QM

O que é

QM — abreviação de Quartermaster — é o agent harness interno da Y Combinator, liberado como open source sob a licença MIT em 31 de julho de 2026. A YC o usa em todo o seu próprio trabalho de contabilidade, jurídico, eventos e engenharia, e o repositório público em github.com/yc-software/qm passou de 15.000 estrelas em dois meses. O post de lançamento no Hacker News chegou a 682 pontos e 163 comentários, com a maior parte da thread comparando o QM com OpenClaw, Hermes e Claude Cowork.

A escolha de design que o separa dessas ferramentas é ser multiplayer. O OpenClaw é o agente de uma pessoa, no Gateway de uma pessoa. O QM dá a cada funcionário um workspace de agente privado e dá a cada canal do Slack, DM em grupo e projeto o seu próprio agente compartilhado. Cada um desses escopos tem sua própria memória, arquivos, visão do keychain, permissões, crons, web apps e um sandbox durável, e os recursos ficam no escopo dono deles, a menos que alguém os compartilhe explicitamente. Um escopo de organização acima deles define padrões e tetos de política.

Não é um produto SaaS. Você o roda na sua própria conta de nuvem, com suas próprias chaves de modelo. qm init gera um repositório de deploy com Fly.io ou AWS (ECS Fargate mais Lambda MicroVMs) como destino; o core é TypeScript sobre Fastify, com Postgres para sessões, memória e a fila durável. O próprio loop do agente é plugável — Pi, OpenCode, Codex e Claude Code podem, cada um, conduzir o mesmo core —, então trocar de fornecedor de modelo é uma mudança de configuração, não uma migração.

Por que ele entra nas shortlists

• Agentes compartilhados sem um token de bot compartilhado. O jeito comum de um time “compartilhar” um agente é um único bot do Slack com um único conjunto de credenciais com o qual todo mundo pode falar. O QM mapeia a identidade do Slack para principals do QM, então o agente em #legal-intake age com as permissões daquele canal e o agente nas suas DMs age com as suas. Para um time jurídico ou financeiro, essa é a diferença entre um piloto que a segurança consegue aprovar e um que ela não consegue.
• Trabalho em segundo plano é cidadão de primeira classe. Crons reexecutam um prompt em uma agenda de calendário ou de polling, process watches reportam jobs de longa duração de volta para uma conversa, e webhooks de entrada permitem que um sistema externo dispare um turno com um evento verificado. Isso cobre os padrões de operação que importam — uma varredura semanal de higiene de pipeline, um monitoramento de renovação de contratos, um webhook do ATS que dispara resumos de candidatos — sem uma ferramenta de automação separada.
• Skills e apps são ativos compartilháveis. Skills são pacotes de instruções que pertencem a um escopo, compartilháveis por permissão e promovíveis para toda a organização, importáveis a partir do git. Apps são web apps internos com URL estável, versões imutáveis, permissões de acesso e rollback — o agente pode construir o formulário de intake e publicá-lo para as pessoas que precisam dele.
• A postura de aprovação é uma configuração de admin. Strict pausa cada chamada de ferramenta para aprovação humana; Auto (o padrão) bloqueia o acesso à rede privada e filtra conteúdo; Dangerous remove as travas. As regras de command policy se aplicam como negações rígidas em qualquer postura, e as ações dos agentes ficam registradas em log de auditoria. Servidores MCP se registram como conectores compartilhados, e o QM aplica suas próprias regras de escopo antes de expor as ferramentas deles.

Quanto custa

O software custa $0. Não há estimativa de hospedagem publicada, e quem cita um valor mensal está chutando sobre a sua carga de trabalho. A conta tem quatro linhas: computação em nuvem e Postgres gerenciado no Fly.io ou na AWS; o backend de sandbox (E2B, Modal, Sprites e Smolmachines são suportados); tokens de modelo, cobrados diretamente pelo seu provedor; e — a linha que o pessoal esquece — o engenheiro de plataforma responsável por upgrades, identidade, backups e revisões de acesso. A release v0.1.13 (27 de setembro de 2026) adicionou um dashboard de gastos para admins e overrides de runtime por cron, então o gasto com tokens pelo menos fica visível de dentro do produto.

Para comparar com o lado gerenciado: os seats Pro do Dust custam €24 por mês no plano anual, o Lindy Plus custa $29,99 por usuário por mês, e um seat standard do Claude Team custa $25 por mês. Com 20 seats, isso dá algo como $500-$600 por mês antes de excedentes. O QM ganha em dinheiro só quando essas linhas de seats superam a sua conta de hospedagem mais uma fatia relevante do tempo de um engenheiro.

Ideal para

• Startups de aproximadamente 10-500 pessoas com pelo menos um engenheiro de plataforma, já Slack-first, que querem o pessoal de operações, jurídico e financeiro usando agentes compartilhados sem mandar os sistemas de origem para a nuvem de agentes de um terceiro
• Times de RevOps e Legal Ops que precisam de agentes com escopo de canal — um agente no canal de deal desk, um agente de intake de contratos — com crons e webhooks acoplados
• Times que já rodam OpenClaw para indivíduos e bateram no limite de uma fronteira de confiança por Gateway

Alternativas — e quando escolhê-las

• OpenClaw — escolha quando o agente for para uma pessoa só. Um daemon em um notebook ou em uma VPS pequena dá muito menos trabalho de operar do que o deploy em nuvem do QM, e a própria documentação dele diz que um Gateway compartilhado pelo time está fora do design, de qualquer forma.
• Dust — escolha quando o time de compras precisar de um fornecedor que assine junto. SOC 2 Type II, SSO, residência de dados nos EUA/UE e um DPA no Enterprise respondem perguntas que o QM devolve para você.
• Claude Cowork e os planos business do ChatGPT — os assistentes que a maioria das empresas já licencia, e os líderes de market share com os quais o QM é comparado. Escolha-os quando você estiver padronizado em um único laboratório de modelos e ninguém for assumir a infraestrutura.
• Lindy — escolha quando quem constrói não for engenheiro e um modelo de créditos compartilhados for mais fácil de orçar do que uma conta de nuvem.
• O próprio QM é o entrante que mais cresce aqui, com 15.000 estrelas em menos de dois meses — um motivo para fazer um piloto, e um motivo para fixar uma release.

Pontos de atenção

• O projeto se descreve como software inicial e experimental. O SECURITY.md diz que seu objetivo de design é “not a promise that data cannot leak” e que não substitui uma revisão específica do deploy; as releases ainda estão na faixa 0.1.x e saem toda semana. Proteção: fixe a versão do @yc-software/qm no seu repositório de deploy, use o comando plan antes de cada upgrade e faça sua própria revisão de segurança antes de mover dados regulados.
• Ele não protege você do seu próprio operador ou dos seus admins. O modelo de ameaças assume uma organização de usuários internos autenticados; admins podem ler conteúdo sensível dos escopos (auditado, não condicionado a consentimento), e as credenciais do sandbox ficam em texto puro enquanto estão em uso. Proteção: limite o papel de operador a uma ou duas pessoas nomeadas, coloque assuntos jurídicos privilegiados em um deploy separado e revise o log de auditoria de admin todo mês.
• Command policy é um quebra-molas, não um muro. O projeto diz isso diretamente, e ações de navegador passam por fora das travas do core e do proxy de egress. Proteção: comece novos escopos na postura Strict com skills somente leitura ou somente rascunho, e passe para Auto só depois de algumas semanas de execuções revisadas.
• Sem fornecedor, sem SLA. A YC Software o mantém sem nenhum compromisso de suporte publicado, e contribuições são pedidas como propostas escritas em vez de pull requests. Proteção: reserve um responsável nomeado com tempo fixo para upgrades e, se você não conseguir nomear essa pessoa, compre Dust ou Cowork.