Codex Fernsteuerung, Agent RCE-Härtung, Copilot-Sitzungs-Hooks und Microsoft Agent Framework 1.5

[00:00] Codex 0.130.0 bietet Operatoren von Coding-Agents eine sauberere Kontrollebene. Das Hauptfeature ist codex remote-control, ein einfacherer Einstiegspunkt zum Starten eines headless App-Servers, der ferngesteuert werden kann. Das ist wichtig, weil Coding-Agents nicht mehr nur Terminal-Tools sind. Sie sind App-Server-Sessions mit Threads, Konfigurations-Snapshots, Plugin-Oberflächen, Review-Events, Dateiansichten und Remote-Clients, die möglicherweise Arbeit inspizieren oder fortsetzen müssen, ohne sich im ursprünglichen Terminal zu befinden. Dieses Release fügt außerdem seitenweise Thread-Ansichten, Plugin-Hook-Metadaten, besseres Live-Config-Refresh, genauere Turn-Diffs nach partiellen Patch-Fehlern, Multi-Environment-Bildauflösung und detailliertere Telemetrie zum Debuggen von Review-Pfaden hinzu.

[02:00] STORY 1 — OpenAI Codex 0.130.0 Fügt Remote-Control App-Server, Paged Thread Views, Plugin-Hook-Sichtbarkeit und Bessere Zustandsreparatur Hinzu Beginnen wir mit dem remote-control-Einstiegspunkt. Ein headless App-Server ist ein anderes operatives Objekt als ein Einmal-CLI-Aufruf. Der Server verwaltet Sessions, Threads, Konfiguration, Umgebungsauswahl, Tool-Ausführung und Client-Verbindungen. Das Hinzufügen eines Top-Level-codex remote-control-Befehls reduziert die Reibung für das direkte Starten dieser Kontrollebene. Für Builder, die Coding-Agents in Dashboards, IDEs, Browser-Clients oder Remote-Entwicklungsmaschinen einbetten, ist das die Oberfläche, die einen lokalen Assistenten in einen Service-Endpunkt verwandelt.

Der wichtige Mechanismus ist die Trennung von Kontrolle und Arbeit. Der App-Server kann eine Coding-Session am Leben halten, während ein Client sich wieder verbindet, durch einen großen Thread blättert, eine Zusammenfassungsansicht öffnet oder nur bei Bedarf eine vollständige Elementansicht anfordert. Codex 0.130.0 fügt Large-Thread-Paging hinzu, wo Clients ungeladene, zusammengefasste oder vollständige Turn-Elementansichten anfordern können. Das ist nicht nur UI-Politur. Agent-Threads können riesig werden, weil sie Benutzer-Turns, Modell-Turns, Tool-Aufrufe, Diffs, Dateireferenzen, Genehmigungen, Bilder und komprimierte Zusammenfassungen enthalten. Alles in jeden Client zu laden verschwendet Speicher, erhöht Latenz und macht Remote-Clients fragil.

Eine paged Thread-API gibt dem App-Server Raum, Thread-Materialisierung als Vertrag zu behandeln. Ein ungeladenes Element kann Reihenfolge und Identität bewahren, ohne Payload zu übertragen. Ein zusammengefasstes Element kann genug Kontext für Navigation bieten. Ein vollständiger Turn kann abgerufen werden, wenn der Benutzer die Details öffnet. Dieses Muster ist von Logs, Traces und Issue-Timelines bekannt, und Coding-Agents benötigen es jetzt, weil ihre Transkripte operative Aufzeichnungen sind, nicht nur Chat-Text.

Plugin-Details zeigen jetzt gebündelte Hooks, und Plugin-Sharing exponiert Link-Metadaten plus Entdeckbarkeits-Kontrollen. Hooks sind Teil des tatsächlichen Runtime-Verhaltens eines Plugins. Wenn ein Plugin Startup modifizieren, einen Tool-Aufruf beobachten, einen Befehl bereitstellen oder am Review teilnehmen kann, müssen Operatoren das sehen, bevor sie es installieren oder teilen. Hooks in einem Package zu verstecken macht Plugin-Review zu Raterei. Sie in Plugin-Details zu zeigen macht die Ausführungsfläche überprüfbar.

Das Release repariert auch das Live-App-Server-Konfigurationsverhalten. Live App-Server-Threads nehmen jetzt Config-Änderungen auf, ohne einen Neustart zu erfordern. In einer Agent-Runtime kann Konfiguration Modellwahlen, Genehmigungsrichtlinien, Provider-Einstellungen, Tool-Verfügbarkeit, Plugin-Status, Umgebungsauswahl und Telemetrie-Optionen umfassen. Wenn ein langlaufender Thread veraltete Config weiterverwendet, könnten Operatoren glauben, sie hätten Richtlinie geändert, während ein aktiver Agent mit alten Einstellungen fortfährt. Live-Threads aus dem neuesten Config-Snapshot zu aktualisieren macht Richtlinienänderungen dort wirksam, wo Arbeit passiert.

Turn-Diffs bekommen eine besonders praktische Reparatur. Codex hält Diffs jetzt akkurat über apply_patch-Operationen, einschließlich partieller Fehler, die Dateien trotzdem mutiert haben. Dieser Fehlermodus ist relevant. Ein Patch kann in der Mitte fehlschlagen, aber trotzdem einen Teil einer Datei ändern. Wenn die Runtime danach den falschen Diff meldet, kann der Benutzer der Review-Ansicht, dem Rollback-Logik oder dem Audit-Trail nicht vertrauen. Operations-basiertes Diff-Tracking ist die richtige Richtung: Aufzeichnen, was die Operation tatsächlich geändert hat, nicht was der ideale Patch hätte ändern sollen.

ThreadStore-Fixes verbessern Zusammenfassungen, Umbenennungen, Resume und Fork-Pfade, einschließlich Threads ohne lokale Rollout-Pfade. Das bedeutet, die Thread-Storage-Schicht wird zur Quelle der Wahrheit für mehr Lifecycle-Operationen. Resume und Fork sind besonders wichtig für Coding-Agents, weil ein Benutzer eine Investigation verzweigen, eine fehlgeschlagene Ausführung fortsetzen oder einen Thread von einem Remote-Client öffnen möchte, dem der ursprüngliche lokale Rollout-Pfad fehlt. Wenn Thread-Identität zu stark vom lokalen Dateisystem-Zustand abhängt, brechen Remote- und Headless-Workflows.

Remote Compaction bekommt ebenfalls Stream-Contract-Fixes. Codex sendet jetzt response.processed für v2-Streams und vermeidet das Senden von service_tier bei API-Key-Compact-Requests. Compaction ist, wie lange Sessions nutzbar bleiben, aber Remote Compaction muss dieselbe Event-Sprache sprechen wie der Rest des App-Servers. Ein fehlendes processed-Event kann Clients warten lassen auf einen Terminal-State. Das Senden nicht unterstützter Felder auf einem Compact-Request kann nur den Compaction-Pfad brechen, während normale Turns weiter funktionieren, was schwer zu diagnostizieren ist.

Multi-Environment-Support zeigt sich in view_image, das jetzt Dateien durch die gewählte Umgebung auflösen kann. Coding-Agents operieren oft über Host, Container, Sandbox, Remote-Workspace oder gemountetes Projekt hinweg. Ein Bildpfad ist nicht bedeutsam, es sei denn, die Runtime weiß, welche Umgebung ihn besitzt. Die Auflösung durch die gewählte Umgebung verhindert, dass ein Client versehentlich das falsche Dateisystem betrachtet oder ein Artefakt nicht anzeigen kann, das innerhalb der aktiven Sandbox existiert.

Bedrock-Authentifizierung akzeptiert jetzt AWS-Konsolen-Login-Credentials aus aws login-Profilen. Das ist eine Operator-Komfortfunktion mit echtem Deployment-Impact. Viele Teams verwalten AWS-Zugriff bereits durch profilbasierte Flows. Codex diese Profile nutzen zu lassen reduziert doppelte Credential-Pfade und bringt die Modell-Provider-Authentifizierung mit existierenden Cloud-Zugriffskontrollen in Einklang.

Die Telemetrie-Änderungen sind nützlich für Production-Debugging. Codex fügt konfigurierbares OpenTelemetry-Trace-Metadaten und reichhaltigere Review- und Feedback-Analytik hinzu. Review-Events sind ein Kernbestandteil der Coding-Agent-Sicherheit. Wenn ein Befehl genehmigt, abgelehnt, wiederholt oder eskaliert wurde, brauchen Operatoren genug Trace-Kontext, um zu verstehen warum. Gute Telemetrie sollte Session, Turn, Tool-Aufruf, Genehmigungsentscheidung, Modell-Request und benutzer-sichtbares Ergebnis verbinden, ohne Secrets zu leaken.

Die praktische Empfehlung ist, Codex App-Server-Deployments wie Service-Deployments zu behandeln. Die Version pinnen, remote-control bewusst starten, dokumentieren welche Clients sich verbinden können, Plugin-Hooks vor dem Teilen prüfen, Live-Config-Refresh-Verhalten im Auge behalten und Patch-Fehler-Fälle testen. Das Release geht nicht nur um neue Befehle; es geht darum, einen Coding-Agent kontrollierbar, inspizierbar und wiederherstellbar zu machen, wenn Sessions groß werden und Remote laufen.

[16:00] STORY 2 — Microsofts Semantic Kernel RCE-Forschung Verwandelt Prompt Injection in eine Tool-Ausführungs-Grenzen-Lektion Microsofts Security-Post ist eine direkte Erinnerung, dass Prompt Injection gefährlicher wird, wenn Sprache mit Tools verdrahtet ist. Das Modell ist nicht die verwundbare Komponente in der Fallstudie. Das Modell empfängt Text, entscheidet, ein Tool aufzurufen, und füllt Tool-Argumente. Die verwundbare Grenze ist das Framework und Plugin-Code, das diesen Argumenten vertraut und sie in ausführbares Host-Verhalten verwandelt.

Das erste offenbarte Problem zentriert sich auf Semantic Kernels In-Memory Vector Store-Suchpfad. Das Beispiel-Plugin exponiert eine Hotel-Suchfunktion. Ein Benutzer fragt nach Hotels in einer Stadt. Das Modell ruft das Such-Plugin mit einem city-Argument auf. Das Plugin baut einen deterministischen Filter, um den Datensatz vor Vektorähnlichkeit einzugrenzen. Der riskante Schritt ist, dass ein modellkontrolliertes Argument in einen Python Lambda-Ausdruck interpoliert und dann mit eval() ausgeführt wird.

Das ist die Ausführungsgrenze. Ein normaler Stadtwert wird zum Filterausdruck. Ein bösartiger Wert kann ein Anführungszeichen schließen und Python-Logik anhängen. Die Prompt Injection braucht keinen Browser-Exploit, kein bösartiges Attachment und keinen Memory Corruption. Sie braucht, dass das Agent-Framework einen sprachabgeleiteten Parameter nimmt und ihn in einen ausführbaren Ausdruck platziert. Sobald das passiert, ist Prompt Injection zu Code Injection geworden.

Der versuchte Mitigationsansatz nutzte AST-Validierung und eine eingeschränkte builtins-Umgebung. Auf hoher Ebene erlaubte der Validator Lambda-Ausdrücke, scannte Namen und Attribute nach gefährlichen Identifikatoren und führte mit entfernten __builtins__ aus. Das klingt vernünftig, aber dynamische Sprachen machen Blocklists fragil. Microsofts Researcher umgingen den Filter, ohne direkt die offensichtlichen blockierten Namen zu verwenden. Die Payload durchquerte Python-Objektstrukturen, um Import-Machinery zu lokalisieren und über alternative Attribute Systemkommandoausführung zu erreichen.

Die Lektion ist nicht einfach „verwende kein eval." Die breitere Lektion ist, dass Tool-Call-Argumente nicht vertrauenswürdige Inputs sind, selbst wenn sie von einem Modell kamen, selbst wenn der Benutzer nicht direkt Code eintippte, und selbst wenn das Schema sagt, das Feld sei ein Städtename. Ein Modell kann dazu verleitet werden, angreifergesteuerte Strings in jedes Argument zu platzieren, das es füllen darf. Wenn das Tool dann diesen String als Code, Abfragesprache, Shell-Befehl, Dateipfad oder Template interpretiert, hat das Framework einen Injection-Sink geschaffen.

Vektor-Suche macht dies leicht zu unterschätzen, weil es sich wie Retrieval-Infrastruktur anfühlt statt wie Code-Ausführung. Aber Vektor-Stores unterstützen oft Metadaten-Filter, Ausdruckssprachen, benutzerdefinierte Prädikate, Embedding-Prefilter, Reranker und Connector-spezifische Abfrage-Strings. Jedes einzelne davon kann zu einer Injection-Grenze werden, wenn Benutzer- oder modellkontrollierte Werte in einen interpretierten Ausdruck konkateniert werden. Sichere Gestaltung bedeutet normalerweise parametrisierte Filter, typisierte DSLs, allowlistierte Operatoren und Validierung, die unerwartete Struktur vor Ausführung zurückweist.

Eine robuste Lösung sollte String-Code-Konstruktion aus dem Standardpfad entfernen. Statt einen Lambda-String zu generieren, kann ein Framework ein Prädikat aus typisierten Feldern und Operatoren aufbauen. Zum Beispiel sollte field equals value Daten sein, kein Quellcode. Wenn eine Filter-Sprache unvermeidlich ist, sollte die Runtime in einen eingeschränkten AST parsen und mit einem Interpreter evaluieren, der nur die erlaubten Operationen versteht. Sie sollte nicht den Host-Sprachen-Evaluator aufrufen und danach versuchen, gefährliches Verhalten zu blockieren.

Das Least-Privilege-Prinzip ist ebenfalls wichtig. Such-Plugins sollten nicht mit denselben Dateisystem-, Prozess- und Netzwerkberechtigungen wie die Host-Anwendung ausgeführt werden, wenn sie diese nicht benötigen. Ein Hotel-Suchprädikat benötigt keinen Shell-Zugriff. Wenn ein Framework-Bug einen Filter zur Codeausführung umwandelt, bestimmen Sandbox und Prozessberechtigungen die Schadensreichweite. Agent-Frameworks sollten Plugin-Ausführung isolieren, Umgebungsvariablen einschränken, keine Anmeldedaten an generische Tool-Prozesse weitergeben und Tool-Parameter sorgfältig genug protokollieren, um Incident Response zu ermöglichen.

Die Erkennung ist praktikabel. Teams, die Agent-Frameworks verwenden, sollten Tools erfassen, die Vorlagen, Filter, Shell-Befehle, Notebook-Zellen, Python-Snippets, JavaScript-Snippets, SQL oder Dateioperationen ausführen. Sie sollten nach modellgesteuerten Werten suchen, die an diese Interpreter übergeben werden. Sie sollten Semantic Kernel und zugehörige Pakete patchen, aber auch benutzerdefinierte Plugins überprüfen, da dasselbe Muster in Anwendungscode vorkommt. Prompt-Injection-Sicherheit ist nicht nur ein Problem der Modellauswertung; es ist Eingabevalidierung und Ausführungsisolation für Tool-Laufzeiten.

Die Empfehlung für Betreiber ist klar: Jedes Agent-Tool ist ein API-Endpunkt, dessen Aufrufer teilweise vom Modell gesteuert wird. Behandeln Sie Tool-Schemata als externe API-Verträge. Validieren Sie Eingaben an der Tool-Grenze. Bevorzugen Sie typisierte Datenstrukturen gegenüber interpretierten Zeichenketten. Halten Sie Plugin-Berechtigungen eng. Protokollieren Sie ausreichend, um rekonstruieren zu können, welches Prompt welche Tool-Argumente verursacht hat. Und testen Sie Prompt-Injection, indem Sie versuchen, den Agenten dazu zu zwingen, feindliche Parameter an Tools zu übergeben – nicht nur durch Überprüfen, ob das Modell unsichere Wörter sagt.

[28:00] GESCHICHTE 3 — GitHub Copilot SDK fügt Plan-Genehmigung und Rate-Limit-Modus-Hooks sowie plattformübergreifende Diagnose hinzu Das Copilot SDK Pre-Release vom 8. Mai dreht sich um das Einbetten von Agent-Sitzungen in Produkte mit expliziterer Laufzeitsteuerung. Anwendungen können jetzt Callbacks für exitPlanMode.request und autoModeSwitch.request registrieren. Diese Ereignisse sind wichtig, weil Planmodus und automatischer Modellwechsel Produktentscheidungen sind, nicht nur Modellentscheidungen.

Der Planmodus ist eine Grenze zwischen dem Vorschlagen von Arbeit und dem Ausführen von Arbeit. In einem eingebetteten Coding-Agenten möchte die Anwendung möglicherweise, dass ein Mensch den Plan genehmigt, eine Policy-Engine ihn überprüft oder eine projektspezifische Regel bestimmte Änderungen blockiert. Die neuen Handler ermöglichen es Anwendungen zu entscheiden, ob eine Exit-Plan-Mode-Anfrage genehmigt wird. Das gibt dem Host-Produkt einen klaren interception point, bevor die Laufzeit von der Planung in die Ausführung übergeht.

Automatischer Modellwechsel nach Rate-Limits ist eine andere Art von Grenze. Eine Laufzeit möchte möglicherweise von Rate-Limit-Ereignissen durch Wechsel zu einem anderen Modell oder Modus erholen. Das kann die Kontinuität bewahren, aber auch Verhalten, Kosten, Latenz oder Fähigkeiten ändern. Der autoModeSwitch.request-Handler ermöglicht es der Anwendung zu entscheiden, ob sie diesen Wechsel akzeptiert. Für Enterprise-Produkte ist das wichtig, weil Modellwahl an Datenrichtlinien, Compliance, Evaluierungsbaseline oder Budgetkontrollen gebunden sein kann.

Das Release fügt auch strukturierte Diagnosen über .NET, Python und Rust hinzu. Die Protokolle decken CLI-Start, TCP-Verbindung, JSON-RPC-Anfrage-Timing, Sitzungslebenszyklus und Fehlerpfade ab. Das ist genau die Sichtbarkeit, die ein eingebetteter Agent-SDK benötigt. Wenn eine Sitzung fehlschlägt, kann die Ursache im Prozessstart, Transport, Auth, JSON-RPC- Framing, Laufzeitereignisbehandlung, Modellantwort, Tool-Ausführung oder Host-Callback-Verhalten liegen. Ohne strukturiertes Timing und Lebenszyklusprotokolle sieht jedes Versagen so aus, als ob „der Agent hängt".

Der JSON-RPC-Detailgrad ist erwähnenswert. Viele Coding-Agent-SDKs wrappen einen lokalen Laufzeitprozess und kommunizieren über JSON-RPC. Das bedeutet, es gibt ein Client-Objekt in der Anwendung, einen Laufzeitprozess, eine Transportverbindung, Anfrage-IDs, Ereignisströme und langlebige Operationen. Diagnosen müssen zeigen, wann die Laufzeit gestartet wurde, wann die TCP-Verbindung geöffnet wurde, welche JSON-RPC-Anfragen gesendet wurden, wie lange sie dauerten und wo Fehler auftraten. Andernfalls können Anwendungsentwickler SDK-Fehlnutzung nicht von Laufzeitfehlern unterscheiden.

Die Option enableSessionTelemetry macht Telemetrie zu einer expliziten Sitzungsentscheidung. Das ist der richtige Ansatz für Datenschutz und Betrieb. Einige Bereitstellungen möchten interne Sitzungstelemetrie zum Debuggen von Problemen und zur Verbesserung der Produktqualität. Andere müssen sie per Richtlinie deaktivieren. Die Einstellung auf Sitzungskonfiguration und Fortsetzungskonfiguration zu legen macht die Entscheidung prüfbar und wiederholbar, anstatt sich auf versteckte Standardwerte zu verlassen.

Es gibt kleinere Kompatibilitätskorrekturen, die für langjährige SDK-Benutzer wichtig sind. C#-Sitzungsereignis-Enums sind jetzt string-backed readonly structs, sodass die Deserialisierung nicht fehlschlägt, wenn die Laufzeit neue Enum-Werte hinzufügt. Das ist Vorwärtskompatibilität für Ereignisströme. Rust-Binary-Tool-Ergebnis-Resource-Blobs verwenden jetzt standardmäßig application/octet-stream, wenn mimeType fehlt. Das ist eine Draht-Format-Resilienz-Korrektur. Beide Änderungen reduzieren Bruchstellen, wenn Laufzeiten und SDKs unterschiedlich schnell evolvieren.

Die praktische Implikation für Builder ist, dass Copilot SDK-Sitzungen zu host-gesteuerten Laufzeitobjekten werden. Wenn Sie sie einbetten, implementieren Sie die Plan-Modus- und Modus-Wechsel-Callbacks bewusst. Entscheiden Sie, welche Wechsel automatisch passieren können und welche eine Überprüfung benötigen. Aktivieren Sie Diagnosen in Entwicklung und Staging. Erfassen Sie JSON-RPC-Timing rund um langsame oder flaky Sitzungen. Behandeln Sie Telemetrie als Richtlinienentscheidung. Und testen Sie ältere Clients gegen neuere Laufzeitereignisse, damit Enum- und Ereignis-Vorwärtskompatibilität Sie nicht überrascht.

[38:00] GESCHICHTE 4 — Microsoft Agent Framework 1.5 bringt Orchestrierung, Observability, Browser-Tool-Richtlinie und Draht-Semantik voran Das May-8-Release des Microsoft Agent Framework ist umfassend, aber mehrere Änderungen sind direkt relevant für Produktions-Agent-Builder. Die .NET-Linie fügt Magentic Orchestration, WebBrowsingTool-Allowlisting, Hosted-Agent-Observability-Samples, Reasoning-Events in AGUI, Todo-Multithreading-Verbesserungen und Foundry Per-Call-Client-Headers hinzu. Die Python-Linie in der Nähe fügt klassenbasierte Skills und experimentelle Harness-Kontext-Provider hinzu. Das Release behebt auch Tool-Output-Wire-Format, Workflow-Loops, YAML-Parsing, Multi-Party-Serialisierung und Sequenznummerierung.

Magentic Orchestration ist die Schlagzeile, weil Multi-Agent-Systeme mehr als eine Liste von Agents brauchen. Sie brauchen Planung, Delegation, Turn-Ownership, gemeinsamen Zustand, Beendigungsbedingungen und eine Möglichkeit zu entscheiden, welcher Agent als nächstes handeln soll. Eine Orchestrierungsschicht formalisiert diese Mechanik. Es als experimentell zu markieren, ist angemessen, weil Orchestrierungssemantik zur Anwendungsarchitektur wird: Ein schlechter Scheduler kann loopen, Arbeit duplizieren, Fehler verbergen oder einem Agenten erlauben, die Konversation zu dominieren.

WebBrowsingTool-Allowlisting ist eine wichtige Browser/Computer-Use-Kontrolle. Browsing-Tools verbinden einen Agenten mit externen Inhalten, die bösartig, nicht vertrauenswürdig oder einfach ablenkend sein können. Eine Allowlist gibt der Host-Anwendung eine Richtlinienoberfläche für erlaubte Browsing-Ziele oder Browserverhalten. In Agent-Systemen ist Browsing nicht nur Lesen. Der Browser kann Prompt-Injection-Inhalte abrufen, Formulare absenden, Weiterleitungen folgen, Cookies exponieren und Dateien abrufen. Die Richtlinie muss existieren, bevor das Tool ausgeführt wird.

Hosted-Agent-Observability-Samples sind ebenfalls wertvoll, weil Bereitstellung der Ort ist, an dem Framework-Abstraktionen auf Produktionsrealität treffen. Ein gehosteter Agent braucht Protokolle, Traces, Anfragekorrelation, Modellaufruf-Sichtbarkeit, Tool-Aufruf-Timing und Fehlerzustand. Observability-Samples können zum Referenzmuster für Teams werden, die sonst Agenten mit nur Konsolenprotokollen ausliefern würden. Die nützliche Frage für jeden gehosteten Agenten ist: Können wir einen fehlgeschlagenen Lauf vom externen Request über die Orchestrierungsentscheidung, Modellaufruf, Tool-Aufruf und finale Antwort rekonstruieren?

Reasoning-Events in AGUI exponieren ein weiteres Transportproblem. Benutzeroberflächen müssen Agent-Fortschritt rendern, ohne private Chain-of-Thought, Tool-Rationale und benutzerrelevante Reasoning-Zusammenfassungen falsch zu mischen. Ein Reasoning-Ereigniskanal ermöglicht es dem Framework, Fortschritt oder reasoning-bezogenen Zustand als strukturierte Ereignisse darzustellen. Die Anwendung muss immer noch entscheiden, was sicher anzuzeigen, zu speichern und zu übertragen ist, aber strukturierte Ereignisse sind besser als das Scrapen von Text aus einem Stream.

Todo-Multithreading und Todo-Injektion in die Nachrichtenliste zeigen, wie Zustandsverwaltung zu einer Laufzeitfunktion wird. Agenten verwenden Todo-Listen zum Planen, Verfolgen des Fortschritts und Wiederherstellen nach Unterbrechungen. Wenn der Todo-Zustand nicht thread-safe ist, können gleichzeitige Updates den Plan beschädigen. Wenn der Todo-Zustand im Nachrichtenkontext nicht sichtbar ist, kann das Modell den Überblick über Verpflichtungen verlieren. Todos in die Nachrichtenliste zu injizieren macht den Aufgabenzustand zum Teil des Modellkontextes, während Multithreading-Verbesserungen Race Conditions rund um Updates reduzieren.

Die function_call_output.output-Wire-Format-Korrektur ist klein, aber kritisch. Das Release korrigiert sie, um ein JSON-String auf dem Draht zu sein. Tool-Output-Formate sind Verträge zwischen Laufzeit, SDKs, Modellen und Clients. Wenn eine Seite einen String erwartet und die andere Seite strukturierte JSON direkt sendet, kann Deserialisierung oder Replay fehlschlagen. Agent-Frameworks müssen streng bei diesen Draht-Verträgen sein, weil Tool-Outputs oft gespeichert, gestreamt, komprimiert und später fortgesetzt werden.

Die Sequenznummer-Generierung erhält eine Korrektur für doppelte oder außerhalb der Reihenfolge liegende IDs. Ereignisreihenfolge ist grundlegend für Agent-UIs und Protokolle. Wenn zwei Ereignisse sich eine Sequenznummer teilen oder mit inkonsistenter Reihenfolge ankommen, können Clients veralteten Zustand rendern, Updates verwerfen oder Tool-Ergebnisse falsch zuordnen. In einem Multi-Agent- oder Multi-Party-Gespräch sind Reihenfolge-Bugs besonders schmerzhaft, weil der Benutzer nicht sagen kann, welcher Agent zuerst etwas gesagt oder getan hat.

Workflow-Re-Entry und YAML-Parsing-Korrekturen sprechen für die Zuverlässigkeit deklarativer Agenten. Eine QuestionExecutor-Schleife nach GotoAction-Re-Entry ist die Art von Bug, die deklarative Workflow-Bequemlichkeit in unkontrolliertes Verhalten verwandelt. YAML-Block-Scalar-Parsing für Datei-Skills ist wichtig, weil dateibasierte Skill-Definitionen oft Prompts, Anweisungen, Beispiele oder Skripte enthalten. Wenn Block-Scalars falsch geparst werden, ist der Skill, den der Agent sieht, nicht der Skill, den der Entwickler geschrieben hat.

Die praktische Empfehlung ist, dieses Release in Produktionsumgebungen zu evaluieren. Wenn Sie Microsoft Agent Framework verwenden, untersuchen Sie, wie die Orchestrierung den nächsten Akteur auswählt, definieren Sie Browser-Tool-Allowlisten, bevor Sie externe Sites verbinden, integrieren Sie Observability vor dem Rollout, behandeln Sie Reasoning-Events als einen kontrollierten UI-Kanal, testen Sie den Todo-Zustand unter Nebenläufigkeit und validieren Sie die Wire-Kompatibilität für Tool-Ausgaben. Framework-Releases sind nicht nur neue Abstraktionen; sie sind Änderungen an den Runtime-Verträgen, von denen Ihre Anwendung abhängt.

[50:00] Abschluss Die praktische Erkenntnis aus EP048 ist operativer Natur. Codex 0.130.0 macht Coding-Agent-Sessions serviceähnlicher mit ferngesteuerten App-Servern, paged Thread-Ansichten, Plugin-Hook-Sichtbarkeit, Config-Refresh und besserer Recovery rund um Patches und Kompaktierung. Microsofts Semantic Kernel-Forschung zeigt, wie modellgesteuerte Tool-Argumente zu Code-Ausführung werden können, wenn Frameworks sie in interpretierte Host-Language-Ausdrücke umwandeln. GitHub Copilot SDK gibt eingebetteten Produkten Approval- und Recovery-Hooks plus Diagnostics. Microsoft Agent Framework 1.5 treibt Orchestrierung, Browser-Policy, Observability, Event-Transport, Todo-Zustand und Wire-Format-Korrektheit voran. Für Builder besteht die Arbeit darin, jede Agent-Runtime-Grenze explizit zu machen: Kontrollebene, Tool-Input, Approval-Event, Browser-Policy, Telemetrie und gespeicherter Thread-State.