safety fixes 2026-11
2026年11月の安全側の変更：版を上げた後に確かめる5項目
2026年11月3日から9日の変更履歴には、秘密の送られ方、サンドボックスの外での実行、許可の確認が出たときの動きに触れる記載が並んでいます。この面は、その記載を日付つきで拾い、「版を上げた後にどう確かめるか」を手順にした記録です。10月30日までの同種の変更は許可の抜け道を塞いだ修正の一覧にあります。
このサイトはAnthropicの公式サイトではありません。Claude Codeの機能・料金・提供範囲は変わる可能性があるため、重要な判断の前には公式のドキュメントと自分のアカウント設定を確認してください。
拾った変更（公式の記載の要点）
| 日付・版 | 公式の記載（要点） | 何に効くか |
|---|---|---|
| 2026年11月3日（2.1.317） | ウェブやシェルの呼び出しが、アカウントのメールアドレスをネットワークへ送る前に確認を挟む | 意図しない個人情報の送信 |
| 2026年11月6日（2.1.319） | 許可の確認で止まる呼び出しを拒否して作業を続ける設定permissions.denyInsteadOfPromptingを追加（端末のセッション、サブエージェント、チームメイトが対象） | 無人実行が確認待ちで止まる問題 |
| 2026年11月9日（2.1.321） | 読み取り専用のBash命令が、許可の確認なしにサンドボックスの外で動いた場合の修正 | サンドボックスの抜け道 |
| 2026年11月9日（2.1.321） | 外部ツール連携の認証の要求が、サーバーのリダイレクトで、リフレッシュトークンなどの秘密を別のホストへ送った場合の修正 | 秘密の流出 |
| 2026年11月9日（2.1.321） | Claudeが書いた拡張（mods）は、自動・バイパスのモードでは確認なしに有効にならず、dontAskモードでは読み込まれない | 勝手に入る拡張 |
| 2026年11月9日（2.1.321） | メールアドレスの確認は、メールを含み、かつUser-Agentを指定するシェル命令だけを拒否する形に変更（それ以外の命令と予約実行は、この確認で止まらない） | 予約実行の取りこぼし |
版を上げた後の確認：5つの試験
修正の記載を読んだだけでは、自分の環境で効いているか分かりません。このサイトの考え方は、1件ずつ、わざと起こして拒否されるのを見ることです。以下は、公式の記載を手がかりにした確認の案で、この面で自分の環境で動かして確かめたものではありません。
- 版を確かめる。2.1.321以上になっているかを
claude --versionで見ます。修正は版ごとに入るので、複数のPCや定期作業の環境がある場合は、環境ごとに確認します。 - 外部ツール連携の認証をやり直した経験があるか振り返る。2.1.321より前の版で、サーバーがリダイレクトする構成の認証を行ったことがあるなら、その認証の秘密を取り替えるかどうかを検討します。影響があったかどうかは、公式の記載だけでは分かりません。
- 無人実行の止まり方を決める。
permissions.denyInsteadOfPromptingは、確認待ちの代わりに拒否して続ける設定です。止まらなくなる代わりに、拒否された作業が残るので、実行後に結果を読む手順をセットにします。 - 拡張の棚卸しをする。Claudeに書かせた拡張（mods）を使っているなら、一覧を出し、意図して入れたものだけが残っているかを確認します。
- メールアドレスを含む命令が止まらないか見る。予約実行や自動の命令にメールアドレスを書き込んでいる箇所を探し、挙動が替わっていないかを、更新後の最初の1回の結果で確認します。
10月末に入った関連の設定（比較用の記録）
11月の変更の前提として、2026年10月30日（2.1.314）と31日（2.1.316）にも、同じ方向の変更が入っています。公式の記載の要点は次のとおりです。
- 作業ディレクトリの外への書き込みを止める設定
permissions.blockWritesOutsideWorkingDirectoriesを追加（2.1.314）。 - ファイル操作の確認を厳しくし、
/ultrareviewの信頼の確認を強化（2.1.314）。 - TeamとEnterpriseのサーバー管理の設定は、承認の確認なしに適用される（2.1.316）。
11月の変更と合わせて読むと、方向は「勝手にやらない・勝手に外へ出さない」に揃っています。ただし、設定を入れた日に、わざと範囲外へ書かせて拒否を確かめる試験は、どの設定でも自分でやる必要があります。10月の変更履歴に同じ手順を書きました。
読み方：修正は「その前の版で起きえた」という記載でもある
公式の修正の記載は、修正が入った版以降の安全を述べるものですが、同時に、その前の版では起きえた状態があったことも示します。自分の環境が古い版のままで運用された期間があるなら、その期間が影響を受けたかどうかを、作業ログと照らして確かめる必要があります。
ただし、実際に影響があったかどうかは、公式の記載だけでは判定できません。このサイトの運用では、「影響があった証拠は見つからなかった」と「影響がなかった」を別の言葉として書き分けています。証拠が見つからないことは、なかったことの証明ではありません。
この面で確かめていないこと
- 各修正を自分の環境で再現してはいません。記載は公式の変更履歴の内容で、再現手順は公式にもありません。
- 2.1.321のバグ修正74件のうち、ここで拾ったのは安全に関わる2件だけです。全件が必要な人は公式の変更履歴を読んでください。
- どの版から問題が起きていたか。変更履歴の記載にはありません。
出典と確認日
- Claude Code 公式 変更履歴：
https://code.claude.com/docs/en/changelog（2026年11月13日に確認）
編集：ちんあなご編集部。記載は公式ページの内容を自分の文で書き直したもので、原文の引用ではありません。
よくある質問
拒否に切り替える設定は、無人実行に向きますか？
確認で止まる代わりに呼び出しを拒否して作業を続ける設定と記載されています。止まらない代わりに、拒否された作業が残る点を結果で確認する必要があります。
修正が入った版にすれば、過去の影響もなくなりますか？
修正は入った版以降に効くものです。過去の期間に影響があったかどうかは、公式の記載だけでは分かりません。