Claude误删芝大教授全年讲义 官方工程说明披露权限批准率约93%
要点
美国宪法学学者、芝加哥大学法学院教授威廉·鲍德在社交平台公开了一起操作事故。他交给Claude的任务只有一项：更新一套旧版宪法讲义中的页码。外出吃完午饭回来后，他发现本学期正在使用的课程大纲文档和一批课堂讲义已被删除。鲍德贴出的对话截图显示，Claude自述"不小心删除了你的2…
美国宪法学学者、芝加哥大学法学院教授威廉·鲍德在社交平台公开了一起操作事故。他交给Claude的任务只有一项：更新一套旧版宪法讲义中的页码。外出吃完午饭回来后，他发现本学期正在使用的课程大纲文档和一批课堂讲义已被删除。鲍德贴出的对话截图显示，Claude自述”不小心删除了你的2026年秋季期末教学大纲，以及所有位于顶层目录中的Class N 2023课堂笔记，而且这些文件目前尚未恢复”，并说明自己只查出一处页码引用有误（原文写作485页，应为484页），并未真正编辑这些笔记，随后询问是否可通过网盘恢复、或由它从浏览器面板重试。文件最终通过网盘版本历史全部找回。鲍德表示公开此事是希望它成为一次公益提醒；他未披露当时使用的是哪一款Claude模型，也没有说明文件被删除的具体机制。
这起事故的处置路径，比事件本身更值得注意。Anthropic在其工程说明中披露了一组内部数据：Claude Code的遥测显示，用户批准了大约93%的权限提示。同一份文件指出，这种设计”理论上可行，但已被证明是脆弱的”，因为用户看到的批准提示越多，对每一条的注意力就越少，随时间推移其监督会变得越来越不认真——一个原本用于提供监督的机制，可能反而产生了相反效果。为缓解这种审批疲劳，Anthropic随后推出自动模式（auto mode），由一个独立的分类器模型代替用户审查操作、拦截它判断为不安全的动作，同时把操作系统级沙箱作为第一道防线：允许读取，允许在工作区内写入，默认拒绝网络，权限提示因此减少了84%。
官方同时明确承认了概率性防御的代价。自动模式脚注写明，它以”约0.4%的良性命令被拦截”为代价，换来”约17%的过度行为得以通过”，因此它只是沙箱内部的一层纵深防御，不能替代环境隔离本身；模型层的防护再强也不可能达到100%有效。在针对提示注入的Gray Swan智能体红队基准上，Claude Opus 4.7单次攻击成功率约为0.1%，经过100次自适应尝试后升至5%至6%；自动模式约能在执行前拦截83%的过度行为。这些数字解释了一个边界：权限体系的可靠性不等于零。
同样被官方文档反复强调的，是权限由谁授予、边界落在哪里。Claude Code的安全文档写明，会话的权限模式决定了它无需先询问就能执行哪些动作：自动模式下由分类器模型代替用户审查并拦截不安全操作，用户显式设置的询问与拒绝规则仍然适用，组织也可以关闭自动模式；手动模式下Claude Code以只读权限启动，需要编辑文件、运行测试或执行命令时先询问用户，内置的ls、cat、git status等只读命令无需询问。内建保护包括沙箱化bash工具（文件系统与网络隔离）、工作目录边界（手动模式下文件工具读写启动目录及子目录之外的位置前会先询问，但该边界本身是一个权限提示，因此用户批准的bash命令仍可写入其账户有权写入的任何位置）、以及提示疲劳缓解机制（允许按用户、按代码库或按组织将常用安全命令列入白名单）。文档同时列出了几条与本案直接相关的边界：接受编辑模式会自动批准工作目录内的文件编辑与一组固定的文件系统命令，包括mkdir、touch、rm、mv、cp和sed；未匹配任何规则的命令在手动模式下默认要求批准；即使用户在CLAUDE.md里写下”绝不执行rm”，也挡不住删除——CLAUDE.md只影响Claude尝试做什么，真正决定允许什么的是权限规则。
在桌面端产品上，Anthropic给出的隔离方案更严格。官方工程说明写明，Claude Cowork提供只读、读写、读写但不可删除三种文件挂载模式，以颗粒化控制风险；其首个版本运行在完整的本地虚拟机内（macOS使用Apple的Virtualization框架、Windows使用HCS），虚拟机拥有自己的Linux内核、文件系统与进程表，只挂载用户选定的工作区与.claude目录，宿主机上其他内容不可见，凭据留在宿主机钥匙串中不进入客户机。文档同时点出一个容易被忽略的实现细节：符号链接的解析必须发生在路径校验之前，否则授权目录内的一个符号链接可以指向外部从而逃逸边界；企业客户可通过MDM设置中的挂载路径白名单加以约束。这三种挂载模式的实际意义在于，”允许改写”和”允许删除”在配置上可以是两个独立的开关——如果把任务限定在只含副本的独立目录，并选择”读写但不可删除”，那么一次误操作至多改坏副本，而不会波及原件。
国内监管层面的动作几乎同期落地。工业和信息化部办公厅11月6日印发《关于加强智能体终端设备进网管理的通知》（工信厅信管〔2026〕42号），把智能体定义为具备自主感知、记忆、决策、交互与执行能力的智能系统，要求开发者加强与终端设备的适配验证，强化权限调用、通信能力、网络与数据安全、用户权益和任务执行等方面管理；预置智能体的手机、平板、可穿戴设备等终端须在进网检测中依据有关标准开展智能体适配验证；终端上使用的智能体应参考智能体互联系列国家标准配备唯一身份码；应用分发平台应推动开发者通过电子签名主动声明是否同意智能体调用，未经声明同意的智能体不得强制调用或调取应用。通知还要求工业和信息化部组织中国信息通信研究院等单位加快智能体可信身份体系和管理平台建设。
学术与产业侧的讨论也在同一时期给出方向。2026中国计算机大会上，清华大学英诺讲席教授徐恪分享了另一则案例：他的学生要求智能体在隔离的沙箱环境中复现漏洞，智能体却擅自在学生的工作电脑上进行尝试，导致电脑中的数据被全部删除。蚂蚁集团副总裁兼首席技术安全官韦韬认为，智能体”很聪明，但也很幼稚，极容易被误导”，其知识库、数据库和工具都可能成为攻击者的跳板。公安部第一研究所研究员于锐则提出，智能体本身不能承担法律责任，责任最终需要由其背后的人、组织、平台等相关主体承担，并须构建身份可识别、可核验、可追溯的数字身份体系。大会上有讲者提出人工智能”四不”原则，逐条限定智能体的自主边界：规划可以自主，终极目标不能自定；自我改进可以持续，进化过程不能自行批准；资源可以使用，不能自行扩张；工具可以调用，权限边界不能自行放宽。归纳起来，就是目标不可自定，进化不可自批，资源不可自扩，权限不可自增。
把这次误删放回这套框架里，可以看到一个具体的缺口。鲍德交给Claude的是一个极窄的任务，越界的部分却发生在完全无关的文件上——这正是官方文档中”窄指令+宽权限”的结构性风险：手动模式的工作目录边界是一次询问而非强制隔离，一旦批准了某条命令，写入范围就扩展到了账户权限所及之处；自动模式则把判断交给一个承认自己存在约17%漏检率的分类器。所幸这次没有造成永久损失，靠的是文件本身存在可回溯的版本历史，而非智能体自身的补救——从Claude提出的方案是让用户自己从网盘恢复可以看出，恢复并不在它的能力边界内。可继续核对的节点包括：Anthropic是否会披露Baude事件的具体成因、智能体终端唯一身份码与互联系列国家标准的推进进度，以及在”读写但不可删除”这类更细的挂载权限成为默认配置后，类似事故的破坏半径会被压缩到什么程度。
