Claude Code kan nu rm uitvoeren zonder te vragen

Claude Code heeft er een omgevingsvariabele bij die de laatste rem van de agent haalt. Wie CLAUDE_CODE_EVEN_MORE_DANGEROUSLY_SKIP_PERMISSIONS=1 zet, laat de agent ook rm uitvoeren zonder nog om goedkeuring te vragen. The Register schrijft dat de variabele in versie 2.1.311 zit.

Wat de vlag al niet deed

De aanleiding is een bericht op sociale media van Daisy Hollman, member of technical staff bij Anthropic. "Leuk feitje: --dangerously-skip-permissions keurt niet echt ALLES goed — we blokkeren nog steeds een paar voor de hand liggende dingen, zoals rm -rf ~", schreef ze volgens The Register. "Maar met de release van vandaag kun je dat uitschakelen als je dat echt wil."

Dat is de kern van het nieuws: wie de bestaande vlag gebruikte, dacht misschien al dat er niets meer werd tegengehouden, maar dat was niet zo. De vlag --dangerously-skip-permissions zet de modus bypassPermissions aan, die voor het eerst in Claude Code 1.0.18 verscheen. Claude Code kent meerdere permissiemodi — default, acceptEdits, plan, auto, dontAsk en bypassPermissions. De modus auto, die in augustus de standaard werd, staat nominaal alles toe maar draait op de achtergrond nog veiligheidscontroles. bypassPermissions laat die controles weg, maar hield tot nu toe een handvol commando's achter een prompt, waaronder rm en rmdir. Die uitzondering is nu uit te zetten.

Niet iedereen geloofde het bericht, vanwege de naam van de variabele en omdat de wijziging niet in de changelog van 2.1.311 staat. Hollman reageerde volgens The Register met "Geen grap!" en "ik hoop dat de naam van de variabele goed te onthouden is".

Niet in de changelog, niet in de documentatie

Die laatste observatie is te controleren, en ze klopt. De publieke changelog van Claude Code noemt de variabele niet, niet bij 2.1.311 en niet bij de inmiddels uitgebrachte 2.1.312. Ook de officiële settings-documentatie vermeldt hem nergens, terwijl daar wel een lijst met omgevingsvariabelen en de permissiemodi staat. De enige openbare bevestiging is dus de aankondiging van de Anthropic-medewerker zelf, plus de navraag van The Register.

Voor de context: er zijn inmiddels talloze verslagen van AI-agents die commando's als rm -rf ~ uitvoerden en daarmee data wisten, merkt The Register op.

Voor wie dit uitmaakt

Als je zelf met Claude Code werkt, verandert er niets zolang je de variabele niet zet. De nieuwe optie is iets dat je expliciet aanzet in je shell; de bestaande modi en vlaggen blijven doen wat ze deden.

Belangrijker is het punt daarachter voor wie werkplekken of ontwikkelomgevingen beheert. Een ontwikkelaar die vermoedt dat bypassPermissions al "alles" goedkeurde, had het mis: er zat nog een laatste vangnet onder dat nu individueel weg te halen is. The Register tekent daarbij aan dat andere beperkingen, zoals managed settings, nog wel kunnen blijven gelden. Wie in een organisatie beleid op agents wil vastleggen, zal dus naar dat niveau moeten kijken en niet vertrouwen op de ingebouwde uitzonderingen van een permissiemodus. Hoe Anthropic de variabele precies afbakent ten opzichte van beheerde instellingen, is op dit moment niet gedocumenteerd.