Мэдээнүүд

Grok ашиглан насанд хүрээгүй хүний дүрстэй олон мянган хууль бус зураг үүсгэсэн гэх хэрэгтэй холбоотойгоор xAI болон X-ийн эсрэг шинэ нэхэмжлэл гарсан гэж Ars Technica мэдээлэв. Генератив AI-ийн хамгаалалт, илрүүлэлт, мэдээлэх үүрэг бодит хохиролтой кейсүүдээр шалгагдаж эхэллээ.

Судлаачид түгээмэл 9 AI хэрэгслийг ашиглан халдагчид буруу санал болгосон package, command, dependency-ийг ашиглаж botnet байгуулах боломжтойг харуулжээ. “HalluSquatting” гэж нэрлэсэн энэ эрсдэл нь LLM “мэдэхгүй” гэж хэлэлгүй итгэлтэйгээр худал нэр санал болгодог сул тал дээр тогтож байна.

AI агент бодит ransomware халдлагын техникийн хэсгийг гүйцэтгэсэн анхны тохиолдол гэж яригдсан хэрэгт хүн хохирогчийг сонгож, дэд бүтэц бэлдэж, хулгайлагдсан нэвтрэх мэдээлэл өгсөн нь тодорхой болжээ. Өөрөөр хэлбэл бүрэн автоном кибер гэмт хэрэг хараахан биш ч AI халдлагын ажлыг хурдлуулж байна.

Ars Technica шинэ PamStealer macOS malware нь ердийн infostealer-ээс илүү далд арга барил ашиглаж байгааг онцоллоо. Mac орчин халдлагад бага өртдөг гэх ойлголт улам хуучирч, нууц үг, token, session мэдээлэл хулгайлах халдлага идэвхжиж байна.

GitHub нээлттэй эхийн төслийн maintainer-уудад үнэгүй ашиглаж болох зургаан security тохиргоог идэвхжүүлэхийг зөвлөжээ. Эдгээр нь төслийг бүрэн “хакердах боломжгүй” болгохгүй ч хамгийн амархан нэвтрэх хаалгуудыг хаана.

АНУ Signal болон WhatsApp хэрэглэгчдийг онилсон халдлагатай холбоотой бүлгийн талаар мэдээлэл өгсөн хүнд $10 сая хүртэл урамшуулал олгохоор болжээ. Ars Technica-ийн мэдээлснээр ажиллагаа Оросын төртэй холбоотой хоёр бүлэгтэй хамааралтай бөгөөд гуравдугаар сараас хойш үргэлжилж байна.

GitHub-ийн Advisory Database өмнөхөөсөө олон vulnerability report боловсруулж байгаа бөгөөд supply chain security-ийн ачаалал огцом өссөнийг тайлбарлав. Нээлттэй эхийн ecosystem тэлэх тусам эмзэг байдлыг зөв ангилах, давхардлыг цэгцлэх, хурдан анхааруулах ажил илүү төвөгтэй болж байна.

АНУ-ын Цагаан ордны шинэ захирамж post-quantum cryptography руу шилжих хугацааг мэдэгдэхүйц богиносгож, хуучин шифрлэлтийн системүүд үндэсний аюулгүй байдлын эрсдэл болж байгааг анхаарууллаа. Энэ нь зөвхөн төрийн байгууллага бус, ханган нийлүүлэлтийн сүлжээтэй бүх software, cloud, security багт нөлөөлөх дохио юм.

The Verge vibe-coding-оор хурдан бүтээсэн веб аппууд SQL injection зэрэг суурь хамгаалалтын алдаатай үлдэх эрсдэлийг жишээгээр тайлбарлажээ. AI код бичиж өгсөн ч өгөгдлийн сан, нэвтрэлт, permission, input validation зэрэг хэсгийг хүн өөрөө шалгах шаардлага хэвээр байна.

Microsoft USB-ээр тархаж, Tor-оор харилцдаг Crypto Clipper нэртэй шинэ malware илрүүлсэн талаар Ars Technica мэдээлэв. Крипто хэрэглэгчид болон байгууллагууд clipboard, wallet address, USB төхөөрөмжийн эрсдэлээ дахин шалгах шаардлагатай болж байна.

Oracle-ийн PeopleSoft программд илэрсэн маш ноцтой 0-day эмзэг байдлыг ашиглан халдагчид хэдэн зуун байгууллагад нөлөөлж, гигабайтаар хэмжигдэх дата хулгайлсан гэж мэдээлэв. Enterprise системийн хуучин, гүн суусан software эрсдэл хэвээр гэдгийг энэ хэрэг дахин санууллаа.

Verizon хэрэглэгчид refurbished утас илгээхдээ байгууллагын төхөөрөмж удирдлагын MDM системтэй үлдээсэн байж, дараа нь утсан дээрх датаг зайнаас устгасан тухай Ars Technica мэдээлэв. Энэ нь дахин борлуулсан төхөөрөмжийг хэрхэн бэлтгэдэг талаар асуулт үүсгэж байна.

OpenAI шинэ тайландаа БНХАУ-тай холбоотой нөлөөллийн ажиллагаанууд АНУ дахь AI бодлого, дата төв, тариф, ChatGPT-ийн тухай худал мэдээллийн сэдвүүдийг онилж байгааг дурджээ. AI өөрөө мэдээллийн дайн, бодлогын хэлэлцүүлэгт ашиглагдах хэрэгсэл болж буйг энэ тайлан сануулж байна.

Ars Technica-ийн мэдээлснээр Европ даяар ажиглагдсан GPS саатлын шинжилгээ Оросын хиймэл дагуулууд өргөн хүрээний дохио тасалдуулах чадвартай байж болзошгүйг харуулжээ. Энэ нь навигаци, нисэх, тээвэр, цэргийн системүүдийн эмзэг байдлыг дахин сануулж байна.

OpenAI sensitive data алдагдуулах эрсдэлтэй prompt injection халдлагыг бууруулах зорилгоор ChatGPT-д Lockdown Mode танилцууллаа. Энэ нь бүрэн хамгаалалт биш ч AI агентууд имэйл, файл, веб зэрэг олон эх сурвалжтай ажиллах тусам хэрэгтэй болох хамгаалалтын нэг давхарга юм.

Ars Technica Sound Blaster Katana V2X спикертэй холбоотой сонирхолтой кибер эрсдэлийг онцолжээ: төхөөрөмжийг агаараар халдаж, дараа нь USB-ээр холбогдсон компьютерт нөлөөлөх боломжтой гэж судлаачид үзсэн байна. Харин үйлдвэрлэгч энэ зан төлөвийг эмзэг байдал гэж хүлээн зөвшөөрөхгүй байгаа аж.

АНУ-ын Дээд шүүх AT&T болон Verizon-ийн FCC-ийн торгуулийг эсэргүүцсэн маргаанд операторуудын талд орсонгүй. Хэрэг нь хэрэглэгчийн байршлын мэдээллийг гуравдагч талд зарсан асуудлаас үүдэлтэй бөгөөд шүүх FCC-ийн шийдвэрийг үндсэндээ хэвээр үлдээв.

Нэг хөгжүүлэгч AI-аар “vibe coding” хийдэг хэрэглэгчдэд дургүйцэн jqwik төсөлд аппын гаралтыг устгахыг AI кодын агентуудад заасан далд prompt injection нэмсэн хэрэг гарчээ.

Судлаачдын мэдээлснээр энгийн JavaScript ашиглан браузер дотор SSD-ийн идэвхжлийг хэмжиж, хэрэглэгчийн үйлдэл эсвэл төхөөрөмжийн төлөвийн талаар мэдээлэл гаргаж авах боломжтой байна. Энэ нь вебийн нууцлалын шинэ төрлийн side-channel эрсдэл юм.

Cox Media болон хоёр маркетингийн фирм хэрэглэгчдийн утас, ухаалаг төхөөрөмжөөр яриаг нь нууцаар сонсож сурталчилгаа онилдог мэтээр сурталчилсан гэх асуудлаар FTC-тэй $930,000-ийн тохиролцоонд хүрлээ.

GitHub дотоод repository-ууддаа зөвшөөрөлгүй хандалт илэрснийг мэдэгдэж, нөлөөлөл тогтоогдвол хэрэглэгчдэд албан ёсны incident response сувгаар мэдээлнэ гэжээ. Хөгжүүлэгч багуудын хувьд энэ нь нийлүүлэлтийн сүлжээ, токен, dependency, CI/CD нууцлалын эрсдэлийг дахин шалгах сануулга болж байна.

FBI АНУ даяарх автомашины дугаар таних камерын өгөгдлийг хайх, хянах боломжийг өргөжүүлж, vendor-уудаар дамжуулан “бараг бодит цагийн” мэдээлэл авах сонирхолтой байгаа талаар Ars Technica мэдээллээ.

GitHub bug bounty хөтөлбөртөө илүү чанартай мэдээлэл, shared responsibility-ийн тодорхой зааг, эрсдэл багатай олдворын урамшууллын шинэ хандлага оруулахаар болжээ. Гол зорилго нь давхардсан, нөлөө багатай тайланг багасгаж, бодит эрсдэлтэй асуудалд анхаарал төвлөрүүлэх явдал.

Үүлэн үйлчилгээ болон enterprise платформууд аюул илрүүлэлт, нэвтрэлтийн бодлого, өгөгдлийн хамгаалалтыг бүтээгдэхүүний үндсэн урсгалд илүү ойртуулж байна. Энэ нь стартапуудад эхнээс нь security checklist-тэй ажиллах шаардлага тавьж байна.