sandbox

settings.json型object記述場所どの設定ファイルでも可

Bash コマンドの実行をファイルシステムとネットワークから分離するサンドボックス設定を構成します。

含まれる設定

17件

allowAppleEventsbooleanmacOSにおいて、サンドボックス化されたコマンドによるAppleイベントの送信を許可します(v2.1.181+)。
allowNestedUserNamespacesbooleanLinux および WSL2 上のサンドボックス化されたコマンドがユーザー名前空間を作成できるようにする。
allowUnsandboxedCommandsbooleandangerouslyDisableSandboxパラメータを使用してサンドボックス外でコマンドを実行することを許可するかを制御し、falseの場合はこのパラ…
autoAllowBashIfSandboxedbooleanサンドボックス内で実行されるBashコマンドに対して、ユーザーへの確認プロンプトを表示せずに自動的に承認します。
bwrapPathstringLinuxやWSLのサンドボックスで使用する、カスタムのbubblewrap(bwrap)バイナリへのパス。
credentialsobjectサンドボックス化されたコマンドから認証ファイルとシークレット環境変数の読み取りをブロックします。(5件)
- allowPlaintextInjectbooleanマスクされた認証情報の置換を、TLS 終端された HTTPS だけでなくプレーンテキストの HTTP リクエストに対しても許可します。
- awsPairsobject[]クレデンシャルが非標準の名前の環境変数にある場合に、SigV4 再署名用の 1 つの AWS クレデンシャルを構成するマスク済み環境変数をグループ化する。
- envVarsobject[]サンドボックス化されたコマンドに対して、環境変数から削除する秘匿情報の変数名を指定します。
- filesobject[]サンドボックス化されたコマンドから隠蔽する、認証情報ファイルのパスを指定します。
- sigv4objectサンドボックスプロキシが再署名できない AWS リクエスト形式をどう扱うかを選択する。
enabledbooleanBashコマンドのサンドボックス実行を有効にします。
enabledPlatformsstring[]サンドボックス構成全体を、指定されたリスト内のプラットフォームのみに制限します。
enableWeakerNestedSandboxboolean--procのマウントが失敗する特権のないDocker環境向けに、サンドボックスの強度を大幅に下げて実行を可能にするモードを有効にします。
enableWeakerNetworkIsolationbooleanmacOS 専用。
excludedCommandsstring[]サンドボックス内で実行すべきではないコマンドのリスト(例: ["git", "docker"])を指定します。
failIfUnavailablebooleantrueに設定すると、必要な依存関係が不足している場合にサンドボックスの起動を警告ではなく致命的なエラーとして扱います。
filesystemobjectサンドボックス化されたコマンドのファイルシステムアクセス制御を設定します。(6件)
- allowManagedReadPathsOnlyboolean管理設定専用。
- allowReadstring[]denyReadで拒否された領域内の特定のパスに対して、読み取りを再許可します。
- allowWritestring[]サンドボックス化されたサブプロセスに書き込み権限を与える追加のパスを指定します。
- denyReadstring[]サブプロセスに対して読み取りアクセスを明示的に拒否するパスを指定します。
- denyWritestring[]サブプロセスに対して書き込みアクセスを明示的に拒否するパスを指定し、allowWrite設定よりも優先されます。
- disabledbooleanネットワーク分離を維持したまま、ファイルシステム分離を無効化してホストへの読み書きアクセスを許可します。
ignoreViolationsobject特定のコマンドパターンと、違反を無視するファイルシステムパスの対応マップを設定します。
networkobjectサンドボックス化された Bash 環境のネットワーク分離設定を構成します。(11件)
- allowAllUnixSocketsbooleanすべてのUnixドメインソケット接続を許可します。
- allowedDomainsstring[]サンドボックス内のコマンドに許可するネットワークドメインのホワイトリストで、ワイルドカードパターンをサポートしています。
- allowLocalBindingbooleanローカルネットワークアドレス(localhostのポートなど)へのバインドを許可します。
- allowMachLookupstring[]macOS専用の設定で、iOSシミュレーターやPlaywrightなどのXPCを介して通信するツールに必要な追加のMachサービス名の検索を許可します。
- allowManagedDomainsOnlyboolean管理設定で有効な場合、ユーザーやプロジェクトの設定を無視して管理設定の許可ドメインのみを適用し、未許可ドメインへのアクセスをプロンプトなしで自動ブロックします。
- allowUnixSocketsstring[]ローカルIPC(SSHエージェントやDockerなど)に使用するUnixドメインソケットへのアクセスを、特定のパスの配列で許可します。
- deniedDomainsstring[]サンドボックス化されたコマンドに対するネットワークドメインの拒否リストで、広範な許可設定よりも優先して特定のドメインをブロックします。
- httpProxyPortintegerネットワークフィルタリングに使用するHTTPプロキシのポートを指定します。
- socksProxyPortintegerネットワークフィルタリングに使用するSOCKSプロキシのポートを指定します。
- strictAllowlistbooleanサンドボックス内で許可リストに含まれないホストへのアクセスを、ユーザーへの問い合わせなしで拒否するための設定です。
- tlsTerminateobject実験的機能として、サンドボックスプロキシ内で TLS を終端して HTTPS リクエストの内容を読み取ります。(2件)
  - caCertPathstringサンドボックス環境内で TLS を終端し、HTTPS リクエストの中身を読み取れるようにするための認証局証明書（CA）のパスを指定します。
  - caKeyPathstringTLS 終端時に利用する認証局のプライベートキーのパスを指定します。
ripgrepobjectClaude Code のバンドルされた ripgrep サポート用のカスタム設定を上書きします。(2件)
- argsstring[]ripgrepバイナリに渡す追加のコマンドライン引数を指定します。
- commandstring使用するripgrepバイナリへのパスを指定し、同梱されているバイナリを上書きします。
socatPathstringLinuxやWSLのネットワークプロキシで使用する、カスタムのsocatバイナリへのパス。

記述例

{
  "sandbox": {
    "enabled": true,
    "autoAllowBashIfSandboxed": true,
    "excludedCommands": ["docker *"],
    "filesystem": {
      "allowWrite": ["/tmp/build", "~/.kube"],
      "denyRead": ["~/.aws/credentials"]
    },
    "network": {
      "allowedDomains": ["github.com", "*.npmjs.org"]
    }
  }
}

使い方・用途

sandbox.enabled を true に設定してサンドボックスを有効にする
sandbox.filesystem で読み書き可能なパスを制限し、sandbox.network でネットワークアクセスを制御する
sandbox.credentials で認証情報ファイルやシークレット環境変数を保護する

英語原文

Sandbox execution configuration. See https://code.claude.com/docs/en/sandboxing

関連する変更履歴

v2.1.319(3件)

worktree 作成時のサンドボックスエスケープを修正した

英語原文を表示

Fixed a sandbox escape when creating a worktree

薄いグレーの二次的なテキスト(ヒント、/stats・/model・/sandbox 内の詳細、拒否されたアクションのメッセージなど)のコントラストを改善した

英語原文を表示

Improved the contrast of faint gray secondary text, such as hints, details in /stats, /model and /sandbox, and rejected-action messages

ネストされたスキルの読み込みを変更した:Bash サンドボックスが有効な場合、開始フォルダより下の .claude/skills フォルダ内のスキルは、そこで Claude Code を起動した場合か /cd で移動した場合にのみ読み込まれる

英語原文を表示

Changed nested skill loading: with the Bash sandbox on, skills in .claude/skills folders below the starting folder load only if you start Claude Code there or /cd there

変更後

Bash サンドボックス有効時に、予期しない下位ディレクトリの .claude/skills が読み込まれなくなり、スキルの読み込み元をセッションの開始ディレクトリ（または /cd で移動した先）に限定できる。これにより、サブフォルダで作業していても、信頼できる場所のスキルだけが確実に反映される。

関連ドキュメント

v2.1.314(2件)

sandbox.excludedCommands 設定の説明が、リストされたコマンドは常にサンドボックス外で実行されると述べていた問題を修正: 呼び出し内の全コマンドがエントリに一致しなければならないと記載される

英語原文を表示

Fixed the sandbox.excludedCommands setting description saying listed commands always run outside the sandbox; it now says every command in a call must match an entry

関連ドキュメント

claude -p --resume や --continue で入った worktree にサンドボックスの保護が適用されない問題を修正した

英語原文を表示

Fixed sandbox protections not applying to a worktree entered by claude -p --resume or --continue

関連ドキュメント

worktrees

v2.1.311(1件)

Linux: --plugin-dir フォルダが追加ディレクトリでもあり、permissions.blockReadsOutsideWorkingDirectories が有効な場合に、サンドボックス化された Bash コマンドが bwrap: Can't create file で失敗する問題を修正した

英語原文を表示

Linux: Fixed sandboxed Bash commands failing with bwrap: Can't create file when a --plugin-dir folder was also an added directory and permissions.blockReadsOutsideWorkingDirectories was on

変更後

Linux 環境で --add-dir で追加したディレクトリが --plugin-dir と兼ねていても、サンドボックス化された Bash コマンドが bwrap の「Can't create file」エラーで失敗しなくなる。読み取り制限が有効な環境でも、プラグインディレクトリ内のファイルにコマンドから安全にアクセスできる。

関連ドキュメント

v2.1.310(1件)

Linux: bubblewrap がサンドボックスの起動に失敗する際、/sandbox とサンドボックス起動時の警告で、Ubuntu のユーザー名前空間に対する AppArmor 制限とその解除方法を示すように改善した

英語原文を表示

Linux: Improved /sandbox and the sandbox startup warning to name Ubuntu's AppArmor restriction on user namespaces, and how to lift it, when it keeps bubblewrap from starting the sandbox

変更後

Linux 環境で bubblewrap の起動に失敗したとき、Ubuntu の AppArmor によるユーザー名前空間の制限が原因だと警告で分かり、解除方法までその場で確認できるようになる。

関連ドキュメント

v2.1.309(7件)

macOS と Linux で、サンドボックス化された Bash コマンドの実行前にシェルの起動ファイルがサンドボックスの外で実行される問題を修正した

英語原文を表示

Fixed sandboxed Bash commands on macOS and Linux running the shell's startup files outside the sandbox before each command

関連ドキュメント

macOS サンドボックスの denyWrite glob パターンが、パターンのフォルダーにシンボリックリンク経由で到達した場合にパスの実体に適用されない問題を修正した

英語原文を表示

Fixed macOS sandbox denyWrite glob patterns not applying at a path's real location when the pattern's folder is reached through a symlink

関連ドキュメント

--mcp-config で渡された MCP 設定ファイルを、サンドボックス化されたコマンドや自動承認された編集が変更できてしまう問題を修正した

英語原文を表示

Fixed sandboxed commands and auto-accepted edits being able to modify the MCP config file passed with --mcp-config

関連ドキュメント

親プロセスの /proc を共有する Linux サンドボックスで、Read ツールが PDF のページ範囲に対して「ファイルが存在しません」と報告する問題を修正した

英語原文を表示

Fixed Read reporting "File does not exist" for PDF page ranges in Linux sandboxes that share the parent's /proc

関連ドキュメント

Linux: バックグラウンドコマンドがセッションより長く生き残った場合に、サンドボックスの書き込み拒否が解除されてしまう問題を修正した。

英語原文を表示

Linux: Fixed sandbox write denies lifting when a background command outlived the session

変更後

セッションより長く動き続けるバックグラウンドコマンドがあっても、サンドボックスの書き込み拒否が正しく解除されるようになり、Linux 環境で意図せずファイルへの書き込みがブロックされることを防げる。

関連ドキュメント

sandboxing

設定でサンドボックスから除外されたコマンドの挙動を変更した。サンドボックスが有効だが実行できない場合、その書き込みリストのパスへの書き込み前に確認を求めるようになった。この場ではサンドボックスなしのフォールバックは拒否される。

英語原文を表示

Changed commands the settings exclude from the sandbox to ask before writing to its write-list paths while the sandbox is enabled but cannot run; the unsandboxed fallback is refused there

変更後

サンドボックスが有効でも起動できない環境で、サンドボックス外実行の対象に設定したコマンドが書き込み許可パスに書き込む前に確認を求めるようになり、通知なく書き込まれることを防げる。

関連ドキュメント

ワークツリーの作成と再利用を変更した。Bash サンドボックスが設定された通常のクローンや部分クローンにおいて、git が必要に応じてオブジェクトをフェッチしなくなった。そのような部分クローンは先にオブジェクトをフェッチする。

英語原文を表示

Changed worktree creation and reuse so git no longer fetches objects on demand, in ordinary clones and in partial clones with a Bash sandbox configured; such a partial clone fetches them first

変更後

worktree の作成や再利用のときに git がオブジェクトをオンデマンドで取得しなくなるため、通常のクローンや Bash サンドボックス設定のある部分クローンでも、ネットワークアクセスを伴わずにworktree 操作が完了するようになる。部分クローンでは必要なオブジェクトを事前に取得しておくことで、セッション途中のフェッチ失敗やハングを避けられる。

関連ドキュメント

v2.1.307(1件)

パーミッションルール、オートモード、セーフティチェック、フック、またはサンドボックスがツール呼び出しを停止・確認要求・差し戻しした際に、claude_code.safety_event という OpenTelemetry イベントをツール呼び出しごとに送出するようにした

英語原文を表示

Added the claude_code.safety_event OpenTelemetry event for each tool call a permission rule, auto mode, a safety check, a hook or the sandbox stopped, prompted or sent back

変更後

パーミッションルールやオートモード、セーフティチェック、フック、サンドボックスがツール呼び出しを停止・確認要求・差し戻した際に、OpenTelemetry イベント claude_code.safety_event として記録されるようになる。これにより、どの仕組みがどのツール呼び出しをどう扱ったかをテレメトリで追跡・分析できるようになる。

関連ドキュメント

v2.1.305(1件)

sandbox.allowNestedUserNamespaces を追加した。これにより Linux 上のサンドボックス化されたコマンドがユーザー namespace を作成できるようになる（Chromium、rootless podman）。ただし、これによりサンドボックスのファイル保護を回避できるようになる。

英語原文を表示

Added sandbox.allowNestedUserNamespaces so sandboxed commands on Linux can create user namespaces (Chromium, rootless podman); this lets them get around the sandbox's file protections

変更後

Linux のサンドボックス環境で Chromium や rootless podman など、ユーザー名前空間を必要とするツールをそのまま実行できるようになる。設定でこの用途に限定した権限を与えられるため、サンドボックスのファイル保護は維持したまま動かせる。

関連ドキュメント

v2.1.304(2件)

sandbox.filesystem.denyRead の glob に [user-id] のようなルートフォルダなど、文字クラスではない角括弧が含まれていると Linux でサンドボックス化されたコマンドの起動に失敗する問題を修正した。

英語原文を表示

Fixed sandboxed commands failing to start on Linux when a sandbox.filesystem.denyRead glob contains brackets that are not a character class, such as a [user-id] route folder

macOS および Linux の Claude Desktop Code タブセッションにおいて、サンドボックス化されていない Bash コマンドが ~/.zshrc などのシェル起動ファイルでエクスポートされた環境変数を参照できない問題を修正した。

英語原文を表示

Fixed unsandboxed Bash commands in Claude Desktop Code tab sessions on macOS and Linux not seeing environment variables exported in shell startup files such as ~/.zshrc

関連ドキュメント

v2.1.300(2件)

/sandbox モードのオプション表示を「Sandbox BashTool」から「Sandbox commands」に変更した

英語原文を表示

Changed the /sandbox mode options to read "Sandbox commands" instead of "Sandbox BashTool"

変更後

サンドボックスの設定オプション名が「Sandbox BashTool」から「Sandbox commands」に変更され、Bash だけでなく PowerShell や Monitor などサンドボックス内で動くコマンド全般を対象にしているとひと目で分かるようになる。

関連ドキュメント

claude remote-control から効果のなかった --sandbox と --no-sandbox フラグを削除した。どちらかを渡すとエラーで終了する。セッションをサンドボックス化するには設定で sandbox.enabled を設定する

英語原文を表示

Removed the --sandbox and --no-sandbox flags from claude remote-control, which had no effect; passing either now exits with an error. Set sandbox.enabled in settings to sandbox sessions

変更後

remote-control に無意味な --sandbox / --no-sandbox フラグを渡しても、意図に反してサンドボックスなしでセッションが動作する事態を防げる。フラグを渡した場合はエラーで起動が止まり、代わりに settings で sandbox.enabled を設定するよう明示される。

関連ドキュメント

v2.1.299(8件)

サンドボックス化されたシェルコマンドが --plugin-dir フォルダに書き込めてしまう問題を修正した。そのフォルダのコードは Claude Code がサンドボックス外でリロードして実行する。

英語原文を表示

Fixed a sandboxed shell command being able to write into a --plugin-dir folder, whose code Claude Code reloads and runs outside the sandbox

関連ドキュメント

サンドボックスが Windows ドライブに書き込める場合に、WSL2 でサンドボックス化されたコマンドが bwrap: Can't mkdir /mnt/c/Program Files/ClaudeCode で失敗する問題を修正した

英語原文を表示

Fixed sandboxed commands failing on WSL2 with bwrap: Can't mkdir /mnt/c/Program Files/ClaudeCode when the sandbox can write to the Windows drive

関連ドキュメント

サンドボックス化されたコマンドが設定ディレクトリに空の .config.json を残した後、Linux でサインイン、MCP サーバー、プロジェクト信頼が失われたように見える問題を修正した

英語原文を表示

Fixed sign-in, MCP servers and project trust appearing lost on Linux after a sandboxed command left an empty .config.json in the config directory

関連ドキュメント

プロジェクトフォルダーが書き込み不可のために設定を保存できなかった場合に /sandbox が成功を報告する問題を修正し、何も変更されていないこととその理由を伝えるようにした

英語原文を表示

Fixed /sandbox reporting success when its setting could not be saved because the project folder is not writable; it now says nothing changed and why

関連ドキュメント

errors

macOS のサンドボックス化されたコマンドが、拒否されたパスがシンボリックリンクを経由する場合に、実体の場所を経由してそのパスを読み書きできる問題を修正した

英語原文を表示

Fixed sandboxed commands on macOS being able to read or write a denied path by its real location when the denied path passes through a symlink

関連ドキュメント

フォルダ名に波括弧・丸括弧・バックスラッシュを含むサンドボックスの denyRead および allowRead グロブが、Claude Code の設定チェックとサンドボックスで異なる解釈をする問題を修正した

英語原文を表示

Fixed sandbox denyRead and allowRead globs with braces, parentheses or backslashes in a folder's name being read differently by Claude Code's settings checks than by the sandbox

関連ドキュメント

サンドボックスの glob allowRead および allowWrite エントリの起点ディレクトリがシンボリックリンクに置き換えられた際に再チェックされない問題を修正した

英語原文を表示

Fixed sandbox glob allowRead and allowWrite entries not being re-checked when the directory they start from is replaced by a symlink

関連ドキュメント

Linux のサンドボックス化された Bash を改善した。コマンドのためにワイルドカードの read ルールを展開している間も、Esc や Ctrl-C が機能するようになった

英語原文を表示

Improved sandboxed Bash on Linux: Esc and Ctrl-C now work while wildcard read rules are being expanded for a command

変更後

Linux のサンドボックスでワイルドカードの読み取りルールを展開している間も Esc や Ctrl-C でコマンドを中断できるようになり、展開が終わるまで待たされずに操作をキャンセルできる。

関連ドキュメント

settings-reference

v2.1.293(1件)

サンドボックス化されたコマンドの実行中に、/ultrareview のアップロードが「解析できなかった」設定ファイルを理由に、別のチェックアウト内にあるリポジトリなど一部のリポジトリを Linux で誤って拒否する問題を修正した

英語原文を表示

Fixed the /ultrareview upload on Linux wrongly refusing some repositories, such as one inside another checkout, over a settings file that "could not be parsed" while a sandboxed command was running

関連ドキュメント

v2.1.292(3件)

サンドボックス化されたコマンドが、/ultrareview アップロードの ~/.claude/seed-admin 下のステージング済みファイルコピーを読み取れてしまう問題を修正した

英語原文を表示

Fixed sandboxed commands being able to read the staged file copies of /ultrareview uploads under ~/.claude/seed-admin

関連ドキュメント

ultrareview

セッション途中で出現したり参照先が変わったりする管理サンドボックスの読み取り拒否パス(およびその横にあるユーザーの拒否パス)について、その内側のプロジェクト許可が解除されず、対象ファイルからの認証情報注入も終了しない問題を修正した

英語原文を表示

Fixed a managed sandbox read-deny path (and user ones beside it) that appears or re-points mid-session not dropping project grants inside it or ending credential injection from files it covers

関連ドキュメント

サンドボックスの自動許可を改善:ユーザー設定、管理設定、または --settings で厳格なサンドボックスモードが設定されている場合、FOO=bar python3 app.py のような環境変数プレフィックス付きのインタプリタコマンドが確認なしで実行されるようになりました

英語原文を表示

Improved sandbox auto-allow: with strict sandbox mode set in user, managed or --settings settings, an interpreter command with an env var prefix like FOO=bar python3 app.py runs unprompted

変更後

環境変数を付けたコマンド(FOO=bar python3 app.py など)でも、これまでのような追加の確認プロンプトを表示せずに、サンドボックス内でそのまま実行できる。

関連ドキュメント

v2.1.290(7件)

管理対象設定がユーザー設定のサンドボックス allowRead パスや許可ドメインを上書きする場合、/status と doctor に警告を表示するようにした

英語原文を表示

Added a /status and doctor warning when managed settings ignore user-configured sandbox allowRead paths or allowed domains

変更後

managed settings によってユーザー設定のサンドボックスの allowRead パスや許可ドメインが無効化されている場合に、/status や doctor でそのことを確認できるようになる。これにより、自分が設定した読み取り許可や許可ドメインが実際には適用されていないことを見逃さずに済む。

関連ドキュメント

ヒアドキュメントを別コマンドにパイプするサンドボックス化されたコマンド (cat <<EOF | python3) が実行のたびに承認を求める問題を修正した

英語原文を表示

Fixed sandboxed commands that pipe a heredoc into another command (cat <<EOF | python3) asking for approval on every run

git clone オプションの短い形式が、sandbox.excludedCommands の git * といった git パターンによるサンドボックス免除を引き継ぐ問題を修正した。現在は長い形式と同様に扱われる

英語原文を表示

Fixed a short form of a git clone option keeping the sandbox exemption from a git pattern such as git * in sandbox.excludedCommands; it is now treated like the long form

関連ドキュメント

サンドボックス化された Monitor ツールのコマンドが sandbox auto-allow の下で権限プロンプトをスキップする問題を修正した。現在はユーザーの権限ルールに従う

英語原文を表示

Fixed sandboxed Monitor tool commands skipping the permission prompt under sandbox auto-allow; they now follow your permission rules

関連ドキュメント

Linux と WSL で、~/**/.env のようなサンドボックスの読み取りルールが大きなフォルダーをカバーする場合に、最初のリクエスト前と /sandbox の Config タブでフリーズする問題を修正した

英語原文を表示

Fixed a freeze before the first request and in the /sandbox Config tab on Linux and WSL when a sandbox read rule such as ~/**/.env covers a large folder

関連ドキュメント

Linux でサンドボックス化された Bash コマンド実行時、.claude/settings.json や .claude/settings.local.json が存在しない場合に ConfigChange フックが実行され、コマンド実行中に設定が再読み込みされる問題を修正した。

英語原文を表示

Fixed sandboxed Bash commands on Linux running ConfigChange hooks and reloading settings mid-command when .claude/settings.json or .claude/settings.local.json does not exist

関連ドキュメント

/loop などのセッション限定の定期タスクが、Linux 上のサンドボックス化された Bash コマンドの実行後や .claude/scheduled_tasks.json の削除後に余分に 1 回実行される問題を修正した。

英語原文を表示

Fixed /loop and other recurring session-only scheduled tasks running an extra time after a sandboxed Bash command on Linux or after .claude/scheduled_tasks.json was deleted

関連ドキュメント

v2.1.289(2件)

サンドボックスがコマンドを自動許可する場合に、展開された値を持つ環境変数プレフィックスの後ろにあるコマンド（例： TZ='$HOME' rm -rf build）が Bash の deny ルールや ask ルールで見逃される問題を修正した。

英語原文を表示

Fixed Bash deny and ask rules missing a command behind an environment variable prefix with an expanded value (e.g. TZ="$HOME" rm -rf build) when the sandbox auto-allows commands

関連ドキュメント

サンドボックスの自動許可の際に、コマンドの前に単独の変数代入があると Bash の deny ルールや ask ルールがスキップされる問題を修正した。

英語原文を表示

Fixed a Bash deny or ask rule being skipped under sandbox auto-allow when a bare variable assignment came before the command

関連ドキュメント

v2.1.288(2件)

引用符なしの区切り文字を含むサンドボックス化された heredoc (python3 <<EOF) が、本体にプレーンテキストと単純な $VAR 参照しか含まない場合でも、sandbox auto-allow の下で毎回承認を求める問題を修正した。

非同期スクリプトフックが投げるエラーに対する Workflow ツールのサンドボックス強化を改善した

英語原文を表示

Improved Workflow tool sandbox hardening for errors thrown by async script hooks

v2.1.283(3件)

claude mcp add、add-json、remove が、ユーザー設定やローカル設定ファイルを書き込めない場合(サンドボックス内など)でも成功と報告する問題を修正した。

英語原文を表示

Fixed claude mcp add, add-json, and remove reporting success when the user or local config file could not be written, for example inside a sandbox

関連ドキュメント

サンドボックス化された git が認証情報ヘルパーに対してサンドボックスプロキシのログイン情報を保存するよう要求し、「failed to store」と表示される問題を修正した。

英語原文を表示

Fixed sandboxed git asking credential helpers to store the sandbox proxy's login, which printed "failed to store"

関連ドキュメント

ネストされた値の 1 つが無効な場合に、管理された sandbox 設定全体が無視される問題を修正し、無効な値はフェイルクローズとなり、ブロックの残りの部分は引き続き適用されるようにした。

英語原文を表示

Fixed managed sandbox settings being ignored entirely when one nested value was invalid; the invalid value now fails closed and the rest of the block still applies

関連ドキュメント

sandbox.excludedCommands を変更した。managed settings または --settings で allowUnsandboxedCommands: false が設定されている場合や、managed の allowManagedDomainsOnly: true が設定されている場合、プロジェクトおよびローカル設定のエントリは無視されるようになった

英語原文を表示

Changed sandbox.excludedCommands to ignore project and local settings entries when managed settings or --settings set allowUnsandboxedCommands: false, or managed allowManagedDomainsOnly: true

変更後

サンドボックスが厳格モードや管理者必須モードのとき、プロジェクトやローカル設定にある excludedCommands の除外指定が効かなくなり、開発者自身がサンドボックスの対象外コマンドを広げられなくなります。管理者はマシンごとに一律のサンドボックスポリシーを維持できます。

関連ドキュメント

v2.1.281(6件)

サンドボックスの excludedCommands のエントリが、git rev-parse --git-dir、シェル組み込みコマンドと同名のプログラム、[WIP] や # 行を含むコミットメッセージに一致しない問題を修正した

英語原文を表示

Fixed sandbox excludedCommands entries not matching git rev-parse --git-dir, programs named like shell builtins, and commit messages containing [WIP] or # lines

関連ドキュメント

CLAUDE_CODE_TMPDIR が設定されている場合に、サンドボックス化された Bash コマンドが $TMPDIR に書き込めない問題を修正した

英語原文を表示

Fixed sandboxed Bash commands being unable to write to $TMPDIR when CLAUDE_CODE_TMPDIR is set

関連ドキュメント

権限プロンプトとサンドボックスのネットワークアクセスプロンプトが重なり両方に回答した後、リモートセッションが古いプロンプトを表示したまま「承認が必要」状態になる問題を修正した

英語原文を表示

Fixed remote sessions staying on "needs approval" with a stale prompt after a permission prompt and a sandbox network-access prompt overlapped and both were answered

関連ドキュメント

macOS でのサンドボックスガイダンスを改善した。ローカル開発サーバーがポートをバインドできない場合、Claude が sandbox.network.allowLocalBinding を指し示すようにした

英語原文を表示

Improved sandbox guidance on macOS: when a local dev server can't bind a port, Claude now points to sandbox.network.allowLocalBinding

変更後

macOS のサンドボックス内でローカル開発サーバーがポートをバインドできずに失敗したとき、原因と解決策が分からず戸惑っていた状況でも、sandbox.network.allowLocalBinding の設定で解決できることがすぐに分かり、スムーズに問題を解消できる。

関連ドキュメント

/help と /sandbox を改善した。←/→ と Tab でタブ内のリストからタブを切り替えられ、/help の Custom commands タブが空のときに ↓ を押しても Esc を押すまでキーが固まる問題を解消した

英語原文を表示

Improved /help and /sandbox: ←/→ and Tab switch tabs from inside a tab's list, and ↓ on an empty Custom commands tab in /help no longer leaves the keys stuck until Esc

変更後

/help や /sandbox のタブ付きダイアログ内で、←/→ キーや Tab キーでタブを直接切り替えられるようになり、/help の Custom commands タブが空のときに ↓ キーを押してもキーの状態が Esc を押すまで固まることがなくなった。

関連ドキュメント

オートモードを変更した。分類器のレビューがサーバー側で実行される環境では、読み取り専用およびサンドボックス化されたシェルコマンドもそのレビューを待ち、フラグが立った場合はブロックされる

英語原文を表示

Changed auto mode so that, where its classifier review runs server-side, read-only and sandboxed shell commands also wait for that review and are blocked when it flags them

変更後

サーバー側分類レビューが有効なセッションでも、読み取り専用やサンドボックス化されたシェルコマンドがレビューを経由するようになり、フラグが付いた場合はブロックされる。

関連ドキュメント

v2.1.280(2件)

ほとんどのダイアログ(/model、/effort、/config、/status、/usage、/plugin、/sandbox、/permissions、/artifacts、/mobile、/login、/upgrade、/usage-credits、/install-github-app、/setup-bedrock、/setup-vertex)で Ctrl+C や Ctrl+D を 2 回押すと、ダイアログを閉じる代わりに Claude Code が終了する問題を修正しました

英語原文を表示

Fixed Ctrl+C or Ctrl+D pressed twice in most dialogs (/model, /effort, /config, /status, /usage, /plugin, /sandbox, /permissions, /artifacts, /mobile, /login, /upgrade, /usage-credits, /install-github-app, /setup-bedrock, /setup-vertex) quitting Claude Code instead of closing the dialog

関連ドキュメント

[VSCode] サンドボックスモード、サンドボックスなしのフォールバック、除外コマンドを確認できる Sandbox ダイアログを追加した。パネルメニューから開くか、/sandbox と入力して開ける

英語原文を表示

[VSCode] Added a Sandbox dialog for the sandbox mode, the unsandboxed fallback and excluded commands, opened from the panel menu or by typing /sandbox

変更後

パネルメニューまたは /sandbox コマンドからダイアログを開けるようになり、サンドボックスモードの選択、サンドボックス外へのフォールバック、除外コマンドといったサンドボックス設定を VSCode 上で確認・変更できる。

関連ドキュメント

v2.1.277(3件)

サンドボックスを有効にしている場合に、サンドボックス外で実行する Bash コマンドで $TMPDIR が空に展開される問題を修正した

英語原文を表示

Fixed $TMPDIR expanding empty in Bash commands that run outside the sandbox while sandboxing is enabled

関連ドキュメント

sandbox.excludedCommands の glob で複合 Bash コマンドの一部だけがマッチした場合に、コマンド全体がサンドボックス除外になってしまう問題を修正した。現在はすべての部分がマッチする必要がある

英語原文を表示

Fixed a sandbox.excludedCommands glob exempting an entire compound Bash command from the sandbox when only one part matched; every part must now match

関連ドキュメント

Bedrock、Vertex、Foundry 上の Bash サンドボックスの手順を、ファーストパーティの表現に変更した。サンドボックスをタスクに与えられた範囲の境界として説明するものになる

英語原文を表示

Changed the Bash sandbox instructions on Bedrock, Vertex and Foundry to the first-party wording, which frames the sandbox as the boundary of what the task was given

変更後

Bedrock、Vertex、Foundry 環境でもサンドボックスの説明文が第一-party 版と同じ表現に統一され、サンドボックスがタスクに与えられた範囲の境界であることが一貫して伝わるようになる。これにより、どの環境を利用していてもサンドボックスの役割や挙動を同じ理解のもとで使い始められる。

関連ドキュメント

v2.1.275(2件)

Linux でサンドボックス化された Bash コマンドが、シェルが zsh の場合に失敗したコマンドの終了コードを 0 として報告する問題を修正した

英語原文を表示

Fixed sandboxed Bash commands on Linux reporting exit code 0 for failed commands when the shell is zsh

関連ドキュメント

setup

hooks/ や config/ という名前のプロジェクトディレクトリにサンドボックス化された Bash コマンドが書き込めない問題を修正した。

英語原文を表示

Fixed sandboxed Bash commands being unable to write to project directories named hooks/ or config/

v2.1.271(2件)

サンドボックス付き auto モードの Bash、PowerShell、Monitor に対して、コマンドごとの allowed_domains を追加した。コマンドが必要とするホストはそのコマンドに合わせて確認され、そのコマンド限定で開放され、その他のホストは拒否される。

英語原文を表示

Added per-command allowed_domains to Bash, PowerShell and Monitor in auto mode with sandboxing: the hosts a command needs are reviewed with it and opened for it alone; other hosts are refused

変更後

サンドボックス内でコマンドが許可リスト外のホストに接続する際、コマンドごとに必要なホストを宣言して一括でレビューしてもらえるため、接続のたびに承認を求められることなく、そのコマンドだけで必要なホストへのアクセスが開かれる。セッションや設定に許可ホストが残らないため、安全にネットワークアクセスを伴うコマンドを実行できる。

関連ドキュメント

パスに括弧を含む Edit/Write/Read 権限ルールが無効として削除されたり Bash サンドボックスに無視されたりする問題を修正した。これにより 'read-only' フォルダが書き込み可能なままになっていた。

英語原文を表示

Fixed Edit/Write/Read permission rules whose path contains parentheses being dropped as invalid or ignored by the Bash sandbox, which left "read-only" folders writable

関連ドキュメント

macOS で permissions.blockReadsOutsideWorkingDirectories により、サンドボックス化された git からユーザーの git config が見えなくなり、worktree 分離されたサブエージェントの自分のチェックアウトも見えなくなる問題を修正した。

英語原文を表示

Fixed permissions.blockReadsOutsideWorkingDirectories on macOS hiding the user's git config from sandboxed git and hiding a worktree-isolated sub-agent's own checkout

関連ドキュメント

サーバー管理設定を変更し、管理対象の CLAUDE.md(claudeMd)がセキュリティ承認ダイアログを表示しないようにした。hooks、シェルコマンド、サンドボックス、および安全でない env 設定は引き続き承認が必要

英語原文を表示

Changed server-managed settings so a managed CLAUDE.md (claudeMd) no longer triggers the security approval dialog; hooks, shell-command, sandbox, and unsafe env settings still require approval

変更後

サーバー管理設定で管理対象の CLAUDE.md（claudeMd）を配信してもセキュリティ承認ダイアログが表示されなくなり、開発者は承認操作なしで組織の指示ファイルを利用できる。フックやシェルコマンドなど安全性に関わる設定は従来どおり承認が必要なため、セキュリティチェックも維持される。

関連ドキュメント

! の bash モードプロンプトで入力したコマンドを、厳格サンドボックスモード(sandbox.allowUnsandboxedCommands: false)が有効でもサンドボックス外で実行するように変更した。自分のターミナルに入力するのと同じ挙動になる

英語原文を表示

Changed commands typed at the ! bash-mode prompt to run outside the sandbox even when strict sandbox mode (sandbox.allowUnsandboxedCommands: false) is on, like typing into your own terminal

変更後

サンドボックスの厳格モードが有効なセッションでも、! で入力したコマンドがサンドボックス外で実行されるようになり、通常のターミナルと同じように自分のシェルコマンドを使える。

関連ドキュメント

v2.1.257(4件)

強制終了されたセッションが残した古いサンドボックスマスクファイルに対して /doctor が警告を出すようにした

英語原文を表示

Added a /doctor warning for stale sandbox mask files left by a killed session

変更後

強制終了されたセッションが残したサンドボックスの一時マスクファイルを /doctor が検出して警告するので、パーミッションの保存など設定ファイルへの書き込みが知らないうちに失敗する事態を防げる。

関連ドキュメント

サンドボックスのネットワークホストが末尾ドット付きで書かれる（example.com.）問題を修正した。deniedDomains エントリがサンドボックス内のホストをブロックせず、そのようなホストの「次回から確認しない」を選んでも確認が続いていた

英語原文を表示

Fixed sandbox network hosts written with a trailing dot (example.com.): a deniedDomains entry didn't block the host inside the sandbox, and "don't ask again" for such a host kept prompting

関連ドキュメント

リンクされたワークツリー内でサンドボックス化された git コマンドが、サブディレクトリに cd した後にリポジトリ共通の .git ディレクトリへの書き込み権限を失う問題を修正した

英語原文を表示

Fixed sandboxed git commands in a linked worktree losing write access to the repository's common .git directory after cd into a subdirectory

関連ドキュメント

managedSourcesBehavior: 'merge' の挙動を変更し、sandbox.credentials.awsPairs と sandbox.ripgrep についてソース間の値を合成する代わりに、それらを設定している最上位の管理ソースからの値を丸ごと採用するようになった

英語原文を表示

Changed managedSourcesBehavior: "merge" to take sandbox.credentials.awsPairs and sandbox.ripgrep whole from the highest managed source that sets them instead of combining the sources' values

変更後

managedSourcesBehavior: 'merge' を使う場合、sandbox.credentials.awsPairs や sandbox.ripgrep が上位の管理ソースの値で一括して決まるようになり、複数ソースの値が混ざって意図しない設定になるのを防げる。

関連ドキュメント

v2.1.251(2件)

コマンドをサンドボックス内で実行する際の Bash コマンド出力ファイルの作成と読み戻しの方法を変更した。これにより、サンドボックス内のコマンドがそれらのファイルをリダイレクトや置き換えできなくなる。

英語原文を表示

Changed how Bash command output files are created and read back when commands run in the sandbox, so a sandboxed command cannot redirect or replace them

変更後

サンドボックス内で実行した Bash コマンドが出力ファイルのリダイレクトや置き換えをできなくなったため、コマンドの出力が改ざんされにくくなる

関連ドキュメント

サンドボックスの TLS を終端したり、サンドボックスのトラフィックを独自のプロキシ経由にルーティングしたり、認証情報を注入したり、サンドボックスの分離を弱めたりするサーバー管理の設定について、適用前に承認を必要とするように変更した。

英語原文を表示

Changed server-managed settings that terminate sandbox TLS, route sandbox traffic through your own proxy, inject credentials, or weaken sandbox isolation to require approval before they apply

変更後

サーバー管理設定によるサンドボックスの隔離を弱める変更が、管理者の配信後にも利用者の承認なしに適用されないようになり、意図しないTLS端末処理やプロキシ経由のトラフィック迂回からサンドボックス環境を保護できる。

関連ドキュメント

v2.1.247(1件)

Bash サンドボックスのコマンド後クリーンアップが、書き込み可能領域の外に再ポイントされたドットファイル管理の ~/.claude/settings.json シンボリックリンク(nix/home-manager、stow)を削除する問題を修正しました

英語原文を表示

Fixed the Bash sandbox's after-command cleanup deleting a dotfile-managed ~/.claude/settings.json symlink (nix/home-manager, stow) when it is repointed outside the sandbox's writable area

v2.1.246(2件)

サンドボックスの「Network request outside of sandbox」権限プロンプトが待機中の間に Notification フックが発火しない問題を修正した

英語原文を表示

Fixed the Notification hook not firing while the sandbox "Network request outside of sandbox" permission prompt is waiting

関連ドキュメント

コマンドサンドボックスのファイルシステム設定が --setting-sources を尊重しない問題を修正した

英語原文を表示

Fixed the command sandbox's filesystem configuration not respecting --setting-sources

v2.1.243(3件)

ブロックされたコマンドが終了コード 0 で終了した場合（例：curl がプロキシの 403 ページを表示する場合）、Bash ツールの結果からサンドボックスのネットワーク違反の詳細が欠落する問題を修正した。

英語原文を表示

Fixed sandbox network-violation details being dropped from the Bash tool result when the blocked command still exited 0 (for example curl printing the proxy's 403 page)

関連ドキュメント

起動時間を改善した。サンドボックスと MCP の初期化が最初のフレーム描画をブロックしなくなり、サブコマンドなしの起動ではサブコマンドの登録をスキップするほか、ワークフロー検出、設定、トラストストアの処理も軽量化した。

英語原文を表示

Improved startup time: sandbox and MCP bring-up no longer block the first frame, bare launches skip subcommand registration, and workflow discovery, settings, and trust-store work is cheaper

変更後

起動が速くなり、入力後すぐに操作を始められるようになる。サンドボックスや MCP サーバーの準備が完了を待たずに最初の画面を表示するため、起動待ちのストレスが減る。

関連ドキュメント

サンドボックス化された Bash ツールのプロンプトを変更し、許可されたネットワークホストの一覧を表示しないようにした。これにより、未記載のホストがブロックされていると想定する代わりに、Claude がリクエストを試み（新しいホストをユーザーが承認できるようになり）る。

英語原文を表示

Changed the sandboxed Bash tool prompt to no longer list allowed network hosts, so Claude attempts requests (and you can approve new hosts) instead of assuming unlisted hosts are blocked

関連ドキュメント

管理設定の承認ダイアログを改善した。エンドポイント URL を表示し、テレメトリのみの変更についてはより明確な文言を使い、日常的な OpenTelemetry の項目はスキップし、サーバー管理のサンドボックスバイナリ上書き(sandbox.bwrapPath、sandbox.socatPath、sandbox.ripgrep)には承認を要求するようになった

英語原文を表示

Improved the managed settings approval dialog: shows endpoint URLs, uses clearer wording for telemetry-only changes, skips routine OpenTelemetry options, and requires approval for server-managed sandbox binary overrides (sandbox.bwrapPath, sandbox.socatPath, sandbox.ripgrep)

変更後

組織から配信される設定の承認ダイアログで、どのエンドポイント URL に接続しようとしているのかを確認できるようになり、テレメトリ関連の変更については意図が明確な表現で判断できる。日常的な OpenTelemetry 設定変更では不要な承認を求められず、サンドボックスの実行バイナリ設定がサーバー側から差し替えられた場合には必ず承認を経るため、セキュリティ上の重要な変更を見逃さずに済む。

関連ドキュメント

保護パス回避の脆弱性に対して、Linux ファイルシステムサンドボックスを強化した

英語原文を表示

Hardened the Linux filesystem sandbox against a protected-path bypass

sandbox.ripgrep をユーザー設定・管理設定・--settings の設定からのみ有効になるように変更した。プロジェクト設定はサンドボックスの ripgrep バイナリを上書きできなくなった

英語原文を表示

Changed sandbox.ripgrep to be honored only from user, managed, and --settings settings; project settings can no longer override the sandbox's ripgrep binary

変更後

プロジェクトの設定ではサンドボックスが使用する ripgrep バイナリを上書きできなくなり、ユーザー・管理設定や --settings での指定だけが有効になる。これにより、悪意あるリポジトリ側の設定で任意の実行ファイルをサンドボックスの ripgrep として差し込まれるリスクがなくなった。

関連ドキュメント

v2.1.229(1件)

サンドボックス環境を強化し、ネットワークドメインリスト内の IPv6 リテラルをブラケットで囲む形式（[::1]:443）に修正するとともに、曖昧なスペルのドメイン指定は安全側に倒して拒否（fail-closed）し、/doctor コマンドでフラグを立てるよう改善しました。

英語原文を表示

Improved sandbox: IPv6 literals in network domain lists are now bracketed ([::1]:443), and ambiguous spellings are enforced fail-closed and flagged by /doctor

変更後

サンドボックスの通信制御設定ミスによる意図しない外部ネットワーク漏洩を未然に防ぐことができます。

関連ドキュメント

v2.1.224(3件)

サンドボックス環境におけるクレデンシャルマスキングオプションを追加：構造化された環境変数向けのextractおよびonExtractNoMatch、JWTトークン用のdecode: "jwt"（およびmaskClaims）、AWS SigV4再署名用のawsPairs/sigv4が利用できるようになります。これらを使用するには、network.tlsTerminateが有効であり、かつユーザー設定、管理者管理設定、または--settingsフラグでのみ指定されている必要があります。

英語原文を表示

Added sandbox credential-masking options: extract and onExtractNoMatch for structured env values, decode: "jwt" with maskClaims for JWT-aware masking, and awsPairs/sigv4 for AWS SigV4 re-signing; these need network.tlsTerminate and are honored only from user, managed, or --settings settings

変更後

ツールに必要な認証情報の利便性を損なうことなく、認証ファイルやトークン内の本当に保護すべき重要な情報だけを確実に隠蔽または安全に中継できるようになります。

関連ドキュメント

末尾にスラッシュを付けたパス指定（例：denyRead: "~/.aws/"）で書かれたサンドボックスのファイルアクセス拒否ルールが、LinuxおよびmacOSにおいてサイレントにバイパスされてしまう問題を修正しました。

英語原文を表示

Fixed sandbox filesystem deny entries written with a trailing slash (e.g. denyRead: "~/.aws/") being silently bypassable on Linux and macOS

変更後

セキュリティ設定ファイルのパスの書き方による偶発的な制限の漏れがなくなり、機密ファイルが含まれるディレクトリを確実に保護できます。

関連ドキュメント

サンドボックス違反の詳細情報がBashツールの実行結果に全く表示されなかった問題を修正しました。これにより、どのファイルやネットワークへのアクセスがなぜ拒否されたのかがモデルに正しく伝わります。

英語原文を表示

Fixed sandbox violation details never appearing in Bash tool results; Claude now sees which file or network access was denied and why

v2.1.223(2件)

ワークフロースクリプトが動的 import() を悪用し、ワークフローサンドボックスの外部にあるコードを実行できてしまうセキュリティ上の脆弱性を修正しました。

英語原文を表示

Fixed workflow scripts being able to use dynamic import() to run code outside the workflow sandbox

変更後

外部の未検証なスクリプトをワークフローとして実行する際も、ローカル環境を侵害されるリスクを心配せずに安全に実行できます。

関連ドキュメント

Linux 環境において、書き込み制限ポリシー sandbox.filesystem.denyWrite が現在の作業ディレクトリに適用されていると、サンドボックス化されたコマンドの起動に失敗する問題を修正しました。

英語原文を表示

Fixed sandboxed commands failing to start on Linux when sandbox.filesystem.denyWrite covers the working directory

v2.1.221(2件)

LinuxおよびWSL上のサンドボックスにおいて、認証情報ファイル用の「mode: "mask"」を導入しました。

英語原文を表示

Added mode: "mask" for sandbox credential files on Linux and WSL — sandboxed commands read a sentinel copy (the whole file, or just the spans captured by an extract regex) while the sandbox proxy substitutes the real value on egress; on macOS file masking falls back to deny

変更後

認証情報ファイルの実体をサンドボックス内に露出させずにツールを実行できます。

関連ドキュメント

サンドボックス経由での大規模なアップロード時に、サンドボックスプロキシで TLS エラーが発生していた問題を修正しました。

英語原文を表示

Fixed sandboxed large uploads failing with TLS errors through the sandbox proxy

変更後

大きなサイズのファイルを安定してサーバーへアップロードできます。

関連ドキュメント

agent-sdk/typescript

v2.1.219(1件)

sandbox.network.strictAllowlist 設定を追加しました。サンドボックス環境から許可されていないホストへのアクセスを警告なしで拒否します。

英語原文を表示

Added sandbox.network.strictAllowlist setting to deny non-allowlisted hosts for sandboxed commands without prompting

変更後

許可リストを定義するだけで安全な通信環境を維持できます。

関連ドキュメント

sandboxing

v2.1.218(1件)

IDE連携におけるサンドボックスコマンドの制限を改善しました。

英語原文を表示

Improved sandbox command restrictions for IDE interactions

変更後

IDEを通じた操作がサンドボックスによって予期せず制限される機会が減ります。

v2.1.216(1件)

ファイルシステム隔離を無効化しつつネットワーク制御を維持する設定 sandbox.filesystem.disabled を追加

英語原文を表示

Added sandbox.filesystem.disabled setting to skip filesystem isolation while keeping network egress control

変更後

ファイルシステム隔離の制限を気にせず、ネットワーク環境の制約がある場所での操作を完結できます。

関連ドキュメント

devcontainer

v2.1.212(1件)

エージェントビューおよび claude agents --json において、サンドボックスや MCP 入力待ちのセッションが「Working」ではなく「Needs input」と表示されるようにしました。

英語原文を表示

Changed agent view / claude agents --json: sessions waiting on a sandbox, MCP-input, or managed-settings prompt now show as "Needs input" instead of "Working"

変更後

どのセッションがユーザー対応を待っているか、即座に見分けることができます。

関連ドキュメント

v2.1.211(1件)

サンドボックス外で実行されるBashに対するPreToolUseフックのask決定が、オートモードによって上書きされる問題を修正した

英語原文を表示

Fixed auto mode overriding a PreToolUse hook's ask decision for unsandboxed Bash — a hook ask now floors the decision at a prompt

変更後

セキュリティや検証のために設定したフックによる確認要求が、オートモードでも確実に守られるようになる。

関連ドキュメント

v2.1.210(1件)

後から作成された .claude/* ディレクトリ内のシンボリックリンクがサンドボックスの書き込み禁止リストに反映されない問題を修正した。

英語原文を表示

Fixed late-appearing .claude/* symlinks not being reconciled into the sandbox deny-write list

変更後

設定ファイルや管理データに対する意図せぬ上書きをより確実に防ぐことができます。

関連ドキュメント

v2.1.198(1件)

サンドボックス化されたプロセスが同じネットワークホストに繰り返しアクセスする際、バックグラウンドでの分類リクエストが過剰に発生する問題を修正しました。

Windows環境において、設定でサンドボックスを有効にしている場合に、起動時に「サンドボックスの依存関係が欠落している」という誤った警告が表示される問題を修正しました。

英語原文を表示

Fixed a spurious "sandbox dependencies missing" startup warning on Windows when sandbox was enabled in settings

v2.1.163(1件)

Bazel や EDR で保護された Go のワークフローで Bash コマンドが失敗する問題を修正。$TMPDIR の上書きをサンドボックス化されたコマンドのみに限定

英語原文を表示

Fixed bash commands failing under bazel and EDR-protected Go workflows: $TMPDIR was overridden to /tmp/claude-{uid} for all commands instead of only sandboxed ones (regression in 2.1.154)

変更後

特定のビルドシステムやセキュリティツールを使用している複雑な開発プロジェクトでも、Claude Code が正常に動作します。

関連ドキュメント

env-vars

v2.1.157(2件)

デスクトップアプリ、IDE拡張機能、またはSDKを使用している際、auto モードおよび bypass-permissions モードでもサンドボックスネットワークの許可プロンプトが表示される問題を修正しました

英語原文を表示

Fixed sandbox network permission prompts appearing in auto and bypass-permissions mode when using the desktop app, IDE extensions, or SDK

変更後

完全なハンズフリー操作が可能になり、エージェントによる一連の作業がよりスムーズに進むようになります。

関連ドキュメント

起動時の「Bashコマンドはサンドボックス化されます」というバナーを削除しました。サンドボックスの状態は /status やコマンドがブロックされた際に確認できます

英語原文を表示

Removed the "bash commands will be sandboxed" startup banner — sandbox status still shows in /status and when a command is blocked

変更後

起動がより軽快に感じられ、すぐに本題のプロンプト入力に移れるようになります。

関連ドキュメント

v2.1.154(1件)

同一セッション内のBashコマンドにおいて、サンドボックス化の有無によって$TMPDIRが異なるディレクトリを指してしまう問題を修正しました。

英語原文を表示

Fixed $TMPDIR resolving to different directories in sandboxed vs unsandboxed Bash commands within the same session

変更後

AIが生成した一時的なスクリプトやログファイルを、ユーザーが直接コマンドで確認したりデバッグしたりする作業がスムーズになります。

関連ドキュメント

env-vars

Added sandbox.network.deniedDomains setting to block specific domains even when a broader allowedDomains wildcard would otherwise permit them

変更後

広域な許可を与えつつ、特定の機密ドメインや不要なドメインへのアクセスを確実に遮断できるため、セキュリティが向上します。

関連ドキュメント

Bashの dangerouslyDisableSandbox を使用した際、許可プロンプトが表示されずにコマンドが実行される脆弱性を修正しました

英語原文を表示

Fixed Bash dangerouslyDisableSandbox running commands outside the sandbox without a permission prompt

変更後

システムの保護層を外す重要な操作に対して常に監視の目が届くようになり、安全性が向上します。

関連ドキュメント

v2.1.101(1件)

PCの再起動直後の初回起動時、サンドボックス環境でのBashコマンドが mktemp エラーで失敗する問題を修正

英語原文を表示

Fixed sandboxed Bash commands failing with mktemp: No such file or directory after a fresh boot

変更後

サンドボックスの利用に伴う不安定さが解消され、安全な実行環境を意識せずに使い続けられます。

関連ドキュメント

v2.1.98(2件)

Linux 環境において CLAUDE_CODE_SUBPROCESS_ENV_SCRUB 有効時の PID ネームスペース隔離によるサブプロセス・サンドボックス機能、およびセッションごとのスクリプト実行回数を制限する CLAUDE_CODE_SCRIPT_CAPS 環境変数を追加しました。

英語原文を表示

Added subprocess sandboxing with PID namespace isolation on Linux when CLAUDE_CODE_SUBPROCESS_ENV_SCRUB is set, and CLAUDE_CODE_SCRIPT_CAPS env var to limit per-session script invocations

変更後

AIにコマンド実行権限を与える際の安全性が高まり、プロンプトインジェクション等による情報の漏洩やリソースの枯渇リスクを大幅に低減できます。

関連ドキュメント

env-vars

macOS において sandbox.network.allowMachLookup の設定が有効に機能していなかった問題を修正しました。

英語原文を表示

Fixed sandbox.network.allowMachLookup not taking effect on macOS

変更後

安全性を保ちつつ、シミュレータの操作やOS機能を利用したテストなどの開発作業をサンドボックス内で完結できます。

関連ドキュメント

v2.1.97(2件)

「自動モード(auto mode)」および「全承認モード(bypass-permissions)」において、サンドボックスのネットワークアクセスプロンプトを自動的に承認するように改善しました。

英語原文を表示

Improved auto mode and bypass-permissions mode to auto-approve sandbox network access prompts

英語原文を表示

Fixed sandbox.filesystem.allowWrite not working with absolute paths (previously required // prefix)

変更後

環境構築時の設定ミスが減り、サンドボックス機能をより簡単に導入できるようになります。

関連ドキュメント

macOS 上の /sandbox 依存関係タブに、誤って Linux 向けの要件が表示される問題を修正

英語原文を表示

Fixed /sandbox Dependencies tab showing Linux prerequisites on macOS instead of macOS-specific info

変更後

ユーザーが自分の環境に合った正しい情報を得られるようになり、セットアップの迷いが解消されます。

関連ドキュメント

セキュリティ：サンドボックス依存関係が不足している場合に警告なしで無効化される問題を修正し、起動時に警告を表示

英語原文を表示

**Security:** Fixed silent sandbox disable when sandbox.enabled: true is set but dependencies are missing — now shows a visible startup warning

変更後

設定したセキュリティ境界が機能していないことに気づかないまま作業を続けるリスクを回避できます。

関連ドキュメント

v2.1.77(2件)

サンドボックスのファイルシステム設定に、denyRead 領域内での読み取りを再許可する allowRead を追加しました

英語原文を表示

Added allowRead sandbox filesystem setting to re-allow read access within denyRead regions

変更後

サンドボックスのセキュリティ制限を維持しつつ、必要なファイルへのアクセスだけをピンポイントで許可できるため、柔軟な環境構築が可能です。

関連ドキュメント

sandboxing

設定やパーミッションのダイアログでリスト移動中に ←/→ キーを押すと、誤ってタブが切り替わってしまう問題を修正しました

英語原文を表示

Fixed ←/→ accidentally switching tabs in settings, permissions, and sandbox dialogs while navigating lists

変更後

設定画面での誤操作が減り、必要な項目を素早く探し出して変更できるようになります。

関連ドキュメント

common-workflows

v2.1.73(1件)

ネイティブビルドのLinux版で「ripgrep (rg) が見つからない」というエラーによりサンドボックスが起動しない問題を修正しました。

英語原文を表示

Fixed Linux sandbox failing to start with "ripgrep (rg) not found" on native builds

v2.1.72(2件)

サンドボックス内での特定のファイル書き込みや /tmp/ への出力リダイレクトが不要にプロンプトを出す問題を修正

英語原文を表示

Fixed sandbox permission issues: certain file write operations incorrectly allowed without prompting, and output redirections to allowlisted directories (like /tmp/claude/) prompting unnecessarily

変更後

セキュリティを維持したまま、細かなファイル操作に伴う承認プロンプトの回数が減り、作業効率が向上します。

関連ドキュメント

ワイルドカードルールのマッチング精度やサンドボックス除外コマンド、拒否ルールの適用範囲など、パーミッション周りの不具合を修正

英語原文を表示

Fixed several permission rule matching issues: wildcard rules not matching commands with heredocs, embedded newlines, or no arguments; sandbox.excludedCommands failing with env var prefixes; "always allow" suggesting overly broad prefixes for nested CLI tools; and deny rules not applying to all command forms

変更後

「常に許可」や「常に拒否」の設定が期待通りに働くようになり、セキュリティ設定の信頼性が向上します。

関連ドキュメント

v2.1.69(3件)

macOS限定の sandbox.enableWeakerNetworkIsolation 設定を追加。カスタムプロキシ使用時に gh や terraform 等のGoプログラムでのTLS検証を許可

英語原文を表示

Added sandbox.enableWeakerNetworkIsolation setting (macOS only) to allow Go programs like gh, gcloud, and terraform to verify TLS certificates when using a custom MITM proxy with httpProxyPort

変更後

社内ネットワーク制限がある環境でも、terraform や gcloud といった必須のインフラ操作ツールをClaude Codeから安全に実行できます。

関連ドキュメント

Linuxでのサンドボックス内bashコマンド実行後に、.bashrc 等のドットファイルが未追跡ファイルとして現れる問題を修正

英語原文を表示

Fixed ghost dotfiles (.bashrc, HEAD, etc.) appearing as untracked files in the working directory after sandboxed Bash commands on Linux

変更後

Gitステータスを汚すことなくサンドボックスの安全な実行環境を利用でき、コミット時の混乱を防げます。

関連ドキュメント

Fixed sandbox prompting users to approve non-allowed domains when allowManagedDomainsOnly is enabled in managed settings — non-allowed domains are now blocked automatically with no bypass

関連ドキュメント

sandboxing

v2.1.64(2件)

macOS 限定で sandbox.enableWeakerNetworkIsolation 設定を追加しました。httpProxyPort を使用したカスタムプロキシ環境下で、gh や terraform などの Go 製プログラムが TLS 証明書を検証できるようになります。

英語原文を表示

変更後

企業独自のネットワーク環境下でも、gh コマンドによる PR 作成や terraform によるインフラ操作を Claude に安全に実行させることができます。

関連ドキュメント

管理設定で allowManagedDomainsOnly が有効な場合、未許可ドメインへの承認プロンプトを抑制し、自動的にブロックするように修正しました。

英語原文を表示

Fixed sandbox prompting users to approve non-allowed domains when allowManagedDomainsOnly is enabled in managed settings — non-allowed domains are now blocked automatically with no bypass

変更後

企業におけるセキュリティポリシーの強制力が向上し、ヒューマンエラーによる機密情報の流出リスクを低減できます。

関連ドキュメント

v2.1.47(1件)

サンドボックス化されたコマンドで「read-only file system」エラーが発生するzsh heredocの問題を修正しました(anthropics/claude-code#25990)。

英語原文を表示

Fixed zsh heredoc failing with "read-only file system" error in sandboxed commands (anthropics/claude-code#25990)

サンドボックスモードが有効な場合に、bashコマンドが「Read-only file system」エラーを誤って報告する問題を修正しました。

英語原文を表示

Fixed bash commands incorrectly reporting failure with "Read-only file system" errors when sandbox mode was enabled

v2.1.20(1件)

依存関係が不足している場合にインストール手順と共に依存関係のステータスを表示するように、/sandboxコマンドのUIが改善されました。

英語原文を表示

Improved /sandbox command UI to show dependency status with installation instructions when dependencies are missing

変更後

これにより、LinuxやWSL2ユーザーはサンドボックスのセットアップが大幅に簡素化されます。不足している依存関係を特定し、インストール方法を調べる手間が省け、Claude Codeのサンドボックス環境を迅速かつ容易に利用開始できるようになります。

関連ドキュメント

v2.0.30(1件)

Added allowUnsandboxedCommands sandbox setting to disable the dangerouslyDisableSandbox escape hatch at policy level

関連ドキュメント

settings

v2.0.24(1件)

Sandbox: Releasing a sandbox mode for the BashTool on Linux & Mac

含まれる設定

記述例

使い方・用途

関連ドキュメント

関連する変更履歴

v2.1.319(3件)

v2.1.314(2件)

v2.1.311(1件)

v2.1.310(1件)

v2.1.309(7件)

v2.1.307(1件)

v2.1.305(1件)

v2.1.304(2件)

v2.1.300(2件)

v2.1.299(8件)

v2.1.293(1件)

v2.1.292(3件)

v2.1.290(7件)

v2.1.289(2件)

v2.1.288(2件)

v2.1.287(1件)

v2.1.286(1件)

v2.1.285(2件)

v2.1.284(2件)

v2.1.283(3件)

v2.1.282(1件)

v2.1.281(6件)

v2.1.280(2件)

v2.1.277(3件)

v2.1.275(2件)

v2.1.271(2件)

v2.1.268(1件)

v2.1.267(2件)

v2.1.265(2件)

v2.1.260(4件)

v2.1.257(4件)

v2.1.251(2件)

v2.1.247(1件)

v2.1.246(2件)

v2.1.243(3件)

v2.1.239(1件)

v2.1.238(1件)

v2.1.234(1件)

v2.1.233(1件)

v2.1.232(4件)

v2.1.229(1件)

v2.1.224(3件)

v2.1.223(2件)

v2.1.221(2件)

v2.1.219(1件)

v2.1.218(1件)

v2.1.216(1件)

v2.1.212(1件)

v2.1.211(1件)

v2.1.210(1件)

v2.1.198(1件)

v2.1.191(1件)

v2.1.187(1件)

v2.1.181(1件)

v2.1.179(1件)

v2.1.178(1件)

v2.1.176(1件)

v2.1.173(1件)

v2.1.163(1件)

v2.1.157(2件)

v2.1.154(1件)

v2.1.152(1件)

v2.1.149(1件)

v2.1.147(1件)

v2.1.133(1件)

v2.1.126(1件)

v2.1.116(1件)

v2.1.113(2件)

v2.1.101(1件)

v2.1.98(2件)

v2.1.97(2件)

v2.1.92(1件)

v2.1.83(2件)

v2.1.80(1件)

v2.1.78(4件)