Qwen3.8-27B: Computer-Use-Agenten selbst hosten, ohne Screenshots zu exportieren

Qwen3.8-27B ist das erste Modell mit offenen Gewichten, dessen veröffentlichter Wert für Desktop-Bedienung über den Hosted-Modellen der eigenen Vergleichstabelle liegt. Kommerziell zählt das aus einem Grund: Screen-Automatisierung ist genau die Aufgabe, bei der sich das Senden von Daten an eine fremde API am schlechtesten verteidigen lässt. Ein Screenshot trägt alles mit, was zufällig am Bildschirm war, inklusive dem Kundendatensatz neben der Rechnung, die gelesen werden sollte.

Dieser Artikel beantwortet eine enge Kauffrage: Kann ein selbst gehosteter Screen-Agent heute sinnvolle Back-Office-Arbeit übernehmen, und was muss stimmen, bevor er ein Produktionssystem anfasst? Es ist keine Hardware-Dimensionierung. Für Speicherbudgets, Quantisierungs-Kompromisse und Piloten auf einer Workstation nimm unseren Leitfaden zu Hardware und Benchmarks lokaler Agentenmodelle. Wenn du ein gehostetes Computer-Use-Produkt kaufen willst statt selbst zu betreiben, lies unsere Analyse eines Computer-Use-Agenten aus der Research Preview. Diese drei Suchintentionen liegen absichtlich auf getrennten Seiten.

Was Qwen3.8-27B wirklich ist

Das Qwen-Team von Alibaba hat die Gewichte am 14. August 2026 veröffentlicht. Die offizielle Modellkarte zu Qwen3.8-27B ist die Primärquelle für diesen Abschnitt und für die Benchmark-Tabelle darunter.

Die Zahl, die die Make-or-Buy-Frage verschiebt

OSWorld-Verified misst, ob ein Agent echte Aufgaben in einer echten Desktop-Umgebung abschließt: Datei öffnen, Einstellung ändern, Formular fertigstellen. Das ist der beste öffentliche Näherungswert für die Back-Office-Arbeit, die Unternehmen tatsächlich automatisieren wollen. Qwens Tabelle setzt ein Modell, das du selbst betreiben kannst, vor die dort gelisteten Hosted-Modelle.

Lies die WebArena-Zeile vor der OSWorld-Zeile. Ein Wert von 64,8 bei Browser-Aufgaben heißt, dass etwa jeder dritte Versuch genau dort scheitert, wo die meiste kommerzielle Automatisierung lebt. Das Desktop-Ergebnis ist wirklich stark. Es ist keine Erlaubnis, einen Agenten auf dein ERP zu richten und den Raum zu verlassen.

Warum eine Herstellertabelle keine Modellwahl entscheidet

Zwei Hersteller haben innerhalb weniger Tage unterschiedliche Werte für dasselbe fremde Modell im selben Benchmark veröffentlicht. Qwen nennt für die eigene Vorgängergeneration Qwen3.6-27B 63,9 auf OSWorld-Verified. Metas Launch-Tabelle für das eigene lokale 30B-Modell nennt 75,6 für dieselbe Qwen-Generation, wie in unserem Muse-Glimmer-Leitfaden beschrieben.

Keine der beiden Zahlen muss falsch sein. Computer-Use-Ergebnisse hängen am Scaffold: wie viele Schritte der Agent nehmen darf, in welcher Auflösung er den Bildschirm sieht, ob ein Accessibility-Baum verfügbar ist, wie Tool-Fehler wiederholt werden, welcher System-Prompt ihn steuert. Genau deshalb kann eine Herstellertabelle dein Ergebnis nicht vorhersagen. Der Harness ist Teil der Messung, und in deinem Betrieb ist der Harness deiner.

Unsere Regel: Veröffentlichte Tabellen entscheiden, was einen Test verdient, niemals was in Produktion geht. Friere dein eigenes Scaffold ein und miss neu. Dieselbe Disziplin gilt beim Geld, das wir in Kosten pro Token gegen Kosten pro akzeptierter Aufgabe modellieren.

Screenshots sind die Nutzlast, die du am wenigsten exportieren willst

Text-Prompts kann man filtern. Die Eingabe eines Screen-Agenten nicht, jedenfalls nicht vollständig. Er sieht das Fenster, das er bedienen soll, plus alles ringsherum: den Nachbardatensatz, das offene Ticket, das interne Dashboard, den Namen einer Kollegin in einer Benachrichtigung. Anonymisierung vor dem Aufruf, wie in Personenbezogene Daten entfernen, bevor sie beim LLM landen beschrieben, funktioniert bei strukturiertem Text. Bei beliebigen Pixeln überlebt sie nicht.

Deshalb ist ein Modell mit offenen Gewichten und glaubwürdigen Desktop-Werten etwas anderes als ein etwas besseres Hosted-Modell. Inferenz im eigenen Netz entfernt die Übermittlung, die Frage nach Speicherfristen beim Anbieter und einen weiteren Subunternehmer-Eintrag. Sie entfernt nicht deine Pflichten als Betreiber, und sie bringt die Arbeit mit, den Stack selbst zu betreiben. Wenn die Übermittlung deine Risikobewertung blockiert, räumt dieses Release den Blocker weg. Wenn der echte Blocker ist, dass niemand im Team GPUs betreiben will, hilft Selbsthosting nicht.

Was der hybride Attention-Stack für deine Serving-Planung ändert

Kapazitätsplanung für einen dichten Transformer lässt sich nicht übertragen. Drei Viertel der Layer sind hier Gated-DeltaNet-Layer, die einen rekurrenten Zustand fester Größe halten statt eines Key-Value-Caches, der mit jedem Token wächst. Langer Kontext ist damit keine einzelne lineare Speicherkurve mehr, und Schätzwerte, die du für einen 27B-Transformer im Kopf hast, führen in beide Richtungen in die Irre.

Das SGLang-Deployment-Cookbook für dieses Modell zeigt die Folge direkt: Der hybride State-Cache hat eigene Sizing-Flags, darunter --mamba-full-memory-ratio und --max-mamba-cache-size, und das Cookbook nennt BF16-, FP8- und NVFP4-W4A4-Checkpoints mit Multi-Token-Prediction im Checkpoint, ausgerichtet auf Single-GPU-Serving auf Hardware der Klassen H200, RTX PRO 6000, RTX 5090 und DGX Spark.

Daraus folgen vier Planungspunkte, und jeder ist eine Messung statt einer Formel:

• Vorab reservierter Speicher ist eine Budgetentscheidung. Der State-Cache wird im Voraus belegt. Freier Speicher im Leerlauf sagt sehr wenig über das Verhalten bei deiner echten Parallelität.
• Screenshots sind teure Tokens. Bild-Tokens dominieren einen GUI-Verlauf. Miss mit der Auflösung und Schrittzahl, die dein Agent wirklich nutzt, nicht mit einem Text-Prompt.
• Speculative Decoding muss validiert werden, nicht angenommen. Multi-Token-Prediction hilft vor allem der Latenz im Einzelstream und kann bei starkem Batching fast neutral sein.
• Quantisierung ist ein Qualitätsexperiment. W4A4 verändert, was auf eine Karte passt. Ob es die Erfolgsquote auf deinen Bildschirmen verändert, beantworten nur eigene Fixtures.

Wenn du entscheidest, wie das neben bestehenden Modellen betrieben wird, gelten die Plattformmuster aus einem Inference-Stack auf vLLM und Triton und das Kostenmodell aus LLMs in der EU selbst hosten unverändert.

Wo ein selbst gehosteter Screen-Agent weiter verliert

Die ehrlichen Fehlerfälle haben nichts mit Fähigkeit zu tun. Sie handeln davon, was passiert, wenn der Bildschirm feindlich ist oder die Aktion nicht zurückgenommen werden kann.

Screen-Agenten lesen gerenderte Pixel und können ein echtes Interface-Element nicht zuverlässig von nutzergenerierten Inhalten unterscheiden, die nur so aussehen. Die VPI-Bench-Studie zu visueller Prompt Injection berichtet, dass über 306 Testfälle auf fünf verbreiteten Plattformen Computer-Use-Agenten mit Raten von bis zu 51 Prozent und Browser-Agenten auf einzelnen Plattformen bis zu 100 Prozent getäuscht wurden, und dass Abwehr über den System-Prompt nur begrenzt half. Ein Kommentarfeld, ein Kalendereintrag oder eine PDF-Fußzeile ist ein Kanal für Anweisungen.

Bevor ein Agent Zugangsdaten bekommt, schick ihn durch die Kontrollen unserer Checkliste für Agenten-Evaluierung und Sandboxing. Die strukturelle Regel ist kurz: Ein Agent, der Zugriff auf private Daten, Kontakt mit nicht vertrauenswürdigen Inhalten und einen Weg nach außen kombiniert, ist angreifbar. Nimm eines der drei weg.

Eine Zwei-Wochen-Bewertung, die in einer Entscheidung endet

1. Wähle einen Prozess und 20 bis 30 echte Aufgaben. Nimm die tatsächliche Warteschlange des letzten Monats, inklusive der unsauberen Fälle und der eskalierten.
2. Baue Fixture-Umgebungen, keine Livesysteme. Snapshotte den Anwendungszustand, damit ein Lauf wiederholbar und ein Fehler diagnostizierbar ist.
3. Friere das Scaffold ein. Notiere Checkpoint und Quantisierung, Runtime-Version, Schrittlimit, Screenshot-Auflösung, Accessibility-Eingaben, System-Prompt, Toolset und Retry-Politik.
4. Miss akzeptierte Ergebnisse, keine Demos. Verfolge Abschlussquote, stille Fehlaktionen, Korrekturminuten von Menschen und Schritte pro Aufgabe.
5. Miss das Serving-Budget. Erfasse Spitzenspeicher bei Zielparallelität, Prefill-Latenz mit bildlastigen Prompts, Ausgabegeschwindigkeit und Einbruch bei parallelen Sessions.
6. Greife es absichtlich an. Platziere eingeschmuggelte Anweisungen in den Feldern, die deine Nutzer bearbeiten können, und prüfe, ob der Agent ablehnt und den Versuch protokolliert.
7. Vergleiche mit der langweiligen Basislinie. Lass ein deterministisches Skript oder eine bestehende API dieselben Aufgaben laufen. Manchmal verliert der Agent, und das ist ein nützliches Ergebnis.
8. Bepreise die akzeptierte Aufgabe. Rechne GPU-Kapazität, Engineering, Monitoring, Reviewzeit und Fehlläufe ein und vergleiche mit den heutigen manuellen Kosten.

Bestanden heißt nicht "das Modell lief". Bestanden heißt: eine Abschlussquote über deiner Prozessschwelle, keine stille zerstörende Aktion im Angriffsset, ein Serving-Budget, das bei echter Parallelität hält, und Kosten pro akzeptierter Aufgabe unter dem Status quo.

Die Compliance-Arbeit, die Selbsthosting nicht erledigt

Inferenz im eigenen Haus verkürzt das Datenschutzgespräch. Das AI-Act-Gespräch beendet sie nicht. Nach dem Transparenz-Leitfaden der Europäischen Kommission zu Artikel 50 gelten diese Pflichten ab dem 2. August 2026, mit einer begrenzten Übergangsfrist bis zum 2. Dezember 2026 für die Kennzeichnungs- und Erkennungspflicht bei Systemen, die vor diesem Datum schon am Markt waren. Betreiberpflichten sind real, aber konkret: Personen informieren, die Emotionserkennung oder biometrischer Kategorisierung ausgesetzt sind, und Deepfakes sowie KI-erzeugte Texte zu Fragen von öffentlichem Interesse kennzeichnen, wenn sie ohne redaktionelle Prüfung veröffentlicht werden.

Zwei praktische Punkte für einen Screen-Agenten. Erstens ist eine interne Back-Office-Automatisierung oft überhaupt kein Artikel-50-System, also dokumentiere die Begründung statt eine der beiden Antworten anzunehmen. Zweitens kann eine erhebliche Änderung eines Modells mit offenen Gewichten dich in der Wertschöpfungskette in Richtung Anbieterpflichten verschieben, und das klärst du mit Rechtsberatung vor dem Finetuning, nicht danach. Unsere Engineering-Checkliste zu Artikel 50 deckt die Umsetzungsseite ab, und unser Trust Center sagt klar, was wir zertifizieren und was nicht. Das ist operative Anleitung, keine Rechtsberatung.