Содержание
Селектор «Permission Mode» рядом с полем ввода в Claude Code — тот самый, что вы переключаете клавишами Shift+Tab, — определяет, как часто Claude приостанавливается и спрашивает разрешение, прежде чем отредактировать файл или выполнить команду. Больше подтверждений — безопаснее; меньше — Claude работает дольше и без перерывов.
В этом руководстве разбираем, что такое режимы разрешений, чем отличаются шесть режимов, как их переключать, как работает auto mode и как пользоваться всем этим безопасно. Вы поймёте, что именно означает каждый из пяти пунктов селектора в настольном приложении: Manual / Accept edits / Plan / Auto / Bypass permissions (в прежних версиях они назывались Ask permissions / Accept edits / Plan mode / Auto mode / Bypass permissions).
Регулируйте, как часто Claude спрашивает
Больше контроля (безопаснее) ⟷ больше автономии (без перерывов)
1. Что такое режимы разрешений
Когда Claude хочет отредактировать файл, выполнить команду оболочки или сделать сетевой запрос, как часто ему нужно останавливаться и просить вас подтвердить действие? Именно этим и управляют режимы разрешений. В самом строгом из них, Manual (значение в настройках — default), Claude приостанавливается перед каждым таким действием и сначала спрашивает (источник: официальная страница Claude Code «Choose a permission mode»).
Более строгие режимы проверяют каждое действие по мере его появления (безопаснее, больше запросов). Более свободные режимы дают Claude работать долго и без перерывов, отчитываясь по завершении (быстрее, меньше запросов). Суть в том, чтобы выбирать больше контроля для чувствительных задач и меньше прерываний, когда вы доверяете выбранному направлению.
В каком режиме стартует сессия, зависит от того, как вы запускаете Claude Code, и от его версии. Начиная с v2.1.283 интерактивные сессии, запущенные в терминале или через VS Code, стартуют в Auto (auto mode) на любом тарифе и у любого провайдера (включая тарифы Enterprise, API-ключи Claude Console и Amazon Bedrock; по состоянию на 5 октября 2026 г.). До v2.1.283 в Auto стартовали только тарифы Pro, Max и Team, а всё остальное — в Manual. claude -p, Agent SDK и сессии, где какой-либо файл настроек задаёт disableAutoMode равным "disable", стартуют в Manual — как и сессии, не отвечающие требованиям auto mode (§4). Первая сессия сразу после установки или обновления может стартовать в другом режиме. Флаг запуска или defaultMode в файле настроек имеют приоритет.
🛡️ Защищённые пути — особый случай: запись в небольшой набор критичных путей (.git, .claude, файлы конфигурации оболочки и т. п.) никогда не одобряется автоматически вне Bypass permissions: в Manual и Accept edits появляется запрос, в Auto её проверяет классификатор, а dontAsk её отклоняет (единственное другое исключение — Plan в терминальной сессии, запущенной с доступным bypass). Это страховка от порчи состояния репозитория или собственной конфигурации Claude.
2. Шесть режимов (dontAsk нет в переключателе)
В селекторе настольного приложения перечислены пять режимов (Manual / Accept edits / Plan / Auto / Bypass permissions); Auto и Bypass permissions появляются, только когда выполнены их условия. Вместе с dontAsk, который не появляется в цикле и задаётся флагом запуска или в настройках, получаются шесть режимов из официальной документации. Они различаются тем, что выполняется без запроса.
💡 Интерфейс Claude Code не локализован на русский язык, поэтому названия режимов отображаются на английском (Manual / Accept edits / Plan / Auto / Bypass permissions) — по состоянию на 5 октября 2026 года.
Спрашивает обо всём, кроме чтения
Чтение одобряется автоматически; правки файлов и команды запрашивают подтверждение каждый раз. Для чувствительных задач или когда хотите видеть каждое действие. Стартовый режим в claude -p, в Agent SDK и там, где Auto отключён или недоступен.
Автоматически одобряет правки в рабочем каталоге
Автоматически одобряет правки файлов и распространённые команды файловой системы (mkdir/touch/rm/rmdir/mv/cp/sed) внутри рабочего каталога. Пути вне области, защищённые пути, удаление критичных путей и прочие команды по-прежнему запрашивают подтверждение. Подходит, чтобы потом просмотреть изменения через git diff.
Планирует без редактирования
Читает и изучает, но не редактирует исходный код. Там, где доступен Auto, классификатор проверяет команды для изучения и пропускает одобренные. Сначала предлагает план; после его одобрения переключается в выбранный вами режим. Подходит, чтобы разобраться в кодовой базе перед изменениями.
Почти без запросов, но с проверками безопасности
Тот самый auto mode. Отдельная модель-классификатор блокирует опасные действия, а всё остальное выполняется без запросов. Снижает усталость от подтверждений на длинных задачах. Стартовый режим в терминале и VS Code (с v2.1.283 — на всех тарифах; раньше — только на Pro, Max и Team). Имеет требования (см. §4).
Почти всё без проверок (опасно)
Запросы и проверки безопасности отключены (в немногих случаях, например по правилам ask и при удалении критичных путей, запрос всё же появляется). В настольном приложении и в VS Code удаление критичных путей отклоняется без запроса (начиная с v2.1.309). Только изолированные контейнеры/ВМ. Никакой защиты от prompt injection. См. безопасность режима bypass.
Выполняются только предварительно одобренные инструменты
Шестой режим, который никогда не появляется в цикле Shift+Tab. Выполняет только то, что не требует одобрения (чтение в рабочих каталогах, команды только для чтения), и то, что заранее одобряют ваши правила allow; всё, что потребовало бы подтверждения, автоматически отклоняется. Для CI и закрытых сред.
Как выглядит меню в настольном приложении (по состоянию на 5 октября 2026 года)
Если на вкладке Code настольного приложения открыть селектор рядом с кнопкой отправки, режимы идут в следующем порядке. Русского языка в интерфейсе нет, поэтому меню отображается на английском; описания под названиями приведены в точности как на экране (в скобках — перевод), а у Auto стоит отметка «Recommended» (рекомендуется). Проверено автором в версии для Windows.
| Название в меню | Описание в меню (как на экране) | Значение в настройках |
|---|---|---|
| Auto (Recommended) | Claude handles permission decisions (Claude сам принимает решения о разрешениях) | auto |
| Manual | Always ask before making changes (всегда спрашивать перед изменениями) | default |
| Accept edits | Automatically accept all file edits (автоматически принимать все правки файлов) | acceptEdits |
| Plan | Create a plan before making changes (составить план перед изменениями) | plan |
| Bypass permissions | Accepts all permissions (принимает все разрешения) | bypassPermissions |
- Выбранный режим запоминается для каждой папки: следующая сессия в той же папке начнётся в том же режиме, и этот выбор важнее
defaultModeиз файла настроек. Исключение — Plan: он действует только в текущей сессии (официальная документация «Desktop application»). - Bypass permissions появляется, только если разрешить его в настройках: на Pro и Max включите «Allow bypass permissions mode» в разделе «Settings → Claude Code». На Team и Enterprise такого переключателя нет — это решает политика организации. Если Claude Code запущен от root, режим недоступен.
- Auto появляется, только когда выполнены условия для его использования (§4). Отдельного переключателя в настройках для него нет.
- dontAsk в настольном приложении выбрать нельзя (только в CLI).
- В старой англоязычной вкладке Code режимы назывались Ask permissions / Auto accept edits / Plan mode.
3. Как переключать (Shift+Tab и другие способы)
В терминале (CLI) самый быстрый способ — Shift+Tab. В рамках сессии он циклически переключает Manual → Accept edits → Plan; если вы в Auto, первое нажатие переводит в Manual (текущий режим показан в строке состояния, например ⏸ manual mode on). В VS Code нажмите на индикатор режима в нижней части поля ввода, в настольном приложении используйте селектор режима рядом с кнопкой отправки, на claude.ai — выпадающий список рядом с полем ввода.
Auto и Bypass permissions входят в цикл условно — после Plan, в порядке Bypass permissions → Auto. Auto появляется, когда выполнены его требования, и переключение на него не требует подтверждения. Bypass permissions доступен, только если вы запустились с --permission-mode bypassPermissions, --dangerously-skip-permissions или --allow-dangerously-skip-permissions (последний лишь добавляет режим в цикл, не включая его) или если defaultMode равен bypassPermissions в пользовательских или управляемых настройках. dontAsk в цикле не появляется никогда — его задают через --permission-mode dontAsk или в настройках.
В Manual и Accept edits запрос разрешения для команды Bash может предложить вариант «Yes, and switch to auto mode». Он одобряет команду и переключает сессию в Auto (только там, где Auto доступен).
# Задать режим при запуске
claude --permission-mode plan
claude --permission-mode acceptEdits
# Bypass требует отдельного флага (только изолированные среды)
claude --dangerously-skip-permissionsЧтобы всегда стартовать в одном и том же режиме, задайте режим по умолчанию в файле настроек.
// .claude/settings.json
{
"permissions": {
"defaultMode": "acceptEdits"
}
}* Значения auto и bypassPermissions для defaultMode не действуют из настроек проекта (.claude/settings.json, .claude/settings.local.json). С auto там сессия стартует во встроенном режиме по умолчанию (defaultMode из пользовательских настроек при этом тоже не используется), с bypassPermissions — в Manual. Эти два значения указывайте в пользовательских настройках (~/.claude/settings.json) или в управляемых настройках организации. Расширение VS Code вообще не читает настройки проекта для стартового режима — там используйте его настройку claudeCode.initialPermissionMode.
4. Auto mode подробно
Auto mode убирает почти все запросы на подтверждение — но это не вседозволенность. Перед каждым действием отдельная модель-классификатор проверяет его и блокирует всё, что выходит за рамки вашего запроса, затрагивает неизвестную инфраструктуру или, похоже, спровоцировано вредоносным содержимым, которое прочитал Claude.
⚠️ Не доверяйте вслепую: официальная документация предупреждает, что auto mode сокращает число запросов, но не гарантирует безопасность. Используйте его там, где вы доверяете общему направлению, а не как замену проверке на чувствительных операциях.
Требования: подходят все тарифы. В Team и Enterprise auto mode доступен по умолчанию, но администраторы могут отключить его для всей организации, задав permissions.disableAutoMode равным "disable" в управляемых настройках. Через Anthropic API и Claude Platform on AWS модель должна быть Opus 4.6 или новее, Sonnet 4.6 или новее либо моделью Fable; в Amazon Bedrock, Google Cloud, Microsoft Foundry и в сессиях с входом через Claude apps gateway поддерживаются только Sonnet 5 или новее, Opus 4.7 или новее и модели Fable (Sonnet 4.5, Opus 4.5, Haiku и т. п. не поддерживаются ни у одного провайдера). Если он сообщает «unavailable», сначала проверьте эти требования, а затем — не задан ли disableAutoMode в каком-либо файле настроек. Anthropic также может временно отключить его на стороне сервера; это действует до конца сессии, поэтому позже начните новую.
✅ Разрешено по умолчанию
Операции с файлами в рабочем каталоге, установка зависимостей, объявленных в lock-файлах или манифестах, чтение .env и отправка учётных данных в соответствующий им API, HTTP-запросы только для чтения, push в любую ветку репозитория, в котором вы работаете (включая ветку по умолчанию; ветки, чьё имя указывает на цель деплоя, например production или gh-pages, оцениваются отдельно).
⛔ Блокируется по умолчанию
curl | bash, отправка чувствительных данных на внешние эндпоинты, продакшен-деплои/миграции, выдача прав IAM или доступа к репозиторию, force-push, отбрасывание незакоммиченных изменений через git reset --hard и подобные команды, terraform destroy и другое.
Границы, которые вы задаёте в диалоге (например, «не делай push», «не деплой, пока я не проверю»), тоже воспринимаются как сигнал к блокировке. Но они не сохраняются как правила — классификатор каждый раз перечитывает их из переписки, поэтому граница может потеряться, если уплотнение контекста удалит это сообщение. Для жёсткой гарантии добавьте правило deny. Если режимы задают базовую частоту запросов Claude, то правила разрешений Claude Code (allow/ask/deny) дают более тонкий контроль на уровне отдельных инструментов. Если классификатор заблокирует 3 действия подряд или 20 в сумме, auto mode приостанавливается, и Claude Code снова начинает спрашивать; одобрив запрошенное действие, вы возобновляете auto mode (эти пороги не настраиваются).
Если заблокировано вполне законное действие (ложное срабатывание), откройте /permissions, перейдите на вкладку Recently blocked (до v2.1.314 — Recently denied), выберите действие и нажмите r, чтобы Claude мог повторить его. Адрес, который нужен Claude на протяжении всей задачи (реестр пакетов, внутренний домен и т. п.), добавьте в autoMode.environment; команду, которую впредь нужно выполнять без проверки, — в правило allow; если это разовое действие, опишите своё намерение в следующем сообщении и дайте Claude повторить попытку. Сообщение is temporarily unavailable (например, с (timed out)) означает, что классификатор не смог вынести вердикт, — это не то же самое, что вынесенный отказ. Оно не попадает в Recently blocked, поэтому подождите несколько секунд и повторите (если (timed out) повторяется, проверьте подключение); менять настройки не нужно. О ложных срабатываниях можно сообщить через /feedback (официальная документация: Configure auto mode и Error reference, по состоянию на 29 сентября 2026 года). В конце сентября 2026 года на GitHub появилось несколько issue о том, что работа останавливается из-за ложных срабатываний или тайм-аутов классификатора (например, #95996, #96077, #96662).
Если Claude Code останавливается с сообщением <model>'s safeguards flagged this message, это не классификатор Auto mode: так срабатывают классификаторы безопасности самой модели, реагирующие на диалог, и к режимам разрешений этот механизм отношения не имеет (что делать в этом случае: safeguards flagged this message: что это значит и что делать).
5. Какой режим когда выбирать и безопасность
Выбирайте по компромиссу «контроль против автономии». Краткая шпаргалка:
| Режим (отображение) | Когда использовать |
|---|---|
| Manual (default) | Начало работы / чувствительные задачи. Когда хотите одобрять каждое действие |
| Accept edits (acceptEdits) | Итерации над кодом, который вы проверяете; после смотрите diff |
| Plan (plan) | Разобраться в кодовой базе и определиться с дизайном до изменений |
| Auto (auto) | Длинные задачи, где вы доверяете направлению; снижение усталости от запросов |
| Bypass permissions (bypass) | Только изолированные контейнеры/ВМ, где Claude не навредит хосту |
| dontAsk | CI / закрытые среды, где вы заранее определяете, что Claude может делать |
⚠️ Не хватайтесь за Bypass permissions без необходимости: он не даёт защиты от prompt injection или непреднамеренных действий. Ответ на «запросы раздражают» — это auto mode (с фоновыми проверками безопасности), а не bypass. Учтите, что hooks работают и в режиме bypass и могут заблокировать опасные операции. О том, почему bypass иногда всё же спрашивает, см. руководство по безопасности и эту статью.
* Названия режимов и их поведение соответствуют официальной документации Claude Code (Choose a permission mode); отображаемые названия соответствуют настольному приложению (по состоянию на 5 октября 2026 года; проверено на экране и по файлу переводов claude.ai). Требования и поведение могут меняться — сверяйтесь с официальной документацией и своим приложением, чтобы получить актуальные данные.
Учтите: в облачных сессиях (claude.ai/code) режимы с теми же названиями ведут себя иначе. В облаке редактирование файлов разрешено в любом режиме, поэтому Accept edits фактически становится обычным режимом и останавливается на каждой команде вроде npm install или сборки. Чтобы работать без подтверждений, выбирайте Auto. Реальный случай, на котором я застрял, разобран в статье Безопасная настройка облачных сессий Claude Code: схема, которая защищает продакшен, и 5 мест, где я застрял.
6. Связь с effort и частые путаницы
Рядом с полем ввода расположены два больших селектора: «Permission Mode» и «Effort». Они отвечают за разные вещи.
Permission mode = «насколько часто спрашивает»
Компромисс «безопасность против автономии». Как часто Claude приостанавливается, чтобы спросить разрешение.
Effort = «насколько усердно думает»
Компромисс «скорость против сообразительности». Сколько размышлений и токенов уходит на ответ (подробнее).
Они также связаны между собой. Одобряя план, вы выбираете, продолжить ли в Auto или одобрять каждую правку вручную (где Auto недоступен, этот вариант автоматически принимает правки). А если объединить «Ultracode» из настроек effort (с v2.1.284 это не ступень effort, а переключатель, который включается на любом уровне) с Auto, запрос на выполнение рабочего процесса исчезает полностью, даже при первом запуске, и Claude может пройти задачу от начала до конца (в одном Auto этот запрос появляется только при первом запуске). Есть и настройка, при которой план составляет Opus только в plan mode, а одобренную реализацию берёт на себя Sonnet (Что такое opusplan в Claude Code?).
Частая путаница — «запросы раздражают, значит, буду использовать bypass». Это рискованно — правильный ответ auto mode (с фоновыми проверками). Ещё одна: «plan mode безопасен, значит, можно всё». Plan mode означает лишь «без правок исходного кода»; команды для изучения всё равно выполняются. Там, где доступен Auto, одобренные классификатором команды выполняются без запроса; в остальных случаях всё, кроме команд только для чтения, требует подтверждения. А в терминальной сессии, запущенной с доступным bypass, правки и команды, которые Claude пробует во время планирования, проходят вообще без запросов.
Итоги
Три главных вывода о режимах разрешений Claude Code.
- Что это: настройка того, как часто Claude спрашивает разрешение перед редактированием или выполнением команд. Переключайте с помощью
Shift+Tabили селектора. - Режимы: Manual (default) / Accept edits (acceptEdits) / Plan (plan) / Auto (auto) / Bypass permissions (bypass), плюс dontAsk, который задаётся флагом или в настройках (всего шесть). Терминал и VS Code стартуют в Auto (с v2.1.283 — на всех тарифах; раньше — только на Pro, Max и Team). Запись в защищённые пути никогда не одобряется автоматически вне bypass.
- Какой когда: по умолчанию — для чувствительных задач, acceptEdits — для итераций, plan — чтобы сначала разобраться, auto — для длинных задач (с фоновыми проверками), bypass — только в изолированных средах.
Permission mode управляет «безопасностью», effort управляет «сообразительностью» — освойте оба, и Claude Code будет работать безопасно и без сбоев. Дополните это hooks, чтобы добавить собственные правила безопасности, и песочницей, которая ограничивает доступ команд на уровне ОС, чтобы сократить число подтверждений, сохраняя безопасность.
FAQ
В. Запросы раздражают. Какой режим использовать?
О. Начиная с v2.1.283 терминал и VS Code уже стартуют в Auto (auto) на любом тарифе, так что запросов должно быть немного. Если вы стартуете в Manual, начните с Accept edits (acceptEdits), чтобы автоматически одобрять правки в рабочем каталоге; чтобы сократить запросы ещё сильнее, переключитесь на Auto — почти без запросов, но с фоновыми проверками безопасности. Не используйте Bypass permissions вне изолированной среды.
В. Чем Auto (auto mode) отличается от Bypass permissions?
О. В auto mode отдельная модель-классификатор блокирует опасные действия, а всё остальное выполняется без запросов. Bypass permissions отключает проверки безопасности и выполняет почти всё, поэтому он только для изолированных контейнеров/ВМ. Для повседневной работы выбирайте Auto, а не bypass.
В. Почему я не могу выбрать Auto (auto mode)?
О. Сначала проверьте модель: через Anthropic API нужна Opus 4.6 или новее, Sonnet 4.6 или новее либо модель Fable; в Bedrock и похожих провайдерах работают только Sonnet 5 или новее, Opus 4.7 или новее и модели Fable (Sonnet 4.5, Haiku и т. п. не поддерживаются). Затем проверьте, не отключил ли его администратор или какой-либо файл настроек через disableAutoMode. Если Anthropic отключил его на стороне сервера, позже начните новую сессию. Как только аккаунт подходит, режим появляется в селекторе и в цикле Shift+Tab.
В. Что именно «безопасно» в plan mode?
О. Он не редактирует ваш исходный код. Он читает, изучает и предлагает план; после одобрения плана происходит переключение в выбранный вами режим и начинается выполнение. Используйте его, чтобы определиться с подходом до внесения изменений. Одна оговорка: в терминальной сессии, запущенной с доступным bypass, plan mode не останавливает правки.
В. Можно ли стартовать в определённом режиме?
О. Да. Передайте флаг запуска, например claude --permission-mode plan, или задайте permissions.defaultMode в файле настроек. Учтите, что auto и bypassPermissions действуют только из пользовательских настроек (~/.claude) или управляемых настроек организации, а не из настроек проекта.
