История о том, как консольный агент Claude Code остался работать на ночь и стёр данные с диска C, моментально разлетелась по сообществу. Разработчик оставил модель Opus 5.5 выполнять задачу без подтверждений, а вернувшись к компьютеру, обнаружил пустые папки. Но за громкими пересказами скрываются две детали: системные каталоги Windows уцелели благодаря обычным правам учётной записи, а само удаление произошло из-за синтаксической ошибки в терминале, которую режим без вопросов послушно выполнил.
Когда вы даёте автономному агенту доступ к терминалу, возникает соблазн выключить все запросы. Если программа каждые пару минут просит подтвердить чтение файла или сборку проекта, долгая задача превращается в дежурство у экрана. Именно поэтому включают флаг полного пропуска проверок. Однако этот режим проектировался вовсе не для основного рабочего стола, а для изолированных контейнеров и виртуальных машин, где потеря диска не стоит ничего.
Ночной запуск и пропавшие каталоги
В начале октября разработчик описал свою ночную сессию. Он запустил Claude Code с флагом пропуска разрешений, поручив агенту навести порядок в рабочих ветках репозитория. Спустя несколько часов рабочий профиль опустел: исчезли документы, проекты и пользовательские настройки. В пересказах инцидент тут же назвали полным уничтожением диска C, хотя операционная система даже не потеряла способность загружаться.
Позже появился снимок технического анализа случившегося. Журнала команд или полного лога сессии в открытом доступе нет, поэтому выводы опираются на этот отчёт и слова пострадавшего. Согласно разбору, агент пытался удалить две временные папки после работы с репозиторием. Для этого он вызвал стандартную утилиту удаления каталогов Windows через командную строку.
Ловушка с кавычками: как терминал перепутал путь
Причина сбоя крылась на стыке двух разных оболочек. Агент выполнял команду в Windows PowerShell, но запустил удаление через командный интерпретатор cmd. В PowerShell стандартным символом экранирования служит обратная кавычка, а не привычный обратный слэш. Когда агент попытался экранировать кавычки вокруг пути через обратный слэш, строка закрылась раньше времени.
В итоге аргументы склеились: интерпретатор отбросил название рабочей папки, а одиночный обратный слэш посчитал указанием на корень текущего диска. Команда на тихое удаление без вопросов отправилась прямо в корень диска C. Процесс повторялся и работал около получаса, пока не стёр доступные файлы пользователя.
Почему система выжила и где хранились копии
Операционная система не пострадала по простой причине: сессия запускалась из-под обычной учётной записи без прав администратора. Папки Windows, Program Files и файлы других пользователей система защитила стандартными правами доступа. Пострадали только данные того профиля, от имени которого работал терминал.
Второй спасительный фактор — дисциплина резервного копирования. Около 98% утраченных файлов удалось вернуть благодаря ежедневному бэкапу на сетевое хранилище Synology. Без внешней резервной копии восстановление проектов затянулось бы на недели. Автор признал вину за запуск опасного флага на рабочей машине, хотя и заметил, что инструмент должен блокировать подобные команды на системном уровне.
Если вы хотите понимать, как безопасно встраивать нейросети и автономных агентов в реальные задачи без риска для файлов, загляните в наш Telegram-канал: https://t.me/maya_pro.
Что ответили создатели и почему защита уже существовала
На случай отреагировал Борис Черный, руководитель разработки Claude Code в Anthropic. Он отметил, что компания рекомендует автоматический режим, который практически наверняка перехватил бы разрушительную команду, и спросил, почему пользователь отключил барьеры. Разработчик ответил, что при долгих автономных задачах автоматический режим ощущается как постоянное нянчение.
В этой дискуссии важна хронология. За одиннадцать дней до инцидента, в обновлении 2.1.283 от 25 сентября, разработчики Claude Code уже внедрили защиту для Windows. В списке изменений прямо сказано: вызовы командной строки для удаления корня диска или домашней папки теперь отклоняются во всех режимах без исключения, даже при полном пропуске проверок.
Почему защита не сработала на той машине? Точного ответа нет: номер версии программы не назвали. Там могла стоять более ранняя сборка, либо нестандартный синтаксис команды обошёл распознавание пути. Исследователи из NOPE и MadRobot подчеркнули: без полных логов терминала окончательно подтвердить все детали сессии невозможно.
Как запускать автономных помощников без риска
Эта история очерчивает границу между удобством и риском. Автономный агент генерирует десятки команд, и при очистке временных файлов модель может ошибиться в экранировании символов точно так же, как уставший человек.
Чтобы не остаться перед пустым рабочим столом, соблюдайте три правила. Во-первых, режим отключения проверок в документации любого инструмента предназначен исключительно для изолированных контейнеров и виртуальных машин. На основной машине включать его нельзя. Во-вторых, не запускайте терминал агента с правами администратора: базовые ограничения операционной системы остаются надёжной защитой. И в-третьих, регулярные изолированные копии на внешнем накопителе — единственная гарантия того, что сбой автономного процесса не уничтожит ваши наработки.
