Hackaday Podcast Episode 349: Clocks, AI, and a New 3D Printer Guy

Hackaday Editors Elliot Williams and Al Williams met up to cover the best of Hackaday this week, and they want you to listen in. There were a hodgepodge of hacks this week, ranging from home automation with RF, volumetric displays in glass, and some crazy clocks, too.

Ever see a typewriter that uses an ink pen? Elliot and Al hadn’t either. Want time on a supercomputer? It isn’t free, but it is pretty cheap these days. Finally, the guys discussed how to focus on a project like Dan Maloney, who finally got a 3D printer, and talked about Maya Posch’s take on LLM intelligence.

Check out the links below if you want to follow along, and as always, tell us what you think about this episode in the comments!

html5-player.libsyn.com/embed/…

Download the human-generated podcast in mostly mono, but sometimes stereo, MP3.

Where to Follow Hackaday Podcast

Places to follow Hackaday podcasts:

• iTunes
• Spotify
• Stitcher
• RSS
• YouTube
• Check out our Libsyn landing page

Episode 349 Show Notes:

News:

• Failed 3D Printed Part Brings Down Small Plane

What’s that Sound?

• What is that sound? Al didn’t guess, but if you can, you could win a coveted Hackaday Podcast T-Shirt.

Interesting Hacks of the Week:

• Bridging RTL-433 To Home Assistant
  
  • GitHub – merbanan/rtl_433: Program to decode radio transmissions from devices on the ISM bands (and other frequencies)

  
  

• The Key To Plotting
• Reverse Sundial Still Tells Time
• Trace Line Clock Does It With Magnets
• Volumetric Display With Lasers And Bubbly Glass
  
  • Wiremap, A Volumetric Display

  
  

• The Engineering That Makes A Road Cat’s Eye Self-Cleaning

Quick Hacks:

• Elliot’s Picks:
  
  • Production KiCad Template Covers All Your Bases
  • RP2350 Done Framework Style
    
    • github.com/semitov/SemiTOV-MCL

    
    

  • Neat Techniques To Make Interactive Light Sculptures

  
  

• Al’s Picks:
  
  • Super Simple Deadbuggable Bluetooth Chip
  • LED Hourglass Is A Great Learning Project
  • Your Supercomputer Arrives In The Cloud

  
  

Can’t Miss Articles:

• Ask Hackaday: Solutions, Or Distractions?
• Why LLMs Are Less Intelligent Than Crows
  
  • What Is ChatGPT Doing … and Why Does It Work?

  
  

hackaday.com/2025/12/12/hackad…

Banca dati IRS con 18 milioni di record 401(k) in vendita nel dark web

Una presunta banca dati contenente informazioni sensibili su 18 milioni di cittadini statunitensi over 65 è apparsa in vendita su un noto forum del dark web.

L’inserzionista, che usa lo pseudonimo “Frenshyny”, sostiene di aver sottratto i dati direttamente dal portale governativo irs.gov, che gestisce, tra le altre cose, documentazione fiscale e informazioni sui piani pensionistici 401(k).

Disclaimer: Questo rapporto include screenshot e/o testo tratti da fonti pubblicamente accessibili. Le informazioni fornite hanno esclusivamente finalità di intelligence sulle minacce e di sensibilizzazione sui rischi di cybersecurity. Red Hot Cyber condanna qualsiasi accesso non autorizzato, diffusione impropria o utilizzo illecito di tali dati. Al momento, non è possibile verificare in modo indipendente l’autenticità delle informazioni riportate, poiché l’organizzazione coinvolta non ha ancora rilasciato un comunicato ufficiale sul proprio sito web. Di conseguenza, questo articolo deve essere considerato esclusivamente a scopo informativo e di intelligence.

Cosa conterrebbe il database

L’annuncio elenca una quantità impressionante di dati personali, indicati come:

• Nome e cognome
• Età
• Stato e città
• Indirizzo
• Codice postale
• Numero di telefono
• Email

Si tratterebbe, secondo il venditore, di informazioni relative ai beneficiari dei 401(k) Benefit Funds, il celebre piano di risparmio previdenziale statunitense attivo dagli anni ’80.

La quantità – 18 milioni di record – suggerisce una compromissione estremamente ampia, che se confermata implicherebbe il più grande data breach mai registrato sul sistema pensionistico privato statunitense.

Il contesto del forum

L’annuncio è pubblicato in una sezione dedicata alla vendita di database rubati. Il venditore si presenta come membro “V.I.P.” del forum, sottolineando una certa reputazione nella community e offrendo la possibilità di contattarlo su Telegram per “prove e prezzi”.

Il post contiene inoltre una lunga descrizione del funzionamento dei piani 401(k), probabilmente inserita per rendere più credibile la provenienza dei dati.

Perché questo leak sarebbe estremamente pericoloso

Se autentico, un database di tale portata esporrebbe milioni di cittadini anziani a:

• Frodi finanziarie su larga scala, incluse truffe relative alla previdenza.
• Furti d’identità, grazie al pacchetto completo di informazioni personali.
• Attacchi di social engineering mirati, particolarmente efficaci su persone più vulnerabili.
• Accesso fraudolento a conti o servizi collegati ai piani pensionistici.

Gli over 65 sono tra i bersagli preferiti dei criminali informatici, e possedere dati verificati li rende estremamente appetibili per campagne fraudolente.

Un nuovo segnale del boom del cyber-crimine finanziario

L’apparizione di questo presunto database conferma una tendenza ormai consolidata: il settore finanziario e previdenziale è diventato uno dei principali target per i threat actors.

Dati come quelli contenuti nei registri pensionistici, infatti, hanno un valore particolarmente alto nei mercati clandestini.

Se verificata, questa vendita rappresenterebbe l’ennesimo colpo alla sicurezza dei sistemi governativi statunitensi e un rischio enorme per milioni di pensionati.

L'articolo Banca dati IRS con 18 milioni di record 401(k) in vendita nel dark web proviene da Red Hot Cyber.

Weird Email Appliance Becomes AI Terminal

The Landel Mailbug was a weird little thing. It combined a keyboard and a simple text display, and was intended to be a low-distraction method for checking your email. [CiferTech] decided to repurpose it, though, turning it into an AI console instead.

The first job was to crack the device open and figure out how to interface with the keyboard. The design was conventional, so reading the rows and columns of the key matrix was a cinch. [CiferTech] used PCF8574 IO expanders to make it easy to read the matrix with an ESP32 microcontroller over I2C. The ESP32 is paired with a small audio output module to allow it to run a text-to-speech system, and a character display to replace the original from the Mailbug itself. It uses its WiFi connection to query the ChatGPT API. Thus, when the user enters a query, the ESP32 runs it by ChatGPT, and then displays the output on the screen while also speaking it aloud.

[CiferTech] notes the build was inspired by AI terminals in retro movies, though we’re not sure what specifically it might be referencing. In any case, it does look retro and it does let you speak to a computer being, of a sort, so the job has been done. Overall, though, the build shows that you can build something clean and functional just by reusing and interfacing a well-built commercial product.

youtube.com/embed/pRIfY21PpyI?…

hackaday.com/2025/12/12/weird-…

Amnesty sbarca nel Dark Web: ecco perché ha aperto il suo sito .onion

Amnesty International ha attivato un proprio sito accessibile tramite dominio .onion sulla rete Tor, offrendo così un nuovo canale sicuro per consultare informazioni e ricerche dell’organizzazione. L’iniziativa, lanciata ufficialmente nel dicembre 2023, nasce dall’esigenza di garantire accesso ai contenuti anche in quei Paesi dove il sito principale viene oscurato o pesantemente monitorato.

La decisione arriva in un contesto globale segnato da crescenti restrizioni digitali. In Stati come Russia, Iran e Cina, l’intero portale di Amnesty International risulta bloccato, impedendo ai cittadini di informarsi liberamente sulle violazioni dei diritti umani. In diverse altre regioni, invece, la navigazione è esposta a sorveglianza governativa, con rischi diretti per attivisti, giornalisti e dissidenti.

Tor, acronimo di The Onion Router, rappresenta uno strumento fondamentale per aggirare queste limitazioni. La rete utilizza una serie di relay gestiti da volontari e applica più livelli di crittografia, rendendo estremamente difficile risalire all’indirizzo IP dell’utente. Questo sistema consente un livello di anonimato più elevato rispetto alla navigazione tradizionale.

Nei browser comuni, l’accesso a un sito avviene tramite DNS e connessioni dirette al server, un processo che espone gli utenti al tracciamento del loro indirizzo IP. Questo elemento, paragonabile all’indirizzo di ritorno di una lettera postale, può essere utilizzato per mappare le attività digitali di una persona senza che ne abbia consapevolezza.

Il browser Tor, invece, inoltra i dati attraverso una catena di nodi distribuiti, mascherando la vera origine del traffico. Quando si accede a un dominio .onion, la comunicazione non abbandona mai la rete Tor e beneficia di una crittografia end-to-end, riducendo ulteriormente i rischi di intercettazione o identificazione.

Amnesty International ha scelto questa infrastruttura proprio per proteggere gli utenti che consultano materiali sensibili relativi a denunce, indagini e campagne sui diritti umani. L’obiettivo è permettere l’accesso a informazioni indipendenti anche in contesti autoritari, senza che chi naviga sia costretto a esporre la propria identità digitale.

La necessità di strumenti come Tor è emersa in modo ancora più evidente dopo indagini come il Project Pegasus del 2021, in cui Amnesty ha documentato l’uso dello spyware della società NSO Group per monitorare fino a 50.000 dispositivi mobili. Tecnologie di questo tipo, utilizzate da governi di varie nazionalità, hanno colpito attivisti, avvocati, giornalisti e oppositori politici.

In un’epoca segnata da sorveglianza avanzata e censura mirata, l’apertura del sito .onion di Amnesty International si inserisce in una più ampia strategia di difesa della libertà digitale. Fornire accesso sicuro ai contenuti è un passo concreto per permettere alle persone di informarsi senza mettere a rischio la propria privacy o la propria sicurezza personale.

L'articolo Amnesty sbarca nel Dark Web: ecco perché ha aperto il suo sito .onion proviene da Red Hot Cyber.

Can you please correct the naming of your Fedidevs.com starter packs?

@filippodb @amministratore dear Mastodon.uno administrators,
I've noticed that some starter packs you've uploaded to the site have incorrect descriptions: they almost seem designed to promote ONLY USERS of your instance, while ignoring all other instances in the #fediverse. In fact, they were all created by service accounts on the mastodon.uno instance.

This seems understandable, but I think it's urgent to rename the descriptions of those starter packs to specify that they are exclusively for users of your instance, otherwise they could mislead other users.

The starter packs in question are as follows:

• Satira vignette e meme (created by the @satira account, a mastodon.uno service account)
• Retrogames (created by the @kickoffworld account, a mastodon.uno service account)
• Profili Free Open Source su Mastodon on Mastodon (created by the @opensource account, a mastodon.uno service account)
• Ambiente Mobilità sostenibile e giustizia climatica (created by the @ambiente account, a mastodon.uno service account)
• Fedilug Account Linux Italiani Account Italian Linux Accounts (created by the @linux account, a mastodon.uno service account)
• Sicurezza digitale (created by the @sicurezza account, a Mastodon.uno service account)
• Fediverso e Social network (created by the @socialnetwork account, a Mastodon.uno service account)

I repeat: it's right to advertise to your users, but it's important to explain that it's self-promotional advertising. For example, the Mastodon UNO & Official Devol Accounts starter pack clearly specifies that it refers to the users of your instance.

This is out of respect for all Italian users of the Fediverse and for the developers who created and made the fantastic Fedidevs resource available for free.

Thank you for your attention and have a good evening

@anze3db @fedidevs

This Week in Security: Hornet, Gogs, and Blinkenlights

Microsoft has published a patch-set for the Linux kernel, proposing the Hornet Linux Security Module (LSM). If you haven’t been keeping up with the kernel contributor scoreboard, Microsoft is #11 at time of writing and that might surprise you. The reality is that Microsoft’s biggest source of revenue is their cloud offering, and Azure is over half Linux, so Microsoft really is incentivized to make Linux better.

The Hornet LSM is all about more secure eBPF programs, which requires another aside: What is eBPF? First implemented in the Berkeley Packet Filter, it’s a virtual machine in the kernel, that allows executing programs in kernel space. It was quickly realized that this ability to run a script in kernel space was useful for far more than just filtering packets, and the extended Berkeley Packet Filter was born. eBPF is now used for load balancing, system auditing, security and intrusion detection, and lots more.

This unique ability to load scripts from user space into kernel space has made eBPF useful for malware and spyware applications, too. There is already a signature scheme to restrict eBPF programs, but Hornet allows for stricter checks and auditing. The patch is considered a Request For Comments (RFC), and points out that this existing protection may be subject to Time Of Check / Time Of Use (TOCTOU) attacks. It remains to be seen whether Hornet passes muster and lands in the upstream kernel.

Patch Tuesday

Linux obviously isn’t the only ongoing concern for Microsoft, and it’s the time of month to talk about patch Tuesday. There are 57 fixes that are considered vulnerabilities, and additional changes that are just classified internally as bug fixes. There were three of those vulnerabilities that were publicly known before the fix, and one of those was known to be actively used in attacks in the wild.

CVE-2025-62221 was an escalation of privilege flaw in the Windows Cloud Files Mini Filter Driver. In Windows, a minifilter is a kernel driver that attach to the file system software, to monitor or modify file operations. This flaw was a use-after-free that allowed a lesser-privileged attacker to gain SYSTEM privileges.

Gogs

Researchers at Wiz found an active exploitation campaign that uses CVE-2025-8110, a previously unknown vulnerability in Gogs. The GO Git Service, hence the name, is a self-hosted GitHub/GitLab alternative written in Go. It’s reasonably popular, with 1,400 of them exposed to the Internet.

The vulnerability was a bypass of CVE-2024-55947, a path traversal vulnerability that allowed a malicious user to upload files to arbitrary locations. That was fixed with Gogs 0.13.1, but the fix failed to account for symbolic links (symlinks). Namely, as far as the git protocol is concerned, symlinks are completely legal. The path traversal checking doesn’t check for symlinks during normal git access, so a symlink pointing outside the repository can easily be created. And then the HTTPS file API can be used to upload a file to that symlink, again allowing for arbitrary writes.

The active exploitation on this vulnerability is particularly widespread. Of the 1400 Gogs instances on the Internet, over 700 show signs of compromise, in the form of new repositories with randomized names. It’s possible that even more instances have been compromised, and the signs have been covered. The attack added a symlink to .git/config, and then overwriting that file with a new config that defines the sshCommand setting. After exploitation, a Supershell malware was installed, establishing ongoing remote control.

The most troubling element of this story is that the vulnerability was first discovered in the wild back in July and was reported to the Gogs project at that time. As of December 11, the vulnerability has not been fixed or acknowledged. After five months of exploitation without a patch, it seems time to acknowledge that Gogs is effectively unmaintained. There are a couple of active forks that don’t seem to be vulnerable to this attack; time to migrate.

Blinkenlights

There’s an old story I always considered apocryphal, that data could be extracted from the blinking lights of network equipment, leading to a few ISPs to boast that they covered all their LEDs with tape for security. While there may have been a bit of truth to that idea, it definitely served as inspiration for [Damien Cauquil] at Quarkslab, reverse engineering a very cheap smart watch.

The watches were €11.99 last Christmas, and a price point that cheap tickles the curiosity of nearly any hacker. What’s on the inside? What does the firmware look like? The micro-controller was by the JieLi brand, and it’s a bit obscure, with no good way to pull the firmware back off. With no leads there, [Damien] turned to the Android app and the Bluetooth Low Energy connection. One of the functions of the app is uploading custom watch dials. Which of course had to be tested by creating a custom watch face featuring a certain Rick Astley.

But those custom watch faces have a quirk. The format internally uses byte offsets, and the watch doesn’t check for that offset to be out of bounds. A ridiculous scheme was concocted to abuse this memory leak to push firmware bytes out as pixel data. It took a Raspberry Pi Pico sniffing the SPI bus to actually recover those bytes, but it worked! Quite the epic hack.

Bits and Bytes

Libpng has an out of bounds read vulnerability, that was just fixed in 1.6.52. What’s weird about this one is that the vulnerability is can be triggered by completely legitimate PNG images. The good news is that is vulnerability only effects the simplified API, so not every user of libpng is in the blast radius.

And finally, Google has pushed out an out-of-band update to Chrome, fixing a vulnerability that is being exploited in the wild. The Hacker News managed to connect the bug ID to a pull request in the LibANGLE library, a translation layer between OpenGL US calls into Direct3D, Vulkan, and Metal. The details there suggests the flaw is limited to the macOS platform, as the fix is in the metal renderer. Regardless, time to update!

hackaday.com/2025/12/12/this-w…

Linux Foundation crea l’AAIF: la nuova cabina di regia dell’Intelligenza Artificiale globale?

La costituzione dell’Agentic AI Foundation (AAIF), un fondo dedicato sotto l’egida della Linux Foundation, è stata annunciata congiuntamente da varie aziende che dominano nel campo della tecnologia e dell’intelligenza artificiale.

Con la costituzione dell’AAIF, Anthropic ha annunciato la donazione del protocollo MCP alla Linux Foundation, un’organizzazione no-profit impegnata a promuovere ecosistemi open source sostenibili attraverso una governance neutrale, lo sviluppo della comunità e infrastrutture condivise. L’AAIF opererà come un fondo vincolato all’interno della Linux Foundation.

Tra i membri che ne fanno parte fin dalla sua fondazione vi sono Anthropic, OpenAI e Block, con l’ulteriore sostegno di Google, Microsoft, AWS, Cloudflare, Docker e Bloomberg.

Originariamente concepito da Anthropic, il protocollo MCP è stato ideato per mettere in comunicazione tra loro diverse applicazioni e permettere l’estrazione di dati dalle stesse.

Subito dopo la sua uscita, OpenAI e Google lo hanno adottato senza esitazioni. Da quel momento, il suo sviluppo ha subito un’accelerazione repentina, permettendo una gestione armonica di svariati strumenti e, al tempo stesso, una riduzione della latenza nei processi di lavoro complessi degli agenti.

Il portfolio iniziale della fondazione include anche AGENTS.md di OpenAI e il progetto Goose di Block, entrambi donati all’AAIF.

La fondazione ne supervisionerà il funzionamento e il coordinamento futuri, garantendo che queste iniziative rimangano in linea con i principi di neutralità tecnica, apertura e gestione della comunità, promuovendo così l’innovazione nell’intero ecosistema dell’IA.

Anthropic ha sottolineato che questa transizione non modificherà il modello di governance del protocollo MCP. I responsabili del progetto continueranno a dare priorità al feedback della community e a processi decisionali trasparenti, sottolineando l’impegno di Anthropic nel preservare MCP come standard aperto e indipendente dai fornitori.

L'articolo Linux Foundation crea l’AAIF: la nuova cabina di regia dell’Intelligenza Artificiale globale? proviene da Red Hot Cyber.

Disney concede a ad OpenAI l’utilizzo di 200 personaggi per generare video

Disney investirà 1 miliardo di dollari in OpenAI e concederà ufficialmente in licenza i suoi personaggi per l’utilizzo nel suo generatore video Sora. L’accordo arriva nel bel mezzo di un acceso dibattito a Hollywood su come il rapido progresso dell’intelligenza artificiale stia cambiando l’industria dell’intrattenimento e incidendo sui diritti dei creatori di contenuti.

In base all’accordo di licenza triennale, gli utenti di Sora potranno creare brevi video per i social media con oltre 200 personaggi degli universi Disney, Marvel, Pixar e Star Wars. Tuttavia, i termini dell’accordo stabiliscono specifiche restrizioni: le immagini e le voci degli attori associati a questi franchise non saranno utilizzate.

Si tratta del passo più significativo di OpenAI verso Hollywood dopo il controverso lancio di Sora e una serie di lamentele sul suo strumento di video generativo. Il servizio si è già trovato al centro di polemiche per possibili violazioni del copyright e per la comparsa di video con personaggi famosi in immagini provocatorie e offensive.

Le immagini razziste di Martin Luther King Jr. e l’uso di Malcolm X, che sua figlia ha definito doloroso e irrispettoso, hanno suscitato particolare polemica, spingendo l’azienda a iniziare a limitare più severamente tali richieste.

Anche la Disney stessa protegge attivamente la propria proprietà intellettuale dall’uso incontrollato nei servizi generativi. In autunno, l’azienda ha presentato una severa richiesta di risarcimento contro Character.AI, accusandola di violazione del copyright a causa di chatbot basati sui personaggi Disney.

Successivamente, secondo pubblicazioni di settore, gli avvocati della Disney hanno chiesto a Google di cessare di utilizzare i personaggi dello studio nei suoi sistemi di intelligenza artificiale. Il nuovo contratto con OpenAI mira a rendere lo sviluppo dei personaggi una questione contrattuale e gestibile.

Bob Iger, CEO di Disney, ha presentato la collaborazione come un modo per combinare le storie riconoscibili dell’azienda con le capacità dell’intelligenza artificiale generativa e ampliare i formati narrativi, preservando al contempo la protezione dei creatori e delle loro opere. Sam Altman, CEO di OpenAI, da parte sua, ha promosso l’accordo come un esempio di come le aziende tecnologiche e l’industria dell’intrattenimento possano costruire una partnership più responsabile, che bilanci l’innovazione con il rispetto del lavoro creativo e delle leggi sul copyright.

Disney non si limiterà a concedere in licenza i personaggi di Sora e diventerà un importante cliente di OpenAI. L’azienda prevede di utilizzare le API di OpenAI per creare nuovi prodotti digitali e strumenti interni, nonché di distribuire ChatGPT ai dipendenti. Una sezione separata di video generati dagli utenti creati in Sora apparirà nel catalogo del servizio Disney+, rafforzando l’integrazione dei video generativi nell’ecosistema della holding multimediale.

L’accordo dimostra come un importante studio e uno sviluppatore di intelligenza artificiale stiano cercando di stabilire nuove regole del gioco in un momento in cui sceneggiatori, attori, artisti degli effetti visivi e altri operatori del mercato protestano contro la sostituzione del lavoro umano con algoritmi e l’uso del loro aspetto e delle loro sembianze senza consenso.

In questo contesto, l’accordo tra Disney e OpenAI sta diventando un banco di prova per verificare se sia possibile conciliare i vantaggi commerciali dell’intelligenza artificiale con reali garanzie per i creatori di contenuti.

L'articolo Disney concede a ad OpenAI l’utilizzo di 200 personaggi per generare video proviene da Red Hot Cyber.