AI-briefing woensdag 21 oktober 2026DeepSeek opensourcet DeepInfer, de stack waar hun eigen productie op draait

DeepSeek heeft zijn interne inference-framework onder Apache-2.0 op GitHub gezet, plus deepseek-recipe (MIT) voor het token-encode/decode-pad. Het is nadrukkelijk géén algemene engine: DeepInfer ondersteunt alleen DeepSeek-V4.1-Flash en richt zich op Nvidia SM100 en Huawei Ascend 950, met distributed inference en speculative decoding, en hij komt uit een vork van vLLM met ideeën uit SGLang en TensorRT-LLM. Wel alleen offline werken: er is nog geen KV-cache-systeem, geen load balancer over data-parallelle replicas, en prefill/decode-disaggregatie staat op de roadmap (de meeste engine-onderdelen daarvoor zitten er al in). De repo is jong: drie commits, 10,8k sterren, en bovenaan GitHub Trending.

Mistral bracht Voxtral 3 uit: transcriptie in 50+ talen met diarization en context-biasing, TTS met emotie in 35+ talen en 50+ dialecten, en een voice-agent-SDK op LiveKit die luisteren, redeneren, tool-calls en spreken in één streaming pipeline zet. Elke stap is een apart model, end-of-turn-detectie zit er native in en een beurt moet onder een seconde blijven. Prijzen: $0,0035/min batch-transcriptie, $0,008/min realtime, $13 per miljoen tekens TTS. Beschikbaar via de EU-gehoste API of volledig self-deployed.

Een onderzoeker die als Wayne bekendstaat vond het op 17 oktober bij het scannen van publieke certificaatdata: de P-384 privésleutels van acht eMudhra-intermediate-CA's, in april 2025 gegenereerd, hadden een waarde kleiner dan 256 — dus binnen 256 pogingen te raden. Eén ervan, voor "EM OV TLS CA - G3C", bleek simpelweg het getal 4; de sleutel staat op GitHub en BleepingComputer verifieerde dat hij bij een ingetrokken certificaat hoort. eMudhra wijt het aan een fout script. Chrome, Firefox en Apple hebben de certificaten en de onderliggende G3-root geblokkeerd, en de ca-certificates-pakketten rollen door: Go 1.27.3 en 1.26.10 (CVE-2026-111943), Alpine 20261020-r0, curl 2026-10-20, Python certifi 2026.10.19 — met Node.js en Bun nog op "pending".

De PHP-securityploeg brengt vandaag om 14:00 UTC (16:00 CEST) een out-of-band release uit voor twee kritieke remote-code-execution-fouten in de PHP-kern: CVE-2026-109618 en CVE-2026-109619, beide CVSS 9.2. De details lekten een dag te vroeg uit via een HN-post en screenshots, waarop PHP de datum naar voren haalde; "php2shell" is de naam die onder onderzoekers rondgaat. watchTowr bevestigde dat de bugs echt zijn en reproduceerde CVE-2026-109618, maar op het moment van schrijven was er nog geen publieke exploitcode en had Huntress geen aanvallen in het wild gezien. Getroffen versies zijn nog niet bevestigd; rapporten wijzen op PHP 5 tot en met 8, terwijl alleen de ondersteunde 8-branches een fix zouden krijgen.

De oktoberronde van SlopCodeBench liegt er niet om: de beste frontier-agent (gpt-6 Astra) haalt 16,3% strict pass rate, tegen 14,8% voor gpt-5.5 in mei. Interessanter is de effort-kolom — xhigh kostte 2,11 tot 4,22 keer zoveel als medium en de pass rate ging alleen bij Astra omhoog (29 naar 32); Opus 5.5 scoorde op xhigh zelfs lager (25) dan op medium (28), ondanks schonere code (77,75% vs 94,25% slop).

Op r/homeassistant stond een draadje van iemand die Govee-verlichting cloud-vrij wilde draaien: LAN Control aan in de app, verkeer naar buiten dicht in de firewall, en na een power cycle is de LAN-instelling weer weg. Eén gebruiker, geen reactie van Govee, dus dit is een signaal en geen bewezen praktijk.