Telegram Desktop dicht accountovername; Prime Agent verhuist naar Rust

Telegram Desktop heeft een kwetsbaarheid verholpen waarmee een aangeklikte link lokaal leesbare bestanden kon laten exfiltreren en, zonder ingestelde lokale passcode, tot accountovername kon leiden. Prime Agent brengt ondertussen een Rust-herschrijving uit, gebouwd en getest met een grote agentzwerm maar nog steeds grotendeels onderbouwd met eigen metingen.

Voor lokale inference komt PolyStrata met experimentele MoE-ondersteuning buiten zijn oorspronkelijke Qwen-pad. Ook interessant: Eurydice wil Rust bewust naar leesbare C vertalen voor omgevingen waar bestaande verificatie- of compliancetooling daarop rekent.

Telegram Desktop: update naar 7.2.9 vanwege IPC-injectie en bestandsuitlezing

Securityonderzoeker Beak meldt CVE-2026-107181 in Telegram Desktop tot en met 7.2.8. De foutketen ontstaat wanneer een reeds draaiende Telegram-instantie een URL via een lokale socket ontvangt: een puntkomma in de URL werd niet veilig geëncodeerd, zodat één OPEN-instructie kon worden opgesplitst in meerdere opdrachten.

Volgens de disclosure kon dat een intern interpret:-schema bereiken. Dat schema leest een lokaal instructiebestand en verstuurt het aangewezen bestand naar een chat, zonder bevestiging of controle wie de opdracht initieerde. Een aanvaller zou een instructiebestand via een groepsbijlage op een voorspelbare locatie kunnen laten landen en de gebruiker daarna op een link laten klikken. Daarmee wordt dit volgens de onderzoeker een remote read van lokale, voor de gebruiker leesbare bestanden.

De beschreven accountovername is een specifieke vervolgstap, geen gevolg voor iedere installatie. Telegram bewaart sessiedata versleuteld, maar zonder ingestelde lokale passcode zou het uitlezen van de relevante bestanden volgens het onderzoek genoeg zijn om de decryptiesleutel en sessie te reconstrueren. De disclosure noemt ook SSH-sleutels, browserdata en cloudcredentials als mogelijke doelen van dezelfde leesprimitive.

De gemelde fix zit in Telegram Desktop 7.2.9. Controleer dus de desktopversie en update; wie 7.2.8 of ouder gebruikte, kan bovendien nagaan of een lokale passcode is ingesteld en gevoelige lokale secrets volgens het eigen incidentproces beoordelen. De technische analyse is van de onderzoeker; de kleine HN-discussie levert geen onafhankelijke exploitbevestiging of aanvullende patchanalyse. Disclosure met CVE, impact en fix · HN-discussie

Prime Agent herschreven in Rust, met parity-tests als agentrail

Prime Intellect heeft Prime Agent van TypeScript naar Rust herschreven. De maker zegt dat ruim 2.000 agents de port in twee weken uitvoerden, verspreid over meer dan 10.000 sandboxes. Dat is vooral een schaalclaim; het technische deel dat breder bruikbaar is, zit in de verificatieopzet.

De port vergelijkt TypeScript- en Rust-binaries met scripted models op terminalframes, sessietranscripten, providerrequests en daemonprotocol. Een taak loopt volgens de beschrijving vervolgens via gescheiden planner, implementer, reviewer en verifier. Dat is een zinvoller patroon dan een agent alleen zijn eigen wijzigingen te laten goedkeuren: codegeneratie en controle krijgen aparte contexten en de merge hangt aan vaste checks.

Aan de architectuurkant meldt Prime Agent negen crates met een eenrichtingsafhankelijkheidsgrafiek, gedeelde protocoltypes en een workerproces per sessie onder een supervisor. Daardoor zou een crash in één sessie de andere sessies niet raken en kwam Windows-ondersteuning via platformabstracties binnen bereik. De maker rapporteert daarnaast ongeveer veertienmaal snellere invoergereedheid en ruim 80% minder geheugen na startup dan de oude TypeScript-versie.

Dat zijn metingen van Prime Intellect op eigen scripted benchmarks; ze bewijzen geen betere modelkwaliteit, taakafronding of veiligheid van een agentharness. Wel is de combinatie van differential testing, geïsoleerde sessieworkers en een afzonderlijke verifier een concreet ontwerp om mee te nemen wanneer agents veel code veranderen. Technische uitwerking en benchmarkopzet · HN-discussie

PolyStrata probeert vier extra MoE-modellen op consumentenhardware

PolyStrata neemt de engine van Strata over en voegt een tweede route toe voor vier MoE-modellen die uit gewone GGUF-bestanden worden gelezen: GLM 5.3 Flash, Qwen3.6-35B-A3B, Ornith 1.5 en Gemma 4 26B-A4B. Volgens de maker blijven experts vooral in systeem-RAM en worden vaak gebruikte experts op de GPU gehouden; de CPU rekent de rest uit. Voor drie van de vier modellen is ook beeldinvoer genoemd.

Dat is praktisch interessant omdat de oorspronkelijke Strata-route vooral rond Qwen3.8 Flash Next draaide. De post meldt bijvoorbeeld 73–75 tok/s voor Qwen3.6-35B-A3B op een laptop met RTX 4070 8GB en 32GB RAM, bij een prompt van circa 30.000 tokens. Er is een OpenAI- en Anthropic-compatibele lokale API, plus installers voor Windows en Linux.

De beperkingen zijn nadrukkelijk: de vier toegevoegde modelroutes zijn experimenteel, vragen één Nvidia-kaart en zijn alleen op een RTX 4070-laptop en RTX 5090-workstation gemeten. De maker wijst er ook op dat Windows lokaal compilen vereist. De snelheidscijfers zijn zelfgerapporteerd en zeggen zonder tokenpariteit, lange-contexttests en eigen hardwaremeting weinig over kwaliteit of stabiliteit. PolyStrata en de gemelde testopzet

Eurydice zet Rust om naar structureel herkenbare C voor een smalle niche

Eurydice is een project uit de Aeneas-familie dat Rust via een tussenvorm omzet naar C die de bronstructuur zoveel mogelijk behoudt. De inzet is niet een nieuwe algemene Rust-compilerbackend, maar een brug voor high-assurance-omgevingen waar bestaande verificatie- en compliancetools C verwachten. Volgens het LWN-overzicht is het onder meer gebruikt voor post-quantumcryptografieroutines.

De gegenereerde C bewaart bijvoorbeeld expliciet evaluatievolgorde met tijdelijke variabelen, waar gewone machinecodegeneratie een veel moeilijker leesbare vorm oplevert. Voor generics is monomorfisatie nodig en voor dynamisch grote types genereert Eurydice verschillende representaties. Dat maakt de C niet vanzelf portable of eenvoudig: de aanbevolen route schakelt voor bepaalde conversies strict-aliasing uit.

De grens is scherp. Eurydice leunt op Charon om Rust-MIR uit rustc te halen; LWN meldt dat Charon bij recente Rust-features zoals const generics geregeld vastloopt. Daardoor past de tool nu vooral bij kleine, zelf-contained programma’s die zonder complexe taalfeatures kunnen. Zie het als een mogelijke onderhoudsbrug wanneer Rustbron blijft evolueren maar C-analyse vereist is — niet als vervanger voor een normale Rust-buildketen. LWN-overzicht van aanpak en beperkingen · HN-discussie

Verder nog

• vLLM meldt vroege Vera Rubin-ondersteuning: volgens het project werkt de nightly-container vllm/vllm-openai:cu134-nightly al met DeepSeek-, Kimi-, GLM- en MiniMax-modellen op Nvidia Vera Rubin. vLLM noemt 7,8× de GB200-throughput op AgentX voor MiniMax M3 en maximaal 3,7× die van GB300 NVL72 in MLPerf Inference v6.1. Dit zijn projectcijfers uit twee specifieke benchmarkopzetten, geen voorspelling voor bestaande Blackwell-servers of enkelvoudige requests. vLLM-thread met container en meetclaims
• ANCHOR laat een klein lokaal model plannen, niet klikken: dit source-available project combineert Qwen 3.5 via Ollama met Playwright, maar laat een deterministische heuristiek de webpagina-elementen vinden en de actie weigeren bij twijfel. De maker meldt op een eigen 30-takentest minder onterechte succesmeldingen dan een model dat alles direct bestuurt, en draait de planner op een GTX 1050 Ti met 4GB. De testset en cijfers zijn niet onafhankelijk beoordeeld; het ontwerp is vooral een nuttig patroon voor afgebakende browserautomatisering. Projectpost met ontwerp en beperkingen