Claude Code v2.1.309 corrige fugas del sandbox, reglas de denegación de enlaces simbólicos y manipulación de la configuración de MCP

Claude Code v2.1.309 es una versión centrada en seguridad que cierra varios vectores de escape del sandbox y bypasses de verificación de permisos en macOS, Linux y Windows. Las correcciones abarcan el sandbox de Bash, la protección de configuración MCP, el aislamiento de worktrees y la ejecución de hooks.

Correcciones de sandbox y sistema de archivos

• Los comandos Bash en sandbox en macOS y Linux ya no ejecutan los archivos de inicio del shell fuera del sandbox antes de cada comando.
• Los patrones glob denyWrite del sandbox de macOS ahora se aplican en la ubicación real de una ruta cuando se accede a la carpeta del patrón mediante un enlace simbólico.
• Los comandos en sandbox y las ediciones aceptadas automáticamente ya no pueden modificar el archivo de configuración MCP pasado con --mcp-config.
• La protección de escritura del almacén de perfiles ahora se aplica cuando se accede al directorio de configuración mediante un enlace simbólico.

Correcciones de permisos y aislamiento

• Las verificaciones de permisos de Bash ya no confían en una variable establecida por un comando cuya redirección puede fallar al abrirse.
• Los comandos compuestos que cambian de directorio antes de ejecutar git ahora solicitan permiso incluso cuando el cd está envuelto o tiene prefijo, igualando el comportamiento de un cd simple.
• Una regla de denegación Edit(path) ahora bloquea una redirección de Bash a esa ruta cuando el comando también contiene un subshell.
• Las sesiones aisladas con worktree rechazan comandos con prefijo de configuración regional y comandos aritméticos de zsh que el guardián de aislamiento debería rechazar.
• Los compañeros de agente en paneles divididos ahora heredan las reglas de denegación de herramientas y --tools del líder.

Correcciones de sesión y MCP

• Un servidor MCP deshabilitado ya no se reconecta por una solicitud de permisos posterior en sesiones de impresión y SDK.
• Los worktrees y checkouts de ramas creados por Claude Code ahora ignoran las referencias de reemplazo de git, de forma coherente con sus otras operaciones de git.
• Las sesiones dejan de compactarse repetidamente después de leer archivos bajo un CLAUDE.md anidado muy grande; un CLAUDE.md anidado que supera el límite de tamaño ahora solo carga su inicio.
• Los mensajes de otros agentes y sesiones que aún esperan ser entregados ahora aparecen completos bajo la transcripción (ctrl+o), marcados como en espera.

Hooks, habilidades e interfaz

• Los hooks de PowerShell ahora se bloquean cuando el programa del hook sale con código 2, y los hooks PreToolUse y PermissionRequest de Windows con "shell": "powershell" ya no fallan abiertamente cuando Git para Windows no está instalado.
• Un hook turn.step de un mod que nombra un modelo por alias (p. ej., haiku) ahora se resuelve a su modelo en lugar de fallar en cada solicitud.
• Las habilidades en carpetas --add-dir ahora son accesibles como <folder>:<name> cuando otra habilidad tiene el mismo nombre.
• El comportamiento de ctrl+enter (enviar ahora) se corrige tanto antes de que comience una respuesta como mientras se ejecutan los hooks de un prompt.
• Las vistas previas largas de salida de herramientas ya no se cortan a través de un emoji, manteniendo las transcripciones de sesión analizables por jq.

Si ejecutas Claude Code en modos de sandbox o aislados con worktree, actualiza. Las correcciones de enlaces simbólicos y --mcp-config son las prioritarias.