Claude Code 2.1.309、サンドボックスと権限チェックを修正し、MCP設定ファイルへの書き込み経路を遮断

Anthropicは10月22日、コマンド実行、ファイル書き込み、権限の引き継ぎに関する複数の問題を修正したClaude Code 2.1.309をリリースしました。macOSとLinuxのサンドボックス内で実行するBashコマンドでは、以前は実行のたびに、サンドボックス外でシェル起動ファイルが読み込まれていました。また、macOSではdenyWriteのワイルドカードルールが、シンボリックリンク経由でディレクトリにアクセスした場合、実際のパスに適用されないことがありました。これらの修正は、隔離境界がユーザーの設定どおりに機能するかどうかに直結します。リリースノート

別の修正群では、エージェントの設定とツール権限が対象となりました。以前は、サンドボックス内のコマンドや自動承認された編集によって、--mcp-configで渡されたMCP設定ファイルを変更できました。また、無効化したMCPサーバーが、非対話型セッションやSDKセッションで、その後に表示される権限プロンプトを通じて再接続される可能性がありました。新バージョンでは、分割ペイン内のエージェントのサブエージェントが、親エージェントのコマンドラインツール拒否ルールを引き継がない問題も修正されました。エンジニアリングの観点では、これらの変更は、設定、セッション、エージェント間の役割分担を通じて制限が継続して適用されるかどうかに関わります。リリースノート

公式ドキュメントによると、Claude CodeのBashサンドボックスは、シェルコマンドとその子プロセスがアクセスできるファイルやネットワークを、OSレベルで制限します。macOSではSeatbeltを使用し、LinuxとWSL2ではbubblewrapなどのコンポーネントに依存します。ただし、組み込みのファイルツール、MCPサーバー、hooksはこのサンドボックスの外にあり、それぞれ異なるルールで制御されます。そのため、Bashサンドボックスを有効にする場合も、エージェントの処理全体をカバーするにはツール権限の設定を併用する必要があります。サンドボックスのドキュメント

導入チームは、シンボリックリンク経由でアクセスする書き込み禁止ディレクトリ、指定したMCP設定ファイルの保護、サブエージェントがツール制限を引き継ぐかどうか、という3種類のケースを優先して検証できます。ドキュメントにはファイル書き込みとネットワーク接続の確認方法も記載されています。また、エージェントにテストを実行させるよう案内しています。ユーザーが!プロンプトで直接入力したコマンドは、通常、同じサンドボックスの制約を受けないためです。リリースノートには、各問題の影響を受けるバージョンの起点、悪用に必要な条件、実際の悪用状況は記載されていません。したがって、すべての導入環境が侵害されていたと推定することはできません。サンドボックスのドキュメント リリースノート