Omarchy 4.0.1 nimmt KI-Agenten-Voreinstellungen ohne Sicherheitsprüfung zurück

Omarchy veröffentlichte am 25. August 2026 die Version 4.0.1 mit elf Sicherheitskorrekturen. Die folgenreichste ändert, wie das System KI-Coding-Agenten startet. Bis zu dieser Version startete Omarchy Claude Code und OpenAIs Codex mit jenen Schaltern, die ihre Rückfragen abschalten. Die Agenten konnten also handeln, ohne zu fragen.

Omarchy ist ein fertig eingerichteter Linux-Desktop auf Basis von Arch Linux, entwickelt von David Heinemeier Hansson von Basecamp. Er erschien erstmals im Juni 2025 und soll Entwicklern eine arbeitsfähige Umgebung ohne stundenlange Einrichtung geben. Version 4.0 kam Mitte August 2026, dieser Patch folgte elf Tage später.

Was die Agenten vorher taten

Ein Coding-Agent hält normalerweise inne, bevor er etwas Riskantes tut. Er bittet den Entwickler, einen Shell-Befehl, das Schreiben einer Datei oder eine Paketinstallation freizugeben. Omarchys Startkonfiguration in Version 4.0 entfernte diese Pause.

Version 4.0.1 dreht das zurück. Laut den Release Notes starten Claude und Codex nun im Auto-Review-Modus statt mit vollständigem Bypass, und Agentenaktionen laufen vor der Ausführung durch einen Klassifikator. Ein Klassifikator ist hier ein zweites Modell, das die vorgeschlagene Aktion prüft und beurteilt, ob sie sicher ist.

Das ist eine Verbesserung, keine Garantie. Der Bericht von heise online benennt die Grenze deutlich: Auto-Review "is not a sandbox but a model that can be deceived" - keine Sandbox, sondern ein Modell, das sich täuschen lässt. Die Publikation verweist auf Arbeiten der Sicherheitsfirma PromptArmor. Diese zeigte, wie OpenAIs prüfender Agent die Installation schädlicher Pakete freigab, nachdem Anweisungen im Code versteckt worden waren.

Die übrigen Korrekturen der Version

Die Release Notes führen Korrekturen in sieben weiteren Bereichen auf.

Bereich	Was sich geändert hat
Docker-Gruppe	Der Benutzer wird nicht mehr standardmäßig in die Gruppe docker aufgenommen
Installierte Themes	Korrekturen für Schwachstellen, die über Theme-Dateien entstanden
FIDO2	Umgang mit Hardware-Sicherheitsschlüsseln gepatcht
Git-Transport	Korrekturen beim Abrufen von Repositories
USB-Geräte	Sichererer Umgang mit angeschlossener Hardware
DNS-Helfer	Namensauflösungs-Skripte gepatcht
Benachrichtigungsaktionen	Korrekturen daran, was eine Desktop-Benachrichtigung auslösen darf

Die Docker-Änderung betrifft alle, die das System bereits nutzten. Die Mitgliedschaft in dieser Gruppe erlaubt jedem Programm in Ihrer Desktop-Sitzung, mit dem Docker-Dienst zu sprechen, der mit vollen Systemrechten läuft. Sie zur Opt-in-Sache zu machen, begrenzt, was ein kompromittiertes Programm erreichen kann.

Ein Sicherheitsteam und 10 Millionen Dollar für das Projekt

Omarchy hat nun ein eigenes Sicherheitsteam und ein veröffentlichtes Meldeverfahren unter omarchy.org/security. Die Notizen zu 4.0.1 nennen drei Sicherheitsbeiträger mit Namen: @acrogenesis, @mdisec und @omarchybot.

Das Geld kam zur selben Zeit. heise online und The Register berichten beide vom Start der Omacom Foundation, die die Infrastruktur des Projekts finanzieren soll. Die beiden Darstellungen weichen bei der Zahl leicht voneinander ab. The Register schreibt, der Fonds sei mit 8 Millionen Dollar gestartet und habe 10 Millionen erreicht, nachdem Geldgeber wie Dropbox hinzukamen. heise online nennt als Startsumme 10 Millionen Dollar. Zu den genannten Förderern zählen Tobi Lütke von Shopify, Patrick Collison von Stripe und Michael Dell.

Die Stiftung will außerdem die Open-Source-Projekte unterstützen, von denen Omarchy abhängt, darunter den Fenstermanager Hyprland und Quickshell.

Überzeugt sind nicht alle. The Register zitiert einen Kritiker, der unmissverständlich sagt: "Do NOT use Omarchy if you care about security of your machine even a little bit" - man solle Omarchy nicht nutzen, wenn einem die Sicherheit des eigenen Rechners auch nur ein wenig wichtig sei.

Was das für Entwickler bedeutet

Erst aktualisieren, dann die Gruppe prüfen. Führen Sie groups auf jedem Rechner aus, der mit Version 4.0 oder älter installiert wurde. Erscheint docker in der Ausgabe, gilt auf diesem Rechner noch die alte Voreinstellung. Ein Patch ändert, was neue Installationen tun, nicht was Ihr System bereits getan hat.

Die weitergehende Lehre reicht über eine Distribution hinaus. Eine bequeme Voreinstellung, die die Rückfrage eines Agenten abschaltet, ist eine Sicherheitsentscheidung. Sie wurde hier stellvertretend für den Nutzer getroffen, ohne Nachfrage. Wer Agenten für ein Team paketiert, sollte den freizügigen Modus zu etwas machen, das eine Person bewusst wählt und sehen kann.

Behandeln Sie Auto-Review als Bremsschwelle, nicht als Mauer. Das Ergebnis von PromptArmor ist der nützliche Datenpunkt: Ein prüfendes Modell lässt sich zur Freigabe einer schädlichen Installation überreden. Wo ein Agent Pakete installieren oder Shell-Befehle ausführen kann, leistet ein Container oder eine virtuelle Maschine weiterhin Arbeit, die kein Klassifikator leistet.