Claude Code 2.1.223 lukker fire hull i tillatelsessystemet

Fire av rettelsene i Claude Code 2.1.223, sluppet 6. august, ligger i tillatelseslaget. Den mest konkrete er en omgåelse i Bash-verktøyet, der en spesiallaget kommando kunne skjule deler av seg selv fra tillatelsessjekken. En beslektet feil gjorde det samme via visning: kommandoer polstret med tabulatorer eller usynlige Unicode-tegn kunne skjule deler av seg selv i selve godkjenningsdialogen. Du så altså én kommando i prompten og godkjente en annen.

De to siste treffer nyere funksjonalitet. Workflow-skript kunne bruke dynamisk import() til å kjøre kode utenfor workflow-sandkassen. Og en agentdefinisjon satt til bypassPermissions overstyrte organisasjonens policy for å skru av nettopp bypass-modus, altså den innstillingen som er hele poenget med å ha policyen.

Mønsteret er verdt å merke seg for alle som gir en agent skallet sitt: tre av de fire hullene handler ikke om at sjekken manglet, men om at det som ble sjekket ikke var det som ble kjørt eller vist. Det er samme klasse feil som rammer tillatelsesdialoger i mobil-OS-er, og den blir ikke mindre relevant etter hvert som flere kjører agenter med forhåndsgodkjente kommandomønstre.

Resten av utgivelsen er mindre dramatisk. Managed settings får wildcard på org-nivå med owner/* for å tillate eller blokkere alle marketplace-repoer under en GitHub-organisasjon. Auto-compact holder nå sesjoner på ukjente modell-ID-er innenfor et antatt kontekstvindu i stedet for å la dem vokse forbi det. Og /review er blitt et alias for /code-review, som nå husker forrige effort-nivå du skrev.

Hva bør du gjøre?

1. Oppgrader før du kjører agenter med brede Bash-tillatelser. Alle fire hullene krever at noe annet allerede kan mate deg en kommando, som er nøyaktig situasjonen når en agent leser innhold fra nettet.
2. Gå gjennom allow-reglene dine i settings.json. Tillatelsesregler basert på prefiksmatching er den svakeste formen, og var det disse omgåelsene utnyttet.