Ing. Calogero Bono
Anthropic ha pubblicato su GitHub la versione 2.1.314 di Claude Code, lo strumento che lavora sul codice da terminale, da VS Code e da Claude Desktop. La novità più concreta è una nuova impostazione di permessi che impedisce a Claude di scrivere file fuori dalle cartelle di lavoro. Il resto è un lungo elenco di correzioni, molte pensate per chi usa Claude Code dentro un'azienda, con gateway, cloud provider e regole centralizzate. Conta perché sono proprio i dettagli di sicurezza e di gestione a decidere se uno strumento del genere entra o no in un team.
Qualche termine, prima di entrare nei fatti. Un gateway è un server intermedio che sta tra gli sviluppatori e i modelli, e permette all'azienda di controllare chi usa cosa. Un IdP (identity provider) è il sistema che gestisce le identità e i gruppi di utenti. Bedrock, Vertex e Foundry sono i servizi cloud di Amazon, Google e Microsoft da cui si possono usare i modelli. Una compattazione è il riassunto di una conversazione lunga, per non riempire la memoria del modello. Un hook è uno script che scatta in un momento preciso, per esempio prima di un comando.
Cosa fa il blocco delle scritture fuori cartella?
Secondo le note di rilascio sul repository ufficiale di Claude Code, la nuova impostazione si chiama permissions.blockWritesOutsideWorkingDirectories. Quando è attiva, gli strumenti Write, Edit e NotebookEdit rifiutano i percorsi che stanno fuori dalle cartelle di lavoro, in ogni modalità di permesso.
Il dettaglio finale è quello che pesa. Finora anche con regole severe, il comportamento dipendeva dalla modalità scelta. Qui la nota dice che il rifiuto vale in ogni modalità, quindi anche quando l'utente ha scelto di lasciare più libertà all'agente. Il nome dell'opzione fa capire che è facoltativa e va attivata.
Nello stesso solco vanno alcune correzioni sul sandbox. La descrizione di sandbox.excludedCommands diceva che i comandi elencati girano sempre fuori dal sandbox, mentre ora precisa che ogni comando di una chiamata deve corrispondere a una voce. Inoltre le protezioni del sandbox non si applicavano a un worktree aperto con claude -p --resume o --continue, e ora si applicano. Un'altra correzione riguarda un file di impostazioni escluso con --setting-sources che continuava a fornire alcune impostazioni, come le regole dell'auto mode e i consensi già salvati.
Cosa cambia per il gateway e per gli amministratori?
Il gateway delle app Claude riceve una novità pensata per le organizzazioni. Ogni upstream, cioè ogni destinazione verso cui il gateway instrada le richieste, può avere una lista facoltativa di gruppi. Solo gli sviluppatori dei gruppi IdP elencati vengono mandati a quell'upstream, anche in caso di failover, cioè quando il gateway passa a un'alternativa dopo un guasto.
Per gli upstream Bedrock arriva guardrail_trace. Serve a registrare quale filtro dei guardrail di Amazon Bedrock è scattato su una richiesta, senza salvare il testo che ha fatto scattare il filtro. È un compromesso utile per chi deve capire perché una richiesta è stata bloccata senza conservare dati sensibili nei log.
Diverse correzioni riguardano le impostazioni gestite dagli amministratori.
- Le impostazioni TLS definite da un amministratore non venivano applicate nelle sessioni di Claude Desktop, e ora lo sono.
- Con forceRemoteSettingsRefresh impostato solo nelle impostazioni remote, una copia salvata scaduta non veniva più applicata. Le sessioni potevano partire senza policy se il server non era raggiungibile.
- Su macchine con plugin gestiti, il cambio di modello veniva rifiutato se un plugin personale aveva un manifest rotto o un download fallito.
- Se un amministratore limita il livello di effort di un modello, Claude Code abbassa l'effort, riprova e dice quale livello usa. Prima le sessioni fallivano a ogni turno.
Un upstream Vertex del gateway poteva inoltre restare appeso per minuti quando un endpoint di token Google accettava la connessione senza rispondere. Anche questo è corretto.
Quali correzioni riguardano Bedrock, Foundry e Vertex?
La release contiene parecchi interventi per chi non usa direttamente le API di Anthropic.
Bedrock
Le sessioni Bedrock con molte immagini fallivano a ogni turno, e anche /compact, con un errore di input troppo lungo. Ora Claude Code rimuove le immagini più vecchie e compatta. Un'altra correzione riguarda l'offerta di aggiornamento del modello su Bedrock e Vertex, che tornava a ogni avvio anche quando le impostazioni gestite bloccavano il modello.
Microsoft Foundry
Le sessioni fallivano quando la risorsa non aveva un deployment per il modello Sonnet, Opus o Haiku predefinito. Ora Claude Code ripiega su un modello più vecchio della stessa famiglia.
Gateway di terze parti
Se un gateway non accetta i blocchi tool_reference della ricerca strumenti, la richiesta viene rinviata una volta senza quella funzione e la sessione se lo ricorda. Lo stesso vale quando un gateway o un provider rifiuta per nome uno degli header beta di Claude Code, con nuovo invio senza quell'header. Gli ID di modello scritti con il punto, come claude-opus-4.8, venivano trattati come un modello più vecchio, con finestra di contesto, limite di output, effort, modalità di ragionamento e costo sbagliati. Ora no.
Sul fronte dei certificati, le connessioni TLS fallivano con UNABLE_TO_GET_ISSUER_CERT quando l'archivio di sistema conteneva un certificato radice rinnovato e firmato in modo incrociato con il predecessore. Anche questo è sistemato.
Cosa cambia nell'uso di ogni giorno?
Per chi scrive codice, la novità visibile è la compattazione a riposo in VS Code e nella scheda Code di Claude Desktop. Una conversazione di oltre 200K token lasciata inattiva viene riassunta, e il riassunto viene usato al messaggio successivo se la cache del prompt è scaduta.
Poi c'è una serie di correzioni da terminale e da CI.
- claude -p usciva con codice 0 e nessun output se l'avvio falliva. Ora stampa l'errore ed esce con 1, e questo conta per gli script.
- claude ultrareview e claude remote-control non fanno più la domanda sulla fiducia nella cartella in un job CI con terminale. Con CI impostata rifiutano subito una cartella non fidata.
- Un hook PreCompact con output molto grande faceva fallire o ripetere la compattazione. L'output di ogni hook è ora tagliato a 10.000 caratteri.
- Gli aggiornamenti del diff in background prendevano per un attimo il lock dell'indice del repository, e questo poteva far fallire un comando git eseguito nello stesso momento.
- Gli hook che intercettano Bash non scattavano sui comandi avviati dallo strumento Monitor. Ora scattano, ma possono bloccare o chiedere conferma, non approvare né riscrivere quei comandi.
Il resto sono rifiniture di interfaccia, tra tabelle markdown, modalità vim, selezione degli agenti, incolla di testo e immagini, titoli delle sessioni e dialoghi di permesso.
Limiti da conoscere
La nota di rilascio che abbiamo a disposizione è troncata alla fine, quindi non possiamo escludere altre voci. Non abbiamo la data di pubblicazione e non c'è documentazione estesa dell'impostazione sulle scritture. Non sappiamo se sia attiva di default, e il testo suggerisce di no. Non sappiamo nemmeno come venga definita nel dettaglio una cartella di lavoro, per esempio con link simbolici o repository collegati.
Sono dichiarazioni del produttore, non test indipendenti. Un blocco sugli strumenti di scrittura non dice nulla su ciò che può fare un comando di shell, che segue le regole del sandbox. Va letta con cautela anche la frase sugli hook su Monitor, perché cambia cosa un hook può promettere.
Cosa cambia per chi lavora con il digitale
Se gestisci un team, la prima cosa da fare è leggere l'elenco e capire quali correzioni toccano il tuo caso. Chi usa Bedrock con molte immagini, Foundry con deployment parziali o un gateway aziendale trova correzioni dirette. Chi invece lavora da solo e usa il piano base vede soprattutto la compattazione a riposo e le rifiniture.
Per un'agenzia o una software house, la regola sulle scritture è un argomento da portare ai clienti. Fa capire che un agente può essere confinato nel progetto, utile quando sullo stesso computer ci sono più repository o file di configurazione. Resta valido il principio di fondo, cioè che un agente va trattato come un collaboratore con accessi minimi. Lo abbiamo visto anche nel caso dell'estensione trojanizzata di Claude Code su Cursor con backdoor SSH, dove il rischio veniva dal contorno dello strumento.
Chi manda in CI script con claude -p deve ricontrollare i codici di uscita. Un errore che prima passava come successo ora fermerà la pipeline, ed è la cosa giusta, ma può sorprendere. Se poi fai girare ambienti di sviluppo su server tuoi, ricorda che anche la macchina conta, e per questo servono server gestiti con aggiornamenti di sicurezza.
Il nostro parere
Questa release dice molto sulla fase in cui sono gli agenti di programmazione. Le funzioni nuove sono poche, mentre la parte grossa è fatta di correzioni su casi limite, proxy, certificati, policy e fallback. È il segno di uno strumento che sta uscendo dal portatile del singolo sviluppatore ed entra in contesti dove nulla può restare ambiguo.
Il blocco delle scritture fuori cartella è la scelta giusta, ma ci lascia due dubbi. Il primo è che sia opzionale. Una protezione che bisogna conoscere per attivarla protegge soprattutto chi è già attento. Il secondo è che il tema dei permessi richieda così tante correzioni, tra impostazioni escluse che continuavano a valere e hook che non scattavano. Non è una colpa, ma ricorda che i controlli vanno verificati e non dati per scontati.
Resta la questione di chi controlla il codice generato. Un agente più confinato non sostituisce la revisione umana, e per questo restano utili le pratiche di pull request e code review su GitHub e gli strumenti di AI per la code review.
Domande frequenti
Cosa fa permissions.blockWritesOutsideWorkingDirectories?
Fa rifiutare a Write, Edit e NotebookEdit i percorsi fuori dalle cartelle di lavoro. Secondo le note di rilascio vale in ogni modalità di permesso. Non abbiamo dettagli su come vengano trattati casi particolari come i link simbolici.
Il blocco è attivo di default?
Le note non lo dicono in modo esplicito. Parlano di una nuova impostazione aggiunta, quindi è prudente verificarla nella tua configurazione. Controlla la documentazione ufficiale prima di dare per scontata la protezione.
Chi usa Bedrock o Foundry deve aggiornare?
Se hai incontrato i problemi descritti, sì. La release corregge le sessioni Bedrock con molte immagini e il caso Foundry senza deployment per il modello predefinito. Prima di aggiornare i computer di tutto il team, prova la versione su una macchina.
Cosa sono i gruppi sugli upstream del gateway?
Sono una lista facoltativa di gruppi IdP legata a ogni upstream. Solo gli sviluppatori di quei gruppi vengono instradati lì, anche in failover. Serve a separare chi può usare quali destinazioni.
La compattazione a riposo si può usare ovunque?
No, secondo la nota è stata aggiunta a VS Code e alla scheda Code di Claude Desktop. Riguarda conversazioni oltre 200K token lasciate inattive. Il riassunto viene usato solo se la cache del prompt è scaduta.
Cosa guardare nei prossimi mesi, tra permessi e agenti in azienda
Il tema non è questa release ma la direzione. Gli agenti avranno sempre più controlli centralizzati, e conviene prepararsi ora.
- Verifica la tua configurazione dei permessi e decidi se attivare il blocco delle scritture fuori cartella, magari prima su un progetto di prova.
- Controlla gli script CI che usano claude -p, perché ora un errore di avvio esce con codice 1 e può fermare la pipeline.
- Se usi un gateway o un cloud provider, rileggi la lista completa delle correzioni e confronta i casi con i tuoi log. Per capire i costi dei diversi fornitori, leggi anche il confronto tra Claude e OpenAI, e tieni a mente che gli errori in corso su più modelli possono capitare anche a te.
