Nowości web dev: Next.js 16.4.3, budżet Vercel, Agent Skills

W nowościach web dev z tego tygodnia chodzi głównie o dane dostępowe i agentów, a nie o zmiany łamiące zgodność. Next.js 16.4.3 (otwiera się w nowej karcie) (23 października 2026) to łatka z poprawkami błędów, bez poprawek bezpieczeństwa, więc po zeszłotygodniowych łatkach na RCE w React i Next.js możesz ją wdrożyć we własnym tempie. Vercel cały tydzień zajmował się dostępem: budżety wydatków z CLI, termin dla integracji z Marketplace, które wciąż używają długoterminowych kluczy, i opis tego, jak jego własny agent dotyka produkcji. Anthropic oddał standard Agent Skills fundacji Agentic AI Foundation, a jego nowa wersja API przyszła razem z SDK, które łamią kod; to opisujemy w aktualizacji Anthropic SDK do wersji API 2026-10-21.

Co	Wersja lub data	Co zrobić
Next.js	16.4.3, 23 paź	Zwykła łatka; lżejsze proxy.ts i spójne ślady
Limit wydatków w Vercel CLI	23 paź	Ustaw budżet w CI albo skrypcie; o --pause decyduj świadomie
Długoterminowe statyczne klucze	22 paź, termin 30 lis	Przenieś klucze chmurowe na OIDC; sprawdź integracje z Marketplace
Vercel Agent na produkcji	23 paź	Skopiuj wzorzec zatwierdzania planu do własnych agentów
Zgłoszenia z Vercel MCP	23 paź	Zgłaszaj błędy z poziomu agenta, który na nie trafił
Agent Skills w AAIF	22 paź	Nic się nie psuje; śledź specyfikację na agentskills.io
Claude API i SDK	21 i 22 paź	Aktualizuj SDK celowo; sprawdzaj pola blokad klientów

Next.js

Next.js 16.4.3: lżejsze proxy.ts i ślady OpenTelemetry w jednym kawałku

Next.js 16.4.3 ukazał się 23 października 2026 jako backport ośmiu zmian z canary; żadna nie jest poprawką bezpieczeństwa. Dla działających aplikacji liczą się dwie. Don't load the app-page runtime in proxy.ts (otwiera się w nowej karcie) sprawia, że import czegokolwiek z next/server nie wciąga już runtime’u stron App Routera ważącego 688 KB. Backport przytacza pomiar z pierwotnego pull requesta, zrobiony na canary na minimalnym proxy, nie na 16.4.3 i nie przez nas: zimny start spadł z 53,8 ms do 39,1 ms, a ładowany JavaScript z 1466 KB do 748 KB. Keep OpenTelemetry request traces together (otwiera się w nowej karcie) składa przygotowanie trasy, middleware i render jednego żądania z powrotem w jeden ślad i naprawia middleware w Node.js, które gubiło kontekst rodzica (regresja z 16.3). Reszta: adresy Google Fonts bez rozszerzenia działają w obu bundlerach, cofnięto zmianę unieważniania loaderów w Turbopacku, start serwera nie ładuje już osobnej kopii Reacta, do tego zmiany w procesie wydawniczym i testach.

Nasze zdanie: jeśli Twoje proxy działa przy każdym żądaniu, mniejszy bundel to darmowy zysk na zimnym starcie, a jeśli wysyłasz ślady do backendu OpenTelemetry, żądania przestaną się rozpadać na kilka osieroconych śladów. Nic z tego nie jest pilne; przejdź z 16.4.2 przy najbliższym wdrożeniu.

Vercel

Vercel CLI dostaje zarządzanie wydatkami: vercel budgets

Od 23 października 2026 Vercel CLI zarządza budżetem On-Demand zespołu (otwiera się w nowej karcie), tym samym, który widać w ustawieniach rozliczeń. vercel budgets pokazuje bieżące wydatki, aktywny budżet i trzy ostatnie alerty; vercel budgets set --amount <dolary> go ustawia (--scope <zespół> wybiera zespół); vercel budgets remove --yes go usuwa; vercel budgets alerts wypisuje historię alertów z --since, --until, --limit i --json. Sam budżet tylko powiadamia. Z --pause produkcyjne wdrożenia wszystkich projektów zespołu wstrzymują się przy 100% budżetu i przestają być dostępne. Potrzebna jest rola Owner albo Billing; funkcja nic nie kosztuje w planie Pro i w Enterprise z planem Flexible Commitment.

Nasze zdanie: budżet to teraz jedna linijka w skrypcie zakładającym zespół, więc każdy nowy zespół może zaczynać z limitem. --pause traktuj jako decyzję o przestoju, nie o pieniądzach: zdejmuje produkcję, więc stosuj go przy projektach pobocznych i demach, a przy wszystkim, co zarabia, zostaw budżet tylko z alertami.

Vercel wyznacza termin dla długoterminowych statycznych kluczy

W tekście Death to long-lived static credentials (otwiera się w nowej karcie) z 22 października 2026 Malte Ubl przekonuje, że klucze API i hasła do baz danych powinny domyślnie ustąpić krótkotrwałym tokenom opartym na tożsamości, i przytacza badanie ponad 1000 dostawców SaaS, z których 8,4% obsługiwało takie uwierzytelnianie. Tekst wymienia, co Vercel oferuje dziś: federację OIDC (aplikacja wymienia token tożsamości wydany przez Vercel na tymczasowe dane dostępowe AWS, Google Cloud albo Azure na zasadach zaufania ustawionych dla projektu i środowiska; ogólnie dostępna od 2024), OIDC dla Vercel Blob, AI Gateway i Sandbox, własnych odbiorców (audience) tokenów oraz Vercel Connect dla aplikacji i agentów, które potrzebują tokenów dostawców w czasie działania. Podaje też daty: do 30 listopada 2026 dostawcy z Marketplace, którzy nie obsługują OIDC od Vercel i wciąż polegają na długoterminowych sekretach, dostaną etykietę „Not secure”, a w styczniu 2027 te bez bezpiecznego uwierzytelniania znikną z katalogu.

Nasze zdanie: termin dotyczy dostawców, ale spada na Twoje projekty. Spisz już teraz integracje, z których korzystasz, i klucze chmurowe w zmiennych środowiskowych; wszystko, co przyjmie token OIDC z Vercel, powinno go dostać, bo klucz, który nie opuszcza platformy, nie wycieknie przez log, repozytorium ani kontekst agenta.

Jak Vercel Agent bezpiecznie dostaje się do produkcji

23 października 2026 Tom Dale opisał, jak Vercel Agent uzyskuje dostęp do produkcji (otwiera się w nowej karcie). Każdy zakres read: należy do bazowego zestawu, z którego agent korzysta bez pytania; wszystko ponad to, na przykład read-write:deployment przy ponownym wdrożeniu albo otwarcie pull requesta na GitHubie, trafia do planu, który użytkownik zatwierdza w całości. Agent działa jako Vercel App, więc jego dostęp nigdy nie przekroczy roli zatwierdzającego. Tokeny z usługi OAuth Vercel są krótkotrwałe i mają zakresy, a API odrzuca żądanie spoza nich nawet wtedy, gdy model uważa je za potrzebne. Plany są sprawdzane względem tego samego rejestru zakresów, którego używa usługa OAuth, a przed wznowieniem planu środowisko sprawdza, czy plan jest nadal aktywny, więc zatrzymany plan nie zadziała na tokenie, który jeszcze nie wygasł.

Nasze zdanie: to wzorzec do skopiowania, jeśli dajesz własnemu agentowi dostęp do produkcji. Czytanie swobodnie, zapis tylko po zatwierdzonym planie, limit na uprawnieniach użytkownika i egzekwowanie zakresów w API, a nie w prompcie. Sam tekst zauważa, że dostęp tylko do odczytu też może ujawnić konfigurację, a logi budowania mogą zawierać złośliwe instrukcje.

Zgłoszenia prosto z Vercel MCP

Od 23 października 2026 serwer Vercel MCP ma narzędzie submit_feedback (otwiera się w nowej karcie): poproś agenta o zgłoszenie błędu, utrudnienia albo prośby o funkcję, a może dołączyć zadanie, oczekiwany wynik, faktyczny wynik i rodzaj zgłoszenia. Narzędzie wymaga zalogowania i wysyła coś tylko na Twoją prośbę.

Nasze zdanie: drobiazg, ale przydatny jest kontekst. Kiedy deploy_to_vercel zawiedzie w sesji agenta, agent może złożyć zgłoszenie z dokładnym krokiem, który się wysypał, póki jeszcze go pamięta, zamiast żebyś odtwarzał go w formularzu wsparcia.

Claude

Anthropic przekazuje Agent Skills fundacji Agentic AI Foundation

22 października 2026 Anthropic przekazał standard Agent Skills fundacji Agentic AI Foundation (otwiera się w nowej karcie) (AAIF), projektowi Linux Foundation, który współzałożył z Block i OpenAI i w którym jest już Model Context Protocol. Darowizna obejmuje standard, jego nazwę i logo, organizację agentskills na GitHubie (otwiera się w nowej karcie) i domenę agentskills.io. Utrzymują go jako osoby prywatne inżynierowie z Anthropic, Google, OpenAI i innych firm, a głównymi opiekunami są David Soria Parra i Mahesh Murag; proponowany plan to wersjonowane wydania, formalny proces propozycji i wytyczne bezpieczeństwa dla tych, którzy piszą i instalują skille. Anthropic liczy ponad 70 platform agentowych obsługujących Skills, milion opublikowanych skilli i blisko 280 milionów instalacji.

Nasze zdanie: dziś nie trzeba niczego zmieniać; ogłoszenie zmienia to, kto zarządza standardem, a nie format Twoich skilli. Zmienia się to, że format nie należy już do jednego dostawcy, więc skill staje się rozsądnym sposobem, by przekazać konwencje zespołu każdemu agentowi, którego używacie. Zanim zaczniesz instalować skille od obcych, poczekaj na pierwsze wersjonowane wydanie i jego wytyczne bezpieczeństwa.

Claude API w wersji 2026-10-21 i dwie mniejsze zmiany platformy

Informacje o wydaniach Claude (otwiera się w nowej karcie) z 21 października 2026 ogłaszają wersję API 2026-10-21 i nowe SDK, które domyślnie ją wysyłają (TypeScript 1.0.0, Python 2.0.0, Go 2.0.0, Java 3.0.0, C# 13.0.0, PHP 1.0.0, Ruby 2.0.0 i CLI ant 2.0.0), z licencją zmienioną z MIT na Apache 2.0. Tego samego dnia profile użytkowników (otwiera się w nowej karcie) dostały pola enforcement_status i enforcement_actions, które pokazują, czy Anthropic ograniczył albo zablokował któregoś z Twoich klientów końcowych, a lista profili przyjmuje filtr enforcement_status[]. 22 października Anthropic uruchomił Claude Models on Google Cloud (Anthropic managed) (otwiera się w nowej karcie): Claude API prowadzone przez Anthropic, dostępne przez projekt w Google Cloud, z dostępem przez Google Cloud IAM i rozliczeniem przez Google Cloud Marketplace; działa tam też fast mode dla Claude Opus 5.5.

Nasze zdanie: nie pozwól, by bot od zależności przeniósł Cię na nową główną wersję SDK bez przeglądu; nasz przewodnik po migracji na wersję API 2026-10-21 wymienia, co się psuje i w jakiej kolejności to naprawiać. Jeśli odsprzedajesz Claude własnym użytkownikom, odpytuj filtr blokad, żeby zablokowane konto pojawiło się w Twoim panelu administracyjnym, zanim pojawi się jako nieudane żądania.

Dalsza lektura