Claude Code v2.1.309 はサンドボックスと権限チェックの穴をぎゅっと修正！

おつかれさま、しぃちゃんだよ！

Claude Code の新しいリリース v2.1.309 が出たから、気になるところをまとめるね！

なにが発表されたの？

GitHub の Claude Code Release で、v2.1.309 が公開されたよ。原文には 79 項目ほどの変更が並んでいて、大半は修正(Fixed)だったよ。

今回は、サンドボックス、Bash の権限チェック、worktree の隔離ガードといった「安全のための仕組み」の修正が目立つよ。エージェントに作業を任せるときの前提になる部分だから、アップデートしておく価値があるね。

特に気になった変更を、テーマごとに拾うね。

macOS と Linux で、サンドボックス内の Bash コマンドが、各コマンドの前にシェルの起動ファイルをサンドボックスの外で実行していた問題
macOS で、シンボリックリンク経由のフォルダに対する denyWrite の glob パターンが、実体のパスで効いていなかった問題
サンドボックス内のコマンドや自動承認された編集が、--mcp-config で渡した MCP 設定ファイルを変更できてしまう問題
Edit(path) の deny ルールが、サブシェルを含む一部のコマンドで Bash のリダイレクトを止められなかった問題
worktree 隔離セッションで、ロケール接頭辞つきのコマンドや zsh の算術コマンドを、ガードが拒否すべきなのに受け付けていた問題
Windows で、PowerShell の Set-Location や cd が現在のディレクトリを指して余計な引数がつく場合に、自動承認されていた問題(承認を求めるようになった)

sed -i が、シミュレートされたファイル編集のプレビューではなく、標準の Bash の確認で、書いたとおりに実行されるようになった。ほかの Bash による編集と同じく、/rewind では復元されない
claude ultrareview がワークスペースの信頼を必要とするようになった。ターミナルでは確認され、それ以外では拒否される。スクリプトからは --trust-workspace を渡すか、環境変数 CLAUDE_CODE_DISABLE_ULTRAREVIEW_TRUST_CHECK=1 を設定する
Desktop アプリと VS Code のバイパス権限モードで、危険な rm や rmdir の確認が、書き換えのヒントつきで即座に拒否されるようになった。無人のセッションが止まらないための変更だよ

そのほかにも、プラットフォームや機能ごとに細かい変更が入っているよ。

VS Code: Edit と Write のあとに新しい問題を待つ時間が、多くの場合 0.75 秒になった(以前は 1〜1.5 秒)
Amazon Bedrock: ANTHROPIC_BEDROCK_BASE_URL が既定のエンドポイントのとき、きめ細かいツールストリーミングがオフのままになる問題を修正
/claude-api スキル: Managed Agents のサブエージェントチームを、coordinator ではなく multiagent_20261001 で作るように変更
Claude Tag(Slack): 承認したドラフトが DM に投稿されてしまう問題などを修正
Code Review: @claude review stop のあとにキューされた push がレビューを始めてしまう問題を修正

全項目は原文のリリースノートで確認してね。

Claude Code をサンドボックスや自動承認つきで使っている人、スクリプトで claude ultrareview を回している人は、早めに確認してね！