TYPO3-Extension · nr_mcp_agent

Ein kontrollierter KI-Assistent für das TYPO3-Backend.

Redaktionen fragen in dem Backend, in dem sie ohnehin arbeiten. Der Assistent liest, was sie ohnehin sehen dürfen, und holt vor jeder Änderung eine ausdrückliche Freigabe ein.

Backend-Agent kontrolliert evaluieren Dokumentation lesen

Reifegrad: Alpha
Letzter Release: v0.19.0
Hauptzweig: 0.20.0
Seite zuletzt geprüft: 2026-10-24
Voraussetzungen: TYPO3 13.4 / 14.3 · PHP 8.2+ · nr-llm

Letzter Release und Hauptzweig sind verschiedene Werte, das Prüfdatum ist ein dritter. Ein Unterschied zwischen ihnen ist kein Widerspruch.

Alpha oder stabil?: Alpha. Evaluieren Sie mit jemandem, der zusieht.
Nur lesen oder auch schreiben?: Standardmäßig lesen. Schreibende Werkzeuge sind ab Werk deaktiviert.
Wo braucht es einen Menschen?: Vor jedem Schreibvorgang. Der Lauf hält an, bis jemand freigibt oder ablehnt.
Welche Risiken bleiben?: Prompt Injection, ein ungelesen freigegebener Vorschlag und ein zu großer Werkzeugumfang.
Wie wird die Nutzung begrenzt?: Werkzeugfreigabe je Gruppe, TYPO3-Berechtigungen und die Budgets aus nr-llm.
Wie probiere ich es aus?: Installieren, auf eine nr-llm-Konfiguration zeigen lassen, eine lesende Werkzeuggruppe freigeben.

Was heute funktioniert

Beschrieben als das, was es tut – nicht als das, was es können wird.

Backend-Chat

Eine Unterhaltung im TYPO3-Backend, für die angemeldete Person. Kein separates Werkzeug, keine separate Anmeldung.

Informationen abrufen

Der Assistent kann über die freigegebenen Werkzeuge nachschlagen und zusammenfassen, was er gefunden hat.

Nur freigegebene MCP-Werkzeuge

Werkzeuge werden je Server und je Berechtigung konfiguriert. Nichts ist standardmäßig verfügbar; der Ausgangspunkt ist die leere Menge.

Konversationshistorie

Ein Lauf lässt sich danach nachlesen. Ohne das gäbe es nichts zu prüfen.

Bekannte Content-Operationen

Die für den aktuellen Release dokumentierten Content-Operationen, jede entweder lesend oder freigabepflichtig. Die Dokumentation führt sie auf; diese Seite wiederholt die Liste nicht – eine wiederholte Liste ist eine Liste, die veraltet.

Was nicht versprochen wird

Fünf Dinge, die die Extension nicht tut. Wenn Sie eines davon brauchen, ist das heute das falsche Werkzeug.

Autonomer CMS-Betrieb. Es gibt keinen Zeitplan, keinen Auslöser und keinen unbeaufsichtigten Modus.
Uneingeschränkte Schreibrechte. Schreibende Werkzeuge werden je Gruppe freigegeben und je Aufruf zusätzlich abgefragt.
Automatische Freigabe. Es gibt keine Zeitschranke, die an Ihrer Stelle zustimmt.
Ein fehlerfreier Ersatz für Redaktion. Er schlägt vor, ein Mensch entscheidet.
Ungeprüfte Aktionen. Alles, was etwas ändert, hinterlässt einen Audit-Eintrag mit der Entscheidung der freigebenden Person.

Drei kontrollierte Szenarien

Geordnet danach, wie viel Vertrauen jedes braucht.

Finden und zusammenfassen

Fragen, wo ein Thema über die Seiten hinweg behandelt wird, die die handelnde Person sehen darf – und eine Zusammenfassung mit den Datensätzen bekommen, aus denen sie stammt.

Lesende Werkzeuge. Keine Freigabe nötig, weil sich nichts ändert.
Eine Änderung vorbereiten

Eine Umformulierung, eine Übersetzung oder einen Satz Alternativtexte vorschlagen lassen. Das Ergebnis ist ein Vorschlag in der Unterhaltung, keine Änderung.

Weiterhin nur lesend. Die Redaktion übernimmt, was sie will, oder fragt nach einer anderen Fassung.
Eine freigegebene Änderung ausführen

Ist ein schreibendes Werkzeug freigegeben, schlägt der Assistent die genaue Änderung vor und wartet. Bei Freigabe führt er sie aus, bei Ablehnung stoppt er.

Freigabe, Audit-Eintrag, TYPO3-Berechtigungen. Die freigebende Person liest den Vorschlag – das ist die Kontrolle, und wer sie überspringt, hebt sie auf.

Wer was darf

Sechs Ebenen, von denen jede einen Lauf für sich stoppen kann.

Ebene	Worüber sie entscheidet
Backend-Rolle	Ob die Person den Assistenten überhaupt nutzen darf.
Freigegebene Werkzeuge	Welche MCP-Werkzeuge es für diese Gruppe gibt. Standard: keine.
Lesend oder schreibend	Ob ein Werkzeug etwas ändert. Schreibende sind ab Werk deaktiviert.
Ausdrückliche Freigabe	Ob ein konkreter Schreibvorgang tatsächlich stattfindet – entschieden von einem Menschen, je Aufruf.
TYPO3-Berechtigungen	Ob der Datensatz für die handelnde Person überhaupt erreichbar ist. Wird nicht umgangen.
Audit-Eintrag	Was hinterher nachvollziehbar ist: Werkzeug, Person, Argumente, Entscheidung.

Abbruch und Fehlerfall

Eine abgelehnte Freigabe stoppt den Lauf und hält die Ablehnung fest. Ein fehlschlagender Werkzeugaufruf meldet den Fehler, statt still zu wiederholen, und ein Lauf, der das nr-llm-Budget überschreitet, endet mit einer ausdrücklichen Begründung.

Das Verhältnis zu nr-llm

Diese Extension ist die Agentenoberfläche. nr-llm ist die kontrollierte KI-Basis darunter.

Provider und Modell

Werden in nr-llm gewählt. Diese Extension hält keinen Schlüssel und spricht keinen Provider direkt an.

Budgets

Die Grenzen aus nr-llm für Anfragen, Tokens und Kosten je Nutzer gelten für Agentenläufe wie für jede andere KI-Nutzung.

Kostenauswertung

Agentennutzung taucht in derselben Auswertung auf wie jede andere KI-Funktion der Seite.

Rückfälle

Provider-Rückfallketten werden einmal in nr-llm konfiguriert und gelten auch hier.

Wo die Grenze liegt

nr-mcp-agent entscheidet, was der Agent versuchen darf. nr-llm entscheidet, welches Modell antwortet, zu welchen Kosten und für wen.

nr-llm – die KI-Control-Plane →

Sicherheit

Die Risiken eines Agenten – benannt statt angedeutet.

Zu weit reichende Handlungsmacht

Der häufigste Fehlschlag eines Agenten ist, zu viel zu dürfen. Geben Sie den kleinsten sinnvollen Werkzeugsatz frei; genau deshalb ist der Standard „keine“.

Prompt Injection

Inhalte, die der Agent liest, können Anweisungen enthalten. Die Freigabeliste und die Freigabepflicht begrenzen den Schaden; den Versuch verhindern sie nicht.

Tool Poisoning

Eine Werkzeugbeschreibung ist Teil der Modelleingabe. Geben Sie nur Werkzeuge aus Quellen frei, die Sie kontrollieren – und lesen Sie, was ein Werkzeug deklariert, bevor Sie es freigeben.

Unzulässige Datenoffenlegung

Der Agent erreicht nur, was die handelnde Person erreichen darf. Damit sind deren Berechtigungen die Offenlegungsgrenze – prüfen Sie sie, bevor Sie den Zugriff erweitern.

Berechtigungsausweitung

Die Freigabe gilt je Aufruf und lässt sich nicht an den Agenten delegieren. Wer ungelesen freigibt, ist der Ausweitungsweg, der bleibt.

Kosten- und Ressourcengrenzen

Die Budgets aus nr-llm gelten. Ein Lauf, der sie überschreitet, endet mit einer ausdrücklichen Begründung, statt still weiterzulaufen.

Protokollierung und Nachvollziehbarkeit

Werkzeug, Person, Argumente und Entscheidung werden je Aufruf festgehalten – erst das macht eine nachträgliche Prüfung möglich.

KI-Faktenkarte

Auf jedem KI-Produkt von Netresearch dieselben Felder – damit sie vergleichbar sind und nicht nur beeindruckend.

Vorgesehener Zweck: Kontrollierte Assistenz im TYPO3-Backend: sichtbare Inhalte finden und zusammenfassen, Änderungen vorbereiten und nach ausdrücklicher menschlicher Freigabe ausführen.
Ausdrücklich nicht dafür: Unbeaufsichtigter Betrieb: Alpha bedeutet Evaluierung unter menschlicher Aufsicht.
Eigenständige Inhaltsänderungen ohne Freigabe.
Ersatz für redaktionelle Urteile: Der Assistent schlägt vor, ein Mensch entscheidet.
Umgehung von TYPO3-Berechtigungen.
Entscheidungen mit rechtlichen, finanziellen oder personellen Folgen.
Reifegrad: Alpha
Modelle und Anbieter: Die in nr-llm konfigurierten Modelle. Diese Extension wählt keinen Anbieter und verwaltet keinen Schlüssel.
Verarbeitete Daten: Die Frage der Redaktion, der Gesprächsverlauf des jeweiligen Laufs und die Ergebnisse freigegebener Werkzeuge.
Werkzeugaufrufe und ihre Argumente für den Prüfverlauf.
Verarbeitungsort: Eigener Server, Externer Anbieter
Menschliche Aufsicht: Lesen benötigt keine Freigabe. Schreibende Werkzeuge unterbrechen den Lauf, bis ein Mensch zustimmt oder ablehnt; die Entscheidung wird protokolliert.
Berechtigungen: Administratoren geben MCP-Server und Werkzeuge je Backend-Gruppe frei. Die eigenen Zugriffsregeln von TYPO3 gelten zusätzlich und werden nicht umgangen.
Protokollierung: Werkzeugaufrufe werden mit Werkzeug, Nutzer, Argumenten und Freigabeentscheidung protokolliert. nr-llm erfasst die Modellnutzung.
Aufbewahrung: Gespräche und Prüfprotokolle liegen in der Datenbank der Website. Es gelten deren Aufbewahrungsregeln.
Kostenkontrolle: nr-llm begrenzt Anfragen, Tokens oder geschätzte Kosten mit Budgets je Nutzer.
Sicherheitskontrollen: Standardmäßig nur lesender Zugriff; schreibende Werkzeuge sind zunächst deaktiviert
Freigabeschritt mit protokollierter Entscheidung
Werkzeugfreigabe je Gruppe
TYPO3-Berechtigungen werden durchgesetzt
Provider-Schlüssel und Budgets bleiben in nr-llm
Bekannte Grenzen: Alpha: Schnittstellen, Werkzeugverträge und Konfiguration können sich zwischen Releases noch ändern.
Manipulierte Anweisungen in gelesenen Inhalten bleiben möglich. Werkzeugfreigaben und menschliche Zustimmung begrenzen das Risiko, beseitigen es aber nicht.
Das Modell kann eine Anweisung falsch verstehen und eine falsche Änderung vorschlagen. Die Freigabe wirkt nur, wenn ein Mensch den Vorschlag tatsächlich prüft.
Zu weitreichende Agentenrechte bleiben ein Entwurfsrisiko. Nur die für den Anwendungsfall erforderlichen Werkzeuge freigeben.
Die Zuverlässigkeit hängt auch vom verwendeten Modell ab; dieses wird in nr-llm konfiguriert.
Zuletzt geprüft: 2026-10-24 · Netresearch DTT GmbH — nr-mcp-agent maintainers

Ausprobieren

Vier Schritte. Hören Sie nach dem dritten auf, wenn Sie nur sehen wollen, was er liest.

Installierencomposer require netresearch/nr-mcp-agent
Auf nr-llm zeigen lassenEine bestehende nr-llm-Konfiguration wählen. Provider, Modell und Budget kommen von dort.
Eine lesende Werkzeuggruppe freigebenMit dem kleinsten Satz anfangen, der den Assistenten für eine Aufgabe brauchbar macht.
Erst danach ein schreibendes Werkzeug erwägenFür eine Gruppe freigeben, für eine Art von Datensatz – und lesen, was vorgeschlagen wird, bevor Sie freigeben.

Nachweise

Was die Aussagen oben belegt.

Was nicht behauptet wird

Keine Konformitätsaussage zum EU-KI-Gesetz, zum NIST-Rahmenwerk oder zu ISO/IEC 42001. Die Extension unterstützt Kontrollen; ob eine Organisation konform ist, ist eine rechtliche und organisatorische Bewertung.
Keine Produktivitäts- oder Einsparungszahl. Wir kennen Ihre redaktionellen Mengen nicht.
Keine Zusage zum Modellverhalten. Die Kontrollen begrenzen, was der Agent tun darf – nicht, was das Modell sagt.

Backend-Agent kontrolliert evaluieren

Wir klären, welche Werkzeuge freigegeben werden, wer was freigibt und was eine Alpha-Evaluierung liefern muss, bevor daraus mehr werden kann.

Backend-Agent kontrolliert evaluieren Dokumentation lesen Quellcode ansehen