--- title: "Nowości web dev: Next.js 16.4.3, budżet Vercel, Agent Skills" description: "Nowości web dev z 18–25 października 2026: Next.js 16.4.3 odchudza proxy.ts, Vercel CLI ustawia limit wydatków, OIDC zamiast kluczy, Agent Skills w AAIF." canonical_url: "https://www.outofplace.space/pl/blog/nowosci-web-dev-2026-10-25" language: "pl" last_updated: "2026-10-25" alternates: en: "https://www.outofplace.space/blog/dev-digest-2026-10-25.md" --- # Nowości web dev: Next.js 16.4.3, budżet Vercel, Agent Skills > Nowości web dev z 18–25 października 2026: Next.js 16.4.3 odchudza proxy.ts, Vercel CLI ustawia limit wydatków, OIDC zamiast kluczy, Agent Skills w AAIF. Opublikowano 2026-10-25 · Kategoria: AI dla programistów · Tagi: Next.js, Claude, agenci AI W nowościach web dev z tego tygodnia chodzi głównie o dane dostępowe i agentów, a nie o zmiany łamiące zgodność. [Next.js 16.4.3](https://github.com/vercel/next.js/releases/tag/v16.4.3) (23 października 2026) to łatka z poprawkami błędów, bez poprawek bezpieczeństwa, więc po zeszłotygodniowych [łatkach na RCE w React i Next.js](https://www.outofplace.space/pl/blog/nowosci-web-dev-2026-10-18) możesz ją wdrożyć we własnym tempie. Vercel cały tydzień zajmował się dostępem: budżety wydatków z CLI, termin dla integracji z Marketplace, które wciąż używają długoterminowych kluczy, i opis tego, jak jego własny agent dotyka produkcji. Anthropic oddał standard Agent Skills fundacji Agentic AI Foundation, a jego nowa wersja API przyszła razem z SDK, które łamią kod; to opisujemy w [aktualizacji Anthropic SDK do wersji API 2026-10-21](https://www.outofplace.space/pl/blog/anthropic-sdk-migracja-api-2026-10-21). | Co | Wersja lub data | Co zrobić | | ----------------------------------- | ----------------------- | ------------------------------------------------------------------ | | Next.js | 16.4.3, 23 paź | Zwykła łatka; lżejsze proxy.ts i spójne ślady | | Limit wydatków w Vercel CLI | 23 paź | Ustaw budżet w CI albo skrypcie; o `--pause` decyduj świadomie | | Długoterminowe statyczne klucze | 22 paź, termin 30 lis | Przenieś klucze chmurowe na OIDC; sprawdź integracje z Marketplace | | Vercel Agent na produkcji | 23 paź | Skopiuj wzorzec zatwierdzania planu do własnych agentów | | Zgłoszenia z Vercel MCP | 23 paź | Zgłaszaj błędy z poziomu agenta, który na nie trafił | | Agent Skills w AAIF | 22 paź | Nic się nie psuje; śledź specyfikację na agentskills.io | | Claude API i SDK | 21 i 22 paź | Aktualizuj SDK celowo; sprawdzaj pola blokad klientów | ## Next.js ### Next.js 16.4.3: lżejsze proxy.ts i ślady OpenTelemetry w jednym kawałku Next.js 16.4.3 ukazał się 23 października 2026 jako backport ośmiu zmian z canary; żadna nie jest poprawką bezpieczeństwa. Dla działających aplikacji liczą się dwie. [Don't load the app-page runtime in proxy.ts](https://github.com/vercel/next.js/pull/100423) sprawia, że import czegokolwiek z `next/server` nie wciąga już runtime’u stron App Routera ważącego 688 KB. Backport przytacza pomiar z pierwotnego pull requesta, zrobiony na canary na minimalnym proxy, nie na 16.4.3 i nie przez nas: zimny start spadł z 53,8 ms do 39,1 ms, a ładowany JavaScript z 1466 KB do 748 KB. [Keep OpenTelemetry request traces together](https://github.com/vercel/next.js/pull/100542) składa przygotowanie trasy, middleware i render jednego żądania z powrotem w jeden ślad i naprawia middleware w Node.js, które gubiło kontekst rodzica (regresja z 16.3). Reszta: adresy Google Fonts bez rozszerzenia działają w obu bundlerach, cofnięto zmianę unieważniania loaderów w Turbopacku, start serwera nie ładuje już osobnej kopii Reacta, do tego zmiany w procesie wydawniczym i testach. Nasze zdanie: jeśli Twoje proxy działa przy każdym żądaniu, mniejszy bundel to darmowy zysk na zimnym starcie, a jeśli wysyłasz ślady do backendu OpenTelemetry, żądania przestaną się rozpadać na kilka osieroconych śladów. Nic z tego nie jest pilne; przejdź z 16.4.2 przy najbliższym wdrożeniu. ## Vercel ### Vercel CLI dostaje zarządzanie wydatkami: `vercel budgets` Od 23 października 2026 [Vercel CLI zarządza budżetem On-Demand zespołu](https://vercel.com/changelog/vercel-cli-adds-spend-management), tym samym, który widać w ustawieniach rozliczeń. `vercel budgets` pokazuje bieżące wydatki, aktywny budżet i trzy ostatnie alerty; `vercel budgets set --amount ` go ustawia (`--scope ` wybiera zespół); `vercel budgets remove --yes` go usuwa; `vercel budgets alerts` wypisuje historię alertów z `--since`, `--until`, `--limit` i `--json`. Sam budżet tylko powiadamia. Z `--pause` produkcyjne wdrożenia wszystkich projektów zespołu wstrzymują się przy 100% budżetu i przestają być dostępne. Potrzebna jest rola Owner albo Billing; funkcja nic nie kosztuje w planie Pro i w Enterprise z planem Flexible Commitment. Nasze zdanie: budżet to teraz jedna linijka w skrypcie zakładającym zespół, więc każdy nowy zespół może zaczynać z limitem. `--pause` traktuj jako decyzję o przestoju, nie o pieniądzach: zdejmuje produkcję, więc stosuj go przy projektach pobocznych i demach, a przy wszystkim, co zarabia, zostaw budżet tylko z alertami. ### Vercel wyznacza termin dla długoterminowych statycznych kluczy W tekście [Death to long-lived static credentials](https://vercel.com/blog/death-to-long-lived-static-credentials) z 22 października 2026 Malte Ubl przekonuje, że klucze API i hasła do baz danych powinny domyślnie ustąpić krótkotrwałym tokenom opartym na tożsamości, i przytacza badanie ponad 1000 dostawców SaaS, z których 8,4% obsługiwało takie uwierzytelnianie. Tekst wymienia, co Vercel oferuje dziś: federację OIDC (aplikacja wymienia token tożsamości wydany przez Vercel na tymczasowe dane dostępowe AWS, Google Cloud albo Azure na zasadach zaufania ustawionych dla projektu i środowiska; ogólnie dostępna od 2024), OIDC dla Vercel Blob, AI Gateway i Sandbox, własnych odbiorców (audience) tokenów oraz Vercel Connect dla aplikacji i agentów, które potrzebują tokenów dostawców w czasie działania. Podaje też daty: do 30 listopada 2026 dostawcy z Marketplace, którzy nie obsługują OIDC od Vercel i wciąż polegają na długoterminowych sekretach, dostaną etykietę „Not secure”, a w styczniu 2027 te bez bezpiecznego uwierzytelniania znikną z katalogu. Nasze zdanie: termin dotyczy dostawców, ale spada na Twoje projekty. Spisz już teraz integracje, z których korzystasz, i klucze chmurowe w zmiennych środowiskowych; wszystko, co przyjmie token OIDC z Vercel, powinno go dostać, bo klucz, który nie opuszcza platformy, nie wycieknie przez log, repozytorium ani kontekst agenta. ### Jak Vercel Agent bezpiecznie dostaje się do produkcji 23 października 2026 Tom Dale opisał, [jak Vercel Agent uzyskuje dostęp do produkcji](https://vercel.com/blog/how-vercel-agent-accesses-production-safely). Każdy zakres `read:` należy do bazowego zestawu, z którego agent korzysta bez pytania; wszystko ponad to, na przykład `read-write:deployment` przy ponownym wdrożeniu albo otwarcie pull requesta na GitHubie, trafia do planu, który użytkownik zatwierdza w całości. Agent działa jako Vercel App, więc jego dostęp nigdy nie przekroczy roli zatwierdzającego. Tokeny z usługi OAuth Vercel są krótkotrwałe i mają zakresy, a API odrzuca żądanie spoza nich nawet wtedy, gdy model uważa je za potrzebne. Plany są sprawdzane względem tego samego rejestru zakresów, którego używa usługa OAuth, a przed wznowieniem planu środowisko sprawdza, czy plan jest nadal aktywny, więc zatrzymany plan nie zadziała na tokenie, który jeszcze nie wygasł. Nasze zdanie: to wzorzec do skopiowania, jeśli dajesz własnemu agentowi dostęp do produkcji. Czytanie swobodnie, zapis tylko po zatwierdzonym planie, limit na uprawnieniach użytkownika i egzekwowanie zakresów w API, a nie w prompcie. Sam tekst zauważa, że dostęp tylko do odczytu też może ujawnić konfigurację, a logi budowania mogą zawierać złośliwe instrukcje. ### Zgłoszenia prosto z Vercel MCP Od 23 października 2026 [serwer Vercel MCP ma narzędzie `submit_feedback`](https://vercel.com/changelog/send-feedback-from-vercel-mcp): poproś agenta o zgłoszenie błędu, utrudnienia albo prośby o funkcję, a może dołączyć zadanie, oczekiwany wynik, faktyczny wynik i rodzaj zgłoszenia. Narzędzie wymaga zalogowania i wysyła coś tylko na Twoją prośbę. Nasze zdanie: drobiazg, ale przydatny jest kontekst. Kiedy `deploy_to_vercel` zawiedzie w sesji agenta, agent może złożyć zgłoszenie z dokładnym krokiem, który się wysypał, póki jeszcze go pamięta, zamiast żebyś odtwarzał go w formularzu wsparcia. ## Claude ### Anthropic przekazuje Agent Skills fundacji Agentic AI Foundation 22 października 2026 Anthropic [przekazał standard Agent Skills fundacji Agentic AI Foundation](https://www.anthropic.com/news/donating-agent-skills-to-the-agentic-ai-foundation) (AAIF), projektowi Linux Foundation, który współzałożył z Block i OpenAI i w którym jest już Model Context Protocol. Darowizna obejmuje standard, jego nazwę i logo, [organizację agentskills na GitHubie](https://github.com/agentskills/agentskills) i domenę agentskills.io. Utrzymują go jako osoby prywatne inżynierowie z Anthropic, Google, OpenAI i innych firm, a głównymi opiekunami są David Soria Parra i Mahesh Murag; proponowany plan to wersjonowane wydania, formalny proces propozycji i wytyczne bezpieczeństwa dla tych, którzy piszą i instalują skille. Anthropic liczy ponad 70 platform agentowych obsługujących Skills, milion opublikowanych skilli i blisko 280 milionów instalacji. Nasze zdanie: dziś nie trzeba niczego zmieniać; ogłoszenie zmienia to, kto zarządza standardem, a nie format Twoich skilli. Zmienia się to, że format nie należy już do jednego dostawcy, więc skill staje się rozsądnym sposobem, by przekazać konwencje zespołu każdemu agentowi, którego używacie. Zanim zaczniesz instalować skille od obcych, poczekaj na pierwsze wersjonowane wydanie i jego wytyczne bezpieczeństwa. ### Claude API w wersji 2026-10-21 i dwie mniejsze zmiany platformy [Informacje o wydaniach Claude](https://platform.claude.com/docs/en/release-notes/overview) z 21 października 2026 ogłaszają wersję API `2026-10-21` i nowe SDK, które domyślnie ją wysyłają (TypeScript 1.0.0, Python 2.0.0, Go 2.0.0, Java 3.0.0, C# 13.0.0, PHP 1.0.0, Ruby 2.0.0 i CLI `ant` 2.0.0), z licencją zmienioną z MIT na Apache 2.0. Tego samego dnia [profile użytkowników](https://platform.claude.com/docs/en/manage-claude/user-profiles) dostały pola `enforcement_status` i `enforcement_actions`, które pokazują, czy Anthropic ograniczył albo zablokował któregoś z Twoich klientów końcowych, a lista profili przyjmuje filtr `enforcement_status[]`. 22 października Anthropic uruchomił [Claude Models on Google Cloud (Anthropic managed)](https://platform.claude.com/docs/en/build-with-claude/claude-models-on-google-cloud/anthropic-managed): Claude API prowadzone przez Anthropic, dostępne przez projekt w Google Cloud, z dostępem przez Google Cloud IAM i rozliczeniem przez Google Cloud Marketplace; działa tam też fast mode dla Claude Opus 5.5. Nasze zdanie: nie pozwól, by bot od zależności przeniósł Cię na nową główną wersję SDK bez przeglądu; nasz [przewodnik po migracji na wersję API 2026-10-21](https://www.outofplace.space/pl/blog/anthropic-sdk-migracja-api-2026-10-21#jak-zaktualizowac-anthropic-sdk-do-wersji-api-2026-10-21) wymienia, co się psuje i w jakiej kolejności to naprawiać. Jeśli odsprzedajesz Claude własnym użytkownikom, odpytuj filtr blokad, żeby zablokowane konto pojawiło się w Twoim panelu administracyjnym, zanim pojawi się jako nieudane żądania. ## Dalsza lektura - [Wydanie Next.js 16.4.3](https://github.com/vercel/next.js/releases/tag/v16.4.3): Osiem przeniesionych zmian z 23 października 2026, z linkami do każdego pull requesta. - [Vercel: Death to long-lived static credentials](https://vercel.com/blog/death-to-long-lived-static-credentials): OIDC na Vercel dziś i terminy dla Marketplace: 30 listopada 2026 i styczeń 2027. - [Anthropic: Donating Agent Skills to the Agentic AI Foundation](https://www.anthropic.com/news/donating-agent-skills-to-the-agentic-ai-foundation): Co przekazano, kto utrzymuje standard i jaki jest proponowany plan.