docs(skills): плейбук — уроки боевого прогона тикета #12 по песочнице Codex

- Зачем:
  - боевой прогон 2026-07-30 (тикет #12 v2) закрыл открытый вопрос: расширенный доступ Codex не нужен, штатной связки достаточно.
- Что:
  - codex-exec.md: пункт про блок классификатора начинается с проверки песочницы; в рецепт исполнителя добавлено «шире не бери»; снят кавеат «боем не обкатано» — сеть и docker-сокет работают при штатной связке on-request + auto_review.
  - lessons.md: датированный урок 2026-07-30 с дополнением по итогам прогона.
- Проверка:
  - чтение обновлённых разделов; факты — из JSONL-логов прогона тикета #12 (docker manifest inspect и make up завершились completed под workspace-write).

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

agents/.agents/skills/claude-subagent-playbook/references/lessons.md

@@ -406,3 +406,40 @@ Opus 5 по отдаче ближе к прежнему `xhigh`, а `medium` —
 Workflow», либо для каждой роли карты заводится определение с пришитым
 эффортом (и фолбэк «скептический general-purpose» из этапа 4 уходит).
 До проверки карту не переписывать — вопрос механики, не решения.
+
+### 2026-07-30: классификатор авторежима блокирует `-s danger-full-access`
+
+На запуске Codex-исполнителя (прогон тикета #12, кластер ClickHouse)
+классификатор авторежима Claude Code заблокировал команду с
+`-s danger-full-access`. Рабочая замена — не полный доступ, а песочница
+с поштучной эскалацией:
+
+```
+-s workspace-write \
+  -c 'approval_policy="on-request"' \
+  -c 'approvals_reviewer="auto_review"'
+```
+
+Команда, которую песочница не пустила (docker и т.п.), эскалируется, и
+авто-ревьюер Codex её одобряет — запуск уходит мимо песочницы штатно.
+
+Почему это лучше, а не просто обход: привилегия меньше («всё разрешено
+заранее» → «поштучно и в логе»), и на приёмке можно посмотреть, какие
+именно команды прошли мимо песочницы, — с полным доступом такого списка
+не существует. Оговорка: `auto_review` делает песочницу совещательной —
+эскалации одобряет автоматика самого Codex, поэтому мандат «исходники
+вне ветки не трогать, окружение не ломать» по-прежнему держится на
+промпте, не на песочнице (см. правило в SKILL.md).
+
+Классификатор при этом не враг: по отзывам сообщества, именно он в
+авторежиме иногда спасает данные от разрушительных команд. Считать его
+подсказкой «сузь привилегию», а не препятствием, которое надо обойти.
+
+Дополнение по итогам прогона (тот же день): рецепт исполнителя в
+`codex-exec.md` штатную связку уже содержал — `danger-full-access` был
+отступлением сессии-оркестратора «на всякий случай» под docker. Прогон
+подтвердил, что запас не нужен: под штатной связкой у Codex прошли и
+сеть (`docker manifest inspect`), и docker-сокет (`make up`, `docker
+compose down`); отдельных событий эскалации в `--json`-логе нет —
+успешные команды выглядят обычными `completed`. Кавеаты в
+`codex-exec.md` обновлены, пометка «боем не обкатано» снята.