Claude Code 2.1.319 сужает auto mode за LLM-шлюзами

В Claude Code 2.1.319, вышедшем 6 ноября, auto mode за LLM-шлюзом и при выключенных телеметрии или флагах функций перестал откатываться на встроенный классификатор: вызов, который сервер не может проверить, теперь требует подтверждения или отклоняется. Если вы работаете через свой шлюз и хотите оставить классификатор, задайте CLAUDE_CODE_AUTO_MODE_SERVER=0. На Bedrock, Vertex и Foundry поведение прежнее.

Та же переменная работает и в обратную сторону: по списку изменений на GitHub, CLAUDE_CODE_AUTO_MODE_SERVER=1 включает серверную проверку за шлюзом даже при заданной CLAUDE_CODE_DISABLE_EXPERIMENTAL_BETAS. Если вторую переменную выставляют managed settings, первую им придётся выставить там же.

Что ещё в auto mode

До этой версии /status мог показывать «Auto mode server: Enabled», когда серверная проверка до сессии не доходила, например за шлюзом, который её отбрасывает. Ошибку в этой строке исправили. Закрыт и случай, когда CLAUDE_CODE_AUTO_MODE_SERVER=1 в managed settings игнорировался: адрес шлюза был задан только там, а серверные managed settings загрузить не удавалось.

Тем, кто выключает серверную проверку сознательно, пригодится другая поправка: если она выключена вне проекта, файлы настроек проекта или плагин включить её обратно не смогут.

Появилась и переменная CLAUDE_CODE_DISABLE_FEATURE_FLAGS: она останавливает загрузку флагов функций, не трогая телеметрию, и все флаги берут встроенные значения по умолчанию.

Скрипты и CI

claude -p в auto mode, если его действия отклонены из-за недоступной проверки безопасности, выходит с кодом 1 и в текстовом, и в JSON-выводе; раньше код был 0. Для пайплайна за шлюзом без серверной проверки два изменения складываются: вызов, который нечем проверить, отклоняется, и прогон падает, а не проходит молча.

Если агент вообще не должен ждать человека, есть новая настройка permissions.denyInsteadOfPrompting: вызов, который упёрся бы в запрос прав, отклоняется, и ход продолжается. Она действует в терминальных сессиях, у субагентов и teammates.

Ещё две поправки с кодами выхода. claude -p --resume с промптом при отсутствующем MCP-сервере выходит с кодом 1 и сохраняет отложенный вызов инструмента, а claude remote-control без ответа на вопрос первого запуска объясняет причину и возвращает 1, хотя раньше молча выходил с 0. Скриптам с /loop, где агент сам выбирает темп, тоже есть что проверить: цикл заканчивается, когда ход завершился без нового расписания, а прежнее запасное пробуждение возвращает CLAUDE_CODE_LOOP_KEEPALIVE=1.

Права и песочница

В Bash закрыли обход проверки прав через подложенный префикс окружения, который прятал часть команды. Исправлены и случаи, когда команда sed в режимах accept-edits и auto mode могла миновать проверку прав, а правила deny и ask пропускали команды со словами в кавычках.

Вне Bash устранён побег из песочницы при создании worktree, а /rewind не сможет восстановить или удалить файл через символическую ссылку на каталог. На self-hosted runner флаг --trust-workspace false блокирует ещё и хуки из файлов настроек и навыков репозитория.

Точное правило ask для команды Bash или PowerShell в сессии теперь отклоняет её, если команду покрывает более широкое правило deny. which с флагами вне набора для поиска и вывода спрашивает разрешения, а WebSocket-наблюдение в Monitor подчиняется правилам Bash на каждой команде.

Кто платит за сессию

Когда вход claude.ai заканчивается и Claude Code продолжает работу на входе из ant auth login, появляется предупреждение: расход в этом случае идёт на организацию в Claude Console, и её название Claude Code показывает при старте.

Администраторы шлюза Claude apps получили admin.pooled_conflict_rule и admin.pooled_priority_order: они задают, какой групповой бюджет платит первым за разработчика, который состоит в нескольких группах. У разработчиков без лимита расходов /usage показывает траты за сегодня, неделю и месяц, если шлюз обновлён до этой версии. Остальные изменения шлюза, от JSON-логов до новых предупреждений при старте, собраны в полном списке.

MCP-задачи уходят в фон

MCP-серверы на старой версии рукопожатия снова подключаются: раньше они не подключались или отдавали пустые результаты, потому что Claude Code объявлял расширение, которое использует только с новыми серверами.

Когда MCP-сервер выполняет вызов инструмента как задачу, Claude Code в терминале сразу уводит её в фон и сообщает Claude результат по готовности. Поддержка MCP Tasks в CLI появилась 24 октября, а с 2.1.319 задачи работают и без загрузки флагов функций: на Bedrock, Vertex, Foundry, за LLM-шлюзами и с DISABLE_TELEMETRY. Выключает их CLAUDE_CODE_DISABLE_MCP_TASKS=1, а если нужно, чтобы Claude Code ждал задачу внутри самого вызова, задайте CLAUDE_CODE_DISABLE_MCP_TASK_BACKGROUND.