Claude Code 2.1.325 corregge un problema di sicurezza nella decodifica zstd e fa sì che i comandi Bash in sandbox richiedano l’autorizzazione per impostazione predefinita

Claude Code v2.1.325, rilasciato il 13 novembre 2026 secondo le note di rilascio, include una correzione di sicurezza per la decodifica delle risposte compresse con zstd, controlli più rigorosi su autorizzazioni e sandbox e un lungo elenco di correzioni.

Modifiche che potrebbero influire sulle configurazioni esistenti:

• Per impostazione predefinita, i comandi Bash in sandbox seguono ora il normale flusso di autorizzazione. Imposta sandbox.autoAllowBashIfSandboxed: true per continuare a eseguirli senza richieste; nelle impostazioni gestite che attivano la sandbox, impostalo nella fonte gestita con la priorità più alta.
• I comandi git di sola lettura chiedono conferma nei repository che non appartengono al progetto né sono considerati attendibili; indicare il repository con --add-dir (non con l’impostazione additionalDirectories) evita la richiesta.
• Le attività pianificate e /loop chiedono conferma prima di eseguire una skill che dichiara allowed-tools o hook; aggiungi Skill(name) a permissions.allow per eseguirla senza supervisione.
• L’opzione «Consenti sempre» negli host Desktop, IDE e SDK offre solo una regola quando salvarla consentirebbe nuovamente quel comando: di conseguenza, un’attività pianificata che faceva affidamento su tale opzione potrebbe ora restare in attesa di input.
• La sandbox impedisce di scrivere nelle impostazioni, nelle skill, negli agenti, nei comandi e negli hook di .claude nelle directory aggiunte, come già fa nella cartella di avvio.
• In una sessione o in un agente con worktree isolato vengono rifiutati git bisect run, git maintenance register|start e i comandi di configurazione di scalar.
• I bundle MCP dei plugin (.mcpb, .dxt) vengono estratti nella directory dei plugin; pluginDigests è deprecato e ignorato; le cartelle .claude/skills dei plugin in --plugin-dir non vengono più caricate se la sessione è stata avviata da una directory superiore.
• ref del marketplace accetta l’ID completo di qualsiasi commit; i client precedenti a questa versione non possono clonare un riferimento di questo tipo. I download dei plugin usano un tunnel CONNECT quando ALL_PROXY è l’unico proxy impostato; se un proxy rifiuta CONNECT, il download ora non va a buon fine.
• claude remote-control termina con codice di stato 4 quando si arresta autonomamente e con 69 quando non riesce a registrarsi.
• CLAUDE_CODE_MAX_CONTEXT_TOKENS imposta anche la finestra di contesto degli ID modello claude- non riconosciuti, ad esempio un alias di un gateway.

Le correzioni relative ad autorizzazioni e sandbox riguardano casi in cui un comando Bash composto poteva essere eseguito senza chiedere conferma, una regola di autorizzazione Bash poteva eseguire un programma diverso da quello indicato, alcune regole di negazione e di richiesta non venivano applicate, le regole di negazione relative — come Read(./.env) — smettevano di coprire il progetto dopo un cd e la sandbox Bash non proteggeva completamente le impostazioni, gli hook e la cartella git condivisa di un worktree. Diverse correzioni riguardano la pubblicazione di Artifact su pagine visibili al di fuori di un’organizzazione.

Altre novità: in VS Code, suggerimenti per i prompt (si accettano premendo Tab) e un accesso a Console che non crea alcuna chiave API; un suggerimento dello spinner per rieseguire una cella del notebook; un’indicazione sotto gli errori bloccati dalle policy che invita a eseguire /rewind o /clear. Le altre modifiche correggono problemi di accesso e login, attività ed elicitation MCP, modelli dei subagenti, ripristino delle sessioni, eventi OpenTelemetry e comportamento su Windows e Linux.