В Claude Code можно убрать вопрос перед удалением важных папок

В Claude Code есть режим bypassPermissions, в котором агент почти ничего не спрашивает. Но перед удалением корня диска, домашней или рабочей папки он всё равно останавливается и ждёт вашего «да». С версии 2.1.311, которая вышла 26 октября, и этот вопрос можно отключить одной переменной окружения.

Что изменилось?

В Claude Code шесть режимов разрешений, то есть настроек, что агент делает без вашего «да». В режиме bypassPermissions он пропускает почти все проверки. Включается режим флагом --dangerously-skip-permissions или --permission-mode bypassPermissions, это одно и то же. Исключение одно: команды rm и rmdir, которые бьют по важным папкам, всё равно ждут подтверждения.

Список таких папок в документации называется «критические пути». Это корень диска, папки первого уровня вроде /usr и /etc, домашняя папка, диски Windows вроде C:\, рабочая папка и все папки над ней. Если за две минуты никто не ответил, команда отклоняется, а агент ищет другой способ.

Новая переменная снимает и этот вопрос: команда rm -rf ~ (удалить всю домашнюю папку) выполнится сразу. Об этом 26 октября написала в X (бывший Twitter) Дэйзи Холлман из Anthropic, пост набрал 568 тысяч просмотров. На комментарий «надеюсь, это не шутка» она ответила: «Не шутка! Надеюсь, это поможет, а название переменной легко запомнить».

Зачем нужна эта защита?

Агент может ошибиться в пути, а проверка путей сама давала сбои. До 9 октября в Windows команда rm -rf /c/Users/<имя> в Git Bash, то есть удаление всей папки пользователя, проходила в bypassPermissions без вопроса: проверка не узнавала такую запись пути. Anthropic исправила это в версии 2.1.296.

Как это включается и где не сработает?

Переменную задают в терминале перед запуском. Claude Code не читает её из файла настроек. Пример для macOS и Linux. Запускайте его только в одноразовой виртуальной машине или контейнере:

export CLAUDE_CODE_EVEN_MORE_DANGEROUSLY_SKIP_PERMISSIONS=1
claude --permission-mode bypassPermissions

При запуске Claude Code показывает строку о том, включена ли переменная в этой сессии.

В остальных пяти режимах переменная ничего не меняет: удаление важной папки там выполнится только после вашего «да» или не выполнится вовсе.

Что остаётся из защиты?

Запрещающие правила, список команд в настройке permissions.deny, работают в любом режиме, включая bypassPermissions. Песочница по умолчанию выключена, включается командой /sandbox. Она ограничивает, куда могут писать команды, но рабочую папку агент стереть всё равно может. И документация предупреждает: проверка ловит только rm и rmdir, другие команды могут удалить те же папки и без новой переменной.

В ночь на 30 октября вышла версия 2.1.314, и в ней защиту, наоборот, добавили. Настройка blockWritesOutsideWorkingDirectories запрещает встроенным инструментам записи и правки файлов (Write, Edit и NotebookEdit) менять файлы вне рабочих папок в любом режиме. Команды в терминале эта настройка, судя по журналу изменений, не затрагивает: удаление через rm по-прежнему сверяется только со списком критических путей.

Что это значит для вас?

Если Claude Code работает на вашем компьютере, переменная вам не нужна, и bypassPermissions тоже лучше не включать. Anthropic советует этот режим только для контейнеров и виртуальных машин без выхода в интернет. Для долгих задач без постоянных вопросов есть режим auto: он сам проверяет команды, а удаление важной папки без вас не пропустит.

Переменная нужна тем, кто под каждую задачу поднимает одноразовую виртуальную машину, где стирать нечего. Как переключать режимы разрешений, мы разбирали в руководстве по Claude Code для новичка.

Источники: документация Claude Code, «Permission modes»; пост Дэйзи Холлман в X, 26.10.2026; журнал изменений Claude Code.