AI 编程工具接进你的 Git 之后，权限到底开到多大

把 AI 编程工具接进代码库，通常被当成一个连接问题处理：支不支持 GitHub，要装什么插件，OAuth 点几下。但真正决定风险的不是「连没连上」，而是「连上之后它拿到了多大的权限」。

权限不是一个开关。把 Cursor、Claude Code、Devin 三家的官方文档摊开，会看到同一条从「只读补全」到「可读可写可执行可外联」的连续带，而各家默认停在的位置并不一样。更麻烦的是，「默认」这个词在官方文档里的含义差异很大：有的默认指的是「不问你就做」，有的默认指的是「问了你再说」，还有的默认指的是「沙箱边界之外它照样够得着」。

这篇把三家的安全文档、权限模式文档和忽略文件文档拼在一起，回答两个问题：接进代码库时实际授出去的是多大权限，以及有哪些「你以为限制了、其实没限制」的地方。数据于 2026 年 9 月 24 日重新核对各厂商官方文档。

本文方法：官方公开数据交叉核对，未做本地实测。所有数字均标注来源，核对日期见文末。

一、权限不是开关，是一条从「只读」到「可外联」的带子

先把「接进代码库」这件事拆开。三个厂商的官方文档用的词不一样，但描述的行为可以归到同一条带子上，一共四层：

• 第一层，只读补全。读你正在编辑的文件和邻域上下文，产出建议，不落盘。
• 第二层，读全仓。索引整个仓库并做检索问答，仍然不写任何东西。
• 第三层，写工作区。直接改磁盘上的文件，改动立即生效。
• 第四层，执行与外联。跑终端命令，发起网络请求，把改动推到远端。

前三层是「读多少」的问题，第四层是「能动多少」的问题。绝大多数安全讨论都停在第一层和第二层——「它会不会把我的代码拿去训练」——而真正的风险增量发生在第三层到第四层之间：从「它能看」变成「它能改」，再变成「它能以你的名义对外动作」。

把三家的官方默认值填进这四层，差别立刻显出来：

这张表里最值得单独说的是第二行。Cursor 的默认设置里，Agent 改你的工作区文件是不需要批准的，官方原文是「Agents can modify workspace files without approval, except for configuration files. Changes save immediately to disk.」官方在同一页给出的建议很直接：始终使用版本控制，以便回退。它还额外提醒了一句容易被忽略的风险：「If you have auto-reload enabled, agent changes might execute before you can review them.」——开了自动重载，改动可能在你看到之前就已经跑起来了。

对照 Claude Code，同一件事的默认值完全不同：在 default 模式（CLI 界面里显示为 Manual）下，官方描述是「Claude Code stops and asks you before most actions that edit files, run shell commands, or reach the network」。也就是说，「改文件」这一层在 Cursor 里默认是开放的，在 Claude Code 里默认是关着的。这是两家在权限哲学上最实质的分歧，而它不会出现在任何一句宣传文案里。

二、三家的默认位置分别停在哪一层

把上表转成一张分层图，各家的默认位置就一目了然：

Claude Code 这一侧的分层最细，因为它把「默认停在哪一层」做成了可切换的档位。官方文档给了一张完整的模式表，本文把它原样搬过来：

这张表里有两处细节，读快了会漏掉。第一，acceptEdits 不只是放行文件编辑。官方原文列出它同时自动批准一批文件系统命令：「mkdir, touch, rm, rmdir, mv, cp, and sed」——注意里面有 rm 和 sed。但官方紧接着划了两条线：自动批准只对工作目录或 additionalDirectories 之内的路径生效；指向关键路径的 rm／rmdir，以及只读命令集之外的其他 Bash 命令，仍然会弹确认。

第二，即使你把模式调到最松，仍有一类动作不会被自动放行。官方原文是「Claude Code doesn’t auto-approve the following in any mode, including bypassPermissions.」具体做法是维护一份受保护路径清单，写入这些路径永不自动批准。这份清单里包含 .git、.config/git、.vscode、.idea、.husky、.claude 等目录，以及 .gitconfig、.bashrc、.npmrc、.mcp.json 等文件。官方还堵了一个绕过口子：「There is no way to exempt one of these paths: an allowWrite entry or an Edit allow rule that covers the path doesn’t lift the protection.」

对「接进 Git」这件事来说，.git 出现在受保护清单里是关键信息：它意味着无论 Claude Code 跑在哪种模式下，改 Git 内部状态这件事都不会被静默批准。这和 Cursor 的默认值是同一个方向——两家都把「改代码」和「改代码的版本控制元数据」当成了两件不同的事。

三、三个「你以为限制了、其实没限制」的地方

四、接进 Git 之后，写权限是在哪一步交出去的

前三层讨论的是本地。真正把权限交到远端的是第四层的最后一步：让工具能对仓库写。这一步不是通过某个「允许写」的开关完成的，而是通过授予仓库访问权完成的——工具拿到仓库访问权之后，改代码、建分支、提 PR 都只是这个访问权的自然延伸。

Devin 的官方文档把这件事讲得最直白。集成总览页对源码控制集成的用途定义是：「Connect Devin to your source control platform to enable repository access, pull request creation, and code contributions.」注意这里的三个词——仓库访问、创建 PR、代码贡献。也就是说，在 Devin 的模型里，「连上 Git」和「能写」是同一件事，不存在「只给读」的中间档。官方定价页把 GitHub、GitLab、Bitbucket 列为原生集成。

而 Devin 用来限制这个访问范围的手段，全部在 Enterprise 档之后：

这张表值得连着读一遍：Devin 把「接入能力」放在所有档位，「限制接入范围的能力」全部放在 Enterprise。Teams 档的官方描述是「$80/month for team plan + $40/mo per full dev seat」，上限 200 人，包含集中计费、管理看板与优先支持——但仓库级隔离不在其中。如果你的合规要求是「同一个 Agent 只能看到一个仓库」，那在 Devin 这一侧，能实现它的最低档位是 Enterprise。

Cursor 的路径不同：它把「Agent 会不会长期持有你的代码」做成了一个可以关掉的开关。官方隐私与数据治理文档写得非常明确：

「Cloud Agents are the only feature that requires Cursor to store code. Unlike LLM requests, Cloud Agents need access to your repository over time to make changes.」

官方同时公布了存储的边界：Agent 跑在隔离的虚拟机里，每个 Agent 有独立环境，与其他 Agent 和用户隔离；存的是「Encrypted copies of repositories that Cloud Agents work on」，在 Agent 运行期间临时保存，完成后删除。而且 Cloud Agents 是可选功能，官方给的建议是：「If your security policy prohibits code storage, don’t enable Cloud Agents. You can still use all other Cursor features.」

这里有一个很容易搞混的地方需要点出来。「代码被用于训练」和「代码被存储」是两件事，Cursor 把它们放在了两个不同的机制里。前者由 Privacy Mode 管，官方原文是「With Privacy Mode enabled your code is never used for training by Cursor or other AI model providers」，而且团队级可以强制开启——Teams 档的功能列表里就有「Team-wide privacy mode enforcement」这一项。后者只由 Cloud Agents 决定，关掉它不影响其他任何功能。做安全评审时，这两个问题要分开问、分开答。

还有一层是「推送这一步走哪张网」。Claude Code 的沙箱把网络出口也管住了，官方原文是「Claude Code pre-allows no domains by default. The first time a command needs a new domain, Claude Code prompts for approval」。这意味着一条 git push 涉及的域名不会天然放行，需要走批准流程。对应的收紧选项有两个：strictAllowlist 设为 true 后，白名单之外的域名直接拒绝而不弹窗；托管设置里的 allowManagedDomainsOnly 则让非允许域名自动阻断，且只认托管设置里的规则。

五、按场景怎么选

• 只要补全和问答，不要它动文件：把工具留在第 1 到第 2 层。Claude Code 用 default 模式（官方描述「Reads only」），这个模式是它的默认值，不需要额外配置。
• 要 Agent 改代码，但不放心它跑命令：Cursor 的默认值正好落在这个区间——改工作区文件免批准，终端命令默认需批准。配套动作是把配置文件改动的批准保持开启，并注意官方的提醒：开了自动重载，改动可能在你看之前就执行了。
• 要 Agent 改代码并允许它跑命令：Claude Code 用 acceptEdits，但要清楚它同时放行了 rm、sed 这类命令；配合 deny 规则收紧更实际，因为官方明确「Deny rules block in every mode, including bypassPermissions」。
• 要限制它能访问哪些域名：Claude Code 用 strictAllowlist 或托管设置里的 allowManagedDomainsOnly。注意官方对网络隔离强度的提示：默认代理不检查加密流量，放行只看客户端声明的主机名，所以宽泛放行大域名「can create paths for data exfiltration」。
• 要它直接提 PR：这时你已经把写权限交到了远端。Devin 与 GitHub Copilot 的 Agent 都以「创建 PR」为原生能力（Copilot 官方计划页的表述是「Assign work to Copilot and it creates a pull request」）。建议在仓库侧用分支保护和必审规则收口，而不是指望 Agent 侧的限制。
• 代码不能出内网：Devin 侧需要 Enterprise 才有自定义 Git 提供商和 VPC 部署；Cursor 侧可以只关掉 Cloud Agents，其余功能不受影响。这一层差别在数据政策对比里更细。
• 团队要统一收口：Cursor 的 Teams 档已包含团队级隐私模式强制与 SAML/OIDC SSO；Claude Code 侧可以用托管设置把 bypassPermissions 模式整体禁用（官方提供 permissions.disableBypassPermissionsMode 这个开关）。档位与功能的对应关系可以对照企业版与席位计费那一篇。
• 要按仓库做隔离：目前只有 Devin 的 Teamspace 是官方文档里明确的仓库级隔离机制，且最低档位是 Enterprise。其余两家的隔离粒度是「用户」或「工作目录」，不是「仓库」。

最后回到方法上。这篇和本站其他几篇做的是同一件事——把订阅价格拉平、把数据保留期限拉平。这一篇拉平的是「权限」：先把权限拆成读、写、执行、外联四层，再分别问每一层的默认值是什么。拆完之后会发现，那些最容易被当成「已经限制住了」的机制——忽略文件、沙箱、自动放行规则——厂商自己都在文档里标了同样的注脚：它们降低风险，但不构成边界。