VS Code 1.143 generaliza a Copilot como arnés por defecto de todo agente, Copilot CLI llega a su versión 1.0.100 con nuevos controles de privacidad, Node.js 26 asciende a soporte de largo plazo el mismo día en que arranca GitHub Universe, y el historial de ataques a la cadena de suministro de npm en 2026 queda como advertencia de fondo.
La actualización más reciente de Visual Studio Code extiende a todas las sesiones de agente la preferencia por Copilot que el editor adoptó este mes, y suma controles para que las empresas lo impongan sobre alternativas como Claude Code o Codex.
Visual Studio Code 1.143, publicada esta semana según el sitio especializado Warp2Search, convierte a Copilot en el arnés de agentes por defecto para toda sesión nueva, no solo para los flujos que Microsoft ya había marcado así en la versión 1.142 del 14 de octubre. La actualización agrega comparación de modelos lado a lado, un modo de código en el dispositivo con el modelo MAI Code 1.1 Flash de Microsoft, y una herramienta para liberar espacio en disco de árboles de trabajo (worktrees) abandonados por agentes que ya no se usan. La información proviene únicamente de la cobertura de Warp2Search, sin que Microsoft haya publicado al cierre de esta edición las notas oficiales completas de la 1.143 en code.visualstudio.com. El cambio consolida una tendencia que esta edición documentó el 24 y el 25 de octubre: GitHub ha retirado y reemplazado los modelos disponibles en Copilot varias veces este mes y preparó su conferencia anual, Universe, bajo el lema de la "era agéntica". La versión 1.143 agrega, además, controles para administradores de TI que permiten fijar modelos por defecto, instalar extensiones de forma automática y aplicar reglas que obligan a usar Copilot mientras deshabilitan opciones locales, Claude o Codex -una capacidad que antes dependía de que cada desarrollador elija su propia herramienta. Microsoft no ha dicho si las políticas de bloqueo de alternativas llegarán activadas por defecto o si quedarán como opción que cada empresa debe encender. Las software factories costarricenses que exportan desarrollo a clientes de Estados Unidos y Europa usan Visual Studio Code como editor dominante, según reportan comunidades locales de desarrollo; si esas empresas activan los nuevos controles de administrador, sus programadores perderían la opción de elegir Claude Code u otro asistente, aunque no hay cifras públicas sobre cuántas firman ya ese tipo de política.
GitHub publicó la versión 1.0.100 de Copilot CLI el 19 de octubre, según el registro de lanzamientos del sitio especializado Havoptic, sin que GitHub haya confirmado esa fecha en un changelog propio al cierre de esta edición. La actualización añade la bandera --disable-client-telemetry para apagar el envío de datos de uso, un parámetro --trust-folder que permite ejecutar la herramienta en modo de una sola instrucción sobre carpetas no confiables sin la advertencia habitual, y la posibilidad de instalar Skills y plugins verificados directamente desde enlaces de instalación de GitHub. También corrige fallas de transcripción de voz reportadas por usuarios, según la misma fuente. El ritmo de iteración -de la 1.0.91 a la 1.0.100 en menos de tres semanas, según el mismo rastreador- confirma el patrón que esta edición documentó ayer: GitHub trata a Copilot CLI como un producto de actualización casi semanal, no como una herramienta de versiones estables espaciadas. La opción de desactivar telemetría llega mientras la Encuesta de Desarrolladores 2026 de Stack Overflow, publicada el 6 de octubre, encontró que solo el 6.6% de los programadores confiaría en código de IA para una decisión importante y que el 78.7% dijo que la atribución de la fuente le importa -una señal de que la privacidad y la trazabilidad del dato pesan más que la velocidad de lanzamiento para buena parte de los usuarios. GitHub no ha confirmado si --disable-client-telemetry quedará activado por defecto en instalaciones empresariales. Los equipos de software factories y fintechs costarricenses que usan Copilot CLI bajo acuerdos de confidencialidad con clientes extranjeros ganan, en principio, una herramienta para cumplir esas cláusulas, aunque no existen cifras públicas sobre cuántas empresas ticas ya activan ese tipo de control.
Las dos fechas más esperadas del calendario de desarrollo de octubre caen juntas el 28, justo cuando una encuesta reciente muestra que la confianza de los programadores en las herramientas de IA que dominan la conversación del mes sigue siendo baja.
Node.js 26, publicada como versión Current el 5 de mayo con el motor V8 14.6 y la API Temporal activada por defecto, asciende a soporte de largo plazo (LTS) el 28 de octubre, según el calendario recogido por el medio DevX y por el sitio especializado Byteiota; Node.js no ha publicado todavía en su blog oficial el anuncio formal de ese ascenso. La misma fecha, el 28 y 29 de octubre, GitHub celebra su conferencia anual Universe en el Fort Mason Center de San Francisco, con paneles de Nvidia, OpenAI, Anthropic y Coinbase bajo el lema "All together now, in the agentic era", según el blog oficial de la compañía. La coincidencia de fechas no es causal -los calendarios de Node.js y de GitHub no comparten gobernanza-, pero sí concentra en un mismo día dos señales de hacia dónde empuja el desarrollo de software: una base de ejecución más estable y de ciclo anualizado, y una conferencia que GitHub ha dedicado por completo a vender agentes de código. El contraste no es menor: la Encuesta de Desarrolladores 2026 de Stack Overflow, con más de 30.000 respuestas de 169 países publicada el 6 de octubre, encontró que apenas el 6.6% de los programadores confiaría en código generado por IA para una decisión importante, y que el sentimiento general hacia estas herramientas es, en palabras de la propia Stack Overflow, "más medido" que entusiasta. GitHub llega a su conferencia insignia con ese dato de fondo, no con un consenso unánime sobre el valor de los agentes que promociona. Node.js no ha confirmado si el ascenso a LTS llegará acompañado de un anuncio adicional ese mismo día, y GitHub no ha dicho si dedicará parte de la agenda de Universe a responder directamente a los resultados de la encuesta de Stack Overflow. Los equipos de desarrollo costarricenses -bancos, software factories y empresas de zona franca que corren servicios en Node.js y siguen de lejos las conferencias de GitHub por streaming en inglés, sin actividad satélite confirmada para Latinoamérica- deben programar la migración a Node.js 26 antes de que termine el soporte activo de la versión 22, en abril de 2027.
El ecosistema de paquetes npm registró al menos tres campañas de compromiso documentadas en 2026: en marzo, atacantes insertaron un paquete malicioso oculto tras comprometer la publicación de Axios, según Security Boulevard; en junio, una campaña de phishing contra un mantenedor permitió comprometer 144 paquetes del ecosistema Mastra, de acuerdo con un reporte de RHISAC que cita a The Hacker News; y en julio, un grupo que se identificó como "miasma-train-p1" comprometió las canalizaciones de publicación de cuatro repositorios centrales de AsyncAPI en GitHub y publicó cinco paquetes troyanizados, según el rastreo de ataques a la cadena de suministro de npm que mantiene Unit 42 de Palo Alto Networks. No se confirmó ningún incidente nuevo en las últimas 24 horas al cierre de esta edición. El patrón se repite: credenciales de mantenedores comprometidas, ya sea por phishing o por robo directo, abren la puerta a versiones maliciosas que se publican con la misma firma de confianza que el paquete legítimo. La amenaza cobra una lectura distinta este mes, cuando GitHub y Microsoft promocionan en Copilot CLI y en Visual Studio Code 1.143 controles de administrador que dan a los agentes de código más autonomía para instalar dependencias, ejecutar comandos y publicar cambios sin supervisión directa de un desarrollador en cada paso -exactamente el tipo de acceso que un paquete comprometido buscaría heredar. Ni GitHub ni npm han anunciado controles específicos para que los agentes de código verifiquen la procedencia de una dependencia antes de instalarla de forma autónoma. Costa Rica no reporta públicamente ninguna empresa afectada por estas campañas, pero el país exporta desarrollo de software basado mayoritariamente en JavaScript y TypeScript a través de sus software factories, lo que lo expone al mismo riesgo de cadena de suministro que el resto de la industria que depende de npm.
Editor, línea de comandos, runtime y conferencia insignia de GitHub mueven su calendario casi al mismo tiempo, mientras la industria sigue sin resolver cuánto confiar en el código que esas mismas herramientas generan.
En los últimos días, Visual Studio Code 1.143 generalizó a Copilot como arnés de agentes por defecto, GitHub Copilot CLI llegó a su versión 1.0.100 con nuevos controles de privacidad, Node.js se prepara para ascender su versión 26 a soporte de largo plazo el 28 de octubre, y GitHub cierra la agenda de su conferencia Universe para esa misma fecha. Los cuatro movimientos comparten un mismo eje: GitHub y Microsoft consolidan a los agentes de código como el modo por defecto de trabajar, no como una opción adicional. La consolidación avanza sin que la confianza de los propios desarrolladores la acompañe al mismo ritmo: la Encuesta de Desarrolladores 2026 de Stack Overflow encontró que solo el 6.6% confiaría en código de IA para una decisión importante, y el historial de ataques a la cadena de suministro de npm documentado durante el año -Axios en marzo, Mastra en junio, AsyncAPI en julio- muestra que dar a los agentes más autonomía sobre instalación de dependencias y publicación de código no es un riesgo abstracto. Ninguna de las dos tensiones frena los lanzamientos: GitHub sigue empujando Copilot en cada capa de su producto mientras la industria todavía discute cuánto supervisar lo que esos agentes hacen. Para las software factories, bancos y fintechs costarricenses que combinan a diario Visual Studio Code, Copilot CLI y Node.js, la semana que cierra con GitHub Universe el 28 de octubre no exige decisiones inmediatas, pero sí una revisión de qué controles de administrador activan sobre sus agentes de código y qué dependencias de npm siguen sin auditar, antes de que la próxima campaña de compromiso a la cadena de suministro los alcance sin aviso.