Claude Code 2.1.311 разрешил агенту rm -rf ~ по переменной

Дейзи Холлман из технического штата Anthropic 28 октября объявила, что флаг --dangerously-skip-permissions в Claude Code одобряет не всё: очевидные вещи вроде rm -rf ~ он по-прежнему блокирует. С новым релизом снять и этот запрет можно переменной окружения CLAUDE_CODE_EVEN_MORE_DANGEROUSLY_SKIP_PERMISSIONS=1. Сессия без подтверждений с этой переменной удаляет файлы командой rm без последнего вопроса, а без неё режим работает как раньше.

Флаг включает режим bypassPermissions, который появился в Claude Code v1.0.18 9 июня 2025 года. Режимов прав всего шесть, перечисляет The Register: default, acceptEdits, plan, auto, dontAsk и bypassPermissions. С августа по умолчанию стоит auto: формально в нём разрешено всё, но действия в фоне проверяет отдельная модель-классификатор. bypassPermissions тоже пропускает всё, только без этих проверок. Исключения при этом оставались: rm и rmdir всё равно требовали подтверждения, и как раз его новая переменная убирает.

В документации Claude Code bypassPermissions и так предназначен только для изолированных контейнеров и виртуальных машин. Там же сказано, что удаление по критическим путям через rm и rmdir не одобряет ни одно правило allow и ни один хук PreToolUse, но запрос перед опасными командами rm в режиме bypassPermissions можно отключить.

Часть защит переменная не трогает. Правила deny блокируют в любом режиме, включая bypassPermissions, тогда как правила allow в нём не действуют вовсе. На Linux и macOS режим не стартует от root или через sudo и выводит «--dangerously-skip-permissions cannot be used with root/sudo privileges for security reasons»; проверку пропускают только внутри распознанной песочницы. А управляемые настройки, как уточняет The Register, могут наложить собственные ограничения.

Переменная пришла в сборке v2.1.311, но в списке изменений этого пункта нет, и в анонс поверили не все. Холлман ответила, что это не шутка, и добавила: «Надеюсь, это поможет, и надеюсь, что название переменной запомнится».