خیلی از سیستم‌هایی که ادعا می‌کنن آدم توی حلقهٔ تصمیم AI دارن، در عمل به ناظر فقط اجازهٔ دیدن می‌دن، نه جلوگیری.

۷ هفته پیش۳ دقیقهcio.com

تیم Unit 42 پالو آلتو یه نفوذ باج‌افزاری رو بررسی کرده که مهاجم با کمک ایجنت‌های هوش مصنوعی کمتر از ۱۰ ساعت جمعش کرد؛ کاری که برای اپراتور انسانی حدود دو هفته وقت می‌برد.

یه ابزار متن‌باز که بین ایجنت‌های کدنویسی و کارهایی که می‌خوان انجام بدن می‌شینه: کار امن رو بدون مزاحمت عبور می‌ده، کار حساس رو می‌ذاره برای تأیید خودت.

یه agent می‌تونه تو یه صبح، مدل و MCP server و skill ناشناخته از وب بیاره و اجرا کنه. راه‌حل پیشنهادی اینه که همهٔ این‌ها مثل باینری‌های معمولی ثبت و اسکن بشن.

گروپ‌آی‌بی می‌گه کیت فیشینگ Outsider با ۲۶۷ قالب آماده و قابلیت دور زدن ورود دومرحله‌ای، بعد از شکایت گوگل و عملیات مشترک اف‌بی‌آی هم دست از کار نکشیده.

با پخش‌شدن داده بین چند ابر و سرویس‌های AI، سؤال «کجا ذخیره شده» جاش رو داده به «چقدر کنترل داری» و همین داره معماری زیرساخت سازمان‌ها رو عوض می‌کنه.

یونیت ۴۲ دو کمپین جدا رو دنبال کرده که مهاجم‌هاش با مدل‌های زبانی اسکریپت می‌ساختن؛ همون زیرساخت هوش مصنوعی که باز گذاشته بودن، کل دفترچهٔ کارشون رو لو داد.

نسخهٔ ۱۴ کتابخونهٔ SimpleWebAuthn از الگوریتم‌های امضای پساکوانتومی ML-DSA برای پسکی پشتیبانی می‌کنه و روی runtimeهای سازگار، ثبت‌نام با ML-DSA-44 رو خودش پیشنهاد می‌ده.

قابلیت کشف ایجنت‌های هوش مصنوعی حالا روی همهٔ اشتراک‌های ISPM شرکت Okta فعال می‌شه؛ هدفش پیدا کردن ایجنت‌هاییه که کارمندها بدون اطلاع تیم IT راه انداختن.

مدل‌های «بی‌سانسور» موقع باگ‌یابی سه تا چهار برابر بیشتر «آره» می‌گن، ولی تو یه تست روی سورس FreeBSD، پرخطرترین‌شون حتی یه بار هم باگ واقعی رو پیدا نکرد.

۷ هفته پیش۳ دقیقهclearbluejar.github.io

یه مجموعه اسکریپت PowerShell از تیم NetSPI که برای تست نفوذ محیط‌های ابری ساخته شده: از پیدا کردن سرویس‌ها تا بررسی کانفیگ‌های ضعیف و استخراج اعتبارنامه.

تیم pnpm یه سرور رجیستری سازگار با npm نوشته که پکیج‌های خصوصی رو میزبانی می‌کنه، رجیستری بالادست رو پراکسی می‌کنه و حتی می‌تونه resolve وابستگی‌ها رو از دوش کلاینت برداره.

۷ هفته پیش۳ دقیقهpnpm.io

اوپن‌ای‌آی می‌گه مدل جدیدش برای اولین بار به سطح «بحرانی» توان سایبری رسیده؛ مقاومتش جلوی جیلبریک بیشتر شده، ولی رصد کردن زنجیرهٔ فکرش از نسل قبل سخت‌تر شده.

۷ هفته پیش۳ دقیقهdeploymentsafety.openai.com

Datadog Security Labs یه کمپین یک‌ماهه پیدا کرده که رمزهای رایج رو روی حساب‌های root ابری امتحان می‌کرده. نکتهٔ نگران‌کننده اینه که مهاجم ایمیل این حساب‌ها رو از قبل داشته.

Anthropic یه صفحهٔ ساده راه انداخته که با خوندن متادیتای C2PA می‌گه فایل با Claude ساخته شده یا نه، و کل بررسی هم توی مرورگر خودت انجام می‌شه.

۷ هفته پیش۲ دقیقهclaude.com

تیم Unit 42 یه نفوذ رو بررسی کرده که مهاجم توش اجرای عملیات رو به ایجنت‌های هوش مصنوعی سپرده بود و کاری که معمولاً دو هفته طول می‌کشه، زیر ۱۰ ساعت تموم شد.

زوی موشوویتز گزارش تازهٔ آنتروپیک رو بررسی کرده: مدل‌ها موقع ارزیابی سراغ هک کردن چیزهای واقعی رفتن و شرکت چند هفته آموزش RL پرریسکش رو خوابونده.

۷ هفته پیش۳ دقیقهthezvi.substack.com

یه هدفون بلوتوثی که مدام قطع می‌شد، لو داد که AliExpress با یه موج صوتی بی‌صدا داره مرورگر کاربرها رو انگشت‌نگاری می‌کنه.

مایکروسافت تأیید کرد که Safe Links تو Defender for Office 365 لینک‌های سالم سرچ گوگل رو بلاک می‌کرده؛ دلیلش یه طبقه‌بندی امنیتی اشتباه بود، نه یه حملهٔ واقعی.

بعد از چند مورد دسترسی غیرمجاز مدل‌ها به اینترنت واقعی، آنتروپیک گفته کجا کم گذاشته و چه تغییراتی توی سندباکس، مانیتورینگ و محیط‌های آموزش تقویتی داده.