Open-Source-KI-Agenten im Vergleich: OpenClaw, Hermes, Prime Agent, OpenCode...

Am 5. August 2026 hat Prime Intellect Prime Agent veröffentlicht, ein selbstdefiniertes Coding-Harness, das in der Lage ist, seine eigenen Prompts, Skills und sogar Sub-Agenten während der Arbeit umzuschreiben. Die Nachricht machte schnell die Runde in den Branchen-Newslettern, nicht so sehr wegen des deklarierten Werts auf dem Benchmark ARC-AGI-3 (95,5 %, über der menschlichen Referenzschwelle), sondern wegen einer unbequemeren Frage: Was unterscheidet heute eigentlich einen Agenten von einem anderen? Bis vor kurzem reichte ein Blick auf das Modell unter der Haube – GPT, Claude, Gemini, DeepSeek, offen oder proprietär. Mit der neuen Generation von Agenten ist diese Logik brüchig geworden.

Ein moderner Agent ist nicht mehr nur ein Modell, das auf eine Frage antwortet. Er ist ein System, das einen persistenten Speicher zwischen den Sessions, Werkzeuge zum Lesen und Schreiben von Dateien, Zugriff auf ein Terminal, einen zu steuernden Browser, parallel arbeitende Sub-Agenten, einen Scheduler, der ohne Aufforderung entscheidet, wann er agiert, sich im Laufe der Zeit ansammelnde Skills, einen konsistent zu haltenden Zustand und in einigen Fällen die Fähigkeit, seine eigenen operativen Regeln zu ändern, hinzufügt. Das Modell bleibt der Motor, aber Karosserie, Lenkrad und Bremsen sind mittlerweile ein eigenes Projekt und bestimmen, wie viel dieser Motor tatsächlich behalten, ausführen und lernen kann.

Es lohnt sich, sofort ein häufiges Missverständnis rund um das Wort "kostenlos" aufzuklären. Ein Thema ist Open-Source-Software, ein anderes die selbst gehostete (self-hosted) Installation ohne Lizenzkosten, ein wiederum anderes die Nutzung kostenloser oder kostenpflichtiger Modelle über APIs und ein weiteres die Nutzung lokal ausgeführter Modelle. Dies sind unabhängige Variablen, die sich auf unterschiedliche Weise kombinieren lassen. OpenCode, einen der Coding-Agenten, die wir uns ansehen werden, habe ich mehrfach erfolgreich sowohl mit kostenlosen Modellen wie DeepSeek Flash als auch mit lokalen Modellen verwendet, die über LM Studio bereitgestellt wurden: Die Kosten für den Agenten sind gleich null, die operativen Kosten hängen vom gewählten Modell und der verfügbaren Hardware ab, nicht von einem Abonnement für die Software, die alles orchestriert.

Drei Familien, keine einheitliche Rangliste

OpenClaw und OpenHands in denselben direkten Vergleich zu stellen, ergäbe wenig Sinn, ähnlich wie der Vergleich eines Allround-Butlers mit einem Vorarbeiter, der auf ein einziges Gewerk spezialisiert ist. Es ist ratsam, drei Familien zu unterscheiden, noch bevor man sich die einzelnen Features ansieht: autonome persönliche Assistenten, die darauf ausgelegt sind, stets verfügbar zu bleiben, Informationen im Laufe der Zeit zu sammeln und Anfragen über mehrere Kanäle zu empfangen (OpenClaw, Hermes Agent); Coding- und Research-Agenten, die darauf ausgerichtet sind, Code zu schreiben, Repositories zu durchforschen und technische Aufgaben zu automatisieren (Prime Agent, OpenCode, OpenHands, Goose); und Referenz-Harnesses, die eher für das Verständnis der zugrundeliegenden Architekturen als für den täglichen Gebrauch nützlich sind (Pi, Letta).

OpenClaw, der Butler auf mehreren Kanälen

OpenClaw ist ein Multikanal-Gateway, das Messaging-Apps wie Telegram, Slack, WhatsApp, Discord oder iMessage mit einem immer aktiven KI-Agenten verbindet. Der Nutzer installiert einen einzelnen Gateway-Prozess auf seiner Maschine oder einem Server, und dieser Prozess wird zur Brücke zwischen den alltäglichen Konversationen und einem Assistenten, der Shell-Befehle ausführen, Dateien lesen und ändern, im Web surfen, Container verwalten und externe APIs aufrufen kann. Die offizielle Dokumentation beschreibt das Herzstück des Systems als einen agentischen Loop, der vier Phasen durchläuft: vom Zusammenbau des Kontextes über die Modellinferenz bis hin zur Werkzeugausführung und der Zustandspersistenz.

Das Projekt ist in rasantem Tempo gewachsen. Nach dem Relaunch unter dem Namen OpenClaw im Januar 2026 überschritt es in wenigen Wochen die Marke von 200.000 Sternen auf GitHub und wurde zu einem der meistbeachteten Repositories des Jahres. Dies lag nicht nur am Nutzen des Werkzeugs, sondern auch daran, dass es ein architektonisches Pattern etablierte, dem andere Projekte folgten oder auf das sie sich explizit bezogen.

Die Stärken stehen im Einklang mit diesem Ansatz: ein breites Ökosystem an Skills und Integrationen, persistente Sessions, die einen Neustart überleben, wiederkehrende Aufgaben, die über Cron und Webhooks programmierbar sind, sowie ein realer Zugriff auf Shell, Browser und Dateisystem (file system), was ihn eher zu einem operativen Assistenten als zu einem erweiterten Chatbot macht.

Genau diese Breite ist jedoch auch seine offensichtlichste Einschränkung. Je mehr Angriffsflächen ein Agent berührt, desto größer wird der Bereich, den ein Angreifer ausnutzen kann. Nicht umsonst ist der Fall OpenClaw in den letzten Monaten zu einem echten Prüfstand für die Sicherheitsforschung im Bereich der KI-Agenten geworden, wie wir in einem eigenen Abschnitt sehen werden. Wer ihn mit dem Gedanken an einen immer aktiven Assistenten installiert, der Benachrichtigungen prüft, Skripte ausführt und von Telegram aus arbeitet, ohne jemals neu gestartet zu werden, muss mit einer komplexen Konfiguration und einer sorgfältig zu verwaltenden Angriffsfläche rechnen – es handelt sich nicht um ein einsatzbereites, in einer Sandbox isoliertes System.

Hermes Agent, der Agent, der seine eigenen Prozeduren schreibt

Hermes Agent ist das Open-Source-Projekt von Nous Research, einem Labor, das sich in den letzten Jahren einen soliden Ruf im Bereich der offenen Sprachmodelle erarbeitet hat. Das Unterscheidungsmerkmal ist nicht so sehr die Breite der Integrationen, sondern der geschlossene Lernkreislauf: Nach einer komplexen Aufgabe, typischerweise wenn mehrere Aufrufe verschiedener Werkzeuge erforderlich sind, kann der Agent selbstständig einen neuen Skill schreiben, diesen in folgenden Sessions wiederverwenden, ihn korrigieren, wenn er sich als veraltet oder fehlerhaft erweist, und all dies als persistentes Wissen zwischen den Konversationen bewahren.

Das Projekt hat über 215.000 Sterne auf GitHub erreicht und stellt dem Hauptmotor ein Satellitensystem zur Evolution an die Seite: hermes-agent-self-evolution. Dieses wendet evolutionäre Suchtechniken an, um Prompts, Skills und Verhaltensweisen des Systems automatisch zu optimieren – eine Arbeit, die als Oral Paper auf der ICLR 2026 Gehör fand. Abseits der Fachsprache ist die Idee einfach: Anstatt nur zu antworten, beobachtet der Agent seine eigenen Ausführungsspuren, versteht, warum etwas nicht funktioniert hat, und schlägt bessere Varianten vor. Dieser Mechanismus erinnert stark an die natürliche Selektion und weniger an eine einfache statische Optimierungsregel.

Die Stärken liegen in der persistenten Memory, der automatischen Erstellung von Skills, der Unterstützung zahlreicher Messaging-Plattformen und Entwicklungsumgebungen sowie einem Multi-Provider-Ansatz, der den Nutzer nicht an einen einzigen Modellanbieter bindet. Die Einschränkung ist ebenso deutlich und wird in den Projektdokumenten selbst eingeräumt: Die Qualität des Systems hängt vollständig von der Qualität der Skills ab, die es aufbaut. Ein Lernkreislauf, der nicht zwischen einer effektiven und einer nur scheinbar funktionierenden Prozedur unterscheidet, läuft Gefahr, Fehler zu verfestigen, anstatt sie zu korrigieren. Wenn das System sich auf diese Weise verhält, ähnelt das Problem der Struktur im Roman House of Leaves von Mark Z. Danielewski: Eine Struktur, die sich selbst umschreibt, kann sich faszinierend ausdehnen, verliert aber auch die Orientierung, wenn niemand kontrolliert, wohin jeder neue Raum führt.

Prime Agent, wenn der Kontext zur Variable wird

Während Hermes das Lernen durch Skills repräsentiert, steht Prime Agent für eine noch radikalere Idee, angewendet nicht auf das Verhalten, sondern auf die Architektur des Agenten selbst. Das Projekt basiert auf zwei technischen Konzepten, die sich einfach erklären lassen. Das erste, über das ich vor Monaten hier auf dem Portal geschrieben habe, ist das Recursive Language Model – die Idee, dass der Kontext einer Konversation nicht als fester Textstrom behandelt werden sollte, den man komprimiert, wenn er zu lang wird, sondern als Python-Variable, auf der das Modell programmgesteuert operieren kann, genau wie mit allen anderen Daten. Das zweite ist das Continual Harness, jener Teil des Systems, der es dem Agenten ermöglicht, seine ergänzenden Anweisungen, sein Gedächtnis, seine Skills und sogar die Spezifikationen der von ihm verwendeten Sub-Agenten auf der Grundlage des während der Ausführung Gelernten nachvollziehbar und reversibel zu ändern.

In der Praxis arbeitet das Modell nicht mit einer statischen Liste vordefinierter Werkzeuge, sondern in einem persistenten IPython-Kernel. Es kann Code schreiben, um Tools aufzurufen, Sub-Agenten als verschachtelte Funktionen zu starten und Informationen außerhalb des aktiven Kontextfensters zu bewahren, sodass sehr lange Sessions den Zugriff auf die Ereignisse zu Beginn nicht verlieren.

Auf der Ebene der Ergebnisse deklariert Prime Intellect einen Wert von 95,5 % auf ARC-AGI-3 unter Verwendung von Opus 5, was über der für diesen Benchmark veröffentlichten menschlichen Referenzschwelle liegt, sowie eine wettbewerbsfähige Leistung bei Aufgaben mit langem Kontext bei geringerem Token-Verbrauch im Vergleich zu herkömmlichen Harnesses. Diese Zahlen sind interessant, sollten jedoch mit der gebotenen Vorsicht gelesen werden, die alle Benchmarks verdienen, die direkt von den Produktentwicklern deklariert werden: Sie sind als Richtungsweiser nützlich, stellen aber kein endgültiges Urteil dar, solange keine unabhängigen Reproduktionen vorliegen.

Die Einschränkungen sind ebenso real. Die Lernkurve ist steiler als bei einem herkömmlichen Coding-Assistenten, das Projekt ist im Vergleich zu reiferen Werkzeugen noch jung, und die Fähigkeit zur Selbstmodifikation, die Prime Agent so interessant macht, kann fehlerhaftes Verhalten ebenso verstärken wie korrektes. Die Ausführung des Python-Codes und der Befehle erfolgt weiterhin mit den Rechten des Nutzers, der ihn startet, sodass die Verantwortung für die Isolierung der Umgebung vollständig bei demjenigen liegt, der das System konfiguriert.

OpenCode, OpenHands und Goose: drei verschiedene Wege zum Code

Während OpenClaw, Hermes und Prime Agent auf Gedächtnis, Lernen und rekursive Architekturen setzen, bleiben OpenCode, OpenHands und Goose stärker auf dem praktischen Boden der Softwareentwicklung verankert, jeder mit einer eigenen Persönlichkeit.

OpenCode ist wahrscheinlich am besten für Entwickler geeignet, die Wahlfreiheit wünschen, ohne auf ein Mindestmaß an Struktur zu verzichten. Er ist über das Terminal, die IDE oder eine Desktop-Anwendung nutzbar und bietet spezialisierte Agenten für die Planung und Implementierung, unterstützt Sub-Agenten sowie das MCP-Protokoll und ist mit mehreren Modellanbietern kompatibel. In direkten Tests mit diesem Werkzeug funktionierte die Software sowohl mit guten kostenlosen Modellen wie DeepSeek Flash als auch mit lokalen Modellen über LM Studio reibungslos. Dies bestätigt, dass die tatsächlichen Kosten fast immer vom gewählten Modell und der verfügbaren Hardware abhängen, nicht von einem Abonnement der Orchestrierungssoftware. Die Kehrseite der Medaille ist, dass er nicht als immer aktiver persönlicher Assistent konzipiert ist, das Langzeitgedächtnis nicht seine Stärke ist und die Konfiguration der Provider manchmal manuelle Eingriffe erfordert.

OpenHands bewegt sich auf einer Ebene, die eher einer agentischen Engineering-Plattform als einem persönlichen Befehlszeilenwerkzeug entspricht. Die von ihm orchestrierten Agenten können Code lesen und ändern, Befehle ausführen, direkt auf den Dateien eines Repositories arbeiten und sich in die typischen Werkzeuge des Entwicklungszyklus integrieren – von der automatischen Behebung von Issues über das Schreiben von Tests bis hin zum Refactoring. Er ist das am besten geeignete Werkzeug für diejenigen, die mit echten Software-Agenten-Teams experimentieren möchten, erfordert im Gegenzug jedoch eine strukturiertere Infrastruktur und eine aufmerksamere Überwachung, wenn die Aufgaben vollständig autonom werden.

Goose, entwickelt von Block, setzt hingegen auf einen lokalen und generalistischen Ansatz. Er läuft auf dem Rechner des Nutzers, unterstützt verschiedene Modelle über das MCP-Protokoll und eignet sich für heterogene Aufgaben, die von Coding über technische Recherchen bis hin zum Schreiben und der Datenanalyse reichen. Er ist weniger auf Self-Improvement ausgerichtet als Hermes oder Prime Agent, und seine Sicherheit hängt direkt von den ihm gewährten Rechten ab – ein nützlicher Reminder: Die lokale Ausführung verringert zwar einige Risiken im Zusammenhang mit dem Internet, entspricht aber nicht automatisch einer sicheren Umgebung.

Pi und Letta, zwei architektonische Referenzen

Zwei Projekte verdienen eine gesonderte Erwähnung, nicht weil sie in direktem Wettbewerb mit den anderen sechs stehen, sondern weil sie helfen, diese besser zu verstehen.

Pi ist ein minimales Harness für Coding-Agenten, das auf der gegenteiligen Idee von OpenClaw oder Hermes aufbaut: Anstatt möglichst viele fertige Funktionen anzubieten, stellt es eine über Skills, Extensions und Pakete erweiterbare Basis bereit und überlässt dem Entwickler die Verantwortung, die Umgebung so zusammenzustellen, wie er sie tatsächlich benötigt. Es ist interessant zu sehen, dass dieselbe Terminal-Schnittstelle von Pi auch von anderen Projekten auf der Liste, einschließlich Prime Agent, wiederverwendet wird. Ein Zeichen dafür, dass im Ökosystem der Open-Source-Agenten bestimmte Komponenten zu einer gemeinsam genutzten Infrastruktur werden und nicht im Besitz eines einzelnen Produkts verbleiben.

Letta geht das Problem des Gedächtnisses und des persistenten Zustands direkt an und bietet eine Plattform für den Aufbau von Stateful-Agenten, deren Zustand im Laufe der Zeit verwaltet, inspiziert und weiterentwickelt werden kann. Es ist ein guter Referenzpunkt, um das einfache Aufbewahren eines Konversationsverlaufs von echtem prozeduralem Lernen zu unterscheiden – der Unterschied zwischen einem Agenten, der sich an das Geschehene erinnert, und einem, der tatsächlich etwas aus dieser Erfahrung lernt.

Der Vergleich in einer Tabelle

Die folgenden Werte sind qualitative vergleichende Bewertungen auf der Grundlage der Dokumentation und des direkten Gebrauchs der Produkte, keine Scores aus standardisierten wissenschaftlichen Benchmarks.

Sicherheit, der Fall OpenClaw als Lehre für alle

Ein herkömmlicher Chatbot erzeugt Text, ein Agent erzeugt Aktionen: Er führt Befehle aus, liest und ändert Dateien, greift auf Repositories zu, surft im Web, versendet Nachrichten, ruft APIs auf, startet Prozesse und installiert Skills. Das Risiko hängt daher nicht nur von der Qualität des zugrundeliegenden Modells ab, sondern von der Kombination aus Modell, gewährten Werkzeugen, Rechten, Gedächtnis und externen Inhalten, die das System lesen kann.

OpenClaw ist, fast unfreiwillig, zum meistzitierten Fallbeispiel geworden, um diese Dynamik zu verstehen, schlicht weil es eine sehr hohe Anzahl dieser Fähigkeiten in einer einzigen Umgebung vereint. Eine Forschungsgruppe der Texas A&M University hat im März 2026 eine systematische Taxonomie auf der Grundlage von 190 gegen das Framework eingereichten Sicherheitsmeldungen veröffentlicht, geordnet nach Architekturebene und Art des Vertrauensbruchs. Dabei wurden Pfade identifiziert, die mehrere Schwachstellen mäßiger Schwere kombinieren, um eine nicht authentifizierte Codeausführung auf dem Host-Prozess zu erreichen. Andere unabhängige Arbeiten haben gemessen, wie riskiert über den Marketplace des Projekts installierbare Skills sein können: Eine Untersuchung schätzte, dass über ein Drittel der standardmäßig integrierten Skills ein hohes oder kritisches Risikoniveau aufweist, während eine Analyse der Marketplace-Plattform über tausend Pakete aufspürte, die als bösartig eingestuft wurden – etwa jedes fünfte der verfügbaren. Solche Zahlen sind immer als Momentaufnahme und nicht als dauerhaftes Urteil über das Projekt zu verstehen, da sich die Angriffsfläche durch die von den Entwicklern veröffentlichten Fixes schnell verändert.

Abseits der spezifischen Zahlen teilen sich die in diesen Arbeiten beschriebenen Risiken in wenige wiederkehrende Kategorien auf: Prompt Injection über eine vom Agenten besuchte Webseite oder eine über einen Chat-Kanal empfangene Nachricht, Abfluss sensibler Daten nach außen, bösartiges Verhalten hinter den Skills von Drittanbietern, ein zu breiter Zugriff auf das Dateisystem, versehentlich offengelegte API-Credentials, direkt aus dem Internet erreichbare Gateway-Instanzen, ohne explizite Bestätigung des Nutzers ausgeführte Aktionen und schließlich die Verwechslung von Anweisungen des Nutzers mit solchen, die sich in den vom Agenten verarbeiteten Daten verbergen – ein Kernproblem, das noch von keinem Werkzeug vollständig gelöst wurde.

Diese Lehre betrifft nicht nur OpenClaw, sie betrifft die gesamte Familie der in diesem Artikel beschriebenen Produkte, jedes mit seiner eigenen Ausprägung des Risikos. Bei Hermes Agent kann ein automatisch generierter Skill zu einer persistenten Prozedur werden, ohne dass ihn jemals jemand Zeile für Zeile überprüft hat. Dies macht Überprüfungs-, Versionierungs- und Rollback-Mechanismen erforderlich. Bei Prime Agent kann ein Harness, das sich selbst modifizieren kann, eine effektive Strategie ebenso verfestigen wie eine unerwünschte Abkürzung – das klassische Problem des Reward Hackings, angewendet auf die Architektur statt nur auf das Verhalten. Bei OpenCode betrifft das Hauptrisiko den Zugriff auf den Workspace, das Terminal und die verbundenen MCP-Server. Es ist ratsam, stets in isolierten Repositories zu testen, bevor man breite Rechte gewährt. Bei OpenHands erfordern vollständig autonome Software-Aufgaben dedizierte Container, separate Branches, automatische Testsuiten und eine menschliche Freigabe vor jedem Merge. Bei Goose schließlich ist daran zu erinnern, dass die lokale Ausführung nicht automatisch Sicherheit bedeutet: Ein Agent mit Zugriff auf die Maschine des Nutzers kann Daten oder Konfigurationen auch dann beschädigen, wenn er das Internet nie berührt.

Daraus ergibt sich eine praktische Checklist, die für jeden gilt, der mit einem dieser Werkzeuge experimentieren möchte, unabhängig davon, welches gewählt wird.

Fazit, ohne Gewinner

Die Suche nach einem absoluten Gewinner unter diesen acht Projekten würde bedeuten, misszuverstehen, was KI-Agenten im Laufe dieses Jahres geworden sind. Es ist sinnvoller, in Szenarien zu denken. OpenClaw bleibt die natürlichste Wahl für diejenigen, die eine persönliche Automatisierung wünschen, die auf mehreren Messaging-Kanälen gleichzeitig stattfindet. Hermes Agent ist das interessanteste Projekt für alle, die einen echten Lernkreislauf aus Gedächtnis und sich ansammelnden Skills aus der Nähe beobachten möchten. Prime Agent stellt heute den fortschrittlichsten Punkt des Experimentierens mit der Architektur des Harnesses selbst dar, mit allen Risiken und Versprechungen, die dies mit sich bringt. OpenCode bietet die beste Balance für die tägliche Entwicklung, insbesondere für diejenigen, die frei zwischen kostenlosen, lokalen oder kostenpflichtigen Modellen wechseln möchten. OpenHands richtet sich an diejenigen, die komplexe Software-Workflows bewältigen müssen, die mehrere koordinierte Agenten erfordern. Goose bleibt die flexibelste Wahl für alle, die einen generalistischen lokalen Agenten ohne allzu viele architektonische Einschränkungen suchen. Pi spricht direkt diejenigen an, die ihr eigenes Harness von Grund auf neu bauen möchten. Letta schließlich bleibt die nützlichste Referenz für jeden, der ernsthaft untersuchen möchte, was es für ein Softwaresystem bedeutet, wirklich Gedächtnis zu haben.

Der eigentliche Sprung, den KI-Agenten in diesen Monaten gemacht haben, besteht nicht nur darin, von einem kleineren zu einem leistungsstärkeren Modell überzugehen. Er besteht darin, um das Modell herum eine Umgebung aufzubauen, die in der Lage ist, sich zu erinnern, Werkzeuge zu nutzen, Aktivitäten zu koordinieren, sich von Fehlern zu erholen und in einigen Fällen die eigene Arbeitsweise zu ändern. Je mehr diese Autonomie jedoch zunimmt, desto mehr hören Sicherheit, Audit und menschliche Kontrolle auf, nachträglich hinzuzufügende Funktionen zu sein, und werden vom ersten Tag an zu einem integralen Bestandteil der Architektur.

---

Technischer Hinweis: Die in diesem Artikel zitierten Daten zu Schwachstellen, Akzeptanz und Benchmarks stammen aus öffentlichen Quellen, die zum Zeitpunkt der Veröffentlichung verfügbar waren. Da es sich um einen sich sehr schnell entwickelnden Sektor handelt, wird empfohlen, den aktuellen Status der einzelnen Projekte vor jeder operativen Entscheidung zu überprüfen, insbesondere im Hinblick auf Sicherheitspatches.