Zwei Plugins für Claude Code: ein Gedächtnis, das zitiert, und ein Wächter, der fragt

Die kurze Antwort zuerst. Cyberbrain, unser lokales Gedächtnis für Coding-Agenten, und AgentGuard, unsere Freigabeschicht für KI-Agenten, lassen sich jetzt als Plugin in Claude Code installieren:

/plugin marketplace add bassprofressor-lab/krynex-plugins
/plugin install cyberbrain@krynex-plugins
/plugin install agentguard@krynex-plugins

Cyberbrain gibt dem Agenten ein Gedächtnis, das jede Aussage mit einem Zitat auf die Quelle belegt und den Rechner nicht verlässt. AgentGuard fragt vor jedem Shell-Befehl, jedem Schreiben einer Datei und jedem Webabruf den Dienst Ihres Unternehmens, ob der Agent das darf. Die beiden Plugins selbst sind quelloffen unter Apache 2.0, das Repository liegt öffentlich auf GitHub. Cyberbrain ist auf einem einzelnen Rechner kostenlos. AgentGuard ist ein kostenpflichtiger Dienst von Krynex Labs; das Plugin ist der Anschluss für Kunden und tut ohne eine AgentGuard-Instanz nichts.

Warum überhaupt ein Plugin

Cyberbrain ließ sich schon vorher installieren, über cargo install oder als fertige Datei. Wir haben am 4. Oktober 2026 die meistbeachteten Projekte der Woche auf GitHub angesehen. Fast alle sind Werkzeuge für Coding-Agenten, und die erfolgreichsten werden mit einem einzigen Befehl über die Plugin-Marktplätze installiert. Die Sammlung superpowers stand an diesem Tag bei rund 295.000 Sternen. Wer ein Werkzeug für diese Agenten baut und nur „bitte diese Datei bearbeiten“ anbietet, verliert die Leute vor dem ersten Start.

Die Regel, die drei Projekte unabhängig gefunden haben

Ein Gedächtnis oder ein Skill hilft nur, wenn der Agent im richtigen Moment danach greift. Wovon das abhängt, haben drei Projekte unabhängig voneinander gleich beantwortet: von der Formulierung des Hinweises, nicht von dem, worauf er zeigt.

• Bei uns beginnt jede Notiz mit einer Zeile in den Worten dessen, der das Problem gerade hat und die Lösung noch nicht kennt. Gemessen hatten wir das am 10. September: Eine Frage in den Worten des Suchenden fand die richtige Notiz nicht unter den ersten acht Treffern. Gefunden wurde sie erst mit den Worten der Antwort.
• Die Sammlung superpowers schreibt in ihrer Anleitung für Skills: „Description = When to Use, NOT What the Skill Does.“ Begründung dort: In Tests ist ein Agent der Zusammenfassung in der Beschreibung gefolgt und hat den eigentlichen Skill übersprungen.
• In der Skill-Sammlung von Matt Pocock heißt es: „the pointer’s wording, not its target, decides how reliably the agent reaches through it“.

Deshalb beschreiben die drei Skills in unserem Plugin nur, wann sie gebraucht werden, zum Beispiel „vor dem Durchsuchen von Dateien“, und nicht, was sie tun.

Die heikelste Datei ist der Starter

Ein Plugin bringt Hooks mit, die nach der Installation ohne weitere Rückfrage laufen. Unser Programm ist in Rust geschrieben und kommt nicht im Plugin mit, sondern wird beim ersten Start geladen. Damit ist ein kleines Startskript die Stelle, an der ein Fremder Code auf Ihren Rechner bringen könnte. Es tut deshalb drei Dinge und keins mehr:

1. Es lädt genau die Version, die im Plugin festgeschrieben ist, nie „die neueste“. Eine neue Version kommt nur mit einer Aktualisierung des Plugins.
2. Es prüft die Datei gegen die Prüfsummen desselben Releases. Stimmt die Prüfsumme nicht, wird die Datei gelöscht und nichts ausgeführt. Wir haben das mit einer absichtlich gefälschten Prüfsumme getestet.
3. Es blockiert die Sitzung nie, wenn etwas schiefgeht, mit einer Ausnahme, zu der wir gleich kommen.

Ein Fehler, den nur zwei von drei Betriebssystemen zeigten

Wer Cyberbrain früher von Hand eingerichtet hatte und jetzt das Plugin installiert, hätte jedes Ereignis doppelt bekommen, weil Claude Code die Hooks aus beiden Quellen zusammenführt. Wir haben das so gelöst, dass bei zwei gleichen Aufrufen nur der erste antwortet.

Auf Linux liefen alle Tests grün. Die automatische Prüfung auf macOS und Windows schlug fehl. Diese beiden Systeme speichern die Uhrzeit einer Datei genauer als Linux, und unser Code hielt eine gerade angelegte Datei deshalb für veraltet. Auf Linux war der Fehler unsichtbar. Wir haben ihn mit einem Test auf Linux sichtbar gemacht, behoben und erst danach veröffentlicht. Ohne die Prüfung auf allen drei Systemen wäre er bei jedem Mac-Nutzer aufgetreten.

Der Wächter muss im Zweifel fragen

Für ein Gedächtnis ist es richtig, bei einem Fehler still weiterzumachen. Für einen Wächter wäre genau das die Lücke, um die es geht. Im Aufsichts-Modus gilt beim AgentGuard-Plugin deshalb:

• Antwortet der Dienst nicht, gehen lesende Befehle durch, alles andere entscheidet ein Mensch.
• Kann das Plugin selbst nicht starten, etwa ohne Netz beim ersten Download, entscheidet ebenfalls ein Mensch.
• Die Adresse des Dienstes muss auf dem eigenen Rechner oder im privaten Netz liegen. Werkzeugaufrufe enthalten Befehle und Dateiinhalte, und dafür gibt es keinen Schalter ins öffentliche Internet.

Getestet haben wir das in einer echten Sitzung mit einem Testdienst, der alles ablehnt. Der Auftrag war, einen Ordner zu löschen. Der Befehl wurde angehalten, bevor er lief, der Ordner blieb stehen, und der Agent hat den Grund genannt, statt die Sperre auf einem anderen Weg zu umgehen. Diese Haltung bringt das Plugin als kurze Anleitung mit: Eine Ablehnung ist endgültig, und die Zustimmung eines anderen Agenten ist keine Freigabe.

Warum uns der letzte Punkt so wichtig ist, zeigt unser Film zum OpenAI-Vorfall vom Juli, eingebettet im Beitrag Ihr KI-Agent kann jetzt handeln. Wer sagt Nein?: Dort hat ein Agent das „GO“ eines anderen Agenten für eine Freigabe gehalten.

Grenzen

• Beide Plugins sind für Claude Code. claude.ai und Cowork installieren keine Plugins mit Hooks und eigenen Programmen.
• AgentGuard ist ein eigener, kostenpflichtiger Dienst. Das Plugin ist der Teil, der in Claude Code fragt, nicht der Dienst selbst.
• Fertige Programme gibt es für Linux, Windows und macOS mit Apple-Chip. Für Macs mit Intel-Prozessor bauen wir derzeit keins.

Mehr zu den beiden Produkten finden Sie auf den Seiten zu Cyberbrain und AgentGuard.