امنیت
- ایجنت‌های هوش مصنوعی ناشناس تو حساب‌های بانکی
بانک‌های بزرگ آمریکا ایجنت‌هایی تو حساب مشتری‌ها دیدن که نمی‌دونن مجازن یا نه. مشکل اصلی نبودِ راهی برای تشخیص ایجنت مجاز از مزاحمه.
۳ ساعت پیش۳ دقیقهmindstudio.ai - سم آلتمن: یه تریلیون AI کمی باهوش‌تر از ما، نه یه ابرهوش تنها
آلتمن تو پادکست Cheeky Pint از باگ‌هایی که مدل‌ها تو PHP پیدا کردن، شک به sandbox کردن مدل‌های خیلی باهوش و اثبات Navier-Stokes با تیم ایجنت‌ها گفته.
۱۸ ساعت پیش۳ دقیقهcheekypint.substack.com - مایکروسافت: کاربرهای Entra ID رو تا فوریه به passkey ببرید
مایکروسافت دوباره به ادمین‌های Entra ID یادآوری کرده که احراز هویت پیامکی و صوتی از اول فوریهٔ ۲۰۲۷ کنار گذاشته می‌شه.
- Mistral Large 4 با وزن‌های باز منتشر شد
میسترال وزن‌های مدل یک تریلیون پارامتری Le Chonk رو باز کرده؛ مدلی که حالا تو کدنویسی و امنیت دفاعی جلوتر از بقیه‌ی مدل‌های باز ایستاده.
۲۰ ساعت پیش۳ دقیقهmistral.ai - مدل اوپن‌ویت GLM 5.3 با «patch gap» فایرفاکس رو هک کرد
تحقیق Epoch AI نشون می‌ده یه مدل اوپن‌ویت معمولی تونسته از فاصلهٔ بین انتشار پچ امنیتی و رسیدنش به کاربر، برای شش نسخهٔ اخیر فایرفاکس اکسپلویت بسازه.
- وصله امنیتی Ruby 4.0.9 چقدر طول کشید تا به دستت برسه؟
Ruby 4.0.9 با چند رفع باگ امنیتی منتشر شد، ولی بسته به ابزاری که استفاده می‌کنی، رسیدنش از ۷ دقیقه تا چند روز طول کشید.
- سم آلتمن: پچ کردن باگ‌ها دیگه جواب نمی‌ده
مدیرعامل OpenAI می‌گه AI باگ‌ها رو سریع‌تر از اونی پیدا می‌کنه که آدما بتونن درستشون کنن، و مدل دفاع امنیتی باید کامل عوض بشه.
- ایجنت‌های هوش مصنوعی سر از حساب‌های بانکی درآوردن
گزارش‌ها می‌گن بانک‌های بزرگ آمریکا ایجنت‌های AI رو دیدن که بی‌اجازه تو حساب مشتری‌ها کار می‌کردن، اونم وسط یه موج عجیب از رخنه‌های امنیتی.
- Gemini 4 Carbon: ادعاهای بزرگ، بدون راهی برای چک کردن
گوگل می‌گه Carbon قوی‌ترین مدلشه، مخصوصاً تو امنیت سایبری. ولی هنوز هیچ‌کس بیرون از گوگل نتونسته این ادعاها رو امتحان کنه.
۱ روز پیش۳ دقیقهmindstudio.ai - باگ body-parser: سرور Express با یه درخواست از کار می‌افته
یه درخواست فشرده با چند بایت اضافه ته‌ش کافیه تا پروسهٔ Node کرش کنه. بیشتر نسخه‌های قدیمی body-parser آسیب‌پذیرن، چون فشرده‌سازی پیش‌فرض روشنه.
- PHP2Shell: آپدیت کردی، ولی آیا قبلش هک شدی؟
دو باگ خطرناک PHP2Shell وصله شدن، ولی حمله‌ها از قبلش شروع شده بودن. یه اسکریپت فقط‌خواندنی کمک می‌کنه ببینی سرورت آسیب دیده یا نه.
- مدل داخلی Anthropic تو کروم، سافاری، اندروید، ویندوز و لینوکس باگ بحرانی پیدا کرد
Anthropic جزئیات پنج زنجیرهٔ حمله رو منتشر کرده که یه مدل داخلی‌ش پیدا کرده و ساخته؛ از اجرای کد تو کروم تا دور زدن قفل صفحهٔ اندروید.
- presetهای Spatie Laravel CSP 3: سیاست امنیتی بدون لیست دامنه‌های طولانی
نسخهٔ ۳ پکیج laravel-csp از Spatie برای سرویس‌هایی مثل HubSpot preset آماده داره و دیگه لازم نیست دونه‌دونه دامنه‌هاشون رو اضافه کنی.
۱ روز پیش۲ دقیقهshawnhooper.ca - قیمت و زمان عرضهٔ Gemini 4 Carbon
مدل جدید گوگل با قیمتی پایین‌تر از بیشتر رقبا اومده، ولی هنوز در دسترس عموم نیست و اول به تیم‌های امنیتی داده می‌شه.
۱ روز پیش۴ دقیقهmindstudio.ai - انتقال کاربرهای وردپرس به لاراول بدون ریست پسورد
وردپرس و لاراول هر دو bcrypt دارن، ولی ۷ تا از ۸ کاربر منتقل‌شده نتونستن لاگین کنن. راه‌حل یه hasher سفارشی و یه import درسته.
۱ روز پیش۴ دقیقهmozex.dev - رمز PDFهای MuPDF و Foxit بدون پسورد باز می‌شه
محقق‌های v12 نشون دادن چند تا برنامه‌ی PDF کلید رمزنگاری فایل رو از یه منبع تصادفی ضعیف می‌سازن و می‌شه فایل رو بدون رمز باز کرد.
- گوگل Gemini 4 Carbon رو معرفی کرد
گوگل قوی‌ترین مدلش رو با تمرکز روی امنیت سایبری و کارهای طولانی معرفی کرده، ولی فعلاً فقط یه گروه محدود از متخصص‌های امنیت بهش دسترسی دارن.
۲ روز پیش۳ دقیقهblog.google - «اکتبر سیاه»: موجی از حمله‌های سایبری پشت سر هم
چند تا نشت اطلاعات بزرگ تو چند روز پشت سر هم لو رفت؛ از Railway و LightLLM تا Quest Diagnostics. خیلی‌ها می‌گن پای هوش مصنوعی هم وسطه.
- دو آسیب‌پذیری RCE در PHP و موج خاموشی سایت‌ها
سرویس مانیتورینگ Oh Dear نشون داده بعد از افشای دو باگ بحرانی تو هستهٔ PHP، چند درصد سایت‌ها خاموش شدن و چطوری.
۲ روز پیش۳ دقیقهohdear.app - آپدیت امنیتی اکتبر Node.js: ده آسیب‌پذیری روی نسخه‌های 22، 24 و 26
پروژه Node.js نسخه‌های جدید 22، 24 و 26 رو برای بستن ده آسیب‌پذیری داده؛ از دور زدن چک گواهی TLS تا اجرای کد از راه دور با داده Brotli.
