Rassegna Stampa Tech — 4 Aprile 2026

2026-04-04

Panoramica

Le ultime 48 ore sono state dominate da tre macro-eventi: il leak del codice sorgente di Claude Code via npm (512K righe di TypeScript, claw-code che raggiunge 100K stelle GitHub in un giorno), la crisi di sicurezza di OpenClaw con CVE critici a 9.9 CVSS e 40K istanze esposte, e il rilascio della Agent Skills specification di Google che introduce il progressive disclosure a 3 livelli per ridurre del 90% il consumo di contesto. ZeroClaw continua a guadagnare trazione come alternativa leggera in Rust.

ZeroClaw & OpenClaw

ZeroClaw — Trazione in crescita

ZeroClaw ha superato i 25K stelle GitHub e sta emergendo come runtime alternativo per chi vuole leggerezza e sicurezza. I numeri parlano chiaro: <5MB RAM, <10ms cold start, tutto in Rust con 13 trait core che disaccoppiano ogni sottosistema.

Su X la community è attiva — Lightning AI ne ha parlato come il “flip” del modello cloud: boot in millisecondi, tutto locale, pochi megabyte. C’è chi lo fa girare su microcontroller da $10. La community ufficiale X ha 21 membri (piccola ma in crescita).

Il dibattito “Claw language wars” (TypeScript vs Rust vs Zig/FemtoClaw) è vivo, ma il consenso è che il bottleneck nel 2026 resta il reasoning, non il runtime.

Rilevanza per Ozzy: ZeroClaw resta la piattaforma su cui gira Ozzy. La crescita della community è un buon segno — più contributor, più stabilità. Il passaggio a watchdog deterministico di Ozzy riduce comunque la dipendenza dal runtime AI.

OpenClaw — Crisi sicurezza seria

Situazione preoccupante. 512 vulnerabilità trovate nell’audit, 8 critiche:

CVE-2026-32922 (privilege escalation, CVSS 9.9) — pubblicata il 29 marzo
CVE-2026-25253 (WebSocket hijacking, CVSS 8.8) — OpenClaw inviava token di auth a server malevoli
Command injection, SSRF, path traversal, prompt injection → code execution

40.214 istanze esposte su internet, il 63% vulnerabili. Il ClawHub (registry skill) è esploso da 2.857 a 10.700 skill in due settimane, con casi di skill malevole che rubavano wallet crypto.

La release OpenClaw 2026.3.1 (fine marzo) aggiunge Claude 4.6 adaptive thinking, WebSocket streaming OpenAI, e miglior supporto Docker/K8s. Ma il focus ora è sulla sicurezza.

Rilevanza: Conferma la decisione di migrare Ozzy da OpenClaw. La superficie di attacco è enorme per chi lo espone su internet.

Claude Code

Il leak del codice sorgente

Il fatto della settimana: un file .map da 59.8MB incluso per errore nel pacchetto npm @anthropic-ai/claude-code v2.1.88 ha esposto quasi 2.000 file TypeScript e 512K righe di codice. Il ricercatore Chaofan Shou l’ha scoperto per primo.

Causa: qualcuno ha dimenticato di aggiungere *.map al .npmignore. Il bundler Bun genera source map di default.

claw-code (rewrite Python clean-room) ha raggiunto 100K stelle GitHub in un giorno — il repo più veloce nella storia di GitHub, superando OpenClaw.

Anthropic ha confermato: “Nessun dato sensibile coinvolto, errore di packaging, non una breach.”

Release recenti

Claude Code 2.1.90 (1 aprile): /powerup per onboarding interattivo con demo animate, auto mode che rispetta limiti espliciti (“don’t push”, “wait for X”)
Claude Code 2.1.88: miglioramento delegazione agenti (“never delegate understanding”), fix cache StructuredOutput, persistence risultati MCP fino a 500K char

Claurst — Rewrite in Rust

Spunta su GitHub claurst (Kuberwastaken/claurst), un rewrite del terminal coding agent in Rust ispirato dal leak. Da tenere d’occhio.

AI Agents — Trend

Google Agent Skills Specification

La novità architetturale più rilevante. Google ha formalizzato un pattern di progressive disclosure a 3 livelli:

L1 Metadata (~100 token): nome + descrizione, caricati all’avvio
L2 Instructions (<5.000 token): corpo completo della skill, caricato on-demand
L3 Resources: file esterni (style guide, API spec), caricati solo quando servono

Un agente con 10 skill parte con ~1.000 token invece di 10.000. Riduzione 90% del contesto base. Adottato da OpenAI, Google, GitHub e Cursor.

Rilevanza diretta: Questo è esattamente il pattern che usiamo con le skill di Claude Code. La formalizzazione in standard aperto valida l’approccio.

Mercato Agentic AI

Il mercato enterprise ha raggiunto $7.51B nel 2026 (CAGR 27.3%). Le valutazioni seed per startup AI arrivano a $40-45M post-money. Y Combinator punta forte su team con talento AI provato.

Microsoft Agent Framework (MAF)

Microsoft ha rilasciato un corso “AI Agents for Beginners” con il nuovo Microsoft Agent Framework, posizionandolo accanto a Semantic Kernel e AutoGen.

Proofpoint Agent Integrity Framework

Framework a 5 fasi per governance AI enterprise — dalla discovery al runtime enforcement. Segnale che la sicurezza degli agenti è ora un mercato a sé.

Cosa esplorare

Agent Skills L1/L2/L3 per il Reaper Protocol — Il pattern di Google è perfetto per strutturare le competenze del club. Potremmo formalizzare le skill di Gibs, Bobby e Jarvis con metadata L1 leggeri e istruzioni L2 on-demand. La spec è su agentskills.io.
Hardening OpenClaw residuo — Se c’è ancora qualcosa che gira su OpenClaw (VPS Jarvis), vale la pena fare un audit: disabilitare ClawHub skill non verificate, chiudere WebSocket esposti, aggiornare almeno a 2026.3.1.
Claurst (Rust rewrite di Claude Code) — Se matura, potrebbe essere interessante come runtime leggero per agenti coding sul server casa. Da monitorare su GitHub.

Protocol Riper Digest