Claude Code 2.1.287 : Claude Mods ouvre les plugins, le shell se verrouille encore

La 2.1.287 de Claude Code, sortie le 1er octobre 2026, tranche avec les versions précédentes de ce digest sur un point : la nouveauté la plus visible n'est pas un correctif de permissions, mais une vraie extension de ce qu'un plugin peut faire. Plus de cent entrées au total, l'essentiel en fiabilité et en interface, mais quatre choses méritent une lecture attentive. D'abord, Claude Mods ouvre un nouvel axe d'extensibilité : les plugins peuvent désormais modifier Claude Code de l'intérieur, pas seulement lui ajouter des outils. Ensuite, trois correctifs distincts referment des trous ouverts par des écritures shell qui contournaient les gardes-fous habituels. Un changement de protocole MCP peut aussi couper des serveurs existants. Enfin, le contexte à un million de tokens devient la norme par défaut sur des fournisseurs qui ne l'avaient pas encore. Le reste est résumé en vrac plus bas.

Claude Mods : les plugins passent de l'extérieur à l'intérieur

Jusqu'ici, un plugin donnait à Claude des outils, des skills ou des sous-agents : il parlait à Claude Code depuis l'extérieur. La doc sur les mods décrit ce que change la 2.1.287 : « A mod runs inside Claude Code, so it can do things [settings hooks, skills, status lines and MCP servers] can't », comme dessiner un panneau dans l'interface, intercepter un appel d'outil pour le modifier ou l'annuler, ou ajouter une commande qui tourne même pendant que Claude travaille. Un mod reste du code JavaScript ou TypeScript qui s'exécute avec tes propres droits : la même doc est directe sur ce point, « It can read and write your files, start processes, and make network requests ». Un mod n'est pas sandboxé : un processus qu'il lance tourne en dehors du sandboxing appliqué aux commandes Bash de Claude.

Le nouveau mod intégré de cette version s'appelle cc-plugin-you-should-know : un second agent surveille une tâche longue en arrière-plan et affiche une note au-dessus du prompt quand il repère quelque chose que toi ou Claude pourriez manquer. Il reste désactivé par défaut, à activer avec /plugin enable cc-plugin-you-should-know@builtin, et le changelog le réserve aux sessions first-party avec la télémétrie active. Si tu gères des plugins pour une équipe, vérifie allowManagedModsOnly avant que quelqu'un n'installe un mod tiers : la doc rappelle qu'un mod peut approuver un appel d'outil pour lequel une règle ask t'aurait normalement demandé confirmation.

Trois écritures shell qui contournaient les gardes-fous

Le changelog de la 2.1.287 referme trois trous distincts, tous construits sur le même défaut : un garde-fou qui existait déjà, mais qu'une forme particulière de commande shell parvenait à contourner.

Le premier concerne la suppression de fichiers. La doc sur les chemins critiques explique le principe : « Claude Code never lets a permissions.allow rule or a PreToolUse hook that returns "allow" approve an rm or rmdir command that targets a critical path », comme la racine du système ou ton répertoire personnel. Le changelog précise ce qui avait échappé à ce filet : une commande rm dangereuse perdait cette protection toujours active quand elle redirigeait aussi sa sortie vers un chemin commençant par ~ ou contenant un joker. Une simple redirection suffisait à désactiver un garde-fou pensé comme absolu.

Le second touche les écritures qui passent par un lien symbolique. La doc sur les permissions décrit le mécanisme normal : quand un répertoire sur le chemin d'une écriture est un lien symbolique, ou que c'est une commande Bash qui écrit, et que le fichier réel sort du répertoire de travail ou tombe sur un chemin protégé, Claude Code nomme l'emplacement réel où l'écriture va atterrir et attend ton feu vert plutôt que de laisser le classifieur du mode auto décider seul. La 2.1.287 étend cette règle aux écritures shell qui passent par un lien symbolique versé dans le dépôt et dont la cible est écrite avec un ~, un cas que la version précédente laissait passer.

Le troisième touche les règles Bash elles-mêmes. Une règle d'autorisation couvrant tout l'outil Bash, ou un hook qui autorise sans distinction, pouvait laisser une commande shell écrire dans des fichiers que les outils Edit et Write de Claude refusent catégoriquement, comme le fichier d'identifiants de la machine. Désormais, ce type d'écriture déclenche une demande de confirmation au lieu de s'exécuter directement. Les trois correctifs suivent le même fil : le garde-fou existait déjà, une forme précise de commande shell lui échappait.

Un changement de protocole MCP peut couper des serveurs existants

Claude Code ajoute la prise en charge des invites par URL venues d'un serveur MCP, par exemple pour une connexion, sur le protocole MCP révisé le 25 novembre 2025. C'est la seule entrée de cette version qui mérite une vigilance immédiate plutôt qu'une lecture informative : si un serveur MCP que tu utilises arrête de se connecter après cette mise à jour, le changelog donne la parade directement, ajouter "bareElicitationCapability": true dans l'entrée de configuration de ce serveur. La documentation officielle sur MCP ne mentionne pas encore ce réglage au moment de ce digest : le changelog reste la seule source.

Le contexte à 1M devient la norme hors API Anthropic aussi

Opus 4.7 et les modèles suivants, ainsi que Fable, tournent désormais avec une fenêtre de contexte à un million de tokens par défaut sur Bedrock, Vertex AI, Foundry et la gateway Claude apps, sans qu'il faille ajouter de suffixe [1m]. La doc sur la configuration des modèles confirme que ce fonctionnement était déjà la norme sur l'API Anthropic pour les mêmes modèles, « Fable 5.1, Fable 5, Sonnet 5 and later, and Opus 4.7 and later run with the 1M window on every plan », et que CLAUDE_CODE_DISABLE_1M_CONTEXT=1 permet de revenir à 200K si besoin. Au moment de ce digest, la même doc ne liste pas encore Bedrock, Vertex ou Foundry parmi les fournisseurs passés à 1M par défaut : la section sur l'auto-compactage les cite encore comme des fournisseurs où Opus 4.8 et suivants tournent à 200K, sauf suffixe [1m] ajouté à la main. Le changelog est donc en avance sur la doc. Si tu fais tourner Claude Code sur l'un de ces fournisseurs, vérifie ton budget : plus de contexte par défaut veut aussi dire plus de tokens facturés si tu ne le désactives pas.

Le reste, en vrac

Filtre n:<texte> dans la vue des agents : retrouve une session par son nom ou sa tâche, y compris dans les sections repliées.
prompt_text s'ajoute à l'événement OpenTelemetry user_prompt, une copie de prompt pour les backends qui transforment les clés à points en objets imbriqués. À masquer partout où tu masques déjà prompt.
Runner auto-hébergé : un gh api (REST uniquement) intégré pour les sessions qui utilisent le git géré par Anthropic, sur les machines macOS et Linux sans CLI GitHub installée.
Réponses de claude agents : elles arrivent désormais comme des messages mis en file, et les commandes slash autres que /stop envoyées pendant qu'un tour tourne s'exécutent à la fin de ce tour plutôt que d'être perdues.
Serveur MCP en alwaysLoad: false : tous ses outils passent désormais derrière la recherche d'outils plutôt que de charger leurs définitions complètes d'office.
Plafonds de permissions d'organisation : ils pouvaient être silencieusement ignorés pour un outil MCP nommé __proto__. Corrigé.
Windows : un avertissement au démarrage signale désormais que refuser l'outil Bash coupe aussi PowerShell, laissant Claude sans aucun outil shell.

Ce qu'il faut retenir

Si tu gères des plugins pour une équipe, Claude Mods mérite une lecture directe de sa documentation avant d'autoriser l'installation de mods tiers : c'est le premier mécanisme de plugin qui tourne à l'intérieur du processus plutôt qu'à côté. Si tu utilises des serveurs MCP qui gèrent une connexion par URL, vérifie qu'ils se reconnectent après cette mise à jour avant de t'inquiéter d'autre chose. Pour tout le monde, les trois correctifs sur les écritures shell suivent un fil que ce digest a déjà suivi plusieurs semaines de suite : fermer, un par un, les endroits où une commande shell passait à côté d'un garde-fou déjà en place.