AI Engineering

Der eigentliche Aufwand liegt nicht im Modellaufruf, sondern in den Fragen darum herum: Welche Werkzeuge darf ein Agent ausführen, was gehört in den Kontext, was bleibt dauerhaft gespeichert, und wie wird verhindert, dass fremde Inhalte die Steuerung übernehmen. Diese Seite beschreibt die Konzepte, mit denen diese Fragen praktisch beantwortet werden.

Drei Ablaufketten

Werkzeugschleife eines Agenten

Auftrag
Modell wählt Werkzeug
Validierung
Ausführung
Ergebnis zurück

Kontextpfad: Memory, Abruf, Verdichtung

Gespeichertes Wissen
Relevanzabruf
Prompt
Verdichtung bei Grenze

Trust Boundary vor Werkzeugausführung

Externer Inhalt
Als Daten behandeln
Berechtigungsprüfung
Freigabe bei Risiko

Agentische Systeme & Werkzeugeinsatz

Agenten orchestrieren mehrere Werkzeuge und bearbeiten damit Aufgaben über einzelne Modellantworten hinaus. Das erzeugt Anforderungen an Zustand, Rechte, Fehlerbehandlung und die Kontrolle tatsächlich ausgeführter Aktionen.

Werkzeugauswahl und Tool-Ausführung

Problem

Ein Modell kann nur Text erzeugen. Sobald ein Agent tatsächlich etwas tun soll — eine Datei lesen, eine API aufrufen, einen Befehl ausführen — braucht es eine definierte Schnittstelle und eine Entscheidung, welches Werkzeug wann greift.

Lösungsansatz

Werkzeuge werden mit Namen, Beschreibung und Parameter-Schema bereitgestellt. Das Modell wählt aus und liefert strukturiertes JSON. Der Aufrufer validiert die Eingabe, führt aus und gibt das Ergebnis zurück. Die eigentliche Arbeit macht nicht das Modell, sondern der Aufrufer.

Werkzeugdefinition: Name, Zweck, typisierte Parameter, Rückgabevertrag
Validierung vor Ausführung, nicht danach
Fehlerergebnisse als regulärer Rückgabewert, damit der Agent korrigieren kann
Idempotenz und Wiederholbarkeit bei Fehlern

n8n-Workflow des PIM-Projekts

Konkretes Beispiel für Werkzeugverkettung: Pagination-, HTML-Cleaning- und Translation-Loop greifen ineinander, Statusmeldungen laufen über einen eigenen Knoten.

Mehrstufige Ausführung und Zustand

Problem

Agentische Abläufe bestehen aus mehreren Schritten mit Abhängigkeiten. Was der letzte Schritt getan hat, muss der nächste wissen — auch wenn dazwischen Fehler aufgetreten sind oder der Kontext gekürzt wurde.

Lösungsansatz

Der Ablauf wird als Zustandsautomat geführt: jeder Schritt kennt seine Eingabe, schreibt ein Ergebnis und markiert seinen Status. Wiederholbare Schritte bekommen eine eigene Ausführungsumgebung statt sich auf Gesprächsverlauf zu verlassen.

Expliziter Zustand statt impliziter Gesprächshistorie
Schritte wiederholbar und einzeln prüfbar
Fehlerbehandlung pro Schritt, nicht nur am Ende
Protokoll der tatsächlich ausgeführten Aktionen

Freigaben und Berechtigungsgrenzen

Problem

Ein Agent, der Werkzeuge ausführt, kann Schaden anrichten — Dateien überschreiben, Befehle mit erhöhten Rechten starten, Daten nach außen senden. Modellvertrauen ist keine Berechtigungsprüfung.

Lösungsansatz

Werkzeuge werden nach Risiko eingestuft. Risikoarme Operationen laufen automatisch, Operationen mit Seiteneffekten oder erhöhten Rechten erzeugen eine Freigabeanfrage. Die Grenze wird technisch erzwungen, nicht per Prompt gebeten.

Least Privilege: nur die Rechte, die der konkrete Schritt braucht
Höhere Rechte nur nach expliziter Freigabe, sichtbar und protokollierbar
Read-only-Werkzeuge bevorzugt, wenn Schreiben nicht nötig ist
Human-in-the-Loop bei nicht umkehrbaren Aktionen

Lokale Installation

In der hier verwendeten Installation sind Werkzeugprofile und Freigaben für Befehle mit erhöhten Rechten konfigurierbar; ein Werkzeugprofil „coding“ ist aktiv gesetzt.

Memory-Systeme und Kontextsteuerung

Agenten verlieren entweder den Faden oder werden von zu viel Kontext belastet. Memory-Management entscheidet, was dauerhaft gespeichert, was zusammengefasst und was bewusst vergessen wird.

Memory-Schichten und Auswahl

Problem

Alles dauerhaft in den Prompt zu laden verbraucht Token-Budget und senkt die Antwortqualität. Alles verwerfen bedeutet, dass wichtige Entscheidungen im nächsten Schritt fehlen.

Lösungsansatz

Memory wird nach Lebensdauer getrennt: stabile Vorlieben und Identität, dauerhafte Fakten und Entscheidungen, sowie tägliche Notizen als Arbeitsschicht. Nur die oberste Schicht wird bei jedem Sitzungsstart geladen; der Rest wird durch Suche hereingeholt.

Stabiler Kontext wird geladen, Arbeitsnotizen werden durchsucht
Zusammenfassungen statt Rohverlauf als dauerhafte Ebene
Konsolidierung von Tagesnotizen in eine kurze Langzeitebene
Budget wird überwacht: Überwachung der injizierten gegenüber der Rohgröße

OpenClaw Memory (verifiziert)

Die offizielle Dokumentation beschreibt drei Schichten: USER.md für stabile Präferenzen, MEMORY.md für dauerhafte Fakten und Entscheidungen, memory/YYYY-MM-DD.md als durchsuchbare Arbeitsebene. Nur die oberste Ebene wird beim Sitzungsstart injiziert.

Gezielte Kontextbereitstellung (Memory Nudging)

Problem

Relevante Informationen liegen gespeichert vor, werden aber im falschen Moment nicht geladen — oder werden alle gleichzeitig geladen und stören die Verarbeitung.

Lösungsansatz

Statt dauerhaft alles zu injizieren, wird gespeichertes Wissen zum Zeitpunkt der Aufgabe hereingezogen. Die Auswahl berücksichtigt Relevanz, Aktualität, Herkunft und Verlässlichkeit einer Information, bevor sie in den Kontext gelangt.

Bereitstellung nach Relevanz, nicht vollständig
Herkunft einer Information bleibt nachvollziehbar
Veraltete Einträge werden ersetzt statt ergänzt
Widersprüchliche aktive Einträge werden bereinigt

Abgrenzung

„Memory Nudging“ ist hier eine generische Beschreibung des Prinzips, kein offizielles OpenClaw-Feature und keine Produktbezeichnung. Die OpenClaw-Dokumentation beschreibt dafür die Gedächtnisschichten und die Suche darüber.

Context Compaction und Memory Bloat

Problem

Jedes Modell hat ein begrenztes Kontextfenster. Zu umfangreicher oder irrelevanter Kontext erhöht Kosten und Latenz und verschlechtert die Zuverlässigkeit der Verarbeitung.

Lösungsansatz

Wenn eine Unterhaltung die Grenze erreicht, werden ältere Abschnitte zu einer Zusammenfassung verdichtet. Aktuelle Nachrichten bleiben unangetastet. Die Unterhaltung selbst bleibt auf der Platte erhalten — verdichtet wird nur, was das Modell sieht.

Zusammenfassung älterer Verläufe, aktuelle Nachrichten bleiben original
Token-Budget je Nachricht und als Gesamthöhe
Trennung dauerhaft relevanter von temporären Arbeitsdaten
Qualitätsprüfung der Zusammenfassung, nicht blindes Verdichten

OpenClaw Compaction (verifiziert)

Die Dokumentation beschreibt automatische Verdichtung mit Qualitätssicherung („safeguard“-Modus), Budget-Kappungen pro Anfrage und die Regel, dass Werkzeugaufrufe zusammen mit ihren Ergebnissen erhalten bleiben. In der lokalen Installation ist der Safeguard-Modus aktiv gesetzt.

Memory-Hygiene und selektives Vergessen

Problem

Gespeicherte Erinnerungen veralten, wiederholen sich oder widersprechen sich. Ohne Pflege wächst die Wissensbasis und wird unzuverlässig.

Lösungsansatz

Veraltete Einträge werden ersetzt statt ergänzt, Widersprüche aktiv aufgelöst, und redundantes Material in die durchsuchbare Arbeitsebene verschoben. Verlässlichkeit wird als Teil der Einträge mitgeführt.

Aktualisierung statt Anhängen bei geänderten Fakten
Auflösung widersprüchlicher Erinnerungen
Konsolidierung von Tagesnotizen in eine kompakte Langzeitebene
Begrenzte Bootstrap-Größe als Warnsignal

Prompt Injection und Agent-Sicherheit

Agentische Systeme verarbeiten Inhalte aus externen Quellen. Diese können manipulierte Anweisungen enthalten. Sicherheit entsteht durch technische Begrenzung von Berechtigungen, nicht durch einen guten System-Prompt.

Trust Boundaries und indirekte Injection

Problem

Wenn ein Agent Webseiten, Dateien oder API-Antworten liest, landen diese Inhalte im selben Kontext wie die Aufgabenstellung. Eingebettete Anweisungen können den Agenten dazu bringen, das Falsche zu tun.

Lösungsansatz

Inhalt aus externen Quellen wird als Daten behandelt, nicht als Anweisung. Vertrauenswürdige Instruktionen und unvertrauenswürdige Inhalte werden technisch getrennt, und Werkzeuge begrenzen, was ein solcher Inhalt auslösen darf.

Direkte und indirekte Prompt Injection als gleiche Bedrohungsklasse
Externe Inhalte gelten als nicht vertrauenswürdig
Anweisungen und Daten getrennt halten
Kein Vertrauen aus einem guten System-Prompt ableiten

Least Privilege und Ausführungskontrolle

Problem

Ein kompromittierter oder fehlgeleiteter Agent darf nur so viel können, wie für die aktuelle Aufgabe nötig ist. Zu weite Rechte machen jeden Fehler zum Schadensfall.

Lösungsansatz

Werkzeuge erhalten nur die Berechtigungen, die ihr Schritt benötigt. Schreibende und seiteneffektreiche Operationen laufen nicht ungefragt. Jede Ausführung wird nachvollziehbar protokolliert.

Berechtigungen werkzeugweise statt pauschal
Sandboxierung für nicht vertrauenswürdige Eingaben
Tool-Ausführungen mit erhöhten Rechten nur nach Freigabe
Protokollierung: was wurde ausgeführt, mit welchen Parametern

Memory Poisoning und Datenschutz

Problem

Wenn ein Agent Inhalte aus externen Quellen aufnimmt, können manipulierte Informationen in den dauerhaften Speicher gelangen und später als vertrauenswürdige Fakten behandelt werden.

Lösungsansatz

Beim Speichern wird geprüft, woher eine Information stammt und ob sie vertrauenswürdig ist. Unvertrauenswürdige Herkunft wird markiert statt stillschweigend übernommen. Zugangsdaten und Geheimnisse werden getrennt von Modellkontext behandelt.

Herkunft und Verlässlichkeit als Teil des gespeicherten Eintrags
Unvertrauenswürdige Inhalte nicht stillschweigend verankern
Zugangsdaten nie über den Modellkontext bereitstellen
Keine Darstellung von Injection-Abwehr als gelöstes Problem

Kontrollierte Verbesserung und Auswertung

Agenten verbessern sich nicht durch Training. Verbesserung entsteht, wenn Umgebung, Prompts, Werkzeugwahl und Prozesssteuerung anhand messbarer Rückmeldung nachgezogen werden.

Evaluation und Feedback-Schleifen

Problem

Ein Agent, der sich verändert, ohne dass etwas gemessen wird, kann genauso gut schlechter werden wie besser. Ohne Auswertung gibt es keine Grundlage für Änderungen.

Lösungsansatz

Veränderungen an Prompts, Werkzeugauswahl oder Memory-Strategie werden gegen definierte Fälle geprüft. Erfolgs- und Fehlermuster werden erfasst, Änderungen versioniert und gegen Regressionstests gehalten.

Prompt-Versionierung mit nachvollziehbarer Historie
Regressionstests gegen bekannte Fälle
Analyse von Fehlermustern statt bloßer Fehlerzählung
Human Review bei Änderungen an sicherheitsrelevanten Konfigurationen

Menschliche Freigabe und Kontrolle

Problem

Automatische Selbständerung an sicherheitsrelevanten Stellen ist ein Risiko. Veränderung soll Verbesserung bringen, nicht neue Angriffsfläche.

Lösungsansatz

Änderungen an Berechtigungen, Sicherheitsgrenzen und Prozesssteuerung werden nicht autonom übernommen. Sie werden vorgeschlagen, geprüft und erst nach menschlicher Bestätigung wirksam.

Vorschlag statt autonomer Änderung an Schutzmechanismen
Menschen entscheiden über Rechte, Grenzen und Freigaben
Kein unkontrollierter Selbstoptimierungsprozess
Das Modell ändert nie seine eigenen Gewichte

Conversational AI

Conversational AI & Voice Agents

Sprachagenten und Konversationsabläufe mit bestehenden Anwendungen und Automatisierungen verbinden — als Teil eines Gesamtprozesses, nicht als Insellösung.

Praktische Erfahrung

Aufbau und Betrieb von Sprachagenten mit Retell AI aus einer früheren beruflichen Tätigkeit.

Technische Fähigkeiten

Retell AI
KI-gestützte Sprachagenten
Website-Chatbots
Multi-Prompt-Agenten
Dynamische Agentenvariablen
Session- und Gespraechskontext
Webhooks
API-Integration
Verbindung mit n8n

Die genannten Integrationsmuster beschreiben technische Fähigkeiten. Vorhandene Kundenlösungen werden nicht als Referenzen ausgegeben.

Abgrenzung

Die hier beschriebenen Konzepte sind teils allgemeine KI-Systemtechnik, teils praktisch erprobte Muster aus dem Betrieb agentischer Systeme. Sie sind nicht alle als eigenständige Produkte umgesetzt.

Als konkrete, abgeschlossene Umsetzung belegt ist der lokale RAG-Assistent mit semantischer Suche und lokaler Inferenz. Die agentischen Muster auf dieser Seite beschreiben den Rahmen, in dem solche Systeme betrieben und erweitert werden.

Für Conversational AI und Sprachagenten mit Retell AI liegt praktische Erfahrung aus einer früheren beruflichen Tätigkeit vor. Die oben genannten Integrationsmuster beschreiben technische Fähigkeiten und den Rahmen, in dem Sprachagenten an bestehende Anwendungen und Automatisierungen angebunden werden — sie sind keine Referenzliste abgeschlossener Kundenprojekte.

Prompt-Injection-Abwehr ist kein gelöstes Problem. Was hier beschrieben wird, sind Begrenzungen, die das Risiko reduzieren — keine Garantie.

Projekt: lokaler RAG-Assistent