Vor ein paar Wochen habe ich einen Linux-Laptop einen echten Agenten tragen lassen – ein lokales Modell, das Blender steuert und offline im Web recherchiert, komplett auf dem Schreibtisch. Der Artikel endete mit einem Satz, der eine Tür aufstieß: Hände bekommt ein Sprachmodell erst durch die Harness drumherum. Dieser Artikel geht durch diese Tür.
Denn ein Agent auf dem eigenen Laptop hat eine Grenze: Er arbeitet, wenn ich arbeite. Die nächste Frage war, ob ein Agent auch allein arbeiten kann – nachts, autonom, mit wiederkehrenden Aufgaben. Daraus wurde der „Späher”: ein Recherche-Agent, der das öffentliche Web scannt, mir ein tägliches Briefing und einen wöchentlichen Lage-Report schreibt und beides aufs Handy liefert. Die These vorweg, denn sie ist das eigentliche Ergebnis: Über einer gewissen Schwelle entscheidet nicht das Modell über die Qualität, sondern das Gerüst drumherum. Wer Fehler sieht und zuerst das Modell tauscht, optimiert die falsche Variable.
Zwei Aufträge
Der Späher hat zwei stehende Aufgaben. Jede Nacht ein Briefing: Er scannt Hacker News, Reddit, Foren und arXiv nach frischen Diskussionen, in die eine ehrliche Antwort von mir passen würde – Wissensmanagement, lokale KI, digitale Souveränität. Die Kandidaten bewertet er nach Passung und Antwortbarkeit, sortiert aus, worauf man nichts erwidern kann, und legt mir morgens eine rangierte Shortlist ins Telegram – samt Antwort-Entwürfen in meiner Stimme. Das Prinzip heißt scout, don’t spam: Der Agent findet und entwirft, entschieden und gepostet wird von Hand.
Einmal die Woche ein Lage-Report: „Stand der KI-Entwicklung in China”, entlang fester Recherche-Achsen – die Rolle des Staates, der Stand der chinesischen KI-Beschleuniger, die Open-Source-Szene und ihre Startups, die Energiefrage, der Solar-Boom. Der Report füttert laufende Schreibprojekte: Er dockt an meine China-Serie an und unterfüttert Peter Schadts Frage, wer das KI-Rennen macht. Dazu gehört ein Autonomie-Mandat: Stößt der Späher auf Themen, die ihm wissenswert erscheinen, verifiziert und vertieft er sie selbstständig.
Warum mieten: der kaputte Hardware-Markt
Der Laptop fährt ein 20-GB-Modell an ~90 GB/s Speicherbandbreite – für einen interaktiven Agenten am Schreibtisch reicht das. Ein autonomer Agent braucht mehr Luft: großen Kontext (der Hermes-Agent verlangt mindestens 64K Token, konfiguriert sind 128K – und der Kontext-Cache belegt zusätzlichen Speicher) und vor allem Tempo, damit ein nächtlicher Lauf Minuten dauert und nicht Stunden. Übertrieben viel Hardware ist das aber nicht: Das Modell wiegt 21 GB – eine aktuelle NVIDIA-Consumer-Karte würde dafür genügen.
Nur: Kaufen ist gerade keine rationale Option. Der KI-Boom hat den Speichermarkt leergekauft, und das schlägt bis in die Consumer-Regale durch – Karten mit viel Grafikspeicher kosten absurdes Geld, wenn sie überhaupt lieferbar sind. Und wer den Preis zahlt, kauft sich einen Stromfresser dazu: Die NVIDIA-Consumer-Karten dieser Klasse ziehen unter Last mehrere hundert Watt – ein Agent, der nachts durcharbeitet, wird zum Heizlüfter im Arbeitszimmer. Die Hardware, die technisch ein Alltagsgegenstand sein könnte, ist preislich wie energetisch wieder Luxus geworden.
Die Miete dreht diese Rechnung um. Für rund 49 Cent die Stunde bekommt man bei RunPod on-demand sogar mehr, als man bräuchte: eine NVIDIA A6000 mit 48 GB – Workstation-Klasse, mit Luft für höhere Quantisierungen, lange Kontexte und Modell-Experimente. Das persistente 50-GB-Volume daneben kostet etwa 3 Dollar im Monat. Der Späher läuft ein paar Stunden pro Woche – Briefing, Report, gelegentliches Experimentieren. Schon der Kaufpreis der Consumer-Karte entspräche Tausenden solcher Mietstunden, also Jahren dieses Nutzungsmusters. Mieten ist hier keine Notlösung, sondern die einzig rationale Antwort auf einen kaputten Markt. Der Trade-off ist klar benannt: Der Pod steht in einem Rechenzentrum in Schweden, nicht bei mir. Es ist gemietete Rechenleistung – aber das Modell, die Werkzeuge und jede Zeile des Gerüsts gehören mir.
Die Isolation: Sicherheitsmaßnahme, nicht Nebeneffekt
Die zweite Design-Entscheidung ist wichtiger als die erste, und sie ist eine Sicherheits-, keine Kostenfrage: Der Späher läuft vollständig getrennt von meinem Laptop, meinem Vault, meinen Konten.
Der Grund heißt Prompt Injection, und er ist keine Theorie. Ein Recherche-Agent liest jeden Tag Dutzende fremder Webseiten – Forenthreads, Reddit-Posts, Blogartikel. Jede einzelne dieser Seiten ist, aus Sicht des Sprachmodells, Input mit derselben Autorität wie meine Anweisungen. Eine präparierte Seite könnte versuchen, dem Agenten neue Instruktionen unterzuschieben: ignoriere deine Regeln, führe diesen Befehl aus, schicke deine Schlüssel dorthin. Agenten-Systeme sind jung; die Disziplin, feindlichen Web-Text zuverlässig von legitimen Anweisungen zu trennen, hat noch niemand bewiesen. Ein Agent, der brav sein soll, ist keine Sicherheitsarchitektur.
Die Antwort ist deshalb nicht Verhaltens-, sondern Konstruktions-Sicherheit: Auf dem Pod gibt es schlicht nichts zu holen. Keine Zugangsdaten für irgendeine Plattform – der Agent kann nicht posten, nicht mailen, nicht löschen, egal was eine Webseite ihm einflüstert. Kein Zugriff auf meinen Vault – Kontext bekommt er als einmal hinkopiertes, read-only Bündel (ein Persona-Brief, ein Missions-Brief). Die Verbindung läuft in eine Richtung: Er legt fertige Berichte in eine Outbox, ich hole sie ab. Der schlimmste anzunehmende Prompt-Injection-Erfolg ist ein versauter Bericht und ein paar verschwendete GPU-Stunden. Mit dieser Deckelung kann man einem jungen Agenten-System guten Gewissens Autonomie geben – und genau darum ging es.
Hermes: das Gerüst
Das Herz des Aufbaus ist der Hermes-Agent von Nous Research – ein Open-Source-Agenten-Harness unter MIT-Lizenz, Untertitel: „the agent that grows with you”. Die Architektur-Entscheidung, die ihn für dieses Experiment qualifiziert: Er ist modell-agnostisch. Hermes redet mit jedem OpenAI-kompatiblen Endpunkt – bei mir ist das ein llama-server (llama.cpp) auf demselben Pod, der ein Qwen3.6-35B-A3B serviert, dasselbe MoE-Prinzip wie auf dem Laptop, nur größer und mit ~130 Tokens/s deutlich schneller. Harness und Modell sind getrennte Dinge: Das Modell ist eine GGUF-Datei und ein Konfigurationseintrag, das Gerüst bleibt bei einem Wechsel unangetastet.
Was Hermes mitbringt, ist genau der Werkzeugkasten, den ein autonomer Agent braucht:
Skills sind das Rückgrat. Ein Skill ist ein Ordner mit einem SKILL.md-Playbook – Anweisungen in Klartext – plus optionalen Skripten. Der Späher hat drei davon: einen Scan-Skill (ein Python-Fetcher zieht Kandidaten aus Hacker News, Reddit, Foren, arXiv und einer Such-API, dedupliziert und bewertet sie vor), einen web-read-Skill (dazu gleich mehr – er wurde zur wichtigsten Zeile des ganzen Projekts) und einen Report-Skill mit den Recherche-Achsen des wöchentlichen China-Reports. Skills sind gewöhnliche Dateien: versionierbar, lesbar, ohne Framework-Magie.
Cron macht die Autonomie konkret. Zwei Zeilen genügen:
hermes cron create "0 6 * * *" --name spaeher-nightly ... # tägliches Briefing
hermes cron create "0 5 * * 0" --name china-ki-weekly ... # wöchentlicher Lage-ReportDer Agent weckt sich selbst, arbeitet seinen Skill ab und legt das Ergebnis in die Outbox. Für reine Skript-Jobs gibt es einen --no-agent-Modus, bei dem gar kein Modell angeworfen wird – Wächter-Aufgaben ohne Token-Kosten.
Gateway und Zustellung schließen den Kreis zum Menschen. hermes gateway run verbindet den Agenten mit einem Telegram-Bot, der hart auf meine User-ID beschränkt ist – ich kann vom Handy aus mit dem Späher chatten, ihm Aufgaben zurufen, nachfragen. Und hermes send pusht die fertigen Berichte als Datei-Anhang in denselben Chat, auch ohne laufendes Gateway. Morgens liegt das Briefing im Telegram, wie eine Zeitung vor der Tür.
Headless-Betrieb ist der Modus, in dem das alles läuft: hermes -z "…" --cli --yolo feuert einen One-Shot-Auftrag ab – nicht-interaktiv, mit automatisch genehmigten Werkzeugen. Das --yolo-Flag ist ehrlich benannt: Der Agent führt Shell-Befehle aus, ohne zu fragen. Genau deshalb die Isolation – dieses Flag ist auf einem Rechner mit meinen Daten undenkbar, auf dem leeren Pod ist es der Normalbetrieb. Dazu kommen ein Web-Dashboard (über SSH-Tunnel erreichbar, mit eingebettetem Chat und Session-Verläufen) und ein Speicher-System, das über Läufe hinweg Notizen behält.
Das ist mit „Gerüst” gemeint: Skills, Zeitpläne, Regeln, Werkzeuge, Zustellwege. Nichts davon ist das Modell. Und die zentrale Erfahrung dieses Projekts ist, dass die Qualität der Berichte an diesen Dingen hing – nicht an den Gewichten.
Der Fehlschlag, der alles erklärt
Der Beweis kam früh, mit dem ersten China-Report. Er sah großartig aus: sauber strukturiert, chinesische Fachbegriffe, plausible Zahlen, Benchmark-Tabellen. Ich habe ihn Zeile für Zeile geprüft – und der Boden fiel weg. Das Modell hatte einem kommenden DeepSeek-Modell detaillierte Spezifikationen angedichtet, die so nirgends existieren. Es hatte Modellgrößen halbiert, einer Grafikkarte ein Feature zugeschrieben, das sie nicht hat, und am Ende eine Quellenliste ausgegeben – 知乎, V2EX, Bilibili –, die reine Dekoration war: Keine dieser Seiten war je gelesen worden.
Die Ursache war strukturell, nicht moralisch. Das Web-Extraktions-Werkzeug des Agenten funktionierte in meinem Setup nicht – die kostenlose Such-API kann suchen, aber keine Seiten tief lesen. Der Agent konnte suchen, aber nicht lesen. Und ein Sprachmodell, das nicht lesen kann, aber liefern soll, schreibt aus dem Gedächtnis – und rahmt es als Recherche.
Der Fix war kein besseres Modell. Er war ein 50-Zeilen-Python-Skript und eine Regel. Das Skript (fetch_page.py, nur Standardbibliothek, kein API-Schlüssel) lädt den Volltext einer Seite. Die Regel steht seitdem in jedem Skill: Erst lesen, dann behaupten. Jede Zahl braucht eine tatsächlich geöffnete Quelle; was nicht belegt ist, wird ausdrücklich als „unbestätigt” markiert; die Quellenliste am Ende darf nur Seiten enthalten, die wirklich geladen wurden.
Der nächste Report war ein anderer Planet: zehn real gelesene Quellen, jede Kernaussage belegt, eine ehrliche „Unbestätigt”-Sektion. Ich habe die harten Zahlen einzeln gegengeprüft – sie stimmten verbatim. Dasselbe Modell, derselbe Pod, dieselbe Aufgabe. Der Unterschied war das Gerüst.
Stichproben mit Fallen
Trotzdem wollte ich wissen, ob ein anderes Modell es besser macht – der Pod hatte schließlich Speicher frei. Ich habe deshalb Vergleichs-Stichproben gefahren: mein Qwen in zwei Quantisierungen gegen zwei Gemma-4-Modelle von Google, erst auf sauberen Quell-Auszügen, dann härter – ein präpariertes Mini-Web aus zehn selbstgeschriebenen Seiten, gespickt mit genau den Fallen, an denen der erste Report gescheitert war: zwei Quellen, die sich bei einer Zahl widersprechen; ein Gerüchte-Blog mit erfundenen Modell-Specs; zwei tote Links; eine zehn Monate alte Quelle, die sich aktuell gibt; eine chinesischsprachige Quelle mit einer Schlüsselzahl.
Das ist ausdrücklich kein Benchmark – zwei, drei Läufe pro Modell, selbstgebaute Aufgaben, Handauswertung. Aber als Stichprobe war das Ergebnis deutlich genug: Fast alle Fallen entschärften alle Modelle. Sie erkannten den Widerspruch, verweigerten dem Gerücht die Faktenwürde, markierten die toten Links ehrlich, lasen die chinesische Quelle korrekt. Unterschiede gab es im Tempo und in der Knappheit – mein Qwen blieb das effizienteste – aber kaum in der Korrektheit. Die einzige Falle, in die alle tappten: das alte Datum. Kein Modell wies von sich aus darauf hin, dass eine Quelle veraltet war; eines nannte die zehn Monate alte Richtlinie sogar „neu”. Der Fix war – wieder – eine Zeile Instruktion: Prüfe das Veröffentlichungsdatum jeder Quelle; markiere alles Alte als möglicherweise überholt. Kein Modellwechsel.
Die Lektion
Zweimal in diesem Experiment gab es ein Qualitätsproblem, und zweimal war die Lösung ein Stück Gerüst: ein kleines Werkzeug plus Regel, eine Instruktions-Zeile. Kein einziges Mal war es das Modell. Die Fehler waren systematisch – ein fehlendes Werkzeug, eine fehlende Anweisung – und systematische Fehler treffen jedes Modell gleichermaßen. Sie sind im Gerüst behebbar, nicht in den Gewichten.
Die Grenze der These gehört dazu: Ein Gerüst kann nur hervorlocken, was ein Modell kann. Ein winziges Modell macht auch mit perfekten Instruktionen keine Quellenkritik; unterhalb der Fähigkeitsschwelle ist das Modell der Flaschenhals. Aber die brauchbaren lokalen Modelle des Jahres 2026 liegen für eine Aufgabe wie diese alle oberhalb dieser Schwelle – und dann kippt die Optimierung: Der nächste Qualitätspunkt steckt fast immer im Gerüst, fast nie im Modelltausch.
Der ehrliche Realitäts-Check
- Das Feld ist ein Kaninchenbau – im besten und im anstrengendsten Sinn. Das Innovationstempo ist atemberaubend: Open-Source-Modelle, Agenten-Harnesse und Werkzeuge erscheinen im Wochentakt, und was vor einem halben Jahr Frontier-Klasse war, läuft heute quantisiert auf Miethardware. Aber nichts davon ist fertig. Jede gelöste Frage öffnete in diesem Projekt drei neue: GPU mieten führt zu llama.cpp-Flags, die führen zu Quantisierungs-Abwägungen, die zu Kontext-Caches, die zu Cron-Eigenheiten, die zu Telegram-Bot-Rechten. Zwischen „geht im Prinzip” und „läuft nachts allein” liegen Abende voller SSH-Sitzungen, Logdateien und Konfigurationszeilen. Wer einsteigt, braucht Neugier als Treibstoff – es ist Pionierland, kein Produkt.
- Gemietete Souveränität ist geteilte Souveränität. Der Pod steht bei einem US-Anbieter in Schweden. Für den Späher ist das die richtige Abwägung – er verarbeitet nur öffentliches Web, die Isolation schützt mich vor ihm, nicht ihn vor dem Anbieter. Für vertrauliche Daten wäre es die falsche.
- Die Disziplin kostet Aufmerksamkeit. On-demand heißt: Pod stoppen, wenn er nicht gebraucht wird – sonst frisst die Bequemlichkeit die Ersparnis. IP und Port wechseln bei jedem Neustart; ein Bootstrap-Skript stellt alles wieder her, aber es bleibt Handarbeit.
- Ein 50-GB-Volume zwingt zur Askese. Zwei große Modelle passen nicht nebeneinander; Vergleiche heißen: herunterladen, testen, löschen.
- Der Agent bleibt ein Werkzeug mit Aufsicht. Das Mensch-Gate ist absichtsvoll: Der Späher findet und entwirft, veröffentlicht wird von Hand. Autonomie beim Sammeln, keine Autonomie beim Sprechen.
Fazit
Drei Entscheidungen tragen dieses Experiment, und keine davon ist ein Modell-Name. Gemietet wird, weil der Hardware-Markt für Privatleute gerade kaputt ist – schon die technisch ausreichende Consumer-Karte ist absurd teuer oder nicht lieferbar, während die gemietete Workstation-Karte 49 Cent die Stunde kostet. Isoliert wird, weil ein Agent, der fremde Webseiten liest, ein reales Prompt-Injection-Ziel ist – und die einzige belastbare Antwort darauf Architektur heißt: nichts zu stehlen, nichts kaputtzumachen. Und gebaut wird am Gerüst, weil dort die Qualität entsteht: Der Sprung von halluzinierten Reports zu belegten kam von einem 50-Zeilen-Skript und zwei Regeln im Klartext, nicht von besseren Gewichten.
Der Bogen zum Laptop-Artikel schließt sich damit auf unerwartete Weise. Dort war die Erkenntnis, dass ein bescheidener Rechner echte agentische KI trägt, wenn die Architektur stimmt. Hier ist es dieselbe Erkenntnis, eine Stufe höher: Auch beim autonomen Agenten ist das Modell der austauschbarste Teil. Was zählt, ist das Gerüst – die Werkzeuge, die Regeln, die Sicherheits-Konstruktion. Und das Gerüst kann man nicht mieten. Das baut man selbst.
Ausblick: drei Dinge, bis das für viele normal wird
Das Experiment funktioniert – aber es ist ein Experiment: gemietete Hardware, gebasteltes Gerüst, bewusste Käfighaltung. Damit ein leistungsfähiger lokaler Agent für viele Menschen Alltag wird statt Hobby für Leute mit SSH-Zugang, müssen sich drei Dinge bewegen.
Erstens: verfügbarer, schneller, sparsamer Speicher. Der Engpass lokaler KI ist nicht Rechenleistung, sondern Speicher – Kapazität und Bandbreite, das war schon die Kernthese des Laptop-Artikels. Heute gibt es beides zusammen nur in zwei Formen: als überteuerte, stromhungrige Grafikkarte oder als Nischen-Architektur mit schnellem geteiltem Speicher (Apples M-Chips, AMDs Strix-Klasse), die immerhin die Richtung zeigt – hohe Bandbreite bei einem Bruchteil des Verbrauchs. Was fehlt, ist die Massenware: schneller Speicher zu normalen Preisen in normalen Rechnern, effizient genug, dass ein nächtlicher Agenten-Lauf weder die Stromrechnung noch das Klima belastet. Das ist keine Forschungsfrage, sondern eine Fertigungs- und Marktfrage – es ist dieselbe Knappheit, die oben die Kaufoption beerdigt hat.
Zweitens: weiter optimierte Modelle. Die MoE-Architektur, die dieses ganze Projekt trägt – 35 Milliarden Parameter im Speicher, nur drei aktiv pro Token –, zeigt das Prinzip: Die Fähigkeit pro Byte und pro Watt wächst schneller als die Modelle selbst. Dazu kommen Quantisierung, die aus 70 Gigabyte 20 macht, und Tricks wie spekulatives Dekodieren, die Tempo von Modellgröße entkoppeln. Jede Idee dieser Art senkt die Hardware-Schwelle weiter – und rückt den Punkt näher, an dem die brauchbare Agenten-Klasse auf dem Mainboard-Speicher eines Alltagsrechners läuft.
Drittens, und am schwersten: verlässliche Sicherheitskonzepte gegen Prompt Injection. Meine Antwort war Käfighaltung – ein Agent, der nichts anrichten kann, weil er nichts hat. Das funktioniert für einen Web-Späher, aber es skaliert nicht auf den Agenten, den die meisten eigentlich wollen: einen, der an die eigenen Mails, Kalender und Notizen darf. Dafür reicht „das Modell soll brav sein” nicht. Es braucht Architektur, die feindlichen Web-Text von legitimen Anweisungen strukturell trennt – Berechtigungs-Schichten, deterministische Freigaben für kritische Aktionen, geprüfte Bausteine statt Hoffnung. Diese Konzepte entstehen gerade, aber sie sind noch nicht da, wo man ihnen den Zugriff auf das eigene digitale Leben anvertrauen möchte.
Keiner der drei Punkte braucht ein Wunder – Speicher ist eine Preisfrage, Modell-Effizienz liefert die Open-Source-Szene im Monatstakt, und an der Sicherheitsarchitektur arbeitet eine ganze Disziplin. Wenn sie zusammenkommen, wird aus dem 49-Cent-Experiment ein unscheinbares Gerät neben dem Router. Und aus der Frage „Kann ich mir das leisten?” wird die bessere: Wem gehört mein Gerüst?
Verwendete Software & Projekte
- Hermes-Agent – der Open-Source-Agenten-Harness (Nous Research, MIT): Skills, Cron, Telegram-Gateway, Dashboard
- llama.cpp – die Inferenz-Engine;
llama-serverstellt das Modell als OpenAI-kompatiblen Endpunkt bereit - Qwen3.6-35B-A3B – das lokale MoE-Modell (35B gesamt, ~3B aktiv)
- RunPod – die Miet-GPU (A6000 48 GB, on-demand)
- Brave Search API – die Such-Schicht des Scan-Skills
- Telegram-Bot – Zustellung und Chat-Zugang, gesperrt auf eine User-ID
Dieser Artikel ist eine Fortsetzung von Lokale KI auf dem Tuxedo, der fragte, was ein Laptop an agentischer KI trägt. Hier ging es um die nächste Stufe: einen Agenten, der allein arbeitet – und um die Lektion, die dabei heraussprang. Was der Späher inhaltlich über Chinas KI-Entwicklung herausfand, dockt an die China-Serie und Peter Schadts Analyse des KI-Weltmarkts an.