Anthropic ha rilasciato Claude Code v2.1.251 alle 18:19 UTC del 28 agosto. Cinque delle voci del suo changelog riguardano fughe dal sandbox o dai permessi. Sono formattate come qualsiasi altro punto del file.

Le cinque

Uno symlink swap time-of-check/time-of-use che consentiva agli strumenti Read, Write ed Edit di operare fuori da una directory approvata dopo che il percorso era stato convalidato. Path traversal nel caricamento dei plugin. Impostazioni a livello di progetto che potevano attivare la registrazione grezza del body delle richieste API e aggirare un collector di telemetria configurato da un amministratore. Il workflow runner che leggeva un percorso di script prima del controllo dei permessi. E Grep e Glob che seguivano symlink oltre le deny rule che avrebbero dovuto bloccare quelle letture.

Perché questa classe conta

Non si tratta di bug nel comportamento del modello. Sono lo strato di enforcement che rende sicuro indirizzare un coding agent verso un repository: la promessa è che l’agente tocchi ciò che hai approvato e nient’altro. Uno symlink swap TOCTOU vanifica quella promessa in modo deterministico — il controllo passa, il link viene reindirizzato, la scrittura finisce altrove. La voce sulla registrazione è una variante diversa dello stesso problema: un’impostazione dentro un progetto check-out che altera ciò che l’agente registra e dove lo invia.

Cosa sbaglia la lettura comune

La collocazione nel changelog viene interpretata come una valutazione della gravità — se fosse serio, ci sarebbe un advisory. Questa inferenza qui non regge, perché lo stesso repository ha pubblicato dieci security advisory, diversi dei quali esattamente in questa classe, incluso all’inizio dell’anno un sandbox escape via symlink ad alta gravità. Dunque il progetto riconosce sia la categoria sia il canale per trattarla. La pubblicazione attraverso il changelog significa invece che gli utenti downstream non ricevono alcun CVE, alcuna severità e nessuna notifica tramite scanner delle dipendenze — la correzione arriva, e solo i lettori delle note di rilascio scoprono che c’era qualcosa da correggere.

La conseguenza pratica

Le organizzazioni che subordinano il rollout degli agenti ai feed degli advisory non hanno visto nulla il 28 agosto. La lettura operativa corretta è che i changelog dei coding agent sono ormai un feed di sicurezza e vanno monitorati come tale.