Claude Desktop 3.6556.1 ist am 22. Oktober erschienen, mit Claude Code 2.1.308 im Bündel. Nachgeschoben wurde am selben Tag 3.6556.2, ohne sichtbare Änderungen. Der Schwerpunkt liegt im Code-Bereich und bei den Connectoren.
SSH-Hosts, die aus einem eigenen Kommando kommen
Neu in den macOS- und Linux-Apps: SSH-Verbindungen, deren Host ein eigener Befehl liefert. Dafür trägt man unter sshHostCommands in den Claude-Code-Einstellungen einen Eintrag mit id, name und command ein und wählt dann im Umgebungsmenü „Create“ mit diesem Namen. In Deployments von Drittanbietern fehlt die Funktion.
Die Erlaubnisliste wird gleichzeitig strenger. Auf SSH-Hosts zählt ein Eintrag in allowedWorkspaceFolders nur, wenn er ein vollständiger Pfad für diesen Host ist – ~/work statt work, unter Windows C:\work statt \work. Ein Symlink, der innerhalb eines gelisteten Ordners liegt, fällt heraus; gelistet werden muss der Ordner, auf den er zeigt. Und schreibgeschützte Einträge mit einer nicht gesetzten oder nicht unterstützten %VAR% machen den umgebenden Ordner schreibgeschützt – oder alle erlaubten Ordner, wenn die Variable am Anfang steht.
Dazu eine Änderung, die man im Alltag merkt: Der Rechtemodus eines Ordners wird jetzt getrennt gespeichert, für diesen Rechner, für jeden SSH-Host und für jede WSL-Distribution. Ordner, die auf „Bypass permissions“ standen, starten wieder in ihrem Standardmodus, bis man die Wahl erneut trifft und bestätigt.
Claude darf im iOS-Simulator tippen
Im Simulator kann Claude nun Tasten wie Return, Entfernen und die Pfeiltasten drücken, das Gerät drehen und die Bildschirmtastatur ein- und ausblenden. Behoben ist außerdem der Editor für Cloud-Umgebungen, der Umgebungsvariablen verlor, veränderte oder umsortierte und Backslashes einfügte, sobald ein Wert beide Anführungszeichenarten oder Backslashes enthielt.
Cowork verliert einen Slash-Befehl
/schedule ist aus dem Slash-Menü verschwunden. Wer es tippt, bekommt jetzt einen vorformulierten Terminwunsch eingesetzt, genau wie über die Schaltfläche. Behoben: Claude fand in geplanten Aufgaben und in Tasks, die nicht auf dem Bildschirm offen waren, deine Plugins und Skills nicht. MCP-Werkzeuge, die ihr Server als rückfragepflichtig markiert, fragen künftig nur noch auf der Karte in der App nach – die Benachrichtigung hat keinen Allow-Knopf mehr, und geplante Aufgaben laufen ohne diese Aufrufe weiter.
Die Connectoren fragen jetzt häufiger
Der eingebaute GitHub-Connector fragt vor jedem Aufruf von issue_write, sub_issue_write, pull_request_review_write, add_reply_to_pull_request_comment und fünf weiteren Schreibwerkzeugen nach, die Toolsets freischalten können. Ein genauer toolPolicy-Schlüssel oder * erlaubt sie weiterhin. Beim Werkzeug actions_run_trigger fragt er unabhängig von toolPolicy; blocken kann man es dort noch. Der Microsoft-365-Connector fragt beim Lesen von Dateien, Nachrichten und Ordnern einmalig erneut nach, auch wo „Immer erlauben“ gewählt war.
Für verwaltete Installationen sind installedUpdateEnforcementEnabled und installedUpdateEnforcementHours dazugekommen, dazu quickEntryScreenshotsEnabled und quickEntryFileSharingEnabled auf macOS, mit denen Administratoren Screenshots und das Anhängen der offenen Datei abschalten können. Und auf der Nutzungsseite stehen jetzt die gecachten Tokens, gelesen und geschrieben, je Tab.
Die Rückfragen sind kein Rückschritt
Drei der Änderungen nehmen Rechte zurück, die Leute schon vergeben hatten: Bypass-Ordner, GitHub-Schreibzugriffe, Microsoft-365-Lesezugriffe. Das ist unbequem und richtig. Über die sieben als breaking markierten SSH-Änderungen der Vorversion habe ich vorgestern geschrieben, und zusammen ergibt das ein Muster: Anthropic räumt die Rechteverwaltung auf, und zwar schneller als die Funktionen wachsen.