Server-Kit

Das gehört auf den Rechner, den Sie bedienen wollen. Der Agent ist eine einzige Datei, golem.exe. Es gibt keinen Installer: Kopieren Sie sie, wohin Sie wollen, und starten Sie sie. Sie fasst die Registry nicht an, legt keine Dienste an und hinterlässt nichts außer ihrem eigenen Log daneben.

Der Agent trägt keine Lizenz und kostet nichts für das Verbinden. Kopieren Sie ihn auf so viele Rechner, wie Sie wollen. Lizenziert wird der Client am anderen Ende (Installation).

Sitzt vor dem Server niemand, lässt der Guardian Ihre Techniker hinein, ohne dass jemand den Agenten startet. Er gehört zu Golem Unternehmen.

Sie suchen das Programm, mit dem Ihnen jemand an Ihrem Computer hilft? Das ist Golem Assist: eine Datei, ein Knopf und zwölf Ziffern. Sie finden es unter Fernhilfe. Beide nebeneinander: Welches lade ich herunter?

Get-FileHash -Algorithm SHA256 "$HOME\Downloads\Golem-Server-1.6.0.zip"

Was das Kit enthält

Welche der beiden .bat-Dateien

In einer Frage: Ist dieser Rechner von außen erreichbar? Ein VPS, ein Server mit öffentlicher IP oder ein Rechner im selben Netz wie der Techniker: die erste. Ein PC zu Hause, einer an einer Mobilverbindung oder einer im Firmennetz: die zweite, denn dort gibt es keinen Port zu öffnen, und die Verbindung muss von diesem Rechner nach außen gehen. Die zweite braucht keine Administratorrechte.

Starten

Doppelklick auf die passende .bat. Beim Start gibt der Agent ein Banner mit Rechner, Port, Audit-Log, Tools und am Ende der golem_connect-Zeile aus, die er bereits in die Zwischenablage kopiert hat: Einfach (Strg+V) in den Chat von Claude einfügen, oder in die E-Mail oder Nachricht an Ihren Techniker.

Die Zeile wird in keiner Datei gespeichert, und das ist Absicht. Das Token ändert sich bei jedem Start, eine gespeicherte Zeile wäre also tot, sähe aber gültig aus. Beim Schließen des Fensters oder mit Strg+C beendet sich der Agent geordnet und vermerkt das in seinem Log.

Die drei Startarten

Drei Dinge zum Tunnel

1. Die Adresse ändert sich bei jedem Start, genau wie das Token. Warten Sie etwa zehn Sekunden, bevor Sie die Zeile einfügen: Der Name erscheint am Bildschirm, bevor das DNS ihn auflösen kann.
2. Durch den Tunnel darf nichts länger als 125 Sekunden dauern. Das ist eine Grenze von Cloudflare: Ein run_powershell von mehr als zwei Minuten oder ein langes Warten stirbt dort. Starten Sie den Job im Hintergrund und fragen Sie in kürzen Runden nach.
3. Es ist der kostenlose Dienst von Cloudflare, ohne Verfügbarkeitszusage. Um einem Kunden eine Weile zu helfen, reicht er völlig; für etwas, das zu einer festen Zeit laufen muss, nehmen Sie die öffentliche IP mit Fingerabdruck.

TLS und Firewall

TLS ist standardmäßig an. Der Agent erzeugt bei jedem Start sein eigenes Zertifikat, und die golem_connect-Zeile trägt am Ende dessen Fingerabdruck; deshalb wird sie vollständig eingefügt. Mit --no-tls reist das Token im Klartext: gut für ein LAN, nicht für das Internet.

Als Administrator gestartet, legt der Agent eine eigene eingehende Regel für seinen Port an (Golem-agente-8797) und entfernt sie beim Beenden. In einer normalen Konsole kann er das nicht, sagt es und gibt Ihnen den vollständigen netsh-Befehl. Mit Tunnel gibt es nichts zu öffnen.

Ein Agent mit weniger Händen

Soll auf diesem Rechner nur hingesehen werden, starten Sie ihn mit --read-only (oder Doppelklick auf Start - look only, server with public IP.bat). Er veröffentlicht nur die Tools, die hinsehen: host_info, Dateien, Screenshots, Prozesse, den Zustand der Dienste und was FoxAgent untersucht. run_powershell, Dateien schreiben, Prozesse starten oder beenden und die Skripte in scripts\ werden nicht veröffentlicht; service schon, antwortet aber nur auf action=status. Für Feineres gibt es --allow mit einer Liste von Mustern, und beides lässt sich kombinieren: Durch kommt, was passt und hinsieht.

golem serve --read-only

Ihre Skripte und die MCP-Server des Rechners

scripts\: Jede .ps1, die Sie in diesen Ordner neben golem.exe legen, wird als weiteres Tool veröffentlicht, mit der Beschreibung und den Parametern, die das Skript selbst deklariert. Der Ordner wird beim Start gelesen.

golem.mcp.json: Gibt es auf diesem Rechner einen MCP-Server (zum Beispiel FoxAgent), startet Golem ihn beim Hochfahren und veröffentlicht seine Tools als <alias>__<tool>. Die Datei hat dieselbe Form wie die .mcp.json von Claude; der Pfad wird vollständig geschrieben, weil Golem nicht im PATH sucht:

{
  "mcpServers": {
    "foxagent": {
      "command": "C:\\Program Files\\FoxAgent\\FoxAgent.McpHost.exe",
      "args": []
    }
  }
}

Fällt ein Server aus, startet ihn der nächste Aufruf neu, höchstens einmal pro Minute. Beendet sich der Agent, nimmt er die gestarteten Server mit.

Was er protokolliert

golem-audit.log, neben der exe und auf Spanisch: eine Zeile pro Aufruf: welches Tool, welche Argumente, wie lange, wie es endete, und eine pro übertragener Datei, mit ihrem sha256. Es enthält kein Token und kann daher gezeigt werden.

Es vermerkt auch, mit welcher Lizenz sich jeder Client nach eigener Angabe verbunden hat, und der Agent prüft sie nicht und weist deshalb niemanden ab:

… [agente] -- sesion abierta -- el cliente dice: modo licenciado, id _GY9C452T (4c77b9d2)

Den Zustand ohne Token prüfen

GET /health antwortet jedem, der den Port erreicht, ohne Anmeldedaten: Status, auf Haupt- und Nebenversion gekürzte Version und Anzahl der Tools. GET /sessions liefert die Zahl der aktiven Sitzungen. Keine der beiden gibt Tokens zurück. Alles andere verlangt das Token. Wollen Sie nichts offenlegen, starten Sie mit Tunnel oder mit --host 127.0.0.1.

Aktualisieren

Die neue golem.exe über die alte kopieren und erneut starten. Nichts auf der Festplatte hängt von der Version ab. Lief sie noch, schließen Sie sie vorher: Eine laufende ausführbare Datei lässt sich nicht überschreiben.