KI-Agenten im Entwicklungsprozess absichern: was gelten muss, bevor sie schreiben dürfen
Der Unterschied zwischen Assistent und Agent ist nicht die Qualität des Codes, sondern die Zahl der Schritte ohne menschlichen Blick dazwischen. Ein Assistent schlägt vor, ein Mensch übernimmt. Ein Agent arbeitet eine Aufgabe ab und legt am Ende ein Ergebnis vor — und was dazwischen passiert ist, steht nur im Protokoll.
Agenten brauchen sechs nicht verhandelbare Grenzen: Arbeit in einem eigenen Zweig statt auf dem Hauptzweig; ein eigenes Rechtekonto mit zugeschnittenen Rechten und ohne Selbstfreigabe; kein Zugriff auf Geheimnisse im Klartext, sondern Platzhalter oder Testtresor; Limits für geänderte Dateien, Laufzeit und Versuche; dieselben Quality Gates und Risikoklassen wie für menschliche Änderungen; und ein für Dritte lesbares Protokoll der Schritte. Eine Ausnahmeregel „nur für automatisierte Änderungen" weitet sich erfahrungsgemäß innerhalb von Monaten aus.
Grenze 1: Ein eigener Bereich, nicht der Hauptzweig
Agenten arbeiten in einem eigenen Zweig oder einer eigenen Arbeitskopie, niemals direkt auf dem Hauptzweig. Das klingt selbstverständlich und wird bei internen Werkzeugen regelmäßig übergangen, weil es schneller geht. Der Aufwand für die Trennung ist einmalig, der Schaden ohne sie ist wiederkehrend.
Grenze 2: Ein Rechtekonto mit eigenem Zuschnitt
Ein Agent bekommt ein eigenes Konto, nicht das einer Person. Damit ist erstens die Herkunft jeder Änderung eindeutig, zweitens lassen sich Rechte zuschneiden — lesen überall, schreiben nur in definierten Bereichen, keine Freigabe für sich selbst — und drittens ist das Konto abschaltbar, ohne dass ein Mensch ausgesperrt wird.
Grenze 3: Kein Zugriff auf Geheimnisse im Klartext
Zugangsdaten, Schlüssel und Tokens gehören nicht in den Kontext, mit dem ein Agent arbeitet. Was er zum Testen braucht, bekommt er als Platzhalter oder aus einem Testtresor. Diese Regel ist die wichtigste der sechs, weil ihr Bruch nicht rückgängig zu machen ist: Was einmal in einem Kontextfenster stand, gilt als offengelegt.
Grenze 4: Ein Limit für Umfang und Dauer
Maximale Zahl geänderter Dateien, maximale Laufzeit, maximale Zahl an Versuchen. Nicht weil größere Änderungen schlechter wären, sondern weil ein Agent ohne Limit im Fehlerfall lange und teuer in die falsche Richtung arbeitet. Wird das Limit erreicht, endet der Lauf mit einem Zwischenstand statt mit einem Ergebnis.
Grenze 5: Dieselben Gates wie für Menschen
Kein eigener, schnellerer Weg für Agentenänderungen. Sie durchlaufen dieselben Prüfungen, dieselbe Risikoklassifizierung und dieselbe Freigabelogik. Eine Ausnahme „nur für automatisierte Änderungen" ist der Anfang vom Ende des Modells, weil sie sich innerhalb weniger Monate ausweitet.
Grenze 6: Ein lesbares Protokoll
Was der Agent gemacht hat, in welcher Reihenfolge, mit welchen Zwischenergebnissen — nachvollziehbar für einen Menschen, der nicht dabei war. Ohne dieses Protokoll ist die Änderung eine Blackbox, und die Frage „warum hat es das getan" bleibt unbeantwortbar. Genau diese Frage kommt beim ersten Vorfall.
Häufige Fragen
Was unterscheidet einen Agenten von einem Assistenten?
Die Zahl der Schritte ohne menschlichen Blick dazwischen. Ein Assistent schlägt vor und ein Mensch entscheidet sofort; ein Agent arbeitet mehrere Schritte selbstständig ab und legt am Ende ein Ergebnis vor. Deshalb verschiebt sich die Kontrolle vom einzelnen Vorschlag auf die Grenzen des Laufs.
Darf ein Agent eigene Änderungen freigeben?
Nein. Die Trennung von Erzeugung und Freigabe ist der Kern jeder Kontrolle und gilt unabhängig davon, wer oder was erzeugt. Ein Agent, der sich selbst freigibt, hebt genau die Prüfung auf, deretwegen das Modell existiert.
Wie geht man mit Geheimnissen um, die für Tests gebraucht werden?
Über einen getrennten Testtresor mit eigenen, wertlosen Zugangsdaten, oder über Platzhalter, die erst in der Ausführungsumgebung ersetzt werden. Produktive Zugangsdaten gehören in keinen Kontext, aus dem ein Modell liest.
Wie viele Agenten verträgt eine Pipeline?
So viele, wie die Prüfung verkraftet. Der Engpass wandert sofort auf die Gates: Wenn zehn Agenten parallel arbeiten, aber der Build zwanzig Minuten braucht und seriell läuft, entsteht eine Warteschlange statt Durchsatz. Die Zahl der Agenten ist deshalb keine eigenständige Größe, sondern eine Folge der Prüfkapazität.
Bringen Sie einen Pull Request mit, der zu groß war.
30 Minuten, kein Vertrieb. Wir gehen ihn durch und sagen, was ein Modell daran geändert hätte.
AI Engineering Review ansehen →
