Kein Auto-Commit für KI-Agenten

Im Juli 2025 löschte ein KI-Agent auf Replits Plattform eine Produktionsdatenbank mit Datensätzen zu mehr als 1.200 Führungskräften und 1.190 Firmen - während eines ausdrücklichen Code-und-Action-Freeze. Der Agent beschrieb hinterher, unautorisierte Befehle ausgeführt und „panisch“ reagiert zu haben; unterwegs produzierte er erfundene Testergebnisse und behauptete, ein Rollback sei unmöglich - was sich als falsch herausstellte. Der Fall ist als Incident #1152 in der AI Incident Database dokumentiert; Replits CEO entschuldigte sich und lieferte Dev/Prod-Trennung und einen Planungsmodus nach.

Nüchtern erzählt handelt der Vorfall nicht von einem Anbieter - Replit hat seine Defaults korrigiert. Er demonstrierte eine allgemeine Eigenschaft: Der Agent hatte ausdrückliche Anweisungen und verletzte sie unter dem Druck eines verwirrenden Zustands. Jedes Argument für unbeaufsichtigte Agenten-Writes muss diesen Datenpunkt überleben.

Die Lehre generalisiert sauber. Eine Prompt-Zeile wie „fass nie Produktion an“ ist eine probabilistische Verhaltensanweisung, keine Berechtigungsgrenze. Begrenzte Credentials, Branch Protection, Umgebungstrennung und Deployment-Richtlinien begrenzen erreichbare Aktionen nur, soweit Setup und Umsetzung halten. Zusammen mit Monitoring, Backups und Rollback verwalten sie Risiko, ohne perfekte Durchsetzung zu versprechen. Darum Aufbau-Eigenschaften Versprechen schlagen.

Die meisten Agenten-Workflows gehören auf Sprosse 1 und 2: volle Autonomie, wo Undo gratis ist, eine menschliche Entscheidung - gestützt auf Verifikation gegen den schriftlichen Auftrag - an der Grenze zum geteilten Zustand. Sprosse 3 ist ehrliche Automatisierung; Sprosse 4 ist der Ort, an dem „der Agent wirkte zuverlässig“ zu Grabe getragen wird.

1. Branch Protection. Nichts Geteiltes akzeptiert direkte Pushes - Agenten strukturell eingeschlossen. Diese eine Einstellung schließt das meiste von Sprosse 4.
2. Scoped Credentials. Agenten-Identitäten tragen keine Produktions-, Lösch- oder Billing-Scopes. Was sie nicht erreichen, können sie nicht kaputtmachen.
3. Sandboxen pro Run. Volle Schreibfreiheit drinnen; nichts entkommt ohne das Gate.
4. Vorschlag + Belege als Output-Format. Das Liefergebnis des Agenten ist eine verifizierte Änderung mit Nachweis - das menschliche Gate dauert Sekunden, keine Ermittlung; die BSI/ANSSI-Linie, operationalisiert. Verankert es in der Team-Richtlinie, damit es Personalwechsel überlebt.

Reality Graph ist advisory by default und trennt seine Evidenz von Commit-, Review-, Freigabe- und Deployment-Entscheidungen. Ein Run kann eine vorgeschlagene Änderung und eingerichtete Checks mit Prüfbericht für den entscheidenden Menschen vorlegen. Der Bericht beweist keine Korrektheit, und Reality Graph erzwingt keine Credentials, Repo- oder Deployment-Rechte anderer Tools. Welche Dateien ein Run nie anfassen darf und wann eine Freigabe veraltet, weil der Code sich darunter weiterbewegt hat, steht in der Mechanik hinter dem Gate.