Claude Code 2.1.224 : les sessions se parlent entre elles, un bypass de sandbox colmaté

La version 2.1.224 de Claude Code est sortie le 7 août. Un vrai contournement du bac à sable est colmaté, tes sessions peuvent désormais se parler entre elles d’une machine à l’autre, et le partage de transcript pour le feedback embarque plus de données qu’avant. Voici ce qui compte.

Sécurité : une règle de sandbox silencieusement contournable, corrigée

Si tu utilises denyRead ou denyWrite avec un chemin terminé par un slash (par exemple denyRead: "~/.aws/"), cette règle pouvait être silencieusement contournée sur Linux et macOS. Le bac à sable croyait bloquer l’accès, il ne le faisait pas toujours. Si tu comptes sur ces règles pour protéger des identifiants ou des clés, vérifie que tu es bien passé en 2.1.224.

Deux autres changements liés, plus discrets mais utiles :

• Quand une commande Bash déclenche une violation du bac à sable, Claude voit maintenant quel fichier ou accès réseau a été refusé et pourquoi, au lieu de ne rien voir du tout. Ça change concrètement le débogage d’un sandbox trop strict : avant, tu devais deviner.
• Le masquage d’identifiants dans le bac à sable gagne des options pour les valeurs structurées (extract, onExtractNoMatch), le décodage conscient des JWT (decode: "jwt" avec maskClaims), et la re-signature AWS SigV4 (awsPairs/sigv4). Ça demande network.tlsTerminate, et ce n’est honoré que depuis les settings utilisateur, managés, ou passés en --settings.

Les sessions Claude Code peuvent maintenant se parler entre elles

Nouveauté notable : SendMessage permet à des sessions Claude Code de s’envoyer des messages, y compris entre machines différentes (macOS et Linux), et ListAgents sert à découvrir quelles sessions sont disponibles. Si tu fais tourner plusieurs sessions en parallèle sur des tâches liées, c’est le genre de brique qui change la façon dont tu les coordonnes.

Deux garde-fous accompagnent la fonctionnalité :

• crossSessionInbound et dialogExpiry : un message envoyé vers une session qui tourne en permissions bypassées est retenu en attente de ton approbation, plutôt que livré direct. Les messages vers les autres sessions restent livrés automatiquement.
• SendMessage annonçait parfois “Message sent” alors que l’écriture dans la boîte de réception du destinataire avait échoué. C’est corrigé : un échec de livraison remonte maintenant comme une erreur.

Autre ajout dans la même veine, pour les plans Team et Enterprise : claude self-hosted-runner transforme tes propres machines ou containers en environnement d’exécution pour les sessions Claude Code web, mobile et desktop.

Ce qui change ton quotidien

• Partage de transcript pour le feedback : avec ton consentement, il embarque désormais aussi les réglages du dernier modèle utilisé, le system prompt (qui inclut tes instructions CLAUDE.md), les définitions d’outils et les paramètres du modèle. Les secrets restent masqués comme avant, et ces champs sont les premiers retirés si le partage est trop volumineux. Si tu partages un transcript sur un projet sensible, sache que ça embarque plus que le texte de la conversation.
• Plafond de 200 subagents par session : supprimé. Une session longue durée ne refuse plus de nouveaux agents pour cette raison (les limites de concurrence et de profondeur s’appliquent toujours).
• Description de l’outil Bash : elle précise maintenant systématiquement que la sortie d’une commande est affichée au modèle, pas forcément de façon fiable à l’utilisateur.
• Managed settings : le prompt d’approbation ne réapparaît plus après une reconnexion ou un changement d’organisation si les réglages de l’org n’ont pas changé.
• Installation de plugins : nouvelle source archive, qui installe un plugin depuis un zip servi en HTTPS, sans avoir besoin de git ni de npm, avec un pinning SHA-256 optionnel.
• Bedrock : la variable ANTHROPIC_BEDROCK_REGION_PREFIX permet de préférer un profil d’inférence cross-région spécifique plutôt que celui dérivé automatiquement de AWS_REGION.

Le reste, en vrac utile

• Chemins de projet longs (plus de 200 caractères) qui pouvaient résoudre vers le répertoire de session d’un autre projet à cause d’un préfixe partagé tronqué : corrigé. La liste des sessions, le renommage, le fork, la suppression et /resume ne traversent plus les projets.
• Enregistrements d’installation de plugin silencieusement corrompus quand le même plugin était installé dans plusieurs projets : corrigé.
• Contenu de paste rappelé ou restauré qui pouvait parfois attacher la mauvaise donnée ou perdre du texte silencieusement : corrigé.
• Copier-coller à la sélection sous Wayland qui n’atteignait pas toujours le presse-papiers à cause d’une course entre deux écritures : corrigé.
• Mode plein écran : conserve maintenant tout l’historique pré-compaction dans le scrollback à travers des compactions répétées, plutôt que seulement le dernier intervalle.
• Remote Control : plusieurs correctifs (démarrage à froid qui échouait parfois, message “(no content)” après /clear, upload involontaire de l’historique local lors de la recréation d’une session, indicateur de déconnexion persistant au lieu d’un toast de 8 secondes, visibilité de la progression de compaction pour les clients connectés).
• VS Code : l’extension affichait Remote Control comme connecté même après un échec de connexion, corrigé ; remoteControlAtStartup explicitement activé est maintenant respecté au resume.

Faut-il mettre à jour

Oui, en particulier si tu utilises denyRead/denyWrite avec des chemins en slash final pour protéger des données sensibles : c’était une fausse impression de sécurité. Si tu partages tes transcripts en feedback, vérifie aussi ce que ça embarque maintenant avant de valider le partage sur un projet confidentiel.

Source : changelog officiel Claude Code.