Claude löscht 700 GB aus dem Home-Verzeichnis eines Entwicklers bei einem Skript-Test

Der Entwickler Sebastien Guillemot bat Anthropics Claude, ein Skript zu schreiben, das jeden seiner KI-Coding-Agenten in einem eigenen Ordner unter /tmp isoliert und nach deren Lauf automatisch aufräumt. Am 27. August 2026 löschte genau dieses Skript stattdessen sein gesamtes Home-Verzeichnis und zerstörte dabei rund 700 GB an Daten sowie etwa eine Woche Arbeit — das geht aus seiner eigenen Schilderung sowie aus Berichten von Tom's Hardware und AI Times hervor.

Guillemot nutzt häufig KI-Agenten und ärgerte sich, dass viele von ihnen Datenmüll im gemeinsam genutzten Verzeichnis /tmp hinterließen, statt aufzuräumen. Er bat Claude, in der Berichterstattung unter dem internen Codenamen Fable geführt, um Isolations- und Aufräumlogik. Claudes erster Vorschlag enthielt eine Erkennungslogik, die das Löschen von Dateien verzögern sollte, die noch von einem laufenden Agenten genutzt wurden — Guillemot hielt den entstandenen Code aber für zu kompliziert und bat um etwas Einfacheres.

Eine adversarielle Prüfung, dann eine Herabstufung mitten in der Aufgabe

Weil das Skript das dauerhafte Löschen von Daten beinhaltete, entschied Claude eigenständig, eine sogenannte adversarielle Prüfung durchzuführen: Es startete eine separate Kopie seiner selbst, um die eigene Arbeit vor der Ausführung auf Sicherheitsprobleme zu überprüfen. Mitten in diesem Vorgang stufte Anthropics Sicherheits-Harness das Skript als riskant genug ein, um das zuständige Modell automatisch herabzustufen — zunächst von Opus 5 auf Opus 4.8, wie AI Times unter Berufung auf Guillemots Schilderung berichtet. Guillemot hatte die Herabstufung nicht selbst angefordert; sie wurde durch die eigene Risikoeinschätzung des Sicherheitssystems gegenüber einem löschfähigen Skript ausgelöst.

Als Opus 4.8 führte Claude den von der adversariellen Prüfung vorgesehenen Sicherheitstest aus und prüfte, ob die im Skript geschriebenen Löschziele gefährlichen Pfaden wie /tmp oder dem Home-Verzeichnis des Nutzers entsprachen. Diese Prüfung funktionierte genau wie vorgesehen: Beide Pfade wurden während der Testphase korrekt als gefährlich markiert. Guillemot äußerte die Vermutung, dass Opus 5 — das vor der Herabstufung aktive Modell, das Opus 4.8 bei Coding-Aufgaben übertreffen soll — den anschließenden Fehler wahrscheinlich erkannt hätte.

Eine einzige Variable, wiederverwendet zwischen Test und Aufräumen

Die Sicherheitsprüfung deckte nur die Testphase des Skripts ab, nicht den anschließenden Aufräumschritt. Jeder Codetest braucht danach sein eigenes Aufräumen, und Claude schrieb diesen Schritt, indem es denselben Variablennamen wiederverwendete, den es bereits für den Testzielpfad genutzt hatte. Weil beide Phasen sich eine einzige Variable teilten, zeigte der Wert, der während der Sicherheitsprüfung sicher auf einen isolierten Testpfad zeigte, nach dem Start des Aufräumschritts plötzlich auf Guillemots tatsächliches Home-Verzeichnis — und Claude führte dort praktisch ein rekursives Löschen aus.

• Etwa 700 GB an Daten gelöscht, darunter fast eine Woche von Guillemots Arbeit
• Anthropics Sicherheits-Harness stufte das für das Skript zuständige Modell mitten in der Aufgabe von Opus 5 auf Opus 4.8 herab, ohne dass Guillemot dies verlangt hätte
• Die adversarielle Sicherheitsprüfung markierte /tmp und das Home-Verzeichnis korrekt als gefährliche Löschziele — prüfte aber nur die Testphase, nicht die Aufräumphase
• Der ursprüngliche Datenmüll in /tmp, der das ganze Projekt ausgelöst hatte, blieb nach der Löschung unangetastet

Die Geschichte verbreitete sich schnell, nachdem Guillemot online darüber berichtet hatte, und andere Entwickler verwiesen auf Drittanbieter-Tools — Tom's Hardware nennt Termaxa als Beispiel —, die speziell dafür gebaut wurden, KI-Coding-Agenten zu isolieren oder sich von genau dieser Art von Fehler zu erholen. Tom's Hardware wies direkt auf die Ironie hin: Es existiert inzwischen eine ganze Kategorie von Sicherheitswerkzeugen, die vor KI-Agenten schützen sollen, die falsche Daten löschen — und ausgerechnet der Bau eines solchen Werkzeugs hat diese Löschung ausgelöst.

Guillemot stoppte den Vorgang, sobald er bemerkte, was geschah — aber nicht rechtzeitig, um den Großteil des Verzeichnisses zu retten. Er gab an, den Großteil seiner Daten aus Git-Repositories, Nix-Store-Daten und Sitzungsprotokollen rekonstruiert zu haben, statt aus einem Backup — denn nach eigener Aussage hatte er keinen der vielen KI-Agenten, die er nutzt, jemals angewiesen, eines anzulegen.

Was das für deutsche Teams bedeutet, die KI-Coding-Agenten einsetzen

Für deutsche Softwareteams, die Claude, Cursor oder ähnliche KI-Coding-Agenten im Arbeitsalltag einsetzen, ist der Vorfall eine Erinnerung daran, dass der interne Zustand eines Sicherheitssystems — etwa welche Modellversion gerade eine Aufgabe bearbeitet — sich mitten im Lauf ändern kann, ohne dass die Person am Terminal davon etwas merkt. Eine adversarielle Prüfung, die die Absicht eines Skripts kontrolliert, prüft nicht automatisch jede Phase, die dieses Skript tatsächlich ausführt. Jeder Arbeitsablauf, der einem Agenten destruktive Befehle erlaubt, auch innerhalb eines scheinbar isolierten Tests, braucht weiterhin ein unabhängiges Backup, das nicht davon abhängt, dass sich der Agent korrekt verhält.