یه محقق امنیتی یه باگ روز صفر از نوع Use-After-Free توی مرورگر Ladybird پیدا کرده که اجرای کد از راه دور رو ممکن می‌کنه. این آسیب‌پذیری از تعامل سه ساختار داده داخلی موتور جاوااسکریپت LibJS سوءاستفاده می‌کنه و از طریق حافظه WebAssembly قابل تریگر شدنه. خوشبختانه تیم Ladybird چند روز بعد از گزارش، پچ رو منتشر کرد و باگ الان برطرف شده.

یه محقق امنیتی کشف کرده که اگه یه diff جعلی داخل متن commit message بذاری، وقتی فایل .patch رو با ابزار GNU patch اعمال کنی، اون diff مخفی هم اجرا می‌شه. یعنی یه فایل کاملاً اضافه که اصلاً بخشی از commit واقعی نبوده، روی سیستم قربانی ساخته می‌شه. این مشکل حتی می‌تونه به مسیرهای حساسی مثل git hooks هم هدف بگیره. هنوز مشخص نیست تقصیر GNU patch هست، GitHub، یا خود فرمت patch.

پلتفرم ویدیویی Vimeo تأیید کرده که اطلاعات برخی از کاربران و مشتریانش به دنبال نقض امنیتی در شرکت Anodot لو رفته. مهاجمان به آدرس ایمیل‌ها، عناوین ویدیوها و داده‌های فنی دسترسی پیدا کردن، اما رمز عبور، اطلاعات پرداخت و محتوای ویدیوها در امان موندن. گروه اخاذی شناخته‌شده‌ی ShinyHunters پشت این حمله‌ست و تهدید کرده اگر تا ۳۰ آوریل باج دریافت نکنه، داده‌ها رو منتشر می‌کنه. Vimeo هم دسترسی‌های Anodot رو قطع کرده و با متخصصان امنیتی مشغول بررسی ماجراست.

پکیج محبوب elementary-data در PyPI که ماهانه بیش از ۱.۱ میلیون بار دانلود می‌شه، هک شد و یه نسخه مخرب روی آن آپلود شد. مهاجم با سوءاستفاده از یه آسیب‌پذیری در GitHub Actions، یه کامیت جعلی امضا کرد و نسخه backdoor دار رو از طریق pipeline رسمی پروژه منتشر کرد. این نسخه مخرب قادر به سرقت کلیدهای SSH، اعتبارنامه‌های ابری، فایل‌های .env، کیف‌پول‌های رمزارز و تاریخچه شل بود. یه نسخه پاک (۰.۲۳.۴) جایگزین شده، ولی کسایی که نسخه آلوده رو دانلود کردن باید فوری همه secret هاشون رو تغییر بدن.

گزارش تهدیدات جهانی ۲۰۲۶ فلش‌پوینت نشون می‌ده که چشم‌انداز امنیت سایبری داره به سرعت تغییر می‌کنه. مهاجمان دیگه فقط از هوش مصنوعی مولد استفاده نمی‌کنن، بلکه به سمت عوامل خودمختار رفتن که بدون دخالت انسان، حملات رو از ابتدا تا انتها اجرا می‌کنن. باج‌افزار هم با رشد ۵۳ درصدی، شکل تازه‌ای گرفته و تمرکز اصلی مهاجمان روی سرقت هویت و اعتبارنامه‌هاست. با بیش از ۳.۳ میلیارد اعتبارنامه و توکن ابری لو رفته، هویت دیجیتال به مهم‌ترین نقطه آسیب‌پذیر تبدیل شده.

گوگل به وزارت دفاع آمریکا (پنتاگون) دسترسی به هوش مصنوعی‌اش رو روی شبکه‌های طبقه‌بندی‌شده داده و تقریباً همه استفاده‌های قانونی رو مجاز دونسته. این اتفاق درست بعد از اون افتاد که آنتروپیک از قبول همین شرایط سر باز زد و به خاطر نگرانی از نظارت داخلی گسترده و سلاح‌های خودمختار، زیر بار نرفت. حالا پنتاگون آنتروپیک رو «ریسک زنجیره تأمین» برچسب زده و پرونده‌شون توی دادگاهه. گوگل سومین شرکت هوش مصنوعیه که بعد از OpenAI و xAI با وزارت دفاع توافق کرده، حتی با وجود اعتراض ۹۵۰ نفر از کارمندان خودش.

۲۵ هفته پیشtechcrunch.com

سم آلتمن می‌خواد اوپن‌ای‌آی تا پایان ۲۰۲۶ وارد بازار بورس بشه، ولی گزارش‌های تازه نشون می‌دن که این مسیر خیلی هموار نیست. مشکل اصلی دوتاست: یکی بحران حاکمیتی داخلی، یکی هم معضل تأمین مالی زیرساخت‌های سنگین شرکت. مدیر ارشد مالی اوپن‌ای‌آی، سارا فریار، نه به آلتمن گزارش می‌ده و نه در جلسات کلیدی مالی حضور داره؛ و بدتر از اون، علناً نگرانی‌هاش درباره توان پرداخت تعهدات زیرساختی شرکت رو مطرح کرده. این ترکیب از مشکلات می‌تونه پرونده ثبت عرضه عمومی اوپن‌ای‌آی رو تا اطلاع ثانوی متوقف کنه.

۲۵ هفته پیشdavefriedman.substack.com

عوامل هوش مصنوعی با پیچیدگی مشکل ندارن، مشکلشون ابهامه. APIهایی که قوانین رو به‌صورت صریح و قابل‌تأیید تعریف می‌کنن، به ایجنت‌های AI اجازه می‌دن سریع‌تر و با خطای کمتر کد بنویسن. دروپال با حرکت به سمت سیستم‌های تایپ‌شده و اتریبیوت‌محور از سال‌ها پیش این مسیر رو طی کرده، در حالی که وردپرس همچنان روی سازگاری با نسخه‌های قدیمی تمرکز داشته. حالا این تفاوت معماری مستقیماً روی سرعت، دقت و هزینه‌ی استفاده از AI تأثیر می‌ذاره.

۲۵ هفته پیشdri.es

اوپن‌ای‌آی یه سیستم تبلیغاتی پیچیده داره که مستقیم داخل مکالمات ChatGPT آگهی تزریق می‌کنه. این آگهی‌ها بر اساس موضوع مکالمه هدف‌گذاری می‌شن و با یه زنجیره ردیابی چهارتکه‌ای، از لحظه‌ی نمایش تا خرید نهایی رو دنبال می‌کنن. یه SDK جاوااسکریپتی به اسم OAIQ هم روی سایت فروشنده اجرا می‌شه و اطلاعات بازدید کاربر رو به سرورهای اوپن‌ای‌آی گزارش می‌ده. در واقع اوپن‌ای‌آی نه‌تنها موقع نمایش آگهی، بلکه بعد از کلیک هم کاربر رو زیر نظر داره.

۲۵ هفته پیشbuchodi.com

در هجده ماه گذشته، تقریباً تمام حوادث بزرگ زنجیره تأمین نرم‌افزار متن‌باز ریشه‌شون به یه فایل YAML توی گیت‌هاب اکشنز برمی‌گرده. از ماینر ارز دیجیتال توی Ultralytics گرفته تا لیک شدن سیکرت‌های ۲۳ هزار ریپو در ماجرای tj-actions، همه‌شون از فیچرهایی سوءاستفاده کردن که دقیقاً طبق مستندات گیت‌هاب کار می‌کنن. مشکل اصلی اینه که گیت‌هاب اکشنز یه ابزار CI سازمانی بوده که هیچ‌وقت برای پول ریکوئست‌های ناشناس و فورک‌های عمومی بازطراحی نشده. این یعنی پیش‌فرض‌هاش برای دنیای متن‌باز خطرناکن.

Vercel اعلام کرده که یه حادثه‌ی امنیتی جدی داشته که از طریق یه ابزار هوش مصنوعی شخص ثالث به اسم Context.ai شروع شده. مهاجم از این طریق به حساب Google Workspace یه کارمند Vercel دسترسی پیدا کرده و از اونجا تونسته متغیرهای محیطی غیرحساس مشتریان رو بخونه و رمزگشایی کنه. Vercel با GitHub، Microsoft، npm و Socket تأیید کرده که هیچ پکیج npm‌ای دستکاری نشده. به کاربران توصیه می‌شه همین الان متغیرهای محیطی که «sensitive» علامت‌گذاری نشدن رو بچرخونن.

کدی که هوش مصنوعی تولید می‌کنه ممکنه همه تست‌ها رو پاس کنه ولی در پروداکشن فاجعه به بار بیاره. فاصله‌ی بین «کدی که اجرا می‌شه» و «کدی که لایق پروداکشنه» خیلی بیشتر از چیزیه که فکرش رو می‌کنیم. مشکل اینه که مدل‌های زبانی ذاتاً احتمالاتی هستن، نه قطعی — و این با نیاز نرم‌افزار به رفتار قطعی یه تناقض اساسی ایجاد می‌کنه. با درک نحوه‌ی کار این ابزارها و نوشتن پرامپت‌های دقیق‌تر می‌شه این شکاف رو به حداقل رسوند.

۲۵ هفته پیشfrontendmasters.com

تیم C# Dev Kit در VS Code برای نوشتن افزونه‌های native مربوط به Node.js، تا به حال از C++ و node-gyp استفاده می‌کرد که نصب Python قدیمی رو روی همه ماشین‌های توسعه‌دهنده الزامی می‌کرد. این تیم تصمیم گرفته با استفاده از C# و قابلیت Native AOT در دات‌نت، این وابستگی ناخوشایند رو حذف کنه. Native AOT می‌تونه shared library بسازه که دقیقاً همون چیزیه که Node.js برای بارگذاری افزونه‌های native نیاز داره. نتیجه یه پایپ‌لاین ساده‌تر، سریع‌تر و بدون نیاز به ابزارهای اضافه‌ست.

Aube یه پکیج منیجر جدید برای Node.js هست که ادعا می‌کنه ۹.۲ برابر سریع‌تر از pnpm و ۲.۷ برابر سریع‌تر از Bun کار می‌کنه. یه ویژگی جالبش اینه که نیازی به مایگریشن lockfile نداره و می‌تونه با yarn.lock، pnpm-lock.yaml و package-lock.json موجود کار کنه. به جای اینکه پکیج‌ها رو توی هر پروژه کپی کنه، یه استور سراسری داره و پروژه‌ها رو به اون لینک می‌کنه که مصرف دیسک رو تا ۹۰٪ نسبت به npm کاهش می‌ده. امنیت هم یه اولویت جدی توش هست و برای lifecycle script‌ها و پکیج‌های جدید سیاست‌های سخت‌گیرانه‌ای داره.

۲۵ هفته پیشaube.en.dev

پلتفرم Scratch سال‌هاست با آسیب‌پذیری‌های مرتبط با SVG دست‌وپنجه نرم می‌کنه. هر بار که یه باگ امنیتی پیدا و پچ می‌شه، یه راه دور زدن جدید کشف می‌شه؛ از اجرای اسکریپت با حروف بزرگ گرفته تا نشت اطلاعات از طریق CSS nesting. TurboWarp با محاصره‌کردن SVG داخل یه iframe ایزوله‌شده با CSP سختگیرانه، رویکرد بهتری داره. جالب‌ترین بخش اینه که Claude Opus مدل هوش مصنوعی، یه آسیب‌پذیری جدید رو پیدا کرد که هنوز پچ نشده.

گوگل با Prompt API امکان اجرای مدل Gemini Nano رو مستقیماً توی مرورگر کروم فراهم کرده؛ یعنی می‌شه بدون ارسال داده به سرور، از هوش مصنوعی استفاده کرد. این API به توسعه‌دهنده‌ها اجازه می‌ده برنامه‌هایی مثل جستجوی هوشمند، فیلتر محتوا، یا استخراج رویداد تقویم بسازن. پشتیبانی از ویندوز، مک و لینوکس فراهمه اما موبایل هنوز ساپورت نمی‌شه. برای اجرا به حداقل ۲۲ گیگابایت فضای خالی و سخت‌افزار مناسب نیاز دارید.

۲۵ هفته پیشdeveloper.chrome.com

SurveyJS یه مجموعه کتابخونه جاوااسکریپتیه که بهت اجازه می‌ده فرم و نظرسنجی رو مستقیماً توی اپ خودت بسازی و داده‌ها رو هم روی سرور خودت نگه داری. برخلاف سرویس‌های SaaS معروف، هیچ محدودیتی برای تعداد فرم، پاسخ، یا کاربر نداره. این ابزار برای فریم‌ورک‌های React، Angular، Vue 3 و Vanilla JS در دسترسه و لایسنس MIT داره. با یه بار خرید لایسنس، می‌تونی از تمام امکانات پیشرفته‌اش برای همیشه استفاده کنی.

۲۵ هفته پیشsurveyjs.io

زنووی یه پلتفرم آنالیتیکس هست که به جای شمردن بازدید، مستقیماً بهت می‌گه کدوم کانال بازاریابی مشتری پولی آورده. این ابزار مستقیم به دیتای Stripe وصل می‌شه و اتریبیوشن واقعی رو نشون می‌ده. با یه اسکریپت ساده راه‌اندازی می‌شه و جایگزین ابزارهایی مثل Google Analytics، Hotjar و Mixpanel می‌شه. پلن پایه از ۲۰ دلار در ماه شروع می‌شه.

ابزاری به اسم Vibe App Scanner اومده که مخصوصاً ضعف‌های امنیتی اپ‌هایی رو پیدا می‌کنه که با ابزارهای هوش مصنوعی مثل Lovable، Bolt، Cursor یا Replit ساخته شدن. طبق تحقیقات مستقل، فقط ۱۰.۵٪ از این اپ‌ها واقعاً امن هستن و بقیه با مشکلاتی مثل لو رفتن کلیدهای API، نبود سیاست‌های امنیتی پایگاه داده و آسیب‌پذیری‌های احراز هویت دست‌وپنجه نرم می‌کنن. کافیه آدرس اپت رو وارد کنی تا ظرف چند دقیقه گزارش کامل امنیتی بگیری.

لاراول داره یه استارتر کیت اختصاصی برای APIها آماده می‌کنه. وندل، یکی از اعضای تیم لاراول، تو لایو استریم تأیید کرد که روی این قابلیت کار می‌کنه و دو پول‌ریکوئست هم توی ریپوی Maestro باز شده. یکی از این PRها یه استارتر کیت API پایه با احراز هویت stateless می‌ده و دیگری پشتیبانی از Teams رو اضافه می‌کنه. تاریخ انتشار هنوز مشخص نیست، ولی پروژه جدیه و داره پیش میره.

۲۵ هفته پیشlaravel-news.com