Unsloth repareert lokale Qwen-Image-route; Miri-cachelek vraagt CI-controle terwijl nieuwe cloudmodellen prijs en inzet veranderen

Unsloth heeft zijn kersverse Qwen-Image-2.1-route opnieuw gepatcht: image editing, GGUF-laden en Diffusers-problemen staan nu expliciet in de releasenotes. Veel urgenter voor Rust-teams is een lekpad waarbij Miri alle omgevingsvariabelen in target/ kon bewaren en GitHub Actions-caches die vervolgens aan PR-CI konden blootstellen. Tegelijk verschuift de afweging voor cloudagents door Claude Opus 5.5 en GPT-6 Sol/Luna, maar makersclaims en eigen workloadmetingen blijven belangrijker dan één benchmark.

Unsloth patcht Qwen-Image-2.1 na eerste beta-problemen

Unsloth 0.1.814-beta volgt kort op de route die in de einde-dagupdate van gisteren Qwen-Image-2.1 lokaal beschikbaar maakte. De nieuwe release voegt expliciet image editing toe en noemt fixes voor Diffusers-updates, GGUF-bestanden die niet laden en zwarte diffusion-artifacts op A100- en consumenten-GPU’s. Ook wisselt de standaard-GGUF van F16/BF16 naar Q4_K_M.

Dat is een inhoudelijke verandering, niet alleen een extra aankondiging: wie gisteren de beta installeerde voor beeldgeneratie, heeft nu een concrete reden om de versie te controleren vóór verder testen. De release bevat daarnaast veel bredere wijzigingen, zoals Agent Skills en Linux-installatiepaden, maar die hoorden al bij dezelfde releasegolf en zijn dus geen zelfstandig vervolg.

De praktische grens blijft dat dit beta-software is. De releasenotes tonen geen onafhankelijke kwaliteitstest, VRAM-profiel of regressiesuite voor de herstelde paden. Herhaal daarom eigen generatie- én edit-taken na de upgrade, en controleer vooral de gebruikte precision, modelversie en feitelijke geheugenruimte. Unsloth 0.1.814-beta

Miri kan secrets naar cache schrijven; check CI vóór de nightly-fix

Het Rust Security Response Team meldt dat Miri alle omgevingsvariabelen in target/ kan opslaan. Als een GitHub Actions-workflow cargo miri uitvoert met secrets in de omgeving én target/ cachet naar een cache die PR-runs mogen lezen, kunnen die secrets via de cache toegankelijk worden voor contributors die CI mogen triggeren.

De korte-termijnfix beperkt wat Miri bewaart tot CARGO_*-variabelen — behalve CARGO_*_TOKEN — en OUT_DIR; volgens het Rust-team zou die in de aankomende nightly van 22 september moeten zitten. Het team vond bij een ecosysteemscan één getroffen repository en zeven repositories die voorzichtig moeten zijn, maar zegt expliciet dat die scan onvolledig kan zijn.

De directe actie is dus niet alleen updaten. Controleer of Miri-jobs secrets erven, schakel caching voor die job tijdelijk uit of beperk secrets tot stappen die Miri niet uitvoeren, wis bestaande caches en roteer mogelijk blootgestelde sleutels. De bredere les geldt ook buiten Miri: behandel een gedeelde buildcache niet als veilige opslag voor de procesomgeving. Rust-securitybericht · Lobsters-discussie

Claude Opus 5.5 verlaagt vooral cacheprijzen, met claims over lange agenttaken

Anthropic introduceert Claude Opus 5.5. Volgens de eigen productpagina kost input $4 en output $20 per miljoen tokens; cache reads dalen van $0,50 naar $0,20 per miljoen vergeleken met Opus 5. Anthropic meldt ook meer dan 30% hogere outputsnelheid en een typische kostendaling van 40% tegenover Opus 5.

Voor coding agents is vooral die cacheprijs relevant: langdurige sessies en codebase-context bestaan vaak grotendeels uit hergebruikte invoer. Anthropic claimt daarnaast betere weerstand tegen prompt injection en minder neiging tot onomkeerbare acties, maar dat zijn geen redenen om sandboxing, beperkte credentials of review te versoepelen. De pagina zegt zelf dat veiligheidsmaatregelen soms benchmarktaken naar oudere modellen doorschakelden.

De gepubliceerde scores en grote klantcases komen van Anthropic en vroege testers. Ook Anthropic waarschuwt dat kleine benchmarkmarges op dit niveau slecht naar praktijkwerk vertalen. Test daarom kosten per voltooide taak, cache-hitgedrag en herstelwerk met je eigen harness — niet alleen tokenprijs of een leaderboard. Aankondiging en methode · HN-discussie

GPT-6 Sol en Luna verschijnen met door OpenAI gemelde prijsverlaging

OpenAI heeft GPT-6 Sol en GPT-6 Luna uitgebracht. De officiële aankondiging op X positioneert ze als snellere, betaalbaardere aanvullingen op GPT-6 Astra; een betrokken OpenAI-medewerker meldt daarbij een permanente API-prijsverlaging van 50% voor beide modellen. Simon Willison schrijft afzonderlijk dat Luna half zo duur is als GPT-5.6 Luna.

Dat is relevant voor teams die goedkope, snelle modellen inzetten voor productfeatures of veel parallelle agentstappen. Maar de opgeslagen crawl bevat geen leesbare oorspronkelijke OpenAI-pagina — die gaf een 403 — en de beschikbare X-berichten geven geen volledige prijstabel, modelkaart of vergelijkbare evaluatieopzet. De release en prijsrichting zijn dus duidelijk, maar verdere prestatieclaims blijven hier onbevestigd.

De HN-discussie illustreert waarom een prijs per token niet genoeg zegt: deelnemers wijzen op cachekosten, tokenverbruik en contextlengte als aparte variabelen. Dat zijn individuele ervaringen, geen benchmark, maar wel de juiste meetvolgorde: bereken eindkosten en doorlooptijd op echte taken. OpenAI-aankondiging · HN-discussie

Ming-Image brengt 6B ontwerpmodel onder MIT, maar de gevalideerde route is 80GiB

Ming-Image-0.1-Design is een nieuw 6B text-to-image-model voor UI’s, infographics, posters en andere tekstzware beelden. De modelkaart noemt RGBA-uitvoer met transparante achtergrond en stelt het model onder de MIT-licentie beschikbaar. Er is ook een aparte Layer-variant aangekondigd, maar de opgeslagen modelkaart hier documenteert vooral de basisvariant.

De praktische hardwaregrens is scherper dan de parameterstand doet vermoeden: de modelkaart noemt BF16 op één CUDA-GPU met 80 GiB VRAM als gevalideerde configuratie. Aanbevolen zijn 2.048×2.048, twaalf samplingstappen en CFG 1,0; 1.024×1.024 is de snellere route. vLLM-Omni wordt als servingframework aanbevolen.

Dat maakt dit interessant voor een eigen design- of assetpipeline, niet automatisch voor een gangbare lokale desktop. Een Reddit-commentaar wijst er bovendien terecht op dat ‘open weights’ en ‘open source’ niet hetzelfde zijn; de verifieerbare claim is hier de MIT-licentie op de modelkaart. Er zijn in de beschikbare context geen onafhankelijke kwaliteitsmetingen. Modelkaart · Reddit-discussie

SAML blijft een complexiteitsrisico, geen nieuw lekbericht

Trail of Bits pleit in een nieuw technisch essay voor het uitfaseren van SAML ten gunste van OIDC. Het artikel beschrijft geen nieuw CVE, maar bundelt bekende structurele probleemklassen: XML-complexiteit, canonicalisatie, enveloped signatures, XML-signature-wrapping en een zeer brede, weinig gebruikte specificatie.

De nuttige conclusie voor teams met bestaande SAML is niet ‘migreer vandaag blind’. SAML is nog steeds veelgebruikt en veel organisaties kunnen het niet onmiddellijk vervangen. Wel is dit reden om de integratie klein en streng te houden: accepteer alleen verwachte bindings en berichtvormen, laat exact de ondertekende assertion valideren, houd XML- en signature-libraries up-to-date en test negatieve gevallen zoals parserdifferentials en wrapping.

De aangehaalde aanvalsgeschiedenis en het pleidooi voor OIDC komen van de auteur; reacties op HN zijn praktijkervaringen en geen bewijs van huidige kwetsbaarheid bij elke SAML-provider. Behandel het daarom als architectuur- en auditwerk, niet als een incidentmelding. Trail of Bits-analyse · HN-discussie

Verder nog

• Data-only aanvallen via syscall-argumenten: het USENIX-artikel over Einstein beschrijft een instrumentatiepipeline die data volgt die een aanvaller kan beïnvloeden en die terechtkomt in securitygevoelige syscall-argumenten, zoals execve of write. De methode veronderstelt een lokaal equivalent van het slachtofferprogramma en analyseert bestaande uitvoerpaden; het is dus geen generieke remote aanvalsknop. Maar het onderstreept dat mitigaties die alleen control-flow beschermen niet automatisch voldoende zijn wanneer corrupte data een bestaand syscall-pad kan sturen. Artikel · HN-discussie