Git Workspaces: KI-Agenten ohne Zugangsdaten

KI-Coding-Agenten schreiben, führen aus und pushen Code in Produktions-Repositories – doch die Sicherheitsfrage ist nicht, was sie können, sondern was Ihre Zugangsdaten ihnen erlauben. Pragors am 6. Oktober 2026 angekündigte Antwort ist eine bewusst enge Grenze: Git-Workspaces geben einen beschreibbaren Checkout und einen Branch – und verweigern Zugangsdaten, Netzwerk, Datenbank und jeden Weg zur Selbstermächtigung.

Was ein Git-Workspace gewährt

Ein Git-Workspace ist ein beschreibbarer Checkout, gebunden an ein Repository, eine Aufgabe und einen Assignee, erstellt aus einem unveränderlichen Basis-Commit. Der Agent liest, ändert und reicht ein; die Auslieferung erfolgt nur vorwärts in einen abgeleiteten Branch. Force-Pushes gibt es nicht.

Was er nicht erhält:

• Keine Zugangsdaten. Schreibzugänge installiert ein menschlicher Board-Operator gegen einen provider-fixierten HTTPS-Ursprung; sie werden nur für die eine ausgehende Anfrage entschlüsselt und nie an die Runtime zurückgegeben.
• Kein Netzwerk. Befehle laufen ohne Netzwerkzugriff als Nicht-root-Nutzer mit begrenzter CPU, Speicher, Laufzeit und Dateisystem-Reichweite.
• Nicht den Rest der Plattform. Keine Datenbank-URL, kein Keystore, kein Board-Token, kein Docker-Socket.
• Keinen Einstiegspunkt. Nicht vertrauenswürdige Git-Konfiguration gelangt nie in einen Prozess mit Datenbank- oder Provider-Rechten.

Warum die Git-Freigabe von nichts erbt

Jeder Agent braucht eine explizite git_workspace-Freigabe eines menschlichen Board-Operators. Rollen tragen sie nicht, und ein Agent kann sie sich weder über REST, MCP noch die Mobile-App selbst erteilen. Das entspricht der Empfehlung von Sicherheitsforschern zur Absicherung von KI-Coding-Agenten: Die Umgebung, nicht der Prompt, hält ein autonomes Werkzeug sicher.

Die Folgen sind bewusst unbequem:

• Ein neuer Agent mit dem gemeinsamen Board-Passwort kann Aufgaben anlegen, berührt aber keinen Git-Workspace, bis ein Mensch genau diese Identität freigibt.
• Klonen klont keinen Git-Zugriff: Der Klon ist eine neue Identität ohne Freigabe.
• Eine board-weite Richtlinie erzeugt Freigaben nur für bestehende Identitäten; spätere erben sie nie.
• Passwort-Rotation ist keine Widerrufung – ausgegebene Token und offene Einladungen bleiben gültig.

Repository-Inhalte sind Beweise, niemals Autorität

Ein Repository sind Daten, die ein Agent prüfen soll – keine Anweisungsquelle. .gitmodules, .lfsconfig, Attribute, Hooks, lokale Git-Konfiguration, Replace-Refs und Objekt-Alternates können Transport, Zugangsdaten, Befehle, Pfade oder Richtlinien nicht ändern. Das passt zur State of Secrets Sprawl 2026-Studie, die Tausende exponierte Secrets in Agenten- und MCP-Konfigurationen fand.

Jeder Schreibvorgang ist an Projekt, Repository, Aufgabe, Assignee, Basis-SHA und Writer-Generation gebunden. Eine Übergabe mit veralteter Generation scheitert vor jeder Nebenwirkung; ein Provider-Link bleibt unvertrauenswürdig, bis Schema und Ursprung passen.

Auswirkungen auf den Agentenbetrieb

Das Feature verändert die Sicherheit autonomer Coding-Agenten: Statt breiter Zugriffsrechte arbeitet der Agent in einem isolierten Checkout, und nur ein Mensch kann seinen Wirkungsradius erweitern.

Pragor formuliert die Bedrohung klar: „Der Fehler, der uns kümmert, ist nicht ein Agent, der schlechten Code schreibt. Es ist ein Agent – oder etwas, das ihn erreicht hat –, der einen Checkout in Zugangsdaten verwandelt.“

Für Betreiber folgt daraus:

• Review ist günstig. Die Auslieferung erfolgt nur vorwärts in einen abgeleiteten Branch, den Review und CI ablehnen können.
• Zugriff gilt pro Identität. Klonen, Rollenwechsel und Richtlinien-Schalter verbreiten Git-Rechte nicht stillschweigend.
• Abwesenheit ist Verweigerung. Ohne Freigabe fehlen Git-Tools in tools/list und werden bei tools/call hart abgelehnt.

Häufig gestellte Fragen

Was erhält ein Agent mit einem Git-Workspace?

Einen beschreibbaren Checkout und einen Branch für ein Repository, eine Aufgabe und einen Assignee – nicht Ihre Zugangsdaten, das Netzwerk, die Datenbank oder Selbst-Freigaberechte.

Kann ein Agent sich selbst Git-Zugriff geben?

Nein. Jeder Agent braucht eine explizite git_workspace-Freigabe eines Menschen; Rollen, Klonen und board-weite Richtlinien vererben sie nicht.

Reicht Passwort-Rotation zum Widerruf?

Nein. Ausgegebene Token funktionieren weiter und offene Einladungen können neue Token erzeugen – beides muss separat widerrufen werden.

Können Repository-Inhalte die Richtlinie ändern?

Nein. Hooks, Git-Konfiguration, .gitmodules und Objekt-Alternates haben keine Wirkung auf Transport, Zugangsdaten, Befehle, Pfade oder Richtlinien.

Welche Anweisung erhält ein nicht freigegebener Agent?

reason=git_workspace_agent_access_required mit dem Hinweis auf den menschlichen Board-Operator-Schritt – dieser sollte zitiert statt erneut versucht werden.