Ing. Calogero Bono
A Anthropic publicou no GitHub a versão 2.1.314 do Claude Code, a ferramenta que trabalha com código pelo terminal, pelo VS Code e pelo Claude Desktop. A novidade mais concreta é uma nova configuração de permissões que impede o Claude de gravar arquivos fora das pastas de trabalho. O restante é uma longa lista de correções, muitas pensadas para quem usa o Claude Code dentro de uma empresa, com gateways, provedores de nuvem e regras centralizadas. Importa porque são justamente os detalhes de segurança e de gestão que decidem se uma ferramenta dessas entra ou não em uma equipe.
Alguns termos, antes de entrarmos nos fatos. Um gateway é um servidor intermediário que fica entre os desenvolvedores e os modelos, e permite à empresa controlar quem usa o quê. Um IdP (identity provider) é o sistema que gerencia as identidades e os grupos de usuários. Bedrock, Vertex e Foundry são os serviços de nuvem da Amazon, do Google e da Microsoft pelos quais é possível usar os modelos. A compactação é o resumo de uma conversa longa, para não encher a memória do modelo. Um hook é um script que é disparado em um momento específico, por exemplo antes de um comando.
O que faz o bloqueio de gravações fora da pasta?
Segundo as notas de lançamento no repositório oficial do Claude Code, a nova configuração se chama permissions.blockWritesOutsideWorkingDirectories. Quando está ativa, as ferramentas Write, Edit e NotebookEdit recusam caminhos que ficam fora das pastas de trabalho, em qualquer modo de permissão.
O detalhe final é o que pesa. Até agora, mesmo com regras rigorosas, o comportamento dependia do modo escolhido. Aqui a nota diz que a recusa vale em todos os modos, inclusive quando o usuário optou por dar mais liberdade ao agente. O nome da opção deixa claro que ela é opcional e precisa ser ativada.
Na mesma linha vão algumas correções no sandbox. A descrição de sandbox.excludedCommands dizia que os comandos listados sempre rodam fora do sandbox, e agora esclarece que cada comando de uma chamada precisa corresponder a uma entrada. Além disso, as proteções do sandbox não se aplicavam a um worktree aberto com claude -p --resume ou --continue, e agora se aplicam. Outra correção trata de um arquivo de configurações excluído com --setting-sources que continuava fornecendo algumas configurações, como as regras do modo automático e os consentimentos já salvos.
O que muda para o gateway e para os administradores?
O gateway dos apps Claude recebe uma novidade pensada para organizações. Cada upstream, ou seja, cada destino para o qual o gateway encaminha as requisições, pode ter uma lista opcional de grupos. Apenas os desenvolvedores dos grupos IdP listados são enviados a esse upstream, inclusive em caso de failover, isto é, quando o gateway passa para uma alternativa após uma falha.
Para os upstreams Bedrock chega o guardrail_trace. Ele serve para registrar qual filtro dos guardrails do Amazon Bedrock foi disparado em uma requisição, sem salvar o texto que acionou o filtro. É um meio-termo útil para quem precisa entender por que uma requisição foi bloqueada sem guardar dados sensíveis nos logs.
Várias correções tratam das configurações gerenciadas pelos administradores.
- As configurações TLS definidas por um administrador não eram aplicadas nas sessões do Claude Desktop, e agora são.
- Com forceRemoteSettingsRefresh definido apenas nas configurações remotas, uma cópia salva expirada deixava de ser aplicada. As sessões podiam começar sem política se o servidor não estivesse acessível.
- Em máquinas com plugins gerenciados, a troca de modelo era recusada se um plugin pessoal tivesse um manifesto quebrado ou um download com falha.
- Se um administrador limita o nível de esforço de um modelo, o Claude Code reduz o esforço, tenta de novo e informa qual nível está usando. Antes, as sessões falhavam a cada turno.
Um upstream Vertex do gateway também podia ficar travado por minutos quando um endpoint de token do Google aceitava a conexão sem responder. Isso também foi corrigido.
Quais correções afetam Bedrock, Foundry e Vertex?
A versão traz várias intervenções para quem não usa diretamente as APIs da Anthropic.
Bedrock
As sessões Bedrock com muitas imagens falhavam a cada turno, e também o /compact, com erro de entrada longa demais. Agora o Claude Code remove as imagens mais antigas e compacta. Outra correção trata da oferta de atualização de modelo no Bedrock e no Vertex, que voltava a aparecer a cada inicialização mesmo quando as configurações gerenciadas bloqueavam o modelo.
Microsoft Foundry
As sessões falhavam quando o recurso não tinha uma implantação para o modelo Sonnet, Opus ou Haiku padrão. Agora o Claude Code recorre a um modelo mais antigo da mesma família.
Gateways de terceiros
Se um gateway não aceita os blocos tool_reference da busca de ferramentas, a requisição é reenviada uma vez sem esse recurso, e a sessão passa a lembrar disso. O mesmo vale quando um gateway ou provedor recusa pelo nome um dos cabeçalhos beta do Claude Code, com novo envio sem esse cabeçalho. IDs de modelo escritos com ponto, como claude-opus-4.8, eram tratados como um modelo mais antigo, com janela de contexto, limite de saída, esforço, modo de raciocínio e custo errados. Agora não mais.
No campo dos certificados, as conexões TLS falhavam com UNABLE_TO_GET_ISSUER_CERT quando o armazenamento do sistema continha um certificado raiz renovado e assinado de forma cruzada com o antecessor. Isso também foi resolvido.
O que muda no uso do dia a dia?
Para quem escreve código, a novidade visível é a compactação em repouso no VS Code e na aba Code do Claude Desktop. Uma conversa com mais de 200 mil tokens deixada inativa é resumida, e o resumo é usado na mensagem seguinte se o cache do prompt tiver expirado.
Há também uma série de correções no terminal e no CI.
- O claude -p saía com código 0 e sem saída se a inicialização falhava. Agora imprime o erro e sai com 1, o que importa para os scripts.
- claude ultrareview e claude remote-control não fazem mais a pergunta de confiança na pasta em um job de CI com terminal. Com CI definida, recusam de imediato uma pasta não confiável.
- Um hook PreCompact com saída muito grande fazia a compactação falhar ou repetir. A saída de cada hook agora é cortada em 10.000 caracteres.
- As atualizações do diff em segundo plano pegavam por um instante o lock do índice do repositório, e isso podia fazer falhar um comando git executado ao mesmo tempo.
- Os hooks que interceptam Bash não disparavam nos comandos iniciados pela ferramenta Monitor. Agora disparam, mas podem bloquear ou pedir confirmação, sem aprovar nem reescrever esses comandos.
O restante são ajustes de interface, entre tabelas markdown, modo vim, seleção de agentes, colagem de texto e imagens, títulos das sessões e diálogos de permissão.
Limites que você precisa conhecer
A nota de lançamento que temos está cortada no fim, então não podemos descartar outros itens. Não temos a data de publicação e não há documentação extensa sobre a configuração de gravações. Não sabemos se ela vem ativada por padrão, e o texto sugere que não. Também não sabemos exatamente como é definida uma pasta de trabalho, por exemplo com links simbólicos ou repositórios vinculados.
São declarações do fabricante, não testes independentes. Um bloqueio nas ferramentas de escrita não diz nada sobre o que um comando de shell pode fazer, que segue as regras do sandbox. A frase sobre os hooks no Monitor também deve ser lida com cautela, porque muda o que um hook pode prometer.
O que muda para quem trabalha com digital
Se você gerencia uma equipe, a primeira coisa a fazer é ler a lista e entender quais correções tocam o seu caso. Quem usa Bedrock com muitas imagens, Foundry com implantações parciais ou um gateway corporativo encontra correções diretas. Quem trabalha sozinho e usa o plano básico vê principalmente a compactação em repouso e os ajustes.
Para uma agência ou uma software house, a regra sobre gravações é um argumento a levar aos clientes. Mostra que um agente pode ficar confinado ao projeto, útil quando no mesmo computador há vários repositórios ou arquivos de configuração. Continua valendo o princípio de fundo, ou seja, que um agente deve ser tratado como um colaborador com acessos mínimos. Vimos isso também no caso da extensão trojanizada do Claude Code no Cursor com backdoor SSH, em que o risco vinha do entorno da ferramenta.
Quem roda scripts com claude -p no CI deve revisar os códigos de saída. Um erro que antes passava como sucesso agora vai parar a pipeline, o que é o correto, mas pode surpreender. Se você mantém ambientes de desenvolvimento em servidores próprios, lembre que a máquina também importa, e para isso servem servidores gerenciados com atualizações de segurança.
Nossa opinião
Esta versão diz muito sobre a fase em que estão os agentes de programação. As funções novas são poucas, enquanto a parte grande é feita de correções em casos limite, proxies, certificados, políticas e fallbacks. É sinal de uma ferramenta que está saindo do notebook de um único desenvolvedor e entrando em contextos onde nada pode ficar ambíguo.
O bloqueio de gravações fora da pasta é a escolha certa, mas deixa duas dúvidas. A primeira é que seja opcional. Uma proteção que é preciso conhecer para ativar protege sobretudo quem já é atento. A segunda é que o tema das permissões tenha exigido tantas correções, entre configurações excluídas que continuavam valendo e hooks que não disparavam. Não é uma falha grave, mas lembra que os controles precisam ser verificados e não dados como certos.
Resta a questão de quem revisa o código gerado. Um agente mais confinado não substitui a revisão humana, e por isso continuam úteis as práticas de pull request e code review no GitHub e as ferramentas de IA para code review.
Perguntas frequentes
O que faz permissions.blockWritesOutsideWorkingDirectories?
Faz com que Write, Edit e NotebookEdit recusem caminhos fora das pastas de trabalho. Segundo as notas de lançamento, vale em qualquer modo de permissão. Não temos detalhes sobre como casos especiais, como links simbólicos, são tratados.
O bloqueio vem ativado por padrão?
As notas não dizem isso de forma explícita. Falam de uma nova configuração adicionada, então é prudente verificá-la na sua configuração. Consulte a documentação oficial antes de considerar a proteção garantida.
Quem usa Bedrock ou Foundry precisa atualizar?
Se você encontrou os problemas descritos, sim. A versão corrige as sessões Bedrock com muitas imagens e o caso do Foundry sem implantação para o modelo padrão. Antes de atualizar os computadores de toda a equipe, teste a versão em uma máquina.
O que são os grupos nos upstreams do gateway?
São uma lista opcional de grupos IdP associada a cada upstream. Apenas os desenvolvedores desses grupos são direcionados para lá, inclusive em failover. Serve para separar quem pode usar cada destino.
A compactação em repouso pode ser usada em qualquer lugar?
Não, segundo a nota ela foi adicionada ao VS Code e à aba Code do Claude Desktop. Aplica-se a conversas com mais de 200 mil tokens deixadas inativas. O resumo só é usado se o cache do prompt tiver expirado.
O que acompanhar nos próximos meses, entre permissões e agentes na empresa
O ponto não é esta versão, e sim a direção. Os agentes terão cada vez mais controles centralizados, e vale se preparar desde já.
- Verifique a sua configuração de permissões e decida se ativa o bloqueio de gravações fora da pasta, talvez antes em um projeto de teste.
- Revise os scripts de CI que usam claude -p, porque agora um erro de inicialização sai com código 1 e pode parar a pipeline.
- Se você usa um gateway ou um provedor de nuvem, releia a lista completa de correções e compare os casos com os seus logs. Para entender os custos dos diferentes fornecedores, leia também a comparação entre Claude e OpenAI, e lembre que os erros em andamento em vários modelos também podem acontecer com você.
