Claude Code v2.1.309, 샌드박스 탈출, 심볼릭 링크 거부 규칙, MCP 구성 변조 패치

Claude Code v2.1.309는 macOS, Linux, Windows에서 여러 샌드박스 탈출 경로와 권한 검사 우회를 차단하는 보안 중심 릴리스입니다. 수정 사항은 Bash 샌드박싱, MCP 설정 보호, 워크트리 격리, 훅 실행 전반에 걸쳐 적용됩니다.

샌드박스 및 파일시스템 수정

• macOS와 Linux의 샌드박스 Bash 명령이 이제 각 명령 실행 전에 샌드박스 외부에서 셸 시작 파일을 실행하지 않습니다.
• macOS 샌드박스의 denyWrite 글롭 패턴이 심볼릭 링크를 통해 패턴의 폴더에 도달한 경우에도 해당 경로의 실제 위치에 적용됩니다.
• 샌드박스 명령과 자동 수락된 편집이 이제 --mcp-config로 전달된 MCP 설정 파일을 수정할 수 없습니다.
• 프로필 저장소 쓰기 보호가 설정 디렉터리에 심볼릭 링크를 통해 도달한 경우에도 적용됩니다.

권한 및 격리 수정

• Bash 권한 검사가 이제 리다이렉트가 열리지 않을 수 있는 명령으로 설정된 변수를 신뢰하지 않습니다.
• git 실행 전에 디렉터리를 변경하는 복합 명령이 이제 cd가 감싸져 있거나 접두사가 붙어 있어도 권한을 요청합니다. 일반 cd와 동일한 동작입니다.
• Edit(path) 거부 규칙이 이제 명령에 서브셸도 포함된 경우 해당 경로로의 Bash 리다이렉트를 차단합니다.
• 워크트리 격리 세션이 격리 가드가 거부해야 하는 로캘 접두사 명령과 zsh 산술 명령을 거부합니다.
• 분할 창 에이전트 팀원이 이제 리더의 도구 거부 및 --tools 규칙을 상속합니다.

세션 및 MCP 수정

• 비활성화된 MCP 서버가 print 및 SDK 세션에서 이후 권한 프롬프트에 의해 다시 연결되지 않습니다.
• Claude Code가 생성한 워크트리와 브랜치 체크아웃이 이제 다른 git 작업과 일관되게 git replace ref를 무시합니다.
• 매우 큰 중첩 CLAUDE.md 아래의 파일을 읽은 후 세션이 반복적으로 압축을 중단합니다. 크기 제한을 초과한 중첩 CLAUDE.md는 이제 시작 부분만 로드합니다.
• 다른 에이전트와 세션에서 아직 전달 대기 중인 메시지가 이제 대기 중으로 표시되어 트랜스크립트(ctrl+o) 아래에 전체로 표시됩니다.

훅, 스킬 및 UI

• PowerShell 훅이 이제 훅 프로그램이 코드 2로 종료될 때 차단합니다. 또한 Git for Windows가 설치되지 않은 경우 "shell": "powershell"이 있는 Windows PreToolUse 및 PermissionRequest 훅이 더 이상 fail open되지 않습니다.
• 모드의 turn.step 훅이 별칭(예: haiku)으로 모델을 지정하는 경우 이제 모든 요청이 실패하는 대신 해당 모델로 해석됩니다.
• --add-dir 폴더의 스킬이 다른 스킬이 같은 이름을 가진 경우 이제 <folder>:<name>으로 접근할 수 있습니다.
• ctrl+enter(지금 보내기) 동작이 응답 시작 전과 프롬프트의 훅 실행 중 모두 수정되었습니다.
• 긴 도구 출력 미리보기가 이제 이모지 중간에서 잘리지 않아 세션 트랜스크립트를 jq로 파싱할 수 있습니다.

샌드박스 또는 워크트리 격리 모드에서 Claude Code를 실행 중이라면 업그레이드하세요. 심볼릭 링크 및 --mcp-config 수정을 우선적으로 적용해야 합니다.