Claude Code 2.1.325, zstd 디코딩 보안 문제 수정 및 샌드박스 Bash 명령에 기본적으로 권한 확인 적용

Claude Code v2.1.325는 릴리스 노트에 따르면 2026년 11월 13일 공개되었으며, zstd 압축 응답 디코딩 방식의 보안 수정, 강화된 권한 및 샌드박스 동작, 다양한 수정 사항을 포함합니다.

기존 설정에 영향을 줄 수 있는 변경 사항:

• 이제 샌드박스에서 실행되는 Bash 명령에도 기본적으로 일반 권한 확인 절차가 적용됩니다. 확인 없이 계속 실행하려면 sandbox.autoAllowBashIfSandboxed: true를 설정하세요. 샌드박스를 활성화하는 관리형 설정의 경우 우선순위가 가장 높은 관리 설정 소스에 지정해야 합니다.
• 프로젝트 소유가 아니거나 신뢰할 수 있는 저장소가 아닌 곳에서는 읽기 전용 git 명령도 먼저 확인을 요청합니다. additionalDirectories 설정이 아니라 --add-dir로 해당 저장소를 지정하면 확인을 건너뛸 수 있습니다.
• 예약 작업과 /loop는 allowed-tools 또는 훅을 선언한 스킬을 실행하기 전에 확인을 요청합니다. 무인 실행하려면 permissions.allow에 Skill(name)을 추가하세요.
• Desktop, IDE 및 SDK 호스트의 "Always allow"는 해당 규칙을 저장하면 명령을 다시 허용하게 되는 경우에만 규칙만 추가하는 옵션을 표시합니다. 따라서 이 규칙에 의존하던 예약 작업은 이제 입력을 기다릴 수 있습니다.
• 샌드박스는 추가된 디렉터리의 .claude 설정, 스킬, 에이전트, 명령 및 훅에 대한 쓰기를 거부합니다. 실행 폴더에서도 이미 적용되던 제한입니다.
• 격리된 worktree 세션이나 에이전트에서는 git bisect run, git maintenance register|start 및 scalar 설정 명령을 실행할 수 없습니다.
• 플러그인 MCP 번들(.mcpb, .dxt)은 plugins 디렉터리에 압축 해제됩니다. pluginDigests는 더 이상 사용되지 않으며 무시됩니다. --plugin-dir 플러그인의 .claude/skills 폴더는 해당 폴더보다 상위 경로에서 시작한 세션에서 더 이상 로드되지 않습니다.
• Marketplace의 ref는 이제 모든 커밋의 전체 ID를 허용합니다. 이 버전보다 이전 클라이언트는 이러한 고정 버전을 복제할 수 없습니다. ALL_PROXY만 설정된 경우 플러그인 다운로드는 CONNECT 터널을 사용하며, CONNECT를 거부하는 프록시에서는 다운로드가 실패합니다.
• claude remote-control은 자체적으로 종료되면 상태 코드 4, 등록할 수 없으면 69로 종료됩니다.
• CLAUDE_CODE_MAX_CONTEXT_TOKENS는 게이트웨이의 별칭처럼 인식되지 않는 claude- 모델 ID의 컨텍스트 창 크기도 설정합니다.

권한 및 샌드박스 수정 사항에는 여러 명령을 묶은 Bash 명령이 확인 없이 실행될 수 있던 문제, Bash 허용 규칙이 명시된 것과 다른 프로그램을 실행할 수 있던 문제, 일부 거부 및 확인 규칙이 적용되지 않던 문제, cd 이후 Read(./.env) 같은 상대 경로 거부 규칙이 프로젝트에 더 이상 적용되지 않던 문제, Bash 샌드박스가 worktree의 설정, 훅 및 공유 git 폴더를 완전히 보호하지 못하던 문제가 포함됩니다. 조직 외부에서 볼 수 있는 페이지에 Artifact를 게시할 때 발생하는 문제도 여러 건 수정되었습니다.

그 밖의 추가 사항: VS Code에서 프롬프트 제안( Tab 키로 적용) 및 API 키를 만들지 않는 Console 로그인 기능, 노트북 셀을 다시 실행하라는 스피너 팁, 정책으로 차단된 오류 아래에 /rewind 또는 /clear를 실행하라는 안내가 추가되었습니다. 나머지는 로그인, MCP 작업 및 정보 요청, 하위 에이전트 모델, 세션 재개, OpenTelemetry 이벤트, Windows 및 Linux 동작 관련 수정입니다.