O Claude Code 2.1.321 liga mods escritos pelo Claude sem perguntar, mesmo com chaves geridas de sandbox

Veredito: se a sua organização depende das chaves geridas allowUnsandboxedCommands: false ou allowManagedDomainsOnly para manter o Claude Code contido, trate o 2.1.321 como uma mudança de política: os mods que o Claude escreve passam a ligar-se sem perguntar nos modos auto e bypass. Reveja as suas regras deny antes de a versão chegar aos programadores. A Anthropic lança isto como uma mudança de comportamento deliberada, não como uma falha, e nós não lhe chamamos vulnerabilidade. Ainda assim, elimina uma garantia com que os administradores podem estar a contar. O nosso veredito no diretório sobre o Claude Code mantém-se condicional: este lançamento é mais uma razão para a condição ser «gerido com cuidado».

O que aconteceu

O changelog do 2.1.321 da Anthropic, datado de 9 de novembro de 2026, traz dois pontos que importam aqui. Citados exatamente:

• «Changed mods Claude writes to turn on without asking in auto and bypass modes, even with managed allowUnsandboxedCommands: false or allowManagedDomainsOnly, and not to load in dontAsk mode»
• «Changed mods' own tool calls ($.tool.call, $.mcp.call) to raise no permission prompt, even under your own ask rules or in dontAsk and -p runs; deny rules and organization policy still apply»

Um terceiro ponto no mesmo lançamento: as sessões headless passam a recarregar os mods em .claude/skills quando os respetivos ficheiros mudam. Definir CLAUDE_CODE_PLUGIN_DIR_WATCH=0 desliga isso.

Porque é importante

Os mods chegaram a 1 de outubro de 2026. O anúncio da Anthropic diz que «run with the same access to your machine as Claude Code itself» e que «aren't sandboxed». Antes deste lançamento, um mod escrito pelo Claude tinha de ser ligado manualmente: o changelog lista o novo comportamento em «Changed». A partir do 2.1.321, nos modos auto e bypass, liga-se sozinho, e as chaves geridas que mantêm os comandos normais dentro da sandbox ou em domínios aprovados não o impedem. Uma vez carregado, as chamadas de ferramentas do próprio mod passam completamente sem as regras ask (as regras de pedido de confirmação).

O que continua a valer, segundo o changelog:

A leitura prática: as regras deny e a política da organização são agora a única vedação à volta de um mod escrito pelo Claude nos modos auto e bypass. Se a sua estratégia de contenção assentava nas chaves de sandbox e de domínios, fica com uma lacuna a partir desta versão.

O que muda para si

Perguntas frequentes

Isto é uma vulnerabilidade de segurança? Não lhe chamamos isso. A Anthropic lista-a em «Changed» como comportamento pretendido, mas estreita o que as definições geridas de sandbox e de domínios garantem.

Que modos são afetados? Os modos auto e bypass ligam mods escritos pelo Claude sem perguntar. No modo dontAsk esses mods nem sequer carregam.

O que ainda bloqueia um mod? As regras deny e a política da organização, segundo o changelog. As regras ask não param um $.tool.call ou $.mcp.call do próprio mod.