Magic Cloud: Hyperlambda, MCP und das Versprechen der sicheren Code-Ausführung
Instant SECURE Full Stack Apps and AI Agents
Auf einen Blick
- Was ist das?
- Magic generiert aus natürlicher Sprache Full-Stack-Anwendungen, führt Hyperlambda in einer Sandbox aus und stellt jeden Endpunkt als MCP-Tool bereit. Die Architektur ist ungewöhnlich, die Leistungsversprechen stammen aus eigener Messung.
- Für wen ist es gedacht?
- Wer eine auf SQL Server, MySQL, PostgreSQL oder MariaDB aufsetzende Backend-Plattform sucht, die auf eigener Hardware läuft und deren Endpunkte ein MCP-Client direkt als Tools nutzen kann, findet in Magic ein MIT-lizenziertes Projekt mit klarer Zielsetzung. Wer eine reine Frontend-Generierung wie bei Lovable oder Bolt erwartet, wird enttäuscht: Magic liefert primär Backend, Datenbank und API, nicht das UI.
- Darf ich es kommerziell nutzen?
- Ja. MIT ist eine freizügige Lizenz: Sie dürfen darauf aufbauende Software nutzen, verändern und verkaufen, solange Sie die Urheberrechts- und Lizenzhinweise beibehalten.
- Wird es noch gepflegt?
- Ja. Die letzten Commits kamen vor 3 Tagen.
- In welcher Sprache ist es geschrieben?
- Hauptsächlich C#, laut der Sprachstatistik von GitHub.
Die Antworten beruhen auf den GitHub-Daten des Projekts (zuletzt abgeglichen am 15. September 2026) und auf unserer Analyse. Sie sind keine Rechtsberatung.
TIEFGEHENDE OPEN-SOURCE-ANALYSE
Das Problem: Backend-Generierung ohne Vendor-Lock-in
Die meisten Werkzeuge, die aus einer Beschreibung eine Anwendung erzeugen, liefern ein Frontend und überlassen Datenbank, Authentifizierung und Rollen einem Backend-as-a-Service. Magic setzt an einer anderen Stelle an: Das Projekt beschreibt sich selbst als Open-Source-Alternative zu Lovable, Bolt und Replit, die das gesamte Backend mitbringt. Adressaten sind Entwickler und Teams, die eine bestehende MySQL-, PostgreSQL-, SQL Server- oder MariaDB-Schema-Struktur schnell mit einer abgesicherten CRUD-API versehen wollen, ohne die Daten auf fremde Infrastruktur zu verschieben. Der README nennt konkret CRM-Systeme, Admin-Panels, Buchungssysteme und interne Tools als Zielanwendungen. Dazu kommt ein zweiter Adressatenkreis: Wer einem MCP-fähigen Agenten wie Claude, Cursor oder Codex eigene Endpunkte als Tools bereitstellen will, bekommt diese Funktion über ein Plugin statt über eine separate Integrationsschicht.
Hyperlambda als ausführbare Struktur statt als Text
Der zentrale Mechanismus ist die Sprache Hyperlambda. Sie wird nicht als Text, sondern als AST erzeugt. Laut Projektbeschreibung analysiert Magic diesen Baum und weist das Ergebnis zurück, wenn er Funktionsaufrufe enthält, die nicht existieren. Das ist ein anderer Ansatz als bei Textgenerierung: Das Modell kann weiterhin logisch falschen Code produzieren, aber keine Funktion erfinden, die die Laufzeit nicht kennt. Die zweite Konsequenz betrifft die Angriffsfläche. Hyperlambda läuft in einer Sandbox ohne Dateisystemzugriff außerhalb dieser Sandbox, und einzelne Funktionen lassen sich über das RBAC-System freigeben oder sperren. Das Projekt behauptet, damit die einzige Sprache zu sein, die Aufrufe auf Ausführungsebene einschränkt. Ob das zutrifft, lässt sich aus dem Material nicht belegen. Der Mechanismus selbst ist aber nachvollziehbar beschrieben: Eine Whitelist von Funktionsnamen begrenzt, was eingereichter Code überhaupt aufrufen kann, unabhängig davon, wer ihn geschrieben hat.
Installation in einem Befehl und die Standardzugangsdaten
Der Einstieg ist knapp dokumentiert. Ein einzelner Befehl lädt eine Compose-Datei und startet den Stack:
curl -fsSL https://hyperlambda.dev/docker-compose.yaml | docker compose -f - up
Danach öffnet man localhost:5555, richtet die Instanz auf localhost:4444 und meldet sich mit root / root an. Diese beiden Ports sind im README klar benannt: 5555 für das Dashboard, 4444 für das Backend. Das Dashboard enthält laut Beschreibung Hyper IDE zum Bearbeiten, Ausführen und Wiederholen beliebiger Dateien, einen Playground zum Ausführen ohne vorheriges Speichern, SQL Studio für Abfragen und Schemaentwurf sowie den Endpoint Generator, der Tabellen in abgesicherte CRUD-Endpunkte übersetzt und fremde APIs aus OpenAPI-Spezifikationen importiert. Der Satz, den man beim Lesen mitnehmen sollte, lautet im Original: Once you save the code, you can test it. Es gibt also keinen Build- und Deploy-Schritt zwischen Änderung und Test. Das ist ein handfester Unterschied zu Werkzeugen, die erst veröffentlichen müssen.
Der MCP-Server: Endpunkte als Werkzeuge für Agenten
Mit installiertem mcp-Plugin wird jeder HTTP-Endpunkt im modules-Ordner zu einem Tool, das ein MCP-Client aufrufen kann. Die Verbindung entsteht über die URL, die das Dashboard oben anzeigt. Das ist architektonisch schlicht, aber wirksam: Es braucht keine zweite Beschreibungsebene, keine gepflegte Tool-Definition neben der API. Die API ist die Tool-Definition. Das Projekt nennt in diesem Zusammenhang eine Reduktion des Token-Verbrauchs um rund 80 Prozent und verlinkt einen eigenen Rechner. Diese Zahl stammt aus eigener Messung, eine Methodik ist im Material nicht angegeben. Wer den Wert als Argument gegenüber der Geschäftsleitung verwenden will, sollte ihn mit dem eigenen Endpunktbestand nachvollziehen. Unabhängig davon ist der Mechanismus selbst prüfbar: Endpunkte im modules-Verzeichnis werden exponiert, und die Freigabe läuft über die Rollen- und Rechteverwaltung, nicht über eine separate MCP-Konfiguration.
Grenzen: Frontend, Reifegrad und die Herkunft der Zahlen
Magic liefert nach eigener Darstellung Datenbank, API, Authentifizierung, RBAC und Hintergrundjobs. Das Frontend entsteht über React und Vite, wie das Dashboard-Badge im README zeigt. Wer eine fertige, designstarke Oberfläche erwartet, wird hier nicht bedient; der Schwerpunkt liegt eindeutig auf dem Backend. Ein zweiter Punkt betrifft die Leistungsangaben. Das Projekt nennt Hyperlambda rund 20x schneller als FastAPI oder Flask, etwa 50x schneller als LangChain und 100 bis 1.000x schneller als grafische Workflow-Werkzeuge. Diese Werte sind Eigenerhebungen ohne offengelegte Testmethodik. Sie mögen zutreffen, weil ein kompilierter .NET-Laufzeitstack gegenüber interpretierten JSON- oder YAML-Workflows systematisch im Vorteil ist. Als Einkaufsargument taugen sie trotzdem nicht, solange niemand sie unter reproduzierbaren Bedingungen nachvollzogen hat. Drittens ist die Dokumentationslage ungleich: Installation und Dashboard sind knapp und konkret beschrieben, die Sicherheitsgarantien stützen sich stark auf Aussagen des Projekts selbst, inklusive eines Kopfgeldangebots von 100 Dollar für einen schweren Fehler im Backend. Das ist eine Selbstauskunft, kein unabhängiger Test.
Abgrenzung zu n8n, Zapier und Make
Der Vergleich mit Workflow-Werkzeugen ist der aufschlussreichste im README, weil er einen echten Architekturunterschied benennt. n8n, Zapier und Make interpretieren Logik aus JSON, XML oder YAML. Magic führt dagegen kompilierten .NET-Code aus. Das erklärt den Abstand in den Leistungsangaben, auch wenn die konkreten Faktoren unbelegt bleiben. Der zweite Unterschied ist die Datenhoheit: Magic ist selbst hostbar, die genannten Workflow-Dienste nur teilweise, und die Lizenz ist MIT statt gemischt. Der dritte Unterschied ist der Funktionsumfang. Workflow-Werkzeuge verbinden bestehende Dienste; Magic erzeugt die Dienste selbst, samt Datenbankschema, Rollen und Endpunkten. Wer lediglich zwei SaaS-Produkte miteinander verkabeln will, ist mit einem Workflow-Werkzeug schneller bedient, weil dort keine Schemaverwaltung und kein Rollenmodell dazukommen. Wer dagegen eine eigene API über einer bestehenden Datenbank braucht, findet in Magic einen kürzeren Weg.
Wartung, Versionierung und Lizenz
Die veröffentlichten Releases zeigen einen engen Takt. v23.5.19 vom September 2026 behebt laut Titel einen Fehler beim Herunterladen referenzierter Dateien, v23.5.18 betrifft BOM-Zeichen im CSV-Slot, v23.5.17 die Migration von Systemnachrichten des AI-Funktionssystems beim Start. Das sind kleine, konkrete Korrekturen, keine Funktionssprünge. Wer Magic produktiv betreibt, muss mit häufigen Patch-Versionen rechnen und einen Weg haben, diese zeitnah einzuspielen, insbesondere wenn eine davon eine Sicherheitslücke schließt. Die Lizenz ist MIT. Das erlaubt kommerzielle Nutzung, Veränderung und Weitergabe, solange der Urheberrechtshinweis und der Lizenztext erhalten bleiben. Rechtliche Beratung ersetzt das nicht, und die Lizenz betrifft nur den Code im Repository, nicht etwaige externe Dienste, auf die die Dokumentation verweist.
Für wen sich der Aufwand lohnt
Der Endpoint Generator ist der Punkt, an dem sich die Entscheidung am schnellsten prüfen lässt. Wer eine vorhandene SQL-Datenbank besitzt und sehen will, ob daraus in einem Durchgang brauchbare, abgesicherte CRUD-Endpunkte werden, kann das mit der Compose-Datei und den beiden Ports 5555 und 4444 in kurzer Zeit selbst feststellen. Wer dagegen eine fertige Benutzeroberfläche sucht oder eine Anwendung ohne Datenbankbezug baut, findet hier keinen Vorteil. Der MCP-Pfad wiederum lohnt sich nur, wenn tatsächlich ein Agent auf die eigenen Endpunkte zugreifen soll; ohne MCP-Client bringt das Plugin nichts. Die Token-Ersparnis von rund 80 Prozent und die genannten Performance-Faktoren bleiben Eigenerhebungen des Projekts. Wer sie zur Grundlage einer Einführung machen will, muss sie mit dem eigenen Endpunktbestand und der eigenen Datenbank nachmessen, bevor er sie intern weitergibt.
Redaktionelles Fazit
Wer eine auf SQL Server, MySQL, PostgreSQL oder MariaDB aufsetzende Backend-Plattform sucht, die auf eigener Hardware läuft und deren Endpunkte ein MCP-Client direkt als Tools nutzen kann, findet in Magic ein MIT-lizenziertes Projekt mit klarer Zielsetzung. Wer eine reine Frontend-Generierung wie bei Lovable oder Bolt erwartet, wird enttäuscht: Magic liefert primär Backend, Datenbank und API, nicht das UI. Vor dem Einsatz sollte man die Docker-Compose-Datei unter hyperlambda.dev prüfen, die Standardzugangsdaten root/root sofort ersetzen und im Magische Backend-Repository verifizieren, welche Datenbank-Backends die eigene Version tatsächlich unterstützt. Die Performance-Zahlen von 20x gegenüber FastAPI und 50x gegenüber LangChain sind Eigenerhebungen ohne veröffentlichte Methodik; wer sie zur Entscheidungsgrundlage machen will, muss sie selbst nachmessen.
Community-Notizen