Claude Code 2.1.223 schließt Permission-Bypässe und Sandbox-Lücken

Anthropic hat Claude Code 2.1.223 veröffentlicht und damit mehrere Lücken rund um Berechtigungsprüfungen und die Workflow-Sandbox geschlossen. Für Teams, die den Coding-Agenten mit Shell-Zugriff oder zentralen Richtlinien betreiben, ist das kein kosmetisches Update: Die korrigierten Fälle betreffen genau die Grenze zwischen einer sichtbar bestätigten Aktion und tatsächlich ausgeführtem Code.

Das Release erschien am 6. August 2026 um 00:52:37 UTC (02:52 Uhr CEST). Die Details nennt Anthropic im offiziellen GitHub-Release zu Claude Code 2.1.223.

Was geschlossen wurde

• Bash-Permission-Bypass: Manipulierte Kommandos konnten Syntaxbestandteile vor der Berechtigungsprüfung verbergen.
• Irreführende Freigabe-Dialoge: Tabs und unsichtbare Unicode-Zeichen können nicht mehr Teile eines Kommandos aus dem Bestätigungsdialog verstecken.
• Sandbox-Escape in Workflows: Dynamische import()-Aufrufe können Workflow-Skripte nicht mehr nutzen, um Code außerhalb der vorgesehenen Sandbox auszuführen.
• Governance-Fix: Die organisationsweite Abschaltung von bypassPermissions wird nun auch in Agent-Definitionen respektiert.

Warum das operativ zählt

Bei Coding-Agenten ist ein Permission Prompt nur dann eine Sicherheitskontrolle, wenn er den ausgeführten Befehl verlässlich repräsentiert. Zeichen, die für Menschen im Dialog unsichtbar oder missverständlich sind, und Syntax, die von einer Prüfung anders interpretiert wird als von der Shell, unterlaufen dieses Modell. Der Fix ist deshalb vor allem für Umgebungen relevant, in denen Claude Code nicht nur lokal experimentiert, sondern Repositories, CI-nahe Workflows oder verwaltete Entwicklerrechner erreicht.

Die relevante Frage lautet nicht, ob ein Agent „Bestätigung“ anzeigt, sondern ob die bestätigte Darstellung und die Ausführungssemantik dieselbe Aktion meinen.

Zusätzlich: Policies für ganze GitHub-Organisationen

Das Release erweitert Marketplace-Policies um owner/*. Damit lassen sich komplette GitHub-Organisationen erlauben oder blockieren, statt einzelne Repositories einzeln zu pflegen. Das ist eine kleine, aber nützliche Vereinfachung für zentral verwaltete Plugin- und Marketplace-Setups.

Was Teams jetzt tun sollten

1. Claude Code auf 2.1.223 aktualisieren.
2. Bestehende Workflow-Skripte prüfen, insbesondere dynamische Imports und Annahmen über die Sandbox.
3. Die zentrale Policy für bypassPermissions sowie Marketplace-Allow-/Blocklists gegen die tatsächliche Organisationsstruktur abgleichen.
4. Bei sensiblen Repositories weiterhin minimale Rechte, isolierte Ausführungsumgebungen und nachvollziehbare Audit-Logs als zweite Schutzlinie nutzen.

Einordnung: Dies ist kein neues Modell und keine neue Agentenfunktion. Gerade deshalb ist es die Art Release, die in professionellen AI-Toolchains leicht übersehen wird: Es verbessert die Vertrauensgrenze zwischen Prompt, Freigabe-UI und Codeausführung. Für produktive Claude-Code-Installationen ist ein zeitnahes Update vernünftige Betriebshygiene.

Quelle: Anthropic – Claude Code v2.1.223 (offizielles Release), veröffentlicht 6. August 2026, 00:52:37 UTC.