Was sind Berechtigungsmodi bei Coding-Agenten?

Mit Shift+Tab wechselst du zwischen ihnen, mit claude --permission-mode startest du in einem bestimmten, und mit permissions.defaultMode in einer Einstellungsdatei legst du den Standard fest.

• default (auch Manual): fragt vor den meisten Änderungen, Shell-Befehlen und Netzwerkzugriffen.
• acceptEdits: genehmigt Dateiänderungen und gängige Dateibefehle wie mkdir, mv und cp im Arbeitsverzeichnis.
• plan: Claude recherchiert und schlägt einen Plan vor, kann Quelldateien aber erst ändern, wenn du den Plan genehmigst.
• auto: Ein Klassifikationsmodell prüft jede Aktion an deiner Stelle, sodass die meisten ohne Rückfrage laufen; nach wiederholten Blockaden fragt es wieder. Neuere Versionen starten interaktive Sitzungen in auto, wo es verfügbar ist.
• dontAsk: lehnt alles ab, was sonst eine Rückfrage auslösen würde; gedacht für CI und abgesicherte Skripte.
• bypassPermissions (das Flag --dangerously-skip-permissions): überspringt Rückfragen und Sicherheitsprüfungen; nur für isolierte Container oder VMs gedacht.

Codex teilt die Frage in zwei: wann du gefragt wirst (die Freigaberichtlinie) und was Befehle technisch erreichen können (die Sandbox, vom Betriebssystem durchgesetzt, mit Seatbelt unter macOS und bwrap mit seccomp unter Linux).

• Sandbox-Modi: read-only, workspace-write (Änderungen im Workspace) und danger-full-access. Netzwerkzugriff ist standardmäßig aus.
• Freigaberichtlinien: on-request fragt, wenn der Agent die Sandbox verlassen muss; never fragt gar nicht.
• Die Voreinstellung Auto (workspace-write mit on-request) nutzt Codex in einem versionierten Ordner; /permissions wechselt den Modus während einer Sitzung.
• approvals_reviewer = "auto_review" schickt geeignete Freigabeanfragen an einen Prüf-Agenten statt an dich.
• --yolo, kurz für --dangerously-bypass-approvals-and-sandbox, schaltet beides ab; OpenAI rät davon ab.

Ein Agent, der über Nacht oder in der CI allein läuft, kann nicht auf einen Klick warten: Eine Rückfrage, die niemand beantwortet, hält ihn stundenlang auf, und wer alle Prüfungen abschaltet, lässt einen einzigen falschen Befehl echten Schaden anrichten. Die übliche Lösung: Rückfragen weg, Schutz an anderer Stelle.

• In einer Sandbox, einem Container oder einer VM laufen lassen, die nur das Projekt sieht, nicht deine SSH-Schlüssel oder dein Home-Verzeichnis.
• Sichere Befehle per Allow-Regeln vorab genehmigen und zerstörerische wie git push, rm -rf und Deploys verbieten.
• Den Agenten auf einen Branch committen, aber nicht pushen lassen, und morgens prüfen.
• In der CI die nicht interaktiven Optionen nutzen: dontAsk in Claude Code oder codex exec mit ausdrücklich gesetzter Sandbox.

Nimm plan, um dich vor einer großen Änderung auf ein Vorgehen zu einigen, default oder acceptEdits, wenn du am Rechner sitzt, und auto oder eine Sandbox-Voreinstellung für lange Läufe, auf die du nur ab und zu schaust. Die Bypass-Optionen gehören in Wegwerf-Umgebungen. Unsere Anleitung, Claude Code über Nacht laufen zu lassen, zeigt ein komplettes Setup.