[BUG] CCR 新容器 CERT_SIGNATURE_FAILURE：新 Session 启动时 TLS 握手失败，容器镜像 CA 证书问题

Preflight Checklist

• [x] I have searched existing issues and this hasn't been reported yet
• [x] This is a single bug report (please file separate reports for different bugs)
• [x] I am using the latest version of Claude Code

What's Wrong?

a## 问题描述

每次启动新的 CCR（Claude Code Remote）Session 时，出现 CERT_SIGNATURE_FAILURE 错误，TLS 握手阶段即失败，无法连接到 api.anthropic.com。

复现步骤

1. 启动一个新的 Claude Code Remote Session（Cowork 或 Code 均复现）
2. 2. 新容器尝试连接 api.anthropic.com 时报错
3. 3. 错误发生在 TLS 握手阶段（TCP 连接之后、HTTP 请求之前）

错误信息

CERT_SIGNATURE_FAILURE — SSL 证书签名验证失败

分析

已排除以下原因：

• 用户本地网络/防火墙/VPN：换了另一台电脑复现相同错误，说明与客户端无关
• - 账号封禁：错误发生在 TLS 握手阶段（第 2 步），账号层面的 ban 会在第 4 步以 HTTP 403/401 形式出现
• - - 用户侧网络策略：CLAUDE_CODE_PROXY_RESOLVES_HOSTS=true 走的是 Anthropic 自己的代理，无自定义出口代理配置

根因推断

SSL 错误发生在容器 → Egress 代理 → api.anthropic.com 这一链路，完全在 Anthropic 基础设施内部。推测是近期容器镜像更新导致 CA 证书配置异常（CA 轮换后新镜像未正确更新证书）。

环境信息

• ANT_IMAGE_REPOSITORY=sandbox-ccr-default（默认镜像，无自定义网络策略）
• - CLAUDE_CODE_PROXY_RESOLVES_HOSTS=true
• - - CCR_TEST_GITPROXY=1
• - - - 已验证：旧 Session（容器在 CA 轮换前启动）可正常使用；新 Session 均失败
• - - - - 两台不同电脑、不同网络环境，复现结果完全相同

期望行为

新创建的 CCR Session 应能正常完成 TLS 握手并连接到 api.anthropic.com。

临时规避方案

继续使用旧 Session（其容器在问题出现前已启动，TLS 正常）。

What Should Happen?

a新创建的 CCR Session 应能正常完成 TLS 握手并成功连接到 api.anthropic.com，不应出现 CERT_SIGNATURE_FAILURE 错误。

Error Messages/Logs

aError: CERT_SIGNATURE_FAILURE

TLS handshake failed at step 2 (before any HTTP request was sent).
The error occurs in the container -> Egress proxy -> api.anthropic.com segment.

Environment vars:
ANT_IMAGE_REPOSITORY=sandbox-ccr-default
CLAUDE_CODE_PROXY_RESOLVES_HOSTS=true
CCR_TEST_GITPROXY=1

Note: curl test from within the container shows TLS works fine to api.anthropic.com:
- TCP: Connected to api.anthropic.com (160.79.104.10):443
- TLS: TLSv1.3, SSL certificate verify ok
- Cert issuer: Egress Gateway SDS Issuing CA (production)
- HTTP response: HTTP/2 404 (expected for root path)

Conclusion: The issue appears to be specific to new container images started after a recent CA rotation.

Steps to Reproduce

a1. 在 claude.ai 上创建一个新的 CCR Session（Cowork 或 Code 均可复现）

1. 容器启动后，直接尝试连接 api.anthropic.com
2. 3. 出现 CERT_SIGNATURE_FAILURE 错误，Session 无法正常工作

注：换一台电脑同样复现此错误。

Claude Model

None

Is this a regression?

Yes, this worked in a previous version

Last Working Version

_No response_

Claude Code Version

latest

Platform

Anthropic API

Operating System

Windows

Terminal/Shell

Windows Terminal

Additional Information

_No response_