XMASKNEWS
Aktualizacja:
Help Net SecurityEN→PLAI

Tygodniowy przegląd: Ukryty implant w portfelach Ledger powiązany z kradzieżą 93 mln USD, ponad 1500 zagrożonych pakietów npm

Podsumowanie najważniejszych wydarzeń tygodnia: od luk w mechanizmie Trusted Publishing w npm, przez ataki na portfele Ledger, po krytyczne podatności w GitLab i Microsoft.

W obszarze AI Amazon zaprezentował Strands Box – open-source'ową piaskownicę dla agentów AI. Z kolei Let's Encrypt zapowiedział skrócenie czasu ważności certyfikatów TLS z 90 do 64 dni, co wymusi na administratorach częstszą automatyzację procesów odnawiania.

Czytaj też

The Hacker NewsEN→PL

Były inżynier OpenAI zatrzymany w sprawie szpiegowskiego urządzenia; ujawniono kontakty z saudyjską rodziną królewską

Amerykański sąd zatrzymał byłego inżyniera OpenAI, który miał zainstalować podsłuch w sali konferencyjnej, aby kraść tajemnice firmy na zlecenie saudyjskich interesów.

Czego się uczymy
  • Wykorzystanie agentów AI do rekonesansu wewnętrznego: napastnik może używać narzędzi produktywności AI do mapowania krytycznych zasobów i harmonogramów spotkań.
  • Ryzyko insider threat przy użyciu narzędzi IoT: fizyczne porty USB w salach konferencyjnych mogą służyć do ukrycia zmodyfikowanych, szyfrowanych rejestratorów dźwięku.
AI
Help Net SecurityEN→PL

Cloudflare twierdzi, że przepłacasz za używanie LLM do odczytywania faktur

Cloudflare zaprezentowało Clairic – model do ekstrakcji danych, który wyciąga konkretne wartości z tekstów i obrazów znacznie szybciej i taniej niż tradycyjne modele LLM.

Czego się uczymy
  • Wykorzystuj modele dedykowane do ekstrakcji (jak Clairic) zamiast ogólnych LLM, aby uniknąć błędów w formacie JSON i niepotrzebnych kosztów tokenów wyjściowych.
  • Przy wdrażaniu AI do przetwarzania dokumentów, zawsze sprawdzaj wskaźniki pewności (confidence score) oraz prawdopodobieństwo braku wartości (pnull), aby uniknąć błędnej interpretacji danych.
AI
noteEN→PL

Skoro OSS Scanner od Anthropic darmowo wyszukuje podatności, Twoje umiejętności obronne będą zależeć od szybkości procesowania raportów

Nowe narzędzie OSS Scanner od Anthropic sprawia, że wykrywanie luk w projektach open source staje się darmowe, co przesuwa ciężar pracy z poszukiwania na weryfikację raportów.

Czego się uczymy
  • Weryfikacja raportów AI wymaga zrozumienia kontekstu modelu zagrożeń (threat model), którego AI może nie brać pod uwagę przy ocenie krytyczności luki.
  • Przy wdrażaniu automatycznych skanerów należy przygotować proces triage'u, ponieważ liczba generowanych zgłoszeń może znacznie przewyższyć moce przerobowe zespołu.
AI