Tech News KW 19: Copilot pausiert, pnpm 11, Rovo Dev

Diese Woche hat sich die Diskussion um Coding-Agenten endgültig von der Modell-Frage zur Plattform-Frage verschoben. GitHub pausiert Sign-ups für Copilot Individual und drosselt Usage-Limits, weil agentic Workflows die Ressourcen-Annahmen der ursprünglichen Pläne sprengen. Atlassian dokumentiert intern 30,8 Prozent schnellere PRs durch Rovo Dev. pnpm 11.0 macht den Bitwarden-CLI-Vorfall zur Standard-Lehre. Und Kubernetes 1.36 "Haru" bereitet sein Member-Event vor, an dem die Workload-Aware-Scheduling-Muster für AI/ML in der Community vorgestellt werden. Hier ist, was in KW 19 wirklich relevant war.

Top-Story: GitHub Copilot Individual pausiert — agentic Workflows sprengen die Plan-Logik

GitHub hat in der vergangenen Woche Sign-ups für Copilot Individual und Pro pausiert und gleichzeitig die Usage-Limits für bestehende Konten enger gezogen. Die Begründung in der offiziellen Mitteilung ist ungewöhnlich offen: agentic Sessions verbrauchen weit mehr Ressourcen, als die ursprüngliche Plan-Struktur unterstützt. Wer das im April produktiv genutzt hat, weiß, wovon GitHub spricht — eine einzige Coding-Agent-Session kann hunderttausende Tokens und mehrere Tool-Calls pro Schritt verursachen.

Parallel hat GitHub angekündigt, dass Copilot Code Review ab 1. Juni Actions-Minutes konsumiert — die agentische Architektur läuft auf GitHub-hosted Runners und wird damit erstmals direkt in die Compute-Abrechnung eingerechnet. Für Teams, die Copilot bisher als Flatrate-Tool genutzt haben, ändert sich damit das Cost-Modell substanziell. Das Visual-Studio-Copilot-April-Update bringt zusätzlich Cloud Agent Sessions direkt aus der IDE und einen neuen Debugger Agent für Live-Runtime-Validation — interessant, aber wer es nutzt, sollte die Nutzungsabrechnung im Auge behalten.

Quelle: GitHub Engineering Blog · GitHub Copilot Changelog · Visual Studio Copilot April-Update

pnpm 11.0 — minimumReleaseAge jetzt Default

JavaScript Weekly hat in Issue #783 das Release von pnpm 11.0 als zentrale Lehre aus der Bitwarden-CLI-Welle herausgestellt. Der wichtigste Default-Change: minimumReleaseAge steht jetzt auf 1 Tag. Pakete, die jünger als 24 Stunden sind, werden vom Resolver standardmäßig nicht installiert — eine direkte Antwort auf die Bitwarden-CLI-2026.4.0-Kompromittierung über GitHub Actions, bei der das bösartige Package binnen Stunden auf hunderten Build-Pipelines landete, bevor es entdeckt wurde.

Dazu kommt ein SQLite-backed Store-Index für deutlich schnellere Resolution-Operationen, native Package-Publishing ohne npm-CLI-Dependency und die neue pnpm pack-app-Funktion für signierte Application-Bundles. Wer in Frontend-Projekten oder Node-Diensten Tooling-Updates plant, sollte pnpm 11 als Default einplanen — der minimumReleaseAge-Schutz allein rechtfertigt das Upgrade in Teams, die regelmäßig Dependencies aktualisieren.

Quelle: JavaScript Weekly #783 · pnpm 11.0 Release Notes · pnpm Documentation

Bitwarden CLI 2026.4.0 — eingedämmt, aber lehrreich

Das Self-Host Weekly vom 1. Mai hat den Bitwarden-CLI-Vorfall im Detail aufgearbeitet: Bitwarden Security hat ab dem 22. April ein bösartiges npm-Package über eine kompromittierte GitHub Action identifiziert und den Vorfall eingedämmt. Vault-Daten waren nicht betroffen, weil das Schadpaket auf den Build-Container und den lokalen Dev-Workflow abzielte, nicht auf den Vault-Server. Trotzdem ist der Fall ein Lehrstück.

Der Mechanismus: Eine kompromittierte GitHub Action im CI-Workflow hat das npm-Publish-Token genutzt, um eine getarnte Version unter dem offiziellen Namen zu pushen. Sovereign Tech Standards Network hat parallel als Pilot-Programm in DACH eine erste Empfehlungsleitlinie zu Build-Reproduzierbarkeit veröffentlicht, die ähnliche Vorfälle adressiert. Die Lehre für 2026: Build-Pipeline-Sicherheit gehört in den gleichen Audit-Prozess wie Production-Container und OAuth-App-Scope-Reviews.

Quelle: Self-Host Weekly · Bitwarden Security Blog · Netzpolitik Sovereign Tech

Kubernetes 1.36 "Haru" — Member-Event am 20. Mai

Das Kubernetes Release-Team hat für den 20. Mai um 16:00 UTC ein Member-Event angesetzt, an dem die Highlights von Kubernetes v1.36 "Haru" (vom 22. April) in der Community vorgestellt werden. Das Release ist mit 70 Enhancements (18 stable, 25 beta, 25 alpha) eines der größten der vergangenen Jahre — und für AI/ML-Teams besonders relevant.

Zwei neue Muster stehen im Mittelpunkt: Workload-Aware Scheduling für AI/ML als Alpha-Pfad, mit dem zusammengehörige Pods stärker als eine logische Einheit geplant werden können, sowie Pod-Level Resource Managers (alpha) für feinere Topologie-Kontrolle bei GPU-intensiven Workloads. Wer eine AI-OpenStack-Lösung oder eine eigene KI-Plattform auf Kubernetes betreibt, bekommt damit Muster, die bisher entweder eigene Operators oder dedizierte Scheduler wie Volcano oder Kueue erforderten. Gateway API v1.5 (vom 27. Februar) bleibt auf der Networking-Seite die aktuelle Baseline.

Quelle: Kubernetes Blog · Kubernetes 1.36 Release Notes

Atlassian Rovo Dev — 30,8 Prozent schnellere PRs intern

Atlassian hat in der vergangenen Woche eine interne Studie veröffentlicht, nach der Rovo Dev mit Claude Opus 4.7 in der eigenen Engineering-Organisation 30,8 Prozent schnellere PRs ermöglicht. Die Zahl basiert auf einer Cohort-Analyse über mehrere Quartale und ist eine der ersten konkreten Productivity-Metriken für Coding-Agenten in Produktion — die meisten anderen Anbieter operieren auf der Ebene von "Entwickler-Zufriedenheit" oder "Akzeptanzrate".

Die 50-Prozent-Credit-Cost-Promotion für bestehende Standard-Plan-Customers lief bis 30. April. Parallel hat Atlassian Rovo Remix mit 3P-Agents in Confluence ausgerollt — Confluence-Pages werden in Charts und andere Formate transformiert, ohne dass die User die Quelle wechseln müssen. Rovo Dev CLI ist zudem GA. Die Frage, ob das Pattern auf andere Engineering-Organisationen übertragbar ist, bleibt offen — Atlassian-interne Workflows mit Jira-, Confluence- und Bitbucket-Integration sind ein günstiger Sonderfall.

Quelle: Atlassian DevOps Blog · Atlassian Developer Blog

Node.js v26 — verspätet, neuer Release-Schedule

Das für den 22. April geplante Node.js v26 Release hat sich in den Mai verschoben — die finale Veröffentlichung war zum Redaktionsschluss noch nicht raus. Die größere Nachricht ist aber der neue Release-Schedule ab Oktober 2026: nur noch ein Major-Release pro Jahr (April), LTS-Promotion im Oktober. Damit gibt das Node-TSC-Team explizit ein Jahres-Cadence vor, das näher an Python und Java liegt — und weiter weg von dem 6-Monats-Rhythmus, den viele Teams in den vergangenen Jahren als zu hoch empfunden haben.

Praktisch heißt das: Wer in 2026 plant, einen Major-Upgrade-Sprint einzubauen, hat ab Oktober eine planbare Cadence — und kann den Upgrade-Pfad an Quartals-OKRs ausrichten, ohne zwei Mal pro Jahr ein Major-Release einzupreisen. v25 (vom Oktober 2025) bleibt Current ohne LTS-Status. Wer noch auf v22 LTS sitzt, sollte den Upgrade-Pfad zu v26-LTS (planmäßig im Oktober) jetzt vorbereiten.

Quelle: Node.js Blog · Node.js Release Schedule

Docker Sandboxes — microVMs für Agent-Isolation

Docker hat Sandboxes Ende März vorgestellt und am 16. April die microVM-Architektur dahinter ausführlicher erklärt. Das ist die direkte Antwort auf eine Frage, die im April-Threat-Push rund um Trivy/KICS und Bitwarden CLI mehrfach gestellt wurde: Wie betreibt man einen Coding-Agenten oder einen autonomen Tool-Caller, ohne dass ein einzelner Prompt-Injection-Bug das gesamte Build-System kompromittiert?

Sandboxes laufen mit deutlich geringerem Footprint als klassische VMs, bieten aber Hardware-Level-Isolation und sind über die Docker-CLI als Drop-in nutzbar. Auf Docker Hardened Images läuft parallel die Anniversary-Initiative zum Mai — Docker Desktop bekommt jetzt 2-Wochen-Updates ab v4.45.0 vom 28. August. Für DevOps-Teams, die Agenten-Workloads planen, ist Sandboxes der pragmatischste Weg, Hardware-Isolation und Container-Workflow zu kombinieren — ohne den Overhead einer parallelen VM-Infrastruktur.

Quelle: Docker Blog · Docker Engine v29 Release Notes

Kurz notiert

• GitLab 19.0 als Major Release ist für den 21. Mai 2026 geplant — KW 19 ist die letzte Vorbereitungswoche. GitLab überspringt nach aktuellem Stand 18.12 und geht direkt von 18.11 zu 19.0. Für DevOps-Teams mit GitLab-Self-Hosted-Setups: Upgrade-Notes prüfen, Breaking-Changes-Liste nochmal lesen. Quelle: GitLab Blog.
• CVE-2026-3854 in Git als High-Severity-Remote-Code-Execution über crafted git push requests veröffentlicht — Patch ist verfügbar, betrifft alle Versionen vor 2.50.1. Quelle: GitHub Open Source Blog.
• Hannover Messe 2026 hat Physical AI als Leitkonzept — rund 2.900 Aussteller und mehrere Unternehmen mit humanoider Robotik für konkrete Industrie-Anwendungsfälle. Für Industrie-4.0-Use-Cases markiert das den Übergang vom Pilot-Stadium zur Serien-Frage. Quelle: Hannover Messe.
• Linux LPE CVE-2026-31431 (CVSS 7,8) veröffentlicht — Local Privilege Escalation über einen Race in der io_uring-Implementation. Patch ist im Mainline, Distros ziehen nach. Wer Self-Hosted-Linux-Server betreibt, sollte prüfen, ob Kernel-Updates automatisch landen. Quelle: Hacker News.
• GitHub-Copilot-Code-Review konsumiert ab 1. Juni Actions-Minutes — bestehende Code-Review-Pipelines sollten den Compute-Verbrauch antizipieren und gegebenenfalls auf parallele Review-Strategien umstellen. Quelle: GitHub Changelog.

Fazit

KW 19 zeigt, wie sich Coding-Agenten und Plattform-Ökonomie verzahnen: GitHub musste die Plan-Logik anpassen, weil agentic Workflows die ursprüngliche Compute-Annahme sprengen. Atlassian dokumentiert mit 30,8 Prozent schnelleren PRs intern, was möglich wird, wenn Agent und Tool-Suite sauber zusammenspielen. pnpm 11.0 macht aus dem Bitwarden-Vorfall einen neuen Default, der Build-Pipelines deutlich robuster gegen Supply-Chain-Angriffe wie im April macht. Kubernetes 1.36 "Haru" liefert Workload-Aware Scheduling für AI/ML als vollwertiges Muster, das viele bisherige Operator-Hacks ablöst. Und Docker Sandboxes geben Teams, die Agenten produktiv betreiben wollen, eine Isolations-Schicht, die ohne Container/VM-Bruch auskommt. Für DevOps- und Plattform-Teams im DACH-Raum ist die Kombination aus pnpm-11-Defaults, Kubernetes-1.36-Mustern und Docker Sandboxes der konkrete Build-Pipeline-Upgrade-Pfad in den Sommer.

Kuratiert von SEADEV Studios — jede Woche die wichtigsten Tech-News, eingeordnet für Entwickler und Entscheider.