CloudflareのClefとは？ Jev互換の「判断するAI」が重みごと公開された

2026年10月1日、CloudflareがHugging Faceに「Clef（クレフ）」というモデルを公開した。Cloudflare の Workers AI チームが自社で学習した、初めてのモデルファミリーだという。Cloudflare公式ブログ

Clefは文章を書くAIではない。データと「決まった形の質問」を渡すと、選択肢ごとの確率を返す判断専用のモデルだ。9月にTypeSafe AIが発表したJevと同じ種類のモデルで、APIの形式までJevに合わせてある。

違いは、重みがApache 2.0で丸ごと公開されていること。Jevはクラウド API でしか使えなかったが、Clefは自分のサーバーでも動かせる。この記事では、Clefが何をするモデルなのか、Jevとどこが違うのかを整理する。

2026年10月5日時点の公式資料をもとにした解説。 本稿ではClefを実測していない。ベンチマークとレイテンシはCloudflareの発表値、料金比較とメモリ量の目安は筆者の計算。

そもそも「判断モデル」とは

Jevの記事でも書いたが、ここでいう判断モデルは「文章を生成しない」AIだ。入力は2つある。

• state: 判断の材料。テキスト、JSON、画像など
• questions: 型の決まった質問の一覧

返ってくるのは文章ではなく、質問ごとの選択肢と確率になる。質問の型はJevと同じ3種類だ。Hugging Faceのモデルカード

型	何を聞くか	返ってくるもの
noul	はい／いいえ	「はい」の確率
choice	名前付きの選択肢から1つ	各選択肢の確率
score	順序のある段階のどこか	各段階の確率

たとえば問い合わせの仕分けなら、Cloudflareのブログには次のようなリクエスト例が載っている。

curl https://api.cloudflare.com/client/v4/accounts/$CLOUDFLARE_ACCOUNT_ID/ai/run/@cf/cloudflare/clef \
  -X POST \
  -H "Authorization: Bearer $CLOUDFLARE_AUTH_TOKEN" \
  -d '{
    "model": "clef",
    "state": "Checkout has been failing for every customer for the last hour.",
    "questions": {
      "urgent": { "type": "noul", "instructions": "Is this support request urgent?" },
      "team": {
        "type": "choice",
        "instructions": "Which team should handle this request?",
        "criteria": {
          "billing": "Payments, invoices, and refunds",
          "technical": "Outages, errors, and configuration",
          "sales": "Plans and upgrades"
        }
      },
      "severity": {
        "type": "score",
        "instructions": "How severe is the customer impact?",
        "criteria": ["No impact", "Minor", "Major", "Critical"]
      }
    }
  }'

「全顧客で1時間チェックアウトが失敗している」という文に対して、急ぎか（noul）、どのチームか（choice）、どれくらい深刻か（score）を一度に聞いている。答えはJSONで返るので、コードがそのままチケットを振り分けられる。

Clefの中身：Qwenに「判断用の頭」を付けた

Clefは2サイズある。

	Clef	Clef-flash
パラメータ数	27B	9B
ベースモデル	Qwen3.8-27B	Qwen3.5-9B
中央値レイテンシ	209.3ms	38.8ms
p95レイテンシ	238.6ms	122.4ms
Workers AIのモデルID	@cf/cloudflare/clef	@cf/cloudflare/clef-flash
料金（入力100万トークン）	$0.24	$0.09

出典はClefのモデルカード、Clef-flashのモデルカード、Workers AIのClef・Clef-flashのページ。

構造はシンプルで、画像エンコーダ付きのQwenをバックボーンにして、その上にJoint Schema Headという小さなTransformerを載せている。このヘッドがバックボーンの最終的な内部表現を読み、stateのどこが各質問の根拠になるかを振り分けて、全質問の全選択肢を1回の推論でまとめて採点する。

普通のLLMで同じことをすると、1文字ずつ回答を生成して、出てきたJSONをパースすることになる。Clefは生成をしないので、形式が崩れることも、選択肢にない答えが出ることもない。速さの理由もここにある。

学習面では、ラベルスムージング付きの交差エントロピーとBrier損失を組み合わせ、さらに「確率の当たり具合」を報酬にした強化学習（ブログではRLCDと呼んでいる）を重ねている。score型では隣の段階を選んだ場合に部分点を与える、といった工夫も書かれている。Cloudflare公式ブログ

名前の由来は音楽の「音部記号（clef）」。楽譜の最初に置かれて、その後の音の読み方を決める記号だ。判断モデルを、後続の処理の向きを決めるものに見立てている。CFがCloudflareの頭文字と重なるのも狙いだそうだ。

Jevとの比較：速さと精度は上、値段は上

APIはそのまま差し替えられる

ClefのリクエストとレスポンスはJevのPOST /v1/systemoneと同じ形式で、Hugging Face版に同梱されたsystemone()関数もJev形式のリクエストをそのまま受け付ける。Jev向けに書いたコードは、基本的にエンドポイントとモデル名を変えるだけで動く。モデルカード

機能の差

	Clef	Jev 1.13
提供形態	Workers AI ＋ Hugging Faceで重み公開（Apache 2.0）	TypeSafeのクラウドAPIのみ
コンテキスト	65,536トークン	32kトークン
画像入力	1リクエスト最大4枚	なし（テキストのみ）
1リクエストの質問数	1〜64	—
料金（入力100万トークン）	$0.24（flashは$0.09）	$0.042

Jev側の数値は前回の記事執筆時点（2026年9月25日）のTypeSafe公式資料による。画像を直接読めるのは大きな違いで、レシートの画像を渡して「合計金額は読み取れるか」をnoulで聞く、といった使い方ができる。

ベンチマーク

Cloudflareは、TypeSafeが定めた判断モデル用の評価セット「Decision Index」から10項目の比較を出している。

ベンチマーク	Clef	Clef-flash	Jev
BFCL（ツール呼び出し）	98.47	98.76	95.75
ToolRet	69.19	66.43	65.28
API-Bank	91.93	93.11	88.19
Home appliances	82.95	97.73	52.27
When2Call	72.37	65.58	80.97
BANKING77（意図分類）	94.20	90.93	79.74
CLINC150+OOS（意図分類）	97.43	66.77	89.27
BRIGHT（検索）	45.91	39.26	47.52
Amazon ESCI	57.48	57.39	55.21
PhishNChips（フィッシング判定）	79.60	75.05	62.55

太字は3モデル中の最高値。元の表にはDiffusionGemma Jev、Kev 9B、Layaも並んでいて、PhishNChipsの全体1位はDiffusionGemma Jev（85.35）だ。

Clefか Clef-flashが10項目中7項目でJevを上回る。一方、「ツールを呼ぶべきか、呼ばずに答えるべきか」を見るWhen2Callや、推論寄りの検索タスクBRIGHTではJevが勝っている。CLINC150+OOSでClef-flashが66.77まで落ちているのも目を引く。範囲外の問い合わせを「どれでもない」と判定させる課題なので、小さいモデルには難しいのかもしれない。

TypeSafeが用意した業務ワークフロー型の評価では、差はもっと小さい。

ワークフロー	Clef	Clef-flash	Jev
請求書処理	64.7	57.1	61.8
カスタマーサービス	76.3	77.0	76.0
セキュリティインシデント	62.9	61.7	61.7
エージェントのトレース監視	68.5	69.8	71.6

4項目中3項目でClef系が上だが、差は1ポイント前後のものが多い。「精度が大きく上がった」というより「Jevと同等以上の精度で、速くて、画像も読めて、重みが手に入る」と受け取るのが妥当だろう。

速さ

43ベンチマークの中央値レイテンシは、Clefが209.3ms、Clef-flashが38.8ms、Jevが524.1ms。CloudflareはそれぞれJevの約2.5倍、約13倍速いとしている。Changelog

ただしこれは発表値で、ネットワーク込みの体感は別だ。イタリアから試したFlavio Copes氏の検証記事では、Clef-flashの中央値が191〜205ms、Clefが524〜726msだったという。画像付きリクエストは公開当日で13〜30秒かかり、元サイズの画像ではコンテキストからあふれたため、幅1024pxのJPEGに縮めて解決したそうだ。リアルタイムの画面応答に画像判定を入れるのは、まだ様子見がよさそうだ。

値段

ここはJevが有利。入力100万トークンあたり、Jevの$0.042に対してClef-flashは約2.1倍、Clefは約5.7倍になる（筆者計算）。1件1,000トークンの判断を100万回まわすなら、Jevが$42、Clef-flashが$90、Clefが$240という差だ。

大量のテキストを安く仕分けるだけならJev、画像を含む・待ち時間を詰めたい・データを外に出したくないならClef、という選び方になりそうだ。

「重みが公開されている」ことの意味

Jevとの一番の違いはここだと思う。Hugging Faceにはsafetensors形式のBF16の重みと、エンコードや推論をまとめたjoint_schema_model.pyが置かれている。ローカルでは次のように呼ぶ。

import sys
import torch
from huggingface_hub import snapshot_download

path = snapshot_download("Cloudflare/clef")
sys.path.insert(0, path)
from joint_schema_model import collate_records, encode_record, load_release_model

model, processor = load_release_model(path, device="cuda")

record = {
    "state": {"invoice": {"vendor": "Acme", "total": 1250.0, "currency": "USD", "status": "overdue"}},
    "questions": {
        "status": {
            "type": "choice",
            "instructions": "What is the invoice status?",
            "criteria": {"paid": "Invoice is paid.", "overdue": "Invoice is past due.", "draft": "Not sent."},
        },
        "large": {"type": "noul", "instructions": "Is the total above 1000 USD?"},
    },
}

encoded = encode_record(processor.tokenizer, record, processor=processor)
batch = collate_records([encoded], processor.tokenizer.pad_token_id, torch.device("cuda"))
with torch.inference_mode():
    logits = model(batch)[0]

for question, question_logits in zip(encoded.questions, logits):
    probabilities = question_logits.float().softmax(-1).tolist()
    print(question.question_id, dict(zip(question.option_ids, probabilities)))

公開されていることで、できることが3つ増える。

1. データを外に出さずに判断できる。 社内文書や個人情報を含む問い合わせを、自前のサーバーの中で仕分けられる。
2. 自分の用途に合わせて追加学習できる。 CloudflareはRLでのファインチューニング基盤も同時に発表した。まずは専任エンジニアが伴走する形で始め、セルフサービス版は今後提供するという。もちろん公開重みを自分で学習させてもいい。
3. APIが止まっても困らない。 判断を業務の流れに組み込むほど、提供元の都合に左右されにくいことの価値は大きくなる。

ただし、家庭用GPUで気軽に動くサイズではない。モデルカードの動作確認環境はH200 1枚。BF16の重みだけで、27Bなら約54GB、9Bでも約18GBになる（パラメータ数×2バイトで筆者計算）。Hugging Faceにはコミュニティによる量子化版も上がり始めているが、Joint Schema Headという独自構造を持つので、一般的な量子化ツールでそのまま精度が保てるかは確認が必要だ。個人で触るなら、まずはWorkers AIのAPIから試すのが現実的だろう。

気をつけたい点

• 日本語の精度は未知数。 公式資料に日本語での評価は見当たらない。ベースのQwenは多言語に強いが、判断用の学習データの言語構成は明らかにされていない。日本語で使うなら、自分の用途の例で精度を確かめたい。
• 長いstateは切り詰められる。 Workers AIでは、トークン上限を超えたテキストは切り詰められる。画像はURL指定ができず、埋め込みで1枚4MiB・合計8MiBまで。Workers AIのClefページ
• 推論が要る判断は苦手な場合がある。 When2CallやBRIGHTでJevに負けているように、「よく考えないと決まらない」判断では生成型のモデルや Jevのほうが向くこともある。
• 出力は確率なので、閾値の設計は自分の仕事。 確率が拮抗したときに人へ回すのか、既定の選択肢に倒すのかは、使う側が決める。

Jevの登場から2週間で互換モデルが出た

Jevが「判断だけを返すAI」という形を見せたのが9月15日。そのわずか2週間後に、Cloudflareが同じAPI形式で、より速く、画像も読めて、重みまで公開されたモデルを出してきた。

判断モデルは、文章生成モデルに比べて地味な存在だ。それでも、問い合わせの仕分け、フィッシング判定、ボットの良し悪しの判定など、「大量の小さな判断」は多くのサービスの裏側にある。Cloudflare自身も、脅威インテリジェンスでドメインの分類に使っているそうだ。ブログによれば、ページの取得からレンダリング、分類までが2.2秒で、同じ処理をGPT-OSS-120Bでやると4.7秒かかったという。

APIの形が共通になれば、モデルは差し替えられる部品になる。安さのJev、速さと画像と公開重みのClef。用途に応じて選べるようになったこと自体が、今回の一番のニュースかもしれない。

参考資料

• Cloudflare公式ブログ：Introducing Clef
• Cloudflare Changelog（2026-10-01）
• Hugging Face：Cloudflare/clef／Cloudflare/clef-flash
• Workers AI：clef／clef-flash
• Decision Indexのスコアボード
• Flavio Copes氏の検証記事
• TypeSafe：モデル・料金
• 前回記事：話題のJevとは？

話題のJevとは？ 「文章を書かないAI」で、何が変わるのか

AIに問い合わせメールを渡して、「これはどの担当に回せばいい？」と聞く。欲しい答えは、たいてい長い解説ではない。「請求」「技術」「その他」のどれかと、迷っているならその合図。それだけで次の処理に進める。

この種の小さな判断を、ソフトウェアから使いやすくすることに振り切ったのが、TypeSafe AIの「Jev（ジェヴ）」だ。2026年9月15日に早期アクセスとして発表された。開発元は、速く構造化された判断を返すモデルを「System One」と呼んでいる。TypeSafe公式発表

話題の中心には、安さと速さ、そして「幻覚ゼロ」という強い言葉がある。ただ、そこだけを切り取ると何が得意なAIなのか見失いやすい。この記事では、使い道が想像できるところまで整理したい。

2026年9月25日時点の公式資料・公開実装をもとにした解説。 本稿ではJev APIを実測していない。性能倍率は開発元の発表、料金試算と利用アイデアは筆者によるもの。画像は生成した概念イラストで、実際の製品画面ではない。

Jevの仕事は「決まった形の答えを返す」こと

Jevには、判断対象となるデータをstateとして渡し、それについての質問を指定する。返ってくるのは、選択肢や数値、確率など、プログラムがそのまま扱える値だ。公式Introduction

たとえば、次の問い合わせが来たとする。

請求が二重になっています。注文番号はA-123です。
片方の請求について確認してもらえますか？

この文章に対して、担当部署、急ぎかどうか、追加情報が必要かを別々に聞く。「この問い合わせについて総合的に考えて、適切に対応して」という大きな指示を、小さな判断に分けるわけだ。

質問の型は3つある。

型	質問の例	主な返り値
Choice	請求・技術・その他のどこへ回す？	選択肢、各候補の確率、confidence
Score	問題の深刻さは、定義した段階のどこ？	スコア、各段階の確率、confidence
Noul	顧客は返金を明示的に求めている？	「はい」の確率を表す0〜1の値

Noulの0.5は「程度が中くらい」という採点ではなく、はい・いいえが拮抗していることを意味する。程度を測りたいならScoreを使う。また、同じリクエストの質問は共通のstateを見て独立に評価され、ある答えが次の質問の文脈へ自動で渡されるわけではない。公式Primitives

この分担が見えると、Jevをどこへ入れるかも考えやすくなる。担当を選ぶのはモデル。実際にチケットを移動するのは、答えを受け取ったコードだ。

BERTでも分類できる。ではJevは何が違う？

「文章を読んで分類するAIなら、BERTが以前からあるのでは？」という疑問はもっともだ。分類や数値の予測、候補に限定した出力は、Jevだけの機能ではない。

BERTは、文章の前後の文脈を取り込んだ表現を作るTransformerのエンコーダモデル。典型的な分類用途では、事前学習済みモデルに分類用の出力層を付け、正解ラベル付きデータで追加学習する。文章分類に加え、固有表現抽出や質問応答などにも使える。BERT原論文

一方、Jevはstateに加えて質問・選択肢・評価基準をリクエストごとに渡す設計だ。公式資料では、顧客ごとにモデルを追加学習する方式ではなく、共通のモデルに入力や判断基準を与えて用途へ合わせると説明されている。Jevのモデル仕様

比較点	一般的なBERTの教師あり分類器	Jev
判断基準の与え方	正解付きの例で学習させる	質問・選択肢・基準を入力に含める
分類先の変更	固定ラベルの追加・変更には通常、出力層や学習の見直しが必要	リクエストの選択肢を変更できる。変更後の精度確認は必要
出力	クラスのスコア・確率など。アプリ側で形式を組み立てる	Choice・Score・Noulという決まった形式
ローカル実行	公開された重みを使って自分のPCやサーバーで動かせる	確認した公式提供経路はクラウドAPI。ローカル用の重み配布は確認できない
運用で持つもの	モデル、推論環境、必要に応じて学習・評価の仕組み	APIを呼ぶコード、質問の設計、評価データ

表のBERTは、固定ラベルを学習する標準的な使い方を比較対象にしている。公開重みと実行コードはGoogle Researchのリポジトリ、Jevの呼び出し方法は公式Quick startを参照した。

「BERTは毎回追加学習が必要」とまでは言えない

例外もある。文章と「この文章は請求に関するものだ」といった仮説を組にして、含意関係を判定するモデルで分類する方法なら、新しいラベルを文章で指定できる。NLI（自然言語推論）を使ったゼロショット分類は以前から研究されている。ゼロショット分類の研究

したがって、BERT系を使うすべての方式とJevを「固定ラベル対自由な質問」だけで切り分けるのは雑になる。素の事前学習モデル、用途別に学習した分類器、NLIモデルを使う方式は分けて考えたい。

型が安全なことも、Jevだけの強みではない

BERTの分類器でも、出力するラベルを3つに固定していれば、4つ目の架空のラベルを文章として作ることはない。ただし、3つの中から間違ったものを選ぶ可能性は残る。この点は、後述するJevの「幻覚ゼロ」を読むときにも共通する。

確率の扱いも同様だ。分類器が出す確率と、実際に正解する頻度が一致しているかは別途確かめる必要があり、温度スケーリングなどの校正手法も研究されている。「BERTは確率を出せない」「校正はJevで初めて登場した」ということではない。ニューラルネットワークの校正に関する研究

JevについてTypeSafeが打ち出しているのは、RLCDという学習方法、構造化された判断、確率を返す仕組みをまとめて提供することだ。ただし、公開資料から内部構造の全容を確認できたわけではないので、「Jevの中身はBERTそのもの」「BERTの完全上位互換」とは断定できない。 TypeSafe公式発表

自分の用途なら、どう選ぶ？

ここからは上の違いを踏まえた筆者の選び方だ。問い合わせを決まった部署へ大量に振り分け、正解付きの過去データもあるなら、BERT系の専用分類器を比較候補に入れたい。入力を外へ送らずローカルで処理したい場合にも検討できる。モデルを動かす計算資源や保守の費用はかかる。

一方、記事ごとに評価項目を変える、操作対象に応じて候補を入れ替えるなど、質問がよく変わる用途ではJevのインターフェースが試しやすい。どちらが速く安く正確かは、入力長、バッチ処理、実行環境、通信時間で変わる。本稿ではBERTとの同条件ベンチマークを行っていないため、性能の勝敗は付けない。

なぜ注目されているのか — 毎回の小さな判断が安い

TypeSafeの公式モデル一覧では、現行のJev 1.13は入力100万トークンあたり0.042ドル、出力は無料。jev-latestが指すバージョンは、確認時点でjev-1.13.0だった。公式Models

仮に、stateと質問を合わせて1回1,000入力トークンとして計算すると、次のようになる。

リクエスト数	合計入力トークン	モデル利用料の単純試算
1回	1,000	$0.000042
1万回	1,000万	$0.42
100万回	10億	$42

これは上記の入力単価を掛けた試算で、通信・サーバー・前処理・ほかのモデルの費用は含まない。日本語を含む実際の入力では、文字数とトークン数も一致しない。

安さが面白いのは、「メールを1通分類する」だけで終わらない点だ。候補を100個ふるいにかける、ツールを動かす前に毎回判定する、といった設計を考えやすくなる。

速度について、開発元は発表時に70〜500ms程度の応答時間を掲げている。一方で、西海岸にあるサービスへ同地域の端末から測定した条件や、短い入力が有利に働くデモだったことも明記している。日本からの利用で同じ値が出ると読まないほうがよい。公式発表の測定条件

「193.6倍速い」は、どんな比較なのか

公式サイトには「193.6倍速い」「444.6倍安い」という数字がある。ただし、System One型のワークフローに基づく比較という条件付きだ。TypeSafe公式サイト

評価サイトでは、請求書処理や顧客対応など4つの業務を、小さな質問とコードの分岐に分解している。参照ラベルは、人が全件正解を付けたデータではなく、GPT-6 AstraとClaude Fable 5.1をhigh設定で動かした応答の平均を使う。比較対象のモデルは、各提供元の既定の推論設定で評価されている。公式Workflow evals

つまり、これは「世の中のあらゆる仕事で、AstraやClaudeより約200倍速い」という意味ではない。決まった業務フローの中で、細かな判定を大量に行う条件での結果だ。

自分の用途で確かめるなら、全件を同じ基準で人が確認できる規模から始めたい。平均応答時間だけでなく、遅いケース、誤分類率、判断を保留した割合まで見て、そこで費用を比べる。この順番なら宣伝の数字を実際の設計につなげやすい。

「幻覚ゼロ」は「判断ミスゼロ」ではない

ここは最も誤解しやすい。開発元の発表では、スキーマへの適合が保証されるため、型のエラーを0%と示せると説明している。公式発表のHallucination and Type-safety節

たとえば、返り値をbilling・technical・otherに限定すれば、候補にない部署名を勝手に作ることは防げる。けれど、技術的な問い合わせをbillingへ振り分けることは、形式上は正しいまま起こりうる。

答えの形が壊れないことと、内容が正しいことは別。 これは型付きの判断を使ううえで押さえておきたい区別だ。

実際、公式の既知の弱点には、数のカウント、日付比較、複雑な間接推論、無関係な情報を大量に含む入力などが挙がっている。stateに混ざった誘導的な文章が答えを動かす場合もあると説明されている。Jev 1.13の既知の弱点

だから「期限まであと何日か」はコードで計算し、「この文面は急いでほしいと訴えているか」をモデルに聞く。計算と意味の判断を分けると、役割がはっきりする。

confidenceは「正解率90%」という保証ではない

ChoiceとScoreには、候補ごとの確率分布に加えてconfidenceが付く。これは、その分布の集中具合から計算される0〜1の指標だ。Noulには独立したconfidenceは付かない。公式Confidence

ある候補へ確率が集中しているなら迷いが小さく、複数へ散っているなら曖昧。その情報を使って、自動処理か、追加確認かをコード側で分けられる。

ただし、confidenceが0.9だから、その1件が90%の確率で正しいと機械的に読み替えるものではない。選択肢そのものが不十分だったり、入力に必要な情報がなかったりすることもある。

最初は「その他」「情報不足」の扱いを用意して、人が付けたラベルと比べたい。confidenceをどこで区切るかは、質問の設計と自分のデータに合わせて決める。公式資料も用途ごとの検証と閾値の調整を勧めている。公式Confidence

すでにある使い道 — ブラウザ操作、スキル選択、引用チェック

ブラウザの「次に何を押す？」を担当する

Browser Useが公開するjev-ultrafastでは、ページから操作対象の一覧を作り、Jevが操作と対象要素を選ぶ。入力欄へ文字を書く場合だけ、小さなLLMに文章生成を頼む構成だ。公開リポジトリ

操作の選択と文章の作成を分けた例で、Jevの位置づけが分かりやすい。すべての処理を1つのモデルに頼まなくても、仕事はつながる。

大量のスキルから候補を絞る

公式のSkill suggestionには、Hermesの182個のスキルから候補を順位付けし、上位3件の詳しい内容を読み直して、最大1件を提案する例がある。「該当なし」も選べる。公式Skill suggestion

自分でエージェントを作っているなら、「使える機能が増えすぎて選択に迷う」という問題への応用として参考になる。候補を減らす処理と、最終的な仕事の実行を分担する設計だ。

記事の主張が引用元に支えられているかを確認する

公式には、出典の文章と引用・主張を照合するcookbookもある。公式Double-checking citations

ブログ用途なら、記事を生成したあとに「この段落の主張は、この公式資料から言えるか」を分類する補助が考えられる。ただし、出典を探して集める工程や、日付・数値・対象条件を人が確認する工程は別に残る。引用チェックを通ったことだけで、記事全体の正しさが保証されるわけではない。

Claude CodeやAstraとは、どう組み合わせる？

Jevを見て「Claude Codeのモデルをこれに切り替えたら、開発が激安になる？」と思うかもしれない。この点について、TypeSafeは公式に、JevはコーディングエージェントのLLMをそのまま置き換えるものではないと説明している。Jev自体は会話やコード生成を行わない。Jev with coding agents

組み合わせ方として考えやすいのは、次のような流れだ。

ユーザーの依頼・文書
    ↓
Jevで種類・関連性・確認の必要性を判定
    ↓
コードが結果とルールを確認して処理先を決める
    ↓
定型処理 ／ 文章・コードを生成するモデル ／ 人による確認

これは利用構成の例で、Jevを導入すると自動でこの連携ができるという意味ではない。AstraやClaudeには設計・執筆・実装などを担当させ、その前後にある決まった選択肢の判定へJevを使う、という考え方だ。

公式のエージェント向けスキルも、JevのAPIを使うコードを書きやすくするためのもの。スキルを入れるだけで、既存エージェントの判断がすべてJevに置き換わるわけではない。Jev with coding agents

触るなら、最初はPlaygroundで質問を1つ

公式Quick startは、Playgroundでstateを貼り、質問を足して結果を見るところから始まる。APIの場合はダッシュボードでキーを取得し、POST /v1/systemoneへ送る。公式Quick start

たとえばブログの問い合わせを分類するなら、次のようなリクエストを考えられる。説明用に作成した例であり、実行結果ではない。

{
  "model": "jev-latest",
  "state": {
    "message": "記事中のリンクが切れています。修正してもらえますか？"
  },
  "questions": {
    "request_kind": {
      "type": "choice",
      "instructions": "messageに書かれた依頼の種類を選んでください。",
      "criteria": {
        "correction": "既存記事の誤りやリンク切れの修正依頼",
        "new_topic": "新しい記事テーマのリクエスト",
        "other": "どちらにも該当しない、または判断材料が足りない"
      }
    }
  }
}

request_kindというIDはコード側で結果を取り出す名前なので、質問の意味はinstructionsに書く。名前だけに判断の条件を埋め込まないのがポイントだ。公式Primitives

最初の題材は、記事タグの候補出しや問い合わせの仕分けのように、答えを人がすぐ確認できるものがよさそうだ。曖昧な例や複数の依頼が混ざった例も試すと、選択肢の足りなさが見えてくる。

日本語用途には確認事項もある。公式では英語が主な学習言語で、ほかの言語は同じ精度ではないと説明されている。また、現行版の入力はテキストのみ。画像を直接渡すのではなく、文字や構造化データへ前処理する必要がある。公式Models

私が面白いと思ったのは「AIを入れる場所」が増えること

大きなモデルに企画から実装まで任せる使い方もあれば、既存のプログラムの一部分だけに判断を足す使い方もある。Jevは後者を考えやすくしてくれる。

たとえば、自分のブログ作業なら、集めた資料の関連度を判定する、記事のカテゴリ候補を出す、引用元と主張を照らし合わせる。その結果を人や文章生成モデルが受け取って、記事を仕上げる。いきなり執筆全体を自動化しなくても、試せる部分がある。

Jevに関心があるなら、まずは普段何度も行っている小さな判断を1つ取り出してみたい。必要な入力、答えの候補、判断できない場合の扱いを書けるなら、そこが試す入口になる。

参考資料

• TypeSafe AI公式発表
• モデル・料金・入力制限
• 質問の3つの型／Confidence
• 公式の評価方法／Jev 1.13の既知の弱点
• コーディングエージェントとの関係／Quick start
• Browser Useの公開実装

• スキル候補の選択例／引用チェックの例

• BERT原論文／Google ResearchのBERT実装・公開重み

• NLIによるゼロショット分類／ニューラルネットワークの確率校正

Claude Code 2026年9月アップデートまとめ — Opus 5.5とAstra、長い仕事を任せるための進化

前回の8月下旬まとめでは、Windows対応や軽量化、プロンプトキャッシュの改善を取り上げた。9月は、その延長にOpus 5.5という大きなモデル更新が重なった。

ただ、リリースノートを読んでいると、モデル名以上に気になる流れがある。変更したコードをその場で見られること。長い会話を再開しても履歴が崩れないこと。別のエージェントに任せた仕事の結果が、ちゃんと戻ってくること。

今月は「何ができるようになったか」に加えて、途中で止めたり、任せたり、再開したりしても仕事がつながるかが見どころだ。関連する動きとして、OpenAIのGPT-6 AstraとCodexも見ていく。

対象は2026年9月1日〜24日時点で確認できた主要な更新。 月末までの確定版ではない。確認できた最新のClaude Codeリリースはv2.1.281。以下のリリース日はGitHubの表示日を基準とし、日本時間では翌日になる場合がある。画像は本記事用に生成したイメージで、実際の操作画面ではない。

ざっくり結論

注目点	普段の作業への影響
Opus 5.5	Opusの既定モデルが更新。API単価とキャッシュ読み取り価格も下がった
/diff と /cost	作業中の変更と、キャッシュが外れた理由を確認しやすくなった
再開・バックグラウンド処理	長いセッションや分担作業で、履歴・結果を失う不具合の修正が進んだ
利用上限	9/14の週間枠変更と、9/22発表の5時間枠拡大は別の話
GPT-6 Astra	モデル性能に加え、Codexの長期コンテキスト管理も比較したい

各項目の根拠は、以下の公式リリースノート・ドキュメントにリンクしている。

Opus 5.5登場 — まず見たいのは価格とキャッシュ

9月22日のv2.1.280で、Claude Opus 5.5がOpusの既定モデルになった。モデルIDはclaude-opus-5-5、コンテキストは1M。ここでいう「既定」はOpus系列のことで、すべての利用者のモデル固定設定が無条件に上書きされる、という意味ではない。公式リリースノート

Anthropicの発表で実用上目を引くのは価格だ。通常の入力・出力に加え、繰り返し参照するコンテキストの読み取りが安くなっている。

API料金・100万トークンあたり	Opus 5	Opus 5.5
入力	$5	$4
出力	$25	$20
キャッシュ読み取り	$0.50	$0.20

入力・出力は20%減、キャッシュ読み取りは60%減。Anthropicは典型的なワークロードでコスト40%減、出力速度30%以上向上と説明しているが、これは同社の評価であり、個々のプロジェクトで同じ改善を保証する数字ではない。Opus 5.5公式発表

リポジトリの説明や関連コードを何度も参照する使い方では、モデルの単価だけでなく、キャッシュを維持できるかも気になる。そこで、次のCLI側の改善がつながってくる。

/diff と /cost — 作業の中身をその場で追える

9月3日のv2.1.260では、fullscreenモードに会話の横へ差分を表示するパネルが追加された。/diffで切り替えられ、Claudeが編集する未コミット変更を確認できる。

同じ版では/costに、プロンプトキャッシュが外れたと考えられる理由も追加された。ツール定義やシステムプロンプトの変更、キャッシュの有効期限を超えた待機などが対象になる。v2.1.260

たとえば、UIを直してもらうとき。「修正しました」という返答だけでなく、関係のないファイルまで変わっていないかを途中で見たい。長い調査なら、急にコストが増えたときに、その前後で何が変わったかを知りたい。

この2つは、そうした確認の入口になる。差分を見ながら方向を直し、費用の表示から設定変更の影響を調べる。任せる時間が長くなるほど、人間が短時間で状況をつかめる画面の価値も大きい。

長時間セッション — 再開と結果の受け渡しを整える

9月10日のv2.1.268では、長時間アイドル状態のセッションがCPUを占有する問題を修正。--continue・--resume時も、起動フックの完了を待たずに会話を表示するよう改善された。さらに、/pluginメニューでのインストール・有効化・無効化は、メニューを閉じた時点で反映されるようになった。v2.1.268

9月15日のv2.1.273では、サブエージェントの最終応答に利用量やモデルIDが含まれない場合、仕事が失敗扱いになって結果が届かない問題を修正。MCPの再接続を断念したときの通知も追加され、接続トラブルを/mcpから調べやすくなった。v2.1.273

さらに9月23日のv2.1.281では、大きな会話を再開すると最後の数メッセージしか復元されないケースや、再開時の履歴変化でキャッシュが壊れる問題を修正。ツール実行中に終わった会話を再開した際は、その実行結果が不明であることをClaudeに伝えるようになった。v2.1.281

これは、個人的には新しいコマンドと同じくらい注目したい部分だ。調査を続けているうちに会話が長くなり、翌日に再開する。そのときに「昨日どこまで進んだか」を正しく引き継げることは、日常の使いやすさに直結する。

Windowsとauto mode — 表示と実際の動作をそろえる

v2.1.280には、Windowsターミナルで不可視文字を除去したあとも入力表示が乱れたままになる問題の修正が入った。送信する内容に合わせて画面を描き直す。また、クリーンアップ対象のフォルダを移動するために使っていたディレクトリsymlinkやjunctionが削除される問題も修正された。v2.1.280

auto modeでも同じ版で、審査を拒否された操作を繰り返し試す問題などが修正されている。symlink経由の書き込みは、見かけのパスだけでなく実際の書き込み先を踏まえて扱うようになった。v2.1.280

8月に紹介した機能が、使い続ける中で起こる細かな行き違いを減らしている。Windowsでターミナルを複数開いて作業する人にとっても、今月の更新はモデル選択だけの話ではない。

利用上限 — 「25%増」と「前より減った」は両立する

9月14日以降、対象プランのClaude Code週間上限は、キャンペーン前の通常枠から25%増になった。一方、9月13日までの期間限定枠は50%増だった。対象はPro・Max・Team・シート制Enterprise。従量課金型Enterpriseなどはこの施策の対象外だ。公式ヘルプ

通常枠を100として整理すると、こうなる。

基準化した週間上限	指数
キャンペーン前	100
キャンペーン中	150
9月14日以降	125

したがって、通常枠との比較では25%増、直前のキャンペーン枠との比較では約16.7%減になる。後者は(150 - 125) / 150から計算した値で、実際のメッセージ数や作業量を表すものではない。

さらに9月22日のOpus 5.5発表では、対象のサブスクリプション向けに5時間枠の拡大と、好きなタイミングで使える上限リセットも案内された。こちらは週間枠変更とは別の施策だ。Opus 5.5公式発表

「上限が増えた」というニュースを見るときは、通常枠とキャンペーン枠のどちらを基準にしているか、週間枠と5時間枠のどちらの話か。この2点を分けると理解しやすい。

GPT-6 Astraも気になる — 比較したいのは仕事全体

Claude Codeを使っていても、GPT-6 Astraの動きは気になる。OpenAIはAstraを、コード・ブラウザ・専門ソフトをまたぐ複数段階の仕事に向けたモデルと位置づけている。また、途中で追加された要件や質問を受け止めながら、元の目的を維持する能力を強調している。OpenAIモデルガイド

ここでは、モデルとしてのOpus 5.5とAstra、そして実行環境としてのClaude CodeとCodexを分けて見る。モデルが同じように賢くても、履歴管理やツール、承認の仕組みが違えば、作業の進み方も変わるからだ。

API単価を並べると、違いは大きい

項目	Claude Opus 5.5	GPT-6 Astra
入力・100万トークン	$4	$10
出力・100万トークン	$20	$50
キャッシュ読み取り・100万トークン	$0.20	$1
コンテキストウィンドウ	1M	1.05M

Opus側は公式発表とCLIリリースノート、Astra側は公式モデル仕様による。通常のAPI料金を示しており、サブスクリプションの月額・利用枠やFastモードの価格ではない。

なお、Astraは入力が272Kトークンを超えると、そのリクエスト全体に対して入力・キャッシュ料金が2倍、出力料金が1.5倍になる。長い文脈を使う場合は、表の基本単価だけで計算しないようにしたい。Astra公式モデル仕様

ただし、単価が高いモデルでも、試行回数や手戻りが少なければ1件あたりの費用は変わる。反対に、安いモデルでも何度もやり直せば時間がかかる。比べたいのは、自分の仕事を終えるまでの総額と、確認・修正に使った時間だ。

ベンチマークは、評価条件と一緒に読む

AnthropicのOpus 5.5発表にはAstraとの比較も載っている。掲載値ではTerminal-Bench 4.0がOpus 5.5の66.4%に対してAstraは57.9%。ただし、これはAnthropicの比較表であり、Opusはxhigh、Astraはhighという設定差がある。Astraの数値はOpenAI報告値を使っている。比較表と評価条件

この数字だけで、あらゆる実装・調査・レビューで勝敗が決まるわけではない。本稿では両者を同一条件で実測していない。試すなら、同じリポジトリの同じ課題で、完成した変更の質、テスト結果、所要時間、介入回数をそろえて記録したい。

Codexの実験的なコンテキスト管理が面白い

Codexには、Astraがコンテキストウィンドウをまたいでノートを保持し、同じタスク内の過去のメッセージやツール結果を検索する実験機能がある。公式ドキュメントでは、対応クライアントでChatGPT Plus・Proとしてサインインした利用者が対象。初期状態はオフで、開始時点ではBusiness・Enterprise・APIキーでのサインインは対象外とされている。Codex公式モデルドキュメント

長い会話を単に大きな窓へ詰め込むだけでなく、以前の作業記録へ戻れるようにする方向だ。Claude Codeで進む再開・履歴保持の修正と並べて見ると、両者とも「長い仕事の途中で大事な情報を落とさない」という問題に取り組んでいるように読める。これは実装が同じという意味ではなく、今月の更新を見ての筆者の整理だ。

次の作業で試したいこと

新しいモデルを選んだら、まずは普段の仕事を1つ通してみたい。リポジトリの調査、修正、テスト、差分確認までを同じ依頼で進め、どこで人間が助ける必要があったかを記録する。

Claude Codeなら、fullscreenの/diffで変更を確認し、/costでキャッシュの状態を見る。Astraと比較するときも、単発の回答の印象だけでなく、途中の追加要件に対応できたか、最後に検証可能な成果物が残ったかを見たい。

9月の更新から私が注目したいのは、モデルを選ぶ楽しさに加えて、翌日また続きを任せられるかという使い勝手だ。毎日使う道具としては、そこがいちばん効いてくる。

参照した公式情報

• Claude Code: v2.1.260、v2.1.268、v2.1.273、v2.1.280、v2.1.281
• Anthropic: Claude Opus 5.5、週間上限キャンペーンの終了と変更
• OpenAI: GPT-6 Astra仕様、モデルガイド、Codexのモデルと実験的コンテキスト管理
• 前回記事: Claude Code 2026年8月下旬アップデートまとめ

skills.sh の上位100スキルを全部調べた — 何用のスキルが流行っているのか（2026年9月）

Claude Code に /frontend-design みたいなスキルを入れるとき、最近は npx skills add 経由が増えた。その供給元が skills.sh（Vercel の Open Agent Skills Directory）で、リーダーボードを眺めると「いま世界中のエージェントに何がインストールされているか」がそのまま見える。

今回はこのリーダーボードの All Time 上位100件と Trending(24h) 上位100件を全部調べて、何用のスキルなのか・どんな系列が流行っているのかをまとめた。調べてみたら「上位100件」の実態は少数の系列による寡占で、しかもその裏側にはランキングの水増しっぽい動きやセキュリティの構造問題まで見えてきた。長いので、スキルカタログとして前半だけ読むのも、エコシステム観察記として後半だけ読むのもアリ。

データはすべて 2026年9月5日時点。Trending/Hot は日単位で入れ替わるので、読む頃には顔ぶれが変わっているはず。

skills.sh とは（30秒で）

• 規格は Anthropic 発。2025年12月18日に Agent Skills（SKILL.md フォーマット）をオープン標準として公開し、48時間で Microsoft と OpenAI が採用
• 流通網は Vercel 発。約1ヶ月後の2026年1月20日、vercel-labs が「skills の npm」として skills.sh と CLI を公開。npx skills add <owner/repo> で Claude Code なら .claude/skills/、Cursor なら .agents/skills/ に振り分けてインストールしてくれる。対応エージェントは公開時16 → 現在75以上
• 審査ゲートはない。GitHub に SKILL.md を置いて誰かが add すれば自動的にディレクトリに載る
• 「1インストール」= npx skills add の実行1回（匿名テレメトリ）。ユニークユーザー数ではなく延べ実行回数なので、CI での再実行も積み上がる。作者本人が Hacker News で明言している

この「インストール数の正体」は後半の話に効いてくるので覚えておいてほしい。

ざっくり結論

• All Time 上位100件は、たった7系列＋単独9件で構成されている。Lark（飛書）関連が40件、Matt Pocock 氏の個人スキル集が21件、Microsoft Azure 公式が20件。この3勢力だけで81件
• Trending(24h) は「AI動画・画像生成」と「AI っぽい UI 回避」の二大ブーム。動画生成モデル（Wan 3.0 / Seedance 2.5）の新版対応スキルが Hot を独占中
• Google・Prisma・Neon など公式ベンダーが一斉にスキル参入。「エージェント向け公式ドキュメント」の配布形態としてスキルが定着しつつある
• 一方でランキングは操作の疑いだらけ。同一スキルセットの複数組織名での重複公開、時刻まで同期したインストール数、回答なしでクローズされた疑惑 Issue
• セキュリティは「壊れている」。skills.sh の3つの監査バッジ（Gen/Socket/Snyk）は Trail of Bits にすべてバイパス済み。運営自身が「品質もセキュリティも保証できない」とドキュメントに書いている

All Time 上位100件の勢力図

100件を系列ごとにまとめるとこうなる。件数は上位100件中の数。

系列	何のスキル集か	件数
open.feishu.cn	Lark（飛書）公式・ドメイン配布型	27
mattpocock/skills	Matt Pocock 氏の開発ワークフロー集	21
microsoft/azure-skills	Microsoft 公式の Azure 運用	20
larksuite/cli	Lark 公式 CLI 付属（↑とほぼ同内容）	13
skills-101/superpowers	inference.sh のメディア生成・SNS自動化	4
lllllllama/rigorpilot-skills	深層学習論文の再現実験	4
heygen-com/hyperframes	HTML→動画レンダリング	2
単独スキル	find-skills、frontend-design など	9

Lark 系（合計40件）— 静かなる最大勢力

上位100件の4割が Lark（ByteDance のビジネスチャット「飛書」）関連。lark-doc（ドキュメント操作）、lark-base（多次元表）、lark-im（メッセージ）、lark-calendar、lark-approval（承認フロー）……と、1業務機能=1スキルの構成で27種が open.feishu.cn というドメイン配布型（GitHub リポジトリではなく、ドメイン直下の .well-known/agent-skills/ に SKILL.md を置く方式）でランクイン。さらにほぼ同内容のスキルセットが公式 CLI リポジトリ larksuite/cli からも並行配布されていて、これが別カウントで13件入っている。

つまり同じ Lark 機能群が2経路で上位100件の40枠を占めている。中国圏でのエージェント活用が数字として最も大きい、という見方もできるが、気になる点もある。27スキルのインストール数が 657,368〜659,635 と全部 0.3% 以内に収まる横並びなのだ。普通に使われていれば人気機能（ドキュメント・IM）とニッチ機能（勤怠照会）でもっと差がつくはずで、一括インストールか機械的なカウントを疑いたくなる（これは数字からの推測)。

mattpocock/skills（21件）— 個人リポジトリが公式勢と互角

TypeScript 教育で有名な Matt Pocock 氏の個人スキル集。「Skills for Real Engineers. Straight from my .agents directory.」の看板どおり、本人が実際に使っている構成の公開で、All Time 2〜4位・6位・8〜11位を個人リポジトリが占拠している。

看板スキルの grill-me（106.5万インストール、全体2位）は「ぼんやりした案を、コミットできる決定になるまで AI があなたを尋問するスキル」。エージェント系スキルの大半が「AI に手を動かさせる」方向なのに対し、これは AI に自分を詰めさせる逆方向で、そこが刺さっている。コードの文脈で答えが出る質問は AI が勝手にコードベースを調べて自己解決するので、無駄な質問往復が減る設計になっているのも上手い。

他も tdd（Red-Green-Refactor 強制）、improve-codebase-architecture、diagnosing-bugs（再現→最小化→仮説→計装の規律あるバグ調査）、handoff（会話を他エージェントへの引き継ぎ文書に圧縮）、to-spec / to-tickets（会話をスペックやチケットに変換）と、「エージェントとの仕事の進め方」そのものをスキル化したラインナップ。フレームワーク知識系ではなくワークフロー系がここまで積まれているのは、このリポジトリの独壇場だった。

microsoft/azure-skills（20件）— 「公式スキル」の完成形

Microsoft 公式。azure-deploy / azure-diagnostics / azure-rbac / azure-cost など1運用領域=1スキルで、Azure MCP Server（200以上のツール)と組み合わせてエージェントに実際の Azure 操作をさせる構成。「エージェント向け公式ドキュメント＋操作手順」をスキルとして配る、大手ベンダーの教科書的な形。

その他の系列と、単独で上位に食い込む面白スキル

• lllllllama/rigorpilot-skills（4件）: 深層学習論文の再現実験を「監査可能な形で」実行する研究者向けスキル群。こんなニッチが45万インストールで上位100に4件入るのが今のエコシステムの規模感
• heygen-com/hyperframes（2件）: HeyGen 製「HTML/CSS を書くと決定論的に MP4 になる」動画フレームワーク。ビルド不要で CI で回せる

単独勢では:

順位	スキル	何用か
1	find-skills（vercel-labs、326.6万）	「〇〇できるスキルある？」に答えてスキルを検索・推薦する公式メタスキル
5	frontend-design（anthropics、85.6万）	Anthropic 公式。「AI っぽい凡庸な UI」を避け、方向性を決めてから作り込む
7	agent-browser（vercel-labs、79.1万）	Rust 製ブラウザ自動操作 CLI。アクセシビリティツリー経由で要素特定
12/39	vercel-react-best-practices / web-design-guidelines	Vercel 公式の React 最適化40ルール・UI 監査100ルール
13	anti-ui-slop（uizze.com、68.0万）	80万枚の実在画面 DB を根拠に「AI 丸出し UI」を検出・修正
65	remotion-best-practices	React で動画をプログラム生成する Remotion の公式スキル
73	caveman（48.3万）	応答を「原始人語」に圧縮してトークン65%削減。"why use many token when few token do trick"

1位の find-skills が330万で2位の3倍なのは、「スキルを探すスキル」という入口ポジションを最初に取ったから。レジストリの覇権争いはここでも入口が強い。

Trending(24h) に見る「今の流行」

Trending 上位100件の系列構成は All Time とだいぶ顔ぶれが違う。

系列	ジャンル	件数
mattpocock/skills	開発ワークフロー	37
heygen-com/hyperframes	動画生成	10
genmedia-labs/skills	動画・音楽・画像生成	8
leonxlnx/taste-skill	UI デザイン	8
google/agents-cli	公式ベンダー	7
prisma/skills	公式ベンダー	6
skills-101 + 101-skills/superpowers	メディア生成・SNS	9
stablyai/orca	マルチエージェント	3
neondatabase/agent-skills	公式ベンダー	2
単独ほか	—	10

流行①: AI 動画・画像生成スキルの爆発

Trending 3〜8位を genmedia-labs/skills（ai-music / ai-video-generation / video-edit / image-to-video …）が固め、Hot（直近1時間）に至っては 1〜3位を wan-3-0-prime-reference-to-video や seedance-2-5-image-to-video が独占。動画生成モデルの新版（Wan 3.0、Seedance 2.5）が出るたびに対応スキルが即日投入され、それがそのまま Hot を制圧するサイクルができている。

ただしこの系列には裏がある（後述）。中身は RunComfy という有料 API のラッパーで、スキルを入れただけでは動かず、アカウントと API キーが必要。「スキル」というより「SaaS への集客チャネル」として機能している。HeyGen の hyperframes 10件も、動画 AI 企業がエージェント経由の入口を細分化して大量投入している構図で同型だ。

流行②: 「AI slop」への反乱

Trending 1位 design-mobile-apps、2位 anti-ui-slop、そして leonxlnx/taste-skill の8件（high-end-visual-design / minimalist-ui / image-to-code / brandkit …）、圏外だが emilkowalski/skills のアニメーション系6件——「AI が作る UI はどれも同じでダサい」問題に対抗するスキルが一大ジャンルになっている。

anti-ui-slop が名指しする「AI slop」パターンが身につまされる: 紫〜シアンのメッシュグラデーション、浮遊する 3D 幾何形状、全面グラスモーフィズム、デフォルトの Inter フォント、きっちり3カラムの機能カード、なんでもセンター寄せ。Anthropic 公式の frontend-design（Trending 74位に常駐)も同じ問題意識で、「エージェントにコードを書かせる」フェーズから「エージェントの出力の趣味を矯正する」フェーズに market が移ったのがよく分かる。

ちなみにこのジャンルも、anti-ui-slop は uizze の有料 MCP へ、design-mobile-apps は sleek.design（月$49.99）へ誘導する SaaS 入口型。「AI の UI がダサい」という共通の痛みを入口に自社データ/API へ接続させる商売がもう完成している。

流行③: 公式ベンダーの一斉参入

• google/agents-cli（7件が18〜24位に横並び）: Gemini Enterprise 向けエージェント開発の公式スキル群（ADK コーディング・評価・デプロイ・監視）
• prisma/skills（6件）: ORM の使い方をエージェントに正確にやらせる公式リファレンス。v6→v7 移行ガイドまでスキル化
• neondatabase/agent-skills（2件）: Postgres ホスティングの公式ノウハウ集

Azure に続いて Google・DB ベンダーが揃った。「うちのツールをエージェントに正しく使わせるための公式スキル」は、ドキュメントの新しい配布形態として完全に定着しそう。人間向けドキュメントと違い、インストールされれば確実にエージェントのコンテキストに入るので、ベンダーとしては出さない理由がない。

流行④: エージェント運用そのものの最適化

• stablyai/orca: 複数のコーディングエージェント（Claude Code / Codex / OpenCode）を独立 git worktree で並列実行して結果を比較する「AI オーケストレーター」
• review-loop: ワーカーの成果物を批評家サブエージェントが10点満点で採点し、基準点（既定 8/10）に達するまで自動修正を繰り返す
• caveman: 出力トークンを65%削減

「エージェントに何をさせるか」ではなく「エージェントをどう運用するか」のスキルが増えてきた。マルチエージェント並列・レビューループ・トークン節約と、このブログで扱ってきた関心ともろに重なる領域。

ここからが本題かもしれない: ランキングの裏側

調べていて一番面白かった（怖かった）のはここから。

同じスキルセットが4つの組織名で公開されている

Trending を席巻する genmedia-labs の README を辿ると、同一の RunComfy スキル38個が少なくとも4つの GitHub Organization から重複公開されていることが分かった。

• genmedia-labs/skills — Trending 上位の主役
• agentspace-so/runcomfy-agent-skills — 説明文が率直に「incremental publish test」
• runcomfy-com/skills — 「distributed via skills.sh」
• doany-ai/skills — 説明文「RunComfy agent skills mirror」

README には「SKILL.md が正しくインデックスされるか検証するため1つずつ push している」とあり、ランキング掲載の挙動を組織的に探っている様子が窺える。さらに Trending 5位の reddit-automation（flowkit-labs 名義）も doany.ai チーム製と明記されていて、genmedia-labs / flowkit-labs / doany-ai は同一グループの可能性が高い。組織名を分けてリーダーボードの枠を複数取りに行っているように見える——というのはあくまで公開情報からの推測だが、状況証拠はかなり揃っている。

「superpowers」も同様で、skills-101/superpowers と 101-skills/superpowers はほぼ同一内容（inference.sh のメディア生成スキル集）が別アカウントで並立し、両方が Trending 上位に入っている。Hot にはさらに同名の類似リポジトリが複数ある。

疑惑の Issue は回答なしでクローズ

vercel-labs/skills の Issue #488（2026年3月）では、数十のスキルが同時刻に完全同一のインストール数を記録しているスクリーンショットとともに「モデレーションは自動か手動か」「特定リポジトリだけ手動で抑制されたのではないか」という質問が投げられたが、運営からの回答なしにクローズされている。「1インストール = npx skills add 1回」という仕様上、スクリプトで回せば数字はいくらでも作れる。冒頭で覚えておいてと書いたのはこのためで、このリーダーボードの数字は「人気」ではなく「add コマンドが実行された回数」として読む必要がある。

セキュリティ: スキャナは全部破られている

skills.sh の各スキルページには Gen / Socket / Snyk の監査バッジが付いているが、Trail of Bits が2026年6月にこの3スキャナすべてのバイパスを実証した（4件中3件は開発1時間未満。改行10万文字で悪性コードを検査ウィンドウ外へ押し出す、コンパイル済み .pyc にペイロードを隠す、スキャナの LLM ジャッジ自体にプロンプトインジェクション）。同記事の結論は「the trust model is broken at the root」。

Snyk 自身の調査（ToxicSkills、2026年2月）でも、skills.sh 等の3,984スキル中 36.8%に何らかのセキュリティ欠陥、76件は確認済みマルウェア（認証情報窃取・任意コマンド実行）だった。そして skills.sh の公式ドキュメントにはこう書いてある: 「We cannot guarantee the quality or security of every skill listed on skills.sh」。「入れる前に中身を読め」は道徳論ではなく、運営自身の公式見解だ。

で、どう付き合うか

自分の運用はこうすることにした。

1. 入れるのは配布元が明確なものだけ。anthropics / vercel-labs / microsoft / google / prisma のような公式勢、または mattpocock 氏のように中身と作者が透明な個人リポジトリ。HN でのコミュニティの推奨も「ベンダー提供に留めて Trending の slop は避けろ」だった
2. 入れる前に SKILL.md と同梱スクリプトを読む。スキルは「エージェントが従う指示書＋実行されうるコード」なので、実質的に依存パッケージの追加と同じ。監査バッジは信用しない
3. インストール数で選ばない。この記事で見たとおり、数字は作れる
4. API キー前提のスキルは SaaS の入口だと理解して入れる。それ自体は悪ではない（公式スキルも同じ構造）が、「無料のスキル」ではなく「有料サービスのクライアント」として評価する

逆に、収穫も大きかった。mattpocock/skills のワークフロー群（特に grill-me / handoff / diagnosing-bugs）は自分の使い方に直結しそうだし、「公式ベンダースキル = エージェント向けドキュメント」という流れは、自作ツールにも応用できる（自分のプロジェクトの CLAUDE.md を SKILL.md に切り出して配布する、という発想)。このへんは試したら別記事にする。

まとめ

• skills.sh の上位100件は「Lark 40 / mattpocock 21 / Azure 20」の寡占。ロングテールの幻想はなく、勝っているのは公式ベンダーと透明性の高い個人
• 今の流行は「AI 動画生成（新モデル即日対応）」「AI slop 対抗デザイン」「公式ベンダー参入」「エージェント運用最適化」の4本柱
• インストール数は npx skills add の延べ実行回数で、複数組織名でのミラー公開や同期インストールなど、数字を作りにいく動きが実際に観測できる
• 監査バッジは破られており、運営も保証しないと明言。スキルの導入は依存パッケージの追加と同じ重さで扱うのが正解

リーダーボードは「何が良いスキルか」は教えてくれないが、「エコシステムがどこへ向かっているか」は正直に映している。月次のアップデートまとめと同じく、これも定点観測すると面白そうだ。

出典

• skills.sh / Trending / Hot / Docs（数値はすべて2026-09-05時点）
• Vercel Changelog - Introducing skills, the open agent skills ecosystem（2026-01-20）
• Show HN: Agent Skills Leaderboard
• Simon Willison - Agent Skills（Anthropic のオープン標準化、2025-12-18）
• aihero.dev - grill-me 解説 / mattpocock/skills
• Trail of Bits - The sorry state of skill distribution（2026-06-03）
• Snyk - ToxicSkills（2026-02-05）
• vercel-labs/skills Issue #488 - リーダーボードモデレーションの透明性
• OWASP Agentic Skills Top 10

Claude Code 2026年8月下旬アップデートまとめ

前回（8/4〜8/18, v2.1.221〜235）の続編。8/19〜8/28 の10日間で v2.1.236 〜 v2.1.251 の15本が出た（うち v2.1.240・241・250 は「Bug fixes」の1行のみ、v2.1.242 は npm にだけ存在して changelog 記載なし、v2.1.244・249 は欠番）。本稿執筆時点の最新は v2.1.251（8/28）。

前号は「ハーネスそのものが作り替えられた」2週間だった——auto mode が既定になり、セッション同士が話し始め、実行環境が自前インフラに出せるようになった。今号は、その大改造の回収と定着にあてられた10日間になる。派手な新機能はほぼない。代わりに、前号で入れたものが磨かれ、開放され、軽くなった。

方向は4つある。

1. Windows が追いついた——前号で「ネイティブ Windows では使えない」と書いたクロスセッションメッセージングが、v2.1.239 で Windows に来た
2. ハーネスが物理的に軽くなった——ネイティブバイナリが 340MB → 75MB、セッションあたりメモリ 40〜70MB 削減、起動高速化
3. プロンプトキャッシュが「見える化」された——毎時キャッシュミスの修正、TTL 設定の追加、/cost へのキャッシュ行追加
4. auto mode の運用整備——分類器ルールを /permissions で編集できるようになり、新規インストールは auto mode で始まるようになった

そして今号でいちばん象徴的なのは、リリースの「中身が見えない」比率が上がったことかもしれない。15本中3本が「Bug fixes and reliability improvements」の1行のみ、1本は changelog 記載なし、2本は欠番。毎日出荷の裏で、公開 changelog に書かれない変更が増えている。

---

ざっくり結論

• クロスセッションメッセージングが Windows に来た（v2.1.239）——SendMessage / ListAgents / @セッション名 がネイティブ Windows で使える。同一マシンは名前付きパイプ＋トークン認証。ただし WSL2 のセッションとネイティブのセッションは相互に見えない
• notify_when_idle（v2.1.236）——別セッションに「次にアイドルになったら一度だけ知らせて」と頼める。ポーリング不要・トークン消費なしのワンショット通知
• --restricted モード登場（v2.1.248）——コマンド実行系ツールと WebFetch を外し、ファイルツールを作業ディレクトリに閉じ込め、ユーザー／プロジェクト設定も無視する縮小ハーネス
• SendFeedback ツール（v2.1.247）——セッション中に何かおかしくなったとき、Claude 自身がフィードバック報告の下書きを作る。送信は /feedback からユーザーが判断
• 「Concise」出力スタイル追加（v2.1.237）——結果から書き、前置きとナレーションを省く同梱スタイル
• ネイティブバイナリの大幅軽量化（v2.1.243）——zstd 圧縮で 約340MB → 約75MB（Linux x64）。コードのオンデマンド読み込みでセッションあたりメモリ約40〜70MB削減。起動も高速化
• プロンプトキャッシュの立て直し——長時間セッションでほぼ毎時発生していたキャッシュミス（OAuth トークンリフレッシュ起因）を修正（v2.1.248）、promptCacheTtl / subagentPromptCacheTtl 設定（v2.1.243）、/cost にキャッシュヒット率の行（v2.1.251）
• auto mode の運用整備——/permissions に Auto mode タブ（v2.1.246）、Bash 許可プロンプトに「Yes, and switch to auto mode」ワンキー切替（v2.1.247）、新規インストールの初回起動が auto mode に（v2.1.251）、Bedrock / Vertex / Foundry でも API と同じ分類器既定に（v2.1.236）
• Sonnet 5 の $2/$10 per Mtok が正式価格に（v2.1.243）——「期間限定プロモ」表記が外れた。シート制 Enterprise の既定モデルが Opus 5 に（v2.1.251）
• PreModelSwitch / PostModelSwitch フック（v2.1.251）——モデル切替をブロック・確認・注釈できる
• /effort がモデルごとに保存（v2.1.251）、modelPicker 設定で /model の一覧をカスタマイズ可能に（v2.1.243）、ANTHROPIC_DEFAULT_MODEL 環境変数（v2.1.236）
• セキュリティ修正の主戦場は「symlink と TOCTOU」に——権限チェック後に差し替えられた symlink を Read / Write / Edit が辿る問題、Grep / Glob が symlink 経由で deny ルールを迂回する問題、/ultrareview が prod.env や *.tfvars の未コミット編集をクラウドにアップロードしていた問題（いずれも修正）
• Bedrock / Vertex / Foundry の機能パリティ推進——/loop・/radio・/code-review 自発起動・同一マシンのクロスセッションメッセージング・auto mode 分類器既定が、サードパーティプロバイダとテレメトリ無効環境に開放された

---

最大トピック①: クロスセッションメッセージングが Windows に来た（v2.1.239・8/21）

前号の「使えない」が10日で反転した

前号でこう書いた——「この環境（Windows 11 のネイティブ Claude Code）ではこの機能はまるごと存在しない」。公式ドキュメントにも「native Windows では提供しない」と明記されていた。

それが v2.1.239 で反転した。

Windows: cross-session messaging is now available, so Claude Code sessions across your machines can message each other with SendMessage and find each other with ListAgents, as on macOS and Linux

現在の公式ドキュメントでは、対応 OS は「macOS, Windows, and Linux, including Linux inside WSL 2」に書き換わっており、ネイティブ Windows の必要バージョンは v2.1.234 以降とされている（機能フラグでのロールアウトを挟んで、changelog 上のアナウンスが v2.1.239）。

Windows 版はどう動くか

同一マシン内の配送経路が Unix 系と違う。

プラットフォーム	同一マシンの経路	認証
macOS / Linux / WSL2	セッションごとの UNIX ドメインソケット	OS ユーザーへのソケット権限制限
ネイティブ Windows	セッションごとの名前付きパイプ	接続ごとにトークン認証必須（自分の OS ユーザーだけが読めるキー）

Unix 系ではソケットのファイル権限で他ユーザーを締め出せるが、Windows の名前付きパイプでは最初の1行で {"type":"auth","token":"..."} を送る認証が必須になっている。フックやスクリプトから自セッションに投稿する場合、CLAUDE_CODE_MESSAGING_SOCKET と CLAUDE_CODE_MESSAGING_TOKEN 環境変数を使う。Unix 系ではトークン行は省略可、Windows では必須——この差は自動化を書くときに効く。

もうひとつ重要な境界がある。WSL2 内のセッションとネイティブ Windows のセッションは、同じ PC 上でも相互に見えない。ホームディレクトリが別で、ソケットの種類も違うためだ。「WSL2 で1本、ネイティブで1本」という使い方をしていると、その2本はマシン越え（Remote Control 経由）でしか繋がらない。

notify_when_idle——「終わったら教えて」（v2.1.236）

同時期に入ったこれが実用上いちばん便利かもしれない。

migration セッションが今の作業を終えたら教えて

SendMessage の notify_when_idle 入力で、同一マシンの別セッションに「次にアイドルになったら一度だけ知らせて」と頼める。ポイントは設計の抑制で、

• ワンショット——通知は一度きり。どちらのセッションもポーリングしない
• トークン消費なし——購読だけならウォッチされる側のターンは始まらず、トークンも使わない。すでにアイドルなら即通知
• 12時間で失効——通知が来なければ購読は破棄され、Claude に「もう待つな」と伝えられる
• メインの会話の Claude だけが購読できる。サブエージェントや teammate が頼んでも購読されない

「長いテスト実行を別セッションでやらせて、終わったら手元のセッションに知らせる」という、これまで人間が Alt+Tab でやっていた監視が消える。

段階的な信頼性向上

8月下旬を通して、メッセージングの「静かに失敗する」ケースが潰されていった。

バージョン	内容
v2.1.236	受信箱が受け付けない量のバーストを「送った」と報告して実は捨てていた → 送信前に拒否
v2.1.238	crossSessionInbound: "refuse" の相手に送ると無言で成功扱い → 「拒否された」と送信側に報告。レート制限やキュー溢れで落ちた場合も送信側に通知
v2.1.238	claude remote-control（サーバーモード）や Desktop / IDE ホストのセッションが「Remote Control is not connected」になる問題を修正
v2.1.239	ListAgents が自分自身の名前を教えるように。自分宛の送信は「no agent named…」ではなく「それは自分だ」と返す。teammate も一覧に出るように
v2.1.243	v2.1.232 のソケットディレクトリ堅牢化で、user namespace や rootless コンテナ内でメッセージングが静かにオフになっていた問題を修正
v2.1.248	@メンションが IME 経由の非ラテン文字（韓国語など）の名前にマッチしない問題を修正。不正な crossSessionInbound 値が静かに無視される問題を修正（警告＋保留に）
v2.1.247	受信メッセージが1行プレビューに畳まれるように（Message from @<sender>: <先頭行>、Ctrl+O で全文）
v2.1.251	サブエージェントから別セッションへ送ったとき「返信は親セッションに届く」と結果に明記。自分のサブエージェントからのメッセージは「無関係なセッション」ではなく「このセッション内のワーカー」として Claude に提示

「静かな成功」を全部「明示的な失敗」に変える作業で、前号で入った機能が運用に耐える形になった。

---

最大トピック②: ハーネスの大掃除——バイナリ 1/4.5、メモリ -40〜70MB（v2.1.243・8/24）

数字がはっきり出ている

v2.1.243 は96項目の超大型リリースだが、目玉は新機能ではなくインフラの軽量化だった。

項目	Before → After
ネイティブインストール／自動更新のダウンロードサイズ	約340MB → 約75MB（Linux x64、zstd 圧縮）
セッションあたりメモリ	約40〜70MB 削減（コードをオンデマンド読み込みに）
同梱スキル・プロンプトテキスト	約2MB 削減（格納形式の変更）
起動	サンドボックスと MCP の起動が初回フレームをブロックしない。裸の claude 起動はサブコマンド登録をスキップ
長時間セッション	ヒープ増大時に GC を早めに実行

v2.1.251 でもさらに 5MB 削減、使用頻度の低い6言語のシンタックスハイライト削除で 2.5MB 削減、ターン中の冗長な UI 再描画削減で CPU 使用率改善と続く。

メモリリーク修正の連打

軽量化と並行して、「長時間セッションでメモリが増え続ける」系の修正が集中した。

バージョン	内容
v2.1.238	長いインタラクティブセッションの無制限メモリ増加——サブエージェントのツール結果が表示ウィンドウを出たら解放されるように
v2.1.246	fullscreen / Ctrl+O トランスクリプトで、描画済みメッセージ行がトランスクリプト全体のツール参照テーブルを抱え込んでいた問題
v2.1.246	巨大ファイル上書き後の Write ツールが「Out of memory」や長時間フリーズになる問題
v2.1.247	フックやバックグラウンドタスクの出力ファイルが書けないときの無制限メモリ増加
v2.1.239	WebFetch が期限切れのページ内容をセッション終了まで保持していた問題（本来は15分）
v2.1.235（前号）	/ultrareview などのクラウドセッション監視中のメモリ・CPU 改善

前号までの「機能をどんどん足す」フェーズで溜まった技術的負債を、まとめて返済した形になる。エージェントを並列で回し、セッションを何日も生かす使い方が当たり前になったからこそ、リークが顕在化した——という読みができる。

Windows / 一般ユーザーへの体感

• 自動更新のダウンロードが1/4以下になった。従量制回線やプロキシ環境で明確に効く
• claude を複数枚（agent view、teammate、バックグラウンドセッション）立ち上げる使い方で、1枚あたり40〜70MBの節約はそのまま並列数の余裕になる

---

最大トピック③: プロンプトキャッシュの立て直し（v2.1.243 → 248 → 251）

「毎時1回、キャッシュが全損していた」

今号でいちばん地味に重いのがこれだと思う。v2.1.248 の修正。

Fixed a prompt-cache miss (and lost extended-thinking context) roughly once an hour in long sessions, caused by tool definitions being re-rendered after an OAuth token refresh

OAuth トークンのリフレッシュ（約1時間ごと）のたびにツール定義が再レンダリングされ、プロンプトキャッシュがミスしていた。キャッシュミスは料金に直結する——キャッシュ読み込みは通常入力の 1/10 の単価なので、長いコンテキストを積んだセッションでのフルミスは、そのターンだけ入力コストが最大10倍になる。しかも extended thinking のコンテキストも失われていた。長時間セッションを回している全ユーザーが、知らないうちに毎時1回、余計な料金を払っていたことになる。

同種の修正がもうひとつ。--resume したセッションの初回ターンで、アカウントが使用量超過に入っていると ScheduleWakeup ツールの定義が変わってフルキャッシュミスになる問題も v2.1.248 で直った。「ツール定義の1文字が変わるとキャッシュ全損」というプロンプトキャッシュの性質が、いかに踏みやすい地雷かがよく分かる2件になる。

TTL を自分で選べるようになった（v2.1.243）

• promptCacheTtl / subagentPromptCacheTtl 設定——API キー・クラウドプロバイダのユーザーが、メイン会話は1時間キャッシュ、サブエージェントは5分、のように使い分けられる
• agent frontmatter の experimental.cacheTtl（v2.1.248）——エージェント単位で TTL を上書き

1時間 TTL は書き込み単価が高い（通常入力の2倍、5分 TTL は1.25倍）ので、すぐ戻ってくる会話には1時間、使い捨てのサブエージェントには5分という使い分けには経済合理性がある。それをユーザー側で選べるようになった。

そして「見える化」（v2.1.251）

• /cost にセッションごとのプロンプトキャッシュ行——ヒット率、ミス回数、再キャッシュされたトークン数、warm / cold
• ステータスライン用の prompt_cache オブジェクトも追加

修正（毎時ミスの解消）→ 制御（TTL 設定）→ 可視化（/cost）と、3リリースかけてキャッシュ経済がユーザーの手に降りてきた。トークン単価の議論はモデルの話に偏りがちだが、実際の請求額を動かすのはキャッシュヒット率——それを見る道具がやっと揃った。

---

最大トピック④: auto mode 第2章——既定化のあとの運用整備

前号の中心だった auto mode 既定化（8/14）から、今号は運用フェーズに入った。

ルールが編集できるようになった（v2.1.246）

• /permissions に Auto mode タブ——分類器ルールの閲覧と編集ができる。既定化の時点では「分類器の判断はブラックボックス」に近かったが、ユーザーが介入する入口ができた
• 広すぎる Bash allow ルールへの起動時警告——Bash(git * main) のようにサブコマンド前にワイルドカードがあるルールは、サブコマンドの前に挿入されたオプションにもマッチしてしまう、という警告。前号の「allowlist は分類器をスキップさせる穴」問題への直接の手当て

導線の整備（v2.1.247, 251）

• Bash 許可プロンプトに auto mode を勧める tip と「Yes, and switch to auto mode」のワンキー選択肢が付いた
• 新規インストールの初回起動が auto mode で始まるように（既定が auto mode のアカウント。v2.1.251 で修正——それまで default mode で始まっていた）
• 一方で、「auto mode を既定にしませんか」の一度きりのオファーが unattended セッション（teammate ペインなど）に出て、迷いキー入力で読まれずに承諾される問題も修正された（v2.1.251）。プラグイン導入提案や auto mode オファーは、入力中のプロンプトを送る Enter では答えられないタイミングまで待つようにもなった（v2.1.251）——「勝手に承諾していた」系の穴を閉じる、地味だが重要な修正

分類器そのものの調整

バージョン	内容
v2.1.236	Bedrock / Vertex / Foundry・テレメトリ無効環境の分類器を API と同じ既定に（重大度スコア付き分類を含む）
v2.1.236	Monitor の allow ルールを auto mode 中は棚上げ——Monitor コマンドも Bash と同じく分類器を通す
v2.1.236	リポジトリの status.showUntrackedFiles=no 設定で git status チェックを騙して「クリーンなツリー」と誤認させられる問題を修正
v2.1.243	一時的なサーバー側無効化がキャッシュされ、以後のフラグ取得失敗で auto mode が起動時からずっと使えなくなる問題を修正
v2.1.243	API が過負荷でリトライを求めたとき、約1分待って「temporarily unavailable」拒否になる問題を修正
v2.1.246	巨大セッションで分類器の安全チェックがタイムアウトして拒否される問題——デッドラインをプロンプトサイズに応じてスケール
v2.1.246	&& や || がぶら下がった不正なコマンドは常に承認必須に
v2.1.251	整数シェル変数への算術式代入（OPTIND=1/0、RANDOM=2+2 など）が自動承認されていた問題を修正——bash の算術評価は任意コード実行の入口になり得る
v2.1.251	managed settings の disableAutoMode がセッション途中に届いても、実行中の auto mode セッションが default に戻らなかった問題を修正

前号の「分類器から見えないコマンドを潰す」作業が続いているが、今号は加えて分類器自身の可用性（タイムアウト・フラグキャッシュ・過負荷時）の修正が目立つ。既定にした以上、「分類器が落ちている＝全員の作業が止まる」になるからだ。

---

最大トピック⑤: --restricted と SendFeedback——ハーネスの「縮む方向」の整備

--restricted（v2.1.248）

claude --restricted
# または CLAUDE_CODE_RESTRICTED=1

これまで Claude Code の設定は「フルパワーから何を削るか」を自分で書く方式だった。--restricted は逆に、最初から縮めた状態を1フラグで作る。

• コマンド・コード実行系の同梱ツールと WebFetch を削除（--tools で名指しした場合を除く）
• ファイルツールは作業ディレクトリ内に限定
• bypassPermissions を拒否
• user / project / local の設定ファイルを無視

最後の項目が効いている。「リポジトリに checkout された .claude/settings.json は信用できない」という前号からの思想の延長で、信頼できないリポジトリを開くとき・CI で読み取り専用の分析だけさせたいとき・他人のコードをレビューさせるときに、設定ファイル経由の攻撃面ごと落とせる。

SendFeedback（v2.1.247)

Added the SendFeedback tool: when something goes wrong in a session, Claude can draft a feedback report for you to review and send from /feedback

セッション中に何かおかしくなったとき（ツールの失敗、モデルの迷走、ユーザーのフラストレーション）、Claude 自身がその場でフィードバック報告を下書きする。ポイントは、

• 下書きはローカルにキューされるだけ。送信は /feedback からユーザーが明示的に行う
• feedbackDrafts 設定でオフにできる

「バグに遭遇した瞬間がいちばん状況を正確に書ける」のは人間もモデルも同じで、再現手順とエラーメッセージをその場で固定する装置として筋がいい。一方で、v2.1.224 でフィードバックのトランスクリプト共有が「システムプロンプトとツール定義も送る」ようになった件（前号）と合わせて、/feedback で何が送られるかは把握しておくべき項目でもある。

「Concise」出力スタイル（v2.1.237）

/config の Output style で選べる同梱スタイル。結果から書き、前置きとナレーションを省く。作業の丁寧さはそのままという触れ込み。「わかりました、では〜します」系の前置きが不要な人向けのワンタッチ設定で、これまで CLAUDE.md に「簡潔に答えて」と書いていたのを公式が引き取った形。

---

最大トピック⑥: セキュリティ——主戦場は「symlink と TOCTOU」へ

前号は「コマンドを隠す系」と「NT パス」が主戦場だった。今号は symlink と Time-of-Check-to-Time-of-Use（チェック時と使用時の間の差し替え）に移った。

v2.1.251 の3連発

内容
Read / Write / Edit が、権限チェック後に作業ディレクトリ内で差し替えられた symlink を辿り、承認範囲の外を読み書きできた——チェックと実行の間に symlink を仕込む古典的 TOCTOU
Grep / Glob が symlink された検索パス経由のファイルに Read(...) deny ルールを適用していなかった——deny で守ったつもりのファイルが検索経由で読めた
マーケットプレイスエントリで宣言されたプラグインコマンドが、プラグインディレクトリの外を指せた——パストラバーサルとして拒否するように

「事前承認済み」経路の点検も継続

• /ultrareview とローカルシードのクラウドセッションが、prod.env 系・*.tfvars・資格情報ファイルのエディタスワップ／一時／バックアップコピー（key.pem.tmp、id_rsa.swo など）の未コミット編集をアップロードしていた（v2.1.248 で修正）——クラウドレビューに「ついでに」秘密が乗る経路。gitignore していても未コミットの編集はバンドルに入り得たという点が重い
• Workflow ツールが、権限チェック前にセッションの読み取り範囲外の scriptPath を読んで、エラーメッセージに引用していた（v2.1.251）
• プロジェクト設定が詳細ベータトレースや生 API ボディのログを有効化できた／下位スコープのトレースエンドポイントが managed settings のピン留めした OTLP コレクタを迂回できた（v2.1.251）
• サンドボックス TLS 終端・プロキシ経由・資格情報注入・隔離弱化を行うサーバー管理設定は、適用前に承認必須に（v2.1.251）。ANTHROPIC_CUSTOM_HEADERS が資格情報系ヘッダを設定する場合も承認必須に
• プロジェクトの .claude/settings.json の env から CLAUDE_CONFIG_DIR / TMPDIR 系を設定できなくなった（v2.1.251）
• macOS サンドボックス: ワイルドカード read-deny ルール（**/.env など）が許可済み読み取り領域の中でも優先され、ディレクトリの中身をカバーし、リネームで迂回できなくなった（v2.1.236）
• Claude in Chrome のブラウザ操作が常に Claude Code の権限チェックを通るように（v2.1.251）——テレメトリ無効セッションでは Chrome 拡張自身のプロンプトが使われていた
• MCP headersHelper（プロジェクト .mcp.json・プラグイン・エージェントファイル由来）はフォルダの信頼ダイアログ承認が前提になり、資格情報系の環境変数を継承せずに実行されるように（v2.1.238）
• プラグインマーケットプレイスの堅牢化——制御文字・不可視文字を含む名前を拒否、マーケットプレイス供給のテキストをエスケープセーフに（v2.1.247）。ターミナルハイパーリンクも、ネットワークパスや制御文字入りのリンク先はプレーンテキスト化（v2.1.247）

前号の総括「見せられないものに、まとめて許可を出させない」に続けるなら、今号は「チェックした時のファイルと、実行する時のファイルが同じであることを保証する」。symlink 系 TOCTOU は OS を問わない普遍的な攻撃面なので、この方向の修正はまだ続くと思われる。

---

バージョン別ハイライト

v2.1.236（2026-08-19）notify_when_idle・auto mode パリティ

• ANTHROPIC_DEFAULT_MODEL 環境変数——新規セッションの開始モデルを設定。/model での選択が上書きし、再起動を跨いで持続する（ANTHROPIC_MODEL と違って「既定値」として振る舞う）
• クロスセッション SendMessage に notify_when_idle（上記）
• macOS サンドボックスのワイルドカード read-deny 強化(上記)
• セッションが移動した先のディレクトリが削除された後、クリップボードコピー・バックグラウンドセッション・ローカル MCP ログが壊れる問題を修正（v2.1.229 以来）
• fullscreen レンダラが一度の起動失敗で永久に失敗する問題を修正（クラシックレンダラにフォールバック）
• /model ピッカーがターミナルより縦長に描画される問題を修正（スクロール対応）
• WSL で Windows interop が無効のとき powershell.exe の起動失敗が unhandled rejection になる問題を修正（v2.1.234 の regression）
• auto mode: Monitor allow ルールの棚上げ、Bedrock / Vertex / Foundry の分類器既定統一、status.showUntrackedFiles=no 対策（上記）
• /goal: 長時間バックグラウンド作業の裏でゴールが止まっているとき、30分 → 1時間 → 2時間のバックオフで自動的に様子を見に行くように
• 暴走するセッション recap を修正——recap テキストを400文字・単語境界でカット
• スラッシュコマンドのタイポで最も近いコマンドが fuzzy 実行されるのをやめ、報告するように（プレフィックスとエイリアスは従来通り）
• SendMessage のバースト超過を送信前に拒否（上記）
• Fable 5 の初回 usage-credits プロンプトが Remote Control 使用時に60秒でフォールバックモデルを勝手に選ぶ問題を修正

v2.1.237(2026-08-20）Concise スタイル・ゲートウェイキャッシュ修正

• LLM ゲートウェイ／カスタムベース URL 使用時のプロンプトキャッシュを修正——ゲートウェイ勢には大きい1行
• 「Concise」出力スタイル追加（上記）

v2.1.238（2026-08-20）readline 風キーバインド・メモリリーク修正・Remote Control 連打

• keybindingFlavor 設定——"readline" で Ctrl+W が Bash と同じ「前の空白まで削除」に。v2.1.239 では Alt+F / Alt+D / Ctrl+→ の単語移動系も readline 準拠に
• プラグインマーケットプレイスの headersHelper——短命トークンなどの HTTP ヘッダをコマンドで発行してカタログ／アーカイブ取得に使う（インストール・更新時のみ実行、[y/N] 確認つき）
• claude self-hosted-runner に --defer-shutdown-max-min（SIGTERM 後も接続中セッションを一定時間サーブ）と --proxy-authorization-command / --proxy-authorization-file（接続ごとに Proxy-Authorization を発行する egress プロキシ対応）
• 長時間セッションの無制限メモリ増加を修正（上記）
• カスタム／プロジェクト／プラグインの output style がセッション途中で既定の声に戻ってしまう問題を修正
• stdio MCP サーバーが initialize 前に server/discover を受け取り、lazy なサーバーがセッションを開くたびにバックエンドを起動させられる問題を修正
• Bash コマンドの kill・タイムアウト・中断時に /tmp/claude-*-cwd ファイルが残る問題を修正
• Remote Control の修正が10件超——プロセスクラッシュしたセッションの再利用、mid-turn に送ったメッセージの消失、スマホでのモデル選択がターミナルに反映されない、瞬断での「login expired」切断、など
• Ctrl+L / Cmd+K は fullscreen では常に再描画のみに——ダブル押しの /clear ショートカットは削除（1行の nvim ターミナルで自動 /clear ループが起きていた）
• claude mcp list が無効化済みサーバーにヘルスチェック接続しなくなった（⊘ Disabled 表示）
• zsh 固有のシェル条件構文の権限チェック改善

v2.1.239（2026-08-21）★ Windows クロスセッションメッセージング・データレジデンシー料金

• Windows でクロスセッションメッセージングが利用可能に（上記）
• コスト見積もり（/cost・ステータスライン・--max-budget-usd）が、データレジデンシーワークスペースの 1.1× US-only-inference プレミアムを含むように
• fullscreen レンダラの一度きりオファーが Bedrock / Vertex / Foundry にも表示、そこでの新規インストールは fullscreen で開始
• /claude-api upgrade——Python プロジェクトを anthropic 0.x から 1.x に移行するサブコマンド
• クラウドセッション: claude.ai から同期されたプラグインが name@synced として表示・操作可能に。自分でインストールした同名プラグインを上書きしなくなった
• プロキシが Content-Type ヘッダを剥がす環境の Bedrock ストリーミングで、全ターンが非ストリーミング再実行されて請求 API コールが静かに倍になっていた問題を修正
• Esc とキュー済みプロンプトのレースで、ターンが早終了してアイドルに見えるのに Claude はまだ作業中、再送で操作が繰り返される問題を修正
• カスタムセッションタイトルが、リネーム後 64KB 超の会話が書かれると /resume から消える問題を修正
• claude -c / resume が _・-・. だけ違う別ディレクトリのセッションを拾う問題を修正
• UTF-8 BOM 付きの agents / skills / commands の .md が静かに無視される問題を修正
• .worktreeinclude の **/ 開始パターンが gitignore されたディレクトリ内で何にもマッチしない問題を修正
• OpenTelemetry: PreToolUse フックで遅延したツール実行が元のターンのトレースで再開するように（トレース分断の修正）
• CLAUDE_CODE_RETRY_WATCHDOG が組織の spend-limit・クレジット枯渇エラーで即座に失敗するように（リセットを無限に待たない）
• /goal のバックオフ式チェックイン、--resume ピッカーからのゴール復元
• ListAgents が自セッション名と teammate を表示（上記）
• モバイルからアップロードした画像に保存パスが付き、Claude がファイルへコピーできるように
• タイトルが / で始まるセッションが SendMessage から指せず「(untitled)」になる問題を修正

v2.1.240 / 241 / 242（8/22〜24）中身非公開

240・241 は「Bug fixes and reliability improvements」のみ。242 は npm に公開されたが changelog 記載なし。244・249 は欠番。

v2.1.243（2026-08-24）★ 軽量化・キャッシュ TTL 設定・modelPicker

今号最大の96項目。

新機能 - /usage に Loops 内訳——/loop ごとの実行回数・総トークン・1回あたりトークン・最終実行。暴走・おしゃべりなループを特定できる - modelPicker 設定——/model ピッカーを順序・ラベル付きのリストでカスタマイズ（Vertex / Bedrock の ID 表記も可）。同梱ラインナップへの追加も置換も可能 - promptCacheTtl / subagentPromptCacheTtl（上記） - modelPricing managed 設定——組織の契約単価・割引率を /cost・ステータスライン・テレメトリのコスト数値に反映 - /login にキーレスの Console サインイン——API キーを作らず Console アカウントで認証（API キー禁止の組織向け） - /tasks とエージェント詳細に各サブエージェントのモデルと effort レベルを表示 - /status に「Skipped sources」（適用されなかった managed settings ソース）、web 用 GitHub 接続状態の行

修正 - /resume が直近50セッションまでしか出なかった——スクロールで追加読み込み - 非インタラクティブ / SDK セッションのリモート MCP サーバーが切断後に復帰しない問題 - Anthropic API が応答を開始しないままセッションが10分以上無言になる問題——約3分でタイムアウト、1回リトライ、その後明示エラー - クロスセッションメッセージングが user namespace / rootless コンテナで静かにオフ(上記) - claude --teleport が未コミット変更で終了する問題（stash を提案するように） - サンドボックスのネットワーク違反詳細が、ブロックされたコマンドが exit 0 のときに落ちる問題（プロキシの 403 ページを curl が印字して正常終了するケース） - ヒストリ検索・/config・/mcp などでの矢印キー＋Enter 連打が1つ上の行に作用する問題（v2.1.247 でさらに他画面も修正）

改善・変更 - 起動時間・ダウンロードサイズ・メモリの大幅改善(上記) - /login の SSH 対応改善——サインイン URL が即表示、c でのコピー結果を正直に報告 - /loop: 何もすることがない連続ウェイクアップが1行に畳まれるように - サンドボックス Bash のプロンプトから許可済みネットワークホスト一覧を削除——Claude が「リストにないから無理」と諦めず、まず試して新ホストの承認を求めるように - Sonnet 5 の $2/$10 per Mtok が正式リスト価格に（/model ピッカーと claude-api スキルの表記変更） - macOS の computer use で、デスクトップ・Dock・Finder ウィンドウのクリックに Finder のアクセス許可が必要に - /model・/fast・/effort が Bedrock / Vertex / Foundry でもターン終了を待たず即時実行されるように

v2.1.245（2026-08-25）glibc 2.44 ホットフィックス

• glibc 2.44 を載せた Linux ディストリビューション（Arch、CachyOS、Fedora Rawhide）での起動クラッシュを修正

v2.1.246（2026-08-25）Auto mode タブ・fullscreen の詰め・/cd 改善

• /permissions に Auto mode タブ、ワイルドカード allow ルール警告（上記）
• ターン終了行に完了時刻——✻ Sautéed for 23s · done 6:05 PM
• 超長い1行（base64 など）を含む diff で深刻なトランスクリプト低速化——切り詰め表示に
• /cd 後、移動先のプロジェクト設定・フック・.mcp.json・スキル・エージェントが即座に有効に（従来は --resume 待ち）
• ダイナミックワークフロー中の ← / /background が完了済みサブエージェントを再起動していた問題——確認を挟み、何体再起動になるか表示
• auto mode の安全チェックデッドラインをプロンプトサイズでスケール（上記）
• サブエージェントが maxTurns 上限で止まったとき、結果を「部分的」とマークして SendMessage での継続ヒントを付けるように（完了に見えなくなった）
• 非インタラクティブセッション（-p・SDK・クラウド）が、サーバーエラーや接続断で切れたレスポンスを自動継続するように
• /code-review を Claude が自発的に開始できる範囲が Bedrock / Vertex / Foundry・テレメトリ無効環境に拡大
• /goal: アイドルセッションのチェックインはゴールごとに最大3回まで（次のメッセージでさらに3回）
• plugin.json の UTF-8 BOM でインストール失敗、skills/*/SKILL.md 構成で /reload-plugins が0スキル報告、${CLAUDE_PLUGIN_ROOT} が未解決のままエラー表示——プラグインまわりの小骨を多数修正
• /stats のアクティビティヒートマップが UTC より東のタイムゾーンで1マスずれる（日曜の分が月曜に）問題を修正
• /fork が fork 済み／バックグラウンド化済みセッションから空の会話で始まる問題を修正
• Lean のドキュメントコメントなど /-- で始まるプロンプトが unknown slash command になる問題を修正
• サードパーティゲートウェイの API キーがAnthropic へのテレメトリリクエストに乗っていた問題を修正（資格情報は自ホストのみに送信）
• 保存履歴にサードパーティプロキシ由来の不正 tool ブロックがあると resume 後全ターン 400 になる問題を修正
• bash シェルのスナップショット関数リプレイを高速化（関数ごとの base64 サブシェル廃止）

v2.1.247（2026-08-26）SendFeedback・claude-api スキル拡充

• SendFeedback ツール（上記）
• /claude-api cost-optimize——既存プロジェクトの Claude API 支出をプロファイルし、キャッシュ・トークン衛生・バッチ・effort・モデル選択のコストレバーを1つずつ計測しながら回す
• claude-api スキルに Admin API（組織メンバー、招待、ワークスペース、API キー、レート制限レポート、WIF、CMEK）を追加
• Bash 許可プロンプトに auto mode 切替のワンキー選択肢（上記）
• spinnerTipsOverride に id / cooldown / priority / tipsFile / label——組織が自前の tips をローテーションできる
• サブエージェントが初回の model 404 で死ぬ問題——セッションのフォールバックモデルチェーンを使い、エラーにタイプ・ステータス・request id・モデルを含める
• メガバイト級のエラー出力を吐くフックが会話を溢れさせ「Prompt is too long」でセッションが詰む問題を修正
• kitty プロトコルターミナルの非ラテン（キリル文字など）キーボードレイアウトで Ctrl ショートカットが効かない問題を修正
• /terminal-setup が Zed の keymap.json を丸ごと上書きしていた問題を修正（マージに）
• /compact と「Summarize from here」が --agent セッションで既定のシステムプロンプトで要約していた問題を修正
• nix / home-manager / stow の dotfile 管理の ~/.claude/settings.json symlink をサンドボックスのクリーンアップが削除する問題を修正
• Sonnet 5 の自動 compact 窓が 1M フルコンテキストに——1M 窓のセッションは約 934K ではなく約 967K トークンで auto-compact
• 受信メッセージの1行プレビュー化（上記）
• マーケットプレイス供給テキストのエスケープ、ハイパーリンクの無害化（上記）
• Bedrock / Vertex / Foundry・テレメトリ無効環境で、MCP サーバー接続失敗が Claude に伝わるように（「ツールが存在しない」と誤解しなくなった）
• 組織のサインイン強制が、managed settings を読めないときはホスト供給やレジストリ設定があっても起動時に終了するように

v2.1.248（2026-08-27）★ --restricted・毎時キャッシュミス修正・same-machine パリティ

• --restricted / CLAUDE_CODE_RESTRICTED=1（上記）
• OAuth リフレッシュ起因の毎時プロンプトキャッシュミスを修正（上記）
• Bedrock / Vertex / Foundry・テレメトリ無効環境で、同一マシンのクロスセッションメッセージングが利用可能に
• agent frontmatter の experimental.cacheTtl（上記）
• claude self-hosted-runner --client-label——ランナーの登録ラベルを上書き
• /usage-credits が AWS Marketplace 経由・セルフサーブ・トライアルの Enterprise にも——メンバーが管理者に上限引き上げをリクエストできる
• Claude Desktop / Cowork のセッションが30日で消えていた問題——アプリ内にある間はトランスクリプトクリーンアップが保持（desktopSessionCleanupPeriodDays で上限設定可）
• サーバー管理設定の診断——読み込み失敗の起動時警告、/doctor / /status に失敗理由・未取得理由の行
• Windows: claude agents 一覧がセッションからのデタッチ後や win32-input-mode のターミナルタブでキーボードに反応しない問題を修正
• claude agents / claude rm が、worktree ブランチがローカルの default ブランチにマージ済み（未 push）のセッションを「未 push のコミットがある」と削除拒否する問題を修正
• PermissionRequest / PreToolUse フックが不正な回答を print するとバックグラウンドセッションが無言で待ち続ける問題——claude agents の行にフック名とスキーマエラーを表示
• /ultrareview の秘匿ファイルアップロード修正（上記）
• エージェントビューで電源オフを挟んで数週間前のバックグラウンドセッションが蘇生する問題を修正
• Workflow ツールのプロンプトフットプリントを 5.7k → 約1k トークンに——スクリプト作成リファレンスを workflow-authoring スキルに分離
• クロスセッションメッセージング: 既定の /tmp ディレクトリが使えないときプライベートなユーザー別ディレクトリにフォールバック
• /loop のセルフペーシング（dynamic mode）と自律既定が Bedrock / Vertex / Foundry でも常時利用可能に
• agent view のディスパッチ入力で shift+enter が改行に（プロンプトと統一）、ctrl+enter でディスパッチ＋アタッチ

v2.1.250（2026-08-28）中身非公開

「Bug fixes and reliability improvements」のみ。

v2.1.251（2026-08-28）★ モデル切替フック・symlink TOCTOU・キャッシュ可視化

50項目超。

新機能 - PreModelSwitch / PostModelSwitch フックイベント——モデル切替をブロック・確認・注釈できる。SessionStart の resume フックはセッションの陳腐化度と推定再キャッシュコストを受け取る - フォアグラウンドサブエージェントのツール呼び出しと結果を Remote Control クライアントにライブストリーミング（バックグラウンドは従来通りステータスのみ） - /usage に Spend limit バー、ステータスラインに rate_limits.spend_limit フィールド（apps gateway の支出上限向け） - /cost にプロンプトキャッシュ行（上記） - claude --help に attach / logs / stop / respawn / rm を記載。実行中バックグラウンドセッションへの --resume は正確な claude attach <id> コマンドを提示

セキュリティ - symlink TOCTOU 3連発（上記） - 算術式代入の auto-approve 穴（上記） - サーバー管理設定・カスタムヘッダの承認必須化、プロジェクト env の制限（上記）

修正 - thinking だけ出したターンの後、「text content blocks must be non-empty」で会話が詰む問題 - Opus 5 で effort xhigh / max ＋ thinking 無効のとき「effort … is not supported」で失敗する問題——この場合 effort を high として送信 - teammate の最終回答がチームリーダーに届かず、中身のない「available」通知だけ来る問題 - 並列サブエージェント多数での TUI ラグ——毎秒の進捗ティックがトランスクリプトに積み上がらず置き換えに - ディレクトリ変更で同一 ID のトランスクリプトに静かに上書きされる問題 - バックグラウンドセッションが自分で作った git worktree 内のファイルを編集できない問題 - 別の Claude Code プロセスがマーケットプレイスをリフレッシュ中だとバックグラウンドセッションがプラグインスキルなしで始まる問題 - SDK MCP サーバーのハンドシェイク ACK 喪失で SDK / クラウドセッションが無限ハング——70秒でタイムアウトし該当サーバーのみ失敗扱いに - claude ultrareview がクラウドセッション起動失敗時に30分フルに待つ問題——早期に停止して理由を報告 - バックグラウンド化したセッション（← / /background / --bg）がシェルの Vertex / Bedrock ゲートウェイ環境変数を失って全リクエスト失敗する問題 - 「auto mode を既定に」オファーが unattended セッションに出る問題（上記） - GNU screen / tmux（screen 端末タイプ）で斜体テキストがハイライトブロックとして描画される問題

改善・変更 - CLAUDE_CODE_SUBAGENT_MODEL が「全上書き」から「既定値」に——エージェント定義の model: と spawn 時の明示指定が優先されるように - シート制 Enterprise の既定モデルが Opus 5 に（他のプレミアムプランと統一） - /effort がモデルごとに既定 effort を保存——モデルを切り替えても各モデルが自分の設定を保つ - 認識できない Claude モデル以外（カスタムベース URL 裏のサードパーティモデルなど）のコミットトレーラーを Co-Authored-By: Claude Code に変更 - /radio が Bedrock / Vertex / Foundry・テレメトリ無効環境でも利用可能に - managed settings 承認ダイアログが前回承認から変わった設定だけをリストするように - 不正なツール呼び出しのリトライ時、壊れた出力をリトライコンテキストから除去（Bedrock / Vertex / Foundry 含む） - インストールサイズ約5MB削減、6言語のハイライト削除で2.5MB削減、CPU 使用率改善（上記）

---

新コマンド・機能・設定まとめ表

新設定・環境変数

名前	種別	効果	導入
ANTHROPIC_DEFAULT_MODEL	環境変数	新規セッションの開始モデル（/model が上書き・持続）	v2.1.236
keybindingFlavor	設定	"readline" で Bash 風の単語削除・移動	v2.1.238
promptCacheTtl / subagentPromptCacheTtl	設定	プロンプトキャッシュ TTL をメイン／サブエージェントで別指定	v2.1.243
modelPicker	設定	/model の一覧を順序・ラベル付きでカスタマイズ	v2.1.243
modelPricing	managed 設定	契約単価・割引率をコスト表示に反映	v2.1.243
--restricted / CLAUDE_CODE_RESTRICTED	フラグ／環境変数	実行系ツール除去・ファイル操作を CWD に限定・設定ファイル無視	v2.1.248
feedbackDrafts	設定	SendFeedback ツールのオフ	v2.1.247
experimental.cacheTtl	agent frontmatter	エージェント単位のキャッシュ TTL	v2.1.248
desktopSessionCleanupPeriodDays	設定	Desktop / Cowork セッションの保持期間上限	v2.1.248
spinnerTipsOverride（拡張）	設定	組織の独自 tips ローテーション	v2.1.247

コマンド・機能の変化

対象	変化	導入
クロスセッションメッセージング	ネイティブ Windows 対応（名前付きパイプ＋トークン認証）	v2.1.239
SendMessage	notify_when_idle——アイドル時のワンショット通知	v2.1.236
/permissions	Auto mode タブ（分類器ルールの閲覧・編集）	v2.1.246
出力スタイル	同梱「Concise」追加	v2.1.237
SendFeedback	新規。Claude がフィードバック下書きを作成	v2.1.247
PreModelSwitch / PostModelSwitch	新規フックイベント	v2.1.251
/cost	プロンプトキャッシュ行（ヒット率・ミス・warm/cold）	v2.1.251
/usage	Loops 内訳、Spend limit バー	v2.1.243, 251
/effort	モデルごとに既定を保存	v2.1.251
/resume	50件制限撤廃（スクロール読み込み）	v2.1.243
/cd	移動先のプロジェクト設定・フック・MCP が即時有効	v2.1.246
/claude-api	upgrade（Python SDK 0.x→1.x 移行）、cost-optimize サブコマンド追加	v2.1.239, 247
/login	キーレス Console サインイン	v2.1.243
/goal	バックオフ式チェックイン、ゴールごと最大3回	v2.1.236〜246
/loop	dynamic mode が全プロバイダで利用可、無音ウェイクアップの折り畳み	v2.1.243, 248
Workflow ツール	プロンプトコスト 5.7k → 約1k トークン	v2.1.248
CLAUDE_CODE_SUBAGENT_MODEL	「全上書き」から「既定値」へ降格	v2.1.251

---

Windows ユーザー的に効いた改善

1. クロスセッションメッセージングが使えるようになった（v2.1.239）

前号の当たり判定①がそのまま反転した。/list-agents（/peers）が動き、@セッション名 で別ターミナルの Claude に届く。この記事群を書いている環境（Windows 11 ネイティブ）でもそのまま使える。

注意点は2つ。

• WSL2 のセッションとは繋がらない——同じ PC でも、WSL2 内とネイティブは別マシン扱い（Remote Control 経由でのみ到達可能）
• スクリプトから自セッションに投稿するにはトークン認証が必須——CLAUDE_CODE_MESSAGING_TOKEN を最初の1行で送る。Unix 系では省略可なので、サンプルコードをそのまま持ってくると Windows でだけ動かない

2. claude agents のキーボード不応答修正（v2.1.248）

セッションからデタッチした後や、win32-input-mode のまま放置されたターミナルタブで起動したとき、claude agents の一覧がキーボードに反応しなくなる問題。エージェントビューを常用しているなら体感が変わる。

3. 自動更新が軽くなった（v2.1.243）

ダウンロードサイズ約1/4.5。ほぼ毎日リリースされる CLI なので、毎日の更新トラフィックがそのまま1/4になる。

4. WSL の powershell.exe interop 無効時の unhandled rejection（v2.1.236）

WSL 側で Windows interop を切っていると powershell.exe の起動失敗が未処理エラーになっていた（v2.1.234 の regression）。WSL 併用勢向け。

5. headless セッションの残骸掃除（v2.1.246）

Windows / macOS で、不正終了したセッションが ~/.claude/sessions に残した古いエントリを headless セッションが掃除しなくなっていた問題の修正。

6. デタッチ済みワークツリーとロック（v2.1.248）

バックグラウンド化した worktree セッションが checkout を失う問題——実行中は worktree のロックを保持し、クリーンアップや git worktree remove に消されなくなった。

---

ワークフロー変化の考察

「開放」が今号の隠れテーマ

changelog を通して読むと、「〜が Bedrock / Vertex AI / Foundry でも、テレメトリ無効でも使えるように」という行が異常に多い。

• auto mode 分類器の既定統一（v2.1.236）
• /model・/fast・/effort の即時実行（v2.1.243）
• /code-review の自発起動（v2.1.246）
• 同一マシンのクロスセッションメッセージング（v2.1.248）
• /loop dynamic mode（v2.1.248）
• /radio（v2.1.251）
• fullscreen レンダラのオファー（v2.1.239）
• MCP 接続失敗の Claude への通知（v2.1.247）

これまで Claude Code の新機能は「claude.ai サインイン＋テレメトリ有効」の環境に先に落ち、サードパーティプロバイダは常に数ヶ月遅れだった。今号はその未払いをまとめて精算している。機能フラグで出し分ける開発スタイルの負債——「フラグが取れない環境では機能ごと存在しない」——を、フラグに依存しない既定へ移す作業と読める。プライバシー系環境変数（DISABLE_TELEMETRY など）を入れているユーザーにも同じ恩恵が来ているのが実利的なところ。

攻めの2週間から、守りの10日間へ

前号は「auto mode 既定化・セッション間通信・self-hosted」という構造変化の連打だった。今号の新機能は --restricted と SendFeedback くらいで、あとは修正・軽量化・開放・可視化に徹している。

これは健全なリズムだと思う。7月にエンジン（Opus 5 既定化）、8月上旬にハーネス（auto mode・メッセージング）と大物を入れた直後で、その2つが実運用に耐えるための地固めが必要なタイミングだった。実際、今号の修正リストは「前号の新機能の初期不良」（メッセージングの静かな失敗、auto mode の可用性、self-hosted runner の運用系）で相当の割合を占める。

キャッシュがコスト管理の主役になった

promptCacheTtl 設定、毎時キャッシュミスの修正、/cost のキャッシュ行、experimental.cacheTtl、fork の既定オン（前号——キャッシュ継承）、ワークフローのプレフィックス・スタガー（前号）——この2号でプロンプトキャッシュ関連の変更が10件を超えた。

理由は単純で、エージェント的な使い方ではコンテキストが常に巨大だからだ。20万トークンのコンテキストを積んだセッションでは、キャッシュが効くかどうかで1ターンの入力コストが10倍変わる。モデル単価の議論より、キャッシュヒット率の管理のほうが請求額に効く——/cost にヒット率が出るようになった今、「なぜかキャッシュミスが多い」を調べるのが新しいコスト最適化の入口になる。/claude-api cost-optimize(v2.1.247)がまさにその作業を案内するサブコマンドで、方向は揃っている。

「見えないリリース」の増加

冒頭にも書いたが、15本中3本が中身非公開、1本は changelog 記載なし、2本欠番。7月まではほぼ全リリースに詳細な changelog が付いていたので、これは変化と言っていい。セキュリティ修正の即日リリース（詳細は後日）、サーバー側フラグと対の変更、リリースパイプラインの失敗——理由はいろいろ考えられるが、「changelog が全て」という前提でウォッチしている側としては、公開情報と実態の差が開きつつあることは記録しておきたい。

---

まとめ

10日間で15本（実質10本）。前号で作り替えたハーネスの、回収と定着の号だった。

• v2.1.236（8/19）——notify_when_idle、auto mode のプロバイダ統一、ANTHROPIC_DEFAULT_MODEL
• v2.1.237（8/20）——ゲートウェイのキャッシュ修正、Concise スタイル
• v2.1.238（8/20）——readline キーバインド、メモリリーク修正、Remote Control 連打
• v2.1.239（8/21）——★ Windows クロスセッションメッセージング、データレジデンシー料金反映
• v2.1.240〜242（8/22〜24）——中身非公開
• v2.1.243（8/24）——★ バイナリ 1/4.5・メモリ -40〜70MB、キャッシュ TTL 設定、modelPicker
• v2.1.245（8/25）——glibc 2.44 ホットフィックス
• v2.1.246（8/25）——★ /permissions の Auto mode タブ、/cd 即時反映、自動レスポンス継続
• v2.1.247（8/26）——SendFeedback、/claude-api cost-optimize、Sonnet 5 の 1M auto-compact
• v2.1.248（8/27）——★ --restricted、毎時キャッシュミス修正、プロバイダパリティ
• v2.1.250〜251（8/28）——★ モデル切替フック、symlink TOCTOU 封鎖、/cost キャッシュ行

実務的に真っ先に効くのは3つ。

1. Windows でのクロスセッションメッセージング——並列セッション運用の道具が、ようやく全 OS で揃った。notify_when_idle で「終わったら教えて」ができる
2. キャッシュの見える化——/cost でヒット率を確認する習慣をつける。長時間セッションの毎時ミスが直った今、ミスが多ければ何かがツール定義を揺らしている
3. --restricted——信頼できないリポジトリを開くときの既定フラグとして覚えておく

そして構造的な一行まとめはこうなる。7月にエンジンを載せ替え、8月上旬に権限モデルを置き換えた Claude Code は、8月下旬を「その全部が壊れずに回る」ことの検証に使った。派手さはないが、日々使う道具としてはこういう号がいちばんありがたい。

---

周辺の動き

Salesforce との提携「Claudeforce」（8/26）

Salesforce と Anthropic が拡張的な戦略提携を発表。Claude の知能を Salesforce に、Salesforce のデータを Claude にという双方向の統合で、「Salesforce in Claude」は選定パイロット顧客に提供中、9月にオープンベータ予定。Claude Code の直接の変更ではないが、エンタープライズでの Claude の面が広がる動き。

8月の障害2件

• 8/16（前号期間末）: 21:58 UTC から約42分、認証障害で claude.ai・Claude Code・Cowork がダウン（API は稼働継続）
• 8/24: 再び複数サービスに影響する障害が発生し「Claude is down worldwide」と報道された。v2.1.242〜243 のリリース日と重なる

CLI 側では「Anthropic API が応答を開始しないまま10分無言」の修正（v2.1.243）や非インタラクティブセッションの自動継続（v2.1.246）が同時期に入っており、障害時にセッションが静かに死ぬのではなく、失敗を報告してリトライする方向の手当てが進んだ。

週次使用量 +50% ブーストの終了（8/19）

5月から続いていた Claude Code サブスクライバ向けの週次使用量 50% ブーストが、延長期限の 8/19 で終了した。8/20 以降は本来の週次上限に戻っているので、ブースト前提で使い方を広げていた場合は注意。v2.1.234 で入った「使用量上限リセット時の自動継続」は、この着地に合わせた緩衝材だったと見ることもできる。

Managed Agents の 8/19 リリース

claude-api スキルの更新履歴（v2.1.238）から、Claude API 側で Managed Agents の 8/19 リリースがあったことが分かる——web search / fetch のドメイン設定と、self-hosted サンドボックス上のメモリストア。Claude Code の self-hosted environments と対になる「API 側のエージェント実行基盤」も更新が続いている。

---

出典

• Claude Code Official Changelog
• claude-code/CHANGELOG.md
• GitHub Releases - Claude Code（v2.1.236 〜 v2.1.251）
• クロスセッションメッセージング: Claude Code Docs - Message your other Claude Code sessions / DevelopersIO: v2.1.238〜239
• Claudeforce: Salesforce and Anthropic Announce Claudeforce
• 障害: BleepingComputer: Anthropic confirms Claude is down in major outage / AI Weekly: 42-Minute Outage / Sportskeeda: 8/24 outage
• リリース集約: Releasebot - Claude Code
• 前回記事: Claude Code 2026年8月上旬〜中旬アップデートまとめ

Claude Code 2026年8月上旬〜中旬アップデートまとめ

前回（7/20〜7/25, v2.1.216〜220）の続編。7/25 の v2.1.220 から 8/4 の v2.1.221 まで9日間リリースが止まり、そのあと 8/4〜8/18 の15日間で v2.1.221 〜 v2.1.235 の14本が一気に出た（v2.1.226 は「Bug fixes」の1行のみ、v2.1.230 は欠番）。本稿執筆時点の最新は v2.1.235。

前号は「エンジンが載せ替わった2週間」だった——Claude Opus 5 が既定になり、それに合わせてサブエージェントのネスト制限が3日で反転した。今号は、そのエンジンの上でハーネスそのものが作り替えられた。

方向は3つある。

1. 権限の既定が「人間の承認」から「分類器の判断」に移った——8/14 から Pro・Max・Team の新規セッションが auto mode 既定に
2. セッション同士が話し始めた——クロスセッションメッセージングが実用段階に入り、@ でセッションを名指しできるようになった
3. 実行環境が自前インフラに出せるようになった——claude self-hosted-runner

そして、いちばん静かに効くのがこれだ——Todo ツール（TodoWrite / TaskCreate 系）が Opus 4.8 以降のモデルから提供されなくなった（v2.1.233）。モデルが賢くなったので、進捗管理の足場を外した、ということになる。前号の「モデルが変わると安全域も変わる」の続きで、今号は「モデルが変わるとツールも減る」。

---

ざっくり結論

• auto mode が既定に（8/14, サーバー側ロールアウト）——Pro・Max・Team の新規セッションが対象。Anthropic の 1,053人テストで「人間が危険コマンドを検出できたのは 13.6%、auto mode は 89%」。Enterprise・API・Bedrock/Vertex/Foundry は当面オプトインのまま
• クロスセッションメッセージングが実用段階に（v2.1.224 → 232）——別ターミナルの Claude に @セッション名 でメッセージを送れる。同一マシンは UNIX ソケット直結、他マシン・クラウドは Remote Control 経由。ただしネイティブ Windows は非対応（macOS / Linux / WSL2 のみ）
• self-hosted environments 登場（v2.1.224）——claude self-hosted-runner で自社マシン・コンテナを Claude Code web/mobile/desktop セッションの実行先にできる。Team・Enterprise のパブリックベータ、既定オフ
• Todo ツールが新モデルから削除（v2.1.233）——TodoWrite / TaskCreate|Get|Update|List が Opus 4.8・Sonnet 5・Fable 5・Mythos 5・以降のモデルで無効。CLAUDE_CODE_ENABLE_TODO_TOOLS=1 で復活
• サブエージェントの振り子、さらに開く——v2.1.224 でセッションあたり200 spawn の上限を撤廃（7月上旬に入れたもの）、v2.1.232 で fork が既定オン＋非teammate の spawn が既定バックグラウンドに。同時20・depth 3 は据え置き
• GitLab が一級市民に（v2.1.232〜234）——トークンの秘匿、glab CLI の保護、マーケットプレイスの GitLab URL 対応、MR の !N 表示、フッター/ステータスラインの MR バッジ
• 権限バイパス修正の連打——zsh の [[ ]]、タブ・不可視 Unicode、PowerShell の $PSDefaultParameterValues、Git Bash の Cygwin symlink、ワークフローの import() 脱出、NT \??\ パス（NTLM 資格情報漏洩ベクタ）を2段階で封鎖
• claude-api スキルのコンテキストコストが 200k+ → 25k トークンに（v2.1.234）——参照ドキュメントをオンデマンド読み込みに変更。地味だが体感に効く
• 使用量上限リセット時の自動継続（v2.1.234）——claude.ai の usage limit が回復したらセッションを自動で続行。/config でオフにできる
• /permissions と /add-dir が作業中に開けるように（v2.1.234）——権限ルールの変更はそのターンの残りから効く
• ultraplan 機能が削除（v2.1.222）、/review は /code-review のエイリアスに（v2.1.223）
• /fork が自分専用の worktree を作るように（v2.1.221）——元セッションのチェックアウトを共有しなくなった
• spellcheck 設定（v2.1.235）——aspell / hunspell / ispell があればプロンプト入力のスペルミスに下線。今号の"かわいい"枠

---

最大トピック①: auto mode が既定になった（8/14）

何が変わったか

8月14日から、Pro・Max・Team プランの新規セッションは auto mode で起動する。これは CLI のリリースではなくサーバー側のロールアウトなので、changelog には直接載っていない。

auto mode 自体は前号（v2.1.218）で「ダイアログから分類器へ」と書いた仕組みそのもので、ツール呼び出しを1件ずつ分類器に通し、不可逆・破壊的・環境の外を向いた操作をブロックする。ブロックされた Claude は安全な代替経路を探すか、通常の許可プロンプトを出す。

対象と除外は明確に分かれている。

対象	状態
Claude Pro / Max / Team	8/14 から新規セッションの既定
Claude Enterprise	当面オプトイン（1ヶ月以内に変更予定と説明）
Claude API / Claude Platform on AWS / Amazon Bedrock / Google Cloud Agent Platform / Microsoft Foundry	当面オプトイン

Anthropic が出した数字

既定を変える判断の根拠として、かなり具体的な数字が公表されている。

• 1,053人の有料テスターを使った統制実験: 危険なコマンドを人間は 13.6% しか止められなかったのに対し、auto mode は 89% をブロックした
• 実セッションの観測: 本番相当の重大度で意図しない有害な操作が起きた割合が、手動モード 6.3% に対し auto mode 2.4%
• プロンプトインジェクション評価: auto mode の Claude に対する成功攻撃は 0件（競合システムは 5.83%）
• レッドチーミング: 強化後、分類器の見逃し率が 12% → 7% に改善
• 前提として、Claude Code ユーザーは許可プロンプトの 97% を承認している——つまり「聞かれても、ほぼ全部 Yes を押している」

「人間の承認は儀式になっていて、実際にはフィルタとして機能していない」という主張で、これが既定変更の理屈になっている。

暴走しないための戻し方

分類器に丸投げというわけではなく、折り返しが用意されている。

• 3連続でブロック、またはセッション累計20回ブロックした時点で、手動承認に戻る
• ブロックされたときの Claude の挙動は「安全な代替を試す」か「通常の許可を求める」
• v2.1.225 で「分類器自身の許可チェックが安全フィルタに拒否されたケースを、連続ブロック数にカウントしていた」不具合が修正された。操作は拒否のままだが、モデルには「リトライせず先へ進め」と伝えるようになった

既存ユーザーはどうなるか

• 自分で既定モードを設定していた人: 一度きりの確認プロンプトが出る場合がある
• defaultMode をピン留めしている人・組織の managed settings で固定されている人: 何も変わらない
• いつでも Shift+Tab で切り替え可能（default / acceptEdits / bypassPermissions と同じトグル）

実務的に効くのは「allowlist ではなく deny ルール」

いちばん重要な注意点はこれだと思う。許可リスト（allowlist）は引き続き機能するが、python:* のような広すぎるルールは分類器を素通りさせてしまう。「便利だから」と広いワイルドカードを置いていると、auto mode 既定化によってそれが分類器のバイパス穴になる。

逆に、hard deny（拒否ルール）は Claude が何を言おうと通らない。auto mode 時代では、

• allowlist は「分類器をスキップする穴」
• deny ルールは「モードに関係なく効く唯一の硬い壁」

という非対称ができる。承認プロンプトが減ることを歓迎するなら、その分deny ルールを整備しておくのが対価になる。Anthropic 自身も「分類は risk をゼロにしない。本番インフラへの変更は手動レビューを推奨」と明記している。

CLI 側がこの2週間でやっていた下支え

既定化の前後で、auto mode まわりの修正が集中している。逆算すると準備期間だったことがよく分かる。

バージョン	内容
v2.1.221	並列ツール呼び出しの許可チェックがキャッシュ効率化。会話プレフィックスを再利用して分類器コスト削減
v2.1.221	モード切り替え中に保留された判定が、古い結果を適用せず確実に再プロンプトするように
v2.1.222	SendMessage で他セッションに送るメッセージも、送信前に分類器で評価されるように
v2.1.225	安全フィルタ拒否を連続ブロック数にカウントしていた不具合を修正（上記）
v2.1.229	CLAUDE_CODE_ATTRIBUTION_HEADER で属性ヘッダを無効化していると全ツール呼び出しで auto mode が失敗する不具合を修正
v2.1.233	Windows で cd <dir> && <command> > file のような普通のコマンドが毎回止まる回帰を修正（v2.1.232 の regression）
v2.1.234	超長時間セッションで、compact 後にサンドボックスのネットワークアクセスを何度も再チェック・拒否する不具合を修正
v2.1.234	Agent ツール呼び出しの下に毎回出ていた「Allowed by auto mode classifier」の冗長な行を削除

---

最大トピック②: セッション同士が話し始めた（v2.1.224 → v2.1.232）

3段階で入った

クロスセッションメッセージング自体は、6月上旬（v2.1.166）に「リレーされたメッセージからユーザー権限を剥奪する」というセキュリティ修正の形で存在は示されていた。今号でそれが実際に使える形になった。

• v2.1.224（8/7）: SendMessage がセッション間に対応。ListAgents で到達可能なセッションを列挙。macOS / Linux
• v2.1.225（8/8）: 他マシンのセッションに、こちらから会話を開始できるように（それまでは相手から来たメッセージへの返信のみ）
• v2.1.232（8/13）: @ でセッションを名指しできるように。名前が一意なら確認なしで配送。同一マシンでセッション名が衝突したら自動でユニーク化（name-word-word）。/config に受信制御の行が追加

どう動くか

「メッセージ」はプレーンテキスト一片であって、会話履歴でもファイルでもない。会話ごと移したいなら /resume を使う、という切り分けになっている。

相手のいる場所	経路
同じマシン	セッションごとの UNIX ソケット。Anthropic のサーバーを経由しない
自分の別マシン	Anthropic サーバー経由 → 相手マシンの Remote Control 接続に着弾
Claude Code on the web	Anthropic サーバー経由でクラウドセッションへ直接

使い方は「Claude に頼む」だけでいい。ツールを自分で呼ぶ必要はない。

別のターミナルで動いてるセッションに、マイグレーション終わったか聞いて

@api-worker にスキーマ移行が終わったと伝えて

@ のあと1文字以上打つと、同一マシンの生きているセッションが候補に出る（バレ @ だけでは出ない）。クラウド／Remote Control のセッションは、一度 Claude が列挙・送信したあとに候補へ現れる。

受け取る側は何を許すのか

ここがよくできている。届いたメッセージは「ユーザーの指示」ではないものとして扱われる。

• 承認の代わりにならない——保留中の許可プロンプトを他セッションのメッセージが答えることはできない
• 設定を変えられない——権限設定・CLAUDE.md・その他の設定を「他セッションに言われたから」変えるな、と受信側 Claude に指示される
• スラッシュコマンドは実行されない——/compact と書いてあってもただのテキスト
• 許可プロンプトは普通に出る——メッセージに従って何かするなら、いつも通りの承認が必要

配送そのものも3択に分岐する。crossSessionInbound 設定（accept / hold / refuse）で制御し、未設定なら両セッションの permission mode クラスから自動で決まる。

• 受信側が許可を尋ねるモード（default / auto / acceptEdits / dontAsk）: 基本は配送。送信側が bypassPermissions を名乗っている場合のみ保留
• 受信側が bypassPermissions: 基本は保留して承認を求める。送信側も bypass の場合のみ配送

保留時のダイアログは dialogExpiry（既定5分）で失効し、失効したメッセージは破棄されて送信側に通知される。関連設定もひと通り揃っている。

設定	効果
crossSessionInbound	accept / hold / refuse。/config の「Messages from your other sessions」行からも設定可
isolatePeerMachines	true でマシン外へ出るメッセージすべてに明示承認を要求。bypassPermissions でも聞かれる。どのスコープからでも true は効く（プロジェクト設定でオンにはできるがオフにはできない）
dialogExpiry	承認ダイアログの失効時間。既定5分、"never" も可
permissions.deny: ["SendMessage", "ListAgents"]	送信・列挙そのものを止める

ループ対策も入っている。送信者ごとのレート制限、短時間の同一メッセージ連投のドロップ、未読メッセージ50件キャップ、そして同一マシン宛は約100万文字でサイズ拒否（v2.1.235 で「送る前に断る」ように改善）。2セッションが延々と往復し続ける事故は自然に止まる設計になっている。

このプロジェクトへの当たり判定: ネイティブ Windows では使えない

公式ドキュメントに明記されている。

Operating system: available on macOS and Linux, including Linux inside WSL 2. Claude Code doesn't offer cross-session messaging on native Windows.

つまり、この環境（Windows 11 のネイティブ Claude Code）ではこの機能はまるごと存在しない。/list-agents（/peers）が「Unknown command」になるなら、それが理由と考えていい。使いたければ WSL2 の中で走らせる必要がある。

他にも無効化条件がある。Bedrock / Claude Platform on AWS / Google Cloud Agent Platform / Microsoft Foundry では提供されない。さらに、CLAUDE_CODE_DISABLE_NONESSENTIAL_TRAFFIC / DISABLE_TELEMETRY / DO_NOT_TRACK / DISABLE_GROWTHBOOK のいずれかで機能フラグ評価を止めていると、この機能もオフになる。プライバシー系の環境変数を入れている人は覚えておくといい。

使いどころ

ドキュメントが挙げているのは4つ。

• 発見の受け渡し——片方のセッションで破壊的変更を入れたとき、影響を受ける作業をしている別セッションに先回りで伝える
• 並列 worktree の調整——同じリポジトリを別 worktree で触っているセッション同士に「何が入ったか」を知らせる
• 長時間作業からの状況報告——マイグレーションやテスト実行に、見ているセッションへ報告させる
• マシンを越える——別マシン・web のセッションに届く

逆に使うべきでないケースも整理されている。会話を別ターミナルで続けたいなら /resume、Claude が統率するチームなら agent teams、多数セッションを1箇所で見たいなら agent view、スマホから操作したいなら Remote Control、CI やチャットの外部イベントを流し込みたいなら channels。「セッション間メッセージング」は、自分で立てて自分で舵を取っている独立セッション同士のためのもの、という位置づけになっている。

---

最大トピック③: self-hosted environments（v2.1.224・8/7）

何ができるか

claude self-hosted-runner

このコマンドで、自社のマシンやコンテナを「Claude Code web・モバイル・デスクトップ・ルーチンのセッションが実際に走る場所」にできる。Team・Enterprise プランのパブリックベータで、既定はオフ。ZDR（Zero Data Residency）組織は対象外。

流れはこうなっている。

1. 組織が claude.ai の管理設定で名前付き環境を作る。各環境がランナー群をまとめる
2. ランナーは社内ホスト上で動く長寿命プロセス
3. 開発者がクラウドセッションを開始してその環境を選ぶと、Anthropic のコントロールプレーンが環境のキューにセッションを置く
4. 空きのあるランナーがそれを拾い、デプロイ側が用意した資格情報で GitHub からリポジトリを clone、ホスト上で Claude Code プロセスを起動

運用モードは2つ。

• Fixed: 一定数のランナーを常時稼働させ、セッションを分散
• On-demand: オーケストレーターがキューを監視し、仕事が来たらランナーを起動、終わったら落とす

データ境界（ここがいちばん大事）

「自前で動かす＝Anthropic に何も行かない」ではない。そこは正確に押さえておくべき。

自社インフラに残るもの	Anthropic に送られるもの
リポジトリのチェックアウト	会話そのもの（プロンプト、レスポンス、ツール結果）
ビルド成果物	セッション記録（複数サーフェスで継続利用するため）
シークレット
セッションが作成・変更したファイル

つまり売りは「コードとビルド成果物とシークレットが社内ネットワークを出ない」ことであって、推論は当然 Anthropic 側で回る。導入理由として挙げられているのも、(1) 公開インターネットを経由せず内部サービス・DB・レジストリに到達できる、(2) コンパイラ・SDK・社内 CLI をプリインストールできる、(3) ソースとビルド成果物を管理下に置ける、の3点で、ネットワーク到達性とカスタマイズ性が主という書き方になっている。

Remote Control との違いも整理されている。self-hosted は共有インフラ上で複数ユーザーがセッションを走らせるもの。Remote Control は個人マシン上で、セッション終了とともに止まり、実行ユーザーに紐づくもの。

投入直後の2週間、ずっと直していた

新機能が入ったあとの追随修正がきれいに並んでいて、実運用に出た機能の初動が見える。

バージョン	修正内容
v2.1.225	--base-dir が作成・書き込みできないと登録だけして全セッションが失敗する問題 → 起動時に明示エラーで終了
v2.1.228	push しないリポジトリの checkout フック失敗で全新規ランナーのセッションが落ちる → 警告してスキップ
v2.1.228	バックグラウンドタスク完了と後続ターン開始の隙間でセッションが終了してしまう
v2.1.229	managed-mcp.json がデプロイされていてサーバーが MCP を配る場合に起動時に終了する → 警告してスキップ
v2.1.229	リポジトリ準備が Git Credential Manager のプロンプトでハング → 資格情報がなければ即座に失敗
v2.1.229	サーバー供給の Claude Code フックをサポート（managed environment と同等に）
v2.1.233	セッション開始時間の改善——ワーキングツリーを書き換えずにセッションブランチを作成、サーバー往復2回分を起動前からどける
v2.1.233	Windows の起動には明示的な --base-dir を必須に（Windows には既定のチェックアウト先を用意しない）

「ハングする」「全セッションが失敗する」系が並んでいるあたり、社内ネットワークという想定外だらけの環境に出した機能の洗礼という感じがする。

---

最大トピック④: Todo ツールが新モデルから消えた（v2.1.233・8/14）

何が起きたか

Todo/task-tracking tools (TaskCreate/Get/Update/List, TodoWrite) are no longer available on Opus 4.8, Sonnet 5, Fable 5, Mythos 5, and newer models; set CLAUDE_CODE_ENABLE_TODO_TOOLS=1 to bring them back

進捗管理ツールが、新しい世代のモデルから外された。Agent SDK 側でも同様（TypeScript 0.3.233+ / Python 0.2.139+）。復活させたい場合は CLAUDE_CODE_ENABLE_TODO_TOOLS=1。

理由は明示されていないが、方向は読める。Todo リストは元々「モデルが長い作業の途中で自分が何をしているか見失わないための足場」だった。モデルの計画能力と長文脈保持が上がると、足場のほうがノイズになる——ツール定義がコンテキストを食い、無意味な TODO 更新でターンが伸びる。

同じ流れの動きが今号にいくつかある。

• v2.1.221: claude-api スキルに prompt-audit サブコマンドが追加された。「古いモデル向けに書かれたパターンについてプロンプトとツール説明を監査する」もの。つまり Anthropic 自身が「昔のモデル向けの書き方は、今は害になりうる」と認めている
• v2.1.228: Write ツールで、新しいモデルは未読のファイルを上書きできるようになった（Edit と同じルールに）。古いモデルは従来通り読み込み必須。これも「賢いモデルには足場が要らない」の一例
• v2.1.234: claude-api スキル自体のコンテキストコストを 200k+ → 25k トークンに削減（参照ドキュメントをオンデマンド化）

「Mythos 5」がモデルリストに載った

対象モデルの列挙に Mythos 5 が入っているのが目を引く。これは 6/9 に Fable 5 と同時発表されたモデルで、Fable 5 と同じ基盤モデルから、サイバーセキュリティと生物学の safeguard を外した限定提供版にあたる。

• 一般提供ではない——Project Glasswing の承認顧客のみ。承認済みのサイバーセキュリティ組織、重要インフラ事業者、政府パートナー、選定されたライフサイエンス研究者
• 利用には30日間のデータ保持ポリシーへの同意が必要（安全性モニタリングのため）
• Anthropic は「世界のどのモデルより強いサイバーセキュリティ能力」と位置づけている

一般ユーザーには関係ないが、Claude Code のモデル判定リストに名前が入っている＝ハーネス側が Mythos 5 セッションを想定している、というのは記録しておく価値がある。なお 8/7 には「Improving Fable 5's biology safeguards」という公式記事も出ており、この系統の調整は継続している。

実務的な影響

• 体感としては「Claude が TODO リストを出さなくなった」。作業の進行はテキストの中で説明される
• TodoWrite を前提にしたフックやスクリプトがあると壊れる。PostToolUse で TodoWrite をフックして進捗を外部に出していた、みたいな構成は要確認
• v2.1.235 で「ctrl+t の展開タスクリストが、タスクが残っているセッションを resume すると常に畳まれた状態で始まる」不具合が直っている。タスク表示自体が消えたわけではない（バックグラウンドタスクの一覧は健在）

---

最大トピック⑤: サブエージェントの振り子、3回目（v2.1.224, v2.1.232）

前号で「7/21 に締めて 7/24 に開けた」と書いた振り子が、今号でさらに開いた。

8/7（v2.1.224）: 200 spawn 上限を撤廃

Removed the 200-subagent-per-session spawn cap; long-running sessions no longer refuse new agents (concurrency and depth limits still apply)

これは 7月上旬（前々号）に入れた暴走ガードレールの片方である。時系列で並べるとこうなる。

時期	動き
7月上旬	WebSearch 200回・サブエージェント spawn 200回のセッション累計上限を追加
7/21（v2.1.217）	同時実行20の上限、ネスト spawn 禁止（depth 1）
7/24（v2.1.219）	ネスト depth 3 に解禁
8/7（v2.1.224）	spawn 累計200上限を撤廃
8/13（v2.1.232）	fork が既定オン、非teammate spawn が既定バックグラウンド

「累計」の制限が消えて、「同時」と「深さ」の制限だけが残った、という整理になった。これは筋が通っている——累計上限は「長く走ったセッションほど不利になる」制限で、暴走を止める役には立たず、まっとうな長時間作業だけを殺していた。一方、同時20・depth 3 は瞬間的なファンアウトと指数的増殖を止めるもので、こちらは残す価値がある。

fork が既定オンになった意味

subagent_type: "fork"

fork サブエージェントは、親の会話をまるごと継承する。

継承するもの	継承しないもの
会話履歴全体（過去のメッセージとツール呼び出し）	—
システムプロンプトとツール	fork 自身のツール呼び出しと推論は親に返らない（最終結果だけ返る）
モデル
プロンプトキャッシュ（＝新規サブエージェントより安い）

既定の状態はこうなっている。

• インタラクティブセッション: fork モードはオン
• -p（非インタラクティブ）と Agent SDK: オフ
• 上書きは CLAUDE_CODE_FORK_SUBAGENT=1 / 0

そして fork モードがオンのとき、fork か否かに関わらず、spawn されるサブエージェントは既定でバックグラウンド実行になる。Agent ツールから run_in_background パラメータ自体が消えるので、Claude はフォアグラウンド実行を要求できない。例外はエージェントチームのteammateが spawn した場合、CLAUDE_CODE_DISABLE_BACKGROUND_TASKS=1、エージェント定義に background: false があるとき（非 fork のみ）。

制限も明確。fork は fork を産めない（ネスト階層の終端）。非 fork のネストは depth 3、同時実行は20（/ultracode 有効時は免除）。

/subtask コマンド（v2.1.212 で追加）を使えば、fork モードの設定に関係なく手動で fork を起こせる。

ワークフローのプレフィックス・スタガー（v2.1.229）

地味だが効くのがこれ。

Improved workflow fan-outs to stagger same-prefix sibling agents so subsequent agents read the cached prompt prefix instead of re-paying it

同じプロンプトプレフィックスを持つ兄弟エージェントをわざと少しずらして起動し、2番目以降がキャッシュを読めるようにする。同時に立ち上げるとキャッシュがまだ書かれていないので全員が満額払っていた、という話。CLAUDE_CODE_WORKFLOW_PREFIX_STAGGER_MS=0 で無効化できる。

同時20並列を推奨しておいて、その並列がキャッシュを無駄にしていた——という穴を塞いだ形で、fork の既定オン（キャッシュ継承）と合わせて「ファンアウトのコストを下げる」方向で揃っている。

---

最大トピック⑥: GitLab が一級市民になった（v2.1.232 → 234）

これまで Claude Code は明確に GitHub 前提だった。それが2週間で一気に埋まった。

v2.1.232（8/13）: 土台

• シークレット秘匿に GitLab トークン一族を追加——glrt-、gloas-、glptt-、glagent-、glimt-、glsoat-、glcbt-、glft-、glffct-。ルーティング可能な glpat- / gldt- は完全 redaction
• glab CLI の設定ストアが gh と同じサンドボックス・資格情報パス保護を得た
• プラグインマーケットプレイスが GitLab 対応——gitlab.com のリポジトリ URL（ネストしたサブグループ含む）が github.com と同様に clone できる。clone 認証失敗時のヒントも実際の git ホスト名を出すように

v2.1.233（8/14）: ワークフロー

• --worktree フラグと claude agents ビューが GitLab の MR URL に対応（MR は !N 表記で表示）
• GitHub app セットアップの案内を、origin が gitlab.com / bitbucket.org のリポジトリでは出さないように。エンタープライズ・マーケットプレイスの案内が非 GitHub の社内 git ホストをカバーするように

v2.1.234（8/17）: 可視化

• フッターとステータスラインに GitLab MR バッジ——GitLab リモートがあり glab CLI で認証済みなら、MR !N が draft / pending / green の状態つきで出る

読み

シークレット秘匿から先に入れて、次にワークフロー、最後に表示という順番になっている。「GitLab トークンが .gitlab-ci.yml やログに混ざったときに秘匿されない」ほうが先に困る、という優先順位だろう。

GitLab を使っていないなら関係ない話に見えるが、glpat- のような具体的なトークン形式を秘匿リストに足していく作業は、redaction が「知っている形式しか隠せない」ことの裏返しでもある。自社独自形式のトークンを扱っているなら、それは redaction されないという前提で運用するのが正しい。

---

最大トピック⑦: 権限バイパス修正の連打

今号は権限チェックを迂回する経路の修正が異常に多い。auto mode の既定化と時期が重なっているのは偶然ではないと思う。判断を分類器に渡す前に、「分類器から見えないコマンド」を潰しておく必要があった。

コマンドを隠す系

バージョン	内容
v2.1.221	zsh の [[ ]] 正規表現条件で隠しコマンドを実行できた——該当コマンドは許可を求めるように
v2.1.221	Windows の PowerShell 権限チェックが引用符を含むパスを誤処理 → 承認を求めるように
v2.1.223	細工したコマンドが自分の一部を権限チェックから隠せた
v2.1.223	タブや不可視 Unicode でパディングされたコマンドが、承認ダイアログから一部を隠せた
v2.1.232	PowerShell の変数書き込みパラメータが $PSDefaultParameterValues を静かに上書きし、後続コマンドのファイルアクセスをリダイレクトできた
v2.1.232	Git Bash が Cygwin 形式のシンボリックリンクを辿り、パス検証は通常ファイルとして見ていた——リンク越しの書き込みも承認が必要に
v2.1.235	許可ダイアログの表示テキストと「今後聞かない」の範囲が常に一致するように。内容を完全に表示できない場合は「今後聞かない」を出さない

最後の v2.1.235 の項目が、この一連の総括になっている。「見せられないものに、まとめて許可を出させない」。

隔離を破る系

バージョン	内容
v2.1.222	worktree 分離セッションとそのサブエージェントが、本チェックアウトに対して破壊的な git コマンドを実行できた——隔離がファイル編集と Bash に全セッション種別で適用されるように
v2.1.222	PreToolUse の auto-allow フックが、バックグラウンドエージェントタスク（要約・compact・リネーム）でツール制限を素通りしていた
v2.1.223	ワークフロースクリプトが動的 import() でサンドボックス外のコードを実行できた
v2.1.223	エージェント定義の bypassPermissions モードが、組織の bypass 無効化ポリシーを無視していた
v2.1.232	ネストした git リポジトリが親ディレクトリからトラストを継承していた——各リポジトリが個別のトラスト確認を要求するように
v2.1.232	/tmp の自動生成メッセージングソケットディレクトリの堅牢化——事前に仕込まれた symlink や他ユーザーのディレクトリを拒否
v2.1.232	Linux ファイルシステムサンドボックスの保護パスバイパスを堅牢化
v2.1.232	sandbox.ripgrep を user / managed / --settings からのみ有効に（プロジェクト設定でサンドボックスの ripgrep バイナリを差し替えられなくなった）

sandbox.ripgrep の項目が象徴的で、「プロジェクトに checkout された設定ファイルは信用できない」という前提が徹底されつつある。前号の .claude シンボリックリンク、今号の isolatePeerMachines（プロジェクト設定でオンにはできるがオフにはできない）、Remote Control の auto-start（v2.1.222 で repo-local 設定からはオンにできなくなった）も同じ思想。

NT \??\ パス — NTLM 資格情報漏洩ベクタ（v2.1.233 → 234）

Windows 固有だが、今号のセキュリティ修正でいちばん重い。

• v2.1.233: NT デバイスプレフィックス \??\ で綴った Windows パスが UNC パス検証をバイパスしていた。UNC（\\server\share）へのアクセスは NTLM 認証を発生させるので、攻撃者のサーバーにパスを踏ませると認証情報のハッシュが飛ぶ（古典的な NTLM リーク）。それを \??\UNC\... のような綴りで検証をすり抜けられた
• v2.1.234: 残っていた「事前承認済み」経路も全部塞いだ——リモートファイル読み込み、セッション復元、CLAUDE.md の include、ワークフロースクリプト、ファイルアップロードが \??\ パスを拒否

前号の「\u パス破壊」に続いて、Windows のパス表記の多様さが2ヶ月連続で穴になっている。C:\、\\?\C:\、\??\C:\、\\server\share、\??\UNC\server\share、Cygwin symlink、ドライブレター相対パス……検証を書く側からすると悪夢に近い。

---

バージョン別ハイライト

v2.1.221（2026-08-04）9日ぶりのリリース・Focus view・zsh バイパス

9日間の空白のあと、大量の項目とともに戻ってきた。

新機能 - [VSCode] Focus view——チャットメニューのトグルで、ツール実行の詳細をターンごとの展開可能なサマリの裏に隠す。実行中ツールのライブ表示つき。Ctrl+Alt+F または「Claude Code: Toggle Focus view」 - サンドボックス資格情報ファイルの mode: "mask"（Linux / WSL）——サンドボックス内のコマンドにはセンチネル値のコピー（ファイル全体、または extract 正規表現で捕まえた範囲だけ）を読ませ、サンドボックスプロキシが egress 時に本物へ差し替える。macOS ではファイルマスキングは deny にフォールバック - claude-api スキルに prompt-audit サブコマンド——プロンプトとツール説明を「古いモデル向けに書かれたパターン」の観点で監査する - claude plugin validate に、Claude Desktop の managed marketplace sync で拒否される名前への警告を追加

セキュリティ - zsh の [[ ]] 正規表現条件で隠しコマンドを実行できたバイパスを修正 - Windows の PowerShell 権限チェックが引用符入りパスを誤処理する問題を修正

修正 - thinking トグルが、thinking オフで開始したセッションで残り全部効かない問題。MCP サーバーの mid-connect 無効化が静かに戻される問題 - --mcp-config の MCP サーバーが print モード（-p）で最初のターン前に接続されず、モデルがツール呼び出しをそのままテキストで吐く問題 - Esc でプロンプトを引っ込めて再送すると、@メンションしたファイルが静かに落ちる問題 - constructor など組み込みオブジェクトプロパティ名の SDK MCP ツールでクラッシュ - thinking 無効時に effort xhigh/max で WebSearch が 400 エラーになる問題 - サンドボックス経由の大容量アップロードが TLS エラーになる問題 - Team/Enterprise の spend-limit メッセージが、個人の上限ではなく組織の月次上限のせいにしていた問題 - Bedrock の AWS SSO named profile が、HOME を余計に設定している Windows マシンの desktop-managed セッションで失敗する問題 - CLAUDE_CODE_RESUME_INTERRUPTED_TURN=0 が効かない（falsy 値を尊重するように） - スリープ復帰時に2つの Claude Code プロセスが同じ MCP コネクタ / WIF OAuth トークンを同時にリフレッシュして再認証を強いるレース - Vim モード: yank レジスタがダイアログ・履歴検索・トランスクリプトビューを跨いで生き残るように。空プロンプトまで undo したとき「もう一度 ← を押す」確認が武装されるように

改善・変更 - Google Vertex AI でのツール検索を再有効化（Claude 4.5 世代以降） - auto mode: 並列ツール呼び出しの許可チェックがキャッシュ効率化、分類器コストを削減 - Stats パネルがキャッシュトークンを含めた合計と内訳（input / output / cache read / cache write）を表示 - Windows 起動: プロセス作成時刻を PowerShell の spawn ではなく kernel32 のネイティブ呼び出しで取得。powershell.exe をゲートするエンドポイントセキュリティ製品がプロンプトを出さなくなる - バックグラウンドセッションの作法変更——作業保全のために commit / push し、必要なときだけ draft PR を作り、CLAUDE.md の git 指示に従い、最後に必ず「作業がどこにあるか」を報告する - /plugin からインストールしたプラグインが、安全なら即時有効化（/reload-plugins 不要に） - /fork したセッションが自分専用の worktree を作るように（元セッションのチェックアウトで作業しない） - /status がセッション種別（interactive / attached / unattended）を表示 - emoji 補完が :thumbsup: :thumbsdown: :love: など別名を受け付けるように - fast mode がセッション途中で usage credits が尽きたことをストリーム上で報告するように（静かに失敗しなくなった） - Claude in Chrome が、開いたブラウザタブを不要になった時点で閉じるように

v2.1.222（2026-08-04）worktree 隔離の破れ・ultraplan 削除

同日2本目。

セキュリティ - worktree 分離セッションとそのサブエージェントが本チェックアウトに破壊的な git コマンドを実行できた——隔離がファイル編集と Bash に全セッション種別で適用されるように - PreToolUse の auto-allow フックがバックグラウンドエージェントタスクでツール制限を素通りしていた

修正 - 起動時の接続チェックが HTTPS プロキシ越しにハングして失敗する問題——API リクエストと同じプロキシ対応トランスポートを使い、明示メッセージつきでタイムアウト - 完了済みのレスポンスに「Connection closed mid-response」が出る問題 - /usage が MCP サーバーに使用量を過大に帰属していた——サーバーの取り分が「そのツール結果を実際に消費したリクエスト」だけを反映するように（従来は一度呼んだ後の全ターン） - ブランチ push 後に作られた PR とセッションが紐づかない問題（GitHub REST API 経由も含む） - 組織制限のある model: opus 系のサブエージェント／teammate エイリアスが、親モデルに落ちるのではなく同ファミリで組織が許可している最新モデルに降りるように - カスタム ANTHROPIC_BASE_URL ゲートウェイで、サーバーの keep-alive ping が届いているのに stream idle timeout が発火する問題 - claude.ai コネクタがセッショントークン無効時に「認可が必要」と誤表示（/login ヒントに） - MCP サーバー削除後など、ローカルにないツールのエラーが表示されない問題 - サブエージェントのトランスクリプトビューで、スピナーの effort ラベルがサブエージェント自身の effort: ではなくセッションの effort を出していた問題

改善・変更 - auto mode 安全性: SendMessage で他エージェントセッションに送るメッセージも、送信前に許可分類器で評価 - disable-model-invocation のスキルを Claude が呼ぼうとしたときの拒否——「あなたに実行を依頼しろ」と Claude に伝えるように（ワークフローを勝手に再現しようとしない） - /diff・Remote Control のワークスペース diff・web セッションのファイル編集 diff が生の git blob を使うように（ワークスペースの diff ドライバや textconv を無視） - Remote Control の auto-start を repo-local 設定（.claude/settings.json / .local.json）からオンにできなくした（オフにはできる）。オンにするのは user スコープの /config から - ultraplan 機能を削除

v2.1.223（2026-08-06）コマンド偽装の封鎖・/review 統合

セキュリティ - 細工したコマンドが権限チェックから自分の一部を隠せるバイパスを修正 - タブや不可視 Unicode でパディングしたコマンドが承認ダイアログから一部を隠せる問題を修正 - ワークフロースクリプトが動的 import() でサンドボックス外のコードを実行できる問題を修正 - エージェント定義の bypassPermissions が組織の bypass 無効化ポリシーを無視する穴を修正

新機能・変更 - strictKnownMarketplaces / blockedMarketplaces にオーナーのワイルドカード（"owner/*"）を追加。GitHub org 配下を丸ごと許可／ブロックできる - ワークフローエージェント・fork したスキル・スラッシュコマンド・resume したバックグラウンドエージェントが制限されたサブエージェントモデルを要求したとき、親モデルで走ることを警告するように - クラウドセッションに /teleport ヒント——claude --teleport <session id> でローカルに続きを持ってこられる案内 - CLAUDE_CODE_DISABLE_1M_CONTEXT が、固定リストではなく「ネイティブ 1M ウィンドウを持つ全 Claude モデル」を 200K に抑えるように変更。auto-compaction が 200K に抑えられていない場合は起動時警告 - 未知のモデル ID のセッションも、想定コンテキストウィンドウ内に auto-compact で収めるように（CLAUDE_CODE_DISABLE_UNKNOWN_MODEL_WINDOW_ENFORCEMENT=1 で従来動作） - /review が /code-review のエイリアスに。/code-review <level> <pr#> で現在の diff か PR をレビュー、/code-review ultra でクラウドの深いレビュー - /code-review を effort レベルなしで呼ぶと、前回打ったレベルを再利用するように

修正 - mid-session /cd のあとにセッションを resume すると空で戻る問題 - ゲートウェイのモデル探索が vertex_ai/claude-* や bedrock/anthropic.claude-* のようなプロバイダ接頭辞つき ID を隠す問題 - modelOverrides の非 Anthropic モデル ID キーがセッションの正規モデル ID として扱われる問題（未知キーは仕様通り無視に） - managed settings: サーバー配信の設定が、マシンローカルの managed-settings.json / MDM プロファイルの env ブロックを無効化する問題（admin env はキー単位でマージに） - sandbox.filesystem.denyWrite が作業ディレクトリを含むと Linux でサンドボックスコマンドが起動しない問題 - fork したバックグラウンドエージェントが、resume 時の親プロンプト再構築失敗でセッション残り全部「already resuming」で固まる問題 - 不正な diagnostics 添付が履歴にあると、resume したセッションが全ターン失敗する／エラー画面から戻れない問題

v2.1.224（2026-08-07）★ self-hosted 環境・クロスセッションメッセージング・200上限撤廃

今号の中心。

新機能 - self-hosted environments——claude self-hosted-runner（Team / Enterprise）。詳細は上記 - クロスセッション SendMessage——別セッションにメッセージを送れる（macOS / Linux）。ListAgents で探索 - archive プラグインソース——git も npm もなしに HTTPS 越しの zip からプラグインをインストール。SHA-256 ピン留めオプションつき - crossSessionInbound と dialogExpiry 設定——bypassPermissions で走っているセッション宛のメッセージは承認待ちで保留、それ以外は自動配送 - サンドボックス資格情報マスキングの拡充——構造化 env 値用の extract / onExtractNoMatch、JWT 対応の decode: "jwt" と maskClaims、AWS SigV4 再署名の awsPairs / sigv4。いずれも network.tlsTerminate が必要で、user / managed / --settings からのみ有効 - Bedrock 用 ANTHROPIC_BEDROCK_REGION_PREFIX 環境変数——AWS_REGION 由来のものより特定のクロスリージョン推論プロファイルを優先 - 使えなくなった paste を取り除くとコマンド本文が変わる場合に、キャンセル＆確認のステップを追加

変更 - 200-subagent-per-session spawn cap を撤廃（同時実行数と深さの制限は残る） - フィードバック調査のトランスクリプト共有が、同意のうえで直近リクエストのモデル設定——システムプロンプト（CLAUDE.md の指示を含む）、ツール定義、モデルパラメータ——も送るように。シークレットは従来通り redaction、サイズ超過時はこれらから先に落とす - Bash ツールの説明に「コマンド出力はモデルに表示されるが、ユーザーに確実に表示されるわけではない」と常に明記するように - Remote Control: compact / /resume 後に新セッションが作られたとき、古いサーバーセッションをアーカイブする（死んだセッションが一覧に残らない） - managed settings の承認プロンプトが、再ログインや組織切り替えのたびに再出現しないように（組織の設定が変わっていなければ）

修正 - 200文字超のプロジェクトパスが、共有された sanitize 済みプレフィックスの下で別プロジェクトのセッションディレクトリに解決される問題。セッション一覧・リネーム・fork・削除・/resume がプロジェクトを跨がなくなった - SendMessage が、teammate の受信箱への書き込みが実際には失敗しているのに「Message sent」と報告する問題 - 末尾スラッシュつきのサンドボックス deny エントリ（denyRead: "~/.aws/"）が Linux / macOS で静かにバイパス可能だった問題 - サンドボックス違反の詳細が Bash ツール結果に出ない問題——Claude がどのファイル／ネットワークアクセスがなぜ拒否されたか見られるように - mid-turn 接続の MCP ツールが、名前をモデルに知らせないままツール検索に deferred される問題 - 同じプラグインを複数プロジェクトにインストールするとインストール記録が静かに壊れる問題 - Wayland の copy-on-select がクリップボードに届かないことがある問題（2つの selection write のレース） - Remote Control の auto-start が古いログイントークンでのコールドスタート時に「Remote credentials fetch failed」で失敗する問題 - fullscreen モードが、compact を繰り返しても compact 前の履歴全体をスクロールバックに保つように（従来は直近区間のみ） - Remote Control: web / モバイルのクライアントがcompact の進行と境界を見られるように（無音の停止に見えなくなった）。/clear も伝播 - Remote Control: 接続失敗時に 8秒トーストではなく、詳細と再接続ショートカットつきの永続的な失敗表示

v2.1.225（2026-08-08）ゲートウェイ spend limit・他マシンへの発信

• ゲートウェイの spend limit を使用量警告に反映——上限到達メッセージが上限額・リセット時刻・運用者のメッセージを出す（ゲートウェイ側も 2.1.225 が必要）
• claude agents に、未信頼ディレクトリ向けのワークスペース信頼プロンプトを追加（claude と同じ挙動に）
• SendMessage が他マシンの Remote Control セッションと会話を開始できるように（ListAgents に name [ref] で出る）。従来は相手から来た後の返信のみ
• SendMessage: 確認済みの Remote Control 宛先が、リストを確認できなかったときに同名のローカルセッションにすり替わらないように
• 一時的な 401 が長寿命の CLAUDE_CODE_OAUTH_TOKEN を保存済みログインの短命トークンで置き換え、再起動までヘッドレスセッションが壊れる問題を修正
• macOS の MCP OAuth サーバーが、キーチェーン読み取りタイムアウト後に 401 の連発で「一度も認証していない」かのように失敗する問題を修正
• auto mode: 安全フィルタによる拒否を連続ブロック数にカウントしていた問題を修正
• ヘッドレスセッションと起動中に、クロスセッションメッセージが通知も失効もなく置き去りになる問題を修正
• 非常に大きな会話が compact されたあと、Remote Control の resume で会話履歴が壊れる問題を修正
• 別プロジェクトのセッションにエージェント一覧上でホバーすると、次のエージェントが起動するディレクトリが変わってしまう問題を修正
• Remote Control: Claude アプリから添付した写真を、ディスクから別ツールで読むのではなく直接 Claude に見せるように
• [VSCode] Focus view が最新の TODO リスト・保留中の質問のコンテキスト・確定した回答を畳んでしまう問題を修正。thinking のみの折り畳みは「Thought for Ns」表示に

v2.1.226（2026-08-08）バグ修正のみ

v2.1.227（2026-08-10）小粒な修正

• 期限切れログイントークンでセッションが始まったとき、サブスクリプション階層なしで機能フラグが評価され、Max プランユーザーに Fable の usage credits を誤って促す問題を修正
• claude-code-action の allowed_non_write_users で、GitHub ホストランナー上の全 Bash コマンドが失敗する問題を修正
• /tui が、最初のメッセージより前に rewind された会話を復活させる問題を修正
• スラッシュコマンドメニューの改善: 青は選択行のみ、一致文字は色ではなく太字、絵文字やアクセント付き名前がグリフを保つように

v2.1.228（2026-08-11）Write ツールのルール変更・claude.ai 同期スキルの隔離

• Write ツールが、新しいモデルには「このセッションで読んでいないファイルの上書き」を許すように（Edit と同じルール）。古いモデルは従来通り読み込み必須
• claude.ai から同期されたスキルの堅牢化——ローカルのコマンドや MCP プロンプトをシャドウしなくなり、説明文は sanitize されてラベルが付き、自分のマシンではその本文が ! コマンドを実行せず @ ファイルも展開しない
• セッションが完全に再描画を止める（プロセスは動き続ける）問題を、稀な内部レイアウトエラー後について修正
• Windows で、git のインストール先の親フォルダから Claude Code を起動すると git / Git Bash が見つからない問題を修正
• /tui が、最後のレスポンス以降に /model を変えていた場合にセッションを古いモデルに戻す問題を修正
• クロスセッションメッセージングが、インストール／アップグレード後の最初のセッションで受信箱なしに始まることがある問題を修正
• Remote Control の /resume が、接続中に resume した会話のタイトルや履歴を漏らす問題を修正
• セッションクリーンアップがプロジェクトのメモリフォルダの中身を削除する問題を修正
• バックグラウンドのプラグインキャッシュ掃除が、唯一のバージョンが symlink された開発用チェックアウトのときにキャッシュを消す問題を修正
• 設定マージの問題: 上位ティアで再定義されたマーケットプレイスエントリが別ティアのカスタムヘッダを継承する（エントリ丸ごとでマージするように）
• deferred-tools のリマインダがスキル呼び出し後に2回送られることがある問題を修正
• クロスセッションメッセージの表示改善: 送信者と本文が折り畳み行ではなくインライン表示に
• Vertex AI の資格情報処理改善: 期限切れ／欠落の Google Cloud 資格情報が数分リトライせず数秒で失敗するように
• compaction の進行表示にリトライのカウントダウンとストールヒントが出るように
• Pro / Max / Team の初回通知から「auto mode セッションはわずかに高くつく」という古い注記を削除（← 既定化の直前）

v2.1.229（2026-08-12）ストリーミング表示の破綻修正・VSCode セッショングループ

新機能・改善 - claude remote-control --continue をドキュメント化（直近の Remote Control セッションを再開） - self-hosted runner セッションでサーバー供給のフックをサポート - ゲートウェイのストリーミングレスポンスに SSE keepalive ping——長い thinking の間に Vertex / Bedrock 上流が idle timeout で切れるのを防ぐ - プラグインマーケットプレイスの command ソース——ローカルコマンド（IDE など）がプラグインディレクトリを print し、セッションごとに再解決され再起動不要で適用される。mode: "link" ならその場で使う - ListAgents が、切断された Remote Control セッションを offline、クラウドセッションを cloud とラベル表示 - ワークフローのファンアウトで同一プレフィックスの兄弟エージェントをずらして起動（キャッシュ再利用。CLAUDE_CODE_WORKFLOW_PREFIX_STAGGER_MS=0 で無効化） - 「prompt is too long」エラーが、なぜ自動 compact で回復できなかったかを説明するように - サンドボックス: ネットワークドメインリストの IPv6 リテラルを [::1]:443 のようにブラケット化。曖昧な綴りは fail-closed で /doctor が指摘 - /commit-push-pr で、危険なフラグ（--force、--amend、--no-verify 等）を含む git / gh コマンドが自動承認されなくなった - self-hosted runner の Windows 起動に明示的な --base-dir を必須に

修正 - 長いレスポンスがストリーミング中に部分的に消え、二重に印字される問題 - ツール呼び出しの glob / file_path / command が文字列でない場合のエラー画面クラッシュ（--resume でも再現していた） - 非常に狭いターミナルでプログレスバーや Markdown テーブルを描画すると RangeError クラッシュ（claude --continue / --resume の起動時クラッシュにもなり得た） - Windows で、拡張長パス（\\?\）や UNC パスをツール呼び出しやメッセージが参照するとクラッシュする問題 - CLAUDE_CODE_ATTRIBUTION_HEADER で属性ヘッダを無効化していると auto mode が全ツール呼び出しで失敗する問題 - claude.ai サブスクライバがカスタム ANTHROPIC_BASE_URL を使っていると /model が Sonnet/Opus 1M を拒否する問題 - MCP OAuth の厳格な認可サーバー対応（redirect URI に localhost ではなく 127.0.0.1 を使用） - /install-github-app が生成する Claude Code Review ワークフローが、レビューを投稿せずに完了する問題 - 数千の IDE 診断があるファイルを編集した後の数秒単位の UI ストール - CPU 制限つきコンテナ内の動的ワークフローが、コンテナの CPU 制限ではなくホストのコア数を使う問題 - アトミックなファイル置換後のファイルウォッチャハンドルリーク、Windows でスケジュールタスクのウォッチャがネットワーク／仮想ファイルシステムで失敗したときの未捕捉エラー - メッセージだけで API の 32MB リクエスト上限を超える会話が、剥がせる画像・ドキュメントがないのに compact をリトライし続ける問題（明示メッセージで一度だけ失敗するように） - [VSCode] サイドバーにセッショングループ——右クリックで作成・リネーム・削除、Cmd/Ctrl または Shift クリックで複数セッションをまとめて移動 - [VSCode] /btw サイド質問パネルが境界ドラッグでリサイズ可能に

v2.1.231（2026-08-13）ホットフィックス

• MCP OAuth のサインインが、Slack のような事前登録された OAuth クライアントを使うサーバーで redirect URI 不一致になる問題を修正

v2.1.232（2026-08-13）★ fork 既定オン・@ メンション・GitLab 対応・PowerShell バイパス

今号2番目の山。49項目の大型リリース。

新機能 - サブエージェントの fork が既定オン——subagent_type: "fork" が会話全体とプロンプトキャッシュを継承。インタラクティブセッションの非 teammate エージェント spawn は既定でバックグラウンド実行 - プロンプトで @ を打って別セッションを名指し——Claude が SendMessage でそのセッションに直接届ける - SendMessage が、生きているセッション1つと完全一致する裸の名前にそのまま配送するように（ref での確認を要求しない） - 同一マシンのインタラクティブセッションが一意な名前を持つように——既存の名前と衝突したら name-word-word の変種が付き、その旨が表示される - /config に「Dialog expiry」と「Messages from your other sessions」の行を追加 - GitLab トークン一族のシークレット秘匿と glab CLI の保護（上記） - プラグインマーケットプレイスの GitLab 対応（上記） - additionalMarketplaces / allowedMarketplaces が extraKnownMarketplaces / strictKnownMarketplaces の別名として使えるように - Fable 5 が /advisor のアドバイザとして復活（Fable アクセスのある組織向け、/model fable で usage credits の同意を設定）

セキュリティ - PowerShell の $PSDefaultParameterValues 上書きによる権限バイパスを修正（上記） - Git Bash の Cygwin 形式 symlink による Windows 権限バイパスを修正（上記） - ネストした git リポジトリが親からトラストを継承していた問題を修正 - Remote Control のブリッジセッションが、クラウドセッション内のトランスクリプトや資格情報を継承する問題を修正 - /tmp のメッセージングソケットディレクトリの堅牢化、Linux サンドボックスの保護パスバイパス堅牢化 - sandbox.ripgrep をプロジェクト設定から上書き不可に

修正・改善 - MCP 接続が、プロトコルバージョン探査に答えない／不正な返答をするサーバーで30秒フルにハングする問題 - Remote Control 関連の連続修正——Desktop / IDE から始めたセッションがローカル resume のたびに新しい claude.ai セッションとして現れる、アイドル中に新規クライアントから到達不能に見える、ブリッジセッションがワーカー再起動時に履歴を復元しない、claude.ai から削除されたセッションの resume がログインの話をする誤メッセージで失敗する（v2.1.227 の regression） - ネイティブビルドのボイスモードが、サービスに拒否されたとき「listening…」で固まる問題 - mTLS クライアント証明書のローテーションに再起動が必要だった問題——接続エラー時に自動で再読み込み - 不正な AWS / Vertex のリージョン値がリクエスト URL に使われる問題（既定リージョンにフォールバック） - stream idle timeout エラーが、Bedrock / Vertex / ゲートウェイで回復せずリクエストを失敗させる問題 - fullscreen ストリーミングの改善: 会話全体を更新のたびに再正規化しなくなり、長いセッションが応答性を保つ - managed settings 承認ダイアログの改善——エンドポイント URL を表示、テレメトリのみの変更は文言を明確化、定型的な OpenTelemetry オプションはスキップ、サーバー管理のサンドボックスバイナリ上書き（sandbox.bwrapPath、sandbox.socatPath、sandbox.ripgrep）は承認必須に - /feedback と /bug が、Claude の応答中でも即座に開くように - /plugin install plugin@marketplace がマーケットプレイスを先にリフレッシュするように - /code-review が high / xhigh / max でもバックグラウンドエージェントで走るように（他レベルと統一） - 貼り付け画像・クリップボード画像がイベントループをブロックせずに読まれるように - Remote Control がネットワーク瞬断後 約30分間再接続を試み続けるように。1時間に散らばった数回の瞬断で切れなくなった - Remote Control: 会話の resume が、同じマシンの別 Claude Code から静かに Remote Control を奪わなくなった（移したければそちらで /remote-control） - Bash の入力リダイレクト（< file）が全プラットフォームで引数と同様に権限チェックされるように - Cowork セッションがユーザースコープのメモリファイルから外部 @-import をインライン展開しなくなった - カスタムサブエージェントの作成を勧める起動時 tip と /powerup ツアーの誘導を削除

v2.1.233（2026-08-14）★ Todo ツール廃止・NT パス封鎖・GitLab MR

• Todo / タスク追跡ツールが Opus 4.8・Sonnet 5・Fable 5・Mythos 5 以降で提供終了（上記）
• --worktree と claude agents ビューが GitLab の MR URL に対応（!N 表示）
• Anthropic 上流に forward_user_identity apps gateway 設定（オプトイン）——サインイン中のユーザー識別子をヘッダで送り、背後のプロキシがユーザー単位で支出を帰属できる
• Linux の Bash ツールコマンドに memory cgroup サポート（CLAUDE_CODE_TOOL_MEMORY_LIMIT、オプトイン）——暴走ビルドがセッションを止めないように
• CLAUDE_CODE_WEBFETCH_CACHE_TTL_MS で WebFetch のセッション URL キャッシュ TTL を設定可能に（既定は 15分のまま）
• NT \??\ デバイスプレフィックスによる UNC パス検証バイパス（NTLM 資格情報漏洩ベクタ）を封鎖
• クラウドセッションが、許可プロンプト待ちの間に環境がシャットダウンすると「lost」扱いになることがある問題を修正
• MCP v2 接続が、長時間ストリームを固定タイムアウトで切るサーバー（サーバーレスホストなど）に対して subscriptions/listen ストリームを無限に開き直す問題を修正
• Claude Desktop / VS Code 配下で許可プロンプトの Notification フックが発火しない問題を修正
• Linux のアイドルセッションが、サンドボックス有効時に CPU コアを 100% 占有し続けることがある問題を修正
• /checkup や /review のような同梱スキルの別名が、-p モードやプラグイン／MCP 読み込み時に「Unknown command」になる問題を修正（ユーザー／プロジェクトのスキルが同梱スキルを隠していた場合）
• スキル／コマンドの引数置換で、引数の値がテンプレートマーカーとして再展開されないように
• claude self-hosted-runner のセッション開始時間の改善（上記）
• apps gateway のエラー転送改善——Vertex / Foundry / Claude Platform on AWS 上流の 400 / 413 が上流自身のメッセージを運ぶように（apps gateway での auto-compact のバグを修正）
• claude plugin validate が裸の .claude/skills ディレクトリを検査し、frontmatter のパースに失敗する SKILL.md を報告するように
• スクリーンリーダーモードの改善（/effort セレクタが番号付きリストに、ヒントとダイアログのテキストが切れないように）
• print モードの診断改善——Claude Code が知らないモデル ID にリクエストが飛ぶと [claude-code:unrecognized_model] を stderr に出す（modelOverrides でマップすれば黙る）
• GitHub app セットアップ tip を gitlab.com / bitbucket.org リポジトリで出さないように
• Windows: auto mode が普通の cd <dir> && <command> > file で毎回手動承認を求める回帰を修正（v2.1.232 の regression）
• v2.1.232 の Bash 権限変更のうち、Windows の Cygwin 形式 symlink と入力リダイレクト（< file）に関する部分をリバート（より狭い版を後日再投入予定）

v2.1.234（2026-08-17）★ 使用量リセット自動継続・claude-api スキル軽量化・NT パス総ざらい

97項目の超大型リリース。実務に効くものが多い。

新機能 - 使用量上限がリセットされたらセッションを自動継続——claude.ai の usage limit が回復したら自動で続きを走らせる。/config の「Continue automatically at usage limit」でオフ - CLAUDE_CODE_PROJECT_DIR_NAME 環境変数——セッションごとに config ディレクトリを分けるホストが、プロジェクト別トランスクリプトディレクトリに短い名前を選べる - selection:clear キーバインドアクション（エージェントビューでも動作） - フッターとステータスラインに GitLab MR バッジ - Claude に「アカウントのメールアドレスは本人特定にのみ使い、明示的な依頼がない限り無関係なサービスに送るな」と指示するように

セキュリティ - リモートファイル読み込み・セッション復元・CLAUDE.md の include・ワークフロースクリプト・ファイルアップロードが Windows NT namespace（\??\）パスを拒否——事前承認済みだった残りのファイルアクセス経路を NTLM 資格情報漏洩ベクタから守る - MCP 診断が解決済みシークレットを印字していた問題を修正——スコープ衝突の警告は設定された ${VAR} 形式を表示、接続失敗の詳細はサーバーの origin のみ - strictKnownMarketplaces の allowlist が、git が実際に接続するホストと異なる SCP 形式の git マーケットプレイスソースを受け入れる問題を修正 - 中継された許可プレビューの資格情報マスキングが、承認者からコマンド・パス・宛先を隠せてしまう問題を修正。特大の秘密鍵ブロックはフルストレングスの redaction で潰すように

改善 - claude-api スキルの読み込みコストを 200k+ トークンから約 25k に削減（参照ドキュメントをオンデマンド読み込みに） - /permissions が Claude の作業中に開けるように——ルール変更は現ターンの残りに適用される - /add-dir <path> も作業中に使えるように。/add-dir・/autocompact・/theme・/help・/config・/advisor のダイアログが fullscreen TUI でターン中に開く - /goal が、回復不能なエラー（認証失効・クレジット枯渇・コンテキストあふれ）でターンが死んだとき、通知つきで自分を解除するように（武装したままにならない） - /goal: バックグラウンドタスクがゴールを30分以上待たせている場合、Claude が様子を見に行くように（CLAUDE_CODE_GOAL_CHECKIN_MINUTES=0 でオプトアウト） - トランスクリプトで自分のプロンプトも Markdown レンダリングされるように（コードブロックのハイライト、インラインコード、リスト） - 自動生成セッションタイトルが「Fix the login button on mobile」ではなく「Login button bug」のような短く具体的な名前になるように - 「API returned an empty or malformed response」エラーが、何が返ってきたか（content type・body の種類・サイズ・request ID）と、元のストリーミングリクエストがなぜ失敗したかを説明するように - fullscreen の Esc がマウステキスト選択をクリアしなくなった（中断・却下は従来通り、選択はハイライトされたまま） - 「Allowed by auto mode classifier」の冗長行を削除 - /config から「Default teammate model」設定を削除——エージェントチームの teammate は spawn 時に指定がなければリーダーのモデルを使う - ターン間に届いたバックグラウンドタスク通知が <system-reminder> タグで送られるように（ターン中と統一） - Windows: ~/.claude.json が read-only のとき、起動がリネームのリトライで止まらなくなった

修正（抜粋） - 超長時間セッションで、compact 後に auto mode がサンドボックスコマンドのネットワークアクセスを繰り返し再チェック・拒否する問題 - バックグラウンドサブエージェントのツール許可プロンプトに答えたとき、セッションスコープの許可回答（拒否含む）が落ちる問題 - サードパーティゲートウェイ経由の非ストリーミングフォールバック経路で、thinking フィールド欠落や text フィールド欠落のブロックが来るとクラッシュする問題 - 珍しい Unicode シーケンスを含むメッセージで Markdown レンダリングが極端に遅くなる問題 - リポジトリ検出が、変わった userinfo つきの git remote のホストを誤読して別ホスト向けのリンクや挙動を出す問題 - fullscreen で /login の OAuth URL のようなモーダルテキストをコピーすると文字が欠ける問題 - Markdown の --- 水平線が次の行にめり込む問題 - todo / task 更新が挟まると連続シェルコマンドが複数の「Ran 1 shell command」行に分裂する問題 - ! シェルコマンド実行中に開いた /permissions などのダイアログが、コマンド終了時に閉じられる問題 - キューされた ! シェルコマンドが、上矢印で編集した後にただのテキストとしてモデルに送られる問題 - 「新しい fullscreen レンダラを試す?」を承諾すると、セッションが権限モード（--dangerously-skip-permissions など）・ツール許可／拒否ルール・モデル／effort フラグを失って再起動する問題 - /tui が起動時の --allowed-tools / --disallowed-tools を落とす問題——再起動で引き継げない制限があるセッションでは理由つきで切り替えを断るように - IDE の diff タブが許可の再プロンプト中に閉じると、新しいプロンプトに前回の入力で答えてしまう問題 - Remote Control 関連の多数の修正（Desktop / VS Code ホストのセッションからユーザーに送るファイルがアップロードされるように、別アカウント／組織へのサインインで数秒以内にセッションを止めて理由を出す、権限モードとモデルを接続クライアントに伝える、スマホや claude.ai/code から選んだ effort がターミナル側にも適用される、など） - CLAUDE_CODE_OAUTH_TOKEN 設定中に /login した後、古いトークンのリマインダが自動再開ターンに漏れ込む問題（ユーザーにだけ見えるように） - SendMessage / ListAgents が、アカウントのセッション一覧が長すぎて完全に確認できなかったことを伝えるように（見えないセッションを「存在しない」と扱わない）

v2.1.235（2026-08-18）spellcheck・UI の詰め

• spellcheck 設定（オプション）——aspell / hunspell / ispell がインストールされていれば、プロンプト入力中のスペルミスに下線を引く
• 言語サーバーがセッション途中で切断・再接続したときのプロンプト全体のキャッシュ無効化を修正
• ネストした Markdown リスト項目が depth 3 以上でずれる問題を修正、折り返したリスト項目にぶら下げインデントを追加
• 複数行プロンプトで、入力欄のハイライト（スラッシュコマンド・キーワード・メンション）が1文字以上ずれる問題を修正
• 許可プロンプトのコメント欄で Shift+Tab を押すと、欄を閉じるのではなく編集を承認してセッション全体の編集権限を付与してしまう問題を修正
• Agent ツールが、general-purpose エージェントが使えないセッションでそれを既定として宣伝する問題を修正（subagent_type 省略時に利用可能なエージェントを列挙する明示エラーを返す）
• ノートブックのセル削除／置換の承認ダイアログが、読めなかったときに既存セル内容を黙って省略する問題を修正（理由を表示するように）
• Claude の応答中に実行したスラッシュコマンドが HTML エンティティのまま表示される問題を修正
• バックグラウンド自動更新後に「Update installed」の再起動通知がフッターに出ない問題を修正
• ctrl+t の展開タスクリストが、タスクが残っているセッションを resume すると常に畳まれて始まる問題を修正
• /ultrareview や /autofix-pr のようなクラウドセッションがバックグラウンドで走っている間のメモリと CPU の使用量を改善（イベントストリームを更新のたびに再スキャン・再描画しなくなった）
• 許可ダイアログの改善: 表示テキストと「今後聞かない」の対象範囲が常に一致し、内容を完全に表示できない場合は「今後聞かない」を出さない
• ネイティブ macOS / Linux ビルドの組み込み grep 改善（病的なパターンがメモリを食い潰す前に高速に失敗、-m N と -A/-C の組み合わせが正しいコンテキストを出す）
• コンテキスト上限エラーが、auto-compact がオフであることと /config で戻せることを伝えるように
• Vim モード: 詳細トランスクリプト（ctrl+o）のトグルやパネルを閉じたときに NORMAL モードとカーソル位置が保たれるように
• ダイアログ: 矢印キーと Enter を素早く連打したとき、移動先ではなく元のハイライト行が選ばれる問題を修正
• SendMessage がクロスセッション配送に大きすぎるメッセージを、静かに落とさず送信前に拒否するように
• Remote Control: claude rc がインタラクティブ起動と同じエンタープライズゲートウェイ可用性チェックを適用
• [VSCode] 複数の Claude パネルがあるウィンドウを復元・リロードすると、開いている Claude タブ間でフォーカスが勝手に飛ぶ問題を修正

---

新コマンド・機能・設定まとめ表

新設定・環境変数

名前	種別	効果	導入
crossSessionInbound	設定	他セッションからのメッセージを accept / hold / refuse	v2.1.224
dialogExpiry	設定	承認ダイアログの失効時間（既定5分、"never" 可）	v2.1.224
isolatePeerMachines	設定	マシン外へのメッセージ送信に明示承認を要求	v2.1.224
spellcheck	設定	プロンプト入力のスペルチェック	v2.1.235
additionalMarketplaces / allowedMarketplaces	設定	extraKnownMarketplaces / strictKnownMarketplaces の別名	v2.1.232
CLAUDE_CODE_ENABLE_TODO_TOOLS	環境変数	1 で Todo ツールを新モデルでも復活	v2.1.233
CLAUDE_CODE_FORK_SUBAGENT	環境変数	fork モードの強制オン（1）／オフ（0）	v2.1.232
CLAUDE_CODE_WORKFLOW_PREFIX_STAGGER_MS	環境変数	ワークフロー兄弟エージェントの起動ずらし（0 で無効化）	v2.1.229
CLAUDE_CODE_GOAL_CHECKIN_MINUTES	環境変数	/goal のバックグラウンドタスク様子見間隔（0 でオプトアウト）	v2.1.234
CLAUDE_CODE_TOOL_MEMORY_LIMIT	環境変数	Linux で Bash コマンドに memory cgroup 制限	v2.1.233
CLAUDE_CODE_WEBFETCH_CACHE_TTL_MS	環境変数	WebFetch の URL キャッシュ TTL（既定15分）	v2.1.233
CLAUDE_CODE_PROJECT_DIR_NAME	環境変数	プロジェクト別トランスクリプトディレクトリ名	v2.1.234
CLAUDE_CODE_DISABLE_UNKNOWN_MODEL_WINDOW_ENFORCEMENT	環境変数	未知モデル ID のコンテキスト上限強制を無効化	v2.1.223
ANTHROPIC_BEDROCK_REGION_PREFIX	環境変数	Bedrock のクロスリージョン推論プロファイル指定	v2.1.224
CLAUDE_CODE_MESSAGING_SOCKET / _TOKEN	環境変数（エクスポート）	セッションの受信箱ソケットパスと認証トークン（フック／Bash に渡される）	v2.1.224

コマンド・機能の変化

対象	変化	導入
claude self-hosted-runner	新規。自前インフラをクラウドセッションの実行先に	v2.1.224
/list-agents（/peers）	到達可能なセッションの一覧	v2.1.224
@セッション名	プロンプトから別セッションを名指し	v2.1.232
/review	/code-review のエイリアスに統合	v2.1.223
/code-review	effort 省略時は前回のレベルを再利用。high 以上もバックグラウンド化	v2.1.223, 232
/fork	自分専用の worktree を作るように	v2.1.221
/permissions・/add-dir	Claude の作業中に開けるように	v2.1.234
/goal	回復不能エラーで自己解除。30分待たされたらタスクを見に行く	v2.1.234
/status	セッション種別と Peer address を表示	v2.1.221, 224
/teleport	クラウドセッションからローカルへの継続ヒント	v2.1.223
/config	「Dialog expiry」「Messages from your other sessions」「Continue automatically at usage limit」の行を追加。「Default teammate model」を削除	v2.1.232, 234
ultraplan	削除	v2.1.222
Todo / Task ツール	新モデルで提供終了	v2.1.233
archive プラグインソース	HTTPS の zip からインストール（SHA-256 ピン留め可）	v2.1.224
プラグイン command ソース	ローカルコマンドがプラグインディレクトリを print	v2.1.229

---

Windows ユーザー的に効いた改善

Windows 環境での当たり判定を、効きそうな順に。

1. クロスセッションメッセージングは使えない（v2.1.224〜）

今号の目玉のひとつが、ネイティブ Windows では提供されない。/list-agents が「Unknown command」になるのはバグではなく仕様。使いたければ WSL2 の中で Claude Code を走らせる。

2. auto mode の cd && cmd > file 誤検知（v2.1.233）

v2.1.232 の回帰で、cd <dir> && <command> > file という日常的なコマンドで auto mode が毎回止まるようになっていた。v2.1.233 で修正済み。8/13〜8/14 の間だけ「やたら承認を求められる」状態だったことになる。

同リリースで、v2.1.232 に入れた「Cygwin 形式 symlink」と「入力リダイレクト < file」の Bash 権限変更もリバートされている。Windows の Bash 権限チェックは、この2週間かなり揺れた。

3. NT \??\ パスによる NTLM 資格情報漏洩ベクタ（v2.1.233 → 234）

Windows の NT デバイスプレフィックスで綴ったパスが UNC 検証をすり抜けていた。攻撃者の SMB サーバーへのパスを踏ませると NTLM 認証ハッシュが飛ぶ古典的な手口。v2.1.233 で Bash 経路、v2.1.234 で残りの事前承認済み経路（リモート読み込み・セッション復元・CLAUDE.md include・ワークフロー・アップロード）を封鎖。

4. powershell.exe を起動しなくなった（v2.1.221）

起動時にプロセス作成時刻を取得するのに powershell.exe を spawn していたのを、kernel32 のネイティブ呼び出しに変更。powershell.exe の実行をゲートするエンドポイントセキュリティ製品が、Claude Code 起動のたびにプロンプトを出すのが止まる。

Norton などのセキュリティ製品と Claude Code の相性問題を踏んだことのある環境（/remote-control が使えなかった件 参照）には直接効く改善。

5. git / Git Bash が見つからない（v2.1.228）

git のインストール先の親フォルダから Claude Code を起動すると、git と Git Bash を見つけられない問題。C:\Program Files あたりで起動すると踏む。

6. 拡張長パス・UNC パスでクラッシュ（v2.1.229）

ツール呼び出しやメッセージが \\?\ プレフィックスや UNC パスでファイルを参照するとクラッシュしていた。前号の \u パス破壊に続く、Windows パス表記まわりの修正。

7. ~/.claude.json が read-only だと起動が止まる（v2.1.234）

read-only 属性がついていると、リネームのリトライで起動がストールしていた。バックアップソフトや同期ツールが属性を変えるケースで踏む。

8. PowerShell の引用符入りパス（v2.1.221）と $PSDefaultParameterValues（v2.1.232）

前者は権限チェックの誤処理（承認を求めるように修正）、後者は変数書き込みパラメータで後続コマンドのファイルアクセス先を静かに書き換えられるバイパス。どちらも PowerShell を主シェルにしている環境に関係する。

9. AWS SSO named profile と余計な HOME（v2.1.221）

HOME 環境変数を余計に設定している Windows マシンで、desktop-managed セッションの Bedrock 認証が失敗していた。Git Bash や WSL を入れると HOME が設定されることがあるので、該当環境は多いはず。

---

ワークフロー変化の考察

「承認」から「拒否ルール」へ

今号でいちばん構造的な変化がこれだと思う。

これまでの Claude Code の安全モデルは「危ないことをする前に人間に聞く」だった。auto mode 既定化は、それを「危ないことを分類器が止める。人間は事前にルールで線を引いておく」に変えた。

Anthropic の数字（人間 13.6% vs 分類器 89%、承認率 97%）は「聞くこと自体が機能していなかった」という主張で、それ自体は納得できる。毎回聞かれれば、人は読まずに Yes を押す。

ただし、その帰結として設定の重みが変わる。

• allowlist は「分類器をスキップさせる穴」になった——Bash(python:*) のような広いルールは、便利さと引き換えに分類器の目を潰す
• deny ルールは「モードに関係なく効く唯一の硬い壁」になった——ここだけは Claude が何を言っても、どのモードでも通らない

つまり、auto mode 時代のチューニングは「何を許すか」ではなく「何を絶対に許さないか」を書く作業になる。手元の .claude/settings.json に広すぎる allow がないか、逆に本番デプロイ・DB 操作・鍵ファイル読み取りに deny があるか——今号を機に一度見ておく価値がある。

1セッション → 多セッション → セッション同士が話す

5月上旬の Agent View で「1セッションを長く回す」から「多セッションを並列で回す」に移った。今号はその次で、並列で回しているセッション同士が直接連絡を取るようになった。

面白いのは、設計が徹底して「メッセージはユーザーの指示ではない」側に倒れていることだ。

• 承認の代わりにならない
• 設定を変えさせられない
• スラッシュコマンドは実行されない
• 送信側で分類器を通る（v2.1.222）
• 受信側の permission mode クラスで配送可否が決まる
• ループはレート制限・重複ドロップ・50件キャップで自然に止まる

エージェント同士が話せるようにすると、片方を騙せば全部通るようになる——その懸念に対して、「メッセージは提案であって命令ではない」という位置づけを、実装レベルで押し込んでいる。6月上旬に「リレーされたメッセージから権限を剥奪する」という修正が先に入っていたのも、この設計の一部だったことになる。

モデルが賢くなると足場が外れる

今号で明確になった3つ目のパターン。

• Todo ツールが新モデルから消えた（v2.1.233）
• Write ツールが新モデルには未読ファイルの上書きを許した（v2.1.228）
• claude-api スキルのコンテキストコストが 1/8 に（v2.1.234）
• prompt-audit サブコマンドで「古いモデル向けの書き方」を監査できるようになった（v2.1.221）
• カスタムサブエージェント作成を勧める起動時 tip が削除された（v2.1.232）

これは全部同じ方向を向いている。弱いモデルのために作った足場（明示的な TODO、読んでから書けというルール、大量の説明、細かく分けたサブエージェント）が、強いモデルではコストにしかならない。

自分の CLAUDE.md やスキル定義にも同じことが言える。「Claude が忘れるから書いた」ルールのうち、いくつかはもう不要かもしれない。prompt-audit はまさにその棚卸しのためのツールで、一度かけてみる価値がある。

「締める→開ける」は3回目

前号で「モデルの能力が上がると許容できる自律性の範囲も動く」と書いたが、今号でそのパターンが定着したと言っていい。

制限	入れた時期	外した／緩めた時期
ネスト spawn 禁止（depth 1）	7/21	7/24（depth 3）
セッション累計 200 spawn	7月上旬	8/7（撤廃）
同時実行20	7/21	据え置き（/ultracode 時は免除）

残ったのは「同時実行数」だけで、「累計」と「深さ」の制限は緩んだ。ここに一貫した基準があるとすれば、「瞬間的なリソース枯渇は止める。累積的な作業量は止めない」だろう。長時間走るセッションを罰しない、という判断は正しいと思う。

実行環境の外出しと、データ境界の明示

self-hosted environments は企業向けの機能だが、「何が Anthropic に行き、何が行かないか」を公式に明文化したという点で意味がある。

• 行かない: リポジトリのチェックアウト、ビルド成果物、シークレット、セッションが作ったファイル
• 行く: 会話（プロンプト・レスポンス・ツール結果）、セッション記録

そして同じ流れの中で、フィードバック調査のトランスクリプト共有が「同意のうえで CLAUDE.md を含むシステムプロンプトとツール定義も送る」ように変わった（v2.1.224）。/feedback を送るときに何が行くのか、把握しておいたほうがいい項目。

---

まとめ

15日間で14リリース。エンジンの上でハーネスが作り替えられた2週間だった。

• v2.1.221（8/4）——9日ぶりの復帰。zsh バイパス、/fork の worktree 化、VSCode Focus view、Windows の powershell.exe spawn 廃止
• v2.1.222（8/4）——worktree 隔離の破れ、ultraplan 削除、Remote Control の repo-local オン禁止
• v2.1.223（8/6）——コマンド偽装の封鎖、/review の統合、1M コンテキスト抑制の一般化
• v2.1.224（8/7）——★ self-hosted 環境、クロスセッションメッセージング、200 spawn 上限の撤廃
• v2.1.225（8/8）——他マシンへの発信、auto mode のブロックカウント修正
• v2.1.227〜229（8/10〜12）——ストリーミング表示の破綻、狭い端末でのクラッシュ、Windows の拡張長パスクラッシュ、ワークフローのキャッシュ効率化
• v2.1.232（8/13）——★ fork 既定オン、@ メンション、GitLab 対応、PowerShell バイパス
• v2.1.233（8/14）——★ Todo ツール廃止、NT \??\ パス封鎖、GitLab MR
• v2.1.234（8/17）——★ 使用量リセットの自動継続、claude-api スキル 1/8 軽量化、/permissions の作業中オープン、NT パスの総ざらい
• v2.1.235（8/18）——spellcheck、許可ダイアログの表示と権限範囲の一致

そして CLI の外側で、8/14 に auto mode が Pro・Max・Team の既定になった。

実務的に真っ先に効くのは3つ。

1. auto mode 既定化への備え——広すぎる allowlist を見直し、deny ルールを整備する
2. Todo ツールが消えたことによる副作用の確認——TodoWrite を前提にしたフックやスクリプトがあれば直す
3. claude-api スキルの軽量化と /permissions の作業中オープン——どちらも黙って日々の摩擦を減らす種類の改善

そして構造的にいちばん重いのは、「人間が承認する」から「分類器が止め、人間は事前にルールを書く」への移行だと思う。Claude Code は 5月に「1セッション → 多セッション」へ移り、7月にエンジンを載せ替え、8月に権限モデルそのものを置き換えた。承認プロンプトが減って快適になるのと引き換えに、設定ファイルに書いた線が、以前より重い意味を持つようになった——それが今号の一行まとめになる。

---

周辺の動き

9日間の空白（7/25 → 8/4）

v2.1.220（7/25）から v2.1.221（8/4）まで、9日間リリースがなかった。この期間、Claude Code は 2月以降ほぼ毎日〜隔日でリリースを続けていたので、明確に異例の空白になる。理由は公表されていないが、明けた 8/4 に v2.1.221 と v2.1.222 が同日2本、しかも v2.1.221 は40項目超の大型だったことから、溜め込んだ変更をまとめて出した形に見える。

週次使用量 +50% ブーストの延長

Claude Code サブスクライバ向けの一時的な週次使用量 50% ブーストが 8/19 まで延長された。本稿執筆日がその最終日にあたる。恒久措置ではないので、これに合わせて使い方を広げていた場合は 8/20 以降の上限に注意。

Compliance API が Cowork と Claude Code に拡大

Claude の Compliance API が、Cowork と Claude Code をデスクトップ・web・モバイル・CLI にわたってカバーするようになった（Claude Enterprise 向けベータ）。セキュリティチームが監査や eDiscovery のためにセッション内容とメタデータを統一的に取得できる。Enterprise 契約下で Claude Code を使う場合、セッションの中身は組織が引ける前提になったということになる。

Fable 5 の生物学セーフガード改善（8/7）と text watermark（8/14）

Anthropic 公式からは 8月に2本。「Improving Fable 5's biology safeguards」（8/7）と「How Claude's text watermark works」（8/14）。前者は Mythos 5 / Fable 5 の分離（同じ基盤モデルで safeguard の有無が違う）に直接関わる調整、後者は生成テキストの透かしの仕組みの解説。

Fable 5 が /advisor に戻った

v2.1.232 で、Fable アクセスのある組織向けに Fable 5 が /advisor のアドバイザとして再提供されるようになった（/model fable で usage credits の同意を設定）。前号で「Opus 5 の登場で Fable を使う理由がかなり狭まった」と書いたが、アドバイザ（＝難所だけ相談する相手）としての位置づけなら筋が通る。以前まとめたFable 5 の使い分けは、この「アドバイザとしての Fable」という線で書き直すのが良さそうだ。

---

出典

• Claude Code Official Changelog
• GitHub Releases - Claude Code（v2.1.221 〜 v2.1.235）
• claude-code/CHANGELOG.md
• auto mode 既定化: Anthropic 公式ブログ / 9to5Mac / MLQ News / digitalapplied
• クロスセッションメッセージング: Claude Code Docs - Message your other Claude Code sessions / digitalapplied: 2.1.224 / DevelopersIO v2.1.232
• self-hosted 環境: Anthropic 公式ブログ / Claude Code Docs - Self-hosted environments / DevelopersIO: EC2 で試す / Unite.AI
• サブエージェント fork: Claude Code Docs - Subagents
• Todo ツール: Claude Code Docs - Todo tracking / Release v2.1.233
• Mythos 5: Anthropic: Claude Fable 5 and Claude Mythos 5 / Claude Mythos / Decrypt
• リリース集約: Releasebot - Claude Code / Claude Code Changelog (August 2026)
• 前回記事: Claude Code 2026年7月下旬アップデートまとめ
• 関連: Fable 5 の使い分け / 利用インサイト 2026-06-21〜07-04 / /remote-control が使えなかった件（Norton TLS）

Claude Code 2026年7月下旬アップデートまとめ

前回（7/6〜7/19, v2.1.202〜215）の続編。7/20〜7/25 でリリースされた v2.1.216 〜 v2.1.220 を追いかける（7/26〜7/29 はリリースなし。本稿執筆時点の最新は v2.1.220）。

前号は「新機能ほぼゼロ・前号で広げた自律性の"請求書"を払う2週間」だった。今号はわずか6日で5リリースという短い期間ながら、性格がまったく違う——エンジンそのものが載せ替わった。

7/24 の v2.1.219 で Claude Opus 5 が登場し、既定の Opus モデルになった。1M コンテキスト、価格は Opus 4.8 と同じ $5/$25 per Mtok、fast mode は $10/$50。前号で「Fable 5 の課金がようやく着地した」と書いたばかりだったが、その Fable 5 に肉薄する性能を半額で出すモデルが、その5日後に来た。

そしてもう一つ、今号を象徴する動きがある——サブエージェントのネストが3日で禁止→解禁に反転した（v2.1.217 で depth 1 に締める → v2.1.219 で depth 3 に開放）。前号の「暴走ガードレール」の延長で一度きつく締め、新しいエンジンを載せた途端に緩めた。モデルが変わると安全域も変わる、というのが今号のいちばん生々しい示唆だと思う。

---

ざっくり結論

• Claude Opus 5 が登場、既定の Opus に（v2.1.219, 7/24）——1M コンテキスト、価格は Opus 4.8 据え置きの $5/$25 per Mtok、fast mode は 2.5倍速で $10/$50。/fast の対象から Opus 4.7 が外れ、Opus 5 と Opus 4.8 になった
• サブエージェント制御の振り子——v2.1.217 で「同時実行20まで」「ネスト spawn 禁止（depth 1）」と締め、v2.1.219 で「ネストは depth 3 まで既定で許可」に反転。同時実行20の上限は据え置き
• ワークフロー規模の既定が "medium"（15エージェント未満が目安）に（v2.1.219）——workflowSizeGuideline 設定キーで設定ファイルからも指定可能に
• Windows の \u パス破壊バグを修正（v2.1.218）——C:\Users\unicorn のような小文字 \u で始まるパスセグメントが CJK 文字に化けて、そのファイルにアクセスできなくなっていた。今号の Windows 最重要修正
• ← キーで会話が undo なしに消える事故の修正（v2.1.218）——編集直後の左矢印は確認プロンプトを出すようになり、agent view の Esc でバックグラウンド化した会話に戻れる
• /code-review がバックグラウンドサブエージェント化（v2.1.218）——レビュー作業が会話を埋めなくなった
• /deep-research も手動起動のみに（v2.1.218）——前号の /verify・/code-review に続き、「Claude が勝手に始めない」の対象が拡大
• シンボリックリンク経由の脱出を集中的に封鎖（v2.1.216, 217）——worktree 分離サブエージェントの git -C / GIT_DIR 脱出、.claude シンボリックリンク経由のプロジェクト外書き込み、バックグラウンドセッションの作業ディレクトリ正規化漏れ、/rewind のリンク越し復元
• 長時間セッションの二次関数的スローダウンを修正（v2.1.216）——メッセージ正規化のコストがターン数の2乗で増えていた。数秒単位のストールと再開の遅さの原因
• サンドボックス設定が2つ増えた——sandbox.filesystem.disabled（v2.1.216）、sandbox.network.strictAllowlist（v2.1.219）
• emoji shortcode 補完（v2.1.217）——:heart: で ❤️。今号唯一の"かわいい"新機能

---

最大トピック①: Claude Opus 5（v2.1.219・7/24）

何が来たか

項目	内容
モデル ID	claude-opus-5
位置づけ	既定の Opus モデル（opus エイリアスの解決先が Opus 5 に）
コンテキスト	1M トークン（最大出力 128K）
価格	$5 / $25 per Mtok（Opus 4.8 と同一）
fast mode	2.5倍速・基本料金の倍（$10 / $50 per Mtok）
プラン	Claude Max の既定モデル、Claude Pro の最上位モデル
提供	Claude API / Claude Platform（AWS 上を含む）/ Amazon Bedrock / Google Cloud Vertex AI / Microsoft Foundry に初日から

Anthropic 公式は Opus 5 を「Fable 5 に近いフロンティア級の知能を、半額のコストで」と位置づけている。ベンチマークでは Frontier-Bench v0.1 で Opus 4.8 の2倍以上のスコアをより低いコストで、CursorBench 3.2 で Fable 5 の 0.5% 以内に半額で、ARC-AGI 3 で次点モデルの3倍、OSWorld 2.0 で Fable 5 を3分の1のコストで上回る、と主張している。

Claude Code 側の受け止め方

CLI 側の変更は淡々としている。

• /model ピッカーで Opus 行がマージされ、「Opus (1M context)」と表示されるようになった（最初はただの「Opus」と出るバグがあり、同リリース内で修正されている）
• /model ピッカーのハイライトが「最新モデルの名前だけ」に変わった。従来はリストの一部が恣意的にハイライトされていて、どれが新着なのか分からなかった
• /fast の対象から Opus 4.7 が削除され、Opus 5 と Opus 4.8 の2つになった
• claude-api スキルの既定が Opus 5 に更新され、Opus 4.8 からの移行パスが書かれた
• /config model=<x> や Remote Control でモデルを切り替えたとき、fast mode の状態が変わったらアナウンスが出るようになった（従来は黙って変わっていた）
• Remote Control のクライアントがモデル切替・再接続・組織チェック失敗のあとに古い fast-mode ステータスを持ち続ける不具合を修正

実務的に効くのは「1M コンテキスト」より「同じ値段」

注目されがちなのは 1M コンテキストのほうだが、日常の使い勝手に効くのは価格据え置きのほうだと思う。Opus 4.8 と同じ単価で性能が上がったので、何もしなくても既定が強くなる。旧モデルを明示指定していない限り、/model を触る必要はない。

逆に、旧モデルに固定したい場合はフルモデル名で明示指定する必要がある。opus エイリアスは Opus 5 を指すようになったので、「Opus 4.8 のままがいい」なら claude-opus-4-8 系の完全名を書く。

1M コンテキストのほうは、使えることと使うべきことは別という前号までの話がそのまま当てはまる。コンテキストが広がっても、/context が警告を出す状況（今号の v2.1.216 でコンテキストウィンドウ超過時に明示警告が出るようになった）や auto-compact の挙動は変わらない。単純に「詰め込める量が増えた」だけで、詰め込んだほうが良い結果になるとは限らない。

---

最大トピック②: サブエージェント制御の振り子（v2.1.217 → v2.1.219）

今号でいちばん面白い動きがこれ。3日で方針が反転している。

7/21（v2.1.217）: 締める

• 同時実行サブエージェントに上限（既定20、CLAUDE_CODE_MAX_CONCURRENT_SUBAGENTS）——「1つのメッセージがバックグラウンドエージェントを無制限にファンアウトできないように」
• サブエージェントのネスト spawn を既定で禁止——CLAUDE_CODE_MAX_SUBAGENT_SPAWN_DEPTH を設定すれば深くできるが、既定は depth 1
• --max-budget-usd がバックグラウンドサブエージェントを止めていなかった不具合を修正——上限到達後は新規 spawn を拒否し、走っているバックグラウンドエージェントも停止する

これは前号の「暴走ガードレール」（WebSearch 200回上限・サブエージェント spawn 200回上限）の直系の続きだ。前号のはセッション累計の上限で、今号のは同時実行数と深さの上限。累計を絞っても、一瞬で100本立ち上がったり、孫・ひ孫が指数的に増えたりする穴は塞げていなかった、ということになる。

7/24（v2.1.219）: 開ける

• サブエージェントはネストしたサブエージェントを既定で depth 3 まで spawn できる（旧: 1）。CLAUDE_CODE_MAX_SUBAGENT_SPAWN_DEPTH=1 で従来の挙動に戻せる
• 同時に stream-json のネスト転送が追加された——depth-2 以降のサブエージェントも --forward-subagent-text で出力に現れるようになり、spawn 元の Agent tool_use id をキーに紐づく

つまり、depth 3 を開けると同時に、深いところで何が起きているかを外から観測できる配線を通した。禁止していた3日間は「見えないものは止める」で、解禁したのは「見えるようにしたから開ける」だと読める。

同時実行20はそのまま

注意点として、depth 3 が解禁されても同時実行20の上限は残っている。ネストを深くしても、走れる数の天井は変わらない。深さは「構造の自由度」、同時実行数は「コストと負荷の天井」で、別々に管理されるようになった。

そしてワークフロー側にも規模の指針が入った——v2.1.219 で dynamic workflow の既定が "medium"（15エージェント未満を目安） になり、実行中ワークフローのステータス行に現在の既定サイズが表示されるようになった。これは強制ではなく指針（advisory）で、/config の「Dynamic workflow size」で変更できる。加えて workflowSizeGuideline 設定キーが追加され、任意の設定ファイルから指定できるようになった（設定ファイルで指定している間は /config の行が非表示になる）。

深さは開けたが、幅には指針を置いた——今号のサブエージェント方針はこの一文に集約される。

---

最大トピック③: Windows の \u パス破壊バグ（v2.1.218）

今号の Windows 最重要修正。

Fixed Windows paths with \u-prefixed segments (like C:\Users\unicorn) being corrupted into CJK characters in tool inputs, which made those files inaccessible

ツール入力に含まれる Windows パスのうち、小文字 \u で始まるセグメントが CJK 文字に化け、そのファイルにアクセスできなくなっていた。原因は明らかに JSON の \uXXXX エスケープシーケンスとの衝突で、\unicorn の \uni + c あたりが Unicode コードポイント扱いされて別の文字に変換されていたのだろう（\u4E00 台＝CJK 統合漢字域に落ちる、というのが「CJK 文字に化ける」の中身と思われる）。

このプロジェクトへの当たり判定

C:\Users\sitaz\... は \Users が大文字 U なので直撃はしない。ただし小文字 u で始まるディレクトリ名を経路に含むと踏みうる。心当たりのある場所:

• C:\Users\sitaz\.claude\uploads\
• C:\Users\sitaz\.claude\usage-data\
• ライブラリの unpacked / utils / ui 系ディレクトリ、node_modules 配下の @types/... などに散在する小文字 u 始まりのセグメント

「なぜかこのファイルだけ読めない」「パスは合っているのに存在しないと言われる」という症状に心当たりがあれば、これが原因だった可能性がある。v2.1.218 以降なら直っている。

Windows まわりのその他の修正

• 自動更新の失敗で claude.exe が消える問題（v2.1.217）——失敗した更新は保存しておいた実行ファイルを自動復元するようになった。これは踏むと Claude Code が起動できなくなる部類の事故で、修正の価値が大きい
• バックグラウンドシェルが停止不能になる問題（v2.1.217）——/background や ← でセッションをバックグラウンドに送ったあと、あるいは高負荷マシンでセッション終了時に、バックグラウンドシェルが止められなくなる。Windows でいちばん目立っていたと明記されている
• read-only コマンドがネットワークパスに権限プロンプトなしでアクセスする問題（v2.1.216）——UNC パス（\\server\share）が読み取り扱いで素通りしていた
• PowerShell ツールの権限検証で不可視 Unicode 文字を扱う不具合（v2.1.216）——ゼロ幅スペース等を使った権限チェック回避の穴
• CLAUDE_CODE_GIT_BASH_PATH が bash/sh バイナリでないパスを指しているとき、終了したり、そのまま bash として使われたりする問題（v2.1.219）——警告付きで無視されるようになった
• git / gh の引数検証を PowerShell ツールで改善（v2.1.216）
• Bash コマンドの非 ASCII 文字パースを実シェルの単語境界に合わせる（v2.1.216）——日本語を含むコマンドの権限判定の精度に効く

前号（v2.1.214）が Windows 修正の当たり月だったが、今号もかなり厚い。CLAUDE.md の「Windows での注意事項」に書いてある回避策群（npx を使わない、フォワードスラッシュ、node -e で JSON 生成）は依然として有効なので、外す必要はない。

---

最大トピック④: 「勝手に始めない」の続きと /code-review のバックグラウンド化

/deep-research も手動起動のみに（v2.1.218）

前号の v2.1.215 で /verify と /code-review を Claude が自発的に実行しなくなったが、今号で /deep-research が同じ扱いになった。

Changed /deep-research to start only when invoked manually; Claude no longer launches it on its own

/deep-research は数十分〜と時間もトークンも食う。Claude の判断で勝手に始まると、ユーザーが期待していないコストが黙って発生する。「重い自動起動は全部やめる」という方針が、3リリースかけて一貫している。

/code-review がバックグラウンドサブエージェントに（v2.1.218）

Changed /code-review to run as a background subagent, so review work no longer fills your conversation and keeps stacked slash commands as its review target

レビュー作業が会話コンテキストを埋めなくなった。加えて「積み重ねたスラッシュコマンドをレビュー対象として保持する」——/code-review の前に別のスラッシュコマンドを重ねていた場合、その対象が維持される。

これは v2.1.208 以降の「重い作業はバックグラウンドへ、通知で拾う」という流れの延長にある。メインの会話は判断に使い、作業はバックグラウンドに逃がすという構図が、また一つ標準になった。

context: fork スキルも既定でバックグラウンド（v2.1.218）

Changed skills with context: fork to run in the background by default; opt out per skill with background: false

同じ思想。フォークして別コンテキストで走るスキルは、既定でバックグラウンドになった。スキルごとに background: false で opt out できる。

auto mode の判断が「ダイアログ」から「分類器」へ（v2.1.218）

Improved auto mode: the dangerous-rm, background-&, and suspicious-Windows-path checks no longer open permission dialogs; the auto-mode classifier adjudicates them instead

Changed plan mode with auto to no longer prompt for Bash commands the static analyzer can't prove read-only; the auto-mode classifier judges them instead

これは地味だが方向性としては大きい。従来、rm -rf 系・末尾 & のバックグラウンド実行・怪しい Windows パス、といった静的ルールに引っかかったものは無条件でダイアログだった。今号から、auto mode の分類器（LLM ベース）が裁定するようになった。プランモードでも同様で、静的解析が read-only と証明できない Bash コマンドについて、分類器が判断する。

静的ルール → モデルによる判断への移行である。誤検知でいちいち止まる摩擦は減るが、判断の主体がモデルに移った以上、分類器を騙す入力に対する耐性が新しい関心事になる。前号の「権限プレビューの偽装対策」（v2.1.211）と同じ土俵の話が、今後も続くだろう。

---

バージョン別ハイライト

v2.1.216（2026-07-20）シンボリックリンク脱出の総ざらい・二次関数的スローダウン

今号の最重量リリース（40項目超）。

• sandbox.filesystem.disabled 設定を追加——ファイルシステムの分離をスキップしつつ、ネットワーク egress の制御は維持する。サンドボックスが「全部入りか全部なしか」ではなくなった
• 長時間セッションで、メッセージ正規化のコストがターン数に対して二次関数的に増大する問題を修正——数秒単位のストールと再開の遅さの原因。前号 v2.1.208 の「長時間セッション大掃除」の続きで、まだ残っていた分
• auto mode が OAuth トークンの期限切れ・ローテート後に "HTTP 401" 分類器エラーでコマンドを拒否する問題を修正
• AskUserQuestion が、ユーザーの自由記述回答が「待って」「まず説明して」でも Claude に「続行しろ」と伝えていた問題を修正（自由記述の回答は中立的な文言で渡るように）
• worktree 分離サブエージェントが git -C・--git-dir・GIT_DIR/GIT_WORK_TREE で共有チェックアウトに git をリダイレクトできた問題を修正（worktree 分離の破れ、前号 v2.1.210 に続く2件目）
• workflow の保存とスケジュールタスクの書き込みが .claude のシンボリックリンクを辿り、プロジェクト外に書き込める問題を修正
• /rewind がシンボリックリンク・ハードリンク越しにファイルを復元・削除しなくなった（スキップしたパス数を報告）
• worktree セッションが、作業ディレクトリと選択プロジェクトが一致しないときに別プロジェクトの残骸 worktree に着地する問題を修正
• git リポジトリのない worktree のバックグラウンドセッションが削除不能になる問題を修正
• claude daemon stop --any が、古いレガシーデーモンのロックファイル経由で無関係なプロセスを終了させうる問題を修正
• 再開したバックグラウンドエージェントセッションが既定エージェントに戻る問題を修正（エージェントのプロンプトとツール制限が復元されるように）
• バックグラウンドサブエージェントが、起動ウィンドウ中に高優先度メッセージが届くとキャンセルされる問題を修正
• && リスト内や否定内にリダイレクトを含む複合文の Bash 権限チェックを修正
• Windows: read-only コマンドがネットワークパスに権限プロンプトなしでアクセス、PowerShell ツールの権限検証で不可視 Unicode 文字、Bash コマンドの非 ASCII 文字パースを修正
• Claude-in-Chrome が、セッションの OAuth トークンに必要なスコープがないと再接続で 403 ループする問題を修正
• MCP の再認証が、新しいサインインの成功前に有効な資格情報を失効させる問題を修正（バックグラウンドセッションの「要認証」メッセージが使えないコマンドを案内する問題も）
• /context がコンテキストウィンドウ超過を明示的に警告、失敗した /compact がエラーとして表示されるように
• バックグラウンドセッションの /mcp と /install-github-app が、クライアント未接続時に「入力待ち」を agent view に parkするように
• /fork の確認表示を1行に——新セッション名・claude attach の id・チェックアウトを共有している場合の注記
• @ メンションがファイル変更フックの後に何も添付しない、vim の c オペレータのドットリピートとペースト、statusline の再開時二重実行、resume ピッカーの失敗時ハングを修正
• Esc-Esc がアイドルプロンプトで rewind ピッカーを開かない（バックグラウンドタスクのある長時間セッション）問題を修正
• Ctrl+X 二回でエージェント一覧からセッションを削除できない、削除済みセッションがバックグラウンドワーカーの死亡時に復活する問題を修正
• /memory・/plan・/keybindings・Ctrl+G の GUI エディタを開いている間のマウス・フォーカスのゴミを修正（/memory はエディタを閉じるのを待たなくなった）
• /ultrareview の diff-too-large エラーが設定上限・実測サイズ・最大の寄与ファイルを表示するように、/code-review ultra の空 diff メッセージが正確な base ref を示し明示的な base の指定を提案するように
• spend limit の調整プロンプトが、サーバー側の拒否理由を表示するように
• セッション中に変更したスキル・コマンドが再起動までスラッシュメニューに出ない、name frontmatter を持つプラグインスキルが補完でプラグインプレフィックスを失う問題を修正
• テレメトリの権限拒否の誤報告を修正——失敗した権限プロンプト要求がユーザー拒否として計上されなくなり、ユーザー中断は拒否ではなく abort として報告される
• Claude Code on the web が、数分アイドルしたあと同じ質問を再提示して回答を捨てる問題を修正
• クラウドセッションがコンテナ再起動でイン・フライトのメッセージを落とす問題を修正（中断されたターンは再開時に再実行）
• fullscreen モードのダイアログのはみ出し、/config のフッタークリップ、Ctrl+O のフッターヒントの折り返し（104桁未満）、Prometheus の不正な # UNIT 行を修正
• dataviz スキル更新（既定チャートパレットの並べ替え、4系列チャートで直接ラベルを勧めていたガイダンスの修正）
• [VSCode] RTL テキスト（アラビア語・ヘブライ語・ペルシャ語）が英語やコードと混在すると逆順に描画される問題を修正

GitHub Release v2.1.216

---

v2.1.217（2026-07-21）サブエージェントの上限・Windows 自動更新事故・emoji 補完

• 同時実行サブエージェントの上限（既定20、CLAUDE_CODE_MAX_CONCURRENT_SUBAGENTS）を追加
• サブエージェントのネスト spawn を既定で禁止（CLAUDE_CODE_MAX_SUBAGENT_SPAWN_DEPTH で深くできる）※ v2.1.219 で depth 3 に反転
• --max-budget-usd がバックグラウンドサブエージェントを止めない問題を修正——上限到達後は新規 spawn を拒否し、走っているバックグラウンドエージェントも停止
• emoji shortcode 補完を追加——:heart: で ❤️ を挿入、:hea で候補表示。emojiCompletionEnabled 設定で無効化可能
• トランスクリプトの書き込みが失敗している（ディスクフル等）とき、環境変数の継承でセッション保存がオフになっているとき、警告を出すように（従来は黙ってトランスクリプトを失っていた）
• 切り詰めた MCP ツール出力が、切り詰め前の完全な結果をセッション終了までメモリに保持し続けるメモリリークを修正
• Windows: 自動更新の失敗で claude.exe が消えることがある問題を修正（失敗した更新は保存済みの実行ファイルを自動復元）
• バックグラウンドセッションの分離が、シンボリックリンクされた作業ディレクトリを正規化していない問題を修正——ワークスペースフォルダの外にセッションが脱出しうる穴
• Claude Opus 4.8 on Bedrock で auto-compact が発火しない、上限を超えたあと /compact が失敗する問題を修正
• 企業の mTLS・TLS 検証・OAuth スコープ・プロキシ設定が Claude Desktop のセッションで無視される問題を修正
• CLAUDE.md / SKILL.md の paths frontmatter にブレースグループが多いと、起動時に OOM kill されるかストールする問題を修正（ブレース展開に予算上限）
• バックグラウンドシェルが、セッションをバックグラウンドに送った後や高負荷マシンでのセッション終了時に停止不能になる問題を修正（Windows で最も顕著）
• screen reader mode の起動アナウンスが最初のプロンプト描画に食われる、thinking のステータス行が経過時間とトークン数の更新で数秒ごとに再描画される問題を修正
• managed settings の OTEL_EXPORTER_OTLP_ENDPOINT が全シグナルを支配しない問題を修正（下位スコープのシグナル別上書きがテレメトリを別の宛先に逸らせなくなった）
• --resume / --continue / /resume が、不正な attachment エントリを持つトランスクリプトで TypeErrorになる問題を修正
• Remote Control のセッションで、権限プロンプトが出た後に接続したビューアにそれが表示されない問題を修正
• フッターの PR バッジのリンクを、ターミナルのサポートが検出できない環境（ssh / tmux 越し等）でもクリック可能なハイパーリンクに（FORCE_HYPERLINK=0 で opt out）
• ログイン期限の警告を、期限の5日前から3日前に変更
• frontend-design プラグインの提案 tip を生涯3回までに制限（従来は無限に繰り返していた）
• バックグラウンドセッションを開始するときのトランスクリプトプレビューが入力エリアに密着していた問題を修正（ライブレイアウトと同じ1行の隙間を空け、セッションが引き継いだときにトランスクリプトがずれない）

GitHub Release v2.1.217

---

v2.1.218（2026-07-22）★ \u パス破壊・← キー事故・/code-review のバックグラウンド化

• /code-review をバックグラウンドサブエージェントとして実行（レビュー作業が会話を埋めない、積み重ねたスラッシュコマンドをレビュー対象として保持）
• Windows の \u で始まるパスセグメント（C:\Users\unicorn 等）がツール入力中で CJK 文字に壊され、そのファイルにアクセスできなくなる問題を修正（今号の Windows 最重要）
• 左矢印キーが undo なしに会話を破棄する問題を修正——編集直後の押下は確認を求めるようになり、agent view の Esc でバックグラウンド化した会話に戻る
• /deep-research を手動起動時のみ開始するよう変更（Claude が自分では起動しない）
• プランモード + auto: 静的解析が read-only と証明できない Bash コマンドをプロンプトしなくなり、auto-mode 分類器が判断
• auto mode 改善: dangerous-rm・background-&・suspicious-Windows-path のチェックが権限ダイアログを開かず、auto-mode 分類器が裁定
• context: fork のスキルを既定でバックグラウンド実行（スキルごとに background: false で opt out）
• エージェント frontmatter のフックが信頼されていないフォルダから実行される問題を修正——エージェントファイル自身のフォルダが workspace trust を受けていることが必須に
• 改行を Ctrl+J でエンコードするターミナルで、複数行ペーストが改行を j に置き換えて1行に潰れる問題を修正
• /context がメッセージピッカーからの compact 後に古い（compact 前の）トークン使用量を報告する問題を修正
• /ultrareview が "review my auth changes" のような記述的引数で失敗する問題を修正（現在のブランチのレビューを実行し、テキストは findings への注記として適用）
• /code-review ultra が非対話セッションで黙ってローカルレビューを実行していた問題を修正（クラウドレビューを起動するように）
• /ultrareview のエラーフィードバックを改善（Claude が不正な引数を修正できるように。従来は同じ引数で再試行していた）
• ゲートウェイの spend metering が、Bedrock の application-inference-profile ARN や設定でマップされた上流モデル ID を、設定されたモデルのレートで課金するように修正
• 長い IDE 選択が絵文字の途中で切り詰められたときの mojibake、ツールエグゼキュータのエラーが黙って落ちるケースを修正
• エンジンの teardown レースで phantom turn が開始されて放棄される問題、close 後に push された入力の扱いを一貫して拒否するよう修正
• 中断されたツール呼び出しの後の偽の "[Request interrupted by user]"、ツールが応答途中で abort したときにトランスクリプトに残る対のない tool_use ブロックを修正
• 深くネストした監視ディレクトリツリーの削除・移動時、深くネストした UI ツリーの描画時のクラッシュ（maximum call stack exceeded）を修正
• PR の作成・リンク直後にセッションが終了すると PR イベントが失われることがある問題を修正
• Bedrock のセットアップウィザードが、パーティション化された AWS リージョンやプロキシ専用ネットワークで assume-role プロファイルの検証に失敗する問題を修正
• システムクロックの調整後にターン所要時間が負値・不正値になる問題を修正（monotonic clock で計測）
• 「N MCP servers need authentication」の起動通知が、claude.ai 側で未接続の connector を過剰カウントする問題を修正
• プロンプト履歴のエントリが、履歴書き込みの競合や失敗で欠落・重複する問題を修正
• 大きな thinking budget でコンテキストオーバーフローエラーが出た後、同一の詰んだリクエストを再送し続けるリトライループを修正。Ctrl+B のバックグラウンド化にも他経路と同じバックグラウンドシェル上限を適用
• headless / SDK セッションで fork セッションの系譜が compaction 後に失われる問題、不正な delta attachment を持つ再開セッションが毎ターン失敗またはクラッシュする問題を修正
• server-managed settings の良性の機能・コストトグルが、設定承認プロンプトを出さないように変更
• エージェント markdown のエージェント名に : を禁止（プラグイン名前空間用に予約）
• スキル・プラグイン frontmatter の真偽値に yes/no/on/off/1/0（大小文字不問）を追加（true/false に加えて）
• trust ダイアログが、その許可の対象となるリポジトリルートを明示するように
• IDE 操作に対するサンドボックスのコマンド制限を改善
• リモートセッションがワーカー置き換え後もハートビートを送り続ける問題を修正（長寿命のデスクトップ・IDE プロセスが、拒否されるリクエストを数秒ごとに永久にリトライしていた）
• screen reader: 単語・行の削除（Option+Delete・Ctrl+W・Cmd+Backspace・Ctrl+U・Ctrl+K）で削除されたテキストをアナウンス、VoiceOver が入力末尾のスペースで「new line」と読む問題、プラグイン・設定パネルでターミナルカーソルがフォーカス行に移動しない問題を修正

GitHub Release v2.1.218

---

v2.1.219（2026-07-24）★ Claude Opus 5・ネスト解禁・ワークフロー既定 medium

• Claude Opus 5（claude-opus-5）を追加、既定の Opus モデルに——1M コンテキスト、fast mode は $10/$50 per Mtok
• サブエージェントがネストしたサブエージェントを既定で depth 3 まで spawn 可能に（旧: 1）。CLAUDE_CODE_MAX_SUBAGENT_SPAWN_DEPTH=1 で無効化
• stream-json のネストしたサブエージェント転送——depth-2 以降のサブエージェントが --forward-subagent-text で現れ、spawn 元の Agent tool_use id をキーに紐づく
• dynamic workflow の既定を medium（15エージェント未満を目安）に変更。/config の「Dynamic workflow size」で別のサイズや無制限を選べる
• workflowSizeGuideline 設定キーを追加——任意の設定ファイルから advisory な指針を設定可能（設定している間は /config の該当行が非表示）
• 実行中ワークフローのステータス行に現在の既定ワークフローサイズを表示（/config への案内付き）
• sandbox.network.strictAllowlist 設定を追加——サンドボックス下のコマンドについて、許可リストにないホストをプロンプトなしで拒否
• DirectoryAdded フックを追加——/add-dir や SDK の register_repo_root コントロールリクエストがセッション途中で新しい作業ディレクトリを登録したときに発火
• headless の stream-json init イベントに mcp_server_errorsを追加（設定検証でスキップされた --mcp-config エントリを列挙）。ターミナル実行では起動時に警告を表示
• claude mcp list と /mcp が、サーバー接続失敗時に HTTP ステータスとエラーテキストを表示。MCP 設定値の先頭・末尾に隠れた空白がある場合の警告も追加
• /fast の対象から Opus 4.7 を削除（Opus 5 と Opus 4.8 に適用）
• claude-api スキルを Opus 5 既定に更新（Opus 4.8 からの移行パス付き）
• /model ピッカーがマージされた Opus 行を「Opus (1M context)」ではなく単に「Opus」と表示する問題、Fable のモデル行が、含まれているプランでも「Requires usage credits」と表示される（stale cache が原因）問題を修正
• /model ピッカーのハイライトを最新モデルの名前だけに変更（従来はリストの恣意的な部分がハイライトされていた）
• claude -p のテキスト出力が、ターンがミッドストリームの API エラーで死んだときに、すでに生成済みの回答を落とす問題を修正
• Windows: CLAUDE_CODE_GIT_BASH_PATH が bash/sh バイナリでないパスを指しているときに終了する、またはそれが bash として使われる問題を修正（警告付きで無視）
• Remote Control クライアントがモデル切替・再接続・組織チェック失敗の後に古い fast-mode ステータスを保持する問題を修正
• GNU screen 内での copy-on-select が、選択をコピーせず base64 をターミナルに印字する問題を修正
• Vim モード: 空プロンプトでの ← が INSERT だけでなく NORMAL モードでも agent view に戻るように修正
• screen-reader モードが、打鍵した文字だけをエコーせず毎キーストロークで入力行全体を書き直す問題を修正
• 「Remote Control is only available via api.anthropic.com」エラーが、原因となった具体的な設定名を示すように改善
• claude --teleport が、現在のチェックアウトがセッションのリポジトリと一致しないとき、どのリポジトリを指しているかを表示するように改善
• managed MCP の allowlist/denylist の ${VAR} エントリを、設定ファイルの env ではなく起動時の環境と managed-settings の env から解決するよう変更

GitHub Release v2.1.219

---

v2.1.220（2026-07-25）ホットフィックス

• バグ修正と信頼性向上（詳細な項目立てなし）

Opus 5 を載せた翌日のリリースで、内容は非公開。Opus 5 投入直後の細かい後始末と読むのが自然だろう。本稿執筆時点（7/29）の最新版で、7/26〜7/29 は4日間リリースがない——今号の期間の中では比較的長い静穏期に入っている。

GitHub Release v2.1.220

---

新コマンド・機能・設定まとめ表

コマンド / 機能 / 設定	内容	初出
claude-opus-5	既定の Opus モデル。1M コンテキスト、$5/$25、fast mode $10/$50	v2.1.219
sandbox.network.strictAllowlist	許可リスト外ホストをプロンプトなしで拒否	v2.1.219
sandbox.filesystem.disabled	FS 分離をスキップしネットワーク egress 制御のみ維持	v2.1.216
DirectoryAdded フック	/add-dir や register_repo_root での作業ディレクトリ追加時に発火	v2.1.219
workflowSizeGuideline	Dynamic workflow size を設定ファイルから指定	v2.1.219
Dynamic workflow size = medium	既定で15エージェント未満を目安に	v2.1.219
CLAUDE_CODE_MAX_SUBAGENT_SPAWN_DEPTH	サブエージェントのネスト深さ（既定 3、=1 で無効化）	v2.1.217（既定変更 v2.1.219）
CLAUDE_CODE_MAX_CONCURRENT_SUBAGENTS	同時実行サブエージェント上限（既定20）	v2.1.217
mcp_server_errors（stream-json init）	設定検証でスキップされた MCP エントリの列挙	v2.1.219
emojiCompletionEnabled	:heart: 形式の emoji 補完の有効/無効	v2.1.217
FORCE_HYPERLINK=0	フッター PR バッジのハイパーリンク化を opt out	v2.1.217
/code-review のバックグラウンド化	レビューが会話を埋めない	v2.1.218
/deep-research の手動化	Claude が自発的に起動しない	v2.1.218
context: fork スキルの既定バックグラウンド	background: false で opt out	v2.1.218
frontmatter の真偽値拡張	yes/no/on/off/1/0 を受理	v2.1.218
エージェント名の : 禁止	プラグイン名前空間用に予約	v2.1.218

---

Windows ユーザー的に効いた改善

前号（v2.1.214 中心）に続き、今号も Windows 修正が厚い。ただし性格が違う——前号は「文字コードとプロセス制御」だったが、今号は「パスと更新プロセス」である。

1. \u パス破壊（v2.1.218）

前述の通り。小文字 \u で始まるパスセグメントが CJK 文字に化けてファイルにアクセスできなくなる。C:\Users\sitaz\... は大文字 U なので直撃しないが、.claude\uploads\ や .claude\usage-data\ のような小文字 u 始まりのセグメントを含む経路は踏みうる。

2. 自動更新失敗で claude.exe が消える（v2.1.217）

踏むと起動できなくなるタイプの事故。修正後は保存しておいた実行ファイルが自動復元される。現在 v2.1.220 が入っているので、すでに修正済みの版で動いている。

3. バックグラウンドシェルが停止不能（v2.1.217）

「most visible on Windows」と明記されている。/background や ← でセッションをバックグラウンドに送った後、あるいは高負荷時のセッション終了時に、バックグラウンドシェルが止められなくなる。長時間バッチをバックグラウンドで回す運用（/long-batch スキルの想定）に直撃する部類の不具合で、これは効く。

4. CLAUDE_CODE_GIT_BASH_PATH の誤設定で終了（v2.1.219）

bash/sh バイナリでないパスが入っていると、終了するかそのまま bash として使われていた。警告を出して無視するようになった。Windows で Git Bash のパスを手で設定する構成では踏みやすい。

5. read-only コマンドのネットワークパス素通り（v2.1.216）

UNC パス（\\server\share）に対する読み取りが権限プロンプトなしで通っていた。NAS を common ドライブとして使っている環境では意味のある修正。

6. PowerShell の不可視 Unicode / git・gh 引数検証（v2.1.216）

権限チェック回避の穴の塞ぎ込み。ゼロ幅文字を混ぜたコマンドが検証をすり抜けるケース。

7. Bash コマンドの非 ASCII 単語境界（v2.1.216）

日本語を含むコマンドの権限判定が、実際のシェルの単語境界と一致するようになった。日本語ファイル名・日本語コメントを含むコマンドを多用する環境では地味に効く。

---

ワークフロー変化の考察

「締めてから開ける」パターンが定着した

前号で「作る月と払う月が交互に来ている」と書いたが、今号でもっと短い周期の同じパターンが見えた——v2.1.217 でネストを禁止し、v2.1.219 で depth 3 に開ける。3日である。

これは場当たり的な方針転換ではなく、観測できるようになってから開けるという順序に見える。禁止した v2.1.217 の時点では、深いところで走っているサブエージェントを外から見る手段がなかった。解禁した v2.1.219 では、stream-json でネストしたサブエージェントのテキストが spawn 元の id 付きで流れてくる配線が同時に入っている。

「制御できないものは止める → 観測できるようにする → 開ける」。今後も新しい自律性が入るたびに、この3拍子で来ると予想していい。

静的ルールからモデル判断へ

v2.1.218 の auto mode 改善は、権限判定の主体が静的解析器から LLM 分類器に移るという、けっこう大きな話だった。dangerous-rm も background-& も suspicious-Windows-path も、これまでは「パターンに当たったら無条件でダイアログ」だった。それが「分類器が裁定する」になった。

摩擦は確実に減る。「明らかに安全な rm でいちいち止まる」がなくなるからだ。ただし、判断の主体がモデルになった以上、判断を誤らせる入力が新しい攻撃面になる。前号の v2.1.211 で「権限プレビューの偽装対策」が入っていたのは、まさにこの方向の先取りだった。

権限は「ルールの集合」から「モデルの判断 + サンドボックスの境界」に移行しつつある。だからこそ、今号でサンドボックス設定が2つ増えた（sandbox.filesystem.disabled・sandbox.network.strictAllowlist）ことの意味が大きい。判断が緩んでも被害が出ない境界を、判断とは別のレイヤーで固めている。

シンボリックリンクが3リリース連続で穴になった

今号のセキュリティ修正を並べると、ほぼ全部がリンク経由の脱出である。

リリース	脱出経路
v2.1.216	worktree 分離サブエージェントの git -C / --git-dir / GIT_DIR
v2.1.216	workflow 保存・スケジュールタスク書き込みが .claude のシンボリックリンクを辿る
v2.1.216	/rewind がリンク越しに復元・削除
v2.1.217	バックグラウンドセッション分離が作業ディレクトリのシンボリックリンクを正規化しない

前号の v2.1.210・v2.1.212 でも同系統（worktree 分離の破れ、.claude/worktrees のコミット済みシンボリックリンク）が修正されている。「作業をディレクトリで隔離する」という設計が、リンクという古典的な仕組みに何度も破られている。

隔離を前提にした運用（worktree 分離サブエージェント、バックグラウンドセッション）を使う場合、ハーネスの隔離だけを信頼しないほうがいい。リポジトリに信頼できないシンボリックリンクが入り込む経路（git clone してきた素性の知れないリポジトリなど）そのものを警戒するレイヤーが要る。

「会話を消さない」も UX の一部になった

v2.1.218 の「← キーが undo なしに会話を破棄する」修正は、機能的には小さいが象徴的だ。バックグラウンドセッションが標準になった結果、「戻る」操作が「破棄」と地続きになっていた。編集直後の押下に確認を挟み、Esc で戻れるようにした。

同じリリースで fork セッションの系譜が compaction 後に失われる、プロンプト履歴のエントリが競合で欠落・重複する、トランスクリプトの書き込み失敗を黙って握り潰す（v2.1.217）も直っている。セッションが長寿命なオブジェクトになった以上、それを失わせないことが機能要件になった、ということだと思う。

モデル交代がハーネス設定に波及した

Opus 5 の投入で、CLI 側の設定が連鎖的に動いた。/fast の対象モデル一覧、/model ピッカーの表示とハイライト、claude-api スキルの既定モデルと移行ガイド、そして Fable のモデル行のキャッシュ不整合。

これは「ハーネスがモデルのリストを持っている」設計の必然的なコストである。今後もモデルが出るたびに同じ波及が起きる。ユーザー側でできる備えは単純で、フルモデル名でピン留めしている箇所を把握しておくこと。エイリアス（opus）を使っていれば自動で新しくなり、フルネームを書いていれば固定される。どちらが望ましいかは用途によるので、意図して選んでおくといい。

---

まとめ

6日で5リリース、そのうち1つが新エンジンという濃い週だった。

• v2.1.216（7/20）——シンボリックリンク脱出の総ざらいと二次関数的スローダウンの修正。今号最大の項目数
• v2.1.217（7/21）——サブエージェントの同時実行20・ネスト禁止。Windows の自動更新事故とバックグラウンドシェル停止不能の修正
• v2.1.218（7/22）——\u パス破壊、← キーの会話破棄、/code-review のバックグラウンド化、/deep-research の手動化、auto mode の分類器化
• v2.1.219（7/24）——Claude Opus 5。ネスト depth 3 に解禁、ワークフロー既定 medium、サンドボックスの strictAllowlist
• v2.1.220（7/25）——ホットフィックス

実務的に真っ先に効くのは、Opus 5 が既定になったこと（何もしなくても強くなる）と、Windows の \u パス破壊が直ったこと（原因不明だったアクセス不能の一部が解消）の2つ。

そして構造的にいちばん面白いのは、ネスト禁止→解禁の3日間の振り子である。前号までの「暴走ガードレール」の流れが、新エンジンの投入で一度反転した。モデルの能力が上がると、許容できる自律性の範囲も動く——それがハーネスの設定変更として可視化された、今号はそういう週だった。

---

周辺の動き

Opus 5 とプラン・Fable 5 の関係

前号で「Fable 5 の課金が 7/20 に着地した」（Max・Team Premium は週次上限の50%まで恒久的に含まれる、Pro・Team Standard は usage credits + 一度きりの $100 クレジット）と書いた。その4日後に Opus 5 が来て、構図が変わった。

• Claude Max: Opus 5 が既定モデル。Fable 5 は週次上限の50%まで追加費用なしで使える
• Claude Pro: Opus 5 が最上位モデル。Fable 5 は usage credits
• 価格差: Opus 5（$5/$25）は Fable 5 の半額と各所で説明されている。ベンチマークでは CursorBench 3.2 で Fable 5 の 0.5% 以内、OSWorld 2.0 では Fable 5 を3分の1のコストで上回るとされる

つまり、「Fable を使う理由」がかなり狭まった。前号時点では「Fable = 最強、ただし高い/上限あり」という単純な図式だったが、いまは「Opus 5 でほぼ足りる。Fable は Opus 5 が詰まった特定タスクだけ」に近い。以前まとめたFable 5 の使い分けは、Opus 5 を基準にして書き直す価値があると思う。

Trusted Devices（Remote Control のデバイス検証）

今号の期間の話ではない可能性が高いが（一次情報では 6/25 リリース、一部のリリース集約サイトは7月下旬として扱っている）、これまでのまとめで触れていなかったので記録しておく。

Team / Enterprise プラン向けのベータ機能で、Remote Control のセッションを claude.ai・モバイルアプリ・Claude Desktop から閲覧・操作する前に、デバイスの検証を要求する組織設定。

• Owner が Claude Code 管理設定で Remote Control トグルを有効化する必要がある（既定はオフ）
• 有効時は「登録済みデバイス」と「最近の認証」の両方が必要。ブラウザ・スマホ・デスクトップアプリそれぞれが個別に資格情報を登録する
• 検証は Face ID / パスキーで、生体情報はデバイスから出ない

サインイン済みアカウントだけでなく、既知のデバイスにアクセスを紐づける仕組みで、前号で書いた「組織に納品できる状態に仕上げるフェーズ」の続きにあたる。個人利用では関係ないが、/remote-control を使う際に「組織設定で無効化されている」系のエラーに遭遇したら、この設定を疑うといい（今号 v2.1.219 で、Remote Control のエラーが原因となった具体的な設定名を示すようになったので、以前より切り分けやすくなっている）。

---

出典

• Claude Code Official Changelog
• GitHub Releases - Claude Code（v2.1.216 〜 v2.1.220、各バージョン節にリンク）
• claude-code/CHANGELOG.md
• Opus 5: Anthropic 公式発表 / MarkTechPost / Developers Digest / Claude API Pricing (July 2026)
• Opus 5 と Claude Code: DevelopersIO v2.1.219 / Qiita 毎日Changelog解説 v2.1.219 / Zenn: 単価総覧と旧モデル指定方法 / Qualiteg: Opus 5.0 完全ガイド
• プラン別の提供: Uravation: プラン別可否一覧 / AI総合研究所: Fable 5 との違い
• Trusted Devices: Claude Code Docs - Remote Control / Clauding: Trusted Devices / ChatForest
• リリース集約: Releasebot - Claude Code
• 前回記事: Claude Code 2026年7月上旬〜中旬アップデートまとめ
• 関連: Fable 5 の使い分け / 利用インサイト 2026-06-21〜07-04 / /remote-control が使えなかった件（Norton TLS）