IA / LLM & agents 4 actus
- 07/10Anthropic lance Claude Haiku 5.50,10 $/M tokens en entrée et 0,50 $/M en sortie (prompts ≤ 100k), soit environ 75 % de baisse moyenne par rapport à Haiku 4.5, et premier modèle Haiku avec réglage d'effort ajustable. Disponible immédiatement sur l'API Claude, AWS, Google Cloud et Azure ; GitHub l'a ajouté le même jour au sélecteur de modèles Copilot, et le prix des cache reads de Sonnet 5.5 est divisé par deux (0,20 → 0,10 $).
- 06/10Anthropic fusionne Project Glasswing et son Cyber Verification Program en trois niveaux d'accès (Defense, Red Team, Specialized) qui donnent aux professionnels de la sécurité vérifiés des classificateurs de blocage allégés sur Opus 5.5, Sonnet 5.5 et Mythos 5.1. Project Glasswing revendique au moins 129 000 vulnérabilités vérifiées entre avril et juillet 2026, dont plus de 33 000 critiques ou élevées.
- 06/10OpenAI ouvre en bêta publique la Decisions API, motorisée par GPT-6 LunaTrois types de sorties contraintes (probabilité qu'une affirmation soit vraie, choix parmi des options prédéfinies avec confiance, score sur une échelle), facturées 0,10 $/M tokens d'entrée uniquement, sans tokens de sortie. OpenAI annonce jusqu'à 10× plus rapide que GPT-6 Luna via la Responses API.
- 07/10GitHub passe en GA le sandboxing local de Copilot (CLI, app Copilot, VS Code avec Agent Host), basé sur Microsoft eXecution Container (MXC) qui traduit une politique commune en contrôles natifs Windows, macOS et Linux : isolation des fichiers, du réseau, des credentials Git/GitHub CLI et des serveurs MCP locaux. Les administrateurs peuvent imposer des politiques que les développeurs ne peuvent pas assouplir, sans surcoût.
JavaScript / TypeScript / Node 1 actu
- 07/10Node.js 26.11.0 (Current)Node:sqlite gagne le support des tables virtuelles via createModule(), le module http ajoute isValidHeaderName() et isValidHeaderValue(), process.ref/unref passent stables, npm monte en 11.20.0 et Alpine Linux passe en support tier 2. Une 26.11.1 corrective est sortie le même jour.
React & front 2 actus
- 06/10Next.js 16.4 fait des Cache Components le modèle recommandé pour toutes les appsCreate-next-app les active désormais par défaut, le nouvel export ensureStatic fait échouer le build si du contenu dynamique s'invite dans une route voulue statique, et les API navigation() et prefetch() permettent d'exclure du prefetch le contenu à différer jusqu'à la navigation réelle. Le modèle deviendra le défaut de Next.js 17.
- 06/10Toujours dans Next.js 16.4Cache disque Turbopack réduit de 20-25 % (compression Zstandard), classes CSS Modules raccourcies en production, React 19.3 embarqué, et next upgrade --agent qui prépare guides de migration et codemods pour confier la montée de version à un agent de code. Le React Compiler en Rust (expérimental) consomme 30 % de mémoire en moins et compile 15 % plus vite.
Backend, bases de données & NestJS 2 actus
- 06/10Les requêtes par préfixe, suffixe et sous-chaîne passent en GA dans Queryable Encryption de MongoDB : on peut désormais chercher du texte dans des champs chiffrés sans jamais les déchiffrer côté serveur, en complément des requêtes d'égalité et de plage déjà disponibles.
- 07/10PGX, Inc. publie pgx-bm25 1.0 (licence PostgreSQL)Un index natif bm25_native qui apporte la recherche plein texte classée Okapi BM25 à PostgreSQL 17 et 18, en héritant du WAL, de la réplication physique et du VACUUM du cœur. Au menu : block-max WAND pour les requêtes LIMIT, BM25F multi-colonnes avec boosts par champ modifiables sans REINDEX, et extraits surlignés via bm25_snippet().
DevOps, cloud & sécurité 3 actus
- 06/10Les stacked pull requests passent en GA sur tous les plans github.comDécoupage d'un gros changement en PR empilées relues séparément, Rebase stack qui conserve les approbations sur le code inchangé, fusion d'une pile entière comme un seul groupe dans la merge queue, et extension gh stack pour la CLI. GitHub mesure +9 % de code fusionné sur les dépôts qui les utilisent depuis la préversion publique.
- 06/10Cloudflare rappelle que la racine DNS change de clé de signature le 11 octobre 2026KSK-2024 (tag 38696) remplace KSK-2017, deuxième rollover de l'histoire après 2018. Un résolveur validant DNSSEC qui ne fait pas confiance à la nouvelle clé répondra SERVFAIL sur tout le web ; on vérifie avec les sentinelles RFC 8509 (dig root-key-sentinel-is-ta-38696.dnstest.dev).
- 07/10GitHub déploie un modèle affiné dédié à la détection de secrets divulguésIl analyse le code environnant pour repérer les credentials non structurés (mots de passe sans format de jeton reconnaissable) sans rien générer. Les alertes « AI-detected » de secret scanning sont incluses sans surcoût dans GHSP/GHAS, et la détection au push arrive en préversion privée, facturée en AI Credits.
PHP & WordPress 1 actu
- 06/10WordPress 7.1.3 corrige 7 failles de sécurité et 4 bugsXSS stockée dans l'admin des commentaires (Trail of Bits avec OpenAI), injection SQL de second ordre dans l'export WXR, DoS dans WP_Http::make_absolute_url() et élévation du rôle Auteur — ces trois dernières signalées par Anthropic. Mise à jour immédiate recommandée, correctifs rétroportés jusqu'à la branche 4.7.
À placer en entretien cette période
- Anthropic segmente clairement sa gamme : Haiku 5.5 à 0,10/0,50 $ le million de tokens, avec effort ajustable, est pensé comme sous-agent (résumé, classification, compactage) aux côtés de Sonnet et Opus — c'est l'exemple type à citer sur le routage de modèles pour maîtriser les coûts d'une application IA.
- La Decisions API d'OpenAI industrialise le pattern LLM-as-a-judge : des sorties contraintes (probabilité, choix, score) facturées uniquement en entrée, à mentionner quand on parle de classification, de modération ou d'évaluation sans génération de texte.
- Côté Next.js, savoir expliquer les Cache Components ('use cache', cacheLife, ensureStatic) devient incontournable : c'est le modèle recommandé pour toute nouvelle app depuis 16.4 et le futur défaut de Next.js 17, en remplacement du caching implicite historique de l'App Router.
- La sécurisation des agents de code passe en production : sandboxing local GA dans Copilot (isolation fichiers, réseau, credentials, serveurs MCP via MXC) — à relier au principe de moindre privilège quand on discute d'agents en entretien.
- Les stacked pull requests GA sur GitHub donnent un vocabulaire concret pour parler de revue de code : petites PR empilées relues séparément, fusion en groupe via la merge queue, approbations conservées au rebase — GitHub avance +9 % de code fusionné.
- Un point d'infra à connaître : le rollover de la KSK de la racine DNS du 11 octobre 2026 (KSK-2024), seulement le deuxième de l'histoire — un résolveur DNSSEC sans la nouvelle ancre de confiance rend tout le web injoignable en SERVFAIL.