Regieren Sie jeden Agenten, nicht nur jede Anfrage.
Ein Agent macht aus einer Anweisung Dutzende Modellaufrufe, Werkzeugaufrufe und Aufrufe anderer Agenten. Wäg steht vor allen und weiß, welcher Agent handelt, für welche Person, was er anfassen und ausgeben darf und wer den riskanten Schritt freigegeben hat — und kann das alles hinterher belegen. Bauen Sie Agenten, wo Sie wollen. Alles erreichen sie hier durch.
Ein Agent ist keine größere Anfrage.
Eine Chat-Anfrage ist eine Entscheidung, die Sie zulassen oder ablehnen. Ein Agent ist eine Schleife: Er liest ein Dokument, ruft ein Werkzeug auf, liest das Ergebnis, ruft das nächste auf und macht weiter, bis er sich für fertig hält. Teuer sind nicht die schlechten Antworten. Teuer sind die Schleife, die nicht stoppt, das Werkzeug, das sich still verändert hat, Daten, die über einen ungeprüften Aufruf abgeflossen sind, und ein Zugangsschlüssel, der für immer in einer Umgebungsvariablen lebt.
MCP und A2A identifizieren den Agenten und das Konto, das er nutzt. Keines trägt die Tatsache, nach der eine Prüferin zuerst fragt: welcher Mensch diesen konkreten Schritt freigegeben hat. Wäg schreibt die Identität der freigebenden Person an den Aufruf selbst, in einen hash-verketteten Nachweis, den Sie offline prüfen können.
Dreizehn Kontrollen, in der Reihenfolge, in der sie Ihnen begegnen
Apache-2.0, außer wo anders vermerkt. Alles gilt für Agenten, die Sie irgendwo bauen — LangGraph, Bedrock AgentCore, Vertex, Foundry, Claude Code oder Ihre eigene Schleife — denn alle erreichen Modelle, Werkzeuge und andere Agenten über das Gateway.
Agenten sind Prinzipale
Ein Agent ist eine vollwertige Identität mit benannter menschlicher Verantwortung, deklarierter Laufzeitumgebung, Risikostufe und Einsatzzweck. Jede Anfrage trägt den Agenten und die Person, für die er handelt, in das Anfrageprotokoll und den Nachweis-Ledger.
Läufe und Grenzen, die sie stoppen
Ein Lauf ist eine Agentenaufgabe. Begrenzen Sie seine Anfragen, Werkzeugaufrufe, Tokens, Kosten und Laufzeit. Jenseits der Grenze wird die nächste Anfrage des Laufs abgelehnt, und der Aufrufer erfährt, welches Limit griff — vor der Rechnung statt danach.
Werkzeug-Policy: die Agenten-Firewall
Geordnete Regeln entscheiden jeden Werkzeugaufruf: zulassen, ablehnen, von einem Modell klassifizieren lassen oder für einen Menschen anhalten. Bedingungen lesen Argumente und Aufrufer, sodass "Erstattungen über 1.000 brauchen eine Freigabe" eine Regel ist. Der Trockenlauf zählt, was eine Regel getan hätte, und "Aufruf testen" zeigt, welche Regel entscheidet — in der Konsole oder in der CI.
Freigaben mit einem Namen daran
Ein angehaltener Aufruf wartet auf einen Menschen, nicht auf ein Flag. Freigebende sind Personen oder Teams, Selbstfreigabe ist standardmäßig ausgeschlossen, und jede Anfrage verfällt. Entschieden wird in der Konsole oder über eine Rückfrage im eigenen MCP-Client, und eine E-Mail kann melden, dass eine Anfrage wartet; die Entscheidung in Slack oder Microsoft Teams ist Enterprise. Entscheidung und Entscheider stehen im Ledger.
Datenflusskontrolle
Werkzeuge tragen Etiketten: liefert private Daten, liefert Inhalte Fremder, kann Daten hinausschicken. Hat ein Lauf die ersten beiden berührt, wird das dritte abgelehnt oder angehalten — die tödliche Dreierkombination, konstruktiv geschlossen. Es greift auch auf die Daten selbst, über verschlüsselte Fingerabdrücke dessen, was ein sensibles Werkzeug zurückgab, nie über den Text.
Werkzeuge festnageln
Jedes MCP-Werkzeug ist auf die von einer Administratorin freigegebene Definition festgelegt: Name, Beschreibung, Schemata und Annotationen, sodass ein Werkzeug, das nicht mehr nur liest, als verändert gilt. Ändert ein Server eines, wandert es in Quarantäne, bis ein Mensch den Unterschied prüft und annimmt. Stille Austausche hören auf, still zu sein.
Keine dauerhaften Schlüssel
Agenten holen sich Zugangsdaten, die Minuten gelten, und weisen sich mit einem registrierten Schlüsselpaar statt mit einem geteilten Geheimnis aus, auf Wunsch an einen einzigen Lauf gebunden. DPoP macht ein kopiertes Token wertlos; gegenseitiges TLS und SPIFFE-Identitäten funktionieren ebenso, und langlebige Schlüssel lassen sich ganz verbieten.
Verwalteter Ausgang
Agenten erreichen Drittanbieter-APIs über ein registriertes Ziel, und das Gateway ergänzt die Zugangsdaten — der Agent hält den Schlüssel also nie, und seine eigenen Auth-Header werden unterwegs entfernt. Jedes Ziel legt fest, welche Methoden und Pfade erlaubt sind, und jeder Aufruf durchläuft Werkzeug-Policy, Freigaben, Budgets, Guardrails, Residenz und Ledger wie jeder andere.
Jede ausgehende Verbindung
Richten Sie HTTPS_PROXY eines Agenten auf das Gateway, und sein gesamter Web-Verkehr läuft über die Control Plane, nicht nur seine Modell- und Werkzeugaufrufe. Host-Regeln entscheiden, welche Seiten er erreichen darf, und jede Verbindung gilt als Werkzeugaufruf — Policy, Freigaben und Datenfluss-Etiketten greifen, und sie zählt gegen den Lauf. Der TLS-Name muss zum angefragten Host passen, verschlüsseltes Client Hello wird abgelehnt, und offene Tunnel schließen binnen Sekunden, wenn ein Recht entzogen oder der Agent gestoppt wird. TLS für ausgewählte Hosts zu öffnen, damit Anfrageregeln und Guardrails auch innen greifen, ist Enterprise.
Andere Agenten, hinter Ihren Keys
Registrieren Sie einen entfernten Agenten über seine A2A-Agent-Card, und Ihre Mitarbeitenden und Agenten rufen ihn unter /v1/a2a mit ihren üblichen Zugangsdaten auf. Der entfernte Agent sieht immer nur die Zugangsdaten des Gateways, und jede Nachricht durchläuft Zugriffsprüfung, Budgets, Guardrails, Lauflimits, Werkzeug-Policy und Nachweis wie ein Modellaufruf.
Inventar und Not-Aus
Finden Sie die Agenten, die niemand registriert hat — Wäg erkennt sie daran, wie ihr Verkehr sich verhält — und die MCP-Server, die Ihre Entwickler auf den eigenen Rechnern betreiben, an den Werkzeugnamen in ihren Anfragen. Geben Sie jedem ein Prüfdatum und ein Ablaufdatum, das auch greift. Geht etwas schief, stoppen Sie einen Lauf, einen Agenten oder alle Agenten einer Organisation, auf allen Replikaten und in allen Regionen zugleich.
Agenten von anderen Plattformen Enterprise
Importieren Sie die Agenten, die Microsoft Foundry, AWS Agent Registry, Microsoft Entra Agent ID und Gemini Enterprise bereits kennen, ins Inventar und halten Sie sie synchron. Jeder erhält einen Owner, eine Risikostufe, Lauflimits und Werkzeug-Policies; seine Anweisungen und Zugangsdaten werden nie gelesen.
Agentenzahlungen Enterprise
Geben Sie einem Agenten ein Ausgabenmandat statt einer Karte: ein eigenes Budget je Währung, Freigabe ab einer Schwelle und einen Nachweis jeder Zahlung. Schienen für x402, AP2-Mandate sowie ACP- und UCP-Checkout, wobei das Gateway entweder die Zugangsdaten hält oder einen Agenten prüft, der seine eigenen hält.
Nachweise statt Dashboard-Screenshots
Governance, die sich nicht belegen lässt, ist eine Absichtserklärung. Jede Entscheidung von oben landet am selben Ort: in einem hash-verketteten, signierten Ledger, den Sie exportieren und offline gegen den öffentlichen Schlüssel des Gateways prüfen können.
- Jeder Provider-Aufruf, jedes Ergebnis und jede Konfigurationsänderung, verkettet — eine Lücke oder eine nachträgliche Änderung fällt auf.
- Jede Freigabe: wer gefragt hat, wofür, wer entschieden hat und wann sie verfallen wäre.
- OpenTelemetry-Spans für Agentenläufe, aufgenommen aus Ihrem eigenen Framework, sodass die Sicht des Gateways und die des Agenten ein Trace-Baum sind.
- Mit Enterprise: Agenten-Nachweis-Pakete — signierte Pakete der Agentenläufe, Freigaben, Stopps und des Ledgers einer Organisation, zugeordnet zum AI Act und zu DORA.
Es läuft, wo Sie laufen
Eine Rust-Binärdatei in Ihrer eigenen Infrastruktur. Kein Phone-home, Air-Gap möglich und Apache-2.0 für alles oben außer den als Enterprise markierten Karten, Freigaben in Slack und Teams, Identity-Provider- und Workload-Tokens, Werkzeug-Policy auf Pass-Through-Antworten, TLS-Inspektion und Werkzeugregeln für Geräte. Agenten erreichen Modelle über einen OpenAI-kompatiblen Endpunkt, Werkzeuge über das MCP-Gateway und andere Agenten über das A2A-Gateway — alles unter derselben Policy, denselben Budgets und denselben Nachweisen.
MCP und Werkzeug-Governance · Die gesamte Plattform · Wie sich das zu LiteLLM verhält
Stellen Sie eine Control Plane vor Ihre Agenten
Betreiben Sie es in Ihrer eigenen Infrastruktur
Alles, was Sie brauchen, um eine Control Plane produktiv zu betreiben, steht unter Apache-2.0 und bleibt es auch — Routing, HA, Caching, Failover, Budgets, Policy, MCP, Jobs und Observability. Self-hosted, ohne Account, ohne Phone-Home.
$ docker run -p 4000:4000 <registry>/waeg-gateway:<version>Kein funktionierender Pull: Die Images sind noch nicht öffentlich. Designpartner erhalten die Registry-Details vertraulich.
In 5 Minuten deployenAls Design-Partner mitgestalten
Wäg ist noch nicht öffentlich verfügbar. Wir arbeiten mit einer kleinen Gruppe von Teams, die Multi-Provider-KI produktiv betreiben und Governance und Souveränität ernst nehmen, um die Control Plane an echten Workloads zu härten.
- Jede Enterprise-Funktion enthalten, ohne Lizenzkosten
- Migration gemeinsam mit uns — auch von LiteLLM
- Direkter Draht zu den Engineers und realer Einfluss darauf, was als Nächstes kommt