Claude Code — агент с доступом к shell, файлам и git, а не чат с подсказками. Он сам открывает терминал, сам гоняет команды, сам правит файлы — тебе остаётся подтвердить или отклонить.

Что реально держит его в рамках:

  • settings.json → permissions.ask/permissions.deny — конкретные тулы (Bash, WebFetch) требуют подтверждения или блокируются жёстко, независимо от того что решил сам агент
  • hooks PreToolUse/PostToolUse — валидация до и после любого действия на уровне харнесса, не промпта; PreToolUse может вернуть deny на опасную команду ещё до её запуска
  • bypassPermissions — режим без подтверждений вообще, но с 2026 уважает org-политику disableBypassPermissionsMode: админ запрещает обход даже если сам агент попробует его включить
  • sandbox-блок — network.allowedDomains, excludedCommands — сеть и список команд закрываются ещё до слоя пермишенов

Агент безопасен не потому что “хорошо себя ведёт”, а потому что харнесс проверяет каждое действие снаружи промпта. Без этого слоя — не агент, а root-доступ с уверенным тоном.

#ai #claudecode #devops