はじめに
2026年9月1日、Claude Code の v2.1.257 がリリースされました。今回の目玉は新モデル Claude Fable 5.1 の追加ですが、それ以上に注目すべきは 権限（パーミッション）まわりのセキュリティ修正が非常に多い ことです。
特に、プロジェクトの .claude/settings.json に defaultMode: "bypassPermissions" を書いて権限確認をスキップする運用をしていたチームには 破壊的変更（Breaking Change） が入っています。また、複合コマンドや symlink を悪用して権限チェックをすり抜けられる不具合も複数修正されており、実質的にセキュリティパッチとしての性格が強いリリースです。
📌 影響を受ける人
.claude/settings.json/.claude/settings.local.jsonでbypassPermissionsを運用しているチーム- CI や自動化パイプラインで Claude Code を「確認なし」で動かしている人
- Bedrock / Vertex / Foundry など サードパーティ経由で Claude Code を使っている人
- Fable 系モデルをコストパフォーマンス目的で使っているユーザー
変更の全体像
今回のリリースにおける変更の関係性を図にまとめました。特にセキュリティ関連の修正群（赤枠相当）が中心的な位置を占めています。
変更内容
1. Claude Fable 5.1 が追加(Fable系のデフォルトに)
claude-fable-5-1 が新たに追加され、Fable 系モデルのデフォルトとして採用されました。
| 項目 | 内容 |
|---|---|
| モデルID | claude-fable-5-1 |
| コンテキスト長 | 1M トークン |
| 入力料金 | $10 / Mtok |
| 出力料金 | $50 / Mtok |
| プロンプトキャッシュ読み取り | $0.25 / Mtok |
| デフォルト対象 | Fable 系のデフォルトモデル |
ただし注意点として、Claude apps gateway 経由のセッションでは Fable 5.1 に未対応のゲートウェイが多く、fable / best エイリアスは当面 Claude Fable 5 に解決され続けます。Fable 5.1 を明示的に使いたい場合は /model から手動選択する必要があります。
2. 【破壊的変更】プロジェクト設定の bypassPermissions が無視される
⚠️ Breaking Change
.claude/settings.jsonおよび.claude/settings.local.jsonに書かれたdefaultMode: "bypassPermissions"は、"auto"と同様に無効として扱われるようになりました。
これはリポジトリに同梱される設定ファイルで権限バイパスを強制できてしまう構造上のリスクに対するセキュリティ強化です。今後、権限バイパスを行いたい場合は以下のいずれかで指定する必要があります。
- ユーザー設定(
~/.claude/settings.jsonなど) - managed settings(組織管理者が配布する設定)
- 起動時オプション
--permission-mode
3. 権限すり抜けの複数のセキュリティ修正
severity: critical の重要な修正です。以下のような、権限チェックを回避できてしまう不具合がまとめて修正されました。
| # | 内容 |
|---|---|
| 1 | auto モードで複合コマンド・サブシェル内実行時に permissions.ask がスキップされていた |
| 2 | プラグインが symlink 経由で自身のディレクトリ外のファイルを読み取れていた |
| 3 | Bash の deny ルールが < file リダイレクトや tac / egrep などに適用されていなかった |
| 4 | zsh/bash で解釈が異なる [[ ]] 条件式が自動承認されていた |
| 5 | Remote Control の同意プロンプトを Esc / n で拒否しても同意扱いになっていた |
| 6 | 末尾ドット付きホスト名(example.com.)で deniedDomains が効かなかった |
| 7 |
allowManagedPermissionRulesOnly 有効時に --disallowedTools とセッションの deny ルールが破棄されていた |
💡 Tips
特に (1) と (3) は「実行を拒否したはずのコマンドが実は通っていた」というタイプの深刻な問題です。deny ルールを運用しているプロジェクトは早めに v2.1.257 以降へアップデートすることを推奨します。
4. auto モードに Containment Escape ルールを追加
auto モードにおいて、以下のような「コンテナからの脱出」に相当する操作が、環境側で明示的に許可されていない限り自動承認されなくなりました。
- クラウドのメタデータエンドポイントからの資格情報取得
- egress(外部通信制限)の回避
- クロステナントへのアクセス
また、作業ディレクトリ外のファイルを初めて読み取る際に一度だけ確認プロンプトが表示されるようになり、読み取り自体を完全にブロックする permissions.blockReadsOutsideWorkingDirectories 設定も追加されました。Cowork や claude.ai のクラウドセッションでは、自分のものではない artifact の読み取りは auto モードでも必ず確認が入ります。
5. サードパーティプロバイダの認証ヘッダ・資格情報混入の修正
Bedrock / Bedrock Mantle / Vertex / WIF / Foundry を利用している場合に影響する重要な修正です。
- カスタム
Authorizationヘッダが重複し、設定済みの資格情報を上書きしてしまう不具合を修正 - Claude apps gateway が Foundry/Vertex/Bedrock にホスト側の
Authorizationを誤送信していた問題を修正 - API キーモードで Foundry のサブスクリプションキーと Anthropic API キーが同時に送信されていた問題を修正
- Bedrock / Bedrock Mantle で Opus 4.7 以降の長い hidden-thinking 中に接続がアイドルタイムアウトで切断される問題を修正
サードパーティ経由で運用している場合、認証情報のリークや意図しない上書きにつながり得るため、こちらもアップデート推奨です。
6. その他の主要な修正・改善(要点のみ)
| カテゴリ | 内容 |
|---|---|
| バックグラウンドセッション | 起動失敗、古いバイナリの残存、スタッシュしたプロンプトの消失など多数修正 |
| サブエージェント | スリープ・接続断からの自動継続、5MBを超えるトランスクリプトの再開失敗を修正 |
| プロンプトキャッシュ | Remote Control接続時・advisor使用時・/fork使用時のキャッシュミスを修正 |
| MCP | 管理allow/denyリストの適用漏れ、claude mcp remove後のOAuth資格情報残留を修正 |
| パフォーマンス | 長い会話での再描画コスト削減、入力応答性の改善 |
| VSCode拡張 | モデルピル追加、セッション削除が「アーカイブ」に変更 |
影響と対応
開発者が取るべきアクションを優先度順に整理します。
-
bypassPermissionsをプロジェクト設定で使っている場合は必ず移行する
CI/CD や自動化フローが.claude/settings.jsonのbypassPermissionsに依存していないか確認し、依存している場合はユーザー設定・managed settings・--permission-modeオプションに切り替えてください。移行せずに放置すると、アップデート後に想定外の確認プロンプトでフローが止まります。 -
deny ルール・auto モードの動作変更を確認する
Bash の deny ルールがリダイレクトやtac/egrepなどにも及ぶようになったため、これまで通っていたコマンドが拒否されるケースが出る可能性があります。CI でエラーになった場合はこの変更を疑ってください。 -
サードパーティプロバイダ利用者は認証情報の混入修正を確認
Bedrock / Vertex / Foundry / WIF を使っている場合、資格情報の上書き・誤送信バグの修正が入っているため、アップデート後に認証周りの動作を軽く確認しておくと安心です。 -
Fable 5.1 を使いたい場合は
/modelから明示選択
fableやbestのエイリアスに任せていると、ゲートウェイ経由では当面 Fable 5 のままです。1Mコンテキストや新料金体系を活用したい場合は明示的にモデルを切り替えてください。
コード例
bypassPermissions の移行例
Before(v2.1.257 未満、プロジェクト設定で有効だった)
// .claude/settings.json(リポジトリにコミットされる設定)
{
"defaultMode": "bypassPermissions"
}
After(v2.1.257 以降、上記は無視されるため以下のいずれかに移行)
// ~/.claude/settings.json(ユーザー個人の設定)
{
"defaultMode": "bypassPermissions"
}
# もしくは起動時オプションで明示的に指定
claude --permission-mode bypassPermissions
Fable 5.1 を明示的に使う例
# fable / best エイリアスは当面 Fable 5 に解決されるため、
# Fable 5.1 を使うには /model から明示選択する
/model
# → Claude Fable 5.1 (claude-fable-5-1) を選択
まとめ
- Claude Fable 5.1 が追加され、1Mコンテキスト・$10/$50 per Mtokの新料金でFable系のデフォルトモデルになったが、ゲートウェイ経由では当面Fable 5のままなので明示的な選択が必要
-
defaultMode: "bypassPermissions"はプロジェクト設定では無視される破壊的変更が入り、ユーザー設定・managed settings・--permission-modeへの移行が必須 - 複合コマンドやsymlink、Bash deny回避などの権限すり抜けを修正する重要なセキュリティパッチが多数含まれる
- auto モードにContainment Escapeルールが追加され、クラウド資格情報の取得や作業ディレクトリ外読み取りがより厳しく制御される
- Bedrock/Vertex/Foundryなどサードパーティ経由の利用者は認証ヘッダ・資格情報混入の修正も要確認
全体としてセキュリティ強化色の強いリリースです。特に権限バイパス設定に依存した運用をしているチームは、アップデート前に自分たちの設定を見直しておくことを強く推奨します。