Helfer
Persistente Helfer-Agenten für Recherche, Audit, Qualität und Orchestrierung mit Frontmatter-Verträgen und Isolationsprotokollen für die Bereitstellung.
Persistente Helfer liegen als flache Dateien mit dem Suffix <name>.md im
kanonischen Helfer-Verzeichnis. Der kanonische Pfad ist:
src/apothem/agents/Jeder Helfer ist eine klar umrissene Rolle, etwa Recherche, Audit, Qualität, Refactoring oder Gerüsterstellung, mit eigenen Werkzeugbeschränkungen und eigenem System-Prompt.
Die Tabelle und die Pfadliste unten zeigen vier der Helfer. Das generierte Inventar am Ende dieser Seite listet jede Helferdefinition auf.
| Helfer | Datei | Muster | Modellrichtlinie |
|---|---|---|---|
| Codebase Explorer | siehe Manifest-Pfad unten | Recherche | vom Host gewählt |
| Convention Auditor | siehe Manifest-Pfad unten | Audit | vom Host gewählt |
| Quality Gate | siehe Manifest-Pfad unten | Qualität | vom Host gewählt |
| Memory Auditor | siehe Manifest-Pfad unten | Audit | vom Host gewählt |
Kanonische Manifest-Pfade:
src/apothem/agents/codebase-explorer.md
src/apothem/agents/convention-auditor.md
src/apothem/agents/quality-gate.md
src/apothem/agents/memory-auditor.mdFrontmatter-Vertrag
---
name: <agent name>
version: <semver>
updated: <YYYY-MM-DD>
description: <one-line role>
tools: <comma-separated tool list>
disallowedTools: <comma-separated deny list>
maxTurns: <integer>
---tools ist optional. Ein Helfer, der es weglässt, erbt jedes Werkzeug, das die
Sitzung hat, verbundene MCP-Werkzeuge eingeschlossen, und disallowedTools
trägt seine Beschränkung. Alle vierzehn ausgelieferten Helfer führen tools
auf.
Verbundene MCP-Server
Ein Helfer, der tools aufführt, kann nur aufrufen, was er aufführt. Claude Code
lässt ein MCP-Werkzeug nur dann in diese Liste zu, wenn der Eintrag den Server
benennt, wie in mcp__<server>__*; ein bloßes mcp__* ist als
disallowedTools-Eintrag dokumentiert und nirgendwo sonst. Servernamen gehören
der Person, die die Server verbindet, daher kann ein ausgelieferter Helfer sie
nicht benennen.
citation-auditor und research-scout schlagen wissenschaftliche Quellen nach.
Jeder wird mit tools: Read, Glob, Grep, WebSearch, WebFetch ausgeliefert und
verweigert die Werkzeuge, die Dateien schreiben, Befehle ausführen, andere Helfer
starten oder veröffentlichen: Write, Edit, MultiEdit, NotebookEdit,
Bash, PowerShell, Monitor, Agent, Artifact und die
Aufgabenlisten-Werkzeuge. Ohne Profileinstellung erreicht keiner von beiden ein
MCP-Werkzeug, und beide schlagen Quellen über Websuche und Web-Abruf nach.
Um einem von ihnen einen verbundenen wissenschaftlichen Index zu geben, benennen
Sie den Server im Profilschlüssel agent_mcp_servers, der einen Agentennamen
auf Servernamen abbildet. Die Claude Code-Engine-Installation (apothem install)
hängt dann pro benanntem Server einen mcp__<server>__*-Eintrag an die
tools-Zeile dieses Agenten an und ändert keinen anderen Agenten. Die
Gemini CLI-Installation tut dasselbe mit einem mcp_<server>_*-Eintrag pro
Server in der tools-Erlaubnisliste des Agenten, für einen Servernamen aus
Buchstaben, Ziffern und -. Bei beiden bleibt ein Server, den das eigene
disallowedTools des Agenten nennt, verweigert. Der Eintrag lässt jedes
Werkzeug dieses Servers zu, einschließlich solcher, die schreiben, benennen Sie
also nur einen Server, dem Sie für Nachschlagevorgänge vertrauen: Die
Anweisungen der Helfer beschränken sie auf Such-, Nachschlage-, Lese-,
Verifizierungs- und Auflösungsaufrufe, aber der Harness erzwingt nur die Namen,
die die tools-Zeile aufführt. Ein Name für einen Agenten, der nicht existiert
oder keine explizite tools-Zeile hat, wird gemeldet und übersprungen.
Andere Harnesses als Claude Code und Gemini CLI ignorieren den Schlüssel. Der
Plugin-Baum von Claude Code wird ohne Profil zusammengestellt und behält die
schlichte Liste, daher definiert ein Plugin-Nutzer stattdessen einen Agenten auf
Benutzerebene unter ~/.claude/agents/. Die Profilsyntax, die Regeln für
Servernamen und dieser Workaround stehen unter
Einem Helfer Zugriff auf MCP-Server geben.
Konvertierung je Harness
Ein Helfer, dessen tools-Freigabe nach Abzug von disallowedTools kein
Werkzeug zum Bearbeiten von Dateien (Write, Edit, MultiEdit oder
NotebookEdit) enthält, ist schreibgeschützt. Ein Helfer ohne tools-Freigabe
ist schreibgeschützt, wenn disallowedTools mindestens Write und Edit
verweigert. Jeder Harness, der Helfer konvertiert, setzt diese Beschränkung
nativ durch, nennt sie in den Anweisungen des Helfers oder lässt die
Kennzeichnung als schreibgeschützt weg:
| Harness | Werkzeuglimit | Turn-Limit | Modell und Aufwand |
|---|---|---|---|
| Claude Code | tools / disallowedTools wie geschrieben, plus alle mcp__<server>__*-Einträge, die der Profilschlüssel agent_mcp_servers einer aufgeführten tools-Zeile hinzufügt; ohne tools wird jedes Werkzeug geerbt, MCP eingeschlossen | maxTurns | geerbt (nicht gesetzt) |
| Codex | keines ausgegeben; die Anweisungen des Helfers nennen es, und die Sandbox der übergeordneten Sitzung regelt Schreibvorgänge | nicht verfügbar | geerbt (nicht gesetzt) |
| Gemini CLI | tools-Erlaubnisliste mit Gemini-Werkzeugnamen, plus alle mcp_<server>_*-Einträge, die der Profilschlüssel agent_mcp_servers einer aufgeführten expliziten Liste hinzufügt; ohne tools die Erlaubnisliste, die sich aus den Verweigerungen ergibt, plus mcp_* | max_turns | geerbt (nicht gesetzt) |
| Qwen Code | tools / disallowedTools in Qwen-Werkzeugnamen; ohne tools wird keine Liste ausgegeben, sodass MCP-Werkzeuge geerbt werden und die Verweigerungen gelten | nicht abgebildet | model: inherit |
| OpenCode | permission (allow / deny je Werkzeug); MCP-Werkzeuge werden nicht eingeschränkt | nicht abgebildet | geerbt (nicht gesetzt) |
| Antigravity | keines ausgegeben; die Beschreibung lässt „read-only“ weg | nicht verfügbar | geerbt (nicht gesetzt) |
| CodeBuddy | tools / disallowedTools als kommagetrennte Zeichenketten, beschränkt auf die Werkzeugnamen, die CodeBuddy dokumentiert; kein MCP-Eintrag | maxTurns | geerbt (nicht gesetzt) |
| Trae | tools / disallowedTools als kommagetrennte Zeichenketten, beschränkt auf die Werkzeugnamen, die Trae dokumentiert; kein MCP-Eintrag | nicht verfügbar | geerbt (nicht gesetzt) |
| GitHub Copilot | tools-Erlaubnisliste mit Copilot-Aliasen (read, search, edit, execute, web, agent, todo), in die die Verweigerungen eingearbeitet sind, weil Copilot keinen Deny-Schlüssel hat; ein Alias, der ein verweigertes Werkzeug abdeckt, wird weggelassen; kein MCP-Eintrag | nicht verfügbar | geerbt (nicht gesetzt) |
| Cursor | keine Werkzeugliste (Cursor hat keine); readonly: true für die fünf schreibgeschützten Helfer ohne Bash, und die übrigen schreibgeschützten Helfer lassen die Kennzeichnung „read-only“ weg | nicht verfügbar | geerbt (nicht gesetzt) |
| Kimi Code | tools / disallowedTools als Listen von Kimi Code-Werkzeugnamen (WebFetch wird zu FetchURL, TodoWrite zu TodoList; Namen, für die Kimi Code kein Werkzeug hat, werden weggelassen); kein MCP-Eintrag | nicht verfügbar | geerbt (nicht gesetzt) |
| Kiro | tools-Erlaubnisliste mit Kiro-Werkzeugkategorien (read, write, shell, web, subagent), in die die Verweigerungen eingearbeitet sind, weil die Liste die einzige geschriebene Beschränkung ist; eine Kategorie, die ein verweigertes Werkzeug abdeckt, wird weggelassen; kein MCP-Eintrag | nicht verfügbar | geerbt (nicht gesetzt) |
| Windsurf | allowed-tools-Erlaubnisliste mit Devin-Werkzeugnamen (read, edit, grep, glob, exec, write), in die die Verweigerungen eingearbeitet sind, weil Devin keinen Deny-Schlüssel hat; die drei Helfer, die Web-Werkzeuge benötigen, werden nicht installiert; kein MCP-Eintrag | nicht verfügbar | Devins Standard-Subagenten-Modell (nicht gesetzt) |
Hermes und Open-Claw erhalten die Helferdateien als Unterstützungsmaterial, nicht als native Helfer.
Orchestrierung
Die Bereitstellung von Helfern, das Protokoll für den parallelen Start, die Durchsetzung des Rückgabevertrags und die Isolationsdisziplin sind in der Orchestrierungsregel festgelegt. Der Dispatch-Baum je Worker steht in der Regel zu den Orchestrierungsmustern, §Decision Tree. Kanonische Pfade:
src/apothem/rules/agent-orchestration.md
src/apothem/rules/agent-orchestration-patterns.mdGeneriertes Agenten-Inventar
| Name | Description | Source |
|---|---|---|
README | Persistent agent definitions — the reusable sub-agent specifications the harness materializes whenever the orchestrator deploys a research, audit, or quality team. Each agent is a | src/apothem/agents/README.md |
citation-auditor | Read-only citation audit — checks that each reference in a bibliography or cited passage exists, matches its record, and that the opened source states what the text attributes to it. Use when a draft cites sources: 'check my references', 'are these DOIs real', 'does this paper say what I cite it for'. Finding new sources routes to research-scout; a free-standing claim routes to fact-checker. | src/apothem/agents/citation-auditor.md |
codebase-explorer | Read-only codebase exploration — exhaustively find every instance of a pattern, trace call/import dependencies, discover host conventions, map architecture and layering. Use when the query is 'where is X used', 'find all callers of Y', 'what convention does this repo follow for Z', 'map the module structure', or 'trace what depends on this file' — never for edits or design, and never for review verdicts (architecture-review, code-audit). Works through Grep / Glob / Read plus read-only Bash and returns evidence-cited findings (path + line + snippet) exhaustive within the declared scope; reports gaps rather than guessing. | src/apothem/agents/codebase-explorer.md |
convention-auditor | Read-only conventions auditor: verify naming (kebab-case files, snake_case Python, frontmatter keys), cross-reference resolution (dead rule/skill/agent paths, broken anchors, half-edge bindings), formatting standards (SPDX header presence, frontmatter contract), and ecosystem coherence (orphan artifacts, sibling-convention drift, registry gaps). Dispatch when a change touches multiple rules/skills/agents/commands and you need a binary PASS/FINDING verdict per instance with file+line+expected+actual evidence — e.g. 'audit naming across the harness adapters', 'check every new rule resolves its Bindings cross-refs', 'verify the skills cohort matches the kebab-case + SKILL.md convention'. Read-only: never fixes, never runs shell. A whole-tree sweep, or any fix, is the ecosystem-audit skill. Conventions are owned upstream and verified against, never re-derived; every finding cites severity + evidence. | src/apothem/agents/convention-auditor.md |
dependency-auditor | Read-only dependency-tree risk audit — flags unpinned, stale, duplicate, and known-vulnerable dependencies with manifest/lockfile evidence. Dispatch within a dependency audit, before a release cut, or after adding a dependency; one named CVE or advisory routes to the vuln-triage skill, and a signing or provenance review to the supply-chain-audit command. Detects the ecosystem via host-discovery: npm (package.json + package-lock/yarn/pnpm), pip (pyproject/requirements + lock), cargo (Cargo.toml + Cargo.lock), go (go.mod + go.sum). Runs npm audit / pip-audit / cargo audit / govulncheck and returns a risk-ranked table (known-vulnerable → unpinned → duplicate → stale) with per-row evidence; never widens a pin or escalates a scope — gaps surface as inquiry. | src/apothem/agents/dependency-auditor.md |
design-critic | Read-only UI critique. Use for a design review, a usability or accessibility check, or 'what is wrong with this screen' before a UI ships. A WCAG sweep across a whole web surface routes to the a11y-audit command; a CLI or install-flow review to ux-review. Reviews code, screenshots, or a running page and returns fixes ranked by user impact, from a scored heuristic review and separately measured evidence. Opens with a degraded notice when measurement tooling is missing; never guesses a measurement. | src/apothem/agents/design-critic.md |
fact-checker | Read-only adversarial claim verification — decompose input into atomic claims, seek ≥2 independent sources, attempt refutation, assign cited verdicts (supported / refuted / unverifiable) with quoted evidence and confidence. Use when a claim needs proof before it ships: a benchmark or statistic in docs/copy, a 'X is faster/safer than Y' assertion, a citation that names an RFC or spec, a release note, or any factual claim a reviewer would challenge. Routes external claims through WebSearch / WebFetch and repository claims through Read / Glob / Grep; defaults to refuted-or-unverifiable when evidence is insufficient, never a charitable supported. | src/apothem/agents/fact-checker.md |
mcp-builder | Scaffold a Model Context Protocol (MCP) server skeleton from a tool/resource contract — contract-first, well-typed tools, minimal surface. Use when: 'build an MCP server for <API>', 'scaffold MCP tools from this spec', 'wire FastMCP/TypeScript-SDK tool definitions', 'add a tool that exposes <resource> over MCP'. Detection: tool names + argument shapes + return types + resource URIs are stated or derivable. Selects the SDK via host-discovery (FastMCP for Python, the TypeScript SDK for Node), emits one typed tool definition per contract entry plus a list-tools smoke test, and scaffolds nothing speculative. Not for: tuning, securing, or load-testing an existing server (those surface as adjacent gaps). | src/apothem/agents/mcp-builder.md |
memory-auditor | Read-only memory-file auditor: cross-reference every claim in the harness memory tier (MEMORY.md index + topic files under <harness-root>/projects/{hash}/memory/ and <harness-root>/memory/) against actual filesystem state — file/line/rule counts (glob and count), referenced paths (do they exist?), rule scope labels (match pathFilter frontmatter?), dates (against frontmatter updated: or mtime, never the system clock), and cross-reference matrices. Dispatch when MEMORY.md or a topic file may have drifted from reality and you need a per-claim PASS/FAIL verdict with contradicting evidence — e.g. 'audit MEMORY.md after the rules cohort was renamed', 'verify the memory index counts match the current ecosystem', 'check the debugging topic file for stale references to deleted artifacts'. Existence + name match only; never re-audit an artifact's internal correctness (convention-auditor's scope). Read-only: never writes, never fixes. | src/apothem/agents/memory-auditor.md |
prompt-evaluator | Read-only rubric scoring of a prompt's output set — score each output against each named criterion (PASS/FAIL with cited evidence), aggregate per-criterion pass-rate, flag regressions against a baseline, and name recurring failure modes. Use when prompt or model outputs need a reproducible verdict before they ship: comparing a reprompted variant against the prior version, gating a system-prompt change, judging an LLM-as-judge eval set, scoring few-shot outputs against acceptance criteria, or proving a quality claim a reviewer would challenge. Scores outputs that already exist: building the dataset, scorer or runner routes to the eval-harness skill, and a full campaign to the eval command. Requires an explicit rubric — an absent or underspecified rubric blocks scoring and routes as inquiry; never invents a criterion or threshold, never scores charitably. | src/apothem/agents/prompt-evaluator.md |
quality-gate | Read-only quality-gate runner — discovers the host's lint / type-check / test / security / build commands, runs them in the correct order (build → type-check → tests+lint+security in parallel), and returns a per-gate PASS/FAIL verdict with file+line+error evidence. Reports, never fixes. Dispatch as a Quality team before a release cut, after a multi-file change, or to confirm a fix is green — e.g. 'run the full quality matrix and tell me what fails', 'gate this branch before I push', 'is the test suite green and the types clean?'. Runs the whole matrix; tests alone route to test-runner. Detects tooling via host-discovery (ruff/eslint/markdownlint, mypy/tsc/pyright, pytest/jest/cargo test/go test, bandit/npm audit/gitleaks); never assumes a stack. | src/apothem/agents/quality-gate.md |
refactor-surgeon | Scoped, behavior-preserving refactor of a named target — extract the behavioral contract, re-derive clean-room (never edit in place), name the one deficiency removed, verify regression via the host's own tests. Dispatch as a delegated team member on a single named target with a clear refactor intent; a user-driven interactive extraction is the refactor-extract skill — e.g. 'consolidate the duplicated validation in the CLI's install module', 'untangle the nested conditionals in the config renderer without changing output', 'rename the god-object methods in the adapter class to reveal intent'. Touches only the named target; adjacent gaps surface as findings, never as edits. Behavior, contracts, and side effects are identical before and after; a behavior change is a defect. | src/apothem/agents/refactor-surgeon.md |
research-scout | Read-only source discovery and ranking — decompose a research question into facets, fan out parallel web queries, rank candidates by authority, recency, and relevance, and return a deduplicated ranked source list. Use when a question needs sources before it can be answered: 'find the authoritative spec/RFC for X', 'what are the primary sources on Y', 'gather current references for a docs/copy claim', 'survey the landscape before a deep dive'. Fans external facets through any scholarly index server the operator has granted it, WebSearch, and WebFetch, and any in-repo corpus through Read / Glob / Grep. Also looks up papers and preprints by DOI, arXiv id, or topic ('find the paper behind this DOI'), and scouts existing open-source projects before anything new is built ('is there already a library for this', 'adopt or fork'). Discovery and ranking only — never fabricates a URL, never synthesizes; a written cited report routes to the multi-source-research skill, claim verification to fact-checker, and combining given documents to source-synthesis. | src/apothem/agents/research-scout.md |
security-scanner | Read-only secret, SAST-pattern, and config-risk sweep — a coarse first-pass that surfaces candidates fast and routes deep scanning to the host's CI scanners. Dispatch inside a security audit, after touching auth/crypto/IO surfaces, or when a secret may have been committed; a full repository security audit routes to the security-audit command. Greps for credential literals (key/token/password/private-key/certificate, committed .env values), injection surfaces (shell=True on untrusted input, string-formatted SQL, command interpolation), unsafe-eval (eval/exec/Invoke-Expression), unsafe deserialization (pickle.loads, yaml.load without SafeLoader), and config risk (over-broad CI permissions:, unpinned Actions uses:, network egress). Routes known-vulnerable dependencies to the dependency-auditor agent, CVE/advisory triage to the vuln-triage skill, and leaked-credential rotation to the secret-rotation skill. | src/apothem/agents/security-scanner.md |
test-runner | Read-only test-suite runner — discovers the host's test command, runs it, and triages every failure by root cause with test+file+line+assertion evidence. Reports, never fixes. Dispatch as a Research/Quality team member after a code change, before a release cut, or to confirm a fix is green — e.g. 'run the tests and tell me what's failing and why', 'is the suite green on this branch?', 'triage the failures in the auth module'. Tests only: lint, type and security gates route to quality-gate. Detects the runner via host-discovery (pytest/jest/cargo test/go test/Makefile target from the manifest + CI config); never assumes pytest. | src/apothem/agents/test-runner.md |
Befehle
Slash-Befehlsdefinitionen, die die Plan-Suite-Pipeline implementieren, plus Audits für Code, Architektur, Sicherheit, Abhängigkeiten und Dokumentationsprüfung.
Hooks
Werkzeug-Ereignishandler, die bei SessionStart, PreToolUse, PostToolUse und Stop auslösen und Nachrichtenkontexte laden, die die Git-Isolation und die Plan-Disziplin durchsetzen, mit einem getesteten Laufzeitvertrag und benutzerspezifischem Zustand.