Was ist easi.run?
easi.run betreibt isolierte Google-Chrome-Sitzungen auf deinem eigenen Linux-Server und übergibt sie KI-Agenten über einen eingebauten MCP-Server oder eine REST-API. Ein Mensch verfolgt jede Sitzung live im Browser und übernimmt mit einem Klick für einen Login, einen 2FA-Code oder ein CAPTCHA; der Agent wartet und macht dann weiter. Dauerhafte Sitzungen behalten Logins zwischen den Läufen, verschlüsselt mit einem Schlüssel, der aus dem Admin-Passwort abgeleitet wird, und Sitzungen können Wiederholungen aufzeichnen, Dateien und Downloads übergeben und Ton abspielen. Ein eigenes Modell bringt es nicht mit: Der Agent ist der MCP-Client, den du anbindest.
Es steht unter AGPL-3.0-only, ist überwiegend in Rust geschrieben und jung: Das Repository wurde am 22. Oktober 2026 angelegt, hatte bei der Prüfung 59 Sterne und keine getaggten Releases und wird als Container-Images in der GitHub-Registry ausgeliefert, die aus jedem Commit gebaut werden. Es braucht einen Linux-x86-64-Host mit systemd und rootful Docker Engine 28 oder neuer.
easi.run installieren
curl -fsSLO https://easi.run/install.sh && bash install.shLohnt sich easi.run?
easi.run löst das Problem, an dem die meisten Browser-Agenten scheitern: den Login. Gehostete Dienste wie Browserbase vermieten einen Browser stundenweise; easi.run setzt Google Chrome in eigene Container auf deinem Server, streamt ihn dir über einen Rust-Compositor und lässt einen Menschen übernehmen, wenn eine Seite ein Passwort, eine 2FA-Abfrage oder ein CAPTCHA verlangt. Der Agent kann das selbst mit request_person anfordern, das die Sitzung als hilfsbedürftig markiert und einen signierten Webhook an Slack oder Discord senden kann, und dann mit wait_for_control warten, bis du zurückgibst.
Das Sicherheitsmodell ist Grenze für Grenze dokumentiert, jeweils mit dem Test, der sie belegt. Der Admin lauscht per HTTPS auf 127.0.0.1:9443 und soll über einen SSH-Tunnel, Tailscale oder Cloudflare Access erreicht werden; das Passwort muss 12 Zeichen oder mehr haben, wird als Argon2id-Hash gespeichert und lässt sich mit einer Authenticator-App oder einem Passkey absichern. Jeder Browser hat kein eigenes Netz, keinen Weg ins private Netz und nur HTTPS nach außen. Sobald ein Mensch übernimmt, enden die Screenshots an den Agenten, und alles Getippte ab vier Zeichen erreicht ihn als [redacted]; Passwortfelder erreichen ihn nie. Eine Angriffsfläche übersieht man leicht: Wenn der Installer die IPv4-Adresse des Servers erkennt, bindet er den UDP-Medienport 9443 an alle Adressen, auch wenn dieser Port nur das gültige Ticket eines angemeldeten Zuschauers annimmt.
Gespeicherte Profile sind das Gut, über das man nachdenken muss. Jedes wird mit XChaCha20-Poly1305 unter einem eigenen Schlüssel versiegelt, der wiederum mit einem aus dem Admin-Passwort abgeleiteten Schlüssel verpackt ist, sodass eine gestohlene Festplatte sie nicht öffnet. Dieser Schlüssel bleibt vom Login bis zum Stopp des Admins in dessen Arbeitsspeicher, und Abmelden löscht ihn bewusst nicht, damit Agenten gespeicherte Sitzungen fortsetzen können, während du weg bist. Jedes Agenten-Token, das du für eine gespeicherte Sitzung freigibst, handelt auf diesen Seiten dann als du. Tokens erreichen nur ihre eigenen Sitzungen und die freigegebenen Profile, werden als SHA-256-Hashes gespeichert und lassen sich sofort widerrufen, doch der lokale MCP-Weg hat gar kein Token: Wer auf dem Server docker exec ausführen kann, hat die Rechte eines Agenten. Der optionale CDP-Port 9222 erlaubt allem auf dem Server, sich anzuhängen und alles zu lesen, was der Browser enthält.
Die Agenten-Oberfläche ist schlank: start_session, list_sessions, session_status, stop_session und list_saved_sessions, die Desktop-Tools des Cua Driver zum Klicken, Tippen und Scrollen, inspect_page zum Lesen des DOM per CSS-Selektor sowie Tools für Dateien und zum Rufen eines Menschen. Downloads und Uploads fragen standardmäßig vorher nach, und call_id verhindert, dass ein wiederholtes Absenden oder eine Zahlung doppelt läuft. Jede Seite, die der Agent liest, ist nicht vertrauenswürdige Eingabe, wie bei jedem Browser-Agenten. Der Benchmark gegen KasmVNC (55 fps gegenüber 24 beim Scrollen) stammt vom Projekt selbst; ohne Releases und mit drei Wochen Historie bleibt die größere Unbekannte, wie sich Updates auf einem Server verhalten, auf den man angewiesen ist.
Wo es sich lohnt
Ein Betriebsingenieur, der ein Lieferantenportal ohne API automatisiert
Monatliche Rechnungen von einer Seite laden, die alle paar Wochen 2FA verlangt
Nach einem einmaligen Login eine dauerhafte Sitzung speichern und das Token des Agenten dafür freigeben. Fragt das Portal nach einem Code, ruft der Agent request_person auf, ein Webhook meldet sich in Slack, und der Ingenieur tippt den Code im watch_url-Fenster ein. Kosten: der Server, ab einem VPS mit 4 GB.
Eine Zwei-Personen-Agentur, die Browser-Agenten für Kunden betreibt
Stundenweise Rechnungen für gehostete Browser durch einen einzigen Server ersetzen
Sitzungen auf einem Linux-Rechner mit 16 GB laufen lassen, den das README für vier gleichzeitige Browser auslegt, mit einem Token pro Kunden-Agent und Aufzeichnungen zur Kontrolle. Keine Nutzungsgebühren; die AGPL greift, wenn sie eine veränderte Version über ein Netzwerk anbieten.
Eine QA-Ingenieurin mit vorhandenen Playwright-Skripten
Einen wackligen Checkout-Ablauf in einem echten, beobachtbaren Chrome debuggen
Eine Sitzung mit eingeschaltetem CDP starten, per connectOverCDP über einen SSH-Tunnel an 127.0.0.1:9222 anhängen und live zusehen oder übernehmen. Alles auf dem Server kann sich an diesen Port hängen, daher nur für geskriptete Sitzungen einschalten.
Bevor du dich festlegst
- Einrichtung
- curl -fsSLO https://easi.run/install.sh && bash install.sh als Nutzer der docker-Gruppe; lädt rund 550 MB signierter Images, ergänzt Chrome aus Googles Repository und braucht auf 2 Kernen ein bis zwei Minuten. Setzt eine iptables-Regel und TCP-Einstellungen über einen kurzlebigen privilegierten Container und trägt sich dann in Claude Code und Codex ein, falls vorhanden.
- Integrationen
- MCP über stdio (docker exec oder SSH von einem anderen Rechner) und Streamable HTTP unter /mcp mit Bearer-Token; dieselben Tools per REST unter /api/agent/. Playwright, Puppeteer und Selenium können sich über CDP anhängen. Signierte Webhooks für person.needed, approval.needed und unlock.needed.
- Daten und Datenschutz
- Alles bleibt auf deinem Server; die Modelle sind extern, also gehen Seiteninhalte und Screenshots an den Modellanbieter deines Agenten. Gespeicherte Profile und Wiederholungen sind im Ruhezustand verschlüsselt. Admin-HTTPS lauscht nur auf Loopback; der UDP-Medienport kann öffentlich sein. Ein Agent mit Token kann in freigegebenen gespeicherten Sitzungen als du handeln, und jede Seite, die er liest, ist eine Quelle für Prompt Injection.
- Kosten im großen Maßstab
- Keine Lizenzgebühr. Jede Sitzung belegt 2 CPUs und 2 GiB oder mehr für Chrome plus 1152 MiB für ihre Hilfsdienste; das README rechnet mit 8 GB für zwei gleichzeitige Sitzungen und 16 GB für vier, bis zu 16 pro Installation.
- Grenzen
- Nur Linux x86-64 mit rootful Docker 28+ und systemd. Standardmäßig acht Tabs pro Sitzung; ein Agentenaufruf pro Sitzung gleichzeitig. run_javascript braucht die Developer tools, die per Token gestartete Sitzungen nie bekommen. Bis zu 32 Agenten-Tokens.
Was gut ist
- Live-Übernahme für Logins, 2FA und CAPTCHAs
- Gespeicherte Profile unter dem Admin-Passwort verschlüsselt
- Getipptes nach der Übernahme vor dem Agenten verborgen
- Browser vom privaten Netz abgeschnitten
Was nicht
- Entsperrschlüssel bleibt nach dem Abmelden im Speicher
- Lokaler MCP-Weg ohne Token; docker exec genügt
- Installer bindet den UDP-Medienport öffentlich, wenn er kann
- Noch keine Releases; drei Wochen Historie
Am besten für
Ingenieure, die Agenten in eingeloggten Browsersitzungen auf eigener Hardware arbeiten lassen wollen und den Admin hinter einen SSH-Tunnel oder einen identitätsprüfenden Proxy stellen.
Alternativen zu easi.run
easi.run: häufige Fragen
- Lohnt sich easi.run?
- Ein ungewöhnlich gut dokumentierter selbst gehosteter Browser für Agenten, dessen eigentliches Risiko genau das ist, was er verkauft: ein eingeloggtes Chrome, das ein Agent in deinem Namen steuern kann. Wir bewerten es mit 3.8 von 5.
- Was kostet easi.run?
- Kostenlos und quelloffen (AGPL-3.0-only); du zahlst nur den Server, ab 2 Kernen und 4 GB Arbeitsspeicher für eine Sitzung.
- Welche Nachteile hat easi.run?
- Entsperrschlüssel bleibt nach dem Abmelden im Speicher; Lokaler MCP-Weg ohne Token; docker exec genügt; Installer bindet den UDP-Medienport öffentlich, wenn er kann; Noch keine Releases; drei Wochen Historie.
- Für wen eignet sich easi.run?
- Ingenieure, die Agenten in eingeloggten Browsersitzungen auf eigener Hardware arbeiten lassen wollen und den Admin hinter einen SSH-Tunnel oder einen identitätsprüfenden Proxy stellen.
- Was kostet easi.run für ein Team oder im Produktivbetrieb?
- Keine Lizenzgebühr. Jede Sitzung belegt 2 CPUs und 2 GiB oder mehr für Chrome plus 1152 MiB für ihre Hilfsdienste; das README rechnet mit 8 GB für zwei gleichzeitige Sitzungen und 16 GB für vier, bis zu 16 pro Installation.
- Ist easi.run sicher für Firmendaten?
- Alles bleibt auf deinem Server; die Modelle sind extern, also gehen Seiteninhalte und Screenshots an den Modellanbieter deines Agenten. Gespeicherte Profile und Wiederholungen sind im Ruhezustand verschlüsselt. Admin-HTTPS lauscht nur auf Loopback; der UDP-Medienport kann öffentlich sein. Ein Agent mit Token kann in freigegebenen gespeicherten Sitzungen als du handeln, und jede Seite, die er liest, ist eine Quelle für Prompt Injection.
- Was sind die besten Alternativen zu easi.run?
- Die nächsten Alternativen, die wir getestet haben, sind Browserbase MCP, Playwright MCP und Chrome DevTools MCP.
Antworten geprüft am 11. Nov. 2026.