# Agent NAS: Netzwerkspeicher für KI-Agenten

> Agent NAS ist Netzwerkspeicher, der um die Ausführung (Run) herum gebaut ist: Jede Ausführung eines Agenten arbeitet in einem isolierten Branch und greift über eine kurzlebige, enge Lease auf Daten zu; jede Änderung lässt sich nachverfolgen und rückgängig machen; und das Gedächtnis sind gewöhnliche Dateien mit Provenienz. Bedient wird es über das, was Agenten ohnehin sprechen: Dateien, Git, S3 und MCP.

**Wo Agenten arbeiten und Sie die Kontrolle behalten.** Ein NAS, das die Ausführung zur Grundeinheit macht: Jede Ausführung bekommt einen eigenen Branch und eine eigene Lease, jede Änderung lässt sich nachverfolgen und rückgängig machen, und das Gedächtnis sind Notizen, die Sie lesen, bearbeiten und mitnehmen können.

## Auf einen Blick

- **Kategorie**: Netzwerkspeicher für KI-Agenten, auch agentennativer Speicher (agent-native storage) genannt.
- **Kernidee**: Die Einheit des Zugriffs ist die **Ausführung** (Run), nicht das Konto: Eine Ausführung arbeitet auf einem Branch, greift über eine Lease auf Daten zu und hinterlässt einen Eintrag im Protokoll.
- **Vier Versprechen**: Begrenzt, wiederherstellbar, zurechenbar und einsehbar.
- **Kernbegriffe**: Tree, Commit, Principal, Run, Lease und Record.
- **Konzepte**: Neun benannte Konzepte in drei Gruppen: Arbeit, Befugnis und Wissen.
- **Schnittstellen**: Datenebene: Mount, Git, S3, WebDAV. Steuerungsebene: MCP, HTTP, CLI.
- **Spezifikation**: Entwurf v0.2 mit Konformitätsstufen von L0 Files bis L4 Sync, jede mit ausführbaren Abnahmetests.
- **Stand**: Konzept- und Spezifikationsphase, noch keine Referenzimplementierung. L0 und L1 lassen sich schon heute aus vorhandenen Bausteinen bauen.
- **Lizenz**: Inhalte unter CC BY 4.0.

## Warum jetzt

Vier Dinge sind im vergangenen Jahr bereits passiert.

- **Agenten arbeiten in Dateien.** [AGENTS.md](https://agents.md), [Agent Skills](https://agentskills.io/specification), Git-basiertes Gedächtnis ([Letta Context Repositories](https://www.letta.com/blog/context-repositories/)) und [dynamische Kontextentdeckung](https://cursor.com/blog/dynamic-context-discovery), die lange Ausgaben in Dateien schreibt, haben Dateien zum Arbeitsmedium von Agenten gemacht.
- **Fehler sind schnell und teuer.** Im April 2026 nutzte ein Coding-Agent ein zu weit gefasstes Token aus einer unbeteiligten Datei und [löschte in 9 Sekunden die Produktionsdatenbank eines Unternehmens samt der Backups auf demselben Volume](https://www.theregister.com/software/2026/04/27/cursor-opus-agent-snuffs-out-startups-production-database/5224442).
- **Menschen können nicht jeden Schritt prüfen.** Anthropic berichtet, dass Nutzer [93 % bis 97 % der Berechtigungsabfragen](https://claude.com/resources/articles/auto-mode-default-in-claude-code) freigeben; in seinem kontrollierten Experiment erkannten Menschen nur 13,6 % der eingeschleusten gefährlichen Befehle.
- **Gedächtnis ist zur Angriffsfläche geworden.** [Mehrere Studien aus 2026](https://arxiv.org/abs/2606.04329) zeigen, dass eine bösartige Anweisung im persistenten Gedächtnis über Sitzungen hinweg überlebt und dass Verteidigung allein bei Eingabe oder Abruf wenig hilft.

Auch Speicherhersteller haben sich bewegt: [QNAP QuAgent](https://www.qnap.com/en/software/quagent), [Synology DSM Agent](https://www.synology.com/en-us/beta/2026_DSM_Agent_1_0_Beta/release_note) und [TrueNAS MCP](https://truenas.github.io/truenas-research-labs/) lassen alle einen Agenten die Box verwalten. Soweit wir sehen, gibt es aber weiterhin keinen selbst gehosteten, offenen, überprüfbaren Vertrag dafür, wie andere Agenten sicher mit den Daten darin arbeiten. Siehe [Agent NAS im Vergleich zu bestehenden Ansätzen](https://agentnas.com/de/compare/).

## Vier Versprechen

| Versprechen | Bedeutung | Geliefert von |
| --- | --- | --- |
| Begrenzt | Eine Ausführung kann nur anfassen, was ihre Lease benennt, und die Lease hört pünktlich auf zu wirken; eine Sitzung, die nicht vertrauenswürdige Inhalte gelesen hat, kann nicht zugleich sensible Daten und einen ausgehenden Kanal halten. | [Capability Lease](https://agentnas.com/de/concepts/capability-lease/), [Trust Labels](https://agentnas.com/de/concepts/trust-labels/) |
| Wiederherstellbar | Schreibzugriffe landen zuerst auf einem Branch; geschützte Daten ändern sich nur durch geprüfte Merges; Löschen ist ein Soft Delete; Snapshots liegen außerhalb jeder Lease. | [Agent Branch](https://agentnas.com/de/concepts/agent-branch/), [Human Gate](https://agentnas.com/de/concepts/human-gate/) |
| Zurechenbar | Jede Änderung kann beantworten: wer sie vorgenommen hat, in wessen Auftrag, unter welcher Lease und was gelesen wurde. | [Flight Recorder](https://agentnas.com/de/concepts/flight-recorder/) |
| Einsehbar | Gedächtnis sind gewöhnliche Notizen mit Provenienz, Indizes lassen sich verwerfen und neu aufbauen, und alle Daten lassen sich exportieren. | [Agent Home](https://agentnas.com/de/concepts/agent-home/), [Agent Memory](https://agentnas.com/de/concepts/agent-memory/), [Budgeted Reads](https://agentnas.com/de/concepts/budgeted-reads/), [Cascade Forget](https://agentnas.com/de/concepts/cascade-forget/) |

## Neun Konzepte, drei Fragen

Agent NAS schlägt neun benannte Konzepte vor. Jedes hat eine eigene Seite: eine zitierbare Definition, einen Mechanismus, einen Weg, klein anzufangen, eine Schnittstellenskizze, was die Spezifikation verlangt, und ehrliche Grenzen.

### Arbeit

Wo findet die Arbeit statt, und was ist passiert?

- AN-01 [Agent Home (Home-Verzeichnis)](https://agentnas.com/de/concepts/agent-home/): Ein Verzeichnis pro Rolle, mit Verlauf. Gewöhnliche Dateien, die Sie mitnehmen können.
- AN-02 [Agent Branch (Agentenzweig)](https://agentnas.com/de/concepts/agent-branch/): Jede Ausführung arbeitet auf einem Copy-on-Write-Branch. Nur ein geprüfter Merge erreicht die Hauptlinie.
- AN-03 [Flight Recorder (Flugschreiber)](https://agentnas.com/de/concepts/flight-recorder/): Ein Protokoll pro Ausführung, per Hash verkettet, das auch festhält, was gelesen wurde.

### Befugnis

Wer darf was, und auf wessen Anweisung?

- AN-04 [Capability Lease (befristete Berechtigung)](https://agentnas.com/de/concepts/capability-lease/): Eine enge Autorisierung für eine Ausführung, mit Ablauf und Budgets. Kind-Leases können nur enger sein.
- AN-05 [Human Gate (menschliche Freigabe)](https://agentnas.com/de/concepts/human-gate/): Erscheint nur vor unumkehrbaren, nach außen gerichteten oder rechteerweiternden Aktionen und zeigt den echten Diff.
- AN-06 [Trust Labels (Vertrauenslabels)](https://agentnas.com/de/concepts/trust-labels/): Zwei kleine Labels plus Sitzungskontamination setzen die Zweierregel durch.

### Wissen

Was weiß der Agent, wie liest er, und wie vergisst er?

- AN-07 [Agent Memory (Agentengedächtnis)](https://agentnas.com/de/concepts/agent-memory/): Notizen, die Sie lesen und bearbeiten können, sind die Wahrheit. Indizes sind ein Cache, den Sie wegwerfen können.
- AN-08 [Budgeted Reads (budgetiertes Lesen)](https://agentnas.com/de/concepts/budgeted-reads/): Eine Datei als Gliederung, Abschnitt, Zeilenbereich oder vollständig lesen, abgestuft, damit sie ins Budget passt.
- AN-09 [Cascade Forget (kaskadierendes Vergessen)](https://agentnas.com/de/concepts/cascade-forget/): Ableitungen entlang der Lineage löschen, den Verlauf nach Aufbewahrungsklasse behandeln und melden, was nicht möglich war.

## Vier Schichten, sechs Kernbegriffe

Die Store-Schicht nutzt bewährten Speicher, wie er ist. Jede Schicht darüber lässt sich aus ihr neu aufbauen, und der Kern besteht nur aus sechs Begriffen: Tree, Commit, Principal, Run, Lease und Record. Wir erfinden keine Speicher-Engine; die Innovation liegt im Vertrag.

- **Interface**: Projiziert Fähigkeiten in Schnittstellen, die Agenten, Menschen und Werkzeuge bereits nutzen. Gateways sind zustandslos und entscheiden nie, wer was darf. (Mount (POSIX), Git, S3, WebDAV/SMB, MCP, HTTP, CLI, A2A (optional))
- **Trust (Vertrauen)**: Die einzige Autorisierungsstelle. Deterministische Richtlinien, kein Modell in der Entscheidung. (Principals und Ausführungen, Capability Lease, Richtlinien-Engine, Human Gate, Trust Labels, Credential Broker, Flight Recorder)
- **Memory (Gedächtnis)**: Macht aus Notizen durchsuchbares Wissen. Alles lässt sich aus der Schicht darunter neu aufbauen. (Agent Memory, Budgeted Reads, Cascade Forget, Indizes, Wartungsjobs, Lineage)
- **Store (Speicher)**: Ein Tree mit Verlauf, auf bewährten Dateisystem-Snapshots, Git oder versioniertem Objektspeicher. (Tree, Commit, Agent Branch, Dateisystem-Snapshots, Git, Objektspeicher)
- **Sync (Synchronisierung, optional)**: Replikation und Teilen zwischen Knoten. Absichtlich zuletzt: Bringen Sie zuerst einen einzelnen Knoten in Ordnung. (Git-Remotes, Snapshot-Transfer, Lease-Links, Übergabepakete)

[Die Architektur lesen](https://agentnas.com/de/architecture/).

## Die Reise einer Ausführung

1. **Eine Lease anfordern.** Der Orchestrator des Recherche-Agenten Cleo fordert für diese Ausführung eine [Capability Lease](https://agentnas.com/de/concepts/capability-lease/) an: `/shared/launch` lesen, Änderungen vorschlagen, vier Stunden gültig. Der vom Eigentümer vorab festgelegte Richtlinienrahmen genehmigt sie automatisch.
2. **Die Arbeit beginnen.** Das NAS legt die Ausführung und ihren Branch `cleo/run_91ab` an; die Sandbox bindet den Branch wie ein gewöhnliches Verzeichnis ein. Cleo liest `AGENTS.md` und das geprüfte Gedächtnis aus dem eigenen [Agent Home](https://agentnas.com/de/concepts/agent-home/).
3. **Im Budget lesen.** Cleo liest einen langen Bericht mit [Budgeted Reads](https://agentnas.com/de/concepts/budgeted-reads/): zuerst eine Gliederung mit 400 Token, danach nach Bedarf bestimmte Zeilenbereiche. Jeder Lesezugriff wird dem Lesemanifest der Ausführung hinzugefügt.
4. **Auf einem Branch arbeiten.** Änderungen landen auf einem [Agent Branch](https://agentnas.com/de/concepts/agent-branch/). Der gemeinsame `main` ändert sich vorerst überhaupt nicht.
5. **Ein Gate treffen.** Cleo hat eine Webseite gelesen, daher geben die [Trust Labels](https://agentnas.com/de/concepts/trust-labels/) der Sitzung die Kontamination `external`. Wenn Cleo einen Merge in `main` vorschlägt, verlangt die Richtlinie ein [Human Gate](https://agentnas.com/de/concepts/human-gate/): Der Eigentümer sieht auf dem Smartphone den echten, vom NAS berechneten Diff und die nicht vertrauenswürdige Quelle und gibt frei.
6. **Eine Spur hinterlassen.** Der Merge erzeugt einen Commit mit Provenienz. Was gelesen, was geschrieben und wer was freigegeben hat, geht in den [Flight Recorder](https://agentnas.com/de/concepts/flight-recorder/), per Hash verkettet.
7. **Das Gedächtnis festigen.** Cleo hält ein paar neue Fakten fest. Weil diese Sitzung externe Inhalte gelesen hat, kommen diese Notizen von [Agent Memory](https://agentnas.com/de/concepts/agent-memory/) zunächst in Quarantäne: Sie lassen sich abrufen, werden aber nicht automatisch geladen, bis ein Mensch sie geprüft hat.
8. **Vergessen.** Wochen später bittet ein Kunde darum, vergessen zu werden. [Cascade Forget](https://agentnas.com/de/concepts/cascade-forget/) löscht entlang der Lineage die zugehörigen Zusammenfassungen und Indizes und stellt einen Bericht aus, der festhält, was nicht abgedeckt werden konnte.

## Es spricht, was Agenten schon sprechen

Für den Einstieg ist kein neues SDK nötig. Jeder Agent, der Dateien lesen und schreiben, Git oder S3 nutzen oder MCP-Tools aufrufen kann, kann Agent NAS verwenden. Die Sitzung unten veranschaulicht nur die geplante Kommandozeile.

*Beispielsitzung*

```bash
$ nas lease create --role cleo --paths "/shared/launch/**" --actions read,write,propose --ttl 4h
lease lse_7Qk3 · run run_91ab · branch cleo/run_91ab · expires 16:00
$ nas mount --lease lse_7Qk3 ~/work       # plain files, on a branch
$ ./draft-release-notes.sh                # the agent works with ordinary tools
$ nas propose --into main
gate gt_2Mx4 waiting for approval: merge cleo/run_91ab into main (4 files)
$ nas gate approve gt_2Mx4                # the owner, from another terminal or a phone
merged · commit 91ce3a7 · record 18211
```

[Alle Schnittstellen ansehen](https://agentnas.com/de/interfaces/).

## Worauf wir setzen

Ein Entwurf, der jahrelang halten soll, muss sagen, worauf er setzt und was passiert, wenn er falsch liegt.

- **Agenten werden Dateisysteme und Git weiter als wichtigstes Arbeitsmedium nutzen.** Falls nicht, wird Agent Home zu einem Exportformat, und die anderen Konzepte gelten weiter.
- **Die „Ausführung“ bleibt die natürliche Einheit für Autorisierung und Zurechenbarkeit.** Falls langlebige autonome Prozesse aufkommen, werden Leases zu fortlaufenden Verlängerungen mit Budgets.
- **Prompt Injection wird auf absehbare Zeit auf Modellebene nicht beseitigt.** Falls doch, werden Trust Labels zu einer billigen zusätzlichen Verteidigungsschicht.
- **Menschliche Aufmerksamkeit bleibt knapp.** Falls Vollautomatisierung verlässlich genug wird, weicht ein Human Gate einer vorab autorisierenden Richtlinie, und der Prüfpfad bleibt.

Alle sieben Wetten stehen in den [Entwurfsprinzipien](https://agentnas.com/de/principles/).

## Diese Website ist auch für Agenten lesbar

Jede Seite hat einen Markdown-Zwilling, die Website veröffentlicht `llms.txt` und betreibt einen kleinen schreibgeschützten MCP-Server. Probieren Sie es im Terminal aus:

*Terminal*

```bash
curl -H "Accept: text/markdown" https://agentnas.com/what-is-agent-nas/
curl https://agentnas.com/llms.txt
curl -X POST https://agentnas.com/api/search \
  -H "content-type: application/json" \
  -d '{"query": "capability lease", "limit": 5}'
```

So fügen Sie den Dokumentationsserver einem MCP-Client hinzu:

*mcp.json*

```json
{
  "mcpServers": {
    "agentnas-docs": { "url": "https://agentnas.com/mcp" }
  }
}
```

## Die Fragen, die zuerst gestellt werden

### Was ist Agent NAS in einem Satz?

Netzwerkspeicher, der um die Ausführung herum gebaut ist: Jede Ausführung eines Agenten arbeitet in einem isolierten Branch und greift über eine kurzlebige, enge Lease auf Daten zu; jede Änderung lässt sich nachverfolgen und rückgängig machen; und das Gedächtnis sind gewöhnliche Dateien mit Provenienz.

### Gibt es Software zum Herunterladen?

Noch nicht. Agent NAS ist derzeit ein Konzept mit einem Spezifikationsentwurf (v0.2). L0 und L1 lassen sich schon heute aus Git, Dateisystem-Snapshots und einem kleinen Gateway bauen; Ziel für die Referenzimplementierung v0 ist die erste Hälfte 2027. Siehe die [Roadmap](https://agentnas.com/de/roadmap/).

### Wie unterscheidet es sich von den KI-Agenten, die NAS-Hersteller ausliefern?

Diese Agenten verwalten die Box. Agent NAS legt fest, wie andere Agenten mit den Daten in der Box arbeiten: Branches, Leases, Gedächtnis und Vergessen. Beides ergänzt sich, und die Box eines Herstellers kann die Grundlage eines Overlay-Einsatzes sein.

### Ersetzt es meinen bestehenden Speicher?

Nein. Die Einsatzform Overlay sitzt vor einem vorhandenen NAS, Objektspeicher oder Git-Host und verwaltet darin nur ein einziges Verzeichnis oder einen Bucket.

### Kann es Prompt Injection stoppen?

Nein. Es begrenzt, was nach einer Injection passiert, und macht die Folgen sichtbar und umkehrbar. Die ehrlichen Grenzen stehen auf der Seite [Sicherheit](https://agentnas.com/de/security/).

### Kann ich jederzeit gehen?

Ja. Alles lässt sich als gewöhnliche Dateien und Git-Verlauf exportieren. Das ist eine Entwurfsgarantie, keine optionale Funktion.

[Alle Fragen](https://agentnas.com/de/faq/).

## Wo wir stehen

> **Stand.** Agent NAS befindet sich in der Konzept- und Entwurfsphase der Spezifikation (v0.2, November 2026). v0.2 ist eine Überarbeitung auf den Boden der Tatsachen: Dreizehn Konzepte wurden auf neun reduziert, und jedes sagt, wie man klein anfängt und wo seine ehrlichen Grenzen liegen. Es gibt noch keine Referenzimplementierung.

- [Spezifikationsentwurf](https://agentnas.com/de/spec/): Konformitätsstufen und ausführbare Abnahmetests.
- [Roadmap](https://agentnas.com/de/roadmap/): Jetzt, als Nächstes, später und was wir nicht tun werden.
- [Über dieses Projekt](https://agentnas.com/de/about/): Lizenz, Zitieren und Mitmachen.

---

Kanonische URL: https://agentnas.com/de/
Aktualisiert am: 2026-11-11 · Spezifikationsentwurf v0.2 · CC BY 4.0