¿Qué son los modos de permiso en los agentes de programación?

Pasas de uno a otro con Shift+Tab, empiezas en uno concreto con claude --permission-mode o fijas el predeterminado con permissions.defaultMode en un archivo de ajustes.

• default (también llamado Manual): pregunta antes de la mayoría de ediciones, comandos de shell y accesos a la red.
• acceptEdits: aprueba las ediciones de archivos y comandos de archivo habituales como mkdir, mv y cp dentro del directorio de trabajo.
• plan: Claude investiga y propone un plan, pero no puede cambiar archivos de código hasta que lo apruebes.
• auto: un modelo clasificador revisa cada acción en tu lugar, así que la mayoría se ejecuta sin preguntar; tras varios bloqueos seguidos vuelve a preguntar. Las versiones recientes inician las sesiones interactivas en auto donde está disponible.
• dontAsk: rechaza todo lo que normalmente pediría permiso; pensado para CI y scripts cerrados.
• bypassPermissions (la opción --dangerously-skip-permissions): se salta las preguntas y las comprobaciones de seguridad; solo para contenedores o máquinas virtuales aislados.

Codex divide la cuestión en dos: cuándo preguntarte (la política de aprobación) y a qué pueden llegar técnicamente los comandos (el sandbox, que aplica el sistema operativo con Seatbelt en macOS y bwrap con seccomp en Linux).

• Modos de sandbox: read-only, workspace-write (ediciones dentro del espacio de trabajo) y danger-full-access. El acceso a la red está desactivado por defecto.
• Políticas de aprobación: on-request pregunta cuando el agente necesita salir del sandbox; never no pregunta nunca.
• El preajuste Auto (workspace-write con on-request) es el que usa Codex en una carpeta con control de versiones; /permissions cambia de modo durante la sesión.
• approvals_reviewer = "auto_review" envía las solicitudes de aprobación elegibles a un agente revisor en lugar de a ti.
• --yolo, abreviatura de --dangerously-bypass-approvals-and-sandbox, desactiva ambos; OpenAI no lo recomienda.

Un agente que trabaja solo de noche o en CI no puede esperar un clic: una pregunta que nadie responde lo detiene durante horas, y saltarse todas las comprobaciones deja que un solo comando erróneo haga daño real. La solución habitual es quitar las preguntas y mantener las protecciones en otro sitio.

• Ejecútalo en un sandbox, contenedor o máquina virtual que solo vea el proyecto, no tus claves SSH ni tu carpeta personal.
• Aprueba de antemano los comandos seguros con reglas allow y prohíbe los destructivos, como git push, rm -rf y los despliegues.
• Deja que el agente haga commits en una rama pero no push, y revísala por la mañana.
• En CI, usa las opciones no interactivas: dontAsk en Claude Code o codex exec con un sandbox indicado explícitamente.

Usa plan para acordar el enfoque antes de un cambio grande, default o acceptEdits mientras estás delante del teclado, y auto o un preajuste con sandbox para tareas largas que solo miras de vez en cuando. Reserva las opciones de bypass para entornos desechables. Nuestra guía para ejecutar Claude Code durante la noche explica una configuración completa.