Anthropic hat Claude Code 2.1.271 am 14. September veröffentlicht. Zwischen vielen kleineren Änderungen steckt eine Sicherheitsfunktion, die für produktive Coding-Agenten relevanter ist als ein weiterer Benchmarkpunkt: In Auto Mode mit aktivem Sandboxing kann Netzwerkzugriff jetzt pro Bash-, PowerShell- oder Monitor-Kommando begrenzt werden.
Bisher lag die Freigabe gröber auf Session-Ebene. Wenn ein Workflow für einen bestimmten Schritt Zugriff auf einen externen Host brauchte, konnte diese Entscheidung für weitere Kommandos in derselben Sitzung nachwirken. Mit allowed_domains wird die benötigte Domain zusammen mit dem konkreten Kommando geprüft. Andere Hosts bleiben für diesen Aufruf gesperrt.
Das verschiebt die Sicherheitsgrenze näher an die eigentliche Aktion des Agenten.
Netzwerkrechte werden Teil des einzelnen Tool-Aufrufs
Claude Code arbeitet bei längeren Aufgaben nicht nur mit Text. Der Agent kann Shell-Befehle ausführen, Dateien verändern, Pakete installieren, Tests starten und externe Dienste ansprechen. Sobald Netzwerkzugriff hinzukommt, entsteht eine zweite Angriffsfläche neben dem Dateisystem.
Ein legitimer Build-Schritt kann beispielsweise Zugriff auf eine Paketregistry benötigen. Daraus folgt aber nicht, dass derselbe Agent anschließend beliebige Hosts erreichen sollte. Genau an dieser Stelle setzt die neue Freigabelogik an: Die Domains werden nicht allgemein für die gesamte Sitzung geöffnet, sondern an das jeweilige Kommando gebunden.
Anthropic beschreibt für v2.1.271 ausdrücklich, dass die benötigten Hosts gemeinsam mit dem Kommando geprüft und nur für diesen Aufruf geöffnet werden. Alle anderen Hosts bleiben blockiert.
Für einen Coding-Agenten ist das eine Form von Least Privilege. Der Agent erhält nicht „Netzwerkzugriff“, sondern möglichst genau die Netzwerkfähigkeit, die ein konkreter Schritt braucht.
Warum Session-weite Allow-Lists für Agenten problematisch sind
Bei einem normalen CLI-Tool ist eine großzügigere Freigabe oft überschaubar: Ein Entwickler startet einen bekannten Befehl und kann dessen Verhalten relativ gut einschätzen.
Ein Agent erzeugt die Befehle dagegen selbst. Er verarbeitet Repository-Inhalte, Issues, Dokumentation, Tool-Ausgaben und eventuell Daten aus externen Quellen. Damit kann sich auch unerwarteter oder manipulierter Inhalt auf den nächsten Tool-Aufruf auswirken.
Wenn ein Agent durch Prompt Injection oder eine falsche Schlussfolgerung ein anderes Ziel anspricht, entscheidet die technische Netzwerkgrenze darüber, ob dieser Fehler nur im Modellkontext bleibt oder eine reale Verbindung nach außen entsteht.
Per-command allowed_domains verkleinert diesen Spielraum. Ein Installationsschritt, der eine bestimmte Registry braucht, muss nicht automatisch dieselben Netzwerkrechte an einen späteren Analyse- oder Build-Schritt weiterreichen.
Die Änderung verhindert damit nicht Prompt Injection. Sie reduziert den möglichen Schaden eines fehlgeleiteten Tool-Aufrufs.
Anthropic trennt auch Subagent-Kontext stärker
In derselben Version führt Anthropic omitClaudeMd für benutzerdefinierte und Plugin-Subagenten ein. Ein Subagent kann damit ohne die benutzer-, projekt- und lokal gespeicherten CLAUDE.md-Dateien gestartet werden. Verwaltete Policy-Dateien werden weiterhin geladen.
Das ist kein reines Komfortfeature. In Multi-Agent-Workflows ist zusätzlicher Kontext nicht automatisch hilfreich. Ein eng spezialisierter Reviewer braucht möglicherweise andere Informationen als ein Agent, der das gesamte Feature implementiert.
Weniger Kontext kann außerdem die Zahl indirekter Instruktionsquellen reduzieren. Ein Subagent muss nicht jede lokale Projektanweisung erben, wenn seine Aufgabe bewusst isoliert ist.
Die Kombination aus kleinerem Kontext und feinerer Netzwerkfreigabe zeigt eine klare Richtung: Agenten werden nicht nur leistungsfähiger, sondern stärker in einzelne, begrenzte Ausführungseinheiten zerlegt.
Plugin-Installation bekommt eine präzisere Freigabe
v2.1.271 ergänzt außerdem --accept-command <sha256> für claude plugin install und claude plugin update. Damit kann genau das Kommando bestätigt werden, das ein vorheriger JSON-Lauf angezeigt hat, statt eine breitere Bestätigung über -y zu geben.
Auch hier liegt die Änderung in der Granularität. Eine Freigabe ist wertvoller, wenn klar ist, welche konkrete Aktion sie erlaubt.
Anthropic hat in derselben Version außerdem einen Fehler behoben, bei dem gecachte Organisationsrichtlinien nach einem Wechsel von Account, Organisation oder API-Key weiterverwendet werden konnten. Das ist ein anderes Problem, betrifft aber dieselbe Schicht: Welche Policy gilt für den aktuellen Agentenlauf tatsächlich?
Sandboxing bleibt nur so stark wie seine Konfiguration
Anthropics Dokumentation beschreibt Claude Codes Sandbox als Kombination aus Dateisystem- und Netzwerkisolation auf Betriebssystemebene. Gleichzeitig existieren bewusst Escape-Hatches für Befehle, die außerhalb der Sandbox laufen müssen.
Standardmäßig kann Claude bei bestimmten Problemen einen unsandboxed Retry anfordern, der wieder durch den normalen Berechtigungsfluss geht. Organisationen können diese Möglichkeit mit allowUnsandboxedCommands: false deaktivieren.
Damit ist die neue Domain-Freigabe kein Beweis dafür, dass jede Claude-Code-Sitzung automatisch sicher isoliert ist. Sie gilt für die entsprechende Sandbox-Konfiguration und den Auto Mode. Teams müssen weiterhin entscheiden, welche Ausnahmen erlaubt sind und welche Tools überhaupt außerhalb der Sandbox laufen dürfen.
Für Coding-Agenten wird die Berechtigungsmatrix wichtiger
Viele Agentenvergleiche konzentrieren sich auf Modellqualität: Welches Modell löst mehr Issues, schreibt besseren Code oder braucht weniger Tokens?
Im produktiven Betrieb kommt eine zweite Achse hinzu. Ein Agent mit Browser, Shell, Repository-Zugriff, Secrets und Netzwerk ist ein ausführender Prozess mit wechselnden Fähigkeiten. Die Frage lautet dann nicht nur, was das Modell kann, sondern welche konkrete Fähigkeit für welchen Schritt freigegeben wird.
Claude Code 2.1.271 verschiebt Netzwerkrechte von einer groben Sitzungsentscheidung näher an den einzelnen Tool-Aufruf. Das ist eine kleine Änderung im Changelog, aber eine technisch relevante Grenze: Ein fehlgeleiteter Agentenbefehl sollte möglichst wenig Rechte aus einem vorherigen, legitimen Schritt erben.
Eine offene Zahl liefert Anthropic nicht: Wie stark reduziert die feinere Domain-Freigabe in realen Projekten tatsächlich unerwünschte Netzwerkzugriffe oder Security-Incidents? Ohne solche Daten lässt sich der praktische Effekt nicht quantifizieren. Die Architekturentscheidung selbst ist trotzdem klar überprüfbar: Der Netzwerkzugriff wird granularer als zuvor.