AgentGuard Update: Open Core, Break-Glass-Governance — und die ersten echten Funde

Beim Launch hier auf dev.to war der Pitch einfach: Ich habe mein eigenes Repo angegriffen — und mein eigener PR-Bot hat den Angriff vor dem Merge geblockt. Seitdem ist einiges passiert. Das ehrliche Update, inklusive der unbequemen Teile. 1. Open-Core-Split: Die Grenze ist öffentlich sichtbar AgentGuard besteht seit dieser Woche aus zwei klar getrennten Teilen: Öffentlich (MIT): die deterministische Engine mit 12 Regelklassen und die Free GitHub Action — 59 Tests, jeder einzelne öffentlich nachvollziehbar. Privat: die Pro-Komponenten — GitHub-App-Server mit Check-Run-Gate, Multi-Tenant, Regel-Editor, Re-Sharpening und Billing — 26 weitere Tests. Warum der Split? Weil ein CI-Gate für Coding-Agents entweder ein Hobby ist oder ein Produkt. Ich habe mich für Letzteres entschieden. Die Community verliert dabei nichts: Die Engine bleibt MIT, die Action bleibt kostenlos für öffentliche Repos. Die Trennlinie steht in LICENSING.md — bewusst im Klartext, nicht im Kleingedruckten. 2. Break-Glass-Governance: Ausnahmen, die sich nicht verstecken können Jede ehrliche Security-Policy braucht Ausnahmen. Die naive Variante ist der Dauer-Bypass: einmal aus, für immer aus. Unsere Antwort in v0.2.2: Ein Waiver ist ein Issue — ein unveränderlicher Beleg, wer wann was ausgenommen hat. Pflicht-Reviewer, max. 30 Tage Laufzeit, automatischer Ablauf. Ein Guardian-Workflow läuft wöchentlich, kommentiert abgelaufene Ausnahmen und erstellt ein Warn-Issue. Und jetzt der Teil, der mir wichtig ist: Wir behaupten den Ablauf nicht — wir führen ihn öffentlich vor. In unserem eigenen Repo läuft ein Test-Waiver (#13), der am 16.09.2026 automatisch verfällt. Der Guardian-Lauf danach dokumentiert öffentlich: kommentiert, gewarnt, geschlossen. Das ist der Unterschied zwischen einer Policy auf Papier und einer, die sich selbst beweist. Für dein eigenes Repo: Break-Glass-Policy, ADR-002, Workflow-Template. 3. 85 Tests, Self-Scan in der eigenen CI Die Gesamtsuite ist auf 85 Tests gewachsen: 59 im öffentlichen Engine-Repo, 26 im Pro-Repo. Weiterhin deterministisch, weiterhin kein LLM im Scan-Pfad. Und weiterhin Dogfooding: Der Scan unseres eigenen Repos läuft in unserer eigenen CI — jede Landingpage-Änderung muss zuerst am eigenen Gate vorbei. Genau das hat uns schon einmal den eigenen PR geblockt. Funktioniert wie designed, steht im Changelog. 4. Die ersten echten Funde Zwei aktive Open-Source-Repos, zwei unsichtbare Zeichen: Ein Zero-Width Space (U+200B) direkt vor einem Bash-Block in einer agent-gelesenen Spec. Ein U+200B mitten in einer Skill-Spec. Unsichtbar in jedem Diff und in jedem Review — aber für das Modell eine andere Datei als für den Menschen. Das ist der dokumentierte Unsichtbarkeits-Trick, kein theoretisches Szenario. Beide Funde sind byte-verifiziert und wurden verantwortungsvoll an die Maintainer gemeldet — ohne öffentliche Namensnennung. Falls die Maintainer es wünschen, gibt es hier ein Update. 5. Was Pro kann — und was es kostet App-Server: PR-Kommentar + Check-Run-Gate pro Repo, Multi-Tenant. Regel-Editor: eigene Regeln als Datei, fail-closed. Re-Sharpening: aus echten Befunden neue Regeln generieren. Billing: Stripe-Checkout, fertig verdrahtet. Preise unverändert: Free, Pro $19/Repo/Monat, Audit $499 (einmalig), RedTeam $499/Quartal. Probier es aus 🛒 Free Action im Marketplace 🔴 Live-Demo: gepflanzter Angriff, roter Check, kein Merge 🌐 Landingpage 📝 Kostenloser Erst-Scan / Pro-Trial 📦 Code