In breve: il 14 ottobre 2026 le notizie di sviluppo partono da Anthropic, che ha sostituito git nel suo monorepo con Scion, un sistema di controllo versione scritto in casa in cinque mesi, dopo che le modifiche unite al giorno sono passate da 2.500 a oltre 30.000. Nel compilatore Rust è emerso un buco di soundness nel borrow checker che compila dal 2017, e GitHub cambia le regole del trusted publishing di npm dopo una falla che esponeva oltre 1.500 pacchetti. Python 3.15 è uscito con lazy import e frozendict.
Otto notizie su linguaggi, runtime e tooling e cinque repository e release con il changelog letto, delle ultime 72 ore circa. Ogni voce ha la fonte primaria e cosa cambia in pratica. Le altre sezioni sono in Notizie tech, le cinque notizie principali sono nel numero di oggi, l'archivio di questa sezione è in Notizie sviluppo software e l'uscita di ieri è Notizie sviluppo software del 13 ottobre.
Dev e strumenti
Anthropic lascia git per il monorepo: arriva Scion
Fonte: Anthropic Engineering · 13 ottobre 2026, in prima pagina su Hacker News
Anthropic racconta che a maggio univa in media 2.500 modifiche al giorno e a settembre oltre 30.000, in gran parte scritte con Claude. La storia del branch principale pesa quasi 100 GB e servono circa 25 milioni di checkout al giorno solo per la CI. Per reggere il carico un team di sette persone ha costruito Scion, un sistema di controllo versione centralizzato in cui il server calcola storia, blame, commit e merge e il client tiene solo una cache limitata. Secondo il post l'infrastruttura usa 200 volte meno CPU e memoria dei vecchi mirror git, e la CI ha recuperato il 25% di capacità.
Perché conta: Anthropic stessa scrive che Scion non è un sostituto di git per l'uso generale, ma il problema arriverà prima ad altri team che usano molti agenti. Le idee pratiche sono API lato server per le query sul repository, checkout sparsi e test dopo il merge al posto di un lock globale sulla coda di merge. Le basi su come gli agenti cambiano il flusso di lavoro sono in tool engineering.
Rust: un buco nel borrow checker che compila dal 2017
Fonte: GitHub, issue #164250 di rust-lang/rust · 13 ottobre 2026, in prima pagina su Hacker News
L'issue mostra che i vincoli di lifetime di una struct, come T: 'static, si possono aggirare assegnando un riferimento a un campo covariante: il codice nel Drop riceve un riferimento non 'static ma lo tratta come tale. L'autore scrive che la sua versione compila dalla 1.18.0 del 2017, e un membro del progetto ne ha trovata una variante che legge memoria liberata e compila dalla 1.4. Il team l'ha etichettata come soundness bug con priorità critica e ha bloccato la discussione per lo spam.
Perché conta: il problema riguarda codice costruito apposta con Drop, lifetime e varianza, non il codice Rust tipico. È però un promemoria che le garanzie del compilatore hanno bug, e che un fuzzer o un'analisi come Miri restano utili sul codice critico.
Python 3.15: lazy import, frozendict e UTF-8 di default
Fonte: Python Docs, What's new in Python 3.15 · rilasciato il 9 ottobre 2026
Le novità principali sono gli import lazy espliciti (PEP 810) per avviare più in fretta, i nuovi tipi built-in frozendict (PEP 814) e sentinel (PEP 661), l'UTF-8 come codifica predefinita (PEP 686) e l'unpacking nelle comprehension (PEP 798). Le build free-threaded hanno ora una ABI stabile, i frame pointer sono attivi di default e il JIT sperimentale è stato aggiornato in modo significativo. Arriva anche un nuovo pacchetto di profiling con Tachyon, un profiler statistico ad alta frequenza.
Perché conta: l'UTF-8 di default è il cambiamento con più rischi di regressione: il codice che apre file senza encoding= su Windows può comportarsi in modo diverso. Prima di aggiornare, prova la suite di test con la 3.15 e leggi la guida al porting.
npm: il trusted publishing va validato entro 48 ore
Fonte: The Hacker News · 13 ottobre 2026
Bloom Security ha scoperto che con il trusted publishing di npm era possibile pubblicare nuove versioni del pacchetto di un altro utente senza rubarne le credenziali, sfruttando repository o progetti che cambiano proprietario; la segnalazione risale al 6 giugno. GitHub ora fa scadere dopo 48 ore le configurazioni di trusted publishing che non hanno ancora completato una pubblicazione. Dopo il primo publish riuscito la configurazione è legata all'identità immutabile del repository, e npm rifiuta anche i token generati da eventi issue_comment di GitHub Actions, oltre al già escluso pull_request_target.
Perché conta: se hai configurato il trusted publishing e non hai mai pubblicato, la configurazione può scadere: fai un publish di prova. Se pubblichi da workflow attivati da commenti, spostali su un trigger supportato. Il quadro sulla supply chain è in slopsquatting e controlli prima di npm install.
GitHub App: permessi più piccoli per creare repository e gestire installazioni
Fonte: GitHub Changelog · 13 ottobre 2026
Due nuovi permessi fine-grained, per GitHub App e PAT fine-grained: repository_creation:write permette di creare repository senza il più ampio repository_administration:write, che consente anche cancellazioni e trasferimenti, e installation_repositories:write permette di aggiungere o togliere un repository da un'installazione. Gli amministratori di repository possono ora aggiungere app già approvate a livello di organizzazione, e le GitHub App supportano lo scope offline_access per tornare gradualmente ai token che scadono.
Perché conta: è un buon momento per eliminare i PAT classici dalle automazioni che creano repository o gestiscono installazioni. Meno permessi vuol dire meno danni se un token finisce nel posto sbagliato.
Secret scanning blocca di default le chiavi Anthropic
Fonte: GitHub Changelog · 13 ottobre 2026, con l'approfondimento sul modello di classificazione
Secret scanning rileva nuovi tipi di segreti di Salesforce, Anthropic e Cloudsmith, e Salesforce entra nel programma partner che revoca le credenziali trovate nei repository pubblici. I nuovi tipi di chiave Anthropic sono bloccati di default dalla push protection, anche nei repository pubblici gratuiti con secret scanning attivo. In un post separato GitHub spiega il classificatore addestrato per i segreti generici, che ha ridotto dell'86% il tempo mediano delle scansioni rispetto alla pipeline precedente basata su un LLM.
Perché conta: se un test o un esempio contiene una chiave Anthropic finta con il formato reale, il push può essere bloccato. Usa placeholder evidenti e tieni le chiavi vere fuori dal repository.
Dependabot: gli alert ritirati ora si riconoscono
Fonte: GitHub Changelog · 13 ottobre 2026
Quando un advisory non è più valido, Dependabot ritira e rimuove l'alert. Ora il webhook dependabot_alert ha l'azione withdrawn, con numero dell'alert, ID GHSA e CVE, pacchetto e manifest. L'API REST risponde 410 Gone invece di 404 per un alert ritirato. La modifica è attiva su github.com e arriverà in GitHub Enterprise Server 3.24.
Perché conta: se sincronizzi gli alert con Jira o un altro tracker, puoi chiudere automaticamente i ticket degli alert ritirati invece di trovarli orfani.
PostgreSQL 19: molte funzioni ritirate durante la beta
Fonte: LWN.net · 13 ottobre 2026, dal blog di Peter Eisentraut
Peter Eisentraut, del core team di PostgreSQL, riflette sul numero insolitamente alto di funzioni tolte da PostgreSQL 19 dopo l'inizio della beta. Alcune avevano difetti architetturali, ma molte sono state ritirate per una lunga coda di casi limite. Secondo Eisentraut la review assistita dagli LLM trova questi problemi molto più in fretta di prima, e anche se ognuno richiede poche righe di correzione, il costo fisso di gestire una quarantina di segnalazioni fa finire il tempo.
Perché conta: se aspettavi una funzione specifica di PostgreSQL 19, controlla che sia ancora nelle note di rilascio. Ed è un segnale per tutti i progetti: la review con l'AI alza l'asticella anche sul codice scritto anni fa. Per il confronto tra database c'è SQLite vs Postgres.
Repository e release
pnpm 12.13.0
Fonte: GitHub Releases · 13 ottobre 2026
Changelog spiegato: arrivano i comandi pnpm profile e pnpm token, per gestire il profilo e i token sul registry senza passare da npm. L'impostazione storeIndexFormat: files salva l'indice dello store come un file per pacchetto invece del database SQLite index.db, che si poteva corrompere quando più macchine installano sullo stesso store di rete. Il nuovo gruppo nodePackageMap sostituisce le impostazioni sulla package map, e la risoluzione delle dipendenze Python è più veloce. Verdict: aggiorna se condividi lo store su un filesystem di rete; per gli altri è un aggiornamento normale.
Ollama 0.40.4
Fonte: GitHub Releases · 12 ottobre 2026
Changelog spiegato: i modelli "decision" si usano direttamente dal terminale con ollama run, per domande sì/no, classificazione e punteggi, per esempio ollama run nimble --ask "...". ollama launch codex mostra i modelli locali nel picker di Codex, arrivano gli embedding multimodali tramite llama-server e migliorano le prestazioni del runner MLX. Verdict: utile se usi modelli piccoli per classificare testo in script; il contesto sugli aggiornamenti recenti è in Ollama 0.40.
Claude Code 2.1.299
Fonte: GitHub Releases · 14 ottobre 2026
Changelog spiegato: arriva la compattazione a riposo: una conversazione oltre i 200.000 token lasciata ferma per circa 54 minuti viene compattata prima che scada la cache del prompt di un'ora, così il messaggio successivo non riprocessa tutto. Si regola con CLAUDE_CODE_IDLE_COMPACT_MIN_TOKENS e si spegne con "idleCompaction": false. Con CLAUDE_CODE_DISABLE_FILE_MENTIONS le menzioni @ passano solo il percorso, e il runner self-hosted ha --shutdown-drain-sec per fermarsi senza perdere il lavoro in corso. Verdict: aggiorna; la compattazione a riposo riduce i costi delle sessioni lunghe interrotte.
Arunjay4213/mosh-rs
Fonte: Show HN · 14 ottobre 2026
Cosa fa: una riscrittura in Rust di mosh, la shell remota che sopravvive ai cambi di rete, compatibile con mosh-server 1.4, con un client nativo per Windows e lo scrollback reale nel terminale locale. Licenza GPL-3.0, creato il 13 ottobre. Utilità: sessioni SSH che non cadono su reti instabili, anche da Windows. Verdict: progetto di un giorno e indipendente dai maintainer di mosh: da provare su macchine di test, non ancora su server di produzione.
RayenMlayeh/jevcrawl
Fonte: Show HN · 14 ottobre 2026
Cosa fa: un server MCP e una CLI in Python che fanno crawling di siti per conto di un agente: un piccolo modello decisionale sceglie link e passaggi, così l'LLM dell'agente legge solo il testo utile. L'autore dichiara un costo di circa 0,025 dollari per task. Licenza Apache-2.0. Utilità: ricerche nella documentazione con meno token. Verdict: i benchmark sono dell'autore; da confrontare con il proprio flusso prima di adottarlo.
Node.js resta alla 26.11.1 del 7 ottobre e TypeScript alla 7.0.2 del 20 agosto: nessuna nuova release stabile nelle ultime 72 ore. Python 3.15.0 è uscito il 9 ottobre (vedi sopra). Flutter: nessuna release stabile nelle ultime 72 ore.
Cosa fare adesso
Se pubblichi su npm con il trusted publishing, verifica che la configurazione abbia completato un publish. Se usi Python, prova la 3.15 su un branch con attenzione alla codifica dei file. Se hai automazioni con PAT classici su GitHub, valuta i nuovi permessi fine-grained.
Notizie dal 9 al 14 ottobre 2026.