Claude Code без разрешений: риск для данных

Что в этой истории подтверждено

Сам эпизод с удалением ~/Library пока не подтвержден, а вот опасность выбранного режима подтверждена официально. На 8 ноября 2026 года нет надежного первичного отчета, постмортема или обсуждения, которое установило бы заявленную последовательность событий.

В пересказываемой версии Claude Code на модели Opus 5.5 якобы работал в режиме xHigh и выполнил rm -rf для пользовательской библиотеки macOS. Команда будто бы выполнялась почти две минуты, затронув данные приложений, сохраненные пароли и системные настройки. Эти детали нельзя выдавать за установленный факт: доступные материалы их независимо не подтверждают.

Зато Anthropic в документации Claude Code о режиме разрешений прямо описывает ключевой механизм риска. Флаг --dangerously-skip-permissions соответствует режиму bypassPermissions: запросы подтверждения и проверки безопасности отключаются, поэтому вызовы инструментов, включая потенциально разрушительные shell-команды, выполняются сразу.

Это не песочница и не ограничение областью проекта. Если процесс имеет доступ к хосту, агент получает тот же файловый охват, который доступен учетной записи пользователя. Для команды вроде rm -rf ~/Library оболочка раскрывает домашний каталог, а рекурсивное удаление начинает проходить по пользовательской библиотеке.

В обычном режиме перед опасным действием остается хотя бы ручной шлюз. При обходе разрешений модельная ошибка, неверная переменная или prompt injection сразу превращаются в системное действие. Anthropic отдельно предупреждает о потере данных, повреждении системы и утечке информации.

Почему одного контроля команд недостаточно

Главный вывод простой: подтверждение и изоляция решают разные задачи. Первое может остановить подозрительную команду, второе ограничивает ущерб, если команда все-таки запущена автоматически.

Для автономного запуска с обходом разрешений Anthropic рекомендует изолированный контейнер, виртуальную машину или песочницу без доступа к интернету. Я бы в такой схеме первым делом проверял видимые каталоги, права записи, сетевой доступ и возможность восстановления файлов, а не уровень интеллекта модели.

История с ~/Library может оказаться неточным пересказом, но архитектурный дефект от этого не исчезает. Связка из автономного агента, полного shell-доступа, широких прав файловой системы и отсутствия подтверждений уже сама по себе является сценарием инцидента. Неясен лишь момент, когда вероятная ошибка станет необратимой.

Мы уже разбирали, где Claude как инструмент разработки может ошибаться и создавать риски в системных и DevOps-задачах. Этот случай с rm -rf показывает, почему такие действия нельзя доверять без явных ограничений и проверки.