In GitLab 19.4 steht in der Voreinstellung ein Mensch dazwischen, wenn ein Agent über den MCP-Server etwas schreiben oder löschen will.

Erst kostenlos reinschnuppern, dann entscheiden

Bevor du dich für eine Weiterbildung entscheidest, sieh dir kostenlos an, wie sie läuft, fünf Lektionen plus Live-Demo, ohne Verpflichtung. Passt es, ist der Digitalisierungsmanager bei bewilligtem Bildungsgutschein für dich kostenlos.

Kostenlos reinschnuppern

Der Schnupperkurs ist gratis. Ob die Weiterbildung über den Bildungsgutschein gefördert wird, entscheidet die Agentur für Arbeit im Einzelfall.

Freigaben je Werkzeug

Die wichtigste Neuerung betrifft den MCP-Server von GitLab. Über ihn stehen GitLab-Werkzeuge auch fremden Agenten zur Verfügung. Freigaberegeln ließen sich laut den Versionshinweisen bisher nur für die internen Werkzeuge der GitLab Duo Agent Platform setzen, für die Werkzeuge des MCP-Servers galten feste Regeln. Mit Version 19.4 lassen sie sich in den Duo-Einstellungen einer Gruppe oder eines Projekts je Werkzeug einstellen, und zwar in den Stufen Free, Premium und Ultimate. Die Voreinstellung trennt nach Wirkung. Nur-Lese-Werkzeuge stehen auf Always Allow, damit Routineabfragen ohne Unterbrechung durchlaufen. Werkzeuge zum Schreiben und Löschen stehen auf Always Ask. Vor jeder Änderung durch einen Agenten liegt damit eine Prüfung durch einen Menschen.

Laut iTWire befinden sich die MCP-Server-Werkzeuge in der öffentlichen Beta.

Dieselbe Frage nach Lese- und Schreibrechten tauchte bereits bei Google Home MCP auf. GitLab beantwortet sie mit einer Voreinstellung, die Lesen freigibt und jede Änderung an eine Zustimmung knüpft.

Agenten an der Pipeline

Neu im MCP-Server sind außerdem Werkzeuge für CI/CD. Agenten können damit aus jedem MCP-Client Pipelines starten, wiederholen oder abbrechen. Schlägt ein Lauf fehl, liest der Agent dessen Protokoll und grenzt das Problem selbst ein. Starten und Abbrechen sind Eingriffe mit Wirkung, und wer diese Werkzeuge freigibt, sollte in den Duo-Einstellungen nachsehen, welche Freigaberegel für jedes einzelne gilt.

Weitere Neuerungen rund um Agenten tragen einen Stufen- oder Beta-Vorbehalt. Der Befehl /goal in der Duo-Kommandozeile übergibt in den Stufen Premium und Ultimate ein offenes Ziel an einen gesteuerten Ablauf mit unabhängiger Prüfinstanz. Die neue Slack-Anbindung ist ausdrücklich experimentell, und der visuelle Baukasten für eigene Abläufe läuft in der Beta.

Offene Modelle und eine Kostenangabe von GitLab

In den Stufen Premium und Ultimate unterstützt die GitLab Duo Agent Platform drei offen gewichtete Modelle: GLM 5.3, Kimi K3 und MiniMax M3. Gruppeninhaber und Administratoren können sie als Standard für Chat, Agenten und Abläufe festlegen. Betrieben werden die Modelle laut iTWire von GitLab.

GitLab gibt an, sie brächten bis zu viermal mehr Aufrufe je GitLab Credit als viele vergleichbare Spitzenmodelle, bei vergleichbarer Leistung. Beide Hälften dieser Aussage stammen vom Anbieter. Eine unabhängige Messung von Kosten oder Leistung gibt es dazu nicht, und „bis zu“ beschreibt ohnehin den günstigsten Fall. Wer den Wechsel des Standardmodells mit der Rechnung begründen will, hat dafür bislang nur die Zahl des Herstellers in der Hand.

Warnung vor dem Stopp

Bei den Ausgaben verlegt GitLab die erste Warnung nach vorn. Erreicht die bedarfsabhängige Nutzung einer Funktion 50 oder 80 Prozent ihrer monatlichen Ausgabengrenze, schickt GitLab den Verantwortlichen für die Abrechnung eine E-Mail. Grenzen unter 10 US-Dollar werden dabei übersprungen. Bisher kam die erste Mail erst, wenn die Nutzung bereits gestoppt war.

Wer sie las, sah also einen Stillstand, der schon eingetreten war.

Manav Khurana, bei GitLab Chief Product and Marketing Officer, ordnet das laut iTWire sinngemäß so ein: Die Plattform, auf der die Automatisierung läuft, bestimme, welche Werkzeuge ein Agent anfassen darf, und ordne den Verbrauch zu. Die Ausweitung auf das nächste Team werde damit zu einer abgewogenen Entscheidung und nicht zu einem offenen Risiko. Das ist die Sicht des Herstellers auf sein eigenes Produkt.

Unsere Einschätzung

Die Versionshinweise richten sich an Entwicklungsteams. Aus unserer Sicht lohnt die Lektüre trotzdem für jeden Betrieb, der Agenten an eigene Systeme anschließt, weil sich zwei Voreinstellungen fast ohne Umweg übertragen lassen.

Die erste ist die Trennung nach Wirkung. Lesen läuft ohne Rückfrage, Schreiben und Löschen warten auf einen Menschen, und Zurückhaltung ist dabei der Ausgangspunkt. Wer einem Agenten mehr erlauben will, muss das aktiv einstellen. Umgekehrt eingerichtet, also mit vollen Rechten ab Werk und Einschränkungen im Nachgang, hängt die Sicherheit davon ab, dass irgendwann jemand an die Einschränkung denkt. Wir würden bei jeder Anbindung eines Agenten, ob an die Buchhaltung oder an die Kundenverwaltung, zuerst klären, was er ohne Rückfrage ändern darf. Für den Anfang halten wir „nichts“ für eine vernünftige Antwort.

Die zweite ist die Warnung vor dem Stopp. Erfährt ein Betrieb von seiner Ausgabengrenze erst in dem Moment, in dem der Agent stehen bleibt, kommt die Nachricht als Störung an. Wir würden bei jedem Dienst, der nach Verbrauch abrechnet, nachsehen, ab welchem Stand die erste Warnung kommt und bei wem sie landet.

Leichter zu übersehen ist die Standardeinstellung für das Modell. Können Gruppeninhaber und Administratoren ein Modell als Standard festlegen, entscheidet eine einzelne Einstellung darüber, welches Modell mit dem eigenen Code arbeitet. Diese Einstellung gehört aus unserer Sicht in dieselbe Freigabe wie jede andere Entscheidung über Dienstleister, die mit Firmendaten arbeiten. Eine niedrigere Rechnung pro Aufruf, beziffert vom Anbieter selbst, reicht als Begründung dafür nicht aus.

Quellen

Die genannten Angaben stützen sich auf folgende öffentlich zugängliche Quellen (Stand der Recherche: 18. September 2026):

Häufige Fragen

Was ändert GitLab 19.4 bei den Freigaben für KI-Agenten?

In der am 17. September 2026 veröffentlichten Version 19.4 lassen sich Freigaberegeln für die Werkzeuge des GitLab-MCP-Servers je Werkzeug einstellen, in den Duo-Einstellungen einer Gruppe oder eines Projekts. Vorher war das nur für die internen Werkzeuge der GitLab Duo Agent Platform möglich. Die Funktion gibt es in den Stufen Free, Premium und Ultimate, die MCP-Server-Werkzeuge sind laut iTWire in der öffentlichen Beta.

Was bedeuten Always Allow und Always Ask in GitLab 19.4?

Always Allow ist die Voreinstellung für Nur-Lese-Werkzeuge, damit Routineabfragen ohne Unterbrechung laufen. Always Ask ist die Voreinstellung für Werkzeuge zum Schreiben und Löschen. Bevor ein Agent damit etwas ändert, prüft ein Mensch den Schritt.

Welche offenen Modelle unterstützt GitLab 19.4?

Die GitLab Duo Agent Platform unterstützt in den Stufen Premium und Ultimate die offen gewichteten Modelle GLM 5.3, Kimi K3 und MiniMax M3, die laut iTWire von GitLab betrieben werden. Gruppeninhaber und Administratoren können sie als Standard für Chat, Agenten und Abläufe festlegen. Die Aussage, sie brächten bis zu viermal mehr Aufrufe je GitLab Credit bei vergleichbarer Leistung, ist eine Angabe von GitLab, unabhängig gemessen ist sie nicht.

Was sollte ein Betrieb mit KI-Agenten jetzt regeln?

Aus unserer Sicht taugt die Voreinstellung von GitLab als Muster für jedes angebundene System: Lesen ohne Rückfrage, Schreiben und Löschen erst nach Zustimmung eines Menschen. Bei Diensten, die nach Verbrauch abrechnen, sollte feststehen, ab welchem Stand die erste Kostenwarnung kommt. Die Wahl des Standardmodells würden wir so freigeben wie jede andere Entscheidung über Dienstleister, die mit Firmendaten arbeiten.

Welches System im Betrieb lässt einen Agenten heute schon ohne Rückfrage etwas ändern?

Im kostenlosen KI-Schnupperkurs zeigen wir in fünf Lektionen, wie kleine und mittlere Firmen KI im Alltag einsetzen. Tiefer und praxisnah geht es im Vollkurs Digitalisierungsmanager, DEKRA-zertifiziert und förderfähig über den Bildungsgutschein.

Zuletzt aktualisiert: 18. September 2026. Stand der Recherche: 18. September 2026.