NIST-curvezaden zijn te herleiden; Claude Code beschrijft review op agentschaal

De herkomst van veel NIST-ECDSA-zaden is na decennia gereconstrueerd: ze blijken uit een oude, met een Unix-timestamp geïnitialiseerde randomgenerator te komen. Dat is geen nieuwe breuk in ECDSA, maar neemt een deel van de historische onduidelijkheid weg — met enkele open selectievragen.

Anthropic beschrijft intussen een reviewproces waarin agents veel routinecontrole doen, maar risicoklassen, blokkades en rollback de menselijke verantwoordelijkheid moeten behouden. Voor teams is dat interessanter als ontwerp van veiligheidslagen dan als recept dat zonder meer is over te nemen.

NIST-curvezaden blijken terug te voeren op timestamps

Anthropic publiceert een reconstructie van de oorsprong van seeds voor onder meer de NIST P-192-, P-224-, P-256-, P-384- en P-521-curves. Volgens het onderzoek werden kandidaten geproduceerd met de oude C-generator lrand48, geïnitialiseerd met een Unix-timestamp. De onderzoekers geven code waarmee de gevonden seeds en kandidaatposities reproduceerbaar zijn.

Dat is vooral relevant voor vertrouwen in de provenance van veelgebruikte elliptische-curvestandaarden. De seeds waren destijds zonder uitleg aangeleverd, wat langdurig speculatie over mogelijke manipulatie voedde. De auteurs stellen expliciet dat dit geen cryptografische breuk of nieuwe aanval is; hun interpretatie is juist dat de simpele, nu reproduceerbare generatie een doelbewust gekozen zwakte minder plausibel maakt.

De conclusie is niet absoluut. Voor enkele seeds en diverse basepoints ontbreekt nog een herkomstverklaring, en de auteurs zagen dat sommige geschikte kandidaatcurves werden overgeslagen. Ook in de HN-discussie wordt terecht opgemerkt dat de gevonden generatiemethode niet alle historische selectiehandelingen zichtbaar maakt. De technische argumentatie in het artikel is dat een bruikbare verborgen zwakte die met relatief weinig selectievrijheid te vinden is, op zichzelf al een grote cryptanalytische ontdekking zou impliceren. Dat is een onderbouwde beoordeling, geen formeel bewijs dat elke historische keuze onschuldig was.

Voor implementaties volgt er geen migratieadvies uit: bestaande, goed onderhouden cryptobibliotheken en hun aanbevolen parameters blijven de praktische grens. Het nieuws is vooral een zeldzaam stuk reproduceerbare herkomstinformatie bij een standaard die al breed wordt gebruikt. Onderzoek met reconstructiecode · HN-discussie

Claude Code zet review vóór, tijdens en na een pull request

Anthropic beschrijft hoe het Claude Code-team review heeft ingericht bij een sterk gegroeide wijzigingssnelheid. Volgens het team verdubbelde het aantal gemergde pull requests tussen juni en september ruim, terwijl het aandeel reverts met meer dan 40% daalde. Die cijfers zijn eigen operationele metingen, niet onafhankelijk gevalideerd.

De kern is niet ‘geen review’, maar meerdere lagen. Voor een PR gebruiken ontwikkelaars tests, builds of screenshots als controleerbaar bewijs; een subagent beoordeelt vervolgens de diff. Elke PR krijgt een AI-review en een afzonderlijke securityreview; open bevindingen blokkeren merge totdat ze zijn opgelost of gemotiveerd gesloten. Gewone CI-checks, merge-queue, featureflags, gefaseerde uitrol en snelle rollback vormen verdere lagen.

De menselijke stap verdwijnt volgens de beschrijving niet volledig, maar is risicogestuurd: lage-risicowijzigingen kunnen na geautomatiseerde checks zonder extra menselijke goedkeuring door, normale productwijzigingen vragen één persoon en hoog-risicopaden twee. Een agentgoedkeuring telt daarbij niet als menselijke goedkeuring; degene die de agent aanstuurt blijft verantwoordelijk.

Dit is bruikbaar als checklist voor teams die meer agentcode toelaten: koppel verificatie aan de taak, markeer gevoelige paden, leg een rollbackpad vast en maak incidenten tot regressietests voor de reviewer. Het bewijst niet dat minder menselijke codelezing overal veilig is. Anthropic schrijft zelf dat circuit breakers die de goedkeuringsdrempel bij verslechterende incidentcijfers verhogen nog ontbreken. Ook reacties op HN wijzen op een reëel risico: veel tests en reversibility vervangen niet vanzelf gedeeld systeembegrip, zeker niet in systemen waar terugdraaien al schade niet herstelt. Anthropics procesbeschrijving · HN-discussie

FLUX 3 Image Klein belooft lokale beeldbewerking vanaf 8 GB VRAM

Black Forest Labs brengt FLUX 3 Image Klein uit als open-weightsmodel van 5,6 miljard parameters voor tekst-naar-beeld, editing en maximaal tien referentiebeelden. De release bevat een basismodel voor fine-tuning en een gedistilleerde variant; de maker noemt onder meer bounding-boxbesturing voor plaatsing of begrensde bewerkingen.

De praktische lokale claim is opvallend: de INT8-build zou via ComfyUI of Diffusers op een RTX-GPU met 8 GB VRAM draaien. BFL noemt voor de gedistilleerde versie ongeveer negen seconden voor een 1MP-afbeelding op een RTX 4070; dat zijn metingen van de maker en NVIDIA, met specifieke modelvariant en workflow. De gewichten vallen onder de FLUX Kommunity License: gratis commercieel gebruik geldt volgens de licentietekst voor individuen en bedrijven met minder dan 5 miljoen dollar jaaromzet; grotere organisaties hebben een andere route nodig.

De vroege praktijkreacties zijn gemengd. In de HN-discussie melden gebruikers zwakke tekst-naar-beeldresultaten bij mensen en anatomie, terwijl anderen erop wijzen dat de prompt-upsampler onderdeel van de aanbevolen keten is. Zulke ervaringen zijn geen benchmark en leggen geen oorzaak vast, maar wel reden om de eigen prompts, editorworkflow en safety-/kwaliteitseisen te testen vóór een migratie. Release, gewichten en licentie-uitleg · HN-discussie

GNOME OS krijgt een stabielere Preview-editie

GNOME introduceert GNOME OS Preview, gebouwd op de nieuwste stabiele GNOME-release in plaats van op de voortdurend veranderende Nightly-builds. Daarmee is GNOME OS niet langer alleen een systeem voor ontwikkelaars en dagelijkse upstreamtests; de makers positioneren Preview voor geïnteresseerde vroege gebruikers die geen Nightly willen draaien.

De aankondiging noemt GNOME 51.1 als basis en zegt dat Nightly al langer door tientallen mensen dagelijks wordt gebruikt. Preview heeft volgens de makers echter pas beperkt praktijkgebruik gezien; bugs zijn dus te verwachten. De route blijft bovendien nog nadrukkelijk vóór ‘stable’: GNOME belooft geen updates voor onbepaalde tijd en waarschuwt dat gebruikers die over enkele jaren niet opnieuw willen installeren beter nog wachten.

Dat maakt dit vooral een interessant proefpad voor wie een image-based GNOME-systeem met Flatpak wil evalueren, niet een algemene distributievervanger. Test hardware, herstel en applicatiebehoeften; geplande onderdelen zoals een volwaardige installer, delta-updates, TPM-herstelinterface en bredere portalondersteuning zijn nog werk in uitvoering. GNOME OS Preview: status en download · Lobsters-discussie

gopls experimenteert met meerstapsrefactorings via LSP

gopls 0.24.0 en de officiële Go-extensie voor VS Code 0.56.0 krijgen interactieve refactoring: een language server kan tijdens een codeactie invoer vragen in plaats van uitsluitend een directe edit terug te sturen. Go werkt hiervoor met het Dart-team aan een voorstel voor de Language Server Protocol, zodat het mechanisme niet alleen aan één editor of taal vastzit.

Dat maakt bestaande acties concreter. ‘Add struct tags’ kan nu bijvoorbeeld om json, yaml of db én om naamconventies vragen; het aanvullen van een interface kan via dynamisch zoeken naar een type. Een verplaatsing van declaraties tussen files of packages is nog als komende release gepland, al is er al een werkende demonstratie.

Het interessante ontwerpdetail is interoperabiliteit: editors met eigen extensielogica konden dialogen al zelf bouwen, maar strikt LSP-gerichte clients zoals Neovim en Emacs profiteren daar niet vanzelf van. De voorgestelde protocoluitbreiding moet juist serververbeteringen overdraagbaar maken. De clientintegraties buiten VS Code zijn nog proof of concept en het LSP-voorstel is geen afgeronde standaard; reken dus niet vooruit op identiek gedrag in elke editor. Go over ontwerp, versies en voorbeelden · Lobsters-discussie

Verder nog

• Codeberg Pages v2 stopt op 31 december: sites die nog op de oude Pages-route draaien — volgens Codeberg herkenbaar aan het ontbreken van een ingestelde webhook — worden daarna niet meer geserveerd. Er is een migratiehandleiding én een checktool; controleer dit tijdig voor project- en documentatiesites met een aangepast domein. Codeberg-aankondiging · Lobsters-discussie
• Codex meldt efficiënter contextgebruik voor Work: OpenAI schrijft de toegenomen effectieve capaciteit toe aan context hergebruiken tussen subagents, langer cachen en request routing met meer cachehits. Dat kan voor langdurige Work-sessies relevant zijn, maar er is geen onafhankelijke meting of precieze capaciteitsgarantie in de beschikbare informatie. Losse gebruikersreacties over veranderde limieten zijn anekdotisch en bevestigen geen incident. Aankondiging