SwitchBot-locks krijgen patchadvies; CPython laat experimentele JIT los

Onderzoekers melden een draadloze aanval op oudere SwitchBot-sloten; de leverancier noemt inmiddels firmware- en appversies die de beschreven fout moeten verhelpen. CPython stuurt intussen aan op het verwijderen van zijn experimentele JIT, nadat de voorgestelde route naar ondersteuning is ingetrokken.

Voor lokale AI zijn er twee technisch interessante, maar nog te valideren projecten: Baidu probeert meerpagina-OCR binnen een begrensd aandachtspad te houden, en sFNX wil drie gebruikte V100-kaarten tegelijk voor één MoE-request laten werken.

SwitchBot: update slimme sloten en keypads

Onderzoekers van Neodyme beschrijven meerdere kwetsbaarheden in SwitchBot Lock-producten, met als ernstigste een fout in de Bluetooth-communicatie tussen keypad en slotactuator. Volgens hun analyse gebruikte het systeem AES-CTR zonder integriteitsbescherming. Daardoor konden zij een onderschept versleuteld lock-commando zo aanpassen dat de actuator het als unlock verwerkte, zonder fysieke manipulatie.

De eerste oplossing bleek volgens de onderzoekers onvoldoende: een korte MD5-gebaseerde controle werd niet overal afgedwongen, onder meer niet in het app-pad. Zij schrijven dat SwitchBot in april een bijgewerkte versie deelde waarin de beschreven aanval niet meer werkte. Volgens SwitchBot horen de relevante fixes in onder meer Lock Pro 3.7+, reguliere Lock 7.7+, Lock WiFi 15.21+, Keypad/Keypad Touch 2.9+ en de app 9.18+ te zitten.

Voor bezitters is dit reden om juist slot, keypad én appversie te controleren, en automatische updates niet als vanzelfsprekend te beschouwen. De beschikbare bron is een technisch onderzoeksverslag, geen onafhankelijke grootschalige test van alle firmware- en productvarianten. Ook zegt het niet of oude apparaten al zijn aangevallen. Onderzoek, tijdlijn en versielijst · Lobsters-discussie

CPython stopt voorlopig met de experimentele JIT

De makers van PEP 836 hebben het voorstel ingetrokken dat CPythons experimentele JIT naar een ondersteunde functie moest brengen. Daarmee wordt het JIT-werk in de hoofdbranch volgens de betrokkenen stopgezet; LWN verwacht dat de code relatief vroeg in de ontwikkelcyclus van Python 3.16 verdwijnt. De referentie-implementatie zou wel beschikbaar blijven voor wie ermee wil verder werken.

De JIT kwam in 2024 in CPython 3.13 terecht, maar zonder een standaard-track-PEP die brede steun voor langdurig onderhoud vastlegde. De Python Steering Council vroeg dit jaar alsnog om harde afspraken over onder meer onderhoud, compatibiliteit, platformondersteuning, securityreview, prestaties en een kortere, doorlopende compatibiliteitscontrole. De auteurs concluderen nu dat zij niet de capaciteit hebben om de gevraagde uitwerking voort te zetten.

Dat is relevant voor distributeurs en Python-teams die met de experimentele JIT rekenden: het is geen route meer naar een stabiele CPython-functie op de huidige planning. Het zegt niet dat JIT-onderzoek in Python onmogelijk is — externe JIT’s en projecten zoals Numba blijven bestaan — maar wel dat compatibiliteit, instrumentatie en onderhoud zwaarder wogen dan een experimenteel snelheidsproject zonder vast draagvlak. LWN over PEP 836, de raad en de intrekking · Lobsters-discussie

Unlimited-OCR-2 wil lange documenten in vensters verwerken

Baidu heeft Unlimited-OCR-2 uitgebracht. De kern is Sparse Reference Sliding Window Attention (SR-SWA): in plaats van alle tekst-visuele relaties over een steeds langer document te bewaren, houdt het model een vaste verzameling werkreferenties aan. De makers stellen dat geheugenverbruik en latency per decodeerstap daardoor vrijwel constant kunnen blijven als een document groeit.

De modelkaart biedt een Transformers-route voor een snelle proef en een aangepaste SGLang-route voor serving. Daarin staan expliciete vensters per pagina en geheugenknoppen: kleinere vensters verlagen de piekvraag, maar verliezen volgens de documentatie juist context wanneer een blok over een venstergrens doorloopt. Dat maakt het project praktisch interessanter dan alleen de term ‘unlimited’: er is een concrete ruil tussen capaciteit en documentcontinuïteit.

De claims over onbeperkte parsing en topprestaties op meerpagina-benchmarks komen van Baidu. De voorbeeldomgeving gebruikt een A800 met 80 GB geheugen en een aangepaste SGLang-build; dit is dus geen kant-en-klare route voor willekeurige OCR-infrastructuur. Test vooral eigen scans, tabellen, talen, fouten rond paginaovergangen en de benodigde GPU-capaciteit voordat je een bestaande OCR-keten vervangt. Modelkaart, architectuur en servingconfiguratie · Reddit-discussie

sFNX verdeelt iedere laag van Qwen over drie oude V100’s

Het nieuwe open-sourceproject sFNX richt zich op Qwen3.8-Flash-Next op drie Tesla V100-kaarten van 32 GB, verbonden via PCIe Gen3 zonder NVLink. In plaats van lagen beurtelings aan één kaart toe te wijzen, splitst het project elke laag over alle drie de kaarten. Eigen CUDA-kernels schrijven partiële resultaten in een ring rechtstreeks naar geheugen op de volgende kaart.

De maker rapporteert met een specifieke UD-Q4_K_XL-quant en een code-edit-workload 367–382 tok/s voor één request; voor zes gelijktijdige gesprekken noemt hij circa 280–291 tok/s gezamenlijk. Het project beschrijft ook duidelijke grenzen: alleen twee of drie sm_70-kaarten, één model, zeer volle VRAM, specifieke quant-eisen, CUDA 12.9 en een IOMMU-configuratie die directe kaart-naar-kaartwrites toelaat.

Dat is vooral interessant als alternatief ontwerp voor gebruikte datacenterkaarten: het probeert hun gezamenlijke geheugenbandbreedte per request te benutten zonder NVLink. De cijfers zijn echter metingen van de maker op één machine en verschillende workloads profiteren verschillend van speculative decoding. Wie dit overweegt, moet naast decode ook koude prefill, contextwissels, stabiliteit, stroomverbruik en de strikte platformeisen meten. Repository met ontwerp, vereisten en benchmarkmethode · Reddit-discussie

Verder nog

• E-mailbezorging is vooral een reputatieprobleem: een voormalige Gmail-medewerker beschrijft dat SMTP en DKIM/SPF technisch goed zelf zijn op te zetten, maar dat aflevering bij uiteenlopende mailboxproviders afhankelijk blijft van veranderlijke reputatiebeoordelingen van domein, IP-adres en mogelijk IP-blok. Dat verklaart volgens hem waarom een commerciële verzenddienst meer levert dan alleen een SMTP-verbinding. Het is een persoonlijk praktijkonderzoek, geen beschrijving van de actuele filteringregels van Gmail, Microsoft of andere providers. Essay · Lobsters-discussie