Claude Code v2.1.309 corrige les évasions de bac à sable, les règles de refus des liens symboliques et la falsification de la configuration MCP

Claude Code v2.1.309 est une version axée sur la sécurité qui ferme plusieurs vecteurs d'évasion de sandbox et contournements de vérification des permissions sur macOS, Linux et Windows. Les correctifs portent sur le sandboxing Bash, la protection de la configuration MCP, l'isolation des worktrees et l'exécution des hooks.

Correctifs de sandbox et de système de fichiers

• Les commandes Bash sandboxées sur macOS et Linux n'exécutent plus les fichiers de démarrage du shell en dehors du sandbox avant chaque commande.
• Les motifs glob denyWrite du sandbox macOS s'appliquent désormais à l'emplacement réel d'un chemin lorsque le dossier du motif est atteint via un lien symbolique.
• Les commandes sandboxées et les modifications acceptées automatiquement ne peuvent plus modifier le fichier de configuration MCP passé avec --mcp-config.
• La protection en écriture du stockage de profils s'applique désormais lorsque le répertoire de configuration est atteint via un lien symbolique.

Correctifs de permissions et d'isolation

• Les vérifications de permissions Bash ne font plus confiance à une variable définie par une commande dont la redirection peut échouer à s'ouvrir.
• Les commandes composées qui changent de répertoire avant d'exécuter git demandent désormais une permission même lorsque le cd est encapsulé ou préfixé — comportement identique à un cd simple.
• Une règle de refus Edit(path) bloque désormais une redirection Bash vers ce chemin lorsque la commande contient aussi un sous-shell.
• Les sessions isolées par worktree refusent les commandes préfixées par des paramètres régionaux et les commandes arithmétiques zsh que le garde d'isolation devrait rejeter.
• Les équipiers d'agent en panneau divisé héritent désormais des règles de refus d'outils et --tools du leader.

Correctifs de session et MCP

• Un serveur MCP désactivé n'est plus reconnecté par une invite de permission ultérieure dans les sessions print et SDK.
• Les worktrees et les extractions de branche créés par Claude Code ignorent désormais les refs de remplacement git, conformément à ses autres opérations git.
• Les sessions cessent de se compacter de manière répétée après la lecture de fichiers sous un CLAUDE.md imbriqué très volumineux ; un CLAUDE.md imbriqué dépassant la limite de taille ne charge désormais que son début.
• Les messages d'autres agents et sessions encore en attente de livraison apparaissent désormais en entier sous la transcription (ctrl+o), marqués comme en attente.

Hooks, compétences et interface

• Les hooks PowerShell se bloquent désormais lorsque le programme du hook se termine avec le code 2, et les hooks Windows PreToolUse et PermissionRequest avec "shell": "powershell" n'échouent plus en mode ouvert lorsque Git pour Windows n'est pas installé.
• Un hook turn.step de mod nommant un modèle par alias (par exemple haiku) se résout désormais vers son modèle au lieu d'échouer à chaque requête.
• Les compétences dans les dossiers --add-dir sont désormais accessibles sous la forme <folder>:<name> lorsqu'une autre compétence porte le même nom.
• Le comportement de ctrl+enter (envoyer maintenant) est corrigé à la fois avant le début d'une réponse et pendant l'exécution des hooks d'une invite.
• Les aperçus longs de sortie d'outil ne sont plus coupés au milieu d'un emoji, ce qui préserve la lisibilité des transcriptions de session par jq.

Si vous utilisez Claude Code en mode sandboxé ou isolé par worktree, mettez à jour. Les correctifs concernant les liens symboliques et --mcp-config sont les plus prioritaires.