When does a 16GB GPU break even against frontier LLM APIs
Break-even estimates between buying a GPU and paying an API disagree by an order of magnitude because the assumptions are rarely stated. With public list prices as of early October 2026, measured local throughput and estimated electricity, a 700-euro 16GB card pays for itself after about 584 hours of saturated work against Claude Opus, 1,234 against Claude Sonnet, 7,360 against a hosted Qwen3.8-27B, and never against a hosted Qwen3.6 35B mixture of experts. Continua a leggere
Ultima modifica:
La connessione che cade, l'OOM killer, un riavvio maldestro: l'upgrade si interrompe a metà e da quel momento ogni comando apt risponde che dpkg è stato interrotto e va riconfigurato a mano. Il sistema funziona ma non si aggiorna più, e ogni tentativo produce un errore diverso dal precedente. La buona notizia è che un Debian interrotto a metà upgrade si ripara quasi sempre senza reinstallare niente, dal caso banale fino al database di dpkg corrotto. 
Most agentic coding benchmarks stop being useful the day the models learn to pass them, and many never were: a task whose visible tests can be satisfied by a wrong fix measures how convincing a model is, not how correct. Building tasks that cannot be faked took me several rounds of failures. Two levers worked, one did not, an oracle had a bug that only an attack revealed, and a trap written before any model ran caught eight runs out of eight with the same exact signature. 
Con systemd 259 il default dello storage del journal è passato da auto a persistent, e la directory /var/log/journal si crea da sola: i log finiscono su disco sempre, anche dove prima vivevano in RAM e sparivano al riavvio. Con i limiti di fabbrica, su un VPS piccolo, significa fino a 4 GB mangiati in silenzio. Capire in che regime sei richiede un comando, mettere un tetto tre righe di configurazione, e poi resta da decidere dove i log meritano davvero di vivere. 
Quando un modello mixture of experts non entra nella VRAM, llama.cpp può tenere una parte degli esperti nella RAM di sistema e calcolarli sulla CPU. Su una scheda da 16 GB il 35B di Ornith alla quantizzazione ufficiale da 4 bit gira solo così, e il conto è preciso: al gradino migliore perde il 43% della generazione e l'84% della lettura dei prompt rispetto alla versione a 3 bit che entra intera. La RAM conta meno di quanto si crede, ma sotto una soglia crolla tutto. 
Gli avvisi di sicurezza di PHP sono stati pubblicati alle 13:34 UTC. La prima richiesta che cercava quella vulnerabilità sul mio sensore è arrivata alle 15:09, un'ora e trentacinque minuti dopo. Su un archivio di dodici anni dove il ritardo mediano è di 523 giorni, è il terzo caso più veloce mai registrato. Quello che è arrivato, però, non somiglia a quello che ci si aspetterebbe, e quella differenza serve a chi deve guardare nei propri log. 
Un log HTTP non dice quale vulnerabilità stava cercando chi ha fatto la richiesta. Dice un metodo, un percorso, uno user agent. Da lì a "questa è la CVE tale" c'è un salto che si può fare in modo onesto oppure in modo sbagliato, e il modo sbagliato produce classifiche che sembrano analisi e non lo sono. Su dodici anni di richieste non sollecitate il salto regge solo partendo dalle firme pubbliche, con quattro filtri e una coda di revisione umana. 
A marzo 2026 il progetto ingress-nginx è stato ritirato: repository archiviato, niente più release, nessun fix nemmeno per le vulnerabilità che verranno. Il problema è che i cluster non se ne sono accorti, perché tutto continua a funzionare, ed è esattamente così che un componente esposto a internet, che termina il TLS e parla con l'API server, diventa una bomba a orologeria silenziosa. Le strade di uscita sono quattro e non si equivalgono affatto. 
Per PHP2Shell la risposta è stata un'ora e trentacinque minuti dagli avvisi, e quattro giorni prima altrove. Ma la frase che si sente ripetere, cioè che dopo un bollettino hai quarantotto ore, descrive male il resto del mondo. Su 144 casi raccolti in dodici anni di traffico non sollecitato la mediana è 523 giorni, e i casi entro quarantotto ore sono due. Non vuol dire stare tranquilli, vuol dire spendere la fretta dove serve. 
La domanda che ogni azienda italiana che usa l'AI dovrebbe saper rispondere è cambiata di natura: non più cosa dice l'AI Act, ma chi viene a controllare e per cosa. Il 4 agosto 2026 il Consiglio dei Ministri ha chiuso il cerchio approvando in via definitiva i decreti attuativi della legge 132/2025, e il primo è già in Gazzetta, tanto che dal 30 settembre esistono il reato di omessa adozione delle misure di sicurezza e i nuovi illeciti 231.