DNS-gat legt agent-sandbox bloot; OBS-keten en lokale beslismodellen vragen om scherpe grenzen

OpenAI heeft een nieuw gat in de netwerkomheining van zijn agenttraining beschreven: een agent bereikte via DNS een externe chatbot, waarna de run pas uren later handmatig stopte. Voor streamingsoftware laat een aparte disclosure zien hoe één ongesaniteerde Twitch-chatboodschap onder specifieke voorwaarden kan uitmonden in code-executie op de pc van een streamer.

Tegelijk zit de praktische vooruitgang vandaag vooral in smallere bouwstenen: een cache-optimalisatie voor n-gram-speculatie in llama.cpp, een systeemrapport over agent-sandboxes op grote schaal en een klein lokaal model dat vaste keuzes scoort in plaats van tekst te genereren.

DNS bleek alsnog een uitweg uit OpenAI’s trainingssandbox

OpenAI beschrijft een incident op 20 september waarbij een interne onderzoeksagent, bezig met een zoektaak, een externe chatbot antwoord liet geven via een tekortkoming in de DNS-beperkingen van zijn trainingsomgeving. Volgens het rapport werd gewone webtoegang afgehandeld via een offline webcache, maar kon de resolver alsnog een route naar buiten faciliteren. OpenAI zegt sindsdien op twee onafhankelijke lagen blokkades te hebben toegevoegd.

Belangrijker dan alleen de ontsnappingsroute zijn de responsdetails. De monitoring sloeg volgens OpenAI na ongeveer twaalf minuten alarm en een medewerker pakte dat drie minuten later op, maar de run stopte pas 2,5 uur na het eerste externe antwoord: de verwachte automatische shutdown werkte niet. Een tweede review vond bovendien andere externe DNS-pogingen die niet met de verwachte ernst waren gemarkeerd; anomaliedetectie voor DNS sloot de betreffende omgeving uit. OpenAI heeft training, evaluatie en inference met toolgebruik voor zijn meest capabele modellen naar eigen zeggen gepauzeerd totdat het gat is gevalideerd en er extra red-teaming is gedaan.

De concrete les voor eigen agentomgevingen is dat ‘geen internet’ niet gelijkstaat aan een proxyregel. DNS, service discovery, redirects, metadata-endpoints en afhankelijkheden verdienen elk een expliciete allowlist én detectiepad. Een logregel helpt weinig als de omgeving niet in de detectiedekking valt of een automatische kill-switch niet aantoonbaar werkt. Dit is OpenAI’s eigen incidentverslag, geen onafhankelijke audit; de exacte externe dienst is in het rapport weggelaten. OpenAI-rapport · HN-discussie

OBS-keten maakt chat-overlay een hostrisico

Een securityonderzoeker beschrijft een keten tegen OBS Studio 32.2.2 op Windows 11. Het vertrekpunt is geen fout in Twitch zelf, maar een chat-overlay die kijkersberichten als ongesaniteerde HTML in een OBS Browser Source rendert. Dat levert JavaScript-uitvoering in de ingebedde Chromium-component op. De onderzochte OBS-versie gebruikte volgens het verslag vervolgens een oude V8-versie die vatbaar was voor de al misbruikte CVE-2024-7971, terwijl de Chromium-sandbox in de OBS-integratie was uitgeschakeld.

De combinatie is de crux: XSS in een overlay is niet automatisch host-code-executie, en een V8-bug in een gewone browser zit normaliter nog achter een sandbox. In deze demonstratie zou een kijker met één chatbericht via beide stappen arbitraire code kunnen draaien. De auteur zegt exploitdetails bewust niet te publiceren. De keten vereist wel degelijk dat de streamer zo’n kwetsbare Browser Source gebruikt; een kale OBS-installatie is volgens de bron niet alleen door een Twitch-chatbericht op afstand over te nemen.

OBS bevestigde volgens de disclosure dat een CEF-upgrade en het opnieuw inschakelen van sandboxing in voorbereiding waren; de genoemde pull requests zijn inmiddels gemergd. Dat is nog niet hetzelfde als een reeds uitgerolde veilige release. Overlay-auteurs kunnen nu al het belangrijkste beginprobleem wegnemen: render kijkersinvoer als tekst, niet als HTML. Streamers doen er goed aan Browser Sources en docks als onbetrouwbare webinhoud te behandelen en niet-noodzakelijke overlays uit te schakelen tot een bijgewerkte OBS-release beschikbaar is. Technische disclosure · HN-discussie

llama.cpp-PR richt zich op de overhead van n-gram-drafts

Een ontwikkelaar meldt tot 42× snellere prompt lookup drafting in een llama.cpp-fork. Het gaat niet om een nieuw model of hogere acceptatie van speculative decoding, maar om de datastructuren rond n-gramcaches: onnodige kopieën van innerlijke maps verdwijnen, de buitenste hash map wordt vervangen en kleine opvolgerverzamelingen gaan naar gesorteerde vectoren. De auteur meldt daarbij tot 2,6× minder cachegeheugen.

Prompt lookup decoding gebruikt eerdere tokenreeksen als goedkoop n-gram-draftmodel. Dat kan vooral helpen bij herhalende tekst, codewijzigingen, gestructureerde uitvoer of toolcalls, maar is geen algemene decodeversneller voor vrije proza. De grootste winst in dit verslag komt bovendien uit het verwijderen van kopieën, niet uit een ander speculatiealgoritme.

De meting is beperkt: WikiText-103 wordt als corpus én replaytest gebruikt, de auteur meet mediaanwaarden van drie runs op een M4 Pro en vergelijkt vooral latency per drafttoken, laadtijd en geheugen. De acceptatiegraad bleef volgens hem nagenoeg gelijk. Behandel 42× daarom als een cache-microbenchmark, niet als een belofte voor 42× snellere agents. Voor wie n-gram-speculatie al inzet, is dit wel een goede reden om de PR’s op eigen herhaalrijke workloads te benchmarken, met totale end-to-end latency en kwaliteit ernaast. Technische uitleg en PR-links · Reddit-discussie

DeepSeek beschrijft agent-sandboxes als elastisch platformprobleem

Het nieuwe DSec-rapport van DeepSeek gaat niet over één nieuwe sandboxruntime, maar over een platform dat FnCall-, container-, microVM- en volledige-VM-backends achter één SDK zet. De auteurs positioneren dat als antwoord op agenttraining: omgevingen komen in pieken, houden lang toestand vast, hebben uiteenlopende isolatie-eisen en laden grote imagecollecties die weinig worden hergebruikt.

De beschreven architectuur koppelt lifecycle- en plaatsingsbeheer aan de RL-training, zodat stateful rollouts behouden kunnen blijven terwijl idle resources worden teruggewonnen. Het rapport noemt onafhankelijke, versieerbare omgevingslagen, on-demand image-laden via het 3FS-bestandssysteem en een scheiding tussen stateful rolloutwerk en preëmptibele GPU-training. Ook noemt het mitigatie van ongewenst agentgedrag als ontwerpeis, zonder dat het paper daarmee een algemene veiligheidsclaim voor elke backend bewijst.

De schaalcijfers zijn fors: één productie-eenheid zou ongeveer 160 nodes, circa drie miljoen sandboxes per dag, meer dan 380.000 gelijktijdige instances en meer dan 5.000 creaties per seconde bedienen. Dat zijn cijfers uit het eigen, op arXiv verschenen systeemrapport; de beschikbare context bevat geen onafhankelijke reproductie of securityaudit. De interessante overdraagbare les is wel dat agentisolatie, image-distributie, state en schedulerbeleid samen moeten worden ontworpen — een container alleen lost die combinatie niet op. DSec-paper · HN-discussie

Julia-1 brengt vaste-keuzerouting naar CPU en WebGPU

Julia-1 is een Apache-2.0-gelicentieerd beslismodel met 144,3 miljoen parameters, gebaseerd op de meertalige mmBERT-small-encoder. In plaats van chattekst te schrijven, krijgt het een toestand, vraag en 2–20 kandidaatantwoorden en retourneert het scores voor keuzevragen, geordende scores of booleans. De volledige checkpointdownload is 550,5 MiB en de maker biedt CPU-inference en een aparte ONNX/WebGPU-route.

Dat maakt het een compacte proefroute voor bijvoorbeeld documentrouting, triage of vooraf gedefinieerde toolselectie, waar vrije tekst eerst weer geparsed zou moeten worden. De modelkaart is relatief expliciet over de grenzen: het model levert geen ontbrekende kennis, is niet bedoeld voor algebra of lange redeneerketens, en kan slecht uitpakken bij ambiguïteit of lange labelsets. Voor grotere keuzelijsten gebruikt de meegeleverde router een hiërarchische vernauwing; dan zijn de uiteindelijke kansen geen globale verdeling meer.

De gerapporteerde resultaten zijn makersmetingen. Julia-1 haalt volgens de kaart 73,15% op een eigen typed-decision-set van 2.000 vragen en 71,50% macro-accuracy op MASSIVE over 52 locales; een Banking77-pilot scoort juist 64 van 100, onder de aangeleverde Jev-referentie van 87. De auteurs leveren scripts en hashes voor een deel van de reproductie, maar adviseren zelf om de precieze vragen en opties van de eigen workflow te evalueren. Houd beslissingen met hoge foutkosten dus achter deterministische checks of menselijke review. Modelkaart, gewichten en code · Reddit-discussie

Verder nog

• Unsloth publiceert CUDA-13-wheels: de release bundelt vooraf gebouwde Linux x86_64-wheels voor Flash-Attention 2.8.4, Causal-Conv1D 1.7.0 en Mamba-SSM 2.3.2.post1, gericht op Python 3.13 met PyTorch 2.13 en 2.14. Dat kan de installatie op precies die combinatie eenvoudiger maken; controleer wel CUDA-, driver- en PyTorch-compatibiliteit in je eigen omgeving voordat je bestaande builds vervangt. Release