Anthropic sort Claude Code v2.1.211, faisant partie de la série de releases rapides qui propulse l’outil vers un usage quotidien. La nouveauté principale est le flag --forward-subagent-text (et la variable d’environnement CLAUDE_CODE_FORWARD_SUBAGENT_TEXT) qui inclut le texte et le raisonnement des subagent dans la sortie stream-json, rendant observable ce qui se passe dans les tâches déléguées.

Le correctif de sécurité : les aperçus de permissions transmis aux canaux de chat neutralisent désormais les caractères bidirectionnels, de largeur zéro et les guillemets « lookalike ». Sans cette correction, un input malveillant pouvait altérer visuellement le message d’approbation, montrant une demande apparemment inoffensive tandis que l’opération réelle était autre chose. Un cas concret de prompt injection au niveau de l’interface.

Pourquoi cela te concerne : si tu utilises Claude Code en arrière-plan ou avec des approbations déléguées, cette release ferme un vecteur d’attaque qui pouvait te trahir sans que tu t’en aperçoives. Le correctif sur les hooks PreToolUse rétablit le contrôle : quand un hook dit ask, cette décision bloque désormais vraiment l’auto mode même sur du Bash non sandboxé. Avant, l’auto mode pouvait contourner ta contrainte.

Avec les releases précédentes (v2.1.208, v2.1.209, v2.1.210), le tableau est clair : Anthropic consolide l’architecture pour l’usage en production, avec des corrections de sécurité et de l’observabilité au lieu de nouvelles fonctionnalités.

En détail

Le contexte : quatre releases en trois jours.

Du 12 au 15 juillet, Anthropic a déployé quatre versions consécutives de Claude Code (v2.1.208 → 212), chacune avec des correctifs sur la stabilité, l’accessibilité et la sécurité. La v2.1.211 ferme deux failles qui pouvaient trahir ceux qui utilisent l’outil dans des configurations complexes.

Le correctif de sécurité sur les caractères « lookalike ».

L’aperçu des permissions (le message qui te demande d’approuver une opération avant qu’elle ne démarre) était transmis aux canaux de chat sans neutraliser les caractères Unicode dangereux. Les caractères bidirectionnels (U+202E et similaires) peuvent inverser visuellement une chaîne, montrant « lis le fichier config.json » tandis que la commande réelle est « supprime le répertoire ». Les guillemets lookalike (comme U+201C au lieu de U+0022) peuvent faire sembler une instruction comme du simple texte cité.

Ce n’est pas un bug théorique : ceux qui construisent des systèmes multi-agent avec des approbations humaines dans un canal Slack ou similaire sont exposés à une attaque visuelle où l’opérateur lit une chose et en approuve une autre. Le correctif neutralise ces caractères avant de construire le message d’approbation.

L’auto mode qui contournait les hooks.

Les hooks PreToolUse permettent de bloquer ou de demander une confirmation avant qu’un tool soit appelé. Un hook retournant ask devait toujours arrêter l’exécution et demander une confirmation, même en auto mode. Au lieu de cela, l’auto mode contournait cette décision sur les commandes Bash non sandboxées, les exécutant de toute façon. La v2.1.211 corrige : maintenant un hook ask est un plancher, pas une suggestion.

Forwarding de texte de subagent : observabilité sur les tâches déléguées.

Le nouveau flag --forward-subagent-text fait en sorte que la sortie structurée (stream-json) inclue le texte et le raisonnement des subagent. Sans ce flag, la tâche déléguée est une boîte noire : tu vois juste qu’elle a commencé et qu’elle a fini. Avec le flag activé, tu peux suivre le raisonnement interne des subagent en temps réel, utile pour le débogage et l’audit trail.

Cette fonctionnalité se connecte à la nouvelle architecture de délégation introduite en v2.1.212, où /fork lance des sessions d’arrière-plan indépendantes et /subtask gère les subagent en-session. L’observabilité devient critique quand tu as plusieurs niveaux de délégation.

Autres correctifs dans la release.

• Les sessions parallèles qui partagent un credential store ne se délogent plus toutes ensemble après un wake-from-sleep.
• Les serveurs MCP des plugins se reconnectent après qu’une session web idle se réactive.
• Les sessions sur Vertex et Bedrock ne tentent plus d’appeler Opus au démarrage quand tu as explicitement configuré un autre modèle.
• Les subagent avec override de modèle ne reviennent plus au modèle du parent quand ils reprennent.
• Correctifs sur l’upload de fichier (noms avec suffixes DOS comme .prn, fichiers avec hard link), sur les background job avec auth LLM gateway, et sur la gestion des agent job quand git ne reconnaît plus le worktree.

Implications pratiques.

Si tu utilises Claude Code en production ou dans des configurations d’équipe :

1. Mets à jour immédiatement pour le correctif de sécurité sur les aperçus.
2. Vérifie tes hooks PreToolUse : ils respectent maintenant vraiment la décision ask.
3. Active --forward-subagent-text si tu as besoin d’un audit trail complet sur les tâches déléguées (attention : augmente le volume de logs).
4. Si tu gères des sessions d’arrière-plan, la série de correctifs sur la reconnexion et la persistance devrait éliminer les agent job « fantômes » qui ne se suppriment pas.

La vélocité de ces releases (quatre en trois jours) est un signal : Anthropic consolide l’outil pour l’usage quotidien, avec attention à la sécurité et la robustesse plutôt qu’à des nouvelles fonctionnalités spectaculaires. C’est la phase où un outil passe de « impressionnant en démo » à « tu peux compter dessus ».