Claude Code publicó el 1 de septiembre la versión 2.1.257, un release de más de cien entradas del que destacan dos cambios que afectan a cualquiera que use la herramienta a diario. El primero es de modelo: claude-fable-5-1 pasa a ser el modelo Fable por defecto. El segundo es de permisos: el modo automático incorpora una regla de Containment Escape que le impide aprobar por su cuenta un conjunto muy concreto de acciones relacionadas con la fuga de credenciales de infraestructura. Van juntos en el mismo release y conviene entenderlos por separado, porque uno cambia lo que pagas y el otro cambia lo que tu agente puede hacer sin preguntarte.
Fable 5.1 entra por defecto, y con él la caché a 0,25 dólares
El modelo llega con un millón de tokens de contexto y una tarifa de 10 dólares por millón de tokens de entrada y 50 de salida, la misma que su predecesor. Lo que cambia de verdad es la lectura de caché, que baja a 0,25 dólares por millón de tokens, un 75% menos. Anthropic cifra el ahorro resultante en torno a un 25% para una carga de trabajo típica y hasta un 45% en trabajo muy agéntico, entendiendo por tal el que es pesado en contexto y en herramientas, donde las lecturas de caché acaban siendo la mayor parte de la factura.
En capacidad, los números que acompañan al lanzamiento son notables en la parte que le toca a Claude Code: 55,8% en Terminal-Bench 4.0 frente al 42,0% de Fable 5, y 73,4% en CursorBench 3.2.0 frente a un 70,5%. Terminal-Bench mide precisamente lo que hace un agente de línea de comandos, así que el salto de casi catorce puntos no es un detalle de marketing.
Hay un matiz operativo que no aparece en el titular y que conviene tener en cuenta antes de mirar la factura: en Claude Code, Fable 5.1 arranca con el esfuerzo en High, mientras que en Cowork lo hace en Medium. Es una decisión razonable para una herramienta de código, pero significa que el ahorro de la caché convive con un consumo por turno mayor del que quizá tenías. Si quieres bajarlo solo para la sesión en curso, la propia 2.1.257 añade la opción s en /effort, igual que ya existía en /model.
💡 El detalle de migración que se pasa por alto
Si tu sesión pasa por un gateway de las apps de Claude, los alias fable y best siguen resolviendo a Fable 5. Es deliberado: los gateways que aún no están configurados para 5.1 rechazan el modelo. Para usar la versión nueva en esos entornos hay que seleccionarla a mano en /model. Quien dé por hecho que «el alias ya apunta al modelo nuevo» estará comparando rendimiento y coste contra el modelo antiguo sin saberlo.
Qué bloquea exactamente la regla de Containment Escape
Para entender el segundo cambio hay que recordar cómo funciona el modo automático. En auto mode no eres tú quien aprueba cada acción: la revisa un segundo modelo, el clasificador, que decide si la acción encaja en lo que se permite por defecto o cae en alguna de las categorías bloqueadas. Esa lista de categorías bloqueadas ha ido creciendo release a release —imprimir una credencial viva en el transcript, abrir un túnel que expone un servicio local a internet, tocar un flag de producción, ejecutar un comando con un flag que desarma una protección como --insecure— y la 2.1.257 le añade una entrada nueva.
La regla de Containment Escape cubre tres cosas concretas que dejan de auto-aprobarse:
- Peticiones de credenciales a los metadatos de la nube. El endpoint de metadatos de una instancia es la vía clásica para conseguir credenciales de rol sin tener ninguna clave: si el agente lo consulta, ya no pasa solo.
- Evasión de egress. Cualquier maniobra para sacar tráfico por una ruta que esquiva los controles de salida del entorno.
- Alcance entre tenants. Acciones que llegan a recursos de otro inquilino de la misma infraestructura.
La excepción está en el propio diseño del modo automático: estas acciones se bloquean salvo que tu entorno las marque como esperadas. Auto mode permite declarar infraestructura de confianza —dominios, buckets, servicios, ámbitos de infraestructura como código— mediante la opción autoMode.environment, y lo que ahí esté declarado deja de tratarse como anomalía. Si administras equipos y tus agentes tienen un motivo legítimo para tocar metadatos de instancia, ese es el sitio donde decirlo, no el prompt.
El patrón de las últimas versiones es claro: auto mode no se relaja, se afina. Cada release le quita al clasificador una categoría que antes despachaba solo.
Merece la pena saber que la lista completa no hay que adivinarla. El comando claude auto-mode defaults imprime todas las reglas por defecto en formato JSON, tanto las bloqueadas como las permitidas. Es la forma más rápida de comprobar si un comportamiento que te está sorprendiendo es una regla nueva o un falso positivo. Y si el clasificador bloquea la misma acción tres veces seguidas, o veinte veces en total durante la sesión, el modo automático se pausa solo y Claude Code vuelve a preguntarte: no te deja en un bucle silencioso de denegaciones.
Un aviso antes de la primera lectura fuera de tus directorios
El mismo release añade un tercer cambio en la misma dirección, más discreto pero probablemente el que más se va a notar en el día a día. Hasta ahora, las lecturas de solo lectura dentro de los directorios de trabajo nunca preguntaban, y fuera de ellos el comportamiento era menos explícito. La 2.1.257 introduce un aviso único, la primera vez que el agente va a leer un fichero fuera de los directorios de trabajo de la sesión, con la opción de bloquear ese tipo de lecturas por completo mediante permissions.blockReadsOutsideWorkingDirectories.
Es una pieza pequeña con una consecuencia grande: la lectura era la operación que se colaba por debajo del radar de los permisos, porque intuitivamente parece inofensiva. No lo es cuando el fichero que se lee está en tu carpeta personal, en un directorio de credenciales o en el proyecto del cliente anterior. Si trabajas con varios clientes en la misma máquina, activar el bloqueo es de las decisiones con mejor relación entre esfuerzo y tranquilidad que puedes tomar hoy.
Qué hacer con este release si trabajas solo
Para un freelance o un equipo pequeño, la traducción práctica de la 2.1.257 son cuatro gestos concretos. Primero, comprobar en /model que realmente estás en Fable 5.1 y no en el alias antiguo, sobre todo si pasas por un gateway corporativo. Segundo, mirar el esfuerzo con el que arranca la sesión antes de lanzar un trabajo largo: High es mejor y también más caro, y /effort s permite bajarlo sin tocar la configuración permanente. Tercero, activar permissions.blockReadsOutsideWorkingDirectories si tu máquina de trabajo es también la máquina donde vive todo lo demás. Y cuarto, ejecutar claude auto-mode defaults una vez y leerlo con calma: son diez minutos que cambian bastante la percepción de qué está aprobando el clasificador en tu nombre cada día.
La lectura de fondo es que Anthropic está separando cada vez más dos cosas que al principio iban juntas: la potencia del modelo y la autonomía que se le concede. Fable 5.1 es claramente más capaz, y en la misma versión que lo estrena hay tres cambios que le recortan margen de maniobra sin supervisión. No es contradictorio, es lo esperable: cuanto mejor ejecuta un agente lo que le pides, más importa acotar hasta dónde puede llegar mientras lo hace.
