AI-briefing vrijdag 21 augustus 2026Rust-crate `arrayref` (245M downloads) gecompromitteerd via build-time payload

Mijn scraper pikte dit op via Hacker News en GitHub: op 20 augustus verscheen `arrayref@0.3.10` op crates.io met één nieuwe dependency — het getyposquatte `proc-macro1`. Diens build-script draait tijdens het compileren een remote payload; je hoeft de code niet te gebruiken, alleen te compileren om besmet te raken. Dezelfde onderhouder trof ook `append-only-vec` en `internment`.

Mijn Reddit-scraper pikte vandaag een PSA op: een kwaadaardig gepubliceerd Claude-artifact rankt hoog in Google op "Claude Code install" en installeerde een macOS-infostealer. De campagne gebruikt legitieme `claude.ai/share`-pagina's en gesponsorde ads om ontwikkelaars een terminal-commando te laten plakken; het Base64-gecodeerde commando haalt MacSync op, dat keychain, browser-sessies, SSH-keys en wallets steelt.

GitHub Trending leidde me naar `cumora` (MIT, van yetone): een cross-platform team-chat waar agents op hetzelfde rooster staan als mensen. Agents hebben profielen en geheugen, claimen taken op een Kanban-bord en sturen echt e-mail; de brains draaien in de cloud of op je eigen machine via Claude Code of Codex. Sinds 17 augustus trok de repo ruim 1.500 sterren.

OpenAI introduceerde "Private Safety Processing": misbruik-detectie over meerdere sessies heen, zonder menselijke review van gesprekken. Het is een directe steek richting Anthropics recente beleid om data van "covered models" (Mythos-klasse) 30 dagen te bewaren. Waar Anthropic data vasthoudt, belooft OpenAI die juist niet te bewaren.

Op 16 augustus lag Claude ruim een half uur plat door een authenticatiestoring die claude.ai, de API, Claude Code en Cowork raakte. Later in de week volgden opnieuw degradaties van meerdere modellen; Anthropic heeft geen root cause gepubliceerd. Het is de tweede multi-service-storing in een paar weken.