Como usar Codex e Claude Code em somente leitura: investigar e receber orientação sem editar

Você quer investigar a estrutura ou os problemas de um projeto existente, sem que o código seja editado, as configurações sejam alteradas ou algum software seja instalado. Prepare tanto uma instrução de investigação quanto permissões que limitem alterações. O ambiente de somente leitura do Codex e o modo Plan do Claude Code têm objetivos relacionados, mas funcionam de maneiras diferentes.

Conferido com a documentação oficial da OpenAI e da Anthropic em 9 de outubro de 2026. Os exemplos de inicialização deste artigo não foram executados em um computador real. Distinguimos o comportamento documentado do produto das condições que você precisa conferir no seu ambiente.

1. Instruções e restrições de permissões

Um pedido como “Investigue os problemas no fluxo de login” deixa uma dúvida: o agente deve corrigir o que encontrar ou parar depois do relatório? Dizer “Não faça alterações” comunica sua intenção, mas não remove as ferramentas de edição nem a capacidade de escrita do shell.

A documentação do Claude Code explica que as instruções e o CLAUDE.md influenciam o que o modelo tenta fazer, enquanto o sistema de permissões determina quais ações são permitidas. Ao incluir proibições no AGENTS.md do Codex, também diferencie as instruções das permissões efetivas. Fonte: permissões do Claude Code.

2. Codex: configurações do aplicativo, IDE e CLI

Desktop: confira as restrições de escrita em Settings

No aplicativo para desktop, abra Settings → Configuration pelo menu do aplicativo. O atalho de configurações é Ctrl+, no Windows e Cmd+, no macOS. A tela oficial Configuration mostra Approval policy e Sandbox settings separadamente. Os nomes podem variar conforme o idioma e a versão.

Fontes: tela oficial Configuration, abrir configurações, controle de permissões abaixo da caixa de entrada.

Se a interface não estiver clara: use Open config.toml

Abra o arquivo por Settings → Configuration → Open config.toml. As configurações de usuário geralmente ficam em ~/.codex/config.toml. Na configuração tradicional do ambiente isolado, estes valores selecionam somente leitura e uma política que não solicita aprovação adicional. É um exemplo de configuração; apenas ler o artigo não altera os ajustes.

sandbox_mode = "read-only"
approval_policy = "never"

As configurações de usuário também afetam o aplicativo, a extensão do IDE e a CLI que leem a mesma configuração. Também podem se aplicar configurações de projetos confiáveis em .codex/config.toml, opções de inicialização e políticas gerenciadas. Encontrar essas duas linhas não basta para concluir que estão ativas. Na CLI, /status e /debug-config mostram as condições de execução e a origem dos ajustes. Para investigar por uma única sessão sem alterar configurações permanentes, use o exemplo de CLI abaixo.

A função mais recente Permission profiles está em beta e oferece outra forma de configuração, incluindo o perfil integrado :read-only. Quando combinada com sandbox_mode ou --sandbox tradicionais, esses ajustes podem prevalecer; políticas gerenciadas também introduzem exceções. Confira qual método você já usa antes de adicionar ambos. Fonte: abrir o arquivo de configuração, prioridade de configuração, Permission profiles.

O Codex também oferece /plan para solicitar um plano antes da implementação. Porém, confira separadamente o pedido de planejamento e as restrições de escrita. Não suponha que as restrições ou exceções de Plan do Claude Code também se apliquem ao Codex só porque usam o mesmo nome. Fonte: /plan do Codex.

Extensão do IDE: abra Codex Settings pelo ícone de engrenagem

Use o ícone de engrenagem → Codex Settings no topo da barra lateral do Codex para conferir ajustes compartilhados, e Open config.toml para os detalhes. Confira também o controle de permissões abaixo da caixa de entrada. Os ajustes da extensão no editor são separados do config.toml lido pelo agente. Desativar IDE context, que fornece arquivos abertos, não revoga a permissão do agente para ler arquivos. Fonte: Developer settings por cliente.

CLI: defina opções para esta sessão

Se o Codex CLI já estiver disponível, abra um terminal na pasta que deseja investigar e inicie assim. Não é necessário reescrever permanentemente o arquivo de configuração. As políticas gerenciadas da organização e os recursos da sua versão da CLI continuam tendo prioridade.

codex --sandbox read-only --ask-for-approval never

never não significa acesso total. O tipo de ambiente isolado e a política de aprovação são ajustes separados. A tabela oficial da OpenAI inclui read-only com never para ler arquivos e executar comandos dentro dessas restrições. Fonte: Agent approvals & security.

Como on-request difere

Com --ask-for-approval on-request, o agente pode solicitar aprovação para uma operação que precise ser executada fora do ambiente isolado. Mesmo começando em somente leitura, aprovar essa execução altera o limite original. “Pergunte antes de fazer alterações se necessário” e “Não faça alterações desta vez” são políticas distintas.

Web, Cloud e Remote: diferencie o dispositivo de visualização do ambiente de execução

Work na web usa um ambiente de execução gerenciado e não lê seu arquivo local de configuração do Codex. Adicionar as duas linhas acima no PC não torna, por si só, a execução em Cloud somente leitura. Confira os controles oferecidos pela interface e pelo espaço de trabalho de Cloud. Não confirmamos um procedimento de inicialização equivalente que torne todo o Cloud somente leitura.

Ao usar Remote para acompanhar em outra interface um trabalho executado no PC, importam os ajustes da máquina que realmente executa os comandos. Não se baseie apenas nas restrições do dispositivo usado para visualizar. Consulte quando usar o Codex localmente, por Remote ou em Cloud. Fonte: configurações web e locais.

3. Usar o Claude Code apenas para investigar e planejar

Claude Desktop: selecione Plan ao lado do botão de envio na aba Code

Estas instruções se aplicam à aba Code do Claude Desktop. Os ajustes de Chat e Cowork não equivalem aos modos de permissões do Claude Code. Usamos os nomes de modos da documentação oficial em inglês; o texto exibido pode variar conforme o idioma e a versão.

Plan escolhido no seletor só se aplica àquela sessão. As escolhas de outros modos são lembradas por pasta e prevalecem sobre permissions.defaultMode no arquivo de ajustes. Se uma nova conversa também precisar ser apenas de investigação, confira Plan a cada vez. Ler o mesmo arquivo de ajustes da CLI não significa que a escolha de modo da conversa continue na próxima sessão. Fonte: modos e persistência no Desktop.

VS Code: selecione Plan no indicador abaixo da caixa de entrada

Abra o painel de chat do Claude Code e selecione o indicador de modo abaixo da caixa de entrada → Plan. A partir da v2.1.280, também é possível enviar /plan no painel. Se o plano abrir como documento Markdown, leia-o como resultado de investigação sem aprovar a implementação.

Na especificação oficial atual, a configuração do espaço de trabalho para claudeCode.initialPermissionMode é ignorada. Isso difere do comportamento anterior à v2.1.225. Selecionar Plan no chat também afeta somente aquela conversa. Não suponha que incluir permissions.defaultMode no .claude/settings.json do projeto necessariamente altere o modo inicial do VS Code. Confira a prioridade entre o ajuste inicial da extensão, o último modo normal selecionado, os ajustes gerenciados, os de usuário e outras configurações aplicáveis.

Tenha atenção também aos arquivos não salvos. O ajuste claudeCode.autosave salva alterações do editor antes de o Claude ler ou escrever. Diferencie a edição do código pela IA do salvamento feito pelo editor. Anexar automaticamente arquivos abertos também é diferente de restringir o acesso a arquivos. Fonte: controles de modo, ajustes da extensão e prioridade no VS Code.

Controles na web, no celular e no JetBrains

As edições comuns de arquivos são pré-aprovadas em Cloud, portanto não o trate como Manual. Selecione explicitamente Plan para investigar e instrua o agente a parar após o relatório, sem implementar. O comportamento de aprovação de Cloud não significa que o código possa ser reescrito sem condições durante Plan. Fonte: trocar modos por interface, modos de Cloud.

CLI: inicie em Plan e não aprove a implementação

Inicie o Claude Code CLI em Plan com a opção abaixo. Normalmente, Plan lê arquivos, investiga a estrutura e os problemas e planeja alterações propostas. Alterações por ferramentas de edição do código normalmente são bloqueadas, mas arquivos de planejamento são criados.

claude --permission-mode plan

Os comandos de shell em Plan não são sempre limitados aos de somente leitura. Quando auto está disponível e useAutoModeDuringPlan está ativado, um classificador pode analisar e permitir comandos. Quando auto não está disponível, entre outros casos, comandos fora do conjunto integrado de somente leitura exigem aprovação. Fonte: Plan em Permission modes.

Se você não quer permitir shell nem ferramentas de edição

Se ler o código e investigar a estrutura for suficiente, use --tools para restringir as ferramentas integradas. Este exemplo limita as ferramentas de investigação de arquivos a Read, Glob e Grep e também nega ferramentas MCP. EndConversation continua disponível para encerrar a conversa. Isso reduz a capacidade de investigação em relação ao Plan comum: verificações que exigem comandos ficam indisponíveis.

claude --permission-mode plan --tools "Read,Glob,Grep" --disallowedTools "mcp__*"

Não substitua por --allowedTools aqui. Essa opção especifica ferramentas permitidas sem confirmação; ela não limita as ferramentas disponíveis àquela lista. Além disso, --tools sozinho não restringe MCP, por isso é necessária uma opção separada. Fonte: CLI reference.

Desktop não tem controles de interface por sessão equivalentes a --allowedTools ou --disallowedTools da CLI. As regras de permissões dos arquivos de ajustes se aplicam, mas o botão Plan sozinho não produz as mesmas restrições desse exemplo. Fonte: recursos de Desktop e CLI.

Este exemplo também não torna todo o PC somente leitura, incluindo os dados salvos pelo próprio aplicativo e as configurações ou hooks carregados. Ao abrir um projeto desconhecido, confira separadamente os hooks, plugins e conexões externas existentes. Para uma operação mais restrita, --restricted, disponível desde a v2.1.248, altera mais que as ferramentas: também muda quais configurações são carregadas, entre outras coisas. Não é outro nome de Plan com seu ambiente habitual intacto.

Para gerenciar continuamente permissões de ferramentas, consulte os ajustes allow, ask e deny do Claude Code. Para isolar Bash, consulte configuração e limites do ambiente isolado. O isolamento que permite escrita no espaço de trabalho por padrão tem um objetivo diferente de apenas investigar.

4. Uma instrução de investigação pronta para usar

Depois de preparar as permissões, peça ao agente que pare após o relatório. Definir o que investigar e qual resultado conclui a tarefa com mais precisão que “Corrija isto” ou “Melhore isto” reduz mal-entendidos que levam à implementação.

Nesta tarefa, investigue o estado atual e ofereça orientação apenas. Não implemente.

Escopo: O fluxo de login e os limites de autorização deste projeto.
Permitido: Ler o código acessível e explicar a estrutura e os problemas.
Proibido: Criar, editar ou excluir arquivos; alterar ajustes; adicionar dependências;
          compilar, executar testes, operar no banco de dados, fazer commits,
          pushes ou implantações, e alterar serviços externos.
          Não amplie permissões para executar hooks ou scripts.

Entregas:
1. O fluxo de processamento, com arquivos investigados e números de linha
2. Evidências, impacto e prioridade de cada possível problema
3. Melhorias propostas, sem executá-las, e verificações necessárias antes de implementar
4. Dúvidas que a leitura sozinha não resolve e verificações não realizadas

Mesmo se uma alteração for necessária, pare na recomendação e não a execute.
Encerre a tarefa assim que entregar o relatório de investigação.

Mesmo concordando com uma melhoria proposta, você pode responder na conversa de investigação: “Mantenha esta como uma abordagem candidata. Não implemente”. Para prosseguir, abra uma conversa de desenvolvimento separada e defina novamente o escopo de alterações, testes e publicação. Isso mantém as restrições de investigação alinhadas ao objetivo da tarefa.

5. O que conferir antes e depois

Não encerre a verificação em “O modelo disse que não alterou nada”. Também não é preciso tentar escrever no código que você quer proteger para conferir se ele continua igual. Comece pela interface, pelas explicações das configurações e pelas diferenças existentes, e registre o que continuar incerto.

Se o projeto usa Git, compare as diferenças

Estes comandos, por exemplo, mostram arquivos alterados e resumos das diferenças preparadas e não preparadas para commit. Confira antes e depois para não confundir suas alterações anteriores com alterações da IA. O exemplo pressupõe que o repositório já usa Git.

git status --short
git diff --stat
git diff --cached --stat

Esses comandos não provam que nada mudou em lugar nenhum. git diff não mostra arquivos não rastreados, e as verificações não cobrem todos os arquivos ignorados, locais fora do espaço de trabalho, bancos de dados ou serviços externos. As diferenças finais também não revelam uma operação que alterou algo e depois restaurou. No relatório, diferencie o que foi conferido do que não foi conferido. Documentação oficial do Git: git status, git diff.

6. Verificações que não podem ser executadas e riscos restantes

Testes e compilações também podem escrever arquivos

Mesmo sem editar código, testes podem escrever arquivos temporários ou snapshots; compilações podem gerar artefatos; e gerenciadores de pacotes podem gravar caches ou dependências. Não suponha que “apenas executar testes” não altera nada. Uma falha sob restrições de somente leitura pode ser o resultado previsto dessas restrições, não um defeito.

Se o relatório concluir que a autorização pode ser contornada sob certas condições, o próximo passo pode ser um plano de reprodução em um ambiente de verificação separado. Melhorar a investigação não exige liberar imediatamente escrita em um banco de produção ou em uma máquina com segredos. Separar o que a inspeção estática estabelece do que exige execução torna o relatório mais útil para decisões.

As restrições de rede do Codex também diferenciam a comunicação de comandos isolados do tráfego de serviços para modelos, autenticação e outros fins. Iniciar em somente leitura não garante que as informações lidas não sejam enviadas ao modelo ou usadas para treinamento. Fonte: escopo de Permissions. Para bloquear a leitura de segredos, consulte arquivos secretos e permissões do Codex. Para configurações de treinamento e retenção, consulte uso para treinamento e privacidade no ChatGPT e Codex.

Resumo

No Codex, especifique read-only e uma política de aprovação. No Claude Code, confira as condições de inicialização de Plan e limite as ferramentas disponíveis se necessário. Depois, forneça uma instrução que encerre a tarefa após a entrega do relatório. As duas ferramentas permitem separar investigação e execução de alterações.

Se restrições rigorosas deixarem dúvidas, receba a lista de verificações não realizadas e uma proposta de validação posterior, em vez de mudar sem cuidado para acesso total. Controlar informações legíveis, ferramentas externas e dados salvos pelo próprio aplicativo exige um projeto separado de proibir edições do código.

Perguntas frequentes

Pedir “Apenas investigue” torna o agente somente leitura?

Comunica o objetivo, mas não altera a capacidade efetiva de edição nem as permissões de comandos. Além da instrução, use o ambiente isolado do Codex ou Plan e as restrições de ferramentas do Claude Code, e confira exatamente o que eles limitam.

Plan do Claude Code garante que nenhum arquivo seja alterado?

Não. Normalmente bloqueia edições do código, mas cria arquivos de planejamento. A documentação oficial também afirma que as restrições de Plan não são impostas em sessões de terminal interativo nas quais é possível ignorar verificações. Não é um modo que proíbe toda gravação no PC.

A política de aprovação “never” do Codex significa acesso sem restrições?

Significa que não há pedidos de aprovação; não desativa o ambiente isolado. Com read-only, o agente investiga dentro dessas restrições. Diferencie isso de iniciar com acesso total.

Uma investigação de somente leitura conclui uma revisão de segurança?

Não. Possíveis problemas encontrados pela leitura do código são diferentes dos resultados reproduzidos por execução. As conclusões continuam limitadas se não for possível conferir configurações, ambiente de execução ou serviços dependentes. Relate as evidências e dúvidas e planeje as demonstrações necessárias em outro ambiente de verificação.

Ask for approval no aplicativo Codex impede edições?

Não por si só. Política de aprovação e restrições de escrita são separadas. Confira Configuration e as permissões ativas, e use restrições equivalentes a read-only para apenas investigar.

Se eu selecionar Plan uma vez no Claude Desktop ou VS Code, ele será aplicado na próxima vez?

Plan escolhido pelo seletor só se aplica àquela conversa ou sessão. Confira o indicador a cada vez. No VS Code, você pode usar a configuração de usuário claudeCode.initialPermissionMode para especificar o modo inicial.