Articolo editoriale **SFEIR AI** pubblicato su sfeir.com il **6 settembre 2026** (~9.000 caratteri, sette sezioni, due fonti indicate). Riprende un episodio del podcast **DataGen** condotto da **Robin Conquet**, registrato al **Dev Summit** co-organizzato da **Adeo** e **Decathlon** (Lille, **26-28 maggio 2026**, più di **2.000** partecipanti), con **Matthieu Grymonprez**, a capo del digitale, della tecnologia e dei dati di Adeo (Leroy Merlin, Weldom, Obramat), e **Romain Taillade**, Global CTO di Decathlon. Tre spunti principali. **(A)** La piattaformizzazione condotta in cinque anni per assorbire il marketplace di Leroy Merlin (**60.000** referenze in negozio, diversi milioni online) e l'espansione di Decathlon (**più di 50** paesi) non era destinata all'IA agentica, ma ne costituisce il fondamento: *"la piattaforma ha costruito i muscoli, l'era dell'intelligenza costruisce il sistema nervoso."* **(B)** Tre cantieri nominati — l'**harness** di sviluppo, la **sicurezza** per zone nel sistema informativo (nessuna attività agentica su pagamento, checkout e supply chain), e la **semantica dei dati**, affrontata per verticale e su cui Adeo ammette un debito. **(C)** Un precedente pagato a caro prezzo: la BI self-service ha prodotto più di **150.000 dashboard** prima del ritorno ai data product certificati. La frase di sintesi di Grymonprez tiene insieme tutto — *"un agente non ha senso comune"*: applica la definizione così com'è data e accelera il disordine ovunque questo manchi. Continua, con lo stesso dirigente, [[alafrench-grymonprez-adeo-ia-agentique-grands-groupes-2026-06-18]].
#Agentic AI#piattaformizzazione#domini di business esposti via API
SFEIR AI (voix éditoriale du cabinet) · article non signé individuellement. Restitue un entretien de Matthieu Grymonprez (Adeo) et Romain Taillade (Decathlon).
Post di ingegneria di **Spotify** pubblicato il **3 settembre 2026** su engineering.atspotify.com (~1.600 parole, nove sezioni, due manifest YAML, quattro esempi da riga di comando), a firma di **Dimitri Mazmanov**, Principal Product Manager. Descrive una configurazione personale progettata per spostare i task di I/O fuori dal contesto di **Claude Code**. La premessa dichiarata in apertura: *« Most of what an AI coding agent does for me isn't thinking. It's I/O »* — leggere cinque file per rispondere a una domanda su un singolo metodo, produrre un test modellato sugli altri venti della directory. **(A) Le modalità.** **Portal by Spotify** espone *AiKA Modes*, agenti dichiarativi su un runtime effimero — istruzioni, modello, temperatura, strumenti **MCP** — paragonati a *« AWS Lambda, but for agents »*; due modalità pubbliche, `bulk-reader` e `code-writer`, girano qui su **Gemini 2.5 Flash**. **(B) Il routing.** Un plugin per Claude Code chiamato `shunt` sostituisce le regole in `CLAUDE.md` ritenute *« advisory, not enforced »* con tre livelli: hook `PreToolUse` che bloccano qualsiasi lettura oltre le **350 righe** (soglia regolabile via `SHUNT_MIN_LINES`), due script bash che richiamano la Portal CLI, due skill che forniscono la sintassi di invocazione. Il corpus passa al modello secondario e **non entra mai nel contesto di Claude**. **(C) Misurazioni e i loro limiti.** Su un monorepo Java, quattro scenari, il risparmio medio riportato è di **~90%** su `bulk-read`; l'autore nota che lo scenario `code-write` è *« harder to measure »*, ed elenca tre limiti — editing non delegabile, ragionamento non delegabile, **10-30 secondi** di latenza per chiamata. Estende le questioni di budget affrontate in [[gupta-token-budget-wars-marginal-token-utility-2026-05-28]] e la delega esaminata in [[willison-fable-judgement-delegation-subagents-2026-07-03]].
#Portal by Spotify#AiKA Modes#shunt
Dimitri Mazmanov (Principal Product Manager, Spotify) · sur le blog d'ingénierie engineering.atspotify.com.
Post di **Rachel Laycock**, CTO di **Thoughtworks**, pubblicato il **2 settembre 2026** su *Rachel's Ramblings*, la sezione di martinfowler.com che dirige, circa **8.000 caratteri**. Il testo è una **risposta deliberata** a [[houck-dx-what-are-code-reviews-for-2026-08-05]], in seguito a un disaccordo pubblico tra i due autori durante un panel **Code Remix** ospitato da **Moderne**. Laycock accetta la diagnosi quantificata di Houck (+**106%** di righe per diff in **Meta**, +**64%** di dimensione mediana delle PR sul lato DX) e l'elenco delle funzioni della revisione che non riguardano l'individuazione di difetti, poi sposta la domanda: *« perché aspettiamo la code review per fare tutte queste cose? »* (A) Il principio guida è l'accorciamento dei cicli di feedback appreso in Thoughtworks — se il feedback ha valore, non eliminarlo, spostalo più vicino alla decisione che informa. Ogni funzione attribuita alla revisione viene riassegnata a monte: esplorazione delle alternative prima dell'implementazione, trasferimento di conoscenza tramite **pair programming**, ownership collettiva tramite **mob programming** e sessioni di design in team, allineamento architetturale tramite design condiviso seguito da **fitness functions**, e automazione di tutto ciò che è deterministico — *« Non dovremmo più discutere di spazi bianchi nel 2026. »* (B) La revisione basata sulle eccezioni sostituisce la revisione sistematica: un cambiamento architetturale fondamentale, un confine di sicurezza sensibile, un ampio blast radius, un'area non familiare di un sistema critico, o semplicemente una mancanza di confidenza dichiarata da un team. (1) L'automazione della revisione tramite un agente che imita il revisore umano viene respinta come *« automatizzare la cerimonia piuttosto che interrogarsi sul perché la cerimonia esista »*. (2) Il debito cognitivo di Houck viene riconosciuto come reale, ma la PR obbligatoria viene giudicata una difesa debole: *« Abbiamo bisogno che gli ingegneri comprendano i sistemi, non i diff. »*
#code review#revisione basata sulle eccezioni#pull request
Rachel Laycock · CTO de Thoughtworks · sur *Rachel's Ramblings* (martinfowler.com).
Saggio di **Dario Amodei**, CEO di **Anthropic**, pubblicato su darioamodei.com nel **settembre 2026** (circa 2.900 parole, quattro sezioni), sul suo sito personale e non su quello dell'azienda. Nel testo annuncia una posizione rivista: *"dobbiamo rallentare il ritmo con cui miglioriamo le capacità dei modelli di IA."* Due fatti lo hanno portato a questa conclusione. **(1)** Dall'estate 2026, l'**auto-miglioramento ricorsivo** — l'IA che costruisce la generazione successiva di IA — si sta affermando in tutto il settore, Anthropic incluso. **(2)** L'**incident Hugging Face**, che abbrevia in "OAI-HF" e che si rifiuta di trattare come il fallimento di un singolo attore: *"spetta a ogni azienda di IA di frontiera agire come se OAI-HF fosse accaduto a loro."* La sua previsione: entro **6-12 mesi**, uno sciame comparabile ma più capace potrebbe tenere in ostaggio internet con una botnet persistente, per **centinaia di miliardi di dollari** di danni. Da qui un piano in tre fasi di difficoltà crescente. **(a)** **Valutatori terzi integrati** (del tipo **METR**) con accesso a livello di dipendente — uffici, badge, laptop, il diritto di pubblicare senza controllo editoriale da parte di Anthropic; un impegno assunto unilateralmente, senza equivalenti altrove nel settore. **(b)** **Coordinamento tra democrazie**: regolamentazione mirata, standard comuni sotto un'esenzione antitrust, e *checkpoint* che collegano una determinata capacità X a certificazioni di allineamento Y e Z. **(c)** **Coordinamento globale** con la Cina, graduato su quattro livelli dal più fattibile (il divieto degli usi che abilitano il bioterrorismo) al meno probabile (una pausa generale), con il tetto alla velocità di auto-miglioramento paragonato ai trattati **SALT**. Una condizione legata all'insieme: preservare il vantaggio americano (chip, distillazione, furto di pesi). Controargomento nel corpus: [[zuckerberg-meta-future-is-for-everyone-superintelligence-2026-08-10]].
#pacing the frontier#frontier pacing#auto-miglioramento ricorsivo
Dario Amodei (CEO et cofondateur d'Anthropic) · sur son site personnel darioamodei.com.
Comunicazione di prodotto di **Anthropic** pubblicata il **1° settembre 2026** su anthropic.com (~4.000 parole, sei sezioni, 22 testimonianze di partner ad accesso anticipato). Annuncia **Claude Fable 5.1** (disponibilità generale) e **Claude Mythos 5.1** (accesso verificato): *lo stesso modello, ma con livelli di salvaguardie differenti*.
#Claude Fable 5.1#Claude Mythos 5.1#foundation model
Anthropic — communication produit publiée sur anthropic.com · sans signature individuelle.
Articolo di **Chase Covington**, **Tomer Slaney** (partner, New York) e **David Pralong** (senior partner, Charlotte), pubblicato dalla *McKinsey Transformation Practice* nel **settembre 2026** (giorno esatto non specificato, datato per convenzione al 1°); 8 pagine, 2 figure il cui contenuto non è riprodotto nel testo. **(1)** Riscontro: il transformation office (TO) è lento a modernizzare i propri strumenti; in un turnaround che coinvolgeva **3.000** dipendenti, **più di 15** persone producevano un report di **300 pagine** ogni quattro settimane. **(2)** Tre pilastri affidati agli agenti: *performance intelligence*, *single source of truth*, *conversation facilitation*. **(3)** Guadagni riportati: dal **35 al 40%** del tempo sui compiti principali, talvolta il **70%**; un team centrale ridotto da **dieci a tre** persone. **(4)** Guardrail: errori a cascata tra agenti, falsi allarmi, tracciabilità di ogni fase. **(5)** Sequenza: prima il reporting, poi l'automazione delle azioni, infine la gestione del cambiamento all'interno del TO. Gli autori presentano il testo come "a first look at the opportunity for TOs". I casi non sono nominati, nessun metodo di misurazione è descritto, e due degli strumenti citati (**Wave**, **Lilli**) appartengono a McKinsey. Il testo fa seguito a [[sternfels-mckinsey-60000-people-20000-agents-officechai-2026-01-14]], dove McKinsey conta già i propri agenti tra la propria forza lavoro.
Post di **Ethan Mollick** pubblicato il **31 agosto 2026** su *One Useful Thing* (~2.200 parole). Parte da un incidente di sicurezza per sollevare una questione organizzativa: quando dovrebbe un'IA chiedere aiuto a un essere umano?
#agency#agency#agenti autonomi
Ethan Mollick — professeur à la Wharton School (University of Pennsylvania) · auteur du blog *One Useful Thing* sur Substack.
Voce di **Jeremy Norman** su **HistoryofInformation.com** (cronologia "Exploring the History of Information and Media"), datata "circa **370 a.C.**" per il testo commentato, sito aggiornato l'ultima volta il **27 agosto 2026** (~600 parole, incluso un lungo estratto). Riproduce il passaggio del *Phèdre* di **Platon** (274c-275b) in cui **Socrate** racconta il mito egizio di **Theuth** e del re **Thamus** sull'invenzione della scrittura.
#Socrate#Platon#Phèdre
Jeremy Norman — historien et éditeur de HistoryofInformation.com ; notice de frise chronologique citant Platon (*Phèdre*, v. 370 av. J.-C.).
Saggio pubblicato su **Gates Notes** il **26 agosto 2026** da **Bill Gates**, co-fondatore di **Microsoft** e presidente della **Gates Foundation**, ~4.500 parole, annunciato come il primo di una serie. Il testo pone un'alternativa — l'IA sarà il più grande fattore di equità mai inventato, oppure la peggiore fonte di ingiustizia — e una constatazione: non esiste alcun piano per affrontare questo periodo. **(A) Tre rischi**: la scomparsa duratura dei posti di lavoro di inizio e metà carriera, tanto colletti bianchi quanto colletti blu, nell'arco di un decennio anziché di più generazioni, perché questa volta la sostituzione riguarda la **cognizione**; la militarizzazione da parte di attori malintenzionati (attacchi informatici, bioterrorismo, frodi, deepfake), unita a una concentrazione di potere in mano a chi già lo detiene; l'effetto dei compagnons IA sullo sviluppo dei bambini e sul pensiero critico. **(B) I benefici**, individuati in cinque ambiti — ricerca, salute, agricoltura nei paesi a basso reddito (l'impatto che l'autore definisce il più rapido), servizi pubblici, istruzione — con una riserva veicolata dal verbo: *"la parola chiave è 'può'"*. **(C) Tre proposte** aprono la serie: costruire un quadro istituzionale nazionale e internazionale senza precedenti, ispirandosi al regime di ispezione nucleare, alla regolamentazione dell'aviazione e agli accordi sull'ozono; riservare alcune professioni agli esseri umani, un ambito denominato **Human Reserved**; **tassare i token IA e i robot** per riequilibrare la tassazione tra lavoro e capitale. Gates dichiara i propri legami finanziari con il settore e il trasferimento dei suoi profitti alla fondazione. Il testo si inserisce nel filone dei saggi di dirigenti sulla distribuzione del valore dell'IA — [[nadella-frontier-ecosystem-human-token-capital-2026-06-12]], [[zuckerberg-meta-future-is-for-everyone-superintelligence-2026-08-10]] — concentrandosi sul potere pubblico piuttosto che sull'impresa.
#IA ed equità#transizione all'era dell'IA#sostituzione della cognizione
Bill Gates — cofondateur de Microsoft · président du conseil de la Gates Foundation. Blog personnel Gates Notes. Page non capturable par `curl | lynx` (403 Akamai) : extraction navigateur.
Guest post di **Andy Warfield**, ingegnere nel team **S3** di **AWS**, pubblicato il **26 agosto 2026** su *All Things Distributed*, il blog di **Werner Vogels**, che lo introduce in poche righe firmate «--W» : **3.554 parole** secondo la pagina. Il testo funge da veicolo per l'annuncio secondo cui **DuckLabs**, il team dietro **DuckDB**, entra a far parte di **AWS**. (A) La tesi: l'informatica dei sistemi consiste nel ricercare il compromesso elegante rispetto a una «fisica» mobile — i rapporti tra velocità della memoria, rete e calcolo — e quella fisica è cambiata. Warfield quantifica lo scarto: un **m1.xlarge** del 2007 offriva **15 GB di RAM**, **4 core virtuali** e **~1 Gb/s** di rete; un **m8g.48xlarge** oggi offre circa **50×** in più su ciascuno dei tre parametri. La crescita dei dataset, nel frattempo, segue una distribuzione la cui coda è costituita da volumi molto grandi. (B) La conseguenza: l'elaborazione distribuita — **MapReduce**, gli **RDD** di **Spark** — è stata concepita sotto i vincoli di I/O dei primi anni 2000, e gran parte del lavoro ad essa affidato non ha più bisogno di uscire dall'applicazione. Da qui il motore-libreria incorporato, in-process, che gira nello spazio di indirizzamento dell'applicazione, di cui **DuckDB** è l'esempio. Warfield àncora questo al paper *Scalability! But at what COST?* (2015) e all'epigrafe di **Paul Barham**: «Puoi avere un secondo computer una volta dimostrato di saper usare il primo.» Formula una riserva esplicita: «Quando un lavoro ha davvero bisogno di mille macchine, ha bisogno di mille macchine.» Il corpus contiene già [[vogels-tech-predictions-2026-allthingsdistributed-2025-11-25]] dallo stesso blog e [[anthropic-self-service-data-analytics-claude-agentic-stack-2026-06-03]] sull'analytics self-service.
#DuckDB#DuckLabs#acquisizione AWS
Andy Warfield · ingénieur du service S3 chez AWS · en billet invité sur *All Things Distributed* ; introduction de Werner Vogels · CTO d'Amazon.
*Deepdive* di **Gergely Orosz**, **Jessica Salmon** e **Ivan Klaric** su *The Pragmatic Engineer*, pubblicato il **25 agosto 2026**, basato su interviste con il CTO di Ramp **Rahul Sengottuvelu**, il responsabile engineering **Hamid Dadkhah** e **Zach Bruggeman**, founding engineer di **Inspect**. Articolo a pagamento: la nota copre la parte pubblica (sezioni 1 a 3 e l'apertura della sezione 4; architettura dettagliata, interni della sandbox e collaborazione restano dietro il paywall).
Saggio di **Bill Staples**, CEO di **GitLab**, pubblicato il **24 agosto 2026** sul blog about.gitlab.com: una lettura annunciata di **31 minuti**, circa **39.000 caratteri**, presentato come il seguito di un memo scritto al consiglio di amministrazione nel gennaio 2026 e in parte pubblicato a maggio con il titolo *GitLab Act 2*. Il testo si presenta come una risposta all'AI-native SDLC playbook di **Anthropic**, pubblicato tre giorni prima, da cui riprende la frase d'apertura — "Code is no longer the bottleneck" — per porre la domanda che lo guida: cosa diventa scarso quando il codice diventa abbondante. (A) La diagnosi economica: l'unità utile non è il costo per riga ma il **costo per modifica accettata**, che aggrega generazione, ambiente, contesto, verifica, revisione, correzione e governance; l'IA fa crollare solo il termine di generazione, il che rende gli altri proporzionalmente più pesanti — un'organizzazione dieci volte più veloce nel generare "si limiterà a spostare la coda". (B) La risposta architetturale: quattro capacità — piattaforma agentica, esecuzione su scala macchina, contesto durevole, governance — che formano un livello enterprise che sopravvive al modello, "The model should be replaceable. The agent should belong to the customer." (1) Tre modalità coesistono in modo duraturo, dal legacy guidato dall'uomo allo sviluppo autonomo, contro l'idea di un'unica curva di maturità. (2) La pipeline CI/CD diventa il luogo in cui gira l'inner loop, invece di essere un gate di fine catena. Le cifre citate sono quelle di Stripe, Spotify e Amplitude; GitLab ne produce una sola, relativa al proprio contrôle de source nouvelle génération. Il corpus contiene già [[claxton-anthropic-ai-native-sdlc-playbook-2026-08-21]], la fonte a cui questo testo risponde, e [[sfeir-sdlc-pdlc-articulation-2026-07-22]] sull'articolazione SDLC/PDLC che Staples fa propria.
#abbondanza di codice#costo per modifica accettata#teoria dei vincoli
Bill Staples · directeur général de GitLab (fonction non affichée par la page) · sur le blog about.gitlab.com.
Guida di ampio respiro di **Anthropic** a cura di **Louis Claxton** (team Applied AI), pubblicata il **21 agosto 2026** sul blog claude.com: una lettura dichiarata di **40 minuti**, circa **64.000 caratteri**, presentata come una raccolta di *plays* tratti dal lavoro del team con i propri clienti. (A) La diagnosi: con il codice non più il collo di bottiglia, lo spostamento avviene verso le fasi a monte e a valle della scrittura (piano, revisione/test, deploy), i controlli riga per riga smettono di reggere quando è l'agente a scrivere la maggior parte del diff, e il costo della governance aumenta perché le eccezioni continuano a passare per comitati periodici. (B) La risposta: sei fasi (Plan, Design, Build, Test, Deploy, Maintain) organizzate come un **loop** piuttosto che una catena, ciascuna conclusa da un **artefatto committato** che la fase successiva legge — `intent.md`, `spec.md`, `plan.md`, il diff e i suoi test, la PR e i suoi findings, il record dell'incidente. (1) La conoscenza istituzionale diventa file versionati: `CLAUDE.md`, skill, `REVIEW.md`, `bands.yaml`. (2) La governance si divide in due livelli, con la skill posizionata come controllo consultivo e l'hook come livello deterministico dietro di essa. La separazione dei compiti è posta come invariante — l'agente che scrive il codice non può approvarlo — e il pezzo si chiude con *"The loop keeps running. Human judgement stays above it."* Il corpus contiene già [[clinton-anthropic-secure-ai-native-sdlc-2026-07-21]] sul versante sicurezza dello stesso ciclo, e [[hingel-augment-how-ai-changes-sdlc-six-stages-2026-06-08]] sulla stessa scomposizione in sei fasi vista da un concorrente.
#AI-native SDLC#software development lifecycle#plays
Louis Claxton (Anthropic, équipe Applied AI) · sur le blog claude.com ; contributions créditées à Jim Blackhurst · Will Steuk et Jamal Arif.
Guida firmata da **Michael Segner**, pubblicata il **20 agosto 2026** sul blog claude.com nella categoria *Claude Code*: una lettura di **5 minuti** annunciata per circa **31.500 caratteri** di testo, offerta anche in PDF. Materiale dichiarato: interviste a **più di una dozzina** di startup, quindici delle quali nominate — **Artemis Security**, **Cainex**, **Clay**, **ClickHouse**, **Cognition**, **Commure**, **Crosby**, **Emergent**, **Harvey**, **Heidi**, **Higgsfield**, **Omni**, **Parahelp**, **Translucent**, **Zingage**. (A) Cinque regole operative: *everyone ships*, *automate the tedium*, *trust, but verify*, *build for rebuilding*, *prototype, dogfood, productionize*, ciascuna chiusa da suggerimenti sui prodotti e riunite in una checklist finale. (B) Un corpo composto da citazioni attribuite, ogni regola illustrata da dirigenti nominati piuttosto che da una metrica aggregata. Le quattro cifre in evidenza sono quelle delle aziende intervistate: **+30%** di funzionalità rilasciate in più (ClickHouse), **da 2 a 3×** produttività ingegneristica (Omni), **100%** del bug triage automatizzato (Clay), **più di 6.000 PR a settimana** (Artemis Security). Due passaggi si discostano dal registro testimoniale: il ciclo di autocorrezione di **Cainex** sulla codifica medica, descritto passo per passo, e l'uso interno di **Claude Tag** in **Anthropic** come primo responsabile per la reperibilità CI/CD. La domanda posta in apertura — *"what would it look like if an organization built their product development lifecycle with Claude Code from the ground up?"* — si collega a [[claxton-anthropic-ai-native-sdlc-playbook-2026-08-21]], pubblicato il giorno successivo dallo stesso editore, e prolunga [[cherny-wu-reflecting-year-claude-code-2026-07-17]].
#Claude Code#startup#everyone ships
Michael Segner · auteur du guide sur le blog claude.com (fonction non affichée par la page) ; entretiens avec les dirigeants de quinze entreprises nommées.
Post del blog aziendale di **Block** (`block.xyz/inside`), non firmato — l'autore indicato è **"Block"** —, pubblicato il **18 agosto 2026**, ~930 parole, che annuncia **l'apertura open source di Berd**, l'applicazione desktop interna di Block per lavorare con gli agenti, ed espone la tesi progettuale che l'ha guidata: dare carattere agli agenti *"non solo attraverso ruoli, istruzioni, skill e strumenti, ma attraverso identità visive distintive"* — da cui i personaggi animati proprietari, i *"Gloopies"*. Il post parte da un'osservazione di frammentazione (*"The technology was powerful, but the experience around it was fragmented"*) e da un problema d'interfaccia denominato con precisione: *"the product gives people little sense of how the agent is configured, which context and tools are available to it, and how it differs from another agent"*. Due contributi strutturanti. **(A) Un'articolazione a tre livelli**: **goose** resta il framework e il *runtime* che sostiene l'agent loop; **Berd** è il client desktop (progetti, contesto, sessioni, agenti, configurazione); i due comunicano tramite l'**Agent Client Protocol**. **Buzz** è designato come il seguito, per quando il lavoro solitario diventa collaborativo (*"Start alone, then go multiplayer"*). **(B) Sei requisiti trasmessi a Buzz**, formulati come conclusione: *"private space, durable context, recognizable agent identities, reusable skills, visible configuration, and clearer visibility into an agent's configured context, tools, and capabilities"* — una griglia direttamente riutilizzabile per valutare un client di agenti. Il testo stesso distingue identità e capacità: *"The avatars make the agent recognizable. Its role, skills, and tools make it useful."* Non viene prodotta alcuna cifra d'uso e non è indicata alcuna licenza per l'apertura open source.
#Berd#Block#open source
**Aucun auteur nommé** : le billet est signé **« Block »** — le champ *Author* de la page porte le nom de l'entreprise. Publié le **18 août 2026** sur `block.xyz/inside` · le blog **corporate** · et non sur `engineering.block.xyz`.
Post del blog di **Sonatype** a firma di **Aaron Linskens** (*technical writer*), pubblicato il **18 agosto 2026**, ~1.300 parole: racconta uno studio di **Sonatype Research Labs** condotto su **49 mesi** (giugno 2022 — giugno 2026) su una **coorte fissa** di applicazioni enterprise, scelta metodologica dichiarata per isolare l'evoluzione del parco applicativo da quella del portafoglio clienti. Il risultato è presentato come una contraddizione: il rimedio è più rapido, ma il rischio si accumula ulteriormente. (A) **Lo stock è in crescita** — vulnerabilità *Critical* e *High* per applicazione **×4,31** (da **14,14** a giugno 2022 a **54,3** nel 2026, ancora **×3,91** escludendo le applicazioni legacy portate di recente sotto gestione), nuove versioni di componenti interessate al **46×** il tasso pre-IA, creazione mensile di applicazioni **×4,84**. (B) **Il rimedio sta migliorando** — oltre la metà delle violazioni risolte lo è in meno di un giorno, l'età mediana delle vulnerabilità *Critical/High* non risolte scende da **228** a **126 giorni**, poi a **103** a maggio 2026; tra le coorti che hanno avuto dodici mesi, il **52,6%** è risolto, il **44,3%** aperto, il **3,1%** sotto waiver. (C) **La leva proposta è la selezione dei componenti**: al momento della scelta di una dipendenza vulnerabile, esisteva già una versione sostanzialmente meno rischiosa nel **62,2%** dei casi su **Maven**, nel **46,9%** su **npm**, nel **34,3%** su **PyPI** — uno scarto che il testo attribuisce a un gap informativo piuttosto che a una colpa dello sviluppatore. Il post stesso afferma che l'IA non è l'unica causa dell'accelerazione, e conclude su **Sonatype Guide**, che porta questa intelligence fino al punto di selezione. Sul versante supply-chain, estende quanto [[fiches/2026-08/staples-gitlab-when-code-is-abundant-2026-08-24]] inquadra in termini economici e [[fiches/2026-07/clinton-anthropic-secure-ai-native-sdlc-2026-07-21]] in termini di ciclo sicuro.
#supply chain software#supply chain software#Sonatype Research Labs
Aaron Linskens · *technical writer* chez Sonatype · sur le blog de l'éditeur ; les chiffres sont produits par Sonatype Research Labs · non par l'auteur.
Post di annuncio prodotto di **Block Engineering** firmato da **Thomas Petersen** (*Principal Designer & Builder*), pubblicato il **18 agosto 2026**, ~1.800 parole suddivise in tredici brevi sezioni, che presenta **Buzz Projects** — una **forge software ospitata sul proprio relay**: repository Git, branch, pull request, issue, revisione e merge, progetti multi-repo, un feed di attività, il tutto collegato ai canali di conversazione. Il catenaccio e la tesi del post: *« Coding agents are the terminal for your computer. Buzz is the terminal for your network. »* Tre contributi. **(A) Una dottrina di fiducia fondata sulla prova *ex post* piuttosto che sull'autorizzazione *ex ante***: da un lato *« No forced guardrails, no limitations on what your agents are allowed to help you with »*, dall'altro *« Every push, review, approval, and merge is a signed Nostr event. If an agent authors a patch, you can see which agent produced it and which human authorized that agent to act »*; la sezione si chiude su una direzione dichiarata — *« we are already exploring ideas around agent trust protocols informed by past behavior »*. **(B) Interoperabilità Git senza strumenti proprietari**: *« These are standard git repositories… You can fetch, clone, pull, and push over plain Smart HTTP, with no custom tooling or wrapper CLI required »*, con la clé Nostr che funge da identità unica — *« The same npub that signs your messages signs your pushes. »* **(C) Una distinzione tra superficie di esecuzione e presenza in rete**: *« A terminal gives an agent somewhere to execute commands and change files, but it does not give it a persistent place in the network. Buzz does. »* Il post non produce alcuna cifra e non contiene link esterni; si qualifica come preliminare sei volte (*« still very basic »*, *« fairly elementary »*, *« still under experiments »*), e Projects risiede sotto la scheda **Experiments** di Buzz Desktop.
#Buzz#Buzz Projects#Block
**Thomas Petersen** — *« Principal Designer & Builder »* chez **Block** · auteur unique et signataire du billet ; première apparition dans le corpus. Publié le **18 août 2026** sur le blog **Block Engineering**. Troisième signature Block sur Buzz en un mois · après Tyler Longwell (21 juillet) et Atish Patel (6 août) · et la première non-ingénieur.
Post X di **Andrew Ng** del **14 agosto 2026** (16:29 UTC), ripreso dalla lettera "Dear friends" di ***The Batch* #366** (DeepLearning.AI, stessa data), ~900 parole. Ng presenta **The AI Engineering Skills Map** e pubblica **quattro competenze** ritenute le più importanti. **(1) Costruire e distribuire applicazioni IA** — la specificità viene nominata: *« The key difference between AI and non-AI applications is that the former has unpredictable outputs »*, da cui l'enfasi su *evals* e cicli di error-analysis. **(2) Fondamenti di ingegneria del software**, perché *« Understanding software fundamentals allows you to recognize what tradeoffs even exist »* — lo sviluppatore inesperto fallisce *« because they don't know what context to give their coding agent »*, da cui l'obiettivo di *« steering coding agents using the precise language of software engineering »*. **(3) Uso di agenti di coding**, in una formulazione operativa: *« help the agent autonomously close loops by providing verifiers or evals »*, e *« knowing how much to intervene and how much to leave them alone »*. **(4) *Shaping the build***: *« Given a clear spec, coding agents are rapidly improving at delivering to it. Thus, our work as engineers is shifting toward deciding what should be in the spec »*, accostato a *« Engineers should no longer expect to be given a pixel-perfect design and asked only to implement it. »* Una **nota terminologica** porta la maggior parte dell'inquadramento: Ng parla di **competenze** nell'ingegneria IA e **non del ruolo** "AI Engineer", con un'analogia esplicita — *« All developers today should know how to work with the cloud, and only a smaller number have a "Cloud engineer" title. »* Il tutto è sostenuto da *« an analysis of more than 10,000 job postings, dozens of structured interviews with experts, hiring managers, and recruiters, surveys, and other online data »*, di cui **non viene pubblicato alcun risultato numerico**: Ng descrive il proprio processo come *« informally… akin to running clustering »* e annuncia una mappa dettagliata in post futuri. Egli enuncia l'interesse nella penultima frase: *« DeepLearning.AI's principal focus is to help developers gain these AI engineering skills. »*
#AI Engineering Skills Map#skills map#Andrew Ng
**Andrew Ng** — fondateur de **DeepLearning.AI** · general partner d'**AI Fund** · cofondateur de **Coursera** et de **Google Brain** · ancien chief scientist de Baidu. Texte signé · à la première personne · écrit *« with my team »* sans qu'aucun collaborateur soit nommé. Publié le **14 août 2026** sur X et dans ***The Batch* n°366** — même texte aux deux endroits ; préférer *The Batch* pour toute citation durable. Quatrième fiche Ng du corpus · après les lettres n°350 (24 avril) · n°352 (8 mai) et n°359 (26 juin).
Post di annuncio pubblicato sul **blog ufficiale di Z.ai** (già Zhipu AI, laboratorio cinese) il **14 agosto 2026**, **senza firma individuale**, ~2.000 parole più note a piè di pagina. Annuncia **GLM-5.3**, successore di GLM-5.2, aprendo con una tesi metodologica: *« Scaling post-training is all we did for GLM-5.3. »* Stesso modello di base di GLM-5.2 — *« every gain comes from post-training »*. Tre annunci. **(A) Un modello di coding open-weights**: +50% dichiarato sul **Z.ai Code Bench**, un benchmark interno non pubblicato. **(B) Una capacità cyber presentata come "emergente"**, che il corpo del testo riconduce a una scelta di addestramento — *« As part of post-training, we introduced vulnerability discovery data and environments into the training mix. We expected this to make the model better at finding and reasoning about vulnerabilities »* — ciò che è arrivato come sorpresa è la velocità e il cambiamento di natura: il modello passa dall'identificazione di falle isolate a *« coherent plans for complete exploitation chains »*. I guadagni crescono con la posizione nella catena di exploitation: CyberGym 77,2 → **84,5%**, ExploitBench 24,4 → **54,4%** (×2,2), ExploitGym 29 → **105** task in 2h (×3,6), con il divario rispetto alla frontiera chiusa che resta ampio (181 e 247 task). Z.ai lo formula così: *« Capability is growing fastest exactly where we are furthest behind. »* Il post pubblica anche un **Z.ai Security Disclosure Ledger**: **2.436 vulnerabilità identificate in 269 progetti open source** — kernel, sistemi operativi, motori browser, infrastrutture, applicazioni web, protocolli di rete — la più vecchia introdotta nel **1981**, durata media prima della scoperta **26,6 anni**, di cui **53 divulgate** e **2.383 sotto embargo**. **(C) Un rilascio dei pesi** *« within two weeks of launch, once safety evaluation and hardening are complete »*. Il contributo metodologico più riutilizzabile: **sintesi di ambiente e verificatore**, quest'ultimo prodotto senza accesso alla soluzione di riferimento e ammesso solo dopo un tris di controlli negativi — **oracle**, **no-op**, **unsolved-state**. Tutte le valutazioni agentiche sono condotte **in Claude Code 2.1.207**.
#GLM-5.3#GLM-5.2#Z.ai
**Z.ai** (anciennement **Zhipu AI**) · laboratoire d'IA chinois · éditeur de la famille **GLM**. Billet **institutionnel et non signé** : aucun auteur nommé · aucun chercheur mis en avant · aucun lien vers un rapport technique ou une carte de modèle. Publié le **14 août 2026**. La page est une SPA React — le HTML servi est un `<div id="root">` vide · et le texte comme les scores ont dû être extraits du bundle `glm-5.3-BCnx8T5_.js` · où ils figurent en valeurs source.
Pagina prodotto ufficiale di **DeepSeek**, pubblicata il **13 agosto 2026**, **non firmata**, di circa 450 parole, che annuncia il rilascio in *developer preview* di **DeepSeek Harness** (`dsh`) — un harness per agenti di coding **open source con licenza MIT**, il cui repository è stato aperto lo stesso giorno. Una tesi in tre parole, ripetuta nel titolo e nella descrizione del repository: *« Everything is a plugin »*, affiancata da una seconda promessa, *« Every run is traceable »*. La pagina enuncia l'equazione *« AGENT = MODEL + HARNESS »* ed elenca le capacità innestabili come plugin — *« models, tools, skills, sessions, sandboxes, storage, loops, scheduling, and the UI »*. Vengono rilasciate quattro modalità: **modalità Standard** (agente di coding completo), **mode Code** (strumenti esposti tramite il *Code Mode SDK*, che permette al modello di comporre operazioni multi-step all'interno di un programma TypeScript), **mode Minimal** (*« two-tool coding agent with persistent bash and str_replace_editor »*, esplicitamente *« for benchmarking models in a minimal environment »*), e **modalità Creator** (ispezione a runtime, test di plugin in memoria). La sostanza tecnica risiede nel repository, non nella pagina: `docs/architecture.md` enuncia un invariante di logging — *« Model-visible means logged. Anything that reaches a model request must be reconstructable from the log, and a runtime invariant asserts it »* — e afferma che *« there is no privileged core to patch »*. Il nucleo tecnico non è farina del sacco di DeepSeek: DSH è costruito su **Cordis** (il progetto `cordiverse`, terza parte), **vendorizzato** in `vendor/` con un manifesto e una procedura di sincronizzazione, e la pagina colloca il *« Cordis paper »* allo stesso livello di navigazione di "GitHub" e "Developer docs". Vengono rilasciati due adapter LLM — `dsh-llm-deepseek` e `dsh-llm-pi-ai`, un adapter generico multi-provider. Il repository avverte in maiuscolo: *« THERE WILL BE COMPATIBILITY-BREAKING CHANGES »*, e `CLAUDE.md` specifica che `SESSION_FORMAT_VERSION` resta a `0` *« with no compatibility promise »*, con i backend che rifiutano i vecchi formati su disco. Cronologia: DSH viene rilasciato lo stesso giorno in cui **DeepSeek-V4-Pro raggiunge la GA**, tre giorni prima dell'entrata in vigore di un nuovo listino prezzi API il **16 agosto 2026 alle 16:00 UTC**, con tariffe di picco/fuori picco e uno sconto fuori picco del **−50%**.
#DeepSeek Harness#dsh#harness per agenti
**DeepSeek** (DeepSeek AI, laboratoire chinois) · en tant qu'institution. Page produit **non signée** : aucun auteur · aucun ingénieur mis en avant · aucun billet de blog ni papier technique associé. Le « nous » n'apparaît qu'une fois · en dernière phrase — *« We look forward to exploring the limits of intelligence with developers worldwide »*. Publiée le **13 août 2026**. La page est rendue en JavaScript : `curl` sur l'URL renvoie **HTTP 202 avec un corps vide** · le texte n'existant qu'après exécution du bundle. Deux documents de politique sont liés en pied de page — *Safe Use Policy* et *Data Processing Statement*.