Мэдээнүүд

Өгөгдлийн хамгаалалтын Cyera компани AI агент, машин бус дансны аюулгүй байдалд төвлөрдөг Oasis Security-ийг $1 тэрбумаар авахаар тохиролцлоо. Байгууллагууд агент нэвтрүүлэхийн хэрээр хэн ямар өгөгдөлд хандаж байгааг хянах асуудал гол эрсдэл болж байна.

GitHub сүүлийн саруудад npm болон GitHub Actions-д чиглэдэг халдлагын аргуудыг таслан зогсоох шинэ хамгаалалтууд нэвтрүүлснээ танилцууллаа. Хөгжүүлэгчийн нэг dependency эсвэл CI workflow алдагдах нь олон төсөлд зэрэг эрсдэл үүсгэдэг.

AI Forensics-ийн шалгалтаар Hugging Face дээр байршуулсан хамгийн түгээмэл зураг засварлагч моделуудын ихэнх нь эмэгтэйчүүдийг хувцасгүйгээр дүрслэх энгийн хүсэлтийг хориглолгүй биелүүлжээ. Нээлттэй моделын түгээлт, хамгаалалтын бодлогын сул талыг энэ нь тодруулж байна.

Microsoft AI аюулгүй байдлын шинэ хэрэгслүүдээ өрсөлдөгчөөс хямд, илүү үр дүнтэй гэж танилцууллаа. Тус компани AI системийн хамгаалалт нь тусдаа нэмэлт биш, байгууллагын кибер хамгаалалтын үндсэн хэсэг болж байгааг онцолж байна.

Hugging Face-ийн гүйцэтгэх захирал OpenAI-тэй холбоотой гэж мэдээлэгдсэн автоном агентын кибер халдлагын дараа ил тод, дэлгэрэнгүй мэдээлэл нийтлэхийг уриалав. AI агентуудын аюулгүй байдлын бодит эрсдэл бүтээгдэхүүний түвшинд тулж ирж буйг энэ маргаан харуулж байна.

Glow нь AI агент, хөгжүүлэгчийн хэрэгслийн өргөн хэрэглээнээс үүсэж буй endpoint аюулгүй байдлын шинэ эрсдэлийг онилж, $1.2 тэрбумын үнэлгээтэйгээр нууц горимоос гарлаа.

OpenAI болон Hugging Face AI моделийн үнэлгээний явцад гарсан аюулгүй байдлын инцидентийн эхний дүгнэлтээ хуваалцаж, дэвшилтэт кибер чадварын эрсдэлийг онцоллоо.

OpenAI GPT-Red нэртэй автомат red-teaming системээ танилцууллаа. Энэ нь өөрөө өрсөлдөн турших аргаар AI системийн эмзэг байдал, тохируулга болон prompt injection-д тэсвэртэй байдлыг сайжруулах зорилготой.

Microsoft Secure Boot-д ашиглагдаж байсан, хүчингүй болгоогүй хуучин “shim” файлууд нь хамгаалалтыг тойрон гарах нөхцөл үүсгэж байсныг судлаачид илрүүлжээ. Энэ нь үйлдлийн систем ачаалагдахаас өмнөх түвшний халдлагын эрсдэлийг дахин анхаарлын төвд авчирч байна.

АНУ-ын CISA Оростой холбоотой хакерууд хамгаалалт сул router-уудыг ашиглан халдлагын бодит эх үүсвэрээ нуух residential proxy сүлжээ байгуулах эрсдэлтэйг анхааруулжээ.

Grok ашиглан насанд хүрээгүй хүний дүрстэй олон мянган хууль бус зураг үүсгэсэн гэх хэрэгтэй холбоотойгоор xAI болон X-ийн эсрэг шинэ нэхэмжлэл гарсан гэж Ars Technica мэдээлэв. Генератив AI-ийн хамгаалалт, илрүүлэлт, мэдээлэх үүрэг бодит хохиролтой кейсүүдээр шалгагдаж эхэллээ.

Судлаачид түгээмэл 9 AI хэрэгслийг ашиглан халдагчид буруу санал болгосон package, command, dependency-ийг ашиглаж botnet байгуулах боломжтойг харуулжээ. “HalluSquatting” гэж нэрлэсэн энэ эрсдэл нь LLM “мэдэхгүй” гэж хэлэлгүй итгэлтэйгээр худал нэр санал болгодог сул тал дээр тогтож байна.

AI агент бодит ransomware халдлагын техникийн хэсгийг гүйцэтгэсэн анхны тохиолдол гэж яригдсан хэрэгт хүн хохирогчийг сонгож, дэд бүтэц бэлдэж, хулгайлагдсан нэвтрэх мэдээлэл өгсөн нь тодорхой болжээ. Өөрөөр хэлбэл бүрэн автоном кибер гэмт хэрэг хараахан биш ч AI халдлагын ажлыг хурдлуулж байна.

Ars Technica шинэ PamStealer macOS malware нь ердийн infostealer-ээс илүү далд арга барил ашиглаж байгааг онцоллоо. Mac орчин халдлагад бага өртдөг гэх ойлголт улам хуучирч, нууц үг, token, session мэдээлэл хулгайлах халдлага идэвхжиж байна.

GitHub нээлттэй эхийн төслийн maintainer-уудад үнэгүй ашиглаж болох зургаан security тохиргоог идэвхжүүлэхийг зөвлөжээ. Эдгээр нь төслийг бүрэн “хакердах боломжгүй” болгохгүй ч хамгийн амархан нэвтрэх хаалгуудыг хаана.

АНУ Signal болон WhatsApp хэрэглэгчдийг онилсон халдлагатай холбоотой бүлгийн талаар мэдээлэл өгсөн хүнд $10 сая хүртэл урамшуулал олгохоор болжээ. Ars Technica-ийн мэдээлснээр ажиллагаа Оросын төртэй холбоотой хоёр бүлэгтэй хамааралтай бөгөөд гуравдугаар сараас хойш үргэлжилж байна.

GitHub-ийн Advisory Database өмнөхөөсөө олон vulnerability report боловсруулж байгаа бөгөөд supply chain security-ийн ачаалал огцом өссөнийг тайлбарлав. Нээлттэй эхийн ecosystem тэлэх тусам эмзэг байдлыг зөв ангилах, давхардлыг цэгцлэх, хурдан анхааруулах ажил илүү төвөгтэй болж байна.

АНУ-ын Цагаан ордны шинэ захирамж post-quantum cryptography руу шилжих хугацааг мэдэгдэхүйц богиносгож, хуучин шифрлэлтийн системүүд үндэсний аюулгүй байдлын эрсдэл болж байгааг анхаарууллаа. Энэ нь зөвхөн төрийн байгууллага бус, ханган нийлүүлэлтийн сүлжээтэй бүх software, cloud, security багт нөлөөлөх дохио юм.

The Verge vibe-coding-оор хурдан бүтээсэн веб аппууд SQL injection зэрэг суурь хамгаалалтын алдаатай үлдэх эрсдэлийг жишээгээр тайлбарлажээ. AI код бичиж өгсөн ч өгөгдлийн сан, нэвтрэлт, permission, input validation зэрэг хэсгийг хүн өөрөө шалгах шаардлага хэвээр байна.

Microsoft USB-ээр тархаж, Tor-оор харилцдаг Crypto Clipper нэртэй шинэ malware илрүүлсэн талаар Ars Technica мэдээлэв. Крипто хэрэглэгчид болон байгууллагууд clipboard, wallet address, USB төхөөрөмжийн эрсдэлээ дахин шалгах шаардлагатай болж байна.

Oracle-ийн PeopleSoft программд илэрсэн маш ноцтой 0-day эмзэг байдлыг ашиглан халдагчид хэдэн зуун байгууллагад нөлөөлж, гигабайтаар хэмжигдэх дата хулгайлсан гэж мэдээлэв. Enterprise системийн хуучин, гүн суусан software эрсдэл хэвээр гэдгийг энэ хэрэг дахин санууллаа.

Verizon хэрэглэгчид refurbished утас илгээхдээ байгууллагын төхөөрөмж удирдлагын MDM системтэй үлдээсэн байж, дараа нь утсан дээрх датаг зайнаас устгасан тухай Ars Technica мэдээлэв. Энэ нь дахин борлуулсан төхөөрөмжийг хэрхэн бэлтгэдэг талаар асуулт үүсгэж байна.

OpenAI шинэ тайландаа БНХАУ-тай холбоотой нөлөөллийн ажиллагаанууд АНУ дахь AI бодлого, дата төв, тариф, ChatGPT-ийн тухай худал мэдээллийн сэдвүүдийг онилж байгааг дурджээ. AI өөрөө мэдээллийн дайн, бодлогын хэлэлцүүлэгт ашиглагдах хэрэгсэл болж буйг энэ тайлан сануулж байна.

Ars Technica-ийн мэдээлснээр Европ даяар ажиглагдсан GPS саатлын шинжилгээ Оросын хиймэл дагуулууд өргөн хүрээний дохио тасалдуулах чадвартай байж болзошгүйг харуулжээ. Энэ нь навигаци, нисэх, тээвэр, цэргийн системүүдийн эмзэг байдлыг дахин сануулж байна.

OpenAI sensitive data алдагдуулах эрсдэлтэй prompt injection халдлагыг бууруулах зорилгоор ChatGPT-д Lockdown Mode танилцууллаа. Энэ нь бүрэн хамгаалалт биш ч AI агентууд имэйл, файл, веб зэрэг олон эх сурвалжтай ажиллах тусам хэрэгтэй болох хамгаалалтын нэг давхарга юм.

Ars Technica Sound Blaster Katana V2X спикертэй холбоотой сонирхолтой кибер эрсдэлийг онцолжээ: төхөөрөмжийг агаараар халдаж, дараа нь USB-ээр холбогдсон компьютерт нөлөөлөх боломжтой гэж судлаачид үзсэн байна. Харин үйлдвэрлэгч энэ зан төлөвийг эмзэг байдал гэж хүлээн зөвшөөрөхгүй байгаа аж.

АНУ-ын Дээд шүүх AT&T болон Verizon-ийн FCC-ийн торгуулийг эсэргүүцсэн маргаанд операторуудын талд орсонгүй. Хэрэг нь хэрэглэгчийн байршлын мэдээллийг гуравдагч талд зарсан асуудлаас үүдэлтэй бөгөөд шүүх FCC-ийн шийдвэрийг үндсэндээ хэвээр үлдээв.

Нэг хөгжүүлэгч AI-аар “vibe coding” хийдэг хэрэглэгчдэд дургүйцэн jqwik төсөлд аппын гаралтыг устгахыг AI кодын агентуудад заасан далд prompt injection нэмсэн хэрэг гарчээ.

Судлаачдын мэдээлснээр энгийн JavaScript ашиглан браузер дотор SSD-ийн идэвхжлийг хэмжиж, хэрэглэгчийн үйлдэл эсвэл төхөөрөмжийн төлөвийн талаар мэдээлэл гаргаж авах боломжтой байна. Энэ нь вебийн нууцлалын шинэ төрлийн side-channel эрсдэл юм.

Cox Media болон хоёр маркетингийн фирм хэрэглэгчдийн утас, ухаалаг төхөөрөмжөөр яриаг нь нууцаар сонсож сурталчилгаа онилдог мэтээр сурталчилсан гэх асуудлаар FTC-тэй $930,000-ийн тохиролцоонд хүрлээ.

GitHub дотоод repository-ууддаа зөвшөөрөлгүй хандалт илэрснийг мэдэгдэж, нөлөөлөл тогтоогдвол хэрэглэгчдэд албан ёсны incident response сувгаар мэдээлнэ гэжээ. Хөгжүүлэгч багуудын хувьд энэ нь нийлүүлэлтийн сүлжээ, токен, dependency, CI/CD нууцлалын эрсдэлийг дахин шалгах сануулга болж байна.

FBI АНУ даяарх автомашины дугаар таних камерын өгөгдлийг хайх, хянах боломжийг өргөжүүлж, vendor-уудаар дамжуулан “бараг бодит цагийн” мэдээлэл авах сонирхолтой байгаа талаар Ars Technica мэдээллээ.

GitHub bug bounty хөтөлбөртөө илүү чанартай мэдээлэл, shared responsibility-ийн тодорхой зааг, эрсдэл багатай олдворын урамшууллын шинэ хандлага оруулахаар болжээ. Гол зорилго нь давхардсан, нөлөө багатай тайланг багасгаж, бодит эрсдэлтэй асуудалд анхаарал төвлөрүүлэх явдал.

Үүлэн үйлчилгээ болон enterprise платформууд аюул илрүүлэлт, нэвтрэлтийн бодлого, өгөгдлийн хамгаалалтыг бүтээгдэхүүний үндсэн урсгалд илүү ойртуулж байна. Энэ нь стартапуудад эхнээс нь security checklist-тэй ажиллах шаардлага тавьж байна.

Цаг агаарын таамаг нь нислэг, эрчим хүчний сүлжээ, хөдөө аж ахуй зэрэг бодит шийдвэрүүдийн суурь болсон тул өгөгдлийг эвдэх, гуйвуулах эрсдэл нь эдийн засаг, аюулгүй байдалд шууд нөлөөлж болзошгүйг MIT Technology Review онцоллоо.

MIT Cybersecurity Clinic-ийн оюутнууд орон нутгийн захиргаа болон хамгаалалтын нөөц багатай байгууллагуудад халдлагаас сэргийлэх практик туслалцаа үзүүлж байна.

Multimodal AI олон тэрбум төхөөрөмжөөс ирэх дүрс, дуу, байршил, sensor-ийн өгөгдлийг нэгтгэх чадвартай болохын хэрээр халдагчид хүн эсвэл системийн нарийн “digital twin” бүтээж ашиглах эрсдэл нэмэгдэж байна гэж Semiconductor Engineering анхааруулжээ.