Claude Code 2.1.321 activa sin preguntar los mods que escribe Claude, incluso con claves gestionadas de sandbox
- Qué pasó
- Claude Code 2.1.321 (9 de noviembre de 2026) activa sin preguntar los mods que escribe Claude en los modos auto y bypass, incluso bajo claves gestionadas de sandbox y de dominios.
- Por qué importa
- Los mods se ejecutan con el acceso completo de Claude Code, y sus propias llamadas de herramientas ahora se saltan las reglas ask, así que esas claves gestionadas ya no los limitan en esos modos.
- Qué hacer
- Antes de desplegar 2.1.321, asegúrate de que tus reglas de denegación y la política de la organización cubren lo que un mod podría hacer.
Veredicto: si tu organización confía en los ajustes gestionados allowUnsandboxedCommands: false o allowManagedDomainsOnly para mantener contenido a Claude Code, trata 2.1.321 como un cambio de política: los mods que escribe Claude ahora se activan sin preguntar en los modos auto y bypass. Revisa tus reglas de denegación antes de que llegue a los desarrolladores. Anthropic lo publica como un cambio de comportamiento deliberado, no un fallo, y no lo calificamos de vulnerabilidad. Aun así, elimina una garantía con la que los administradores pueden estar contando. Nuestro veredicto del directorio sobre Claude Code se mantiene en condicional: esta versión es una razón más para que la condición sea «gestionado con cuidado».
Qué ha pasado
El registro de cambios de 2.1.321 de Anthropic, fechado el 9 de noviembre de 2026, incluye dos puntos que importan aquí. Citados tal cual:
- «Los mods que escribe Claude pasan a activarse sin preguntar en los modos auto y bypass, incluso con los ajustes gestionados
allowUnsandboxedCommands: falseoallowManagedDomainsOnly, y a no cargarse en el mododontAsk» - «Las propias llamadas de herramientas de los mods (
$.tool.call,$.mcp.call) pasan a no generar ningún aviso de permiso, ni siquiera bajo tus propias reglas ask o en ejecuciones condontAsky-p; las reglas de denegación y la política de la organización siguen aplicando»
Un tercer punto de la misma versión: las sesiones headless ahora recargan los mods de .claude/skills cuando sus archivos cambian. Definir CLAUDE_CODE_PLUGIN_DIR_WATCH=0 lo desactiva.
Por qué importa
Los mods llegaron el 1 de octubre de 2026. El anuncio de Anthropic dice que «se ejecutan con el mismo acceso a tu máquina que el propio Claude Code» y que «no están en sandbox». Antes de esta versión, un mod que escribiera Claude tenía que activarse manualmente: el registro de cambios lista el nuevo comportamiento en su sección «Changed» (cambios). Desde 2.1.321, en los modos auto y bypass, se activa por sí solo, y las claves gestionadas que mantienen los comandos normales en sandbox o en dominios aprobados no lo detienen. Una vez cargado, las propias llamadas de herramientas del mod se saltan por completo las reglas ask.
Lo que sigue vigente, según el registro de cambios:
| Control | ¿Se aplica a los mods en 2.1.321? |
|---|---|
| Reglas de denegación | Sí |
| Política de la organización | Sí |
| Tus propias reglas ask | No, para las llamadas de herramientas del propio mod |
allowUnsandboxedCommands: false / allowManagedDomainsOnly gestionados | Ya no impiden que un mod que escribe Claude se active en los modos auto y bypass |
Modo dontAsk | Los mods que escribe Claude no se cargan |
La lectura práctica: las reglas de denegación y la política de la organización son ahora la única barrera alrededor de un mod que escribe Claude en los modos auto y bypass. Si tu estrategia de contención se construyó sobre las claves de sandbox y de dominios, tiene un hueco desde esta versión.
Qué cambia para ti
| Tu situación | Qué hacer |
|---|---|
| Administras una flota gestionada de Claude Code | Revisa las reglas de denegación y la política de la organización antes de aprobar 2.1.321. Son los controles que quedan. |
| Eres desarrollador en modo auto o bypass | Ten en cuenta que un mod que escribe Claude ahora puede ponerse a trabajar sin aviso. |
Ejecutas trabajos headless o con -p | Decide si las recargas de mods deben estar desactivadas, usando CLAUDE_CODE_PLUGIN_DIR_WATCH=0. |
Preguntas frecuentes
¿Es una vulnerabilidad de seguridad? No la calificamos así. Anthropic la lista bajo «Changed» como comportamiento previsto, pero reduce lo que garantizan los ajustes gestionados de sandbox y de dominios.
¿Qué modos están afectados? Los modos auto y bypass activan sin preguntar los mods que escribe Claude. En el modo dontAsk esos mods no se cargan en absoluto.
¿Qué sigue bloqueando a un mod? Las reglas de denegación y la política de la organización, según el registro de cambios. Las reglas ask no detienen un $.tool.call o $.mcp.call del propio mod.
Qué hacer
- 1 Retén 2.1.321 en las flotas gestionadas hasta haber revisado las reglas de denegación y la política de la organización, los controles que Anthropic dice que siguen aplicando a los mods.
- 2 Si dependes de allowUnsandboxedCommands: false o allowManagedDomainsOnly, restringe los modos auto y bypass para los usuarios, ya que es ahí donde los mods que escribe Claude ahora se activan sin preguntar.
- 3 No cuentes con las reglas ask para detener un $.tool.call o $.mcp.call de un mod: desde esta versión no generan ningún aviso.
Herramientas y modelos afectados
No vuelvas a tener que ponerte al día
El resumen semanal: solo cambios de veredicto y acciones urgentes. Sin relleno.