Javi Carretero (@kr2e) header
Javi Carretero (@kr2e) profile picture

SSWE @HubSpot. Proud dad. Love 🏀, MTG 🧞‍♂️and solving problems🧑‍💻one prompt at a time.

Liege, Belgium
Joined April 2010
Photo by Javi Carretero (@kr2e)Photo by Javi Carretero (@kr2e)Photo by Javi Carretero (@kr2e)Photo by Javi Carretero (@kr2e)Photo by Javi Carretero (@kr2e)Photo by Javi Carretero (@kr2e)Photo by Javi Carretero (@kr2e)Photo by Javi Carretero (@kr2e)Photo by Javi Carretero (@kr2e)
Javi Carretero retweeted
She already knew the root password for SSH on Alpine
AAAAAAAAAAAAAHHHHHRHRGRGRGRRRGURBHJB EORWPSOJWPJORGWOIRGWSGODEWPGOHEPW09GJEDPOKSD!!!!!!!!!!!!!!!0924QU8T63095JRGHWPE09UJ0PWHRGW
49
858
27
13,262
305,074
This is bad. Really bad 😬😬
‼️ BREAKING: OpenSSH has rushed out a fix for a critical flaw that lets attackers log into some Linux servers without the right password. The team learned of the bug a day earlier. OpenSSH's Damien Miller says long embargoes now mostly help attackers, because AI agents rediscover bugs, sometimes within hours. It hits Linux systems on the musl C library with PAM off, such as Alpine Linux. Miller told admins to disable password logins or SSH itself "IMMEDIATELY". Version 10.6p2 works around it. Systems on glibc or PAM are not affected, and Miller says the root cause sits outside OpenSSH.
14
Nice! We need to worry about severe CVEs in the Linux kernel, supply chain attacks enabling money heists, AIs going rogue attempting to hack companies, and now also legit tooling trying to bypass local security controls 🤦‍♂️ Nobody sharing cat memes anymore yk, for a change?
Postman 最新版本的操作彻底惹怒了全球开发者,GitHub 上的 Issue #14370 已经被愤怒的程序员直接冲上千星。 很多开发者以为这只是又一个弹窗推广 AI 的商业行为,但翻开代码和配置才发现性质极其恶劣: Postman 桌面客户端在启动时,竟然在后台静默扫描用户的本地环境,直接修改了本机的 ~/.claude/settings.json 和 ~/.codex/config.toml,将 Postman 远程 Model Context Protocol(MCP)插件强行注入给开发者的 Claude Code 和 OpenAI Codex 工具链! 更夸张的是,它的安装脚本竟然直接在本地配置里写入了一条 trust 信任记录,把自己的启动 Hook 标记为已信任,强行绕过了 Claude 和 Codex 原本强制弹出的用户安全确认窗口!如果不是 Codex 在后台尝试连接 mcp.postman.com 时疯狂抛出鉴权失败日志,绝大多数工程师到现在还被蒙在鼓里。 作为日常必备的接口调试工具,Postman 发出的每一个请求体里,都带着真实的生产 Bearer Token、金融测试账号、未脱敏的内网微服务路由甚至云端 AccessKey。原本为了提效的辅助工具,却未经许可私自篡改本地其他软件配置并建立远程通道。 这也直接把大量金融与企业团队推向了彻底的离线化替代路线:现在很多团队在组策略里直接禁封 Postman,连夜转向数据 100% 存在本地 Git 仓库纯文本的 Bruno 和 Hoppscotch。
43
Javi Carretero retweeted
human-in-the-loop └ human-on-the-loop └ human-near-the-loop └ human-cc'd-on-the-loop └ human-legally-liable-for-the-loop
123
723
93
8,958
261,291
Javi Carretero retweeted
Day 28/ tibo's game has landed i spent $5.99 on this domain, but i had a blast making it with grok bot and cursor! i hope you enjoy it and find all the easter eggs 🤍 if i did it right you should be able to play it inside of X too tibo.dog
1,519
892
837
14,078
2,217,188
Javi Carretero retweeted
A CVE (Common Vulnerabilities and Exposures) is a publicly disclosed security flaw. They increased following a slight upward slope all the way to early 2024, when there was a sudden small increase... then starting in 2026, we went full exponential. In most instances, the vulnerabilities were pre-existing, so much of the increase is just our better ability to find the faults. This is of historical importance. We have never witnessed anything of the sort.
35
155
36
725
46,810
Insane ARR growth and scale! It’s really mind blowing 🤯
that's it 1,000,000 VMs spawned on boat.dev since launch in late may half of it was just in the last 9 days!
1
4
378
Javi Carretero retweeted
Un experto con IA siempre será capaz de ofrecer mejores soluciones que un no experto con IA. Por eso creo que aprender es cada vez más importante, debemos exprimir la IA todo lo que podamos pero eso no nos tiene que robar al interés y la curiosidad de aprender por nosotros mismos.
Estamos viviendo la época del esplendor del Dunning Kruger. Todos son expertos en todo ya que creen todo lo que la IA les dice en cosas que poco o nada conocen.
17
16
4
251
45,514
Javi Carretero retweeted
Calling it now. AI is going to usher in a whole new era of software development. I’m calling it Software as a Service. People will want to use these tools but they’ll realize they don’t want to spend the time to maintain and update them over time. This will create a whole new category of businesses and entrepreneurs that can take on that task for businesses that would rather work on their core products. AI is changing everything. This is a whole new paradigm of thinking about the way we interact with software.
i have no time to maintain all my vibe coded tools we need a business model where someone else maintains the code and i just pay a monthly fee
236
234
85
4,418
265,732
Can we name this “the Theo effect”? (really cool project btw 👀)
I urgently need someone at @cloudflare to get us on the enterprise plan in the next few hours, we need higher limits, budget is not a problem, time is! thanks
1
4
590
This is the thing that causes me the most anxiety in the world. Probably because I have never missed any.. should I try? 😅
You can just miss flights. Like nothing bad will happen. It's really not a big deal. You can just do things
1
49
Javi Carretero retweeted
Tras la rueda de prensa del Ministro, la cuestión no será quién se equivocó esta mañana. Hoy toca el respeto y el silencio por las familias. Pero mañana tocará preguntar. Veamos primero LOS HECHOS 1. El sistema de señalización de la línea estaba averiado. Al caer, entró un modo degradado que obliga a circular a marcha a la vista. Según las primeras informaciones, hasta ocho trenes quedaron detenidos en la zona. 2. Un maquinista se encontró una señal en rojo, pidió autorización al centro de control de Atocha para rebasarla, y delante había un tren parado. 3. El Gobierno apunta a error humano de un técnico de Adif. Puede que lo sea. Pero el error humano es el final de la cadena, no el principio. 4. El sistema que falló es el LZB, instalado en 1992, cuando se inauguró el AVE para la Expo. Madrid-Sevilla era la única línea de alta velocidad española que seguía con esa tecnología. Todas las demás ya operan con el estándar europeo ERTMS. 5. Su sustitución se licitó en 2020. La licitación tuvo que repetirse. Se adjudicó en septiembre de 2021, con 52 meses de plazo. En abril de 2025 el Ministerio fijaba el objetivo: la línea cumpliría su 34 aniversario completamente renovada y con ERTMS 2. Es decir, debía estar terminada este año. 6. No lo estaba. En el momento del choque, el ERTMS todavía no era el sistema operativo principal de la línea. Y mientras tanto se siguió explotando a pleno rendimiento, con demanda récord y tres operadores compartiendo una infraestructura concebida para uno. 7. Hay 700 millones invertidos en la renovación integral de esa línea, según el propio Ministerio. Sirvieron para renovar vía, traviesas, desvíos, subestaciones. No sirvieron para completar la señalización. 8. Y aquí está el problema de fondo. España construyó la red de alta velocidad más extensa de Europa mientras su primera línea seguía protegida por un sistema de 1992. La inauguración rinde en titulares. El mantenimiento no se inaugura. 9. Hace nueve meses, 46 fallecidos en Adamuz. La misma línea. La investigación sigue abierta. Dos catástrofes ferroviarias en el mismo corredor en nueve meses, en el país que presumía de tener el mejor tren de Europa. Y ahora LAS PREGUNTAS: A. ¿Quién autorizó los sucesivos retrasos del ERTMS y con qué informe de riesgo? B. ¿Qué análisis se hizo sobre explotar la línea en modo degradado durante las obras? C. ¿Por qué un protocolo permite sustituir una protección automática por una autorización verbal sin una barrera de respaldo? D. ¿Qué recomendó la comisión de investigación tras Adamuz, y qué se aplicó? E. Las recomendaciones de seguridad las emite el investigador, pero quien decide aplicarlas es el investigado. ¿Quién verifica que se cumplen, y qué ocurre si no se cumplen? Hoy no toca responderlas. Toca acompañar a quien llora. Pero que nadie nos convenza de que esto fue mala suerte, ni de que se resuelve señalando a un operador en una sala de control de Atocha. Los accidentes no empiezan el día que ocurren. Empiezan años antes, en un expediente que se aplaza, en una licitación que se repite, en una prioridad presupuestaria que se cambia. En unos presupuestos que no se presentan ni se aprueban. Hoy hemos visto el final de esa cadena. Falta saber dónde empezó. Conviene ir anotando las preguntas. Dentro de dos semanas muchos querrán que no se hagan.
319
3,894
182
9,137
388,678
Leer estas historias te atraviesa, especialmente cuando sabes que hay corrupción y negligencia de fondo. El tren debería ser una opción común, segura y accesible para todos. Mucha gente ha muerto por culpa de una infraestructura penosa y todos echando balones fuera 😔😔
Os cuento: El AVE de Renfe ha chocado por detrás contra un Iryo que estaba parado en la vía. ¿Y por qué estaba parado? Esa mañana falló el LZB, el sistema que vigila automáticamente la distancia entre trenes y los frena si hay peligro. Sin él, se pasa a un modo de emergencia. Los trenes avanzan con señales laterales y con órdenes que da por radio el centro de control. Por el fallo, unos 8 trenes quedaron retenidos en la zona. Entre ellos, el Iryo y, detrás, el AVE. Allí no hay estación ni parada comercial. Fue una parada por el tráfico, no programada. Cuando se ordenó reanudar la marcha, el Iryo NO pudo arrancar y se quedó parado en la vía. ¿Por qué no arrancó? Nadie lo ha explicado, y en la SER cuentan que no consiguen localizar al maquinista, así que puede estar entre los fallecidos. Según fuentes del Gobierno citadas por El País, desde el centro de control de Atocha se habría dado por error la orden de avanzar al AVE, con el Iryo todavía delante. Ojo, es una versión anónima, no una conclusión oficial. Ya les conocemos. En ese modo de emergencia, la norma es que si no hay certeza de que la vía está libre, el tren debe ir a la vista, a 40 km/h como máximo y listo para frenar ante un obstáculo. A esa velocidad, un choque tan grave sería muy difícil, además vemos como la vía a atravesado el tren. En 2021 Adif adjudicó a Thales la renovación de la señalización de esta línea, incluida la llegada del ERTMS, el sistema que debe sustituir al LZB: 93,8 M€ y un plazo de 52 meses. Eso marcaba el final para principios de 2026. En octubre de 2026 el ERTMS sigue sin funcionar. Según elEconomista, la migración del LZB al ERTMS estaba en fase final de pruebas este mes. Además, el mantenimiento de la señalización, incluido el LZB, lo tiene la UTE GTS–SEMI (87,3 M€). ¿Había trabajos en el sistema el día del fallo?
22
Back in London for a few days after a very long time 🇬🇧
8
Some walk with you for a while… Others stay in your sky forever…
726
8,584
988
57,052
16,218,679
Javi Carretero retweeted
i own a relatively new (2025) samsung tv. i kept getting weirdly targeted ads. i tried reversing the firmware but it was aes encrypted and no keys unless tear it apart and do uart/jtag magic. zero days it is. root shell on new samsung TVs! discovered PRIVACY HORROR. write up?
724
3,877
665
36,730
4,862,448
Warcraft III
Anyone who gamed between 1995-2010 What's the one game you still think about?
23
Javi Carretero retweeted
Saturday is for time with family.
Saturday is for fixing bugs while sipping coffee. What are some great places to hangout in SF?
46
72
13
2,698
186,462
This is a great feature to increase adoption, but I know @bot also integrates well with @1Password (also announced recently) What does the native vault provide that 1P doesn’t? What am I missing? (beyond the native vault being included in the Bot plan)
Grok Bot can now save your logins, cards, and contact information. Add them once, and Bot securely remembers them for the future.
54
😔
We've decided to sunset Arc on December 22, 2026. That's not an easy sentence to write. We spent years building Arc and celebrating each and every release along the way: we have so much pride and love for what we made alongside the Arc community. Our priority is to deliver best-in-class security for our members. Keeping a browser secure takes constant, dedicated work that is only increasing in the age of AI. Dia was built from the ground up to meet today’s security standards, so that's where our engineering and security teams will focus moving forward. We've worked to make switching to @diabrowser as easy as possible for Arc members. Here's how: · Your passwords, bookmarks, extensions and history come over to Dia seamlessly. · Spaces, Folders, and Tab Groups are in Dia and import over with your data intact. · Dia now surpasses Arc benchmarks in stability, speed, and security. · The browser features you use in Arc are free in Dia, and the AI is optional. Thank you for using Arc, for pushing us to make it better, and for building alongside us. The team that made Arc is the same team behind Dia, and some of our most ambitious work is just ahead. We'd love for you to be there with us when it lands.
1
121