Claude Code v2.1.224：自建运行环境、跨会话通信、取消子代理上限
Anthropic 发布 Claude Code v2.1.224，带来自托管运行器、跨会话消息通信、移除 200 子代理上限等重磅功能，同时修复多项安全漏洞。这是 Claude Code 迄今功能密度最高的一次版本更新。
自托管运行器：企业终于能把 Claude Code 跑在自己的机器上
新版本引入了 claude self-hosted-runner 命令，Team 和 Enterprise 计划的用户可以把自有机器或容器变成 Claude Code 的运行环境。这意味着 web、mobile、desktop 端的会话可以在你自己的基础设施上执行，代码和数据不需要离开企业网络。
对于有数据合规要求的团队来说，这是一个关键能力——之前 Claude Code 的会话只能跑在 Anthropic 的托管环境里，现在终于可以"Bring Your Own Infrastructure"了。
跨会话 SendMessage：多个 Claude Code 实例可以互相通信
这是本次更新中最有想象力的新功能。Claude Code 的不同会话现在可以通过 SendMessage 互相发消息，用 ListAgents 发现同一用户下的其他会话——而且支持跨机器通信（macOS 和 Linux）。
配合新增的 crossSessionInbound 和 dialogExpiry 设置，你可以精细控制：哪些消息自动送达，哪些需要人工审批。比如一个会话在做代码实现，另一个在做代码审查，它们可以自动协调，而不需要你手动在两个窗口之间复制粘贴。
移除 200 子代理上限
之前每个 Claude Code 会话最多只能生成 200 个子代理（subagent），长时间运行的工作流会因此被强制中断。v2.1.224 移除了这个硬性上限，虽然并发数和深度限制仍然存在，但对于大型项目和多步骤自动化工作流来说，这堵"墙"终于没了。
插件系统增强
新版本增加了 archive 插件源——你可以直接从一个 zip 文件通过 HTTPS 安装插件，不再需要 git 或 npm。还支持可选的 SHA-256 校验，确保插件包没被篡改。
同时修复了一个恼人的 bug：同一个插件在多个项目中安装时，安装记录会被静默损坏。这个问题现在解决了。
沙箱凭据遮蔽
对于需要处理敏感凭证的场景，新版本增加了更精细的遮蔽选项：
- JWT 感知遮蔽：
decode: "jwt"+maskClaims，可以解码 JWT 后只遮蔽指定字段 - AWS SigV4 重签名：
awsPairs/sigv4，遮蔽凭证后自动用新签名替换 - 结构化环境变量提取：
extract+onExtractNoMatch
这些功能需要开启 network.tlsTerminate，且只对 user/managed/settings 级别的配置生效。
安全修复：多个权限绕过漏洞被堵上
这次更新修复了几个值得注意的安全问题：
- Bash 权限绕过：精心构造的命令可以隐藏部分内容，绕过权限检查——已修复
- 不可见字符填充：用 tab 或不可见 Unicode 填充命令，让审批对话框看不到完整命令——已修复
- Workflow 沙箱逃逸：workflow 脚本可以通过动态
import()执行沙箱外的代码——已修复 - 沙箱 deny 规则绕过：带尾部斜杠的 deny 条目（如
denyRead: "~/.aws/"）在 Linux/macOS 上可被绕过——已修复 - 沙箱违规详情不可见：之前模型看不到具体哪个文件或网络访问被拒绝了，现在可以看到
如果你在用 Claude Code 的沙箱功能，建议尽快升级。
其他改进
- 全屏模式：现在跨多次压缩（compaction）都能保留完整历史，不再只保留最近一段
- Remote Control：连接失败时显示持久错误提示和重连快捷键，不再只闪 8 秒 toast；压缩进度对 web/mobile 客户端可见
- Bedrock 区域前缀：新增
ANTHROPIC_BEDROCK_REGION_PREFIX环境变量，可以指定跨区域推理配置 - 项目路径修复：超过 200 字符的项目路径之前会串到别的项目的 session 目录，现在修好了
---
来源：[Claude Code v2.1.224 Release Notes](https://github.com/anthropics/claude-code/releases/tag/v2.1.224)