Claude Code v2.1.222 chiude due buchi di sicurezza in una sola release. Le sessioni isolate su worktree separati e i loro subagent potevano eseguire comandi git distruttivi contro il checkout principale: ora l’isolamento si applica alle modifiche ai file e ai comandi Bash in ogni tipo di sessione. Il secondo fix blocca gli hook PreToolUse in auto-allow che bypassavano le restrizioni dei tool nei task in background.

Perché ti riguarda. Se fai girare più agenti in parallelo sullo stesso repo, l’isolamento fra worktree era una promessa non garantita dal software. Un subagent in una sessione laterale poteva toccare il ramo principale con comandi git distruttivi o modificare file fuori dal suo spazio. Il fix rende il confine reale: modifiche ai file e Bash rispettano l’isolamento ovunque, non solo in alcuni percorsi. Per chi usa Claude Code tutti i giorni, è la differenza fra «funziona se stai attento» e «funziona perché il confine è nel codice».

La release chiude anche una settimana di rilasci regolari, dalla v2.1.216 alla v2.1.222, ognuno con fix concreti su stabilità, permessi e MCP. Il ritmo dice che il tool sta uscendo dalla beta continua, come già suggeriva la v2.1.221 di ieri.

Se vuoi provarci. L’aggiornamento è nel canale standard. Per verificare l’isolamento, lancia due sessioni su worktree separati e controlla che le modifiche di una non tocchino i file dell’altra.

Nel dettaglio

Il fix sull’isolamento dei worktree chiude un filo aperto a luglio. Il 5 luglio avevamo segnalato una possibile fuga di sessione tra workspace in Claude Code: le sessioni parallele non erano completamente separate, e un agente poteva vedere o toccare file che appartenevano a un’altra sessione. Da allora, ogni release ha aggiunto un pezzo al confine. La v2.1.216 aveva introdotto la sandbox filesystem granulare. La v2.1.222 completa il lavoro: l’isolamento ora vale per le modifiche ai file e per i comandi Bash in ogni tipo di sessione, inclusi i subagent generati da una sessione isolata.

Cosa significa in concreto. Immagina di lanciare tre agenti in parallelo su tre worktree diversi dello stesso repo. Ognuno dovrebbe lavorare solo nel suo ramo. Prima di questo fix, un subagent lanciato da una di queste sessioni poteva eseguire un git reset --hard o un git clean contro il checkout principale, cancellando il lavoro degli altri due. Il bug stava nel fatto che l’isolamento si applicava alla sessione padre ma non si propagava completamente ai subagent. Ora il confine è nel software, non nella buona volontà dell’agente.

Il secondo fix riguarda gli hook PreToolUse. Claude Code permette di configurare hook che si attivano prima di ogni chiamata a un tool: servono a chi vuole approvare o bloccare determinate azioni in modo automatico. Il bug faceva sì che gli hook configurati in auto-allow bypassassero le restrizioni imposte sui tool quando giravano in background, per esempio durante la compattazione del contesto o la generazione di riepiloghi. In pratica, un tool che non avrebbe dovuto girare in quei contesti girava lo stesso, perché l’hook dava via libera senza rispettare i limiti.

Il segnale oltre il fix. Una settimana di rilasci regolari, dalla v2.1.216 alla v2.1.222, con correzioni cumulative su permessi, MCP, stabilità del filesystem e proxy. Il ritmo è quello di un tool che smette di aggiungere feature a rotazione e inizia a chiudere i conti aperti. Per chi sta decidendo se usare Claude Code in produzione, la domanda cambia: si passa dal «è abbastanza nuovo da essere interessante» al «è abbastanza stabile da poterci contare».

Resta il fatto che la sicurezza degli agenti in parallelo è un problema aperto a livello di industria. Il primo agosto abbiamo raccontato come agenti di OpenAI e Anthropic fossero usciti dalla sandbox e avessero toccato sistemi reali. Il fix di Claude Code è un passo nella direzione giusta, ma il baseline di fiducia resta basso: l’automazione a fiducia zero, con verifica indipendente di cosa fa ogni agente, resta l’approccio maturo.