BrainboxGib jedem KI-Agenten
einen eigenen Computer.
Ein Betriebssystem, gebaut, um die Arbeit autonom agierender Agenten zu perfektionieren: Sie bedienen Programme, schreiben Code und Pipelines, füllen Formulare aus, erleichtern deinen Job. Und weil jede Sitzung in ihrer eigenen virtuellen Maschine versiegelt ist, sind dein System und deine Daten geschützt.
Das Agent-OS, das wirklich ein Betriebssystem ist
Die meisten Produkte, die sich „Agent-OS“ nennen, sind Programme oder Cloud-Dienste, die auf einem gewöhnlichen Betriebssystem laufen. Brainbox ist das Betriebssystem selbst: Du installierst es auf einem Rechner, und es übernimmt die ganze Maschine. Es wurde von Grund auf für einen einzigen Zweck gebaut - KI-Agenten arbeiten zu lassen - und jedes Release verbessert es für genau diesen Zweck und nichts anderes.
Was deine Agenten wirklich können
Die Wand ist nicht dazu da, den Agenten kleinzuhalten - sie ist es, was echte Autonomie überhaupt erst vertretbar macht.
Einen echten Computer bedienen, nicht nur ein Chat-Fenster
Jede Sitzung ist eine echte Linux-Maschine mit Desktop, den der Agent benutzen kann - browsen, sich durch Programme klicken, Code schreiben und debuggen. Du schaust vom Portal aus zu oder übernimmst selbst. Laptop zuklappen: Sitzungen leben auf der Box, die Arbeit läuft weiter.
Versiegelt und mächtig zugleich
Ein eigener Display-Server (phantom) lässt Agenten grafische Programme aus der Vor-KI-Ära bedienen - Dokumente, echte Anwendungen, GUI-Ebene. Der Sitzungs-Monitor vermittelt bis auf Systemaufruf-Ebene, was läuft; ein Medienserver bewegt Dateien zu deinen Bedingungen hinein und heraus.
Sprich mit ihr - und lass sie antworten
Eine Frage laut, eine Antwort laut - die Spracherkennung läuft lokal auf der Box (Whisper), die Sprachbahn braucht keine Cloud. Die Stimme kommt aus der Box, deinem Handy oder deinen Home-Assistant-Lautsprechern. Mit lokalem Modell verlässt nichts das Gebäude.
Bring dein eigenes Gehirn mit - behalte dein Konto
Verbinde dein Claude-/Codex-/…-Konto - oder ein lokales Modell wie Ollama - einmal im Assistenten. Es bleibt auf der Box und läuft über niemanden sonst. Konten zentral verwalten oder jedes Mitglied bringt sein eigenes.
Echte Aufgaben, in echtem Maßstab
Mehrere Boxen teilen sich eine Arbeitslast - so rechnet doesitreproduce.com tausende veröffentlichte Analysen nach, auf einer Flotte genau dieser Boxen, heute. Jeder Rechner macht mit: Laptop, NAS, Raspberry Pi.
Für alle im Haus - und von überall erreichbar
Mitglieds-Konten für die Menschen, mit denen du lebst oder arbeitest; Deutsch und Englisch eingebaut. Telegram und der gehärtete Relay-Client halten die Arbeit unterwegs erreichbar; Thin-Clients für Windows und Linux für alle anderen.
Warum du einem Agenten so viel Macht geben kannst
Eine Entwurfsentscheidung trägt alles: Jede Sitzung läuft in einer eigenen virtuellen Maschine, mit eigenem Kernel. Schutzschild und Werkstatt sind dieselbe Wand.
Prompt Injection - versteckte Anweisungen in dem, was ein Agent liest: im PDF eines Lieferanten, auf einer Webseite, in einer Termineinladung - lässt sich nicht verlässlich herausfiltern; wer anderes behauptet, rät. Meta formuliert es unmissverständlich: „eine grundlegende, ungelöste Schwäche aller Sprachmodelle“. Und sie ist nur ein Punkt auf der Liste - Agenten vertippen sich auch bei Befehlen, löschen das Falsche und lassen sich an ihren eigenen Freigabelisten vorbeireden.
Brainbox geht deshalb davon aus, dass eine Sitzung irgendwann ausgetrickst wird - und macht daraus ein Nicht-Ereignis. Eine übernommene Sitzung sitzt in ihrer eigenen Wegwerf-Maschine fest: Sie erreicht weder deine Dateien noch dein Netz, weder andere Sitzungen noch deine KI-Zugangsdaten - die werden an einem Vermittler an der Grenze angeheftet, die Sitzung hält sie nie selbst. Du löschst die Maschine, und das Problem geht mit ihr. Dieselbe Wand wirkt in beide Richtungen: Weil die Sitzung wirklich versiegelt ist, kann man ihr gefahrlos ein volles Userland geben, einen grafischen Desktop und Macht bis hinunter zu den Systemaufrufen.
Zum Nachlesen
Nimm nicht diese Seite beim Wort. Frei lesbare Berichte seriöser Medien - das ist der Stand der Dinge:
- Samsung-Mitarbeiter verraten unabsichtlich Firmengeheimnisse an ChatGPT Der Standard · April 2023 - Code, Chip-Daten und Protokolle landeten auf fremden Servern
- Große Sprachmodelle: BSI warnt vor manipulierenden Prompts heise online · Juli 2023 - das BSI nennt die Schwäche „intrinsisch": eine zuverlässige Lösung existiert nicht
- Zero-Click-Sicherheitslücke in Microsofts Copilot Security-Insider · Juni 2025 - eine präparierte E-Mail genügte, ganz ohne Klick
- KI legt Firma lahm - gesamte Datenbank + Backups in 9 Sekunden gelöscht WinFuture · April 2026 - drei Jahre später ist das Problem nicht gelöst
- Unkontrollierbar und gefährlich? Wenn KIs eigenmächtig in IT-Systemen marodieren Tagesspiegel · Juli 2026 - der aktuelle Überblick aus der Wissenschaftsredaktion
Es leistet bereits echte Arbeit
Does It Reproduce? rechnet veröffentlichte biomedizinische Auswertungen selbstständig nach - liest die Arbeit, beschafft die Daten, rechnet, bewertet. Monate unbeaufsichtigter Betrieb auf einer Flotte genau dieser Boxen: die erste ernsthafte Last für Brainbox und die härteste Prüfung.
Reproduktionen ansehen → - Zahlen bei jedem Aufruf live aus dem Projekt gelesen.
Installieren
Brainbox ist das Betriebssystem - es installiert sich nicht neben Windows oder Linux.
- Installer herunterladen: brainbox-installer-amd64-1.0.0.iso (~2,9 GB) - auf Wunsch gegen die SHA-256 prüfen.
- Booten auf einer Maschine oder VM mit leerer Platte ab 16 GB. Agenten-Sitzungen laufen als echte virtuelle Maschinen, der Wirt muss also Hardware-Virtualisierung erlauben - Intel VT-x oder AMD AMD-V (auf den meisten PCs ab Werk an; in einer VM verschachtelte Virtualisierung freischalten).
- Schreiben lassen: Der Installer schreibt Brainbox auf die Platte und startet hinein neu. ISO entfernen.
- In Besitz nehmen: Die Box zeigt Adresse, QR-Code und einen einmaligen Einrichtungscode auf ihrem eigenen Bildschirm. Adresse im Browser im selben Netz öffnen und dem Assistenten folgen - der Code beweist, dass du an der Box stehst.
Lieber erst lesen? Der vollständige Quellcode, einschließlich der Isolationsschicht, liegt auf github.com/schlein-lab/brainbox.
Klare Antworten
Die Fragen, die entscheiden, ob das etwas für dich ist.
Was brauche ich dafür?
Eine eigene Maschine: einen alten x86-Rechner oder eine VM auf NAS oder Hypervisor - mit Hardware-Virtualisierung (VT-x/AMD-V) und einer leeren Platte ab 16 GB. Das Installer-ISO steht oben. Bedient wird alles im Browser. Ein Raspberry Pi kann als Portal-, Sprach- und Flottenknoten mitmachen; Agenten-Sitzungen brauchen x86.
Was kostet das?
Nichts, bei nichtkommerzieller Nutzung - die Software ist unter PolyForm Noncommercial 1.0.0 frei, und sie läuft auf Hardware, die du schon hast. Kein Abo, keine minutengenaue Abrechnung. Kommerzieller Einsatz braucht eine eigene Lizenz.
Wo läuft das Sprachmodell?
Brainbox ist die Infrastruktur unter den Agenten, kein Modell-Anbieter. Du bringst deinen eigenen Modell-Zugang mit - ein lokales Modell, wenn deine Hardware es trägt, oder dein bestehendes Anbieter-Konto. In beiden Fällen erreicht eine Sitzung das Netz nur dort, wo ihre Netzregel es erlaubt.
Geht das mit vertraulichen Daten - Mandantenakten, Patientendaten?
Diese Entscheidung bleibt bei dir - und die Dateien auch: Arbeitsräume liegen auf deinen Maschinen, jede Sitzung ist von den anderen abgeschottet, und was eine Sitzung nach draußen schicken darf, bestimmt eine Regel - nicht der gute Wille des Agenten. Zwei Grenzen gehören in denselben Atemzug: Wer die Box verwaltet, kommt an den Inhalt einer Sitzung heran - die Abschottung liegt zwischen den Sitzungen, nicht gegen den Betreiber -, und eine Box hat heute einen Eigner. Setz also nicht zwei Parteien auf dieselbe Maschine, die einander nicht lesen dürfen. Die Bundesrechtsanwaltskammer empfiehlt KI-Anbieter mit Serverstandort in Deutschland oder Europa. Es gibt einen Serverstandort, der jede Prüfung besteht: deinen eigenen.
Kann ich einen Agenten stoppen, bevor er etwas Unbeabsichtigtes tut?
Du kannst ihn vorab begrenzen und du kannst ihn stoppen - ihn zum Fragen zwingen kannst du noch nicht. Das Begrenzen ist echt: Netzregel, Arbeitsvolumen und Kontingent einer Sitzung stehen fest, bevor sie startet, und werden außerhalb von ihr durchgesetzt. Das Stoppen ist echt: Sitzung auf der Startseite anhalten oder zerstören - die microVM geht mit. Eine Sitzung löschen oder ein Gerät entfernen verlangt einen zweiten Faktor, und dieses Tor ist fail-closed: Lässt sich der Faktor nicht bestätigen, wird die Aktion versiegelt statt erlaubt. Was nicht gebaut ist: ein Schritt, der mitten im Lauf von selbst anhält und auf dich wartet. Ein Agent kann eine Frage stellen; stehen bleibt er davon nicht. Wenn dein Einsatz genau daran hängt, warte darauf - wir sagen, wenn es da ist.
Ist Brainbox zertifiziert?
Brainbox behauptet keine Zertifizierungen, und diese Seite macht keine Compliance-Versprechen. Was es ändert, ist einfacher: Die Verarbeitung passiert auf Maschinen, die dir gehören. Die Frage „Wo sind unsere Daten?“ hat damit eine Ein-Wort-Antwort - hier.
Was wir nicht behaupten
Die Lücken, die unser eigener Quellbaum gegen uns protokolliert - bevor du sie findest.
- Kein Freigabe-Tor vor den Schritten des Agenten. Nichts hält mitten im Lauf an und wartet auf dich. Der zweite Faktor auf zerstörerischen Aktionen - Sitzung löschen, Gerät entfernen - ist echt und fail-closed; einer auf dem nächsten Schritt eines Agenten ist nicht da.
- Eine Box, ein Eigner. Zusätzliche Konten bekommen einen eigenen Bildschirm, keinen eigenen Mandanten. Setz keine zwei Parteien auf eine Box, die einander nicht lesen dürfen.
- Nicht blind gegenüber dem eigenen Verwalter. Die Abschottung liegt zwischen den Sitzungen, nicht gegen den Betreiber.
- Das Raspberry-Pi-Image hat noch keine Sitzungszellen. Dort ist die Box Portal-, Sprach- und Flottenknoten; Agenten-Sitzungen brauchen x86 mit VT-x/AMD-V.
- Hypervisor-Isolation ist Code, und Code hat Fehler. „Deutlich schwerer auszubrechen“ ist ehrlich; „unmöglich“ ist es nicht.
Jede Zeile zeigt auf eine benannte Datei im Quellbaum - damit du nachprüfen kannst, dass wir noch die Wahrheit sagen.
Bleib auf dem Laufenden
Der Quellcode ist offen, das Installer-ISO ist da. Lass deine Adresse hier, und wir schreiben, wenn ein neues Release erscheint - sonst nichts.
Lizenz
Brainbox ist veröffentlicht unter PolyForm Noncommercial 1.0.0: frei zum Nutzen, Studieren, Ändern und Weitergeben für nichtkommerzielle Zwecke. Kommerzielle Nutzung braucht eine gesonderte Lizenz - geplant? Schreib an support@brainarbeit.com. Projektnamen und Logos sind von der Code-Lizenz nicht erfasst.