settings.json

sandbox

型object記述場所どの設定ファイルでも可

Bash コマンドの実行をファイルシステムとネットワークから分離するサンドボックス設定を構成します。

含まれる設定16件

  • allowAppleEventsbooleanmacOSにおいて、サンドボックス化されたコマンドによるAppleイベントの送信を許可します(v2.1.181+)。
  • allowUnsandboxedCommandsbooleandangerouslyDisableSandboxパラメータを使用してサンドボックス外でコマンドを実行することを許可するかを制御し、falseの場合はこのパラ…
  • autoAllowBashIfSandboxedbooleanサンドボックス内で実行されるBashコマンドに対して、ユーザーへの確認プロンプトを表示せずに自動的に承認します。
  • bwrapPathstringLinuxやWSLのサンドボックスで使用する、カスタムのbubblewrap(bwrap)バイナリへのパス。
  • credentialsobjectサンドボックス化されたコマンドから認証ファイルとシークレット環境変数の読み取りをブロックします。(5件)
    • allowPlaintextInjectbooleanマスクされた認証情報の置換を、TLS 終端された HTTPS だけでなくプレーンテキストの HTTP リクエストに対しても許可します。
    • awsPairsobject[]非標準的な名前の環境変数で構成される 1 つの AWS 認証情報に対して、SigV4 再署名を行うためのマスクされた環境変数のグループを定義します。
    • envVarsobject[]サンドボックス化されたコマンドに対して、環境変数から削除する秘匿情報の変数名を指定します。
    • filesobject[]サンドボックス化されたコマンドから隠蔽する、認証情報ファイルのパスを指定します。
    • sigv4objectサンドボックス プロキシが再署名できない AWS リクエスト形式に対して行う処理を選択します。
  • enabledbooleanBashコマンドのサンドボックス実行を有効にします。
  • enabledPlatformsstring[]サンドボックス構成全体を、指定されたリスト内のプラットフォームのみに制限します。
  • enableWeakerNestedSandboxboolean--procのマウントが失敗する特権のないDocker環境向けに、サンドボックスの強度を大幅に下げて実行を可能にするモードを有効にします。
  • enableWeakerNetworkIsolationbooleanmacOS専用の設定で、MITMプロキシ環境下でGo製のツール(gh, terraform等)がTLS証明書を検証できるようにシステムTLS信頼サービスへのア…
  • excludedCommandsstring[]サンドボックス内で実行すべきではないコマンドのリスト(例: ["git", "docker"])を指定します。
  • failIfUnavailablebooleantrueに設定すると、必要な依存関係が不足している場合にサンドボックスの起動を警告ではなく致命的なエラーとして扱います。
  • filesystemobjectサンドボックス化されたコマンドのファイルシステムアクセス制御を設定します。(6件)
    • allowManagedReadPathsOnlyboolean管理設定専用。
    • allowReadstring[]denyReadで拒否された領域内の特定のパスに対して、読み取りを再許可します。
    • allowWritestring[]サンドボックス化されたサブプロセスに書き込み権限を与える追加のパスを指定します。
    • denyReadstring[]サブプロセスに対して読み取りアクセスを明示的に拒否するパスを指定します。
    • denyWritestring[]サブプロセスに対して書き込みアクセスを明示的に拒否するパスを指定し、allowWrite設定よりも優先されます。
    • disabledbooleanネットワーク分離を維持したまま、ファイルシステム分離を無効化してホストへの読み書きアクセスを許可します。
  • ignoreViolationsobject特定のコマンドパターンと、違反を無視するファイルシステムパスの対応マップを設定します。
  • networkobjectサンドボックス化された Bash 環境のネットワーク分離設定を構成します。(11件)
    • allowAllUnixSocketsbooleanすべてのUnixドメインソケット接続を許可します。
    • allowedDomainsstring[]サンドボックス内のコマンドに許可するネットワークドメインのホワイトリストで、ワイルドカードパターンをサポートしています。
    • allowLocalBindingbooleanローカルネットワークアドレス(localhostのポートなど)へのバインドを許可します。
    • allowMachLookupstring[]macOS専用の設定で、iOSシミュレーターやPlaywrightなどのXPCを介して通信するツールに必要な追加のMachサービス名の検索を許可します。
    • allowManagedDomainsOnlyboolean管理設定で有効な場合、ユーザーやプロジェクトの設定を無視して管理設定の許可ドメインのみを適用し、未許可ドメインへのアクセスをプロンプトなしで自動ブロックします。
    • allowUnixSocketsstring[]ローカルIPC(SSHエージェントやDockerなど)に使用するUnixドメインソケットへのアクセスを、特定のパスの配列で許可します。
    • deniedDomainsstring[]サンドボックス化されたコマンドに対するネットワークドメインの拒否リストで、広範な許可設定よりも優先して特定のドメインをブロックします。
    • httpProxyPortintegerネットワークフィルタリングに使用するHTTPプロキシのポートを指定します。
    • socksProxyPortintegerネットワークフィルタリングに使用するSOCKSプロキシのポートを指定します。
    • strictAllowlistbooleanサンドボックス内で許可リストに含まれないホストへのアクセスを、ユーザーへの問い合わせなしで拒否するための設定です。
    • tlsTerminateobject実験的機能として、サンドボックスプロキシ内で TLS を終端して HTTPS リクエストの内容を読み取ります。(2件)
      • caCertPathstringサンドボックス環境内で TLS を終端し、HTTPS リクエストの中身を読み取れるようにするための認証局証明書（CA）のパスを指定します。
      • caKeyPathstringTLS 終端時に利用する認証局のプライベートキーのパスを指定します。
  • ripgrepobjectClaude Code のバンドルされた ripgrep サポート用のカスタム設定を上書きします。(2件)
    • argsstring[]ripgrepバイナリに渡す追加のコマンドライン引数を指定します。
    • commandstring使用するripgrepバイナリへのパスを指定し、同梱されているバイナリを上書きします。
  • socatPathstringLinuxやWSLのネットワークプロキシで使用する、カスタムのsocatバイナリへのパス。

記述例

{
  "sandbox": {
    "enabled": true,
    "autoAllowBashIfSandboxed": true,
    "excludedCommands": ["docker *"],
    "filesystem": {
      "allowWrite": ["/tmp/build", "~/.kube"],
      "denyRead": ["~/.aws/credentials"]
    },
    "network": {
      "allowedDomains": ["github.com", "*.npmjs.org"]
    }
  }
}

使い方・用途

  • sandbox.enabled を true に設定してサンドボックスを有効にする
  • sandbox.filesystem で読み書き可能なパスを制限し、sandbox.network でネットワークアクセスを制御する
  • sandbox.credentials で認証情報ファイルやシークレット環境変数を保護する
英語原文(公式ドキュメントより)

Sandbox execution configuration. See https://code.claude.com/docs/en/sandboxing

関連ドキュメント

関連する変更履歴

v2.1.293(1件)

Fixed
Settings
Linux 上の /ultrareview アップロードで、サンドボックス化されたコマンドの実行中に「解析できない」設定ファイルを理由に、別のチェックアウト内にあるリポジトリなど一部のリポジトリが誤って拒否されていた問題を修正しました。
英語原文を表示
Fixed the /ultrareview upload on Linux wrongly refusing some repositories, such as one inside another checkout, over a settings file that "could not be parsed" while a sandboxed command was running

変更前

Linux 上で /ultrareview を実行した際、サンドボックス化されたコマンドの実行中に設定ファイルを解析できない状態になると、そのファイルの内容に関係なく、別のチェックアウト内にあるリポジトリなど、実際には問題のないリポジトリのアップロードが誤って拒否されていた。

変更後

設定ファイルの解析状態を正しく扱うようにし、別のチェックアウト内にあるリポジトリなどもアップロードできるようになった。解析できない設定ファイルを理由とする誤った拒否は発生しなくなる。

ユーザーへの恩恵

実際には問題のないリポジトリで ultrareview を実行できるようになり、誤ったエラーでレビュー開始が妨げられることがなくなる。

関連ドキュメント

v2.1.292(3件)

Fixed
Permissions
/ultrareview アップロード用に ~/.claude/seed-admin 配下に保存されたステージ済みファイルのコピーを、サンドボックス化されたコマンドが読み取れてしまう問題を修正した。
英語原文を表示
Fixed sandboxed commands being able to read the staged file copies of /ultrareview uploads under ~/.claude/seed-admin

変更前

サンドボックス化されたコマンドから、/ultrareview によるアップロードのために ~/.claude/seed-admin 配下に作成されるステージ済みファイルのコピーにアクセスできていた。このディレクトリには、.env などの認証情報を含む可能性のあるファイルを含むリポジトリの状態が一時的に保存される。

変更後

サンドボックス化されたコマンドからは、~/.claude/seed-admin 配下のステージ済みファイルのコピーを読み取れないように制限された。アップロード用のファイルはクラウドサンドボックスへの転送以外の用途から保護される。

ユーザーへの恩恵

認証情報などの機密ファイルがサンドボックス内のコマンド経由で漏洩するリスクが減る。

関連ドキュメント

Fixed
PermissionsSettings
マネージド sandbox の読み取り拒否パス(およびその隣にあるユーザー定義の拒否パス)がセッション中に新規追加されたり、別の場所へ再設定されたりした場合に、その内部に対してプロジェクトレベルの許可が効いたままになり、また対象ファイルを通じたクレデンシャル注入が停止していなかった問題を修正した
英語原文を表示
Fixed a managed sandbox read-deny path (and user ones beside it) that appears or re-points mid-session not dropping project grants inside it or ending credential injection from files it covers

変更前

マネージド sandbox の読み取り拒否パスがセッションの途中で新たに現れたり、別のパスに再設定されたりしても、その拒否パス内部のプロジェクト許可(grants)は削除されず、対象ファイルを通じたクレデンシャル注入も継続していた。

変更後

セッション中に読み取り拒否パスが現れたり再設定されたりすると、その内部のプロジェクト許可が削除され、対象ファイルからのクレデンシャル注入が終了するようになった。

ユーザーへの恩恵

セッション中に追加された読み取り拒否パスが即座に有効になるため、機密ファイルへのアクセス許可やクレデンシャル注入が拒否パスの下で残留しなくなる。

関連ドキュメント

Improved
PermissionsSettings
サンドボックス自動許可を改善: ユーザー設定・管理設定・--settings で strict sandbox モードを有効にしている場合、FOO=bar python3 app.py のような環境変数を前置したインタプリタコマンドがプロンプトなしで実行される
英語原文を表示
Improved sandbox auto-allow: with strict sandbox mode set in user, managed or --settings settings, an interpreter command with an env var prefix like FOO=bar python3 app.py runs unprompted

変更前

これまで、strict sandbox モード設定下では環境変数プレフィックス付きのインタプリタコマンドがサンドボックス内で実行されるか判定しきれず、実行前に許可プロンプトが表示されていた

変更後

strict sandbox モード設定下でも、環境変数プレフィックス付きのインタプリタコマンドがサンドボックス内実行と判定され、プロンプトなしで自動的に実行される

ユーザーへの恩恵

ユーザーは環境変数を付けたコマンド実行のたびに許可を確認する手間から解放される

関連ドキュメント

v2.1.290(7件)

Added
マネージド設定がユーザー設定のサンドボックスの allowRead パスや許可ドメインを無視している場合に、/status と doctor で警告を表示するようにした
英語原文を表示
Added a /status and doctor warning when managed settings ignore user-configured sandbox allowRead paths or allowed domains

変更前

変更後は、マネージド設定によるロックがユーザー設定の allowRead パスや allowedDomains を無視している場合、/status と doctor コマンドが警告を表示する。

変更後

以前は、マネージド設定がユーザーが設定したサンドボックスの allowRead パスや許可ドメインを無視しても、その旨は何も表示されず、設定が意図どおりに反映されないことに気づきにくかった。

ユーザーへの恩恵

ユーザーはサンドボックス設定がマネージド設定で上書きされていることを即座に把握し、意図しない設定の反映漏れを防げる。

関連ドキュメント

Fixed
別コマンドに heredoc をパイプするサンドボックス化されたコマンド(cat <<EOF | python3)が、毎回の実行で承認を求める問題を修正した。
英語原文を表示
Fixed sandboxed commands that pipe a heredoc into another command (cat <<EOF | python3) asking for approval on every run

変更前

サンドボックス内で heredoc を別コマンドにパイプするコマンド(cat <<EOF | python3)を実行すると、サンドボックス化されているにもかかわらず、毎回承認を求められていた。

変更後

サンドボックス内で heredoc を別コマンドにパイプするコマンド(cat <<EOF | python3)を実行しても、承認を求められずに実行できる。

ユーザーへの恩恵

サンドボックス化されたパイプ付き heredoc コマンドが毎回の承認なしで実行できるようになり、作業が中断されなくなる。

関連ドキュメント

Fixed
PermissionsSettings
サンドボックス除外が git clone オプションの短縮形で維持されない問題を修正しました。sandbox.excludedCommands の git * のような git パターンに対して、短縮形が長形式と同様に扱われるようになります。
英語原文を表示
Fixed a short form of a git clone option keeping the sandbox exemption from a git pattern such as git * in sandbox.excludedCommands; it is now treated like the long form

変更前

以前は、sandbox.excludedCommands に git * のような git パターンが設定されている場合、git clone のオプションを短縮形で記述するとサンドボックス除外が適用されないことがありました。

変更後

以前は、sandbox.excludedCommands に git * のような git パターンが設定されている場合、git clone のオプションを短縮形で記述するとサンドボックス除外が適用されないことがありました。この修正により、短縮形で書かれたオプションでも長形式と同様に扱われ、サンドボックス除外が正しく維持されます。

ユーザーへの恩恵

ユーザーは git clone のオプションを短縮形で書いてもサンドボックス除外が正しく機能するようになり、意図どおりコマンドをサンドボックス外で実行できるようになる。

関連ドキュメント

Fixed
Permissions
サンドボックスのオート許可(sandbox auto-allow)の下で、Monitor ツールのサンドボックス内コマンドが permission プロンプトをスキップする問題を修正した。これらのコマンドはユーザーの permission ルールに従う。
英語原文を表示
Fixed sandboxed Monitor tool commands skipping the permission prompt under sandbox auto-allow; they now follow your permission rules

変更前

サンドボックスのオート許可(auto-allow)が有効な環境では、サンドボックス内で実行される Monitor ツールのコマンドが permission ルールのチェックをバイパスし、ユーザーへの許可プロンプトを表示せずに自動実行されていた。

変更後

サンドボックスのオート許可が有効な場合でも、Monitor ツールのコマンドがユーザーの permission ルール(deny ルールや ask ルールなど)に従うようになった。サンドボックス内で実行される Monitor コマンドでも、許可設定に応じたプロンプト表示や拒否が正しく適用される。

ユーザーへの恩恵

ユーザーは sandbox auto-allow 環境下でも Monitor ツールのコマンドが自分の permission ルールに従って動作することを保証され、意図しないコマンドの自動実行を防げるようになる。

関連ドキュメント

Fixed
Settings
~/**/.env のようなサンドボックスの読み取りルールが大きなフォルダをカバーしている場合に、Linux と WSL で初回リクエストの前や /sandbox の Config タブで発生していたフリーズを修正した
英語原文を表示
Fixed a freeze before the first request and in the /sandbox Config tab on Linux and WSL when a sandbox read rule such as ~/**/.env covers a large folder

変更前

LinuxおよびWSLで、~/**/.env のようなワイルドカードを含むサンドボックスの読み取りルールが大きなフォルダをカバーしていると、初回リクエストの前や /sandbox の Config タブを開いたときにフリーズしていた。これは、読み取りルールを具体的なパスに展開する処理が、大量のファイルを含むフォルダを対象にすると完了しないため。

変更後

LinuxおよびWSLで、~/**/.env のようなワイルドカードを含むサンドボックスの読み取りルールが大きなフォルダをカバーしている場合でも、初回リクエスト前や /sandbox の Config タブでフリーズしなくなる。Claude Code は読み取りルールを具体的なパスに展開する際に、対象フォルダが大きくても処理が完了するようになった。

ユーザーへの恩恵

大きなフォルダを対象とする読み取りルールを設定しても、起動時や /sandbox 設定画面で固まることなく作業を続けられるようになる。

関連ドキュメント

Fixed
HooksPermissionsSettings
Linux のサンドボックス化された Bash コマンドが、.claude/settings.json または .claude/settings.local.json が存在しない場合にコマンド実行中に ConfigChange フックを実行し、設定を再読み込みする問題を修正
英語原文を表示
Fixed sandboxed Bash commands on Linux running ConfigChange hooks and reloading settings mid-command when .claude/settings.json or .claude/settings.local.json does not exist

変更前

設定ファイルが存在しない場合、設定の変更として扱われるべきでないにもかかわらず、コマンド実行中に設定の再読み込みや ConfigChange フックが誤ってトリガーされていた。

変更後

Linux のサンドボックス化された Bash コマンドが、.claude/settings.json または .claude/settings.local.json が存在しない場合でもコマンド実行中に設定を再読み込みし、ConfigChange フックを実行するようになった。これにより、ファイルが存在しない状況でもフック処理や設定再読み込みが発生する状態だった。

ユーザーへの恩恵

設定ファイルが存在しない場合に、サンドボックス化されたコマンド実行中に不要なフック実行や設定再読み込みが発生しなくなる。

関連ドキュメント

Fixed
Settings
Linux でサンドボックス化された Bash コマンドの実行後や、.claude/scheduled_tasks.json が削除された後に、/loop などのセッション限定の繰り返しスケジュールタスクが余分に 1 回実行される問題を修正した。
英語原文を表示
Fixed /loop and other recurring session-only scheduled tasks running an extra time after a sandboxed Bash command on Linux or after .claude/scheduled_tasks.json was deleted

変更前

Linux でサンドボックス化された Bash コマンドの実行後や、.claude/scheduled_tasks.json が削除された後でも、余分な実行が発生しないようになった。

変更後

Linux でサンドボックス化された Bash コマンドの実行後や、.claude/scheduled_tasks.json が削除された後でも、/loop などのセッション限定の繰り返しスケジュールタスクが、本来の予定時刻ではないのに余分に 1 回実行される状態だった。

ユーザーへの恩恵

セッション内の繰り返しタスクが余分に発火せず、意図したスケジュールどおりに実行できるようになる。

関連ドキュメント

v2.1.289(2件)

Fixed
Permissions
サンドボックスがコマンドを自動許可する場合に、展開された値を持つ環境変数接頭辞の背後にあるコマンド(例: TZ=... rm -rf build)が Bash deny ルールおよび ask ルールのマッチから漏れる問題を修正
英語原文を表示
Fixed Bash deny and ask rules missing a command behind an environment variable prefix with an expanded value (e.g. TZ="$HOME" rm -rf build) when the sandbox auto-allows commands

変更前

環境変数が展開される接頭辞が付いたコマンドは Bash deny/ask ルールの判定から漏れ、サンドボックス自動許可の条件下で問い合わせられずに実行される可能性があった。

変更後

環境変数接頭辞(例: TZ=... )が付いたコマンドでも、Bash deny/ask ルールのマッチ判定対象となる。

ユーザーへの恩恵

rm -rf などの危険なコマンドが変数展開の接頭辞を装って deny/ask ルールを回避して実行されるリスクが減り、コマンド実行制御がより確実になる。

関連ドキュメント

Fixed
Fixed a Bash deny or ask rule being skipped under sandbox auto-allow when a bare variable assignment came before the command
英語原文を表示
Fixed a Bash deny or ask rule being skipped under sandbox auto-allow when a bare variable assignment came before the command

変更前

サンドボックスの自動許可モードでは、コマンドの直前に変数代入（例: FOO=bar コマンド...）があると、deny ルールや ask ルールがスキップされ、そのままコマンドが自動承認されていた。

変更後

サンドボックスの自動許可でも、コマンド前に裸の変数代入があると deny/ask ルールが正しく評価される。

ユーザーへの恩恵

環境変数を付けて実行したコマンドについても、deny ルールが確実に効き、内容指定の ask ルールは承認ダイアログが出るため、意図しない自動実行を防げる。

関連ドキュメント

v2.1.288(2件)

Fixed
サンドボックスの自動許可において、区切り文字がクォートされていないヒアドキュメント(python3 <<EOF など)の本体がプレーンテキストと単純な $VAR 参照のみで構成されている場合に、実行のたびに承認を求められる問題を修正しました。
英語原文を表示
Fixed sandboxed heredocs with an unquoted delimiter (python3 <<EOF) asking for approval on every run under sandbox auto-allow when the body holds only plain text and simple $VAR references

変更前

サンドボックスの自動許可モードでは、区切り文字がクォートされていないヒアドキュメント(例: python3 <<EOF)を含むコマンドは、本体がプレーンテキストと単純な $VAR 参照のみであっても、実行のたびに承認を求められていました。

変更後

サンドボックスの自動許可の対象を判定する際に、区切り文字がクォートされていないヒアドキュメントも本体の中身を考慮して評価されるようになり、本文がプレーンテキストと単純な $VAR 参照のみで構成されている場合は毎回の承認要求なしで自動的に実行されます。

ユーザーへの恩恵

危険性のないヒアドキュメントを含むスクリプト実行が自動許可モードでスムーズに行えるようになり、不要な承認操作が減ります。

関連ドキュメント

Fixed
Permissions
permissions.blockReadsOutsideWorkingDirectories が有効な場合に、git config ファイルに対する sandbox.credentials.files エントリが適用されない問題を修正しました。
英語原文を表示
Fixed sandbox.credentials.files entries on git config files not taking effect while permissions.blockReadsOutsideWorkingDirectories is on

変更前

permissions.blockReadsOutsideWorkingDirectories が有効な場合、git config ファイルに対する sandbox.credentials.files のエントリが正しく適用されませんでした。その結果、ブロックが有効な環境でこれらのエントリが指定する認証情報ファイルのマスクや拒否などの動作が機能しませんでした。

変更後

permissions.blockReadsOutsideWorkingDirectories が有効な場合でも、git config ファイルに対する sandbox.credentials.files のエントリが正しく適用されるようになりました。

ユーザーへの恩恵

permissions.blockReadsOutsideWorkingDirectories を有効にしている環境でも、git config ファイルに設定した sandbox.credentials.files のエントリが正しく反映されるようになります。

関連ドキュメント

v2.1.287(1件)

Fixed
Linux でサンドボックス化された Bash コマンドが、Claude Code 実行ファイルのオープンされたハンドルを継承しなくなりました。
英語原文を表示
Fixed sandboxed Bash commands on Linux inheriting an open handle on the Claude Code executable

変更前

Linux 上では、サンドボックス内で実行される Bash コマンドが、起動元である Claude Code 実行ファイルのオープンされたファイルハンドルを継承していました。

変更後

Linux でサンドボックス化された Bash コマンドが、Claude Code 実行ファイルのオープンされたハンドルを継承しなくなります。

ユーザーへの恩恵

サンドボックス化された Bash コマンドが Claude Code 実行ファイルへの不要なハンドルを保持しなくなり、サンドボックスの分離が強化されます。

関連ドキュメント

v2.1.286(1件)

Improved
fetch、skill、ファイル読み取り、サンドボックスネットワーク、Claude in Chrome、ワークフロースクリプト、ノートブック編集の各権限プロンプトを、ファイル編集プロンプトと同じ見た目に合わせて改善した。
英語原文を表示
Improved fetch, skill, file read, sandbox network, Claude in Chrome, workflow script and notebook edit permission prompts to match the look of file edit prompts

変更前

fetch、skill、ファイル読み取り、サンドボックスネットワーク、Claude in Chrome、ワークフロースクリプト、ノートブック編集の各権限プロンプトは、ファイル編集プロンプトと異なる見た目で表示されていた。

変更後

各ツールの権限確認ダイアログは、それぞれ異なる見た目で表示されていたため、ダイアログの種類によって操作感がばらついていた。

ユーザーへの恩恵

ユーザーはどのツールの権限を求められても、ファイル編集と共通した統一されたダイアログで確認できるようになる。

関連ドキュメント

v2.1.285(2件)

Fixed
Permissions
= を含むという理由だけで、(python3 -c や node -e などの) 多くのインラインスクリプトの実行ごとに、サンドボックスのオート許可が承認を求める問題を修正した
英語原文を表示
Fixed sandbox auto-allow asking for approval on every run of many inline scripts (python3 -c, node -e) just because they contain =

変更前

イコール記号を含むインラインスクリプトは、実際のアクセスパターンに関係なくサンドボックス化できないと見なされていた

変更後

イコール記号を含むという理由だけで、(python3 -c や node -e といった) 多くのインラインスクリプトの実行時に、サンドボックスのオート許可が毎回承認を求めていた

ユーザーへの恩恵

= を含む python3 -c や node -e のインラインスクリプトが、毎回の承認なしにサンドボックス内で自動実行されるようになる

関連ドキュメント

Changed
サンドボックスの設定を変更し、プロジェクト設定が管理者必プロジェクト設定が管理者必須のサンドボックスを緩和・無効化したり、管理対象拒否リストの背後にあるプロキシを差し替えたり、厳格な許可リストを拡張したり、管理対象の読み取り拒否を再び許可したりできないようにした。
英語原文を表示
Changed sandbox settings so project settings cannot widen or turn off an admin-required sandbox, replace the proxy behind a managed deny list, extend a strict allowlist, or reopen managed read-denies

変更前

プロジェクト設定でサンドボックス設定を上書きでき、意図せずセキュリティポリシーが緩む恐れ

変更後

プロジェクト側の設定が、管理者必側の設定が、管理者必須のサンドボックスを緩めたり無効化したりできないように調整

ユーザーへの恩恵

管理者が設定したサンドボックスセキュリティポリシーを開発者が無効化・緩和できないことが保証される

関連ドキュメント

v2.1.284(2件)

Fixed
Linux 環境で、書き込み拒否された作業ディレクトリに読み取り拒否のディレクトリが含まれる場合に、サンドボックス化された Bash コマンドの起動が失敗する問題を修正した
英語原文を表示
Fixed sandboxed Bash commands failing to start on Linux when the working directory is write-denied and contains a read-denied directory

変更前

Linux 環境で、書き込み拒否された作業ディレクトリ内に読み取り拒否のディレクトリが含まれると、サンドボックス化された Bash コマンドが起動に失敗していた。

変更後

Linux 環境で、書き込み拒否された作業ディレクトリ内に読み取り拒否のサブディレクトリが存在する場合でも、サンドボックス化された Bash コマンドが正常に起動する。

ユーザーへの恩恵

そのような権限構成の作業ディレクトリでもサンドボックス化された Bash コマンドを利用できるようになり、処理がブロックされない。

関連ドキュメント

Improved
非同期スクリプトフックがスローするエラーに対して、Workflowツールのサンドボックス硬化を改善した。
英語原文を表示
Improved Workflow tool sandbox hardening for errors thrown by async script hooks

変更前

Workflowツールをサンドボックス内で実行する際、非同期スクリプトフックがスローするエラーが適切にハンドリングされず、未処理の例外として扱われることがあった。その結果、スクリプトの失敗が正しく報告されない状態だった。

変更後

非同期スクリプトフックがエラーをスローしても、Workflowツールのサンドボックス内で適切にキャッチされ処理されるようになった。これにより、非同期フックの失敗が原因の未処理例外や予期しないクラッシュが減り、エラーメッセージが適切に表示される。

ユーザーへの恩恵

非同期スクリプトフックが失敗してもエラーが確実に捕捉され報告されるため、ワークフローの実行がより安定し、デバッグしやすくなる。

関連ドキュメント

v2.1.283(3件)

Fixed
サンドボックス環境などでユーザー設定ファイルやローカル設定ファイルに書き込めなかった場合に、claude mcp add、add-json、remove が成功と報告していた問題を修正した。
英語原文を表示
Fixed claude mcp add, add-json, and remove reporting success when the user or local config file could not be written, for example inside a sandbox

変更前

claude mcp add、claude mcp add-json、claude mcp remove を実行した際、ユーザー設定ファイルやローカル設定ファイルへの書き込みが失敗しても、エラーを検知できず正常に完了したかのように成功メッセージが表示されていた。この修正により、設定ファイルへの書き込みが行えなかった場合には成功を報告せず、書き込みに失敗したことを示すエラーが返る。

変更後

claude mcp add、claude mcp add-json、claude mcp remove を実行した際、ユーザー設定ファイルやローカル設定ファイル（サンドボックス環境など書き込み権限がないケース）への書き込みが失敗しても、エラーを検知できず正常に完了したかのように成功メッセージが表示されていた。この修正により、設定ファイルへの書き込みが行えなかった場合には成功を報告せず、書き込みに失敗したことを示すエラーが返る。

ユーザーへの恩恵

ユーザーはサンドボックス環境のように設定ファイルに書き込めない状況で MCP サーバーの追加や削除を行っても、操作が実際には反映されていないという見落としを防ぎ、失敗を即座に把握して対処できる。

関連ドキュメント

Fixed
サンドボックス化された git がサンドボックスプロキシのログイン情報を資格情報ヘルパーに保存しようとして「failed to store」と表示される問題を修正した。
英語原文を表示
Fixed sandboxed git asking credential helpers to store the sandbox proxy's login, which printed "failed to store"

変更前

サンドボックス内で git を実行しても、サンドボックスプロキシのログイン情報を資格情報ヘルパーに保存しようとする動作がなくなり、「failed to store」というメッセージが表示されなくなった。

変更後

サンドボックス内で git を実行した際、git がサンドボックスプロキシのログイン情報を資格情報ヘルパーに保存しようとするため、「failed to store」というメッセージが表示されていた。

ユーザーへの恩恵

ユーザーはサンドボックス内で git を実行しても、意味のない「failed to store」というエラーメッセージに惑わされずに済むようになった。

関連ドキュメント

Fixed
PermissionsSettings
ネストされた値の1つが不正だった場合に、managed な sandbox 設定全体が無視される問題を修正した。不正な値は fail closed(安全側に倒れて適用されない)となり、ブロックの残りの部分は引き続き適用される。
英語原文を表示
Fixed managed sandbox settings being ignored entirely when one nested value was invalid; the invalid value now fails closed and the rest of the block still applies

変更前

managed settings の sandbox ブロック内に1つでも不正な値があると、ブロック全体が無視され、サンドボックスの分離設定がまったく適用されていなかった。

変更後

サンドボックス設定内の1つの値が不正でも、その値は安全側に倒れて適用されない一方、他の有効な設定はこれまで通り有効になる。

ユーザーへの恩恵

1つの不正な値によってサンドボックス全体の保護が失われることなく、設定の安全性と可用性を両立できる。

関連ドキュメント

v2.1.282(1件)

Changed
管理設定または --settings で allowUnsandboxedCommands: false が設定されている場合、または管理設定で allowManagedDomainsOnly: true が設定されている場合に、sandbox.excludedCommands がプロジェクト設定やローカル設定のエントリを無視するように変更しました。
英語原文を表示
Changed sandbox.excludedCommands to ignore project and local settings entries when managed settings or --settings set allowUnsandboxedCommands: false, or managed allowManagedDomainsOnly: true

変更前

以前は、strict モードや managed ドメイン限定モードであっても、sandbox.excludedCommands にプロジェクト設定やローカル設定で追加されたエントリが適用されていました。

変更後

管理設定または --settings で allowUnsandboxedCommands: false が指定されている場合や、管理設定で allowManagedDomainsOnly: true が指定されている場合、sandbox.excludedCommands のうちプロジェクト設定とローカル設定からのエントリが無視されるようになりました。

ユーザーへの恩恵

ユーザー側の設定でサンドボックスの除外コマンドを緩めることができなくなり、組織のサンドボックスポリシーが強制されるようになりました。

関連ドキュメント

v2.1.281(6件)

Fixed
Permissions
サンドボックスの excludedCommands 設定が git rev-parse --git-dir、シェル組み込みコマンドに似た名前のプログラム、[WIP] や # 行を含むコミットメッセージに一致しない問題を修正した
英語原文を表示
Fixed sandbox excludedCommands entries not matching git rev-parse --git-dir, programs named like shell builtins, and commit messages containing [WIP] or # lines

変更前

サンドボックスの excludedCommands に登録したコマンドでも、git rev-parse --git-dir のようなパイプ経由の呼び出しや、シェル組み込みコマンドと同名のプログラム、[WIP] や # を含むコミットメッセージを扱う場合には一致判定されず、サンドボックス内で実行され続けていた。

変更後

サンドボックスの excludedCommands が、パイプを伴う git rev-parse --git-dir、シェル組み込みコマンドと同名のプログラム、[WIP] や # 行を含むコミットメッセージでも正しく一致判定するようになり、該当コマンドが除外対象としてサンドボックス外で実行される。

ユーザーへの恩恵

ユーザーは除外設定したコマンドが確実にサンドボックス外で動くようになり、git 操作やコミット処理でサンドボックス起因の失敗に悩まされなくなる。

関連ドキュメント

Fixed
PermissionsSettings
CLAUDE_CODE_TMPDIR が設定されている場合に、サンドボックス化された Bash コマンドが $TMPDIR への書き込みに失敗する問題を修正した。
英語原文を表示
Fixed sandboxed Bash commands being unable to write to $TMPDIR when CLAUDE_CODE_TMPDIR is set

変更前

CLAUDE_CODE_TMPDIR を設定すると、サンドボックス内の Bash コマンドがセッション用テンポラリディレクトリ（$TMPDIR）に書き込もうとすると失敗していた。

変更後

CLAUDE_CODE_TMPDIR を設定していても、サンドボックス内の Bash コマンドはセッション用テンポラリディレクトリ（$TMPDIR）に書き込めるようになった。

ユーザーへの恩恵

CLAUDE_CODE_TMPDIR を設定していても、mktemp や一時ファイル出力を利用するツールがサンドボックス内で追加設定なしで動くようになる。

関連ドキュメント

Fixed
権限プロンプトとサンドボックスのネットワークアクセス許可プロンプトが重なり、両方に回答した後もリモートセッションが古いプロンプトのまま「承認が必要」状態で止まり続ける問題を修正した。
英語原文を表示
Fixed remote sessions staying on "needs approval" with a stale prompt after a permission prompt and a sandbox network-access prompt overlapped and both were answered

変更前

権限プロンプトとサンドボックスのネットワークアクセス許可プロンプトが重なり、両方に回答しても、リモートセッションは古い（stale）プロンプトを表示したまま「要承認（needs approval）」状態から動かなくなることがあった。

変更後

権限プロンプトとサンドボックスのネットワークアクセス許可プロンプトが重なって両方に回答した場合でも、リモートセッションは「要承認（needs approval）」状態に残留せず、両方の回答を反映して正常に再開するようになった。

ユーザーへの恩恵

重複したプロンプトに回答した後もリモートセッションが承認待ちで固まることなく、手動での再開や再接続の手間が不要になる。

関連ドキュメント

Improved
macOS でのサンドボックスのガイダンスを改善: ローカル開発サーバーがポートをバインドできないとき、Claude が sandbox.network.allowLocalBinding を案内する
英語原文を表示
Improved sandbox guidance on macOS: when a local dev server can't bind a port, Claude now points to sandbox.network.allowLocalBinding

変更前

ローカル開発サーバーがポートにバインドできずに失敗したとき、Claude はサンドボックス環境（macOS の Seatbelt ポリシーによる localhost バインド拒否）が原因であることを説明できず、ユーザーは原因と対処法を自分で調べる必要があった。

変更後

ローカル開発サーバーがポートのバインド（待ち受け）に失敗したとき、Claude はエラーメッセージで macOS のサンドボックス設定 sandbox.network.allowLocalBinding を有効にするよう具体的に提案するようになった。

ユーザーへの恩恵

macOS のサンドボックス環境で localhost バインドが許可されていないことが原因とすぐ特定でき、設定で許可するだけで開発サーバーを起動できるようになる。

関連ドキュメント

Improved
/help と /sandbox の改善: ←/→ と Tab でタブのリスト内からそのままタブを切り替えられるようになり、/help の Custom commands タブが空のときに ↓ を押しても Esc を押すまでキーが効かなくなる問題を解消した。
英語原文を表示
Improved /help and /sandbox: ←/→ and Tab switch tabs from inside a tab's list, and ↓ on an empty Custom commands tab in /help no longer leaves the keys stuck until Esc

変更前

←/→ と Tab はタブのリスト内にフォーカスがあると反応せず、タブを切り替えるにはリストから出る必要があった。また /help の Custom commands タブに項目がない状態で ↓ を押すと、キーが効かなくなり Esc を押すまで回復しなかった。

変更後

←/→ と Tab をタブのリスト内から押してもタブを切り替えられるようになり、/help の空の Custom commands タブで ↓ を押してもキーが Esc を押すまで効かなくなる状態がなくなった。

ユーザーへの恩恵

リスト内にフォーカスがあってもそのままタブ操作やリスト移動が完結するようになり、Custom commands タブが空でも ↓ を押しても操作不能に陥らずに済む。

関連ドキュメント

Changed
Permissions
auto モードを変更。分類器レビューがサーバーサイドで実行される場合、読み取り専用およびサンドボックス化されたシェルコマンドもそのレビューを待つようになり、レビューがフラグを立てた場合にはブロックされる。
英語原文を表示
Changed auto mode so that, where its classifier review runs server-side, read-only and sandboxed shell commands also wait for that review and are blocked when it flags them

変更前

サーバーサイドで分類器レビューが走るセッションでも、読み取り専用やサンドボックス化されたシェルコマンドはレビューを待たずに実行されていた。

変更後

サーバーサイドで分類器レビューが走るセッションでは、読み取り専用のシェルコマンドやサンドボックス化されたシェルコマンドもそのレビューを待つようになり、レビューがフラグを立てた場合には実行がブロックされる。

ユーザーへの恩恵

読み取り専用コマンドでもサーバー側のセキュリティ判断が適用されるため、データ送信を伴う危険なコマンドの見逃しが減る。

関連ドキュメント

v2.1.280(2件)

Fixed
PermissionsSettings
多くのダイアログ(/model、/effort、/config、/status、/usage、/plugin、/sandbox、/permissions、/artifacts、/mobile、/login、/upgrade、/usage-credits、/install-github-app、/setup-bedrock、/setup-vertex)で、Ctrl+CやCtrl+Dを2回押してもClaude Codeが終了せず、ダイアログが閉じるだけになった。
英語原文を表示
Fixed Ctrl+C or Ctrl+D pressed twice in most dialogs (/model, /effort, /config, /status, /usage, /plugin, /sandbox, /permissions, /artifacts, /mobile, /login, /upgrade, /usage-credits, /install-github-app, /setup-bedrock, /setup-vertex) quitting Claude Code instead of closing the dialog

変更前

多くのダイアログ(/model、/effort、/configなど)でCtrl+CやCtrl+Dを2回押すと、ダイアログを閉じるつもりでもClaude Code全体が終了してしまうことがあった。誤ってキーを押すと作業中のセッションごと失われていた。

変更後

同じダイアログ内でCtrl+CやCtrl+Dを2回押すと、ダイアログが閉じて前の画面に戻る。Claude Code自体は終了せず、会話とセッション状態がそのまま保たれる。

ユーザーへの恩恵

ダイアログ操作中の誤キー入力でセッションが落ちることがなくなり、安心して設定画面を開けるようになる。

関連ドキュメント

Added
[VSCode] サンドボックスモード、サンドボックスなしでのフォールバック、除外コマンドを対象に、パネルメニューから、または /sandbox と入力して開けるサンドボックスダイアログを追加した。
英語原文を表示
[VSCode] Added a Sandbox dialog for the sandbox mode, the unsandboxed fallback and excluded commands, opened from the panel menu or by typing /sandbox

変更前

サンドボックスの設定状況やサンドボックス外で実行されるコマンドに関する情報がダイアログにまとめられておらず、UI から一元的に把握することができなかった。

変更後

サンドボックスモード、サンドボックスなしでのフォールバック、除外コマンドを一つのダイアログで確認・管理できるようになった。

ユーザーへの恩恵

ユーザーは /sandbox コマンドまたはパネルメニューからダイアログを開くだけで、サンドボックスの状態とサンドボックス外実行の設定を一括して確認・管理できる。

関連ドキュメント

v2.1.277(3件)

Fixed
サンドボックス化が有効な環境で、サンドボックスの外部で実行される Bash コマンドにおいて $TMPDIR が空文字列に展開される問題を修正しました。
英語原文を表示
Fixed $TMPDIR expanding empty in Bash commands that run outside the sandbox while sandboxing is enabled

変更前

サンドボックス化が有効な環境で、サンドボックスの外部で実行される Bash コマンドが $TMPDIR を参照すると、シェル側で設定がなければ空文字列に展開されていました。

変更後

サンドボックス化が有効な環境で、サンドボックスの外部で実行される Bash コマンドが $TMPDIR を参照すると、シェルの設定ではなく CLAUDE_CODE_TMPDIR のオーバーライド値が使われ、それが設定されていない場合は OS のテンポラリディレクトリにフォールバックするようになりました。そのため、変数が空文字列に展開されることはありません。

ユーザーへの恩恵

サンドボックス外で実行されるコマンドが $TMPDIR に依存しても、空文字列のパスとして展開されることによるエラーが発生しなくなります。

関連ドキュメント

Fixed
sandbox.excludedCommands の glob パターンが、複合 Bash コマンドの一部だけが一致した場合にコマンド全体をサンドボックス適用外にする不具合を修正した。現在はすべての部分が一致する必要がある。
英語原文を表示
Fixed a sandbox.excludedCommands glob exempting an entire compound Bash command from the sandbox when only one part matched; every part must now match

変更前

複合 Bash コマンドの一部だけが sandbox.excludedCommands の glob パターンに一致しても、コマンド全体がサンドボックス適用外とみなされていた。

変更後

複合 Bash コマンドの一部だけが sandbox.excludedCommands の glob パターンに一致しても、コマンド全体がサンドボックス適用外とみなされていた。サンドボックス適用を免れるには、構成するすべての部分がパターンに一致する必要がある。

ユーザーへの恩恵

ユーザーは一部だけが除外パターンに一致する複合コマンドでも、意図したとおりサンドボックスによる制限が適用されるようになり、コマンド実行時の安全性を確保しやすくなる。

関連ドキュメント

Changed
Bedrock、Vertex、Foundry上のBashサンドボックスの指示をファーストパーティの表現に変更した。これはサンドボックスをタスクに与えられた境界として説明するものである。
英語原文を表示
Changed the Bash sandbox instructions on Bedrock, Vertex and Foundry to the first-party wording, which frames the sandbox as the boundary of what the task was given

変更前

Bedrock、Vertex、Foundry向けのBashサンドボックスの指示は、ファーストパーティ版と異なる文言になっていた。

変更後

Bedrock、Vertex、Foundry向けのBashサンドボックスの指示が、サンドボックスをタスクに与えられた境界として説明するファーストパーティの表現に統一された。

ユーザーへの恩恵

外部プロバイダー経由でもファーストパーティ版と同等のサンドボックスの説明がシステムプロンプトに含まれるようになる。

関連ドキュメント

v2.1.275(2件)

Fixed
Linuxでzsh使用時に、サンドボックス化されたBashコマンドが失敗したコマンドの終了コードを0として報告する問題を修正しました。
英語原文を表示
Fixed sandboxed Bash commands on Linux reporting exit code 0 for failed commands when the shell is zsh

変更前

修正後は、コマンドの実際の終了コードが正しく報告され、失敗が検出できるようになりました。

変更後

Linux上でzshを使っている場合、サンドボックス化されたBashコマンドが失敗しても終了コード0を返していました。

ユーザーへの恩恵

zsh環境のLinuxでもコマンドの失敗を正しく検知でき、後続処理の誤動作を防げるようになりました。

関連ドキュメント

Fixed
プロジェクト内の hooks/ や config/ という名前のディレクトリにサンドボックス化された Bash コマンドが書き込めなかった問題を修正
英語原文を表示
Fixed sandboxed Bash commands being unable to write to project directories named hooks/ or config/

変更前

サンドボックスで保護されたパスの中に、プロジェクト内の hooks/ や config/ という名前のディレクトリが含まれるため、sandboxed Bash コマンドはそれらのディレクトリに書き込めなかった。

変更後

sandboxed Bash コマンドが、プロジェクト直下の hooks/ ディレクトリや config/ ディレクトリに問題なく書き込めるようになった。

ユーザーへの恩恵

プロジェクトの作業ディレクトリ内の hooks/ や config/ ディレクトリに sandboxed Bash コマンドが自由に書き込めるため、これらのディレクトリにファイルを書き込む作業がサンドボックス外のコマンド実行なしで完了する。

関連ドキュメント

v2.1.271(2件)

Added
サンドボックスが有効な自動モードにおいて、Bash・PowerShell・Monitor の各コマンドに allowed_domains(許可ドメイン)を個別に指定できるようになった。コマンドが必要とするホストはそのコマンドと一緒にレビューされ、そのコマンドのためだけに開かれ、他のホストへのアクセスは拒否される。
英語原文を表示
Added per-command allowed_domains to Bash, PowerShell and Monitor in auto mode with sandboxing: the hosts a command needs are reviewed with it and opened for it alone; other hosts are refused

変更前

サンドボックス付きの自動モードでは、コマンドが必要とするホストがコマンド実行時に個別にレビューされ、承認されたホストへのアクセスはセッション全体で許可される仕組みだった。許可の対象はコマンド単位ではなく、同じホストへの以後の接続も自動的に許可される状態だった。

変更後

自動モードのサンドボックス環境で、コマンドごとに allowed_domains で許可ホストを指定できるようになり、Bash・PowerShell・Monitor の各コマンド実行時に必要なホストだけがそのコマンドのために開かれる。指定されていない他のホストへのアクセスは拒否される。

ユーザーへの恩恵

ホストの許可がコマンド単位で閉じるため、悪意あるコマンドが承認済みホストを横流しして外部アクセスするリスクが減る。

関連ドキュメント

Fixed
Linux環境において、サンドボックス化されたコマンドの起動に失敗した後に残存した古い.git/config.lockが原因で、そのセッション中のgit checkout -b、git push -u、およびgit configが失敗する問題を修正した。
英語原文を表示
Fixed a stale .git/config.lock breaking git checkout -b, git push -u and git config for the rest of a session after a sandboxed command failed to start (Linux)

変更前

Linux環境でサンドボックス化コマンドの起動に失敗すると、処理の途中で古い.git/config.lockが残されてしまい、その後セッションを終了するまでgit checkout -b、git push -u、git configなどのgitコマンドがロック競合によって失敗し続けていた。

変更後

Linux環境でサンドボックス化コマンドの起動に失敗した後も、残された古い.git/config.lockが原因で、同じセッション内でのその後のgit checkout -bやgit push -u、git configの実行がエラーで失敗するままだった。この修正により、起動に失敗した際にロックファイルが適切にクリーンアップされ、セッション内の後続のgitコマンドが正常に完了するようになった。

ユーザーへの恩恵

サンドボックス起動エラーの後にgitコマンドがブロックされることがなくなり、セッションを再起動せずにそのまま作業を続けられるようになる。

関連ドキュメント

v2.1.268(1件)

Fixed
PermissionsSettings
ファイルシステム分離が無効のときに実効性のないパス一覧を表示せず、また厳格モードで「コマンドがサンドボックス外で実行されることはない」と主張しないよう、Bashサンドボックスの指示が制約を実態以上に強調する問題を修正した
英語原文を表示
Fixed Bash sandbox instructions over-stating confinement: no unenforced path lists when filesystem isolation is off, and strict mode no longer claims commands can never run unsandboxed

変更前

ファイルシステム分離が無効でも、パス一覧などのファイルシステム分離に関する制約が適用されているかのような指示を出していた

変更後

ファイルシステム分離が無効のときは、実効性のないパス一覧を含めず、ネットワーク分離のみが適用される旨を明示する

ユーザーへの恩恵

設定と実際の分離動作の差異に戸惑わず、ファイルシステム分離が無効な場合のサンドボックスの振る舞いを正しく理解できる

関連ドキュメント

v2.1.267(2件)

Fixed
サンドボックス化を必須とする管理対象設定を持つ組織で、クラウド上の Cowork 予約タスクが起動時に失敗する問題を修正した。
英語原文を表示
Fixed Cowork scheduled tasks in the cloud failing at startup for organizations whose managed settings require sandboxing

変更前

管理対象設定でサンドボックス化が必須とされている組織では、クラウド上で実行される Cowork の予約タスクが起動時に失敗していた。

変更後

サンドボックスを必須とする管理対象設定がある環境でも、クラウド上の Cowork 予約タスクが起動時に失敗しなくなった。

ユーザーへの恩恵

ユーザーはサンドボックス必須のポリシー環境下でも Cowork の予約タスクを問題なく実行できるようになり、ポリシーとの両立が容易になる。

関連ドキュメント

Improved
サンドボックスのガイダンスを改善し、pbcopy などのクリップボードコマンドがサンドボックス内で失敗したときに、Claude が /copy を提案するようにした。
英語原文を表示
Improved sandbox guidance so Claude suggests /copy when clipboard commands such as pbcopy fail inside the sandbox

変更前

サンドボックス内で pbcopy などのクリップボードコマンドが失敗しても、Claude は /copy を提案せず、ユーザーはクリップボードが更新されない理由を自力で突き止める必要があった。

変更後

サンドボックス内で pbcopy などのクリップボードコマンドが失敗したとき、Claude が /copy コマンドの利用を提案するようになった。

ユーザーへの恩恵

ユーザーはクリップボードが反映されない問題に悩まず、Claude の提案に従って /copy を実行するだけで出力をクリップボードにコピーできる。

関連ドキュメント

v2.1.265(2件)

Fixed
MCPPermissions
コネクタの承認やサインインリンクの応答待ちをしている間、リモートセッションのサンドボックスコンテナが起動したまま残る問題を修正
英語原文を表示
Fixed remote sessions keeping their sandbox container alive while a connector approval or sign-in link waits for you

変更前

コネクタ承認やサインインリンクの承認待ちをしている間、リモートセッションのサンドボックスコンテナが余計に起動し続けていた。

変更後

リモートセッションでも、コネクタ承認やサインインリンクの待ちが発生してもサンドボックスコンテナが維持され、応答後に操作を続行できる。

ユーザーへの恩恵

不要なコンテナの起動時間が減り、クラウドリソースを節約できる。

関連ドキュメント

Changed
Permissions
Windows:AppContainer や制限付きトークンのサンドボックス内で実行した際に、Read・Write・Edit がすべてのファイルを拒否する(「symlink resolution changed after permission was checked」)問題を修正しました。
英語原文を表示
Windows: Fixed Read, Write and Edit refusing every file ("symlink resolution changed after permission was checked") when running inside an AppContainer or restricted-token sandbox

変更前

Windows の AppContainer や制限付きトークンのサンドボックス内で Claude Code を実行すると、Read・Write・Edit がすべてのファイルに対して「symlink resolution changed after permission was checked(権限確認後にシンボリックリンクの解決が変わりました)」というエラーを出して拒否していました。サンドボックスの制約により権限確認に必要な情報が取れず、シンボリックリンクが変更されたと誤検知していたためです。

変更後

AppContainer や制限付きトークンのサンドボックス内で実行した場合でも、Read・Write・Edit ツールがすべてのファイルを拒否しなくなりました。アクセス権の確認が失敗しても、実際にシンボリックリンクが変更されたケースと区別して判定します。従来はこの環境で権限チェックを正常に完了できず、すべてのファイル操作が拒否されていました。

ユーザーへの恩恵

サンドボックス環境でもファイルの読み書きや編集が通常どおり行えるようになります。

関連ドキュメント

v2.1.260(4件)

Fixed
Permissions
Bashサンドボックスにおいて、パスに括弧が含まれるEdit/Write/Read権限ルールが無効として破棄されたり無視されたりする問題を修正し、「読み取り専用」フォルダが書き込み可能なままになる状態を解消した。
英語原文を表示
Fixed Edit/Write/Read permission rules whose path contains parentheses being dropped as invalid or ignored by the Bash sandbox, which left "read-only" folders writable

変更前

Read/Edit/Writeの権限ルールのパスに括弧が含まれていると、Bashサンドボックスがそのルールを無効なものとして破棄するか無視していました。その結果、「読み取り専用」のはずのフォルダが書き込み可能なまま残っていました。

変更後

Read/Edit/Write権限ルールでパスに括弧が含まれるものは、Bashサンドボックスによって無効なルールとして破棄または無視されていました。そのため、サンドボックス設定で「読み取り専用」にしたはずのフォルダに実際には書き込みが可能なままになっていました。修正後は括弧を含むパスの権限ルールも正しく認識され、サンドボックスがそれに従って読み取り専用フォルダへの書き込みをブロックします。

ユーザーへの恩恵

サンドボックスの権限ルールに括弧を含むパスを指定しても、読み取り専用フォルダへの意図しない書き込みが起こらなくなる。

関連ドキュメント

Fixed
macOS で permissions.blockReadsOutsideWorkingDirectories が有効な場合に、サンドボックス内の git コマンドからユーザーの git config が隠されたり、worktree 分離されたサブエージェントが自身のチェックアウトを参照できなくなる問題を修正した。
英語原文を表示
Fixed permissions.blockReadsOutsideWorkingDirectories on macOS hiding the user's git config from sandboxed git and hiding a worktree-isolated sub-agent's own checkout

変更前

macOS でも permissions.blockReadsOutsideWorkingDirectories が正しく機能し、サンドボックス化された git コマンドからユーザーの git config を保護し、worktree 分離されたサブエージェントも自身のチェックアウトに問題なくアクセスできる。

変更後

permissions.blockReadsOutsideWorkingDirectories が有効な環境でサンドボックス内の git コマンドがユーザーの git config を読めず、worktree 分離されたサブエージェントも自身のチェックアウトを参照できずに動作しなかった。

ユーザーへの恩恵

macOS ユーザーはファイル読み取り制限を有効にしても git 操作や worktree 分離されたサブエージェントが正常に動作するようになる。

関連ドキュメント

Changed
サーバー管理設定を変更し、管理対象の CLAUDE.md(claudeMd)がセキュリティ承認ダイアログをトリガーしないようにしました。フック、シェルコマンド、サンドボックス、安全でない env 設定については引き続き承認が必要です。
英語原文を表示
Changed server-managed settings so a managed CLAUDE.md (claudeMd) no longer triggers the security approval dialog; hooks, shell-command, sandbox, and unsafe env settings still require approval

変更前

サーバー管理設定で配信される CLAUDE.md(claudeMd)を適用する際、セキュリティ承認ダイアログが表示され、ユーザーの承認が必要だった。

変更後

サーバー管理設定で配信される CLAUDE.md(claudeMd)は、セキュリティ承認ダイアログを表示せずに適用される。

ユーザーへの恩恵

管理者が配信した CLAUDE.md の内容をユーザーが承認なしですぐに受け取れるようになる。

関連ドキュメント

Changed
厳格サンドボックスモード(sandbox.allowUnsandboxedCommands: false)が有効でも、! bashモードプロンプトから入力したコマンドは、自分自身のターミナルに入力するのと同じように、サンドボックスの外で実行するようになりました。
英語原文を表示
Changed commands typed at the ! bash-mode prompt to run outside the sandbox even when strict sandbox mode (sandbox.allowUnsandboxedCommands: false) is on, like typing into your own terminal

変更前

厳格サンドボックスモード(sandbox.allowUnsandboxedCommands: false)を有効にすると、Claudeによるコマンドだけでなく、! bashモードプロンプトからユーザーが入力したコマンドもサンドボックス内で実行されるため、サンドボックスの制約によって一部のコマンドが失敗していました。

変更後

これまで、厳格サンドボックスモード(sandbox.allowUnsandboxedCommands: false)が有効な場合、! bashモードプロンプトから入力したコマンドはサンドボックス内で実行されていました。この変更により、!プロンプトから入力されたコマンドは、!経由のbashモードコマンドはユーザー自身のターミナルで実行するのと同等であるため、厳格サンドボックスモードに関係なく、サンドボックスの外で実行されるようになりました。

ユーザーへの恩恵

! bashモードで入力したコマンドは、あたかも自分自身のターミナルで直接実行するかのように、サンドボックスの制約を受けずに動作するようになります。

関連ドキュメント

v2.1.257(4件)

Added
Settings
終了したセッションによって残された古いサンドボックスマスクファイルに対し、/doctor で警告を出す機能を追加しました。
英語原文を表示
Added a /doctor warning for stale sandbox mask files left by a killed session

変更前

セッションを強制終了させた際、一時ファイルとして残ったマスクファイルが古くなっていても、Claude Code はそれを検知しませんでした。

変更後

セッションを強制終了させた際、一時ファイルとして残ったマスクファイルが古くなっていると、/doctor コマンドがそれを検知して警告を表示するようになりました。

ユーザーへの恩恵

ユーザーは /doctor を実行することで、意図せず残った古いマスクファイルを容易に発見し、セキュリティリスクを回避できます。

関連ドキュメント

Fixed
Permissions
末尾のドット付きドメイン名（example.com.）を含むサンドボックスのネットワークホストの問題を修正しました。サンドボックス内では deniedDomains エントリがホストをブロックせず、「今後は尋ねない」を選択してもホストに対してプロンプトが表示され続けていました。
英語原文を表示
Fixed sandbox network hosts written with a trailing dot (example.com.): a deniedDomains entry didn't block the host inside the sandbox, and "don't ask again" for such a host kept prompting

変更前

サンドボックス内で example.com. というドメインをブロックリストに追加しても、実際にはブロックされず、また「今後は尋ねない」を選択しても次回の接続時にプロンプトが表示され続けていました。

変更後

サンドボックス内で example.com. というドメインをブロックリストに追加すると、正しくブロックされ、また「今後は尋ねない」を選択してもプロンプトが表示されなくなりました。

ユーザーへの恩恵

ユーザーは、末尾のドット付きドメイン名をブロックリストに追加しても、誤ってプロンプトが表示される心配がなくなります。

関連ドキュメント

Fixed
Permissions
リンクされた git worktree 内のサンドボックス化された git コマンドが、サブディレクトリに cd した後にリポジトリの共通 .git ディレクトリへの書き込みアクセスを失う問題を修正しました。
英語原文を表示
Fixed sandboxed git commands in a linked worktree losing write access to the repository's common .git directory after cd into a subdirectory

変更前

サンドボックス化された git コマンドを実行中に、リンクされた git worktree 内のサブディレクトリに移動すると、その後の操作でリポジトリの共通 .git ディレクトリへの書き込みが拒否されることがありました。

変更後

サンドボックス化された git コマンドを実行中に、リンクされた git worktree 内のサブディレクトリに移動しても、リポジトリの共通 .git ディレクトリへの書き込みアクセスが維持されるようになりました。

ユーザーへの恩恵

リンクされた git worktree 内でサンドボックス化された git コマンドを、サブディレクトリ間を移動しても正常に実行できるようになります。

関連ドキュメント

Changed
Settings
「merge」モードの動作を変更し、sandbox.credentials.awsPairs と sandbox.ripgrep を各管理ソースの値を結合する代わりに、それらを設定した最上位の管理ソースからそのまま取得するようにしました。
英語原文を表示
Changed managedSourcesBehavior: "merge" to take sandbox.credentials.awsPairs and sandbox.ripgrep whole from the highest managed source that sets them instead of combining the sources' values

変更前

以前は「merge」モードにおいて、sandbox.credentials.awsPairs と sandbox.ripgrep は複数の管理ソースから値を結合していました。これにより、最上位のソースで設定されていない場合に、下位のソースの値が反映されることがありました。

変更後

現在は「merge」モードにおいて、sandbox.credentials.awsPairs と sandbox.ripgrep は、それらを設定した最上位の管理ソースからそのまま取得されます。下位のソースの値は無視されます。

ユーザーへの恩恵

設定の優先順位が明確になり、意図した管理ソースの設定のみが適用されるようになります。

関連ドキュメント

v2.1.251(2件)

Changed
Permissions
サンドボックス内でコマンドを実行した際、Bash コマンドの出力ファイルの作成と読み取り方法を変更し、サンドボックス化されたコマンドがそれらをリダイレクトまたは置換できないようにしました。
英語原文を表示
Changed how Bash command output files are created and read back when commands run in the sandbox, so a sandboxed command cannot redirect or replace them

変更前

以前は、サンドボックス内でコマンドを実行した際、Bash コマンドの出力ファイルが作成され、サンドボックス化されたコマンドによってリダイレクトまたは置換される可能性がありました。

変更後

現在は、サンドボックス内でコマンドを実行した際、Bash コマンドの出力ファイルの作成と読み取り方法が変更され、サンドボックス化されたコマンドがそれらをリダイレクトまたは置換することができなくなりました。

ユーザーへの恩恵

サンドボックス化されたコマンドが意図せず出力ファイルを改ざんするのを防ぎます。

関連ドキュメント

Changed
Settings
サンドボックス TLS を終端する、サンドボックストラフィックを独自のプロキシ経由でルーティングする、認証情報を注入する、またはサンドボックスの分離を弱めるサーバー管理設定を、適用前に承認を求めるように変更しました。
英語原文を表示
Changed server-managed settings that terminate sandbox TLS, route sandbox traffic through your own proxy, inject credentials, or weaken sandbox isolation to require approval before they apply

変更前

以前は、サンドボックス TLS を終端する、サンドボックストラフィックを独自のプロキシ経由でルーティングする、認証情報を注入する、またはサンドボックスの分離を弱めるサーバー管理設定は、適用前に承認を求めずに適用されていました。

変更後

現在は、サンドボックス TLS を終端する、サンドボックストラフィックを独自のプロキシ経由でルーティングする、認証情報を注入する、またはサンドボックスの分離を弱めるサーバー管理設定は、適用前に承認を求めるようになりました。

ユーザーへの恩恵

セキュリティリスクの高い管理設定が誤って適用されるのを防ぎます。

関連ドキュメント

v2.1.247(1件)

Fixed
Settings
Bash サンドボックスの後処理コマンドが、サンドボックスの書き込み可能領域外に再ポイントされたとき、ドットファイルマネージャー（nix/home-manager、stow）が管理する ~/.claude/settings.json のシンボリックリンクを削除する問題を修正しました。
英語原文を表示
Fixed the Bash sandbox's after-command cleanup deleting a dotfile-managed ~/.claude/settings.json symlink (nix/home-manager, stow) when it is repointed outside the sandbox's writable area

変更前

Bash サンドボックスの後処理コマンドは、サンドボックスの書き込み可能領域外に再ポイントされたドットファイルマネージャーが管理する ~/.claude/settings.json のシンボリックリンクを削除していました。

変更後

Bash サンドボックスの後処理コマンドは、サンドボックスの書き込み可能領域外に再ポイントされたドットファイルマネージャーが管理する ~/.claude/settings.json のシンボリックリンクを削除しなくなりました。

ユーザーへの恩恵

ドットファイルマネージャーを使用しているユーザーは、設定ファイルのシンボリックリンクが意図せず削除される心配がなくなります。

関連ドキュメント

v2.1.246(2件)

Fixed
Hooks
サンドボックスの「サンドボックス外のネットワークリクエスト」許可プロンプト待機中に Notification フックが発火しない問題を修正しました。
英語原文を表示
Fixed the Notification hook not firing while the sandbox "Network request outside of sandbox" permission prompt is waiting

変更前

サンドボックス外のネットワークリクエスト許可プロンプトが表示されている間、Notification フックがトリガーされず、通知が届かない状態でした。

変更後

サンドボックス外のネットワークリクエスト許可プロンプトが表示されている間も、Notification フックが正しくトリガーされるようになりました。

ユーザーへの恩恵

許可プロンプト待機中の通知も確実にユーザーに届くようになります。

関連ドキュメント

Fixed
Settings
コマンドサンドボックスのファイルシステム設定が --setting-sources を尊重しない問題を修正しました。
英語原文を表示
Fixed the command sandbox's filesystem configuration not respecting --setting-sources

変更前

コマンドサンドボックスのファイルシステム設定が --setting-sources オプションを無視して、意図した設定が適用されない状態でした。

変更後

コマンドサンドボックスのファイルシステム設定が --setting-sources オプションを正しく尊重し、指定された設定ソースに基づいて動作するようになりました。

ユーザーへの恩恵

ユーザーは --setting-sources を使用して、サンドボックス内のコマンドに対するファイルシステムのアクセス制御を正確に制御できるようになります。

関連ドキュメント

v2.1.243(3件)

Fixed
Hooks
ブロックされたコマンドが終了コード 0 で終了した場合（例: プロキシの 403 ページを表示する curl）、Bash ツールの結果からネットワーク違反の詳細が削除されてしまう問題を修正しました。
英語原文を表示
Fixed sandbox network-violation details being dropped from the Bash tool result when the blocked command still exited 0 (for example curl printing the proxy's 403 page)

変更前

ブロックされたコマンドが終了コード 0 で終了した場合、Bash ツールの結果からネットワーク違反の詳細が削除されていました。

変更後

ブロックされたコマンドが終了コード 0 で終了した場合でも、Bash ツールの結果にネットワーク違反の詳細が含まれるようになりました。

ユーザーへの恩恵

ブロックされたコマンドの実行結果から違反の詳細を確認できるようになり、トラブルシューティングが容易になります。

関連ドキュメント

Improved
Settings
起動時間を改善しました。サンドボックスと MCP の初期化が最初のフレームをブロックしなくなり、ベア起動ではサブコマンドの登録がスキップされ、ワークフロー検出、設定、信頼ストアの処理がより安価になりました。
英語原文を表示
Improved startup time: sandbox and MCP bring-up no longer block the first frame, bare launches skip subcommand registration, and workflow discovery, settings, and trust-store work is cheaper

変更前

起動時にサンドボックスと MCP の初期化が最初のフレームをブロックし、ベア起動ではサブコマンドの登録が行われ、ワークフロー検出や設定、信頼ストアの処理に時間がかかっていました。

変更後

起動時にサンドボックスと MCP の初期化が最初のフレームをブロックしなくなり、ベア起動ではサブコマンドの登録がスキップされ、ワークフロー検出、設定、信頼ストアの処理がより効率的になりました。

ユーザーへの恩恵

Claude Code の起動が高速になり、特にベア起動やスクリプト実行のパフォーマンスが向上します。

関連ドキュメント

Changed
Permissions
サンドボックス化された Bash ツールのプロンプトから許可されたネットワークホストの一覧を削除し、Claude は未リストのホストがブロックされていると仮定せず、リクエストを試みるように変更しました（新しいホストの承認も可能）。
英語原文を表示
Changed the sandboxed Bash tool prompt to no longer list allowed network hosts, so Claude attempts requests (and you can approve new hosts) instead of assuming unlisted hosts are blocked

変更前

サンドボックス化された Bash ツールのプロンプトには許可されたネットワークホストの一覧が表示されており、未リストのホストはブロックされていると仮定されていました。

変更後

プロンプトからホストの一覧が削除され、Claude は未リストのホストをブロックとみなさず、リクエストを試みます。新しいホストが必要な場合はユーザーが承認できます。

ユーザーへの恩恵

許可されていないホストへのアクセスを試みる際に、ユーザーが新しいホストを承認できるようになります。

関連ドキュメント

v2.1.239(1件)

Fixed
Permissions
Linux のサンドボックス機能において、リポジトリに extensions.worktreeConfig がセットされている場合に、存在しない .git/config.worktree ファイルを「読み取り不可」にしようと誤作動し、サンドボックス内のすべての git コマンドが壊れる不具合を修正しました。
英語原文を表示
Fixed the Linux sandbox making a nonexistent .git/config.worktree unreadable, which broke every sandboxed git command in repos with extensions.worktreeConfig set

変更前

Git の拡張設定（extensions.worktreeConfig）が有効な状態で Linux のサンドボックス機能（bubblewrap等）を利用すると、本来存在しないはずの個別ワークツリー用ファイルを保護しようとして不適切なマウント操作が行われ、サンドボックス内で git status などのコマンドが一切通らなくなっていました。

変更後

ファイルの存在チェックが適正化され、.git/config.worktree が存在しない場合は保護対象から外します。これにより、サンドボックスが作動している最中であっても、通常通りあらゆる git コマンドを実行させることができます。

ユーザーへの恩恵

ワークツリーを多用する開発リポジトリでも、サンドボックス保護をかけた状態で不自由なく git 操作をエージェントに任せられます。

関連ドキュメント

v2.1.238(1件)

Updated
MemorySkills
Managed Agents（8月19日リリース版）に対応するため、同梱されている「claude-api」スキルを更新し、セルフホスト型サンドボックス環境におけるWeb検索・Web取得のドメイン設定およびメモリ保存機能に対応しました。
英語原文を表示
Updated the bundled claude-api skill for the Managed Agents Aug 19 release: web search/fetch domain settings and memory stores on self-hosted sandboxes

変更前

セルフホストされたサンドボックス環境でManaged Agentsを動かす際、WebSearchツールやWebFetchツールでの独自ドメイン設定や、セッションをまたぐメモリ保存領域を適切に連動させて制御する仕組みが不足していました。

変更後

同梱の「claude-api」スキルがアップデートされ、組織固有のセルフホスト環境であっても、Web検索・取得のアクセス許可ドメイン設定やメモリ保存機能が正しく適用されるようになります。

ユーザーへの恩恵

セルフホスト環境のサンドボックスから、セキュリティポリシーに沿った安全なWeb検索やメモリ機能を利用できるようになります。

関連ドキュメント

v2.1.234(1件)

Fixed
非常に長いセッションにおいて、会話履歴の圧縮（compaction）が行われた後に、オート（Auto）モードがサンドボックス化されたコマンドのネットワークアクセス制限を繰り返し再確認して拒否してしまう問題を修正しました。
英語原文を表示
Fixed auto mode in very long sessions repeatedly re-checking and denying sandboxed commands' network access after the conversation had been compacted

変更前

長時間のやり取りでコンテキスト圧縮が発生すると、以前に承認または処理が完了していたサンドボックスコマンドのネットワークアクセス情報がリセットされ、同一の確認と拒否が無限ループして処理が滞ることがありました。

変更後

圧縮後もサンドボックス環境におけるネットワークアクセスの評価状態が正しく引き継がれ、無駄な再評価やコマンド拒否のループが発生しなくなります。

ユーザーへの恩恵

長いセッションの途中で、すでに解決したはずのネットワークアクセス許可に関するエラーやプロンプトへの対処を何度も強いられることがなくなります。

関連ドキュメント

v2.1.233(1件)

Fixed
Linux 上でサンドボックス機能が有効な場合、アイドル状態のセッションがまれに CPU 1 コアを 100% 占有し続けてしまう不具合を修正しました。
英語原文を表示
Fixed idle sessions on Linux sometimes keeping one CPU core at 100% when sandboxing is enabled

v2.1.232(4件)

Added
Permissions
GitLabの各種トークンファミリーに対するサンドボックス内での秘匿情報のマスク処理を追加し、glab CLIの設定パスに対してもGitHubと同様のサンドボックス保護を適用します
英語原文を表示
Added secret redaction for GitLab token families (glrt-, gloas-, glptt-, glagent-, glimt-, glsoat-, glcbt-, glft-, glffct-) and full redaction of routable glpat-/gldt- tokens; the glab CLI config store gets the same sandbox and credential-path protection as gh

変更前

GitLabトークン（glrt-やglpat-など）がコマンドの出力やファイル読み込みを通じて、意図せず外部ツールやログに平文のまま露出するリスクがありました。

変更後

サンドボックスで実行されるコマンドに対して、GitLabトークンを検知して自動的にダミー値へマスク処理（redaction）を行い、glabの設定ファイルへの不正な書き込みも遮断します。

ユーザーへの恩恵

GitLab連携コマンドをサンドボックス内で実行する際に、プライベートトークンが不正に読み取られて外部に流出する心配がなくなります。

関連ドキュメント

Improved
PermissionsSettings
管理設定ポリシーの適用承諾ダイアログを強化し、接続エンドポイントのURLを明示するとともに、テレメトリのみの変更や不要なOpenTelemetry設定項目の表示を分かりやすく整理しました
英語原文を表示
Improved the managed settings approval dialog: shows endpoint URLs, uses clearer wording for telemetry-only changes, skips routine OpenTelemetry options, and requires approval for server-managed sandbox binary overrides (sandbox.bwrapPath, sandbox.socatPath, sandbox.ripgrep)

変更前

ゲートウェイや管理者から管理設定（managed settings）がプッシュされた際、表示されるセキュリティ承諾ダイアログの文言が不明瞭で、かつ大量の低レイヤーなOpenTelemetry設定が並んでいて何を承認しているか見通しが悪い状態でした。

変更後

実際にアクセスされるサーバーのURLが明確に表示され、テレメトリ専用の変更時には文言がマイルドになり、開発者に関係のない通常のOpenTelemetryオプションを省略表示します。また、sandbox.ripgrepなどのサーバー指定のサンドボックスプログラムの書き換え時には厳格に承認を求めます。

ユーザーへの恩恵

社内管理者からセキュリティ設定が適用される際、何が変更されどこにデータが送信されるかを、無駄な技術ノイズに惑わされることなく一目で安全に判断して承認できるようになります。

関連ドキュメント

Changed
Linuxのファイルシステムサンドボックスを強化し、あらかじめ保護された機密ディレクトリのチェックを潜り抜けてアクセスされてしまう脆弱性を修正しました。
英語原文を表示
Hardened the Linux filesystem sandbox against a protected-path bypass
Changed
PermissionsSettings
サンドボックスがコマンド実行内で呼び出す検索バイナリ sandbox.ripgrep の設定適用スコープを制限し、プロジェクトローカル設定による上書きを廃止して、ユーザー設定、管理ポリシー、および --settings フラグからのみ制御可能に変更しました
英語原文を表示
Changed sandbox.ripgrep to be honored only from user, managed, and --settings settings; project settings can no longer override the sandbox's ripgrep binary

変更前

プロジェクトのGitリポジトリ内にコミットされた .claude/settings.json の中に、悪意あるローカル実行バイナリを指定するパスが混入していた場合、サンドボックスがシステム検索（ripgrep）を実行した瞬間にその偽バイナリが実行されてしまうセキュリティリスクがありました。

変更後

開発者が信頼してインストールしたユーザー設定（~/.claude）、あるいは社内管理者から配信されたポリシー以外、プロジェクトリポジトリ内の設定ファイル（.claude/settings.json）による検索エンジンのバイパス指定を一切無視します。

ユーザーへの恩恵

インターネットからクローンしてきた見知らぬパブリックGitリポジトリを開いてClaude Codeを動かす際、プロジェクト設定に仕込まれた不正な検索ツール指定によってPCが乗っ取られる危険がなくなります。

関連ドキュメント

v2.1.229(1件)

Improved
Permissions
サンドボックス環境を強化し、ネットワークドメインリスト内の IPv6 リテラルをブラケットで囲む形式（[::1]:443）に修正するとともに、曖昧なスペルのドメイン指定は安全側に倒して拒否（fail-closed）し、/doctor コマンドでフラグを立てるよう改善しました。
英語原文を表示
Improved sandbox: IPv6 literals in network domain lists are now bracketed ([::1]:443), and ambiguous spellings are enforced fail-closed and flagged by /doctor

変更前

IPv6 アドレスの記述解釈が曖昧であったり、安全性の判定がグレーな書き方のネットワークアクセス規制ルールがすり抜けて許可されてしまう懸念がありました。

変更後

IPv6 表記の標準化と、解析が疑わしいドメインルールを徹底してブロックする fail-closed 方式が採用され、/doctor による検証で事前に不備を検出できます。

ユーザーへの恩恵

サンドボックスの通信制御設定ミスによる意図しない外部ネットワーク漏洩を未然に防ぐことができます。

関連ドキュメント

v2.1.224(3件)

Added
PermissionsSettings
サンドボックス環境におけるクレデンシャルマスキングオプションを追加：構造化された環境変数向けのextractおよびonExtractNoMatch、JWTトークン用のdecode: "jwt"（およびmaskClaims）、AWS SigV4再署名用のawsPairs/sigv4が利用できるようになります。これらを使用するには、network.tlsTerminateが有効であり、かつユーザー設定、管理者管理設定、または--settingsフラグでのみ指定されている必要があります。
英語原文を表示
Added sandbox credential-masking options: extract and onExtractNoMatch for structured env values, decode: "jwt" with maskClaims for JWT-aware masking, and awsPairs/sigv4 for AWS SigV4 re-signing; these need network.tlsTerminate and are honored only from user, managed, or --settings settings

変更前

サンドボックス環境でパスワードやAPIトークンなどの秘匿情報を保護する際、環境変数を完全に隠す（deny）とツールが動作しなくなり、単純に値を置換するだけの通常のマスキングではJWTのペイロード内部の特定のクレームだけを隠したり、AWS SigV4署名を保ちつつ再署名したりする高度な保護ができませんでした。

変更後

正規表現を用いて構造化ファイルから特定トークンだけを切り出すextractや、JWTをデコードして特定のクレーム値を隠す仕組み、さらにはプロキシ経由でAWS SigV4リクエストを書き換えて再署名する高度なセキュリティオプションが導入されます。これらはリポジトリ内の個別設定ファイルからは設定できず、ユーザーがコントロールする信頼された設定ソースからのみ有効化されます。

ユーザーへの恩恵

ツールに必要な認証情報の利便性を損なうことなく、認証ファイルやトークン内の本当に保護すべき重要な情報だけを確実に隠蔽または安全に中継できるようになります。

関連ドキュメント

Fixed
Permissions
末尾にスラッシュを付けたパス指定（例：denyRead: "~/.aws/"）で書かれたサンドボックスのファイルアクセス拒否ルールが、LinuxおよびmacOSにおいてサイレントにバイパスされてしまう問題を修正しました。
英語原文を表示
Fixed sandbox filesystem deny entries written with a trailing slash (e.g. denyRead: "~/.aws/") being silently bypassable on Linux and macOS

変更前

サンドボックスのファイルシステム保護設定で、ディレクトリパスの末尾にスラッシュを指定して読み取り拒否（denyRead）などのルールを定義すると、パス文字列の不一致によりサンドボックス内のシェルコマンドがその制約をすり抜けてアクセスできてしまうセキュリティ上の穴がありました。

変更後

パスの末尾にあるスラッシュが適切に処理され、記述されたパターンに関わらず指定したディレクトリ配下へのアクセスがLinuxおよびmacOS上のサンドボックス内で完全にシャットアウトされるようになります。

ユーザーへの恩恵

セキュリティ設定ファイルのパスの書き方による偶発的な制限の漏れがなくなり、機密ファイルが含まれるディレクトリを確実に保護できます。

関連ドキュメント

Fixed
サンドボックス違反の詳細情報がBashツールの実行結果に全く表示されなかった問題を修正しました。これにより、どのファイルやネットワークへのアクセスがなぜ拒否されたのかがモデルに正しく伝わります。
英語原文を表示
Fixed sandbox violation details never appearing in Bash tool results; Claude now sees which file or network access was denied and why

v2.1.223(2件)

Fixed
Permissions
ワークフロースクリプトが動的 import() を悪用し、ワークフローサンドボックスの外部にあるコードを実行できてしまうセキュリティ上の脆弱性を修正しました。
英語原文を表示
Fixed workflow scripts being able to use dynamic import() to run code outside the workflow sandbox

変更前

ワークフロー機能用のスクリプトが隔離されたサンドボックス内で実行される際、動的な import() 構文を利用することで、制限をバイパスして意図しないホスト環境の外部コードを読み込んで実行できる危険性がありました。

変更後

動的 import() を経由したサンドボックス外のコード実行が適切にブロックされ、ワークフロースクリプトの実行環境が強固に分離されます。

ユーザーへの恩恵

外部の未検証なスクリプトをワークフローとして実行する際も、ローカル環境を侵害されるリスクを心配せずに安全に実行できます。

関連ドキュメント

Fixed
Permissions
Linux 環境において、書き込み制限ポリシー sandbox.filesystem.denyWrite が現在の作業ディレクトリに適用されていると、サンドボックス化されたコマンドの起動に失敗する問題を修正しました。
英語原文を表示
Fixed sandboxed commands failing to start on Linux when sandbox.filesystem.denyWrite covers the working directory

v2.1.221(2件)

Added
LinuxおよびWSL上のサンドボックスにおいて、認証情報ファイル用の「mode: "mask"」を導入しました。
英語原文を表示
Added mode: "mask" for sandbox credential files on Linux and WSL — sandboxed commands read a sentinel copy (the whole file, or just the spans captured by an extract regex) while the sandbox proxy substitutes the real value on egress; on macOS file masking falls back to deny

変更前

サンドボックス環境内で認証情報にアクセスさせるには、ファイルを完全に露出させるか、ツールを失敗させるかの二択でした。

変更後

サンドボックス内でダミーの認証情報を読み込ませつつ、外部通信時にはプロキシ経由で本物の値を注入できるようになりました。

ユーザーへの恩恵

認証情報ファイルの実体をサンドボックス内に露出させずにツールを実行できます。

関連ドキュメント

Fixed
サンドボックス経由での大規模なアップロード時に、サンドボックスプロキシで TLS エラーが発生していた問題を修正しました。
英語原文を表示
Fixed sandboxed large uploads failing with TLS errors through the sandbox proxy

変更前

大きなファイルをアップロードしようとすると、TLS通信の制限によりプロセスが中断されていました。

変更後

プロキシを通じたTLSトラフィックの処理が最適化され、アップロードが正常に完了するようになりました。

ユーザーへの恩恵

大きなサイズのファイルを安定してサーバーへアップロードできます。

関連ドキュメント

v2.1.219(1件)

Added
Settings
sandbox.network.strictAllowlist 設定を追加しました。サンドボックス環境から許可されていないホストへのアクセスを警告なしで拒否します。
英語原文を表示
Added sandbox.network.strictAllowlist setting to deny non-allowlisted hosts for sandboxed commands without prompting

変更前

サンドボックス環境からのネットワークアクセス制御が緩やかで、意図しない通信が発生する可能性がありました。

変更後

設定したホワイトリスト以外の通信を即座に遮断できるようになりました。

ユーザーへの恩恵

許可リストを定義するだけで安全な通信環境を維持できます。

関連ドキュメント

v2.1.218(1件)

Improved
IDE
IDE連携におけるサンドボックスコマンドの制限を改善しました。
英語原文を表示
Improved sandbox command restrictions for IDE interactions

変更前

一部のコマンド操作がIDE経由で実行された際、サンドボックスの適用範囲が過剰に制限されていました。

変更後

IDE操作とサンドボックスの境界が最適化され、利便性が向上しました。

ユーザーへの恩恵

IDEを通じた操作がサンドボックスによって予期せず制限される機会が減ります。

v2.1.216(1件)

Added
Settings
ファイルシステム隔離を無効化しつつネットワーク制御を維持する設定 sandbox.filesystem.disabled を追加
英語原文を表示
Added sandbox.filesystem.disabled setting to skip filesystem isolation while keeping network egress control

変更前

ファイルシステムを隔離しようとすると、常に制限が強制されていました。特定の環境で柔軟な運用が難しい状態でした。

変更後

新しい設定項目により、ファイルアクセスの制約を外しつつネットワーク出口の制御のみを適用できるようになりました。

ユーザーへの恩恵

ファイルシステム隔離の制限を気にせず、ネットワーク環境の制約がある場所での操作を完結できます。

関連ドキュメント

v2.1.212(1件)

Changed
エージェントビューおよび claude agents --json において、サンドボックスや MCP 入力待ちのセッションが「Working」ではなく「Needs input」と表示されるようにしました。
英語原文を表示
Changed agent view / claude agents --json: sessions waiting on a sandbox, MCP-input, or managed-settings prompt now show as "Needs input" instead of "Working"

変更前

入力待ちの状態でも「Working」と表示され、本当に作業中か確認が必要でした。

変更後

ユーザーの介入が必要な状態が明確に区別されます。

ユーザーへの恩恵

どのセッションがユーザー対応を待っているか、即座に見分けることができます。

関連ドキュメント

v2.1.211(1件)

Fixed
HooksPermissions
サンドボックス外で実行されるBashに対するPreToolUseフックのask決定が、オートモードによって上書きされる問題を修正した
英語原文を表示
Fixed auto mode overriding a PreToolUse hook's ask decision for unsandboxed Bash — a hook ask now floors the decision at a prompt

変更前

オートモード(auto mode)では、フックがユーザーへの確認(ask)を求めた場合でも、分類器が安全だと判断するとプロンプトを出さずにサイレントで承認してしまうことがありました。フックによる明示的な制限が無視される場面がありました。

変更後

フックが「ask」を返した場合、オートモードであっても必ずユーザーにプロンプトを表示するように変更されました。分類器は拒否(deny)することはできますが、フックの要求を無視して勝手に承認することはできなくなります。

ユーザーへの恩恵

セキュリティや検証のために設定したフックによる確認要求が、オートモードでも確実に守られるようになる。

関連ドキュメント

v2.1.210(1件)

Fixed
Permissions
後から作成された .claude/* ディレクトリ内のシンボリックリンクがサンドボックスの書き込み禁止リストに反映されない問題を修正した。
英語原文を表示
Fixed late-appearing .claude/* symlinks not being reconciled into the sandbox deny-write list

変更前

セッション開始後に作成された .claude フォルダ内のシンボリックリンクが、サンドボックスの保護対象として認識されず、誤って書き換えられてしまうリスクがあった。

変更後

シンボリックリンクの変更を動的に検知し、サンドボックスの書き込み制限をリアルタイムに更新するようになった。

ユーザーへの恩恵

設定ファイルや管理データに対する意図せぬ上書きをより確実に防ぐことができます。

関連ドキュメント

v2.1.198(1件)

Fixed
サンドボックス化されたプロセスが同じネットワークホストに繰り返しアクセスする際、バックグラウンドでの分類リクエストが過剰に発生する問題を修正しました。
英語原文を表示
Fixed excessive background classifier requests when sandboxed processes repeatedly accessed the same network host

v2.1.191(1件)

Improved
Permissions
サンドボックスのネットワーク許可ダイアログを改善し、一度「はい」で許可したホストはセッション終了まで記憶されるようになりました
英語原文を表示
Improved sandbox network permission dialog: hosts you allow with "Yes" are now remembered for the rest of the session instead of re-prompting on every connection

v2.1.187(1件)

Added
PermissionsSettings
サンドボックス設定に sandbox.credentials を追加し、認証情報ファイルや機密環境変数の読み取りをブロック可能に改善
英語原文を表示
Added sandbox.credentials setting to block sandboxed commands from reading credential files and secret environment variables

変更前

サンドボックス環境下で実行されるコマンドに対して、ローカルの認証情報ファイルや機密性の高い環境変数へのアクセスを制限する詳細な設定が不足していました。

変更後

新しく導入された sandbox.credentials 設定により、サンドボックス内のコマンドが特定の認証ファイルや秘密の環境変数を読み取ることを明示的にブロックできるようになりました。

ユーザーへの恩恵

セキュリティが強化され、エージェントにコマンド実行を許可した際でも、意図せず重要な認証情報が読み取られるリスクを低減できます。

関連ドキュメント

v2.1.181(1件)

Added
Settings
macOS 上でサンドボックス化されたコマンドが Apple Events を送信できるようにする sandbox.allowAppleEvents 設定を追加しました
英語原文を表示
Added sandbox.allowAppleEvents opt-in setting that lets sandboxed commands send Apple Events on macOS

変更前

サンドボックス環境下では、Apple Events を介したアプリケーション連携が制限されていました。

変更後

この設定を有効にすることで、安全性を維持しつつ Apple Events の送信が可能になりました。

ユーザーへの恩恵

サンドボックス環境でも Apple の自動化機能を活用したワークフローを構築できます。

関連ドキュメント

v2.1.179(1件)

Fixed
PermissionsSettings
Linux環境にて大規模なディレクトリ構造に対してサンドボックスのdenyRead/allowReadを適用すると、Bashツールの説明が肥大化しセッションが動作しなくなる問題を修正
英語原文を表示
Fixed a sandbox denyRead/allowRead glob over a large directory tree making the Bash tool description enormous and the session unusable on Linux

変更前

Linuxのサンドボックス設定で広範なディレクトリにアクセス制限(denyRead/allowRead)をかけると、Bashツールの権限リストが膨大な文字列としてLLMに渡されていました。

変更後

ファイルパスの評価とツール記述の生成プロセスが最適化され、複雑なディレクトリ階層での権限設定があってもセッションの安定性が維持されるようになりました。

ユーザーへの恩恵

セキュリティのために厳格なファイルアクセス制限を適用しても、CLIの動作が重くなったりクラッシュしたりすることなく、安全に開発を継続できます。

関連ドキュメント

v2.1.178(1件)

Fixed
Linux のサンドボックス環境において、スキルやフックのディレクトリがシンボリックリンクの場合に起動できない問題を修正しました。
英語原文を表示
Fixed Linux sandbox failing to start when .claude/skills or .claude/hooks is a symlink

変更前

.claude/skills や .claude/hooks を共有フォルダへのシンボリックリンクとして構成している Linux 環境では、セキュリティサンドボックスが正しく初期化できずエラーになっていました。

変更後

シンボリックリンクを適切に解決してサンドボックスを起動できるようになりました。

ユーザーへの恩恵

設定ファイルを複数の場所で共有・管理している開発環境でも、セキュリティ機能を有効にしたまま安全に Claude Code を利用できます。

関連ドキュメント

v2.1.176(1件)

Fixed
Settings
Linux サンドボックスの修正：.claude/settings.json が絶対パスを指すシンボリックリンクである場合に起動に失敗する問題を修正しました
英語原文を表示
Fixed Linux sandbox failing to start when .claude/settings.json is a symlink with an absolute target

変更前

設定ファイルをシンボリックリンクで管理している Linux 環境において、セキュリティサンドボックスが正しく初期化できず起動に失敗していました。

変更後

絶対パスのリンク先も正しく認識されるようになり、柔軟なファイル管理構成でもサンドボックス機能を利用できます。

ユーザーへの恩恵

設定ファイルをドットファイル管理ツールなどで共有している高度なユーザーでも、安全な実行環境を維持できます。

関連ドキュメント

v2.1.173(1件)

Fixed
Settings
Windows環境において、設定でサンドボックスを有効にしている場合に、起動時に「サンドボックスの依存関係が欠落している」という誤った警告が表示される問題を修正しました。
英語原文を表示
Fixed a spurious "sandbox dependencies missing" startup warning on Windows when sandbox was enabled in settings

v2.1.163(1件)

Fixed
Bazel や EDR で保護された Go のワークフローで Bash コマンドが失敗する問題を修正。$TMPDIR の上書きをサンドボックス化されたコマンドのみに限定
英語原文を表示
Fixed bash commands failing under bazel and EDR-protected Go workflows: $TMPDIR was overridden to /tmp/claude-{uid} for all commands instead of only sandboxed ones (regression in 2.1.154)

変更前

すべてのコマンドで一時ディレクトリが強制的に変更されていたため、Bazel などの厳格な環境でパスの不整合によるエラーが発生していました(v2.1.154 のデグレ)。

変更後

環境に応じた適切な一時ディレクトリ設定が維持されるようになり、ビルドツール等の動作を妨げません。

ユーザーへの恩恵

特定のビルドシステムやセキュリティツールを使用している複雑な開発プロジェクトでも、Claude Code が正常に動作します。

関連ドキュメント

v2.1.157(2件)

Fixed
IDEPermissions
デスクトップアプリ、IDE拡張機能、またはSDKを使用している際、auto モードおよび bypass-permissions モードでもサンドボックスネットワークの許可プロンプトが表示される問題を修正しました
英語原文を表示
Fixed sandbox network permission prompts appearing in auto and bypass-permissions mode when using the desktop app, IDE extensions, or SDK

変更前

権限を自動承認する設定にしているにもかかわらず、サンドボックス内でのネットワーク接続時に不要な承認プロンプトが表示されていました。

変更後

設定されたパーミッションモードが正しく尊重され、自動化されたワークフローを妨げる不要なプロンプトが表示されなくなります。

ユーザーへの恩恵

完全なハンズフリー操作が可能になり、エージェントによる一連の作業がよりスムーズに進むようになります。

関連ドキュメント

Removed
起動時の「Bashコマンドはサンドボックス化されます」というバナーを削除しました。サンドボックスの状態は /status やコマンドがブロックされた際に確認できます
英語原文を表示
Removed the "bash commands will be sandboxed" startup banner — sandbox status still shows in /status and when a command is blocked

変更前

毎回の起動時に画面を占有する定型メッセージが表示され、ターミナルの表示領域を圧迫していました。

変更後

起動画面がすっきりと簡素化され、重要な情報は必要な時だけ確認するスタイルに変わります。

ユーザーへの恩恵

起動がより軽快に感じられ、すぐに本題のプロンプト入力に移れるようになります。

関連ドキュメント

v2.1.154(1件)

Fixed
同一セッション内のBashコマンドにおいて、サンドボックス化の有無によって$TMPDIRが異なるディレクトリを指してしまう問題を修正しました。
英語原文を表示
Fixed $TMPDIR resolving to different directories in sandboxed vs unsandboxed Bash commands within the same session

変更前

サンドボックスが有効なツール呼び出しと、そうでないシェル実行(!コマンドなど)の間で一時ファイルの場所が一致せず、作成したファイルが見つからないなどの混乱が生じることがありました。

変更後

セッションを通じて一貫した一時ディレクトリが使用されるようになり、サンドボックスの境界を越えてもファイル参照が正しく行われます。

ユーザーへの恩恵

AIが生成した一時的なスクリプトやログファイルを、ユーザーが直接コマンドで確認したりデバッグしたりする作業がスムーズになります。

関連ドキュメント

v2.1.152(1件)

Fixed
簡易起動モードでサンドボックス有効化の警告が表示されない問題を修正し、すべてのレイアウトで表示されるようにしました。
英語原文を表示
Fixed the sandbox-enabled warning not appearing in condensed startup mode — it now shows in every layout

v2.1.149(1件)

Fixed
Permissions
git worktree使用時のサンドボックス書き込み許可リストを修正：メインリポジトリ全体ではなく、共有の.gitディレクトリ(hooks/とconfigは除外)のみをカバーするよう制限しました
英語原文を表示
Fixed the sandbox write allowlist in git worktrees covering the entire main repository root instead of only the shared .git directory (with hooks/ and config denied)

変更前

git worktree内で作業している際、Claudeが誤ってメインリポジトリ全体の書き込み権限を持ってしまい、サンドボックスの隔離が不十分でした。

変更後

書き込み許可範囲が、ワークツリーで共有が必要な.gitディレクトリの一部のみに厳密に絞り込まれ、hooksやconfigへの不正な書き込みもブロックされるようになりました。

ユーザーへの恩恵

複数のワークツリーを並行して使用する際の安全性が向上し、メインのプロジェクト設定を誤って変更される心配がなくなります。

関連ドキュメント

v2.1.147(1件)

Fixed
PermissionsPlugins
/plugin、/status、/mobile、/sandbox、/permissionsなどの各メニューにおける、空白やレイアウトの細かな表示の乱れを修正しました。
英語原文を表示
Fixed several spacing and layout glitches in the /plugin, /status, /mobile, /sandbox, and /permissions menus

変更前

UIパーツが重なったり、余白が不自然だったりして、一部の画面で情報が見づらい箇所がありました。

変更後

各設定画面のレイアウトが整理され、視認性と操作性が向上します。

ユーザーへの恩恵

設定の確認や権限の管理などの管理作業を、より快適な画面でミスなく行えるようになります。

関連ドキュメント

v2.1.133(1件)

Added
PermissionsSettings
LinuxおよびWSL向けに、bubblewrapとsocatの実行ファイルのパスを指定する設定(sandbox.bwrapPath, sandbox.socatPath)を追加しました
英語原文を表示
Added sandbox.bwrapPath and sandbox.socatPath managed settings (Linux/WSL) to specify custom bubblewrap and socat binary locations

変更前

Linux環境でサンドボックス機能を使用する際、bubblewrap などのバイナリが標準以外のパスにインストールされていると、正常に動作させることが困難でした。

変更後

管理設定でカスタムパスを指定できるようになったため、特殊な環境やセキュリティ制限のあるシステムでもサンドボックスを正しく利用できます。

ユーザーへの恩恵

OS標準のパッケージ管理以外でツールを導入している環境でも、安全な隔離実行環境を維持できるようになります。

関連ドキュメント

v2.1.126(1件)

Changed
PermissionsSettings
優先度の高い管理設定にsandboxブロックがない場合、低い優先度の管理設定のドメイン/読み取り制限が無視されるセキュリティ上の問題を修正しました
英語原文を表示
**Security:** Fixed allowManagedDomainsOnly / allowManagedReadPathsOnly being ignored when a higher-priority managed-settings source lacked a sandbox block

変更前

複数の管理設定ファイルがある際、最優先のソースにsandbox設定の記述がないと、他の設定ファイルで定義されたドメイン制限や読み取り制限が適用されない不備がありました。

変更後

設定の優先順位に関わらず、複数の管理設定ソースから提供されるサンドボックスの制限が正しくマージされ、適用されるようになりました。

ユーザーへの恩恵

組織の管理者によって定義されたセキュリティ制限が漏れなく適用されるようになり、意図しないドメインへのアクセスやファイル読み取りをより確実に防止できます。

関連ドキュメント

v2.1.116(1件)

Changed
Permissions
セキュリティ改善：サンドボックスの自動承認が /、$HOME、およびその他の重要なシステムディレクトリに対する rm/rmdir の危険なパスチェックをバイパスしないよう修正
英語原文を表示
Security: sandbox auto-allow no longer bypasses the dangerous-path safety check for rm/rmdir targeting /, $HOME, or other critical system directories

変更前

サンドボックス環境で動作している際、本来保護されるべきルートディレクトリやホームディレクトリへの削除操作が、自動承認設定によって誤って許可されてしまう可能性がありました。

変更後

重要なシステムディレクトリに対する破壊的なコマンド操作については、たとえ自動承認設定であっても、既存の厳格な危険パスチェックを必ず通るようにセキュリティが強化されました。

ユーザーへの恩恵

意図しないファイル削除やシステムへの致命的な損傷のリスクが軽減され、AI へのコマンド実行許可をより安全に管理できます。

関連ドキュメント

v2.1.113(2件)

Added
Settings
特定のドメインを個別にブロックするための sandbox.network.deniedDomains 設定を追加しました
英語原文を表示
Added sandbox.network.deniedDomains setting to block specific domains even when a broader allowedDomains wildcard would otherwise permit them

変更前

ワイルドカードを使用した広範な allowedDomains 設定を行っている場合、その範囲内の特定のドメインだけを拒否することが困難でした。

変更後

拒否リスト(deniedDomains)が許可リストより優先されるようになり、細かいネットワーク制御が可能になりました。

ユーザーへの恩恵

広域な許可を与えつつ、特定の機密ドメインや不要なドメインへのアクセスを確実に遮断できるため、セキュリティが向上します。

関連ドキュメント

Fixed
Permissions
Bashの dangerouslyDisableSandbox を使用した際、許可プロンプトが表示されずにコマンドが実行される脆弱性を修正しました
英語原文を表示
Fixed Bash dangerouslyDisableSandbox running commands outside the sandbox without a permission prompt

変更前

サンドボックスを無効化して実行する(危険な)操作が、ユーザーの最終確認なしに行われてしまう可能性がありました。

変更後

サンドボックス無効化時には、通常のパーミッションフローが強制され、必ず明示的な許可を求めるようになりました。

ユーザーへの恩恵

システムの保護層を外す重要な操作に対して常に監視の目が届くようになり、安全性が向上します。

関連ドキュメント

v2.1.101(1件)

Fixed
Settings
PCの再起動直後の初回起動時、サンドボックス環境でのBashコマンドが mktemp エラーで失敗する問題を修正
英語原文を表示
Fixed sandboxed Bash commands failing with mktemp: No such file or directory after a fresh boot

変更前

システム起動直後など、サンドボックスが必要とする一時ディレクトリが準備できていない状態でコマンドを実行するとエラーが発生することがありました。

変更後

サンドボックスの初期化処理が改善され、再起動後でも最初のコマンドから安定して動作します。

ユーザーへの恩恵

サンドボックスの利用に伴う不安定さが解消され、安全な実行環境を意識せずに使い続けられます。

関連ドキュメント

v2.1.98(2件)

Added
Permissions
Linux 環境において CLAUDE_CODE_SUBPROCESS_ENV_SCRUB 有効時の PID ネームスペース隔離によるサブプロセス・サンドボックス機能、およびセッションごとのスクリプト実行回数を制限する CLAUDE_CODE_SCRIPT_CAPS 環境変数を追加しました。
英語原文を表示
Added subprocess sandboxing with PID namespace isolation on Linux when CLAUDE_CODE_SUBPROCESS_ENV_SCRUB is set, and CLAUDE_CODE_SCRIPT_CAPS env var to limit per-session script invocations

変更前

AIが実行するサブプロセスからホスト側のプロセス情報が見えてしまったり、悪意のあるプロンプトによって無限にスクリプトが実行されたりするセキュリティ上の懸念がありました。

変更後

OSレベルでのプロセス隔離が強化され、また1セッション内でのスクリプト実行回数に上限を設けることができるようになりました。

ユーザーへの恩恵

AIにコマンド実行権限を与える際の安全性が高まり、プロンプトインジェクション等による情報の漏洩やリソースの枯渇リスクを大幅に低減できます。

関連ドキュメント

Fixed
Permissions
macOS において sandbox.network.allowMachLookup の設定が有効に機能していなかった問題を修正しました。
英語原文を表示
Fixed sandbox.network.allowMachLookup not taking effect on macOS

変更前

サンドボックス環境下で特定の macOS 固有サービス(iOSシミュレータなど)と連携させるための設定が、実質的に無視されていました。

変更後

設定したMachサービスへのアクセスが正しく許可され、サンドボックス内から高度なシステム連携が可能になりました。

ユーザーへの恩恵

安全性を保ちつつ、シミュレータの操作やOS機能を利用したテストなどの開発作業をサンドボックス内で完結できます。

関連ドキュメント

v2.1.97(2件)

Improved
Permissions
「自動モード(auto mode)」および「全承認モード(bypass-permissions)」において、サンドボックスのネットワークアクセスプロンプトを自動的に承認するように改善しました。
英語原文を表示
Improved auto mode and bypass-permissions mode to auto-approve sandbox network access prompts
Improved
Permissions
macOSにおいて、サンドボックス設定のsandbox.network.allowMachLookupが有効に機能するように改善しました。
英語原文を表示
Improved sandbox: sandbox.network.allowMachLookup now takes effect on macOS

変更前

macOS特有のサンドボックス機構(Seatbelt)において、一部のネットワーク関連のルックアップ制限が設定通りに適用されないケースがありました。

変更後

OSレベルのセキュリティ設定がより厳密に制御され、設定した隔離ポリシーが確実に反映されるようになりました。

ユーザーへの恩恵

macOS上でのエージェントの動作をより安全に、かつ意図した範囲内に制限でき、セキュリティリスクを低減できます。

関連ドキュメント

v2.1.92(1件)

Changed
Linux サンドボックスにおいて apply-seccomp ヘルパーを同梱し、Unix ドメインソケットのブロック機能を復元。
英語原文を表示
Linux sandbox now ships the apply-seccomp helper in both npm and native builds, restoring unix-socket blocking for sandboxed commands

変更前

一部の環境でサンドボックスの制約が不十分になり、本来制限すべき Unix ソケット通信が許可されてしまうケースがありました。

変更後

セキュリティ機能が強化され、サンドボックス内で実行されるコマンドの通信制限がより厳密に適用されます。

ユーザーへの恩恵

悪意のあるスクリプトや予期せぬ挙動からローカルシステムを保護する能力が高まり、安全性が向上します。

関連ドキュメント

v2.1.83(2件)

Added
Settings
サンドボックスが有効な場合に起動できない時は、サンドボックスなしで実行せずエラーで終了する sandbox.failIfUnavailable 設定を追加しました
英語原文を表示
Added sandbox.failIfUnavailable setting to exit with an error when sandbox is enabled but cannot start, instead of running unsandboxed

変更前

サンドボックスが有効に設定されていても、依存関係の不足やプラットフォームの制限で起動できない場合、Claude Code は警告を表示した上でサンドボックスなし(保護なし)の状態でコマンドを実行してしました。

変更後

sandbox.failIfUnavailable を true に設定することで、サンドボックスを起動できない場合にプロセスをエラーで停止させることができるようになりました。これにより、意図しない非保護状態での実行を防げます。

ユーザーへの恩恵

厳格なセキュリティポリシーを必要とするエンタープライズ環境において、安全性が確認できない状態でのコマンド実行を確実に阻止できるようになり、セキュリティガバナンスが強化されます。

関連ドキュメント

Fixed
Linux のサンドボックスモードにおいて、rg ... | wc -l などのパイプを使ったコマンドが停止し、常に 0 を返す問題を修正しました
英語原文を表示
Fixed rg ... | wc -l and similar piped commands hanging and returning 0 in sandbox mode on Linux

変更前

サンドボックス保護下で複数のコマンドをパイプでつなぐと、プロセスの通信制御の問題によりデータが正しく流れず、検索結果が正しくカウントされないなどの不具合がありました。

変更後

サンドボックス内のプロセス間通信(パイプ処理)のハンドリングが修正され、通常のシェルと同じように複雑なコマンド列を実行できるようになりました。

ユーザーへの恩恵

安全なサンドボックスを利用しながらも、パワフルなシェルコマンドを制限なく活用したコード分析が可能になります。

関連ドキュメント

v2.1.80(1件)

Fixed
Settings
/sandbox メニュー内のタブ切り替えが Tab キーや矢印キーに反応しなかった問題を修正
英語原文を表示
Fixed /sandbox tab switching not responding to Tab or arrow keys

変更前

サンドボックス設定画面において、キーボード操作で設定項目やタブ間を移動しようとしてもフォーカスが正しく切り替わりませんでした。

変更後

標準的なキーボードショートカット(Tab や矢印キー)によるタブ移動や項目の選択が、意図通りに動作するようになります。

ユーザーへの恩恵

マウスを使わずにキーボードだけでサンドボックス構成を素早く変更でき、開発の流れを止めずにセキュリティ設定を管理できます。

関連ドキュメント

v2.1.78(4件)

Fixed
Permissions
Linuxのサンドボックス内での git log HEAD のエラー、およびスタブファイルによる git status の汚染を修正
英語原文を表示
Fixed git log HEAD failing with "ambiguous argument" inside sandboxed Bash on Linux, and stub files polluting git status in the working directory

変更前

Linux のサンドボックス環境で Git 操作を行うと、「引数が曖昧」というエラーが出たり、不要なファイルが Git ステータスに表示されたりしていました。

変更後

サンドボックス内での Git コマンドの互換性が修正され、作業ディレクトリを汚さずに正確なログ確認やステータス表示が可能になりました。

ユーザーへの恩恵

Linux ユーザーがセキュリティ機能を有効にしたままでも、ストレスなく Git ワークフローを継続できます。

関連ドキュメント

Fixed
Permissions
サンドボックスの書き込み許可設定で、絶対パスが正しく動作しない不具合を修正
英語原文を表示
Fixed sandbox.filesystem.allowWrite not working with absolute paths (previously required // prefix)

変更前

サンドボックス環境での書き込み許可パスを指定する際、常に // 接頭辞が必要であり、通常の絶対パス指定が機能しませんでした。

変更後

標準的な絶対パスによる指定が可能になり、設定ファイルの記述がより直感的になりました。

ユーザーへの恩恵

環境構築時の設定ミスが減り、サンドボックス機能をより簡単に導入できるようになります。

関連ドキュメント

Fixed
IDESettings
macOS 上の /sandbox 依存関係タブに、誤って Linux 向けの要件が表示される問題を修正
英語原文を表示
Fixed /sandbox Dependencies tab showing Linux prerequisites on macOS instead of macOS-specific info

変更前

macOS でサンドボックス設定を確認した際、不要な Linux 用パッケージ(bubblewrap など)のインストールを促される混乱がありました。

変更後

OS を正しく判別し、macOS では標準の Seatbelt フレームワークが使用されることが正しく表示されるようになりました。

ユーザーへの恩恵

ユーザーが自分の環境に合った正しい情報を得られるようになり、セットアップの迷いが解消されます。

関連ドキュメント

Changed
Permissions
セキュリティ：サンドボックス依存関係が不足している場合に警告なしで無効化される問題を修正し、起動時に警告を表示
英語原文を表示
**Security:** Fixed silent sandbox disable when sandbox.enabled: true is set but dependencies are missing — now shows a visible startup warning

変更前

サンドボックス設定が有効でも、必要なツールがない場合に無言で機能がオフになっており、セキュリティ上の死角となっていました。

変更後

起動時に依存関係の不足を明示的に警告するようになり、安全な状態であるかどうかを確実に把握できるようになりました。

ユーザーへの恩恵

設定したセキュリティ境界が機能していないことに気づかないまま作業を続けるリスクを回避できます。

関連ドキュメント

v2.1.77(2件)

Added
Settings
サンドボックスのファイルシステム設定に、denyRead 領域内での読み取りを再許可する allowRead を追加しました
英語原文を表示
Added allowRead sandbox filesystem setting to re-allow read access within denyRead regions

変更前

特定のディレクトリへのアクセスを denyRead で制限した場合、そのサブディレクトリを個別に読み取り許可する手段がありませんでした。

変更後

allowRead 設定を使用することで、読み取り拒否された広範なパスの中から特定のサブパスだけを安全に許可できるようになりました。

ユーザーへの恩恵

サンドボックスのセキュリティ制限を維持しつつ、必要なファイルへのアクセスだけをピンポイントで許可できるため、柔軟な環境構築が可能です。

関連ドキュメント

Fixed
PermissionsSettings
設定やパーミッションのダイアログでリスト移動中に ←/→ キーを押すと、誤ってタブが切り替わってしまう問題を修正しました
英語原文を表示
Fixed ←/→ accidentally switching tabs in settings, permissions, and sandbox dialogs while navigating lists

変更前

リスト項目内のカーソル移動や展開を行おうとすると、意図せず画面上部のタブが移動してしまう操作の競合がありました。

変更後

リスト操作とタブ切り替えのキーバインドが整理され、意図した通りのナビゲーションが可能になりました。

ユーザーへの恩恵

設定画面での誤操作が減り、必要な項目を素早く探し出して変更できるようになります。

関連ドキュメント

v2.1.73(1件)

Fixed
ネイティブビルドのLinux版で「ripgrep (rg) が見つからない」というエラーによりサンドボックスが起動しない問題を修正しました。
英語原文を表示
Fixed Linux sandbox failing to start with "ripgrep (rg) not found" on native builds

v2.1.72(2件)

Fixed
Permissions
サンドボックス内での特定のファイル書き込みや /tmp/ への出力リダイレクトが不要にプロンプトを出す問題を修正
英語原文を表示
Fixed sandbox permission issues: certain file write operations incorrectly allowed without prompting, and output redirections to allowlisted directories (like /tmp/claude/) prompting unnecessarily

変更前

安全な場所(/tmp/claude/ など)への書き込みや、サンドボックス内で完結するはずの操作において、不必要な承認プロンプトが表示されることがありました。

変更後

サンドボックスの権限判定が最適化され、許可されたディレクトリ内でのファイル操作やリダイレクトがよりスムーズに行えるようになりました。

ユーザーへの恩恵

セキュリティを維持したまま、細かなファイル操作に伴う承認プロンプトの回数が減り、作業効率が向上します。

関連ドキュメント

Fixed
Permissions
ワイルドカードルールのマッチング精度やサンドボックス除外コマンド、拒否ルールの適用範囲など、パーミッション周りの不具合を修正
英語原文を表示
Fixed several permission rule matching issues: wildcard rules not matching commands with heredocs, embedded newlines, or no arguments; sandbox.excludedCommands failing with env var prefixes; "always allow" suggesting overly broad prefixes for nested CLI tools; and deny rules not applying to all command forms

変更前

ヒアドキュメントを含むコマンドや環境変数プレフィックス付きのコマンドなど、特定のパターンにおいてパーミッション設定が正しく適用されない場合がありました。

変更後

コマンドラインの解析ロジックが強化され、複雑な形式のコマンドに対しても設定した許可・拒否ルールが正確に機能するようになりました。

ユーザーへの恩恵

「常に許可」や「常に拒否」の設定が期待通りに働くようになり、セキュリティ設定の信頼性が向上します。

関連ドキュメント

v2.1.69(3件)

Added
Settings
macOS限定の sandbox.enableWeakerNetworkIsolation 設定を追加。カスタムプロキシ使用時に gh や terraform 等のGoプログラムでのTLS検証を許可
英語原文を表示
Added sandbox.enableWeakerNetworkIsolation setting (macOS only) to allow Go programs like gh, gcloud, and terraform to verify TLS certificates when using a custom MITM proxy with httpProxyPort

変更前

サンドボックスのネットワーク隔離が厳格すぎて、Go言語で書かれたCLIツールがカスタムCA証明書を介したプロキシ環境で証明書エラーを起こすことがありました。

変更後

macOSの信頼された証明書サービスへのアクセスを許可するオプションが追加され、企業プロキシ環境下でもこれらのツールが正常に動作するようになります。

ユーザーへの恩恵

社内ネットワーク制限がある環境でも、terraform や gcloud といった必須のインフラ操作ツールをClaude Codeから安全に実行できます。

関連ドキュメント

Fixed
Permissions
Linuxでのサンドボックス内bashコマンド実行後に、.bashrc 等のドットファイルが未追跡ファイルとして現れる問題を修正
英語原文を表示
Fixed ghost dotfiles (.bashrc, HEAD, etc.) appearing as untracked files in the working directory after sandboxed Bash commands on Linux

変更前

サンドボックスが環境設定を読み込む際、作業ディレクトリに実体のないゴーストファイルが生成され、Gitのクリーンな状態を乱していました。

変更後

ファイルの分離が適切に行われるようになり、開発環境のGit状態に不要なファイルが混入しなくなりました。

ユーザーへの恩恵

Gitステータスを汚すことなくサンドボックスの安全な実行環境を利用でき、コミット時の混乱を防げます。

関連ドキュメント

Fixed
Settings
Fixed sandbox prompting users to approve non-allowed domains when allowManagedDomainsOnly is enabled in managed settings — non-allowed domains are now blocked automatically with no bypass

関連ドキュメント

v2.1.64(2件)

Added
Settings
macOS 限定で sandbox.enableWeakerNetworkIsolation 設定を追加しました。httpProxyPort を使用したカスタムプロキシ環境下で、gh や terraform などの Go 製プログラムが TLS 証明書を検証できるようになります。
英語原文を表示
Added sandbox.enableWeakerNetworkIsolation setting (macOS only) to allow Go programs like gh, gcloud, and terraform to verify TLS certificates when using a custom MITM proxy with httpProxyPort

変更前

macOS のサンドボックス環境でカスタムプロキシを使用すると、Go 言語で書かれたツールが証明書の検証に失敗し、ネットワーク通信が必要なコマンドが実行できないことがありました。

変更後

ネットワークの隔離レベルをわずかに調整するオプションが提供され、セキュリティを維持しつつ、企業内プロキシ環境などでも Go 製のツールが正しく動作するようになりました。

ユーザーへの恩恵

企業独自のネットワーク環境下でも、gh コマンドによる PR 作成や terraform によるインフラ操作を Claude に安全に実行させることができます。

関連ドキュメント

Fixed
Settings
管理設定で allowManagedDomainsOnly が有効な場合、未許可ドメインへの承認プロンプトを抑制し、自動的にブロックするように修正しました。
英語原文を表示
Fixed sandbox prompting users to approve non-allowed domains when allowManagedDomainsOnly is enabled in managed settings — non-allowed domains are now blocked automatically with no bypass

変更前

組織レベルで許可ドメインを制限している場合でも、制限外のサイトへアクセスしようとするとユーザーに承認を求めるプロンプトが出てしまい、管理ポリシーをバイパスできてしまう余地がありました。

変更後

ポリシーで制限されている場合はプロンプトすら出さずに即座に遮断されるようになり、管理者の意図通りの厳格な制限が適用されるようになりました。

ユーザーへの恩恵

企業におけるセキュリティポリシーの強制力が向上し、ヒューマンエラーによる機密情報の流出リスクを低減できます。

関連ドキュメント

v2.1.47(1件)

Fixed
サンドボックス化されたコマンドで「read-only file system」エラーが発生するzsh heredocの問題を修正しました(anthropics/claude-code#25990)。
英語原文を表示
Fixed zsh heredoc failing with "read-only file system" error in sandboxed commands (anthropics/claude-code#25990)

変更前

サンドボックス化された環境でzsh heredocを使用すると、「read-only file system」エラーが発生し、コマンドが失敗する問題がありました。

変更後

サンドボックス化されたコマンドでzsh heredocが「read-only file system」エラーを起こす問題が修正されました。

ユーザーへの恩恵

サンドボックス環境でのzsh heredocの利用が改善され、より多くのシナリオでシェルコマンドの実行が容易になりました。

v2.1.45(1件)

Fixed
macOS で一時ファイルを書き込む際のサンドボックス「操作が許可されない」エラーを、正しいユーザーごとの一時ディレクトリを使用することで修正しました (anthropics/claude-code#21654)。
英語原文を表示
Fixed sandbox "operation not permitted" errors when writing temporary files on macOS by using the correct per-user temp directory (anthropics/claude-code#21654)

v2.1.38(1件)

Changed
Skills
サンドボックスモードにおいて、.claude/skills ディレクトリへの書き込みがブロックされるようになりました。
英語原文を表示
Blocked writes to .claude/skills directory in sandbox mode

変更前

以前は、サンドボックスモードで動作しているClaude Codeが、許可なく.claude/skills ディレクトリにファイルを書き込む可能性がありました。これにより、セキュリティ上の懸念や、予期せぬ変更が発生するリスクがありました。

変更後

今回の変更により、サンドボックスモードでは、Claude Codeが.claude/skills ディレクトリにファイルを書き込むことができなくなりました。これにより、サンドボックスの隔離性が強化され、不必要なファイル操作が防がれます。

ユーザーへの恩恵

ユーザーは、サンドボックス環境でのセキュリティが向上し、Claude Codeが意図しないスキルファイルを作成・変更するリスクがなくなります。これにより、より安全で予測可能な開発環境を維持できます。

関連ドキュメント

v2.1.34(1件)

Fixed
Permissions
サンドボックスから除外されたコマンド(sandbox.excludedCommands または dangerouslyDisableSandbox 経由)が、autoAllowBashIfSandboxed が有効な場合に Bash の権限要求ルールを迂回するバグを修正しました。
英語原文を表示
Fixed a bug where commands excluded from sandboxing (via sandbox.excludedCommands or dangerouslyDisableSandbox) could bypass the Bash ask permission rule when autoAllowBashIfSandboxed was enabled

変更前

以前は、サンドボックス機能を使って自動承認されるように設定されたBashコマンドの一部が、意図せず権限の要求なしに実行される可能性がありました。これは、特定のコマンドがサンドボックスから除外されるように設定されている場合に発生し、セキュリティ上の脆弱性となる恐れがありました。

変更後

今回の修正により、autoAllowBashIfSandboxed 設定が有効な環境でも、サンドボックスから除外されたコマンドは適切にBashの権限要求ルールに従うようになりました。これにより、除外設定されたコマンドであっても、ユーザーの許可なく勝手に実行されることはありません。

ユーザーへの恩恵

この修正により、サンドボックスのセキュリティモデルが強化され、より安心してClaude Codeを利用できるようになります。意図しないコマンドの実行を防ぎ、システムへのアクセスを厳密に制御できるため、セキュリティリスクが低減されます。

関連ドキュメント

v2.1.31(1件)

Fixed
サンドボックスモードが有効な場合に、bashコマンドが「Read-only file system」エラーを誤って報告する問題を修正しました。
英語原文を表示
Fixed bash commands incorrectly reporting failure with "Read-only file system" errors when sandbox mode was enabled

v2.1.20(1件)

Improved
依存関係が不足している場合にインストール手順と共に依存関係のステータスを表示するように、/sandboxコマンドのUIが改善されました。
英語原文を表示
Improved /sandbox command UI to show dependency status with installation instructions when dependencies are missing

変更前

LinuxやWSL2環境でサンドボックス機能を有効にする際、bubblewrapやsocatといった必要な依存関係が不足している場合、ユーザーは手動でそれらのインストール方法を調べて設定する必要がありました。/sandboxコマンドのUIは、このプロセスを明確にガイドするものではありませんでした。

変更後

/sandboxコマンドを実行した際に、必要な依存関係が不足している場合は、そのステータスとプラットフォームに応じた具体的なインストール手順がUIに表示されるようになりました。これにより、ユーザーはスムーズにサンドボックス機能を設定できるようになります。

ユーザーへの恩恵

これにより、LinuxやWSL2ユーザーはサンドボックスのセットアップが大幅に簡素化されます。不足している依存関係を特定し、インストール方法を調べる手間が省け、Claude Codeのサンドボックス環境を迅速かつ容易に利用開始できるようになります。

関連ドキュメント

v2.0.30(1件)

Added
Added allowUnsandboxedCommands sandbox setting to disable the dangerouslyDisableSandbox escape hatch at policy level

関連ドキュメント

v2.0.24(1件)

Changed
Sandbox: Releasing a sandbox mode for the BashTool on Linux & Mac