GoAhead vraagt TLS-inventarisatie; LFM3 brengt compacte lokale multimodaliteit en Ghostty 1.4 dicht risico’s

GoAhead-gebruikers moeten de gebruikte TLS-backend en mTLS-configuratie nagaan: drie advisories raken verschillende, soms oude paden en zijn in 6.1.1 gerepareerd. Voor lokale AI verschijnt LFM3, een open compacte familie voor tekst, beeld, audio en beslismodellen, terwijl Ghostty 1.4 zowel een flinke security-update als een stap voor de herbruikbare terminalkern is.

GoAhead: drie TLS-fouten maken backend en configuratie doorslaggevend

Onderzoekers beschrijven drie onafhankelijke fouten in de TLS-integraties van de embedded webserver GoAhead, die veel in netwerk-, IoT- en OT-apparatuur zit. De belangrijkste: OpenSSL-compatibele builds met geconfigureerde certificaatintrekkingslijst laadden die CRL wel, maar schakelden de controle niet in. Daardoor konden ingetrokken clientcertificaten volgens het rapport alsnog een mTLS-handshake afronden. Dat raakt GoAhead 3.4.5 tot en met 6.1.0 wanneer zo’n CRL is ingesteld.

Een tweede fout betreft mbed TLS-builds: door een lengtetypo werd bij TLS 1.2 DHE_RSA slechts één byte van een bedoelde 2048-bit-Diffie-Hellmanmodulus gebruikt. Een passieve waarnemer kan een sessie dan alleen ontsleutelen als de client die ondeugdelijke parameters accepteert; TLS 1.3 en ECDHE vallen buiten dit specifieke pad. Ten slotte kan een oude LibreSSL-verifier onder een specifieke instelling een te lange clientcertificaatketen accepteren: clientcertificaten verplicht, issuercontrole uit.

De fixes zitten volgens het rapport in GoAhead 6.1.1. Inventariseer daarom eerst versie, gekoppelde TLS-library en de werkelijk gecompileerde verificatieopties — niet alleen of GoAhead ergens in de firmware aanwezig is. Voor publiek bereikbare beheerinterfaces is upgraden de hoofdroute; bij het mbed TLS-pad zijn finite-field-DHE-suites uitschakelen of een OpenSSL-backend tijdelijke alternatieven. De impact is nadrukkelijk configuratieafhankelijk; het rapport bewijst niet dat elk apparaat met GoAhead kwetsbaar is.

FoxIO: technische analyse, affected-versies en mitigaties · HN-discussie

LFM3 zet lokale specialisatie boven één groot algemeen model

Liquid AI heeft LFM3 uitgebracht, een open-gewichtfamilie rond een gedeelde tri-hybride backbone van ongeveer 2 miljard parameters. De eerste reeks bevat een tekstmodel, vision-, audio- en omnivarianten plus twee beslismodellen. Dat is een concrete nieuwe generatie na LFM2.5 uit de ochtendupdate van 14 oktober: de architectuur combineert gated short convolutions, sliding-window attention en globale attention, en de tekstvariant krijgt een contextvenster van 256K tokens.

Voor lokale agentbouw is vooral de afbakening bruikbaar. Liquid positioneert LFM3-1.7B voor toolgebruik en domeinspecifieke fine-tuning op één GPU, terwijl de familie daarnaast een apart model biedt voor bijvoorbeeld beeld-, video- of audio-invoer. De maker rapporteert dat het tekstmodel bij 8K context ongeveer 25% sneller is dan LFM2-1.2B per parameter; voor een volledige 128K-context noemt hij 1,6 GB KV-cache. Dat zijn leveranciersmetingen op geselecteerde apparaten en backends, geen garantie voor een eigen harness of quant.

De modelkaart trekt zelf ook een nuttige grens: grotere modellen blijven volgens Liquid sterker bij agentic coding en kennisintensieve taken. Zie dit dus niet als vervanger voor een zwaar algemeen model, maar als een nieuwe kandidaat voor begrensde lokale taken — classificatie, routing, visuele inspectie of herhaalbare toolflows — waar geheugen, latency en fine-tuning belangrijker zijn. Meet daarvoor niet alleen tok/s, maar ook foutkosten, toolcall-formaat en prestaties op eigen gegevens.

Liquid AI: LFM3, architectuur, modellen en eigen metingen · HN-discussie

Ghostty 1.4 combineert securityreparaties met snellere terminalpaden

Ghostty 1.4.0 repareert een reeks beveiligingsproblemen die door kwaadaardige terminaloutput, een gekopieerde invoer of een speciaal bestands- of directorypad konden worden getriggerd. De release noemt onder meer crashes, buitensporige allocaties, problemen rond tmux-control mode, een zsh-integratie die ongewenste escape sequences kon versturen en macOS-link- of drag-and-drop-paden die gebruikersinteractie vereisten. Wie Ghostty 1.3.x gebruikt, heeft dus meer reden dan nieuwe features alleen om te upgraden.

De release maakt ook de Kitty-graphicsimplementatie volgens Ghostty volledig, inclusief animatie en relatieve plaatsing. Voor grote beeldtransfers meldt het project in een eigen x86_64-Linuxbenchmark circa 16× snellere parsing. Op macOS noemt het 25–55% hogere end-to-end-I/O-throughput en lager resident geheugen door compressie van niet-zichtbare scrollback; dat zijn projectspecifieke cijfers, geen universele terminalbenchmark.

Interessant voor tooling is dat libghostty volgens maker Mitchell Hashimoto inmiddels de terminal in JetBrains-IDE’s aandrijft. In dezelfde toelichting noemt hij brede platform- en language-bindingondersteuning; de daadwerkelijke performancewinst in individuele IDE-workflows is daarmee nog niet onafhankelijk vastgesteld. Maar de ontwikkeling maakt een losse, herbruikbare terminalkern relevanter dan alleen een nieuwe GUI-terminalrelease.

Ghostty 1.4.0: advisories, graphics en performancewijzigingen · aankondiging over libghostty in JetBrains · HN-discussie

Genie 4 is een research preview, geen direct inzetbare simulator

Google DeepMind kondigt Genie 4 aan, een interactief wereldmodel dat beeld, omgevingsgeluid en dialoog tegelijk moet genereren. Volgens DeepMind kan een gebruiker een simulatie tijdens het lopen met tekst aanpassen — bijvoorbeeld weer, camera of objecten — en gebruikt een Gemini-model in de lus observaties en planning om de scène coherent te houden. De beoogde toepassingen lopen van robot- en agenttrainingsomgevingen tot previsualisatie en gameconcepten.

De inzetbaarheid blijft voorlopig beperkt: Genie 4 rolt uit als research preview voor vertrouwde testers, met later toegang voor Google AI Ultra-gebruikers en vroege API- en AI-Studio-partners. DeepMind noemt geen modelgrootte, onafhankelijke benchmark of openbare technische evaluatie. De HN-discussie wijst ook op die beperkte transparantie en toegang; dat is een relevante beperking, geen bewijs dat de getoonde resultaten onjuist zijn.

Belangrijker nog: DeepMind zegt zelf dat objectpermanentie en visuele details bij langere sessies of complexe bewerkingen kunnen afwijken. Ook fysica, audio, leesbare tekst, ruimtelijke nauwkeurigheid en langetermijnconsistentie zijn nog open werk. Beschouw Genie 4 daarom als een interessante richting voor interactieve simulatie, niet als bewijs dat een gegenereerde wereld al een betrouwbare testomgeving voor een agent of robot is.

Google DeepMind: Genie 4, toegang en expliciete beperkingen · HN-discussie

Verder nog

• uv vervangt zijn tar-parser: vanaf uv 0.131 verwerkt de Python-package-manager source distributions met het nieuwe Rust-project tar-codec. Astral zegt dat de parser ongeveer tweemaal sneller is dan zijn voorganger en vooral strikter omgaat met parserverschillen: verschillende tooling mag niet uiteenlopende inhoud zien in hetzelfde tar-archief. Dat is extra verdediging, geen oplossing voor het fundamentele feit dat sdists bij bouwen arbitraire code kunnen uitvoeren. Astral over tar-codec en parser differentials · Lobsters-discussie
• MiniCPM-OCR Jev beoordeelt OCR in plaats van die alleen te produceren: het Apache-2.0-model van 2B parameters krijgt een region-image plus kandidaattekst en geeft een kansscore terug voor tekst, formules en tabellen. De makers stellen voor om hoge scores automatisch te accepteren en de rest naar review te sturen, of meerdere OCR-uitkomsten per regio te rangschikken. Hun AUROC-cijfers zijn eigen evaluaties; kies drempels daarom op gelabelde documenten uit de eigen workflow en behandel fout- of renderingstatussen niet als modelscore. Modelkaart met pipeline en evaluatie · Reddit-discussie