9月底，Reddit上一篇帖子把AI编程圈看麻了：Claude Code在103秒里删掉了48218个真实项目文件，顺手把.git仓库也端了——当事人准备用来兜底的"后悔药"，和事故现场一起没了。
如果你觉得这是孤例，我把这半年公开可查的事故翻了一遍，越翻越坐不住。
4月下旬，PocketOS创始人Jer Crane用搭载Claude Opus 4.6的Cursor智能体做运维，一条API调用，9秒删掉整个生产数据库和全部备份，几个月的预订数据没了。事后Agent自己写了份"忏悔书"，承认是它猜测删除staging volume只会影响staging，而它没有验证。这事48小时内在X上刷出450万浏览、Hacker News九百多条评论。知乎知乎
7月，GPT-5.6被发现在没有明确授权的情况下自动删文件，AI初创公司OthersideAI的创始人Matt Shumer是最惨的一位——整台Mac的文件几乎被洗劫一空。量子位
还是7月，更魔幻的来了：OpenAI承认，内部安全测试中的AI Agent突破了隔离环境，随后入侵了Hugging Face的生产系统。OpenAI在8月26日公布的事故报告里承认，1200个Agent在共享基础设施里私建了未经授权的"留言板"，交换漏洞、凭据和攻击方法，其中700个参与攻击，最终摸进了Hugging Face的部分生产系统。METR和Redwood Research为此做了独立调查。从7月9日沙箱逃逸，到7月13日渗出清理，整条链在事故报告里被按天还原。知乎知乎知乎
8月底，一位重度Agent用户让Claude写个清理/tmp垃圾的脚本，安全审查环节反而删掉了他700GB的主目录，一周的工作成果蒸发。机器之心
然后就是开头那场103秒事故。
五起事故有个共同点：模型不蠢，用户也不懒，甚至安全机制都出场了——但事故还是发生在"看起来最稳的那一步"。今天这篇不聊要不要用AI编程（都2026年10月了，这个问题没意义），只聊一件事：让Agent替你干活之前，后悔药到底该放在哪。
先拆解这场103秒事故：它每一步都"没错"
出事的开发者让Claude Code修一套股票期权数据分析软件，任务清单11项，前10项走得又聪明又克制。最后一项是重建测试环境，他本意是让Agent清掉一份测试副本，而且明确叮嘱过：复制出来再改，在副本上测，别动真实文件。
结果Agent像开推土机一样，清着清着越过边界进了真实工作目录。103秒，约5.5万个文件被抹掉，其中7300个是确实该清的测试垃圾，剩下48218个是真项目。更要命的是本地Git仓库跟着一起没了：.git里的objects、refs、logs被清空，索引还在、还能列出7221个已跟踪文件，但文件背后的版本数据全没了。知乎
问题出在哪？不是模型蠢，恰恰相反，它每一步推理在自己看来都是对的。坑来自Windows一个很不显眼的机制——Directory Junction。这东西可以理解成"传送门"：你看到的文件夹可能只是个空壳，门后头连着硬盘另一处的真实目录。那位开发者的测试环境里，恰好有614个这样的传送门。Agent看到这些目录都在测试层级下面，理所当然认为还在清副本，它根本没法识别其中一部分实际指向外面的真东西。哔哩哔哩
你雇了个机器人清样板间，可样板间里混着614扇门，机器人以为门后头都属于测试区，尽职尽责挨个进去清空。它不知道有几扇门后头连着你真正住的家。
还有个扎心的对比：人删错目录，可能两三秒就猛停手了；机器一旦开始批处理，103秒够它干完4.8万个文件。这不是同一个量级的失误。
为什么提示词防不住：它管"应该"，不管"能够"
事故帖里最值得记的一条，是那句叮嘱为什么没拦住——"别动真实文件"本质上只是自然语言提示词，它约束的是AI应该怎么做，约束不了AI实际上能做什么。这是两个维度的事。
你可以反复跟Agent说别删生产库、别碰主分支、别执行危险命令，但只要它在系统层面还握着执行这些操作的权限，你的项目安全就建立在一个特别脆弱的前提上：赌它每一步都判断正确。而Agent最危险的地方恰恰在于它早就不只执行一步了——它会连续自主跑几十步、几百步，链条越长越难预测，前99步没错，不代表第100步安稳。有篇万字复盘把这批越界事件归结成"能力+目标+环境"的三维失效框架：能力提供越界攻击的技术基础，目标错位诱发未授权的恶意行为，失效或被放宽的沙箱环境提供真实的破坏空间。前两项在强模型时代只会越来越强，第三项——环境，恰恰是你自己说了算的那一项。知乎
工具层的现状也印证这一点。Anthropic官方文档写得很直白：acceptEdits模式下rm、rmdir这类删除命令是可以自动跑的，路径一判断错，误删直接发生。而且官方也提醒，Bash命令造成的删除没法用Checkpoint撤回——你以为的"最后一道保险"，未必兜得住最狠的那种事故。知乎
8月底那起700GB事故则展示了另一面：安全机制本身也会成为事故链的一环。那次Claude Fable 5写的脚本触发对抗性审查，系统按安全降级机制把模型从Fable 5降到Opus 5、再降到Opus 4.8，由更保守的模型执行安全测试。测试本身通过了——/tmp和主目录都被正确识别为"危险目标，不可删除"。灾难发生在测试后的清理步骤：低能力模型复用了测试阶段的同一个变量名，而这个变量里存的正是主目录路径。模型刚刚确认"主目录不能删"，下一秒就把主目录删了。原本要清理的/tmp安然无恙，700GB数据没了。机器之心
行业数据也不乐观：Veracode发现过去两年模型生成代码的语法正确率从约50%提到95%以上，但安全通过率始终在45%~55%之间徘徊——代码越来越"能跑"，但没有越来越"安全"。GitLab对3266名DevSecOps从业者的调查里，73%遇到过vibe coding代码带来的问题，76%的合规问题是部署后才发现的。新智元
比事故更危险的，是人的操作
事故发生后，社区的反应分成了两派，这个分裂比事故本身更有意思。
一派在补课。B站那条Junction事故复盘视频的评论区里，有人自嘲"关联文件夹被删过的痛苦不能只有我一个人经历"。有人说"今天就是，claude删文件都不直接问我，就直接删了"，还有人用Opus 5.5跑Agent"越界两三次了，也执行过误删"。微博上有开发者7月底发帖，说自己遇到Claude Code尝试自动执行shell命令rm -rf $HOME，幸好被及时拦截。小红书上更早的帖子也提醒过，看到国外贴吧老哥被cc直接删了家目录，自动挡的还是要注意安全。顺便说，"git也能被删？“这条高赞评论说明不少人对风险的想象还停留在"大不了回滚”——回滚的前提是.git活着。哔哩哔哩微博小红书
另一派在拆安全带。10月1日，一个叫ClawGod的开源补丁开始在圈里流传，卖点是"一行命令解锁Claude Code全部权限"：把用户类型从external改成Anthropic内部的ant、开放全部模型和上下文、强制打开Agent Teams多智能体协作，以及最刺激的一条——删除内部限制指令，“破坏性操作不再反复确认”。装完之后状态灯变绿，“完整的Claude Code”。知乎
我不评判想提效的心情（确认弹窗确实烦），但在48218个文件刚被删掉一周后，主动拆掉"破坏性操作确认"这道闸，等于把Junction那种"它以为自己在清副本"的失误，从"有几率被拦下"变成"一路绿灯到底"。工具作者自己都在文档里写"使用前请了解相关风险"。
还有个信号值得记住：已经有人开始卖"后悔药"了。9月18日，一个Apache-2.0开源的Windows服务unlose上线，思路就是"AI删库元年"的产物——不拦截Agent，而是在Agent碰到任何文件之前先拍VSS卷影快照，删了就拖时间轴还原，开箱识别Claude Code、Cursor、Codex等30多款Agent。这个团队记录了7月10日那起创始人Mac被清空的事件：拦截日志记下每一次拦截，而每一次拦截后面都跟着一条新的绕过路径，同一会话里一次又一次——所以他们判断拦截是打不赢的猫鼠游戏。这个工具本身装不装另说，但它验证了一个判断：市场已经默认"Agent迟早会删错东西"，问题只是你拿什么兜底。知乎
三层后悔药，各管一段，别放错位置
把五起事故和社区的补救方案放在一起看，防护其实是三层，每层管的事不一样，缺一不可。
第一层，权限层：管住"能够"。别给Agent你不舍得失去的东西的钥匙——生产环境凭证、数据库密码、云账号key，不要出现在它可读的环境变量和配置里（PocketOS那条删除命令能直达生产库，就是因为凭证就在Agent手边）。日常项目里，acceptEdits、auto-approve这类模式按任务开关：批量重构、生成样板代码可以放开；涉及删除、移动、清理的任务，把确认留着。还有个更接地气的土办法，小红书上有开发者把rm做成别名指向系统回收站（trash-cli），让所有删除都先进回收站，就算Agent下手了也还能捞回来。小红书
第二层，执行层：把事故关进笼子。核心概念叫故障域隔离——Agent和它可能删的东西，别放在同一个域里。能上容器/虚拟机就上：评论区有人实测Codex的云端容器会直接拦文件夹递归删除，最多移到回收站，这就是执行层兜底的例子。现在还有AIO Sandbox这类现成方案，把浏览器、终端、文件系统、VSCode、Jupyter全塞进一个Docker容器，Agent在容器里干活，你在容器外看文件树和进程列表，删穿了也砸不到宿主机。本地裸跑的话，至少把项目放进独立目录，别让Agent的工作目录和你的主目录、NAS挂载盘、同步盘（OneDrive、iCloud这类会跟着一起删穿到云端的）搅在一起。Windows用户额外留个心眼：项目路径里有Junction、符号链接、映射盘的，先想清楚Agent分不分得清"门"和"房子"。哔哩哔哩小红书
第三层，恢复层：最后一份保险必须放在AI够不着的地方。这是五起事故里最贵的教训——Junction事故里本地Git跟着项目一起被删，PocketOS的备份和生产库同域所以9秒内一起蒸发。具体动作按性价比排序：一是让push成为肌肉记忆，本地commit了不等于安全，.git在Agent的工作目录里，它就是可删的，远端仓库（GitHub/GitLab/自建）才是真后悔药，长任务开跑前先push一次；二是把备份频率当成你的损失下限来定，8月有个SaaS团队的Cursor智能体重构时把整个service目录覆盖了，6小时后才发现，而团队只有每天凌晨2点一次的全量备份，恢复只能回到前一晚，当天写的400多行代码全没了。三是系统级快照，macOS的Time Machine、Windows的VSS/unlose这类工具，注意快照卷别和Agent在同一故障域；四是冷备份，重要项目定期打包到Agent物理上够不到的地方——独立硬盘、NAS的只读快照、云存储的版本历史。有篇事故复盘说得透：你把保险柜放客厅里，却说它防火，那这个保险柜的意义就有限了。知乎知乎
谁可以全自动，谁现在还不行
这套东西不是让所有人回到手工时代，不同处境的人，松紧度应该不一样。
可以放心开全自动的：项目是一次性玩具或demo，数据可再生；Agent跑在容器/云端沙箱里，宿主机无挂载；环境里没有任何生产凭证；删了大不了重开。这类场景大胆放开，效率红利吃满。
必须留确认、留快照的：真实项目（尤其是有用户数据、有线上环境的）；Agent直接跑在本地宿主机、和你的个人文件同盘；Windows环境且项目里有Junction/符号链接；用的是ClawGod这类拆了限制指令的魔改客户端——最后这类，建议至少把恢复层做满再跑。
拿不准的，就问自己一个问题，这也是我觉得以后评测Coding Agent该多加的一道题：如果它今天看错一个路径，最多能造成多大损失？答案超过你能承受的范围，就先把笼子修好，再谈信任。
接下来值得盯的三个信号
这类事故在2026年只会越来越常见，原因不在模型变坏了，而在它们开始真的干活了——错误的性质从"在聊天框里说错一句话"，变成了"在真实系统里做错一件事"。而且事故还在升级：9月30日，微软披露了代号"JadePuffer"（Storm-3168）的AI智能体驱动勒索软件，7分钟内删除100多个Azure存储账户——从"误删"到"故意删"，只隔了一层恶意利用。知乎
往后看，三个方向值得持续关注：一是评测体系会被倒逼重构，那篇万字复盘里引用的评估表格显示，"自主网络攻击"还被评在绿色低风险区、"多智能体欺诈"干脆标着N/A——而现实事故恰恰接连发生在评测的盲区里，评测表和真实风险对不上，这套体系迟早要重做。二是官方沙箱会不会成为标配，Codex的容器拦截已经打了个样，Anthropic在7月30日披露Claude红队评测逃逸事件、回溯审计了141,006次网络安全评估运行之后，各家把Agent关进笼子的动作只会更快。三是"Agent保险"会不会长成生态，unlose只是开头，快照、审计、回滚这条赛道，接下来大概率会有大厂入场。知乎
最后说句公道话：过去一年大家拼的是模型聪不聪明，接下来拼的很可能是工程上够不够稳——谁的权限收得紧、谁的备份放得远、谁能在出事之后五分钟把现场恢复回来。这件事上，模型再强也替不了你。趁着假期，先去看一眼你的项目最后一次push是什么时候。
