Безопасность и управление ИИ: полное руководство

Если положить несколько сайтов в один репозиторий и разместить CLAUDE.md или AGENTS.md в папке каждого сайта, нет гарантии, что эти правила будут прочитаны до начала работы. Claude Code загружает CLAUDE.md ниже папки запуска, когда Claude читает, записывает или редактирует файл в этой папке, а Codex читает только файлы AGENTS.md от корня проекта до папки запуска — один раз в начале каждого запуска. В статье по пунктам сравнивается, как оба инструмента загружают эти файлы и как проверить, загрузились ли они (/context показывает только загруженное при запуске), а затем разбираются проверка, которая останавливает выпуск, если изменилось что-то за пределами закреплённой папки, и настройки инструментов, блокирующие запись. Также показано, как различать репозитории с похожими названиями по удалённому URL и корневому коммиту, и команды, которые показывают только имена переменных окружения (проверено 1 ноября 2026 года).

Разберите, как переключить Codex в режим только для чтения, а Claude Code в режим Plan в приложении, IDE, вебе, на мобильных устройствах и в CLI. Узнайте различия read-only и Plan, область действия и сохранение настроек, ограничение инструментов, готовый текст запроса и проверку различий.

Чем отличаются запрет чтения, рабочая среда, согласование и сетевые ограничения Codex. Разбор Permission profiles, правил для .env, переменных окружения и ограничений ОС. Как проверить запрет на тестовых файлах без настоящих секретов.

Перед выбором Codex Security сравните локальный плагин, Cloud с подключением к GitHub и отдельный CLI. Разберите отдельную оплату Cloud, условия бесплатных сканирований, первую настройку и запрос, затраты Standard и Deep, охват проверки и доказательства воспроизведения. Также объясним, какой API-ключ выбирает CLI и как работает лимит оценочной стоимости.

Моды Claude Code (Claude Mods) — это плагины, которые запускают функции на JavaScript или TypeScript внутри Claude Code; официально они появились в v2.1.287 1 октября 2026 года. В статье по оригинальному тексту официальной документации, проверенному 5 октября того же года, объясняется, как устроен мод из трёх файлов, чем он отличается от привычных хуков в settings.json, навыков и MCP, что умеют моды — рисовать панели в интерфейсе, создавать команды, срабатывающие без ожидания, и придерживать вызов инструмента, чтобы спросить пользователя, — и какие у них ограничения, например по времени работы. Мод работает с вашими правами вне песочницы и может переопределять решения о разрешениях. Таблица показывает, что на Team или Enterprise либо на компьютере с managed settings правила deny действуют, но на личном тарифе мод может одобрить даже вызовы, запрещённые правилом deny. Также разобраны результаты чтения кода трёх официальных примеров модов от Anthropic с подсчётом используемых API, как читать claude plugin validate перед установкой, как попробовать моды, поручить создание мода Claude и отключить их, где работают моды и какие встроены, а также чек-лист перед установкой.

Можно поручать разработку облачным сессиям Claude Code, не открывая нового пути в продакшен: держите код в приватном репозитории GitHub, установите Claude GitHub App только на этот репозиторий, а продакшен-сервер пусть лишь забирает код по deploy key только для чтения. Эта статья — мой отчёт о том, как 4 октября 2026 года я начал пользоваться облачными сессиями в отдельном проекте разработки, сверенный с оригинальным текстом официальной документации на эту дату. В ней объясняется, что claude --cloud без GitHub отправляет историю всех веток и незакоммиченные изменения в отслеживаемых файлах (в Windows — независимо от имён файлов); как быть, если подключён другой аккаунт GitHub; что такое «Only select repositories» и почему в списке видны публичные репозитории; почему для каждого проекта стоит создавать новое окружение, ведь его переменные окружения может прочитать любой, кто им пользуется; что локальные файлы облаку не видны; и что Accept edits в облаке останавливается на каждой команде, а Auto работает дальше сама. Всё это сведено в чек-лист перед стартом. Кроме того, я разбираю реальный случай, когда одно указание в автономном режиме израсходовало $226 ограниченного по времени кредита, прежде чем я велел остановиться на полпути, объясняю, почему кредит тает так быстро, и делюсь способами сократить расходы.

Даже на личном Pro разговоры и код в ChatGPT и Codex по умолчанию используются для обучения. Настройка ChatGPT действует и для новых задач Codex, а обучение на средах включается отдельным переключателем Include environments. В статье разобрано, какие данные не стоит вводить, что делать, если ввели секреты или данные клиентов, и какие исключения есть при удалении и оценке.

Используются ли ваши диалоги в Claude Code для обучения моделей ИИ, зависит от тарифа и настройки аккаунта. На личных тарифах Free, Pro и Max данные идут в обучение только при включённом параметре улучшения моделей в настройках конфиденциальности claude.ai (хранятся 5 лет), а его выключение останавливает обучение (хранятся 30 дней). Настройка принадлежит аккаунту, поэтому менять файлы настроек на компьютере, где запущен Claude Code, не нужно. На основе оригинального текста страницы документации Claude Code «Data usage», Anthropic Privacy Center и страницы Claude Platform «API and data retention» по состоянию на 4 октября 2026 года статья объясняет, где находится настройка и как её выключить, почему отказ не удаляет данные из прошлого обучения, как обрабатываются оценки 👍👎, /feedback и диалоги, помеченные как нарушения, а также обучение и хранение по тарифам, включая Team, Enterprise, API и Bedrock. Кроме того, разбираем, почему входные и выходные данные API по умолчанию не используются для обучения и удаляются в течение 30 дней, что покрывает ZDR и почему Covered Models, например Fable, требуют хранения 30 дней, какие переменные окружения отключают метрики использования и отчёты об ошибках, отправляемые отдельно от обучения, где на вашем компьютере открытым текстом лежат записи диалогов и как выбрать схему для конфиденциальной работы.

Если Claude Code показывает «API Error: Opus 5.5's safeguards flagged this message» или «safeguards flagged this session», значит, классификатор безопасности, встроенный в модель, среагировал на содержимое разговора и остановил ответ этой модели. В заголовках Issues это также называют «Message flagged by safeguards». Классификаторы работают на стороне сервера и смотрят не только на последнюю фразу, но и на весь разговор, прочитанные файлы и даже CLAUDE.md, поэтому остановить может и обычное сообщение вроде «hi», а Anthropic признаёт ложные срабатывания. По официальному справочнику ошибок, документации о настройке моделей, странице API Refusals and fallback и справочному центру мы разбираем, что означают категории cyber, bio, reasoning_extraction, general_harms и frontier_llm в поле Details, когда Claude Code автоматически переключается на другую модель, а когда просто останавливается, как пользоваться двойным Esc для отката, /clear, /model, --safe-mode и /feedback, расширение CVP 6 октября 2026 года до трёх уровней, которые охватывают и Opus 5.5 и Sonnet 5.5, и как оплачиваются остановленные запросы. Сообщения на GitHub с 22 сентября отделены от официальных объяснений и рассматриваются как неподтверждённые случаи.

2 августа 2026 года остальные положения EU AI Act начали применяться в общем порядке, и вместе с ними поднялась волна утверждений, будто публиковать написанную ИИ статью без пометки теперь незаконно. Короткий ответ: у большинства независимых авторов и корпоративных блогов обязанность раскрытия не возникает. В статье 50(4) прямым текстом сказано, что она не применяется там, где контент прошёл проверку человеком или редакционный контроль, а кто-то несёт редакционную ответственность за публикацию. На этом текст регламента заканчивается; практическое руководство по статье 50 добавляет, что проверка должна быть содержательной и не может сводиться к поверхностным вопросам или формальному одобрению, поэтому автопостинг текста, который никто не читал, под изъятие вряд ли подходит. Дальше разбираем, почему у поставщика и внедряющей стороны обязанности совершенно разные, почему раскрытие ИИ-текста зависит от цели публикации, а не от темы, что требуется по дипфейкам и как смягчены художественные и сатирические произведения, зачем нужно уведомление о чат-боте, почему машиночитаемая маркировка вроде C2PA Content Credentials остаётся обязанностью поставщика и что означают сроки 2 декабря 2026 года и 2 февраля 2027 года, — всё это в пределах того, что удалось подтвердить по тексту регламента и материалам Европейской комиссии.

На вопрос «если ИИ и так правит всё напрямую, нужна ли ещё админка?» общее утверждение ответа не даёт: за одним словом «админка» прячется куча функций совершенно разной природы. Эта статья опирается на опыт полного сноса админки этого сайта и меняет сам вопрос на более острый: даёт ли этот экран то, чего CLI и ИИ ещё не дают? Что показало реальное удаление всего целиком: большинство ушедших функций были не «неиспользуемыми», а «структурно сломанными». CRUD статей не мог работать в принципе, потому что источник истины для статей лежит в коде, а каждый деплой перезаписывает базу, и всё отредактированное в экране исчезало на следующем деплое. Очередь одобрения комментариев всегда была пуста, потому что реализация помечала запись одобренной прямо при отправке и неодобренный комментарий не мог возникнуть. Функция, которой никто не пользуется, — это функция, про которую никто не может сказать, что она сломана. Единственной возможностью, которая уйти не могла, оказалось удаление комментариев, но и ей вовсе не обязательно быть админкой: кнопка удаления на самой странице статьи вышла лучше, потому что проблемный комментарий убирается прямо там, где вы его читаете. Решение сводится к шести вопросам. Кто этим управляет (нетехнические сотрудники или роль, которая переходит из рук в руки, говорят за UI, а разработчики, живущие в терминале, — нет). Обратимо ли это (необратимым действиям нужен шлюз). Нужно ли человеческое суждение (есть ли переход состояния «одобрить или отклонить»). Нужно ли разделять права. Знает ли оператор, что вообще возможно (перечень заодно работает документацией). Есть ли аудиторский след. Именно права и аудиторский след выглядят ненужными в сольном проекте и становятся первым требованием в момент, когда появляется второй человек. Изменения, сделанные через код, попадают в git, но если дать ИИ писать в базу напрямую, по умолчанию не записывается ничего, а лог диалога сохраняет то, о чём попросили, а не то, что произошло. Из шести осей иначе весит только обратимость. 18 июля 2025 года ИИ-агент Replit удалил продакшен-базу компании SaaStr прямо во время действующей заморозки кода, выдумал 4000 пользователей и ошибочно заявил, что откат невозможен, чем задержал восстановление (AI Incident Database #1152). Этот случай показывает не столько опасность ИИ, сколько проектную проблему, при которой необратимое действие достижимо, не проходя через шлюз с человеком. Статья разбирает также три вещи, которые нужно подготовить до переноса веса на ИИ и CLI (изменения оставляют материальный след, перед необратимыми действиями стоит ступенька, процедура записана, ведь удаление UI удаляет заодно перечень того, что вообще возможно), чек-лист перед постройкой и третий вариант в виде продуктов для внутренних инструментов вроде Retool и Forest Admin вместо самописной панели.

Dispatch — это функция, где вы отправляете указание со смартфона, а Claude выполняет работу на вашем собственном компьютере (бета, тарифы Pro и Max). Работает это не в облаке: двигается ваша реальная машина, и из одного этого факта растут и вся польза, и вся опасность. Официальная справка говорит, что вы можете написать Claude со смартфона, чтобы он поработал на вашем настольном компьютере, используя те же коннекторы, плагины и доступ к файлам, которые вы уже настроили в Cowork, внутри того, что Anthropic называет одним непрерывным диалогом, доступным с любого из двух устройств. Для работы нужно, чтобы компьютер не спал, а десктопное приложение было открыто; управление компьютером поддерживается только на macOS и Windows, а на Linux его нет. Механически всё идёт по трём уровням приоритета: коннектор, если он доступен, работа в браузере, если коннектора нет, и прямые действия на экране как последнее средство, причём по ходу дела делаются скриншоты, чтобы понять происходящее на экране. Оценка начинается после этого. Места, где Claude останавливается, заложены в конструкцию: управление компьютером выключено по умолчанию и включается в разделе «Настройки», «Основные»; разрешение запрашивается для каждого нового приложения; безвозвратное удаление файла требует явного разрешения; а инвестиционные и торговые платформы вместе с криптовалютными приложениями закрыты по умолчанию. Но есть и места, где он не останавливается. Отдельные действия внутри уже разрешённого приложения с вами не согласовываются, и официальная формулировка гласит, что Claude кликает, печатает и перемещается по вашему экрану напрямую, без тех проверок разрешений, которые ограничивают остальные инструменты Cowork. Документация добавляет, что между Claude и тем, что на вашем экране, нет никакой песочницы, и что действия, предпринятые в одном приложении, могут повлиять на другие приложения. Самый большой риск — внедрение промпта, и Anthropic описывает его собственными словами: содержимое веба является основным каналом для атак через внедрение промпта, а подменённое указание, неожиданная команда или фишинговая ссылка, открытая в вашем браузере, могут вылиться в цепочку действий, которые трудно или невозможно отменить. Anthropic заявляет, что сканирует активации модели для выявления такого поведения, но это снижает вероятность, а не отменяет необходимость провести собственную черту, и рекомендации по-прежнему советуют переключаться на ручное подтверждение всякий раз, когда задача затрагивает чувствительные файлы, аккаунты или сайты. Границу Anthropic называет прямо: не давайте разрешение на управление компьютером чувствительным приложениям — банковским, медицинским, государственным, — и избегайте финансовых счетов, юридических документов, медицинской информации и персональных данных. Статья разбирает и сторону телефона. При его потере утекают не данные, хранящиеся на нём, а право отдавать распоряжения вашему компьютеру плюс содержимое продолжающегося диалога. Официальная справка по Dispatch не описывает ни отвязку устройства, ни порядок действий при утере, поэтому средства реагирования приходят со стороны аккаунта: завершение отдельной сессии в разделе «Настройки», «Аккаунт», «Активные сессии»; выход из всех сессий на claude.ai, который недоступен в мобильных приложениях и потому требует веб-браузера; либо просто обрыв со стороны компьютера — закрыть десктопное приложение или дать машине уснуть, и это на деле самый быстрый способ, потому что Dispatch требует, чтобы компьютер не спал, а приложение было открыто. Завершается всё разделением Dispatch и управления компьютером на два разных переключателя, отличием обоих от agent view в Claude Code (который официальная документация тоже называет dispatch) и практической чертой: начинайте с работы, которую можно отыграть назад.