Jede Agentenplattform-Demo sieht gleich aus: etwas verlangen, einen Cursor sich bewegen sehen. Der Unterschied zwischen einer Demo und etwas, dem man echte Zugangsdaten anvertraut, liegt in dem, was zwischen Entscheidung und Aktion passiert.
OpenBot, CopilotKits neue MIT-lizenzierte Plattform, ist vollständig um diese Lücke herum gebaut. Jeder Bot bekommt einen eigenen Container, ein eigenes /workspace-Volume und ein eigenes Chromium-Profil mit eigenen Logins; ein Supervisor erzeugt und verwaltet diese Maschinen, optional unter gVisor. Jeder Tool-Aufruf — Browser, Datei, MCP-Server — läuft durch ein einziges Gateway, das das Ziel aus einem serverseitig gehaltenen Snapshot auflöst, eine Policy auswertet, eine Audit-Zeile schreibt und erst dann den Rechner aufruft. Die Formulierung des Projekts ist das Design: Es gibt keinen Pfad, der handelt, ohne dass der Datensatz vorher existiert.
Die Policy-Sprache ist CEL, und sie schlägt geschlossen fehl. Regeln können Tool-Namen, Intent, Bot- und Actor-IDs, page.url und page.host, Element-Eigenschaften, Tasten, Dateien und MCP-Aufrufe prüfen. Deny wird vor Allow ausgewertet, eine fehlende Policy erlaubt nichts, und eine kaputte Regel verweigert, statt zu öffnen.
Der Human-in-the-Loop-Teil ist für eine Alpha ungewöhnlich präzise spezifiziert. Stößt ein Bot auf eine Login-Wand oder eine 2FA-Abfrage, bittet er um Hilfe; die Übergabe geschieht im selben Panel und wird als drei getrennte Ereignisse protokolliert. Während ein Mensch steuert, werden Bot-Aktionen verweigert statt eingereiht — der Unterschied zwischen einer Pause und einer Race Condition. Geheimnisse haben ihre eigene Disziplin: Der Audit-Trail hält fest, dass ein Secret angefordert wurde und wie lang es war, nie was darin stand; Zugangsdaten werden write-only und verschlüsselt gespeichert.
Agenten sind portabel. Ein Bot ist jeder Endpunkt, der AG-UI spricht, das Protokoll zwischen Agent und Nutzer. LangGraph, Mastra, CrewAI, Pydantic AI, Google ADK und handgeschriebene Agenten kommen daher auf demselben Weg an, und die Governance hängt am Protokoll, nicht am Framework. Der MCP-Katalog ist kuratiert, und jedes Tool, das nicht eindeutig als Lesen eingestuft ist, gilt als Schreiben.
Die Vorbehalte sind die einer Alpha. Die Standardkonfiguration läuft ohne Authentifizierung und lässt jede Anfrage als einen Administrator durch — auf einem Laptop in Ordnung, überall sonst falsch. Ein CopilotKit-Intelligence-Projekt samt Lizenz ist Voraussetzung, der Open-Source-Kern ist also nicht das ganze System. Die Browser-Container binden an Loopback und halten echte Logins — die Dokumentation sagt ausdrücklich, das so zu lassen.
Bemerkenswert ist weniger die Feature-Liste als die Konvergenz. Isolation pro Agent, ein einziger Policy-Engpass und ein vor der Aktion geschriebener Datensatz etablieren sich als die drei Standardprimitive der Agenteninfrastruktur — in Browsern, in Sandboxen, in Enterprise-Gateways. Die interessante Verschiebung betrifft die Reihenfolge des Entwurfs. Die Einheit ist nicht mehr die Fähigkeit des Agenten, sondern seine Berechtigung. Fähigkeit ist ein Prompt. Berechtigung ist ein Schema, eine Policy und eine Audit-Tabelle.
Wer in diesem Jahr mit Agenten baut, sollte OpenBot weniger als Produkt zum Übernehmen lesen denn als Referenzentwurf, über den es sich zu streiten lohnt. Welche Aktionen nie erlaubt sein sollten, welche einen Menschen brauchen und welche unbeaufsichtigt laufen dürfen — das ist die eigentlich spannende Ingenieursarbeit, und sie findet vor der ersten Zeile Agentencode statt.
