Claude Code 2.1.281 : ctrl+entrée change de sens, l'auto mode surveille plus

La 2.1.281 de Claude Code, sortie le 23 septembre 2026, est une version fleuve : plus de cent correctifs et améliorations d'un coup. La plupart concernent la reprise de session, les proxys et l'interface, et ne demandent rien de ta part. Trois changements sortent du lot parce qu'ils touchent des réflexes ou des garde-fous que tu utilises sans y penser : le raccourci qui envoyait tes tours en cours à la poubelle change de comportement, le mode auto élargit ce qu'il fait vérifier par le serveur, et deux bugs de sécurité bien réels sur rm et les règles de permission sont corrigés.

Ctrl+entrée n'annule plus, il met en tâche de fond

Jusqu'ici, taper ctrl+entrée (ou ctrl+x ctrl+s) pendant que des outils tournaient encore annulait le tour en cours pour envoyer ton nouveau message tout de suite. Depuis la 2.1.281, ce même raccourci met les outils en cours d'exécution en tâche de fond au lieu de les annuler : le travail continue de son côté, et ton message part quand même.

C'est un changement de sens, pas une simple amélioration. Si tu avais pris l'habitude de ctrl+entrée comme un bouton stop rapide pendant qu'un outil tournait, ce réflexe ne fait plus la même chose : la commande en cours ne s'arrête plus, elle continue en arrière-plan pendant que tu passes à autre chose. Pour interrompre réellement un tour, la touche reste Échap, documentée dans le guide du mode interactif comme le moyen de stopper Claude immédiatement. Si tu comptais sur ctrl+entrée pour couper court à une commande qui partait dans le mauvais sens, vérifie que tu utilises bien Échap désormais.

Le mode auto fait vérifier les commandes en lecture seule aussi

Le mode auto délègue la validation des actions à un classificateur plutôt qu'à toi. Jusqu'ici, la doc était claire sur ce qui échappait à cette vérification : « Read-only actions and file edits in your working directory are auto-approved, except writes to protected paths ». Les lectures passaient donc sans attendre le classificateur, et, d'après le changelog, les commandes sandboxées aussi, une façon de garder le mode auto rapide sur ce qui présentait le moins de risque.

La 2.1.281 change cette règle, mais seulement là où la revue du classificateur tourne côté serveur : sur les plans Enterprise, l'API Claude directe, Claude Platform on AWS, Bedrock, Vertex, Foundry et derrière certaines passerelles. Sur ces comptes, les commandes en lecture seule et les commandes sandboxées attendent désormais elles aussi cette revue, et sont bloquées si le classificateur les signale. En pratique, ça veut dire un peu plus de latence sur des actions qui filaient sans y penser, en échange d'une surface de vérification plus large : une commande en lecture seule ou sandboxée n'est plus approuvée d'office, et le classificateur peut la bloquer. Sur Pro, Max et Team, où la revue serveur ne s'applique pas de la même façon, ce changement ne se voit pas.

Deux bugs de sécurité refermés : rm et les règles de permission

Le premier touche un contournement précis du mode auto sur les suppressions récursives. Un rm -rf "$(pwd)", ou plus généralement une commande dont la cible de suppression ne vient que d'une substitution de commande, pouvait tourner sans confirmation en mode auto et en --dangerously-skip-permissions. La 2.1.281 force désormais une demande de confirmation dans ce cas, même si une règle allow Bash couvre la commande, sauf si tu désactives explicitement ce garde-fou avec CLAUDE_CODE_DISABLE_SUBSTITUTION_RM_PROMPT=1. Dans ces deux modes, la confirmation d'un rm dangereux n'attend plus indéfiniment : au bout de deux minutes sans réponse, la commande est refusée avec une suggestion de réécriture, pour que les sessions sans surveillance continuent (CLAUDE_CODE_DISABLE_DANGEROUS_RM_TIMEOUT=1 désactive ce délai). Côté détection, le contrôle qui repère les suppressions dangereuses est aussi élargi : il couvre désormais une suppression ciblant une variable shell suivie d'un nom de dossier racine, une variable dérivée du dossier de travail courant, ou une cible qui ne contient qu'un antislash.

Le second bug touchait la mécanique même des règles de permission. Une règle contenant un octet NUL était étendue en correspondance joker. Le guide des permissions décrit une syntaxe de règle précise, pensée pour matcher un motif donné : ce bug faisait couvrir à la règle bien plus que prévu dès qu'un octet NUL s'y glissait, que ce soit par accident ou par une entrée délibérément construite. Désormais, une telle règle ne matche plus rien.

Dans le même registre, un bug d'interface : dans /permissions, la touche 1 répondait « oui » aux confirmations de suppression et de retrait de dossier même quand le curseur était sur « non », si bien qu'un 1 maintenu enfoncé pouvait retirer un dossier de travail après l'autre sans confirmation réelle. La touche 1 ne répond plus « oui » dans ce cas.

Le reste, en vrac

• "attribution": false dans settings.json masque toute l'attribution des commits et des pull requests en une seule clé, décrite dans la référence des réglages. Les versions plus anciennes de Claude Code ignorent tout fichier de réglages qui porte cette clé : garde la forme objet (attribution.commit, attribution.pr) si tu partages tes réglages entre plusieurs versions.
• Les runners self-hosted reçoivent désormais leur prompt système via un fichier privé plutôt qu'en argument de ligne de commande, ce qui évite l'échec au lancement sur les très longs prompts. Conséquence directe : un wrapper ou un hook command qui ajoutait --system-prompt ou --append-system-prompt doit passer à --system-prompt-file ou --append-system-prompt-file.
• Sandbox sur macOS : quand un serveur de dev local ne peut pas ouvrir de port, Claude oriente maintenant directement vers le réglage sandbox.network.allowLocalBinding.
• CLAUDE_CODE_AUTO_MODE_SERVER s'applique désormais aussi sur une connexion directe à l'API Anthropic, avec 0 pour désactiver le classificateur côté serveur et 1 pour l'activer.
• De très nombreux correctifs de reprise de session : cache de prompt cassé après une reprise pendant une demande de permission en attente, très grosses sessions qui ne restauraient que leurs derniers messages, session terminée en plein appel d'outil dont Claude voit désormais l'appel, avec un résultat signalé comme inconnu. Rien qui change une habitude, mais un vrai gain de fiabilité si tu reprends souvent de longues sessions.

Ce qu'il faut retenir

Le changement le plus susceptible de te surprendre est le premier : si ctrl+entrée faisait partie de tes réflexes pour couper court à une commande, il ne le fait plus, et c'est Échap qu'il te faut désormais. Le mode auto plus attentif sur les commandes en lecture seule ne concerne que les comptes où la revue tourne côté serveur, avec un peu de latence en échange d'une surface de contrôle plus large. Les deux correctifs de sécurité sur rm et les règles de permission valent d'être lus même s'ils ne changent rien à ton usage quotidien : ce sont exactement le genre de trous qu'on ne remarque qu'après coup.