Claude Code 2.1.233: Memory-Limits und NTLM-Schutz für Coding Agents

Claude Code 2.1.233 bringt zwei Änderungen, die für Teams mit Coding Agents deutlich wichtiger sind als die Versionsnummer vermuten lässt: begrenzbaren Speicher für Bash-Tool-Commands unter Linux und einen Fix gegen einen Windows-UNC-Pfad, der NTLM-Credentials preisgeben konnte.

Die Version wurde am 14. August 2026 um 22:20 UTC veröffentlicht. Für Betreiber ist das ein kleiner, aber präziser Hinweis darauf, dass ein Coding Agent nicht nur ein Modell-Client ist. Er startet Prozesse, berührt Dateipfade und läuft häufig in Umgebungen, in denen Identität, Netzwerk und Ressourcen Grenzen brauchen.

Ein Bash-Command darf nicht die ganze Session mitnehmen

Unter Linux ergänzt Claude Code die optionale Umgebungsvariable CLAUDE_CODE_TOOL_MEMORY_LIMIT. Sie aktiviert laut Release Notes cgroup-basierte Speicherlimits für Bash-Tool-Commands. Der Punkt ist operativ: Ein aus dem Ruder gelaufener Build, Testlauf oder Compiler-Prozess soll nicht mehr den verfügbaren Speicher der gesamten Agent-Session aufbrauchen.

# Beispiel: Limit bewusst zunächst in einer Staging-Session erproben
export CLAUDE_CODE_TOOL_MEMORY_LIMIT=4G
claude

Der konkrete Wert muss zur Workload passen; Anthropic nennt in den Release Notes keine universelle Empfehlung. Entscheidend ist das Muster: Tool-Subprozesse erhalten eine eigene Ressourcen-Grenze. Teams sollten Limits daher zuerst mit den speicherintensivsten Builds und Test-Suites messen, statt sie unbesehen global auszurollen.

Windows: UNC-Validierung schließt einen Credential-Pfad

Auf Windows behebt die Version einen Validierungsfehler für Pfade mit dem NT-Device-Präfix \??\. Solche Schreibweisen konnten laut Anthropic die UNC-Pfadprüfung umgehen und damit einen Vektor für das Leaken von NTLM-Credentials öffnen. Das ist keine abstrakte Härtung: In Unternehmensnetzen können ausgehende Authentifizierungsversuche an unerwartete Netzwerkziele ein realer Sicherheitsvorfall sein.

Für Agenten-Workstations ist Pfadvalidierung Teil der Identitätsgrenze – nicht bloß eine UX-Prüfung.

Noch drei betriebliche Details

forward_user_identity kann im Apps Gateway signierte Nutzeridentität als Header an einen Upstream-Proxy weitergeben. Das schafft die Grundlage, Ausgaben pro Nutzer statt nur pro Gateway zuzuordnen.
Ein MCP-v2-Fix beendet endlose Reconnect-Schleifen, wenn Server langlebige Streams nach fester Zeit schließen – ein typischer Randfall bei serverlosen Hosts.
Der Self-hosted Runner startet schneller, weil der Session-Branch ohne Umschreiben des Working Trees angelegt wird und zwei blockierende Server-Roundtrips entfallen.

Was Teams jetzt prüfen sollten

Linux: Speicher-Obergrenzen für Agent-Tooling in Staging testen und OOM-/Build-Telemetrie beobachten.
Windows: Claude Code aktualisieren, wenn Agenten mit Repositories, Shares oder anderen potenziell externen Pfaden arbeiten.
Gateway: Vor forward_user_identity Header-Vertrauen und PII-/Logging-Regeln im Proxy prüfen.
MCP: Serverless MCP-Endpunkte auf unnötige Reconnects und Stream-Timeouts kontrollieren.

Das Release ist kein großes neues Agenten-Feature. Gerade deshalb ist es relevant: Es verschiebt Coding Agents ein Stück weiter vom persönlichen CLI-Werkzeug in Richtung betreibbarer Runtime – mit Ressourcen-Isolation, nachvollziehbarer Nutzerzuordnung und einer klareren Sicherheitsgrenze.

Quelle

Anthropic: Claude Code v2.1.233 – Release Notes (14. August 2026, 22:20 UTC)