Wenn ein AI-Agent direkt write oder rm im Produktions-Repo ausführt, reicht eine Halluzination für Datenverlust, geleakte Secrets oder halb geschriebene Configs. Ein Virtual File System (VFS) hält Agenten in einer verwerfbaren, prüfbaren, rollback-fähigen Sicht; echte Dateien werden erst nach Review oder CI gemergt.
1. Warum kein Direktzugriff
Coding-Agenten führen massenhaft und selbstsicher aus. Typische Risiken: Pfad-Escape, rm -rf, Teilwrites, fehlende Audit-Trails.
2. VFS: drei Schichten
- Base (read-only)
- Overlay (writable)
- Publish (merge)
3. Vier Muster
Git worktree, OverlayFS/Container, Remote-Sandbox, IDE-Schicht. Lang laufende Agenten brauchen dedizierte Hosts.
4. Rechte und Allowlists
- Nur
$WORKSPACE/**beschreibbar .env*,secrets/standardmäßig verboten- Datei-API + Shell-Doppelgate
5. Atomare Writes
Staging im Overlay → unified diff → atomisches rename → run_id für Rollback.
6. Secrets isolieren
Platzhalter zur Laufzeit, Logs/Diffs maskieren, Egress begrenzen.
7. Sandbox-Beispiel
def safe_resolve(path: str) -> Path:
p = (SANDBOX / path).resolve()
if not str(p).startswith(str(SANDBOX)):
raise PermissionError("path escape")
return p
8. Checkliste
- ☐ Kein unbegrenztes Shell
- ☐ Schreib-Allowlist
- ☐ Rollback pro Run
- ☐ Dedizierter Host für Dauer-Agenten
9. FAQ
Verlangsamt VFS Agenten?
Overlay-Overhead ist ms–s, weniger als ein LLM-Roundtrip.
Minimum für kleine Teams?
Branch + PR, kein Push auf main.
Docker-Konflikt?
Code read-only mounten, Änderungen in writable layer.
Parallele Multi-Agenten?
Pro Agent ein worktree, Integrator merged.
Ist Cursor ein VFS?
Gesteuerte Tools + Workspace-Regeln—gleiche Abstraktion.
Cloud Mac?
APFS-Snapshots und exklusives FS für Langläufer.
Dedizierte Agent-Runner mit Snapshots
Nuvcloud Mac mini M4—Preise.