Конфигурация терминального агента живёт в двух слоях. Глобальный файл в пользовательском каталоге задаёт постоянные предпочтения: модель, режим подтверждений, оформление вывода. Проектный файл рядом с репозиторием отвечает только за разрешения - и это осознанное ограничение, а не недоработка. Корень конфигурации при необходимости переопределяется переменными окружения, что удобно для контейнеров и стендов.

Асимметрия слоёв объясняется просто. Личные предпочтения не должны навязываться всем, кто клонировал репозиторий: чужой выбор модели или режима отображения - это не свойство проекта. А вот разрешения - именно свойство проекта: какие команды считаются нормальными в этом репозитории, что читать нельзя, куда нельзя писать. Поэтому проектный слой узкий и посвящён только границам.

Полезно один раз увидеть цельный файл. Ниже - версия схемы, модель, режим подтверждений, настройки редактора и отображения и блок разрешений с разрешающими и запрещающими правилами. Читается он как профиль работы: что запускаем, насколько автономно, что показываем на экране и в каких границах действуем.

Режим подтверждений принимает документированные значения: работа только по списку разрешённого, работа с автоматической проверкой и работа без ограничений. Это те же три модели поведения, что и в редакторе, и выбирают их так же - по цене ошибки. Для автоматизации разумен строгий вариант со списком: он предсказуем и объясним, а вероятностная оценка в неинтерактивном прогоне никого не спасёт, потому что спрашивать некого.

У того, что разрешения лежат в репозитории, есть последствие, ради которого стоит терпеть узость проектного слоя. Расширение прав становится изменением в файле, а значит, попадает в обсуждение изменений и в историю. На вопрос, кто и зачем разрешил агенту сеть или запись за пределами исходников, есть ответ с датой и аргументом. Права, живущие в чьей-то домашней папке, такого ответа не дают: у каждого своя настройка, и совпадать они перестают в первый же месяц.

Переопределение корня конфигурации переменными окружения служит той же цели - сделать прогон независимым от машины. В контейнере или на общем исполнителе домашний каталог может быть чужим, временным или отсутствовать вовсе, и агент подхватит не тот файл. Симптом узнаваем: локально всё работает, на исполнителе агент ведёт себя иначе - не тот режим подтверждений, не та модель. Лечится это указанием корня явно, а не подгонкой окружения по факту.