Claude Code 2.1.325でzstdデコードのセキュリティ問題を修正、サンドボックス内のBashコマンドはデフォルトで許可を要求

Claude Code v2.1.325はリリースノートによると、2026年11月13日にリリースされ、zstd圧縮レスポンスのデコードに関するセキュリティ修正、権限とサンドボックス動作の強化、多数の不具合修正が含まれています。

既存の設定に影響する可能性がある変更:

• サンドボックス内のBashコマンドは、デフォルトで通常の権限確認フローに従うようになりました。確認なしで実行し続けるには、sandbox.autoAllowBashIfSandboxed: true を設定してください。サンドボックスを有効にする管理対象設定では、最も優先順位の高い管理対象ソースに設定します。
• プロジェクトのものでも信頼済みのものでもないリポジトリでは、読み取り専用のgitコマンドも実行前に確認を求めます。additionalDirectories設定ではなく、--add-dirでそのリポジトリを指定すれば確認を回避できます。
• スケジュールタスクと/loopは、allowed-toolsまたはフックを宣言するスキルの実行前に確認を求めるようになりました。無人で実行するには、permissions.allowにSkill(name)を追加してください。
• Desktop、IDE、SDKホストの「常に許可」では、そのルールを保存すると同じコマンドを再び許可できる場合に限り、ルール単独の登録を提示するようになりました。そのため、登録済みルールに依存していたスケジュールタスクが、入力待ちになる場合があります。
• サンドボックスは、追加ディレクトリ内の.claude設定、スキル、エージェント、コマンド、フックへの書き込みを拒否するようになりました。起動フォルダーでは以前から同様に拒否されていました。
• 隔離されたworktreeのセッションまたはエージェントでは、git bisect run、git maintenance register|start、scalarのセットアップコマンドが拒否されます。
• プラグインのMCPバンドル（.mcpb、.dxt）はpluginsディレクトリ内に展開されます。pluginDigestsは非推奨となり、無視されます。--plugin-dirで指定したプラグインの.claude/skillsフォルダーは、その上位のディレクトリから開始したセッションでは読み込まれなくなりました。
• Marketplaceのrefでは、任意のコミットの完全なIDを指定できるようになりました。このバージョンより前のクライアントは、そのような固定指定をcloneできません。プラグインのダウンロードでは、設定されているプロキシがALL_PROXYのみの場合にCONNECTトンネルを使用します。CONNECTを拒否するプロキシではダウンロードに失敗するようになりました。
• claude remote-controlは、自ら停止した場合はステータス4、登録できない場合は69で終了します。
• CLAUDE_CODE_MAX_CONTEXT_TOKENSは、ゲートウェイのエイリアスなど、認識されないclaude-モデルIDのコンテキストウィンドウも設定するようになりました。

権限とサンドボックスの修正: 複合Bashコマンドが確認なしで実行されるケース、Bashの許可ルールが指定とは異なるプログラムを実行できるケース、一部の拒否・確認ルールが適用されないケース、Read(./.env)などの相対パスによる拒否ルールがcd後にプロジェクトを対象としなくなるケース、Bashサンドボックスがworktreeの設定、フック、共有gitフォルダーを完全には保護できないケースを修正しました。組織外から閲覧可能なページへのArtifact公開に関する修正も複数含まれています。

その他の追加機能: VS Codeでのプロンプト候補（Tabで確定）とAPIキーを作成しないConsoleサインイン、ノートブックのセルを再実行するよう案内するスピナーのヒント、ポリシーによってブロックされたエラーの下に表示される/rewindまたは/clearの実行案内。その他、サインインとログイン、MCPタスクとエリシテーション、サブエージェントのモデル、セッションの再開、OpenTelemetryイベント、WindowsおよびLinuxの動作に関する修正が含まれます。