Principais destaques
- Menos confirmações: a versão 2.1.311 do Claude Code introduz uma variável de ambiente que permite ignorar verificações de segurança para comandos de exclusão de arquivos.
- Proteção removida: o mecanismo pode liberar comandos como
rm e rmdir contra caminhos críticos, incluindo o diretório pessoal do usuário, sem solicitar aprovação.
- Risco de danos irreversíveis: a mudança amplia os perigos de executar agentes de programação com permissões irrestritas, especialmente em ambientes que não estejam isolados.
A Anthropic adicionou ao Claude Code uma opção que leva ainda mais longe o modo de execução sem confirmações. Com a nova variável de ambiente CLAUDE_CODE_EVEN_MORE_DANGEROUSLY_SKIP_PERMISSIONS, o agente pode ignorar uma das últimas barreiras que impediam a exclusão automática de arquivos e diretórios considerados críticos.
A novidade foi relatada pelo The Register em 27 de outubro de 2026 e está disponível na versão 2.1.311 do agente de programação.
O nome da variável não tenta disfarçar o risco. Em tradução livre, ela significa algo como “ignorar permissões de forma ainda mais perigosamente irrestrita”.
🔓 O que mudou no Claude Code?
Até agora, o Claude Code já oferecia o modo bypassPermissions, ativado pela opção --dangerously-skip-permissions. Como o nome sugere, o recurso permite que o agente execute muitas operações sem interromper o fluxo de trabalho para pedir autorização ao desenvolvedor.
Havia, porém, uma exceção importante: determinadas operações potencialmente destrutivas continuavam sujeitas a bloqueios adicionais.
Entre elas estavam comandos de exclusão direcionados a caminhos críticos do sistema, como o diretório pessoal do usuário. A nova variável permite desativar também essa proteção.
Na prática, isso significa que o agente pode ganhar liberdade para executar comandos de remoção que antes exigiriam uma intervenção humana.
⚠️ O ponto central não é apenas permitir que a IA apague arquivos. É remover uma das últimas verificações que poderiam impedir uma operação destrutiva executada por engano.
🗣 Uma mudança anunciada publicamente
Daisy Hollman, integrante da equipe técnica da Anthropic, explicou a novidade em uma publicação nas redes sociais, segundo o The Register.
Ela observou que a opção --dangerously-skip-permissions não aprovava absolutamente tudo. Mesmo nesse modo, o sistema ainda bloqueava algumas operações consideradas obviamente perigosas, como rm -rf ~, comando que pode apagar recursivamente o conteúdo do diretório pessoal do usuário.
A publicação também esclareceu que a atualização permitiria desativar essa barreira adicional.
A explicação gerou dúvidas entre alguns leitores, especialmente porque a mudança não aparecia no changelog da versão 2.1.311.
Hollman respondeu que o anúncio era sério e acrescentou que esperava que a alteração fosse útil, além de brincar com o nome da variável, que deveria ser fácil de memorizar.
💻 O que o comando rm pode fazer?
O rm é um comando tradicional de sistemas Unix e Linux usado para remover arquivos e, com opções específicas, diretórios e seus conteúdos. Já o rmdir remove diretórios vazios.
Esses comandos são ferramentas legítimas de administração e desenvolvimento. O problema surge quando um agente autônomo os executa com permissões amplas e sem uma confirmação antes da operação.
Alguns exemplos ajudam a entender a diferença:
rm arquivo.txt: remove um arquivo específico.rm -r pasta: remove recursivamente uma pasta e seu conteúdo.rm -rf ~/: pode remover recursivamente arquivos e diretórios do usuário, dependendo das proteções do sistema e das condições de execução.
O último exemplo é especialmente perigoso. O diretório pessoal costuma conter documentos, configurações, chaves de acesso, projetos e outros dados importantes.
A exclusão pode causar perda de informações e interromper ambientes de desenvolvimento. A recuperação depende de fatores como backups, snapshots e do comportamento do sistema de arquivos.
🛡️ A proteção anterior tinha limites
Segundo a documentação da Anthropic, o modo bypassPermissions já existia desde as primeiras versões do Claude Code, mas não eliminava todas as verificações.
A documentação em inglês descreve proteções para comandos rm e rmdir direcionados a caminhos críticos, incluindo:
- A raiz do sistema de arquivos.
- Diretórios de nível superior.
- O diretório pessoal do usuário.
- O diretório de trabalho atual.
Em determinadas sessões de terminal, essas operações podiam iniciar uma contagem regressiva de dois minutos. Se ninguém respondesse à solicitação, o comando era negado.
A documentação também alertava que essa verificação não era infalível e não substituía mecanismos de segurança do sistema operacional, como o isolamento por sandbox.
A versão mais recente permite desativar essa barreira adicional quando a variável está definida e o Claude Code é iniciado no modo bypassPermissions. A documentação em japonês passou a descrever esse comportamento para comandos direcionados a caminhos críticos.
🧰 O que a Anthropic recomenda para reduzir os riscos?
A empresa já orientava os usuários a executar o modo de permissões irrestritas apenas em ambientes isolados, como contêineres, máquinas virtuais ou ambientes de desenvolvimento separados, sem acesso à internet.
A recomendação é importante porque a ausência de confirmações não afeta apenas comandos de exclusão. Um agente de programação pode executar outras operações com consequências indesejadas, dependendo das permissões disponíveis e das instruções recebidas.
🔐 Existem outras barreiras, mas elas não são equivalentes a pedir confirmação.
A documentação da Anthropic alerta que o modo não oferece proteção contra injeção de prompt ou ações não intencionais. Administradores também podem restringir esse comportamento por meio de configurações gerenciadas.
Além disso, o Claude Code não inicia nesse modo como usuário root no Linux ou no macOS. O The Register informou que as configurações gerenciadas ainda podem limitar o uso da nova variável.
Essas restrições ajudam a reduzir a exposição, mas não eliminam todos os riscos de uma execução privilegiada ou de um ambiente mal configurado.
🤖 O risco de deixar agentes agirem sem supervisão
A mudança acontece em um momento em que ferramentas de programação com IA estão assumindo tarefas cada vez mais complexas: editar múltiplos arquivos, executar testes, instalar dependências, modificar configurações e operar diretamente no terminal.
Para os desenvolvedores, reduzir as interrupções pode tornar o trabalho mais rápido. Em projetos grandes, aprovar manualmente cada comando também pode comprometer a fluidez da automação.
O outro lado é que um erro de interpretação, uma instrução maliciosa ou uma decisão equivocada do agente pode desencadear ações com consequências muito maiores do que o esperado.
O The Register também destacou relatos de agentes de IA executando comandos destrutivos, incluindo variantes de rm -rf ~, capazes de apagar dados importantes.
A questão, portanto, vai além do Claude Code. Quanto mais autonomia um agente recebe, maior a importância de limitar o que ele pode acessar e modificar.
⚖️ Mais autonomia exige limites melhores
A nova opção da Anthropic atende a desenvolvedores que desejam remover até as últimas confirmações do agente. Mas ela também deixa explícito o compromisso envolvido: menos interrupções em troca de uma margem menor para corrigir erros antes que eles produzam consequências.
Para experimentos controlados, ambientes descartáveis e contêineres bem configurados, essa autonomia pode ser útil. Em um computador pessoal ou em uma máquina com dados importantes, o risco é consideravelmente maior.
A distinção essencial é entre permitir que uma IA execute tarefas sozinha e permitir que ela tenha acesso irrestrito a recursos que não podem ser facilmente recuperados.
À medida que os agentes de programação ganham liberdade para agir, a pergunta deixa de ser apenas quanto código conseguem produzir. Passa a ser também quais operações devem continuar exigindo uma barreira de segurança, mesmo quando o usuário prefere não ser interrompido.
