Azureの最も弱い環 - 5つの完全なクロステナント侵害
Azure Logic Apps API Connectionsにおける5件のクロステナント権限昇格バグ。パストラバーサルから始まり、ルートCAに至る。
インフラ
もっと見る インフラ
ホーム
Grace Blackwell には新しいスケジューラが要る、同じラックで使える GPU が 27% 増える
NVL72 はラック内の 72 基の GPU を 1 つの NVLink ファブリックにつなぐが、その帯域を使えるのは同じラックに収まったジョブだけだ。SkyPilot はトポロジーを意識した配置、故障時のインプレース交換、自動デフラグでマルチノードの学習と推論を NVLink 上に留める。
PHP2Shell とカーネル特権昇格を連結し、PAN-OS ファイアウォール 25 台を掌握
Dream Research が復元した作戦では、攻撃者は認証なしの HTTPS リクエスト 1 本で PHP2Shell のコード実行とカーネル特権昇格を連結し、PAN-OS の root を取った。公開されていた 19,000 台から 240 台に絞り、24 台に webshell を仕込み、うち 2 台は同じ米政府関連機関のものだった。
UUIDv7 にはあなたが思っているような特性はない
UUIDv7 のタイムスタンプは作成時刻とは限らず、RFC 準拠の生成器はクロックより進むこともある。実際に保証されるのは何か。
分散型 SQLite の 12 年
Raft ログを SQLite の手前に置いた最初のシステムは 12 年目になった。著者が、週末のプロジェクトがどう一つのカテゴリーになり、資金が誰に流れたかを振り返る。
Docker は変だ
著者は遊びでコンテナランタイムを自作し、Docker の奇妙な点を 6 つ挙げている。コンテナは VM でもカーネル機能でもない、イメージはただのフォルダ、runc は Go に fork がないため /proc/self/exe を exec して fork を装う、しかも root が要る。
Meta の生成型広告モデル（GEM）：フロンティア広告 AI に向けた中央モデルと計算エンジンのスケーリング
Meta は広告推薦の基盤モデルの複雑さを 2.5 倍、学習 FLOPs を 4 倍に広げ、そこで学んだものを、実際にリアルタイムで広告を配信している数百の小規模モデルへ転移させた。
内部の仕組み、ホットパスを迂回する：D1 はいかにして数百万データベースまでスケールするか
Cloudflare は D1 のコントロールプレーンを書き直し、クエリパスに一切の関連作業を入れずに数百万のデータベースを管理できるようにした。Durable Objects、ハートビート、キュー、事前集計した使用量表、Quicksilver で複製したレートリミッターを使っている。
23 の中核オープンソースプロジェクトのうち 11 は 1～2 人だけで運営されている
スマホやサーバーが依存する 23 のライブラリについて、直近一年のコミット履歴を全部落として保守者を数えたところ、11 は日常の作業が一～二人だった。四つの公開助成のどれからも資金を得ていないプロジェクトは八つある。
Hetzner Cloud ネットワークスタック
Hetznerがクラウド仮想マシンを支えるネットワークスタックを詳しく解説し、Open vSwitchと自社開発のFlusskrebsオーケストレーション層を採用した理由から、各ホスト上のパケットフィルタリングルールまでを説明し、このアーキテクチャがどのように進化してきたかを明らかにしている。
Cloudflare Traces の紹介：プラットフォーム全体でリクエストを追跡
エッジにリクエストが入ると、インターセプトされ、書き換えられ、Worker に引き継がれ、キャッシュにヒットする。これらの判断はこれまでそれぞれのログに散在していた。Traces はその経路全体をエクスポート可能な OpenTelemetry トレースとしてつなぎ、agent に調査させることもできる。
Cloudflare、K2を発表：サーバーレスイベントストリーミング
K2はプロデューサーとコンシューマーをスケールと時間の両面で分離します。エッジでの永続バッファリング、複数コンシューマーによる独立した読み取り、キー単位の順序保証、Kafkaクライアントとの互換性を備えます。本記事ではQueuesやPipelinesとの役割分担と適用範囲を解説します。
LLM評価のスループットを20倍に向上させた方法
ボトルネックは計算能力でもレート制限でもなく、p90の82%の時間がコンテナを待っていることだった。Mercorは10秒ごとに実行されるCompute Schedulerを使い、静的FIFOキューを優先度・プロジェクト公平性・先入先出の3段階ルールでグローバルワークプールを割り当てる方式に置き換え、スループットが20倍に増えた。
Corrosion：Fly.io の分散状態同期
Corrosion は Fly.io が Rust で書いた分散状態同期システム。クラスタで共有すべき状態を各ノードに収束させ、gossip と link-state 的な経路で一貫性を保つ。そこに至るまでの経緯を語る。
systemd v262 の NvPCR を理解する
systemd は TPM の不揮発メモリに PCR 類似のレジスタを置いて PCR 不足を補い、v262 でアンカリング設計を作り直した。ソフトウェア TPM 上で NvPCR をゼロから組み直しながら、必要な TPM の概念を解説する。
兆パラメータのコーディング agent に兆単位のトークンを供給する方法
Modal のエンジニアチームが、兆パラメータ級のコーディング agent に兆単位のトークンを供給する方法を解説する。推論基盤、トークンキャッシュ、スケジューリングまでを層ごとに分解する。
精霊の設計と実装
Sprites は Docker を使わない Linux 仮想マシンです。作成はわずか1～2秒、100GB の永続ルートファイルシステムを備え、アイドル時は自動でスリープし、ほとんどコストがかかりません。記事ではそれを支える3つの重要な決定を解説します。
Litestream の書き込み可能な VFS
Litestream の作者 Ben Johnson が、SQLite を S3 互換のオブジェクトストレージに同期する Unix 流のツールと、それが Sprites の中核部品になった経緯を語る。今回の新要素は書き込み可能な VFS。
SIG Apps に注目：Kubernetes ワークロード管理の変遷
SIG Apps のチェア Janet Kuo と Maciej Szulik に聞く、Kubernetes のワークロード管理の変遷。Deployment、StatefulSet、Job の信頼性と、AI が持ち込む新しい要件。
Rebalancer をオープンソース化：割り当て問題のための汎用高性能ライブラリ
Meta が 9 年以上社内で使ってきた割り当て問題ソルバー Rebalancer をオープンソース化した。式グラフで問題の記述と解法を分離し、NP 困難なリソース割り当てを Python で書けるようにする。
大規模エンタープライズ向けの GitLab 設計方法
何千人もの開発者を対象に GitLab を設計すると、デプロイ方式や runner 戦略、パイプライン性能がそのままアーキテクチャ上の問題になる。可用性、災害復旧、容量計画、成長のしきい値までチェックリスト化する。
OTel Collector におけるアダプティブ・テールサンプリングの仕組み
Honeycomb は Refinery のアダプティブ・テールサンプリングを OpenTelemetry Collector に寄贈。新しい processor は OTTL と TraceState のしきい値で固定レートを置き換える。
Cloudflare が HTTP で最も醜い部分 Vary をサポート
Vary はどのリクエストフィールドがレスポンスに影響しうるかをキャッシュに伝えるが、どの違いが重要かまでは伝えない。Cloudflare は Cache Rules で Vary をサポートした。
Python Workers が正式リリースされました
Cloudflare Workers が Python を正式サポート。FastAPI、Django、Flask がそのまま動き、Workers AI、R2、D1 などのバインディングも使える。
読み込み中…もっと見る