Ein KI-Agent, der sich als Tastatur ausgibt: Die Idee ist real, die Zahl auf der Produktseite nicht

Ein Klick, den auf einem Mac sonst niemand setzen darf. Seit macOS Mojave verwirft das System synthetische Eingaben, sobald sie auf einem Berechtigungsdialog landen. Ein Software-Agent schickt eine erfundene Maustaste, das OS erkennt sie als Software und legt sie weg. Im Testvideo auf dem Kanal von Alex Ziskind vom 19. September 2026 steht ein fremdes Gerät neben dem MacBook und bestätigt den Dialog trotzdem. Es installiert nichts. Es meldet sich als Tastatur und Maus an, und für das Betriebssystem stimmt das auch.

Das Gerät heißt Violoop, kommt von BVIO Technology Limited, lief am 15. September 2026 auf Kickstarter und kostet dort 399 US-Dollar bei erwarteter UVP von 699 US-Dollar. Auf der Produktseite steht eine Zahl, die auf der genannten Chipklasse nicht entstehen kann. Wir rechnen sie nach, weil sie kein Marketing-Detail ist, sondern die Grundannahme des Produkts: lokal genug, um den größten Teil der Arbeit ohne Cloud zu machen.

Was das Gerät ist

Zwei Dinge sind solide. Die Aufnahme ist passiv, der Rechner merkt davon nichts. Die HID-Eingabe ist eine echte Tastatur, kein Trick. Beides zusammen ergibt die Fähigkeit, die kein Software-Agent auf dem Markt hat.

Die 53 Tokens pro Sekunde halten der Rechnung nicht stand

Der Satz auf der Seite lautet: volles 8B-Modell, 100 Prozent auf dem Gerät, 53 Tokens pro Sekunde, 2,7-mal schneller als ein Mac mini M4 mit 20 Tokens pro Sekunde. Dasselbe Modell, dieselbe Präzision, Ollama als Referenz. Dagegen spricht eine Division.

Ein Modell mit 8 Milliarden Parametern belegt in 4-Bit-Quantisierung rund 4,25 GB Gewichte. Dekodierung erzeugt Token für Token, und jeder Token liest diese Gewichte im Prinzip vollständig. Der Durchsatz hängt an der Speicherbandbreite, nicht an der Rechenleistung. Der RK3576 hat zwei 32-Bit-Kanäle: bei LPDDR5-6400 sind das theoretisch 51,2 GB/s, bei LPDDR4X-4266 rund 34 GB/s.

Die 6 TOPS des NPU sind dabei nicht das Problem. Mit zwei Operationen pro Parameter und Token gerechnet, ergäben 6 TOPS bei voller Auslastung rechnerisch weit über 300 Tokens/s. Nadelöhr ist der Weg der Gewichte durch den Speicher. Das ist eine Obergrenze, kein Benchmark.

Es gibt auch öffentliche Messwerte auf derselben Chipfamilie. Turing Pi hat im August 2026 auf dem größeren Schwesterchip RK3588 gemessen, RKLLM 1.3.0, feste Taktraten, fünf Läufe pro Modell:

Kein dieser Werte erreicht mit einem 1,5-Milliarden-Modell die angegebenen 53. Die 8B-Klasse auf einem Chip mit halbem Speicherpfad liegt eine Größenordnung darunter. Der Vergleichsgegner Mac mini M4 mit 120 GB/s und 20 Tokens/s ist damit fast fair gewählt. Nur die eigene Zahl nicht.

Unsere Regel dazu ist dieselbe wie beim Cross-User-Leak unserer Inferenz-Engine: Eine Versionsnummer ist kein Befund, und ein Banner ist kein Benchmark.

Was daran trotzdem neu ist

Wir lassen uns von der falschen Zahl nicht das richtige Detail nehmen. Die Fähigkeit ist real und im Video zweimal demonstriert: ein Berechtigungsdialog, den das Gerät allein bestätigt, und ein Aufräum-Befehl in einem Finder-Ordner, der anhält, bevor etwas gelöscht wird.

Der Tester trennt sauber zwischen gesehen und geglaubt. Gesehen: der Klick auf den Dialog, das Anhalten vor dem Löschen, die Tastenbestätigung. Nicht geprüft: dass die Rohbilder wirklich auf dem Gerät bleiben und verschwinden, und dass die Bestätigungstaste auf einem eigenen Chip sitzt. Die Firmware dieser zweiten Platine sei offen, heißt es beim Anbieter; veröffentlicht ist sie nicht. Die Funktion, mit der das Produkt verkauft wird, wiederholte Muster im Arbeitsablauf zu erkennen und sich anzubieten, hat im Test kein einziges Mal ausgelöst.

Das ist eine ehrliche Vorführung, mehr kann man über ein Vorseriengerät nicht schreiben. Es ist aber auch die volle Breite des Befunds: eine nachgewiesene Fähigkeit, zwei ungeprüfte Behauptungen, eine Kernfunktion ohne Effekt.

Warum das im Betrieb ein anderer Fall ist

Für einen Einzelplatz mit Neugier ist das ein Spielzeug mit Nutzwert. Für ein Firmennetz im Tiroler Unterland, in dem ERP-Masken, Stücklisten und Kundennamen auf den Bildschirmen liegen, ist die Konstruktion ein Entscheidungsgrund. Vier Fragen, in unseren NIS2-Führrubriken:

Der Punkt, der uns am längsten beschäftigt, ist die Absicherung selbst. macOS verwirft synthetische Eingaben auf Sicherheitsdialogen, damit kein Schadprogramm selbst auf „Erlauben" klicken kann. Ein Gerät, das als echte Tastatur auftritt, umgeht diese Schutzlinie. Neutral formuliert ist das eine Funktionalität, in einem Netz mit 40 bis 110 Arbeitsplätzen eine Angriffsfläche mit Netzwerkanschluss. „Keine Treiber" heißt: keine Spur in der Endpoint-Inventarisierung, kein Gruppenrichtlinien-Objekt, das greift. Unsere NIS2-Selbstauskunft behandelt solche Geräte als Zugang, den jemand zuordnen können muss.

Und dann „local-first". Bring your own Key mit Claude, OpenAI oder Gemini ist ausdrücklich vorgesehen; im Video lief die Strecke zusätzlich über einen lokalen DeepSeek-Endpunkt im Netz des Testers. Das Gerät kann lokal verstehen und trotzdem abgeleitete Bildschirminhalte an Dritte melden, sobald ein Cloud-Key hinterlegt ist. Für die Bewertung zählt nicht der Verarbeitungsgrad, sondern der Datenfluss. Ein Bildschirm mit Kundennamen bleibt ein Bildschirm mit Kundennamen, auch wenn nur die Zusammenfassung geht.

Was wir daraus machen

Die Bauteile für dieselbe Fähigkeit liegen offen im Regal: ein HDMI-Capture-Gerät, ein Mikrocontroller, der sich als HID anmeldet, eine eigene KI-Strecke über LiteLLM und vLLM, und ein Gateway, das pro Key entscheidet, was das Haus verlassen darf. Was fehlt, ist die Bild-zu-Aktion-Schicht. Das ist ein Softwareproblem, kein Hardwareproblem. Der überlegenswerte Teil an Violoop ist die Eingabestrecke, nicht die Box.

Unsere Entscheidung: nicht auf einem Produktions- oder Domänen-Host, nicht mit Cloud-Key, nicht ohne dokumentierten EU-Verantwortlichen. Beobachtet bleibt es für eine isolierte Testmaschine gegen einen eigenen Inferenz-Endpunkt. Kippen tut die Bewertung, wenn die Firmware der Bestätigungsplatine veröffentlicht und von jemand anderem nachgeprüft ist, und wenn ein Händler mit Gewährleistung im EU-Recht greifbar wird. Bis dahin ist die 8B-Zahl auf der Startseite der beste Hinweis darauf, wie sorgfältig die übrigen Angaben behandelt werden. Wer das Prinzip für die eigene Sicherheitsunterweisung braucht, findet den Rahmen bei Security Awareness im KMU.

Weiterführende Quellen

• Produktseite Violoop, Spezifikationen und Messwerte, Stand 19. September 2026
• llms.txt von violoop.ai, Anbieterangabe BVIO Technology Limited
• Testvideo: My AI Agent Lives OUTSIDE My Computer, Alex Ziskind, 19. September 2026, gesponsert, Einheit V3
• RKLLM auf RK3588, Qwen2.5-Benchmarks, 1. August 2026, Grundlage der Messwerte oben
• RK3576-Produktseite, 6 TOPS statt 26 TOPS
• Download-Seite von Violoop, ausgelieferte Plattformen und Versionen
• Bericht zum Start mit Preisangabe, 15. September 2026