Claude Code: filer, kommandon och säker användning

Vad är Claude Code?

Claude Code är Anthropics verktyg för att arbeta med kod från terminalen. Det kan läsa en kodbas, föreslå och skriva filändringar, köra kommandon och använda resultatet för nästa steg.

Det är mer handlingskraftigt än en vanlig chatt eftersom verktyget arbetar i en faktisk projektmiljö. Samtidigt är det missvisande att beskriva Claude Code som samma sak som Anthropics separata funktion för att styra mus och grafiska program. Claude Code är i första hand ett terminal- och kodverktyg.

Källor: Anthropics startguide för Claude Code, Anthropics CLI-referens

Vad verktyget kan göra

Beroende på behörighet och uppdrag kan Claude Code:

• söka och läsa filer,
• förklara kod och projektstruktur,
• föreslå en ändring,
• skriva i filer,
• köra tester och andra kommandon,
• läsa felutskrifter,
• fortsätta arbetet efter resultatet,
• använda anslutna verktyg.

Det betyder inte att varje ändring är korrekt eller att verktyget känner hela verksamhetskravet. Det ser den miljö och det underlag som har gjorts tillgängliga.

Claude Code och computer use är olika funktioner

Anthropic dokumenterar även en funktion där en modell kan ta skärmbilder och styra mus och tangentbord i en grafisk miljö. Den heter computer use och är en separat verktygstyp.

Källa: Anthropic om computer use

Claude Code kan köra terminalkommandon som i sin tur startar program eller automatiserar uppgifter, men artikeln bör inte påstå att verktyget alltid ser hela skrivbordet eller klickar i alla program. Åtkomsten beror på installation, verktyg, behörighet och användarens godkännande.

Varför filåtkomst förändrar arbetsflödet

I en vanlig chatt kopierar utvecklaren in ett kodstycke och får ett svar. Verktyget ser inte automatiskt övriga filer, tester eller projektets regler.

När Claude Code arbetar i projektet kan det söka efter berörda funktioner, läsa tester och göra en sammanhängande ändring i flera filer. Det minskar manuellt kopierande men ökar behovet av tydlig avgränsning.

Utvecklarens uppgift flyttas delvis från att skriva varje rad till att:

• beskriva målet,
• peka ut begränsningar,
• granska planen,
• läsa skillnaden,
• köra och bedöma tester,
• upptäcka det som testen inte täcker.

Ett säkert första arbetsflöde

1. Använd en separat arbetskopia

Arbeta i versionshantering och på en egen gren eller annan isolerad kopia. Kontrollera att viktiga ändringar går att återställa.

2. Läs projektets instruktioner

Beskriv kodstandard, testkommandon, förbjudna områden och vad som kräver godkännande. Lägg instruktionerna nära projektet så att både människor och verktyg hittar dem.

3. Börja med läsning

Be verktyget förklara problemet och föreslå en liten plan innan det skriver. Kontrollera att rätt filer och beroenden har identifierats.

4. Begränsa ändringen

Ge ett tydligt resultat och ange vad som inte ska ändras. En liten uppgift ger en läsbar skillnad och enklare felsökning.

5. Granska före externa åtgärder

Kräv godkännande före publicering, meddelanden, databasändringar, paketinstallationer och andra åtgärder som påverkar omvärlden.

6. Kör relevanta prov

Kör enhetstest, integrationstest, typkontroll och säkerhetskontroll i den omfattning ändringen kräver. Ett grönt test säger bara att de testade fallen klarades.

7. Läs skillnaden

Kontrollera logik, felhantering, säkerhet, prestanda, beroenden och om användarens krav faktiskt uppfylldes.

Behörigheter

Anthropics CLI-referens beskriver inställningar för tillåtna och förbjudna verktyg samt olika behörighetslägen. Det finns även en flagga som hoppar över behörighetsfrågor, som dokumentationen uttryckligen säger ska användas försiktigt.

Källa: Claude Code CLI reference

Grundregeln är minsta möjliga åtkomst:

• läs bara de mappar som uppgiften behöver,
• skriv bara i projektets arbetskopia,
• blockera hemliga nycklar och känsliga filer,
• ge inte bred nätverksåtkomst utan behov,
• skilj provmiljö från produktion,
• kräv godkännande för destruktiva eller externa åtgärder.

En agent bör inte få samma fulla åtkomst som användaren bara för att uppgiften annars kräver fler godkännanden.

Kommandon kan göra verklig skada

Ett terminalkommando kan radera filer, ändra paket, skriva till en databas eller skicka data över nätverket. Modellen kan också misstolka en mapp eller ett miljönamn.

Skydda arbetet med:

• versionshantering,
• säkerhetskopior,
• isolerad miljö,
• konton med begränsad behörighet,
• tydliga godkännanden,
• loggar,
• gränser för nätverk och hemligheter,
• en återställningsplan.

Låt inte ett kommandos namn vara enda kontrollen. En till synes ofarlig skriptfil kan innehålla fler åtgärder.

Instruktioner i filer är inte alltid betrodda

Kodbaser, dokumentation, ärenden och webbinnehåll kan innehålla text som försöker styra agenten. En sådan instruktion kan vara legitim projektdokumentation eller ett försök att få verktyget att lämna information eller köra något olämpligt.

Skilj på:

• uttryckliga instruktioner från användaren,
• godkända projektregler,
• data som bara ska analyseras,
• extern text med okänt ursprung.

Behandla inte all text i en fil som en behörig order. Begränsa verktyg och granska åtgärder även när instruktionen låter övertygande.

Hemliga nycklar och personuppgifter

Kodprojekt kan innehålla miljöfiler, åtkomstnycklar, loggar och kunddata. Lägg inte hemligheter i instruktionen och ge inte verktyget bred läsrätt till hemkatalog eller produktionsloggar.

Använd:

• separata provuppgifter,
• kortlivade och begränsade nycklar,
• hemlighetshantering,
• maskerade loggar,
• syntetisk testdata,
• regler som hindrar incheckning av hemligheter.

Om verktyget behöver ansluta till en extern tjänst ska behörigheten vara begränsad till den avsedda åtgärden.

Hur Anthropic beskriver dataanvändningen

Anthropic uppger i dokumentationen för Claude Code att bolaget som förval inte tränar generativa modeller på kod eller instruktioner som skickas till Claude Code. Organisationer kan göra uttryckliga val om viss delning.

Källa: Anthropics dokumentation om dataanvändning i Claude Code

Uppgiften är leverantörens egen och behöver läsas tillsammans med aktuell kontotyp, avtal, eventuell molnleverantör och organisationens inställningar. "Inte för träning" betyder inte att data aldrig behandlas för att leverera tjänsten, skydda den eller hantera support.

Dokumentera vilken tjänst och vilket avtal som används när kod eller annan skyddsvärd information lämnar organisationen.

Kodgranskning

AI-genererad kod behöver samma eller högre kontroll som annan ändring. Ett förslag kan:

• lösa symtomet men inte orsaken,
• missa ett kantfall,
• införa en säkerhetsbrist,
• använda ett olämpligt beroende,
• bryta bakåtkompatibilitet,
• göra testerna grönare utan att beteendet blir rätt,
• radera en kommentar eller kontroll som såg onödig ut.

Granska skillnaden i sitt sammanhang. Be en person med domänkunskap kontrollera affärsregler och en tekniskt ansvarig kontrollera kod och drift.

Tester och självrättning

Claude Code kan köra ett test, läsa felet och försöka igen. Det är användbart, men ordet självrättning får inte tolkas som att verktyget verifierar hela uppgiften.

Ett system kan göra testet grönt genom en felaktig ändring, ändra själva testet eller missa ett krav som aldrig skrevs som test.

Sätt gränser:

• vilka tester som får ändras,
• hur många försök som är rimliga,
• när verktyget ska stanna och fråga,
• vilka manuella kontroller som krävs,
• vilka filer som inte får röras.

Läs både produktionskod och testskillnad.

Beroenden och paket

Ett AI-verktyg kan föreslå ett nytt paket för att lösa uppgiften snabbt. Varje beroende medför licens, säkerhetsuppdateringar, byggtid och framtida underhåll.

Kräv godkännande före installation. Kontrollera officiell dokumentation, aktuell version, licens, källa och om samma funktion redan finns i projektet. Lås versioner enligt projektets regler och behåll låsfilen.

Kör säkerhetskontroller men behandla inte frånvaro av varning som garanti.

Databaser och produktion

Låt ett första prov arbeta mot lokal eller separat miljö. Ge inte verktyget bred skrivbehörighet till produktion.

För databasändringar:

1. Läs schema och befintliga regler.
2. Skapa en granskningsbar ändring.
3. Prova på separat databas.
4. Kontrollera behörighet, återställning och datamigrering.
5. Kräv mänskligt godkännande.
6. Verifiera resultatet med en läsfråga.

En framgångsrik kommandoavslutning betyder inte att rätt rader ändrades.

Loggning och spårbarhet

Spara tillräckligt för att förstå:

• vem som startade uppgiften,
• vilken instruktion som gavs,
• vilka filer och verktyg som användes,
• vilka kommandon som kördes,
• vilka godkännanden som lämnades,
• vilken skillnad som skapades,
• vilka tester som kördes,
• vilket resultat som publicerades.

Loggar kan själva innehålla hemligheter och personuppgifter. Begränsa åtkomst och lagring.

Arbete i team

Ett gemensamt arbetssätt minskar risken att varje utvecklare skapar egna regler.

Bestäm:

• tillåtna projekt och dataklasser,
• minsta testnivå,
• krav på mänsklig granskning,
• hantering av nya beroenden,
• externa åtgärder som kräver godkännande,
• incidentrapportering,
• hur leverantörsändringar provas.

Kodgranskaren bör kunna se att AI användes när det påverkar hur ändringen behöver bedömas, utan att en märkning ersätter den faktiska granskningen.

När Claude Code passar

Verktyget kan passa för:

• förklaring av en kodbas,
• avgränsad felsökning,
• små ändringar med goda tester,
• testförslag,
• dokumentation,
• mekaniska ändringar som går att granska.

Var mer försiktig med:

• stora otestade omskrivningar,
• okända produktionsmiljöer,
• migrering av skyddsvärd data,
• säkerhetskritisk kod,
• externa meddelanden och publicering,
• åtgärder som är svåra att återställa.

Sammanfattning

Claude Code är ett terminalbaserat kodverktyg som kan läsa filer, skriva ändringar och köra kommandon inom den åtkomst det får. Det är inte samma sak som Anthropics separata computer use-funktion.

Arbeta i en separat kopia, ge minsta möjliga behörighet, granska varje skillnad och prova innan externa eller destruktiva åtgärder. Leverantörens uppgift om träning är en del av datakontrollen, inte hela bedömningen.