Sesgo declarado, como siempre: enseño Claude Code a equipos de ingeniería, así que un cambio que hace más seguro dejar correr al agente sin nadie delante me toca de lleno. Por eso mismo esta pieza va de qué bloquea exactamente y qué te toca revisar, no de vender tranquilidad.
Ya cubrimos el primer endurecimiento del auto mode, cuando pasó a
bloquear por defecto comandos destructivos
como git reset --hard o terraform destroy. Esta es la siguiente vuelta de
tuerca, y apunta a un sitio distinto: la frontera entre lo que Claude hace para
tu tarea y lo que hay alrededor de la máquina donde corre.
Los hechos
El 1 de septiembre de 2026, la v2.1.257 de Claude Code añadió al auto mode —el modo en el que un clasificador decide por ti qué acciones son seguras, en vez de preguntarte por cada una— lo que el changelog llama la regla de escape de contención (Containment Escape). Es una nueva categoría de acciones que el clasificador bloquea por defecto, aunque en otras circunstancias las dejaría pasar.
Según la documentación oficial de permisos, a partir de la v2.1.257 el auto mode bloquea por defecto:
- Pedir credenciales al endpoint de metadatos de la instancia —por ejemplo
169.254.169.254— o autenticar una llamada a la nube, al clúster o a un registro con la identidad de servicio o de nodo de la propia máquina. - Alcanzar un host público por una vía que no sea una petición directa: un túnel, una reverse shell, o un resolver o proxy reconfigurado para apuntar fuera.
- Leer credenciales que pertenecen al host, no a tu tarea: certificados de nodo o la autenticación del registro de contenedores del nodo.
- Conectarse o escanear contenedores, pods o VMs vecinos que Claude no arrancó, o el nodo que hay debajo del contenedor.
El patrón es claro: son acciones que no sirven para tu tarea, pero sí para
salir de la caja donde el agente debería estar trabajando. Si tu entorno
necesita legítimamente alguna de ellas, la documentación indica describirla en
una entrada de contención de host (Host containment entry) dentro del
ajuste autoMode.environment, en lugar de aflojar la política entera.
La misma versión trae un segundo cambio, más visible en local. Mientras
permissions.blockReadsOutsideWorkingDirectories esté desactivado, en auto mode
las lecturas seguían corriendo sin preguntar, también fuera de tu directorio de
trabajo. Ahora, la primera vez que Claude usa Read, Grep o Glob sobre una ruta
fuera de tus directorios de trabajo, Claude Code te pregunta si quiere seguir
permitiendo esas lecturas. Ese aviso no aparece en ejecuciones no
interactivas con -p ni en sesiones en segundo plano: ahí las lecturas corren
como antes.
Dos matices para situar el alcance:
- Esto vive dentro de auto mode. Con confirmación manual o en modo plan ya se te preguntaba antes de tocar la red o leer fuera de tu carpeta; tu flujo no cambia. Lo que se endurece es el comportamiento autónomo. Y conviene recordarlo: en los planes Pro, Max y Team, el auto mode es el modo de arranque por defecto.
- No es un candado absoluto. Es un bloqueo por defecto del clasificador. Un
administrador puede declarar la infraestructura de confianza en
autoMode.environmentpara que las acciones legítimas de tu setup dejen de saltar.
Qué te afecta, según quién seas
Si usas Claude Code de forma interactiva con confirmación manual. Cero deberes. Sigues aprobando o rechazando cada acción; estos guardarraíles son del auto mode.
Si trabajas en auto mode en tu máquina. El cambio que notarás es el aviso de
lectura: la primera vez que Claude quiera leer un fichero fuera de tu directorio
de trabajo, te preguntará si quiere seguir haciéndolo. Si quieres cerrarlo del
todo —que las herramientas de fichero rechacen esas rutas en cualquier modo—,
activa permissions.blockReadsOutsideWorkingDirectories. Puedes ampliar el
perímetro legítimo con directorios adicionales cuando de verdad los necesites.
Si dejas correr a Claude Code sin una persona delante —routines en la web,
sesiones en background, claude -p en CI, GitHub Actions—. Aquí es donde más
rinde la regla de escape de contención, y donde antes había más superficie
expuesta. Un agente desatendido que se tuerce ya no puede, por defecto,
tirar del endpoint de metadatos para hacerse con las credenciales de la
instancia, montar un túnel para exfiltrar por una vía indirecta, ni fisgar en
los contenedores vecinos. Es exactamente el tipo de comportamiento por defecto
que conviene conocer antes de delegar tareas reales, tanto si automatizas con el
Agent SDK como si lo haces en
CI y GitHub Actions.
Si administras Claude Code para un equipo, sobre todo en la nube. Si corres
el agente en
entornos self-hosted o sesiones cloud
—contenedores, Kubernetes, VMs efímeras—, revisa dos cosas. Una, que tus flujos
legítimos que sí tocan metadatos, identidad de nodo o servicios vecinos estén
declarados en autoMode.environment, para que no se bloqueen por sorpresa. Dos,
que tu equipo entienda que este bloqueo es la capa del clasificador, distinta
del sandbox de Bash, que aísla a
nivel de sistema operativo. Son dos capas complementarias, no la misma. Para ver
la lista completa de reglas que aplica el clasificador, ejecuta
claude auto-mode defaults, que las imprime en JSON.
Qué llevarte
- La v2.1.257 añade la regla de escape de contención al auto mode: bloquea por defecto leer metadatos de la instancia, usar la identidad de la máquina, abrir túneles o reverse shells, leer credenciales del host y tocar contenedores vecinos.
- También llega un aviso de lectura: la primera vez que Claude lee fuera de
tu directorio de trabajo en auto mode, te pregunta. Con
blockReadsOutsideWorkingDirectorieslo conviertes en un bloqueo firme en todos los modos. - No tienes que activarlo: viene de serie. Tu deber, si corres en la nube,
es declarar en
autoMode.environmentlo que tu setup sí necesita, para no bloquear trabajo legítimo.
Preguntas rápidas
¿Esto cambia algo si no uso auto mode? No. Con confirmación manual o en modo plan ya se te preguntaba antes de tocar la red o leer fuera de tu carpeta. La regla vive dentro de auto mode.
Mi pipeline legítimamente lee metadatos de la instancia. ¿Se romperá?
En auto mode se bloquearía por defecto. Declara esa infraestructura de confianza
en autoMode.environment con una entrada de contención de host y la acción deja
de saltar.
¿El aviso de lectura fuera del directorio aparece en CI?
No. La pregunta interactiva no sale en ejecuciones -p ni en sesiones en
segundo plano; ahí las lecturas corren como antes. Si quieres restringirlas de
verdad en esos entornos, usa blockReadsOutsideWorkingDirectories.
¿Tu equipo deja correr a Claude Code en la nube o en CI? Decidir qué permites en auto mode, qué declaras como infraestructura de confianza y cómo gobiernas el trabajo desatendido es justo el criterio que trabajamos en la formación en directo para equipos — sobre vuestro repo, vuestros permisos y vuestras pipelines reales.