Lass den KI-Agenten ein Code-Tool vorschlagen und gib es als Admin frei

TL;DR: Ein Agent, der „Monatsumsatz nach Kanal“ beantwortet, indem er jede Woche dasselbe Programm schreibt, sollte es nicht jedes Mal neu schreiben müssen, darf aber auch nicht selbstständig Tools erstellen können. Im Code Mode von AnythingMCP geht er den Mittelweg: Er ruft code_propose_tool mit einem Namen, einer Beschreibung, dem Programm und der Begründung auf, warum es sich lohnt, es zu behalten. Das speichert nur einen Vorschlag und sonst nichts: Es wird kein Code ausgeführt und es entsteht kein Tool. Ein Administrator findet den Vorschlag unter AI Skills → Suggested, liest das Programm und klickt auf Create tool. Das neue Tool ist schreibgeschützt und läuft mit den eigenen Berechtigungen des jeweiligen Aufrufers; alles darüber hinaus ist eine separate, bewusste Änderung. Verfügbar in self-hosted AnythingMCP ab v0.52.0, in AnythingMCP Cloud bald verfügbar.

Warum Vorschläge statt selbst erstellter Tools

Agenten erkennen gut, wann eine Aufgabe mechanisch ist: dieselben drei Aufrufe, derselbe Join, dieselbe Summe. Daraus ein gespeichertes Tool zu machen, macht die nächste Antwort schneller, günstiger und konsistenter. Aber ein Tool ist auch eine dauerhafte Fähigkeit in deinem Workspace, und das Programm dahinter wurde von einem Modell geschrieben, das möglicherweise nicht vertrauenswürdige Inhalte gelesen hat. Deshalb darf der Agent vorschlagen, und ein Mensch entscheidet. Es ist dasselbe Prinzip, das AnythingMCP bei Skills und Unternehmensgedächtnis anwendet, die von KI-Clients vorgeschlagen werden: Der Agent entwirft, ein Administrator genehmigt.

Was du brauchst

• Self-hosted AnythingMCP ab v0.52.1 mit konfiguriertem Code-Runner (Einrichtung in Schritt 1 hier).
• Code Mode auf inline am MCP-Server. inline stellt code_execute und code_propose_tool bereit; tools liefert nur gespeicherte Code-Tools aus. Stelle sie auf der Einstellungsseite des Servers ein (Code-Modus → Gespeicherte Code-Tools + Inline-Code), verfügbar seit v0.52.1; siehe Schritt 2 des Code-Tool-Tutorials.
• Die Inline-Code-Berechtigung in der Rolle des Benutzers. Workspace-Administratoren haben sie.
• Wie mit v0.52 angekündigt, gehören Inline-Code und Vorschläge zu Team und Enterprise.

Schritt 1 — Der Agent löst die Aufgabe inline

Ein Benutzer stellt eine Frage, für die mehrere Aufrufe nötig sind, zum Beispiel „Umsatz im Oktober, Shop- und B2B-Rechnungen“. Ist Inline-Code aktiviert, schreibt der Agent ein Programm und führt es mit code_execute aus: schreibgeschützt, mit den eigenen Berechtigungen des Benutzers, über die Connectors, die der Benutzer auf diesem Server erreichen kann. Wie ein solches Programm aussieht, zeigt das Umsatz-Rezept.

Schritt 2 — Der Agent schlägt vor, es zu behalten

Wenn der Agent das Muster für erhaltenswert hält (von sich aus oder weil der Benutzer sagt „speichere das als Tool“), ruft er code_propose_tool auf mit:

Die Antwort an den Agenten ist schlicht: Der Vorschlag wurde zur Prüfung gespeichert und wird weder ausgeführt noch zum Tool, bis ein Administrator ihn genehmigt. Dem Benutzer kann dasselbe mitgeteilt werden.

Schritt 3 — Der Administrator prüft den Vorschlag

Öffne AI Skills in der Seitenleiste (unter Intelligence) und wechsle zu Suggested. Ein Vorschlag erscheint als Karte mit der Markierung Code tool proposal und enthält:

• den Geltungsbereich und einen Hinweis, dass er von einem Agenten vorgeschlagen wurde und schreibgeschützt ist und mit den Berechtigungen des Aufrufers läuft;
• Why: die Begründung des Agenten;
• Does: die Beschreibung;
• Program mit der Länge in Zeichen, zum vollständigen Lesen;
• einen Hinweis, auf welchem Connector das Tool erstellt wird und dass Schreibrechte oder Autorenrechte erst später auf der Tools-Seite des Connectors hinzugefügt werden können.

anythingmcp.internal/knowledge-graph

Lies das Programm so, wie du einen kleinen Pull Request prüfen würdest:

1. Welche Tools ruft es auf? Jedes amcp.run('…'). Sind es die, die die Beschreibung verspricht, und sind es alles Lesezugriffe?
2. Was gibt es zurück? Nur das, was die Frage braucht, oder ganze Datensätze mit personenbezogenen Daten?
3. Läuft die Schleife sinnvoll? Paginierung, die endet, Batches paralleler Aufrufe, kein Aufruf pro Zeile einer großen Tabelle ohne Not. Ein Lauf stoppt nach 10 Sekunden und 500 Tool-Aufrufen.
4. Sind Name und Beschreibung klar genug, damit die KI das Tool im richtigen Moment aufruft und das Ergebnis korrekt erklärt (brutto oder netto, welcher Zeitraum, welche Systeme)?

Schritt 4 — Das Tool erstellen oder verwerfen

Create tool führt die üblichen Prüfungen bei der Tool-Erstellung aus: Die Connectors müssen zum selben Workspace gehören, und die im Tarif enthaltene Anzahl gespeicherter Code-Tools gilt. Das Tool wird auf dem in der Karte genannten Connector erstellt:

• schreibgeschützt (es darf nur Tools aufrufen, die keine Daten ändern);
• Ausführung als Aufrufer (jeder innere Aufruf wird gegen die eigene Rolle des Aufrufers geprüft);
• mit den Connectors des Vorschlagenden auf diesem Server. Öffne das Tool anschließend und beschränke Uses auf die Connectors und Tools, die es wirklich aufruft.

Dismiss verschiebt den Vorschlag in den Tab Dismissed. Wenn der Agent immer wieder etwas vorschlägt, das du nicht möchtest, sage es in den Anweisungen des Servers.

Schritt 5 — Nur bei Bedarf: mehr Rechte, bewusst vergeben

Ein erstelltes Tool kann wie jedes Code-Tool auf der Seite MCP Tools des Connectors bearbeitet werden. Zwei Einstellungen sind über einen Vorschlag überhaupt nicht erreichbar:

• Allow write tools, damit das Programm Tools aufrufen darf, die Daten ändern. Erfordert Enterprise.
• Run as definer, damit das Programm mit der Kuratierung des Autors statt mit den Berechtigungen des Aufrufers läuft. Nur für Administratoren.

Beides wird beim Speichern erneut geprüft. Genau darin liegt der Sinn des Designs: Ein Agent kann seine eigene Befugnis nie erhöhen, denn ein Vorschlag ist immer schreibgeschützt, immer als Aufrufer ausgeführt und auf Connectors beschränkt, die der vorschlagende Benutzer ohnehin erreichen konnte.

Warum das sicher ist

• Ein Vorschlag ist wirkungslos. code_propose_tool führt keinen Code aus und erstellt nichts.
• Keine Rechteausweitung. Das vorgeschlagene Tool kann nur auf die eigenen Connectors des Vorschlagenden verweisen und startet schreibgeschützt, als Aufrufer.
• Ein Mensch entscheidet. Nur ein Administrator kann einen Vorschlag in ein Tool umwandeln, über dieselben Prüfungen wie bei einem von Hand geschriebenen Tool.
• Läufe bleiben eingegrenzt und werden protokolliert. Nach der Erstellung läuft jeder Aufruf über den isolierten Code-Runner und wird mit jedem inneren Tool-Aufruf aufgezeichnet. Siehe Sichere Code-Ausführung für KI-Agenten.

FAQ

Kann ein normaler Benutzer Tools vorschlagen? Jeder Benutzer, dessen Rolle die Inline-Code-Berechtigung hat, auf einem Server mit Code Mode inline. Ohne die Berechtigung sieht der Benutzer weder code_execute noch code_propose_tool.

Sieht der Agent, ob sein Vorschlag angenommen wurde? Der Agent sieht das neue Tool in der Tool-Liste des Servers, sobald es erstellt ist, wie jedes andere Tool, und kann es von da an aufrufen.

Kann ich das Programm bearbeiten, bevor ich das Tool erstelle? Erstelle es und bearbeite es dann auf der Seite MCP Tools des Connectors wie jedes Code-Tool: Programm, Beschreibung, Parameter, Uses.

Verwandte Themen

• Was ist der MCP-Code Mode?
• Dein erstes Code-Tool, Schritt für Schritt
• Code-Mode-Rezepte: Monatsumsatz, Rechnungsabgleich, 100 Preisabfragen
• Sichere Code-Ausführung für KI-Agenten
• MCP-Governance, Benutzerrollen und Berechtigungen
• Wissensgraph für MCP