Model Keamanan Claude Code: Lapisan, Kepercayaan, dan Batas

Saya memindahkan sebuah sesi ke accept-edits mode dengan harapan ia menyetujui otomatis penulisan file, karena itulah yang tertulis di namanya. Ia juga menyetujui otomatis sebuah perintah penghapusan, pada path di dalam working directory saya, tanpa bertanya. Tidak ada yang rusak dan tidak ada yang hilang, tetapi saya sudah berminggu-minggu memakai mode itu dengan model mental yang lebih sempit daripada perilaku sebenarnya.

Model keamanannya berlapis dan sebagian besar masuk akal, dan yang berguna adalah mengetahui persis di mana tiap lapisan berhenti. Tulisan ini membahas arsitektur permission-nya dan apa arti read-only sesungguhnya, batas direktori dan kenapa ia berperilaku berbeda per mode, pertahanan terhadap prompt injection, dialog kepercayaan beserta keanehannya di home directory, dan di mana eksekusi cloud berbeda dari sesi lokal.

Read-only lebih dulu, dan himpunan yang dikecualikan

Di manual mode, Claude Code dimulai dengan izin read-only dan bertanya sebelum mengedit file, menjalankan tes, atau mengeksekusi perintah. Ada satu set bawaan perintah read-only yang dijalankannya tanpa bertanya — daftar direktori, pembacaan file, status repository — dan selebihnya memunculkan prompt, dengan pilihan menyetujui sekali atau mengizinkannya sejak saat itu.

Auto mode menggantikan Anda, bukan menggantikan gerbangnya: sebuah model classifier terpisah meninjau aksi dan memblokir yang dinilainya tidak aman. Ask rule dan deny rule eksplisit Anda tetap berlaku di atasnya, dan sebuah organisasi bisa mematikan auto mode sepenuhnya. Mode awal sebuah sesi bergantung pada paket Anda, permukaan tempat Anda memulainya, serta setting Anda dan organisasi Anda — dan itulah sebabnya dua orang di satu tim bisa melihat perilaku default yang berbeda sambil sama-sama terkonfigurasi dengan benar.

Batasnya asimetris, dan bergantung mode

Penulisan dan pembacaan diperlakukan berbeda, dan selisih antar mode hanya ada di sisi pembacaan. Ini layak dipahami karena model mental tentang satu batas saja akan keliru di kedua arah.

# The working-directory boundary is NOT symmetric, and it
# changes between permission modes.

# Manual mode
#   WRITE  -> only the folder Claude Code started in, and its
#             subfolders. Parent directories need explicit
#             permission.
#   READ   -> asks before Read, Grep and Glob touch a path
#             outside that boundary.

# Auto mode
#   READ   -> reads outside the boundary WITHOUT asking.

# Widen it deliberately with additional directories, or narrow
# the broad read access that read-only Bash commands get with
# sandbox denyRead rules — which apply only when sandboxing
# is actually enabled.

Apa yang sebenarnya disetujui accept-edits

Namanya merendahkan cakupannya. Accept-edits menyetujui otomatis edit file dan satu set tetap perintah filesystem untuk path di dalam working directory — dan set itu memuat penghapusan serta pemindahan, bukan hanya yang tidak berbahaya. Perintah lain dan path di luar cakupan tetap memunculkan prompt, jadi mode itu memang terbatas, tetapi batasnya lebih lebar daripada yang disiratkan labelnya.

# What "accept edits" really auto-approves. It is not
# "everything" — it is file edits plus a FIXED set of
# filesystem Bash commands, for paths inside the working
# directory:

    mkdir   touch   rm   mv   cp   sed

# Anything else, and any out-of-scope path, still prompts.
#
# Worth knowing that rm and sed are on that list. "Accept
# edits" sounds narrower than it is.

# Commands that fetch from the web are NOT auto-approved by
# default at any level:
    curl    wget
# In manual mode they prompt like any other non-read-only
# command. To block them outright rather than prompt:
#   permissions.deny: ["Bash(curl *)", "Bash(wget *)"]

Pertahanan prompt injection, lapis demi lapis

Tidak satu pun mekanisme di sini merupakan jawaban lengkap, dan Anthropic menyatakannya terus terang. Yang mereka hasilkan bersama adalah beberapa kesempatan independen untuk menangkap serangan yang sama:

• Sistem permission itu sendiri, yang mensyaratkan persetujuan eksplisit untuk operasi sensitif di manual mode.
• Context window terisolasi untuk web fetch, sehingga konten yang diambil tidak bisa menyuntikkan instruksi ke percakapan utama.
• Deteksi command injection, di mana perintah mencurigakan tetap butuh persetujuan manual di manual mode walau sebelumnya sudah masuk allowlist.
• Pencocokan fail-closed — perintah yang tidak cocok membutuhkan persetujuan alih-alih otomatis diizinkan.
• Deskripsi bahasa alami yang menyertai perintah rumit, sehingga yang Anda setujui terbaca jelas alih-alih berupa dinding shell.

Verifikasi kepercayaan, dan jebakan home directory

Menjalankan pertama kali di sebuah codebase dan menambahkan MCP server baru sama-sama membutuhkan verifikasi kepercayaan. Dua catatan lebih penting daripada fiturnya sendiri. Verifikasi kepercayaan dimatikan sepenuhnya saat berjalan non-interaktif dengan flag prompt, dan itu benar — tidak ada siapa pun untuk ditanya — tetapi artinya run otomatis tidak mendapat lapisan ini. Dan memulai Claude Code langsung di home directory Anda hanya menahan kepercayaan untuk sesi saat itu, tidak pernah menulisnya ke disk, jadi prompt-nya muncul lagi tiap kali diluncurkan.

Lokal, cloud, dan Remote Control adalah tiga model berbeda

Ketiganya terus-menerus dicampuradukkan, padahal properti keamanannya sungguh berbeda. Meluruskannya paling penting ketika seseorang bertanya di mana kodenya berjalan, karena jawaban jujurnya berbeda per permukaan.

Tiga permukaan, tiga jawaban:

Praktik yang benar-benar menurunkan risiko

Setelah nasihat generiknya disaring, empat hal mengubah profil risiko secara terukur:

• Pakai setting permission khusus proyek untuk repository sensitif alih-alih satu konfigurasi global, dan audit secara berkala lewat perintah permissions.
• Letakkan dev container atau VM di antara repository tak tepercaya dan mesin Anda, terutama ketika pekerjaannya melibatkan layanan web eksternal.
• Jangan pernah menyalurkan konten tak tepercaya langsung ke Claude — itu jalur serangan dengan hasil tertinggi dan satu-satunya yang tidak bisa dilihat permission rule Anda.
• Audit atau blokir perubahan setting di tengah sesi lewat hook perubahan konfigurasi, supaya sebuah sesi tidak bisa diam-diam memperlebar izinnya sendiri.

Modelnya berlapis alih-alih mutlak, dan setiap lapisan menyebutkan batasnya sendiri kalau Anda membacanya dengan sengaja. Claude Code hanya memiliki izin yang Anda berikan, dan meninjau apa yang Anda setujui memang bagian dari desainnya, bukan sekadar penyangkalan. Dua kebiasaan yang layak dibangun adalah membaca perintah di dalam prompt alih-alih bentuknya, dan mengetahui Anda sedang di mode apa — karena aksi yang sama mendapat tingkat pemeriksaan berbeda tergantung jawaban yang berhenti diperiksa kebanyakan orang setelah pekan pertama.