Claude Mods lander: i agentprosessen, av som standard

Claude Mods lander nå i Claude Code. Det er ikke en ny frontiermodell. Det er TypeScript-plugin som kjører inne i selve agentprosessen.

For CIO og CISO er skillet det som teller. En klassisk shell-hook starter et eget program. En mod er en funksjon i Claude Code. Den kan tegne over prompten, åpne ruter ved siden av transkriptet, skrive om verktøykall, starte agenter og røre vertsmaskinen. Null tokens. Boris Cherny, som leder Claude Code hos Anthropic, skrev det 14. september: Mods lander nå.

Det er tidlig tilgang. Ikke GA. Changelog for 2.1.271 og 2.1.272 nevner det ikke som ferdig produkt. Uten CLAUDE_CODE_ENABLE_FUNCTION_HOOKS=1 lastes ingenting.

Hva som faktisk lander

Primærkunngjøringen er Chernys X-post 14. september kl. 17:30 UTC. Den peker på GitHub-saken anthropics/claude-code#91870, åpnet 3. september som Function Hooks. 9. september fikk funksjonen produktnavnet Claude Mods. En mod er et plugin som bruker function hooks. Ingenting annet.

Kildekoden for tre innebygde mods ligger i repositoriet: sec-default, diff og telemetry. De bygges inn i binærfilen. API-et kan endres mellom utgaver uten varsel. De står ikke i marketplace. Kopiene som gjelder, er de som allerede ligger i din Claude Code.

Aktivering er ett miljøflagg: CLAUDE_CODE_ENABLE_FUNCTION_HOOKS=1 claude, eller samme nøkkel i ~/.claude/settings.json. Sett det globalt, og hooks-modulen i hvert installert plugin som har en, lastes.

Hva en mod får lov til

Kontrakten er register(on, options). Hendelsene fanges som funksjoner ($, e, next). $ er eneste kanal for bivirkninger. Rekkefølge er nesting, som Express eller Koa: den som registreres først, kan wrappe alt under.

Anthropics egne klipp i saken viser fire trekk: en hook som funksjon med typer og LSP, en hook som sier nei, plugin som tegner i grensesnittet, og admin som tar affordances ut av $ slik at plugin under ikke kan kalle dem.

cc-arcade, som Cherny trakk frem, tegner Tetris og sju andre spill over prompten mens Claude jobber. Null tokens. turn.complete pauser spillet. tool.call mater et kjæledyr. $.store lagrer poeng. Det er en demo. Den viser at UI og verktøykall sitter i samme prosess.

Organisasjonens sete

sec-default er sikkerhetsstandarden for Team og Enterprise, og for maskiner med managed settings. Den sitter ytterst i prepend-laget, med mindre organisasjonen setter prependPlugins selv. Da må sec-default@builtin navngis eksplisitt, eller den er borte.

Den legger ikke til egen policy. Den holder organisasjonens klassiske hooks, managed CLAUDE.md, innstillinger og verktøypolicy utenfor rekkevidde for plugin personen installerer. Ulæsbar policy telles som policy i kraft. Fail closed.

Den slipper gjennom prompt.submit, tool.call, fs., http.fetch, process.run, mcp.call og session.. Det er bevisst. Admin-kontrollen ligger i å fjerne affordances fra $ for lagene under, ikke i at sec-default stenger alt.

Fotavtrykket i villmarken

Et uavhengig nattlig søk mot Claude Code 2.1.272 15. september fant 31 mods i 92 kandidatrepo. 14 kjører vertprosesser. 4 skriver filer. 7 leser filer. 4 når nettverket. 13 ser hvert verktøykall. 11 ser hver prompt. 12 tegner og husker (L0). 13 skriver eller kjører (L2). 4 er L3 nettverk.

Det er ikke Anthropics tall. Det er claude plugin validate før noen mod-kode kjører. For CISO er poenget at fotavtrykket finnes, og at globalt flagg laster alt som har en hooks-modul.

Blant sikkerhetsmoddene: secret-redactor bytter hemmeligheter, e-post og IP mot plassholdere før modellen leser, og setter dem tilbake inn i verktøykall. honmoon-redact gjør det samme for Read, Bash og Grep. kb-settings-guard nekter delegert agent å skrive Claude-innstillinger i repoet.

2.1.269, samme uke, rettet at plugin-arkiv trukket ut for en økt var lesbare for andre lokale brukere, at utpakkede filer beholdt world-writable-bit, og at gamle filer overlevde ny utpakking. Det er harness-risiko, ikke modellrisiko.

Hva dette ikke er

Changelog 2.1.272 15. september er feilretting. 2.1.271 14. september har fast mode i Remote, per-command allowed_domains i auto mode med sandbox, og omitClaudeMd for subagenter. Mods står ikke der.

Function hooks erstatter ikke managed policy. Policyfiler lastes fortsatt. Subagenter kan kjøre uten brukerens CLAUDE.md. Organisasjonens filer lastes likevel.

API-et er early access. Anthropic skrev 9. september at de fortsatt itererer. Community-katalogen gjentar: uten flagget lastes ingenting, og API-et kan knekke mellom utgaver.

Hva ledere bør gjøre

Ikke slå på globalt flagg i Team eller Enterprise uten inventar. Be om at prependPlugins navngir sec-default@builtin. Be om at plugin-install går gjennom --json og --accept-command med sha256, som 2.1.271 la inn. Be om at allowedMcpServers er satt, tom liste inkludert, slik at user-tier tool.register nektes.

Be om fotavtrykk før installasjon: hendelser og $-kall fra claude plugin validate. 14 av 31 kjører vertprosesser. Det er ikke Tetris som er saken. Det er at Tetris og et hemmelighetsfilter bruker samme dør.

Kilder og medier

Primærkilde: https://x.com/bcherny/status/2099551291601248485 (Boris Cherny / Anthropic, 14. september 2026). Teknisk kilde: https://github.com/anthropics/claude-code/issues/91870 Innebygde mods: https://github.com/anthropics/claude-code/tree/main/mods Changelog: https://code.claude.com/docs/en/changelog Fotavtrykk (uavhengig katalog, 15. september): https://github.com/karanb192/awesome-claude-code-mods Thumbnail: OpenAI Image 2 / hogby.ai