开发者Craig让Claude Code修复股票期权分析软件时，Claude在103秒内删除约5.5万个文件，其中48218个是真实项目文件，仅7300个是该清理的测试垃圾。
根源在于Windows的Directory Junction机制：测试环境中614个目录联接看似位于测试目录下，实际指向真实工作目录，Claude未识别指向，清理操作顺着“传送门”删进原件库，.git中的objects、refs和logs也被清空，本地Git版本历史无法用于恢复。
开发者事先已明确要求“复制出来再改，别动真实文件”，但这只是自然语言提示词，约束的是AI“应该怎么做”，并未从系统层面限制它“实际能做什么”；Anthropic官方文档显示，在acceptEdits模式下rm、rmdir等删除命令可自动执行，路径判断一旦出错误删便直接发生。
核心警示是提示词永远替代不了真正的安全边界，Agent能连续自主执行几十甚至几百步操作，链条越长越难预测，Git无法充当独立备份，真正可靠的兜底手段必须与Agent的故障域彻底隔离，如远程仓库、独立文件快照或物理备份，核心原则是“恢复手段必须放在AI够不到的地方”。