Y Combinator open-sourcer QM: multiplayer-agenter for Slack og web

Y Combinator har lagt ut QM under MIT-lisens på GitHub. Repoet ble opprettet 29. juli og har passert 3 300 stjerner. Prosjektet er skrevet i TypeScript og beskriver seg selv som en flerbruker-kjøreramme for KI-agenter på jobb, i Slack og på web.

Premisset er en kritikk av hvordan agenter vanligvis bygges. De fleste er formet som personlige assistenter, og QM-dokumentasjonen slår fast at du nok kan få én slik til å tjene et helt selskap, men at det raskt blir komplisert. QM snur på det: hver ansatt får sin egen isolerte arbeidsflate, og de samme agentene kan samarbeide med flere personer i kanaler, gruppesamtaler og prosjekter. Både hver person og hvert rom har sin egen avgrensede hukommelse, sine filer, sitt nøkkelknippe, sine tillatelser, sine cron-jobber og sin varige sandkasse.

Uavhengigheten fra leverandør er bygget inn. Pi, OpenCode, Codex og Claude Code driver alle den samme kjernen, og hvert substrat, altså kjøreramme, sesjonslager, sandkasse og hukommelse, ligger bak et grensesnitt som byttes ut i én oppkoblingsfil. Kjernen kjører TypeScript rett på Node med Fastify for HTTP, Postgres for sesjonshistorikk og varig tilstand, Bolt for Slack-tillegget og Vite med Lit for webflaten. Agenten har en liten, fast verktøyflate; ett av verktøyene er execute, som kjører kommandoer i arbeidsflatens egen sandkasse.

Sikkerhetsmodellen er den delen som er verdt å studere selv om du aldri kjører QM. En organisasjon velger én av tre holdninger, og snevrere nivåer kan bare stramme inn, aldri løsne. Strict pauser hvert eneste verktøykall for menneskelig godkjenning. Auto er standard.

«En klassifiserer siler eksterne data med opphavsmerking og verktøyresultater før de når modellen, og en installasjon kan peke det mot sin egen silings-proxy» — QM-dokumentasjonen om Auto-holdningen

Dangerous fjerner både innholdssiling og pausene mellom verktøykall. Uansett holdning gjelder en forhåndsdeklarert kommandopolicy med godkjenningsregler og harde nekt for ting som rekursiv sletting og destruktiv SQL, også i Dangerous. Modellen for tillit følger lokale kodeagenter: agenten opptrer som personen den jobber for, med deres legitimasjon og tillatelser, og alt den gjør revisjonsloggføres.

To detaljer skiller prosjektet fra vanlig open source. Bidrag tas imot som menneskeskrevet tekst, ikke kode: du beskriver endringen uformelt i en tekstfil under adrs/, og blir dere enige, står vedlikeholderne for implementasjonen. Og hvis du vil ha en privat variant, advarer dokumentasjonen mot GitHubs egen fork-knapp. En fork arver synligheten til repoet den kom fra, og de to deler ett objektnettverk, så commits du pusher til forken kan hentes ut på SHA fra den offentlige siden. Bruk en vanlig klone i stedet.

Hva bør du gjøre?

1. Start med sikkerhetsholdningene, ikke installasjonen. Tredelingen strict, auto og dangerous med en policy som gjelder i alle tre er et mønster du kan kopiere inn i ditt eget agentoppsett uten å ta i bruk QM.
2. Regn med egen infrastruktur. Hver installasjon kjører i operatørens egen skykonto, og qm init genererer verken deploy-CI eller produksjonsflyt. Kommandoen er npm exec med pakken @yc-software/qm og flaggene org og target for Fly eller AWS.
3. Les SECURITY.md før du kobler til Slack. Trusselmodellen, forutsetningene om operatøren og de kjente begrensningene ligger der, ikke i README.