# Jepsenov izveštaj o ParticleDB-u, Lenovo USB stick sa otiskom prsta, Karpathyjev HackerTube i Linux TCP greška CVE-2026-98432: četiri priče o programerima u jednom Daily Diff-u

Published: 2026-11-02

Četiri priče o programerima, svaka pripisana svom izvoru. Jepsenova analiza baze podataka ParticleDB otkrila je 96 problema, uključujući izgubljene potvrđene zapise u podrazumevanom režimu transakcija poslednje testirane verzije, i preporučuje obustavljanje implementacije; test je finansirao Orkes, koji kaže da će njihova sledeća verzija sve popraviti. Lenovo ThinkPlus FU100 USB stick sa otiskom prsta, prodavan kao AES-256 šifrovan, sadržao je običnu SD karticu sa ničim šifrovanim, prema istraživaču Xusheng Liju, kako je izvestio Tom's Hardware. Andrej Karpathy je za oko dva sata napravio HackerTube, sajt sa 6.454 YouTube video snimaka preporučenih u komentarima Hacker News-a. I Linux kernel CVE-2026-98432, IPv4 TCP use-after-free sa ocenom 9.8, zahteva zakrpljen kernel i ponovno pokretanje. Presuda je REVERT.

Canonical: https://thedailydiff.dev/sr-Latn/video/2026-11-01-particledb-lenovo-tcp-hackertube/

## Šta ovaj video pokriva

- Jepsen, laboratorija za testiranje baza podataka koju vodi Kyle Kingsbury, objavila je svoju analizu ParticleDB-a 31. oktobra 2026. ParticleDB je Rust baza podataka kompanije Orkes namenjena AI agentima; Orkes je finansirao rad. Jepsen je testirao verzije 1.1.4 do 1.1.18.11.rc-22 na jednom čvoru i predstavio 96 problema, od kojih je većini bio potreban jedan server, jedan klijent i bez grešaka. Primeri u izveštaju: WHERE 4 = 5 klauzula je vratila redove sa primarnim ključem 5, WHERE TRUE nije odgovaralo ničemu, a UPDATE je mogao ostaviti više redova sa istim primarnim ključem.
- Početna stranica ParticleDB-a je oglašavala 'Full ACID. 159K TPS.' i TLA+ dokaz, ali Jepsen kaže da TLA+ specifikacija nije bila dostupna tokom saradnje, a tekst pod 'Full ACID' je govorio o izolaciji snimka. U 1.1.18.11.rc-22, poslednjoj verziji koju je Jepsen testirao, podrazumevani occ režim transakcije je i dalje gubio potvrđene zapise tokom normalnog rada, a najstroži serijalizabilni režim je dozvoljavao Lost Update nakon gašenja procesa. Orkes kaže da verzija 1.1.19-rc.13 rešava sve preostale probleme; Jepsen je nije ocenio i preporučuje korisnicima da obustave dalju implementaciju ParticleDB-a i pređu na druge baze podataka.
- Bezbednosni istraživač Xusheng Li otkrio je da Lenovo ThinkPlus FU100 USB stick sa otiskom prsta, reklamiran kao hardverski šifrovan sa AES-256, sadrži običnu SD karticu čiji podaci nisu bili šifrovani; čitač otiska prsta je samo uključivao USB vezu. On je to prijavio 2. avgusta 2025., a Lenovova prva popravka je bio sloj epoksida preko SD kartice. Lenovo je svoju objavu ocenio visokom, a kasnija popravka za FU100 i srodne diskove zahteva pozivanje servisne linije u Kini, zatim zamenu ili nadogradnju firmvera na licu mesta, prema Tom's Hardware-u.
- U nastavku, kako je izvestio Tom's Hardware, Li je koristio OpenAI-jev Codex sa alatom za obrnuti inženjering svog poslodavca protiv softvera za USB zaštitu drugih proizvođača; Netac-ov je trajao oko sedam minuta jer je imao ugrađen fiksni ključ i zapisivao lozinku u dijagnostičke logove, a disk drugog dobavljača je imao dva skrivena naloga koje Li naziva "backdoor-ima". Za podatke na USB sticku, šifrujte datoteke softverom koji kontrolišete pre nego što stignu na uređaj.
- 31. oktobra 2026. Andrej Karpathy je opisao HackerTube, sajt u stilu YouTube-a na hackertube.org, izgrađen sa njegovim agentom za kodiranje za oko dva sata. Agent je preuzeo komentare Hacker News-a, filtrirao spam i zadržao oko 40.000 koji preporučuju YouTube video, što je rezultiralo sa 6.454 video snimaka od 2007. do 2026. godine u 150 tema. Sajt prikazuje kadar na 50 posto umesto otpremljene sličice. Karpathy navodi svoje ručne korake kao Google Cloud API ključ, server i domen.
- CVE-2026-98432 je use-after-free u IPv4 TCP rukovanju Linux kernela, ocenjen CVSS 9.8, dostupan udaljenom peeru bez prijave. Popravka Erica Dumazeta je zamenila dva obična kfree poziva sa kfree\_rcu u commitu od 1. oktobra; stabilni kerneli sa popravkom su isporučeni 11. i 15. oktobra, a greška datira još od Linuxa 4.4. Red Hat je 30. oktobra podigao svoju ocenu sa Important na Critical. Ubuntu i Red Hat Enterprise Linux nisu naveli fiksni kernel u subotu uveče, 31. oktobra. Instalirajte fiksni kernel svoje distribucije i ponovo pokrenite sistem, uključujući hostove kontejnera, jer kontejneri dele host kernel.
- Anthropic kaže da je Claude napisao funkcionalni eksploat za Linux servere sa multipath TCP slušačem, i da u svom dokazu koncepta traje 48 minuta da iscuri kernel pointer i još pet minuta da se pokrene shell komanda; eksploat nije objavljen. Go Security Team napominje da Go programi podrazumevano omogućavaju multipath TCP slušaoce od Go 1.24 i upozorava da sistemi bez tog slušača mogu biti ranjivi na slične napade. Red Hat i AlmaLinux objavljuju pravilo za firewall koje odbacuje IPv4 TCP pakete sa IP opcijama, za koje Red Hat kaže da smanjuje izloženost i ne sprečava u potpunosti eksploataciju.

## Pitanja i odgovori

### Šta je Jepsen pronašao u ParticleDB bazi podataka i šta preporučuje?

Jepsenova analiza ParticleDB-a, objavljena 31. oktobra 2026. i finansirana od strane Orkesa, predstavlja 96 problema u verzijama 1.1.4 do 1.1.18.11.rc-22, uključujući WHERE 4 = 5 koji vraća redove. U poslednjem testiranom izdanju, podrazumevani režim transakcija je i dalje gubio potvrđene zapise tokom normalnog rada. Jepsen preporučuje korisnicima da obustave dalju implementaciju ParticleDB-a i pređu na druge baze podataka.

### Da li je Lenovo ThinkPlus FU100 USB stick sa otiskom prsta zaista bio AES-256 šifrovan?

Prema istraživaču Xusheng Liju, kako je izvestio Tom's Hardware i HackingPassion, FU100 je reklamiran kao AES-256 hardverski šifrovan, ali je sadržao običnu SD karticu sa ničim šifrovanim. Čitač otiska prsta je samo omogućavao USB vezu. Lenovova prva popravka je bio epoksid preko kartice, a kasnija popravka zahteva pozivanje servisne linije u Kini radi zamene ili nadogradnje firmvera na licu mesta.

### Šta je HackerTube i kako ga je Andrej Karpathy napravio?

HackerTube na hackertube.org je sajt u stilu YouTube-a sa 6.454 video snimka preporučenih u komentarima Hacker News-a od 2007. do 2026. godine, pokrivajući 150 tema. Karpathyjeva objava kaže da je njegov agent za kodiranje preuzeo komentare, filtrirao spam i zadržao oko 40.000 koji preporučuju video, i da izrada traje oko dva sata. Njegovi ručni koraci bili su Google Cloud API ključ, server i domen.

### Kako da popravim Linux kernel CVE-2026-98432, i koje distribucije imaju zakrpljen kernel?

Instalirajte fiksni kernel vaše distribucije i ponovo pokrenite sistem, uključujući hostove kontejnera i Kubernetes čvorove, pošto kontejneri dele host kernel. Greška je IPv4 TCP use-after-free sa ocenom CVSS 9.8, popravljena uzvodno u stabilnim kernelima 11. i 15. oktobra. Prema Atlasu 31. oktobra, Debian, SUSE i Amazon Linux su imali popravke, dok Ubuntu i Red Hat Enterprise Linux nisu; Red Hat objavljuje mitigaciju putem firewall-a koja smanjuje izloženost.

### Kakva je bila presuda The Daily Diff-a o ove četiri priče?

Presuda The Daily Diff-a je bila REVERT. Jepsenov savet za ParticleDB je da se obustavi dalja implementacija i migrira, a Linux CVE-2026-98432 kernel greška zahteva zakrpljen kernel i ponovno pokretanje, pri čemu Anthropic-ov sopstveni dokaz koncepta traje 48 minuta da iscuri kernel pointer i još pet minuta da pokrene shell komandu.

## Poglavlja

- 0:00 Hladno otvaranje: kako klauzula where kaže da je četiri jednako pet?
- 0:44 Priča prva: šta je Jepsen pronašao u ParticleDB-u?
- 2:17 Priča druga: šta je bilo unutar Lenovo USB sticka sa otiskom prsta?
- 3:31 Priča treća: šta je Karpathy napravio jednog jutra?
- 4:22 Priča četvrta: šta zakrpite za CVE-2026-98432?
- 5:43 Nazad na štopericu: koliko je trajao eksploat?
- 6:02 Presuda: REVERT

## Preveden transkript

Prevedeno sa originalne engleske naracije. Dostupan audio i titlovi kontrolisani su od strane YouTube-a.

### Hladno otvaranje: kako klauzula where kaže da je četiri jednako pet?

0:00 Baza podataka koja oglašava "Full ACID" treba da čuva ono što upišete. Jepsen je testirao jednu i pronašao devedeset šest problema, uključujući klauzulu "where" koja je govorila četiri jednako pet i ipak vraćala redove. U ovom videu, četiri priče. Šta je Jepsen pronašao u bazi podataka koja je tvrdila "Full ACID"? Šta je bilo unutar USB sticka sa otiskom prsta koji se prodavao kao šifrovan? Šta je Andrej Karpathy napravio jednog jutra? I šta zakrpite za Linux mrežnu grešku?

0:26 Jedna od tih grešaka dolazi sa štopericom. Pročitaću vam je na kraju. Nedelja je, prvog novembra, i ovo je The Daily Diff. Jepsen je laboratorija za testiranje Kyle Kingsbury-ja. Ona pokreće bazu podataka kroz stvarne radne tokove i kvarove i proverava da li se garancije na veb lokaciji održavaju. Zamislite inspektora koji stvarno otvara frižider.

### Priča prva: šta je Jepsen pronašao u ParticleDB-u?

0:44 Priča prva. U subotu je Jepsen objavio svoj izveštaj o ParticleDB-u, Rust bazi podataka od Orkesa namenjenoj AI agentima. Orkes je platio za rad. Početna stranica je govorila "Full ACID", sto pedeset devet hiljada transakcija po sekundi. Jepsen je testirao ParticleDB od prve verzije 1.1 do kasne verzije kandidata za izdanje. Sajt ga je nazvao formalno dokazanim, sa TLA plus dokazom. Jepsen kaže da TLA plus specifikacija nije bila dostupna tokom rada.

1:10 Ispod linije "Full ACID", ista stranica je govorila o izolaciji snimka, koja nije potpuno izolovana. Greške nisu bile suptilne. Većini je bio potreban jedan server, jedan klijent i bez ubrizganih kvarova. Klauzula "where" koja je govorila četiri jednako pet vratila je redove. Klauzula "where" koja je govorila true nije odgovarala ničemu. Ažuriranja su ostavila dva reda sa istim primarnim ključem. Poslednje izdanje koje je Jepsen testirao, kandidat za izdanje dvadeset dva,

1:36 bilo je mnogo sigurnije. Čak i tako, podrazumevani režim transakcija je izgubio potvrđene zapise tokom normalnog rada. Najstroži režim je i dalje dozvoljavao izgubljene nadogradnje nakon prekida procesa. Orkes kaže da njihovo sledeće izdanje sve ovo popravlja. Jepsen to nije testirao. Dakle, u tom poslednjem izdanju, baza podataka koja je obećavala "Full ACID" mogla je izgubiti zapis koji je već bio potvrđen. Brzina je, pretpostavljam, bila odlična.

2:00 Jepsenov savet je jasan. Obustavite dalju implementaciju ParticleDB-a i migrirajte na drugu bazu podataka što je pre moguće. Orkes krivi prolećni refaktor i kaže da njihovi sopstveni kupci, na starijoj verziji, verovatno nisu bili pogođeni. Dokumentacija pohranjenih procedura je čak izmislila imejl adresu za Kyle Kingsbury-ja. Priča druga. Lenovo ThinkPlus FU sto je USB stick sa otiskom prsta

### Priča druga: šta je bilo unutar Lenovo USB sticka sa otiskom prsta?

2:21 reklamiran kao hardverski šifrovan sa AES dve stotine pedeset šest. Bezbednosni istraživač Xusheng Li ga je rastavio i pronašao običnu SD karticu, sa ničim na njoj šifrovanim. Čitač otiska prsta je odlučivao samo jednu stvar, da li je stick povezan sa računarom. Datoteke na kartici nikada nisu zavisile od toga. Li je prijavio grešku Lenovu u avgustu dve hiljade dvadeset pete. Prva popravka je bio sloj epoksida preko SD kartice. Dakle, datoteke nikada nisu bile šifrovane.

2:47 Čekaj, to je samo SD kartica? Uvek je i bila. Lenovo je svoju sopstvenu objavu ocenio visokom. Kasnija popravka, za FU sto i tri srodna drajva, znači pozivanje servisne linije u Kini, a zatim ili slanje drajva nazad ili dobijanje nadogradnje firmvera na licu mesta. Lenovo savetuje brisanje drajva prvo. Prošle nedelje Li je usmerio OpenAI-jev Codex, plus alat za obrnuti inženjering svog poslodavca,

3:09 na softver za USB zaštitu drugih proizvođača. Netac-ov je trajao oko sedam minuta, jer je imao ugrađen fiksni ključ i zapisivao lozinku u dijagnostičke logove. Jedan drajv je imao dva skrivena naloga koje Li naziva "backdoor-ima". Ako je sigurnost drajva u hardveru, proverite to sami. Šifrujte datoteke softverom koji kontrolišete pre nego što stignu na stick, i tretirajte otisak prsta kao pogodnost.

### Priča treća: šta je Karpathy napravio jednog jutra?

3:31 Priča treća, ona lagana. U petak uveče Andrej Karpathy je otvorio YouTube, video je ono što je nazvao "začepanim zidom mulja", i u subotu ujutro je rekao svom agentu za kodiranje da napravi zamenu od onoga što preporučuje Hacker News. Agent je preuzeo komentare Hacker News-a, filtrirao spam, i zadržao oko četrdeset hiljada koji preporučuju YouTube video. To je ostavilo šest hiljada četiri stotine pedeset četiri video snimka, od dve hiljade sedme do sada, u sto pedeset tema.

3:58 Sajt je hackertube dot org. Prikazuje kadar od pola puta umesto sličice koju je otpremilac izabrao, što malo bode oči. Karpathy kaže da je cela izrada trajala oko dva sata. Njegovi jedini ručni koraci bili su Google API ključ, server i domen. Dvanaestog oktobra sam vam rekao da Karpathy misli da pristup i zadaci stvaraju jaz u tome kako ljudi razumeju ove alate. Dva sata rada je pristojan podatak.

4:21 Priča četvrta, ona na koju treba reagovati.

### Priča četvrta: šta zakrpite za CVE-2026-98432?

4:23 CVE dvadeset dvadeset šest, devedeset osam četiri trideset dva je "use-after-free" u IPv4 TCP rukovanju Linux kernela, ocenjen devet zarez osam od deset. Udaljeni peer bez prijave može ga dostići. Eric Dumazet je napisao popravku prvog oktobra. Popravka je stigla u stabilne kernele jedanaestog i petnaestog oktobra, a greška datira još od Linuxa četiri zarez četiri. Red Hat je podigao svoju ocenu sa važnog na kritično tridesetog oktobra. U subotu uveče, Ubuntu i Red Hat Enterprise Linux i dalje nisu naveli fiksni

4:52 kernel. Anthropic kaže da je Claude napisao funkcionalni eksploat za servere sa multipath TCP slušajem, a Go programi su ih otvarali podrazumevano od Go jedan zarez dvadeset četiri. Go tim upozorava da sistemi bez tog slušaoca mogu biti ranjivi na slične napade, i kaže da je najbolja popravka zakrpljen kernel. Ako vaša distribucija još nema fiksni kernel, Red Hat i AlmaLinux objavljuju pravilo za firewall koje odbacuje IPv4 TCP pakete koji nose IP opcije. Red Hat kaže da smanjuje izloženost i ne može je u potpunosti sprečiti.

5:23 Nakon toga, čekate. Šta uraditi danas. Instalirajte fiksni kernel vaše distribucije i ponovo pokrenite sistem, i na hostovima kontejnera i Kubernetes čvorovima, jer kontejneri dele host kernel. Debian, Suse i Amazon Linux već imaju popravke. Ako još ne možete da primenite zakrpu, počnite sa hostovima koji pokreću multipath TCP slušaoce. Sada štoperica koju sam obećao.

### Nazad na štopericu: koliko je trajao eksploat?

5:44 U Anthropic-ovom sopstvenom dokazu koncepta, potrebno je četrdeset osam minuta da iscuri kernel pointer, a zatim još pet minuta da se pokrene shell komanda. Anthropic nije objavio eksploat. Ako biste radije ovo pročitali nego čuli kako ga ja govorim, diff stiže u vaše sanduče svako jutro, besplatno na thedailyddiff dot dev, link ispod.

### Presuda: REVERT

6:02 Dakle, današnja presuda je REVERT. Vratio bih ParticleDB, jer Jepsenov savet je da se obustavi implementacija, i zakrpio bih taj kernel, jer dolazi sa štopericom. I to je diff za danas. Ja sam Niko iz Axrisi-ja. Spajajte odgovorno.

## Izvori

- [Jepsen: ParticleDB 1.1.4 (Kyle Kingsbury, October 31, 2026)](https://jepsen.io/analyses/particledb-1.1.4) — Jepsen
- [Lenovo's 'encrypted' fingerprint USB drive is just an unencrypted SD card in a fancy case](https://www.tomshardware.com/tech-industry/cyber-security/lenovo-fingerprint-usb-stick-sold-as-aes-256-encrypted-had-a-plain-sd-card-inside-ai-assisted-follow-up-finds-a-backdoor-and-hardcoded-keys-in-other-secure-usb-products) — Tom's Hardware
- [Lenovo ThinkPlus Fingerprint USB Drive Sold as Encrypted Was a Plain SD Card Inside](https://hackingpassion.com/lenovo-thinkplus-encrypted-usb-sd-card/) — HackingPassion
- [HackerTube](https://karpathy.bearblog.dev/hacker-tube/) — Andrej Karpathy
- [CVE-2026-98432](https://ubuntu.com/security/CVE-2026-98432) — Ubuntu Security
- [RHSB-2026-016: Use-after-free - kernel IPv4 (CVE-2026-98432)](https://access.redhat.com/security/vulnerabilities/RHSB-2026-016) — Red Hat
- [ipv4: free inet\_opt and ireq\_opt after an RCU grace period](https://github.com/torvalds/linux/commit/e3f33b0a1d89d738e2b913dab519226eaf76e15b) — Linux kernel (Eric Dumazet)
- [Discovering and exploiting vulnerabilities in critical, real-world software with Claude](https://www.anthropic.com/research/discovering-vulnerabilities-with-claude) — Anthropic
- [Protecting against CVE-2026-98432 when using Go programs](https://www.openwall.com/lists/oss-security/2026/10/30/1) — Go Security Team via oss-security
- [Linux's October 2026 TCP Use-After-Free: CVE-2026-98432](https://atlasum.net/blog/cve-2026-98432-linux-ipv4-tcp-uaf) — Atlas