Was ist OpenWorker?
OpenWorker ist ein Open-Source-Desktop-Agent aus Andrew Ngs GitHub-Konto, der eine Aufgabe übernimmt (diese Codebasis auf Schwachstellen prüfen, ein Kundenbriefing vorbereiten, ein Postfach sortieren) und statt einer Chat-Antwort eine fertige Datei oder Nachricht zurückgibt. Er betreibt einen lokalen Python-Agentenserver unter einer Tauri-Desktop-Shell, baut auf Ngs Bibliothek aisuite auf und liefert zuerst spezialisierte Sicherheits-Coworker aus.
Er ist modellunabhängig: OpenAI, Anthropic, Gemini, Azure OpenAI, DeepSeek, Kimi, Qwen, Mistral und weitere über deinen eigenen Schlüssel, OpenRouter oder lokale Modelle über Ollama, llama.cpp, vLLM oder LM Studio. Er erreicht mehr als 25 Apps (GitHub, Slack, Jira, Notion, Linear, HubSpot, Gmail, Google Calendar) sowie jeden MCP-Server und kann seine Shell- und Datei-Tools in einem NVIDIA-OpenShell-Container, der macOS-Sandbox oder einem versteckten Windows-Konto ausführen.
Das Repository wurde am 20. Juli 2026 angelegt, steht unter MIT-Lizenz und hat etwa 18.800 GitHub-Sterne. Das README nennt es eine offene Beta; v0.3.1 erschien am 5. Oktober 2026, und der macOS-Build ist signiert, der Windows-Build noch nicht.
Lohnt sich OpenWorker?
Das Governance-Design von OpenWorker ist sein bestes Argument, das Alter des Projekts sein größter Vorbehalt. Schreibvorgänge, Sendungen und Shell-Befehle brauchen standardmäßig eine Freigabe; eine Reihe unumkehrbarer Operationen bleibt in jedem Modus Menschen vorbehalten, auch bei vollständiger automatischer Freigabe; und einmalige Freigaben können zu dauerhaften Regeln und dann zu Allowlists in der Konfiguration werden, jeder Schritt sichtbar und widerrufbar. Im Modus mit automatischer Freigabe lässt ein Prüfmodell Routineaktionen durch und eskaliert den Rest, und wiederholte Ablehnungen lösen einen Schutzschalter aus, der die Kontrolle zurückgibt. Das README sagt offen, dass die Urteile des Prüfmodells Einschätzungen sind, keine Garantien, und dass die harten Untergrenzen und der Audit-Trail die eigentliche Absicherung sind.
Die Sicherheits-Coworker sind sorgfältiger als die übliche Agenten-Demo. Befunde stammen von deterministischen Scannern wie semgrep plus Modell-Reasoning, und vorgeschlagene Fixes werden erneut gescannt und als Diff geprüft, bevor du sie freigibst, sodass der Agent, der den Fix schreibt, nie sein einziger Prüfer ist. Befehle können in einem OpenShell-Container laufen, der die Ordner der Sitzung und ein Netzwerk mit Allowlist enthält und sonst nichts; Agentenschleife, Modellschlüssel und Connector-Tokens bleiben draußen, sodass eine Prompt-Injection, die eine Shell erreicht, in einer leeren Kiste landet. Unbeaufsichtigte geplante Läufe genehmigen sich nie selbst; ihre Anfragen warten in einem Posteingang.
Der Großteil der Arbeit bleibt auf deinem Rechner. Unterhaltungen, Connector-Tokens und Modellschlüssel liegen in einem lokalen Secret Store; die einzige Cloud-Komponente vermittelt OAuth-Handshakes, und die App funktioniert ohne Anmeldung mit selbst erstellten Schlüsseln. Die Anmeldung schaltet standardmäßig ein inhaltsfreies Telemetrie-Ereignis ein (welcher Coworker-Typ gestartet wurde und wann), mit Opt-out; ohne Anmeldung wird laut Quellcode nichts gesendet.
Das Gewicht liegt auf der Reife. Das Repository ist drei Monate alt, hat etwa 374 offene Issues und Pull Requests und steht noch bei Version 0.3.1. Die Hinweise für Mitwirkende warnen, dass Pull Requests mit Funktionen, die bereits intern entwickelt werden oder außerhalb der Vision der Maintainer liegen, abgelehnt werden können, was es eher zu einem Produkt mit offener Lizenz als zu einem Community-Projekt macht. Gegenüber OpenBot, das eine strengere Policy-Engine hat, aber einen kostenpflichtigen Memory-Dienst braucht, ist OpenWorker für eine Einzelperson leichter zu installieren; gegenüber Goose ist es enger gefasst, aber bei Freigaben weit entschiedener.
Wo es sich lohnt
Ein Application Security Engineer in einem Unternehmen mit 60 Entwicklern
Einen Dienst und seine Abhängigkeiten auf echte Schwachstellen prüfen und Fixes vorbereiten
Richte den Sicherheits-Coworker auf das Repository; Befunde von semgrep plus Modell-Reasoning kommen mit Fix-Vorschlägen zurück, die vor der Freigabe erneut gescannt und als Diff geprüft werden. Kostenlose Software; Kosten sind Modell-Tokens auf deinem eigenen Schlüssel oder keine mit einem lokalen Modell.
Eine Customer Success Managerin, die 40 Accounts betreut
Vor jedem Termin ein Gesprächsbriefing aus CRM und Postfach vorbereiten
Verbinde HubSpot und Gmail über den optionalen OAuth-Vermittler oder eigene Zugangsdaten und bitte um ein Briefing; Sendungen und Kalenderänderungen warten auf Freigabe. Ein geplantes Morgenbriefing landet mit vollständigem Transkript in der App.
Ein Bereitschaftsingenieur in einem Startup mit 20 Personen
Während eines Vorfalls Kontext aus Jira, GitHub und Slack sammeln und die Zeitleiste entwerfen
Führe den Coworker für Incident-Triage mit Shell-Befehlen in einer OpenShell- oder macOS-Sandbox aus, damit Diagnosebefehle nur den Sitzungsordner und freigegebene Hosts berühren. Jeder Tool-Aufruf wird als automatisch freigegeben, vom Nutzer freigegeben oder abgelehnt protokolliert.
Bevor du dich festlegst
- Einrichtung
- Den signierten Build für macOS 12+ oder den unsignierten Build für Windows 10/11 herunterladen, einen Modellschlüssel hinzufügen oder auf Ollama zeigen und eine Aufgabe geben. Aus dem Quellcode braucht es Python 3.10+, Node 20+ und Rust für die Desktop-Shell.
- Integrationen
- Mehr als 25 Connectoren, darunter GitHub, Slack, Jira, Notion, Linear, HubSpot, Outlook, monday.com, Gmail und Google Calendar, plus jeder MCP-Server mit Kontrolle pro Tool; eine Erwähnung in Slack öffnet eine Desktop-Sitzung und antwortet im Thread. Basiert auf aisuite.
- Daten und Datenschutz
- Agentenschleife, Unterhaltungen, Schlüssel und Connector-Tokens bleiben in einem lokalen Secret Store; nur ein OAuth-Vermittler läuft in der Cloud. Angemeldete Nutzer senden standardmäßig ein inhaltsfreies Telemetrie-Ereignis pro Sitzung, mit Opt-out. MIT-Lizenz.
- Kosten im großen Maßstab
- Keine kostenpflichtige Edition. Kosten sind die Modellnutzung pro Aufgabe auf deinem eigenen Anbieterkonto; ein lokales Modell über Ollama beseitigt sie, wobei das Projekt für Tool-Calling-Arbeit nur für die Modelle auf seiner kuratierten Liste bürgt.
- Grenzen
- Beta mit etwa 374 offenen Issues und Pull Requests; Windows-Installer unsigniert; Freigaben durch das Prüfmodell sind Einschätzungen, keine Garantien; PRs außerhalb der Roadmap der Maintainer können abgelehnt werden.
Was gut ist
- Harte, Menschen vorbehaltene Untergrenzen, die kein Modus mit automatischer Freigabe senken kann
- Sicherheitsfixes werden vor der Freigabe erneut gescannt und als Diff geprüft
- Sandbox mit OpenShell, macOS oder Windows für Agentenbefehle
- Jedes Modell per Schlüssel, OpenRouter oder lokal über Ollama
Was nicht
- Offene Beta, drei Monate alt, etwa 374 offene Issues und PRs
- Windows-Build noch nicht codesigniert
- Maintainer können Funktionen außerhalb ihres eigenen Plans ablehnen
- Telemetrie bei Anmeldung standardmäßig an
Am besten für
Sicherheitsingenieure und einzelne Wissensarbeiter, die einen lokalen Agenten wollen, der fragt, bevor er handelt, und festhält, wer was freigegeben hat.
Alternativen zu OpenWorker
OpenWorker: häufige Fragen
- Lohnt sich OpenWorker?
- OpenWorker setzt Freigabeschranken und Audit-Trail dorthin, wo sie hingehören, in die Architektur, ist aber eine drei Monate alte Beta, deren Roadmap von einer internen Liste bestimmt wird statt von ihren Mitwirkenden. Wir bewerten es mit 3.9 von 5.
- Was kostet OpenWorker?
- Kostenlos und Open Source (MIT). Kein bezahlter Plan; du bezahlst deinen Modellanbieter oder mit einem lokalen Modell nichts. Ein optionales kostenloses Konto vermittelt OAuth für Connectoren.
- Welche Nachteile hat OpenWorker?
- Offene Beta, drei Monate alt, etwa 374 offene Issues und PRs; Windows-Build noch nicht codesigniert; Maintainer können Funktionen außerhalb ihres eigenen Plans ablehnen; Telemetrie bei Anmeldung standardmäßig an.
- Für wen eignet sich OpenWorker?
- Sicherheitsingenieure und einzelne Wissensarbeiter, die einen lokalen Agenten wollen, der fragt, bevor er handelt, und festhält, wer was freigegeben hat.
- Was kostet OpenWorker für ein Team oder im Produktivbetrieb?
- Keine kostenpflichtige Edition. Kosten sind die Modellnutzung pro Aufgabe auf deinem eigenen Anbieterkonto; ein lokales Modell über Ollama beseitigt sie, wobei das Projekt für Tool-Calling-Arbeit nur für die Modelle auf seiner kuratierten Liste bürgt.
- Ist OpenWorker sicher für Firmendaten?
- Agentenschleife, Unterhaltungen, Schlüssel und Connector-Tokens bleiben in einem lokalen Secret Store; nur ein OAuth-Vermittler läuft in der Cloud. Angemeldete Nutzer senden standardmäßig ein inhaltsfreies Telemetrie-Ereignis pro Sitzung, mit Opt-out. MIT-Lizenz.
- Was sind die besten Alternativen zu OpenWorker?
- Die nächsten Alternativen, die wir getestet haben, sind OpenBot, goose, Hermes Agent und Magentic-UI (MagenticLite).
Antworten geprüft am 31. Okt. 2026.