Mercury Agent ist ein KI-Agent, der auf dem eigenen Rechner laeuft. Fassung 1.5 erschien am 3. November und vervollstaendigt die Desktop-Clients fuer macOS, Windows und Linux; der Code steht unter MIT offen. Die Selbststaendigkeit bleibt in einem Zaun aus Freigaben, einer Sperrliste und Ordnergrenzen.

Es haelt an und fragt, bevor es handelt

Wenn ein Agent einen Rechner uebernimmt, war die schwierige Frage nie, ob er die Arbeit kann, sondern ob man weiss, dass er nicht zu weit geht. Mercury zieht die Linie zwischen Lesen und Schreiben. Dateien lesen, Ordner auflisten, suchen: frei. Schreiben, Befehle ausfuehren, zu einem entfernten Ziel schieben, ausserhalb des erlaubten Bereichs greifen: es haelt an und wartet auf eine Antwort. Einmal zustimmen, diese Art von Aktion kuenftig nicht mehr fragen, oder ablehnen.

Auf der Ebene der Sitzung gibt es zwei Modi, Ask Me und Allow All, bei jeder neuen Sitzung neu gewaehlt. Manche Befehle kommen gar nicht erst in die Diskussion: sudo, das Loeschen des Wurzelverzeichnisses und jede Schreibweise davon stehen auf der Sperrliste und laufen in keinem Modus. Rechte lassen sich ausserdem nach Ordner trennen und je nach Kanal und Rolle des Absenders unterschiedlich behandeln; ein Bot ohne Recht bekommt eine Ablehnung statt eines Fensters, das man wegklicken kann.

Die Praemisse des Entwurfs ist ein Eingestaendnis: Modelle machen Fehler. Lieber ein Frage mehr vorher als eine Erklaerung hinterher, warum der falsche Ordner weg ist.

Das Gedaechtnis liegt auf der eigenen Platte

Das Langzeitgedaechtnis ist ein lokaler Speicher namens Second Brain, gebaut auf SQLite mit Volltextsuche und abgelegt in einem Verzeichnis .mercury im Benutzerordner. Waehrend der Arbeit zieht der Agent Vorlieben, Beziehungen zwischen Personen und bereits getroffene Entscheidungen heraus; zwei widerspruechliche Eintraege werden gegeneinander abgewogen, alles wird stuendlich zusammengefuehrt und aufgeraeumt, und der naechste Morgen beginnt nicht bei null. Das Gedaechtnis zerfaellt in zehn Kategorien, die sich durchsuchen, pausieren oder vollstaendig loeschen lassen.

Auch die Persoenlichkeit ist keine Blackbox, sondern ein paar Markdown-Dateien: soul.md sagt, wie es sprechen und woran es festhalten soll, persona.md haelt Anrede und Ton. Die Dateien gehoeren dem Nutzer, wirken sofort beim Speichern und verlangen kein Nachtrainieren.

Bevor es "fertig" sagt, muss es Belege zeigen

Am leichtesten driftet ein Agent beim Bericht. Eine Aufgabe, die nie lief, bringt trotzdem einen Absatz zustande, der vollstaendig klingt. Mercury bindet das mit einem Abschlussvertrag: eine Aufgabe endet auf zwei Arten, entweder mit Build-, Typpruef- oder Testergebnissen, die wirklich gelaufen sind, oder angehalten mit dem Hinweis, wo es haengt.

In einem vom Projekt gezeigten Fall: nach der Aenderung eines Formulars auf einer Einstellungsseite liefen Typpruefung und die passenden Tests, und erst als beide durch waren, galt die Arbeit als fertig. Auf der Abrechnungsseite meldeten die Tests zwei Fehler, also schrieb es, es halte die Aufgabe nicht fuer erledigt, legte die Fehlerdetails dazu und liess den naechsten Schritt offen. Damit das tragbar bleibt, gibt es ein taegliches Token-Budget, eine laufende Verbrauchsanzeige und einen Sparmodus; faellt ein Modellanbieter mitten im Lauf aus, wechselt es zum naechsten, statt die Runde zu verwerfen.

Wenn es bleiben darf

Ein Befehl installiert es als Systemdienst, startet mit dem Rechner, kommt nach einem Absturz zurueck, und mit Zeitplaenen, Herzschlagpruefungen und aktiven Meldungen wird daraus ein Assistent ohne Feierabend. Bots sind die ungewoehnlichere Schicht: jeder Bot kann eigenes Modell, eigenes Gedaechtnis, eigene Rechte und eigene Persoenlichkeit haben, also schickt man einen los, um Release-Notizen zu entwerfen, waehrend man im Terminal weiterarbeitet, und das Ergebnis landet in seinem eigenen Strang.

Es gibt mehr als einen Eingang. Eine Vollbild-Oberflaeche im Terminal mit Slash-Befehlen, ein Web-Panel und ein Board, und vom Telefon aus Telegram, Discord, Slack oder Signal. Diese Kanaele teilen eine Werkzeugliste, ein Rechtemodell und dasselbe Gedaechtnis, ein Start im Terminal und ein Blick vom Telefon aus funktionieren also. Community-Fertigkeiten folgen der Agent-Skills-Spezifikation, oeffentlich sind derzeit mehr als 120.

Die schwachen Stellen, die es nicht versteckt

Die Projektseite nennt selbst drei. Es gibt keine Sandbox auf Betriebssystemebene; Sicherheit ruht auf Freigaben, Sperrliste und Ordnergrenzen, weshalb der Standardmodus Ask Me ist und nicht alles erlaubt. Die Desktop-Clients sind noch nicht signiert, macOS und Windows blocken beim ersten Start einmal, die Update-Pakete selbst werden per Signatur geprueft. Der Windows-Installer ist 4.2 MB gross, die macOS-Fassung etwas ueber fuenf, das Linux-AppImage 81 MB.

Cloud-Funktionen sind freiwillig: nach dem Koppeln ist der Rechner von ueberall erreichbar, ohne Portweiterleitung oder Reverse Proxy. Wer sie nicht braucht, laesst sie aus; der lokale Teil haengt nicht daran. Fuer ein Programm, das monatelang im Hintergrund sitzt und Datei- wie Terminalrechte haelt, ist das offene Aussprechen von Koennen und Nichtkoennen mehr wert als ein paar schmueckende Zusatzfunktionen.