Claude Code v2.1.304 fügt /auto-mode-setup, decider: „person“ und Read-Only Tool Sig hinzu

Anthropic hat Claude Code v2.1.304 veröffentlicht – ein umfangreiches Wartungsrelease, das ein geführtes Setup für den Auto-Modus, neue Berechtigungs-Primitiven für Mods/Plugins und rund dreißig Fehlerbehebungen in den Bereichen Sandboxing, Transkripte, Remote Control und Telemetrie bringt.

Neue Mod- und Plugin-APIs

• decider: "person" in der tool.check-Antwort eines Mods: Nur der Berechtigungsdialog oder ein Host-Callback kann die Anfrage genehmigen. Wo niemand gefragt werden kann, wird der Aufruf mit der Begründung des Mods abgelehnt.
• e.isReadOnly im tool.check-Event – auf true gesetzt, wenn der Tool-Aufruf schreibgeschützt ist, sodass ein Mod schreibgeschützte Aufrufe ohne Nachfrage durchlassen kann.
• Mods erhalten jetzt eine Transkriptzeile, wenn ein zuerst ausgeführtes Plugin einen der Hooks des Mods überspringt, wobei sowohl das Event als auch das Plugin genannt werden.

Neue Slash-Befehle

• /auto-mode-setup: Geführtes Setup, das Ihr Projekt und Ihre letzten Sitzungen liest und den Auto-Modus über Ihre Umgebung informiert. Jetzt auch verfügbar auf Bedrock, Vertex, Foundry, dem Claude Apps Gateway und in Sitzungen mit deaktivierter Telemetrie.
• /claude-api managed-agents-secure: Vergleicht die Einstellungen eines Managed-Agents-Agenten mit dem veröffentlichten Sicherheitsleitfaden von Anthropic. Nur lesend – es wird nichts geändert.

Änderungen an Transkripten und Nutzung

• Kompaktierungszusammenfassungen in der Transkriptansicht (Ctrl+O) listen jetzt die Namen der zuvor in der Unterhaltung aufgerufenen Tools auf.
• Pro- und Max-Pläne warnen, wenn das Fortsetzen einer inaktiven Unterhaltung einen spürbaren Anteil des 5-Stunden-Nutzungslimits verbrauchen würde. Sie können trotzdem fortfahren oder eine neue Unterhaltung beginnen, und Claude kann die frühere nachschlagen, wenn Sie darauf verweisen.

Wichtige Fehlerbehebungen

• Sandboxed Befehle unter Linux starteten nicht, wenn ein sandbox.filesystem.denyRead-Glob eckige Klammern enthielt, die keine Zeichenklasse sind, z. B. ein [user-id]-Routenordner.
• rm -r auf einem eingebundenen Laufwerk oder einem Ordner der obersten Ebene (/Volumes, /media, WSLs /mnt/c) erhält jetzt dieselbe Sicherheitsabfrage wie rm -rf /Applications.
• CLAUDE_CODE_TRANSCRIPT_LOCAL_GC konnte Nachrichten verlieren, wenn die Festplatte während des Kürzens voll lief.
• Ein Plugin konnte einen Headless-Lauf über --max-turns, Stop oder beendete Eingabe hinaus fortsetzen, indem es Subagenten startete oder einen abgeschlossenen erneut ausführte.
• Fehlgeschlagene Mod-Neuladungen entfernen keine Tools/Befehle mehr aus der Version, die geladen bleibt.
• context_management: Extra inputs are not permitted-Fehler hinter LLM-Gateways – Claude Code sendet die Anfrage jetzt ohne dieses Feld erneut.
• Unsandboxed Bash in Claude Desktop Code-Tab-Sitzungen unter macOS/Linux sieht jetzt Umgebungsvariablen aus ~/.zshrc und ähnlichen Startdateien.
• Schreibergebnisse und abgelehnte Bearbeitungen außerhalb des Arbeitsverzeichnisses zeigen ~/… oder den vollständigen Pfad statt ../../… an.
• Der Remote-Control-Verlauf bleibt nicht mehr zurückgehalten, wenn ein anderes Konto im Terminal angemeldet war.
• Der claude --help-Text für --tools, --resume, --debug, --json-schema, --disable-slash-commands, --system-prompt-snapshot und claude update entspricht jetzt dem tatsächlichen Verhalten.
• claude --worktree entfernt den Worktree und seinen Branch beim Beenden nicht mehr ohne Nachfrage.

Entwickler, die Mods oder Plugins schreiben, sollten sich zuerst die neuen tool.check-Felder ansehen; alle anderen profitieren von den Sicherheitsabfragen und Gateway-Korrekturen. Außerdem gibt es eine neue Warnung beim Fortsetzen von Pro/Max-Plänen und eine Behebung für geplante Cowork-Cloud-Sitzungen, die bei WebFetch-URL-Genehmigungen, die niemand erteilen konnte, fünf Minuten pro Subagent warteten.