Ing. Calogero Bono
Anthropic opublikowało na GitHubie wersję 2.1.314 Claude Code, narzędzia, które pracuje z kodem z terminala, z VS Code i z Claude Desktop. Najbardziej konkretna nowość to nowe ustawienie uprawnień, które uniemożliwia Claude zapisywanie plików poza folderami roboczymi. Reszta to długa lista poprawek, wiele z nich przeznaczonych dla osób korzystających z Claude Code w firmie, z bramkami, dostawcami chmury i scentralizowanymi regułami. To właśnie szczegóły dotyczące bezpieczeństwa i zarządzania decydują, czy takie narzędzie trafi do zespołu.
Kilka pojęć, zanim przejdziemy do faktów. Gateway to pośredni serwer, który stoi między programistami a modelami i pozwala firmie kontrolować, kto z czego korzysta. IdP (identity provider) to system zarządzający tożsamościami i grupami użytkowników. Bedrock, Vertex i Foundry to usługi chmurowe Amazona, Google i Microsoftu, z których można korzystać z modeli. Kompaktowanie to streszczenie długiej rozmowy, dzięki któremu pamięć modelu się nie zapełnia. Hook to skrypt uruchamiany w określonym momencie, na przykład przed poleceniem.
Co robi blokada zapisów poza folderem?
Według informacji o wydaniu w oficjalnym repozytorium Claude Code nowe ustawienie nazywa się permissions.blockWritesOutsideWorkingDirectories. Gdy jest włączone, narzędzia Write, Edit i NotebookEdit odrzucają ścieżki leżące poza folderami roboczymi, niezależnie od trybu uprawnień.
Ostatni szczegół jest tym, który ma znaczenie. Do tej pory nawet przy surowych regułach zachowanie zależało od wybranego trybu. Według notatki odmowa obowiązuje teraz we wszystkich trybach, także wtedy, gdy użytkownik celowo dał agentowi więcej swobody. Sama nazwa opcji sugeruje, że jest ona opcjonalna i trzeba ją włączyć.
W tym samym duchu działają poprawki dotyczące sandboksa. Opis sandbox.excludedCommands mówił, że wymienione polecenia zawsze działają poza sandboksem, a teraz precyzuje, że każde polecenie w wywołaniu musi odpowiadać jednemu z wpisów. Zabezpieczenia sandboksa nie obowiązywały też dla worktree otwartego przez claude -p --resume lub --continue, a teraz obowiązują. Kolejna poprawka dotyczy pliku ustawień wyłączonego przez --setting-sources, który nadal dostarczał niektóre ustawienia, na przykład reguły trybu auto i zapisane wcześniej zgody.
Co zmienia się dla bramki i administratorów?
Bramka aplikacji Claude dostała nowość przeznaczoną dla organizacji. Każdy upstream, czyli miejsce, do którego bramka kieruje żądania, może mieć opcjonalną listę grup. Do danego upstreamu trafiają wyłącznie programiści należący do wymienionych grup IdP, także w razie failover, czyli przełączenia na zapasowe rozwiązanie po awarii.
Dla upstreamów Bedrock pojawia się guardrail_trace. Służy do zapisywania, który filtr guardrails Amazon Bedrock zadziałał przy danym żądaniu, bez zachowywania tekstu, który go uruchomił. To przydatny kompromis dla tych, którzy muszą zrozumieć, dlaczego żądanie zostało zablokowane, nie przechowując wrażliwych danych w logach.
Wiele poprawek dotyczy ustawień zarządzanych przez administratorów.
- Ustawienia TLS zdefiniowane przez administratora nie były stosowane w sesjach Claude Desktop, a teraz są.
- Gdy forceRemoteSettingsRefresh było ustawione tylko w zdalnych ustawieniach, przeterminowana kopia zapisana lokalnie nie była już stosowana. Sesje mogły wystartować bez polityki, jeśli serwer był nieosiągalny.
- Na maszynach z zarządzanymi wtyczkami zmiana modelu była odrzucana, jeśli osobista wtyczka miała uszkodzony manifest lub nieudane pobieranie.
- Jeśli administrator ogranicza poziom effort dla modelu, Claude Code obniża effort, ponawia próbę i informuje, jakiego poziomu używa. Wcześniej sesje padały w każdej turze.
Upstream Vertex w bramce mógł też wisieć przez minuty, gdy endpoint tokenów Google akceptował połączenie i nie odpowiadał. Także to zostało naprawione.
Jakie poprawki dotyczą Bedrock, Foundry i Vertex?
Wydanie zawiera sporo zmian dla osób, które nie korzystają bezpośrednio z API Anthropic.
Bedrock
Sesje Bedrock z dużą liczbą obrazów padały w każdej turze, a także /compact, z błędem zbyt długiego wejścia. Teraz Claude Code usuwa najstarsze obrazy i kompaktuje rozmowę. Kolejna poprawka dotyczy propozycji aktualizacji modelu w Bedrock i Vertex, która wracała przy każdym uruchomieniu, nawet gdy zarządzane ustawienia blokowały model.
Microsoft Foundry
Sesje padały, gdy zasób nie miał wdrożenia domyślnego modelu Sonnet, Opus lub Haiku. Teraz Claude Code przechodzi na starszy model z tej samej rodziny.
Bramki zewnętrzne
Jeśli bramka nie akceptuje bloków tool_reference wyszukiwania narzędzi, żądanie zostaje wysłane ponownie raz bez tej funkcji, a sesja to zapamiętuje. Podobnie działa to, gdy bramka lub dostawca odrzuca po nazwie któryś z nagłówków beta Claude Code, wtedy wysyłka ponawiana jest bez tego nagłówka. Identyfikatory modeli zapisane z kropką, jak claude-opus-4.8, były traktowane jak starszy model, z błędnym oknem kontekstu, limitem wyjścia, effort, trybem rozumowania i kosztem. Teraz już nie.
W kwestii certyfikatów połączenia TLS padały z błędem UNABLE_TO_GET_ISSUER_CERT, gdy systemowe magazyn zawierał odnowiony certyfikat główny podpisany krzyżowo z poprzednikiem. Także to jest naprawione.
Co zmienia się w codziennym użytkowaniu?
Dla osób piszących kod najbardziej widoczna nowość to kompaktowanie w tle w VS Code i w zakładce Code w Claude Desktop. Rozmowa dłuższa niż 200K tokenów, pozostawiona bez aktywności, zostaje streszczona, a streszczenie jest użyte przy kolejnej wiadomości, jeśli pamięć podręczna promptu wygasła.
Są też poprawki w terminalu i w CI.
- claude -p kończyło się kodem 0 i brakiem wyniku, gdy start się nie powiódł. Teraz wypisuje błąd i kończy z kodem 1, co ma znaczenie dla skryptów.
- claude ultrareview i claude remote-control nie pytają już o zaufanie do folderu w zadaniu CI z terminalem. Przy ustawionym CI od razu odrzucają niezaufany folder.
- Hook PreCompact z bardzo dużym wynikiem powodował błąd lub ponawianie kompaktowania. Wynik każdego hooka jest teraz przycinany do 10.000 znaków.
- Aktualizacje diffu w tle na chwilę blokowały indeks repozytorium, co mogło spowodować błąd polecenia git uruchomionego w tym samym czasie.
- Hooki przechwytujące Bash nie uruchamiały się dla poleceń wywoływanych przez narzędzie Monitor. Teraz się uruchamiają, ale mogą blokować lub pytać o potwierdzenie, a nie zatwierdzać ani przepisywać tych poleceń.
Reszta to dopracowania interfejsu, m.in. tabele markdown, tryb vim, wybór agentów, wklejanie tekstu i obrazów, tytuły sesji oraz okna uprawnień.
Ograniczenia, o których warto wiedzieć
Notatka o wydaniu, którą mamy, urywa się na końcu, więc nie możemy wykluczyć kolejnych pozycji. Nie znamy daty publikacji i nie ma rozszerzonej dokumentacji opcji dotyczącej zapisów. Nie wiemy, czy jest domyślnie włączona, a tekst sugeruje, że nie. Nie wiemy też dokładnie, jak definiowany jest folder roboczy, na przykład przy dowiązaniach symbolicznych lub połączonych repozytoriach.
To deklaracje producenta, a nie niezależne testy. Blokada narzędzi zapisu nic nie mówi o tym, co może zrobić polecenie powłoki, które podlega zasadom sandboksa. Ostrożnie trzeba też czytać zdanie o hookach na Monitor, bo zmienia ono to, co hook może obiecać.
Co to zmienia dla osób pracujących w branży cyfrowej
Jeśli zarządzasz zespołem, pierwsza rzecz to przeczytać listę i sprawdzić, które poprawki dotyczą twojego przypadku. Ci, którzy korzystają z Bedrock z dużą liczbą obrazów, z Foundry z częściowymi wdrożeniami lub z firmowej bramki, znajdą bezpośrednie poprawki. Ktoś, kto pracuje sam i korzysta z planu podstawowego, zobaczy przede wszystkim kompaktowanie w tle i dopracowania.
Dla agencji lub software house'u zasada dotycząca zapisów to argument, który warto przedstawić klientom. Pokazuje, że agent może być ograniczony do projektu, co jest przydatne, gdy na tym samym komputerze są różne repozytoria lub pliki konfiguracyjne. Nadal obowiązuje zasada, że agenta traktuje się jak współpracownika z minimalnym dostępem. Widzieliśmy to również przy trojanizowanym rozszerzeniu Claude Code w Cursorze z backdoorem SSH, gdzie zagrożenie pochodziło z otoczenia narzędzia.
Kto wysyła do CI skrypty z claude -p, powinien ponownie sprawdzić kody wyjścia. Błąd, który wcześniej przechodził jako sukces, teraz zatrzyma pipeline. To słuszne, ale może zaskoczyć. Jeśli uruchamiasz środowiska deweloperskie na własnych serwerach, pamiętaj, że liczy się również maszyna, dlatego potrzebne są zarządzane serwery z aktualizacjami bezpieczeństwa.
Nasza opinia
To wydanie wiele mówi o etapie, na którym są agenci programistyczni. Nowych funkcji jest mało, a główna część to poprawki przypadków brzegowych, proxy, certyfikatów, polityk i mechanizmów awaryjnych. To znak narzędzia, które wychodzi z laptopa pojedynczego programisty i trafia do miejsc, gdzie nic nie może być niejednoznaczne.
Blokada zapisów poza folderem to dobra decyzja, ale zostawia dwie wątpliwości. Pierwsza to fakt, że jest opcjonalna. Zabezpieczenie, o którego istnieniu trzeba wiedzieć, by je włączyć, chroni przede wszystkim tych, którzy i tak są uważni. Druga to to, że temat uprawnień wymagał tylu poprawek, m.in. wykluczonych ustawień, które dalej obowiązywały, i hooków, które się nie uruchamiały. To nie jest zarzut, ale przypomnienie, że kontrole trzeba weryfikować, a nie zakładać, że działają.
Pozostaje kwestia, kto kontroluje wygenerowany kod. Bardziej ograniczony agent nie zastępuje przeglądu przez człowieka, dlatego nadal przydatne są praktyki pull requestów i code review na GitHubie oraz narzędzia AI do code review.
Najczęstsze pytania
Co robi permissions.blockWritesOutsideWorkingDirectories?
Sprawia, że Write, Edit i NotebookEdit odrzucają ścieżki poza folderami roboczymi. Według informacji o wydaniu działa we wszystkich trybach uprawnień. Nie mamy szczegółów, jak traktowane są szczególne przypadki, na przykład dowiązania symboliczne.
Czy blokada jest domyślnie włączona?
Notatka tego wprost nie mówi. Mowa o nowym ustawieniu, więc warto sprawdzić je we własnej konfiguracji. Zanim uznasz, że jesteś chroniony, zajrzyj do oficjalnej dokumentacji.
Czy użytkownicy Bedrock lub Foundry powinni aktualizować?
Jeśli napotkałeś opisane problemy, tak. Wydanie naprawia sesje Bedrock z dużą liczbą obrazów oraz przypadek Foundry bez wdrożenia domyślnego modelu. Zanim zaktualizujesz komputery całego zespołu, przetestuj wersję na jednej maszynie.
Czym są grupy przy upstreamach bramki?
To opcjonalna lista grup IdP przypisana do każdego upstreamu. Tam trafiają tylko programiści z tych grup, także w razie failover. Pozwala to rozdzielić, kto może korzystać z jakich miejsc docelowych.
Czy kompaktowanie w tle działa wszędzie?
Nie. Według notatki zostało dodane do VS Code i zakładki Code w Claude Desktop. Dotyczy rozmów powyżej 200K tokenów pozostawionych bez aktywności. Streszczenie jest używane tylko wtedy, gdy pamięć podręczna promptu wygasła.
Na co zwrócić uwagę w najbliższych miesiącach, między uprawnieniami a agentami w firmie
Temat to nie tylko ta wersja, ale kierunek. Agenci będą mieli coraz więcej scentralizowanych kontroli, więc warto przygotować się już teraz.
- Sprawdź swoją konfigurację uprawnień i zdecyduj, czy włączyć blokadę zapisów poza folderem, najpierw być może na projekcie testowym.
- Przejrzyj skrypty CI korzystające z claude -p, bo teraz błąd startu kończy się kodem 1 i może zatrzymać pipeline.
- Jeśli korzystasz z bramki lub dostawcy chmury, przeczytaj pełną listę poprawek i porównaj przypadki z własnymi logami. Aby zrozumieć koszty różnych dostawców, przeczytaj też porównanie Claude i OpenAI, a pamiętaj, że trwające awarie wielu modeli mogą dotknąć także ciebie.
