Briefing Tech — 18 de octubre de 2026

Generado el 18 de octubre de 2026 a las 13:10 UTC. Cubre las últimas 24 horas.

TL;DR

Replit hace de OpenAI su proveedor por defecto y corre a Anthropic al menú opcional: Masad dice que fue por costo, sociedad y rendimiento, y que hasta hace poco Replit era uno de los cinco clientes más grandes de Anthropic.
Anthropic gasta por los dos lados: firma un arrendamiento de 20 años en Cape Breton para un campus de unos 10.000 millones de dólares —95 MW en 2027, hasta 420 MW en 2028— y, según el FT, ofrece a Blackstone más de 10% de rendimiento en un tramo junior de 9.000 millones dentro de un paquete de deuda de 60.000 millones para comprar TPUs de Google.
Altman confirma que OpenAI va a construir su propio humanoide con demo en 2027, y Kyutai abre REKI, un VLA de 2,4B con memoria por tokens de registro que marca 90,4% en LIBERO-Plus.
ConnectWise suspende Cloud Backup tras un compromiso de identidades de aplicación: Huntress vio intentos de inicio de sesión en casi 1.000 tenants de Entra y unos 300 exitosos, y deshabilitar las conexiones no revierte lo que el atacante ya cambió.
Google abre Harness2 con Apache 2.0: mejora el andamiaje del agente —prompt, guardrails, memoria, herramientas, subagentes— sin tocar los pesos, con +11,5 puntos para GLM-5 en WorkBuddy-Bench.

IA

Replit hace de OpenAI su proveedor por defecto y desplaza a Anthropic al menú opcional (17/10). Amjad Masad lo anunció en el escenario de TechCrunch Disrupt y la frase fue “una decisión basada en costo, sociedad y rendimiento”: dice que sobre un benchmark interno y uno público los modelos de OpenAI rinden mejor construyendo apps desde cero, y que “ChatGPT es mejor ahora”. Los Claude siguen disponibles, pero el default se lleva a la mayoría de los clientes, así que el gasto de Replit con Anthropic cae fuerte; Masad reconoció que hasta hace poco Replit estaba entre los cinco clientes más grandes de Anthropic. Dos cosas no cierran del todo: una fuente interna le dijo a TechCrunch que la sociedad con Anthropic sigue en pie, al revés de lo que dijo el CEO, y Replit estuvo promocionando modelos de Anthropic hasta fines de septiembre. De paso dejó números del giro a empresas: enterprise pasó de 2% a 15% de los ingresos en un año, más del 50% ya es B2B, y espera que en 2027 más de la mitad venga de clientes corporativos y de gobierno. TechCrunch

Anthropic firma un arrendamiento de 20 años en Nova Scotia para su primer datacenter canadiense, dentro de un campus de unos 10.000 millones de dólares (17/10). El inquilino del proyecto de EverWind en Point Tupper, Cape Breton, era un secreto hasta ayer. Las cifras: 95 MW en la primera fase con apertura apuntada a fines de 2027 y expansión posible a 420 MW en 2028, sobre más de 8.000 millones de inversión privada en el campus más unos 2.000 millones en parques eólicos terrestres, lo que EverWind llama la mayor inversión privada de la historia de la provincia. Lo que conviene mirar con pinzas es la parte eléctrica y la política: los parques eólicos no van a estar listos cuando abra el datacenter, así que arranca colgado de la infraestructura existente, con Anthropic prometiendo pagar las mejoras de red y que los clientes actuales no absorban el aumento de precio. La líder del NDP provincial, Claudia Chender, preguntó cómo piensa el gobierno hacer cumplir esas promesas y criticó que se respaldara el proyecto sin consulta pública. Queda abierto además el valor del arrendamiento, el monto exacto de los aportes comunitarios —“decenas de millones”— y la participación accionaria que negocia un consorcio de Primeras Naciones liderado por Membertou Development Corporation. The Logic · CBC · The Globe and Mail

Anthropic ofrece a Blackstone más de 10% de rendimiento en un paquete de deuda de 60.000 millones de dólares para comprar TPUs de Google (17/10). Según el Financial Times, la operación se llama internamente “Project North Star” y financia alrededor de 1,5 gigavatios de TPUs desarrolladas por Google, compradas a través de un vehículo de propósito especial que es dueño de los chips y carga la deuda. El reparto que se filtró: Blackstone pondría 9.000 millones en el tramo junior con rendimiento por encima del 10%, y el tramo senior iría cerca del 7% con soporte de valor residual de Broadcom atado al valor del hardware. El antecedente es el acuerdo de junio de 2026, de 35.000 millones y cerca de 1 GW, donde también estuvo Blackstone junto con Apollo. Todo está en negociación y sin comentarios en registro de Anthropic, Blackstone, Google ni Broadcom: el monto, la estructura y los prestamistas senior pueden cambiar, y la cifra del 7% senior sale de estimaciones sin fuente nombrada. Crypto Briefing · SMM

Bernstein calcula que solo un 35% del pipeline de datacenters de Estados Unidos es creíble, y RegLayer cuenta 47 proyectos grandes demorados, retirados o bloqueados en 2026 (18/10). El número de Bernstein es el que más duele porque implica que dos tercios de lo anunciado no va a existir, y el conteo de RegLayer le pone casos: proyectos que se cayeron por oposición local, permisos o red eléctrica. El marco del FT es que “una apuesta enorme al futuro de la tecnología está chocando con la economía implacable del mundo físico”, y conviene leerlo junto con lo que pasó esta misma semana en Essex, donde Microsoft se bajó del ancla de Nscale porque la red no da hasta los 2030. Aviso: del artículo completo del FT solo circula el resumen, así que la metodología de ambos números —qué cuenta como “creíble” y qué como proyecto “grande”— no está disponible para chequear. Financial Times · Techmeme

Hardware y Robótica

Altman confirma que OpenAI va a construir su propio humanoide y promete una demo en 2027 (17/10). En el podcast Sources dijo que la forma humana tiene sentido porque “el mundo está muy diseñado para las personas”, pero que lo que importa no es el cuerpo sino el cerebro que lo controla; a Fortune le dijo que espera “una demo copada en 2027” y que robots caminando por la calle recién algunos años después. El respaldo visible es la página de empleos: 27 búsquedas de robótica abiertas, en control de movimiento, actuadores e infraestructura de machine learning. Lo que no hay es producto: ni cómo se ve, ni precio, ni fecha de salida, ni qué va a mostrar la demo. Engadget · AI Weekly

Kyutai abre REKI, un VLA de 2,4B con memoria por tokens de registro que le gana a modelos del doble de tamaño (17/10). El modelo, hecho con Inria y la ENPC y preentrenado solo con datos públicos, combina un backbone visión-lenguaje Qwen3.5-2B con un experto de acción por flow matching de 200M. La idea central es barata y es la que vale copiar: 32 tokens de registro por frame que se cachean entre frames, lo que le da a la política memoria de su pasado reciente a costo casi nulo, entrenada con ventanas de tres frames separados por un segundo. Los números: 90,4% en LIBERO-Plus, el más alto de la tabla; 38,4% promedio en RoboCasa365 contra 36,0% de RLDX-1; y 65,8% en RoboTwin Clean2Rand, abajo de Qwen-RobotManip, que tiene 4,7B. El efecto más concreto de la memoria es que los episodios donde el robot oscila sin decidirse bajan de 18,6% a 4,1% en RoboTwin. Hay código en GitHub y pesos en Hugging Face bajo kyutai/reki-2b-* en variantes pretrained, LIBERO, RoboTwin, RoboCasa365 y GR-1; la licencia no figura en la página del proyecto, así que hay que mirarla en el repo antes de planear nada con esto. Kyutai · GitHub · arXiv · MarkTechPost

Microsoft se baja del ancla de Nscale en Essex —23.000 GPUs de Nvidia— porque la red eléctrica no da hasta los 2030 (18/10). El acuerdo cancelado era alquilar 23.000 chips de Nvidia en el datacenter de 2.000 millones de libras que Nscale planea en Loughton, pensado para unos 90 MW y apertura en 2027; el motivo reportado no es demanda ni suministro de chips sino que UK Power Networks no puede entregar potencia suficiente hasta principios o mediados de la próxima década. El problema es el timing: Nscale prepara una salida a bolsa en NYSE apuntando a 35.000 millones de valuación y 3.000 millones de captación, con un S-1 presentado el 18 de septiembre que declara 103.400 millones de backlog contratado, de los cuales Microsoft explicaba unos 43.800 millones. La foto operativa es más chica que el backlog: Nscale opera unos 55 MW en Europa, Glomfjord en Noruega tiene 6,4 MW vivos de 30 MW planeados y ya gatilló penalidades, y Loughton se queda sin cliente anunciado. Nscale dice que sigue comprometida con el sitio y busca potencia alternativa, sin plan ni cronograma; Microsoft no habló en registro y no está claro cuánto del backlog restante queda afectado. Crypto Briefing · The Telegraph

La RTX 5090 desapareció de las tiendas y se vende a 8.500 dólares en Amazon, pero Nvidia dice que no está descontinuada (17/10). La tarjeta no está ni en la tienda de Nvidia ni en Micro Center, y Best Buy no tiene stock; lo que queda son vendedores terceros a unos 8.500 dólares en Amazon y unos 7.300 en Newegg, con tiempos de envío que sugieren origen chino y sin contar aranceles. El vicepresidente senior Jeff Fisher habría dicho que “la producción no se discontinuó y Nvidia va a seguir despachando”, aunque admitió que la capacidad de la cadena de suministro está “algo restringida”; la cita llega de segunda mano, vía los medios taiwaneses 4Gamers y SJTV, y Nvidia no respondió el pedido de comentario de Tom’s Hardware. El rumor que disparó todo la semana pasada era que Nvidia frenaba la producción para liberar capacidad de silicio hacia aceleradores de IA, después de supuestamente haber puesto en pausa la serie RTX 50 Super. Tom’s Hardware

HUMXN regala plomería, climatización y electricidad en tres ciudades para juntar datos de entrenamiento de robots (17/10). El laboratorio ofrece servicios gratuitos de hogar —plomería, HVAC, trabajo eléctrico, limpieza de conductos y de alfombras— a cambio de que los técnicos trabajen con sensores vestibles que graban video de la reparación, material que después alimenta modelos de robótica. Es el mismo problema que todos los VLA tienen enfrente: los datos de manipulación en entornos reales y desordenados no existen a escala y no se pueden scrapear, así que hay que salir a producirlos. La empresa además dice estar dispuesta a comprar hasta 50 millones de dólares en datos de oficios, agro y manufactura. Lo que no está claro en la cobertura es lo que más importaría para evaluarlo: qué consiente exactamente el dueño de casa, qué pasa con el video del interior de su vivienda, y cuántos trabajos llevan hechos. Tom’s Hardware · HUMXN

Ciberseguridad

ConnectWise suspende Cloud Backup tras un compromiso de identidades de aplicación que tocó cerca de 1.000 tenants de Microsoft 365 (18/10). Segundo caso de cadena de suministro en dos días después de los servidores de actualización de AOMEI del briefing de ayer, pero acá el problema no es un archivo alterado sino la identidad: los atacantes consiguieron credenciales de aplicaciones de ConnectWise con permisos amplios, y con eso sacan tokens de acceso de Entra ID sin robarle la contraseña a ningún cliente. Desde ahí pueden sumar la app al rol de Administrador Global, agregar secretos de cliente a otras apps confiables o crear apps nuevas con permisos, lo que les deja persistencia incluso después de revocar la credencial original. Los números de Huntress: casi 1.000 tenants de Entra con actividad de inicio de sesión desde la IP maliciosa y unos 300 con sesión exitosa, más una segunda ola el 15 de octubre desde 144.172.64[.]128 contra 16 tenants de sectores de política, seguridad nacional, comercio y minerales críticos, que falló. La línea de tiempo: ConnectWise detectó el 14, los últimos inicios de sesión maliciosos de la dirección original fueron el 15 a las 08:45 UTC con actividad manual hasta cerca de las 14:20, y el 17 a las 07:00 UTC deshabilitó siete identidades de aplicación y suspendió Cloud Backup. Lo accionable y lo incómodo es lo mismo: deshabilitar las conexiones no revierte lo que ya cambiaron en los tenants y los tokens emitidos pueden seguir sirviendo hasta que venzan, así que hay que revisar inicios de sesión desde el 13 de octubre, auditar credenciales de apps, confianzas de federación, roles de directorio, consentimientos y reglas de buzón, y preservar logs antes de contener. Los backups programados no corren y no hay capacidad de restauración mientras dure la suspensión. The Hacker News · BleepingComputer

OpenCode admite un ataque de destilación que expuso las claves de API de proveedores del 1,4% de los usuarios de Console (17/10). Los atacantes entraron explotando vulnerabilidades en un sistema heredado y se llevaron las claves de API guardadas en los workspaces de los usuarios, atadas a modelos de Anthropic, OpenAI y Google. El objetivo aparente no era el dato sino el cómputo: cosechar respuestas de modelos de primera línea para entrenar modelos competidores, con la factura cayendo en la cuenta de la víctima —hubo usuarios que vieron drenarse el saldo rápido, con cuentas de cientos de dólares—. Lo que hay que hacer es inmediato y no espera a la investigación: rotar o revocar toda clave conectada a OpenCode Console y revisar el uso reciente en el panel de cada proveedor. Lo que falta: OpenCode no dijo cuándo empezó el ataque ni cuándo lo detectó, dice estar trabajando con los tres proveedores en la remediación y no aclaró cómo se van a tratar los cargos no autorizados. Crypto Briefing · Cyera

Drupal parchea dos fallas críticas de ejecución remota de código y avisa que los exploits pueden aparecer en horas (17/10). CVE-2026-108097 está en el módulo Field UI del core y CVE-2026-108099 en el módulo contribuido Entity List, que sirve para armar listas de entidades sin Views. El matiz que decide el riesgo real de cada sitio: el core solo no alcanza para explotarlas, hace falta que módulos contribuidos o código propio expongan el camino, pero al menos una ruta conocida por módulo contribuido no requiere autenticación. Las versiones con arreglo son 10.6.19, 11.3.19 u 11.4.10 según la rama, y 3.0.10 para Entity List; Drupal 12.0 final incluye los dos parches y las prereleases de la 12 anteriores a beta2 están afectadas. Para quien no pueda actualizar ya, la mitigación es desinstalar el módulo field_ui del core; Drupal Steward cubre algunos vectores conocidos pero no todos. Vale recordar que las versiones anteriores a 10.6.x y a 11.3.x están al final de su vida y no reciben más arreglos. No hay explotación reportada todavía. BleepingComputer

MALFEX muda su loader de npm a un addon nativo de Windows: imgdecode, 929 descargas y ni un script de instalación (17/10). El paquete, publicado por malfexteste8 en versiones 1.0.0 a 1.0.3, tiene un JavaScript diminuto que no hace nada visible: el trabajo sucio está en la DLL compilada, que corre durante la inicialización del módulo Node-API, antes de devolver los exports, con solo hacer require('imgdecode'). La cadena tiene dos detalles de evasión que valen la pena: solo se ejecuta si la salida estándar es una consola interactiva de Windows —con la salida redirigida, como en la mayoría de los runners de CI y los sandboxes, se va sin hacer nada— y baja un banner.jpg de un repo de GitHub, lo descifra con AES-256-CBC y lo inyecta en un dllhost.exe suspendido, con fallback a ejecutarlo dentro de node.exe. El contexto es que npm bajó los paquetes anteriores de la campaña el 28 de septiembre y el operador volvió a publicar, pasando de una cadena de varios paquetes en JavaScript a un único addon nativo; SafeDep lo vincula a MALFEX con confianza alta por hash del downloader y ubicación de staging compartidos. Indicadores para cazar: la frase nif-runtime-2027, persistencia en %APPDATA%\Microsoft\EdgeUpdate\MicrosoftEdgeUpdate.exe con servicio o tarea MicrosoftEdgeUpdateService, %TEMP%\svc_update.exe, y procesos dllhost.exe cuyo padre sea node.exe. Tratá cualquier estación Windows que haya cargado el paquete como comprometida, tomá memoria antes de reiniciar porque el shellcode vive ahí, y rotá credenciales, tokens de npm y GitHub y claves SSH y de nube. Reservas: SafeDep no pudo recuperar el banner.jpg, así que el enlace con el stealer de tercera etapa es una inferencia a partir de un archivo hermano, y no se sabe cuántas máquinas quedaron afectadas. SafeDep · The Hacker News

Técnicas, repos y práctica

Google abre Harness2 con Apache 2.0: mejora el andamiaje del agente sin tocar los pesos, y le suma 11,5 puntos a GLM-5 en WorkBuddy-Bench (18/10). Es lo más accionable del día para cualquiera que esté armando agentes: Google Cloud AI Research libera un framework —versión 0.1.0, no un modelo— que edita ocho componentes del harness, cada uno montado como archivo: system prompt, guardrails, memoria, guía de herramientas, subagentes, skills, scripts y plugins de middleware. Funciona con dos niveles de recursión encadenados: a nivel tarea propone dos ediciones candidatas —una general, una específica del dominio—, prueba las dos y se queda solo con lo que el comportamiento observado respalda; a nivel harnessing guarda los harnesses adoptados y las lecciones en un EXPERIENCE.md que guía las tareas siguientes. Lo probaron en WorkBuddy-Bench, JobBench y el LAB de Harvey, con Gemini 3.5 Flash y GLM-5 bajo OpenCode y Codex, usando Claude Opus 4.8 como editor por defecto y promediando tres corridas: el mejor resultado es GLM-5 bajo OpenCode subiendo de 64,2 a 75,7 en WorkBuddy-Bench, y el peor es GLM-5 bajo Codex ganando 1,2 puntos en JobBench. El patrón interesante es que los ejecutores más débiles ganan más —tras un paso, GLM-5 le gana al Gemini 3.5 Flash base en WorkBuddy-Bench—. Requisitos: Linux, Python 3.12 o 3.13, uv, llamadas de modelo por Vertex AI, más Node.js 20+ y la CLI de Google Cloud para corridas con modelo; hay una demo local sin credenciales. Dos costos a tener en cuenta: cada tarea requiere corridas extra, y el sandbox del entorno de ejecución corre por tu cuenta. MarkTechPost

MeshXFS: un XFS clusterizado que escribió casi entero Claude Opus como agente autónomo, y el autor dice que no revisó el código (17/10). Sigue de la rama de AVX-512 para LLVMpipe que terminó un modelo, del briefing de ayer, pero acá la escala es otra: no un hueco final sino un driver de filesystem de kernel completo. MeshXFS es un filesystem clusterizado POSIX con licencia GPL-2.0, construido sobre el código upstream de XFS, que permite que varias máquinas monten el mismo filesystem en lectura-escritura al mismo tiempo, con locking distribuido, coherencia de caché entre nodos, fencing y recuperación de journal liderada por el sobreviviente. Steve Shoecraft, que arrancó el proyecto, lo plantea como un experimento sobre si la IA puede escribir un driver de filesystem no trivial: dice que Claude Opus, corriendo como agente autónomo en Claude Code, escribió la mayor parte de la capa de clustering, el envoltorio en disco, las herramientas de userspace y los harnesses de prueba, consultando a Claude Fable, GPT y Gemini en los problemas difíciles, y que él fijó los objetivos pero no escribió, editó ni revisó el código. El árbol de XFS pasó de unas 226.000 a 314.000 líneas, y cada release pasa por una suite de unas 30 filas sobre clusters multinodo reales. No hay un solo benchmark publicado: el objetivo declarado es quedar dentro del doble del tiempo de XFS nativo sobre el mismo almacenamiento, y como nadie revisó el código, toda la confianza descansa en esa suite de tests. Phoronix · GitHub

Sber abre Cowork Bench, un benchmark de trabajo de oficina donde nueve shells de agente sobre el mismo modelo rinden entre 62% y 80% (17/10). Lo que mide no es la calidad de la respuesta sino si el agente termina la tarea sin intervención humana, que es exactamente la métrica que falta en la mayoría de los leaderboards. Son 475 tareas sobre 12 funciones de negocio y 26 sistemas corporativos, con el agente operando planillas, documentos, correo, calendario, almacenamiento de datos y una base de conocimiento; los ejemplos que dan son análisis de presupuesto de cuatro áreas con desvíos, informe, presentación y correos, u organizar un viaje de trabajo con pasajes, presupuesto y entradas de calendario. El resultado que más dice es el del diseño experimental: probaron nueve shells de software de agente sobre un mismo modelo abierto, con tareas y verificación idénticas, y la tasa de completitud fue de 62% a 80% según el shell —GigaCowork marcó 75,2%—, o sea que el andamiaje explica casi veinte puntos con el modelo fijo, que es la misma tesis que Harness2 de Google. Las faltas son serias para poder usarlo: el artículo no nombra el modelo abierto, no publica puntajes por modelo, no declara licencia y no da link al repositorio, y el benchmark está en ruso. www1.ru

NVIDIA Structured Data Models: predicción tabular sin entrenar nada, con varios modelos fundacionales de tablas detrás de una sola interfaz de PyTorch (17/10). La librería envuelve TabICLv2 y KumoTabular para tablas simples y KumoRelational para bases relacionales multi-tabla, y la mecánica es la de un prompt con ejemplos: le pasás filas etiquetadas como contexto y las filas a predecir, y devuelve probabilidades de clase o una distribución predictiva en un solo forward; el fit() solo cachea el contexto para consultas repetidas. Los tamaños y licencias importan para decidir: TabICLv2 son unos 110 MB por cabeza de tarea con BSD-3, KumoTabular va de ~110 MB a ~855 MB y KumoRelational unos 120 MB, los dos bajo OpenMDW, mientras que TabFM y TimesFM 3 son grandes (6,5 GB y 1,3 GB) y no comerciales. En las pruebas del autor —CPU, datasets chicos, no resultados independientes— TabICLv2 empata o supera a regresión logística y gradient boosting entrenados sobre las mismas filas, y la diferencia grande aparece en el caso relacional: la tabla de clientes sola da 0,556 de AUC, features armadas a mano con TabICLv2 dan 0,828 y KumoRelational sobre las tablas crudas da 0,823. Tres trampas que el tutorial marca y conviene leer antes de probar: el instalador de pyg-lib necesita el índice de wheels de la versión menor, la receta por defecto de TabICLv2 descarta en silencio columnas de fecha y texto tras un solo warning, y los modelos relacionales exigen declarar columnas temporales —sin eso el modelo lee pedidos posteriores al corte e infló un AUC a 0,940 en la prueba del autor—. El código está en GitHub y el paquete de PyPI es solo un placeholder, así que se instala desde un commit fijado. MarkTechPost · GitHub

Voxel51 3.0 apunta a IA física: series temporales multimodales, etiquetado agéntico y 45 herramientas MCP (17/10). La plataforma de datos para equipos que entrenan sobre sensores de robots, vehículos y fábricas suma varias cosas que apuntan al mismo problema: ver varios streams de sensores sobre una misma línea de tiempo con embeddings por segmento para encontrar momentos dentro de grabaciones largas, etiquetado unificado de 2D, 3D, video y multimodal con QA automatizado y revisión humana en el loop, y un Agente Voxel51 que encadena búsqueda, curación, anotación y evaluación con más de 45 herramientas MCP, más de 80 operadores y 18 skills open source. Completan procedencia de datos en cuatro capas —logs de actividad de despliegue y de dataset, historial de edición a nivel muestra y versionado inmutable— y búsqueda híbrida que combina consultas semánticas, léxicas y de metadatos sobre un índice persistente armado con LanceDB. Soporta MCAP, imágenes, video, nubes de puntos 3D, mallas, DICOM, NIfTI, geoespacial y audio, con despliegue hosteado, on-prem o air-gapped. La capa gratuita da 30.000 inferencias y 30 horas de cómputo por mes, 3 datasets de hasta 10.000 muestras y 20 GB; la plataforma en sí no se declara open source, solo las skills del agente. MarkTechPost