Claude Code 2.1.325 corrige un problème de sécurité dans le décodage zstd et demande désormais l’autorisation par défaut pour les commandes Bash en bac à sable

Claude Code v2.1.325, publié le 13 novembre 2026 d’après ses notes de version, comprend un correctif de sécurité concernant le décodage des réponses compressées en zstd, un contrôle plus strict des autorisations et du bac à sable, ainsi qu’une longue liste de corrections.

Changements susceptibles d’affecter les configurations existantes :

• Les commandes Bash exécutées en bac à sable suivent désormais le flux normal d’autorisation par défaut. Définissez sandbox.autoAllowBashIfSandboxed: true pour continuer à les exécuter sans confirmation ; pour les paramètres gérés qui activent le bac à sable, définissez cette valeur dans la source gérée de priorité la plus élevée.
• Les commandes git en lecture seule demandent une confirmation dans un dépôt qui n’appartient pas au projet et n’est pas considéré comme fiable ; indiquez-le avec --add-dir (et non avec le paramètre additionalDirectories) pour éviter la demande.
• Les tâches planifiées et /loop demandent une confirmation avant d’exécuter une compétence qui déclare allowed-tools ou des hooks ; ajoutez Skill(name) à permissions.allow pour l’exécuter sans surveillance.
• Dans les hôtes Desktop, IDE et SDK, l’option « Toujours autoriser » ne propose une règle seule que si son enregistrement autoriserait de nouveau cette commande. Une tâche planifiée qui s’appuyait sur cette option peut donc désormais attendre une confirmation.
• Le bac à sable refuse les écritures dans les paramètres, compétences, agents, commandes et hooks .claude des répertoires ajoutés, comme il le fait déjà dans le dossier de lancement.
• L’exécution de git bisect run, git maintenance register|start et des commandes de configuration de scalar est refusée dans une session ou à un agent utilisant un worktree isolé.
• Les bundles MCP des plugins (.mcpb, .dxt) sont décompressés dans le répertoire des plugins ; pluginDigests est obsolète et ignoré ; les dossiers .claude/skills des plugins --plugin-dir ne sont plus chargés depuis une session lancée dans un répertoire parent.
• ref dans Marketplace accepte l’identifiant complet de n’importe quel commit ; les clients antérieurs à cette version ne peuvent pas cloner une telle référence. Les téléchargements de plugins utilisent un tunnel CONNECT lorsque ALL_PROXY est le seul proxy défini, et échouent désormais si le proxy refuse CONNECT.
• claude remote-control se termine avec le code d’état 4 lorsqu’il s’arrête de lui-même, et 69 lorsqu’il ne parvient pas à s’enregistrer.
• CLAUDE_CODE_MAX_CONTEXT_TOKENS définit également la fenêtre de contexte des identifiants de modèle claude- non reconnus, comme l’alias d’une passerelle.

Les corrections des autorisations et du bac à sable couvrent les cas où une commande Bash composée pouvait s’exécuter sans confirmation, où une règle d’autorisation Bash pouvait lancer un programme différent de celui qu’elle désigne, où certaines règles de refus et de confirmation ne s’appliquaient pas, où des règles de refus relatives telles que Read(./.env) cessaient de protéger le projet après un cd, et où le bac à sable Bash ne protégeait pas complètement les paramètres, les hooks et le dossier git partagé d’un worktree. Plusieurs corrections concernent la publication d’Artifact vers des pages visibles en dehors d’une organisation.

Autres nouveautés : dans VS Code, des suggestions de prompt (acceptation avec Tab) et une connexion à Console qui ne crée aucune clé API ; une astuce de chargement concernant la réexécution d’une cellule de notebook ; une indication sous les erreurs bloquées par une règle pour lancer /rewind ou /clear. Le reste comprend des corrections concernant l’inscription et la connexion, les tâches MCP et l’élicitation, les modèles de sous-agents, la reprise de session, les événements OpenTelemetry et le comportement sous Windows et Linux.