AI-briefing woensdag 28 oktober 2026Tailscale SSH: elf gaten, root in één hop, en de patch staat sinds vannacht klaar

Een enkele gecompromitteerde machine in een tailnet bleek genoeg om root te halen op elke bereikbare server, in minder dan een seconde per hop, zonder gestolen inloggegevens. Onderzoeker Erica Windisch publiceerde het rapport (Tailworm) over Tailscale SSH 1.104.2 en headscale 0.29.5; Tailscale beloofde een fix voor het einde van 27 oktober en publiceerde vannacht v1.104.4. Eén detail uit de code-review telt apart: access intrekken in je policy sluit bestaande forward-sessies niet, dus tot je herstart blijven oude tunnels open.

De fout zit in de PXE-driver van EDK2, de referentiecode waaronder AMI, Insyde, Phoenix en Microsofts Project Mu firmware bouwen. De driver kopieert ICMP-foutmeldingen in een veld van 504 bytes zonder de grens te bewaken, dus één te lang bericht tijdens een netwerkboot schrijft attacker-controlled bytes in ring 0, vóór Secure Boot en TPM iets kunnen tegenhouden. De ontdekkers hadden coordinatie tot januari afgesproken, maar een pull request van AMI bracht de fix vorige maand al naar buiten.

Een gratis, open-source app die model én bibliotheek op je eigen machine zet: ongeveer 930.000 Wikipedia-artikelen, FEMA- en CDC-richtlijnen, medische referenties en reparatiehandleidingen. De app kiest bij de eerste start een model op basis van je RAM, van IBM Granite 4.2 8B tot Nemotron 3.5 Super op een Mac met 128 GB, en toont bij elk antwoord het artikel met de gebruikte passage gemarkeerd. In de eigen blinde test haalden de grote modellen 21 van 22 vragen goed, de 8B-variant 14 van 22.

DeepMind bracht Genie 4 uit als research preview voor vertrouwde testers. Het model genereert native audio, inclusief omgevingsgeluid en dialoog die reageert op wat je doet, laat je per toetsenbord door de wereld lopen en ondertussen met tekst prompts het weer, de camera of de cast aanpassen. De consistentie gaat van ongeveer één naar twee minuten, en juist daar zit de beperking: objecten drijven nog weg naarmate een simulatie langer loopt.

Een wetsvoorstel voor de staat Delaware introduceert de Artificial Intelligence Company: een rechtspersoon waarbij agents zijn aangewezen om het bedrijf te besturen en de zaken te doen, in elke sector behalve bankieren, met een proefperiode van 30 maanden. Rep. James Comer vroeg de gouverneur gisteren om alle documenten, met de zorg dat dit vooral de menselijke eigenaren beschermt tegen aansprakelijkheid voor roekeloos handelen van hun AI, en hintte op federale wetgeving die staten zou intomen.

Ghostty 1.4 verscheen op 27 oktober met ghostty +ssh, waarmee ssh-sessies de terminalconfiguratie en terminfo van je lokale machine meenemen in plaats van terug te vallen op de kale remote. Verder een nieuwe OpenGL-renderer voor Linux en FreeBSD, scrollback-compressie met lager geheugengebruik en Kitty-graphics-animatie. In dezelfde release een security-fix: paste-protectie behandelde carriage returns niet als regeleinde, dus een plakactie kon in sommige programma's een commando uitvoeren zonder bevestiging.