Vercel Security Review, Tracing GA i IP allowlist w Claude

W tym tygodniu Vercel wypuścił skaner bezpieczeństwa i udostępnił tracing wszystkim, a Anthropic dał organizacjom w Claude dwie nowe kontrole dostępu. Vercel Security Review (otwiera się w nowej karcie), publiczna beta dla zespołów Pro i Enterprise, przeglądał pushe za darmo do 10 listopada 2026, a teraz jest rozliczany po stawce Vercel Agent; warto go włączyć w jednym projekcie i zobaczyć, co znajdzie w najbliższych pushach i ile to kosztuje. To skaner, nie łatka: podatność we frameworku nadal wymaga aktualizacji, jak przy aktualizacji bezpieczeństwa Next.js 16.4.5 z 3 listopada. Reszta wymaga decyzji, nie aktualizacji: czy nowy domyślny sampling 100% w Tracingu pasuje do aplikacji z dużym ruchem, czy ruch do Claude wychodzi z adresów, które da się wpisać na IP allowlist, i jak ma się zachować Token Pass, gdy skończy się kredyt.

Co	Wersja lub data	Co zrobić
Vercel Security Review (beta)	2 lis, płatny po 10 lis	Wypróbuj w jednym projekcie, z polityką dla autoryzacji
Vercel Tracing GA	6 lis	Sprawdź reguły samplingu w projektach z dużym ruchem
Projekty z datą wygaśnięcia	Vercel CLI 65.12.0, 6 lis	Dodaj flagę do deployów jednorazowych i tych od agenta
json-render w Chat SDK	6 lis	Przekaż limits, a CardSpecError oddaj modelowi
DeepSeek V4.1 Flash 1017 Ultrafast	7 lis, publiczny preview	Tam, gdzie liczy się czas odpowiedzi, z modelem zapasowym
Narzędzia DeepSeek Search i Fetch	AI SDK 6.0.321 lub 7.0.160	Kolejność wyszukiwarek obsłuż w kodzie, jeśli jest ważna
Kredyt Token Pass działa automatycznie	6 lis, Pro	Wybierz twarde zatrzymanie albo płatny fallback
IP allowlist w Claude Console (beta)	5 lis	Najpierw wpisz każdy adres wyjściowy, zostaw adminom furtkę
Wylogowanie członka wszędzie (beta)	5 lis, Claude Enterprise	Dopisz do procedury na zgubiony laptop, razem z kluczami API
Tailwind CSS 4.3.4 i 4.3.5	2 i 6 lis	Zaktualizuj; usuń as: '*.css' z loadera Turbopacka

Vercel

Vercel Security Review sprawdza każdy push, teraz po stawce Agenta

2 listopada 2026 Vercel ogłosił Security Review, nową funkcję Vercel Agent obok Code Review i Investigation. Po włączeniu w ustawieniach Vercel Agent, dla wszystkich projektów albo wybranych, przegląda każdy push do repozytoriów GitHub podłączonych do zespołu, także bezpośrednie pushe na gałąź produkcyjną. Przegląda tylko to, co się zmieniło względem bazy (przy deployu jest nią poprzedni deploy tej gałęzi), czytając diff razem z otaczającym go kodem; sprawdza, czy kod jest osiągalny i jakie zabezpieczenia już istnieją, a każde znalezisko weryfikuje ponownie, zanim je zgłosi. Znaleziska trafiają do panelu Security i do CLI; w repozytoriach prywatnych i wewnętrznych dochodzi check w GitHubie i komentarze w pull requestach. Zespół może zapisać polityki bezpieczeństwa zwykłym językiem i zarządzać nimi przez vercel security policy. Przeglądy były darmowe do 10 listopada 2026, od tego czasu są rozliczane po stawce Vercel Agent: cena tokenów dostawcy bez marży plus 0,25 USD za milion tokenów. Na razie obejmuje tylko kod wypchnięty na GitHub; deploye z Vercel CLI i v0 są w planach.

Nasze zdanie: warto go wypróbować w zespole Pro także teraz, gdy kosztuje tokeny; zacznij od jednego projektu z dużym ruchem i przeczytaj pierwszy rachunek. Skoro każdy przegląd obejmuje tylko zmiany, nie licz na to, że znajdzie brakującą kontrolę uprawnień, która od roku siedzi w kodzie; jest zrobiony pod tę dodaną w przyszłym tygodniu. Najlepiej działa z polityką, która mówi to, o czym recenzent zawsze zapomina, na przykład „każda trasa pod /api/admin sprawdza rolę z sesji”, bo wtedy każdy push jest z nią porównywany.

Vercel Tracing jest ogólnie dostępny, z dłuższą retencją

Changelog Vercel z 6 listopada 2026 ogłasza, że Vercel Tracing jest ogólnie dostępny (otwiera się w nowej karcie) we wszystkich planach, w cenach z bety. Nowa strona Traces pokazuje każdy trace i span projektu albo całego zespołu, z filtrami, trybem Live i wyszukiwaniem w Kibana Query Language (KQL), tymi samymi zapytaniami co vercel traces search --query w CLI. Retencja zależy teraz od planu, a nie od retencji logów: 3 dni w Hobby (w becie 1 godzina), 14 dni w Pro (1 dzień) i 14 dni w Enterprise (3 dni). Nowe projekty na Next.js 16.5 z co najmniej jedną funkcją Node.js dostają tracing po pierwszym udanym buildzie, z regułą samplingu, która śledzi 100% żądań w każdym środowisku; usunięcie wszystkich reguł w Settings → Tracing go wyłącza.

Nasze zdanie: prawdziwa zmiana to retencja. Trace, który w Pro żył jeden dzień, w poniedziałek już nie istniał; 14 dni pozwala wrócić do incydentu po fakcie. Changelog ustawia domyślne 100% dla nowych projektów na Next.js 16.5 i nic nie mówi o istniejących. Gdy założysz projekt z dużym ruchem na 16.5, zdecyduj, czy chcesz zbierać 100% ruchu z preview i produkcji, bo według dokumentacji Tracingu (otwiera się w nowej karcie) to sampling decyduje, co zostaje, zawsze cały trace naraz.

Vercel CLI tworzy projekty, które same się usuwają

Od 6 listopada 2026 vercel deploy --delete-project-after (otwiera się w nowej karcie) nadaje nowemu projektowi termin wygaśnięcia 1h, 1d, 1w, 2w albo 30d, a Vercel usuwa projekt, gdy ten termin minie. Wymaga Vercel CLI 65.12.0 lub nowszego, wypisuje datę wygaśnięcia i działa tylko wtedy, gdy ten deploy tworzy projekt: przy istniejącym projekcie termin się nie zmienia, a CLI ostrzega. vercel project keep my-project zdejmuje termin.

Nasze zdanie: to rozwiązanie dla projektów, o których usunięciu nikt nie pamięta: prototypów, dem na jedną rozmowę, a przede wszystkim projektów zakładanych przez agenta kodującego. Dopisz flagę do jego instrukcji deployu, a lista projektów zespołu sama się posprząta. Usunięcie jest tu celem, więc uruchom vercel project keep, gdy tylko prototyp stanie się czymś, co chcesz zatrzymać.

Agenci w Chat SDK streamują generatywne UI przez json-render

6 listopada 2026 Vercel pokazał, jak agent w Chat SDK streamuje generatywne UI przez json-render (otwiera się w nowej karcie). Model pisze specyfikację JSON z typowanego katalogu komponentów (tabel, wykresów, przycisków), @json-render/chat zamienia ją w kartę Chat SDK, a adapter każdej platformy publikuje kartę w jej własnym formacie, na przykład Block Kit w Slacku albo Adaptive Cards w Teams. streamCard publikuje kartę, gdy jej główny element ma treść, i domyślnie aktualizuje ją najwyżej co 500 ms; toCard sprawdza propsy każdego elementu z jego schematem i rzuca CardSpecError z listą problemów. Platformy ograniczają, ile mieści jedna wiadomość, a adaptery degradują nadmiar (Slack zamienia drugą tabelę w blok kodu); przekazanie limits zamiast tego odrzuca taką specyfikację.

Nasze zdanie: przekazuj limits. Tabela, która po cichu staje się blokiem kodu w Slacku, to błąd, którego nikt nie zgłosi; odrzuconą specyfikację da się poprawić. Listę z CardSpecError oddaj modelowi do ponownej próby, bo do tego ten błąd służy. Jeśli Twój czat działa w aplikacji webowej, a nie w Slacku czy Teams, bliższy będzie streaming z useChat.

AI Gateway

DeepSeek V4.1 Flash 1017 Ultrafast: szybkość za około 33 razy wyższą cenę wyjścia

7 listopada 2026 AI Gateway dodał DeepSeek V4.1 Flash 1017 Ultrafast (otwiera się w nowej karcie) (deepseek/deepseek-v4.1-flash-1017-ultrafast), wersję DeepSeek V4.1 Flash z 17 października serwowaną przez przyspieszony endpoint Fireworks, według Vercel z szybkością ponad 1000 tokenów na sekundę, z oknem kontekstu 1M tokenów. Jest w publicznym preview, bez kolejki i limitu czasu sesji. Na 11 listopada 2026 jego strona modelu (otwiera się w nowej karcie) podaje 2,40 USD za milion tokenów wejściowych i 9,60 USD za milion wyjściowych, a standardowy DeepSeek V4.1 Flash 1017 (otwiera się w nowej karcie) kosztuje od 0,29 USD za milion tokenów wyjściowych u 24 dostawców.

Nasze zdanie: ten sam model za cenę wyjścia około 33 razy wyższą od najtańszej standardowej opłaca się tylko tam, gdzie człowiek czeka na każdy token, na przykład w pętli edycji agenta albo w odpowiedzi czatu. Zadania wsadowe i pracę w tle zostaw na standardowym ID. Wersja Ultrafast działa w preview u jednego dostawcy, więc daj jej standardowy model jako zapasowy.

AI Gateway dodaje narzędzia DeepSeek Search i Fetch

Od 6 listopada 2026 AI Gateway oferuje DeepSeek Search i DeepSeek Fetch (otwiera się w nowej karcie) jako narzędzia dla każdego modelu, który obsługuje wywołania narzędzi, przez jeden klucz AI Gateway: gateway.tools.deepseekSearch({ count }) zwraca strony z tytułami, adresami i streszczeniami, gateway.tools.deepseekFetch() zwraca stronę jako Markdown. Wymagają AI SDK 6.0.321 lub nowszego na v6 albo 7.0.160 lub nowszego na v7. Każde kosztuje 0,75 USD za 1000 płatnych żądań, tokeny modelu osobno; nieudane żądania, przekroczenia czasu i puste wyniki nic nie kosztują. Fetch czyta też adresy z wyników narzędzi Exa i Parallel, ale przejście z jednej wyszukiwarki na drugą zależy od modelu: kolejność dostawców i limity ponowień Vercel nazywa „best effort”.

Nasze zdanie: przydatniejsza jest połowa Fetch, bo każdy wynik wyszukiwania staje się Markdownem, który model przeczyta bez Twojego własnego scrapera. Jeśli potrzebujesz stałej kolejności wyszukiwarek, łap błąd w kodzie, zamiast ufać promptowi systemowemu. A pobrane strony traktuj jak niezaufane dane: agent, który czyta internet, nie powinien bez Twojej zgody mieć narzędzia, które coś zapisuje albo wydaje pieniądze.

Kredyt Token Pass działa teraz z każdym kluczem AI Gateway

Changelog Vercel z 6 listopada 2026 sprawia, że kredyt Token Pass jest naliczany automatycznie (otwiera się w nowej karcie) na zużycie modeli objętych planem, niezależnie od tego, czy żądanie używa klucza API, tokena OIDC czy logowania przez fx; osobny klucz Token Pass nie jest już potrzebny. Gdy kredyt skończy się w danym okresie rozliczeniowym, zwykłe klucze i tokeny OIDC przechodzą na kredyty AI Gateway zespołu, a klucze Token Pass przestają działać do następnego okresu. Żądania przez dostawcę Token Pass zostają w trybie Zero Data Retention (ZDR); żądania po przejściu na kredyty zespołu idą według ustawienia ZDR zespołu. Zmiana dotyczy subskrybentów Token Pass w zespołach Pro.

Nasze zdanie: to klucz, którego używasz, decyduje, jak aplikacja się zatrzyma. Klucz Token Pass daje twarde zatrzymanie, zwykły klucz dalej obsługuje ruch i pobiera kredyty. Wybierz świadomie, a jeśli aplikacja polega na ZDR, włącz ZDR dla całego zespołu, zanim żądania zaczną iść przez fallback.

Claude

Claude Console dostaje IP allowlist

Informacje o wydaniach Claude (otwiera się w nowej karcie) z 5 listopada 2026 dodają IP allowlist dla organizacji w Claude Console, w becie. Według dokumentacji IP allowlistingu (otwiera się w nowej karcie) admin albo właściciel dodaje na stronie Identity and access do 1000 adresów IPv4 lub IPv6 albo zakresów CIDR (nie szerszych niż /8 i /32). Lista obejmuje samą konsolę, endpointy Messages, Batches, Token Counting, Models, Files i Skills, endpointy Claude Managed Agents oraz Admin API i Compliance API. Żądanie spoza listy dostaje 403 permission_error. Claude w Amazon Bedrock, Claude Platform on AWS, Claude Models on Google Cloud i Claude w Microsoft Foundry nie są objęte. Zmiany wchodzą w ciągu do 15 minut, a Anthropic zaleca zostawić opcję, która pozwala adminom wejść na stronę ustawień z dowolnego adresu.

Nasze zdanie: na Vercel działa to tylko ze stałymi adresami wychodzącymi. Vercel Functions wychodzą ze zmiennych adresów, chyba że projekt ma Vercel Static IPs (otwiera się w nowej karcie), w planie Pro 100 USD miesięcznie za projekt plus Private Data Transfer (stan na 11 listopada 2026); Routing Middleware nigdy z nich nie korzysta, a buildy tylko po włączeniu tej opcji. Bez tego zostaje to, co Anthropic zaleca obok allowlisty: krótki termin ważności klucza albo Workload Identity Federation. Zanim zapiszesz listę, dopisz CI i zadania uruchamiane raz w tygodniu; inaczej dostaną 403 kilka dni później.

Wylogowanie członka Claude Enterprise ze wszystkich urządzeń

Te same informacje o wydaniach dodają w becie wywołanie Admin API, które wylogowuje członka Claude Enterprise z Claude wszędzie. Według dokumentacji zarządzania użytkownikami (otwiera się w nowej karcie) POST /v1/organizations/users/{user_id}/sign_out wymaga zakresu write:members i nagłówka anthropic-beta: admin-user-sign-out-2026-10-08. Kończy sesje logowania członka na każdym urządzeniu, jego zaufane urządzenia i tokeny OAuth wydane dla tej organizacji, na przykład te Claude Code. Nie kończy kluczy API (także kluczy Admin API utworzonych przez tę osobę), sesji i rutyn Claude Code w chmurze, komputerów połączonych z Cowork ani tokenów OAuth innych organizacji. Członek zachowuje miejsce w organizacji i może od razu zalogować się ponownie; głównego właściciela nie da się wylogować.

Nasze zdanie: przy zgubionym laptopie to pierwszy krok, nie cała procedura. W tym samym incydencie unieważnij klucze API tej osoby i zatrzymaj jej sesje w chmurze, bo jedne i drugie dalej działają. A skoro można od razu zalogować się ponownie, przejęte konto wymaga też zmiany danych logowania u Twojego dostawcy tożsamości.

Tailwind CSS

Tailwind CSS 4.3.4 i 4.3.5: loader dla Turbopacka, potem poprawka jego dokumentacji

Tailwind CSS 4.3.4 (otwiera się w nowej karcie), wydany 2 listopada 2026, wymienia nowy loader @tailwindcss/turbopack dla Next.js wśród ponad czterdziestu poprawek, w tym przebudowy w Turbopacku i webpacku po zmianie wejściowego CSS oraz samodzielnych binarek dla macOS, które uruchamiają się na macOS 27. Tailwind CSS 4.3.5 (otwiera się w nowej karcie) wyszedł 6 listopada z siedmioma poprawkami: color-mix() bez metody interpolacji już nie wywraca builda, wersja WASM nie zawiesza się w WebContainers, a ustawienie as: '*.css' zniknęło z README @tailwindcss/turbopack, bo psuło moduły CSS.

Nasze zdanie: jeśli loader Turbopacka trafił do projektu w ostatnich czterech dniach według README z 4.3.4, usuń as: '*.css' z konfiguracji i zaktualizuj do 4.3.5. W pozostałych przypadkach obie wersje to bezpieczne poprawki.

Dalsza lektura