DeepSeek opent zijn inferentie-engine; Firefox blokkeert gecompromitteerde eMudhra-certificaten

DeepSeek heeft zijn productieruntime voor modelinference als open source gepubliceerd. Tegelijk heeft Mozilla Firefox-gebruikers beschermd tegen acht gecompromitteerde eMudhra-intermediates, met aanvullende updates voor afwijkende Firefox-configuraties. Voor workflowbouwers is er ook een scherpe praktijkles uit een Jepsen-test van Orkes Conductor: maak taken idempotent, ook wanneer de orchestrator ze ogenschijnlijk maar één keer hoort uit te voeren.

DeepInfer maakt DeepSeeks servingkern inspecteerbaar

DeepSeek heeft DeepInfer onder Apache-2.0 vrijgegeven: de inferentie-engine die volgens de repository de eigen grootschalige diensten aandrijft. De eerste ondersteunde modelroute is DeepSeek-V4.1-Flash. De code biedt onder meer geoptimaliseerde kernels, MoE-parallelisme, speculatieve decoding met confidence scheduling, asynchrone scheduling, batch-invariante inference en structured output via regex, JSON Schema of EBNF.

Dat is vooral interessant voor teams die niet alleen open gewichten, maar ook een concreet servingpad voor een groot MoE-model willen bestuderen of aanpassen. DeepInfer ondersteunt NVIDIA SM100-GPU’s en Huawei Ascend 950-NPU’s; de documentatie vraagt Linux, Python 3.12 en voor NVIDIA CUDA 13. De meegeleverde benchmarks draaien op vier SM100-GPU’s voor prefill en 64 voor decode, dus ze zijn geen verwachting voor bescheidener hardware.

De release is bovendien niet een volledige kant-en-klare productiestack. DeepSeek noemt zelf een KV-cachesysteem, prefill/decode-disaggregatie en load balancing over data-parallelle replicas als benodigde onderdelen die niet zijn meegeleverd, hoewel delen van de enginefunctionaliteit er al voor zouden bestaan. Behandel dit daarom als een waardevolle runtimebasis voor een gerichte evaluatie, niet als een onmiddellijke vervanger voor een complete servingomgeving. De HN-discussie wijst er eveneens op dat open code nog niet automatisch een reproduceerbare productiedienst oplevert. DeepInfer: code, hardware en ontbrekende servicelagen · HN-discussie

Firefox blokkeert acht gecompromitteerde eMudhra-intermediates

Mozilla meldt dat private sleutels van acht eMudhra-intermediatecertificaten gecompromitteerd zijn. Een aanvaller die verkeer kan onderscheppen, zou daarmee frauduleuze HTTPS-certificaten kunnen uitgeven voor sites die hij niet beheert, en zo verkeer mogelijk lezen of aanpassen.

Mozilla heeft de betrokken intermediates via OneCRL geblokkeerd. Volgens de organisatie was die distributie binnen drie uur volledig uitgerold naar Firefox-installaties met standaardinstellingen, zonder update of herstart. Nu volgen Firefox 158.0.1 voor desktop en Android, plus ESR 115.43.1 en 153.5.1, voor de minderheid bij wie eigen instellingen de OneCRL-route mogelijk verhinderen.

Ook NSS 3.131.1 verwijdert het rootcertificaat dat de intermediates heeft ondertekend. Firefox was volgens Mozilla al via OneCRL beschermd; de NSS-wijziging is vooral relevant voor andere toepassingen en afgeleiden die Mozilla’s trust store gebruiken zonder OneCRL te ontvangen. Voor beheerders is dit een concrete updatecheck voor Firefox en NSS, niet een aanwijzing dat iedere TLS-verbinding getroffen is geweest. Mozilla deelt nog geen verdere technische details over het incident. Mozilla: getroffen intermediates en releases · Lobsters-discussie

Jepsen vond verloren en ten onrechte afgeronde Orkes-workflows

Een door Orkes gefinancierde Jepsen-analyse testte Orkes Conductor 5.3.2 tot en met 5.5.0-rc2 onder processtoringen en netwerkpartities. De onderzoekers rapporteren drie ernstige problemen waarbij de orchestrator workflowuitvoeringen permanent kon vergeten of verlaten, of een workflow als voltooid kon markeren terwijl taken nooit waren gedraaid. Orkes heeft volgens het rapport versie 5.5.6 uitgebracht met patches voor alle ernstige safetyproblemen; twee fouten rond startWorkflow worden nog onderzocht.

Minstens zo bruikbaar is de ontwerpgrens die de test zichtbaar maakt: dezelfde taak kan gelijktijdig op twee workers starten. Dat past bij een at-least-once-model en de mogelijkheid dat een server een taakresultaat niet kan vastleggen, maar in de geteste gezonde cluster gebeurde het ook zonder ingespoten storing. De analyse zag bij de standaardinstellingen en korte taken ongeveer één gelijktijdige uitvoering per zes uur; dat is een testresultaat voor deze opzet, geen productiefrequentiegarantie.

Voor Conductor-gebruikers is de actie daarom breder dan alleen upgraden: ontwerp externe neveneffecten — betalingen, mails, writes en API-calls — idempotent en koppel ze aan eigen deduplicatie- of idempotency-keys. Controleer daarnaast wat een geüpgradede installatie doet bij herstarts, time-outs en partities. De analyse is onafhankelijk uitgevoerd, maar door Orkes bekostigd en gebaseerd op een specifiek tien-node testontwerp met Postgres en Redis. Jepsen: testopzet, bevindingen en patchstatus · Lobsters-discussie

Verder nog

Eén hash voor een Bloom-filter: Bluesky-engineer Jim Calabro beschrijft een Bloom-filtervariant die één hash gebruikt en daaruit posities in onderling coprime partities afleidt. De bijbehorende Go-implementatie combineert dat met cache-line-uitlijning en atomics. In de beschreven Bluesky-casus loste eerst vooral het vervangen van een mutex-ontwerp door atomics contention op; de rollouttijd zou daarbij van 90 naar 15 minuten zijn gedaald. De één-hashvariant zelf gaf daar geen merkbare extra winst, wat een nuttige waarschuwing tegen micro-optimalisatie zonder bottleneckmeting is. Ontwerp, code en praktijkcontext · Lobsters-discussie
SSH met Touch ID zonder los sleutelbestand: een macOS-uitleg laat zien hoe een p-256-ne-identiteit in de Secure Enclave via Apples ssh-keychain.dylib als FIDO-achtige SSH-sleutel gebruikt kan worden. De private sleutel is volgens de beschreven opzet niet exporteerbaar en ondertekenen vraagt Touch ID. Praktische grenzen: de SSH-agent moet de identiteit na een reboot opnieuw laden, en bij verlies van de Mac moet de publieke sleutel overal opnieuw worden geregistreerd. Uitleg en commando’s · Lobsters-discussie