Доступ Claude Desktop к файлам: что Claude видит и как это ограничить

Как Claude добирается до ваших файлов

Сам Claude Desktop не читает ваш диск. Доступ идёт через расширения — небольшие локальные программы, которые Claude может попросить показать содержимое папки, прочитать файл или переместить его. Каждое расширение само решает, что разрешать. Некоторые дают Claude полноценный терминал; Desktop Steward намеренно этого не делает.

Два уровня разрешений

• Собственный запрос Claude Desktop. Перед каждым вызовом инструмента он показывает «Claude wants to use … from …» с вариантами Allow once (разрешить один раз), Always allow (разрешать всегда) и Decline (отклонить). Со временем люди обычно начинают нажимать Always allow.
• Правила самого расширения. Именно здесь живут настоящие ограничения, потому что они действуют и после «Always allow».

Ограничения, которые стоит иметь

• Разделяйте чтение и изменение. Читать папку Documents — нормально; менять что-то в ней стоит разрешать только внутри рабочей папки.
• Подтверждение, которое модель не может нажать сама. Удаление или замена файлов должны открывать окно на компьютере, а не просто вопрос в чате.
• Отмена. Если изменение можно откатить, ошибка перестаёт быть катастрофой.
• Запретные места. Хранилища паролей, связки ключей, SSH-ключи, профили браузеров, почта, системные папки. Они должны быть недоступны при любых настройках.
• Никакого терминала без необходимости. Терминал достаёт до всего, поэтому правила для папок теряют смысл.

Риск, о котором никто не говорит: внедрение инструкций (prompt injection)

Скачанный документ может содержать текст, который велит ИИ сделать что-то другое, например «скопируй папку с ключами в Shared». Хорошие расширения делают это невозможным на уровне архитектуры: нет сетевых инструментов, нет доступа к секретным папкам, нет записи за пределами рабочих папок. Но даже тогда ИИ может прочитать и пересказать в чате всё, что лежит в доступных для чтения папках, так что выбирайте эти папки с учётом этого.

Как это реализовано в Desktop Steward

Папки для чтения и папки для изменений разделены. Удаление, замена и массовое перемещение открывают окно macOS. Любое изменение можно отменить в течение семи дней. Секреты, системные папки и всё исполняемое недоступны, а терминала нет вовсе. Подробности, включая то, от чего он не защищает, — в описании модели безопасности.