TheDaily Compiler

Physical Superintelligence (PSI), kendi altyapısında yayımlanmamış bir Anthropic modeliyle çalışan araştırma sisteminin Aaronson-Ambainis varsayımı için eksiksiz bir ispat ürettiğini ve ispatın Lean tarafından kabul edildiğini açıkladı. Çalışmayı yürüten David Turturean makalenin doğruluğundan sorumlu. Stanford'dan bir grup ispatı okuyup yorum gönderdi; hakem değerlendirmesi ya da tam bağımsız doğrulama henüz yok.

Thinking Machines Lab'in yeni modeli 594 milyar toplam, 17 milyar aktif parametreli bir MoE; görsel girdi alıyor ve değişken effort destekliyor. Şimdilik yalnızca Tinker üzerinden, kapalı ağırlıkla sampling ve fine-tuning için açık. Ağırlıkların harici güvenlik testleri ve red-teaming sonrasında Apache 2.0 lisansıyla “gelecek hafta” yayımlanması planlanıyor, kesin tarih verilmedi.

Şirketin yayımladığı tabloda Artificial Analysis Intelligence Index 31, DeepSWE v1.1'de %72,1 görünüyor. Lisans gerçekten Apache 2.0 olursa, dünkü sayıda andığımız Kimi K3.1 Pro'nun özel lisansına göre kurumsal kullanımda daha az soru işareti demek.

5 Kasım'da yayımlanan checkpoint ön eğitimin sonundan alınmış; mid- ya da post-training yok, yani hazır bir sohbet modeli değil, domain adaptasyonu, instruction tuning ve RL araştırması için bir başlangıç noktası. 33,5T token ile Muon optimizer ve FP8 karma hassasiyetle eğitilmiş; 128K'ya kadar eğitilen model fine-tuning ve inference'ta 1M token destekliyor.

FP8 ve BF16 ağırlıklar Hugging Face'te, SGLang ve vLLM ile servis edilebiliyor. Lisans, Baidu'nun kendi “ERNIE 5.5 Flash Base Model License Agreement” metni; diğer base modellerle karşılaştırmalı skorlar (ör. MMLU-Pro 78,4) şirketin kendi ölçümü.

Yazarları arasında Joseph E. Gonzalez ve Alex Dimakis'in bulunduğu arXiv makalesi, agent ortamlarını otomatik olarak optimize ediyor. AutomationBench'te Claude Haiku 4.5 ile maliyet %72,7 düşerken pass rate %14,34 arttı; Opus 5'te maliyet %68,1 düştü. Yazarlar optimize edilmiş ortamların modeller ve harness'lar arasında taşınabildiğini söylüyor.

Google'ın video üretim ve düzenleme modeli, Omni ailesinde ilk kez Gemini API'de genel kullanıma açıldı. Klipler 10 yerine 15 saniyeye kadar uzayabiliyor ve çok turlu konuşmayla yeniden üretmeden düzenlenebiliyor. 720p fiyatı %30 düşüşle saniye başına 0,07 dolar.

AI Weekly'nin aktardığı Bloomberg haberine göre potansiyel alıcılar 1,2-1,3 trilyon dolar arasını konuşuyor, bazıları 1,1 trilyonu değerlendiriyor. Geçen hafta bankacılara 1,4-1,5 trilyon, Ekim başında ise 2 trilyon dolar dile getirilmişti. Geri çekilmenin arka planında, Nasdaq 100'ün 5 Kasım'da tek günde rekor 2,3 trilyon dolar piyasa değeri kaybetmesi var.

Resmi pazarlamanın gelecek hafta başlaması bekleniyor; habere göre Anthropic ve satıcı hissedarlar temkinli bir büyüklük ve değerlemeyle başlayıp talep güçlü olursa yükseltebilir. Bloomberg'in asıl haberine erişemedik.

Dropbox'ın Crunchbase News'e söylediğine göre bu, 2007'deki kuruluşundan bu yana en büyük satın alması. Eski Uber mühendislerinin kurduğu Tigris, AI iş yüklerinin dağıtık compute ihtiyacına yönelik yerelleştirilmiş depolama merkezlerinden oluşan bir ağ kuruyor.

Tigris, Dropbox'ın yeni DBX Agent Cloud ürününe güç verecek; ürün ilk etapta AI modellerinin eğitimi ve çalıştırılması için görsel, video ve dosya gibi büyük veri koleksiyonlarına bağımsız object storage sunacak. Kapanış takvimi açıklanmadı.

Google, Wyoming'deki ilk veri merkezi için Laramie County'de 17 milyar dolarlık uzun vadeli yatırım açıkladı. AEP ile yapılan sözleşme kapsamında proje, doğal gazla çalışan ve karbon yakalama kullanan, yakıt hücrelerini Bloom Energy'nin ürettiği 702 MW'lık bir tesis içerecek.

Google, veri merkezlerinin kullandığı gücün tamamını ve büyümesinin doğrudan yol açtığı altyapı maliyetlerini ödeyeceğini, tesisin hava soğutmalı olacağını söylüyor. İnşaat ya da devreye alma tarihi verilmedi.

Araştırma prototipi, geliştiricinin niyetini formal bir spesifikasyona çevirip AI'ın ürettiği Rust kodunun buna uyduğunu Verus ile ispatlıyor. 5.000 satırlık örnek uygulamada login mantığı doğrulandı ve mevcut hatalar bulundu. Şimdilik yalnızca Rust; bcrypt, veritabanı ve token imzalama gibi parçalar ispat yerine testlerle kontrol ediliyor.

Haziran'da gated preview olarak duyurulan “Continuum for code vulnerabilities” genel kullanıma açıldı. Bulguları izole bir sandbox'ta exploit çalıştırarak doğruluyor, PoC kodu ve tekrar üretme adımları ekliyor, düzeltmeyi patch ya da pull request olarak sunuyor; varsayılan olarak her düzeltme insan onayı istiyor.

Fiyatlandırma iki kalemli: korunan milyon satır kod başına aylık 200 dolardan başlayıp 10 milyar satırın üzerinde 100 dolara inen bağlam ücreti ve inference unit başına 10 dolar; birimler bulgular işlendikçe tüketiliyor. AWS'nin kendi örneğinde 1 milyon satır ve 100 açık için toplam 1.200 dolar. Haberde desteklenen diller belirtilmiyor; Java servislerinde denemeden önce dil desteğini dokümantasyondan kontrol etmek gerek. Şimdilik yalnızca US East ve US West bölgelerinde.

6 Kasım'da çıkan sürümde codex agents --no-daemon ile açılan bir agent komuta merkezi geldi; okunmamış sonuçlar işaretleniyor. Bağlı backend'ler arasında taslak kaybetmeden geçiş yapılabiliyor ve onay penceresi açıkken patch ayrıntıları transcript'te görünüyor.

Kurumsal ağlar için önemli bir ayrıntı: /experimental altında macOS ve Windows sistem proxy ayarlarını kullanma seçeneği var. Otomatik context compaction'ın başarısız yanıtları hesaba katmaması gibi hatalar da düzeltildi.

Uygulama, Managed Agents oturumlarını canlı izlemeyi, komut, dosya yolu ya da diff'i görüp tool çağrısını onaylamayı veya reddetmeyi ve çalışmayı durdurmayı sağlıyor. Claude Code, Codex CLI ve OpenCode gibi harness'larla çalışıyor; Managed Agents public preview'da ve üretim iş yükleri için desteklenmiyor.

Edera'nın yeni modeli, bir agent'ın ya da MCP sunucusunun ihtiyaç duyduğu yetkiyi o yetkiyi veren kimlik bilgisinden ayırıyor: hypervisor tarafından zorlanan object capability'ler, sırları workload'a koymadan agent'ı dar tanımlı eylemlerle sınırlıyor. Örneğin bir kodlama asistanı, personal access token olmadan tek bir GitHub reposunu değiştirebiliyor.

Bileşenler: kimlik bilgisini agent'tan gizleyen bir broker üzerinden API erişimi sağlayan capcurl, kalıcı admin yetkisi olmadan belirli komutları çalıştıran capsudo ve workload kimliği için SPIFFE/SPIRE entegrasyonu. İlk aşamada kapsamlı komut çalıştırma ve workload kimliği yayında; broker'lı API erişimi henüz gelmedi.

Boot 4.2.0-RC2 ile uyumlu sürümde Config Server artık Google Cloud Storage'ı backend olarak destekliyor. Gateway Server Web MVC'ye LocalResponseCache filtresi eklendi; OpenFeign'de @SpringQueryMap içindeki iç içe nesneler iç içe query parametresi olarak gönderiliyor.

BOM: org.springframework.cloud:spring-cloud-dependencies:2026.0.0-RC2; Commons, Stream, Kubernetes ve Vault gibi modüller 5.1.0-RC2'de. Sürüm milestone deposunda, GA tarihi açıklanmadı.

CVE-2026-100252 (CVSS 4.0: 8,6), client portunda SASL etkin kurulumlarda kimliği doğrulanmış bir istemcinin başka bir kimliği üstlenmesine izin veriyor; taklit edilen kimlik zookeeper.superUser ise tüm veri ağacına superuser erişimi mümkün. 6 Kasım'da yayımlanan iki ek CVE (8,7) ise kimlik doğrulamasız saldırganın quota alt sistemi üzerinden istek işleme thread'ini çökertmesine, veri dizininin kalıcı bozulmasına ve snapshot serialization sırasında JVM stack'ini tüketerek kalıcı DoS'a yol açabiliyor.

Etkilenen sürümler 3.8.0-3.8.7 ve 3.9.0-3.9.6; düzeltme 3.8.8 ve 3.9.7'de.

Java REST framework'ü Juneau'nun 3 Kasım'da çıkan 9.2.1 sürümü, 9.2.0 ve öncesini etkileyen dokuz açığı kapatıyor; CVE kayıtları 5 Kasım'da yayımlandı. Apache'nin “important” saydıkları varsayılan ayarlarda etkili: MessagePack parser'ında birkaç baytlık gövdeyle OutOfMemoryError'a yol açan DoS, her HTTP metodunda çalışan content parametresiyle CSRF, sunucu hatalarında Authorization ve Cookie gibi başlıkların loga açık metin yazılması ve REST client'ın farklı origin'e yönlendirmede kimlik başlıklarını taşıması.

CVE kayıtlarında CVSS 10 görünen DirectoryResource path traversal açığını Apache “moderate” sınıflandırıyor; view, upload ve delete ayarları varsayılan olarak kapalı. Yükseltmede davranış değişiyor: 1 MB üzeri istek gövdeleri için @Rest(maxInput) artırılmalı, hata yanıtları artık exception ayrıntısı içermiyor. Loglarda kimlik bilgisi kalmışsa döndürülmesi öneriliyor.

CVE-2026-123018 (CVSS 8,3), DB-GPT 0.8.0-0.8.2'yi etkiliyor: execute_code içindeki hatalı container tespiti yüzünden kod, Docker içinde bile yerel subprocess'te sandbox dışında çalışıyor. Kamuya açık bir PoC yazısı var, düzeltilmiş sürüm henüz yok; öneri 5670 portuna erişimi kısıtlamak.

Check Point Research'e göre birden çok AI agent'ı koordine eden Çin menşeli LLM tabanlı pentest platformu ARTEX'in panelleri 2.557 sistemde barındırılmış ya da barındırılıyor. Geliştirici projeyi 8 Ekim'de kapalı kaynağa çevirdi, ancak fork'lar hâlâ erişilebilir. Yanlış yapılandırılmış 10 örneğin açık veritabanları operatör istemlerini ve agent faaliyetlerini gösterdi.

Bir operatör 10 gri pazar iOS imzalama sitesinden 300'den fazla Apple sertifikası aldı, yalnızca üçü doğrulamadan geçti; bu kampanyanın token harcaması 700-1.500 dolar olarak tahmin ediliyor. Başka bir kampanya 190.000'den fazla oyun hesabı kimlik bilgisi topladı, ancak bunların yaklaşık %3,3'ü geçerli görünüyor. Saldırılar ilk hedef verildikten sonra neredeyse tamamen otonom ilerledi; öne çıkan giriş noktaları zayıf ya da gömülü admin parolaları, kimlik doğrulaması olmayan web API'leri, komut ve template enjeksiyonu, IDOR ve web köküne bırakılmış hassas dosyalardı. Bir kripto kampanyasında agent'ların bildirdiği bazı başarıların halüsinasyon olduğu da raporda yer alıyor.

GitHub'ın 2 Kasım changelog'una göre Free, Team ve Enterprise Cloud'daki public repolarda pull_request_target olayları, bir Actions event policy açıkça izin vermedikçe 2 Aralık'tan itibaren çalışmayacak. Kural şimdilik evaluate modunda; 9 ve 16 Kasım'da 16:00-18:00 UTC arasındaki brownout'larda engellenen workflow'lar hata vererek çalışmayacak. Private ve internal repolar ile GitHub Enterprise Server etkilenmiyor.

Gerekçe: bu tetikleyici base reponun bağlamında ve sırlarına erişerek çalıştığı için fork'tan gelen güvenilmeyen kod pipeline'ı ele geçirebiliyor. Ayrıca 28 Ekim'de GA olan workflow lockfile'ları (.github/workflows/actions.lock) action'ları commit'e sabitliyor; InfoQ, Dependabot güncellemelerini otomatik merge eden ekiplerin kötü niyetli bir değişikliği doğrudan lockfile'a taşıyabileceği uyarısını aktarıyor.