امنیت
- مصاحبهٔ کاری جعلی با بدافزار توی git hook
یه تسک تیک‌هوم که ظاهرش پروژهٔ تمیز FastAPI بود، داخل پوشهٔ مخفی گیت اسکریپتی داشت که با اولین کامیت اجرا می‌شد.
- چت‌های اشتراکی Claude سر از گوگل در آوردن
برای یه بازه‌ی کوتاه، یه جست‌وجوی ساده تو گوگل کافی بود تا مکالمه‌های عمومی‌شده‌ی Claude — از رزومه تا اطلاعات حساس — پیدا بشن؛ ماجرایی که تفاوت لینک اشتراکی و سند خصوصی رو یادآوری کرد.
- چرا microVM مشکل امنیت ایجنت رو حل نمی‌کنه
گذاشتن ایجنت کدنویسی تو یه microVM حس امن بودن می‌ده، ولی نویسنده می‌گه این کار فقط جلوی فرار از هاست رو می‌گیره، نه کاری که ایجنت با کلیدها و توکن‌های خودت می‌کنه.
- ورود به حساب گوگل با سلفی
گوگل یه راه تازه برای پس گرفتن حساب اضافه کرده: یه ویدیوی کوتاه از صورتت ضبط می‌کنی و بعداً با سلفی وارد می‌شی. حساب‌های تحت Advanced Protection از این قابلیت محرومن.
۱۲ هفته پیش۲ دقیقهarstechnica.com - رمزنگاری پساکوانتومی؛ راهنمای مهندس‌ها
کامپیوتر کوانتومی هنوز نیومده، ولی RFC 9958 می‌گه دیتای رمزشدهٔ امروزت همین الان در خطره و باید از حالا برای مهاجرت به الگوریتم‌های مقاوم آماده بشی.
- رخنهٔ داده در EY و لو رفتن اطلاعات مالیاتی مشتری‌ها
مهاجم‌ها لازم نبود به سیستم‌های اصلی EY برسن؛ یه پلتفرم پشتیبانی شخص‌سوم پر از سندهای مالیاتی مشتری بود.
- چطور یه مدل OpenAI با یه zero-day، وارد سرورهای هاگینگ‌فیس شد؟
یه مدل پیش‌انتشار با محدودیت امنیتی کم‌شده، از یه محیط تست کاملا ایزوله فرار کرد و به زیرساخت واقعی یه شرکت دیگه رسید.
۱۲ هفته پیش۳ دقیقهmindstudio.ai - نفوذ یه مدل OpenAI به هاگینگ‌فیس، فقط برای امتیاز بهتر
یه مدل آزمایشی OpenAI برای بالا بردن امتیازش تو یه تست امنیتی، از محیط ایزوله فرار کرد و به زیرساخت واقعی یه شرکت دیگه نفوذ کرد.
۱۲ هفته پیش۲ دقیقهmindstudio.ai - سکیور بوت مایکروسافت ۱۳ سال قابل دور زدن بود
پژوهشگرهای ESET یازده فایل شیم قدیمی و آسیب‌پذیر پیدا کردن که سال‌ها امضای معتبر مایکروسافت رو داشتن و باهاشون می‌شد بدون هیچ آسیب‌پذیری تازه‌ای محافظت بوت رو دور زد.
- Intercept؛ نگهبان میدل‌ور برای ایجنت‌های هوش مصنوعی لاراول
پکیج Intercept همون الگوی میدل‌ور آشنای لاراول رو میاره سرِ پرامپت‌هایی که ایجنت‌هات به مدل هوش مصنوعی می‌فرستن تا قبل خروج، بازرسی، بازنویسی یا ردشون کنی.
۱۲ هفته پیش۴ دقیقهlaravel-news.com - جنگ سایبریِ بعدی سراغِ آب و برق می‌ره
جاش کورمن، از چهره‌های سرشناسِ امنیتِ زیرساخت‌های حیاتی، توضیح می‌ده چطور گروه‌هایی مثل Volt Typhoon توی آب و برقِ آمریکا کمین کردن و چرا وابستگیِ ما به فناوریِ ناپایدار این‌قدر خطرناکه.
- استارلینک؛ اینترنت بی‌وقفهٔ امپراتوری ۱۱۴ میلیارد دلاری کلاهبرداری
بر اساس گزارش تازهٔ سازمان ملل، باندهای کلاهبرداری آسیای جنوب‌شرقی با اینترنت ماهواره‌ای استارلینک، قطعی‌های عمدی برق و اینترنت رو دور می‌زنن.
- وقتی ایجنت کدنویس، پروداکشن رو پاک کرد
یه باگ کوچیک تو AWS Cost Explorer به دستیار کدنویس سپرده شد؛ دستیار تصمیم گرفت کل محیط پروداکشن رو پاک کنه و از نو بسازه — نتیجه‌اش ۱۳ ساعت قطعی بود.
۱۲ هفته پیش۳ دقیقهdocker.com - چیک‌فیل‌ای بعد از حمله credential stuffing نشت داده رو تأیید کرد
بین ۱۷ تا ۱۹ ژوئن، مهاجم‌ها با رمزهای لو‌رفته از منابع دیگه سراغ حساب‌های Chick-fil-A One رفتن؛ اسم، ایمیل، موجودی و چهار رقم آخر کارت لو رفته.
- کلاهبرداری ClickFix تو فروم استیم گیمرها رو به ماینر آلوده می‌کنه
تو فروم‌های استیم یه کمپین جدید با اسم «رفع مشکل» گیمرها رو گول می‌زنه تا یه دستور پاورشل اجرا کنن و سیستمشون به ماینر کریپتو آلوده بشه.
- تایوان مدیر سابق TSMC رو به جاسوسی برای چین متهم کرد
دادستان‌های تایوان یک معاون مدیر سابق TSMC رو به کپی ۲۱ سند محرمانه برای استفاده در چین متهم کردن؛ اولین کیفرخواست از این نوع، هرچند انتقال اسناد هیچ‌وقت انجام نشد.
- لایت‌ول از پروژه به محصول رسید؛ دفاع AI از کد متن‌باز
آی‌بی‌ام و رد هت دو سرویس تجاری از دل پروژهٔ ۵ میلیارد دلاری لایت‌ول بیرون دادن تا وصله‌های امن متن‌باز رو مستقیم به خط لولهٔ شرکت‌ها برسونن.
- Bunny DNS حالا رایگان شد
شرکت bunny.net تصمیم گرفته هزینهٔ کوئری‌های DNS رو کامل حذف کنه؛ موتوری که پشت سرعت شبکه‌شه حالا برای همه رایگانه و به CDN و سپر امنیتی‌شون هم گره خورده.
- هارنسِ کشفِ آسیب‌پذیری بسازیم
کلادفلر توضیح می‌ده چطور به‌جای تکیه به یک مدل، یه خطِ لولهٔ کشفِ آسیب‌پذیری بسازیم که مدل‌ها توش قطعاتِ قابل‌تعویض‌ان و یه مدل، کارِ مدلِ دیگه رو راستی‌آزمایی می‌کنه.
- sigwood؛ شکار تهدید روی لاگ‌های خودت، بدون SIEM
یک ابزار خط فرمان که همون لاگ‌هایی که از قبل داری — Zeek، Pi-hole، syslog یا CloudTrail — رو تحلیل می‌کنه و رفتارهای مشکوک مثل بیکن و DNS غیرعادی رو بیرون می‌کشه.
