Anthropic cho phép người dùng Claude "nhảy khỏi máy bay mà không cần dù"

Anthropic vừa bổ sung một biến môi trường mới vào Claude Code, cho phép AI agent thực thi các lệnh xóa file nguy hiểm mà không cần hỏi ý kiến người dùng. Động thái này đi ngược lại hình ảnh của một công ty vốn luôn đề cao an toàn AI. Cái tên của biến môi trường cũng đủ để nói lên mức độ rủi ro: CLAUDE_CODE_EVEN_MORE_DANGEROUSLY_SKIP_PERMISSIONS.

Bỏ rào chắn cuối cùng

Bản dựng Claude Code mới nhất (v2.1.311) hỗ trợ một biến môi trường cho phép AI agent chạy lệnh rm — lệnh xóa file trên hệ thống Linux/Unix — mà không cần phê duyệt. Trước đây, dù đã bật chế độ bypassPermissions (vốn cho phép agent làm gần như mọi thứ), Claude Code vẫn chặn một số lệnh rõ ràng nguy hiểm như rm -rf ~ và yêu cầu người dùng xác nhận.

Daisy Hollman, thành viên đội ngũ kỹ thuật của Anthropic, đã công bố thay đổi này trên mạng xã hội:

"Fun fact: --dangerously-skip-permissions không thực sự phê duyệt MỌI thứ – chúng tôi vẫn chặn một số lệnh hiển nhiên như rm -rf ~. Nhưng bản phát hành hôm nay sẽ cho phép bạn vô hiệu hóa cơ chế này nếu thực sự muốn, bằng cách đặt biến môi trường mới CLAUDE_CODE_EVEN_MORE_DANGEROUSLY_SKIP_PERMISSIONS=1."

Nhiều người tỏ ra hoài nghi vì cái tên biến môi trường nghe quá vô lý và vì thay đổi này không được liệt kê trong changelog của v2.1.311. Hollman phải lên tiếng trấn an:

"Không phải trò đùa đâu! Tôi hy vọng điều này hữu ích, và tôi hy vọng cái tên biến môi trường đủ dễ nhớ."

Lịch sử của những "cờ nguy hiểm"

Cái tên mới dễ nhớ vì nó gần giống với cờ --dangerously-skip-permissions có từ trước. Cờ dòng lệnh này kích hoạt chế độ bypassPermissions, lần đầu xuất hiện trong Claude Code v1.0.18 vào ngày 9/6/2025.

Claude Code hiện có nhiều chế độ phân quyền khác nhau: default, acceptEdits, plan, auto, dontAsk và bypassPermissions. Chế độ auto — về danh nghĩa cho phép mọi thứ nhưng vẫn chạy kiểm tra an toàn ngầm — đã trở thành mặc định từ tháng 8. Chế độ bypassPermissions cũng cho phép mọi thứ nhưng không có các kiểm tra an toàn đó.

Tuy vậy, vẫn tồn tại các ngoại lệ không được tự động phê duyệt và cần người dùng xác nhận, chẳng hạn như rm và rmdir. Biến môi trường mới CLAUDE_CODE_EVEN_MORE_DANGEROUSLY_SKIP_PERMISSIONS xóa bỏ rào chắn cuối cùng này, dù các thiết lập quản lý (managed settings) vẫn có thể áp đặt giới hạn riêng.

Rủi ro thực tế

Đáng chú ý là đã có không ít ghi nhận về việc AI agent tự phát ra các lệnh như rm -rf ~, xóa sạch ổ cứng hoặc gây mất dữ liệu. Việc gỡ bỏ lớp bảo vệ cuối cùng này đồng nghĩa với việc người dùng phải hoàn toàn tin tưởng vào agent — một sự tin tưởng mà ngay cả Anthropic cũng thừa nhận là mạo hiểm, qua chính cái tên biến môi trường.

Với các nhà phát triển tại Việt Nam đang sử dụng Claude Code trong quy trình làm việc, lời khuyên thực tế là: chỉ nên bật biến môi trường này trong môi trường sandbox hoặc container cách ly, tuyệt đối không dùng trên máy có dữ liệu quan trọng chưa được sao lưu. Một câu lệnh sai của agent có thể xóa sạch mã nguồn dự án chỉ trong vài giây.

Bài toán an toàn AI vẫn chưa có lời giải

Điều trớ trêu là Anthropic vốn nổi tiếng với các tuyên bố mạnh mẽ về an toàn AI. Việc tung ra một biến môi trường có tên tự thừa nhận mức độ nguy hiểm cho thấy sự cân bằng khó khăn giữa kiểm soát chặt chẽ và tính linh hoạt mà các nhà phát triển yêu cầu. Người dùng được trao quyền lựa chọn — nhưng theo đúng nghĩa đen, đó là quyền tự quyết định có nhảy khỏi máy bay mà không mang dù hay không.