Claude Code 2.1.325 corrige um problema de segurança na decodificação de zstd e faz com que comandos Bash em sandbox peçam permissão por padrão

Claude Code v2.1.325, lançado em 13 de novembro de 2026, segundo as notas de lançamento, inclui uma correção de segurança na forma como respostas compactadas com zstd são decodificadas, regras mais rigorosas de permissão e sandbox e uma longa lista de correções.

Mudanças que podem afetar configurações existentes:

• Comandos Bash em sandbox agora seguem o fluxo normal de permissões por padrão. Defina sandbox.autoAllowBashIfSandboxed: true para continuar executando-os sem avisos; em configurações gerenciadas que ativam o sandbox, defina essa opção na fonte gerenciada de maior prioridade.
• Comandos git somente de leitura pedem permissão primeiro em um repositório que não seja do projeto nem confiável; incluí-lo com --add-dir (e não com a configuração additionalDirectories) evita o aviso.
• Tarefas agendadas e /loop pedem confirmação antes de executar uma skill que declare allowed-tools ou hooks; adicione Skill(name) a permissions.allow para executá-la sem supervisão.
• A opção “Always allow” nos hosts Desktop, IDE e SDK oferece apenas uma regra quando salvá-la permitiria executar aquele comando novamente. Assim, uma tarefa agendada que dependesse dessa opção pode agora aguardar uma confirmação.
• O sandbox recusa gravações em configurações, skills, agentes, comandos e hooks de .claude em diretórios adicionados, assim como já fazia na pasta de inicialização.
• Uma sessão ou um agente em uma worktree isolada não pode executar git bisect run, git maintenance register|start nem os comandos de configuração do scalar.
• Pacotes MCP de plugins (.mcpb, .dxt) são descompactados no diretório de plugins; pluginDigests foi descontinuado e é ignorado; pastas .claude/skills em plugins de --plugin-dir não são mais carregadas em uma sessão iniciada acima delas.
• ref do Marketplace aceita o ID completo de qualquer commit; clientes anteriores a esta versão não conseguem clonar esse pin. Downloads de plugins usam um túnel CONNECT quando ALL_PROXY é o único proxy definido, e falham se o proxy recusar CONNECT.
• claude remote-control termina com status 4 quando para sozinho e com 69 quando não consegue se registrar.
• CLAUDE_CODE_MAX_CONTEXT_TOKENS também define a janela de contexto de IDs de modelos claude- não reconhecidos, como um alias de gateway.

Correções de permissões e do sandbox abrangem casos em que um comando Bash composto podia ser executado sem confirmação, uma regra de permissão para Bash podia executar um programa diferente do indicado, algumas regras de negação e confirmação não eram aplicadas, regras de negação relativas como Read(./.env) deixavam de abranger o projeto após um cd, e o sandbox do Bash não protegia completamente as configurações, os hooks e a pasta git compartilhada de uma worktree. Várias correções tratam da publicação de Artifacts em páginas visíveis fora de uma organização.

Outras adições: no VS Code, sugestões de prompt (Tab para aceitar) e um login no Console que não cria uma chave de API; uma dica no indicador de carregamento sobre executar novamente uma célula de notebook; uma indicação, abaixo de erros bloqueados por políticas, para executar /rewind ou /clear. As demais são correções no login, em tarefas MCP e elicitação, modelos de subagentes, retomada de sessões, eventos do OpenTelemetry e comportamento no Windows e Linux.