Claude Code、Antigravity、Codex 默认给 Agent 多大权限：三处差异对比

有个技术负责人在群里问：Claude Code、Google Antigravity、OpenAI Codex，团队该统一用哪个？他贴的判断依据是一篇「10 天写 2.5 万行代码、提效 36%」的文章。那个 36% 我没法帮他复核——没有场景、没有基线、没有失败案例，也无法重跑。

但有一个问题是可以复核的，而且对「敢不敢让它动生产仓库」更关键：装好之后你一行配置都不改，这三款工具默认能读你机器上哪些文件、能跑哪些命令、能不能自己往外联网。

这件事之所以值得单独写一篇，是因为近期的公开信号都指向同一个位置。OpenAI 在 2026-09 披露了多起智能体失控事件，其中包括智能体利用 DNS 漏洞联网、以及泄露 GitHub token；Perplexity 红队 SPACE 沙箱，108 次运行中 9 个模型都没能逃逸虚拟机，但有 4 个模型借助网络访问绕过了封锁。执行层挡住了，网络出口没挡住——这正是「默认权限」该管的地方。

本文不评比代码质量，只比三个你能自己复核的维度：默认权限边界、成本可控性、可扩展边界。看完你能直接照着配出一份自己的权限基线，而不是拿到一张「各有优劣」的表。

先把话说清楚：这次没有同题实测

声明一下证据边界，免得后面被误读：

• 本次没有做同题实测。没有让三款工具写同一个需求，没有跑 benchmark。所以本文不会、也不能给出「谁写的代码更好」的结论。所有对比都基于官方文档事实和可核验的机制。
• Codex 的默认沙箱策略、审批模式名称、网络默认开关，本次没取到官方一手正文。 官方文档站是 JS 渲染，WebFetch 与 .md 后缀抓取都返回 404。文档目录里确实存在这四页：/codex/sandboxing、/codex/permission-modes、/codex/permissions、/codex/cloud/internet-access。这几个默认值请你自行核验，本文不猜。
• 版本号、star 数、价格均为 2026-09-29 抓取，会过期，请以你自己的核验结果为准。

版本与生态的当日快照（来源：gh api 与 npm registry，2026-09-29）：

Antigravity 这一栏是空的：截至 2026-09-29 没有找到 Google 官方主体仓库。社区能搜到的是第三方生态项目——lbjlaq/Antigravity-Manager 31,812 stars、google-antigravity/antigravity-sdk-python 3,568 stars。这两个数字属于这两个第三方项目，不属于 Antigravity 本身，不要拿它当官方热度。

你可以自己复现上面这张表：

gh api repos/anthropics/claude-code --jq '{stars:.stargazers_count}'
gh api repos/openai/codex --jq '{stars:.stargazers_count}'
npm view @anthropic-ai/claude-code version
npm view @openai/codex version
claude --version; codex --version; agy --version

维度一：默认权限边界

这是三款工具真正的分水岭。先看结构，再看每家的默认值。

权限引擎其实是四层，不是一个「沙箱开关」

很多人以为「开了沙箱」就是一层开关。实际结构是四层串联，任何一层放行都不代表上一层被绕过：

• 第一层：运行模式预设。 Claude Code 的 defaultMode 有 default（别名 manual）/ acceptEdits / plan / auto / dontAsk / bypassPermissions 六档；Antigravity 是 Default / Request Review / default0 三档。
• 第二层：规则表。 两家都用 deny / ask / allow 三类规则，且都是 deny 优先级最高。Claude Code 的评估顺序固定为 deny → ask → allow；Antigravity 的优先级是 Deny > Ask > Allow。
• 第三层：执行沙箱。 决定命令跑在什么隔离里——Claude Code 在 macOS 走 Seatbelt、Linux/WSL2 走 bubblewrap + socat；Antigravity 用 OS 级容器。
• 第四层：网络出站 allowlist。 决定沙箱里能不能连外网。这一层独立于前三层，也是上面那几起事故真正发生的地方。

Claude Code：沙箱默认不全局开启，读权限默认全盘

三条默认值，逐条可以自己验证（来源：code.claude.com/docs/en/permissions、/docs/en/sandboxing，2026-09-29）：

1. 沙箱默认未全局开启。 要么在项目里用 /sandbox 选 mode（auto-allow / regular permissions），要么在 ~/.claude/settings.json 里设 sandbox.enabled: true。不设就是不开。
2. 默认读权限是整台机器。 文档明确列出 ~/.aws/credentials、~/.ssh/ 都在可读范围内。默认可写范围反而小得多：工作目录 + --add-dir 指定的目录 + 每用户的 $TMPDIR。
3. 网络默认不预允许任何域。 首次访问新域会提示；v2.1.219+ 可以设 strictAllowlist: true，让列表外的一切主机被直接拒绝且不提示。

底层依赖也要先确认：macOS 的 Seatbelt 免安装，Linux/WSL2 需要 apt-get install bubblewrap socat，WSL1 与原生 Windows 不支持沙箱。

为什么这样设计：沙箱默认是 fail-open，不是 fail-closed

这条最容易被人当成 bug：依赖缺失或平台不支持时，Claude Code 的默认行为是发出警告，然后无沙箱继续运行。Ubuntu 24.04+ 上 bubblewrap 还可能因为 AppArmor 限制 user namespace 直接起不来。

这不是疏忽，是一个明确的取舍。Claude Code 首先是一个要在任意机器上「装完就能跑」的 CLI 工具：如果沙箱起不来就硬失败，那么 WSL1、原生 Windows、缺 socat 的机器上的用户会直接被挡在门外——对一个要靠口碑扩散的开发者工具，这个代价比「少数机器降级运行」大得多。所以默认给的是可用性，把严格性交给配置：组织可以用 failIfUnavailable: true 把它改成启动硬失败。

理解了这个取舍，你就知道默认值不是安全基线，而是发布默认值。要不要改成硬失败，取决于你是在个人机器上试，还是要把 Agent 交给一整个团队。

「默认读权限是整台机器」也是同一类取舍，不过这一条官方文档没有解释理由，下面是我的判断：一个编码 Agent 正常工作时确实要读工作目录之外的东西——~/.gitconfig、~/.npmrc、~/.ssh/known_hosts、全局工具链配置、被 symlink 引出去的依赖。如果默认把这些全 deny 掉，Agent 会在大量无关任务上撞墙，用户第一反应是「这工具不好用」。所以默认给可用性，把 ~/.aws、~/.ssh、~/.kube 这类真正危险的目录交给 denyRead 显式拦。这个判断你可以不同意，但配置的动作是一样的：先列出你机器上不能给 Agent 读的目录，再写进 denyRead。

从「下指令」到「命令真正执行」，中间有几道闸门

流程和两个容易被忽略的细节：allow 直通和 ask 后放行最终都会进入沙箱，但沙箱里失败的命令可以被拉到沙箱外重试——这就是 dangerouslyDisableSandbox 这个逃逸口。要堵住它，设 allowUnsandboxedCommands: false。

配置完之后别只信文档，用一个真实动作验证一次：让 Agent 读 ~/.aws/credentials，看是被拒绝还是直接返回内容。这是唯一能证明你的 deny 生效的观察点。

踩坑：裸名 deny 不是「拒绝」，是「工具消失」

这个坑我建议每个配权限的人都先知道，因为它的现象会让你排查方向完全跑偏。

Claude Code 文档写明：如果你在 deny 里写裸工具名（比如 Bash、WebFetch），这个工具会被从 Claude 的上下文里彻底移除。表现出来不是「Claude 请求被拒绝」，而是「Claude 好像压根不会用这个工具了」。你会去查模型、查 prompt、查 MCP server，而真正的原因只是 settings.json 里写了一个 Bash。

配套的第二条规则同样反直觉：allow 无法从 deny 里挖例外。文档给的例子是 Bash(aws *) 被 deny 之后，Bash(aws s3 ls) 的 allow 是无效的。想要「整体禁掉 aws、只放行 s3 ls」，正确写法是只 deny 到具体粒度，或者干脆用 ask 而不是 deny。

Antigravity 有对应的隐式规则：Write implies Read（授予写就隐含读），Deny Read implies Deny Write（禁读就顺带禁写）。

Antigravity：默认沙箱开、默认断网，Turbo 是另一回事

Antigravity 的默认预设 Default 长这样（来源：antigravity.google/docs/permissions，2026-09-29）：

• 终端沙箱开，沙箱内的命令直接跑，沙箱外的命令 Ask
• 文件访问限于 workspace + temp
• 无网络
• MCP 与 Web 动作默认 Ask

敏感操作被表示成 action(target) 的形式，比如 read_file(./src/**)、read_url(domain:registry.npmjs.org)。网络这一层有个设计值得单独说：授予 read_url(domain) 的域名会被编译进沙箱的出站 allowlist，于是沙箱里的 curl、npm 才能通。也就是说你放行的是「读某个域名」这个语义动作，而不是「放开网络」这个开关——粒度比给一个布尔值细得多。

macOS 与 Linux 走新的统一权限系统，Windows 目前仍是旧权限系统，加上 Terminal Sandboxing (Preview) 和 unsandboxed(...) 动作。平台门槛：macOS 最低 12 (Monterey)、Windows 10 (64 bit)、Linux 需 glibc >= 2.28 与 glibcxx >= 3.4.25。官方页面同时提供 Intel 下载又写着 「X86 is not supported」，这两句话本身矛盾，我不替官方下结论，你在 Intel Mac 上装之前先自己试。

CLI 配置落在 ~/.gemini/antigravity-cli/settings.json；Agent 有 Local Mode（直接操作当前文件夹）和 New Worktree Mode（隔离的 Git worktree）两种跑法。

为什么这样设计：用 OS 级容器，而不是 Seatbelt

Antigravity 选了 OS 级容器隔离（Terminal Sandbox），没有走 macOS 的 Seatbelt。

Seatbelt 是 macOS 的沙箱机制，Claude Code 在 macOS 上直接用它是因为「免安装」——不用让用户装任何东西。代价是它只在 macOS 上有，语义是苹果定义的 profile 语言，且不提供独立的网络出站控制（Claude Code 的网络限制是另一套域 allowlist 实现的）。

Antigravity 要的是三件事同时成立：macOS 与 Linux 行为一致、网络出站能被编译进沙箱、以及跨平台的统一权限语义。容器级隔离天然提供 network namespace，出站 allowlist 是它的一等公民；同一个语义也能落到 Linux 上。代价是 Windows 侧暂时跟不上——所以 Windows 用户拿到的是旧权限系统加 Preview 沙箱。

一句话总结这两家的取舍：Claude Code 优先「零安装成本」，Antigravity 优先「跨平台语义统一」。

踩坑：Turbo 不是性能开关，是把锁拆了

假设这样一个场景（这是假设性案例，用来说明配置语义，不是我跑出来的真实事故）：有人觉得 Antigravity 跑任务慢，看到 Turbo 这个名字，以为是「更快模式」，切过去继续用。

Turbo 预设的实际内容是：沙箱关闭、命令无限制、全文件系统可访问、MCP 与 Web 默认 Allowed。它把上面四层里的第二、三、四层一起放宽了，跟推理速度、并发数没有任何关系。

名字像性能开关，语义是「全部放行」。如果你确实需要 Agent 访问 workspace 之外的文件，正确做法是留在 Default 或 Request Review，然后按 action(target) 加白名单，而不是整体切到 Turbo。

Request Review 是中间档：沙箱关、命令 Always ask、文件仅限 workspace。

Codex：这一节我给不出默认值，只能给你核验动作

Codex 的文档体系是三家里形态最多的——Desktop app / Remote / Web / CLI / IDE extension / Cloud 六种，环境维度分成 Modes、Local environments、Cloud environment、Git worktrees 四类，Windows 还有独立的 sandbox 与 WSL 文档（三家里 Windows 侧文档最细）。

但默认沙箱策略、审批模式的名称、网络默认开关，本次未取到官方一手正文。文档站是 JS 渲染，WebFetch 与 .md 抓取均返回 404。我不会猜一个默认值写给你。

给你的是可执行的核验动作，跑完你自己就有答案：

codex --help | grep -i sandbox
# 或直接读官方这四页（需自行打开确认）：
# /codex/sandboxing
# /codex/permission-modes
# /codex/permissions
# /codex/cloud/internet-access

如果你核验完了，欢迎把结果发我，我会更新到后续版本里——这是本篇唯一一个我不敢下结论的地方。

沙箱管不住 MCP server，这是第四层之外的一条旁路

还有一个位置容易被漏掉：你给 Agent 接的 MCP server 本身可能就带着网络出口和文件系统访问。沙箱限制的是 Agent 执行的命令，管不到 MCP server 进程自己往外发请求。

三家里只有 Antigravity 在文档里明确了这一点：local 与 remote MCP server 适用同一套权限规则，也就是 action(target) 那套东西同样约束 MCP 调用，默认预设下 MCP 动作是 Ask。另外两家我没找到同等明确度的表述——这不代表它们没有控制，只代表我没有一手证据。

所以接 MCP 的时候，除了配 Agent 侧的沙箱，还要单独问一句：这个 server 能不能访问生产库、能不能发外网请求、有没有只读开关。088 那篇讲过怎么用 MCP 接 MySQL + Loki + Grafana，权限这层是它的上游。

维度二：成本可控性

月费数字是最不重要的一环。真正决定你会不会被账单打到的是两件事：谁和你抢同一个池子，以及超了之后是停还是继续烧。

Claude Code：终端和网页聊天抢同一个池子

价格（截至 2026-09-29）：Pro $20/月（月付）或 $17/月（年付，$200 预付）；Max 起价 $100/月（5x / 20x 两档）；Team 标准席 $20（年付）/ $25（月付），高级席 $100 / $125；Enterprise $20/席/月年付 + 按 API 费率计费，管理员可设 user/org spend limits。Free 套餐不含 Claude Code。

额度机制是滚动 5 小时窗口 + 付费套餐的每周上限。终端与网页聊天共用同一用量池——你白天在网页上聊，晚上在终端里跑 Agent，扣的是同一份。上下文窗口官方口径是 「Up to 1M（因模型而异）」。

Codex：包含在所有套餐里，但和三个 Agent 抢额度

Codex 包含在全部 ChatGPT 套餐，含 Free 与 Go，额度 vary by plan（官方未给具体数值）。Plus/Pro 可以不换套餐直接买 credits。

重点是这个：Codex 与 ChatGPT Work、Excel、Workspace Agents 共享额度池。所以「Codex 单独算额度」是个错觉。窗口是 5 小时 + 每周，banked reset 可以刷新这两个窗口。额度自查：https://chatgpt.com/codex/settings/usage，或在活跃会话里敲 /status。

企业侧有两种计费：token-based（按 USD 计费，不扣 credits）或 credit-based；Compliance API 覆盖 CLI / IDE / web / cloud。

还有一条会影响自动化的时间线：自 2026-08-31 起 GPT-5.4 / GPT-5.4 mini 下线，替换为 GPT-5.6 Terra / GPT-5.6 Luna（ChatGPT 登录时生效；API 与自带 key 不受影响）。workspace defaults、saved model settings、managed configurations、automations 都要在截止日前改掉——如果你的 CI 里写死了模型名，这就是一次会打断流水线的变更。

Antigravity：免费档是周刷新，付费档才是 5 小时刷新

Antigravity 绑定 Google AI 订阅。刷新策略是三家里差别最大的：

• Baseline quota（免费档）：每周刷新。 含 Gemini 3.1 Pro / 3.8 Flash、无限 Tab 补全、Scheduled Tasks 与 CLI 全部功能。
• Pro / Ultra：每 5 小时刷新，直到触及周限。
• Tab 补全全档无限。
• 只有 Pro / Ultra 能买 AI Credits 付 overage。
• 官方明确不支持 BYOK / 自带 endpoint。

模型侧：核心推理模型包括 Gemini 3.8 / 3.7 / 3.6 Flash、Gemini 3.1 Pro、Claude Sonnet 4.6 (thinking)、Claude Opus 4.6 (thinking)、GPT-OSS 120B (Medium)；附加图像模型 Nano Banana 2 不可自定义。Enterprise 只能用 Gemini 系列，Claude 与 GPT-OSS 对企业不可用——如果你的团队指定要用 Claude 模型，Antigravity 企业版直接出局。

额度自查：模型选择器里的 View Usage，看 Weekly 与 Five Hour 两个剩余百分比。

决策规则：超了之后怎么办

一句话判断：这三家都是「等待型」而不是「停机型」，没有一家会在额度耗尽时把你的 Agent 从中间掐断帮你省钱。如果你需要硬预算上限，唯一接近的选项是 Claude Code Enterprise 的管理员 spend limits 或 Codex 的 token-based 计费。

维度三：可扩展边界

能接进你内部系统的能力，决定了它是「个人玩具」还是「团队基建」。

怎么读这张表：要接 CI 和审计，Codex 与 Claude Code 有明确路径，Antigravity 在这一层没有同级别的公开文档。 要接内部数据库、日志、工单系统，三家都有 MCP，能力差距不大，差别在权限——Antigravity 对 local 与 remote MCP server 用的是同一套权限规则，这点比另外两家更好推理。

Claude Code 的两个特色能力值得单独提：--teleport（把 Web/移动端发起的长任务拉回终端）和 /desktop handoff；以及 Agent SDK，适合把编码 Agent 包进你自己的产品里。Antigravity 这边是 Artifacts（Implementation Plan / Walkthrough / Visual Screenshots）、/goal（自治跑到完）、/grill-me（动手前先反问对齐）——/grill-me 是三家里唯一一个把「先对齐需求再动手」做成一级命令的。

安装方式一并给出（截至 2026-09-29）：

# Claude Code
curl -fsSL https://claude.ai/install.sh | bash      # macOS / Linux / WSL
brew install --cask claude-code
winget install Anthropic.ClaudeCode                  # Windows

# Codex CLI
curl -fsSL https://chatgpt.com/codex/install.sh | sh
npm install -g @openai/codex
brew install --cask codex

# Antigravity CLI（二进制落在 ~/.local/bin/agy）
curl -fsSL https://antigravity.google/cli/install.sh | bash

三家对照：默认权限边界这一栏

三家在这一栏的结论各不相同，但都是可核验的：

• Claude Code：默认最宽。沙箱不全局开启、读权限全盘、依赖缺失时 fail-open。它的默认假设是「你在一个可信的、可回滚的环境里」。
• Antigravity：默认最紧。沙箱开、无网络、文件限于 workspace+temp、Web 与 MCP 默认 Ask。它的默认假设是「你不一定信任这个 Agent」。但 Turbo 预设会把整套默认值推翻。
• Codex：官方文档里有 sandboxing、permission modes、permissions（Profiles）、agent approvals & security、cloud internet-access 五个独立页面，形态最多，Windows 文档最细——默认开关本次未取到正文，需你自行核验。

可直接抄的最小权限基线

Claude Code（~/.claude/settings.json）：

{
  "sandbox": {
    "enabled": true,
    "failIfUnavailable": true,
    "allowUnsandboxedCommands": false,
    "filesystem": { "denyRead": ["~/.aws", "~/.ssh", "~/.kube"] },
    "network": { "allowedDomains": [] }
  },
  "permissions": {
    "defaultMode": "default",
    "deny": ["Bash(git push --force *)", "Bash(rm -rf *)", "WebFetch"]
  }
}

四件事分别对应四个洞：enabled: true 补「默认不开」；failIfUnavailable: true 把「依赖缺失→无沙箱运行」改成启动硬失败；allowUnsandboxedCommands: false 堵掉 dangerouslyDisableSandbox 逃逸口；denyRead 补「默认全盘可读」。allowedDomains: [] 表示不预放行任何域——需要联网时再逐个加，别一次放行。

Antigravity（~/.gemini/antigravity-cli/settings.json）：

{
  "permissions": {
    "deny": ["command(curl *)", "unsandboxed(*)"],
    "ask": ["read_url(*)", "execute_url(*)"],
    "allow": ["read_file(./**)", "write_file(./**)", "read_url(domain:registry.npmjs.org)"]
  }
}

保持 Default 预设（沙箱开、无网络），只把 npm registry 加进出站 allowlist。read_url 默认就是 Ask，这里显式写出来是为了防止被 Turbo 预设覆盖。

Codex：没有可抄的配置，给核验动作——跑 codex --help | grep -i sandbox，再读那四页官方文档，把默认值确认后再照着上面两条的思路写自己的基线。

配完之后，用同一个动作在三家里各验一次：让 Agent 读 ~/.aws/credentials，看是返回内容、弹出提示、还是被拒绝。三种结果对应三种默认策略，五分钟就能出结论。

三个共同的失败边界

1. Windows 是三家的共同短板。 Claude Code 原生 Windows 不支持沙箱（必须 WSL2）；Antigravity Windows 仍是旧权限系统且沙箱是 Preview；Codex 有独立的 Windows sandbox 文档，但也得单独配。如果你的团队主力是 Windows，这一节的结论要重估。
2. bypassPermissions 不该出现在开发机上。 Claude Code 文档原文就写明它「仅应在容器/VM 等隔离环境使用」。
3. 模型下线会打断自动化。 Codex 的 GPT-5.4 下线就是现成的例子——写死模型名的 CI 会在截止日直接失败。

什么时候选谁

不要按「谁更聪明」选，按你的约束选：

• 你要在个人机器上快速跑起来、愿意自己配权限 → Claude Code。形态最全（Terminal / VS Code+Cursor / JetBrains / Desktop / Web / iOS+Android / Slack / GitHub Actions / GitLab CI），Agent SDK 能二次开发。前提是你接受先把那份 settings.json 抄进去。
• 你要把 Agent 交给一整个团队、希望默认值就足够保守 → Antigravity。默认沙箱开且断网，Windows 团队除外，且企业版只能用 Gemini 系模型。
• 你要接 CI、要审计、要合规 API → Codex。Compliance API 覆盖 CLI/IDE/web/cloud，GitHub Action 与 GitLab CI/CD 都有官方路径。默认权限请自行核验后再批量推。
• 预算敏感、想先试 → Codex 的 Free 与 Go 套餐包含额度，Antigravity 有每周刷新的免费档，Claude Code 的 Free 套餐不含。

下一步最小行动不是「选一个装」，而是花十分钟把上面那份 Claude Code 配置或 Antigravity 配置抄进你的 settings.json，然后用读 ~/.aws/credentials 这一个动作验证它生效。这个动作在三款工具上都能做，做完你就有了自己的第一手数据，而不是别人的百分比。

———

🔧 文中用到的完整配置清单

以上我给出了两家的最小权限基线和 Codex 的核验动作，完整版（含 deny / ask / allow 规则模板、三家额度自查入口、Codex 官方文档核验清单）已整理好。

回复「prompt」即可获取，持续更新。

———

如果这篇对你有帮助，转发给你的程序员朋友 — 大家都在摸索 AI 提效，你的分享可能帮他省很多时间。