---
title: Integration Wishlist — Repos, Skills, Plugins, Libraries
type: reference
tags: [integration, wishlist, roadmap, tools]
date: 2026-05-09
status: aktiv
related: [[CLAUDE]], [[USER]], [[SELF-IMPROVEMENT]]
description: Sammel-Liste externer Tools die Aria integrieren könnte. Aria pflegt diese kontinuierlich, Integration nur bei konkreter Lücke.
---

> 13.05.2026: `graphify` (safishamsi/graphify, 47k★) — Skill schon installed in `/root/.claude/skills/graphify/`. PoC gegen `aria-brain/` nach Phase-1-Foundation. Details in `00-Inbox/Videos/2026-05-13-kais-graphify-demo-claude-code-knowledge-graph.md`.
>
> 13.05.2026: `transkriptor.com` Pro-Plan (Kais hat API-Key). Komplement zu Groq Whisper, NICHT Ersatz. Use-Cases: URL-Direct-Transcription (YouTube/Drive), Speaker-Diarization, Meeting-Notes. KAR-127 Adapter Done, KAR-128 Hybrid-Router Done.
>
> 13.05.2026 AI-Radar Funde (siehe `02-Wissen/ai-radar/funde/2026-05-13-radar.md`):
> - **google-gemini/gemini-cli** (103k★) — vor KAR-121 Phase-2-Helper-LLM-Bau evaluieren, CLI-Wrapper statt REST-Adapter könnte 40-50% Aufwand sparen
> - **thedotmack/claude-mem** (75k★) — Audit analog OpenClaw/Hermes vor Sprint 6 (relevant für KAR-119)
> - **upstash/context7** (55k★) — Live-Doc-Pulls für LLMs, AI-Radar Sprint C Kandidat
> - **ChromeDevTools/chrome-devtools-mcp** (39k★) — Alternative/Ergänzung zu gstack-Skill
> - **HN „Needle" 26M Tool-Calling-Modell** — könnte KAR-118 Sovereign-Tier-Hardware-Decision revidieren (CPU-fähig?)
>
> 13.05.2026 9router-Audit-Cluster (Details in `02-Wissen/tool-audits/9router-audit-2026-05-13.md`):
> - **rtk-ai/rtk** (47k★, Rust, Apache-2.0) — `[integrated 13.05.2026]` PreToolUse-Bash-Hook in `/root/.claude/settings.json`, Binary `/usr/local/bin/rtk`. Live: 71.5% Token-Savings nach 21 Commands (55.3K Tokens gespart). KAR-137 Done. PoC: `02-Wissen/rtk-poc-2026-05-13.md`.
> - **decolua/9router** (9.8k★) — `[rejected, watch]` NICHT installieren: TOS-Risk gegenüber Anthropic-Max-Plan via "Kiro AI"-Reverse-Engineering, MITM-CA-Installation, Cloud-Sync-Phone-Home zu 9router.com. Watch falls Kiro-AI-Status sich klärt.
> - **JuliusBrussee/caveman** (59k★) — `[rejected]` SKIP: Caveman-Speech-Output konflikt mit LRN-20260508-001 (MarkdownV2 + Deutsch-mit-Umlauten Standard).
---

# Integration Wishlist

> Standing Order von Kais (09.05.2026): Sinnvolle Repos, Skills, Plugins, Libraries hier sammeln. Aria integriert zum richtigen Zeitpunkt — also wenn eine konkrete Lücke gespürt wird, nicht "weil cool". Nichts vergessen.

## Pflege-Rubric

**Wann hinzufügen** — wenn Aria oder Kais auf etwas stößt das *potentielle* Lücken in Aria schließen könnte. Auch wenn aktuell kein akutes Problem da ist. Lieber zu viel sammeln als vergessen.

**Wann integrieren** — wenn eine konkrete Lücke spürbar wird. Beispiel: Telegram-Routing macht Fehler bei umbenannten Files → Magika integrieren. Vorher nicht.

**Wann entfernen** — nur nach `[rejected]` Markierung mit Begründung. Nie still löschen.

## Schema pro Eintrag

```
### <Name> [<status>]
- **Quelle**: <URL>
- **Typ**: Repo / Library / Skill / Plugin / MCP-Server / CLI-Tool
- **Was es kann**: 1-2 Sätze
- **Welche Aria-Lücke**: konkret welcher Use-Case in Aria davon profitieren würde
- **Aufwand**: S (Stunden) / M (Tag) / L (Woche+)
- **Trigger**: bei welchem Schmerzpunkt integrieren
- **Notiz**: optional
```

**Status-Werte**: `[wishlist]` `[evaluating]` `[integrated]` `[rejected]`

---

## Aktive Wishlist

### --- ANALYSE-LINKS Deep-Dive 2026-05-31 Adds (Audit: [[analyse-links-2026-05-31-audit]]) ---

### markitdown (microsoft) [pilot → KAR-660, install done]
- **Quelle**: https://github.com/microsoft/markitdown · MIT · ~130k★ · Microsoft
- **Typ**: Python-Lib + CLI + optionaler MCP
- **Was**: PDF/Office/HTML/CSV/Image(OCR)/Audio/YouTube/EPub → struktur-erhaltende Markdown.
- **Aria-Lücke**: AKP-PDF-Ingestion (arxiv-ingest lädt heute keine PDFs, nur Atom-summary), private-ops Belege-OCR. Adressiert G2-2 Multi-Modal-RAG.
- **VERIFIZIERTER Quick-Win**: pptx-Skill (`SKILL.md`/`editing.md`) ruft `python -m markitdown` auf, aber System-Python hat das Modul nicht (PEP668) → Read/QA-Pfad kaputt. Fix in KAR-660.
- **Status 2026-05-31**: markitdown 0.1.6 in `/root/aria/tools/markitdown-venv`; Helper `/root/aria/tools/aria-markitdown.py` (lokal-only) gebaut, Smoke-Test grün. PPTX→MD verifiziert. Benchmark vs pdfplumber für Tabellen/Belege noch OFFEN (markitdown verliert Tabellen-Struktur).
- **Security**: untrusted-File-Parsing → aria-sandbox; Azure-DocIntelligence + LLM-Image-Desc AUS. Kein curl|bash, keine Telemetrie.

### Scrapegraph-ai [wishlist, lower-prio als Firecrawl]
- **Quelle**: https://github.com/ScrapeGraphAI/Scrapegraph-ai · MIT · 26.5k★
- **Was**: LLM-getriebene strukturierte JSON-Extraktion pro Seite (Python + Playwright).
- **Aria-Lücke**: gering — Firecrawl (KAR-214) deckt crawl+Markdown, Scrapling Stealth, Claude inline ad-hoc. Default-Telemetrie (opt-out), per-call LLM-Key.
- **Trigger**: konkreter Schema-JSON-Extraktions-Bedarf (z.B. Kadi-v2 Competitor-Pricing). Erst Firecrawls `/extract` evaluieren. Kein KAR.

### Image-Generation (build-native, Ref: wuyoscar/GPT-Image2-Skill) [wishlist]
- **Quelle**: https://github.com/wuyoscar/GPT-Image2-Skill (Single-Author, Low-Star — NICHT verbatim installieren, führt Python mit API-Key aus)
- **Echte Lücke**: Aria hat kein photorealistisches Image-Gen (canvas-design = code-SVG/PNG). glif (KAR-218) war dafür, ist jetzt tot/archiviert.
- **Aktion**: nativ `aria-image-gen` bauen (gpt-image-1/fal.ai/Replicate, Key-Hygiene, Tier-3-Guard). Trigger: Durrani/KADiCon Marketing-Bilder. Effort S-M.

### twenty (twentyhq) [watch — CRM]
- **Quelle**: https://github.com/twentyhq/twenty · AGPLv3 · 48.7k★ · v2.8.0 (26.05.)
- **Was**: Open-Source CRM (Salesforce-Alt), Docker-self-hostable, nativer MCP-Server auf Cloud-Tier ($9/User).
- **Aria-Lücke**: KEINE jetzt — KADiCon <5 Kontakte. AGPL-Copyleft relevant bei Distribution. Trigger: KADiCon-Kommerzialisierung mit 10+ aktiven Kontakten/Deals. Kein KAR.

### Instagram Saves Import (ToS-safe) [wishlist → KAR-275]
- **Konzept** (kein Repo). Kais will eigene IG-Saves abrufen.
- **NICHT**: instaloader/private-api → Account-Ban-Risiko (IG flaggte Mai 2026 bereits) + ToS-Verstoß auf persönlichem Account.
- **Pfad**: Instagram offizieller GDPR-Export (saved_posts.json) → `aria-ig-saves-import.py` Parser → Reels/AKP-Pipeline. Effort S, gated auf Kais' Export. Tracking KAR-275.

### Geprüft & verworfen am 2026-05-31 (Analyse-Links)
dotclaude (Beginner-Bootstrap, Hook-Overlap) · dub (kein Link-Mgmt-Use-Case) · pocketbase (Regression ggü. Supabase) · perplexity-mcp (Overlap + CTO deprecated MCP) · skaile.de (24.05. auditiert, Aria voraus) · websites-100-audit (statische Bookmark-Liste) · SuperClaude_Framework (settings.json-Overwrite-Risiko, ~100% Overlap) · DesignMotion HQ (Paid-Asset-Shop, 403/unverifizierbar) · beetroute (Fehl-ID, kein Fit) · denkfluss.com (Content). Details: [[analyse-links-2026-05-31-audit]].

### --- /ANALYSE-LINKS Deep-Dive 2026-05-31 Adds ---

### Exa MCP [evaluating → bedingter GO] (KAR-587, 2026-05-24)
- **Quelle**: https://mcp.exa.ai/mcp (offizieller hosted MCP, exa-labs/exa-mcp-server) · Docs exa.ai/docs
- **Typ**: MCP-Server (http, wie context7)
- **Was es kann**: Semantic/neural Web-Search „made for AIs" — Search, Contents (parsed HTML), Answer (mit Citations), Research (strukturiertes JSON). Versteht Konzept-Queries statt nur Keywords.
- **Welche Aria-Luecke**: `research-fanout` + AI-Radar nutzen heute keyword-WebSearch. Semantic Search findet „Papers/Repos zu Konzept X" deutlich besser. Direkt Research-Aria-First.
- **Kosten**: Free-Tier unauthenticated hosted = 150 calls/day, 3 QPS · mit API-Key = 1.000 req/Monat gratis · darueber $7/1k Search, $1/1k Contents-Pages. Guenstig, free-tier deckt Arias Volumen wahrscheinlich.
- **Aufwand**: S — http-MCP-Eintrag in mcp.json (wie context7), optional API-Key-Signup (Aria-Google-Account nutzbar, KEINE Zahlung noetig fuer free-tier)
- **Trigger**: naechster AI-Radar-/research-fanout-Run wo keyword-Suche zu grob trifft
- **Security**: Exa = etablierter Anbieter, MCP offiziell. Risiko = zurueckgegebener Web-Content (Injection-Vektor wie bei jeder Web-Suche) → Prompt-Injection-Scan beim Konsumieren (Standing Order). MCP-Tool-Defs via deferred/ToolSearch → kein Token-Overhead.
- **Verdict**: *bedingter GO* — Free-Tier-Pilot empfohlen. Naechster Schritt (Entscheidung Kais): unauthenticated 150/day testen ODER API-Key-Signup fuer 1k/Monat. Dann mcp.json-Eintrag + 1 Test-Query gegen research-fanout.

### --- LINKS-CHECK 2026-05-15 Adds ---

### codeburn (AgentSeal) [adopt-now → KAR-212]
- **Quelle**: https://github.com/AgentSeal/codeburn
- **Typ**: CLI-Tool (TypeScript, npm install -g)
- **Was es kann**: Lokaler Token-/Cost-Tracker fuer 19+ AI-Coding-CLIs (Claude Code, Cursor, Codex, Gemini, Copilot, Goose, etc.). One-Shot-Rate, Yield-Tracking, Optimize-Modus, Cost-Budgets. Liest existierende JSONL/SQLite-Files direkt — keine Instrumentierung.
- **Welche Aria-Lücke**: Aria misst aktuell nirgends Token-Burn. Bei 1M-Context-Opus + Sub-Agent-Spawns ist das blind.
- **Aufwand**: S — `npm install -g codeburn` + Integration in `aria-wrap-up` (täglich) + `retro` (wöchentlich)
- **Trigger**: jetzt (KAR-212)
- **Lizenz**: MIT, 6.4k Stars, aktiv (v0.x mit 27 Releases)
- **Audit**: `00-Inbox/links-check-2026-05-15/codeburn.md`

### microsoft/playwright-mcp [adopt-now → KAR-213]
- **Quelle**: https://github.com/microsoft/playwright-mcp
- **Typ**: MCP-Server (TS, Microsoft offiziell)
- **Was es kann**: 70+ Tools fuer Browser-Automation via Accessibility-Tree (kein Vision-Token-Verbrauch). De-facto-Standard 2026.
- **Welche Aria-Lücke**: Browser-Automation Standard, aktuell nur gstack/agent-browser ad-hoc.
- **Aufwand**: S — `mcp.json`-Eintrag + Skill-Cut-Review
- **Trigger**: jetzt (KAR-213). Browser-Tasks via Telegram/Linear haeufig.
- **Lizenz**: Apache-2.0, 32.5k Stars
- **Audit**: `00-Inbox/links-check-2026-05-15/playwright.md` + `search-playwright-mcp.md`

### firecrawl-mcp-server [adopt-now → KAR-214]
- **Quelle**: https://github.com/firecrawl/firecrawl-mcp-server
- **Typ**: MCP-Server (TS, Firecrawl offiziell)
- **Was es kann**: 14 Tools — scrape/crawl/search/map/extract/agent. Markdown-Output, JS-Rendering, Self-Hostable (privacy-tier=internal moeglich).
- **Welche Aria-Lücke**: WebFetch ist roher HTML-Dump. Firecrawl liefert agent-friendly Markdown.
- **Aufwand**: M — Self-Host auf Hetzner + research-fanout + fact-check + lead-magnets migrieren
- **Trigger**: jetzt (KAR-214)
- **Lizenz**: MIT, 6.3k Stars, offiziell
- **Audit**: `00-Inbox/links-check-2026-05-15/search-firecrawl-mcp.md`

### chrome-devtools-mcp [adopt-now → KAR-215, ergaenzt bestehenden Wishlist-Eintrag]
- **Quelle**: https://github.com/ChromeDevTools/chrome-devtools-mcp
- **Typ**: MCP-Server (TS, offizieller Chrome-Team)
- **Was es kann**: 40+ Tools, 7 Kategorien — Performance-Traces, Network, Console-mit-Sourcemaps, Lighthouse, Memory-Snapshots, Heap-Profiling.
- **Welche Aria-Lücke**: gstack reicht fuer Click/Screenshot, aber Performance/Memory-Audit fehlt.
- **Aufwand**: M — Spike + Skill-Cut zu gstack klar
- **Trigger**: jetzt (KAR-215). Konkrete Validierung: Lighthouse-Audit auf Kadi-v2 Preview-Deploy
- **Notiz**: `--no-usage-statistics` Flag IMMER, isoliertes Browser-Profil (NICHT Kais-Workstation-Chrome — Localhost-Endpoint-Risiko)
- **Audit**: `00-Inbox/links-check-2026-05-15/devtools-protocol.md`

### browser-use/browser-harness [pattern-adopt → KAR-217, watch-tool]
- **Quelle**: https://github.com/browser-use/browser-harness
- **Typ**: Python-Tool + Patterns
- **Was es kann**: CDP-direct Browser-Control mit Self-Healing-Helpers, Domain-Skills-Folder, Screenshot-First Pixel-Coords.
- **Welche Aria-Lücke**: 3 Patterns die fehlen. Tool selbst nicht jetzt — wuerde Doppel-Stack zu Playwright bringen.
- **Aufwand**: S — 3 Patterns in gstack/agent-browser einbauen (~2h)
- **Trigger**: jetzt fuer Patterns (KAR-217). Tool-Adoption spaeter wenn Captcha/Cloud-Browser-Need
- **Lizenz**: MIT, 12.7k Stars, sehr aktiv
- **Sec-Note**: Auto-Update-Hint NICHT uebernehmen, kollidiert mit aria-mode-toggle.
- **Audit**: `00-Inbox/links-check-2026-05-15/browser-use-harness.md`

### lean-ctx [pattern-adopt → KAR-216, watch-tool]
- **Quelle**: https://github.com/yvgude/lean-ctx
- **Typ**: Rust-Binary + MCP-Server
- **Was es kann**: 3-Signal Hybrid-Search via RRF (BM25 + Embeddings + Graph), Mode-aware Reads, Bash-Output-Compression (95+ Pattern), 7-Stage MCP-Pipeline.
- **Welche Aria-Lücke**: aria-brain-search.py nutzt 2-Signal linear-combine. RRF ist mathematisch sauberer.
- **Aufwand**: S (RRF, ~30 LOC) bis M (Mode-aware Bootstrap-Hook) bis L (Bash-Compress-Skill)
- **Trigger**: jetzt fuer RRF (KAR-216). Tool selbst NICHT — Domain-Mismatch (Code-Repo vs. Markdown-Vault).
- **Lizenz**: Apache-2.0/MIT, 1.6k Stars, sehr aktiv (173 Releases)
- **Audit**: `00-Inbox/links-check-2026-05-15/lean-ctx.md`

### glifxyz/glif-mcp-server + glif.app [REJECTED 2026-05-31 — Repo archiviert]
- **REJECT-GRUND (2026-05-31, Analyse-Links Deep-Dive)**: Repo am **26.05.2026 vom Maintainer archiviert (read-only)**, Pilot-Decision-Date (29.05.) passiert. Kein Patch-/MCP-Update-Pfad. glif.app TOS = perpetual content license. KAR-218 → reject. Image-Gen-Lücke bleibt offen → build-native `aria-image-gen` (siehe Image-Generation-Eintrag oben). Audit: [[analyse-links-2026-05-31-audit]].
- **Quelle**: https://github.com/glifxyz/glif-mcp-server, https://glif.app
- **Typ**: MCP-Server (TS) + Hosted SaaS
- **Was es kann**: Multimodal-Bridge zu 100+ AI-Modellen (Flux, Kling, Veo, Seedance, LLMs). One-Stop fuer Image/Video/Audio/Text.
- **Welche Aria-Lücke**: canvas-design baut Code-SVG/PNG, kein photo-realistisches Image-Gen. Ohne Glif: 5 verschiedene Provider-Wrapper bauen.
- **Aufwand**: S (MCP-Setup, Free-Tier ausreichend fuer Pilot)
- **Trigger**: 2-Wochen-Pilot ab jetzt (KAR-218), Decision 2026-05-29
- **Lizenz**: MCP-Server MIT (122 Stars), Glif-Service proprietary SaaS
- **Privacy**: Tier 3 only — NICHT fuer Kadi-Customer-Outputs ohne TOS-Pruefung. Training-Use-Policy unklar (rotes Flag)
- **Audit**: `00-Inbox/links-check-2026-05-15/glif-app.md` + `search-glif-mcp.md`

### TencentCloud/CubeSandbox [watch — Multi-Tenant-Phase]
- **Quelle**: https://github.com/TencentCloud/CubeSandbox
- **Typ**: KVM/RustVMM-Sandbox-Service
- **Was es kann**: KVM-MicroVM pro Sandbox, sub-60ms Cold-Start, <5MB Overhead, E2B-SDK-kompatibel. Production-validiert in Tencent Yuanbao.
- **Welche Aria-Lücke**: HEUTE keine — aria-sandbox-run.sh reicht fuer 1-User. SPAETER: bei Aria-Distribution Multi-Tenant Per-User-Hardware-Isolation.
- **Aufwand**: L (Cluster-Setup + Image-Mirror + Source-Audit)
- **Trigger**: WATCH quartalsweise, adopten wenn (a) Aria-Distribution multi-tenant + (b) KVM auf Hetzner-VPS verfuegbar + (c) Tencent-Image-Registry-Risk akzeptabel
- **Lizenz**: Apache-2.0
- **Risiko**: Tencent Container Registry pull leakt Operational-Pattern → Image-Mirror-Pflicht; install.sh ohne Checksum
- **Audit**: `00-Inbox/links-check-2026-05-15/cubesandbox.md`

### mli/paper-reading [reference + AKP-Source → KAR-221]
- **Quelle**: https://github.com/mli/paper-reading
- **Typ**: Reference-Index + YouTube/Bilibili-Kanal
- **Was es kann**: 33.2k Stars, 67 wichtige DL-Papers + 32 mit Video-Read-Along. Mu Li (Amazon AWS Principal Scientist, d2l.ai-Co-Author) — Top-Tier ML-Educator. Plus "Art of Research" 4-Teiler.
- **Welche Aria-Lücke**: AKP hat heute keine Paper-Lane. Mu Li YouTube-Channel @mu_li ist hochwertige Source.
- **Aufwand**: S (YouTube-Sub + Reading-List-Snapshot)
- **Trigger**: KAR-221. AKP-Papers-Lane als Spike spaeter
- **Lizenz**: Apache-2.0
- **Audit**: `00-Inbox/links-check-2026-05-15/paper-reading.md`

### --- /LINKS-CHECK 2026-05-15 Adds ---


### Magika [wishlist]
- **Quelle**: https://github.com/google/magika
- **Typ**: Library (Python)
- **Was es kann**: ML-basierte Dateityp-Erkennung, 99% Genauigkeit, schneller als Linux `file`. Über 100 Dateitypen, inkl. Code, Binaries, Office-Dokumente.
- **Welche Aria-Lücke**:
  - Telegram-Attachments mit umbenannten/exotischen Files (heute Routing nur via Endung)
  - Pre-Sandbox-Triage in `aria-sandbox-run.sh` (was ist die Datei wirklich)
  - Brain-Cleanup: Files ohne Endung im Vault klassifizieren
- **Aufwand**: S — `pip install magika` + 30 Zeilen Helper-Skript
- **Trigger**: wenn Telegram-Attachment-Routing oder Sandbox-Pipeline fehlerhaft triagiert
- **Notiz**: Standalone-Library, kein Klon nötig.

### Serena [evaluating]
- **Quelle**: https://github.com/oraios/serena
- **Typ**: MCP-Server (Python, via uv tool install serena-agent)
- **Was es kann**: Semantischer Code-Search via Language-Server-Protocol. 46 Tools (find_symbol, find_referencing_symbols, rename_symbol, get_symbols_overview, etc.). Auto-Config pro Repo, 40+ Sprachen.
- **Welche Aria-Lücke**:
  - Repo-Refactoring (Kadi-v2, auto-consulting): heute grep-basiert, oft falsch-positive
  - Code-Reviews durch Aria: LSP-aware Symbol-Suche
  - Aria-eigene Code-Navigation in eigenem Stack
- **Aufwand**: M — Service-User + MCP-Registrierung + read-only-Konfig pro Repo
- **Trigger**: nächstes größeres Refactoring oder Code-Review-Auftrag
- **PoC-Status**: ✅ Sandbox-PoC 2026-05-09 erfolgreich (Score 41/50 nach PoC)
- **Risiken aus PoC**: `execute_shell_command` Tool-Berechtigung hoch — bei Adoption Tool-Whitelist erzwingen. Eigene Memory-Tools überlappen mit Aria-Brain — deaktivieren.
- **Detail**: [[02-Wissen/ai-radar/funde/2026-05-09-serena-poc]]

### Google Workspace CLI [wishlist]
- **Quelle**: https://github.com/googleworkspace/cli
- **Typ**: CLI-Tool (Go, official Google)
- **Was es kann**: Gmail/Calendar/Drive/Sheets/Docs vom Terminal — list/read/draft/send Mails, Calendar-Events anlegen/verschieben, Drive-Upload mit Permissions, Sheets-Append/Query.
- **Welche Aria-Lücke**:
  - Aria liest heute keine Mails (Aria-Google-Account vorhanden, aber CLI-Pfad fehlt)
  - Calendar-Triage und Event-Booking macht Kais selbst
  - Drive-Upload für Lead-Magnets / Vendor-Handover-PDFs heute manuell
  - Sheets-basierte Tracker (z.B. AI-Radar-Funde, Vendor-Status) könnten Aria-zugänglich werden
- **Aufwand**: M — CLI-Install + OAuth-Flow für aria-google-Account + Skill-Wrapper für sichere Send-Mail (Approval-Gate)
- **Trigger**: wenn (a) Cold-Outbound oder Vendor-Mail-Triage skaliert, (b) Lead-Magnet-Distribution häufiger wird, (c) Calendar-Bottleneck spürbar
- **Notiz**: Lead-Magnet "AI Operator Stack" Chapter 03 (Telegram msg 1051, 11.05.2026) empfiehlt das Setup. Bei Adoption: SEND-MAIL nie ohne Kais-Approval, Drive-Upload-Permissions nie public ohne explizites OK (LRN-20260401-003). Verwandt: KAR-61 Arsenal-Repo (Tool-Integration-Pattern).

### Chrome-DevTools-MCP [wishlist]
- **Quelle**: https://github.com/ChromeDevTools/chrome-devtools-mcp
- **Typ**: MCP-Server (TypeScript, official Chrome-Team)
- **Was es kann**: Claude Code mit Chrome-Instanz verbinden — Console-Logs, Network-Tab, Performance-Profile, JS-Debug.
- **Welche Aria-Lücke**:
  - Kadi-v2-Live-Debug bei BMW-Pilot-Issues (heute via Vercel-Logs + manuelle Screenshots)
  - Auto-Consulting-Sandbox-QA pre-Deploy
  - Pre-Deploy-Verification statt nur `npx next build` lokal
- **Aufwand**: M — Chrome-Headless-Install + MCP-Setup + Sandboxed-Profile
- **Trigger**: nächster schwer reproduzierbarer Kadi-v2-Bug
- **Notiz**: Apache-2.0, Google-official. Sandboxed-Profile zwingend (sonst Localhost-Endpoint-Risiko).

### agency-agents [evaluating]
- **Quelle**: https://github.com/msitarzewski/agency-agents
- **Typ**: Sub-Agent-Sammlung (Markdown-Files mit YAML-Frontmatter, kompatibel mit Claude Code `~/.claude/agents/`)
- **Was es kann**: 50+ spezialisierte Sub-Agents für Domains (engineering, finance, marketing, sales, design, product, security, sre, …). Jeder Sub-Agent hat klar abgegrenzte Rolle, Persona, Deliverable-Patterns. Multi-Tool-Support: Claude Code, Cursor, Aider, Windsurf, OpenCode, OpenClaw, Gemini CLI, Qwen, Kimi, Copilot, Antigravity. Install-Skript erkennt Tools automatisch.
- **Welche Aria-Lücke**:
  - Aria's Agent-Tool ruft heute begrenzte Subagent-Types auf — diese Sammlung erweitert das massiv
  - engineering-incident-response-commander für Aria-Watchdog-Failure-Handling
  - engineering-security-engineer + threat-detection für KAR-12-style Audits
  - engineering-database-optimizer für Supabase/Postgres-Tuning
  - engineering-rapid-prototyper für auto-consulting Sandbox
  - testing/* für UI-Tests in Kadi-v2 (KAR-U1/U2/U3)
  - finance/* für Vermögensaufbau-Tasks (laut SOUL: SaaS-MRR, Investments, Immobilien)
- **Aufwand**: S — selektiv 5-10 Files manuell nach `~/.claude/agents/` kopieren (NICHT install.sh komplett laufen lassen — Conflict-Risk mit existing Skills)
- **Trigger**: nächstes Mal wenn Aria-Subagent für Domain-Task gebraucht wird (z.B. Pen-Test, DB-Optimierung)
- **Score nach erstem Audit**: 38/50 (Tech-Quality 4, Security-Reife 3 wegen unkuratierter Adoption-Risiko, Doku 5)
- **Klassifikation**: Brain speichern + Council
- **Risiko**:
  - 95k Stars in 7 Monaten = Hype-Signal, manche Sub-Agents vermutlich Marketing-Bullshit ("Whimsy injectors", "Reality checkers")
  - Pro-File-Quality variiert (3 KB bis 27 KB), nicht alle gleich tief
  - install.sh kopiert Files in `~/.claude/agents/` — könnte existing Aria-Subagents überschreiben
  - China-spezifische Files (feishu, wechat) für uns irrelevant
- **Empfehlung**: nicht komplett installieren. Selektive Adoption: 5-10 Files pro Audit-Bedarf manuell reviewen + kopieren. MIT-Lizenz, weiterverteilen erlaubt.

### Scrapling [security-review]
- **Quelle**: https://github.com/D4Vinci/Scrapling
- **Typ**: Library + MCP (Python)
- **Was es kann**: Adaptive Web-Scraping mit Auto-Anpassung an HTML-Änderungen, JS-Rendering, Stealth-Features.
- **Welche Aria-Lücke**:
  - AI-Radar Source-Fetcher (heute curl + WebFetch — Reddit blockt)
  - claude-watch (KAR-23 Residential-Proxy für YouTube)
- **Aufwand**: M — `pip install scrapling`, Wrapper-Skript, Sandbox-Test
- **Trigger**: KAR-23 Aufgriff oder erster AI-Radar-Daily-Lauf der an Reddit/X scheitert
- **Notiz**: Stealth-Features sind ToS-grenzwertig. Vor Adoption: Hard-Rule schreiben „nur dort wo offizielle API fehlt UND ToS-positiv ist". Kein automatisiertes Engagement.

### n8n-MCP [evaluating]
- **Quelle**: https://github.com/czlonkowski/n8n-mcp
- **Typ**: MCP-Server (TypeScript, Docker/npm)
- **Was es kann**: MCP-Server gibt KI Zugriff auf 1.650 n8n-Node-Definitionen + Properties. Workflows produktionstauglich generieren statt Configs raten.
- **Welche Aria-Lücke**:
  - Kais nutzt n8n produktiv (USER.md), aber Workflow-Bau heute manuell
  - Aria kann Node-Configs heute nur via WebFetch von n8n-Docs raten
  - Mit MCP: Aria generiert valid n8n-JSON direkt
- **Aufwand**: M (1 Tag) — Docker-Service + MCP-Reg in `mcp.json`
- **Trigger**: KAR-57 angelegt 10.05.2026, Sandbox-PoC zuerst
- **Sicherheit**: Repo enthält explizite Safety-Guidelines, kein Prompt-Injection-Vektor erkannt. Read-only-Modus (kein N8N_API_KEY) für Phase 1.
- **Tracking**: KAR-57

### obra/superpowers [evaluating]
- **Quelle**: https://github.com/obra/superpowers (Jesse Vincent, 185k Stars, MIT)
- **Typ**: Plugin-Sammlung (Skills + Agents) für Claude Code, Codex, Gemini CLI, Cursor
- **Was es kann**: Auto-enforced Brainstorm → Worktree → Plan → Subagent-Dev → TDD → Review → Branch-Finish. Mandatory workflows, nicht optional.
- **Welche Aria-Lücke**:
  - 60-70% Überschneidung mit Aria's `brainstorming`, `planning-with-files`, `senior-review`, `ENGINEERING.md`, `/review`
  - 2 echte Lessons: Subagent-driven Dev mit fresh-context-per-task + 2-Stage-Review, Git-Worktree-Isolation pro Task
- **Aufwand**: S-M (2-4h) für Audit, nicht Installation
- **Trigger**: KAR-58 angelegt 10.05.2026 — Architektur-Audit nach `02-Wissen/superpowers-vs-aria-2026-05-10.md` analog OpenClaw/Hermes
- **Sicherheit**: Plugin-basiert (kein global override), Author seriös. Clean Scan.
- **Tracking**: KAR-58

### awesome-claude-code (als Discovery-Source) [evaluating]
- **Quelle**: https://github.com/hesreallyhim/awesome-claude-code (43.3k Stars)
- **Typ**: Curated Linkliste (KEIN vetted catalog)
- **Was es kann**: Sammelt Skills/Hooks/Slash-Commands/Plugins/MCP-Servers/Agents für Claude Code
- **Welche Aria-Lücke**: Tool-Discovery — Aria soll keine Funde verpassen (siehe Memory `feedback_integration_wishlist`)
- **Aufwand**: S — Bookmark + monatlicher Cron-Diff
- **Trigger**: KAR-59 angelegt 10.05.2026
- **Sicherheit**: Liste selbst clean, aber Linked-Items nicht vetted — pro Eintrag eigener Sicherheits-Scan zwingend
- **Tracking**: KAR-59

### github/spec-kit [evaluating — adoption tier-1]
- **Quelle**: https://github.com/github/spec-kit (98.3k★, Python, MIT, GitHub-official)
- **Typ**: CLI + Templates für Spec-Driven Development (SDD)
- **Was es kann**: Specify CLI bootstrappt Repo-Struktur, 5 Slash-Commands (`/speckit.specify` → spec.md → `/speckit.plan` → plan.md → `/speckit.tasks` → tasks.md → `/speckit.implement` → Code), Multi-Agent-Adapter (Claude, Cursor, Copilot, Gemini, Windsurf), Constitution-File mit NON-NEGOTIABLE Principles
- **Welche Aria/Kadi-Lücke**:
  - Constitution-Pattern für Kadi-v2 (BMW-CI, RLS, ADR-020 etc. zentralisiert)
  - Spec → Plan → Tasks Strenge für BIG-Features
  - Independent-Testable-User-Stories Pattern (P1-MVP-Enforcement)
- **Aufwand**: S (templates kopieren) bis M (Aria-Skill `/spec` bauen)
- **Trigger**: Master-Data-Sprint morgen — spec-template als Skelett
- **NICHT adoptieren**: Specify-CLI selbst, Multi-Agent-Adapter, specs/-Folder im Kadi-Repo
- **Detail**: [[02-Wissen/tool-audits/github-spec-kit-audit-2026-05-14]]

### mattpocock/sandcastle [evaluating]
- **Quelle**: https://github.com/mattpocock/sandcastle (4.2k★, TS, MIT)
- **Typ**: Library (TypeScript) — Multi-Agent-Sandbox-Orchestrator
- **Was es kann**: AI-Coding-Agents in isolierten Sandboxes orchestrieren via `sandcastle.run()`. Branch-Strategy + Merge-Back. Provider-agnostic: Docker, Podman, Vercel Firecracker.
- **Welche Aria-Lücke**:
  - Aria's `aria-sandbox-run.sh` ist Single-Call-Bash-Wrapper — sandcastle ist Multi-Agent-Pattern
  - Parallele AFK-Agents, Review-Pipelines, KAR-71 Erweiterung
  - Kadi-v2 Auto-Consulting-Sandbox + Tester-VPS-Spins
- **Aufwand**: M (1-2 Tage PoC)
- **Trigger**: nächste Sub-Agent-Orchestrierung mit mehr als 3 parallelen Tasks
- **Risiko**: TS/Node-Runtime in Aria-Stack neu (Aria-Skripte primär Bash/Python). Sandbox-Provider-Trust (Vercel Firecracker = sicher).
- **Detail**: [[02-Wissen/tool-audits/mattpocock-github-audit-2026-05-13]]

### mattpocock/evalite [evaluating]
- **Quelle**: https://github.com/mattpocock/evalite (1.5k★, TS, MIT)
- **Typ**: Library (TypeScript) — LLM-Eval-Framework
- **Was es kann**: Evaluiere LLM-powered Apps mit TypeScript. Vermutlich Test-Suites mit Score-Aggregation pro Eval-Dataset.
- **Welche Aria-Lücke**:
  - Direkter Vergleichspunkt zu Aria's `eval-driven-agent-dev`-Skill (KAR-75, Python)
  - Relevant wenn Kadi-v2 LLM-Features bekommt (BMW-Pilot)
- **Aufwand**: S — README-Audit + Capability-Map gegen eval-driven-agent-dev
- **Trigger**: vor nächstem eval-driven-agent-dev-Upgrade ODER Kadi-v2-LLM-Feature
- **Notiz**: README returned 404 — Repo selbst exists, evtl. branch=main fehlt. Erst Code-Audit.

### mattpocock/dictionary-of-ai-coding [wishlist]
- **Quelle**: https://github.com/mattpocock/dictionary-of-ai-coding (1.5k★, TS, newsletter-coupled)
- **Typ**: Reference-Content — AI-Coding-Jargon in plain English
- **Was es kann**: Definiert „context degrades", „bill so high", „same prompt behaves differently" usw. — VC-Bullshit decoded.
- **Welche Aria-Lücke**:
  - Brain-Resource für Kais (Daily-Briefing-Material)
  - Aria-Skill-Erklärungen wenn Jargon vorkommt
- **Aufwand**: S — Bookmark / 1 Brain-Reference-Note pro Eintrag
- **Trigger**: bei nächstem AI-Coding-Konzept das Aria erklären muss

### qmd — hybrid Brain-Search [wishlist · Provenance GO, Adoption-Trial offen]
- **Quelle**: https://github.com/tobi/qmd · npm `@tobilu/qmd` (v2.5.2, 14 Releases seit 02/2026)
- **Provenance VERIFIZIERT (2026-05-24, KAR-593)**: **25.5k⭐, MIT**, Owner = **Tobias Lütke (Shopify-Gründer**, GH-Account seit 2008, 5k followers), aktiv (push 22.05.), **SLSA-Build-Attestation auf npm** (kryptografisch an den GH-Build gebunden). → frühere Annahme „in Paperclip eingebettet / private source" war **falsch**: qmd ist standalone. Auch der obsidian-mind-Audit (24.05.) fand exakt dieses Paket.
- **Typ**: CLI + **MCP-Server** (`@modelcontextprotocol/sdk` als dep → könnte direkt als Aria-MCP gewired werden)
- **Was es kann**: On-device hybrid search über Markdown: **BM25 + Vektor (`sqlite-vec`) + lokales Embedding (`node-llama-cpp`, gemma-300M) + LLM-Rerank**, alles lokal, SQLite-backed. tree-sitter für Code-aware Chunking (go/py/rust/ts).
- **KORRIGIERT (2026-05-24, KAR-594): die „Aria hat keine Embeddings"-Annahme war STALE.** `aria-brain-search.py` hat seit **KAR-120** bereits **Hybrid-Search**: BM25 + Vektor via OpenAI `text-embedding-3-large` (3072-dim) + pgvector in Supabase, fusioniert per RRF (`--hybrid`). Live-Proben bestätigt: „der Bot antwortet nicht mehr" → RECOVERY.md (vec #2), „Datenschutz bei Sprachnachrichten" → Transkriptions-/DSGVO-Docs (vec #5/#7). Semantik funktioniert.
- **qmd-Vorteile die BLEIBEN**: (1) on-device/local (gemma-300M via node-llama-cpp, kein OpenAI-Key/-Kosten, volle Souveränität), (2) LLM-Rerank-Stage (aria-brain hat RRF, keinen Rerank). (3) Embedding-Qualität: text-embedding-3-large (SOTA-Cloud) schlägt gemma-300M aber sehr wahrscheinlich.
- **Verdict (revidiert): NO-GO für Replacement jetzt.** aria-brain-Hybrid ist bereits stark mit dem *besseren* Modell. qmd zu installieren würde Qualität eher senken, nur um Cloud-Unabhängigkeit zu gewinnen.
- **Echte Lücke statt qmd**: `aria-brain-embed.py` ist an KEINEN systemd-Timer gewired → Vektor-Index driftet stale (neue Notes nicht embedded → unsichtbar für Vektor-Search). Billiger High-Value-Fix: Incremental-Embed-Timer. *Wertvoller als der qmd-Install.*
- **qmd geparkt für**: **Aria-Distribution-Milestone** — wenn Aria als Produkt ohne Kais' OpenAI-Key ausgeliefert wird, wird on-device-Search relevant. Dann qmd-Trial.
- **Notiz**: Re-verifiziert im Multi-Source-Audit `02-Wissen/multi-source-audit-2026-05-24-b.md`, KAR-594.

---

## Rejected (mit Begründung)

### thedotmack/claude-mem [rejected 2026-05-10]
- **Quelle**: https://github.com/thedotmack/claude-mem (74.4k Stars, Apache-2.0)
- **Was es wäre**: Persistent Memory für Claude Code via SQLite + Chroma + Worker-Service auf Port 37777
- **Warum NICHT**:
  1. **Hook-Konflikt:** belegt SessionStart, UserPromptSubmit, PostToolUse, Stop, SessionEnd — kollidiert mit Aria-eigenen Hooks (telegram-log-*, session-start.sh, etc.)
  2. **Datenleck-Risiko:** optionale Real-Time-Feeds zu Telegram/Discord/Slack sind eingebaut, default-aus aber leicht aktiviert
  3. **Crypto-Verstrickung:** "$CMEM" Solana-Token "officially embraced" — Token-Anreiz koppelt Memory-Tool an Crypto-Markt, Motivations-Konflikt
  4. **Keine Data-Retention-Doku:** unklar was "observations" enthalten und wo sie langfristig liegen
  5. **Aria hat eigenes Memory-System:** `aria-active-memory.sh`, `aria-memory-curator.sh`, `aria-memory-consolidate-night.py`, MEMORIES.md, Supabase aria_chat_log, USER.md (Honcho dialectic) — Doppelung ohne Mehrwert
- **Quelle Audit:** Telegram-Sweep msg 1025, 10.05.2026

### glittercowboy/get-shit-done [rejected 2026-05-10]
- **Quelle**: https://github.com/glittercowboy/get-shit-done (61.3k Stars, MIT)
- **Was es wäre**: Spec-driven Dev Framework (PROJECT.md, REQUIREMENTS.md, ROADMAP.md, STATE.md) + Subagent-Phasen
- **Warum NICHT**:
  1. **SOUL-Verletzung:** verlangt `claude --dangerously-skip-permissions` als Default ("frictionless automation"). Bricht SOUL Punkt 1 (Sicherheits-Hierarchie) und Behavioral Rule "Deploy/Push/Delete laut auflisten"
  2. **Doppelung:** Aria hat schon `feature-dev` Plugin (code-architect, code-explorer, code-reviewer), `planning-with-files`, `brainstorming`, `grill-me`, `senior-review`
  3. **Subagent-Architektur ohne Approval-Gates:** läuft autonom in "yolo mode" — passt nicht zu Kais' Bündel-Regel (max 3-4 Deploys/Tag, SELF-IMPROVEMENT Regel 2)
- **Quelle Audit:** Telegram-Sweep msg 1025, 10.05.2026

---

## Integriert

(noch keine — wird nach erfolgreicher Integration hierher verschoben)

---

## Bereits evaluiert (Pattern adoptiert, kein direkter Code-Klon)

- **TaxHacker** (vas3k, 2026-05-29) — Self-hosted AI-Buchhaltung. Audit + Fit in `02-Wissen/taxhacker-audit-private-ops-fit-2026-05-29.md`. NICHT in private-ops einbauen (single-user/Prisma/better-auth inkompatibel mit Supabase-RLS). Strategie Hybrid (KAR-637): (A) standalone auf srv1649305 als Durrani-Belege-Interim-Tool, (B) 7 Files harvesten für private-ops Phase 2/4 (ai/schema+prompt+providers, transactions-Modell, previews, safePathJoin). MIT, kein DATEV, Bus-Faktor 1.
- **ECC v2.0.0-rc.1** (affaan-m, 2026-05-28) — Full-Code-Audit in `02-Wissen/ecc-v2-full-audit-2026-05-28.md`. Plugin NICHT installieren (Cross-Harness-Overhead, Single-Maintainer, COI). Top-10 Steal-Patterns → **KAR-636**: GateGuard (Fact-Forcing-Gate), continuous-learning-v2-Instincts, GAN-Harness, council-Anti-Anchoring, context-budget, santa-method-Cross-Model-Review, Tool-Risk-Scoring, rules-distill, Session-Narrative+PreCompact, silent-failure-hunter. Quick-Win: GateGuard + context-budget.
- **OpenClaw** — Brain-Pattern-Inspiration, dokumentiert in `02-Wissen/openclaw-vs-aria-2026-05-08.md` und Memory `reference_openclaw_brain_design.md`
- **Hermes** — Curator + Sleep-Memory-Consolidation-Pattern, dokumentiert in `02-Wissen/hermes-vs-aria-2026-05-08.md` und Memory `reference_hermes_brain_design.md`
- **Paperclip** (10.05.2026) — Pattern-Adoption: Linear-Liveness-Scan, PR-Template `Model Used`, kandidat-Patterns als KAR-Issues (PARA-Brain, run-log-Schema, diagnose-skill). Code/Architektur nicht übernommen — Paperclip ist Multi-Tenant-Agent-Orchestrator, Aria ist Solo-User-Partner. `qmd` ist als wishlist-Eintrag oben gelistet.

## Single-File-Investigation-Report-Template (Power-Brokers, garrytan-agents) — 2026-05-25
- **Quelle:** garrytan-agents/Power-Brokers (gbrain-publiziertes Investigation-Output, „Garry's List").
- **Pattern:** self-contained HTML mit entkoppeltem `DATA`-JSON + generischen JS/SVG-Renderern (Sankey-Money-Flow, Timeline, Tabs, Click-Cards mit Side-Panel), generiert aus einer Source-Markdown.
- **Nutzen für uns:** Vorlage für reiche, teilbare Aria/Kadi-Report-/Investigation-Outputs (z.B. Markt-/Wettbewerbs-Analysen, BMW-Reports) als ein File.
- **Status:** kein konkreter Bedarf jetzt → integrieren wenn ein reicher Report-Output ansteht. Aria hat web-artifacts-builder/document-designer als Basis.

---

## Drive-Swipe-File-Funde — 2026-06-02

Quelle: Google-Drive Content-Audit (kaaiiss777), Volltext-Analyse von ~150 Screenshots. Voll-Doku: [[drive-content-audit-2026-06-02]]. Wiederkehrende, Aria-relevante Tool/Pattern-Kandidaten (Konvergenz-Signal: mehrfach aus verschiedenen Quellen):

- **browser-harness** (`browser-use/browser-harness`, ~10k★, TS) — Playwright-Agent der **nach jedem Run sein eigenes Skill-File neu schreibt** (selbst-heilende Selektoren, Confidence-Scoring). 2× im Swipe-File. → agent-browser-Skill-Upgrade-Kandidat. Integrieren bei nächstem Browser-Automation-Flakiness-Schmerz.
- **codeburn** (`getagentsai/codeburn`, ~5k★, TS) — Token+Cost+Performance-Tracker, Breakdown nach Activity/Project/Model/**MCP-Server**. → Cost-Visibility / AI-Radar (KAR-38). Unique: per-MCP-Breakdown.
- **claude-video** (`bradautomates/claude-video`, Python) — FFmpeg-Frames + Whisper mit **adaptivem Frame-Budget** (30s=30, 10min=100). Validiert claude-watch; adaptives Budget übernehmen falls noch nicht vorhanden.
- **n8n-mcp** (`czlonkowski/n8n-mcp`, TS) — typ-validiert n8n-Workflow-Graph vor JSON-Emit („validate-before-ship"). Nur falls Aria n8n nutzt.
- **design-extract** (`Manavarya09/design-extract`, ~2k★) — Headless-Browser zieht komplettes Design-System (Layout/Motion/Brand-Voice) aus jeder URL. → BMW/Durrani Design-Extraktion.
- **andrej-karpathy-skills** (`multika-ai/andrej-karpathy-skills`) — eine CLAUDE.md aus Karpathys LLM-Coding-Pitfall-Beobachtungen. Low-Effort: relevante Rules in Arias CLAUDE.md mergen.
- **agmsg** — Agent-to-Agent-Messaging. Für Multi-Agent-Routing-Roadmap (zusammen mit OpenClaw/Hermes-Inter-Agent-Chat-Pattern).
- **Bereits adoptiert (Cross-Check Delta):** `impeccable`/`taste-skill`/`emilkowalski/skill`/`humanizer`/`stop-slop` → laufen als design-lint/design-critique/motion-craft/humanizer (KAR-326/327/572). Prüfen ob neue Commands (`/polish`, `/audit`, `/typeset`) dazukamen.
- **graphify** — siehe Eintrag oben (13.05.); Drive-Audit bestätigt Priorität (Knowledge-Graph ohne Embeddings, deckt PDF/Screenshots/Video ab).

---

## NotebookLM Coach (Artem Novitckii) — 2026-06-03

Quelle: Kais via Telegram (novitckii.com/resources/notebooklm-coach/, FB-Ad-Funnel-Link mit personalisiertem mcp_token — Token NICHT gespeichert).

- **Was:** Free/MIT Claude-Code-Skill. Bulk-lädt bis 300 YouTube-Folgen in Google NotebookLM → KI-Interview zum Ziel → zitiertes 4-Wochen-Protokoll mit trackbaren Experimenten. Domain-agnostisch (Huberman/Hormozi/Naval). Optional Obsidian-Experiment-Tracking + Whoop/Apple-Health-Biometrie. GitHub-Clone, kein SaaS.
- **Redundant mit Aria:** YouTube→zitiertes Wissen macht AKP + claude-watch + Brain + brain-search bereits lokal, ohne NotebookLM-50-Quellen-Limit. NotebookLM als RAG-Backend = Google-Blackbox.
- **Klaubare Patterns (das eigentlich Neue):** (1) „Ziel-Interview → zeitlich geboxtes Protokoll mit trackbaren Experimenten" als strukturiertes Output-Format (hat Aria nicht); (2) Experiment-Tracking in Obsidian = passt direkt aufs Brain; (3) Whoop/Apple-Health-Integration falls Health-Coaching-Use-Case kommt.
- **AUDITED 2026-06-03** (github.com/artemnovitckii/notebooklm-coach, ~112KB, MIT): Repo-Code **clean** — kein Prompt-Injection, keine Exfil-Endpoints (nur youtube.com via stdlib-urllib innertube-scrape), kein gefährliches exec (1× subprocess mit Arg-Liste, kein shell=True), keine Credential-Harvesting im Repo. SKILL.md ist legitime Workflow-Doku ohne versteckte Direktiven.
- **Echte Trust-Surface = die Dependencies, nicht das Repo:** zieht 2 third-party-CLIs rein — `notebooklm-mcp-cli` (jacob-bd, `nlm`) und `notebooklm-py[browser]` (`notebooklm`). Beide machen Playwright-Chromium-Browser-Automation und **fassen Google-Login-Cookies an** (nlm „borrowt" Cookies aus signed-in Chromium; notebooklm-py macht eigenen Google-Login → `~/.notebooklm/profiles/default/storage_state.json`). Diese 2 Tools sind NICHT auditiert. Install = denen Google-Session-Cookies geben.
- **„Free" ist qualifiziert:** volle 300-Quellen-Kapazität braucht NotebookLM Plus/Pro (paid); free tier = 50 Quellen.
- **Verdict: NICHT installieren.** Code safe, aber Adoption heißt 2 unauditierte Browser-Automation-Tools mit Google-Cookie-Zugriff + NotebookLM als Blackbox-RAG — beides redundant mit AKP/claude-watch/Brain (lokal). Pattern (1) Ziel-Interview→Protokoll→Experimente + (2) Obsidian-Experiment-Tracking klauen, falls Coaching-Output-Bedarf entsteht.

---

## OSS-Stack-Audit 15 Repos — 2026-06-04

Voll-Doku: [[oss-stack-audit-2026-06-04]]. 15 GitHub-Links von Kais, je 1 Subagent. Drei waren schon auditiert (ECC, Scrapling, PocketBase) — Befunde bestätigt. Neue Adds + Cluster-Verdicts:

### agentscope-ai/agentscope [PILOT → KAR-686]
- **Quelle**: https://github.com/agentscope-ai/agentscope · Apache-2.0 · 26k★ · v2.0.0 (Alibaba)
- **Typ**: Python Multi-Agent-Framework
- **Aria-Lücke**: 3 Patterns (kein Framework-Wechsel): (1) Middleware-Hook-Register mit next_handler-Chaining, (2) Context-Compression mit Summary-Field → Brain-Compaction Sprint 6, (3) Skill-Loader als Markdown-Dataclass + async Discovery. Höchster Aria-First-Hebel der 15.
- **Security**: Apache clean; DashScope nur explizit (kein Default-China-Routing); ReAct-Standard-Injection beim Pattern-Bau mitdenken.

### LLMQuant/quant-mind [WATCH — Pattern]
- **Quelle**: https://github.com/LLMQuant/quant-mind · MIT · ~450★ · v0.0.1
- **Was**: Knowledge-Extraction+RAG für Quant-Finance (NeurIPS-2025-Workshop).
- **Aria-Lücke**: `BaseKnowledge`-Schema (Provenance SourceRef/ExtractionRef, `as_of`-Freshness, confidence, citations) als Vorlage für AKP-Brain-Records; `magic.py` NL→Pydantic-Config-Pattern; `batch_run` mit Semaphore+Cost-Tracking. Finance-Teil irrelevant.
- **NICHT Repo einbinden**: OpenAI-Agents-SDK-Dep (Aria=Anthropic), v0.0.1 mid-migration. Patterns klauen.

### ItzCrazyKns/Vane [WATCH]
- **Quelle**: https://github.com/ItzCrazyKns/Vane · MIT · 35k★ (API-verifiziert)
- **Was**: Perplexica-Rebrand — self-hosted AI-Answer-Engine (SearxNG + Multi-LLM-Routing, Next.js/Drizzle).
- **Aria-Lücke**: gering — AKP/brain-search spezialisierter. SearxNG-Integration + Multi-Source-Query-Routing als Referenz falls Aria je einen Web-Research-Subagent braucht. Clean, keine Telemetrie.

### Supabase/Payload Feature-Aktivierung [ADOPT — KAR-687/KAR-688]
- **supabase/supabase** (nutzen wir): untergenutzt → KAR-687 (RLS-Perf-Audit, Vault, Database Branching, pgmq, pg_cron).
- **payloadcms/payload** (nutzen wir in durrani): ~40% brach → KAR-688 (Jobs Queue, SEO-Plugin, Live-Preview, Lexical-Blocks, MCP-Plugin).

### Cluster IGNORE/WATCH (damit nicht nochmal auditiert)
- **strapi** `[rejected]` — redundant zu Payload (GUI-Schema vs. code-first), separater Node-Service.
- **directus** `[rejected]` — MSCL-Lizenz-Falle (BMW >$5M → kostenpflichtig), License-Phone-Home, RLS-Bypass-Risiko über Supabase-DB.
- **convex** `[watch]` — FSL-1.1 (Apache erst 2028), Doc-Store statt SQL (Totalrewrite ggü. Supabase), Self-Host „not optimized for scale". 2028 re-eval für Greenfield.
- **hasura** `[rejected]` — Supabase `pg_graphql` deckt's ab; v2-OSS nur noch Bugfixes (DDN-SaaS-Drift); Auth-Konflikt mit RLS.
- **nocodb** `[watch]` — Sustainable-Use-License (kommerziell verboten); nur internes Tooling; Supabase Studio+TablePlus decken's ab.
- **appwrite** `[rejected]` — kein echtes SQL/RLS/PostGIS, proprietärer Query-Builder = Downgrade ggü. Supabase.
- **pocketbase** — bleibt `[rejected]` (s.o. 2026-05-31); pre-1.0 „not for production" bestätigt.

### VectifyAI/PageIndex [PILOT-Kandidat — Long-Doc-Lane, 2026-06-04]
- **Quelle**: https://github.com/VectifyAI/PageIndex · MIT · 32.5k★/2.8k Forks (API-verifiziert), created 2025-04 (reif, >1 Jahr), push täglich, gesunde Ratio (kein Hype)
- **Was**: „Vectorless, reasoning-based RAG" — baut einen hierarchischen Doc-Baum (Inhaltsverzeichnis-artig: Titel/Summary/Page-Range/Node-ID) und macht LLM-Tree-Search statt Embedding-Similarity. Kein Chunking, keine Vektor-DB. Python, LiteLLM (multi-LLM). Cloud-Service + MCP optional. Claim: 98.7% FinanceBench (Vendor-eigen via „Mafin 2.5" — vendor-reported, nicht unabhängig).
- **Aria-Fit (konkret, der stärkste der jüngsten Funde)**: NICHT als Ersatz für brain-search (Markdown-Vault aus vielen kleinen atomic Notes → hybrid BM25+Vektor ist dort richtig). SONDERN für die **Long-Document-Lane**: AKP-arxiv-Paper-Ingestion, BMW/Kadi-Compliance-Docs, Drive-PDF-Q&A — wo Vektor-Chunking schwach ist und Reasoning-über-Struktur gewinnt. Komplementär zu markitdown/Multimodal-RAG (KAR-660).
- **Trade-off**: Retrieval = LLM-Tree-Search → mehr LLM-Calls/Kosten/Latenz pro Query als Vektor-Lookup. Lohnt bei tiefer Doc-Analyse, Overkill für schnelle Note-Lookups.
- **Security**: MIT clean. Cloud-Service optional → OSS self-hosten, sensible Docs (BMW) NICHT an deren Cloud.
- **Verdict**: PILOT-würdig für die Long-Doc-Lane. Test: ein echtes langes Doc (arxiv-Paper oder BMW-PDF) durch PageIndex vs. aktuelles Chunking, Retrieval-Qualität vergleichen.

### pewdiepie-archdaemon/odysseus [WATCH — Referenz für Sovereign-Tier, 2026-06-04]
- **Quelle**: https://github.com/pewdiepie-archdaemon/odysseus · MIT · 49.6k★/5.7k Forks (API-verifiziert)
- **Was**: PewDiePies self-hosted AI-Workspace (ChatGPT/Claude-Alternative, local-first). FastAPI + JS, lokale Modelle (vLLM/llama.cpp/Ollama/OpenRouter), ChromaDB+fastembed, SearXNG, SQLite, Docker. Features: Chat, Agent-Loops, Model-Serving ("Cookbook"), Research-Synthese, Model-Compare, Doc-Editing, Vektor-Memory/Skills, Email-Triage, Notes/Tasks, CalDAV-Kalender.
- **Reife**: created **31.05.2026** (4 Tage alt!), push täglich, 832 offene Issues, 296 Watcher. Stars sind **Promi-getrieben** (PewDiePie-Audience) → Popularität ≠ Reife/Wert-für-uns (Brain-Rot-Lens). Sehr jung, nicht prod-gehärtet.
- **Aria-Relevanz**: hoch als *Referenz*, NICHT als Tool. Odysseus ist die *local-model-sovereign* Parallele zu Aria. Aria ist Claude-Code-basiert (Frontier) → Odysseus zu übernehmen wäre Rebuild, kein Integrate. Pattern-Mine: (1) Local-Serving-Stack (vLLM/Ollama+ChromaDB+SearXNG) als Blueprint für Arias **Sovereign-Tier** (run-without-cloud, vgl. qmd on-device geparkt + CubeSandbox), (2) Feature-Set als Checkliste (Email-Triage, Model-Compare, Research-Synthese — meiste hat Aria schon via Brain/AKP/eval).
- **Security**: große Angriffsfläche (Email-Triage + Agent-Tool-Access + Web-Search = Injection-Surface), 4 Tage alt, 832 Issues → NICHT installieren/integrieren ohne hartes Vetting. Reference-only.
- **Verdict**: WATCH. Re-evaluieren wenn gereift (Q3+ 2026). Bei Aria-Distribution-Sovereignty-Milestone als Architektur-Referenz ziehen.

### ECC Star-Skepsis-Addendum (zu bestehendem KAR-636)
GitHub-API 2026-06-04: 206.806★ / 31.742 Forks, aber nur **1.038 Watcher, 75 Issues**, Repo seit Jan 2026. Ratio = starkes Star-Inflation-Indiz. Verdict „nicht blind installieren" (KAR-636) bestätigt; einzelne Patterns nur nach Code-Review.

---

## Anthropic „Most installed plugins" Abgleich — 2026-06-04

Kais via Telegram (Social-Grafik „Most installed Anthropic Claude-Code-Plugins"). Popularität ≠ Wert für uns (Brain-Rot-Lens KAR-685). Ist-Stand `installed_plugins.json`:
- **#1 feature-dev** — ✅ installiert.
- **#4 hookify** — ✅ installiert.
- **#2 pr-review-toolkit** `[INTEGRATED 2026-06-04, user-scope, aktiv ab nächster Session]` — KOMPLEMENTÄR zu code-review, nicht redundant. `code-review` = 4 generische Agents (CLAUDE.md-Compliance + Bug + git-history) + Confidence-Filter + Auto-PR-Post (= Gate). pr-review-toolkit = 6 dimensions-spezialisierte Agents (comment-analyzer, pr-test-analyzer, silent-failure-hunter, type-design-analyzer, code-simplifier, code-reviewer), einzeln aufrufbar (= tiefe Lenses). Echter Mehrwert für TS-Repos (silent-failure-hunter, pr-test-analyzer, type-design-analyzer). Low-risk (Anthropic-offiziell, additiv, eigener `/review-pr`-Command, kein Konflikt mit `/code-review`). Caveat: Teil-Overlap mit senior-review-Skill + ECC-adoptierten Patterns (KAR-636 silent-failure-hunter). Verdict: installieren.
- **#5 commit-commands** `[watch, low-value]` — Auto-Commit-Messages. Aria schreibt schon saubere Conventional-Commits inline; Plugin könnte mit no-Co-Authored-By-Regel kollidieren. Kein echter Gap.
- **#3 claude-code-setup** `[watch]` — „drop into any repo". Aria hat eigenes Setup/Onboarding; bestehende Repos konfiguriert. Nur relevant als Referenz für Aria-Distribution-Story (drop-in).
- Sonst installiert: code-review, figma, github, linear, supabase, vercel, telegram, security-guidance, playground, elements-of-style.

---

## Canva — AI Connector (MCP) + Connect API [EVALUATED 2026-06-21, Kais-Anfrage]

- **Quelle**: Canva offizieller MCP-Server (remote) `https://mcp.canva.com/mcp` (AI Connector) + Connect API (REST, OAuth 2.0/PKCE). Docs: canva.com/help/mcp-agent-setup, canva.dev/docs/connect.
- **Was**: MCP = konversationelles Design create/edit, Brand-Template-Autofill, Library-Search, Export (PNG/JPG/PDF/PPTX/MP4), Kommentare — direkt aus Claude/Aria. Connect API = programmatische Pipeline (Asset-Upload, Design-Gen, Export-Job; Scopes design:content/asset/export, Rate-Limits ~750/5min).
- **Aria-Relevanz**: hoch für Deck-/Grafik-Output (Pitches, Präsentationen 16:9, Durrani/KADiCon-Material). MCP-Weg ersetzt manuelles Canva-Gefummel. Komplementär zu canvas-design/document-designer (die machen PDF/HTML; Canva = Brand-Templates + Team-Assets).
- **Security**: OAuth (kein Passwort-Zugriff), du autorisierst 1×. ⚠ OAuth-MCPs brauchen interaktiven Login → in headless Cron-Läufen evtl. nicht verfügbar (wie Drive-MCP). BMW-sensible Inhalte NICHT in fremde Cloud-Designs.
- **Verdict**: `[WIRED 2026-06-21 in /root/.claude/mcp.json, OAuth pending]` MCP-Weg PILOT-würdig. Nächster Schritt: Canva-MCP in mcp.json eintragen + Kais macht 1× OAuth. API nur wenn scriptgesteuerte Deck-Pipeline gebraucht wird.

---

## Link-Analyse 145 — neue Kandidaten [2026-06-28]

- **qmd** (`@tobilu/qmd`, Tobi Lütke, MIT, 27k★) `[INTEGRATED 2026-06-28]` — On-Device Brain-Semantik-Suche (BM25+Vektor+LLM-Reranker). Installiert via bun, Aria-Brain (2577 Files) indexiert, als user-scope MCP `qmd` registriert (Wrapper /root/aria/scripts/qmd-mcp.sh). Embeddings laufen.
- **SkillSpector** (NVIDIA, Apache-2.0, 11k★) `[INTEGRATED 2026-06-28]` — Skill-Security-Scanner (68 Patterns/17 Kategorien). Installiert via `uv tool install git+…NVIDIA/skillspector`. Statischer Scan (`--no-llm`) der 78 Aria-Skills läuft. Als Pre-Install-Gate vorgesehen (KAR-806).
- **Headroom** (`headroom-ai` PyPI, Apache-2.0, 21k★) `[watch → KAR-811]` — MCP-Token-Kompressor 60-95%. Verifiziert vorhanden, Install-Methode `pip install headroom-ai[all] && headroom mcp install`.
- **chrome-devtools-mcp** (Chrome offiziell, npm, vorhanden) `[watch → KAR-811]` — Browser+DevTools+CWV als MCP. Empfohlen im Website-Stack (#77).
- **Context7 MCP** (Upstash, Apache-2.0) `[watch → KAR-811]` — live versions-spezifische API-Docs in Prompts, gegen halluzinierte APIs (Kadi-v2).
- **Magic MCP** (21st.dev) `[watch]` — Custom-UI-Sections per natürlicher Sprache (free API-Key). Aus Drive-Doc #77 „Perfect Website Stack". Für Durrani/Kadi-UI. NEU, prüfen.
- **shadcn MCP** `[watch]` — fertige UI-Komponenten als MCP (#77).
- **Compound-Engineering** Skill `[watch]` — lernt aus eigenen Fehlern (SKAILE-Liste #5); passt zu Aria-Eval-Loop/Failure-Mining.
- **CLAUDE.md-Optimizer** Skill `[watch]` — (#5).
- **Auto-Research** Skill `[watch]` — Self-Test/Optimierung über Nacht (#5); passt zu eval-driven-agent-dev.
- **PDF-Stack** MinerU (71k★) + Stirling-PDF (84k★) + OpenDataLoader-PDF `[→ KAR-810]` — P14-Fundament, alle verifiziert existent.
- **OpenCLI** (jackwener, MIT) `[→ KAR-811-Bereich]` — Website→CLI-Adapter, AKP/RwG-Alternative zu Playwright (#139).
- **claude-mem** (84k★) `[watch]` — Memory-Standard-Vergleich, `<private>`-Tag fehlt Aria (#36).
- **Claude Design** (claude.ai/design + Desktop, Pro/Max/Team/Ent) `[→ KAR-829]` — konversationelles Design→Canvas, Prototypen + PPTX/PDF/ZIP-Export, Design-System-Sync aus GitHub-Repo/Codebase via `/design-sync`, Claude-Code-Handoff. Kais-facing (nicht headless von Aria fahrbar), aber Output landet bei Aria zum Implementieren. Use: Kadi-v2 DCT-Design-System syncen → SupplierPulse-Mockups + BMW-Decks. Teilt Plan-Usage mit Chat/Code.

<!-- Link-Analyse-85 (2026-07-06) — skip-but-interesting items -->
- **alibaba/page-agent** (MIT, 24.6k★) `[watch]` — in-page LLM DOM-copilot embedded *inside* a product (not a QA tool like gstack). Reference for a future Kadi-v2 / P14 in-app AI copilot feature. Link-85 analysis: `analysis/page-agent-and-q-agent-harness.md`.
- **designclaw extraction pipeline** (MIT) `[watch]` — screenshot + getComputedStyle + source-CSS + DOM-pattern → "Design DNA". The extraction technique (not the SaaS) is worth stealing for BMW-CI/reference-fidelity design work. Do NOT point at confidential client sites. `analysis/production-audit-and-designclaw.md`.
- **allenai/olmocr** (Apache-2.0) `[watch — P14 build phase]` — strong OSS doc-OCR VLM (tables/formulas/handwriting) but needs NVIDIA GPU ≥12GB VRAM; not runnable on our 16GB/no-GPU box. Revisit if P14 gets a GPU/cloud budget. `analysis/olmocr.md`.
- **jamiepine/voicebox** (MIT) `[watch]` — local voice-cloning/TTS studio; future Durrani branded voice content. Voice cloning needs explicit consent (biometric/deepfake risk). `analysis/meetily-and-voicebox.md`.
- **OmniRoute** (diegosouzapw) `[REJECT — caution reference]` — multi-provider LLM gateway that markets "TLS fingerprint stealth" (provider-ToS evasion) and would proxy all our credentials. Keep as the concrete "why Aria does NOT do multi-vendor routing" example. `analysis/reference-mcp-runtimes-omniroute.md`.
- **PII-redaction-before-LLM pattern** (from HN sunwaee.com Show-HN) `[watch — distribution/privacy]` — redact PII in tool-call payloads *before* they reach the provider API. Privacy-by-design pattern for Aria's distribution/privacy strategy. Also noted: 3-tier memory (user > workspace > project) — Aria currently conflates workspace/project tiers. `analysis/articles-docs-harvest.md`.
- **MarkItDown** (Microsoft, OSS) `[watch — P14/SupplierPulse]` — any-doc → Markdown ingestion (PDF/Office/images). CPU-friendly alternative angle to GPU-bound olmocr for the P14 QM-doc pipeline. Surfaced on nutzung.skaile.de + Drive-file batch. `analysis/batch2-skaile-funnels.md`, `analysis/batch2-drive-files.md`.
- **impeccable `npx impeccable detect` + Taste-Skill sliders** `[watch — design-lint coverage]` — our design-lint/design-critique were built from impeccable + Taste-Skill; re-check the current `detect` CLI rule-set and Taste's tunable sliders against our 58-rule coverage for gaps. `analysis/batch2-drive-files.md`.