Modo restrito (--restricted): Claude Code sem execução de código

A v2.1.248 (27 de agosto) adicionou a flag --restricted e a variável de ambiente CLAUDE_CODE_RESTRICTED=1. Numa sessão restrita, ferramentas de execução de comando ou código (Bash e afins) e o WebFetch somem por completo. As ferramentas de arquivo continuam disponíveis, mas presas ao diretório de trabalho atual — nada de ler ou escrever fora dali. E bypassPermissions é recusado sem exceção: não existe combinação de flags que devolva o modo totalmente autônomo dentro de uma sessão restrita.

O detalhe que fecha a brecha mais sutil: settings de usuário, projeto e locais simplesmente não carregam nesse modo. Isso significa que um repositório que você acabou de clonar não pode ter um .claude escondido concedendo permissões extras ou disparando hooks por conta própria — a sessão roda isolada da configuração local desde o início.

Por que importa

É uma alternativa mais estreita ao --dangerously-skip-permissions, para o caso oposto: quando você quer um "trabalhador de texto e arquivo" que fisicamente não consegue rodar código, não uma assistência que pede permissão para tudo perigoso. Serve bem para revisar ou reescrever conteúdo num repositório que você não confia, ou para automações que só devem tocar arquivos, nunca executar nada.