Claude Code 2.1.214、シェル実行と書き込み許可の判定を強化

Claude Code 2.1.214は、ファイル書き込みやシェルコマンドを自動許可する判定を広く見直した更新です。単一階層のディレクトリ規則、Windows PowerShell 5.1、Bashのリダイレクト、zshの変数構文、Dockerの接続先指定、リモートセッションの確認など、安全性に関わる境界がまとめて修正されました。EndConversation、Windowsでの入出力、長時間処理、バックグラウンドセッションにも重要な変更があります。

要点

• Edit(src/**)のような規則が、作業ディレクトリ外の同名階層まで自動許可する問題を修正しました。
• Bash、zsh、PowerShell、Docker／Podmanの複雑な引数は、安全性を確実に判定できない場合に確認を求める方向へ変更されました。
• 深刻な暴言や脱獄の試みに対してClaudeがセッションを終了できるEndConversationツールが追加されました。
• Windowsでの文字コード処理、stream-json出力、設定ファイル上限、バックグラウンドセッションの終了処理も修正されました。
• 自動許可規則や非対話実行を使うチームは、更新後に代表コマンドを再試験する価値があります。

今回の更新で変わること

今回の中心は、Claude Codeが「この操作は既存の許可規則の範囲内なので、ユーザーへ確認せず実行してよい」と判断する境界の修正です。まず、Edit(src/**)のような単一階層から始まる規則が、<cwd>/srcだけでなく、ツリー内の別の場所にあるsrcディレクトリへの書き込みまで自動承認する問題が直りました。規則をプロジェクトルート基準で設定していた利用者にとって、許可対象が想定より広がる問題を閉じる重要な変更です。フックのif:条件も同じ考え方へ変更され、任意の深さにある同名ディレクトリを対象にしたい場合は**/dir/**と明示する必要があります。一方、denyとaskの権限規則は従来の任意階層への一致を維持します。

シェル判定も複数箇所が強化されています。Windows PowerShell 5.1で権限確認を回避できる経路、Bashが権限解析器と異なる意味で解釈するファイルディスクリプターのリダイレクト、1万文字を超える長いコマンド、zshの[[ ]]比較内にある変数添字や修飾子が対象です。さらに、ヘルプやmanページを表示するように見えて危険なオプション、コマンド置換、バックスラッシュを含むパスを実行できる一部のコマンドも、自動許可の対象から外れました。解析結果に確信を持てない操作を黙って通すのではなく、利用者へ確認する設計へ寄せた更新と読めます。

コンテナ操作では、DockerコマンドとPodmanのDocker互換コマンドに、デーモン接続先を変える--url、--connection、--identityやリモートモードが含まれる場合、権限確認が追加されました。ローカルのコンテナを操作するつもりでも、接続先の指定によって別環境を操作できるためです。リモートセッションでは、ローカル側の確認ダイアログが完了する前に処理が進む問題も修正されています。さらに、fileコマンドで--magic-fileや--files-fromを使う場合は、読み取り専用とみなして自動許可せず、確認を求めるようになりました。

権限以外では、深刻な暴言や脱獄の試みに対してClaudeがセッションを終了できるEndConversationツールが追加されました。これは通常の会話を任意に打ち切るための一般操作ではなく、Anthropicが示す限定的な状況を対象にしています。長時間のツール呼び出しには定期的な進捗表示が追加され、メモリファイルにはISO形式の更新日時が記録されます。OpenTelemetryにはmessage.uuid、client_request_id、tool_sourceが加わり、内容属性の60KB切り捨て上限をCLAUDE_CODE_OTEL_CONTENT_MAX_LENGTHで調整できるようになりました。

入出力と安定性の修正も広範です。2MiBを超える設定ファイルやデバイスファイルを--settingsへ指定した場合は、無制限に読み込まず起動時に明確なエラーを返します。Windowsでは、PowerShell配下のPythonが非UTF-8入力や非ASCII出力で停止する問題、Windows PowerShell 5.1の>と>>が他ツールで読めないUTF-16LEファイルを作る問題、子プロセスの標準入力待ちでタイムアウトする問題が修正されました。受信処理が遅い環境へstream-json形式で出力すると終了時に一部が欠ける問題や、pkill -fがClaude Code自身へ一致してセッションを終了させる問題にも対応しています。

バックグラウンドセッションでは、置き換えられたデーモンが後継デーモンの制御ソケットを削除する問題、停止済みセッションを削除できない問題、非Gitディレクトリから開始したセッションを一覧から削除できない問題などが修正されました。2.1.214は権限判定だけの版ではなく、長時間・非対話・リモート実行を安定させる修正もまとめた更新です。

対象になりそうなユーザー・チーム

共有の.claude/settings.jsonで書き込みやコマンド許可を管理する開発チーム、PowerShell・Bash・zshをまたいでClaude Codeを使う組織、DockerやPodmanのリモート接続を扱う基盤担当、stream-jsonやバックグラウンドセッションで非対話処理を運用するチームに関係します。

実務で確認したいポイント

• Edit()やWrite()のパス規則が、プロジェクトルートを基準に意図した範囲だけを許可しているか確認します。
• PowerShell、Bashのリダイレクト、zsh条件式、長いコマンドで確認画面が適切に出るか試します。
• Docker／Podmanの接続先を切り替える運用では、確認追加によって自動処理が停止しないかを確認します。
• Windowsでは、PowerShellからPythonを実行する処理と、>または>>で作るファイルの文字コードを再試験します。
• stream-jsonの利用者は、終了直前までの出力が低速な受信側にも欠けず届くかを確認します。
• OpenTelemetryの新しい属性と内容上限を使う場合は、ログ量と機密情報の取り扱いも見直します。

今すぐ対応が必要か

Claude Codeに広い自動許可を与えている環境や、リモート・コンテナ操作を自動化している環境では、優先して更新したいです。権限を都度確認する使い方でも、更新後に代表的な許可規則とシェルコマンドを試し、必要な操作だけが自動承認されることを確認すると安心です。

結局、この更新をどう見るべきか

2.1.214は、エージェントへ任せる操作範囲を正しく守り、長時間・非対話・リモート実行を安定させる更新です。自動許可、PowerShell、Docker／Podman、stream-json、バックグラウンドセッションのいずれかを使う環境では、通常の対話利用より優先度を上げて適用する価値があります。