Was ist der MCP Code Mode? Weniger Tokens und Roundtrips für KI-Agenten

TL;DR: Mit einfachem MCP ruft ein KI-Agent ein Tool auf, liest das gesamte Ergebnis, entscheidet, ruft das nächste Tool auf und so weiter. Jeder Schritt ist ein Roundtrip durch das Modell, und jedes Zwischenergebnis läuft durch dessen Kontextfenster. Der Code Mode lässt den Agenten (oder einen Administrator im Voraus) ein kurzes JavaScript-Programm schreiben, das diese Aufrufe ausführt, die Ergebnisse filtert und verknüpft und nur die Antwort zurückgibt. In AnythingMCP läuft das Programm in einem isolierten Runner, der nichts erreichen kann außer den MCP-Tools, die der Aufrufer ohnehin nutzen darf. Der Code Mode ist in self-hosted AnythingMCP ab v0.52.0 verfügbar und bald in AnythingMCP Cloud; er ist ausgeschaltet, bis du ihn aktivierst.

Das Problem: Tool-Aufrufe laufen über das Modell

Nimm eine Frage, die ein Vertriebsleiter einem Assistenten stellen könnte, der mit dem CRM und dem ERP verbunden ist:

„Welche unserer offenen Angebote gehören zu Kunden, die noch eine überfällige Rechnung haben?"

Mit einem Tool-Aufruf pro Schritt macht der Agent Folgendes:

1. Er ruft das CRM auf, um die offenen Angebote aufzulisten (sagen wir 40), und liest alle 40 in seinen Kontext ein;
2. er ruft das ERP einmal pro Kunde auf, um offene Rechnungen abzufragen: 40 weitere Aufrufe, 40 weitere Ergebnisse im Kontext;
3. er vergleicht sie im Kopf und schreibt die Antwort.

Jeder Aufruf ist ein Turn: Das Modell schreibt den Aufruf, der Client führt ihn aus, das Ergebnis geht zurück ins Modell, das Modell liest es und schreibt den nächsten Aufruf. Die vollständigen Ergebnisse bleiben im Kontext, obwohl die Antwort vielleicht fünf Zeilen braucht. Das kostet Tokens (alles, was das Modell liest, wird berechnet und zählt zum Kontextfenster), Zeit (dutzende Turns) und Genauigkeit (40 Listen durch Lesen zu vergleichen ist genau die Stelle, an der Modelle Fehler machen).

Die Idee: Das Modell schreibt stattdessen ein Programm

Sprachmodelle sind gut darin, kurze Programme zu schreiben. Statt die Aufrufe selbst auszuführen, schreibt der Agent also eines:

const quotes = await amcp.run('crm_list_open_quotes', {});
const overdue = [];
for (const q of quotes) {
  const invoices = await amcp.run('erp_open_invoices', { customer: q.customerId });
  const late = invoices.filter((i) => i.dueDate < new Date().toISOString().slice(0, 10));
  if (late.length) overdue.push({ quote: q.number, customer: q.customerName, overdueInvoices: late.length });
}
return overdue;

Die Tool-Namen sind beispielhaft; in der Praxis sind es die Tools deiner Connectors.

Das Programm läuft direkt neben den Tools. Die 40 Angebotsdatensätze und 40 Rechnungslisten gelangen nie in den Kontext des Modells; nur die zurückgegebene Liste tut das. Ein Turn statt einundvierzig. Die Idee wurde 2025 unter Namen wie „Code Mode" und „Code Execution with MCP" bekannt; AnythingMCP setzt sie als kontrolliertes Feature des Gateways um.

Drei Formen in AnythingMCP

Gespeicherte Code-Tools. Ein Administrator schreibt ein Programm einmal und speichert es als Tool, zum Beispiel customer_overview(customer), das das ERP und das CRM liest und eine Zusammenfassung zurückgibt. Für den KI-Client ist es ein gewöhnliches MCP-Tool: aufgelistet, pro Rolle berechtigt, protokolliert. Der Agent ruft es einfach auf. Baue dein erstes Code-Tool.

Inline-Code (code_execute). Auf Servern, auf denen es aktiviert ist, kann der Agent spontan ein Programm schreiben und ausführen, über die Tools, die der Benutzer nutzen darf. Immer nur lesend, immer mit den eigenen Berechtigungen des Aufrufers.

Vorschläge (code_propose_tool). Erkennt der Agent ein mehrstufiges Muster, das sich zu behalten lohnt, kann er es als gespeichertes Code-Tool vorschlagen. Der Vorschlag führt nichts aus und erstellt nichts; ein Administrator prüft das Programm und klickt auf Create tool. So werden Vorschläge freigegeben.

Was es sicher macht

Von einem Modell geschriebener Code ist per Definition nicht vertrauenswürdig: Ein per Prompt Injection manipuliertes Tool-Ergebnis kann beeinflussen, was das Modell schreibt. Deshalb führt AnythingMCP ihn nie im eigenen Prozess aus. Jeder Lauf geht an einen separaten code-runner-Service, ein abgeriegelter Subprozess pro Lauf, ohne Netzwerk, ohne Dateisystem, ohne Umgebungsvariablen und ohne Secrets. Der einzige Ausgang ist amcp.run, das das Gateway unter der Rolle des Aufrufers beantwortet, mit denselben Lese-/Schreibregeln wie bei einem direkten Tool-Aufruf. Jeder Lauf und jeder Tool-Aufruf darin steht im Audit-Log. Das vollständige Modell: Sichere Code-Ausführung für KI-Agenten.

Wann der Code Mode hilft und wann nicht

Er hilft, wenn die Arbeit mechanisch und repetitiv ist: dieselbe Abfrage für 100 Artikel, eine Summe über zwei Systeme, der Abgleich von Rechnungen mit Bestellungen, ein Bericht, der immer dieselben fünf Aufrufe braucht. Siehe drei Rezepte.

Er hilft nicht, wenn nur ein Aufruf nötig ist (ein Programm um einen einzelnen Aufruf fügt nur einen Schritt hinzu) oder wenn jeder Schritt das Urteil des Modells über das gerade Gelesene braucht („lies diesen Vertrag und entscheide, was als Nächstes zu prüfen ist"). Schreibzugriffe sind bewusst eingeschränkt: Inline-Code schreibt nie, und ein gespeichertes Code-Tool darf Schreib-Tools nur aufrufen, wenn ein Administrator es erlaubt, in Enterprise.

Verfügbarkeit und Limits

Pro Edition, wie mit v0.52 angekündigt:

Ein einzelner Lauf ist begrenzt auf 10 Sekunden, 500 Tool-Aufrufe (16 gleichzeitig) und 1 MB zurückgegebene Daten. Code-Tools werden nur auf den eigenen MCP-Servern eines Workspaces bereitgestellt, nie auf dem gemeinsamen /mcp-Endpoint, den KI-Clients aus Verzeichnissen nutzen. Pläne vergleichen.

FAQ

Ist der Code Mode ein Ersatz für MCP? Nein. Er ist eine Art, MCP-Tools zu nutzen. Das Programm ruft dieselben Tools auf, die der Agent auch direkt aufrufen könnte, über dasselbe Gateway und dieselben Berechtigungen.

Welche KI-Clients unterstützen ihn? Alle. Ein gespeichertes Code-Tool ist ein normales MCP-Tool, und code_execute ist ein normales Tool, das ein Programm als Argument entgegennimmt. Claude, ChatGPT, Copilot, Gemini und Cursor können beides aufrufen.

Welche Sprache? JavaScript, als Rumpf einer async-Funktion. Keine Imports, keine Pakete: Dem Programm stehen amcp und die Sprache selbst zur Verfügung.

Wie viel spart er? Das hängt ganz von der Aufgabe ab. Eine einzelne Abfrage spart nichts. Eine Aufgabe, die dutzende Zwischenergebnisse in den Kontext lesen würde, spart den Großteil dieser Tokens und Turns, weil nur der Rückgabewert zurück zum Modell geht.

Weiterführend

• Baue dein erstes Code-Tool, Schritt für Schritt: ERP-Bestellungen und CRM-Konto in einem Aufruf
• Sichere Code-Ausführung für KI-Agenten: So funktioniert der isolierte Runner
• Code-Mode-Rezepte: Monatsumsatz, Rechnungsabgleich, 100 Preisabfragen
• Der Agent schlägt ein Code-Tool vor, der Admin gibt es frei
• Was ist MCP?
• MCP-Governance, Benutzerrollen und Berechtigungen