【10/5 AIニュース】denyに書いたはずの禁止が、変数の後ろで見落とされていた ─ Claude Code 2.1.289

カズ｜生成AI・エージェントラボ

2026年10月5日 07:48

今朝のいちばんは Claude Code 2.1.289 です。27行ある変更履歴のうち5行が、deny や ask に書いた規則・組織の管理設定の「穴」の修正でした。

効くのは、deny で危ないコマンドを止めている人と、サンドボックスの自動許可を使っている人です。

今朝は5件。そのうち手を動かす人に効くのは3件です。

今朝の5件：何が変わるか

2026年10月5日朝のAIニュース5件の一覧。できごと・中身・誰に効くかを並べた表（筆者作成）

一覧を文字でも置いておきます

Claude Code 2.1.289：日本時間10月4日5時12分にnpm公開。deny と ask の規則が、変数の前置きや IDE 経由のシンボリックリンクで見落とされる不具合を修正
GitHub App のトークンが約520文字に：40文字だった installation token が、約520文字の形式に切り替わった。固定長の列や40文字前提の検査は壊れうる
Strata：ゲーミングPCで大型モデル Qwen3.8-Flash-Next を動かすOSS。RTX 5070 で毎秒94トークン。対象は Windows と Linux
ponytail：スター154,800のスキル。「コードが約54%減る」は、最大94%と言っていた旧測定の言い直し
RemoveMacAI：macOS 27 の Apple Intelligence を切り、モデルを消すコマンド。元に戻せる

Claude Code 2.1.289 が、deny の見落としを5か所塞いだ

変更履歴の27行を読むと、半分以上は Mods とプラグインまわりでした。本題はその間に挟まっている、規則の効き目に関する5行です。

deny規則が変数の前置きで見落とされる流れと、2.1.での修正を並べた図（筆者作成）

規則が効いていなかったのは、この5か所

Bash の deny / ask が、環境変数の前置きに負けていました。 「TZ="$HOME" rm -rf build」のように展開される値を前に置くと、サンドボックスが自動許可する設定で規則がコマンドを見落としていました
同じく Bash で、単独の変数代入がコマンドの前にあるときも、自動許可の下で規則が飛ばされていました
Read の deny が、シンボリックリンク経由のファイルに効いていませんでした。 IDE で@指定・変更・選択したファイルが対象です
管理された端末で、複合コマンドの入れ子の部分に書いた deny / ask が、ユーザーが入れた mod の承認に対して効いていませんでした
組織が管理する MCP サーバのサインイン用ツールの説明を、ユーザーが入れたプラグインが書き換えられました

つまり何が変わるか。deny は「書いたら止まる」ものではなく、照合できた分だけ止まるものでした。「.env」の読み取りを deny にしていて、そのファイルへのシンボリックリンクを IDE で開いていた場合、規則は働いていなかったことになります。

注意してほしいのは、手元で再現したわけではなく、上の説明は公式の変更履歴の記述にもとづくことです。悪用の報告があったかも、変更履歴は書いていません。

上げるなら、stable ではなく latest です

npm のタグを見ると、latest と next は 2.1.289、stable は 2.1.285 のままです（日本時間10月5日朝の確認）。stable を追っている人には、この修正はまだ届いていません。

規則で守っている人は、いまの版を「claude --version」で見ておいてください。

GitHub App の installation token が、40文字から約520文字になった

GitHub の変更履歴（10月2日付）によると、4月27日から段階的に進めてきた「ステートレス形式」への切り替えが完了しました。新しく発行される installation token は、「ghs_」で始まる点は同じまま、長さが40文字から約520文字になります。

壊れるのは、新しく発行した分から

権限・リポジトリの範囲・1時間という有効期限・取得用のエンドポイントは変わりません。切り替え前に発行したトークンも、期限が切れるまで使えます。

ここに落とし穴があります。古いトークンは動き、新しいトークンだけ弾かれるので、不具合は「1時間後から出る」「ときどき出る」形になりやすく、原因に気づきにくいはずです。これは私の推測で、変更履歴が書いているのは確認項目だけです。

確認先：40文字ちょうどを前提にした検査／最大長が固定か小さい列・環境変数・シークレット保管／長い Authorization ヘッダを切る・拒否する中継／旧形式にだけ合う伏せ字処理（出典：GitHub Changelog 2026年10月2日）

自分の持ち物を見るなら、まず「grep -rn "ghs_" .」と、40文字を決め打ちした検査を探せば足ります。ログの伏せ字ルールが旧形式にだけ合っていると、伏せたはずのトークンがそのまま出ます。10月1日に扱った Claude Code の修正と、同じ種類の事故です。

期限は11月30日。切り替えを先に試すために付けていた一時的なヘッダ「X-GitHub-Stateless-S2S-Token」は、この日に非推奨になり、以後は効きません。本番のコードから外すよう、変更履歴が求めています。

Strata は、12GBのグラフィックボードで大型モデルを動かすが、日本語は選ぶ

Hacker News の1位（526点）に、Qwen3.8-Flash-Next を普通のゲーミングPCで動かす Strata（MIT・スター約1.08万・日本時間9月25日作成）が載りました。見出しは「RTX 4090 で毎秒100トークン」です（朝7時台の取得）。

Strata の対象環境と速度。12GB以上のVRAM・RAM 32GB以上・約80GBのディスク、RTX 5070 で毎秒94トークンなどを一覧にしたスライド（筆者作成）

数字は、README の測定表を読むのが先です

READMEが載せている測定は RTX 5070（12GB）・RAM 64GBで、いちばん軽い Q2_0 が毎秒94トークン。サイズを上げた IQ3_S は毎秒53です。AMD の RX 9070 XT（16GB）では Q2_0 が毎秒60でした。

測定表と DETAILS.md、コミュニティの結果表を検索しましたが、RTX 4090 は出てきません
見出しの4090・100は、READMEの測定とは別の数字です

必要なのは、VRAM 12GB以上、RAM 32GB以上、空きディスク約80GB。モデルのダウンロードは約70GBで、起動中の1〜3分は PC が重くなると README が書いています。

日本語を使うなら、RAM 32GB の既定は避けたほうがいい

READMEが RAM 32GB に薦める Coder は、コード以外、とくに中国語など CJK の文章に弱いと書かれています。READMEは日本語に触れていないので、日本語は試して確かめる前提です。日本語で使うなら、README は Q2_0・IQ2_XS・IQ3_S（全部の専門家を残す版）を挙げています。

もう一点。Strata 自体は MIT ですが、重みの Qwen3.8-Flash-Next のライセンスは Hugging Face 上で「qwen-community-1.0」でした。仕事で使う前に、そちらの本文を読んでください。

対象は Windows と Linux で、Mac は書かれていません。Mac は別のエンジン antirez/ds4（DwarfStar）が Qwen3.8 Flash Next に Metal で対応しています。ただし主な対象は RAM 96GB 以上の Mac です。Qwen3.8 の Q2 版は 64GB の Mac が出発点だと README は書いています。

Claude Code につなぐ場合は、READMEどおり「ANTHROPIC_BASE_URL=http://127.0.0.1:8080」を指定します。

その他の動き

ponytail の「コード約54%減」は、旧測定の言い直しでした。 「いちばん怠け者のシニア開発者のように考えさせる」スキルで、スター154,800（作成は6月12日）。READMEの見出しは「約54%減（最大94%）・約20%安い・約27%速い」。実際の Claude Code のセッションで12タスクを Haiku 4.5 で4回ずつ測った平均です。以前の1回きりの測定は80〜94%を一律の数字として出していて、READMEは「公平な基準で見れば、それは平均でなく1タスクの上限」と書いています。測定文書は、基準側にもフックが走っていた汚染を自分で見つけたとも書いています。測ったモデルは Haiku 4.5 なので、手元の値は別です
RemoveMacAI は、macOS 27 で Apple Intelligence を切り、モデルを消します（MIT・スター360台・Apple silicon）。Siri・Writing Tools・メールの要約などを止め、構成プロファイルでモデルの再ダウンロードも塞ぎます。「removemacai revert」で戻せます。Mac で「curl … | bash」の1行導入が不安なら、「removemacai off --dry-run」で変更だけを見せる使い方が用意されています。27.0.1 では 0.2.3 以降が必要です。止まる機能に、Apple の端末内モデルを使うアプリとショートカットの「モデルを使用」が含まれる点だけ確認してください

今日いちばん効くのはこれ

Claude Code 2.1.289 です。

GitHub のトークンは壊れる範囲が大きい代わりに、影響を受けるのは GitHub App を運用している人だけです。Strata や ponytail は面白いのですが、今日やることは増えません。

deny で守っている人は、ここだけ確かめてください

「claude --version」で 2.1.289 以降か
stable に固定していないか。固定なら、この修正は入っていません
サンドボックスの自動許可を使っているなら、環境変数を前置きしたコマンドが deny に掛かるか

三つ目は、上げたあとにこれを試せば足ります。規則を書いた本人にしか確かめられない部分です。

なぜ書いたか

朝のニュースまとめとして、新機能より先に「守っているつもりの設定が効いていなかった」という種類の修正を拾うようにしています。気づかないまま運用が続くので、知った日に確かめるのがいちばん安上がりだからです。

昨日までの流れで、認証情報の扱いはこちらです。

Claude Code の「効いていないつもりの指示」の話はこちらです。