Что именно меняют режимы, стоит понимать точно. acceptEdits авторазрешает правки и файловые команды вроде mkdir, rm, mv, cp - но только для путей внутри рабочей области или additionalDirectories; защищённые пути и остальные команды сохраняют ограничения. auto использует классификатор, оценивающий, не вышло ли действие за пределы запроса и не вызвано ли враждебным контентом; explicit ask всё равно спрашивает. dontAsk же просто отклоняет всё, что не разрешено заранее.

bypassPermissions нельзя считать "обычным auto", и это ключевое предупреждение. Даже в нём продолжают действовать explicit deny и ask, организация может требовать подтверждения для connector-инструментов, а MCP-инструмент - объявить requiresUserInteraction; Claude Code отдельно защищает часть удалений root и home. Но всё это не делает режим безопасным для основной рабочей машины. Официальная рекомендация - применять его только в изолированном одноразовом контейнере или VM без ценных данных; флаг --dangerously-skip-permissions назван опасным намеренно.

Для команды, ещё не настроившей политику, есть защищённый baseline. Начинают с default или plan; добавляют точечные allow, а не общий bypass; включают sandbox для shell; оставляют destructive-, deployment- и credential-действия в ask или deny; а auto делают только пользовательским или managed-решением - project-настройки не должны самовольно повышать автономность. Этот порядок даёт рабочую скорость, не открывая агенту то, что дорого откатывать.

Полезно один раз увидеть, как режим задаётся при запуске и в настройках, чтобы не путать разовое с постоянным. Ниже - примеры --permission-mode для plan, acceptEdits и закрытого неинтерактивного прогона с узким allowlist, плюс defaultMode в settings. Типичный провал - оставить bypass постоянным default на рабочей машине или ждать, что plan mode сам докажет правильность плана; правильный ход - режим под контекст, точечные allow и sandbox под shell.