Gateway 将方法级 Scope 授权集中化，并让非 CLI 调用默认采用最小权限；Agent Tool Call 不再隐式取得管理员 Scope，cron、gateway、whatsapp_login 等工具受 owner-only 策略约束，改变了 Tool Call 的权限边界。网络与执行入口也增加了统一 SSRF 检查、出站请求防护及 safeBins 校验；这些机制降低了通过 Gateway、浏览器导航或受限命令触达内部资源和越权操作的风险。发布说明还记录了 Watch/APNs 能力、流式处理修复及多项平台可靠性调整；本次 Runtime Prompt/Tool Schema 比较相邻版本一致，Static Prompt 比较不可用。
版本在 Agent 生命周期和 Session Context 管理上补强了控制机制：后台 Agent 可在主 Thread 取消后继续运行，并可用 Ctrl+F 统一终止；压缩时同时剥离文档块与图像，且保留 Plan Mode。执行与授权路径也有局部修复，包括并行文件写入互不连带失败，以及 bash 权限分类器校验匹配描述确实对应输入规则；官方说明还为 Stop 与 SubagentStop Hook 输入增加最后一条助手回复。Runtime Prompt 新增了用户可调用 Skill 的使用约束，Tool Schema 有修改记录但差异内容未展示；Static Prompt 当前不可用。
Codex 为命令审批引入独立 approval ID，并让 app-server v2 在 Thread 归档或取消归档时发送通知，扩展了多审批命令流的关联方式与客户端获取 Thread 状态变化的机制。网络层也增加 websocket Proxy 环境变量支持；安全检查降级逻辑改为依据响应头模型及 websocket 顶层事件。Runtime Prompt 与 Tool Schema 相邻版本相同；当前包未提供 Static Prompt 比较。
Cron 将 announce 与 webhook 统一为按任务配置的交付模式，并在 Gateway 中校验 HTTP(S) URL、保留旧任务迁移路径；这让定时 Agent 任务可直接回调外部服务。Subagent 执行前增加工具结果截断与旧结果压缩，配合按 Context 窗口分页读取，降低长任务溢出崩溃风险；执行与配置路径还修复环境变量注入和 `$include` 越界解析，收紧安全边界。Prompt/Tool Schema 相邻差异也显示 Cron delivery 与 image 输入契约更新；Static Prompt 不可用，官方代码概览未提供可定位源码样本，因此具体实现落点仅能按已观察到的 Prompt/Tool Schema 契约描述。
应用列表响应加入 `app_metadata`、品牌信息和标签，客户端可直接据此构建更完整的应用卡片；提交共同作者署名改由 Codex 管理的 `prepare-commit-msg` Hook 生成，并可通过 `command_attribution` 选择默认标签、自定义标签或禁用。移除 `remote_models` Feature Flag 后，模型选择不再因该开关关闭而回退到备用模型元数据。Runtime Prompt 与 Tool Schema 相邻版本相同；本 packet 未提供 Static Prompt 或代码变更概览。
审批路径开始传递更明确的权限与网络策略信息：发布说明列出统一权限流程、可授予目录读取权限的 Slash Command，以及包含主机和协议 Context 的网络审批提示；对应代码概览指向 core 的策略建模和 TUI 审批浮层。此举让 Agent 与用户面对的审批依据更具体，并让客户端能显示模型重路由、模糊文件搜索完成等状态。编排与 Context 方面，本版还扩展可配置的 Multi-Agent 角色，并修复 Thread 恢复和远程图片在恢复、回退及历史重放时的持久性。
AskUserQuestion 扩展单选选项契约，可附带 markdown 内容供界面并排展示选项与预览，并在回答中按问题返回预览内容或用户备注。这让 Agent 能在用户选择前呈现代码、布局或配置示例，适用于需要比较具体产物的决策。官方发布说明还记录了 Plugin 即时可用、Subagent 与 Sandbox 修复、启动和大输出内存改进，以及 SDK 限流事件等更新；这些发布项未附对应实现代码位置。
官方发布说明记录了两项可靠性修复：处理深层嵌套目录路径触发的 ENAMETOOLONG，并修复认证刷新错误，预期分别改善相关路径操作与认证恢复行为。可观察到的 Runtime Prompt 差异仅为计费头中的版本标识更新；现有证据没有展示这两项修复对应的源码位置或实现方式。
编排层增加 `subagents` Tool，可按 requester Session 列出、引导或终止运行；官方说明还列出嵌套 Subagent 的深度和子任务数量限制，以及 announce 路由改进，使 Agent 能直接管理 Subagent 运行。执行与多模态方面，`image` Tool Schema 接受最多 20 张图片，`message` Schema 增加 Discord Components v2 结构；官方发布说明将其用于按钮、选择器、模态框和附件文件块。安全与可靠性修复涉及 Sandbox 配置校验、敏感信息脱敏、路径提示清理和消息输入规范化，覆盖执行、Gateway 与 Prompt 边界。
Memory/LanceDB 将召回内容明确视为不可信 Context，并把自动捕获改为显式 opt-in；Sandbox 文件工具遵循 bind mount 的只读语义，媒体与 Hook 等入口也收紧路径和资源限制。这些变化让 Memory 注入、文件访问和长期运行状态有更明确的边界；Session reset、compaction 超时及 announce 重试则改善运行恢复。Runtime Prompt 的可见差异主要是补齐 HEARTBEAT.md 默认说明、标注 Workspace 文件路径，以及更新 web_search freshness 的 Provider 支持描述；没有 Tool 增删。
Outbound 新增写前投递队列与崩溃恢复重试，使 Gateway 重启期间的消息有恢复路径；HTTP `/tools/invoke` 默认拦截高风险工具，ACP 权限选择在身份或选项含糊时失败关闭，Canvas 公网来源 IP 不再走 IP 认证回退。Heartbeat 修复重载竞态与唤醒原因合并，并允许显式和 Hook 唤醒在 `HEARTBEAT.md` 为空时处理事件；Session 重置会归档旧 transcript。Runtime Prompt 的 Gateway Tool Definition 增加重启后向用户发送完成说明的 `note` 要求，HEARTBEAT.md 的差异显示缺失占位符；该差异不能单独证明文件内容或行为发生变化。
日期信息从环境块和 System Prompt 指引移到独立的 currentDate system-reminder 消息，搜索年份指引改为使用当前月份，官方说明这提升了 Prompt 缓存命中率。官方还报告通过延迟 Zod schema 构造改善启动性能，并修正恢复 Thread 标题和图片尺寸错误提示；这些变化指向 Prompt 缓存、启动初始化与局部交互可靠性。
Hooks、Gateway、Browser、Sandbox 与 Web tools 收紧了 Session 路由、URL 获取、认证和外部内容处理边界；例如 `POST /hooks/agent` 默认拒绝请求覆盖 `sessionKey`，URL 输入加入 allowlist 与数量上限，浏览器和 Web 内容默认按不可信数据处理。这些改动落在 Hook/Gateway 接口、浏览器控制路由、Skill 同步和工具输出路径，降低越权路由与提示注入风险；Cron、Heartbeat 和 Agent 调度也修复了跳过、重复触发、停滞及 Token 统计问题。Runtime Prompt 的相邻 diff 仅显示回复标签使用约束和 `message` 工具可选频道列表变化；Static Prompt 与代码变更样本未提供，官方发布说明用于补充发布范围，不能据此确认未展示的实现细节。
CLI 新增 `claude auth login/status/logout`，并阻止在一个 Claude Code Session 内再次启动 Claude Code；前者扩展认证操作入口，后者为 Session 增加防重入边界。发布说明还记录了多项执行与集成修复，包括 MCP 流式图像崩溃、FileReadTool 读取 FIFO 或大型文件时阻塞，以及 Agent SDK 流式模式下后台任务通知遗漏。Runtime Prompt 仅有探索代码库时使用 Explore Subagent 的建议措辞调整，Tool Schema 未变；Static Prompt 比较不可用，且本 packet 未提供源码变更样本。
模型前缀解析现在保留请求中的 model slug，避免解析过程改写模型引用；Memory phase 1 排除 Developer 消息，并降低 Memory phase 的处理并发，以减少无关输入并改善 consolidation/staging 在负载下的稳定性。发布说明还列出为 Memory files 加入 cwd 的变更，但未提供实现细节，无法进一步判断其存储或隔离语义。
此版本加入实验性、受功能开关控制的 `js_repl` Runtime，可让 JavaScript 状态跨 Tool Call 保留，并支持覆盖 Runtime 路径；同时提供 TUI Memory 更新与丢弃命令，扩展 Memory 读取和指标链路。代码概览也显示 app-server 恢复了 WebSocket 传输并加入 Thread resume 订阅，Sandbox 支持可配置的只读访问策略；这些变化分别影响代码执行、Memory 管理、Thread 恢复和访问控制。Runtime Prompt 的相邻差异仅为 `exec_command` Tool Definition 描述中的空格调整，工具数量与 Tool Schema 未变；Static Prompt 比较不可用。
活动 Turn 期间可并行执行直接 Shell 命令，App Server 增加 steering、实验功能发现、Agent 恢复及通知退订 API；`requirements.toml` 可限制 Web Search 模式并配置网络约束。这些接口与配置契约让客户端能更细致地控制正在运行的任务，并让管理员约束网络能力。Runtime Prompt 新增 Personality 与 Working with the user 规范，强调清晰、务实的协作和按严重程度呈现代码审查结果；Tool Schema 未变。
Bash Tool Schema 移除了内部字段 `_simulatedSedEdit`，契约中不再包含预计算的 sed 编辑结果；这表明该字段不再由当前捕获的 Schema 暴露，但不能据此断定底层编辑行为改变。官方发布说明还列出 Terminal 渲染性能、Session 关闭后进程挂起、致命错误显示、屏幕边界字符丢失和详细 transcript 空行等修复，改善 Terminal 与 Session 收尾时的可观察性和可靠性。
Sandbox 模式现在会阻止写入 `.claude/skills`，heredoc 分隔符解析也得到改进以防止 command smuggling；这两项机制分别约束文件写入和 Bash 命令解析。发布说明还列出 Bash 权限匹配、VS Code Session 恢复、非流式工具间文本保留及 Terminal 滚动和 Tab 补全修复，改善执行与宿主交互的可靠性。Runtime Prompt 的 Bash 与 Task Tool Definition 有局部差异，但工具数量不变；可见差异只包括 Prompt 排版和示例标签修正，不能据此判断发布修复的实现位置。
Gateway 新增 Agent 管理 RPC，Plugin 增加设备配对与节点控制；Cron Tool 的 Tool Schema 加入 `runMode`（`due`/`force`），让调用方可选择调度运行模式。Gateway 修复注入 transcript 写入时的 Pi Session `parentId` 链保留，Agents 则对过大的 Tool 结果预先限幅并在必要时截断，改善压缩后的对话 Memory 恢复与 Context 溢出恢复。发布说明还记录了多项搜索、路由、渠道和存储可靠性修复。
版本修复了启用 /extra-usage 后 /fast 未立即可用的问题，使启用后的命令可用性及时更新。官方说明定位到 /fast 与 /extra-usage 的可用性契约，但未提供实现位置或修复机制细节。Runtime Prompt 仅有版本计费标头变化，Tool Schema 无变化；Static Prompt 比较不可用。
Claude Code 2.1.36 在 System Prompt 中加入 Fast mode 说明，指出它以更快输出使用 Claude Opus 4.6，并可通过 `/fast` 切换；这让 Agent 对模式的理解明确为同一模型的速度选项，而非模型切换。官方发布说明也确认 Fast mode 面向 Opus 4.6。证据未包含实现代码，无法进一步判断切换机制。
Gateway canvas host 与 A2UI assets 现在要求认证，配置安全扫描覆盖 Skill/Plugin 代码，gateway 的 config.get 响应会脱敏凭据；这些改动收紧了资产访问与敏感配置返回边界。Sessions 历史载荷增加上限以降低 Context 溢出风险，Context 溢出时允许多次 compaction 重试；同时扩展模型与 Provider 支持，并加入原生 Voyage AI Memory 支持。Runtime Prompt 的可观察差异仅涉及 IDENTITY.md、USER.md 模板格式和填写说明；Static Prompt 比较不可用，官方代码变更样本未提供。
版本修复了 Bash 权限判定中的条件性绕过：启用 `autoAllowBashIfSandboxed` 时，通过 `sandbox.excludedCommands` 或 `dangerouslyDisableSandbox` 排除 Sandbox 的命令不再绕过 Bash ask permission rule。Agent Teams 设置在不同渲染间变化导致的崩溃也已修复，改善设置切换时的稳定性。Runtime Prompt 的唯一差异是版本标识；没有 Static Prompt 比较数据或代码样本可用于定位实现细节。
Multi-Agent 工作流增加 TeammateIdle、TaskCompleted 两类 Hook 事件，并支持通过 Task(agent_type) 限制可启动的 Subagent 类型；代码层面的对应实现位置未提供，因此无法进一步定位其内部实现。Agent 的 Memory frontmatter 新增 user、project、local 持久化范围，改变了声明持久 Memory 的配置契约。官方说明还记录了 tmux 消息修复、Skill discoverability 和若干 Session、流式请求、Proxy 兼容性改进；Runtime Prompt 的变化只是移除关于 Agent Teams 不可用的说明，Task Tool Schema 未变化。
2.1.32 的官方发布说明列出自动记录与召回 Memory、从选定消息开始部分摘要，以及需显式启用的 Agent teams 研究预览，扩展了 Context 管理和协作方式。发布说明还提到 `--resume` 默认复用上次对话的 `--agent` 值，并修复 heredoc 中 JavaScript 模板字符串导致 Bash Tool 执行中断的问题。Runtime Prompt 的可见差异仅更新 Claude Opus 型号信息，Tool Schema 无增删改；本 packet 未提供 Static Prompt 或代码改动样本，无法从代码层确认这些发布说明所述机制的实现细节。
Steer Mode 现在默认启用：任务运行期间按 Enter 立即发送输入，按 Tab 才将后续输入排队，改变了 Agent 接收用户干预的交互契约。TypeScript SDK 的 `resumeThread()` 参数顺序、模型切换或恢复时的指令选择，以及远端压缩的预估与载荷指令基线都得到修正，分别影响 Session 恢复和 Context 修剪的正确性。
MCP/App Tool 的授权新增 Session 级“允许并记住”，Skill 文件变更可在不重启时被检测；同时加入 Memory API 客户端与本地持久化，为 Thread Memory 摘要提供基础。App-server 动态 Tool 输出可同时携带文本和图像，Linux 增加受门控的 Bubblewrap Sandbox 路径，模型客户端生命周期也改为按 Session 管理，影响授权复用、多模态输出和运行状态归属。另有 `/debug-config`、可配置 `log_dir`、MCP Action 缓存及多项 TUI、云端配置和输入事件可靠性修复。Runtime Prompt 与 Tool Schema 的相邻版本比较未见变化；官方发布说明未提供对应代码位置，Memory 摘要能力在本版本中描述为基础设施支持。
Cron 将隔离任务的投递配置从 `agentTurn` payload 移到顶层 `delivery`，默认以 announce 模式发布摘要，并在 announce 执行期间抑制消息工具；代码发布说明还指出成功后默认删除一次性任务、避免直接发送造成重复投递。这使隔离任务的执行内容与摘要投递策略分离，改变了任务完成后的消息流和保留行为。另有 Telegram 类型清理与消息安全修复，以及多项 Provider、文档和界面更新。Runtime Prompt 显示 Cron 输入契约和 message Tool Schema 有变化；未提供源码样例，具体实现位置无法从本 packet 定位。
执行机制转向统一的 `exec_command` / `write_stdin` Session：前者启动命令并可返回 Session ID，后者向现有 Session 写入输入或轮询输出；代码落点包括工具契约与 `unified_exec`。这让 Agent 能持续交互管理命令进程，发布说明称该能力已在所有非 Windows 平台启用。与此同时，v2 app-server 增加异步 `thread/compact`，WebSocket 增加限流事件；Thread 列表与路径查找、动态工具注入事务和 SQLite 状态库初始化也有相应改动。
Shell 工具现在可并行运行，执行环境注入 `CODEX_THREAD_ID`，让多命令任务提高吞吐，并使脚本和 Skill 能识别当前 Thread。代码变更记录还显示 Git 写入与破坏性命令审批检查得到加固，`$PWD/.agents` 被设为只读；这影响命令授权与 Workspace 写入边界。其他扩展包括从 `~/.agents/skills` 加载个人 Skill、通过 app-server 列出和下载公开远程 Skill，以及 `/plan` 接受参数和粘贴图片。Runtime Prompt 将 `request_user_input` 的可用范围明确为 Plan Mode；该工具没有增删，只修改了说明。
本版扩展配对节点的调用契约，在 `nodes` Tool Schema 中加入 `invoke`、`invokeCommand` 和 `invokeParamsJson`，使 Agent 可通过该工具请求节点执行指定命令。官方发布说明还列出可选 QMD Workspace Memory 后端、Feishu/Lark Plugin、Agents Dashboard 和 Subagent thinking 默认配置；多项认证、访问控制及下载防护修复落在网关、渠道和执行边界。Runtime Prompt diff 显示 Edit Tool 与 read Tool 的必填字段约束被放宽，`memory_get` 的描述移除额外路径来源；Static Prompt 证据不可用，不能据此判断静态资产变化。
退出 Session 时新增续聊提示，告诉用户如何恢复对话；官方发布说明还列出 PDF 过大导致 Session 锁死、启用 Sandbox 时 Bash 误报只读文件系统错误，以及 Plan Mode 配置缺字段后崩溃等修复，涉及 Thread 恢复指引与执行、配置处理路径。另有 Runtime Prompt 中的 Task 限制说明，要求仅在用户明确询问 Agent Teams 或 Agent 间消息传递时提及该计划限制，同时保留普通并行 Subagent 使用；这属于 Prompt 文本变化，工具数量不变。
Read 为 PDF 增加页码范围参数，大型 PDF 可按最多 20 页分段读取，并支持通过轻量引用避免将整份文档直接放入 Context；这让 Agent 能更有界地读取长文档。Session 恢复改为基于 stat 的轻量加载并渐进补全索引，官方说明称拥有大量 Session 的用户内存使用降低 68%。此外，官方发布说明列出 MCP OAuth 凭据、只读 Git 查询、Task 指标及若干可靠性修复；源码实现细节在本 packet 中未提供。
Tools 中新增 `request_user_input`，提供一至三个带选项的问题供 Agent 请求用户输入；Skill 使用规则新增相对路径解析约定，优先相对于 Skill 目录查找脚本等文件。官方发布说明还称 Plan Mode 默认启用、交互指引更新，且 `personality` 配置进入稳定状态并迁移既有设置，指向交互入口和配置契约的变化。Static Prompt 与官方代码概览未提供，发布说明中的实现细节无法从源码样本核对。
System Prompt 新增 Safety 段落，要求 Agent 不追求自我保全、复制、资源获取或扩大权限；遇到指令冲突时暂停并询问，遵循停止、暂停和审计请求。它把安全和人工监督写入主 Prompt 约束，预期影响 Agent 对冲突指令、停止请求及安全措施的处理。发布说明还列出多项安全修复和 Hook、工具执行及 Context 相关更新；这些是发布层面的信息，未附代码变更样本，不能据此确定具体实现位置。
本版本修复了恢复含 `saved_hook_context` 的 Session 时的启动性能问题，行为影响集中在这类 Session 的恢复耗时。Runtime Prompt 的唯一差异是账单头中的版本标记；Tool Schema 没有变化。官方证据未提供实现位置或代码样例，无法进一步定位修复方式。
System Prompt 中的计费头从 `cc_version=2.1.27.f85` 更新为 `cc_version=2.1.28.7a3`，入口仍标记为 `cli`；可观察影响仅限版本标识变化。Tool Schema 无增删改。Static Prompt 和官方发布、代码证据不可用，无法从本 packet 确认其他机制变化。
Runtime Prompt 在 `read` Tool Definition 中补充了用 `offset` 继续读取、直至完整文件读完的操作指引，影响 Agent 处理受截断限制文件时的后续步骤；同时，Workspace 说明明确限定长期 `MEMORY.md` 仅在主 Thread 读取，并区分内部操作与外部操作的确认边界。官方发布说明另列出媒体解析器本地路径提取限制、Subagent 消息路由及多项 Provider、平台和构建修复；这些属于发布说明层面的变化，证据未提供相应源码样本，不能据此补写实现细节。
shell_command 的 Tool Schema 为提权请求补充面向用户的审批问题，并增加可复用的命令前缀规则字段；这使审批请求能同时说明操作目的并表达未来可授权的命令模式。代码与发布说明还显示，Smart Approvals 默认启用且 MCP Tool Call 会触发显式审批，计划输出进入专用 TUI 视图，日志存储转向 SQLite。