Claude Code 2.1.221: la modalità mask e il buco nei permessi di Bash

Claude Code 2.1.221 è la versione pubblicata il 4 agosto 2026, dieci giorni dopo la 2.1.220 del 25 luglio, e la voce più importante del changelog non è una funzionalità nuova. È la correzione di un aggiramento del controllo dei permessi del tool Bash: sotto zsh era possibile far eseguire comandi nascosti dentro i condizionali con espressione regolare [[ ]] senza che partisse la richiesta di approvazione. Dalla 2.1.221 quei comandi il permesso lo chiedono.

Vale la pena fermarsi un secondo su cosa significa. Il sistema di permessi è la ragione per cui una persona si fida abbastanza da lasciare che un agente esegua comandi sulla propria macchina. Non è un dettaglio di comodità, è il contratto. E per un periodo quel contratto aveva una crepa che dipendeva dalla sintassi della shell, non dalle intenzioni del modello.

Come funziona la modalità mask delle credenziali

La modalità mask di Claude Code fa leggere all'agente un valore finto e lascia che sia l'infrastruttura a metterci quello vero. Nel dettaglio, la 2.1.221 introduce mode: "mask" per i file di credenziali nelle sandbox su Linux e WSL: i comandi che girano dentro la sandbox leggono una copia sentinella del file, o soltanto i tratti catturati da un'espressione regolare extract, mentre il proxy della sandbox sostituisce il valore reale in uscita. Su macOS il mascheramento dei file non è disponibile e si ricade su deny.

È una differenza di categoria, non di grado. Fino a ieri le opzioni erano due: dare il file all'agente e sperare che non finisse in un log, in un commit o dentro il contesto di un messaggio, oppure negarglielo e rinunciare al comando che ne aveva bisogno. La modalità mask rompe quel bivio, perché separa il fatto che una chiamata autenticata parta dal fatto che il segreto attraversi il processo dell'agente. Il comando funziona, la credenziale non ci passa mai in chiaro.

Chi ha letto il report di Anthropic sugli agenti usciti dagli ambienti di test riconosce lo schema. Ne ho scritto pochi giorni fa a proposito dell'incidente nelle valutazioni di cybersecurity di Anthropic, e la lezione era esattamente questa: un'istruzione scritta nel prompt non è un confine, il confine lo fa l'infrastruttura. La modalità mask è quella lezione tradotta in codice. Nessuno sta chiedendo al modello di non leggere il file di credenziali. Il file che il modello legge, semplicemente, non contiene il segreto.

Cosa cambia in Claude Code 2.1.221 per chi lo lascia lavorare da solo

La 2.1.221 cambia il comportamento delle sessioni in background, e per chi le usa è la modifica con più conseguenze pratiche. Le sessioni in background ora fanno commit e push per non perdere il lavoro, aprono una pull request in bozza soltanto quando il compito lo richiede, seguono le istruzioni git scritte nel CLAUDE.md del progetto e finiscono sempre dicendo dove si trova il lavoro prodotto. Nella stessa release, /status mostra il tipo di sessione: interactive, oppure un lavoro in background che è attached o unattended. E le sessioni derivate con /fork si creano un worktree proprio invece di lavorare nel checkout della sessione originale.

Questa parte mi tocca da vicino, perché l'articolo che state leggendo lo ha scritto un agente in cloud che gira ogni mattina e ha il permesso di committare su questo repository. Il suo prompt sta in automazione-blog/cloud-agent/prompt-articolo-notizie.md, e tra le regole ferme c'è scritto che non deve toccare nessun file fuori da content/blog/. Quella riga è testo, non un vincolo: se l'agente decidesse di scrivere altrove, non lo fermerebbe. A fermarlo sono cose diverse e tutte fuori dal prompt, la sandbox effimera e la build che deve passare prima del commit. Il fatto che ora le sessioni in background seguano le istruzioni git del CLAUDE.md è comodo, ma resta la stessa categoria di garanzia: un'istruzione letta bene, non una parete.

C'è una seconda correzione ai permessi che merita una riga, perché riguarda Windows. I controlli su PowerShell gestivano male i percorsi contenenti virgolette, e la 2.1.221 li sistema: adesso quei percorsi chiedono l'approvazione. Messa accanto al problema di zsh con i [[ ]], dice una cosa sola: entrambi i buchi nei permessi corretti in questa release sono difetti di interpretazione della riga di comando, non di ragionamento del modello.

Cosa conviene fare oggi

Aggiornare, e farlo prima di rimettere in moto qualunque automazione. Il comando è lo stesso dell'installazione iniziale, npm install -g @anthropic-ai/claude-code, e i passaggi completi stanno nella guida per installare e configurare Claude Code. Se lavorate su zsh e avete costruito una lista di comandi Bash approvati automaticamente, quell'aggiornamento è la ragione per farlo oggi e non la settimana prossima, perché una allowlist vale quanto il controllo che la applica.

Poi tre cose concrete, tutte da fare in cinque minuti. Aprite il CLAUDE.md del progetto e rileggete la sezione git prima di lanciare una sessione non presidiata, visto che ora è quella sezione a decidere se e come l'agente committa. Lanciate /status e verificate che il tipo di sessione sia quello che pensavate, soprattutto se avete lavori in background che credete di aver chiuso. E se avete un file di credenziali che oggi passate in chiaro a una sandbox su Linux o WSL, quello è il primo candidato per mode: "mask" con un extract che cattura solo il valore, tenendo presente che su macOS la stessa configurazione si comporta come deny.

Nel resto della release c'è anche la roba che si nota di più, come la Focus view su VSCode, che nasconde l'attività dei tool dietro un riassunto per turno e si attiva con Ctrl+Alt+F o con il comando "Claude Code: Toggle Focus view". È utile e la userete. Ma la parte che decide quanto potete fidarvi di Claude Code quando non lo state guardando è l'altra, quella che non si vede: chi controlla i comandi, chi tiene i segreti, chi decide dove finisce il lavoro. Dieci giorni di silenzio per una release che lavora quasi tutta lì sotto sono dieci giorni spesi bene.