Aufgefallen bei der Frage, wo man ein Werkbank-Token anlegt. Drei Befunde an
derselben Stelle:
1. DIE SUPERVISOR-RECHTE FEHLTEN IM FORMULAR
TokenManager::KNOWN_SCOPES kennt supervisor:read, :manage und :report seit
2.6.0 - die Ankreuzliste bot sie nie an. Ein Werkbank-Token liess sich
ueber die Oberflaeche also gar nicht so ausstellen, wie die Anleitung es
verlangt: dc_findings, dc_finding_summary und dc_metrics im MCP-Adapter
waeren mit "unauthorized" gescheitert, und der Grund waere nirgends zu
sehen gewesen.
2. "ALLE RECHTE" WAR DIE VORGABE
Wer ein Agenten-Token anlegte und den Haken uebersah, gab damit alles
heraus - Releases veroeffentlichen und Tokens ausstellen inbegriffen. Die
gefaehrlichste Auswahl gehoert nicht in die Vorgabe. Vorangekreuzt ist
jetzt "Bugtracker verwalten", also der dokumentierte Normalfall; der
Vollzugriff traegt eine Warnung und muss ausdruecklich gewaehlt werden.
3. DIE ANSICHT HIESS "MASTER-TOKEN ERSTELLEN"
Deshalb fand niemand das Werkbank-Token: Es entsteht an genau dieser
Stelle, nur mit anderem Identitaetstyp. Der Name der Ansicht versprach
etwas anderes, als sie kann - und widersprach der eigenen Regel "kein
Master-Token an einen Agenten". Heisst jetzt "Token erstellen", mit einem
Hinweiskasten fuer den Agentenfall.
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
