3 min read · 13 sources

Kubeflow ist kein Kubernetes-Nebenprojekt mehr. Die CNCF hat es graduiert und damit nach Jahren als Sorgenkind der KI-auf-K8s-Welt die Reife des Projekts bestätigt. Fast 260 Millionen PyPI-Downloads zeigen, dass zahlreiche Teams bereits auf Kubeflow setzen; die Graduierung signalisiert, dass API-Oberfläche, Governance und Release-Kadenz stabil genug sind, um Produktions-Pipelines für Training, Feintuning und Inferenz darauf aufzubauen.

Die Graduierung ist relevant, weil Kubeflow schon immer ein Stack war und kein einzelnes Werkzeug: Training-Operatoren, KServe für Inferenz, Pipelines, Notebooks, der Hyperparameter-Tuner Katib. ML auf Kubernetes bedeutete lange, ein halbes Dutzend halbfertiger Projekte zusammenzubasteln. Mit der Graduierung haben Anbieter ein herstellerneutrales Ziel zum Packagen, und Plattformteams haben eine klarere Geschichte für interne Kunden.

Unterdessen ist Bun 1.4 die zweite Schlagzeile für alle, die JavaScript ausliefern. Das Release nennt 1.500 zusätzliche bestandene Node-Testfälle, bis zu 5-fach niedrigere Idle-CPU, bis zu 48 Prozent weniger Speicher in einigen Server-Workloads und etwa 2-fach schnelleren Start auf Linux. Die Benchmarks stammen von Bun selbst und sind mit der üblichen Portion Skepsis zu lesen, aber die Richtung stimmt: Bun schließt die Node-Kompatibilitätslücke und zieht beim Ressourcenverbrauch davon. Neue Built-ins decken Bildverarbeitung, WebView, Markdown-Parsing, Cron-Jobs, parallele Test- und Skriptläufe sowie Paket-Audits ab. Die größere Geschichte ist die stille Migration von Zig zu Rust in der Runtime, weshalb Teile des Projekts nun in Crates statt im alten Codebase landen.

Datadogs Git-Mirror absorbierte ein 20-faches Verkehrswachstum auf 100 Millionen Anfragen pro Woche über 5.500 Repositories bei einer Medianlatenz von rund 40 Millisekunden.

Cloudflares Spectre-Wiederholung leakt über eine Durable Object

Source: blog.cloudflare.com ↗

Cloudflares Forscher haben Remote-Spectre-Angriffe auf Workers erneut untersucht und in Produktion 12 Bit pro Sekunde mit 99 Prozent Genauigkeit geleakt. Der Hebel war eine Lücke in Dynamic Process Isolation, das einen isolierten Prozess erst nach Ende einer Invocation startet. Indem eine einzelne Durable-Object-Invocation über eine WebSocket stundenlang offen blieb, gab der Angreifer dem Scheduler nie die Chance, das Skript neu zu isolieren.

Die gute Nachricht: Cloudflare zufolge wurde in drei Jahren keine aktive Ausnutzung beobachtet. Die Mitigationen sind gestaffelt. Die Erkennung meldet verdächtige Muster früher, die V8 Sandbox ist integriert, und Memory Protection Keys (MPK) begrenzen, was ein Isolat aus einem anderen innerhalb desselben Prozesses lesen darf. Für alle anderen, die serverloses oder Multi-Tenant-JavaScript betreiben, ist das Paper eine Erinnerung daran, dass „Isolation" ein bewegliches Ziel ist und eine langlebige Verbindung ein Side Channel ist, mit dem man rechnen muss.

Datadog baut Git-Serving neu, um 20-faches Wachstum aufzufangen

Source: datadoghq.com ↗

gitretriever ist der interne Mirror, den Datadog baute, weil der alte Git-Serving-Stack bei jedem CI-Lauf der Engpass war. In vier Monaten verarbeitete er eine Milliarde Git-Anfragen und Hunderte Terabyte Daten und bedient nun 100 Millionen Anfragen pro Woche über rund 5.500 Repositories. Die Median-Latenz beim Ausliefern blieb bei etwa 40 ms, während der Verkehr um etwa Faktor 20 wuchs; das Auslagern der CI-Fetches senkte die Fetch-Serving-CPU des bisherigen Backends um Faktor 3 bis 4.

Für SREs ist die Form des Problems interessant: Eine kleine Anzahl großer Monorepos dominierte den Verkehr, sodass ein pauschales „mehr Replicas" die Kosten erhöhte, ohne die Tail-Latenz zu fixen. Die Lösung war ein Per-Repo-Cache mit vorhersagbarer Eviction, ein cleveres Packen von Packfile-Anfragen sowie ein Fan-out, der den vorgelagerten Git-Server nicht ersetzt, sondern davor sitzt. Wenn die CI-Rechnung steigt und der Git-Host lauteste Komponente in den Traces ist, lohnt sich der Writeup.

OAuth-Consent erhält endlich einen echten Consent-Bildschirm

Source: blog.cloudflare.com ↗

Cloudflare lieferte zudem taskbasierte OAuth-Consent-Einwilligung, die optionale Scopes auf der Consent-Abfrage abwählbar macht, statt nur Alles-oder-Nichts. Client-Owner markieren bestimmte Scopes beim Konfigurieren der OAuth-App als optional, und das aus