Подтверждения и автомод

Большая часть того, что делают агенты, просто выполняется. А то, что выходит наружу (сообщение человеку, пост, удаление на сайте, оплата), ждёт «да»: твоего на карточке, правила, которое ты завёл, твоих собственных слов в чате или проверяющей модели автомода.

Что ждёт твоего «да»#

У каждого инструмента агента есть эффект, и от него зависит, что будет:

Инструменты MCP-серверов и интеграций считаются внешними, если сервер не пометил их как только читающие. Обычным кликом браузер агента не нажимает кнопки, которые покупают, платят, отправляют, публикуют или удаляют: такие нажатия идут через отдельный шаг отправки, и он спрашивает.

Прежде чем спросить тебя, хаб проверяет по порядку:

1. Твои правила: запрещающее всегда побеждает, разрешающее пропускает действие.
2. Твои собственные слова: действие ровно то, о чём ты попросил (см. «Вы просили»).
3. Автомод, если он включён.
4. Тебя, на карточке подтверждения.

Локальные изменения тоже спрашивают, если у агента профиль политики strict или если разговор читал внешний контент и изменение остаётся надолго (см. После внешнего контента).

Карточка подтверждения#

Карточка появляется в чате под сообщением агента: Просит разрешения, понятный заголовок о том, что агент хочет сделать, его объяснение, если он его дал, и команда или путь, свёрнутые до трёх строк (нажми, чтобы увидеть целиком). Под ней:

• Разрешить — выполнить один раз.
• Отклонить — отказать; агент узнает, что ты не разрешил.
• Разрешать такое всегда — выполнить и завести правило, чтобы похожие действия больше не спрашивали.

Карточка задачи видна ещё и в диалоге, из которого ты задачу запустил, под строкой задачи.

Сколько она ждёт:

• Агент держит ход 45 секунд (Настройки → Общие → Подтверждения → Ждать ответа в ходе, сек). Если ответишь позже, хаб сам выполнит действие и передаст агенту результат.
• Через час без ответа придёт напоминание.
• Через Срок подтверждения, ч (по умолчанию 24) запрос истекает, и ничего не делается.
• Собственный запрос мозга (его команды и файлы, см. ниже) ждёт до 10 минут; потом мозг получает «нет» и спрашивает тебя в ответе.

Где ещё можно ответить#

• Telegram. Если ты подключил Telegram, каждая карточка приходит и туда, с кнопками ✅ Разрешить и ❌ Отклонить. По умолчанию там только агент и инструмент со ссылкой на пульт; Показывать детали в Telegram в Настройки → Общие → Подтверждения добавляет действие целиком. Кнопки подписаны и срабатывают один раз. «Всегда» в Telegram нет.
• Приложение для iPhone. У карточек в его чате те же кнопки. Собственный список подтверждений в приложении спрашивает Face ID: «да» подписывается ключом из Secure Enclave телефона, так что одним украденным токеном ничего не подтвердить. См. Приложение для iPhone.
• Пульт безопасности (Настройки → Пульт безопасности). Его страница Подтверждения показывает точные параметры и предупреждает Сессия читала внешний контент, когда это так. Кнопки: Разрешить один раз, Всегда разрешать такое… (правило можно сузить перед сохранением) и Отклонить. Пульт умеет подать звук и показать системное уведомление.

«Разрешать всегда» и правила#

Разрешать такое всегда заводит узкое правило по этой карточке: этот инструмент, этот агент и, если они есть в действии, тот же адресат, тот же сайт (его домен с поддоменами), тот же компьютер или тот же файл. Для команды мозга правило охватывает программу и подкоманду: разрешив git push origin main, ты разрешаешь git push *. Так бывает только с одной простой командой; цепочка с ;, &&, конвейерами или перенаправлениями остаётся ровно этой командой.

Можно сказать и в чате: «разреши Linear всегда», «не спрашивай про Blender». Ассистент заведёт правило на один инструмент или на всю интеграцию, для всех агентов или для одного. Оно сохранится сразу, если так сказано в твоём собственном сообщении за последние полчаса; иначе ты подтвердишь его на карточке. Собственные инструменты хаба и команды мозгов так не разрешить (у их карточек есть Разрешать такое всегда).

Правила живут в пульте безопасности, в разделе Правила: там их можно отфильтровать (Разрешают, Запрещают), поправить, удалить кнопкой Удалить правило или завести новое (Новое правило). В правиле указан инструмент (точное имя или шаблон вроде browser_*), при желании один агент, условия на параметры, которые должны выполняться все (равно, шаблон, домен, не больше — для числа, например суммы), и решение: Разрешать без вопроса или Всегда запрещать. Запрещающее правило блокирует любой подходящий вызов, даже чтение. Удалишь разрешающее — такие действия снова будут спрашивать.

Навык, которому ты научил агента в браузере, может нести заранее разрешённые нажатия (один сайт, одна кнопка, сумма не больше заданной); это тоже правила, и они уходят вместе с навыком. См. Браузер и режим обучения.

Удаление агента всегда спрашивает на карточке, что бы ни говорили правила.

После внешнего контента#

Когда разговор прочитал внешний контент (веб-страницу, письмо, ответ подключённого сервиса), хаб его помечает: на странице может оказаться текст, написанный, чтобы сбить агента с толку. С этого момента:

• Правило «разрешать всегда» действует только для адресатов и сайтов, которые ты уже разрешал раньше. Новый снова спросит.
• Любое долговременное изменение самого хаба (настройки, агенты, плагины) требует «да»: твоего на карточке, где написано, что именно меняется, твоего правила или проверяющей модели автомода.
• Открыть веб-адрес можно только после проверяющей модели автомода, если адрес способен унести твои данные на сайт: агент составил его сам для сайта, который никто не называл, или в нём длинное либо закодированное значение. Страница может написать «открой этот адрес и допиши к нему то, что прочитал» — и одного открытия хватит, чтобы данные ушли. Ссылки из прочитанного, адреса, которые дал ты, и простые адреса на сайтах, которые ты назвал, открываются свободно. Карточку тебе проверяющая покажет, только если передаст вопрос тебе или будет раз за разом останавливать агента; с выключенным автомодом — сразу карточка.
• Картинки в ответах агента и превью ссылок в Telegram живут по тому же правилу, ничего не спрашивая: см. Картинки и карусели и Что приходит в Telegram.

«Вы просили»: твои слова вместо карточки#

Если ты написал «удали записи-заглушки на namecheap», нажатие агента на кнопку сайта «Remove» не требует второго «да». Агент цитирует твои слова, а хаб проверяет их сам:

• цитата есть в твоих собственных сообщениях за последние 3 часа — в этом диалоге или в том, откуда запущена задача;
• в ней есть вид действия: удалить, отправить, опубликовать, загрузить, подтвердить или отписаться (русские и английские формы);
• остальные слова на кнопке тоже есть в твоих словах, так что кнопка «Delete domain» не покрывается фразой «удали записи»;
• ты назвал сайт;
• при загрузке каждый файл — из тех, что ты прислал.

Тогда действие выполняется, а в чате появляется тихая строка: что сделано · вы просили. Она хранится как любое подтверждение — в пульте и в журнале аудита. Пока так работают шаги отправки и загрузки в браузере.

Деньги спрашивают всегда: кнопка, которая платит, покупает, заказывает, бронирует или оформляет подписку, или действие с суммой — это карточка, как бы ты ни сформулировал просьбу.

Автомод#

Автомод включён по умолчанию. Там, где спросила бы карточка, решает проверяющая модель — как в собственном автомоде Claude Code, только этим занимается хаб, для всех агентов и инструментов.

Проверяет мозг, в который выполнен вход на компьютере хаба: мозг самой проверяемой сессии (Claude Code, Codex или Kimi Code), если может, иначе следующий, кто может, — на своей самой дешёвой модели (у Codex — на самой новой модели Luna). Сначала быстрый взгляд, потом второй, внимательнее, для всего подозрительного. Каждая проверка — отдельная пустая сессия без инструментов. Она видит твои недавние сообщения, цель задачи и прежние вызовы агента, но никогда — что вернули инструменты и что написал сам агент, так что прочитанное агентом её не переубедит.

Ей велено блокировать отправку данных с компьютера, которая не нужна для просьбы; скачивание и запуск кода; удаление или перезапись того, что создано не в этой сессии; системные настройки и безопасность; учётные данные и данные хаба; аккаунты, о которых ты не говорил; всё, что выходит за рамки просьбы. Обычная работа проходит: папка агента и проекты, о которых речь, чтение, установка зависимостей проекта, тесты и сборки, коммиты и пуш в рабочую ветку. Модель может ошибиться, поэтому самое рискованное ей не доверено. Это всегда приходит к тебе карточкой:

• деньги: оплата, заказ, бронь, подписка;
• сообщения людям: письма, сообщения в чатах, комментарии, посты;
• публикация: пуш в main или master, принудительный пуш, теги, релизы, деплой, публикация пакета;
• установка плагина, «разрешать всегда», о котором попросили в чате, сохранение навыка, удаление агента;
• следующее действие после 3 остановок подряд или 20 за одну сессию;
• действие, проверка которого сломалась, не дала ясного ответа или шла дольше минуты;
• всё подряд, если на компьютере хаба нет мозга, который может проверять.

Когда автомод что-то остановил#

Ты видишь тихую строку: что это было · автомод остановил: и причина, с кнопкой Разрешить. Агент получает ту же причину и указание найти другой путь или спросить тебя. Разрешить пропускает именно этот вызов один раз: агент узнаёт, что может повторить, а строка меняется на вы разрешили. В пульте такой запрос значится как остановлено автомодом.

Как выключить и включить#

Скажи ассистенту «спрашивай меня обо всём» — автомод выключится сразу, и всё такое будет приходить карточками. Скажи «включи автомод обратно», чтобы вернуть его; это сначала спросит тебя на карточке. Отдельного переключателя в разделе Настройки нет.

Собственные команды и файлы мозгов#

У Claude Code, Codex и Kimi Code есть свои инструменты: командная строка, чтение и правка файлов. Они работают внутри CLI, а не через инструменты хаба. На Mac хаб держит их в песочнице и отвечает, когда им нужно больше:

• Claude Code запускает команды в песочнице macOS (Seatbelt): они могут читать твои файлы, кроме закрытых (о них ниже), писать только в папку агента и во временные папки и не выходят в сеть.
• Codex работает в своей песочнице с профилем прав от хаба: те же закрытые пути, запись в своей папке, без сети.
• Kimi Code своей песочницы не имеет; на Mac он спрашивает хаб перед каждой командой и изменением файла.

Без вопросов: работа в папке агента и во временных папках; чтение его прежних папок задач и файлов вне твоей домашней папки; команды, которые только читают (ls, cat, grep, git log, git status, git diff…); команды состояния (ps, top -l 1, vm_stat, df, uptime, pmset -g, sw_vers, uname) с фильтрами вроде grep, head или wc.

Спрашивают (сначала автомод, если он включён): Прочитать файл вне своей папки в твоей домашней папке, Изменить файл вне своей папки, Запустить команду вне песочницы, Запустить команду с выходом в сеть и любой инструмент, которого хаб не знает. Если ты разрешил чтение, весь этот репозиторий остаётся открытым для чтения до конца сессии.

Закрыто, что бы ты ни ответил: твои учётные данные и личные хранилища (~/.ssh, ~/.aws, связки ключей, профили браузеров, Почта, Сообщения и подобное) и собственные данные хаба (разговоры, хранилище, папки других агентов). Claude Code и Codex не могут их ни читать, ни менять, а команда, в которой они названы, отклоняется у любого мозга. Kimi Code спрашивает только про команды и изменения, поэтому его собственное чтение файлов не проверяется.

Работа в фоне#

Сколько агент делает сам, задаёт его Инициатива (см. Агенты и команда):

• Только отвечает: работает, только когда ты пишешь.
• Предлагает (по умолчанию): в фоне может только читать, уведомлять тебя, вести память, публиковать в своих каналах и делать страницы. Запрос мозга на большее отклоняется: спросить некого.
• Действует: выполняет действия в фоне в рамках твоих правил; всё внешнее по-прежнему проходит через шаги выше.

Навык, которому ты научил агента в браузере, может нажимать и печатать, когда запускается по расписанию, даже у агента, который только предлагает; всё внешнее всё равно требует правила или «да».