La actualización alinea mejor los límites del sandbox, la confianza del repositorio y las conexiones MCP.
Claude Code 2.1.309 endurece el sandbox y los permisos de MCP
Anthropic corrige rutas de escritura, enlaces simbólicos y cambios de configuración MCP, y exige confianza explícita del espacio de trabajo para ultrareview.
Contexto esencialUna actualización centrada en que el agente respete límites de escritura, confianza del repositorio y configuración de herramientas externas.Minimizar
Agente, sandbox y permisos
Claude Code puede ejecutar comandos y editar archivos, de modo que su seguridad depende de varias capas. El sandbox limita procesos y rutas; las reglas de permisos deciden qué operaciones se permiten; y la confianza del espacio de trabajo establece si el repositorio puede activar funciones sensibles.
Si una capa falla y otra continúa como si nada, una acción prevista para un entorno aislado puede alcanzar archivos o configuraciones fuera del alcance esperado. La versión corrige varios cruces entre esas capas.
MCP y enlaces simbólicos
MCP conecta el agente con servicios y herramientas. Su configuración puede incluir servidores con capacidades y credenciales distintas, por lo que modificarla equivale a cambiar la superficie de acceso. La versión bloquea ediciones automáticas de esa configuración y evita reconectar servidores deshabilitados.
Un enlace simbólico redirige una ruta hacia otra ubicación. Si una política solo comprueba el nombre visible y no el destino real, puede conceder acceso donde no corresponde.
Ejemplo operativo
En un repositorio descargado de terceros, un equipo podría mantener la confianza desactivada, usar un conjunto mínimo de servidores MCP y permitir escritura solo dentro del proyecto. Al activar ultrareview, deberá declarar confianza de forma explícita. Es un ejemplo prudente, no una prueba de seguridad.
Las notas confirman correcciones concretas, pero no garantizan aislamiento absoluto. Conviene actualizar, revisar permisos efectivos y comprobar los flujos internos más sensibles.
Claude Code 2.1.309 concentra cambios de seguridad en los límites de ejecución. Si el sandbox no puede arrancar, la herramienta ya no debe continuar escribiendo en rutas configuradas como permitidas; además corrige casos en los que archivos de inicio o enlaces simbólicos podían eludir restricciones.
La versión impide que el modo sandbox y las ediciones automáticas modifiquen la configuración de servidores MCP, corrige reconexiones a servidores deshabilitados y refuerza la comprobación de redirecciones en permisos. En el modo que omite confirmaciones, órdenes destructivas como rm o rmdir se rechazan de inmediato y se propone una reformulación.
Ultrareview requiere ahora confiar en el espacio de trabajo o iniciar con --trust-workspace. La actualización también trata sed -i como una modificación real de Bash, sin restauración automática por rebobinado. Son cambios relevantes para equipos que combinan agentes, repositorios y herramientas externas, pero no eliminan la necesidad de revisar permisos, secretos y políticas del entorno.
A tener en cuenta
El changelog confirma las correcciones, pero no publica una evaluación independiente ni el alcance completo de versiones afectadas.