O que são modos de permissão em agentes de programação?

Você alterna entre eles com Shift+Tab, começa num modo específico com claude --permission-mode ou define o padrão com permissions.defaultMode num arquivo de configurações.

• default (também chamado de Manual): pergunta antes da maioria das edições, comandos de shell e acessos à rede.
• acceptEdits: aprova edições de arquivos e comandos de arquivo comuns como mkdir, mv e cp dentro da pasta de trabalho.
• plan: o Claude pesquisa e propõe um plano, mas não pode alterar arquivos de código até você aprovar.
• auto: um modelo classificador revisa cada ação no seu lugar, então a maioria roda sem pergunta; depois de bloqueios repetidos, volta a perguntar. Versões recentes iniciam as sessões interativas em auto onde ele está disponível.
• dontAsk: recusa tudo o que normalmente pediria permissão; feito para CI e scripts fechados.
• bypassPermissions (a opção --dangerously-skip-permissions): pula as perguntas e as verificações de segurança; só para contêineres ou VMs isolados.

O Codex divide a questão em duas: quando perguntar a você (a política de aprovação) e até onde os comandos podem chegar tecnicamente (a sandbox, aplicada pelo sistema operacional com Seatbelt no macOS e bwrap com seccomp no Linux).

• Modos de sandbox: read-only, workspace-write (edições dentro do espaço de trabalho) e danger-full-access. O acesso à rede vem desligado.
• Políticas de aprovação: on-request pergunta quando o agente precisa sair da sandbox; never não pergunta nunca.
• A predefinição Auto (workspace-write com on-request) é a que o Codex usa numa pasta com controle de versão; /permissions troca de modo durante a sessão.
• approvals_reviewer = "auto_review" envia os pedidos de aprovação elegíveis para um agente revisor em vez de você.
• --yolo, abreviação de --dangerously-bypass-approvals-and-sandbox, desliga os dois; a OpenAI não recomenda.

Um agente deixado sozinho durante a noite ou na CI não pode esperar um clique: uma pergunta que ninguém responde o trava por horas, e pular todas as verificações deixa um único comando errado causar dano real. A resposta comum é tirar as perguntas e manter as proteções em outro lugar.

• Rode o agente numa sandbox, contêiner ou VM que só enxergue o projeto, não suas chaves SSH nem sua pasta pessoal.
• Aprove de antemão os comandos seguros com regras allow e bloqueie os destrutivos, como git push, rm -rf e deploys.
• Deixe o agente fazer commits numa branch, mas não push, e revise de manhã.
• Na CI, use as opções não interativas: dontAsk no Claude Code ou codex exec com sandbox definida explicitamente.

Use plan para combinar a abordagem antes de uma mudança grande, default ou acceptEdits enquanto você está no teclado, e auto ou uma predefinição com sandbox para tarefas longas que você só confere de vez em quando. Deixe as opções de bypass para ambientes descartáveis. Nosso guia para rodar o Claude Code durante a noite mostra uma configuração completa.