Claude Code v2.1.309 устраняет побеги из песочницы, правила запрета симлинков и вмешательство в конфигурацию MCP

Claude Code v2.1.309 — это выпуск с упором на безопасность, закрывающий несколько векторов побега из песочницы и обходов проверок разрешений на macOS, Linux и Windows. Исправления затрагивают песочницу Bash, защиту конфигурации MCP, изоляцию worktree и выполнение хуков.

Исправления песочницы и файловой системы

• Команды Bash в песочнице на macOS и Linux больше не запускают стартовые файлы оболочки вне песочницы перед каждой командой.
• Шаблоны denyWrite песочницы macOS теперь применяются к реальному расположению пути, когда папка из шаблона доступна через символическую ссылку.
• Команды в песочнице и автоматически принятые правки больше не могут изменять файл конфигурации MCP, переданный через --mcp-config.
• Защита записи в хранилище профилей теперь применяется, когда каталог конфигурации доступен через символическую ссылку.

Исправления разрешений и изоляции

• Проверки разрешений Bash больше не доверяют переменной, заданной командой, перенаправление которой может не открыться.
• Составные команды, меняющие каталог перед запуском git, теперь запрашивают разрешение, даже если cd обёрнут или имеет префикс — поведение совпадает с обычным cd.
• Правило запрета Edit(path) теперь блокирует перенаправление Bash в этот путь, если команда также содержит подоболочку.
• Сеансы с изоляцией worktree отклоняют команды с локалью-префиксом и арифметические команды zsh, которые должна отклонять защита изоляции.
• Агенты-напарники в разделённых панелях теперь наследуют правила запрета инструментов и --tools лидера.

Исправления сеансов и MCP

• Отключённый сервер MCP больше не переподключается последующим запросом разрешения в сеансах print и SDK.
• Worktree и ветки, созданные Claude Code, теперь игнорируют git replace refs, как и другие его git-операции.
• Сеансы перестают многократно уплотняться после чтения файлов внутри очень большого вложенного CLAUDE.md; вложенный CLAUDE.md, превышающий лимит размера, теперь загружается только в начале.
• Сообщения от других агентов и сеансов, ожидающие доставки, теперь отображаются полностью под расшифровкой (ctrl+o) с пометкой об ожидании.

Хуки, навыки и интерфейс

• Хуки PowerShell теперь блокируются, когда программа хука завершается с кодом 2, а хуки Windows PreToolUse и PermissionRequest с "shell": "powershell" больше не срабатывают открыто, если Git for Windows не установлен.
• Хук мода turn.step, указывающий модель по псевдониму (например, haiku), теперь разрешается в соответствующую модель, а не приводит к сбою каждого запроса.
• Навыки в папках --add-dir теперь доступны как <folder>:<name>, когда другой навык имеет то же имя.
• Поведение ctrl+enter (отправить сейчас) исправлено как до начала ответа, так и во время выполнения хуков запроса.
• Длинные превью вывода инструментов больше не обрезаются посреди эмодзи, что сохраняет возможность разбора расшифровок сеансов через jq.

Если вы используете Claude Code в режимах песочницы или изоляции worktree, обновитесь. Исправления символических ссылок и --mcp-config — в приоритете.