CodeConductor

Was ist CodeConductor?

CodeConductor ist eine von CodeConductor, Inc. entwickelte Plattform für Unternehmens-KI-Anwendungen, Agenten und Governance-Funktionen. Sie wurde im Jahr 2024 gegründet, wobei das Team in der San Francisco Bay Area sowie in Chandigarh in Indien ansässig ist. CodeConductor vereint die Erstellung von Anwendungen, die Orchestrierung von Agenten, den Routenplanung von Modellen, die Steuerung von Strategien sowie den Deployment- und Überwachungsprozess in einer einheitlichen Steuerungsplattform.

Das Produkt richtet sich an Teams für Plattformentwicklung, IT, Sicherheit, Entwicklung sowie Geschäftsbereiche und legt Wert auf die Erstellung von exportierbarem, echtem Code. Dabei werden bereits vorhandene Tools der Organisation für Git, Cloud, Identitätsmanagement und Observabilität genutzt. Es handelt sich dabei nicht um einen reinen persönlichen Programmierassistenten, der nur im Editor zum Vervollständigen von Code dient.

Plattformzusammensetzung

Hauptfunktionen

App Studio – Anwendungsentwicklung

• Das Produktteam kann die zu entwickelnde Anwendung beschreiben, Seiten mit visuellen Komponenten zusammenstellen, Daten verknüpfen, einen Vorschau-Modus einrichten und den Code einreichen.
• Unterstützt die Importierung von React, Chakra, Tailwind, Material oder internen Komponenten, das Bearbeiten von Eigenschaften sowie die Synchronisierung des Themes.
• Die Frontend-Logik wird in React- und TypeScript-Code serialisiert und in das Kunden-Git-Repository geschrieben, anstatt in einer proprietären Datenbank gespeichert zu werden.
• Die Backend-Komponente kann zusammen mit der Frontend-Componente erstellt werden; die Seite listet Python-Beispiele sowie automatisch generierte CRUD-Schnittstellen auf. Die genaue Technologieauswahl wird durch das Deployment-Konzept bestimmt.
• Unterstützung für bidirektionale Git-Synchronisierung, Pull Requests sowie Code-Reviews; nach dem Verlassen der Plattform ist keine CodeConductor-Laufzeit mehr erforderlich, um den Code zu generieren.

Copilot Studio KI-Orchestrierung

• Visuelle Ablaufdiagramme werden verwendet, um Anweisungen, Schlussfolgerungen, Suchvorgänge, Werkzeuge sowie Ausgabeschritte anzuordnen und um Zweigungen, Entscheidungstürme sowie Parameter für schrittweise Modelle festzulegen.
• Die RAG-Pipeline umfasst Blockierung, Einbettung, Indexierung, Umordnung und Kontextverwaltung und kann organisatorisches Wissen mit vektorbasierter Speicherung verbinden.
• Agenten können im Rahmen ihrer Berechtigungen Funktionen, Programmierschnittstellen, Datenbanken sowie mehrstufige Werkzeuge aufrufen – und nicht nur Texte erzeugen.
• Die Ausführungstracke zeigt Eingaben, Werkzeuge, Antworten, Verzögerungen, Token und Kosten an, was die Fehlersuche und die Nachträgliche Prüfung erleichtert.
• Entwicklungs-, Vorab- und Produktionsversionen können über Git-Konfigurationen, CI/CD-Prüfungen, Rollbacks sowie Canary-Deployments schrittweise veröffentlicht werden.

Modellrouting und Datensuche

• Der Model Router kann mit OpenAI, Anthropic, Google Gemini, Meta Llama, Azure OpenAI, AWS Bedrock, Mistral, benutzerdefinierten Schnittstellen sowie lokalen Modellen verbunden werden.
• Route-Regeln können Kosten, Verzögerungen, Kapazitäten, historische Erfolgsraten, Datenaufbewahrung, sensible Informationen sowie zulässige Anbieter berücksichtigen.
• Empfindliche Anfragen können an eine private VPC oder lokale Modelle weitergeleitet werden, wobei ein Rückgriff eingestellt werden kann, wenn externe Modelle nicht verfügbar sind.
• Die Datenschicht unterstützt Dateien, Datenbanken, Objektspeicher, Vektordatensätze sowie Wissensdatenbanken und bietet gemischte Suchfunktionen, Metadatenfilterung sowie Datenverfolgung.
• Das einheitliche Dashboard erfasst die Anzahl der Anfragen, den Anbieter, die Gründe für die Routing-Entscheidungen, Fehler, Fallback-Mechanismen sowie die Kosten im Zusammenhang mit den Modellen. Die genauen Kennzahlen hängen von der Konfiguration der Verbindungen ab.

Strategie, Sicherheit und Governance

• Die Kontrollebene analysiert zunächst die Identität und den Arbeitsbereich, überprüft anschließend mit OPA-Strategien die Berechtigungen, analysiert danach Abhängigkeiten, führt Anfragen aus und schreibt Logs.
• Strategien können Rollenrechte, Isolierung von Tenant-Daten, Maskierung sensibler Informationen, eine Whitelist für Modelle, Geschwindigkeitsbeschränkungen sowie Freigabeprozesse für die Produktion umfassen.
• App Studio führt Strategie-Überprüfungen für die generierte Code, Abhängigkeitsscans sowie Sicherheitsüberprüfungen wie Injektionen und Cross-Site-Scripting durch.
• Copilot Studio bietet die Erkennung sensibler Informationen, Toxizitätsfilterung, Ausgabestrategien, Themenbeschränkungen, Schutz vor Injektionen sowie Red-Team-Tests vor der Veröffentlichung.
• Sicherheitskontrollen können das Risiko verringern, aber sie garantieren nicht, dass Code, Modelle und Konfigurationen fehlerfrei sind. Unternehmen müssen weiterhin unabhängige Tests und Audits durchführen.

Integration mit bestehenden Technologiestacks

• Zu den Engineering-Verbindungen gehören GitHub, Jenkins, PagerDuty, Harness, Datadog, Slack und Terraform.
• Zu den Identitätsanbindungen gehören Okta und Azure AD, die mit SAML, OIDC, SCIM sowie Rollenzuordnungen kombiniert werden können.
• Die Verbindung von Daten und Modellen umfasst PostgreSQL, Snowflake, Pinecone, Elasticsearch, Firebase, Kafka, Dataverse, S3 sowie zahlreiche Modellanbieter.
• Die Geschäftsverbindungen umfassen Salesforce, QuickBooks, Xero, Plaid, Gong, Zapier, n8n usw.; die konkreten Lese- und Schreibvorgänge müssen einzeln überprüft werden.
• Die Funktion von CodeConductor besteht darin, die Verbindungen unter einer einheitlichen Strategie sowie unter Kontrollmechanismen zur Überwachung zu stellen – ohne dass das Unternehmen sofort alle vorhandenen Systeme ersetzen muss.

Architektur und Anfragenablauf

1. Die Anwendung oder das Agent sendet eine Anfrage; die Kontrollschicht analysiert dabei die Identität des Benutzers, den Arbeitsbereich sowie den Kontext.
2. Die OPA-Strategie entscheidet anhand des Zugriffsgrades, der Datengrenzen, der Modellregeln und der Operationstypen, ob eine Aktion erlaubt ist.
3. Die Unified Graph-Anwendung analysiert die Abhängigkeiten zwischen Anwendungen, Daten, Tools und Modellen.
4. Der Model Router wählt auf der Grundlage von Strategie, Kapazität, Kosten und Verzögerung das Modell sowie den Datenpfad aus.
5. Die isolierte Datenebene führt die Anfragen während des Betriebs aus und gibt die Ergebnisse an die Anwendung oder das Agent zurück.
6. Das System protokolliert Telemetriedaten, Strategieentscheidungen, Aufrufe von Tools sowie Bereitstellungsereignisse zur Überwachung und Auditing.

Vollständiger Umsetzungsprozess

1. Listen Sie die Zielanwendungen, die Datensensitivität, die Benutzerrollen, die bestehenden Cloud-Lösungen sowie die einzuhaltenden Vorschriften auf, um eine Besprechung zur Identifizierung oder einen strukturierten Pilotversuch zu beantragen.
2. Wählen Sie zwischen den Optionen Standard, Pro, Enterprise oder Strategic aus und legen Sie in der Kostenaufstellung klar die Anzahl der Plätze, die Kapazität, die Umgebung sowie die Unterstützung fest.
3. Verbinden Sie Identitäten, Git, Daten, Modelle, Programmierschnittstellen und Observabilität unter Verwendung von Anmeldeinformationen mit minimalem Berechtigungsgrad für den Nicht-Produktivbetrieb.
4. Beschreiben Sie die Anwendung in App Studio und verknüpfen Sie Komponenten sowie Daten, oder entwerfen Sie Suchfunktionen, Werkzeuge und Zweige für Agenten in Copilot Studio.
5. Schreiben Sie die Berechtigungen, sensiblen Informationen, Anforderungen bezüglich der Speicherung von Daten, der Nutzung von Modellen sowie der Veröffentlichung in produktiven Umgebungen als ausführbare Richtlinien nieder.
6. In den Umgebungen DEV und STAGE werden Tests zu Funktionen, Sicherheit, Belastbarkeit, Red-Team-Tests sowie Wiederherstellung und manueller Freigabe durchgeführt.
7. Erstellen Sie die Produktversion durch Pipeline- und schrittweises Bereitstellungsverfahren, und überwachen Sie Fehler, Kosten, Routing sowie Audit-Logs.
8. Regelmäßig Schlüssel rotieren, Verbindungsrechte überprüfen, Modellobänderungen bewerten und das Exportieren von Code sowie Daten testen.

Passend für Nutzer und Szenarien

• Es wird angestrebt, den verschiedenen Geschäftsteams eine einheitliche AI-Anwendungsplattform zur Verfügung zu stellen und gleichzeitig die Entstehung einer „Shadow IT“ durch CIOs sowie Plattformverantwortliche zu vermeiden.
• Ingenieurteams, die interne Anwendungen schnell mit Unternehmenskomponenten und Referenzarchitekturen liefern müssen.
• Wir hoffen, Wissenssuche, Datenbankabfragen und Geschäftsprozesse zu einem audierbaren intelligenten Agenten als Teil eines AI-Teams zusammenzufassen.
• Es werden Sicherheits- und Compliance-Teams benötigt, die für strenge Datengrenzen, eine Whiteliste für Modelle, Datenmaskierung sowie Genehmigungsprozesse für die Veröffentlichung zuständig sind.
• Es werden eine private VPC, eine lokale oder isolierte Bereitstellung sowie regulierte Organisationen benötigt, die die Kontrolle über die Modellschlüssel und den Aufbewahrungsort der Daten haben.
• Systemintegratoren, die Plattformfähigkeiten für mehrere Kunden umsetzen, alte Systeme migrieren oder gemeinsame Roadmaps erstellen.

Preise, Angebote und Pilotprojekte

CodeConductor gibt keinen festen Betrag an; die Kostenschätzung berücksichtigt in der Regel den Aufbau der Infrastruktur, die Kapazität der Plattform, die Arbeitslast, die Anforderungen an die Verwaltung sowie den Standort der Installation. Für alle offiziellen Angebote muss man sich an den Vertrieb wenden. Bei den Lösungen für Unternehmen und strategische Kunden kann außerdem eine Abrechnung nach Kapazität oder nach erzielten Ergebnissen erfolgen.

Hinweise zur Umsetzung

• Die unbegrenzte Codeerstellung von Standard sowie GitLab und Pipelines bedeuten nicht, dass die Anzahl der Produkte, Funktionen und Integrationen ebenfalls unbegrenzt ist.
• Pro erweitert Produkte, Funktionen, Integrationen, Entwickler und Support, es bestehen jedoch weiterhin die in der Tabelle aufgeführten Grenzen für Kombinationen.
• Der maximale SLA-Wert von Enterprise von 99,99 % ist eine anpassbare Obergrenze und nicht der Standard-Servicelevel für alle Kunden.
• Frühzeitige Start-ups, gemeinnützige Organisationen und Bildungseinrichtungen haben spezielle Programme, wobei der Rabattprozentsatz im Verkaufsprozess festgelegt werden muss.
• Eine einheitlich veröffentlichte Rückerstattungs- und Stornierungsrichtlinie wurde in diesem Fall nicht bestätigt; sie muss im Angebot, im Hauptdienstleistungsvertrag sowie in der Bestellung festgelegt werden.

Einsatz und Plattformform

Sicherheits- und Konformitätsstatus

• Für den Transfer von Kundendaten wird TLS 1.2 oder eine neuere Version verwendet, und zur Verschlüsselung statischer Daten kommt AES-256 zum Einsatz.
• Die Identitätskontrolle umfasst SAML, OIDC SSO, Rollenrechte sowie Mindestrechte als Standard. Administratoren können Auditschlüssel abrufen oder deren Export anfordern.
• Der HIPAA-Status bedeutet, dass die Systeme für die entsprechenden Anwendungen geeignet sind, und es werden BAA-Angebote an qualifizierte Kunden bereitgestellt; die genauen Systemgrenzen müssen im Vertrag festgelegt werden.
• Die Angabe zum GDPR-Zustand, dass die Rechte der betroffenen Personen, eine rechtmäßige Verarbeitung sowie DPA unterstützt werden, bedeutet nicht, dass alle Compliance-Pflichten automatisch erfüllt sind, sobald der Kunde verbunden ist.
• SOC 2 Typ II ist derzeit noch in Bearbeitung und kann daher nicht als bereits erteilte Zertifizierung angesehen werden.
• Die Sicherheitsseite verspricht, keine Kundendaten zur Schulung von Modellen zu verwenden, und nutzt bei Verfügbarkeit Modelle Dritter unter der Bedingung einer Null-Datenbeibehaltung.
• Kunden können Anwendungen, Code und Daten exportieren, doch der tatsächliche Austrittsprozess, die Formatierung, die Fristen sowie die Kosten müssen im Vertrag festgelegt und durchgespielt werden.

Privatsphäre und Datenverarbeitung

• Die Datenschutzerklärung listet Namen, Telefonnummern, E-Mails, Adressen, Positionen, Kontodaten, Kontaktpreferenzen, Zahlungsinformationen sowie von den Nutzern freiwillig eingereichte Informationen auf.
• Das System kann außerdem IP-Adressen, Browser, Geräte, Betriebssysteme, besuchte Seiten, Verweildauer, Standort sowie Cookies und ähnliche Tracking-Daten verarbeiten.
• Die Zahlungen werden von Stripe abgewickelt, wobei die AI-Funktionen Eingaben, Ausgaben sowie relevante persönliche Daten an OpenAI, AWS AI, Anthropic und Google Cloud AI weiterleiten können.
• Die Verpflichtungen bezüglich der Sicherheit der Seite sowie die Regelungen zur Verarbeitung durch Dritte in der Datenschutzerklärung müssen zusammen betrachtet werden. Der Käufer muss weiterhin die jeweiligen Bedingungen und Regionen für die Nutzung jedes Modells überprüfen.
• Persönliche Daten werden so lange aufbewahrt, wie es zur Erreichung des festgelegten Zwecks notwendig ist – in der Regel nicht länger als die Dauer des Kontos. Wenn sie nicht mehr benötigt werden, werden sie gelöscht oder anonymisiert; Ausnahmen bei Backups erfordern eine Bestätigung.
• Eignungsberechtigte Nutzer können eine Anfrage stellen, um auf ihre Daten zuzugreifen, diese zu korrigieren, zu löschen, einzuschränken, Widerspruch einzulegen, ihre Einwilligung zurückzuziehen oder die Daten mitzunehmen, und können außerdem über Mechanismen zur Privatsphäresteuerung den Austausch von zielgerichteten Werbeanzeigen verweigern.
• Der Service ist nicht für Nutzer unter 16 Jahren bestimmt. Die Bedingungen der Website verlangen außerdem, dass die Nutzer mindestens 18 Jahre alt sind.

Code-Eigentum, API und Open-Source-Status

• Die Sicherheitsseite zeigt an, dass der Kunde über seine Anwendungen, Daten und Code verfügt. App Studio ermöglicht es außerdem, die Erstellungslogik in den Git-Repository des Kunden zu schreiben und daraus Exporte zu erstellen.
• Die Bedingungen der Website gewähren Personen lediglich eine eingeschränkte Lizenz zum nicht-kommerziellen Zugang zur Seite; für die Nutzung durch Unternehmen gelten gesondert abzuschließende Hauptdienstleistungsverträge, Datenservicevereinbarungen und Bestellverträge.
• Die Plattform kann CRUD-Schnittstellen erstellen und mit internen Programmschnittstellen verbinden, doch es wurde diesmal weder eine einheitliche Entwickler-API noch ein allgemeines SDK für die Öffentlichkeit bestätigt.
• Die Integration in GitHub, die Hosting-Option für GitLab, die Möglichkeit, Code zu exportieren, sowie die Verwendung von Open-Source-Frameworks bedeuten nicht, dass das CodeConductor-Produkt selbst open source ist.
• Da weder ein offizielles öffentliches Code-Repository noch eine Open-Source-Lizenz für das Produkt bestätigt werden konnten, sollte die Plattform als proprietäres Geschäftsdienstleistung angesehen werden.

Fähigkeitsgrenzen

• Strategiekoden sind nur dann wirksam, wenn die Regeln vollständig und der Kontext korrekt sind; fehlerhafte Strategien können zu Fehlfreigaben oder zur Störung des normalen Geschäftsbetriebs führen.
• RAG, Modellrouting und Illusionserkennung können die Kontrollierbarkeit verbessern, aber sie garantieren nicht, dass jede Antwort wahrheitsgetreu, vollständig oder für die automatische Ausführung geeignet ist.
• Eine große Anzahl an Connectoren bedeutet nicht, dass alle Abläufe bereits voreingestellt sind – Authentifizierung, Feldzuordnung, Limitierung der Anfragen sowie Fehlerbehebung müssen weiterhin umgesetzt werden.
• Der generierte Code muss den üblichen Prozessen der Code-Überprüfung, Abhängigkeitsanalyse, Tests und Change-Management durchlaufen; es reicht nicht aus, wenn die Plattform-Scan erfolgreich ist.
• Bewölkte, lokale und isolierte Implementierungen erhöhen die Komplexität bei Netzwerken, Updates, Schlüsseln, Überwachung und Katastrophenwiederherstellung.
• Die auf der Website angegebenen Beispiele für Effizienz und Kosten sollten nicht direkt als Zusagen hinsichtlich der Ersparnisse durch den Einkauf angesehen werden. Unternehmen sollten stattdessen ihre eigenen Basisdaten sowie Pilotdaten nutzen, um eine Bewertung vorzunehmen.

Zusammenfassung

CodeConductor eignet sich für Organisationen, die sowohl die Geschwindigkeit bei der Bereitstellung von Anwendungen und Agenten als auch eine einheitliche Verwaltung von Modellen, Daten, Code und der Deployment-Prozesse anstreben. Der Schwerpunkt bei der Auswahl sollte auf der Prüfung im Pilotbetrieb, den Obergrenzen des Konzepts, den Verantwortlichkeiten beim Deployment, der Aufbewahrung der Modelle, dem Fortschritt bei SOC 2, den Ausstiegsübungen sowie den Vertragskonditionen liegen – und nicht nur auf der Geschwindigkeit der Erstellung der Benutzeroberfläche.