Ing. Calogero Bono
Anthropic опубликовала на GitHub версию 2.1.314 Claude Code, инструмента для работы с кодом из терминала, VS Code и Claude Desktop. Самое заметное нововведение — новая настройка прав, которая не даёт Claude записывать файлы за пределами рабочих папок. Остальное — длинный список исправлений, многие из которых нужны тем, кто использует Claude Code в компании, с шлюзами, облачными провайдерами и централизованными правилами. Именно детали безопасности и управления решают, войдёт ли такой инструмент в команду.
Несколько терминов, прежде чем перейти к фактам. Gateway — это промежуточный сервер между разработчиками и моделями, который позволяет компании контролировать, кто что использует. IdP (identity provider) — система, которая управляет учётными записями и группами пользователей. Bedrock, Vertex и Foundry — облачные сервисы Amazon, Google и Microsoft, через которые можно использовать модели. Компактация — это сокращение длинного диалога, чтобы не переполнять память модели. Hook — скрипт, который запускается в определённый момент, например перед командой.
Что делает блокировка записи за пределами папки?
Согласно заметкам о релизе в официальном репозитории Claude Code, новая настройка называется permissions.blockWritesOutsideWorkingDirectories. Когда она включена, инструменты Write, Edit и NotebookEdit отказываются работать с путями за пределами рабочих папок в любом режиме разрешений.
Последняя деталь важнее всего. Раньше даже при строгих правилах поведение зависело от выбранного режима. Здесь же сказано, что отказ действует всегда, в том числе когда пользователь дал агенту больше свободы. Из названия видно, что опцию нужно включить вручную.
В том же направлении идут и исправления песочницы. Описание sandbox.excludedCommands говорило, что перечисленные команды всегда запускаются вне песочницы, а теперь уточняется, что каждая команda в вызове должна соответствовать записи. Кроме того, защита песочницы не применялась к worktree, открытому через claude -p --resume или --continue, и теперь применяется. Ещё одно исправление касается файла настроек, исключённого через --setting-sources, который продолжал передавать некоторые параметры, например правила auto mode и уже сохранённые согласия.
Что меняется для шлюза и администраторов?
Шлюз приложений Claude получил нововведение для организаций. Каждый upstream, то есть каждый адрес, куда шлюз направляет запросы, может иметь необязательный список групп. На этот upstream попадают только разработчики из перечисленных групп IdP, в том числе при failover, то есть когда шлюз переключается на запасной вариант после сбоя.
Для upstream Bedrock появился guardrail_trace. Он записывает, какой фильтр guardrails Amazon Bedrock сработал на запрос, но не сохраняет текст, который его вызвал. Это удобный компромисс для тех, кому нужно понять, почему запрос заблокирован, и не хранить чувствительные данные в логах.
Несколько исправлений касаются настроек, которые задают администраторы.
- Настройки TLS, заданные администратором, не применялись в сессиях Claude Desktop. Теперь применяются.
- Если forceRemoteSettingsRefresh был задан только в удалённых настройках, устаревшая сохранённая копия больше не применялась. Сессии могли стартовать без политик, если сервер был недоступен.
- На машинах с управляемыми плагинами смена модели отклонялась, если личный плагин имел сломанный manifest или неудачную загрузку.
- Если администратор ограничивает уровень effort модели, Claude Code снижает effort, повторяет запрос и сообщает, какой уровень использует. Раньше сессии падали на каждом ходе.
Кроме того, upstream Vertex в шлюзе мог зависать на минуты, если эндпоинт токенов Google принимал соединение и не отвечал. И это исправлено.
Какие исправления касаются Bedrock, Foundry и Vertex?
Релиз содержит много исправлений для тех, кто не использует API Anthropic напрямую.
Bedrock
Сессии Bedrock с большим количеством изображений падали на каждом ходе, и /compact тоже выдавал ошибку слишком длинного входа. Теперь Claude Code удаляет самые старые изображения и выполняет компактацию. Ещё одно исправление касается предложения обновить модель в Bedrock и Vertex – оно появлялось при каждом запуске, даже если управляемые настройки блокировали модель.
Microsoft Foundry
Сессии падали, если в ресурсе не было развёртывания для модели Sonnet, Opus или Haiku по умолчанию. Теперь Claude Code переходит на более старую модель того же семейства.
Сторонние шлюзы
Если шлюз не принимает блоки tool_reference поиска инструментов, запрос отправляется повторно один раз без этой функции, и сессия это запоминает. То же происходит, когда шлюз или провайдер отклоняет по имени один из бета-заголовков Claude Code – запрос повторяется без него. ID моделей с точкой, например claude-opus-4.8, раньше считались более старой моделью, с неверными окном контекста, лимитом вывода, effort, режимом рассуждений и стоимостью. Теперь этого нет.
Что касается сертификатов, TLS-соединения падали с ошибкой UNABLE_TO_GET_ISSUER_CERT, если системное хранилище содержало обновлённый корневой сертификат, перекрёстно подписанный предшественником. Это тоже исправлено.
Что меняется в повседневной работе?
Для тех, кто пишет код, заметна компактация в фоне в VS Code и на вкладке Code в Claude Desktop. Диалог длиной более 200 тысяч токенов, оставленный без активности, сокращается, и сокращение используется в следующем сообщении, если кэш промпта истёк.
Есть и серия исправлений для терминала и CI.
- claude -p завершался с кодом 0 и без вывода, если запуск не удавался. Теперь он выводит ошибку и завершается с кодом 1, и это важно для скриптов.
- claude ultrareview и claude remote-control больше не задают вопрос о доверии к папке в CI-задаче с терминалом. При заданном CI они сразу отказываются работать с недоверенной папкой.
- Hook PreCompact с очень большим выводом вызывал сбой или повтор компактации. Теперь вывод каждого hook обрезается до 10 000 символов.
- Фоновые обновления diff на мгновение захватывали блокировку индекса репозитория, из-за чего git-команда, запущенная одновременно, могла упасть.
- Hook, перехватывающие Bash, не срабатывали на команды, запущенные инструментом Monitor. Теперь срабатывают, но могут только блокировать или запрашивать подтверждение, а не одобрять или переписывать такие команды.
Остальное — доработки интерфейса – таблицы markdown, режим vim, выбор агентов, вставка текста и изображений, названия сессий и диалоги разрешений.
Ограничения, которые стоит знать
Имеющиеся у нас заметки о релизе обрываются в конце, поэтому другие пункты не исключены. У нас нет даты публикации, и нет развёрнутой документации по настройке записи. Неизвестно, включена ли она по умолчанию, хотя текст намекает, что нет. Мы также не знаем, как точно определяется рабочая папка, например при символических ссылках или подключённых репозиториях.
Это заявления производителя, а не независимые проверки. Блокировка инструментов записи ничего не говорит о том, что может делать shell-команда, которая подчиняется правилам песочницы. С осторожностью стоит читать и фразу о hook на Monitor, поскольку она меняет то, что hook может гарантировать.
Что это значит для тех, кто работает с цифровыми сервисами
Если ты руководишь командой, первым делом прочитай список и пойми, какие исправления касаются твоего случая. Тем, кто использует Bedrock с большим количеством изображений, Foundry с частичными развёртываниями или корпоративный шлюз, исправления дают прямую пользу. Тот, кто работает один и пользуется базовым тарифом, увидит в основном фоновую компактацию и доработки интерфейса.
Для агентства или софтверной компании правило о записи — аргумент для разговора с клиентами. Агента можно ограничить проектом, и это полезно, когда на одном компьютере лежат несколько репозиториев или конфигурационных файлов. Основной принцип остаётся прежним – агента нужно считать сотрудником с минимальным доступом. Мы видели это и в случае троянизированного расширения Claude Code для Cursor с SSH-бэкдором, где риск исходил от окружения инструмента.
Если ты запускаешь в CI скрипты с claude -p, перепроверь коды выхода. Ошибка, которая раньше проходила как успех, теперь остановит конвейер. Это правильно, но может стать неожиданностью. Если ты запускаешь среды разработки на собственных серверах, помни, что важна и машина, поэтому нужны управляемые серверы с обновлениями безопасности.
Наше мнение
Этот релиз многое говорит о том, на каком этапе находятся агенты для программирования. Новых функций мало, а основная часть — исправления редких случаев, прокси, сертификатов, политик и резервных сценариев. Это признак инструмента, который выходит из ноутбука одного разработчика и попадает туда, где неоднозначность недопустима.
Блокировка записи за пределами папки — верное решение, но оно оставляет два вопроса. Первый – она опциональна. Защита, о которой нужно знать, чтобы её включить, в первую очередь защищает тех, кто и так внимателен. Второй – тема прав требует такого количества исправлений, среди которых исключённые настройки, продолжавшие действовать, и hook, которые не срабатывали. Это не вина разработчиков, но это напоминание, что контроль нужно проверять, а не считать самим собой разумеющимся.
Остаётся вопрос, кто проверяет сгенерированный код. Более ограниченный агент не заменяет проверку человеком, поэтому по-прежнему полезны практики pull request и code review на GitHub и инструменты ИИ для code review.
Часто задаваемые вопросы
Что делает permissions.blockWritesOutsideWorkingDirectories?
Заставляет Write, Edit и NotebookEdit отказываться работать с путями за пределами рабочих папок. Согласно заметкам о релизе, это действует в любом режиме разрешений. Подробностей о том, как обрабатываются особые случаи вроде символических ссылок, у нас нет.
Блокировка включена по умолчанию?
В заметках об этом прямо не сказано. Речь идёт о новой настройке, поэтому разумно проверить её в своей конфигурации. Прежде чем полагаться на защиту, посмотри официальную документацию.
Нужно ли обновляться тем, кто использует Bedrock или Foundry?
Если ты сталкивался с описанными проблемами, то да. Релиз исправляет сессии Bedrock с большим количеством изображений и случай Foundry без развёртывания модели по умолчанию. Прежде чем обновлять компьютеры всей команды, опробуй версию на одной машине.
Что такое группы на upstream шлюза?
Это необязательный список групп IdP, привязанный к каждому upstream. Туда направляются только разработчики из этих групп, в том числе при failover. Это помогает разделить, кто может использовать какие адреса.
Работает ли компактация в фоне везде?
Нет, согласно заметкам, она добавлена в VS Code и на вкладку Code в Claude Desktop. Она касается диалогов длиннее 200 тысяч токенов, оставленных без активности. Сокращение используется только если кэш промпта истёк.
Что отслеживать в ближайшие месяцы, между правами и агентами в компании
Речь не только об этом релизе, а о направлении. Агенты будут получать всё больше централизованного контроля, и к этому стоит подготовиться уже сейчас.
- Проверь настройки прав и реши, стоит ли включить блокировку записи за пределами папки, возможно сначала на тестовом проекте.
- Проверь CI-скрипты с claude -p, потому что теперь ошибка запуска завершается кодом 1 и может остановить конвейер.
- Если ты используешь шлюз или облачного провайдера, перечитай полный список исправлений и сверь случаи с твоими логами. Чтобы понять затраты разных поставщиков, посмотри также сравнение Claude и OpenAI, и учитывай, что текущие сбои на нескольких моделях могут затронуть и тебя.
