Claude Code v2.1.309 corrige fugas do sandbox, regras de negação de symlinks e adulteração de configuração do MCP

Claude Code v2.1.309 é um lançamento com foco em segurança que fecha várias brechas de escape de sandbox e bypasses de verificação de permissões no macOS, Linux e Windows. As correções abrangem sandbox de Bash, proteção de configuração MCP, isolamento de worktree e execução de hooks.

Correções de sandbox e sistema de arquivos

• Comandos Bash em sandbox no macOS e Linux não executam mais os arquivos de inicialização do shell fora do sandbox antes de cada comando.
• Padrões glob denyWrite do sandbox do macOS agora são aplicados no local real de um caminho quando a pasta do padrão é acessada por meio de um symlink.
• Comandos em sandbox e edições aceitas automaticamente não podem mais modificar o arquivo de configuração MCP fornecido com --mcp-config.
• A proteção contra gravação no armazenamento de perfis agora se aplica quando o diretório de configuração é acessado por meio de um symlink.

Correções de permissão e isolamento

• As verificações de permissão do Bash não confiam mais em uma variável definida por um comando cujo redirecionamento pode falhar ao abrir.
• Comandos compostos que alteram o diretório antes de executar o git agora solicitam permissão mesmo quando o cd está agrupado ou prefixado — alinhando o comportamento ao de um cd simples.
• Uma regra de negação Edit(path) agora bloqueia um redirecionamento Bash para esse caminho quando o comando também contém um subshell.
• Sessões isoladas por worktree recusam comandos com prefixo de locale e comandos aritméticos do zsh que a proteção de isolamento deveria rejeitar.
• Membros de equipe de agente em painel dividido agora herdam as regras de negação de ferramentas e --tools do líder.

Correções de sessão e MCP

• Um servidor MCP desativado não é mais reconectado por um prompt de permissão posterior em sessões de impressão e SDK.
• Worktrees e checkouts de branch criados pelo Claude Code agora ignoram refs de substituição do git, consistente com suas outras operações git.
• As sessões param de compactar repetidamente após ler arquivos sob um CLAUDE.md aninhado muito grande; um CLAUDE.md aninhado acima do limite de tamanho agora carrega apenas seu início.
• Mensagens de outros agentes e sessões ainda aguardando entrega agora aparecem por completo sob a transcrição (ctrl+o), marcadas como aguardando.

Hooks, skills e UI

• Hooks do PowerShell agora bloqueiam quando o programa do hook sai com código 2, e hooks PreToolUse e PermissionRequest do Windows com "shell": "powershell" não falham mais abertos quando o Git for Windows não está instalado.
• Um hook turn.step de mod que nomeia um modelo por alias (ex.: haiku) agora resolve para seu modelo em vez de falhar em todas as requisições.
• Skills em pastas --add-dir agora são acessíveis como <folder>:<name> quando outra skill tem o mesmo nome.
• O comportamento de ctrl+enter (enviar agora) foi corrigido tanto antes do início de uma resposta quanto enquanto os hooks de um prompt estão em execução.
• Prévias longas de saída de ferramentas não são mais cortadas no meio de um emoji, mantendo as transcrições de sessão analisáveis pelo jq.

Se você executa o Claude Code em modos sandbox ou isolados por worktree, atualize. As correções de symlink e --mcp-config são as prioritárias.