В октябре вышли две истории про агентов, которые удаляли не то.

В первой, по отчёту пользователя в трекере Claude Code, субагент чистил временные файлы и запустил удаление домашней папки. Ушло около 116 ГБ, включая проекты и SSH-ключи. А агент потом отчитался, что всё выглядит целым.

Во второй агент с флагом --dangerously-skip-permissions удалял две папки, а путь собрался в корень диска C. Человека спасли ежедневные бэкапы на NAS, восстановил около 98%.

Девяносто восемь. Потому что бэкап лежал на другой железке.

Я упаковываю сервисы в Docker и запускаю их на Linux-сервере. Вот что я бы сделал для агента теми же средствами.

1. Пускать агента в контейнер и монтировать только папку проекта. Домашнюю папку и ~/.ssh не пробрасывать, внутри работать без root.

2. Хранить бэкапы на другой машине. Копию на том же диске агент удалит вместе со всем остальным.

3. Ставить подтверждение на необратимое: rm -rf, DROP, force push, миграции на проде. Режим без проверок документация Claude Code советует включать только в изолированном контейнере или VM.

И ещё одно. Проверяйте результат своей командой, отчёту агента верить не стоит.

Вы своим агентам что разрешаете? Держите в контейнере или пускаете в основную систему?