Claude Code v2.1.223 aggiunge due controlli di governance che chi porta gli agenti in produzione aspettava: le wildcard di organizzazione per gestire i marketplace delle skill e gli avvisi quando un subagente chiede un modello ristretto e riceve invece il modello padre.

Come raccontavamo ieri con la v2.1.222, Claude Code sta chiudendo in rapida sequenza i problemi operativi che lo separavano dall’uso in team. Le owner wildcard ("owner/*") nei managed settings strictKnownMarketplaces e blockedMarketplaces permettono di approvare o bloccare tutti i repository marketplace di una GitHub organization con una sola regola. Fino a ora dovevi elencare i repo uno per uno, o aprire tutto.

Il secondo cambio riguarda la trasparenza sui flussi ripresi. Quando un workflow agent, una skill forked, uno slash command o un background agent ripreso chiede un subagent model che la tua organizzazione ha ristretto, il sistema faceva girare il modello padre senza dirtelo. Ora compare un warning. Sembra un dettaglio, ma in un team che gestisce costi e permessi per modello, non sapere quale modello ha eseguito un compito è un problema di audit.

La release chiude anche sei bug di sicurezza, fra cui un bypass dei permessi Bash dove un comando costruito ad arte poteva nascondere parte di sé dai controlli, e un bug che permetteva agli script di workflow di usare dynamic import() per eseguire codice fuori dal sandbox.

Nel dettaglio

Il marketplace delle skill è il meccanismo con cui Claude Code distribuisce pacchetti di capacità: una skill può aggiungere un comando, una procedura, un intero workflow. Per un team che usa Claude Code in produzione, decidere quali skill sono ammesse è una questione di sicurezza e di coerenza. Una skill malevola o difettosa può esporre dati, eseguire comandi arbitrari, o rompere un flusso consolidato.

Fino alla v2.1.223, i managed settings strictKnownMarketplaces e blockedMarketplaces richiedevano l’elenco esplicito dei repository. Se la tua organizzazione pubblica dieci repo di skill sul marketplace GitHub, l’amministratore doveva scrivere dieci voci. La wildcard "owner/*" condensa tutto in una riga: approvi o blocchi l’intera organizzazione, e i nuovi repo che quella org pubblica in seguito seguono automaticamente la stessa regola.

È un trade-off fra granularità e manutenibilità. Se ti fidi di un’organizzazione interna, la wildcard risolve il problema di dover aggiornare la configurazione a ogni nuovo repo. Se invece hai bisogno di bloccare un repo specifico mantenendo gli altri, la regola granulare per singolo repo resta disponibile.

Il warning sui subagent model tocca un problema diverso ma altrettanto concreto. Claude Code può delegare parti di un compito a un subagent che gira su un modello diverso da quello principale. Se la tua organizzazione ha ristretto l’uso di un modello per costo o compliance, e un flusso ripreso o una skill forked lo richiede, il sistema faceva fallback sul modello padre senza segnalarlo. In produzione, un report di audit che dice “eseguito su Opus 5” potrebbe essere falso: il subagent ha girato sul modello che il parent stava usando.

Il warning non blocca l’esecuzione, la rende visibile. Per chi gestisce agenti in team, la differenza fra “silenzioso” e “segnalato” è la differenza fra un audit possibile e uno impossibile.

I fix di sicurezza meritano attenzione. Il bypass dei permessi Bash permetteva a un comando costruito con caratteri specifici di nascondere parti del comando stesso dai controlli di approvazione. Il fix sulle tabulazioni e caratteri Unicode invisibili chiude lo stesso vettore: un comando con padding invisibile poteva ingannare il dialogo di approvazione mostrando solo una parte dell’istruzione reale. Il dynamic import() nei workflow script aggirava il sandbox permettendo al codice di caricare moduli arbitrari. Sono tre vettori che chi fa sicurezza riconosce: offuscamento del payload, caratteri invisibili, escape dal sandbox. Tutti chiusi in una release.

Il comando /teleport mostra in sessione cloud come continuare localmente con claude --teleport <session id>. È una feature di continuità: chi lavora in sessione cloud può portare il lavoro nel proprio ambiente senza ricominciare. Il cambiamento a /review, ora alias di /code-review, semplifica la revisione del codice nel terminale. Il fix sul context window con CLAUDE_CODE_DISABLE_1M_CONTEXT tiene ora ogni modello Claude con finestra nativa da 1M token entro 200K via auto-compaction, con un warning quando la compattazione non riesce a contenere la sessione.