Claude Code Permissions

変更前

Claude Code は git status や diff を確認する際に、作業ツリー内のネストされたリポジトリの .git/config で設定された clean フィルターを実行しており、信頼できないリポジトリが設定したフィルタードライバーが Claude Code のプローブによって起動される可能性があった。

変更後

Claude Code 自身が実行する git status や diff のプローブでは、作業ツリー内のネストされたリポジトリが設定した clean フィルターを実行しなくなり、信頼できないフィルタードライバーが呼び出されなくなった。

ユーザーへの恩恵

悪意あるネストされたリポジトリが仕込んだ clean フィルターの実行を避けられ、Claude Code の内部プローブが安全に行われる。

変更前

管理対象設定 (managed settings) で設定されたClaude appsゲートウェイにサインインしたセッション内で /login を再実行すると、「no gateway URL is configured(ゲートウェイURLが設定されていない)」という誤ったエラーが表示されていた。ゲートウェイURLは管理対象設定から正しく読み込まれるはずなのに、再実行時にそれが反映されていなかった。

変更後

修正後は、管理対象設定で設定されたClaude appsゲートウェイにサインイン済みのセッション内で /login を再実行しても、正しくゲートウェイ経由のサインインが動作する。

ユーザーへの恩恵

ゲートウェイにサインイン済みのセッションで /login を再実行しても誤ったエラーで止まらず、ユーザーは必要なときにサインインをやり直せるようになる。

変更前

コネクタ承認やサインインリンクの承認待ちをしている間、リモートセッションのサンドボックスコンテナが余計に起動し続けていた。

変更後

リモートセッションでも、コネクタ承認やサインインリンクの待ちが発生してもサンドボックスコンテナが維持され、応答後に操作を続行できる。

ユーザーへの恩恵

不要なコンテナの起動時間が減り、クラウドリソースを節約できる。

変更前

Windows の AppContainer や制限付きトークンのサンドボックス内で Claude Code を実行すると、Read・Write・Edit がすべてのファイルに対して「symlink resolution changed after permission was checked(権限確認後にシンボリックリンクの解決が変わりました)」というエラーを出して拒否していました。サンドボックスの制約により権限確認に必要な情報が取れず、シンボリックリンクが変更されたと誤検知していたためです。

変更後

AppContainer や制限付きトークンのサンドボックス内で実行した場合でも、Read・Write・Edit ツールがすべてのファイルを拒否しなくなりました。アクセス権の確認が失敗しても、実際にシンボリックリンクが変更されたケースと区別して判定します。従来はこの環境で権限チェックを正常に完了できず、すべてのファイル操作が拒否されていました。

ユーザーへの恩恵

サンドボックス環境でもファイルの読み書きや編集が通常どおり行えるようになります。

変更前

.claude フォルダの許可オプションのラベルが、実際に許可される内容と一致しない説明になっていた。ユーザーは何が許可されるのかを正確に把握できないまま選択していた。

変更後

許可オプションの表示が「プロジェクトの .claude フォルダ(または ~/.claude)内のファイルを、そのセッションの間だけ編集できる」という実際の許可内容を正確に示すようになる。

ユーザーへの恩恵

ユーザーは許可オプションの意味を誤解せずに済み、そのセッションで .claude フォルダ内のファイル編集が許可されることを正確に理解して選択できるようになる。

変更前

CLI は画像のリサイズや形式判定のため、ネイティブ画像モジュール（バイナリ）を起動時に一時ディレクトリへ展開して利用していた。

変更後

ランタイム（Node.js）が標準で備える画像サポートを使って添付画像のリサイズや形式判定を行うようになり、CLI は起動時にネイティブ画像モジュールを一時ディレクトリへ展開しなくなった。

ユーザーへの恩恵

ユーザーは一時ディレクトリへのモジュール展開を待つ必要がなくなり、画像処理がより安定して高速に行えるようになる。

変更前

Read/Edit/Writeの権限ルールのパスに括弧が含まれていると、Bashサンドボックスがそのルールを無効なものとして破棄するか無視していました。その結果、「読み取り専用」のはずのフォルダが書き込み可能なまま残っていました。

変更後

Read/Edit/Write権限ルールでパスに括弧が含まれるものは、Bashサンドボックスによって無効なルールとして破棄または無視されていました。そのため、サンドボックス設定で「読み取り専用」にしたはずのフォルダに実際には書き込みが可能なままになっていました。修正後は括弧を含むパスの権限ルールも正しく認識され、サンドボックスがそれに従って読み取り専用フォルダへの書き込みをブロックします。

ユーザーへの恩恵

サンドボックスの権限ルールに括弧を含むパスを指定しても、読み取り専用フォルダへの意図しない書き込みが起こらなくなる。

変更前

ファイル権限ルールにコンパイル不能なパターン(例:閉じられていない [)が含まれていると、正規表現のコンパイルに失敗し、すべてのファイル編集が Invalid regular expression エラーで失敗していた

変更後

コンパイル不能なパターンを含む拒否ルールは、そのルールが本来守るべきリテラルパスに対してのみ機能するようになる

ユーザーへの恩恵

1つの無効なパターンが原因で他の正常なファイル編集まで失敗することがなくなり、意図したパスのみを確実に保護できる

変更前

/status を実行すると、実際に使用されていない認証情報も、使用中の認証情報と区別なく表示される。

変更後

/status を実行すると、サインイン済みの claude.ai アカウントと設定済みの API キーの両方が有効な認証情報であるかのように表示される。

ユーザーへの恩恵

ユーザーは /status を見るだけで、どちらの認証情報が実際に有効かを一目で判別できる。

変更前

マネージド設定でバンドルスキルのエイリアス(例: /doctor に対する checkup)をキーにした skillOverrides エントリーを書いても無視され、スキルを非表示にできなかった。また、Skill(name) の deny ルールは <dir>:name 形式で列挙されたネストされたスキルをカバーしておらず、そのようなスキルの呼び出しをブロックできなかった。

変更後

マネージド設定の skillOverrides エントリーが、バンドルスキルのエイリアス(例: /doctor の checkup)をキーにしても適用されるようになった。また、Skill(name) の deny ルールが <dir>:name 形式で列挙されたネストされたスキルにも一致するようになった。

ユーザーへの恩恵

管理者はバンドルスキルをエイリアス名でも確実に無効化でき、deny ルールでネストされたスキルの呼び出しも確実にブロックできる。

変更前

Edit(C:dir(name)**) のようなルールを設定に書くと、エラーメッセージでは ( がエスケープされた括弧として解釈されていた。そのためパス区切りの意図と食い違い、ユーザーはエラーの原因を誤解しやすい状態だった

変更後

Edit などのルールで (name) のように書かれたパスは、( がエスケープされた括弧ではなくパス区切りとして正しく扱われるようになる

ユーザーへの恩恵

明確な書き方の提案が示されることで、パス区切りとエスケープされた括弧のどちらを意図しているかを区別できるようになる

変更前

ヘッドレスホストで無人稼働する場合、権限確認プロンプトが表示されるとセッションが一時停止してしまい、ユーザーが手動で承認する必要がありました。

変更後

ヘッドレスホストで --permission-prompts none を指定すると、権限確認プロンプトが発生する可能性があるアクションは自動的に拒否されますが、権限モード（自動モード含む）による判断処理は継続して行われます。

ユーザーへの恩恵

ヘッドレスホストでの自動化タスクが、権限確認プロンプトによる一時停止を回避して継続的に実行できるようになります。

変更前

複数のセッションを同時に実行すると、各セッションが ~/.claude.json の変更を上書きし合っていました。その結果、ワークスペースの信頼設定がリセットされたり、MCP やプロジェクトの状態が失われたりしていました。

変更後

複数のセッションを同時に実行しても、~/.claude.json の変更が上書きされなくなりました。ワークスペースの信頼設定が維持され、MCP やプロジェクトの状態も失われません。

ユーザーへの恩恵

複数のセッションを並行して作業できるようになり、状態の整合性が保たれます。

変更前

Bash Read() 拒否ルールは、オプション値として渡されたファイルや git diff/git grep のファイルオペランド、あるいは cd DIR && cat FILE のような複合コマンドを適切にカバーしていませんでした。そのため、拒否されたファイルを含むディレクトリに対する grep -r や cp -r などのコマンドが、意図せず実行されてしまう可能性がありました。

変更後

Bash Read() 拒否ルールが、オプション値として渡されたファイルや git diff/git grep のファイルオペランド、および cd DIR && cat FILE のような複合コマンドを正しくカバーするようになりました。これにより、拒否されたファイルを含むディレクトリに対する grep -r や cp -r などのコマンドは、実行前に確認を求めるようになります。

ユーザーへの恩恵

ユーザーは、意図せず拒否されたファイルにアクセスしてしまうリスクを回避し、コマンドの実行をより安全に制御できるようになります。

変更前

コマンドやスキルの frontmatter で指定されたモデルが Claude Code がサポートしていない場合、自動モードがそのモデルでターンを実行しようとしていた。その結果、意図しないモデルで処理が進んでしまうことがあった。

変更後

コマンドやスキルの frontmatter で指定されたモデルがサポートされていない場合、自動モードはそのモデルでのターン実行を避け、セッションで設定されているモデルを維持してターンを開始するようになった。

ユーザーへの恩恵

ユーザーは意図しないモデルで処理が走ることを防ぎ、セッション設定されたモデルで確実に作業を進められるようになる。

変更前

許可ダイアログを開いた際、変更されたコードの一部が表示されず、どこまで変更されたかが分からない状態になることがありました。

変更後

許可ダイアログを開いた際、変更されたコードの全体が正しく表示されるようになりました。

ユーザーへの恩恵

ユーザーは変更内容を正確に把握して許可・拒否を判断できるようになります。

変更前

コネクタツールの許可プロンプトを承認した後、セッションが一時停止状態であった場合、リモートセッションとスケジュールされたセッションが応答しなくなる不具合がありました。

変更後

コネクタツールの許可プロンプトを承認した後、セッションが一時停止状態であっても、リモートセッションとスケジュールされたセッションが正常に動作するようになりました。

ユーザーへの恩恵

一時停止中のセッションでツールの許可プロンプトを承認しても、セッションが応答しなくなる心配がなくなります。

変更前

自動モードでは、クラウドメタデータ認証情報の取得や出口回避などの操作が自動的に承認されていました。

変更後

自動モードでは、コンテナからの脱出に関するルールが追加され、クラウドメタデータ認証情報の取得や出口回避などの操作が自動承認されなくなりました。

ユーザーへの恩恵

セキュリティリスクの高い操作が自動的に実行されるのを防ぎ、より安全な開発環境を維持できます。

変更前

自動モードでは、作業ディレクトリ外のファイルを読み取る際に確認プロンプトが表示されず、意図せぬアクセスが発生する可能性がありました。

変更後

作業ディレクトリ外のファイルを読み取る際、初回のみ確認プロンプトが表示されるようになりました。また、permissions.blockReadsOutsideWorkingDirectories 設定により、そのような読み取りをブロックすることも可能です。

ユーザーへの恩恵

ユーザーは、作業ディレクトリ外へのファイルアクセスを制御できるようになり、意図しない読み取りを防ぐことができます。

変更前

エージェントビューから ← で開いたセッションは、ターゲットディレクトリの defaultMode やエージェントの permissionMode を無視して、常に元のセッションの許可モードで開始されていました。

変更後

エージェントビューから ← で開いたセッションは、ターゲットディレクトリの defaultMode やエージェントの permissionMode を尊重して、適切な許可モードで開始されるようになりました。

ユーザーへの恩恵

意図した許可モードでセッションを開始できるようになり、権限設定の意図通りに動作します。

変更前

リーダーのメールボックス書き込みが一時的にロックされた場合、権限リクエストに対する回答が重複して送信されていました。これにより、チームメイトが権限リクエストを2回処理してしまい、意図しない動作が発生していました。

変更後

リーダーのメールボックス書き込みが一時的にロックされた場合でも、権限リクエストに対する回答が重複して送信されないようにしました。システムはロック解除後にリクエストを再試行し、重複を防ぐ処理を実装しました。

ユーザーへの恩恵

チームメイトが権限リクエストを2回処理する不具合が解消され、チームのワークフローが正確かつ効率的に動作するようになります。

変更前

サンドボックス内で example.com. というドメインをブロックリストに追加しても、実際にはブロックされず、また「今後は尋ねない」を選択しても次回の接続時にプロンプトが表示され続けていました。

変更後

サンドボックス内で example.com. というドメインをブロックリストに追加すると、正しくブロックされ、また「今後は尋ねない」を選択してもプロンプトが表示されなくなりました。

ユーザーへの恩恵

ユーザーは、末尾のドット付きドメイン名をブロックリストに追加しても、誤ってプロンプトが表示される心配がなくなります。

変更前

リモートコントロールの同意プロンプトを Esc キーまたは n キーで閉じると、それが同意とみなされて次回のリクエストから同意を求められなくなっていました。

変更後

リモートコントロールの同意プロンプトを Esc キーまたは n キーで閉じても、同意とみなされず、次回のリクエストから再度同意を求められるようになりました。

ユーザーへの恩恵

意図せず同意してしまう不具合が解消され、ユーザーはプロンプトをキャンセルしても次回のリクエストで同意を求められるようになります。

変更前

設定の再読み込み時に、コマンドラインの --disallowedTools とセッションの deny ルールが最初の再読み込み時に削除されていました。

変更後

設定の再読み込み時に、コマンドラインの --disallowedTools とセッションの deny ルールが削除されなくなりました。

ユーザーへの恩恵

管理者がマネージド設定のみを使用する環境下でも、意図した通りにツールの制限や拒否ルールが維持されるようになります。

変更前

自動モードで複合コマンドやサブシェル内のコマンドを実行した際、permissions.ask ルールが無視されて確認プロンプトが表示されず、意図せずコマンドが実行されることがありました。

変更後

自動モードで複合コマンドやサブシェル内のコマンドを実行した際も、permissions.ask ルールが正しく評価され、確認プロンプトが適切に表示されるようになりました。

ユーザーへの恩恵

ユーザーは自動モードでも意図した確認プロンプトを表示させることができ、コマンドの実行を安全に制御できます。

変更前

プラグインは宣言されたコマンドやスキルなどのパスを通じて、自身のディレクトリ外のファイルにアクセスできていました。特にシンボリックリンクを経由するパスでは、意図せず外部のファイルシステムにアクセスしてしまう可能性がありました。

変更後

プラグインが宣言したコマンドやスキルなどのパスを通じて、自身のディレクトリ外のファイルにアクセスできなくなりました。シンボリックリンクを含むパスは、セキュリティ上の理由からエラーとして拒否されます。

ユーザーへの恩恵

プラグインが意図せず外部のファイルシステムにアクセスするリスクが排除され、プラグインの隔離性とセキュリティが向上します。

変更前

現在の作業ディレクトリ内のディレクトリを /add-dir コマンドで追加しようとすると、そのディレクトリのスキルやコマンドが読み込まれず、エラーとして拒否されていました。

変更後

現在の作業ディレクトリ内のディレクトリを /add-dir コマンドで追加できるようになりました。起動時の --add-dir と同様に、そのディレクトリ内の .claude/skills/、.claude/commands/、.claude/agents/ が自動的に読み込まれます。

ユーザーへの恩恵

作業中のディレクトリ内のカスタムスキルやコマンドを、起動時と同じように即座に利用できるようになります。

変更前

Bash の Read()/Edit() 拒否ルールは、ファイルへのリダイレクトや tac や egrep などのコマンドに対して適用されませんでした。そのため、特定の引数やリダイレクト先を拒否するルールが、それらを含むコマンドの実行を許可してしまうことがありました。

変更後

Bash の Read()/Edit() 拒否ルールが、ファイルへのリダイレクトや tac や egrep などのコマンドに対して適用されるようになりました。引数やリダイレクト先に対する拒否ルールは、それらを含むコマンド全体を拒否するようになりました。

ユーザーへの恩恵

拒否ルールが正しく機能するようになり、意図しないコマンドの実行を確実に防げるようになりました。

変更前

編集権限の確認プロンプトで表示される差分ビューにおいて、絵文字や複数コードポイントから成る文字が正しい幅で描画されず、表示が乱れることがありました。

変更後

編集権限の確認プロンプトで表示される差分ビューにおいて、絵文字や複数コードポイントから成る文字が正しい幅で描画されるようになりました。

ユーザーへの恩恵

権限確認時の差分表示が正確になり、ユーザーは変更内容を正確に把握できます。

変更前

サンドボックス化された git コマンドを実行中に、リンクされた git worktree 内のサブディレクトリに移動すると、その後の操作でリポジトリの共通 .git ディレクトリへの書き込みが拒否されることがありました。

変更後

サンドボックス化された git コマンドを実行中に、リンクされた git worktree 内のサブディレクトリに移動しても、リポジトリの共通 .git ディレクトリへの書き込みアクセスが維持されるようになりました。

ユーザーへの恩恵

リンクされた git worktree 内でサンドボックス化された git コマンドを、サブディレクトリ間を移動しても正常に実行できるようになります。

変更前

セッションの有効期限切れや取り消し後に起動しようとすると、ネットワークエラーとして報告されていました。

変更後

セッションの有効期限切れや取り消し後に起動しようとすると、「セッションが終了しました」というメッセージが表示され、/login を提案するようになりました。

ユーザーへの恩恵

セッションの有効期限切れや取り消し後に起動した際、ネットワークエラーではなく明確なメッセージと再ログインの手段を提示することで、ユーザーは状況を正確に把握して再ログインできます。

変更前

Bash の権限チェックで、zsh と bash で解釈が異なる [[ ]] 条件分岐が存在する場合、それらのコマンドが自動的に承認されていました。そのため、意図しないコマンドが実行されるリスクがありました。

変更後

Bash の権限チェックで、zsh と bash で解釈が異なる [[ ]] 条件分岐が存在する場合、それらのコマンドは承認を求めるようになりました。これにより、コマンドの実行前にユーザーが確認できるようになります。

ユーザーへの恩恵

ユーザーは、zsh と bash で解釈が異なる条件分岐を使用するコマンドに対して、実行前に承認を求められるようになり、意図しないコマンドの実行を防げます。

変更前

キーレスのコンソールサインインを行っても、組織のサーバー管理設定が適用されず、/status コマンドでもそのサインインに紐づく組織名が表示されない状態でした。

変更後

キーレスのコンソールサインインを行うと、組織のサーバー管理設定が正しく適用され、/status コマンドでもそのサインインに紐づく組織名が表示されるようになりました。

ユーザーへの恩恵

管理者が設定した組織のポリシーが、キーレスサインイン時にも正しく反映されるようになり、ユーザーは /status で現在の認証情報のソースとプロファイル名を確認できます。

変更前

以前は、--add-dir、/add-dir、および additionalDirectories で指定されたディレクトリに対して、ネットワークパス（UNC共有や /net/<host> 自動マウント）も許可されていました。これにより、意図せずネットワーク上のリソースにアクセスしてしまう可能性がありました。

変更後

現在は、これらのオプションでネットワークパスを指定しようとすると、操作を行う前にメッセージを表示して拒否するようになりました。Windows環境では、マップされたドライブレターを使用する必要があります。

ユーザーへの恩恵

意図しないネットワークパスへのアクセスを防ぎ、セキュリティを強化します。

変更前

以前は、所有していないアーティファクトを読み込む際、自動モードであっても確認を求めずに読み込んでいました。

変更後

現在は、所有していないアーティファクトを読み込む際、自動モードであっても必ずユーザーに確認を求めてから読み込みます。

ユーザーへの恩恵

所有権のないアーティファクトを誤って読み込むリスクが排除され、意図しないデータへのアクセスを防げます。

変更前

v2.1.256 まで、Bash または PowerShell の権限プロンプトで Ctrl+E を押すと、モデルが生成したコマンドの説明が表示されていました。

変更後

v2.1.257 では、権限プロンプト上の Ctrl+E による説明表示機能が削除されました。

ユーザーへの恩恵

権限プロンプトの表示を簡素化し、ユーザーは不要なショートカット操作を気にせずに権限確認に集中できるようになります。

変更前

権限チェック後にシンボリックリンクが置き換えられると、ツールがそのリンクを追従して承認された場所外のファイルにアクセスする可能性がありました。

変更後

権限チェック後にシンボリックリンクが置き換えられても、ツールが承認された場所外のファイルにアクセスしないように修正しました。これにより、セキュリティリスクが軽減されます。

ユーザーへの恩恵

開発者は、意図しない場所へのファイルアクセスを防ぐことができます。

変更前

シンボリックリンクされた検索パスを経由して到達するファイルに対して、Read(...) 拒否ルールが適用されず、セキュリティリスクがありました。

変更後

シンボリックリンクされた検索パスを経由して到達するファイルに対して、Read(...) 拒否ルールが適用されるように修正しました。これにより、セキュリティリスクが軽減されます。

ユーザーへの恩恵

開発者は、意図しないファイルへのアクセスを防ぐことができます。

変更前

整数シェル変数に算術式を代入するコマンド（OPTIND=1/0 や RANDOM=2+2 など）に対する Bash の権限チェックが自動承認していました。

変更後

整数シェル変数に算術式を代入するコマンド（OPTIND=1/0 や RANDOM=2+2 など）に対する Bash の権限チェックは、これらのコマンドに対しては承認を求めるようになりました。

ユーザーへの恩恵

意図しないコマンドの実行を防ぎ、セキュリティが強化されます。

変更前

エージェントチームのチームメイトペインのような監視されていないセッションで、意図しないキー入力によって「自動モードをデフォルトにする」というオファーが承認されてしまうことがありました。

変更後

エージェントチームのチームメイトペインなどの監視されていないセッションでは、オファーが表示された状態でキー入力があった場合でも、ユーザーが意図的に承認しない限りオファーは承認されないようになりました。

ユーザーへの恩恵

ユーザーは、意図しない操作によって自動モードの設定が勝手に変更されることを防げます。

変更前

組織ポリシーや環境変数によって /feedback が無効になっている場合、/bug や /share の報告が無効であると誤って表示されていました。また、ヒントや /help、拒否メッセージでも /feedback を推奨していました。

変更後

組織ポリシーや環境変数によって /feedback が無効になっている場合、/bug や /share の報告が無効であることが正しく表示されるようになりました。また、ヒント、/help、拒否メッセージも、これらが無効な場合は /feedback を推奨しなくなりました。

ユーザーへの恩恵

無効になっている機能に対して誤った推奨が表示されることがなくなり、ユーザーは正しいアクションを選択できます。

変更前

以前は、サンドボックス内でコマンドを実行した際、Bash コマンドの出力ファイルが作成され、サンドボックス化されたコマンドによってリダイレクトまたは置換される可能性がありました。

変更後

現在は、サンドボックス内でコマンドを実行した際、Bash コマンドの出力ファイルの作成と読み取り方法が変更され、サンドボックス化されたコマンドがそれらをリダイレクトまたは置換することができなくなりました。

ユーザーへの恩恵

サンドボックス化されたコマンドが意図せず出力ファイルを改ざんするのを防ぎます。

変更前

コマンド実行やコード実行を行う組み込みツールや WebFetch が利用可能でした。また、bypassPermissions が許可され、ユーザーやプロジェクトの設定ファイルが参照されていました。

変更後

コマンド実行やコード実行を行う組み込みツールや WebFetch が削除され、ファイルツールは作業ディレクトリ内に限定されます。bypassPermissions は拒否され、設定ファイルは無視されます。

ユーザーへの恩恵

セキュリティを強化し、意図しない操作や外部へのアクセスを制限できます。

変更前

PermissionRequest や PreToolUse フックが無効な JSON を出力した際、バックグラウンドセッションはエラーメッセージを表示せずに待機し続けました。ユーザーはどのフックが失敗したのか、何が問題だったのかを知ることができませんでした。

変更後

claude agents の行に、どのフックが無効な回答を出力したのか、そしてスキーマエラーの内容が表示されるようになりました。これにより、バックグラウンドセッションの問題を特定しやすくなりました。

ユーザーへの恩恵

フックのエラー原因を即座に特定できるようになり、バックグラウンドセッションの待機状態を解消できます。

変更前

長いルールが絵文字の途中で切れた場合、信頼ダイアログのリポジトリ権限ルール一覧に文字化けが表示されていました。これにより、ルールの内容が正しく表示されませんでした。

変更後

長いルールが絵文字の途中で切れても、文字化けが表示されないようになりました。

ユーザーへの恩恵

権限ルールの内容が正しく表示され、設定の確認が容易になります。

変更前

Ctrl+C 直後に Shift+Tab を押すと、権限モードインジケーターが「Press Ctrl-C again to exit」ヒントの後ろに隠れてしまい、表示されませんでした。

変更後

Ctrl+C 直後に Shift+Tab を押しても、権限モードインジケーターが正しく表示されるようになりました。

ユーザーへの恩恵

現在の権限モードを常に確認でき、操作が直感的になります。

変更前

アンマップされたオーナーに対しては、すべてのディレクトリへのアクセスが許可されていました。

変更後

アンマップされたオーナーに対しては、システムディレクトリ以外へのアクセスが制限されるようになりました。

ユーザーへの恩恵

セキュリティリスクを軽減し、より安全なクロスセッションメッセージングが可能になります。

変更前

Bashの権限確認プロンプトにはオートモードへの誘導がありませんでした。

変更後

プロンプトにオートモードへの切り替えオプションが表示され、ワンキーストロークで承認できます。

ユーザーへの恩恵

権限確認のプロセスが迅速になり、効率的な作業が可能になります。

変更前

メッセージを送信した直後にモードを切り替えた際、クラウドセッションが以前の権限モードを表示していました。これにより、ユーザーは現在のモードと表示されているモードが一致していないと混乱することがありました。

変更後

メッセージを送信した直後にモードを切り替えた際、クラウドセッションは正しい権限モードを表示するようになりました。これにより、モードの表示と実際の状態が一致するようになります。

ユーザーへの恩恵

クラウドセッションでモードを切り替えた際、表示される権限モードが正しく反映されるようになり、ユーザーは現在のセッションの状態を正確に把握できます。

変更前

サブコマンドの前にワイルドカードが含まれる Bash 許可ルール（例: Bash(git * main)）を使用すると、サブコマンドの前に挿入されるオプションにも一致してしまい、意図しないコマンドが許可される可能性があった

変更後

起動時にそのようなルールがある場合に警告を表示し、ユーザーが意図したルールかどうかを確認できるようにした

ユーザーへの恩恵

誤った許可ルールによるセキュリティリスクを未然に防ぐことができるようになる

変更前

自動モードの分類子ルールを閲覧・編集する機能がなかった

変更後

自動モードの分類子ルールを /permissions の「Auto」タブから直接閲覧・編集できるようになった

ユーザーへの恩恵

自動モードの設定を直感的に管理できるようになり、ルールの調整が容易になる

変更前

非常に大きなセッションで、プロンプトサイズに応じてセーフティチェックの期限をスケーリングしなかったため、自動モードのツール呼び出しが「一時的に利用できません」として拒否されていました

変更後

非常に大きなセッションで、プロンプトサイズに応じてセーフティチェックの期限をスケーリングすることで、自動モードのツール呼び出しが「一時的に利用できません」として拒否されなくなりました

ユーザーへの恩恵

大きなセッションでも自動モードのツール呼び出しが適切に実行されるようになり、作業の効率が向上しました

変更前

不適切なコマンド（末尾に && や || があるもの）に対する権限チェックが不十分で、場合によっては承認プロンプトが表示されない状態でした。

変更後

不適切なコマンドに対しては、権限チェックの段階で常に承認を求めるようになり、安全な実行が保証されます。

ユーザーへの恩恵

意図しないコマンドの実行を防ぎ、セキュリティリスクを軽減します。

変更前

サーバー側の一時的な無効化がキャッシュされ、その後のフラグ取得に失敗すると、自動モードが起動時に利用できなくなる。

変更後

サーバー側の無効化がキャッシュされても、フラグ取得に失敗しても自動モードは正常に利用可能な状態を維持する。

ユーザーへの恩恵

ユーザーは起動時に自動モードが正常に動作することを確認できる。

変更前

API が過負荷になり、再試行を要求した後、約1分待っても自動モードのツール呼び出しが「一時的に利用できない」として拒否される。

変更後

API が過負荷状態でも、再試行が成功すれば自動モードのツール呼び出しが正常に許可されるようになる。

ユーザーへの恩恵

ユーザーは API の一時的な過負荷によるツール呼び出しの拒否を回避できる。

変更前

機能フラグが最初にフェッチされる前に開始されたセッション（インストール直後など）が、自動モードや設定されたデフォルトモードではなく、デフォルトの許可モードで開かれていました。

変更後

機能フラグが最初にフェッチされる前に開始されたセッション（インストール直後など）が、自動モードや設定されたデフォルトモードで開かれるようになりました。

ユーザーへの恩恵

インストール直後のセッションでも、正しい許可モードで開始されるようになり、予期せぬ動作がなくなります。

変更前

サンドボックス化された Bash ツールのプロンプトには許可されたネットワークホストの一覧が表示されており、未リストのホストはブロックされていると仮定されていました。

変更後

プロンプトからホストの一覧が削除され、Claude は未リストのホストをブロックとみなさず、リクエストを試みます。新しいホストが必要な場合はユーザーが承認できます。

ユーザーへの恩恵

許可されていないホストへのアクセスを試みる際に、ユーザーが新しいホストを承認できるようになります。

変更前

Git の拡張設定（extensions.worktreeConfig）が有効な状態で Linux のサンドボックス機能（bubblewrap等）を利用すると、本来存在しないはずの個別ワークツリー用ファイルを保護しようとして不適切なマウント操作が行われ、サンドボックス内で git status などのコマンドが一切通らなくなっていました。

変更後

ファイルの存在チェックが適正化され、.git/config.worktree が存在しない場合は保護対象から外します。これにより、サンドボックスが作動している最中であっても、通常通りあらゆる git コマンドを実行させることができます。

ユーザーへの恩恵

ワークツリーを多用する開発リポジトリでも、サンドボックス保護をかけた状態で不自由なく git 操作をエージェントに任せられます。

変更前

コマンドにリダイレクトがない場合でも、誤って制限の警告が表示されることがありました。

変更後

リダイレクトの有無を正しく判定し、不要な警告を抑制します。

ユーザーへの恩恵

正当なコマンド実行を阻害されることがなくなります。

変更前

4,096 文字以上の URL ではダイアログが空で表示され、権限確認も適切に行えませんでした。

変更後

長い URL でもダイアログが正しく表示され、権限確認の選択肢も見失わなくなります。

ユーザーへの恩恵

複雑な設定や長い URL を扱う MCP サーバーでもストレスなく操作できます。

変更前

アクセス権限プロンプトで差分（diff）を表示する際、絵文字などの幅の広いマルチコードポイント文字やタブ文字がふくまれる行があると、テキストの折り返し処理が正しく行われず、端の部分が画面外に切れて見えなくなっていました。

変更後

テキスト折り返しの処理ロジックを修正したため、絵文字やタブ文字が含まれる行であっても、正しく幅が計算されて折り返され、すべての内容がプロンプト上に表示されるようになります。

ユーザーへの恩恵

差分表示の中に絵文字やタブが含まれていても、テキストが途切れることなくすべての変更内容を正確に確認できるようになります。

変更前

受信拒否されていても、送信側は「成功」と誤認してしまう場合がありました。

変更後

受信側の拒否状況を送信側に正確に通知します。

ユーザーへの恩恵

メッセージがなぜ届かなかったのかを確認する手間が省けます。

変更前

レート制限などでメッセージが破棄されると、送信側には何も伝わりませんでした。

変更後

メッセージの破棄状況を送信側に通知します。

ユーザーへの恩恵

届かない理由がわからないまま送信し続ける必要がなくなります。

変更前

信頼されていないフォルダでも、設定次第で読み込まれてしまう場合がありました。

変更後

ワークスペースの信頼承認を必須とし、意図しないツール連携を防ぎます。

ユーザーへの恩恵

リポジトリ由来の MCP ツール実行に対するセキュリティが強化されます。

変更前

環境変数が予期せずヘルパーに引き継がれ、意図しない挙動の要因となっていました。

変更後

実行環境を制限し、環境変数の継承を防ぐことで安全性を高めます。

ユーザーへの恩恵

環境変数に依存しない、より予測可能な認証処理が行えます。

変更前

許可された読み取り領域（allowRead）の中に拒否したい特定の秘密情報（denyRead）が含まれている場合、ファイル名を変更するなどの操作によってサンドボックスの読み取り拒否制限をバイパスできる懸念がありました。

変更後

ワイルドカードによる読み取り拒否ルールが許可領域内でも強力に優先され、指定ファイルを含むディレクトリ全体のコンテンツまで網羅的に保護されるため、ファイル名変更などによるすり抜けが防止されます。

ユーザーへの恩恵

意図しないファイルアクセスや、名前の変更を伴う悪意あるスクリプトによる認証情報の盗み出しを気にする必要がなくなります。

変更前

一度 Monitor 関連の緩い許可ルールを登録してしまうと、オートモード実行中であっても分類器による監視コマンドの精査がスルーされ、想定外の引数を含んだ危険なコマンドが実行されるリスクがありました。

変更後

オートモードが有効な間は、Monitor ツール経由の呼び出しに対しても必ず個別のコマンドごとに安全性レビューが介入するようになります。

ユーザーへの恩恵

自動実行モードにおいて、バックグラウンド監視処理を悪用した意図しないコマンド実行が発生することを防げます。

変更前

サードパーティ製クラウドプロバイダーを介して Claude Code を利用する場合、オートモードでのコマンド判定アルゴリズムが単純なテキスト一致に近く、API接続時と比べて柔軟性や精度が落ちていました。

変更後

各クラウド接続先でも直接の Claude API 接続と同じ最新のセキュリティ判定アルゴリズムが動作し、詳細な重大度評価に基づいて的確にコマンドの自動実行が承認または拒否されるようになります。

ユーザーへの恩恵

クラウドプロバイダー経由での利用であっても、安全性を損なうことなくオートモードによる高度なタスク自動実行の恩恵を受けられます。

変更前

git の設定で未追跡ファイルを非表示にする設定が有効なリポジトリでは、実際には未保存の変更があるにもかかわらず「変更なし（クリーンなツリー）」と自動判定プロセスが誤認してしまう問題がありました。

変更後

リポジトリ内部のローカル設定に関係なく、現在のワークツリーに未追跡ファイルが存在するかどうかを確実にチェックできるようになります。

ユーザーへの恩恵

未追跡の必要なファイルがコミットされないまま、オートモードによって次のステップへ進んでしまうミスを回避できます。

変更前

編集権限を求めるプロンプトのコメント入力欄でキーボード操作を行う際、Shift+Tab を押すと入力欄が閉じずに変更が勝手に承認され、意図しないセッション全体への編集許可が与えられていた

変更後

コメント入力欄で Shift+Tab を押した場合は、編集の承認や権限の自動付与を行わず、適切に入力欄を閉じる挙動になる

ユーザーへの恩恵

キーボード操作の押し間違えによって意図しないファイル編集の全許可を与えてしまう心配がなくなる

変更前

権限を許可する際のダイアログ表示において、「今後確認しない」を選択した際に実際に適用される許可範囲と画面の説明が微妙にずれていたり、情報がはみ出して読めない状態でもチェックボックスが選択できたりして誤操作に繋がりやすかった

変更後

画面上の文言と適用される許可ルールが厳密に一致し、内容が収まりきらない場合には安易な自動許可を避けるためチェックボックスを非表示にするように制御される

ユーザーへの恩恵

意図しないファイル書き込みやコマンド実行の自動許可を未然に防ぎ、安全に開発を進められるようになる

変更前

Windows 環境下で特定の NT ネームスペース形式のパスを処理する際、事前にユーザーの承認を経ないままファイルアクセスが行われ、ネットワーク共有への不正アクセス等による NTLM 認証情報漏洩のセキュリティリスクが潜在していました。

変更後

Windows の NT ネームスペース（\??\）を含む不審なパスを用いた操作が検出された時点で強制的に拒否され、事前承認前のアカウント情報の漏洩を防ぐ強固なガードレールが適用されます。

ユーザーへの恩恵

悪意あるリポジトリやファイル構成による Windows 特有の資格情報奪取攻撃を回避するための、複雑なセキュリティ設定を個別に施す必要がなくなります。

変更前

メインセッションのバックグラウンドでサブエージェントを実行中にツール許可を求められ、ユーザーが「このセッション中のみ許可/拒否」を選択しても、その決定が適切に保持されずに再度プロンプトが表示されていました。

変更後

バックグラウンドのサブエージェントに対する許可要求であっても、セッション単位で指定した承認や拒否の選択結果が正しく記憶され、セッション終了まで適用され続けます。

ユーザーへの恩恵

同じセッション内でサブエージェントがツールを起動するたびに、同じ承認ダイアログを何度もクリックして答え直す必要がなくなります。

変更前

シェルコマンドを走らせている間にユーザーが別コマンドで権限設定画面ダイアログなどを開いて設定変更しようとしても、背後で走っていたプロセスが終了した途端にダイアログが強制終了して元の画面に戻されていました。

変更後

シェルコマンドの完了シグナルによって最前面のアクティブなダイアログやモーダルのフォーカスが破壊されないようにイベントが分離され、設定作業を最後まで中断せずに行えるようになります。

ユーザーへの恩恵

バックグラウンドタスクの終了タイミングを見計らってから設定画面を開く、といった窮屈な待ち時間を気にする必要がなくなります。

変更前

ターミナルのリニューアルを促すプロンプトに同意して画面を TUI に移行させると、安全性の高いデフォルト設定のセッションとして初期化されてしまい、起動時に指定していたコマンドラインオプションやカスタムセキュリティポリシー、使用モデルの引き継ぎが解除されていました。

変更後

新しいフルスクリーンレンダラーへの移行による再起動時も、元のセッションに適用されていたすべての引数、許可フラグ、ポリシー、モデル指定（Sonnet 5/Opus 5等）が漏れなく新しいプロセスへ引き渡されます。

ユーザーへの恩恵

表示モードを TUI に変更した後に、以前と同じ実行環境にするためにセッションを一度閉じて複雑な引数付きでコマンドを実行し直す必要がなくなります。

変更前

/tui コマンドでフルスクリーンモードへ切り替えた際に、ユーザーが引数制限したツール利用の禁止ポリシーがクリアされ、予期せず広範なツールの使用許可がモデルに付与されてしまうセキュリティの抜け道がありました。

変更後

切り替え時もツール制約パラメータが正確に維持され、万が一プロセスの再起動プロセスで制約情報を安全に持ち越せないと判断された場合は、切り替えを安全に拒否して理由を説明するメッセージが表示されます。

ユーザーへの恩恵

フルスクリーンモードへの切り替えコマンドを実行した際に、自分が課したツールの使用制限ルールが外れていないかをわざわざ再設定して確認する手間がなくなります。

変更前

未確認のサードパーティ製チャネルや、組織の信頼ポリシーを通過していないサーバーに対しても、ツールの実行承認プロンプトの内容（コマンドの引数やファイルパスを含む機密情報）が並行して送信されるおそれがありました。

変更後

明示的に組織の信頼を得て承認されたセキュアなチャネルサーバーのみにプロンプトが中継（relay）され、セキュリティリスクの高い経路や拒否設定を表明しているエンドポイントには情報が送出されなくなります。

ユーザーへの恩恵

リモート中継機能を利用する際に、ローカルの機密コマンドやパス情報がセキュリティ審査を通っていない未確認のサーバーへ流出するのを心配する必要がなくなります。

変更前

AI が複雑なタスクを実行して複数行のコマンドやファイルを書き換えている最中は、設定インターフェースを同時に呼び出すことができず、許可設定を変更するためにはタスクが完全に終了するのを待つか、セッションを強制終了するしかありませんでした。

変更後

AI が処理を進めている最中であっても割り込んで /permissions 画面を展開でき、危険なコマンドを検知した瞬間にその場で対象ツールの使用許可を「Deny」に締め出すことが可能になります。

ユーザーへの恩恵

AIが予期しないファイル変更やネットワーク通信を始めそうになった際、タスク全体が完了して手遅れになるのを待たずに、その場ですぐにアクセス権限を剥奪して処理を制御できるようになります。

変更前

Claude Desktop や VS Code の統合ターミナルなどの特定の環境で動かしている際、Claude がユーザーのコマンド承認を求めて停止していても、Notification フックによるデスクトップ通知やサウンドが正常に鳴らず、放置に気づけない不具合がありました。

変更後

これらの環境で実行している場合でも権限要求のイベントが正しくフックされ、デスクトップ通知やカスタムコマンドが確実にトリガーされるようになります。

ユーザーへの恩恵

権限の承認待ちが発生した際に他の作業をしていても、通知音などで即座に気づいてターミナルに戻ることができます。

変更前

直近のアップデート以降、Windows 上で自動実行モード（auto mode）を使用しているにもかかわらず、ただのディレクトリ移動やファイルへの書き出しコマンドを実行するだけで毎回手動での承認プロンプトが表示され、自動実行が一時停止してしまっていました。

変更後

不具合が解消され、一般的なファイルの書き出しや cd コマンドを挟むパイプライン処理はユーザーの手動介入なしに自動的にパスし、流れるように実行されます。

ユーザーへの恩恵

Windows 環境でのオートモード中に、簡単なコマンドの実行のたびに手動で「許可」ボタンを連打させられるストレスが解消されます。

変更前

v2.1.232 で追加されたセキュリティ制約により、Cygwin リンクや入力リダイレクトを含むシェルスクリプトが過剰にパーミッション違反として拒否され、開発ワークフローが壊れてしまう問題が生じていました。

変更後

これらの変更が一度リバート（差し戻し）され、従来の動作のまま正常に各種コマンドや Cygwin シンボリックリンクが評価されるようになります。

ユーザーへの恩恵

Windows + Cygwin などの環境で開発している際に、これまで動いていたスクリプトやパイプライン処理がエラーで動かなくなる問題を回避できます。

変更前

GitLabトークン（glrt-やglpat-など）がコマンドの出力やファイル読み込みを通じて、意図せず外部ツールやログに平文のまま露出するリスクがありました。

変更後

サンドボックスで実行されるコマンドに対して、GitLabトークンを検知して自動的にダミー値へマスク処理（redaction）を行い、glabの設定ファイルへの不正な書き込みも遮断します。

ユーザーへの恩恵

GitLab連携コマンドをサンドボックス内で実行する際に、プライベートトークンが不正に読み取られて外部に流出する心配がなくなります。

変更前

Claudeが生成・実行したPowerShellコマンド内の特定の環境変数上書き操作により、セッション全体のデフォルト挙動がサイレントに変更され、権限のバイパスやファイル改ざんが行われる脆弱性がありました。

変更後

コマンド内のパラメータ解釈処理が厳格化され、現在のセッションにおけるPowerShellの重要な組み込み初期変数が書き換えられるのを防止し、不正なコマンドリダイレクトを遮断します。

ユーザーへの恩恵

Windows環境でClaudeにPowerShellコマンドの実行を許可する際、セキュリティ権限システムが迂回されて重要なファイルを勝手に書き換えられる心配がなくなります。

変更前

Git Bashで使用される一部のシンボリックリンクファイルが、Claudeのパス検証エンジンによって「通常の静的ファイル」と誤判定され、書き込み禁止領域へのリンクであっても直接編集が通ってしまう問題がありました。

変更後

リンクパスの解決処理が修正され、Cygwinスタイルのシンボリックリンクを指す書き込み操作であっても、適切にパーミッション承認プロンプトを介入させます。

ユーザーへの恩恵

Windows上のGitリポジトリ内でシンボリックリンクを経由したファイル改ざんや、システムファイルの不正上書きが防止されます。

変更前

リポジトリの中にさらに別のリポジトリがネストされているプロジェクト構造の場合、親ディレクトリを「信頼する」と選択しただけで、未確認のネストリポジトリ内の許可設定まで自動的に信頼されてしまう状態でした。

変更後

Gitリポジトリの境界を正確に追跡し、ネストされた個々のサブモジュールやリポジトリにおいても、初回アクセス時に開発者へ信頼確認ダイアログを表示します。

ユーザーへの恩恵

サードパーティ製ライブラリなどのネストされたリポジトリ内に、悪意ある自動実行設定（allowルールなど）が含まれていた場合でも、開発者が気づかずに承認させられるリスクがなくなります。

変更前

ゲートウェイや管理者から管理設定（managed settings）がプッシュされた際、表示されるセキュリティ承諾ダイアログの文言が不明瞭で、かつ大量の低レイヤーなOpenTelemetry設定が並んでいて何を承認しているか見通しが悪い状態でした。

変更後

実際にアクセスされるサーバーのURLが明確に表示され、テレメトリ専用の変更時には文言がマイルドになり、開発者に関係のない通常のOpenTelemetryオプションを省略表示します。また、sandbox.ripgrepなどのサーバー指定のサンドボックスプログラムの書き換え時には厳格に承認を求めます。

ユーザーへの恩恵

社内管理者からセキュリティ設定が適用される際、何が変更されどこにデータが送信されるかを、無駄な技術ノイズに惑わされることなく一目で安全に判断して承認できるようになります。

変更前

プロジェクトのGitリポジトリ内にコミットされた .claude/settings.json の中に、悪意あるローカル実行バイナリを指定するパスが混入していた場合、サンドボックスがシステム検索（ripgrep）を実行した瞬間にその偽バイナリが実行されてしまうセキュリティリスクがありました。

変更後

開発者が信頼してインストールしたユーザー設定（~/.claude）、あるいは社内管理者から配信されたポリシー以外、プロジェクトリポジトリ内の設定ファイル（.claude/settings.json）による検索エンジンのバイパス指定を一切無視します。

ユーザーへの恩恵

インターネットからクローンしてきた見知らぬパブリックGitリポジトリを開いてClaude Codeを動かす際、プロジェクト設定に仕込まれた不正な検索ツール指定によってPCが乗っ取られる危険がなくなります。

変更前

IPv6 アドレスの記述解釈が曖昧であったり、安全性の判定がグレーな書き方のネットワークアクセス規制ルールがすり抜けて許可されてしまう懸念がありました。

変更後

IPv6 表記の標準化と、解析が疑わしいドメインルールを徹底してブロックする fail-closed 方式が採用され、/doctor による検証で事前に不備を検出できます。

ユーザーへの恩恵

サンドボックスの通信制御設定ミスによる意図しない外部ネットワーク漏洩を未然に防ぐことができます。

変更前

自動モードなどでワークフローを実行していると、コミットの強制書き換えや検証のスキップといった履歴を破壊する恐れのある危険な Git 操作が、ユーザーへの事前のプロンプトなしにそのまま通ってしまっていました。

変更後

これらの破壊的な影響を及ぼしうるフラグが検出された場合、自動承認が無効化され、必ずユーザーに対して実行確認のプロンプトが表示されるようになります。

ユーザーへの恩恵

不意の強制プッシュによって、チームで共有しているブランチのコミット履歴を AI に上書きされて壊されるのを確実に防止できます。

変更前

claude.ai側から自動同期されて読み込まれるスキルが、ローカルマシン上に存在する同名のコマンドやMCPプロンプトを上書きして非表示にしてしまう危険性があり、また同期されたスキル本体がローカルシステム上で不意に任意のシェルコマンド(!記法)を実行したり、ファイルを読み込むといったセキュリティー上の懸念がありました。

変更後

同期スキルがローカル要素を上書きすることを防ぎ、詳細説明にはサニタイズと同期元ラベルが追加されます。また、同期されたスキルの実行時にはシェルコマンドの呼び出し(!記法)やローカルファイルのインポート(@記法)が無効化されます。

ユーザーへの恩恵

クラウドから同期されたスキルを実行する際、手元のPC上のファイルやシェルコマンドが意図せず操作される危険性を排除します。

変更前

Writeツールを使って既存のファイルを上書きする場合、セッション内で一度そのファイルをReadツールなどで読み込んでいないとエラーが発生して書き込みが拒否されるという、安全上の厳しい制約がありました。

変更後

新しいモデル(Sonnet 5など)を使用している場合に限り、事前にファイルを読み込んでいなくても既存ファイルへのWriteツールによる上書きが許可されます。古いモデルを使用している場合は、引き続き事前の読み込みが必要です。

ユーザーへの恩恵

新規ファイル作成と同様に、既存ファイルに対してもClaudeが事前の読み込み手順を踏むことなく、ダイレクトにファイルを上書き更新できるようになります。

変更前

GitHub-hostedランナー環境において、書き込み権限のないユーザーからのトリガーを許可する設定(allowed_non_write_users)を使用していると、Claude CodeによるすべてのBashコマンドがエラーになり正常に動作しませんでした。

変更後

書き込み権限を持たない許可されたユーザーがトリガーしたワークフロー上でも、Bashコマンドが正常に動作するようになります。

ユーザーへの恩恵

GitHub Actionsの制限を受けることなく、外部コラボレーターなどの実行指示に対しても安定して自動化ワークフローを実行できます。

変更前

信頼されていないディレクトリでclaude agentsを実行した際、ワークスペース信頼の確認プロンプトが表示されず、プロジェクト設定で許可されているルールが適用されない状態が分かりづらい状況でした。

変更後

信頼されていないディレクトリでclaude agentsを起動した際にも、通常のclaude起動時と同様にワークスペースを信頼するかどうかの確認プロンプトが表示されます。

ユーザーへの恩恵

プロジェクト固有の権限ルールやMCP設定を安全かつスムーズに適用させることができるようになります。

変更前

自動モード中にセーフティフィルターによる権限チェック拒否が発生した際、それが連続ブロック上限としてカウントされてセッション全体が中断し、モデルが同じ処理を何度もリトライしがちでした。

変更後

セーフティフィルターによる拒否を無駄にカウントせず、該当アクションの実行は阻止したまま、モデルに対してリトライを諦めて次の適切なアプローチへ移行するよう明確な指示を送ります。

ユーザーへの恩恵

自動実行中に一部のアクションがブロックされても、セッション全体が即座にエラー終了することなく、代替手段での自動実行を継続できるようになります。

変更前

他のセッションからSendMessageで送られてくるメッセージを受信する際、受信側セッションの安全状態やパーミッションの設定状態（バイパスモードなど）を考慮して受信を保留にするきめ細やかな制御が行えませんでした。

変更後

セキュリティをバイパスしている特別なセッションへのインバウンドメッセージは自動的には処理されず、ユーザーの明示的な承認が得られるまで保留される仕組みが導入されます。また、通常のパーミッションチェックが有効なセッションへのメッセージはそのまま自動配信されます。

ユーザーへの恩恵

セキュリティバイパス中の重要なセッションに対して、他のエージェントから意図しないメッセージが自動で流し込まれて実行されるのを防ぐことができます。

変更前

サンドボックス環境でパスワードやAPIトークンなどの秘匿情報を保護する際、環境変数を完全に隠す（deny）とツールが動作しなくなり、単純に値を置換するだけの通常のマスキングではJWTのペイロード内部の特定のクレームだけを隠したり、AWS SigV4署名を保ちつつ再署名したりする高度な保護ができませんでした。

変更後

正規表現を用いて構造化ファイルから特定トークンだけを切り出すextractや、JWTをデコードして特定のクレーム値を隠す仕組み、さらにはプロキシ経由でAWS SigV4リクエストを書き換えて再署名する高度なセキュリティオプションが導入されます。これらはリポジトリ内の個別設定ファイルからは設定できず、ユーザーがコントロールする信頼された設定ソースからのみ有効化されます。

ユーザーへの恩恵

ツールに必要な認証情報の利便性を損なうことなく、認証ファイルやトークン内の本当に保護すべき重要な情報だけを確実に隠蔽または安全に中継できるようになります。

変更前

サンドボックスのファイルシステム保護設定で、ディレクトリパスの末尾にスラッシュを指定して読み取り拒否（denyRead）などのルールを定義すると、パス文字列の不一致によりサンドボックス内のシェルコマンドがその制約をすり抜けてアクセスできてしまうセキュリティ上の穴がありました。

変更後

パスの末尾にあるスラッシュが適切に処理され、記述されたパターンに関わらず指定したディレクトリ配下へのアクセスがLinuxおよびmacOS上のサンドボックス内で完全にシャットアウトされるようになります。

ユーザーへの恩恵

セキュリティ設定ファイルのパスの書き方による偶発的な制限の漏れがなくなり、機密ファイルが含まれるディレクトリを確実に保護できます。

変更前

特定の GitHub 組織（Organization）配下にある複数のマーケットプレイスリポジトリに対して許可やブロックを制御する際、リポジトリを1つずつ個別に管理設定ファイルへ追加する必要があり、組織全体の統制を手間なく行うことが困難でした。

変更後

管理設定で "owner/*" という形式のワイルドカードを使用できるようになり、特定の GitHub 組織が所有するすべてのマーケットプレイスリポジトリを一括で許可またはブロック対象に指定できます。

ユーザーへの恩恵

組織内の開発環境におけるプラグインマーケットプレイスの利用制限を、リポジトリごとに個別登録することなく、組織単位でまとめて安全に管理できるようになります。

変更前

ワークフロー機能用のスクリプトが隔離されたサンドボックス内で実行される際、動的な import() 構文を利用することで、制限をバイパスして意図しないホスト環境の外部コードを読み込んで実行できる危険性がありました。

変更後

動的 import() を経由したサンドボックス外のコード実行が適切にブロックされ、ワークフロースクリプトの実行環境が強固に分離されます。

ユーザーへの恩恵

外部の未検証なスクリプトをワークフローとして実行する際も、ローカル環境を侵害されるリスクを心配せずに安全に実行できます。

変更前

組織管理者が managed-settings などで disableBypassPermissionsMode を設定して権限チェックのスキップを禁止していても、特定のカスタムエージェント定義内の bypassPermissions モードを介すとそのポリシーがすり抜けられてしまう抜け道が存在しました。

変更後

エージェント定義内の設定であっても組織の無効化ポリシーが最優先で適用され、bypassPermissions モードが正しく無視されるようになります。

ユーザーへの恩恵

組織全体のセキュリティルールを個別設定でバイパスされる恐れがなくなり、確実なガバナンスが機能します。

変更前

自動モード中、他のエージェントに指示メッセージを送る際にその内容の安全性が確認されず、フィルタをすり抜けるセキュリティリスクがありました。

変更後

他のエージェントを跨ぐメッセージの送出時にも、毎回必ず安全性の事前評価が行われるプロセスが組み込まれました。

ユーザーへの恩恵

マルチエージェントを自動実行させる場合でも、不適切なコマンドや危険な挙動の拡散を自動的に食い止めることができます。

変更前

ツール呼び出し中に処理が中断されると、誤った中断通知が表示されたり、本来完了していないツール使用の記録が対話履歴に残ってしまっていました。

変更後

中断が発生しても不要な警告メッセージが表示されなくなり、対話履歴には整合性の取れた状態のみが記録されるようになりました。

ユーザーへの恩恵

ツールの中断後に履歴の整合性を手動で修正したり、誤ったエラーメッセージを無視したりする必要がなくなります。

変更前

信頼されていない場所からでもフックスクリプトが実行され、セキュリティ上のリスクがありました。

変更後

ワークスペースの信頼確認を経てからフックが許可されるようになり、安全性が高まりました。

ユーザーへの恩恵

外部からダウンロードしたプロジェクト等で未知のコードが勝手に実行されるのを防げます。

変更前

安全と判断できる操作に対しても、すべてのBashコマンドで確認ダイアログが表示されていました。

変更後

自動分類器が読み取り専用操作を検出し、プロンプトなしで安全に実行します。

ユーザーへの恩恵

タスクの調査フェーズで不要な確認手順を省いて効率的に進められます。

変更前

&& リストの中にリダイレクトがあると、実行許可の判定が正しく機能せずプロンプトが表示される不具合がありました。

変更後

複合コマンド内の個々のリダイレクト条件を正確に解析し、許可設定に応じたプロンプト表示が可能になりました。

ユーザーへの恩恵

正当なコマンドに対しても、毎回パーミッションの確認画面が出るストレスが解消されます。

変更前

ユーザーが明示的に中断した操作も「拒否」としてカウントされ、統計データが正確ではありませんでした。

変更後

失敗した権限要求と、ユーザーによる能動的な中断操作を区別して報告するように改善されました。

ユーザーへの恩恵

自分の作業状況に対する統計情報が、ユーザーの意図を正確に反映したものになります。

変更前

PowerShell でコマンドを実行する際、引数の解析に制限があり複雑な git コマンドが失敗することがありました。

変更後

PowerShell 実行環境における引数の検証ロジックを強化し、より多様なコマンドを安全に扱えるようにしました。

ユーザーへの恩恵

Windows 環境でも、PowerShell ツール経由で git コマンドを制限なく活用できるようになります。

変更前

単一階層の指定（Edit(src/**)など）が、指定した親ディレクトリ内だけでなく、ツリー内のどこにあるネストされたディレクトリに対しても自動的に許可されていました。

変更後

指定した階層に合致するディレクトリ内のみが許可対象となるよう制限が正しく適用されるようになりました。

ユーザーへの恩恵

意図しないディレクトリへの書き込みが自動承認されるリスクを避けられます。

変更前

helpやmanコマンドが一部の文脈で自動承認されており、悪意のあるオプション実行などが許容される可能性がありました。

変更後

コマンド置換やバックスラッシュを含むパスなど、安全でないオプションや引数を持つhelpやmanコマンドが自動承認されなくなりました。

ユーザーへの恩恵

不審なコマンド実行を意図せず許可してしまうリスクが減ります。

変更前

Podmanのリモートモードや特定のデーモン接続フラグを含むdockerコマンドが、プロンプトなしで実行可能な状態でした。

変更後

デーモン接続先を操作するフラグが含まれるdockerコマンドは、必ず権限プロンプトの確認を経るようになりました。

ユーザーへの恩恵

外部のDockerデーモンや予期しない環境への接続を意図せず実行する事態を防げます。

変更前

エラーメッセージが抽象的で、どこで信頼設定が保存されるのかが不明確でした。

変更後

ホームディレクトリは信頼設定の保存対象外であることを伝え、プロジェクト内での実行を推奨するメッセージに変更しました。

ユーザーへの恩恵

なぜ信頼設定が求められているのか、どこで作業すべきかが直感的に分かります。

変更前

dir/**という指定が、意図せず任意の階層を対象としてしまうケースがあり、混乱を招いていました。

変更後

単一階層指定の場合は直下のディレクトリのみを対象とする挙動に統一しました。

ユーザーへの恩恵

フックの適用範囲が予測しやすくなり、誤適用を防げます。

変更前

fileコマンドは一括で読み取り専用として自動許可されていました。

変更後

magic-fileなどの高度な指定を含むfileコマンドは、実行時に権限の確認が必要になりました。

ユーザーへの恩恵

fileコマンドを介した不正なファイルパス指定や予期しない処理を未然に防げます。

変更前

ツール入力に含まれる特殊な制御文字や類似文字がそのまま中継されていたため、承認メッセージの見た目を意図的に操作される可能性がありました。承認者がツールの実行内容を誤認するリスクがありました。

変更後

これらの特殊文字や不可視文字、類似文字をサニタイズしてから中継するように改善されました。これにより、ツールの入力値によって承認画面のテキストが書き換えられるのを防ぎます。

ユーザーへの恩恵

チャット経由でリモート承認を行う際に、ツールの実行内容を常に正しく把握できるようになる。

変更前

オートモード(auto mode)では、フックがユーザーへの確認(ask)を求めた場合でも、分類器が安全だと判断するとプロンプトを出さずにサイレントで承認してしまうことがありました。フックによる明示的な制限が無視される場面がありました。

変更後

フックが「ask」を返した場合、オートモードであっても必ずユーザーにプロンプトを表示するように変更されました。分類器は拒否(deny)することはできますが、フックの要求を無視して勝手に承認することはできなくなります。

ユーザーへの恩恵

セキュリティや検証のために設定したフックによる確認要求が、オートモードでも確実に守られるようになる。

変更前

手動でディレクトリを消したりgit worktree pruneが行われたりして、gitから見たワークツリーの情報が壊れると、エージェントビュー(claude agents)からジョブを削除しようとしても無言で失敗し、行が残り続けていました。

変更後

gitが認識できない状態でもジョブの削除が成功するようになりました。削除できなかった場合も、単に再表示されるのではなく、なぜ削除が拒否されたかの理由(未プッシュのコミットがある等)が表示されます。

ユーザーへの恩恵

不要になったバックグラウンドタスクの行がリストに居座り続けることがなくなり、エージェントビューを常にクリーンに保てる。

変更前

「はい、今後表示しない」を選択した際の承認は、コマンドを実行したディレクトリに保存されていました。そのため、サブディレクトリや別のワークツリーで同じコマンドを使うと、再度許可を求められていました。

変更後

リポジトリのルートにある.claude/settings.local.jsonにルールが保存されるようになりました。一度許可すれば、リポジトリ内のどこで作業していても、また新しいワークツリーを作っても承認が引き継がれます。

ユーザーへの恩恵

同じリポジトリ内であれば、作業場所を変えても同じコマンドに対して何度も許可を求められる煩わしさがなくなる。

変更前

ブラウザ拡張機能を通じたローカルファイルのアップロードにおいて、パスの整合性チェックが不十分でセキュリティ上の懸念があった

変更後

セッションの読み取り権限ルールに基づいた厳格なパス検証が実行され、許可されたファイルのみがブラウザに送信されるようになる

ユーザーへの恩恵

ブラウザ操作の自動化中に、意図しない機密ファイルが外部のWebサイトにアップロードされるのを防げる

変更前

パーミッション設定で Write(path) や Glob(path) などの古い形式が使用されていても、より適切な Edit(path) や Read(path) への移行を促す仕組みがなかった。

変更後

起動時にこれらの古いルールを検出すると、推奨される新しいツール名への置き換えを促す警告が表示されるようになる。

ユーザーへの恩恵

最新のセキュリティモデルに合わせた正しいパーミッション設定への修正が容易になります。

変更前

isolation: 'worktree' を設定したサブエージェントが、隔離された環境内ではなく、誤ってメインのチェックアウトディレクトリに対して git 操作を行ってしまうリスクがあった。

変更後

サブエージェントが実行する git コマンドが、必ず自身に割り当てられた隔離ワークツリー内で動作するように厳格化された。

ユーザーへの恩恵

並列作業中のサブエージェントがメイン作業中のファイルを誤って書き換えてしまう心配がなくなります。

変更前

GitHub アプリ経由などでリレーされたコメント内に ultracode という文字列が含まれていると、ユーザーが意図していなくても高コストなワークフローが自動的に開始されてしまうことがあった。

変更後

ultracode によるワークフローの自動オプトインは、ターミナルからの直接入力などの人間による明示的な操作に限定されるようになる。

ユーザーへの恩恵

自動化されたコメントなどによって意図せずトークンを大量消費してしまう事態を防げます。

変更前

大量の検索結果を分割して表示（ページネーション）している際、最後のページを読み飛ばそうとすると、実際には結果が存在するのに「一致するファイルが見つかりません」という紛らわしいメッセージが表示されていた。

変更後

結果の終端に達したことが正確に通知され、検索自体の失敗と混同されないようになった。

ユーザーへの恩恵

検索結果が本当に存在しないのか、単に表示が終わっただけなのかを正確に判断できるようになります。

変更前

セッション開始後に作成された .claude フォルダ内のシンボリックリンクが、サンドボックスの保護対象として認識されず、誤って書き換えられてしまうリスクがあった。

変更後

シンボリックリンクの変更を動的に検知し、サンドボックスの書き込み制限をリアルタイムに更新するようになった。

ユーザーへの恩恵

設定ファイルや管理データに対する意図せぬ上書きをより確実に防ぐことができます。

変更前

オートモードでの権限判定（クラスシファイア）に使用されるモデルが外部セッションにおいて固定されておらず、セッションごとに検証が必要でした。また、特定のプロバイダーや環境では判定の安定性にばらつきがありました。

変更後

外部セッションの権限判定モデルとしてデフォルトで Sonnet 5 が使用されるようになり、セッションの最初の要求で検証された後はそのセッション中固定されます。これにより、安定した権限判定が維持されるようになります。

ユーザーへの恩恵

オートモード使用時に、どのモデルが権限判定を行っているかを気にしたり、判定の不安定さに煩わされたりすることがなくなります。

変更前

スクリーンリーダーモードを使用中、Shift+Tab キーでパーミッションモード（Manual, Plan, Autoなど）を切り替えても、現在のモードが何に変わったのかが音声で通知されませんでした。ユーザーは現在の動作モードを確認するために別の操作を行う必要がありました。

変更後

モードが切り替わるたびに、スクリーンリーダーが新しいモード名を即座に読み上げるようになります。これにより、視覚的なフィードバックがなくてもキー操作だけで確実にモード変更を把握できます。

ユーザーへの恩恵

パーミッションモードを切り替えるたびに、現在の設定が正しく反映されたかを手動で確認しなくてよくなります。

変更前

フルスクリーンレンダリングモードでは、基本的なマウスクリックはサポートされていたが、一部の複雑な複数選択メニューや自由入力欄ではキーボード操作が必要だった。

変更後

権限プロンプトなどのダイアログに表示される選択肢や自由記述欄を直接マウスでクリックして操作できる。これにより、ターミナル上での GUI 的な操作体験が一貫したものになる。

ユーザーへの恩恵

キーボード入力を待たずに、直感的なクリック操作だけで複雑なメニュー選択を済ませられるようになります。

変更前

Claude がファイルを読み込んだ後、その変更を適用するまでの間にディスク上でファイルが更新されると、たとえ編集箇所の内容が変わっていなくても安全策として編集が拒否されていた。

変更後

編集対象の文字列がファイル内で依然として一意に見つかる場合に限り、外部での変更を許容して編集を継続する。これにより、小さな外部更新による編集の競合エラーが減少した。

ユーザーへの恩恵

自分でファイルを微調整しながら Claude に指示を出しても、読み込みの不整合エラーでやり直しになることが減ります。

変更前

空ファイルを読み込むとオフセットエラーになったり、正規表現のミスが単なる「見つかりません」と表示されるなど、Claude がエラーの原因を正しく理解できない場合があった。

変更後

各ツールがより正確なステータスとエラーを返すようになった。特に Glob はヌルバイト等の不正な文字が含まれていても適切にエラーを報告し、クラッシュを回避する。

ユーザーへの恩恵

Claude がツールのエラーを正しく認識できるようになり、自己修復や原因の報告がより正確になります。

変更前

設定ファイルやマネージド設定で数千件規模の Bash 拒否リストなどを運用していると、Claude が何かアクションを起こすたびにルールの全件検索が走り、レスポンスが目に見えて遅くなっていた。

変更後

ルールの評価ロジックが高速化（プリコンパイル）された。どれほど複雑なセキュリティポリシーを適用していても、AI の回答生成が終わった直後にサッとツールが実行される。

ユーザーへの恩恵

セキュリティ設定を厳格にしている環境でも、AI のレスポンスを待たされるストレスがなくなります。

変更前

「rm -rf ~」などの致命的なコマンドも、バッククォートや変数を介した形式だとバイパスモードや自動モードでプロンプトなしに実行されるリスクがあった。

変更後

複雑な記述形式であってもホームディレクトリ等の削除を検知し、安全装置として必ずユーザーに確認を求めるようになる。

ユーザーへの恩恵

AIが誤って重要なシステムファイルを削除してしまう事故を、強力な権限設定下でも防げるようになる。

変更前

Amazon BedrockやGoogle Cloud Vertex AIなどの外部プロバイダーを利用する場合、オートモードを有効にするにはCLAUDE_CODE_ENABLE_AUTO_MODE=1という環境変数を明示的に設定する必要がありました。このオプトインがない限り、Shift+Tabでのモード切り替え候補にオートモードが表示されませんでした。

変更後

環境変数の設定なしで、デフォルトでオートモードが利用可能になりました。これにより、セットアップの手間が省け、すぐに自律的な実行モードを開始できます。無効にしたい場合は、設定ファイルでdisableAutoModeを指定することで制御可能です。

ユーザーへの恩恵

追加の設定なしで強力なオートモードを使い始められるようになり、プロバイダーを問わず一貫した利便性が得られます。

変更前

-pフラグを使用した際やSDK経由の実行ではセキュリティダイアログがスキップされるため、管理設定で配信された強力な設定（シェルコマンド実行など）がユーザーの明示的な確認なしに「同意済み」としてキャッシュに記録されてしまうリスクがありました。

変更後

非インタラクティブ実行時であっても、適切な確認ステップを踏まずにセキュリティ上の懸念がある設定が永続的に承諾されることがなくなりました。

ユーザーへの恩恵

組織のポリシー管理機能を利用する際、意図しない設定変更が勝手に行われることを防ぎ、セキュリティの透明性が向上します。

変更前

プロジェクトローカルな.claude/settings.local.jsonにオートモードの信頼設定を記述できましたが、これはリポジトリ間で設定の管理が分散する原因になっていました。

変更後

オートモードに関する個人設定は、ホームディレクトリの共通設定ファイル（~/.claude/settings.json）に集約されるようになりました。

ユーザーへの恩恵

リポジトリごとにオートモードの設定を書き直す必要がなくなり、自分の信頼設定を一箇所で一元管理できるようになります。

変更前

/cd コマンドを使用する際、/add-dir のようなディレクトリパスのサジェスト機能がありませんでした。

変更後

/cd でも /add-dir と同じ挙動でパスの候補が表示されるようになり、移動先を素早く選択できます。

ユーザーへの恩恵

長いパスを正確に手入力する手間が省け、プロジェクト間のディレクトリ移動がよりスムーズになります。

変更前

プッシュ先が origin 以外の場合、コマンド実行中にプッシュの許可を求めるプロンプトが表示されることがありました。

変更後

Git 設定で定義されたデフォルトのプッシュ先リモートが信頼済みとして扱われ、追加の承認なしでプッシュが進行します。

ユーザーへの恩恵

独自のワークフローや複数のリモートを使用している環境でも、PR 作成までの流れが中断されず迅速になります。

変更前

ワークツリーの場所に関わらず AI が自動的に移動できていたため、予期せぬディレクトリへの操作のリスクがありました。

変更後

標準的な隔離場所以外のワークツリーにアクセスする際はユーザーに確認を求めるステップが追加されました。

ユーザーへの恩恵

AI による不透明なディレクトリ移動を防ぎ、開発環境の安全性が高まります。

変更前

コールドスタート時に MCP サーバーの起動が間に合わず、許可プロンプト用ツールが見つからずにクラッシュしていました。

変更後

サーバーの接続を待機してからツールを呼び出すようになり、起動時の安定性が向上しました。

ユーザーへの恩恵

自動化されたスクリプトや CI 上での Claude Code 実行がより確実になります。

変更前

セッション記録用トランスクリプトファイルに対する不適切な操作が、自動モード（auto mode）のセキュリティ制御外で行われる可能性がありました。

変更後

トランスクリプトファイルへの改ざんを防ぐための明示的なルールがauto modeに導入されました。

ユーザーへの恩恵

セッション履歴の整合性が保たれ、自動エージェントの操作がより安全かつ信頼できるものになります。

変更前

auto modeにおいて、コンテキストから解決できない変数を対象としたrm -rfコマンドが自動実行されるリスクがありました。

変更後

解決不可な変数を含む削除コマンドに対して、実行前に必ずユーザーの確認を求めるようになりました。

ユーザーへの恩恵

意図しないファイル削除を未然に防ぐことができ、自動エージェント運用の安全性が大幅に高まります。

変更前

通知が人間からの入力がない場合でも「承認」を意味する文脈で表示されることがあり、誤解を招く可能性がありました。

変更後

通知内容に「人間からの入力がない」旨を明記するようにし、トランスクリプト上の自動的な承認動作を制限しました。

ユーザーへの恩恵

エージェントの自律的な動作を人間が誤って承認済みとみなす事故を防止できます。

変更前

OAuthトークンの有効期限が切れると、バックグラウンドセッションが予期せず中断されることがありました。

変更後

有効期限が近づくと通知が表示され、中断前に手動で再認証を行えるようになりました。

ユーザーへの恩恵

セッションの不意な切断を防ぎ、作業を中断させずに継続できるようになります。

変更前

現在のパーミッション設定モードが一目で分からない場合がありました。

変更後

フッターにステータスバッジが追加され、手動モードであることを視覚的に確認できます。

ユーザーへの恩恵

誤って予期しないツール実行を許可してしまうリスクを減らし、安全な作業環境を維持できます。

変更前

パーミッションモードのデフォルト設定が「default」という名称でした。

変更後

「Manual」が標準となり、従来の指定も引き続き受け入れられます。

ユーザーへの恩恵

権限管理の動作が名称からより直感的に理解できるようになり、運用の混乱を防げます。

変更前

SSL関連のエラーが発生すると、解決策が示されないまま何度も無駄なリトライが繰り返されていました。

変更後

接続エラーを検知すると、即座に停止して適切な修正ヒントを提示するようになりました。

ユーザーへの恩恵

不毛な待ち時間が減り、環境設定やネットワーク上の問題を即座に特定して解決できます。

変更前

--dangerously-skip-permissions フラグ付きで daemon サブコマンドを実行すると、CLIがこれを引数ではなく対話プロンプトとして誤解していました。

変更後

コマンドとオプションが正しくパースされ、期待通りの処理が実行されるようになりました。

ユーザーへの恩恵

権限スキップ設定を利用した自動化スクリプトやパイプラインが正しく動作するようになります。

変更前

プランモード中にブラウザツールを使用しようとした際、安全上の確認なしに動作したり、正しく制御できない状況がありました。

変更後

変更を伴う操作に対しては適切に許可を求め、読み取り専用処理は自動的に進むよう最適化されました。

ユーザーへの恩恵

調査や計画段階での安全性が向上し、不必要な確認を減らすことで作業効率が改善されます。

変更前

プランモード移行後に読み取り専用の確認ステップが挟まり、操作を中断されることがありました。

変更後

プランモードの特性に合わせて、読み取り系のアクションは許可されるようになり、シームレスな調査が可能です。

ユーザーへの恩恵

調査と計画のフェーズで過度な確認プロンプトを抑制でき、テンポ良く進められます。

変更前

特定フラグを付けて起動しても設定が正しく反映されず、意図せず安全モードで動作することがありました。

変更後

指定したパーミッション回避モードが正確に適用されるようになりました。

ユーザーへの恩恵

パーミッション設定を回避して作業したい場合に、意図通りの制御で確実にエージェントを起動できます。

変更前

デフォルトでは特定の危険なパターン(任意のコード実行など)のみが分類器でチェックされ、その他のコマンドは通常の権限確認プロセスに従っていました。

変更後

この設定を有効にすると、すべてのシェルコマンドが分類器を通過するようになり、一貫した自動承認判定が可能になります。

ユーザーへの恩恵

安全性を維持しつつ、信頼できる環境での定型的なシェル操作に対する手動承認の頻度をさらに減らすことができます。

変更前

Autoモードで操作が拒否された際、なぜ分類器がそのアクションをブロックしたのかという具体的な理由がユーザーに明示されていませんでした。

変更後

拒否理由がログやUIに表示されるようになり、/permissions コマンドから最近の拒否理由を詳しく確認できるようになりました。

ユーザーへの恩恵

拒否された原因(信頼されていないドメインへのアクセスなど)が明確になるため、設定の修正や例外ルールの追加を迅速に行えるようになります。

変更前

ログイン直後、古いセッション情報やデフォルト設定がキャッシュされたままになり、モデル選択などのUIが正しく更新されないことがありました。

変更後

ログイン完了と同時にクライアントデータが適切にリフレッシュされ、最新の利用可能なモデルや設定が即座に反映されるようになります。

ユーザーへの恩恵

ログイン後の再起動などが不要になり、アカウントに紐づく最新の機能をすぐに使い始めることができます。

変更前

承認操作を行っても設定が保存されず、終了後に再度拒否状態に戻ってしまうことがありました。

変更後

承認した操作は設定として確実に永続化されるようになりました。

ユーザーへの恩恵

権限管理画面での承認操作が一度で済み、作業の妨げとなる繰り返しプロンプトを確実に抑制できます。