Tools This Week: 16. Oktober 2026 - Bun 1.4.3, Figma Specs

Die Liste von Tools This Week umfasst diese Woche zehn Entwickler-Tools. Bun 1.4.3 bringt einen eigenen TypeScript-Typprüfer, und Figma hat Specs und code layers in die Beta gebracht. GitHub hat zwei Sicherheitsfunktionen für Workflows und Pull Requests ausgeliefert. Meta hat offene Gewichte für Muse Spark Open veröffentlicht, und Ubuntu 26.10 ist erschienen. Diese Ausgabe deckt die Woche bis Freitag, den 16. Oktober, ab. Am 17. Oktober haben wir vier weitere ergänzt: Rust 1.99.1, GitHubs Lizenzprüfungen und zwei Modelle mit offenen Gewichten von DeepSeek und Ant Group.

Die Tools der Woche im Überblick

Tool	Was es macht	Preis
Bun 1.4.3	JavaScript-Runtime, die jetzt TypeScript-Typen prüft	Preis nicht angegeben
Workflow-Lockfiles für GitHub Actions	Pinnt jede Action eines Workflows auf einen geprüften Commit	Vorschau in Free, Team und Enterprise Cloud; Preis nicht angegeben
GitHub AI Scan für Pull Requests	KI-Sicherheitsprüfungen für Code, den CodeQL nicht abdeckt	Öffentliche Repos; private Repos brauchen Code Security oder Advanced Security
Figma Specs und code layers	Markdown-Specs und Code-Prototypen auf dem Canvas	Offene Beta in bezahlten Tarifen; code layers bis 4. November 2026 kostenlos
Muse Spark Open	Modell mit offenen Gewichten für Coding und Agenten	Muse Model License, für viele Entwickler kostenlos
Ubuntu 26.10	Linux-Release mit Rust-basierten Coreutils	Kostenlos, 9 Monate Updates
Rust 1.99.1	Punkt-Release, das drei Regressionen behebt	Preis nicht angegeben
GitHub-Lizenz-Compliance für Open Source	Markiert oder blockiert Abhängigkeiten mit nicht freigegebenen Lizenzen	Enterprise Cloud mit Code Security; Preis nicht angegeben
DeepSeek V4.1-Flash-1017	Aktualisiertes Modell mit offenen Gewichten für Coding und Agenten	MIT-Gewichte; API-Preis unverändert; Search und Fetch 0,75 $ pro 1.000 Aufrufe
Ling-3.1-flash	560B-Modell mit offenen Gewichten und 1M-Token-Kontext	MIT-Gewichte; 0,30 $ Eingabe und 0,90 $ Ausgabe pro Million Token bei Novita

Runtimes und Modelle

Bun ist eine JavaScript-Runtime, also das Programm, das JavaScript und TypeScript außerhalb eines Browsers ausführt. Version 1.4.3 erschien am 10. Oktober und bringt bun check, einen eingebauten Typprüfer. Laut Bun läuft er 3- bis 6,4-mal schneller als tsc 7.0.2, der offizielle TypeScript-Compiler, und besteht alle 51.210 seiner Konformitätstests. Die CPU-Last im Leerlauf sinkt um 67-89 %, während ein Server ruht. Die Release-Seite nennt keine Lizenz und keinen Preis. Mehr dazu in unserem Artikel zu Bun 1.4.3.

Meta hat am 15. Oktober offene Gewichte für Muse Spark Open veröffentlicht. Offene Gewichte bedeuten, dass jeder das trainierte Modell herunterladen und ausführen kann. Es hat 816 Milliarden Parameter, davon 42 Milliarden gleichzeitig aktiv, und ein Kontextfenster von 1 Million Token. Die Gewichte liegen auf Hugging Face, und sieben API-Anbieter stellen es bereit. Die Muse Model License hat „begrenzte kommerzielle Bedingungen“, die laut Meta vielen Entwicklern eine kostenlose Nutzung erlauben. Mehr in unserem Artikel zu Muse Spark Open.

DeepSeek hat am 17. Oktober DeepSeek-V4.1-Flash-1017 veröffentlicht, ein Update seines Modells V4.1 Flash. DeepSeek meldet 77,0 % im Coding-Benchmark DeepSWE, nach 74,2 %. Wer den API-Namen deepseek-flash aufruft, bekommt es automatisch zum gleichen Preis, und die Gewichte liegen unter der MIT-Lizenz auf Hugging Face. Neue Search- und Fetch-APIs kosten laut The Decoder jeweils 0,75 $ pro 1.000 Aufrufe. Mehr dazu in unserem Artikel zu DeepSeek.

Das inclusionAI-Team von Ant Group hat Ling-3.1-flash unter der MIT-Lizenz veröffentlicht. Es hat 560 Milliarden Parameter, davon 25 Milliarden pro Token aktiv, und einen Kontext von 1 Million Token. Die Modellkarte empfiehlt 8 Nvidia-H200-GPUs für den Betrieb, daher werden die meisten Teams mit einer gehosteten API beginnen. Mehr in unserem Artikel zu Ling-3.1-flash.

Sicherheit für Workflows und Code-Review

GitHub hat Workflow-Lockfiles für GitHub Actions am 14. Oktober in die öffentliche Vorschau gebracht. Eine neue Datei actions.lock hält den genauen Commit jeder Action fest, die ein Workflow nutzt, auch von Actions, die andere Actions einbinden. Das verhindert, dass ein verschobener Tag neuen Code in einen Build schmuggelt. Die Vorschau umfasst die Tarife Free, Team und Enterprise Cloud. Lesen Sie unseren Artikel zu den Lockfiles.

GitHubs AI Scan für Pull Requests wurde am 15. Oktober allgemein verfügbar. Er prüft Code, den GitHubs Scanner CodeQL nicht abdeckt, etwa PHP, Shell-Skripte, Terraform und Dockerfiles. Seine Funde sind nur Hinweise und können keinen Merge blockieren. Eine Copilot-Lizenz ist nicht nötig, aber private Repositories brauchen GitHub Code Security oder Advanced Security. Mehr in unserem Artikel zu AI Scan.

GitHub hat die Lizenz-Compliance für Open Source am 16. Oktober allgemein verfügbar gemacht. Ein Unternehmen legt eine einzige Liste erlaubter Lizenzen fest, und Pull Requests, die ein Paket unter einer anderen Lizenz hinzufügen, werden markiert oder blockiert. Die allgemein verfügbare Version bringt eine REST-API, darunter eine Prüfung, die Coding-Agenten aufrufen können, bevor sie ein Paket hinzufügen. Sie setzt GitHub Enterprise Cloud mit Code Security voraus, und GitHub nennt keinen separaten Preis. Lesen Sie unseren Artikel zur Lizenz-Compliance.

Vom Design zum Code

Figma hat am 15. Oktober zwei Funktionen in die Beta gebracht. Specs macht aus jeder Markdown-Datei ein gemeinsames Dokument auf dem Figma-Canvas. Mit code layers können Teams Prototypen bauen, die auf echtem Code beruhen, importiert aus GitHub oder einem lokalen Ordner. Beide lassen sich über Figmas MCP-Server, eine Standardverbindung zwischen Apps und KI-Agenten, an einen Coding-Agenten übergeben. Code layers verbrauchen KI-Credits, sind in bezahlten Tarifen aber bis zum 4. November 2026 kostenlos. Mehr in unserem Artikel zu Figma.

Ein Rust-Fix, den Sie jetzt installieren sollten

Rust 1.99.1 erschien am 15. Oktober mit Korrekturen für drei Regressionen. Die schwerste betraf x86_64: Funktionen, die ein bool an C-Code zurückgeben, konnten andere Werte als 0 oder 1 liefern. Die anderen beiden beheben ein fehlendes Symbol wcslen unter UEFI und einen Linker-Fehler unter macOS. Aktualisieren Sie mit rustup update stable. Mehr dazu in unserem Artikel zu Rust 1.99.1.

Für den eigenen Rechner

Ubuntu 26.10 erschien am 15. Oktober mit Linux 7.3 und GNOME 51. Seine grundlegenden Kommandozeilen-Tools, die Coreutils, sind jetzt vollständig in Rust geschrieben. Außerdem bringt es Myna, ein optionales Sprache-zu-Text-Tool, das lokal auf dem Rechner läuft. Das Release bekommt 9 Monate lang Updates, und Upgrades sind kostenlos. Lesen Sie unseren Artikel zu Ubuntu 26.10.

Was das für Entwickler bedeutet

• Probieren Sie bun check an einem echten Projekt aus. Lassen Sie es neben tsc laufen und vergleichen Sie die Fehler. Buns eigene Tests fanden eine Abweichung bei 1.103 Projekt-Setups. Prüfen Sie also Ihre Sonderfälle.
• Versehen Sie einen GitHub-Workflow mit einem Lockfile. Beginnen Sie mit einem Deploy-Workflow und weiten Sie dann aus. Das Lockfile friert Code ein, prüft ihn aber nicht. Prüfen Sie die Actions also vorher.
• Schalten Sie AI Scan für öffentliche Repos ein. GitHub nennt dafür keine zusätzliche Produktvoraussetzung, und der Scan deckt Sprachen ab, die CodeQL auslässt. Behandeln Sie seine Funde als Hinweise, da sie keine Merges blockieren können.
• Nutzen Sie das kostenlose Zeitfenster bei Figma. Code layers sind in bezahlten Tarifen bis zum 4. November kostenlos. Testen Sie sie jetzt, bevor KI-Credits anfallen.
• Planen Sie die Hardware für Muse Spark Open ein. 816 Milliarden Parameter lokal auszuführen braucht viel Arbeitsspeicher. Über die API-Anbieter können Sie es ohne diese Hardware testen.
• Planen Sie Ubuntu 26.10 als kurzfristige Lösung ein. Es bekommt 9 Monate lang Updates. Produktionsserver sind mit dem Release mit Langzeitunterstützung besser bedient.
• Aktualisieren Sie Rust auf 1.99.1, wenn Sie FFI nutzen. Bauen Sie jede mit 1.99.0 erstellte Bibliothek neu, die auf x86_64 ein bool an C zurückgibt.
• Wiederholen Sie Ihre Evaluierungen mit deepseek-flash. Der API-Name liefert jetzt den Checkpoint 1017, daher können sich Ausgaben ändern, ohne dass Sie Ihren Code ändern.
• Starten Sie Lizenzprüfungen im Modus Evaluate. GitHubs eigenes Team ließ die Prüfung einen Monat lang nur annotieren, bevor sie Merges blockieren durfte.
• Testen Sie die zwei neuen MIT-Modelle an Ihren eigenen Aufgaben. DeepSeek und Ant Group liefern beide Gewichte unter der MIT-Lizenz, daher entscheidet die Lizenz nicht zwischen ihnen.

Die vorige Ausgabe ist Tools This Week: 10. Oktober 2026. Die aktuelle Liste finden Sie immer auf der Seite Tools This Week.