Getypeerde AI-beslissingen, terminalstatus en strengere grenzen voor open modelgewichten

OpenAI zet een aparte API neer voor snelle, getypeerde modelbeslissingen; Strands biedt een vergelijkbaar patroon nu ook als klein lokaal open model. Voor agentbouwers verschijnt daarnaast OSC 7501, een voorstel om processen via de terminal zelf hun status te laten rapporteren in plaats van die uit schermtekst af te leiden.

Aan de securitykant blokkeerde Chrome certificaten na compromissen bij drie ccTLD-registers. Een proof-of-concept rond gewijzigde open modelgewichten onderstreept tegelijk dat sandboxing en geheimenbeheer belangrijker zijn dan alleen een goede benchmarkscore.

OpenAI zet Decisions API in publieke bèta

OpenAI heeft de Decisions API in publieke bèta gezet. Het afzonderlijke POST /v1/decisions-endpoint accepteert tekst, beelden of een combinatie daarvan en geeft drie begrensde antwoordtypen terug: een predicaat met kans, één keuze uit aangeleverde opties, of een score over geordende niveaus. Voor keuze- en scorevragen komen ook de kansverdeling en een confidence-veld terug. Momenteel werkt alleen gpt-6-luna ermee.

Dat is een concrete route voor routering, triage en checks vóór een toolcall, waar vrije JSON-generatie onnodig of lastiger te valideren kan zijn. De documentatie raadt nadrukkelijk een restcategorie zoals other aan en vraagt om drempels te kalibreren op gelabelde eigen data en de kosten van foutpositieven en foutnegatieven. Beeldinvoer moet als inline base64-data-URL mee; gehoste URLs en file_id worden niet geaccepteerd.

De claim van maximaal tienmaal sneller dan de Responses API en de prijs van $0,10 per miljoen inputtokens komen van OpenAI. In een kleine HN-proef met minder dan 600 calls rapporteert één deelnemer juist hogere latency, hogere kosten en enkele mislukte calls tegenover Jev; dat is geen representatieve vergelijking. Test dus eigen categorieën, ambiguïteit, contextlengte en vooral het beleid voor twijfelgevallen voordat een kansscore een automatische actie mag sturen. OpenAI-documentatie · HN-discussie

Strands opent 2B-beslismodel voor lokaal gebruik

Strands Decider 2B is een open beslismodel bovenop Qwen3.5-2B. Het vervangt de taalmodelkop door een pointer head die aangeleverde antwoordopties scoort, in plaats van vrije tekst te genereren. Code, gewichten, trainingsdata en scripts zijn gepubliceerd; de CLI ondersteunt keuze-, ja/nee- en scorevragen.

Daarmee is het interessant als lokaal, klein voorfilter voor bijvoorbeeld toolkeuze, policyclassificatie, contextbeheer of reviewrouting. De maker toont een voorbeeld waarin het vóór een weercall controleert of een agent een locatie heeft verzonnen en of een verduidelijkende vraag nodig is. De uitvoer kan vervolgens naar een expliciete actie als doorgaan, weigeren, menselijke bevestiging of terugsturen naar het model worden vertaald.

Strands meldt circa 115 ms mediane latency voor kleine taken op een RTX 3090 en circa 153 ms op een M3 MacBook, plus een hoge positie op de publieke JevBench-set. Dat zijn eigen metingen; een HN-reactie wijst terecht erop dat calibratie op een benchmark geen betrouwbaarheid op onbekende productie-invoer bewijst. Zie de confidence daarom als een te valideren signaal, niet als veiligheidsgrens. Aankondiging en implementatiedetails · HN-discussie

OSC 7501 wil terminalstatus expliciet maken

Mitchell Hashimoto publiceert OSC 7501, een voorstel voor een terminal escape sequence waarmee programma’s zelf melden of ze idle zijn, werken, klaar zijn, geblokkeerd wachten of met een fout stopten. Optioneel kunnen ze onder meer een stabiele appnaam, een korte melding en hiërarchische statusrecords voor subtaken meesturen.

Dat is vooral praktisch voor lange builds, deploys en coding agents. Huidige statuspanelen leiden de toestand vaak af uit schermoutput, venstertitels of process trees. Volgens het voorstel kan bijvoorbeeld een programma via de bestaande pty direct melden dat het op toestemming wacht; een terminal of extern overzicht kiest vervolgens zelf of dat als inbox, notificatie of statusicoon verschijnt. De auteur noemt proof-of-concepts voor Terraform, Claude Code, Codex en Homebrew, naast implementaties in Ghostty en Rex.

Het is een nieuw voorstel, geen terminalstandaard. De waarde ontstaat pas als zowel programma’s als terminals of multiplexers het gaan ondersteunen; onbekende OSC-sequenties horen wel genegeerd te worden. Voor agenttools is het niettemin een aantrekkelijker integratiepunt dan breekbare outputherkenning: de status komt van het proces dat hem kent. Specificatie en motivatie · Lobsters-discussie

Chrome blokkeerde certificaten na ccTLD-registrycompromissen

Google meldt dat aanvallers vorige week registers van .gh, .sl en .as compromitteerden. Zij wijzigden authoritative DNS-records en verkregen ongeautoriseerde HTTPS-certificaten voor meerdere Google-domeinen en domeinen van andere organisaties. Google zegt dat de certificaatautoriteiten daarbij niet noodzakelijk iets fout deden: bij controle over DNS kan domeinvalidatie immers legitiem lijken.

Chrome blokkeerde de betrokken certificaten via CRLSets en Google werkte met uitgevende CA’s aan intrekking voor andere clients. Analyse van Certificate Transparency-logs zou aanvullende getroffen organisaties hebben blootgelegd; Google blokkeerde ook die certificaten proactief in Chrome. Volgens Google hoeven Chrome-gebruikers niets te doen, maar de browseringreep dekt niet gegarandeerd alle getroffen domeinen of andere browsers.

Domeineigenaren moeten daarom niet op browsermitigatie leunen. Google adviseert doorlopende CT-monitoring voor de hele domeinportfolio — ook geparkeerde en regionale ccTLD’s — en restrictieve CAA-records met accountbindings. CAA stopt een actieve DNS-hijack niet, maar kan na herstel voorkomen dat eerder gecachte domeincontrole wordt hergebruikt om nieuwe certificaten uit te geven. Google Security Blog · Lobsters-discussie

Gewijzigde open gewichten vragen om runtimegrenzen, niet alleen om evals

Onderzoekers van ProjectDiscovery demonstreren hoe een gewijzigde Qwen2.5-7B-agent bij één specifieke trigger een normale toolcall kan verruilen voor het ophalen en uitvoeren van een payload die .env-bestanden uitleest. In hun opzet bleef de normale tooltaak bij niet-getriggerde prompts werken; de payload zelf stond op een externe URL, zodat die later zonder nieuwe modelrelease aangepast kan worden.

De auteurs richtten zich op abliterated builds — modellen waarvan weigeringsgedrag via gewichtsbewerking is verwijderd — maar hun kernpunt is breder: iedere onbekende fine-tune, merge of adapter kan een backdoor dragen. Hun getoonde aanval is een eigen proof-of-concept, geen bewijs dat populaire downloads daadwerkelijk dit gedrag bevatten. Ook de genoemde historische aantallen verdachte modelbestanden komen uit externe securityrapporten die hier niet onafhankelijk zijn gecontroleerd.

De praktische verdediging is minder spectaculair maar robuust: behandel een model dat je niet zelf bouwde als een onbetrouwbare dependency. Geef de server niet tegelijk leesrechten op secrets, vrije shelltoegang en breed netwerk; scheid netwerk van commandouitvoering, sandbox toolcalls en log overschrijdingen van die grenzen. Alleen een domeinallowlist volstaat volgens de demo niet wanneer een veelgebruikt hostingdomein een payload kan serveren. Herkomst, gedocumenteerde trainingsdata en een reproduceerbare gewichtsdiff zijn nuttige extra controles, maar vervangen runtime-isolatie niet. Onderzoek en PoC · Reddit-discussie

Verder nog

• Een scherpe rand bij gedeelde vLLM disk-KV-cache: vLLM meldt dat twee processen die in vLLM 0.28 dezelfde root_dir voor de disk-KV-tier delen, elkaars cacheblokken niet hergebruiken als hun PYTHONHASHSEED verschilt. Dat is een concrete operationele valkuil voor multi-process serving: controleer cache-hitgedrag en maak de hashseed bewust consistent waar gedeeld hergebruik de bedoeling is. vLLM-melding