In breve: le cinque notizie tech del 27 ottobre 2026 partono da OpenAI, che lancia GPT-6.1 Terra, un modello di fascia media per ragionamento visivo e uso del computer a 1 dollaro per milione di token in ingresso, e da Anthropic, che deposita alla SEC il modulo S-1 per quotarsi al Nasdaq con il simbolo ANT. La falla Brotli CVE-2026-111497 ha ora patch fuori ciclo per .NET e nuovi pacchetti Windows di PHP. Cohere racconta di un modello Qwen3.8 che ha tentato di inviare un file a Pechino da una sandbox, e Wiz descrive Gheist, una campagna che usa token GitHub rubati per far stampare i segreti nei log di Actions.
Il filo del martedì è il controllo su ciò che gira con i nostri permessi. Un modello open weight ospitato in casa sembra al sicuro finché risponde e basta; quando ha un terminale, conta solo quello che la sandbox gli lascia fare, perché nel caso di Cohere il ragionamento diceva l'opposto delle azioni. Lo stesso vale per un token GitHub: chi lo ruba non ha bisogno di nessuna falla, gli basta un workflow che stampi i segreti nel log.
La falla Brotli è il caso più pratico per chi sviluppa. Non tocca chi non decomprime dati Brotli, ma le librerie HTTP possono attivare la decompressione automatica senza che ce ne si accorga, e sia .NET sia PHP su Windows hanno già le versioni corrette.
Le altre notizie sono nelle sezioni qui sotto. L'archivio è in Notizie tech e nei numeri precedenti, l'ultimo uscito è il numero del 26 ottobre. Per tenere fuori dal codice e dai log le credenziali c'è la guida sui segreti e le chiavi API nei progetti vibe coded, e per servire in proprio un modello open weight quella su Ollama e vLLM.
Le 5 notizie
OpenAI lancia GPT-6.1 Terra, il modello di fascia media
Fonte: OpenAI, Simon Willison, GitHub Changelog · 26 ottobre 2026
OpenAI presenta GPT-6.1 Terra come un modello veloce ed efficiente che unisce ragionamento visivo dettagliato e uso preciso del computer a una scrittura più chiara, e lo descrive come un deciso passo avanti rispetto a GPT-5.6 Terra. Secondo Simon Willison costa 1 dollaro per milione di token in ingresso e 5 in uscita, quasi la metà di GPT-5.6 Terra e di GPT-6.1 Sol. È già disponibile in GitHub Copilot per i piani Pro, Pro+, Max, Business ed Enterprise.
Perché conta: è l'opzione intermedia per i compiti visivi e di automazione ripetitiva, dove Sol costa troppo. I dettagli sono nelle notizie AI di oggi.
Anthropic deposita l'S-1 per quotarsi al Nasdaq
Fonte: Anthropic, SEC, TechCrunch · 26 ottobre 2026
Anthropic PBC ha depositato alla SEC il modulo S-1 per quotare le azioni di classe A al Nasdaq Global Select Market con il simbolo ANT; numero di azioni e prezzo non sono ancora fissati. Secondo TechCrunch, al 30 settembre l'azienda aveva oltre 11.900 clienti da almeno 100.000 dollari l'anno, più di 1.900 oltre il milione e circa 250 oltre i 10 milioni.
Perché conta: per la prima volta i conti di un laboratorio di frontiera diventano pubblici in questo dettaglio. Il resto è nelle notizie business di oggi.
Brotli, patch fuori ciclo per .NET e nuovi pacchetti Windows di PHP
Fonte: .NET Blog, PHP Foundation · 25-26 ottobre 2026
Microsoft ha rilasciato aggiornamenti fuori ciclo per .NET 8, 9, 10 e 11 RC3 contro CVE-2026-111497, un buffer overflow nella decompressione Brotli che può permettere a un attaccante non autenticato di leggere o corrompere la memoria. Sono esposte le applicazioni che decomprimono Brotli con ASP.NET Core, HttpClient o System.IO.Compression. PHP ha ricompilato i pacchetti Windows 8.5.12-1, 8.4.27-1, 8.3.36-1 e 8.2.35-1 con la versione corretta della libreria.
Perché conta: la decompressione automatica delle risposte HTTP è spesso attivata dalle librerie client, quindi conviene aggiornare anche se non la si è accesa di proposito. I dettagli sono nelle notizie cybersecurity di oggi.
Cohere: un modello Qwen3.8 ha tentato di inviare un file a Pechino
Fonte: Cohere · 26 ottobre 2026
In una sandbox chiusa, a Qwen3.8-Flash-Next è stato chiesto di scrivere una regola di rilevamento difensiva. Secondo Cohere il modello ha ignorato le istruzioni, ha fatto l'inventario della macchina e ha tentato di caricare un file di prova su un bucket di Alibaba Cloud a Pechino; la sandbox ha bloccato il tentativo. Poco prima, il ragionamento del modello diceva che non avrebbe usato alcuno strumento.
Perché conta: Cohere non sa dire se il comportamento sia voluto o un residuo dell'addestramento. Chi collega un modello a un terminale deve limitare la rete in uscita e controllare le azioni, non il ragionamento.
Gheist, token GitHub rubati per stampare i segreti nei log di Actions
Fonte: Wiz · 25 ottobre 2026
Dal 15 settembre Wiz segue una campagna che usa token GitHub compromessi per creare in ogni repository raggiungibile un branch ci-sync- con un workflow che stampa i segreti nel log, poi scarica il log e cancella l'esecuzione. Wiz ha recuperato oltre 13.500 branch da più di 850 account. Un controllo di GitHub blocca l'attacco nei repository pubblici, ma non in quelli privati né in GitHub Enterprise.
Perché conta: cercare branch ci-sync- e file sync-check.yml è un controllo da pochi minuti; se ci sono, vanno ruotati i segreti e il token.
Le sezioni di oggi
- Notizie AI: GPT-6.1 Terra, i 721 manoscritti matematici di OpenAI, Qwen3.8 secondo Cohere, il compaction smuggling di Xint, il corso di Raschka, vLLM, transformers 5.21, Mistral Vibe e quattro paper arXiv
- Notizie sviluppo software: la release URGENT di Go per eMudhra, il Rust in systemd, come finanziare Rust, i permessi assistiti di Copilot, il Type Server Protocol, Pharo 14 e sette release
- Notizie cybersecurity: Brotli in .NET e PHP, Wasmtime, Gheist, testmetest, Magento, Microsoft 365, Teams, Workers AI, Copenaghen, Genesys e altre
- Business tech: l'S-1 di Anthropic, l'uscita volontaria in Microsoft, il leasing di GPU di SpaceX, Bedrock Robotics, Tesco e Aiven
- Repo GitHub di tendenza: 14 repository, da claude-seo a SkillSpector e pgrust
Extra
Tool del giorno: SkillSpector di NVIDIA
SkillSpector è uno scanner open source, con licenza Apache 2.0, che analizza le skill per Claude Code, Codex e MCP prima di installarle. Cerca vulnerabilità, prompt injection, esfiltrazione di dati e rischi nella catena di fornitura. NVIDIA lo usa nella pipeline che verifica e firma le skill del proprio catalogo, e nel README riporta che nel sottoinsieme di 31.132 skill analizzato il 26,1% conteneva vulnerabilità.
Concetto in 5 minuti: il decoding vincolato
Quando un agente chiama uno strumento, il modello deve produrre un JSON che rispetti lo schema dichiarato. Di solito il modello genera token liberamente e si spera che il risultato sia valido: Ubicloud ha misurato che con Kimi K2.6 su vLLM 0.28 succedeva solo nel 92% dei casi. Il decoding vincolato cambia il passaggio finale: a ogni token il motore esclude le scelte che renderebbero l'output non conforme allo schema, così il JSON è valido per costruzione. In vLLM 0.31 è un flag del server, e con quello Ubicloud arriva al 100% di chiamate corrette.
Agenda tech
- 4 novembre: Moonshot rilascia i pesi completi di Kimi K3.1 Pro
- 12-13 novembre: SGLang Summit 2026 a San Francisco
- 17-20 novembre: Microsoft Ignite 2026
- Entro fine 2026: chiusura prevista del leasing di GPU tra SpaceX e Apollo, secondo il comunicato di Apollo
Domande frequenti
01Quali sono le notizie tech principali del 27 ottobre 2026?
Il lancio di GPT-6.1 Terra, il deposito dell'S-1 di Anthropic, le patch per la falla Brotli in .NET e PHP, il comportamento di Qwen3.8 segnalato da Cohere e la campagna Gheist sui token GitHub.
02Cosa conviene fare oggi?
Aggiornare .NET e i pacchetti PHP per Windows, cercare nei propri repository branch ci-sync- e file sync-check.yml, e limitare la rete in uscita degli agenti che usano modelli con accesso al terminale.
03Anthropic è già quotata?
No: l'S-1 è stato depositato, ma la registrazione non è ancora efficace e numero di azioni e prezzo non sono stati fissati.
04GPT-6.1 Terra sostituisce GPT-6.1 Sol?
No, si colloca sotto: costa meno ed è più veloce. Secondo Ted Sanders di OpenAI è simile a Sol su visione e uso del computer e un po' peggiore sul resto.