Human Gate menschliche Freigabe

Das Problem #

Das heutige „Human in the Loop“ ist entweder ein endloser Strom von Abfragen oder gar nichts. Anthropic berichtet, dass Nutzer von Claude Code 93 % bis 97 % der Berechtigungsabfragen freigeben; in seinem kontrollierten Experiment erkannten Menschen nur 13,6 % der eingeschleusten gefährlichen Befehle und wurden mit längeren Sitzungen schlechter. Das ist Herstellerforschung, um den Auto-Modus zu bewerben, und sie misst das Erkennen eingeschleuster Abfragen statt Vorfallraten im Betrieb, aber die Richtung ist klar.

Dieselben Daten enthalten eine weitere Zahl: Nutzer lehnen 39 % der Pläne ab, aber nur 3 % der einzelnen Berechtigungsanfragen. Ernsthaft beurteilen Menschen Pläne und Merges, nicht jeden Tool-Aufruf.

So funktioniert es #

• Es erscheint an wenigen Stellen: Merge in einen geschützten Tree, Löschen aus einem geschützten Tree, externes Teilen oder Veröffentlichen, Egress, Ausweiten einer Lease und Absenken eines Labels. Schreibzugriffe auf einem Branch brauchen keine Freigabe.
• Die Granularität ist ein Plan oder ein Merge. Prüfen Sie einen PR, nicht fünfzig Abfragen.
• Die Gate Card wird vom NAS dargestellt: der echte Diff, eine Zusammenfassung des Lesemanifests, die Lease und die Sitzungskontamination, nie die eigene Darstellung des Agenten. Optionen: freigeben, eingeschränkt freigeben, ablehnen; ein Timeout bedeutet standardmäßig Ablehnung.
• Eine Freigabe ist an den Digest der Aktion gebunden: Sie bindet den Diff-Hash und die Lease und lässt sich nicht wiedereinspielen.
• Zustellung: Push, Chat, E-Mail oder CLI; sie lässt sich delegieren; Passkeys sind eine optionale starke Authentifizierung.
• Nur eskalieren. Ein optionaler Risikoklassifikator (auch ein LLM) darf eine Aktion nur an ein Gate eskalieren und nie freigeben. Ein Modell kann nur verschärfen, nie lockern.
• Müdigkeit wird gemessen: Freigabequote und Zeit bis zur Freigabe; ist die Freigabequote ungewöhnlich hoch, spricht das dafür, Gates zusammenzulegen oder die Richtlinie zu verschärfen.

Klein anfangen #

• Ein geschützter main plus PR-Review (jede Git-Plattform genügt) und eine Push-Benachrichtigung.
• Oder eine CLI: nas gate approve <gate_id>.
• Lassen Sie die Gate Card zuerst den „echten Diff“ zeigen; stürzen Sie sich nicht auf ausgefallene Oberflächen.

Schnittstellenskizze #

Nur zur Veranschaulichung. Feldnamen können sich vor der Spezifikation v0.3 ändern.

{
  "gate_id": "gt_2Mx4",
  "run": "run_91ab",
  "action": {
    "op": "merge",
    "from": "cleo/run_91ab",
    "into": "main",
    "files_changed": 4,
    "diff_sha256": "7d2a..."
  },
  "why": "Release notes are ready for review",
  "risk": {
    "session_taint": ["external"],
    "sources": ["web:example.com/changelog"],
    "destructive": false,
    "egress": false
  },
  "options": ["approve", "approve_narrowed", "deny"],
  "default": "deny",
  "expires_at": "2026-11-12T12:00:00Z"
}

Was die Spezifikation verlangt #

• Eine Gate Card MUSS den echten, vom NAS berechneten Diff zeigen, nicht die Beschreibung des Agenten davon.
• Eine Freigabe MUSS an den Digest der Aktion und an die Lease gebunden sein und DARF NICHT wiedereinspielbar sein.
• Das Standardergebnis eines Timeouts MUSS die Ablehnung sein.
• Ein Klassifikator oder ein LLM DARF NICHT freigeben; er KANN eine Aktion an ein Gate eskalieren.
• Ein Merge in einen geschützten Tree, das Löschen aus einem geschützten Tree, externes Teilen, Egress, das Ausweiten einer Lease und das Absenken eines Labels MÜSSEN über ein Gate laufen.
• Das NAS SOLLTE die Freigabequote und die Zeit bis zur Freigabe melden.

Was übernommen ist und was neu ist #

Alles Folgende ist etablierte Praxis. Neu ist: die Freigabe am Merge in der Speicherschicht zu verankern und den Inhalt vom NAS (nicht vom Agenten) darstellen zu lassen. Freigaben und PRs selbst sind nicht neu.

• How we built Claude Code auto mode
• Anthropic: approval data behind auto mode
• CaMeL
• WebAuthn
• OpenID CIBA

Ehrliche Grenzen #

• Ein Mensch kann trotzdem die falsche Aktion freigeben; auch gebündelte Prüfung führt zu Müdigkeit.
• Benachrichtigungskanäle können per Phishing angegriffen werden.
• Eine Freigabe kann nichts aufhalten, was außerhalb des Freigegebenen liegt; das ist Aufgabe der Lease.

Offene Fragen #

• Was ist die beste Oberfläche für Stapel- und gestufte Reviews?
• Wie wird die Schwelle für automatisches Mergen gemessen und abgestimmt?

Fragen #

Verwandte Konzepte #

• Capability Lease (befristete Berechtigung) Eine enge Autorisierung für eine Ausführung, mit Ablauf und Budgets. Kind-Leases können nur enger sein.
• Trust Labels (Vertrauenslabels) Zwei kleine Labels plus Sitzungskontamination setzen die Zweierregel durch.
• Agent Branch (Agentenzweig) Jede Ausführung arbeitet auf einem Copy-on-Write-Branch. Nur ein geprüfter Merge erreicht die Hauptlinie.