SGLang 0.5.22 vraagt een Python-migratie; Broadcom-WiFi-lek blijft bij Belgische providers open

SGLang 0.5.22 maakt een Python-3.11-migratie noodzakelijk en voegt onder meer Apple-Silicon-ondersteuning toe aan zijn standaard PyTorch-pad. Tegelijk beschrijft nieuw onderzoek een op afstand triggerbare fout in Broadcom-WiFi-stacks die volgens de onderzoeker nog openstaat op meerdere Belgische ISP-routers. Voor agentbouwers zijn er ook een paper over hybride latente reasoning en een MCP-server die persoonlijke WhatsApp-chats doorzoekbaar maakt — met harde privacy- en accountgrenzen.

SGLang 0.5.22: Python 3.11+ en nieuwe servingpaden

SGLang 0.5.22 vereist voortaan Python 3.11 of hoger. Dat is een echte migratiegrens: op Python 3.10 faalt pip install sglang volgens de releasenotes niet, maar blijft het bij de laatste versie die die runtime ondersteunt. Controleer dus niet alleen de applicatiecontainer, maar ook base images, CI-jobs en eventuele system-Python op oudere Linux-distributies.

De release voegt daarnaast Apple Silicon toe aan de reguliere PyTorch-modelrunner, naast het bestaande MLX-pad. Voor grotere servingopstellingen noemt SGLang onder meer een snellere InstantTensor-loader, verbeteringen aan prefill/decode-disaggregatie en eigen throughput- en TTFT-metingen. Die performancecijfers gelden voor specifieke modellen, accelerators en configuraties; ze zijn geen algemene snelheidsbelofte.

Relevant voor betrouwbaarheid is een fix voor hybride lineaire modellen: bij de combinatie van speculative decoding en structured output konden verkeerde Mamba-states worden hervat. De release trekt ook het beveiligingsoppervlak strakker met admin-authenticatie voor /load_lora_adapter_from_tensors en /set_trace_level. Plan een upgrade dus als compatibiliteitsproef: test Python-versie, modelpad, structured output, eigen API-clients en auth-configuratie samen.

SGLang v0.5.22: release notes

Broadcom-WiFi-fout: Belgische providerrouters volgens onderzoeker nog niet gepatcht

Securityonderzoeker Quentin Kaiser beschrijft twee fouten in Broadcoms propriëtaire 802.11-implementatie die volgens hem sinds minstens 2010 in de SDK aanwezig zijn. De aanval zou over WiFi mogelijk zijn zonder de netwerksleutel of een voltooide WPS-aanmelding, en kan volgens het verslag informatielekken en code-uitvoering opleveren. De auteur schrijft dat Broadcom in 2018 een onvolledige fix uitbracht en later een overstap naar hostapd adviseerde; eCos-platforms zouden daardoor mogelijk zonder haalbare structurele reparatie blijven.

De concrete Nederlandse/Europese relevantie zit hier vooral in België. Kaiser demonstreerde de fout volgens zijn eigen verslag op apparatuur bij Proximus, VOO en Orange Belgium, waaronder BBOX 3V+, Netgear CG3100/CG3700, Technicolor TC7210/CGA4233 en ASKEY TCG3000. Op 15 oktober zouden die genoemde apparaten nog geen patch hebben gehad. De auteur schat het aantal getroffen gateways bij deze providers, maar noemt die cijfers zelf een schatting met middelmatige zekerheid; het onderzoek bewijst geen volledige inventarisatie buiten de geteste apparaten.

Voor gebruikers en beheerders is het praktische probleem dat een gewone firmware-update mogelijk niet bestaat. Inventariseer daarom model en firmware van providerhardware, vraag de provider concreet naar dit Broadcom-advies en naar een vervangings- of updatepad, en beperk waar mogelijk onnodige WiFi-blootstelling. De beschikbare bron noemt geen algemene workaround die het onderliggende parserprobleem wegneemt. Broadcom heeft volgens de onderzoeker geen CVE toegekend; die stelling komt uit diens disclosureverslag.

Technisch verslag, getroffen modellen en disclosuretijdlijn · HN-discussie

HybridAgents wisselt tussen latente stappen en tekst voor tools

De paper Hybrid Reasoning Agents stelt een agentarchitectuur voor die tijdens één generatieproces kan schakelen tussen latente reasoning en tekst. De voorgestelde HybridLink moet die overgangen verzorgen, terwijl een continue werkgeheugenrepresentatie de hybride context tussen turns bewaart. Het doel is helder: intern minder teksttokens gebruiken, maar toolcalls en interactie met de buitenwereld via tekst behouden.

De auteurs rapporteren op elf benchmarks, over drie modelgroottes, gemiddeld 10,4% betere prestaties dan hun vergelijkingsgroep, 35,5–54,7% minder tokens, 1,8–2,6× snellere inference en 2,7–3,7× lagere kosten. Dat zijn resultaten uit de paper zelf, geen onafhankelijke reproduceerbare vergelijking. De abstract specificeert wel dat de evaluaties wiskunde, wetenschap, geneeskunde, search en agentic reasoning omvatten, maar de beschikbare bron onderbouwt nog niet hoe goed dit overeind blijft in een eigen toolomgeving of onder afwijkende prompts.

Interessant is vooral de ontwerpvraag voor post-training: de auteurs willen leren wanneer het model latent denkt en wanneer het tekst of een toolactie produceert. In de HN-discussie wordt daartegen ingebracht dat toezicht op latente spans en beloning per stap een extra safetyvraag oproept. Dat is een inhoudelijke zorg uit een discussie, geen aangetoonde fout in het systeem. Zie het werk daarom als een onderzoeksroute voor efficiëntere agentloops, niet als bewijs dat latente reasoning automatisch controleerbaarder of veiliger is.

Paper en abstract · HN-discussie

WhatsApp MCP maakt een persoonlijke chatarchieflaag voor agents

Het nieuwe open-sourceproject whatsapp-mcp koppelt één persoonlijk WhatsApp-account als linked device aan een MCP-server op Cloudflare Workers. Berichten worden volgens de projectdocumentatie opgeslagen in SQLite in een Durable Object en zijn vervolgens via MCP te zoeken en te lezen; de server kan niet namens de gebruiker berichten versturen. Dat maakt vragen als zoeken door chats of samenvatten van een groepsgesprek technisch mogelijk voor een verbonden agent.

De grens is belangrijker dan de demo. De maker gebruikt Baileys en zegt expliciet dat dit geen officiële persoonlijke WhatsApp-API is en tegen de voorwaarden van WhatsApp ingaat. De eerste synchronisatie krijgt bovendien alleen de geschiedenis die WhatsApp aan een nieuw gekoppeld apparaat wil leveren; media wordt niet gedownload en komt hooguit als label met bijschrift binnen. Het project vereist een Workers Paid-account voor een robuustere grote eerste import.

Privacy blijft een eigen afweging, ook wanneer de opslag onder het eigen Cloudflare-account valt. Een agent met deze MCP-toegang kan immers door privé- en groepsgesprekken zoeken; deelnemers hebben niet noodzakelijk ingestemd met die verdere verwerking. In de HN-draad meldt één gebruiker bovendien problemen met accounttoegang na het koppelen van officiële secundaire apparaten. Dat is een individuele ervaring, geen bewijs dat dit project accounts blokkeert, maar wel voldoende reden om een belangrijk account niet als proefobject te behandelen.

Projectdocumentatie · HN-discussie over voorwaarden en privacy

Lobsters zet vibecoding uit en verscherpt de indienregels

Lobsters heeft de tag vibecoding inactief gemaakt: oude verhalen houden hem, nieuwe kunnen hem niet meer krijgen. De beheerders noemen zes uiteenlopende betekenissen die in één label waren samengekomen, van LLM-tooling en deels AI-gerelateerde inhoud tot een kwaliteits- of schaamtemarkering. Als vervanging voor het technische deel verschijnt de tag ai-tooling, bedoeld voor ontwerp, UX en ontwikkeling van AI/LLM-ondersteunde tools.

Tegelijk scherpt de gemeenschap de richtlijnen aan. Nieuwe inzendingen die enkel een coderepository zijn, worden niet meer toegestaan; de voorkeur gaat naar materiaal dat doel, ontwerpkeuzes, obstakels en nut van een codebase uitlegt. De tekst verduidelijkt ook de bestaande grens voor zelfpromotie: die hoort minder dan een kwart van iemands inzendingen en reacties over het afgelopen jaar te vormen, terwijl nieuwe gebruikers in de eerste zeventig dagen geen zelfpromotie mogen indienen.

Dit is geen technische standaard, maar wel een concreet distributie- en discussiebeleid voor open-sourcemakers die Lobsters gebruiken. De reacties laten zien dat het besluit omstreden blijft, onder meer over hoe laagwaardige AI-gegenereerde content te markeren. De nieuwe spamdefinitie noemt inhoud zonder betekenisvol menselijk auteurschap; of die moderatiegrens in de praktijk goed werkt, moet nog blijken.

Lobsters: nieuwe richtlijnen en AI/LLM-tags · discussie over de eerdere tag

Verder nog

• Free Pascal en Lazarus krijgen dynamische packages: de eerste release van deze uitbreiding laat native shared-library-packages op Linux, Windows en macOS laden, zodat componenten, controls en IDE-extensies niet telkens een volledige Lazarus-rebuild vragen. Ook eigen programma’s kunnen zo plug-ins met Pascal-klassen en -typen aanbieden. Let op de praktische restricties: unitnamen moeten uniek zijn over packages, een package mag geen unit met dezelfde naam bevatten en strippen verwijdert noodzakelijke metadata. De functie komt uit een fork en de auteur beschrijft een periode vóór eventuele mainline-opname; behandel hem dus nog niet als standaardgedrag van iedere Free-Pascal-installatie. Aankondiging en technische details · HN-discussie