bypassPermissions é aceitável para si, perigoso para todos os outros

bypassPermissions é o modo de permissão do Claude Code no qual o agente nunca para para perguntar: edições, comandos, chamadas de rede e tudo o resto são executados assim que o modelo decide executá-los. As orientações da Anthropic recomendam o seu uso apenas em ambientes isolados (sandboxes) e descartáveis. Essas orientações dizem respeito a o que o agente pode alcançar. Há uma segunda questão que não cobrem: quem lhe está a dizer o que fazer.

Para o seu próprio agente na sua própria sandbox, o bypass é uma opção de velocidade. Para um agente ao qual outras pessoas podem enviar pedidos, o bypass é uma decisão de conceder a essas pessoas a sua autoridade local completa, sem qualquer humano pelo meio. Este artigo aborda essa diferença.

Porque é que o bypass é tentador

Os prompts são fricção. Num refactor longo, uma centena de perguntas do tipo “permitir esta edição?” treinam o utilizador para carregar no sim sem ler. Desativá-los faz o agente parecer um colega em vez de um formulário. Muitas pessoas usam o bypass em repositórios sob controlo de versões e assumem, acertadamente, que uma má edição fica à distância de um git checkout.

Este raciocínio mantém-se válido desde que três condições sejam verdadeiras: foi você que escreveu o pedido, está a observar e não há nada irreversível ao alcance.

O que muda quando outra pessoa faz o pedido

O pedido não é seu. Um “limpa os ramos antigos” dito por um colega de equipa tem um determinado significado para ele. Para o agente, significa git branch -D. Com o bypass, nada pausa entre uma coisa e a outra.

A entrada não é de confiança. Os pedidos chegam com anexos: uma captura de ecrã, um ficheiro de registo (log), um issue colado. Qualquer um deles pode conter texto que parece uma instrução. O prompt injection através de entradas partilhadas é um vetor real, e o bypass remove o único ponto de controlo que o detetaria.

Não está a observar. A partilha existe precisamente para que o agente trabalhe quando você não está presente. Um prompt ao qual teria respondido num segundo torna-se numa ação que ninguém viu.

A irreversibilidade está ao alcance. Fazer push para a main, apagar ficheiros, gastar dinheiro, ler uma credencial. Na sua própria máquina, estas ações são raras numa sessão normal, razão pela qual o bypass parece seguro. São exatamente as ações que outra pessoa tem maior probabilidade de acionar por acidente.

A linha divisória

Use o bypass para agentes com quem apenas você comunica, em diretórios onde nada irreversível resida. No momento em que um agente está numa sala com uma segunda pessoa, a questão deixa de ser “quanto confio no modelo” e passa a ser “quanto confio em cada pessoa e em cada anexo que pode chegar até ele”.

Manter a velocidade sem cruzar a linha

Uma sala permite-lhe manter a maior parte da velocidade com duas adições sobre o modo.

Autorizações por pessoa. Uma autorização permanente permite que uma pessoa de confiança execute tarefas sem necessidade de aprovação a cada pedido. O modo do próprio agente pode manter-se permissivo para as chamadas habituais. Consulte permission modes, explained.

Quatro ações que pausam sempre. Fazer push para um ramo partilhado, apagar, gastar dinheiro e aceder a credenciais são ações que pausam para o proprietário, mesmo em bypass, quando o pedido tiver origem noutra pessoa. Uma centena de edições normais executa-se sem pedir confirmação; aquele único git push origin main fica à sua espera. A fundamentação encontra-se em four actions an agent should always ask before doing.

Uma recomendação prática

• Agentes que partilha: acceptEdits para repositórios, plan para qualquer tarefa exploratória. Conceda autorização às pessoas em quem confia.
• Agentes usados apenas por si em sandboxes descartáveis: o bypass funciona perfeitamente.
• Qualquer contexto com credenciais de produção no seu diretório de trabalho: default, e um agente separado para as partes que não precisem delas.
• Nunca partilhe um agente cujo diretório de trabalho contenha um ficheiro de chaves. Mova a chave, não mude o modo.

Perguntas frequentes

Uma sala altera o significado do bypass dentro de uma execução? Não. Numa execução, bypass continua a significar ausência de prompts em runtime. A sala acrescenta o controlo sobre quem pode iniciar uma execução e quais as quatro ações que pausam independentemente disso.

E quanto às definições equivalentes do Codex? O formato e o conselho são os mesmos: permissivo para si próprio numa sandbox, nunca para um agente partilhado.

Um prompt a cada push não se torna irritante? Os pushes para ramos partilhados são raros numa sessão normal. Se não forem, o diretório de trabalho do agente é provavelmente demasiado abrangente.

Rápido para si, cuidadoso para todos os outros. É para isso que serve uma sala. Give your agent one.