245 lines
11 KiB
Markdown
245 lines
11 KiB
Markdown
# Umbau: OpenChamber als Coding-Bahn, Lucy bleibt SysAdmin
|
||
|
||
_Entschieden 21.08.2026. Rückbau der Hermes-Coding-Bahn ist **erledigt**, der Aufbau von
|
||
OpenChamber steht aus. Diese Datei ist die Übergabe an die nächste Sitzung._
|
||
|
||
## Die Entscheidung
|
||
|
||
**Zwei getrennte Bahnen** — der Weg, der bei diesem Stack schon einmal funktioniert hat:
|
||
|
||
| Bahn | Werkzeug | Zweck |
|
||
|---|---|---|
|
||
| **Betrieb** | Hermes-Runtime (Lucy) | SysAdmin, Telegram, Crons, Gedächtnis, Skills, Stimme, PC-Steuerung |
|
||
| **Coding** | **OpenChamber** über OpenCode | Nur programmieren. Getrennt von Lucy. |
|
||
| **Motor** | llama-swap `:8080` / MC2-Gateway `:9010` | beide Bahnen teilen sich die Modelle |
|
||
| **Steuerpult** | MC2 `:9001` | unverändert |
|
||
|
||
**Warum getrennt:** Der Versuch, beides in Hermes Desktop zu vereinen, ist an zwei Dingen
|
||
gescheitert — die Gateway-Registry akzeptiert kein Benutzer/Passwort (nur Session-Token oder
|
||
OAuth, beides für eine selbstgehostete Box ungeeignet), und der Sessions-Reiter fiel dadurch
|
||
immer auf „This device" zurück. Details in der Gedächtnisnotiz vom 20./21.08.
|
||
|
||
## Was bereits erledigt ist (21.08.)
|
||
|
||
**PC:**
|
||
- Hermes Desktop + CLI deinstalliert (`hermes uninstall --full`), Reste von Hand entfernt
|
||
- `AppData\Local\hermes`, `AppData\Roaming\Hermes`, `~\.hermes` — alle weg
|
||
- Startmenü- und Desktop-Verknüpfungen entfernt
|
||
- Env-Variablen bereinigt; **`HERMES_PC_TOKEN` bleibt bewusst** (Lucys PC-Executor auf `:7777`)
|
||
- Node v24.19.0 in `Program Files` ist unabhängig → bleibt, erfüllt OpenChambers Anforderung (≥22)
|
||
|
||
**Box:**
|
||
- Bot-Profile `coder` + `debugger` entfernt (gesichert in `~/archiv-aufraeumen-20260820/`)
|
||
- `~/.hermes/desktop-ssh/` entfernt, `desktop-auth.env` entfernt
|
||
- ufw: Port **9119 wieder zu** — nur noch `22 · 9001 · 8080 · 7681`
|
||
- Dashboard bleibt auf `0.0.0.0:9119` gebunden **mit Anmeldung**, damit MC2s `/hermes-ui`-Proxy
|
||
nicht mehr passwortlos aus dem LAN erreichbar ist (das war ein offenes Scheunentor).
|
||
Zugang: `~/.hermes/dashboard-login.txt` (0600), Benutzer `commander`.
|
||
‼️ Zugangsdaten stehen **nur** in `config.yaml` — die frühere `EnvironmentFile` hat sie still
|
||
überstimmt und kostete eine Fehlersuche. Eine Quelle, eine Wahrheit.
|
||
|
||
**Verifiziert nach dem Rückbau:** 5 Dienste aktiv · 4 MCP-Server · 4 Crons · Telegram `connected`
|
||
· PC-Executor HTTP 200. Lucy ist vollständig funktionsfähig.
|
||
|
||
## Was aufzubauen ist
|
||
|
||
### 1. OpenCode auf der Box
|
||
|
||
Wurde beim Juli-Rückbau entfernt (`command -v opencode` → leer). Muss neu.
|
||
|
||
```bash
|
||
# Installation (Box)
|
||
curl -fsSL https://opencode.ai/install | bash
|
||
|
||
# Provider auf den lokalen Motor zeigen lassen: ~/.config/opencode/opencode.json
|
||
# base_url http://127.0.0.1:9010/v1 (MC2-Gateway, kann model:auto)
|
||
# oder http://127.0.0.1:8080/v1 (llama-swap direkt)
|
||
# api_key local
|
||
```
|
||
|
||
Als systemd-**User**-Dienst (wie alle anderen — reboot-fest, sudo-frei):
|
||
|
||
```
|
||
opencode serve --hostname 0.0.0.0 --port 4096
|
||
```
|
||
|
||
Danach `ufw allow from 192.168.178.0/24 to any port 4096 proto tcp`.
|
||
|
||
### 2. OpenChamber auf dem PC
|
||
|
||
Desktop-Version von den GitHub-Releases (`openchamber/openchamber`, MIT, ~9,1k ★).
|
||
**Wichtig:** Die Desktop-Variante bringt eine eigene OpenCode-CLI mit — für den Remote-Betrieb
|
||
muss sie ausgeschaltet werden:
|
||
|
||
```
|
||
OPENCODE_HOST = http://192.168.178.151:4096 ← volle Adresse MIT Port, OHNE Pfad
|
||
OPENCODE_SKIP_START = true
|
||
```
|
||
|
||
> Fehlt der Port oder hängt ein Pfad dran, **ignoriert OpenChamber die Variable und startet
|
||
> stillschweigend seinen eigenen Server.** Genau diese Klasse Fehler hat uns bei Hermes einen
|
||
> halben Tag gekostet.
|
||
|
||
Modelle, Provider und Schlüssel liegen in **OpenCode**, nicht in OpenChamber.
|
||
|
||
### 3. Modellwahl — nicht wieder den dichten Coder
|
||
|
||
★★ **`fast` (Qwen3.6-35B-A3B) nehmen, nicht `coder` (Qwen3.8-27B).** Gemessen:
|
||
|
||
| | Ausgabe | Eingabe | SWE-bench Verified |
|
||
|---|---|---|---|
|
||
| `fast` Qwen3.6-35B-A3B (MoE) | **95,7 t/s** | 221 t/s | **73,4** |
|
||
| `coder` Qwen3.8-27B (dicht) | 12,6 t/s | 144 t/s | keine agentische Messung |
|
||
|
||
Das dichte Modell ist bandbreitenlimitiert (17 GB ÷ 215 GB/s ≈ 12,6 t/s = Hardware-Limit).
|
||
Der MoE ist **schneller und besser**.
|
||
|
||
### 4. Die Arbeitsanweisung mitnehmen — der wichtigste Fund überhaupt
|
||
|
||
Der Agent las in Lauf A eine ganze Nacht lang und schrieb **null Dateien**. Mit dieser Zeile
|
||
im Auftrag schrieb er in 24 Minuten fünf:
|
||
|
||
> **„Arbeite Datei für Datei. Lies HÖCHSTENS zwei Dateien, bevor du die erste änderst.
|
||
> Kein Gesamtplan, keine Vollinventur. Eine halbfertige Änderung ist wertvoller als eine
|
||
> vollständige Analyse ohne Änderung."**
|
||
|
||
Gehört in OpenChambers System-Prompt bzw. `AGENTS.md` der Projekte.
|
||
|
||
## Bekannte Fallen (aus dem Juli-Audit + heute)
|
||
|
||
- **Bus-Faktor 1** bei OpenChamber: ~70–80 % der Commits von einer Person. Version **pinnen**,
|
||
nicht blind auto-updaten.
|
||
- **Windows-Installer unsigniert** → SmartScreen-Warnung ist erwartbar, kein Alarm.
|
||
- Nie ohne `--ui-password` über localhost hinaus binden.
|
||
- `opencode web` (nicht OpenChamber!) hat einen kaputten Projekt-Finder für `$HOME` — falls
|
||
irgendwo ein leerer Projektbaum auftaucht, ist das der Grund.
|
||
- Git-Push zum Gitea geht vom PC **nur über PowerShell/GCM**, nicht aus der Git-Bash.
|
||
|
||
## Erster Test nach dem Aufbau
|
||
|
||
Die Referenzaufgabe liegt bereit und ist halb erledigt — ideal zum Vergleich:
|
||
|
||
```
|
||
Worktree: ~/projekte/mc2-referenz (Zweig referenz/mem0-ausbau)
|
||
Aufgabe: docs/aufgaben/referenzaufgabe-mem0-ausbau.md
|
||
Prüfung: bash docs/aufgaben/referenz-check.sh
|
||
Stand: 5 von 17 Dateien erledigt (Hermes-Lauf A2, abgebrochen durch SSH-Fehler)
|
||
```
|
||
|
||
Damit lässt sich direkt vergleichen: **Wie lange braucht OpenChamber + `fast` für dieselben
|
||
17 Dateien?** Hermes + dichter Coder brauchte hochgerechnet ~80 Minuten; die Rechnung für
|
||
`fast` sagt ~30.
|
||
|
||
---
|
||
|
||
## Stand nach dem Aufbau (21.08.2026)
|
||
|
||
**Beide Bahnen stehen. Der Aufbau ist erledigt, der Referenzlauf steht aus.**
|
||
|
||
### Box (`192.168.178.151`)
|
||
|
||
| Sache | Wert |
|
||
|---|---|
|
||
| OpenCode | **1.18.20**, `~/.opencode/bin/opencode` (eigenständiges Binary, kein Node nötig) |
|
||
| Dienst | `opencode-server.service` (systemd **user**, `enable`d, Linger=yes → reboot-fest) |
|
||
| Lauscht | `0.0.0.0:4096`, Arbeitsverzeichnis `~/projekte` |
|
||
| ufw | Regel 5: `4096/tcp ALLOW IN 192.168.178.0/24` |
|
||
| Provider | `box` → `http://127.0.0.1:9010/v1` (MC2-Gateway), `apiKey: local` |
|
||
| Modelle | `box/fast` (Standard) · `box/heavy` · `box/hermes` (small_model) · `box/coder` (nur Vergleich) |
|
||
| Autoupdate | `false` in `opencode.json` |
|
||
|
||
Konfiguration: `~/.config/opencode/opencode.json`.
|
||
**Nur Rollen-Aliase**, keine Modell-Eigennamen — die Konsolidierung wirft Eigennamen sonst raus (Regel vom 20.08.).
|
||
|
||
### Arbeitsanweisung — global verdrahtet
|
||
|
||
Liegt als `~/.config/opencode/ARBEITSANWEISUNG.md` und ist über `instructions` in
|
||
`opencode.json` in **jeder** Sitzung aktiv, nicht nur in Projekten mit `AGENTS.md`.
|
||
Gegengeprüft: „Wie viele Dateien höchstens?" → `2`. `~` wird von OpenCode expandiert.
|
||
|
||
### PC
|
||
|
||
| Sache | Wert |
|
||
|---|---|
|
||
| OpenChamber | **v1.19.0** (18.08.), `%LOCALAPPDATA%\Programs\@openchamberelectron` |
|
||
| Signatur | `NotSigned` — erwartet, kein Alarm |
|
||
| `OPENCODE_HOST` | `http://192.168.178.151:4096` (User-Env, mit Port, ohne Pfad) |
|
||
| `OPENCODE_SKIP_START` | `true` (User-Env) |
|
||
|
||
**Verifiziert:** OpenChamber hält 8 offene TCP-Verbindungen zur Box auf `:4096`,
|
||
startet **keinen** eigenen OpenCode (kein lokaler Prozess, kein lokaler Port).
|
||
Damit ist genau der Punkt genommen, an dem Hermes Desktop gescheitert ist.
|
||
|
||
**Auto-Update:** kein Riegel nötig. Im Bundle steht `autoUpdater.autoDownload = false` und
|
||
`autoInstallOnAppQuit = false` — OpenChamber lädt nie von selbst, es meldet nur und wartet
|
||
auf einen Klick. Die Version ist damit faktisch gepinnt.
|
||
|
||
### ‼️ Offene Sicherheitsentscheidung — bewusst so gewählt
|
||
|
||
Der Server läuft **ohne Anmeldung** im LAN. Beim Start meldet er selbst:
|
||
|
||
```
|
||
Warning: OPENCODE_SERVER_PASSWORD is not set; server is unsecured.
|
||
```
|
||
|
||
Praktisch heißt das: jedes Gerät im `192.168.178.0/24` kann über die API beliebige
|
||
Befehle als `hitonabi` auf der Box ausführen — dieselbe Klasse Loch wie das passwortlose
|
||
Dashboard auf `:9119`, das am 20.08. zugemacht wurde.
|
||
|
||
★★ **Ein Riegel wäre da und kostet nichts:** OpenChamber schickt HTTP-Basic-Auth mit, wenn
|
||
`OPENCODE_SERVER_PASSWORD` gesetzt ist (Benutzer aus `OPENCODE_SERVER_USERNAME`,
|
||
Standard `opencode`). Server-Variable in der systemd-Unit, gleiche Variable als User-Env
|
||
auf dem PC — **kein Tunnel, keine Umstellung, der Port bleibt offen im LAN.**
|
||
|
||
Der User hat am 21.08. **bewusst dagegen entschieden** („so lassen"). Nicht neu aufrollen,
|
||
aber hier notiert, damit es kein stiller Defekt bleibt.
|
||
|
||
### Nächster Schritt: der Referenzlauf
|
||
|
||
Alles steht bereit, nichts wurde am Prüfstand angefasst:
|
||
|
||
```
|
||
Worktree: ~/projekte/mc2-referenz (Zweig referenz/mem0-ausbau)
|
||
Stand: 5 von 17 Dateien erledigt, referenz-check.sh sagt ROT
|
||
Prüfung: bash docs/aufgaben/referenz-check.sh
|
||
```
|
||
|
||
Die Arbeitsanweisung wirkt dort über die **globale** Instruktion — `AGENTS.md` im Worktree
|
||
wurde absichtlich **nicht** angefasst, damit der Vergleich zu Lauf A/A2 sauber bleibt.
|
||
Zu messen: **Wie lange braucht OpenChamber + `fast` für dieselben 17 Dateien?**
|
||
Hermes + dichter `coder` brauchte hochgerechnet ~80 Minuten; die Rechnung für `fast` sagt ~30.
|
||
|
||
### ‼️ Falle: der Ordner-Knopf reicht Windows-Pfade an die Box durch
|
||
|
||
**Beim ersten Lauf sofort hineingetappt (21.08., ~1 h verloren).** Die Sitzung stand auf:
|
||
|
||
```
|
||
/home/hitonabi/projekte/F:\Coding Stuff\mission-control-2
|
||
```
|
||
|
||
OpenChamber hatte den **Windows-Pfad des PCs** an den Box-Server durchgereicht, der ihn hinten
|
||
an sein `WorkingDirectory` klebte. Das Verzeichnis existiert auf der Box nicht → der Agent hat
|
||
kein Arbeitsverzeichnis, es geht **keine einzige Anfrage** an den Motor raus. In der Oberfläche
|
||
sieht das aus wie „hängt": Nachricht steht da, eine Zusammenfassung erscheint, danach nichts.
|
||
`tokens: 0/0`.
|
||
|
||
**Ursache, im Bundle nachgesehen:** OpenChamber öffnet Ordner über Electrons natives
|
||
`showOpenDialog` — den **lokalen** Windows-Dateibrowser. Einen Fern-Auswähler gibt es nicht.
|
||
Im Fernbetrieb liefert dieser Knopf also *immer* einen unbrauchbaren Pfad.
|
||
|
||
**Der richtige Weg:** Seitenleiste → **„Projekt hinzufügen"**. Das ist ein eigener Dialog
|
||
(`directoryExplorerDialog`) mit Baum **und** Eingabefeld („Enter path or select from tree…"),
|
||
und der geht über den Server — also über die Box.
|
||
|
||
**Diagnose in einem Befehl** — wenn wieder „nichts passiert", zeigt das den Grund sofort:
|
||
|
||
```bash
|
||
ssh hitonabi@192.168.178.151 "curl -s http://127.0.0.1:4096/session | python3 -c \"import json,sys; s=json.load(sys.stdin); s.sort(key=lambda x: x['time']['updated'], reverse=True); x=s[0]; print(x['directory'], x.get('model'), x.get('tokens'))\""
|
||
```
|
||
|
||
Steht dort ein Pfad mit `F:\` oder `tokens 0/0`, ist es diese Falle.
|
||
|
||
**Merke:** Ein Projekt taucht in der Server-Liste erst auf, wenn dort einmal eine Sitzung lief.
|
||
`mc2-referenz` wurde am 21.08. mit einem harmlosen Lauf angemeldet (`box/hermes`, „Antworte nur
|
||
mit OK") — Worktree danach nachgemessen unverändert: 5 geänderte Dateien, HEAD `e04ace2`.
|