Claude Code 2.1.222、分離した作業からメイン作業コピーへ届く経路を修正
別の作業コピー（worktree）へ分離したセッションやその子エージェントから、メイン作業コピーへ破壊的なGit操作を実行できる問題が修正されました。裏側で動くエージェント処理でも、ツール実行前の自動許可設定でツール制限を迂回できないようになっています。
AT A GLANCE
まず知りたいこと
MAIN CHANGE
一番大きい変化
分離した作業や裏側の処理から、本来の隔離やツール制限を越えられる2つの経路が修正されました。
KEY POINTS
このリリースの注目点
分離先からメイン作業コピーへ届かないよう修正
別worktreeへ分離したセッションとその子エージェント（subagent）が、メイン作業コピー（main checkout）へ破壊的なGit操作を実行できる問題が修正されました。分離したセッションと子エージェントのファイル編集とBashにも隔離が適用されます。
裏側の処理でもツール制限を維持
要約や会話の圧縮、名前変更などの裏側で動くエージェント処理では、ツール実行前の`PreToolUse`自動許可によってツール制限を迂回できる問題が修正されました。
BENEFIT
ここがいい
worktreeによる作業分離やツール制限を使うとき、子エージェントや裏側の処理だけ境界の外へ出る失敗を減らせます。間接的な処理でも、設定した隔離や制限を前提にしやすくなります。
RELEVANT TO
こんな人に関係する
- Claude Codeの作業を別worktreeへ分離している人
- 子エージェントを使って並行作業させるチーム
- `PreToolUse`でツール利用を制御している担当者
Claude Codeで作業を別worktreeへ分離していても、修正前は、そのセッションや子エージェントからメイン作業コピーへ破壊的なGit操作を実行できる経路がありました。分離したつもりの作業が、元の作業コピーへ影響し得る状態です。
v2.1.222ではこの経路が修正され、分離したセッションとその子エージェントのファイル編集やBashにも隔離が適用されるようになりました。
子エージェントでも分離を保つ
たとえば、別worktreeで調査や変更を進めるセッションから子エージェントを起動した場合です。修正前は、その子エージェントがメイン作業コピー（main checkout）に対して破壊的なGit操作を実行できました。
修正後は、分離したセッションだけでなく、その子エージェントにも隔離が適用されます。worktreeを分ける目的と、実際のファイル編集やBashの到達範囲がそろいやすくなります。
更新を優先する環境
v2.1.222では、次の2つの境界越えが修正されています。
- worktreeで分離したセッションやその子エージェントを使う場合: 未修正版では、子エージェントからメイン作業コピーへ破壊的なGit操作が届く経路が残ります。
PreToolUseで自動許可を設定し、要約、会話の圧縮、名前変更など裏側のエージェント処理にもツール制限を適用する場合: 未修正版では、その自動許可からツール制限を迂回できる経路が残ります。
公式情報ではプランや地域による条件、CVE、既知の悪用、影響が始まったバージョン、更新期限は示されていません。影響開始バージョンは不明なため、v2.1.222より前の全バージョンが影響したとは断定しません。