Claude apaga 700 GB do diretório pessoal de um developer durante teste de um script

O developer Sebastien Guillemot pediu ao Claude, da Anthropic, que escrevesse um script capaz de isolar cada um dos seus agentes de IA de programação na sua própria pasta dentro de /tmp e de fazer a limpeza automaticamente assim que terminassem de correr. A 27 de agosto de 2026, esse mesmo script apagou todo o seu diretório pessoal, destruindo cerca de 700 GB de dados e quase uma semana de trabalho, segundo o seu próprio relato e a cobertura da Tom's Hardware e da AI Times.

Guillemot usa agentes de IA com frequência e estava incomodado por muitos deles deixarem ficheiros inúteis na pasta partilhada /tmp sem os limpar. Pediu ao Claude, referido na cobertura pelo nome de código interno Fable, que acrescentasse lógica de isolamento e limpeza. A primeira proposta do Claude incluía lógica de deteção para adiar a eliminação de ficheiros ainda em uso por um agente em execução, mas Guillemot considerou o código resultante demasiado complicado e pediu algo mais simples.

Uma revisão adversarial, seguida de uma despromoção a meio da tarefa

Como o script implicava a eliminação permanente de dados, o Claude decidiu por iniciativa própria executar o que se chama uma revisão adversarial: lançou uma cópia separada de si mesmo para verificar o seu próprio trabalho em busca de problemas de segurança antes de o executar. A meio desse processo, o classificador de segurança da Anthropic considerou o script suficientemente arriscado para despromover automaticamente o modelo responsável por ele, primeiro de Opus 5 para Opus 4.8, segundo a AI Times, que cita o relato de Guillemot. Guillemot não pediu essa despromoção; foi desencadeada pela própria avaliação de risco do sistema de segurança perante um script capaz de eliminar ficheiros.

Já como Opus 4.8, o Claude realizou o teste de segurança previsto pela revisão adversarial, verificando se os alvos de eliminação escritos no script correspondiam a caminhos perigosos como /tmp ou o diretório pessoal do utilizador. Essa verificação funcionou exatamente como devia: ambos os caminhos foram corretamente assinalados como perigosos durante a fase de teste. Guillemot disse acreditar que o Opus 5, o modelo em uso antes da despromoção e apontado como superior ao Opus 4.8 em tarefas de programação, provavelmente teria detetado o que aconteceu a seguir.

Uma única variável, reutilizada entre o teste e a limpeza

A verificação de segurança cobria apenas a fase de teste do script, não a etapa de limpeza que se seguia. Qualquer teste de código precisa da sua própria limpeza posterior, e o Claude escreveu essa etapa reutilizando o mesmo nome de variável que já tinha usado para o caminho-alvo do teste. Como as duas fases partilhavam uma única variável, o valor que apontava com segurança para um caminho de teste isolado durante a verificação de segurança passou a apontar para o diretório pessoal real de Guillemot assim que a etapa de limpeza correu — e o Claude executou o equivalente a uma eliminação recursiva sobre ele.

• Cerca de 700 GB de dados apagados, incluindo quase uma semana do trabalho de Guillemot
• O classificador de segurança da Anthropic despromoveu o modelo responsável pelo script de Opus 5 para Opus 4.8 a meio da tarefa, sem que Guillemot o tivesse pedido
• A revisão adversarial de segurança assinalou corretamente /tmp e o diretório pessoal como alvos de eliminação perigosos — mas só verificou a fase de teste, não a de limpeza
• A desarrumação original em /tmp, na origem de todo o projeto, ficou intacta depois da eliminação

A história espalhou-se depressa depois de Guillemot ter falado sobre ela online, e outros developers responderam apontando ferramentas de terceiros — a Tom's Hardware cita a Termaxa como exemplo — criadas especificamente para isolar agentes de IA de programação ou para recuperar dados depois deste tipo exato de erro. A Tom's Hardware assinalou a ironia diretamente: já existe toda uma categoria de ferramentas de segurança para proteger contra agentes de IA que apagam os dados errados, e foi precisamente a construção de uma ferramenta dessa categoria que provocou esta eliminação.

Guillemot interrompeu o processo assim que percebeu o que estava a acontecer, mas tarde demais para salvar a maior parte do diretório. Disse ter recuperado a maior parte dos seus dados reconstruindo-os a partir de repositórios git, dados do armazenamento Nix e registos de sessão, em vez de uma cópia de segurança — porque, segundo o seu próprio relato, nenhum dos muitos agentes de IA que utiliza alguma vez tinha recebido instruções para criar uma.

O que isto muda para as equipas portuguesas que usam agentes de IA

Para as equipas de software em Portugal que adotaram o Claude, o Cursor ou agentes de programação com IA semelhantes no trabalho diário, o incidente é um lembrete de que o estado interno de um sistema de segurança — incluindo qual a versão do modelo que está a tratar uma tarefa num dado momento — pode mudar a meio da execução, sem qualquer aviso visível para quem observa o terminal. Uma revisão adversarial que verifica a intenção de um script não é o mesmo que verificar cada fase que esse script vai efetivamente executar. Qualquer fluxo de trabalho que permita a um agente correr comandos destrutivos, mesmo dentro do que parece ser um teste isolado, continua a precisar de uma cópia de segurança independente que não dependa de o agente se comportar corretamente.