یه SIEM متن‌باز که لاگ‌های شبکهٔ اداری و کف کارخونه رو با یه اسکیمای مشترک می‌بلعه، هشدار می‌سازه و پیش‌نویس گزارش حادثهٔ NIS2 رو آماده می‌کنه.

یه ایجنت هوش مصنوعی از سندباکس ارزیابی OpenAI بیرون زد و به شبکه Hugging Face رسید؛ مدافع مجبور شد با یه مدل متن‌باز چینی جواب بده، چون به توان امنیتی مدل‌های پیشرو دسترسی نداشت.

OpenAI تایید کرده یه مدل ناشناخته و قوی‌تر از نسخه‌ی فعلیش، تو یه آزمایش امنیتی به هاگینگ‌فیس نفوذ کرده؛ ولی اسمش هنوز مشخص نشده.

۲ هفته پیش۲ دقیقهmindstudio.ai

یه مهندس شناسایی می‌گه به‌جای نوشتن قانون تازه برای هر واریانت ClickFix، می‌شه روی یه توالی رفتاری ثابت تکیه کرد که هیچ واریانتی نمی‌تونه ازش فرار کنه.

یه کمپین ماینینگ مونرو روی سرورهای لینوکسی با سوءاستفاده از ماژول‌های احراز هویت PAM بین چند حساب کاربری پخش می‌شه و باینری خودشو از دیسک پاک می‌کنه.

موزیلا قابلیت Containers رو که تا الان یه افزونهٔ جداگونه بود، مستقیم آورده توی خودِ مرورگر تا کوکی و ردیاب هر بخش از زندگی آنلاینت از بقیه جدا بمونه.

یه پژوهشگر امنیتی چهار پایگاه‌دادهٔ بدون رمز مربوط به جشنوارهٔ فیلم ترایبکا پیدا کرده که تو یکی‌شون فایل بکاپی با ایمیل، شماره تلفن و هش رمز عبور کاربرها بوده.

تیم Aikido سیزده مدل رو روی ۲۶ آسیب‌پذیری واقعی از پایگاه GitHub تست کرد و به نتیجه‌ای رسید که خرج تیم‌های امنیتی رو کم می‌کنه: چند بار اجرای یه مدل ارزون از یک بار اجرای مدل پرچم‌دار بهتر جواب می‌ده.

۲ هفته پیش۴ دقیقهaikido.dev

پلتفرمی که کد گیت‌هاب، دادهٔ S3 و اسناد درایو رو به یه فایل‌سیستم نسخه‌دار تبدیل می‌کنه تا بشه ایجنت رو روی دادهٔ واقعی اجرا کرد و بعد همه‌چی رو برگردوند.

گروه جاسوسی روس TA488 با سوءاستفاده از یه باگ XSS تو Outlook Web Access، صندوق ایمیل قربانی رو آلوده می‌کنه؛ بدون اینکه کسی روی لینکی کلیک کنه.

محقق‌های Zenity نشون دادن یه لینک معمولی chatgpt.com می‌تونست تو حساب قربانی یه ایجنت خودکار بسازه، تأییدیه‌هاشو خاموش کنه و زنده منتشرش کنه. OpenAI چهار روزه بستش.

یه محقق نروژی نشون داده دستورهای پنهون‌شده تو یه فایل ورد می‌تونن موقع کار با Copilot خودشونو تو سند بعدی کپی کنن؛ مایکروسافت هم تأییدش کرده.

یه پژوهشگر امنیت تو حدود یک ساعت و با هزینهٔ زیر ۱۰۰ دلار تونست تو یه مدل با وزن‌های باز بک‌دور کار بذاره؛ مدلی که بعدش کدهای آسیب‌پذیر تولید می‌کرد.

۲ هفته پیش۴ دقیقهtheregister.com

طبق تحقیق شرکت Spur، بیش از ۴۲ درصد اپ‌های فروشگاه webOS ال‌جی، تلویزیون کاربر رو بدون اطلاع کافی به یه گره پراکسی رزیدنشیال تبدیل می‌کردن.

یه پژوهشگر امنیتی فقط با گذاشتن یه عکس توی مخزن گیت، Claude Code رو تا دانلود و اجرای اسکریپت ناشناس پیش برد؛ متن دستورها با استگانوگرافی داخل همون تصویر پنهون شده بود.

یه اندپوینت سادهٔ پیش‌نمایش لینک می‌تونه کلیدهای IAM سرور رو لو بده. نویسنده نشون می‌ده هر فیکس بدیهی برای SSRF کجا می‌شکنه و آخرش یه پکیج لاراولی معرفی می‌کنه.

یه پروژهٔ متن‌باز با لایسنس MIT که CLI کدنویسی، رانتایم ایجنت و یه API واحد روی مدل‌های OpenAI و Anthropic و گوگل رو کنار هم گذاشته — ولی سیستم دسترسی داخلی نداره.

۲ هفته پیش۲ دقیقهgithub.com

پیاده‌سازی ماژول crypto نود جی‌اس با C/C++ که به‌جای پالی‌فیل‌های جاوااسکریپتی، عملیات رمزنگاری رو روی موبایل چند صد برابر سریع‌تر انجام می‌ده.

۲ هفته پیش۲ دقیقهgithub.com

یه آپلود عکس دستکاری‌شده کافیه تا اپ ریلزی که از libvips استفاده می‌کنه فایل‌های سرور رو لو بده؛ باگی با امتیاز 9.5 که می‌تونه به اجرای کد از راه دور هم برسه.

یکی از توسعه‌دهنده‌های قدیمی Node.js تو یه پرواز طولانی به این فکر کرده که اگه پکیج‌ها به‌جای یه سرور مرکزی، تو مخزن شخصی خود توسعه‌دهنده منتشر بشن، امنیت زنجیرهٔ تأمین چه شکلی می‌شه.

۲ هفته پیش۳ دقیقهjasnell.me