В обновлении Cursor CLI версии v2026.10.08 появилась проверка: агент в терминале останавливается и запрашивает одобрение человека перед рискованным удалением файлов. Но это не значит, что помощник теперь полностью защищен от сбоев. Запрос на подтверждение срабатывает только в режиме Auto-review и только тогда, когда путь к файлам выглядит двусмысленно — например, из-за пустой переменной или случайного пробела. Если вы рассчитывали поручить ассистенту уборку в проекте, полезно заранее понять, как работает новый барьер и в каких сценариях он пропустит зачистку без вопросов.
В каких ситуациях терминал потребует подтверждение
Поводом для обновления стала уязвимость консольных утилит: модель формирует правильную по смыслу команду, но ошибается в синтаксисе пути. В журнале изменений Cursor CLI v2026.10.08 зафиксированы условия паузы: рекурсивное, принудительное, масочное или зеркальное удаление, если целевой путь может раскрыться иначе, чем написан.
Это страхует от двух частых инцидентов: пустой переменной окружения (когда команда очистки временной папки превращается в удаление рабочей директории или корня) и случайного пробела в имени каталога без кавычек, из-за которого утилита стирает соседние файлы. Проверить версию можно через agent —version или -v, а обновиться — командой agent update или /update.
Почему Auto-review это классификатор, а не железная стена
В конфигурации cli-config.json за поведение агента отвечает параметр approvalMode со значениями allowlist, auto-review или unrestricted. В режиме Auto-review команда сначала сверяется со списком одобренных вызовов, затем пытается запуститься в изолированной песочнице, а при ее недоступности уходит классификатору.
Классификатор — это отдельная компактная модель (Gemini 3.5 Flash Lite или Claude 4.5 Haiku). Документация прямо предупреждает: классификатор не является абсолютной границей безопасности и может как заблокировать безопасное действие, так и пропустить рискованное. Правила в permissions.json лишь направляют модель, а гарантированный запрет задается только через permissions.deny с токеном Shell(rm).
Безопасная настройка нейросетевых помощников требует понимания их реального поведения в системе. Если вам интересно осваивать искусственный интеллект для рабочих задач без риска для проектов, загляните в Ковчег в Telegram — там регулярно выходят разборы практических сценариев автоматизации.
Где агент продолжит удалять файлы без всяких вопросов
Предохранитель срабатывает не всегда. Есть несколько штатных сценариев, где классификатор вообще не вызывается и агент удаляет файлы без диалога с пользователем:
- Режим прямого запуска: при значении unrestricted, команде /run-everything или флаге -f (он же —force и —yolo) команды выполняются сразу.
- Неинтерактивный запуск: с ключами -p или —print агент получает полный доступ на запись и исполнение в фоновом режиме.
- Облачные агенты: Cursor Cloud Agents работают в изолированных контейнерах, не используют локальные Run Modes и не запрашивают подтверждений.
- Однозначные пути: если операция удаления направлена на конкретный явно указанный файл без масок и риска двоякого толкования, Auto-review не станет отвлекать вопросом.
Урок инцидента на Windows: иллюзия песочницы
Иллюзию автоматической безопасности развеял случай на официальном форуме Cursor от 9 октября 2026 года. Пользователь на Windows столкнулся с тем, что агент при наведении порядка в проекте выполнил команду rd /s /q. Из-за ошибки в кавычках команда раскрылась в корень диска D:, безвозвратно стерев базы чатов, проекты и программы.
Представитель команды Cursor разъяснил: на Windows терминальные команды вообще не изолируются в песочнице. Кроме того, системная защита File-Deletion Protection защищает только встроенные действия редактора по удалению файлов и не перехватывает сторонние консольные утилиты вроде rd или rmdir.
Как обезопасить свои папки при работе с терминалом
Чтобы защитить проекты от случайной очистки, стоит придерживаться базовых правил: проверить режим через /config, избегать флагов принудительного исполнения на важных репозиториях и зафиксировать запрет токена Shell(rm) в cli-config.json или cli.json. Никакая нейросетевая проверка не отменяет регулярных коммитов в удаленный репозиторий и создания резервных копий.
