#cycle SFEIR à 11 phases

Qualität & Sicherheit 30. Juli 2026 Automatisch geprüfte Übersetzung

Code review dans le SDLC augmenté : l'anneau de contraintes autour des agents

Episode „Phase 5 · Review“ der SFEIR-Serie über den augmentierten SDLC, veröffentlicht **am selben Tag** wie Addy Osmanis LinkedIn-Beitrag, den sie in eine Phasenspezifikation übersetzt. These: **Qualität hat die Adresse gewechselt** — sie wird nicht mehr im Code gelesen (Agenten produzieren mehr davon, als irgendjemand reviewen kann), sondern in **dem Ring von Constraints, der den Agenten umgibt**. Osmanis Ring (sieben Dimensionen — Correctness, Security, Performance, Accessibility, Maintainability, **wirtschaftliche Effizienz**, **Verständlichkeit** — verbunden durch die **Back-Pressure**-Regel: „einer Loop wird nur die Autonomie zugestanden, die man günstig und zuverlässig verifizieren kann, keinen Zentimeter mehr“) wird neu gezeichnet, übersetzt und an Phase 5 des 11-Phasen-Zyklus von SFEIR angehängt. Das strukturierende Korollar: **der Flaschenhals war nie die Generierung, sondern die Verifikation** — „Generierung ist ein weiter Trichter, Verifikation ein enger Hals; wer den Trichter beschleunigt, verdickt den Stau am Hals.“ **Die interessanteste Design-Entscheidung ist eine Wahl der Zyklusarchitektur**: Review liegt bewusst **außerhalb der drei menschlichen Gates** (Define, Plan, Ship), denn das Gate auf Review zu legen würde bedeuten, menschliche Aufmerksamkeit — eine endliche Ressource — als Kontrollpunkt einer Generierungskapazität zu setzen, die selbst skaliert: „man hätte eine Pipeline gebaut, deren maximaler Durchsatz der Anzahl an Diffs entspricht, die ein Senior bis Feierabend lesen kann.“ Daher die Aufteilung: **Review instrumentiert, Ship entscheidet** — Review liefert einen *anfechtbaren Beweiskörper*, Ship entscheidet anhand der Beweise, nicht anhand des vollständigen Diffs. Eine Position gegen Monperrus (dessen Diagnose SFEIR übernimmt — die menschliche Inspektion jedes Diffs hält der agentischen Geschwindigkeit nicht stand —, dessen Schlussfolgerung sie aber zurückweist: Abnahme kann nicht delegiert werden). Die benannte Falle ist die **zirkuläre Validierung** (der Agent, der den Code schreibt, schreibt auch die Tests, die ihn validieren: „man hat einen Spiegel gebaut, keinen Ring“), mit fünf von Anthropic entlehnten Gegenmaßnahmen (unabhängige Gates in getrennten Context-Windows, deterministisch + agentisch ersetzen sich niemals gegenseitig, Shadow Mode, risikobasierte Abstufung, Logging ins SIEM) sowie der Warnung von Compare the Market (**AST-Graph ~70 % vs. Vector-RAG ~58 %**, RAG schneidet *schlechter ab als gar kein Kontext*). Die eigene Erweiterung der Firma ist **die Ratsche**: „jedes Entkommen wird zum Constraint“ — ein Fehler, der den Ring durchbrochen hat, wird *innerhalb des Rings* wieder geschlossen (Test, Lint-Regel, Rubrik, Harness-Guardrail), bei Compound-1, „das einzige Asset in der Kette, das an Wert gewinnt, während Modelle an Wert verlieren“ (ein internes, nicht auditiertes Maß: **− 30 % weniger Korrekturiterationen nach zehn Zyklen**). Der Artikel schließt mit einer Neuformulierung der Frage: „Ist dieser Code gut?“ lässt sich nicht mehr beantworten; was bleibt, ist **„Was lässt mein System nicht durch?“**

#Ring von Constraints#Constraints um Agenten#Review-Phase

SFEIR (voix éditoriale du cabinet, article non signé individuellement) — construit sur Addy Osmani (Google) ; cite Martin Monperrus · Paula Hingel (Augment Code) · DORA/Google Cloud · Jason Clinton (Anthropic) · l'équipe Engineering de Compare the Market

Qualität & Sicherheit 26. Juli 2026 Automatisch geprüfte Übersetzung

Anthropic sécurise un SDLC où l'IA écrit 80 % du code : le cycle redevient le socle

SFEIR-Dechiffrierung (im Ton der Firma) des fünf Tage zuvor veröffentlichten Nachbetrachtungsberichts von Jason Clinton (Deputy CISO, Anthropic) — bereits erfasst in [[clinton-anthropic-secure-ai-native-sdlc-2026-07-21]]. **Der Mehrwert liegt nicht in den Fakten, sondern in der These, die sie neu liest**: Wenn Anthropics Kontrollen greifen, dann weil es **einen Zyklus mit benannten Phasen gibt, an denen sie aufgehängt werden können** — „der SDLC ist das Fundament, nicht die Formalität." Die Demonstration erfolgt über eine Neulektüre der Zuordnung (**PSR bei Plan, CLAUDE.md + Egress-Allowlist bei Code, Review-Agenten bei Test, kontinuierliches DAST bei Deploy, Triage + SIEM-Routing bei Monitor**), gefolgt von einer **vierteiligen Anapher**: (1) *ohne SDLC bleiben die Produktivitätsgewinne aus* — Clinton zitiert **Amdahl**: Die Codemenge mit 8 zu multiplizieren, multipliziert nichts, wenn das Review sequenziell und menschlich bleibt, und Anthropic hat nicht durch die Verteilung von Agenten gewonnen, sondern durch **das Identifizieren der blockierenden Phase (Test) und deren Neuaufbau** — „man optimiert keinen Engpass, den man nicht kartiert hat" (ein Rückverweis auf den **Spiegeleffekt** aus DORA 2025); (2) *ohne SDLC hat die Sicherheit keinen Ankerpunkt* — ein **Gate ist per Definition eine zwischen zwei Phasen platzierte Kontrolle**, und Clintons drei Bedrohungen werden an unterschiedlichen Zeitpunkten adressiert; (3) *ohne SDLC lässt sich keine **FinOps-Token**-Politik formulieren* — agentisches Scannen wird nach Verbrauch abgerechnet und wächst mit dem Code-Durchsatz, weshalb **risikobasiertes Tiering DIE FinOps-Politik IST** (sie entscheidet, wo drei Agentendurchläufe bezahlt werden und wo ein SAST genügt), andernfalls wird „der Token-Verbrauch nicht gesteuert, sondern erst am Monatsende beobachtet"; (4) *ohne SDLC gibt es nichts zu messen* — die Indikatoren (16 % → 54 % kommentierter PRs, ein Drittel der abgefangenen vergangenen Vorfälle) existieren nur, weil es Phasen gibt, an denen ein Zähler platziert werden kann; fehlen diese, produziert man nur **Nutzungszahlen** (Lizenzen, Token), die nichts über Qualität und Risiko aussagen. Zwei starke Punkte außerhalb der These: die Lektüre des **incident agent-à-agent** („ein Sicherheitsperimeter, der auf einer Anweisung in einem Prompt beruht, ist kein Perimeter"; **der Zugriff eines Agenten auf andere Agenten ist Teil seiner Angriffsfläche**) und ein **expliziter methodischer Vorbehalt** — Anthropic-Zahlen über Anthropic, ungeprüft, veröffentlicht vom Anbieter des beschriebenen Modells, im Kontext einer jungen Codebasis ohne Mainframe: **was sich überträgt, ist die Methode, nicht die Zahlen**.

#SDLC#KI-nativer SDLC#Entwicklungszyklus

SFEIR (voix éditoriale du cabinet, article non signé individuellement) — commentaire de Jason Clinton (Deputy CISO, Anthropic)