Deine IDE ist jetzt eine Agent-Runtime — du hast nur dein Bedrohungsmodell nicht aktualisiert

Du öffnest deine IDE, tippst ein paar Zeichen, eine KI schlägt die nächste Zeile vor. Du drückst Tab. Das ist seit zwei Jahren der Deal, und irgendwann nach dem sechsten Monat hast du aufgehört, beeindruckt zu sein. Autocomplete ist Mobiliar. Du bemerkst es erst, wenn es nicht funktioniert.

Aber hier ist die Sache: Während du dich fröhlich durch dein Leben getabbt hast, haben die Tools, für die du 20 Dollar im Monat zahlst, still und leise geändert, was sie eigentlich tun. Und niemand hat die Marketingseite aktualisiert.

Dreißig Tage, vier Tools, eine Grenze überschritten

Zwischen dem 5. März und dem 2. April 2026 haben alle großen KI-Coding-Tools Updates ausgeliefert, die dieselbe Grenze überschreiten — von „schlägt Code vor" zu „führt deinen Rechner aus."

Cursor machte den Anfang. Am 5. März startete Cursor Automations — permanente Agenten, ausgelöst durch Slack-Nachrichten, GitHub-Events, PagerDuty-Incidents, sogar Zeitpläne. Diese Agenten starten Cloud-Sandboxen und arbeiten autonom. Am 25. März kamen selbst-gehostete Cloud-Agenten dazu — bis zu 8 parallel, jeder klont dein Repo. Man spricht von „Hunderten von Automations pro Stunde" über alle Kunden hinweg.

Claude Code folgte am 23. März mit Computer Use — die KI kann jetzt zeigen, klicken, Dateien öffnen und über deinen Bildschirm navigieren. Anthropic hat außerdem den Output von Opus 4.6 auf 64K Tokens angehoben (Obergrenze: 128K), benannte Subagents mit @-Mention-Routing hinzugefügt und ein Permission-Relay gebaut, das Genehmigungsanfragen an dein Handy weiterleitet. Dein KI-Assistent schickt dir jetzt eine Nachricht, um sudo-Zugriff zu bekommen. Lass das mal sacken.

Windsurf Wave 13 lieferte parallele Multi-Agent-Sessions, gestützt auf Git Worktrees — ein Verfahren, um isolierte Kopien deiner Codebase zu erstellen — sodass jeder Agent auf seinem eigenen Branch arbeitet. Außerdem haben sie deine Standard-Shell durch eine dedizierte zsh-Instanz ersetzt, die „speziell für zuverlässige Agent-Terminal-Ausführung konfiguriert" ist. Übersetzung: Sie haben deiner Shell nicht vertraut.

GitHub Copilot machte den Sack zu. Am 1. April brach der Cloud-Agent aus seinem PR-Käfig aus — er kann jetzt auf Branches arbeiten, ohne Pull Requests zu erstellen, Pläne vor dem Code-Schreiben erstellen und Research-Sessions durchführen. Am 2. April ging das Copilot SDK in die Public Preview, mit dem Entwickler agentische Fähigkeiten in ihre eigenen Apps einbauen können.

Was sich unter der Haube wirklich geändert hat

Diese Tools arbeiten jetzt als Agent Loops — ein Muster, bei dem die KI nicht nur Code vorschlägt, sondern Shell-Befehle ausführt, Error-Logs liest, Pakete installiert und so lange wiederholt, bis die Tests durchlaufen. Deine IDE ist zu einer überwachten Agent-Runtime geworden — einer Umgebung, in der KI-Prozesse kontinuierlich mit Zugriff auf dein Dateisystem und Terminal laufen.

Das Produkt ist nicht mehr Autocomplete. Es ist Delegation. Du beschreibst, was du willst, und der Agent findet die zwanzig Terminal-Befehle heraus, die dafür nötig sind.

Der Teil, den niemand bewirbt

Jedes dieser Tools hat jetzt ein Berechtigungsmodell, das ungefähr dem entspricht, einem sehr schlauen Fremden sudo-Zugriff zu geben. NVIDIA hat ein Security-Framework veröffentlicht, das explizit darauf hinweist, dass die Anwendung, sobald die Kontrolle an einen Subprocess übergeht, „keine Sichtbarkeit oder Kontrolle über den Subprocess" mehr hat. Die eingesetzten Isolationstechnologien — microVMs, gVisor, gehärtete Container — variieren massiv zwischen den Anbietern.

Cursor gibt Agenten eigene Cloud-Sandboxen. Claude Code schreibt dein Handy an und bittet um Erlaubnis. Windsurf ersetzt deine Shell. Copilot läuft in GitHubs Cloud. Vier verschiedene Antworten auf dieselbe ungelöste Frage: Wie sandboxt man etwas, das Root-Zugriff braucht, um nützlich zu sein?

Was das für dich bedeutet

Wenn du gerade ein Coding-Tool auswählst — als Entwickler, Teamlead oder derjenige, der die Rechnung freigibt — lautet die Frage nicht „welches schreibt besseren Code." Sie alle schreiben ungefähr ähnlichen Code. Die Frage ist: Wie viel Kontrolle bist du bereit, an einen Agenten abzugeben, der in deiner Entwicklungsumgebung läuft?

Die Autocomplete-Ära hat etwa zwei Jahre gedauert. Die IDE hat aufgehört, ein Texteditor zu sein, und ist zu einer Agent-Sandbox geworden. Die meisten Entwickler haben ihr Bedrohungsmodell noch nicht entsprechend aktualisiert. Vielleicht checkst du mal, welche Berechtigungen dein Coding-Assistent tatsächlich hat, bevor du dir den nächsten Kaffee holst.