- Zezwalaj na odczyt i znane testy, pytaj o zapis, instalacje i sieć, zakazuj plików z sekretami i poleceń destrukcyjnych.
- Reguły mają składnię Narzędzie(wzorzec), a gwiazdka po podpoleceniu ogranicza zakres.
- Tryb pomijający pytania stosuj tylko w izolowanych środowiskach, takich jak kontener lub maszyna wirtualna.
W artykule o tym, kiedy agent ma pytać, ustaliłem zasadę: o zgodzie decydują skutki i odwracalność czynności. Tu przekładam ją na konkretną listę dla agenta kodującego i na reguły, które można zapisać w Claude Code. Traktuj tabelę jako punkt wyjścia i dopasuj do własnego projektu.
Lista czynności z propozycją polityki
| Propozycja | Dlaczego | |
|---|---|---|
| Czytanie plików projektu | Zezwól | Odwracalne, małe skutki |
| Uruchamianie znanych testów | Zezwól | Powtarzalne, kontrolowane polecenie |
| Edycja plików | Pytaj lub tryb akceptowania edycji na osobnej gałęzi | Odwracalne dzięki Git |
| Instalowanie pakietów | Pytaj | Kod z zewnątrz, ryzyko łańcucha dostaw |
| Dostęp do sieci | Pytaj lub wąska lista domen | Wyciek danych, treści z nieznanych źródeł |
| Czytanie pliku z sekretami | Zakazuj | Klucze nie powinny trafiać do kontekstu |
| Wypychanie zmian i wdrożenie | Pytaj zawsze | Skutki poza twoim komputerem |
| Usuwanie danych, polecenia destrukcyjne | Zakazuj lub pytaj zawsze | Często nieodwracalne |
Dokument OWASP o nadmiernej sprawczości wymienia trzy źródła problemu: za dużo funkcji, uprawnień i autonomii. Każdy wiersz tabeli odpowiada jednemu z nich: zawężasz funkcje (sieć, instalacje), uprawnienia (pliki z sekretami) i autonomię (wypychanie, usuwanie).
Składnia reguł w Claude Code
Strona o uprawnieniach opisuje format Narzędzie lub Narzędzie(wzorzec). Sama nazwa, na przykład Bash, obejmuje wszystkie użycia narzędzia, a jako reguła zakazu usuwa je z kontekstu modelu. Z wzorcem zawężasz: Bash(npm run build) dopasowuje dokładnie to polecenie, Read(./.env) odczyt pliku .env w bieżącym katalogu, a WebFetch(domain:example.com) pobieranie z jednej domeny. W regule Bash gwiazdka dopasowuje dowolny tekst, więc jedna reguła może objąć rodzinę poleceń.
Najważniejsza uwaga dotyczy położenia gwiazdki. Claude Code dopasowuje tak, jak zapisano, wszystko przed pierwszą gwiazdką, więc Bash(git log ) zezwala tylko na polecenia git log, a Bash(git ) na każde polecenie git, razem z groźnymi. Dokumentacja ostrzega przy starcie przed regułami zezwolenia z gwiazdką przed podpoleceniem. Kolejność sprawdzania to zakaz, potem pytanie, potem zezwolenie, a pierwsze dopasowanie rozstrzyga, więc węższe zezwolenie nigdy nie otworzy tego, co szerzej zakazano.
Tryby pracy
Oprócz reguł wybierasz tryb. Domyślny pyta przy pierwszym użyciu narzędzia, a tryb akceptowania edycji automatycznie przyjmuje zmiany plików i typowe polecenia na plikach w katalogu roboczym. Tryb planowania pozwala czytać i badać bez edytowania. Tryb automatyczny uruchamia pracę bez rutynowych pytań, ale klasyfikator w tle sprawdza, czy akcje zgadzają się z twoją prośbą. Tryb odmawiający automatycznie blokuje wszystko, co normalnie wywołałoby pytanie, i jest użyteczny dla uruchomień bez nadzoru. Najszerszy, pomijający pytania, dokumentacja zastrzega dla izolowanych środowisk, takich jak kontenery i maszyny wirtualne.
- 01ProjektZacznij w trybie domyślnym na osobnej gałęzi.
- 02ZakazyDopisz reguły dla sekretów i poleceń destrukcyjnych.
- 03ZezwoleniaDodawaj tylko znane, wąskie polecenia.
- 04HookDla twardych warunków użyj hooka PreToolUse.
- 05Tryb bez pytańTylko w kontenerze lub maszynie wirtualnej.
- 06PrzeglądCo miesiąc sprawdź listę reguł.
Trzy przykładowe scenariusze
Pierwszy: nowe repozytorium znalezione w internecie. Nie znasz kodu, więc uruchom agenta w trybie planowania, a polecenia i instalacje zostaw na pytaniu. Skrypty instalacyjne i hooki z cudzego projektu mogą wykonać kod na twoim komputerze, więc najpierw je przeczytaj. Drugi: własny projekt, codzienna praca. Tutaj sprawdza się tryb akceptowania edycji na osobnej gałęzi, zezwolenie na uruchamianie testów i zakaz odczytu plików z sekretami. Trzeci: zadanie nocne bez człowieka, na przykład naprawa wielu drobnych błędów. Uruchom je wyłącznie w kontenerze, z ograniczoną siecią i kluczem o minimalnych uprawnieniach, a rano przejrzyj dziennik i różnicę zmian, zanim cokolwiek trafi do głównej gałęzi. We wszystkich trzech scenariuszach zasada jest ta sama: im mniej wiesz o środowisku, tym węższe powinny być uprawnienia, a im trudniej cofnąć działanie, tym bardziej prawdopodobne, że powinien je zobaczyć człowiek.
Gdy reguła to za mało
Reguły i tryby są egzekwowane przez program, ale nie wyrażą każdego warunku. Do bardziej złożonych przypadków służą hooki, na przykład skrypt sprawdzający polecenie przed wykonaniem. Pamiętaj, że sam CLAUDE.md jest kontekstem, a nie blokadą; opisuję to w tekście o konfiguracji Claude Code. Dla agentów uruchamianych bez człowieka obok reguł ustaw piaskownicę, ogranicz sieć i zapisuj dziennik. Listę zasad uzupełnia hasło słownika o agencie.
Stan wiedzy: 20 października 2026. Nazwy trybów i składnia reguł mogą się zmienić; sprawdź bieżącą dokumentację.