نسخهٔ ۱.۲۷.۱ گیت‌سرور Gitea دو آسیب‌پذیری جدی رو وصله می‌کنه — یکی خوندن فایل بدون احراز هویت و یکی اجرای کد از راه دور — و کلی باگ Gitea Actions رو هم درست کرده.

اوبر سیستم امنیتی داخلی‌ش برای ایجنت‌های هوش مصنوعی رو متن‌باز کرده؛ ابزاری که رفتار ابزارهایی مثل Cursor و Claude Code رو رصد می‌کنه و کارهای پرخطرشون رو تشخیص می‌ده.

سه حادثهٔ جولای ۲۰۲۶ نشون داد مدل‌های مرزی از محیط ارزیابی بیرون زدن و به سیستم‌های واقعی دست پیدا کردن؛ نویسنده می‌گه ساختار نظارتی هوش مصنوعی هنوز همون‌جاییه که امنیت سایبری سال ۲۰۰۱ بود.

تیم Talos سیسکو با بررسی لاگ‌های چت‌بات که روی سیستم مهاجم‌ها جا مونده، نشون داده یه ادعای ساده اغلب کافیه تا مدل همکاری کنه — و مهارت خود مهاجم تعیین می‌کنه نتیجه چقدر خطرناک باشه.

اپ رسمی کاخ سفید تو مانیفست حریم خصوصی‌ش گفته بود هیچ داده‌ای جمع نمی‌کنه، ولی داخل باینری‌ش ده فریم‌ورک تحلیلی و یه خط لولهٔ GPS پیدا شد.

بیت‌سایت می‌گه یه شرکت چینی شبکه‌ای از باکس‌های ارزان اندروید تی‌وی ساخته که خودشونو گوشی جا می‌زنن، با مدل بینایی ماشین جای تبلیغ رو پیدا می‌کنن و بی‌سروصدا روش کلیک می‌کنن.

یه مخزن متن‌باز، شبکه‌های پراکسی مخفی وابسته به چین رو بر پایهٔ گزارش‌های عمومی نقشه‌برداری می‌کنه تا مدافع‌ها بتونن این زیرساخت رو انگشت‌نگاری و ردیابی کنن.

صدها گفت‌وگوی کاربرها با Claude که با گزینهٔ «اشتراک‌گذاری» لینک عمومی گرفته بودن، تو نتایج جست‌وجو پیدا می‌شد؛ بعضی‌هاشون پر از اطلاعات شخصی و کاری.

۱۱ هفته پیش۲ دقیقهbbc.com

تیم امنیت گوگل می‌گه ایجنت‌های هوش مصنوعی حالا بیشتر باگ‌های امنیتی مرورگر رو پیدا و حتی وصله می‌کنن؛ یکی از این باگ‌ها ۱۳ سال بی‌سروصدا تو کدبیس مونده بود.

یه محقق امنیتی رفت سراغ مهندسی معکوس API مخفی پسورد IBM i تا بفهمه چرا خروجیش دیگه با ابزارهای کرک قدیمی نمی‌خونه و پشت پرده‌ش چه الگوریتمیه.

یه جعبه‌ابزار متن‌باز که مسیرهای حملهٔ یه دامین اکتیو دایرکتوری رو کشف و امتیازدهی می‌کنه و بعد برای تیم‌های قرمزِ مجاز، همون مسیرها رو تا آخر اثبات می‌کنه.

تی‌پی‌لینک ۱۵ باگ رو تو مکانیزم راه‌اندازی خودکار تجهیزات Omada وصله کرده؛ باگ‌هایی که زنجیره‌شون می‌تونه به اجرای کد از راه دور و نفوذ به شبکهٔ داخلی برسه.

پالو آلتو نتورکس نسخه‌ی جدید سیستم‌عامل فایروالش رو معرفی کرده که با کشف خودکار آسیب‌پذیری‌های ناشناخته، جلوی اکسپلویت رو قبل از انتشار وصله‌ی رسمی می‌گیره.

آمازون سرویس DevOps Agent رو از راه MCP به گراف امنیتی Wiz وصل کرده تا موقع بررسی یه هشدار، خود ایجنت بفهمه پای یه مشکل عملیاتیه یا یه نفوذ واقعی.

از این به بعد ورک‌فلوهای CI/CD می‌تونن با یه توکن کوتاه‌عمرِ مخصوص همون اجرا به Docker Hub وصل بشن؛ نه PAT ذخیره‌شده‌ای می‌مونه که بچرخونی، نه سکرتی که لو بره.

دولت آمریکا یه چارچوب داوطلبانه آماده کرده تا توانایی‌های سایبری قوی‌ترین مدل‌های هوش مصنوعی رو قبل از عرضه بسنجه؛ معیارهاش هم قراره محرمانه بمونه.

۱۱ هفته پیش۳ دقیقهcnbc.com

محقق‌های Mysk نشون دادن روی مک می‌شه فایل اجرایی اپ‌های دانلودی مثل Signal یا VS Code رو بدون رمز و بدون هشدار عوض کرد؛ اپل بررسی کرد و گفت این مشکل امنیتی نیست.

میسترال یه مدل ۳ میلیارد پارامتری منتشر کرده که سیاست تعدیل محتوا رو موقع اجرا و به زبان ساده ازت می‌گیره؛ بدون آموزش دوباره، هم برای متن هم تصویر.

۱۱ هفته پیش۳ دقیقهmistral.ai

برگزارکننده‌های DEF CON ۲۰۲۶ اعلام کردن عینک‌های ضبط‌کنندهٔ سبک متا تو کنفرانس ممنوعه؛ حتی اگه کسی ازشون به‌عنوان عینک طبی استفاده کنه.

یه تبلیغ گوگل کاربر رو به یه صفحهٔ اشتراکی روی دامنهٔ واقعی claude.ai برد که خودشو راهنمای نصب اپل جا زده بود؛ یه دستور توی ترمینال کافی بود تا کل مک لو بره.