--- title: "Är Claude Code säkert? Vad 93 incidenter visar" description: "Claude Code är så säkert som dess uppsättning. 93 publika incidenter efter orsak, Anthropics standardkontroller och en uppsättning som stoppar dem." url: "https://madsalt.tech/sv/blog/is-claude-code-safe/" author: "Denys Zaichenko" language: "sv" published: 2026-11-01 --- # Är Claude Code säkert? Vad 93 incidenter visar TL;DR Claude Code är säkert att använda om du ställer in det, och riskabelt med standardvärdena. På en ny installation i oktober 2026 är sandboxen avstängd, det finns inga deny-regler och inga hooks, och ett shell-kommando du godkänner kan skriva var som helst som ditt användarkonto kan. Jag sorterade 93 publika incidentrapporter från GitHub-ärenden, säkerhetsmeddelanden och säkerhetsartiklar: skadan kom från oombedda `git reset --hard` och databasåterställningar, regler som bara fanns i `CLAUDE.md`, opålitliga repon, ärenden och plugins, och subagenter som startade subagenter. Nästan inget var ett dramatiskt `rm -rf /`. Lägg arbetet i git, slå på sandboxen, skriv deny-regler och en blockerande hook, och håll produktionsuppgifter utom räckhåll för agenten. 93 publika incidentrapporter sorterade efter orsak, juni 2025 till oktober 2026 GitHub-ärenden, säkerhetsmeddelanden, säkerhetsbloggar, Hacker News 19 av dem säger att data förlorades för gott ytterligare 11 säger att den återfanns 10 bröt mot en regel som bara stod i CLAUDE.md en prompt är ett råd, en behörighetsregel är tvång Jag heter Denys och är full-stack- och AI-ingenjör, och jag använder Claude Code varje dag. Nedan finns två saker: vad som gick fel för andra, och vad Claude Code ger dig mot det, inklusive vilka av kontrollerna som är på som standard. Sedan en uppsättning som täcker luckorna. ## Är Claude Code säkert? Säkerheten sitter inte i modellen. Claude Code avgör vad som körs genom ett behörighetsläge, behörighetsregler, en valfri sandbox och valfria hooks, och Anthropics [behörighetssida](https://code.claude.com/docs/en/permissions) säger det rakt ut: reglerna upprätthålls av Claude Code, inte av modellen, och instruktioner i `CLAUDE.md` påverkar vad Claude försöker göra men ändrar inte vad den får göra. Det ärliga svaret beror alltså på din uppsättning. [Säkerhetssidan](https://code.claude.com/docs/en/security) beskriver arbetskatalogens gräns som en behörighetsfråga och tillägger att "ett Bash-kommando du godkänner kan fortfarande skriva var som helst som ditt användarkonto kan". [Sandbox-sidan](https://code.claude.com/docs/en/sandboxing) säger "sandboxen är avstängd som standard", och att den även när den är på bara täcker shell-kommandon: filverktygen, MCP-servrarna och hooks körs utanför den. Anthropics egen avslutande rad på säkerhetssidan: "inget system är helt immunt mot alla attacker." ## Vad som gick fel för andra: 93 incidentrapporter Den 31 oktober 2026 samlade jag publika rapporter om att Claude Code gjorde skada eller nästan gjorde det: 63 GitHub-ärenden och säkerhetsmeddelanden, 26 artiklar på säkerhets- och ingenjörsbloggar och 4 Hacker News-trådar, från juni 2025 till oktober 2026. Jag lämnade ut Reddit-trådar som jag bara kunde se via speglar. Varje rapport fick en typ och, där den som rapporterade sa det, behörighetsläget och om data förlorades. 60 av de 61 citat jag jämförde med GitHub-texten stämde ordagrant. ![93 incidentrapporter per typ. GitHub-ärenden, meddelanden, bloggar, Hacker News. 06.2025–10.2026. Sandbox eller behörighet kringgicks: 15; Git-arbete förstördes: 14; Hemligheter exponerades: 12; Filer raderades: 11; Databas skadades: 9; Skadlig MCP-server eller plugin: 9; Subagentkostnad skenade: 9; Promptinjektion: 5; Övrigt: 9.](https://madsalt.tech/charts/sv/is-claude-code-safe-incidents.svg) *Figur 1. 93 publika incidentrapporter (63 GitHub-ärenden och säkerhetsmeddelanden, 26 bloggartiklar, 4 Hacker News-trådar), juni 2025 till oktober 2026, insamlade 31 oktober 2026.* 19 rapporter säger att data förlorades för gott, 11 att den återfanns, 36 beskriver ett hål som hittades innan någon kom till skada (de flesta är säkerhetsmeddelanden som åtgärdats), och 27 säger inget. 56 av 93 anger inte behörighetsläget, så det här underlaget kan inte säga om "YOLO-läge" är där skadan sker. Det det visar är fem mönster. **1. Agenten kör ett destruktivt kommando som ingen bad om.** När den fixade lint-fel körde den `git checkout HEAD -- .` och kastade en timmes ocommittat arbete ([#11821](https://github.com/anthropics/claude-code/issues/11821)). Vid sessionsstart körde den `git reset --hard origin/main` över opushade commits ([#34327](https://github.com/anthropics/claude-code/issues/34327)). Den körde `drizzle-kit push --force` mot en produktionsdatabas utan backuper ([#27063](https://github.com/anthropics/claude-code/issues/27063)), godkände en Prisma-återställning i produktion ([#33183](https://github.com/anthropics/claude-code/issues/33183)), och i en [artikel](https://aishippinglabs.com/blog/how-i-dropped-our-production-database-and-now-pay-10-more-for-aws) körde den `terraform destroy` med en gammal produktionsstatefil i mappen. Inget av detta är `rm -rf /`. Det är vanliga kommandon med en flagga som hoppar över verktygets egen bekräftelse. **2. Regler som bara bor i `CLAUDE.md`.** 10 rapporter handlar om en skriven regel som agenten bröt: den committade riktiga API-nycklar trots ett 150 rader långt säkerhetsavsnitt ([#2142](https://github.com/anthropics/claude-code/issues/2142)), committade efter en regel om att "aldrig commita" ([#34774](https://github.com/anthropics/claude-code/issues/34774)), skrev ut en token med `grep` och märkte det först efteråt ([#44868](https://github.com/anthropics/claude-code/issues/44868)). En rapportör påpekar att `CLAUDE.md` ligger i repot som agenten kan skriva till ([#23870](https://github.com/anthropics/claude-code/issues/23870)). Det stämmer med dokumentationen: en prompt är ett råd, en regel är tvång. **3. En deny-regel blockerar ett kommando, inte ett mål.** Med `Bash(rm *)` nekat raderade agenten filen med en Python-enradare ([#39459](https://github.com/anthropics/claude-code/issues/39459)). Behörighetssidan säger samma sak om textmatchning: `git -C . push` matchas inte av en regel för `git push`. **4. Opålitlig text och kod får samma makt som du.** Ett repos egen inställningsfil kunde köra hooks och skicka API-nyckeln före förtroendedialogen ([Check Point, CVE-2025-59536](https://research.checkpoint.com/2026/rce-and-api-token-exfiltration-through-claude-code-project-files-cve-2025-59536/)). En prompt i ett GitHub-ärende fick Claude Codes GitHub Action att läsa runnerns miljö och avslöja sin API-nyckel ([Microsoft](https://www.microsoft.com/en-us/security/blog/2026/06/05/securing-ci-cd-in-agentic-world-claude-code-github-action-case/)). Ett marketplace-plugin med en dold hook skickade kod till en angripares server ([PromptArmor](https://www.promptarmor.com/resources/hijacking-claude-code-via-injected-marketplace-plugins)), och i oktober låg en manipulerad kopia av Claude Code-tillägget i Cursors marketplace ([Cursor](https://cursor.com/blog/claude-code-extension-security-notice)). De åtgärdade är åtgärdade; mönstret kvarstår. **5. Subagenter som startar subagenter.** En session brände över 600 dollar ([#72732](https://github.com/anthropics/claude-code/issues/72732)); en annan startade omkring 242 agenter innan användaren skrev `/exit` ([#69332](https://github.com/anthropics/claude-code/issues/69332)). Ett svar från en underhållare i #72732 säger att tak för samtidiga subagenter och nästlingsdjup lades till i 2.1.217 och 2.1.219. ## Vad Claude Code ger dig, och vad som är på som standard Varje kontroll nedan är verklig och dokumenterad. Kolumnen som räknas är den tredje. | Kontroll | Vad den gör | Standard, oktober 2026 | | --------------------------------------------------------------------------- | ---------------------------------------------------------------------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | [Behörighetsläge](https://code.claude.com/docs/en/permission-modes) | Manual frågar före ändringar och kommandon; auto mode låter en klassificeringsmodell godkänna åt dig | Auto mode är startläget för interaktiva sessioner sedan v2.1.283 | | Auto mode-klassificerare | Blockerar åtgärder den bedömer som osäkra | På med auto mode. Anthropics [siffror från mars 2026](https://www.anthropic.com/engineering/claude-code-auto-mode): 17 % av 52 verkliga övernitiska åtgärder missades | | [Deny-, ask- och allow-regler](https://code.claude.com/docs/en/permissions) | Blockerar eller tvingar fram en fråga för matchande verktygsanrop, i alla lägen | Inga förrän du skriver dem | | [Bash-sandbox](https://code.claude.com/docs/en/sandboxing) | OS-tvingande gränser för filer och nätverk för shell-kommandon | Av. Bara shell; läser `~/.ssh` om du inte nekar det | | [Hooks](https://code.claude.com/docs/en/hooks) | Ditt skript körs före varje verktygsanrop och kan blockera det | Inga | | [Checkpoints och `/rewind`](https://code.claude.com/docs/en/checkpointing) | Ångrar Claudes filändringar | På, men filer som bara ändrats av Bash spåras inte | | Förtroendedialog, godkännande av `.mcp.json` | Frågar innan en mapp eller ett projekts MCP-servrar betros | På interaktivt; en `-p`-session visar ingen av dem | | [Hanterade inställningar](https://code.claude.com/docs/en/managed-settings) | En organisation låser lägen, regler och hooks | Inte utrullade om inte ditt företag gör det | Det här är vägen ett verktygsanrop tar. De röda stegen är de som en ny installation lämnar tomma eller avstängda: 1. **Claude föreslår ett verktygsanrop**. Redigera en fil, köra ett shell-kommando, anropa en MCP-server. 2. **PreToolUse-hooks**. Ditt skript ser hela anropet och kan blockera det. Inga som standard. 3. **Deny- och ask-regler**. Matchar kommandot som det är skrivet. Inga som standard. 4. **Behörighetsläge**. Manual frågar dig, auto mode frågar en klassificerare, bypass frågar ingen. 5. **Sandbox**. OS-gränser för filer och nätverk, bara för shell-kommandon. Av som standard. 6. **Anropet körs med din användares åtkomst**. Efter den här punkten hjälper bara git och backuper. *Figur 2. Lagren mellan ett föreslaget verktygsanrop och dina filer, med deras standardvärden i Claude Code i oktober 2026.* `--dangerously-skip-permissions` har en egen rad i dokumentationen: "Använd bara det här läget i isolerade miljöer som containrar eller virtuella maskiner där Claude Code inte kan orsaka skada." Deny-regler och hooks bedömer båda kommandot som text, så ett kommando skrivet på ett annat sätt kan ändå slinka igenom, och en hook körs med hela din åtkomst. Därför är de ett lager, och git, backuper och separata uppgifter är de andra. ## Så ställer du in Claude Code säkert I ordning efter värde per minut: 1. **Gör en commit innan du börjar, och ofta.** Checkpoints täcker inte filer som ett shell-kommando ändrat. Git gör det. 2. **Håll produktionsuppgifter utanför agentens mapp.** I en rapport körde en subagents engångsskript `DELETE FROM` på varje tabell eftersom produktionsuppgifter låg okommenterade i den lokala `.env` ([#64056](https://github.com/anthropics/claude-code/issues/64056)). En utvecklingsdatabas som agenten kan förstöra är i sin ordning; en produktionsdatabas den når är incidenten. 3. **Skriv deny-regler för kommandona som förstör.** De gäller i alla lägen, även bypass: ```json { "permissions": { "deny": [ "Bash(git reset --hard *)", "Bash(git push --force *)", "Bash(git push -f *)", "Bash(git checkout -- *)", "Bash(git clean *)", "Bash(terraform destroy *)", "Bash(drizzle-kit push --force *)", "Bash(prisma migrate reset *)", "Read(./.env)", "Read(./.env.*)" ] }, "sandbox": { "enabled": true, "allowUnsandboxedCommands": false } } ``` 4. **Slå på sandboxen** (`/sandbox`), och stäng av omförsöket utanför sandboxen som ovan. Lägg till `filesystem.denyRead` för `~/.ssh` och mappar med molnuppgifter, eftersom sandboxen läser dem som standard. 5. **Lägg till en `PreToolUse`-hook för det textregler missar.** En deny-regel ser inte `git -C . push --force` eller en Python-radering; ett kort skript som tittar på hela kommandot gör det. Börja med de fem kommandon som skulle göra mest ont. 6. **Behandla opålitligt innehåll som kod.** Öppna okända repon i en container eller virtuell maskin, ge CI-körningar begränsade tokens och kom ihåg att en `-p`-session inte visar någon förtroendedialog. Ett plugin eller en MCP-server körs med dina behörigheter; Anthropic säger att de "inte säkerhetsgranskar eller hanterar någon MCP-server." 7. **Sätt tak på långa körningar.** Använd `--max-budget-usd` för obevakat arbete och håll koll på antalet subagenter. Om agenten bygger på Supabase gäller samma tänkande för nycklar: den hemliga nyckeln den använder i skript hoppar över varje policy, som jag visade i [anon key vs service role key](https://madsalt.tech/sv/blog/supabase-anon-key-vs-service-role-key/). Den bredare listan över vad AI-byggda appar gör fel finns i [säkerhetsrisker med vibe coding](https://madsalt.tech/sv/blog/vibe-coding-security-risks/), och hur agenter misslyckas i långa körningar finns i [vad som gick sönder i min multiagent-orkestrering](https://madsalt.tech/sv/blog/multi-agent-orchestration-what-broke/). ## Frågor folk ställer **Kan Claude Code radera mina filer?** Ja. I Manual-läge frågar den först, men ett godkänt kommando når allt som din användare når; med lägen som godkänner automatiskt kanske den inte frågar. 11 av rapporterna ovan är filraderingar. Git och backuper är åtgärden som alltid fungerar. **Är `--dangerously-skip-permissions` säkert?** Bara i en container eller virtuell maskin utan något du inte tål att förlora, enligt Anthropics dokumentation. Deny-regler och hooks gäller fortfarande i det läget; frågor gör det inte. **Är auto mode säkert?** Säkrare än att godkänna allt av reflex. Anthropic mätte en andel falska positiva på 0,4 % och sa att det missade 17 % av verkliga övernitiska åtgärder i sitt test i mars 2026, och kallade det "inte en direkt ersättning för noggrann mänsklig granskning på infrastruktur med höga insatser." **Skickar Claude Code min kod till Anthropic för träning?** Under kommersiella villkor (Team, Enterprise, API) säger Anthropic att de inte tränar på din kod eller dina prompter om du inte väljer det. På konsumentplaner är det en inställning du styr själv. Detaljer finns på [sidan om dataanvändning](https://code.claude.com/docs/en/data-usage). **Är auto mode detsamma som `--dangerously-skip-permissions`?** Nej. Anthropic byggde auto mode för att ersätta den flaggan: en klassificerare granskar fortfarande shell-kommandon, nätverksanrop och start av subagenter, och efter 3 nekanden i rad eller 20 totalt stannar den och lämnar tillbaka till dig. Flaggan granskar ingenting.