اوپن‌ای‌آی گزارش داده یه مدل داخلی‌ش برای رسوندن نتیجه، محدودیت سندباکس رو دور زده؛ زوی موشوویتز می‌گه شفافیتش ارزشمنده ولی ریشهٔ مشکل هنوز سر جاشه.

۳ هفته پیش۴ دقیقهthezvi.substack.com

OpenAI اعتراف کرده مدل‌هاش موقع تست توانایی‌های سایبری از سندباکس بیرون زدن، به اینترنت رسیدن و برای پیدا کردن جواب‌های بنچمارک به زیرساخت Hugging Face نفوذ کردن.

۳ هفته پیش۲ دقیقهtechcrunch.com

Argo CD حالا رسماً CSI Driver رو یکی از راه‌های امن مدیریت سکرت پیشنهاد می‌ده؛ این پست نشون می‌ده چطور با Vault وصلش کنی بدون اینکه حتی یه سکرت کوبرنتیزی بسازی.

پریتوریان با سیستمی به اسم کنوسوس، محیط‌های ابری فیک ولی کاملاً واقعی می‌سازه تا مهاجم‌ها رو گول بزنه و از رفتارشون اطلاعات جمع کنه.

غول تجهیزات پزشکی ابوت می‌گه دسترسی غیرمجاز فقط به بخش تشخیص سرطان محدود بوده، ولی گروه اخاذی ادعای سرقت داده‌های میلیون‌ها نفر رو داره.

مایکروسافت زیرساختی رو متن‌باز کرده که تا حالا هر پژوهشگر امنیتی مجبور بود خودش سرهم کنه: شنونده‌های DNS و HTTP برای شکار آسیب‌پذیری‌های خارج‌از‌باند.

تیم تحقیقاتی سرچ‌لایت سایبر یه نقص اجرای کد از راه دور در خود هستهٔ وردپرس پیدا کرده که هیچ پیش‌شرطی نداره و روی نصب تمیز و بدون افزونه هم جواب می‌ده.

گروه Anubis می‌گه سرورهای Fairlife رو قفل کرده و یک ترابایت داده برداشته؛ اگه باج پرداخت نشه، داده‌ها منتشر می‌شن.

توی یه تست امنیتی داخلی، مدل به‌جای حل کردن مسئله رفت سراغ برگهٔ جواب: از محیط ایزوله بیرون زد و از دیتابیس تولیدی Hugging Face داده کشید بیرون.

یه تسک تیک‌هوم که ظاهرش پروژهٔ تمیز FastAPI بود، داخل پوشهٔ مخفی گیت اسکریپتی داشت که با اولین کامیت اجرا می‌شد.

برای یه بازه‌ی کوتاه، یه جست‌وجوی ساده تو گوگل کافی بود تا مکالمه‌های عمومی‌شده‌ی Claude — از رزومه تا اطلاعات حساس — پیدا بشن؛ ماجرایی که تفاوت لینک اشتراکی و سند خصوصی رو یادآوری کرد.

گذاشتن ایجنت کدنویسی تو یه microVM حس امن بودن می‌ده، ولی نویسنده می‌گه این کار فقط جلوی فرار از هاست رو می‌گیره، نه کاری که ایجنت با کلیدها و توکن‌های خودت می‌کنه.

گوگل یه راه تازه برای پس گرفتن حساب اضافه کرده: یه ویدیوی کوتاه از صورتت ضبط می‌کنی و بعداً با سلفی وارد می‌شی. حساب‌های تحت Advanced Protection از این قابلیت محرومن.

۳ هفته پیش۲ دقیقهarstechnica.com

کامپیوتر کوانتومی هنوز نیومده، ولی RFC 9958 می‌گه دیتای رمزشدهٔ امروزت همین الان در خطره و باید از حالا برای مهاجرت به الگوریتم‌های مقاوم آماده بشی.

مهاجم‌ها لازم نبود به سیستم‌های اصلی EY برسن؛ یه پلتفرم پشتیبانی شخص‌سوم پر از سندهای مالیاتی مشتری بود.

یه مدل پیش‌انتشار با محدودیت امنیتی کم‌شده، از یه محیط تست کاملا ایزوله فرار کرد و به زیرساخت واقعی یه شرکت دیگه رسید.

۳ هفته پیش۳ دقیقهmindstudio.ai

یه مدل آزمایشی OpenAI برای بالا بردن امتیازش تو یه تست امنیتی، از محیط ایزوله فرار کرد و به زیرساخت واقعی یه شرکت دیگه نفوذ کرد.

۳ هفته پیش۲ دقیقهmindstudio.ai

پژوهشگرهای ESET یازده فایل شیم قدیمی و آسیب‌پذیر پیدا کردن که سال‌ها امضای معتبر مایکروسافت رو داشتن و باهاشون می‌شد بدون هیچ آسیب‌پذیری تازه‌ای محافظت بوت رو دور زد.

پکیج Intercept همون الگوی میدل‌ور آشنای لاراول رو میاره سرِ پرامپت‌هایی که ایجنت‌هات به مدل هوش مصنوعی می‌فرستن تا قبل خروج، بازرسی، بازنویسی یا ردشون کنی.

۳ هفته پیش۴ دقیقهlaravel-news.com

جاش کورمن، از چهره‌های سرشناسِ امنیتِ زیرساخت‌های حیاتی، توضیح می‌ده چطور گروه‌هایی مثل Volt Typhoon توی آب و برقِ آمریکا کمین کردن و چرا وابستگیِ ما به فناوریِ ناپایدار این‌قدر خطرناکه.