Apple scherpt Full Disk Access aan; een iPhone draait mee als lokale Mac-inference en OHTTP krijgt een beheerde gateway

Apple wil de uitzonderlijk brede Full Disk Access op macOS minder achteloos toekenbaar maken, met het oog op steeds autonomere agents. Een lokaal AI-experiment verdeelt intussen Qwen-inference over een 24GB-MacBook en iPhone, maar de interessante cijfers komen vooralsnog van één maker. Cloudflare vult zijn OHTTP-aanbod aan met een beheerde gateway die alleen privacy oplevert als relay en gateway werkelijk gescheiden blijven.

Apple belooft explicietere Full-Disk-toestemming — relevant voor elke lokale agent op macOS

Apple schrijft dat Full Disk Access bestaande privacycontroles grotendeels omzeilt en een app toegang kan geven tot onder meer bestanden, mail, berichten en browsergeschiedenis. Daarom komen er extra controles die vereisen dat gebruikers deze uitzonderlijk brede toegang expliciet verlenen. Apple noemt expliciet de toenemende risico’s van capabelere en autonomere AI-agents als aanleiding.

Dat is vooral een belangrijk grenssignaal voor ontwikkelaars van desktopagents, terminalharnesses en lokale automatisering: een toestemming voor de hostapp kan veel verder reiken dan één taak. Apple heeft nog niet uitgewerkt welke nieuwe dialoog, granulariteit of migratiepad volgt, dus het is nog geen concrete wijziging waarop je nu kunt testen.

De praktische lijn blijft intussen: geef een agent geen Full Disk Access als beperkter folder-, bestand- of toolrecht volstaat; scheid secrets en werkmappen; en gebruik een apart account of sandbox voor taken die shellcommando’s mogen uitvoeren. Apple over de voorgenomen controles · HN-discussie

Eén iPhone als tweede GPU voor een MacBook: prefill sneller, context deels buiten de Mac

Een ontwikkelaar beschrijft een fork waarin een iPhone 17 Pro Max via 10Gb/s-USB-C meedraait naast een M4 Pro-MacBook met 24GB geheugen. Voor Qwen3.8-27B voert de Mac in diens opzet lagen 1–40 uit en de telefoon lagen 41–64, terwijl de Mac aan een volgend blok begint. Bij een opgeslagen agentsessie met een prompt van 2.000 tokens meldt de auteur daardoor 29–44% hogere end-to-end-prefill: bijvoorbeeld 109 naar 157 tok/s bij 16K context.

Boven 64K verandert de taakverdeling volgens dezelfde post: de telefoon bewaart oudere KV-cachepagina’s en berekent attention over die oude sleutels, terwijl de Mac alle modellagen draait. De auteur meldt een groeiende sessie tot 128K context met drie van drie teruggevonden ingeplante feiten. Dat is interessant omdat extra mobiel geheugen dan niet slechts modelgewichten offloadt, maar specifiek de contextdruk van lange agentsessies verplaatst.

De grenzen zijn helder: dit is één experimentele fork, één model/telefoon/Mac-combinatie en zelfgerapporteerde metingen. De telefoon versnelt volgens de auteur ook niet de decode onder 64K; bovendien is één request tegelijk een harde beperking. Zie het als een reproduceerbaar idee voor heterogene lokale inference, niet als een reden om algemene iPhone-prestaties of kwaliteit af te leiden. Opzet, code en meetdetails

Cloudflare OHTTP Gateway maakt privacyarchitectuur makkelijker — niet automatisch privé

Cloudflare opent een closed beta voor OHTTP Gateway als betaalde zone-add-on. OHTTP laat een relay clientmetadata zoals IP-adres en TLS-fingerprint zien, terwijl gateway en applicatieserver de versleutelde aanvraag afhandelen. De beoogde privacygrens is dat geen enkele partij zowel identiteit als verzoekinhoud ziet.

De nieuwe gateway is bedoeld voor klanten die hun appservers al bij Cloudflare draaien en daarom niet ook Cloudflare als relay kunnen gebruiken. Cloudflare stelt dat de gateway verzoeken vanaf Cloudflare Workers en geproxiede Cloudflare-hosts weigert te decrypten, zodat een klant niet per ongeluk relay én gateway bij dezelfde partij laat landen. Toegang voor relays kan vóór decryptie via Cloudflare Access worden beperkt, bijvoorbeeld met mTLS of servicecredentials.

Dat verlaagt operationele drempels, maar OHTTP is geen algemene trackingremmer: de trustscheiding hangt af van de gekozen relay, gateway, clientimplementatie en authenticatie. Beoordeel dus wie metadata ziet, welke relay je vertrouwt en of applicatielogs alsnog identificeerbare gegevens koppelen. Cloudflare over beta, datastromen en beperkingen · HN-discussie

DwarfStar 4 richt lokale frontier-inference bewust op een smalle hardware- en modellenhoek

DwarfStar 4 (ds4) is een MIT-gelicentieerde C-engine voor Macs met veel geheugen en voor CUDA- en ROCm-machines. Het project richt zich niet op willekeurige GGUFs, maar op een beperkte set: DeepSeek V4/V4.1 Flash, GLM 5.x en Qwen3.8 Flash Next. Naast CLI en lokale server noemt de projectpagina een eigen agent, met gedeelde modelstaat en cache.

Twee ontwerpkeuzes zijn praktisch voor lange lokale sessies. Ds4 gebruikt volgens de maker asymmetrische 2-bit-quantisatie voor gerouteerde MoE-experts, met kritieke paden op hogere precisie. Daarnaast kan het lange prefixes op SSD opslaan en via een prompthash hervatten, zodat een restart niet altijd een volledige prefill vraagt. De server biedt OpenAI- en Anthropic-achtige API’s voor bestaande coding agents.

De benchmarktabel is geheel van het project: voor een M5 Max met 128GB noemt ds4 voor DeepSeek V4 Flash Q2 790,2 tok/s prefill en 39,4 tok/s generatie bij 2K context, maar respectievelijk 398,5 en 27,6 bij 64K. Meet daarom op eigen hardware vooral koude start, SSD-gedrag, geheugenreserve, tokenpariteit en de taken van je agent. Een smalle engine kan een voordeel zijn voor ondersteunde layouts, maar is geen algemene GGUF-runtime. Project en benchmarktabel · HN-discussie

Verder nog

Zig 0.17.0: de release bundelt vijf maanden werk van 206 bijdragers. Het buildsystem is herwerkt en krijgt een Build Server Protocol; de release verwacht daarnaast dat incrementele compilatie op x86_64-Linux voor iedereen werkt. Er zijn ook taal- en standaardbibliotheekwijzigingen, plus bekende regressies — plan dus een upgrade als toolchainmigratie en lees de volledige notities voor je CI of buildscripts omzet. Release notes · Lobsters-discussie
Muse Gadgets: Muse heeft Apache-2.0-firmware en SDK’s geopend voor ESP32 en Linux/Raspberry Pi. Daarmee kan een Muse-agent schermen, sensoren, knoppen, actuatoren, Home Assistant of Linux-taken aansturen. Juist omdat de stap van tekst naar apparaten concreet wordt, zijn gescheiden netwerksegmenten, minimale API-tokens en fysieke actielimieten verstandiger dan een brede standaardkoppeling. SDK’s, voorbeelden en broncode · HN-discussie