Представляешь,

GitHub Agentic Workflows 0.89.12 ограничил доступ к GITHUB_TOKEN 13 сентября GitHub выпустил предварительную версию инструмента, с которым разработчики описывают в Markdown задачи для ИИ-агентов и преобразуют их в процессы GitHub Actions. Обновление уменьшает область возможного доступа к токену при компрометации шага. В центральном маршрутизаторе slash-команд отключили сохранение учётных данных при получении репозитория. Теперь GITHUB_TOKEN не остаётся в локальной конфигурации Git на всё время работы маршрутизатора. Изменение касается команд, использующих сгенерированный файл .github/workflows/agentic_commands.yml. Разработчики также починили падавшую задачу Integration: CMD Tests. В новости Tproger рассказываем, что именно изменилось и какие процессы затрагивает обновление.

Moment.js 2.31.0 закрыл уязвимость и исправил работу с прототипами Вышла версия 2.31.0 библиотеки Moment.js, которую JavaScript-разработчики используют для разбора, проверки, изменения и форматирования дат. Релиз закрывает уязвимость CVE-2026-17495, поэтому пользователям стоит проверить установленную версию и совместимость проекта с обновлением. Разработчики запретили применять свойства прототипа объекта как токены форматирования и устранили ошибку, из-за которой вызов locale('__proto__') мог повредить глобальную локаль. Также добавили проверку диапазона смещения часового пояса, сброс кешей разбора локалей и исправления форматов дат и относительного времени. Moment.js остаётся в режиме сопровождения: новых функций не принимает, но продолжает получать исправления безопасности и ошибок. В новости собрали подробности релиза.

Среда разработки Kiro IDE 1.1 получила артефакты агентов и сборки для ARM64 Kiro IDE, среда разработки с ИИ-агентами для программистов, обновилась 14 сентября. Результаты работы агента, включая документы, диаграммы, код и изображения, теперь можно открыть рядом с чатом или через панель Agent Focus. Артефакты привязаны к сессии, хранятся вне проекта и не попадают в репозиторий; размер каждого ограничен 12 МБ. Для устройств на ARM64 появились нативные сборки под Windows и Linux, которым не нужна эмуляция x64. Основу редактора обновили до Code OSS 1.131, а также доработали сохранение контекста диалогов, сообщения об ошибках MCP и надёжность Hooks. Все изменения релиза собрали в новости Tproger.

Vercel AI SDK Harness Layer поддержал подписки Claude Code, Codex и Cursor 14 сентября единый интерфейс для подключения и замены агентов программирования в приложениях научился использовать подписки, найденные на хосте. Разработчикам не придётся отдельно добавлять API-данные или менять код. В режимах direct и auto система ищет учётные данные провайдера, а затем нативную подписку. Токены остаются на хосте и обновляются там же. Режим ai-gateway эту функцию не поддерживает. В новости Tproger перечислены совместимые агенты и разобран порядок авторизации. Цены, отдельные лимиты и условия доступности из России Vercel не раскрыла.

CLIProxyAPI 7.3.0 добавил интеграцию с Devin и динамический каталог моделей CLIProxyAPI, локальный прокси-сервер для обращения из CLI-инструментов и SDK к моделям разных провайдеров через совместимые интерфейсы, получил поддержку Devin/Cognition по протоколу Connect-RPC с авторизацией OAuth. Обновление рассчитано на разработчиков и команды, которые направляют запросы к нескольким ИИ-провайдерам через единый шлюз. Для моделей Devin теперь обязательно пространство имён devin/. Их каталог вынесли в удалённо обновляемый файл, а для получения актуального списка добавили CLI-инструмент fetch_devin_models. Также релиз проверяет квоту и статус учётной записи, точнее считает токены и исправляет потоковые ответы и вызовы инструментов. В новости Tproger разобрали изменения, варианты сборок для Linux и неизвестные пока условия интеграции Devin.

В SeaweedFS 4.47 исправили ошибки управления доступом и работы томов 14 сентября вышла SeaweedFS 4.47. Это система хранения данных, а обновление предназначено для администраторов инсталляций с S3 API, IAM-политиками, FUSE-монтированием, удалёнными источниками данных или erasure coding. S3 API теперь берёт aws:SourceIp из непосредственного TCP-соединения, а разрешающая политика бакета больше не может отменить явный запрет из IAM. Разработчики также закрыли перенаправление запросов к другому бакету через X-Forwarded-Host, усилили SSRF-защиту и добавили проверки для повреждённых носителей и копирования томов. В новости Tproger перечислены остальные исправления, включая ограничение памяти кэша чтения и защиту удаления используемых IAM-политик.

Debian выпустил обновление 13.7 с исправлениями безопасности 12 сентября проект Debian выпустил Debian 13.7, седьмое обновление стабильной ветки свободной операционной системы Debian 13 (trixie). Оно предназначено для пользователей этой ветки и исправляет уязвимости и серьёзные ошибки в glibc, OpenSSL, Python 3.13, QEMU, Samba, Docker, ImageMagick, curl и других компонентах. Переустанавливать систему не нужно: достаточно обновить пакеты через актуальное зеркало Debian. У тех, кто регулярно получает исправления с security.debian.org, объём загрузки будет меньше. Установщик тоже обновили, ABI ядра подняли до 6.12.107+deb13, новые образы появятся в стандартных каталогах. В новости Tproger перечислили основные изменения и объяснили, как перейти на Debian 13.7.

mise 2026.9.7 сохраняет графы зависимостей npm и Python Разработчики выпустили mise 2026.9.7, инструмент для установки инструментов и воспроизведения их зависимостей в проектах и CI. Новый формат mise.lock revision 2 записывает полные транзитивные графы npm через aube и Python через uv, а затем воспроизводит их в строгом режиме установки. Обновление затронет команды, которые хранят mise.lock в репозитории: старые версии mise новый формат не читают. Перед переходом нужно обновить mise у коллег и в CI, выполнить mise lock --upgrade и добавить каталог с файлами графов. Без него или при несовпадении SHA-256 установка с --locked завершится ошибкой. В новости Tproger перечислены требования к uv и другие исправления релиза.

Phoenix 20.11.0 получил заметки для трассировок и навык анализа ошибок 12 сентября вышел Phoenix 20.11.0. В релиз добавили GraphQL-мутации, с помощью которых можно прикреплять заметки к отдельным спанам, трассировкам и сессиям. Сведений о ценовых ограничениях и доступности функций из России в примечаниях к версии нет. MCP-сервер теперь раздаёт общий каталог навыков через путь /mcp. В поставку вошёл навык phoenix-error-analysis, а во внутрипроцессной диспетчеризации MCP-инструментов исправили передачу состояния жизненного цикла приложения. В новости собрали подробности обновления и ссылку на релиз в GitHub.

Metro 0.87.1 получил поддержку URI-схем и исправил Fast Refresh 13 сентября вышел Metro 0.87.1, сборщик JavaScript для React Native. Теперь к спецификаторам вроде foo:bar можно подключать собственные обработчики через resolver.schemeResolvers. Релиз также исправляет Fast Refresh при работе с ленивыми сегментированными бандлами. FallbackWatcher перестал пропускать файлы, добавленные во время обхода каталога. По данным авторов, он расходует примерно на 34% меньше резидентной памяти, а пиковое потребление памяти в куче снизилось примерно на 41%. Перед обновлением разработчики советуют проверить экспериментальные настройки сериализатора и файловой карты: на них не распространяются гарантии семантического версионирования. В новости Tproger перечислены остальные исправления и изменения зависимостей.

Вышел flatpak-builder 1.4.11 с двумя исправлениями безопасности Релиз от 12 сентября полностью отключает Git-хуки при применении патчей из-за уязвимости CVE-2026-86320. Также разработчики закрыли проблему GHSA-484h-v688-jq5j, которая позволяла источнику выйти за пределы base_dir в режиме песочницы. Диапазоны затронутых версий и дополнительные меры защиты не указаны, поэтому пользователям прежних выпусков рекомендуют обновиться. Версия 1.4.11 также раньше останавливает обработку файлов и архивов с некорректными контрольными суммами, проверяет наличие URL в источниках bzr и svn и пропускает уже перенесённые записи при миграции локалей. Подробнее об изменениях и рекомендации по обновлению читайте в новости Tproger.

Crush 0.94.1 получил авторизацию через ChatGPT и ускоренный интерфейс В Crush 0.94.1 пользователи могут войти через ChatGPT и работать со своей подпиской. Для автоматизации и запуска без интерактивного интерфейса команда crush run получила флаг --reasoning-effort с проверкой допустимых значений. Разработчики объединили события прокрутки, добавили повторное использование готовых кадров чата и перевели индикаторы загрузки на общие часы. Замена Swagger-компонентов реестром конечных точек на Go с поддержкой OpenAPI 3.2.1 уменьшила исполняемый файл примерно на 4 МБ. В новости разобрали изменения интерфейса и клиент-серверного режима.

С днем программиста, коллеги! Желаем, чтобы код компилировался с первого раза, баги находились до релиза, а таски «на пять минут» действительно занимали пять минут.  И конечно, пусть в жизни будет больше приятных сюрпризов — один из них мы уже подготовили. Скорее переходите по ссылке, трясите коробку и забирайте свой подарок ко Дню программиста: https://tprg.ru/BRC8

В Cursor с 12 ноября перестанут работать модели OpenAI OpenAI сворачивает контракт, по которому её модели были доступны в редакторе Cursor. Предложенная дата отключения — 12 ноября 2026 года, то есть чуть больше двух месяцев с сегодняшнего дня. Причина корпоративная: разработчика Cursor, компанию Anysphere, в августе купила SpaceX, и OpenAI, как пишет The New Stack, не уверена, что там будут соблюдать её условия использования. Срок отключения взят максимально дальний из возможных по контракту. Что с этим делать: если ваша работа в Cursor завязана на модель OpenAI, за оставшиеся два месяца прогоните привычные задачи (автодополнение, агентский режим, разбор диффа) на других моделях из списка редактора и посмотрите, где придётся переписывать промпты. OpenAI обещает помочь с переходом, но чем именно, пока не сказала. #инструменты

Как перевести все ключевые продукты компании на единый инженерный фундамент? ВКонтакте, Одноклассники, VK Видео, MAX и Дзен много лет развивались независимо друг от друга. Каждый продукт строил собственную инфраструктуру, инструменты для данных и технологии обработки видео, что с ростом компании привело к дублированию систем и увеличению сроков разработки. За два года VK объединила разрозненные решения в четыре платформы: внутреннюю систему разработки сервисов, облако One-cloud, единую дата-платформу и технологии видеоплатформы. У части из них уже есть измеримые результаты: сотни новых сервисов, сокращенное время запуска, объединение около десяти тысяч серверов и миллионов процессорных ядер. А, самое главное, получение вычислительных мощностей теперь занимает около двух минут вместо месяца. Подробнее в нашем новом материале.

GitLab выпустила критические патчи 19.3.2, 19.2.6 и 19.1.8 Обновления закрыли уязвимость CVE-2026-85706 с максимальной оценкой опасности 10 из 10. При определённых условиях неавторизованный пользователь мог через API коммитов читать произвольные файлы на сервере. Проблема затрагивала GitLab CE и EE. Владельцам уязвимых self-managed-инсталляций рекомендуют как можно скорее установить последний патч своей поддерживаемой версии. Ещё одна критическая ошибка позволяла пользователям GitLab EE с доступом к Duo Chat получать конфигурацию Advanced Search и чувствительные учётные данные. GitLab.com уже обновлён, клиентам GitLab Dedicated ничего делать не нужно. О затронутых версиях, других исправлениях и условиях обновления без остановки читайте в новости Tproger.

Atlassian добавит в Jira управляемые циклы ИИ-агентов Agent loops будут находить подробно описанные задачи без исполнителя, передавать их Jira Coding Agent, а после реализации и тестирования открывать запросы на слияние. Единые правила разработки зададут через Standards, и AI Review проверит по ним каждый запрос. Последнее слово всё равно останется за разработчиком — роботов к кнопке Merge пока не подпускают. Agent loops, Standards и AI Review сейчас доступны лишь в закрытом раннем доступе, а Code Context постепенно открывают платным клиентам в публичной бете. В статье — как Atlassian ограничит доступ агентов к данным, какими метриками предложит оценивать их работу и почему заявленный рост выпуска на 64% нельзя считать универсальным бенчмарком.

Kilo Code 7.6 получил режим долгих задач, но лишился интерактивного терминала в CLI Новый режим /goal позволяет агенту продолжать работу над заданной целью, а пользователю — приостанавливать и возобновлять её. Состояния активных, завершённых, заблокированных и приостановленных целей сохраняются до очистки. Команда /caffeinate тем временем не даёт компьютеру уснуть во время работы агентов — в отличие от самого пользователя. Главное несовместимое изменение затронуло CLI: инструмент interactive_terminal, встроенные элементы управления и связанные API удалены. Команды с клавиатурным вводом теперь нужно запускать в отдельном терминале. В статье — что изменилось в Agent Manager, какие уведомления появились в VS Code и что можно импортировать из Claude Code.

Arm обещает ускорить мобильную графику без лишнего нагрева Mali G2-Ultra NX — новый мобильный GPU, рассчитанный на нейронные вычисления. Arm утверждает, что обработка ИИ прямо на устройстве повысит графическую производительность и позволит активнее использовать трассировку лучей при меньшем расходе энергии и тепловыделении. Для разработчиков это пока ориентир, а не готовый пункт плана релиза: в Arm не подтвердили, какие устройства получат чип. GPU уже связывают с MegaLights в Unreal Engine; его возможности должны использовать Arena Breakout Infinite, Where Winds Meet и Infinity Nikki. В материале GamesIndustry.biz объясняют, почему Arm считает свой подход более открытым, чем DLSS 5, и как компания хочет приблизить мобильную графику к настольной.

Hugging Face выпустила TRL 1.13 с обучением на контексте свыше миллиона токенов В библиотеке появился рабочий пример обучения Qwen3-8B на последовательности из 1 048 576 токенов за шаг. Модель обрабатывает сопоставимый с книгой объём целиком, но аппетиты соответствующие: нужен узел с восемью H100. Переход lm_head для chunked_nll с FP32 на BF16 и тензорные ядра ускорил отдельный расчёт в тестах авторов в шесть раз, а пропускную способность обучения разных моделей — в 1,2–1,69 раза. Обновление касается разработчиков, использующих SFT, DPO, KTO, GRPO и дистилляцию. В статье — изменения в работе с vLLM, удалённые PPO-компоненты и новые минимальные версии peft и deepspeed, которые стоит проверить перед обновлением.