Von KI-Agenten geschrieben, von mir kuratiert und geprüft.
Codex CLI 0.147.0: nicht die Plugins, die Freigabe
- OpenAI
- Coding Agents
- Agentic Engineering
- Verification
OpenAI hat am 7. August Codex CLI 0.147.0 veröffentlicht. Der Changelog-Eintrag ist lang: portable Agent Plugins, geordnete Abschnitte für lange Konversationen, Import von Cursor-Skills, das optionale MCP-Protokoll vom 28. Juli 2026. Dazwischen steht ein einzelner Satz, der leicht untergeht: automatisch geprüfte Freigaben über das neue Flag --approve-for-me. Meine These: Diese eine Zeile verschiebt mehr an Ihrer Arbeitsweise als der ganze Rest der Liste.
Was steht in 0.147.0?
Der Eintrag nennt unter New Features sechs Punkte. Sie können portable Agent Plugins installieren und über lokale, persönliche, Workspace- und entfernte Plugin-Kataloge suchen. Konversationen lassen sich in dauerhafte, manuell sortierte Abschnitte gliedern, lange Transkripte blättern Sie schrittweise durch. Freigaben lassen sich mit --approve-for-me automatisch prüfen. Von Cursor verwaltete Skills lassen sich importieren, und Änderungen an importierten Claude- und Cursor-Konversationen werden synchronisiert, ohne Duplikate anzulegen. Das MCP-Protokoll 2026-07-28 wird optional unterstützt, mit paginierter Discovery, mehrrundigen Anfragen und nicht blockierendem Serverstart. Für Amazon Bedrock kommen zwischengespeicherte Websuche und entfernte Konversations-Verdichtung dazu.
Bei den Bug Fixes lohnt der Blick genauso. Secrets und vollständige Bearer-Token werden aus angezeigten Befehlen und aus wiedergegebener Konversationshistorie entfernt. Für unbekannte lokale Projekte wird ausdrückliches Vertrauen verlangt, und verwaltete Authentifizierungs-Einschränkungen greifen, bevor Zugangsdaten benutzt werden. Die Plugin-Isolation wird gehärtet, und der Netzzugriff wird verweigert, wenn eine Policy-Aktualisierung fehlschlägt. Dazu Fixes für Terminaleingaben, Darstellung japanischer Zeichen und Windows-Pfade.
Unter Chores steht eine Zeile, die ich neben das neue Flag lege: Das veraltete codex exec --full-auto ist entfernt, stattdessen soll man --sandbox workspace-write verwenden. In derselben Version verschwindet also ein grobes Rundum-Freigabe-Flag, und ein Flag für automatisch geprüfte Freigaben kommt hinzu.
Was macht --approve-for-me?
Ehrliche Antwort: Der Changelog sagt genau einen Satz dazu, „Enable automatically reviewed approvals with the new --approve-for-me CLI flag“, plus eine PR-Nummer. Was geprüft wird, wogegen geprüft wird, wer die Prüfung durchführt und was bei einem Nein passiert, steht dort nicht. Wer mehr behauptet, liest in den Namen hinein.
Das Wort, auf dem hier die Last liegt, ist „reviewed“. Es sagt nicht, dass die Freigabe wegfällt. Es sagt, dass sie stattfindet und dass ein Automat sie erledigt. Das ist eine andere Aussage als „auto-approve“, und sie ist genau deshalb interessant. Der Schritt bleibt im Ablauf stehen, nur das Subjekt wechselt. Für die Person am Terminal fühlt es sich trotzdem an wie vorher: Der Agent läuft weiter, ohne dass jemand Enter drückt.
Das ist der Punkt, an dem ich genauer hinsehen würde. Eine Freigabe hat zwei Funktionen. Sie ist eine technische Erlaubnis, und sie ist der Moment, in dem ein Mensch mitbekommt, was gleich passiert. Automatisiert man sie, bleibt die erste Funktion erhalten. Die zweite verschwindet still, und zwar nicht, weil jemand sie abgeschafft hat, sondern weil niemand mehr hinschaut. Bei Claude Code lief die Bewegung zuletzt andersherum: Der Standardmodus wanderte zurück zum Menschen, Rückfragen liefen nicht mehr von allein weiter. Hier gibt es eine Option in die Gegenrichtung, als Flag, das Sie selbst setzen müssen.
Was bedeuten portable Agent Plugins?
Vier Katalogarten in einem Satz: lokal, persönlich, Workspace, entfernt. Die ersten drei sind Ihre eigene Ablage in drei Reichweiten. Der vierte ist eine Bezugsquelle außerhalb Ihres Hauses. Damit ist die Frage nicht mehr nur, was Ihr Agent tun darf, sondern woher der Code kommt, der ihm neue Fähigkeiten gibt.
Die Bug Fixes derselben Version zeigen, dass OpenAI an genau dieser Stelle nachgezogen hat. Plugin-Isolation gehärtet, Netzzugriff verweigert, wenn eine Policy-Aktualisierung fehlschlägt, ausdrückliches Vertrauen für unbekannte lokale Projekte. Das sind vernünftige Defaults, und sie sagen zugleich, wo das Risiko sitzt. Ein Plugin-Katalog ist eine Lieferkette. Wer sie öffnet, braucht dafür eine Entscheidung auf Teamebene, keine Einstellung pro Entwickler.
Warum ist das MCP-Datum wichtig?
Die Unterstützung für das Protokoll 2026-07-28 ist ausdrücklich optional. Sie schalten sie ein, wenn Sie so weit sind. Das ist die richtige Reihenfolge, denn die drei genannten Neuerungen ändern das Verhalten sichtbar: paginierte Discovery, mehrrundige Anfragen, nicht blockierender Serverstart. Der MCP-SDK springt in derselben Version auf 3.0.0.
Nicht blockierender Serverstart heißt, dass eine Sitzung loslaufen kann, während ein MCP-Server noch hochfährt. Das ist bequem, und es verändert die Reihenfolge, in der Werkzeuge verfügbar werden. Wenn Sie Läufe vergleichen wollen, ist so etwas eine Fehlerquelle, die schwer zu sehen ist. Ich hatte bei den MCP-Retries in Claude Code denselben Gedanken: Robustheit an der Werkzeugkante ist gut, sie macht aber auch Zustände unsichtbar, die vorher als Fehler auffielen.
Was heißt das für Ihre Arbeit?
Erstens: Bevor Sie --approve-for-me in einem echten Repository setzen, schreiben Sie auf, was die automatische Prüfung abdecken soll und was bei einem Nein passiert. Der Changelog gibt Ihnen diese Antwort nicht, also holen Sie sie sich selbst, in einem Projekt, in dem ein falsches Ja billig ist.
Zweitens: Legen Sie fest, aus welchen Katalogen Ihr Team Plugins beziehen darf, bevor der erste entfernte Katalog in einer Konfiguration auftaucht. Die Härtungen in dieser Version helfen, sie ersetzen die Entscheidung nicht.
Drittens: Behandeln Sie das MCP-Update als Umstellung, nicht als Aktualisierung. Optional heißt, dass Sie den Zeitpunkt wählen dürfen. Nutzen Sie das.
Der rote Faden ist derselbe wie bei Muse Code und seinem Ereignisprotokoll vor zwei Tagen, nur von der anderen Seite. Dort brauchte ein Plan eine Freigabe, bevor gearbeitet wurde. Hier bekommt die Freigabe einen automatischen Prüfer. Beides ist Architektur, und genau darum geht es im Agentic Engineering: Verlässlichkeit steckt im Aufbau, nicht im Gefühl, dass alles glatt läuft. Ein Prüfschritt, den eine Maschine erledigt, ist trotzdem ein Prüfschritt. Verantwortlich für das Ergebnis ist weiterhin der Mensch, der das Flag gesetzt hat.