Claude Code 2.1.314: запрет записи, группы IdP и сжатие

Claude Code 30 октября вышел в версии 2.1.314 с настройкой permissions.blockWritesOutsideWorkingDirectories: с ней Write, Edit и NotebookEdit отказываются писать за пределы рабочих каталогов в любом режиме разрешений. Если правки агента должны оставаться внутри проекта, обновитесь и включите её: сама по себе настройка ничего не запрещает.

Кроме неё, в списке изменений на GitHub есть пункты для администраторов шлюза Claude apps, сжатие простаивающих длинных разговоров и несколько исправлений, которые касаются скриптов и CI. Остальное - мелкие правки vim-режима, Remote Control, расширения для VS Code и Claude Tag в Slack.

Где проходит граница

Запрет действует во всех режимах разрешений, в том числе там, где Claude ничего не спрашивает. Начиная с 2.1.311, из режима без подтверждений отдельной переменной можно убрать даже запрет на rm -rf ~, а для правок через Write, Edit и NotebookEdit новая настройка держит границу каталога и в таком режиме. За команды шелла отвечает песочница, и в этом релизе её защита начала работать в worktree, куда сессия попадает через claude -p --resume или --continue. Раньше там она не применялась.

Файловые инструменты Claude теперь спрашивают разрешения, прежде чем править локальную копию серверных управляемых настроек организации, так же как с вашими собственными файлами настроек. Файл, исключённый через --setting-sources, раньше всё равно подкидывал часть настроек, например правила auto mode и сохранённые согласия на действия. Это исправлено.

Тем, кто страхует Bash хуками, пригодится ещё одно исправление: хуки с матчером Bash теперь срабатывают и на командах шелла, которые запускает инструмент Monitor. Заблокировать такую команду или запросить подтверждение они могут, одобрить или переписать её нельзя. Условия if вида Monitor(tail *) сопоставляются с командами Monitor так же, как Bash(tail *) с командами Bash.

Что получили администраторы

Шлюз Claude apps AWS в своём описании называет самостоятельно развёрнутым слоем управления между Claude Code или Claude Desktop и Amazon Bedrock, с централизованным контролем входа, доступа к моделям и расходов. В 2.1.314 у апстримов шлюза появился необязательный список groups: к такому апстриму попадают только разработчики из перечисленных групп IdP, корпоративного каталога пользователей, и правило соблюдается при переключении на резерв. У апстримов Bedrock появился guardrail_trace: в лог пишется, какой фильтр Amazon Bedrock Guardrails сработал на запросе, без самого совпавшего текста. Апстрим Vertex перестал минутами висеть, когда токен-эндпоинт Google принимает соединение и не отвечает.

Серьёзнее выглядит исправление forceRemoteSettingsRefresh. Если флаг стоял только в удалённых управляемых настройках, он переставал действовать, как только сохранённая копия устаревала, и при недоступном сервере сессии стартовали вовсе без политики. Заодно настройки доверия TLS из управляемых настроек начали применяться в сессиях Claude Desktop, а предложение обновить модель на Bedrock и Vertex перестало всплывать при каждом запуске, когда модель закреплена политикой.

Если админ ограничил effort модели, сессия раньше падала на каждом шаге с «Invalid effort level». Теперь Claude Code сам понижает уровень, повторяет запрос и сообщает, какой уровень выбрал. Запросы, помеченные фильтром, уходят повторно на другую модель вместо отказа, когда ANTHROPIC_DEFAULT_OPUS_MODEL, availableModels или deniedModels оставляют только старую Opus или ни одной. На Microsoft Foundry сессии не падают, если у ресурса нет деплоя дефолтной Sonnet, Opus или Haiku: Claude Code берёт более старую модель того же семейства.

Длинные сессии и сжатие

В VS Code и на вкладке Code в Claude Desktop появилось сжатие при простое: разговор на 200K токенов и больше, оставленный без дела, сворачивается в сводку. Её подставят в ваше следующее сообщение, если кэш промпта к тому времени истёк. Работает это и у подписчиков с выключенной телеметрией, а на Bedrock, Vertex, Foundry и за LLM-шлюзами - после включения часового кэша промпта.

На Bedrock сессии с большим количеством картинок падали на каждом шаге и на /compact с ошибкой «400 Input is too long.». Теперь старые изображения удаляются, и сжатие проходит. Вывод каждого хука PreCompact обрезается до 10 000 символов: слишком длинный вывод ломал сжатие или заставлял его повторяться. В долгих headless- и SDK-ходах с множеством субагентов родительская сессия перестала держать результаты инструментов каждого субагента до конца хода, и памяти уходит меньше.

Скрипты, CI и чужие шлюзы

За LLM-шлюзом ID модели с точкой, например claude-opus-4.8, принимался за более старую модель, и с ним шли неверные окно контекста, лимит вывода, effort, режим размышлений и расчёт стоимости. Если шлюз или облачный провайдер отвергает один из бета-заголовков Claude Code, запрос уходит повторно без него. Если шлюз не принимает блоки tool_reference поиска инструментов, запрос один раз повторяется без поиска, и сессия это запоминает.

FORCE_HYPERLINK=false, а также no и off теперь выключают гиперссылки. До этого такое значение их включало. claude ultrareview и claude remote-control в CI-задаче с терминалом задавали вопрос о доверии к папке, а при выставленной CI они сразу отказываются работать в недоверенной. «Continue automatically at usage limit» перестал продолжать больше трёх раз без вашего ответа, когда задача перезапускалась между ожиданиями.

Если старт не удавался, claude -p завершался с кодом 0 и ничего не выводил. Теперь он печатает ошибку и выходит с кодом 1, а скрипт, проверявший только код возврата, перестанет принимать такой сбой за успешный запуск.