GitHub Copilot genehmigt Befehle mit KI: Wo liegt das Risiko?

Was sich tatsächlich ändert

Wer täglich einen Coding-Agenten nutzt, kennt die vielen Nachfragen zu Befehlen, Dateizugriffen und Links. Jede einzelne Bestätigung kostet Zeit. Die vermeintliche Lösung, dem Agenten dauerhaft alles zu erlauben, verschiebt das Risiko jedoch auf Repositories, vertrauliche Daten und Produktionssysteme. GitHub bietet seit dem 26. Oktober einen Mittelweg: Assisted Permissions ist in Copilot CLI, Copilot App und Visual Studio Code allgemein verfügbar.

Bei diesem Modus prüft ein Sprachmodell, ob eine geeignete Werkzeuganfrage eindeutig sicher erscheint. Solche Anfragen werden laut GitHub automatisch erlaubt. Bei anderen Vorgängen bleibt die Zustimmung eines Menschen nötig. Das Unternehmen nennt Shell-Befehle, Dateisystempfade und URLs als Beispiele. Es geht nicht um die inhaltliche Qualität des geschriebenen Codes, sondern um die Entscheidung, ob ein Werkzeug benutzt werden darf.

In Copilot CLI lässt sich der Modus über /permissions auswählen. Die Copilot App bietet die Einstellung unter Tool Permissions, VS Code im Berechtigungsmenü. Unternehmen können zentral vorgeben, ob Assisted verfügbar ist, Allow All unterbinden oder einen Standardmodus setzen. Wenn eine Option organisatorisch nicht freigegeben ist, kann die Sitzung mit manuellen Genehmigungen beginnen. Diese höhere Priorität der Richtlinien ist wichtiger als eine bequeme Oberfläche.

Grenzen und praktischer Check

Bei automatisierten Abläufen ohne anwesenden Menschen ist die Grenze besonders interessant. GitHubs CLI-Dokumentation beschreibt, dass Anfragen mit weiterhin erforderlicher menschlicher Zustimmung dann nicht eigenmächtig freigeschaltet werden. Der Agent kann mit einer anderen Strategie fortfahren. Das ist sachgerechter, als einen fehlenden Nutzerentscheid zu fingieren. Es beweist aber nicht, dass das prüfende Modell alle riskanten Befehle erkennt.

Assisted Permissions ist nicht mit der bereits früher allgemein verfügbaren lokalen GitHub-Sandbox identisch. Die Sandbox schränkt Dateisystem, Netzwerk und andere Fähigkeiten technisch ein. Assisted bewertet dagegen eine Freigabeanfrage. Ein als sicher etikettierter Befehl kann nur dann zuverlässig eingegrenzt werden, wenn zusätzliche harte Laufzeit- und Unternehmensregeln tatsächlich durchgesetzt werden.

Angreifer könnten außerdem scheinbar harmlose Befehle verwenden, die später Skripte laden, unerwartete Ziele ansprechen oder indirekt Geheimnisse offenlegen. Eine Modellentscheidung ist keine formale Verifikation. Vor produktivem Einsatz würden wir in einem separaten Repository einfache Leseaktionen, absichtlich verbotene Netzwerkzugriffe und Schreiboperationen vergleichen. Nicht nur weniger Rückfragen messen, sondern jede Fehlfreigabe und die Durchsetzung der Deny-Regeln.

AgentenFinder von AgentenCode unterstützt die Auswahl unterschiedlicher Coding-Agenten, AgentenFit die Zuordnung zum Arbeitsablauf. Mit AgentenCheck lassen sich tatsächliche Berechtigungen, Ausnahmen, Herstellerdokumentation und unbelegte Sicherheitsbehauptungen getrennt erfassen. Das ist eine Entscheidungsstütze, keine unabhängige Produktzertifizierung. Eine eigene Sicherheitsmessung für Assisted Permissions liegt uns nicht vor.