3行でいうと

  • 2.1.299で、MCPの許可ルール mcp__a は、a というサーバーにだけ当たるようになりました。a__b や a_ という名前のサーバーには、もう許可を出しません。サーバーの名前に二重のアンダースコアがあるときは、mcp__<サーバー名>__* と書きます。公式の権限のページにも、同じ説明があります。
  • フックの「止める」側が、固くなりました。答えを返せないフックが止める側に倒れる（2.1.299）、WindowsでGit for Windowsがないとき、PreToolUseフックが「通してしまう」不具合の修正（2.1.299）、updatedInput の検証（2.1.300）です。なお、onFailure: "block" の追加は、前の週の2.1.295（8 Oct）で、この記事の範囲外です。
  • 2.1.299で、長く放置した会話を自動で圧縮する「アイドル圧縮」が入りました。200Kトークン以上の会話を、約54分放置すると、1時間のプロンプトキャッシュが切れる前に圧縮します。止めるには idleCompaction を false にします。
  • 2.1.296で、Claude Codeが表示する費用の計算が変わりました。Sonnet 5.5のキャッシュ読み取りを、100万トークンあたり0.10ドル（以前は0.20ドル）で数えます。公式の料金表の0.10ドルと合います。
  • 日付は、changelogのページに書かれていません。GitHub Releasesの表示（年とタイムゾーンは表示なし）で、2.1.296は9 Oct、2.1.299と2.1.300は14 Oct、2.1.301は15 Octです。

この記事は、実際に使って確かめた記録ではありません。この記事は、公式のchangelogと公式ドキュメントを2026年10月22日に読んだ整理です。引用は短く、ほとんどは言い換えです。

先に結論

前提：用語をそろえる

変更点を、使う人への影響で分ける

日付はGitHub Releasesの表示です（2.1.296は09 Oct 19:28、2.1.301は15 Oct 19:22。2.1.299と2.1.300は14 Oct、時刻は読んでいません）。年とタイムゾーンは表示されていません。「影響を受ける人」は、初心者（設定を触らず対話で使う人）、ふつうに使う人（毎日使い、許可ルールなどは少し触る人）、設定をいじる人（設定ファイル、CI、組織の管理をする人）の3つで考えます。

版 変更（言い換え） 影響を受ける人 権限・安全・料金に関わるか 確かさ
2.1.299 MCPの許可ルール mcp__a が、a というサーバーにだけ当たる。a__b や a_ という名前のサーバーを、もう許可しない。エージェントの tools: の一覧も同じ。名前に __ があるサーバーは mcp__<サーバー名>__* と書く 設定をいじる人 権限に関わる。破壊的変更になりうる（これまで通っていたルールが当たらなくなる） 文書に書かれている（changelogと公式の権限のページ）
2.1.299 拒否と確認のルール mcp__<サーバー名> が、サーバー名に二重のアンダースコアがあると効かなかった不具合を修正 設定をいじる人 権限に関わる（拒否が効かない穴） 文書に書かれている（changelog。権限のページに、拒否と確認では別の当たり方をする旨の説明あり）
2.1.299 claude.aiのコネクタ用プロキシと、Anthropicが動かすMCPサーバーへのリクエストが、HTTPのリダイレクトをたどらなくなった。クラウドとセルフホストランナーのMCPプロキシも同じ。コネクタ側のサーバーが自分で出すリダイレクトは、そのまま 設定をいじる人（MCP、クラウド） 安全に関わる 文書に書かれている（changelog）
2.1.299 ブロックされたMCPサーバーに、つなぎに行かない。claude mcp list、claude mcp get、サブエージェントのMCPサーバー、実行中のヘッドレス／SDKセッションに足したサーバーが対象。以前は、一部の方針チェックより先につながっていた 設定をいじる人（組織の管理者） 安全に関わる 文書に書かれている（changelog）
2.1.299 プラグインのフックが「止められる操作」は、フックに渡せない、またはフックが答えを返せないとき、通さずに拒否する。すでに実行されたツールの結果は、返さずに伏せる。Windowsでは、シェルを指定しないPreToolUseとPermissionRequestのフックが、Git for Windowsなしで「通してしまう」不具合を修正し、失敗したら止める 設定をいじる人 権限・安全に関わる。止める側に倒れる 文書に書かれている（changelog）。公式のフックのページは、onFailure を指定しない限り、ほとんどのイベントでフックの失敗時もアクションは進む、と書く（onFailure はv2.1.295以降）。この変更が、そのページの既定とどう関係するかは、読み切れていない
2.1.299 UserPromptSubmitフックが、スキルやカスタムのスラッシュコマンドが展開される前に動く。プロンプトを止めるフックは、中に埋まったシェルコマンドも止める 設定をいじる人 権限・安全に関わる 文書に書かれている（changelog）
2.1.299 Cowork（クラウド）のオートモードで、PermissionRequestフックは、シェルコマンドとサブエージェントを承認できなくなった。それらの確認は待つか拒否される。2.1.300では、Coworkのクラウドセッションで、フックの許可の中の setMode の更新が無視される 設定をいじる人（Cowork、クラウド） 権限に関わる 文書に書かれている（changelog）
2.1.299 プランモードが、PreToolUseフックやmodの tool.check が許可した書き込み（MCPのツール、ファイル、シェルコマンド）を実行してしまう不具合を修正 ふつうに使う人、設定をいじる人 権限・安全に関わる 文書に書かれている（changelog）
2.1.300 PreToolUseとPermissionRequestのフックが返す updatedInput を、Claude自身の入力と同じ基準で検証する。知らないキーは落とし、ツールが受け付けない入力は呼び出しを拒否する 設定をいじる人（フック） 権限に関わる。破壊的変更になりうる 文書に書かれている（changelog）
2.1.300 エージェントフックが model の指定を無視する不具合を修正。使えないモデルのときは、操作を許可せず、呼び出し側のモデルに切り替える 設定をいじる人（フック） 権限に関わる 文書に書かれている（changelog）
2.1.299 サンドボックスの穴を複数ふさいだ。サンドボックス内のコマンドが --plugin-dir のフォルダに書ける問題、macOSで禁止パスがシンボリックリンクを通ると実際の場所が守られなかった問題、denyRead・allowRead のglobに波かっこ・丸かっこ・バックスラッシュがあるとき、設定の確認とサンドボックスで読み方が違う問題、allowRead・allowWrite の起点がシンボリックリンクに差し替わっても再確認されない問題 設定をいじる人 安全に関わる 文書に書かれている（changelog。macOSのシンボリックリンクの扱いは、公式のサンドボックスのページにも説明あり）
2.1.300 claude remote-control から --sandbox と --no-sandbox が消えた（効果がなかった）。指定するとエラーで終わる。サンドボックスは、設定の sandbox.enabled で決める 設定をいじる人（スクリプト） 安全に関わる。破壊的変更 文書に書かれている（changelog）
2.1.299 実行時に組み立てる rm が、Claude Codeに読めないシェルスクリプト（-c で渡すもの）の中にあるとき、確認を出さなくなった。CLAUDE_CODE_STRICT_INLINE_SHELL_RM_PROMPT=1 で従来どおり確認する ふつうに使う人、設定をいじる人 安全に関わる（確認が減る側） 文書に書かれている（changelog）。公式の環境変数の一覧には、この名前の項目が僕らの読めた範囲に見つからず、似た名前の CLAUDE_CODE_DISABLE_INLINE_SHELL_RM_PROMPT（v2.1.288以降）があった
2.1.296 Bashの権限確認が、シェル変数 BASH_ARGV0 に代入してから使うコマンドを、自動で通してしまう不具合を修正。いまは確認を出す 全員 権限・安全に関わる 文書に書かれている（changelog）
2.1.296 EditとNotebookEditが、UTF-8でないファイル（Windows-1252、Shift-JIS、GBKなど）の非ASCII文字をすべて置き換えてしまう不具合を修正。そうした編集は拒否する。2.1.299では、Writeがバイトオーダーマークを落としたり、これらの文字コードをUTF-8に変えたりする不具合も、拒否に変えた ふつうに使う人（日本語のファイルを扱う人） 安全に関わる（ファイルを壊さない） 文書に書かれている（changelog）
2.1.296 Windowsで、Git Bashの rm -rf /c/Users/<名前> が、bypass permissionsモードで確認を出さない不具合を修正 設定をいじる人（Windows） 安全に関わる 文書に書かれている（changelog）
2.1.296 管理設定のPreToolUseフックが "continue": false で拒否したとき、管理設定のpromptフックがブロックしたとき、呼び出しは拒否されるのにターンが終わらなかった不具合を修正。管理設定のPostToolUseフックの updatedMCPToolOutput が、一部のセッションで効かない不具合も修正 設定をいじる人（組織の管理者） 権限・安全に関わる 文書に書かれている（changelog）。公式のフックのページの記述は updatedToolOutput の形で見えており、updatedMCPToolOutput そのものは読んだ範囲で見つからなかった
2.1.296 .mcp.json やプラグインのMCPサーバーを、そのフォルダ向けにオフにしていても、ヘッドレスのセッションが、ディレクトリ移動やプラグイン再読み込みのあとに起動してしまう不具合を修正 設定をいじる人 安全に関わる 文書に書かれている（changelog）
2.1.296・2.1.299 Claude in Chrome：VS Codeで、すべてのセッションでブラウザ操作の前に確認する（2.1.296）。Coworkのクラウドで、オートモード以外のとき、承認済みサイトの操作を分類器が怪しいと見ると、拒否ではなく確認する（2.1.299）。クラウドで、機能フラグが読めていないとき、保存済みの許可があるChrome操作でオートモードの確認が飛ばされる不具合を修正（2.1.296） ふつうに使う人 権限に関わる 文書に書かれている（changelog）
2.1.299 端末で、200K以上のトークンの会話を約54分放置すると、1時間のプロンプトキャッシュが切れる前に圧縮する「アイドル圧縮」を追加。CLAUDE_CODE_IDLE_COMPACT_MIN_TOKENS で下限を変え、"idleCompaction": false でオフ。どちらも2.1.290以降が必要、とchangelogにある ふつうに使う人 使用量に関わりうる。会話の中身が要約に置き換わる 文書に書かれている（changelogと公式のプロンプトキャッシュの説明）。追加の版が299なのに、設定が290以降とされていて、機能がどの版から効くのかは読み切れていない
2.1.299 /usage、上限が近づく警告、ステータスラインが、100%を超えて表示することがある不具合を修正。/usage に、最大の努力レベル、ワークフロー、常時読み込む文脈、大きなツール結果への警告を追加 ふつうに使う人 使用量に関わる 文書に書かれている（changelog）
2.1.296 /cost、ステータスライン、--max-budget-usd、SDKの費用の数字が、Sonnet 5.5のキャッシュ読み取りを100万トークンあたり0.10ドル（以前は0.20ドル）で数える ふつうに使う人、設定をいじる人（予算上限を使う人） 料金に関わる（Claude Codeが示す見積と、予算上限の判定） 文書に書かれている（changelogと公式の料金表。表のSonnet 5.5の「ヒットとリフレッシュ」が0.10ドル）
2.1.296 過負荷（529）のときの再試行の最大待ち時間を長くする CLAUDE_CODE_OVERLOADED_RETRY_MAX_DELAY_MS を追加 設定をいじる人（自動実行） 使用量・待ち時間に関わる 文書に書かれている（changelogと公式の環境変数の一覧。値は32000から64000ミリ秒、CLAUDE_CODE_RETRY_WATCHDOG が1のときは効かない、とある）
2.1.296 MCPツールの説明とサーバーの指示を最初に送る長さの既定の上限を、2,048文字から4,096文字に上げた。2.1.299では、api.anthropic.com のAnthropic製MCPサーバーの説明と指示は、4,096文字で切らずに全部渡す 設定をいじる人（MCPを多く使う人） 送る量が増えうる。料金への影響は書かれていない 文書に書かれている（changelog）
2.1.299 公式でない（サードパーティの）ゲートウェイ用のAPIキーが、Anthropicへの機能フラグ、起動、高速モード、プロフィール、フィードバックのリクエストや、管理設定の取得に乗って送られる不具合を修正。AnthropicのAPIキーは従来どおり送る 設定をいじる人（ゲートウェイ） 安全に関わる（秘密情報の扱い） 文書に書かれている（changelog）
2.1.300 ローカルの会話記録に、各APIリクエストのシステムプロンプト、ツール、パラメーターも残るようにした。共有する記録で、リクエストを正確に再現できる ふつうに使う人、設定をいじる人（記録を共有する人） 安全に関わる（記録の中身が増える）。2.1.296では、共有する記録とデバッグログで、一部の値が秘匿されない不具合を修正 文書に書かれている（changelog）
2.1.300 api.anthropic.comへの大きなリクエストを、テレメトリが無効でもgzipで圧縮して送る。CLAUDE_CODE_GZIP_REQUEST_BODIES=0 でオフ 設定をいじる人（プロキシ、通信の検査をする人） 安全に関わりうる 文書に書かれている（changelogと公式の環境変数の一覧）
2.1.299 終了時に表示される再開コマンドが、セッション名ではなくIDで指す。名前の中身が、貼り付けたときに実行されないようにするため 全員 安全に関わる 文書に書かれている（changelog）
2.1.301 小さなコンテキストウィンドウのモデルに切り替えるとき、長すぎる会話は、先に前のモデルで要約する。使用量クレジットを、確認なしで要約に使ってしまう場合があった不具合も修正 ふつうに使う人 料金に関わる 文書に書かれている（changelog）
2.1.301 無人のリトライモードが、リセットまで遠い使用上限で待たずに終える CLAUDE_CODE_RETRY_WATCHDOG_MAX_USAGE_LIMIT_WAIT_MS を追加 設定をいじる人（自動実行） 使用量に関わる 文書に書かれている（changelog）。公式の環境変数の一覧では、僕らが読めた範囲に項目が見つからなかった
2.1.301 OpenTelemetryの tool_decision イベントに、classifier_verdict と permission_mode を追加。OTEL_LOG_TOOL_DETAILS=1 のとき、分類器のブロックが当たった内蔵ルールの名前（classifier_category）も入る 設定をいじる人（監視をする人） 権限の監査に関わる 文書に書かれている（changelog）
2.1.301 WorktreeCreate フックで作ったworktreeを、未pushのコミットがありうるのに、終了時に確認せず消す不具合を修正。権限確認の最中にメッセージで途中で打ち切られたツール呼び出しを、「ユーザーが拒否した」とモデルに伝える不具合も修正 ふつうに使う人 安全・権限に関わる 文書に書かれている（changelog）
2.1.301 プラグインやスキルのフックの ask の権限確認に、どのプラグイン・スキルからのものかを表示する ふつうに使う人 権限に関わる 文書に書かれている（changelog）
2.1.301 セルフホストランナーで、管理設定がMCPサーバーを制限しているとき、Slackから始めたセッションがリポジトリを見つけられない不具合を修正。そうしたツールを止めるには deniedMcpServers を使う 設定をいじる人（セルフホストランナー） 安全に関わる 文書に書かれている（changelog）

表に入れなかったもの：VS Code拡張、Claude Tag（Slack）、コードレビュー、Windowsの表示やターミナルの描画、mod（Claude Codeの拡張の仕組み）に関する多数の修正と追加です。見出しの件数は、2.1.296が「9の改善」「56のバグ修正」、2.1.299が「16の改善」「131のバグ修正」、2.1.300が「59のバグ修正」、2.1.301が「37のバグ修正」です。僕らが数え直したのは、2.1.296のバグ修正の56件だけです。

更新前に確かめること

気をつけること

出典

更新履歴