Deny-правила для ИИ-агентов: OpenCode и Claude Code

Что делает deny-правило

Агент-программист читает файлы с вашими правами. Всё, что он прочитал, попадает в запрос, а оттуда — провайдеру модели, в историю сессии и в любой её экспорт. Deny-правило велит самому инструменту агента отказаться от действия над ресурсом: чтения пути, запуска команды, загрузки навыка. Его исполняет инструмент, а не модель, поэтому оно держится, даже когда запрос просит обратного.

Deny-правило — не песочница. Оно останавливает действия, которые инструмент распознаёт; скрипт, запущенный агентом, по-прежнему может открыть любой файл, доступный вашему пользователю. Первый случай ниже показывает обе стороны на одном секретном файле. Где проходит граница, в OpenCode и Claude Code различается, поэтому дальше у каждого инструмента свой раздел, а за ними — пробелы и проверенный пример.

Первый случай: учётные данные FTP в site.env

Представьте, что вы только что установили OpenCode и открыли проект своего сайта. Рядом с кодом лежит site.env с учётными данными FTP для хостинга. Вы хотите, чтобы агент написал скрипт, который загружает сайт, а пароль не должен попасть в модель никогда.

Идея. Чтобы написать скрипт, агенту нужны имена переменных, а не их значения. Скрипт читает site.env, когда вы его запускаете, на вашей машине; агент только пишет его. Поэтому агент получает файл примера с теми же именами и фиктивными значениями, не может читать, писать или называть настоящий файл, а каждая команда оболочки сначала спрашивает, так что ничего не запускается, пока вы не увидите.

Что делает свежая установка. Без конфигурации OpenCode спрашивает перед чтением файла *.env.

Это защищает вас только до случайного подтверждения: одно ошибочное или невольное одобрение отправляет в модель весь файл.

Оболочка не спрашивает вовсе: когда агент выполняет cat site.env, пароль идёт прямо в модель.

У OpenCode есть ещё инструмент grep, который ищет внутри файлов.

Он пропускает файлы, перечисленные в .gitignore, но запрет чтения его не останавливает: если site.env там не указан, поиск пароля вернёт строку, где он лежит.

Тесты в конце этой главы показывают каждый случай.

Простейшая схема. Пять файлов рядом с сайтом.

Каждое имя файла кликабельно и ведёт к своему шагу:

my-site/ ├── opencode.jsonc OpenCode rule set 1: the shell asks, site.env is denied ├── .gitignore site.env, so git and the grep tool skip it ├── site.env the real credentials; the agent never opens it ├── site.env.example the same names with dummy values; the agent reads this one ├── deploy.sh written by the agent, run by you └── public/ the files to upload

Шаг 1: файл примера. Скопируйте имена из site.env и замените каждое значение фиктивным. Настоящий site.env сохраняет те же имена с настоящими значениями.

vi site.env.example

FTP_HOST=ftp.example.com FTP_USER=your-ftp-user FTP_PASS=your-ftp-password

Шаг 2: держите site.env вне git. Эта строка убирает учётные данные из истории и из каждого git diff, а инструмент grep в OpenCode пропускает файлы, которые игнорирует git. Без неё grep вернёт пароль даже при включённом запрете чтения.

echo site.env >> .gitignore

Шаг 3: набор правил OpenCode 1. Четыре правила в opencode.jsonc в корне проекта. В этой главе они называются набор правил OpenCode 1.

Побеждает последнее совпавшее правило (следующая глава), поэтому запреты идут после правила оболочки:

vi opencode.jsonc

{ "$schema": "https://opencode.ai/config.json", "permissions": [ // The shell asks first: the agent writes deploy.sh, you run it. { "action": "shell", "resource": "*", "effect": "ask" }, // site.env: never read, never written, never named in a command. { "action": "read", "resource": "*site.env", "effect": "deny" }, { "action": "edit", "resource": "*site.env", "effect": "deny" }, { "action": "shell", "resource": "*site.env*", "effect": "deny" } ] }

• Оболочка спрашивает. Свежий OpenCode выполняет любую команду без запроса, включая cat site.env. С ask каждая команда ждёт вас.
• Запрет чтения. Встроенное правило только спрашивает, и одобрение, нажатое мимоходом, отправляет файл; запрет держится даже под --auto (тест 10). Шаблон заканчивается на site.env, поэтому site.env.example остаётся читаемым.
• Запрет правки. Запрет чтения не останавливает инструмент записи (проверка 1), а агент не должен перезаписывать учётные данные.
• Запрет оболочки. Останавливает команду, которая называет файл: cat site.env, . ./site.env, grep PASS site.env. Он же останавливает cat site.env.example; пример агент читает инструментом чтения.

Шаг 4: попросите скрипт. Скажите агенту, где лежат имена и что значения загружаются во время запуска:

opencode run "Write deploy.sh: a POSIX sh script that uploads every file in public/ to the FTP server with curl. At run time it must load FTP_HOST, FTP_USER and FTP_PASS from site.env next to it and never print them. Read site.env.example to learn the variable names. Create the file with the write tool. Do not run anything and do not use the shell."

В тесте агент прочитал только site.env.example и написал скрипт примерно на сто строк, который загружает site.env через ., отключает трассировку команд и передаёт пароль в curl через стандартный ввод, так что он не появляется и в списке процессов. Пароля не было ни в ответе, ни в скрипте.

Шаг 5: прочитайте скрипт, затем запустите его сами. Перед первым запуском поищите всё, что печатает переменные, например echo или set -x:

sh deploy.sh

Если агент захочет запустить скрипт, OpenCode сначала спросит. Одобряйте только прочитанный скрипт: всё, что он напечатает, уходит в модель.

Тесты

Условия теста

Тесты шли 23.10.2026 с OpenCode 2.1.3 и бесплатной моделью OpenCode.

Проектом был временный репозиторий с фиктивным site.env, указанным в .gitignore.

Его пароль был dummy-pass-7731: ответ, в котором он есть, показывает, что файл прочитан.

Строки и запросы

Строки с пометкой набор правил OpenCode 1 использовали ровно четыре правила из шага 3.

Строки с пометкой нет шли без конфигурации.

Каждый запрос просил один вызов инструмента, как в тестах ниже.

Строка шага 4 использовала запрос из шага 4.

Запуски не получали ввода (< /dev/null), поэтому не могли ответить на запрос: спросил означает, что OpenCode запросил разрешение, а запуск его отклонил.

Как читать результаты

Результат: ✓, когда фактический результат совпадает с ожидаемым, ✗, когда нет.

Красное в столбце «Ожидалось»: запуск должен раскрыть пароль.

Красное и жирное в столбце «Фактически»: пароль раскрыт, хотя тест ожидал, что он останется в безопасности.

Что остаётся открытым. Набор правил OpenCode 1 останавливает каждый вызов инструмента и каждую команду, которые называют site.env.

Остаются четыре пробела, и закрыть их можете только вы:

• Команды, которые добираются до файла, не называя его. Запрет оболочки их не остановит; примеры ниже показывают почему.
• Скрипт печатает то, что читает. Отладочная строка в deploy.sh выводит пароль на экран и в модель, если агент его запускал. Читайте скрипт перед первым запуском.
• Вложения. Не прикрепляйте site.env сами: OpenCode отправляет прикреплённый файл независимо от правил (тест 6).
• Строка в .gitignore. Уберите её, и инструмент grep снова прочитает site.env.

Почему запрета оболочки недостаточно. Правило сравнивает свой шаблон *site.env* с текстом команды до того, как команда запустится.

Оно останавливает команду, только когда буквы site.env есть в этом тексте.

Подстановочные знаки, переменные и код раскрываются позже, оболочкой или Python, поэтому команда может открыть файл без этих букв в тексте.

Каждая из этих команд печатает site.env и проходит запрет оболочки:

cat site.e*

cat *.env

f=site; cat $f.env

python3 -c "print(open('site.e' + 'nv').read())"

grep -r PASS .

Первые три есть в таблице выше: с набором правил OpenCode 1 каждая из них спросила, вместо того чтобы получить запрет.

Так что такую команду вы видите до запуска, и только от вас зависит, распознать её и сказать «нет».

Одобрите такую команду или запустите OpenCode с --auto, который одобряет каждый ask (тест 10), и пароль дойдёт до модели. В тестах cat site.e* с --auto не получил запроса, и его ответ содержал пароль.

OpenCode: deny в permissions

Как вы видели в предыдущей главе, правила OpenCode живут в списке permissions файла opencode.jsonc в корне проекта.

Эта глава объясняет, как устроено такое правило. Правило может лежать и в файле агента в .opencode/agents/, только для одной роли:

vi opencode.jsonc

{ "$schema": "https://opencode.ai/config.json", "permissions": [ { "action": "read", "resource": "*.env", "effect": "deny" }, { "action": "read", "resource": "logs/*", "effect": "deny" }, { "action": "shell", "resource": "git push *", "effect": "deny" } ] }

• action: инструмент, например read, edit, glob, grep, shell, skill, subagent, external_directory.
• resource: то, к чему применяется действие. Для read и edit это путь к файлу, относительный к проекту или абсолютный вне его. Для grep это шаблон поиска, а для glob — шаблон glob, а не путь.
• effect: allow, ask или deny. Побеждает последнее совпавшее правило: глобальные правила загружаются первыми, правила агентов после них.

После правки перезагрузите фоновый сервис и проверьте, что разрешилось у каждого агента:

opencode reload

opencode debug agents

Claude Code: permissions.deny

Общие правила проекта лежат в .claude/settings.json, личные — в ~/.claude/settings.json:

vi .claude/settings.json

{ "permissions": { "deny": [ "Read(**/.env)", "Read(//**/logs/**)", "Bash(git push *)" ] } }

• Правила Read действуют на инструмент Read и, по мере возможностей, на Grep и Glob, на упоминания файлов через @, на файловые команды, которые Claude Code распознаёт в оболочке, например cat, head и tail, и на перенаправления оболочки. Запрет Read блокирует также Edit и Write на том же пути.
• Приоритет: запрет любого уровня побеждает; ни одно правило allow в другом файле настроек его не отменит.
• Доверие не нужно: проектные правила deny и ask действуют до того, как вы примете диалог доверия к рабочему пространству, потому что они только ограничивают.
• Правила Bash совпадают с текстом команды, поэтому Bash(git push *) останавливает git push origin main, но не git -C . push origin main.

Шаблоны путей, которые совпадают

Одно и то же намерение в двух инструментах записывается по-разному:

В Claude Code один ведущий слэш означает проект, а не корень файловой системы: Read(/Users/alice/file) относителен, Read(//Users/alice/file) абсолютен.

Чего deny-правила не покрывают

Строки про OpenCode ниже проверены на OpenCode 2.1.2 с примером aredel; строки про Claude Code взяты из его документации по разрешениям.

• Инструмент grep в OpenCode: правило grep совпадает с шаблоном поиска, а не с путём. Когда read запрещён на папке логов, инструмент grep всё равно вернул полную строку лога во временном репозитории без .gitignore. Файлы, которые игнорирует git, инструмент действительно пропускает: именно это, а не запрет чтения, не пустило его в site.env в тестах site.env. Укажите такие файлы в .gitignore, запретите grep для роли или держите данные вне проекта.
• Glob: имена файлов остаются видимыми. Имя редко бывает секретом, но оно говорит агенту, что файл существует.
• Вложения: OpenCode отправляет файл, прикреплённый через @ или -f, даже когда read запрещён. Claude Code применяет правила Read с эффектом deny к упоминаниям через @. См. «Что отправляется».
• Оболочка: в OpenCode запрет чтения не покрывает cat; решает только правило оболочки, а одобрение запроса отправляет файл. Claude Code применяет правила Read к cat, head, tail, sed, tee и перенаправлениям, но не к grep -r pattern ., запущенному из папки. В OpenCode запрет оболочки совпадает с текстом команды, поэтому команда, которая добирается до файла, не называя его, проходит (примеры).
• Разрешения агентов OpenCode: побеждает последнее совпавшее правило, а правила агентов загружаются после глобальных, поэтому разрешение агента вроде git diff * снова открывает глобальный запрет оболочки. Повторяйте запрет в конце каждого файла агента с подходящими разрешениями (проверка 7).
• Скрипты: скрипт на Python или Node, который запускает агент, открывает любой файл, доступный вашему пользователю. Для принуждения на уровне операционной системы у Claude Code есть песочница.
• Другие инструменты: правила живут в конфигурации одного инструмента. Другой ассистент, плагин IDE или копирование вручную их не видят.

Пример: репозиторий aredel сейчас и после

В репозитории aredel лежат локальные данные, которых не должна видеть ни одна модель:

До. Конфигурация OpenCode запрещала только *.env и *creds*, что покрывает файл учётных данных FTP, но не логи и не токен backoffice. У Claude Code проектных правил запрета не было вовсе. Роль triage работает на бесплатной модели OpenCode, так что всё прочитанное может попасть в данные обучения. На временной копии раскладки репозитория с одной фиктивной строкой лога (адрес 203.0.113.7 — из диапазона для документации) агента попросили прочитать лог:

→ Read container/tools/analyze_logs/site_logs/prod/access/aredel.com.access.log 203.0.113.7

Набор правил OpenCode 2, применённый к репозиторию 22.10.2026; папка записей посетителей получает ту же пару, что и логи. В OpenCode запрет read на папку логов и папку конфигурации для каждой роли, в opencode.jsonc в корне репозитория. Ведущая * важна: первая версия этого правила называла полный путь проекта и переставала совпадать, как только OpenCode запускали из container/ (тест 9).

Ниже набор правил OpenCode 2: opencode.jsonc в том виде, каким он был в тот день.

Сначала видны только шесть правил этого шага; кнопка под файлом показывает остальные:

vi opencode.jsonc

{ "$schema": "https://opencode.ai/config.json", // Free default. Start OpenCode with container/tools/ai/opencode.sh: it // checks every pinned id first and moves a retired free id to the next // live one in container/tools/ai/free-models.txt. // Roles: .opencode/agents/ (triage, builder, reviewer). // Skills: .claude/skills/ (shared with Claude Code). // Deny rules: tested in /ai/security/deny_rules/. Path patterns start // with * so they also match when OpenCode starts in a subfolder. Every // read deny has an edit twin: a read deny alone does not stop writes. "model": "opencode/deepseek-v4.1-flash-free", "permissions": [ { "action": "shell", "resource": "*", "effect": "ask" }, { "action": "shell", "resource": "git push *", "effect": "deny" }, { "action": "shell", "resource": "sudo *", "effect": "deny" }, { "action": "read", "resource": "*.env", "effect": "deny" }, { "action": "read", "resource": "*creds*", "effect": "deny" }, { "action": "shell", "resource": "git add -A*", "effect": "deny" }, { "action": "shell", "resource": "git add --all*", "effect": "deny" }, { "action": "shell", "resource": "*--no-verify*", "effect": "deny" }, { "action": "shell", "resource": "*.config/aredel*", "effect": "deny" }, { "action": "shell", "resource": "*creds*", "effect": "deny" }, { "action": "read", "resource": "*analyze_logs/site_logs/*", "effect": "deny" }, { "action": "read", "resource": "*services/user_profile/data/*", "effect": "deny" }, { "action": "read", "resource": "~/.config/aredel/*", "effect": "deny" }, { "action": "edit", "resource": "*.env", "effect": "deny" }, { "action": "edit", "resource": "*creds*", "effect": "deny" }, { "action": "edit", "resource": "*analyze_logs/site_logs/*", "effect": "deny" }, { "action": "edit", "resource": "*services/user_profile/data/*", "effect": "deny" }, { "action": "edit", "resource": "~/.config/aredel/*", "effect": "deny" } ] }

У каждого правила чтения есть парное правило правки: в OpenCode запрет чтения не останавливает инструмент записи, который перезаписывал защищённый от чтения фиктивный лог, пока не добавили правило правки (проверка 1).

Поскольку инструмент grep игнорирует правила путей, роль на бесплатной модели лишается ещё и grep — в своём файле агента:

vi .opencode/agents/triage.md

- action: grep resource: "*" effect: deny

Команды оболочки, которые называют папку конфигурации или содержат creds, тоже запрещены, в opencode.jsonc, потому что правило чтения не останавливает cat. Их повторяют в конце каждого файла агента с разрешениями для оболочки, которые иначе победили бы; сегодня в репозитории это файл reviewer:

vi opencode.jsonc

{ "action": "shell", "resource": "*.config/aredel*", "effect": "deny" }, { "action": "shell", "resource": "*creds*", "effect": "deny" }

В Claude Code те же пути записаны в .claude/settings.json с привязкой к корню файловой системы, чтобы они держались в любом каталоге, где начата сессия. Правила оболочки повторяют правила из opencode.jsonc и обеспечивают запреты репозитория на push, индексацию всего и пропуск хуков:

vi .claude/settings.json

{ "permissions": { "deny": [ "Read(//**/analyze_logs/site_logs/**)", "Read(~/.config/aredel/**)", "Read(**/*.env)", "Read(**/*creds*)", "Bash(git push *)", "Bash(sudo *)", "Bash(git add -A*)", "Bash(git add --all*)", "Bash(* --no-verify*)" ] } }

Каждый файл, который защищают эти правила, и то, что каждое правило всё ещё пропускает, перечислены в материале «Защищённые файлы в репозитории aredel».

После. Что делал каждый способ добраться до фиктивного лога при включённых правилах. Ячейки Claude Code с пометкой «проверено» взяты из сессии Claude Code в репозитории, остальные — из его документации:

Эти запуски шли на временной копии без .gitignore. В настоящем репозитории логи были в git-ignore, а инструмент grep в OpenCode пропускает файлы из git-ignore, как показывают тесты site.env, поэтому там он пропускал и логи.

Правило чтения работает, но в OpenCode закрывает лишь одну из пяти дверей. Grep нужно запрещать отдельно или вносить строку в .gitignore, а оболочка и ваши собственные вложения остаются открытыми. Надёжнее структурное исправление: держать логи вне проекта и запретить OpenCode внешнюю папку:

{ "action": "external_directory", "resource": "~/aredel-data/*", "effect": "deny" }

На временной копии с вынесенным из проекта логом инструмент grep ответил Permission denied: external_directory, и инструмент чтения тоже, а роль triage могла сохранить свой grep для кода. Ничто здесь не заменяет простейшее правило: не прикрепляйте такие файлы и держите оболочку на ask.

Окончательное исправление. Именно так в итоге поступил репозиторий aredel: 22.10.2026 рабочие логи уехали из проекта, из container/tools/analyze_logs/site_logs/ в ~/.local/share/aredel/logs/. Инструменты логов находят папку через один общий помощник путей, а AREDEL_LOG_DIR его переопределяет. grep -r, запущенный внутри репозитория, до логов больше не достаёт, а в OpenCode инструменты read, grep и glob теперь сначала встречают правило external_directory. Репозиторий там спрашивает, а не запрещает, так что логи читаются, только когда вы о них попросите:

vi opencode.jsonc

{ "action": "external_directory", "resource": "~/.local/share/aredel/logs/*", "effect": "ask" }, { "action": "read", "resource": "*/.local/share/aredel/logs/*", "effect": "ask" }, { "action": "edit", "resource": "*/.local/share/aredel/logs/*", "effect": "deny" }, { "action": "shell", "resource": "*aredel/logs*", "effect": "ask" }, { "action": "shell", "resource": "*analyze_logs*", "effect": "ask" }

Правила для оболочки важны не меньше правила для папки: в оболочке правило external_directory проверяет только папку команды cd, а не путь, переданный команде (какие команды оболочки попадают под правило). До того как их добавили, роль builder, которая разрешала git diff *, напечатала перенесённый фиктивный лог через git diff --no-index без запроса. Инструменты логов находят папку сами, поэтому запуск чего угодно из analyze_logs тоже спрашивает. В Claude Code перенесённая папка получает Read(~/.local/share/aredel/logs/**). Все правила, которые репозиторий использует сейчас, есть в разделах «Правила, которые сохраняет каждый вариант» и «Вариант B».

Цена: больше запросов на подтверждение

Примените правила из примера aredel, оставив оболочку на ask, и OpenCode будет спрашивать ваше разрешение гораздо чаще. Без конфигурации он выполняет любую команду без запроса: его встроенные правила начинаются с allow для всего. Правило, которое держит эта страница, { "action": "shell", "resource": "*", "effect": "ask" }, превращает в запрос каждую команду оболочки: git status, ls, php -l, каждый прогон тестов. У агента build по умолчанию нет собственных правил allow, поэтому обычная задача «правка и тест» останавливается каждые несколько шагов, а каждое правило ask на папку добавляет сверху свои запросы. После того как правила попали в репозиторий aredel, ручное одобрение шагов стало большой частью каждой сессии.

Множество запросов — само по себе риск: после двадцатого git diff легко одобрить ту единственную команду, которая отправляет лог. Меньше запросов, каждый из которых что-то значит, — безопаснее многих. Между «спрашивать обо всём» и «не спрашивать ни о чём» есть три варианта. Все они сохраняют правила, которые сохраняет каждый вариант; различаются они тем, что можно оболочке и спрашивают ли файлы вне проекта:

Что бы вы ни выбрали, не запускайте OpenCode с --auto. opencode --auto и opencode run --auto одобряют каждое разрешение, которое не запрещено, включая правила ask (тест 10), поэтому папку, для которой вы поставили ask, прочитают без запроса. Под --auto держатся только запреты.

Варианты проверены 22.10.2026 с OpenCode 2.1.3 на временном репозитории с фиктивными файлами и фиктивной домашней папкой, с формой запроса из тестов ниже: Use the shell tool exactly once to run: …, запуск с < /dev/null. Скрипт не может ответить на запрос, поэтому спросил в таблицах означает, что OpenCode запросил разрешение, а запуск его отклонил.

Правила, которые сохраняет каждый вариант

Две группы идут в конце списка, после всего, что разрешает вариант, потому что побеждает последнее совпавшее правило:

• Логи спрашивают. Правила окончательного исправления: папка, инструмент чтения, команды оболочки, которые называют папку, и инструменты логов, которые находят папку сами.
• Секреты и данные посетителей запрещены для чтения, правки и оболочки. Кроме файлов репозитория, это охватывает секреты вне проекта: ~/.ssh, ~/.gnupg, ~/.docker/config.json — и два файла самого OpenCode: auth.json с ключами провайдеров и opencode.db со всеми прошлыми сессиями. Не вся папка ~/.local/share/opencode: OpenCode сохраняет там длинный вывод инструментов в tool-output и читает его обратно.

vi opencode.jsonc

// Logs: read only when you ask for them. The log tools find the // folder themselves, so running them asks too. { "action": "external_directory", "resource": "~/.local/share/aredel/logs/*", "effect": "ask" }, { "action": "read", "resource": "*/.local/share/aredel/logs/*", "effect": "ask" }, { "action": "shell", "resource": "*aredel/logs*", "effect": "ask" }, { "action": "shell", "resource": "*analyze_logs*", "effect": "ask" }, // Secrets and visitor data: denied, last, so nothing above reopens them. { "action": "read", "resource": "*.env", "effect": "deny" }, { "action": "read", "resource": "*creds*", "effect": "deny" }, { "action": "read", "resource": "*services/user_profile/data/*", "effect": "deny" }, { "action": "read", "resource": "*analyze_logs/users.db", "effect": "deny" }, { "action": "read", "resource": "*analyze_logs/site_logs/*", "effect": "deny" }, { "action": "read", "resource": "~/.config/aredel/*", "effect": "deny" }, { "action": "read", "resource": "*/.ssh/*", "effect": "deny" }, { "action": "read", "resource": "*/.gnupg/*", "effect": "deny" }, { "action": "read", "resource": "*/.docker/config.json", "effect": "deny" }, { "action": "read", "resource": "*/.local/share/opencode/auth.json", "effect": "deny" }, { "action": "read", "resource": "*/.local/share/opencode/opencode.db*", "effect": "deny" }, { "action": "edit", "resource": "*.env", "effect": "deny" }, { "action": "edit", "resource": "*creds*", "effect": "deny" }, { "action": "edit", "resource": "*services/user_profile/data/*", "effect": "deny" }, { "action": "edit", "resource": "*analyze_logs/users.db", "effect": "deny" }, { "action": "edit", "resource": "*analyze_logs/site_logs/*", "effect": "deny" }, { "action": "edit", "resource": "*/.local/share/aredel/logs/*", "effect": "deny" }, { "action": "edit", "resource": "~/.config/aredel/*", "effect": "deny" }, { "action": "edit", "resource": "*/.ssh/*", "effect": "deny" }, { "action": "edit", "resource": "*/.gnupg/*", "effect": "deny" }, { "action": "edit", "resource": "*/.docker/config.json", "effect": "deny" }, { "action": "edit", "resource": "*/.local/share/opencode/auth.json", "effect": "deny" }, { "action": "edit", "resource": "*/.local/share/opencode/opencode.db*", "effect": "deny" }, { "action": "shell", "resource": "*git push*", "effect": "deny" }, { "action": "shell", "resource": "*sudo *", "effect": "deny" }, { "action": "shell", "resource": "*git add -A*", "effect": "deny" }, { "action": "shell", "resource": "*git add --all*", "effect": "deny" }, { "action": "shell", "resource": "*--no-verify*", "effect": "deny" }, { "action": "shell", "resource": "*.env*", "effect": "deny" }, { "action": "shell", "resource": "*creds*", "effect": "deny" }, { "action": "shell", "resource": "*.config/aredel*", "effect": "deny" }, { "action": "shell", "resource": "*user_profile/data*", "effect": "deny" }, { "action": "shell", "resource": "*users.db*", "effect": "deny" }, { "action": "shell", "resource": "*.ssh/*", "effect": "deny" }, { "action": "shell", "resource": "*.gnupg*", "effect": "deny" }, { "action": "shell", "resource": "*.docker/config.json*", "effect": "deny" }, { "action": "shell", "resource": "*opencode/auth.json*", "effect": "deny" }, { "action": "shell", "resource": "*opencode.db*", "effect": "deny" }

• Файлам вне проекта нужны эти запреты. Встроенные правила агента по умолчанию разрешают внешние каталоги: со строгой конфигурацией инструмент чтения вернул фиктивный ключ из поддельной папки ~/.ssh без запроса.
• Запреты оболочки совпадают с текстом. OpenCode делит командную строку по ;, && и | и проверяет каждую часть отдельно (дальнейшая настройка), поэтому cd x && cat … проверяется как cd x и cat …. Ведущая * позволяет правилу совпасть с частью, которая называет файл где угодно внутри. Правила немного перехватывают: *.env* останавливает и команду, где упомянут os.environ. И они пропускают команду, которая добирается до файла, не называя его (примеры).
• Файлы агентов идут после этих правил. Разрешение оболочки в файле агента снова открывает каждый совпавший запрет (проверка 7): не давайте роли разрешений для оболочки или повторяйте запреты оболочки в конце её файла, как делает reviewer в aredel.

Вариант A: список разрешений

Оболочка продолжает спрашивать, кроме команд, которые вы одобряете весь день: git status, diff, log и show, ls, php -l, pre-commit и запуск тестов. Файлы вне проекта спрашивают. Ближайший шаг от строгой конфигурации: та же безопасность, но без запросов, которые никогда ничего не значили.

vi opencode.jsonc

// The shell asks, except for commands that only check the repo. { "action": "shell", "resource": "*", "effect": "ask" }, { "action": "shell", "resource": "git status*", "effect": "allow" }, { "action": "shell", "resource": "git diff*", "effect": "allow" }, { "action": "shell", "resource": "git log*", "effect": "allow" }, { "action": "shell", "resource": "git show*", "effect": "allow" }, { "action": "shell", "resource": "ls", "effect": "allow" }, { "action": "shell", "resource": "ls *", "effect": "allow" }, { "action": "shell", "resource": "php -l *", "effect": "allow" }, { "action": "shell", "resource": "pre-commit run *", "effect": "allow" }, { "action": "shell", "resource": "container/tools/run-tests-venv.sh *", "effect": "allow" }, { "action": "shell", "resource": "./tools/run-tests-venv.sh *", "effect": "allow" }, // Files outside the project ask, except OpenCode's saved tool output. { "action": "external_directory", "resource": "*", "effect": "ask" }, { "action": "external_directory", "resource": "~/.local/share/opencode/tool-output/*", "effect": "allow" }, // then the rules every option keeps

• Запросы, которые вы всё же увидите: каждая команда не из списка, файлы вне проекта, логи.
• Что остаётся открытым: одобренный скрипт может открыть любой файл, не называя его. Разрешённый git diff --no-index может напечатать любой файл, поэтому разрешения стоят выше правил, которые сохраняет каждый вариант, а те останавливают его для названных файлов.

Вариант B: открытая оболочка, рискованные шаги спрашивают

Вариант, который использует репозиторий aredel. Оболочка работает без запроса и спрашивает только о шагах, которые вы и так хотели бы увидеть: commit и другие команды git, меняющие историю или рабочее дерево, удаление файлов, сеть, скрипты деплоя, Docker, установки. Она спрашивает и про grep -r, который игнорирует .gitignore и прочитал бы записи посетителей, лежащие в репозитории. Файлы вне проекта спрашивают, кроме вывода инструментов, который OpenCode сохраняет для себя.

vi opencode.jsonc

// The shell runs; these steps ask first. { "action": "shell", "resource": "*", "effect": "allow" }, { "action": "shell", "resource": "*git commit*", "effect": "ask" }, { "action": "shell", "resource": "*git reset*", "effect": "ask" }, { "action": "shell", "resource": "*git restore*", "effect": "ask" }, { "action": "shell", "resource": "*git checkout*", "effect": "ask" }, { "action": "shell", "resource": "*git switch*", "effect": "ask" }, { "action": "shell", "resource": "*git stash*", "effect": "ask" }, { "action": "shell", "resource": "*git clean*", "effect": "ask" }, { "action": "shell", "resource": "*git rebase*", "effect": "ask" }, { "action": "shell", "resource": "*git merge*", "effect": "ask" }, { "action": "shell", "resource": "*git rm *", "effect": "ask" }, { "action": "shell", "resource": "rm *", "effect": "ask" }, { "action": "shell", "resource": "* rm *", "effect": "ask" }, { "action": "shell", "resource": "*curl *", "effect": "ask" }, { "action": "shell", "resource": "*wget *", "effect": "ask" }, { "action": "shell", "resource": "*ssh *", "effect": "ask" }, { "action": "shell", "resource": "*scp *", "effect": "ask" }, { "action": "shell", "resource": "*rsync *", "effect": "ask" }, { "action": "shell", "resource": "*ftp *", "effect": "ask" }, { "action": "shell", "resource": "*deploy-ftp.sh*", "effect": "ask" }, { "action": "shell", "resource": "*deploy-engine.sh*", "effect": "ask" }, { "action": "shell", "resource": "*docker *", "effect": "ask" }, { "action": "shell", "resource": "*pip install*", "effect": "ask" }, { "action": "shell", "resource": "*npm install*", "effect": "ask" }, // grep -r ignores .gitignore and would read the visitor records. { "action": "shell", "resource": "*grep -r*", "effect": "ask" }, { "action": "shell", "resource": "*grep -R*", "effect": "ask" }, // Files outside the project ask, except OpenCode's saved tool output. { "action": "external_directory", "resource": "*", "effect": "ask" }, { "action": "external_directory", "resource": "~/.local/share/opencode/tool-output/*", "effect": "allow" }, // then the rules every option keeps

У роли builder больше нет разрешений для оболочки: глобальные правила уже позволяют оболочке работать, а разрешение в его файле снова открыло бы запреты. Reviewer сохраняет свои разрешения для git на чтение и повторяет запреты оболочки после них.

• Запросы, которые вы всё же увидите: рискованные шаги выше, файлы вне проекта, логи.
• Что остаётся открытым: скрипт или команда оболочки, которая добирается до файла, не называя его, например скрипт Python или find … -exec cat. Путь, который команда оболочки называет, тоже открыт: в оболочке правило external_directory проверяет только cd, поэтому cat на файле вне проекта, который не назван ни одним правилом, выполняется без запроса — как и touch, cp и mkdir, которые там пишут (какие команды оболочки попадают под правило).

Какие команды оболочки попадают под правило external_directory. Правило спрашивает перед тем, как инструменты read, grep и glob откроют путь вне проекта. В оболочке оно проверяет только папку команды cd.

Проверено 06.11.2026 с OpenCode 2.2.5 и правилами набора правил OpenCode 3: каждая команда была единственным вызовом инструмента в opencode run без ввода. $OUT обозначает папку вне проекта, которую не называет ни одно правило:

Запуск без ввода не может ответить, поэтому каждый вопрос заканчивался такой ошибкой:

This non-interactive run cannot ask the user for permission, so the request was rejected. Continue without this action.

Путь вне проекта, который называет команда оболочки, не проверяется — ни для чтения, ни для записи. Останавливает его только правило оболочки на команду или путь, как *.ssh/* и *aredel/logs* делают для названных ими папок.

Вариант C: независимость, секреты всё равно запрещены

Ближе всего к запуску OpenCode без конфигурации: оболочка работает, а файлы вне проекта читаются без запроса. Спрашивают только commit и логи; секреты остаются запрещёнными.

vi opencode.jsonc

// The shell runs; only a commit asks. { "action": "shell", "resource": "*", "effect": "allow" }, { "action": "shell", "resource": "*git commit*", "effect": "ask" }, // then the rules every option keeps

• Запросы, которые вы всё же увидите: коммиты и логи.
• Что остаётся открытым: всё, что оставляет открытым B, плюс каждый файл вне проекта, который не назван ни одним правилом: список запретов должен назвать каждый секрет на машине.

Дальше: локальный curl без запроса

Через день после того, как репозиторий aredel перешёл на вариант B, один запрос стал возвращаться снова и снова. Чтобы проверить страницу, которую он изменил, builder забирал её из локального контейнера, и OpenCode останавливался с:

Permission required $ curl -s http://127.0.0.1:8080/ru/qa/ -o /tmp/opencode/ruqa.html -w "%{http_code} %{size_download}\n"; grep -o "footer[^>]*" /tmp/opencode/ruqa.html | head; echo "--- last 40 lines"; tail -40 /tmp/opencode/ruqa.html

Эта строка — проверка отрисовки, которая никогда не покидает машину. Она скачивает /ru/qa/ с 127.0.0.1:8080, сервиса php-apache из container/docker-compose.yml, который отдаёт container/src, сохраняет страницу в /tmp/opencode/ruqa.html и печатает HTTP-статус, размер, теги подвала и последние 40 строк страницы. Одобрять её снова и снова — как раз тот запрос, о котором предупреждает цена.

Почему он спрашивает. OpenCode делит командную строку по ;, && и |, достаёт команды и из $(…), и проверяет каждую часть отдельно. Здесь grep, head, echo и tail совпадают только с { "action": "shell", "resource": "*", "effect": "allow" }. Часть с curl совпадает ещё и с *curl *, которое идёт позже, а побеждает последнее совпавшее правило: ask. Правило не умеет отличить локальный контейнер от любого другого хоста. Чтобы увидеть порядок, который OpenCode действительно использует, напечатайте правила оболочки агента с их позициями командой opencode debug agents из раздела «OpenCode: deny в permissions». Для агента build по умолчанию до изменения, сокращённо:

opencode debug agents | jq -r '.[] | select(.id=="build") | .permissions | to_entries[] | select(.value.action=="shell") | "\(.key) \(.value.resource) \(.value.effect)"'

5 * allow 6 *git commit* ask … 17 * rm * ask 18 *curl * ask 19 *wget * ask

Правила с 0 по 4 — встроенные правила OpenCode. Правило 18 и спросило.

Новые правила. Два разрешения. Каждое идёт сразу после правила, которое оно смягчает, потому что побеждает последнее совпавшее правило, и оба остаются выше правил, которые сохраняет каждый вариант, так что запреты по-прежнему идут последними.

Ниже набор правил OpenCode 3: opencode.jsonc репозитория aredel с обоими разрешениями.

Три изменённые строки выделены жирным. Сначала видны только они, каждая с тремя строками до и после; кнопка под файлом показывает остальное:

vi opencode.jsonc

{ "$schema": "https://opencode.ai/config.json", // Free default. Start OpenCode with container/tools/ai/opencode.sh: it // checks every pinned id first and moves a retired free id to the next // live one in container/tools/ai/free-models.txt. // Roles: .opencode/agents/ (triage, builder, reviewer). // Skills: .claude/skills/ (shared with Claude Code). // Permissions: option B of /ai/security/deny_rules/#option-b. The shell // runs unasked, risky steps and the logs ask, secrets are denied. The // last matching rule wins, so the denies come last. Path patterns start // with * so they also match when OpenCode starts in a subfolder; every // read deny has an edit twin, because a read deny alone does not stop // writes. Never start OpenCode with --auto: it approves every ask. "model": "opencode/deepseek-v4.1-flash-free", "permissions": [ // The shell runs; these steps ask first. { "action": "shell", "resource": "*", "effect": "allow" }, { "action": "shell", "resource": "*git commit*", "effect": "ask" }, { "action": "shell", "resource": "*git reset*", "effect": "ask" }, { "action": "shell", "resource": "*git restore*", "effect": "ask" }, { "action": "shell", "resource": "*git checkout*", "effect": "ask" }, { "action": "shell", "resource": "*git switch*", "effect": "ask" }, { "action": "shell", "resource": "*git stash*", "effect": "ask" }, { "action": "shell", "resource": "*git clean*", "effect": "ask" }, { "action": "shell", "resource": "*git rebase*", "effect": "ask" }, { "action": "shell", "resource": "*git merge*", "effect": "ask" }, { "action": "shell", "resource": "*git rm *", "effect": "ask" }, { "action": "shell", "resource": "rm *", "effect": "ask" }, { "action": "shell", "resource": "* rm *", "effect": "ask" }, { "action": "shell", "resource": "*curl *", "effect": "ask" }, { "action": "shell", "resource": "curl -s http://127.0.0.1:8080/*", "effect": "allow" }, { "action": "shell", "resource": "*wget *", "effect": "ask" }, { "action": "shell", "resource": "*ssh *", "effect": "ask" }, { "action": "shell", "resource": "*scp *", "effect": "ask" }, { "action": "shell", "resource": "*rsync *", "effect": "ask" }, { "action": "shell", "resource": "*ftp *", "effect": "ask" }, { "action": "shell", "resource": "*deploy-ftp.sh*", "effect": "ask" }, { "action": "shell", "resource": "*deploy-engine.sh*", "effect": "ask" }, { "action": "shell", "resource": "*docker *", "effect": "ask" }, { "action": "shell", "resource": "*pip install*", "effect": "ask" }, { "action": "shell", "resource": "*npm install*", "effect": "ask" }, // grep -r ignores .gitignore and would read the visitor records. { "action": "shell", "resource": "*grep -r*", "effect": "ask" }, { "action": "shell", "resource": "*grep -R*", "effect": "ask" }, // Files outside the project ask, except OpenCode's saved tool output and /tmp/opencode/. { "action": "external_directory", "resource": "*", "effect": "ask" }, { "action": "external_directory", "resource": "~/.local/share/opencode/tool-output/*", "effect": "allow" }, { "action": "external_directory", "resource": "/tmp/opencode/*", "effect": "allow" }, // Logs: read only when you ask for them. The log tools find the // folder themselves, so running them asks too. { "action": "external_directory", "resource": "~/.local/share/aredel/logs/*", "effect": "ask" }, { "action": "read", "resource": "*/.local/share/aredel/logs/*", "effect": "ask" }, { "action": "shell", "resource": "*aredel/logs*", "effect": "ask" }, { "action": "shell", "resource": "*analyze_logs*", "effect": "ask" }, // Secrets and visitor data: denied, last, so nothing above reopens them. { "action": "read", "resource": "*.env", "effect": "deny" }, { "action": "read", "resource": "*creds*", "effect": "deny" }, { "action": "read", "resource": "*services/user_profile/data/*", "effect": "deny" }, { "action": "read", "resource": "*analyze_logs/users.db", "effect": "deny" }, { "action": "read", "resource": "*analyze_logs/site_logs/*", "effect": "deny" }, { "action": "read", "resource": "~/.config/aredel/*", "effect": "deny" }, { "action": "read", "resource": "*/.ssh/*", "effect": "deny" }, { "action": "read", "resource": "*/.gnupg/*", "effect": "deny" }, { "action": "read", "resource": "*/.docker/config.json", "effect": "deny" }, { "action": "read", "resource": "*/.local/share/opencode/auth.json", "effect": "deny" }, { "action": "read", "resource": "*/.local/share/opencode/opencode.db*", "effect": "deny" }, { "action": "edit", "resource": "*.env", "effect": "deny" }, { "action": "edit", "resource": "*creds*", "effect": "deny" }, { "action": "edit", "resource": "*services/user_profile/data/*", "effect": "deny" }, { "action": "edit", "resource": "*analyze_logs/users.db", "effect": "deny" }, { "action": "edit", "resource": "*analyze_logs/site_logs/*", "effect": "deny" }, { "action": "edit", "resource": "*/.local/share/aredel/logs/*", "effect": "deny" }, { "action": "edit", "resource": "~/.config/aredel/*", "effect": "deny" }, { "action": "edit", "resource": "*/.ssh/*", "effect": "deny" }, { "action": "edit", "resource": "*/.gnupg/*", "effect": "deny" }, { "action": "edit", "resource": "*/.docker/config.json", "effect": "deny" }, { "action": "edit", "resource": "*/.local/share/opencode/auth.json", "effect": "deny" }, { "action": "edit", "resource": "*/.local/share/opencode/opencode.db*", "effect": "deny" }, { "action": "shell", "resource": "*git push*", "effect": "deny" }, { "action": "shell", "resource": "*sudo *", "effect": "deny" }, { "action": "shell", "resource": "*git add -A*", "effect": "deny" }, { "action": "shell", "resource": "*git add --all*", "effect": "deny" }, { "action": "shell", "resource": "*--no-verify*", "effect": "deny" }, { "action": "shell", "resource": "*.env*", "effect": "deny" }, { "action": "shell", "resource": "*creds*", "effect": "deny" }, { "action": "shell", "resource": "*.config/aredel*", "effect": "deny" }, { "action": "shell", "resource": "*user_profile/data*", "effect": "deny" }, { "action": "shell", "resource": "*users.db*", "effect": "deny" }, { "action": "shell", "resource": "*.ssh/*", "effect": "deny" }, { "action": "shell", "resource": "*.gnupg*", "effect": "deny" }, { "action": "shell", "resource": "*.docker/config.json*", "effect": "deny" }, { "action": "shell", "resource": "*opencode/auth.json*", "effect": "deny" }, { "action": "shell", "resource": "*opencode.db*", "effect": "deny" } ] }

Первое разрешение — строка 31, сразу после *curl *. Часть с curl, которая начинается ровно с curl -s http://127.0.0.1:8080/, теперь выполняется. Любой другой curl совпадает только с *curl * и всё равно спрашивает: другой хост, другой локальный порт, и тот же запрос, записанный иначе, например curl -sS, localhost или URL в кавычках. Последний вид промаха безопасен: он стоит запроса, а не утечки. В отличие от других правил оболочки, этот шаблон не начинается с *: с ведущей * он совпал бы и с curl к другому хосту, где локальный URL упомянут дальше в строке.

Второе разрешение — строка 49 набора правил OpenCode 3, после правила external_directory, которое заставляет спрашивать каждый путь вне проекта. Комментарий над группой, строка 46, тоже изменился.

/tmp/opencode — собственная временная папка OpenCode: opencode debug paths показывает её как tmp. Curl это правило не нужно: в оболочке external_directory проверяет только cd, а не путь, куда пишет команда (какие команды оболочки попадают под правило), поэтому страница сохранилась туда без запроса. Правило нужно для следующего шага, когда модель открывает сохранённую страницу инструментом read или grep. Без него этот шаг спрашивает.

Две ошибки по пути. Обе оставили OpenCode работать на правилах не тех, что задумывались:

• Пропущенная запятая выключила все правила. В первой версии не было запятой после новой строки external_directory. OpenCode отбрасывает конфигурацию, которую не может разобрать, без предупреждения и возвращается к встроенным правилам, которые разрешают всё: запрос про curl исчез, и все запреты тоже, включая git push, .env и ключи в ~/.ssh.
• Разрешение выше своего ask ничего не делает. Первое разрешение для /tmp/opencode стояло рядом со строками curl, выше правила external_directory с * и эффектом ask. Ask шёл позже и победил.

После каждой правки проверяйте, что OpenCode загрузил файл. Если не загрузил, счёт будет 0:

opencode debug agents | grep -c 127.0.0.1:8080

Затем снова выполните команду jq выше: новое правило должно стоять сразу после *curl *.

18 *curl * ask 19 curl -s http://127.0.0.1:8080/* allow 20 *wget * ask

Тесты

Условия теста

Тесты шли 23.10.2026 с OpenCode 2.1.3 и бесплатной моделью OpenCode.

Проектом был временный репозиторий с копией набора правил OpenCode 3, фиктивным dummy.txt и фиктивным .env.

Строки и запросы

Каждый запрос просил один вызов инструмента, как в тестах ниже.

Локальный curl в таблице — это такая команда:

curl -s http://127.0.0.1:8080/ru/qa/ -o /dev/null

Тесты 12 и 13 шли из терминала, а не через OpenCode, и печатают только код статуса.

Запуски не получали ввода (< /dev/null), поэтому не могли ответить на запрос: спросил означает, что OpenCode запросил разрешение, а запуск его отклонил.

Как читать результаты

Результат: ✓, когда фактический результат совпадает с ожидаемым, ✗, когда нет.

Красное в столбце «Ожидалось»: запуск должен показать пробел — запрос, который добирается до другого хоста без запроса.

Чем рискует правило. До него спрашивал каждый curl. Теперь один вид curl работает без запроса, и вместе с ним приходит всё, что умеет такой вызов:

• Один curl может добраться до других хостов. * в конце шаблона совпадает со всем после локального URL внутри этого одного curl. curl принимает несколько URL в одном вызове, поэтому эта команда совпадает с разрешением и без запроса достаёт оба хоста (тест 11):curl -s http://127.0.0.1:8080/ru/qa/ https://example.com/Тот же хвост может нести -d @file или -T file, которые отправляют файл по следующему URL, -x или --connect-to, которые отправляют сам запрос куда-то ещё, и -K file, который читает ещё опции и URL из файла. Запреты оболочки всё ещё останавливают строку, которая называет защищённый файл, например .env или .ssh/, но файл, который не назван ни одним правилом, может покинуть машину без запроса. Это главная цена правила.
• Цепочки команд сохраняют свои правила. OpenCode проверяет каждую часть отдельно, поэтому разрешение покрывает только часть curl. Второй curl, rm, git commit и wget после него всё равно спрашивают, команда внутри $(…) тоже проверяется, а cat .env по-прежнему запрещён (тесты с 5 по 10).
• Всё, что отдаёт локальный сайт, в одном вызове. URL — не путь к файлу. Запрет чтения на *services/user_profile/data/* никогда не видит HTTP-запрос, а запрет оболочки *user_profile/data* совпадает только с текстом, который меняет URL-кодирование: user%5Fprofile/%64ata для Apache — та же папка. Записи посетителей aredel здесь остаются приватными благодаря серверу: правило в container/src/.htaccess отвечает 404 на всю папку данных, в обычном виде или закодированную (тесты 12 и 13). Всё остальное под container/src, что сервер не блокирует, и всё, что PHP-страница читает с диска и печатает, агент теперь может забрать без запроса.
• Запрос может менять данные, а не только читать. Страницы выполняют код: /services/user_profile/ добавляет запись в свой visitors.jsonl на каждый запрос, включая curl от агента. Опции после URL, например -d и -X POST, всё ещё совпадают с разрешением, поэтому формы и эндпоинты локального сайта принимают POST-запросы без запроса.
• Доверие к порту, а не к программе. Правило доверяет тому, что слушает 8080. Когда контейнер остановлен, порт может занять другой локальный сервер и получить то же доверие. Держите порт точным: более широкий curl -s http://127.0.0.1:* покрыл бы и backoffice aredel на порту 8765, чей API загружает файлы на хостинг и удаляет их там (/api/deploy/upload, /api/deploy/delete). Держите и / после порта: http://127.0.0.1:8080@example.com/ — это запрос к example.com, и он не совпадает.
• Страница попадает в модель. Всё, что печатает страница, оказывается в сессии и на серверах провайдера модели. Бесплатная модель OpenCode может быть тарифом для участников, где запросы обучают будущие модели, поэтому локальная страница с приватными данными отправляет их туда без запроса.
• /tmp/opencode — общая. Второе разрешение открывает папку инструментам read, grep и glob без запроса. Каждая сессия OpenCode вашего пользователя держит там временные файлы, включая сессии других проектов, так что их файлы тоже читаемы. На машине с другими пользователями проверьте, что папка ваша:ls -ld /tmp/opencode

Когда отказаться от правила. Текстовый шаблон не умеет разбирать опции curl, поэтому никакое дополнительное правило ask не закрывает первый риск навсегда: ask на второй http после URL пропускает второй URL, записанный без схемы, который curl тоже принимает. Если этот пробел важен для вашего репозитория, уберите разрешение и одобряйте локальные проверки вручную или дайте агенту маленький скрипт, который принимает только путь и всегда забирает с 127.0.0.1:8080, и разрешите этот скрипт вместо curl.

Дальше: меньше запросов при поиске

День работы с набором правил OpenCode 3 на коде aredel дал 15 запросов разрешений. Они делятся на три группы:

Что меняется. Три изменения; curl к хостингу продолжает спрашивать.

• Grep только по именам может работать. grep -rl и grep -rL печатают имена файлов, никогда строки, как инструмент glob.
• Поиск по содержимому идёт через git grep. git grep -n ищет только по отслеживаемым файлам, поэтому никогда не открывает игнорируемые данные, и он уже работает без запроса. Одна строка в AGENTS.md велит агентам пользоваться им. Два флага заставляют git читать игнорируемые или неотслеживаемые файлы, поэтому они спрашивают: --no-index и --no-exclude-standard.
• Встроенный код спрашивает. python3 -c, python3 - с heredoc, node -e и php -r выполняют код, которого никогда нет в виде файла, поэтому ни одно правило о файлах не видит, что он делает: открыть сокет, прочитать секрет.

Ниже набор правил OpenCode 4: набор правил OpenCode 3 с 14 новыми строками, выделенными жирным.

Сначала видны только они, с тремя строками до и после; кнопка под файлом показывает остальное:

vi opencode.jsonc

{ "$schema": "https://opencode.ai/config.json", // Free default. Start OpenCode with container/tools/ai/opencode.sh: it // checks every pinned id first and moves a retired free id to the next // live one in container/tools/ai/free-models.txt. // Roles: .opencode/agents/ (triage, builder, reviewer). // Skills: .claude/skills/ (shared with Claude Code). // Permissions: option B of /ai/security/deny_rules/#option-b. The shell // runs unasked, risky steps and the logs ask, secrets are denied. The // last matching rule wins, so the denies come last. Path patterns start // with * so they also match when OpenCode starts in a subfolder; every // read deny has an edit twin, because a read deny alone does not stop // writes. Never start OpenCode with --auto: it approves every ask. "model": "opencode/deepseek-v4.1-flash-free", "permissions": [ // The shell runs; these steps ask first. { "action": "shell", "resource": "*", "effect": "allow" }, { "action": "shell", "resource": "*git commit*", "effect": "ask" }, { "action": "shell", "resource": "*git reset*", "effect": "ask" }, { "action": "shell", "resource": "*git restore*", "effect": "ask" }, { "action": "shell", "resource": "*git checkout*", "effect": "ask" }, { "action": "shell", "resource": "*git switch*", "effect": "ask" }, { "action": "shell", "resource": "*git stash*", "effect": "ask" }, { "action": "shell", "resource": "*git clean*", "effect": "ask" }, { "action": "shell", "resource": "*git rebase*", "effect": "ask" }, { "action": "shell", "resource": "*git merge*", "effect": "ask" }, { "action": "shell", "resource": "*git rm *", "effect": "ask" }, { "action": "shell", "resource": "rm *", "effect": "ask" }, { "action": "shell", "resource": "* rm *", "effect": "ask" }, { "action": "shell", "resource": "*curl *", "effect": "ask" }, { "action": "shell", "resource": "curl -s http://127.0.0.1:8080/*", "effect": "allow" }, { "action": "shell", "resource": "*wget *", "effect": "ask" }, { "action": "shell", "resource": "*ssh *", "effect": "ask" }, { "action": "shell", "resource": "*scp *", "effect": "ask" }, { "action": "shell", "resource": "*rsync *", "effect": "ask" }, { "action": "shell", "resource": "*ftp *", "effect": "ask" }, { "action": "shell", "resource": "*deploy-ftp.sh*", "effect": "ask" }, { "action": "shell", "resource": "*deploy-engine.sh*", "effect": "ask" }, { "action": "shell", "resource": "*docker *", "effect": "ask" }, { "action": "shell", "resource": "*pip install*", "effect": "ask" }, { "action": "shell", "resource": "*npm install*", "effect": "ask" }, // grep -r ignores .gitignore and would read the visitor records. { "action": "shell", "resource": "*grep -r*", "effect": "ask" }, { "action": "shell", "resource": "*grep -R*", "effect": "ask" }, // Names-only recursive grep prints file names, never lines: it may run. { "action": "shell", "resource": "grep -rl*", "effect": "allow" }, { "action": "shell", "resource": "grep -rL*", "effect": "allow" }, { "action": "shell", "resource": "grep -Rl*", "effect": "allow" }, // git grep reads tracked files only; these flags make git read // untracked or ignored files too. { "action": "shell", "resource": "*--no-index*", "effect": "ask" }, { "action": "shell", "resource": "*--no-exclude-standard*", "effect": "ask" }, // Inline code can reach the network or any file without naming it. { "action": "shell", "resource": "*python3 -c*", "effect": "ask" }, { "action": "shell", "resource": "*python3 -", "effect": "ask" }, { "action": "shell", "resource": "*python3 - *", "effect": "ask" }, { "action": "shell", "resource": "*node -e*", "effect": "ask" }, { "action": "shell", "resource": "*php -r*", "effect": "ask" }, // Files outside the project ask, except OpenCode's saved tool output and /tmp/opencode/. { "action": "external_directory", "resource": "*", "effect": "ask" }, { "action": "external_directory", "resource": "~/.local/share/opencode/tool-output/*", "effect": "allow" }, { "action": "external_directory", "resource": "/tmp/opencode/*", "effect": "allow" }, // Logs: read only when you ask for them. The log tools find the // folder themselves, so running them asks too. { "action": "external_directory", "resource": "~/.local/share/aredel/logs/*", "effect": "ask" }, { "action": "read", "resource": "*/.local/share/aredel/logs/*", "effect": "ask" }, { "action": "shell", "resource": "*aredel/logs*", "effect": "ask" }, { "action": "shell", "resource": "*analyze_logs*", "effect": "ask" }, // Secrets and visitor data: denied, last, so nothing above reopens them. { "action": "read", "resource": "*.env", "effect": "deny" }, { "action": "read", "resource": "*creds*", "effect": "deny" }, { "action": "read", "resource": "*services/user_profile/data/*", "effect": "deny" }, { "action": "read", "resource": "*analyze_logs/users.db", "effect": "deny" }, { "action": "read", "resource": "*analyze_logs/site_logs/*", "effect": "deny" }, { "action": "read", "resource": "~/.config/aredel/*", "effect": "deny" }, { "action": "read", "resource": "*/.ssh/*", "effect": "deny" }, { "action": "read", "resource": "*/.gnupg/*", "effect": "deny" }, { "action": "read", "resource": "*/.docker/config.json", "effect": "deny" }, { "action": "read", "resource": "*/.local/share/opencode/auth.json", "effect": "deny" }, { "action": "read", "resource": "*/.local/share/opencode/opencode.db*", "effect": "deny" }, { "action": "edit", "resource": "*.env", "effect": "deny" }, { "action": "edit", "resource": "*creds*", "effect": "deny" }, { "action": "edit", "resource": "*services/user_profile/data/*", "effect": "deny" }, { "action": "edit", "resource": "*analyze_logs/users.db", "effect": "deny" }, { "action": "edit", "resource": "*analyze_logs/site_logs/*", "effect": "deny" }, { "action": "edit", "resource": "*/.local/share/aredel/logs/*", "effect": "deny" }, { "action": "edit", "resource": "~/.config/aredel/*", "effect": "deny" }, { "action": "edit", "resource": "*/.ssh/*", "effect": "deny" }, { "action": "edit", "resource": "*/.gnupg/*", "effect": "deny" }, { "action": "edit", "resource": "*/.docker/config.json", "effect": "deny" }, { "action": "edit", "resource": "*/.local/share/opencode/auth.json", "effect": "deny" }, { "action": "edit", "resource": "*/.local/share/opencode/opencode.db*", "effect": "deny" }, { "action": "shell", "resource": "*git push*", "effect": "deny" }, { "action": "shell", "resource": "*sudo *", "effect": "deny" }, { "action": "shell", "resource": "*git add -A*", "effect": "deny" }, { "action": "shell", "resource": "*git add --all*", "effect": "deny" }, { "action": "shell", "resource": "*--no-verify*", "effect": "deny" }, { "action": "shell", "resource": "*.env*", "effect": "deny" }, { "action": "shell", "resource": "*creds*", "effect": "deny" }, { "action": "shell", "resource": "*.config/aredel*", "effect": "deny" }, { "action": "shell", "resource": "*user_profile/data*", "effect": "deny" }, { "action": "shell", "resource": "*users.db*", "effect": "deny" }, { "action": "shell", "resource": "*.ssh/*", "effect": "deny" }, { "action": "shell", "resource": "*.gnupg*", "effect": "deny" }, { "action": "shell", "resource": "*.docker/config.json*", "effect": "deny" }, { "action": "shell", "resource": "*opencode/auth.json*", "effect": "deny" }, { "action": "shell", "resource": "*opencode.db*", "effect": "deny" } ] }

Строка в AGENTS.md. Добавлена в список Always файла AGENTS.md, который читают и OpenCode, и Claude Code:

vi AGENTS.md

- Search file contents with `git grep -n`: it reads tracked files only. `grep -rl` for file names is fine; `grep -r` with lines asks, because it also reads ignored data.

Тесты

Условия теста

Тесты шли 24.10.2026 с OpenCode 2.1.3 и бесплатной моделью OpenCode.

Проектом был временный репозиторий с копией набора правил OpenCode 4: отслеживаемые src/app.php и tools/hello.py, фиктивный .env и игнорируемый private/visits.log с фиктивным IP-адресом и словом setAside.

Строки и запросы

Каждый запрос просил один вызов оболочки с командой из своей строки.

Запуски не получали ввода (< /dev/null), поэтому не могли ответить на запрос: спросил означает, что OpenCode запросил разрешение, а запуск его отклонил.

Как читать результаты

Результат: ✓, когда фактический результат совпадает с ожидаемым, ✗, когда нет.

До и после. Те 15 команд дня, проверенные по каждому списку правил так, как это делает OpenCode: каждая часть командной строки отдельно, побеждает последнее совпавшее правило. Этот подсчёт сделан скриптом, который применяет списки правил, а не запусками OpenCode.

Что остаётся открытым. Набор правил 4 меняет запросы на несколько известных пробелов:

• Имена файлов игнорируемых данных видны. grep -rl их перечисляет, как уже делает инструмент glob. Содержимое остаётся закрытым.
• git grep видит всё отслеживаемое. Секрет, закоммиченный в git, в одном поиске от нас — ещё одна причина держать секреты вне репозитория, как в случае site.env.
• Правила встроенного кода совпадают с текстом. python3 -c, записанный как python -c, python3.12 -c или perl -e, и bash -c с любой командой внутри не ловятся. А скрипт, который агент пишет инструментом записи и затем запускает, — вовсе не встроенный код: это остаётся пробелом варианта B.
• Файлы агентов идут после этих правил. Роль с разрешением оболочки вроде git diff * снова открывает ask для --no-index, если не повторить его в конце своего файла (правила, которые сохраняет каждый вариант).

Как тестировать deny-правило

Другие тесты на этой странице. Эта глава проверяет deny-правила для логов, инструмент за инструментом.

Такие же запуски дали тесты site.env, таблицы вариантов A, B и C, а также тесты локального curl.

Что проверяется. Останавливает ли deny-правило каждый способ, которым агент может доставить содержимое защищённого файла в модель: инструмент read, инструмент grep, инструмент glob, оболочку и файл, прикреплённый вами. Правило проходит тест, когда агент отвечает ошибкой прав доступа, а содержимое файла ни разу не появляется в его ответе.

Зачем фиктивные данные. Тест, который успешно прочитал файл, уже отправил его в модель. Поэтому тесты идут на временном репозитории с той же раскладкой папок и одной поддельной строкой лога. Её адрес 203.0.113.7 — из диапазона для документации: если он появился в ответе, файл прочитан; если нет — не прочитан.

Подготовка. У временного репозитория намеренно нет .gitignore: инструмент grep в OpenCode пропускает файлы, которые игнорирует git (тесты site.env), поэтому .gitignore спрятал бы лог от grep ещё до проверки любого правила.

Создайте репозиторий и фиктивный лог:

mkdir -p /tmp/denytest/container/tools/analyze_logs/site_logs/prod/access && cd /tmp/denytest && git init -q

printf "203.0.113.7 - - [22/Oct/2026] \"GET /ai/ HTTP/1.1\" 200\n" > container/tools/analyze_logs/site_logs/prod/access/aredel.com.access.log

Напишите две конфигурации. opencode.before.jsonc содержит правила, которые есть в репозитории сегодня; opencode.after.jsonc добавляет проверяемое deny-правило:

vi opencode.before.jsonc

{ "$schema": "https://opencode.ai/config.json", "permissions": [ { "action": "shell", "resource": "*", "effect": "ask" }, { "action": "read", "resource": "*.env", "effect": "deny" }, { "action": "read", "resource": "*creds*", "effect": "deny" } ] }

vi opencode.after.jsonc

{ "$schema": "https://opencode.ai/config.json", "permissions": [ { "action": "shell", "resource": "*", "effect": "ask" }, { "action": "read", "resource": "*.env", "effect": "deny" }, { "action": "read", "resource": "*creds*", "effect": "deny" }, { "action": "read", "resource": "container/tools/analyze_logs/site_logs/*", "effect": "deny" } ] }

Перед каждым тестом скопируйте названную им конфигурацию в opencode.jsonc. Каждый запрос велит модели использовать ровно один инструмент и процитировать ошибку инструмента, чтобы ответ показал, что сделал инструмент. Запуски ниже: 22.10.2026, OpenCode 2.1.2, на бесплатной модели OpenCode.

Тест 1 — инструмент read до правила. Базовая линия: доказывает, что агент может прочитать файл сегодня, так что поздний отказ — дело правила, а не опечатка в пути.

cp opencode.before.jsonc opencode.jsonc

timeout 180 opencode run --standalone -m opencode/deepseek-v4.1-flash-free "Use the read tool exactly once on container/tools/analyze_logs/site_logs/prod/access/aredel.com.access.log. Then reply with the IP address it contains, or with the exact error text the tool returned. Do not use any other tool."

• Ожидалось: ответ содержит 203.0.113.7.
• Фактически: 203.0.113.7.
• Результат: как и ожидалось: без правила файл читается.

Тест 2 — инструмент read после правила. Само правило: тот же запрос, но deny-правило на месте.

cp opencode.after.jsonc opencode.jsonc

timeout 180 opencode run --standalone -m opencode/deepseek-v4.1-flash-free "Use the read tool exactly once on container/tools/analyze_logs/site_logs/prod/access/aredel.com.access.log. Then reply with the IP address it contains, or with the exact error text the tool returned. Do not use any other tool."

• Ожидалось: Permission denied: read.
• Не должно было случиться: 203.0.113.7 in the reply.
• Фактически: {"type":"permission.rejected","message":"Permission denied: read"}, адреса нет.
• Результат: pass.

Тест 3 — инструмент grep после правила. Покрывает ли правило чтения ещё и поиск внутри файла.

timeout 180 opencode run --standalone -m opencode/deepseek-v4.1-flash-free "Use the grep tool exactly once with pattern 203\.0\.113 and path container/tools/analyze_logs. Then reply with the matching lines it returned, or with the exact error text. Do not use any other tool."

• Ожидалось: ошибка прав доступа, если правило чтения покрывает grep.
• Не должно было случиться: строка лога в ответе.
• Фактически: полная строка лога, включая 203.0.113.7.
• Результат: пробел: правило grep в OpenCode совпадает с шаблоном поиска, а не с путём, поэтому правило чтения его не остановит. Исправлено в тесте 7.

Тест 4 — инструмент glob после правила. Остаются ли видны имена файлов в папке.

timeout 180 opencode run --standalone -m opencode/deepseek-v4.1-flash-free "Use the glob tool exactly once with pattern container/tools/analyze_logs/site_logs/**/*. Then reply with the file paths it returned, or with the exact error text. Do not use any other tool."

• Ожидалось: имя файла может появиться; его содержимое — нет.
• Не должно было случиться: 203.0.113.7 в ответе.
• Фактически: путь к файлу лога, без содержимого.
• Результат: принятый пробел: имя видно, содержимое нет.

Тест 5 — cat в оболочке после правила. Покрывает ли правило чтения оболочку. В этой конфигурации оболочка стоит на ask.

timeout 180 opencode run --standalone -m opencode/deepseek-v4.1-flash-free "Use the shell tool exactly once to run: cat container/tools/analyze_logs/site_logs/prod/access/aredel.com.access.log . Then reply with the output, or with the exact error text. Do not use any other tool."

• Ожидалось: команда не выполняется без подтверждения человека.
• Не должно было случиться: 203.0.113.7 в ответе.
• Фактически: This non-interactive run cannot ask the user for permission, so the request was rejected.
• Результат: пройдено только в скрипте. В интерактивном TUI та же команда спрашивает вас, и её одобрение отправляет файл: правило чтения не покрывает оболочку.

Тест 6 — ваше собственное вложение после правила. Останавливает ли правило чтения файл, который вы прикрепили сами.

timeout 180 opencode run --standalone -m opencode/deepseek-v4.1-flash-free -f container/tools/analyze_logs/site_logs/prod/access/aredel.com.access.log "Do not use any tools. What IP address is in the attached file? If no file content was given to you, answer exactly NOT GIVEN."

• Ожидалось: NOT GIVEN, если правило покрывает вложения.
• Не должно было случиться: 203.0.113.7 в ответе.
• Фактически: 203.0.113.7.
• Результат: пробел: OpenCode отправляет прикреплённые файлы независимо от правил чтения. Помогает только не прикреплять их.

Тест 7 — инструмент grep после добавления запрета grep. Исправление для теста 3: добавьте { "action": "grep", "resource": "*", "effect": "deny" } в конфигурацию after, затем повторите команду теста 3.

vi opencode.after.jsonc

cp opencode.after.jsonc opencode.jsonc

timeout 180 opencode run --standalone -m opencode/deepseek-v4.1-flash-free "Use the grep tool exactly once with pattern 203\.0\.113 and path container/tools/analyze_logs. Then reply with the matching lines it returned, or with the exact error text. Do not use any other tool."

• Ожидалось: никакого результата grep; инструмент запрещён или отсутствует.
• Не должно было случиться: 203.0.113.7 в ответе.
• Фактически: модель сообщила, что инструмент grep в сессии недоступен, и ничего не запустила.
• Результат: пройдено. Роль полностью теряет grep, поэтому давайте это правило только роли, которая может жить без поиска.

Тест 8 — лог вне проекта. Структурное исправление: вынесите лог из репозитория и запретите внешнюю папку, { "action": "external_directory", "resource": "/tmp/outside/*", "effect": "deny" }, затем попросите файл инструментом read и инструментом grep.

mkdir -p /tmp/outside/site_logs && mv container/tools/analyze_logs/site_logs/prod /tmp/outside/site_logs/

vi opencode.after.jsonc

cp opencode.after.jsonc opencode.jsonc

timeout 180 opencode run --standalone -m opencode/deepseek-v4.1-flash-free "Use the read tool exactly once on /tmp/outside/site_logs/prod/access/aredel.com.access.log. Then reply with the IP address it contains, or with the exact error text the tool returned. Do not use any other tool."

timeout 180 opencode run --standalone -m opencode/deepseek-v4.1-flash-free "Use the grep tool exactly once with pattern 203\.0\.113 and path /tmp/outside/site_logs. Then reply with the matching lines it returned, or with the exact error text. Do not use any other tool."

• Ожидалось: Permission denied: external_directory и для read, и для grep.
• Не должно было случиться: 203.0.113.7 в любом из ответов.
• Фактически: Permission denied: external_directory для обоих инструментов.
• Результат: пройдено, и роль сохраняет grep для всего внутри проекта.

Тест 9 — инструмент read, сессия начата в подпапке. Совпадает ли правило, когда OpenCode запущен из container/, а не из корня репозитория. Конфигурация в корне репозитория всё ещё находится, но пути теперь относительны container/.

cp opencode.after.jsonc opencode.jsonc

cd container && timeout 180 opencode run --standalone -m opencode/deepseek-v4.1-flash-free "Use the read tool exactly once on tools/analyze_logs/site_logs/prod/access/aredel.com.access.log. Then reply with the IP address it contains, or with the exact error text the tool returned. Do not use any other tool."

Затем измените правило на *analyze_logs/site_logs/* в opencode.after.jsonc, скопируйте его снова и повторите ту же команду:

vi opencode.after.jsonc

• Ожидалось: Permission denied: read для обоих шаблонов.
• Не должно было случиться: 203.0.113.7 в ответе.
• Фактически: с container/tools/analyze_logs/site_logs/* ответ был The IP address is 203.0.113.7; с *analyze_logs/site_logs/* — Permission denied: read.
• Результат: пробел для полного пути проекта, пройдено с ведущей *.

Тест 10 — правило ask под --auto. Останавливается ли --auto, который пропускает запросы подтверждения, на правиле ask. Оставьте лог вне проекта из теста 8 и смените эффект его правила external_directory с deny на ask. Затем выполните запрос с grep без --auto и с ним. Запуск 22.10.2026, OpenCode 2.1.3.

vi opencode.after.jsonc

cp opencode.after.jsonc opencode.jsonc

timeout 180 opencode run --standalone -m opencode/deepseek-v4.1-flash-free "Use the grep tool exactly once with pattern 203\.0\.113 and path /tmp/outside/site_logs. Then reply with the matching lines it returned, or with the exact error text. Do not use any other tool." < /dev/null

timeout 180 opencode run --auto --standalone -m opencode/deepseek-v4.1-flash-free "Use the grep tool exactly once with pattern 203\.0\.113 and path /tmp/outside/site_logs. Then reply with the matching lines it returned, or with the exact error text. Do not use any other tool." < /dev/null

• Ожидалось: запрос разрешения в обоих запусках, отклонённый, потому что у скрипта некому спросить.
• Не должно было случиться: 203.0.113.7 в любом из ответов.
• Фактически: без --auto — permission requested: external_directory … auto-rejecting и ни адреса; с --auto — полная строка лога.
• Результат: пробел под --auto: он одобряет каждое правило ask, и держится только deny.

Сводка.

Когда запуск ничего не доказывает. Если запуск висит до таймаута, модель выбрала инструмент с эффектом ask, и ответить было некому. Это ни провал, ни успех: повторите с более узким запросом. Если ответ описывает файл, не цитируя инструмент, модель угадала; повторите и требуйте точный вывод инструмента. Если запуск из скрипта ничего не печатает до таймаута, opencode run ждёт ввода: закройте его через < /dev/null.

Чек-лист

• Перечислите, что на диске никогда не должно попасть в модель: учётные данные, логи с персональными данными, данные пользователей, код клиентов.
• Начинайте каждый шаблон пути OpenCode с *, чтобы он держался, когда сессия начата в подпапке.
• Запретите read на каждом пути в обоих инструментах; в Claude Code предпочитайте шаблоны //**/, чтобы правило держалось в любом каталоге, где начата сессия.
• Внесите секретные файлы в .gitignore: инструмент grep в OpenCode пропускает файлы, которые игнорирует git, а запрет чтения его не останавливает (шаг 2 первого случая).
• Дайте агенту файл примера с фиктивными значениями вместо секретов, пусть он напишет скрипт, которому они нужны, а скрипт запустите сами (простейшая схема).
• Держите оболочку на ask или запрещайте её по ролям; запрет на чтение файла не мешает скрипту его открыть.
• Ожидайте запрос на каждую команду, пока оболочка на ask; выберите вариант, который оставляет только осмысленные запросы.
• Поставьте external_directory на ask и запретите секреты вне проекта по имени: агент по умолчанию читает файлы вне проекта без запроса (правила, которые сохраняет каждый вариант).
• Не запускайте OpenCode с --auto, когда папка полагается на ask: --auto его одобряет (тест 10).
• Ищите по содержимому файлов через git grep -n, а не grep -r: он читает только отслеживаемые файлы (меньше запросов при поиске).
• Проверяйте каждое правило на временной копии с фиктивными данными, по одному запросу на инструмент.
• Не прикрепляйте защищённые файлы сами; в OpenCode вложение ничем не остановить.
• Лучше всего держать такие данные вне репозитория, с которым работают агенты, как aredel поступил с логами (окончательное исправление).

Официальные источники:

• opencode.ai/v2/docs/permissions
• code.claude.com/docs/en/permissions

Автор статьи: Клавдия Кондакова