Дать агенту ssh на хост с Docker — значит дать всё: для shell «посмотреть» и «сломать» одна и та же строка. Права либо есть, либо нет.

Разбор на Хабре разводит операции на уровни read, safe, destructive. Выше read — сначала план, разрушительное без подтверждения отдаёт код 7.

Кейс оттуда: в auto mode агент снёс staging-контейнеры, не спросив ни разу, а в обычном режиме показывал план. Описания инструментов снижают вероятность, но не гарантируют — если удалять нельзя, решает конфиг.