OpenBot gibt selbst gehosteten KI-Kollegen eigene Computer

Worum es geht

OpenBot von CopilotKit ist eine selbst hostbare Vorlage für Unternehmen, die KI-Agenten nicht nur chatten, sondern in abgegrenzten Arbeitsumgebungen handeln lassen wollen. Version 0.1.2 erschien am 7. Oktober 2026. Das Projekt ist unter der MIT-Lizenz verfügbar und bezeichnet sich ausdrücklich als Alpha.

Der wichtige Unterschied zu einem üblichen Chatfenster: Jeder konfigurierte KI-Kollege kann einen eigenen Container mit Browserprofil, Dateien und freigegebenen Werkzeugen erhalten. Menschen können seine Arbeit beobachten, bei Anmeldungen übernehmen und später im Prüfprotokoll nachvollziehen, was erlaubt, abgelehnt oder fehlgeschlagen ist.

Was OpenBot tatsächlich macht

OpenBot verbindet eine Weboberfläche, PostgreSQL, isolierte Arbeitscomputer und beliebige Agenten, die das offene AG-UI-Protokoll sprechen. Im Beispielpaket sind dreizehn vorkonfigurierte Rollen enthalten, darunter Assistenten für Wissensfragen, Ticket-Triage, Besprechungsnotizen und Risikoanalysen. Eigene Rollen lassen sich über Konfigurationsdateien oder die Oberfläche ergänzen.

Browser-, Datei-, Shell- und MCP-Aktionen laufen durch ein zentrales Gateway. Dort werden Richtlinien geprüft und Entscheidungen protokolliert, bevor eine Aktion ausgeführt wird. Regeln können etwa einen Host, einen Befehl, eine Datei oder eine geplante Routine sperren. Fehlt eine passende Freigabe oder ist eine Regel fehlerhaft, soll das System die Aktion ablehnen. Zugangsdaten werden laut Projektdokumentation verschlüsselt gespeichert und nicht im Gesprächsverlauf ausgegeben.

Zum lokalen Start verlangt die dokumentierte Referenzkonfiguration Docker, Bun ab Version 1.3, ein Modellkonto sowie CopilotKit Intelligence. OpenBot liefert kein eigenes Modell mit. Ein Docker-Image und ein Startskript stehen bereit, dennoch ist das System keine fertige SaaS-Anwendung: Teams sollen die Vorlage klonen, anpassen und selbst betreiben.

Warum das wichtig ist

Agenten mit Browser, Shell und Zugangsdaten besitzen deutlich mehr Handlungsspielraum als ein reiner Textassistent. Damit wächst der Nutzen, aber auch die mögliche Schadenswirkung einer falschen Anweisung, einer kompromittierten Webseite oder einer zu breiten Berechtigung. OpenBot macht Richtlinien, getrennte Laufzeitumgebungen, menschliche Übernahme und ein lesbares Prüfprotokoll zu sichtbaren Produktfunktionen.

Für Plattformteams ist außerdem die Trennung zwischen Oberfläche und Agentenlogik interessant. Über AG-UI können unter anderem Agenten aus LangGraph, Mastra, CrewAI, Pydantic AI oder Google ADK angebunden werden. Das reduziert die Bindung an ein einzelnes Framework. Die OWASP Agentic Security Initiative betont unabhängig davon, dass Identität, Berechtigungen, Überwachung und die Begrenzung von Werkzeugzugriffen zentrale Bausteine sicherer Agentensysteme sind.

Einfach erklärt

Stell dir eine Werkstatt vor, in der jeder neue Mitarbeiter eine eigene Werkbank, einen eigenen Schlüsselsatz und eine Liste erlaubter Maschinen erhält. Der Meister kann zusehen, gefährliche Arbeitsschritte stoppen und später im Werkstattbuch nachlesen, wer was getan hat. OpenBot überträgt dieses Prinzip auf KI-Agenten: eigener Arbeitsplatz, begrenzte Werkzeuge und ein nachvollziehbares Protokoll.

Praktisches Beispiel

Ein Supportteam richtet einen KI-Kollegen ein, der täglich 40 neue Tickets vorsortiert. Er darf die Wissensdatenbank lesen, im Ticketsystem Entwürfe anlegen und öffentliche Produktseiten öffnen. Das Versenden einer Antwort und jeder Zugriff auf eine unbekannte Domain bleiben gesperrt.

Bei einem Ticket öffnet der Agent die Produktdokumentation, legt einen Antwortentwurf an und vermerkt seine Quellen. Für einen Login mit Zwei-Faktor-Schutz fordert er menschliche Hilfe an. Eine Mitarbeiterin übernimmt kurz den Browser und gibt ihn danach zurück. Am Tagesende prüft das Team das Protokoll: 37 Entwürfe wurden erstellt, zwei Aktionen wegen einer Domainregel abgelehnt und eine Anmeldung manuell abgeschlossen. Diese Zahlen sind ein Beispiel, keine veröffentlichte Leistungsangabe von OpenBot.

Einordnung und Grenzen

• Alpha-Software: Das Projekt warnt selbst vor Fehlern und Änderungen. Kritische Produktionseinsätze brauchen eigene Tests, Backups und einen klaren Rückweg.
• Betriebsaufwand: Docker, Datenbank, Modellzugänge, Richtlinien und CopilotKit Intelligence müssen eingerichtet und gepflegt werden. Selbsthosting beseitigt keine Sicherheits- oder Datenschutzpflichten.
• Keine automatische Sicherheit: Ein Gateway hilft nur, wenn Regeln eng formuliert, Zugangsdaten begrenzt und Protokolle tatsächlich geprüft werden. Prompt Injection und kompromittierte Webseiten bleiben Risiken.
• Abhängigkeiten: OpenBot ist offen lizenziert, benötigt in der Referenzkonfiguration aber weitere Dienste und Modellzugänge. Teams sollten Kosten, Lizenzen und Datenwege vorab prüfen.

Der sinnvollste erste Test ist deshalb klein: eine lokale Installation, ein Agent, ein ungefährlicher Browserauftrag und eine ausdrücklich verweigerte Aktion. Erst wenn Isolation, Protokoll und menschliche Übernahme nachvollziehbar funktionieren, sollte ein echtes internes System angebunden werden.

SEO- und GEO-Schlüsselbegriffe

OpenBot, CopilotKit, selbst gehostete KI-Agenten, AI Coworkers, AG-UI, Agent Governance, Browser Automation, MCP, Prüfprotokoll, Container-Isolation, Human in the Loop, Open Source AI