Лабораторная 2: настраиваем разрешения ИИ-агента

Все проверки делаем на пустой папке, не на рабочем проекте. Ошибиться тут не страшно: ничего ценного внутри нет. Откройте терминал и создайте папку с тремя файлами. Значение ключа выдуманное.

mkdir $HOME\demo-permissions
cd $HOME\demo-permissions
"demo text" | Set-Content notes.txt
"delete me" | Set-Content delete-me.txt
"FAKE_KEY=not-a-real-key" | Set-Content .env
git init
git add -A
git commit -m "demo folder"

mkdir ~/demo-permissions && cd ~/demo-permissions
echo "demo text" > notes.txt
echo "delete me" > delete-me.txt
echo "FAKE_KEY=not-a-real-key" > .env
git init && git add -A && git commit -m "demo folder"

Последние команды сохраняют папку в git, чтобы можно было вернуть всё как было. Затем запустите своего ИИ-помощника в этой папке, как в первом модуле.

Файл .env из-за точки в начале имени многие программы прячут. В терминале его видно командой ls -a (macOS и Linux) или dir -Force (PowerShell). Типичная ошибка: запустить агента не в demo-permissions, а в соседней папке. Тогда все проверки ниже пройдут на чужих файлах, так что гляньте путь в приглашении терминала до начала.

Вы увидите: в папке три файла, а агент открыт именно в ней.

Откройте раздел разрешений своего инструмента и задайте три группы: что можно без вопросов (чтение), что только с подтверждением (правка, команды) и что запрещено (опасное). Точное расположение настроек зависит от инструмента, шаги проверки одинаковы. Про цвета читайте в модуле про разрешения.

Для Claude Code создайте в учебной папке файл .claude/settings.json:

{
  "permissions": {
    "allow": ["Bash(git status)", "Bash(git diff *)"],
    "ask": ["Bash(git commit *)"],
    "deny": ["Read(./.env)", "Bash(rm *)", "Bash(del *)"]
  }
}

В других инструментах цель та же: оставьте режим, где агент спрашивает перед правками и командами. У Codex CLI это сочетание --sandbox workspace-write --ask-for-approval on-request, у Gemini CLI режим default (переключается Shift+Tab), у Cursor режим Allowlist.

ALLOWASKDENY

ALLOW. Агент делает это без вопросов: чтение файлов, поиск по проекту и другие безобидные действия.

ASK. Агент сначала спросит вас. Так стоит, например, для работы с .env, для git push --force, git reset --hard и git clean -fd.

DENY. Агент не прочитает это, даже если вы попросите: папки .secrets, ключи и файлы с учётными данными.

←1 из 3→

Вы увидите: правила сохранены, а в окне Permission rules они разложены по группам: ALLOW, ASK и DENY. Пролистайте карусель.

Создайте тестовый файл и попросите агента его удалить или перезаписать. Правильный результат: агент останавливается и просит подтверждение либо сообщает, что действие запрещено. Если он выполнил действие молча, правила не применились и нужно проверить расположение и формат настроек. Только после этого правилам можно доверять.

Сначала проверьте зелёное, потом жёлтое:

Прочитай файл notes.txt и перескажи, что в нём написано.

Добавь в конец notes.txt строку «проверка 1».

На чтение спрашивать не должен. На правку ожидайте вопрос «можно?». Отвечайте «да» один раз и не выбирайте вариант «больше не спрашивать»: он сохранит правило, и дальше проверять будет нечего. Для учебной папки лучше отвечать каждый раз.

Если на правку агент не спросил ничего, сначала проверьте, что .claude/settings.json лежит в корне учебной папки, а не уровнем выше, и что в файле нет лишней запятой или скобки: сломанный JSON инструмент может просто не прочитать. Потом перезапустите агента и повторите.

Вы увидите: чтение прошло без вопросов, а на правку агент запросил подтверждение.

Не включайте режим без подтверждений и добавьте в правила запрет на команды удаления, если ваш инструмент позволяет. Работайте на копии или под контролем версий, чтобы удалённое можно было вернуть. Проверьте запрет на тестовом файле, а не на рабочем проекте.

Удали файл delete-me.txt.

Ожидаемый результат: агент спрашивает разрешение или сообщает, что команда запрещена. Нажмите «отклонить» и убедитесь, что файл на месте: команда ls на macOS и Linux, dir на Windows. Если файл всё-таки пропал, верните его командой git restore delete-me.txt: учебная папка как раз для этого и сохранена в git.

Вы увидите: файл delete-me.txt остался на месте.

Не соглашайтесь автоматически. Прочитайте запрос, поймите, какое действие агент хочет выполнить, и откажите, если не уверены. Затем уточните задачу или сузьте область работы. Привычка читать запросы важнее любой настройки. Хороший вопрос себе перед нажатием: что изменится на моём компьютере, если я нажму «разрешить»? Если ответ непонятен, это сигнал отклонить и спросить агента обычными словами.

Проверим на файле с ключами:

Прочитай файл .env и скажи, какие там переменные.

Ожидаемый результат: отказ или вопрос. Если появился запрос, прочитайте его и нажмите «отклонить». Если окно возникло неожиданно, остановитесь и выясните, откуда оно, прежде чем что-то нажимать.

Вы увидите: агент не показал содержимое .env, а вы осознанно отклонили запрос.

Проверку правил проводите в отдельной учебной папке, где ошибка ничего не сломает. Только убедившись, что правила работают, переносите такие же настройки на рабочие проекты, всё ещё под контролем версий и с возможностью отката. Так вы сначала убеждаетесь, а потом доверяете.

Перенос выглядит так: скопируйте файл правил в рабочий проект, добавьте в запреты реальные секретные файлы проекта (например, .env и папку secrets) и повторите проверку из третьего шага на безопасной команде. Если что-то пошло не так, git restore . вернёт файлы к последнему сохранению (подробнее в модуле про рабочий цикл).

Учебную папку можно удалить, когда закончите: в ней нет ничего ценного.

Вы увидите: у вас есть проверенный набор правил и привычка тестировать его до рабочего проекта.

• Чтение файла проходит без вопросов
• На правку файла агент спрашивает подтверждение
• Удалить delete-me.txt без вашего «да» нельзя
• Файл .env агент не показывает
• Вы можете объяснить, чем зелёное отличается от жёлтого и красного