「コードを実行する道具」をまるごと外せる──Claude Code v2.1.248の`--restricted`が、他人のリポジトリと無人運用に“最小権限”を差し出した

Anthropic のコーディングエージェント Claude Code が、2026年8月27日にバージョン 2.1.248 を公開しました。今回の目玉は、エージェントから「コマンドやコードを実行する道具」を丸ごと取り上げてしまう新しい起動オプション --restricted です。信頼できないリポジトリを開くときや、人が張り付かない無人運用で、エージェントが手を出せる範囲（ブラストレーディアス）をあらかじめ絞っておくための仕組みです。

「実行できないエージェント」という選択肢

これまでの Claude Code は、権限プロンプトで「はい／いいえ」を積み重ねながら、必要に応じてコマンド実行やファイル書き換えを許してきました。--restricted（または環境変数 CLAUDE_CODE_RESTRICTED=1）は、その前提を起動時にまとめて締めます。具体的には次の挙動になります。

• コマンドやコードを実行する組み込みツールと WebFetch を除去する（--tools で明示的に名指ししたものは除く）
• ファイル操作系のツールは、作業ディレクトリの内側だけに限定する
• bypassPermissions（権限確認の全スキップ）を拒否する
• ユーザー／プロジェクト／ローカルの各設定ファイルを読み込まない

つまり、「読む・書くはこのフォルダの中だけ、外部を叩く道具は原則なし、設定で勝手にゆるめることもできない」という状態を、フラグ一つで作れます。必要な道具だけを --tools で足し戻す設計なので、既定は締めておき、例外を明示する運用に寄せられます。

なぜ「締める側の既定」が要るのか

この夏、Claude Code をはじめとするコーディングエージェントでは、サンドボックスの外へ影響が漏れる経路や、便利な拡張がそのまま侵入口になる事例が相次いで報告されてきました。エージェントに任せる作業が「コミットから PR まで」と広がるほど、うっかり実行される一行のコストは上がります。--restricted は、そうした場面で「そもそも実行できる道具を持たせない」という、いちばん確実な引き算を選べるようにしたものと言えます。

もっとも、これは万能の盾ではありません。あくまでオプトインであり、通常の起動では従来どおり権限プロンプトを重ねる運用のままです。設定ファイルを無視する性質上、普段使っている便利な許可ルールも効かなくなります。「信頼できない対象を触るとき」「無人で回すとき」に意図して被せる装備、と捉えるのが実態に合います。

同時に塞がれた“取りこぼし”

v2.1.248 には、無人運用とクラウド連携まわりの地味だが効く修正も入りました。とくに実運用で影響が出やすいのは次の3点です。

認証情報の“持ち出し”を止める

/ultrareview やローカルから起動したクラウドセッションが、コミット前の prod.env 系ファイルや *.tfvars、さらに認証ファイルのエディタ用スワップ・一時・バックアップ（key.pem.tmp や id_rsa.swo など）まで、アップロードしてしまう問題を修正しました。これらは手元に留まるようになります。

「1時間に一度」のキャッシュ取りこぼしを解消

長時間セッションで、OAuth トークンの更新後にツール定義が再描画され、およそ1時間に一度プロンプトキャッシュを取りこぼして拡張思考の文脈まで失う不具合を修正しました。無人で長く回すほど効くコスト・品質両面の改善です。

クロスセッション連携の対応面を拡大

同じマシン上のセッション同士でメッセージをやり取りする SendMessage / ListAgents が、Bedrock・Vertex・Foundry 経由や、テレメトリを無効化した環境でも使えるようになりました。企業のゲートウェイ越しに並走エージェントを束ねたい現場で、取り回しが揃います。

どう効くか

今回の更新は、派手な新モデルではなく「任せる範囲を、任せる前に決める」ための道具立てです。エージェントに実行権を渡すのが当たり前になった一方で、その既定を安全側へ倒す手段は不足していました。--restricted は、他人のコードのレビューやサンプルの検証、無人バッチといった“信頼が確定していない作業”に、最小権限の型紙を一枚差し込みます。まずは信頼できないリポジトリを開く場面で被せて挙動を確かめ、必要なツールだけ --tools で戻す、という順序が現実的でしょう。

参照: Claude Code changelog（公式） ／ Releasebot: Claude Code updates ／ anthropics/claude-code CHANGELOG