Vercel hat am 14. September die Authentifizierung seiner AI-SDK-Harness-Schicht geändert. Coding-Agenten wie Claude Code, Codex, Cursor oder GitHub Copilot können jetzt ihre vorhandenen nativen Abonnements verwenden, sofern der jeweilige Harness diese Anmeldeart unterstützt.
Der relevante Teil liegt nicht darin, dass ein weiteres Login-Verfahren hinzugekommen ist. Vercel hält die echten Zugangsdaten am Host. In unterstützten Sandboxes erhält der Agent Platzhalter-Credentials; erst beim ausgehenden Request wird das echte Token an der Host-Grenze eingesetzt.
Damit trennt die Architektur zwei Dinge, die bei lokalen Coding-Agenten oft zusammenfallen: Der Prozess, der Code ausführt, muss nicht zwangsläufig das Credential besitzen, mit dem er einen Modellanbieter aufruft.
Drei Auth-Modi entscheiden, woher das Credential kommt
Die Harness-Schicht stellt verschiedene Coding-Agenten über das gemeinsame HarnessAgent-Interface bereit. Die neue Authentifizierung ändert nicht dieses Interface, sondern die Auflösung der Credentials dahinter.
Im direct-Modus verwendet das System zuerst explizite Provider-Credentials aus der Umgebung. Fehlen sie, kann es auf ein natives Abonnement des Hosts zurückgreifen. Der Standardmodus auto verhält sich entsprechend, solange keine AI-Gateway-Credentials konfiguriert sind. ai-gateway liest native Abonnements dagegen ausdrücklich nicht.
Vercel nennt aktuell Claude Code, Cline, Codex, Cursor, fx, GitHub Copilot, Grok Build, OpenCode und Pi als Harnesses, bei denen native Subscription-Authentifizierung möglich ist, sofern der jeweilige Agent selbst Subscription-Login unterstützt.
Das macht die Harness-Schicht nicht providerunabhängig im vollständigen Sinn. Die einzelnen Agenten behalten ihre eigenen Authentifizierungsmechanismen und Vertragsmodelle. Vereinheitlicht wird die Stelle, an der die Anwendung mit ihnen arbeitet.
Das echte Token bleibt außerhalb der Agent-Runtime
Bei einer klassischen Sandbox gibt es einen einfachen Weg, einem Prozess Zugriff auf eine API zu geben: Der Schlüssel landet als Environment Variable in der Sandbox.
Für einen Coding-Agenten ist das eine weitreichende Entscheidung. Derselbe Prozess kann häufig Shell-Befehle starten, Dateien lesen und verändern, Abhängigkeiten installieren und Netzwerkzugriffe ausführen. Ein Secret in seiner Umgebung liegt damit innerhalb derselben Vertrauensgrenze wie der Code, den der Agent gerade untersucht oder erzeugt.
Vercels neues Verfahren verschiebt diese Grenze. Native Subscription-Credentials werden am Host aufgelöst. OAuth-Tokens werden dort bei Bedarf erneuert. Unterstützt die Sandbox die Trennung, arbeitet der Harness mit einem Platzhalter. Der Host ersetzt ihn erst beim ausgehenden Request durch das tatsächliche Token.
Ein kompromittierter oder fehlgeleiteter Prozess kann ein Credential, das er nie erhält, nicht einfach aus einer Environment Variable auslesen. Das beseitigt nicht alle Risiken. Ein Agent mit erlaubtem Modellzugriff kann weiterhin Requests auslösen, und die Host-Schicht selbst wird zu einem sicherheitsrelevanten Bestandteil. Der mögliche Secret-Diebstahl innerhalb der Sandbox wird aber anders behandelt als bei direkt injizierten API-Keys.
Native Abos und API-Keys lösen unterschiedliche Probleme
Coding-Agenten werden zunehmend sowohl lokal als auch in automatisierten Umgebungen verwendet. Für Entwickler ist ein vorhandenes Claude-, Codex- oder Copilot-Abonnement oft der normale Zugang zum jeweiligen Tool. Für eine Serveranwendung sind dagegen API- oder Gateway-Credentials üblich.
Eine gemeinsame Harness-Abstraktion muss mit beiden Fällen umgehen können, ohne die Anwendung an einen einzigen Credential-Typ zu koppeln.
Genau hier ist die neue Änderung praktisch. Ein lokaler Agent kann die vorhandene Anmeldung des Entwicklers verwenden. In einer kontrollierten Produktionsumgebung kann dieselbe Harness-Schnittstelle stattdessen über explizite Provider- oder AI-Gateway-Credentials laufen.
Das reduziert allerdings nicht automatisch die Kosten. Ein natives Abonnement und API-Nutzung können unterschiedliche Limits, Nutzungsbedingungen und Abrechnungsmodelle haben. Die technische Austauschbarkeit eines Auth-Pfads ist keine Garantie dafür, dass zwei Pfade wirtschaftlich oder vertraglich gleichwertig sind.
Agent-Abstraktion braucht eine zweite Ebene für Vertrauen
Vercel hatte mit AI SDK 7 bereits das Ziel formuliert, Coding-Harnesses ähnlich austauschbar zu machen wie Modelle. HarnessAgent normalisiert dafür unter anderem den Zugriff auf Sessions, Sandboxes, Berechtigungsflüsse und Subagenten. Inzwischen hängen mehrere Agenten hinter dieser Schnittstelle.
Je erfolgreicher diese Abstraktion wird, desto wichtiger wird eine Grenze: Ein einheitliches Interface bedeutet nicht, dass alle Harnesses denselben Sicherheitskontext haben sollten.
Claude Code, Codex, Cursor und Copilot können sich bei Tool-Rechten, Netzwerkzugriff, lokalen Konfigurationsdateien und Authentifizierung unterscheiden. Eine Anwendung kann den Harness wechseln, ohne ihren Aufrufcode neu zu schreiben. Daraus folgt nicht, dass sie auch dieselben Berechtigungen unverändert übernehmen sollte.
Die Host-basierte Credential-Auflösung ist deshalb eine sinnvolle Ergänzung zur Harness-Abstraktion. Sie standardisiert einen Teil des Zugriffs, ohne das Secret zwingend in die ausführende Agent-Umgebung zu legen.
Offen bleibt, wie vollständig diese Trennung über unterschiedliche Sandbox-Anbieter und Harnesses hinweg umgesetzt werden kann. Vercel formuliert selbst die Einschränkung „where the sandbox supports it“. Für eine Sicherheitsbewertung ist genau diese konkrete Runtime-Grenze wichtiger als die Tatsache, dass alle Agenten über dasselbe TypeScript-Interface angesprochen werden.