Claude Code behebt die Agent-Isolation nur im latest-Tag

Wer parallele Agenten auf ein echtes Repository loslässt, braucht Claude Code 2.1.222 — und läuft mit hoher Wahrscheinlichkeit auf etwas anderem. Die Release Notes vom 4. August 2026 benennen zwei Fehler in der Agent-Isolation ausdrücklich (Release v2.1.222). Der npm-Kanal stable zeigt dagegen weiterhin auf 2.1.220, veröffentlicht elf Tage früher (npm dist-tags). Behoben und installiert sind hier zwei verschiedene Zustände. Es folgt: was ausgeliefert wurde, wie Sie feststellen, auf welcher Seite der Trennlinie Sie stehen, und was weiterhin offen ist.

Was Claude Code 2.1.222 tatsächlich behebt

Der erste Eintrag der Release Notes zu v2.1.222 hält fest, dass Worktree-isolierte Sessions und die von ihnen gestarteten Läufe zerstörerische git-Befehle gegen den Haupt-Checkout ausführen konnten — und dass die Isolation nun für Dateiänderungen und Bash in jedem Session-Typ gilt. Das ist ein Fehler in der Eingrenzung, nicht im Komfort: Der Sinn von isolation: "worktree" besteht gerade darin, dass ein Lauf den Checkout nicht berührt, in dem Sie gerade arbeiten.

Der zweite Eintrag fällt leiser aus und wiegt für unbeaufsichtigte Läufe schwerer. Auto-Allow-Hooks vom Typ PreToolUse umgingen Tool-Beschränkungen innerhalb von Hintergrundaufgaben — Zusammenfassungen, Kompaktierung, Umbenennungen. Ein Hook, der eine eng gefasste Menge an Aufrufen freigeben sollte, gab auf diesem Pfad mehr frei, als er behauptete. Der Vertrag dahinter steht in der offiziellen Hooks-Referenz; der Fix stellt ihn dort wieder her, wo Hintergrundarbeit vorbeigerutscht war.

Beides fällt erst auf, wenn Agenten in nennenswerter Zahl laufen. Als wir am 5. August 2026 die Claude Code-Installation auf unserer eigenen Build-Workstation geprüft haben, meldete sie Version 2.1.91 — veröffentlicht am 2. April 2026, 109 Releases bevor einer der beiden Isolationsfixes überhaupt existierte. Wir waren weder auf stable noch auf latest. Wir waren auf keinem von beiden, und genau das beantwortet die Frage dieses Beitrags auf eigene Weise.

Warum der Kanal stable den Fix nicht hat

npm pflegt für dieses Paket drei Tags. Am 5. August 2026 liefert die Registry {"stable":"2.1.220","latest":"2.1.222","next":"2.1.222"} (dist-tags-Endpunkt). Version 2.1.220 erschien am 24. Juli 2026; 2.1.221 und 2.1.222 kamen beide am 4. August. Der Kanal stable hinkt dem Fix nicht um ein Release hinterher, sondern um zwei — über eine Lücke von elf Tagen.

Diese Lücke ist gewollt und in der Regel der richtige Handel: stable existiert, damit ein Team seltenere, länger abgehangene Updates zieht. Problematisch wird sie bei einem Fix mit Sicherheitscharakter. Eine Eingrenzung, die leckt, lässt sich nicht über einen Reifezyklus vertagen, denn das Zeitfenster der Exposition ist exakt dieser Reifezyklus. Auf stable zu pinnen ist eine Entscheidung; ohne erneuten Blick in die Release Notes zu pinnen ist ein Versehen.

Was die Installationszahlen zeigen

Die Per-Version-API von npm zeigt die tatsächliche Verteilung (Download-Zahlen je Version). In den sieben Tagen bis zum 5. August 2026: 2.537.063 Installationen von 2.1.220, 1.152.760 von 2.1.221 und 360.695 von 2.1.222 — bei 13.756.818 über sämtliche veröffentlichten Versionen. Der gepatchte Build macht damit rund 2,6 Prozent der Wocheninstallationen aus.

Diese Zahl gehört ehrlich eingeordnet: 2.1.222 war zum Zeitpunkt der Zählung einen Tag alt, ein niedriger Anteil ist zu erwarten und wird sich verschieben. Der belastbare Befund liegt im langen Schwanz darunter. Version 2.1.154 kam im selben Fenster auf 1.470.683 Installationen, 2.1.197 auf 1.218.685 — Releases aus den Wochen davor, weiterhin in großer Zahl installiert. Das ist kein Publikum, das am Erscheinungstag aktualisiert. Es ist ein Publikum mit gepinnten Lockfiles, und jeder Pin ist eine stehende Entscheidung darüber, welche Fixes Sie haben — dieselbe Drift bei Abhängigkeiten, die wir in unserem Sicherheits-Playbook zu Codex beschrieben haben.

Die Isolationsgrenze hat weiterhin offene Meldungen

Zwei Fixes ergeben keine geschlossene Grenze. Am 4. August 2026 eingereicht — am Erscheinungstag von 2.1.222 — ist eine offene Meldung über einen verwaisten Prozess, der aus einem Worktree-Pfad heraus lief, den später eine andere Session weiterverwendete. Ebenfalls offen: parallele Worktree-isolierte Läufe, die auf die Branches der jeweils anderen committen und den Haupt-Arbeitsbaum verändern (2. August), eine Isolation, die Bash und Edit auf das falsche Repository festnagelt, wenn die Aufgabe anderswo liegt (3. August), und eine über Bash und PowerShell hinweg uneinheitlich durchgesetzte Grenze (31. Juli).

Auf der Rechteseite läuft ein eigener Strang: bypassPermissions wird nicht an Agenten weitergereicht, die über das Agent-Tool gestartet werden (2. August). Und diejenige Meldung, die jeden beunruhigen sollte, der aus Agentenergebnissen heraus ausliefert: Worktree-isolierte Agenten melden zuversichtliche Ergebnisse, ohne offenzulegen, dass dem Worktree Ihre nicht committeten Änderungen fehlen (31. Juli). Das ist ein Korrektheitsfehler mit grünem Haken davor — dasselbe Muster, das wir beschrieben haben, als sich ARC-AGI-3 als Messung der Harness entpuppte.

Unbrauchbar wird die Worktree-Isolation dadurch nicht. Sie wird zu einer Kontrolle, die man prüft, statt zu einer, die man voraussetzt — die Haltung, die wir für den gesamten Agentenaufbau vertreten haben in Ihre Agenten brauchen eine Fabrik, keine besseren Prompts.

Wer jetzt wechseln sollte und wer warten kann

Wechseln Sie jetzt, wenn einer der beiden Fixes Ihren Aufbau beschreibt: Sie starten parallele Agenten mit isolation: "worktree" gegen ein Repository, in dem Arbeit liegt, die Ihnen wichtig ist, oder Sie verlassen sich auf PreToolUse-Hooks, um unbeaufsichtigte Läufe einzugrenzen. Beide Pfade waren vor 2.1.222 offen, und keine Konfigurationsänderung ersetzt den Patch. Das Changelog von Anthropic führt dieselben zwei Einträge. Die Kontrollen, auf die man sich verlässt, zu benennen und einzeln zu prüfen — diese Disziplin haben wir aus den drei Maßnahmen von Tailscale mitgenommen.

Prüfen Sie mit npm view @anthropic-ai/claude-code dist-tags und claude --version, wo Sie tatsächlich stehen, und vergleichen Sie beides. Liegt Ihre Version vor 2.1.222, haben Sie die Fixes nicht — unabhängig davon, auf welchem Kanal Sie sich wähnen.

Warten können Sie, wenn Sie Claude Code als einzelne interaktive Session mit menschlicher Prüfung bei jedem Schreibvorgang fahren. Die Fixes aus 2.1.222 betreffen Grenzen, die erst entstehen, wenn Agenten parallel oder unbeaufsichtigt laufen. Einen Zyklus länger auf stable zu bleiben, ist vertretbar — als Entscheidung, festgehalten, mit Datum. Die nicht festgehaltene Variante führt dazu, dass ein Team auf 2.1.91 landet.

Wenn Sie Agenten-Abläufe aufbauen und deren Grenzen geprüft haben möchten, bevor sie gegen Produktions-Repositories laufen: genau das ist unsere Arbeit — siehe unsere Engineering für AI-Agentensysteme.

Häufig gestellte Fragen

Erfordert der Wechsel auf Claude Code 2.1.222 eine Konfigurationsänderung? Nein. Beide Fixes wirken im Verhalten: Die Isolation umfasst nun Dateiänderungen und Bash in jedem Session-Typ, und PreToolUse-Auto-Allow-Hooks umgehen in Hintergrundaufgaben keine Beschränkungen mehr (Release Notes). Bestehende isolation: "worktree"-Einstellungen und Hook-Definitionen laufen unverändert weiter.

Woran erkenne ich, aus welchem npm-Kanal meine Installation stammt? Führen Sie claude --version aus und vergleichen Sie das Ergebnis mit npm view @anthropic-ai/claude-code dist-tags, das am 5. August 2026 stable 2.1.220 und latest 2.1.222 liefert (dist-tags-Endpunkt). Maßgeblich ist die Versionsnummer, nicht der Kanal, den Sie vermuten.

Kann man sich nach 2.1.222 auf die Worktree-Isolation verlassen? Sicherer ja, geklärt nein. Meldungen gegen die Grenze sind weiterhin offen, darunter parallele Läufe, die den Haupt-Arbeitsbaum verändern und verwaiste Prozesse, die einen Worktree-Pfad weiterverwenden. Behandeln Sie die Isolation als Kontrolle, die geprüft wird, nicht als Zusicherung.

Warum hinkt der Tag stable dem Tag latest überhaupt hinterher? Der Kanal stable soll Teams seltenere, länger abgehangene Updates liefern. Am 5. August 2026 steht er damit bei 2.1.220 vom 24. Juli, zwei Releases und elf Tage hinter 2.1.222 (npm dist-tags). Der Handel ist gewollt; einzupreisen ist die Exposition, die er bei Fixes zur Eingrenzung erzeugt.

Quellen

1. Release Notes zu Claude Code v2.1.222 — 4. August 2026
2. Release Notes zu Claude Code v2.1.221 — 4. August 2026
3. Release Notes zu Claude Code v2.1.220 — 24. Juli 2026
4. npm dist-tags für @anthropic-ai/claude-code
5. npm Download-Zahlen je Version, sieben Tage
6. Issue #83895 — verwaister Prozess auf weiterverwendetem Worktree-Pfad
7. Issue #83311 — parallele Worktree-Agenten verändern den Haupt-Arbeitsbaum
8. Issue #83454 — Isolation nagelt Tools auf das falsche Repository fest
9. Issue #83421 — bypassPermissions wird nicht weitergereicht
10. Issue #82955 — isolierte Agenten melden zuversichtliche Fehlresultate
11. Issue #83000 — Grenze über Tools hinweg uneinheitlich durchgesetzt
12. Issue #83349 — Worktree auf Basis des Standard-Branch
13. Hooks-Referenz von Claude Code
14. Changelog von Claude Code