OpenWorker: Andrew Ng präsentiert quelloffenen Desktop-AI-Agenten, der fertige Arbeit liefert, statt zu chatten

Architektur: Ein lokaler Vier-Schichten-Stack

OpenWorker läuft vollständig auf dem eigenen Rechner des Nutzers, ohne jeglichen Inferenz-Server in der Cloud. Die Architektur besteht aus vier Schichten :

• Desktop-Shell: Ein natives Tauri-2-Fenster, das eine React-18-Oberfläche einbettet (Bundle-ID com.openworker.desktop). Diese Shell überwacht auch den Python-Server-Prozess.
• Lokaler Agent-Server: Entwickelt mit Python 3.10+ und FastAPI mit Uvicorn. Dieser Server bindet an die lokale Adresse 127.0.0.1:8765 und hat eine voreingestellte Obergrenze von 12 Modell-Tool-Interationen pro Aufgabe.
• Fähigkeiten- und Verbindungsschicht: Diese Schicht bietet eine Reihe lokaler Werkzeuge für die Interaktion mit dem Dateisystem, Git, einer ripgrep-basierten Suche, der Shell und Aufgabenlisten. Sie umfasst auch gehostete Integrationen und Unterstützung für das Model Context Protocol (MCP).
• Modell-Router: Die zentrale Modellschnittstelle basiert auf aisuite, Andrew Ngs eigener anbieterneutraler LLM-Bibliothek. Dies ermöglicht OpenWorker eine einheitliche Schnittstelle über native, OpenAI-kompatible, Reseller und lokale Modellanbieter hinweg . Das Repository enthält 119 Python-Dateien (~32.400 Zeilen) unter coworker/, 149 TypeScript/TSX-Dateien unter surfaces/gui/ und 78 Backend-Testmodule .

Unterstützte Modelle: 30 kuratierte, BYOK-Prinzip

OpenWorker bindet Nutzer nicht an einen einzigen Anbieter. Es unterstützt 30 kuratierte Modelle aus verschiedenen Kategorien, wobei alle einen eigenen API-Schlüssel des Nutzers erfordern (BYOK – Bring Your Own Key) . Die unterstützten Modelle umfassen:

• Native Anbieter: OpenAI GPT-5.6 Sol, Terra, Luna, GPT-5.5; Anthropic Claude Fable 5, Opus 4.8, Sonnet 4.6, Haiku 4.5; Google Gemini 3.6 Flash, 3.1 Pro, 2.5 Pro, 2.5 Flash.
• OpenAI-kompatible Anbieter: GLM-5.2, DeepSeek V4, Kimi K2.6, MiniMax M2.5, Qwen3 Max, Grok 4.3, Mistral Large.
• Gehostete Open-Weight-Modelle: Verfügbar über Partner wie Together AI und Fireworks.
• Vollständig lokale Modelle: Zugänglich über Ollama, das keinen API-Schlüssel benötigt.

Das Berechtigungs- und Sicherheitssystem

Ein zentrales Merkmal von OpenWorker ist sein Sicherheitsansatz. Jeder Werkzeugaufruf eines Agenten wird in eine von vier Risikostufen eingeteilt :

1. read – Anzeigen lokaler Daten (keine Seiteneffekte)
2. write_local – Erstellen oder Ändern von Dateien auf dem Rechner (pfadbezogen)
3. exec – Ausführen von Shell-Befehlen
4. external – Senden von Daten an externe Dienste (z. B. Slack, E-Mail oder Kalender)

Diese Stufen werden durch fünf Berechtigungsmodi gesteuert :

1. discuss – Nur-Lese-Diskussion
2. plan – Nur-Lese-Planung
3. interactive (Standard) – Fragt den Nutzer vor dem Schreiben, Ausführen von Befehlen und externen Aktionen
4. auto – Erlaubt alles, bleibt aber pfadbezogen
5. custom – Genehmigt automatisch eine vom Nutzer festgelegte Menge an Werkzeugen

Prompt-Injection-Abwehr

Zum Schutz vor Prompt-Injection-Angriffen enthält OpenWorker eine eingebaute „Ops-Persona", die das Modell anweist, Inhalte aus Werkzeugen, Protokollen, Dateien und eingehenden Nachrichten als nicht vertrauenswürdige Daten und nicht als Anweisungen zu behandeln. Diese Abwehr ist direkt in die mitgelieferte Persona-Konfiguration eingeschrieben .

Datenschutzorientiertes Design

OpenWorker ist mit starken Datenschutzprinzipien entwickelt :

• Modellaufrufe leiten direkt vom Rechner des Nutzers zum gewählten Anbieter – es gibt keinen zwischengeschalteten Weiterleitungsserver.
• Konversationen, Verbindungs-Tokens und API-Schlüssel bleiben lokal. Der Geheimnisspeicher ist so architekturiert, dass Geheimnisse niemals in den Modellkontext, die Eingabeaufforderungen oder die Ablaufverfolgungen gelangen.
• Die einzige optionale Cloud-Komponente ist ein OAuth-Broker (unter Verwendung von Auth0 Authorization Code mit PKCE) für Ein-Klick-Verbindungs-Handshakes. Verbindungs-Tokens werden direkt an den Rechner übergeben und niemals in der Cloud gespeichert.
• Die App funktioniert vollständig offline, wenn API-Schlüssel und Anmeldedaten manuell eingegeben werden.

Plattformunterstützung und aktueller Status

OpenWorker läuft derzeit auf Mac; Windows-Unterstützung ist als „coming soon" angekündigt . Das Projekt befindet sich in der offenen Beta-Phase und wird als voll funktionsfähig beschrieben, mit Selbstaktualisierungsfunktionen .

Das Ende des Chatbot-Paradigmas

OpenWorker wird explizit als Abkehr vom Chatbot-Modell positioniert. Anstatt eine Konversation zu beginnen, gibt der Nutzer ein gewünschtes Ergebnis vor (z. B. „sortierter Posteingang", „ausgereiftes Dokument", „Slack-Antwort mit Q3-Zahlen", „aktualisierter Kalendereintrag"). Der Agent zerlegt dieses Ziel in Schritte, arbeitet mit lokalen Dateien und verbundenen Anwendungen und hält für menschliche Zustimmung inne, bevor er folgenreiche Aktionen ausführt . OpenWorker unterstützt über 25 Integrationen plus MCP, darunter Tools wie Telegram, GitHub, Slack, Jira, Notion, Linear, HubSpot, Outlook, Gmail und Google Calendar .