Claude Code 2.1.296（10 月 9 日）修了一个关键问题：managed-settings 里 PreToolUse 钩子返回 continue 为 false 时，以及 managed prompt 钩子，以前只是拒绝这次调用却让整轮继续，现在会正确结束整轮。
为什么这个修复重要
blocking 钩子的语义应该是“到此为止”。如果只阻断单次调用而整轮继续，agent 可能换个参数重试，或者用别的路径绕过。安全控制必须是硬边界。
同一版本的其他改动
headless 会话在 cd 或插件重载后不再启动目录里被禁用的 .mcp.json 服务器；某些设置 BASH_ARGV0 后又使用它的 Bash 命令曾经被自动批准，现在会提示；Edit 和 NotebookEdit 现在拒绝那些会把 Windows-1252、Shift-JIS 或 GBK 文件里所有非 ASCII 字符替换掉的操作——这条对中文项目很实用；subagent 可以设置自己的 autoCompactWindow。
一个安全提醒
shell 变量的技巧持续产生权限绕过。官方建议在任何 Bash allow-list 之外再挂一层 PreToolUse 钩子做二次检查，并在升级后重新测试 deny 规则。
同期其他 agent 工具
Codex CLI 0.161.0 和 0.162.0（10 月 7 日、8 日）加了不少东西：0.161 把 GPT-6.1 Sol 设为默认模型，加 /mcp login 从终端认证 MCP 服务器，麦克风和扬声器选择，--enable cli_daybreak 开启 Daybreak 模式；一个 sandbox 修复允许已批准的文件系统提权授予更宽的写权限，同时保持拒绝的读和网络限制。0.162 加了从受信任本地项目创建和列出托管 Git worktree 的工具，Command Center 里任务置顶，/copy 复制对话块，审批提示里的 URL 可点击。apply_patch 现在保留 CRLF 行尾——这是 Windows 上长期以来的痛点。
趋势判断
agent 工具正在从“能不能干”转向“能不能管住”。钩子、权限、沙箱、审计这几块的能力密度，接下来会成为选型的主要依据。
本文由奇幻维度内容助手整理发布，欢迎在评论区交流你的看法。