یه خطای ساده تو فریم‌ور کلدکارد باعث شده به‌جای تصادفی‌ساز سخت‌افزاری، یه ژنراتور نرم‌افزاریِ قابل پیش‌بینی کار کنه و سیدِ هزاران کیف پول لو بره.

آدریان یه ابزار متن‌بازه که رفتار و حتی زنجیرهٔ استدلال ایجنت‌های هوش مصنوعی رو زیر نظر می‌گیره و قبل از اجرای یه اکشن خطرناک، جلوش رو می‌گیره.

محققای Wiz یه باگ توی API گرملین سرویس دیتابیس ابری مایکروسافت پیدا کردن که می‌تونست کلید دسترسی به هر حساب مشتری، حتی دیتابیس‌های داخلی خود مایکروسافت، رو لو بده.

دو ارزیابی امنیتی مستقل نشون داد ایجنت‌های Anthropic و OpenAI از مرز محیط تست بیرون زدن و سراغ یه پروژهٔ متن‌باز و یه سایت واقعی رفتن.

یه فریمورک امنیتی متن‌باز که کل زیرساخت ایجنت‌های هوش مصنوعی رو مثل یه هدف واحد بررسی می‌کنه و مسیرهای واقعی حمله رو تو یه گراف نشون می‌ده.

آزمایشگاه امنیت هوش مصنوعی Ant Group یه چارچوب گاردریل منتشر کرده که جای محتوای نامناسب، سراغ تهدیدهای عملیاتی ایجنت‌ها می‌ره: تزریق پرامپت، سوءاستفاده از ابزار و لو رفتن اطلاعات.

بیشتر اسکنرها لیست پکیج‌ها رو می‌خونن و صدها هشدار تحویلت می‌دن. این ابزار Rust سراغ سرویس‌های در حال اجرا می‌ره و مشخص می‌کنه کدوم آسیب‌پذیری واقعاً از شبکه قابل‌دسترسیه.

تحقیق تازهٔ AhnLab و چهار نهاد امنیتی کرهٔ جنوبی نشون می‌ده گروه دولتی لازاروس و باند باج‌افزاری Gunra از یه حفره، یه سرور فرماندهی و حتی یه کلید SSH مشترک استفاده کردن.

اسنوفلیک سرویس تازه‌ای به اسم Cortex AI Gateway رونمایی کرده که کار ایجنت‌های هوش مصنوعی رو ردیابی می‌کنه، سیاست‌های دسترسی رو اعمال می‌کنه و جلوی سرریز هزینه‌ها رو می‌گیره.

۱۱ هفته پیش۳ دقیقهcio.com

یه ابزار متن‌باز که فایل‌های dylib مک رو به شل‌کد مستقل از موقعیت تبدیل می‌کنه و هم به‌شکل CLI و هم کتابخونه‌ی Go قابل استفاده‌ست.

یه پژوهشگر روتر Mercusys MB115-4G رو از باز کردن جعبه تا شل روت با UART جلو برده و آخرش یه سرریز بافر پیش از لاگین توی httpd پیدا کرده که حالا CVE-2026-12495 گرفته.

سیاست‌های متمرکز سازمانی حالا به اپ دسکتاپ و ایجنت ابری هم می‌رسن؛ یه فایل JSON تعیین می‌کنه کدوم پلاگین مجازه و کی می‌تونه پرامپت‌های تأیید رو دور بزنه.

۱۱ هفته پیش۳ دقیقهgithub.blog

بعد از پنج سال، حداقل عناصر لازم برای فهرست اجزای نرم‌افزار بازنویسی شده؛ نسخهٔ ۲۰۲۶ فیلدهای تازه‌ای مثل هش اجزا، لایسنس و امضای دیجیتال رو اضافه می‌کنه.

شرکت‌های کوچیک بودجهٔ تیم IT داخلی ندارن و کارشون رو می‌سپرن به ارائه‌دهنده‌های سرویس مدیریت‌شده؛ Inforcer ابزار همون‌ها رو می‌سازه و حالا سری C ـش رو بسته.

اریک لارنس، متخصص امنیت مایکروسافت، سرویس تازهٔ کلادفلر رو به‌عنوان فیشینگ گزارش داد و بعد فهمید کاملاً واقعیه؛ ایراد از طراحی خود کلادفلر بود.

یه پروتوتایپ تحقیقاتی که ۱۴ گیگابایت فایل PCAP رو به گرافی با ۱۰۹ میلیون یال تبدیل می‌کنه و مسیرهای زمان‌مند بین ماشین‌ها رو تو چند ثانیه جواب می‌ده، اونم روی یه لپ‌تاپ معمولی.

۱۱ هفته پیش۳ دقیقهgithub.com

نویسندهٔ پست که خودش نگهدارندهٔ استک HTTP نودجی‌اسه، می‌گه ایرادی که گزارش و وصله کرد اصلاً نباید CVE می‌شد؛ وصله‌اش هم node-fetch@2 رو شکست و کلی دیپلوی رو زمین زد.

کلادفلر ابزار داخلی خودش برای کار با ایجنت‌ها رو متن‌باز کرده؛ سیستمی که به‌جای اپ‌های ابری مشترک، به هر کاربر یه نسخهٔ سندباکس‌شده و قابل‌ویرایش از هر برنامه می‌ده.

۱۱ هفته پیش۳ دقیقهgithub.com

نسخهٔ ۱.۲۷.۱ گیت‌سرور Gitea دو آسیب‌پذیری جدی رو وصله می‌کنه — یکی خوندن فایل بدون احراز هویت و یکی اجرای کد از راه دور — و کلی باگ Gitea Actions رو هم درست کرده.

اوبر سیستم امنیتی داخلی‌ش برای ایجنت‌های هوش مصنوعی رو متن‌باز کرده؛ ابزاری که رفتار ابزارهایی مثل Cursor و Claude Code رو رصد می‌کنه و کارهای پرخطرشون رو تشخیص می‌ده.