Reachy Mini 1.12 prepara cambios en la cuenta y el control web

Pollen Robotics Reachy Mini tendrá que vincularse de nuevo a Hugging Face al pasar al nuevo sistema de cuentas de la versión 1.12. El cambio separa el acceso del robot de las credenciales que el usuario emplea en otras herramientas del ordenador. Llega acompañado de protecciones para el control por navegador y de una corrección que permite cargar avatares grandes en aplicaciones remotas.

Por ahora está publicado como 1.12.0rc1, una versión preliminar del 2 de octubre, tanto en GitHub [en] como en PyPI [en]. La distribución estable sigue siendo 1.11.0. La noticia interesa a propietarios y autores de aplicaciones porque adelanta una acción necesaria al actualizar; no significa que todos los robots ya hayan recibido estos cambios.

La actualización anterior de Reachy Mini abordaba la conexión remota y las esperas al arrancar. Esta candidata revisa quién puede enviar determinadas peticiones al servicio de control y cómo se conserva la sesión de la cuenta.

Una página de internet podía alcanzar el control local

El servicio del robot confiaba en que las peticiones procediesen de la red cercana. La corrección incorporada al proyecto [en] describe dos vías por las que una página externa podía superar esa separación: cambiar la dirección a la que apunta su dominio hasta llevarla a la IP local del robot, o enviar una petición que modificase datos sin pasar por una comprobación previa del navegador.

El segundo caso tiene una consecuencia concreta documentada por los desarrolladores: permitía sustituir el token de Hugging Face guardado por el servicio. La explicación de Mozilla sobre CSRF [en] ayuda a interpretar el fallo: impedir que una web lea una respuesta no basta para impedir que envíe una orden con efectos. Es documentación del mecanismo, no una auditoría independiente de Reachy Mini.

La candidata filtra el nombre de destino y el origen de las peticiones que cambian el estado. Conserva el acceso desde direcciones IP, localhost y nombres locales terminados en .local, además de los orígenes admitidos para aplicaciones nativas. El SDK de Python y las herramientas que no envían una cabecera de origen mantienen su acceso.

Los clientes que entran directamente desde la red local siguen siendo de confianza. La modificación no introduce una clave de emparejamiento para cada dispositivo. Por eso no equivale a exigir autorización individual a cualquier ordenador conectado al mismo wifi.

La cuenta del robot se guarda por separado

El nuevo almacén de credenciales [en] reúne los distintos métodos de inicio de sesión en un archivo propio del servicio. Ya no toma automáticamente el token de las herramientas de Hugging Face del usuario ni de la variable de entorno HF_TOKEN. El archivo limita lectura y escritura a su propietario.

Cerrar sesión también cambia: una respuesta de inicio de sesión que llegue tarde no debe volver a guardar la cuenta después de que el usuario la haya desconectado. A la vez, salir desde el robot conserva las credenciales de las herramientas de línea de comandos del ordenador.

Esa separación explica el aviso de volver a vincularlo. No se migran las credenciales del sistema anterior, de modo que un robot previamente enlazado aparecerá desconectado una vez. El desarrollador documenta una comprobación física en un Wireless con Hugging Face; esa prueba no acredita por sí sola cada instalación del modelo Lite.

Otra corrección de los errores de inicio de sesión [en] evita volcar respuestas del proveedor y datos de acceso en páginas y registros. El autor describe pruebas con un código inválido en un Wireless y mensajes de error reducidos a información controlada. Estos cambios afectan al acceso remoto, no convierten en local una aplicación que utiliza modelos externos. La conversación local con Reachy Mini requiere su propia configuración.

Los avatares grandes necesitan actualizar ambos extremos

La versión también corrige un fallo visible al usar la conversación desde un cliente remoto. Según la implementación de WebRTC [en], las respuestas de más de 64 KiB se perdían en el canal de datos; nueve de los trece avatares de la aplicación superaban ese límite y podían quedar sustituidos por una imagen provisional.

El servicio divide los mensajes grandes y el SDK de TypeScript vuelve a unirlos. Actualizar solo el robot no resuelve el caso de un cliente antiguo: sin esa reconstrucción, seguirá agotándose la espera. El desarrollador registra una prueba con la aplicación móvil compilada contra el SDK modificado, distinta de prometer que cualquier aplicación publicada ya lo incorpora.

Quien utiliza el canal estable debe distinguirlo de esta candidata. La documentación de pip [en] explica que las versiones preliminares no se seleccionan por defecto. La existencia del paquete tampoco demuestra que la herramienta de actualización del robot lo ofrezca automáticamente.

Reachy Mini Wireless sigue siendo un kit comercial de escritorio con cámara, micrófonos y batería. La tienda oficial ofrece la referencia Wireless por 435 € [en], incluye España entre los destinos y anuncia hasta 90 días para expedirlo. Incluye piezas y herramientas de montaje; portes y cargos de importación se concretan al tramitar el pedido. Para quien ya lo tiene, la preparación útil es conservar la versión instalada y contar con volver a enlazar su cuenta cuando adopte el nuevo sistema.