はじめに
2026年9月、Claude Code に大型アップデート v2.1.275 が配信され、その直後に緊急ホットフィックス v2.1.276 がリリースされました。今回のアップデートは新機能追加だけでなく、セキュリティ強化に伴う破壊的変更とプロキシ環境を壊す回帰バグが同時に含まれており、企業環境で Claude Code を運用しているチームは特に注意が必要です。
本記事では、数十件に及ぶ変更の中から影響度の高いものに絞って解説します。
📌 影響を受ける人
ANTHROPIC_BASE_URLでプロキシ/ゲートウェイ（LiteLLM等）経由で Claude Code を使っている人- npm 経由でプラグインをインストールしているプラグイン作者・利用者
- claude.ai アカウントと Claude Code をサインイン連携させている人
/update-configで settings.json に権限ルールを追加したことがある人
変更の全体像
今回のリリースの位置づけと影響範囲を整理すると以下のようになります。
変更内容
1. 【最重要・要対応】プロキシ/ゲートウェイ経由の全リクエスト400エラー（v2.1.276で修正）
v2.1.275 で導入された回帰により、ANTHROPIC_BASE_URL を社内ゲートウェイや LiteLLM などの LLM プロキシに向けている環境では、リクエストボディ内の advisor_20260301 タグをゲートウェイ側が解釈できず、すべてのリクエストが失敗していました。
⚠️ Breaking Change
ANTHROPIC_BASE_URLを使う環境では v2.1.275 は事実上使用不能です。v2.1.275 をスキップして v2.1.276 に直接更新してください。
2. 【要確認】npmプラグインのインストールスクリプトが実行されなくなる
サプライチェーン攻撃対策として、npm ソースからインストールされるプラグインは npm pack --ignore-scripts で取得され、整合性検証が行われるようになりました。結果として install/preinstall/postinstall スクリプトは一切実行されません。
| 項目 | v2.1.274以前 | v2.1.275以降 |
|---|---|---|
| npmパッケージ取得方法 | 通常の npm install
|
npm pack --ignore-scripts |
| install/postinstallスクリプト | 実行される | 実行されない |
| 整合性検証 | なし | integrity検証あり |
| セキュリティ | 低 | 高（サプライチェーン攻撃対策） |
💡 Tips
インストール時にネイティブモジュールのビルドや初期セットアップを行っていたプラグインは動作しなくなる可能性があります。プラグイン作者は、そうした処理を**ランタイム初期化（プラグイン起動時の処理）**へ移行してください。
3. 【要対応】claude.aiアカウントのスキル・プラグインが自動同期される
claude.ai アカウントでサインインしたターミナルセッションに、アカウント側で有効化したスキルとプラグインが自動的に反映されるようになりました。
ローカルで独自のスキル体系を管理しているチームは、アカウント側スキルとの衝突・重複を確認する必要があります。無効化したい場合は以下のように設定します。
// settings.json
{
"syncClaudeAiSkills": false,
"syncClaudeAiPlugins": false
}
同期されたアカウントスキルフォルダ内のファイルを Write/Edit しても、その変更はアカウント側には保存されない点にも注意してください。
4. 【セキュリティ修正】URLに埋め込まれた認証情報のログ漏洩
git/ssh/marketplace URL に含まれるパスワードやトークンが、以下の箇所に平文表示されていました。
- プラグイン・マーケットプレイス関連のメッセージとログ
-
claude plugin marketplace listの出力 - VS Code 拡張の「Manage plugins」ダイアログ
⚠️ Breaking Change
過去のログやスクリーンショットを共有していた場合、認証情報が漏洩している可能性があります。該当する認証情報のローテーションを検討してください。
5. その他の注目改善（severity: medium）
| 変更 | 内容 |
|---|---|
| 即時送信キー |
ctrl+enter / ctrl+x ctrl+s で応答中でもキュー済みメッセージを一括送信 |
| プロンプトキャッシュ改善 | メモリファイルの age note 変動によるキャッシュミスを修正、--system-prompt の動的境界に対応 |
/update-config の権限ルール修正 |
無効だった Write(path) ルールが正しく Edit(path) として生成されるように修正 |
⚠️ Breaking Change
過去に/update-configで権限ルールを追加したことがある場合、settings.jsonを確認しWrite(...)をEdit(...)に書き換える必要があります（旧ルールはファイル権限チェックにマッチせず実質無効でした）。
影響と対応
移行判断のフローチャートは以下の通りです。
まとめ
- プロキシ/ゲートウェイ利用者は v2.1.276 への更新が必須（v2.1.275 は全リクエストが400エラーになる回帰あり）
- npm製プラグインは install スクリプトが実行されなくなったため、セットアップ処理をランタイム初期化に移行する必要あり
- claude.ai アカウントのスキル・プラグインが自動同期されるようになったため、ローカル管理チームは衝突確認またはオプトアウト設定を
- URL埋め込み認証情報のログ漏洩が修正されたため、過去のログ共有履歴がある場合はローテーションを検討
-
/update-configが生成していた権限ルールは無効だったため、既存のsettings.jsonの見直しを推奨
今回のリリースは機能追加以上に「セキュリティ強化に伴う破壊的変更」と「緊急ホットフィックス」の比重が大きい回でした。特にプロキシ環境や npm プラグイン運用をしているチームは、更新前に本記事のチェックリストを確認することをおすすめします。