گیت‌هاب گزینهٔ تازه‌ای به توکن‌های granular اضافه کرده که به ورک‌فلو اجازه می‌ده نسخه رو فقط برای بررسی ثبت کنه؛ انتشار نهایی می‌مونه برای نگهدارنده و تأیید دومرحله‌ای.

پلیس فدرال استرالیا با همکاری FBI دو مرد ۲۱ و ۲۳ ساله رو دستگیر کرد؛ متهمن کد مخرب رو توی پکیج‌های اپن‌سورس جاسازی کردن و کلید ورود هزار سازمان رو برداشتن.

فایروال توزیع‌شدهٔ VMware روی کارت‌های شبکهٔ هوشمند دیگه فروش نمی‌ره. مدیر بخش شبکهٔ Broadcom می‌گه مشتری‌ها فقط حرف می‌زدن و نمی‌خریدن.

یه محقق امنیتی روی ایمپلنت GraphWorm کار کرده و به تابعی رسیده که با یک دستور کل هویت OAuth بک‌دور رو عوض می‌کنه؛ پس باطل‌کردن توکن فقط یه تأخیره، نه پایان ماجرا.

یه ایجنت که هم داده‌ی خصوصی می‌بینه، هم متن غریبه می‌خونه و هم راهی به بیرون داره، بالاخره نشت می‌کنه. این پست همین درس رو با EchoLeak، ForcedLeak و دو مورد MCP روایت می‌کنه.

یه دانشجوی دکترا نشون داد کتابخونهٔ constant-time-js با همهٔ دقتش باز هم نشت زمانی داره، چون موتور جاوااسکریپت پشت صحنه true و false رو جور دیگه‌ای هندل می‌کنه.

شرکت امنیتی Zimperium یه بدافزار اندرویدی پیدا کرده که با سوءاستفاده از دسترسی Accessibility خودشو تا سطح ادمین بالا می‌کشه و رمز، کد دوعاملی و حتی الگوی قفل صفحه رو برمی‌داره.

پاتریک واردل نشون داده هر اپ یا دستوری روی مک می‌تونه توکن دستیار جدید متا رو برداره و به جای نوشتن بدافزار، از خود دستیار برای کارهاش استفاده کنه.

از اول فوریه ۲۰۲۷ دیگه نمی‌شه با کد پیامکی وارد حساب Entra ID شد. مایکروسافت می‌گه ادمین‌ها از همین حالا کاربرها رو ببرن روی passkey تا اون روز کسی پشت در نمونه.

مایکروسافت می‌خواد ایجنت‌ها رو مثل یه کاربر واقعی تو سیستم‌عامل ثبت کنه، ابزارهاشون رو ایزوله کنه و مدل‌ها رو لوکال اجرا کنه؛ همه‌ش هم برای برگردوندن برنامه‌نویس‌هایی که رفتن.

۴ هفته پیش۳ دقیقهnewsletter.pragmaticengineer.com

گوگل کلاود دو قابلیت جدید روی Secure Source Manager عمومی کرده: تعیین تأییدکننده برای هر فایل و هر برنچ، و وصل‌کردن امن CI/CD بین شبکه‌های خصوصی.

سرویس‌دسک هوش مصنوعی Ravenna حالا به Jamf Pro وصل می‌شه و می‌تونه وضعیت مک کارمند رو مستقیم از توی Slack چک کنه، قفلش کنه یا کلید رمزگذاریش رو بیاره.

۴ هفته پیش۲ دقیقهjamf.com

مهاجرت به تبادل کلید هیبریدی پساکوانتومی برای این پسوردمنیجر فقط دو تغییر تنظیمات بود: یک پالیسی روی لودبالانسر AWS و یک خط توی Cargo.toml.

Vast Data محیطی معرفی کرده که مدل و دادهٔ رمزگشایی‌شده رو داخل خود سخت‌افزار جدا نگه می‌داره؛ بانک و بیمارستان می‌تونن مدل اختصاصی رو روی دادهٔ خودشون اجرا کنن.

۴ هفته پیش۳ دقیقهsiliconangle.com

بن تامسون تو Stratechery می‌گه درخواست Anthropic برای کند کردن پیشرفت مدل‌ها، جدا از دغدغهٔ ایمنی، چند مشکل تجاری آزمایشگاه‌های فرانتیر رو هم حل می‌کنه.

۴ هفته پیش۳ دقیقهstratechery.com

یه تحلیل‌گر مخفی گوگل تقریباً از اول وارد حلقهٔ اصلی TeamPCP شد؛ همون گروهی که با حمله به زنجیرهٔ تأمین نرم‌افزار بیش از هزار شرکت رو هک کرد.

یه تحلیلگر مخفی ماه‌ها اعتماد هکرها رو جلب کرد تا به چت اصلی گروهی راه پیدا کنه که صدها پروژهٔ متن‌باز رو آلوده کرده بود. بعدش همه‌چی از داخل زیر نظر رفت.

شرکت Aikido مدل GLM-5.3 رو هرس کرده تا روی چهار تا کارت H200 جا بشه، و می‌گه ۹۲ درصد پوشش آسیب‌پذیری مدل اصلی رو نگه داشته.

یه فریم‌ورک متن‌باز که با جیلبریک و تزریق پرامپت به جون چت‌بات و ایجنت خودت می‌افته تا قبل از مهاجم واقعی، نشت داده و سوگیری رو پیدا کنی.

قابلیت Data Pipelines حالا اجازه می‌ده تیم‌ها قبل از اینکه تله‌متری ذخیره و تحلیل شه، نویزش رو بگیرن و مسیر و لایهٔ هزینه‌اش رو خودشون مشخص کنن.