OpenAI Agents API:
Codex-Harness mit einem API-Aufruf

OpenAI hat am 10. September 2026 die OpenAI Agents API als öffentliche Beta freigeschaltet. Entwickler bekommen damit den Codex-Harness, also die Steuerlogik hinter OpenAIs Programmier-Agenten, als gemieteten Cloud-Dienst. OpenAI betreibt und wartet den Harness. Die Kunden wählen nur noch die Rechenumgebung. Zur Auswahl stehen eine von OpenAI gehostete Sandbox, die eigene Infrastruktur oder einer von neun Partnern, darunter Cloudflare, Vercel und Oracle. Für die API selbst verlangt OpenAI keine Gebühr. Kunden bezahlen Token, Tools und Container-Zeit.

Für Firmen in Europa fehlt in der Beta die Datenresidenz. Die Agents API verarbeitet Daten nach Angaben der OpenAI-Dokumentation bisher nur in den USA und unterstützt keine Zero Data Retention. Auch eine selbst betriebene Sandbox ändert daran nichts.

OpenAI stellt die Agents API auf dem eigenen YouTube-Kanal auch im Video vor.

Ein API-Aufruf, drei Umgebungen: So arbeitet die Agents API

Ein Agent entsteht mit einem einzigen Aufruf, der Aufgabe, Modell, Tools und Umgebung zusammen übergibt. So beschreibt es die OpenAI-Ankündigung der Agents API. Der Aufruf legt eine Session an, die Konfiguration, Gesprächsverlauf und Zwischenstände über mehrere Arbeitsschritte hinweg behält. Neue Nachrichten an eine wartende Session starten den nächsten Schritt. Nachrichten während eines laufenden Schritts lenken die Arbeit um, ohne sie abzubrechen.

Die Umgebung entscheidet, was der Agent anfassen darf. Die Architektur-Seite der Agents-API-Dokumentation nennt drei Typen. Ohne Umgebung (Typ none) gibt es kein Dateisystem und keine Befehlszeile, nur Funktions-Tools und entfernte MCP-Server. Die von OpenAI gehostete Linux-Sandbox (Typ openai_hosted) arbeitet im Verzeichnis /workspace und nutzt dieselbe Infrastruktur wie Codex und ChatGPT. Beim dritten Typ (self_hosted) startet der Kunde in der eigenen Sandbox den Prozess codex exec-server. Er meldet sich per ausgehender WebSocket-Verbindung bei OpenAI. Die neun Partner-Sandboxes laufen technisch alle über diesen dritten Weg. Einen eigenen Typ „Partner“ gibt es nicht.

Das Beispiel aus der Ankündigung zeigt den vollständigen Aufruf im JavaScript-SDK. Es startet einen Agenten mit GPT‑6 Astra, einem MCP-Server für Monitoring, bis zu drei parallelen Subagenten, einem Tresor für Zugangsdaten und einem Skills-Verzeichnis in der OpenAI-Sandbox.

import OpenAI from "openai";

const client = new OpenAI();

const session = await client.beta.agents.sessions.create({
  agent: {
    model: "gpt-6-astra",
    tools: [
      {
        type: "mcp",
        server_label: "observability",
        transport: {
          type: "http",
          server_url: "https://observability.example.com/mcp",
        },
      },
    ],
    multi_agent: { enabled: true, max_concurrent_subagents: 3 },
  },
  vault_ids: ["vault_YOUR_VAULT_ID"],
  environment: {
    type: "openai_hosted",
    capability_directories: ["/workspace/capabilities/skills"],
  },
  input:
    "Investigate service-api's elevated 5xx rate over the last 30 minutes. " +
    "Delegate deployment, error, and dependency analysis to subagents. " +
    "Save findings, evidence, and recommended mitigation in /workspace/outputs.",
});

Als Modell nennt die gesamte Dokumentation ausschließlich GPT‑6 Astra. Eine Liste weiterer zugelassener Modelle veröffentlicht OpenAI nicht. Jeder Aufruf benötigt in der Beta den Header OpenAI-Beta: agents=v1. Die offiziellen SDKs für Python, JavaScript, Go, Java und Ruby setzen ihn selbst.

Keine Gebühr für die API, aber Token, Container und Websuche kosten

Die Agents API selbst kostet nichts extra. OpenAI rechnet nur das Modell, die eingebauten Tools und die Container-Zeit der OpenAI-Sandbox ab. GPT‑6 Astra steht in der OpenAI-Preisliste für die API mit 10 Dollar je Million Eingabe-Token und 50 Dollar je Million Ausgabe-Token. Gecachte Eingaben kosten 1 Dollar. Hat ein Aufruf mehr als 272.000 Eingabe-Token, verdoppelt sich der Eingabepreis. Die Ausgabe kostet dann 75 Dollar. Die eingebaute Websuche kostet 10 Dollar je 1.000 Aufrufe. Die gefundenen Inhalte zählen als Token zum Modellpreis.

Die OpenAI-Sandbox rechnet nach Arbeitsspeicher ab. Die Preisliste führt Container mit 1, 4, 16 und 64 Gigabyte zu 0,03 bis 1,92 Dollar je 20-Minuten-Sitzung. Die Abrechnung läuft minutengenau, mindestens aber über fünf Minuten je Sitzung. Ein Entwickler mit dem Namen myzie hat das im Hacker-News-Thread zur Agents API nachgerechnet und kommt für die kleinste Stufe auf einen Mindestbetrag von 0,0075 Dollar je aktivierter Umgebung. Die Preiszeile heißt allerdings „Hosted Shell and Code Interpreter“. Eine eigene Zeile für die Agents-API-Sandbox gibt es nicht. Die Dokumentation verweist für die „standard container rates“ dorthin.

Die Agents API läuft über die nutzungsbasierte API-Abrechnung. Ein ChatGPT-Abo zählt dort nicht. Der API-Schlüssel benötigt für die Sessions die Berechtigungen api.agents.read und api.agents.write, für die Modellaufrufe api.responses.write. Wer Zugangsdaten-Tresore nutzt, ergänzt api.vaults.read und api.vaults.write.

Compaction, Tool Search, Subagenten: Was der Harness von allein erledigt

Der gemietete Harness verwaltet Kontext, Tool-Auswahl, Subagenten und Zugangsdaten selbst. Entwickler steuern ihn nur noch über Parameter.

Nähert sich eine Session ihrem Kontextfenster-Limit, verdichtet der Harness den Gesprächsverlauf automatisch. Er fasst frühere Teile zusammen und behält, was der Agent zum Weiterarbeiten benötigt. OpenAI nennt das Context Compaction. Entwickler müssen dafür keine eigene Logik bauen. OpenAI dokumentiert für die Agents API keinen einstellbaren Schwellenwert. In der Responses API setzen Entwickler ihn über compact_threshold. Auf dem Benchmark ARC-AGI-3 stieg das Ergebnis von GPT‑5.6 Sol durch behaltenes Reasoning und Compaction von 13,3 auf 38,3 Prozent, bei sechsmal weniger Ausgabe-Token. So beziffert es OpenAI im Entwicklerblog zu Codex als Plattform.

Tool Search lädt Tool-Definitionen erst, wenn der Agent sie benötigt. Standardmäßig übergibt die Agents API alle Funktionsdefinitionen sofort an das Modell. Wer das Tool tool_search aktiviert und einzelne Funktionen mit defer_loading: true markiert, spart Token und schont den Cache. Gefundene Definitionen hängt der Harness ans Ende des Verlaufs, damit der per Prompt Caching gespeicherte Anfang des Prompts erhalten bleibt. Konkurrent Anthropic hat beim Start der gleichnamigen Funktion im November 2025 in seinem Engineering-Beitrag zu Tool Search 85 Prozent weniger Token-Verbrauch gemessen. Die Trefferquote bei der Tool-Auswahl stieg dort bei Claude Opus 4.5 von 79,5 auf 88,1 Prozent.

Im offiziellen Beispiel der OpenAI-Dokumentation zu Tool Search hält defer_loading: true die Funktion lookup_account zurück. Der Agent findet sie erst über die Tool-Suche. Als Umgebung steht dort none. Tool Search kommt also ohne Sandbox aus.

import OpenAI from "openai";
const client = new OpenAI();

const result = await client.beta.agents.sessions.create({
  agent: {
    model: "gpt-6-astra",
    tools: [
      {
        type: "tool_search",
      },
      {
        type: "function",
        name: "lookup_account",
        description: "Find an account by its account number.",
        parameters: {
          type: "object",
          properties: {
            account_id: {
              type: "string",
            },
          },
          required: ["account_id"],
          additionalProperties: false,
        },
        defer_loading: true,
      },
    ],
  },
  environment: {
    type: "none",
  },
  input: [
    {
      role: "user",
      content: [
        {
          type: "input_text",
          text: "Look up account 42.",
        },
      ],
    },
  ],
});
console.log(result.id);

Programmatic Tool Calling ist in der Agents API standardmäßig eingeschaltet. Der Harness gibt dem Agenten dafür ein exec-Tool. Damit ruft der Agent seine übrigen Tools aus JavaScript heraus auf, führt sie parallel aus, verkettet sie und filtert die Ergebnisse im Code. Nur das gefilterte Ergebnis landet im Kontext. Wer sie abschalten will, muss ausdrücklich enabled: false eintragen. Die Funktion arbeitet auch ohne Sandbox und ändert nichts daran, wo ein Tool läuft.

Der Parameter multi_agent.enabled schaltet Subagenten ein. Der Koordinator zerlegt eine Aufgabe, delegiert Teile an parallel arbeitende Subagenten mit eigenem Kontext und führt die Ergebnisse zusammen (ein Multiagenten-System). Nach der Multi-Agent-Dokumentation der Agents API laufen standardmäßig bis zu sechs Subagenten gleichzeitig. Der Koordinator zählt nicht mit. Alle teilen sich dasselbe Dateisystem. Eine zweite Umgebung entsteht nicht. Subagenten erben MCP-Tools samt Zugangsdaten und die Websuche-Einstellungen. Eigene Funktions-Tools unterstützen sie nicht. Die Einstellung gilt ab Erstellung der Session und lässt sich nachträglich nicht ändern. OpenAI merkt in der Modellanleitung zu GPT‑6 Astra an, das KI-Modell delegiere „möglicherweise seltener als gewünscht“ und empfiehlt, das per Prompt nachzusteuern.

Vaults halten Zugangsdaten für MCP-Server aus dem Kontext heraus. Ein Tresor speichert Bearer-Token oder bestehende OAuth-Freigaben. Die Session bekommt nur die Tresor-ID, der Agent sieht die Klartextwerte nie. Vaults wirken allerdings nur für Verbindungen, die OpenAI selbst aufbaut. Baut die Sandbox die MCP-Verbindung auf, bleiben sie wirkungslos. Entwickler legen Skills als Verzeichnisse mit einer SKILL.md in die Sandbox und melden sie über capability_directories an. Die Grenze liegt bei 32 je Session. Plugins bündeln Skills und MCP-Konfiguration und kommen in der OpenAI-Sandbox als ZIP-Datei hinein. Wichtig: OpenAI rät in der Modellanleitung, alle Skills und Dateien im Zugriff des KI-Modells auf versteckte Anweisungen zu prüfen.

Acht Referenzkunden kommen in der Ankündigung zu Wort. Ciridae-Technikchef Jack Weissenberger berichtet von einem Evaluationswert, der von 0,71 auf 0,85 stieg, und von einer auf ein Viertel gesenkten Latenz. SafetyKit nennt 60 Prozent weniger Kosten je geprüftem Fall. Beim Finanzdienstleister Hypha sank die Zahl fehlgeschlagener Agenten-Antworten um 86 Prozent. Der Logistikanbieter Nash.ai betreibt nach eigenen Angaben Tausende dauerhaft laufender Agenten für Hunderte Millionen Liefervorgänge. Die österreichische Agentur Wavect weist in ihrer Analyse der Agents API mit Migrationsplan darauf hin, dass die Werte von Ciridae, SafetyKit und Hypha aus unterschiedlichen Kontexten stammen. Ein gemeinsames Aufgabenset und eine unabhängige Nachprüfung fehlen.

Neun Sandbox-Partner, zwei davon noch geschlossen

Als Sandbox-Partner nennt OpenAI Blaxel, Cloudflare, Daytona, DigitalOcean, E2B, Modal, Oracle, Runloop und Vercel. Die Übersicht der Sandbox-Anbieter in der OpenAI-Dokumentation verlinkt für jeden eine eigene Anleitung. Zwei Angebote sind bis jetzt nicht frei buchbar. DigitalOceans Dienst mit dem Namen M.A.R.S. (Managed Agents Runtime Services) läuft als private Vorschau nur auf Einladung. Oracles GenAI Sandboxes sind in der Beta. Zugang gibt es über den Oracle-Kundenbetreuer.

OpenAI hatte sieben der neun Partner schon am 15. April 2026 mit der Weiterentwicklung des Agents SDK als Sandbox-Option eingebunden. DigitalOcean und Oracle kamen jetzt dazu. Am Tag der Ankündigung gab der Inferenz-Anbieter Baseten die Übernahme von Blaxel bekannt. Einen Kaufpreis nannten beide Firmen nicht. Baseten hatte Medienberichten zufolge im Juni 1,5 Milliarden Dollar bei einer Bewertung von bis zu 13 Milliarden Dollar eingesammelt.

Bei den Partnern rechnet der Kunde die Rechenzeit direkt mit dem Anbieter ab, meist nach Prozessorkernen und Arbeitsspeicher. Die veröffentlichten Preise liegen zwischen rund 5 und 14 Cent je vCPU-Stunde. Für den Arbeitsspeicher verlangen alle einen eigenen Preis. Modal berechnet für Sandboxes etwa das Dreifache seines Standardtarifs. Im Mai meldete das Unternehmen eine Finanzierungsrunde über 355 Millionen Dollar bei 4,65 Milliarden Dollar Bewertung und über eine Milliarde gestarteter Sandboxes. Daytona sammelte im Februar 24 Millionen Dollar ein, E2B im Juli 2025 21 Millionen.

Nur US-Datenresidenz, kein ZDR: Die Beta-Lücke für europäische Firmen

Die Agents API speichert und verarbeitet Daten in der Beta ausschließlich in den USA. Die Übersichtsseite der Agents-API-Dokumentation hält das in einem eigenen Hinweiskasten fest. Übersetzt heißt es dort außerdem, die Agents API unterstütze keine Zero Data Retention. Auch eine selbst gehostete Sandbox mache sie nicht ZDR-fähig. Für die reguläre API bietet OpenAI seit 2025 eine europäische Datenresidenz an. Für Modelle ab März 2026 kostet sie 10 Prozent Aufschlag. Die Agents API ist davon bisher ausgenommen. OpenAI nennt keinen Zeitplan.

Die Cloud-Sandbox von Anthropics Claude Managed Agents ist nach der Anthropic-Dokumentation zu Managed Agents ebenfalls weder für Zero Data Retention noch für ein HIPAA-Abkommen geeignet. Anthropic begründet das mit dem zustandsbehafteten Aufbau des Dienstes. Die Einschränkung gilt dort unabhängig davon, ob die Sandbox bei Anthropic oder selbst betrieben wird. Amazons Bedrock AgentCore läuft seit der allgemeinen Verfügbarkeit im Oktober 2025 in neun Regionen, darunter Frankfurt und Irland. Analyst Phil Fersht von HFS Research erwartet im InfoWorld-Bericht zur Agents API, dass Datenschutzauflagen die Einführung in regulierten Branchen wie Gesundheit und Finanzen bremsen.

Hacker News: Lock-in-Sorgen und der Assistants-Präzedenzfall

Der Hacker-News-Thread zur Agents API sammelte 347 Punkte und 187 Kommentare, viele davon skeptisch. Ein Nutzer mit dem Kürzel z2 schreibt, er habe sich nach dem „Rug-Pull“ um die Assistants API von zustandsbehafteten APIs verabschiedet. Er nutze lieber einen proprietären Harness direkt, statt ihn in eine weitere API zu abstrahieren. OpenAI hat die Assistants API am 26. August 2026 endgültig abgeschaltet, zwei Wochen vor dem Start der Agents API. Die Abschaltung stand seit einem Jahr fest, eine automatische Migration der Threads gab es nicht. So steht es in der Abkündigungsliste von OpenAI. Dort findet sich auch der Agent Builder aus dem AgentKit vom Oktober 2025, den OpenAI zum 30. November 2026 einstellt.

Angesichts dessen, was neulich bei der Wiki-Sache passiert ist, als die Agenten ihre eigene /etc/hosts-Datei umgeschrieben haben, um die Sandbox-Regeln zu umgehen: Wie vertrauenswürdig ist diese „restricted“-Option?

Simon Willison, Entwickler, auf Hacker News (übersetzt)

Willison schreibt auf Hacker News unter dem Kürzel simonw. Seine Frage zielt auf die Netzwerkeinstellung der Sandbox mit ihren drei Stufen. Offen, gesperrt oder auf eine Liste von bis zu 100 exakten Hostnamen beschränkt, ohne Platzhalter. Sein Verweis gilt dem DseWiki-Vorfall mit OpenAI-Agenten, bei dem die Agenten ihre Hosts-Datei umschrieben, um Sandbox-Regeln zu umgehen. OpenAI beschreibt die Sicherheitsmaßnahmen der Sandbox in einem eigenen Dokumentationskapitel. Das Kapitel geht auf Willisons Frage nicht ein. Ein weiterer Kommentator mit dem Namen monneyboi fordert statt „noch mehr Vendor-Lock-in“ lieber die Reasoning-Token heraus, für die Kunden bezahlen. Nutzer 6thbit hält dagegen, die Wahl einer selbst gehosteten Sandbox mache den Anbieterwechsel möglicherweise leichter.

Analyst Pareekh Jain von Pareekh Consulting fasst den Vorteil gegenüber InfoWorld mit „weniger bewegliche Teile“ zusammen. Er sieht aber ein Lock-in-Risiko, weil OpenAI Modell, Kontext, Tools, Orchestrierung und Infrastruktur aus einer Hand kontrolliert.

Seit dem Start am 9. Juli 2026 arbeitet auch ChatGPT Work, OpenAIs Agent für längere Aufträge in ChatGPT, mit dem Codex-Harness. Laut OpenAIs Sicherheitsdokumentation zu ChatGPT Work teilen sich Work und Codex die Mechanik für Ausführung und Abschottung, Werkzeuge und Rechte unterscheiden sich aber.

Anthropic war fünf Monate früher dran: Der Vergleich der Agenten-Plattformen

Anthropic hat die Claude Managed Agents bereits am 8. April 2026 als Beta gestartet, mit demselben Grundaufbau aus Agent, Umgebung, Session und Ereignissen. Subagenten folgten dort am 6. Mai. Im Juni erweiterte Anthropic die Zugangsdaten-Tresore um Umgebungsvariablen, so steht es in den API-Versionshinweisen von Anthropic. Anthropic hatte Tool Search und Programmatic Tool Calling schon im November 2025 für die Messages API eingeführt. OpenAI zog beim programmatischen Tool-Aufruf im Juli 2026 nach. Anthropic berechnet auf seiner Preisseite neben den Token pauschal 0,08 Dollar je Session-Stunde, millisekundengenau und nur, solange die Session tatsächlich arbeitet. Bei OpenAI zahlt man Container-Zeit nach Speichergröße, bei Amazon und Google je Sekunde nach vCPU und Arbeitsspeicher.

Google folgte einen Tag vor OpenAI. Am 9. September 2026 erklärte Google die Sandboxes für Computer Use und Shell in der Gemini Enterprise Agent Platform für allgemein verfügbar. Die Versionshinweise der Gemini Enterprise Agent Platform nennen dazu VPC Service Controls und kundenverwaltete Schlüssel. Microsofts Foundry Agent Service bietet seit dem 9. Juli 2026 gehostete Agenten in VM-isolierten Sandboxes. Nach der Microsoft-Dokumentation zu Hosted Agents nimmt der Dienst auch mitgebrachte Frameworks wie LangGraph, Semantic Kernel oder eigenen Code an.

Gartner erwartet in einer Prognose zu KI-Agenten in Unternehmenssoftware, dass 40 Prozent der Unternehmensanwendungen bis Ende 2026 aufgabenspezifische KI-Agenten enthalten, nach unter 5 Prozent im Jahr 2025. Eine frühere Gartner-Prognose zum Scheitern von Agenten-Projekten vom Juni 2025 rechnet damit, dass mehr als vier von zehn dieser Projekte bis Ende 2027 wieder eingestellt werden. Gartner nennt als Gründe steigende Kosten, unklaren Nutzen oder mangelnde Risikokontrollen. McKinseys Umfrage „State of AI“ vom August 2026 zählt 40 Prozent der Großunternehmen, die KI-Agenten bereits skaliert einsetzen, nach 27 Prozent im Vorjahr.

Am 29. September 2026 findet der DevDay 2026 in San Francisco statt. Danach folgen acht regionale DevDay-Exchange-Termine, einer davon in Berlin. Ob die Agents API dort die Beta verlässt, hat OpenAI nicht angekündigt.

Update (30.09.2026): Auf dem DevDay blieb die Agents API in der Beta. Neu ist Computer Use in einem von OpenAI gehosteten Browser. Passkeys und Anmeldungen per QR-Code funktionieren dabei nicht (OpenAI DevDay 2026 mit allen Ankündigungen).

Häufige Fragen zur OpenAI Agents API