Безопасность и праваClaude Code

Claude Code — это агент в терминале: он не просто советует, а действует. Читает файлы, запускает команды, правит код, делает коммиты. Ровно поэтому к нему нужен тот же подход, что к новому сотруднику с доступом к боевым системам: дать ровно столько прав, сколько нужно для работы, и ни граммом больше. Права (permissions) в Claude Code — это и есть механизм таких границ.

Часть 1 · Зачем

Почему агенту нужны границы

По умолчанию Claude Code ведёт себя осторожно: перед запуском команды или правкой файла он спрашивает разрешение. Это безопасно, но на практике быстро бесит — ты двадцатый раз за час подтверждаешь npm run test. Хочется, чтобы безопасную рутину агент делал сам, а вот на опасное — спрашивал или вовсе не лез. Именно для этого баланса и нужны права.

Расшифруем термины. Tool (инструмент) — это то, чем агент действует: Bash (команды в терминале), Read (чтение файлов), Edit и Write (правка и запись), WebFetch (запросы в интернет) и другие. Permission (право) — правило, которое говорит, можно ли агенту пользоваться этим инструментом и в какой области. Настройка прав — это, по сути, договор: «вот это делай сам, вот это спрашивай, вот это не трогай».

Если ты только осваиваешься с агентом и боишься дать лишнего — начни с безопасного воркфлоу через гит. Тогда любую ошибку агента легко откатить. Как именно — в гайде про безопасную работу через Git.

Часть 2 · Правила

Три типа правил: allow, ask, deny

Правила живут в файле settings.json. Самый наглядный способ понять формат — посмотреть на готовый пример. Вот разумная стартовая настройка для веб-проекта:

{
  "permissions": {
    // allow — агент делает сам, без подтверждения
    "allow": [
      "Bash(npm run test:*)",   // любые npm-тесты
      "Bash(npm run lint)",     // линтер
      "Bash(git status)",       // безопасные git-команды
      "Bash(git diff:*)",
      "Read",                    // читать файлы можно везде
      "Edit"                     // и править код
    ],
    // ask — агент спросит разрешение каждый раз
    "ask": [
      "Bash(git push:*)",       // пуш — только с подтверждения
      "Bash(npm install:*)"     // ставить пакеты — спросить
    ],
    // deny — запрещено наглухо, даже если попросишь
    "deny": [
      "Read(./.env)",           // не читать секреты
      "Read(./.env.*)",
      "Bash(rm -rf:*)"          // не удалять рекурсивно
    ]
  }
}

Разберём синтаксис. Bash(npm run test:*) — это инструмент Bash, область — команды, начинающиеся с npm run test; * в конце значит «и всё, что после». Read(./.env) — инструмент Read, область — конкретный файл с секретами. Голый Read без скобок означает «инструмент целиком, без ограничения области».

Проще всего управлять правилами не руками в JSON, а прямо из чата командой /permissions (у неё есть алиас /allowed-tools). Она открывает интерактивное окно: видно правила по уровням, можно добавить и убрать, посмотреть рабочие директории. Когда агент спрашивает разрешение на действие, ты можешь сразу выбрать «разрешить навсегда» — и правило само улетит в allow.

Часть 3 · Запреты

Что НЕ давать агенту без человека

Список того, что стоит положить в deny или хотя бы оставить в ask, короткий и его легко запомнить:

Дай агенту делать рутину сам, но необратимое всегда оставляй за человеком.

Отдельно про секреты. Даже если ты доверяешь агенту, чтение .env — плохая идея: содержимое попадёт в контекст модели и может засветиться в логах или истории. Безопаснее держать Read(./.env) и подобное в deny на уровне проекта, чтобы это правило ехало в гит и защищало всю команду, а не только тебя.

Часть 4 · Режимы

Режимы доступа: от осторожного к полному

Режим — это профиль строгости поверх твоих правил. Основных четыре:

Режим plan — самый безопасный: агент читает код и строит план, но не трогает файлы, пока ты не утвердишь. Про него отдельный разбор — гайд про план-режим. Режим acceptEdits снимает вопросы только на правки файлов, но команды в терминале по-прежнему под контролем правил — это разумный компромисс для скорости.

Часть 5 · Риски

Bypass-режим: чем опасен и когда уместен

Включается bypass флагом при запуске. Само название флага намекает, что разработчики Claude Code считают этот режим рискованным:

# Полный bypass: агент НЕ спрашивает ни о чём
claude --dangerously-skip-permissions

# То же самое явно через режим
claude --permission-mode bypassPermissions

В чём конкретно риск. В обычном режиме опасную команду останавливает диалог «выполнить? да/нет» — у тебя есть секунда подумать. В bypass этого диалога нет вообще. Если модель неверно поняла задачу и решила rm -rf не ту папку или сделать git push --force — она это сделает молча и мгновенно. Откатывать будешь уже по факту, если вообще получится.

Здоровая альтернатива скорости без потери контроля — режим acceptEdits плюс продуманные allow-правила на свою рутину. Так агент летит по безопасным действиям сам, но необратимое по-прежнему спрашивает. А чтобы любую ошибку можно было откатить — работай через гит-ветки и чекпойнты, об этом гайд про память и откат сессий.

Вопросы

Частые вопросы

Читать дальше

Соседние гайды