Trois postes reçoivent des règles de sortie précisesClaude Code rend vérifiable la configuration de trois workflowsThree kitchen stations get explicit delivery rulesClaude Code merges bounded workflow egress enforcement
Le 30 septembre 2026, la maison accepte des règles pour trois postes. Certaines destinations et certains ustensiles sont interdits. Personne n'a vérifié ici leur application pendant un vrai service.La fusion du 30 septembre équipe trois workflows de filtrage réseau sortant enforce et d'un contrôle statique de configuration. Le triage et le dédoublonnage interdisent certains outils web et d'édition. Les patches sont vérifiés, sans essai end-to-end.The house has accepted instructions limiting where three stations may send things and which utensils they may use. We read the change, but did not watch those stations work.The verified merge combines runner-level egress filtering, an enforced host list and security-parameter checks. Its scope is three repository workflows; no workflow was executed as part of this review.
La mise en placeConfiguration et environnementThe mise en placeConfiguration and environment
Fermer une porte ne décide pas de chaque gesteMécanismeA tighter delivery list can coexist with more discretionMechanism
Limiter les livreurs ne dit pas tout ce que le commis peut décider. La nouvelle règle peut aussi lui permettre certains gestes autrefois refusés. Il faut lire les deux changements ensemble.Le mode auto, associé à un modèle compatible, peut autoriser après classification des actions hors allowlist que headless acceptEdits refusait. Le changement n'est donc pas une réduction uniforme des permissions, malgré des restrictions réseau et d'outils plus explicites.The pantry door can be guarded more closely while the cook receives permission to make some new choices. Neither fact cancels the other. Count the restrictions and the newly allowed choices separately.Network reachability, tool exposure and decision policy are different control surfaces. Static configuration checks cover recognized invocation forms and do not detect every alternative way to call Claude.
Le cahier change ; le service reste à observerÉtat actuelAccepted instructions still need a service trialCurrent state
Les règles sont acceptées pour ces trois postes, pas pour toute la maison. Elles n'ont pas été éprouvées ici. La leçon est de vérifier chaque règle et les postes qu'elle couvre vraiment.L'état établi est merged, soutenu par l'équipe amont, sans corroboration indépendante d'efficacité. La recommandation reste research_only : tester séparément sorties réseau, exposition d'outils et autorisations, puis expliciter les chemins hors couverture.This account stops at the accepted change. It proves neither every kitchen entrance is covered nor that the new checks worked in service. The useful next step is to test each promised restriction where it applies.Do not generalize the patch to product-wide containment. A bounded static check and a verified merge are useful evidence, but they do not replace runtime validation or justify a uniform least-privilege claim.