Was ist agentenbasierte Codierung?

Agentisches Codieren ist Softwareentwicklung, bei der ein KI-Agent ein Ziel vorgibt, die Arbeit plant und sie mithilfe von Tools im gesamten Quellcode ausführt: Dateien lesen, bearbeiten, Abhängigkeiten installieren, Tests ausführen, externe Dienste aufrufen und Dateien öffnen. pull requestsDer Entwickler gibt die Richtung vor und überprüft das Ergebnis. Der Agent erledigt die Arbeit dazwischen. Das ist die Kurzfassung des agentenbasierten Programmierens. Die ausführlichere Version ist wichtig, denn der Übergang von der automatischen Vervollständigung zur autonomen Ausführung verändert, wer Ihren Code schreibt, worauf Ihr Code vertraut und wo Ihre Angriffsfläche tatsächlich liegt.

Bedeutung der agentischen Codierung, Begriff für Begriff #

Zerlegt man den Ausdruck in seine Einzelteile, wird die Definition prägnanter.

Agentisch Beschreibt Software, die zielgerichtet agiert, anstatt auf einzelne Anweisungen zu reagieren. Ein solcher Agent entscheidet selbstständig über seinen nächsten Schritt, nutzt Werkzeuge, beobachtet das Ergebnis und wiederholt den Vorgang, bis das Ziel erreicht ist oder der verfügbare Speicherplatz erschöpft ist.

Programmierung ist die Domäne, in der es operiert: Ihr Repository, Ihre Abhängigkeiten, Ihr Build, Ihre Tests.

Zusammengefasst ist die Bedeutung von agentenbasierter Programmierung einfach: Man delegiert ein Ergebnis, anstatt einen Tastendruck vorzugeben. „Füge der Zahlungs-API eine Ratenbegrenzung hinzu und decke sie mit Tests ab“ ersetzt zwanzig Minuten Tipparbeit. Der Agent liest den Dienst, bearbeitet mehrere Dateien, lädt eine Bibliothek, führt die Testsuite aus und meldet sich zurück.

Die für ein Sicherheitsteam relevante Bedeutung der Agentenkodierung liegt in der zweiten Hälfte dieses Satzes. Jede dieser Aktionen ist eine privilegierte Operation, die von einer nicht-menschlichen Identität ausgeführt wird, welche Anweisungen aus Dateien liest, die niemand genauer prüft.

Was bedeutet das in der Praxis? #

Eine typische Agentenschleife läuft folgendermaßen ab.

1. Tor. Der Entwickler gibt ein Ergebnis in der IDE, einer CLI oder einem an. pull request Kommentar.
2. Kontextanalyse. Der Agent liest das Repository sowie seine eigene Konfiguration: Regeldateien, Skill-Dateien, MCP-Serverdefinitionen und Eingabeaufforderungen.
3. Plan. Der Agent zerlegt das Ziel in Teilschritte.
4. Werkzeuggebrauch. Es bearbeitet Dateien, installiert Pakete, fragt eine Datenbank ab, greift auf eine interne API zu und führt einen Build durch.
5. Überwachung. Es liest die Ausgabe, einschließlich Fehler, und passt sie an.
6. Weiterleiten. Es öffnet eine pull requestoder wendet die Änderung direkt an, sofern dies zulässig ist.

Die Schritte 2 und 4 sind sicherheitsrelevant. Das Verhalten des Agenten wird durch die Konfiguration gesteuert, und seine Reichweite wird durch die verbundenen Tools definiert. Da es sich bei beidem nicht um Anwendungscode handelt, wird beides nicht von den bereits verwendeten Tools abgedeckt.

Glossar der agentischen Codierung #

Es lohnt sich, die agentische Kodierungsbedeutung hinter jedem dieser Begriffe zu kennen, bevor man eine Richtlinie zu einem dieser Begriffe verfasst.

• KI-Agent. Software, die mithilfe von Werkzeugen und Speicher autonom ein Ziel verfolgt. Beim Programmieren arbeitet sie mit einem Repository, für das der Entwickler die entsprechenden Berechtigungen besitzt.
• Agentenserver. Ein Service, der einen Agenten hostet und ihn Kunden zugänglich macht, und ein erstklassiges Asset in Ihrem Portfolio, nicht nur ein Detail der lokalen Konfiguration einer Person.
• Toolaufruf. Der Mechanismus, durch den ein Agent auf die Welt einwirkt: eine Datei schreiben, eine E-Mail senden, einen Vektorspeicher abfragen. Der Wirkungsradius eines Agenten ist die Summe seiner Werkzeugaufrufe.
• MCP (Modellkontextprotokoll). Das öffnen standard Zur Verbindung von Agenten mit Tools und Datenquellen. Im Dezember 2025 der Linux Foundation gespendet, ist es nun eine herstellerneutrale Infrastruktur und die Standardkonfiguration für die Agentenentwicklung.
• MCP-Server. Ein Prozess, der einem Agenten über MCP Tools zur Verfügung stellt. Die meisten laufen auf Entwickler-Laptops und nicht in der Produktion, weshalb sie sich genau den produktionsorientierten Kontrollmechanismen entziehen.
• Kompetenzdatei. Eine Datei, die einem Agenten eine Fähigkeit oder ein Verfahren beibringt. Dokumentation für einen Prüfer, ein Anweisungssatz für den Agenten.
• Regeldatei. Projektbezogene Anleitungen, die ein Agent automatisch lädt, zum Beispiel .cursor/rulesWas auch immer darin enthalten ist, wird zur Richtlinie für jede generierte Zeile.
• Sofortige Injektion. Nicht vertrauenswürdige Inhalte gelangen in den Anweisungspfad eines Agenten und verändern dessen Verhalten. LLM01 im OWASP Top 10 für LLM-Bewerbungenund die am zuverlässigsten ausgenutzte Schwäche in agentenbasierten Systemen.
• Werkzeuginjektion. Manipulation von Tool-Metadaten oder der Ausführung, sodass ein Agent eine Aktion ausführt, die der Benutzer nie angefordert hat, wie z. B. das Exfiltrieren von Daten über sein eigenes E-Mail-Tool.
• Hintertür in der Regeldatei. Eine dokumentierte Technik, bei der Unicode-Zeichen der Breite Null schädliche Anweisungen in einer Regeldatei verbergen. Der Agent befolgt diese Anweisungen und erwähnt sie nie. Katalogisiert unter MITRE ATLAS AML.CS0041.
• Slopsquatting. Durch die Registrierung von Paketnamen, die Sprachmodelle als Halluzinationen interpretieren, installiert der Agent auf Anfrage das Paket des Angreifers. Eine auf der USENIX Security 2025 vorgestellte Studie ergab, dass 19.7 % der von Sprachmodellen empfohlenen Pakete nicht existieren und dass sich die als Halluzinationen interpretierten Namen häufig genug wiederholen, um gezielt ausgenutzt zu werden.
• Leitschiene. Eine Kontrollmaßnahme, die die Handlungen und Äußerungen eines Akteurs einschränkt. Fehlend guardrails sind ein Befund, keine Lücke in der Dokumentation.
• Übermäßige Agentur. Ein Agent, der über mehr Befugnisse oder Autonomie verfügt, als seine Aufgabe erfordert. Der billigste Weg, einen kleinen Kompromiss in einen großen zu verwandeln.
• Mensch auf dem Laufenden. Eine erforderliche Genehmigung, bevor die Handlung eines Beauftragten wirksam wird. Der Unterschied zwischen einer vorgeschlagenen pull request und ein direkter Push zum Main.
• KI-BOM. Eine maschinenlesbare Bestandsaufnahme der KI in Ihrer Software: Modelle, Datensätze, Agenten, MCP-Server und die von Ihren Entwicklern verwendeten KI-Tools. CycloneDX ML-BOM und die SPDX 3.0 KI-Profile sind die gängigen Formate. Eine KI-BOM unterstützt die Dokumentation gemäß Anhang IV des EU-KI-Gesetzes und erfüllt die Anforderungen der CRA (Community Regulatory Authority). Eine explizite Nennung ist nicht gesetzlich vorgeschrieben.
• AI-SPM. KI-Sicherheitsmanagement: Kontinuierliche Erkennung von KI-Assets, deren Beziehungen zueinander und der damit verbundenen Risiken. Gartner hat diese Kategorie in seinem Hype Cycle für Datensicherheit 2025 definiert.
• Vibe-Codierung. KI-generierte Ergebnisse mit minimaler Überprüfung akzeptieren. Eine Arbeitsweise, keine Architektur, und der schnellste Weg, etwas zu veröffentlichen, das niemand versteht.
• OWASP Top 10 für Agentenanwendungen 2026. Die Community-Taxonomie für agentisches Risiko, veröffentlicht im Dezember 2025 zusammen mit den etablierten OWASP Top 10 für LLM-Anwendungen.

Was ändert agentenbasierte Codierung in Bezug auf die Sicherheit? #

Drei Dinge, und keines davon ist theoretisch.

Der Code kommt schneller an, als er überprüft werden kann. Unabhängige Studien zu KI-Programmierassistenten zeigen, dass rund 40 % des generierten Codes Sicherheitslücken aufweisen, und diese Quote ist über verschiedene Modellgenerationen hinweg konstant geblieben. Das Codevolumen steigt, die Prüfkapazität jedoch nicht.

Die Konfigurationsschicht wurde zur Angriffsfläche. Skill-Dateien, Regeldateien und MCP-Definitionen legen das Verhalten des Agenten fest, und herkömmliche Analysemethoden lesen diese nicht aus. Eine Überprüfung von 3,984 Agenten-Skills im Jahr 2026 ergab, dass 13.4 % kritische Sicherheitslücken aufwiesen. Scans öffentlicher Repositories zählten 24,008 Geheimnisse in MCP-Konfigurationsdateien, von denen 2,117 noch gültig waren.

Das Risiko liegt am Endpunkt. Etwa 86 % der MCP-Server laufen auf Entwicklerrechnern und nicht in der Produktion. Ihre Produktionskontrollen haben keinen Zugriff darauf. Dies ist die Ursache für die agentenbasierte Codierung, bei der Ihre CI-Pipeline nicht helfen kann: Bis ein pipeline Der Agent hat das Paket bereits installiert und die manipulierte Regeldatei auf dem Laptop einer anderen Person gelesen.

Sicherstellung der agentenbasierten Codierung #

Die ehrliche Antwort auf die Frage, was agentenbasierte Codierung ist, lautet: Sie verlagert die Sicherheitsgrenze auf den Rechner des Entwicklers und die Dateien, die den Agenten steuern. Xygeni AI Security erkennt alle KI-Ressourcen in Ihrem System. SDLCDie Analyse umfasst Modelle, Agenten, MCP-Server, Skill-Dateien und nicht deklarierte Eingabeaufforderungen, bildet deren Beziehungen ab und erkennt spezifische Risiken: Eingabeaufforderungs- und Tool-Injection, schädliche Anweisungen in Regel- und Skill-Dateien, unsichere MCP-Konfiguration, Geheimnisse in KI-Dateien und unberechtigte KI-Abhängigkeiten. Die Ergebnisse entsprechen den OWASP Top 10 für LLM-Anwendungen und verweisen auf die exakte Datei und Zeile. Die Richtlinie wird dort durchgesetzt, wo der Agent tatsächlich ausgeführt wird – auf dem Endpunkt –, bevor ein nicht autorisierter Server oder ein schädliches Paket ausgeführt wird.

Die Agenten befinden sich bereits in Ihren Repositories. Sehen Sie nach, womit sie verbunden sind unter xygeni.io.y-Tools ähnlich, die die Flut an Warnmeldungen filtern, um sich auf das zu konzentrieren, was von einer echten Bedrohung tatsächlich betroffen sein könnte.

FAQ #