wählt, ob der Agent ihr Konto nur sehen, auch ändern oder beides darf. Eine Sitzung gilt für APIs, MCP, Webseiten und das Gespräch mit dem Agenten des Unternehmens.
Wofür
Für Unternehmen, die Agentenverkehr heute entweder sperren oder als Person durchlassen, und für Teams, die eigene Agenten an Kundenkonten anderer Firmen anbinden. Für Handlungen mit Geschäftsfolge, etwa Umtausch, Umbuchung oder Kündigung, gibt es die Erweiterung Operations: Das Unternehmen schlägt die Handlung mit festen Bedingungen vor, der Agent holt die Freigabe ein und bestätigt genau diese Fassung.
Unsere Einordnung
Für Nachweise ist Operations der spannende Teil. Jede Fassung der Bedingungen trägt eine Nummer und ist danach eingefroren. Ändert sich die Größe oder der Preis, braucht die neue Fassung eine neue Freigabe, und eine Bestätigung der alten beantwortet das Unternehmen mit terms_changed. Wer nach einem Zeitüberlauf noch einmal bestätigt, löst die Handlung kein zweites Mal aus. Und Text aus einer Nachricht des Unternehmens darf der Agent nie als Zustimmung der Person werten. Am Ende steht ein Datensatz, der sagt, welche Fassung wann und auf welchem Weg freigegeben wurde.
Grenze der Prüfung
Was eine Bestätigung nicht belegt, schreibt der Entwurf selbst hin: dass die Person die Bedingungen wirklich gesehen hat. Das Feld approved_by beruht auf Vertrauen in den Agenten. Wer echten Nachweis braucht, lässt die Person auf der eigenen Website freigeben, und genau diesen Schritt definiert der Entwurf nicht. Stehende Freigaben wie Umtausch unter 20 Dollar sind erlaubt, wenn das Unternehmen sie nicht ausschließt. Zahlungen, Push-Nachrichten und Anhänge sind offen, jeder Teil kann sich noch ändern. Ich habe Spezifikation, Operations und die offenen Punkte am 2026-10-10 gelesen, nichts davon umgesetzt oder ausprobiert. Mathias Heinke
Apache-2.0 für Spezifikation, Dokumentation und Beispiele, Lizenzseite am 2026-10-10 gelesen; Namen, Logo und Seitengestaltung sind ausgenommen. Entwurf 0.1, aktualisiert am 2026-10-09. Kein Software-Repository geprüft. · Geprüft am
AWS hat am 2026-10-07 eine offene Sandbox für KI-Agenten vorgestellt. Sie verbindet die Isolation des Betriebssystems mit Regeln in der Richtliniensprache Dogwood. Shell, Python, ausgehender Netzverkehr und MCP-Aufrufe laufen über einen Prozess außerhalb des Agenten, der jede dieser Operationen prüft und protokolliert. Zugangsdaten setzt ein Gateway erst auf dem Weg nach draußen ein; der Agent sieht nur Platzhalter.
Wofür
Für Teams, die Coding- oder Betriebsagenten ohne Rückfrage arbeiten lassen und trotzdem festlegen wollen, was sie lesen, löschen, aufrufen und senden dürfen. Das Beispiel von AWS ist ein Bereitschaftsagent, der mit befristeten Zugangsdaten Logs liest und höchstens dreimal in zehn Minuten in Slack posten darf. Box ist an kein bestimmtes Agentenprogramm gebunden, läuft derzeit aber nur lokal auf macOS mit Apple Silicon; die Modellkosten folgen der jeweils eingesetzten Route.
Unsere Einordnung
Interessant ist die gemeinsame Ereignishistorie. Eine Regel kann lauten: Nach einem Lesezugriff auf den Kundendatenordner keine ausgehenden HTTP-Anfragen mehr, gleich ob Shell oder Python gelesen hat. Geprüft wird damit die Wirkung eines Befehls und nicht bloß der Werkzeugaufruf, den Freigabelisten im Agentenprozess sehen. Jede Entscheidung landet als OTLP-Datensatz im Protokoll, das lässt sich als Nachweis lesen. Den Preis nennt AWS selbst: Die Interpreter, die die Regeln durchsetzen, laufen außerhalb der Sandbox und vergrößern so die Menge an Code, dem man vertrauen muss.
Grenze der Prüfung
Was in box.toml direkt freigegeben ist, etwa das Projektverzeichnis, begrenzt nur das Betriebssystem. Dafür gibt es keine Regelentscheidung und keinen Protokolleintrag, ebenso wenig für die Dateizugriffe freigegebener Programme. Laut Sicherheitsdoku erreicht eine Leseregel ohne Pfadbedingung auch ~/.ssh und ~/.aws, widersprüchliche Regeln meldet Box beim Laden nicht, und das Protokoll unterscheidet ein cat nicht von einem ls derselben Datei. Developer Preview, Linux ist geplant. Ich habe Ankündigung, README und Sicherheitsdoku am 2026-10-09 gelesen und Box nicht installiert. Mathias Heinke
Apache-2.0, LICENSE am 2026-10-09 gelesen. Geprüfter Commit 331d563e85 vom 2026-10-08; erste Version v0.1.0 vom 2026-10-07. Vorgestellt im AWS Open Source Blog am 2026-10-07. · Geprüft am
Ein offenes Git-basiertes Format organisiert Agentenwissen in Markdown-Dateien mit kurzem MEMORY.md-Index und Querverweisen.
Wofür
Für Entwicklungsteams, die gespeicherte Projektentscheidungen lesen und Änderungen vergleichen wollen. Der veröffentlichte Skill arbeitet auf Aufruf und lokal im getrennten Repository. Modellaufrufe folgen der jeweils verwendeten Agentenroute und können Kosten verursachen.
Unsere Einordnung
Quellen und Hinzufügedatum sind empfohlene Metadaten. Git kann Textänderungen zeigen; eine fachlich richtige oder aktuelle Aussage verlangt weiterhin einen Quellenbeleg. Die am 2026-10-06 angeglichene Spezifikation hält diese Felder weiterhin optional.
Grenze der Prüfung
Der öffentliche Skill installiert weder automatisches Laden noch regelmäßiges Dreaming. Er hält Memory als Kontext getrennt von Anweisungen. Kein eigener Softwareversuch, keine Portabilitäts-/Wirksamkeitsmessung. Mathias Heinke
MIT, tatsächliche LICENSE am 2026-10-07 vollständig gelesen. Geprüfter Commit 8798cb26c817d451a5ed6cba0ad8d9eca8d5ec3e vom 2026-10-06; README und Spezifikation an die Website angeglichen. Öffentlich vorgestellt am 2026-10-05. · Geprüft am
Die PiHarness-Klasse verbindet Pi Durable mit dem Lebenszyklus eines Cloudflare Durable Objects. Der gespeicherte Agentenablauf kann nach einer Unterbrechung weiterlaufen.
Wofür
Für Entwicklungsteams, die lange Assistentenaufträge auf Cloudflare betreiben wollen. Die Pi-Pakete kommen als optionale Abhängigkeiten hinzu. Cloudflare-Betrieb und Modellaufrufe verursachen je nach Nutzung eigene Kosten.
Unsere Einordnung
Die Extensions-Dokumentation legt die Wiederholung pro Werkzeug fest. Replay safe führt den unterbrochenen Aufruf erneut aus; unsafe ist Standard und gibt dem Modell ein interrupted-Ergebnis. Die Pi-Durable-README beschreibt die Speicherung der Aufrufabsicht vor der Ausführung.
Grenze der Prüfung
PiHarness ist Beta, Pi Durable experimentell. Unsafe belegt keine Garantie gegen eine später neu ausgelöste Sendung und klärt keinen unbekannten Providerabschluss. Quellen geprüft, keine Installation oder eigene Absturzprüfung. Mathias Heinke
MIT für cloudflare/agents und earendil-works/pi; beide LICENSEs am 2026-10-05 gelesen. Geprüfte Commits 26798f1b57c45521c55a4f6fcd260467654bab15 und b9ab918c626ad3dd5edb58de037540f9467def88. Integration angekündigt 2026-10-02. · Geprüft am
Der pr-to-video-Skill liest einen GitHub-Pull-Request mit Diff, Commits und Dateien und führt über Storyboard und Sprechertext zu einzelnen HTML-Szenen und einem gerenderten Video.
Wofür
Für Entwicklungsteams, die eine Änderung verständlich erklären wollen. Nutzer, Mitwirkende und ein Social-Publikum erhalten jeweils eine passende Erzählung. Der Ablauf setzt Node.js, gh und HyperFrames voraus; Modell- und Medienleistungen hängen von der gewählten Ausführung ab.
Unsere Einordnung
Vor dem Bau verlangt die Anleitung die Klärung, ob die Änderung vorgeschlagen, zusammengeführt oder veröffentlicht ist. Jede Codeszene braucht einen echten ausgewählten Diffausschnitt. Diese Quellenbindung hilft, eine Produktbehauptung bis zur konkreten Änderung zurückzuverfolgen.
Grenze der Prüfung
Das Fetch-Skript wählt zunächst ein Release anhand seines Datums relativ zum Merge, ohne die Zugehörigkeit des Merge-Commits zum Tag zu prüfen. Alternativ nennt es die Paketversion des Standardzweigs als unveröffentlicht. Die Redaktion hat Quellen geprüft, ohne eigenen Videobau oder Zuverlässigkeitstest; Audio und fremde Medien brauchen eine eigene Rechte- und Kostenprüfung. Mathias Heinke
Apache-2.0; vollständige LICENSE geprüft. Quellstand 7f3464921c7dad4ed66930661147b12225f23440 vom 2026-10-04, letzte geprüfte Skilländerung 2026-09-27. Kein heutiges Skillrelease behauptet. · Geprüft am
Jevgrep sucht Code anhand einer Verhaltensfrage und liefert Dateipfade sowie wörtliche Quellausschnitte mit Zeilenangaben. Der aufrufende Programmieragent übernimmt die Bearbeitung und Prüfung.
Wofür
Für Entwickler, die sich in unbekannten Repositories orientieren und den Aufwand der Suche bis zur abgeschlossenen Aufgabe vergleichen wollen. Voraussetzung sind Node.js ab Version 22, macOS oder Linux und ein Schlüssel für einen unterstützten Anbieter.
Unsere Einordnung
Die Auswertung zu 0.5.0 vom 2026-09-28 nennt acht gelöste Aufgaben von zehn, wie im Vergleichslauf mit 0.4.3. Die Jev-Kosten sinken um rund 59 Prozent, die Gesamtkosten steigen um zwei bis drei Prozent. Nützlich sind die veröffentlichten Einzeldaten und die getrennten Bezugspunkte für ältere Werbezahlen.
Grenze der Prüfung
Die Auswertung umfasst zehn wiederholt untersuchte Python-Aufgaben mit jeweils einem ersten Versuch und behandelt fehlende Verbrauchsangaben mit einer vorsichtigen Obergrenze. Eine allgemeine Ersparnis- oder Geschwindigkeitszusage lässt sich daraus nicht ableiten. Geeignete Quelltexte gehen an den gewählten Anbieter, dessen Gebühren zusätzlich zu beachten sind. Die Redaktion hat Quellen geprüft, ohne das Werkzeug zu installieren oder eigene Aufgabenläufe durchzuführen. Mathias Heinke
MIT; vollständige LICENSE geprüft, Repository-Stand 82ef1fd3 vom 2026-09-29. · Geprüft am
Der ACP-Entwurf führt einzelne MCP-Anfragen über die vorhandene Verbindung zwischen Editor und Agent. Jede Operation trägt ihren eigenen Kontext; Ergebnisse und Fortschrittsmeldungen bleiben ihrer Anfrage zugeordnet.
Wofür
Für Teams, die Werkzeuge direkt aus einem Editor oder einer Vermittlungsschicht anbieten und Berechtigungen, Abbruch sowie parallele Aufrufe prüfen wollen. Als Entwurf für die technische Bewertung geeignet; vor einer Integration Protokoll- und SDK-Version abgleichen.
Unsere Einordnung
Hilfreich ist die Trennung zwischen Werkzeugangebot, logischer Anfrage und Berechtigung des Aufrufers. Der Änderungsverlauf belegt die Umstellung am 2026-09-25. Die am 2026-09-28 gelesene Rust-Bridge-Dokumentation beschreibt noch die ältere Verbindungsform. Der zugehörige Rust-Pull-Request 376 ist noch offen und als Entwurf markiert.
Grenze der Prüfung
Der Vorschlag ist ein Entwurf und gilt ausschließlich für MCP 2026-07-28. Abbruch erfolgt nach bestem Bemühen und macht bereits ausgeführte Änderungen nicht rückgängig. Quellen und Lizenz geprüft, keine Installation oder eigenen Ausführungstests; keine Aussage zur Produktionsreife oder Sicherheit einer Implementierung. Mathias Heinke
Apache-2.0; LICENSE im Repository geprüft, Stand e957b2d vom 2026-09-28. · Geprüft am
Vercels offene Auswertung lässt Programmieragenten 31 Next.js Aufgaben in einer Sandbox lösen, prüft sie mit verborgenen Tests und vergleicht jedes Modell mit und ohne AGENTS.md, die auf die mitgelieferte Dokumentation verweist.
Wofür
Für Teams, die Regeldateien für Agenten pflegen und belegen wollen, welche Aufgaben eine Regel rettet und welche sie verdirbt. Das Verfahren lässt sich auf Aufgaben aus dem eigenen Bestand übertragen.
Unsere Einordnung
Ein erster Blick lohnt in die Exportdatei agent-results.json: Das Feld docsImpact nennt je Modell neu bestandene und neu gescheiterte Aufgaben. Für einen eigenen Nachbau genügen wenige Aufgaben mit verborgenen Tests und je ein Lauf mit und ohne Regeldatei.
Grenze der Prüfung
Wir haben die Quellen geprüft und nichts selbst ausgeführt. Vercel misst den Nutzen der eigenen Dokumentation für das eigene Framework; bestanden heißt einer von vier Versuchen, Kosten sind Listenpreise. Ein eigener Lauf braucht Vercel Sandbox und Modellzugänge, die Kosten verursachen. Stand der Ergebnisse 2026-09-25. Mathias Heinke
onPanda lässt Menschen fehlerhafte Stellen einer Modellausgabe korrigieren und die Generierung dort fortsetzen, während frühere Fassungen in einem verzweigten Verlauf erhalten bleiben.
Wofür
Für Teams, die bei der Prüfung von Agenten ursprüngliche Ausgaben von menschlich verbesserten Ergebnissen unterscheiden wollen; der Modellzugang muss Präfixfortsetzung und Tokenwahrscheinlichkeiten unterstützen.
Unsere Einordnung
Ein erster Versuch sollte einen erfundenen Fehlerfall verwenden und beide Fassungen im Export vergleichen, damit der menschliche Eingriff später nachvollziehbar bleibt.
Grenze der Prüfung
Wir haben die Quellen geprüft und keine eigene Installation oder Sicherheitsprüfung vorgenommen. Die Effizienzstudie umfasst drei Annotatoren und 21 Bildbeschreibungen; sie belegt keinen entsprechenden Zeitgewinn bei Coding-Agenten. Modellaufrufe können je nach verwendetem Zugang zusätzliche Kosten verursachen. Der Forschungsbericht stammt vom 2026-09-21, das Repository besteht seit 2024. Mathias Heinke
Prismor bewertet Werkzeugaufrufe von Agenten anhand konfigurierbarer Regeln und führt lokale Protokolle.
Wofür
Für Teams mit Coding-Agenten, die Meldungen von tatsächlichen Sperren unterscheiden und den passenden Eingriffspunkt prüfen wollen. Die Einbindung hängt vom verwendeten Agenten und seinen unterstützten Hooks ab.
Unsere Einordnung
Die dokumentierte Erklärung der wirksamen Regel hilft bei der Fehlersuche. Ich würde denselben Zugriff auf eine Testdatei mit beobachtender und sperrender Regel vergleichen und den Dateiinhalt danach kontrollieren.
Grenze der Prüfung
Wir haben die Quellen gelesen und keine Installation oder eigene Sicherheitsprüfung vorgenommen. Ereignisse nach der Aktion können diese nicht mehr stoppen; Ausnahmen, Selbstschutz und verwaltete Umgebungen beeinflussen die Wirkung. Das Repository besteht seit 2026-02-20; der heutige Fund belegt keinen neuen Release. Mathias Heinke
Mittelt Wahrscheinlichkeiten über verschiedene Reihenfolgen derselben Auswahloptionen.
Wofür
Für Entwickler, die die Reihenfolgeabhängigkeit typisierter Agentenentscheidungen untersuchen wollen. Benötigt einen TypeSafe API Zugang; zusätzliche Entscheidungen können Kosten verursachen.
Unsere Einordnung
Ich würde vor einem Einsatz bekannte richtige Zuordnungen mit und ohne Mittelung vergleichen und die Fehlentscheidungen einzeln ansehen.
Grenze der Prüfung
Projekt seit 2026-09-22. Keine eigene Ausführung; die mathematische Aussage zu konvexen Verlustmaßen garantiert keine richtige Auswahl oder allgemeine Kalibrierung. Mathias Heinke
Ein Reproduktionspaket für Benchmarks mit typisierten Modellentscheidungen und festgelegter Auswertung.
Wofür
Für Entwickler, die einen Modellvergleich anhand derselben Aufgaben wiederholen und dessen Auswahl nachvollziehen möchten. Der Umfang des Laufs bestimmt Rechenzeit und Hardwarebedarf; Cloud Jobs und API Aufrufe können Kosten auslösen.
Unsere Einordnung
Manifest und Ausschlüsse machen den Vergleich prüfbar. Für einen Coding-Agenten würde ich die Ergebnisse der relevanten Werkzeugaufgaben zusätzlich zum Gesamtindex lesen.
Grenze der Prüfung
Das Repository stammt vom 2026-09-22; ich habe README und Lizenzhinweise gelesen, aber keinen Benchmark ausgeführt. Die veröffentlichte Zusammenstellung belegt keine Zuverlässigkeit im eigenen Ablauf; Datensätze und Modelle haben eigene Nutzungsbedingungen. Mathias Heinke
MIT für den Code; die Datensätze behalten ihre eigenen Bedingungen, darunter laut Quellenverzeichnis CC BY-NC 4.0. · Geprüft am
Trainiert kleine Klassifikatoren aus gespeicherten Beispielen und Antworten für lokale Vorhersagen im Browser oder unter Node.js.
Wofür
Für Entwickler, die eine wiederkehrende Zuordnung im Agenten anhand gelabelter Beispiele abbilden wollen. Node.js 22 oder neuer ist erforderlich; MiniLM lädt beim Training einen Encoder herunter, sofern kein lokaler angegeben ist.
Unsere Einordnung
Die Trennung zwischen Vorhersage und Annahmeentscheidung ist für den Einbau entscheidend: Die Anwendung muss eine unsichere Zuordnung selbst abfangen.
Grenze der Prüfung
Dokumentation und MIT Lizenz geprüft, keinen Klassifikator trainiert. Der optionale Teacher-Modus überträgt Eingaben an einen externen Dienst und benötigt einen Gateway-Schlüssel. MiniLM ist für kurze englische Texte vorgesehen; deutsche Fälle und konkrete Modellkosten wurden hier nicht geprüft. Mathias Heinke
MIT für Jimothy; verwendete Encoder und Trainingsdaten gesondert prüfen. · Geprüft am