OpenBot gibt KI-Mitarbeitern eigene Rechner und klare Grenzen

Worum es geht

OpenBot von CopilotKit ist eine quelloffene Plattform für KI-Mitarbeiter, die Browser, Dateien, Shell und MCP-Werkzeuge nutzen können. Der entscheidende Unterschied zu einem gewöhnlichen Agenten-Chat: Jeder Bot erhält eine eigene Computerumgebung, während ein zentrales Gateway jede geplante Aktion gegen Regeln prüft und protokolliert.

Das Repository kennzeichnet OpenBot ausdrücklich als Alpha. Es richtet sich daher vor allem an technische Teams, die Agenten kontrolliert erproben möchten und bereit sind, Docker, Bun, PostgreSQL, Modellzugänge und CopilotKit Intelligence selbst zu betreiben oder einzurichten.

Was OpenBot tatsächlich macht

OpenBot startet für jeden Bot einen getrennten Container mit eigenem Chromium-Profil und Arbeitsverzeichnis. Ein Agent kann Webseiten bedienen, Dateien verarbeiten, Shell-Befehle ausführen und freigegebene MCP-Werkzeuge verwenden. Die Plattform unterstützt Agenten, die über das offene AG-UI-Protokoll angebunden sind, etwa Implementierungen mit LangGraph, Mastra, CrewAI, Pydantic AI oder Google ADK.

Alle Aktionen laufen durch ein Gateway. Dort können Teams mit CEL-Regeln festlegen, welche Werkzeuge, Webseiten, Dateien oder Befehle zulässig sind. Ablehnungen werden vor Erlaubnissen ausgewertet; eine fehlende oder fehlerhafte Richtlinie soll geschlossen statt offen reagieren. Das Audit-Protokoll unterscheidet erlaubte, verweigerte und fehlgeschlagene Aktionen.

Bei Login- oder Zwei-Faktor-Hürden kann ein Mensch die Browsersteuerung übernehmen und anschließend zurückgeben. Während dieser Übernahme werden Bot-Aktionen abgewiesen. Zugangsdaten werden verschlüsselt gespeichert und laut Dokumentation nicht als Klartext in Gespräch oder Audit-Protokoll geschrieben.

Warum das wichtig ist

Agenten werden riskant, sobald sie nicht nur antworten, sondern angemeldete Webseiten, Dateien und Befehle bedienen. Ein bloßer Bestätigungsdialog reicht für Teams oft nicht: Sie benötigen getrennte Identitäten, reproduzierbare Regeln und eine Spur, die nach einer Fehlentscheidung untersucht werden kann.

OpenBot bündelt diese Kontrollen in einer Oberfläche. Das kann für interne Recherche, vorbereitende Verwaltungsarbeit, Compliance-Prüfungen oder wiederkehrende Browserabläufe interessant sein. Die mitgelieferten Beispielrollen sind allerdings Konfigurationen und kein Beleg, dass das Tool einen konkreten Geschäftsprozess zuverlässig beherrscht.

Praktisch relevant ist auch die Framework-Unabhängigkeit. Ein Team kann einen vorhandenen AG-UI-Agenten anbinden, ohne die Kontrollschicht für jedes Framework neu zu bauen. Trotzdem bleibt es für Modellverhalten, Datenquellen und Fachlogik selbst verantwortlich.

Einfach erklärt

OpenBot ähnelt einer Werkstatt, in der jeder neue Mitarbeiter eine eigene Werkbank erhält. Werkzeuge liegen nicht frei herum: Eine Ausgabe prüft vor jedem Griff den Arbeitsauftrag, verweigert verbotene Geräte und trägt jede Nutzung in ein Buch ein. Das senkt Risiken, garantiert aber noch kein gutes Arbeitsergebnis.

Praktisches Beispiel

Ein Einkaufsteam möchte täglich 40 Lieferantenportale auf neue Dokumente prüfen. Ein OpenBot-Agent öffnet jedes Portal in seinem getrennten Browser, lädt nur PDF-Dateien in sein eigenes Arbeitsverzeichnis und schreibt Ergebnisse in einen freigegebenen MCP-Dienst. Eine Regel verbietet Zahlungen, Profiländerungen und Shell-Zugriff.

Beim fünften Portal erscheint eine Zwei-Faktor-Abfrage. Eine Mitarbeiterin übernimmt kurz den Browser, meldet sich an und gibt die Kontrolle zurück. Nach dem Test prüft das Team 40 Audit-Einträge und vergleicht alle heruntergeladenen Dokumente mit den Portalen. Erst bei stabilen Ergebnissen wird der Ablauf regelmäßig eingesetzt.

Einordnung und Grenzen

• OpenBot ist Alpha-Software. Schnittstellen, Bedienung und Sicherheitsannahmen können sich ändern; produktiver Einsatz benötigt eigene Tests.
• Die Installation ist anspruchsvoll und verlangt mehrere Dienste sowie Zugangsdaten. Das Tool ist keine sofort einsatzbereite Desktop-App.
• Regeln kontrollieren Aktionen, aber nicht automatisch deren fachliche Richtigkeit. Ein erlaubter Klick kann weiterhin falsch sein.
• Ein Bot mit Browser, Shell und MCP besitzt eine große Angriffsfläche. Prompt Injection, schädliche Dateien und kompromittierte Werkzeuge bleiben reale Risiken.
• CopilotKit nennt eine kostenlose Stufe für Intelligence und eine Self-Hosting-Option; konkrete Kosten hängen jedoch von Betrieb, Modell und gewähltem Angebot ab.

Der nächste sinnvolle Test ist ein eng begrenzter, nur lesender Ablauf auf Testkonten. Teams sollten zuerst eine verweigernde Standardrichtlinie setzen, anschließend fünf bekannte Aufgaben durchführen und Audit-Protokoll sowie Ergebnisse manuell vergleichen.

SEO- und GEO-Schlüsselbegriffe

OpenBot, CopilotKit, KI-Mitarbeiter, AI Agents, Browser Automation, AG-UI, MCP, Agentensicherheit, Audit-Protokoll, Self-hosted AI, Docker