Nowości Vercel: Schedules zamiast cron jobs, Security Review
Nowości Vercel z 2–9 listopada 2026: Schedules zastępują cron jobs, Security Review płatny po 10 listopada, workflow 5.4.0 i znak wodny w tekstach Claude.
W tym tygodniu Vercel wprowadził Vercel Schedules do publicznej bety (otwiera się w nowej karcie) jako następcę Vercel cron jobs, otworzył Security Review dla zespołów Pro i Enterprise, za darmo do 10 listopada 2026, i dodał idempotentne starty w workflow 5.4.0; znak wodny Anthropic obejmuje teraz Claude Mythos 5, Opus 4.7 i Sonnet 4.6. Jedna rzecz wymaga działania od razu: jeśli startujesz workflow z webhooków, przejdź na 5.4.0. Darmowe przeglądy Security Review skończyły się 10 listopada, więc teraz płacisz za tokeny. Narzędzie czyta twój kod w poszukiwaniu podatności; to nie jest łatka, a jeśli używasz Next.js, zaktualizuj go do Next.js 16.4.5 z poprawkami bezpieczeństwa lub nowszego.
| Co | Wersja lub data | Co zrobić |
|---|---|---|
| Vercel Schedules (publiczna beta) | 4 i 5 lis | Przenieś cron jobs przy najbliższej zmianie; ustaw GET |
| Vercel Security Review (publiczna beta) | 3 lis, za darmo do 10 lis | Już płatny: sprawdź na jednym repo, pilnuj kosztu tokenów |
| Skanowanie tokenów w nowych źródłach | 4 lis | Unieważniony token wyciekł: wymień go i znajdź wyciek |
| Vercel CI bez podpiętego projektu | 3 lis | Usuń puste projekty; tylko prywatne repozytoria GitHub |
| Idempotentne starty w Workflow SDK | workflow 5.4.0, 4 lis | Zastąp getHookByToken(), a potem start() |
| Ampersand w AI Gateway | 6 lis, za darmo do 13 lis | Wypróbuj, jeśli budujesz bota do czatów grupowych |
| Gemini Omni 1.2 Flash w AI Gateway | 5 lis | Sprawdź cenę klipu, zanim na nim zbudujesz |
| Kimi K3.1 Pro u kolejnych dostawców ZDR | 4 lis | Obsłuż błąd, gdy żaden dostawca ZDR nie jest dostępny |
| Znak wodny w tekstach Claude | 3 lis | Nic do zmiany; na Sonnet 4.6 pomiń ustawienia próbkowania |
Vercel
Vercel Schedules: następca Vercel cron jobs
Vercel przedstawił Schedules (otwiera się w nowej karcie) 4 listopada 2026, a 5 listopada udostępnił je w publicznej becie na wszystkich planach. Harmonogram działa według wyrażenia cron albo raz, o wskazanej porze, a jego celem jest ścieżka, prywatna Vercel Function albo temat w Vercel Queues. Statyczne harmonogramy siedzą w vercel.json i zmieniają się przy wdrożeniu; dynamiczne tworzy się w trakcie działania aplikacji przez @vercel/ (otwiera się w nowej karcie) (0.0.3 w npm od 4 listopada) i trafiają one do tematu kolejki. Dokumentacja Schedules (otwiera się w nowej karcie) nazywa Cron Jobs funkcją legacy, która zostanie przeniesiona do Schedules w terminie jeszcze niepodanym; istniejące zadania dalej działają. Na Hobby Cron Jobs uruchamiają się najwyżej raz dziennie, a harmonogram może działać co 15 minut, z 5000 uruchomień i 500 utworzeń dynamicznych harmonogramów w cenie na okres rozliczeniowy, według limitów Schedules (otwiera się w nowej karcie). Pro i Enterprise płacą 5 USD za milion uruchomień i 10 USD za milion utworzonych harmonogramów. Coś za coś: harmonogram startuje w oknie jittera (domyślnie 1 minuta na Pro, zawsze 15 minut na Hobby), a Cron Job na Pro odpala dokładnie o swojej minucie.
Nasze zdanie: na Hobby to duża zmiana: zadanie co 15 minut to 2880 uruchomień w 30-dniowym miesiącu, więc jeden taki harmonogram mieści się w 5000, a dwa już nie, i po przekroczeniu limitu Vercel pomija uruchomienia do następnego okresu. Na Pro nie ma terminu, więc przenieś zadania przy najbliższej zmianie w vercel.json, według przewodnika migracji (otwiera się w nowej karcie): harmonogramy ze ścieżką domyślnie wysyłają POST, więc dodaj "requestMethod": "GET", a wpis z crons usuń w tej samej zmianie, inaczej trasa uruchomi się dwa razy. Potem zamień trasę na prywatną funkcję: ścieżka crona to publiczny URL, którego chroni tylko twoje sprawdzenie CRON_SECRET.
Vercel Security Review: publiczna beta, płatny po 10 listopada
Vercel Security Review (otwiera się w nowej karcie) wszedł w publiczną betę dla zespołów Pro i Enterprise 3 listopada 2026. Po włączeniu w ustawieniach Agent zespołu przegląda każdy push do podłączonego repozytorium GitHub, łącznie z force pushami na gałęzie produkcyjne, i pokazuje znaleziska z podsumowaniem, propozycją poprawki i oceną wagi nadaną przez AI w panelu Vulnerabilities; każdy commit dostaje check, a pull requesty komentarze z przeglądu. „Fix with Vercel Agent” otwiera pull request z poprawką, a vercel security vulnerabilities (CLI 65.10.0 lub nowsze) wypisuje znaleziska w terminalu. Przeglądy są darmowe do 10 listopada 2026, potem rozliczane według stawki Vercel Agent: inferencja modelu po cenie tokenów, bez marży, plus 0,25 USD za milion tokenów. Vercel pisze wprost, że narzędzie czyta tylko kod źródłowy i nie jest audytem bezpieczeństwa.
Nasze zdanie: darmowe przeglądy skończyły się 10 listopada, więc każdy przegląd kosztuje teraz tokeny. Jeśli chcesz go wypróbować, zacznij od repozytorium z najbardziej ryzykownym kodem i przeczytaj, co znajdzie przy prawdziwym pushu. Rachunek rośnie z liczbą pushy i zmienionych linii, więc monorepo z wieloma drobnymi pushami zapłaci więcej, niż sugeruje jego rozmiar; ustal, ile chcesz wydawać, zanim włączysz go na kolejnych repozytoriach. Ocenę wagi traktuj jak zgadywanie modelu, a nie wynik, według którego można sortować backlog.
Skanowanie tokenów obejmuje npm, Dockera, PyPI i więcej
Od 4 listopada 2026 skanowanie tokenów Vercela (otwiera się w nowej karcie) przyjmuje zgłoszenia od Truffle Security o tokenach Vercela ujawnionych na GitHubie, GitLabie, w Dockerze, npm, PyPI, Hugging Face, aplikacjach Android (APK) i dodatkach do Firefoksa, a każdy nowy miesięczny zbiór Common Crawl Vercel skanuje sam. Znaleziony tam token jest unieważniany, a jego właściciel dostaje e-mail; Vercel pisze, że unieważnił już setki.
Nasze zdanie: unieważnienie chroni przed tym, że ktoś inny nabije ci rachunek za Vercel Sandbox albo AI Gateway. Skutek uboczny to job w CI albo skrypt, który przestaje działać w dniu, w którym to się stanie. Jeśli dostaniesz e-mail, nie wklejaj po prostu nowego tokenu w to samo miejsce: stary wyciekł z jednego z miejsc powyżej, na przykład z opublikowanej paczki albo obrazu Dockera, więc znajdź wyciek, a nowy token, z możliwie wąskim zakresem, trzymaj w sekrecie.
Vercel CI nie wymaga już podpiętego projektu
Od 3 listopada 2026 Vercel CI działa na repozytorium GitHub bez podpiętego projektu (otwiera się w nowej karcie). Z zainstalowaną aplikacją Vercel na GitHubie i prawem zapisu lub administratora w repozytorium wystarczy uruchomić vercel ci enable w klonie (--scope <team> dla innego zespołu), a zadania ruszą od następnego pusha. Na razie obsługiwane są tylko prywatne repozytoria GitHub.
Nasze zdanie: biblioteki, backendy i inne repozytoria, które nigdy nie wdrażają się na Vercelu, nie potrzebują już pustego projektu tylko po to, żeby mieć CI. Usuń takie zaślepki, gdy CI zadziała bez nich; tylko zaśmiecają panel.
Workflow SDK 5.4.0: idempotentne starty
workflow 5.4.0 (otwiera się w nowej karcie), opublikowany w npm 4 listopada 2026, pozwala start() przyjąć uruchomienie i zająć hook w jednym atomowym kroku (otwiera się w nowej karcie). Przekazujesz experimental_hook: { token } z tokenem z własnej domeny, na przykład order:${orderId}: drugi start() z tym samym tokenem nie tworzy uruchomienia i rzuca HookConflictError z conflictingRunId, a resumeHook(token, payload) przekazuje dane duplikatu do uruchomienia, które token posiada. experimental_minRetention trzyma token zajęty przez jakiś czas po zakończeniu uruchomienia, więc spóźnione duplikaty też są odrzucane. To zastępuje wzorzec „najpierw getHookByToken(), potem start()”, w którym między tymi dwoma wywołaniami był wyścig.
Nasze zdanie: jeśli startujesz workflow z webhooków, zaktualizuj. Bramki płatności i serwisy Git ponawiają doręczenia, a dwie próby, które przyjdą naraz, mogły obie przejść sprawdzenie i uruchomić dwa workflow; teraz jedna z nich dostaje błąd, który możesz złapać. Ustaw experimental_minRetention na co najmniej okno ponowień swojego dostawcy i przypnij wersję, bo obie opcje są wciąż oznaczone jako eksperymentalne.
AI Gateway
Ampersand od Humans& za darmo do 13 listopada
6 listopada 2026 AI Gateway dodał Ampersand (otwiera się w nowej karcie) (humansand/), model do rozmów grupowych zbudowany na otwartym modelu GLM 5.3 od Z.ai. Czyta każdą wiadomość na czacie, także te nieskierowane do niego, i po każdej decyduje, czy się odezwać. Aplikacja daje mu dwa narzędzia, send_message i pass, i sama je wykonuje. W AI Gateway jest za darmo do 13 listopada 2026.
Nasze zdanie: ciekawe jest pass: bot na firmowym czacie, który umie zamilknąć, irytuje mniej niż taki, który odpowiada na wszystko. Jeśli takiego budujesz, darmowe okno wystarczy, żeby sprawdzić go na nagranej rozmowie; w wersji 0.1 to jeszcze nie jest model do wdrożenia.
Gemini Omni 1.2 Flash generuje wideo przez AI SDK
Od 5 listopada 2026 google/ (otwiera się w nowej karcie) jest w AI Gateway: wideo od 3 do 15 sekund z dźwiękiem, od 360p do 4K, w proporcjach 16:9 lub 9:16, z promptu tekstowego albo z klipu źródłowego z maksymalnie sześcioma obrazami referencyjnymi. Jedno wywołanie może przedłużyć wideo o 3 do 10 sekund, łącznie do 30 sekund, a previousInteractionId pozwala poprawić klip w kolejnym wywołaniu. Wywołujesz go przez generateText lub streamText w AI SDK i odczytujesz wideo z files.
Nasze zdanie: wideo staje się kolejnym modelem za tym samym kluczem i tymi samymi wywołaniami Vercel AI SDK, bez zakładania konta Google. Changelog nie podaje ceny za sekundę, a przy wideo pętla ponowień szybko robi się droga, więc sprawdź stawkę na stronie modelu w AI Gateway i ogranicz rozdzielczość oraz długość w kodzie, zanim na nim zbudujesz.
Kimi K3.1 Pro u kolejnych dostawców Zero Data Retention
4 listopada 2026 Kimi K3.1 Pro i Kimi K3.1 Pro Highspeed (otwiera się w nowej karcie) (moonshotai/, moonshotai/, kontekst 1M tokenów, wejście obrazów) stały się dostępne u kolejnych dostawców z umową Zero Data Retention (ZDR, brak przechowywania danych); wcześniej jedynym dostawcą był Moonshot AI. Z włączonym ZDR AI Gateway kieruje żądania tylko do dostawców, którzy mają z nim taką umowę. Wymagasz go dla pojedynczego żądania przez zeroDataRetention: true w providerOptions.gateway albo dla całego zespołu w ustawieniach AI Gateway. Gdy żaden dostawca ZDR nie jest dostępny, żądanie kończy się błędem, zamiast trafić do dostawcy bez ZDR. Dokumentacja ZDR w AI Gateway (otwiera się w nowej karcie) dodaje, że ZDR wymaga płatnego konta (Pro, Enterprise albo kupione kredyty AI Gateway), że ZDR dla żądania nic nie kosztuje, a dla całego zespołu 0,10 USD za 1000 żądań, i że błąd to 400 z typem no_zdr_providers_available.
Nasze zdanie: jeśli twój zespół wymaga ZDR, Kimi K3.1 Pro to teraz model, do którego możesz kierować ruch z więcej niż jednym dostawcą za nim, więc awaria u Moonshot AI już go nie zatrzymuje. Changelog nie wymienia nowych dostawców, więc sprawdź listę dostawców modelu, zanim zaczniesz liczyć na przełączanie, i obsłuż no_zdr_providers_available w kodzie jako spodziewaną odpowiedź, a nie awarię.
Claude
Claude Mythos 5, Opus 4.7 i Sonnet 4.6 mają już znak wodny w tekście
Informacje o wydaniach Claude (otwiera się w nowej karcie) z 3 listopada 2026 rozszerzają znak wodny Anthropic w tekście na Claude Mythos 5, Claude Opus 4.7 i Claude Sonnet 4.6. Według strony How Claude marks AI-generated content (otwiera się w nowej karcie) jest on nakładany na poziomie modelu, w Claude API, Claude, Claude Code oraz przez AWS, Google Cloud i Microsoft Foundry, a sposób na jego wyłączenie nie jest opisany; wykrywanie jest w prywatnym podglądzie dla uprawnionych organizacji, takich jak regulatorzy, media i firmy sprawdzające własne teksty. Dokumentacja znaku wodnego (otwiera się w nowej karcie) mówi, że nie dodaje on tokenów ani ukrytych znaków i nie zawiera informacji o tobie. Na Sonnet 4.6 tekst z żądania, które ustawia temperature, top_p lub top_k na wartość inną niż domyślna, może go nie mieć.
Nasze zdanie: w kodzie nie trzeba nic zmieniać i nie ma czego usuwać, bo żadne znaki nie są dodawane. Zakładaj, że tekst z tych modeli, który publikujesz, może zostać rozpoznany jako tekst Claude przez kogoś z dostępem do wykrywania. Jeśli polegasz na znaku, żeby dowieść pochodzenia tekstu, na Sonnet 4.6 pomiń wszystkie trzy ustawienia próbkowania, także te, które framework ustawia za ciebie.
Czy Vercel cron jobs są wycofywane?
Mają status legacy. Dokumentacja Vercela (stan na 9 listopada 2026) mówi, że Cron Jobs zostaną w przyszłości przeniesione do Vercel Schedules, bez podanej daty, a istniejące zadania dalej działają. Schedules, w publicznej becie od 5 listopada 2026, dodają strefy czasowe, prywatne cele, jednorazowe uruchomienia, działanie w środowiskach Preview i własnych oraz włączanie, wyłączanie i ręczne uruchamianie każdego harmonogramu bez nowego wdrożenia.
Jak często może działać cron job na planie Vercel Hobby?
Cron Job na Hobby uruchamia się najwyżej raz dziennie, w dowolnym momencie zaplanowanej godziny. Vercel Schedule na Hobby może działać co 15 minut, w 15-minutowym oknie jittera, a zespół Hobby ma 5000 uruchomień i 500 utworzeń dynamicznych harmonogramów na okres rozliczeniowy. Po przekroczeniu któregoś limitu Vercel pomija zaplanowane uruchomienia do następnego okresu.
Jak przenieść Vercel cron jobs do Schedules?
W vercel.json zamień każdy wpis z crons na wpis w schedules pod własną nazwą, z tym samym path i schedule oraz requestMethod ustawionym na GET, bo harmonogramy ze ścieżką domyślnie wysyłają POST. Wpisy crons usuń w tej samej zmianie, inaczej trasa uruchomi się dwa razy, a potem wdróż na produkcję. Sprawdzanie CRON_SECRET działa dalej.
Czy Vercel Security Review jest darmowy?
Już nie: przeglądy były darmowe do 10 listopada 2026. Vercel Security Review, w publicznej becie dla zespołów Pro i Enterprise od 3 listopada 2026, jest teraz rozliczany według stawki Vercel Agent: inferencja modelu po cenie tokenów dostawcy bez marży plus 0,25 USD za milion tokenów. Koszt rośnie z liczbą pushy i ilością zmienionego kodu.
Czy można wyłączyć znak wodny w tekstach Claude?
Anthropic nie opisuje takiej możliwości. Znak wodny jest nakładany na poziomie modelu na każdej platformie, od Claude API po AWS, Google Cloud i Microsoft Foundry. Nie dodaje tokenów ani ukrytych znaków i nie zawiera informacji o tobie. Na Claude Sonnet 4.6 tekst z żądania, które ustawia temperature, top_p lub top_k na wartość inną niż domyślna, może go nie mieć.