AI 程式工具／代理安全
Claude Code 2.1.233、Bashのメモリを制限し、WindowsのNTLM認証情報漏えい経路を封鎖
新版では、Linuxのmemory cgroupを使用して、エージェントが実行するビルドやテストにメモリ上限を設定できるようになり、暴走したプロセスがセッション全体を停止させる事態を防ぐ。Windowsの特殊パスによる検証回避、MCPの再接続ループ、サンドボックスのアイドル時にCPUの1コアを占有する問題も修正された。
Anthropicは8月14日、[Claude Code 2.1.233](https://github.com/anthropics/claude-code/releases/tag/v2.1.233)をリリースした。今回の焦点はモデルの変更ではなく、コーディングエージェントの実行境界の強化にある。Linuxユーザーは、`CLAUDE_CODE_TOOL_MEMORY_LIMIT`を通じてmemory cgroupを使用し、Bashツールが起動するビルド、テスト、インストールの各プロセスにメモリ上限を設定できるようになった。大規模プロジェクトでメモリリークや並列ビルドの暴走が発生しても、理論上はエージェントのセッション全体が必ず停止する事態を避けられる。この機能は明示的な有効化が必要で、変更履歴には上限超過時の終了方針や、すべての子プロセスが対象となるかどうかが記載されていないため、本番環境では独自の検証が必要だ。
セキュリティ修正では、旧版のWindows環境において、NTの`\??\` device prefixで表されたパスが正しく遮断されていなかった。このため、細工されたパスがUNC検証を回避し、NTLM認証情報を外部に送信させる可能性があったが、新版ではこの経路が封鎖された。2.1.233では同時に、前バージョンで導入されたCygwin symlinkと入力リダイレクトに関する権限変更の一部がロールバックされた。PowerShell、Git Bash、Cygwinにまたがるパス正規化がまだ完全には収束しておらず、より対象を絞った修正が今後のバージョンで改めて実装されることを示している。
エージェント基盤にも、実運用に影響する複数の変更が加えられた。MCP v2では、長時間接続を定期的に切断するserverlessサーバーに接続した際、`subscriptions/listen`を無限に再起動しなくなった。また、Linuxサンドボックスがアイドル時にCPUの1コアを占有する問題も修正された。Apps Gatewayでは、サインイン済みユーザーのIDを任意で転送できるようになり、企業向けエージェントでコストをユーザーごとに帰属させられる。注意すべき点として、新しいモデルには組み込みのTodo／Task trackingツールがデフォルトで提供されなくなった。既存のワークフローがこれらのツールに依存している場合は、`CLAUDE_CODE_ENABLE_TODO_TOOLS=1`を設定して一時的に復元する必要がある。