O agente podia editar a própria restrição

Eu tinha restringido o que um agente podia fazer quando descobri que ele podia editar o arquivo onde essas restrições estavam escritas.

O problema apareceu na revisão de segurança de 5 de setembro, num app desktop que desenvolvo para distribuir tarefas entre agentes. Cada executor recebe uma worktree, uma pasta com sua própria cópia de trabalho do repositório, e era dentro dela que eu mantinha a política em .claude/settings.json.

Como eu concedia Edit e Write para o agente alterar o código, aquele arquivo também ficava ao alcance dele. Além disso, configurações já versionadas no branch podiam ser carregadas durante a execução.

Na correção local, a política saiu da worktree e passou a ser reescrita antes de iniciar cada agente. A execução também deixou de carregar as configurações do projeto e passou a receber pela linha de comando a lista de ferramentas proibidas, que cresceu de 3 para 11 regras. O agente que resolve conflitos de rebase recebeu o mesmo tratamento.

Mesmo depois da correção, o agente continuava com Bash e podia contornar os bloqueios por prefixo pela composição de comandos, então o sandbox de processo seguia pendente.

Quando vocês executam agentes com acesso ao código, o que impede que alterem as regras que deveriam seguir? Pergunto porque, no meu caso, configurar as ferramentas não bastava enquanto a política continuava numa pasta que o próprio agente podia editar.