Das Automatisierungsproblem.
Ein Computer-Use-Zyklus wird gefährlich, wenn Modellvorschlag und Programmbefugnis als dasselbe behandelt werden. Ein Prompt kann ein Ziel beschreiben; er darf nicht stillschweigend Zugriff auf Dateisystem, Shell oder Desktop gewähren.
Das Projekt musste nur Fähigkeiten zeigen, die die aktuelle Laufzeit wirklich unterstützt, eine vom Operator gewählte Berechtigungsstufe durchsetzen und nach jeder Aktion eine Beobachtung verlangen.
Die von der Laufzeit erzwungenen Grenzen.
Der Agent ist um ausdrückliche Beschränkungen gebaut:
- Die Standardstufe observe stellt Laufzeitprüfungen und schreibgeschützten Dateizugriff innerhalb freigegebener Pfade bereit.
- Desktop-, Browser-, Datei- und Systemwerkzeuge erscheinen nur, wenn Laufzeit und Berechtigungsstufe sie beide erlauben.
- Es gibt keine universelle Shell. Der begrenzte Programmstarter ruft genau ein freigegebenes Programm direkt auf und verwirft Pipelines, Substitutionen und Befehlsketten.
- Eine Aufgabe darf erst als abgeschlossen gelten, wenn der Orchestrierungszyklus eine verifizierte Beobachtung nach der Aktion besitzt.
Schlussfolgern und Befugnis trennen.
Das Modell soll entscheiden, welche deklarierte Aktion es anfordern möchte. Es soll nicht bestimmen, ob diese erlaubt ist, wie lange sie laufen darf oder wie viel Ausgabe in den nächsten Prompt gelangt.
Ich habe diese Entscheidungen in ein richtliniengeschütztes Tool-Register und eine begrenzte Orchestrierungsschicht verlegt. Unbekannte Werkzeuge schlagen fehl, Wiederholungen und Aufgabendauer sind beschränkt, und Audit-Ereignisse werden vor dem Schreiben redigiert.
Ein Beobachten–Entscheiden–Prüfen–Verifizieren-Zyklus.
Die Wahrnehmung erfasst Screenshot oder Accessibility Tree. Gemini liefert genau einen deklarierten Funktionsaufruf. Die Policy-Schicht prüft Laufzeitunterstützung, Stufe und Allowlists, bevor ein Werkzeug läuft. Die resultierende Beobachtung wird zur Evidenz des nächsten Turns.
Entscheidungen zur Verringerung der Angriffsfläche.
Fähigkeiten sind Konfiguration und Code, keine Prompt-Etikette.
Das Register zur Laufzeit aufbauen
Nicht unterstützte Werkzeuge werden weggelassen, statt sie anzubieten und erst nach der Auswahl durch das Modell scheitern zu lassen.
Das Modell sieht weniger Werkzeuge; das ist besser, als in jeder Umgebung dieselben Befugnisse vorzutäuschen.
Unabhängige Gates verwenden
Systemwerkzeuge verlangen die Stufe system und ein separates Bestätigungsflag für gefährliche Aktionen sowie Allowlists für Pfade, Anwendungen und Programme.
Die Einrichtung dauert länger, aber ein einziger breiter Schalter kann nicht alle folgenreichen Aktionen freigeben.
Die lokale Konsole authentifizieren
Die Web-Control-Plane tauscht ein Operator-Token gegen eine kurzlebige HttpOnly-Sitzung und begrenzt Herkunft, Rate, Uploads und Parallelität.
Sie bleibt eine lokale Control Plane in einem Prozess, kein öffentlicher Multi-Tenant-Dienst.
Laufzeit- und Release-Verifikation.
Portable Tests laufen unter Linux, während Windows CI desktopbezogene Abdeckung prüft. Statische Analyse, Abhängigkeits-Audit, Site-Validierung und Docker-Smoke-Tests decken die übrigen Auslieferungspfade ab.
Container-Releases werden erst nach Vulnerability-, SBOM- und Provenance-Prüfungen ausschließlich per Digest freigegeben. Native Desktop-Steuerung bleibt bewusst außerhalb von Docker; die öffentliche Pages-Site ist eine Präsentation, keine Operator-Konsole.
Was die Alpha belegt.
Der Agent kann deklarierte Desktop- und Browserwerkzeuge in einem Zyklus bedienen, dessen Befugnisse außerhalb der Modellantwort sichtbar und begrenzt sind.
Er beansprucht keine allgemeine Autonomie. UI-Qualität, Fensterfokus, Drittanbieterlatenz und Canvas-lastige Oberflächen begrenzen weiterhin die Zuverlässigkeit; das Projekt gehört deshalb in kurzlebige oder sorgfältig eingegrenzte Umgebungen.
Evidenzprotokoll.
Die Aussagen zur Alpha beruhen auf geprüften Grenzen statt auf Anekdoten autonomer Aufgaben:
- Verifikation
- 155 Unit-Test-Deklarationen und ein Repository-Coverage-Gate von 70%.
- Aufgabengrenzen
- Standardmäßig 50 Turns, 900 Sekunden pro Aufgabe, 120 Sekunden pro Modellabfrage und 45 Sekunden pro Aktion.
- Control Plane
- Mindestens 24 Zeichen langes Operator-Token, standardmäßig höchstens acht WebSockets und zwei native Streams.
- Grenze
- Gemini ist eine Cloud-Abhängigkeit; Docker kann den Host-Desktop nicht steuern, und native Zuverlässigkeit hängt von UI-Zugänglichkeit und Fokus ab.