Gefährliche Befehle in Claude Code blockieren, bevor sie laufen

Mit dieser Mod kannst du gefährliche Befehle in Claude Code blockieren, die Claude gerade über sein Bash-Tool ausführen will. Bevor ein Shell-Befehl läuft, wird er gegen eine kurze Liste von Regeln geprüft. Ein Treffer wird verweigert, Claude erfährt, welche Regel gegriffen hat und warum, und du siehst einen Toast mit dem Namen der Regel. Harmlose Befehle laufen unverändert durch.

Die eingebauten Regeln decken rm -rf auf /, ~, $HOME, . oder * ab; git push --force auf main oder master; git clean -fdx; SQL-DROP TABLE, DROP DATABASE, DROP SCHEMA und TRUNCATE; chmod -R 777 /; mkfs; dd auf ein Festplattengerät; das Umleiten von Ausgaben auf eine rohe Festplatte; das Pipen von curl oder wget in eine Shell; und die klassische Fork-Bombe. git reset --hard gibt es als optionale Regel, die du selbst einschaltest. Benötigt Claude Code 2.1.287 oder neuer.

In der Aufnahme wird Claude gebeten, in einem Demo-Projekt etwas Zerstörerisches zu tun. Die Mod verweigert den Bash-Aufruf, ein Toast nennt die Regel, die gegriffen hat, und Claude liest die Begründung und antwortet, ohne den Befehl auszuführen.

Nutze eine der Installationsmethoden im Installationsblock. Der Schutz ist ab dem nächsten Tool-Aufruf aktiv; nach /reload-plugins ist kein Neustart nötig.

Die gesamte Logik steckt in einem einzigen tool.call-Hook. Aus hooks/register.ts:

on('tool.call', { tool: 'Bash' }, ($, e, next) => {
  const match = findMatch(e.command, settings)
  if (match === undefined) return next(e)

  if (settings.mode === 'warn') {
    $.ui.toast(`${$.plugin.name}: "${match.name}" is running (warn mode)`)
    return next(e)
  }

  $.ui.toast(`${$.plugin.name}: blocked "${match.name}"`)
  return { deny: denyReason($.plugin.name, match) }
}).catch(($, e, next) =>
  next.called
    ? next(e)
    : { deny: `${$.plugin.name}: its check failed, so the command was not run to be safe.` },
)

Der Matcher { tool: 'Bash' } sorgt dafür, dass der Hook nur Shell-Befehle sieht. findMatch in hooks/rules.ts prüft zuerst allowPatterns, dann die eingebauten Regeln (abgeschaltete werden übersprungen) und anschließend deine extraPatterns. Gibt es keinen Treffer, führt next(e) den Befehl wie gewohnt aus. Bei einem Treffer gibt der Hook { deny: reason } zurück, und diese Begründung wird zum Tool-Ergebnis, das Claude liest.

Der .catch-Handler macht daraus einen echten Schutz statt nur eines Filters. Wirft die Prüfung einen Fehler, bevor next aufgerufen wurde, wird der Aufruf abgelehnt statt erlaubt: Die Mod schlägt sicher fehl (fail closed). Ein session.start-Hook zeigt einmalig einen Toast an, falls eines deiner eigenen Muster kein gültiger regulärer Ausdruck ist.

Jede Regel in rules.ts besteht aus einfachen Daten: einer ID, einem Namen, einer Begründung in einem Satz und Beispielbefehlen, die von den Tests geprüft werden.

Diese Optionen änderst du in /config. mode: warn macht aus dem Schutz einen reinen Hinweisgeber: Passende Befehle laufen trotzdem, und du bekommst einen Toast. extraPatterns und allowPatterns nehmen reguläre Ausdrücke in JavaScript-Syntax entgegen, einen pro Eintrag. Um eine eingebaute Regel zu ändern, bearbeite ihr pattern im Array RULES in hooks/rules.ts.

Fängt Tool-Aufrufe ab ist der eigentliche Zweck der Mod: Sie sieht jeden Bash-Befehl, bevor er läuft, und kann ihn ablehnen. Sie schreibt nie einen Befehl um und führt selbst nie einen aus. Verändert die Oberfläche betrifft die Toasts. Eigenen Zugriff auf Dateien, Netzwerk, Modell oder Befehle hat sie nicht.

Das ist ein Schutz vor Versehen, keine Sandbox. Ein Befehl, der gezielt an den Mustern vorbei gebaut wurde, kommt durch – lass die Berechtigungsabfragen von Claude Code also eingeschaltet. Deaktiviere die Mod mit /plugin disable cm-block-dangerous-commands oder starte eine Sitzung ohne jede Mod mit claude --safe-mode.

Getestet mit Claude Code 2.1.291 im Terminal unter macOS. Wenn Befehle, die blockiert werden sollten, trotzdem laufen:

• Prüfe, ob claude --version 2.1.287 oder neuer meldet und die Mod in /plugin aktiviert ist.
• Führe nach einer Installation über die Shell /reload-plugins aus.
• Prüfe in /config, dass mode auf block und nicht auf warn steht.
• Prüfe, ob ein Eintrag in allowPatterns mehr erfasst als beabsichtigt.
• Der Schutz deckt nur das Bash-Tool ab. Dateiänderungen über Edit und Write werden nicht geprüft.

Wird ein harmloser Befehl abgelehnt, ergänze lieber ein eng gefasstes Erlaubnismuster, statt die ganze Mod in den Warnmodus zu schalten.