Essay von **Bill Staples**, CEO von **GitLab**, veröffentlicht am **24. August 2026** im Blog von about.gitlab.com: eine angekündigte Lesezeit von **31 Minuten**, rund **39.000 Zeichen**, dargestellt als Fortsetzung eines im Januar 2026 an den Verwaltungsrat gerichteten Memos, das im Mai teilweise unter dem Titel *GitLab Act 2* veröffentlicht wurde. Der Text versteht sich als Antwort auf das drei Tage zuvor veröffentlichte KI-native-SDLC-Playbook von **Anthropic**, dem er die Eingangszeile entlehnt – „Code is no longer the bottleneck“ –, um die Frage zu stellen, die ihn trägt: Was wird knapp, wenn Code im Überfluss vorhanden ist. (A) Die ökonomische Diagnose: Die nützliche Einheit sind nicht die Kosten pro Zeile, sondern die **Kosten pro akzeptierter Änderung**, die Generierung, Umgebung, Kontext, Verifikation, Review, Behebung und Governance zusammenfasst; KI lässt allein den Generierungsterm kollabieren, wodurch die übrigen proportional schwerer wiegen – eine Organisation, die zehnmal schneller generiert, „wird die Warteschlange lediglich verschieben“. (B) Die architektonische Antwort: vier Fähigkeiten – Agentenplattform, maschinenskalige Ausführung, dauerhafter Kontext, Governance – bilden eine Unternehmensschicht, die das Modell überdauert, „Das Modell sollte austauschbar sein. Der Agent sollte dem Kunden gehören.“ (1) Drei Modi koexistieren dauerhaft, vom menschengesteuerten Altsystem bis zur autonomen Entwicklung, gegen die Vorstellung einer einzigen Reifekurve. (2) Die CI/CD-Pipeline wird zu dem Ort, an dem die innere Schleife läuft, statt ein Gate am Ende der Kette zu sein. Die zitierten Zahlen stammen von Stripe, Spotify und Amplitude; GitLab liefert nur eine einzige, zur eigenen Quellcodeverwaltung. Der Korpus enthält bereits [[claxton-anthropic-ai-native-sdlc-playbook-2026-08-21]], die Quelle, auf die dieser Text antwortet, sowie [[sfeir-sdlc-pdlc-articulation-2026-07-22]] zur Verzahnung von SDLC/PDLC, die Staples sich zu eigen macht.
#Codeüberfluss#Kosten pro akzeptierter Änderung#Theory of Constraints
Bill Staples · directeur général de GitLab (fonction non affichée par la page) · sur le blog about.gitlab.com.
SFEIRs Dekonstruktion (Unternehmensstimme) des fünf Tage zuvor veröffentlichten Debriefings von Jason Clinton (Deputy CISO, Anthropic) — bereits dokumentiert in [[clinton-anthropic-secure-ai-native-sdlc-2026-07-21]]. **Der Mehrwert liegt nicht in den Fakten, sondern in der These, die sie neu liest**: Wenn Anthropics Kontrollen greifen, dann weil **ein Zyklus mit benannten Phasen existiert, an dem sie sich festmachen lassen** — „der SDLC ist das Fundament, keine Formalität." Die Beweisführung geht vor, indem sie zunächst das Mapping nachliest (**PSR bei Plan, CLAUDE.md + Egress-Allowlist bei Code, Review-Agenten bei Test, kontinuierliches DAST bei Deploy, Triage + SIEM-Routing bei Monitor**), und dann eine **vierteilige Anapher** entfaltet: (1) *ohne SDLC materialisieren sich keine Produktivitätsgewinne* — Clinton zitiert **Amdahls Gesetz**: Das Achtfachen des Codevolumens vervielfacht nichts, wenn das Review sequenziell und menschlich bleibt, und Anthropic hat seine Gewinne nicht durch die Verteilung von Agenten erzielt, sondern indem es **die blockierende Phase (Test) identifiziert und neu aufgebaut hat** — „man optimiert keinen Engpass, den man nicht kartiert hat" (ein Echo des **Spiegeleffekts** aus DORA 2025); (2) *ohne SDLC hat Sicherheit keinen Ankerpunkt* — ein **Gate ist per Definition eine zwischen zwei Phasen platzierte Kontrolle**, und Clintons drei Bedrohungen werden an unterschiedlichen Zeitpunkten adressiert; (3) *ohne SDLC lässt sich keine **Token-FinOps**-Politik formulieren* — agentisches Scannen wird nach Verbrauch abgerechnet und wächst mit dem Code-Durchsatz, sodass **risikobasierte Stufung DIE FinOps-Politik IST** (sie entscheidet, wo drei Agenten-Durchläufe bezahlt werden und wo ein SAST genügt), andernfalls wird „der Token-Verbrauch nicht gesteuert, sondern erst am Monatsende entdeckt"; (4) *ohne SDLC gibt es nichts zu messen* — die Indikatoren (16 % → 54 % kommentierte PRs, ein Drittel der vergangenen Vorfälle abgefangen) existieren nur, weil es Phasen gibt, an denen ein Zähler platziert werden kann; ohne das produziert man nur **Nutzungszahlen** (Lizenzen, Token), die nichts über Qualität oder Risiko aussagen. Zwei starke Punkte jenseits der These: die Lesart des **incident agent-à-agent** („ein Sicherheitsperimeter, der auf einer Anweisung in einem Prompt beruht, ist kein Perimeter"; **der Zugriff eines Agenten auf andere Agenten ist Teil seiner Angriffsfläche**) und ein **expliziter methodischer Vorbehalt** — Anthropics Zahlen über Anthropic, ungeprüft, veröffentlicht vom Anbieter des beschriebenen Modells, im Kontext einer jungen Codebasis ohne Mainframe: **was sich übertragen lässt, ist die Methode, nicht die Zahlen**.
#SDLC#KI-nativer SDLC#Entwicklungszyklus
SFEIR (voix éditoriale du cabinet, article non signé individuellement) — commentaire de Jason Clinton (Deputy CISO, Anthropic)
SFEIR-Analyse (Stimme eines Beratungsunternehmens, „die Lesart eines Ingenieurs“), die zwei zu oft vermischte Frameworks artikuliert: den **SDLC** (Software Development Life Cycle — *die Software korrekt und zuverlässig bauen*) und den **PDLC** (Product Development Life Cycle — *das richtige Produkt bauen und am Markt erfolgreich sein*). Zentrale These: Die beiden Zyklen sind keine Konkurrenten, sondern **verschachtelt** — der SDLC ist die Teilmenge des PDLC, **untergebracht in dessen Entwicklungsphase**; wenn ein Produktteam die „Build“-Phase erreicht, läuft darin ein vollständiger SDLC-Zyklus (Design → Build → Test → Review → Deployment) ab. Der SDLC ist standardisiert (**ISO/IEC/IEEE 12207**, Ausgaben 2017 und 2026), mit seiner Modell-Genealogie (Waterfall 1970, V-Modell, iterativ/spiralförmig, **Agile 2001**, **DevOps/DevSecOps ab 2009**) und seinen **DORA**-Metriken (Durchsatz, Stabilität, MTTR, Change-Failure-Rate). Der PDLC, als übergeordneter Zyklus, reicht von **Ideation/Discovery** bis zum **Marktrückzug** (nicht zu verwechseln mit dem marketingbezogenen **PLC** von Theodore Levitt, 1965, der eine *kommerzielle Kurve* beschreibt, keine *organisierte Arbeit*: „der PLC beobachtet eine Kurve; der PDLC organisiert Arbeit“). **Wendepunkt**: Der SDLC adressiert nativ **nur eines von vier Risiken** — über **Marty Cagans „Four Big Risks“**-Framework (Value → PM, Usability → Designer, Feasibility → Lead Engineer, Business Viability → PM) — eine Organisation, die im SDLC exzellent, aber gegenüber dem PDLC blind ist, produziert „Software, die niemand will“ — John Cutlers **„Feature Factory“** (Erfolg gemessen am Output, nicht am Outcome). **Warum KI alles verändert**: Generative KI **komprimiert den SDLC** (Google/JetBrains-Daten, Mai 2026: **~85 % der Entwickler** nutzen regelmäßig Coding-Agenten, **~41 % des neuen Codes** ist KI-generiert; die Implementierung schrumpft von Wochen auf Stunden), sodass sich der **Engpass stromaufwärts verlagert** — die Entscheidung, *was* gebaut werden soll (Marty Cagan, April 2026: „wenn die Kosten der Auslieferung einbrechen, verlagert sich der Engpass zur Discovery“). Konsequenzen: DORA 2025 (~5.000 Fachleute, 90 % KI-Adoption) zeigt eine **positive Korrelation mit dem Durchsatz, aber eine negative mit der Stabilität** (mehr unvalidierte Features bedeuten Instabilität und Nacharbeit); Andrew Ng (AI Startup School, Juli 2025) berichtet von Teams, die das **Verhältnis „1 PM auf 4 Ingenieure“ zu „2 PMs auf 1 Ingenieur“ umkehren**; und mit **Spec-driven Development** wird die Grenze zwischen PDLC/SDLC **durchlässig** (die Produktspezifikation wird direkt von Agenten ausführbar). **Was ein CIO mitnehmen sollte**: Ein augmentierter SDLC wird zum **Marktstandard, nicht zum Differenzierungsmerkmal** — die Schnittstelle zum Produkt muss instrumentiert, **ausführbare Spezifikationen** als Input verlangt, technische Metriken mit Outcome-Metriken abgeglichen und die Rolle des „Feature-Lieferanten“ **abgelehnt** werden. Für einen CPO: Die Verlagerung des Engpasses zur Discovery ist zugleich eine **Aufwertung** (Produkturteil wird wieder knapp) und eine **Handlungsaufforderung** (Discovery industrialisieren, um mit dem SDLC gleichzuziehen). SFEIRs eigenes Framework („Designing and building in the agentic era“ — **11-Phasen-Zyklus** + **Software Factory 10x**) wird als Antwort auf der Engineering-Seite positioniert, wobei die **Verknüpfung der beiden Zyklen** als nächster Hebel gilt. Fazit: „während Code zur Commodity wird, verschiebt sich die Marge hin zu Produkturteil und Governance.“
LinkedIn-Post von Fred Plais (CEO von Archie, ex-Platform.sh): KI hat Engineers so schnell gemacht, dass sich der **Engpass stromaufwärts verschoben** hat, an eine Stelle, die niemand im Blick hat. Da die Ausführung nicht mehr der langsame Teil ist, ist die Denkzeit verschwunden, die früher "während der Code gebaut wurde" existierte — die richtige Vision muss jetzt in einem Bruchteil der Zeit geformt und die richtigen Entscheidungen getroffen werden. Zwei seltene Profile entstehen: dasjenige, das eine **Vision präzise genug artikulieren kann**, damit ein Agent sie ausführt, ohne zu entgleisen, und dasjenige, das weiß, wie man **Agenten orchestriert** (ihre Fehler antizipiert, sie verkettet, einen Fehler abfängt, bevor er sich fortpflanzt). Für "Code-Output" einzustellen wird obsolet: das ist genau das, was aufgehört hat, selten zu sein. Kernthese: "klar zu denken war schon immer der Job — Geschwindigkeit hat es nur unmöglich gemacht, das vorzutäuschen".