Claude Code 週次まとめ（8/31〜9/6） — 読み取り専用のはずのフォルダが書き込み可能だった問題が直り、権限強化が1日で撤回された
2026-08-31 から 09-06 の Claude Code（2.1.252 / 257 / 258 / 259 / 260 / 261 / 263）をまとめる。今週も権限まわりの修正が中心である。2.1.260 では、括弧を含むパスの権限ルールが無効として捨てられ、読み取り専用のはずのフォルダが書き込み可能なまま残っていた問題が修正された。2.1.252 ではシンボリックリンク経由の読み書き逸脱とプラグインのパストラバーサルが、2.1.257 ではクラウドメタデータ資格情報の自動承認が塞がれている。一方で 2.1.259 が Read() の deny ルールを Bash 引数へ広げた結果 npm run build が全モードで拒否され、翌日の 2.1.260 で撤回された。管理者向けには managedMcpServers の HTTP/SSE 対応と allowedMcpServers の意味変更、組織ポリシー行の表示、出力上限の設定が入っている。
ニュース原文を読む ↗今週の要点
更新してください。今週も権限まわりの修正が中心で、対応が要る項目が3つあります。
「読み取り専用」のはずのフォルダが書き込み可能でした (2.1.260)。括弧を含むパスを指定した Edit / Write / Read の権限ルールが無効として捨てられ、Bash サンドボックスからも無視されていました。結果として、読み取り専用に設定したつもりのフォルダが書き込み可能なまま残っています。さらに、閉じていない [ のようなコンパイル不能なパターンが1つ混ざっているだけで、全ファイル編集が Invalid regular expression で失敗していました。権限ルールを書いている組織は、書いたことと効いていることが別だった前提で確認してください。
承認済みの外を読み書きできた問題が続けて修正されています (2.1.252, 2.1.257)。2.1.252 でシンボリックリンク経由の読み書き逸脱とプラグインのパストラバーサル、算術評価を伴うシェル変数代入による権限チェック回避が塞がれました。2.1.257 では Containment Escape ルールが auto mode に入り、クラウドのメタデータ資格情報の取得が自動承認の対象から外れました。クラウド上でエージェントを動かしている環境ほど効きます。
MCP の制限設定の意味が変わりました (2.1.259)。allowedMcpServers がユーザーが自分で追加したサーバーだけを対象とするようになりました。フィルタリングには deniedMcpServers を使います。既存の設定で意図した制限が外れうる変更です。組織で MCP サーバーを配布・制限している管理者は確認してください。
macOS 12（Monterey）は 2.1.255〜2.1.257 で起動しませんでした (2.1.258)。2.1.255 の回帰で、2.1.258 まで残っています。
変更一覧
権限ルールの解釈 — 括弧を含むパスのルールが無効として捨てられ、読み取り専用フォルダが書き込み可能だった問題を修正。コンパイル不能なパターン1つで全ファイル編集が失敗する問題を修正。zsh の REPORTTIME / REPORTMEMORY / DIRSTACKSIZE 代入にコマンド置換を隠すと Bash 権限チェックが自動承認していた問題を修正。Skill(name) の deny ルールが <dir>:name 形式のネストしたスキルを覆わない問題、管理された skillOverrides のエイリアスが効かない問題を修正 (2.1.260)。Bash の Read() 拒否ルールをオプション値・git オペランド・複合コマンドへ拡大、管理設定がパース不能なら起動を拒否 (2.1.259)。
セキュリティ — シンボリックリンク経由で承認済みの場所の外を読み書きできた問題、プラグインのパストラバーサル、算術評価を伴うシェル変数代入での権限チェック回避を修正 (2.1.252)。Containment Escape ルールでクラウドメタデータ資格情報の取得を自動承認から除外、作業ディレクトリ外のファイルを初めて読む前に1回確認プロンプト (2.1.257)。rm の安全確認が rm -rf の変種も捕捉 (2.1.261)。
撤回された変更 — 2.1.259 の「Read() deny ルールを Bash 引数へ適用する」変更は 2.1.260 で revert されました。 Read(./**/build/**) 配下で npm run build が全モードで拒否され、cd … && grep が auto モードでもプロンプトを出すようになったためです。1日での撤回です。
組織配布と管理 — managedMcpServers が HTTP/SSE の MCP サーバー配布に対応、allowedMcpServers の適用範囲がユーザー追加分のみに変更 (2.1.259)。/status と claude doctor に組織ポリシー行を追加。enabledPlugins で強制有効化したプラグインがクラウドセッションで破棄される問題、フィーチャーフラグが旧バージョンにも適用されてしまう問題を修正 (2.1.261)。claude.ai Enterprise/Team で古い API キーが残っていると管理設定が読み込まれない問題を修正 (2.1.260)。
モデルと既定値 — Claude Fable 5.1（claude-fable-5-1、1M コンテキスト）が既定の Fable モデルに (2.1.257)。CLAUDE_CODE_SUBAGENT_MODEL_FORCE でサブエージェントのモデルを固定可能に (2.1.258)。Fable 5.1 が /model ピッカーに出ない、ツール結果後のコンテキストがキャッシュされず毎ターン再送される、[1m] タグが無視される問題を修正 (2.1.260)。
診断とコスト — /skill-doctor で未使用 Skill を洗い出し。bashOutputMaxChars / taskOutputMaxChars でツール出力の上限を調整 (2.1.261)。/cost とステータスラインにプロンプトキャッシュのミス理由（ツール定義やシステムプロンプトの変更、TTL 超過のアイドルなど）を表示 (2.1.260)。
無人実行と表示 — --permission-prompts none で権限プロンプトを自動拒否 (2.1.259)。/diff で未コミット差分をサイドパネル表示、ヘッドレス / デスクトップ向けのテキスト版 /advisor、ヘッドレスでの /reload-plugins (2.1.260)。/effort s でセッション限りの effort 変更、時刻表示の書式カスタマイズ (2.1.257)。--append-subagent-system-prompt-file (2.1.261)。
拾わなかったもの
Remote Control とバックグラウンドセッションの修正、VS Code 拡張の追加（MCP サーバー管理ダイアログ、セッションのアーカイブ）、Bedrock の社内ルート CA 環境での失敗、表示調整と内部改善は省きました。2.1.263 は公式記載が「バグ修正と信頼性の改善」の1行のみで、内訳は公開されていません（2.1.262 は公開されていません）。全件は公式 CHANGELOG を参照してください。