Tailscale SSH vraagt strakkere rechten; AI en fuzzing blijken complementair in V8

Tailscale SSH verdient vandaag een toegangsreview: de leverancier onderzoekt ernstige privilege-escalaties voor sommige al geautoriseerde gebruikers en adviseert onder meer SSH-forwarding uit te zetten waar dat niet nodig is. Google Project Zero komt intussen met een nuchtere meting: een agentisch systeem en een gespecialiseerde fuzzer vinden in V8 deels dezelfde, maar ook duidelijk verschillende kwetsbaarheden.

Voor lokale AI is er een vroege Windows-port die een groot DeepSeek-model op één consumenten-pc probeert te draaien. De interessante cijfers zijn nog volledig van de maker en vragen om onafhankelijke reproductie.

Tailscale SSH: beperk bestaande toegang en zet forwarding uit waar mogelijk

Tailscale meldt dat het kwetsbaarheden in Tailscale SSH onderzoekt die in bepaalde omstandigheden een gebruiker die al via Tailscale SSH mag verbinden, meer rechten kunnen geven dan het ingestelde lokale account. De impact hangt volgens de leverancier af van toegekende rechten, configuratie en andere voorwaarden; het gaat dus niet om onbeperkte toegang voor willekeurige internetgebruikers.

De praktische actie is wel direct. Controleer welke gebruikers en apparaten via Tailscale SSH op gevoelige nodes mogen komen, maak die ACLs tijdelijk zo klein mogelijk en zet forwarding uit als het niet nodig is: TS_SSH_DISABLE_FORWARDING=1 in de serviceomgeving van tailscaled, gevolgd door een restart. Tailscale schreef bij publicatie dat fixes voor het grootste deel waren geïmplementeerd maar nog werden getest; de beschikbare update bevestigt nog geen specifieke gepatchte clientversie.

Een HN-deelnemer met Tailscale-ervaring plaatst de reikwijdte bij configuraties waar Tailscale SSH een niet-rootaccount toestaat: dat is een nuttige duiding, maar geen onafhankelijke kwetsbaarheidsanalyse. Wacht op het aangekondigde advisory voor de bevestigde versies en configuraties, en behandel SSH-toegang intussen als een expliciet privilegegrensvlak.

Tailscale: onderzoeksstatus en tijdelijke maatregelen · HN-discussie

Project Zero: LLM-agent vervangt V8-fuzzing niet

Google Project Zero vergeleek in V8 zijn generatieve JavaScript-fuzzer Fuzzilli met BigSleep, een LLM-gebaseerd systeem dat nieuwe commits beoordeelt en crashende testcases probeert te schrijven. Over april tot en met september telde Project Zero na filtering op actiegerichte kwetsbaarheden 45 meldingen voor BigSleep en 37 voor Fuzzilli.

Het relevante resultaat zit niet in die kleine voorsprong. In de productiegegevens overlapte circa 25% van de gevonden bugs; een aparte herontdekkingsproef schatte de overlap van historische Fuzzilli-bugs rond 60%. Beide meetmethoden hebben beperkingen — een bug verdwijnt bijvoorbeeld zodra de andere route hem heeft laten repareren — maar ondersteunen dezelfde operationele conclusie: de systemen zien niet hetzelfde.

BigSleep draaide in deze vergelijking dagelijks en analyseerde commits met een Gemini 3.6 Flash-configuratie; Fuzzilli draaide continu. Project Zero kon kosten per bug nog niet eerlijk vergelijken en beperkte de analyse tot V8, een uitzonderlijk goed gefuzzd doelwit. Voor securityteams is de bruikbare les daarom niet ‘vervang fuzzing door agents’, maar meet of een agentische code-reviewlaag echt nieuwe bugklassen toevoegt naast bestaande fuzzing, triage en regressiontests.

Project Zero: methode, aantallen en beperkingen · Lobsters-discussie

Delta probeert DeepSeek-V4.1-Flash lokaal op Windows te brengen

Delta Inference Engine is een nieuwe Windows-port van Xolotl/Strata voor DeepSeek-V4.1-Flash-1017. Het project stelt een OpenAI-compatibele lokale server beschikbaar en combineert één NVIDIA-GPU met RAM en NVMe-opslag om de 552B-parameter-MoE te draaien. De repository noemt een contextvenster tot één miljoen tokens, maar stelt ook harde minimale eisen: 12 GB VRAM, 128 GB RAM en ongeveer 385 GB vrije snelle NVMe-ruimte.

De maker rapporteert op een RTX 3090 met 192 GB RAM 41 tok/s voor generatie en 610 tok/s voor een lange prompt; met een gesimuleerde 128GB-RAM-configuratie is dat respectievelijk 33 en 410 tok/s. Een expliciete route-bias die experts op de GPU bevoordeelt zou circa 20% sneller zijn, maar wijkt ook af van exacte routing. De repository vergelijkt top-1-overeenkomst met DeepSeeks API, geen onafhankelijke taakevaluatie.

Dat maakt dit interessant als laagdrempelige Windows-proef voor wie al veel RAM, schijfruimte en een passende RTX-kaart heeft — niet als bewijs dat zo’n model op een doorsnee pc praktisch of gelijkwaardig draait. Meet naast snelheid vooral koude starts, lange prefill, RAM- en SSD-druk, toolcalls en uitkomstkwaliteit voor de eigen taak.

Delta Inference Engine: vereisten, ontwerp en eigen metingen · Reddit-discussie

Verder nog

43 miljoen regels Lean voor één classificatiestelling: Axiom Math zegt de classificatie van eindige enkelvoudige groepen volledig in Lean te hebben geformaliseerd, met 2,05 miljoen declaraties en kernelcontrole voor elke logische stap. Het project meldt ook dat het een probleem vond in een gepubliceerd argument rond de Unbalanced Group Theorem en een alternatieve route koos. Dat is een indrukwekkend formal-methods-resultaat, maar de beschikbare projectpagina is geen externe inhoudelijke peerreview van de nieuwe proof-route. Project en codeverwijzing · HN-discussie
Moxnox 1.0 combineert NT-achtige interfaces met POSIX: het hobbybesturingssysteem draait op Btrfs, is zelfhostend en ondersteunt amd64 en aarch64. De maker waarschuwt zelf Btrfs uitsluitend op wegwerpfilesystems te gebruiken en noemt security, meerdere gebruikers en groepen nog ontbrekend. Daarmee is het een interessant OS-ontwerp en testproject, geen systeem voor gevoelige inzet. Moxnox 1.0 · HN-discussie
Een persoonlijke benchmarkset voor lokale modellen: een beheerder testte twaalf 4B- tot 35B-modellen op twee RTX 5060 Ti-kaarten met volledige datasets en zowel thinking als non-thinking. Het initiatief is nuttig omdat het wall-clocktijd naast scores zet, maar het blijft één server, één vLLM-configuratie en één eigen meetontwerp; gebruik de tabellen als vergelijkingstart, niet als universele ranglijst. Reddit-post met methode en resultaten