worktree로 격리했을 세션이 메인 체크아웃(checkout)에 대해 파괴적인 git 명령어를 실행할 수 있었던 문제가 있었습니다. v2.1.222에서 이 문제가 해결되었으며, 격리는 파일 편집과 Bash 모두에 대해 모든 세션 타입에 적용됩니다. 권한 경계에 존재하던 다른 허점들도 수정되었습니다.

worktree 격리가 Bash를 통과하고 있었음- 격리 세션과 서브 에이전트(subagent)가 메인 체크아웃에 대해 파괴적인 git 명령어를 실행할 수 있었음 (v2.1.222) -
PreToolUse의 auto-allow 훅(hook)이 툴 제한을 우회하고 있었음- 요약, 컴팩션(compaction), 리네임(rename)과 같은 백그라운드 태스크가 대상 (v2.1.222) -

• 다른 에이전트 세션으로 보내는 메시지를 전송 전에 평가 (v2.1.222) SendMessage가 권한 분류기(permission classifier)를 통과하게 됨 -
  Remote Control의 자동 실행이 유저 스코프(user scope)로 한정됨- 리포지토리 측 설정으로는 ON 할 수 없으며, OFF 설정은 계속 유효함 (v2.1.222) -
• 툴 결과를 실제로 소비한 요청만 집계 (v2.1.222) /usage의 MCP 서버 안분(pro-rata)이 실태 기반으로 변경 -
  ultraplan 삭제- 기능별 폐지 (v2.1.222)

격리 대상이 파일 편집에만 국한되어 Bash가 빠져 있었습니다. 서브 에이전트를 worktree 격리로 실행하면 전용 worktree가 생성됩니다. 파일 쓰기 작업은 그 안에 갇히게 됩니다. 하지만 Bash를 통해 실행한 git reset --hard나 git checkout은 메인 체크아웃에 도달했습니다.

Fixed worktree-isolated sessions and their subagents being able to run destructive git commands against the main checkout; isolation now applies to file edits and Bash in every session type

에이전트를 병렬로 돌리며 git 조작을 허용하던 구성에서는, v2.1.222 이전 버전에서 격리 세션의 git 명령어가 메인 측의 작업 트리(working tree)에 도달했습니다. 커밋되지 않은 변경 사항이 사라진 경험이 있다면 이 수정 사항이 해당됩니다.

v2.1.222에서는 격리가 파일 편집과 Bash 모두에 적용되며, worktree 세션에 국한되지 않고 모든 세션 타입에 적용됩니다.

대상 독자: PreToolUse 훅에서 자동 허용을 반환하는 사람, 여러 에이전트를 SendMessage로 연계하고 있는 사람

PreToolUse 훅에서 자동 허용을 반환하는 구성으로 설정한 경우, 요약, 컴팩션, 세션 리네임과 같은 백그라운드 태스크에서 툴 제한이 우회되고 있었습니다. 훅 측의 허용이 태스크에 부여된 제한보다 강력했던 형태였습니다. v2.1.222에서 이 우회로가 차단되었습니다.

auto mode 측에도 수정이 이루어졌습니다. SendMessage를 통해 다른 에이전트 세션으로 보내는 메시지가 디스패치(dispatch) 전에 권한 분류기의 평가를 거치게 되었습니다. 에이전트 간의 메시지를 우회로로 삼은 지시는 여기서 차단됩니다.

Remote Control의 자동 실행은 .claude/settings.json과 .claude/settings.local.json에서 ON 할 수 없게 되었습니다. OFF로 만드는 용도로는 계속 유효합니다. ON 하려는 경우에는 유저 스코프에서 /config를 통해 설정해 주세요.

ultraplan은 기능별로 삭제되었습니다.

v2.1.222는 21건의 변경 사항 중 16건이 수정이며, 새로운 기능 추가는 없습니다. 권한의 경계가 worktree 격리, PreToolUse 훅, SendMessage의 세 곳에서 동시에 강화된 버전입니다. 서브 에이전트(Sub-agent)를 병렬로 실행하는 환경일수록 업데이트 후의 동작이 달라질 수 있습니다.