Als einzigen Lichtblick nennt Honea das Secret Scanning Partner Program von GitHub: Anbieter registrieren ihre Schlüsselmuster, GitHub durchsucht öffentliche Commits, der Widerruf erfolgt per Webhook. Das funktioniere, sei aber proprietär, zentralisiert und nur auf Einladung zugänglich. Die neue Generation quelloffener Scanner führe durchweg denselben Punkt auf ihrer Roadmap: automatischer Widerruf über Anbieter-APIs. Weil es keinen standardisierten Weg gibt, einen Aussteller um die Sperrung eines Schlüssels zu bitten, müsste jeder Scanner die Anbindungen einzeln von Hand bauen.
ORKS besteht aus vier Bausteinen. Erstens ein Schlüsselformat, das den Aussteller benennt: ein fester Präfix, eine kodierte Aussteller-Domain, das eigentliche Geheimnis und eine Prüfsumme, also orks_{issuer}{secret}{check}. GitHub habe beide Hälften dieses Musters bereits belegt — Token-Präfixe machten das Scannen praktikabel, eingebettete Prüfsummen beseitigten Fehlalarme. Neu ist die Aussteller-Domain: Jeder Scanner weiß damit offline, wen er kontaktieren muss.
Zweitens ein auffindbarer Notausschalter. Jeder Aussteller liefert unter /.well-known/api-key-config eine kleine JSON-Datei mit Widerrufs-Endpunkt, optionalem Introspection-Endpunkt, Sicherheitskontakt und den unterstützten Schlüsselbeschränkungen — dasselbe Vorgehen wie bei OIDC-Discovery und security.txt.
Drittens der Widerruf durch Besitz: Der vollständige Schlüssel wird per POST an den Endpunkt geschickt, ohne Authentifizierung. Die Logik dahinter: Wer den Schlüssel besitzt, kann ihn ohnehin missbrauchen; ihn stattdessen zerstören zu dürfen, sei eine reine Verbesserung. Weil der komplette Schlüssel verlangt wird, lässt sich nichts durchprobieren, und der Endpunkt antwortet stets gleich — egal ob der Schlüssel gültig, bereits tot oder frei erfunden war.
Viertens deklarierte Beschränkungen: Die Discovery-Datei nennt die unterstützten Bindungen wie IP-Freigabelisten, verpflichtenden Ablauf, Scopes und mTLS. Die Frage, ob ein Anbieter IP-gebundene Schlüssel unterstützt, beantwortet dann ein einzelnes GET statt eines zweiwöchigen E-Mail-Verkehrs.
Der stärkste Einwand gegen unauthentifizierten Widerruf betrifft die Verfügbarkeit: Wer einen Schlüssel findet, könnte mit einem einzigen curl-Befehl die Produktionsintegration lahmlegen. Honea greift dafür auf Toyotas Andon-Leine zurück — jeder darf ziehen, aber die Fabrik hält nicht sofort an, sondern nur, wenn das Problem in einem bestimmten Zeitfenster ungelöst bleibt. ORKS übernimmt das als optionalen Quarantänemodus: Eine unauthentifizierte Widerrufsanfrage tötet den Schlüssel nicht sofort, sondern leitet ein überwachtes Auslaufen ein. Für Hochrisiko-Klassen wie Zahlungen und Administration kann der Aussteller den Sofortmodus erklären; die Abwägung wird damit zur veröffentlichten Richtlinie statt zum Zufall.
Besondere Dringlichkeit sieht Honea durch autonome KI-Agenten. Ein einzelner in die Werkzeugkette eingebundener Agent halte gleichzeitig Schlüssel für E-Mail, Code, CRM, Zahlungen und Cloud-Infrastruktur, und Teams setzten Agenten schneller ein, als sie sie inventarisieren. Agenten leckten zudem anders: Per Prompt Injection lassen sie sich dazu bringen, ihre eigenen Zugangsdaten abfließen zu lassen, und sie schreiben Geheimnisse in Maschinengeschwindigkeit in Logs. Das Zeitfenster zwischen Kompromittierung und Missbrauch schrumpfe von Tagen auf Sekunden — jeder Widerrufsweg, der mit einer E-Mail beginnt, sei damit kategorisch zu langsam.
Ein maschinenlesbarer Notausschalter sei genau die Schnittstelle, die ein autonomes System nutzen könne; ein Schutzmechanismus, der einen Injection-Versuch im Flug abfängt, könne die Zugangsdaten reflexartig unter Quarantäne stellen. Honeas bevorzugtes Muster kehrt die Perspektive um: Ein Agent, der seine Aufgabe beendet hat, widerruft beim Verlassen seinen eigenen Schlüssel. Zusammen mit kurzer Lebensdauer ergebe das Least Privilege in der Zeitdimension — ein später im Log gefundener Schlüssel ist bereits tot, und der Widerrufsaufruf dient zugleich als Audit-Ereignis.
Der Entwurf ORKS v0.1 mit Endpunkt-Schemata, Schlüsselformat und dem Zustandsautomaten für die Quarantäne steht unter github.com/6d6b68/ORKS zur Begutachtung und Mitarbeit bereit. Ein Anbieter könne die Umsetzung im nächsten Sprint schaffen: Schlüssel mit Präfix versehen, eine statische JSON-Datei veröffentlichen, einen Endpunkt bereitstellen.