bypassPermissions es el modo de permisos de Claude Code en el que el agente nunca se detiene a preguntar: las ediciones, los comandos, las llamadas de red y todo lo demás se ejecutan en cuanto el modelo decide ejecutarlos. La recomendación de Anthropic es usarlo únicamente en entornos desechables y aislados. Esa recomendación se refiere a a qué tiene acceso el agente. Hay una segunda pregunta que no contempla: quién le dice qué hacer.
Para tu propio agente en tu propio sandbox, bypass es un ajuste de velocidad. Para un agente al que otras personas pueden enviar solicitudes, bypass es la decisión de concederles toda tu autoridad local sin intermediarios humanos. Este post trata sobre esa diferencia.
Por qué bypass resulta tentador
Los prompts suponen fricción. En un refactor largo, un centenar de preguntas del tipo «¿permitir esta edición?» te acostumbran a decir que sí sin leer. Desactivarlas hace que el agente parezca un compañero en lugar de un formulario. Mucha gente usa bypass en repositorios bajo control de versiones y asume, con razón, que una mala edición se arregla con un git checkout.
El razonamiento se sostiene siempre que se cumplan tres condiciones: tú escribiste la solicitud, estás mirando y no hay nada irreversible a su alcance.
Qué cambia cuando es otra persona quien pide algo
La solicitud no es tuya. El «limpia las ramas antiguas» de un compañero significa una cosa para él. Para el agente, significa git branch -D. Con bypass, nada se detiene entre medias.
La entrada no es de confianza. Las solicitudes llegan con archivos adjuntos: una captura de pantalla, un archivo de log, una issue pegada. Cualquiera de ellos puede contener texto que parezca una instrucción. El prompt injection a través de entradas compartidas es un vector real, y bypass elimina el único punto de control que lo detectaría.
No estás mirando. Compartir existe precisamente para que el agente trabaje cuando no estás presente. Un prompt que habrías respondido en un segundo se convierte en una acción que nadie vio.
Lo irreversible está a su alcance. Hacer push a main, borrar, gastar dinero, leer una credencial. En tu propia máquina esto es poco común durante una sesión normal, por eso bypass parece seguro. Pero son exactamente las acciones que otra persona tiene más probabilidades de provocar por accidente.
El límite
Usa bypass para agentes con los que solo hables tú, en directorios donde no haya nada irreversible. En el momento en que un agente está en una sala con una segunda persona, la pregunta ya no es «cuánto confío en el modelo», sino «cuánto confío en cada persona y en cada archivo adjunto que pueda llegar hasta él».
Mantener la velocidad sin cruzar el límite
Una sala te permite mantener casi toda la velocidad con dos añadidos sobre el modo.
Autorizaciones por persona. Una autorización permanente permite que una persona de confianza ejecute acciones sin aprobación solicitud por solicitud. El propio modo del agente puede seguir siendo permisivo para las llamadas habituales. Consulta modos de permisos, explicados.
Cuatro acciones que siempre se pausan. Hacer push a una rama compartida, borrar, gastar dinero y tocar credenciales se detienen a la espera del propietario, incluso en bypass, cuando la solicitud proviene de otra persona. Un centenar de ediciones normales se ejecutan sin prompts; el único git push origin main te espera a ti. La explicación detallada está en cuatro acciones que un agente siempre debería preguntar antes de realizar.
Una recomendación práctica
- Agentes que compartes:
acceptEditspara repositorios,planpara cualquier tarea exploratoria. Da autorización a las personas en las que confíes. - Agentes que solo usas tú en sandboxes desechables: bypass está bien.
- Cualquier cosa con credenciales de producción en su directorio de trabajo:
default, y un agente independiente para las partes que no las necesiten. - Nunca compartas un agente cuyo directorio de trabajo contenga un archivo de claves. Mueve la clave, no cambies de modo.
Preguntas frecuentes
¿Cambia una sala lo que significa bypass durante una ejecución? No. Dentro de una ejecución, bypass sigue significando que no hay prompts en runtime. La sala añade quién puede iniciar una ejecución y cuáles son las cuatro acciones que se pausan de todos modos.
¿Y los ajustes equivalentes de Codex? Misma estructura, mismo consejo: permisivo para ti mismo en un sandbox, no para un agente compartido.
¿No resulta molesto un prompt por cada push? Hacer push a ramas compartidas es poco frecuente en una sesión normal. Si no es así, el directorio de trabajo del agente probablemente sea demasiado amplio.
Rápido para ti, prudente con los demás. Para eso sirve una sala. Dale una a tu agente.
Publicado el