【日次ログ】Claude Codeのworktree隔離修正 ― 2.1.222の記録と確認範囲

2026-09-05 精査・補足

2.1.222の修正項目は公式記録と一致しました。ただし、修正の告知を読むことと、自分の実行環境で隔離が有効だと実証することは別です。長い英文引用を要約へ置き換え、9月5日の公式資料で確認したチェック範囲を補足しました。不具合の再現や本番データを使った安全性試験は行っていません。

8月4日のリリースノートにある修正

公式changelogの2026年8月4日付2.1.222には、worktreeで隔離されたセッションとそのサブエージェントから、メインのcheckoutに対する破壊的なgit操作を実行できていた問題を修正した記載があります。修正はファイル編集とBashについて、すべてのセッション種別に隔離を適用する内容です。

9月5日には公式リポジトリの変更履歴の同じ版も照合しました。同版には、バックグラウンドの要約・圧縮・リネーム等のタスクで、PreToolUseの自動許可フックがツール制限を回避していた別の問題の修正も載っています。二つは関連する権限の話ですが、同じ不具合としてまとめないようにします。

今回確認した修正項目だけから、すべての旧バージョンが同じ条件で影響を受けたとは断定できません。発生開始版の確定や、当ブログが実際に影響を受けたことの証明はできていません。

worktreeの分離と、安全機能の範囲を分ける

現行のWorktrees資料では、worktreeは別の作業ディレクトリとブランチを持つ一方、リポジトリの履歴やremoteを共有すると説明されています。別ディレクトリができたことだけで、あらゆる外部操作や機密へのアクセスまで隔離できたとは判断しません。

9月5日に開いた同資料の「How Claude Code enforces isolation」は、ファイル編集、コマンドの作業ディレクトリ、gitの参照先変更、コマンド構造の確認を分けています。

確認項目	資料に説明された対象
ファイル編集	メインcheckout内を対象にする編集・書き込みをブロック
作業ディレクトリ	Bash・PowerShell・Monitorで、メインcheckout内や確認不能な作業場所をブロック
gitの参照先変更とコマンド構造	Bash・Monitorについて、gitがメインcheckoutへ向かう指定や確認不能な構造を検査

PowerShellコマンドには作業ディレクトリの確認のみを適用するとも記載されています。そのため「Bashで説明された確認がPowerShellにもすべて同じように適用される」と読み替えないことが重要です。この表は9月5日の現行資料の要約で、すべてが2.1.222で同時に導入されたと示すものではありません。

自分の運用を確認する順序

最初に、対象タスクの実際の起動方法、使われるCLIの版数、作業ディレクトリ、利用するシェルを記録します。別の端末で確認した版数が、定期処理にも使われているとは限りません。次に、通常セッション、再開セッション、サブエージェントなど、確認対象を一つに絞り、公式資料の条件と照合します。

変更の前には、残す必要がある作業の差分と復旧方法を把握しておきます。隔離機能の確認のために、本番のcheckoutへ破壊的操作を試す必要はありません。検証する場合も、所有・管理する使い捨てのリポジトリと無害な入力で行い、認証情報や他人のデータは含めないようにします。

ここで挙げたのは点検の観点です。今回はその試験を実行していないため、特定の設定や版数が当ブログの全操作を安全にしたという結果はありません。版数の更新、権限の制限、変更内容のレビューは、それぞれ別に確認する必要があります。

この記録で確認できないこと

初回記事は当社の運用との関係を説明していましたが、影響を示す再現ログを提示していませんでした。現在も同じ環境で日次投稿しているわけではなく、ブログ運用は9月3日に移管しています。今回もClaude側の設定、権限、タスクには変更を加えていません。

公式に修正されたことは分かっても、手元の実行経路、組織設定、外部ツールまで含む安全性をこの記事だけで保証することはできません。関連するauto mode記事の訂正でも、CLI版数の観測と安全機能の実証を区別しています。

本記事は修正履歴を残す保管庫の記事です。独自の再現実験や安全性を実証した主記事には扱いません。