Connection Allowlists: файрвол внутри браузера
25 августа 2026 Chrome 152 выпустил Connection Allowlists: один HTTP-заголовок задаёт разрешённые адресаты, всё остальное браузер блокирует сам.
Блог
Node.js 26.8: нативный ZIP внутри node:zlib
Node.js 26.8.0 добавляет нативный ZIP в node:zlib: ZipFile, ZipEntry и ZipBuffer — на одну зависимость меньше, но с важными оговорками.
Kitesurf: браузер Cloudflare для AI-агентов
Cloudflare представила Kitesurf — браузер для агентов на V8-изолятах в Workers: в 3–7 раз меньше CPU и памяти, чем Chromium.
Agent Plugins 1.0: один пакет для skills и MCP
12 августа 2026 Agent Plugins 1.0 стал GA в VS Code и Copilot CLI: один переносимый пакет для skills и MCP-серверов. Что именно он стандартизирует.
Node.js 26.7.0: трассировка через Perfetto
Node.js 26.7.0 добавляет трассировку Perfetto: protobuf-файлы .pftrace вместо устаревшего JSON. Что изменилось, как собрать и какие оговорки.
npm-червь ставит хуки в ваш AI-агент
4 августа 2026 червь заразил keyv и 400+ npm-пакетов и прописал SessionStart-хуки в .claude/settings.json. Что проверить и как закрепить версии.
Node.js 26.6: TCP-сокеты уходят в worker threads
В Node.js 26.6.0 net.Server и net.Socket можно передавать в worker threads — параллелизм в одном процессе без налога на IPC. Разбираем ограничения.
WebMCP: сайт как набор инструментов для агентов
С Chrome 149 WebMCP позволяет странице самой объявлять инструменты для AI-агентов вместо угадывания. Примеры кода и реальные ограничения.
npm-малварь теперь срабатывает при import
Атаки на npm в июле 2026 выполняются при import, а не при установке — --ignore-scripts больше не спасает. Что изменилось и что делать.
Node.js закрыл 10 CVE: четыре — в модели разрешений
29 июля 2026 Node.js выпустил 22.23.2, 24.18.1 и 26.5.1, закрыв 10 CVE — четыре в модели разрешений. Что патчить и о чём перестать догадываться.
x402: код HTTP 402 стал платёжным протоколом
Linux Foundation запустил x402 с 40 участниками 14 июля 2026: как код HTTP 402 стал платёжным рукопожатием для ИИ-агентов и платных API.
Oxlint: типизированный линтинг стал стабильным
Типизированный линтинг в Oxlint стал стабильным: 59 из 61 правила typescript-eslint и ускорение до 12× благодаря движку tsgolint на TypeScript 7.
npm 12: install-скрипты теперь по согласию
npm 12 отключил install-скрипты по умолчанию 8 июля 2026. Практический гид по миграции: approve-scripts, список разрешений и что ломается в CI.
PostgreSQL 19: меньше кода приложения, больше SQL
PostgreSQL 19 Beta 2 вышла 16 июля 2026: upsert за один запрос, read-your-writes на репликах и темпоральные UPDATE — меньше кода в приложении.
Next.js: июльский патч безопасности 2026 — 9 CVE
20 июля 2026 Next.js выпустил первый плановый релиз безопасности: 9 CVE, включая обход middleware и SSRF. Что изменилось и как безопасно обновиться.
Temporal в ES2026: конец мучениям с датами в JS
В марте 2026 Temporal достиг Stage 4 и вошёл в ES2026: неизменяемые типы, часовые пояса из коробки и арифметика длительностей без библиотек. Что изменилось и как перейти безопасно.
MCP 2026-07-28: настоящая аутентификация агентов
Спецификация MCP 2026-07-28: серверы-ресурсы OAuth 2.1, токены с привязкой к аудитории (RFC 8707) и CIMD. Что меняется в аутентификации агентов.
TypeScript 7: нативный компилятор, в 10× быстрее
8 июля 2026 TypeScript 7.0 вышел в GA: нативный компилятор на Go, сборки в 10× быстрее. Что изменилось, какие оговорки и как безопасно обновиться.
QUERY: первый новый HTTP-метод за много лет
В июне 2026 вышел RFC 10008 с методом QUERY — безопасный и кэшируемый запрос как GET, но с телом как у POST. Какую проблему он закрывает и когда его реально применять?