Permission profile объединяет границы файловой системы и сети в именованный переиспользуемый пресет. Вместо того чтобы каждый раз вручную решать, что агенту можно читать, писать и куда ходить по сети, вы описываете это один раз как профиль и применяете к сессии или задаче. Встроенные профили - :read-only, :workspace и :danger-full-access - покрывают частые случаи, а свои объявляют в секции [permissions.<name>] и выбирают через default_permissions или picker разрешений.

Файловая часть профиля строится на специальных корнях, и их семантику нужно знать. :minimal, :workspace_roots, :tmpdir и :slash_tmp - это не произвольные пути, а именованные области с определённым смыслом. Внутри профиля им и конкретным путям назначают уровень: read, write или deny. Ключевое правило приоритета простое и его нельзя обойти по невнимательности: deny выигрывает. Широкий write не отменяет узкий deny, поэтому запрет на чувствительное остаётся, даже если рядом разрешена запись.

Полезно один раз увидеть осмысленный профиль редактирования проекта целиком. Ниже - фрагмент: минимальный доступ на чтение, запись в рабочих корнях, но явный deny на любые .env, и выключенная сеть. Читается он как явное описание рабочих границ, а не как набор случайных строк. К этой форме возвращаются, задавая политику под контекст: профиль отвечает на вопрос "что агенту вообще позволено тронуть в этой роли", а не решает это заново на каждом действии.

Сетевая часть профиля устроена не менее строго, и в ней легко ошибиться на семантике доменов. Сеть включают явно, а затем перечисляют домены с решением allow или deny. Важно: точный хост совпадает только сам с собой, *.example.com покрывает поддомены вроде api.example.com, но НЕ сам example.com, а **.example.com берёт и apex, и поддомены. Разница именно в apex, а не в глубине вложенности - и на ней ошибаются чаще всего. Глобальный * разрешает любой публичный хост и допустим только в allow-правилах. Как и в файловой части, deny выигрывает, поэтому запрет на нежелательный домен держится, даже если рядом разрешён более широкий шаблон.

Полезно один раз увидеть и сетевой фрагмент профиля. Ниже - включённая сеть с узким allowlist документационных доменов и явным deny на нежелательный. К этой форме возвращаются, когда задача действительно требует сети: её открывают не целиком, а точечно, под конкретные хосты. Разница между "включил сеть" и "включил сеть к этим двум доменам" - это разница между широкой поверхностью риска и узкой, контролируемой границей, которую можно объяснить в ревью.