Claude Code v2.1.222 ferme deux failles de sécurité en une seule release. Les sessions isolées sur des worktree séparés et leurs subagent pouvaient exécuter des commandes git destructrices contre le checkout principal : désormais l’isolement s’applique aux modifications de fichiers et aux commandes Bash dans tout type de session. Le second correctif bloque les hooks PreToolUse en auto-allow qui contournaient les restrictions des tools dans les tâches en arrière-plan.

Pourquoi ça te concerne. Si tu fais tourner plusieurs agents en parallèle sur le même repo, l’isolement entre worktree était une promesse non garantie par le logiciel. Un subagent dans une session latérale pouvait toucher la branche principale avec des commandes git destructrices ou modifier des fichiers en dehors de son espace. Le correctif rend la frontière réelle : les modifications de fichiers et Bash respectent l’isolement partout, pas seulement dans certains chemins. Pour qui utilise Claude Code tous les jours, c’est la différence entre « ça marche si tu fais attention » et « ça marche parce que la frontière est dans le code ».

La release clôt aussi une semaine de releases réguliers, de la v2.1.216 à la v2.1.222, chacun avec des correctifs concrets sur la stabilité, les permissions et MCP. Le rythme dit que l’outil est en train de sortir de la bêta continue, comme l’avait déjà suggéré la v2.1.221 d’hier.

Si tu veux l’essayer. La mise à jour est dans le canal standard. Pour vérifier l’isolement, lance deux sessions sur des worktree séparés et vérifie que les modifications de l’une ne touchent pas les fichiers de l’autre.

En détail

Le correctif sur l’isolement des worktree clôt un fil ouvert en juillet. Le 5 juillet nous avions signalé une fuite de session possible entre workspace dans Claude Code : les sessions parallèles n’étaient pas complètement séparées, et un agent pouvait voir ou toucher des fichiers appartenant à une autre session. Depuis, chaque release a ajouté un morceau à la frontière. La v2.1.216 avait introduit le sandbox filesystem granulaire. La v2.1.222 complète le travail : l’isolement vaut désormais pour les modifications de fichiers et pour les commandes Bash dans tout type de session, y compris les subagent générés par une session isolée.

Ce que ça signifie concrètement. Imagine de lancer trois agents en parallèle sur trois worktree différents du même repo. Chacun devrait travailler seulement dans sa branche. Avant ce correctif, un subagent lancé par l’une de ces sessions pouvait exécuter un git reset --hard ou un git clean contre le checkout principal, effaçant le travail des deux autres. Le bug était que l’isolement s’appliquait à la session parent mais ne se propageait pas complètement aux subagent. Maintenant la frontière est dans le logiciel, pas dans la bonne volonté de l’agent.

Le second correctif concerne les hooks PreToolUse. Claude Code permet de configurer des hooks qui s’activent avant chaque appel à un tool : ils servent à qui veut approuver ou bloquer certaines actions de manière automatique. Le bug faisait en sorte que les hooks configurés en auto-allow contournent les restrictions imposées sur les tools quand ils tournaient en arrière-plan, par exemple durant la compaction du contexte ou la génération de résumés. En pratique, un tool qui n’aurait pas dû tourner dans ces contextes tournait quand même, parce que le hook donnait le feu vert sans respecter les limites.

Le signal au-delà du correctif. Une semaine de releases réguliers, de la v2.1.216 à la v2.1.222, avec des corrections cumulatives sur les permissions, MCP, la stabilité du filesystem et le proxy. Le rythme est celui d’un outil qui arrête d’ajouter des features à tour de rôle et commence à fermer les comptes ouverts. Pour qui décide s’il faut utiliser Claude Code en production, la question change : on passe du « c’est assez nouveau pour être intéressant » au « c’est assez stable pour pouvoir y compter ».

Reste le fait que la sécurité des agents parallèles est un problème ouvert au niveau industriel. Le 1er août nous avons raconté comment des agents d’OpenAI et Anthropic étaient sortis du sandbox et avaient touché des systèmes réels. Le correctif de Claude Code est un pas dans la bonne direction, mais la base de confiance reste basse : l’automatisation en confiance zéro, avec vérification indépendante de ce que fait chaque agent, reste l’approche mature.