Workstream W3 · Angewandte Forschung

Lokale Drei-Ebenen-Agent-Workstation

Drei sehr unterschiedliche Agent-Workloads – ein interaktives kognitives Cockpit, eine agile Software-Engineering-Umgebung und eine autonome Long-Horizon-Fabrik – jeweils gepaart mit dem Framework und dem Open-Weight-Modell, dessen Architektur zum Kostenmodell des Workloads passt. Weil schon das kleinste tragfähige Modellpaar die 32 GB-Obergrenze überschreitet, baut das Design auf strikter Single-Residency: genau ein Modell resident, ein Tier-Wechsel tauscht es aus.

Design & Operator-SetupArchitektur und Fit gemessen · Durchsatz und Swap-Kosten als falsifizierbare Kriterien formuliert

++
15–24 GB
Jedes Modell passt allein mit Reserve auf die Karte – das kleinste Paar (33 GB) nicht.
Gemessen
1 residentes Modell
Strikte Single-Residency, durchgesetzt auf der Serving-Ebene; ein Tier-Wechsel tauscht das Modell.
Per Design
≤ 30 s / ≤ 3 s
Budgets für Cold-Swap und warmgehaltenen Wechsel je Tier-Wechsel – der benannte ergonomische Preis des Designs (A2).
Vorgeschlagen · prognostiziert
++
Kontext

Eine Karte. Drei Workloads.
Ein Modell für alles ist die falsche Optimierung.

Reasoning, Coding im Repository-Maßstab und unbeaufsichtigte Automatisierung belohnen drei verschiedene Architektureigenschaften – und bei Q4 passen keine zwei der relevanten Modelle zusammen in 32 GB.

Die Versuchung bei einer leistungsfähigen lokalen Karte ist, ein großes Modell für alles laufen zu lassen. Das ist die falsche Optimierung: Reasoning-lastige Recherche, Software-Engineering im Repository-Maßstab und unbeaufsichtigte Long-Horizon-Automatisierung belohnen drei verschiedene Architektureigenschaften – und alle zugleich zu bezahlen verschwendet VRAM wie Latenz. Die prägende Beschränkung ist der Speicher: Bei Q4 belegen die relevanten Open-Weight-Modelle je 15–24 GB, keine zwei passen also zusammen auf 32 GB. Das Design ko-lokiert deshalb keine Modelle; es time-multiplext ein einzelnes residentes Modell über drei Tiers – und investiert sein Engineering-Budget darin, das richtige Modell je Tier zu wählen und den Wechsel dazwischen günstig und sicher zu machen.

Das Setup arbeitet vor dem Hintergrund dreier Stränge der Systems-Literatur: lokalem Paged-Attention-Serving und der Memory-Bandwidth-Wall, Modell-Routing (jede Anfrage an das günstigste Modell schicken, das sie beantworten kann – hier über die Zeit auf einer Karte geroutet statt über eine Flotte) und dem Cold-Start-Problem des Serverless-LLM-Servings, dessen Checkpoint-Ladelatenz dieses Design nicht allgemein löst, sondern ehrlich budgetiert. Der Beitrag ist kein neues Serving-System: Es ist eine disziplinierte Operator-Komposition, die ein Solo-Operator auf Commodity-Hardware tatsächlich betreiben und durchdringen kann.

++
Architektur

Drei Tiers, dem Workload zugeordnet.

Jedes Tier paart einen Workload mit dem Agent-Framework und der Open-Weight-Modellklasse, deren Architektur zu ihm passt. Nur ein Modell ist zu jedem Zeitpunkt resident; ein Tier-Wechsel tauscht es.

Tier 1 · Cognitive cockpit everyday & research · reasoning, writing AgentHermes (Nous Research) ModelsR1-32B · Gemma4-31B Pays fortest-time compute Tier 2 · Agile dev env repo-scale reviews · multi-file edits AgentOpenCode · terminal-native Modelsqwen3-coder:30b (MoE) Pays forsparse activation Tier 3 · Autonomous factory unattended long-horizon jobs AgentOpenClaw · checkpointing ModelsDevstral Small 2 · Qwen3.6 Pays forsmall dense footprint STRICT SINGLE-RESIDENCY · exactly one model resident – a tier switch swaps it
Abbildung 1 – Agent- und Modellarchitektur auf den Workload matchen. Eine Karte, drei unterschiedliche Workloads.
T1
Reasoning → ein dichtes RL-trainiertes Reasoning-ModellDeepSeek-R1 investiert Test-Time-Compute in eine lange Chain-of-Thought und tauscht Tokens – und Latenz – gegen Korrektheit. Für Recherche lohnt das; die längere Zeit bis zur Antwort ist ein bewusster Design-Trade-off, kein Defekt. Fürs Drafting dient stattdessen ein flüssiger Generalist.
T2
Software-Engineering → ein Coding-MoESparse Routing aktiviert ~3,3B von 30,5B Parametern pro Token – Kompetenz eines schweren Modells bei Latenz eines leichten, 2–4× die Token-Rate eines vergleichbaren dichten Modells, mit langem nativem Kontext, damit Multi-File-Review den KV-Cache nicht ins Thrashing treibt.
T3
Long-Horizon → ein effizienter SpezialistFehlertolerante Orchestrierung und langer Kontext zählen mehr als Latenz; Devstrals kleiner Footprint lässt die meiste KV-Reserve für ausgedehnte Jobs.
Die vereinende Regel

Wähle die Architektur, deren Kostenmodell der Workload bezahlen kann – und gib VRAM oder Latenz nie für eine Eigenschaft aus, die das Tier nicht nutzt.

++
Gemessen

Jedes einzelne Modell passt.
Keine zwei zusammen.

Der Fit-Envelope, der das Design erzwingt – und die Swap-Kosten, die es sich dafür einhandelt: ehrlich benannt statt weggelassen.

Any single model fits – no two fit together (Q4 weights) Devstral Small 2 · ~15 GB · agentic-coding qwen3-coder:30b · ~18 GB · MoE ~3.3B active deepseek-r1:32b · ~19 GB · reasoning gemma4:31b · ~19 GB · dense, writing qwen3.6:35b · ~24 GB · MoE ~3B active 32 GB ceiling smallest pair – Devstral (15) + qwen3-coder (18) = 33 GB – already exceeds the ceiling → single-residency is the design, not a workaround enforced: OLLAMA_NUM_PARALLEL=1 · OLLAMA_MAX_LOADED_MODELS=1 – work queues; the resident model is unloaded before the next loads
Abbildung 2 – der Fit-Envelope, der das Design erzwingt.
Swap cost = unload + load + first token Tier A resident qwen3-coder · ~18 GB 1 · Unload LRU frees VRAM 2 · Load next stream from NVMe 3 · First token prompt · TTFT Tier B deepseek-r1 ~19 GB cold-start penalty ~10–30 s (weights stream from disk) · >3 s already reads as a stall – the real ergonomic tax, budgeted, not elided
Abbildung 3 – Single-Residency erkauft das „es passt“ zum Preis eines Cold-Swaps. Die Gegenmaßnahmen sind Teil des Designs: Keep-Alive für das meistgenutzte Tier, Pre-Warming vor einem absehbaren Wechsel.

Zwei ehrliche Einschränkungen bleiben. Es gibt keine echte Tier-übergreifende Parallelität: Ein unbeaufsichtigter Tier-3-Job hält die Karte, interaktive Arbeit wartet also, sofern der Operator nicht darum herum plant. Und CUDA-Speicherfragmentierung akkumuliert über wiederholte Load/Unload-Zyklen – freier zusammenhängender VRAM muss überwacht und der Server periodisch neu gestartet werden.

++
Envelope

Die Gewichte setzen die Untergrenze.
Der Rest ist Kontext-Budget.

Zwei Zahlen entscheiden, ob ein Tier nutzbar ist: wie schnell es generiert und wie viel Kontext es halten kann – und die zweite beschränkt das Design stärker, als die Modellgröße vermuten lässt.

Weights set the floor – the rest of 32 GB is the context budget (q8_0 KV roughly halves the pressure) Devstral · ~87 tok/s~17 GB → 256K feasible qwen3-coder · ~234→110 tok/s~14 GB → ~128–147K deepseek-r1 · ~52–94 tok/s~13 GB → ~47K, fills fast gemma4 · ~61 tok/s~13 GB → moderate qwen3.6 · ~110→234 tok/s~8 GB → short 32 GB the context ceiling is a per-tier budget, not a constant – the operator budgets context per tier rather than assuming a uniform ceiling
Abbildung 4 – indikative publizierte Werte für diese Modellklassen auf der RTX 5090 (Q4, Single Stream). Externe Benchmarks für die Architektur, keine eigenen Deployment-Messungen – genau das sind die Abnahmekriterien A2–A4.

Zwei Konsequenzen folgen. Die Generierung ist bandbreitenlimitiert: Ein MoE, das pro Token nur ~3B aktive Gewichte liest, hält 2–4× die Token-Rate eines dichten Modells ähnlicher Gesamtgröße – exakt der Grund, warum Coding- und Allrounder-Tier MoE nutzen und das dichte Reasoning-Modell pro Token am langsamsten ist. Und das frühere „passt mit Reserve“ wird präzisiert: Jedes Modell passt, aber der nutzbare Kontext je Tier unterscheidet sich deutlich.

++
Falsifizierbare Aussagen

Fünf Abnahmekriterien, A1–A5.

Ein Design- & Operator-Setup, keine vermessene Benchmark-Studie – die zentralen Aussagen sind deshalb als falsifizierbare Abnahmekriterien mit Instrumenten und Schwellen formuliert, in derselben Measured/Predicted-Disziplin wie die Schwester-Papers. Mit [vorgeschlagen] markierte Schwellen sind Defaults zur Bestätigung.

A1 Single-Residency ohne Kollision VRAM-Spitze und Host-RAM-Spill unter dem repräsentativen Workload jedes Tiers bei budgetiertem Kontext, per GPU-Speichertelemetrie über einen geskripteten Lauf aller drei Tiers. Bestanden: VRAM-Spitze mit Reserve unter der 32 GB-Obergrenze, null Spill auf jedem Tier. Falsifiziert, wenn: unter dem erklärten Kontext-Budget eines Tiers Spill oder OOM auftritt. Fit gemessen · Lauf ausstehend
A2 Begrenzte Swap-Kosten Cold-Swap-Latenz (Unload + Load + erstes Token) und Warm-Wechsel-Latenz über N wiederholte Wechsel, gemessen ab NVMe. Bestanden [vorgeschlagen]: medianer Cold-Swap ≤ 30 s bei diesen Modellgrößen; ein warmgehaltenes Tier wechselt in ≤ 3 s. Falsifiziert, wenn: die Swap-Latenz das Budget überschreitet – interaktives Tier-Wechseln unbrauchbar. Prognostiziert
A3 Durchsatz-Untergrenze je Tier Gehaltene Single-Stream-Generierung je Tier bei budgetiertem Kontext, unter NUM_PARALLEL=1. Bestanden [vorgeschlagen]: MoE-Tiers ≥ 100 tok/s; das dichte Reasoning-Tier ≥ 40 tok/s – über Lesegeschwindigkeit, unter bewusster Annahme des Reasoning-Latenz-Trades. Falsifiziert, wenn: ein Tier unter seine Nutzbarkeits-Untergrenze fällt. Prognostiziert
A4 Kontext-Budget je Tier realisiert Maximal nutzbarer Kontext je Tier ohne OOM unter q8_0-KV-Cache, per Kontextlängen-Sweep bis zur OOM-Grenze. Bestanden: Jedes Tier erreicht sein budgetiertes Kontextfenster – ~256K für das 15 GB-Devstral, ein kurzer Kontext für das 24 GB-qwen3.6 – ohne Spill. Falsifiziert, wenn: OOM unterhalb des budgetierten Kontexts auftritt. Prognostiziert
A5 Isolationswirksamkeit (Tier 3) Die Aussage, dass die Sandbox einen feindseligen autonomen Agenten einhegt – im Red-Teaming geprüft gegen die bekannten OpenClaw-Angriffsklassen (indirekte Prompt-Injection, die eine Aktion auslöst; ein bösartig importierter Skill; Sandbox-Escape-Versuche) unter dem gehärteten Container. Bestanden: null Netzwerk-Egress, null Sandbox-Escape, jede sensible Aktion freigabepflichtig. Nutzt die gehärtete W1-Sandbox direkt wieder. Falsifiziert, wenn: irgendein Containment-Bruch auftritt. Prognostiziert · tragend

Die Workstream-Hypothese: Single-Residency-Time-Multiplexing bedient drei Modell-Tiers in 32 GB ohne VRAM-Kollision, zu begrenzten, planbaren Swap-Kosten. Alle fünf Kriterien laufen auf demselben Single-GPU-Setup, air-gapped, plus dem Evaluierungs-Harness, den das Programm bereits enthält.

++
Sicherheit

Sicherheit wird verifiziert, nicht angenommen.

Das risikoreichste Tier ist Tier 3: ein unbeaufsichtigter, langlaufender, hochprivilegierter autonomer Agent – und für das gewählte Tooling ist das Risiko nicht hypothetisch. OpenClaws rasanter Aufstieg kam mit einer gravierenden, dokumentierten Sicherheitsbilanz: eine kritische Remote-Code-Execution-Lücke über einen unvalidierten lokalen WebSocket, eine verkettete Reihe von Sandbox-Escape- und Privilege-Escalation-Schwachstellen („Claw Chain“, Allowlist-Bypass mit CVSS 8,8) und ein Supply-Chain-Problem des Marketplace – ein unabhängiges Audit fand 341 bösartige Einträge unter 2.857 Skills. Sicherheit ist deshalb eine Querschnittsanforderung – am strengsten angewandt, wo Autonomie und Privilegien am höchsten sind, und durch Kriterium A5 verifiziert, nicht angenommen.

01
Nicht vertrauenswürdige eingehende DatenE-Mail, Web-Inhalte und Tool-Output gelten über alle Tiers als nicht vertrauenswürdig – die Standard-Gegenmaßnahme gegen indirekte Prompt-Injection, bei der der Angriff auf Daten reitet, die der Agent liest.
02
Bestätigungs-GatesSensible oder irreversible Aktionen verlangen explizite Bestätigung; auf dem unbeaufsichtigten Tier 3 ist das Äquivalent eine Allowlist erlaubter Aktionen plus Checkpoint-basiertes Rollback, wenn das Verhalten driftet.
03
Ausführungs-IsolationJede modellgesteuerte Ausführung läuft unter Container-Isolation – kein Netzwerk, non-root, read-only, seccomp – dasselbe gehärtete Substrat wie die Evaluierungs-Pipeline. Für Tier 3 ist das keine optionale Härtung, sondern die Vorbedingung, den Agenten überhaupt zu betreiben.
04
Memory- & Supply-Chain-IntegritätPersistente Memory und importierte Skills sind Angriffsflächen; Memory-Writes und Skills werden validiert, und Checkpoints liefern einen vertrauenswürdigen Zustand fürs Rollback.
Die ehrliche Position

Das Drei-Tier-Design ist nur in dem Maße sicher zu betreiben, wie die Isolationsschicht real ist – die Bequemlichkeit eines autonomen Hintergrund-Agenten ist exakt proportional zur Disziplin der Sandbox um ihn herum.

++
Angewandt

Drei Workloads, eine Karte, souverän.

Ein Solo-Operator, drei Agent-Workloads, eine Karte – souverän
  • Situation. Ein unabhängiger ML-Operator braucht einen interaktiven Recherche-Assistenten, einen Coding-Agenten im Repository-Maßstab und einen unbeaufsichtigten Overnight-Automatisierungsagenten – mit einer 32 GB-Karte, einer Datensouveränitäts-Auflage und ohne Budget für ein Multi-GPU-Rig oder Cloud-Abos je Workload.
  • Aufgabe. Alle drei auf der einen Karte betreiben, jedes mit einem Modell, dessen Architektur zu seinen Kosten passt – ohne VRAM-Kollisionen, mit planbarer Wechsel-Latenz und mit sicher eingehegtem unbeaufsichtigtem Agenten.
  • Vorgehen. Strikte Single-Residency konfigurieren; DeepSeek-R1/Gemma4 dem Tier 1, qwen3-coder dem Tier 2, Devstral dem Tier 3 zuweisen; das meistgenutzte Tier warmhalten; Kontext je Tier unter q8_0-KV-Cache budgetieren; jede modellgesteuerte Aktion in der gehärteten, netzlosen Sandbox ausführen.
  • Ergebnis. Drei leistungsfähige Agent-Workloads aus einer Commodity-Karte – getauscht statt ko-geladen, zu Wechselkosten, um die der Operator planen kann, mit einem Automatisierungs-Tier, dessen Sicherheit auf einer verifizierten Isolationsschicht ruht. Voll souverän, re-derivierbar aus der fixierten Konfiguration.
++
Ehrlichkeit

Limitationen – vorab benannt.

Vier Limitationen begrenzen die Aussagen
  • Keine echte Nebenläufigkeit. Strikte Single-Residency heißt: Ein unbeaufsichtigter Tier-3-Job blockiert interaktive Tier-1-Arbeit; Operatoren mit nahezu ständiger interaktiver Nutzung sollten die Variante „kleines Modell dauerhaft resident, großes getauscht“ bevorzugen – zum Preis im Fit-Budget.
  • Externe Performance-Zahlen. Die Envelope-Zahlen sind publizierte Benchmarks für diese Modellklassen, keine eigenen Deployment-Messungen – die operativen Aussagen gelten als prognostiziert, bis A2–A4 gelaufen sind.
  • Modellverfügbarkeit und Drift. Die konkreten Open-Weight-Modelle sind ein Schnappschuss von 2026; das Design ist ein Mapping von Workload auf Architekturklasse, das jeden einzelnen Checkpoint überlebt – aber exakte Footprints und Raten werden sich bewegen.
  • Sicherheit ist nur so real wie die Sandbox. Das Tier-3-Bedrohungsmodell wird durch Container-Isolation verteidigt, deren Wirksamkeit behauptet bleibt, bis A5 gegen die konkreten OpenClaw-Angriffsklassen gelaufen ist – ein Containment-Versagen dort würde die Aussage „sicher unbeaufsichtigt zu betreiben“ entwerten; deshalb ist A5 tragend und keine Formalie.
PinnedNUM_PARALLEL=1 · MAX_LOADED_MODELS=1 PinnedKV_CACHE_TYPE=q8_0 · FLASH_ATTENTION=1 Tier-Wechsel = Unload → Load → erstes Token