No todos los modos están en el ciclo predeterminado:

• auto: aparece cuando modo automático está disponible; cambiar a él cambia modos de permisos sin un aviso de confirmación
• bypassPermissions: aparece después de que inicia con --permission-mode bypassPermissions, --dangerously-skip-permissions, --allow-dangerously-skip-permissions o permissions.defaultMode: "bypassPermissions" en configuración de usuario, --settings o administrada. La variante --allow- agrega el modo de permisos al ciclo sin activarlo
• dontAsk: nunca aparece en el ciclo; establézcalo con --permission-mode dontAsk

Los modos opcionales habilitados se insertan después de plan, con bypassPermissions primero y auto último. Si tiene ambos habilitados, ciclará a través de bypassPermissions en el camino a auto.

Desde un aviso de permisos Bash: en los modos de permisos Manual y acceptEdits, cuando modo automático está disponible, Claude Code agrega Sí, y cambiar a modo automático al aviso de permisos de un comando Bash. Selecciónelo para aprobar el comando y cambiar la sesión a modo automático. Los avisos de la herramienta PowerShell no ofrecen la opción. Requiere Claude Code v2.1.247 o posterior.

Claude Code no agrega la opción a avisos forzados por una de sus reglas ask o por un hook, porque el modo automático aún le muestra esos avisos, por lo que cambiar no los eliminaría.

Al inicio: pase el modo de permisos como una bandera.

claude --permission-mode plan

Como predeterminado: establezca permissions.defaultMode en el alcance que desee, como se describe en Comience en un modo de permisos diferente.

La misma bandera --permission-mode funciona con -p para ejecuciones no interactivas.

VS Code

Durante una sesión: haga clic en el indicador de modo en la parte inferior del cuadro de solicitud. Utiliza estas etiquetas para los modos en esta página:

Como predeterminado: para fijar el modo de permisos en el que comienzan las conversaciones, establezca claudeCode.initialPermissionMode en la configuración de usuario de VS Code en default, manual, acceptEdits, plan o bypassPermissions. La configuración no acepta auto; para comenzar en Auto, déjela sin establecer y seleccione Auto del indicador de modo una vez, como describe el elemento 2 a continuación. La extensión comienza cada nueva conversación en el primero de estos que se aplique:

1. claudeCode.initialPermissionMode
2. El modo que seleccionó por última vez del indicador de modo, si fue Manual, Editar automáticamente o Auto. Seleccionar Plan u Omitir permisos se aplica solo a esa conversación
3. permissions.defaultMode de configuración administrada o ~/.claude/settings.json
4. El valor predeterminado integrado para su plan, proveedor y configuración de organización

La extensión nunca lee .claude/settings.json o .claude/settings.local.json de un proyecto para el modo de permisos inicial. Cuando claudeCode.claudeProcessWrapper está establecido, los elementos 3 y 4 tampoco se aplican: esas conversaciones comienzan en Manual a menos que el elemento 1 o el elemento 2 establezca un modo de permisos.

Antes de v2.1.283, el elemento 3 se aplicaba solo en planes Pro, Max y Team en sesiones que obtienen banderas de características.

Auto aparece en el indicador de modo cuando modo automático está disponible.

Omitir permisos requiere el toggle Allow dangerously skip permissions en la configuración de la extensión. Sin él, el modo de permisos no aparece en el indicador, y un valor bypassPermissions del elemento 1 o elemento 3 comienza la conversación en Manual en su lugar. Auto de cualquier elemento asimismo comienza la conversación en Manual cuando el modo automático no está disponible.

Consulta la guía de VS Code para obtener detalles específicos de la extensión.

JetBrains

El plugin de JetBrains ejecuta Claude Code en la terminal del IDE, por lo que cambiar modos de permisos funciona igual que en la CLI: presiona Shift+Tab para alternar, o pasa --permission-mode al iniciar.

Desktop

Durante una sesión: en la pestaña Code, usa el selector de modo en la fila debajo del cuadro de prompt. No todos los modos aparecen en el selector:

• Auto: aparece cuando modo automático está disponible
• Omitir permisos: requiere el toggle Allow bypass permissions mode en la configuración de Desktop en planes Pro y Max; en planes Team y Enterprise, la política de la organización lo controla en su lugar

Cowork no utiliza estos modos. Tiene sus propios modos de permisos, habilitados por separado, y no muestra ningún selector de modo en absoluto hasta que se habilita para tu cuenta un modo distinto de su predeterminado. Consulta la documentación de Cowork.

Para detalles específicos de desktop, consulte Elegir un modo de permisos en la guía de Desktop.

Como predeterminado: establezca defaultMode en configuración. La aplicación de desktop lee los mismos archivos de configuración que la CLI y aplica el modo de permisos a nuevas sesiones locales.

Un modo que selecciona en el selector de modo se recuerda por carpeta y tiene prioridad sobre defaultMode para esa carpeta. Plan es la excepción: seleccionarlo se aplica solo a la sesión actual.

Para saber dónde va defaultMode en un archivo de configuración, consulta el ejemplo en Comienza en un modo de permisos diferente.

Web and mobile

En claude.ai/code, usa el menú desplegable de modo en la fila debajo del cuadro de prompt. En la aplicación móvil, toca el botón + en el cuadro de prompt y luego Permission. Las sesiones en la nube y las sesiones de Remote Control ofrecen modos de permisos diferentes:

• Sesiones en la nube: Aceptar ediciones, Plan y Auto. Aceptar ediciones corresponde al modo default: las sesiones en la nube aprueban previamente las ediciones de archivos independientemente del modo, por lo que el menú desplegable muestra Aceptar ediciones en lugar de Manual. Las sesiones en la nube aún respetan defaultMode: "acceptEdits" de la configuración. El modo Auto aparece solo cuando tu organización lo permite y el modelo seleccionado lo admite. Omitir permisos no está disponible.
• Sesiones de Remote Control en tu máquina local: Manual, Aceptar ediciones, Plan y Auto para una sesión que iniciaste tú mismo, y no puedes seleccionar Omitir permisos desde la aplicación. Para usar Auto, la sesión tiene que cumplir los requisitos de disponibilidad del modo automático. Para un hilo de proyecto que se ejecuta en tu computadora, consulta Ejecutar un hilo en tu propia computadora.
  • Excepto por Omitir permisos, el menú desplegable muestra el modo de permisos en el que se encuentra la sesión local, incluido uno establecido desde la terminal. Se actualiza cuando el modo de permisos cambia en la aplicación o en la terminal.
  • Las sesiones alojadas por la aplicación de desktop o la extensión de VS Code informan los cambios de modo de permisos a claude.ai a medida que suceden, igual que las sesiones alojadas en una terminal.

Para Control Remoto, la máquina local que ejecuta la sesión debe estar conectada con su cuenta de claude.ai; las claves API no son compatibles. También puede establecer el modo de permisos inicial al iniciar esa sesión local:

claude remote-control --permission-mode acceptEdits

Aprobar automáticamente ediciones de archivos con modo acceptEdits

El modo acceptEdits permite que Claude cree y edite archivos en su directorio de trabajo sin solicitar. La barra de estado muestra ⏵⏵ accept edits on mientras este modo está activo.

Además de ediciones de archivos, el modo acceptEdits aprueba automáticamente comandos Bash comunes del sistema de archivos: mkdir, touch, rm, rmdir, mv, cp y sed. Excepto touch, estos comandos también se aprueban automáticamente cuando van precedidos de variables de entorno seguras como LANG=C o NO_COLOR=1, o envoltorios de procesos como timeout, nice o nohup. Al igual que las ediciones de archivos, la aprobación automática se aplica solo a rutas dentro de tu directorio de trabajo o additionalDirectories.

Estos casos aún solicitan permiso:

• Rutas fuera de ese alcance
• Escrituras en rutas protegidas
• Eliminaciones rm y rmdir reconocidas como eliminaciones de rutas críticas
• touch con cualquier cosa más allá de rutas de archivo simples, por ejemplo una opción, un glob o un prefijo como timeout 5 o LANG=C
• Todos los demás comandos Bash excepto el conjunto integrado de solo lectura

Cada ruta también pasa por la verificación de enlaces simbólicos, por lo que una escritura que se resuelve fuera de ese alcance tampoco se aprueba automáticamente.

Cuando la herramienta PowerShell está habilitada, el modo acceptEdits también aprueba automáticamente Set-Content, Add-Content, Clear-Content y Remove-Item en rutas dentro del alcance, junto con sus alias comunes. Se aplican las mismas reglas de alcance y ruta protegida, y Remove-Item obtiene su propia verificación. Un argumento posicional que contiene un carácter de comilla, como el apóstrofo en Set-Content .\notes.txt "It's done", aún solicita incluso en rutas dentro del alcance, porque Claude Code no puede validar estáticamente un argumento cuyas lecturas entrecomilladas y sin entrecomillar difieren. Pase el contenido a través de un parámetro nombrado como -Value para evitar el aviso.

Utilice acceptEdits cuando desee revisar cambios en su editor o mediante git diff después del hecho en lugar de aprobar cada edición en línea.

Presione Shift+Tab una vez desde modo Manual para entrar en él, o comience directamente con él:

claude --permission-mode acceptEdits

Analice antes de editar con modo plan

El modo plan le indica a Claude que investigue y proponga cambios sin realizarlos. Claude lee archivos, ejecuta comandos de shell para explorar y escribe un plan, pero no edita su fuente. Excepto en sesiones interactivas de terminal con permisos de omisión disponibles, las ediciones permanecen bloqueadas hasta que apruebe el plan.

Lo que sucede con un comando de shell durante la planificación depende de la sesión, y se aplica el primero de estos casos que coincida:

• Sesiones interactivas de terminal con permisos de omisión disponibles: ni el clasificador ni un aviso se aplican a comandos de planificación. Omitir todas las comprobaciones con modo bypassPermissions cubre las pocas cosas que aún solicitan allí.
• Modo automático disponible y la configuración useAutoModeDuringPlan activada, que lo está de forma predeterminada: el clasificador revisa comandos de shell distintos de eliminaciones de ruta crítica en lugar de solicitarle. Los comandos aprobados se ejecutan, y los rechazados se bloquean.
• Modo automático no disponible, o useAutoModeDuringPlan desactivado: los comandos fuera del conjunto integrado de solo lectura solicitan aprobación, incluido cuando el modo de permitir automático del sandbox está habilitado.

Ingrese al modo plan presionando Shift+Tab o prefijando un único aviso con /plan. También puede comenzar en modo plan desde la CLI:

claude --permission-mode plan

Presione Shift+Tab nuevamente para salir del modo plan sin aprobar un plan.

Revise y apruebe un plan

Cuando el plan esté listo, Claude lo presenta y pregunta cómo proceder. Desde ese aviso puede elegir:

• Sí, y usar modo automático: apruebe e inicie en modo automático. Si el modo automático no está disponible para su sesión, por ejemplo porque su organización lo desactivó, esta opción dice Sí, aceptar automáticamente ediciones. Si inició la sesión con permisos de omisión habilitados, la opción dice Sí, y cambiar a OMITIR PERMISOS (sin más avisos) para esta sesión en su lugar.
• Sí, aprobar manualmente ediciones: apruebe y revise cada edición individualmente.
• No, seguir planificando: permanezca en modo plan y dígale a Claude qué cambiar.

Aprobar un plan sale del modo plan y cambia la sesión al modo de permisos que describe cada opción de aprobación, por lo que Claude comienza a editar. Para planificar nuevamente, cicle de vuelta al modo plan con Shift+Tab, o prefije su próximo aviso con /plan.

Presione Ctrl+G para abrir el plan propuesto en su editor de texto predeterminado y edítelo directamente antes de que Claude continúe. Cuando showClearContextOnPlanAccept está habilitado, la lista gana una primera opción que aprueba el plan y borra el contexto de planificación.

Aprobar un plan también da a la sesión un título generado basado en el plan, a menos que ya haya nombrado la sesión.

Establezca el modo plan como predeterminado

Para hacer que el modo plan sea el predeterminado para las sesiones de terminal de un proyecto, establezca defaultMode en plan en .claude/settings.json, colocado como muestra el ejemplo bajo Comience en un modo de permisos diferente. Las conversaciones que inicia la extensión de VS Code no leen configuración de proyecto para el modo de permisos inicial. Allí, establezca claudeCode.initialPermissionMode en plan en su configuración de usuario de VS Code en su lugar.

Eliminar solicitudes de permiso con modo automático

El modo automático permite que Claude se ejecute sin solicitudes de permiso habituales. Un modelo clasificador separado revisa las acciones antes de que se ejecuten y bloquea cualquier cosa que escale más allá de tu solicitud, apunte a infraestructura no reconocida o parezca impulsada por contenido hostil que Claude leyó. Las reglas de preguntar explícitas aún fuerzan una solicitud de permiso.

Con Claude Code v2.1.283 o posterior, el modo automático es el modo de permisos de inicio integrado para sesiones interactivas de terminal y de VS Code en todos los planes y proveedores. En versiones anteriores, es el modo de permisos de inicio integrado solo en los planes Pro, Max y Team.

El clasificador también revisa cada mensaje que Claude envía a otro agente con SendMessage, ya sea texto sin formato o un mensaje estructurado de equipo de agentes, antes de que Claude Code lo entregue, tanto en modo automático como en modo plan mientras el clasificador revisa comandos; la revisión de envíos requiere Claude Code v2.1.222 o posterior.

De forma predeterminada, el clasificador no revisa las eliminaciones reconocidas de rutas críticas con rm y rmdir, como rm -rf / o rm -rf ~. En Rutas críticas se explica qué sucede con ellas en cada modo de permisos.

El modo automático también anima a Claude a seguir trabajando sin detenerse para hacer preguntas aclaratorias, aunque Claude aún pregunta cuando tu prompt o un skill depende explícitamente de ello. Para un comportamiento más autónomo en un modo que aún te pide confirmación, establece en su lugar el estilo de salida Proactive.

[!WARNING]

El modo automático reduce las solicitudes de permiso, pero no garantiza la seguridad. Úsalo para tareas en las que confías en la dirección general, no como reemplazo de la revisión en operaciones sensibles.

El modo automático está disponible solo cuando tu cuenta cumple todos estos requisitos:

• Plan: Todos los planes.
• Organización: en Team y Enterprise, el modo automático está disponible de forma predeterminada. Los administradores pueden desactivarlo para la organización estableciendo permissions.disableAutoMode en "disable" en la configuración administrada.
• Modelo: en la API de Anthropic y Claude Platform on AWS, Claude Opus 4.6 o posterior, Sonnet 4.6 o posterior, Haiku 5.5 o un modelo Fable. En Amazon Bedrock, Google Cloud's Agent Platform, Microsoft Foundry y sesiones del gateway de aplicaciones de Claude con sesión iniciada, solo Claude Sonnet 5 o posterior, Opus 4.7 o posterior, Haiku 5.5 y los modelos Fable. Los modelos más antiguos, incluidos Sonnet 4.5, Opus 4.5, Haiku 4.5 y los modelos claude-3, no son compatibles en ningún proveedor.
• Proveedor: disponible de forma predeterminada en la API de Anthropic, Claude Platform on AWS, Amazon Bedrock, Google Cloud's Agent Platform, Microsoft Foundry y sesiones del gateway de aplicaciones de Claude con sesión iniciada.

Si Claude Code informa que el modo automático no está disponible, primero verifica estos requisitos y si algún archivo de configuración establece disableAutoMode. Anthropic también puede haber desactivado el modo automático del lado del servidor, o el servidor puede haber rechazado el modo automático para tu cuenta. Una sesión que recibió cualquiera de estas respuestas mantiene el modo automático desactivado hasta que finaliza, así que inicia una nueva sesión más tarde.

Un mensaje distinto que nombra un modelo y dice que el modo automático "no puede determinar la seguridad" de una acción significa que falló una solicitud del clasificador. Ese fallo suele ser transitorio, pero en Amazon Bedrock puede repetirse hasta que tu cuenta pueda invocar el modelo nombrado. Consulta la referencia de errores para conocer las causas y qué hacer.

Si estableces defaultMode: "auto" en la configuración y una sesión de terminal comienza en modo Manual sin ningún error, probablemente el ajuste esté en .claude/settings.json o .claude/settings.local.json. auto no entra en vigor desde esos archivos. Muévelo a ~/.claude/settings.json. Para una conversación que inició la extensión de VS Code, revisa en su lugar la lista propia de la extensión en Cambiar modos de permisos.

Modo automático en Bedrock, Agent Platform o Foundry

En Amazon Bedrock, Google Cloud's Agent Platform, Microsoft Foundry y sesiones del gateway de aplicaciones de Claude con sesión iniciada, el modo automático está disponible de forma predeterminada. Si no estableces allí un modo de permisos, las sesiones interactivas comienzan en modo automático, y las ejecuciones de claude -p o del Agent SDK comienzan en modo Manual, cuyo valor de configuración es default:

• Sesiones interactivas de terminal y de VS Code: para iniciarlas en un modo de permisos distinto del automático, establece permissions.defaultMode como describe Comenzar en un modo de permisos diferente, o elige uno en el indicador de modo de la extensión de VS Code. En qué modo comienza una sesión enumera las versiones de Claude Code que las inician en modo automático.
• Ejecuciones de claude -p y del Agent SDK: para iniciar una en modo automático, pasa --permission-mode auto a claude -p, o pasa permissionMode: "auto" en TypeScript o permission_mode="auto" en Python. Si no pasas ningún modo de permisos, consulta Llamadas a herramientas denegadas en ejecuciones de claude -p y del Agent SDK, que también cubre versiones anteriores de Claude Code.

Solo Claude Sonnet 5 o posterior, Opus 4.7 o posterior, Haiku 5.5 y los modelos Fable son compatibles en estos proveedores. En cualquier otro modelo, la sesión comienza en Manual. El modo automático con Haiku 5.5 en estos proveedores requiere Claude Code v2.1.293 o posterior.

Para evitar que los desarrolladores usen el modo automático, establece disableAutoMode en "disable" en la configuración administrada. Esto elimina auto del ciclo de Shift+Tab, y una sesión iniciada con --permission-mode auto comienza en Manual. Una sesión que ya se ejecuta en modo automático lo abandona cuando el ajuste llega a esa sesión desde una fuente implementada por un administrador, y muestra auto mode disabled by settings. Antes de v2.1.251, una sesión en ejecución mantenía el modo automático hasta que finalizaba.

Revisión del clasificador del lado del servidor

En modo automático, Claude Code puede pedirle al servidor que verifique las acciones que el orden de decisión envía a revisión, como parte de las solicitudes al modelo de la sesión, en lugar de enviar sus propias solicitudes al clasificador. Estas sesiones lo piden:

• Una conexión directa a la API de Anthropic: en sesiones interactivas de terminal y en sesiones -p, de Agent SDK, de la extensión de VS Code y de la aplicación de escritorio, sea cual sea tu plan o tipo de cuenta, a medida que Anthropic lo implementa. En sesiones interactivas de terminal, esto requiere Claude Code v2.1.271 o posterior en los planes Pro, Max y Team, y v2.1.278 o posterior en los planes Enterprise y en cuentas de la API de Claude. En sesiones -p, de Agent SDK, de la extensión de VS Code y de la aplicación de escritorio, esto requiere Claude Code v2.1.281 o posterior. Desde v2.1.282, una sesión que no obtiene feature flags, por ejemplo porque desactivaste la telemetría, se lo pide al servidor de forma predeterminada en cualquier tipo de sesión.
• Un proveedor de nube, o un gateway o proxy de LLM: en Claude Platform on AWS, Amazon Bedrock, Google Cloud's Agent Platform y Microsoft Foundry, y siempre que apuntes ANTHROPIC_BASE_URL a un gateway o proxy de LLM, sea cual sea tu plan. Pedirlo de forma predeterminada requiere Claude Code v2.1.278 o posterior.
• Una sesión del gateway de aplicaciones de Claude con sesión iniciada: requiere Claude Code v2.1.280 o posterior
• Una sesión en la nube en un entorno alojado por Anthropic: sea cual sea tu plan, cuando la inicias desde la web, la aplicación móvil o la aplicación de escritorio con Cloud seleccionado. Las sesiones iniciadas por una tarea programada en la nube se lo piden al servidor a medida que Anthropic lo implementa.

Donde el servidor revisa las acciones, sus veredictos las deciden. Hay otros dos resultados posibles:

• El servidor no revisa la sesión: una respuesta se completa sin resultados de revisión, o el servidor responde que no revisa esta sesión. Las causas más comunes son un gateway o proxy de LLM que descarta la solicitud de revisión o los resultados, y una plataforma, región o credencial que aún no tiene verificaciones del lado del servidor. Claude Code recurre a sus propias solicitudes al clasificador. Una vez que esa alternativa se mantiene durante el resto de la sesión, muestra un aviso sobre los cargos de las solicitudes al clasificador en las cuentas donde esas solicitudes se facturan.
• El servidor no da un veredicto para una acción: Claude Code deniega la acción en lugar de ejecutarla sin revisar. En cualquier conexión, esto sucede cuando la respuesta termina antes de que lleguen los resultados de la revisión o cuando los resultados llegan en un formato que Claude Code no puede leer. Un gateway o proxy de LLM que corta las respuestas o reescribe los resultados puede causar cualquiera de los dos. En una conexión directa a la API de Anthropic, también sucede cuando la verificación del servidor falla para la acción, por ejemplo, al agotarse el tiempo de espera. El servidor no devolvió ningún veredicto de seguridad explica el mensaje de denegación, qué sucede cuando las denegaciones se repiten y qué hacer.

Para no pedírselo al servidor y usar siempre las propias solicitudes al clasificador de Claude Code, establece CLAUDE_CODE_AUTO_MODE_SERVER=0. En una conexión directa a la API de Anthropic, la variable requiere Claude Code v2.1.281 o posterior. Establecerla en 1 en ese caso activa la revisión del servidor en una sesión que aún no la tiene, a menos que también hayas establecido CLAUDE_CODE_DISABLE_EXPERIMENTAL_BETAS=1. Si estableces CLAUDE_CODE_DISABLE_EXPERIMENTAL_BETAS=1 y dejas CLAUDE_CODE_AUTO_MODE_SERVER sin establecer, Claude Code también deja de pedírselo al servidor, salvo en lo que describe Deshabilitar capacidades previas al lanzamiento.

Modelo clasificador predeterminado

De forma predeterminada, las solicitudes al clasificador van a Claude Sonnet 5. Si /status muestra Auto mode server como Enabled, se envían solo para las llamadas que quedan fuera de la revisión del servidor.

Busca la primera fila de esta tabla que coincida con tu sesión. Obtienes el modelo de esa fila en lugar de Sonnet 5.

Si Sonnet 5 o el modelo de ANTHROPIC_DEFAULT_SONNET_MODEL no está disponible en tu proveedor o lo excluye la política de modelos de tu organización, Claude Code usa un modelo de respaldo. Ese es el modelo de tu sesión, o un modelo Opus en una sesión de Fable.

Elegir el modelo clasificador

Con Claude Code v2.1.302 o posterior, establece CLAUDE_CODE_AUTO_MODE_MODEL en un ID de modelo completo para ejecutar el clasificador en un modelo distinto del predeterminado. También funcionan los propios ID de modelo completos de tu proveedor de nube. Este ejemplo de ~/.claude/settings.json establece Claude Sonnet 4.6:

{
  "env": {
    "CLAUDE_CODE_AUTO_MODE_MODEL": "claude-sonnet-4-6"
  }
}

Cuando tu modelo no es el que revisa

Si se aplican varias situaciones, guíate por la primera de la lista.

Comprobar qué modelo usó el clasificador

Desde tu shell, inicia una sesión en modo automático con --debug-file:

claude --permission-mode auto --debug-file classifier-debug.log

Pide a Claude que ejecute un comando de shell que no sea de solo lectura y luego busca classifier_request_started en el registro:

• Tu modelo después de model=: la variable entró en vigor
• Un modelo diferente después de model=: busca ignoring CLAUDE_CODE_AUTO_MODE_MODEL en el registro, que indica el motivo y cualquier paso que debas seguir
• No hay ninguna línea así: consulta Auto mode server en /status en el prompt de Claude Code:
  • Enabled: el servidor está configurado para revisar las llamadas de esta sesión.
  • Disabled: asegúrate de que el modo de permisos sea auto y luego pide a Claude que ejecute otro comando que no sea de solo lectura.

Lo que el clasificador bloquea de forma predeterminada

El clasificador confía en tu directorio de trabajo y en los remotos que estaban configurados para él cuando comenzó la sesión. Un remoto agregado o reapuntado durante la sesión con git remote add o git remote set-url no es de confianza, y todo lo demás se trata como externo hasta que configures infraestructura de confianza.

Bloqueado de forma predeterminada:

• Descargar y ejecutar código, como curl | bash

• Enviar datos sensibles a endpoints externos

• Implementaciones y migraciones de producción

• Eliminación masiva en almacenamiento en la nube

• Otorgar permisos de IAM o de repositorio

• Modificar infraestructura compartida

• Destruir de forma irreversible archivos que existían antes de la sesión

• Push forzado

• Hacer commit o push de un cambio que, al ejecutarse, enviaría secretos o datos sensibles fuera del repositorio, o ampliaría lo que expone una implementación. Esto cubre un workflow de CI o una configuración de implementación que pasa un secreto a un destino que aún no lo recibe, un script o paso de configuración que lee un almacén de secretos y envía los datos hacia fuera, y un cambio de configuración que amplía lo que publica una implementación, como un ajuste de registro, visibilidad, artefacto o sourcemap. La verificación se aplica en cualquier rama, se aplica incluso cuando el repositorio es público y se activa cuando se hace commit o push del cambio, independientemente de si ese commit o push desencadena el pipeline; para superarla hay que nombrar el efecto de la ejecución, no solo el commit o el push

• git reset --hard, git checkout -- ., git restore ., git clean -fd, git stash drop o git stash clear, que el clasificador presume que descartarían cambios sin confirmar

• git commit --amend cuando el commit en HEAD no se creó en esta sesión

• Desde v2.1.198, git commit --amend cuando ya se hizo push del commit en HEAD. Una reescritura solo del mensaje no se bloquea: --amend -m sin nada recién preparado, en un commit que Claude creó durante esta sesión

• terraform destroy, pulumi destroy, cdk destroy o terragrunt destroy, y aplicar un plan que destruye recursos

• Escribir en un administrador de secretos, o cambiar registros DNS o certificados TLS

• Fusionar un pull request que ningún humano ha aprobado, aprobar el propio pull request de Claude o deshabilitar verificaciones de CI

• Publicar un comentario que en sí mismo es un comando para una automatización, como atlantis apply o el /deploy o /merge de un bot

• Activar, desactivar, escalonar o eliminar un feature flag de producción

• Aplicar cambios de infraestructura a un alcance de IaC protegido, o drenar y eliminar nodos de un clúster

• Escrituras en un clúster de cómputo compartido que van más allá del recurso que nombraste, como un selector de etiquetas o --all que abarca trabajos de otros usuarios

• Crear recursos de Kubernetes que se ejecutan en cada nodo o interceptan el tráfico del clúster, como DaemonSets y webhooks de admisión

• Shells interactivos o reenvíos de puertos hacia un destino remoto sensible

• Abrir un túnel o un shell inverso que hace que un servicio local sea accesible desde internet público

• Imprimir una credencial o un token vigente en la transcripción o en un archivo

• Acceder a una ubicación listada como ubicación de datos sensibles en tu entorno, copiar datos desde una o enviar datos desde una de ellas a una audiencia que la entrada excluye

• Desviar la instalación de un paquete de tu registro de paquetes interno hacia un registro público. Esto se aplica cuando hay un registro interno o un mirror listado en tu entorno o cuando le has dicho a Claude en la conversación que existe uno

• Ejecutar un comando con un flag que desactiva una protección de seguridad, como --insecure

• Lanzar un bucle de agente autónomo que se ejecuta sin aprobación humana ni sandbox, como uno iniciado con --dangerously-skip-permissions o --no-sandbox. Esto incluye ejecutar un agente de terceros o un arnés de evaluación con el aislamiento y la aprobación por acción deshabilitados, como un ejecutor iniciado con --yes-always

• Acciones del navegador de Claude in Chrome que podrían enviar contenido de la página, cookies o credenciales fuera del origen

• Eliminar archivos en /tmp, $TMPDIR u otro directorio compartido temporal o de caché mediante comodín, glob o filtro de antigüedad, en lugar de mediante una ruta nombrada específica

• Incluir detalles sensibles en contenido enviado, cargado, publicado o escrito para otras personas o sistemas compartidos, cuando tu propio mensaje no autorizó esos detalles para ese destinatario. Los cuerpos de PR e issues, los mensajes de commit y los comentarios cuentan como este tipo de contenido saliente cuando el repositorio está fuera del límite de confianza o es público, incluidos los repositorios públicos de tu propia organización; las rutas de archivo internas, los nombres en clave, los datos vigentes de respuestas de API, como correos electrónicos o identificadores de cuenta, y los identificadores de infraestructura cuentan como detalles sensibles. Los datos personales vigentes de una respuesta de API en el cuerpo de un PR o issue, como una dirección de correo electrónico, un identificador de cuenta u organización o una métrica de uso, requieren que nombres esos detalles y el destinatario, independientemente de la visibilidad del repositorio o del límite de confianza

• Enviar pulsaciones de teclas al propio panel de tmux de Claude Code para controlar su propia interfaz, lo que el clasificador trata como si Claude cambiara sus propios permisos o su supervisión

• Comentar, eliminar o forzar el éxito de una prueba o aserción que protege un comportamiento de seguridad, como autenticación, control de acceso, validación de entradas o sandboxing

• Eliminar o desmantelar un recurso con estado que Claude no creó en la sesión, cuando no se aplica ninguna regla de eliminación más específica y no nombraste ese recurso

• Reapuntar una URL base de API, un endpoint de proxy, un receptor de webhooks o un mirror de registro a un host de terceros que no corresponde a la tarea, incluso en archivos de ejemplo como .env.example

• Cambiar a dónde van los push con git remote set-url o git remote add, a menos que hayas nombrado el nuevo remoto

• Hacer push de secretos o de datos personales o confiados a un repositorio que se sabe que es público, o hacer push allí de material confidencial que no forma parte del trabajo propio de ese repositorio. El tema propio de un repositorio de dotfiles es la única excepción para los datos personales o confiados, y el contenido de un repositorio privado que llega a cualquier superficie pública se bloquea de la misma manera. Cuando no se ha establecido la visibilidad de un repositorio, el clasificador no bloquea solo por eso; en su lugar, juzga el contenido según las demás reglas

• Abrir un pull request contra un repositorio u organización diferente, hacer un fork con gh repo fork o hacer push a un repositorio de terceros, a menos que hayas nombrado ese destino externo

• Contenido de un almacén local sensible, o de un archivo cuyo nombre, ruta o tipo lo marca como sensible, que entre en un commit, un push, el texto de un PR o issue, un gist o paste, o la publicación de un paquete, a menos que hayas nombrado tanto el origen como el destino. Cuentan las transcripciones de sesión y los registros de conversación, las carpetas ocultas de credenciales y configuración, como claves SSH, credenciales de la nube, perfiles de navegador e historial del shell, y las exportaciones de datos de usuarios, y que el repositorio sea privado no lo exime

• Escribir en las transcripciones de sesión de Claude Code, los archivos de historial .jsonl en ~/.claude/projects/ o en tu directorio de configuración configurado, ya sea directamente o mediante un comando de shell. La regla también cubre las líneas de metadatos que Claude Code agrega a cada entrada de la transcripción para sus propias verificaciones. Leer una transcripción no se bloquea

• Una eliminación forzada recursiva como rm -rf "$VAR" o Remove-Item -Recurse -Force $dir cuyo destino es una variable de shell que no se asigna en ninguna parte de la conversación que ve el clasificador, o un glob que parte de esa variable. El valor provino solo de la salida de un comando anterior, que el clasificador nunca recibe, por lo que el clasificador no puede verificar el destino de la eliminación según las demás reglas de eliminación. El bloqueo se levanta cuando nombras la ruta exacta que se elimina, o cuando Claude vuelve a ejecutar la eliminación con la ruta literal resuelta escrita en el comando. Las eliminaciones cuyo destino el clasificador puede resolver no se ven afectadas.

  Un glob directamente bajo la variable, como en rm -rf "$VAR"/*, es en cambio una ruta crítica. Los destinos de Remove-Item que son un * solo o que terminan en /* o \* nunca llegan al clasificador: Claude Code los deniega directamente.

Varias de estas categorías dependen de entradas del entorno, como los destinos remotos sensibles y los alcances de IaC protegidos, que puedes restringir a nombres concretos.

Claude Code v2.1.257 y posterior también bloquean lo siguiente de forma predeterminada:

• Solicitar credenciales al endpoint de metadatos de instancias de la nube, como 169.254.169.254, o autenticar explícitamente una llamada a la nube, a un clúster o a un registro con la identidad de cuenta de servicio o de nodo de la propia máquina
• Llegar a un host público por una vía distinta de una solicitud directa, como un túnel, un shell inverso o una configuración de resolutor o proxy reescrita para apuntar hacia fuera
• Leer credenciales que pertenecen al host y no a tu tarea, como certificados de nodo o la autenticación del registro de contenedores del nodo
• Conectarse a contenedores, pods o máquinas virtuales hermanos que Claude no inició, o escanearlos, o al nodo que está debajo del contenedor

Si Claude Code se ejecuta en un lugar que debe permitir alguna de estas acciones, describe esa configuración en una entrada de Host containment en autoMode.environment.

Claude Code v2.1.261 y posterior también bloquean lo siguiente de forma predeterminada:

• Publicar o escribir un enlace a un servicio público de paste, diagramas o intercambio de datos en un mensaje, en el texto de un PR o issue, en un documento o en cualquier otro lugar donde el enlace se abrirá o se recuperará, cuando la propia URL contiene el contenido que se comparte, a menos que hayas nombrado ese servicio

Permitido de forma predeterminada:

• Operaciones con archivos locales en tu directorio de trabajo

• Instalar dependencias declaradas en tus archivos de bloqueo o manifiestos

• Leer .env y enviar credenciales a su API correspondiente

• Solicitudes HTTP de solo lectura

• Hacer push a cualquier rama del repositorio en el que estás trabajando, incluida la rama predeterminada. Una rama no predeterminada cuyo nombre la marca como destino de implementación o publicación, como production o gh-pages, no está cubierta: el clasificador juzga un push allí según sus propios méritos.

  El contenido de un push se sigue verificando según las demás reglas del clasificador, y las reglas permissions.deny aún pueden bloquear comandos de push tal como están escritos en todos los modos. La protección de ramas propia del remoto sigue aplicándose. Desde v2.1.203 hasta v2.1.211, solo se permitían de forma predeterminada los push habituales a la rama predeterminada y los push a la rama en la que comenzaste o a las ramas que creó Claude.

• Eliminar exactamente los trabajos que Claude creó antes en la misma sesión

• Leer, revisar o escribir código, configuraciones y modelos de amenazas relacionados con la seguridad como parte de tu tarea

• Mensajes entre agentes que trabajan juntos en la misma sesión multiagente

• Enviar datos a los dominios, buckets y servicios de confianza que enumeres en environment. Esto cubre solo el flujo de datos, no operaciones destructivas ni con credenciales en esa misma infraestructura

• Navegación de Claude in Chrome a un dominio interno de confianza, a localhost o a una URL que nombraste

Los comandos en sandbox no obtienen acceso a la red de forma predeterminada. Claude nombra en el propio comando los hosts que este necesita, el clasificador los revisa junto con el comando, y una lista aprobada abre esos hosts solo para ese comando. Dominios permitidos por comando explica lo que una lista puede y no puede abrir y qué sucede cuando un comando intenta llegar a un host que no está en la lista.

Ejecuta claude auto-mode defaults para imprimir las listas completas de reglas como JSON. Si se bloquean acciones habituales, un administrador puede agregar repositorios, buckets y servicios de confianza mediante el ajuste autoMode.environment: consulta Configurar el modo automático.

Hacer push a cualquier rama del repositorio en el que estás trabajando y crear un pull request que coincide con tu solicitud se ejecutan sin solicitud de permiso, a menos que el push o el pull request entre en la lista de bloqueos, como secretos o datos sensibles que salen del repositorio, o un pull request que apunta a un repositorio u organización diferente. Para exigir un punto de control humano antes de estos comandos sin salir del modo automático, agrega reglas permissions.ask, que coinciden con el comando tal como está escrito: consulta Límites comunes.

La primera lectura fuera de los directorios de trabajo

Mientras permissions.blockReadsOutsideWorkingDirectories está desactivado, las lecturas de archivos distintas de las lecturas desde rutas de red se ejecutan sin solicitud de permiso en modo automático, incluidas las lecturas fuera de los directorios de trabajo. La primera vez que Claude usa la herramienta Read, Grep o Glob en una ruta fuera de ellos, Claude Code pregunta si permitir esa lectura.

La solicitud no aparece en ejecuciones -p no interactivas ni en sesiones en segundo plano; allí las lecturas se ejecutan como antes.

Respondas lo que respondas, Claude sigue trabajando:

• Sí, y seguir permitiendo cualquier lectura fuera de los directorios de trabajo: la lectura se ejecuta, las lecturas posteriores fuera de los directorios de trabajo se ejecutan como antes, y Claude Code registra tu respuesta para que la solicitud no vuelva a aparecer
• No, y bloquear las lecturas fuera de los directorios de trabajo de ahora en adelante: la lectura se rechaza, y Claude Code establece permissions.blockReadsOutsideWorkingDirectories en true en tu configuración de usuario, lo que hace que las herramientas de archivos rechacen esas lecturas en todas las sesiones posteriores y en todos los modos de permisos. Para permitir que Claude lea una ruta así más adelante, agrega su directorio con /add-dir o elimina el ajuste.
• No, y volver a preguntar la próxima vez: la lectura se rechaza, y la próxima lectura fuera de los directorios de trabajo vuelve a pedir confirmación
• Sí, pero volver a preguntar la próxima vez: la lectura se ejecuta, no se guarda nada, y la próxima lectura fuera de los directorios de trabajo vuelve a pedir confirmación

Límites que estableces en la conversación

El clasificador trata los límites que estableces en la conversación como una señal de bloqueo. Si le dices a Claude "no hagas push" o "espera a que revise antes de implementar", el clasificador bloquea las acciones correspondientes incluso cuando las reglas predeterminadas las permitirían. Un límite permanece en vigor hasta que lo levantes en un mensaje posterior. El propio juicio de Claude de que se cumplió una condición no lo levanta.

Los límites no se almacenan como reglas. El clasificador los vuelve a leer de la transcripción en cada verificación, por lo que un límite puede perderse si la compactación del contexto elimina el mensaje que lo estableció. Para una garantía firme, agrega en su lugar una regla de denegación.

Aprobaciones que estableces en la conversación

Si le dices a Claude que una acción bloqueada está permitida, el clasificador lo interpreta como tu aprobación y puede levantar el bloqueo. La forma en que lo expresaste decide si la acción se ejecuta y hasta dónde llega la aprobación:

• Nombra la acción y sus detalles: tu mensaje tiene que nombrar la acción y lo específico que la hace peligrosa, como la rama de un push forzado. Nombrar solo el verbo no levanta nada, así que "puedes hacer push forzado" deja el bloqueo en su lugar.
• Cuenta con que cubra una sola acción: una aprobación cubre la acción destructiva que nombraste, por lo que una acción posterior se vuelve a bloquear a menos que hayas otorgado la aprobación como permanente. Para dejar de aprobar un patrón habitual acción por acción, agrégalo a autoMode.allow.
• Algunos bloqueos se mantienen: el orden de precedencia del clasificador establece qué bloqueos puede alcanzar tu aprobación. Para ejecutar un paso que no se levanta, sal del modo automático y responde la solicitud de permiso.

Cuando el modo automático recurre a solicitudes de permiso

Cuando el modo automático no puede aprobar las acciones de tu sesión, lo que sucede depende del caso:

• Una acción bloqueada: Claude Code muestra una notificación y lista la acción en /permissions en la pestaña Denegadas recientemente, donde puedes presionar r para reintentarla con una aprobación manual.
• Bloqueos repetidos: si el clasificador bloquea una acción 3 veces seguidas o 20 veces en total, el modo automático se pausa y Claude Code vuelve a pedir confirmación. Aprobar la acción solicitada reanuda el modo automático. Consulta Umbrales de bloqueos repetidos para saber cómo se cuentan los bloqueos.
• Sin veredicto del clasificador: cuando una verificación de seguridad independiente del modo automático rechaza la propia solicitud del clasificador, o la respuesta del clasificador no se puede analizar, Claude Code deniega la acción sin la notificación ni la entrada en Denegadas recientemente. Consulta El modo automático no puede determinar la seguridad de una acción para ver el mensaje que muestra cada caso y qué hacer.
• Sin veredicto del servidor: con la revisión del clasificador del lado del servidor, Claude Code deniega una acción para la que el servidor no da veredicto, y detiene el turno después de diez respuestas seguidas sin veredicto. Consulta El servidor no devolvió ningún veredicto de seguridad.
• Un cambio de modo durante una verificación: si cambias de modo de permisos mientras una verificación del clasificador está pendiente, Claude Code descarta un veredicto que el nuevo modo no habría solicitado. En su lugar, se te pide aprobación, o la acción se deniega automáticamente en el modo dontAsk.

Umbrales de bloqueos repetidos

Los umbrales de 3 bloqueos seguidos y 20 bloqueos en total no son configurables. El contador total persiste durante la sesión y se reinicia solo cuando su propio límite hace que se recurra a las solicitudes de permiso. Claude Code no cuenta una denegación para ninguno de los umbrales cuando una verificación de seguridad independiente del modo automático rechaza la propia solicitud del clasificador.

Una ejecución -p no interactiva sin --permission-prompt-tool no tiene ninguna solicitud de permiso a la que recurrir. Cuando los bloqueos repetidos alcanzan un umbral, la acción no se ejecuta y Claude sigue trabajando. Claude Code no detiene la ejecución.

Los bloqueos repetidos suelen significar que al clasificador le falta contexto sobre tu infraestructura. Usa /feedback para informar falsos positivos, o pide a un administrador que configure infraestructura de confianza.

Cómo el modo automático evalúa las acciones

Las siguientes secciones explican el orden en que Claude Code evalúa una acción, cómo el clasificador revisa el trabajo de los subagentes y qué agregan las llamadas al clasificador en costo y latencia.

Cómo el clasificador evalúa las acciones

Cada acción pasa por un orden de decisión fijo. Gana el primer paso que coincide:

1. Las acciones que coinciden con tus reglas de permitir, preguntar o denegar se resuelven de inmediato, con estas excepciones:
   • Las escrituras en rutas protegidas pasan al clasificador incluso cuando coincide una regla de permitir. Cuando la ruta protegida es el archivo al que apunta un archivo de configuración enlazado simbólicamente, la escritura puede pedirte confirmación en su lugar, como describe la lista de rutas protegidas
   • Ninguna regla de permitir aprueba las eliminaciones de rutas críticas reconocidas con rm y rmdir
   • Las herramientas MCP marcadas con requiresUserInteraction te piden confirmación directamente incluso cuando coincide una regla de permitir, y lo mismo ocurre con las herramientas de conectores que tu organización configuró en ask en las sesiones en las que ese ajuste llega a Claude Code
   • Un comando de shell que incluye dominios permitidos por comando también pasa al clasificador incluso cuando coincide una regla de permitir, porque una regla aprueba el comando, no sus hosts
   • Las reglas de preguntar que coinciden con el contenido de un comando, como Bash(git push *), recurren a una solicitud de permiso
   • Una escritura que la comprobación de enlaces simbólicos resuelve a una ruta protegida te pide confirmación cuando la ruta que Claude solicitó no está protegida en sí misma
   • Una lectura desde una ruta de red te pide confirmación incluso cuando coincide una regla de permitir
2. Las acciones de solo lectura y las ediciones de archivos en tu directorio de trabajo se aprueban automáticamente, excepto las escrituras en rutas protegidas y la primera lectura fuera de los directorios de trabajo, que te pide confirmación
   • En una sesión con revisión del clasificador del lado del servidor, los comandos de shell de solo lectura y en sandbox esperan esa revisión y se bloquean si esta los marca
   • Una escritura dentro de tu directorio de trabajo que la comprobación de enlaces simbólicos resuelve a una ubicación fuera de él te pide confirmación
   • Cuando Claude lee un artefacto que creó otra persona, se aplican los casos de aprobación enumerados en esa sección
   • Una lectura desde una ruta de red te pide confirmación
3. Todo lo demás va al clasificador, aparte de las eliminaciones de rutas críticas con su tratamiento predeterminado. Las herramientas de conectores y las herramientas MCP con requiresUserInteraction que te piden confirmación directamente en el paso 1 tampoco llegan nunca al clasificador, por lo que ni una aprobación requerida por la organización ni un paso de consentimiento se aprueban automáticamente
4. Si el clasificador bloquea, Claude recibe el motivo. En la mayoría de las sesiones, el motivo nombra la regla con la que coincidió el clasificador, como [Data Exfiltration], en lugar de dar una explicación escrita; consulta Revisar denegaciones

Un mod que instales y que gestione tool.check también puede aprobar una acción. Para los casos en que su aprobación no supera tus reglas y hooks, consulta Extender permisos con hooks.

Para saber cómo se aprueban las acciones del navegador de Claude in Chrome en la extensión de VS Code, consulta Solicitudes de permiso en sesiones de VS Code.

Al entrar en modo automático, se descartan las reglas de permitir amplias que otorgan ejecución de código arbitrario:

• Bash(*) o PowerShell(*) sin restricciones
• Intérpretes con comodín como Bash(python*)
• Comandos de ejecución del administrador de paquetes
• Reglas de permitir Agent
• Reglas de permitir Monitor, porque Claude Code ejecuta los comandos de Monitor a través del shell

Las reglas específicas como Bash(npm test) permanecen en vigor. Claude Code restaura las reglas descartadas cuando sales del modo automático. Antes de v2.1.236, Claude Code dejaba en vigor las reglas de permitir Monitor en modo automático, por lo que una regla que coincidía con toda la herramienta aprobaba comandos de Monitor sin revisión del clasificador.

Claude Code también ejecuta git status por su cuenta antes de un comando que descartaría trabajo sin confirmar, como git reset --hard o rm -rf, y le muestra al clasificador si hay trabajo preparado, modificado o sin seguimiento. Claude Code informa los archivos sin seguimiento en esa verificación incluso cuando la configuración de Git del repositorio establece status.showUntrackedFiles=no.

En las solicitudes al clasificador que envía el propio Claude Code, el clasificador ve los mensajes del usuario, las llamadas a herramientas distintas de las consultas de solo lectura, como lecturas de archivos y búsquedas, y tu contenido de CLAUDE.md. Los resultados de las herramientas se eliminan de esas solicitudes, por lo que el contenido hostil de un archivo o una página web no puede manipular directamente al clasificador.

Puedes anotar el resultado de una llamada con el campo classifierContext de un hook PostToolUse, que el clasificador lee como contexto proporcionado por la aplicación. El campo requiere Claude Code v2.1.236 o posterior.

Una sonda independiente del lado del servidor analiza los resultados de herramientas entrantes y marca el contenido sospechoso antes de que Claude lo lea. Para obtener más información sobre cómo funcionan juntas estas capas, consulta el anuncio del modo automático y el análisis técnico en profundidad.

Cómo el modo automático maneja los subagentes

El clasificador verifica el trabajo de los subagentes en tres puntos:

1. Antes de que comience un subagente, se evalúa la descripción de la tarea delegada, por lo que una tarea de aspecto peligroso se bloquea en el momento de crear el subagente.
2. Mientras el subagente se ejecuta, cada una de sus acciones pasa por el mismo orden de decisión que en la sesión principal, con las mismas reglas de bloqueo y de permitir. Cualquier permissionMode en el frontmatter del subagente se ignora.
3. Cuando el subagente termina, el clasificador revisa su trabajo y su informe final antes de que la sesión principal lea el informe. Cuando el clasificador marca el trabajo o el informe del subagente, o una verificación de seguridad independiente de la API rechaza la revisión, el informe se entrega de todos modos, precedido de una advertencia de seguridad. Cuando el clasificador no está disponible para la revisión, el informe llega con una nota para verificar el trabajo del subagente antes de actuar en función de él.

Costo y latencia

Las solicitudes al clasificador de Claude Code pueden ejecutarse en un modelo distinto de tu selección de /model. Consulta en qué modelo se ejecutan.

En los planes Enterprise y en cuentas que usan la API de Claude, Claude Platform on AWS, Amazon Bedrock, Google Cloud's Agent Platform o Microsoft Foundry, las llamadas al clasificador cuentan para tu uso de tokens. Cada verificación envía una parte de la transcripción más la acción pendiente, lo que agrega un viaje de ida y vuelta antes de la ejecución. Las lecturas y las ediciones en el directorio de trabajo fuera de rutas protegidas omiten el clasificador, por lo que la sobrecarga proviene principalmente de los comandos de shell y las operaciones de red. Donde el servidor revisa las acciones como parte de las solicitudes al modelo de la sesión, no hay llamadas separadas al clasificador que contar; consulta Revisión del clasificador del lado del servidor.

El acceso a la red en sandbox no agrega solicitudes al clasificador por conexión. El clasificador juzga los hosts que nombra un comando junto con el comando en una sola revisión, y Claude Code verifica cada conexión contra la lista aprobada sin volver a llamar al clasificador.

Permitir solo herramientas preaprobadas con modo dontAsk

Si estableces el modo dontAsk, Claude Code deniega automáticamente cada llamada a herramienta que de otro modo te pediría confirmación, aunque un mod que instalaste aún puede aprobar algunas de esas llamadas. Para comprobar qué llamadas puede aprobar un mod, consulta Extender permisos con hooks.

Claude aún ejecuta acciones que no necesitan aprobación en modo Manual, como lecturas de archivos dentro de tus directorios de trabajo y comandos Bash de solo lectura. También se ejecutan las acciones que coinciden con tus reglas permissions.allow y las llamadas aprobadas por un hook PreToolUse. Usa este modo para pipelines de CI o entornos restringidos donde predefines qué puede hacer Claude; la sesión nunca espera entrada. La barra de estado muestra ⏵⏵ don't ask on en este modo.

Claude Code deniega las llamadas que coinciden con tus reglas ask explícitas en lugar de pedir confirmación. También deniega la herramienta integrada AskUserQuestion incluso si tus reglas de permitir coinciden con ella, y hace lo mismo con las herramientas de conector que tu organización estableció en ask en sesiones donde ese ajuste llega a Claude Code. Deniega las herramientas MCP marcadas _meta["anthropic/requiresUserInteraction"] de la misma manera, porque su tarjeta de aprobación necesita una respuesta que este modo nunca recopila.

Una regla de permitir o un hook PreToolUse no pueden aprobar lo siguiente:

• Las eliminaciones reconocidas con rm y rmdir dirigidas a rutas críticas, como rm -rf / y rm -rf ~
• Las lecturas desde una ruta de red

Las sesiones en la nube en Claude Code en la web ignoran defaultMode: "dontAsk"; consulte bypassPermissions para obtener detalles.

Establézcalo al inicio con la bandera:

claude --permission-mode dontAsk

Omitir todas las comprobaciones con modo bypassPermissions

El modo bypassPermissions desactiva los avisos de permisos y las comprobaciones de seguridad para que las llamadas a herramientas se ejecuten inmediatamente, incluidas las escrituras en rutas protegidas.

Incluso en modo bypassPermissions, cada una de las acciones que ningún modo aprueba automáticamente recibe una solicitud de confirmación o una denegación en lugar de ejecutarse por sí sola. Leer el artefacto público de otra organización requiere tu aprobación, y este modo no la solicita, así que Claude no puede leer uno. Las denegaciones de Remove-Item en PowerShell también se aplican en este modo.

Dos salvaguardas de mensajería entre sesiones aún se aplican en este modo, y en sesiones de modo plan de terminal interactivo donde los permisos de omisión están disponibles:

• El aviso de aprobación isolatePeerMachines para mensajes a sus sesiones más allá de esta máquina aún aparece.
• Cuando no se aplica ningún valor crossSessionInbound, Claude Code retiene un mensaje entrante de otra de sus sesiones para su aprobación, y entrega sin preguntar solo cuando la sesión de envío se identifica a sí misma como también omitiendo avisos de permisos. Si deja el modo de permisos mientras se retienen mensajes, Claude Code reaaplica las reglas entrantes y entrega cualquier mensaje retenido que ahora aceptan.

En sesiones de terminal interactiva con la omisión de permisos disponible, Claude Code tampoco aplica los bloqueos del modo plan. Claude sigue recibiendo instrucciones de planificar sin editar, pero una edición de archivo o un comando de shell que intente durante la planificación se ejecuta sin pedir confirmación. Las reglas ask explícitas y las eliminaciones reconocidas de rm y rmdir en rutas críticas siguen pidiendo confirmación.

El modo plan mantiene sus bloqueos dondequiera que Claude Code se ejecute sin un terminal interactivo, incluidas ejecuciones no interactivas con -p, sesiones de Agent SDK, y conversaciones en el panel de chat de la extensión VS Code. Allí, --allow-dangerously-skip-permissions hace que bypassPermissions sea seleccionable más tarde.

[!WARNING]

Use este modo solo en entornos aislados como contenedores, máquinas virtuales o dev containers sin acceso a Internet, donde Claude Code no pueda dañar su sistema anfitrión.

No puede entrar en bypassPermissions desde una sesión que inició sin él habilitado. Habilítelo al inicio con permissions.defaultMode: "bypassPermissions" o con una bandera de habilitación:

claude --permission-mode bypassPermissions

La bandera --dangerously-skip-permissions es equivalente.

Claude Code rechaza bypassPermissions en una sesión que inicia con --restricted. --restricted requiere Claude Code v2.1.248 o posterior.

La primera vez que inicias una sesión interactiva con este modo habilitado, Claude Code muestra un diálogo de advertencia que te pide aceptar la responsabilidad por las acciones realizadas sin comprobaciones de permisos:

• Si acepta: Claude Code establece skipDangerousModePermissionPrompt en true en ~/.claude/settings.json, por lo que las sesiones posteriores omiten el diálogo. Para ver el diálogo nuevamente, elimine la clave de ese archivo o establézcala en false. La referencia skipDangerousModePermissionPrompt enumera los otros archivos de configuración donde usted u su organización pueden establecerla.
• Si rechaza: Claude Code sale.

En modo no interactivo no se muestra ningún diálogo.

Una sesión en segundo plano respeta tu aceptación cuando está registrada en la configuración de usuario o en la configuración administrada:

• Si no hay ninguna aceptación registrada, claude --bg --permission-mode bypassPermissions se rechaza. Acepta primero el diálogo en una sesión interactiva.

• Si skipDangerousModePermissionPrompt está establecido solo en .claude/settings.local.json, la sesión en segundo plano se inicia con la solicitud de omisión ignorada:

  • Si se ignora --allow-dangerously-skip-permissions, bypassPermissions queda fuera de su ciclo de Shift+Tab.
  • Si se ignora --permission-mode bypassPermissions o --dangerously-skip-permissions, la sesión se inicia en modo Manual en su lugar.

  Agrega "skipDangerousModePermissionPrompt": true a ~/.claude/settings.json y luego inicia una nueva sesión en segundo plano.

En Linux y macOS, Claude Code se niega a iniciarse en modo bypassPermissions cuando se ejecuta como root o bajo sudo:

--dangerously-skip-permissions cannot be used with root/sudo privileges for security reasons

La verificación se omite automáticamente dentro de un sandbox reconocido. Para ejecutarse de forma autónoma en un contenedor, use la configuración de dev container, que ejecuta Claude Code como un usuario no root.

Las sesiones en la nube no respetan defaultMode: "bypassPermissions" o "dontAsk" de sus archivos de configuración, por lo que la configuración registrada en un repositorio no puede iniciar una sesión en la nube en modo bypass-permissions. La configuración se ignora silenciosamente y la sesión comienza en el modo de permisos mostrado en el menú desplegable de modo en su lugar. Consulte Cambiar modos de permisos para ver qué modos ofrecen las sesiones en la nube.

[!WARNING]

bypassPermissions no ofrece protección contra inyección de solicitudes o acciones no intencionadas. Para comprobaciones de seguridad de fondo con muchos menos avisos de permisos, use modo automático en su lugar. Los administradores pueden bloquear este modo estableciendo permissions.disableBypassPermissionsMode en "disable" en configuración administrada.

Omisión de permisos ignorada en una sesión en segundo plano

Este aviso significa que la sesión en segundo plano no encontró tu aceptación de la advertencia de omisión de permisos en la configuración de usuario ni en la configuración administrada, por lo que ignoró la solicitud de omisión hecha al inicio:

Bypass permissions was requested at launch and ignored · if that was you, ~/.claude/settings.json needs "skipDangerousModePermissionPrompt": true

Agrega "skipDangerousModePermissionPrompt": true a ~/.claude/settings.json y luego inicia una nueva sesión en segundo plano.

claude agents muestra la advertencia de omisión de permisos que las sesiones interactivas omiten

Si claude agents muestra la advertencia de omisión de permisos aunque tus sesiones interactivas la omiten, comprueba si skipDangerousModePermissionPrompt está establecido en .claude/settings.local.json o en un archivo de --settings. Las sesiones interactivas cuentan la clave en esos archivos como tu aceptación de la advertencia, y claude agents no. Tanto si la encuentras allí como si no, acepta la advertencia para agregar la clave a ~/.claude/settings.json, donde claude agents la busca.

Rutas protegidas

Las escrituras en un pequeño conjunto de rutas nunca se aprueban automáticamente, excepto en modo bypassPermissions y en sesiones de terminal interactivas en modo plan con permisos de omisión disponibles. Esto previene la corrupción accidental del estado del repositorio y la configuración de Claude.

En una sesión iniciada con --restricted, que requiere Claude Code v2.1.248 o posterior, el clasificador no puede aprobar escrituras en rutas protegidas.

En los modos que enrutan escrituras en rutas protegidas al clasificador, una escritura que la verificación de enlaces simbólicos resuelve a una ruta protegida le solicita en su lugar cuando la ruta que Claude solicitó no está protegida en sí misma.

Las reglas permissions.allow en archivos de configuración no pre-aprueban escrituras en rutas protegidas. La verificación de seguridad se ejecuta antes de que Claude Code evalúe las reglas de permitir desde la configuración, por lo que una entrada como Edit(.claude/**) en ~/.claude/settings.json o .claude/settings.json no cambia el resultado por modo en la tabla anterior. En modos de permisos que solicitan, el aviso para una escritura en la carpeta .claude/ del proyecto o en ~/.claude/ puede ofrecer una de estas opciones con alcance de sesión:

• Para la carpeta .claude/ del proyecto: Sí, y permitir que Claude edite archivos en la carpeta .claude de este proyecto para esta sesión
• Para ~/.claude/: Sí, y permitir que Claude edite archivos en su carpeta ~/.claude para esta sesión

Directorios protegidos:

• .git
• .config/git
• .vscode
• .idea
• .husky
• .cargo
• .devcontainer
• .yarn
• .mvn
• .claude, con algunas excepciones, como:
  • Los propios git worktrees de Claude en .claude/worktrees/
  • Los propios archivos de plan de la sesión actual en ~/.claude/plans/, o en el plansDirectory que configures
  • El directorio temporal propio de una sesión en segundo plano en ~/.claude/jobs/<id>/tmp/
  • Los archivos markdown en el directorio de memoria automática del proyecto, como ~/.claude/projects/<project>/memory/, en una sesión iniciada sin --restricted
  • Los archivos markdown en un directorio de memoria de subagente, como .claude/agent-memory/, en una sesión iniciada sin --restricted
• Un directorio que cargó con --plugin-dir, porque Claude Code recarga y ejecuta el código de un mod desde él cuando un archivo cambia
• ~/.claude/dev-mods/, o dev-mods/ en el directorio al que apunta CLAUDE_CONFIG_DIR, donde Claude guarda los mods que escribe para ti

Archivos protegidos:

• .gitconfig, .gitmodules
• .bashrc, .bash_profile, .bash_login, .bash_aliases, .bash_logout, .zshrc, .zprofile, .zshenv, .zlogin, .zlogout, .profile, .envrc
• .npmrc, .yarnrc, .yarnrc.yml, .pnp.cjs, .pnp.loader.mjs, .pnpmfile.cjs, bunfig.toml, .bunfig.toml
• .bazelrc, .bazelversion, .bazeliskrc
• .pre-commit-config.yaml, lefthook.yml, lefthook.yaml, .lefthook.yml, .lefthook.yaml
• gradle-wrapper.properties, maven-wrapper.properties
• .devcontainer.json
• .ripgreprc, pyrightconfig.json
• .mcp.json, .claude.json
• Un archivo que pasaste a --settings, --mcp-config o --agents al iniciar la sesión
• El archivo al que apunta tu archivo de configuración de usuario, de proyecto o local cuando el propio archivo de configuración es un enlace simbólico, por ejemplo hacia un repositorio de dotfiles. En los modos que enrutan escrituras en rutas protegidas al clasificador, una escritura en este archivo te pide confirmación en su lugar, incluso cuando coincide una regla de permitir. Si la ruta propia del archivo también es la de un archivo de configuración, como .claude/settings.json en otra carpeta, la escritura va al clasificador como ocurre con otras escrituras en rutas protegidas

Rutas críticas

Las rutas críticas son los directorios que Claude Code protege de los comandos rm y rmdir, como la raíz del sistema de archivos, tu directorio home y tu directorio de trabajo. Claude Code verifica estos comandos antes de que se ejecuten, y ninguna regla de permiso aprueba uno cuyo objetivo reconozca como ruta crítica. La verificación puede pasar por alto algunos comandos, así que no reemplaza un control del sistema operativo como el sandboxing.

Una eliminación de ruta crítica es un comando rm o rmdir cuyo objetivo Claude Code reconoce como ruta crítica. Tampoco la aprueba ningún hook PreToolUse que devuelva "allow". Una regla de permiso o un hook PreToolUse no puede aprobarla ni siquiera en los modos de permisos que omiten otras solicitudes de permiso.

[!WARNING]

Un comando que la verificación pasa por alto no recibe ningún tratamiento especial, así que cualquier cosa que apruebe comandos Bash en tu sesión puede aprobarlo sin solicitud de permiso. Eso incluye una regla de permiso, el modo bypassPermissions y el modo de aprobación automática del sandbox. La verificación se aplica a rm y rmdir, así que otros comandos aprobados también pueden eliminar rutas críticas.

Estos controles se aplican tanto si la verificación reconoce un comando como si no:

• Reglas de denegación: una regla de denegación que coincide con el comando lo bloquea, aunque un mod que instalaste aún puede aprobar algunas de esas llamadas
• Sandboxing: el sandboxing hace que el sistema operativo limite en qué rutas pueden escribir los comandos Bash. Los comandos ejecutados en el sandbox aún pueden eliminar tu directorio de trabajo
• Modo estricto del sandbox: de forma predeterminada, un comando ejecutado en el sandbox puede reintentarse fuera del sandbox, y una regla de permiso o el modo bypassPermissions puede aprobar ese reintento sin solicitud de permiso. El modo estricto del sandbox desactiva el reintento

Lo que sucede con una eliminación que Claude Code reconoce depende de tu modo de permisos. Remove-Item y los comandos integrados de eliminación de cmd tienen sus propias verificaciones, cubiertas en Remove-Item en PowerShell.

Qué rutas son críticas

Claude Code trata un objetivo rm o rmdir como una ruta crítica cuando es cualquiera de los siguientes:

• La raíz del sistema de archivos
• Directorios de nivel superior, lo que significa cualquier hijo directo de la raíz, como /usr, /etc o /data
• Tu directorio home. En Windows, su nombre corto 8.3 también cuenta, como C:\Users\LONGNA~1
• Raíces de unidad de Windows y sus directorios de nivel superior, como C:\ y C:\Windows. Formas de escritura como \\?\C:\ y \\localhost\C$ cuentan como C:\
• Su directorio de trabajo y sus padres
• Sus directorios de trabajo adicionales y sus padres, pero solo cuando la eliminación es un glob bajo uno de ellos, como rm -rf <dir>/*. rm -rf <dir> en el directorio en sí no desencadena esta verificación

Para rutas de unidades montadas como /mnt/c o /Volumes/USB, consulta La solicitud de unidad montada.

Las verificaciones sobre el nombre corto 8.3 del directorio home y sobre las formas de escritura \\?\C:\ y \\localhost\C$ requieren Claude Code v2.1.292 o posterior.

Otros objetivos que cuentan como rutas críticas

Claude Code también trata los siguientes objetivos rm y rmdir como rutas críticas. La última columna dice por qué cada uno cuenta.

Para desactivar la verificación en un objetivo que es solo salida de sustitución de comando, establezca CLAUDE_CODE_DISABLE_SUBSTITUTION_RM_PROMPT=1 en el entorno que inicia Claude Code.

Eliminaciones dentro de comandos anidados y scripts en línea

Claude Code también busca dentro de estas construcciones:

• Comandos anidados: una subshell con (...), un grupo de llaves con { ...; }, sustitución de comandos con $(...) o comillas invertidas, o sustitución de procesos con <(...). Claude Code encuentra una eliminación de ruta crítica ya sea que esté dentro de la forma anidada, como en (rm -rf ~) o echo "$(rm -rf ~)", o en otro lugar del mismo comando.
• Scripts en línea: un script pasado con -c a sh, bash, zsh o un shell POSIX similar, como en bash -c 'rm -rf ~'.
  • Cuando el script está entre comillas dobles, el shell que lo invoca expande sus variables antes de que el shell interno reciba el script. En find . -name '*.tmp' -exec sh -c "rm -rf \"$1\"/*" _ {} \;, el comando se expande a una eliminación desde la raíz del sistema de archivos una vez por coincidencia, y Claude Code lo trata como una eliminación de ruta crítica.
  • Un script entre comillas simples que vincula $1 a un valor real, como hace sh -c 'rm -rf "$1"/*' _ {}, no se marca.

Para desactivar la verificación sobre una ruta crítica escrita directamente en un script -c, como ~, establece CLAUDE_CODE_DISABLE_INLINE_SHELL_RM_PROMPT=1 en el entorno que inicia Claude Code.

Reescribir un comando marcado

Cómo reescribir un comando para que pase la verificación depende de cuál de los otros objetivos utiliza:

• Un glob o barra diagonal final bajo una variable como $DIR: proteja cada expansión para que el shell se detenga con un error cuando la variable no esté configurada o esté vacía, como en rm -rf "${DIR:?}"/*, o use una ruta literal. Una eliminación cuyas expansiones están todas protegidas de esa manera pasa esta verificación, por lo que en modo bypassPermissions se ejecuta sin un aviso a menos que otra verificación de ruta crítica la marque.
• Un glob o barra diagonal final bajo una variable que normalmente está configurada, como $HOME: use una ruta literal.
• Una variable asignada desde una sustitución de impresión de directorio: use una ruta literal. Una protección "${D:?}" no borra esta verificación, porque la variable no está vacía.
• Un objetivo que es solo salida de sustitución de comando: ejecute la sustitución por su cuenta primero, luego elimine las rutas literales que imprime. El aviso le dice a Claude que haga lo mismo.

Para un glob o barra diagonal final bajo una variable, el aviso nombra el rm marcado y dice cómo reescribirlo para que la verificación pase.

La solicitud Dangerous rm operation not ruled out

El motivo completo dice:

Dangerous rm operation not ruled out — the shell may read this command differently than it was parsed

Este motivo significa que el shell puede leer el comando de forma distinta a como lo hizo Claude Code, así que una eliminación podría estar en una parte no verificada, incluso sin que haya un rm presente. En modo auto o bypassPermissions, una denegación con esta frase proviene de la misma verificación:

This command could not be checked for dangerous rm operations: the shell may read it differently than it was parsed.

Recibes la solicitud de permiso o la denegación que recibe una eliminación de ruta crítica en tu modo de permisos, bypassPermissions incluido. No puedes aprobar el comando con una regla de permiso Bash o Bash(*), el modo de aprobación automática del sandbox ni un hook PreToolUse que devuelva "allow". Lee el comando y luego aprueba la solicitud o, tras una denegación, ejecútalo en tu shell.

La solicitud de unidad montada

La solicitud de unidad montada aparece en macOS, Linux y WSL cuando un rm recursivo se dirige a una ruta de unidad montada de la lista, como /mnt/c o /Volumes/USB/build. Su motivo dice Dangerous rm operation on mounted drive path: <path>. Un objetivo /* recibe la solicitud sin el flag recursivo, ya que Claude Code lee rm /Volumes/USB/build/* como una eliminación de /Volumes/USB/build.

Incluso con una regla de permiso para rm, Claude Code maneja el comando como una eliminación de ruta crítica: una solicitud de permiso o una denegación según tu modo de permisos. Aprueba la solicitud para permitir que el rm se ejecute, o desactiva la solicitud.

Rutas que reciben la solicitud de unidad montada

Compara el objetivo de tu rm recursivo o eliminación /* con estas formas de ruta, donde cada marcador de posición como <drive> o <name> representa exactamente un segmento de ruta:

Para un rm recursivo o no recursivo sobre /Volumes, /media o /mnt en sí, ves en su lugar el motivo de ruta crítica Dangerous rm operation on critical path: <path>.

Un objetivo relativo se cuenta desde tu directorio de trabajo, así que rm -rf build mientras trabajas en /Volumes/USB se dirige a /Volumes/USB/build y recibe la solicitud.

Desactivar la solicitud de unidad montada

Para dejar de recibir la solicitud de unidad montada mientras se mantienen las solicitudes por otras causas, inicia Claude Code con CLAUDE_CODE_DISABLE_MOUNTED_DRIVE_RM_PROMPT=1 en su entorno. Por ejemplo, establece la variable en tu shell e inicia claude desde él:

export CLAUDE_CODE_DISABLE_MOUNTED_DRIVE_RM_PROMPT=1
claude

En una sesión iniciada de esa manera, la solicitud de unidad montada deja de aparecer para una unidad completa como /Volumes/USB y para las demás rutas de la lista. Si permites Bash(rm *), usas el modo Manual y trabajas en /Volumes/USB, entonces rm -rf build se ejecuta sin solicitud de permiso.

Una solicitud que todavía muestra Dangerous rm operation on mounted drive path significa que la variable no está llegando a la sesión:

• Variable en un archivo de configuración: Claude Code ignora la variable en el bloque env de un archivo de configuración, sea cual sea el tipo de archivo de configuración, así que establece la variable donde inicias claude
• Sesión iniciada sin la variable: vuelve a iniciar claude desde un entorno donde la variable esté establecida, ya que una sesión en ejecución no la detecta

Eliminaciones que siguen pidiendo confirmación con la solicitud de unidad montada desactivada

En modo Manual con una regla de permiso para rm, un rm sobre una ruta de unidad montada aún puede pedir confirmación, sin el motivo Dangerous rm operation on mounted drive path:

• Objetivo fuera de tus directorios de trabajo: rm -rf /Volumes/USB/other mientras trabajas en /Volumes/USB/project recibe una solicitud de permiso. Para evitar esa solicitud, agrega a la sesión un directorio que contenga el objetivo
• Objetivo con un *: rm -rf build/* recibe una solicitud de permiso. Aprueba esa solicitud para ejecutar el comando, o pídele a Claude que nombre cada objetivo sin un *
• Objetivo que es una ruta crítica: /mnt en sí y tu directorio de trabajo en sí siguen siendo rutas críticas, así que rm -rf sobre cualquiera de ellos recibe una solicitud de permiso. Aprueba esa solicitud para permitir que el rm se ejecute

Eliminaciones de rutas críticas en cada modo de permisos

Lo que Claude Code hace con una eliminación de ruta crítica depende de su modo de permisos:

Si una regla ask explícita coincide con el comando, Claude Code le solicita incluso en modo auto y sin límite de tiempo. En modos que solicitan, un hook PermissionRequest puede responder el aviso.

Límites de tiempo y denegaciones en modos auto y bypassPermissions

En modos auto y bypassPermissions, el aviso de la terminal para una eliminación de ruta crítica muestra una cuenta regresiva de dos minutos:

• Si la cuenta regresiva se agota antes de que responda, Claude Code deniega el comando y le dice a Claude qué hacer en su lugar, para que una sesión desatendida siga funcionando.
• Presione cualquier tecla mientras el aviso está abierto para detener la cuenta regresiva y mantener el aviso esperando su respuesta.
• Después de que tres de estos avisos se agoten sin respuesta en una sesión, Claude Code deja de mostrarlos y deniega las eliminaciones de rutas críticas posteriores inmediatamente. Enviar un nuevo mensaje reinicia el contador.

El límite de tiempo se aplica en Claude Code v2.1.281 y posterior, al igual que la denegación del modo auto fuera de la terminal.

Fuera de la terminal, no recibes esa solicitud de permiso:

Dondequiera que se deniegue la eliminación, puedes leer el comando completo y ejecutarlo en tu shell.

Para cambiar lo que recibes en cada modo, establece CLAUDE_CODE_DISABLE_DANGEROUS_RM_TIMEOUT en 1:

• bypassPermissions: la solicitud de permiso de la terminal no tiene límite de tiempo, y el panel de chat de VS Code te pregunta
• auto: decide el clasificador, en la terminal, el panel de chat de VS Code, las ejecuciones con -p y las sesiones de Agent SDK

Establécela en el entorno que inicia Claude Code, como tu shell o la opción env del SDK, no en un archivo de configuración de Claude Code. Para el panel de chat, agrégala a claudeCode.environmentVariables en el settings.json de usuario del propio VS Code y luego inicia una nueva conversación:

{
  "claudeCode.environmentVariables": [
    { "name": "CLAUDE_CODE_DISABLE_DANGEROUS_RM_TIMEOUT", "value": "1" }
  ]
}

Remove-Item en PowerShell

Cuando habilita la herramienta PowerShell, Claude Code da a Remove-Item y a los comandos integrados de cmd rd, rmdir, del y erase sus propias verificaciones, separadas de la lista de rutas críticas rm. Para Remove-Item, el resultado depende del objetivo, y se aplica el primer caso coincidente:

• Rutas del sistema: la raíz del sistema de archivos y sus directorios de nivel superior, raíces de unidad y sus directorios de nivel superior, y su directorio de inicio. Claude Code deniega el comando en todos los modos, sin solicitarle.
• Comodines: un * desnudo, o cualquier objetivo que termine en /* o \*, incluido un glob bajo una variable de shell como $dir/*. Claude Code deniega el comando en todos los modos, sin solicitarle, antes de que el clasificador lo vea.
• Su directorio de trabajo o uno de sus padres, con -Recurse: Claude Code trata el comando como cualquier otro que necesita aprobación en su modo de permisos, por lo que le solicita en modos que solicitan, lo envía al clasificador en modo auto y lo deniega en modo dontAsk. El modo bypassPermissions omite esta verificación.

El caso de rutas del sistema también se aplica a rd, rmdir, del y erase cuando Claude los ejecuta a través de cmd, como en cmd /c rd /s /q C:\Users. De forma predeterminada, Claude Code deniega tal comando en todos los modos, sin solicitarle. Esta verificación de cmd requiere Claude Code v2.1.283 o posterior.

Al juzgar un objetivo de cmd, Claude Code trata una variable de PowerShell que sigue texto literal como vacía. Eso hace que cmd /c rd /s /q "C:\$name" sea una eliminación de C:\, por lo que también se deniega. Un comodín final cuenta como la carpeta que vacía, por lo que cmd /c del /q C:\* se deniega y cmd /c del /q dist\* en su proyecto no.

Para desactivar la verificación de cmd, establezca CLAUDE_CODE_DISABLE_POWERSHELL_CMD_RM_DENY=1 en el entorno que inicia Claude Code. Claude Code ignora esta variable en el bloque env de un archivo de configuración. Remove-Item en una ruta del sistema permanece denegado de cualquier manera.

Véase también

• Permisos: reglas de permitir, solicitar y denegar; políticas administradas
• Configurar modo automático: indique al clasificador qué infraestructura confía su organización
• Hooks: lógica de permisos personalizada mediante hooks PreToolUse y PermissionRequest
• Seguridad: salvaguardas y mejores prácticas
• Sandboxing: aislamiento del sistema de archivos y red para comandos Bash
• Modo no interactivo: ejecutar Claude Code con la bandera -p