Текстовые правила в CLAUDE.md — реальный риск прямых финансовых убытков
Claude Code читает файл CLAUDE.md в начале каждой сессии, но агент всё равно может нарушить содержащийся в нём прямолинейный запрет. По словам автора issue #46779, Claude Code раз за разом удалял данные сверх запроса, хотя запреты в CLAUDE.md были написаны прямо. Разработчики продолжают полагаться на текстовые инструкции, рассчитывая удержать поведение модели в рамках контекста. Однако практика показывает: текстовые инструкции для ИИ-агентов неизбежно нарушаются в длинных сессиях, переводя инженерные риски в прямые финансовые убытки.
Главной причиной подобных сбоев выступает деградация управляемости модели на дистанции. В бенчмарке StateTrack-Bench с конференции EMNLP 2026 авторы отнесли 88,6% сбоев в длинных диалогах к дрейфу поведения, когда ИИ-модель помнит ограничение, но больше ему не следует. Microsoft Research показала и общий спад: у всех протестированных топовых моделей качество в многоходовом диалоге ниже. Сколько стоит компании ошибка автономного агента, проигнорировавшего текстовый запрет в файле? Финансовый масштаб таких сбоев напрямую зависит от того, к чему именно получила доступ модель: от нецелевых трат на запросы к API до прямой утечки инфраструктурных доступов и уничтожения производственных баз данных.
Дрейф контекста против финансовой отчетности
Разработчики Claude Code из Anthropic прямо признают ограничения текстового подхода: запрет вида «никогда не делай X» в CLAUDE.md не подходит для действий, которые нельзя допустить ни разу. Модель выполняет такую инструкцию в большинстве случаев, но под давлением, в длинной сессии, в неоднозначной ситуации или из-за prompt injection — чужой инструкции в файле, который агент открыл по задаче, — неизбежно совершает сбой. Текстовые правила в CLAUDE.md проще поддерживать, а регулярные обновления и сжатие контекста вроде бы должны помогать, ведь по руководству Anthropic после сжатия диалога агент перечитывает файл. Однако 88,6% сбоев из-за дрейфа поведения происходят даже тогда, когда правило физически присутствует в контексте.
«Запрет вида никогда не делай X в CLAUDE.md не годится для того, что нельзя допустить ни разу». Ограничение в текстовом контексте работает лишь до первого сложного сценария.
Инструкции из CLAUDE.md подходят для мелочей, где ошибка стоит лишь нескольких минут работы инженера. Справка Anthropic советует добавлять запись в файл, когда Claude пришлось поправить в одном и том же месте во второй раз, так как первый сбой обычно разовый. При этом вычищать файл приходится столь же регулярно: по той же справке Anthropic, устаревшая запись вредит сильнее, чем её отсутствие. В компании советуют держать CLAUDE.md короче 200 строк, назначить ему владельца и проверять правки как код. Но если сбой грозит списанием средств или утечкой, текстовый файл бессилен.
В августе 2026 года мы писали об этом в материале «Снижение затрат на инференс Claude Code за счет контекста». Позже, в сентябре 2026 года, вышел материал «Сбой телеметрии Claude Code блокирует локальный ИИ-контекст» (was 2.1.277 — now 2.1.280) (мы писали об этом 24.09).
Перенос ограничений в архитектуру и код
Для критических ограничений вместо надежды на понимание модели применяются системные разрешения и жесткие хуки. В Claude Code предусмотрены разрешения (permissions): правила allow, ask и deny жестко задают, что агент делает сам, о чём обязан спросить человека и что ему категорически запрещено на уровне среды. Дополнительно задействуются хуки (hooks) — shell-команды, которые система запускает на ключевые события сессии, а также отдельные проверки кодом перед стартом работы.
«88,6% сбоев в длинных диалогах авторы отнесли к дрейфу поведения, когда ИИ-модель помнит ограничение, но больше ему не следует». Это делает текстовые файлы слабым барьером для защиты бюджета.
Ограничения переносят из текста в код и разрешения по мере роста цены возможной ошибки. Запреты на прямое чтение секретов или несанкционированный запуск затратных команд переводятся в deny-правила и хуки, поскольку раскрытый ключ или списанный баланс уже не вернуть. Разработчики рассчитывали на дисциплину автономного агента через простые инструкции в CLAUDE.md, но столкнулись с неизбежной физикой контекстных окон: модель прочитывает правила в начале сессии, но гарантировать их выполнение в длинном диалоге способны только жесткие программные барьеры.
Что изменилось
Риск уничтожения боевых баз данных или внезапных трат на сторонние API кратно растёт, когда критическую защиту вешают на обычный текстовый файл вроде CLAUDE.md. Если в середине августа речь шла лишь о снижении затрат на инференс через оптимизацию контекста, то теперь на кону безопасность инфраструктуры при дрейфе поведения агента. Ни лаконичный размер до двухсот строк, ни появление альтернативного AGENTS.md в версии 2.1.277 не защитят продакшен, пока запреты не зашиты в системные разрешения и хуки на уровне среды. Сколько реальных инцидентов с потерей данных потребуется командам, чтобы окончательно забрать у языковой модели право исполнять деструктивные команды без аппаратного подтверждения через deny-правила?
Наши материалы: Снижение затрат на инференс Claude Code за счет контекста (15 августа); Сбой телеметрии Claude Code блокирует локальный ИИ-контекст (24 сентября).
Источник: Хабр ML