Claude Code v2.1.289 อุดอีก 5 ช่องที่ deny rule เคยหลุด — คำสั่งที่มีตัวแปรนำหน้าอย่าง TZ="$HOME" rm -rf, ไฟล์ที่เปิดผ่าน symlink ใน IDE และปลั๊กอินที่แก้คำอธิบาย MCP ขององค์กรได้

Anthropic ออก Claude Code v2.1.289 เมื่อ 3 ต.ค. 2026 (23:07 UTC) ไม่ถึงสองวันหลัง v2.1.288 ที่เราเพิ่งเขียนถึง ซึ่งปิดช่อง rm ที่ซ่อนอยู่ใน bash -c ไปแล้ว รอบนี้ยังแก้ปัญหากลุ่มเดียวกัน คือกฎ deny/ask ที่ผู้ใช้หรือองค์กรตั้งไว้ แต่ถูกข้ามได้ในบางรูปแบบคำสั่ง โดยบันทึกรีลีสมีรายการลักษณะนี้ 5 รายการ ที่เหลือส่วนใหญ่เป็นการแก้ปัญหาของระบบ Mods ที่เพิ่งเปิดให้ทุกคนใช้ใน v2.1.287

ถ้าคุณใช้ deny rule เป็นด่านป้องกันคำสั่งอันตราย หรือดูแลเครื่องของทีมผ่าน managed settings ควรอัปเดตเวอร์ชันนี้

5 ช่องที่กฎเคยหลุด

ทุกข้อด้านล่างแปลจากบันทึกรีลีส ส่วนคำอธิบายเพิ่มเติมเป็นการตีความของเรา

• ตัวแปรนำหน้าคำสั่งที่มีค่าถูกขยาย — เมื่อเปิดโหมดที่ sandbox อนุญาตคำสั่งให้อัตโนมัติ คำสั่งอย่าง TZ="$HOME" rm -rf build เคยไม่โดน deny/ask rule ของ Bash จับ เพราะตัวตรวจไม่ได้มองผ่านส่วนกำหนดตัวแปรที่อยู่หน้าคำสั่ง
• บรรทัดกำหนดตัวแปรเปล่า ๆ ก่อนคำสั่ง — กรณีคล้ายกัน ถ้ามีการกำหนดตัวแปรแยกไว้ก่อนคำสั่งจริง กฎก็ถูกข้ามเมื่อ sandbox auto-allow ทำงาน
• deny rule ของเครื่องที่องค์กรจัดการ แพ้ mod ที่ผู้ใช้ติดตั้งเอง — ถ้ากฎ deny/ask ไปจับส่วนที่ซ้อนอยู่ข้างในคำสั่งผสม (เช่น คำสั่งที่ต่อกันด้วย && หรือ ;) แล้ว mod อนุมัติคำสั่งนั้น การอนุมัติของ mod จะชนะ ซึ่งเป็นเรื่องที่เราเตือนไว้ตั้งแต่วันที่ Mods เปิดตัว ว่า mod มีสิทธิ์อนุมัติคำสั่งแทนผู้ใช้ได้
• Read deny ไม่ครอบไฟล์ที่มาทาง symlink — ไฟล์ที่ถูก @-mention แก้ไข หรือเลือกใน IDE ผ่าน symlink เคยหลุดจากกฎห้ามอ่าน เช่น ถ้าคุณห้ามอ่าน .env แต่มี symlink ชี้ไปที่ไฟล์นั้น
• ปลั๊กอินของผู้ใช้แก้คำอธิบาย tool ของ MCP server ที่องค์กรติดตั้งได้ — เฉพาะ tool สำหรับล็อกอิน ซึ่งเป็นจุดที่ผู้ใช้มักเชื่อข้อความที่เห็นโดยไม่คิดมาก

Mods เสถียรขึ้น และได้ API สำหรับทีมเอเจนต์

ส่วนที่เหลือของรีลีสแสดงให้เห็นว่า Mods ยังอยู่ในช่วงปรับให้เข้าที่ ตัวอย่างที่สำคัญคือ

• mod ที่ติดตั้งไว้ไม่โหลดในเซสชันแรกหลังอัปเกรด (แก้แล้ว)
• เซสชันจบลงพร้อมข้อความ “unrecoverable interface error” เมื่อค่าที่ hook ui.render ของ mod เขียนออกมาทำให้แถวที่วาดอยู่ error ตอนนี้ Claude Code จะวาดแถวของตัวเองแทน และถ้า Client ของ mod พัง จะพังเฉพาะส่วนนั้นพร้อมส่ง ui.fault แทนที่จะลากทุกอย่างที่ mod วาดให้พังตามไปด้วย
• เซสชันแบบ supervised และ background ไม่ถูกปิดอีกต่อไปเมื่อ handler ของปลั๊กอินโยน error แบบ async
• เพิ่ม agent.spawn สำหรับ teammate, ใช้ agent id เดียวกันในทุก hook event ของปลั๊กอิน และเพิ่มสถานะ idle กับ waiting ใน $.agent.list() ทำให้ mod ที่ควบคุมหลายเอเจนต์ติดตามสถานะได้ง่ายขึ้น

นอกจากนี้ยังแก้ปัญหาเทอร์มินัลค้างเมื่อเจอ code block สั้น ๆ ที่มีแท็ก <script> ไม่ปิดจำนวนมาก (หน้า artifact ที่เผยแพร่ก็มีปัญหาเดียวกัน) และฝั่ง VS Code ได้ย้อนการเปลี่ยนแปลงของ claude auth status ใน v2.1.288 ที่อาจทำให้หลุดล็อกอินบ่อยขึ้น

มุมมอง AI Curator

สองรีลีสติดกันที่แก้ปัญหาเดียวกันบอกเราได้ชัดว่า deny rule แบบจับคู่ข้อความคำสั่งยังเป็นด่านที่บาง shell มีวิธีเขียนคำสั่งเดียวกันได้หลายแบบมาก ทั้ง bash -c, การกำหนดตัวแปรนำหน้า, คำสั่งผสม และ symlink แต่ละแบบต้องมีโค้ดตรวจของตัวเอง และทุกครั้งที่เพิ่มฟีเจอร์ใหม่อย่าง sandbox auto-allow หรือ Mods ก็มีเส้นทางให้หลุดเพิ่มขึ้น ผมจึงมองว่า deny rule เหมาะเป็นแค่ด่านแรกที่กันความผิดพลาดทั่วไป ด่านจริงควรเป็น sandbox ระดับระบบปฏิบัติการ สิทธิ์ไฟล์ และการไม่เก็บ secret ไว้ในที่ที่เอเจนต์เข้าถึงได้

ข้อที่ทีม IT ในองค์กรควรสนใจที่สุดคือกรณีที่ mod ของผู้ใช้ชนะ managed deny rule และปลั๊กอินแก้คำอธิบายของ MCP ที่องค์กรติดตั้ง ทั้งสองข้อเป็นเรื่องลำดับความสำคัญของสิทธิ์ ซึ่งเป็นสิ่งที่บริษัทใช้ตัดสินใจว่าจะเปิดให้พนักงานใช้ coding agent หรือไม่ องค์กรในไทยที่ใช้ Claude Code ผ่าน managed settings ควรบังคับเวอร์ชันขั้นต่ำเป็น 2.1.289 และพิจารณาปิดการติดตั้ง mod จากภายนอกไว้ก่อน จนกว่าระบบนี้จะผ่านช่วงที่ต้องแก้บั๊กเกือบทุกวันไปได้

แหล่งข่าว

• GitHub — anthropics/claude-code v2.1.289 release notes
• GitHub — anthropics/claude-code v2.1.288 release notes