Claude Code без дозволів: ризик для даних

Що в цій історії підтверджено

Сам епізод із видаленням ~/Library поки не підтверджений, але небезпека обраного режиму підтверджена офіційно. Станом на 8 листопада 2026 року немає надійного первинного звіту, постмортему чи обговорення, яке встановлювало б заявлену послідовність подій.

У переказуваній версії Claude Code на моделі Opus 5.5 нібито працював у режимі xHigh і виконав rm -rf для користувацької бібліотеки macOS. Команда нібито виконувалася майже дві хвилини, зачепивши дані застосунків, збережені паролі та системні налаштування. Ці деталі не можна подавати як встановлений факт: доступні матеріали їх незалежно не підтверджують.

Натомість Anthropic у документації Claude Code щодо режиму дозволів прямо описує ключовий механізм ризику. Прапорець --dangerously-skip-permissions відповідає режиму bypassPermissions: запити на підтвердження та перевірки безпеки вимикаються, тому виклики інструментів, зокрема потенційно руйнівні shell-команди, виконуються одразу.

Це не пісочниця і не обмеження межами проєкту. Якщо процес має доступ до хоста, агент отримує той самий файловий охоплення, що доступний обліковому запису користувача. Для команди на кшталт rm -rf ~/Library оболонка розгортає домашній каталог, а рекурсивне видалення починає проходити користувацькою бібліотекою.

У звичайному режимі перед небезпечною дією залишається хоча б ручний бар'єр. За обходу дозволів помилка моделі, неправильна змінна або prompt injection одразу перетворюються на системну дію. Anthropic окремо попереджає про втрату даних, пошкодження системи та витік інформації.

Чому одного контролю команд недостатньо

Головний висновок простий: підтвердження та ізоляція розв'язують різні завдання. Перше може зупинити підозрілу команду, друге обмежує шкоду, якщо команду все ж запущено автоматично.

Для автономного запуску з обходом дозволів Anthropic рекомендує ізольований контейнер, віртуальну машину або пісочницю без доступу до інтернету. У такій схемі я насамперед перевіряв би видимі каталоги, права запису, мережевий доступ і можливість відновлення файлів, а не рівень інтелекту моделі.

Історія з ~/Library може виявитися неточним переказом, але архітектурний дефект від цього не зникає. Поєднання автономного агента, повного shell-доступу, широких прав файлової системи та відсутності підтверджень уже саме по собі є сценарієм інциденту. Незрозуміло лише, коли ймовірна помилка стане незворотною.

Ми вже розглядали, де Claude як інструмент розробки може помилятися й створювати ризики в системних та DevOps-завданнях. Цей випадок із rm -rf показує, чому такі дії не можна довіряти без чітких обмежень і перевірки.