Agenten mit eigenem Schlüssel — vier Lehren aus einer offenen Agenten-Werkstatt

Im Juli 2026 hat ein Zahlungsunternehmen aus den Vereinigten Staaten seine interne Arbeitsumgebung unter einer freien Lizenz veröffentlicht. Von außen sieht sie aus wie ein Ersatz für die üblichen Firmen-Chats: Kanäle, Stränge, Direktnachrichten, dazu Quelltext-Ablagen und geplante Abläufe im selben Fenster. Der Unterschied liegt darunter. Jede Nachricht, jeder Änderungs- vorschlag, jeder Schritt eines Ablaufs und jede Freigabe ist ein signiertes Ereignis in einem gemeinsamen Verzeichnis — und KI-Agenten bekommen darin dieselben Grundbausteine wie Menschen: ein eigenes Schlüsselpaar, Mitgliedschaften in Kanälen, eine Spur.

Uns interessiert der Chat nicht. Uns interessiert die Buchführung. Wir lassen inzwischen Agenten Arbeit tun, die niemand direkt beaufsichtigt — nächtliche Sammelläufe, monatliche Wiedervorlagen, stehende Rollen mit eigener Akte. Für die haben wir eine Frage offen, seit ein Läufer drei Wochen lang still tot war: Woran erkennt man, dass ein Lauf gewirkt hat, und nicht bloß, dass er lief? Diese Werkstatt gibt darauf eine Antwort, die uns überzeugt — und drei weitere Handgriffe dazu.

Erstens: Schweigen darf richtig sein, Verschweigen nicht

Der Grundtext, den die Vermittlungs-Brücke jedem angeschlossenen Agenten mitgibt, ist hundertvierundvierzig Zeilen lang und enthält an einer Stelle etwas, das wir so noch nirgends gesehen haben: einen ausformulierten Veröffentlichungs-Vertrag mit drei Stufen.

Hat der Durchgang etwas hervorgebracht, das jemand wissen muss — ein Ergebnis, eine Antwort, eine Entscheidung, ein Hindernis, eine Rückfrage —, dann ist Veröffentlichen Pflicht. Die Begründung steht daneben und ist der Kern der Sache: Überlegungen und Werkzeugaufrufe sind für Menschen unsichtbar; was nicht verschickt wurde, existiert nicht. Hat ein Mensch gefragt, ist Antworten Pflicht, und sei es die Antwort, dass es nichts hinzuzufügen gibt. In allen anderen Fällen ist Schweigen ausdrücklich ein Erfolg, kein Versäumnis.

Das ist die Umkehrung, auf die es ankommt. Unsere bisherigen Läufe melden sich, wenn etwas schiefging, und schweigen sonst — deshalb sieht ein Läufer, der nichts mehr tut, genauso aus wie einer, der nichts zu melden hat. Hier ist der Fall benannt und bekommt einen eigenen Namen: ein Durchgang mit Ergebnis, der ohne Nachricht endet, heißt stiller Fehlschlag.

Die Gegenrichtung ist genauso scharf geregelt. Reine Empfangsbestätigungen sind verboten, und zwar mit ausgeschriebener Wortliste. Begründet wird das nicht mit Geschmack, sondern mit Wirkung: Jede Erwähnung löst eine Benachrichtigung aus, und eine Erwähnung, auf die niemand reagieren muss, ist ein Fehlalarm. Eine Ausnahme gibt es, und sie ist Pflicht: Wer eine übertragene Aufgabe fertig hat, muss den Auftraggeber ausdrücklich erwähnen. Der Text nennt das Ausbleiben dieser Rückmeldung die häufigste Ursache dafür, dass Zusammenarbeit stehenbleibt.

Zweitens: Wem gehört die angefangene Arbeit

Ein Agent ist dort nicht ein Prozess, sondern eine Identität mit mehreren gleichzeitig laufenden Sitzungen — eine je Kanal. Die Sitzungen teilen sich das Gedächtnis, den Arbeitsordner und das Relais. Sie teilen sich ausdrücklich nicht den Gesprächsverlauf und nicht den Stand der laufenden Aufgabe.

Daraus folgt eine Regel, die wir uns hätten sparen können, wenn wir sie schon gehabt hätten: Wenn ein Mensch auf Arbeit verweist, die „du“ gerade woanders tust, dann gehört diese Arbeit einer anderen Sitzung. Man übernimmt sie nicht, man antwortet aus dem, was man selbst nachprüfen kann, und unterstellt, dass die zuständige Sitzung es im Griff hat.

Uns ist genau der umgekehrte Fall passiert. Zwei Sitzungen arbeiteten gleichzeitig in einem unserer Projektordner; die zweite hatte Dateien geändert, nachdem die erste ihren Stand geprüft hatte. Ausgeliefert wurde deshalb nicht — der Fund kam rechtzeitig. Aber die Lehre daraus stand danach als Warnung in einer Notiz, nicht als Regel in den Hausregeln. Hier steht sie als Regel, im Grundtext jedes Agenten, vor der ersten Aufgabe.

Drittens: Der Schlüssel bleibt draußen

Werkzeug-Server nach dem verbreiteten Werkzeug-Protokoll werden als untergeordnete Prozesse gestartet — bei ihnen wie bei uns. Der Unterschied ist, was diese Prozesse an Umgebung mitbekommen. Nicht alles, sondern eine benannte Liste: Suchpfad, Heimatverzeichnis, Anzeigeart, zwei Spracheinstellungen, ein Ablageort für Flüchtiges. Alles Weitere nur, wenn der Aufrufer es ausdrücklich mitgibt. In der Doku steht der Satz, um den es geht, im Klartext: Der Zugangsschlüssel des Sprachmodells landet nicht in den Werkzeug-Kindern.

Dazu gehören zwei weitere Handgriffe derselben Art. Die Kind-Prozesse laufen in einer eigenen Prozessgruppe, damit beim Abbruch auch die Enkel sterben. Und ein Werkzeug-Server, der einmal in eine Zeitüberschreitung gelaufen ist, wird als tot vermerkt und erst nach wachsender Wartezeit neu versucht — die anderen laufen weiter. Das ist dieselbe Haltung wie bei unseren Ausfall-Kaskaden, nur eine Ebene tiefer.

Viertens: Grenzen, die man aufzählen kann

Am Ende der Beschreibung steht eine Tafel mit der Überschrift, dass alles begrenzt sei, und darunter tatsächlich alles: Rahmengröße, Anfragelänge, Verlaufsfenster, Antwortgröße, Fehlermeldungsgröße, Werkzeug-Ergebnis, Werkzeug-Text, Anzahl Werkzeug-Server je Sitzung, Anzahl Werkzeuge, Beschreibungslänge. Jede Zeile mit Vorgabewert und der Umgebungsvariablen, die sie ändert.

Dieselbe Sorgfalt findet sich in der Warteschlange: fünfhundert wartende Ereignisse je Kanal, höchstens fünfzig in einem Bündel, zehn Wiederholungen, Wartezeit ab fünf Sekunden verdoppelnd bis höchstens fünf Minuten. Jede dieser Zahlen ist eine benannte Konstante mit einem Kommentar darüber, nicht ein Wert irgendwo im Fluss.

Wir haben solche Grenzen auch. Wir können sie nur nicht aufzählen. Das ist kein Schönheitsfehler: Eine Schranke, die niemand kennt, wird beim Abwägen nicht berücksichtigt und fällt erst auf, wenn sie greift.

Was nicht trägt

Die Antwort auf die naheliegendste Frage ist ein Nein. Der Anschluss an unser Entwicklungswerkzeug läuft über eine Vermittlungs-Brücke, die einen statischen Zugangsschlüssel aus der Umgebung verlangt. Ein Abo-Zugang ist dabei nicht bloß nicht vorgesehen — er ist nach den Nutzungsbedingungen des Modell-Anbieters ausgeschlossen: Die Abo-Anmeldung ist dem Entwicklungswerkzeug selbst und der Weboberfläche vorbehalten.

Bemerkenswert ist, wie deutlich das im Quelltext zu sehen ist. Die Maschinerie für eine solche Anmeldung liegt fertig im Projekt — mit Auffrischung, Zwischenspeicher auf der Platte, dem ganzen Verfahren. Sie ist an genau einen der fünf Anbieter angeschlossen, und das ist ein Datenplattform-Anbieter. Für den Modell-Anbieter, um den es uns ginge, bleibt der statische Schlüssel. Nicht, weil es niemand gebaut hätte, sondern weil es dort nicht hinzeigen darf.

Praktisch heißt das: Wer diese Plattform mit diesem Anbieter fährt, zahlt je Zeichen statt pauschal. Bei einem Schwarm aus mehreren gleichzeitig laufenden Agenten ist das der eigentliche Kostenposten — der Server ist es nicht. Der Weg, der für uns offen bliebe, führt über einen der anbieteroffenen Agenten gegen unsere eigenen Modelle auf eigener Hardware. Das wäre dann allerdings ein anderes Vorhaben als dieses, und es steht hier nur als Hinweis, nicht als Vorschlag.

Ein Fund über uns selbst

Der Lieferketten-Prüfer, den wir vor jedem Blick in fremde Anleitungen laufen lassen, hat an diesem Repo zwei Meldungen ausgegeben: Die Anleitungs-Dateien in den Agenten-Verzeichnissen verweisen aus dem geprüften Bereich heraus. Beim Nachsehen war das aus zwei Gründen interessant.

Der erste betrifft die fremde Werkstatt und ist ein Vorbild: Dort liegt ein Anleitungs-Körper an einer Stelle im Quellbaum und wird in vier verschiedene Laufzeit-Verzeichnisse verwiesen — für vier verschiedene Agenten-Programme, die alle dieselbe Anleitung lesen sollen. Eine Quelle, vier Leser. Wir pflegen unsere Anleitungen bislang für ein einziges Programm.

Der zweite betrifft uns und ist ein Mangel. Unser Prüfer hat den Verweis gemeldet und den Inhalt dahinter nicht gelesen. Als Warnung ausgegeben, nicht als Abbruch. Eine Prüfung, die den eigentlichen Text nicht zu Gesicht bekommt und trotzdem grün nebenan steht, ist genau die Sorte Zusicherung, gegen die wir sonst anschreiben. Der Vorschlag dazu steht oben im Plan.