Claude Code 2.1.292 ставит плагин вместе с маркетплейсом

Раньше Claude Code на Windows не считал удалением домашней папки команду rm -rf, если папку назвали по короткому имени формата 8.3, которое осталось со времён DOS, или другим альтернативным написанием. В версии 2.1.292 эту лазейку закрыли вместе с несколькими другими дырами в правах и песочнице, сообщается в заметках к релизу на GitHub. Главная новинка для повседневной работы другая: плагин из стороннего маркетплейса ставится одной командой.

Коротко

• У инструмента Agent появился параметр effort, так что Claude запускает субагента на заказанном уровне усилия, а паузу перед повтором после ошибки перегрузки 529 можно удлинить переменной окружения.
• Локальные MCP-серверы на всех установках, включая Bedrock, Vertex и Foundry, по умолчанию договариваются о протоколе 2026-07-28, а серверы, игнорирующие новую проверку, после одного медленного подключения запоминаются на 7 дней.
• В заметках к релизу не сказано, какие уровни усилия принимает effort, какова базовая задержка повтора по умолчанию и что именно меняет версия протокола MCP 2026-07-28.

Если вы не следили: до этого релиза плагин из чужого маркетплейса ставили в два шага. Сначала маркетплейс подключали командой claude plugin marketplace add, которая прогоняет его через проверки политики, и только потом вызывали claude plugin install. Параллельно в Claude Code растёт слой модов, то есть плагинов с модулем hooks, которые перехватывают вызовы инструментов, изменения настроек и запуск агентов.

Флаг --marketplace ставит плагин вместе с маркетплейсом

Новый вызов выглядит так: claude plugin install --marketplace <источник>. Если маркетплейса ещё нет, команда добавит его сама, с теми же проверками политики, что и claude plugin marketplace add, и сразу поставит из него плагин. Заодно починили первый запуск: команды вроде marketplace add и install могли выполниться до того, как подгрузились управляемые настройки организации.

У инструмента Agent появился параметр effort: Claude запускает субагента на том уровне усилия, который вы попросили. Для тех, кто упирается в перегрузку серверов, есть переменная CLAUDE_CODE_OVERLOADED_RETRY_BASE_DELAY_MS. Она задаёт более длинную базовую задержку для нарастающей паузы (backoff) перед повтором запроса, отбитого ошибкой 529. Имена агентов ограничили 256 символами: более длинное имя отклоняется, а скилл или файл плагина с таким именем игнорируется.

Моды научились кэшировать промпты в $.model.complete

Для авторов модов три новинки. Событие prompt.autocomplete даёт моду добавить свои строки в список автодополнения в поле ввода. Хук agent.spawn видит workflow-агентов вместе с их run и index, так что мод может отказать им в запуске. А $.model.complete получил кэширование промптов: prompt и system принимают блоки текста, и cache: true на блоке кэширует запрос до этого блока.

Механика знакома по API: модель не обрабатывает заново длинный общий префикс, если он уже лежит в кэше. Как закладка в книге: всё до неё вы уже прочли и помните, перечитывать приходится только хвост. Поэтому неизменные части вроде системной инструкции стоит ставить первыми, а флаг cache вешать на последний из них.

В хуках закрыли и опасные места. Ответ allow от хука tool.check запускал инструмент, которому нужен ваш ответ, например вопрос или одобрение плана, без показа диалога. Хук config.set, state.set, env.set или agent.spawn, который вызвал next(e) и потом отказал, засчитывался как отказ; сейчас о нём сообщают как об упавшем, по имени. Запрет с причиной длиннее 4 096 символов просто игнорировался.

Чтение по сетевым UNC-путям обходило запрос разрешения

Единственный пункт с пометкой Security касается Windows-сетей: одобрения от хуков PreToolUse и автоматический режим пропускали запрос разрешения на чтение файлов по сетевым UNC-путям. Чтение блокнота или PDF на macOS и Windows могло вернуть файл за пределами одобренного, если ссылку подменяли прямо во время чтения. Команды в песочнице могли прочитать подготовленные копии загрузок /ultrareview в ~/.claude/seed-admin.

Подделанный кэш серверных управляемых настроек на диске мог отключить или подменить встроенный плагин политики, пока загрузка настроек не удавалась. Управляемый путь запрета чтения в песочнице, появившийся посреди сессии, не отменял проектные разрешения внутри себя. Теги <system-reminder> в выводе хуков экранируются, прежде чем попасть к Claude.

Локальные MCP-серверы по умолчанию согласуют протокол 2026-07-28

Локальные stdio-серверы на каждой установке, включая Bedrock, Vertex и Foundry, по умолчанию договариваются о версии протокола 2026-07-28. Отказаться можно через MCP_PROTOCOL_NEGOTIATION=legacy. Серверы, которые игнорируют новую проверку, после одного медленного подключения запоминаются на 7 дней, и Claude Code подключается к ним по-старому, без ожидания.

MCP-инструмент с именем длиннее 128 символов ронял все запросы; сейчас его исключают, а ошибка MCP называет его. Первый ход claude -p и сессий SDK не ждёт ответа HTTP- и SSE-серверов на resources/list. Разовые запуски claude -p и Agent SDK гасили фоновую команду через 5 секунд после финального результата, а claude -p ещё и терял запланированное пробуждение. Сейчас и того и другого дожидаются.

Заметки к релизу оставляют пробелы: неизвестно, какие значения принимает effort и чем протокол 2026-07-28 отличается от прежней версии, так что эффект от перехода придётся проверять на своих серверах. Странно, что Read на список страниц PDF вроде «6,9,15» отвечает ошибкой с советом читать каждую страницу или диапазон отдельно, хотя до исправления он молча возвращал только первую. На наш взгляд, честная ошибка лучше тихой потери, но поддержать сам список было бы удобнее.

Сколько проживёт режим legacy для MCP

Переменная MCP_PROTOCOL_NEGOTIATION=legacy пока остаётся запасным выходом для тех, у кого локальные серверы плохо переносят новую версию протокола. Срок, до которого её будут поддерживать, в заметках не назван. Неясно и то, что произойдёт с медленными серверами, когда истекут 7 дней, на которые Claude Code их запоминает: снова ли будет долгое подключение, решится уже в следующих сборках.