Que sont les modes de permission des agents de code ?

Passez de l’un à l’autre avec Shift+Tab, démarrez dans un mode précis avec claude --permission-mode, ou définissez le mode par défaut avec permissions.defaultMode dans un fichier de réglages.

• default (aussi appelé Manual) : demande avant la plupart des modifications, commandes shell et accès réseau.
• acceptEdits : approuve les modifications de fichiers et les commandes de fichiers courantes comme mkdir, mv et cp dans le répertoire de travail.
• plan : Claude explore et propose un plan, mais ne peut pas modifier les fichiers source avant que vous l’approuviez.
• auto : un modèle classificateur examine chaque action à votre place, si bien que la plupart passent sans demande ; après des blocages répétés, il recommence à demander. Les versions récentes démarrent les sessions interactives en auto là où il est disponible.
• dontAsk : refuse tout ce qui déclencherait une demande ; prévu pour la CI et les scripts verrouillés.
• bypassPermissions (l’option --dangerously-skip-permissions) : saute les demandes et les contrôles de sécurité ; réservé aux conteneurs ou VM isolés.

Codex sépare la question en deux : quand vous demander (la politique d’approbation) et ce que les commandes peuvent techniquement atteindre (la sandbox, imposée par le système d’exploitation avec Seatbelt sur macOS et bwrap avec seccomp sur Linux).

• Modes de sandbox : read-only, workspace-write (modifications dans l’espace de travail) et danger-full-access. L’accès réseau est coupé par défaut.
• Politiques d’approbation : on-request demande quand l’agent doit sortir de la sandbox ; never ne demande jamais.
• Le préréglage Auto (workspace-write avec on-request) est celui que Codex utilise dans un dossier versionné ; /permissions change de mode en cours de session.
• approvals_reviewer = "auto_review" envoie les demandes d’approbation éligibles à un agent relecteur plutôt qu’à vous.
• --yolo, raccourci de --dangerously-bypass-approvals-and-sandbox, désactive les deux ; OpenAI le déconseille.

Un agent laissé seul la nuit ou en CI ne peut pas attendre un clic : une demande sans réponse le bloque pendant des heures, et sauter tous les contrôles laisse une seule mauvaise commande causer de vrais dégâts. La réponse habituelle : supprimer les demandes et placer les garde-fous ailleurs.

• Le faire tourner dans une sandbox, un conteneur ou une VM qui ne voit que le projet, pas vos clés SSH ni votre dossier personnel.
• Pré-approuver les commandes sûres avec des règles allow et interdire les destructrices, comme git push, rm -rf et les déploiements.
• Laisser l’agent committer sur une branche sans pousser, et relire le matin.
• En CI, utiliser les options non interactives : dontAsk dans Claude Code, ou codex exec avec une sandbox explicite.

Utilisez plan pour vous mettre d’accord sur une approche avant un gros changement, default ou acceptEdits quand vous êtes au clavier, et auto ou un préréglage avec sandbox pour les longues tâches que vous ne surveillez que de loin. Gardez les options de contournement pour les environnements jetables. Notre guide pour faire tourner Claude Code la nuit détaille une configuration complète.