GitHub habilita Claude Opus 5.5 y los modelos GPT-6 Sol y Luna en Copilot, Copilot for JetBrains estrena aprobación automática de herramientas de bajo riesgo, un rastreo comunitario documenta 103 paquetes maliciosos nuevos en npm y PyPI -el lote más grande de la semana-, workerd mejora el manejo de streams y las llamadas RPC de Durable Objects, Copilot CLI indexa proyectos C++ completos y Percona suma soporte de CloudNativePG para correr PostgreSQL sobre Kubernetes.
Los tres modelos quedan disponibles el mismo día en Copilot para tareas agénticas, autocompletado interactivo y trabajos de bajo costo, según el registro de cambios de GitHub.
GitHub habilitó el 22 de setiembre tres modelos nuevos en GitHub Copilot: Claude Opus 5.5, de Anthropic, pensado para codificación agéntica y tareas de conocimiento de larga duración; y GPT-6 Sol y GPT-6 Luna, de OpenAI, el primero como modelo balanceado para codificación interactiva y agéntica, y el segundo como opción liviana y de menor costo para tareas pequeñas y rápidas, según el registro oficial de cambios de GitHub (GitHub Changelog). En pruebas preliminares citadas por la propia GitHub, Opus 5.5 resolvió tareas de forma comparable a Claude Opus 5 pero con menos pasos y tokens, y se recuperó con mayor rapidez de errores en tareas de varios pasos -una cifra sin confirmación independiente de un tercero al cierre de esta edición. La incorporación llega dos días después de que GitHub anunciara el retiro de seis modelos de Copilot a partir del 19 de octubre y un día después de sumar Grok 4.7 para tareas agénticas: el catálogo de modelos disponibles en Copilot se renueva casi a diario, una dinámica que obliga a los equipos de desarrollo a revisar con frecuencia qué modelo usan por defecto en cada flujo de trabajo. GitHub no informó si los tres modelos entran al plan gratuito de Copilot o quedan reservados a las suscripciones de pago; la información disponible proviene únicamente del registro de cambios oficial, sin cobertura cruzada de otro medio especializado al cierre de esta edición. En Costa Rica, equipos de desarrollo de zonas francas y agencias de servicios de TI que ya usan Copilot a diario podrán probar los tres modelos sin cambios de licencia, aunque cuál rinde mejor para cada tarea todavía depende de pruebas propias.
El proyecto de código abierto compromised-packages-check, que rastrea a diario las exportaciones masivas en formato OSV del catálogo de paquetes maliciosos de OpenSSF, registró en su reporte del 22 al 23 de setiembre de 2026 un total de 103 entradas nuevas -97 de npm y 6 de PyPI, más una actualización de versión-, según el registro público del proyecto en GitHub. El lote incluye una expansión de diez paquetes que imitan el espacio de nombres de Epic Games (entre ellos epic-alt-utils, con cobertura de versión comodín), continuación de una campaña de confusión de dependencias internas detectada antes por Amazon Inspector; seis paquetes vinculados a un cluster interno de BigOps/BNPL (bigops-auth-interceptor, devplatform-sdk y variantes bnpl-blocks-, en versiones altas de la serie 35.x); cinco paquetes bajo el alcance @tvg-mar, todos en la versión 9.9.10; una expansión de diez paquetes bajo @wizloft/harness con comodines de versión para maximizar instalaciones; y cuatro paquetes bajo los nombres envforge y envparse identificados como distribuidores de malware para Windows. compromised-packages-check es un proyecto independiente que consume el feed público de OpenSSF; no es un canal oficial de npm, PyPI ni de GitHub, y la información de este caso proviene únicamente de ese rastreo automatizado, sin confirmación cruzada de un aviso oficial ni de cobertura de un medio especializado al cierre de esta edición. El lote de hoy casi triplica el de ayer (34 npm más 2 PyPI) y es el más grande documentado por el proyecto en lo que va de la semana, sin que exista todavía una explicación oficial de si el salto responde a una campaña coordinada puntual o a un cambio en la ventana de rastreo del propio proyecto. Costa Rica tiene una comunidad amplia de programadores JavaScript y Python en agencias digitales y zonas francas, además de un ecosistema Web3 incipiente que usaría paquetes con nombres similares a los de infraestructura de videojuegos como Epic Games; verificar el mantenedor, la fecha de publicación y el número de versión de cualquier dependencia antes de instalarla sigue siendo la defensa más simple, sin que se conozca impacto local confirmado de este lote.
La versión 1.18.0 aprueba en automático las llamadas a herramientas que Copilot clasifica como de bajo riesgo, mientras las acciones más sensibles siguen pidiendo confirmación manual.
GitHub publicó el 22 de setiembre la versión 1.18.0 de GitHub Copilot for JetBrains, que incorpora en vista previa pública la aprobación automática de herramientas ('AI-assisted tool approvals'): las llamadas a herramientas del agente que Copilot clasifica como de bajo riesgo se ejecutan sin pedir confirmación, mientras que las acciones de mayor riesgo siguen requiriendo una decisión manual del programador, según el registro de cambios de GitHub. La actualización también suma mayor control sobre las conversaciones con el agente y la posibilidad de compartir instrucciones y habilidades ('skills') a nivel de organización. El cambio busca reducir la fricción de aprobar manualmente cada paso de un agente de codificación, pero traslada a una taxonomía interna de GitHub -no auditada de forma independiente ni documentada en detalle en el anuncio- la decisión de qué cuenta como 'bajo riesgo'. La propia jornada ilustra por qué esa clasificación es delicada: el mismo 22 y 23 de setiembre, el proyecto compromised-packages-check documentó 103 paquetes maliciosos nuevos en npm y PyPI, varios de ellos diseñados para pasar por dependencias legítimas de bajo perfil -exactamente el tipo de artefacto que una aprobación automática de 'bajo riesgo' podría dejar pasar si un agente decide instalarlo como parte de una tarea. GitHub no publicó qué porcentaje de llamadas a herramientas cae hoy bajo aprobación automática ni qué criterios técnicos usa para la clasificación; la información proviene únicamente del registro de cambios oficial, sin cobertura cruzada de otro medio especializado al cierre de esta edición. En equipos ticos que desarrollan en IDEs de JetBrains para banca y fintech en zonas francas, activar esta función acelera el flujo de trabajo del agente, pero delega en un tercero la frontera entre lo automatizable y lo que sigue exigiendo ojo humano -una decisión que ninguna regulación costarricense audita todavía.
cat /feed/cloudflareworkersworkerd.md
La versión diaria del runtime de Cloudflare Workers corrige el manejo de vistas multibyte en operaciones de lectura nativas y añade observabilidad a las llamadas RPC entre Durable Objects.
> Cloudflare publicó el 23 de setiembre la versión 1.20260923.1 de workerd, el runtime de código abierto detrás de Cloudflare Workers, con mejoras en el manejo de streams -incluida la corrección de operaciones de lectura nativas que no procesaban correctamente vistas de bytes múltiples- y nueva capacidad para observar los intentos de llamada RPC entre Durable Objects, según el registro de versiones del proyecto en GitHub. La entrega llega un día después de que la versión 1.20260922.1 retirara el backend de entrada/salida en C++ en favor de una implementación en Rust y sumara soporte para eventos de conexión UDP entrante, cambio ya cubierto en esta edición ayer.
> workerd libera una versión nueva casi todos los días desde hace semanas, un ritmo que Cloudflare no ha explicado públicamente más allá de las notas técnicas de cada entrega; la mayoría de los cambios son ajustes internos de bajo perfil que rara vez alteran el comportamiento visible de una aplicación en producción, pero que sí importan para quienes depuran errores de bajo nivel en Durable Objects o en el manejo de streams.
> Costa Rica no aloja una región de Cloudflare, pero desarrolladores ticos que despliegan aplicaciones edge sobre Workers consumen este runtime igual que en cualquier otro país; el cambio es transparente para la mayoría de los equipos que no interactúan directamente con Durable Objects o streams de bajo nivel -sin impacto local conocido más allá de la actualización automática de la plataforma.
GitHub anunció el 22 de setiembre que GitHub Copilot CLI acelera la inteligencia de código para C++ mediante indexación de base de código completa (whole codebase indexing, WCI): un índice persistente de todos los símbolos de un proyecto C++, incluidos los archivos que el programador no tiene abiertos en ese momento, según el registro de cambios de GitHub. La misma jornada, el proyecto liberó la versión 1.0.88 de Copilot CLI, que suma notificaciones de terminal opcionales bajo el protocolo OSC 777 para sesiones directas en las terminales Ghostty y WezTerm, de acuerdo con las notas de esa versión en GitHub. C++ es uno de los lenguajes donde la indexación completa rinde más porque el análisis estático de una base de código grande -con múltiples archivos de cabecera, macros y dependencias cruzadas- es costoso de recalcular en cada sugerencia; un índice persistente reduce ese costo sin depender de que el programador tenga abiertos todos los archivos relevantes. GitHub no publicó cifras de cuánto mejora el tiempo de respuesta con WCI activado. El uso de C++ en el ecosistema de desarrollo costarricense es acotado frente a JavaScript, Python o Java -más común en equipos de sistemas embebidos, videojuegos o backend de alto rendimiento con operaciones locales-, por lo que el impacto de esta mejora es marginal para la mayoría de los programadores del país.
— La indexación de base de código completa (WCI) crea un índice persistente de símbolos C++, incluidos archivos que el programador no tiene abiertos.
Percona anunció el 22 de setiembre que suma soporte comercial para CloudNativePG, el operador de PostgreSQL para Kubernetes originado en EDB y donado más tarde a la Cloud Native Computing Foundation, según el comunicado de la compañía. La medida amplía las opciones de los clientes de Percona que corren PostgreSQL sobre Kubernetes: antes podían optar por el Percona Operator propio o quedar sin cobertura de soporte si elegían CloudNativePG por su cuenta; ahora Percona ofrece soporte pagado para ambos caminos. CloudNativePG se volvió una opción popular para correr PostgreSQL en clústeres de Kubernetes porque simplifica tareas como la conmutación por error, las copias de respaldo continuas y el escalado de réplicas de lectura sin depender de herramientas externas al operador. Que un proveedor de soporte de base de datos como Percona lo respalde formalmente reduce el riesgo percibido de adoptarlo en producción para equipos que hasta ahora dependían solo de la comunidad de código abierto del proyecto. La información de este anuncio proviene únicamente del comunicado de Percona distribuido por GlobeNewswire, sin cobertura cruzada de un medio técnico especializado al cierre de esta edición. Bancos y fintechs costarricenses que corren cargas de PostgreSQL sobre Kubernetes -una combinación cada vez más común en la banca digital local- ganan una alternativa de soporte comercial sin depender únicamente de EDB o del Percona Operator, aunque no hay anuncios de adopción local al cierre de esta edición.
GitHub sumó tres modelos nuevos a Copilot y estrenó aprobación automática de herramientas en su plugin de JetBrains, mientras un rastreo comunitario documentó el lote diario de paquetes maliciosos más grande de la semana en npm y PyPI. Cloudflare siguió su ritmo de entregas casi diarias en workerd y Percona amplió su soporte comercial de PostgreSQL sobre Kubernetes con CloudNativePG. El hilo que atraviesa la jornada -y buena parte de la semana en esta sección- es la tensión entre automatizar cada vez más el flujo de trabajo de los equipos de desarrollo y sostener el control sobre lo que esa automatización instala o ejecuta sin supervisión directa. Mañana, esta edición seguirá el ritmo del rastreo de paquetes maliciosos y cualquier respuesta oficial de GitHub, npm o PyPI a la escalada de hoy.