「サンドボックス」の抜け道をふさぐ　Claude Code 2.1.309で確認も厳しく

米Anthropicは2026年10月23日（日本時間）、コーディングエージェント「Claude Code」のv2.1.309を公開した。サンドボックス（命令を隔離して動かす仕組み）の中で動かしたはずのBashの命令で、シェルの起動ファイルが外で動いていた不具合を直した。権限の確認をすり抜けていたBashの書き方にも確認を出すようにしており、サンドボックスや権限のルールで守りを固めている人ほど、早めの更新が効く版だ。

サンドボックスの外で動いていた処理

v2.1.309の公開ノートによると、macOSとLinuxでは、サンドボックスの中で動かすBashの命令の前に、シェルの起動ファイルがサンドボックスの外で読み込まれていた。起動ファイルに書いた処理は、隔離の外で毎回動いていたことになる。今回の版でこれを直した。

ほかにも隔離の抜け道を閉じている。macOSでは、書き込みを禁じるdenyWriteの指定が、シンボリックリンク越しにたどったフォルダーの本来の場所に効いていなかった。--mcp-configで渡したMCP（AIと外部の道具をつなぐ手順）の設定ファイルを、サンドボックスの中の命令や自動で受け入れた編集が書き換えられる問題もあった。Linuxでは、セッションより長く生き残った裏の命令が、書き込みの禁止を外してしまう不具合も直した。

確認を出さなかった命令に確認を出す

権限の確認の側でも、すり抜けを塞いだ。cdを別の書き方で包んでからgitを動かす複合の命令で、ふつうのcdなら出る確認が出ていなかった。Edit(path)の禁止のルールを置いても、サブシェルを含む一部の命令ではBashのリダイレクトでそのファイルに書けていた。

作業用のワークツリーに閉じ込めたセッションでも、ロケールを頭に付けた命令や、zshの算術の命令の一部を通していた。Windowsでは、PowerShellで今のフォルダーを指すSet-Locationやcdに余分な引数を付けると、確認なしで通っていた。どれも今回から確認か拒否に回る。

動きが変わる3つの命令

直しだけでなく、動きを変えた所もある。sed -iは、ファイルの編集を模した下見ではなく、ほかのBashの命令と同じ確認を経て書いたとおりに動くようになった。その代わり、/rewindで元に戻す対象から外れる。

claude ultrareviewは、作業フォルダーを信頼するかの確認が要るようになった。端末なら尋ね、それ以外では断る。スクリプトから動かす時は--trust-workspaceを付けるか、環境変数CLAUDE_CODE_DISABLE_ULTRAREVIEW_TRUST_CHECKを1にする。

デスクトップのアプリとVS Codeの拡張では、確認を飛ばす「bypass permissions」のモードで危ないrmやrmdirが出た時の扱いも変えた。確認の画面で止まる代わりに、その場で命令を断って書き直しの手がかりを返す。人がいない間のセッションが止まらずに進むようにするためだ。

毎日の使い勝手の直しも

日々の作業に効く直しも多い。とても大きな入れ子のCLAUDE.mdがあるフォルダーでファイルを読むと、会話の要約（コンパクト）が何度もくり返されていた。今後は、上限を超えた入れ子のCLAUDE.mdは頭の部分だけを読む。

GitHubでは、Claudeがプルリクエストやイシューに役割名や仮の名前を「@」付きで書き、関係のない利用者に通知が飛んでいた不具合を直した。人の手で書いた覚えのない通知が届いていたチームには、原因の1つが消える。ほかに、他のエージェントやセッションから届く前のメッセージを、ctrl+oの画面で「待ち」の印付きで見られるようにした。

v2.1.309は、隔離と権限の確認に開いていた抜け道を一度にふさいだ版といえる。守りの設定をしていても古い版のままなら、その穴は残る。

編集部の見方

サンドボックスやdenyWrite、Edit(path)の禁止のルールでClaude Codeの守りを組んでいる読者は、今回の直しが自分の設定に当たるかを確かめ、早めに更新したい。とくにシェルの起動ファイルに環境変数や認証の処理を書いている人は、これまで隔離の外で動いていた点を知っておく価値がある。sed -iが/rewindで戻らなくなった点と、スクリプトからclaude ultrareviewを呼ぶ時の--trust-workspaceは、自動化を組んでいる人ほど手直しが要る。