In breve: il 13 ottobre 2026 le notizie di sviluppo partono da due piattaforme. Il team di Deno entra in Cloudflare per rendere più semplice il self-hosting di Workers e Durable Objects, e AWS lancia Lambda Web Functions, che esegue server HTTP standard come Express, Hono o Next.js senza riscriverli come handler. Sul fronte strumenti, pnpm 12.12 corregge una regola di sicurezza sugli script di build e Dependabot accetta registry privati senza credenziali.
Otto notizie su strumenti e piattaforme e cinque repository e release con il changelog letto, delle ultime 72 ore circa. Ogni voce ha la fonte primaria e cosa cambia in pratica. Le altre sezioni sono in Notizie tech, le cinque notizie principali sono nel numero di oggi, l'archivio di questa sezione è in Notizie sviluppo software e l'uscita di ieri è Notizie sviluppo software del 12 ottobre.
Dev e strumenti
Il team di Deno entra in Cloudflare
Fonte: Cloudflare Blog · 9 ottobre 2026
Ryan Dahl, creatore di Node.js e Deno, e Kenton Varda, che guida Workers, annunciano che il team di Deno entra in Cloudflare. L'obiettivo dichiarato è semplificare il self-hosting di Workers e Durable Objects, così che le stesse primitive si possano usare fuori dalla rete di Cloudflare. Dahl scrive che workerd e celld verranno uniti e rimanda al blog di Deno per il futuro del runtime.
Perché conta: oggi un'app scritta per Durable Objects gira davvero solo su Cloudflare. Se il self-hosting diventa semplice, scegliere quelle primitive pesa meno come vincolo. Lo stack di base è in Workers, D1 e R2.
AWS Lambda Web Functions: server HTTP standard su Lambda, senza adattatori
Fonte: AWS News Blog · 12 ottobre 2026
Lambda ora ha tre forme: le Event Functions (le funzioni di sempre, rinominate), le Web Functions e le Lambda MicroVMs per codice non fidato. Le Web Functions eseguono un server che ascolta su una porta, con Express, Hono, Fastify, Next.js o un altro framework Node.js, con richieste concorrenti e fatturazione sulla CPU attiva. Un solo comando aws lambda-web deploy replica il codice in più regioni e crea un URL globale con routing in base alla latenza.
Perché conta: sparisce lo strato di adattatori tra framework web e Lambda, e la fatturazione sulla CPU attiva cambia i costi per le API che aspettano molto I/O. Prima di migrare conviene confrontare i costi con Vercel, Cloudflare e VPS.
pnpm 12.12: cache remota, fix su allowBuilds e controllo dei token OIDC
Fonte: GitHub Releases · 10 e 11 ottobre 2026
La 12.12.0 corregge un comportamento pericoloso: con dangerouslyAllowAllBuilds attivo, pnpm eseguiva anche gli script di build dei pacchetti negati in allowBuilds. Ora le negazioni valgono sempre. La stessa release aggiunge una cache remota firmata per pnpm pipeline, compatibile con la Remote Cache API di Turborepo. La 12.12.1 fa usare a pnpm publish un NPM_ID_TOKEN solo se il suo claim aud corrisponde al registry scelto, e porta l'autenticazione OIDC anche a pnpm dist-tag.
Perché conta: gli script di install sono uno dei modi più comuni per far girare codice malevolo in CI. Se usavi dangerouslyAllowAllBuilds con una lista di eccezioni, prima della 12.12.0 quelle eccezioni non ti proteggevano. Il contesto è in Dipendenze inventate dall'AI.
Dependabot: registry privati a livello di organizzazione anche senza credenziali
Fonte: GitHub Changelog · 12 ottobre 2026
Tra i metodi di autenticazione dei registry privati di organizzazione c'è ora "Anonymous", pensato per mirror interni che permettono letture senza login. GitHub ricorda che i job di Dependabot su github.com raggiungono solo gli host in allowlist e i registry configurati: un registry definito solo in .npmrc o nuget.config viene bloccato. È disponibile su github.com e arriverà in GitHub Enterprise Server 3.24.
Perché conta: chi usava un token finto come scorciatoia può toglierlo, ma deve cancellare e ricreare il registry, perché il metodo di autenticazione non si cambia. Se Dependabot fallisce su un mirror interno, la causa è spesso un registry presente solo nei file del repository.
Copilot: attribuzione utente nella telemetria e controlli separati su cosa raccogliere
Fonte: GitHub Changelog · 12 ottobre 2026
Con l'impostazione gestita telemetry.capture.identity, gli admin enterprise possono aggiungere ai dati OpenTelemetry login GitHub, utente del sistema operativo e nome della macchina, senza raccogliere prompt o risposte. Altre cinque classi, cioè prompt, risposte, argomenti dei tool, output dei tool e dettagli di policy, si attivano una per una. Sono tutte spente di default e valgono in Copilot CLI, nell'app Copilot e in VS Code con Agent Host.
Perché conta: argomenti e output dei tool possono contenere codice, comandi e percorsi locali. Per un audit sugli agenti conviene attivare solo le classi che servono e mandarle a un endpoint approvato.
GitHub: come insegnare a Copilot le regole della tua codebase
Fonte: GitHub Blog · 12 ottobre 2026
La guida della serie "GitHub Copilot app for Beginners" mostra quattro modi per far conoscere a Copilot le regole di un progetto. Le custom instructions descrivono le convenzioni, le agent skills impacchettano procedure ripetibili, i custom agents portano istruzioni specifiche per i task grandi e i server MCP collegano tool esterni, come Playwright.
Perché conta: le regole scritte nel repository valgono per ogni persona e ogni agente che ci lavora, e si versionano come il codice. È il modo più economico per ridurre le correzioni a mano dopo una sessione con l'agente.
QGIS vieta i contributi generati con l'AI
Fonte: GitHub, QGIS Enhancement Proposals · unita il 7 ottobre 2026, discussa su Hacker News il 12 ottobre
La proposta QEP428 di Nyall Dawson cambia la policy del progetto da "human in the loop" a un divieto netto: nessun contributo generato con l'AI. Nella discussione un membro del progetto spiega che i contributi esterni fatti con l'AI mettono sui maintainer una pressione che la review umana non riesce a reggere. La pull request ha raccolto 92 voti a favore e 27 contrari.
Perché conta: sempre più progetti open source scrivono regole esplicite sull'AI. Prima di aprire una pull request con un agente leggi il CONTRIBUTING.md, e se gestisci un progetto conviene decidere la tua policy prima che arrivino i contributi.
Chi è vfmaddrnd231pd?
Fonte: blog di purplesyringa · 12 ottobre 2026 (in prima pagina su Hacker News)
Il manuale Intel del 2024 documentava un'istruzione FMA con controllo dell'arrotondamento per singola operazione. L'autrice ha scoperto che nessun assembler la conosce, che una CPU Haswell la rifiuta come istruzione non definita e che l'edizione 2026 del manuale l'ha tolta.
Perché conta: anche la documentazione ufficiale di una CPU può descrivere cose che non esistono. Prima di costruire un'ottimizzazione su una funzione documentata, conviene verificarla sull'hardware reale.
Repository e release
prabanta-dev/janas: modelli più grandi della RAM, in C puro
Fonte: GitHub · in prima pagina su Hacker News il 13 ottobre 2026
Cosa fa: un runtime di inferenza in C, con licenza GPL-3.0, che legge dall'SSD gli esperti dei modelli mixture-of-experts invece di tenerli tutti in memoria. L'autore dichiara 24 token al secondo in scrittura (37 con i draft) con Qwen3-Next-80B, un modello da 48 GB, su un portatile con 32 GB di RAM, contro 2,8 di llama.cpp sulla stessa macchina. Utilità: provare modelli MoE grandi su hardware da sviluppatore. Verdict: da misurare con il suo janas-bench sulla tua macchina prima di fidarsi dei numeri.
Ollama 0.40.3
Fonte: GitHub Releases · 11 ottobre 2026
Cosa cambia: l'aggiornamento automatico dei modelli in background è in pausa per non rallentare gli embedding e le altre richieste. Spariscono anche due avvisi inutili da ollama launch claude e ollama launch codex. Verdict: aggiorna se usi Ollama per gli embedding; il contesto sugli aggiornamenti automatici è in Ollama 0.40.
mksglu/context-mode
Fonte: GitHub Trending · 13 ottobre 2026
Cosa fa: riduce l'output dei tool che finisce nel contesto degli agenti di coding mettendolo in sandbox (l'autore dichiara il 98% in meno), salva una memoria di sessione e applica regole di routing su 17 piattaforme tramite MCP e hook. È in TypeScript e ha oltre 27.000 stelle. Utilità: meno token spesi su log e output lunghi in Claude Code, Codex o Cursor. Verdict: da provare su un progetto di test; la licenza non è standard, va letta prima di usarlo al lavoro.
bherbruck/solidcraft
Fonte: Show HN · 13 ottobre 2026
Cosa fa: un'applicazione CAD 3D parametrica open source in Rust puro, per desktop e web, con automazione tramite MCP. Licenza Apache-2.0, creata il 7 ottobre. Utilità: un esempio concreto di come esporre a un agente le operazioni di un'app complessa. Verdict: da seguire se progetti server MCP; per il CAD di lavoro è presto.
Next.js 16.5.0-canary.9
Fonte: GitHub Releases · 13 ottobre 2026, 01:53 ora italiana
Changelog spiegato: le regole che ricordano di aggiornare passano sotto il flag agentUpgrade, e gli upgrade fatti con Codex hanno accesso alla rete. Si può disattivare turbopackGc, il garbage collector di Turbopack. Il rilevamento dei root params su Windows è corretto e la cache durable di use cache esclude il contesto dagli hash di percorso e codice. C'è anche un nuovo esempio con Cache Components e Redis. Verdict: è una canary, quindi solo su un branch di test.
Node.js 26.11.1 del 7 ottobre contiene solo tre revert su build e documentazione: niente da aggiornare con urgenza. n8n 2.42.7 e @astrojs/vercel 11.0.14 erano già nell'uscita di ieri. TypeScript e Flutter: nessuna release stabile nelle ultime 72 ore.