Claude Code 2.1.321 aktiviert von Claude geschriebene Mods ohne Nachfrage, auch unter verwalteten Sandbox-Schlüsseln
- Was ist passiert
- Claude Code 2.1.321 (9. November 2026) aktiviert von Claude geschriebene Mods im Auto- und Bypass-Modus ohne Nachfrage, auch unter verwalteten Sandbox- und Domain-Schlüsseln.
- Warum es wichtig ist
- Mods laufen mit dem vollen Zugriff von Claude Code, und ihre eigenen Tool-Aufrufe überspringen jetzt Ask-Regeln. Diese verwalteten Schlüssel bremsen sie in diesen Modi also nicht mehr aus.
- Was zu tun ist
- Stellen Sie vor dem Rollout von 2.1.321 sicher, dass Ihre Deny-Regeln und Ihre Organisationsrichtlinie abdecken, was ein Mod tun könnte.
Urteil: Wenn Ihre Organisation sich auf verwaltete allowUnsandboxedCommands: false oder allowManagedDomainsOnly verlässt, um Claude Code einzugrenzen, behandeln Sie 2.1.321 als Richtlinienänderung: Von Claude geschriebene Mods aktivieren sich im Auto- und Bypass-Modus jetzt ohne Nachfrage. Prüfen Sie Ihre Deny-Regeln, bevor das Release Entwickler erreicht. Anthropic liefert dies als bewusste Verhaltensänderung, nicht als Fehler, und wir nennen es keine Schwachstelle. Es nimmt Admins dennoch eine Garantie, auf die sie sich möglicherweise verlassen. Unser Verzeichnis-Urteil zu Claude Code bleibt Bedingt: Dieses Release ist ein Grund mehr, warum die Bedingung „mit Sorgfalt verwaltet" lautet.
Was passiert ist
Anthropics Changelog zu 2.1.321 vom 9. November 2026 enthält zwei Punkte, die hier zählen. Wörtlich zitiert:
- „Geändert: Von Claude geschriebene Mods aktivieren sich im Auto- und Bypass-Modus ohne Nachfrage, selbst mit verwaltetem
allowUnsandboxedCommands: falseoderallowManagedDomainsOnly, und laden nicht imdontAsk-Modus" - „Geändert: Die eigenen Tool-Aufrufe von Mods (
$.tool.call,$.mcp.call) lösen keine Berechtigungsnachfrage mehr aus, auch nicht unter Ihren eigenen Ask-Regeln oder indontAsk- und-p-Läufen; Deny-Regeln und die Organisationsrichtlinie gelten weiterhin"
Ein dritter Punkt im selben Release: Headless-Sessions laden Mods in .claude/skills jetzt neu, wenn sich ihre Dateien ändern. CLAUDE_CODE_PLUGIN_DIR_WATCH=0 schaltet das ab.
Warum es wichtig ist
Mods kamen am 1. Oktober 2026. Anthropics Ankündigung sagt, sie „laufen mit demselben Zugriff auf Ihre Maschine wie Claude Code selbst" und „sind nicht gesandboxt". Vor diesem Release musste ein von Claude geschriebener Mod eingeschaltet werden: Das Changelog führt das neue Verhalten unter „Geändert". Ab 2.1.321 aktiviert er sich im Auto- und Bypass-Modus von selbst, und die verwalteten Schlüssel, die gewöhnliche Befehle in der Sandbox oder auf freigegebenen Domains halten, stoppen ihn nicht. Einmal geladen, überspringen die eigenen Tool-Aufrufe des Mods Ask-Regeln vollständig.
Was laut Changelog weiterhin gilt:
| Kontrolle | Gilt für Mods in 2.1.321? |
|---|---|
| Deny-Regeln | Ja |
| Organisationsrichtlinie | Ja |
| Ihre eigenen Ask-Regeln | Nein, für die eigenen Tool-Aufrufe des Mods |
Verwaltete allowUnsandboxedCommands: false / allowManagedDomainsOnly | Stoppen nicht mehr, dass sich ein von Claude geschriebener Mod im Auto- und Bypass-Modus aktiviert |
dontAsk-Modus | Von Claude geschriebene Mods laden nicht |
Die praktische Lesart: Deny-Regeln und die Organisationsrichtlinie sind jetzt der einzige Zaun um einen von Claude geschriebenen Mod im Auto- und Bypass-Modus. Wenn Ihre Abschirmung auf den Sandbox- und Domain-Schlüsseln aufbaute, hat sie ab dieser Version eine Lücke.
Was sich für Sie ändert
| Sie sind | Tun Sie dies |
|---|---|
| Admin einer verwalteten Claude-Code-Flotte | Prüfen Sie Deny-Regeln und Organisationsrichtlinie, bevor Sie 2.1.321 freigeben. Sie sind die verbleibenden Kontrollen. |
| Entwickler im Auto- oder Bypass-Modus | Rechnen Sie damit, dass ein von Claude geschriebener Mod jetzt ohne Nachfrage anfangen kann zu arbeiten. |
Betreiber von Headless- oder -p-Jobs | Entscheiden Sie mit CLAUDE_CODE_PLUGIN_DIR_WATCH=0, ob das Nachladen von Mods abgeschaltet sein soll. |
FAQ
Ist das eine Sicherheitslücke? Wir nennen es keine. Anthropic führt es unter „Geändert" als beabsichtigtes Verhalten, aber es verengt, was verwaltete Sandbox- und Domain-Einstellungen garantieren.
Welche Modi sind betroffen? Der Auto- und der Bypass-Modus aktivieren von Claude geschriebene Mods ohne Nachfrage. Im dontAsk-Modus laden diese Mods gar nicht.
Was stoppt einen Mod noch? Deny-Regeln und die Organisationsrichtlinie, laut Changelog. Ask-Regeln stoppen den eigenen $.tool.call oder $.mcp.call eines Mods nicht.
Was zu tun ist
- 1 Halten Sie 2.1.321 in verwalteten Flotten zurück, bis Sie Deny-Regeln und Organisationsrichtlinie geprüft haben, die Kontrollen, die laut Anthropic weiterhin für Mods gelten.
- 2 Wenn Sie auf allowUnsandboxedCommands: false oder allowManagedDomainsOnly angewiesen sind, schränken Sie den Auto- und Bypass-Modus für Nutzer ein, denn dort aktivieren sich von Claude geschriebene Mods jetzt ohne Nachfrage.
- 3 Verlassen Sie sich nicht darauf, dass Ask-Regeln den eigenen $.tool.call oder $.mcp.call eines Mods stoppen: Ab dieser Version lösen sie keine Nachfrage mehr aus.
Betroffene Tools & Modelle
Nie wieder etwas verpassen
Das wöchentliche Delta: nur Urteilsänderungen und dringende Punkte. Kein Füllmaterial.