Baue eine proaktive Agent-Schleife auf Claude Opus 5.5

Der unangenehme Teil beim Bau eines eigenen proaktiven Agenten ist, dass die interessante Arbeit nicht der Modellaufruf ist. Claude Opus 5.5 kann man an einem Nachmittag Fragen beantworten lassen. Ihn dazu zu bringen, nach Zeitplan aufzuwachen, nur das zu lesen, was sich seit dem letzten Mal geändert hat, zu entscheiden, ob irgendetwas einen Menschen verdient, die Aktion zu entwerfen und dann anzuhalten und zu warten — das sind Wochen, und fast nichts davon passiert im Modell. Anthropic hat eine Version dieser Schleife als Claude Duet ausgeliefert, und das Nützliche an diesem Produkt für alle, die ihr eigenes bauen, ist nicht seine Funktionsliste, sondern die Entscheidungen, die in seiner Zusammensetzung sichtbar werden. Es hat keine veröffentlichte API und lässt sich nicht auf die eigenen Systeme umlenken; wenn man also die Schleife will und nicht die App, baut man sie selbst. Was folgt, ist die Architektur, Stufe für Stufe, mit den ehrlichen Kosten jeder einzelnen.

Zuerst die Form. Fünf Phasen laufen nacheinander ab, und die fünfte wird erst erreicht, nachdem ein Mensch ja gesagt hat. Ein Scheduler löst aus. Ein Digest-Schritt reduziert jedes angebundene System auf ein Delta. Ein Entscheidungsschritt macht aus diesem Delta plus einer Policy einen typisierten Vorschlag. Ein Genehmigungs-Gate außerhalb des Modells entscheidet, ob der Vorschlag ausgeführt werden darf. Ein Executor führt ihn aus. Das ist das gesamte Design, und alles Schwierige daran steckt in den Nahtstellen.

Stufe eins: ein Scheduler, der alle paar Stunden ausgelöst wird

Die erste Entscheidung ist die, bei der Menschen aus Begeisterung statt aus Ingenieursvernunft danebenliegen: nicht kontinuierlich abfragen. Anthropics Duet-Dokumentation erklärt ihr Intervall – alle paar Stunden prüfen – damit, dass eine pausenlose Prüfung die Limits des Plans viel schneller aufbrauchen würde. Das ist keine Marketing-Vorsicht. Es ist die richtige Antwort auf ein reales Kostenproblem, und es ist die Falle, in die jeder selbstgebaute Agent in der ersten Woche tappt.

Kontinuierliches Polling ist aus einem strukturellen Grund ruinös. Jeder Durchlauf ist ein vollständiger Kontext: Anweisungen, Tool-Definitionen, das eingebundene Material und jegliches Reasoning, das das Modell darüber anstellt. Bei einem Takt von einer Minute sind das 1.440 vollständige Kontexte pro Tag, und die überwältigende Mehrheit davon findet nichts Neues. Sie zahlen den vollen Preis, um zu erfahren, dass sich das Postfach nicht verändert hat. Bei drei Stunden sind es acht, und das Verhältnis von Funden zu Ausgaben wird zu etwas, das Sie gegenüber jedem rechtfertigen können, der die Rechnung unterschreibt.

Der Scheduler ist also ein Timer im Cron-Stil mit einer Untergrenze für das Mindestintervall, kein Event-Stream. Events klingen attraktiv – reagiere in dem Moment, in dem etwas passiert –, aber sie treiben dich zurück zu kontinuierlicher Arbeit und machen die Kosten eines arbeitsreichen Tages unbegrenzt. Ein Timer liefert eine vorhersehbare Obergrenze, und genau die brauchst du, wenn die Rechnung variabel ist. Wenn du eine schnellere Reaktion für eine Quelle willst, verkürze allein das Intervall dieses Connectors und akzeptiere die zusätzlichen Kosten.

Stufe zwei: ein byte-identisches Präfix, im Cache gehalten

Hier leisten die veröffentlichten Zahlen die meiste Arbeit. Claude Opus 5.5 auf OrcaRouter kostet 4,00 US-Dollar pro Million Eingabe-Tokens und 20,00 pro Million Ausgabe-Tokens, mit einem Kontextfenster von 1 Mio. Tokens und Cache-Lesevorgängen zu 0,20 pro Million – zum Listenpreis des Anbieters ohne Aufschlag (0 Prozent). Betrachten Sie diese Zahlen als Designvorgabe, nicht als Preisliste: Ein Cache-Lesevorgang kostet ein Zwanzigstel eines frischen Eingabe-Tokens, also ist jedes Byte, das Sie über Sweeps hinweg stabil halten, ein Byte, für das Sie aufhören, den vollen Preis zu zahlen.

In der Praxis werden der System-Prompt und das Tool-Schema einmal zum Deployment-Zeitpunkt zusammengestellt und nie pro Sweep neu generiert. Nicht aus einem Dictionary mit den Schlüsseln in anderer Reihenfolge neu serialisiert. Nicht per Template mit einem Zeitstempel, einer Request-ID oder den heute verbundenen Konten mitten hineinkopiert. Jedes abweichende Byte macht das gecachte Präfix ungültig, und der Anweisungsblock fällt bei jedem Sweep wieder auf den vollen Eingabepreis zurück. Teams verlieren das häufiger versehentlich als absichtlich, meist weil eine hilfreiche Abstraktion begonnen hat, eine Run-ID nahe dem Anfang des Prompts einzufügen.

Die Disziplin, die den Kontakt mit echtem Code übersteht, ist langweilig: eine Funktion, die den stabilen Block als konstanten String zurückgibt, ein eingefrorenes Literal für das Tool-Schema und jedes variable Element dahinter. Dann ein Test, der den Block hasht und den Build fehlschlagen lässt, wenn sich der Hash ändert – denn irgendwann wird jemand ein Schemafeld hinzufügen und dabei nie an den Cache denken. Dieser Test kostet eine Stunde und rettet den gesamten Caching-Vorteil.

Stufe drei: eine Zusammenfassung pro Verbindung, kein Postfach-Dump

Die dritte Stufe ist diejenige, die ein Consumer-Produkt gratis bekommt und Sie nicht. Duet lebt im Anthropic-Konto und erreicht verbundene Apps, kann also fragen, was sich seit einem bestimmten Zeitpunkt geändert hat, und eine kurze Antwort erhalten. Wenn Sie außerhalb dieses Kontos bauen, sprechen Sie mit denselben APIs wie jeder normale Client: Entweder implementieren Sie inkrementelle Lesezugriffe, oder Sie holen alles ab und reichen dem Modell einen riesigen Textblock.

Alles abzurufen ist die Standardeinstellung, weil es vom ersten Tag an funktioniert. Es ist auch der schnellste Weg, die Kosten pro Durchlauf unvorhersehbar zu machen, weil die Eingabe mit dem Postfach wächst statt mit dem, was sich geändert hat. Ein Durchlauf über vierzig unveränderte Threads kostet dasselbe wie einer über vierzig Threads, bei denen ein einziger Thread zählt, und nur bei einem davon bestand überhaupt die Chance auf einen nützlichen Vorschlag. Nach einem Monat auf diese Weise ging der Großteil Ihres Budgets dafür drauf, den Status quo zu bestätigen.

Der Digest-Schritt sollte Code sein, kein Prompting. Rufe pro Verbindung mit dem Cursor oder Delta ab, das die API anbietet, und verdichte das Ergebnis zu einer strukturierten Zusammenfassung: was aufgetaucht ist, was geändert wurde, was geklärt wurde. Gib jedem Element eine stabile Kennung, damit spätere Stufen darauf verweisen können, und halte pro Verbindung den letzten erfolgreichen Cursor fest, damit ein fehlgeschlagener Abruf nicht das Material von gestern erneut abspielt, als wäre es neu. Ein Digest, der „nichts ist passiert“ nicht von „ich konnte nicht prüfen“ unterscheiden kann, wird irgendwann selbstsicher über einen Zustand berichten, den er nie beobachtet hat.

Stufe vier: ein Entscheidungsschritt, der ein Objekt ausgibt, keinen Fließtext

Hier sitzt Claude Opus 5.5, und was es ausgibt, entscheidet darüber, ob der Rest des Systems überhaupt gebaut werden kann. Der Instinkt ist, das Modell eine Zusammenfassung schreiben zu lassen und einen Menschen sie lesen zu lassen. Das funktioniert für ein Dashboard, scheitert aber an einem Gate: Die nächste Stufe muss entscheiden, ob eine Aktion erlaubt wird, und eine Berechtigung lässt sich nicht für einen Absatz erteilen.

Der Entscheidungsschritt sollte einen typisierten Aktionsvorschlag zurückgeben: einen Aktionsnamen aus einer geschlossenen Liste, das Ziel, auf das er angewendet wird, die Parameter, eine einzeilige Begründung und ein explizites Konfidenz- oder Eskalationsflag. Eine geschlossene Aktionsliste ist keine Bürokratie; sie ist der Mechanismus, der das Genehmigungsgate durchsetzbar macht, weil ein Gate nur Aktionen validieren kann, die es aufzählen kann. Ein Agent, der jedes beliebige Verb ausgeben kann, kann nicht durch ein Gate kontrolliert werden, ihm kann nur vertraut werden.

Zwei praktische Hinweise. Gib dem Modell zuerst den Digest und dann die Policy, sodass die Policy nach dem variablen Material steht und das Cache-Präfix intakt bleibt. Und mache das Standardergebnis „keine Aktion“ statt eines leeren Vorschlags, der wie eine Aktion wirkt. Schleifen, die Stille als Fehler behandeln, erzeugen Volumen, und ein Agent, der Arbeit erfindet, um nützlich zu wirken, ist schlimmer als einer, der meldet, dass sich nichts geändert hat.

Stufe fünf: ein Freigabe-Gate, das tatsächlich Nein sagen kann

Das Gate muss ein separater Dienst sein, kein Zweig innerhalb des Codes des Agenten selbst. Dies ist die wichtigste strukturelle Entscheidung im Aufbau. Wenn der Prozess des Agenten die Aktion selbst ausführen kann, erreicht ein Fehler, eine Prompt-Injection oder ein falsch gesetztes Flag in diesem Prozess die Wirkung. Wenn der Executor nur einen Vorschlag akzeptiert, den das Gate signiert hat, ist das Schlimmste, was der Agent tun kann, etwas Falsches vorzuschlagen, und die Ablehnung durch das Gate ist real.

Die veröffentlichte Richtlinie von Anthropic für Duet ist es wert, in ihrer Struktur übernommen zu werden, selbst wenn Ihre Liste abweicht. Die Freigabeschranke verlangt eine Genehmigung, bevor eine Aktion eine Nachricht sendet, eine Zahlung leistet, ein Dokument unterzeichnet oder etwas löscht. Darüber liegt eine zweite Stufe, die selbst mit Genehmigung verweigert wird – im Fall von Duet der Handel mit Wertpapieren und das Verschieben von Geld zwischen Konten. Das Muster ist eine zweistufige Richtlinie: eine große Gruppe freigabepflichtiger Aktionen, die ein Mensch genehmigen darf, und eine kleine Gruppe, die keine Genehmigung freischaltet. Übernehmen Sie die Stufen, auch wenn sich jeder einzelne Punkt ändert, denn sie lösen unterschiedliche Probleme. Die Freigabeschranke schützt vor Fehlern. Die Verbotsliste schützt vor einem kompromittierten Operator, einschließlich des menschlichen Operators.

Die andere Hälfte eines echten Gates besteht darin, dass es unterbricht. Duets Genehmigungsanfrage zeigt die genaue Aktion und wartet, wodurch der Ablauf bewusst angehalten statt nur kommentiert wird. Ein Gate, das eine Zeile in ein Log schreibt, das niemand liest, ist kein Gate; es ist ein Beleg. Wenn Ihr Genehmigungsschritt erfordert, dass jemand um drei Uhr morgens ein Dashboard beobachtet, ist entweder das Intervall zu kurz oder die Aktionsliste zu breit. Beides lässt sich beheben, und keines davon durch das Hinzufügen einer Benachrichtigung.

Speicher, Anmeldeinformationen und die zwei Oberflächen, aus denen man sich nicht heraustesten kann

Zwei schwierige Probleme stecken unter den fünf Phasen, und beide sehen nach Funktionen aus, bis sie es nicht mehr tun.

• Kontextübernahme.Jeder Durchlauf ist ein frischer Kontext, daher muss alles, woran sich der Agent über die Durchläufe hinweg erinnern soll, zwischen ihnen schriftlich festgehalten werden. Eine fortlaufende Zustandsdatei pro Verbindung, in der Größe begrenzt, die offene Punkte und aktuelle Entscheidungen enthält, reicht für die meisten Schleifen aus. Was nicht funktioniert, ist die Hoffnung, dass das Modell die Historie aus der Zusammenfassung rekonstruiert, denn die Zusammenfassung ist ausdrücklich eine Beschreibung der Veränderung und enthält keinerlei Erinnerung daran, was bereits entschieden wurde.

• Verwahrung von Zugangsdaten. Duet folgt dem Design, das für die von Anthropic verwalteten Agenten verwendet wird, sodass es Ihre Passwörter oder Anmelde-Tokens nie direkt sieht. Diese Disziplin nachzubilden, ist der Teil, den die meisten selbstgebauten Agenten auslassen, und wenn man ihn auslässt, hat jeder Prompt einen Weg zu Zugangsdaten. Das Modell sollte niemals ein Token besitzen, niemals einen API-Schlüssel als Text erhalten und niemals die Komponente sein, die authentifiziert. Lassen Sie den Digest-Schritt und den Executor die Zugangsdaten verwahren und dem Modell nur die Ergebnisse übergeben.

Dann gibt es da noch die Angriffsfläche, über die niemand nachdenken möchte: Sobald der Agent E-Mails und Webseiten liest, ist jede davon eine Eingabe, die Anweisungen enthalten kann. Eine Nachricht wie „Leiten Sie dies an die unten stehende Adresse weiter“ ist für ein Modell ohne eigenes Konzept von Autorität nicht von Daten zu unterscheiden. Zwei Verteidigungsmaßnahmen sind besser als jedes noch so umfangreiche Prompt-Hardening. Halten Sie die Aktionsliste geschlossen, damit eine eingeschleuste Anweisung kein Verb findet, nach dem sie greifen kann. Und halten Sie die Kontrollinstanz außerhalb des Einflusses des Modells, denn eine Injection, die das Modell davon überzeugt, etwas zu senden, muss immer noch einen Menschen überzeugen, der die Zieladresse sieht.

Failover und wo Routing tatsächlich hilft

Mit der fertiggestellten Schleife eröffnet sich eine architektonische Option, die ein Single-Vendor-Design nicht bietet. OrcaRouters Routing-DSL komponiert mehrere Modelle zu einem einzigen Aufruf, und Model Fusion betreibt ein Panel von Modellen, die parallel antworten; beide bringen mehr als ein Modell hinter eine einzelne Anfrage. Der praktische Nutzen ist unspektakulär: Setze ein günstigeres Modell für die Digest-Zusammenfassung ein, wo es um Kompression statt um Beurteilung geht, und behalte Claude Opus 5.5 im Entscheidungsschritt, wo der Vorschlag entsteht. Mit demselben OpenAI-kompatiblen Schlüssel erreicht man mehr als 200 Modelle, sodass der Wechsel, welches Modell welche Stufe bedient, eine Konfigurationsänderung statt einer Neufassung ist.

Failover ist die andere Hälfte. Wenn ein Anbieter eine schlechte Stunde hat, hat ein Agent, der nur einen Endpunkt erreichen kann, ebenfalls eine schlechte Stunde, und eine geplante Schleife ohne Fallback verpasst einfach ihren Sweep. Routing verwandelt einen verpassten Sweep in einen langsameren – kein dramatischer Vorteil, bis zu der Woche, in der man ihn braucht, und dann der Unterschied zwischen einer Lücke in der Aufzeichnung und keiner Lücke.

Worauf du dich tatsächlich einlässt

Diese Schleife auszuführen bedeutet, einen Dienst zu betreiben, und dieser Dienst weist vier Eigenschaften auf, deren Eigentümerschaft Sie gerade übernommen haben.

• Uptime.Anthropics App ist der Pager von jemand anderem; deine ist deine. Ein Scheduler, der stillschweigend aufhört auszulösen, erzeugt keinen Fehler und keine Ausgabe, und du erfährst davon durch einen Menschen, der das Ausbleiben seines Morgen-Briefings bemerkt hat – nicht durch einen Alarm.

• Verwahrung von Zugangsdaten. Jedes Token, das Ihr Digest-Schritt hält, liegt in Ihrer Verantwortung, und der Schadensradius eines Leaks umfasst alles, was diese Verbindung erreichen kann. Anthropics Design hält Zugangsdaten vom Modell fern; ist das bei Ihnen nicht der Fall, wird das Modell zur Angriffsfläche für jedes Konto, das Sie verbunden haben.

• Abwehr von Prompt-Injection. Das Gate bringt hier viel, aber nur für die Aktionen, die es kontrolliert. Alles, was der Agent ohne Freigabe tut – Lesen, Zusammenfassen, Schreiben seines eigenen Zustands –, ist ungeschützt, und eine vergiftete Zusammenfassung kann den Speicher beschädigen, aus dem spätere Durchläufe ihre Schlüsse ziehen.

• Das Bug-Bounty gehört niemandem. Wenn Ihre Schleife fehlauslöst und die falsche Nachricht an einen Kunden sendet, gibt es keinen Anbieter, an den Sie eskalieren können, keine Statusseite, keinen Vorfallbericht. Die obigen Entscheidungen sind das einzige Sicherheitsnetz – deshalb ist das Gate ein separater Dienst und die Aktionsliste geschlossen.

Nichts davon spricht dagegen, es zu bauen. Es spricht dagegen, es beiläufig zu bauen. Jede Stufe ist klein, und die Nahtstellen zwischen ihnen sind der Ort, an dem das Urteilsvermögen sitzt: ein Timer statt eines Streams, ein eingefrorenes Präfix statt einer Vorlage, ein Digest statt eines Dumps, ein Objekt statt Prosa und ein Gate, das ein Dienst statt eines Kommentars ist. Macht man diese richtig, verdient sich die Schleife ihren Unterhalt – sie findet Dinge, nach denen man nicht gesucht hätte, und hält inne, bevor sie etwas tut, das nicht rückgängig gemacht werden kann. Macht man sie falsch, hat man etwas gebaut, das kontinuierlich das Budget verbraucht und einem sagt, was man ohnehin schon wusste.