2.1.289 ist am 3. Oktober um 20:12 UTC in der npm-Registry gelandet. 27 Zeilen Changelog, davon 23 Korrekturen, zwei Verbesserungen, eine Rücknahme und genau eine Neuerung. Das ist das Aufräumrelease hinter 2.1.287, dem Mods-Release, und hinter 2.1.288.
Vier Löcher in den Berechtigungsregeln
Die wichtigsten Zeilen sind die, über die niemand schreibt. Vier Wege, auf denen deny- und ask-Regeln nicht gegriffen haben:
- Eine Umgebungsvariable vor dem Befehl hat ihn versteckt, wenn die Sandbox Befehle automatisch erlaubt. Das Beispiel im Changelog ist ein
rm -rf buildmit vorangestelltemTZ-Wert. - Dasselbe mit einer nackten Variablenzuweisung vor dem Befehl.
- Eine deny- oder ask-Regel auf einem verschachtelten Teil eines zusammengesetzten Shell-Befehls hielt auf verwalteten Rechnern nicht gegen die Freigabe eines selbst installierten Mods.
Read-deny-Regeln galten nicht für Dateien, die über einen Symlink per @-Mention, Änderung oder IDE-Auswahl hereinkamen.
Dazu eine fünfte Zeile derselben Art: Ein selbst installiertes Plugin konnte die Beschreibungen der Anmelde-Tools eines organisationsverwalteten MCP-Servers umschreiben. Wer Berechtigungsregeln ernst nimmt, sollte dieses Update nicht liegen lassen.
Was neu ist
agent.spawn für Teammates. Dazu bekommen Plugin-Hook-Events dieselbe Agent-ID über alle Ereignisse hinweg, und $.agent.list() liefert jetzt auch die Zustände „idle” und „waiting”. Mods können damit Agenten nicht nur beobachten, sondern selbst starten und über ihre Lebensdauer verfolgen.
Was sonst noch aufgeräumt wurde
Das Terminal fror bei kurzen Codeblöcken mit vielen nicht geschlossenen <script>-Tags oder tief verschachtelten ${-Ersetzungen ein – derselbe Fehler ließ auch veröffentlichte Artifact-Seiten den Browser-Tab des Lesers mitnehmen. Installierte Mods wurden in der ersten Sitzung nach einem Upgrade nicht geladen. Ein Mod-Client, der beim Zeichnen scheiterte, riss alles mit, was der Mod drumherum gezeichnet hatte; jetzt scheitert er allein und löst ui.fault aus. Und in VS Code hat Anthropic eine Änderung aus 2.1.288 an claude auth status zurückgenommen, die zu häufigeren Abmeldungen geführt haben könnte.
Die Mods haben eine Woche gekostet
Seit 2.1.287 drehen sich drei Releases in Folge fast nur um Mods. Nicht um neue Fähigkeiten, sondern darum, dass ein fehlerhafter Mod nicht mehr die ganze Sitzung mitnimmt: Jetzt fällt er allein um, meldet sich bei seinem Autor namentlich und lässt das Terminal stehen.
Das ist die Rechnung dafür, Fremdcode in die Zeichenschleife zu lassen. Sie ist vermutlich richtig – aber vier übersehene Wege an einer deny-Regel vorbei in einem einzigen Release zeigen, dass die Berechtigungsschicht größer geworden ist, als sie sich noch im Kopf prüfen lässt.
Quellen: