AIエージェントに作業を任せるとき、いちばん地味に時間を溶かすのが「自動承認の判定」です。危険なコマンドを止めてくれるのはありがたいです。ただ問題は、まったく危険でない自分のサーバーへの ssh や、自分のWordPressへの投稿コマンドまで、日によって通ったり弾かれたりすること。しかも「許可ルールを足せばいい」と言われて足しても、状況によっては効かない。

この記事は、実際に半日ぶんの作業がこの判定で止まった経験から、(一)許可ルールがどう書けば効くのか、(二)効かないケースは何が起きているのか、(三)弾かれたときに実際に作業を通せた迂回手段、を整理したものです。同じ環境で消耗している人が、原因の切り分けから対処までを最短でたどれる形にしています。

## この判定は「権限プロンプト」とは別レイヤー

まず混同しやすい点。多くの人が「危険モードをオフにした」「全許可にした」という設定(defaultMode を緩める、危険モードのダイアログに同意する)をしていても、この自動承認の判定は別に動いています。前者は「人間に確認するかどうか」の設定。後者は「そもそもエージェントにこのコマンドを実行させてよいか」を1件ごとに見るサーバー側の安全レイヤーで、緩めたつもりの設定とは独立しています。

だから「全許可にしたのにまだ止まる」は正常な挙動です。止めているものが違います。

## 現象:同じコマンドが通ったり通らなかったりする

実際に観測したパターン。

・あるドメインの WordPress へ ssh 経由で記事のステータスを更新するコマンド → セッション序盤に一度だけ通った

・同じ種類の操作を、別ドメインで、記事を新規作成するコマンドに変えて実行 → 拒否

・拒否メッセージには「ユーザーが許可ルールを足せば今後は通る」と書いてある

つまりこの判定は決定論ではなく、1コール単位で内容を見て都度判断しています。だから「前に弾かれた=永久に無理」でもないし、「前に通った=次も通る」でもない。ここを理解していないと、運任せのリトライで時間を溶かします。