QM

Was es ist

QM — kurz für Quartermaster — ist das interne Agent-Harness von Y Combinator, am 31. Juli 2026 unter der MIT-Lizenz als Open Source veröffentlicht. YC setzt es in der eigenen Buchhaltung, im Rechtsbereich, bei Events und im Engineering ein, und das öffentliche Repository unter github.com/yc-software/qm überschritt innerhalb von zwei Monaten 15.000 Sterne. Der Launch-Post auf Hacker News erreichte 682 Punkte und 163 Kommentare, wobei der Großteil des Threads QM gegen OpenClaw, Hermes und Claude Cowork abwog.

Die Designentscheidung, die es von diesen Tools unterscheidet, ist Multiplayer. OpenClaw ist der Agent einer Person auf dem Gateway einer Person. QM gibt jedem Mitarbeitenden einen privaten Agent-Workspace und gibt jedem Slack-Channel, jeder Gruppen-DM und jedem Projekt einen eigenen geteilten Agent. Jeder dieser Scopes besitzt eigenen Speicher, eigene Dateien, eine eigene Keychain-Sicht, Berechtigungen, Crons, Web-Apps und eine dauerhafte Sandbox, und Ressourcen bleiben im besitzenden Scope, sofern sie niemand ausdrücklich teilt. Ein Organisations-Scope darüber legt Standards und Policy-Obergrenzen fest.

Es ist kein SaaS-Produkt. Sie betreiben es in Ihrem eigenen Cloud-Konto, mit Ihren eigenen Modell-Keys. qm init erzeugt ein Deployment-Repository für Fly.io oder AWS (ECS Fargate plus Lambda MicroVMs); der Kern ist TypeScript auf Fastify mit Postgres für Sessions, Speicher und die dauerhafte Queue. Der Agent-Loop selbst ist austauschbar — Pi, OpenCode, Codex und Claude Code können jeweils denselben Kern antreiben —, sodass ein Wechsel des Modellanbieters eine Konfigurationsänderung ist, keine Migration.

Warum es auf Shortlists landet

• Geteilte Agents ohne geteiltes Bot-Token. Üblicherweise „teilt“ ein Team einen Agent über einen Slack-Bot mit einem einzigen Satz Zugangsdaten, mit dem alle sprechen können. QM bildet die Slack-Identität auf QM-Principals ab, sodass der Agent in #legal-intake mit den Berechtigungen dieses Channels handelt und der Agent in Ihren DMs mit Ihren. Für ein Legal- oder Finanzteam ist das der Unterschied zwischen einem Pilotprojekt, das die Security-Abteilung freigeben kann, und einem, das sie nicht freigeben kann.
• Hintergrundarbeit ist erstklassig unterstützt. Crons führen einen Prompt nach Kalender oder Polling-Zeitplan erneut aus, Process Watches melden lang laufende Jobs zurück in eine Konversation, und eingehende Webhooks lassen ein externes System einen Turn mit einem verifizierten Event auslösen. Das deckt die Ops-Muster ab, auf die es ankommt — ein wöchentlicher Durchlauf zur Pipeline-Hygiene, eine Überwachung von Vertragsverlängerungen, ein ATS-Webhook, der Kandidatenzusammenfassungen auslöst —, ohne separates Automatisierungs-Tool.
• Skills und Apps sind teilbare Assets. Skills sind Instruktionspakete im Besitz eines Scopes, per Berechtigung teilbar, organisationsweit hochstufbar und aus Git importierbar. Apps sind interne Web-Apps mit stabiler URL, unveränderlichen Versionen, Zugriffsberechtigungen und Rollback — der Agent kann das Intake-Formular bauen und es für die Personen veröffentlichen, die es brauchen.
• Die Freigabehaltung ist eine Admin-Einstellung. Strict hält jeden Tool-Aufruf zur menschlichen Freigabe an; Auto (der Standard) blockiert Zugriffe auf private Netzwerke und prüft Inhalte; Dangerous entfernt die Schranken. Command-Policy-Regeln gelten in jeder Haltung als harte Verbote, und Agent-Aktionen werden im Audit-Log protokolliert. MCP-Server werden als geteilte Konnektoren registriert, und QM wendet seine eigenen Scope-Regeln an, bevor es deren Tools bereitstellt.

Was es kostet

Die Software kostet $0. Es gibt keine veröffentlichte Hosting-Schätzung, und wer eine Monatszahl nennt, rät über Ihre Workload. Die Rechnung hat vier Positionen: Cloud-Compute und Managed Postgres auf Fly.io oder AWS; das Sandbox-Backend (unterstützt werden E2B, Modal, Sprites und Smolmachines); Modell-Tokens, direkt von Ihrem Anbieter abgerechnet; und — die Position, die gern vergessen wird — der Platform Engineer, der Upgrades, Identität, Backups und Zugriffsprüfungen verantwortet. Release v0.1.13 (27. September 2026) brachte ein Admin-Dashboard für Ausgaben und Laufzeit-Overrides pro Cron, sodass die Token-Ausgaben zumindest innerhalb des Produkts sichtbar sind.

Zum Vergleich auf der gemanagten Seite: Dust Pro kostet €24 pro Seat und Monat bei jährlicher Abrechnung, Lindy Plus $29,99 pro Nutzer und Monat, und ein Standard-Seat in Claude Team $25 pro Monat. Bei 20 Seats sind das grob $500-$600 im Monat vor Mehrverbrauch. QM gewinnt beim Bargeld erst, wenn diese Seat-Positionen Ihre Hosting-Rechnung plus einen spürbaren Teil der Arbeitszeit eines Engineers übersteigen.

Am besten geeignet für

• Startups mit etwa 10-500 Personen und mindestens einem Platform Engineer, bereits Slack-first, die Ops-, Legal- und Finanzpersonal auf geteilte Agents bringen wollen, ohne Quellsysteme an eine Agent-Cloud eines Drittanbieters zu schicken
• RevOps- und Legal-Ops-Teams, die Channel-gebundene Agents brauchen — einen Agent für den Deal-Desk-Channel, einen Agent für den Vertragseingang — mit angebundenen Crons und Webhooks
• Teams, die OpenClaw bereits für Einzelpersonen betreiben und an dessen Grenze von einer Vertrauensgrenze pro Gateway gestoßen sind

Alternativen — und wann Sie stattdessen dazu greifen

• OpenClaw — nehmen Sie es, wenn der Agent für eine Person gedacht ist. Ein Daemon auf einem Laptop oder kleinen VPS ist weit weniger Betriebsaufwand als das Cloud-Deployment von QM, und laut eigener Dokumentation liegt ein geteiltes Team-Gateway ohnehin außerhalb des Designs.
• Dust — nehmen Sie es, wenn der Einkauf einen Anbieter zur Gegenzeichnung braucht. SOC 2 Type II, SSO, Datenresidenz in den USA/der EU und ein DPA im Enterprise-Plan beantworten Fragen, die QM an Sie zurückgibt.
• Claude Cowork und die Business-Pläne von ChatGPT — die Assistenten, die die meisten Unternehmen bereits lizenziert haben, und die Marktanteilsführer, an denen QM gemessen wird. Nehmen Sie sie, wenn Sie auf ein Modell-Lab standardisiert sind und niemand die Infrastruktur verantworten wird.
• Lindy — nehmen Sie es, wenn die Builder keine Engineers sind und ein gepooltes Credit-Modell leichter zu budgetieren ist als eine Cloud-Rechnung.
• QM ist selbst der am schnellsten wachsende Neuzugang hier, mit 15.000 Sternen in weniger als zwei Monaten — ein Grund, es zu pilotieren, und ein Grund, ein Release festzupinnen.

Worauf Sie achten sollten

• Das Projekt bezeichnet sich selbst als frühe, experimentelle Software. SECURITY.md sagt, das Designziel sei „not a promise that data cannot leak“ und kein Ersatz für eine deployment-spezifische Prüfung; die Releases liegen noch im Bereich 0.1.x und erscheinen wöchentlich. Absicherung: Pinnen Sie die Version von @yc-software/qm in Ihrem Deployment-Repository, nutzen Sie vor jedem Upgrade den Befehl plan, und führen Sie Ihre eigene Sicherheitsprüfung durch, bevor regulierte Daten fließen.
• Es schützt Sie nicht vor Ihrem eigenen Operator oder Ihren Admins. Das Bedrohungsmodell geht von einer Organisation authentifizierter interner Nutzer aus; Admins können sensible Scope-Inhalte lesen (protokolliert, nicht zustimmungspflichtig), und Sandbox-Zugangsdaten liegen während der Nutzung im Klartext vor. Absicherung: Beschränken Sie die Operator-Rolle auf ein oder zwei namentlich benannte Personen, legen Sie privilegierte Rechtsangelegenheiten in ein separates Deployment, und prüfen Sie das Admin-Audit-Log monatlich.
• Die Command Policy ist eine Bremsschwelle, keine Mauer. Das Projekt sagt das direkt, und Browser-Aktionen umgehen die Kern-Schranken und den Egress-Proxy. Absicherung: Starten Sie neue Scopes in der Haltung Strict mit Skills, die nur lesen oder nur Entwürfe erstellen, und wechseln Sie erst nach einigen Wochen geprüfter Läufe zu Auto.
• Kein Anbieter heißt kein SLA. YC Software pflegt es ohne veröffentlichte Support-Zusage, und Beiträge werden als schriftliche Vorschläge statt als Pull Requests erbeten. Absicherung: Planen Sie eine namentlich benannte verantwortliche Person mit fest eingeplanter Zeit für Upgrades ein, und wenn Sie diese Person nicht benennen können, kaufen Sie stattdessen Dust oder Cowork.