Gemini 4 Carbon e altre notizie tech, 29 ottobre 2026

In breve: le cinque notizie tech del 29 ottobre 2026 partono da Google, che presenta Gemini 4 Carbon, primo nell'indice di Artificial Analysis e per ora riservato ai difensori informatici, e da Anthropic, che descrive cinque catene di exploit scritte da un suo modello interno contro Chrome, Safari, Android, Windows e Linux. GitHub Universe porta Copilot Fusion e gli Agentic Workflows in disponibilità generale e pubblica Octoverse 2026. Microsoft dichiara per la prima volta il fatturato di Azure, 33,2 miliardi nel trimestre, mentre Google Cloud raddoppia a 30,7 miliardi. Node.js 26 diventa LTS con il nome Lithium.

Il filo del giovedì è la sicurezza scritta dai modelli. Google apre Carbon prima a un gruppo di difensori, con punteggi alti proprio nel trovare e sfruttare vulnerabilità, e lo stesso giorno Anthropic mostra cosa significa in pratica: un modello non rilasciato ha costruito exploit completi contro i principali sistemi operativi e browser, con 62 CVE corrette solo in Chrome.

La conseguenza per chi gestisce sistemi è che il tempo tra correzione e attacco si accorcia. Lo conferma la cronaca della giornata: PHP2Shell combinato con la falla del kernel Fragnesia ha portato al controllo di 25 server, e le scansioni contro Oracle E-Business Suite sono partite pochi giorni dopo la patch.

Dall'altra parte i numeri di GitHub dicono quanto codice passa ormai dagli agenti: a settembre oltre il 40% delle pull request partiva da un agente, e la piattaforma aggiunge quattro milioni di core per reggere il carico. Più codice generato significa più codice da rivedere, ed è lì che gli strumenti di audit automatico cercano spazio.

Le altre notizie sono nelle sezioni qui sotto. L'archivio è in Notizie tech e nei numeri precedenti, l'ultimo uscito è il numero del 28 ottobre. Per PHP2Shell c'è la guida su come controllare e aggiornare PHP, e per misurare un modello prima di affidargli un agente quella su un set minimo di eval.

Le 5 notizie

Google presenta Gemini 4 Carbon, riservato prima ai difensori

Fonte: Google · 28 ottobre 2026

Carbon arriva due settimane dopo Gemini 4 Argon ed è primo nella versione 5.0 dell'Artificial Analysis Intelligence Index, con 59 punti. Nei test di sicurezza ottiene l'88,2% su SEC-bench Pro, il 54,8% su ExploitGym e il 71,0% su CWE-bench. Da questa settimana lo usano alcuni difensori informatici, poi i partner del programma Fairwind; il prezzo introduttivo è quello di Argon, 2 dollari per milione di token in ingresso.

Perché conta: il modello più capace di Google esce prima per la difesa e solo dopo per tutti. I dettagli sono nelle notizie AI di oggi.

Anthropic: cinque catene di exploit scritte da un modello interno

Fonte: Anthropic · 28 ottobre 2026

Un modello di ricerca non rilasciato ha costruito un'esecuzione di codice in Chrome con un clic e fuga dalla sandbox, un aggiramento della same-origin policy in Safari, il superamento della schermata di blocco di Android via USB, un crash remoto di Windows attraverso QUIC e un'esecuzione di codice come root, senza interazione, sui server Linux con multipath TCP. Tutto è stato segnalato ai produttori; in Chrome sono state corrette 62 CVE, tutte critiche o alte.

Perché conta: concatenare falle fino a un exploit funzionante non è più lavoro per pochi specialisti. I dettagli sono nelle notizie cybersecurity di oggi.

GitHub Universe: Copilot Fusion, Agentic Workflows e Octoverse

Fonte: GitHub · 28 ottobre 2026

Copilot Fusion, che sceglie e combina i modelli in base al livello di impegno richiesto, e gli Agentic Workflows, che compilano compiti in Markdown in YAML di Actions, sono disponibili per tutti, e Copilot entra in GitHub Enterprise. Octoverse 2026 conta 17,9 miliardi di push in dodici mesi, più del 2024 e del 2025 insieme, e oltre il 40% delle pull request avviate da un agente a settembre.

Perché conta: gli agenti entrano nella CI e nella fatturazione standard di GitHub. Il resto è nelle notizie sviluppo software di oggi.

Azure dichiarato in dollari: 33,2 miliardi, Google Cloud a 30,7

Fonte: Microsoft, Alphabet, TechCrunch · 28 ottobre 2026

Microsoft ha fatturato 92,3 miliardi di dollari nel trimestre e per la prima volta ha indicato i ricavi di Azure, cresciuti del 48%; dagli accordi con OpenAI sono arrivati 10 miliardi. Alphabet ha chiuso a 127,6 miliardi con Google Cloud cresciuto del 103%, ma la ricerca rallenta al 12% e le azioni sono scese dell'8%.

Perché conta: il cloud trainato dall'AI è ormai la parte che cresce di più per entrambi. Il resto è nelle notizie business di oggi.

Node.js 26 diventa LTS con il nome Lithium

Fonte: Node.js · 28 ottobre 2026

Con la 26.13.0 la linea 26.x entra in Long Term Support e riceverà aggiornamenti fino alla fine di aprile 2029. La versione non cambia nulla rispetto alla 26.12.1 se non i metadati; i binari per Linux sono collegati a libatomic, che su alcune distribuzioni va installata a parte.

Perché conta: è il segnale per pianificare il passaggio in produzione. Le release della settimana sono nelle notizie sviluppo software di oggi.

Le sezioni di oggi

• Notizie AI: Gemini 4 Carbon, Nemotron 3.5 Transcribe, Copilot Fusion, la Connected Apps Platform di Google, AI for Science di Anthropic, Nemotron per Francia e Belgio, OpenAI e ServiceNow e quattro paper arXiv
• Notizie sviluppo software: Node.js 26 LTS, NestJS 12.3, llama.cpp 0.8.0, Agentic Workflows, Copilot in GitHub Enterprise, Octoverse, i nuovi core di GitHub, VS Code 1.144, sei release e lo stato dei runtime
• Notizie cybersecurity: gli exploit di Anthropic, PHP2Shell con Fragnesia, il KEV, Volt Typhoon, Oracle EBS, Adobe Campaign, EPICS, Virtualine, Sony, Alpine Linux e un paper su MCP
• Business tech: Microsoft e Azure, Alphabet e Google Cloud, Upwind, Infisical, Constellation e i report di spesa di Claude Enterprise
• Web e frontend: Firefox 159, Chrome 156, Safari 27.2, WebAI di Opera, la catena logica contro Edge, Next.js 16.4 e la release di sicurezza del 3 novembre, Astro e un paper su POST e GET
• Repo GitHub di tendenza: 12 repository, da security-audit-skill di Cloudflare a Graphify e Spec Kit

Extra

Tool del giorno: security-audit-skill

security-audit-skill è la skill open source di Cloudflare che fa lavorare un agente di coding come revisore di sicurezza. L'audit procede in sei fasi: mappa l'architettura e le superfici d'ingresso, assegna la ricerca ad agenti isolati in base a un registro di copertura, passa ogni falla candidata a un verificatore nuovo che prova a smentirla, scrive i risultati in JSON validato da uno schema e solo alla fine genera il report. Le esecuzioni successive sullo stesso repository ripartono dai buchi di copertura.

Concetto in 5 minuti: cosa vuol dire LTS in Node.js

Ogni sei mesi esce una nuova versione maggiore di Node.js. Le versioni pari, dopo un periodo come Current in cui ricevono novità, passano in Long Term Support e prendono un nome in codice: è successo il 28 ottobre a Node 26, ora Lithium. Da lì la linea riceve soprattutto correzioni e aggiornamenti di sicurezza, e per Node 26 il supporto dura fino alla fine di aprile 2029. Per questo in produzione si sceglie di solito una LTS, e le versioni dispari restano per provare le novità.

Agenda tech

• 3 novembre: release di sicurezza di Next.js con sette correzioni di gravità media
• 4 novembre: Moonshot rilascia i pesi completi di Kimi K3.1 Pro
• 17-20 novembre: Microsoft Ignite 2026
• 1 febbraio 2027: Microsoft inizia a ritirare SMS e chiamate vocali per l'MFA di Entra ID
• Fine aprile 2029: termina il supporto di Node.js 26 Lithium