Claude Code v2.1.307~309：API 版本切到 2026-10-21，v2.1.309 一口气补了六条沙箱绕过路径
Claude Code v2.1.307~309 于 2026-10-21~22 连发：新增 /claude-api api-version 与安全事件遥测，v2.1.309 修补符号链接、启动文件、重定向等六条沙箱绕过路径。
2026-10-23 · anthropics/claude-code 官方仓库 Release Notes（tag v2.1.307 2026-10-21T22:17:02Z / v2.1.308 2026-10-22T04:34:55Z / v2.1.309 2026-10-22T22:18:57Z，prerelease 均为 false，经 GitHub Releases API 一手核对）
发布 2026-10-23核实 2026-10-23要点速览
- 三天三个版本：
v2.1.307（10-21 22:17 UTC）、v2.1.308（10-22 04:34 UTC）、v2.1.309（10-22 22:18 UTC），v2.1.309是当前 stable。 - v2.1.307 的两条 feat：
/claude-api api-version可把 Claude API 代码迁到 API 版本2026-10-21；新增claude_code.safety_eventOpenTelemetry 事件。 - v2.1.308 官方只有一句「Bug fixes and reliability improvements」，未逐条列出。
- v2.1.309 是沙箱收口版：至少 六条修复都在补「绕过沙箱的路径」——符号链接、shell 启动文件、Bash 重定向、
locale前缀命令、zsh 算术命令、git replace refs。 - 一条会挡住人的修复：超大嵌套
CLAUDE.md让会话反复压缩的问题修了——超限的嵌套 CLAUDE.md 现在只加载开头一部分。 - 本站连续第九次确认：官方 CHANGELOG 中
v2.1.297与v2.1.298两节仍然缺失，原因未获知。
三个版本（2026-10-23 逐 tag 核对）
| 版本 | 发布时间（UTC） | 官方条目性质 |
|---|---|---|
v2.1.309（stable） | 2026-10-22 22:18 | 全 fix，沙箱与隔离边界集中收口 |
v2.1.308 | 2026-10-22 04:34 | 官方仅一句「Bug fixes and reliability improvements」 |
v2.1.307 | 2026-10-21 22:17 | 两条 feat + 大量 fix |
口径说明：Claude Code 官方 CHANGELOG 的版本标题下不含发布日期；上表时间取自 GitHub Releases 的 tag 时间戳（一手），是 tag 创建时间，非厂商公布发布日。另需重申：v2.1.297 / v2.1.298 在官方 CHANGELOG 中缺失，本站不作推断。
v2.1.307：两条 feat
① /claude-api api-version——把 API 版本变成可切换项。 官方原文："Added /claude-api api-version to move Claude API code to API version 2026-10-21." 对大多数使用者这条用不上，但它意味着 Claude Code 侧的 API 版本不再硬编码——企业里若因合规要求钉在某个 API 版本上，现在有了官方的切换入口。
② claude_code.safety_event——护栏终于有审计轨迹。 官方原文："Added the claude_code.safety_event OpenTelemetry event for each tool call a permission rule, auto mode, a safety check, a hook or the sandbox stopped, prompted or sent back."
这条值得单独讲：它把「谁拦了什么」变成可观测事件，覆盖五种拦截来源——权限规则、auto mode、安全检查、钩子、沙箱；并区分三种结果——拦下（stopped）、提示（prompted）、放行（sent back）。
对比本站记录的演进：2.1.294 修的是「钩子自己出错时静默放行」，2.1.295 给了 onFailure: "block" 让失败即封闭，现在 2.1.307 补上「拦了要有记录」。三件事合起来才是完整闭环：护栏会拦 → 拦不住时不放行 → 拦了留痕。少了第三步，企业在审计时只能证明「我们配了规则」，证明不了「规则真的生效过」。
其余 fix 里两条对日常使用影响较大：
prompt-caching-scopebeta header 不再发到自定义ANTHROPIC_BASE_URL网关与 Foundry（官方点明这两处该 header "has no effect"）。走自建网关的，这是白发的请求头被收掉。- HTTP MCP 工具调用不再重复发送：连接中途关闭时此前会重发，现在只对只读或幂等工具重试。这条对非幂等工具是实打实的安全改进——一条「发两次」的写操作，后果不对称。
v2.1.309：六条沙箱绕过路径被补掉
这一版官方条目全是 fix，但至少六条指向同一件事：沙箱的边界此前有洞。
| 绕过路径 | 官方修复要点 |
|---|---|
| shell 启动文件 | macOS / Linux 上沙箱化 Bash 命令此前会在沙箱外执行 shell 启动文件；现在修掉 |
符号链接绕过 denyWrite | 通过 symlink 到达路径时，denyWrite glob 此前不作用在真实位置上 |
--mcp-config 配置文件被改 | 沙箱命令与自动接受的编辑此前能改掉随参传入的 MCP 配置文件 |
Bash 重定向绕过 Edit(path) deny | 某些带子 shell 的命令里，Edit(path) 拒绝规则挡不住 Bash 重定向写同一路径 |
| worktree 隔离的语言与算术绕过 | 隔离守卫此前会放行部分 locale 前缀命令；zsh 下还会放行部分算术命令 |
| git replace refs | Claude Code 创建的 worktree 与分支切换现在会忽略 git replace refs（与其他 git 操作口径一致） |
另外三条值得记的：
- 禁用的 MCP server 不再被权限提示重新连上（
claude -p与 SDK 会话）——「禁用了但又能用」是管控类配置最危险的失效形态。 - 超大嵌套
CLAUDE.md导致会话反复压缩：现在超限的嵌套 CLAUDE.md 只加载开头。这条是行为变更——依赖深层嵌套 CLAUDE.md 传内容的团队，升级后会发现后面的内容不生效，不是 bug。 - profile store 写保护在配置目录经 symlink 到达时不生效，已修。
AI 之家 观点
一、把 v2.1.309 读成「沙箱不是一个开关，而是一条持续的攻防线」。 六条修复的共同点是：它们都不是「沙箱没开」，而是「沙箱开了，但有一条路能绕出去」——符号链接到达真实路径、启动文件在沙箱外先跑、重定向绕过 Edit 拒绝规则、子 shell 逃逸、locale 前缀绕过命令匹配。这类问题的特点是配置看起来完全正确，所以最难自查。 本站的判断：凡是依赖沙箱做安全边界的团队，应把「沙箱绕过路径」当作需要定期复核的清单，而不是一次配好就放心。
二、claude_code.safety_event 补全了护栏的第三块拼图。 配合 2.1.294 / 2.1.295 的两条，Claude Code 的护栏现在是「拦得住 + 出错不放行 + 有审计记录」。对企业而言，第三条往往比前两条更决定能不能过审——前两条是技术能力，第三条是可证明性。
三、v2.1.308 只写一句「Bug fixes」，这本身是信息。 官方不逐条列出时，本站不对该版内容作任何断言。但有个实用推论：连续版本里出现「只写一句」的版本，说明上游在走高频小步发布——钉版本的团队应写死具体号（本站对 Ollama 也下过同一结论）。
四、给使用者的三条动作：① 生产钉 v2.1.309，保留上一已知良好版本；② 用了 --mcp-config 传配置的，升级后回归一次（本版改了该文件可写性）；③ 依赖深层嵌套 CLAUDE.md 的，检查是否有内容因超限被截断。
五、与同期对照：Codex 同一天（10-23）转正 v0.164.0，主线是 /presets 与企业 MCP 鉴权；Claude Code 这三天的主线是边界与审计。两家的近期方向差异清晰：Codex 在补「接得进企业」，Claude Code 在补「管得住 agent」。
待核实
/claude-api api-version的可选值范围与2026-10-21版本的具体差异——官方仅一句，未给版本对照。claude_code.safety_event的完整字段 schema 与是否需要特定 OTel 版本——未取得官方文档页。- 嵌套
CLAUDE.md的「size limit」具体阈值——官方未给数字。 - v2.1.297 / v2.1.298 为何在 CHANGELOG 中缺失——连续第九次确认缺失，本站不作推断。
- v2.1.308 的具体改动内容——官方仅一句概述，未逐条列出。
来源
- anthropics/claude-code Releases（官方仓库，v2.1.307 / v2.1.308 / v2.1.309 tag 时间戳与 Release Notes 正文，一手）
- Claude Code 官方 CHANGELOG（v2.1.297 / v2.1.298 缺失的核对依据，一手）
延伸阅读：Claude Code 工具卡、Codex 工具卡、Agent 沙箱、MCP。