vLLM maakt toolcalls strikter; Unsloth plant lokale taken en Wails 3.0 is stabiel

Constrained decoding kan bij vLLM een praktisch verschil maken tussen een agent die meestal en een agent die altijd een geldig toolschema terugstuurt — maar alleen wanneer model, grammar en servingconfiguratie samen kloppen. Unsloth voegt geplande prompts toe aan zijn lokale desktopomgeving, met duidelijke grenzen aan wat zo’n taak zelfstandig kan doen. Wails brengt intussen versie 3.0 uit als stabiele major release, inclusief een migratiebreuk met v2.

vLLM: toolcalls vragen ook om runtimediscipline

Ubicloud beschrijft een probleem dat bij open-weight agents makkelijk onderbelicht raakt: een model kan inhoudelijk goed zijn, maar alsnog een onbruikbare toolcall teruggeven als de inference-engine geen schema afdwingt. De auteurs maten met Kimi K2.6 op vLLM 0.28 in hun eigen opstelling 92% schema-correctheid; na het aanzetten van constrained decoding in vLLM zou dat in de K2VV ToolCall-benchmark 100% zijn geworden voor de door hen geserveerde Kimi- en DeepSeek-versies.

De techniek beperkt tijdens het genereren de volgende tokens tot paden die bij het tool-schema passen, in plaats van een vrije modeluitvoer pas achteraf te valideren. Dat voorkomt syntactisch kapotte argumenten, maar beslist niet of het model de juiste tool kiest of veilige parameters invult. De post noemt bovendien zelf modelafhankelijke problemen: grammatica-vertaling, interacties met speculative decoding en modellen die door de beperking van hun normale outputpad afwijken. Daarom staat constrained decoding in een generieke engine niet vanzelf overal aan.

Voor agentteams is dit vooral een testpunt: meet naast taakslagingspercentage ook parseerbare calls, schemafouten, retries en de combinatie met caching en speculative decoding. De 100%-uitkomst is een meting van één provider op een specifieke benchmark, geen algemene garantie voor alle modellen, schemas of dynamisch wisselende toolcatalogi. Technische uitleg en meetopzet · HN-discussie

Unsloth laat lokale prompts op een schema draaien

Unsloth 0.1.911-beta voegt in de desktopomgeving geplande taken toe: een prompt kan eenmalig, dagelijks, op werkdagen, wekelijks of maandelijks draaien. Elke uitvoering wordt als nieuwe chat opgeslagen en kan een geladen lokaal model, een model op het apparaat of een verbonden API-provider gebruiken. Taken lopen alleen zolang Unsloth zelf draait, en hebben volgens de releasenotes geen tools of web search.

Dat laatste maakt de functie eerder geschikt voor terugkerende samenvattingen, controles of vaste teksttaken dan voor een autonome agent met externe neveneffecten. De releasenotes noemen ook een optie om een model automatisch te laden wanneer de gebruiker weg is; wie die gebruikt, moet dus geheugenbeslag, modelkeuze en notificaties expliciet testen in plaats van een geplande prompt als onzichtbare achtergrondtaak te behandelen.

De release voegt daarnaast ondersteuning toe voor MiniMax-M3.1-Flash, dat Unsloth positioneert voor coding, tools en agentworkflows met maximaal één miljoen tokens context. Volgens dezelfde notes vraagt de 1-bitvariant minstens 130 GB gecombineerd RAM en VRAM. Voor Apple Silicon meldt Unsloth onder meer tot 16% snellere MLX-chats met draft models en standaard MLX-generatie voor Z-Image-GGUFs; dat zijn eigen releasenoteclaims, geen onafhankelijke benchmarks.

Dit volgt op de lokale MoE- en SSD-route in de einde-dagupdate van vrijdag 23 oktober, maar is een nieuwe beta met een andere gebruikerslaag. Test bestaande modellen, adapters en API-integraties daarom apart: de release wijzigt tegelijk desktopgedrag, inference en training. Unsloth 0.1.911-beta

Nieuwe PHP2Shell-PoC bewijst een smal pad, geen algemene productie-exploit

Er is nu een publieke proof-of-concept voor de StealMyBitcoin-challenge verschenen. De auteur beschrijft een keten die een heapadres en codeadres lekt uit hergebruikte PHP-workerstatus na een memory-limitfout tijdens session upload-progress parsing, en vervolgens via een vervalste structuur system aanroept. De gepubliceerde labopzet gebruikt Alpine PHP 8.4.26, de ingebouwde PHP-server, vier workers achter nginx en vaste offsets; in die labomgeving claimt de auteur zeven volledige callbacks in tien runs zonder automatische retries.

Dat is een concrete ontwikkeling sinds de middagupdate van gisteren, die de challenge nog als ongeschikte maatstaf voor praktische uitbuitbaarheid behandelde. De nieuwe publicatie documenteert nu ten minste een specifiek werkend pad en benadrukt zelf hoe nauw het aan build, workerindeling, geheugenconfiguratie en heaplayout vastzit. De auteur schrijft dat dezelfde PHP-versie in een Debian FPM-image al een andere binarylayout heeft en dat de keten dan afbreekt.

Ook het bewijs voor de live challenge blijft onvolledig: volgens de auteur zijn de volledige oorspronkelijke request en responseheaders niet bewaard, is de request later gereconstrueerd en bleek de gevonden private key niet bij het geadverteerde prijsadres te horen. De HN-discussie wijst daarnaast op de afwijkende CLI-serveropzet. Zie dit daarom als een onderbouwde, maar sterk geconfigureerde demonstratie — niet als bewijs dat iedere PHP-installatie met dezelfde versie identiek te exploiteren is. De handelingslijn verandert niet: update ondersteunde PHP-versies en volg de officiële mitigaties; reproduceer zo’n PoC alleen in een geautoriseerde, geïsoleerde testomgeving. PoC en expliciete beperkingen · HN-discussie · Lobsters-signaal

Verder nog

• Wails 3.0.0: de Go-desktoptool is na een lange alpha- en bètafase stabiel. De release maakt applicaties, vensters, services en events expliciete objecten, voegt meerdere vensters, trayintegratie, native menu’s/dialogen, een cryptografisch verifiërende updater en server-builds toe. De route vanaf v2 is een echte port: lifecycle, bindings en API’s veranderen. V2 krijgt kritieke updates; beide CLI’s kunnen naast elkaar bestaan. Release-uitleg · Lobsters-discussie
• Pharo 14: de Smalltalk-omgeving krijgt onder meer Mission Control, Pulse als vervanger voor Spotter, vernieuwde browsers en command-line testing/debugging. Aan de VM-kant noemt het project frame- en stackherbouw, garbage-collectionwerk en RISC-V-JIT-ondersteuning. Dat maakt de release interessant voor gebruikers van de live omgeving, maar de publicatie geeft geen onafhankelijke performance- of compatibiliteitsmeting; test images en tooling dus gericht. Pharo 14-release · HN-discussie