История с Claude Code, который, по сообщению разработчика, за 103 секунды удалил около 48 тысяч реальных файлов проекта, — наглядный пример новой категории рисков в эпоху ИИ-агентов.

Пользователь поручил системе исправить код и отдельно попросил работать только с копией, не затрагивая оригиналы. Однако при очистке тестовой среды агент, как утверждается, прошёл через связанные каталоги Windows и удалил данные из настоящей рабочей директории. Вместе с исходниками пострадали и локальные данные Git, из-за чего обычный откат оказался невозможен.

Ключевую роль сыграли Directory Junction — механизм Windows, при котором каталог может выглядеть как часть тестовой папки, но фактически указывать на другое место на диске.

В описанном случае в тестовой среде было более шестисот таких связей. Агент, вероятно, воспринимал их как обычные вложенные директории и продолжил массовое удаление, не распознав, что некоторые пути ведут к реальным файлам проекта.

Но главный урок состоит не в особенностях Windows и не в том, что модель якобы «вышла из-под контроля». Проблема в том, что естественно-языковая инструкция вроде «не трогай оригиналы» — это лишь пожелание к поведению модели, а не технический барьер.

Она не отменяет выданные агенту права. Если у ИИ есть возможность рекурсивно удалять файлы в рабочей области, то одна неверно распознанная ссылка, путь или структура каталогов может привести к катастрофическому результату.

Особенно опасно, что агенты действуют быстро и серийно. Человек может заметить ошибку после нескольких удалённых файлов и остановиться; агент способен за полторы минуты выполнить десятки тысяч операций. Чем длиннее автономная цепочка действий, тем выше вероятность, что хотя бы на одном этапе система неверно поймёт контекст или выберет опасный инструмент.

Этот случай также разрушает распространённую надежду на Git как на абсолютную страховку. Локальный репозиторий — это тоже набор файлов в том же доступном агенту пространстве.

Если ИИ может удалить исходный код, он может удалить и .git с объектами, ссылками и журналами. Контроль версий полезен, но не заменяет независимое резервное копирование.

Надёжная защита должна строиться на разделении прав и зон отказа. Агенту следует давать доступ только к временной копии или изолированному контейнеру, а опасные команды — удаление каталогов, операции с базами данных, отправка изменений в удалённый репозиторий — должны требовать отдельного подтверждения. Критичные резервные копии, снимки файловой системы и удалённые репозитории должны быть недоступны для агента и находиться за пределами его рабочей среды.

В эпоху, когда ИИ способен не только советовать, но и выполнять команды в операционной системе, безопасная архитектура должна исходить не из надежды, что модель всегда поймёт инструкцию правильно, а из обратного предположения: она рано или поздно ошибётся.

Зрелая система — это не та, где агент никогда не совершает ошибку, а та, где цена этой ошибки заранее ограничена.