今週の Claude Code・Codex・Gemini CLI 変更点まとめ(2026年10月25日週)

今週は セキュリティ修正の週でした。Claude Code 2.1.309 に、サンドボックスと権限チェックをすり抜けられる経路の修正が 10 件以上まとまって入っています。Codex 0.164.0 もサンドボックスの判定を固め、資格情報のマスクを追加しました。

Codex 側には新機能もあります。/presets でプロンプトとスラッシュコマンドを 10 個のスロットに保存できるようになり、/model と /permissions が引数で直接指定できるようになりました。

Claude Code

今週は 2.1.303 から 2.1.310 までの 8 リリースです。

サンドボックスと権限の抜け穴の修正(2.1.309)

このリリースは内容が偏っています。実際に動いていた回避経路の修正が並びます。

修正された経路	内容
シェルの起動ファイル	macOS と Linux で、サンドボックス対象の Bash コマンドの前に、起動ファイルがサンドボックスの外で実行されていた
シンボリックリンク	macOS の denyWrite の glob が、リンク経由で到達したパスの実体に適用されていなかった
MCP 設定ファイル	サンドボックス内のコマンドと自動承認された編集が、--mcp-config で渡した設定ファイルを書き換えられた
リダイレクト	開けないことがあるリダイレクトを含むコマンドが設定した変数を、Bash の権限チェックが信用していた
複合コマンド	cd が wrapper や接頭辞付きのとき、そのあとの git コマンドに確認が出なかった
deny ルール	Edit(path) の deny が、サブシェルを含む一部のコマンドでそのパスへのリダイレクトを止められなかった
worktree の隔離	ロケール接頭辞付きのコマンドと、zsh の一部の算術コマンドが隔離のガードを通っていた

Windows 側でも、PowerShell の権限チェックが引数付きの Set-Location や cd を自動承認していた問題が直りました。2.1.310 ではさらに、Git Bash が無い環境で、フックのコマンドが引用符付きの文字列だけのとき PreToolUse と PermissionRequest がツール呼び出しを通していた問題が修正されています。

計測と設定(2.1.305・2.1.307)

• claude_code.safety_event: 権限ルール・auto モード・安全性チェック・フック・サンドボックスのいずれかが止めた、確認を出した、または差し戻したツール呼び出しごとに発火する OpenTelemetry イベントが追加されました
• sandbox.allowNestedUserNamespaces: Linux のサンドボックス内のコマンドがユーザー名前空間を作れるようになります(Chromium や rootless podman 向け)。CHANGELOG は、これによりサンドボックスのファイル保護を回避できるようになるとも書いています
• CLAUDE_CODE_RETRY_WATCHDOG_USAGE_LIMIT_RECHECK_MS: 無人の再試行モードが、リセット前に解除された利用上限に気づくようになります

見落としやすい修正(2.1.304・2.1.310)

• CLAUDE_CODE_AUTO_COMPACT_WINDOW=200k が黙って 10 万のウィンドウを設定していた問題が修正され、k と M の接尾辞を受け付けるようになりました。範囲外の値には警告が出ます
• cleanupPeriodDays に極端に大きな値を設定していると、貼り付けた画像などの最近のファイルが背景のクリーンアップで削除されていました
• claude --worktree が、HEAD が detached か別のブランチにあるとき、確認なしで worktree とブランチを削除していました。コミットが失われうる挙動です

Codex

v0.164.0 は新機能が複数入ったリリースです。

追加	内容
/presets	再利用するプロンプトとスラッシュコマンドを、番号付きの 10 個のスロットに保存する。キーボードのメニューから呼び出す
/model と /permissions の引数	モデル・推論の深さ・速度・権限を、コマンドの引数で直接指定できる
画像のプレビュー	Kitty と Sixel 対応のターミナルで、全画面のトランスクリプトに画像を表示する
企業向け MCP 認証	Codex のアカウント権限、または専用のサインインで認証する。シークレットが必要な OAuth クライアントにも対応
資格情報のマスク	リモートの Bash コマンドと zsh のスナップショットのセッションで資格情報を伏せる。カスタムプロバイダの資格情報も対象
Bedrock のセットアップ	Amazon Bedrock のセットアップウィザードが既定で有効になった

セキュリティ面では、macOS の大文字小文字が異なるメタデータのパスと、実行ファイルの探索に使われる置き換え可能なシンボリックリンクに対して、サンドボックスの判定が固められました。Claude Code 側のシンボリックリンク関連の修正と同じ方向の変更です。

修正では、失敗したコンパクションが履歴に中途半端な要約を残さなくなった点と、Windows の HTTPS と WebSocket がサインイン中のユーザーの Negotiate・NTLM 資格情報でプロキシ認証を扱えるようになった点が目を引きます。前リリースの内容は Codex CLI v0.163 で Daybreak が既定に戻った変更点 を参照してください。

Gemini CLI

v0.65.0(10 月 20 日)は 27 件のうち新機能が 1 件で、テレメトリの otlpHeaders が追加されました。信頼されていないフォルダのワークスペース設定が読み取り専用として強制されるようになった点が実務では大きい変更です。詳細は Gemini CLI v0.65 で未信頼フォルダの設定が読み取り専用に強制 にまとめてあります。

今すぐ確認したいこと

1. Claude Code を 2.1.310 まで上げる。サンドボックスと deny ルールに頼っているなら最優先
2. cleanupPeriodDays に極端に大きな値を入れていないか確認する
3. CLAUDE_CODE_AUTO_COMPACT_WINDOW に 200k のような接尾辞付きの値を書いていたなら、意図した値になっているか確認する
4. Codex のサンドボックスを使っているなら 0.164.0 に上げる

まとめ

• Claude Code 2.1.309 に、サンドボックスと権限チェックをすり抜けられる経路の修正が 10 件以上入った
• サンドボックス対象のコマンドの前に、シェルの起動ファイルがサンドボックスの外で実行されていた
• claude_code.safety_event で、止められた・確認が出たツール呼び出しを計測できるようになった
• Codex 0.164.0 は /presets、/model と /permissions の引数、資格情報のマスクを追加した
• Gemini CLI v0.65.0 は未信頼フォルダの設定の強制と otlpHeaders の追加