Агент снёс мне домашнюю папку командой rm -rf, и это не я тупой

[sainty]

Попросил CC почистить старую репу. Он выполнил rm -rf tests/ patches/ plan/ ~/ — последний ~/ снёс весь мак. Технически он сделал что я сказал, но никакой границы которая бы поймала это не было. Бэкап был недельной давности, плакал.

[tx3300]

Это уже индустриальная болячка, не только CC. У Replit, Gemini CLI то же самое. Агент без песочницы рано или поздно снесёт тебе home, вопрос времени.

[asyncpro]

Слышали про кейс с Claude Cowork в январе? Чувак дал доступ почистить временные офисные файлы, агент удалил папку с 15 годами семейных фото через терминал в обход Trash. Спасло только iCloud с 30-дневным хранением.

[lentyaj]

@tx3300 вот это жесть. 15 лет фоток. После такого начинаешь уважать sandbox.

[Omoto]

Поэтому я гоняю всех агентов только в контейнере. devcontainer + смонтирована только рабочая папка, на хост доступа ноль. Снесёт — снесёт контейнер, пересоберу за минуту.

[Bill2001]

Плюсую контейнер. Ещё trash-cli вместо rm в алиасах внутри, и PreToolUse хук который блокает rm -rf с ~ или абсолютными путями вне cwd. Дёшево и сердито.

[lentyaj]

@sainty хук на блок опасных команд — то что надо. Настроил, теперь любой rm с ~ или / отлетает с отказом. Должно было быть из коробки честно говоря.

[ivan21]

В декабре кстати был баг где CC сам генерил rm -rf ~/ из-за кривого раскрытия переменной, чувак на reddit об этом писал. Так что даже аккуратность не всегда спасает, только изоляция.

[togashi]

Главный вывод из таких историй: безопасность не должна держаться на «аккуратности» агента. Я после пары пограничных случаев развёл защиту на три слоя: снапшоты файловой системы каждые 15 минут (на APFS это копейки по месту), git push после каждой осмысленной правки и запуск агента строго внутри проектного каталога. Каждый слой по отдельности дырявый, но вместе за полгода — ни одной потери. А бэкап недельной давности — это, увы, классика: про бэкапы вспоминают ровно на следующий день после катастрофы.

[tollie]

@Omoto, контейнер — да, но с оговоркой: смонтированная рабочая папка из него сносится точно так же, одним rm. От «снёс хоум» схема защищает, от «снёс репу с несохранённой работой за день» — нет. Я к devcontainer добавил read-only монтирование всего, что агенту нужно только читать, плюс коммиты после каждого логического шага — вот тогда она становится почти герметичной.