Claude Code łata luki w pytaniu o zgodę agenta

Cały sens pytania o zgodę w Claude Code polega na tym, że agent zatrzymuje się i pyta, zanim zrobi coś ryzykownego: nadpisze plik, uruchomi polecenie w terminalu, sięgnie do sieci. Trzy ostatnie wydania (2.1.214 z 18 lipca, 2.1.215 z 19 lipca i 2.1.216 z 20 lipca) załatały kilka sytuacji, w których to pytanie dało się ominąć, czyli agent mógł wykonać groźną komendę, mimo że powinien był najpierw zapytać.

To nie jest jeden spektakularny błąd, tylko seria drobnych szczelin w tej samej bramce. Właśnie dlatego warto o nich napisać: bezpieczeństwo agentowego kodowania stoi na tym jednym mechanizmie, a on jest tak mocny, jak jego najsłabszy przypadek brzegowy.

Co dokładnie zostało uszczelnione

Najwięcej łatek trafiło do wersji 2.1.214. Kilka z nich brzmi technicznie, ale sedno jest proste: różne kształty poleceń potrafiły prześlizgnąć się obok analizatora, który decyduje, czy pytać o zgodę.

• Reguła w stylu Edit(src/**) auto-akceptowała zapisy do zagnieżdżonych katalogów src/ gdziekolwiek w drzewie projektu, zamiast tylko w tym jednym w katalogu roboczym. Jeśli więc dopuściłeś edycję w swoim src/, reguła mogła po cichu obejmować też cudze src/ głębiej w projekcie.
• Obejście kontroli uprawnień w sesjach Windows PowerShell 5.1 zostało zamknięte.
• Sprawdzanie poleceń Bash dla form z przekierowaniem deskryptora plików teraz „faluje zamknięcie“, czyli w razie wątpliwości pyta, a nie przepuszcza.
• Bardzo długie komendy (powyżej 10 000 znaków) były błędnie oceniane i mogły ruszyć same. Teraz zawsze proszą o potwierdzenie.
• Sztuczki składniowe (indeksy i modyfikatory zmiennych zsh w [[ ]], część poleceń help i man z niebezpiecznymi opcjami) traktowane wcześniej jak nieszkodliwy tekst teraz również pytają o zgodę.
• Polecenia docker z flagami przekierowującymi na inny demon (--url, --connection, tryb zdalny Podmana) dostały własny monit, bo wcześniej potrafiły ruszyć bez niego.

Jeżeli chcesz zrozumieć, jak w ogóle działa ta bramka i jak ustawiać własne reguły, opisaliśmy to osobno przy okazji systemu uprawnień Claude Code.

Dlaczego to ważne dla osoby nietechnicznej

Kiedy budujesz aplikację z agentem, oddajesz mu klawiaturę: on sam pisze pliki i odpala komendy. Twoją jedyną realną kontrolą jest lista reguł „na to się zgadzam z góry, o resztę pytaj“. Każda z powyższych szczelin oznaczała, że coś, co powinno było wyskoczyć jako pytanie, mogło przejść bez niego. To szczególnie istotne w połączeniu z zagrożeniem, które opisywaliśmy przy wstrzykiwaniu poleceń: jeśli złośliwa instrukcja przemyci się do agenta z treści strony czy pliku, to właśnie monit o zgodę jest ostatnią barierą, która ma ją zatrzymać. Dziura w monicie osłabia tę barierę dokładnie wtedy, gdy najbardziej jej potrzebujesz.

Co jeszcze przyszło w tych wydaniach

Poza łatkami uprawnień w tych trzech wersjach doszło kilka zmian, które warto znać:

• Nowe narzędzie EndConversation (2.1.214): Claude może zakończyć sesję z użytkownikiem, który jest skrajnie agresywny albo próbuje obejść zabezpieczenia. Ta sama zasada działa na claude.ai od 2025 roku.
• /verify i /code-review nie odpalają się już same (2.1.215): jeśli chcesz weryfikację albo przegląd kodu, wywołujesz je ręcznie. Koniec z niespodziewanym uruchamianiem tych trybów w środku pracy.
• Nowy przełącznik sandbox.filesystem.disabled (2.1.216): pozwala pominąć izolację systemu plików, zachowując kontrolę nad ruchem sieciowym. To ustawienie dla świadomych, nie domyślne rozluźnienie.
• Naprawiono spowolnienie długich sesji (2.1.216), w których koszt porządkowania wiadomości rósł kwadratowo z liczbą tur i powodował kilkusekundowe zacięcia oraz wolne wznawianie.

Co z tym zrobić

Rada jest krótka: zaktualizuj Claude Code do najnowszej wersji, bo łatki bezpieczeństwa mają wartość tylko wtedy, gdy je masz. Przy okazji zajrzyj do swoich reguł uprawnień i sprawdź, czy nie trzymasz zbyt szerokich wpisów w rodzaju dir/**, które teraz zachowują się precyzyjniej, ale wcześniej mogły obejmować więcej, niż zakładałeś.

Jedna uwaga o źródle: numery wersji i daty pochodzą z oficjalnego dziennika zmian Claude Code renderowanego na stronie dokumentacji, bo surowy plik CHANGELOG.md na GitHubie nie datuje wpisów. Sama treść łatek jest w obu miejscach identyczna. Najlepszym potwierdzeniem, że je masz, jest po prostu aktualizacja i sprawdzenie wersji poleceniem w terminalu.