La tassa sui gigabyte in Francia, un account ChatGPT violato tramite link condiviso, la violazione di Scribd e il "forge" di codice federato di Tangled: quattro storie di sviluppatori in un unico Daily Diff

Contenuto di questo video

• Venerdì 30 ottobre 2026, l'Assemblea Nazionale francese ha adottato l'emendamento I-1358 al disegno di legge sul bilancio 2027 (prima lettura, disegno di legge n. 3210), che crea una tassa sui flussi di dati digitali inviati dai fornitori di contenuti. Il testo stabilisce 0,055 euro per gigabyte, a carico del mittente; i fornitori di internet contano i dati che vanno ai loro clienti per mittente, in modo anonimo e senza guardare il contenuto, e lo segnalano trimestralmente all'amministrazione fiscale, e il flusso in uscita di una rete di distribuzione dei contenuti conta come quello del mittente. Il voto è stato di 11 a favore e 10 contro tra 21 voti contati, con 35 membri votanti, contro i pareri del relatore del bilancio e del ministro. Le traduzioni inglesi del testo francese in questo video sono nostre.
• L'emendamento limita la tassa al 15 percento del fatturato del mittente in Francia o al 2 percento del suo fatturato totale. La sua nota esplicativa si aspetta circa 10 miliardi di euro e cita una stima dell'ARCEP di 200 miliardi di gigabyte all'anno inviati agli abbonati francesi; 200 miliardi per 0,055 fanno 11 miliardi, e la nota non spiega la differenza. Lo stesso testo è stato respinto nella commissione finanze il 9 ottobre. La misura non è definitiva: può ancora essere modificata o rimossa in votazioni successive dell'Assemblea e al Senato, e il testo letto per questo video non stabilisce una data di inizio.
• Parameter Labs afferma di aver preso il controllo di account ChatGPT utilizzando un link pubblico di conversazione condivisa. Secondo il suo post del 28 ottobre 2026, una catena di funzionalità ordinarie, un'anteprima HTML in un frame ristretto, un grafico che caricava una libreria matematica con un listener di messaggi nella pagina principale e un listener che accettava un messaggio senza verificarne il mittente, ha permesso al suo codice di essere eseguito come chatgpt.com nella sessione della vittima, elencare le conversazioni e leggere una conversazione privata. Ha segnalato il bug il 18 ottobre; OpenAI lo ha riprodotto, ha alzato la gravità da P2 a P1, ha confermato il 26 ottobre che entrambi i frontend web rifiutavano i messaggi e ha assegnato una ricompensa di 5.000 dollari. Il resoconto del difetto è di Parameter.
• Parameter consiglia di controllare sia l'origine del mittente che la finestra esatta nei gestori di messaggi, di non accettare mai HTML non elaborato in messaggi tra finestre e di trattare la Content Security Policy come un controllo di backup. Riferisce che la sandbox di Preview stessa ha retto; il problema era un listener nella pagina principale.
• L'avviso del centro assistenza di Scribd, aggiornato l'ultima volta il 1° ottobre 2026, afferma che una parte non autorizzata è entrata nei suoi sistemi, ha raggiunto altri sistemi interni e ha avuto accesso alle informazioni degli utenti: informazioni di base sull'account per la maggior parte degli account e informazioni più sensibili per un numero minore. Afferma che la vulnerabilità è stata chiusa, esperti esterni sono stati coinvolti, le forze dell'ordine e le autorità per la protezione dei dati sono state notificate e raccomanda di reimpostare le password per Scribd, Slideshare, Everand e Fable. Un avviso pubblicato su Hacker News il 26 ottobre elenca l'indirizzo e-mail, le ultime quattro cifre della carta, l'emittente della carta, la data di scadenza, il paese e la cronologia dei pagamenti, e afferma che non ci sono prove di uso improprio. Scribd non ha pubblicato quanti account sono stati interessati.
• Tangled, un "forge" di codice costruito sul protocollo AT, ha annunciato un'importante release il 30 ottobre 2026 e si autodefinisce il primo "forge" di codice veramente federato. I repository possono essere ospitati sul proprio server (un nodo) pur collaborando con altri nodi. Problemi, richieste di pull e commenti sono ora archiviati sul nodo come catene di oggetti Git, e ogni modifica scrive anche un record di attestazione sul server di dati personali dell'autore. L'applicazione web è passata da un singolo programma Go su un database SQLite in Svezia a un frontend Svelte all'edge con un indicizzatore Rust in sola lettura in più di 11 regioni. I self-hoster devono aggiornare i nodi alla v1.20.0; repository privati, una CLI e SDK sono elencati per le prossime settimane. Queste sono le affermazioni di Tangled.

Trascrizione tradotta

Tradotto dalla narrazione originale inglese. L'audio e i sottotitoli disponibili sono controllati da YouTube.

Apertura a freddo: chi paga un gigabyte in Francia?

0:00 Le tasse su internet di solito contano i ricavi o i profitti. L'Assemblea Nazionale francese ne ha appena adottata una che conta i gigabyte, cinque centesimi e mezzo di euro ciascuno, con undici voti a dieci. In questo video, quattro storie. Chi paga la tassa sui gigabyte in Francia, ed è già legge? Come un link ChatGPT condiviso ha raggiunto chat private? Cosa ha detto Scribd essere stato sottratto? E cos'è un "forge" di codice federato?

0:24 Un numero nel testo francese non torna del tutto. Lo verificherò alla fine. È sabato trentuno ottobre, e questo è The Daily Diff. Una tassa sui gigabyte addebita a un'azienda ogni gigabyte che invia alle persone, indipendentemente da quanto guadagna l'azienda. Pensate a un casello autostradale su internet che conta i byte invece delle auto, e la maggior parte delle auto sono video di gatti.

Prima storia: chi paga la tassa sui gigabyte in Francia, ed è già legge?

0:44 Storia uno. Venerdì, l'Assemblea Nazionale ha adottato l'emendamento tredici cinquantotto al disegno di legge sul bilancio duemila ventisette. Stabilisce cinque centesimi e mezzo di euro per gigabyte, dovuto dall'azienda che invia i dati agli abbonati francesi. Il testo ha tre parti in movimento. I fornitori di internet contano i dati che fluiscono ai loro clienti e riferiscono chi li ha inviati, ogni trimestre, senza guardare il contenuto. Il mittente deve la tassa; gli abbonati non devono nulla.

1:09 Se il mittente utilizza una rete di distribuzione dei contenuti, ciò che esce da quella rete conta come quello del mittente. Ecco la tariffa, dal testo francese. Il mittente deve il volume in gigabyte moltiplicato per cinque centesimi e mezzo. Cento gigabyte ammontano a cinque euro e cinquanta. Un limite massimo restringe il conto al quindici percento del fatturato francese del mittente, o al due percento del suo fatturato totale. L'inglese è la nostra traduzione.

1:34 La commissione ha respinto lo stesso testo il nove ottobre. Venerdì, il relatore del bilancio ha avvertito che le grandi piattaforme potrebbero scaricare il costo sugli inserzionisti. Il ministro ha detto che richiederebbe sensori di flusso, e che metà della tassa ricadrebbe su fornitori più piccoli, in particolare francesi. L'autore, del gruppo socialista, ha risposto che i servizi sono gratuiti, quindi non c'è nulla da scaricare. Trentacinque membri hanno votato. Dei ventuno voti contati, undici hanno detto sì e dieci hanno detto no.

2:01 È ancora solo un emendamento in prima lettura del disegno di legge sul bilancio, quindi votazioni successive dell'Assemblea e il Senato possono modificarlo o rimuoverlo. Il testo che ho letto non fissa una data di inizio. Il ventitré ottobre vi ho detto che Quad9 sta lasciando la Francia dopo una sentenza del tribunale. Questa volta l'obiettivo è il traffico stesso. Se inviate molti dati a utenti francesi, tenete d'occhio il Senato, e chiedete al vostro CDN cosa segnala per paese. Storia due. La società di sicurezza Parameter ha pubblicato come ha preso il controllo di account ChatGPT

Seconda storia: come un link ChatGPT condiviso ha raggiunto chat private?

2:29 utilizzando nient'altro che un link di conversazione condiviso. Ha segnalato il bug a OpenAI il diciotto ottobre. OpenAI lo ha classificato P uno, e il ventisei ottobre ha confermato la correzione. Parameter descrive la catena. Preview esegue HTML in un frame ristretto su un altro indirizzo. Un grafico sulla stessa pagina ha caricato una libreria matematica che ascolta i messaggi nella pagina principale. Quel listener ha accettato un messaggio senza verificare chi lo ha inviato, e il messaggio poteva contenere HTML.

2:57 L'HTML ha creato un nuovo frame, che è stato eseguito come chatgpt dot com. Nella versione automatica, l'apertura del link era l'unico clic. Parameter afferma che il suo codice di test ha elencato le conversazioni della vittima e ha letto una privata. Ha inviato solo un piccolo pezzo al proprio server per dimostrarlo, e OpenAI ha pagato una ricompensa di cinquemila dollari. La sandbox di Preview stessa ha retto. Il buco era il listener nella pagina principale. Parameter consiglia di controllare sia l'indirizzo del mittente che la finestra esatta,

3:26 e di non accettare mai HTML grezzo in un messaggio tra finestre. È un buon giorno per "grep" i propri gestori di messaggi. Storia tre, una breve.

Terza storia: cosa ha detto Scribd essere stato sottratto?

3:34 Scribd, la società dietro Slideshare ed Everand, ha un avviso nel centro assistenza riguardante un incidente di sicurezza, aggiornato l'ultima volta il primo ottobre. Dice che una parte non autorizzata è entrata nei suoi sistemi, poi ha raggiunto altri sistemi interni e le informazioni degli utenti. Per la maggior parte degli account, dice Scribd, ciò significava informazioni di base sull'account. Per un numero minore, sono state coinvolte informazioni più sensibili. Un avviso pubblicato da un utente su Hacker News lunedì elenca l'indirizzo e-mail e le ultime quattro cifre della carta.

4:02 Elenca anche l'emittente della carta e la data di scadenza, più il paese e la cronologia dei pagamenti. Scribd afferma che non ci sono prove di uso improprio. Gli avvisi differiscono per persona. Un outlet rumeno, Business 24, riferisce che gli avvisi lì elencano anche i titoli che le persone hanno letto o cercato. Scribd non ha detto quanti account sono stati interessati, e dice che gli avvisi vengono inviati a fasi, quindi nessuna email non significa che siete stati risparmiati. Cosa fare.

4:29 Scribd vi chiede di reimpostare la password su tutti e quattro i siti, quindi fatelo, e cambiatela ovunque l'abbiate riutilizzata. Diffidate di qualsiasi chiamata o email che conosca le ultime quattro cifre della vostra carta, perché un truffatore potrebbe conoscerle anche lui.

Quarta storia: cos'è un "forge" di codice federato?

4:42 Storia quattro. Tangled, un "forge" di codice costruito sul protocollo AT, il protocollo aperto su cui gira Bluesky, ha rilasciato una grande versione venerdì. Si autodefinisce il primo "forge" di codice veramente federato. Potete ospitare i vostri repository sul vostro server, che Tangled chiama un "knot" (nodo), e comunque collaborare con persone su altri nodi. Il cambiamento che conta è dove vive la discussione. Problemi, richieste di pull e commenti sono ora archiviati sul nodo, proprio accanto al codice, come catene di oggetti Git.

5:09 Un nodo potrebbe cercare di mettervi le parole in bocca, quindi ogni modifica scrive anche un record sul vostro server di dati personali. Tangled lo chiama verifica a due vie. Fino a questa versione, l'intera app web era un unico programma Go su un singolo database SQLite su un server in Svezia. Ora è un frontend Svelte all'edge, più un indicizzatore in sola lettura in Rust che gira in undici o più regioni. Se siete self-hoster, la versione vi chiede di aggiornare i vostri nodi alla versione uno

5:38 punto venti. Repository privati e uno strumento a riga di comando sono elencati per le prossime settimane. Questo è l'annuncio di Tangled, e non ho ancora trovato recensioni indipendenti.

Torniamo in Francia: la somma dei gigabyte torna?

5:47 Ora la somma che avevo promesso. La nota dell'emendamento francese cita duecento miliardi di gigabyte all'anno inviati agli abbonati francesi. A cinque centesimi e mezzo ciascuno, fanno undici miliardi di euro. La nota promette dieci miliardi. Non spiega il divario. Se preferite leggere questo piuttosto che sentirmi dirlo, il "diff" arriva nella vostra casella di posta ogni mattina, gratuitamente su thedailydiff dot dev, link qui sotto.

6:10 Quindi il verdetto di oggi è NEEDS REVIEW.

Verdetto: NEEDS REVIEW

6:13 Lo rivedrei perché la tassa francese è passata per un solo voto e non è ancora legge, la correzione di ChatGPT è descritta solo dai ricercatori, Scribd non ha detto quanti account sono stati colpiti, e l'affermazione di federazione di Tangled è la sua. Iscrivetevi, cliccate sulla campanella e ditemi nei commenti se l'avreste bollato diversamente. E questo è il "diff" di oggi. Sono Niko da Axrisi. Unite con responsabilità.

Fonti

1. Amendement n°I-1358, Projet de loi de finances pour 2027 (adopted October 30, 2026)Assemblée nationale
2. Compte rendu de la première séance du vendredi 30 octobre 2026Assemblée nationale
3. Amendement I-CF365 (rejected in the finance committee)Assemblée nationale
4. Budget 2027 : les députés votent une taxe au gigaoctetEurope 1
5. Do the Math: How We Took Over ChatGPT AccountsParameter Labs
6. Information about the recent security incidentScribd Help Center
7. Tell HN: Scribd Breached (notice text as posted by a user)Hacker News
8. Scribd notifică utilizatorii din România privind un incident de securitateBusiness24
9. The federated code forgeTangled