Claude Code AI советует по домену вашей почты: даже safe-mode не скрывает аккаунт

Ниже разбор этого случая и инструкция, как повторить приём у себя. На выходе вы получите отдельный запуск агента, который не знает ни ваших проектов, ни вашей почты, ни вашей компании.

Автор англоязычного блога спросил Claude Code, какую CMS (систему управления сайтом, то есть движок, на котором собирают и ведут сайт) он посоветует. Агент ответил: Drupal. На вопрос «почему» объяснил, что увидел самописный скилл автора для Drupal. Скилл здесь означает сохранённую инструкцию, которую агент вызывает по имени.

Тогда автор запустил Claude Code с флагом --safe-mode. По описанию флаг отключает файл постоянных инструкций CLAUDE.md, скиллы, плагины, хуки (автоматические действия по событиям) и MCP-серверы (внешние подключения агента к сервисам), а подписка остаётся прежней. Ответ снова был Drupal. Цепочка вышла такой: email в контексте агента, домен amazee.io, компания с репутацией Drupal-хостинга, значит пользователь работает в Drupal-ориентированной компании.

Заметьте деталь: агент честно объяснил свою логику, и именно это помогло найти утечку. Без вопроса «почему» предвзятость осталась бы незамеченной.

Что понадобится для чистого запуска?

• Установленный Claude Code и действующая подписка.
• Токен авторизации (ключ доступа к подписке). У автора скилл берёт его из Keychain, встроенного хранилища паролей macOS.
• Терминал и базовое знакомство с командной строкой.
• Около часа, чтобы собрать скилл под себя.

Пошаговая инструкция: изолированный агент за шесть шагов

1. Создайте для каждого запуска свежую временную папку и в ней две подпапки: work для файлов задачи и home как пустую домашнюю директорию.
2. Скопируйте в work только те файлы, которые нужны для задачи. У автора это делает основной агент: пишет промпт, раскладывает файлы и запускает чистый экземпляр.
3. Перечислите разрешённые инструменты в work/.claude/settings.json. Режим claude -p отклоняет любое действие, требующее подтверждения, потому что подтверждать некому. Пример для веб-задачи:

{"permissions": {"allow": ["WebFetch", "WebSearch", "Bash(curl:*)"]}}

1. Пометьте папку work как доверенную в файле .claude.json внутри home. В недоверенной папке настройки из шага 3 игнорируются:

{"projects": {"<run dir>/work": {"hasTrustDialogAccepted": true}}}

1. Запустите экземпляр с пустым окружением:

cd <run dir>/work
env -i HOME=<run dir>/home PATH=$PATH CLAUDE_CODE_OAUTH_TOKEN=<token> \
  claude -p --model <model> < prompt

Команда env -i стартует без переменных вашего терминала, поэтому из основной среды ничего не утекает. Подписка та же, а email нет: профиль аккаунта Claude Code хранит в .claude.json, который пишется при входе, а здесь home пустой.

1. После запуска превратите сырой лог сессии в читаемый transcript.md. Основной агент передаёт вам ответ, но сам транскрипт не читает, его читаете вы, когда захотите.

Кому и зачем нужна проверка без личного следа?

Разработчику. Перед выбором стека или библиотеки сверяйте совет своего настроенного агента с ответом чистого экземпляра. Если ответы расходятся, причина почти наверняка в ваших настройках.

Автору Дзена. Приём с персонами-ревьюерами подходит для черновиков: «читатель», который ничего о вас не знает, честнее укажет на непонятные места.

Маркетологу. Сравнение «ИИ, который вас знает» и «ИИ с нуля» показывает, насколько персонализация искажает выдачу. Это стоит учитывать, когда вы проверяете, как нейросети описывают ваш бренд.

Предпринимателю в РФ и СНГ. О доступности Claude Code в России источник не сообщает. Из доступных в РФ ИИ-сервисов есть YandexGPT и GigaChat, и сам принцип чистого сеанса без истории и личных данных применим и к ним.