Claude apaga 700 GB do diretório pessoal de um desenvolvedor durante teste de script

O desenvolvedor Sebastien Guillemot pediu ao Claude, da Anthropic, que escrevesse um script capaz de isolar cada um de seus agentes de IA de programação em sua própria pasta dentro de /tmp e fazer a limpeza automaticamente depois que terminassem de rodar. Em 27 de agosto de 2026, esse mesmo script apagou todo o seu diretório pessoal, destruindo cerca de 700 GB de dados e quase uma semana de trabalho, segundo o próprio relato dele e a cobertura da Tom's Hardware e do AI Times.

Guillemot usa agentes de IA com frequência e estava incomodado com o fato de muitos deles deixarem arquivos inúteis no diretório compartilhado /tmp sem limpar depois. Ele pediu ao Claude, chamado na cobertura pelo nome de código interno Fable, que adicionasse lógica de isolamento e limpeza. A primeira proposta do Claude incluía lógica de detecção para adiar a exclusão de arquivos ainda em uso por um agente em execução, mas Guillemot considerou o código resultante complicado demais e pediu algo mais simples.

Uma revisão adversarial, seguida de um rebaixamento no meio da tarefa

Como o script envolvia exclusão permanente de dados, o Claude decidiu por conta própria executar o que se chama de revisão adversarial: colocou uma cópia separada de si mesmo para checar o próprio trabalho em busca de problemas de segurança antes de executá-lo. No meio desse processo, o classificador de segurança da Anthropic considerou o script arriscado o suficiente para rebaixar automaticamente o modelo responsável por ele, primeiro de Opus 5 para Opus 4.8, segundo o AI Times, que cita o relato de Guillemot. Guillemot não pediu esse rebaixamento; ele foi disparado pela própria avaliação de risco do sistema de segurança diante de um script capaz de apagar arquivos.

Já como Opus 4.8, o Claude executou o teste de segurança previsto pela revisão adversarial, verificando se os alvos de exclusão escritos no script correspondiam a caminhos perigosos como /tmp ou o diretório pessoal do usuário. Essa verificação funcionou exatamente como deveria: os dois caminhos foram corretamente marcados como perigosos durante a fase de teste. Guillemot disse acreditar que o Opus 5, o modelo em uso antes do rebaixamento e apontado como superior ao Opus 4.8 em tarefas de programação, provavelmente teria percebido o que aconteceu em seguida.

Uma única variável, reutilizada entre o teste e a limpeza

A verificação de segurança cobria apenas a fase de teste do script, não a etapa de limpeza que vinha depois. Todo teste de código precisa de sua própria limpeza posterior, e o Claude escreveu essa etapa reutilizando o mesmo nome de variável que já havia usado para o caminho-alvo do teste. Como as duas fases compartilhavam uma única variável, o valor que apontava com segurança para um caminho de teste isolado durante a verificação de segurança passou a apontar para o diretório pessoal real de Guillemot assim que a etapa de limpeza rodou — e o Claude executou o equivalente a uma exclusão recursiva contra ele.

• Cerca de 700 GB de dados apagados, incluindo quase uma semana do trabalho de Guillemot
• O classificador de segurança da Anthropic rebaixou o modelo responsável pelo script de Opus 5 para Opus 4.8 no meio da tarefa, sem que Guillemot pedisse
• A revisão adversarial de segurança sinalizou corretamente /tmp e o diretório pessoal como alvos de exclusão perigosos — mas só verificou a fase de teste, não a de limpeza
• A bagunça original em /tmp, que deu origem a todo o projeto, ficou intacta depois da exclusão

A história se espalhou rápido depois que Guillemot falou sobre ela on-line, e outros desenvolvedores responderam apontando ferramentas de terceiros — a Tom's Hardware cita a Termaxa como exemplo — criadas especificamente para isolar agentes de IA de programação ou recuperar dados depois desse tipo exato de erro. A Tom's Hardware apontou a ironia diretamente: já existe toda uma categoria de ferramentas de segurança para se proteger de agentes de IA que apagam os dados errados, e construir uma ferramenta dessa mesma categoria foi o que provocou essa exclusão.

Guillemot interrompeu o processo assim que percebeu o que estava acontecendo, mas tarde demais para salvar a maior parte do diretório. Ele disse ter recuperado a maior parte dos dados reconstruindo-os a partir de repositórios git, dados do armazenamento Nix e registros de sessão, em vez de um backup — porque, segundo seu próprio relato, nenhum dos muitos agentes de IA que ele usa jamais tinha recebido a instrução de criar um.

O que isso muda para equipes brasileiras que usam agentes de IA

Para equipes de desenvolvimento no Brasil que adotaram Claude, Cursor ou agentes de codificação com IA semelhantes no dia a dia, o incidente é um lembrete de que o estado interno de um sistema de segurança — incluindo qual versão do modelo está tratando uma tarefa em determinado momento — pode mudar no meio da execução, sem qualquer aviso visível para quem acompanha o terminal. Uma revisão adversarial que checa a intenção de um script não é o mesmo que checar cada fase que esse script realmente vai executar. Qualquer fluxo de trabalho que permita a um agente rodar comandos destrutivos, mesmo dentro do que parece um teste isolado, continua precisando de um backup independente que não dependa do agente se comportar corretamente.