はじめに

2026年9月、Claude Code は v2.1.271（大規模リリース）と v2.1.272（フォローアップ）を公開しました。v2.1.271 は新機能追加に加え、Bash パーミッションチェックのすり抜け修正や組織ポリシー・MCP 関連のエンタープライズ修正を含む、セキュリティ・安定性の両面で見逃せないリリースです。

一方で、Monitor ツールの persistent オプション廃止や auto mode でのスキル内シェルコマンドの権限判定変更など、既存のワークフローに影響しうる破壊的変更も含まれています。

📌 影響を受ける人

Bash ツールや auto mode でエージェントを自動運用している人

Monitor ツールで無期限のバックグラウンド監視を組んでいる人

エンタープライズ環境（組織ポリシー、managed-mcp.json、プロキシ経由）で Claude Code を運用している人

MCP サーバーを多用している人（OAuth・list_changed 通知・ツール検索まわりの修正あり）

本記事では、この2バージョンの変更点を影響度別に整理し、開発者が取るべき対応を解説します。

変更の全体像

今回のリリースは大きく4つのカテゴリに分類できます。

v2.1.272 は「Bug fixes and reliability improvements」とのみ記載され、個別の変更内容は非公開です。v2.1.271 の大規模リリース直後の安定化フォローアップと見られます。

変更内容

🔴 セキュリティ関連の修正（優先度高）

Bash パーミッションチェックには複数のすり抜け経路があり、今回まとめて修正されました。

#	内容	影響
1	`fmt`・`column` 等でオプション後の読み取りファイルを見落とし	チェッカーが対象ファイルを検知できないケースがあった
2	ワイルドカードがパターン/オプション値内にある場合、展開先ファイルのチェックがスキップ	例: `grep -v dir/* file` で展開先が未チェック
3	シェル変数宣言フラグによるコマンド偽装が可能だった	実行コマンドの偽装リスク
4	`permissions.blockReadsOutsideWorkingDirectories` 有効時、2回の `cd`・サブシェル・`cd`+`git` の連鎖でプロンプトがスキップ	作業ディレクトリ外読み取りの制限回避

これに加え、auto mode + サンドボックスで、コマンド単位に必要なホストだけを許可する allowed_domains がサポートされました。従来は「このコマンドにネットワークアクセスを許可するか」を粗い粒度で判断していましたが、コマンドと一緒に必要なホストを審査し、そのコマンド専用に開放する仕組みです。

これらはいずれもリスクを減らす方向の修正・機能追加であり、ユーザー側で明示的な対応は不要ですが、auto mode でネットワークアクセスを伴うタスクを自動化している場合は挙動が変わる可能性があります。

⚠️ 破壊的変更（要確認）

⚠️ Breaking Change
以下2点は既存のワークフロー・スキルに影響する可能性があるため、必ず確認してください。

1. Monitor の persistent オプション廃止

Monitor ツールでの無期限監視が廃止され、最大30分（-p 実行時は10分）で必ず期限切れになり、Claude に再アーム（re-arm）を促す通知が届く方式に変わりました。

項目	変更前	変更後
無期限監視	`persistent` オプションで可能	廃止
監視の上限	なし	最大30分（`-p` 実行は10分）
期限到達時の挙動	そのまま監視継続	再アーム通知が届く

長時間の CI 監視やログ監視をバックグラウンドで組んでいるスキル・ワークフローは、期限切れ後の再アームを前提にした手順への書き換えが必要です。

2. auto mode でのスキル内 ! シェルコマンドの権限判定変更

スキルやスラッシュコマンド内のインライン ! シェルコマンドが、これまでの classifier 自動承認ではなく、default mode の permission rules に従うようになりました。どのルールにも一致しないコマンドは、レビュー対象のツール呼び出しとして扱われます。

これまで自動承認されていたコマンドが、今後はプロンプトで確認を求められる可能性があります。auto mode でスキルを多用している場合は、想定外の承認待ちが発生しないか確認してください。

また、サブエージェントの呼び出し元への報告も、事後審査ではなく専用の hand-back 呼び出しとして安全 classifier が審査する方式に変わりました。

3. dynamic workflow の既定サイズ縮小

Pro プランでは dynamic workflow の既定サイズが small になり、medium サイズの目安エージェント数も 15 → 10 に引き下げられました。多数のエージェントを前提にしたワークフローはサイズ設定を見直す必要があります。

✨ 新機能

機能	概要
Remote セッションで fast mode	クラウド/セルフホストランナーの Remote セッションで、ホスト設定または `/fast` による fast mode が組織ポリシーの範囲内で利用可能に
`omitClaudeMd`	エージェント frontmatter / `--agents` JSON で指定すると、user/project/local の CLAUDE.md をサブエージェントに読み込ませない
`plugin install/update --accept-command <sha256>`	`-y` の包括承認ではなく、特定コマンドのみをハッシュ指定で承認。CI・自動化向け
`modelPricing` の multiplier 拡大	managed setting の multiplier が 1 超〜最大10まで設定可能に（社内チャージバック用途）
`self-hosted-runner --drain-marker-file`	SIGTERM ドレイン時にマーカーファイルの有無でホスト起因かをテレメトリ報告

🔧 MCP・エンタープライズ関連の修正

エンタープライズ運用者・MCP 利用者に直結する修正が多数含まれます。

修正内容	詳細
組織ポリシーの再利用バグ	アカウント/組織/API キー切替後も古いポリシーが再利用され、毎時チェックまで反映されなかった問題を修正
ツール一覧の更新漏れ	ポリシー読み込み完了後にツール・コマンド一覧が更新されない問題を修正
`managed-mcp.json` 破損時の挙動変更	破損ファイルを無視する代わりに、MCP の排他制御を維持し起動時に警告するよう変更（意図せぬ MCP 開放リスクの排除）
`ANTHROPIC_UNIX_SOCKET` 経由のポリシー取得拒否	サードパーティローカルプロキシ経由でのポリシー取得が拒否されていた問題を修正
MCP のみのツール構成で `-p` 再開失敗	`defer_loading=false` 制約によるエラーを修正
ゲートウェイの `text/plain` 応答エラー	非ストリーミング応答を `text/plain` で返すゲートウェイでの「empty or malformed response」エラーを修正
`list_changed` 通知の高頻度発火	CPU 使用率の高止まりを修正
MCP OAuth クライアント登録の不具合	同意拒否時の強制新規登録などを修正
`claude mcp serve` の進捗通知	長時間ツール呼び出し中に30秒ごとの進捗更新を送信し、クライアント側アイドルタイムアウトを回避

影響と対応

対応の優先度別にまとめます。

Monitor を使ったバックグラウンド監視スキルがある場合: persistent オプションは廃止済みです。最大30分（-p 実行は10分）で期限切れになる前提で、再アームのハンドリングを組み込んでください。
auto mode + スキルを組み合わせて自動化している場合: これまで自動承認されていたインラインシェルコマンドが、default mode の permission rules で判定されるようになりました。CI などノンインタラクティブな環境で予期しない承認待ちが発生しないか、事前に検証することを推奨します。
エンタープライズ環境（組織ポリシー・managed-mcp.json・プロキシ経由）の管理者: 今回の修正は概ねバグ修正方向ですが、managed-mcp.json が破損している場合の挙動が「無視」から「警告 + MCP 排他制御維持」に変わっている点は要確認です。壊れた設定ファイルを放置していないか点検してください。

💡 Tips
--accept-command <sha256> は CI パイプラインでのプラグインインストールを、-y より厳密に固定できます。プラグイン供給者側の変更を検知したい場合はこちらへの切り替えを検討する価値があります。

コード例

omitClaudeMd の設定例

サブエージェントに CLAUDE.md を読み込ませたくない場合、frontmatter で指定します。

Before（CLAUDE.md が常に読み込まれる）

---
name: lightweight-reviewer
description: 軽量なコードレビュー用サブエージェント
---

After（CLAUDE.md の指示に干渉されずコンテキストを軽量化）

---
name: lightweight-reviewer
description: 軽量なコードレビュー用サブエージェント
omitClaudeMd: true
---

user/project/local の CLAUDE.md は読み込まれなくなりますが、managed policy ファイルは引き続き適用されます。

plugin install の accept-command 例

Before（包括的な承認）

claude plugin install my-plugin -y

After（表示されたコマンドのみをハッシュで厳密に承認）

# --json 実行で表示されたコマンドの sha256 を指定
claude plugin install my-plugin --accept-command 3f9a1c...e21b

CI パイプラインで「このコマンドだけを実行してよい」という厳密な承認をしたい場合に有効です。

Monitor の運用変更イメージ

Before（無期限監視を想定したスキルの発想）

Monitor でログファイルを監視し続け、
エラーが出たら通知する（ずっと張り付く前提）

After（最大30分で期限切れになる前提）

Monitor でログファイルを監視開始
→ 最大30分（-p実行は10分）で期限切れの通知を受信
→ 継続が必要なら再度 Monitor を再アームする

まとめ

v2.1.271 は Bash パーミッションチェックのすり抜け修正と auto mode の allowed_domains など、セキュリティ強化を伴う大規模リリースです。
Monitor の persistent オプション廃止（最大30分/10分の期限付きに変更）と auto mode でのスキル内 ! コマンド権限判定変更は、既存ワークフローへの影響があるため必ず確認してください。
組織ポリシー・managed-mcp.json・MCP まわりのエンタープライズ向け修正が多数含まれており、企業導入している場合は特に恩恵が大きいリリースです。
omitClaudeMd、--accept-command、modelPricing multiplier 拡大など、実務での細かな不便を解消する新機能も追加されています。
v2.1.272 は個別の変更が非公開のバグ修正・信頼性向上リリースで、v2.1.271 の安定化目的と見られます。

破壊的変更が2点含まれるリリースなので、特に Monitor と auto mode を活用しているチームは、アップデート後に一度ワークフローの動作確認を行うことをおすすめします。