QwenPaw: persönlicher Assistent mit Sandbox, ReMe-Speicher und sieben Kanälen
Ihr persönlicher KI-Assistent; einfach zu installieren, auf Ihrem eigenen Computer oder in der Cloud bereitzustellen; unterstützt mehrere Chat-Apps mit leicht erweiterbaren Funktionen.
Auf einen Blick
- Was ist das?
- QwenPaw ist ein selbst hostbarer persönlicher Assistent aus der AgentScope-Organisation, mit Kernel-Sandbox, dreistufigem Speicher auf ReMe und Anbindung an DingTalk, Lark, WeChat, Discord, Telegram, iMessage und QQ. Die Einordnung folgt README und Releases bis v2.2.0-beta.3.
- Für wen ist es gedacht?
- QwenPaw passt zu Einzelpersonen und kleinen Teams, die einen Assistenten auf der eigenen Maschine oder im eigenen Container betreiben und darauf Wert legen, dass Verlauf und Dateien dort bleiben. Weniger passt es für Betriebe, die eine ruhige, geprüfte Linie brauchen: Die letzten erfassten Veröffentlichungen sind drei Betas von v2.2.0 innerhalb von zwei Tagen, und die Desktop-App ist ausdrücklich als Beta mit unvollständigen Tests ausgewiesen.
- Darf ich es kommerziell nutzen?
- Ja. Apache-2.0 ist eine freizügige Lizenz: Sie dürfen darauf aufbauende Software nutzen, verändern und verkaufen, solange Sie die Urheberrechts- und Lizenzhinweise beibehalten.
- Wird es noch gepflegt?
- Ja. Das Repository hat innerhalb des letzten Tages neue Commits erhalten.
- In welcher Sprache ist es geschrieben?
- Hauptsächlich Python, laut der Sprachstatistik von GitHub.
Die Antworten beruhen auf den GitHub-Daten des Projekts (zuletzt abgeglichen am 15. September 2026) und auf unserer Analyse. Sie sind keine Rechtsberatung.
TIEFGEHENDE OPEN-SOURCE-ANALYSE
Wofür QwenPaw steht: Qwen Personal Agent Workstation
QwenPaw ist ein persönlicher Assistent in Python aus der AgentScope-Organisation. Der Name steht laut README für Qwen Personal Agent Workstation, der Slogan lautet Works for you, grows with you. Die Repository-Beschreibung nennt einen Assistenten, der sich leicht installieren lässt, auf der eigenen Maschine oder in der Cloud läuft, mehrere Chat-Anwendungen anbindet und sich leicht erweitern lässt.
Die Einordnung hilft beim Lesen der Funktionstabelle. QwenPaw ist kein Framework, sondern ein fertiges Produkt, das auf AgentScope 2.0 aufsetzt. v2.0.0 vom 10. Juli 2026 wird im News-Bereich als komplette Neuentwicklung auf dieser Basis beschrieben.
Als letzte Veröffentlichungen erfasst sind v2.2.0-beta.1 vom 27. August 2026 sowie v2.2.0-beta.2 und v2.2.0-beta.3, beide vom 28. August 2026. Dass innerhalb von zwei Tagen drei Betas erscheinen, sagt etwas über das Tempo des Projekts.
Sieben Installationswege, von qwenpaw init --defaults bis Docker
Das README listet sieben Wege. Über pip verlangt QwenPaw Python zwischen 3.11 und 3.14; danach folgen qwenpaw init --defaults und qwenpaw app.
Ein Skript-Installer für macOS, Linux und Windows lädt uv, legt eine virtuelle Umgebung an und installiert Abhängigkeiten einschließlich Node.js und Frontend-Bestandteilen. Das README weist darauf hin, dass dieser Weg in eingeschränkten Netzwerkumgebungen scheitern kann.
Für Container gibt es Images auf Docker Hub unter agentscope/qwenpaw mit den Tags latest und pre, dazu einen Spiegel in der Alibaba Cloud Container Registry. Der Run-Befehl hängt drei Volumes ein, für Daten, Geheimnisse und Sicherungen.
Die restlichen Wege sind eine Ein-Klick-Bereitstellung auf Alibaba Cloud ECS, die gehostete AgentScope Platform unter platform.agentscope.io, ein Fork bei ModelScope Studio und eine mit Tauri gebaute Desktop-App für Windows 10 oder neuer sowie macOS 14 oder neuer. Zur Desktop-App nennt das README drei bekannte Einschränkungen: unvollständige Kompatibilitätstests, mögliche Leistungsprobleme und Funktionen in Entwicklung.
Ohne Schlüssel nur lokal: DASHSCOPE_API_KEY und QwenPaw-Flash
Wer ein Modell aus der Cloud anspricht, braucht einen Schlüssel, und ohne ihn tut QwenPaw laut README nichts. Genannt werden DashScope, OpenAI, Anthropic, Google Gemini, DeepSeek, Kimi und OpenRouter. Setzen lässt sich der Schlüssel in der Konsole unter http://127.0.0.1:8088/, über die Abfrage von qwenpaw init oder über die Umgebungsvariable DASHSCOPE_API_KEY.
Ohne Schlüssel bleibt der lokale Betrieb. Die eingebaute Laufzeit QwenPaw Local setzt auf llama.cpp und lädt Modelle auf Wunsch aus der Weboberfläche. Dazu kommen Ollama, das eine Kontextlänge von mindestens 32k verlangt, sowie LM Studio, bei dem der lokale Server eingeschaltet sein muss.
Eigene Modelle bringt das Projekt mit der Reihe QwenPaw-Flash mit: 2B, 4B und 9B Parameter, auf Agentenaufgaben trainiert, in Q4- und Q8-Quantisierung auf ModelScope und Hugging Face. Ob die kleinen Modelle für die eigenen Aufgaben reichen, lässt sich nur selbst feststellen. Vergleichszahlen zwischen den drei Größen nennt das Material nicht.
Sandbox, Tool Guard, File Guard und Skill Scanner
Der Sicherheitsteil des README geht am stärksten ins Einzelne und ist in vier Ebenen gegliedert.
Die Sandbox isoliert auf Kernel-Ebene: Seatbelt unter macOS, Bubblewrap oder Landlock unter Linux, AppContainer unter Windows. Shell-Befehle laufen in einer eingeschränkten Sicht auf das Dateisystem.
Tool Guard ist eine Regelengine in YAML. Der darin enthaltene ShellEvasionGuardian prüft jeden Werkzeugaufruf vor der Ausführung und soll Kommandoschleusung, Pfadtraversierung, Reverse-Shells und verschleierte Angriffe erkennen. Die Freigabestufen heißen STRICT, SMART, AUTO und OFF.
File Guard arbeitet unabhängig davon und sperrt den Zugriff auf sensible Dateien und Verzeichnisse, in der Voreinstellung ~/.qwenpaw.secret/ und ~/.ssh. Der Skill Scanner läuft, bevor ein Skill aktiviert wird, mit den Modi block, warn und off sowie einer Positivliste, und soll Prompt-Injection, hartkodierte Geheimnisse und Datenabfluss erkennen. Wie zuverlässig diese Erkennung arbeitet, belegt das Material nicht.
Scroll Context und die drei Speicherebenen mit ReMe
Das Speichermodell hat drei Ebenen: ein Arbeitskontext für das laufende Gespräch, eine vollständige wörtliche Historie und eine Wissensbasis, die sich selbst weiterentwickelt. Letztere stützt sich auf ReMe, ein eigenes Projekt derselben Organisation. Gespräche und Ressourcen werden laut README fortlaufend in Markdown überführt, das lesbar, bearbeitbar, durchsuchbar und verknüpft ist.
Mit v2.0.0 kam Scroll Context hinzu. Die Release Notes beschreiben es so: Jede Runde wird gespeichert, ausgelagerte Runden werden für den Abruf bei Bedarf erschlossen, und es wird nichts wegverdichtet. Das ist eine Abkehr von der sonst üblichen Zusammenfassung älterer Runden.
Was das im Betrieb kostet, steht nicht im Material. Eine Historie, die nicht verdichtet wird, wächst, und wie QwenPaw mit sehr langen Verläufen umgeht, wenn der Kontext des Modells voll ist, ist der Dokumentation zu entnehmen, nicht der Übersichtsseite.
Agent OS, Loop Engineering und Coding Mode in QwenPaw 2.x
Mit v2.0.0 führte QwenPaw die Agent-OS-Architektur ein. Pro Agent gibt es drei Säulen: Ressourcen, die auf der Platte durchsichtig liegen, eine Steuerung mit den Zuständen erlauben, ablehnen, nachfragen und Sandbox, sowie eine Sandbox für macOS, Linux und Windows. Die Treiberschicht bindet MCP, A2A und ACP protokollneutral an, mit verschlüsselten Zugangsdaten und einer Richtlinienprüfung pro Aufruf.
Loop Engineering nennt das README fortgeschrittene Vorlagen für die Agentenschleife. Genannt werden ein Coding Mode und ein Mission Mode, mit zusammensetzbaren Freigabetoren. Coding Mode ist eine dreiteilige Weboberfläche aus Dateibaum, Diff-Vorschau und Unterhaltung, mit Sprung zur Definition, Referenzsuche und strukturierter Codesuche.
In der Roadmap stehen Mehrfachmodellwechsel als in Arbeit sowie Kompatibilität mit bestehenden Agenten wie Claude Code, Gruppenchat und eine Darstellung von Unteragenten als geplant. Was daraus verbindlich folgt, bleibt offen.
Eine Instanz, sieben Kanäle, drei Oberflächen
Eine Instanz erreicht laut Funktionstabelle DingTalk, Lark, WeChat, Discord, Telegram, iMessage und QQ. Direkt zugreifen lässt sich über die Browser-Konsole, über eine Vollbild-Oberfläche im Terminal und über die Desktop-App.
Das Terminal-Interface bedient denselben Agenten, denselben Speicher, dieselben Skills, dieselben MCP-Werkzeuge und dieselben Sitzungen wie die Konsole. Es liefert gestreamte Antworten, Slash-Befehle, das Einfügen von Dateien als Anhänge und Rückfragen zu Berechtigungen direkt in der Zeile.
Beim Datenschutz ist das README deutlich: Bei lokaler Ausführung bleiben die Daten auf der eigenen Maschine, ohne Hosting durch Dritte und ohne Upload. Telemetrie gibt es dennoch. Sie wird während qwenpaw init erhoben und umfasst Version, Installationsweg, Betriebssystem samt Version, Python-Version, Prozessorarchitektur und Grafikverfügbarkeit. Persönliche Daten, Dateien, Zugangsdaten, Adressen und Kennungen sollen nicht erfasst werden. Die interaktive Initialisierung fragt um Zustimmung, während der Schalter --defaults die Telemetrie automatisch annimmt.
Alternative: das AgentScope-Framework, auf dem QwenPaw aufbaut
Die Alternative liegt in derselben Organisation: das Framework AgentScope. Es liefert ReAct-Schleife, Toolkit, Modell- und Kontextbausteine, Sandbox-Backends und Rechteprüfung als Bibliothek, dazu einen FastAPI-Dienst unter examples/agent_service. QwenPaw ist das fertige Produkt darauf, mit Kanälen, Speicher, Oberflächen und Sicherheitsregeln, die schon verdrahtet sind.
Wer etwas Eigenes mit ungewöhnlichem Ablauf baut, kommt mit dem Framework weiter, weil er die Schleife selbst gestaltet. Wer einen Assistenten sucht, der auf Telegram antwortet und dessen Verlauf auf der eigenen Platte bleibt, spart mit QwenPaw den Aufbau, zahlt dafür mit Strukturvorgaben, die man nicht gewählt hat.
Ein Punkt bleibt für den Betrieb: Die Container-Images erscheinen unter den Tags latest und pre, und die letzte erfasste stabile Linie ist v2.1.0 vom 13. August 2026. Wer produziert, sollte sich zwischen latest, pre und einer festen Version festlegen, statt dem beweglichen Zeiger zu folgen.
Redaktionelles Fazit
QwenPaw passt zu Einzelpersonen und kleinen Teams, die einen Assistenten auf der eigenen Maschine oder im eigenen Container betreiben und darauf Wert legen, dass Verlauf und Dateien dort bleiben. Weniger passt es für Betriebe, die eine ruhige, geprüfte Linie brauchen: Die letzten erfassten Veröffentlichungen sind drei Betas von v2.2.0 innerhalb von zwei Tagen, und die Desktop-App ist ausdrücklich als Beta mit unvollständigen Tests ausgewiesen. Wer einsteigt, nimmt den pip-Weg mit qwenpaw init --defaults und qwenpaw app, setzt den Schlüssel über die Konsole auf 127.0.0.1:8088 und prüft, ob File Guard und Skill Scanner bei den eigenen Dateien so greifen wie erwartet. Die Apache-2.0-Lizenz erlaubt kommerzielle Nutzung samt Patentklausel; wer Telemetrie vermeiden will, darf --defaults nicht verwenden.
Community-Notizen