Was ist ein Agent-Harness? Einfach erklärt

Was ein Agent-Harness ist

Ein Agent-Harness ist das Programm, das um ein Sprachmodell herum ausgeführt wird und es in einen Agenten verwandelt. Es enthält die Schleife, die das Modell fortlaufend aufruft, die Tool-Definitionen, die das Modell verwenden darf, die Berechtigungsregeln, die festlegen, welche dieser Aufrufe tatsächlich ausgeführt werden, den Sitzungsstatus, der zwischen den einzelnen Durchläufen erhalten bleibt, und das Arbeitsverzeichnis, in dem die Arbeit stattfindet. Das Modell kann darin ausgetauscht werden.

Der letzte Satz ist entscheidend. Ein Modell allein beantwortet eine Frage und vergisst Sie. Ein Harness fragt das Modell, was als Nächstes zu tun ist, führt den vom Modell angeforderten Befehl aus, gibt das Ergebnis zurück und fragt erneut. Diese Wiederholung ist gemeint, wenn von einem „Agenten“ gesprochen wird. Wenn die Begriffe noch unklar sind, klärt der Unterschied zwischen einem KI-Agenten, einem LLM und einem Assistenten die Begriffe, bevor Sie ein Tool auswählen.

Das Harness ist nicht das Modell

Die beiden werden verwechselt, weil Anbieter sie unter einem gemeinsamen Markennamen ausliefern.

dsh und DeepSeek sind unterschiedliche Produkte. DeepSeek Harness, veröffentlicht unter github.com/deepseek-ai/deepseek-harness am 13. August 2026 unter der MIT-Lizenz, ist ein Node-Programm, das Sie auf einem Rechner installieren. Die DeepSeek-Modelle sind Gewichte, die über eine API (Application Programming Interface) bereitgestellt werden. Wenn Sie dsh auf ein Modell eines anderen Anbieters verweisen, funktioniert es weiterhin, weil das Harness lediglich etwas benötigt, das Nachrichten akzeptiert und Tool-Aufrufe zurückgibt.

Claude Code und Claude bilden dasselbe Paar. Claude Code ist ein Harness: ein Terminalprogramm mit einer Schleife, einem Berechtigungssystem sowie Datei- und Shell-Tools. Claude ist standardmäßig die aufgerufene Modellfamilie. Codex und Gemini CLI sind auf dieselbe Weise getrennt.

Dieser Test schafft jedes Mal Klarheit. Sie installieren ein Harness. Sie rufen ein Modell auf. Wenn das Programm eine Version auf Ihrer Festplatte und eine Konfigurationsdatei in Ihrem Home-Verzeichnis hat, ist es ein Harness. Wenn es sich um eine Zeichenfolge in dieser Konfigurationsdatei handelt, etwa deepseek-chat, ist es das Modell.

Was die Schleife tatsächlich tut

Ein Durchlauf einer Harness-Schleife sieht so aus. Lesen Sie den Ablauf langsam durch, denn fast jeder Unterschied zwischen Harnesses liegt in diesen fünf Schritten.

1. Das Harness sendet den bisherigen Gesprächsverlauf zusammen mit einer Liste von Tooldefinitionen an das Modell.
2. Das Modell antwortet mit Text oder fordert den Aufruf eines dieser Tools an.
3. Das Harness prüft diese Anforderung anhand seiner Berechtigungsregeln und führt sie entweder aus oder hält an, um Sie zu fragen.
4. Das Harness führt das Tool aus, erfasst die Ausgabe und den Exit-Code und kürzt die Ausgabe, wenn sie sehr lang ist.
5. Das Harness fügt dieses Ergebnis zum Gespräch hinzu und kehrt zu Schritt 1 zurück.

Schritt 3 ist im täglichen Einsatz der Punkt, an dem sich Harnesses am stärksten unterscheiden. Ein Harness, das vor jedem Befehl nachfragt, ist sicher und anstrengend. Ein Harness, das nie nachfragt, wird irgendwann einen destruktiven Befehl für einen Pfad ausführen, den das Modell falsch erkannt hat. Jedes ernstzunehmende Harness bietet inzwischen eine mittlere Einstellung: eine Allowlist von Befehlen, die ohne Nachfrage ausgeführt werden, und eine Aufforderung für alle anderen Befehle.

In Schritt 1 liegen die übrigen Unterschiede. Der Gesprächsverlauf wächst mit jedem Durchlauf, während ein Modell über ein festes Kontextfenster verfügt. Daher muss das Harness entscheiden, was verworfen, was zusammengefasst und was in eine Datei geschrieben und später wieder eingelesen wird. Diese Entscheidung ist der wichtigste Grund dafür, dass zwei Harnesses, die dasselbe Modell steuern, unterschiedlich gute Arbeit liefern.

Die meisten Harnesses binden externe Tools inzwischen über MCP (model context protocol) ein. MCP ist eine standardisierte Möglichkeit, ein Tool für jedes kompatible Harness bereitzustellen, sodass eine Integration mehrere Harnesses erreicht. MCP-Server auf einem VPS ausführen behandelt diesen Aspekt.

Agent-Harness vs. Agent-Framework

Diese Frage stellt sich bei jedem neuen Harness. Die Antworten unterscheiden sich, auch weil die Anbieter den Begriff unterschiedlich verwenden. Die folgende Fassung bleibt belastbar.

Ein Framework ist eine Bibliothek, die Sie importieren. Sie schreiben die Schleife selbst, entscheiden, wann das Modell aufgerufen wird, und verarbeiten die Tool-Ergebnisse selbst. LangChain ist das bekannte Beispiel: Sie erhalten Bausteine und setzen den Agenten im Code zusammen.

Ein Harness ist ein Programm, das Sie ausführen. Die Schleife ist bereits implementiert, die Tools sind bereits vorhanden, und für das Berechtigungsmodell gibt es bereits eine Standardeinstellung. Sie erhalten bereits mit dem ersten Befehl einen funktionsfähigen Agenten und konfigurieren ihn anschließend.

Meist entscheidet der Installationstest. Wenn Sie die Software installieren und danach Code schreiben, handelt es sich um ein Framework. Wenn Sie die Software installieren und danach mit ihr interagieren, handelt es sich um ein Harness.

Die Abgrenzung ist tatsächlich umstritten. Das zeigt die eigene Dokumentation von LangChain besonders deutlich. Im August 2026 beschreibt sie Deep Agents als ein „opinionated, batteries-included“-Framework auf Basis von LangGraph. Das langchain-ai/deepagents-Repository bezeichnet sich dagegen als „the batteries-included agent harness“. Beide Beschreibungen sind vertretbar. Deep Agents ist ein Python-SDK (Software Development Kit), das Sie importieren. Nach dem Installationstest ist es daher eine Bibliothek. Gleichzeitig enthält es so viel Standardverhalten, dass viele es wie ein Harness verwenden. Microsoft hat im August 2026 ein Harness und gehostete Agenten allgemein verfügbar gemacht. Das zeigt, dass der Begriff inzwischen eine Produktkategorie und kein reiner Fachjargon mehr ist.

Stellen Sie stattdessen die Frage, die Ihren Arbeitsaufwand besser vorhersagt. Wenn Sie die Schleife selbst schreiben, sind Sie für die Schleife verantwortlich: für Wiederholungsversuche, das Kürzen des Kontexts, Berechtigungsabfragen und die Protokollierung der Ereignisse. Wenn die Schleife bereits Bestandteil der Software ist, übernehmen Sie die Lösungen eines anderen Anbieters für all diese Aufgaben. Das ermöglicht einen deutlich schnelleren Einstieg, lässt sich später aber schwerer ändern.

Wie sich ein Harness von einem Chatfenster unterscheidet

Ein Chatfenster und ein Harness zeigen Ihnen beide die Ausgabe des Modells. Der Unterschied besteht darin, auf welchem Computer die Arbeit ausgeführt wird. In einem Chatfenster wird jeder Code, den das Modell ausführt, in der Sandbox des Anbieters ausgeführt. Er arbeitet dabei mit den von Ihnen hochgeladenen Dateien und diese Dateien verschwinden, sobald die Sitzung endet. Ein Harness führt Tools auf dem Computer aus, auf dem Sie es gestartet haben. Die Tools laufen unter dem Benutzerkonto, mit dem Sie das Harness gestartet haben, greifen auf Ihre tatsächlichen Dateien zu und verwenden die tatsächlichen Zugangsdaten aus der Umgebung.

Das ist in zwei Sätzen der gesamte Nutzen und das gesamte Risiko. Der Agent kann die Arbeit endlich ausführen. Der Agent kann die Arbeit aber auch löschen.

Die Harnesses, die tatsächlich eingesetzt werden

Diese Liste ist bewusst auf den 19. August 2026 datiert. Die Kategorie entwickelt sich wöchentlich weiter, und jede Übersicht veraltet schnell.

• Claude Code und Codex sind Hersteller-Harnesses. Sie sind primär auf das Terminal ausgerichtet, standardmäßig an die Modelle des jeweiligen Herstellers gebunden und bieten die ausgereifteste Berechtigungsverwaltung. Claude Code, Cursor, Codex und Copilot im Vergleich behandelt diese Tools ausführlich.
• DeepSeek Harness (dsh) steht unter der MIT-Lizenz und basiert auf einer Grundidee: Alles ist ein Plugin. Modelle, Tools, Sitzungen, Sandboxes und die Benutzeroberfläche sind daher austauschbare Komponenten. Am 19. August 2026, sechs Tage nach der Veröffentlichung, hatte das Projekt ungefähr 166,800 GitHub-Sterne.
• Hermes von Nous Research ist ein allgemeiner autonomer Agent und kein Coding-Tool. Er wurde im Februar 2026 unter der MIT-Lizenz veröffentlicht und speichert Erinnerungen und Fähigkeiten in einer lokalen SQLite-Datenbank auf Ihrem eigenen Rechner. Hermes auf einem VPS selbst hosten beschreibt die Einrichtung.
• Omnigent ist ein Meta-Harness. Es steuert andere Harnesses, darunter Claude Code und Codex, über eine gemeinsame API mit gemeinsam genutzten Sitzungen, Ausgabenlimits und einer Sandbox auf Betriebssystemebene. Omnigent als Multi-Agent-Harness beschreibt die Vorteile.
• OneCLI ist ein sandboxed Harness für Teams. Es basiert auf einem Gateway, das echte Zugangsdaten in ausgehende Anfragen einfügt. Der Agent selbst sieht dadurch ausschließlich Platzhalter-Schlüssel.

Der dsh-Schnellstart besteht aus einem einzigen Befehl. Ein einmaliger Start ist der schnellste Weg, um zu verstehen, was ein Harness ist. Auf dem Rechner muss Node.js installiert sein.

npx @deepseek-ai/dsh web

Dadurch wird die Weboberfläche (Benutzeroberfläche) auf http://127.0.0.1:3080 gestartet. Lesen Sie die README, bevor Sie sich darauf verlassen. dsh bezeichnet sich selbst als Entwicklervorschau und weist ausdrücklich auf inkompatible Änderungen hin. DeepSeek Harness auf einem VPS ausführen beschreibt die Serverinstallation. Warum diese Adresse mit 127.0.0.1 beginnt erklärt den standardmäßigen Loopback-Betrieb.

Router stehen über der Harness

Ein Modellrouter ist ein lokaler Proxy zwischen der Harness und der Provider-API. Claude Code Router ist das gängige Beispiel: Er bindet standardmäßig an 127.0.0.1:3456, nimmt die Anfragen entgegen, die Claude Code an den eigenen Anbieter gesendet hätte, und leitet sie an den von Ihnen konfigurierten Provider weiter. Die Harness erkennt nicht, dass sich etwas geändert hat.

Router gibt es, weil das Modell austauschbar ist. Damit belegen sie die zentrale Aussage dieses Beitrags. Gleichzeitig konzentrieren sie Risiken, weil der Proxy jeden Prompt sieht und jeden Provider-Key enthält. Behandeln Sie ihn als Infrastruktur und nicht als Komfortfunktion. Wo eine Harness ihre API-Keys und Modelleinstellungen speichert beschreibt dasselbe Problem eine Ebene tiefer.

Was sich ändert, wenn der Harness auf einem VPS läuft

Vier Dinge ändern sich, wenn der Harness nicht mehr auf Ihrem Laptop, sondern auf einem gemieteten Server läuft.

Er läuft weiter, wenn Sie den Laptop zuklappen. Eine längere Aufgabe übersteht Ihren Arbeitsweg und den Akkubetrieb. Starten Sie sie innerhalb von tmux und trennen Sie die Sitzung:

tmux new -s agent
# start the harness, then press Ctrl-b and then d to detach
tmux attach -t agent

Alles, was nach einem Reboot wieder gestartet werden soll, ist als Benutzerdienst zuverlässiger als eine Terminalsitzung:

loginctl enable-linger $USER
systemctl --user status my-agent.service

loginctl enable-linger wird häufig übersehen. Ohne diese Einstellung beendet systemd die Dienste Ihres Benutzers, sobald Ihre letzte SSH-Sitzung (Secure Shell) geschlossen wird. Der Agent beendet sich dann beim Abmelden, ohne eine Fehlermeldung auszugeben. dsh ohne Terminal unter systemd ausführen enthält die Unit-Datei. Sobald eine Sitzung auf diesem Server läuft, verursacht eine zweite Sitzung keinen zusätzlichen Aufwand. Außerdem können zwei Claude-Code-Sitzungen auf demselben System Nachrichten austauschen, sodass die heute Morgen gestartete Sitzung eine Aufgabe an die andere übergeben kann, ohne dass Sie sie manuell weiterleiten müssen.

Er speichert Ihre Schlüssel. Der Provider-Schlüssel liegt jetzt in einer Konfigurationsdatei auf diesem Server. Prüfen Sie, wer die Datei lesen kann:

ls -l ~/.config

Jeder Prozess, der unter Ihrem Benutzer läuft, kann diese Datei lesen. Dazu gehören der Agent und alles, was der Agent ausführt.

Er kann Ihre anderen Rechner erreichen. Ein VPS im selben privaten Netzwerk wie Ihre anderen Systeme bietet dem Agenten eine Route zu diesen Systemen. Genau das ist der Zweck. Es vergrößert aber auch den möglichen Schadensbereich.

Er ist von überall aus erreichbar. Die meisten Harnesses stellen eine Weboberfläche bereit. Aus gutem Grund binden die meisten sie an Loopback. Prüfen Sie Ihre Konfiguration:

ss -tlnp | grep 3080

127.0.0.1:3080 bedeutet, dass nur der Server selbst eine Verbindung herstellen kann. 0.0.0.0:3080 bedeutet, dass jeder eine Verbindung herstellen kann, der die Adresse findet. Greifen Sie über einen SSH-Tunnel auf eine Loopback-Weboberfläche zu, statt die Bind-Adresse zu ändern:

ssh -N -L 3080:127.0.0.1:3080 you@your-server

Öffnen Sie anschließend http://127.0.0.1:3080 im Browser auf Ihrem Laptop. Der Datenverkehr läuft innerhalb der SSH-Sitzung. Dadurch wird nichts Zusätzliches im Internet erreichbar.

Jede dieser Eigenschaften ist zugleich ein Sicherheitsargument

Lesen Sie die vier Eigenschaften noch einmal aus der Sicht eines Angreifers.

Der Agent läuft unbeaufsichtigt. Niemand beobachtet den Moment, in dem das Modell einen Pfad falsch interpretiert. Er verwahrt Ihre Schlüssel. Eine lesbare Konfigurationsdatei reicht daher aus, um auf Ihr gesamtes Provider-Konto zuzugreifen. Er kann Ihre anderen Rechner erreichen. Eine Prompt-Injection, also Anweisungen, die in einer vom Agenten gelesenen Webseite oder Datei verborgen sind, erhält dadurch einen Pfad zu Ihrem Datenbankserver. Er ist von überall erreichbar. Eine Weboberfläche, die ohne Passwort an 0.0.0.0 gebunden ist, entspricht damit einer Shell im öffentlichen Internet.

Die Lösung ist in jedem Fall unspektakulär und immer dieselbe. Geben Sie dem Agenten ein eigenes Benutzerkonto ohne privilegierte Rechte statt Ihres Kontos:

sudo adduser --disabled-password --gecos "" agent

Binden Sie die Weboberfläche an das Loopback-Interface und greifen Sie über SSH darauf zu. Verwenden Sie die engsten Berechtigungsnachweise, mit denen der Agent seine Aufgabe noch abschließen kann. Der Abschnitt Geheimnisse aus KI-Agenten heraushalten behandelt dieses Thema ausführlich. Für alles, was läuft, während Sie nicht zuschauen, ist ein Wegwerf-Rechner besser als ein sorgfältig abgesicherter: Coding-Agenten in einer temporären VM ausführen und Claude Code sicher auf einem VPS ausführen verfolgen beide diesen Ansatz.

Benötigen Sie ein Agent-Harness?

Wenn Sie jeweils nur eine Frage bearbeiten, reicht ein Chatfenster aus. Ein Harness fügt dann nur eine Schleife hinzu, die Sie überwachen müssen. Ein Harness lohnt sich, sobald eine Aufgabe viele Schritte mit echten Dateien umfasst oder weiterarbeiten muss, während Sie schlafen.

Dieser Bereich ist größtenteils noch jung. dsh bezeichnet sich in der eigenen README mit Stand August 2026 als Developer Preview. Die übrigen Projekte entwickeln sich ebenfalls so schnell, dass eine heute erstellte Konfigurationsdatei im nächsten Monat möglicherweise angepasst werden muss. Das spricht dafür, die Einrichtung klein und reproduzierbar zu halten und Änderungen zu dokumentieren. Dieselbe Zurückhaltung hilft innerhalb der Schleife: Eine Fähigkeit, die den Agenten zur kleinsten funktionierenden Änderung anhält, hinterlässt am Ende eines unbeaufsichtigten Laufs ein Diff, das Sie tatsächlich lesen können. Beginnen Sie mit einem Harness auf einem Server. Geben Sie ihm eine Aufgabe und einen eng begrenzten Schlüssel. Erweitern Sie seinen Zugriff erst, wenn diese erste Aufgabe eine Woche lang ohne Auffälligkeiten gelaufen ist. Die heute empfehlenswerten selbst gehosteten Agenten sind ein sinnvoller Ausgangspunkt für die Auswahl.

FAQ

Was ist ein Agent-Harness in einfachen Worten?

Es ist das Programm um das Modell herum. Das Modell erzeugt Text und fordert die Verwendung von Tools an. Das Harness führt die Schleife aus, die fortlaufend neue Anfragen stellt, die vom Modell angeforderten Tools ausführt, Regeln dafür durchsetzt, welche Tools ohne Genehmigung ausgeführt werden dürfen, und den Sitzungsstatus sowie die Dateien zwischen den einzelnen Durchläufen beibehält. Sie können das Modell austauschen, und das Harness funktioniert weiterhin. Das ist das deutlichste Zeichen dafür, dass es sich um zwei getrennte Komponenten handelt.

Ist Claude Code ein Modell oder ein Harness?

Claude Code ist ein Harness. Es ist ein Terminalprogramm mit einer Schleife, einem Berechtigungssystem sowie integrierten Datei- und Shell-Tools. Claude ist standardmäßig die aufgerufene Modellfamilie. Dieselbe Trennung gilt für DeepSeek Harness (dsh), ein installierbares Node-Programm, und für die DeepSeek-Modelle, die über eine API bereitgestellt werden. Sie installieren ein Harness auf einem Rechner. Ein Modell rufen Sie über das Netzwerk auf.

Was ist der Unterschied zwischen einem Agent-Harness und einem Agent-Framework?

Ein Framework ist eine Bibliothek, die Sie importieren und gegen die Sie Code schreiben. Daher verwalten Sie die Schleife, Wiederholungen und die Verarbeitung des Kontexts selbst. Ein Harness ist ein Programm, das Sie ausführen. Diese Funktionen sind daher mit Standardwerten enthalten, die Sie konfigurieren, statt sie selbst zu implementieren. In der Praxis ist die Abgrenzung unscharf: LangChains Deep Agents ist ein importierbares SDK, das sein eigenes Repository seit August 2026 als Agent-Harness mit vollständiger Ausstattung bezeichnet. Fragen Sie sich, ob Sie die Schleife selbst schreiben werden. Die Antwort entscheidet, welcher Begriff zu Ihrer Situation passt.

Benötige ich einen VPS, um ein Agent-Harness auszuführen?

Nein. Jedes hier genannte Harness läuft auf einem Laptop. Ein Server verändert vier Dinge: Der Agent läuft weiter, wenn Sie den Deckel schließen, er verwahrt Ihre Schlüssel auf einem dauerhaft eingeschalteten Rechner, er kann Ihre anderen Server erreichen, und Sie können von jedem Gerät zu derselben Sitzung zurückkehren. Jeder dieser Punkte ist auch eine Sicherheitsüberlegung. Geben Sie dem Agenten daher ein eigenes Benutzerkonto und binden Sie jede Weboberfläche an 127.0.0.1.

Kann ich im selben Harness ein anderes Modell verwenden?

In der Regel ja. Das ist die entscheidende Eigenschaft eines Harness. Die meisten Harnesses erwarten in ihrer Konfiguration einen Modellnamen und eine Basis-URL. Einen anderen Anbieter einzutragen ist daher eine Änderung und keine Neuentwicklung. Wenn sich ein Harness dagegen sperrt, kann ein lokaler Router wie Claude Code Router zwischen Harness und Anbieter geschaltet werden. Er übersetzt die Anfragen und bindet standardmäßig an 127.0.0.1:3456. Seien Sie bei diesem Proxy vorsichtig, da er jeden Prompt sieht und jeden Schlüssel verwahrt.