- Claudeův kód 2.1.287 dorazil 1. října s Claude Mods, který umožňuje pluginům JavaScriptu a TypeScriptu propojit se s výzvami, voláními nástrojů, oprávněními a rozhraním.
- Mody se dodávají jako pluginy a běží s oprávněními uživatele; nejsou uzavřeny v sandboxu a mají přístup k souborům, procesům, síťovým požadavkům a tajným klíčům, jako jsou klíče API.
- Mezi bezpečnostní ovládací prvky patří pořadí načítání, výchozí nastavení sec pro Team a Enterprise nebo spravované počítače, allowManagedModsOnly, validate pluginu claude, --safe-mode a disableAllHooks.
- Mezi ukázkové mody Anthropic patří TokenWeather, Blast Radius a Replay Theater, zatímco oficiální funkce, jako je /diff a podpora AGENTS.md, jsou již založeny na modech.
Společnost Anthropic přidala do verze Claude Code 2.1.287 , která se 1. října dostala do npm, funkci Claude Mods. Tato funkce umožňuje pluginům vytvořeným pomocí JavaScriptu nebo TypeScriptu připojit se k interním událostem v kódovacím agentu, takže mohou sledovat, co se děje, a měnit výsledek.
Společnost popisuje mody jako hlubší vrstvu než dřívější možnosti přizpůsobení. Instalují se jako pluginy a mají fungovat jak v rozhraní příkazového řádku, tak v desktopové aplikaci. Dokumentace společnosti Anthropic varuje, že mody běží s oprávněními uživatele , což tuto funkci staví do centra širší debaty o rozšiřitelnosti, důvěře a kontrole.
Co mohou mody změnit v Claude Code
Mod je řízen obslužnými rutinami událostí. Claude Code generuje události, když volá nástroj, obdrží výzvu, požádá o povolení nebo překreslí část obrazovky. Obslužná rutina může událost pozorovat, upravit ji nebo ji převzít , dle dokumentace. To dává autorům možnost přepsat výzvu dříve, než dosáhne modelu, blokovat nebo přepsat volání nástroje, zpracovávat žádosti o povolení, nahrazovat prvky rozhraní nebo přidávat nové funkce.
Vývojáři již měli způsoby, jak si nástroj přizpůsobit: soubory nastavení, trvalé instrukce v CLAUDE.md, hooky, MCP servery, stavové řádky a styly výstupu. Tyto metody mohly ovlivnit instrukce, oprávnění a dostupné nástroje, ale nemohly nahradit vestavěné funkce ani změnit tvar rozhraní. Modifikace jsou navrženy tak, aby šly ještě dál tím, že se nacházejí na stejné úrovni událostí, která rozhoduje o tom, jak se výzvy, výstup nástrojů a oprávnění pohybují systémem.
Mechanismus byl poprvé veřejně diskutován na GitHubu začátkem září pod názvem function hooks. Anthropic později myšlenku přejmenoval na Claude Mods, přičemž function hooks ponechal jako technický základ. Mody jsou ve výchozím nastavení povoleny ve verzi 2.1.287 a novějších a jejich kód zůstává aktivní po celou dobu relace, což jim umožňuje pamatovat si stav mezi událostmi a podporovat aktivní panely, příkazy, procesy nebo nástroje vystavené modelu.
Společnost Anthropic již tuto architekturu používá pro některé své vlastní projekty. Panel /diff a podpora AGENTS.md jsou popsány jako moduly založené na modifikacích a jejich zdrojový kód byl publikován v repozitáři Claude Code. Funkce /diff je nyní dodávána jako modifikace, kterou lze deaktivovat nebo nahradit. Společnost uvedla, že plánuje postupně přesunout do této vrstvy více vestavěných funkcí, což poukazuje na menší jádro, které může ekosystém modifikovat.
Boris Černý, tvůrce Claude Code, tuto změnu zasadil o individuální pracovní postupy. Na X uvedl, že lidé přistupují k práci odlišně, takže není důvod, aby každý uživatel měl s agentem stejnou zkušenost. Jeho popis představuje mody jako způsob, jak změnit vzhled i chování pomocí jednoduchého požadavku a poté tyto změny zabalit jako pluginy, které si ostatní mohou nainstalovat. Addy Osmani, člen technického týmu Anthropic, se v blogovém příspěvku vyjádřil k podobnému bodu: mody umožňují vývojářům přizpůsobit nástroj tak, aby odpovídal jejich způsobu fungování, spíše než aby akceptovali jedno pevné nastavení.
Bezpečnostní hranice, sandbox a výzvy k zadání oprávnění
Nejcitlivější částí spuštění je přístup. Anthropic uvádí, že mody nejsou v sandboxu. Pokud je sandbox zapnutý, izoluje příkazy Bash, které Claude spouští, ale proces spuštěný moderátorem běží mimo tuto izolaci . Modér může číst a zapisovat soubory, spouštět procesy a provádět síťové požadavky. Může také kontrolovat proměnné prostředí a soubory nastavení, včetně klíče API uloženého v obou umístěních. Dokumentace říká uživatelům, aby instalovat mody pouze od autorů a tržišť, kterým důvěřují.
Anthropic jasně vymezuje jednu hranici. Moderátor může změnit styl velké části rozhraní Claude Code, ale nemůže změnit výzvu k udělení oprávnění ani to, co se v této výzvě zobrazuje. Schvalovací dialog zůstává vlastním dialogem Claude Code , bez ohledu na to, kolik okolního uživatelského rozhraní moderátor překreslí. Zároveň moderátor, který může schvalovat volání nástrojů, může schválit akci, kterou by normální pravidlo dotazu zpochybňovalo, nebo akci, kterou zablokoval hook PreToolUse uživatele.
Pokud více modů naváže stejnou událost, záleží na pořadí načítání. Spouštějí se v pořadí, v jakém se načtou, a první načtený mod vidí událost jako první, zatímco konečný výsledek obdrží jako poslední. V tarifech Team a Enterprise a na jakémkoli počítači se spravovaným nastavením se před mody nainstalovanými uživatelem načte mod vytvořený společností Anthropic s názvem sec-default . Jeho účelem je zastavit rizikové chování, jako je přepsání pravidel pro odepření přístupu, a Anthropic uvádí, že jeho zdroj lze zkontrolovat. Administrátoři mohou místo toho nejprve načíst své vlastní mody, ale společnost jim doporučuje, aby do tohoto seznamu zahrnuli i sec-default, aby si zachovali jeho omezení.
Mimo tato chráněná prostředí mohou moderátoři přepsat některá rozhodnutí o oprávněních. Trh s pluginy také podléhá kontrolám: vlastníci Team a Enterprise jej konfigurují v administrátorské konzoli, zatímco administrátoři na plánech Claude API a API třetích stran odesílají spravovaná nastavení do počítačů. To mění otázku zavádění na otázku správy: které mody se načtou jako první a kdo o jejich pořadí rozhoduje >.
Instalace, ověřování a vypínání modů
Mody jsou distribuovány stejně jako pluginy a lze je sdílet prostřednictvím tržišť s pluginy, včetně repozitářů GitHub. Před načtením mohou administrátoři nebo uživatelé spustit příkaz claude plugin validate v adresáři pluginu. Příkaz vypíše události, které mod zpracovává, a akce, které požaduje, jako je čtení souboru nebo provedení síťového požadavku, bez spuštění kódu. Anthropic doporučuje kontrolovat hooky modu před instalací, nikoli po ní.
Existuje několik způsobů, jak tuto funkci zakázat. Jeden plugin lze zakázat nebo odinstalovat na kartě Nainstalované v souboru /plugin. Spuštění relace pomocí –safe-mode vypne mody spolu s dalšími úpravami. Nastavení disableAllHooks na true v souboru ~/.claude/settings.json poskytuje další přepínač. Organizace mají samostatný ovládací prvek allowManagedModsOnly, který zabraňuje načítání modů nainstalovaných uživatelem, zatímco zbytek každého pluginu, včetně dovedností, příkazů, agentů a MCP serverů, nadále funguje.
Dostupnost verzí není jednotná. Mody vyžadují Claude Code 2.1.287 nebo novější a jsou tam ve výchozím nastavení zapnuté, ale 2. října tag stable v registru npm stále ukazoval na 2.1.285. Tagy latest a next ukazovaly na 2.1.287, což znamená, že počítač, který sleduje pouze stabilní kanál, ještě nemusí mít mody. Starší verze 2.1.286 dorazila 30. září s opravami souvisejícími s tajnou redakcí.
Mody se spouštějí všude, kde relace načte plugin. To zahrnuje panel chatu rozšíření VS Code, claude -p, Agent SDK a cloudovou relaci pro plugin, který ji dosáhne. Pouze terminál a karta Kód v desktopové aplikaci vykreslují panely a pruhy modu. Relace WSL v desktopové aplikaci nevykresluje ani jedno, protože tam pluginy nejsou k dispozici. Předtím, než se předpokládá, že je funkce aktivní, je proto nutné zkontrolovat skutečný kanál sestavení a instalace .
Příklady modů a rané experimenty
Anthropic publikoval tři ukázkové mody ve svém repozitáři claude-code-playground a sdílel je tak, jak jsou, bez podpory. TokenWeather vykresluje kontextové okno s předpovědí nad výzvou. Přechází z Clear na 18 procentech okna s 200 000 tokeny na Showers na 67 procentech a Storm na 81 procentech, přičemž také zobrazuje nedávné použití a počet tokenů přidaných v posledním kole. Blast Radius obsahuje riskantní příkaz shellu, jako je rm -rf nebo force push, a ukazuje, co by příkaz změnil. Replay Theater přidává příkaz /replay, který prochází úpravami souborů, které Claude provedl v předchozím kole, uvnitř ukotveného panelu.
Tyto příklady běží se stejnými uživatelskými oprávněními jako jakýkoli jiný mod, a proto dokumentace opakuje varování před instalací, aby se hooky zkontrolovaly. Uživatelé začali experimentovat během několika hodin od oznámení. Jeden vývojář vytvořil mod pro předávání přihlašovacích údajů Claudeovi, aniž by se základní tajný kód zanechal v historii konverzace. Mezi další nápady patří živé zobrazení počtu volání nástrojů, uplynulého času a spotřeby tokenů, následované shrnutím po ukončení úlohy.
Existuje také možnost samomodifikace. Uživatel může požádat Clauda Codea o vytvoření modifikace a agent může napsat TypeScript, nainstalovat plugin a znovu jej načíst za chodu v rámci stejné relace. Nástroj tak může v rámci běžného pracovního postupu přepsat některá pravidla, podle kterých funguje. Pro týmy pro dodržování předpisů a kontrolu to posouvá cíl auditu: relevantním artefaktem není jen to, co vývojář nasadil, ale také to, co model vytvořil a spustil za běhu.
U podnikových implementací si aktivace pluginů zaslouží samostatný krok schválení. Týmy by měly zaznamenat verzi pluginu, jeho oprávnění, kdo jej povolil a jak jej deaktivovat. Oznámení o spuštění neobsahuje nezávislé bezpečnostní posouzení, audit, údaje o přijetí nebo instalaci ani ceny. Jedná se také o příspěvek o produktu dodavatele a nehlásí zranitelnost ani incident. Absence těchto podrobností znamená, že organizace musí ověřit modifikace podle vlastních zásad, procesů sledovatelnosti a správy změn.
Dohromady mody Claude Code proměňují pluginy v rozšiřující vrstvu, která může upravovat výzvy, volání nástrojů, prvky rozhraní a rozhodování o oprávněních, a to i při spuštění s vlastním přístupem uživatele a mimo sandbox Bash. Ochranná opatření závisí na důvěře, validaci, pořadí načítání a podnikových kontrolách, jako jsou sec-default a allowManagedModsOnly. Protože stabilní tag npm stále zaostával na verzi 2.1.285 k 2. říjnu, měly by týmy ověřit skutečné sestavení, než budou předpokládat, že jsou mody k dispozici. Praktickou otázkou není ani tak to, zda jsou mody užitečné, jako spíše to, kdo je může vytvářet, které se načtou jako první a jak se jejich změny kontrolují.
