Claude Code --dangerously-skip-permissions: использование и ограничения

claude --dangerously-skip-permissions запускает Claude Code в режиме bypassPermissions. Флаг убирает обычные запросы на подтверждение при изменении файлов, запуске команд и вызове инструментов. Используйте его для конкретной задачи в отдельной временной среде с заранее ограниченным доступом к файлам, учетным данным и сети. Сам флаг не создает песочницу.

claude --dangerously-skip-permissions

Перед запуском этой команды в автоматическом задании проверьте, к чему получит доступ процесс. Ошибка в отдельной временной копии репозитория причинит меньше вреда, чем на ноутбуке с ключами доступа к рабочим сервисам.

Это руководство описывает команду, альтернативы и конкретный рабочий процесс запуска и проверки. Мы проверили документацию Anthropic 6 октября 2026. Примеры показывают настройку и не являются результатами реального тестирования безопасности Claude Code.

Что делает dangerously-skip-permissions?

Флаг выбирает тот же режим разрешений, что и claude --permission-mode bypassPermissions. Claude может продолжать работу без обычных остановок для подтверждения. Claude работает с правами той учетной записи ОС, от которой вы запустили процесс. Он не дает root-прав, не придумывает учетные данные и не создает доступ к сети, которую блокирует ваша среда. Режимы разрешений Claude Code.

Исключения все еще есть. Текущие версии сохраняют явные правила запрета и запроса, проверки на удаление критически важных путей и действия, требующие участия пользователя. Не считайте эти исключения защитой для произвольных файлов или облачных ресурсов. Команда может навредить проекту и без удаления корня файловой системы.

В частности, режим обхода может писать в .git и .claude без запроса для защищенных путей. Некоторые поисковые сводки утверждают, что эти папки всегда остаются защищенными. Текущая документация говорит иное. Справочник по разрешениям.

Рассмотрим обычный запрос: «Исправь падающие тесты». Claude может отредактировать тест, установить пакет или изменить конфигурацию. Если этот же процесс может прочитать облачный ключ и вызвать его API, одной лишь одноразовой локальной папки недостаточно для ограничения этих удаленных действий. Ваша настройка должна ограничить этот доступ до начала выполнения.

Команды для интерактивного и автоматического использования

Запуск интерактивного сеанса

Откройте терминал в подготовленной среде и выполните:

claude --dangerously-skip-permissions

Проверьте отображаемый режим разрешений перед постановкой задачи. При первом интерактивном запуске Claude Code может показать предупреждение, которое нужно принять. При ошибке root или sudo используйте учетную запись без прав root внутри среды вместо изменения защиты хоста. Настройка режима и ограничения root.

Как выполнить одну задачу и сохранить результат

Для текущей версии Claude Code с аутентификацией по API-ключу:

claude --bare -p \
  "Fix the failing unit test in this checkout. Run the relevant tests. Report changed files and failures. Do not commit or push." \
  --dangerously-skip-permissions \
  --max-turns 12 \
  --output-format json > /tmp/claude-result.json

Здесь -p запускает неинтерактивную задачу, а --output-format json упрощает сбор ответа для раннера. --max-turns ограничивает цикл агента. Это не устанавливает жесткий лимит времени на всю работу. Настройте этот лимит и в вашем раннере. Справочник по флагам CLI.

--bare предотвращает загрузку обычных хуков окружения, плагинов, памяти и инструкций репозитория. Для API Anthropic требуется ANTHROPIC_API_KEY. Он не использует OAuth-вход вашей подписки. Передайте этот ключ через настройки секретов раннера. В старых версиях проверьте поддержку перед копированием этого примера. Программные запуски и bare mode.

Фраза в промпте «Do not commit or push» описывает задачу. Чтобы обеспечить это ограничение, не давайте процессу права записи в удаленный репозиторий. Предложение в промпте не может заменить область действия учетных данных или сетевую политику.

Подробнее о сборе результатов и обработке неудачных заданий читайте в нашем руководстве по headless-режиму Claude Code.

Как разрешить переключение в bypass во время сеанса

Флаг с похожим названием имеет другой эффект:

claude --permission-mode default --allow-dangerously-skip-permissions

--allow-dangerously-skip-permissions делает обход доступным для выбора позже. Он не запускает сеанс в режиме обхода. Переключайте режимы сочетанием Shift+Tab в терминале. Если при запуске вы не разрешили обход, перезапустите сеанс с нужным флагом. Справочник по CLI.

Auto mode против dangerously-skip-permissions

Выберите режим, который дает достаточно прав для вашей задачи:

Названия режимов и их поведение взяты из справочника по разрешениям.

Auto mode использует отдельный классификатор для проверки действий вроде команд оболочки и вызовов внешних инструментов. Он может заблокировать действие и позволить Claude попробовать другой подход. Он также может ошибаться. По описанию Anthropic, auto mode сокращает число ручных подтверждений, но часть решений принимает классификатор, который может ошибиться. Как Anthropic создала auto mode.

Если мешают частые запросы на подтверждение, попробуйте auto mode, когда он доступен вашему аккаунту:

claude --permission-mode auto

Если вашей задаче нужны только известные инструменты, рассмотрите dontAsk с узкими правилами разрешений. У него есть полезное свойство для автоматизации. Отсутствие разрешения приводит к сбою действия вместо ожидания человека. Изучите отклоненные действия перед расширением правил.

Делает ли песочница Claude Code режим обхода безопасным?

Встроенная Bash-песочница Claude Code ограничивает доступ оболочки к файлам и сети. Ее опция auto-allow может одобрять команды в песочнице без запроса. Эта опция не связана с классификатором auto mode. Настройка Bash-песочницы.

Встроенная Bash-песочница не изолирует все приложение. Файловым инструментам, MCP-серверам и хукам нужна собственная граница или внешняя среда для всего процесса Claude Code. Виртуальная машина и контейнер также обеспечивают разную изоляцию. Выбирайте на основе запускаемого кода и допустимых сбоев. Сравнение сред песочниц.

Проверьте также поведение при повторных попытках. При включенном обходе повторная попытка без песочницы может выполниться без запроса. Для поддерживаемых конфигураций следующие настройки песочницы предотвращают эту попытку и требуют запуска песочницы:

{
  "sandbox": {
    "enabled": true,
    "failIfUnavailable": true,
    "allowUnsandboxedCommands": false
  }
}

Проверьте также любые записи excludedCommands. Они все еще могут выполняться вне Bash-песочницы. Применяйте общие настройки через управляемую политику, которую агент не может изменить. Строгие настройки песочницы.

Как организовать автоматический запуск

Возьмем для примера небольшую задачу с падающим тестом. Желаемый результат включает патч и отчет о тестировании. Нет причин давать этому заданию доступ к развертыванию.

1. Подготовка отдельной копии репозитория

Создайте новый контейнер или ВМ и скопируйте туда репозиторий на известном коммите. Предпочитайте копию вместо монтирования вашей основной рабочей директории с правом записи. Worktree помогает разделить изменения, но не изолирует операционную систему или учетные данные.

Установите необходимую среду выполнения и пакеты во время настройки. Запишите начальный коммит и версии инструментов. Используйте учетную запись без прав root для агента. Если вы начинаете с dev-контейнера, проверьте его монтирования. Доступная для записи директория хоста позволяет редактировать эти файлы внутри контейнера. Руководство по dev-контейнерам от Anthropic объясняет настройку и ее ограничения.

2. Ограничьте доступ задания

Передайте учетные данные модели отдельно. Если репозиторий приватный, используйте доступ только для чтения для его клонирования. Держите ключи развертывания, ваш SSH-агент, сокет Docker и не относящиеся к делу файлы домашней директории вне среды.

Разрешите доступ к эндпоинту модели и хостам пакетов или исходного кода, необходимым для задачи. Ограничьте остальной исходящий трафик в сетевых настройках среды. Если загрузка зависимости не удалась, определите нужный хост перед открытием новых направлений.

На этом этапе выберите MCP-серверы, если они нужны задаче. Подключение к базе данных или облачному MCP добавляет удаленные возможности, даже если локальная файловая система одноразовая.

3. Запуск задачи с четким условием завершения

Используйте headless-команду выше после подготовки аутентификации и зависимостей. Задайте таймаут задания в раннере и сохраните код завершения, stdout и stderr. Держите команду тестирования под своим контролем. Результат не должен зависеть только от сводки агента.

Начните с небольшого изменения вроде одного падающего теста или одного задокументированного бага. Запрос на очистку всего репозитория оставляет слишком много места для правок, которые вы не собирались проверять.

4. Проверьте измененные файлы

После завершения задания проверьте репозиторий:

git status --short
git diff --stat
git diff --check
git diff
git ls-files --others --exclude-standard

Последняя команда показывает неотслеживаемые файлы, которые обычный diff пропускает. Проверьте и их. Сравните финальный коммит с начальным, чтобы неожиданный коммит не скрыл изменения из diff рабочего дерева. Перезапустите соответствующие тесты из вашего доверенного раннера и проверьте патч перед слиянием.

Экспортируйте нужные файлы перед остановкой среды. Не допускайте попадания учетных данных в логи и артефакты. Аннулируйте учетные данные задачи и уничтожьте одноразовую рабочую среду после сохранения материалов для проверки.

Когда пригодятся Lizard Sandboxes

Sandboxes на Lizard подходят для такого запуска в удаленной рабочей среде. Вы создаете среду, выполняете задачу, собираете файлы и останавливаете ее. Установите явное время жизни, чтобы упавший раннер не оставил среду работать бесконечно. Начните с краткого руководства по Sandboxes.

Проверьте среду выполнения перед ее выбором для вашей модели угроз. Sandboxes работают как microVM Firecracker, у каждой своё ядро. Песочница, к которой подключен существующий Persistent Volume на основе пода, или которая восстановлена из более старого снапшота пода, работает как под Kubernetes (runc) и использует общее ядро хоста. В Lizard SDK getInfo().runtime показывает, какой вариант вы получили. В обоих случаях ограничивайте область действия учетных данных. См. документацию по среде выполнения.

Удаленный запуск удобен, если каждому заданию нужна отдельная среда или вы выполняете много заданий одновременно. При таком запуске тоже нужно ограничивать сетевой доступ и проверять результат. Песочница с токеном рабочей базы данных может получить к ней доступ независимо от места запуска песочницы.

Часто задаваемые вопросы

Можно ли использовать dangerously-skip-permissions по умолчанию?

Да. Для отдельного воркера в контейнере или ВМ добавьте эту настройку в файл ~/.claude/settings.json пользователя, от которого работает воркер:

{
  "permissions": {
    "defaultMode": "bypassPermissions"
  }
}

Новые сеансы в терминале будут запускаться в режиме обхода. Применяйте такую настройку только внутри временного воркера; для отдельных заданий используйте флаг при запуске. В текущих версиях это значение не включает обход, если указать его в .claude/settings.json или .claude/settings.local.json репозитория. Политика организации также может отключить этот режим. Область действия и приоритет настроек.

Наследуют ли субагенты разрешения на обход?

Да. Согласно текущей документации, при обходе разрешений в основном сеансе субагенты используют тот же режим независимо от собственных настроек. Субагент не является отдельной границей безопасности. Разрешения субагентов.

Почему Claude все еще задает вопросы?

Флаг отключает обычные подтверждения действий, но Claude может задать вопрос о самой задаче. Некоторые действия требуют взаимодействия даже в режиме обхода, и настроенные правила запроса все еще могут применяться. Прочитайте сам запрос, прежде чем считать, что флаг не сработал. Для автоматических заданий заранее укажите ожидаемый вывод и поведение при сбое.

Делает ли флаг Claude Code бесплатным или снимает лимиты запросов?

Нет. Он меняет обработку разрешений. Ваш провайдер модели по-прежнему контролирует аутентификацию, плату за использование и лимиты запросов. Повторные попытки могут расходовать больше токенов, даже если запрос на подтверждение не появляется.

Для повседневной работы сначала попробуйте auto mode или опцию auto-allow в Bash-песочнице. Для автоматических запусков с обходом сделайте среду одноразовой, ограничьте ее доступ и проверяйте полученные файлы до того, как они повлияют на ваш основной проект.