Политика «Разрешения инструментов» задаёт, какие действия агенту разрешены: обращение к каталогам, установка пакетов, обращения к сайтам и хостам, подключения к базам данных. Правило имеет вид «шаблон вызова + действие» (allow или deny), например Bash(git push *), Edit(path:src/**), WebFetch(domain:github.com).

Запрет в правиле срабатывает на любой похожий вызов, а разрешение — только на точно описанный.

Как сопоставляются правила

Запрет по имени программы, например Bash(curl *), распознаёт вызов независимо от пути, расширения (.exe/.cmd/.bat/.ps1/.com) и регистра символов; разрешение так же широко не толкуется.
Запрет для домена (domain:youtube.com) закрывает и поддомены, но не похожие домены (например, не notyoutube.com); разрешение действует только для точного домена. Встроенный генератор «Контроль сайтов» при разрешении сам добавляет маску поддоменов.
Cursor и Codex не сообщают прокси используемую командную оболочку, поэтому для их команд одновременно действуют правила Bash(...) и PowerShell(...).

Подтверждение и генераторы списков

В принудительном режиме вызов, не попавший ни под одно правило, требует подтверждения пользователя (действует на один вызов); если агенту назначена политика «LLM-наблюдатель» (классификатор отклонений) в режиме блокировки, такие нерешённые вызовы проверяет она — см. страницу LLM-наблюдателя. Готовые генераторы упрощают составление списков для пакетов (npm/pip install), сайтов (домены и IP), локальных каталогов, SSH-хостов, Docker-контейнеров и подключений к базам данных.

Режим применения

Принудительный режим (по умолчанию, в интерфейсе — «Применять: блокировать и спрашивать») блокирует вызовы, не попавшие ни под одно правило, пока пользователь их не подтвердит. Режим журналирования, наоборот, пропускает все вызовы без блокировки — независимо от правил работа агента не останавливается, фиксируются только инциденты.

Уровень логирования

Отдельная настройка (в интерфейсе политики — «Уровень логирования»), не влияющая на то, блокируется вызов или нет, — она определяет только то, какие из уже принятых решений попадают в список инцидентов: «Все решения (deny + ask)», «Только запреты» или «Отключён» (инциденты по этой политике вообще не создаются). Блокировки, вызванные политикой «Защита от инъекций», в инциденты попадают всегда — на них этот уровень не влияет.

Иерархия при нескольких уровнях политики

Если агенту, его команде и организации назначены политики «Разрешения инструментов» с пересекающимися правилами, совпадающие правила всех уровней рассматриваются вместе, а для конкретного вызова побеждает правило самого нижнего уровня, на котором найдено совпадение: сначала агент, затем команда, затем организация. Поэтому разрешение, заданное на уровне команды, может перебить запрет организации для конкретного правила — это особенность объединения правил по уровням, а не общий приоритет allow над deny.

Конфликт между несколькими политиками одного типа

Описанная выше иерархия уровней отвечает на вопрос «чьё правило действует, если агенту, команде и организации назначены разные политики». Отдельный вопрос — как для одного и того же каталога разрешаются противоречащие друг другу правила, когда назначенных политик «Разрешения инструментов» несколько (независимо от того, на одном они уровне или на разных):

Если из-за назначенных политик для одного и того же каталога одновременно действуют и allow, и deny из разных политик — побеждает deny, независимо от порядка их назначения.
Если один и тот же каталог одновременно указан в allow и в deny внутри одной и той же политики — тоже побеждает deny.
Внутри одной политики при конфликте правил для родительского и вложенного каталога действует правило более вложенного каталога — независимо от того, allow оно или deny.
Между разными политиками побеждает deny, даже если allow в другой политике задан для более вложенного каталога.

Обращение к каталогу, который не попал ни в одно правило ни одной из действующих политик, — «серая зона»: CAR запрашивает подтверждение пользователя на этот вызов, это не считается блокировкой политикой и не создаёт инцидент.

Изменение правила действующей политики применяется в уже открытой сессии без перезапуска — после того как обновится кэш политик на прокси. Отключение политики сразу снимает её запреты, повторное включение восстанавливает их без перезапуска сессии; то же самое при снятии и повторном назначении политики агенту.

Рекомендуемые библиотеки для запрета

Список ниже можно использовать как основу для запрета в генераторе «Контроль пакетов» этой политики.

Список для вставки в политику «Разрешения инструментов»

fq-ui, mocha-no-only, ft-flow, ul-inline, jest-hoist, jfrog-npm-actions-example, @acme-types/acme-package, react-web-api, mourner, unused-imports, jira-ticket-todo-comment, polyfill-corejs3, polyfill-regenerator, @aio-commerce-sdk/config-tsdown, @aio-commerce-sdk/config-typedoc, @aio-commerce-sdk/config-typescript, @aio-commerce-sdk/config-vitest, powerbi-visuals-sunburst, @gitlab-lsp/pkg-1, @gitlab-lsp/pkg-2, @gitlab-lsp/workflow-api, @gitlab-test/bun-v1, @gitlab-test/npm-v10, @gitlab-test/pnpm-v9, @gitlab-test/yarn-v4, acme-package, add-module-exports, add-shopify-header, jsx-a11y, prefer-object-spread, preferred-import, durablefunctionsmonitor, durablefunctionsmonitor-vscodeext, durablefunctionsmonitor.react, e-voting-libraries-ui-kit, named-asset-import, chai-friendly, aikido-module, airbnb-babel, airbnb-base-hf, airbnb-base-typescript-prettier, airbnb-bev, airbnb-calendar, airbnb-opentracing-javascript, airbnb-scraper, airbnb-types, ais-sn-components, goji-js-org, google-cloud-functions-framework, chromestatus-openapi, elemefe, labelbox-custom-ui, rxjs-angular, @apache-felix/felix-antora-ui, @apache-netbeans/netbeans-antora-ui, syntax-dynamic-import, no-floating-promise, no-only-tests, @i22-td-smarthome/component-library, vuejs-accessibility, lfs-ui, react-async-component-lifecycle-hooks, eslint-comments, wdr-beam, lion-based-ui, lion-based-ui-labs, eslint-disable-next-line, eslint-github-bot, eslint-plugin-cli-microsoft365, eslint-plugin-custom-eslint-rules, @item-shop-data/client, @msdyn365-commerce-marketplace/address-extensions, @msdyn365-commerce-marketplace/tax-registration-numbers, artifactregistry-login, crowdstrike, wm-tests-helper, external-helpers, react-important-stuff, audio-game, faltest, only-warn, op-cli-installer, react-naming-convention, skyscanner-with-prettier, xo-form-components, xo-login-components, xo-page-components, xo-shipping-change, xo-shipping-options, xo-title, xo-tracking, xo-validation, badgekit-api-client, important-stuff, transform-es2015-modules-commonjs, transform-merge-sibling-variables, transform-react-constant-elements, transform-react-jsx-source, transform-react-remove-prop-types, transform-strict-mode, trezor-rollout, filename-rules, ing-web-es, inline-react-svg, ts-important-stuff, firefly-sdk-js, firefly-shared-js, zeus-me-ops-tool, zeus-mex-user-profile, ts-migrate-example, ts-react-important-stuff, zohocrm-nodejs-sdk-3.0, iot-cardboard-js, pensions-portals-fe, sort-class-members, sort-keys-fix, sort-keys-plus, flowtype-errors, twilio-react, twilio-ts, bernie-core, bernie-plugin-l10n, spaintest1, typescript-compat, typescript-sort-keys, uach-retrofill