Claude Code sin permisos: un riesgo para tus datos

Qué está confirmado en esta historia

El supuesto borrado de ~/Library no ha sido confirmado, pero el peligro del modo elegido sí está documentado oficialmente. A fecha del 8 de noviembre de 2026, no existe un informe primario fiable, un postmortem ni una discusión que establezca la secuencia de hechos alegada.

En la versión difundida, Claude Code con el modelo Opus 5.5 habría trabajado en modo xHigh y ejecutado rm -rf sobre la biblioteca de usuario de macOS. Supuestamente, el comando se ejecutó casi dos minutos y afectó datos de aplicaciones, contraseñas guardadas y ajustes del sistema. Estos detalles no deben presentarse como hechos probados: los materiales disponibles no los verifican de forma independiente.

Lo que Anthropic sí documenta expresamente en la documentación del modo de permisos de Claude Code es el mecanismo central del riesgo. La opción --dangerously-skip-permissions corresponde al modo bypassPermissions: se desactivan las solicitudes de aprobación y las comprobaciones de seguridad, por lo que las llamadas a herramientas, incluidos comandos shell potencialmente destructivos, se ejecutan de inmediato.

No es una sandbox ni una limitación al ámbito del proyecto. Si el proceso puede acceder al host, el agente dispone del mismo alcance de archivos que la cuenta de usuario. Con un comando como rm -rf ~/Library, el shell expande el directorio personal y el borrado recursivo empieza a recorrer la biblioteca del usuario.

En el modo normal, al menos queda una barrera manual antes de una acción peligrosa. Al omitir permisos, un error del modelo, una variable incorrecta o una inyección de prompts se convierten inmediatamente en una acción del sistema. Anthropic advierte específicamente sobre pérdida de datos, daños al sistema y exposición de información.

Por qué aprobar comandos no basta

La conclusión principal es sencilla: la aprobación y el aislamiento resuelven problemas distintos. La primera puede detener un comando sospechoso; el segundo limita el daño si el comando termina ejecutándose automáticamente.

Para ejecuciones autónomas con omisión de permisos, Anthropic recomienda un contenedor aislado, una máquina virtual o una sandbox sin acceso a Internet. En ese esquema, primero revisaría los directorios visibles, los permisos de escritura, el acceso a red y la recuperación de archivos, no el nivel de inteligencia del modelo.

La historia de ~/Library puede resultar un relato impreciso, pero eso no elimina el defecto arquitectónico. Un agente autónomo con acceso shell completo, permisos amplios sobre el sistema de archivos y sin aprobaciones ya constituye un escenario de incidente. Solo queda por saber cuándo un error probable se volverá irreversible.

Ya analizamos cómo Claude, como herramienta de desarrollo, puede cometer errores y crear riesgos en tareas de sistemas y DevOps. Este caso de rm -rf demuestra por qué esas acciones no deben confiarse sin límites explícitos y revisión.