Claude Code hat in kurzer Folge zwei neue Versionen bekommen — 2.1.222 und 2.1.223. Beide sind keine Feature-Feuerwerke, sondern solide Wartung. Und das ist diesmal ein Kompliment, denn der Schwerpunkt liegt fast durchgehend auf Sicherheit und Berechtigungen.
2.1.222: Die Sandbox zieht die Zügel an
Der wichtigste Fix betrifft die Worktree-Isolation. Bisher konnten isolierte Sessions und ihre Subagents unter Umständen destruktive Git-Befehle gegen den Haupt-Checkout absetzen. Jetzt gilt die Isolation für Datei-Edits und Bash in jedem Session-Typ — nicht nur in manchen.
Dazu kommt: PreToolUse-Auto-Allow-Hooks umgehen keine Tool-Restriktionen mehr in Hintergrund-Agenten. Und Nachrichten, die per SendMessage an andere Agent-Sessions gehen, laufen jetzt vor dem Versand durch den Permission-Klassifizierer. Kleiner Aufräumer am Rande: Das Feature «ultraplan» ist raus.
2.1.223: Permission-Lücken zu, /teleport rein
Die neuere Version macht da weiter, wo 222 aufgehört hat. Gleich zwei Berechtigungs-Lücken sind geschlossen: Ein geschickt gebauter Bash-Befehl konnte sich vorher teilweise vor den Permission-Checks verstecken. Und Kommandos, die mit Tabs oder unsichtbaren Unicode-Zeichen aufgefüllt waren, konnten Teile ihrer selbst im Freigabe-Dialog verbergen. Beides ist jetzt dicht. Auch Workflow-Skripte können nicht mehr über dynamisches import() aus ihrer Sandbox ausbrechen.
Das schönste neue Detail ist aber /teleport. In Cloud-Sessions zeigt Claude Code dir jetzt direkt, wie du lokal weiterarbeitest — mit claude --teleport <session id>. Praktisch, wenn du eine Aufgabe in der Cloud gestartet hast und sie am eigenen Rechner zu Ende bringen willst.
Und für alle, die den Review-Befehl nutzen: /review ist jetzt ein Alias von /code-review. Ohne Angabe eines Levels merkt sich der Befehl das zuletzt getippte — du musst also nicht jedes Mal high oder ultra dranhängen.
Meine Einordnung
Zwei Punkt-Releases hintereinander, und fast jeder Eintrag dreht sich um Berechtigungen, Sandbox-Grenzen oder Isolation. Das ist kein Zufall. Je autonomer Claude Code arbeitet — mit Hintergrund-Agenten, Subagents und Cloud-Sessions — desto wichtiger wird, dass die Leitplanken sitzen.
Ich lese diese beiden Releases als klares Signal: Anthropic nimmt die Angriffsfläche ernst, die durch agentisches Arbeiten entsteht. Ein Befehl, der sich mit unsichtbaren Zeichen an der Freigabe vorbeimogelt, klingt nach Kleinkram — ist aber genau die Art Lücke, die man nicht offen lassen will. Dass parallel /teleport kommt, zeigt die andere Seite: Sicherheit und Bequemlichkeit müssen sich nicht ausschließen.
Quellen: