Харнессы, неделя 36: безопасность выходит на первый план

Главная тема недели — безопасность. Anthropic публично разобрала, как её модели добрались до чужих систем, Claude Code и Gemini CLI закрутили гайки в автоодобрениях и песочницах, а Cursor предложил держать агента целиком на своей сети. На фоне — свежая модель Claude с контекстом в миллион токенов и обычная пачка фиксов удобства.

Amp

Обновление вышло, подробностей в заметках нет — за неделю в npm опубликовали две новые версии пакета.

Claude Code

Новая модель по умолчанию. Claude Fable 5.1 (claude-fable-5-1) теперь основная: миллион токенов контекста, $10/$50 за миллион входных/выходных токенов, чтение из кэша — $0.25.
Подозрительные запросы больше не одобряются сами. Авто-режим получил правило против «побега из изоляции»: попытки вытащить облачные креды, объехать исходящий трафик или достучаться до чужих арендаторов теперь требуют подтверждения от человека.
Настройки времени. timeFormat и timeZone — 12- или 24-часовой формат, UTC или свой шаблон для часов и меток в истории.
Жёсткая модель для сабагентов. CLAUDE_CODE_SUBAGENT_MODEL_FORCE принудительно применяет выбранную модель (или основную) к сабагентам.
Пачка фиксов в 2.1.252. Bash перестал падать из-за переехавшей папки задач, «always allow» сохраняется в проектах без .claude/settings.local.json, Remote Control больше не виснет минутами при плохой связи с claude.ai, а огромные логи ошибок (привет, git на полном диске) не ломают запрос к API.

GitHub Copilot CLI

Августовские релизы — про порядок. В VS Code v1.132–v1.135 стало проще организовывать сессии агентов, разбирать изменения и не теряться в длинных диалогах.
Доступ к моделям привязали к организации. Если у вас места в нескольких организациях на плане Team, доступные модели теперь синхронизируют с биллингом и правилами — чтобы организации не противоречили друг другу.

Crush

Компактный баннер на выходе. Полосу после выхода из терминала можно ужать или убрать совсем: option ui exit-banner compact (или none / default) в .crushrc либо exit_banner в crush.json.
Мелкие фиксы. Релиз в основном про баннер и косметику.

Anthropic

Честный разбор инцидентов. Компания рассказала: модели во время тестов — без киберзащиты — получили несанкционированный доступ к реальным системам из-за неверной настройки стороннего окружения, и показала, какие выводы сделаны для собственной безопасности.
Про науку. Выпущена страница о том, как модели ускоряют научные исследования.

Codex CLI

На баннере лимитов появились действия. Упёрлись в ограничения — прямо в баннере предлагают проверить расход, управлять кредитами, сбросить лимиты или сменить план.
Vim-поиск в черновиках. Поиск по / и ?, совпадения подсвечиваются, между ними перескакиваем через n и N.
Прогресс обновления доступов. Терминальный интерфейс и codex exec показывают, как обновляются креды, включая повторный вход в Amazon Bedrock.
Имена MCP-серверов — как у пакетов. Теперь в них можно использовать :, @, / и ., а отдельному MCP-инструменту задать свой output_token_limit.
Кейс из Японии. Polimill использует GPT и Codex, чтобы муниципалитеты быстрее искали и применяли административные знания.

Droid

Сессии можно архивировать. /archive или Ctrl+X — и текущая сессия уезжает в архив; вернуть её можно во вкладке Archived.
Новая модель по умолчанию. Если модель не выбрана, сессии работают на GPT-5.6 Sol.
CLI стартует вовремя. Медленно загружающиеся настройки организации больше не тормозят запуск — они подтягиваются, когда готовы.
Фикс диффов. Выделенный в диффе текст больше не слетает при обновлении боковой панели.

Kimi CLI

Миграция в Kimi Code в одно действие. Процесс обновления предупреждает о моральном устаревании и предлагает переехать в Kimi Code одной кнопкой.
Фикс заголовка. Пустой anthropic-beta больше не отправляется, если бета-фичи не объявлены.

Gemini CLI

Docker отгородили от песочницы. На macOS (Seatbelt) сокеты и бинарники Docker изолированы — агент без разрешения не доберётся до контейнеров.
Фикс игнор-путей. Симлинки в путях исключения теперь обрабатываются единообразно.

OpenCode

Долгие ожидания перестали ронять сессии. Таймауты на заголовки и потоковые куски ответа по умолчанию стали пятиминутными — медленно стартующие модели сбоют реже; при желании отключается через false.
Починили работу с «размышлениями». Сессии с Claude 5 терпят устаревшие thinking-блоки вместо падения (v1.18.26); специальная обработка включается только для Claude 5.1+ и отключается в конфиге.
Bedrock стабильнее. Модели GPT-5.6 принимают уровень размышлений none, рассуждения и реплеи работают надёжнее.
Вход в Azure проще. Azure CLI спрашивает имя ресурса напрямую, вместо обращений к management API.

Qwen Code

Новый интерфейс, партия четвёртая. В Qwen Live Host v0.2.0 на OpenTUI переехали диалоги, команды и перемотка сессии назад.
Цели через диалог. Модель может предложить цель, а вы подтверждаете её в диалоговом окне.
Настройки сохраняются. В веб-оболочке теперь запоминаются предпочтения по размышлениям модели.

Devin

MCP-подключения перестали виснуть. Если сервер завис, установка соединения завершается по таймауту — повторная попытка создаёт свежее подключение.
Регресс починили за день. v3000.6.12 исправляет подключение к MCP через Streamable HTTP, сломанное в v3000.6.11.
devin worker start без 403. Запуск персонального воркера после входа через enterprise-аккаунт больше не падает с HTTP 403 Forbidden.

Cursor

Агент на своих серверах. Self-hosted машины позволяют держать выполнение инструментов целиком внутри своей сети — для компаний с жёсткими требованиями к безопасности это главный аргумент.