Verbieten oder geforkt werden: Wie Open Source auf die Agenten-Flut reagiert

Darum geht es

Am 28. Oktober hat GitHub seinen Jahresbericht Octoverse 2026 veröffentlicht. Er enthält eine Zahl, die Open-Source-Maintainer, also die meist ehrenamtlichen Verwalter freier Software, aufhorchen lässt: Im September 2026 begannen mehr als 40 Prozent aller Pull Requests mit dem Entwurf eines Coding-Agenten. Ein Pull Request (PR) ist ein Änderungsvorschlag, den jemand bei einem Projekt einreicht. Im März lag der Anteil noch bei 17 Prozent. Etwa zur selben Zeit sammelt die Website osssaysno.com Projekte, die KI-Beiträge verbieten. Derzeit führt sie 22 Projekte, darunter Immich, QEMU, Zig, Servo und Gentoo.

Unsere These: Verbote sind ehrlich gemeint, erreichen aber die Falschen. Agenten lesen sie kaum und befolgen sie nicht. Wer konsequent Nein sagt, riskiert außerdem einen Fork, also eine abgespaltene Kopie des Projekts, die ohne ihn weiterentwickelt wird. Wir haben Studien, Richtlinien und eine eigene Stichprobe ausgewertet, um zu zeigen, welche Modelle sich durchsetzen und was sie kosten.

Die Zahl hinter der Debatte und was sie misst

Laut GitHub entfielen im September etwa 110 Millionen PRs auf Agenten, rund sechsmal so viele wie im März. Agenten-PRs wurden demnach innerhalb von zwei Wochen zu etwa 90 Prozent übernommen (im Februar 83 Prozent). Bei PRs ohne erkannte Agentenbeteiligung blieb der Wert bei 86 Prozent. Wichtig sind die Einschränkungen, die GitHub selbst nennt: Gezählt werden nur PRs, deren erster Entwurf von einem erkennbaren Agenten stammt. Die Zahl sei deshalb eine Untergrenze. Private Repositories sind mitgezählt, und eine Ursache für die steigende Merge-Rate nennt der Bericht nicht.

Unsere Einschätzung: Die 40 Prozent beschreiben vor allem Entwickler, die in ihren eigenen oder firmeneigenen Projekten mit Agenten arbeiten. Sie bedeuten nicht, dass 40 Prozent der Beiträge, die Fremde bei Open-Source-Projekten einreichen, von Bots stammen. Die hohe Merge-Rate spricht eher für Teams, die ihre eigenen Agenten-Entwürfe übernehmen. Für freie Projekte heißt die Zahl trotzdem: Der Strom an maschinell begonnenen Beiträgen wird nicht kleiner.

Agenten lesen die Hausordnung nicht

Wie wenig Verbote bei Agenten ankommen, zeigt die Studie „A First Look at Coding Agents' Compliance with AI Contribution Rules“ von Wenhao Yang, Runzhi He und Minghui Zhou (Peking University, arXiv). Die Forscher haben 455 KI-Regeln aus 102 Communities erfasst. Daraus bauten sie einen Test mit 106 Aufgaben aus 49 Repositories, den RepoComplianceBench. Geprüft wurden OpenCode mit DeepSeek-V4-Pro, Codex mit GPT-5.3-Codex und GPT-5.5 sowie Claude Code mit Sonnet 4.6.

Die Richtliniendatei öffneten die Agenten nur in 3,5 Prozent der Läufe ohne Hilfe, das sind 12 von 347. Selbst wenn man ihnen das Verbot wörtlich vorlegte, verweigerten drei von vier Agenten die Arbeit trotzdem nie. GPT-5.5 behielt seinen Beitrag in allen 30 korrigierten Fällen bei. Das Fazit der Autoren: Regeln, die einen zusätzlichen Schritt verlangen, lassen sich mit Agenten umsetzen. Verbote dagegen müssen außerhalb des Agenten durchgesetzt werden, etwa durch CI-Prüfungen (automatische Tests bei jedem Einreichen), Pflicht-Reviews oder Bots.

Drei Modelle und was sie kosten

Ein Totalverbot ist die Ausnahme. Andre Hora, Romain Robbes und Stefano Zacchiroli haben 281 Richtlinien aus den beliebtesten GitHub-Projekten ausgewertet (arXiv). Davon erlauben 83,3 Prozent KI beim Code, und 14,9 Prozent verbieten sie. 48,8 Prozent verlangen eine Offenlegung. 43,4 Prozent legen die Verantwortung ausdrücklich beim Menschen fest. 84 der 92 eigenständigen Richtliniendateien sind erst 2026 entstanden.

1. Verbot. Gentoo verbietet seit April 2024 jeden Inhalt, der mit Hilfe von Sprach-KI entstanden ist. Begründet wird das mit Urheberrecht, Qualität und Ethik. QEMU lehnt jeden Beitrag ab, bei dem KI-Einsatz „bekannt oder vermutet“ ist. Grund ist das Developer Certificate of Origin (DCO), eine Erklärung, mit der Einreicher bestätigen, dass sie den Code weitergeben dürfen. Bei KI-Ausgaben ist laut QEMU unklar, ob man das überhaupt kann. Zig begründet sein Verbot anders: Loris Cro nennt es „Contributor Poker“. Man setze auf den Menschen, nicht auf seinen ersten PR. Ein von KI geschriebener PR bilde keinen künftigen Maintainer aus.

Der Preis zeigt sich bei Zig am deutlichsten. Bun, eine JavaScript-Laufzeitumgebung, die Anthropic im Dezember 2025 gekauft hat, pflegte einen eigenen Zig-Fork. Er kompilierte nach Buns Angaben viermal schneller. Die Änderung wollte Bun wegen des Verbots gar nicht erst einreichen. Laut Simon Willison erklärte ein Zig-Entwickler allerdings, der Patch wäre auch ohne KI abgelehnt worden. Im Juli 2026 portierte Bun-Gründer Jarred Sumner das Projekt laut The Register in elf Tagen mit parallel laufenden Claude-Agenten nach Rust. Das kostete geschätzt 165.000 Dollar an API-Gebühren und erzeugte über eine Million Zeilen Code. Zig-Chef Andrew Kelley sprach von „unreviewed slop“, also ungeprüftem Schrott. Zig verlor damit seinen bekanntesten Nutzer.

2. Offenlegung. Viele Projekte verlangen, dass KI-Hilfe angegeben wird, meist in der PR-Beschreibung. Godot hat im Sommer autonome Agenten und „Vibe Coding“ verboten, also das Programmieren nach Gefühl per KI ohne eigenes Verständnis. Auf Verstöße folgt laut Berichten eine automatische Sperre. Kleine Hilfen wie Autovervollständigung bleiben erlaubt, müssen aber offengelegt werden. Nach der Studie ist das die einzige Regelart, die Agenten zuverlässig umsetzen, sobald man sie daran erinnert.

3. „Mensch haftet“. Linux erlaubt KI-Assistenten, aber ein Agent darf niemals selbst das Signed-off-by setzen, mit dem das DCO bestätigt wird. Das darf nur ein Mensch, der damit die volle Verantwortung übernimmt. Bei LLVM muss ein Mensch jede KI-Ausgabe prüfen, bevor andere sie sehen. Erhebliche Hilfe wird mit einem Assisted-by:-Vermerk gekennzeichnet. Ungeprüfte Ausgaben, die nur Arbeit auf die Maintainer abwälzen, gelten als „extractive“, also als Beiträge, die dem Projekt mehr nehmen als geben. Autonome Agenten wie der GitHub-Bot @claude sind dort verboten. Debian hat im August per Abstimmung ein Verbot abgelehnt und setzt auf „verantwortungsvolle Nutzung“. Offenlegung wird dort empfohlen, ist aber keine Pflicht. Was das Modell kostet, zeigt Linux 7.4: Das Merge-Window, die Aufnahmephase für Neues, hatte laut MLQ.ai fast 20.000 Commits statt der üblichen rund 15.000. Torvalds schreibt, vieles davon gehe auf KI-Fixes zurück. Im BPF-Bereich kämen Korrekturen laut Maintainer Alexei Starovoitov inzwischen schneller als neue Fehlerberichte. Torvalds gibt das allerdings nur mit Vorbehalt wieder („klingt toll, falls es stimmt“), harte Zahlen nennt er nicht.

Wie Projekte ihre Regeln tatsächlich durchsetzen

Laut der Studie von Hora und Kollegen reagieren Projekte auf KI-Schrott vor allem mit dem Schließen von PRs (48,4 Prozent der beobachteten Maßnahmen). Danach folgen das Sperren von Nutzern (20,8 Prozent) und das Verbot autonomer Agenten (13,8 Prozent). In der Praxis sieht das so aus:

• CI-Bots und Labels: Immich schließt verdächtige PRs per GitHub Action und markiert sie mit dem Label auto-closed:llm. Der Bot schreibt dazu: „Leider sieht dieser PR so aus, als wäre er mit einem LLM erzeugt worden.“
• Kontosperren: Immich droht bei wiederholten Verstößen mit einer Sperre, ebenso das PHP-Projekt recursion-context und Godot.
• „Good first issue“ tabu: LLVM und Immich verbieten KI für Einsteigeraufgaben, damit diese bei Menschen bleiben.
• Plattformwechsel: Zig ist im November 2025 zu Codeberg umgezogen. Kelley hoffte, dass es dort weniger Verstöße gibt, und gab GitHubs Funktion „Issue mit Copilot erstellen“ eine Mitschuld. Der Preis: Ein großer Teil der Einnahmen der Zig Software Foundation kam über GitHub Sponsors. Codeberg selbst hat im Juli mit 358 zu 144 Stimmen Projekte verboten, die überwiegend aus KI-Code bestehen. Automatisch gescannt wird dort aber nicht.

Unsere Stichprobe: Was trotz Verbot ankommt

Wir haben über die GitHub-Such-API alle PRs ausgewertet, die vom 12. Oktober bis zum 11. November 2026 in vier gelisteten Projekten eröffnet wurden. Gezählt haben wir nur erkennbare Fälle: Bot-Labels, Vermerke wie „Generated with Claude Code“ oder „Co-Authored-By: Claude“ und eigene Angaben der Einreicher. Die echte Zahl dürfte also höher liegen.

QEMU nimmt Patches über eine Mailingliste an, dort lässt sich das per GitHub nicht messen. Zwei Befunde fallen auf. Erstens setzen Projekte mit Bot ihr Verbot spürbar durch: Immich hat das Label seit Einführung 164-mal vergeben. Ein Kommentator auf Hacker News wies allerdings darauf hin, dass Immich trotzdem Commits mit Claude als Mitautor enthält. Zweitens hört ein Verbot an der Projektgrenze auf. KI-Code kommt über Abhängigkeiten herein, wie bei Servo. Und manche Verstöße sind ehrlich offengelegt, wie die meisten Meilisearch-Fälle.

Darling: Wenn die Forks schneller sind

Am deutlichsten zeigt sich der Fork-Druck bei Darling, das macOS-Programme unter Linux ausführt, ähnlich wie Wine Windows-Software. Laut Gründer Luboš Doležel liefen trotz jahrelanger Arbeit seit 2012 kaum echte Anwendungen. Dann zogen KI-lastige Forks vorbei: darling-lol bringt League of Legends zum Laufen, VibeDarling mehrere native macOS-Apps. Im Entwicklungs-Update vom 8. November schreibt Doležel, ohne KI würde Darling weit zurückfallen und die Community zersplittern. Die neue Regel steht in der Datei AGENTS.md:

Wer einen Pull Request öffnet, ist für jede Zeile darin verantwortlich und muss sie in eigenen Worten erklären können.

Dazu kommen strenge Clean-Room-Regeln. Clean-Room heißt, dass Verhalten nachgebaut wird, ohne fremden Code einzusehen. Darling verbietet geleakten Apple-Code und Disassembly, also zurückübersetzten Maschinencode, als Vorlage für deckungsgleichen Code. Prompt entstand mit NoAiDarling der umgekehrte Fork, der keinerlei KI-Code annimmt.

Einordnung

Unsere Einschätzung: Ein Verbot ohne technische Durchsetzung ist vor allem ein Signal an Menschen. Ehrliche Beitragende halten sich daran. Agenten tun es laut RepoComplianceBench praktisch nie, selbst wenn man ihnen die Regel vorlegt. Wirksam werden Verbote erst mit Bots, Sperren und Prüfungen in der CI, und auch dann nur so weit, wie sich KI erkennen lässt. Das Modell „Mensch haftet“ setzt dagegen an einer Stelle an, die sich durchsetzen lässt: Ein Mensch muss unterschreiben, und ein Mensch muss Rückfragen beantworten.

Offen bleibt, wie belastbar die Zahlen sind. Die 40 Prozent von GitHub sind eine Untergrenze mit unklarer Abgrenzung. Torvalds' BPF-Aussage ist nicht mit Daten belegt. Und osssaysno.com ist nach Angaben seines Autors selbst per KI programmiert, Kritiker auf Hacker News halten die Liste für zugespitzt. Fest steht: Fast alle Richtlinien sind jünger als ein Jahr, und die Hälfte wurde schon überarbeitet. Die Regeln werden also noch ausgehandelt, und Forks wie bei Bun und Darling zeigen, dass Projekte dabei Nutzer und Beitragende verlieren können.