Beveiligingen configureren

Deze gids laat je zien hoe je beveiligingen configureert: de regels die bepalen of een actie van een agent wordt uitgevoerd, eerst om goedkeuring vraagt of wordt geweigerd.

Beveiligingen dekken de dertien effectklassen die elke muterende tool declareert. Ze worden server-side afgedwongen op het moment dat de tool wordt aangeroepen, nooit door een instructie in een prompt.

Een beslissing instellen voor een actieklasse

Ga naar Instellingen → Werkruimte → Agentmachtigingen
Kies een bereik met de segmentschakelaar: Werkruimte, Agent (kies daarna de agent) of Ruimte (kies daarna de ruimte)
Kies op de rij van de actieklasse Toestaan, Eerst vragen of Weigeren
Wil je een regel die je hebt ingesteld weghalen, druk dan op de resetknop die aan het einde van die rij verschijnt (Terug naar overgenomen waarde) — de beslissing valt dan terug op het bredere bereik

Elke rij toont de effectieve beslissing als een statustag en een badge voor de herkomst: Dit bereik, Overgenomen of Standaardwaarde. De matrix wordt berekend voor de Agent-modus (chat), dus Modusvoorinstelling verschijnt hier nooit — gebruik de wat-als-probe met een gekozen alleen-lezen- modus om die laag te zien.

Voor het schrijven van een regel is de rol admin nodig. De matrix lezen kan zonder die rol.

Controlepunt: zet Naar een remote pushen op Weigeren op het niveau van de werkruimte en voer hieronder de wat-als-probe uit voor git push origin main. Het resultaat luidt deny met bron workspace.

Hoe een beslissing wordt bepaald

De bepaling verloopt volgens eerst specificiteit, dan beperkendheid:

Ruimte-regels, dan agent, dan werkruimte. Het eerste bereik met een overeenkomende regel beslist en de bepaling stopt
Komt geen regel overeen, dan geldt de modusvoorinstelling — een alleen-lezen-modus (plan, review, orkestratie) weigert elf van de dertien klassen
Heeft de modus niets te zeggen, dan geldt de standaardwaarde

Binnen één bereik wordt een opdrachtregel bepaald door de langst overeenkomende prefix en wordt een even specifiek conflict bepaald als het meest beperkend — weigeren wint van eerst vragen, dat wint van toestaan. Een actie die meerdere klassen declareert, bepaalt elke klasse afzonderlijk en combineert ze daarna volgens de meest beperkende.

Een beslissing Eerst vragen levert één goedkeuringsprompt op voor elke klasse die op prompt is uitgekomen. Zonder verbonden goedkeurder wordt de actie geweigerd, voor zowel shell-opdrachten als toolaanroepen van de harness. Dat is bewust: een run zonder poortwachter is erger dan een geweigerde run.

Actieklassen en ingebouwde standaardwaarden

Actieklasse	Standaardwaarde
Een bestand verwijderen	Eerst vragen
Buiten de worktree schrijven	Toestaan
Een commit maken	Toestaan
Naar een remote pushen	Eerst vragen
Een pull request openen	Eerst vragen
Een review publiceren of mergen	Eerst vragen
Naar een externe tracker schrijven	Eerst vragen
Toegang tot het netwerk	Toestaan
Een secret lezen	Toestaan
Een pakket installeren	Toestaan
Een proces uitvoeren	Toestaan
Werkruimtestructuur wijzigen	Toestaan
Een omhulling (rig) aansturen	Toestaan

De taxonomie is gesloten. Een nieuwe tool die wordt uitgebracht zonder zijn klassen te declareren, faalt op een ratchet-test in CI, zodat niets aankomt met een stilzwijgend lege effectverzameling.

Een regel testen met de wat-als-probe

Controleer voordat je een regel wijzigt hoe het huidige beleid deze al bepaalt.

Scroll op dezelfde pagina naar Wat als?
Kies een Actie (een van de dertien klassen)
Vul optioneel Opdracht in (bijvoorbeeld git push origin main), Agent, Ruimte en Modus
Lees het resultaat: de beslissing, de reden en Bron:

De probe gebruikt dezelfde resolver als het afdwingingspad, tegen je actuele regels, dus het antwoord is exact. Verrast het je, wijzig dan een regel in de matrix hierboven en probeer het opnieuw.

De autonomieschakelaar van een ruimte instellen

De schakelaar geldt per agent per ruimte en werkt samen met de regels in plaats van ze te vervangen.

Open de ruimte
Open Deelnemers beheren vanuit de ruimtekop
Kies onder Autonomie op de rij van de agent een niveau:

Niveau	Effect
Standaard	Geen ruimte-instelling — gedraagt zich als Handelen met goedkeuring
Alleen voorstellen	Elke tool die langs de poort moet, wordt direct geweigerd, met een bericht waarin de agent wordt gevraagd de actie in plaats daarvan voor te stellen
Handelen met goedkeuring	Risicovolle acties stuiten op de fail-closed-goedkeuringspoort
Vrij handelen	Keurt alles vooraf goed wat niet op een harde weigering is uitgekomen

De schakelaar reikt alleen tot de ingebouwde harness. De Claude Code-adapter draait zijn eigen tools buiten deze poort.

Weten waar beveiligingen niet reiken

De tabel Waar regels worden afgedwongen onderaan dezelfde pagina is de in-app-versie hiervan: per effectklasse geeft die aan of elke runner het bij de beleidscontrole onderschept, het aan de sandbox overlaat of het helemaal niet kan onderscheppen.

De Claude Code-adapter heeft maar voor een deel van zijn eigen toolaanroepen een poort. Claude Code wordt gestart met --dangerously-skip-permissions, dus de aanroepen voor lezen, schrijven en bewerken gaan nooit langs de bewaking. Zijn bash-opdrachten bereiken die via een hook die de opdrachtregel indeelt, en zijn pushes lopen zoals die van elke agent via de push-gateway. Ook het MCP-tooloppervlak waarnaar hij terugbelt en de shell-opdracht die Control Center start om hem te lanceren gaan langs de poort.
Het eigen uitvoerwerkwoord van een modus (submit_plan, propose_orchestration) is vastgezet en kan nooit worden geweigerd — anders zou een modus structureel niet in staat zijn zijn enige eindresultaat te produceren.
Of de sandbox deze regels ondersteunt, hangt van de host af. Waar cc_server een backend vindt, omhult het de Claude Code CLI en de bash-tool van de harness, zodat een regel die je niet zelf hebt geschreven toch een OS-basis onder zich heeft. Op Windows is die er niet en op Linux of WSL2 zonder bwrap en socat is die er ook niet — daar zijn de beveiligingen plus het tooloppervlak van de modus de hele afdwinging, niet een tweede linie daarvan. Controleer in welk geval je zit met Sandboxbeleid configureren.