Mozilla houdt securitytests langer privé; Claude-onderzoek legt onnodig bereikbare code bloot

Mozilla stelt het openbaar maken van securityregressietests voortaan minstens een week uit na een Firefox-release. Anthropic beschrijft intussen hoe het met Claude onnodig bereikbare code en riskante configuratiecombinaties zocht — inclusief een door OpenSSH overgenomen wijziging. Voor compilerbouwers organiseert Rust expertise rond GPU-targets en linkers.

Mozilla houdt securitytests minstens een week achter

Mozilla vraagt ontwikkelaars om regressietests voor sec-high- en sec-moderate-bugs voortaan in een aparte patch te houden en die pas kort na de release te landen. Bij een Firefox-release op dinsdag is de vroegste datum voor zo’n test de volgende dinsdag. De bestaande security-approvalprocedure verandert volgens het bericht vooralsnog niet.

De wijziging is relevant omdat een test vaak precies vastlegt welk randgeval een patch dicht. Wie zo’n test vóór of tegelijk met een brede update publiceert, maakt het eenvoudiger om een nog niet bijgewerkte populatie te analyseren. Mozilla koppelt de beleidswijziging expliciet aan zijn analyse van snel beter wordende AI-capaciteiten, maar publiceert daarbij geen meetresultaten of incidentdetails.

Voor downstream-maintainers is dit vooral een planningswijziging: een publieke fix kan tijdelijk zonder bijbehorende regressietest landen. Dat maakt onafhankelijk beoordelen lastiger, maar verandert niets aan de noodzaak om patches snel uit te rollen en zelf regressies te testen. De nieuwe regel is een procesmaatregel, geen claim dat het risico daarmee verdwijnt. Mozilla’s aankondiging · Lobsters-discussie

Anthropic: minder bereikbare code kan onbekende fouten minder schadelijk maken

Anthropic publiceert onderzoek naar attack-surface reduction: niet primair zoeken naar individuele kwetsbaarheden, maar code die een deployment niet nodig heeft achter een eerdere controle zetten of uitschakelen. De onderzoekers zeggen Claude op 25 open-sourceprojecten met samen meer dan vijf miljoen regels code te hebben toegepast. Het model inventariseerde volgens hen ruim 17.000 configuratieopties en vond 493 kwesties, waaronder combinaties die een securitycontrol zonder waarschuwing verzwakten.

Het tastbaarste voorbeeld is OpenSSH. Anthropic zegt dat sshd in 10.4 circa 4.500 regels experimentele ML-DSA-44-code kon bereiken vóór de configuratiecontrole, ook wanneer het algoritme niet was ingeschakeld. Na melding en meerdere patchrondes zou OpenSSH de checks in de parser hebben verplaatst; volgens Anthropic zit die verandering in versie 10.6. Daarmee zou ongeveer een vijfde van de eerder bereikbare pre-authenticationcode in een standaardbuild niet meer door een niet-geauthenticeerde client kunnen worden geraakt.

Dit is een bruikbare verdedigingsrichting, maar geen onafhankelijke evaluatie van Claude of een bewijs dat de 493 bevindingen allemaal exploiteerbaar waren. Anthropic noemt juist ook gevallen die op zichzelf niet meteen uitbuitbaar zijn, maar onnodig bereikbare of verkeerd geconfigureerde code opleveren. De beschreven methode verifieert bevindingen volgens de maker met dynamische traces en bestaande tests; wijzigingen buiten de standaardconfiguratie gaan naar menselijke beoordeling. Behandel een modelvoorstel dus als input voor review en test, niet als autonome wijziging in een productiepad. Onderzoek en methode · HN-discussie

Rust richt aanspreekpunten in voor GPU-targets en linkers

Het Rust-compilerteam kondigt twee nieuwe groepen aan. De GPU target notification group verzamelt experts van onder meer AMD, Nvidia en Intel om GPU-gerelateerde issues sneller te diagnosticeren en op te pakken. De Linker Working Area moet werk rond linkers coördineren, onder meer voor de integratie van alternatieven zoals Wild, en als aanspreekpunt dienen voor linkerproblemen.

Dit is geen nieuwe GPU-backend, linkerkeuze of stabiliteitsgarantie. Het is wél een concreet onderhouds- en organisatieritme voor twee gebieden waar toolchainproblemen vaak hardware- of platformspecifiek zijn. Ontwikkelaars kunnen zich via een pull request bij de groepen aansluiten; beide krijgen ook een eigen Zulip-kanaal. Rust over de twee groepen · Lobsters-discussie

Verder nog

• NetWasm mikt op kleine zelfstandige C#-Wasm: het pre-1.0-project compileert C# en .NET CIL rechtstreeks naar WebAssembly/WASI, met een eigen kleine runtime en garbage collector. De maker meet voor één print-42-WASI Preview 2-component 47.895 bytes, tegenover 53.635 bytes voor een specifiek Rust-profiel; dat is expliciet geen taalbrede ranking. De praktische grens is groot: runtime reflection, dynamic, assembly loading, managed threads, raw sockets, subprocessen en algemene bestands-API’s vallen buiten het profiel; ook geldt een aparte licentie voor compiler en tooling. Interessant voor een afgebakende proef waar distributiegrootte telt, niet als drop-in vervanger voor desktop-.NET. NetWasm: benchmarkopzet, API-grenzen en roadmap · HN-discussie met kritiek op de vergelijking
• Concurrent ML als alternatief denkkader voor Go-channels: een essay vergelijkt Go met Rackets implementatie van Concurrent ML. Daar zijn send- en receive-operaties eerst waarden (events) die later via sync worden uitgevoerd; volgens de auteur maakt dat keuze, time-outs en cancellation beter composeerbaar dan een directe Go-channeloperatie. Het stuk introduceert bestaand Racket/CML-gedrag en is geen nieuwe runtime of empirische vergelijking. De nuttige vraag voor concurrente libraries is daarom bescheiden: kun je een wacht-, cancel- of I/O-operatie als composable beschrijving modelleren in plaats van alleen als direct blokkerende actie? Essay met voorbeelden · Lobsters-discussie