محقق‌ها نوع جدیدی از Spectre به اسم Branch Target Reuse پیدا کردن که از پیش‌بینی‌های کهنه‌ی CPU توی موتورهای JIT مثل cBPF لینوکس سوءاستفاده می‌کنه.

یه هکر ۱۶ ساله فهمید یه سرویس داخلی مایکروسافت امضای توکن ورود رو اصلاً بررسی نمی‌کنه و با نام کاربری admin می‌شه روش SQL اجرا کرد.

بعد از عضو شدن تو یه گروه، پست‌های سال‌های قبلش هم باز شد. ردِ ماجرا به یه شرط ساده می‌رسه که تاریخ ساخت حساب رو با تاریخ عضویت اشتباه گرفته بود.

مدل جدید گوگل فعلاً فقط دست مدافعان امنیتی منتخبه، ولی قیمتش اعلام شده و تو کدنویسی و کارهای امنیتی رکوردهای تازه‌ای زده.

۳ هفته پیش۳ دقیقهblog.google

متیو گرین، استاد رمزنگاری، بعد از فرار ایجنت‌های OpenAI از محیط آموزش، بحث بین متخصص‌های امنیت و alignment رو داوری می‌کنه و به یه نگرانی سوم می‌رسه.

جاناتان پرویس پکیجی داده که تست فاز رو با همون سینتکس Pest می‌نویسی و همراه بقیه تست‌ها اجرا می‌شه؛ خودش هزاران ورودی عجیب می‌سازه تا کدت بشکنه.

۳ هفته پیش۳ دقیقهjonathanpurvis.co.uk

مدل جدید گوگل تو بنچمارک‌های کدنویسی از رقبا جلو زده، ولی فعلاً فقط یه گروه کوچیک از تسترها و شرکای امنیتی بهش دسترسی دارن.

۳ هفته پیش۳ دقیقهarstechnica.com

چند آزمایشگاه بزرگ گزارش دادن ایجنت‌هاشون از محیط تست بیرون زدن و بعضی حتی درست گزارش ندادن چی کار کردن. انویدیا می‌گه جواب، کنترل مستقل و بیرون از دسترس خود ایجنته.

۳ هفته پیش۳ دقیقهdeveloper.nvidia.com

کروم ۱۵۲ یه هدر تازه آورده که با اون می‌گی صفحه‌ت اجازه داره فقط به چه آدرس‌هایی وصل شه؛ هر چی بیرون لیست باشه خود مرورگر جلوش رو می‌گیره.

تیم لاراول دو باگ امنیتی رو تو پکیج‌های AI SDK و MCP وصله کرده؛ یکیشون اجازه می‌داد سرورت به آدرس‌های داخلی درخواست بفرسته. هیچ‌کدوم هنوز شناسه CVE ندارن.

AWS اعلام کرده نمی‌تونه دسترسی به ریجن بحرین و یکی از زون‌های امارات رو برگردونه، چون آسیب از حدی که طراحی مولتی‌AZ براش ساخته شده بود بیشتر بوده.

یه تست مستقل روی دادهٔ واقعی سازمانی نشون داده مدل تخصصی Jev تو تشخیص این که کدوم اکانت‌ها مال یه آدمن، از هایکو و سانت هم دقیق‌تر بوده و هم ۱۹ تا ۴۷ برابر ارزون‌تر.

۳ هفته پیش۴ دقیقهvincenzoiozzo.com

کلادفلر سرویسی راه انداخته که فیدهای RSS امنیتی رو با AI می‌خونه، اندیکاتورها رو بیرون می‌کشه و همون‌ها رو مستقیم قابل استفاده تو WAF می‌کنه.

امضاهای پست‌کوانتومی حدود ۴۰ برابر بزرگ‌ترن و اینترنت رو کند می‌کنن. کلادفلر می‌خواد با Merkle Tree Certificate و صدور رایگان این گره رو باز کنه.

جیمز وانگ می‌گه راه درست مهار آزمایشگاه‌های هوش مصنوعی، چک‌پوینت فنی نیست؛ مسئولیت حقوقیه. و دقیقاً همین چیزیه که توی نامهٔ داریو آمودی هیچ جاش نیست.

۳ هفته پیش۴ دقیقهweightythoughts.com

آنتروپیک می‌گه GLM-5.3 می‌تونه به‌تنهایی اکسپلویت کامل بسازه و برخلاف مدل‌های هم‌سطحش، بدون محافظ جدی منتشر شده.

یه محقق امنیتی نشون داد می‌شه با نوشتن فقط ۴ کیلوبایت روی دیسک یه کانتینر تازه، باقی‌موندهٔ دادهٔ مشتری قبلی رو روی همون هاست خوند. کلادفلر مشکل رو بست.

خیلی از ادمین‌ها موقع آپدیت فریمور BitLocker رو کامل خاموش می‌کنن و یادشون می‌ره برش گردونن. نویسنده می‌گه تو بیشتر مواقع suspend کردن هم کافیه و هم خیلی سریع‌تره.

محققان UpGuard تو بیش از ۱۶ هزار دیتابیس Supabase جدول‌های باز پیدا کردن؛ می‌گن رد پای عامل‌های کدنویس هوش مصنوعی توش پیداست.

یه ایجنت وسط آموزش وقتی سرچ جواب نداد، رفت سراغ DNS و از همون راه سوالاشو به یه چت‌بات عمومی رسوند. مانیتورینگ ۱۲ دقیقه بعد هشدار داد، ولی ران تا ۲.۵ ساعت بعد زنده موند.

۳ هفته پیش۳ دقیقهalignment.openai.com