Die Agenten-Infrastruktur und das neue Backend

spinny:~/writing $ less agentic-infrastructure-stack.md

1 
2Wir haben oft über Agenten-Frameworks gesprochen. LangGraph, CrewAI, AutoGen, verschiedene SDKs, Schleife, Tool-Aufruf, Speicher, Planer, Kritiker, Supervisor. Alles nützliche Worte, um Himmels willen. Aber je mehr ich mir die tatsächlich eingesetzten Mittel ansehe, desto mehr kommt es mir so vor, als sei der interessante Teil unter die Rahmenebene gewandert.
3 
4Die Frage ist nicht mehr nur: Welche Bibliothek verwende ich, um ein Stufenmodell zum Nachdenken zu bringen?
5 
6Die eigentliche Frage ist: Wo lebt dieser Agent, wenn er aufhört, ein Demo zu sein?
7 
8Denn ein seriöser Agent ist keine Funktion, die ein Modell aufruft und Text zurückgibt. Es ist ein kleines verteiltes System. Es muss den Kontext lesen, Tools verwenden, Code ausführen, Dateien berühren, sich Entscheidungen merken, um Erlaubnis bitten, ordnungsgemäß fehlschlagen, neu starten, Protokolle hinterlassen, darf das Budget nicht verbrennen und darf sich nicht in einen Bulldozer innerhalb des Produktions-Repositorys verwandeln.
9 
10Das Gerüst ist das Lenkrad. Die Infrastruktur besteht aus der Straße, den Bremsen, der Garage, der Versicherung und der Person, die weiß, wo die Schlüssel sind.
11 
12## Weil jetzt viel darüber geredet wird
13 
14In den Jahren 2023 und 2024 war das Gespräch sehr modellzentriert. Welches LLM? Wie viel Kontext? Wie viel kostet es? Wie gut kann er programmieren?
15 
16In den Jahren 2025 und 2026 hat sich das Gespräch verlagert. Die Modelle sind gut genug, um echte Arbeit zu leisten, aber deshalb werden die langweiligen Teile sichtbar: Laufzeit, Sicherheit, Konnektoren, Identität, Beobachtbarkeit, Codeausführung, Bereitstellung, Rollback.
17 
18Es ist der natürliche Übergang von der Magie zur Technik.
19 
20Wenn ein Agent nur eine Antwort generieren muss, reicht ein Chat. Wenn Sie eine Pull-Anfrage öffnen, eine Datenbank abfragen, ein CRM aufrufen, einen Job starten, auf einer Website navigieren, Slack lesen, Code kompilieren und ein Dokument aktualisieren müssen, benötigen Sie ein Betriebssystem dafür.
21 
22Nicht im wörtlichen Sinne. Im organisatorischen Sinne.
23 
24## Das erste Stück: eine Laufzeit, in der der Agent bestehen bleiben kann
25 
26Ein Agent arbeitet oft in Schritten. Schauen Sie sich den Zustand an, wählen Sie eine Aktion, verwenden Sie ein Werkzeug, beobachten Sie das Ergebnis, aktualisieren Sie den Plan, wiederholen Sie den Vorgang.
27 
28Wenn sich diese Schleife innerhalb einer einzelnen HTTP-Anfrage befindet, liegt sofort ein Problem vor. Einige Aktionen sind langsam. Einige warten auf menschliche Eingaben. Einige scheitern und müssen erneut versucht werden. Einige müssen eine Bereitstellung oder einen Timeout überstehen.
29 
30Hier kommen dauerhafte Arbeitsabläufe, Warteschlangen, Jobhintergründe und Zustandsautomaten ins Spiel. Sie sind nicht gerade glamourös, aber sie machen den Unterschied zwischen einem Agenten, der bei einer Vorführung schlau wirkt, und einem Agenten aus, den man arbeiten lassen kann, während man Kaffee trinken geht.
31 
32Für mich muss die Agentenlaufzeit ganz konkrete Fragen beantworten:
33 
34- Wo speichere ich den Zustand zwischen einem Schritt und dem anderen?
35- Was passiert, wenn der Prozess mittendrin abbricht?
36- Kann ich innehalten und um Genehmigung bitten?
37  – Kann ich einen Lauf noch einmal abspielen, um zu verstehen, warum er diese Entscheidung getroffen hat?
38- Kann ich Dauer, Speicher, Tools und Kosten begrenzen?
39 
40Vercel treibt diesen Bereich mit KI-SDKs, Funktionen, Workflows und Tools zum Erstellen von Agenten in Webanwendungen stark voran. Aber es geht nicht nur um Vercel. Der Punkt ist, dass der Agent ein betriebsbereites Zuhause und keinen einzelnen Endpunkt benötigt.
41 
42## Der zweite Teil: Sandbox, da der Agent in der Lage sein muss, schmutzig zu werden, ohne kaputt zu gehen
43 
44Sobald ein Agent Code schreibt oder Befehle ausführt, wird eine Sandbox benötigt.
45 
46Es scheint ein technisches Wort zu sein, aber die Idee ist häuslicher Natur: Man gibt ihm eine Werkbank. Es kann Dateien öffnen, Abhängigkeiten installieren, Tests ausführen, Experimente durchführen und Ausgaben generieren. Wenn er etwas falsch macht, haben Sie den Schaden eingedämmt. Wenn es funktioniert, fördern Sie das Ergebnis.
47 
48An agentic sandbox should have some properties:
49 
50- isoliertes Dateisystem;
51- CPU-, Speicher- und Zeitlimits;
52- kontrolliertes Netzwerk;
53- Geheimnisse werden nur bei Bedarf montiert;
54- vollständige Protokolle;
55- Möglichkeit zum Exportieren von Artefakten;
56- Sauberes Zurücksetzen zwischen den Läufen, falls erforderlich.
57 
58Vercel Sandbox geht genau in diese Richtung: isolierte Umgebungen zum Ausführen von Code, zum Installieren von Abhängigkeiten, zum Arbeiten mit Dateien und zum Erstellen von Artefakten, ohne alles in der Hauptanwendungslaufzeit auszuführen.
59 
60Diese Sache ist wichtiger als es scheint. Viele Agentenprototypen springen direkt vom Modell zum realen System. Das Modell kann ein Werkzeug aufrufen. Werkzeuge können Dinge tun. Es scheint alles elegant, bis der erste falsche Befehl, die erste Abhängigkeit am falschen Ort installiert und das erste Token in einem Protokoll landet.
61 
62Der Sandkasten ist die erwachsene Art zu sagen: Mach weiter, aber hier drin.
63 
64## Der dritte Teil: MCP und das Steckerproblem
65 
66Das Model Context Protocol ist zu einem der interessantesten Teile des Ökosystems geworden, weil es versucht, etwas zu standardisieren, was sonst schnell unüberschaubar wird: wie ein Modell externe Tools entdeckt und nutzt.
67 
68Ohne einen Standard ist jede Integration eine kleine Insel. Ein Connector für GitHub auf die eine Art, einer für Slack auf eine andere Art, einer für Datenbanken mit unterschiedlicher Semantik, einer für die Browser-Automatisierung, der wie nichts aussieht.
69 
70MCP schlägt eine gemeinsame Sprache zwischen Client und Server vor: Tools, Ressourcen, Eingabeaufforderungen, Autorisierungen, Transport, Erkennung. Es löst Governance und Sicherheit nicht auf magische Weise, aber es gibt eine Grammatik.
71 
72Und Grammatik ist wichtig. Wenn ein Agent eine Verbindung zu vielen Tools herstellen kann, stellt sich nicht nur die Frage: „Kann er das?“ Das Problem ist: „Versteht er, was er tun kann, mit welchen Grenzen, für wen und welche Spuren hinterlässt?“
73 
74Für mich ist MCP kein Hype, weil es „Tool-Calling“ durchführt. Das haben wir bereits gemacht. Es ist ein Hype, weil es den Schwerpunkt von der Einzelintegration auf den operativen Werkzeugkatalog verlagert.
75 
76In einer guten Agentenarchitektur wird MCP zu einer Art Patchpanel:
77 
78- GitHub für Code und Probleme;
79- Nachlässigkeit für den Konversationskontext;
80- Linear oder Jira für geplante Arbeiten;
81- schreibgeschützte Datenbank für Analysen;
82- Browser- oder Scraper-gesteuert für externe Websites;
83- Dokumentenspeicherung;
84- isolierte Ausführungsumgebungen;
85- Interne Systeme mit strengen Berechtigungen offengelegt.
86 
87Das Knifflige daran ist, dass ein richtlinienfreier Werkzeugkatalog nur eine elegantere Möglichkeit ist, Chaos zu stiften.
88 
89## Das vierte Stück: Identität und Berechtigungen
90 
91Dies ist der Bereich, in dem viele Demos die Augen verschließen.
92 
93Ein Agent handelt im Namen einer Person. Es muss also klar sein, wer Gegenstand der Klage ist.
94 
95Verwendet es Benutzerberechtigungen? Von einem Dienstkonto? Von einem Arbeitsplatz? Haben Sie temporären oder dauerhaften Zugang? Können Sie alles oder nur einige Ressourcen lesen? Kannst du schreiben? Können Sie stornieren? Kann er echten Menschen eine SMS schicken?
96 
97Wenn Sie diese Fragen nicht gut beantworten, werden Sie früher oder später zu einem Assistenten mit Hausschlüsseln und ohne Erinnerung daran, wer sie ihm gegeben hat.
98 
99Die Faustregel, die mir gefällt, ist diese: Der Agent muss in der Lage sein, weniger zu tun als der Mensch, nicht mehr als der Mensch. Und wenn er etwas Riskanteres tun muss, muss er innehalten und nachfragen.
100 
101Dies bedeutet OAuth, tokenbezogen, Geheimnisverwaltung, Prüfprotokoll, Tool-Richtlinie, Zulassungsliste, Genehmigungsschritt. Nicht sehr romantisches Zeug. Notwendiges Zeug.
102 
103## Das fünfte Stück: Erinnerung und Kontext, aber ohne Müll anzusammeln
104 
105Agenten brauchen Gedächtnis, aber Gedächtnis ist gefährlich, wenn es zum Dachboden wird.
106 
107Es gibt mindestens drei Arten von Gedächtnis:
108 
109- Speicher ausführen: Was ist bei dieser Ausführung passiert?
110- Projektgedächtnis: Konventionen, Entscheidungen, Zwänge;
111- persönliches oder Teamgedächtnis: Vorlieben, Ton, Rituale, Prozesse.
112 
113Alles in die Eingabeaufforderung einzufügen ist die Abkürzung. Es funktioniert, bis es nicht mehr funktioniert. Der nützliche Speicher muss gepflegt werden: indiziert, aktualisiert, abgelaufen, überprüft, zitierfähig gemacht.
114 
115Ein Agent, der sich schlecht erinnert, ist schlimmer als ein Agent, der sich nicht erinnert. Weil er selbstbewusst spricht.
116 
117Daher muss die Infrastruktur Abruf, Anleitungsdateien, Wissensdatenbank, Einbettung bei Bedarf, aber auch Reinigung umfassen. Wir brauchen eine Erinnerungskultur: Was kommt herein, wer genehmigt es, wann verfällt es, wie korrigiere ich es.
118 
119## Das sechste Stück: Beobachtbarkeit, Bewertung und Wiedergabe
120 
121Wenn ein Agent einen Fehler macht, reicht das „Called the Model“-Protokoll nicht aus.
122 
123Sie möchten die Route sehen. Welchen Kontext erhielt er? Welche Tools standen zur Verfügung? Für welches Tool haben Sie sich entschieden? Mit welchen Argumenten? Welche Antwort haben Sie bekommen? Wie viel hat es gekostet? Wo ist es hängengeblieben? Hat der Mensch irgendetwas gutgeheißen? Handelt es sich bei dem Fehler um einen Modell-, Tool-, Eingabeaufforderungs-, Daten- oder Berechtigungsfehler?
124 
125Hier ähneln die Agenten eher verteilten Systemen als Chatbots.
126 
127Sie benötigen lesbare Spuren, nicht nur Textprotokolle. Sie müssen in der Lage sein, einen Lauf erneut abzuspielen. Es ist notwendig, zwei Versionen desselben Agenten hinsichtlich bekannter Aufgaben zu vergleichen. Wir müssen Regressionen messen: Sie antworten nicht nur besser, sondern schließen auch das richtige Ticket, ohne unerwünschte Dateien zu berühren.
128 
129Agentische Auswertungen sind schwieriger als Textauswertungen, da sie Aktionen beinhalten. Es reicht nicht aus, eine erwartete Zeichenfolge zu vergleichen. Man muss Abläufe, Nebenwirkungen, Qualität des Artefakts, Zeit, Kosten und Anzahl menschlicher Eingriffe berücksichtigen.
130 
131Das Lustige ist, wir kommen immer wieder dorthin zurück: Software-Engineering. Tests, Umgebungen, Traces, Rollbacks. Nur dass der Code jetzt auch darüber entscheidet, was als nächstes zu tun ist.
132 
133## Das siebte Stück: Human Interfaces
134 
135Der Agent muss nicht nur in einem Chat leben.
136 
137Manche Agenten benötigen ein Board. Andere eine Seite mit Status und Protokoll. Andere von einer „Genehmigen“-Schaltfläche. Weitere Inline-Kommentare. Wieder andere einer CLI.
138 
139Die Benutzeroberfläche ändert das Verhalten. Wenn die einzige Möglichkeit, einen Agenten zu kontrollieren, darin besteht, eine lange Nachricht zu schreiben, wird der Benutzer dem Agenten vage Anweisungen geben. Wenn er jedoch Plan, Unterschiede, Quellen, Risiken und nächste Maßnahmen erkennt, kann er gezielt eingreifen.
140 
141Zu einer anständigen Agenten-Infrastruktur gehören Kontrolloberflächen:
142 
143- aktueller Status;
144- bearbeitbarer Plan;
145- hergestellte Artefakte;
146- diff;
147- Genehmigungsanfragen;
148- Chronologie;
149- Stopptaste;
150- Schaltfläche „Wiederholen“;
151- sichtbare Berechtigungen.
152 
153Es scheint trivial, ist es aber nicht. Der Unterschied zwischen „gruseliger KI“ und „zuverlässigem Assistenten“ besteht oft nur darin, dass letzterer einem zeigt, wo er in der Lage ist.
154 
155## Der mentale Stapel
156 
157Wenn ich es heute zeichnen würde, wäre der minimale Agentenstapel dieser:
158 
1591. Modell: Argumentation, Generierung, Werkzeugaufruf, ggf. multimodal.
1602. Orchestrierung: Schleife, Schritt, Planer, Richtlinie, Human-in-the-Loop.
1613. Dauerhafte Laufzeit: Workflow, Warteschlange, Wiederholung, Pause, Fortsetzen.
1624. Sandbox: Codeausführung, isoliertes Dateisystem, Einschränkungen, Artefakte.
1635. Tool-Schicht: MCP, interne API, Browser, Datenbank, Repository.
1646. Identitätsschicht: OAuth, Umfang, Geheimnis, Audit, Richtlinie.
1657. Speicherschicht: Projektkontext, Abruf, Anweisungen, Ablauf.
1668. Beobachtbarkeit: Trace-, Replay-, Evaluierungs-, Kosten- und Qualitätsmetriken.
1679. Produktoberfläche: Chatten Sie bei Bedarf, Dashboard bei Bedarf, überprüfen Sie, wenn es darauf ankommt.
168 
169Das Agenten-Framework deckt hauptsächlich Punkt 2 und einen Teil von Punkt 1 ab. Der Rest ist die eigentliche Arbeit.
170 
171## Was ich in der Praxis tun würde
172 
173Wenn mir ein Team sagen würde: „Wir wollen Agenten in der Produktion“, würde ich nicht mit zehn Agenten beginnen.
174 
175Ich würde mit einem kleinen, sich wiederholenden und beobachtbaren Arbeitsablauf beginnen. Zum Beispiel: Wartungs-PRs öffnen, Dokumentation von geschlossenen Problemen aktualisieren, eine wöchentliche Überprüfung vorbereiten, doppelte Fehler selektieren, Tests für betroffene Dateien erstellen.
176 
177Dann würde ich ganz klare Grenzen setzen:
178 
179- kein Schreiben ohne Zweige oder Sandkasten;
180- keine Geheimnisse in der Eingabeaufforderung;
181- Werkzeuge in der Zulassungsliste;
182- menschliche Zustimmung zu externen Handlungen;
183- obligatorische Protokollierung und Rückverfolgung;
184- Budget pro Lauf;
185- Ausgabe immer überprüfbar.
186 
187Erst dann würde ich expandieren.
188 
189Agenten scheitern nicht, nur weil die Models etwas falsch machen. Sie scheitern, weil wir sie in vage Umgebungen mit verwirrenden Berechtigungen und theatralischen Erwartungen bringen.
190 
191## Meine Lektüre
192 
193Agentische Infrastruktur ist im besten Sinne langweilig.
194 
195Es ist nicht der Teil, der einen in der Demo zum Klatschen bringt. Es ist der Teil, der es Ihnen ermöglicht, die Demo am Montagmorgen tatsächlich zu nutzen, mit echten Menschen, echten Daten und echten Konsequenzen.
196 
197Die Zukunft der Agenten wird nicht nur davon entschieden, wer das beste Vorbild hat. Es wird von demjenigen entschieden, der den besten Ort schafft, an dem er arbeiten kann: isoliert, wenn er experimentiert, verbunden, wenn es nötig ist, immer beobachtbar, mit Kriterien autorisiert und bescheiden genug, um aufzuhören, wenn er es nicht weiß.
198 
199Hier hören Agenten auf, ein Spielzeug zu sein, und werden zur Infrastruktur.
200 
201## Quellen
202 
203- [Vercel: So erstellen Sie KI-Agenten mit Vercel und dem AI SDK](https://vercel.com/kb/guide/how-to-build-ai-agents-with-vercel-and-the-ai-sdk)
204- [Vercel Docs: Sandbox](https://vercel.com/docs/sandbox)
205- [Vercel Docs: Arbeiten mit Sandbox](https://vercel.com/docs/sandbox/working-with-sandbox)
206- [Vercel-Dokumente: MCP](https://vercel.com/docs/mcp)
207- [Modellkontextprotokoll: Spezifikation](https://modelcontextprotocol.io/specification)
208- [OpenAI: Neue Tools für Bauagenten](https://openai.com/index/new-tools-for-building-agents/)
209- [Cloudflare-Blog: Agenten auf Cloudflare](https://blog.cloudflare.com/agents-on-cloudflare/)
210

:Die Agenten-Infrastruktur und das neue Backendlines 1-210 (END) — press q to close

2Wir haben oft über Agenten-Frameworks gesprochen. LangGraph, CrewAI, AutoGen, verschiedene SDKs, Schleife, Tool-Aufruf, Speicher, Planer, Kritiker, Supervisor. Alles nützliche Worte, um Himmels willen. Aber je mehr ich mir die tatsächlich eingesetzten Mittel ansehe, desto mehr kommt es mir so vor, als sei der interessante Teil unter die Rahmenebene gewandert.

4Die Frage ist nicht mehr nur: Welche Bibliothek verwende ich, um ein Stufenmodell zum Nachdenken zu bringen?

6Die eigentliche Frage ist: Wo lebt dieser Agent, wenn er aufhört, ein Demo zu sein?

8Denn ein seriöser Agent ist keine Funktion, die ein Modell aufruft und Text zurückgibt. Es ist ein kleines verteiltes System. Es muss den Kontext lesen, Tools verwenden, Code ausführen, Dateien berühren, sich Entscheidungen merken, um Erlaubnis bitten, ordnungsgemäß fehlschlagen, neu starten, Protokolle hinterlassen, darf das Budget nicht verbrennen und darf sich nicht in einen Bulldozer innerhalb des Produktions-Repositorys verwandeln.

10Das Gerüst ist das Lenkrad. Die Infrastruktur besteht aus der Straße, den Bremsen, der Garage, der Versicherung und der Person, die weiß, wo die Schlüssel sind.

12## Weil jetzt viel darüber geredet wird

14In den Jahren 2023 und 2024 war das Gespräch sehr modellzentriert. Welches LLM? Wie viel Kontext? Wie viel kostet es? Wie gut kann er programmieren?

16In den Jahren 2025 und 2026 hat sich das Gespräch verlagert. Die Modelle sind gut genug, um echte Arbeit zu leisten, aber deshalb werden die langweiligen Teile sichtbar: Laufzeit, Sicherheit, Konnektoren, Identität, Beobachtbarkeit, Codeausführung, Bereitstellung, Rollback.

18Es ist der natürliche Übergang von der Magie zur Technik.

20Wenn ein Agent nur eine Antwort generieren muss, reicht ein Chat. Wenn Sie eine Pull-Anfrage öffnen, eine Datenbank abfragen, ein CRM aufrufen, einen Job starten, auf einer Website navigieren, Slack lesen, Code kompilieren und ein Dokument aktualisieren müssen, benötigen Sie ein Betriebssystem dafür.

22Nicht im wörtlichen Sinne. Im organisatorischen Sinne.

24## Das erste Stück: eine Laufzeit, in der der Agent bestehen bleiben kann

26Ein Agent arbeitet oft in Schritten. Schauen Sie sich den Zustand an, wählen Sie eine Aktion, verwenden Sie ein Werkzeug, beobachten Sie das Ergebnis, aktualisieren Sie den Plan, wiederholen Sie den Vorgang.

28Wenn sich diese Schleife innerhalb einer einzelnen HTTP-Anfrage befindet, liegt sofort ein Problem vor. Einige Aktionen sind langsam. Einige warten auf menschliche Eingaben. Einige scheitern und müssen erneut versucht werden. Einige müssen eine Bereitstellung oder einen Timeout überstehen.

30Hier kommen dauerhafte Arbeitsabläufe, Warteschlangen, Jobhintergründe und Zustandsautomaten ins Spiel. Sie sind nicht gerade glamourös, aber sie machen den Unterschied zwischen einem Agenten, der bei einer Vorführung schlau wirkt, und einem Agenten aus, den man arbeiten lassen kann, während man Kaffee trinken geht.

32Für mich muss die Agentenlaufzeit ganz konkrete Fragen beantworten:

34- Wo speichere ich den Zustand zwischen einem Schritt und dem anderen?

35- Was passiert, wenn der Prozess mittendrin abbricht?

36- Kann ich innehalten und um Genehmigung bitten?

37 – Kann ich einen Lauf noch einmal abspielen, um zu verstehen, warum er diese Entscheidung getroffen hat?

38- Kann ich Dauer, Speicher, Tools und Kosten begrenzen?

40Vercel treibt diesen Bereich mit KI-SDKs, Funktionen, Workflows und Tools zum Erstellen von Agenten in Webanwendungen stark voran. Aber es geht nicht nur um Vercel. Der Punkt ist, dass der Agent ein betriebsbereites Zuhause und keinen einzelnen Endpunkt benötigt.

42## Der zweite Teil: Sandbox, da der Agent in der Lage sein muss, schmutzig zu werden, ohne kaputt zu gehen

44Sobald ein Agent Code schreibt oder Befehle ausführt, wird eine Sandbox benötigt.

46Es scheint ein technisches Wort zu sein, aber die Idee ist häuslicher Natur: Man gibt ihm eine Werkbank. Es kann Dateien öffnen, Abhängigkeiten installieren, Tests ausführen, Experimente durchführen und Ausgaben generieren. Wenn er etwas falsch macht, haben Sie den Schaden eingedämmt. Wenn es funktioniert, fördern Sie das Ergebnis.

48An agentic sandbox should have some properties:

50- isoliertes Dateisystem;

51- CPU-, Speicher- und Zeitlimits;

52- kontrolliertes Netzwerk;

53- Geheimnisse werden nur bei Bedarf montiert;

54- vollständige Protokolle;

55- Möglichkeit zum Exportieren von Artefakten;

56- Sauberes Zurücksetzen zwischen den Läufen, falls erforderlich.

58Vercel Sandbox geht genau in diese Richtung: isolierte Umgebungen zum Ausführen von Code, zum Installieren von Abhängigkeiten, zum Arbeiten mit Dateien und zum Erstellen von Artefakten, ohne alles in der Hauptanwendungslaufzeit auszuführen.

60Diese Sache ist wichtiger als es scheint. Viele Agentenprototypen springen direkt vom Modell zum realen System. Das Modell kann ein Werkzeug aufrufen. Werkzeuge können Dinge tun. Es scheint alles elegant, bis der erste falsche Befehl, die erste Abhängigkeit am falschen Ort installiert und das erste Token in einem Protokoll landet.

62Der Sandkasten ist die erwachsene Art zu sagen: Mach weiter, aber hier drin.

64## Der dritte Teil: MCP und das Steckerproblem

66Das Model Context Protocol ist zu einem der interessantesten Teile des Ökosystems geworden, weil es versucht, etwas zu standardisieren, was sonst schnell unüberschaubar wird: wie ein Modell externe Tools entdeckt und nutzt.

68Ohne einen Standard ist jede Integration eine kleine Insel. Ein Connector für GitHub auf die eine Art, einer für Slack auf eine andere Art, einer für Datenbanken mit unterschiedlicher Semantik, einer für die Browser-Automatisierung, der wie nichts aussieht.

70MCP schlägt eine gemeinsame Sprache zwischen Client und Server vor: Tools, Ressourcen, Eingabeaufforderungen, Autorisierungen, Transport, Erkennung. Es löst Governance und Sicherheit nicht auf magische Weise, aber es gibt eine Grammatik.

72Und Grammatik ist wichtig. Wenn ein Agent eine Verbindung zu vielen Tools herstellen kann, stellt sich nicht nur die Frage: „Kann er das?“ Das Problem ist: „Versteht er, was er tun kann, mit welchen Grenzen, für wen und welche Spuren hinterlässt?“

74Für mich ist MCP kein Hype, weil es „Tool-Calling“ durchführt. Das haben wir bereits gemacht. Es ist ein Hype, weil es den Schwerpunkt von der Einzelintegration auf den operativen Werkzeugkatalog verlagert.

76In einer guten Agentenarchitektur wird MCP zu einer Art Patchpanel:

78- GitHub für Code und Probleme;

79- Nachlässigkeit für den Konversationskontext;

80- Linear oder Jira für geplante Arbeiten;

81- schreibgeschützte Datenbank für Analysen;

82- Browser- oder Scraper-gesteuert für externe Websites;

83- Dokumentenspeicherung;

84- isolierte Ausführungsumgebungen;

85- Interne Systeme mit strengen Berechtigungen offengelegt.

87Das Knifflige daran ist, dass ein richtlinienfreier Werkzeugkatalog nur eine elegantere Möglichkeit ist, Chaos zu stiften.

89## Das vierte Stück: Identität und Berechtigungen

91Dies ist der Bereich, in dem viele Demos die Augen verschließen.

93Ein Agent handelt im Namen einer Person. Es muss also klar sein, wer Gegenstand der Klage ist.

95Verwendet es Benutzerberechtigungen? Von einem Dienstkonto? Von einem Arbeitsplatz? Haben Sie temporären oder dauerhaften Zugang? Können Sie alles oder nur einige Ressourcen lesen? Kannst du schreiben? Können Sie stornieren? Kann er echten Menschen eine SMS schicken?

97Wenn Sie diese Fragen nicht gut beantworten, werden Sie früher oder später zu einem Assistenten mit Hausschlüsseln und ohne Erinnerung daran, wer sie ihm gegeben hat.

99Die Faustregel, die mir gefällt, ist diese: Der Agent muss in der Lage sein, weniger zu tun als der Mensch, nicht mehr als der Mensch. Und wenn er etwas Riskanteres tun muss, muss er innehalten und nachfragen.

100

101Dies bedeutet OAuth, tokenbezogen, Geheimnisverwaltung, Prüfprotokoll, Tool-Richtlinie, Zulassungsliste, Genehmigungsschritt. Nicht sehr romantisches Zeug. Notwendiges Zeug.

102

103## Das fünfte Stück: Erinnerung und Kontext, aber ohne Müll anzusammeln

104

105Agenten brauchen Gedächtnis, aber Gedächtnis ist gefährlich, wenn es zum Dachboden wird.

106

107Es gibt mindestens drei Arten von Gedächtnis:

108

109- Speicher ausführen: Was ist bei dieser Ausführung passiert?

110- Projektgedächtnis: Konventionen, Entscheidungen, Zwänge;

111- persönliches oder Teamgedächtnis: Vorlieben, Ton, Rituale, Prozesse.

112

113Alles in die Eingabeaufforderung einzufügen ist die Abkürzung. Es funktioniert, bis es nicht mehr funktioniert. Der nützliche Speicher muss gepflegt werden: indiziert, aktualisiert, abgelaufen, überprüft, zitierfähig gemacht.

114

115Ein Agent, der sich schlecht erinnert, ist schlimmer als ein Agent, der sich nicht erinnert. Weil er selbstbewusst spricht.

116

117Daher muss die Infrastruktur Abruf, Anleitungsdateien, Wissensdatenbank, Einbettung bei Bedarf, aber auch Reinigung umfassen. Wir brauchen eine Erinnerungskultur: Was kommt herein, wer genehmigt es, wann verfällt es, wie korrigiere ich es.

118

119## Das sechste Stück: Beobachtbarkeit, Bewertung und Wiedergabe

120

121Wenn ein Agent einen Fehler macht, reicht das „Called the Model“-Protokoll nicht aus.

122

123Sie möchten die Route sehen. Welchen Kontext erhielt er? Welche Tools standen zur Verfügung? Für welches Tool haben Sie sich entschieden? Mit welchen Argumenten? Welche Antwort haben Sie bekommen? Wie viel hat es gekostet? Wo ist es hängengeblieben? Hat der Mensch irgendetwas gutgeheißen? Handelt es sich bei dem Fehler um einen Modell-, Tool-, Eingabeaufforderungs-, Daten- oder Berechtigungsfehler?

124

125Hier ähneln die Agenten eher verteilten Systemen als Chatbots.

126

127Sie benötigen lesbare Spuren, nicht nur Textprotokolle. Sie müssen in der Lage sein, einen Lauf erneut abzuspielen. Es ist notwendig, zwei Versionen desselben Agenten hinsichtlich bekannter Aufgaben zu vergleichen. Wir müssen Regressionen messen: Sie antworten nicht nur besser, sondern schließen auch das richtige Ticket, ohne unerwünschte Dateien zu berühren.

128

129Agentische Auswertungen sind schwieriger als Textauswertungen, da sie Aktionen beinhalten. Es reicht nicht aus, eine erwartete Zeichenfolge zu vergleichen. Man muss Abläufe, Nebenwirkungen, Qualität des Artefakts, Zeit, Kosten und Anzahl menschlicher Eingriffe berücksichtigen.

130

131Das Lustige ist, wir kommen immer wieder dorthin zurück: Software-Engineering. Tests, Umgebungen, Traces, Rollbacks. Nur dass der Code jetzt auch darüber entscheidet, was als nächstes zu tun ist.

132

133## Das siebte Stück: Human Interfaces

134

135Der Agent muss nicht nur in einem Chat leben.

136

137Manche Agenten benötigen ein Board. Andere eine Seite mit Status und Protokoll. Andere von einer „Genehmigen“-Schaltfläche. Weitere Inline-Kommentare. Wieder andere einer CLI.

138

139Die Benutzeroberfläche ändert das Verhalten. Wenn die einzige Möglichkeit, einen Agenten zu kontrollieren, darin besteht, eine lange Nachricht zu schreiben, wird der Benutzer dem Agenten vage Anweisungen geben. Wenn er jedoch Plan, Unterschiede, Quellen, Risiken und nächste Maßnahmen erkennt, kann er gezielt eingreifen.

140

141Zu einer anständigen Agenten-Infrastruktur gehören Kontrolloberflächen:

142

143- aktueller Status;

144- bearbeitbarer Plan;

145- hergestellte Artefakte;

146- diff;

147- Genehmigungsanfragen;

148- Chronologie;

149- Stopptaste;

150- Schaltfläche „Wiederholen“;

151- sichtbare Berechtigungen.

152

153Es scheint trivial, ist es aber nicht. Der Unterschied zwischen „gruseliger KI“ und „zuverlässigem Assistenten“ besteht oft nur darin, dass letzterer einem zeigt, wo er in der Lage ist.

154

155## Der mentale Stapel

156

157Wenn ich es heute zeichnen würde, wäre der minimale Agentenstapel dieser:

158

1591. Modell: Argumentation, Generierung, Werkzeugaufruf, ggf. multimodal.

1602. Orchestrierung: Schleife, Schritt, Planer, Richtlinie, Human-in-the-Loop.

1613. Dauerhafte Laufzeit: Workflow, Warteschlange, Wiederholung, Pause, Fortsetzen.

1624. Sandbox: Codeausführung, isoliertes Dateisystem, Einschränkungen, Artefakte.

1635. Tool-Schicht: MCP, interne API, Browser, Datenbank, Repository.

1646. Identitätsschicht: OAuth, Umfang, Geheimnis, Audit, Richtlinie.

1657. Speicherschicht: Projektkontext, Abruf, Anweisungen, Ablauf.

1668. Beobachtbarkeit: Trace-, Replay-, Evaluierungs-, Kosten- und Qualitätsmetriken.

1679. Produktoberfläche: Chatten Sie bei Bedarf, Dashboard bei Bedarf, überprüfen Sie, wenn es darauf ankommt.

168

169Das Agenten-Framework deckt hauptsächlich Punkt 2 und einen Teil von Punkt 1 ab. Der Rest ist die eigentliche Arbeit.

170

171## Was ich in der Praxis tun würde

172

173Wenn mir ein Team sagen würde: „Wir wollen Agenten in der Produktion“, würde ich nicht mit zehn Agenten beginnen.

174

175Ich würde mit einem kleinen, sich wiederholenden und beobachtbaren Arbeitsablauf beginnen. Zum Beispiel: Wartungs-PRs öffnen, Dokumentation von geschlossenen Problemen aktualisieren, eine wöchentliche Überprüfung vorbereiten, doppelte Fehler selektieren, Tests für betroffene Dateien erstellen.

176

177Dann würde ich ganz klare Grenzen setzen:

178

179- kein Schreiben ohne Zweige oder Sandkasten;

180- keine Geheimnisse in der Eingabeaufforderung;

181- Werkzeuge in der Zulassungsliste;

182- menschliche Zustimmung zu externen Handlungen;

183- obligatorische Protokollierung und Rückverfolgung;

184- Budget pro Lauf;

185- Ausgabe immer überprüfbar.

186

187Erst dann würde ich expandieren.

188

189Agenten scheitern nicht, nur weil die Models etwas falsch machen. Sie scheitern, weil wir sie in vage Umgebungen mit verwirrenden Berechtigungen und theatralischen Erwartungen bringen.

190

191## Meine Lektüre

192

193Agentische Infrastruktur ist im besten Sinne langweilig.

194

195Es ist nicht der Teil, der einen in der Demo zum Klatschen bringt. Es ist der Teil, der es Ihnen ermöglicht, die Demo am Montagmorgen tatsächlich zu nutzen, mit echten Menschen, echten Daten und echten Konsequenzen.

196

197Die Zukunft der Agenten wird nicht nur davon entschieden, wer das beste Vorbild hat. Es wird von demjenigen entschieden, der den besten Ort schafft, an dem er arbeiten kann: isoliert, wenn er experimentiert, verbunden, wenn es nötig ist, immer beobachtbar, mit Kriterien autorisiert und bescheiden genug, um aufzuhören, wenn er es nicht weiß.

198

199Hier hören Agenten auf, ein Spielzeug zu sein, und werden zur Infrastruktur.

200

201## Quellen

202

203- [Vercel: So erstellen Sie KI-Agenten mit Vercel und dem AI SDK](https://vercel.com/kb/guide/how-to-build-ai-agents-with-vercel-and-the-ai-sdk)

204- [Vercel Docs: Sandbox](https://vercel.com/docs/sandbox)

205- [Vercel Docs: Arbeiten mit Sandbox](https://vercel.com/docs/sandbox/working-with-sandbox)

206- [Vercel-Dokumente: MCP](https://vercel.com/docs/mcp)

207- [Modellkontextprotokoll: Spezifikation](https://modelcontextprotocol.io/specification)

208- [OpenAI: Neue Tools für Bauagenten](https://openai.com/index/new-tools-for-building-agents/)

209- [Cloudflare-Blog: Agenten auf Cloudflare](https://blog.cloudflare.com/agents-on-cloudflare/)

210