Cada vez más negocios y agencias usan Claude Code, el asistente de programación de Anthropic, para tareas que van más allá del código: revisar documentos, ordenar carpetas, preparar informes o dejar tareas programadas que corren solas. En muchos de esos casos el agente trabaja cerca de material de clientes. Y la pregunta que importa es siempre la misma: ¿el agente ve solo lo que debe ver, y se detiene cuando tiene que detenerse?
El 31 de octubre de 2026, Anthropic publicó la versión 2.1.316 de Claude Code. Entre muchas mejoras menores, corrige tres comportamientos que tocan justo esa pregunta: un caso en el que un modo restringido no respetaba el límite de carpetas, procesos que quedaban abiertos al cerrarse la herramienta y tareas en la nube que no aparecían como fallidas cuando se detenían por seguridad. Aquí te contamos qué corrige, a quién le afecta y qué revisar con tu responsable técnico.
- La versión 2.1.316 corrige un caso concreto: en el modo restringido, Claude Code podía subir archivos de fuera de las carpetas de trabajo si una regla de lectura los permitía. No es un acceso libre a todo el equipo.
- También corrige comandos que seguían corriendo al cerrarse la herramienta y tareas en la nube que no figuraban como fallidas cuando se detenían sin veredicto de seguridad.
- Lo útil ahora es saber qué versión usa cada equipo, actualizar y comprobar con archivos de prueba que los límites funcionan. Los permisos del agente no sustituyen al aislamiento del sistema.
Qué corrigió Anthropic
Todo lo que contamos sale de las notas de la versión 2.1.316, publicadas por Anthropic en GitHub, y de la documentación oficial de Claude Code, consultadas el 2 de noviembre de 2026. Las notas incluyen decenas de cambios. Estos son los tres que importan si el agente trabaja con material de clientes o sin nadie mirando:
Las notas describen correcciones, no incidentes. No dicen que alguien haya aprovechado estos fallos ni que se hayan expuesto datos de ningún cliente. Conviene leerlo así: son límites que ahora funcionan como se esperaba, y una buena excusa para comprobar los tuyos.
Qué es el modo restringido y por qué importa
Según la referencia de comandos de Claude Code, el modo restringido existe desde la versión 2.1.248 y está pensado para un caso concreto: cuando un sistema de evaluación usa Claude Code en una máquina compartida y no debe ejecutar comandos ni leer la configuración de esa máquina. En ese modo, Claude Code quita las herramientas que ejecutan comandos o código, limita sus herramientas de archivos a las carpetas de trabajo (la carpeta donde arranca la sesión y las que se añaden a propósito) y rechaza el modo que se salta todos los permisos.
Si en tu negocio nadie arranca Claude Code con --restricted, la primera corrección no te afecta de forma directa. Pero la lección sirve para cualquier configuración: un límite de carpetas convive con otras reglas, y esas reglas pueden abrir excepciones que nadie tenía en mente. En este caso, una regla que permitía leer ciertos archivos pesaba más que el límite del modo restringido.
Permisos, aislamiento y credenciales: tres capas distintas
La documentación de seguridad de Claude Code separa tres cosas que se suelen mezclar, y entenderlas ayuda a decidir qué revisar:
La página de permisos lo deja claro con un ejemplo útil: una regla que prohíbe leer un archivo, como Read(./.env) (el archivo donde muchos proyectos guardan sus claves), bloquea las herramientas de archivos de Claude Code y los comandos que nombran ese archivo. Pero no frena a un script que lo abra por su cuenta. Para un bloqueo que valga para todos los procesos, Anthropic remite al sandbox, que actúa a nivel del sistema operativo.
Qué revisar con tu responsable técnico
No hace falta ser técnico para pedir esta revisión. Estos son los pasos que seguiríamos, en este orden:
- Haz el inventario. Qué personas y qué máquinas usan Claude Code, y para qué: programar, revisar documentos, tareas programadas. Incluye las tareas que corren en la nube.
- Comprueba la versión. El comando
claude -vmuestra la versión instalada. Si es anterior a la 2.1.316, actualiza conclaude update, como indica la documentación. - Revisa las carpetas autorizadas. Para cada uso, anota qué carpetas son de trabajo y cuáles se añaden aparte. Si el agente trabaja con material de un cliente, que la sesión arranque en la carpeta de ese cliente y no en una carpeta general.
- Revisa las reglas de lectura permitida. Son las que abrían la excepción en el modo restringido. Busca reglas amplias que nadie recuerda haber puesto, y prohíbe de forma explícita los archivos con claves.
- Prueba con archivos ficticios. Crea un archivo inventado fuera de las carpetas de trabajo, con un texto reconocible y sin datos reales, y comprueba que una sesión limitada no lo carga. Así sabes que el límite funciona en tu configuración, no solo en el papel.
- Comprueba qué pasa al cerrar. Lanza una tarea larga de prueba, cierra la sesión y mira si queda algún proceso corriendo en el equipo.
- Revisa el registro de tareas programadas. Después de actualizar, mira si alguna tarea en la nube figura como fallida por una detención de seguridad. Antes de la corrección, esas detenciones podían pasar inadvertidas.
Si después del inventario descubres que hay agentes trabajando con datos de clientes sin un responsable claro, ese es el hallazgo más importante, más que cualquier versión. Lo explicamos con más detalle en permisos de agentes de IA: qué revisar.
Cuándo no tienes que preocuparte
Si usas Claude Code solo para programar en tu propio proyecto, sin modo restringido, sin tareas programadas y con la herramienta actualizada de forma automática, lo más probable es que estas correcciones ya te hayan llegado y no tengas que hacer nada más. Comprobar la versión lleva un minuto.
La revisión tiene más sentido si se cumple alguna de estas condiciones: varias personas usan la herramienta con configuraciones distintas, el agente trabaja con documentos de clientes, o hay tareas que corren solas de noche o en la nube. Para decidir qué tareas merecen la pena automatizar y cuáles no, puedes leer automatizar procesos con IA: qué sí, qué no.
Lo que no conviene hacer
- Presentarlo como una brecha de seguridad. Las notas describen correcciones, no ataques ni datos expuestos.
- Pensar que el modo restringido es una caja fuerte. Anthropic lo diseñó para evaluaciones en máquinas compartidas. Para aislar de verdad, la documentación remite al sandbox, a contenedores o a máquinas virtuales.
- Confiar solo en las reglas de permisos. Una regla que prohíbe leer un archivo no frena a un script que lo abre por su cuenta.
- Probar los límites con datos reales. Usa archivos inventados. Si la prueba falla, no habrás expuesto nada.
- Actualizar sin anotar. Deja escrito qué versión había, cuándo se actualizó y qué se comprobó. La próxima corrección será más fácil de revisar.
