Claude Code v2.1.246 の主要アップデート - Bash 許可ルールの警告と API キーの送信先修正
クラウド事業統括本部の石川です。Claude Code の v2.1.246（2026-08-25 公開）がリリースされました。パーミッションと資格情報の扱いに関する変更が目立つリリースだと感じます。2つの新機能について試しています。
前回のアップデート記事はこちらです。
アップデートサマリー
v2.1.246 では 61 件の変更が入りました。内訳は修正が 44 件、改善が 8 件、セキュリティ関連が 6 件、新機能が 2 件、パフォーマンスが 1 件です。破壊的変更・非推奨の明示はありません。
修正が全体の 7 割を占めており、その対象はプラグインや MCP といった拡張まわりから、表示・セッション管理まで広い範囲に及んでいます。
注目のアップデート
新機能
/permissions に Auto mode タブが追加
/permissions に Auto mode タブが追加され、auto モードの分類器（classifier）ルールの閲覧と編集ができるようになりました。
auto モードを日常的に使っていて、どのツール呼び出しが自動で承認されるのか把握しづらいと感じていた方には、ルールを一覧できるだけでも確認の手間が下がると感じます。
Bash の許可ルールに対する起動時警告
Bash の許可ルールでサブコマンドの前にワイルドカードを置いた場合（例: Bash(git * main)）、サブコマンドの前に挿入されたオプションにもマッチするため、起動時に警告が表示されるようになりました。
サブコマンドの前にワイルドカードを置いた allow ルールを過去に書いた覚えがある方は、起動時に警告が出ていないか一度確認しておく価値があると感じます。
不具合解消
自作の git worktree が削除される問題
バックグラウンドセッションの保持期間スイープが、古いバックグラウンドセッションの記録が指していた .claude/worktrees/ 配下の自作 git worktree を削除してしまう問題が修正されました。
.claude/worktrees/ 配下に自分で worktree を切って作業している方には、優先して上げておきたい修正だと感じます。
再開したセッションが毎ターン 400 エラーで失敗する問題
保存された履歴に Anthropic API が受け付けないツールブロック（通常はサードパーティの API プロキシが書き込んだもの）が含まれる場合に、再開したセッションが毎ターン 400 エラーで失敗する問題が修正されました。
サードパーティの API プロキシ経由で使っていて再開できなくなったセッションが手元にある方は、もう一度開いてみる価値があると感じます。
Write ツールが大きなファイルの上書き後に停止する問題
非常に大きな既存ファイルを上書きした後、書き込み自体は完了しているのに Write ツールが「Out of memory」と報告する、または長時間フリーズする問題が修正されました。
巨大なファイルを一括で書き換えるタスクで Claude Code が固まった経験がある方ほど、効果を実感しやすいと感じます。
セキュリティ
サードパーティゲートウェイ用の API キーが Anthropic 宛のリクエストに乗っていた問題
Anthropic 宛のテレメトリおよびメトリクスのリクエストが、サードパーティのゲートウェイ（ANTHROPIC_BASE_URL）向けに設定された API キーを送信する問題が修正されました。資格情報は自身のホストに対してのみ送信されます。
Bedrock や自前のゲートウェイなど ANTHROPIC_BASE_URL を設定して運用している環境では、優先度の高い修正だと感じます。
末尾に && / || が残る不正なコマンドの承認
&& や || が末尾に残った不正な形式のコマンドについて、Bash のパーミッションチェックが常に承認を要求するよう修正されました。
シェルコマンドの許可ルールを細かく運用している方ほど、これまで通っていた書き方で承認を求められる場面が出てくるかもしれないと感じます。
サンドボックスが --setting-sources を尊重しない問題
コマンドサンドボックスのファイルシステム設定が --setting-sources を尊重しない問題が修正されました。
--setting-sources で読み込む設定を絞りつつサンドボックスを使っている場合は、意図した制限が効いていたか確認しておきたいところだと感じます。
アップデート内容
セキュリティ
- Bash の許可ルールでサブコマンドの前にワイルドカードを置いた場合（例:
Bash(git * main)）、サブコマンドの前に挿入されたオプションにもマッチするため、起動時に警告が表示されるようになりました。 - Anthropic 宛のテレメトリおよびメトリクスのリクエストが、サードパーティのゲートウェイ（
ANTHROPIC_BASE_URL）向けに設定された API キーを送信する問題を修正しました。資格情報は自身のホストに対してのみ送信されます。 &&や||が末尾に残った不正な形式のコマンドについて、Bash のパーミッションチェックが常に承認を要求するよう修正しました。- コマンドサンドボックスのファイルシステム設定が
--setting-sourcesを尊重しない問題を修正しました。 - パーミッションモードが設定されていない場合に、plan モードで終了したセッションが VS Code 拡張、および permission prompt ツールを使う
claude -p --continue/--resumeで plan モードの外で再開される問題を修正しました。 requiresUserInteractionが指定された MCP ツールのパーミッションプロンプトに「Yes, and don't ask again」が表示される問題を修正しました。この選択肢は、ツール側が無視する許可ルールを書き込んでいました。
新機能
/permissionsに Auto mode タブが追加され、auto モードの分類器（classifier）ルールの閲覧と編集ができるようになりました。- ターン終了時の所要時間の行に、そのターンが完了した時刻が追加されました（例:
✻ Sautéed for 23s · done 6:05 PM）。
改善
/cdが改善され、移動先ディレクトリのプロジェクト設定・フック・.mcp.jsonのサーバー（通常の承認プロンプトを経由）・スキル・エージェントが、--resumeを待たずに移動直後から有効になりました。- bash シェルにおける Bash ツールのレイテンシが改善されました。スナップショット関数の再生時に、関数ごとに base64 のサブシェルを起動しなくなりました。
- サブエージェントの結果が改善されました。
maxTurnsの上限で停止したサブエージェントは、完了したかのように見えるのではなく、出力が部分的である旨とSendMessageで継続できるヒントを付けて返します。 - 非対話セッション（
-p、SDK、クラウドセッション）が改善され、サーバーエラー・接続の切断・停止によってストリームの途中で切れた応答を、エラー終了せずに自動で継続するようになりました。 /code-reviewが変更され、Bedrock・Vertex AI・Foundry、Claude アプリのゲートウェイ経由、およびテレメトリや非必須の通信が無効化されている環境でも、Claude が自発的に開始できるようになりました。/goal: アイドル状態のセッションが長時間実行のバックグラウンド作業に対して行うチェックインが、1 つの goal につき最大 3 回までに変更されました。次のメッセージを送るとさらに 3 回分が許可されます。claude installとclaude updateが変更され、保留中の管理設定（managed settings）の同意プロンプトをコマンドの実行中には出さず、次の対話セッションに繰り延べるようになりました。- claude.ai から同期されたプラグインの OpenTelemetry イベントが変更されました。
plugin_id_hashがプラグイン本来のマーケットプレイスを反映し、管理者がインストールしたプラグインではenabled_viaがadmin-installになります。 - workload identity federation のセッション、起動時に
apiKeyHelperが実行されている間に送信されるイベント、アイドル中にログイントークンが失効した後について、利用状況テレメトリの組織への帰属付けが改善されました。
修正
- 自作 git worktree の誤削除を修正: バックグラウンドセッションの保持期間スイープが、古いバックグラウンドセッションの記録が指していた
.claude/worktrees/配下の自作 git worktree を削除してしまう問題を修正しました。 - 再開セッションの 400 エラーを修正: 保存された履歴に Anthropic API が受け付けないツールブロック（通常はサードパーティの API プロキシが書き込んだもの）が含まれる場合に、再開したセッションが毎ターン 400 エラーで失敗する問題を修正しました。
- Write ツールの Out of memory とフリーズを修正: 非常に大きな既存ファイルを上書きした後、書き込み自体は完了しているのに Write ツールが「Out of memory」と報告する、または長時間フリーズする問題を修正しました。
- バックグラウンドセッションが開けない問題を修正: Claude Code の起動ディレクトリが削除されていた場合、マシンがスリープした場合、ホストのプロセス起動が遅い場合に、バックグラウンドセッションが 45 秒後に開けなくなる問題を修正しました。
- 長い 1 行を含む差分での表示遅延を修正: 差分に非常に長い 1 行（base64 文字列など）が含まれるとトランスクリプトが極端に遅くなる問題を修正しました。該当する行はマーカー付きで切り詰めて表示されます。
- トランスクリプト表示のメモリ増加を修正: フルスクリーンおよび Ctrl+O のトランスクリプト表示で、セッションが長くなるほどメモリが増加する問題を修正しました。描画済みの各メッセージ行がトランスクリプト全体のツール参照テーブルを丸ごと保持しなくなりました。
- 同時起動時に別の変更が混ざる問題を修正: 1 つのリポジトリから（複数の worktree などから）同時に起動した
/ultrareviewの実行とクラウドセッションが、別の起動のコミットされていない変更を取り込んで開始することがある問題を修正しました。 - インストールスクリプトの失敗を修正: サーバー管理設定を使う一部の Team / Enterprise ユーザーで、
curl -fsSL https://claude.ai/install.sh | bashが「Raw mode is not supported」で失敗する問題を修正しました。 - 地味に嬉しい修正: UTC より東のタイムゾーンで
/statsのアクティビティヒートマップが 1 セル分ずれて表示される（日曜の件数が月曜の位置に出る）問題を修正しました。日本のように UTC より東のタイムゾーンで使っていると毎日目にする表示なので、地味ながら嬉しい修正だと感じます。 - このほか、プラグインのインストールと更新、MCP ツールの引数の扱い、カスタムテーマの色と
keybindings.json、@ファイルピッカーなどの入力まわり、claude agentsのセッション一覧など、多数の細かな不具合が修正されています。
Bash 許可ルールの警告を試してみた
サブコマンドの前にワイルドカードを置いた許可ルールで、実際に起動時警告が出るかを確認します。グローバル設定を変更しないよう、--settings に一時的な JSON 文字列を渡して実行しました。
まず、警告の対象となる Bash(git * main) を許可ルールに指定した場合です。
% claude --settings '{"permissions":{"allow":["Bash(git * main)"]}}' -p '1+1は?'
Permission allow rule (/tmp/claude-501/claude-settings-ba7b258ec14cb7e1.json): Bash(git * main)
has a wildcard before the rest of the command, so it also matches any options inserted at that
position and approves them without a prompt. For git, options such as -c and --exec-path can run
arbitrary commands. Replace that * with the exact value you mean, or only use * after the
subcommand (for example Bash(git status *)).
2 です。
警告が表示されました。どのルールが問題なのか、なぜ問題なのか（-c や --exec-path で任意のコマンドが実行できてしまう）、どう直せばよいのかが 1 つのメッセージにまとまっています。
比較として、警告文が推奨している「サブコマンドの後にワイルドカードを置く」形（Bash(git status *)）でも実行しました。
% claude --settings '{"permissions":{"allow":["Bash(git status *)"]}}' -p '1+1は?'
2 です。
こちらでは警告は表示されませんでした。いずれのケースも終了コードは 0 です。
警告文が -c や --exec-path という具体的なオプション名まで挙げてくれるため、何が危険なのかが読んだだけで分かります。過去に書いた allow ルールを見直すきっかけとして役立つと感じます。
/permissions の Auto mode タブを試してみた
auto モードでは、ツール呼び出しを自動で承認してよいかを分類器（classifier）のルールが判断します。v2.1.246 で追加された Auto mode タブは、このルールを /permissions の中から閲覧・編集できるようにするものです。
タブは対話 UI のため、手順は次のとおりです。
claudeを起動する/permissionsを実行する- タブを Auto mode に切り替える
- 表示された分類器ルールを確認し、View in Editor（code）を選択するとエディタが起動され編集できます。
デフォルトのルールだけでも soft deny が 67 件あり、JSON で読み通すのは骨が折れます。/permissions から開けるタブが用意された意味は大きいと感じます。
最後に
v2.1.246 は 61 件中 44 件が修正という、地固めの色が濃いリリースだと感じます。中でも、サードパーティゲートウェイ用の API キーが Anthropic 宛のテレメトリに乗っていた問題の修正と、Bash 許可ルールの警告追加は、パーミッションや資格情報の扱いを一段引き締める内容だと見ています。
settings.json に Bash の許可ルールを書いている方は、アップデートして起動時の警告を確認してみてはいかがでしょうか。
参考文献
