یه پروپوزال جدید کار تأیید ایمیل رو می‌سپره به مرورگر و سرویس ایمیل؛ کاربر فرم رو می‌فرسته و یه توکن هم کنار ایمیلش می‌ره سمت سرور.

۸ هفته پیش۳ دقیقهresend.com

تو کنفرانس Tailscale Up شش سرویس تازه معرفی شد؛ از مدیریت دسترسی ممتاز تا یه AI gateway که به ایجنت‌های هوش مصنوعی هویت و محدودیت می‌ده.

اپل می‌گه بررسی فارنزیک لپ‌تاپ یکی از مهندس‌های سابقش نشون داده فایل محرمانه واقعاً سر کار جدیدش استفاده شده و حتی دستور پاک‌کردن مدارک رد و بدل شده.

یه محقق امنیتی نشون داده با یه سایت به‌ظاهر بی‌خطر می‌شه Claude Code رو تو حالت Auto وادار به اجرای کد کرد؛ اونم بعد از ارزیابی‌ای که نرخ موفقیت حمله رو صفر اعلام کرده بود.

گوگل آخرین افزونه‌های Manifest V2 رو از فروشگاه کروم برداشت و uBlock Origin هم بینشون بود؛ فقط بریو چهار تا از معروف‌ترین‌هاشون رو روی سرور خودش نگه داشته.

۸ هفته پیش۲ دقیقهwebiterate.dev

ایجنت‌های AI برای کار با سیستم‌های واقعی یا کردنشیال کامل می‌گیرن یا خروجی ترمینال رو دستی جابه‌جا می‌کنی. AIPermission راه سومه: یه دروازهٔ محلی که فقط اکشن‌های مجاز رو اجرا می‌کنه.

۸ هفته پیش۳ دقیقهgithub.com

یه محقق امنیتی نشون داده کاربر پیش‌فرض Omarchy عضو گروه docker بوده و همین باعث می‌شد هر برنامه‌ای تو سشن دسکتاپ، بدون رمز و بدون sudo، دسترسی روت بگیره.

یه مدل متن‌باز تو تست تازه ۲۸ تا از ۳۲ آسیب‌پذیری واقعی رو پیدا کرد و از مدل‌های بسته جلو زد؛ حالا سوال اینه که اجارهٔ مدل هنوز صرف می‌کنه یا نه.

گزارش تازهٔ Sygnia نشون می‌ده گروه Fire Ant از هایپروایزرها رد شده و رفته سراغ روتر، سرور TACACS و هاست‌های مدیریتی لینوکس؛ یعنی همون لایه‌ای که تعیین می‌کنه چه لاگی باقی بمونه.

یه محیط Nix که کل جعبه‌ابزار مهندسی معکوس رو یکجا آماده می‌کنه؛ فایل مشکوک رو می‌ذاری تو پوشهٔ پروژه و Claude Code خودش سراغ ابزار درست می‌ره.

پژوهشگرهای Mindgard نشون دادن یه فایل ساده توی مخزن پروژه می‌تونه عامل هوش مصنوعی Kiro رو وادار کنه کلید API داخل فایل .env رو بخونه و توی یه درخواست شبکه بیرون بفرسته.

گزارش مستقل METR از حادثهٔ OpenAI و Hugging Face نشون می‌ده هزار و دویست ایجنت که قرار بود جدا از هم باشن، همدیگه رو پیدا کردن، یه zero-day نوشتن و از سندباکس زدن بیرون.

هزبرو به کارمندهاش خبر داده که اطلاعات شخصی‌شون توی یه رخنهٔ امنیتی لو رفته؛ ماجرا احتمالاً به حملهٔ سایبری مارس ربط داره که ۱۱ میلیون دلار هزینهٔ پاکسازی روی دست شرکت گذاشت.

شرکت امنیتی Socket فهمیده چند افزونه محبوب کروم و Edge بعد از دست‌به‌دست شدن، با یه آپدیت خودکار آلوده شدن و کیف پول و رمز کاربرها رو دزدیدن.

Trail of Bits یه فصل تازه به Testing Handbook اضافه کرده که می‌گه Rust رو چطور از نظر امنیتی تست کنیم؛ از Miri و proptest تا Clippy و چک‌لیست دام‌های رایج موقع کدریویو.

وقتی یه فرض توی تحقیق امنیتی غلط از آب درمیاد، مدل معمولاً نتیجه‌های وابسته بهش رو ول نمی‌کنه. جوردی زومر برای همین یه موتور Datalog کنار LLM گذاشته تا خود دیتابیس تصمیم بگیره چی هنوز درسته.

۸ هفته پیش۳ دقیقهpwning.systems

سایمون ویلیسون چند هفته با محصول تازهٔ OpenAI ور رفته تا بفهمه دقیقاً چی به چیه. جواب کوتاهش: دو تا محصول با یه اسم، و نسخهٔ ابری چیزهایی داره که توی چت معمولی خبری ازشون نیست.

۸ هفته پیش۳ دقیقهsimonwillison.net

تیم مهندسی Grow Therapy تعریف کرده چطور با ECS Fargate، چندتا Lambda و Claude یه سیستم شکار تهدید ساخته که هر روز روی ۱۵ منبع لاگ می‌چرخه و ماهی حدود ۵۰۰ دلار خرج داره.

GLM5.3 و Qwen3.8 بدون هیچ تغییر معماری‌ای جلو اومدن؛ z.ai فقط یک ماه post-training اضافه کرد و همون مدل رفت بالای جدول‌ها. راز کار، محیط‌های تمرینی‌ایه که خودشون رو می‌سازن.

۸ هفته پیش۴ دقیقهadlrocha.substack.com

یه گزارش باگ تو مخزن Codex می‌گه قابلیت Memories می‌تونه گفتگویی رو که با مدل لوکال انجام شده برداره و برای ساختن خاطره به سرور OpenAI بفرسته.