Pixel-provenance blijkt forgeerbaar; Xing4 brengt 4B-actieve MoE voor lokale agents

Een onderzoeker stelt dat een gerootte Pixel 10 C2PA-provenance kan ondertekenen voor vervalste beelden. Dat maakt de grens van hardwareprovenance concreet. Tegelijk komt Xing4.0-29B-A4B uit als open MoE-model, terwijl een lokale Qwen-agentopstelling laat zien hoeveel winst er nog in cache- en contextdiscipline zit.

Pixel 10: C2PA-label is geen bewijs van de afgebeelde werkelijkheid

Een onderzoeker beschrijft een manier om C2PA-provenance op een Pixel 10 te vervalsen. De beschikbare context bevat niet de volledige aanvalsketen, maar de kern is relevant: bij roottoegang kan de signerende keten kennelijk worden misbruikt. Dat concretiseert de beperking die we in de ochtendupdate van gisteren bespraken: een ondertekend beeld zegt iets over een technische herkomstketen, niet automatisch dat de scène echt is.

Voor systemen die C2PA als fraudedrempel inzetten is dat een reden om het label als één signaal te behandelen, niet als eindbeslissing. In de discussie wordt bovendien terecht opgemerkt dat ondertekening ná compromittering van het toestel een ander dreigingsmodel is dan manipulatie van een bestaand bestand. De beschikbare bron levert geen onafhankelijke reproductie of reactie van Google; beschouw dit dus als een serieuze onderzoeksclaim, geen compleet beveiligingsadvies. Onderzoek · Lobsters-discussie

Xing4.0: 29B-MoE met 4B actieve parameters en lange context

China Telecom AI Technology heeft Xing4.0-29B-A4B uitgebracht, een MoE met 29 miljard parameters waarvan er volgens de modelkaart vier miljard per token actief zijn. Het model heeft 64 router-experts, MLA, MTP en een native contextvenster van 256K tokens, uitbreidbaar tot 512K. Er zijn ook GGUF- en FP8-varianten genoemd; voor llama.cpp lijkt volgens de discussie vooralsnog een fork nodig.

Dat is een interessant nieuw lokaal model juist omdat de actieve omvang bescheiden is tegenover de totale capaciteit en omdat er naast cloudgerichte stacks ook distributieformaten voor lokale inference worden aangeboden. De maker positioneert het voor toolcalls en engineeringtaken en meldt onder meer eigen scores op Claw-Eval, SWE-bench en Terminal-Bench. Die benchmarks zijn echter leveranciersmetingen, en er zijn nog geen onafhankelijke snelheids-, kwaliteits- of geheugenmetingen in de beschikbare context. Test dus vooral runtimecompatibiliteit en eigen agenttaken vóór je een bestaande MoE vervangt. Modelkaart · GGUF-variant · discussie

Lokale coding agent wint vooral door prefix-cache te sparen

Een gebruiker heeft Oh My Pi met Qwen3.8-27B en vLLM op twee RTX 3090’s doorgemeten en aangepast. De gemelde gemiddelde wachttijd tot de eerste token daalde van 26–28 naar 7,3 seconden; het aandeel prompttokens uit de prefix-cache steeg van 55 naar 95 procent. Dat kwam niet door een ander model, maar onder meer door effort op elke helperrol te zetten, een reasoningbudget van 6.000 tokens in te stellen, tooloutput eerder naar bestanden te verplaatsen, en wijzigingen aan het promptbegin te vermijden.

De praktische les is dat contextcompactie, een live subagent-statuslijst en te veel parallelle subagents niet alleen ‘harnessdetails’ zijn: ze kunnen cache-hits vernietigen en prefill op een thuisopstelling verdelen. De auteur beperkte daarom maximaal 32 subagents tot vier. Dit blijft één daglog met één model, runtime en hardwareconfiguratie; de getallen zijn geen algemene prestatieverwachting. Maar voor wie lokaal serveert is het een reproduceerbare checklist: meet TTFT, cache-hitratio, outputlengte en concurrency vóór je aan hardware of model wisselt. Configuratie en metingen

Verder nog

Rijbewijsbarcodes vragen méér dan een geldige handtekening: een onderzoek herleidt publieke verificatiesleutels uit Amerikaanse rijbewijsbarcodes; dat is op zichzelf geen privésleutellek en maakt geen nieuwe handtekeningen mogelijk. De bruikbare waarschuwing is voor verifiers: alleen een geldige barcodehandtekening controleren is onvoldoende als barcode en fysieke kaart niet aan dezelfde persoon worden gekoppeld. Onderzoek en HN-discussie
C++26 definieert triviale oneindige lussen: simpele loops zonder observeerbare actie zijn niet langer undefined behaviour. Dat kan compilers minder ruimte geven om zulke code weg te optimaliseren; complexere lussen en de regels rond forward progress blijven een afzonderlijk onderwerp. Toelichting