Whiskers v0.14.0 — AutoPatch, gemessenes Update-Risiko und ein Whiskers, das sich selbst überwacht

Whiskers v0.14.0 ist da. Seit dem letzten Beitrag sind drei Releases erschienen – 0.13.0, 0.13.1 und 0.14.0. Hier das Wichtigste in einem Überblick.

Neu in 0.14.0

• AutoPatch: nächtliches Sicherheits-Patchen innerhalb desselben Tags. Whiskers zieht das neue Image, ersetzt den Container und rollt bei Problemen zurück. Standardmäßig aus und zuerst im Probelauf; Major-Versionen fasst es nie an.
• Gemessenes Update-Risiko: assess_update_risk zieht das Kandidaten-Image und vergleicht es mit dem laufenden – statt zu raten, ob ein Update etwas kaputt macht.
• DNS-Einträge über MCP (Modul dns, zunächst Infomaniak): Einträge auflisten und idempotent setzen.
• Dashboard: Die Kacheln „Gestoppt“ und „Fehlerhaft“ filtern jetzt direkt auf die betroffenen Container.
• Whiskers über sich selbst (/self-status): wie gesund die eigenen Hintergrundschleifen sind, was in den letzten Stunden an der Flotte verändert wurde und ob automatische Aktionen tatsächlich geholfen haben. Dazu ein Not-Aus für die eigenen Hintergrundprüfungen.
• Bessere Alarme: Ein Server, der nicht mehr antwortet, löst jetzt einen Alarm aus; Hosts unter Dauerlast werden gemeldet; Alarme schließen sich selbst, wenn sich der Server erholt. Unbegrenzt wachsende Container-Logs werden gemeldet, bevor die Platte voll ist.
• Zertifikate: Warnungen vor dem Ablauf, und renew_mtls_certificate erneuert ein Proxy-Zertifikat, ohne jemanden auszusperren. Der private Schlüssel verlässt beim Onboarding den Zielhost nicht mehr.
• borg-fleet (deploy/borg-fleet): nächtliche Append-only-Backups aller Server auf eine Storage-Box, je Server ein eigenes Unterkonto.
• Der generische ausgehende Webhook kann seine Anfragen signieren.

Behoben in 0.14.0

• Kopieren ging über reines HTTP still schief (z. B. beim API-Key) – die Seite meldete trotzdem „kopiert“. Jetzt mit Fallback und ehrlicher Rückmeldung.
• Der Update-Check sah veraltete Container nicht, weil er das Image über den Tag statt über den laufenden Container auflöste.
• Whiskers hielt einen Zwei-Kern-Host sechs Tage lang bei 98 % CPU – selbst verschuldet durch den Log-Monitor. Behoben, und eine Lastgrenze pro Server verhindert, dass sich die Hintergrundschleifen gegenseitig aufschaukeln.
• Log-Alarme beobachteten nur einen Server, Container-Filter in Regeln griffen nicht, Stummschalten wirkte nur auf ein Drittel der Alarme – alles behoben.
• Dazu ein Durchgang durch die ganze Oberfläche: Schaltflächen, die Erfolg meldeten, ohne nachzusehen, Filter, die nicht filterten, und Seiten, die bei leeren Daten abstürzten.

0.13.0 und 0.13.1

• Komplett englische Oberfläche und Handbuch – Englisch ist jetzt Standard, Deutsch bleibt umschaltbar.
• Geführtes „Secure AI Operations“-Setup und eine durchgängig korrelierte Governance-Kette: Jeder Tool-Aufruf des Agenten lässt sich vom Verlauf über Audit-Log und Freigaben bis zur Guardrail zurückverfolgen.
• Server-Gruppen und Tags fürs Dashboard.
• Signierte Release-Images (cosign/Sigstore, keyless).
• 0.13.1 war ein dringender Fix: Der MCP-Server stellte seit 0.12.0 keine Tools bereit. Ein Test sichert das jetzt ab.

Transparenz-Hinweis: Mit 0.13.0 kam heraus, dass die CI die Testsuite bis dahin nie ausgeführt hatte – das Testprojekt fehlte in der Solution. Das ist behoben; seitdem läuft jeder Push durch alle Tests.

Nachtrag: v0.14.1

Kurz nach 0.14.0 folgt ein Sicherheits-Fix in den Einstellungen. Adressen auf der Whitelist ohne eigene Rolle erschienen in der Rollentabelle als Admin – und wurden beim nächsten Speichern irgendeiner Rolle auch tatsächlich als Admin gespeichert, selbst nachdem man sie aus der Rollenliste gelöscht hatte. Jetzt zeigt die Tabelle nur echte Einträge; Whitelist-Adressen ohne Rolle stehen darunter, mit der Rolle, die sie wirklich haben.

Außerdem setzt das Speichern die Standardrolle nicht mehr zurück, ungespeicherte Schalter der MCP-Schlüssel bleiben beim Anlegen oder Löschen eines Schlüssels erhalten, und das Löschen eines Schlüssels verlangt Admin-Rechte und landet im Audit-Log. Wer 0.14.0 betreibt, sollte aktualisieren und in den Einstellungen nachsehen, ob die Rollenliste Admins enthält, die dort nicht hingehören.

Update

Image: ghcr.io/lupusmalusdeviant/whiskers:0.14.1 · Helm-Chart: oci://ghcr.io/lupusmalusdeviant/charts/whiskers. Alle Details im Changelog, sämtliche Assets im GitHub-Release.