El impuesto a los gigabytes de Francia, una toma de control de cuenta de ChatGPT por enlace compartido, la brecha de Scribd y la forja de código federado de Tangled: cuatro historias de desarrolladores en un Daily Diff

Lo que cubre este video

• El viernes 30 de octubre de 2026, la Asamblea Nacional francesa adoptó la enmienda I-1358 al proyecto de ley de presupuesto de 2027 (primera lectura, proyecto de ley n.º 3210), que crea un impuesto sobre los flujos de datos digitales enviados por los proveedores de contenido. El texto establece 0.055 euros por gigabyte, a cargo del remitente; los proveedores de internet cuentan los datos que van a sus clientes por remitente, de forma anónima y sin mirar el contenido, y los reportan trimestralmente a la administración tributaria, y el flujo de salida de una red de entrega de contenido cuenta como el del remitente. La votación fue de 11 a favor y 10 en contra entre 21 votos contados, con 35 miembros votando, contra las opiniones del ponente del presupuesto y el ministro. Las traducciones al español del texto francés en este video son nuestras.
• La enmienda limita el impuesto al 15 por ciento de los ingresos del remitente en Francia o al 2 por ciento de sus ingresos totales. Su nota explicativa espera unos 10 mil millones de euros y cita una estimación de ARCEP de 200 mil millones de gigabytes al año enviados a los suscriptores franceses; 200 mil millones por 0.055 son 11 mil millones, y la nota no explica la diferencia. El mismo texto fue rechazado en la comisión de finanzas el 9 de octubre. La medida no es definitiva: todavía puede ser modificada o eliminada en votaciones posteriores de la Asamblea y en el Senado, y el texto leído para este video no establece fecha de inicio.
• Parameter Labs dice que tomó el control de cuentas de ChatGPT utilizando un enlace público de conversación compartida. Según su publicación del 28 de octubre de 2026, una cadena de características ordinarias, una vista previa HTML en un marco restringido, un gráfico que cargaba una biblioteca matemática con un "message listener" en la página principal, y un "listener" que aceptaba un mensaje sin verificar su remitente, permitieron que su código se ejecutara como chatgpt.com en la sesión de la víctima, listara conversaciones y leyera una privada. Reportó el error el 18 de octubre; OpenAI lo reprodujo, elevó la severidad de P2 a P1, confirmó el 26 de octubre que ambos "frontends web" rechazaron los mensajes y otorgó una recompensa de 5,000 dólares. El relato de la falla es de Parameter.
• Parameter aconseja verificar tanto el origen del remitente como la ventana exacta en los manejadores de mensajes, nunca aceptar HTML sin procesar en mensajes entre ventanas y tratar la Política de Seguridad de Contenido como un control de respaldo. Informa que el propio "sandbox" de "Preview" se mantuvo; el problema fue un "listener" en la página principal.
• El aviso del centro de ayuda de Scribd, actualizado por última vez el 1 de octubre de 2026, dice que una parte no autorizada ingresó a sus sistemas, llegó a otros sistemas internos y accedió a información del usuario: información básica de la cuenta para la mayoría de las cuentas e información más sensible para un número menor. Dice que la vulnerabilidad se cerró, se contrataron expertos externos, se notificó a las autoridades policiales y de protección de datos, y recomienda restablecer las contraseñas de Scribd, Slideshare, Everand y Fable. Un aviso publicado en Hacker News el 26 de octubre enumera la dirección de correo electrónico, los últimos cuatro dígitos de la tarjeta, el emisor de la tarjeta, la fecha de vencimiento, el país y el historial de pagos, y dice que no hay evidencia de uso indebido. Scribd no ha publicado cuántas cuentas se vieron afectadas.
• Tangled, una forja de código construida sobre el Protocolo AT, anunció un lanzamiento importante el 30 de octubre de 2026 y se autodenomina la primera forja de código verdaderamente federada. Los repositorios se pueden alojar en su propio servidor (un nudo) mientras se colabora con otros nudos. Los problemas, las solicitudes de extracción y los comentarios ahora se almacenan en el nudo como cadenas de objetos Git, y cada edición también escribe un registro de certificación en el servidor de datos personal del autor. La aplicación web pasó de un único programa Go en una única base de datos SQLite en Suecia a un "frontend" Svelte en el borde con un indexador Rust de solo lectura en más de 11 regiones. Los que autoalojan deben actualizar los nudos a la versión 1.20.0; los repositorios privados, una CLI y los SDK se enumeran para las próximas semanas. Estas son las propias afirmaciones de Tangled.

Transcripción traducida

Traducido de la narración original en inglés. El audio y los subtítulos disponibles son controlados por YouTube.

Inicio: ¿quién paga por un gigabyte en Francia?

0:00 Los impuestos de internet suelen contabilizar los ingresos o las ganancias. La Asamblea Nacional de Francia acaba de adoptar uno que cuenta los gigabytes, cinco céntimos y medio de euro cada uno, por once votos contra diez. En este video, cuatro historias. ¿Quién paga el impuesto a los gigabytes de Francia, y ya es ley? ¿Cómo un enlace de ChatGPT compartido llegó a chats privados? ¿Qué dijo Scribd que fue tomado? ¿Y qué es una forja de código federada?

0:24 Un número en el texto francés no cuadra del todo. Lo verificaré al final. Es sábado, treinta y uno de octubre, y este es The Daily Diff. Un impuesto a los gigabytes cobra a una empresa por cada gigabyte que envía a las personas, independientemente de lo que gane la empresa. Piensa en una cabina de peaje en internet que cuenta bytes en lugar de coches, y la mayoría de los coches son videos de gatos.

Primera historia: ¿quién paga el impuesto a los gigabytes de Francia, y ya es ley?

0:44 Historia uno. El viernes, la Asamblea Nacional adoptó la enmienda mil trescientos cincuenta ocho al proyecto de ley de presupuesto de dos mil veintisiete. Establece cinco céntimos y medio de euro por gigabyte, adeudados por la empresa que envía los datos a los suscriptores franceses. El texto tiene tres partes móviles. Los proveedores de internet cuentan los datos que fluyen a sus clientes e informan quién los envió, cada trimestre, sin mirar el contenido. El remitente debe el impuesto; los suscriptores no deben nada.

1:09 Si el remitente utiliza una red de entrega de contenido, lo que sale de esa red cuenta como del remitente. Aquí está la tarifa, del texto francés. El remitente debe el volumen en gigabytes por cinco céntimos y medio. Cien gigabytes suman cinco euros cincuenta. Un tope limita la factura al quince por ciento de los ingresos franceses del remitente, o al dos por ciento de sus ingresos totales. La traducción al español es nuestra.

1:34 La comisión rechazó el mismo texto el nueve de octubre. El viernes, el ponente del presupuesto advirtió que las grandes plataformas podrían trasladar el coste a los anunciantes. El ministro dijo que necesitaría sensores de flujo, y que la mitad del impuesto recaería en proveedores más pequeños, notablemente franceses. El autor, del grupo Socialista, respondió que los servicios son gratuitos, por lo que no hay nada que trasladar. Treinta y cinco miembros votaron. De los veintiún votos contados, once dijeron sí y diez dijeron no.

2:01 Todavía es solo una enmienda en la primera lectura del proyecto de ley de presupuesto, por lo que las votaciones posteriores de la Asamblea y el Senado pueden cambiarla o eliminarla. El texto que leí no establece fecha de inicio. El veintitrés de octubre les dije que Quad9 se va de Francia después de un fallo judicial. Esta vez el objetivo es el propio tráfico. Si envías muchos datos a usuarios franceses, mira el Senado, y pregúntale a tu CDN qué informa por país. Historia dos. La firma de seguridad Parameter publicó cómo tomó el control de cuentas de ChatGPT

Segunda historia: ¿cómo un enlace de ChatGPT compartido llegó a chats privados?

2:29 utilizando solo un enlace de conversación compartida. Informó el error a OpenAI el dieciocho de octubre. OpenAI lo calificó como P uno, y el veintiséis de octubre confirmó la solución. Parameter describe la cadena. La vista previa ejecuta HTML en un marco restringido en otra dirección. Un gráfico en la misma página cargaba una biblioteca matemática que escucha mensajes en la página principal. Ese "listener" aceptaba un mensaje sin verificar quién lo envió, y el mensaje podía llevar HTML.

2:57 El HTML creó un nuevo marco, que se ejecutó como chatgpt punto com. En la versión automática, abrir el enlace fue el único clic. Parameter dice que su código de prueba listó las conversaciones de la víctima y leyó una privada. Envió solo una pequeña parte a su propio servidor para demostrarlo, y OpenAI pagó una recompensa de cinco mil dólares. El propio "sandbox" de "Preview" se mantuvo. El agujero fue el "listener" en la página principal. Parameter aconseja verificar tanto la dirección del remitente como la ventana exacta,

3:26 y nunca aceptar HTML sin procesar en un mensaje entre ventanas. Es un buen día para buscar en sus propios manejadores de mensajes. Historia tres, una corta.

Tercera historia: ¿qué dijo Scribd que fue tomado?

3:34 Scribd, la empresa detrás de Slideshare y Everand, tiene un aviso en su centro de ayuda sobre un incidente de seguridad, actualizado por última vez el primero de octubre. Dice que una parte no autorizada ingresó a sus sistemas, luego llegó a otros sistemas internos e información de usuario. Para la mayoría de las cuentas, dice Scribd, eso significó información básica de la cuenta. Para un número menor, se involucró información más sensible. Un aviso que un usuario publicó en Hacker News el lunes enumera la dirección de correo electrónico y los últimos cuatro dígitos de la tarjeta.

4:02 También enumera el emisor de la tarjeta y la fecha de vencimiento, además del país y el historial de pagos. Scribd dice que no hay evidencia de uso indebido. Los avisos difieren por persona. Un medio rumano, Business 24, informa que los avisos allí también enumeran los títulos que la gente leyó o buscó. Scribd no ha dicho cuántas cuentas se vieron afectadas, y dice que los avisos se envían en fases, por lo que no recibir un correo electrónico no significa que se haya librado. Qué hacer.

4:29 Scribd le pide que restablezca su contraseña en los cuatro sitios, así que hágalo, y cámbiela en cualquier otro lugar donde la haya reutilizado. Tenga cuidado con cualquier llamada o correo electrónico que conozca los últimos cuatro dígitos de su tarjeta, porque un estafador también podría conocerlos.

Cuarta historia: ¿qué es una forja de código federada?

4:42 Historia cuatro. Tangled, una forja de código construida sobre el Protocolo AT, el protocolo abierto en el que se ejecuta Bluesky, lanzó una gran versión el viernes. Se autodenomina la primera forja de código verdaderamente federada. Puede alojar sus repositorios en su propio servidor, al que Tangled llama un nudo, y aún así colaborar con personas en otros nudos. El cambio importante es dónde reside la discusión. Los problemas, las solicitudes de extracción y los comentarios ahora se almacenan en el nudo, justo al lado del código, como cadenas de objetos Git.

5:09 Un nudo podría intentar poner palabras en su boca, por lo que cada edición también escribe un registro en su propio servidor de datos personales. Tangled lo llama verificación bidireccional. Hasta este lanzamiento, toda la aplicación web era un programa Go en una única base de datos SQLite en un solo servidor en Suecia. Ahora es un "frontend" Svelte en el borde, más un indexador de solo lectura en Rust que se ejecuta en once o más regiones. Si autoalojas, el lanzamiento te pide que actualices tus nudos a la versión uno

5:38 punto veinte. Los repositorios privados y una herramienta de línea de comandos están listados para las próximas semanas. Este es el propio anuncio de Tangled, y aún no encontré una revisión independiente.

Volvamos a Francia: ¿la suma de los gigabytes cuadra?

5:47 Ahora la suma que prometí. La propia nota de la enmienda francesa cita doscientos mil millones de gigabytes al año enviados a los suscriptores franceses. A cinco céntimos y medio cada uno, eso son once mil millones de euros. La nota promete diez mil millones. No explica la brecha. Si prefieres leer esto que oírme decirlo, el "diff" llega a tu bandeja de entrada cada mañana, gratis en the daily diff punto dev, enlace abajo.

6:10 Así que el veredicto de hoy es NECESITA REVISIÓN.

Veredicto: NECESITA REVISIÓN

6:13 Lo revisaría porque el impuesto francés se aprobó por un voto y aún no es ley, la solución de ChatGPT es descrita solo por los investigadores, Scribd no ha dicho cuántas cuentas se vieron afectadas, y la afirmación de federación de Tangled es propia. Suscríbete, pulsa la campana y dime en los comentarios si lo habrías sellado de manera diferente. Y esa es la diferencia de hoy. Soy Niko de Axrisi. Fusiona con responsabilidad.

Fuentes

1. Amendement n°I-1358, Projet de loi de finances pour 2027 (adopted October 30, 2026)Assemblée nationale
2. Compte rendu de la première séance du vendredi 30 octobre 2026Assemblée nationale
3. Amendement I-CF365 (rejected in the finance committee)Assemblée nationale
4. Budget 2027 : les députés votent une taxe au gigaoctetEurope 1
5. Do the Math: How We Took Over ChatGPT AccountsParameter Labs
6. Information about the recent security incidentScribd Help Center
7. Tell HN: Scribd Breached (notice text as posted by a user)Hacker News
8. Scribd notifică utilizatorii din România privind un incident de securitateBusiness24
9. The federated code forgeTangled