Разрешения для ИИ-агента: что можно, что спросить, что нельзя

Может, если вы выдали ему право менять файлы и запускать команды без вопросов. В обычном режиме агент спрашивает разрешение на опасные действия. Поэтому работайте в отдельной папке с копией или под системой контроля версий (про неё в модуле про рабочий цикл), держите режим подтверждений и просматривайте предложенные изменения до применения.

Почему так? Агент не просто отвечает в чате. Он открывает файлы, правит их и запускает программы на вашем компьютере. Представьте стажёра, которому вы в первый же день отдали ключи от офиса и сейфа: скорее всего, всё будет хорошо, но один неверный шаг дорого обойдётся.

Ошибаются не только люди. Агент может неправильно понять задачу и «прибрать» то, что трогать нельзя. Поэтому у каждого серьёзного инструмента есть система разрешений.

Вы увидите: ничего менять пока не нужно, дальше разберём, как устроены правила.

Это правила, что агент делает сам, что только после вашего «да» и что запрещено. Удобная модель светофора: читать можно, править и запускать команды спрашивать, опасное запретить. Где именно задаются правила, зависит от инструмента: это окно настроек или файл, смотрите документацию своей программы.

Правило простое: чем больше вреда может принести действие, тем строже цвет. Начните с жёлтого почти для всего, а зелёным помечайте только то, что точно безопасно.

Вы увидите: у вас в голове появилась карта из трёх цветов, по ней вы будете читать любые запросы агента.

Откройте настройки разрешений своего инструмента и просмотрите список разрешённых действий. Затем в учебной папке попросите агента сделать то, что должно требовать подтверждения, например удалить тестовый файл. Если подтверждение запросили, правила работают. Лабораторная про разрешения разбирает эту проверку по шагам. Повторяйте проверку после любой смены настроек.

Запрос обычно выглядит как короткое окно или строка с вопросом и вариантами: разрешить один раз, разрешить всегда или отказать. Сначала прочитайте, что именно агент собирается сделать, и только потом жмите кнопку.

Короткая проверка в три действия:

1. Создайте в учебной папке пустой файл test.txt.
2. Напишите агенту: «удали файл test.txt».
3. Посмотрите, спросил ли он разрешение, прежде чем удалять.

В Claude Code список правил открывается командой /permissions. В других инструментах место другое, поэтому смотрите таблицу чуть ниже.

Вы увидите: на опасную просьбу агент отвечает вопросом «можно?», а не молча выполняет её.

В ряде инструментов есть режим, где агент выполняет всё без подтверждений. Он ускоряет работу, но ошибка или вредная подсказка из внешнего текста тогда не останавливаются ничем. Новичку его включать не стоит, а тем, кто включает, нужна изолированная среда без личных данных и ключей.

У Claude Code самая свободная ступенька называется bypassPermissions, и в документации сказано использовать её только в изолированных средах вроде контейнера или виртуальной машины. У Codex CLI режим без защиты включается флагом --dangerously-bypass-approvals-and-sandbox (короткий вариант --yolo), и документация тоже не советует его. У Cursor это пункт «Run Everything».

Вы увидите: вы знаете, как называется «красная кнопка» в вашем инструменте, и не нажмёте её случайно.

Не храните секреты в файлах проекта и не вставляйте их в чат. Используйте файл окружения, который исключён из репозитория, и запретите агенту читать его в правилах разрешений. Если ключ всё же попал в переписку или файл, считайте его скомпрометированным и выпустите новый.

Файл окружения обычно называется .env. В нём лежат пароли и ключи, которые программа читает при запуске. Чтобы он случайно не попал в общий доступ, его добавляют в список игнорируемых файлов проекта.

Запрет на чтение лучше записать в разрешения, а одной строки в файле правил мало. В документации Claude Code это сказано прямо: инструкции влияют на то, что агент пытается сделать, а что ему можно, решает сама программа по настройкам.

Вы увидите: файл .env лежит отдельно, а агент на просьбу прочитать его получает отказ.

Правила в виде файла есть не везде. Пример для Claude Code (файл .claude/settings.json): три списка, проверка идёт по порядку «запрет, вопрос, разрешение».

{
  "permissions": {
    "allow": ["Bash(git status)", "Bash(git diff *)"],
    "ask": ["Bash(git push *)"],
    "deny": ["Read(./.env)", "Bash(rm *)"]
  }
}

Важная оговорка из документации: запрет на команду ловит ту форму записи, которую агент обычно использует, но это не стена. Для настоящей изоляции нужна песочница.

Вы увидите: вы нашли, где в вашей программе лежат эти настройки, и знаете, что искать, если интерфейс изменится.