Kaum ist 2.1.247 durch, steht schon 2.1.248 vor der Tür. Diesmal ist ein Feature dabei, das mich wirklich interessiert: ein abgeschotteter Modus.
Mit --restricted (oder der Umgebungsvariable CLAUDE_CODE_RESTRICTED=1) wirft Claude Code alle eingebauten Werkzeuge raus, die Befehle oder Code ausführen – und auch WebFetch, sofern du es nicht ausdrücklich über --tools wieder reinholst. Die Datei-Werkzeuge bleiben, aber nur innerhalb des Arbeitsverzeichnisses. bypassPermissions wird verweigert, und die Einstellungsdateien aus User-, Projekt- und lokalem Scope werden ignoriert. Klingt sperrig, ist aber genau das, was man für einen Lauf braucht, dem man nicht blind vertrauen will – etwa wenn du Claude auf fremden Code oder in einer Pipeline loslässt.
Der zweite Punkt, der mir gefällt: experimental.cacheTtl im Frontmatter eines Agenten. Damit setzt du pro Agent eine Cache-Lebensdauer – „5m” oder „1h” – wenn keine übergeordnete Einstellung greift. Kleiner Schalter, aber für alle, die viele spezialisierte Agenten fahren, ein spürbarer Hebel bei den Kosten.
Der Rest sind gezielte Verbesserungen. Self-hosted Runner können sich jetzt über --client-label mit einem eigenen Namen registrieren, statt einfach den Hostnamen zu nehmen. Für serverseitig verwaltete Einstellungen gibt es endlich eine ordentliche Diagnose: eine Startwarnung, wenn sie nicht laden, plus eine Zeile in /doctor und /status, die erklärt warum. Und /web-setup warnt jetzt, wenn dem GitHub-CLI-Token der workflow-Scope fehlt – ein Detail, an dem Pushes in sehr große Repositories sonst klanglos scheitern.
Dazu kommt Enterprise-Kleinkram: /usage-credits für Organisationen, die über den AWS Marketplace oder einen Enterprise-Trial abrechnen, damit Mitglieder ein höheres Limit direkt beim Admin anfragen können. Und die Session-zu-Session-Nachrichten über SendMessage und ListAgents laufen jetzt auch auf Bedrock, Vertex und Foundry sowie bei abgeschalteter Telemetrie.
Die Bugfixes sind wie immer die stille Mehrheit. Ein Prompt-Cache-Miss, der in langen Sessions etwa einmal pro Stunde zuschlug – weg. Die Ursache: Nach einem OAuth-Token-Refresh wurden die Tool-Definitionen neu gerendert. Solche Sachen merkt man erst, wenn sie nicht mehr passieren.
Kein großer Wurf, aber --restricted ist ein Feature, das ich vermutlich öfter nutzen werde als gedacht. Gerade weil ich Claude Code immer häufiger Dinge anfassen lasse, bei denen ein bisschen weniger Vertrauen genau richtig ist.
Quellen: Claude Code Changelog · @anthropic-ai/claude-code auf npm