Claude Code 2.1.239、クラウドエージェントのアウトバウンド通信を制限し、Bedrockのストリーミング再送による二重課金を修正

Anthropicは8月21日、Claude Code 2.1.239をリリースした。今回の重点はモデル能力ではなく、エージェント実行環境におけるネットワーク、認証情報、セッションの信頼性だ。Claude Code on the webでは、Bashなどのツールから非API系の`anthropic.com`ホストへ送られるリクエストが、セッションネットワークプロキシを経由するようになり、企業が設定した許可ドメインがこの経路にも確実に適用される。この変更はクラウドセッションを対象としている。第三者の分析によれば、修正されたのは限定的なプロキシ回避であり、あらゆる外部ドメインへ任意に接続できる脆弱性ではない。

Bedrockユーザーにとっては、より直接的な修正も含まれる。中継プロキシがレスポンスの`Content-Type`を削除した場合、旧版では本来のストリーミング呼び出しを非ストリーミングモードで再実行し、各ターンで二重に課金される可能性があった。新版では、Bedrock SSOの認証情報の事前チェックも`HTTPS_PROXY`に従うようになり、プロキシ配下で起動が停止する問題を回避する。リモートMCPサーバーについても、セッション途中で一時的な5xxエラーが発生した後、失敗状態のまま永久に復旧しない問題が解消された。

セキュリティ関連の変更には、マスクされたログイン入力欄の内容をキルリングから別の場所へ貼り付けたり、プロンプト履歴へ書き込んだりできないようにする修正も含まれる。また、組織ポリシーによって拒否されたリクエストは、拒否前に一度再送されることがなくなった。クラウド同期プラグインには`name@synced`形式の名前が付けられ、同名のローカルプラグインを上書きできない。エージェントチーム関連では、`ListAgents`が通信可能なチームメイトを表示するようになり、Windowsでもセッション間メッセージングが利用可能になった。

このバージョンではさらに`/claude-api upgrade`が追加され、Pythonプロジェクトを`anthropic` 0.xから1.xへ移行できるようになったほか、timeoutの型参照も修正された。エンジニアリングチームは、独自構築したプロキシ、Bedrockゲートウェイ、MCPの再接続テストを確認すべきだ。ただし、公式にはCVE、悪用の証拠、影響を受ける最古のバージョンが示されていないため、すべての修正を実際に悪用されたセキュリティインシデントと見なすことはできない。その後の2.1.240と2.1.241には信頼性の修正のみが記載されており、迅速なアップデートを行うデプロイ環境でも、まず回帰テストを実施することが望ましい。