Warum AI Agent Infrastructure ein Agents Filesystem und ein Versioned Control Filesystem braucht
21. April 2026Lin Ivan
Kernaussagen
- Die nächste Grenze für AI Agent Infrastructure ist nicht nur Modellqualität, sondern Kontext, Toolzugriff, Dateien, Berechtigungen und Wiederherstellung.
- Cloudflares interner AI-Stack zeigt die Form produktionsreifer Agentensysteme: Authentifizierung, MCP-Server, Sandboxes, AGENTS.md, Service-Kataloge und AI Code Review.
- Die meisten Teams müssen diese Plattform nicht sofort nachbauen. Sie brauchen früh eine fehlende Schicht: ein Agents Filesystem für sicheren, geteilten Agentenkontext.
- Ein Versioned Control Filesystem ist wichtig, weil Agenten Dateien verändern. Jede Änderung braucht Identität, Diff, Historie, Rollback und Audit-Trail.
- puppyone kann diese Schicht bereitstellen: ein Dateiarbeitsbereich für KI-Agenten mit SaaS-Ingestion, MCP-Zugriff, scoped Permissions, Sandbox-Mounts, Versionierung und Audit Logs.
Die Cloudflare-Lektion: Agenten brauchen Infrastruktur um sich herum
Cloudflare hat beschrieben, welchen internen AI-Engineering-Stack das Unternehmen für seine R&D-Organisation gebaut hat: The AI engineering stack we built internally. Der entscheidende Punkt ist nicht ein einzelnes Modell. Der Punkt ist Infrastruktur.
Cloudflare verbindet Authentifizierung, zentrales LLM-Routing, MCP-Server, Sandbox-Ausführung, langlebige Agentensitzungen, einen Service-Katalog, AGENTS.md-Dateien, Engineering-Standards und AI Code Review.
| Produktionsproblem | Infrastrukturschicht |
|---|---|
| Viele AI-Clients und Provider | Zentrales Routing, Provider-Policy, Kostenkontrolle |
| Agenten brauchen interne Tools | MCP-Server und Portal-Schicht |
| Agenten müssen Code sicher ausführen | Sandbox-Runtimes |
| Agenten brauchen Repo-Kontext | AGENTS.md und Engineering-Standards |
| Agenten brauchen Organisationswissen | Service-Katalog und Abhängigkeitsgraph |
| Agentenergebnisse müssen geprüft werden | AI Code Review mit Standards |
So sieht produktionsreife AI Agent Infrastructure aus: keine Chat-App mit längerem Kontextfenster, sondern eine Umgebung, in der Agenten den richtigen Kontext finden, die richtigen Tools nutzen, innerhalb klarer Grenzen handeln und überprüfbare Spuren hinterlassen.
Warum MCP allein nicht reicht
MCP ist eine wichtige Protokollschicht. Die offizielle Model Context Protocol documentation beschreibt MCP als Standard, um Modelle mit Tools und Datenquellen zu verbinden.
Das löst aber nicht automatisch das Infrastrukturproblem.
Wenn alles nur ein Live-API-Call ist, bleiben bekannte Lücken:
- Tool-Schemas verbrauchen Kontext, bevor die Arbeit beginnt.
- Agenten haben keinen dauerhaften Ort für Pläne, Scratch-Dateien, Reports oder transformierte Daten.
- Änderungen zwischen zwei Läufen sind schwer zu diffen.
- Jede SaaS-Quelle, jedes Repo und jede Datenbank braucht eigene Klebeschicht.
- Ergebnisse landen in Chatverläufen, temporären Sandboxes oder unverwalteten Ordnern.
MCP ist das Zugriffsprotokoll. Es ist nicht automatisch Memory, Storage, Permissioning, Audit und Recovery.
Baue mit puppyone eine verwaltete Kontextschicht für AgentenGet startedWas ein Agents Filesystem bedeutet
Ein Agents Filesystem ist ein Dateiarbeitsbereich, der für KI-Agenten statt für Menschen entworfen wurde.
Klassische Dateisysteme setzen voraus, dass ein Mensch entscheidet, was sicher, aktuell, relevant oder commit-würdig ist. Agenten handeln anders. Sie lesen, was sichtbar ist, schreiben, wo sie dürfen, und benutzen Dateien als Teil ihrer Arbeits- und Denkschleife.
Ein produktionsreifes Agents Filesystem sollte fünf Fähigkeiten haben:
| Fähigkeit | Warum sie wichtig ist |
|---|---|
| Einheitlicher Kontext | Agenten greifen über einen Dateiraum auf SaaS-Daten, Repo-Dokumente, Tickets, Spezifikationen und frühere Ergebnisse zu. |
| Scoped Access | Jeder Agent sieht nur Pfade, die er lesen oder schreiben darf. |
| Native Agentenschnittstellen | Zugriff über Bash, MCP, REST, CLI oder Sandbox-Mounts. |
| Dauerhafte Writes | Pläne, Scratch-Dateien, Reports und generierter Code überleben die Sitzung. |
| Operative Spuren | Reads, Writes, Diffs und Permission-Fehler sind sichtbar. |
Das ist mehr als ein geteilter Ordner. Dropbox, S3, Git, lokale Festplatten und Vektordatenbanken lösen jeweils nur einen Teil. Sie kombinieren meist nicht Agentenidentität, per-agent Permissions, MCP-Verteilung, Sandbox-Mounts und automatische Versionierung.
Mehr zu Dateisicherheit steht in unserem Guide filesystem design for AI agents.
Warum Versionierung in die Dateisystemschicht gehört
Agenten lesen Kontext nicht nur. Sie verändern ihn.
Sie schreiben Pläne, fassen Meetings zusammen, transformieren Datensätze, generieren Reports, ändern Dokumentation und öffnen Pull Requests. Sobald Agenten schreiben, braucht das System ein Wiederherstellungsmodell.
Darum ist der Begriff Versioned Control Filesystem nützlich. Natürlich klingt "version-controlled filesystem" natürlicher, aber die Aussage ist: Versionierung darf keine Gewohnheit sein, an die der Agent denken muss. Sie muss in der Speicherschicht liegen.
Ein Versioned Control Filesystem für Agenten bedeutet:
- jeder Write erzeugt eine versionierte Änderung;
- jede Änderung ist Agent, Nutzer, Access Point oder Workflow zugeordnet;
- jeder Diff ist prüfbar;
- jeder Ordner kann zurückgerollt werden;
- riskante Läufe starten von Checkpoints;
- Berechtigungsgrenzen sind auditierbar.
Wenn ein Agent einen Ordner löscht, eine Policy überschreibt oder ein Dataset beschädigt, kann das Team prüfen und zurückrollen. Git hat gezeigt, wie wertvoll Diffs und Rollbacks für Code sind. Agenten brauchen ähnliche Semantik für Kontext.
Eine Referenzarchitektur für AI Agent Infrastructure
User- oder Workflow-Request
-> Agent Client / Orchestrierung
-> Model Routing und Policy
-> MCP- und Toolzugriff
-> Agents Filesystem
- synchronisierter SaaS-Kontext
- Repo- und Projektkontext
- generierte Artefakte
- per-agent Permissions
- Version History und Audit Logs
-> Sandbox-Ausführung
-> Review, Approval, Deployment
Das Agents Filesystem liegt in der Mitte, weil Kontext dort operativ wird. Es verbindet Quellen, MCP, Sandbox und Review. Ohne diese Schicht entstehen fragile Fragmente: lokale Ordner, Vektorindizes, einzelne MCP-Server, Wikis, Object Storage und manuelle Audit-Notizen.
Wo puppyone passt
puppyone ist ein Datei-Workspace für Multi-Agenten-Zusammenarbeit. In dieser Architektur stellt es die Agents-Filesystem- und Versioned-Control-Filesystem-Schicht bereit.
Konkret:
- Quellen wie Notion, GitHub, Google Drive, Gmail, Airtable, Linear und Datenbanken werden in einen Context Space synchronisiert.
- Kontext erscheint als Markdown, JSON, Ordner und Rohdateien.
- Access Points definieren, welche Pfade ein Agent lesen oder schreiben darf.
- MCP-Endpunkte machen denselben Workspace für Claude, Cursor und andere MCP-Clients verfügbar.
- Sandbox-Mounts enthalten nur autorisierte Dateien.
- Version History und Rollback machen Agentenänderungen prüfbar und wiederherstellbar.
- Audit Logs zeigen, wer oder was welche Datei berührt hat.
puppyone ersetzt nicht jede Schicht aus Cloudflares Stack. Model Policy, Runtime Isolation, CI, Review und interne Standards bleiben wichtig. Aber mit einem Agents Filesystem sind Kontext und Artefakte nicht mehr über das Unternehmen verstreut.
Weitere Muster: MCP in Agentic AI und AI audit best practices for secure agent deployments.
Prüfliste für den eigenen Stack
| Frage | Wenn nein |
|---|---|
| Findet jeder Agent Kontext ohne Copy-Paste? | Kontext-Ingestion und Normalisierung fehlen. |
| Sieht jeder Agent nur erlaubte Dateien und Tools? | Scoped Permissions fehlen. |
| Überleben Agentenartefakte die Sitzung? | Dauerhafter Artefaktspeicher fehlt. |
| Kann man Änderungen zwischen Läufen diffen? | Versionierte Dateihistorie fehlt. |
| Kann man falsche Writes zurückrollen? | Checkpoints und Restore fehlen. |
| Mountet die Sandbox nur autorisierten Kontext? | Filesystem-aware Access Control fehlt. |
| Prüfen Menschen Artefakte statt Chatlogs? | File-basierte Workflows fehlen. |
Das ist die eigentliche Suchintention hinter ai agent infrastructure: Agenten sollen sicher lesen, schreiben, ausführen, zusammenarbeiten und überprüft werden.
FAQs
Q1: Ist ein Agents Filesystem dasselbe wie MCP?
Nein. MCP ist ein Protokoll für Tool- und Datenzugriff. Ein Agents Filesystem ist die Speicher- und Kontextschicht für Dateien, Artefakte, Rechte, Versionen und Audit-Trails.
Q2: Ist das anders als eine Vektordatenbank?
Ja. Eine Vektordatenbank hilft bei semantischer Suche. Sie bietet normalerweise keinen normalen Lese-/Schreib-Workspace mit Pfadberechtigungen, Rollback, Diffs und Sandbox-Mounts.
Q3: Warum Versioned Control Filesystem?
Weil Agenten Änderungen machen. Versionierung sollte automatisch im Dateisystem passieren, nicht davon abhängen, dass ein Agent an einen Commit denkt.
Q4: Wann braucht ein Team diese Schicht?
Sobald Agenten von Experimenten zu geteilten Workflows werden: mehrere Agenten, mehrere Datenquellen, sensible Dateien, lange Tasks, wiederverwendbare Artefakte oder menschlicher Review.