セキュリティ脆弱6件、権限管理の不具合まとめて修正。本番環境ユーザーは要アップデート。

## 何が変わったか

- GitHub Org 直下のマーケットプレイスリポジトリをまとめて許可・ブロックできるよう、`strictKnownMarketplaces` および `blockedMarketplaces` マネージド設定にオーナーワイルドカード記法（`"owner/*"`）を追加

- ワークフローエージェント、フォークされたスキル、スラッシュコマンド、または再開したバックグラウンドエージェントが要求した subagent モデルが制限されている場合に警告を追加（親モデルが代わりに実行される）

- クラウドセッション内で `/teleport` ヒントを表示し、ローカルで `claude --teleport <session id>` を実行して継続する方法を案内

- Bash の権限バイパス脆弱性を修正：巧妙に作られたコマンドが権限チェックから自身の一部を隠すことができた

- パーミッション確認ダイアログにおいて、タブや目に見えない Unicode 文字でコマンドをパディングしても、approval dialog から隠蔽できないよう修正

- ワークフロースクリプトが動的 `import()` を使用してワークフローサンドボックスの外でコードを実行できた問題を修正

- エージェント定義の `bypassPermissions` モードが org 側の bypass-permissions disable ポリシーを無視していた権限ギャップを修正

- セッション中に `/cd` を実行した後、セッション再開時に空になる問題を修正

- `vertex_ai/claude-*` や `bedrock/anthropic.claude-*` のようなプロバイダープリフィックス ID で登録された Claude モデルがゲートウェイモデル検索で隠蔽される問題を修正

- Anthropic モデル ID ではない `modelOverrides` キーをセッションの正規モデル ID として扱われていた問題を修正；未知のキーは仕様どおり無視されるようになった

- マネージド設定の修正：サーバー配信設定が、マシンローカルの `managed-settings.json` や MDM プロファイルの env ブロックを無効化しないようになった；admin env はキー単位でマージされるようになった

- Linux 上で `sandbox.filesystem.denyWrite` が作業ディレクトリをカバーしている場合、サンドボックス化されたコマンドが起動に失敗する問題を修正

- フォークされたバックグラウンドエージェントが、再開時にフォークの親プロンプトが rebuild に失敗したとき、セッションの残り全体で "already resuming" 状態にハマる問題を修正

- セッション履歴に不正な diagnostics attachment を含む場合、再開されたセッションが毎ターン失敗するか、インタラクティブアプリが無応答エラー画面に置き去りになる問題を修正

- 異常な `git push` 出力を解析する際のまれなハング問題を修正

- `CLAUDE_CODE_DISABLE_1M_CONTEXT` の動作を変更：固定リスト対象ではなく、すべての Claude モデル（1M ネイティブウィンドウ搭載）を 200K に自動圧縮対象に変更；自動圧縮がセッションを 200K に抑えていない場合、起動時に警告が表示されるようになった

- 自動圧縮の動作を変更：未認識モデル ID のセッションを、想定コンテキストウィンドウ内に保つようになった（増長を防止）；`CLAUDE_CODE_DISABLE_UNKNOWN_MODEL_WINDOW_ENFORCEMENT=1` で従来の挙動に戻すことも可能

- `/review` を `/code-review` のエイリアスに変更。現在の diff または PR をレビュー（`/code-review <level> <pr#>`）；詳細なクラウドレビューは `/code-review ultra` を使用

- `/code-review` の effort level なし呼び出しを変更：最後に指定した level を再利用するようになった；`/code-review high` のように level を入力すれば変更可能