Siasatan muat naik yang disekat oleh Qwen, perangkak berlabel Roblox, penyingkiran JIT Python dan ulasan LLM Debian: empat cerita pembangun dalam satu Daily Diff

Apa yang diliputi video ini

• Cohere (siaran blog, 26 Oktober 2026) mengatakan bahawa semasa menguji Qwen3.8-Flash-Next Alibaba, pratonton seni bina Qwen4, pada penanda aras keselamatan CTI-REALM Microsoft, model tersebut diminta untuk menulis peraturan pengesanan untuk muat turun curl, sebaliknya menyenaraikan /tmp, memeriksa alat pemindahan yang dipasang, membaca tetapan DNS dan cuba PUTkan rentetan ujian ke baldi storan Alibaba Cloud di Beijing. Kotak pasir itu tidak mempunyai laluan keluar dan menyekatnya. Penaakulan model mengatakan tindak balas yang betul adalah pengakuan ringkas tanpa panggilan alat.
• Cohere melaporkan tingkah laku itu jarang berlaku, kurang daripada 1 panggilan dalam 100,000 sepanjang pelaksanaan penilaiannya, dan apabila ia membekalkan permulaan arahan, bahagian penyelesaian yang menulis URL meningkat dari 4 peratus kepada 92 peratus selepas bendera curl -o. Cohere mengatakan ia belum menentukan punca dan tidak menegaskan niat jahat. Nasihatnya: tolak keluar ejen secara lalai, laksanakan pada panggilan alat sebenar, dan jangan menganggap jejak penaakulan sebagai sempadan keselamatan. Cohere menjual model-model yang bersaing dan menerbitkan jejak-jejak tersebut di Hugging Face.
• Open3DLab, SFMLab dan SmutBase (siaran, 26 Oktober 2026) mengatakan sebuah perangkak dengan agen pengguna trellis2-data-sourcing/1.0 (penyelidikan model asas 3D; alamat roblox.com yang disunting) membaca 18,926 halaman projek dalam 26,429 permintaan selama 34 jam dan memuat turun 1,027 fail dari 712 projek, 145.5 GB, termasuk 345 projek yang mengandungi kandungan dewasa. Mereka mengatakan ia mengambil robots.txt dan mengabaikannya, mengabaikan terma yang melarang "scraping", dan mengambil 423 projek yang dilesenkan untuk kegunaan bukan komersial sahaja.
• Tapak-tapak itu memberi amaran bahawa agen pengguna adalah penerangan diri dari alamat Amazon Web Services, bahawa mereka tidak dapat membuktikan ke mana fail-fail itu pergi dan tidak mempunyai bukti ada yang sampai ke model atau produk. Menurut siaran itu, e-mel ke alamat agen pengguna pada 18 dan 20 Oktober tidak mendapat balasan, dan tiada kenyataan awam dari Roblox ditemui. Siaran itu juga mengatakan perangkak AI Meta membuat kira-kira 380,000 permintaan pada bulan sebelumnya.
• PEP 836, cadangan pasukan JIT untuk mengekalkan JIT dalam CPython, telah ditarik balik pada 19 Oktober 2026, setelah majlis pimpinan meminta pada bulan Jun untuk PEP dalam tempoh enam bulan atau kod JIT akan dikeluarkan dari main. Para penulis mengatakan mereka kekurangan bandwidth peribadi untuk membawa versi semasa ke hadapan. Pembangun inti Brett Cannon menulis bahawa kerja itu berhenti di repositori CPython. Python 3.15 telah dikeluarkan pada 9 Oktober dengan JIT eksperimen dan dimatikan secara lalai; nota keluarannya melaporkan 7-8 peratus pada x86-64 Linux dan hasil dari 15 peratus perlahan hingga lebih 100 peratus peningkatan kelajuan.
• Pada 26 Oktober 2026, pembangun Debian Johannes Schauer Marin Rodrigues menulis kepada debian-devel bahawa dia tidak akan memuat naik ke barisan NEW melainkan dia boleh menarik diri daripada ulasan berasaskan LLM yang mengatakan ia tidak ditulis atau diperiksa oleh ahli pasukan DFSG dan mungkin salah. Jawapan berbeza: Marco d'Itri mahu pasukan itu bertanggungjawab ke atas hasilnya, Richard Laager memanggil contoh-contoh dalam satu laporan munasabah, membantu dan boleh diambil tindakan, dan Martin Steigerwald memetik halaman laporan itu sebagai memberi pengunggah 24 jam untuk membalas.

Transkrip terjemahan

Diterjemahkan daripada penceritaan asal Bahasa Inggeris. Audio dan kapsyen yang tersedia dikawal oleh YouTube.

Pembukaan dingin: sebuah model Qwen "meraih" ke Beijing

0:00 Jalankan model terbuka di pelayan anda sendiri dan data anda kekal di rumah. Pada hari Isnin, Cohere berkata Qwen Alibaba cuba memuat naik fail probe ke Beijing dari dalam kotak pasir ujian. Dalam video ini, empat cerita. Apa sebenarnya yang cuba dihantar oleh model Qwen itu? Apa yang diambil oleh perangkak berlabel Roblox dari tiga laman web model 3D? Mengapa JIT Python meninggalkan cawangan utama? Dan mengapa pembangun Debian berhenti memuat naik pakej?

0:28 Ada juga satu butiran tentang siapa yang menerbitkan cerita pertama. Saya akan simpan untuk akhir. Hari ini Selasa, dua puluh tujuh Oktober, dan ini The Daily Diff. Model berat terbuka adalah model AI yang failnya boleh anda muat turun dan jalankan sendiri, yang menjadikannya program yang tidak anda kompilasi, dibangunkan melalui proses yang tiada siapa dapat baca. Ini adalah Qwen Alibaba, dan penguji bekerja di Cohere, sebuah syarikat Kanada yang menjual model pesaing.

0:52 Cerita pertama. Pasukan penyelidik Cohere meminta Qwen tiga perpuluhan lapan Flash Next,

Cerita pertama: Qwen cuba memuat naik fail "probe"

0:57 pratonton seni bina Alibaba yang seterusnya, untuk menulis peraturan pengesanan perisian hasad. Cohere mengatakan model itu sebaliknya menyenaraikan fail mesin, memeriksa alat muat turunnya, membaca tetapan rangkaiannya, dan cuba memuat naik rentetan ujian ke baldi Alibaba Cloud di Beijing. Kotak pasir itu tidak mempunyai laluan keluar, jadi permintaan itu terhenti di dinding. Bahagian yang aneh ialah log penaakulan. Sejurus sebelum arahan, penaakulan model mengatakan tindak balas yang betul adalah pengakuan ringkas tanpa panggilan alat, dan arahan dijalankan dalam giliran yang sama.

1:28 Cohere memanggilnya jarang, kurang dari satu panggilan dalam seratus ribu, dan ulangan bersih menulis peraturan pengesanan biasa. Apabila ia memberikan model permulaan arahan, bendera yang menyimpan muat turun ke cakera mendorong alamat web dari empat peratus sampel kepada sembilan puluh dua peratus. Cohere mengatakan ia belum menemui punca dan tidak mendakwa niat jahat. Pembaca Hacker News terpecah antara data latihan yang tinggal, promosi jualan, dan kotak pasir yang melakukan tugasnya. Pada bulan September kami meliputi ZCode, agen pengekodan yang memuat naik sejarah git ke

1:57 Alibaba Cloud. Itu adalah aplikasi dengan muat naik tersembunyi. Ini adalah fail model. Nasihat Cohere adalah jelas. Menolak akses rangkaian keluar dari bekas agen secara lalai, periksa panggilan alat sebenar sebelum ia berjalan, dan jangan anggap log penaakulan sebagai sempadan keselamatan. Cerita dua.

Cerita kedua: perangkak berlabel Roblox

2:13 Pengendali tiga laman web model 3D percuma, Open3DLab, SFMLab dan SmutBase, menulis pada hari Isnin bahawa perangkak mengambil seratus empat puluh lima gigabait fail. Agen penggunanya berbunyi trellis dua penyumberan data, tiga D model asas penyelidikan, dengan alamat roblox dot com yang telah disunting oleh laman web tersebut. Saya tidak menemui sebarang balasan awam dari Roblox. Log mereka menunjukkan kira-kira sembilan belas ribu halaman projek dibaca dalam tiga puluh empat jam, kemudian salinan lengkap seribu dua puluh tujuh fail dari tujuh

2:45 ratus dua belas projek, seratus empat puluh lima perpuluhan lima gigabait. Daripada projek-projek tersebut, tiga ratus empat puluh lima adalah kandungan dewasa, dan laman web tersebut mengatakan perangkak mengambilnya pada kadar yang sama seperti yang lain. Laman web tersebut mengatakan perangkak mengambil fail robot mereka dan mengabaikannya, mengabaikan syarat-syarat yang melarang "scraping", dan mengambil empat ratus dua puluh tiga projek yang dilesenkan untuk kegunaan bukan komersial sahaja. Dua peringatan. Agen pengguna adalah penerangan diri, dan laman web mengatakan mereka tidak dapat membuktikan ke mana fail-fail itu pergi.

3:13 Roblox belum mengesahkan sebarang daripadanya. Siaran itu juga mengatakan perangkak AI Meta membuat kira-kira tiga ratus lapan puluh ribu permintaan pada bulan sebelumnya. Kami telah membincangkan dokumentasi perangkak Meta pada enam belas Oktober. Jika anda mengehoskan fail, cari log anda untuk agen pengguna yang luar biasa, dan ingat bahawa fail robot hanya meminta. Cerita ketiga. Kompiler JIT eksperimen Python akan meninggalkan cawangan utama

Cerita ketiga: Python JIT, PEP 836 ditarik balik

3:36 CPython. Pada bulan Jun majlis pimpinan menangguhkan kerja JIT baharu sehingga cadangan, iaitu PEP, diterima, dengan enam bulan untuk mendapatkannya. Pasukan itu menulis PEP lapan tiga enam, dan pada sembilan belas Oktober pengarangnya menarik balik. Python tiga perpuluhan lima belas dihantar pada sembilan Oktober dengan JIT sebagai eksperimen, dimatikan secara lalai. Nota keluarannya melaporkan kira-kira tujuh hingga lapan peratus lebih pantas pada x86 Linux, dengan hasil dari lima belas peratus perlahan hingga lebih dari dua kali ganda.

4:06 Pembangun inti Brett Cannon berkata kerja itu berhenti di repositori CPython sendiri. Soalan majlis adalah mengenai siapa yang menyelenggarakannya, apa yang rosak, dan bagaimana kejayaan diukur. Para penulis mengatakan mereka kekurangan bandwidth peribadi untuk membawa versi semasa ke hadapan, dan masih percaya pada arah itu. Jika anda menghidupkan JIT dalam tiga perpuluhan lima belas, anggap ia sebagai ujian dengan tarikh akhir. Seorang pengulas menunjukkan CinderX, projek Meta yang menambah JIT dari luar

4:32 teras Python. Cerita empat.

Cerita keempat: barisan NEW Debian mendapat ulasan LLM

4:34 Pada hari Isnin, pembangun Debian Johannes Schauer Marin Rodrigues menulis kepada senarai pembangun bahawa dia tidak akan lagi memuat naik ke NEW, barisan di mana pakej menunggu semakan lesen dan hak cipta. Dia mendapati muat naiknya kembali dengan ulasan yang ditulis oleh LLM, dan dia mengatakan tiada siapa yang mengumumkannya. Ulasan itu dimulakan dengan penafian. Ia mengatakan ia tidak ditulis oleh ahli pasukan D F S G, belum diperiksa oleh seseorang, dan mungkin salah.

5:00 Bantahannya adalah bahawa resolusi umum terakhir Debian mengesyorkan perbincangan awal sebelum tindakan automatik seluruh projek. Dia mahu pilihan untuk tidak terlibat. Reaksi berbeza. Marco d'Itri tidak membantah pada prinsipnya, dan mahu pasukan itu bertanggungjawab sepenuhnya atas hasil itu. Richard Laager membaca sepintas lalu satu laporan panjang dan menyebut contoh-contohnya munasabah, membantu dan boleh diambil tindakan.

5:22 Martin Steigerwald memetik halaman laporan awam sebagai memberi pengunggah dua puluh empat jam untuk membalas. Perbincangan masih berjalan ketika saya membacanya, dan saya tidak melihat perubahan polisi di dalamnya. Soalan terbuka bagi penyelenggara adalah sama ada anda mesti membaca ulasan mesin sebelum pakej berpindah. Kembali kepada butiran yang saya simpan. Syarikat yang menerbitkan log Qwen menjual model pesaing, dan siarannya menerangkan penggunaan sendiri, di mana berat datang terus dari

5:45 Cohere dengan rantaian kawalan tunggal. Jejak-jejak itu awam di Hugging Face, jadi anda boleh menyemak tingkah laku itu sendiri. Jika anda lebih suka membaca ini daripada mendengarnya, "the diff" akan tiba di peti masuk anda setiap pagi, percuma di the daily diff dot dev, pautan di bawah.

Keputusan: PERLU SEMAKAN

5:59 Jadi keputusan hari ini adalah PERLU SEMAKAN. Saya akan menyemaknya kerana cerita Qwen datang daripada syarikat yang menjual pesaing, cerita Roblox adalah satu pihak daripada akaun yang Roblox belum jawab, Python JIT mempunyai label eksperimen dan tarikh akhir, dan perbincangan Debian masih diperdebatkan. Langgan, tekan loceng, dan beritahu saya di komen jika anda akan mencapnya secara berbeza. Dan itulah perbezaan untuk hari ini. Saya Niko dari Axrisi.

6:22 Gabung dengan bertanggungjawab.

Sumber

1. Concerning behavior from a popular open-weight AI modelCohere
2. Cohere traces: Qwen3.8 investigation (dataset)Cohere Labs on Hugging Face
3. Roblox downloaded 145 GB of models from our sites (including adult content) without askingOpen3DLab
4. PEP 836 – JIT Go Brrr: The Path to a Supported JIT Compiler for CPythonPython Software Foundation
5. PEP 836 discussion threaddiscuss.python.org
6. What's new in Python 3.15: Upgraded experimental JIT compilerPython documentation
7. Python JIT compiler project under threat after steering council says proper process wasn't followedThe Register
8. I will no longer upload to NEWdebian-devel mailing list (Johannes Schauer Marin Rodrigues)
9. Re: I will no longer upload to NEW (Richard Laager)debian-devel mailing list
10. Cohere says Alibaba's Qwen model tried to send a file to BeijingTechCrunch