再開した途端、指示を忘れて「既定の別人」に戻る──Claude Code v2.1.216が塞いだ、引き継ぎ時の取りこぼし

Anthropic は7月20日、Claude Code の v2.1.216 を公開しました。目玉となる新機能があるわけではありません。しかし変更点を並べると、ひとつの主題が浮かびます。「エージェントを一度手放したあと、意図した制約のまま戻ってくるか」です。再開・バックグラウンド化・worktree 隔離といった“引き継ぎ”の場面で起きていた取りこぼしを、まとめて塞いだ回になっています。

再開した途端、指示を忘れて「既定」に戻っていた

今回のリリースには、委任したエージェントが引き継ぎの前後で別物になる不具合の修正が複数含まれます。無人・並列運用でとくに効く箇所です。

• 再開で人格が戻る問題: バックグラウンドに退避したエージェントのセッションを再開すると、指定していたエージェント定義が失われ、既定のエージェントに戻っていた。プロンプトとツール制限が復元されるよう修正された。
• worktree の外へ手が伸びる: worktree で隔離したサブエージェントが、git -C や --git-dir、環境変数を使って隔離先の外の Git を操作できてしまう経路を塞いだ。
• 止められない・消せないセッション: Git リポジトリのないバックグラウンドセッションが削除できない、← や /background で退避したセッションが延々と生き続ける、といった後始末の不具合も直した。

いずれも「動かす」より「安全に手放す・畳む」側の話です。エージェントを何体も並走させ、席を外している間も走らせる使い方が普通になったからこそ、引き継ぎの境界がほころびの起点になります。

長いセッションで訪れる「数秒の沈黙」の正体

実運用でじわじわ効くのが性能修正です。会話が長くなるほどメッセージ整形の処理コストがターン数の二乗で膨らみ、応答前に数秒の停止が挟まる問題がありました。v2.1.216 はこれを解消しています。

自律エージェントに長い作業を任せるほどターンは積み上がります。一回あたり数秒でも、無人運用では待ち時間として静かに積算していました。派手さはありませんが、長時間ジョブの体感を変える修正です。

隔離を「あえて切る」スイッチが増えた意味

新設定 sandbox.filesystem.disabled は、サンドボックスのうちファイルシステムの隔離だけを外し、ネットワークの外部通信（egress）制御は残すというものです。二層あった防御を、用途に応じて片方だけ有効にできるようになりました。

ローカルのファイル制限が邪魔になる場面では便利です。ただし裏を返せば、ファイル隔離を切った状態では外部通信の制御だけが最後の壁になります。エージェントが読み書きするファイルの範囲を絞る層を自ら外す設定である以上、使いどころは限定し、egress 側の許可リストを厳格に保つ前提でなければ危うい、という指摘もできます。利便性のために防御層を一枚外すときは、何を最後の砦に残すのかを意識したい設定です。

細かな権限修正が積み上がる背景

このほか、複合コマンドとリダイレクトを含む Bash の権限チェック、Windows のネットワークパスへの読み取り、認証トークン失効後に HTTP 401 を誤ってコマンド拒否として扱う自動モードの挙動など、権限まわりの細かな修正が並びます。前後のバージョンから続く、自動モードの“検問”を穴なく効かせる作業の延長線上にあります。

単体では地味な修正の集まりですが、方向は一貫しています。エージェントに任せる範囲を広げるほど、任せた相手が意図した制約のまま動き続けるかが信頼の条件になる。v2.1.216 は新機能ではなく、その信頼を支える土台を締め直した回だと言えます。

参照: Claude Code changelog（公式） ／ Releasebot: Claude Code updates ／ Claude Code Docs: Sandboxing ／ Being Shivam: Claude Code 2.1.216 analysis