Настройка режима auto

• Добавить контрольную точку человека для отправок и запросов на слияние с помощью permissions.ask
• Определить доверенную инфраструктуру с помощью autoMode.environment
• Создать записи окружения с помощью /auto-mode-setup
• Просмотреть отказы чтобы знать, что добавить дальше

​

Общие границы

​

Добавить контрольную точку человека

{
  "permissions": {
    "ask": [
      "Bash(git push *)",
      "Bash(gh pr create *)"
    ]
  }
}

​

Где классификатор читает конфигурацию

​

Определение доверенной инфраструктуры

• Context slots: описывают вашу организацию, стек и позицию безопасности, чтобы классификатор читал другие правила в вашем контексте. Каждый по умолчанию имеет значение None configured или консервативное предположение, указанное рядом:
  • Organization
  • Primary use of Claude Code: по умолчанию разработка программного обеспечения
  • Cloud provider(s)
  • Repository visibility: репозиторий считается приватным, если только его удаленный хост и имя не указывают иное, или классификатор читает проверку видимости ранее в разговоре, показывающую, что он публичный. В запросах классификатора, отправляемых самим Claude Code, классификатор читает ваши сообщения и команды, которые выполняет Claude, но не их вывод. Доказательство должно быть чем-то, что классификатор может прочитать, например вашим собственным сообщением, в котором репозиторий назван публичным; вывод gh repo view сам по себе не достигает его.
  • Internal sharing / snippet hosting: публичные сервисы вставок и gist рассматриваются как находящиеся вне границы доверия, пока вы не назовете один из них
  • Org-specific CLIs
  • Secrets management
  • CI/CD deploy targets
  • Network posture
  • Host containment: по умолчанию обычная машина разработчика или CI runner с открытым интернетом. Если Claude Code работает в контейнере, виртуальной машине или поде с allow-list исходящих соединений или соседями, которых он не должен трогать, назовите разрешенные хосты, должна ли быть доступна конечная точка метаданных облака и какой облачный проект, кластер или реестр использует задача и под какой идентичностью. Пока эта запись не назовет эту идентичность, классификатор блокирует запросы на учетные данные самого хоста. Требует Claude Code v2.1.257 или позже
  • Protected deployment namespaces / environments: возвращается к эвристике Sensitive remote targets, пока вы их не назовете
  • Data retention / declassification
• Trust slots: назовите то, что классификатор рассматривает как находящееся внутри вашей границы. Слоты — это Trusted repo, Source control, Trusted internal domains, Trusted cloud buckets, Key internal services и Internal package registry. Записи репозитория и управления исходным кодом по умолчанию указывают на рабочий репозиторий и его настроенные удаленные хосты. Каждый другой слот доверия по умолчанию имеет значение None configured, поэтому ничего больше не является доверенным, пока вы это не добавите. Видимость репозитория охватывает только конфиденциальный материал: приватный репозиторий является приемлемым пунктом назначения для конфиденциального материала, но сделание репозитория приватным никогда не очищает секреты или личные или доверенные данные в нем, и классификатор рассматривает содержимое, перенесенное, переориентированное или впервые прочитанное из-за пределов рабочего репозитория, как не собственную работу этого репозитория.
• Sensitivity slots: назовите то, что защитные правила рассматривают как высокий риск. Слоты — это Sensitive data locations & audiences, Sensitive remote targets и Protected IaC scopes. Каждый по умолчанию использует широкую эвристику, например рассматривая любой хост или пространство имен, чье имя содержит prod или production, как чувствительный удаленный целевой объект, поэтому защитные правила активны до того, как вы что-либо настроите. Именование конкретных целей в слоте чувствительности заставляет эти правила применяться к названным целям вместо эвристики.

{
  "autoMode": {
    "environment": [
      "$defaults",
      "Source control: github.example.com/acme-corp and all repos under it",
      "Trusted cloud buckets: s3://acme-build-artifacts, gs://acme-ml-datasets",
      "Trusted internal domains: *.corp.example.com, api.internal.example.com",
      "Key internal services: Jenkins at ci.example.com, Artifactory at artifacts.example.com"
    ]
  }
}

• Organization: название вашей компании и для чего в основном используется Claude Code, например разработка программного обеспечения, автоматизация инфраструктуры или инженерия данных
• Source control: каждая организация GitHub, GitLab или Bitbucket, в которую разработчики отправляют код
• Cloud providers and trusted buckets: имена бакетов или префиксы, из которых Claude должен иметь возможность читать и писать
• Trusted internal domains: имена хостов для API, панелей управления и сервисов внутри вашей сети, например *.internal.example.com
• Key internal services: CI, реестры артефактов, внутренние индексы пакетов, инструменты для работы с инцидентами
• Internal package registry: приватный npm, PyPI или другой реестр, через который должны маршрутизироваться установки, поэтому установки, которые обходят его для публичного реестра, блокируются
• Sensitive data locations & audiences: бакеты, базы данных или пути, которые содержат личные данные, конфиденциальные бизнес-данные, учетные данные, регулируемые данные или аналогичный чувствительный материал, и аудитории, с которыми данные в каждом месте могут быть общими, поэтому классификатор защищает эти места вместо угадывания из содержимого.
• Sensitive remote targets: пространства имен, хосты или контейнеры, которые считаются производством, поэтому удаленные оболочки и переадресация портов в них требуют вашего явного одобрения
• Protected IaC scopes: ресурсы инфраструктуры, применение или уничтожение которых всегда должно требовать от вас назвать изменение
• Additional context: ограничения регулируемой отрасли, многотенантная инфраструктура или требования соответствия, которые влияют на то, что классификатор должен рассматривать как рискованное

{
  "autoMode": {
    "environment": [
      "$defaults",
      "Organization: {COMPANY_NAME}. Primary use: {PRIMARY_USE_CASE, e.g. software development, infrastructure automation}",
      "Source control: {SOURCE_CONTROL, e.g. GitHub org github.example.com/acme-corp}",
      "Cloud provider(s): {CLOUD_PROVIDERS, e.g. AWS, GCP, Azure}",
      "Trusted cloud buckets: {TRUSTED_BUCKETS, e.g. s3://acme-builds, gs://acme-datasets}",
      "Trusted internal domains: {TRUSTED_DOMAINS, e.g. *.internal.example.com, api.example.com}",
      "Key internal services: {SERVICES, e.g. Jenkins at ci.example.com, Artifactory at artifacts.example.com}",
      "Additional context: {EXTRA, e.g. regulated industry, multi-tenant infrastructure, compliance requirements}"
    ]
  }
}

​

Генерирование записей окружения с помощью /auto-mode-setup

​

Что читает /auto-mode-setup

• CLAUDE.md, README.md, файлы конфигурации и git remotes вашего проекта
• Ваши параметры autoMode и permissions.allow
• Имена хостов, бакетов и команд из команд, которые Claude запустил в ваших недавних сеансах в этом проекте, никогда ваши сообщения

• Первое слово каждой команды в истории вашей оболочки
• Удалённые хосты и имена репозиториев в вашем домашнем каталоге

​

Проверка и сохранение черновика

• Claude Code записывает список environment без "$defaults", потому что черновик указывает встроенные записи, которые он оставил без изменений
• Claude Code включает "$defaults" в каждый из списков allow, soft_deny и hard_deny, к которым черновик добавляет записи, если вы уже не написали список allow без него, поэтому встроенные правила, которые вы не заменили, остаются в силе
• После сохранения Claude Code предлагает удалить правила permissions.allow в ~/.claude/settings.json, которые автоматический режим игнорирует, такие как Bash(*), или которые автоматически одобряют деструктивные команды

​

Отключение /auto-mode-setup

{
  "skillOverrides": {
    "auto-mode-setup": "off"
  }
}

​

Переопределить правила блокировки и разрешения

• autoMode.hard_deny: безусловные границы безопасности
• autoMode.soft_deny: деструктивные действия, которые намерение пользователя может отменить
• autoMode.allow: исключения из правил мягкой блокировки

• Правила hard_deny блокируют безусловно. Намерение пользователя и исключения allow не применяются.
• Правила soft_deny блокируют далее. Намерение пользователя и исключения allow могут переопределить эти правила.
• Правила allow затем переопределяют совпадающие правила soft_deny как исключения.
• Явное намерение пользователя переопределяет оставшиеся мягкие блокировки: если сообщение пользователя прямо и конкретно описывает точное действие, которое Claude собирается выполнить, классификатор разрешает его даже когда совпадает правило soft_deny.

{
  "autoMode": {
    "environment": [
      "$defaults",
      "Source control: github.example.com/acme-corp and all repos under it"
    ],
    "allow": [
      "$defaults",
      "Deploying to the staging namespace is allowed: staging is isolated from production and resets nightly",
      "Writing to s3://acme-scratch/ is allowed: ephemeral bucket with a 7-day lifecycle policy"
    ],
    "soft_deny": [
      "$defaults",
      "Never run database migrations outside the migrations CLI, even against dev databases",
      "Never modify files under infra/terraform/prod/: production infrastructure changes go through the review workflow"
    ],
    "hard_deny": [
      "$defaults",
      "Never send repository contents to third-party code-review APIs"
    ]
  }
}

​

Редактирование правил из /permissions

​

Маршрутизировать все команды shell через классификатор

{
  "autoMode": {
    "classifyAllShell": true
  }
}

​

Проверьте значения по умолчанию и вашу эффективную конфигурацию

claude auto-mode defaults

claude auto-mode config

{
  "allow": [
    ...
    "Test Artifacts: Hardcoded test API keys, placeholder credentials in examples, or hardcoding test cases. Placeholder means authored as a placeholder — a file or value copied from a real secret or sensitive path is never a test artifact (see Sensitive-Source Provenance).",
    ...
  ],
  "soft_deny": [
    "Git Destructive [named+specifics — **must name:** the destructive operation and its target]: Force pushing (`git push --force`), deleting remote branches, tags, or releases, or rewriting remote history. Also `git commit --amend` when the commit being rewritten is not the agent's own unpushed work: either no prior `git commit` is visible (HEAD pre-dates the session), or a `git push` of the current branch is visible after the most recent commit (it has been pushed). Clears when the user asked to amend/reword/fixup, or when it is a message-only reword (`--amend -m …`, nothing newly staged) of a commit the agent visibly created this session.",
    ...
  ],
  "hard_deny": [...],
  "environment": [
    ...
    "**Trusted repo**: The git repository the agent started in (its working directory) and its configured remote(s). When the repo's public/private visibility is given — by the Repository visibility entry or the user's own message — use it to scope what is OK to commit or push there: confidential material is fine in a private repo; in a public one, only that repo's own work is — and content ported, repointed, or first read from outside this session's repo is not its own work, whoever directed the port. Visibility scopes confidential material only: secrets and sensitive data (personal & entrusted) are never cleared into any repo by its visibility (see Definitions).",
    ...
  ]
}

claude auto-mode critique

claude auto-mode reset

​

Проверка отклонённых действий

​

Исправить отклонение с помощью правила allow, записи окружения или повтора

• Пункт назначения, который Claude нужен на протяжении всей задачи, такой как реестр пакетов, внутренний домен или хост репозитория: добавьте его в autoMode.environment.
• Команда, которую вы хотите запустить без проверки с этого момента: добавьте правило allow.
• Одноразовое действие, которое вы действительно намеревались выполнить: укажите это намерение в следующем сообщении и позвольте Claude повторить попытку.

​

Исправить повторяющиеся отклонения

​

См. также

• Режимы разрешений: что такое автоматический режим, что он блокирует по умолчанию и какие сеансы начинаются в нём
• Управляемые параметры: развёртывание конфигурации autoMode в вашей организации
• Разрешения: правила разрешения, запроса и отказа, которые применяются до запуска классификатора
• Все параметры: каждый ключ параметров, включая autoMode