IA / LLM & agents 8 actus
- 15/10API OpenAI : GPT-Live (gpt-live-1, gpt-6-luna) intègre nativement Decisions, ce qui permet à une app d'agir pendant que l'utilisateur parle ou en réaction à la sortie de Live, via délégation native ou sur les deltas de transcription (endpoint v1/live/sessions).
- 16/10API OpenAI : « prompt-to-voice » ouvert à tous les clients, pour créer une voix personnalisée à partir d'une description texte (v1/audio/voices) puis l'utiliser dans les sessions GPT-Live. La création est gratuite, la synthèse est facturée au tarif GPT-Live. Neuf nouvelles voix arrivent, dont deux en français (Brise et Sillage).
- 15/10Gemini EnterpriseLes administrateurs peuvent proposer Claude Opus 5.5 et Claude Sonnet 5.5 dans le sélecteur de modèles (régions global, us et eu, facturation à l'usage). Le 16/10, la configuration des citations pour les data stores MCP personnalisés (paramètre citation_mappings) passe en disponibilité générale.
- 15/10GitHub Copilot retirera Claude Opus 4.8, Claude Opus 5 et GPT-5.6 Terra de toutes ses interfaces le 16 novembre 2026. Remplaçants conseillés : Claude Opus 5.5, ou GPT-6.1 Sol / GPT-6 Luna. Les abonnés individuels sur un plan annuel gardent Opus 4.8.
- 15/10@GitHub dans Slack et Microsoft Teams travaille désormais sur plusieurs dépôts dans une même conversation (création d'issues, ouverture de pull requests, investigation de bugs). On peut le mentionner n'importe où dans le message, et les messages ou threads partagés servent de contexte.
- 15/10Anthropic donne à six salariés de METR un accès « comparable à celui d'un employé » (matériel, bureaux, outils internes) pour évaluer ses modèles frontière. METR publiera ses résultats sans droit de veto d'Anthropic, qui ne peut exiger que des caviardages ciblés. SecureBio, Accenture et Faculty sont aussi cités comme évaluateurs.
- 18/10Anthropic réserve 5 % de ses actions à l'Anthropic Public Benefit Fund (sous réserve de l'accord des actionnaires), avec 2 % de plus possibles à chaque hausse de 50 % de la valorisation. Le fonds est une LLC qui ne pourra pas financer de lobbying, et l'impact de l'IA sur l'emploi fait partie des usages cités.
- 15/10Cloudflare et OpenAI publient les résultats d'un pilote lancé en juillet sur environ 1 % du réseau Cloudflare : grâce aux signaux du réseau (URL inexistantes, redirections, doublons, pages modifiées), OpenAI a découvert et indexé « des centaines de millions » de nouvelles pages. Seules des métadonnées sont utilisées, pas le contenu pour l'entraînement.
JavaScript / TypeScript / Node 1 actu
- 15/10VoidZero, l'équipe de Vite qui a rejoint Cloudflare, lance Void, un projet open source distribué en un seul paquet npm, `void`. Il réunit un SDK full-stack basé sur Vite (routes API par fichiers, typage de la base de données jusqu'à l'UI), une CLI (`void deploy` provisionne D1, queues et bindings IA) et une plateforme auto-hébergeable sur Cloudflare.
React & front 1 actu
- 15/10Next.js 16.4.2 (branche LTS active)Uniquement des backports, surtout pour Turbopack (cohérence des snapshots, deux chemins de garbage collection corrigés, collisions de chunk-list sur les imports dynamiques lazy, résolution qui ignore les erreurs realpath comme Node). C'est la mise à jour qui suit le correctif de sécurité 16.4.1 du 14/10.
Backend, bases de données & NestJS 3 actus
- 15/10PostgreSQL 19 RC 1 est disponible.La RC 2 est prévue le 12 novembre et la version finale le 19 novembre 2026. Depuis la beta 4 : correctifs sur REPACK (CONCURRENTLY), pg_plan_advice et l'autovacuum parallèle, et `COPY (query) TO … (FORMAT json)` utilise maintenant les noms de colonnes et alias comme clés JSON. Passer en 19 demande pg_upgrade ou pg_dump/pg_restore.
- 18/10pgBackRest 2.60.0Nouvelle option checksum-page-error, avec un changement de comportement. Une restauration s'arrête désormais en erreur sur une page au checksum invalide (pour revenir à un simple avertissement : checksum-page-error=n). Ajoute aussi GCS Workload Identity Federation et OpenSSL 4, et prend en charge PostgreSQL 19 RC1.
- 16/10Redis : la faille CVE-2026-25243 (commande RESTORE, accès mémoire invalide pouvant mener à une exécution de code, attaquant authentifié) a été exploitée sur les honeypots de Defused les 16 et 17 octobre. Toutes les versions antérieures à 8.6.3 sont touchées. À faire : mettre à jour, ou bloquer RESTORE par ACL et ne pas exposer Redis sur Internet.
DevOps, cloud & sécurité 5 actus
- 15/10GitHub AI Scan for pull requests passe en disponibilité générale.Il détecte des vulnérabilités dans le diff d'une PR là où CodeQL ne va pas : PHP, Shell/Bash, Terraform (HCL), Dockerfile, JSP, Blazor. Ses résultats sont indicatifs et ne bloquent pas le merge. Gratuit sur les dépôts publics ; les dépôts privés demandent Code Security ou Advanced Security.
- 15/10GitHub généralise l'autofix agentique des alertes code scanning sur Enterprise Cloud.Copilot propose un correctif, relance CodeQL pour vérifier que l'alerte disparaît, puis ouvre une PR brouillon. On peut traiter jusqu'à 25 alertes dans une seule PR, depuis l'UI ou via l'API REST (assignee copilot-swe-agent[bot]).
- 16/10GitHub Enterprise CloudLa conformité des licences open source passe en disponibilité générale. Une politique centrale s'applique via la condition de ruleset « Require license compliance results before merging », et un nouveau rôle Enterprise Open-Source License Manager est créé. Une API permet aux agents de code de vérifier qu'un paquet est conforme avant de l'ajouter.
- 15/10La Secure Web Gateway de Cloudflare devient programmable avec Workers.Une action « forward » (bêta publique) envoie la requête HTTP à un Worker, qui peut la modifier avant de l'envoyer à l'origine avec next(). Des fonctions de validation DLP personnalisées sont déjà disponibles, par exemple pour vérifier qu'un jeton détecté est encore actif.
- 16/10Cloudflare va évaluer en continu si les Verified Bots respectent robots.txt (jugé sur la durée, conformément à la RFC 9309) et ralentissent quand ils reçoivent une réponse HTTP 429 (rate limiting). Chaque bot reçoit une « trust band » explicable. Les scores seront publiés sur Radar, et les clients pourront choisir leur seuil de confiance.
PHP & WordPress 1 actu
- 16/10WordPress Core lance « Operation Tall Stack ».Les workflows GitHub Actions de Gutenberg sont cassés sur les branches wp/x.y, ce qui empêche de valider les correctifs de sécurité qui touchent Gutenberg. La réparation représente environ 500 PR empilées sur plus de 20 branches, et l'équipe cherche des relecteurs.
À placer en entretien cette période
- PostgreSQL 19 est en RC1 et sort le 19 novembre 2026. En entretien, on peut rappeler qu'une montée de version majeure passe par pg_upgrade ou pg_dump/pg_restore, et que PostgreSQL 14 n'est plus maintenu à partir du 12 novembre.
- GitHub met en production le scan de sécurité assisté par IA sur les PR (y compris PHP, Bash, Terraform, Dockerfile) et l'autofix agentique vérifié par CodeQL. Le discours attendu : l'IA propose, la CI vérifie, un humain relit la PR brouillon avant le merge.
- Redis CVE-2026-25243 est exploitée : un Redis exposé sur Internet ou sans ACL est un risque réel. Les bonnes pratiques à citer : version ≥ 8.6.3, ACL qui interdisent les commandes dangereuses (RESTORE), réseau privé.
- Les modèles disparaissent vite des outils (Copilot retire Opus 4.8, Opus 5 et GPT-5.6 Terra le 16/11). Une intégration LLM doit donc isoler le choix du modèle dans une configuration et avoir des evals pour tester la migration vers le modèle suivant.
- Les bots IA sont désormais jugés sur leur comportement (robots.txt, réponse aux 429) chez Cloudflare. Un crawler ou un agent web bien conçu respecte robots.txt et applique un backoff sur les 429.
- Void de VoidZero confirme une tendance : Vite devient aussi un socle full-stack, avec typage de bout en bout et déploiement d'une commande sur l'edge.