注目 Claude Code Release Notes Roundup Security Effort

Claude Code の新機能：2026 年 11 月（v2.1.308〜2.1.318）

Claude Code v2.1.308〜v2.1.318（2026/10/22〜11/3）の 582 項目を整理。sandbox と権限の修正、ultrathink の xhigh 化、サブエージェントの effort、claude -p の終了コード、読者別のチェックリストまで。

• 12 分で読む • 著者：Claude World

2026 年 10 月 22 日から 11 月 3 日までに、Claude Code は v2.1.308 から v2.1.318 へ進みました。CHANGELOG に記載のあるバージョンは 9 つ（v2.1.313 と v2.1.315 には記載がありません）で、項目は合計 582 件です。大半は修正で 378 件、ほかに改善 78 件、挙動変更 67 件、追加 50 件、更新 5 件、削除 2 件、非推奨 1 件、そして v2.1.308 の 1 行「Bug fixes and reliability improvements」があります。働き方に関わる変更は 5 つの領域に集まっています。sandbox と権限チェック、ultrathink とサブエージェントの effort 制御、モデルの扱い（Opus 4.8 の fast mode 終了を含む）、claude -p の終了コードとサインイン期限の警告、そして Claude apps gateway の支出とポリシーの管理です。

このまとめでは、変更をテーマ別に影響の大きい順で整理します。記述はすべて公式の CHANGELOG に基づき、各バージョンは当サイトのリリースノートにリンクしています。本記事は「8〜10 月のまとめ」（v2.1.227〜v2.1.305）の続きで、その間の v2.1.306 と v2.1.307 はどちらも 10 月 21 日のリリースです。

Opus 4.8 で fast mode を使っているなら、まず「Opus 4.8 の fast mode 終了」をお読みください。2026 年 11 月 30 日に終了します。

要点まとめ

バージョン日付項目数主な内容
v2.1.3082026-10-221「Bug fixes and reliability improvements」
v2.1.3092026-10-2279sandbox と権限チェックの修正、claude ultrareview にワークスペースの信頼が必要に
v2.1.3102026-10-2326Monitor ツールが Bedrock、Vertex、Foundry に対応、Enterprise のカスタムロールにクラウドセッションと Remote Control の権限
v2.1.3112026-10-2692ultrathink でそのターンが xhigh に、Bedrock・Mantle・Vertex・Foundry で署名付きモデルカタログ
v2.1.3122026-10-2739認識できないモデル名に短いシステムプロンプト、oidc.user_id_claim、claude_code.safety_event の送信停止
v2.1.3142026-10-30119permissions.blockWritesOutsideWorkingDirectories、起動失敗時に claude -p が 1 で終了、gateway の upstream に groups
v2.1.3162026-10-3155Opus 4.8 の fast mode が非推奨に、CLAUDE_CODE_SUBAGENT_EFFORT と CLAUDE_CODE_DISABLE_ULTRATHINK、共有予算とレイヤー型ポリシー
v2.1.3172026-11-0287ツールがアカウントのメールを送る前の確認、gateway のコストレポート、Read の「未変更」スタブを削除
v2.1.3182026-11-0384claude auth status と claude -p にサインインの期限、mantle upstream の assume_role、2.1.288 の thinking 修正を削除

1. sandbox と権限の強化

v2.1.309 は、sandbox と権限チェックの一連の修正で始まりました。このバージョンより前は、次のような問題がありました。

  • macOS と Linux の sandbox 内の Bash コマンドで、コマンドごとにシェルの起動ファイルが sandbox の外で実行されていました。
  • sandbox 内のコマンドや自動承認された編集が、--mcp-config で渡した MCP 設定ファイルを変更できました。
  • サブシェルを含む一部のコマンドで、Edit(path) の拒否ルールがそのパスへの Bash のリダイレクトを止められず、worktree で隔離されたセッションは、隔離ガードが拒否すべきロケール接頭辞付きのコマンドや（zsh では）算術コマンドの一部を受け付けていました。
  • macOS では、パターンのフォルダにシンボリックリンク経由で到達する場合に denyWrite の glob がパスの実際の場所に適用されず、Linux ではバックグラウンドのコマンドがセッションより長く残ると sandbox の書き込み禁止が解除され、Windows では現在のディレクトリを対象に余分な引数を付けた Set-Location や cd コマンドの一部が自動承認されていました。

その後のバージョンでは設定が 1 つ加わり、さらに穴がふさがれました。

  • v2.1.314：permissions.blockWritesOutsideWorkingDirectories を追加。Write、Edit、NotebookEdit が、どの権限モードでも作業ディレクトリ外のパスを拒否します。同じリリースで、claude -p --resume や --continue で入った worktree に sandbox の保護が適用されない問題と、--setting-sources で除外した設定ファイルが auto mode のルールなど一部の設定を提供し続ける問題も修正されました。
  • v2.1.316：--restricted のセッションが、Read の許可ルールの対象なら作業ディレクトリ外のファイルもアップロードしてしまう問題を修正。
  • v2.1.317：web やシェルのツール呼び出しがアカウントのメールアドレスをネットワークへ送る前に確認するチェックを追加。Agent SDK の hook コールバックにも onFailure: "block" が加わり、失敗したコールバックは処理をブロックします。
  • v2.1.318：メッセージ送信直後や、遅れて出る権限プロンプトの前に押したキーが、プロンプトへの回答として扱われなくなりました。deniedMcpServers の URL エントリの対象も広がっています（下の管理者向けチェックリストを参照）。
{
  "permissions": {
    "blockWritesOutsideWorkingDirectories": true
  }
}

やること： v2.1.318 に更新してください。どの権限モードでもファイル編集をプロジェクト内に限定したいなら、blockWritesOutsideWorkingDirectories を有効にします。対象として挙げられているのは Write、Edit、NotebookEdit なので、シェルコマンドについては sandbox を有効にしたままにしてください。ルールの仕組みは Session 18：パーミッションモデルとセキュリティで解説しています。

2. Effort：ultrathink、サブエージェント、上限

  • v2.1.311：対話型ターミナルの ultrathink は、Anthropic の API 経由の Opus 5.5、Sonnet 5.5、Haiku 5.5、Fable 5.1 で、そのターンを xhigh effort で実行するようになりました。Claude の作業中に入力すると、そのターンの残りの effort が上がります。VS Code も v2.1.316 で同じ動作になりました。
  • v2.1.316：CLAUDE_CODE_DISABLE_ULTRATHINK で ultrathink キーワードを無効にでき、CLAUDE_CODE_SUBAGENT_EFFORT は、ほかで指定がない場合にサブエージェントが使う effort レベルを、セッションから引き継ぐ代わりに設定します。
  • v2.1.317：メインの会話と異なるモデルを使うサブエージェントとチームメイトは、セッションの effort レベルではなく、そのモデルの保存済みレベルかデフォルトを使うようになりました。
  • v2.1.318：mod の $.model.fork に effort オプションが加わり、セッションの effort に関係なく、ちょっとした副作業を low で実行できます。
  • v2.1.314 以降、管理者があるモデルの effort に上限をかけている場合、Claude Code は「Invalid effort level」で毎ターン失敗するのではなく、effort を下げて再試行し、使うレベルを伝えます。
export CLAUDE_CODE_SUBAGENT_EFFORT=low    # subagents with no level named elsewhere
export CLAUDE_CODE_DISABLE_ULTRATHINK=1   # turns the ultrathink keyword off

やること： ターミナルや VS Code で入力した ultrathink は、Anthropic の API 経由の最新モデルで、そのターンを xhigh で実行するようになりました。望まない場所では CLAUDE_CODE_DISABLE_ULTRATHINK を設定し、他のプロバイダーでは effort レベルを直接設定してください。別のモデルに固定したサブエージェントはセッションのレベルを引き継がなくなりましたが、このルールと CLAUDE_CODE_SUBAGENT_EFFORT の組み合わせ方は CHANGELOG に書かれていません。重要な場面では、サブエージェントの frontmatter の effort: でレベルを明示しましょう。各レベルについては ultracode と effort のガイドをご覧ください。

3. モデルと fast mode

  • v2.1.316：Opus 4.8 の fast mode は 2026 年 10 月 30 日付で非推奨となり、2026 年 11 月 30 日に削除されます。削除後、Opus 4.8 への fast mode のリクエストはエラーを返し、通常の Opus 4.8 にはフォールバックしません。高速化を維持するには Opus 5.5 へ移行します。Claude Platform のリリースノートも 10 月 30 日に、speed: "fast" を指定した claude-opus-4-8 への API リクエストについて同じ非推奨化を告知しました。移行手順は「Opus 4.8 の fast mode 終了ガイド」にまとめています。
  • v2.1.311：Bedrock、Mantle、Vertex、Foundry では、Claude Code が downloads.claude.ai の署名付きファイルからモデル設定を読み込みます。CLAUDE_CODE_MODEL_CATALOG=off で無効にできます。
  • v2.1.312：同じプロバイダーで、Claude Code が認識できないモデル名（カスタムのデプロイ名や推論プロファイルの ARN など）は、背後が Sonnet や Haiku でも短いシステムプロンプトを使います。完全なプロンプトを使い続けるには CLAUDE_CODE_SIMPLE_SYSTEM_PROMPT=0 を設定します。
  • v2.1.314：LLM gateway 越しの claude-opus-4.8 のようにドットで書かれたモデル ID に、古いモデルのコンテキストウィンドウ、出力上限、effort、thinking モード、コストが当てはめられなくなりました。Foundry（v2.1.314）と、Vertex AI および Bedrock の sonnet、opus、haiku エイリアス（v2.1.316）は、デフォルトや最新のモデルが使えない場合、失敗せずに同じファミリーの古いモデルにフォールバックします。
  • v2.1.310：Monitor ツールとプラグインのモニターが、Bedrock、Vertex、Foundry と、テレメトリや必須でない通信を無効にした環境でも使えるようになりました。こうした環境でも、長いフォアグラウンドの sleep はブロックされます。
export CLAUDE_CODE_SIMPLE_SYSTEM_PROMPT=0   # full system prompt for custom deployment names
export CLAUDE_CODE_MODEL_CATALOG=off        # don't load the signed model catalog

やること： 11 月 30 日までに、fast mode の作業を Opus 4.8 から移してください。カスタムのデプロイ名を使うなら、短いシステムプロンプトでよいかを判断し、一度 /model <id> を実行しましょう。v2.1.316 以降、このバージョンがモデルを認識できず、auto-compact が 200K のコンテキストウィンドウを前提にする場合に警告が出ます。

4. ヘッドレスと CI：終了コード、サインインの期限、信頼

  • v2.1.314：起動に失敗した claude -p が、何も出力せずに 0 で終了していました。現在はエラーを表示し、1 で終了します。
  • v2.1.317：ディスクやクォータがいっぱいでトランスクリプトや ~/.claude.json の書き込みが失われても、claude -p は 0 で終了していました。現在はエラーを表示し、text と json の出力では 1 で終了します（NFS エクスポートの容量不足は検出できない場合があると記されています）。
  • v2.1.318：保存された claude.ai のサインインの期限が、claude auth status（loginExpiresAt）と claude -p の JSON 結果（credential_expires_at）に表示されるようになりました。text 出力では期限の 10 日前から stderr に 1 行の警告が出て、期限が切れるとエラーでそう伝え、claude -p では claude auth login と claude setup-token を案内します。
  • v2.1.309：claude ultrareview にワークスペースの信頼が必要になりました。ターミナルでは確認し、そうでなければ拒否します。スクリプトでは値を取らない --trust-workspace を渡すか（PR 番号やベースブランチはその前に置きます）、CLAUDE_CODE_DISABLE_ULTRAREVIEW_TRUST_CHECK=1 を設定します。v2.1.314 以降、CI が設定されていれば、claude ultrareview と claude remote-control は信頼されていないフォルダをすぐに拒否します。
  • v2.1.318 では、mod が turn.step をフックしている間に API エラーで応答が途切れても、claude -p と SDK のセッションが成功を報告していた問題も修正されました。
claude auth status                                     # includes loginExpiresAt
claude -p "Run the unit tests" --output-format json    # result includes credential_expires_at
claude ultrareview 1234 --trust-workspace              # no value; the PR number goes first

やること： claude -p が 0 以外で終了したら、ジョブを失敗にしてください。v2.1.314 と v2.1.317 で、以前は 0 で終わっていた 2 種類の失敗が終了コード 1 になりました。credential_expires_at か stderr の警告を監視し、スクリプトから呼ぶ claude ultrareview には --trust-workspace を付けましょう。

5. 取り消し、削除、挙動の変更

以前の項目を取り消す変更が 3 つあり、いずれも CHANGELOG に理由は書かれていません。

変更バージョン確認が必要な場合
v2.1.307 で追加された OpenTelemetry イベント claude_code.safety_event の送信を停止v2.1.312ダッシュボードやアラートがこれを読んでいる
Read ツールの「file unchanged since your last Read」スタブを削除。未変更のファイルを再度読むと内容が返るv2.1.317hook やプロンプトがスタブを前提にしている
2.1.286 以前に始めた会話を再開するときにモデルの以前の thinking を保持する、2.1.288 の修正を削除。その thinking は破棄されることがあるv2.1.318とても古い会話を再開する

スクリプトや習慣に影響しうるその他の変更です。

変更バージョン
sed -i は通常の Bash の権限プロンプトを経て、書かれたとおりに実行される。他の Bash による編集と同じく、/rewind では元に戻らないv2.1.309
設定ファイルと mod の $.env.set の DISABLE_COMPACT は、コンパクションを無効にすることしかできず、有効に戻せないv2.1.311
prompt と agent の hook は、セッションあたり同時に最大 24 個、加えてイベントのタイムアウトを過ぎて待っているもの最大 12 個まで。1 秒未満の timeout は 1 秒として扱うv2.1.312
FORCE_HYPERLINK=false（no、off も）はハイパーリンクをオンではなくオフにするv2.1.314
クラウドやセルフホストランナーのセッション内で実行した claude -p が、そのセッションの ID を共有しなくなった。ランナーでは CLAUDE_CODE_DISABLE_NESTED_SESSION_ID=1 で以前の動作に戻せるv2.1.317
ランナーの orchestrator の ok session=… 行がすべてのログレベルで stdout に出力され、ok と nack の行に reason=… が加わった。retryable=true: や retryable=false: に一致させるスクリプトは要更新v2.1.318
IDE のターミナルで起動しても、Claude Code が IDE 拡張機能をインストール・更新しなくなった。外部のターミナルから /ide を使うか、エディターの拡張機能ビューを使うv2.1.318

やること： ダッシュボードで claude_code.safety_event、スクリプトで retryable= と FORCE_HYPERLINK、設定で DISABLE_COMPACT を検索してください。

6. Claude apps gateway：ID、予算、ポリシー

設定または機能バージョン内容
oidc.user_id_claimv2.1.312sub 以外の id_token クレーム（Microsoft Entra ID の oid など）でユーザーを識別
upstream の groupsv2.1.314指定した IdP グループの開発者だけをその upstream に送る（フェイルオーバー時も同じ）
pooled_budgetv2.1.316グループのメンバーが共有する月額予算。各メンバー自身の上限に上乗せされ、支出上限の admin API で設定
managed.policy_mode: layeredv2.1.316開発者に一致するすべてのポリシーを適用し、それぞれを下に並ぶポリシーの上にマージ（最初の 1 つだけではない）
コストレポート GET /v1/organizations/analytics/costv2.1.317期間を指定して過去の支出を合計、開発者別、日別、IdP グループ別に取得
mantle upstream の assume_rolev2.1.318別の AWS アカウントのロールを使い、開発者ごとに AWS のコストを配分

Bedrock の upstream には guardrail_trace（v2.1.314）と guardrail.input_tagging（v2.1.316）も加わりました。v2.1.316 以降、availableModels、deniedModels、models でブロックされたモデルを指定するリクエストには、該当フィールドを示す 400 が返ります。

やること： ID プロバイダーの安定した ID が sub でないなら、oidc.user_id_claim を設定します。upstream の groups と pooled_budget でチームごとのルーティングと予算を分け、ポリシーの重なり方を確認してから managed.policy_mode: layered に切り替えましょう。

7. クラウドセッション、Remote Control、VS Code、Claude Tag、Code Review

特定の面に向けた項目もまとまった数になります。クラウドセッション 45 件、VS Code 44 件、Claude Tag 28 件、セルフホストランナー 12 件、Code Review 9 件、Remote Control 7 件です。主なものは次のとおりです。

  • クラウドセッション。 Enterprise のカスタムロールにクラウドセッションと Remote Control の権限が加わり（v2.1.310）、Anthropic のクラウドで動くスケジュールタスクは claude.ai アカウントで有効にしたプラグインを読み込みます（v2.1.314）。MCP サーバーが求めるフォームやリンクは、応答や拒否ができるカードとして表示され（v2.1.316、v2.1.317）、Anthropic がホストする環境のセッションはリポジトリを選ばずに始められます（v2.1.318）。
  • セルフホストランナーと Remote Control。 --hold-idle-file と --max-hold-min で、ホストが残ったプロセスを報告している間、アイドルのセッションを保持できます（v2.1.311）。更新やバージョンのクリーンアップで実行中のプロセスのバイナリが消えても、Remote Control のホスト、バックグラウンドのデーモン、ランナーが spawn ENOENT でセッションを始められなくなることはなくなりました（v2.1.318）。
  • VS Code。 コードブロックのシンタックスハイライト（v2.1.311）、20 万トークンを超えるアイドルの会話のアイドル時コンパクション（v2.1.314）、チャットパネルからの Claude apps gateway へのサインイン（v2.1.316）。
  • Claude Tag と Code Review。 Claude Tag の分析に Skills ビューが加わりました（v2.1.311）。Code Review は、GitHub からの push イベントが遅れて届いても古いコミットをレビューしなくなりました（v2.1.312）。

8. CLI の外側

この数週間には、Claude Code のリリースではないものの関連する発表が 2 つありました。

  • Message threads（ベータ）、11 月 2 日。 Messages API で、長い会話やエージェントループが message-threads-2026-08-12 ベータヘッダーを使って会話をサーバー側に保持できるようになりました。以降のリクエストは新しいメッセージだけを送ればよく、最初のトークンまでの時間も短くなります。この期間の Claude Code の CHANGELOG には登場しません。詳しくは「Claude API の message threads」をご覧ください。
  • Agent Skills を AAIF に寄贈、10 月 22 日。 Anthropic は Agent Skills の標準を、名前とロゴ、GitHub の organization、agentskills.io ドメインとともに、Linux Foundation 傘下の Agentic AI Foundation（AAIF）に寄贈しました。AAIF に参加しなくても、標準の利用や貢献は続けられます。詳しくは「Agent Skills と Agentic AI Foundation」をご覧ください。

今やること

claude --version   # v2.1.318 is the newest release covered here
claude update      # update to the latest version

個人の開発者

  1. sandbox と権限の修正を取り込むため、v2.1.318 に更新します。
  2. permissions.blockWritesOutsideWorkingDirectories をユーザー設定に入れるかを決めます。
  3. Anthropic の API 経由の 5.5 系と Fable 5.1 では、入力した ultrathink でそのターンが xhigh になります。望まないなら CLAUDE_CODE_DISABLE_ULTRATHINK を設定します。
  4. 別のモデルを使うサブエージェントは、そのモデルの effort を使うようになったので確認します。デフォルトが必要なら CLAUDE_CODE_SUBAGENT_EFFORT を設定します。
  5. 11 月 30 日までに、fast mode の作業を Opus 4.8 から Opus 5.5 に移します。

claude -p や CI を運用している人

  1. claude -p が 0 以外で終了したら、ジョブを失敗にします。
  2. credential_expires_at か stderr の警告を監視し、claude auth login または claude setup-token でサインインを更新します。
  3. claude ultrareview には、PR 番号やベースブランチの後に --trust-workspace を付けます。
  4. セルフホストランナーでは、セッション内で claude -p を実行するスクリプトと、orchestrator のログを解析するスクリプトを確認します。
  5. claude_code.safety_event に基づくアラートを置き換えます。

管理者

  1. 第 6 節の gateway の制御から必要なものを導入し、ブロック対象のモデルを指定したリクエストには 400 が返ることを想定しておきます。
  2. deniedMcpServers を見直します。URL エントリは、upstream の URL が一致する Anthropic 提供のサーバーと、クラウドセッションやセルフホストランナー上のコネクタ（セッションにコネクタ自身の URL が渡される場合）もブロックするようになりました（v2.1.318）。
  3. Team と Enterprise のログインでは、サーバー管理の設定が承認プロンプトなしで適用され、検証できない保存済みのコピーは拒否されるようになった点に注意します（v2.1.316）。
  4. クラウドセッションと Remote Control へのアクセスは、Enterprise のカスタムロールで付与します（v2.1.310）。

出典

上に挙げたバージョンには、当サイトのリリースアーカイブにそれぞれ個別のページがあります。この期間より前の変更は「8〜10 月のまとめ」を、Claude Code を順を追って学ぶなら学習ページをご覧ください。