Claude Code sans permissions : un risque pour vos données

Ce qui est confirmé dans cette histoire

La suppression supposée de ~/Library n'est pas confirmée, mais le danger du mode choisi est officiellement documenté. Au 8 novembre 2026, aucun rapport primaire fiable, postmortem ou échange n'établit la séquence d'événements avancée.

Dans la version relayée, Claude Code, utilisant le modèle Opus 5.5 en mode xHigh, aurait exécuté rm -rf sur la bibliothèque utilisateur de macOS. La commande aurait tourné près de deux minutes et touché des données d'applications, des mots de passe enregistrés et des réglages système. Ces détails ne doivent pas être présentés comme des faits établis : les éléments disponibles ne les vérifient pas indépendamment.

En revanche, Anthropic décrit explicitement le mécanisme central du risque dans la documentation de Claude Code consacrée aux modes d'autorisation. L'option --dangerously-skip-permissions correspond au mode bypassPermissions : les demandes de validation et les contrôles de sécurité sont désactivés, si bien que les appels d'outils, y compris des commandes shell potentiellement destructrices, sont exécutés immédiatement.

Il ne s'agit ni d'une sandbox ni d'une limitation au périmètre du projet. Si le processus accède à l'hôte, l'agent dispose de la même portée sur les fichiers que le compte utilisateur. Avec une commande comme rm -rf ~/Library, le shell développe le répertoire personnel et la suppression récursive commence à parcourir la bibliothèque utilisateur.

En mode normal, une barrière manuelle subsiste au moins avant une action dangereuse. En contournant les autorisations, une erreur du modèle, une variable erronée ou une injection de prompt devient immédiatement une action système. Anthropic avertit spécifiquement des pertes de données, des dommages système et de l'exposition d'informations.

Pourquoi le contrôle des commandes ne suffit pas

La conclusion est simple : validation et isolation répondent à des problèmes différents. La première peut arrêter une commande suspecte ; la seconde limite les dégâts si cette commande est malgré tout lancée automatiquement.

Pour les exécutions autonomes avec contournement des autorisations, Anthropic recommande un conteneur isolé, une machine virtuelle ou une sandbox sans accès à Internet. Dans cette configuration, je vérifierais d'abord les répertoires visibles, les droits d'écriture, l'accès réseau et la possibilité de restaurer les fichiers, plutôt que le niveau d'intelligence du modèle.

L'histoire de ~/Library peut s'avérer imprécise, mais cela ne fait pas disparaître le défaut architectural. Un agent autonome avec un accès shell complet, de larges droits sur le système de fichiers et aucune validation constitue déjà un scénario d'incident. Seul le moment où une erreur probable deviendra irréversible reste inconnu.

Nous avons déjà analysé les erreurs et les risques que Claude, en tant qu'outil de développement, peut créer dans les tâches système et DevOps. Ce cas de rm -rf montre pourquoi de telles actions ne doivent jamais être confiées sans limites explicites ni contrôle.