Een Git-repository bevat vandaag niet alleen broncode, maar ook infrastructuur-als-code, pipelines, runbooks, prompts en agentdefinities. Volgens Hycu, dat back-up voor Azure DevOps nu algemeen beschikbaar maakt, verlegt de AI-agent de grens van versiebeheer voor de derde keer in twintig jaar, en volstaat een dagelijkse back-up niet meer.
Vier jaar geleden was de meest gevraagde back-up bij Hycu Office 365. Vandaag staan volgens Andy Fernandez, GM van het AI- en cyberprogramma, drie andere workloads bovenaan in elke RFP: Git-repositories, Salesforce en identiteiten zoals Okta en Entra ID.
Dat de repo daar tussen staat, is geen toeval. Architect Amarnath Ramaprathapan ziet hoe versiebeheer drie tijdperken doorliep en telkens controle inruilde voor snelheid.
Drie tijdperken, drie grenzen
In het on-premtijdperk stond Git op eigen hardware achter een fysieke perimeter. Wie voorbij de firewall kwam, was binnen. In het cloudtijdperk, met GitHub, GitLab en Bitbucket, loste die perimeter op en verhuist de waardevolste code naar infrastructuur die overal bereikbaar is.
Het tijdperk van AI-agenten verlegt de grens opnieuw naar de agent zelf: een niet-menselijke identiteit die de volledige codebase leest en op machinesnelheid werkt.
Daar zit de val, aldus Ramaprathapan. “Twintig jaar lang beantwoordden onze verdedigingen de vragen ‘wie ben je?’ en ‘mag je dit?’. Wanneer een opruimagent een levende branch verwijdert, een refactoragent na een mislukte rebase force-pusht over main, of een gecompromitteerd token releases wist, is het antwoord op beide vragen ja.”
“De schade ziet er legitiem uit. Ze is geauthenticeerd. Ze is geautoriseerd. GitHub kan het niet tegenhouden, want voor GitHub is er niets mis.” De vragen die je wél beschermen, zijn andere: was dit normaal, was dit correct, en kan ik het ongedaan maken?
Die kan het platform zelf niet beantwoorden. Daarvoor heb je gedragsdetectie nodig en een onwijzigbare kopie buiten het systeem dat wordt aangevallen. Een back-up, dus.
Output verhoogt, toezicht niet
Wat de urgentie verhoogt, is het volume. “Tools zoals Copilot, Cursor en Claude Code committen ’s nachts door. Niemand kijkt toe”, zegt Fernandez. Hij ziet organisaties in één werkdag zoveel productiecode uitrollen als vroeger in een kwartaal.
Tools zoals Copilot, Cursor en Claude Code committen ’s nachts door. Niemand kijkt toe
Andy Fernandez, GM van het AI- en cyberprogramma bij Hycu
Tegelijk verandert wat er in die repo zit: naast applicatiecode ook infrastructuur-als-code, CI/CD-pipelines, deploymentconfiguraties, runbooks, SDK’s, AI-prompts en agentdefinities. “Een repo verliezen kan betekenen dat je de specificatie verliest van hoe je bedrijf werkt.”
Hycu catalogiseerde meer dan dertig manieren waarop repositorydata verdwijnt, gecorrumpeerd of herschreven raakt zonder dat het platform het herstelt.
Azure DevOps aan boord
Het nieuws dat Hycu aan dat verhaal koppelt, is de algemene beschikbaarheid van back-up voor Azure DevOps, volgens Ramaprathapan het snelst groeiende versiebeheersysteem van het moment. Hycu beschermt alle vijf diensten:
- Boards: work items met velden, relaties, bijlagen en revisiegeschiedenis, queries, backlogs, dashboards)
- Repos: volledige Git-mirrors met alle branches en optioneel LFS, pull requests, wiki’s
- Pipelines: YAML- en klassieke definities, buildgeschiedenis, variabelengroepen, agent queues
- Test Plans
- Artifacts: feeds en packages in zes formaten, van NuGet tot Cargo
Daarbovenop komt het organisatieniveau: procestemplates, ACL’s, gebruikers en groepen, service connections, agentpools, extensies en de auditlog. Met GitHub, GitLab en Bitbucket noemt Hycu zich nu Git complete, en via Jira, Jira Product Discovery en CircleCI wil het de hele softwareontwikkelcyclus dekken.
Europese eisen
Belangrijker dan de zoveelste integratie is de cadans die Hycu erbij voorschrijft: een RPO van dertig minuten voor kritieke repositories, uurlijks als ondergrens, een on-demand back-up vóór grote agentoperaties en een hersteltest per kwartaal.
Een dagelijkse back-up, zegt Fernandez, betekent vandaag dat je een dag AI-gegenereerd werk verliest. Europa duwt in dezelfde richting. DORA verplicht financiële instellingen om voor de zeven à acht applicaties waar hun hele keten op draait een onafhankelijke, off-site kopie te hebben en aan de toezichthouder te bewijzen dat herstel werkt. NIS2 trekt die logica breder. “Een onafhankelijke, onwijzigbare, testbare kopie is geen voorkeur meer. In Europa is het regelgeving.”
Menselijke snelheden
De analyse van Hycu houdt steek en de verschuiving van code naar bedrijfsspecificatie is volop bezig. Wie zijn prompts, pipelines en agentdefinities in Git bewaart, heeft daar zijn operationele geheugen liggen.
Daar tegenover staat dat GitHub en Azure DevOps op zichzelf niet weerloos zijn. Branch protection, verplichte reviews, auditlogs en een prullenbak voor verwijderde repo’s bestaan al, en een deel van Hycu’s dertig scenario’s is met goed ingestelde rechten te voorkomen.
Een onafhankelijke, onwijzigbare, testbare kopie is geen voorkeur meer. In Europa is het regelgeving.
Andy Fernandez, GM van het AI- en cyberprogramma bij Hycu
Dertig minuten is een grote sprong tegenover dagelijks, maar tegenover een agent die in seconden een geschiedenis herschrijft, blijft het een venster waarin veel kan misgaan. Hycu geeft zelf toe dat SaaS-platformen de API’s voor continue bescherming nog niet aanbieden.
De onwijzigbare kopie buiten het platform is intussen het enige wat werkt, en met GitHub-storingen die dit jaar zelf al voor stilstand zorgden, is dat argument niet eens aan agents voorbehouden.