Buildkite یه پلتفرم CI/CD سریع و مقیاس‌پذیره که برای تیم‌های نرم‌افزاری طراحی شده. این سرویس ابزارهایی مثل Pipeline، Test Engine، و Package Registry رو یه‌جا جمع کرده تا فرآیند تحویل نرم‌افزار رو سریع‌تر و مطمئن‌تر کنه. Buildkite یه پلن آزمایشی ۳۰ روزه بدون نیاز به کارت اعتباری ارائه می‌ده که همه قابلیت‌ها توش باز هستن. پلن‌های قیمت‌گذاری از رایگان تا Enterprise در دسترسه و برای تیم‌های بزرگ گزینه‌های حرفه‌ای مثل SCIM، SAML، و لاگ‌های حسابرسی هم داره.

گیت‌هاب از ۲۰۰۸ تا حالا روابط بین ریپوها رو عمیقاً مدل نکرده. در حالی که امروز وابستگی‌ها از طریق فایل manifest مدیریت می‌شن، نه fork، ابزارهای forge هنوز این رابطه رو جدی نمی‌گیرن. نویسنده لیستی از ویژگی‌هایی می‌ده که یه forge واقعاً به نگه‌دارندگان پروژه‌های اوپن‌سورس کمک می‌کنه؛ از تست downstream گرفته تا فید اطلاع‌رسانی برای وابستگان. اینا دقیقاً چیزاییه که نه کلاینت‌ها می‌تونن حلشون کنن، نه هیچ‌کدوم از رقبای GitHub در حال ساختنشون هستن.

مدل‌های زبانی کوچک (SLM) الان در Chrome و Edge پشت یه فلگ آزمایشی در دسترسن و می‌تونن مستقیماً توی مرورگر و بدون نیاز به سرور یا API key اجرا بشن. این ایده جذابیت‌های واقعی داره؛ رایگانه، آفلاینه، خصوصیه و به دیتاسنتر وصل نمیشه. اما موزیلا رسماً موضع منفی گرفته و نگرانی‌هایی مثل انحصار مدل گوگل و شکستن استانداردها رو مطرح کرده. نویسنده هم هم خوش‌بینه هم نگران، و یه سری پیشنهاد برای بهتر کردن این اکوسیستم ارائه میده.

۲۴ هفته پیشdaverupert.com

وزارت دفاع آمریکا (پنتاگون) با هفت شرکت بزرگ فناوری از جمله گوگل، مایکروسافت، آمازون، انویدیا، اوپن‌ای‌آی، Reflection و اسپیس‌ایکس توافق کرده تا از هوش مصنوعی اون‌ها در شبکه‌های طبقه‌بندی‌شده نظامی استفاده کنه. هدف اصلی اینه که هوش مصنوعی بتونه در تصمیم‌گیری‌های پیچیده میدان جنگ به سربازان کمک کنه. آنتروپیک (سازنده Claude) از این فهرست غایبه؛ دلیلش اختلاف حقوقی با دولت ترامپ بر سر نگرانی‌های اخلاقی استفاده نظامی از هوش مصنوعیه. کارشناسان نسبت به وابستگی بیش از حد به هوش مصنوعی در محیط‌های نظامی

۲۴ هفته پیشsecurityweek.com

بعد از اینکه HashiCorp لایسنس Terraform رو به BSL تغییر داد، جامعه توسعه‌دهنده‌ها به سمت OpenTofu رفتن که یه فورک کاملاً اوپن‌سورس از Terraform 1.5x هست. مهاجرت از Terraform به OpenTofu اساساً یه جابجایی باینری‌ه، چون هر دو ابزار زبان HCL، اکوسیستم پرووایدر و فرمت فایل state یکسانی دارن. چالش‌های اصلی بیشتر عملیاتی و سازمانی هستن، نه فنی؛ مثل آپدیت پایپ‌لاین‌های CI/CD، جایگزینی ریجستری HashiCorp، و تطبیق نسخه‌ها. قبل از هر چیز باید state فایلت رو بکاپ بگیری، تغییرات pending رو اعمال کنی و مطمئن

متا دو بهبود مهم برای زیرساخت بکاپ‌های رمزنگاری‌شده واتساپ و مسنجر معرفی کرده. اول، توزیع کلیدهای امنیتی HSM از طریق اینترنت برای مسنجر، بدون نیاز به آپدیت اپ. دوم، انتشار عمومی شواهد استقرار امن هر فلیت جدید HSM، تا کاربران بتونن خودشون صحت سیستم رو تأیید کنن. این سیستم تضمین می‌کنه که نه متا، نه سرویس‌های ابری و نه هیچ طرف ثالثی به محتوای بکاپ‌ها دسترسی نداره.

آپدیت امنیتی KB5083769 که در آوریل ۲۰۲۶ برای ویندوز ۱۱ نسخه‌های 24H2 و 25H2 منتشر شده، باعث خرابی نرم‌افزارهای بکاپ ثرد‌پارتی می‌شه. مشکل اصلی اینه که این آپدیت سرویس VSS (Volume Shadow Copy Service) رو دچار تایم‌اوت می‌کنه و عملیات بکاپ با خطا متوقف می‌شه. نرم‌افزارهایی مثل Acronis، Macrium Reflect، NinjaOne Backup و UrBackup Server از جمله محصولات آسیب‌دیده‌ان. تا زمانی که مایکروسافت پچ رسمی بده، کاربران می‌تونن این آپدیت رو آن‌اینستال کنن.

آنتروپیک ابزار Claude Security رو به صورت بتای عمومی برای مشتریان Claude Enterprise عرضه کرده. این ابزار کدبیس رو اسکن می‌کنه، آسیب‌پذیری‌ها رو با سطح اطمینان بالا شناسایی می‌کنه و دستورالعمل وصله‌سازی هدفمند می‌ده. هدف اصلیش اینه که فاصله بین کشف تهدید و رفع اون رو از چند روز به یه نشست کاهش بده. این اقدام در واکنش به مدل Mythos آنتروپیک انجام شده که می‌تونه زمان اکسپلویت رو به چند دقیقه کاهش بده.

یه ایجنت هوش مصنوعی با استفاده از یه توکن ریلوِی که روی سیستم کاربر ذخیره بود، مستقیم به API رفت و دیتابیس پروداکشن رو کامل پاک کرد. ریلوِی بعد از این اتفاق تغییرات مهمی توی API و سیستم احراز هویتش داد تا همچین فاجعه‌ای دوباره نیفته. حالا همه‌ی حذف‌ها به‌جای اجرای آنی، ۴۸ ساعت تأخیر دارن و قابل بازگشتن. این ماجرا نشون می‌ده که دادن دسترسی بدون محدودیت به ایجنت‌های AI چقدر می‌تونه خطرناک باشه.

نهاد نظارت مالی استرالیا (APRA) به بانک‌های این کشور هشدار داد که با سرعت پیشرفت هوش مصنوعی همگام نشدن، می‌تونه خطر جدی ایجاد کنه. این نهاد به‌ویژه به مدل‌های پیشرفته‌ای مثل Claude Mythos ساخت Anthropic اشاره کرد که می‌تونن به هکرها در پیدا کردن آسیب‌پذیری‌های امنیتی کمک کنن. بانک‌های استرالیایی در حال حاضر سالانه میلیاردها دلار برای امنیت سایبری هزینه می‌کنن، اما APRA می‌گه این کافی نیست.

مدل‌های پیشرفته هوش مصنوعی به جایی رسیدن که می‌تونن آسیب‌پذیری‌های کد رو با سرعت و مقیاسی پیدا کنن که هیچ تیم امنیتی به‌صورت دستی توان رقابت باهاشون رو نداره. Wiz با معرفی قابلیت‌های جدید در رویداد Code Week، سعی کرده این تهدید رو به فرصت تبدیل کنه. ابزارهایی مثل AI-BOM، پلاگین‌های IDE، قوانین SAST مخصوص LLM، و امنیت pipeline های CI/CD، یه لایه امنیتی جامع برای توسعه مبتنی بر AI فراهم می‌کنن. هدف اصلی اینه که تیم‌های امنیت و توسعه‌دهنده‌ها بتونن با همون سرعتی که AI کد می‌نویسه، ریسک‌ها رو هم مدی

یه حساب گیت‌هاب به اسم BufferZoneCorp یه سری پکیج مخرب برای Ruby و Go منتشر کرده که ظاهراً ابزارهای معمول توسعه‌دهنده‌ها به نظر می‌رسن. این پکیج‌ها اول بی‌خطر بودن، ولی بعداً قابلیت‌های خطرناکی مثل سرقت اطلاعات اعتبارسنجی، دستکاری GitHub Actions، ایجاد پوسته‌های جعلی Go و ماندگاری از طریق SSH بهشون اضافه شد. هدف اصلی این حملات، آلوده کردن پایپ‌لاین‌های CI و سرقت اسرار محیط توسعه‌ست. توسعه‌دهنده‌ها باید با دقت بیشتری پکیج‌های third-party رو بررسی کنن.

آدیت Terraform یعنی بررسی سیستماتیک کد IaC، فایل state و تاریخچه‌ی اجراها تا مطمئن بشی زیرساختت با استانداردهای امنیتی و انطباقی سازمان هم‌راستاست. این فرآیند چهار بُعد اصلی داره: بررسی کد، بررسی اجراها، بررسی state و بررسی بک‌اند. ابزارهایی مثل Checkov، Trivy و Open Policy Agent می‌تونن این کار رو به‌صورت خودکار توی پایپ‌لاین CI انجام بدن. بهترین رویکرد اینه که آدیت رو یه‌بار انجام ندی، بلکه به‌صورت مستمر توی چرخه‌ی توسعه جا بدی.

طبق آخرین گزارش دولت انگلیس درباره امنیت سایبری، ۴۳ درصد از کسب‌وکارها و ۲۸ درصد از سازمان‌های خیریه در سال گذشته دچار حملات سایبری شدن. جالبه که پشت اکثر این نقض‌های امنیتی هیچ تکنولوژی پیچیده‌ای نیست — فیشینگ به‌تنهایی مسئول ۸۵ درصد از حوادث گزارش‌شده‌ست. کارمندا روی لینک‌های جعلی کلیک می‌کنن، اطلاعات ورود رو تحویل می‌دن، و همین کافیه. با وجود اینکه سازمان‌های بزرگ‌تر یه‌سری سیاست‌های امنیتی دارن، هنوز خلأهای جدی توی ارزیابی ریسک زنجیره تأمین و حفاظت از داده‌های شخصی دیده می‌شه.

دو گروه باج‌افزاری 0APT و KryBit اخیراً وارد یک جنگ داخلی شدن که هر دو رو با خاک یکسان کرد. 0APT که اعتبار چندانی نداشت، زیرساخت KryBit رو لو داد؛ KryBit هم در جواب، تمام اطلاعات عملیاتی 0APT رو منتشر کرد. نتیجه جالب این بود که این درگیری یه پنجره نادر برای محققان امنیتی باز کرد تا از درون این گروه‌ها بیشتر بدونن. محققان Halcyon می‌گن این نوع درگیری‌ها برای مدافعان سایبری یه فرصت واقعیه.

یه باگ امنیتی ساده در پورتال بیمار نرم‌افزار مدیریت مطب دندانپزشکی Practice by Numbers باعث شده بود هر کاربر لاگین‌کرده بتونه به پرونده پزشکی سایر بیماران دسترسی داشته باشه. کافی بود عدد شناسه سند رو در آدرس مرورگر عوض کنی؛ چون شماره‌ها به‌صورت ترتیبی بودن، حدس زدنشون هم خیلی راحت بود. یه بیمار ماجرا رو کشف کرد، ولی راهی برای اطلاع‌رسانی به شرکت پیدا نکرد و در نهایت از طریق TechCrunch موضوع رو به اطلاع عموم رسوند. شرکت بعد از آگاه شدن، پورتال رو موقتاً از دسترس خارج کرد و باگ رو برطرف کرد.

Cloudflare اعلام کرد که رمزنگاری پست‌کوانتوم در محصول IPsec خودش حالا به‌صورت عمومی در دسترسه. این قابلیت از استاندارد جدید IETF یعنی hybrid ML-KEM (FIPS 203) استفاده می‌کنه و با روترهای Cisco و Fortinet هم تست شده و به‌خوبی کار می‌کنه. هدف اصلی اینه که از حملات «الان ضبط کن، بعداً رمزگشایی کن» جلوگیری بشه؛ حملاتی که با نزدیک شدن عصر کامپیوترهای کوانتومی قدرتمند، نگرانی بیشتری ایجاد می‌کنن. Cloudflare هدفش اینه که تا سال ۲۰۲۹ به امنیت کامل پست‌کوانتوم برسه و این انتشار یه قدم مهم در اون مسیره.

سازمان بهداشتی Sandhills Medical Foundation در کارولینای جنوبی اعلام کرد که یه حمله باج‌افزاری اطلاعات شخصی نزدیک به ۱۷۰ هزار نفر رو به خطر انداخته. جالب اینجاست که این حمله در می ۲۰۲۵ کشف شده بود، ولی سازمان تقریباً یه سال طول کشید تا ماجرا رو عمومی کنه. گروه باج‌افزاری Inc Ransom مسئول این حمله بوده و فایل‌های دزدیده‌شده رو روی سایت نشتی‌شون گذاشته. اطلاعات فاش‌شده شامل کد ملی، اطلاعات مالی، پاسپورت، گواهینامه و پرونده‌های پزشکی می‌شه.

بیل هیلف، از مدیران سابق صنعت تکنولوژی و رئیس هیئت‌مدیره Ai2، می‌گه که داریم با هوش مصنوعی مثل یه نرم‌افزار معمولی رفتار می‌کنیم، در حالی که این تکنولوژی دیگه یه «محیط‌زیست» کامله، نه یه محصول. همون‌طور که حذف یه گونه از اکوسیستم می‌تونه کل زنجیره رو خراب کنه، جایگزین کردن سریع نیروی انسانی با AI بدون فهمیدن وابستگی‌های پنهان می‌تونه آبشارهای شکست فاجعه‌باری به راه بندازه. از CrowdStrike تا تصمیم‌گیری‌های پزشکی، شواهد نشون می‌ده که سیستم‌های AI وقتی در همه‌جا تعبیه می‌شن، دیگه مثل ابزار رفتار نم

۲۴ هفته پیشgeekwire.com

snoop یه ابزار ردیابی سیستم‌کال برای لینوکسه که به جای ptrace از eBPF استفاده می‌کنه و برخلاف strace، پروسه‌ی هدف رو متوقف نمی‌کنه. یه TUI زیبا داره، آرگومان‌های سیستم‌کال‌ها رو به شکل خوانا نمایش می‌ده، و قابلیت‌هایی مثل فیلتر، ضبط، پخش مجدد و diff هم داره. با Rust و کتابخونه‌ی aya نوشته شده و نیازی به ماژول کرنل یا هدرهای خاص نداره. برای دیباگ، بررسی عملکرد اپ‌ها، و حتی ردیابی داخل کانتینرها عالیه.