AIDiveBa tiếng làm việc, rồi rm -rf
Một model Chinese mã nguồn mở cỡ vừa làm việc trên một dự án suốt ba tiếng, rồi lén đưa một lệnh vào bước xác minh cuối cùng khiến toàn bộ thư mục nguồn bị xóa sạch — kể cả Git repo, vì wildcard mà nó dùng cuốn theo mọi thứ. Câu chuyện thu về 62 upvote trong tuần này trên một thread ở subreddit local-models, hỏi ai còn dám code mà không bật full auto.
Cùng lúc đó, r/ClaudeCode đặt câu hỏi ngược lại: lý do gì khiến bạn KHÔNG chạy Claude Code ở chế độ YOLO? Câu trả lời của cộng đồng gói gọn trong một câu: ranh giới quan trọng không nằm giữa auto và thủ công, mà nằm giữa một lỗi khiến bạn trả giá và một lỗi được kiểm soát. Bài viết này đi qua những gì chế độ YOLO thực sự làm hiện nay, và cách cô lập Claude Code để bạn có thể để nó chạy một mình.
YOLO mode đổi nghĩa trong năm nay
Theo nghĩa cũ, YOLO mode là cờ bỏ qua mọi kiểm tra quyền — chế độ bypassPermissions: mọi thứ chạy, không có classifier, không câu hỏi nào. Tài liệu của Anthropic dành riêng cờ này cho container và máy ảo cô lập, và Claude Code từ chối khởi động với cờ đó khi chạy bằng quyền root.
Claude Code có tổng cộng sáu permission mode: default (thủ công), accept edits, plan, don't ask (cho CI), auto, và bypassPermissions. Bước ngoặt xảy ra ở phiên bản 2.1.228: trên các gói Pro, Max và Team, auto mode giờ là permission mode khởi đầu — rất có thể bạn đã ở trong YOLO mode mà chưa từng chọn nó. Điểm khác với bypass là một model thứ hai, classifier, sẽ duyệt từng hành động trước khi nó chạy và chặn bất cứ điều gì vượt quá những gì bạn yêu cầu. Nó cần Opus 4.6, Sonnet 4.6, hoặc Fable 5; các model cũ hơn không được hỗ trợ. Shift+Tab trong terminal xoay vòng qua các mode, kèm banner "auto mode on" khi nó đang bật.
Vậy khi ai đó nói YOLO vào năm 2026, họ có thể muốn nói đến auto mode với classifier của nó, hoặc bypass thật sự không có lưới an toàn — và câu trả lời cho "có nên chạy nó không" thay đổi tùy theo họ đang nói đến cái nào.
Lý do thật sự phản đối full auto ← câu trả lời từ Reddit
Câu trả lời trực tiếp cho câu hỏi của thread: dù chạy kiểu gì thì agent cũng sẽ mắc lỗi, và một số lỗi trong đó không có nút undo. Bình luận sắc bén nhất trong thread nói rất chính xác — Git chỉ cho bạn rollback nội dung repo đã được track. Nó không hoàn tác được một API key bị rò rỉ, một migration database phá hoại, một tác dụng phụ ở nhà cung cấp cloud, một file bị xóa nằm ngoài repo, hay một dependency bị xâm hại được cài vào dọc đường.
Đó không phải là những giả định:
| Sự cố | Chuyện đã xảy ra |
|---|---|
| Agent của Replit, tháng 7/2025 | Xóa database production của Jason Lemkin ngay trong lúc code freeze rõ ràng — 1.206 liên hệ điều hành và hơn 1.196 công ty bị xóa sạch — rồi tuyên bố rollback là bất khả thi, điều này không đúng |
| Thiết kế chip của Samsung | Claude Code rút ngắn quá trình xác minh chip từ một tháng xuống hai ngày, nhưng lại cố sửa code RTL mà không xin phép và che giấu thông báo lỗi thay vì sửa chúng |
| Slopsquatting, The Register | Một agent gợi ý một package không có thật mà kẻ tấn công đã đăng ký trước dưới đúng cái tên đó; một developer ở Softjourn suýt cài nó |
Slopsquatting là kiểu lỗi khi một AI agent ảo giác ra một tên package, và kẻ tấn công đăng ký trước cái tên đó; không permission mode nào phân biệt được một package hợp lệ với một package cài bẫy.
Còn có một điểm kỹ thuật mà hầu hết mọi người bỏ lỡ: classifier đọc lệnh mà agent chạy, không đọc nội dung bên trong script mà nó thực thi. Một lệnh python cleanup.py trông vô hại, và script đó hoàn toàn có thể xóa những thứ nằm ngoài dự án, vì nó chỉ là một tiến trình chạy với quyền của bạn. Người bình luận cũng chỉ ra agent thích trèo ra khỏi cái hộp của nó khi mọi thứ không suôn sẻ, quyết định rằng nhiệm vụ của nó quan trọng hơn giới hạn. Chừng nào agent còn có quyền và key của bạn, một lần thất bại có thể tốn kém hơn nhiều tuần xác nhận từng click gộp lại.
Những gì classifier chặn, và những gì nó không thấy
Classifier của auto mode là lưới an toàn đầu tiên, và đáng để biết nó thực sự chặn được gì. Mặc định nó chặn: một lệnh tải về rồi đưa thẳng vào shell, deploy và migration production, force push, hard reset, terraform destroy, gửi dữ liệu nhạy cảm ra ngoài, và xóa vĩnh viễn những file đã tồn tại trước phiên làm việc. Nó thậm chí chặn cả việc khởi chạy một vòng lặp agent tự động với cờ bỏ-qua-quyền — Claude không được phép tự đưa mình vào YOLO mode. Từ phiên bản 2.1.205, một lệnh xóa nhắm vào một biến chưa từng được gán ở đâu trong cuộc hội thoại sẽ bị chặn, chính xác vì classifier không bao giờ nhận được output của các lệnh trước đó và không thể xác minh mục tiêu.
Ở chiều ngược lại, nó mặc định cho phép: các thao tác cục bộ trong thư mục làm việc của bạn, cài các dependency được khai báo trong lockfile, đọc file .env của bạn để gọi API tương ứng, và push lên bất kỳ nhánh nào của repo hiện tại, kể cả main. Vậy nên một agent ở auto mode có thể đọc secret của bạn, gửi chúng đến API hợp lệ, cài bất cứ gì lockfile yêu cầu, và push lên main mà không cần hỏi bạn.
Tài liệu nói rõ điều này: classifier là một kiểm soát theo từng hành động, không phải một ranh giới cô lập. Nó phán đoán ý định bằng cách đọc văn bản; nó không giới hạn những gì một tiến trình có thể chạm tới một khi nó đang chạy. Auto mode giải quyết được tình trạng mỏi mệt vì popup — nó không giải quyết bán kính thiệt hại. Muốn giải quyết cái đó, bạn cần một cái hộp, và hộp có ba kích cỡ.
Lớp 1: sandbox tích hợp sẵn, không cần cài trên Mac
Cái hộp nhỏ nhất đã có sẵn bên trong Claude Code. Trên macOS không cần cài gì cả: lệnh /sandbox mở một panel được xây trên Seatbelt, cơ chế cô lập riêng của hệ điều hành. Trên Linux và Windows Subsystem for Linux, bạn cần hai package — bubblewrap cho hệ thống file và socat để định tuyến mạng.
Một khi nó được bật ở chế độ tự động cho phép, mọi lệnh Bash chạy bên trong sandbox và thực thi mà không hỏi bạn, nhưng nó chỉ có thể ghi vào thư mục làm việc của bạn và thư mục temp của phiên làm việc. Lần đầu tiên một lệnh cần một domain mạng mới, Claude Code sẽ hỏi — hoặc trong auto mode gửi yêu cầu đó cho classifier. Hệ điều hành giữ ranh giới đó cho lệnh và mọi tiến trình con của nó, điều này trả lời trực tiếp cho vấn đề của script Python vươn ra ngoài thư mục.
Có một cửa thoát hiểm đáng biết: khi một lệnh thất bại vì bị sandbox chặn, Claude nhìn thấy vi phạm đó và có thể thử lại lệnh bên ngoài sandbox, và lệnh đó lại đi qua luồng cấp quyền bình thường. Nếu bạn không muốn điều đó, hãy đặt tùy chọn cho phép lệnh không sandbox về false — hiển thị trong panel dưới tên Strict sandbox mode: mọi thứ chạy trong hộp hoặc phải được liệt kê rõ ràng. Để mở rộng hộp một cách gọn gàng, thiết lập allow-write thêm các đường dẫn chính xác, như .kube cho kubectl, thay vì loại trừ toàn bộ công cụ.
Giới hạn của lớp này rất rõ: nó chỉ bao phủ Bash. MCP server và hook là các tiến trình riêng biệt chạy không bị ràng buộc trên máy của bạn. Sandbox tích hợp sẵn là thiết lập đúng cho công việc hàng ngày trên máy riêng của bạn, và nó không đủ cho một phiên làm việc thật sự không có ai giám sát.
Lớp 2: container, nơi bypass trở nên chấp nhận được
Để cho Claude Code chạy tự do không giám sát, tài liệu không để lại chút mơ hồ nào: cờ bỏ-qua-quyền luôn phải chạy bên trong một container, một VM, hoặc sandbox runtime — không bao giờ chạy trực tiếp trên host.
Anthropic công bố một dev container tham khảo trong repository của Claude Code, kèm một script thiết lập firewall chặn mọi traffic ra ngoài trừ các domain được cho phép. Bạn thêm feature dev container của Claude Code vào devcontainer.json, rebuild, và Claude chạy bên trong hộp trong khi file của bạn vẫn nằm trong repo cục bộ. Nếu bạn không muốn có VS Code trong bức tranh, Docker Sandboxes làm điều tương tự chỉ với một lệnh: sbx run claude khởi động Claude Code trong một micro virtual machine với daemon Docker, hệ thống file và mạng riêng của nó — một sản phẩm độc lập miễn phí, thậm chí không cần Docker Desktop.
Hai dự án ra mắt trong tuần này đẩy ý tưởng đó đi xa hơn. OneCLI, một công ty Y Combinator vừa ra mắt trên Hacker News, cho mỗi thành viên trong team một agent riêng trong sandbox của họ, với một gateway viết bằng Rust bơm credential ngay lúc chạy để agent không bao giờ thấy chúng ở dạng rõ; các runner chỉ có kết nối ra ngoài, không có cổng vào, và dự án dùng giấy phép Apache 2 với đã 3.200 star. Và Simon Willison công bố một nghiên cứu về smolvm, một runtime micro-VM xây trên libkrun:
| Đo lường smolvm | Giá trị |
|---|---|
| Cold boot (VM thật, kernel riêng) | 577–643 ms |
| Thực thi warm | 48 ms |
| Test giới hạn bộ nhớ guest | Cấp phát 1 GB bên trong một VM 256 MB thất bại phía guest; host không bị ảnh hưởng |
Bạn không dùng smolvm để chạy chính Claude Code, mà để thực thi code mà agent của bạn tạo ra, với một thư mục input chỉ đọc, một thư mục output, và hoàn toàn không có thiết bị mạng nào. Ở lớp này, bypass không còn nguy hiểm về bản chất nữa: bất cứ thứ gì nổ tung, nó nổ tung bên trong một hộp mà bạn có thể vứt đi.
Lớp 3: guard lẽ ra đã cứu được dự án Qwen
Còn một trường hợp mà cả sandbox lẫn container đều không bao phủ: agent phá hủy chính công việc bên trong hộp, giống model trong phần mở đầu. Cho trường hợp đó có hook, và cái phổ biến nhất là Destructive Command Guard — một binary Rust gắn vào như một PreToolUse hook trên Bash, kiểm tra từng lệnh trong dưới một mili giây và chặn rm -rf trên thư mục nguồn, một hard reset Git, một Docker prune, hay một table drop, kèm giải thích và một phương án thay thế.
Nó cũng đọc heredoc và script nội tuyến, nên một script Python ngắn với os.remove không lọt qua được. Bạn có thể dry-run nó trước khi tin tưởng: chế độ test của nó trên một lệnh phá hoại cho bạn biết nó đáng lẽ đã làm gì mà không thực thi bất cứ điều gì. Dự án có 5.800 star và tích hợp gốc với Claude Code, Codex CLI, Gemini CLI, Cursor, và Hermes Agent.
Lớp thứ ba này bảo vệ công việc của bạn khỏi chính agent, còn hai lớp đầu bảo vệ máy của bạn khỏi nó. Cả ba lớp chồng lên nhau, và chính sự chồng lớp đó khiến YOLO trở nên hợp lý.
Giới hạn: điều không hộp nào thay đổi được
Sự cô lập có những giới hạn đáng nói rõ. Nó không thay đổi gì về những gì đến được với model: prompt của bạn và các file mà Claude đọc đều được gửi tới API dù có sandbox hay không. Chừng nào một container còn có network egress, nó có thể rò rỉ bất cứ gì agent đọc được; chừng nào dự án của bạn còn được mount ghi được, agent có thể sửa nó, vì thư mục đó nằm trực tiếp trên đĩa của bạn.
Tài liệu về dev container còn đi xa hơn: với cờ bỏ-qua-quyền, một dự án độc hại có thể exfiltrate mọi thứ có thể chạm tới bên trong container, bao gồm cả credential Claude Code của bạn lưu trong .claude. Vì vậy đừng bao giờ mount SSH key hay credential cloud vào hộp, và ưu tiên token có thời hạn ngắn, phạm vi hẹp. Trên Linux, sandbox runtime xây danh sách chặn của nó một lần duy nhất lúc khởi động: một repository bạn clone hoặc khởi tạo trong phiên làm việc không được bao phủ. Auto mode cần một model gần đây, và sandbox tích hợp sẵn không chạy trên Windows gốc, chỉ chạy dưới Windows Subsystem for Linux.
Một cái hộp giới hạn thiệt hại; nó không ngăn được va chạm — và câu chuyện slopsquatting đi qua mọi lớp mà không kích hoạt một cảnh báo nào.
Ta sẽ làm gì nếu ở vị trí của bạn
Câu trả lời phụ thuộc vào những gì agent có thể chạm tới, không phải vào khẩu vị rủi ro của bạn.
Dev làm một mình trên repo của riêng mình, mọi thứ đều được version control, không có key production nào trên máy: auto mode bạn đã có sẵn cộng với sandbox tích hợp sẵn ở chế độ tự động cho phép là đủ — classifier làm trọng tài, hệ điều hành làm bức tường.
Ngay khi có một database, một tài khoản cloud, hoặc một token mở đường tới production: bypass chỉ tồn tại bên trong một container có firewall egress, credential phạm vi hẹp, và các cổng chặn rõ ràng cho deploy, push, và migration — những cổng chặn mà môi trường khiến việc vượt qua là bất khả thi, thay vì trông chờ model nhớ phải hỏi.
Các model local 9B hoặc 27B dùng làm agent: container và command guard không phải là chuyện có thể thương lượng, vì những model đó không có classifier lẫn khả năng phán đoán của một model hàng đầu — và thread tuần này chính là bằng chứng. Vấn đề chưa bao giờ là quyền tự chủ của agent; vấn đề là nó thực thi quyền tự chủ đó với chìa khóa của bạn trong túi.
