Claude Code 2.1.325、zstdの穴と鍵の課金を修正　権限の既定も変更

米Anthropicは米国時間11月13日、Claude Codeの2.1.325を公開した。zstdで圧縮した応答の復号の安全上の問題と、裏で動くセッションが起動元のシェルのAPIキーで課金していた不具合を直し、サンドボックスの中のBashも既定で許可を求める形に変えた。

記事の内容を自社でどう進めるか、内容が固まっていない段階でも相談できます。仕事の相談

毎週 1 回、その週の記事から 5 本と実践の 1 本を選んでメールで届けます。ニュースレターを購読する（無料）

復号の穴と課金の取り違え

更新履歴の最初の項目は「zstdで圧縮した応答の復号に関する安全上の問題を修正」で、中身や影響の範囲、悪用の有無は書いていない。

課金の不具合は、claude.aiのログインで始めた裏のセッションが、裏のサービスを起動したシェルのAPIキーやトークンを使い、その分が課金されていたというもの。合わせて、裏で動くセッションが別のログインに移る場合がさらに見つかり、こうした移動は断るようにした。断る時は、何なら使えるかを伝える。裏のセッションがキーを使えない時の案内も、キーを設定に足すよう勧めない文に替えた。

許可の確認の抜けを塞ぐ

権限まわりの修正も多い。いくつかの複合のコマンドが許可を求めずに動いていた抜けを塞ぎ、今後は許可を求める。Bashの許可のルールが、名前と別のプログラムを動かせる場合も直した。「Read(./.env)」のような相対の拒否と確認のルールは、cdの後にプロジェクトに効かなくなっていたが、追加したフォルダにも効くようになった。

self-hosted runnerと「claude remote-control」のセッションでは、Claude Codeの再起動の後に届いた許可に拒否のルールが効いていなかった。これも直した。サブエージェントが、組織の外の人も見られる成果物を、許可のルールがある時や前にアップロードを認めた時に、確認なしで書き換えたりファイルを上げたりする場合があった問題も直っている。

組織の設定でAmazon Bedrockを許していない時に、トークンを数えるために会話をBedrockへ送っていた不具合も直った。サンドボックスが自分のために動かすネットワークの中継などのプログラムは、Claude CodeのログインのトークンやAPIキーを環境に持たずに動くようになった。

ほかにも、自分のモデルを持つサブエージェントが、モデルの設定がopusplanかhaikuの時にplanモードのモデルへ移されていた不具合や、多くの他社のゲートウェイとFoundryで、要約せずに毎回文脈の長さのエラーで止まっていた不具合を直した。正しく終わらなかったセッションを再開した時に、直近のやりとりが抜けることがあった不具合も直っている。「claude remote-control」は、自分で止まった時に終了コード4、登録できない時に69で終わるようになり、サービスの管理の仕組みで立ち上げ直しやすくなった。

無人の作業が止まる場合

既定の変更は、無人で回す使い方に効く。サンドボックスの中のBashは許可を求めるのが既定になり、これまでどおり確認なしで動かすには設定の「sandbox.autoAllowBashIfSandboxed」をtrueにする。

予定のタスクと「/loop」は、allowed-toolsやフックを宣言したスキルを動かす前に確認を求めるようになった。無人で動かすには、permissions.allowに「Skill(名前)」を足す。DesktopやIDEなどの「Always allow」も、ルールを保存してそのコマンドがまた許される時だけ出るようになり、更新履歴は、それに頼っていた予定のタスクが利用者を待つことがあると書いている。信頼していないリポジトリでの読み取り専用のgitのコマンドも、先に確認を求める。

編集部の見方

編集部が重く見るのは、課金の不具合と既定の変更が同じ版に入った点だ。シェルにAPIキーを置いたまま裏のセッションを使っていた人は、APIキーの請求に覚えのない分が無いかを見るとよい。予定のタスクや「/loop」で回している人は、上げた後に作業が確認待ちで止まっていないかを確かめ、要るなら更新履歴にある2つの設定を足したい。