# De gigabyte-belasting van Frankrijk, een overname van een gedeeld ChatGPT-account, de Scribd-inbreuk en Tangled's gefedereerde code-forge: vier ontwikkelaarsverhalen in één Daily Diff

Published: 2026-10-31

Vier ontwikkelaarsverhalen, elk toegeschreven aan de primaire bron. De Franse Nationale Vergadering nam een amendement aan dat contentproviders 0,055 euro per gigabyte die naar Franse internetabonnees wordt gestuurd, zou belasten, met 11 stemmen tegen 10 in de eerste lezing van het begrotingsvoorstel voor 2027 en nog geen wet; het beveiligingsbedrijf Parameter publiceerde hoe het ChatGPT-accounts overnam via een gedeelde gesprekslink, die OpenAI als P1 beoordeelde en bevestigde op 26 oktober te zijn opgelost; Scribd, het bedrijf achter Slideshare, Everand en Fable, publiceerde een melding van een beveiligingsincident en stuurt e-mails naar getroffen gebruikers; en Tangled bracht een gefedereerde code-forge uit op het AT-protocol. De cijfers zijn van de bronnen zelf, verschillende vragen staan nog open en het oordeel is NEEDS REVIEW.

Canonical: https://thedailydiff.dev/nl/video/2026-10-31-gigabyte-tax-chatgpt-scribd-tangled/

## Wat deze video behandelt

- Op vrijdag 30 oktober 2026 nam de Franse Nationale Assemblee amendement I-1358 op de begrotingswet van 2027 (eerste lezing, wetsvoorstel nr. 3210) aan, dat een belasting creëert op digitale gegevensstromen die door contentproviders worden verzonden. De tekst stelt 0,055 euro per gigabyte vast, te betalen door de afzender; internetproviders tellen de gegevens die naar hun klanten gaan per afzender, anoniem en zonder naar de inhoud te kijken, en rapporteren dit driemaandelijks aan de belastingdienst, en de uitstroom van een content delivery network telt als die van de afzender. De stemming was 11 voor en 10 tegen van de 21 getelde stemmen, met 35 leden die stemden, tegen de adviezen van de begrotingsrapporteur en de minister in. De Engelse vertalingen van de Franse tekst in deze video zijn van ons.
- Het amendement beperkt de belasting tot 15 procent van de omzet van de afzender in Frankrijk of 2 procent van de totale omzet. De toelichting verwacht ongeveer 10 miljard euro en citeert een ARCEP-schatting van 200 miljard gigabytes per jaar die naar Franse abonnees worden gestuurd; 200 miljard keer 0,055 is 11 miljard, en de toelichting verklaart het verschil niet. Dezelfde tekst werd op 9 oktober in de financiële commissie verworpen. De maatregel is niet definitief: deze kan nog steeds worden gewijzigd of verwijderd in latere stemmingen van de Assemblee en in de Senaat, en de tekst die voor deze video is gelezen, stelt geen startdatum vast.
- Parameter Labs zegt dat het ChatGPT-accounts heeft overgenomen met behulp van een openbare gedeelde-conversatielink. Volgens hun bericht van 28 oktober 2026, liet een keten van gewone functies, een HTML-voorbeeld in een beperkt frame, een grafiek die een wiskundige bibliotheek laadde met een berichtlistener in de hoofdpagina, en een listener die een bericht accepteerde zonder de afzender te controleren, hun code als chatgpt.com draaien in de sessie van het slachtoffer, gesprekken weergeven en een privé-gesprek lezen. Ze meldden de bug op 18 oktober; OpenAI reproduceerde deze, verhoogde de ernst van P2 naar P1, bevestigde op 26 oktober dat beide webfrontends de berichten afwezen, en kende een beloning van 5.000 dollar toe. Het verslag van de kwetsbaarheid is van Parameter.
- Parameter adviseert om zowel de oorsprong van de afzender als het exacte venster in berichthandlers te controleren, nooit onbewerkte HTML te accepteren in berichten tussen vensters, en Content Security Policy als een back-upcontrole te behandelen. Ze melden dat de Preview-sandbox zelf standhield; het probleem was een listener op de hoofdpagina.
- De mededeling van Scribd's helpcentrum, voor het laatst bijgewerkt op 1 oktober 2026, zegt dat een ongeautoriseerde partij toegang heeft gekregen tot hun systemen, andere interne systemen heeft bereikt en toegang heeft gehad tot gebruikersinformatie: basis accountinformatie voor de meeste accounts en meer gevoelige informatie voor een kleiner aantal. Het zegt dat de kwetsbaarheid is gesloten, externe experts zijn ingeschakeld, wetshandhavings- en gegevensbeschermingsautoriteiten zijn geïnformeerd, en het beveelt aan om wachtwoorden te resetten voor Scribd, Slideshare, Everand en Fable. Een mededeling die op 26 oktober op Hacker News werd geplaatst, vermeldt het e-mailadres, de laatste vier cijfers van de kaart, de kaartuitgever, de vervaldatum, het land en de betalingsgeschiedenis, en zegt dat er geen bewijs van misbruik is. Scribd heeft niet gepubliceerd hoeveel accounts zijn getroffen.
- Tangled, een code forge gebouwd op het AT Protocol, kondigde op 30 oktober 2026 een belangrijke release aan en noemt zichzelf de eerste echt gefedereerde code forge. Repositories kunnen op je eigen server (een knooppunt) worden gehost, terwijl je samenwerkt met andere knooppunten. Issues, pull requests en opmerkingen worden nu op het knooppunt opgeslagen als ketens van Git-objecten, en elke bewerking schrijft ook een attestatierecord naar de persoonlijke gegevensserver van de auteur. De web-app verhuisde van één Go-programma op één SQLite-database in Zweden naar een Svelte-frontend aan de rand met een alleen-lezen Rust-indexer in meer dan 11 regio's. Zelfhosters moeten knooppunten upgraden naar v1.20.0; privé-repositories, een CLI en SDK's staan gepland voor de komende weken. Dit zijn de eigen claims van Tangled.

## Vragen en antwoorden

### Wat zegt het Franse amendement voor de gigabyte-belasting, en is het al wet?

De tekst van het Franse Nationale Assemblee voor amendement I-1358 stelt 0,055 euro per gigabyte vast, te betalen door het bedrijf dat de gegevens naar Franse internetabonnees stuurt, met een maximum van 15 procent van de Franse omzet of 2 procent van de totale omzet. Het werd op 30 oktober met 11 tegen 10 stemmen aangenomen in de eerste lezing van de begrotingswet van 2027, dus het is geen wet: de Senaat en latere stemmingen kunnen het nog wijzigen.

### Hoe namen onderzoekers ChatGPT-accounts over via een gedeelde link, en is het opgelost?

Parameter Labs zegt dat een openbare gedeelde ChatGPT-link hun code als chatgpt.com kon uitvoeren in de sessie van het slachtoffer. De berichtlistener van een wiskundige bibliotheek op de hoofdpagina accepteerde een bericht van de sandboxed Preview zonder de afzender te controleren, en het bericht kon HTML bevatten. Parameter meldde het op 18 oktober; OpenAI beoordeelde het als P1, bevestigde de fix op 26 oktober en betaalde een beloning van 5.000 dollar.

### Wat zei Scribd dat er was blootgelegd bij hun beveiligingsincident, en wat moeten gebruikers doen?

De melding van Scribd's helpcentrum, voor het laatst bijgewerkt op 1 oktober, zegt dat een ongeautoriseerde partij toegang kreeg tot interne systemen en gebruikersinformatie: basis accountgegevens voor de meeste accounts en meer gevoelige gegevens voor een kleiner aantal. Een melding op Hacker News vermeldt het e-mailadres, de laatste vier kaartcijfers, uitgever, vervaldatum, land en betalingsgeschiedenis. Scribd raadt aan om wachtwoorden te resetten op Scribd, Slideshare, Everand en Fable en heeft niet gezegd hoeveel accounts zijn getroffen.

### Wat is Tangled, en hoe slaat het issues en pull requests op in een gefedereerde code-forge?

Tangled is een code-forge gebouwd op het AT Protocol dat zichzelf de eerste echt gefedereerde code-forge noemt. Volgens hun aankondiging van 30 oktober host je repositories op je eigen server, een knooppunt genaamd, en issues, pull requests en opmerkingen worden daar opgeslagen als ketens van Git-objecten. Elke bewerking schrijft ook een attestatierecord naar je eigen persoonlijke gegevensserver. Zelfhosters moeten knooppunten upgraden naar v1.20.0.

### Wat was The Daily Diff's oordeel over deze vier verhalen?

Het oordeel van The Daily Diff was NEEDS REVIEW. De Franse belasting is met één stem aangenomen en is nog geen wet, de ChatGPT-fix wordt alleen beschreven door de onderzoekers van Parameter, Scribd heeft niet gezegd hoeveel accounts zijn getroffen, en de federatieclaim van Tangled is hun eigen aankondiging, dus elke bron verdient het om gelezen te worden voordat er actie wordt ondernomen.

## Hoofdstukken

- 0:00 Korte intro: wie betaalt voor een gigabyte in Frankrijk?
- 0:44 Verhaal één: wie betaalt de gigabyte-belasting van Frankrijk, en is het al wet?
- 2:25 Verhaal twee: hoe bereikte een gedeelde ChatGPT-link privé-chats?
- 3:33 Verhaal drie: wat zei Scribd dat er gestolen was?
- 4:42 Verhaal vier: wat is een gefedereerde code-forge?
- 5:47 Terug naar Frankrijk: klopt de gigabyte-som?
- 6:11 Oordeel: NEEDS REVIEW

## Vertaald transcript

Vertaald vanuit de originele Engelse gesproken tekst. Beschikbare audio en ondertiteling worden beheerd door YouTube.

### Korte intro: wie betaalt voor een gigabyte in Frankrijk?

0:00 Internetbelastingen tellen meestal inkomsten of winst. De Franse Nationale Assemblee heeft net een wet aangenomen die gigabytes telt, vijfenhalve eurocent per stuk, met elf stemmen tegen tien. In deze video, vier verhalen. Wie betaalt de gigabyte-belasting van Frankrijk, en is het al wet? Hoe bereikte een gedeelde ChatGPT-link privé-chats? Wat zei Scribd dat er gestolen was? En wat is een gefedereerde code-forge?

0:24 Een getal in de Franse tekst klopt niet helemaal. Ik zal het aan het eind controleren. Het is zaterdag eenendertig oktober, en dit is The Daily Diff. Een gigabyte-belasting rekent een bedrijf aan voor elke gigabyte die het naar mensen stuurt, wat het bedrijf ook verdient. Denk aan een tolhuisje op internet dat bytes telt in plaats van auto's, en de meeste auto's zijn kattenvideo's.

### Verhaal één: wie betaalt de gigabyte-belasting van Frankrijk, en is het al wet?

0:44 Verhaal één. Op vrijdag heeft de Nationale Assemblee amendement dertienhonderdvijftig acht op de begrotingswet van tweeduizendzevenentwintig aangenomen. Het stelt vijfenhalve eurocent per gigabyte vast, te betalen door het bedrijf dat de gegevens naar Franse abonnees stuurt. De tekst heeft drie bewegende delen. Internetproviders tellen de gegevens die naar hun klanten stromen en rapporteren wie het verstuurde, elk kwartaal, zonder naar de inhoud te kijken. De afzender is de belasting verschuldigd; abonnees zijn niets verschuldigd.

1:09 Als de afzender een content delivery network gebruikt, telt wat dat netwerk verlaat als die van de afzender. Hier is het tarief, uit de Franse tekst. De afzender is het volume in gigabytes maal vijfenhalve cent verschuldigd. Honderd gigabytes komt neer op vijf euro vijftig. Een plafond beperkt de rekening tot vijftien procent van de Franse omzet van de afzender, of twee procent van de totale omzet. Het Engels is onze vertaling.

1:34 De commissie verwierp dezelfde tekst op negen oktober. Op vrijdag waarschuwde de begrotingsrapporteur dat grote platforms de kosten konden doorberekenen aan adverteerders. De minister zei dat er flowsensoren voor nodig waren, en dat de helft van de belasting zou neerkomen op kleinere, met name Franse, providers. De auteur, van de Socialistische fractie, antwoordde dat de diensten gratis zijn, dus er is niets door te berekenen. Vijfendertig leden stemden. Van de eenentwintig getelde stemmen zeiden er elf ja en tien nee.

2:01 Het is nog steeds slechts een amendement in de eerste lezing van de begrotingswet, dus latere stemmingen van de Assemblee en de Senaat kunnen het wijzigen of verwijderen. De tekst die ik las stelt geen startdatum vast. Op drieëntwintig oktober vertelde ik u dat Quad9 Frankrijk verlaat na een rechterlijke uitspraak. Deze keer is het doel het verkeer zelf. Als u veel gegevens naar Franse gebruikers stuurt, let dan op de Senaat, en vraag uw CDN wat het per land rapporteert. Verhaal twee. De beveiligingsfirma Parameter publiceerde hoe het ChatGPT-accounts overnam

### Verhaal twee: hoe bereikte een gedeelde ChatGPT-link privé-chats?

2:29 met niets anders dan een gedeelde conversatielink. Het meldde de bug aan OpenAI op achttien oktober. OpenAI beoordeelde het als P1, en op zesentwintig oktober bevestigde de fix. Parameter beschrijft de keten. Preview draait HTML in een beperkt frame op een ander adres. Een grafiek op dezelfde pagina laadde een wiskundige bibliotheek die luistert naar berichten op de hoofdpagina. Die listener accepteerde een bericht zonder te controleren wie het stuurde, en het bericht kon HTML bevatten.

2:57 De HTML maakte een nieuw frame, dat draaide als chatgpt.com. In de automatische versie was het openen van de link de enige klik. Parameter zegt dat hun testcode de gesprekken van het slachtoffer weergaf en een privé-gesprek las. Het stuurde slechts een klein stukje naar hun eigen server om het te bewijzen, en OpenAI betaalde een beloning van vijfduizend dollar. De Preview-sandbox zelf hield stand. Het gat was de listener op de hoofdpagina. Parameter adviseert om zowel het adres van de afzender als het exacte venster te controleren,

3:26 en nooit onbewerkte HTML te accepteren in een bericht tussen vensters. Het is een goede dag om uw eigen berichthandlers te doorzoeken. Verhaal drie, een kort verhaal.

### Verhaal drie: wat zei Scribd dat er gestolen was?

3:34 Scribd, het bedrijf achter Slideshare en Everand, heeft een bericht in het helpcentrum over een beveiligingsincident, voor het laatst bijgewerkt op één oktober. Het zegt dat een ongeautoriseerde partij toegang kreeg tot hun systemen, en vervolgens andere interne systemen en gebruikersinformatie bereikte. Voor de meeste accounts, zegt Scribd, betekende dat basis accountinformatie. Voor een kleiner aantal was meer gevoelige informatie betrokken. Een bericht dat een gebruiker op maandag op Hacker News plaatste, vermeldt het e-mailadres en de laatste vier kaartcijfers.

4:02 Het vermeldt ook de kaartuitgever en vervaldatum, plus land en betalingsgeschiedenis. Scribd zegt dat er geen bewijs van misbruik is. Mededelingen verschillen per persoon. Een Roemeense outlet, Business 24, meldt dat mededelingen daar ook de titels vermelden die mensen lazen of zochten. Scribd heeft niet gezegd hoeveel accounts er getroffen zijn, en het zegt dat meldingen in fasen worden verstuurd, dus geen e-mail betekent niet dat u gespaard bent gebleven. Wat te doen.

4:29 Scribd vraagt u om uw wachtwoord op alle vier de sites te resetten, dus doe het, en wijzig het overal waar u het hebt hergebruikt. Wees op uw hoede voor elk telefoontje of e-mail die de laatste vier cijfers van uw kaart kent, omdat een oplichter ze misschien ook kent.

### Verhaal vier: wat is een gefedereerde code-forge?

4:42 Verhaal vier. Tangled, een code-forge gebouwd op het AT Protocol, het open protocol waarop Bluesky draait, heeft vrijdag een grote release uitgebracht. Het noemt zichzelf de eerste echt gefedereerde code-forge. U kunt uw repositories hosten op uw eigen server, die Tangled een knooppunt noemt, en nog steeds samenwerken met mensen op andere knooppunten. De belangrijke verandering is waar de discussie plaatsvindt. Issues, pull requests en opmerkingen worden nu op het knooppunt opgeslagen, direct naast de code, als ketens van Git-objecten.

5:09 Een knooppunt zou kunnen proberen u woorden in de mond te leggen, dus elke bewerking schrijft ook een record naar uw eigen persoonlijke gegevensserver. Tangled noemt het tweewegverificatie. Tot deze release was de hele web-app één Go-programma op één SQLite- database op één server in Zweden. Nu is het een Svelte-frontend aan de rand, plus een alleen-lezen indexer in Rust die draait in elf of meer regio's. Als u zelf host, vraagt de release u om uw knooppunten te upgraden naar versie één

5:38 punt twintig. Privé-repositories en een opdrachtregeltool staan gepland voor de komende weken. Dit is de eigen aankondiging van Tangled, en ik heb nog geen onafhankelijke review gevonden.

### Terug naar Frankrijk: klopt de gigabyte-som?

5:47 Nu de som die ik beloofde. De eigen notitie van het Franse amendement noemt tweehonderd miljard gigabytes per jaar die naar Franse abonnees worden gestuurd. Tegen vijfenhalve cent per stuk, is dat elf miljard euro. De notitie belooft tien miljard. Het verklaart het verschil niet. Als u dit liever leest dan mij het hoort zeggen, landt de diff elke ochtend gratis in uw inbox, op the daily diff dot dev, link hieronder.

6:10 Dus het oordeel van vandaag is NEEDS REVIEW.

### Oordeel: NEEDS REVIEW

6:13 Ik zou het bekijken omdat de Franse belasting met één stem is aangenomen en nog geen wet is, de ChatGPT-fix wordt alleen beschreven door de onderzoekers, Scribd heeft niet gezegd hoeveel accounts zijn getroffen, en de federatieclaim van Tangled is van henzelf. Abonneer, druk op de bel, en vertel me in de comments of u het anders had gestempeld. En dat is de diff voor vandaag. Ik ben Niko van Axrisi. Verantwoord samenvoegen.

## Bronnen

- [Amendement n°I-1358, Projet de loi de finances pour 2027 (adopted October 30, 2026)](https://www.assemblee-nationale.fr/dyn/17/amendements/3210A/AN/1358) — Assemblée nationale
- [Compte rendu de la première séance du vendredi 30 octobre 2026](https://www.assemblee-nationale.fr/dyn/17/comptes-rendus/seance/session-ordinaire-de-2026-2027/premiere-seance-du-vendredi-30-octobre-2026) — Assemblée nationale
- [Amendement I-CF365 (rejected in the finance committee)](https://www.assemblee-nationale.fr/dyn/17/amendements/3210A/CION_FIN/CF365.pdf) — Assemblée nationale
- [Budget 2027 : les députés votent une taxe au gigaoctet](https://www.europe1.fr/politique/budget-2027-les-deputes-votent-une-taxe-au-gigaoctet-1197300) — Europe 1
- [Do the Math: How We Took Over ChatGPT Accounts](https://www.parameter.ai/labs/we-found-a-gap-at-openai) — Parameter Labs
- [Information about the recent security incident](https://support.scribd.com/hc/en-us/articles/53787421531284-Information-about-the-recent-security-incident) — Scribd Help Center
- [Tell HN: Scribd Breached (notice text as posted by a user)](https://news.ycombinator.com/item?id=50312756) — Hacker News
- [Scribd notifică utilizatorii din România privind un incident de securitate](https://business24.ro/incident-de-securitate/scribd-notificare-utilizator-romania-incident-securitate-conturi-1673136) — Business24
- [The federated code forge](https://tangled.org/blog/forge/) — Tangled