Anthropic rilascia Claude Code v2.1.211, parte della serie di release veloci che sta portando lo strumento verso l’uso quotidiano. La novità principale è il flag --forward-subagent-text (e la variabile d’ambiente CLAUDE_CODE_FORWARD_SUBAGENT_TEXT) che include il testo e il thinking dei subagent nell’output stream-json, rendendo osservabile quello che succede nei task delegati.

La correzione di sicurezza: le anteprime dei permessi inoltrate ai canali di chat ora neutralizzano i caratteri bidirezionali, a larghezza zero e le virgolette “lookalike”. Senza questa correzione, un input malevolo poteva alterare visivamente il messaggio di approvazione, mostrando una richiesta apparentemente innocua mentre l’operazione reale era un’altra. Un caso concreto di prompt injection a livello di interfaccia.

Perché ti riguarda: se usi Claude Code in background o con approvazioni delegate, questa release chiude un vettore di attacco che poteva tradirti senza che te ne accorgessi. Il fix sugli hook PreToolUse ripristina il controllo: quando un hook dice ask, quella decisione ora blocca davvero l’auto mode anche su Bash non sandboxato. Prima, l’auto mode poteva scavalcare il tuo vincolo.

Insieme alle release precedenti (v2.1.208, v2.1.209, v2.1.210), il quadro è chiaro: Anthropic sta consolidando l’architettura per l’uso in produzione, con correzioni di sicurezza e osservabilità invece di nuove feature.

Nel dettaglio

Il contesto: quattro release in tre giorni.

Dal 12 al 15 luglio, Anthropic ha spedito quattro versioni consecutive di Claude Code (v2.1.208 → 212), ognuna con fix su stabilità, accessibilità e sicurezza. La v2.1.211 chiude due buchi che potevano tradire chi usa lo strumento in configurazioni complesse.

Il fix di sicurezza sui caratteri “lookalike”.

L’anteprima dei permessi (il messaggio che ti chiede di approvare un’operazione prima che parta) veniva inoltrata ai canali di chat senza neutralizzare caratteri Unicode pericolosi. I caratteri bidirezionali (U+202E e simili) possono invertire visivamente una stringa, mostrando “leggi il file config.json” mentre il comando reale è “elimina la directory”. Le virgolette lookalike (come U+201C invece di U+0022) possono far sembrare un’istruzione un semplice testo citato.

Questo non è un bug teorico: chi costruisce sistemi multi-agente con approvazioni umane in un canale Slack o simili si trova esposto a un attacco visivo dove l’operatore legge una cosa e approva un’altra. La correzione neutralizza questi caratteri prima di costruire il messaggio di approvazione.

L’auto mode che scavalcava gli hook.

I PreToolUse hook permettono di bloccare o chiedere conferma prima che un tool venga chiamato. Un hook che tornava ask doveva sempre fermare l’esecuzione e chiedere conferma, anche in auto mode. Invece, l’auto mode scavalcava questa decisione su comandi Bash non sandboxati, eseguendoli comunque. La v2.1.211 corregge: ora un hook ask è un pavimento, non un suggerimento.

Subagent text forwarding: osservabilità sui task delegati.

La nuova flag --forward-subagent-text fa sì che l’output strutturato (stream-json) includa il testo e il thinking dei subagent. Senza questa flag, il task delegato è una scatola nera: vedi solo che è partito e che è finito. Con la flag attiva, puoi seguire il ragionamento interno dei subagent in tempo reale, utile per debugging e audit trail.

Questa funzionalità si collega alla nuova architettura di delega introdotta in v2.1.212, dove /fork lancia sessioni background indipendenti e /subtask gestisce i subagent in-sessione. L’osservabilità diventa critica quando hai più livelli di delega.

Altri fix nella release.

• Le sessioni parallele che condividono un credential store non si sloggano più tutte insieme dopo un wake-from-sleep.
• I server MCP dei plugin si riconnettono dopo che una sessione web idle si riattiva.
• Le sessioni su Vertex e Bedrock non tentano più di chiamare Opus al startup quando hai configurato esplicitamente un altro modello.
• I subagent con override di modello non tornano più al modello del parent quando ripresi.
• Fix su upload file (nomi con suffissi DOS come .prn, file con hard link), sui background job con auth LLM gateway, e sulla gestione degli agent job quando git non riconosce più il worktree.

Implicazioni pratiche.

Se usi Claude Code in produzione o in configurazioni team:

1. Aggiorna subito per il fix di sicurezza sulle preview.
2. Verifica i tuoi hook PreToolUse: ora rispettano davvero la decisione ask.
3. Abilita --forward-subagent-text se hai bisogno di audit trail completo sui task delegati (attenzione: aumenta il volume di log).
4. Se gestisci sessioni background, la serie di fix sulla riconnessione e sulla persistenza dovrebbe eliminare gli agent job “fantasma” che non si cancellano.

La velocità di queste release (quattro in tre giorni) è un segnale: Anthropic sta consolidando lo strumento per l’uso quotidiano, con attenzione su sicurezza e robustezza invece che su nuove feature appariscenti. È la fase in cui un tool passa da “impressionante in demo” a “ci puoi contare”.