El 1 de octubre de 2026 Anthropic presentó los mods de Claude Code: pequeñas funciones en JavaScript o TypeScript, empaquetadas como plugin, que se enganchan a los eventos internos del agente. Según el anuncio, un mod puede reescribir un prompt, añadir interfaz, sustituir una función integrada o aprobar o denegar una petición de permiso. Funcionan en la CLI y en la pestaña Code de la app de escritorio, requieren la versión 2.1.287 o posterior y, según la documentación, vienen activados por defecto.
Lo que interesa a quien usa Claude Code está en la
letra pequeña de esa documentación: un mod no está en un sandbox y, fuera de
los planes Team y Enterprise y de las máquinas con ajustes gestionados,
puede aprobar una llamada que tu regla deny rechaza.
Qué es un mod, y en qué se diferencia de un hook de siempre
Hasta ahora, personalizar Claude Code por fuera era ejecutar un comando de
shell o una petición HTTP en un evento (los hooks de settings.json). Un mod
es distinto: su código corre dentro del proceso de Claude Code. Por eso,
según la documentación, puede dibujar paneles, sustituir el diálogo de
preguntas, retener una llamada a una herramienta mientras te pregunta algo o
enviar una petición a otro modelo.
Anthropic ya ha convertido algunas funciones propias en mods: /diff, la
carga de AGENTS.md y la telemetría. Y publica ejemplos en su repositorio
claude-code-playground, «tal cual, sin soporte»; uno de ellos,
blast-radius, retiene comandos peligrosos como rm -rf y te deja confirmar.
O sea, un mod también puede ser una protección.
Qué alcanza un mod, según Anthropic
La propia documentación enumera lo que un mod puede hacer una vez cargado:
- leer y escribir archivos en cualquier sitio al que llegue tu usuario, lanzar programas y hacer peticiones de red;
- leer variables de entorno y archivos de ajustes, incluida una clave de API;
- ver cada prompt que envías y cada llamada a herramienta de Claude;
- reescribirlos, o enviar un prompt «como si lo hubieras escrito tú»;
- aprobar una llamada antes de que se te pregunte;
- gastar tu cuota o tu clave de API llamando a un modelo.
Y una frase que conviene no leer de pasada: si activas el sandbox de Claude Code, este aísla los comandos Bash que ejecuta Claude, pero un proceso que arranca un mod corre fuera de él. Lo que sí no puede un mod es restilizar el diálogo de permisos: no puede cambiar lo que ese diálogo te muestra.
Dónde aguantan tus reglas y dónde no
Aquí está la parte que cambia una decisión. La página de permisos de Anthropic separa los casos:
| Regla o control | ¿Puede un mod instalado saltárselo? | Quién lo dice |
|---|---|---|
Regla ask (te preguntaría) | Sí, puede aprobar la llamada | Documentación de permisos de Anthropic |
Bloqueo de un hook PreToolUse | Sí, salvo que el hook esté en ajustes gestionados | Documentación de permisos |
| Clasificador del modo auto | Una llamada que el mod aprueba se ejecuta sin pasar por él | Documentación de permisos |
Regla deny con ajustes gestionados o plan Team/Enterprise | No, por defecto; la organización puede cambiarlo | Documentación de permisos y de administración |
Regla deny en cualquier otro caso | Sí, el mod puede aprobar la llamada | Documentación de permisos |
El motivo es un mod integrado llamado sec-default, un guardián que se carga
antes que los mods de usuario. Según la
guía de administración,
solo se carga si la máquina tiene ajustes gestionados o si inicias sesión con
un plan Team o Enterprise. Quien entra con una clave de API, o a través de
Bedrock, Google Cloud o Foundry, lo tiene solo con ajustes gestionados.
Lectura nuestra (la documentación no menciona los planes individuales por
su nombre): si usas Claude Code con una suscripción personal, y la ficha lo
sitúa en los planes Pro y Max, tu deny no te
protege de un mod que decida aprobar esa llamada.
Dato oficial, de la guía de administración: aun donde el guardián sí carga,
no cubre lo que el propio mod hace con sus llamadas $.fs y $.process. Con
Read(.env) denegado, un mod puede leer ese archivo por su cuenta.
Quién firma cada cosa
| Afirmación | Quién la sostiene | Grado |
|---|---|---|
| Existen los mods, desde el 1 de octubre de 2026, v2.1.287 o posterior | Anthropic, anuncio y documentación | Dato oficial |
| No están en sandbox y corren con tus permisos | Anthropic, documentación | Dato oficial |
Un mod puede aprobar lo que un deny rechaza fuera de planes de empresa o ajustes gestionados | Anthropic, página de permisos | Dato oficial |
| Esto afecta a las suscripciones personales | Comparatium, por exclusión de lo que dice la documentación | Lectura nuestra |
| Que los mods sean seguros o inseguros en la práctica | Nadie: no hemos visto verificación independiente | Sin contrastar |
Comparatium no ha instalado ningún mod ni ha probado estas protecciones. La cobertura que hemos visto fuera de Anthropic repite su documentación; ninguna aporta una comprobación propia.
Qué cambia para ti
Antes de instalar un mod, trátalo como cualquier programa que ejecutas en tu máquina. La documentación da herramientas concretas:
- Mira qué hace sin ejecutarlo. Clona el plugin y lanza
claude plugin validate ./nombre-del-mod. La salida lista enhooks:los eventos que recibe y encalls:lo que pide hacer. Desconfía de$.process.run,$.fs.write,$.http.fetch,$.env.geto$.settings.read. Y de untool.checkenhooks:: significa que puede aprobar o denegar llamadas antes del diálogo. - Sabe qué tienes cargado.
/pluginmuestra una línea tipo1 mod active · nombre. Para apagar uno, desactívalo en la pestaña Installed; para ninguno en una sesión, arranca con--safe-mode; para ninguno nunca,"disableAllHooks": trueen~/.claude/settings.json, que también detiene tus hooks de ajustes y la línea de estado personalizada. - Cuidado con las actualizaciones. Según la documentación de plugins, si el marketplace tiene la actualización automática activada, Claude Code actualiza el plugin en segundo plano: los archivos que revisaste pueden cambiar.
- Piensa también en CI y scripts. Los hooks de un mod corren además en
claude -py en el Agent SDK, aunque allí no haya nada que dibujar. - Si gestionas un equipo,
allowManagedModsOnlyen la configuración del guardián bloquea todo mod que traiga un usuario, incluido el que Claude escriba durante una sesión.
Si comparas agentes de desarrollo o de agentes,
añade esta pregunta a la lista: qué código de terceros puede ejecutar la
herramienta dentro de sí misma y qué controles te quedan sobre él. Un matiz a
favor de Anthropic: instalar un mod desde un marketplace exige un paso
consciente (/plugin install).
Lo que seguimos sin saber
- Si Anthropic extenderá el guardián
sec-defaulta las suscripciones personales. Hoy la documentación no lo dice. - Cómo se revisarán los mods del directorio de Claude: la documentación de plugins avisa de que Anthropic no controla lo que incluyen ni puede verificar que no cambien.
- Si un mod que Claude escribe durante tu sesión pasa por algún control adicional antes de cargarse en una cuenta personal.
- Si habrá incidentes reales con mods maliciosos o defectuosos: hoy solo conocemos el diseño y lo que dice la documentación, no un caso concreto.
Fuentes. Anthropic, «Customize Claude Code with mods in TypeScript» (1 de octubre de 2026) · Mods overview, Manage mods for your organization, Configure permissions y Plugin security and trust, documentación de Claude Code leída el 4 de octubre de 2026.
Comparatium no ha probado los mods de Claude Code: este artículo resume la documentación de Anthropic, separa lo que ella afirma de lo que deducimos nosotros y remite a la ficha de Claude Code.
[executed on device: v2202609411804513589 (456e65a6-cb67-4838-b5b0-bf7c4ee16328)]
