agy-mcp-bridge 0.1.6 → 0.1.7

package/README.md

@@ -220,7 +220,7 @@ Tham khảo [tài liệu MCP chính thức của Claude Code](https://code.claud
 {"permissions":{"allow":["write_file(C:/absolute/path/to/approved-project/)"]}}
 ```
 
-Merge rule cần thiết vào settings, không thay toàn bộ cấu hình; không dùng wildcard global hay bypass permissions. Test commands phải được cho phép riêng; Codex có thể tự chạy test. Deploy/xóa dữ liệu/thay đổi hệ thống yêu cầu xác nhận tương tác riêng và không thuộc task thông thường. Chi tiết hạn chế CLI ở [docs/VERIFICATION.md](docs/VERIFICATION.md).
+Merge rule cần thiết vào settings, không thay toàn bộ cấu hình; không dùng wildcard global. Muốn Antigravity tự làm mà không bị từ chối từng thao tác, chủ máy có thể nâng mức quyền trong giao diện web (Cài đặt → Quyền của Antigravity, xem mục 10); mặc định vẫn là không bypass. Test commands phải được cho phép riêng; Codex có thể tự chạy test. Deploy/xóa dữ liệu/thay đổi hệ thống yêu cầu xác nhận tương tác riêng và không thuộc task thông thường. Chi tiết hạn chế CLI ở [docs/VERIFICATION.md](docs/VERIFICATION.md).
 
 Luồng sử dụng trong Codex hoặc Claude Code:
 
@@ -376,6 +376,20 @@ Lưu ý bảo mật: nội dung yêu cầu và phản hồi được hiển th
 
 **Ghi chú phát hành:** mỗi lần workflow phát hành, nó tạo một GitHub Release cho tag `vX.Y.Z` với ghi chú tự sinh gồm các pull request đã merge kể từ tag trước (tên PR là nội dung ghi chú, nên hãy đặt tên PR nêu rõ thay đổi). Xem tại trang Releases của repo. Các tag cũ chưa có release cũng được tạo bù, theo thứ tự từ cũ đến mới.
 
+**Quyền của Antigravity:** mục Cài đặt → Quyền của Antigravity chọn Antigravity được tự làm đến đâu khi chạy task. Ở chế độ không tương tác, Antigravity tự từ chối việc cần phê duyệt (thấy ở `denied_actions`), nên task sửa file hay chạy lệnh có thể không làm được nếu cài đặt Antigravity chưa cấp quyền. Năm mức, từ thấp đến cao:
+
+| Mức | Cờ truyền cho `agy` | Ý nghĩa |
+|---|---|---|
+| Mặc định | (không có) | Quyền theo file cài đặt của Antigravity; an toàn nhất, là mặc định |
+| Chỉ lập kế hoạch | `--mode plan` | Chỉ lập kế hoạch |
+| Tự duyệt sửa file | `--mode accept-edits` | Sửa file được duyệt tự động |
+| Tự động | `--mode auto` | Chế độ tự động của Antigravity |
+| Toàn quyền | `--dangerously-skip-permissions` | Duyệt mọi yêu cầu, gồm chạy lệnh và truy cập ngoài thư mục dự án |
+
+Chỉ chủ máy đổi được, qua giao diện web (cần phiên đăng nhập bằng token); Codex/Claude không có tool nào để đổi và file skill cấm xin token để làm việc đó. Mức `Tự động` và `Toàn quyền` yêu cầu xác nhận; khi đang bật, giao diện hiện dải cảnh báo, `antigravity_environment` báo `agy_permissions` để Codex/Claude biết và nói với bạn, và chi tiết mỗi task ghi mức quyền đã dùng. Có hiệu lực ngay, không cần khởi động lại. Hạ mức xuống thì áp dụng cả cho task đang xếp hàng; nâng lên thì không (task giữ mức lúc được nhận). Biến `BRIDGE_AGY_PERMISSIONS=default|plan|accept-edits|auto|full` đặt cố định và khóa giao diện (giá trị sai thì dùng `default`). Lựa chọn lưu ở `.bridge-state/permissions.json`.
+
+**Cảnh báo:** danh sách "Workspace được phép" chỉ kiểm tra đường dẫn của task, không phải sandbox; với `Tự động` hay `Toàn quyền`, Antigravity có thể tác động ra ngoài thư mục đó (xóa file, chạy lệnh, dùng thông tin đăng nhập đã lưu). Chỉ bật khi bạn tin tưởng tác vụ, dự án đã được git theo dõi hoặc sao lưu. Các cờ `--mode` chưa được kiểm chứng với `agy` thật qua chế độ `--print`.
+
 ## 11. Ghi chú thiết kế và việc chưa làm
 
 - **Tiến độ thật của task:** stdin stream-json hiện đã được xác minh ở đường kiểm tra lỗi không gọi AI, và parser lấy terminal `result` theo tài liệu chính thức. Luồng thành công đang được test bằng mock; chưa thực thi AI thật trong đợt hardening. UI hiện hiển thị log snapshot, chưa diễn giải từng `step_update` thành phần trăm tiến độ. Trong lúc task chạy, trang chi tiết có thanh thời gian đã chạy so với giới hạn, thời điểm `agy` ghi output gần nhất, và danh sách thay đổi trong workspace tự làm mới mỗi vài giây khi mở mục "Thay đổi trong workspace" (các tín hiệu này không phụ thuộc định dạng output của `agy`; ở chế độ print/json `agy` chỉ in khi xong nên dòng output có thể trống).

package/dist/src/antigravity/invocation.js

@@ -1,5 +1,5 @@
-export function invocationFor(prompt, timeout, transport, model = null) {
-    const common = ['--print-timeout', `${timeout}s`, '--disable-slash-commands', ...(model ? ['--model', model] : [])];
+export function invocationFor(prompt, timeout, transport, model = null, extraArgs = []) {
+    const common = ['--print-timeout', `${timeout}s`, '--disable-slash-commands', ...(model ? ['--model', model] : []), ...extraArgs];
     return transport === 'argv'
         ? { args: ['--print', prompt, '--output-format', 'json', ...common], stdin: undefined }
         : { args: ['--input-format', 'stream-json', '--output-format', 'stream-json', ...common], stdin: JSON.stringify({ event: 'user', message: { content: prompt } }) + '\n' };

package/dist/src/permissions.js

@@ -0,0 +1,58 @@
+import { readFileSync } from 'node:fs';
+import { mkdir, rename, rm, writeFile } from 'node:fs/promises';
+import path from 'node:path';
+/**
+ * How much Antigravity may do on its own while a delegated task runs, lowest to highest.
+ * Chosen by the bridge owner in the web UI (or BRIDGE_AGY_PERMISSIONS); never by an MCP client.
+ *  default      no flag: Antigravity's own settings decide (headless runs soft-deny anything that needs approval)
+ *  plan         --mode plan: planning only
+ *  accept-edits --mode accept-edits: file edits are approved automatically
+ *  auto         --mode auto: Antigravity's automatic mode
+ *  full         --dangerously-skip-permissions: every tool request is approved, including commands and paths outside the workspace
+ */
+export const PERMISSION_LEVELS = ['default', 'plan', 'accept-edits', 'auto', 'full'];
+export const PERMISSION_FILE = 'permissions.json';
+export const isPermissionLevel = (value) => typeof value === 'string' && PERMISSION_LEVELS.includes(value);
+/** Levels that need an explicit acknowledgement before they can be set. */
+export const needsAcknowledgement = (level) => level === 'auto' || level === 'full';
+export function permissionFlags(level) {
+    switch (level) {
+        case 'plan': return ['--mode', 'plan'];
+        case 'accept-edits': return ['--mode', 'accept-edits'];
+        case 'auto': return ['--mode', 'auto'];
+        case 'full': return ['--dangerously-skip-permissions'];
+        default: return [];
+    }
+}
+/** The less privileged of two levels (used so lowering the setting also applies to tasks that are already queued). */
+export const lowerLevel = (a, b) => PERMISSION_LEVELS.indexOf(a) <= PERMISSION_LEVELS.indexOf(b) ? a : b;
+/**
+ * The environment variable wins and locks the setting. Anything unreadable or unknown means "default" (least privilege), never a higher level.
+ * Read synchronously and on every task, so a change needs no restart.
+ */
+export function permissionState(stateDirectory, env = process.env) {
+    const forced = env.BRIDGE_AGY_PERMISSIONS?.trim().toLowerCase();
+    if (forced !== undefined && forced !== '') {
+        return isPermissionLevel(forced)
+            ? { level: forced, source: 'env', controllable: false, reason: 'BRIDGE_AGY_PERMISSIONS' }
+            : { level: 'default', source: 'env', controllable: false, reason: `BRIDGE_AGY_PERMISSIONS has an invalid value (use ${PERMISSION_LEVELS.join(', ')}); using default` };
+    }
+    try {
+        const level = JSON.parse(readFileSync(path.join(stateDirectory, PERMISSION_FILE), 'utf8')).level;
+        if (isPermissionLevel(level))
+            return { level, source: 'file', controllable: true, reason: null };
+    }
+    catch { /* no file, or unreadable: default */ }
+    return { level: 'default', source: 'default', controllable: true, reason: null };
+}
+export async function writePermission(stateDirectory, level) {
+    const file = path.join(stateDirectory, PERMISSION_FILE);
+    if (level === 'default') {
+        await rm(file, { force: true });
+        return;
+    }
+    await mkdir(stateDirectory, { recursive: true });
+    await writeFile(`${file}.tmp`, JSON.stringify({ level, set_at: new Date().toISOString() }) + '\n', { mode: 0o600 });
+    await rename(`${file}.tmp`, file);
+}
+//# sourceMappingURL=permissions.js.map

package/dist/src/runtime.js

@@ -38,7 +38,7 @@ export async function createRuntime() {
             'CLI SUCCESS/exit 0 does not establish acceptance; tool permissions may have been denied.',
             'Workspace preflight is not an OS sandbox and cannot prevent concurrent link swaps.',
             'Existing Antigravity permissions, hooks, MCP and credential access remain governed by its configuration.',
-            'No permission bypass flags. Dangerous actions require separate interactive approval.',
+            'Permission flags are off unless the bridge owner raises the Antigravity permission level in the web UI (agy_permissions shows the current level; a client cannot change it). At the default level, actions that need approval are denied (see denied_actions).',
             'Windows uses taskkill on the live owned child tree; abrupt server termination may orphan processes.',
             'Redaction recognizes known patterns only. Never include credentials in task data.'
         ]

package/dist/src/tasks/manager.js

@@ -9,6 +9,7 @@ import { delegationState } from '../delegation.js';
 import { startProcess, terminateOwned } from '../antigravity/process.js';
 import { invocationFor, finalEnvelope } from '../antigravity/invocation.js';
 import { packageRoot } from '../paths.js';
+import { lowerLevel, permissionFlags, permissionState } from '../permissions.js';
 import { listModels, readModel } from '../models.js';
 import { pidAlive, recoverExecutionLock } from './execution-lock.js';
 const TASK_FILE = /^[0-9a-f]{8}-[0-9a-f]{4}-[0-9a-f]{4}-[0-9a-f]{4}-[0-9a-f]{12}\.json$/;
@@ -72,7 +73,8 @@ export class TaskManager {
                 task: redact(input.task), acceptance_criteria: input.acceptance_criteria.map(redact),
                 context: input.context === undefined ? null : redact(input.context), timeout_seconds: timeout,
                 client: meta.client ? redact(meta.client).slice(0, 100) : null,
-                model: await readModel(this.runtime.stateDirectory)
+                model: await readModel(this.runtime.stateDirectory),
+                permission: permissionState(this.runtime.stateDirectory).level
             }
         };
         this.entries.set(task.task_id, entry);
@@ -143,7 +145,11 @@ export class TaskManager {
             task.started_at = new Date().toISOString();
             await this.persist(task);
             checkStarting();
-            const invocation = invocationFor(promptFor({ ...input, workspace }, entry.request?.client), timeout, this.config.prompt_transport, entry.request?.model ?? null);
+            // The level in force when the task was accepted, or the current one if the owner has lowered it since: lowering applies to queued tasks too, raising never does.
+            const permission = lowerLevel(entry.request?.permission ?? 'default', permissionState(this.runtime.stateDirectory).level);
+            if (entry.request)
+                entry.request.permission = permission;
+            const invocation = invocationFor(promptFor({ ...input, workspace }, entry.request?.client), timeout, this.config.prompt_transport, entry.request?.model ?? null, permissionFlags(permission));
             const options = { extraEnvPassthrough: this.config.extra_env_passthrough, stdin: invocation.stdin };
             const child = this.runtime.launch ? this.runtime.launch(invocation.args, workspace, options) : startProcess(this.runtime.executable, invocation.args, workspace, options);
             entry.child = child;
@@ -481,7 +487,7 @@ export class TaskManager {
         return this.describeLock(lock);
     }
     overview() {
-        return { accepting_tasks: !this.closing, queue: { queued: this.queue.length, max: this.config.max_queued_tasks }, delegation: delegationState(this.runtime.stateDirectory), recent_tasks: [...this.entries.values()].map(({ task }) => ({
+        return { accepting_tasks: !this.closing, queue: { queued: this.queue.length, max: this.config.max_queued_tasks }, delegation: delegationState(this.runtime.stateDirectory), agy_permissions: permissionState(this.runtime.stateDirectory).level, recent_tasks: [...this.entries.values()].map(({ task }) => ({
                 task_id: task.task_id, status: task.status, started_at: task.started_at, ended_at: task.ended_at
             })) };
     }

package/dist/src/ui/routes.js

@@ -7,6 +7,7 @@ import { paths } from '../paths.js';
 import { knownUpdate, readPackageInfo } from '../update.js';
 import { workspaceChanges } from '../changes.js';
 import { validModelId, writeModel } from '../models.js';
+import { PERMISSION_LEVELS, isPermissionLevel, needsAcknowledgement, permissionState, writePermission } from '../permissions.js';
 import { inside } from '../security/workspace.js';
 const assets = {
     '/ui': { file: 'index.html', type: 'text/html; charset=utf-8' },
@@ -53,6 +54,7 @@ async function overview(ctx) {
         limits: env.limits ?? {}, allowed_workspaces: env.allowed_workspaces ?? [], session_workspaces: env.session_workspaces ?? [], limitations: env.limitations ?? [],
         delegation: { ...state, controllable: delegationControllable() },
         model: await ctx.manager.currentModel(),
+        permission: permissionState(ctx.manager.stateDirectory),
         queue: ctx.manager.overview().queue,
         warnings: [await ctx.manager.lockDiagnostic()].filter(Boolean),
         update: knownUpdate() && { ...knownUpdate(), package: readPackageInfo().name, command: 'agy-mcp-bridge update' },
@@ -164,6 +166,24 @@ export async function handleUi(req, res, ctx) {
             json(res, 200, { ...delegationState(ctx.manager.stateDirectory), controllable: true });
             return true;
         }
+        if (pathname === '/ui/api/permission' && method === 'POST') {
+            const body = await readJson(req);
+            if (!isPermissionLevel(body.level)) {
+                json(res, 400, { error: `level must be one of: ${PERMISSION_LEVELS.join(', ')}` });
+                return true;
+            }
+            if (!permissionState(ctx.manager.stateDirectory).controllable) {
+                json(res, 409, { error: 'The permission level is locked by BRIDGE_AGY_PERMISSIONS in the server environment' });
+                return true;
+            }
+            if (needsAcknowledgement(body.level) && body.acknowledge_risk !== true) {
+                json(res, 400, { error: 'This level lets Antigravity act without asking; send acknowledge_risk: true to confirm' });
+                return true;
+            }
+            await writePermission(ctx.manager.stateDirectory, body.level);
+            json(res, 200, permissionState(ctx.manager.stateDirectory));
+            return true;
+        }
         if (pathname === '/ui/api/models' && method === 'GET') {
             const current = await ctx.manager.currentModel();
             try {

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "agy-mcp-bridge",
-  "version": "0.1.6",
+  "version": "0.1.7",
   "description": "Local authenticated HTTP MCP bridge that lets Codex and Claude Code delegate bounded coding tasks to the Antigravity CLI (agy)",
   "license": "MIT",
   "keywords": [

package/skills/antigravity-bridge/SKILL.md

@@ -30,6 +30,7 @@ A decline for one task does not change the setting for later tasks; ask again on
 
 - The bridge owner chooses the Antigravity model (web UI, Settings → Model); `antigravity_delegate` has no model parameter. Never claim a specific model ran the task, and never try to change it. The model used is recorded on the task in the web UI.
 - Fit the task to that setting: keep tasks small and well specified so a fast model can finish them. If a bounded task fails or comes back poor and the cause looks like model capability (not missing context or permissions), tell the user once that a stronger model may help (Settings → Model), instead of resubmitting the same task.
+- If `agy_permissions` is `auto` or `full`, tell the user once that delegated tasks run without approval prompts (`full` also reaches outside the workspace), keep the task and its scope narrow, and check for changes outside the workspace when you review. A lower level is not a reason to retry the same task with different wording to get around a denial.
 - A running task has no step-by-step progress in these tools. Do not poll `antigravity_task_output` for it; `antigravity_task_wait` is enough. The user can watch elapsed time, last output and workspace changes live in the web UI.
 
 ## Submit one bounded task
@@ -72,7 +73,7 @@ Client disconnect does not cancel an accepted task. Reconnect to the same runnin
 | `queued` | Accepted but not started: no process, no file changes yet. Keep waiting with `antigravity_task_wait` (the deadline starts when it begins running). It is refused/canceled if delegation is switched off before its turn. Cancel it through the cancel tool only if the user cancels. |
 | Still `running` | Continue within the deadline; cancel your own task through the cancel tool if the user cancels or it is demonstrably stuck. |
 
-- `denied_actions` or permission errors require an authorized, narrowly scoped grant or a different plan. Do not add bypass flags, broad allow rules, or automatically approve commands. Approval to code does not automatically grant CLI command permissions.
+- `denied_actions` or permission errors require an authorized, narrowly scoped grant or a different plan. Do not add bypass flags, broad allow rules, or automatically approve commands. Approval to code does not automatically grant CLI command permissions. The bridge owner sets how much Antigravity may do on its own (web UI, Settings; `antigravity_environment` shows it as `agy_permissions`: `default`, `plan`, `accept-edits`, `auto` or `full`). You cannot change it and must not ask for the bridge token to do so. If denials block the task, tell the user once which actions were denied and that they can raise the level in the web UI or add narrow rules to Antigravity's own settings.
 - Exit 0 / CLI `SUCCESS` can accompany soft-denied tools or partial timeout output. Follow bridge status, error and truncation metadata. Truncated stdout is not a complete JSON result.
 - On "Bridge is busy" or "queue is full", reconcile existing tasks: wait for them rather than resubmitting. On a lock error, reconcile existing tasks too. Do not remove execution locks or kill processes by name. If the lock looks stale, tell the user that the bridge owner can run `agy-mcp-bridge unlock`, which reclaims a lock only when both recorded process IDs are dead; do not run it yourself unless the user asks. Cancel only your known task ID. Cancellation is graceful: the bridge stops the process group and waits up to about 8 seconds on Linux/macOS before forcing it, so a cancel call can take several seconds; wait for it instead of calling again. If cancellation fails, stop further delegation until the owned process is inspected.
 - Retry a transient connection/status read once after reconnecting when safe. Repeated failures should be reported, not hidden by an unlimited retry loop. A new coding attempt needs evidence of a specific fix or a changed instruction/permission; do not repeat the same failed task unchanged.

package/skills/known-versions.json

@@ -28,6 +28,10 @@
     {
       "sha256": "451fe5791b1753f1550275a709c561442e62d1e8b86d3fe8c4525998d8d85659",
       "note": "model choice is the owner's setting; no step progress in the tools"
+    },
+    {
+      "sha256": "65c0a72bb016ee8d891bfea17ea5d972dc79dc7c12c57edb17c1e6e8bbd37078",
+      "note": "Antigravity permission level is the owner's setting (agy_permissions)"
     }
   ]
 }

package/ui/app.css

@@ -210,3 +210,9 @@ pre.log { margin: 0; padding: 12px; border-radius: 10px; background: #0b0e14; co
 .progress { display: grid; gap: 6px; margin: 4px 0 12px; }
 .bar { height: 6px; border-radius: 999px; background: var(--surface-2); overflow: hidden; border: 1px solid var(--border); }
 .bar > span { display: block; height: 100%; width: 0; background: var(--accent); transition: width .9s linear; }
+.perm-list { display: grid; gap: 8px; margin: 12px 0; }
+.perm-row { display: flex; gap: 12px; align-items: flex-start; padding: 12px; border: 1px solid var(--border); border-radius: 10px; cursor: pointer; }
+.perm-row.on { border-color: var(--accent); background: var(--surface-2); }
+.perm-row.danger.on { border-color: var(--bad); }
+.perm-row input { margin-top: 4px; }
+.perm-row > span { display: grid; gap: 2px; }

package/ui/app.js

@@ -160,6 +160,21 @@ async function setModel(model) {
   try { await api('model', {method: 'POST', body: {model}}); notify(model ? 'Đã đổi model cho các task mới' : 'Đã về model mặc định của Antigravity'); state.models = null; await refresh(); }
   catch (error) { notify(error.message); await refresh(); }
 }
+const PERMISSION_LEVELS = [
+  {id: 'default', title: 'Mặc định của Antigravity', text: 'Không truyền cờ nào. Quyền do file cài đặt của Antigravity quyết định; việc cần phê duyệt sẽ bị từ chối. An toàn nhất.'},
+  {id: 'plan', title: 'Chỉ lập kế hoạch', text: 'Antigravity chỉ lập kế hoạch (--mode plan), không sửa gì.'},
+  {id: 'accept-edits', title: 'Tự duyệt sửa file', text: 'Việc sửa file được duyệt tự động (--mode accept-edits). Lệnh vẫn cần quyền.'},
+  {id: 'auto', title: 'Tự động', text: 'Chế độ tự động của Antigravity (--mode auto). Nó tự quyết định hành động.'},
+  {id: 'full', title: 'Toàn quyền (nguy hiểm)', text: 'Duyệt mọi yêu cầu, gồm chạy lệnh và truy cập cả ngoài thư mục dự án (--dangerously-skip-permissions). Danh sách thư mục được phép KHÔNG ngăn được điều này.'}
+];
+async function setPermission(level) {
+  const risky = level === 'auto' || level === 'full';
+  if (risky && !confirm(level === 'full'
+    ? 'TOÀN QUYỀN: Antigravity sẽ được tự động duyệt mọi thao tác, gồm chạy lệnh, xóa hoặc sửa file, kể cả ngoài thư mục dự án. Bridge không phải là sandbox. Chỉ bật khi bạn tin tưởng tác vụ và có bản sao lưu (git). Tiếp tục?'
+    : 'Chế độ tự động: Antigravity tự quyết định hành động mà không hỏi bạn. Tiếp tục?')) { await refresh(); return; }
+  try { await api('permission', {method: 'POST', body: {level, acknowledge_risk: risky}}); notify('Đã đổi quyền cho các task mới'); await refresh(); }
+  catch (error) { notify(error.message); await refresh(); }
+}
 async function copy(text) {
   try { await navigator.clipboard.writeText(text); notify('Đã sao chép'); } catch { notify('Không thể sao chép tự động'); }
 }
@@ -278,7 +293,7 @@ function detailView() {
   const facts = h('dl', {class: 'kv'},
     ...[['Gửi lúc', clock(task.queued_at || task.started_at)], ['Bắt đầu chạy', queued ? 'Chưa chạy' : clock(task.started_at)], ['Kết thúc', clock(task.ended_at)],
       ['Thời gian chạy', running ? elapsedEl(task.started_at) : queued ? '—' : duration(task.duration_ms)],
-      ['Giới hạn', request ? `${request.timeout_seconds}s` : '—'], ['Model', request && 'model' in request ? request.model || 'mặc định' : '—'], ['Exit code', task.exit_code ?? '—'], ['PID', task.pid ?? '—'],
+      ['Giới hạn', request ? `${request.timeout_seconds}s` : '—'], ['Model', request && 'model' in request ? request.model || 'mặc định' : '—'], ['Quyền', request && request.permission ? (PERMISSION_LEVELS.find(l => l.id === request.permission)?.title || request.permission) : '—'], ['Exit code', task.exit_code ?? '—'], ['PID', task.pid ?? '—'],
       ['CLI status', task.cli_status ?? '—']].map(([k, v]) => h('div', {}, h('dt', {text: k}), h('dd', {}, typeof v === 'string' || typeof v === 'number' ? String(v) : v))));
 
   const asker = request?.client ? `Tech Lead · ${request.client}` : 'Tech Lead (Codex / Claude)';
@@ -345,6 +360,17 @@ function modelCard(o) {
     loaded?.error ? h('div', {class: 'callout warn', text: `Không lấy được danh sách model: ${loaded.error}`}) : null,
     h('p', {text: 'Áp dụng cho task mới, không cần khởi động lại. Task đang chạy hoặc đang chờ giữ model đã chốt lúc nhận. Danh sách lấy từ `agy models`; model được ghi lại trong từng task.'}));
 }
+function permissionCard(o) {
+  const p = o.permission || {level: 'default', controllable: true};
+  return h('section', {class: 'card panel wide'}, h('h2', {text: 'Quyền của Antigravity'}),
+    h('p', {text: 'Mức quyền Antigravity có khi làm task. Chỉ bạn đổi được ở đây; Codex / Claude không đổi được. Áp dụng cho task mới, không cần khởi động lại. Hạ mức xuống thì áp dụng cả cho task đang chờ; nâng mức lên thì không.'}),
+    h('div', {class: 'perm-list', role: 'radiogroup', 'aria-label': 'Quyền của Antigravity'}, PERMISSION_LEVELS.map(level =>
+      h('label', {class: `perm-row${level.id === 'full' ? ' danger' : ''}${p.level === level.id ? ' on' : ''}`},
+        h('input', {type: 'radio', name: 'perm', value: level.id, checked: p.level === level.id, disabled: !p.controllable, onchange: () => setPermission(level.id)}),
+        h('span', {}, h('strong', {text: level.title}), h('span', {class: 'muted', text: level.text}))))),
+    p.controllable ? null : h('div', {class: 'callout warn', text: `Đang bị khóa bởi biến môi trường BRIDGE_AGY_PERMISSIONS${p.reason && p.reason !== 'BRIDGE_AGY_PERMISSIONS' ? ` (${p.reason})` : ''}. Đổi biến rồi khởi động lại server để mở.`}),
+    h('div', {class: 'callout warn', text: 'Danh sách "Workspace được phép" chỉ kiểm tra đường dẫn của task, không phải sandbox. Với mức Tự động hoặc Toàn quyền, Antigravity có thể tác động ra ngoài thư mục đó.'}));
+}
 function settingsView(o) {
   const delegation = o.delegation;
   return [h('div', {class: 'page-head'}, h('div', {}, h('h1', {text: 'Cài đặt'}), h('p', {text: 'Trạng thái và giới hạn của bridge. Phần lớn chỉ đọc; chỉnh bằng file cấu hình rồi khởi động lại.'}))),
@@ -356,6 +382,7 @@ function settingsView(o) {
         delegation.controllable ? h('p', {text: 'Tắt để buộc Codex / Claude tự làm. Task đang chạy hoặc đang chờ không bị dừng, nhưng task đang chờ sẽ bị hủy khi đến lượt. Có hiệu lực ngay, không cần khởi động lại.'})
           : h('div', {class: 'callout warn', text: 'Đang bị khóa bởi biến môi trường BRIDGE_DELEGATION. Đổi biến rồi khởi động lại server để mở.'})),
       modelCard(o),
+      permissionCard(o),
       h('section', {class: 'card panel'}, h('h2', {text: 'Kết nối'}),
         h('div', {class: 'copy-row'}, h('code', {text: o.server.mcp_endpoint}), h('button', {class: 'btn small', onclick: () => copy(o.server.mcp_endpoint), text: 'Sao chép'})),
         h('dl', {class: 'rows'}, row('Giao thức', 'MCP Streamable HTTP'), row('Xác thực', 'Bearer token dùng chung'), row('Phiên bản bridge', o.server.version),
@@ -419,9 +446,10 @@ function patch() {
   const o = state.overview;
   if (!regions || !o) return;
   setRegion('live', String(state.connected), () => [h('span', {class: `dot${state.connected ? '' : ' off'}`}), h('span', {text: state.connected ? 'Đang cập nhật trực tiếp' : 'Mất kết nối tới bridge'})]);
-  setRegion('banner', JSON.stringify([state.connected, o.warnings, o.update]), () => [
+  setRegion('banner', JSON.stringify([state.connected, o.warnings, o.update, o.permission?.level]), () => [
     !state.connected ? h('div', {class: 'banner', role: 'alert', text: 'Mất kết nối tới bridge. Dữ liệu bên dưới có thể đã cũ.'}) : null,
     ...(o.warnings || []).map(text => h('div', {class: 'banner warn', role: 'alert', text})),
+    o.permission && (o.permission.level === 'full' || o.permission.level === 'auto') ? h('div', {class: 'banner warn', role: 'alert', text: o.permission.level === 'full' ? 'Antigravity đang ở mức TOÀN QUYỀN: mọi thao tác được tự duyệt, kể cả ngoài thư mục dự án. Đổi lại ở Cài đặt.' : 'Antigravity đang ở chế độ Tự động: nó tự quyết định hành động. Đổi lại ở Cài đặt.'}) : null,
     o.update ? h('div', {class: 'banner info', role: 'status'}, `Có bản mới ${o.update.package} ${o.update.latest} (đang chạy ${o.update.current}). Dừng server (Ctrl+C) rồi chạy `, h('code', {text: o.update.command})) : null].filter(Boolean));
   if (regions.view === 'tasks') {
     setRegion('stats', JSON.stringify([o.tasks.map(t => [t.task_id, t.status]), o.cli, o.delegation, o.server.accepting_tasks]), () => statsView(o));
@@ -434,7 +462,7 @@ function patch() {
     if (!rebuilt) patchLogs();
   } else {
     if (!state.models && !state.modelsLoading) loadModels();
-    setRegion('settings', JSON.stringify([state.models, o.model, o.cli, o.delegation, o.limits, o.allowed_workspaces, o.session_workspaces, o.server.mcp_endpoint]), () => settingsView(o));
+    setRegion('settings', JSON.stringify([state.models, o.model, o.permission, o.cli, o.delegation, o.limits, o.allowed_workspaces, o.session_workspaces, o.server.mcp_endpoint]), () => settingsView(o));
   }
   tick();
 }