Zum Hauptinhalt springen

Shared-Login-Browser für KI-Agenten: das ego-lite-Muster

Fortgeschritten

Für den größten Teil von 2025 war die praktische Antwort auf „wie steuert mein Coding-Agent das Web?“ Playwright oder Puppeteer, in ein Tool gewickelt. Das funktioniert für skriptbare Flows, bricht aber an den interessanten Fällen — alles hinter einem Login, alles, was ein echtes Chrome-Profil braucht, alles, wofür du dich nicht bei jedem Lauf neu authentifizieren willst. Ein neueres Muster hat sich Mitte 2026 herausgebildet: ein Shared-Login-Browser, der neben deinen eigenen Tabs läuft, jedem Agenten seinen eigenen isolierten Workspace gibt und dir strukturierte Seiten-Snapshots statt rohem HTML zurückgibt. Am 24. Juli 2026 erreichte die Referenzimplementierung — citrolabs/ego-lite — die Spitze der GitHub-Trending-Liste, und jede große Agenten-CLI (Claude Code, Codex, Cursor, Kiro) bekam in derselben Woche Unterstützung.

Diese Seite ist die praktische Lesart auf dieses Muster: was es fixt, das Headless-Browser-Tools nicht fixen, wie es sich speziell in Claude Code einklinkt, und der Sicherheits-Trade-off, für den du dich anmeldest, sobald du einem Agenten deine Google-Session teilst.

What you'll learn
  • Verstehen, was ein ‚Shared-Login-Browser für Agenten' ist und warum er Headless-Playwright bei den interessanten Fällen schlägt
  • Sehen, wie Spaces Agenten-Tabs von deinen isolieren, ohne separate Profile zu starten
  • Lernen, was ein semantischer Snapshot zurückgibt (und warum er weniger Tokens braucht als ein DOM-Dump)
  • ego lite und seinen Skill mit zwei Befehlen in Claude Code installieren
  • Den echten Sicherheitspreis abwägen, einem Agenten deine eingeloggten Cookies zu übergeben — und wissen, was du NICHT tun sollst

Das Problem, das dieses Muster löst​

Jeder Agent, der je versucht hat, das Web zu durchsuchen, ist auf dieselben drei Mauern gestoßen:

  1. Login-Walls. Alles hinter SSO — GitHub, deine E-Mail, dein Projekt-Tracker, deine Bank — ist für ein frisches Playwright-Profil unsichtbar. Credentials in eine Agenten-Config zu speichern, um das zu umgehen, ist ein Sicherheitsbrand.
  2. DOM-Dumps sprengen das Token-Budget. Eine Google-Docs-Seite oder eine moderne React-App snapshotted zu Zehntausenden Tokens Rauschen. Das meiste davon ist Layout-Gerüst, das das Modell nicht braucht.
  3. Dein Chrome und das Chrome des Agenten kämpfen um dasselbe Fenster. Starte eine lange Browsing-Task, und entweder kannst du deinen Browser 20 Minuten nicht nutzen, oder die Tabs des Agenten stören deine Arbeit.

Der Ansatz von ego lite — und der Grund, warum sich dasselbe Muster jetzt ausbreitet — behandelt diese als ein Problem. Betreibe einen einzigen Custom-Chromium-Build. Gib dem User seine eigenen Tabs. Gib jedem Agenten seinen eigenen Space — einen isolierten Workspace mit eigenem Tab-Stack, der aber das Profil teilt. Emitiere semantische Snapshots statt rohem DOM. Alles bleibt lokal; kein separates Profil-Management, kein verschicktes HTML.

Spaces: wie die Isolierung tatsächlich funktioniert​

Aus der ego-lite-Dokumentation: „Spaces sind Workspaces, die sowohl du als auch dein Agent nutzen können. Gruppiere deine Tabs in deinem nach Projekt; dein Agent führt seine Aufgaben in seinem eigenen aus.“ Das wichtige Detail ist, was ein Space nicht ist — er ist kein separates Browser-Profil und kein separater Cookie-Jar. Er ist eine partitionierte Tab-Oberfläche, die dieselbe zugrundeliegende Session teilt. Das ist es, was Shared-Login zum Laufen bringt: wenn der Space des Agenten zu github.com navigiert, erbt er dieselben Auth-Cookies, die deine eingeloggten Tabs nutzen, ohne dass der Agent deine Credentials sehen oder speichern muss.

Die Isolierung liegt auf der UX- und Tab-Management-Ebene, nicht auf der Sicherheitsgrenze. Das ist die tragende Unterscheidung, die die meisten Reviewer übersehen. Sie ist der Grund, warum das Muster praktisch ist (Agenten funktionieren einfach auf deinen eingeloggten Sites), und sie ist auch der Grund, warum der Security-Abschnitt unten zählt (ein Agent, der in einem Space operiert, hat dieselben effektiven Privilegien wie du).

Watch out

Das Space-Modell teilt Session-Cookies by Design. Das ist der ganze Punkt — und das ganze Risiko. Alles, was ein kompromittierter oder prompt-injizierter Agent in seinem Space tun kann, kann er als du auf jeder Site tun, auf der du eingeloggt bist. Behandle „gib meinem Agenten einen Space“ als äquivalent zu „lass meinen Agenten als ich im Web handeln“ — denn genau das ist es.

Semantische Snapshots vs. rohes HTML​

Die andere Verschiebung ist, was der Agent liest, wenn er eine Seite „ansieht“. Playwright reicht dir ein DOM. ego lite reicht dem Modell einen semantischen Snapshot — eine strukturierte Zusammenfassung der interaktiven Elemente der Seite mit stabilen Refs, auf die du agieren kannst, aus einer Custom-Chromium-Engine erzeugt statt aus einem JavaScript-Shim auf Stock-Chrome. Die Anbieter-Behauptung ist, dass „komplexe Browser-Tasks bis zu 3,45× schneller fertig werden als agent-browser, bei weniger Tokens“ (lite.ego.app). Der genaue Multiplikator hängt von der Task ab; die Richtung — weniger Tokens, verlässlichere Ref-Aktionen über iframes und Shadow DOM — ist die dauerhafte Erkenntnis, und es ist derselbe Grund, warum Chrome DevTools' Accessibility Tree und die aufkommenden W3C-AI-orientierten-DOM-Vorschläge in dieselbe Richtung tendieren.

★ Warum das über ego lite hinaus zählt: die Idee „gib dem Modell einen semantischen View, keinen DOM-Dump“ wird sich verbreiten. Wenn du in den nächsten 12 Monaten irgendein Browser-für-Agenten-Tool bewertest, frag, welche Form der Snapshot hat. Ist es ein HTML-Dump, zahlst du dafür in jedem Turn-Token-Count. Ist es ein strukturierter, refbarer Snapshot, kann der Agent günstig darauf planen.

ego lite für Claude Code installieren​

Zwei Artefakte, zwei Befehle. Zuerst die Browser-App (ein Chromium-Build für macOS — Windows und Linux sind auf der Roadmap, aber Stand Ende Juli 2026 nicht ausgeliefert), dann der Skill, der deinen Agenten beibringt, mit ihm zu sprechen.

Guided walkthrough1 of 5
  1. Lade die .dmg von der Projektseite (Apple Silicon oder Intel) oder installiere über den dokumentierten Projekt-Flow. Der erste Start bietet die optionale Migration von Chrome-Logins, Cookies, Erweiterungen und Bookmarks in das ego-lite-Profil an.

Claude Code — klein anfangen: Agent führt eine einzelne authentifizierte Task in seinem eigenen Space aus

/ego-browser
Open my GitHub notifications tab. For each notification from the last 24 hours,
report: repo, kind (issue/PR/mention), title, and a one-line summary of the
newest comment. Do not click through, do not mark anything as read, do not
navigate away from the notifications page.

Beachte, was der Prompt tut: er definiert die Oberfläche (Notifications-Seite), den Read-only-Scope (report; nicht klicken; nichts markieren) und das Artefakt (eine strukturierte Liste). Jeder Prompt, den du einem Shared-Login-Agenten gibst, sollte diese drei Elemente haben, weil du ihn als dich selbst ausführst.

Was tatsächlich im ego-browser-Skill steckt​

Der Skill legt eine kleine Menge JavaScript-aufrufbarer Tools bereit, gegen die der Agent Snippets schreibt — navigate, snapshot, click, fill, wait, capture. Der Code-basierte Ansatz ist absichtlich: statt einer geschwätzigen Tool-Calling-Schleife, in der der Agent „bitte klicke Element ref-12“ fragt, schreibt der Agent einen JavaScript-Block, der mehrere Aktionen komponiert, und bekommt ein strukturiertes Ergebnis zurück. Daher stammt in der Praxis die Behauptung „weniger Turns, weniger Tokens“ — die Round-Trip-Zahl sinkt.

Du musst diese Snippets nicht selbst schreiben. Der Skill und das Modell tun es. Was du wissen solltest:

  • Jede Aktion wird gegen den letzten Snapshot referenziert. Wenn sich die Seite unter dem Agenten geändert hat, ist die Ref stale und das Tool errort — eine wichtige selbstkorrigierende Eigenschaft.
  • Der Skill enthält eine install.md in skills/ego-browser/references/ — ein guter Ort zum Lesen, wenn dein Agent klagt, er könne den Browser nicht finden.
  • Der MIT-lizenzierte Quellcode lebt unter citrolabs/ego-lite bei etwa 4,3k Stars Stand Ende Juli 2026, und dasselbe Repo hostet die ego-browser-Skill-Quellen.

Der Sicherheitspreis, für den du dich anmeldest​

Hier hören die meisten begeisterten Tweets auf und hier fängt das interessante Engineering an.

Einem Agenten einen Space zu geben, der deine eingeloggten Sessions erbt, ist funktional äquivalent dazu, ihm deine Session-Cookies zu geben. Alles, was die Same-Origin-Policy dir im Browser erlauben würde — in deinem Namen zu posten, Dokumente aus Google Drive zu exfiltrieren, Geld aus einer Banking-Session zu überweisen, einen externen Mitarbeiter zu einem privaten Repo einzuladen — liegt innerhalb der Fähigkeit des Agenten. Das ist kein Bug in ego lite; es ist das Wertversprechen. Die Sicherheitshaltung ist der Preis der Ergonomie.

Drei konkrete Praktiken reduzieren den Blast Radius, ohne den Gewinn aufzugeben:

  • Verschiedene Spaces für verschiedene Vertrauensstufen. Persönliches Google + E-Mail in einem Space. Work-SaaS in einem anderen. Alles Experimentelle oder Nicht-Vertrauenswürdige (beliebige URLs aus dem Internet) in einem dritten, der aus allem ausgeloggt wurde, was zählt.
  • Zeige einem Shared-Login-Agenten nie eine nicht-vertrauenswürdige URL, die du nicht selbst geholt hast. Die ganze Klasse indirekter Prompt-Injection-Angriffe landet hier am härtesten — eine Seite kann versteckte Anweisungen tragen, die den Agenten in eine Datenexfiltrationsaktion gegen deine anderen eingeloggten Sites lenken. Verwandt: Agentische Browser und Same-Origin-Risiko.
  • Read-only-Prompts als Default. Frag zuerst nach Zusammenfassungen und Listen. Führe Aktionen (Klicks, Formular-Fills) erst ein, nachdem du den Snapshot gesehen hast, über den der Agent argumentiert. Das ist dieselbe Disziplin, die autonome Läufe sicher macht.

Wohin dieses Muster geht​

Grok, Cursor und Kiro haben im selben Monat Shared-Browser-Integrationen hinzugefügt, und der zugrundeliegende Mechanismus — ein Custom-Chromium plus eine Skill-Schicht, die semantische Snapshots emittiert — wird wahrscheinlich standardisiert statt von einem Projekt allein besessen. Die interessante nahe-Zukunft-Frage ist nicht ob jeder Coding-Agent einen Shared-Browser-Modus bekommt; es ist, ob das Snapshot-Format konvergiert (sodass ein Agenten-Skill, geschrieben für einen Browser, auf einem anderen läuft) oder so fragmentiert wie frühe MCP-Server.

Das Konzept, das man festhalten sollte: der Browser wird zu einer geteilten Oberfläche zwischen Menschen und Agenten, nicht zwei separaten Browsern, die auf dieselben Seiten zeigen. Das formt neu, was „Computer-Nutzung“ kostet und worauf sie sicher gerichtet werden kann. Siehe auch Computer-Use-Agenten dafür, wie Claudes eigenes Browser-Control-Feature sich mit diesem Muster vergleicht.

Selbstcheck

0/4
  1. Was ist ein Space in ego lite?
  2. Warum schlägt ein semantischer Snapshot einen rohen DOM-Dump für Agenten-Arbeit?
  3. Was ist das primäre Sicherheitsrisiko eines Shared-Login-Browser-Agenten?
  4. Du willst ego lite zum ersten Mal mit Claude Code ausprobieren. Was ist der sicherste erste Prompt?
Key takeaways
  • Shared-Login-Browser geben Agenten ihren eigenen Space in deiner echten Browser-Session — sie lösen Login-Walls, DOM-Dump-Token-Kosten und Fenster-Konkurrenz in einem Design.
  • ego lite liefert dieses Muster heute für macOS; der ego-browser-Skill (npx skills add citrolabs/ego-lite) macht es für Claude Code, Codex, Cursor und Kiro verfügbar.
  • Semantische Snapshots senken die Per-Turn-Tokens und geben stabile Aktions-Refs; der exakte Multiplikator variiert, die Richtung ist die dauerhafte Erkenntnis.
  • Der Sicherheitspreis ist real: Ein Agent in einem Shared Space hat deine Privilegien auf jeder Site, auf der du eingeloggt bist. Nutze separate Spaces nach Vertrauensstufen, halte nicht-vertrauenswürdige URLs raus, bevorzuge zuerst Read-only-Prompts.
  • Das ist ein Muster, kein Produkt. Erwarte in den nächsten 6–12 Monaten Konvergenz auf ‚Browser als geteilte Oberfläche zwischen Menschen und Agenten' im gesamten Ökosystem.

Quellen & weiterführende Lektüre​