Agent-Tooling im Überblick: Runtime, Registry, Scanner und Inbox-Projekte

Ende September dreht sich die meiste Enterprise-Debatte über Agenten um Governance-Dashboards und Control Planes. Die Tooling-Schicht darunter kommt über leisere Kanäle: Show HN-Posts.

Vier Projekte sind dort erschienen. Zusammen skizzieren sie, wie ein selbst gehosteter Agent-Stack aussieht, wenn er aus Einzelteilen zusammengebaut wird, statt als Plattform gekauft zu werden. Keines davon ist ein Produktlaunch im üblichen Sinne. Es sind Repositories, einzelne Binaries und Dokumentationsseiten, veröffentlicht mit offenem Quellcode. In den meisten Fällen gibt es das explizite Versprechen, dass interessante Funktionen nicht für eine Bezahl-Edition zurückgehalten werden.

Ein Runtime, der der Boden sein will, nicht die Decke

Soma wurde am 2. Dezember auf Show HN gepostet. Die eigene Dokumentation beschreibt es als Open-Source, selbst hostbaren KI-Agent- und Workflow-Runtime, der sich an alle richtet, von Startups bis zum Enterprise. Der Pitch ist bewusst unspektakulär: Agenten und MCP-Funktionen in normalem Code definieren, das bereits verwendete Framework mitbringen und Soma die Fehlerresilienz, Wiederaufsetzbarkeit und die dazugehörige Infrastruktur überlassen.

Die Dokumentation listet ein einzelnes Binary, automatische A2A (Agent2Agent)-Endpunkte (OpenAI Streaming-Kompatibilität als bald verfügbar markiert), einen MCP-Server, der vorintegriert mit dritten SaaS-Anbietern arbeitet und sich um Credential-Verschlüsselung und -Rotation kümmert, eine UI zum Debuggen von Agenten und MCP-Funktionen, feingranulares API-Key-Management, ein ausgehendes AI-Gateway, das Anfragen an Modell-Anbieter abfängt, und Secrets-Management über lokale, AWS oder geplante GCP KMS. TypeScript-Support ist heute verfügbar; Python ist als bald verfügbar gelistet, Rust noch nicht.

Die Plattform-Tabelle in den Docs markiert macOS und Linux GNU Builds für x86 und ARM als verfügbar für TypeScript und Python, mit Windows als nicht unterstützt. Die Dokumentation führt die Windows-Lücke auf die Verwendung von Unix Domain Sockets im Rust-Projekt zurück und verlinkt ein verwandtes Issue, anstatt ein Datum zu versprechen.

Die Docs positionieren Soma als „den Boden der Pyramide“ und stellen dabei Kern-Bausteine und eine Entwickler-Erfahrung bereit, während die Agentik-Logik dem Framework überlassen bleibt, das das Team bereits nutzt.

Diese Positionierung ist für Enterprise-Käufer relevant. Ein Runtime, der explizit darauf verzichtet, die Framework-Schicht zu besitzen, lässt sich leichter unter eine bestehende Evaluierung schieben als eine Plattform, die ein Rewrite verlangt. Es verschiebt auch die Lieferanten-Frage von „welches Agenten-Framework“ zu „wer betreibt den Runtime“, was ein kleineres Commitment ist.

Eine Artefakt-Registry, die Agenten als weiteres Paketformat behandelt

Artifact Keeper wurde am 6. Februar gepostet. Es ist gar kein Agenten-Framework. Es ist eine selbst gehostete Artefakt-Registry, die als Drop-in-Ersatz für JFrog Artifactory und Sonatype Nexus beworben wird. Das README spricht ungewöhnlich direkt über das Geschäftsmodell: kein Open-Core, keine Enterprise-Edition, keine Überraschungsfakturen.

Die Repository-Tabelle listet einen Rust, Axum, SQLx, PostgreSQL und Wasmtime Backend mit 45+ Format-Handlern, ein Next.js 15 Web-Dashboard, SwiftUI iOS und macOS Apps, eine Jetpack Compose Android App, eine geplante Rust CLI, Helm und Terraform Infrastruktur-Module, eine OpenAPI 3.1 Spezifikation mit 277 Operationen und eine Beispiel-WASM-Plugin-Vorlage, die für das Unity .unitypackage-Format gebaut wurde. Für Teams, die Agenten-Pipelines betreiben, sind die relevanten Teile Proxy- und virtuelle Repositories, die Artefakte von npmjs.com, PyPI, Maven Central und Docker Hub bei der ersten Anfrage cachen und private Pakete vor öffentlichen auflösen, sowie Trivy Vulnerability Detection, OWASP Dependency-Track SBOM-Analyse, OpenSCAP Compliance-Auditing, GPG und PGP Signierung mit Key-Management und eine Policy-Engine mit Quality Gates, Schweregrad-Schwellenwerten und Scan-before-Download-Erzwungung.

Peer-Replikation verwendet ein Mesh-Modell mit label-basierten Sync-Policies, reaktiven Subscriptions und P2P-Transfers zwischen Peers. Das README empfiehlt dies, um Caches näher an Build-Agenten zu legen. Authentifizierung deckt OpenID Connect, LDAP, SAML 2.0, JWT und API Tokens ab, mit RBAC pro Repository. Observability umfasst Prometheus-Metriken, beschrieben als 30+ ak_* Gauges, Counter und Histogramme, opt-in OpenTelemetry-Tracing mit OTLP-Export zu Jaeger, Tempo oder Datadog, und Kubernetes Health Probes auf /livez, /readyz und /healthz.

Der Quick Start besteht aus drei Befehlen: Repository klonen, Verzeichnis wechseln, docker compose up -d ausführen, dann localhost:9080 besuchen. Die Produktionsdeployment verweist auf ein separates Infrastruktur-Repository mit einem Helm Chart, Terraform-Modulen für EKS, RDS und S3, ArgoCD GitOps und einem Monitoring-Stack. Migrationstooling von JFrog Artifactory ist eingebaut und wird als Ein-Befehl-Operation beschrieben, die Repositories, Artefakte, Benutzer und Berechtigungen abdeckt.

Ob eine Registry zu einem Agenten-Stack gehört, ist eine berechtigte Frage. Die Antwort des READMEs ist implizit: Agenten produzieren und konsumieren Pakete, Container-Images und signierte Artefakte, und dieselben Supply-Chain-Kontrollen, die für von Menschen geschriebenen Code gelten, gelten auch für sie.

Ein Scanner für die MCP-Server, die bereits auf deinem Rechner sind

Golf Scanner wurde am 8. März gepostet. Es adressiert ein Problem, das die meisten Enterprise-Inventare noch nicht abdecken. Es ist ein kostenloser, Open-Source CLI, geschrieben in reinem Go mit drei Abhängigkeiten, der MCP-Server-Konfigurationen auf einem Rechner entdeckt und Security-Checks gegen sie ausführt. Er wird als einzelnes statisches Binary ausgeliefert, mit null Telemetrie und ohne Kontoerfordernis.

Die Discovery-Liste nennt sieben IDEs: Claude Code, Cursor, VS Code, Windsurf, Gemini CLI, Kiro und Antigravity. Der Scanner führt 20 Security-Checks aus, aufgeteilt in neun offline und elf online, wobei die Online-Checks OSV, GitHub, npm, PyPI, OCI-Registries und die MCP Registry abfragen. Jeder Server erhält einen Risiko-Score von 0 bis 100, der eine schwerigkeitsgewichtete Bewertung mit harten Obergrenzen verwendet.

Die Checks sind konkret. Command Safety sucht nach Privilegienskalierung und Shell-Injection-Mustern. Credentials-Checks finden Klartext-Geheimnisse in Argumenten, URLs und Umgebungsvariablen. Script Location markiert Skripte, die aus /tmp oder Home-Verzeichnissen laufen, und Script Permissions erkennen global schreibbare Dateien. Container Isolation markiert den --privileged-Modus, gefährliche Capabilities und Host Namespace Sharing, während Container Volumes Mounts des Root-Dateisystems, /etc oder des Docker Sockets markiert. Registry Listing bestätigt die Aufnahme in die MCP Registry. Vulnerabilities fragt OSV.dev nach bekannten CVEs und Malware in npm und PyPI Paketen ab. Typosquatting identifiziert ähnlich benannte Pakete, Distribution evaluiert Download-Metriken und Paketalter, und GitHub Trust wiegt Repository-Aktivität, Lizenzierung und Beitragszahleranzahl ab.

Das Scoring ist detailliert dokumentiert: Jeder Check erzeugt Befunde, die schlimmste Schwere setzt den pro-Check-Score von 0 bis 10, und die Scores kombinieren sich über ein schwerigkeitsgewichtetes Mittel mit kritisch bei 10x, hoch bei 7.5x, mittel bei 5x und Hinweis bei 1x. Harte Obergrenzen gelten. Jeder kritische Befund begrenzt die Gesamtsumme auf 30; jeder hohe Befund begrenzt sie auf 59.

Die CLI akzeptiert Flags, darunter --offline, --format table oder json, --json als Abkürzung, --fail-on mit Schwellenwerten von Hinweis bis kritisch, --verbose und --quiet. Exit-Codes sind 0 für Erfolg, 1 für keine Argumente, unbekannte Befehle, einen --fail-on-Schwellwertbruch oder einen Flag-Konflikt, und 2 für JSON-Fehler oder einen ungültigen --fail-on-Wert. Eine GITHUB_TOKEN-Umgebungsvariable ist optional und erhöht das GitHub-API-Ratenlimit von 60 auf 5.000 Anfragen pro Stunde.

Ein Postfach für Arbeit, die die Unterhaltung überlebt

Pizza Bot wurde am 15. September gepostet. Es nimmt den gegensätzlichen Ansatz zu demselben Problem. Statt Agenten zu verwalten, gibt es ihnen einen Ort, an dem sie berichten. Die GitHub-Beschreibung nennt es ein Local-first-Postfach für lang laufende KI-Agenten, gebaut mit DeepAgents und LangGraph, und das README stellt fest, dass es bei Amazon entwickelt und unter der Apache 2.0 Lizenz veröffentlicht wurde.

Das Framing des READMEs ist eine Warteschlange, kein Chat. Starte oder plane eine Aufgabe, geh weg und komme zu fertiger Arbeit in Unread und Entscheidungen in Action zurück. Agenten arbeiten weiter, wenn du navigierst oder die Verbindung trennst, und nur der api-server-Prozess muss laufen bleiben. Ein stateful DeepAgents und LangGraph Runtime dient dieselbe React-Erfahrung in Electron und im Browser, und Desktop-App, Web-App und Terminal-CLI kommunizieren alle mit dem api-server über HTTP und SSE.

Checkpointed Runs überleben Client-Disconnections, und cron- oder webhook-Trigger können Arbeit starten, ohne eine offene Unterhaltung. Skills werden zu tool-scoped Subagents, deren Fortschritt in einem Activity-Panel erscheint. Modell-Anbieter umfassen Amazon Bedrock, Anthropic, Google Gemini, OpenAI, OpenRouter und Ollama. Human-in-the-loop-Genehmigungen, Langzeitgedächtnis, Dateianhänge und Desktop-Benachrichtigungen sind als in den Workflow eingebaut beschrieben.

Zugriff wird im README spezifisch behandelt. Der api-server bindet an 127.0.0.1, und nicht-Loopback-Binding erfordert Authentifizierung und eine explizite Einstellung. Ordner müssen unter Einstellungen einzeln als schreibgeschützt oder schreibbar zugewiesen werden, und das Projekt stellt fest, dass es keinen standardmäßigen Home-Verzeichnis-Zugriff erhält. Desktop-Installer sind an jedem Release mit einer SHA256SUMS-Datei angehängt; macOS-Builds sind signiert und notariert, Windows x64 liefert ein Setup-Executable, und Linux x64 und arm64 Builds für .deb und .rpm sind unsigned und müssen gegen die Prüfsummendatei verifiziert werden.

Zusammen betrachtet bilden die vier Projekte keinen Stack. Sie überlappen sich bei Runtimes, und nur Artifact Keeper und Golf Scanner sprechen direkt die Compliance-Bedenken an, die Enterprise-Agenten-Headlines dominieren. Aber sie zeigen, wo der Boden gesetzt wird: Local-first-Defaults, explizite Dateiberechtigungen, signierte Releases, dokumentiertes Scoring und offene Lizenzen. Das ist ein anderer Verkaufsansatz als ein Control Plane, und für einige Teams wird er leichter zu genehmigen sein.