摘要： Claude Code 在 6 月 29 日推出 v2.1.196，新增組織預設模型，並修補惡意儲存庫自我核准 MCP 伺服器的信任邊界問題。管理員可設定組織或角色預設值，未受信任工作區的伺服器會回到待核准狀態。同一波更新也改善權限稽核、MCP 重試、串流穩定性、背景作業與遙測設定。
Anthropic 的命令列編碼代理 Claude Code 在 6 月 29 日推出 v2.1.196，為這波密集更新畫下句點：自 6 月 22 日的 v2.1.186 起算，八天裡接連交出七個版本，方向一目了然——企業治理與 MCP 安全。
兩項變動尤其關鍵：一是組織管理員能直接在組織控制台指定預設模型；另一項屬於補強信任邊界的安全修正——儲存庫內設定檔「自我核准」的 .mcp.json MCP 伺服器，從此不會再被 claude mcp list 啟動。
給企業的治理工具：預設模型加上使用限制
組織預設模型（organization default models）是 v2.1.196 帶來的新能力。管理員在組織控制台設定完成後，凡是自己沒挑過模型的使用者，執行 /model 就會看到「Org default」或「Role default」。再疊上角色層級，各團隊的預設模型便能各就各位，企業不必繼續依賴口頭約定。
限制的那一半到位得更早：6 月 23 日推出的 v2.1.187 已加入組織層級的模型限制，模型選擇器、--model、/model 與 ANTHROPIC_MODEL 環境變數全在約束範圍內，選中被禁用的模型時會出現「restricted by your organization’s settings」的訊息。預設值搭配限制，治理便形成完整迴路——把對的模型交給對的角色，同時堵住繞道的路。
MCP 信任邊界的修補
v2.1.196 的安全修正對準一個具體攻擊手法：惡意儲存庫利用自家 .claude/settings.json，搶先核准 .mcp.json 裡定義的 MCP 伺服器。修補之後，claude mcp list 與 get 都不會再啟動這種「自我核准」的伺服器；尚未受信任的工作區會先顯示待核准狀態，最終決定權交回使用者手上。
同一版還有一項貼近日常的 MCP OAuth 修正：以往未指定 scope 時，程式會把支援範圍清單整份都要一遍，遇上 GitLab self-hosted 這類企業 IdP 就以 invalid_scope 失敗收場，這個問題現已解決。
連線可靠性同步獲得強化：工具呼叫回傳 401/403 時，v2.1.193 的 headersHelper 會自行重新驗證並重連；碰到暫時性網路錯誤，v2.1.191 會替能力探索（如 tools/list）與 OAuth 請求自動重試；v2.1.187 則終結遠端 MCP 呼叫無聲卡住五分鐘的情況，改為逾時並回報錯誤。
維運團隊直接受惠的其餘更新
效能方面，v2.1.191 讓串流回應期間的 CPU 用量下降約 37%。v2.1.196 將串流閒置看門狗改為預設開啟：串流連續五分鐘沒有任何事件，就直接中止並重試，不會再無限期掛著。背景作業也更耐得住中斷——長時間命令與工作流即使遭遇停止、重啟或更新仍能存活；Windows 的背景 shell 從直接砍掉改成交接；遭 daemon 重啟打斷的背景代理，則會自動從中斷處接續。
成本這頭同樣有成績：/code-review 把五個清理型 finder 合併為一個，token 用量大約省下 25%。
升級前建議先確認的兩點
第一點關於遙測。v2.1.193 新增 claude_code.assistant_response 這個 OpenTelemetry 事件，內容帶有模型的回應文字，預設行為跟著 OTEL_LOG_USER_PROMPTS 走：原本就上傳提示內容的部署，升級後將開始收到回應內容；若只想記錄 prompt，把 OTEL_LOG_ASSISTANT_RESPONSES=0 設下去即可。
第二點關於 Remote Control。從 v2.1.196 起，只要 ANTHROPIC_BASE_URL 指向非 Anthropic 主機，Remote Control 就會停用，做法與 Bedrock、Vertex 一致。自行架設閘道的團隊，請先確認沒有任何工作流依賴這條通道。