Note di Matteo

Un mio commento sul Post in risposta all'articolo Per le intelligenze artificiali i PDF sono un problema, che si basa sul nulla:

L'articolo solleva il problema sbagliato. L'OCR serve solo se il contenuto è stato rasterizzato o è frutto di scansione, che non è la normalità (fuori dalla PA italiana almeno).

Il formato PDF resta però comunque problematico perché non contiene concetti come "paragrafo di testo", "pié di pagina" o "tabella" ed è quindi molto difficile associare le singole parole/righe di testo (solitamente leggibili senza OCR) al flusso della pagina. In casi complessi come pagine a più colonne servono una miriade di euristiche per provare a ricostruire il testo correttamente, perché non c'è legame tra gli elementi.

Non è un problema risolvibile al 100% ma è comunque in gran parte superato e negli ultimi 3 anni è spuntata diversa ricerca e molti nuovi strumenti anche open source per attaccare il problema.

Detto questo, del presunto "obiettivo di lungo termine" di sostituire il formato PDF sinceramente non trovo traccia e non ne ho mai sentito parlare pur avendo realizzato sistemi AI che ingeriscono PDF. A prova della tesi l'articolo menziona solo questa startup israeliana completamente sconosciuta nel settore, il cui sito sembra indicare che sia semplicemente una piattaforma cloud (a cui non ci si può nemmeno iscrivere), più che un formato di file. Di cosa stiamo parlando?

Ente Paste è un servizio di condivisione di testo end-to-end encrypted. Il destinatario può vedere il testo decriptato solo una volta ed entro 24 ore. Utile per condividere chiavi segrete, ecc.

L'URL condivisibile (es. https://paste.ente.io/QTPD2AV2QE#3xLlEBKwnlCZ) contiene l'ID del paste (QTPD2AV2QE) e la chiave (3xLlEBKwnlCZ) per decifrare il testo. Il server non vede la chiave perché è un hash fragment/anchor: tutto quello che viene dopo il cancelletto non viene mai inviato al server dai browser.

Una volta aperta la pagina il testo cifrato viene eliminato dal server:

C'è un bug in Claude Desktop legato agli scheduled task (nuova feature appena lanciata) che manda il codice in loop infinito:

Users with scheduled tasks in Claude Cowork or Claude Code who are in a timezone that observed daylight saving time last night were affected by an infinite loop. When the app tried to locate tasks scheduled during the “skipped” hour, it couldn’t resolve them and got stuck.

Ho l'istinto di dire che è proprio un bug da vibe coding, ma in realtà lavorare con le date e i fusi orari è fonte di numerosi bug da quando la programmazione esiste.

Un grafico di Cursor sull'uso degli agenti AI in confronto alla funzione Tab (che mi viene da chiamare "vecchia", eppure esiste da meno di 4 anni) nello sviluppo di software:

A conferma della recente percezione che tra l'autunno e l'inverno 2025/2026 c'è stato un (incredibile) cambio di passo nello sviluppo software con l'AI.

You are responsible for where you choose to run your workloads. AWS will give you Availability Zones. They will give you Regions. They will even give you cross-region replication. What they will not give you is a missile defense system. That's not in the pricing calculator.

Multi-AZ is designed to survive a power failure or a network partition. It is not designed to survive a geopolitical crisis. These are not the same failure mode.

Corey Quinn (da LinkedIn via The Pragmatic Engineer)

Quindi la questione è molto semplice: il governo Meloni mi ha chiesto un favore, e io al governo Meloni rispondo NO.

Senza entrare nel merito della questione?

No, perché dovrei? Non me ne intendo. (Dopodiché sì, mi conoscete, probabilmente nei prossimi 15 giorni entrerò nel merito della questione, non riuscirò a farne a meno). Ma non sono obbligato a diventare un esperto di carriere e di alte corti. Non è quello che si chiede a me come cittadino. Mi si chiede un atto di fiducia nei confronti di una maggioranza di governo, ora per favore guardatela.

Leonardo Tondelli in Non vi farei riscrivere la Costituzione neanche se foste bravi (ma non lo siete)

FFmpeg at Meta: Media Processing at Scale. Meta spiega come usa FFmpeg per l'elaborazione di più di un 1 miliardo di video al giorno, e di come hanno smesso di usare un fork interno dopo aver integrato l'encoding parallelo e la generazione di metriche real-time (in-loop decoder) nella versione open source. Meta mantiene comunque delle patch per il supporto agli encoder hardware ASIC proprietari, ma restando in sync con ffmpeg open source.

Questa mi ha fatto ridere: prompt injection tramite un issue GitHub preso in carico da un workflow GitHub Actions che esegue Claude senza limiti di permessi:

Cline’s (now removed) issue triage workflow ran on the issues event and configured the claude-code action with allowed_non_write_users: "*", meaning anyone with a GitHub account can trigger it simply by opening an issue. Combined with --allowedTools "Bash,Read,Write,Edit,Glob,Grep,WebFetch,WebSearch", this gave Claude arbitrary code execution within default-branch workflow.

Accenture acquisisce Ookla e quindi Speedtest.net e Downdetector 🧐. Per 1,2 miliardi di dollari.

Someone has to prompt the Claudes, talk to customers, coordinate with other teams, decide what to build next. Engineering is changing and great engineers are more important than ever.

Boris Cherny, creatore di Claude Code

MapFight è uno strumento per confrontare la dimensione reale dei paesi del mondo senza le distorsioni della proiezione di Mercatore.

Wow, un datacenter AWS negli Emirati Arabi Uniti è stato colpito da un "oggetto" (missile/drone) e ha preso fuoco.

Mar 01 9:41 AM PST We want to provide some additional information on the power issue in a single Availability Zone in the ME-CENTRAL-1 Region. At around 4:30 AM PST, one of our Availability Zones (mec1-az2) was impacted by objects that struck the data center, creating sparks and fire. The fire department shut off power to the facility and generators as they worked to put out the fire. We are still awaiting permission to turn the power back on, and once we have, we will ensure we restore power and connectivity safely. It will take several hours to restore connectivity to the impacted AZ. The other AZs in the region are functioning normally. Customers who were running their applications redundantly across the AZs are not impacted by this event. EC2 Instance launches will continue to be impaired in the impacted AZ. We recommend that customers continue to retry any failed API requests. If immediate recovery of an affected resource (EC2 Instance, EBS Volume, RDS DB Instance, etc.) is required, we recommend restoring from your most recent backup, by launching replacement resources in one of the unaffected zones, or an alternate AWS Region. We will provide an update by 12:30 PM PST, or sooner if we have additional information to share.

Pavel Durov ha dato di matto definitivamente:

Unfortunately, I had to leave Dubai for Europe a week ago — so I’m not only missing the free fireworks from Iran, but also exposing myself to greater risk. Given Europe’s crime rates, Dubai is statistically safer even with missiles flying. Can’t wait to be back.

A Sanremo ha vinto il partito conservatore, con la musicalità e le parole di un Nino D’Angelo d’autore, una canzone che accompagnerà dichiarazioni e matrimoni per buona parte dell’anno. Un inno al “per sempre” che sa tanto di promessa patriarcale.

Matteo Bianx su Eurofestivalnews

TIL il dominio one.one appartiene a one.com, un provider di hosting (diverso da 1&1). Il dominio one.one.one.one è stato però delegato a Cloudflare per il servizio DNS 1.1.1.1, dice il CEO @eastdakota.

Benchmark super interessante che misura le scelte di stack tecnico dei modelli Anthropic (via Claude Code):

The big finding: Claude Code builds, not buys. Custom/DIY is the most common single label extracted, appearing in 12 of 20 categories (though it spans categories while individual tools are category-specific). When asked “add feature flags,” it builds a config system with env vars and percentage-based rollout instead of recommending LaunchDarkly. When asked “add auth” in Python, it writes JWT + bcrypt from scratch. When it does pick a tool, it picks decisively: GitHub Actions 94%, Stripe 91%, shadcn/ui 90%.

Tutti i dettagli nel report completo.

Anno 2026. Le Olimpiadi Milano-Cortina su Rai Play in 720p 25 fps. Il festival di Sanremo prodotto e trasmesso in 4K sul DTT ma la scritta in overlay pubblicizza tivùsat, che non ha nessuno, mentre lo streaming è sempre in 720p, l'on demand pure in 720p, i video su YouTube in 720p (!!!).

Ecco gli aumenti di prezzo di Hetzner che erano stati pre-annunciati qualche giorno fa.

Anche nelle altre location, anche per i server dedicati e per volumi e snapshot.

Qua la versione archiviata della pagina.

Un altro outage di Cloudflare causato ancora dall'applicazione di un cambio di configurazione globalmente. In questo caso sono stati rimossi per errore molti prefissi BYOIP dagli annunci BGP della rete edge, per via di un bug nel codice che elenca i prefissi da rimuovere:

Because the client is passing pending_delete with no value, the result of Query().Get(“pending_delete”) here will be an empty string (“”), so the API server interprets this as a request for all BYOIP prefixes instead of just those prefixes that were supposed to be removed.

Certo è che se uno progetta un endpoint di un'API mission critical dandogli un formato così strambo e fuori da ogni best practice (/v1/prefixes?pending_delete) un po' se le cerca.

Andrea Ayer in Why IP Address Certificates Are Dangerous and Usually Unnecessary spiega perché i certificati per indirizzi IP sono poco sicuri. Per via della rapida intercambiabilità degli IP in ambienti cloud e delle regole di validazione della proprietà dell'indirizzo molto allentate, è relativamente facile per un attaccante disporre di un certificato valido per un indirizzo IP che non è più autorizzato a rappresentare.

The basic security property provided by a certificate is that the certificate authority has validated that the certificate subscriber (the person who applies for the certificate and knows its private key) is authorized to represent the domain name or IP address in the certificate. This ensures that the other end of a TLS connection is truly the domain or IP address that you want to connect to, not a MitM impostor.

But the validation is not done every time a TLS connection is established; rather, it was done at some point in the past. Thus, the certificate subscriber may no longer be authorized to represent the domain or IP address.

How old might the validation be? As of February 2026, certificate authorities are allowed to issue certificates that are valid for up to 398 days. So the validation may be 398 days old. But it gets worse. When issuing a certificate, CAs are allowed to rely on a validation that was done up to 398 days prior to issuance. So when you establish a TLS connection, you may be relying on a validation that was performed a whopping 796 days ago. You could be talking not to the current assignee of the domain or IP address, but to anyone who was assigned the domain or IP address at any point in the last 2+ years.

È un problema che c'è evidentemente anche con i domini, ma lo spazio dei nomi di dominio è molto più grande di quello degli IPv4 e quindi il problema non è di fatto un problema:

This is a problem with both domains and IP addresses, but it's way worse with IP addresses. While it's still very possible to register a domain that no one has ever registered before, you don't have this luxury with IPv4 addresses. There are no unassigned IPv4 addresses left; when you get an IPv4 address, it has already been assigned to someone else.

Questa vulnerabilità si ridurra assieme alla riduzione della durata massima dei certificati (47 giorni + 10 giorni di periodo di validazione nel 2029). Nel frattempo si può consultare o monitorare i log di trasparenza (es. crt.sh) per vedere quali certificati sono stati emessi per un indirizzo IP o un dominio.