Claude Code 2.1.214: семь исправлений обхода прав доступа, которые обязан проверить каждый оператор перед развёртыванием

Когда обновление Claude Code содержит одно исправление прав доступа — применяешь патч и идёшь дальше. Когда в одной записи changelog исправлено семь независимых векторов обхода в Bash, PowerShell и удалённых сессиях — перед следующим окном развёртывания необходимо остановиться и провести полный аудит.

Версия 2.1.214 вышла на этой неделе. Это выпуск по укреплению безопасности и наблюдаемости, а не функциональный релиз. Исправления наиболее важны для команд, запускающих Claude Code через кастомный AI gateway, в CI, или с политикой managed-settings, где операторы задают allow-list прав и рассчитывают на его соблюдение.

Что произошло

В 2.1.214 закрыто семь отдельных путей обхода проверки прав доступа:

1. dir/** allow-правила охватывали лишний scope — однoсегментный glob вида Edit(src/**) автоматически разрешал запись в любую директорию dir/ в дереве, а не только в <cwd>/dir. Операторы с ограниченными политиками путей записи незаметно получали избыточные разрешения.
2. Обход в PowerShell 5.1 — команды, выполняемые в сессии Windows PowerShell 5.1, могли обходить проверку прав. Основная область риска — корпоративные Windows CI-конвейеры с Claude Code.
3. Формы перенаправления файловых дескрипторов — анализатор прав в Bash не распознавал отдельные формы fd-перенаправлений, которые bash разбирает иначе. Команды с такими формами выполнялись без запроса.
4. Неверная оценка длинных команд — для команд длиннее 10 000 символов анализатор допускал ошибки. Теперь они всегда вызывают запрос подтверждения, закрывая ситуацию, когда намеренно длинная команда уходила без проверки.
5. Подстроки переменных zsh в [[ ]] — подстроки переменных и модификаторы zsh в конструкциях [[ ]] воспринимались как инертный текст. Затронутые команды теперь требуют подтверждения.
6. Слишком широкий белый список help и man — некоторые варианты help/man, способные запустить небезопасные опции, подстановки команд или пути с обратным слешем, автоматически разрешались. Это исправлено.
7. Гонка условий в удалённой сессии — запросы прав в удалённых сессиях могли отрабатывать до отображения локального диалога подтверждения, создавая окно, в котором действие выполнялось без видимого согласия пользователя.

Помимо исправлений безопасности, два нововведения изменяют поведение, видимое оператором:

• Docker daemon-redirect флаги теперь требуют разрешения — команды docker с флагами --url, --connection, --identity и режимом Podman remote теперь запрашивают подтверждение. Ранее docker --url tcp://... run ... проходил через Bash-шлюз прав как операция «только для чтения».
• Добавлен инструмент EndConversation — как и на claude.ai, Claude теперь может завершать сессии при явном злоупотреблении или попытках jailbreak. Для команд, использующих Claude Code как встроенный agent, это означает: инициированное моделью завершение беседы стало возможным исходом, который gateway- и harness-код должен уметь обрабатывать.

Почему это важно для инженерных команд

Исправления безопасности в совокупности описывают разрыв между тем, что разрешает allow-list оператора, и тем, что фактически выполнялось. Для команд, развёртывающих Claude Code в production с ~/.claude/settings.json или организационным managed-settings, обновление 2.1.214 означает следующее:

Во-первых, часть автоматически разрешённых команд выполнялась за пределами заданного оператором scope политики. Правило dir/** для src/ совпадало с нежелательными директориями. Длинные команды обходили анализатор. Подстроки zsh были невидимы для шлюза.

Во-вторых, после обновления до 2.1.214 могут появиться новые запросы прав для команд, которые ранее выполнялись без них. Это корректное поведение, но в CI-автоматизации, рассчитанной на запуск без участия оператора, это может выглядеть как регрессия. Рекомендуется протестировать поведение после обновления в staging-окружении, прежде чем выполнять широкое развёртывание.

Угол routing/operator

Для операторов AI gateway изменения OTel в 2.1.214 важны независимо от исправлений безопасности.

В лог-события OpenTelemetry добавлены три новых атрибута:

• message.uuid — стабильный идентификатор каждого сообщения для корреляции трейсов между узлами gateway
• client_request_id — для привязки лог-события обратно к исходящему запросу на уровне gateway
• tool_source — идентифицирует инструмент, создавший событие, позволяя выполнять атрибуцию стоимости по каждому инструменту

Эти атрибуты закрывают пробел, из-за которого было сложно сопоставить телеметрию сессий Claude Code с биллинговыми записями на уровне gateway. Если ваш AI gateway уже отправляет OTel-спаны на запрос, теперь можно использовать client_request_id и message.uuid для корреляции внутренних событий Claude Code с биллинговыми записями без агрегации на уровне сессии.

Также появилась настройка CLAUDE_CODE_OTEL_CONTENT_MAX_LENGTH — порог усечения контентных атрибутов OTel (по умолчанию 60 КБ) стал конфигурируемым. Команды с ограничениями на размер в агрегаторе логов могут уменьшить его; compliance-workloads с требованиями полного захвата контента — увеличить.

На что обратить внимание пользователям TheRouter

Изменения шлюза прав и атрибуты OTel-корреляции непосредственно актуальны для команд, запускающих Claude Code через кастомный gateway. Два шага на эту неделю:

Проверьте allow-list после обновления. Если в managed-settings используются ограниченные по scope правила Edit() или Bash(), убедитесь, что предполагаемый scope остался корректным после изменения семантики однoсегментного dir/**. Правило, которое раньше совпадало широко, теперь может совпадать уже; правило, казавшееся узким, до 2.1.214 могло захватывать больше.

Свяжите client_request_id и message.uuid с биллинговыми span'ами gateway. Если ваш AI gateway уже отправляет OTel-спаны, добавьте шаг корреляции для сопоставления client_request_id Claude Code с идентификатором запроса gateway. Это ключевая пара атрибутов для надёжного учёта затрат на уровне агента в gateway-слое.

Путь обновления: npm install -g @anthropic-ai/claude-code@latest или ваш управляемый механизм дистрибуции.