# Human Gate (menschliche Freigabe)

*Erscheint nur vor unumkehrbaren, nach außen gerichteten oder rechteerweiternden Aktionen und zeigt den echten Diff.*

> **Ein Human Gate** ist ein durch Richtlinien ausgelöster Kontrollpunkt: Bevor eine **unumkehrbare, nach außen gerichtete oder rechteerweiternde** Aktion wirksam wird, gibt ein Mensch (oder ein benannter Freigeber) eine vollständig dargestellte, konkrete Aktion frei. Es ist so entworfen, dass es selten, konkret und schwer durchzuwinken ist.

**AN-05** · Konformitätsstufe: L1 Authority · Gruppe: Befugnis

## Das Problem

Das heutige „Human in the Loop“ ist entweder ein endloser Strom von Abfragen oder gar nichts. Anthropic berichtet, dass Nutzer von Claude Code 93 % bis 97 % der Berechtigungsabfragen freigeben; in seinem kontrollierten Experiment erkannten Menschen nur 13,6 % der eingeschleusten gefährlichen Befehle und wurden mit längeren Sitzungen schlechter. Das ist Herstellerforschung, um den Auto-Modus zu bewerben, und sie misst das Erkennen eingeschleuster Abfragen statt Vorfallraten im Betrieb, aber die Richtung ist klar.

Dieselben Daten enthalten eine weitere Zahl: Nutzer lehnen 39 % der Pläne ab, aber nur 3 % der einzelnen Berechtigungsanfragen. Ernsthaft beurteilen Menschen Pläne und Merges, nicht jeden Tool-Aufruf.

## So funktioniert es

- **Es erscheint an wenigen Stellen:** Merge in einen geschützten Tree, Löschen aus einem geschützten Tree, externes Teilen oder Veröffentlichen, Egress, Ausweiten einer Lease und Absenken eines Labels. Schreibzugriffe auf einem Branch brauchen keine Freigabe.
- **Die Granularität ist ein Plan oder ein Merge.** Prüfen Sie einen PR, nicht fünfzig Abfragen.
- **Die Gate Card wird vom NAS dargestellt:** der echte Diff, eine Zusammenfassung des Lesemanifests, die Lease und die Sitzungskontamination, nie die eigene Darstellung des Agenten. Optionen: freigeben, eingeschränkt freigeben, ablehnen; ein Timeout bedeutet standardmäßig Ablehnung.
- **Eine Freigabe ist an den Digest der Aktion gebunden:** Sie bindet den Diff-Hash und die Lease und lässt sich nicht wiedereinspielen.
- **Zustellung:** Push, Chat, E-Mail oder CLI; sie lässt sich delegieren; Passkeys sind eine optionale starke Authentifizierung.
- **Nur eskalieren.** Ein optionaler Risikoklassifikator (auch ein LLM) darf eine Aktion nur an ein Gate **eskalieren** und nie **freigeben**. Ein Modell kann nur verschärfen, nie lockern.
- **Müdigkeit wird gemessen:** Freigabequote und Zeit bis zur Freigabe; ist die Freigabequote ungewöhnlich hoch, spricht das dafür, Gates zusammenzulegen oder die Richtlinie zu verschärfen.

## Klein anfangen

- Ein geschützter `main` plus PR-Review (jede Git-Plattform genügt) und eine Push-Benachrichtigung.
- Oder eine CLI: `nas gate approve <gate_id>`.
- Lassen Sie die Gate Card zuerst den „echten Diff“ zeigen; stürzen Sie sich nicht auf ausgefallene Oberflächen.

## Schnittstellenskizze

Nur zur Veranschaulichung. Feldnamen können sich vor der Spezifikation v0.3 ändern.

*gate-card.json*

```json
{
  "gate_id": "gt_2Mx4",
  "run": "run_91ab",
  "action": {
    "op": "merge",
    "from": "cleo/run_91ab",
    "into": "main",
    "files_changed": 4,
    "diff_sha256": "7d2a..."
  },
  "why": "Release notes are ready for review",
  "risk": {
    "session_taint": ["external"],
    "sources": ["web:example.com/changelog"],
    "destructive": false,
    "egress": false
  },
  "options": ["approve", "approve_narrowed", "deny"],
  "default": "deny",
  "expires_at": "2026-11-12T12:00:00Z"
}
```

## Was die Spezifikation verlangt

- Eine Gate Card MUSS den echten, vom NAS berechneten Diff zeigen, nicht die Beschreibung des Agenten davon.
- Eine Freigabe MUSS an den Digest der Aktion und an die Lease gebunden sein und DARF NICHT wiedereinspielbar sein.
- Das Standardergebnis eines Timeouts MUSS die Ablehnung sein.
- Ein Klassifikator oder ein LLM DARF NICHT freigeben; er KANN eine Aktion an ein Gate eskalieren.
- Ein Merge in einen geschützten Tree, das Löschen aus einem geschützten Tree, externes Teilen, Egress, das Ausweiten einer Lease und das Absenken eines Labels MÜSSEN über ein Gate laufen.
- Das NAS SOLLTE die Freigabequote und die Zeit bis zur Freigabe melden.

## Was übernommen ist und was neu ist

Alles Folgende ist etablierte Praxis. **Neu ist:** die Freigabe am **Merge in der Speicherschicht** zu verankern und den Inhalt vom NAS (nicht vom Agenten) darstellen zu lassen. Freigaben und PRs selbst sind nicht neu.

- [How we built Claude Code auto mode](https://www.anthropic.com/research/claude-code-auto-mode)
- [Anthropic: approval data behind auto mode](https://claude.com/resources/articles/auto-mode-default-in-claude-code)
- [CaMeL](https://arxiv.org/abs/2503.18813)
- [WebAuthn](https://www.w3.org/TR/webauthn-3/)
- [OpenID CIBA](https://openid.net/specs/openid-client-initiated-backchannel-authentication-core-1_0.html)

## Ehrliche Grenzen

- Ein Mensch kann trotzdem die falsche Aktion freigeben; auch gebündelte Prüfung führt zu Müdigkeit.
- Benachrichtigungskanäle können per Phishing angegriffen werden.
- Eine Freigabe kann nichts aufhalten, was **außerhalb des Freigegebenen** liegt; das ist Aufgabe der Lease.

## Offene Fragen

- Was ist die beste Oberfläche für Stapel- und gestufte Reviews?
- Wie wird die Schwelle für automatisches Mergen gemessen und abgestimmt?

## Fragen

### Ist das nicht nur ein weiterer „Bestätigen“-Dialog?

Bewusst nicht. Ein Dialog feuert bei jedem Tool-Aufruf, und bald klicken Menschen nur noch „Freigeben“. Ein Gate erscheint nur vor wenigen unumkehrbaren oder nach außen gerichteten Aktionen, zeigt den echten, vom NAS berechneten Diff, und die Freigabe bindet den Diff-Hash: Ändert sich der Diff, ist die Freigabe ungültig.

### Kann ein LLM entscheiden, ob etwas durchgeht?

Es kann vorschlagen, dass „sich ein Mensch diesen Schritt ansehen sollte“; freigeben kann es nicht. Die Entscheidung, etwas durchzulassen, muss eine deterministische Regel oder die Freigabe eines Menschen sein. So hängt die Sicherheit nicht vom Urteil eines Modells ab.

### Was passiert bei einem Timeout?

Standardmäßig Ablehnung. Die Ausführung erhält eine klare Absage und kann einen anderen Weg nehmen oder den Vorschlag auf ihrem Branch liegen lassen, damit sich ein Mensch darum kümmert.

## Verwandte Konzepte

- [Capability Lease (befristete Berechtigung)](https://agentnas.com/de/concepts/capability-lease/): Eine enge Autorisierung für eine Ausführung, mit Ablauf und Budgets. Kind-Leases können nur enger sein.
- [Trust Labels (Vertrauenslabels)](https://agentnas.com/de/concepts/trust-labels/): Zwei kleine Labels plus Sitzungskontamination setzen die Zweierregel durch.
- [Agent Branch (Agentenzweig)](https://agentnas.com/de/concepts/agent-branch/): Jede Ausführung arbeitet auf einem Copy-on-Write-Branch. Nur ein geprüfter Merge erreicht die Hauptlinie.

---

Kanonische URL: https://agentnas.com/de/concepts/human-gate/
Aktualisiert am: 2026-11-11 · Spezifikationsentwurf v0.2 · CC BY 4.0