Claude Code v2.1.268 — シンボリックリンク経由の権限すり抜けを修正、ゲートウェイの料金設定を配布

Claude Code v2.1.268は96項目の更新です。内訳は新機能・設定追加7件、修正38件、改善11件、仕様変更7件です。加えてVS Code拡張13件、Claude Code on the web 3件、Claude Tag 13件、Code Review 4件が続きます。

中心は3つあります。1つ目は、シンボリックリンクを経由した権限判定のすり抜けをまとめて塞いだセキュリティ修正です。2つ目は、Claude apps gatewayの料金とアクセス制御を管理者側で一元管理できるようにした設定追加です。3つ目はANTHROPIC_BASE_URLを使う互換エンドポイントの復旧で、v2.1.265から続いていた全ターン失敗がv2.1.268で止まりました。

CVEの採番、外部への資格情報漏出、データ損失を伴うregression、強制的なbreaking changeはありません。ただし、シンボリックリンク経由の権限すり抜けと、エラー表示に紛れ込んでいたトークン・パスワードの露出という、セキュリティに関わる修正が5件含まれます。

このリリースで何ができるようになるか

Claude apps gatewayの料金設定を管理者が一元配布できる

gateway.yamlにpricing:を設定すると、サインイン済みのClaude Codeクライアントはmanaged settings経由で同じ料金レートを受け取ります。/costやテレメトリの表示が、実際の支出計測とずれなくなります。これまでは各クライアント側の既定レートを使うしかなく、ゲートウェイ経由で割引や独自レートを適用していても、開発者が見る数字とは一致しないことがありました。

あわせて、ゲートウェイのアクセス制御にも手が入りました。access_control.allow_cidrsが空のまま起動すると起動時に警告が出るようになり、公開アドレスから最初のリクエストが届いた時点でも一度だけ警告が出ます。これは着信リクエストを制御する設定です。別軸としてgatewayInternalNetworksというmanaged settingも追加され、組織の公開IPv4ブロック上にあるClaude apps gatewayへの/loginを許可する設定を組めます。gateway.yamlの全項目はClaude apps gateway設定の全項目にまとめています。

ANTHROPIC_BASE_URLの互換エンドポイントが再び動く

サードパーティのAnthropic互換エンドポイント(ANTHROPIC_BASE_URL)を使うセッションで、v2.1.265以降すべてのターンがHTTP 400で失敗する不具合が直りました。原因はArtifactツールの入力スキーマに含まれる正規表現で、これを互換エンドポイント側が拒否していたことです。3バージョンにわたって完全に使えなかったパスが、v2.1.268で復帰します。

deny・askルールがシンボリックリンク越しにも効く

macOSの/etc・/tmp・/var、Linuxの/binのようなシンボリックリンクを張られたディレクトリで、deny・askルールが実体側のパスを指定したときに適用されていませんでした。Bashコマンドについても、シンボリックリンクの表記で書いたdenyルールが無視されていました。v2.1.268ではこの2つとも修正され、パス指定の書き方にかかわらず権限判定が効きます。

あなたの開発フローはどう変わるか

影響の大きさは利用形態で分かれます。

Claude apps gatewayを運用する管理者にとって、まず変わるのは料金表を配る手間です。gateway.yamlに1セクション足すだけで、これまでクライアントごとにばらついていた/costの表示を実際の支出と一致させられます。allow_cidrsの警告により、意図しない公開アドレスからのアクセスに気づきやすくなります。gatewayInternalNetworksは、自社の公開IPv4ブロック上にあるゲートウェイへの/loginを許可する側の設定です。運用時の支出上限管理はClaude apps gatewayで開発者ごとの支出上限を設定するで扱っています。

ANTHROPIC_BASE_URLで互換エンドポイントを使ってきた開発者にとっては、単なる修正以上の意味があります。v2.1.265から267のいずれかを使っていた場合、この経路は3バージョンにわたって完全に止まっていたためです。v2.1.268への更新がそのまま復旧になります。v2.1.263以前に留まっていた場合は影響を受けておらず、通常の更新として取り込めます。

セキュリティチームや、/etc・/tmpのようなシステムディレクトリをシンボリックリンクで保護している開発チームも、確認しておく価値があります。これまでdeny・askルールが実体パスの書き方次第で効いたり効かなかったりしていた状態が、v2.1.268で解消されるためです。

主な変更点

v2.1.268は96項目の変更を含みます。

権限・シークレットまわりのセキュリティ修正

• deny・askルールが、シンボリックリンクを張られたディレクトリ(macOSの/etc・/tmp・/var、Linuxの/bin)で実体パス指定のときに適用されていなかった不具合を修正。Bashコマンドがシンボリックリンク表記のdenyルールを無視していた点もあわせて修正
• env -C・evalなど権限チェッカーが解析できないコマンドが同じ行にあると、Read・Editのdenyルールが効かないことがあった不具合を修正
• plugin・marketplaceのエラー表示にgitソースURL由来のトークンやパスワードがそのまま出ていた不具合を修正
• /mcp・/pluginのサーバー詳細、claude mcp list・get、MCPログインエラーが、MCP設定の${VAR}プレースホルダーから解決したシークレットを表示していた不具合を修正
• 信頼していないフォルダに同名のエージェント定義ファイルがあると、再起動されたプロセス内チームメイトがそこからツールやシステムプロンプトを引き継いでいた不具合を修正

セッション・モデル・接続の修正

• excludeDynamicSectionsを使うSDKセッションで、最初のメッセージが毎リクエスト再レンダリングされ、プロンプトキャッシュと拡張思考が会話途中で壊れていた不具合を修正
• モデルアクセスの拒否判定がキャッシュされたまま古くなり、再起動後やDesktop Codeタブで「モデルが制限されています」と表示され続けていた不具合を修正
• 別のClaude Codeプロセスがモデルアクセス情報を更新すると、実行中のセッションが気づかないうちに組織の既定モデルに切り替わっていた不具合を修正
• Fableモデルの長文脈429で、ProプランとTeamプランでは本来出るはずの1Mコンテキスト案内ではなく、usage-credits同意プロンプトが表示されていた不具合を修正
• claude-code-actionがプロファイル経由でworkload identity federationを構成する構成で、同じプロファイルを共有するプロセスが「401 … jti reused」で失敗することがあった不具合を修正
• ローカルのコールバックポート範囲を確保できない環境で、MCPサーバーのOAuthサインインが「No available ports for OAuth redirect」で失敗していた不具合を修正
• /compactと自動compactが生成する要約が、$を含むテキストを壊していた不具合を修正
• /compactで終わった会話を再開すると、復元されたファイルのメモが毎回違う順序で読み込まれていた不具合を修正
• compaction前の会話をSDKのプロンプト候補・side questions・/renameが送っていた不具合を修正
• 上矢印キーで呼び出した過去のプロンプトを編集すると、@ファイルや/コマンドの候補が出なくなっていた不具合を修正
• 長時間アイドル状態のセッションでビジーループがCPUコアを占有し続ける不具合と、セッション要約中の高頻度なターミナルフォーカス報告でCPU使用率が下がらない不具合を修正
• MCPツール呼び出しのあと、Claudeが「your message came through empty」と返信することがあった不具合を修正
• レスポンスを開いたまま完了しないサーバーに対して、WebFetchが無期限にハングする不具合を修正。300秒でタイムアウトし、CLAUDE_CODE_WEBFETCH_DEADLINE_MSで上限を変更できる(0で無効化)
• localhostなどドット無しホスト名に対するWebFetchのエラーが、拒否理由とcurlの利用を案内するよう改善
• PermissionRequestフックが--printモードで発火していなかった不具合を修正
• policy-helperの警告がheadless(-p)実行で表示されていなかった不具合を修正
• CLAUDE_CODE_SESSIONEND_HOOKS_TIMEOUT_MSが、hook単位のtimeoutを持たないSessionEndフックを延長していなかった不具合を修正(1.5秒で打ち切られていた)

CLI操作の細部修正

• claude agentsで自然なペースで←キーを連打すると、1秒以上の間を空けるまで入力が無視されていた不具合を修正
• claude agentsのセッション削除で、worktreeが削除できないと処理が止まっていた不具合を修正。原因と次の一手をメッセージに示し、gitのworktreeならctrl+xの再入力で削除できる
• エージェントパネルのバックグラウンドagent・workflow行が、改行を含むテキストで何行にも広がっていた不具合を修正
• 組織のmanaged settingsがMCPのアローリストを設定していると、Claude in SlackセッションがSlackツールを失っていた不具合を修正
• スキームはあるがホストを解析できないナビゲーションURLで、Claude in Chromeがホスト「https」の許可を求めていた不具合を修正
• 現在のタスクのラベルが長いとスピナーが複数行に折り返されていた不具合を修正。ラベルと「Next:」行はターミナルの1行に収まるようになった
• ターミナルのネイティブカーソルが有効なとき、/bug・/feedbackの説明欄にカーソルが表示されていなかった不具合を修正
• claude remote-controlが配信するRemote Controlセッションが、ListAgentsでセッションタイトルではなく生成された名前で表示されていた不具合を修正
• claude plugin validateが、ディレクトリ名がドット2つで始まるプラグインパスを、プラグインローダー自体は受け付けるのに拒否していた不具合を修正
• 既定のmonitorsファイルやルートのSKILL.mdが確認できないとき、プラグインが黙ってスキップしていた不具合を修正
• /resumeが/forkのバックグラウンドセッションを、自分の⑂fork名ではなく親セッションの名前で一覧していた不具合を修正
• サインアウト時に/remote-controlなどclaude.aiが必要なコマンドが、Claude for Enterpriseへの移行メッセージではなく/loginを案内するよう修正
• GitHubアカウントが未接続のとき、/autofix-prなどクラウドセッションのコマンドが、再試行やClaude GitHub Appのインストールではなく/web-setupかweb接続ページを案内するよう修正
• /teleport・/remote-envなどクラウドセッション向けコマンドが、組織ポリシーで無効化されているときに「Unknown command」ではなく理由を説明するよう修正
• Bashサンドボックスの説明が封じ込めの範囲を過大に伝えていた不具合を修正。filesystem isolationが無効なときに未強制のパス一覧を出さず、strictモードでも「サンドボックス外では絶対に実行されない」と言い切らないようになった

パフォーマンスと応答性の改善

• フルスクリーンモードで、プロンプト行の追加・削除(Shift+Enter)の再描画が文字入力と同じ速さになった
• --continue・--resumeで、SessionStartフックの完了を待たずに会話がすぐ表示されるようになった。最初のメッセージでトランスクリプト全体を読み直すこともなくなった
• ツールを多用するターンで、隠れたバッチごとのリマインダーのためにトランスクリプト全体を再描画しなくなり、応答性が上がった
• .claude/workflows/にスクリプトがあるプロジェクトで、一覧表示が各スクリプトをパースしなくなり起動が速くなった
• auto modeの拒否メッセージが、どのルールでブロックしたかをClaudeに伝え、確認前に安全な方法や無関係な作業を先に済ませるよう促すようになった
• Claude in Chromeの長文ページ読み込みが、ファイルに退避して読み戻す方式からインライン表示に変わった
• MEMORY.mdの切り詰め警告が、何行削られどこから切れているかを示すようになった
• Artifactの権限プロンプトが「ask」の質問文から始まるよう改善
• プロンプトフッターで、エディタや/diffの選択範囲が入力欄内に表示されるようになり、フルスクリーンモードではRemote Controlの状態がフッターではなくヘッダーに出るようになった
• 「1Mコンテキストにはusage creditsが必要」というメッセージが、セッション途中でusage creditsを有効にした場合は再起動後に反映される旨を示すようになった
• /pluginでのインストール・有効化・無効化がメニューを閉じた時点で反映されるようになり、/reload-pluginsが不要になった

モデル・MCPまわりの仕様変更

• タスク管理ツール(TaskCreate・Get・Update・List、TodoWrite)の提供対象を、Claude 3.x・Opus 4.0〜4.7・Sonnet 4.0〜4.6・Haiku 4.5に限定。それ以外のモデルで使うにはCLAUDE_CODE_ENABLE_TODO_TOOLS=1が必要
• 「N MCP servers need authentication」という起動時通知を、毎回ではなくサーバーごとに1回だけ表示するよう変更

Bedrock・Vertex・Foundryの一貫性

• システムプロンプトでも、first-partyセッションと同じく環境・モデル・設定の詳細を添付物として配信するよう変更
• ツールリストを会話の間バイト単位で変えないよう変更。あとから接続するツールは遅延定義として読み込まれ、リスト全体を書き換えません

Artifact関連の変更

• 公開したArtifactにブラウザタブのアイコンが付くようになった。ページ内容に合わせてClaudeが選ぶ
• Artifactのデータ編集権限プロンプトが、ドキュメント数と誰が開けるかを示すカード形式に変わった
• 全承認をスキップする設定のローカルCoworkセッションで、Artifactツールがセッションフォルダ外のファイルやシンボリックリンクの先を、確認なしに読まず拒否するよう変更
• プレーンなWebFetchのdeny・askルールがArtifactツールの読み書きに効かなくなった(ブロックを続けるにはArtifactルールかWebFetch(domain:claude.ai)が必要)

self-hosted-runnerとプラグイン管理

• claude self-hosted-runner --remove-session-state(既定オフ)を追加。セッション終了時に<base-dir>/_sessions/配下のセッションごとのディレクトリを削除する

claude self-hosted-runner --remove-session-state

• claude plugin install・uninstall・update・enable・disableに--jsonを追加し、claude plugin list --jsonの各行にerrorDetails・noteDetailsを追加

claude plugin list --json

• claude auth status --jsonの出力にconfigDirectoryを追加

self-hosted-runnerの認証設計や制限事項はClaude Code self-hosted-runnerとはにまとめています。

VS Code拡張

• CLAUDE_CONFIG_DIRを設定ファイルまたはenvironmentVariablesで指定したとき、セッション一覧・設定トグル・チャットタブが崩れていた不具合を修正
• ログイン・ログアウト・アカウント切替の直後に、モデルピル・モデル選択・コマンドメニューが数秒間空白になっていた不具合を修正
• プロジェクトまたはローカル設定が~/.claude/settings.jsonのモデルを上書きしているとき、新規タブや再読み込み直後の会話でAutoがモード選択肢から消えていた不具合を修正
• SessionStartフックを設定していると、ウィンドウ再読み込み後にセッション名が直前のプロンプトへ戻っていた不具合を修正
• ウィンドウ内の別タブで既にClaudeプロセスが起動しているとき、フッターのモデルピル・Remote Controlピルが新タブのプロセス起動を待っていた不具合を修正
• セッションタブの起動が設定読み込みから0.5秒以上遅れて届くと、2つ目のClaudeプロセスがフル起動していた不具合を修正
• セッション一覧から再開するとclaudeCode.preferredLocation: "sidebar"が無視されていた不具合(常にパネルで開いていた)と、プログラムからの起動がこの設定をpanelにリセットしていた不具合を修正
• Windowsで、WSL未インストール環境でもWSLインストール案内が出ていた不具合と、WSLインストール環境でWindowsファイルのIDE診断が正しく返らなかった不具合を修正
• CLAUDE_CONFIG_DIRを設定経由で指定したとき、カスタムスタイルビルダーがCLIの読まないフォルダにUser levelスタイルを保存していた不具合を修正
• 常時許可ルールの保存先をLeft・Rightキーで変更できるよう追加(キーボード・スクリーンリーダー利用者向け)
• 会話内の最新メッセージにキーボードフォーカスを移す「Claude Code: Focus last message」コマンドを追加(キーボード・スクリーンリーダー利用者向け)
• Manage pluginsダイアログでのインストール・有効化・無効化・アンインストールが、再起動なしで開いているセッションに反映されるよう変更
• 一部のArtifact権限プロンプトで「don't ask again」の選択肢を省き、ターミナルと表示をそろえるよう変更

Claude Code on the web

• 約6時間を超えるクラウドセッションで、永続化セッションフォルダへの保存が静かに失われていた不具合を修正。保存は最大1日まで持続する
• ルーチンがセッションを再開したとき、またはモデルのeffort上限を管理者が設定した組織でセッションがeffort未指定のまま始まったときに出ていた「Invalid effort level」エラーを修正
• 会話からのルーチン作成で、新しいルーチンにコネクタが無い場合、Claudeがその旨と追加方法を案内するよう改善(確認するだけだった)

Claude Tag

• 管理設定ページがロード中スケルトンのまま止まる、または一時的な読み込み失敗後に空白になる不具合を修正。読み込みに失敗したセクションにはRetryボタンが出るようになった
• Slackチャンネルの設定ページから、組織のClaude in Slack管理設定へ戻るリンクを追加
• Slack管理者がSlack Enterprise Gridのチャンネルを別ワークスペースへ移動すると、そのチャンネルのClaude設定(リポジトリ・環境・アクセス)が失われていた不具合を修正
• ブロックされた操作の説明を改善。権限チェック・Claude自身の確認判断・アクセス不足のどれが原因かを示すようになった
• 返信速度を改善。Slack検索・スレッド読み取り・人物検索などの読み取り専用処理を、逐次ではなく同時に実行するようになった
• 比較の表示を改善。文単位の比較は横スクロールする幅広い表ではなくリストになり、長いセルは折り返すようになった
• スレッド内の@Claude !restartが、専用セッションを持つスレッドで「このスレッドはチャンネルセッションが担当します」という矛盾した通知もあわせて投稿することがあった不具合を修正
• Claudeアカウントの組織とSlackワークスペースの組織が異なるとき、ワークスペースを自組織に接続する方法を説明するよう改善
• 山括弧で囲まれたURLを持つMarkdownリンクが、Slack上でクリックできるリンクではなく記号込みのテキストとして表示されていた不具合を修正
• ゲストがClaudeを使えるチャンネルでのトップレベル@メンションが、回答の代わりに「Slackアカウントが未接続です」と返すことがあった不具合を修正
• チャンネルの長時間セッションが会話の途中で新しいセッションに置き換わっていた不具合を修正。定期的な更新はチャンネルとスレッドが静かになるまで待つようになった
• チャンネル設定カードを複数回クリックすると、既に適用済みの変更を提案元セッションに「却下されました」と伝えていた不具合を修正。結果は一度だけ送られる
• パブリックチャンネルのメモリを変更。チャンネルごとに独立したメモをとるようになり、他のパブリックチャンネルで保存したメモを呼び出さなくなった(ワークスペースのメモは引き続き共有)

Claude TagとSlackでの使い分けはClaude TagとClaude CodeのSlack連携は何が違うかにまとめています。

Code Review

• フォローアップレビューの残存指摘リストに注記を追加。指摘への返信ではなくスレッドを解決した場合のみ、以降のレビューがオープン扱いから外れる旨を示す
• 指摘を検証するagentの1つが途中で失敗すると、レビューがincompleteのまま終わることがあった不具合を修正。そのagentを差し替えて必ず判定まで到達するようになった
• 実行中のレビューの後ろに積まれたpushトリガーのレビューが、プルリクエストがdraftに変わった後も投稿されていた不具合を修正
• PRがCLAUDE.mdの記載先と同じファイル名(README.mdなど)を持つだけのルートファイルを編集していた場合、レビューがそのディレクトリのCLAUDE.mdの規約を無視していた不具合を修正

deny・askルールのシンボリックリンク対応はプラグイン封じ込め修正を広げる動き

v2.1.268のシンボリックリンク対応は、この系統で3件目の修正です。ただし対象範囲は前2件と違います。v2.1.265が直したのはpluginの経路、v2.1.267が直したのは取得済みのmarketplaceの経路と、いずれも特定の経路に限られていました。v2.1.268で直ったのは、ユーザー自身が書いたdeny・askルール全般です。

対象は特定経路から一般ルールへ、回を追うごとに広がっています。3件はそれぞれ別の不具合ですが、いずれもシンボリックリンクの解決タイミングで境界チェックが揺れるという同じ系統の弱さを共有しています。

3つのバージョンにまたがってこの系統の不具合が見つかっている以上、v2.1.268で全て塞がれたと決めつけるのは早計です。シンボリックリンクを積極的に使う環境でdeny・askルールを運用している場合は、更新後に想定どおりブロックされるか一度確認しておくと安全です。

まとめ

v2.1.268はCVEの採番や外部への資格情報漏出、強制的なbreaking changeを伴いません。セキュリティ関連5件・ゲートウェイ関連3件・互換エンドポイント1件を除く87件は、セッション・モデル切替・MCP・compact関連の修正、CLIの細部修正、パフォーマンス改善が中心です。加えてBedrock/Vertex/Foundryの一貫性対応、Artifact関連、VS Code拡張、Claude Code on the web、Claude Tag、Code Reviewの修正が続きます。

直接効く相手は3種類です。/etc・/tmpのようなディレクトリをシンボリックリンクで保護している開発チーム。Claude apps gatewayを運用する管理者。そしてANTHROPIC_BASE_URLで互換エンドポイントを使ってきた開発者です。この3種類に当てはまらない使い方なら、次回以降の定期更新に含める形で足ります。

関連ガイド

このバージョン単体の位置づけや前後の版とのつながりは、Claude Code(クロードコード)の解説でまとめて確認できます。