У Cascade автозапуск команд выглядит как понятная панель настроек: четыре уровня - Disabled, Allowlist Only, Auto и Turbo - плюс два списка терминальных команд, allow и deny. Панель знакома по эпохе Windsurf, и первый порыв при переходе на Devin Local естественный: перенести эти настройки один в один, как переносят конфиг из старого редактора в новый. Слова ведь те же - разрешить, запретить, уровень автономии.

Наивный ход тем и коварен, что почти всё в нём звучит правдоподобно. Allowlist Only похож на allow-правило, deny list - на запрет, Turbo - на полную свободу. Кажется, что достаточно переписать те же паттерны в новом месте, и агент будет вести себя как раньше, только под новым именем. Ожидание опирается на сходство словаря, а не на сходство механики.

Ломается это сразу на факте из документации: уровни авто-исполнения Cascade к Devin Local не применяются вовсе. Devin Local не знает про Disabled, Auto и Turbo - у него другая модель: permission-правила deny, ask и allow по областям инструментов, отдельный permission mode и системный sandbox. Между Allowlist Only и Turbo у Cascade есть и промежуточный Auto, где безопасность оценивает сама модель, а рискованное всё равно уходит на подтверждение, - но и он остаётся частью чужой модели, а не переключателем Devin Local. Переносить нечего в смысле переключателей; переносить нужно намерение, стоящее за каждым legacy-паттерном.

Самое опасное расхождение прячется в слове deny. В Cascade deny list - это мягкая граница: команда из него никогда не исполнится автоматически, но агент всегда спросит подтверждение, и человек всё ещё может её запустить. В Devin Local deny - высший приоритет: правило проверяется раньше ask и allow, и при совпадении действие блокируется немедленно и не переопределяется ничем. Одно и то же слово в двух средах даёт противоположную гарантию: там - пауза перед запуском, здесь - стена.

Отсюда рабочий приём: переносить не синтаксис, а намерение, и пересматривать каждый паттерн по одному. Для каждого legacy-правила спросите, чего вы на самом деле хотели - чтобы действие шло само, чтобы оно всегда спрашивало или чтобы оно было невозможно. Ответ и определяет, в какую из трёх областей - allow, ask или deny - оно ложится в Devin Local.

Разложить типовые намерения помогает короткая карта ниже. Разрешать тесты автоматически - это allow на Exec(npm test). Всегда спрашивать перед git-мутацией - это ask на Exec(git) и одновременно узкие allow для безопасных status и diff, чтобы чтение не дёргало вас зря. Никогда не запускать sudo - это deny на Exec(sudo), и теперь это настоящий запрет, а не просьба подтвердить. Полная автономность - это не Bypass, а сочетание Sandbox и Autonomous: свобода действовать внутри границы, которую держит операционная система.