تیم قرمز می‌تونه حساب‌های طعمه‌ای رو که مدافع برای دام گذاشته، بدون فعال‌کردن هیچ هشداری شناسایی کنه؛ فقط کافیه ببینه کدوم حساب تا حالا اصلاً لاگین نکرده.

عامل‌های هوش مصنوعی با دسترسیِ بالا و سرعتِ ماشینی دارن به یه نوع تهدیدِ داخلیِ تازه تبدیل می‌شن که ابزارهای امنیتیِ آدم‌محورِ امروز جوابش رو نمی‌دن.

روبلاکس ابزارِ زیست‌سنجیِ تخمینِ سن رو راه انداخته تا کاربرا رو تو حساب‌های سنی بذاره؛ حتی یه بچه‌ی ۱۱ساله با سبیلِ مصنوعی هم نتونست گولش بزنه.

۶ هفته پیش۳ دقیقهnbcnews.com

SpiderFoot یه ابزار پایتونی متن‌بازه که با اتصال به صدها منبع داده، جمع‌آوری اطلاعات دربارهٔ یه دامنه یا IP یا ایمیل رو کاملاً خودکار می‌کنه.

وارپ‌گیت یه بستیون‌هاست متن‌باز و کاملاً شفافه که بدون نصب کلاینت، دسترسی SSH و HTTPS و دیتابیس رو مدیریت و همهٔ نشست‌ها رو ضبط می‌کنه.

یه زنجیرهٔ آسیب‌پذیری تو Microsoft 365 Copilot باعث می‌شد فقط با یه کلیک روی لینک، ایمیل و فایل‌های قربانی دزدیده بشه؛ مایکروسافت وصله‌ش کرده.

Datadog تو رویداد DASH امسال یه موج قابلیت امنیتی رونمایی کرد که محورش ایجنت‌های هوش مصنوعیه؛ از threat hunting خودکار و بررسی آلرت‌ها تا ساخت خودکار pull request برای رفع آسیب‌پذیری‌ها.

گروه باج‌گیر ShinyHunters می‌گه نزدیک ۳۰۰ گیگابایت داده از شورای اروپا دزدیده، از فیش حقوقی ۱۰ هزار کارمند تا سوابق پزشکی.

پالو آلتو تأیید کرده که یه آسیب‌پذیری تو GlobalProtect (شناسهٔ CVE-2026-0257) فعالانه اکسپلویت می‌شه و به مهاجم بدون احراز هویت اجازه می‌ده سشن VPN بسازه و به شبکهٔ داخلی سازمان راه پیدا کنه.

یه گزارش تازه از Ivanti می‌گه ۶۸٪ متخصص‌های IT خودشون دیدن که هوش مصنوعی توهم می‌زنه و خروجی غلط با تأثیر عملیاتی می‌ده؛ ولی جالبه که اعتماد و اقدام خودکار AI هم پا‌به‌پاش داره بیشتر می‌شه.

۶ هفته پیش۳ دقیقهhelpnetsecurity.com

یه نشتی حافظه که از سال ۱۹۹۷ تو پروکسی Squid مونده و می‌تونه رمز عبور و توکن نشست کاربرای دیگه رو لو بده.

یه اپ متن‌باز آیفون که خام و بی‌روتوش نشونت می‌ده هر اپ ثالثی بدون اجازه چه چیزهایی از دستگاهت می‌خونه و چطور باهاشون می‌شناسنت.

Vercel با یه تصمیم معماری جسورانه، زمان پروویژن بیلد رو ۱۸ برابر کاهش داد — نه با ساده‌تر کردن زیرساخت، بلکه با پیچیده‌تر کردن اون.

گروه Silent Ransom با ایمیل و تماس تلفنی خودشو پشتیبان IT جا می‌زنه و طی چند ساعت اطلاعات حساس شرکت‌های حقوقی رو می‌دزده و باهاش باج می‌خواد.

کد تولیدشده با AI موقع کد ریویو نمرهٔ بالا می‌گیره؛ ساختار تمیز و باگ آشکار کم. ولی طبق یه مطالعهٔ تازه، همون کد تو production بدتر رفتار می‌کنه و مهندس‌های ارشد وقتشون رو صرف تمیزکردنش می‌کنن.

۶ هفته پیش۴ دقیقهhelpnetsecurity.com

یه گروه هکری چینی ۱۰ سال تمام تونست بدون اتصال مستقیم به اینترنت، دل یه شبکهٔ حیاتی و ایزوله رو ببینه و هر لاگین و دستور ادمین‌ها رو شنود کنه.

متا برنامهٔ ردیابی حرکات کارمنداش برای آموزش هوش مصنوعی رو موقتاً متوقف کرد، چون یه نشتی داخلی اطلاعات حساس رو در اختیار کل شرکت گذاشته بود.

۶ هفته پیش۲ دقیقهengadget.com

یه تیکتِ پشتیبانی می‌تونه به agentت بگه دستوراتش رو نادیده بگیره و داده‌ی مشتریِ دیگه رو لو بده. نویسنده می‌گه راه‌حل، سفت‌کردنِ prompt نیست؛ محدودکردنِ کاریه که toolها اجازه دارن بکنن.

محققای Varonis یه زنجیرهٔ سه‌مرحله‌ای تو Microsoft 365 Copilot پیدا کردن که با یه کلیک روی لینکی از دامنهٔ مورداعتماد مایکروسافت، داده رو بی‌صدا بیرون می‌کشه.

یه آسیب‌پذیری path traversal تو پلتفرم محبوب ساخت اپ‌های هوش مصنوعی Langflow داره فعالانه سوءاستفاده می‌شه و چون لاگین خودکار بی‌احراز هویت پیش‌فرضه، حتی به رمز هم نیاز نیست.