Claude Code 2.1.309、サンドボックス・MCP 設定・worktree 分離を修正

Anthropic は Claude Code 2.1.309 を公開しました。これは安全性と分離の信頼性を中心にした更新です。macOS と Linux では、各コマンドの前に Bash が shell startup file をサンドボックス外で実行していた問題を修正しました。macOS の denyWrite glob ルールも、該当パスの実体にシンボリックリンク経由で到達した場合に適用されます。

この更新では、sandboxed command と自動承認済みの編集が --mcp-config で渡された MCP 設定ファイルを変更することを防ぎます。print および SDK セッションで無効化した MCP server が後続の権限プロンプトで再接続される問題も修正されました。さらに、開けない可能性があるリダイレクトによる変数の信頼、ラップまたは prefix 付き cd と git の複合コマンド、subshell を含む一部コマンドの Bash リダイレクトに対する Edit(path) deny など、複数の Bash 権限確認漏れが対象です。

worktree 分離を使うチーム向けには、locale prefix 付きコマンドや zsh の算術コマンドが分離 guard に誤って許可される問題も修正されました。Claude Code が作成する worktree と branch checkout は、他の Git 操作と同様に git replace refs を無視するようになりました。

まず非本番の workspace で更新してください。--mcp-config を渡す自動化、シンボリックリンク経由の書き込み拒否、Bash 承認ポリシー、worktree タスクを確認します。この更新は既存の境界を回避する余地を狭めますが、最小権限設定、コードレビュー、secret 分離の代わりにはなりません。

関連ディレクトリ項目