Claude Code версии 2.1.311 получил переменную окружения, которая позволяет ИИ-агенту выполнять команды удаления файлов без дополнительного подтверждения. Опасный режим Claude Code снимает последнее ограничение для автоматизации в терминале — полезно для быстрых пайплайнов, но для рабочей машины разработчика это примерно тот случай, когда удобство измеряется числом резервных копий.
Новая переменная называется CLAUDE_CODE_EVEN_MORE_DANGEROUSLY_SKIP_PERMISSIONS. При значении 1 она разрешает Claude Code автоматически запускать в том числе rm и rmdir, которые прежде требовали отдельного согласия пользователя. Об изменении сообщила технический сотрудник Anthropic Дейзи Холлман; об этом пишет The Register.
У Claude Code уже был флаг --dangerously-skip-permissions, включающий режим обхода разрешений. Однако даже в нём агент не получал карт-бланш: потенциально разрушительные команды удаления оставались за ручным подтверждением. Новая переменная окружения убирает и этот барьер. В Anthropic отдельно подчеркнули, что другие ограничения, например централизованно заданные управляемые настройки, могут продолжать действовать.
Название переменной выглядит намеренно гротескно: компания буквально предупредила пользователя, что режим «ещё опаснее». Это, впрочем, не техническая защита. Переменная задаётся в shell-окружении, а значит её нетрудно добавить в локальный профиль, CI-задачу или контейнер. Ошибка в инструкции агента, неверно определённая рабочая директория или слишком широкий контекст доступа после этого могут превратить обычную задачу очистки в потерю исходников, артефактов сборки или конфигурации.
Контекст важен: Claude Code — не чат, который предлагает текст команды, а агентный инструмент, способный работать с репозиторием и терминалом. Чем больше действий он выполняет самостоятельно, тем заметнее разница между «попросить удалить временные файлы» и «дать процессу право без спроса удалять всё, что доступно текущему пользователю». Команда rm -rf ~ стала почти мемом именно потому, что при неудачном запуске последствия оказываются не теоретическими.
До появления переменной Claude Code предлагал несколько режимов разрешений: от стандартного до режимов автоматического принятия правок и полного обхода проверок. Режим bypassPermissions появился в версии 1.0.18 9 июня 2025 года. В августе 2026 года режим auto, допускающий действия с фоновыми проверками безопасности, стал вариантом по умолчанию. Важное различие между ними состояло в том, что bypassPermissions номинально пропускал такие проверки, но всё ещё останавливался на удалении файлов. Теперь это исключение можно отключить вручную.
Для опытных разработчиков опасный режим Claude Code может оказаться оправданным в одноразовых изолированных средах: например, в контейнере для воспроизводимой сборки или на временном runner в CI. Там автоматическая очистка действительно сокращает количество пауз и делает агентные сценарии менее раздражающими. Но включать его на основной рабочей станции, на сервере с общим доступом или в окружении с боевыми секретами — решение с плохо ограниченным радиусом поражения.
Практический минимум здесь скучен, зато работает: запускать агент в контейнере или отдельной виртуальной машине, ограничивать доступный каталог, не выдавать лишние токены и ключи, хранить резервные копии и проверять, какая именно переменная попала в CI. Отдельно стоит убедиться, что агент не выполняется от привилегированного пользователя: автоматизация не становится безопаснее от того, что её назвали экспериментальной.
Рынок ИИ-инструментов для разработки движется к меньшему числу подтверждений и более длинным автономным цепочкам действий. Это экономит минуты на рутинных операциях, но переносит ответственность за границы доступа с интерфейса на настройки окружения и инженерную дисциплину. Опасный режим Claude Code хорошо показывает новый компромисс: главный вопрос уже не в том, способен ли агент выполнить команду, а в том, где команда должна иметь право ошибиться. Проверить детали изменения можно в материале .