Andrew Ng lanserer OpenWorker: åpen kildekode-agent som leverer ferdig arbeid, ikke prat

Fire risikoklasser og fem tillatelsesmoduser er det som skiller OpenWorker fra resten av skrivebordsagentene. Andrew Ng slapp prosjektet denne uken under MIT-lisens, og GitHub-repoet «andrewyng/openworker» ble opprettet 20. juli 2026. Det har allerede passert 2 700 stjerner. Premisset er at du ber om et resultat i stedet for å skrive en prompt: et ferdig dokument, et Slack-svar med de faktiske tallene, en ryddet innboks. Agenten bryter resultatet ned i steg og sjekker inn med deg før den gjør noe med konsekvenser.

Arkitekturen er fire lag som alle kjører på din egen maskin, ifølge MarkTechPosts gjennomgang av kodebasen. Skrivebordsskallet er et Tauri 2-vindu rundt et React 18-grensesnitt. Under ligger en lokal agent-server i Python på FastAPI, bundet til 127.0.0.1:8765, med et tak på 12 runder mellom modell og verktøy per tur. Så kommer verktøy- og koblingslaget med filer, git, ripgrep-basert søk, skall og MCP. Øverst sitter en modellruter bygget på aisuite, Ngs eget leverandøruavhengige bibliotek.

Det finnes ingen inferens-tjeneste i OpenWorker. Du limer inn en API-nøkkel eller peker appen mot en lokal kjøretid, og den kuraterte modellisten inneholder 30 oppføringer på tvers av OpenAI, Anthropic og Google, pluss OpenAI-kompatible leverandører. Åpne vekter kommer inn via Together AI og Fireworks, og fullt lokale modeller gjennom Ollama, som ikke krever nøkkel i det hele tatt.

Tillatelseslaget er den delen som fortjener oppmerksomhet fra deg som allerede kjører agenter. Hvert verktøykall klassifiseres som «read» uten sideeffekter, «write_local» som er sti-avgrenset, «exec» som kjører kommandoer, eller «external» med virkning utenfor maskinen. To valg peker seg ut. Uovervåket modus hever ikke autonomitaket, den flytter bare stedet mennesket nås: spørsmål som ellers dukket opp inline havner i en innboks, og økten står stille til du svarer. Og stående regler for en oppgave gjelder kun «external»-risiko. Skallkommandoer spør hver eneste gang, med vilje.

Den innebygde persona-en instruerer også modellen om å behandle innhold fra verktøy, logger, nettet, filer og innkommende meldinger som utrustet data, ikke som instruksjoner. Det er en eksplisitt holdning mot prompt-injection skrevet inn i produktet, ikke lagt på som et filter i etterkant.

Modellkall går direkte fra maskinen din til leverandøren du har valgt. Samtaler, koblingstokens og modellnøkler blir liggende lokalt, og hemmelighetslageret er designet slik at hemmeligheter aldri havner i modellens kontekst, prompter eller sporing. Den eneste skytjenesten er en valgfri megler som håndterer OAuth for ett-klikks-koblinger. Appen fungerer fullt ut utlogget hvis du limer inn legitimasjonen manuelt.

Hva bør du gjøre?

1. Test den mot Ollama først. Da koster eksperimentet ingenting, og du ser hvor mye av kvaliteten som ligger i orkestreringen kontra i modellen.
2. Bli i «interactive»-modus til du har sett hvilke verktøykall agenten faktisk vil gjøre på dine data. «auto» er sti-avgrenset, men fortsatt bredt.
3. Les tillatelsesmodellen selv om du ikke tar i bruk appen. Firedelingen av risiko er et mønster du kan kopiere inn i din egen agent-oppsett.