یه گروه باج‌افزاری تازه‌کار ادعا کرده از دل Synopsys به داده‌های Bosch رسیده؛ سیناپسیس می‌گه هیچ نشونه‌ای از دسترسی غیرمجاز پیدا نکرده و مدرک منتشرشده هم قبلاً عمومی بوده.

نسخهٔ ۱۹.۲ گیت‌لب با انتشار عمومی Duo CLI و فلوهای سفارشی اومده، به‌علاوهٔ رفع خودکار وابستگی‌های آسیب‌پذیر و یه فلو تازه برای بازبینی امنیتی مرج‌ریکوئست‌ها.

یه پژوهشگر امنیت فقط با خوندن اسکریپت‌های عمومی گیت‌هاب فهمیده ده‌ها اپ شهری و رسانه‌ای چین روی چند SaaS مشترک سوارن که طرح امضاشون هیچ راز واقعی نداره.

تیم Token Security با ترکیب پنج اشتباه شناخته‌شده، از یک بلوک کد ساده تو نسخه رایگان Zapier شروع کرد و به حقوق انتشار یک پکیج NPM رسید که روی هر کاربر لاگین‌شده اجرا می‌شه.

ایجنت تا به صفحهٔ ورود می‌رسه گیر می‌کنه؛ دو راه‌حل قبلی هم یا ناامن بودن یا خودمختاری رو از بین می‌بردن. این اتصال یه راه سوم باز می‌کنه.

مهندسی معکوس باینری کاریه که سختیش کم ولی حسابی وقت‌گیره. Kong لایهٔ مکانیکیشو با کمک LLM و Ghidra خودکار می‌کنه و اسم و نوع توابع رو برمی‌گردونه.

۱۳ هفته پیش۳ دقیقهgithub.com

یه مهاجم با سوءاستفاده از یه حفره‌ی ناشناخته تو Oracle PeopleSoft به بخشی از سیستم NAIC نفوذ کرد و داده‌های رتبه‌بندی اعتباری بیمه‌گرها رو بیرون کشید.

ایجنت‌ها و کوپایلت‌ها دارن داده‌های سازمان رو بیرون می‌فرستن و کسی حسابشون رو نداره؛ این گیت‌وی می‌خواد همهٔ این ترافیک رو از یک نقطه کنترل کنه.

دیگه لازم نیست برای اتصال به API کلودفلر با API token سر و کله بزنی؛ حالا هر توسعه‌دهنده‌ای می‌تونه اپلیکیشن OAuth خودش رو بسازه.

FBI و CISA هشدار دادن گروه‌های وابسته به اطلاعات روسیه حالا به‌جای کد تأیید، دنبال کلید بازیابی بکاپ Signal‌ان تا کل تاریخچهٔ پیام‌ها رو بخونن.

یه مهاجم عاملی از راه Langflow وارد می‌شه و این بار باج‌افزاری می‌ذاره که وزن مدل، ایندکس برداری و دیتاست آموزشی رو هدف می‌گیره.

گزارش تازهٔ تیم Alignment Science چهار الگوی خرابی مدل‌های پیشرو رو در نقش ایجنت خودمختار مستند کرده؛ همه در شبیه‌سازی، ولی به‌عنوان زنگ خطر زودهنگام.

۱۳ هفته پیش۴ دقیقهalignment.anthropic.com

شرکت Tracebit یه رشته متن کوچیک رو داخل یه رمز قلابی (canary) مخفی کرده که وقتی ایجنت هوش مصنوعی مهاجم بخواد بخونتش، خودِ مکانیزم ایمنی مدل فعال می‌شه و حمله همون‌جا متوقف می‌شه.

یه آسیب‌پذیری منطقی تو Windows Installer (CVE-2025-27727) به کاربر بدون دسترسی بالا اجازه می‌داد MSI رو گول بزنه و یه پوشهٔ دلخواه رو با سطح SYSTEM پاک کنه.

ادعای «ما مسئولانه از AI استفاده می‌کنیم» راحته؛ اثباتش به یه ممیز مستقل سخته. فیگما رفته سراغ سخت‌ترش و گواهی بین‌المللی گرفته.

۱۳ هفته پیش۲ دقیقهfigma.com

کاخ سفید یه سازوکار هماهنگی تازه راه انداخته که گزارش‌های آسیب‌پذیری زیرساخت‌های حیاتی رو یه‌جا جمع می‌کنه و با کمک هوش مصنوعی اولویت وصله رو مشخص می‌کنه.

کارشناس‌ها می‌گن اپ‌های ماشین متصل برای راحتی ساخته شدن، نه ردیابی امنیتی؛ برای همین موقع دزدی نباید روشون حساب کرد.

Endor Labs یه نسخهٔ رایگان معرفی کرده که از طریق MCP به دستیارهای کدنویسی هوش مصنوعی وصل می‌شه و همون‌جا آسیب‌پذیری، سکرت و پکیج مخرب رو تشخیص می‌ده.

شرکت تجهیزات پزشکی Medtronic به بیمارها هشدار داده که اطلاعات شخصی و سلامتشون ممکنه تو یه حمله‌ی سایبری آوریل لو رفته باشه.

ترافرم به‌صورت پیش‌فرض state رو متن ساده ذخیره می‌کنه؛ یعنی هرکی دسترسی خوندن داشته باشه پسوردها و کلیدها رو می‌بینه. راهنمای بستن این در.