3行でいうと

  • 2.1.305（GitHub Releasesの表示で20 Oct）に、Linux用の sandbox.allowNestedUserNamespaces が加わりました。サンドボックスの中のコマンドが、ユーザー名前空間を作れるようになります（Chromiumやrootlessのpodmanがchangelogにあるねらいです）。changelogは、これで「サンドボックスのファイル保護を回避できる」とも書いています。便利さと引き換えの設定です。
  • 同じ2.1.305で、allowedMcpServers の効き方が変わりました。managed-mcp.json の中の、stdioサーバーで ${VAR} を env にだけ使うものは、許可リストの対象から外れます。許可リストで外していたサーバーが、更新で読み込まれることがあります。止めるには deniedMcpServers を使います。
  • 2.1.302で、claude -p と Agent SDK の既定が変わる場合があります。権限モードを指定しない実行が、サードパーティのプロバイダーやテレメトリ無効の環境などで、オートモードではなく Manual（default）で始まります。承認が要る呼び出しは、許可ルールなどがないと拒否されます。自動実行や CI の人は、更新前に確かめる項目です。
  • 「リトライとツール検索の改善」は、2.1.304で入った変更の不具合（回帰）を2.1.305で直した話です。ゲートウェイなどがツール検索を拒むと、全リクエストが失敗していました。2.1.305は、ツール検索なしで再試行します。
  • 日付はchangelogのページに書かれていません。ここに書く日付は、GitHub Releasesの表示（年とタイムゾーンは表示なし）です。

この記事は、実際に使って確かめた記録ではありません。この記事は、公式のchangelogと公式ドキュメントを2026年10月22日に読んだ整理です。引用は短く、ほとんどは言い換えです。

先に結論

前提：用語をそろえる

変更点を、使う人への影響で分ける

版の日付は、GitHub Releasesの表示です（2.1.302は16 Oct、2.1.303は18 Oct、2.1.304は19 Oct、2.1.305は20 Oct、2.1.306は21 Oct）。年とタイムゾーンは表示されていません。「影響を受ける人」は、初心者（設定を触らず対話で使う人）、ふつうに使う人（毎日使い、許可ルールなどは少し触る人）、設定をいじる人（設定ファイル、CI、組織の管理をする人）の3つで考えます。

版 変更（言い換え） 影響を受ける人 権限・安全・料金に関わるか 確かさ
2.1.305 Linuxで、サンドボックス内のコマンドがユーザー名前空間を作れる設定 sandbox.allowNestedUserNamespaces を追加。changelogは、これでコマンドがサンドボックスのファイル保護を避けられる、と書く 設定をいじる人（Linux） 安全に関わる（保護が弱まる側の設定） 文書に書かれている（changelogのみ）。初期値は書かれていない。公式のサンドボックスのページと設定の一覧では、僕らが読めた範囲に項目が見つからなかった
2.1.305 allowedMcpServers が、managed-mcp.json のstdioサーバーのうち ${VAR} を env にだけ使うものを、絞り込まなくなった。許可リストで外していたものが、更新で読み込まれる。止めるには deniedMcpServers 設定をいじる人（組織の管理者） 権限・安全に関わる 文書に書かれている（changelog）。公式の管理ページは command・args・env・URL・headers のどれかで ${VAR} を使うと確認される、と書いていて、この変更より前の記述に見える。どちらが新しいかは書かれていない
2.1.305 管理設定で allowManagedPermissionRulesOnly が有効なとき、Claude Desktopがパスでマウントするプラグインは、allowed-tools を持ち続けなくなった 設定をいじる人 権限に関わる 文書に書かれている（changelog）。設定の一覧に allowManagedPermissionRulesOnly の項目はあり、スキルの allowed-tools の制限はv2.1.282以降に効く、とある。この変更そのものの記述は、僕らの読めた範囲になかった
2.1.305 Vertex・Bedrockなどのプロバイダーやゲートウェイがツール検索を拒むと、全リクエストが失敗した不具合（2.1.304の回帰）を修正。ツール検索なしで再試行する ふつうに使う人（ゲートウェイ、クラウドのプロバイダー経由） 安全には関わらない。使えなくなる不具合 文書に書かれている（changelog）
2.1.304 カスタムの ANTHROPIC_BASE_URL の先でも、ツール検索が既定でオン。ゲートウェイが400か422を返すと、ツール検索なしで再試行 設定をいじる人（ゲートウェイ） 挙動の変更。料金への影響は書かれていない 文書に書かれている（changelog）。公式のMCPのページは、ゲートウェイでの扱いは別の節を見るよう案内しており、その節は読めていない
2.1.302 claude -p とAgent SDKで権限モードを指定しない実行が、サードパーティのプロバイダー、テレメトリ無効、新規インストールでは、default（Manual）で始まる。--permission-mode auto を付けると、auto のまま 設定をいじる人（CI・自動実行） 権限に関わる。破壊的変更になりうる 文書に書かれている（changelogと公式の権限モードのページ。ページは「v2.1.302以降」と明記）
2.1.302 非対話実行で、承認が要る呼び出しは、許可ルール、フック、canUseTool コールバック、--permission-prompt-tool がないと拒否される 設定をいじる人 権限に関わる 文書に書かれている（公式の権限モードのページ）
2.1.302 クライアント側のオートモード分類器のモデルを選ぶ CLAUDE_CODE_AUTO_MODE_MODEL を追加。サーバー側のオートモードのモデルは変えない 設定をいじる人 権限に関わる。分類器の呼び出しがトークン使用量に数えられるアカウントがある、と公式ページにある 文書に書かれている（changelogと権限モードのページ）
2.1.302 サーバー側の分類器を使うオートモードで、会話が長すぎて安全確認に入らないとき、すべての呼び出しを拒否せず、圧縮して続ける ふつうに使う人 権限に関わる 文書に書かれている（changelog）
2.1.302 プロンプトとエージェントのフックは、同じイベントで同時に最大12まで。残りは順番を待つ 設定をいじる人 安全に関わりうる（フックの実行が遅れる） 文書に書かれている（changelog）
2.1.302 フォークしたサブエージェントが、claude -p・SDK・デスクトップ・VS Codeでも既定でオン。デスクトップとVS Codeでは、メイン会話のサブエージェントは常にバックグラウンドで動く。CLAUDE_CODE_FORK_SUBAGENT=0 でオフ ふつうに使う人、設定をいじる人 使用量への影響は書かれていない 文書に書かれている（changelog）
2.1.302 プランではクレジットでしか払えないモデルで、クレジット請求の返信のあとは、プロンプト提案（先回りの候補）を出さない。提案のためにクレジットを使わないようにする変更 ふつうに使う人 料金に関わる 文書に書かれている（changelog）
2.1.302 /config に「アイドル圧縮」の行を追加（オフにできる）。圧縮後の通知にも、止め方が出る ふつうに使う人 使用量に関わりうる 文書に書かれている（changelog。アイドル圧縮そのものは公式のプロンプトキャッシュのページにも説明あり）
2.1.304 rm -r が、マウントしたドライブや最上位のフォルダ（/Volumes、/media、WSLの /mnt/c）に向くとき、rm -rf /Applications と同じ安全確認が出る 全員 安全に関わる 文書に書かれている（changelog）
2.1.304 sandbox.filesystem.denyRead のglobに、文字クラスでない角かっこ（例：[user-id] というルートのフォルダ）が入ると、Linuxでサンドボックスのコマンドが起動に失敗した不具合を修正 設定をいじる人（Linux） 安全に関わる 文書に書かれている（changelog）
2.1.304 claude --worktree が、HEADが切り離されているときや別のブランチにいるときに、終了時に確認なしでworktreeとブランチを消し、コミットを失いうる不具合を修正 ふつうに使う人（worktreeを使う人） 安全に関わる（データを失いうる） 文書に書かれている（changelog）
2.1.304 「プラグイン由来のフックだけ許可」という方針のとき、フックが締め出されたスキルが、メイン会話で allowed-tools を持たなくなった 設定をいじる人 権限に関わる 文書に書かれている（changelog）
2.1.304 PreToolUseフックの拒否理由が、同じ呼び出しのSDKコールバックフックがタイムアウトしたときに、タイムアウトのエラーに置き換わる不具合を修正 設定をいじる人 権限に関わる 文書に書かれている（changelog）
2.1.304 ProとMaxのプランで、しばらく動かしていない会話を再開すると、5時間の使用上限のかなりの割合を使う場合に、警告を出す ふつうに使う人 使用量に関わる 文書に書かれている（changelog）
2.1.304 1つの出どころ（リポジトリ、自分のフォルダ、プラグイン）のスキルが登録できるフックは、1セッションで最大1,024個、matcherの文字数は合計16,384まで 設定をいじる人 安全に関わりうる 文書に書かれている（changelog）
2.1.304 コードレビューに「Quick」「Standard（既定）」「Deep」のレベルを追加。組織の所有者が選び、リポジトリごとに変えられる。GitHub組織の全リポジトリを、あとから足すものも含めて対象にする選択肢も追加 設定をいじる人（管理者） 料金への影響は書かれていない 文書に書かれている（changelog）
2.1.305 新しいworktreeが、bareリポジトリで、既定のブランチではなくローカルのHEADから始まることがあった不具合と、変更のないサブエージェントのworktreeが片付かないことがあった不具合を修正 ふつうに使う人（worktreeを使う人） 安全に関わらない 文書に書かれている（changelog）
2.1.305 クラウドセッションやSDKの setMcpServers で渡したMCPサーバーが、あとから、自分の設定の同名サーバーに置き換わる不具合を修正 設定をいじる人（MCP、クラウド） 安全に関わりうる（どのサーバーにつながるか） 文書に書かれている（changelog）
2.1.305 MCPの同意ダイアログで、プロンプトに向けたEnterが「承認」と取られにくくなった 全員 安全に関わる 文書に書かれている（changelog）
2.1.305 /artifacts の削除確認が、1かEnterで残す、2で削除、Escで取り消し、になった。y と n では答えられない（2.1.304は、y・n・Escも使えた） ふつうに使う人 安全に関わる（誤削除の防止） 文書に書かれている（changelog）
2.1.305 無人のリトライモード（CLAUDE_CODE_RETRY_WATCHDOG）が、リセット前に解除された使用上限に気づくための CLAUDE_CODE_RETRY_WATCHDOG_USAGE_LIMIT_RECHECK_MS を追加 設定をいじる人（自動実行） 使用量に関わる 文書に書かれている（changelog）。公式の環境変数の一覧では、僕らが読めた範囲に項目が見つからなかった
2.1.305 /usage の警告を、原因を示す1行の対処にして、f で適用できるようにした。同じ対処はVS Codeと /doctor にも出る ふつうに使う人 使用量に関わる 文書に書かれている（changelog）
2.1.305 起動時の警告をデバッグログへ移し、何も制限しない権限ルールは、バナーの下に警告の行として出す 設定をいじる人 権限に関わる 文書に書かれている（changelog）
2.1.305 コードレビューの再レビューが、前のブロック指摘が未解決のうちは「LGTM」で始まらない。複数のpushが重なっても最新のコミットを見るように修正 ふつうに使う人（コードレビューを使う人） 安全に関わらない 文書に書かれている（changelog）
2.1.306 クラウドセッション内の claude -p が「Not logged in」と出る不具合と、MCPツールが多いセッションで、APIのエラーが「prompt is too long」に置き換わり、不要な圧縮が走る不具合を修正 ふつうに使う人（クラウド、MCPが多い人） 安全に関わらない 文書に書かれている（changelog）
2.1.303 「バグ修正と信頼性の改善」の1行だけ — 中身が書かれていないので、判断できない 文書に書かれている（1行のみ）。具体的な内容は書かれていない

表に入れなかったもの：VS Code拡張、Claude Tag（Slack）、セルフホストランナー、Windows、mod（Claude Codeの拡張の仕組み）に関する多数の修正と追加です。この週の2.1.304は「12の改善」と「43のバグ修正」、2.1.302は「7つの改善」と「43のバグ修正」、2.1.305は「6つの改善」と「22のバグ修正」と見出しにあります。僕らが数え直したのは、2.1.305の22件だけです。

更新前に確かめること

気をつけること

出典

更新履歴