Claude Code 2.1.321 active les mods écrits par Claude sans demander, même avec des clés de sandbox gérées

Verdict : si votre organisation compte sur les clés gérées allowUnsandboxedCommands: false ou allowManagedDomainsOnly pour garder Claude Code confiné, considérez la 2.1.321 comme un changement de politique : les mods écrits par Claude s'activent désormais sans demander en modes auto et bypass. Revoyez vos règles deny avant qu'elle n'atteigne les développeurs. Anthropic présente cela comme un changement de comportement délibéré, pas comme un défaut, et nous ne le qualifions pas de vulnérabilité. Cela retire néanmoins une garantie sur laquelle des administrateurs peuvent compter. Notre verdict sur Claude Code dans le répertoire reste Conditionnel : cette version est une raison de plus pour que la condition soit « géré avec soin » (notre traduction).

Ce qui s'est passé

Le journal des modifications de la 2.1.321 d'Anthropic, daté du 9 novembre 2026, porte deux puces qui comptent ici. Citées exactement :

• « Modification : les mods écrits par Claude s'activent sans demander en modes auto et bypass, même avec les clés gérées allowUnsandboxedCommands: false ou allowManagedDomainsOnly, et ne se chargent pas en mode dontAsk » (notre traduction)
• « Modification : les appels d'outils propres aux mods ($.tool.call, $.mcp.call) ne déclenchent aucune invite de droits, même sous vos propres règles ask ou dans les exécutions dontAsk et -p ; les règles deny et la politique d'organisation continuent de s'appliquer » (notre traduction)

Une troisième puce dans la même version : les sessions headless rechargent désormais les mods dans .claude/skills lorsque leurs fichiers changent. Définir CLAUDE_CODE_PLUGIN_DIR_WATCH=0 désactive cela.

Pourquoi c'est important

Les mods sont arrivés le 1ᵉʳ octobre 2026. L'annonce d'Anthropic indique qu'ils « s'exécutent avec le même accès à votre machine que Claude Code lui-même » et « ne sont pas en sandbox » (notre traduction). Avant cette version, un mod écrit par Claude devait être activé : le journal des modifications liste le nouveau comportement sous « Changed ». À partir de la 2.1.321, en modes auto et bypass, il s'active de lui-même, et les clés gérées qui gardent les commandes ordinaires en sandbox ou sur des domaines approuvés ne l'arrêtent pas. Une fois chargé, les appels d'outils propres au mod ignorent entièrement les règles ask.

Ce qui tient toujours, selon le journal des modifications :

La lecture pratique : les règles deny et la politique d'organisation sont désormais la seule barrière autour d'un mod écrit par Claude en modes auto et bypass. Si votre dispositif de confinement reposait sur les clés de sandbox et de domaines, il présente une lacune à partir de cette version.

Ce qui change pour vous

FAQ

Est-ce une vulnérabilité de sécurité ? Nous ne la qualifions pas ainsi. Anthropic la liste sous « Changed » comme un comportement voulu, mais elle réduit ce que les paramètres gérés de sandbox et de domaines garantissent.

Quels modes sont affectés ? Les modes auto et bypass activent les mods écrits par Claude sans demander. En mode dontAsk, ces mods ne se chargent pas du tout.

Qu'est-ce qui bloque encore un mod ? Les règles deny et la politique d'organisation, selon le journal des modifications. Les règles ask n'arrêtent pas les $.tool.call ou $.mcp.call propres à un mod.