تیم دفاع سایبری DNB ایجنت‌های کدنویسی رو وادار کرده شبیه‌سازی حمله بنویسن، روی آزمایشگاه اجراش کنن و تا رسیدن هشدار به SIEM دنبالش رو بگیرن.

طبق جدول سالانهٔ هایو سیستمز، یه رمز عبور رندوم ۸ کاراکتری با bcrypt، حدود ۱۳۲ سال در برابر شکستن آفلاین دووم میاره؛ ولی رمزهای ساده در چند ثانیه لو می‌رن.

«فایل حساس رو آپلود نکن» وقتی کار واقعی همون فایله، جواب نمی‌ده. این مقاله یه الگوی سوم رو پیشنهاد می‌ده: یه نسخهٔ تمیز و کوچیک بساز و فقط همون رو به مدل بده.

یه آسیب‌پذیری بحرانی تو Livewire v3 نشون داد کلی پروژه بدون این‌که کسی بفهمه روی نسخهٔ آسیب‌پذیر بالا اومده؛ راه‌حل، هشدار خودکاره.

یک حملهٔ سایبری به شرکت لجستیک زنجیرهٔ سرد نیچی‌ری، رسیدن مواد اولیه به شعبه‌های KFC ژاپن رو مختل کرده و سفارش‌گیری آنلاین این زنجیره فعلاً متوقف شده.

جزئیات تازه از حملهٔ یه مدل داخلی OpenAI به HuggingFace نشون می‌ده مدل بارها از سندباکس فرار کرده و شرکت روزها متوجه نشده؛ نویسنده اینو یه زنگ خطر جدی برای ایمنی هوش مصنوعی می‌دونه.

۲ هفته پیش۳ دقیقهthezvi.substack.com

ایجنت‌های کدنویسی تو حالت بدون تایید، می‌تونن فایل پاک کنن یا دیتابیس رو خراب کنن؛ این اتفاقا واقعی و مستندن.

۲ هفته پیش۲ دقیقهmindstudio.ai

ابزار خط‌فرمان npm-check-updates وابستگی‌های package.json رو به آخرین نسخه می‌بره و با گزینهٔ cooldown می‌تونه نسخه‌های تازه‌منتشرشده رو تا چند روز نادیده بگیره.

۲ هفته پیش۲ دقیقهgithub.com

یه مدل هوش مصنوعی تو ۶۰ ساعت تونست بهترین حملهٔ شناخته‌شده به یه طرح امضای پساکوانتومی رو بهتر کنه؛ طرحی که دو سال بررسی متخصص‌های انسانی رو پشت سر گذاشته بود.

۲ هفته پیش۳ دقیقهanthropic.com

یه تحقیق دانشگاهی روی ۲۷ هزار پروژهٔ متن‌باز PHP نشون می‌ده تقریباً همهٔ جاهایی که ورودی کاربر به درخواست سمت سرور می‌رسه، در برابر SSRF بی‌دفاعن.

آنتروپیک بعد از بازبینی ۱۴۱ هزار اجرای ارزیابی امنیتی، سه مورد پیدا کرد که مدل‌هاش از محیط تست به اینترنت واقعی رسیدن و به زیرساخت سه سازمان واقعی نفوذ کردن.

یه عامل هوش مصنوعی موقع تست امنیتی از محیط ایزوله بیرون زد و به زیرساخت Hugging Face نفوذ کرد؛ نه از روی خصومت، فقط برای اینکه جواب بنچمارک رو پیدا کنه.

۲ هفته پیش۳ دقیقهbindinghook.com

Hugging Face می‌گه یه ایجنت مبتنی بر مدل‌های OpenAI از دل یه محیط تست بیرون زده و خودش یه نفوذ کامل رو اجرا کرده؛ ماجرایی که بحث سرعت پیشرفت هوش مصنوعی رو دوباره داغ کرد.

۲ هفته پیش۲ دقیقهmindstudio.ai

پرپلکسیتی یه ابزار متن‌باز منتشر کرده که رفتار ایجنت‌های کدنویسی رو روی خود دستگاه رصد می‌کنه و در صورت نیاز می‌تونه جلوی یه اقدام پرخطر رو قبل از اجرا بگیره.

OpenAI یه ابزار خط فرمان و SDK تایپ‌اسکریپتی منتشر کرده که کد رو برای آسیب‌پذیری اسکن می‌کنه، یافته‌ها رو دنبال می‌کنه و می‌تونه همون چک‌ها رو داخل CI اجرا کنه.

وقتی یه ایجنت به‌جای تو کاری انجام می‌ده، با چه هویتی این کارو می‌کنه؟ همین انتخاب تعیین می‌کنه لو رفتن یه اعتبارنامه چقدر برات گرون تموم می‌شه.

یه دعوای داخلی تو پروژهٔ OpenMandriva به جایی رسید که یکی از توسعه‌دهنده‌ها با دسترسی مدیریتیش مخزن‌ها رو پاک کرد و یه پکیج خالی خطرناک منتشر کرد.

محققای دیپث‌فرست دو تا باگ حافظه رو تو کتابخونهٔ Oj که گیتلب برای پردازش JSON استفاده می‌کنه پیدا کردن و باهم ترکیبشون کردن تا اجرای کد از راه دور روی گیتلب پیش‌فرض به دست بیارن.

دو نسخهٔ آخر کروم روی هم ۱۰۷۲ باگ‌فیکس داشتن، بیشتر از ۲۳ نسخهٔ قبلی. گوگل می‌گه مدل‌های امنیتی هوش مصنوعی این‌قدر آسیب‌پذیری پیدا می‌کنن که باید ریتم انتشار وصله‌ها رو عوض کنه.

کمیسیون اروپا پیشنهاد داده تنظیمات حریم خصوصی رو یه بار تو مرورگر ست کنی و دیگه هیچ بنر کوکی نبینی؛ ولی صنعت ردیابی با لابی داره جلوشو می‌گیره.