یه محقق امنیتی با زنجیر کردن سه باگ عمومی از سندباکس V8 کروم فرار کرد و فلگ چالش v8CTF گوگل رو گرفت؛ ولی به خاطر شرط‌های سخت، ۱۰ هزار دلار جایزه بهش نرسید.

SpecterOps یه ابزار متن‌باز داده که فایل‌های به‌جامونده از ایجنت‌های کدنویسی مثل Claude Code و Cursor رو روی سیستم پیدا می‌کنه و ازشون گزارش رتبه‌بندی‌شده و ویرایش‌شده می‌سازه.

مایکروسافت همه‌چی رو زیر یه پرتال Defender جمع کرده، ولی وقتی ادمینی تنظیمات حساس یا پالیسی Intune رو عوض می‌کنه، به‌صورت پیش‌فرض هیچ هشداری ساخته نمی‌شه.

تا امروز خیلی از حفره‌ها فقط چون کسی پیداشون نمی‌کرد امن می‌موندن. حالا ایجنت‌های هوش مصنوعی هزینهٔ شناسایی رو تقریباً صفر کردن و این تکیه‌گاه پنهان داره از بین می‌ره.

یه تبلیغ اسپانسری تو گوگل کاربر مک رو به صفحه‌ای می‌بره که ازش می‌خواد یه دستور رو تو ترمینال بچسبونه؛ همون دستور، راه رو برای یه استیلر مک باز می‌کنه.

شرکت امنیتی ReliaQuest تأیید کرد هکرها با یه صفحهٔ فیشینگ SSO و چندتا تماس تلفنی، یکی از کارمنداشو گول زدن و چند لحظه به داشبورد هویتیش دسترسی گرفتن.

یه ابزار خط فرمان که ۱۵ اکوسیستم، از پایتون و اندروید تا WebAssembly، رو دیکامپایل و آن‌پک می‌کنه و پشت هر عددی که ادعا می‌کنه یه تست خودکار گذاشته.

یه محقق وقتی صدای هدفونش قطع شد فهمید یه فروشگاه بزرگ آنلاین داره با موج صوتی بی‌صدا مرورگرش رو انگشت‌نگاری می‌کنه؛ ترفندی که فایرفاکس سه سال پیش جلوش رو گرفته بود.

فایل‌های تمپلیت متنی .tt می‌تونن کد C# رو موقع build اجرا کنن و چهار باینری معتبر مایکروسافت این کارو انجام می‌دن؛ یه مسیر اجرای کد که کمتر کسی رصدش می‌کنه.

تیم دونفرهٔ پشت مرورگر Psylo سه نشتی WebKit رو بدون خبر قبلی به اپل منتشر کرد و حالا دلیلش رو نوشته؛ نکتهٔ جالب اینکه وصلهٔ اپل به‌جای ماه‌ها، دو هفته‌ای رسید.

Vercel یه سرویس جدید معرفی کرده که به‌جای توکن‌های دائمی، برای ایجنت‌ها توکن‌های موقت و محدود صادر می‌کنه تا دیگه نیازی به نگهداری سکرت تو کد نباشه.

واتساپ سه تغییر امنیتی آورده؛ مهم‌ترینش اینه که پین شش‌رقمی تأیید دومرحله‌ای می‌تونه جاش رو به یه رمز بلند حروف‌وعددی بده.

مندیانت ده ماهه داره با یه خط لولهٔ چندایجنتی سورس‌کد رو می‌کاوه و حالا معماریش رو عمومی کرده؛ حاصلش تا الان ۱۲ شناسهٔ CVE ثبت‌شده بوده.

گزارش تازهٔ Citizen Lab نشون می‌ده دو بازیگر جاسوسی تجاری، با سوءاستفاده از پروتکل‌های SS7 و Diameter و حتی پیامک‌های مخفی سیم‌کارتی، سال‌هاست موقعیت آدم‌ها رو ردیابی می‌کنن.

تیم امنیت الستیک با یه اسکریپت باشی ۲۸۰ خطی و هوک‌های Cursor، هر فراخوانی ابزار، دستور شل و درخواست MCP عامل‌های کدنویسی هوش مصنوعی رو روی بیش از ۱۱۰۰ دستگاه ثبت و قابل جستجو کرده.

پایتون برای IDNA 2003 باید قواعد یونیکد ۳.۲.۰ رو اجرا کنه، ولی یه تابع تو ماژول stringprep از str.lower() معمولی استفاده می‌کرد و خروجیش با استاندارد فرق داشت.

قابلیت enterprise-managed auth برای MCP سرور Supabase عمومی شد؛ ادمین یک‌بار کانکتور رو تأیید می‌کنه و بعدش هر کارمند با همون نقش واقعی خودش کار می‌کنه.

به گفته‌ی جیم نیلسن، کیفیت و ظرافت رابط کاربری می‌تونه یه لایه دفاعی در برابر فیشینگ باشه، چون کپی کردن UI حرفه‌ای برای هوش مصنوعی هم سخت‌تره.

ابزار متن‌باز کرن قول می‌ده کانتینرهای ایزوله و بدون روت رو زیر ۴ میلی‌ثانیه بالا بیاره، اونم بدون هیچ دیمنی روی سیستم.

یه محقق با تکنیک ابلیتریشن، مسیر امتناع Qwen3.8-27B رو از وزن‌های مدل حذف کرده و مدعیه با کمتر از ۲ درصد افت دقت، دیگه به هیچ درخواستی نه نمی‌گه.

۹ هفته پیش۳ دقیقهmindstudio.ai