A Claude Code permission mode решает, какие действия агент может выполнять без подтверждения. Их четыре: plan только читает и ничего не меняет, default спрашивает перед изменениями и командами в соответствии с вашими правилами доступа, acceptEdits применяет правки к файлам без спроса, но спрашивает о командах, а bypassPermissions не спрашивает ни о чем. Выбор режима — это показатель того, насколько вы доверяете агенту в этой директории.
Все усложняется, как только запрос вводит не владелец машины. В этой статье мы разберем режимы в том виде, в каком их определяет Claude Code, а затем посмотрим, что меняется в общей комнате.
The four modes
plan. Агент читает файлы, ищет, рассуждает и составляет план. Он ничего не меняет и не запускает. Этот режим подходит для сценариев «скажи, что бы ты сделал» и позволяет исследовать кодовую базу тем, у кого не должно быть прав на ее изменение.
default. Агент спрашивает подтверждение перед каждой правкой и каждой командой, если только ваши правила доступа уже явно не разрешают этот инструмент или шаблон. Хорошо подходит для парной работы, когда вы следите за процессом и каждый prompt — это осознанное решение.
acceptEdits. Правки файлов применяются без подтверждения; о командах агент по-прежнему спрашивает. Удобно в репозитории, где откатить неудачную правку просто (код находится под версионным контролем), а вот последствия запуска не той команды исправить трудно.
bypassPermissions. Никаких подтверждений. Anthropic рекомендует использовать этот режим только в изолированных песочницах и одноразовых средах, поскольку ошибочная или внедренная инструкция выполнится со всеми вашими локальными правами.
Лестница от plan до bypassPermissions и четыре действия, которые ставятся на паузу независимо от режима при шеринге агента.
Why modes are about directories, not people
Режим разрешений задается для сессии, что на практике означает рабочую директорию. Когда вы работаете один, это правильная единица управления: репозиторий с документацией может работать в acceptEdits, репозиторий с инфраструктурой — в default, а одноразовый эксперимент — в bypassPermissions.
Но этого становится недостаточно, как только запросы может отправлять второй человек. Его запрос выполняется с режимом вашей сессии. Сооснователь, которому нужно было просто посмотреть код, теперь вносит в него правки, потому что на прошлой неделе вы настроили acceptEdits для себя. В самих режимах нет разделения по пользователям.
What changes in a room
В комнате muti у агента по-прежнему есть режим разрешений Claude Code, выбранный при создании агента для директории. Но поверх него добавляются две вещи.
Per-person permission. Каждый запрос от любого пользователя, кроме владельца, либо одобряется один раз, либо подпадает под постоянное разрешение («всегда разрешать»), которое вы выдали этому человеку для данного агента. Вы можете отозвать постоянное разрешение в любой момент; все запросы этого пользователя в очереди будут отменены.
Four actions that always pause. Какой бы режим и какие бы разрешения ни действовали, пуш в общую ветку, удаление данных, трата денег и обращение к учетным данным всегда требуют подтверждения владельца. Даже агент в bypassPermissions остановится здесь, если запрос пришел от другого человека. Подробное обоснование читайте в статье четыре действия, перед которыми агент всегда должен спрашивать разрешение.
A practical mapping
- Exploration for others: создайте агента в
plan. Гости могут задавать вопросы, на диске ничего не меняется. - Everyday work with people you trust:
acceptEditsс постоянным разрешением для этих людей. Команды по-прежнему требуют подтверждения; четыре критических действия всегда ставятся на паузу. - Your own throwaway sandbox:
bypassPermissionsвполне подходит, пока в комнате больше никого нет. В тот момент, когда вы кого-то приглашаете, режим стоит пересмотреть. - Anything with production credentials in the directory:
default, никаких постоянных разрешений и отдельный агент для задач, которым эти секреты не нужны.
Frequently asked questions
Does a room override Claude Code’s mode? Нет. Режим по-прежнему определяет, что агент делает во время выполнения. Комната лишь контролирует, кто может запускать задачи и какие действия требуют подтверждения в любом случае.
Can a requester choose the mode? Нет. Его выбирает владелец для каждого агента. Автор может попросить режим только для чтения в своем запросе, а владелец при подтверждении может ответить «continue read-only».
Is bypassPermissions ever acceptable for a shared agent? Только для директорий, где невозможно сделать ничего необратимого, но даже там четыре критических действия потребуют подтверждения. В отдельной статье мы объясняем, почему bypassPermissions безопасен для вас и опасен для всех остальных.
What about Codex? У Codex собственные настройки подтверждений с похожей структурой. В комнате персональные разрешения и четыре действия с обязательной паузой работают точно так же.
Задайте режим для директории, настройте разрешения для человека и позвольте четырем критическим действиям запрашивать подтверждение. Вот и вся модель. Создайте комнату для своего агента, чтобы увидеть, как это работает на практике.
Опубликовано