Claude Code corrige fallos de aislamiento en Bash y la configuración MCP
Índice de contenidos
Claves de la noticia
- Claude Code 2.1.309 corrige la ejecución de archivos de arranque del shell fuera del sandbox en macOS y Linux.
- La actualización también protege la configuración MCP y cierra un fallo de rutas enlazadas en macOS.
- El contraste con la documentación muestra tres controles diferentes que conviene revisar: inicio, destino real y configuración.
Anthropic ha publicado Claude Code 2.1.309 con correcciones que afectan a los límites de acceso de su agente de programación. Las notas oficiales permiten distinguir problemas del arranque de comandos, de las rutas protegidas y de la configuración de herramientas. Para quienes delegan trabajo sobre repositorios reales, la consecuencia práctica es revisar el cliente instalado y sus políticas antes de seguir confiando en esos límites.
El shell empezaba antes que su aislamiento
La versión oficial se publicó el 22 de octubre a las 22:18:57 UTC, ya el 23 en España peninsular. Anthropic reconoce que los comandos Bash confinados ejecutaban previamente los archivos de inicio del shell fuera del aislamiento. También corrige en macOS patrones denyWrite que no se aplicaban al destino real de una carpeta alcanzada mediante un enlace simbólico, y modificaciones del archivo suministrado con --mcp-config desde comandos confinados o ediciones aceptadas automáticamente.
La primera corrección afecta a una secuencia, no solamente a una orden concreta. Un intérprete puede cargar configuración antes de realizar el trabajo solicitado. Si ese paso queda fuera del perímetro, comprobar únicamente el comando final deja sin examinar una parte de su ejecución. Es una diferencia relevante para las automatizaciones: la unidad que interesa contener incluye su preparación, no solo el texto de la tarea visible.
Las notas no detallan una explotación de estos fallos, su alcance histórico completo ni un balance de usuarios afectados. Por ello, el parche acredita correcciones de aislamiento, no un ataque confirmado. Tampoco permite atribuir por sí solo una filtración de claves o un acceso a sistemas externos.
Tres comprobaciones que una aprobación no sustituye
Al cruzar esas correcciones con el funcionamiento documentado, aparecen tres preguntas distintas. La siguiente matriz es una clasificación de los controles afectados, no el resultado de una prueba de penetración. Su utilidad está en evitar que una única comprobación satisfactoria se tome como garantía para todo el entorno.
| Límite | Pregunta de revisión |
|---|---|
| Inicio del proceso | ¿El aislamiento cubre también la preparación del intérprete? |
| Destino del archivo | ¿La prohibición alcanza la ruta resuelta tras un enlace? |
| Configuración MCP | ¿El trabajo delegado puede alterar sus conexiones? |
La conclusión es concreta: autorizar una acción y contener sus efectos exigen comprobaciones diferentes. Una regla puede reconocer correctamente la operación que se solicita y, aun así, necesitar otra capa que limite dónde termina ejecutándose o escribiendo. Los tres casos se sitúan en puntos diferentes del recorrido entre la intención del usuario y el acceso efectivo a la máquina.
Esto ayuda a interpretar otros incidentes con agentes sin atribuirlos todos al modelo. En el ataque observado por Sekoia contra un señuelo de Flowise, el análisis de accesos y controles resultaba esencial para describir lo sucedido. Aquí, el documento de partida es un registro de correcciones del cliente: son evidencias distintas y no demuestran una misma campaña.
MCP convierte la configuración en una frontera
La documentación de MCP explica que estos servidores conectan Claude Code con herramientas, bases de datos y API. También permite cargar configuraciones explícitas y restringir el conjunto utilizado con --strict-mcp-config. Esa función sirve para seleccionar conexiones; no equivale a una evaluación independiente de la seguridad de cada servidor.
De ahí se desprende el segundo aporte del contraste: el archivo que define las conexiones debe tratarse como parte del control de acceso, aunque esté guardado junto a otros archivos de trabajo. Si una tarea puede cambiar ese inventario, la autorización inicial deja de describir necesariamente el entorno posterior. Proteger el código del proyecto y proteger la configuración que abre herramientas son objetivos complementarios.
Para un equipo español que conecte el agente a incidencias o servicios de su empresa, la revisión útil consiste en identificar quién administra esas definiciones, qué permisos tiene cada integración y qué modificaciones requieren revisión humana. Es un criterio derivado de la arquitectura publicada, no una afirmación de que todas las conexiones existentes hayan sido comprometidas.
Qué queda fuera del sandbox de Bash
La guía de aislamiento delimita expresamente su cobertura: envuelve comandos de shell y sus procesos derivados. Las herramientas de archivos, los servidores MCP y los hooks siguen otras vías. Además, las excepciones configuradas y los reintentos sin aislamiento pueden cambiar dónde se ejecuta una acción.
Por tanto, activar ese sandbox no demuestra que todo el agente esté encerrado en una misma caja. La referencia de permisos describe reglas y modos que gobiernan qué acciones se aceptan. Leer ambas páginas conjuntamente permite inventariar el acceso real: una protección aplicada a Bash no debe darse por heredada en un conector ni en una herramienta de edición.
El antecedente de Anthropic del 20 de octubre de 2025 ya combinaba límites de archivos y red como partes necesarias del diseño. Un año después, las correcciones subrayan que importa tanto la política declarada como el punto exacto donde empieza a aplicarse.
La medida inmediata es comprobar qué versión ejecutan realmente las sesiones y los lanzadores automatizados, adoptar la corrección mediante el canal oficial y revisar esas tres fronteras en un entorno controlado. No hace falta suponer una intrusión para justificarlo: el valor del parche está en cerrar diferencias documentadas entre el límite previsto y el aplicado.
Ilustración generada por IA para representar la revisión de accesos en un equipo de programación; no documenta un incidente real.
