Agentic AI Foundation nimmt vier neue Projekte auf, MCP rückt Sicherheit in den Fokus
Auf der AGNTCon + MCPCon North America 2026 hat die Agentic AI Foundation die Projekte OpenSandbox, Open Responses, Agent Skills und OpenEnv aufgenommen und kommt damit im ersten Jahr auf zehn Projekte. Keynotes von Anthropic, OpenAI, Google und UC Berkeley drehten sich um MCP im Produktiveinsatz und Sicherheit.
Mazin Gilbert, Executive Director der AAIF, eröffnete mit Projektneuigkeiten und drei neuen Governance-Komitees. Alibaba steuerte OpenSandbox bei, eine sichere Sandbox zum Ausführen von Agenten, und OpenAI trug Open Responses bei, eine offene Spezifikation für interoperable LLM-Schnittstellen. Anthropic fügte Agent Skills hinzu, und Hugging Face steuerte OpenEnv bei, ein Framework für Reinforcement-Learning-Umgebungen, die Agenten trainieren und evaluieren. Manik Surtani, CTO der Stiftung, brachte den Meilenstein in der Ankündigung so auf den Punkt:
Vor einem Jahr startete die AAIF mit drei Projekten und der Wette, dass agentic AI eine neutrale Heimat braucht, um zu gedeihen. Heute beherbergen wir zehn.
In "Who Keeps It Open?" argumentierte Surtani, dass eine Lizenz allein die Offenheit von Infrastruktur nicht sicherstellt. Surtani stellte Android, das unter einem einzigen Unternehmen blieb, Kubernetes gegenüber, das Google in eine neutrale Stiftung überführt hatte. Die offenen Probleme liegen inzwischen bei Identität, Attestierung, Audit und Zahlungen.
Die Berichterstattung von außen fiel kühler aus. The New Stack stellte fest, dass Open Responses bereits Unterstützung von AWS Bedrock, Databricks, Ollama, Nvidia und vLLM erfährt, dass Anthropic jedoch weiterhin seine eigene Messages API definiert und Google seine Interactions API. The Register überschrieb seinen Beitrag mit "Vendor-affiliated AI agent tech gets adopted by friendly, funded foundation" und schloss mit einer Warnung:
Diese begeisterte (oder gutgläubige) Umarmung von AI-Agenten könnte für manche Branchen etwas zu schnell gehen.
J.R. Storment, Executive Director der erst elf Wochen alten Tokenomics Foundation, rief dem Publikum zu, aufzuhören, Tokens zu zählen. Die Kosten pro Aufgabe schlagen die Kosten pro Token, und die Kosten pro Ergebnis sind noch besser, doch das eigentliche Maß ist der Geschäftsnutzen.
David Soria Parra, Mitentwickler von MCP bei Anthropic, argumentierte, dass leistungsfähige Modelle inzwischen eher Konnektivität brauchen als Hilfe beim Dranbleiben an einer Aufgabe. Die Spezifikation vom 28. Juli ergänzte zustandslose Server, worüber einige Entwickler befürchteten, MCP werde damit nur eine weitere API, und manche Plattformen verzeichnen bereits rund 70 Prozent ihres Traffics in diesem Modus. Soria Parra kündigte MCP-Task-Unterstützung in Claude Code an, mit der Tool-Aufrufe statt Sekunden auch Minuten, Stunden oder Tage laufen können. Anthropic spendete zudem den Agent-Skills-Standard an die Stiftung. Die Roadmap des Projekts nennt fünf Schwerpunktbereiche, von Agent-Messaging und Skills über MCP bis hin zu Identität und einem HTTP-nativen Transport.
Thomas Sarlandie von OpenAI teilte mit, was das ChatGPT-Plugin-Verzeichnis über MCP-Server in der Produktion verrät. Für die Anzahl der Tools gibt es keine praktische Grenze, doch überdimensionierte Schemas werden gekürzt, beginnend mit den Argumentbeschreibungen. Rund drei von vier Tool-Schemas auf veröffentlichten Servern liegen unter 1 kB, während die größten etwa 260 kB für ein einzelnes Tool und 1,4 MB für einen Server erreichen. OpenAI lehnt eingereichte Server ab, sofern nicht jedes Tool über Annotationen verfügt, mit denen ChatGPT schreibgeschützte Aufrufe bevorzugt und destruktive Aufrufe bestätigen lässt. Nur 56 Prozent der Plugins nutzen Server-Anweisungen, die nach Sarlandies Aussage gefahrlos bis etwa 1.000 Zeichen lang sein dürfen.
Sarah Drasner von Chrome stellte WebMCP vor, einen vorgeschlagenen Webstandard, der sich derzeit in der Origin Trial Phase befindet und es Websites ermöglicht, Tools für Agenten bereitzustellen. Agenten rufen deklarierte Tools auf, statt das DOM zu scrapen, und Drasner verwies auf Benchmarks, die Aktionen 2,5- bis 7,5-mal schneller zeigen. Hinweise zu Schreibschutz und nicht vertrauenswürdigen Inhalten helfen Agenten zudem, sich gegen in Nutzerkommentaren versteckte Prompt-Injection zu wehren. WebMCP ergänzt MCP, ersetzt es aber nicht, betonte Drasner.
Dawn Song, Professorin an der UC Berkeley, argumentierte, dass Frontier-KI Angreifern kurzfristig mehr nutzen wird als Verteidigern. Songs CyberGym-Benchmark umfasst mehr als 1.500 Schwachstellen in knapp 200 Open-Source-Projekten, und Modelle finden inzwischen Zero-Days. Auf ExploitGym erzeugte GPT-5.6 Sol in zwei Stunden etwa 230 funktionierende Exploits gegen 869 Ziele, und mit aktivierten Standard-Sicherheitsmaßnahmen waren es immer noch mehr als 80. Da Angreifer nur eine einzige Lücke benötigen, plädierte Song für Secure-by-Construction-Systeme mit KI-generierten Beweisen und verwies auf ein neues Observatorium, das diese Fähigkeiten verfolgt.
Den Delimarsky von Anthropic, der federführende Maintainer des Protokolls, erklärte, die kumulierten SDK-Downloads seien auf 4,17 Milliarden gestiegen. Vor einem Monat lag die Zahl bei etwa 3 Milliarden, was nach Delimarskys Worten die Tragweite jeder Sicherheitslücke erhöht. Etwa ein Drittel der 116 Conformance-Szenarien prüft inzwischen Sicherheit, und unternehmensverwaltete Autorisierung ist in Claude live verfügbar. Delimarskys Auth-Roadmap kennzeichnet dieses Feature als stabil, führt Proof-of-Possession-Tokens und Workload Identity Federation im Entwurfsstatus auf und mündet in Agenten, die sich als sie selbst anmelden.
Bradley Axen von Block, Schöpfer von goose, demonstrierte Buzz, einen Open-Source-Arbeitsbereich, in dem Menschen und Agenten Kanäle teilen. Jeder Agent erhält eine eigene Identität samt einer Attestierung, die seinen Besitzer nennt, und kann Kanäle lesen, aber keine Direktnachrichten. Buzz zählt 80.000 Communities und 36.000 GitHub Stars, Version 1.0 soll Mitte November erscheinen.
Thomas Dohmke, ehemaliger GitHub-CEO und heute CEO von Entire, sagte, Agenten hätten Code Review zum Engpass gemacht. Unter Verweis auf Branchendaten führte Dohmke an, dass Teams mit Coding-Agenten etwa 57 Pull Requests pro Woche erzeugen, gegenüber etwa 10 bei anderen. Dohmke möchte Agent-Sitzungsprotokolle in Git gespeichert und mit Commits verknüpft sehen, damit Reviewer eine Änderung anhand ihrer ursprünglichen Absicht prüfen können.
Tim O'Reilly nannte MCP eine "Architektur der Partizipation" für KI in der Tradition von Unix. Der KI-Wirtschaft fehlen bislang noch ihre Mechanismen, so O'Reilly, ähnlich wie das Web Bezahlungen pro Klick und sichere Zahlungen brauchte. O'Reilly rahmte die Lösung als Mechanismus-Design, gewissermaßen "umgekehrte Spieltheorie": vom gewünschten Ergebnis ausgehen und rückwärts zu den Regeln arbeiten, die es hervorbringen. Seine Botschaft lautete, Vertrauen aus dem Modell hinaus zu verlagern, in Protokolle, Gateways und überprüfbare Identität.
Für Teams, die MCP-Server betreiben, fielen die praktischen Lehren konkret aus: jedes Tool annotieren, Schemas klein halten und auf Agenten vorbereitet sein, die ihre eigene Identität mitbringen, statt eines geliehenen User-Tokens. Mehrere Angaben waren Bühnenbehauptungen ohne veröffentlichte Daten, und einige Sicherheitserweiterungen befinden sich noch im Entwurfsstadium. Entwickler, die mehr erfahren möchten, können die Keynote-Livestreams von Tag 1 und Tag 2 ansehen oder die Projektseiten der Stiftung lesen. Die nächsten AGNTCon + MCPCon-Veranstaltungen finden am 28. und 29. April in San Francisco sowie am 15. und 16. September 2027 in London statt.
Präsentiert von: David Iparraguirre, Senior Product Marketing Manager bei Datadog, und Jessica Yang, Product Manager bei Datadog
Automatisch übersetzt. Das Original auf Englisch ist unten aufklappbar.
Original (Englisch) anzeigen
Mazin Gilbert, executive director of the AAIF, opened with the project news and three new governance committees. Alibaba contributed OpenSandbox, a secure sandbox for running agents, and OpenAI contributed Open Responses, an open specification for interoperable LLM interfaces. Anthropic added Agent Skills, and Hugging Face added OpenEnv, a framework for reinforcement learning environments that train and evaluate agents. Manik Surtani, the foundation's CTO, put the milestone this way in the announcement:
A year ago, AAIF launched with three projects and a bet that agentic AI needed a neutral home to thrive. Today we host 10.
In "Who Keeps It Open?", Surtani argued that a license alone does not keep infrastructure open. Surtani contrasted Android, which stayed under one company, with Kubernetes, which Google moved into a neutral foundation. The open problems now sit in identity, attestation, audit, and payments.
Outside coverage was cooler. The New Stack noted that Open Responses already has support from AWS Bedrock, Databricks, Ollama, Nvidia, and vLLM, but that Anthropic still defines its own Messages API and Google its Interactions API. The Register headlined its story "Vendor-affiliated AI agent tech gets adopted by friendly, funded foundation" and closed with a caution:
This enthusiastic (or credulous) embrace of AI agents may be a bit too rapid for some industries.
J.R. Storment, executive director of the 11-week-old Tokenomics Foundation, told the audience to stop counting tokens. Cost per task beats cost per token, and cost per outcome is better still, but the real measure is business value.
David Soria Parra, co-creator of MCP at Anthropic, argued that capable models now need connectivity more than help staying on task. The July 28 specification added stateless servers, which some developers worried would turn MCP into just another API, and some platforms already see about 70% of their traffic in that mode. Soria Parra announced MCP tasks support in Claude Code, letting tool calls run for minutes, hours, or days instead of seconds. Anthropic also donated the Agent Skills standard to the foundation. The project's roadmap names five priority areas, from agent messaging and skills over MCP to identity and an HTTP-native transport.
OpenAI's Thomas Sarlandie shared what the ChatGPT plugin directory reveals about MCP servers in production. There is no practical limit on tool count, but oversized schemas get trimmed, starting with argument descriptions. About three in four tool schemas on published servers are under 1 kB, while the largest reach about 260 kB for a single tool and 1.4 MB for a server. OpenAI rejects submitted servers unless every tool carries annotations, which let ChatGPT fast-track read-only calls and confirm destructive ones. Only 56% of plugins use server instructions, which Sarlandie said can safely run to about 1,000 characters.
Chrome's Sarah Drasner presented WebMCP, a proposed web standard now in origin trial that lets websites expose tools to agents. Agents call declared tools instead of scraping the DOM, and Drasner cited benchmarks showing actions 2.5 to 7.5 times faster. Read-only and untrusted-content hints also help agents resist prompt injection hidden in user comments. WebMCP complements MCP rather than replacing it, Drasner stressed.
Dawn Song, a UC Berkeley professor, argued that frontier AI will help attackers more than defenders in the near term. Song's CyberGym benchmark spans more than 1,500 vulnerabilities in nearly 200 open source projects, and models now find zero-days. On ExploitGym, GPT-5.6 Sol produced about 230 working exploits against 869 targets in two hours, and still more than 80 with standard security mitigations enabled. Because attackers need only one hole, Song called for secure-by-construction systems with AI-generated proofs and pointed to a new observatory that tracks these capabilities.
Anthropic's Den Delimarsky, the protocol's lead maintainer, said cumulative SDK downloads have reached 4.17 billion. The count stood at about 3 billion a month earlier, which Delimarsky said raises the stakes of every security gap. About a third of the 116 conformance scenarios now test security, and enterprise-managed authorization is live in Claude. Delimarsky's auth roadmap marks that feature stable, puts proof-of-possession tokens and workload identity federation in draft, and ends with agents that sign in as themselves.
Block's Bradley Axen, creator of goose, demonstrated Buzz, an open source workspace where people and agents share channels. Each agent gets its own identity plus an attestation naming its owner, and can read channels but not direct messages. Buzz has 80,000 communities and 36,000 GitHub stars, with version 1.0 due in mid-November.
Thomas Dohmke, former GitHub CEO and now CEO of Entire, said agents have turned code review into the bottleneck. Citing industry data, Dohmke noted that teams using coding agents produce about 57 pull requests a week, against roughly 10 for others. Dohmke wants agent session logs stored in Git and linked to commits, so reviewers can check a change against its intent.
Tim O'Reilly called MCP an "architecture of participation" for AI, in the tradition of Unix. The AI economy still lacks its mechanisms, O'Reilly argued, much as the web needed pay-per-click advertising and secure payments. O'Reilly framed the fix as mechanism design, or "reverse game theory": start from the outcome you want and work backward to the rules that produce it. His message was to move trust out of the model and into protocols, gateways, and verifiable identity.
For teams running MCP servers, the practical lessons were specific: annotate every tool, keep schemas small, and plan for agents that carry their own identity rather than a borrowed user token. Several figures were stage claims without published data, and some security extensions remain drafts. Developers interested in learning more can watch the Day 1 and Day 2 keynote livestreams or read the foundation's project pages. The next AGNTCon + MCPCon events are set for San Francisco on April 28-29 and London on September 15-16, 2027.
Presented by: David Iparraguirre - Senior Product Marketing Manager at Datadog, and Jessica Yang - Product Manager at Datadog