Компания Anthropic, которая на протяжении последних лет выстраивала вокруг своих моделей имидж отрасли, где безопасность ИИ является главным приоритетом, в актуальной сборке Claude Code v2.1.311 ввела инструмент, позволяющий разработчикам фактически отключить оставшиеся защитные механизмы. Речь идёт о новой переменной окружения CLAUDE_CODE_EVEN_MORE_DANGEROUSLY_SKIP_PERMISSIONS, которая при присвоении значения «1» разрешает ИИ-агенту выполнять команду удаления файлов без запроса подтверждения у пользователя. О нововведении публично рассказала технический специалист Anthropic Дейзи Холлман (Daisy Hollman), и, судя по реакции в соцсети X, её заявление первоначально восприняли как шутку — ей пришлось публично настаивать, что функция реальна.
Как устроена система разрешений в Claude Code
Чтобы понять масштаб изменения, важно разобрать архитектуру разрешений, заложенную в Claude Code. Инструмент поддерживает несколько режимов: default, acceptEdits, plan, auto, dontAsk и bypassPermissions. Флаг командной строки --dangerously-skip-permissions, активирующий режим bypassPermissions, появился ещё в версии v1.0.18 от 9 июня 2025 года. С августа по умолчанию устанавливается режим auto, который формально разрешает любые действия, но при этом в фоновом режиме проводит проверки безопасности. Режим bypassPermissions также формально разрешает всё, но уже без фоновых проверок — однако в нём сохраняются исключения, которые не одобряются автоматически и требуют явного подтверждения: в частности, выполнение команд rm и rmdir.
Что именно снимает новая переменная
Новая переменная окружения CLAUDE_CODE_EVEN_MORE_DANGEROUSLY_SKIP_PERMISSIONS снимает и это последнее ограничение, оставшееся в режиме bypassPermissions. По словам Холлман, существующий флаг --dangerously-skip-permissions в значительной степени снимает защитные механизмы, но не разрешает делать абсолютно всё — например, выполнить без подтверждения команду rm -rf ~, удаляющую всё содержимое домашнего каталога пользователя Linux. Именно эту «последнюю преграду» и убирает новое средство. При этом Холлман оговаривается, что собственные ограничения могут накладывать и другие механизмы, например заданные пользователем настройки, то есть полная «свобода действий» агента не гарантируется автоматически.
Контекст: имидж безопасности и реальные риски
Появление такого инструмента выглядит парадоксально на фоне публичной позиции Anthropic, которая традиционно делает громкие заявления о безопасности моделей искусственного интеллекта. Практическая значимость функции подчёркивается тем, что в открытых источниках известно немало случаев, когда ИИ-агенты выполняли команды вроде rm -rf ~, что приводило к полному удалению данных с диска и другим серьёзным последствиям для пользователей. Таким образом, компания фактически предоставляет разработчикам инструмент, способный в один шаг отключить защиту от наиболее разрушительного сценария работы автономного агента.
Реакция сообщества
Не все пользователи в соцсети X восприняли заявление Холлман всерьёз, и ей пришлось публично настаивать, что она не шутила. Сам факт того, что функция была анонсирована сотрудником компании и требует подтверждения, указывает на её реальность в актуальной сборке v2.1.311. Для разработчиков, работающих с Claude Code в автоматизированных конвейерах, это означает новый уровень контроля — и новую ответственность: теперь решение о том, сможет ли агент удалять файлы без подтверждения, полностью лежит на пользователе, который задаёт соответствующую переменную окружения.
