La release v2.1.225 di Claude Code, uscita l’8 agosto, aggiunge due controlli operativi: il gateway spend-limit che nomina il tetto di spesa, l’orario di reset e il messaggio dell’operatore quando il limite scatta, e il workspace trust prompt per claude agents su directory non trusted, che allinea il comportamento dei subagenti a quello del comando principale. La v2.1.226, pubblicata poche ore dopo, porta solo bug fix e miglioramenti di affidabilità.

Se usi Claude Code con agenti che girano in parallelo o su repository esterni, questi due controlli chiudono due problemi concreti. Lo spend-limit ti dice quando stai bruciando budget e quando si sblocca, senza dover controllare a mano. Il trust prompt sui workspace ti ferma prima che un agente entri in una directory che non hai approvato, riducendo il rischio che esegua codice o legga file da una fonte non verificata.

Come raccontavamo il 5 agosto, Claude Code sta attraversando una fase di release settimanali che spostano il focus dalle funzioni nuove alla governance: isolamento delle sessioni, permessi granulari, masking delle credenziali. Lo spend-limit e il workspace trust portano il tool più vicino a un uso produttivo dove costo e sicurezza non si gestiscono a memoria.

Nel dettaglio

Il gateway spend-limit non è una funzione che si attivi da sola nel terminale. Vive nell’AI Gateway, il componente che fa da intermediario fra Claude Code e l’API di Anthropic. Quando configuri un tetto di spesa sul gateway, prima di questa release il messaggio che ricevevi era generico: l’agente si fermava e ti diceva che aveva raggiunto un limite. Da v2.1.225, il messaggio include tre informazioni precise: il tetto numerico, l’orario di reset, e il messaggio personalizzato dell’operatore (chi amministra il gateway può scrivere, per esempio, «Budget del progetto esaurito, riprova domani alle 9»). Il requisito è che anche il gateway sia aggiornato alla 2.1.225: se sei su una versione precedente, il vecchio messaggio generico continua a comparire.

Il workspace trust prompt chiude un buco di coerenza. Il comando claude (la sessione principale) chiedeva già conferma prima di lavorare in una directory non trusted. Ma claude agents, il sottocomando che lancia i subagenti, non lo faceva: un agente delegato poteva entrare in una directory esterna e iniziare a leggere o modificare file senza che tu avessi mai approvato esplicitamente quel percorso. Ora il comportamento è allineato: se la directory non è nella lista dei workspace trusted, l’agente ti ferma e chiede conferma.

Il resto della release è denso di fix che raccontano la maturità del tool. Il bug del token 401 transitorio si manifestava quando un token OAuth long-lived veniva sostituito da uno short-lived memorizzato nel login: le sessioni headless (quelle che girano senza interfaccia, in CI o in script) si rompevano fino al riavvio. Il fix sui MCP OAuth server su macOS risolve un problema simile ma legato al keychain: quando la lettura del portachiavi andava in timeout, i server MCP ricevevano una raffica di 401 come se non fossero mai stati autenticati.

C’è anche un fix di logica: in auto mode, un rifiuto del safety filter sul permission check dell’agente stesso veniva contato verso il limite di blocchi consecutivi. L’azione restava negata, ma il modello riceveva un segnale ambiguo e tendeva a riprovare la stessa azione. Ora il sistema dice al modello di andare avanti, non di insistere.

Le Remote Control session (il controllo di Claude Code da un’altra macchina, per esempio dal telefono) ricevono diversi miglioramenti: le foto allegate dall’app Claude vengono mostrate direttamente al modello invece di essere lette da disco con una tool call separata, e SendMessage può avviare una conversazione con una sessione remota per nome invece di limitarsi a rispondere.

La v2.1.226, uscita poche ore dopo la 225, è una release di solo bug fix e reliability. Nessuna nuova funzione.

Cosa resta aperto. Lo spend-limit richiede il gateway aggiornato: se la tua infrastruttura non lo usa, la funzione è invisibile. Il workspace trust prompt protegge dall’ingresso in directory non approvate, ma non sostituisce la verifica su cosa c’è dentro: un workspace che hai approvato una volta resta trusted anche se i contenuti cambiano. Per chi porta agenti in produzione, il corso su costi, latenza e sicurezza resta il riferimento per capire dove questi controlli si inseriscono nel quadro più largo.