GitHub gibt Copilot Assisted Permissions für CLI, App und VS Code frei

GitHub hat am 26. Oktober 2026 Assisted Permissions für seinen KI-Programmierassistenten Copilot allgemein verfügbar gemacht, wie der GitHub-Changelog meldet. In Copilot CLI, der GitHub Copilot app und Visual Studio Code kann damit ein Sprachmodell Berechtigungsanfragen vorprüfen. Wenn Copilot einen Befehl ausführen, auf einen Dateipfad zugreifen oder eine URL öffnen will, bewertet ein Large Language Model die Anfrage. Anfragen, die das Modell als eindeutig sicher einstuft, laufen automatisch weiter. Was bestehende Berechtigungen bereits erlauben, läuft laut GitHub-Dokumentation ohne Rückfrage und ohne Modellprüfung. Bleibt eine Anfrage zustimmungspflichtig, fragt Copilot in einer normalen interaktiven Sitzung dich.

Drei Modi und ein Mittelweg

Die GitHub-Dokumentation beschreibt drei Optionen, mit denen du festlegst, wie stark du an Freigaben beteiligt bist. Bei der manuellen Freigabe fragt Copilot nach, sobald eine Aktion nicht schon erlaubt ist. Das betrifft etwa einen Befehl, der nicht read-only ist, eine Dateibearbeitung oder einen URL-Zugriff. Diese Variante bietet laut Dokumentation die meiste Kontrolle, verlangt aber auch die meisten Antworten auf Rückfragen.

Das andere Extrem ist Unconditional Approval: Copilot nutzt dann Werkzeuge, Pfade und URLs ohne Sicherheitsprüfung durch ein Modell und ohne einzelne Rückfragen. In der CLI entspricht das der Option --allow-all oder --yolo beziehungsweise dem Slash-Befehl /permissions allow-all.

Assisted Permissions liegt dazwischen. Hier lässt Copilot geeignete Anfragen von einem Modell prüfen und genehmigt automatisch die, die das Modell für sicher hält. Bestehende Deny-Regeln und Enterprise-Beschränkungen gelten weiter.

In welcher Reihenfolge Copilot prüft

Bevor das Modell eine Anfrage bewertet, prüft Copilot laut GitHub-Dokumentation die bestehenden Regeln und menschlichen Freigaben. Die Modellprüfung kommt erst danach. Ist das Modell überzeugt, dass eine Anfrage sicher ist, genehmigt Copilot sie ohne Rückfrage und arbeitet weiter. Ist es nicht überzeugt, fragt Copilot nach wie bei der manuellen Freigabe. Fällt die Sicherheitsprüfung aus oder kann sie eine Anfrage nicht bewerten, gilt die normale Berechtigungsbehandlung der Sitzung.

Nicht alles landet beim Modell. Es bewertet geeignete, noch nicht entschiedene Anfragen: ob ein Befehl laufen, ein Pfad genutzt oder eine URL abgerufen werden darf. In Copilot CLI kann eine Modellfreigabe dabei auch Enterprise-Ask-Regeln für Shell-Befehle, Dateizugriffe und URLs erfüllen, sodass diese Regeln nicht immer zu einer Rückfrage führen. Enterprise-Deny-Regeln gelten weiter. Andere Tool-Aufrufe, für die Enterprise-Regeln eine Freigabe vorschreiben, und Anfragen, das lokale Sandboxing zu umgehen, prüft das Modell nicht. Für sie gilt die normale Berechtigungsbehandlung der Sitzung.

Welches Modell die Prüfung übernimmt, legt Copilot selbst fest. Es kann ein anderes sein als das Modell deiner Unterhaltung. Im Autopilot-Modus und bei nicht interaktiven Läufen werden Anfragen, die weiterhin eine Freigabe bräuchten, abgelehnt.

So schaltest du Assisted ein

Der GitHub-Changelog nennt für jede Oberfläche einen kurzen Weg. In der CLI führst du /permissions aus und wählst assisted. In der Copilot app öffnest du die Modusauswahl, klickst auf Tool permissions und wählst Assisted. Das gilt dort für lokale Sitzungen, und die Auswahl wird laut Dokumentation zugleich als Standard für neue lokale Sitzungen gespeichert. In Visual Studio Code öffnest du die Berechtigungsauswahl und wählst Assisted permissions.

Weitere CLI-Details stehen in der GitHub-Dokumentation. Als Standard für neue interaktive CLI-Sitzungen setzt du in ~/.copilot/settings.json den Wert defaultPermissionMode auf "assisted". Mit /permissions show siehst du, in welchem Modus die aktuelle Sitzung läuft.

Für nicht interaktive Läufe, etwa in einem CI/CD-Workflow, gibt es die Option --assisted-approval. Sie ist nur dafür vorgesehen. Startest du damit eine interaktive Sitzung, beendet sich die CLI mit einem Fehler. Ein nicht interaktiver Aufruf sieht so aus:

copilot -p "Fix the failing tests" --assisted-approval

Als Einsatzfall nennt die Dokumentation unbeaufsichtigte Läufe in CI/CD, geplanten Jobs oder Batch-Skripten, die echte Arbeit erledigen sollen, ohne dass Copilot uneingeschränkte Rechte bekommt. Hier gibt es eine Stolperfalle. Kombinierst du die Option mit --allow-all oder --yolo, kann der Zugriff auf Pfade und URLs trotzdem unbeschränkt bleiben. Lässt sich Assisted nicht aktivieren, etwa weil Enterprise-Einstellungen es blockieren, schreibt die CLI eine Warnung nach Standard Error und hebt eine zusätzlich gesetzte Option --allow-all-tools nicht auf. Tool-Anfragen können dann ohne Sicherheitsprüfung genehmigt werden. GitHub rät, die Ausgabe automatisierter Läufe auf diese Warnung zu prüfen.

Getrennte Schalter für Enterprise-Admins

Enterprise-Admins können über verwaltete Einstellungen Allow All sperren und Assisted verfügbar lassen oder Assisted separat abschalten. In der Dokumentation heißen die Schalter permissions.disableBypassPermissionsMode: "disable" für die uneingeschränkte Freigabe und permissions.disableAssistedPermissionsMode: true für Assisted.

Außerdem legen Admins den Standardmodus für neue Sitzungen fest. Entwickler können aber weiterhin einen anderen Modus wählen, den die Richtlinie erlaubt. Setzt der Admin permissions.defaultMode, hat dieser verwaltete Standard in der CLI Vorrang vor deiner eigenen Einstellung. Ist der Standard nicht verfügbar oder per Richtlinie verboten, startet die Sitzung mit manueller Freigabe. Diese Regel betrifft nur den Standardmodus beim Start. Scheitert dagegen die Aktivierung über --assisted-approval, bleibt eine separat gesetzte Option --allow-all-tools wirksam.

Wo die Modellprüfung endet

Auch wenn Copilot seltener fragt, bleibst du laut Dokumentation für das verantwortlich, was Copilot tut. Das Modell kann Fehler machen und gefährliche oder unbeabsichtigte Aktionen genehmigen. Die Funktion ersetzt weder Sandboxing noch Zugriffsbeschränkungen. GitHub empfiehlt, die Aktionen von Copilot zu prüfen und Copilot möglichst in einer Sandbox oder einer anderen isolierten Umgebung auszuführen.

Assisted Permissions filtert also Rückfragen. Die Isolation der Umgebung musst du separat einrichten. Zum Weiterlesen passen Exec in OpenClaw: Shell-Befehle kontrolliert ausführen und Prozesse steuern und Google kündigt Agent Compute Engine mit isolierten MicroVMs an.