Claude Code 2.1.309、サンドボックスと権限チェックの回避を修正し、`sed -i` と `rm` の扱いを変更

リリースノートによると、Claude Code v2.1.309は2026年10月22日にリリースされました。

• サンドボックスと権限の修正： macOSとLinuxで、サンドボックス内のBashコマンドを実行する前に、シェルの起動ファイルがサンドボックス外で実行されることがなくなりました。macOSのdenyWriteグロブは、シンボリックリンク経由でフォルダに到達した場合にも適用されます。サンドボックス内のコマンドや自動承認された編集で、--mcp-configに渡したファイルを変更できなくなりました。Linuxでは、バックグラウンドコマンドがセッション終了後も動作している場合に、サンドボックスの書き込み拒否が解除されることがなくなりました。また、プロンプトが表示されなかった複数のBashおよびPowerShellの権限チェック（gitの前にcdを含む複合コマンド、サブシェルを含むコマンドでリダイレクトを使って拒否ルールを回避する操作、追加の引数を伴うSet-Locationやcd）で、プロンプトが表示されるようになりました。ワークツリー分離のガードも、以前は許可していたロケール接頭辞付きコマンドやzshの算術コマンドの一部を拒否するようになりました。
• 動作の変更： sed -iでは標準のBashプロンプトが表示され、シミュレーションによるファイル編集プレビューではなく、記述どおりに実行されるようになりました。また、/rewindで元に戻せなくなりました。claude ultrareviewにはワークスペースの信頼が必要です。ターミナルでは確認を求め、それ以外では実行を拒否します。スクリプトでは--trust-workspaceを渡すか、CLAUDE_CODE_DISABLE_ULTRAREVIEW_TRUST_CHECK=1を設定してください。DesktopアプリとVS Codeの権限バイパスモードでは、危険なrmとrmdirのプロンプトがコマンドを即座に拒否し、書き換えのヒントを表示するようになりました。サンドボックスが有効でも実行できないために設定でサンドボックス対象外となっているコマンドは、サンドボックスの書き込み許可リスト対象パスに書き込む前に確認を求めるようになりました。サイズ上限を超えるネストされたCLAUDE.mdは、冒頭部分だけ読み込まれるようになりました。
• その他の修正： PowerShellのフックは終了コード2で処理をブロックするようになりました。Claude Desktopがホストするセッションからのメッセージが、接続の更新時に失われることがなくなりました。Claudeがロール名をメンションとして記述し、無関係なGitHubユーザーに言及する問題も修正されました。さらに、VS Code、クラウドセッション、SlackのClaude Tag、Code Reviewに関する修正が含まれます。
• 改善： Claude Code自身が実行する多くのgitコマンドがWindowsで高速化されました。また、ディスク容量不足のエラーで、空き容量を増やす必要があるフォルダが示されるようになりました。