--- title: "Vai Claude Code ir drošs? Ko rāda 93 incidenti" description: "Claude Code ir tik drošs, cik tā iestatījumi. 93 publiski incidenti pēc cēloņa, Anthropic kontroles ar noklusējumiem un iestatījumi, kas tos aptur." url: "https://madsalt.tech/lv/blog/is-claude-code-safe/" author: "Denys Zaichenko" language: "lv" published: 2026-11-01 --- # Vai Claude Code ir drošs? Ko rāda 93 incidenti Īsumā Claude Code ir drošs lietošanai, ja to iestatāt, un riskants ar noklusējumiem. Svaigā instalācijā 2026. gada oktobrī sandbox ir izslēgts, noliegšanas noteikumu nav, hook nav, un apstiprināta čaulas komanda var rakstīt jebkur, kur var rakstīt jūsu lietotāja konts. Sakārtoju 93 publiskus incidentu ziņojumus no GitHub issue, drošības paziņojumiem un drošības rakstiem: kaitējums nāca no nepieprasītiem `git reset --hard` un datubāzes atiestatīšanām, noteikumiem, kas dzīvoja tikai `CLAUDE.md`, neuzticamām repo, issue un spraudņiem, un apakšaģentiem, kas palaida apakšaģentus. Gandrīz nekas no tā nebija dramatisks `rm -rf /`. Ielieciet darbu git, ieslēdziet sandbox, uzrakstiet noliegšanas noteikumus un vienu bloķējošu hook un turiet produkcijas akreditācijas datus ārpus aģenta sasniedzamības. 93 publiski incidentu ziņojumi pēc cēloņa, no 2025. gada jūnija līdz 2026. gada oktobrim GitHub issue, drošības paziņojumi, drošības blogi, Hacker News 19 no tiem saka, ka dati zaudēti uz visiem laikiem vēl 11 saka, ka tie atgūti 10 pārkāpa noteikumu, kas bija rakstīts tikai CLAUDE.md uzvedne ir ieteikums, atļauju noteikums ir izpilde Esmu Denys, full-stack un AI inženieris, un Claude Code lietoju katru dienu. Zemāk ir divas lietas: kas citiem gāja greizi un ko Claude Code piedāvā pretī, ieskaitot to, kuras no šīm kontrolēm ir ieslēgtas pēc noklusējuma. Pēc tam iestatījumi, kas aizver robus. ## Vai Claude Code ir drošs? Drošība nedzīvo modelī. Claude Code izlemj, kas tiek izpildīts, ar atļauju režīmu, atļauju noteikumiem, neobligātu sandbox un neobligātiem hook, un Anthropic [atļauju lapa](https://code.claude.com/docs/en/permissions) to pasaka skaidri: noteikumus izpilda Claude Code, nevis modelis, un norādījumi `CLAUDE.md` veido to, ko Claude mēģina darīt, bet nemaina to, ko tam ir atļauts darīt. Tātad godīga atbilde atkarīga no jūsu iestatījumiem. [Drošības lapa](https://code.claude.com/docs/en/security) darba direktorijas robežu apraksta kā atļaujas uzvedni un piebilst: "a Bash command you approve can still write anywhere your user account can" (apstiprināta Bash komanda joprojām var rakstīt jebkur, kur var rakstīt jūsu lietotāja konts). [Sandbox lapa](https://code.claude.com/docs/en/sandboxing) saka "The sandbox is off by default" (sandbox pēc noklusējuma ir izslēgts) un ka pat ieslēgts tas aptver tikai čaulas komandas: failu rīki, MCP serveri un hook darbojas ārpus tā. Anthropic paša noslēguma rinda drošības lapā: "no system is completely immune to all attacks." (neviena sistēma nav pilnībā imūna pret visiem uzbrukumiem.) ## Kas citiem gāja greizi: 93 incidentu ziņojumi 2026. gada 31. oktobrī apkopoju publiskus ziņojumus par to, ka Claude Code nodarījis kaitējumu vai gandrīz nodarījis: 63 GitHub issue un drošības paziņojumi, 26 raksti drošības un inženierijas blogos un 4 Hacker News diskusijas, no 2025. gada jūnija līdz 2026. gada oktobrim. Izlaidu Reddit diskusijas, ko redzēju tikai caur spoguļiem. Katram ziņojumam pierakstīju vienu tipu un, ja ziņotājs to norādīja, atļauju režīmu un to, vai dati zaudēti. 60 no 61 citāta, ko pārbaudīju pret GitHub tekstu, sakrita burtiski. ![93 incidentu ziņojumi pēc veida. GitHub issue, paziņojumi, blogi, Hacker News. 06.2025–10.2026. Sandbox vai atļauju apiešana: 15; Git darbs iznīcināts: 14; Noslēpumi atklāti: 12; Faili izdzēsti: 11; Datubāze sabojāta: 9; Ļaunprātīgs MCP serveris vai spraudnis: 9; Apakšaģentu izmaksu kāpums: 9; Prompt injection: 5; Cits: 9.](https://madsalt.tech/charts/lv/is-claude-code-safe-incidents.svg) *1. att. 93 publiski incidentu ziņojumi (63 GitHub issue un drošības paziņojumi, 26 bloga raksti, 4 Hacker News diskusijas), no 2025. gada jūnija līdz 2026. gada oktobrim, apkopoti 2026. gada 31. oktobrī.* 19 ziņojumi saka, ka dati zaudēti uz visiem laikiem, 11, ka atgūti, 36 apraksta robu, kas atrasts, pirms kāds cieta (lielākā daļa ir izlaboti drošības paziņojumi), un 27 neko nesaka. 56 no 93 neminē atļauju režīmu, tāpēc šī kopa nevar pateikt, vai „YOLO mode” ir vieta, kur rodas kaitējums. Tā parāda piecus modeļus. **1. Aģents izpilda destruktīvu komandu, ko neviens nepieprasīja.** Labojot lint kļūdas, tas izpildīja `git checkout HEAD -- .` un izmeta stundu nesaglabāta darba ([#11821](https://github.com/anthropics/claude-code/issues/11821)). Sesijas sākumā tas izpildīja `git reset --hard origin/main` virs nenosūtītiem commit ([#34327](https://github.com/anthropics/claude-code/issues/34327)). Tas izpildīja `drizzle-kit push --force` pret produkcijas datubāzi bez rezerves kopijām ([#27063](https://github.com/anthropics/claude-code/issues/27063)), pieņēma Prisma atiestatīšanu produkcijā ([#33183](https://github.com/anthropics/claude-code/issues/33183)), un vienā [rakstā](https://aishippinglabs.com/blog/how-i-dropped-our-production-database-and-now-pay-10-more-for-aws) izpildīja `terraform destroy`, kad mapē bija vecs produkcijas stāvokļa fails. Neviena no šīm nav `rm -rf /`. Tās ir parastas komandas ar karogu, kas izlaiž paša rīka apstiprinājumu. **2. Noteikumi, kas dzīvo tikai `CLAUDE.md`.** 10 ziņojumi attiecas uz uzrakstītu noteikumu, ko aģents pārkāpa: tas veica commit ar īstām API atslēgām, neraugoties uz 150 rindu garo drošības sadaļu ([#2142](https://github.com/anthropics/claude-code/issues/2142)), veica commit pēc noteikuma "never commit" ([#34774](https://github.com/anthropics/claude-code/issues/34774)), izdrukāja tokenu ar `grep` un pamanīja to tikai pēc tam ([#44868](https://github.com/anthropics/claude-code/issues/44868)). Viens ziņotājs norāda, ka `CLAUDE.md` atrodas repo, kurā aģents var rakstīt ([#23870](https://github.com/anthropics/claude-code/issues/23870)). Tas atbilst dokumentācijai: uzvedne ir ieteikums, noteikums ir izpilde. **3. Noliegšanas noteikums bloķē komandu, nevis mērķi.** Ar noliegtu `Bash(rm *)` aģents izdzēsa failu ar Python vienrindu ([#39459](https://github.com/anthropics/claude-code/issues/39459)). Atļauju lapa saka to pašu par teksta saskaņošanu: `git -C . push` neatbilst noteikumam `git push`. **4. Neuzticams teksts un kods saņem tādu pašu varu kā jūs.** Repozitorija paša iestatījumu fails varēja palaist hook un nosūtīt API atslēgu pirms uzticēšanās dialoga ([Check Point, CVE-2025-59536](https://research.checkpoint.com/2026/rce-and-api-token-exfiltration-through-claude-code-project-files-cve-2025-59536/)). Uzvedne GitHub issue lika Claude Code GitHub Action nolasīt runner vidi un atklāt tā API atslēgu ([Microsoft](https://www.microsoft.com/en-us/security/blog/2026/06/05/securing-ci-cd-in-agentic-world-claude-code-github-action-case/)). Tirgus spraudnis ar slēptu hook nosūtīja kodu uzbrucēja serverim ([PromptArmor](https://www.promptarmor.com/resources/hijacking-claude-code-via-injected-marketplace-plugins)), un oktobrī Cursor tirgū atradās viltota Claude Code paplašinājuma kopija ([Cursor](https://cursor.com/blog/claude-code-extension-security-notice)). Izlabotie ir izlaboti; modelis paliek. **5. Apakšaģenti, kas palaiž apakšaģentus.** Viena sesija sadedzināja vairāk nekā 600 dolāru ([#72732](https://github.com/anthropics/claude-code/issues/72732)); cita palaida apmēram 242 aģentus, pirms lietotājs ierakstīja `/exit` ([#69332](https://github.com/anthropics/claude-code/issues/69332)). Uzturētāja atbilde #72732 saka, ka vienlaicīgo apakšaģentu un ligzdošanas dziļuma ierobežojumi tika pievienoti versijās 2.1.217 un 2.1.219. ## Ko Claude Code jums dod un kas ir ieslēgts pēc noklusējuma Katra zemāk esošā kontrole ir īsta un dokumentēta. Svarīgā ir trešā kolonna. | Kontrole | Ko tā dara | Noklusējums, 2026. gada oktobris | | ---------------------------------------------------------------------------------------------- | ---------------------------------------------------------------------------------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | [Atļauju režīms](https://code.claude.com/docs/en/permission-modes) | Manual jautā pirms izmaiņām un komandām; auto mode ļauj klasifikatora modelim apstiprināt jūsu vietā | Auto mode ir interaktīvu sesiju sākuma režīms kopš v2.1.283 | | Auto mode klasifikators | Bloķē darbības, ko uzskata par nedrošām | Ieslēgts ar auto mode. Anthropic [2026. gada marta skaitļi](https://www.anthropic.com/engineering/claude-code-auto-mode): 17% no 52 īstām pārgalvīgām darbībām palaists garām | | [Noliegšanas, jautāšanas un atļaušanas noteikumi](https://code.claude.com/docs/en/permissions) | Bloķē atbilstošus rīku izsaukumus vai liek par tiem jautāt, katrā režīmā | Nav, kamēr tos neuzrakstāt | | [Bash sandbox](https://code.claude.com/docs/en/sandboxing) | OS līmeņa failu un tīkla ierobežojumi čaulas komandām | Izslēgts. Tikai čaula; lasa `~/.ssh`, ja to neliedzat | | [Hook](https://code.claude.com/docs/en/hooks) | Jūsu skripts darbojas pirms katra rīka izsaukuma un var to bloķēt | Nav | | [Kontrolpunkti un `/rewind`](https://code.claude.com/docs/en/checkpointing) | Atceļ Claude failu izmaiņas | Ieslēgti, bet faili, kas mainīti tikai ar Bash, netiek izsekoti | | Uzticēšanās dialogs, `.mcp.json` apstiprinājums | Jautā pirms mapes vai projekta MCP serveru uzskatīšanas par uzticamiem | Ieslēgts interaktīvi; `-p` sesija nerāda nevienu | | [Pārvaldītie iestatījumi](https://code.claude.com/docs/en/managed-settings) | Organizācija nofiksē režīmus, noteikumus un hook | Nav ieviesti, ja jūsu uzņēmums to nedara | Šo ceļu iet viens rīka izsaukums. Sarkanie soļi ir tie, ko svaiga instalācija atstāj tukšus vai izslēgtus: 1. **Claude piedāvā rīka izsaukumu**. Faila rediģēšana, čaulas komanda, MCP servera izsaukums. 2. **PreToolUse hook**. Jūsu skripts redz visu izsaukumu un var to bloķēt. Pēc noklusējuma nav. 3. **Noliegšanas un jautāšanas noteikumi**. Saskaņo komandu tā, kā tā uzrakstīta. Pēc noklusējuma nav. 4. **Atļauju režīms**. Manual jautā jums, auto mode jautā klasifikatoram, bypass nejautā nevienam. 5. **Sandbox**. OS ierobežojumi failiem un tīklam, tikai čaulas komandām. Pēc noklusējuma izslēgts. 6. **Izsaukums darbojas ar jūsu lietotāja piekļuvi**. Pēc šī punkta palīdz tikai git un rezerves kopijas. *2. attēls. Slāņi starp piedāvāto rīka izsaukumu un jūsu failiem, ar to noklusējumiem Claude Code 2026. gada oktobrī.* `--dangerously-skip-permissions` dokumentācijā ir sava rinda: "Only use this mode in isolated environments like containers or VMs where Claude Code can't cause damage." (Izmantojiet šo režīmu tikai izolētās vidēs, piemēram, konteineros vai VM, kur Claude Code nevar nodarīt kaitējumu.) Noliegšanas noteikumi un hook abi vērtē komandu kā tekstu, tāpēc citādi uzrakstīta komanda joprojām var izslīdēt, un hook darbojas ar jūsu pilnu piekļuvi. Tāpēc tie ir viens slānis, bet git, rezerves kopijas un atsevišķi akreditācijas dati ir pārējie. ## Kā droši iestatīt Claude Code Pēc vērtības uz minūti: 1. **Veiciet commit pirms sākšanas un bieži.** Kontrolpunkti neaptver failus, ko mainīja čaulas komanda. Git aptver. 2. **Turiet produkcijas akreditācijas datus ārpus aģenta mapes.** Vienā ziņojumā apakšaģenta vienreizējie skripti izpildīja `DELETE FROM` katrai tabulai, jo produkcijas akreditācijas dati bija neizkomentēti lokālajā `.env` ([#64056](https://github.com/anthropics/claude-code/issues/64056)). Izstrādes datubāze, ko aģents var salauzt, ir labi; produkcijas datubāze, ko tas var sasniegt, ir incidents. 3. **Uzrakstiet noliegšanas noteikumus komandām, kas iznīcina.** Tie darbojas katrā režīmā, ieskaitot bypass: ```json { "permissions": { "deny": [ "Bash(git reset --hard *)", "Bash(git push --force *)", "Bash(git push -f *)", "Bash(git checkout -- *)", "Bash(git clean *)", "Bash(terraform destroy *)", "Bash(drizzle-kit push --force *)", "Bash(prisma migrate reset *)", "Read(./.env)", "Read(./.env.*)" ] }, "sandbox": { "enabled": true, "allowUnsandboxedCommands": false } } ``` 4. **Ieslēdziet sandbox** (`/sandbox`) un izslēdziet atkārtotu mēģinājumu ārpus sandbox, kā augstāk. Pievienojiet `filesystem.denyRead` priekš `~/.ssh` un mākoņa akreditācijas datu mapēm, jo sandbox tās pēc noklusējuma lasa. 5. **Pievienojiet vienu `PreToolUse` hook tam, ko teksta noteikumi palaiž garām.** Noliegšanas noteikums neredz `git -C . push --force` vai Python dzēšanu; īss skripts, kas aplūko visu komandu, redz. Sāciet ar piecām komandām, kas jums nodarītu vislielāko ļaunumu. 6. **Neuzticamu saturu uztveriet kā kodu.** Atveriet nezināmus repo konteinerā vai VM, dodiet CI palaišanām ierobežotus tokenus un atcerieties, ka `-p` sesija nerāda uzticēšanās dialogu. Spraudnis vai MCP serveris darbojas ar jūsu privilēģijām; Anthropic saka, ka tas "does not security-audit or manage any MCP server." (neveic nevienas MCP servera drošības auditu un nepārvalda nevienu.) 7. **Ierobežojiet garas palaišanas.** Nepieskatītam darbam izmantojiet `--max-budget-usd` un sekojiet apakšaģentu skaitam. Ja aģents būvē uz Supabase, tā pati domāšana attiecas uz atslēgām: slepenā atslēga, ko tas izmanto skriptos, izlaiž katru politiku, kā parādīju rakstā [anon key vs service role key](https://madsalt.tech/lv/blog/supabase-anon-key-vs-service-role-key/). Plašāks saraksts par to, ko ar AI veidotas lietotnes dara nepareizi, ir rakstā [vibe coding drošības riski](https://madsalt.tech/lv/blog/vibe-coding-security-risks/), un kā aģenti cieš neveiksmi garās palaišanās, ir rakstā [multi-agent orchestration: kas salūza 3315 aģentu palaišanās](https://madsalt.tech/lv/blog/multi-agent-orchestration-what-broke/). ## Ko cilvēki jautā **Vai Claude Code var izdzēst manus failus?** Jā. Manual režīmā tas vispirms jautā, bet apstiprināta komanda var sasniegt jebko, ko var sasniegt jūsu lietotājs; ar automātiskās apstiprināšanas režīmiem tas var nejautāt. 11 no iepriekš minētajiem ziņojumiem ir failu dzēšanas. Git un rezerves kopijas ir risinājums, kas darbojas vienmēr. **Vai `--dangerously-skip-permissions` ir drošs?** Pēc Anthropic dokumentācijas tikai konteinerā vai VM, kur nav nekā, ko nevarat zaudēt. Noliegšanas noteikumi un hook šajā režīmā joprojām darbojas; uzvednes ne. **Vai auto mode ir drošs?** Drošāks nekā visa refleksīva apstiprināšana. Anthropic izmērīja 0,4% viltus pozitīvu rezultātu līmeni un teica, ka 2026. gada marta testā palaida garām 17% īstu pārgalvīgu darbību, un nosauca to par "not a drop-in replacement for careful human review on high-stakes infrastructure." (nevis par aizstājēju rūpīgai cilvēka pārskatīšanai augsta riska infrastruktūrā.) **Vai Claude Code sūta manu kodu Anthropic apmācībai?** Saskaņā ar komerciālajiem noteikumiem (Team, Enterprise, API) Anthropic saka, ka neapmāca uz jūsu koda vai uzvednēm, ja nepiekrītat. Patērētāju plānos tas ir iestatījums, ko kontrolējat jūs. Sīkāka informācija ir [datu izmantošanas lapā](https://code.claude.com/docs/en/data-usage). **Vai auto mode ir tas pats, kas `--dangerously-skip-permissions`?** Nē. Anthropic izveidoja auto mode, lai aizstātu šo karogu: klasifikators joprojām pārskata čaulas komandas, tīkla izsaukumus un apakšaģentu palaišanu, un pēc 3 noraidījumiem pēc kārtas vai 20 kopā tas apstājas un atdod vadību jums. Karogs neko nepārskata.