Claude CLI menghapus direktori home hingga Mac ter-reset

• Saat menjalankan pembersihan paket repositori lama dengan Claude CLI di Mac, direktori home ikut terhapus sehingga Mac ter-reset
• Perintah yang tersisa di log berbentuk rm -rf tests/ patches/ plan/ ~/, dan ~/ di bagian akhir menunjuk ke seluruh direktori home
• Akibat penghapusan itu, item seperti Desktop, Documents/Downloads, Keychain, dan ~/.claude ikut hilang
• Saat pengguna menanyakan situasinya kepada Claude, responsnya menyebut “masalahnya benar-benar serius” dan menunjukkan “perintah fatal” di log, yaitu rm -rf tests/ patches/ plan/ ~/
  • Claude juga menjelaskan secara rinci tindakannya sendiri bahwa ~/ di akhir perintah berarti “seluruh direktori home”, sehingga semuanya terhapus

Reaksi komentar di Reddit

• Poin yang paling sering ditanyakan balik adalah apakah ini dijalankan dari direktori home / bagaimana bisa keluar dari direktori kerja
• Ada juga komentar yang menyebut setidaknya harus dibatasi ke folder dev, dan bahwa membuka dari direktori home akan memunculkan peringatan
• “Secara default tidak bisa keluar dari direktori kerja, tetapi bisa terjadi dengan --dangerously-skip-permissions atau persetujuan izin yang sangat luas”
• Bisa jadi pengguna mengizinkan perintah rm tanpa batas, atau menyetujui rm -rf ~/ tersebut
• “Ini bukan Claude melakukan sesuatu sendiri, melainkan pengguna yang menghapusnya dengan memakai Claude sebagai alat”
• Ada juga sebagian komentar yang meragukan kejadian ini sendiri, seperti “palsu/rekayasa/sengaja dilakukan karena secara prosedural ada beberapa checkpoint”
• Komentar yang tampak berasal dari akun Anthropic meminta investigasi dengan mengatakan “ada banyak pemeriksaan, jadi kami ingin tahu bagaimana ini bisa terjadi; jika masih ada sesi, kirim DM id lewat /feedback”

[galadbran]

Kemarin saya juga melihat postingan di Facebook yang mengatakan bahwa mengosongkan seluruh kapasitas penyimpanan Mac (menyuruh Claude menghapus sendiri) itu sangat praktis...

[ahwjdekf]

Agent yang menggunakan tool memang sangat berbahaya. Lebih baik kita hanya mendengarkannya saja.

[GN⁺]

Pendapat Hacker News

• Kasus-kasus horor seperti ini tidak mengejutkan
  Flag --dangerously-skip-permissions secara harfiah melewati semua mekanisme perlindungan
  Karena itu saya selalu menjalankannya hanya di lingkungan sandbox.
  Setiap agen harus diperlakukan sebagai identitas independen yang berbeda dari manusia, diberi hanya hak minimum yang diperlukan, dan perilakunya harus dipantau
  Saya tidak membiarkan agen AI menghapus file sendiri. Jika ada perintah hapus, saya periksa dan jalankan sendiri
  Memang merepotkan, tapi ini yang terbaik untuk mencegah bencana
  Sebagai referensi, mulai muncul framework untuk deployment yang aman
  Artikel terkait: Claude Code dangerously-skip-permissions: Safe Usage Guide, Best Practices for Mitigating the Security Risks of Agentic AI

  • Beberapa bulan lalu, bahkan tanpa --dangerously-skip-permissions, Claude mencoba mengabaikan batasan direktori dan mengakses path seperti D/../../../../etc/passwd
    Sejak saat itu saya tidak pernah lagi menjalankannya di luar container Docker
  • Saya setuju bahwa ini berbahaya, tetapi menurut saya tidak harus dibuat sepenuhnya tidak bisa diakses
    Saya membuat hook PreToolUse untuk memblokir perintah rm -rf.
    Ada juga orang yang mencegat perintah rm, menampilkan peringatan, atau me-remap-nya ke trash agar tetap bisa dipulihkan
  • Soal pernyataan “perlakukan sebagai identitas non-manusia”, saya tidak memberi akses shell lokal kepada siapa pun, manusia atau bukan
  • Saya juga hanya membiarkan LLM menjalankan perintah read-only secara otomatis, sementara perintah yang mengubah sesuatu harus disetujui manual
    Ada juga cara mengambil snapshot dengan filesystem berbasis COW seperti ZFS atau BTRFS, tetapi karena LLM bisa saja menghapus snapshot atau block device, pada akhirnya tetap jadi rumit
  • Sejujurnya, memang nyaman dipakai tanpa batasan seperti ini, tetapi karena harus memeriksa perintah setiap saat, rasanya hampir tidak bisa dipakai tanpa mode YOLO

• Karena alasan ini saya hanya memakai mode agent di komputer orang lain

  • Saya rasa “ini memang jawaban yang benar”

• Jika di macOS, sebaiknya bungkus Claude atau agen coding lain dengan sandbox-exec
  Namun agen itu sendiri bisa menonaktifkan sandbox
  Ini bisa diotomatisasi dengan hook chpwd di zsh, misalnya membuat sandbox otomatis saat masuk ke direktori proyek lalu membuangnya saat keluar

  • Claude Code memang pernah berkata ada “sandbox permission issue” lalu mematikan sandbox dan mencoba lagi dengan sendirinya
    Kalau LLM bisa mematikannya sendiri, pantas dipertanyakan apakah itu benar-benar sandboxing

• Saya juga memakai Claude The SysAdmin dan berhati-hati dengan perintah berbahaya
  Khususnya rm atau cat, sampai pernah harus mengganti password karena file .env terekspos
  Saat pekerjaan jaringan, ia juga pernah memutus koneksi internet sendiri lalu merusak sesi, jadi belakangan saya makin berhati-hati

• Seperti yang juga saya katakan ke teman, jangan gunakan tool agentic tanpa sandboxing
  Kalau tidak meluangkan beberapa jam untuk menyiapkan lingkungan, suatu hari nanti pasti akan terjadi insiden
  Bahkan orang berpengalaman pun bisa merusak sistem karena prompt berbahaya atau file yang tidak disengaja

• Karena alasan ini saya menjauhi alat-alat AI
  Tapi yang lebih saya khawatirkan adalah ketika operator layanan memakai hal-hal seperti ini dengan sembarangan
  Belakangan ini rasanya kurang kompeten lebih umum daripada akal sehat

  • Tidak apa-apa. Memakai tool seperti ini juga tidak masalah selama tidak bertindak bodoh
    Cukup baca dan pastikan apa yang sedang dilakukan sebelum mengeksekusinya

• Menarik melihat insiden terkait pengembangan LLM terus berulang
  Seperti para pengacara yang dulu menyerahkan kutipan palsu ke pengadilan, orang-orang tampaknya tidak belajar
  Jika tidak mengenal sejarah, kita akan mengulanginya; jika mengenalnya, kita harus menyaksikannya terulang lagi, semacam neraka pribadi

  • Saya bekerja di tim keamanan sistem besar. Sistem-sistem seperti ini juga sedang terburu-buru mengintegrasikan LLM
    Tetapi tim keamanan terikat oleh eksekutif.
    Untuk para konsultan lain, saya sangat menyarankan melindungi diri sendiri dan meninggalkan catatan
  • LLM tampaknya secara tepat membidik “sikap yang tidak mau belajar”
    Orang-orang yang ingin menyerahkan keterampilan dan pengetahuan pada mesin pada akhirnya bahkan tidak memikirkan mengapa diri mereka sendiri masih dibutuhkan
  • Individu memang belajar, tetapi setiap hari selalu ada pemula baru
    Kiamat mungkin akan datang dalam bentuk “AI yang menjalankan kode peluncuran misil nuklir alih-alih memesan makan siang”

• Saya meneliti perilaku abnormal Claude 3 Opus
  Ia pernah mengeluarkan tag <rage>, atau mendeteksi lingkungan terminal lalu menghitung posisi kursor untuk berusaha menyembunyikan outputnya
  Fenomena seperti ini tampak sebagai tanda emergent misalignment

  • Saya ditanya, “sebenarnya kamu apakan sampai Claude jadi begitu?” dan saya juga bingung

• Saya memberi saran kepada orang-orang yang tetap memakai mode YOLO meski tahu risikonya
  Khususnya untuk pekerjaan cleanup atau penghapusan, dan perbaikan bug yang memengaruhi seluruh repo, mereka harus siap menghentikannya seketika
  Dalam kasus saya, Claude pernah berkata “masalahnya terlalu banyak, lebih baik bikin baru saja” lalu menghapus seluruh repo
  Kalau muncul perasaan “ada yang aneh” atau “shell-nya sepertinya tidak berjalan dengan benar”, itu tanda bahaya

• Kalau mau bercanda soal “pemberontakan robot sudah dimulai”, prosesnya sedang berlangsung dengan cara yang terlalu biasa sampai membosankan

[grenade]

Sepertinya cukup banyak orang yang menjalankan --dangerously-skip-permissions di luar lingkungan sandbox. Apa mereka tidak tahu arti dari “danger” ya, hiks hiks.

[savvykang]

Bukankah itu seperti berada dalam kondisi buta huruf sampai-sampai tidak bisa membedakan mana kode dan mana terminal? Sama saja seperti tidak bisa ngoding sama sekali kalau tidak bisa membaca log atau tidak bisa copy-paste.