WebAssembly ist die Antwort auf die unangenehmste Frage im Agenten-Bau: Wem gibst du eigentlich exec?

Jeder, der ein Plugin-System für einen LLM-Agenten baut, landet irgendwann an derselben Stelle. Der Kern funktioniert, der Tool-Loop läuft, und dann sollen Erweiterungen dazukommen – von Nutzern, von Kollegen, aus dem Netz. Und plötzlich steht die Frage im Raum, über die in Demos nie gesprochen wird:

Was darf dieser fremde Code auf meinem Rechner eigentlich?

Die ehrliche Antwort lautet bei den meisten Setups: alles. Ein Plugin ist ein Skript, das Skript läuft im selben Prozess wie der Agent, der Agent hat deine API-Keys in der Umgebung, dein Dateisystem unter sich und eine offene Netzverbindung. Zwischen "nützliche Erweiterung" und "Exfiltration deiner Secrets" liegt genau nichts – außer Vertrauen.

Das ist der Punkt, an dem WebAssembly aufhört, ein Browser-Thema zu sein.

WASM IST KEIN SCHNELLERES JAVASCRIPT. ES IST EIN SICHERHEITSMODELL.

Die meiste Aufmerksamkeit für WebAssembly dreht sich um Performance. Interessanter ist aber die Eigenschaft, die WASM von Anfang an mitbringt und die andere Plugin-Formate mühsam nachrüsten müssen: Ein WASM-Modul kann per Konstruktion nichts.

Kein Dateisystem. Kein Netz. Keine Uhr, keine Umgebungsvariablen, keine Syscalls. Ein WASM-Modul sitzt in einem linearen Speicherbereich und hat exakt die Fähigkeiten, die der Host ihm als Funktionen hineinreicht – nicht eine mehr. Der Default ist nicht "großzügig". Der Default ist leer.

Damit dreht sich die Beweislast um. Bei einem nativen Plugin muss man einschränken, was es kann. Bei einem WASM-Plugin muss man erlauben, was es können soll. Ein kleiner Unterschied in der Formulierung – ein sehr großer in der Praxis.

WIE WIR DAS IN SEPP MINI NUTZEN

Ich baue sepp mini: einen leichtgewichtigen, erweiterbaren Agent-Harness in Rust. Eine statische Binary, kein Node, kein Ballast. Ein Agenten-Loop mit Streaming, parallelem Tool-Dispatch und Compaction – nutzbar als TUI, als One-shot-Kommando oder als JSONL-RPC zum Einbetten in andere Programme.

Erweiterbarkeit ist dort in vier Tiers geschichtet, gestuft nach Macht und Isolation:

Tier 1 – Resources: Skills, Prompt-Templates, Themes. Reine Daten, kein Code.

Tier 2 – Hooks: In-process Rhai-Skripte, die den Agent-Loop steuern. Sprach-Sandbox.

Tier 3 – WASM: Plugins aus jeder Sprache, memory-sandboxed via wasmi.

Tier 4 – MCP: Out-of-process-Server als Tool-Quelle, OS-sandboxed.

Je mehr eine Erweiterung darf, desto härter isoliert sie der Kern.

Tier 3 ist die Stelle, an der WebAssembly genau das liefert, was sonst teuer ist: echter Fremdcode ohne echtes Risiko. Ein Plugin deklariert im Manifest seine Capabilities – FsRead, FsWrite, Net, Env, Exec. Der Kern parst das zu einer Policy, der Mensch bestätigt sie, und dann registriert der Host nur die Funktionen, die die Policy erlaubt.

Der entscheidende Satz daran: Ein Plugin ohne Net-Capability bekommt keine Netz-Host-Funktion. Es ist damit nicht "gebeten, nicht ins Netz zu gehen" – es ist nachweislich offline. Es gibt keinen Syscall, den es aufrufen könnte. Der Default ist deny, und deny ist hier keine Konfiguration, sondern eine Abwesenheit.

Dazu kommt: Ein .wasm-Modul ist sprachagnostisch. Rust, Go, TinyGo, C, Zig, AssemblyScript – wer ein Plugin schreiben will, muss nicht meine Sprache lernen, sondern nur mein Interface treffen. Für ein Open-Source-Projekt ist das der Unterschied zwischen einem Ökosystem und einem Monolog.

WAS WASM NICHT LÖST – UND WOFÜR WIR DAS BETRIEBSSYSTEM BRAUCHEN

Ehrlichkeit gehört dazu, sonst wird es Marketing: WASM ist keine Universallösung.

Ein WASM-Modul kann keinen git-Prozess starten, keinen Language-Server sprechen, keine bestehende CLI wrappen. Sobald eine Erweiterung wirklich Prozesse ausführen muss, hilft keine Memory-Sandbox – dann muss die Grenze dorthin, wo sie hart ist: ins Betriebssystem. Genau dafür existiert Tier 4. MCP-Server laufen out-of-process, OS-sandboxed über Landlock unter Linux und Seatbelt (sandbox_init) unter macOS, beides fail-closed, plus Environment-Scrubbing – damit ein Subprozess keine API-Keys erbt, die ihm niemand geben wollte.

Die Architektur-Aussage ist also nicht "WASM für alles". Sie lautet: Die Isolationsmethode folgt der geforderten Macht. Daten brauchen keine Sandbox. Logik braucht eine Memory-Sandbox. Prozesse brauchen das OS. WebAssembly besetzt in dieser Staffelung die mittlere – und aus meiner Sicht wertvollste – Stufe: mächtig genug für echte Logik, isoliert genug, um Fremdcode ohne Bauchschmerzen laufen zu lassen.

WARUM DAS JETZT ZÄHLT

Agenten schreiben Code, führen ihn aus, rufen Tools auf. Das Ökosystem drumherum wächst schneller, als die Sicherheitsmodelle nachgezogen werden. Wir werden in den nächsten Jahren sehr viele Agent-Erweiterungen aus sehr unterschiedlichen Quellen installieren – und die Frage "was darf das eigentlich?" wird von einer Detailfrage zur zentralen Frage.

WebAssembly beantwortet sie mit dem einzigen Default, der skaliert: nichts, bis jemand etwas anderes sagt.

sepp mini ist Open Source, Rust, eine statische Binary, Linux und macOS inklusive Apple Silicon.

https://sepp.kionova.de

Wer selbst an Plugin- oder Sandbox-Architekturen für Agenten arbeitet: Ich bin ernsthaft an Gegenargumenten interessiert. Wo seht ihr die Grenzen des Capability-Ansatzes?

#WebAssembly #WASM #Rust #aiagents #opensource #SoftwareArchitecture

FinOps als Disziplin etabliert: Cloud-Kosten von 12.000 EUR/Monat auf 7.200 EUR gesenkt - ohne Leistungseinbußen. Die drei größten Hebel:

1. Reserved Instances für stabile Workloads (30% Ersparnis)
2. Spot Instances für Batch-Jobs und CI/CD Runner (70% Ersparnis)
3. Rightsizing: 60% unserer Instanzen waren überdimensioniert

Dazu ein FinOps-Dashboard das tägliche Kosten pro Team zeigt. Seitdem achtet jeder Entwickler auf seine Cloud-Ausgaben. FinOps ist eine echte Disziplin - nicht nur Tools, sondern Kultur. #finops #cloud #kostenoptimierung

Retool für das Marketing-Team eingerichtet. Jetzt können sie Landing Pages, Dashboards und interne Tools selbst bauen - ohne auf Entwickler zu warten. Früher: 2 Wochen Wartezeit für eine einfache Landing Page. Jetzt: In 2 Stunden live. Die Entwickler können sich auf Produkt-Features konzentrieren statt auf interne Tooling-Wünsche. #nocode #enablement #retool

Bestes Tool für Workflow-Automation? #automation #tools #umfrage

n8n statt Zapier: Open Source, self-hosted auf einem kleinen VPS (9 EUR/Monat), DSGVO-konform, keine Datenweitergabe an Dritte. 47 Workflows automatisieren alles von Lead-Nurturing über Slack-Notifications bis zur Rechnungsverarbeitung. Spart dem Team 10+ Stunden pro Woche. Der größte Workflow: CRM-Sync zwischen 3 Tools mit Deduplizierung und Datenanreicherung. #automation #dsgvo #n8n

In den letzten Jahren galt die Cloud als das Nonplusultra für moderne IT-Infrastrukturen. Flexibel, skalierbar, überall verfügbar – so das Versprechen der großen Anbieter wie Amazon Web Services (AWS), Microsoft Azure oder Google Cloud. Doch ein wachsender Trend zeigt: Immer mehr Unternehmen kehren der Cloud den Rücken und setzen wieder auf Self-Hosting. Warum?

1. Volle Kontrolle statt Abhängigkeit

Wer seine IT auslagert, gibt auch ein Stück Kontrolle ab. Viele Unternehmen erkennen inzwischen, wie stark sie von Drittanbietern abhängig sind – sei es beim Zugriff auf ihre Daten, bei Preismodellen oder beim Thema Verfügbarkeit. Beim Self-Hosting liegt alles in der eigenen Hand: Die Infrastruktur, die Datenhoheit und die Anpassungsmöglichkeiten.

2. Datenschutz – ein starkes Argument

Die Cloud wirft datenschutzrechtlich viele Fragen auf. Besonders in Europa sorgt der Wunsch nach DSGVO-Konformität für Unsicherheit. Self-Hosting bietet hier klare Vorteile: Alle Daten bleiben auf lokalen Servern, Zugriffsrechte sind transparent geregelt, und sensible Informationen müssen nicht über globale Rechenzentren verteilt werden.

3. Kalkulierbare Kosten

Cloud-Dienste wirken anfangs günstig – doch mit wachsender Nutzung steigen auch die laufenden Kosten. Traffic, Speicherplatz und Zusatzfunktionen summieren sich schnell. Self-Hosting ist meist mit einer einmaligen Investition verbunden. Danach sind die laufenden Betriebskosten planbar und unabhängig von Drittanbieter-Preismodellen.

4. Maßgeschneiderte IT-Strukturen

Nicht jedes Unternehmen passt in die Standardlösungen der Cloud. Mit Self-Hosting lassen sich Systeme und Dienste individuell konfigurieren – genau so, wie es die internen Prozesse erfordern. Ob Intranet, Dateisynchronisation, Kommunikation oder Backup: Die eigene Serverinfrastruktur bietet maximale Flexibilität.

5. Technologische Reife

Moderne Open-Source-Lösungen wie Proxmox, Nextcloud, Docker oder KVM machen Self-Hosting heute einfacher und sicherer denn je. Die IT-Abteilungen können auf stabile, gut dokumentierte Tools setzen, die skalierbar und wartbar sind.

---

Fazit

Self-Hosting ist mehr als ein Trend – es ist eine strategische Entscheidung für mehr Unabhängigkeit, Sicherheit und Nachhaltigkeit. Für Unternehmen, die ihre digitale Souveränität stärken möchten, ist jetzt der richtige Zeitpunkt, die Cloud zu hinterfragen und eigene Wege zu gehen.

90% aller Nutzer verlassen eine Webseite, wenn sie nicht sofort finden, was sie suchen. Die Lösung? Semantische Suche – die Technologie, die versteht, was Ihre Kunden wirklich wollen.

Das Problem mit Ihrer aktuellen Suche

Stellen Sie sich vor: Ein Kunde sucht auf Ihrer Seite nach „günstigen Laufschuhen für Anfänger“. Ihre herkömmliche Suche zeigt ihm Profi-Laufschuhe für 300€ – nur weil das Wort „Laufschuhe“ darin vorkommt.

Frustriert verlässt er Ihre Seite. Umsatz verloren. Kunde verloren.

Was ist semantische Suche – und warum brauchen Sie sie JETZT?

Semantische Suche ist wie ein intelligenter Verkäufer, der versteht, was Kunden meinen – nicht nur, was sie sagen.

Ein einfaches Beispiel:

• Kunde sucht: „Schokoladenmilch“

• Herkömmliche Suche findet: Milchschokolade, Schokoladentafeln, Milchprodukte

• Semantische Suche versteht: Der Kunde will ein Getränk, keine Süßigkeit!

Die Technologie dahinter (kurz erklärt):

Statt nur nach identischen Wörtern zu suchen, nutzt semantische Suche:

• Kontextverständnis: Sie erkennt, ob jemand kaufen, sich informieren oder vergleichen will

• Intelligente Verknüpfungen: Synonyme und verwandte Begriffe werden automatisch einbezogen

• Lernfähigkeit: Die Suche wird mit jedem Klick besser

5 Gründe, warum Sie HEUTE handeln sollten

1. Mehr Umsatz durch bessere Treffer

Kunden finden sofort, was sie suchen = höhere Kaufwahrscheinlichkeit

2. Zufriedenere Kunden

Auch bei Tippfehlern oder unklaren Anfragen liefern Sie perfekte Ergebnisse

3. Personalisierte Ergebnisse

Restaurant in der Nähe? Produkte für Allergiker? Die Suche passt sich an

4. Wettbewerbsvorteil

Während Ihre Konkurrenz noch mit Keywords kämpft, bieten Sie echtes Verständnis

5. Zukunftssicher

Die Technologie lernt kontinuierlich dazu – Ihre Investition wächst mit

Ist Ihre Webseite bereit? Der 3-Minuten-Check

Quick-Test: Prüfen Sie diese 3 Warnsignale

• Hohe Absprungrate bei der Suche? → Nutzer finden nicht, was sie suchen

• Viele Null-Treffer-Suchen? → Ihre Suche versteht die Anfragen nicht

• Kunden nutzen nur exakte Produktnamen? → Sie trauen Ihrer Suche nicht

Wenn Sie auch nur einmal „Ja“ gedacht haben, verlieren Sie gerade Geld.

So starten Sie in 3 einfachen Schritten

Schritt 1: Kostenlose Analyse

Wir prüfen Ihre aktuelle Suche und zeigen Ihnen konkret, wo Sie Kunden verlieren

Schritt 2: Potenzial aufdecken

Sie erhalten einen detaillierten Bericht mit:

• Konkreten Verbesserungsvorschlägen

• Geschätzter Umsatzsteigerung

• Implementierungsplan

Schritt 3: Sofort umsetzen

Mit modernen Tools ist die Integration in wenigen Wochen möglich

Ihre Konkurrenz schläft nicht!

Während Sie noch überlegen, rüsten andere bereits auf. Amazon, Google und Co. haben es vorgemacht – semantische Suche ist der neue Standard.

Was Sie bekommen:

• Detaillierte Analyse Ihrer aktuellen Suchfunktion

• Konkrete Handlungsempfehlungen

• Potenzialberechnung für Ihren Umsatz

• 30-minütiges Beratungsgespräch

Was es Sie kostet:

• 0€ – komplett kostenlos

• Keine versteckten Kosten

• Keine Verpflichtungen

•

Noch Fragen? Hier die Antworten:

„Ist das nicht zu technisch für uns?“ Nein! Moderne Lösungen sind plug-and-play. Wir kümmern uns um die Technik, Sie ernten die Erfolge.

„Lohnt sich das für kleine Webseiten?“ Absolut! Gerade kleine Unternehmen profitieren von jedem einzelnen Kunden, der findet, was er sucht.

„Wie lange dauert die Umsetzung?“ Je nach Größe Ihrer Webseite: 2-6 Wochen bis zur vollen Funktionsfähigkeit.

Die Zeit läuft – Ihre Kunden warten nicht

Jeden Tag ohne semantische Suche = verlorene Kunden und Umsatz.

P.S.: Wussten Sie, dass Unternehmen mit semantischer Suche im Schnitt 23% mehr Conversions erzielen? Wann steigern Sie Ihren Umsatz?