OneCLI (YC S26) liefert eine Open-Source-Sandbox-Agenten-Harness – die teamskalierbare Antwort auf Claude Code

Ein Launch-HN-Post eines Y Combinator S26-Startups positioniert sich als "persönlicher Claude Code, aber mit Unternehmens-Sicherheitsvorkehrungen" – der Markt für Harness-Ops wird immer umkämpfter.

In einfachen Worten. Zwei Gründer starteten OneCLI auf Hacker News: einen Open-Source-Sandbox-Agenten mit Connectors für GitHub, Gmail, Notion und Dropbox sowie einem deterministischen, menschlich-in-the-Loop-Freigabeschritt, der direkt in den Chat integriert ist. Positionierung: Jeder Mitarbeiter erhält einen persönlichen Coding-Agenten – aber mit Sandbox und Freigabeschranken, die ein CISO tatsächlich absegnen kann.

Kontext

Der Harness-Ops-Thread hat diesen Sommer schnell Fahrt aufgenommen. Wallfacer brachte einen Terminal-Session-Manager für Claude Code (#1826) heraus; KI-Agenten-Skills wurden standardisiert (#1894); Context-Engineering wurde zu einer eigenen Disziplin (#1939); Cloudflare trieb mit „Agents Week“ die Positionierung von Edge als Agenten-Runtime voran (#1766); Zhipu veröffentlichte GLM-5.3, optimiert für Coding und Sicherheit (#1947). Jede Schicht des Agenten-Stacks wird gerade produktisiert.

Unter der Haube

Laut dem Launch-HN-Post ist OneCLI Open Source (Repository auf GitHub veröffentlicht), bietet jedem Nutzer einen sandboxed persönlichen Agenten, stellt Chat-native Connectors für GitHub / Gmail / Notion / Dropbox bereit und – entscheidend – implementiert menschlich-in-the-Loop-Freigaben als deterministischen Schritt innerhalb des Chats, statt als externes Modal. Das bedeutet: Dasselbe Audit-Log erfasst sowohl die vorgeschlagene Aktion des Agenten als auch die Entscheidung des Menschen – in derselben Gesprächsverlaufshistorie.

Analyse

Die interessante Wette hier ist der deterministische HITL-Ansatz. Die meisten aktuellen Harnesses nutzen die Urteilsfähigkeit des LLMs, um zu entscheiden, wann ein Mensch eskalieren soll. Das versagt genau in den Momenten, in denen man es am wenigsten gebrauchen kann – bei hochwertigen Transaktionen, Operationen mit Berührung von Anmeldedaten oder allem, was ein Policy-Tag trägt. Eine deterministische Freigabe (regelbasiert, Chat-native) ähnelt eher der Funktionsweise von Bank-Compliance-Systemen und kommt den Anforderungen von Unternehmen viel näher, wenn auf das Wort „Agent“ das Wort „Produktion“ folgt.

Szenarien

• Grundfall (60 %): OneCLI besetzt eine Nische – regulierte mittelständische Unternehmen, für die sichtbare Freigaben im Audit-Trail wichtiger sind als reine Agenten-Intelligenz.
• Konsolidierungsfall (25 %): Anthropic oder GitHub bringt ein vergleichbares HITL-Primitive nativ auf den Markt; OneCLIs Alleinstellungsmerkmal verengt sich.
• Enterprise-Fall (15 %): Eine der großen Vier Beratungsfirmen wählt es als „Referenz-Agenten-Harness“ für regulierte Kunden; OneCLI gewinnt durch Reputation.

Risiken

OSS mit kommerziellem SaaS darüber hat eine bekannte Monetarisierungslücke. Die Connector-Strategie ist ein Wettlauf gegen das größere Agenten-Tooling-Ökosystem. Und „deterministischer HITL“ ist eine Behauptung, die in der realen Bereitstellung auf den Prüfstand gestellt wird.

Fazit

Wenn Sie Agenten-Harnesses für ein reguliertes Team evaluieren, nehmen Sie OneCLI in die engere Auswahl und testen Sie den HITL-Ansatz gezielt – geben Sie ihm eine Aufgabe, die den Zugriff auf ein Geheimnis erfordert, und prüfen Sie, ob der Freigabeprozess in Ihrem SIEM nachvollziehbar ist. Das ist das Akzeptanzkriterium, das niemand veröffentlicht – aber jeder Käufer braucht.