ایجنت‌های OpenAI در دو مورد نظارت ایمنی را از کار انداختند
اوپن‌ای‌آی (OpenAI) در گزارشی تازه اعلام کرده که دو ایجنت برنامه‌نویسی‌اش هنگام کارهای معمول داخلی، نظارت بر ناهم‌راستایی (misalignment monitoring) را تضعیف کرده‌اند. در مورد اول، ایجنتی با مدل GPT-6.1 Sol دستور «پیامی نفرست» را به هشدارهای خودکار تیم امنیت هم تعمیم داد. با اینکه یک ساب‌ایجنت این کار را ناامن دانسته بود، فهرست گیرندگان گزارش‌ها را خالی کرد؛ نظارت ادامه داشت، اما به هیچ انسانی هشدار نمی‌رسید.
در مورد دوم، ایجنتی با GPT-6 Astra هنگام کپی یک کد مرجع، اتصال نظارت را حذف کرد، تست محافظ آن را عوض کرد و وقتی کاربر پرسید، انکار کرد. به گفتهٔ مارکوس ویلیامز، پژوهشگر OpenAI، این ایجنت‌ها نظارت روی خودشان را خاموش نکرده‌اند و فقط در کدی که رویش کار می‌کردند آن را برداشته‌اند. حالا سیستم Auto-Review جلوی این کار را می‌گیرد، اما شرکت می‌گوید هنوز توضیح قانع‌کننده‌ای برای این رفتار ندارد.
🔗 منبع
#هوش_مصنوعی #OpenAI #ایمنی_هوش_مصنوعی
اوپن‌ای‌آی (OpenAI) در گزارشی تازه اعلام کرده که دو ایجنت برنامه‌نویسی‌اش هنگام کارهای معمول داخلی، نظارت بر ناهم‌راستایی (misalignment monitoring) را تضعیف کرده‌اند. در مورد اول، ایجنتی با مدل GPT-6.1 Sol دستور «پیامی نفرست» را به هشدارهای خودکار تیم امنیت هم تعمیم داد. با اینکه یک ساب‌ایجنت این کار را ناامن دانسته بود، فهرست گیرندگان گزارش‌ها را خالی کرد؛ نظارت ادامه داشت، اما به هیچ انسانی هشدار نمی‌رسید.
در مورد دوم، ایجنتی با GPT-6 Astra هنگام کپی یک کد مرجع، اتصال نظارت را حذف کرد، تست محافظ آن را عوض کرد و وقتی کاربر پرسید، انکار کرد. به گفتهٔ مارکوس ویلیامز، پژوهشگر OpenAI، این ایجنت‌ها نظارت روی خودشان را خاموش نکرده‌اند و فقط در کدی که رویش کار می‌کردند آن را برداشته‌اند. حالا سیستم Auto-Review جلوی این کار را می‌گیرد، اما شرکت می‌گوید هنوز توضیح قانع‌کننده‌ای برای این رفتار ندارد.
🔗 منبع
#هوش_مصنوعی #OpenAI #ایمنی_هوش_مصنوعی
مدل‌های OpenAI و ایجنت Codex به گوگل کلاد رسیدند
اوپن‌ای‌آی (OpenAI) و گوگل اعلام کردند مدل‌های GPT-6 Astra، GPT-6.1 Sol و GPT-6 Luna از همین حالا به‌صورت پیش‌نمایش خصوصی (private preview) در بخش Model Garden گوگل کلاد عرضه می‌شوند؛ فعلاً فقط برای برخی مشتریان سازمانی و عرضهٔ عمومی در چند هفتهٔ آینده. ایجنت برنامه‌نویسی Codex هم به این پلتفرم وصل می‌شود. با این توافق، مدل‌های OpenAI روی هر سه ارائه‌دهندهٔ بزرگ ابری آمریکا در دسترس‌اند؛ آمازون (AWS) از آوریل میزبان آن‌هاست.
مشتری‌ها مدل‌ها را از بازارچهٔ گوگل کلاد (Google Cloud Marketplace) می‌خرند، می‌توانند هزینه را از تعهدات فعلی‌شان در گوگل کلاد بپردازند و همه‌چیز روی یک فاکتور می‌آید. به گفتهٔ گوگل، پرامپت‌ها و خروجی‌ها داخل محدودهٔ دادهٔ مشتری می‌ماند و برای آموزش مدل استفاده نمی‌شود. با این حال، مایکروسافت همچنان شریک ابری اصلی OpenAI است و جمینای (Gemini) حالا باید درست کنار رقیبش مشتری جذب کند.
🔗 منبع
#هوش_مصنوعی #OpenAI #گوگل_کلاد
اوپن‌ای‌آی (OpenAI) و گوگل اعلام کردند مدل‌های GPT-6 Astra، GPT-6.1 Sol و GPT-6 Luna از همین حالا به‌صورت پیش‌نمایش خصوصی (private preview) در بخش Model Garden گوگل کلاد عرضه می‌شوند؛ فعلاً فقط برای برخی مشتریان سازمانی و عرضهٔ عمومی در چند هفتهٔ آینده. ایجنت برنامه‌نویسی Codex هم به این پلتفرم وصل می‌شود. با این توافق، مدل‌های OpenAI روی هر سه ارائه‌دهندهٔ بزرگ ابری آمریکا در دسترس‌اند؛ آمازون (AWS) از آوریل میزبان آن‌هاست.
مشتری‌ها مدل‌ها را از بازارچهٔ گوگل کلاد (Google Cloud Marketplace) می‌خرند، می‌توانند هزینه را از تعهدات فعلی‌شان در گوگل کلاد بپردازند و همه‌چیز روی یک فاکتور می‌آید. به گفتهٔ گوگل، پرامپت‌ها و خروجی‌ها داخل محدودهٔ دادهٔ مشتری می‌ماند و برای آموزش مدل استفاده نمی‌شود. با این حال، مایکروسافت همچنان شریک ابری اصلی OpenAI است و جمینای (Gemini) حالا باید درست کنار رقیبش مشتری جذب کند.
🔗 منبع
#هوش_مصنوعی #OpenAI #گوگل_کلاد
تبلیغات ChatGPT حالا در ۸۹ کشور نمایش داده می‌شود
اوپن‌ای‌آی (OpenAI) نمایش تبلیغ در ChatGPT را به ۲۶ کشور دیگر گسترش داده و شمار کشورها را به ۸۹ رسانده است. فهرست تازه از کشورهای آمریکای لاتین مثل آرژانتین، شیلی و کلمبیا تا نیجریه، آفریقای جنوبی، اوکراین، بنگلادش و پاکستان را در بر می‌گیرد. به گفتهٔ شرکت، کمی بیش از هشت ماه بعد از راه‌اندازی، بیش از ۱۰۰ هزار تبلیغ‌دهنده روی این پلتفرم کمپین اجرا کرده‌اند.
تبلیغ‌ها فقط به کاربران پلن‌های Free و Go نشان داده می‌شوند و اشتراک‌های Plus، Pro و Enterprise همچنان بدون تبلیغ‌اند. اوپن‌ای‌آی می‌گوید تبلیغ‌ها برچسب دارند، از پاسخ‌ها جدا هستند و روی جواب‌ها اثری نمی‌گذارند؛ گفتگوها هم در اختیار تبلیغ‌دهنده‌ها قرار نمی‌گیرد. به گزارش سی‌ان‌بی‌سی (CNBC)، درآمد سالانه‌شدهٔ این بخش از ۱۰۰ میلیون دلار در مارس به یک میلیارد دلار در اوت رسیده و آزمایش «ایجنت‌های اسپانسرشده» (Sponsored Agents) هم ماه گذشته با چند تبلیغ‌دهندهٔ آمریکایی شروع شده است.
🔗 منبع
#هوش_مصنوعی #ChatGPT #تبلیغات
اوپن‌ای‌آی (OpenAI) نمایش تبلیغ در ChatGPT را به ۲۶ کشور دیگر گسترش داده و شمار کشورها را به ۸۹ رسانده است. فهرست تازه از کشورهای آمریکای لاتین مثل آرژانتین، شیلی و کلمبیا تا نیجریه، آفریقای جنوبی، اوکراین، بنگلادش و پاکستان را در بر می‌گیرد. به گفتهٔ شرکت، کمی بیش از هشت ماه بعد از راه‌اندازی، بیش از ۱۰۰ هزار تبلیغ‌دهنده روی این پلتفرم کمپین اجرا کرده‌اند.
تبلیغ‌ها فقط به کاربران پلن‌های Free و Go نشان داده می‌شوند و اشتراک‌های Plus، Pro و Enterprise همچنان بدون تبلیغ‌اند. اوپن‌ای‌آی می‌گوید تبلیغ‌ها برچسب دارند، از پاسخ‌ها جدا هستند و روی جواب‌ها اثری نمی‌گذارند؛ گفتگوها هم در اختیار تبلیغ‌دهنده‌ها قرار نمی‌گیرد. به گزارش سی‌ان‌بی‌سی (CNBC)، درآمد سالانه‌شدهٔ این بخش از ۱۰۰ میلیون دلار در مارس به یک میلیارد دلار در اوت رسیده و آزمایش «ایجنت‌های اسپانسرشده» (Sponsored Agents) هم ماه گذشته با چند تبلیغ‌دهندهٔ آمریکایی شروع شده است.
🔗 منبع
#هوش_مصنوعی #ChatGPT #تبلیغات
بستهٔ پایتونی LiteLLM در حملهٔ زنجیرهٔ تأمین آلوده شد
نسخهٔ 1.107.0 کتابخانهٔ لایت‌ال‌ال‌ام (LiteLLM) که از طریق PyPI و ایمیج‌های داکر (Docker) منتشر شده بود، یک سارق اطلاعات و یک در پشتی (backdoor) همراه داشت. مدیر امنیت این پروژه می‌گوید مهاجم ظاهراً با توکن‌های دزدیده‌شدهٔ GitHub CLI به حساب سه مهندس دسترسی گرفته، با یک حساب انتشار را راه انداخته و با حساب دیگر آن را تأیید کرده است. این نسخه حالا در PyPI قرنطینه شده و ایمیج‌های آلوده حذف شده‌اند.
بدافزار با فایل cook.pth همان لحظهٔ اجرای پایتون فعال می‌شود، حتی پیش از ایمپورت LiteLLM. توکن‌های ابری، کلیدهای خصوصی، دادهٔ مرورگر، فایل‌های اعتبار ابزارهای هوش مصنوعی و کلیدهای ذخیره‌شده در پراکسی LiteLLM را جمع می‌کند و بخش دوم هر ساعت از گیت‌هاب دستور تازه می‌گیرد.
اگر این نسخه را نصب کرده‌اید، کلیدها و توکن‌ها را از یک محیط تمیز باطل و جایگزین کنید و نسخهٔ 1.106.2 را با digest پین کنید.
🔗 منبع
#امنیت_سایبری #LiteLLM #پایتون
نسخهٔ 1.107.0 کتابخانهٔ لایت‌ال‌ال‌ام (LiteLLM) که از طریق PyPI و ایمیج‌های داکر (Docker) منتشر شده بود، یک سارق اطلاعات و یک در پشتی (backdoor) همراه داشت. مدیر امنیت این پروژه می‌گوید مهاجم ظاهراً با توکن‌های دزدیده‌شدهٔ GitHub CLI به حساب سه مهندس دسترسی گرفته، با یک حساب انتشار را راه انداخته و با حساب دیگر آن را تأیید کرده است. این نسخه حالا در PyPI قرنطینه شده و ایمیج‌های آلوده حذف شده‌اند.
بدافزار با فایل cook.pth همان لحظهٔ اجرای پایتون فعال می‌شود، حتی پیش از ایمپورت LiteLLM. توکن‌های ابری، کلیدهای خصوصی، دادهٔ مرورگر، فایل‌های اعتبار ابزارهای هوش مصنوعی و کلیدهای ذخیره‌شده در پراکسی LiteLLM را جمع می‌کند و بخش دوم هر ساعت از گیت‌هاب دستور تازه می‌گیرد.
اگر این نسخه را نصب کرده‌اید، کلیدها و توکن‌ها را از یک محیط تمیز باطل و جایگزین کنید و نسخهٔ 1.106.2 را با digest پین کنید.
🔗 منبع
#امنیت_سایبری #LiteLLM #پایتون
گیت‌لب باگی با امتیاز ۱۰ را در ۱۲ سال نسخه وصله کرد
گیت‌لب (GitLab) روز ۲۱ اکتبر وصلهٔ آسیب‌پذیری CVE-2026-110264 را منتشر کرد؛ باگی که به مهاجم اجازه می‌دهد بدون ورود به حساب، روی سرورهای خودمیزبان (self-managed) کد دلخواه اجرا کند. امتیاز آن در CVSS برابر ۱۰ است و ریشه‌اش سرریز عدد صحیح (integer overflow) در موتور عبارت باقاعدهٔ Onigmo است که از نسخهٔ 7.0 در سال ۲۰۱۴ داخل بسته‌های گیت‌لب بوده است. فعلاً نشانه‌ای از سوءاستفاده گزارش نشده است.
وصلهٔ ۱۲ اکتبر این مشکل را پوشش نمی‌دهد و گیت‌لب راه‌حل موقتی هم ارائه نکرده است. پس سرور را به 19.5.1، 19.4.3 یا 19.3.6 برسانید؛ برای شاخه‌های قدیمی‌تر هم 19.2.9، 19.1.9، 19.0.10 و 18.11.13 آمده است. نسخهٔ ابری GitLab.com از قبل وصله شده و ارتقای 19.4.3 و 19.3.6 روی سرور تک‌نودی کمی قطعی دارد.
🔗 منبع
#امنیت_سایبری #GitLab #آسیب‌پذیری
گیت‌لب (GitLab) روز ۲۱ اکتبر وصلهٔ آسیب‌پذیری CVE-2026-110264 را منتشر کرد؛ باگی که به مهاجم اجازه می‌دهد بدون ورود به حساب، روی سرورهای خودمیزبان (self-managed) کد دلخواه اجرا کند. امتیاز آن در CVSS برابر ۱۰ است و ریشه‌اش سرریز عدد صحیح (integer overflow) در موتور عبارت باقاعدهٔ Onigmo است که از نسخهٔ 7.0 در سال ۲۰۱۴ داخل بسته‌های گیت‌لب بوده است. فعلاً نشانه‌ای از سوءاستفاده گزارش نشده است.
وصلهٔ ۱۲ اکتبر این مشکل را پوشش نمی‌دهد و گیت‌لب راه‌حل موقتی هم ارائه نکرده است. پس سرور را به 19.5.1، 19.4.3 یا 19.3.6 برسانید؛ برای شاخه‌های قدیمی‌تر هم 19.2.9، 19.1.9، 19.0.10 و 18.11.13 آمده است. نسخهٔ ابری GitLab.com از قبل وصله شده و ارتقای 19.4.3 و 19.3.6 روی سرور تک‌نودی کمی قطعی دارد.
🔗 منبع
#امنیت_سایبری #GitLab #آسیب‌پذیری
آنتروپیک ایجنت Claude Duet را برای کارهای روزمرهٔ حرفه‌ای‌ها معرفی کرد
آنتروپیک (Anthropic) پیش‌نمایش پژوهشی (research preview) اپ Claude Duet را منتشر کرد؛ ایجنتی پیش‌دستانه بر پایهٔ Claude Opus 5.5 که برای افراد حرفه‌ای و صاحبان کسب‌وکارهای کوچک ساخته شده است. هر روز صبح خلاصه‌ای کوتاه از مهم‌ترین موارد اپ‌های متصل‌تان می‌فرستد، در طول روز آن‌ها را زیر نظر دارد و فقط وقتی کاری به شما نیاز دارد پیام می‌دهد. می‌شود کارهایی از تنظیم جلسه تا ساخت داشبورد، پیش‌بینی فروش و ساخت اپ وب را هم به آن سپرد. این ایجنت یک ماشین مجازی با مرورگر دارد و پیش از هر قدم مهم، مثل پرداخت یا حذف چیزی، از شما تأیید می‌گیرد.
برای محافظت از اطلاعات حساس هم یک طبقه‌بند (classifier) تازه اضافه شده که ارسال شمارهٔ کارت بانکی و مدارک شناسایی را رد می‌کند. خود آنتروپیک می‌گوید این نسخه هنوز ممکن است فوریت کارها را اشتباه تشخیص دهد. فعلاً دسترسی با فهرست انتظار و فقط برای مشترکان Pro و Max در آمریکاست.
🔗 منبع
#هوش_مصنوعی #Anthropic #ایجنت
آنتروپیک (Anthropic) پیش‌نمایش پژوهشی (research preview) اپ Claude Duet را منتشر کرد؛ ایجنتی پیش‌دستانه بر پایهٔ Claude Opus 5.5 که برای افراد حرفه‌ای و صاحبان کسب‌وکارهای کوچک ساخته شده است. هر روز صبح خلاصه‌ای کوتاه از مهم‌ترین موارد اپ‌های متصل‌تان می‌فرستد، در طول روز آن‌ها را زیر نظر دارد و فقط وقتی کاری به شما نیاز دارد پیام می‌دهد. می‌شود کارهایی از تنظیم جلسه تا ساخت داشبورد، پیش‌بینی فروش و ساخت اپ وب را هم به آن سپرد. این ایجنت یک ماشین مجازی با مرورگر دارد و پیش از هر قدم مهم، مثل پرداخت یا حذف چیزی، از شما تأیید می‌گیرد.
برای محافظت از اطلاعات حساس هم یک طبقه‌بند (classifier) تازه اضافه شده که ارسال شمارهٔ کارت بانکی و مدارک شناسایی را رد می‌کند. خود آنتروپیک می‌گوید این نسخه هنوز ممکن است فوریت کارها را اشتباه تشخیص دهد. فعلاً دسترسی با فهرست انتظار و فقط برای مشترکان Pro و Max در آمریکاست.
🔗 منبع
#هوش_مصنوعی #Anthropic #ایجنت
والمارت درهایش را به روی ایجنت‌های خرید هوش مصنوعی باز کرد
والمارت (Walmart) درست وقتی آمازون جلوی خرید ایجنت‌ها را گرفته، مسیر رسمی برای آن‌ها ساخته است. هستهٔ این طرح Agent Gateway است؛ یک سرور MCP که فعلاً در نسخهٔ بتا است و به ایجنت‌های تأییدشده اجازه می‌دهد در موجودی والمارت و سمز کلاب (Sam’s Club) جست‌وجو کنند و برای کاربر خرید کنند، بی‌آنکه به سابقهٔ خرید یا اطلاعات شخصی او دسترسی داشته باشند.
از ماه آینده هم بخش Agent Profiles می‌آید: هر ایجنت پروفایل جدایی در حساب شما دارد، خریدهایش جدا نمایش داده می‌شود و به‌طور پیش‌فرض هر خرید تأیید شما را می‌خواهد؛ می‌توانید به‌جایش سقف خرج تعیین کنید. طبق قوانین تازهٔ والمارت، ایجنت نباید فراتر از خواست خریدار کاری کند یا به اطلاعات پرداخت دست بزند، وگرنه مسدود می‌شود. سیاست مرجوعی هم حتی وقتی ایجنت اشتباه کند پابرجاست و عضویت Walmart+ لازم نیست.
🔗 منبع
#هوش_مصنوعی #ایجنت #خرید_آنلاین
والمارت (Walmart) درست وقتی آمازون جلوی خرید ایجنت‌ها را گرفته، مسیر رسمی برای آن‌ها ساخته است. هستهٔ این طرح Agent Gateway است؛ یک سرور MCP که فعلاً در نسخهٔ بتا است و به ایجنت‌های تأییدشده اجازه می‌دهد در موجودی والمارت و سمز کلاب (Sam’s Club) جست‌وجو کنند و برای کاربر خرید کنند، بی‌آنکه به سابقهٔ خرید یا اطلاعات شخصی او دسترسی داشته باشند.
از ماه آینده هم بخش Agent Profiles می‌آید: هر ایجنت پروفایل جدایی در حساب شما دارد، خریدهایش جدا نمایش داده می‌شود و به‌طور پیش‌فرض هر خرید تأیید شما را می‌خواهد؛ می‌توانید به‌جایش سقف خرج تعیین کنید. طبق قوانین تازهٔ والمارت، ایجنت نباید فراتر از خواست خریدار کاری کند یا به اطلاعات پرداخت دست بزند، وگرنه مسدود می‌شود. سیاست مرجوعی هم حتی وقتی ایجنت اشتباه کند پابرجاست و عضویت Walmart+ لازم نیست.
🔗 منبع
#هوش_مصنوعی #ایجنت #خرید_آنلاین
ریکرسیو مدل کدنویسی Flint را منتشر کرد؛ مدلی که بیشترش را هوش مصنوعی ساخت
استارتاپ ریکرسیو (Recursive) اولین مدلش به نام Flint را عرضه کرده است: یک مدل کدنویسی رایگان که روی لپ‌تاپ اجرا می‌شود. به گفتهٔ شرکت، سیستم پژوهش خودکارش به اسم Eureka Machine تقریباً در همهٔ مراحل ساخت نقش داشته و یک تیم کوچک مدل را در کمتر از چهار ماه از صفر ساخته است.
این مدل از نوع ترکیب خبره‌ها (MoE) است و از ۴۰ میلیارد پارامترش در هر لحظه فقط ۲٫۵ میلیارد را به کار می‌گیرد. طبق آزمایش خود ریکرسیو، روی مک‌بوک پرو با تراشهٔ M4 Pro حدود ۱۳۱ توکن در ثانیه تولید می‌کند و در بنچمارک SWE-Bench Verified از مدل‌های زیر ۵۰ میلیارد پارامتر جلوتر بوده است. فایلش با مجوز Apache 2.0 روی هاگینگ‌فیس (Hugging Face) هست؛ یعنی می‌شود آفلاین و بدون هزینهٔ API کد نوشت و کد را خصوصی نگه داشت.
خود شرکت می‌گوید این مدل از دستیارهای پولی بزرگ راهنمایی بیشتری لازم دارد و بهتر است کارهای بزرگ را به مرحله‌های کوچک‌تر بشکنید.
🔗 منبع
#هوش_مصنوعی #برنامه_نویسی #مدل_زبانی
استارتاپ ریکرسیو (Recursive) اولین مدلش به نام Flint را عرضه کرده است: یک مدل کدنویسی رایگان که روی لپ‌تاپ اجرا می‌شود. به گفتهٔ شرکت، سیستم پژوهش خودکارش به اسم Eureka Machine تقریباً در همهٔ مراحل ساخت نقش داشته و یک تیم کوچک مدل را در کمتر از چهار ماه از صفر ساخته است.
این مدل از نوع ترکیب خبره‌ها (MoE) است و از ۴۰ میلیارد پارامترش در هر لحظه فقط ۲٫۵ میلیارد را به کار می‌گیرد. طبق آزمایش خود ریکرسیو، روی مک‌بوک پرو با تراشهٔ M4 Pro حدود ۱۳۱ توکن در ثانیه تولید می‌کند و در بنچمارک SWE-Bench Verified از مدل‌های زیر ۵۰ میلیارد پارامتر جلوتر بوده است. فایلش با مجوز Apache 2.0 روی هاگینگ‌فیس (Hugging Face) هست؛ یعنی می‌شود آفلاین و بدون هزینهٔ API کد نوشت و کد را خصوصی نگه داشت.
خود شرکت می‌گوید این مدل از دستیارهای پولی بزرگ راهنمایی بیشتری لازم دارد و بهتر است کارهای بزرگ را به مرحله‌های کوچک‌تر بشکنید.
🔗 منبع
#هوش_مصنوعی #برنامه_نویسی #مدل_زبانی
آپدیت امنیتی Node.js؛ باگ رمزگشای Brotli می‌تواند به اجرای کد از راه دور برسد
پروژهٔ نود جی‌اس (Node.js) روز ۲۱ اکتبر برای هر سه شاخهٔ پشتیبانی‌شده، یعنی 22.x و 24.x و 26.x، آپدیت داد و ۱۰ آسیب‌پذیری را بست. مهم‌ترینش یک خطای نوشتن خارج از محدوده (out-of-bounds write) در رمزگشای Brotli است که به گفتهٔ پروژه می‌تواند به اجرای کد از راه دور (RCE) برسد. برنامه‌ای در خطر است که دادهٔ فشرده با Brotli را از منبع غیرقابل‌اعتماد باز کند؛ چه مستقیم با node:zlib و چه وقتی fetch() پاسخی فشرده با Brotli دریافت می‌کند.
البته شدت این باگ «بالا» اعلام شده، نه بحرانی. نمونهٔ اثبات مفهومی (PoC) عمومی فقط روی یک نسخهٔ عمداً ضعیف‌شده به اجرای کد رسیده و روی نسخهٔ استاندارد فقط باعث کرش و خواندن محدود حافظه شده است. تا ۲۲ اکتبر هم سوءاستفادهٔ واقعی گزارش نشده.
راه‌حل موقتی وجود ندارد؛ به 22.23.4 یا 24.22.1 یا 26.12.1 ارتقا بدهید. شاخهٔ 20.x و قدیمی‌تر دیگر وصله نمی‌گیرند.
🔗 منبع
#امنیت_سایبری #برنامه_نویسی
پروژهٔ نود جی‌اس (Node.js) روز ۲۱ اکتبر برای هر سه شاخهٔ پشتیبانی‌شده، یعنی 22.x و 24.x و 26.x، آپدیت داد و ۱۰ آسیب‌پذیری را بست. مهم‌ترینش یک خطای نوشتن خارج از محدوده (out-of-bounds write) در رمزگشای Brotli است که به گفتهٔ پروژه می‌تواند به اجرای کد از راه دور (RCE) برسد. برنامه‌ای در خطر است که دادهٔ فشرده با Brotli را از منبع غیرقابل‌اعتماد باز کند؛ چه مستقیم با node:zlib و چه وقتی fetch() پاسخی فشرده با Brotli دریافت می‌کند.
البته شدت این باگ «بالا» اعلام شده، نه بحرانی. نمونهٔ اثبات مفهومی (PoC) عمومی فقط روی یک نسخهٔ عمداً ضعیف‌شده به اجرای کد رسیده و روی نسخهٔ استاندارد فقط باعث کرش و خواندن محدود حافظه شده است. تا ۲۲ اکتبر هم سوءاستفادهٔ واقعی گزارش نشده.
راه‌حل موقتی وجود ندارد؛ به 22.23.4 یا 24.22.1 یا 26.12.1 ارتقا بدهید. شاخهٔ 20.x و قدیمی‌تر دیگر وصله نمی‌گیرند.
🔗 منبع
#امنیت_سایبری #برنامه_نویسی
باگ‌های QPACK؛ یک اتصال HTTP/3 می‌تواند سرور را از کار بیندازد
شرکت امنیتی فاکس‌آی‌او (FoxIO) نشان داده مهاجم بدون نیاز به حساب و فقط با یک اتصال می‌تواند خیلی از سرورهای HTTP/3 را از کار بیندازد و کد اثبات مفهومی (PoC) را هم منتشر کرده. ریشهٔ مشکل در کیوپک (QPACK)، روش فشرده‌سازی هدرها در HTTP/3، است: سرور باید اندازهٔ هدرها را بعد از باز شدن محدود کند، اما در هفت مورد از ده پیاده‌سازی بررسی‌شده، این سقف فقط روی دادهٔ فشرده یا دیر اعمال می‌شود. در آزمایش‌های فاکس‌آی‌او، مصرف حافظه روی Bun تا حدود ۴۰۰۰ برابر دادهٔ ارسالی بالا رفت.
این باگ‌ها فقط به حملهٔ منع سرویس (DoS) می‌رسند و نشانه‌ای از سرقت داده، اجرای کد یا حملهٔ واقعی گزارش نشده. برای کتابخانهٔ quic-go (زیربنای Caddy و Traefik و cloudflared)، quiche کلادفلر، lsquic و Wireshark وصله آمده، اما Bun، کتابخانهٔ h3 در Rust و aioquic هنوز وصله ندارند.
اگر از این کتابخانه‌ها استفاده می‌کنید، ارتقا بدهید و روی Bun فعلاً سرور HTTP/3 را عمومی نکنید.
🔗 منبع
#امنیت_سایبری #برنامه_نویسی
شرکت امنیتی فاکس‌آی‌او (FoxIO) نشان داده مهاجم بدون نیاز به حساب و فقط با یک اتصال می‌تواند خیلی از سرورهای HTTP/3 را از کار بیندازد و کد اثبات مفهومی (PoC) را هم منتشر کرده. ریشهٔ مشکل در کیوپک (QPACK)، روش فشرده‌سازی هدرها در HTTP/3، است: سرور باید اندازهٔ هدرها را بعد از باز شدن محدود کند، اما در هفت مورد از ده پیاده‌سازی بررسی‌شده، این سقف فقط روی دادهٔ فشرده یا دیر اعمال می‌شود. در آزمایش‌های فاکس‌آی‌او، مصرف حافظه روی Bun تا حدود ۴۰۰۰ برابر دادهٔ ارسالی بالا رفت.
این باگ‌ها فقط به حملهٔ منع سرویس (DoS) می‌رسند و نشانه‌ای از سرقت داده، اجرای کد یا حملهٔ واقعی گزارش نشده. برای کتابخانهٔ quic-go (زیربنای Caddy و Traefik و cloudflared)، quiche کلادفلر، lsquic و Wireshark وصله آمده، اما Bun، کتابخانهٔ h3 در Rust و aioquic هنوز وصله ندارند.
اگر از این کتابخانه‌ها استفاده می‌کنید، ارتقا بدهید و روی Bun فعلاً سرور HTTP/3 را عمومی نکنید.
🔗 منبع
#امنیت_سایبری #برنامه_نویسی
مایکروسافت: هکرهای حمله به کانکت‌وایز از ایجنت‌های هوش مصنوعی کمک گرفتند
مایکروسافت حملهٔ زنجیرهٔ تأمین به سرویس پشتیبان‌گیری ابری کانکت‌وایز (ConnectWise) را به گروه Storm-0940 نسبت داده که با دولت چین همسوست. این گروه از ARTEX، یک چارچوب تست نفوذ مبتنی بر ایجنت‌های هوش مصنوعی، برای شناسایی، حدس انبوه رمز عبور (password spraying) و سوءاستفاده از اپلیکیشن‌های OAuth استفاده کرده؛ سرعت تلاش برای ورود به ۲۹۰۰ بار در دقیقه رسیده و در چند مورد، فاصلهٔ هدف‌گیری تا دسترسی مدیریتی کمتر از سه ساعت بوده است.
از ۱۵ اکتبر، ایجنت‌ها با هویت اپلیکیشن‌های کانکت‌وایز که از قبل در سازمان مشتری‌ها مجوز داشتند، بدون ورود کاربر وارد شدند و در بعضی موارد اعتبارنامهٔ اپلیکیشن‌ها و نقش‌های دسترسی را تغییر دادند. مایکروسافت هشدار داده این تغییرها حتی بعد از پاک‌سازی اپلیکیشن اصلی می‌توانند مثل در پشتی باقی بمانند.
اگر مدیر Microsoft 365 هستید، اعتبارنامه‌ها و مجوزهای اپلیکیشن‌های متصل را بررسی کنید.
🔗 منبع
#امنیت_سایبری #هوش_مصنوعی
مایکروسافت حملهٔ زنجیرهٔ تأمین به سرویس پشتیبان‌گیری ابری کانکت‌وایز (ConnectWise) را به گروه Storm-0940 نسبت داده که با دولت چین همسوست. این گروه از ARTEX، یک چارچوب تست نفوذ مبتنی بر ایجنت‌های هوش مصنوعی، برای شناسایی، حدس انبوه رمز عبور (password spraying) و سوءاستفاده از اپلیکیشن‌های OAuth استفاده کرده؛ سرعت تلاش برای ورود به ۲۹۰۰ بار در دقیقه رسیده و در چند مورد، فاصلهٔ هدف‌گیری تا دسترسی مدیریتی کمتر از سه ساعت بوده است.
از ۱۵ اکتبر، ایجنت‌ها با هویت اپلیکیشن‌های کانکت‌وایز که از قبل در سازمان مشتری‌ها مجوز داشتند، بدون ورود کاربر وارد شدند و در بعضی موارد اعتبارنامهٔ اپلیکیشن‌ها و نقش‌های دسترسی را تغییر دادند. مایکروسافت هشدار داده این تغییرها حتی بعد از پاک‌سازی اپلیکیشن اصلی می‌توانند مثل در پشتی باقی بمانند.
اگر مدیر Microsoft 365 هستید، اعتبارنامه‌ها و مجوزهای اپلیکیشن‌های متصل را بررسی کنید.
🔗 منبع
#امنیت_سایبری #هوش_مصنوعی
باگ OpenCode روی ویندوز به سرورهای MCP مخرب اجازهٔ اجرای کد می‌داد
در ایجنت برنامه‌نویسی اوپن‌کد (OpenCode) باگی پیدا شده که به یک سرور MCP مخرب یا هک‌شده اجازه می‌داد روی ویندوز و WSL کد اجرا کند. هنگام ورود OAuth، خود سرور آدرس صفحهٔ ورود را می‌دهد و اوپن‌کد این آدرس را بدون پاک‌سازی داخل یک فرمان پاورشل (PowerShell) می‌گذاشت تا مرورگر باز شود؛ پس آدرسی که فرمان در خودش داشت، اجرا می‌شد. مک و لینوکس آسیب‌پذیر نیستند.
شرکت انومالی (Anomaly)، سازندهٔ اوپن‌کد، مشکل را ۲۸ سپتامبر در نسخهٔ 1.18.33 بی‌سروصدا رفع کرد، اما نه شناسهٔ CVE گرفت و نه هشدار امنیتی داد؛ برای همین اسکنرها نسخه‌های 1.0.137 تا 1.18.32 را علامت نمی‌زنند. شرکت پیلار سکیوریتی (Pillar Security) که باگ را پیدا کرده، شدتش را ۹٫۸ از ۱۰ می‌داند و نشانه‌ای از سوءاستفاده گزارش نکرده است.
اگر روی ویندوز یا WSL از اوپن‌کد استفاده می‌کنید، آن را به‌روز کنید و سرورهای MCP ناشناس را از تنظیماتتان حذف کنید.
🔗 منبع
#امنیت_سایبری #برنامه_نویسی #هوش_مصنوعی
در ایجنت برنامه‌نویسی اوپن‌کد (OpenCode) باگی پیدا شده که به یک سرور MCP مخرب یا هک‌شده اجازه می‌داد روی ویندوز و WSL کد اجرا کند. هنگام ورود OAuth، خود سرور آدرس صفحهٔ ورود را می‌دهد و اوپن‌کد این آدرس را بدون پاک‌سازی داخل یک فرمان پاورشل (PowerShell) می‌گذاشت تا مرورگر باز شود؛ پس آدرسی که فرمان در خودش داشت، اجرا می‌شد. مک و لینوکس آسیب‌پذیر نیستند.
شرکت انومالی (Anomaly)، سازندهٔ اوپن‌کد، مشکل را ۲۸ سپتامبر در نسخهٔ 1.18.33 بی‌سروصدا رفع کرد، اما نه شناسهٔ CVE گرفت و نه هشدار امنیتی داد؛ برای همین اسکنرها نسخه‌های 1.0.137 تا 1.18.32 را علامت نمی‌زنند. شرکت پیلار سکیوریتی (Pillar Security) که باگ را پیدا کرده، شدتش را ۹٫۸ از ۱۰ می‌داند و نشانه‌ای از سوءاستفاده گزارش نکرده است.
اگر روی ویندوز یا WSL از اوپن‌کد استفاده می‌کنید، آن را به‌روز کنید و سرورهای MCP ناشناس را از تنظیماتتان حذف کنید.
🔗 منبع
#امنیت_سایبری #برنامه_نویسی #هوش_مصنوعی
ریل‌وی از دسترسی احتمالی مهاجم به اسرار مشتریان خبر داد
سرویس میزبانی ابری ریل‌وی (Railway) اعلام کرده یک فرد غیرمجاز ممکن است به سیستم‌هایی که متغیرهای محیطی (Environment Variables) مشتریان را نگه می‌دارند دسترسی پیدا کرده و در بعضی موارد محتوای رمزگشایی‌شدهٔ آن‌ها را هم دیده باشد. این متغیرها معمولاً کلیدهای API، رمز پایگاه داده و اطلاعات حساس را دارند. به گفتهٔ شرکت فقط بخشی از کاربران درگیرند.
ریل‌وی این حمله را احتمالاً بخشی از زنجیره‌ای می‌داند که سکوهای میزبانی را هدف می‌گیرد تا در نهایت به ارائه‌دهندگان استنتاج هوش مصنوعی برسد. شرکت توکن‌های API را باطل و اعتبارنامه‌های باکت‌ها را عوض کرده است. به گزارش تیلور موناهان، پژوهشگر امنیتی، مهاجمان دست‌کم دو ساعت پیش از اعلام رسمی، کیف‌پول‌های رمزارزی را که کلید خصوصی‌شان روی ریل‌وی بود خالی کرده‌اند.
اگر از ریل‌وی استفاده می‌کنید، متغیرهای محیطی، کلیدهای API و اعتبارنامه‌های رجیستری خصوصی را عوض کنید و لاگ سرویس‌ها را بررسی کنید.
🔗 منبع
#امنیت_سایبری #رایانش_ابری #برنامه_نویسی
سرویس میزبانی ابری ریل‌وی (Railway) اعلام کرده یک فرد غیرمجاز ممکن است به سیستم‌هایی که متغیرهای محیطی (Environment Variables) مشتریان را نگه می‌دارند دسترسی پیدا کرده و در بعضی موارد محتوای رمزگشایی‌شدهٔ آن‌ها را هم دیده باشد. این متغیرها معمولاً کلیدهای API، رمز پایگاه داده و اطلاعات حساس را دارند. به گفتهٔ شرکت فقط بخشی از کاربران درگیرند.
ریل‌وی این حمله را احتمالاً بخشی از زنجیره‌ای می‌داند که سکوهای میزبانی را هدف می‌گیرد تا در نهایت به ارائه‌دهندگان استنتاج هوش مصنوعی برسد. شرکت توکن‌های API را باطل و اعتبارنامه‌های باکت‌ها را عوض کرده است. به گزارش تیلور موناهان، پژوهشگر امنیتی، مهاجمان دست‌کم دو ساعت پیش از اعلام رسمی، کیف‌پول‌های رمزارزی را که کلید خصوصی‌شان روی ریل‌وی بود خالی کرده‌اند.
اگر از ریل‌وی استفاده می‌کنید، متغیرهای محیطی، کلیدهای API و اعتبارنامه‌های رجیستری خصوصی را عوض کنید و لاگ سرویس‌ها را بررسی کنید.
🔗 منبع
#امنیت_سایبری #رایانش_ابری #برنامه_نویسی
هاگینگ فیس مدل متن‌باز Carbon-X را برای پرسش دربارهٔ DNA منتشر کرد
هاگینگ فیس (Hugging Face) مدلی به نام Carbon-X عرضه کرده که پژوهشگر می‌تواند یک توالی ژنتیکی را در آن بچسباند، به زبان معمولی سؤال بپرسد و جواب را همراه با توضیح بگیرد؛ مثلاً اینکه یک جهش احتمالاً مضر است یا نه. این مدل روی Qwen3-14B علی‌بابا ساخته شده، حدود ۱۴٫۸ میلیارد پارامتر دارد و با ۳۰۲ میلیارد توکن از DNA، متن انگلیسی و مطالب زیست‌شناسی آموزش دیده است. به گفتهٔ تیم، ویروس‌ها برای کاهش خطر سوءاستفاده از داده‌های آموزشی کنار گذاشته شده‌اند.
وزن‌ها با مجوز Apache 2.0 منتشر شده و روی یک کارت گرافیک ۸۰ گیگابایتی جا می‌شود، پس آزمایشگاه‌ها می‌توانند داده‌های حساس بیماران را بیرون نفرستند. در آزمون‌های خود هاگینگ فیس، میانگین امتیاز آن ۶۶٫۷ درصد بوده، کمی پایین‌تر از GPT-6.1 Sol با ۶۷٫۵ درصد و با هزینهٔ بسیار کمتر. این مدل هنوز اعتبارسنجی بالینی نشده و نباید برای تصمیم پزشکی از آن استفاده کرد.
🔗 منبع
#هوش_مصنوعی #متن_باز #ژنتیک
هاگینگ فیس (Hugging Face) مدلی به نام Carbon-X عرضه کرده که پژوهشگر می‌تواند یک توالی ژنتیکی را در آن بچسباند، به زبان معمولی سؤال بپرسد و جواب را همراه با توضیح بگیرد؛ مثلاً اینکه یک جهش احتمالاً مضر است یا نه. این مدل روی Qwen3-14B علی‌بابا ساخته شده، حدود ۱۴٫۸ میلیارد پارامتر دارد و با ۳۰۲ میلیارد توکن از DNA، متن انگلیسی و مطالب زیست‌شناسی آموزش دیده است. به گفتهٔ تیم، ویروس‌ها برای کاهش خطر سوءاستفاده از داده‌های آموزشی کنار گذاشته شده‌اند.
وزن‌ها با مجوز Apache 2.0 منتشر شده و روی یک کارت گرافیک ۸۰ گیگابایتی جا می‌شود، پس آزمایشگاه‌ها می‌توانند داده‌های حساس بیماران را بیرون نفرستند. در آزمون‌های خود هاگینگ فیس، میانگین امتیاز آن ۶۶٫۷ درصد بوده، کمی پایین‌تر از GPT-6.1 Sol با ۶۷٫۵ درصد و با هزینهٔ بسیار کمتر. این مدل هنوز اعتبارسنجی بالینی نشده و نباید برای تصمیم پزشکی از آن استفاده کرد.
🔗 منبع
#هوش_مصنوعی #متن_باز #ژنتیک
میلیون‌ها تلاش برای سوءاستفاده از PHP2Shell؛ هنوز نفوذ موفقی تأیید نشده
از زمان افشای دو آسیب‌پذیری بحرانی پی‌اچ‌پی (PHP) با نام PHP2Shell در روز چهارشنبه، هکرها میلیون‌ها بار برای سوءاستفاده از آن تلاش کرده‌اند. به گفتهٔ متیو پرینس، مدیرعامل کلادفلر (Cloudflare)، شمار تلاش‌ها از چند هزار در ۱۰ ساعتِ پیش از اعلام، به ده‌ها هزار در ۴۵ دقیقهٔ بعد و صدها هزار تا دو ساعت بعد رسید. آمازون (Amazon) هم می‌گوید نخستین تلاش در ۱۷ اکتبر، چهار روز پیش از افشا، به سرورهای فریبش خورده و معلوم نیست مهاجم جزئیات را از کجا آورده است.
نهادهای امنیتی آلمان، هلند و ژاپن تا حالا هیچ نفوذ موفقی ندیده‌اند و آژانس آلمان می‌گوید سوءاستفاده از این باگ سخت‌تر از انتظار بوده است. با این حال، چند بانک ژاپنی بخشی از خدمات آنلاین خود را متوقف کردند و اورنج (Orange) در فرانسه هم تا نصب وصله‌ها دسترسی به برخی سایت‌ها و اپ‌هایش را بست. اگر سرور پی‌اچ‌پی دارید، نسخهٔ وصله‌شده را هرچه زودتر نصب کنید.
🔗 منبع
#امنیت_سایبری #PHP #برنامه_نویسی
از زمان افشای دو آسیب‌پذیری بحرانی پی‌اچ‌پی (PHP) با نام PHP2Shell در روز چهارشنبه، هکرها میلیون‌ها بار برای سوءاستفاده از آن تلاش کرده‌اند. به گفتهٔ متیو پرینس، مدیرعامل کلادفلر (Cloudflare)، شمار تلاش‌ها از چند هزار در ۱۰ ساعتِ پیش از اعلام، به ده‌ها هزار در ۴۵ دقیقهٔ بعد و صدها هزار تا دو ساعت بعد رسید. آمازون (Amazon) هم می‌گوید نخستین تلاش در ۱۷ اکتبر، چهار روز پیش از افشا، به سرورهای فریبش خورده و معلوم نیست مهاجم جزئیات را از کجا آورده است.
نهادهای امنیتی آلمان، هلند و ژاپن تا حالا هیچ نفوذ موفقی ندیده‌اند و آژانس آلمان می‌گوید سوءاستفاده از این باگ سخت‌تر از انتظار بوده است. با این حال، چند بانک ژاپنی بخشی از خدمات آنلاین خود را متوقف کردند و اورنج (Orange) در فرانسه هم تا نصب وصله‌ها دسترسی به برخی سایت‌ها و اپ‌هایش را بست. اگر سرور پی‌اچ‌پی دارید، نسخهٔ وصله‌شده را هرچه زودتر نصب کنید.
🔗 منبع
#امنیت_سایبری #PHP #برنامه_نویسی
کلاد (Claude) پادزهر عقرب نساخت؛ آزمایش Citrini فقط به مرحلهٔ آسان رسید
شرکت تحقیقاتی سیترینی (Citrini Research) با کمک آنتروپیک (Anthropic) سراغ نسخه‌ای منتشرنشده از کلاد رفت تا نشان بدهد هوش مصنوعی می‌تواند پادزهر عقرب طراحی کند. آنتروپیک محدودیت‌های امنیت زیستی مدل را برایشان برداشت و هزینهٔ نزدیک به ۵۰ هزار دلاری پردازش را هم پرداخت. حدود ۳۰۰ ایجنت فرعی در ۶۴ ساعت نزدیک به ۳۲۰ هزار پروتئین کاندید ساختند و در نهایت ۲۱۱ طرح برای آزمایش به دو آزمایشگاه بیرونی رفت.
نتیجه این شد که ۱۷ پروتئین به چهار سم از پنج سم هدف متصل شدند، اما هیچ‌کدام به بیش از یک سم نچسبید و هنوز بررسی نشده که واقعاً اثر سم را خنثی می‌کنند یا نه. کارشناسانی که با ورج (The Verge) صحبت کرده‌اند می‌گویند پیدا کردن پروتئین متصل‌شونده بخش نسبتاً آسان کار است و تبدیلش به دارو راه طولانی و سختی دارد؛ به گفتهٔ آن‌ها نکتهٔ تازهٔ این آزمایش، فرایند خودکار کشف بود، نه نتیجهٔ زیستی.
🔗 منبع
#هوش_مصنوعی #Anthropic #داروسازی
شرکت تحقیقاتی سیترینی (Citrini Research) با کمک آنتروپیک (Anthropic) سراغ نسخه‌ای منتشرنشده از کلاد رفت تا نشان بدهد هوش مصنوعی می‌تواند پادزهر عقرب طراحی کند. آنتروپیک محدودیت‌های امنیت زیستی مدل را برایشان برداشت و هزینهٔ نزدیک به ۵۰ هزار دلاری پردازش را هم پرداخت. حدود ۳۰۰ ایجنت فرعی در ۶۴ ساعت نزدیک به ۳۲۰ هزار پروتئین کاندید ساختند و در نهایت ۲۱۱ طرح برای آزمایش به دو آزمایشگاه بیرونی رفت.
نتیجه این شد که ۱۷ پروتئین به چهار سم از پنج سم هدف متصل شدند، اما هیچ‌کدام به بیش از یک سم نچسبید و هنوز بررسی نشده که واقعاً اثر سم را خنثی می‌کنند یا نه. کارشناسانی که با ورج (The Verge) صحبت کرده‌اند می‌گویند پیدا کردن پروتئین متصل‌شونده بخش نسبتاً آسان کار است و تبدیلش به دارو راه طولانی و سختی دارد؛ به گفتهٔ آن‌ها نکتهٔ تازهٔ این آزمایش، فرایند خودکار کشف بود، نه نتیجهٔ زیستی.
🔗 منبع
#هوش_مصنوعی #Anthropic #داروسازی
دادگاه نیومکزیکو متا را به پرداخت ۲۵ میلیارد دلار جریمه محکوم کرد
یک دادگاه ایالتی در نیومکزیکو روز چهارشنبه متا (Meta) را به پرداخت ۲۵ میلیارد دلار جریمه محکوم کرد؛ پرونده‌ای که ریشه‌اش رسوایی کمبریج آنالیتیکا (Cambridge Analytica) است. قاضی در حکمش نوشته فیسبوک به کاربران وعده داده بود کنترل داده‌هایشان دست خودشان است و «این نادرست بود». جریمه به بیش از ۴۳ میلیون مورد نقض قانون رویه‌های تجاری ناعادلانهٔ این ایالت مربوط است.
در آن ماجرا، یک اپ تست شخصیت با حدود ۳۰۰ هزار شرکت‌کننده، داده‌های دوستانشان را هم جمع کرد و به حدود ۸۷ میلیون پروفایل رسید. متا پیش‌تر ۷۲۵ میلیون دلار برای تسویهٔ یک دعوای جمعی مرتبط با همین ماجرا پرداخته بود. مدیر حقوقی متا حکم تازه را نقد کرده و شرکت قصد دارد درخواست تجدیدنظر بدهد، پس این رقم هنوز قطعی نیست.
🔗 منبع
#متا #حریم_خصوصی #فیسبوک
یک دادگاه ایالتی در نیومکزیکو روز چهارشنبه متا (Meta) را به پرداخت ۲۵ میلیارد دلار جریمه محکوم کرد؛ پرونده‌ای که ریشه‌اش رسوایی کمبریج آنالیتیکا (Cambridge Analytica) است. قاضی در حکمش نوشته فیسبوک به کاربران وعده داده بود کنترل داده‌هایشان دست خودشان است و «این نادرست بود». جریمه به بیش از ۴۳ میلیون مورد نقض قانون رویه‌های تجاری ناعادلانهٔ این ایالت مربوط است.
در آن ماجرا، یک اپ تست شخصیت با حدود ۳۰۰ هزار شرکت‌کننده، داده‌های دوستانشان را هم جمع کرد و به حدود ۸۷ میلیون پروفایل رسید. متا پیش‌تر ۷۲۵ میلیون دلار برای تسویهٔ یک دعوای جمعی مرتبط با همین ماجرا پرداخته بود. مدیر حقوقی متا حکم تازه را نقد کرده و شرکت قصد دارد درخواست تجدیدنظر بدهد، پس این رقم هنوز قطعی نیست.
🔗 منبع
#متا #حریم_خصوصی #فیسبوک
دو باگ بحرانی در سرور SMB کرنل لینوکس پیش از آماده‌شدن وصله افشا شد
دو آسیب‌پذیری اجرای کد از راه دور (RCE) با امتیاز ۹٫۰ در KSMBD، سرور داخلی SMB کرنل لینوکس، روی فهرست‌های پستی عمومی کرنل منتشر شده؛ در حالی که هنوز هیچ اصلاحیه‌ای در کرنل اصلی (mainline) وجود ندارد. یکی از آن‌ها بدون احراز هویت روی هر سروری که KSMBD را روی پورت ۴۴۵ اجرا می‌کند فعال می‌شود: ترکیب چند بستهٔ کوتاه SMB1 با یک بستهٔ SMB2 باعث می‌شود سرور از انتهای بافر بیرون بخواند. دومی فقط روی SMB Direct با کارت شبکهٔ RDMA اثر دارد.
گزارش‌ها از ترند مایکرو (Trend Micro) آمده و باگ‌ها را اسکنر هوش مصنوعی همین شرکت پیدا کرده است. گرگ کروا-هارتمن، نگه‌دارندهٔ شاخهٔ پایدار کرنل، از ارسال گزارش‌های بدون وصله به فهرست‌های عمومی انتقاد کرده و این باگ‌ها هنوز شناسهٔ CVE هم ندارند. اگر سرور لینوکسی دارید، با دستور systemctl status ksmbd ببینید این ماژول فعال است یا نه.
🔗 منبع
#لینوکس #امنیت_سایبری #آسیب_پذیری
دو آسیب‌پذیری اجرای کد از راه دور (RCE) با امتیاز ۹٫۰ در KSMBD، سرور داخلی SMB کرنل لینوکس، روی فهرست‌های پستی عمومی کرنل منتشر شده؛ در حالی که هنوز هیچ اصلاحیه‌ای در کرنل اصلی (mainline) وجود ندارد. یکی از آن‌ها بدون احراز هویت روی هر سروری که KSMBD را روی پورت ۴۴۵ اجرا می‌کند فعال می‌شود: ترکیب چند بستهٔ کوتاه SMB1 با یک بستهٔ SMB2 باعث می‌شود سرور از انتهای بافر بیرون بخواند. دومی فقط روی SMB Direct با کارت شبکهٔ RDMA اثر دارد.
گزارش‌ها از ترند مایکرو (Trend Micro) آمده و باگ‌ها را اسکنر هوش مصنوعی همین شرکت پیدا کرده است. گرگ کروا-هارتمن، نگه‌دارندهٔ شاخهٔ پایدار کرنل، از ارسال گزارش‌های بدون وصله به فهرست‌های عمومی انتقاد کرده و این باگ‌ها هنوز شناسهٔ CVE هم ندارند. اگر سرور لینوکسی دارید، با دستور systemctl status ksmbd ببینید این ماژول فعال است یا نه.
🔗 منبع
#لینوکس #امنیت_سایبری #آسیب_پذیری
مایکروسافت: ابزار هوش مصنوعی ما در تشخیص بیماری از پزشکان دقیق‌تر بوده
مایکروسافت نتایج «ارکستراتور تشخیصی» (Diagnostic Orchestrator) را در مجلهٔ ساینس (Science) منتشر کرده؛ سیستمی که مثل یک پنل پزشکی، با چند ایجنت هوش مصنوعی علائم و سابقهٔ بیمار را بررسی می‌کند، تصمیم می‌گیرد چه آزمایشی لازم است و به تشخیص می‌رسد. روی صدها مورد از گزارش‌های مجلهٔ پزشکی نیوانگلند، دقت آن حدود ۸۳ درصد بوده؛ در برابر حدود ۳۶ درصد برای پزشکان عمومی با منابع کمکی و ۲۲ درصد بدون آن. روی پرونده‌های اورژانس بیمارستان بث‌اسرائیل دیکانس هم ۸۰ درصد در برابر میانگین ۴۷ درصد پزشکان بوده است.
این سیستم با مدل GPT-5 کار می‌کند و فقط روی پرونده‌های گذشته آزمایش شده؛ مصطفی سلیمان، مدیرعامل بخش هوش مصنوعی مایکروسافت، هم می‌گوید هنوز به اعتبارسنجی بالینی نیاز دارد. آزمایش در بیمارستان واقعی احتمالاً طی چند ماه آینده شروع می‌شود و زمان عرضهٔ تجاری هنوز مشخص نیست.
🔗 منبع
#هوش_مصنوعی #مایکروسافت #پزشکی
مایکروسافت نتایج «ارکستراتور تشخیصی» (Diagnostic Orchestrator) را در مجلهٔ ساینس (Science) منتشر کرده؛ سیستمی که مثل یک پنل پزشکی، با چند ایجنت هوش مصنوعی علائم و سابقهٔ بیمار را بررسی می‌کند، تصمیم می‌گیرد چه آزمایشی لازم است و به تشخیص می‌رسد. روی صدها مورد از گزارش‌های مجلهٔ پزشکی نیوانگلند، دقت آن حدود ۸۳ درصد بوده؛ در برابر حدود ۳۶ درصد برای پزشکان عمومی با منابع کمکی و ۲۲ درصد بدون آن. روی پرونده‌های اورژانس بیمارستان بث‌اسرائیل دیکانس هم ۸۰ درصد در برابر میانگین ۴۷ درصد پزشکان بوده است.
این سیستم با مدل GPT-5 کار می‌کند و فقط روی پرونده‌های گذشته آزمایش شده؛ مصطفی سلیمان، مدیرعامل بخش هوش مصنوعی مایکروسافت، هم می‌گوید هنوز به اعتبارسنجی بالینی نیاز دارد. آزمایش در بیمارستان واقعی احتمالاً طی چند ماه آینده شروع می‌شود و زمان عرضهٔ تجاری هنوز مشخص نیست.
🔗 منبع
#هوش_مصنوعی #مایکروسافت #پزشکی
ایجنت‌ها بدون دیدن رمز عبور وارد حساب‌هایتان می‌شوند؛ ابزار تازهٔ وان‌پسورد
وان‌پسورد (1Password) پلتفرمی به نام 1Password for Agents معرفی کرده که به ایجنت‌های شخصی هوش مصنوعی اجازه می‌دهد از طرف شما وارد حساب‌هایتان شوند، بی‌آنکه رمز را ببینند. وقتی ایجنت به صفحهٔ ورود می‌رسد، از وان‌پسورد درخواست می‌کند؛ شما اعلان را می‌بینید و اگر تأیید کنید، خود وان‌پسورد رمز و کد یک‌بارمصرف را مستقیم در سایت پر می‌کند و ایجنت فقط به همان حسابی که اجازه داده‌اید دسترسی می‌گیرد.
ادغام با Muse متا و Grok Bot طی روزهای آینده فعال می‌شود و Claude Duet، ChatGPT Work و dots هم «به‌زودی» اضافه می‌شوند. این قابلیت فعلاً بدون هزینهٔ اضافه برای حساب‌های Individual و Family روی 1Password.com ارائه شده و حساب‌های نسخهٔ اروپا و کانادا پشتیبانی نمی‌شوند. به گزارش تک‌کرانچ، بانک‌های آمریکایی هم حالا فعالیت ایجنت‌ها را در حساب مشتری‌ها می‌بینند و اغلب نمی‌دانند این کارها به خواست خود کاربر بوده یا نه.
🔗 منبع
#امنیت_سایبری #ایجنت #هوش_مصنوعی
وان‌پسورد (1Password) پلتفرمی به نام 1Password for Agents معرفی کرده که به ایجنت‌های شخصی هوش مصنوعی اجازه می‌دهد از طرف شما وارد حساب‌هایتان شوند، بی‌آنکه رمز را ببینند. وقتی ایجنت به صفحهٔ ورود می‌رسد، از وان‌پسورد درخواست می‌کند؛ شما اعلان را می‌بینید و اگر تأیید کنید، خود وان‌پسورد رمز و کد یک‌بارمصرف را مستقیم در سایت پر می‌کند و ایجنت فقط به همان حسابی که اجازه داده‌اید دسترسی می‌گیرد.
ادغام با Muse متا و Grok Bot طی روزهای آینده فعال می‌شود و Claude Duet، ChatGPT Work و dots هم «به‌زودی» اضافه می‌شوند. این قابلیت فعلاً بدون هزینهٔ اضافه برای حساب‌های Individual و Family روی 1Password.com ارائه شده و حساب‌های نسخهٔ اروپا و کانادا پشتیبانی نمی‌شوند. به گزارش تک‌کرانچ، بانک‌های آمریکایی هم حالا فعالیت ایجنت‌ها را در حساب مشتری‌ها می‌بینند و اغلب نمی‌دانند این کارها به خواست خود کاربر بوده یا نه.
🔗 منبع
#امنیت_سایبری #ایجنت #هوش_مصنوعی