یه پژوهشگر امنیتی با ترکیب دو مکانیزم لینوکسی روشی نشون داده که یه برنامه بدون این‌که هیچ‌وقت روی دیسک بشینه اجرا می‌شه؛ روشی که تو معروف‌ترین جدول پوشش عمومی این حوزه هم نیست.

گزارش‌های عمومی چند آزمایشگاه نشون می‌ده ایجنت‌های ارزیابی به سیستم‌های واقعیِ سازمان‌های بی‌خبر رسیدن؛ نویسنده می‌گه این دیگه یه بحث امنیتی عملیاتیه، نه فقط پژوهشی.

یه گروه هکر حدود ۴۰۰۰ بیت‌کوین از کیف پول اصلی شبکه Liquid برداشت کردن و خودشونو هکر کلاه‌سفید معرفی کردن.

N-able برای یه باگ خطرناک تو N-central که هکر بدون نیاز به مجوز می‌تونه باهاش کد اجرا کنه پچ اضطراری داد؛ نزدیک ۱۵۰۰ سرور هنوز رو اینترنت باز موندن.

یه گزارش مشترک از Sekoia و Kudelski Security نشون می‌ده هکرهای کره شمالی یه گروه نیستن, بلکه چند نهاد سازمان‌یافته با وظایف جداگانه‌ن.

چند تا از چهره‌های شناخته‌شده امنیت یه ابزار متن‌باز ساختن که با Claude Code ترکیب می‌شه و کل مسیر پیدا کردن تا پچ کردن باگ‌های امنیتی رو خودکار می‌کنه.

محقق‌های Cyera یه باگ ۱۲ ساله تو PostgreSQL پیدا کردن که با یه اکانت بکاپ ساده می‌شه کل سرور رو دست گرفت و یه بک‌دور همیشگی روش گذاشت.

پلتفرم آموزش ریاضی Mathspace اعلام کرد هکرها با یه حفره تو Metabase داخلی‌شون به اطلاعات بیش از ۱ میلیون دانش‌آموز، والدین و کارمند دسترسی پیدا کردن.

یه مهندس نرم‌افزار توضیح می‌ده «غیرقابل تغییر بودن» یه لاگ چهار معنی مختلف داره و فقط بعضیاشون واقعا به یه نفر بیرون از سازمان مدرک می‌دن.

گروه باج‌افزاری FulcrumSec میگه با یه کلید مدیریتی که تو کد جاوااسکریپت سایت جا مونده بود نفوذ کرده و حالا اطلاعات ۸.۸ میلیون نفر رو منتشر کرده.

یه مانیفست تازه می‌گه کار با AI نباید تو چت‌های خصوصی و جدا از هم انجام بشه، وگرنه شرکت‌ها هر بار یه‌کم context رو از دست می‌دن.

۶ هفته پیش۳ دقیقهmultiplayer-ai.com

رد هت یه افزونهٔ کنسول برای OpenShift 4.22 بیرون داده که وضعیت گواهی‌ها و اعتبارنامه‌های مدیریت‌شده رو یکجا نشون می‌ده تا مشکل رو سریع‌تر پیدا کنی.

بلاگ zkSecurity می‌گه هزینهٔ پیدا کردن و اکسپلویت باگ نمایی افتاده و اقتصاد حمله عوض شده. پروژه‌های کوچیک که قبلاً ارزش وقت گذاشتن نداشتن، حالا هدف ایده‌آلن.

تو سیستم‌های RAG، سندی که بیشترین شباهت رو به سؤال داره لزوماً درست‌ترین جواب نیست؛ این مقاله نشون می‌ده با چند سند جعلی چطور می‌شه جواب هوش مصنوعی رو دستکاری کرد.

سوفوس داره قابلیتی می‌سازه که با کمک مدل‌های سایبری OpenAI مشخص می‌کنه کدوم آسیب‌پذیری تو محیط شما واقعا قابل سواستفاده‌ست.

هانترس تو چند سازمان دیده که مهاجم‌ها بعد از نصب کلاینت جعلی، چهار اسکریپت VBS اجرا می‌کنن و از همون مسیر انتقال فایل، دستگاه‌های وصل‌شده رو هم آلوده می‌کنن.

برای تریاژ یه CVE معمولاً باید NVD و EPSS و KEV و گیت‌هاب رو جدا جدا چک کنی. این سرور MCP همه‌شونو موازی می‌پرسه و یه امتیاز ریسک ۰ تا ۱۰۰ تحویل می‌ده.

یه پست امنیتی توضیح می‌ده چرا خروجی ابزارهایی مثل Jira و گیت‌هاب که ایجنت‌های هوش مصنوعی می‌خونن، می‌تونه محل تزریق پرامپت باشه؛ حمله‌ای که از چشم فیلترهای فعلی دور می‌مونه.

اوکتا، Auth0 و Descope تو هشت روز یک الگوی مشترک برای دسترسی ایجنت‌ها عرضه کردن. سؤال اصلی دیگه انتخاب فروشندهٔ هویت نیست، اینه که سرور خودت این الگو رو می‌فهمه یا نه.

محقق‌ها حدود ۱۸ هزار پست از ایجنت‌های OpenAI رو روی ویکی‌های قدیمی پیدا کردن؛ ایجنت‌هایی که فقط کار جست‌وجوی وب داشتن ولی راهی برای نوشتن روی اینترنت و تقلب گروهی پیدا کرده بودن.

۷ هفته پیش۲ دقیقهthezvi.substack.com