Управление AI-агентами для кода: руководство оператора по Claude Code, Codex, ZCode и Cursor Enterprise

AI-агенты для программирования получили больше автономии, чем многие junior-разработчики. Они читают целые кодовые базы, выполняют произвольные Shell-команды, вызывают внешние API и пушат коммиты — иногда затрагивая сотни файлов за одну сессию. Ключевой вопрос для инженерных руководителей в середине 2026 года уже не «какая модель быстрее», а «кто контролирует, что агент может делать, и как мы это докажем?»

Это руководство сравнивает операторские governance-контроли четырёх крупных платформ — Claude Code, OpenAI Codex, ZCode (GLM-5.2) и Cursor Enterprise — и пошагово описывает минимально жизнеспособную настройку governance для каждой из них. Независимо от того, оцениваете ли вы эти инструменты для команды из 500 человек или запускаете все четыре за routing gateway, здесь вы найдёте практический чеклист.

OpenAI-совместимость означает, что провайдер предоставляет endpoint chat-completions, чей контракт запроса и ответа достаточно близок к API OpenAI, чтобы немодифицированный вызов OpenAI SDK работал после замены трёх значений: API key, base URL, название модели. Минимальная поверхность на практике —POST /v1/chat/completions с messages, model и потоковым ответом в форме OpenAI.

Обзор governance-контролей

Шаг 1: Определить sandbox-изоляцию для каждого агента

Sandbox — первая линия защиты. Он определяет, к каким частям файловой системы и сети могут обращаться Shell-команды агента. Каждая платформа реализует это по-разному.

Claude Code: sandbox на уровне ОС

Claude Code предлагает наиболее гранулярный sandbox среди четырёх платформ. На macOS используется Seatbelt framework от Apple для ограничения каждой Bash-команды и её дочерних процессов. На Linux и WSL2 — bubblewrap с опциональным seccomp-фильтром.

Ключевые операторские контроли:

• sandbox.enabled — принудительное включение sandbox для всех проектов (пользовательские настройки) или всей организации (managed settings)
• sandbox.failIfUnavailable — hard fail при отсутствии зависимостей sandbox вместо fallback к выполнению без sandbox
• sandbox.filesystem.disabled — блокировка всех записей за пределами явно разрешённых путей (добавлено в v2.1.216, июль 2026)
• Белый список сетевых доменов — Claude Code проксирует все исходящие соединения через sandbox proxy; новые домены требуют явного одобрения
• allowUnsandboxedCommands — контроль над тем, могут ли команды, не прошедшие sandbox, выполняться без ограничений

// Managed settings (admin console или MDM)
{
  "sandbox": {
    "enabled": true,
    "failIfUnavailable": true,
    "allowUnsandboxedCommands": false
  },
  "permissions": {
    "deny": ["Bash(curl *)", "Bash(wget *)"],
    "allow": ["Bash(git *)"]
  }
}

Git-изоляция (v2.1.215–216): Claude Code теперь создаёт изолированные git worktree для сессий агента, предотвращая прямую модификацию рабочего checkout разработчика. Это решает класс проблем, при которых коммиты от агента могли повредить незавершённую работу.

OpenAI Codex: облачная microVM

Codex применяет принципиально иной подход: каждая задача выполняется внутри облачной microVM (Linux) или кастомного ACL sandbox на Windows. Агент никогда не выполняет команды непосредственно на машине разработчика.

Ключевые операторские контроли:

• Интернет отключён по умолчанию — задачи Codex выполняются без сетевого доступа, если оператор не настроил белый список доменов
• Запись в пределах workspace — microVM монтирует read-only snapshot репозитория с правами записи только в workspace-директорию
• Режимы выполнения — Full Access (без ограничений), Suggest (требуется одобрение) и Auto (sandbox + автоматическое одобрение)
• Вывод через PR — все изменения агента коммитятся в ветку и предоставляются как Pull Request для ревью

# Задача Codex с ограниченным сетевым доступом
from openai import OpenAI
client = OpenAI()
task = client.codex.tasks.create(
    model="codex",
    prompt="Исправьте падающий тест в auth_service.py",
    sandbox={
        "internet_access": False,
        "allowed_domains": ["pypi.org"]
    }
)

Multi-agent v2: Codex поддерживает multi-agent workflow, где родительская задача может порождать дочерние, каждая из которых выполняется в собственной изолированной microVM. Оператор может задавать отдельные sandbox-политики и белые списки доменов для каждой задачи.

ZCode (GLM-5.2): контроль на основе подтверждений

ZCode — самая молодая платформа в этом сравнении, запущенная в июле 2026 как agentное окружение разработки от Z.AI на базе GLM-5.2. Модель governance проще: каждая чувствительная команда, изменение файла и действие с повышенными привилегиями требуют явного подтверждения перед выполнением.

Ключевые операторские контроли:

• Одобрение каждого действия — агент приостанавливается перед выполнением Shell-команд, изменением файлов или Git-операциями
• Нет встроенного OS-level sandbox — ZCode полагается на диалоги подтверждения, а не на kernel-level изоляцию
• Desktop + Remote + Bot — операторы могут мониторить и одобрять действия из десктопного приложения, мобильного Remote или каналов Feishu/WeChat bot
• Квоты GLM Coding Plan — лимиты на основе токенов с коэффициентами peak/off-peak

Governance ZCode менее зрелый, чем у Claude Code или Codex. Нет задокументированных managed settings, MDM-распространения или сетевой изоляции. Для enterprise-команд это означает необходимость запуска ZCode в дополнительном инфраструктурном sandbox (Docker, VM или сетевая политика), если требуются гарантии жёсткой изоляции.

Cursor Enterprise: IDE-уровень контролей

Cursor подходит к governance со стороны IDE, а не sandbox. Enterprise-версия фокусируется на организационных контролях — SSO, SCIM provisioning, zero data retention и централизованной конфигурации моделей/MCP.

Ключевые операторские контроли:

• Privacy Mode — предотвращает хранение кода Cursor или LLM-провайдерами
• Zero data retention — Cursor и upstream-провайдеры не обучаются на коде клиентов
• Централизованный доступ к моделям — администраторы настраивают, какие frontier-модели (OpenAI, Anthropic, Gemini, SpaceXAI) доступны разработчикам
• MCP-контроли — глобальная конфигурация серверов Model Context Protocol
• Системные правила агента — правила поведения на уровне организации для всех сессий
• BugBot — автоматический PR review агент, работающий в фоне при создании Pull Request

Cursor силён в identity и compliance (SOC 2 Type II, SAML SSO, SCIM, GDPR/CCPA), но слабее в runtime sandbox-изоляции по сравнению с Claude Code или Codex. Агент выполняется в процессе IDE с доступом к файлам workspace, но без задокументированного OS-level sandbox или сетевого белого списка.

Шаг 2: Настроить политики разрешений и workflow одобрения

Sandbox-изоляция ограничивает где агент действует. Политики разрешений контролируют что он может делать в этих границах.

Система разрешений Claude Code

Claude Code предлагает наиболее гранулярную модель разрешений через трёхуровневую систему правил:

1. Deny — полностью блокирует использование инструмента или совпадение с паттерном
2. Ask — запрашивает подтверждение человека перед выполнением
3. Allow — агент продолжает без запроса

Правила вычисляются в строгом приоритете: deny → ask → allow. Deny-правило всегда побеждает, даже если более конкретное allow-правило совпадает с тем же вызовом.

Распространение managed settings предоставляет четыре механизма доставки (в порядке приоритета):

1. Server-managed (admin console claude.ai или self-hosted Claude apps gateway)
2. MDM-managed (macOS profiles, Windows registry, конфигурационные файлы Linux)
3. Policy helper (кастомный исполняемый файл для вычисления настроек в runtime)
4. Enterprise settings file (.claude/settings.enterprise.json)

// Managed settings на уровне организации
{
  "permissions": {
    "deny": [
      "Bash(rm -rf *)",
      "Bash(sudo *)",
      "Bash(docker run *)"
    ],
    "ask": [
      "Bash(git push *)",
      "Bash(npm publish *)"
    ],
    "allow": [
      "Bash(git status)",
      "Bash(git diff *)",
      "Bash(npm test)"
    ]
  }
}

PreToolUse hooks расширяют систему разрешений кастомной логикой. Вы пишете скрипт, который Claude Code вызывает перед каждым обращением к инструменту, возвращая allow, deny или ask с пользовательским сообщением.

Режимы выполнения Codex

Codex упрощает разрешения до трёх режимов:

• Suggest — агент предлагает каждое действие и ждёт одобрения
• Auto — sandbox-выполнение с автоматическим одобрением безопасных операций
• Full Access — выполнение без ограничений (не рекомендуется для production)

Модель вывода inherently безопаснее для governance, поскольку все изменения проходят через Pull Request. Агент не может мержить собственный код.

Admin-контроли Cursor Enterprise

Cursor предоставляет глобальную конфигурацию на уровне организации:

• Ограничения доступа к моделям (какие LLM доступны разработчикам)
• Белые списки MCP-серверов (какие внешние инструменты может вызывать агент)
• Системные правила агента (поведенческие ограничения для всех сессий)

Настраивается через admin console Cursor, распространяется через SAML SSO / SCIM provisioning.

Шаг 3: Включить аудит и мониторинг потребления

Governance без видимости — это политика без enforcement. Каждая платформа предлагает разный уровень audit trail.

Настройка мониторинга Claude Code

Мониторинг и аналитика Claude Code наиболее удобны для операторов:

1. Трекинг расходов по командам/проектам — analytics dashboard разбивает потребление токенов и расходы по пользователям, проектам и периодам
2. Экспорт в SIEM — интеграции CrowdStrike и Splunk передают audit-события Claude Code в существующий pipeline безопасности
3. Настройка алертов по расходам — пороги бюджета на уровне workspace с автоматическими уведомлениями

Audit trail Codex

Каждая задача Codex генерирует audit trail, включающий:

• Исходный prompt и контекст
• Каждую выполненную агентом команду (с выводом)
• Все чтения и записи файлов
• Финальный diff и сообщение коммита
• Длительность задачи и потребление токенов

Audit trail доступен через Codex API и дашборд организации OpenAI.

Шаг 4: Настроить политики маршрутизации на уровне gateway

Когда в организации работает несколько агентов для кода, routing gateway предоставляет единый control plane для управления доступом к моделям, rate limit и fallback-политиками — независимо от того, какой агент сделал запрос.

TheRouter маршрутизирует OpenAI-совместимые запросы через настроенных провайдеров, а значит, любой агент на OpenAI SDK можно направить на endpoint gateway вместо прямого обращения к провайдеру. Это позволяет:

• Разделить доступ к моделям по командам — направлять запросы Team A к Claude Opus 4, Team B к Codex и применять разные rate limit
• Настроить fallback-цепочки — при rate limit от Anthropic API автоматически переключаться на резервного провайдера
• Унифицировать биллинг — отслеживать расходы всех агентов в одной биллинговой поверхности вместо управления отдельными аккаунтами провайдеров
• Применять политики на уровне запросов — логировать каждый запрос, блокировать определённые model ID или инжектировать системные промпты на уровне gateway

// Пример: маршрутизация запросов агентов через TheRouter
import OpenAI from "openai";

const client = new OpenAI({
  baseUrl: "https://your-therouter-instance.example.com/v1",
  apiKey: "your-therouter-key",
});

// Тот же SDK-вызов работает независимо от upstream-провайдера
const response = await client.chat.completions.create({
  model: "anthropic/claude-opus-4",
  messages: [{ role: "user", content: "Рефакторинг модуля аутентификации" }],
});

Подробности о настройке fallback моделей — в руководстве по model fallback.

Чеклист для production: минимально жизнеспособный governance

Перед развёртыванием любого агента для кода в инженерной команде убедитесь, что выполнены следующие контроли:

Claude Code

• Включить sandbox.enabled: true в managed settings
• Установить sandbox.failIfUnavailable: true для предотвращения fallback без sandbox
• Настроить deny-правила для деструктивных команд (rm -rf, sudo, docker run)
• Настроить SAML SSO и SCIM provisioning
• Подключить мониторинг к SIEM (CrowdStrike или Splunk)
• Настроить алерты по расходам на уровне workspace
• Проверить и зафиксировать allowUnsandboxedCommands: false

Codex

• Использовать режим Auto или Suggest — никогда не разворачивать Full Access в production
• Настроить белые списки доменов для задач, требующих сетевого доступа
• Установить политики Codex на уровне организации
• Требовать PR review для всех изменений от агента
• Мониторить audit trail задач через OpenAI API

ZCode

• Запустить ZCode в контейнере или VM для сетевой/файловой изоляции
• Включить одобрение каждого действия для всех чувствительных операций
• Установить квоты GLM Coding Plan для контроля расходов
• Мониторить выполнение задач через desktop/Remote UI
• Рассмотреть подключение внешнего решения для audit log

Cursor Enterprise

• Включить Privacy Mode на уровне организации
• Настроить SAML SSO и SCIM provisioning
• Установить ограничения доступа к моделям (какие LLM доступны разработчикам)
• Настроить белые списки MCP-серверов
• Включить BugBot для автоматического PR review
• Подтвердить политику zero data retention с юридическим/compliance отделом

Типичные ошибки и как их избежать

Ошибка 1: Рассматривать «sandbox» как бинарный выбор. Sandbox Claude Code и microVM Codex — принципиально разные модели изоляции. Один ограничивает процессы на хосте, другой запускает их в отдельной VM. Оцените, какая модель соответствует вашей threat model.

Ошибка 2: Игнорировать сетевую изоляцию. Sandbox файловой системы необходим, но недостаточен. Агент с доступом к интернету может эксфильтровать код, скачать вредоносные зависимости или вызвать неавторизованные API. Всегда настраивайте белые списки сетевых доменов наряду с ограничениями файловой системы.

Ошибка 3: Развёртывание без audit trail. Если вы не можете ответить на вопрос «что агент делал за последние 24 часа», ваш governance неполон. Настройте мониторинг до предоставления агенту доступа к production-кодовой базе.

Ошибка 4: Единая политика для всех. Разным командам нужны разные governance-профили. Команде безопасности бэкенда могут потребоваться строгие deny-правила и обязательный PR review, а команде фронтенд-прототипирования лучше подходит auto-approve sandbox режим. Используйте per-team managed settings или gateway routing для дифференциации.

Перспективы: governance gap

Самый большой разрыв среди четырёх платформ в середине 2026 года — стандартизация cross-agent governance. У каждой платформы собственный формат политик, схема audit trail и подход к изоляции. Пока нет отраслевого стандарта для определения «политики агента для кода», который бы работал одновременно в Claude Code, Codex, ZCode и Cursor.

На данный момент практический ответ — routing gateway перед всеми агентами, применяющий единообразные политики на уровне запросов: доступ к моделям, rate limit, потолки расходов и audit logging — независимо от runtime агента.

Мы ожидаем, что этот разрыв сократится по мере развития Model Context Protocol и по мере того как enterprise-закупки подтолкнут вендоров к конвергенции стандартов аудита и политик.

---

Источники:

• Claude Code Admin Setup — получено 2026-07-23
• Claude Code Sandboxing — получено 2026-07-23
• Claude Code Permissions — получено 2026-07-23
• OpenAI: Building Codex Windows Sandbox — получено 2026-07-23
• ZCode Documentation — получено 2026-07-23
• Cursor Enterprise — получено 2026-07-23
• Anthropic: Claude Code on Team and Enterprise — получено 2026-07-06
• OpenAI: Introducing Codex — получено 2026-07-23