Claude Code 2.1.319 : le mode auto se resserre, les tâches MCP passent en fond

La 2.1.319 de Claude Code, sortie le 6 novembre 2026, tient en dix-huit ajouts, vingt-deux changements, seize améliorations et quatre-vingt-dix correctifs. Un fil rouge traverse une bonne partie de la liste : les permissions et le mode auto se resserrent sur plusieurs fronts à la fois, pendant que les appels d'outils MCP longs changent de défaut et passent en arrière-plan sans attendre. Trois correctifs de sécurité, dont une évasion du bac à sable, complètent le tableau. Le reste tient en deux paragraphes.

Les appels MCP longs passent en tâche de fond par défaut

Jusqu'ici, un appel d'outil MCP encore en cours après deux minutes basculait automatiquement en tâche de fond plutôt que de bloquer la session, un mécanisme que décrit la doc MCP : « An MCP tool call in the main conversation that is still running after two minutes moves to a background task instead of blocking the session. » La 2.1.319 ajoute un second mécanisme, plus rapide : quand un serveur MCP déclare lui-même l'appel comme une tâche, via l'extension MCP tasks, Claude Code le fait basculer en arrière-plan tout de suite, sans attendre les deux minutes, et prévient Claude dès que le résultat arrive.

Concrètement, un export de rapport ou un build lancé via un serveur MCP qui gère les tâches ne gèle plus la session le temps que ça tourne. Pour revenir à l'ancien comportement et attendre le résultat dans l'appel d'outil, la variable CLAUDE_CODE_DISABLE_MCP_TASK_BACKGROUND fait l'affaire : réglée à 1, elle désactive ce passage immédiat tout en laissant actif le basculement après deux minutes. Les tâches MCP fonctionnent aussi désormais sans récupération des feature flags (Bedrock, Vertex, Foundry, passerelles LLM, DISABLE_TELEMETRY) ; pour les couper entièrement, CLAUDE_CODE_DISABLE_MCP_TASKS=1.

Le mode auto refuse au lieu de se rabattre sur le classificateur intégré

Le mode auto fait passer chaque action par un classificateur côté serveur qui bloque ce qui est irréversible, destructeur ou dirigé hors de ton environnement, en plus des règles de refus et de confirmation explicites qui s'appliquent avant lui. Ce classificateur a besoin de contacter le serveur. Jusqu'ici, quand la télémétrie ou les feature flags étaient coupés, ou derrière une passerelle LLM qui ne relaie pas cette vérification, Claude Code se rabattait sur un classificateur intégré pour continuer à fonctionner sans prompts.

La 2.1.319 retire ce filet de secours : une action que le serveur ne peut pas vérifier est désormais demandée ou refusée, sans repli sur le classificateur intégré. Bedrock, Vertex et Foundry ne sont pas concernés. Si tu fais tourner le mode auto avec la télémétrie coupée, attends-toi à plus de prompts qu'avant sur ce type de session, pas moins. Pour garder l'ancien comportement, CLAUDE_CODE_AUTO_MODE_SERVER=0. Derrière une passerelle LLM, c'est l'inverse qui se règle avec la même variable : CLAUDE_CODE_AUTO_MODE_SERVER=1 active la vérification côté serveur même quand CLAUDE_CODE_DISABLE_EXPERIMENTAL_BETAS est posé, et les réglages gérés qui posent ce dernier doivent désormais poser l'autre avec. Un changement plus étroit ferme une autre porte : un fichier de réglages de projet ou un plugin ne peut plus réactiver la vérification côté serveur une fois que tu l'as coupée en dehors du projet.

Permissions resserrées, et trois failles bouchées

Plusieurs changements referment des angles morts du système de permissions. La doc des permissions rappelle que les commandes Bash demandent toujours une confirmation, « except a built-in set of read-only commands ». La 2.1.319 retire which suivi d'options autres que celles de recherche ou d'affichage de cet ensemble : la commande redemande désormais une confirmation. Autre resserrement, plus structurel : quand une règle de confirmation exacte de la session pour une commande Bash ou PowerShell coexiste avec une règle de refus plus large qui couvre aussi cette commande, c'est désormais le refus qui l'emporte, sans passer par la confirmation. Et la surveillance WebSocket de l'outil Monitor suit maintenant la même règle que n'importe quelle commande Bash : un refus la bloque, et sous une règle de confirmation, ni une autorisation sur Monitor, ni le mode bypass, ni le mode auto ne suffisent plus à sauter la confirmation. Enfin, les répertoires ajoutés avec --add-dir n'enregistrent leurs places de marché de plugins qu'une fois la boîte de dialogue de confiance de ce répertoire acceptée, au lieu de les charger d'emblée.

À côté de ces changements de comportement, trois correctifs patchent des failles réelles. Le bac à sable Bash applique normalement sa frontière « regardless of what the model chose to run » ; la 2.1.319 corrige une évasion de ce bac à sable qui survenait précisément à la création d'un worktree. Un deuxième correctif bouche un contournement des permissions Bash où un préfixe d'environnement conçu pour l'occasion pouvait cacher une partie de la commande aux vérifications de permission. Un troisième empêche une commande sed de passer au travers des vérifications en mode d'édition acceptée ou en mode auto. Les trois sont corrigés dans cette version, sans action de configuration requise : mettre à jour suffit.

Le reste

Côté boucles, un changement touche quiconque utilise /loop sans intervalle fixe. Jusqu'ici, une itération qui ne reprogrammait pas de réveil déclenchait un réveil de repli, comme le décrit encore la doc du planificateur : « If an iteration ends without either rescheduling or stopping, Claude Code schedules one fallback wakeup about 20 minutes later and ends the loop when that iteration doesn't reschedule either. » La 2.1.319 supprime ce repli : la boucle s'arrête dès qu'un tour se termine sans reprogrammation. Pour garder l'ancien comportement, CLAUDE_CODE_LOOP_KEEPALIVE=1.

Deux ajouts utiles méritent une ligne. /tasks gagne une ligne « Earlier in this session » qui liste les sous-agents terminés, pour en rouvrir un et lui écrire même après qu'il a quitté la liste ou que tu as redémarré la session. Et le nouveau réglage permissions.denyInsteadOfPrompting fait qu'un appel d'outil qui aurait attendu une confirmation est refusé d'office et le tour continue, en session terminal comme pour les sous-agents et coéquipiers, utile pour une session qui doit avancer sans personne devant l'écran. Le reste, passerelle Claude apps pour les entreprises, exécuteur auto-hébergé, VS Code, Claude Tag, relève surtout de l'administration ou de cas plus étroits.