Claude Code выдаёт домены отдельно каждой команде

В Claude Code 2.1.271 от 14 сентября команды в авто-режиме с песочницей получают доступ в сеть адресно. У каждого вызова Bash, PowerShell или Monitor теперь свой список разрешённых хостов, и этот список проверяется вместе с самой командой.

Полный перечень изменений лежит в списке изменений релиза на GitHub, пунктов в нём несколько десятков. Среди них быстрый режим в удалённых сессиях, новый порядок отчёта субагентов в авто-режиме, четыре исправления проверки прав в Bash и заметная пачка исправлений про политики организаций.

Домены под команду

Пункт в changelog звучит так:

Для Bash, PowerShell и Monitor в авто-режиме с песочницей добавлен параметр allowed_domains на уровне команды: хосты, которые нужны команде, проверяются вместе с ней и открываются только для неё; остальные хосты отклоняются.

Здесь работают два слоя. Авто-режим решает, нужно ли спрашивать человека. Сначала применяются собственные правила пользователя (deny, ask, allow), рутинная локальная работа вроде чтения и правки файлов в папке проекта одобряется сразу, а всё остальное уходит классификатору: shell-команды, сетевые запросы, действия за пределами папки. Песочница отвечает за другое: на уровне ОС она ограничивает, до каких файлов и адресов дотянется уже запущенная команда.

Как сказано в документации Claude Code, по умолчанию классификатор доверяет только рабочему каталогу и настроенным remotes текущего репозитория. Пуш в git-организацию компании или запись в командный облачный бакет блокируются, пока их не добавят в autoMode.environment. Новый параметр работает на уровне отдельного вызова: классификатор видит команду и хосты, которые ей понадобятся, одновременно, а после одобрения сеть открывается только для этой команды. Запрос к адресу вне списка отклоняется.

Раньше сетевые запросы песочницы в авто-режиме решались иначе. В issue на GitHub приводится строка из changelog версии 2.1.97: авто-режим и режим bypass-permissions стали автоматически одобрять запросы песочницы на сетевой доступ. Там же отмечено, что документация по песочнице описывала запросы к новым доменам как повод для подтверждения, если не включён allowManagedDomainsOnly, который блокирует неразрешённые домены автоматически.

Похожая настройка появилась и у облачных окружений. В редакторе Cloud environments в админ-настройках добавили вариант Custom network access с тем же списком разрешённых доменов, что уже был в диалоге окружения на claude.ai/code.

Что ещё поменяли в авто-режиме

Встроенные !-команды внутри скиллов и slash-команд в авто-режиме теперь обходят классификатор и подчиняются правилам обычного режима. Команда, по которой ни одно правило не выносит решения, выполняется как обычный вызов инструмента и проходит проверку. Субагент сдаёт результат вызывающему агенту через отдельный вызов, который проверяет классификатор безопасности. Раньше классификатор смотрел последнее сообщение субагента уже после того, как оно было отправлено.

В облачных сессиях исправили ошибку, из-за которой отклонялись все вызовы инструментов субагентов с сообщением «updatedInput … failed schema validation». Она появлялась, если одобрение workflow или агента применялось после перезапуска воркера сессии.

У слежений Monitor теперь обязательный дедлайн: не больше 30 минут, а в одиночных прогонах -p не больше 10. Когда время выходит, Claude получает уведомление и может завести слежение заново. Опцию persistent, которая работала без тайм-аута, убрали.

Четыре исправления касаются проверки прав в Bash. Проверка пропускала файл, который читают fmt, column и похожие команды, если он шёл после незнакомой ей опции. Она не учитывала файлы, в которые раскрывается wildcard в шаблоне или значении опции (пример из changelog: grep -v dir/* file). Флаги объявления переменных в shell могли исказить то, какая команда на самом деле запускается. А команды с двумя сменами каталога, подоболочкой или цепочкой cd и git в режимах bypass и auto обходили запрос подтверждения при включённом permissions.blockReadsOutsideWorkingDirectories.

С 14 августа новые сессии на планах Pro, Max и Team стартуют в авто-режиме. Как research preview он появился в марте 2026 года.

Быстрый режим и политики организации

Быстрый режим добрался до сессий Claude Code Remote, облачных и на self-hosted runners. Его включает настройка fast mode на хосте или команда /fast в самой сессии, если организация такое разрешает. Рядом исправили три ошибки. Если у организации быстрый режим выключен, /fast off отвечал «Fast mode unavailable», а сам режим не выключался. Сессии с CLAUDE_CODE_SKIP_FAST_MODE_ORG_CHECK после отказа API заново отправляли быстрые запросы на каждом ходе: теперь отказ остаётся в силе и показывается его причина. А под CLAUDE_CODE_RETRY_WATCHDOG ход падал на лимите usage credits или повторял запрос при перегрузке на быстрой скорости, хотя должен был откатиться на стандартную.

Политика организации кэшировалась и подхватывалась снова после смены аккаунта, организации или API-ключа. Если учётные данные менялись посреди сессии, политика не обновлялась до ежечасной проверки. Список инструментов и команд не перестраивался, когда политика догружалась после старта или менялась на ходу. Нечитаемый или битый корпоративный managed-mcp.json раньше просто игнорировался. Теперь он сохраняет исключительный контроль над MCP: пользовательские, проектные и плагинные серверы не загружаются, а при старте выводится предупреждение. Сторонние локальные прокси, заданные через ANTHROPIC_UNIX_SOCKET, снова считаются обычными кастомными шлюзами, в том числе для Remote Control. До исправления политика организации запрашивалась через них, и прокси её отклоняли.

Для внутреннего биллинга в modelPricing и в блоке цен шлюза Claude apps теперь можно ставить множитель больше 1, до 10, чтобы закладывать наценку во внутренние ставки. Сессии через шлюз Claude apps, Bedrock, Vertex AI и Foundry перестали обновлять оставшийся вход в claude.ai, которым они не пользуются.

Субагенты, плагины и runners

Параметр omitClaudeMd в frontmatter агента и в JSON для --agents запускает кастомных и плагинных субагентов без пользовательского, проектного и локального CLAUDE.md. Управляемые policy-файлы при этом загружаются.

У claude plugin install и claude plugin update появился флаг --accept-command <sha256>, альтернатива -y. Он подтверждает ровно ту команду, которую показал предыдущий прогон с --json.

Self-hosted runners получили два изменения. Флаг --drain-marker-file <path> срабатывает, если файл существует в момент остановки по SIGTERM: runner сообщает серверу, что выход вызван выводом хоста из работы, и эта отметка идёт только в телеметрию. Ещё исправили ошибку, при которой сессии на runner молча теряли всю конфигурацию хоста (настройки, скиллы, плагины, MCP-серверы), если каталог конфигурации был больше 64 MiB. Вместе с исправлением добавили флаг --host-config-snapshot disk|memory.

Лимиты, которые сдвинулись

• Сколько опубликованных артефактов одна сессия отслеживает на предмет републикаций: было 5, стало 10.
• Ориентир для среднего размера динамического workflow: было 15 агентов, стало 10. На планах Pro размер по умолчанию теперь small.

Динамические workflow при упоре в лимит использования встают на паузу и продолжают работу после его сброса. Раньше затронутые агенты просто отваливались. claude mcp serve каждые 30 секунд шлёт клиенту прогресс по выполняемому вызову, поэтому длинная команда без вывода не обрывается по idle-тайм-ауту. Панель /config в полноэкранном режиме понимает мышь: колесо прокручивает список, клик по значению меняет его, строка под курсором подсвечивается.

И одно исправление для тех, кто возвращается к старым разговорам: /resume и /teleport сохраняли учёт прочитанных файлов от предыдущего разговора, и Claude мог править файлы, которые возобновлённый разговор ни разу не читал.