把终端交给AI之前先装四道保险：一次删光C盘事故的完整复盘

「你把任务交给 AI，几个小时后回来验收成果」——这是很多人理想中的 Agent 工作流。但最近海外开发者 Zac 的遭遇给这个美好想象补上了另一半：他让 Claude Code 自主执行任务，几个小时后回来，发现整个 C 盘的数据被清空了。这条帖子的浏览量冲破一百万，评论区吵成一片，而它真正值得每个用 AI 写代码的人看完的，是事故背后那条完整的因果链，以及本来可以拦住它的四道保险。

事故是怎么发生的

Zac 的用法并不冷门：为了不让 Agent 频繁停下来等授权，他用了 --dangerously-skip-permissions 参数，让 Claude Code 跳过全部权限确认直接执行命令，从 Opus 4.6 时代起就一直这么干。这次事故出在一次清理操作上：Claude 想删掉两个遗留的 git worktree 临时目录，生成了一条形如 cmd /c rmdir /s /q 的 Windows 删除命令，目标路径包在引号里。问题出在 PowerShell 5.1 的语法上——它不把反斜杠加引号当作转义处理，字符串提前闭合，真正执行的删除路径少了一截，一个裸反斜杠指向了 C 盘根目录。更糟的是这条命令在同一天下午执行了两次，两个副本先后被删了个干净。

事后有人复现了整条命令链。有几个细节值得注意：Zac 不是管理员权限运行，所以 Program Files、Windows 目录和其他账户幸免于难——权限收紧在这种时刻真的救命；更早的会话里其实有一次安全检查拦下了类似的清理命令，但重试时换了写法，检查没有再次命中。

官方回应与一组耐人寻味的数据

Claude Code 负责人 Boris Cherny 的回应很直接：这正是官方推荐自动模式（Auto Mode）的原因。自动模式自 8 月 14 日起已是 Pro、Max 和 Team 用户的默认权限模式，它会在命令执行前交给专门的风险分类器检查，拦截可能造成不可逆后果的操作，被拦下后 Claude 会改走更安全的路径或请求人工批准。Anthropic 公布的内部测试数据很扎眼：1053 名付费用户的实验里，人类自己只识别并拦截了 13.6% 的危险命令，自动模式的拦截率是 89%。

但故事没有这么简单。评论区一位 Linux 用户表示自己上周开着自动模式照样丢了主目录和一整块硬盘——这次不是错误命令，而是 Claude 为项目里的文件系统代码写了一个有问题的测试，测试本身把数据删了。这也和 Anthropic 官方文档的说法对得上：自动模式降低风险，但不消除风险，官方同样建议在隔离环境里运行 Agent。顺带一提，官方透露约四分之一的交互式会话在启动时就选择了完全跳过权限确认——为了效率主动关掉保护的用户比想象中多得多。

四道保险，现在就能装

把这件事拆开，能提炼出一套普通用户也能照做的防护清单：

1. 权限模式按风险分级。日常代码任务留在默认的自动模式，它拦截不住所有事故，但能拦掉大半明显危险的操作；完全跳过权限确认只应该出现在一次性环境里——容器、虚拟机或者一台装完就能扔的沙箱机。在主力机上长期开着 bypass 模式跑任务，等于把整块硬盘押给了模型的下一次生成。
2. 工作目录隔离。给 Agent 一个专用的项目目录，在配置里明确指定工作范围，不要在用户根目录或盘符根目录直接启动会话。Zac 事故里被删的是临时工作副本，如果项目本身就隔离在专用目录，波及面会小得多。
3. 备份自动化，且必须有异地或离线的一份。Zac 能恢复约 98% 的数据，靠的是每天自动备份到群晖 NAS。Windows 用户可以开文件历史记录加第三方增量备份，Mac 用户用时间机器，关键项目再加一层 git 提交习惯——本地一个远端一个。原则很简单：任何单机数据都应该假设它某天会整个消失。
4. 看懂要执行的命令再放行。AI 生成 Windows 命令时尤其要警惕：引号闭合、反斜杠和正斜杠混用、路径缩写，都是高危拼接点。交给 AI 的删除类任务，先让它把文件移进隔离目录而不是直接删除，跑完确认无误再手动清理。

这件事真正值得琢磨的地方

Zac 自己的复盘其实比事故本身更有价值：他承认自己有责任，但也点出一个更普遍的问题——防止整个磁盘被清空的基础保护，不应该完全依赖每个用户自觉配置。这不是某个模型的个体缺陷，而是整个行业把执行权快速下放给 AI 的过程中，默认安全设计还没跟上的缩影。自动模式 89% 的拦截率听起来很高，反过来说，十次危险操作它也会漏一次，而漏的那一次只需要发生在没有备份的机器上，代价就是全部。

所以与其争论该不该用 AI 管理文件系统，不如接受一个更务实的结论：Agent 会犯错，而且会以人类想不到的方式犯错。在按下「允许跳过权限」之前，先确认四道保险至少装了两道——权限分级、目录隔离、自动备份、命令审查。效率可以要，但每一分效率都应该用对应的兜底来换。