Ing. Calogero Bono
Anthropic ha pubblicato su GitHub la versione 2.1.325 di Claude Code, lo strumento da riga di comando per programmare con l'IA. La release corregge un problema di sicurezza nel modo in cui vengono decodificate le risposte compresse con zstd. Il resto dell'elenco è lungo e tocca permessi, sessioni, login, server MCP e telemetria. Per chi usa lo strumento in azienda o su server condivisi conta soprattutto per le regole di blocco, che in alcuni casi non si applicavano come previsto.
Qualche termine, prima di entrare nei fatti. zstd è un formato di compressione dei dati, usato anche nelle risposte di rete. MCP è il protocollo con cui Claude Code si collega a strumenti e servizi esterni. Subagent è un agente secondario lanciato dalla sessione principale. Worktree è una copia di lavoro aggiuntiva dello stesso repository git. OpenTelemetry è lo standard per raccogliere eventi e metriche di utilizzo.
Che problema di sicurezza risolve la 2.1.325?
Le note di rilascio ufficiali dicono solo che è stato corretto un problema di sicurezza nella decodifica delle risposte compresse con zstd. Non indicano né gravità né modalità di sfruttamento.
Il resto dei fix di sicurezza riguarda i permessi. Le regole di blocco relative, come Read(./.env), smettevano di coprire il progetto dopo un cambio di cartella con cd. Ora valgono anche nelle cartelle aggiunte.
Altre correzioni riguardano le regole deny e ask con prefisso mcp__plugin_, che non intercettavano server o strumenti scritti con maiuscole diverse. Le regole deny, inoltre, non venivano applicate a un'approvazione arrivata dopo un riavvio, nelle sessioni su runner self-hosted e in remote-control.
Quali bug sui permessi e sulla privacy sono stati chiusi?
Un file .claude/settings.local.json finito per errore nel repository poteva essere trattato come impostazione personale dell'utente, quando Claude Code partiva in certe sottocartelle. Sul tema dei file di impostazioni abbiamo già scritto in questo approfondimento.
Su Amazon Bedrock il conteggio dei token inviava la conversazione al servizio anche quando l'impostazione gestita allowedProviders non lo consentiva. Le sessioni in background avviate con il login claude.ai potevano usare, e fatturare, una chiave API o un token della shell che aveva lanciato il servizio.
I comandi /feedback e /bug ora caricano altre sessioni solo se registrate dall'account o dall'organizzazione collegati. Un'impostazione di una slash command, allowed-tools, non si estende più agli agenti in background svegliati dopo.
Cosa cambia per i server MCP e i task in background?
La parte MCP è la più nutrita. Un server restava in stato di autenticazione richiesta, con gli hook mcp_tool saltati, dopo un rinnovo del token rifiutato solo per un istante. Le richieste di elicitation venivano annullate senza chiedere in modalità headless dopo la sostituzione della connessione.
Le chiamate dagli host SDK rispondevano "Not connected" dopo una riconnessione. Un task MCP poteva bloccarsi se la domanda veniva chiusa con Esc. Ora il piè di pagina indica che serve il tuo input, e Invio in /tasks ripropone la domanda.
La domanda di un task in background non si apre più sopra il messaggio che stai scrivendo. Resta in attesa finché non invii o cancelli la bozza. Correzioni simili toccano i connettori Atlassian, Asana e Sentry nelle sessioni cloud, dove venivano dati per falliti pur funzionando.
Sulle novità di Code Mode e dei task MCP c'è la nostra copertura della 2.1.323.
Quali problemi di sessioni, modelli e login sono stati sistemati?
Sui modelli, i subagent con un modello proprio venivano spostati su quello del plan mode se l'impostazione era opusplan o haiku. Quelli su un altro modello dimensionavano le letture di file e i risultati MCP con il modello della sessione principale. Su molti gateway di terze parti e su Foundry le sessioni si fermavano con un errore di lunghezza del contesto a ogni turno, invece di compattarsi. Sul tema gateway ricordiamo anche la release 2.1.319.
Sul login, claude auth status e altri comandi brevi lasciavano un lock su un profilo Console, e la sessione successiva restava appesa circa un minuto. Premere Esc subito dopo il passaggio nel browser in /login sostituiva il login esistente. Sono stati poi eliminati i file .oauth_refresh.lock.owner.tmp.* che si accumulavano.
Tra i fix minori, /stats contava un giorno attivo in più e /insights scriveva due valori nel report HTML senza escaping.
Limiti da conoscere
Le note di rilascio non spiegano la falla zstd. Non sappiamo quali versioni precedenti fossero colpite né se ci siano stati abusi. Molte voci sono descritte in modo sintetico e solo i test sul tuo flusso di lavoro dicono se ti riguardano. L'elenco nella fonte risulta inoltre troncato, quindi alcune ultime correzioni non sono qui riportate.
Cosa cambia per chi lavora con il digitale
Se usi Claude Code in team, aggiorna e ricontrolla le regole deny e ask. Chi aveva regole relative dopo un cd poteva avere una copertura più stretta del previsto. Chi lavora dietro gateway o con Bedrock ha correzioni su contesto e flusso dei dati. Chi usa un runner self-hosted dovrebbe verificare il comportamento dopo i riavvii. Anche la telemetria OpenTelemetry è più completa, con l'evento user_prompt per i messaggi inviati durante le chiamate agli strumenti.
Il nostro parere
Una release con così tante correzioni su permessi e flussi di dati dice che lo strumento è ormai un componente di infrastruttura, non un giocattolo da terminale. È un bene che i fix vengano elencati con precisione, ma la riga sulla falla zstd è troppo avara. Chi gestisce sistemi vorrebbe sapere almeno quali versioni sono esposte. Finché non c'è un avviso di sicurezza dedicato, la regola resta aggiornare presto e non fidarsi delle sole regole di blocco.
Domande frequenti
Cosa corregge Claude Code 2.1.325?
Corregge un problema di sicurezza nella decodifica zstd e decine di bug. Riguardano permessi, sessioni, login, server MCP, telemetria e interfaccia.
La falla zstd è grave?
Non lo sappiamo. Le note ufficiali la citano in una riga, senza gravità, versioni colpite o dettagli di sfruttamento.
Le regole deny funzionano meglio ora?
Sì, in diversi casi. Le regole relative restano valide dopo un cd, quelle con prefisso mcp__plugin_ ignorano le maiuscole e le deny valgono dopo un riavvio nei runner self-hosted.
Cambia qualcosa per Amazon Bedrock?
Sì. Il conteggio dei token non invia più la conversazione a Bedrock quando l'impostazione allowedProviders non lo permette.
Devo aggiornare subito?
In genere sì, soprattutto se usi Claude Code in team o su server. La correzione di sicurezza e quelle sui permessi sono motivi sufficienti.
Cosa aspettarsi dopo la 2.1.325 sulla sicurezza
Il ritmo di rilascio resta alto e le correzioni sui permessi sono frequenti. Conviene seguire cosa dirà Anthropic sulla falla zstd.
- Controlla se Anthropic pubblica un avviso di sicurezza con le versioni colpite dalla falla zstd.
- Leggi le note delle prossime release cercando voci su permessi e regole deny, come nella 2.1.314.
- Verifica nei log OpenTelemetry che l'evento user_prompt con delivery.mode mid_turn arrivi come previsto.
