qm gibt Teams getrennte Arbeitsräume für KI-Agenten

Worum es geht

qm ist ein quelloffenes Agenten-System für Teams. Statt einem einzelnen persönlichen Assistenten stellt es Mitarbeitenden und gemeinsamen Räumen getrennte Arbeitsumgebungen bereit. Der Zugriff erfolgt über Slack oder eine Weboberfläche. Das Projekt erschien im Juli 2026 und veröffentlichte am 17. August 2026 die Version 0.1.5.

Der praktische Unterschied liegt nicht in einem neuen Sprachmodell. qm organisiert vorhandene Coding-Harnesses wie Codex, Claude Code, OpenCode oder Pi als gemeinsame Infrastruktur. Das ist für kleine Unternehmen interessant, die Agenten nicht nur ausprobieren, sondern mit eigenen Dateien, Diensten und wiederkehrenden Aufgaben einsetzen möchten.

Was qm tatsächlich macht

Jede Person und jeder gemeinsame Raum erhält laut Projektdokumentation einen eigenen Bereich für Speicher, Dateien, Schlüsselzugriffe, Berechtigungen, Zeitpläne und eine dauerhafte Sandbox. Ein zentraler Kern verwaltet Identität, Richtlinien, Warteschlangen und Agentenläufe. PostgreSQL speichert Sitzungen und Erinnerungen; die eigentliche Arbeit läuft in getrennten Computern beziehungsweise Sandboxes.

Teams können damit interne Notizen, E-Mails, Dokumente und Datenbanken durchsuchen, kleine interne Anwendungen bereitstellen, Repositories bearbeiten oder geplante Aufgaben ausführen. Fähigkeiten lassen sich gezielt teilen. Administrierende Personen bestimmen, welche Modelle und Harnesses erlaubt sind. Die Software ist unter der MIT-Lizenz verfügbar und wird im eigenen Cloud-Konto auf Fly.io oder AWS bereitgestellt.

Für riskante Aktionen bietet qm drei Sicherheitsstufen. Im strengen Modus wartet jeder wirksame Tool-Aufruf auf eine menschliche Freigabe. Der Standardmodus prüft externen Inhalt mit einem Klassifikator. Der gefährliche Modus verzichtet auf diese Prüfung, behält laut Dokumentation aber feste Verbote für bestimmte Befehle bei. Alle Aktionen sollen protokolliert werden.

Warum das wichtig ist

Ein persönlicher Agent und ein Team-Agent haben unterschiedliche Sicherheitsprobleme. Sobald mehrere Personen dieselbe Instanz nutzen, dürfen Erinnerungen, Dateien und Zugangsdaten nicht versehentlich zwischen Projekten wandern. qm behandelt diese Trennung als Grundbaustein und nicht als nachträgliche Rollenliste.

Auch die Austauschbarkeit ist relevant: Das Team kann laut README verschiedene Harnesses und Modelle hinter demselben Kern einsetzen. Ein Wechsel des Modellanbieters muss daher nicht automatisch einen Wechsel der Arbeitsoberfläche, Speicherstruktur oder Berechtigungen bedeuten. Version 0.1.5 ergänzte unter anderem die Volltextsuche über sichtbare Unterhaltungen, eigene Modell-Endpunkte, administrierte HTTP-MCP-Tools sowie zusätzliche Prüfungen für Berechtigungen und Zugangsdaten.

Einfach erklärt

Man kann qm mit einem Bürogebäude vergleichen. Jede Person besitzt ein eigenes Büro, jedes Projekt einen Besprechungsraum und die Verwaltung legt fest, welcher Schlüssel welche Tür öffnet. Der KI-Agent ist kein frei herumlaufender Bote, sondern arbeitet jeweils in dem Raum, für den er beauftragt wurde. Das Gebäude ersetzt allerdings weder Hausordnung noch Wachpersonal: Fehlkonfigurationen bleiben möglich.

Praktisches Beispiel

Ein Start-up mit zwölf Mitarbeitenden betreibt drei Produktteams. Team A verbindet ein Repository und eine Support-Mailbox, Team B nur sein eigenes Repository, und die Geschäftsführung richtet einen gemeinsamen Marktbeobachtungsraum ein. Jeden Werktag um 8 Uhr erstellt ein Agent einen Entwurf mit offenen Fehlern und fehlgeschlagenen CI-Läufen.

Eine Entwicklerin bittet den Agenten anschließend, einen Fehler zu untersuchen. qm startet die Arbeit in ihrer Sandbox, nutzt nur die für diesen Bereich freigegebenen Zugänge und zeigt die Schritte im Protokoll. Soll eine Änderung veröffentlicht werden, kann die Organisation im strengen Modus eine Freigabe verlangen. Vor einem echten Einsatz sollte das Team diesen Ablauf zunächst mit einem unwichtigen Test-Repository, zwei Testkonten und künstlichen Zugangsdaten prüfen.

Einordnung und Grenzen

Erstens ist qm junge Infrastruktur. Eine hohe Zahl an GitHub-Sternen ersetzt keine unabhängige Langzeitprüfung, und die aktuelle Versionsnummer 0.1.5 signalisiert einen frühen Entwicklungsstand. Zweitens bleibt der Betrieb anspruchsvoll: Teams müssen Cloud-Ressourcen, PostgreSQL, Identität, Slack-Zugriffe, Sandboxes und Geheimnisse sicher konfigurieren und aktualisieren.

Drittens verhindert Bereichstrennung keine schädlichen Entscheidungen innerhalb eines korrekt freigegebenen Bereichs. Prompt Injection, zu breite Berechtigungen und fehlerhafte Automationen bleiben reale Risiken. Besonders der gefährliche Modus gehört nicht in eine Umgebung mit echten Kundendaten. qm ist deshalb kein Ersatz für minimale Rechte, Freigaben, Backups, Überwachung und regelmäßige Sicherheitsprüfungen.

SEO- und GEO-Schlüsselbegriffe

qm, Multiplayer Agent Harness, KI-Agenten für Teams, Slack AI Agents, Team-Sandbox, Agenten-Berechtigungen, Self-hosted AI, Codex, Claude Code, OpenCode, MCP, Agent Security