Zwei Releases des TypeScript-SDKs in zwei Nächten, und beide drehen an derselben Schraube. In claude-agent-sdk 0.3.316 vom 31. Oktober kommt permissions.blockReadsExemptPaths in den Settings-Typ: eine Liste von Pfaden, die blockReadsOutsideWorkingDirectories durchlässt, ohne dass sie dadurch zu Arbeitsverzeichnissen werden.
Warum der Unterschied wichtig ist
Bisher gab es für einen Pfad außerhalb der Arbeitsverzeichnisse nur zwei Zustände: gesperrt oder zum Arbeitsverzeichnis erklärt. Letzteres zieht aber einen Rattenschwanz nach sich – Schreibrechte, geladene CLAUDE.md, Speicherverzeichnisse, Indexierung. Wer nur eine gemeinsame Konfigurationsdatei lesbar machen wollte, hat sich damit die halbe Sandbox aufgemacht.
blockReadsExemptPaths trennt das. Die genannten Pfade dürfen gelesen werden, und sonst nichts.
Wer die Liste setzen darf
Das ist die zweite Hälfte der Meldung: Die Ausnahmen werden nur aus --settings und aus den Einstellungen gelesen, die die Host-Anwendung schickt. Eine Projekteinstellung im Repository kann sie nicht setzen. Für eine Sicherheitseinstellung ist das die richtige Richtung – ein Repository, das seine eigenen Leseausnahmen mitbringt, wäre genau die Lücke, die die Sperre schließen soll.
Was 0.3.314 am Vorabend brachte
Das Release vom 30. Oktober gehört zur selben Linie:
permissions.blockWritesOutsideWorkingDirectorieskam in denSettings-Typ – das Gegenstück auf der Schreibseite, das Claude Code 2.1.314 eingeführt hat.sandbox_required_unavailableist ein neuer Wert fürstartup_failure_reason, den Claude Code schreibt, wenn eine verlangte Sandbox nicht laufen kann.prewarm()liegt als Alpha im Einstiegspunkt@anthropic-ai/claude-agent-sdk/core.- Behoben: Eine Einstellungsdatei, die nicht in
settingSourcesstand, hat trotzdem einige Einstellungen geliefert – darunter Auto-Mode-Regeln und gespeicherte Berechtigungszustimmungen.
Das Python-SDK ist in beiden Nächten nachgezogen (0.2.175 und 0.2.176), allerdings ohne eigene Neuerungen: Es bündelt nur die passende CLI-Version.
Die Berechtigungen wandern ins SDK
Vor ein paar Monaten waren das Sandbox-Verhalten und die Lese- und Schreibsperren Sache der CLI und ihrer managed-settings.json. Jetzt stehen dieselben Schlüssel typisiert im SDK, und zwar in der Reihenfolge, in der 2.1.316 sie liefert. Wer Agenten in eigene Anwendungen einbaut, bekommt die Berechtigungsschicht damit als Vertrag statt als Konfigurationsdatei. Das ist langweilig und genau deshalb gut.