本週 AI 編程工具更新：Claude Code 強化沙盒安全，Codex 新增預設提示詞

本週是安全修復週。Claude Code 2.1.309 版本修復了超過十項繞過沙盒與權限檢查的漏洞，Codex 0.164.0 也強化了自身的沙盒檢查並新增憑證遮罩功能。

Codex 同時推出了新功能，例如 /presets 可在十個儲存槽中儲存提示詞與斜線指令，而 /model 和 /permissions 現在也能直接接受設定參數。Claude Code 也新增了 claude_code.safety_event OpenTelemetry 事件。

本週 Claude Code 共發布了八個版本，從 2.1.303 到 2.1.310。其中 2.1.309 版本主要針對沙盒與權限繞過問題進行修復，列出了許多不應執行卻能執行的路徑。

這些問題包括在 macOS 和 Linux 上，沙盒化的 Bash 指令會先在沙盒外執行 shell 啟動檔案；macOS 的 denyWrite glob 模式在透過符號連結存取時無法正確套用；以及沙盒化指令可能修改 MCP 設定檔。

其他修復還包括 Bash 權限檢查信任了可失敗的重新導向指令所設定的變數；cd 指令在某些情況下未觸發提示；以及在 Windows 上 PowerShell 權限檢查自動批准帶有額外參數的 Set-Location 和 cd 指令。

2.1.310 版本則修復了在缺少 Git Bash 的情況下，PreToolUse 和 PermissionRequest 鉤子允許工具呼叫通過的問題。如果您的設定依賴於拒絕規則或沙盒，建議升級到 2.1.310 版本並重新審查規則。

在遙測與設定方面，claude_code.safety_event 是一個新的 OpenTelemetry 事件，用於記錄被權限規則、自動模式、安全檢查、鉤子或沙盒阻止、提示或退回的每個工具呼叫。

sandbox.allowNestedUserNamespaces 允許 Linux 上的沙盒化指令建立使用者命名空間，這對 Chromium 和無根 Podman 有用，但同時也可能繞過沙盒的檔案保護。CLAUDE_CODE_RETRY_WATCHDOG_USAGE_LIMIT_RECHECK_MS 則讓無人值守的重試模式能夠在重置前偵測到使用限制的解除。

其他值得注意的修復包括，CLAUDE_CODE_AUTO_COMPACT_WINDOW=200k 過去會默默地設定為 100K 視窗，現在該變數接受 k 和 M 後綴，並在數值超出範圍時發出警告。

此外，過大的 cleanupPeriodDays 設定曾導致背景清理刪除一些近期檔案，例如貼上的圖片。claude --worktree 在 HEAD 分離或位於其他分支時，退出時會不經詢問就移除工作樹及其分支，這可能導致提交遺失。

Codex v0.164.0 是一個功能發布版本。它新增了 /presets 功能，可在十個編號槽中儲存可重複使用的提示詞和斜線指令，並可透過鍵盤選單呼叫。

/model 和 /permissions 現在可直接接受參數來設定模型、推理工作量、速度和權限。此外，它還支援在 Kitty 或 Sixel 終端機的全螢幕轉錄中預覽圖像。

企業 MCP 認證現在可透過 Codex 帳戶授權或專用登入（包括需要密鑰的 OAuth 客戶端）進行驗證。憑證遮罩功能則會在遠端 Bash 指令與 zsh 快照會話中遮罩憑證，包括自訂供應商憑證。

Amazon Bedrock 設定精靈現在預設啟用。在安全性方面，Codex 強化了 macOS 上針對大小寫變體中繼資料路徑的沙盒檢查，以及用於尋找可執行檔的可替換符號連結，這與 Claude Code 本週的符號連結修復方向一致。

值得一提的修復包括，失敗的壓縮不再在歷史記錄中留下部分摘要，以及 Windows HTTPS 和 WebSocket 連線現在能處理使用登入使用者 Negotiate 或 NTLM 憑證的代理認證。

Gemini CLI v0.65.0 版本（10 月 20 日）在 27 項更新中包含了一項功能，即 otlpHeaders 遙測設定。

更實際的改變是，不受信任資料夾中的工作區設定現在被強制為唯讀。

建議將 Claude Code 升級到 2.1.310 版本，特別是如果您依賴沙盒或拒絕規則。

請檢查 cleanupPeriodDays 是否設定為極端值，以及 CLAUDE_CODE_AUTO_COMPACT_WINDOW 的帶後綴值是否符合您的預期。如果您使用 Codex 的沙盒功能，也請升級到 0.164.0 版本。