Anthropic a publié Claude Code v2.1.251 à 18:19 UTC le 28 août. Cinq des entrées de son changelog relèvent d’évasions du sandbox ou des autorisations. Elles sont rédigées comme n’importe quelle autre puce du fichier.

Les cinq

Une substitution de lien symbolique de type time-of-check/time-of-use qui permettait aux outils Read, Write et Edit d’opérer en dehors d’un répertoire approuvé après validation du chemin. Traversée de chemin dans le chargement des plugins. Des paramètres au niveau du projet pouvant activer la journalisation brute du corps des requêtes API et contourner un collecteur de télémétrie configuré par un administrateur. Le moteur de workflow lisant un chemin de script avant l’exécution de la vérification d’autorisation. Et Grep et Glob suivant des liens symboliques au-delà des règles de refus censées bloquer ces lectures.

Pourquoi cette catégorie compte

Il ne s’agit pas de bugs de comportement du modèle. Ce sont la couche d’application des règles qui rend un agent de codage sûr à pointer vers un dépôt : la promesse est que l’agent touche ce que vous avez approuvé, et rien d’autre. Une substitution de lien symbolique TOCTOU détruit cette promesse de manière déterministe — la vérification passe, le lien est redirigé, l’écriture se fait ailleurs. L’élément de journalisation relève d’une autre variante du même problème : un réglage dans un projet extrait modifie ce que l’agent enregistre et où il l’envoie.

Ce que la lecture commune interprète mal

Le placement dans le changelog est lu comme un jugement de gravité — si c’était sérieux, il y aurait une alerte. Cette inférence ne tient pas ici, car le même dépôt a publié dix avis de sécurité, dont plusieurs dans exactement cette catégorie, y compris une évasion du sandbox par lien symbolique de haute gravité plus tôt dans l’année. Le projet reconnaît donc bien cette catégorie et dispose d’un canal pour la traiter. Le publier via le changelog signifie en revanche que les utilisateurs en aval n’obtiennent ni CVE, ni niveau de gravité, et aucune notification via un scanner de dépendances ; le correctif est livré, et seuls les lecteurs des notes de version apprennent qu’il y avait quelque chose à corriger.

La conséquence pratique

Les organisations qui conditionnent le déploiement des agents aux flux d’avis n’ont rien vu le 28 août. La lecture opérationnelle correcte est que les changelogs des agents de codage sont désormais un flux de sécurité et doivent être surveillés comme tel.