Agent NAS: Netzwerkspeicher für KI-Agenten. Wo Agenten arbeiten und Sie die Kontrolle behalten.

Auf einen Blick #

Kategorie

Netzwerkspeicher für KI-Agenten, auch agentennativer Speicher (agent-native storage) genannt.

Kernidee

Die Einheit des Zugriffs ist die Ausführung (Run), nicht das Konto: Eine Ausführung arbeitet auf einem Branch, greift über eine Lease auf Daten zu und hinterlässt einen Eintrag im Protokoll.

Vier Versprechen

Begrenzt, wiederherstellbar, zurechenbar und einsehbar.

Kernbegriffe

Tree, Commit, Principal, Run, Lease und Record.

Konzepte

Neun benannte Konzepte in drei Gruppen: Arbeit, Befugnis und Wissen.

Schnittstellen

Datenebene: Mount, Git, S3, WebDAV. Steuerungsebene: MCP, HTTP, CLI.

Spezifikation

Entwurf v0.2 mit Konformitätsstufen von L0 Files bis L4 Sync, jede mit ausführbaren Abnahmetests.

Stand

Konzept- und Spezifikationsphase, noch keine Referenzimplementierung. L0 und L1 lassen sich schon heute aus vorhandenen Bausteinen bauen.

Lizenz

Inhalte unter CC BY 4.0.

Warum jetzt #

Vier Dinge sind im vergangenen Jahr bereits passiert.

• Agenten arbeiten in Dateien. AGENTS.md, Agent Skills, Git-basiertes Gedächtnis (Letta Context Repositories) und dynamische Kontextentdeckung, die lange Ausgaben in Dateien schreibt, haben Dateien zum Arbeitsmedium von Agenten gemacht.
• Fehler sind schnell und teuer. Im April 2026 nutzte ein Coding-Agent ein zu weit gefasstes Token aus einer unbeteiligten Datei und löschte in 9 Sekunden die Produktionsdatenbank eines Unternehmens samt der Backups auf demselben Volume.
• Menschen können nicht jeden Schritt prüfen. Anthropic berichtet, dass Nutzer 93 % bis 97 % der Berechtigungsabfragen freigeben; in seinem kontrollierten Experiment erkannten Menschen nur 13,6 % der eingeschleusten gefährlichen Befehle.
• Gedächtnis ist zur Angriffsfläche geworden. Mehrere Studien aus 2026 zeigen, dass eine bösartige Anweisung im persistenten Gedächtnis über Sitzungen hinweg überlebt und dass Verteidigung allein bei Eingabe oder Abruf wenig hilft.

Auch Speicherhersteller haben sich bewegt: QNAP QuAgent, Synology DSM Agent und TrueNAS MCP lassen alle einen Agenten die Box verwalten. Soweit wir sehen, gibt es aber weiterhin keinen selbst gehosteten, offenen, überprüfbaren Vertrag dafür, wie andere Agenten sicher mit den Daten darin arbeiten. Siehe Agent NAS im Vergleich zu bestehenden Ansätzen.

Vier Versprechen #

Neun Konzepte, drei Fragen #

Agent NAS schlägt neun benannte Konzepte vor. Jedes hat eine eigene Seite: eine zitierbare Definition, einen Mechanismus, einen Weg, klein anzufangen, eine Schnittstellenskizze, was die Spezifikation verlangt, und ehrliche Grenzen.

Vier Schichten, sechs Kernbegriffe #

Die Store-Schicht nutzt bewährten Speicher, wie er ist. Jede Schicht darüber lässt sich aus ihr neu aufbauen, und der Kern besteht nur aus sechs Begriffen: Tree, Commit, Principal, Run, Lease und Record. Wir erfinden keine Speicher-Engine; die Innovation liegt im Vertrag.

Die Architektur lesen.

Die Reise einer Ausführung #

1. Eine Lease anfordern. Der Orchestrator des Recherche-Agenten Cleo fordert für diese Ausführung eine Capability Lease an: /shared/launch lesen, Änderungen vorschlagen, vier Stunden gültig. Der vom Eigentümer vorab festgelegte Richtlinienrahmen genehmigt sie automatisch.
2. Die Arbeit beginnen. Das NAS legt die Ausführung und ihren Branch cleo/run_91ab an; die Sandbox bindet den Branch wie ein gewöhnliches Verzeichnis ein. Cleo liest AGENTS.md und das geprüfte Gedächtnis aus dem eigenen Agent Home.
3. Im Budget lesen. Cleo liest einen langen Bericht mit Budgeted Reads: zuerst eine Gliederung mit 400 Token, danach nach Bedarf bestimmte Zeilenbereiche. Jeder Lesezugriff wird dem Lesemanifest der Ausführung hinzugefügt.
4. Auf einem Branch arbeiten. Änderungen landen auf einem Agent Branch. Der gemeinsame main ändert sich vorerst überhaupt nicht.
5. Ein Gate treffen. Cleo hat eine Webseite gelesen, daher geben die Trust Labels der Sitzung die Kontamination external. Wenn Cleo einen Merge in main vorschlägt, verlangt die Richtlinie ein Human Gate: Der Eigentümer sieht auf dem Smartphone den echten, vom NAS berechneten Diff und die nicht vertrauenswürdige Quelle und gibt frei.
6. Eine Spur hinterlassen. Der Merge erzeugt einen Commit mit Provenienz. Was gelesen, was geschrieben und wer was freigegeben hat, geht in den Flight Recorder, per Hash verkettet.
7. Das Gedächtnis festigen. Cleo hält ein paar neue Fakten fest. Weil diese Sitzung externe Inhalte gelesen hat, kommen diese Notizen von Agent Memory zunächst in Quarantäne: Sie lassen sich abrufen, werden aber nicht automatisch geladen, bis ein Mensch sie geprüft hat.
8. Vergessen. Wochen später bittet ein Kunde darum, vergessen zu werden. Cascade Forget löscht entlang der Lineage die zugehörigen Zusammenfassungen und Indizes und stellt einen Bericht aus, der festhält, was nicht abgedeckt werden konnte.

Es spricht, was Agenten schon sprechen #

Für den Einstieg ist kein neues SDK nötig. Jeder Agent, der Dateien lesen und schreiben, Git oder S3 nutzen oder MCP-Tools aufrufen kann, kann Agent NAS verwenden. Die Sitzung unten veranschaulicht nur die geplante Kommandozeile.

$ nas lease create --role cleo --paths "/shared/launch/**" --actions read,write,propose --ttl 4h
lease lse_7Qk3 · run run_91ab · branch cleo/run_91ab · expires 16:00
$ nas mount --lease lse_7Qk3 ~/work       # plain files, on a branch
$ ./draft-release-notes.sh                # the agent works with ordinary tools
$ nas propose --into main
gate gt_2Mx4 waiting for approval: merge cleo/run_91ab into main (4 files)
$ nas gate approve gt_2Mx4                # the owner, from another terminal or a phone
merged · commit 91ce3a7 · record 18211

Alle Schnittstellen ansehen.

Worauf wir setzen #

Ein Entwurf, der jahrelang halten soll, muss sagen, worauf er setzt und was passiert, wenn er falsch liegt.

• Agenten werden Dateisysteme und Git weiter als wichtigstes Arbeitsmedium nutzen. Falls nicht, wird Agent Home zu einem Exportformat, und die anderen Konzepte gelten weiter.
• Die „Ausführung“ bleibt die natürliche Einheit für Autorisierung und Zurechenbarkeit. Falls langlebige autonome Prozesse aufkommen, werden Leases zu fortlaufenden Verlängerungen mit Budgets.
• Prompt Injection wird auf absehbare Zeit auf Modellebene nicht beseitigt. Falls doch, werden Trust Labels zu einer billigen zusätzlichen Verteidigungsschicht.
• Menschliche Aufmerksamkeit bleibt knapp. Falls Vollautomatisierung verlässlich genug wird, weicht ein Human Gate einer vorab autorisierenden Richtlinie, und der Prüfpfad bleibt.

Alle sieben Wetten stehen in den Entwurfsprinzipien.

Diese Website ist auch für Agenten lesbar #

Jede Seite hat einen Markdown-Zwilling, die Website veröffentlicht llms.txt und betreibt einen kleinen schreibgeschützten MCP-Server. Probieren Sie es im Terminal aus:

curl -H "Accept: text/markdown" https://agentnas.com/what-is-agent-nas/
curl https://agentnas.com/llms.txt
curl -X POST https://agentnas.com/api/search \
  -H "content-type: application/json" \
  -d '{"query": "capability lease", "limit": 5}'

So fügen Sie den Dokumentationsserver einem MCP-Client hinzu:

{
  "mcpServers": {
    "agentnas-docs": { "url": "https://agentnas.com/mcp" }
  }
}

Die Fragen, die zuerst gestellt werden #

Alle Fragen.

Wo wir stehen #

• Spezifikationsentwurf Konformitätsstufen und ausführbare Abnahmetests.
• Roadmap Jetzt, als Nächstes, später und was wir nicht tun werden.
• Über dieses Projekt Lizenz, Zitieren und Mitmachen.