Anthropic lanzó el 29 de octubre, en beta, la Usage and Cost Analytics API de Claude Platform: dos endpoints nuevos, /v1/organizations/analytics/usage y /v1/organizations/analytics/cost, que reportan tokens y costo de una organización y permiten agruparlos por modelo, workspace, API key o por el usuario o la cuenta de servicio que hizo cada petición. En la misma nota pasó a legacy la Usage and Cost API que conocíamos y cuatro endpoints de reportes de la Claude Enterprise Analytics API. Siguen soportados y no hay fecha de retiro anunciada, pero el mensaje es claro: si tienes un script, un dashboard o una alerta que lee el gasto de Claude, ya tienes tarea de migración pendiente, y conviene entender bien qué cambia antes de hacerla, porque no todo es mejora.
Cloudflare publicó su reporte de amenazas DDoS del tercer trimestre de 2026 y el titular cabe en una frase: hay muchos más ataques, pero son más chicos y más cortos. En julio, agosto y septiembre, su red mitigó 18.2 millones de ataques de capa de red, un 208% más que en el mismo trimestre de 2025. El 96% duró menos de 10 minutos y el 98% se quedó por debajo de 1 Gbps. Al mismo tiempo, los ataques gigantes de más de 1 Tbps cayeron de 805 a 251 frente al trimestre anterior. Para quien tiene un VPS, una API o un bot expuesto a internet, la lectura práctica es incómoda: el ataque que te va a tocar probablemente no sale en las noticias, pero sí alcanza para tirarte.
Twilio pasó a GA cuatro funciones de Conversation Relay para bots de voz con IA: cambiar idioma y voz a media llamada, reconectar el WebSocket tras un redeploy sin perder la llamada, filtrar el eco del propio agente y usar ElevenLabs v3 y v4 Turbo.
Anthropic anunció el 30 de octubre de 2026 que el modo rápido (fast mode) de Claude Opus 4.8 queda obsoleto y se retira el 30 de noviembre de 2026. A partir de esa fecha, cualquier petición a claude-opus-4-8 con speed: "fast" devolverá un error. La salida que propone la propia Anthropic es migrar a Claude Opus 5.5, que sí conserva el modo rápido. Si tienes un agente, un bot o una herramienta de código que depende de que Opus 4.8 escupa tokens a toda velocidad, te queda un mes para moverte. Y el cambio no es solo cambiar el nombre del modelo.
Cloudflare anunció el 30 de octubre de 2026 la disponibilidad general de Cloudflare services for private origins: ahora puedes crear un registro DNS proxied (la nube naranja) que apunte a una IP privada, como 10.0.0.50, y Cloudflare llega a ese servidor por la conexión privada que ya tienes con su red, no por Internet. El origen se queda sin IP pública y sin puerto abierto, pero recibe el mismo WAF, caché, manejo de bots, rate limiting y Workers que cualquier sitio público. Para quien tiene APIs internas, backends de agentes de IA o servidores MCP que necesitan recibir tráfico de fuera, el cambio importa: quita la excusa de "esto no lo protegemos porque no está en Internet". Eso sí, no es un switch para todo el mundo, y ahí está la letra chiquita.
Un investigador de la firma de seguridad Binary Security publicó el 30 de octubre de 2026 la tercera parte de su serie Azure's Weakest Link, y el resumen cabe en una línea: encontró cinco vulnerabilidades críticas de elevación de privilegios en las API Connections de Azure, la pieza que usan las Logic Apps para hablar con otros servicios. Cada una permitía lo mismo: tomar la conexión de otro cliente de Azure, en otro tenant, y usar sus credenciales contra su backend. Eso incluye leer secretos de un Key Vault ajeno o escribir en una base de Azure SQL que no es tuya. Según el autor, todas quedaron corregidas y las recompensas sumaron 200,000 dólares. Si tienes flujos en Logic Apps conectados a algo importante, la historia no es solo de chisme: explica dónde vive el riesgo de este tipo de integraciones.
Si usas Cursor y tienes instalada la extensión de Claude Code, para lo que estés haciendo y revisa tu máquina. El 29 de octubre de 2026, durante unas once horas, el Marketplace de extensiones de Cursor distribuyó una copia alterada de Anthropic.claude-code, versiones 2.1.312 y 2.1.313 para macOS y Windows, que intenta dejar una puerta trasera por SSH en el equipo. Cursor ya retiró esas versiones y tumbó el servidor del atacante, pero hay un detalle que lo cambia todo: desinstalar la extensión no limpia el equipo. El código malicioso deja scripts de persistencia que siguen corriendo por su cuenta.
El Meta Social Technologies MCP sumó seis herramientas para crear apps, Business Portfolios y agregar el caso de uso de WhatsApp desde un agente de IA. Junto con el WhatsApp Business Tools MCP, cubre casi todo el alta de un bot, con confirmaciones y límites que conviene conocer.
PHP2Shell dejó de ser un aviso teórico. El 26 de octubre de 2026, el equipo de investigación de Dream publicó los artefactos de una campaña que encadenó las dos vulnerabilidades críticas de PHP parchadas el 21 de octubre (CVE-2026-109618 y CVE-2026-109619) con Fragnesia, un fallo del kernel de Linux, para obtener root en 25 servidores. Entre ellos hay tres de un entorno que Dream describe como afiliado al gobierno de Estados Unidos. Todo empezaba con una sola petición HTTPS, sin credenciales, contra la interfaz de administración de un firewall expuesta a internet. Si administras servidores con PHP o equipos con panel web, esta es la versión práctica de por qué no se pospone un parche.
Meta deprecó el campo conversation_analytics de la API de WhatsApp el 27 de octubre de 2026 y deja de estar disponible el 1 de noviembre. El reemplazo es pricing_analytics, que cuenta mensajes entregados y agrega escalones de volumen.
Mistral liberó el 29 de octubre los pesos de Mistral Large 4, su modelo más grande: un billón de parámetros (un trillion en inglés), multimodal, con contexto de un millón de tokens y bajo una licencia que permite usarlo, modificarlo y venderlo, con una sola excepción importante. Es la versión mejorada del modelo que la empresa francesa presentó en vista previa a principios de mes, y la propia Mistral lo apoda "Le Chonk". Para quien construye agentes, bots o herramientas de código, la noticia tiene dos caras: hay un modelo occidental abierto que compite en programación, pero correrlo en casa sigue siendo cosa de muy pocos.
Desde el 27 de octubre de 2026, Direct Send ya no detecta el OTP en los mensajes de autenticación de texto ni agrega solo el botón copy code. Para tener el botón hay que mandar un mensaje interactivo con el código en otp.code.
Google presentó el 28 de octubre Gemini 4 Carbon, su nuevo modelo de frontera, apenas dos semanas después de lanzar Gemini 4 Argon. La empresa lo describe como su modelo más fuerte, con capacidades de ciberseguridad y de tareas largas que, según sus propias cifras, están al nivel más alto que se ha medido. El detalle que más le importa a quien programa: todavía no lo puedes usar. Google lo está soltando primero a un grupo de defensores de ciberseguridad y no dio fecha para desarrolladores, empresas ni consumidores.
Cloudflare publicó el 26 de octubre un reporte de incidente que debería leer cualquiera que sirva modelos de lenguaje a varios clientes con la misma infraestructura. Entre el 27 de agosto y el 9 de septiembre de 2026, el modelo GLM-5.3 de Workers AI (@cf/zai-org/glm-5.3) devolvió a algunos clientes respuestas que contenían datos de peticiones de otros clientes hechas poco antes al mismo modelo. Según Cloudflare, fueron 155 respuestas afectadas, todas a prompts de más de 681,280 tokens. La causa fue la combinación de una mala configuración propia y un bug en SGLang, el motor de inferencia de código abierto que usan. El reporte salió como divulgación coordinada con el equipo de SGLang, que publicó su propio análisis técnico el mismo día.
