Im Jahr 2026 sind innerhalb von sieben Wochen vier geschlossene Produkte für persönliche Agenten erschienen — Grok Bot, Meta Muse, OpenAIs dots und Cue von Manus — und alle vier haben dieselbe Form gewählt: eine Chat-App, in der jede Unterhaltung kein Textverlauf ist, sondern ein Agent. Ein Bot mit eigenem Namen, eigener Persönlichkeit, eigenem Modell, eigenem Computer und angebundenen Apps. Man spricht mit ihnen wie mit Kontakten.
Am Mittwoch sammelte ein Repository namens OpenMausBot rund 1.190 Sterne an einem Tag ein. Es ist die offene Version dieser Form, Apache 2.0 lizenziert, vom Entwickler Milind Soni, und ausdrücklich als inoffizieller Klon deklariert: „unabhängiges Projekt, inspiriert von Grok Bot", keine Verbindung zu xAI, Meta, OpenAI oder Manus.
Technisch ist der Unterschied zum Original der Ort, an dem alles läuft. Jeder Bot wird von einem der CLIs angetrieben, die auf dem eigenen Rechner installiert und angemeldet sind. Ein kleiner Harness-Server auf 127.0.0.1 besitzt die Agentenprozesse, normalisiert ihre unterschiedlichen Protokolle zu einem Ereignisstrom und schickt ihn per SSE an die Oberfläche. Transkripte, Schlüssel und Ereignisse liegen in einem lokalen Verzeichnis, nicht in einer Cloud. Die App selbst hält keine Transportwege: Sie sendet typisierte Befehle über HTTP.
Jeder Bot bekommt einen Computer — einen Linux-Desktop in der Cloud, eine isolierte lokale VM oder, wo die Plattform es zertifiziert hat, den eigenen Rechner. Auf macOS und Ubuntu mit Xorg ist Host-Kontrolle nach ausdrücklicher Zustimmung möglich; unter Wayland bleibt sie abgeschaltet, bis ein Sicherheitsproblem gelöst ist. Das ist die richtige Richtung: fail-closed statt Handbuch-Haftungsausschluss.
Dazu kommen Freigabekarten. Shell-Befehle, Dateiänderungen und Rückfragen erscheinen als Karten im Chat, mit Erlauben, Ablehnen oder Antworten; ein Permission-Broker macht aus jeder riskanten Aktion eine Entscheidung. Über eine Composio-Anbindung lassen sich zudem hunderte Apps per OAuth verbinden — Mail, Slack, GitHub, Notion.
Warum das zählt: Die Form ist entschieden, bevor jemand sie bewertet hat. Ein Assistent in einem Fenster war gestern; heute ist es ein Team, das man wie Kollegen behandelt — delegieren, beobachten, genehmigen. Der Klon ist deshalb interessant, weil er die Vertrauensgrenze verschiebt: Dieselben Fähigkeiten — fremde Postfächer, ein ganzer Rechner, Werkzeuge mit echten Zugangsdaten — laufen nun auf Hardware, die man selbst kontrolliert. Das entfernt den Anbieter aus der Gleichung, nicht das Risiko.
Und das Risiko ist konkret. Ein Agent mit Zugriff auf Mail und Dateisystem ist eine Angriffsfläche, die sich nicht mit einem Freigabedialog erledigen lässt, weil die gefährlichste Aktion selten die ist, die nach einem Shell-Befehl aussieht. OpenMausBot ist ehrlich über seinen Zustand: „früh, aber echt". Die API-Schlüssel liegen im Klartext in einer Konfigurationsdatei (mit restriktiven Dateirechten), die Diktierfunktion ist auf macOS beschränkt, der Windows-Installer ist nicht signiert. Wer das produktiv einsetzt, sollte diese drei Punkte zuerst lesen.
