Ing. Calogero Bono
Anthropic ha publicado en GitHub la versión 2.1.314 de Claude Code, la herramienta que trabaja sobre el código desde la terminal, desde VS Code y desde Claude Desktop. La novedad más concreta es una nueva opción de permisos que impide a Claude escribir archivos fuera de las carpetas de trabajo. El resto es una larga lista de correcciones, muchas pensadas para quien usa Claude Code dentro de una empresa, con gateways, proveedores cloud y reglas centralizadas. Importa porque son precisamente los detalles de seguridad y de gestión los que deciden si una herramienta así entra o no en un equipo.
Algunos términos, antes de entrar en los hechos. Un gateway es un servidor intermedio que se sitúa entre los desarrolladores y los modelos, y permite a la empresa controlar quién usa qué. Un IdP (proveedor de identidad) es el sistema que gestiona las identidades y los grupos de usuarios. Bedrock, Vertex y Foundry son los servicios cloud de Amazon, Google y Microsoft desde los que se pueden usar los modelos. La compactación es el resumen de una conversación larga, para no llenar la memoria del modelo. Un hook es un script que se activa en un momento preciso, por ejemplo antes de un comando.
¿Qué hace el bloqueo de escrituras fuera de la carpeta?
Según las notas de la versión en el repositorio oficial de Claude Code, la nueva opción se llama permissions.blockWritesOutsideWorkingDirectories. Cuando está activa, las herramientas Write, Edit y NotebookEdit rechazan las rutas que quedan fuera de las carpetas de trabajo, en cualquier modo de permisos.
El detalle final es el que pesa. Hasta ahora, incluso con reglas estrictas, el comportamiento dependía del modo elegido. Aquí la nota indica que el rechazo vale en todos los modos, también cuando el usuario ha decidido dar más libertad al agente. El nombre de la opción deja claro que es opcional y que hay que activarla.
En la misma línea van algunas correcciones sobre el sandbox. La descripción de sandbox.excludedCommands decía que los comandos listados se ejecutan siempre fuera del sandbox, mientras que ahora aclara que cada comando de una llamada debe coincidir con una entrada. Además, las protecciones del sandbox no se aplicaban a un worktree abierto con claude -p --resume o --continue, y ahora sí se aplican. Otra corrección afecta a un archivo de configuración excluido con --setting-sources que seguía aportando algunos ajustes, como las reglas del modo automático y los consentimientos ya guardados.
¿Qué cambia para el gateway y para los administradores?
El gateway de las aplicaciones de Claude recibe una novedad pensada para las organizaciones. Cada upstream, es decir, cada destino al que el gateway envía las solicitudes, puede tener una lista opcional de grupos. Solo los desarrolladores de los grupos IdP indicados se envían a ese upstream, incluso en caso de failover, es decir, cuando el gateway pasa a una alternativa tras una caída.
Para los upstream de Bedrock llega guardrail_trace. Sirve para registrar qué filtro de los guardrails de Amazon Bedrock se ha activado en una solicitud, sin guardar el texto que ha provocado el filtro. Es un compromiso útil para quien necesita entender por qué se ha bloqueado una solicitud sin conservar datos sensibles en los registros.
Varias correcciones afectan a los ajustes gestionados por los administradores.
- Los ajustes TLS definidos por un administrador no se aplicaban en las sesiones de Claude Desktop, y ahora sí se aplican.
- Con forceRemoteSettingsRefresh establecido solo en los ajustes remotos, una copia guardada caducada dejaba de aplicarse. Las sesiones podían arrancar sin política si el servidor no era accesible.
- En equipos con plugins gestionados, el cambio de modelo se rechazaba si un plugin personal tenía un manifiesto roto o una descarga fallida.
- Si un administrador limita el nivel de esfuerzo de un modelo, Claude Code baja el esfuerzo, reintenta y dice qué nivel usa. Antes, las sesiones fallaban en cada turno.
Además, un upstream Vertex del gateway podía quedarse bloqueado durante minutos cuando un endpoint de tokens de Google aceptaba la conexión sin responder. Esto también está corregido.
¿Qué correcciones afectan a Bedrock, Foundry y Vertex?
La versión incluye numerosas intervenciones para quienes no usan directamente las API de Anthropic.
Bedrock
Las sesiones de Bedrock con muchas imágenes fallaban en cada turno, y también /compact, con un error de entrada demasiado larga. Ahora Claude Code elimina las imágenes más antiguas y compacta. Otra corrección afecta a la oferta de actualización del modelo en Bedrock y Vertex, que reaparecía en cada inicio aunque los ajustes gestionados bloquearan el modelo.
Microsoft Foundry
Las sesiones fallaban cuando el recurso no tenía un despliegue para el modelo Sonnet, Opus o Haiku predeterminado. Ahora Claude Code recurre a un modelo más antiguo de la misma familia.
Gateways de terceros
Si un gateway no acepta los bloques tool_reference de la búsqueda de herramientas, la solicitud se reenvía una vez sin esa función y la sesión lo recuerda. Lo mismo ocurre cuando un gateway o un proveedor rechaza por nombre alguna de las cabeceras beta de Claude Code, con un nuevo envío sin esa cabecera. Los ID de modelo escritos con punto, como claude-opus-4.8, se trataban como un modelo más antiguo, con una ventana de contexto, un límite de salida, un esfuerzo, unos modos de razonamiento y un coste incorrectos. Ahora ya no.
En cuanto a los certificados, las conexiones TLS fallaban con UNABLE_TO_GET_ISSUER_CERT cuando el almacén del sistema contenía un certificado raíz renovado y firmado de forma cruzada con su predecesor. Esto también está solucionado.
¿Qué cambia en el uso diario?
Para quien escribe código, la novedad visible es la compactación en reposo en VS Code y en la pestaña Code de Claude Desktop. Una conversación de más de 200K tokens que queda inactiva se resume, y el resumen se usa en el siguiente mensaje si la caché del prompt ha caducado.
Después hay una serie de correcciones para la terminal y para CI.
- claude -p terminaba con código 0 y sin salida si el arranque fallaba. Ahora muestra el error y sale con 1, y esto importa para los scripts.
- claude ultrareview y claude remote-control ya no hacen la pregunta de confianza en la carpeta dentro de un job de CI con terminal. Con CI definida, rechazan de inmediato una carpeta no confiable.
- Un hook PreCompact con una salida muy grande hacía fallar o repetir la compactación. La salida de cada hook se recorta ahora a 10.000 caracteres.
- Las actualizaciones del diff en segundo plano tomaban brevemente el bloqueo del índice del repositorio, y eso podía hacer fallar un comando git ejecutado en el mismo momento.
- Los hooks que interceptan Bash no se activaban con los comandos lanzados por la herramienta Monitor. Ahora sí se activan, pero pueden bloquear o pedir confirmación, no aprobar ni reescribir esos comandos.
El resto son retoques de interfaz, entre tablas markdown, modo vim, selección de agentes, pegado de texto e imágenes, títulos de sesiones y diálogos de permisos.
Límites que conviene conocer
La nota de la versión que tenemos está cortada al final, así que no podemos descartar otras entradas. No tenemos la fecha de publicación y no hay documentación extendida sobre la opción de escrituras. No sabemos si está activa por defecto, y el texto sugiere que no. Tampoco sabemos cómo se define en detalle una carpeta de trabajo, por ejemplo con enlaces simbólicos o repositorios vinculados.
Son declaraciones del fabricante, no pruebas independientes. Un bloqueo en las herramientas de escritura no dice nada sobre lo que puede hacer un comando de shell, que sigue las reglas del sandbox. Hay que leer con cautela también la frase sobre los hooks en Monitor, porque cambia lo que un hook puede prometer.
Qué cambia para quien trabaja con lo digital
Si diriges un equipo, lo primero es leer la lista y entender qué correcciones tocan tu caso. Quien usa Bedrock con muchas imágenes, Foundry con despliegues parciales o un gateway corporativo encuentra correcciones directas. Quien trabaja solo y usa el plan básico ve sobre todo la compactación en reposo y los retoques.
Para una agencia o una software house, la regla sobre las escrituras es un argumento que llevar a los clientes. Muestra que un agente puede quedar confinado al proyecto, algo útil cuando en el mismo ordenador hay varios repositorios o archivos de configuración. Sigue vigente el principio de fondo, es decir, que un agente debe tratarse como un colaborador con los accesos mínimos. Lo hemos visto también en el caso de la extensión troyanizada de Claude Code en Cursor con puerta trasera SSH, donde el riesgo venía del entorno de la herramienta.
Quien envíe scripts con claude -p a CI debe revisar los códigos de salida. Un error que antes pasaba como éxito ahora detendrá la pipeline, y es lo correcto, pero puede sorprender. Si además ejecutas entornos de desarrollo en tus propios servidores, recuerda que la máquina también importa, y para eso sirven los servidores gestionados con actualizaciones de seguridad.
Nuestra opinión
Esta versión dice mucho sobre la fase en la que están los agentes de programación. Las funciones nuevas son pocas, mientras que la parte grande son correcciones de casos límite, proxies, certificados, políticas y fallbacks. Es señal de una herramienta que sale del portátil del desarrollador individual y entra en contextos donde nada puede quedar ambiguo.
El bloqueo de escrituras fuera de la carpeta es la decisión acertada, pero deja dos dudas. La primera es que sea opcional. Una protección que hay que conocer para activarla protege sobre todo a quien ya es cuidadoso. La segunda es que el tema de los permisos necesite tantas correcciones, entre ajustes excluidos que seguían vigentes y hooks que no se activaban. No es una falta grave, pero recuerda que los controles deben verificarse y no darse por supuestos.
Queda la cuestión de quién revisa el código generado. Un agente más confinado no sustituye la revisión humana, y por eso siguen siendo útiles las prácticas de pull request y code review en GitHub y las herramientas de IA para la revisión de código.
Preguntas frecuentes
¿Qué hace permissions.blockWritesOutsideWorkingDirectories?
Hace que Write, Edit y NotebookEdit rechacen las rutas fuera de las carpetas de trabajo. Según las notas de la versión, vale en cualquier modo de permisos. No tenemos detalles sobre cómo se tratan casos particulares como los enlaces simbólicos.
¿El bloqueo está activo por defecto?
Las notas no lo dicen de forma explícita. Hablan de una nueva opción añadida, así que conviene comprobarla en tu configuración. Consulta la documentación oficial antes de dar por hecha la protección.
¿Quien usa Bedrock o Foundry debe actualizar?
Si has tenido los problemas descritos, sí. La versión corrige las sesiones de Bedrock con muchas imágenes y el caso de Foundry sin despliegue para el modelo predeterminado. Antes de actualizar los equipos de todo el grupo, prueba la versión en un ordenador.
¿Qué son los grupos de los upstream del gateway?
Son una lista opcional de grupos IdP asociada a cada upstream. Solo los desarrolladores de esos grupos se dirigen allí, incluso en failover. Sirve para separar quién puede usar qué destinos.
¿La compactación en reposo se puede usar en todas partes?
No, según la nota se ha añadido a VS Code y a la pestaña Code de Claude Desktop. Afecta a conversaciones de más de 200K tokens que quedan inactivas. El resumen solo se usa si la caché del prompt ha caducado.
Qué vigilar en los próximos meses, entre permisos y agentes en la empresa
El tema no es esta versión sino la dirección. Los agentes tendrán cada vez más controles centralizados, y conviene prepararse desde ahora.
- Revisa tu configuración de permisos y decide si activar el bloqueo de escrituras fuera de la carpeta, quizá primero en un proyecto de prueba.
- Revisa los scripts de CI que usan claude -p, porque ahora un error de arranque sale con código 1 y puede detener la pipeline.
- Si usas un gateway o un proveedor cloud, relee la lista completa de correcciones y compara los casos con tus registros. Para entender los costes de los distintos proveedores, lee también la comparativa entre Claude y OpenAI, y ten en cuenta que los errores en curso en varios modelos también pueden afectarte.
