یه سندباکس نوشته‌شده با Rust که هر سیستم‌کال برنامه رو وسط راه می‌گیره و خودت تصمیم می‌گیری اجرا بشه، لاگ بشه یا جعلی جواب بگیره.

سیسکو دو مدل زبانی کوچک با وزن‌های باز منتشر کرده که به‌جای تولید کد، توی مخزن می‌گردن تا فایل‌های احتمالاً آسیب‌پذیر رو پیدا کنن.

۱۳ هفته پیش۳ دقیقهblogs.cisco.com

به‌جای غرق شدن در هشدارهای کاذب SIEM، این پروژه سنسورهای طعمه رو جایی می‌ذاره که هیچ ترافیک قانونی نباید بهشون بخوره؛ پس هر بار که فعال بشن، خبر واقعیه.

مایکروسافت این ماه ۶۲۲ آسیب‌پذیری رو وصله کرد؛ عددی که رکورد قبلی خودش یعنی ۲۰۶ تا در ژوئن رو خرد کرد و ریشه‌ش هم نقش پررنگ هوش مصنوعی در کشف باگه.

یک صفحهٔ وب به‌ظاهر بی‌خطر کافی بود تا افزونهٔ Acrobat فریب بخوره و چت‌ها و مخاطبان WhatsApp Web قربانی بی‌صدا خونده بشه؛ بدون بدافزار و بدون دسترسی به دستگاه.

Arctic Wolf می‌گه یه مهاجم با انگیزهٔ مالی صدها مخزن جعلی به اسم شرکت‌های نرم‌افزاری و امنیتی ساخته تا کاربرهای ویندوز رو به دانلود بدافزار بکشونه.

گوگل یه نسخهٔ فاین‌تیون‌شده از Flash معرفی کرده که برای پیدا کردن، تأیید و وصله‌کردن آسیب‌پذیری‌ها ساخته شده و فعلاً فقط به دولت‌ها و شرکای منتخب می‌رسه.

۱۳ هفته پیش۲ دقیقهdeepmind.google

پژوهشگرها یه pull request ساختن که دستور دزدیدن رازهای مخزن رو توی یه فایل PNG قایم می‌کنه؛ جایی که بازبین‌های کد هوش مصنوعی اصلاً بازش نمی‌کنن.

CISA سه آسیب‌پذیری جدید رو با شواهدِ بهره‌برداریِ فعال به کاتالوگ KEV اضافه کرد؛ دو مورد مربوط به افزونه‌های Page Builder جوملا و یکی مربوط به Langflow.

گوگل دیپ‌مایند سیستم‌های هوش مصنوعی رو تو پنج پلهٔ توانایی دسته‌بندی کرده و برای هر پله آزمون و محدودیت عرضهٔ مشخصی گذاشته؛ چیزی که همین حالا هم به کار شرکت‌ها می‌آد.

۱۳ هفته پیش۳ دقیقهmindstudio.ai

یک پژوهشگر امنیتی نشون داده گواهی دستگاه یک جاروبرقی Shark کافیه تا آدم بتونه روی جاروبرقی‌های دیگه دستور دلخواه اجرا کنه؛ باگ هنوز وصله نشده.

بن تامپسون استدلال می‌کنه واکنش به Kimi K3 از نظر اقتصادی بزرگ‌نمایی شده، چون مدل باز رایگان نیست — فقط هزینهٔ تحقیق و توسعه‌ش صفره، نه هزینهٔ سرو‌کردنش.

۱۳ هفته پیش۴ دقیقهstratechery.com

وارونیس یه آسیب‌پذیری بحرانی در Dialogflow CX گوگل کشف کرد که با فقط یه مجوز ویرایش، اجازه تزریق کد مخرب و سرقت مکالمه‌ها رو می‌داد.

ابزار clawk به ایجنت‌های کدنویسی مثل Claude Code یه ماشین لینوکسی جدا و دورریختنی می‌ده تا هر کاری بکنن، بدون اینکه به فایل‌ها و کلیدهای سیستم اصلیت دست بزنن.

یه آسیب‌پذیری بحرانی تو پلتفرم هوش مصنوعی ServiceNow که اجازه می‌ده مهاجم بدون احراز هویت از سندباکس فرار کنه و کد اجرا کنه، از جمعه تو دنیای واقعی داره اکسپلویت می‌شه.

بیکن‌های Cobalt Strike هرچقدر هم پروفایلشون سفارشی باشه، آخرش فقط با یک URI برای GET و یکی برای POST حرف می‌زنن؛ همین نقطهٔ باریک، راه شناساییشون رو باز می‌کنه.

این ابزار متن‌باز با نگاه به الگوی زمانیِ فعالیت، منطقهٔ زمانی و کشورهای محتمل رو تخمین می‌زنه؛ ابزاری برای تحلیل OSINT و اطلاعات تهدید.

کوکاکولا در گزارش رسمی به کمیسیون بورس آمریکا اعلام کرده یک حملهٔ باج‌افزاری به زیرمجموعهٔ لبنی Fairlife، تولید این برند رو در آمریکا موقتاً خوابونده.

یه CLI تک‌باینری از awslabs که PII و سکرت رو تو فایل و استریم پیدا می‌کنه، به هر یافته امتیاز اطمینان می‌ده و همون‌جا ماسکش می‌کنه.

پژوهشگرهای Bitdefender سه تکنیک تازه مستند کردن که با سوءاستفاده از قابلیت مجازی‌سازی مسیر در ویندوز، حسگرهای EDR و دفاع‌های داخلی مثل AMSI و AppLocker رو دور می‌زنن.