В Claude Code 2.1.325 исправлена уязвимость при декодировании zstd; по умолчанию команды Bash в песочнице теперь запрашивают разрешение

Согласно примечаниям к выпуску, Claude Code v2.1.325 вышла 13 ноября 2026 года. В ней исправлена проблема безопасности при декодировании ответов, сжатых с помощью zstd, ужесточены правила разрешений и работы песочницы, а также внесён большой набор исправлений.

Изменения, которые могут повлиять на существующие настройки:

• Команды Bash в песочнице теперь по умолчанию проходят обычную процедуру запроса разрешения. Установите sandbox.autoAllowBashIfSandboxed: true, чтобы запускать их без запросов; если в управляемых настройках включена песочница, задайте этот параметр в источнике с наивысшим приоритетом.
• Для команд git только на чтение в репозитории, который не является репозиторием проекта или доверенным, сначала запрашивается разрешение. Указание репозитория через --add-dir (а не параметр additionalDirectories) убирает запрос.
• Перед запуском навыка, в котором объявлены allowed-tools или хуки, запланированные задачи и /loop запрашивают разрешение; чтобы запускать его без участия пользователя, добавьте Skill(name) в permissions.allow.
• В Desktop, IDE и SDK правило «Всегда разрешать» предлагается отдельно лишь тогда, когда его сохранение позволит снова выполнить эту команду. Поэтому запланированная задача, полагавшаяся на такое правило, теперь может ожидать ввода пользователя.
• Песочница запрещает запись в настройки .claude, навыки, агентов, команды и хуки в добавленных каталогах — так же, как и в каталоге запуска.
• В изолированной сессии worktree или для агента запрещены git bisect run, git maintenance register|start и команды настройки scalar.
• Пакеты MCP плагинов (.mcpb, .dxt) распаковываются в каталог плагинов; pluginDigests объявлен устаревшим и игнорируется; папки .claude/skills в плагинах, добавленных через --plugin-dir, больше не загружаются из сессии, запущенной выше по дереву каталогов.
• В ref маркетплейса теперь можно указать полный ID любого коммита; клиенты предыдущих версий не могут клонировать такой коммит. При загрузке плагинов используется туннель CONNECT, если задан только прокси ALL_PROXY; если прокси отклоняет CONNECT, загрузка завершается ошибкой.
• claude remote-control завершается с кодом 4, если останавливается самостоятельно, и с кодом 69, если не может зарегистрироваться.
• CLAUDE_CODE_MAX_CONTEXT_TOKENS теперь также задаёт размер контекстного окна для нераспознанных ID моделей claude-, например псевдонима шлюза.

Исправления разрешений и песочницы охватывают случаи, когда составная команда Bash могла выполняться без запроса, правило разрешения для Bash могло запускать другую программу, не указанную в нём, некоторые правила запрета и запроса разрешения не применялись, относительные правила запрета, такие как Read(./.env), переставали распространяться на проект после cd, а песочница Bash не полностью защищала настройки, хуки и общую папку git в worktree. Несколько исправлений касаются публикации Artifact на страницах, видимых за пределами организации.

Другие нововведения: в VS Code появились подсказки для промптов (принять можно клавишей Tab) и вход в Console без создания API-ключа; добавлена подсказка к индикатору загрузки о повторном запуске ячейки ноутбука; под ошибками блокировки политикой появилась подсказка запустить /rewind или /clear. Остальные изменения — исправления входа и авторизации, задач MCP и elicitation, моделей субагентов, возобновления сессий, событий OpenTelemetry, а также работы в Windows и Linux.