فکر کردن یکی از مهم‌ترین قدرت‌هاییه که داریم و باید هر روز تقویتش کنیم.

برای این کار فقط به یک موضوع از یک زاویه نگاه نکن. درباره‌ش بخون، از دیدگاه‌های مختلف بررسیش کن، با بقیه در موردش حرف بزن و خودت هم مدام سعی کن به چالش بکشیش.

ذهن هم مثل هر مهارت دیگه‌ایه. هرچی بیشتر ازش استفاده کنی، قوی‌تر می‌شه.

خیلی از اپ‌ها اصلاً به Kubernetes، Redis، Kafka یا معماری‌های پیچیده نیاز ندارن. وقتی ترافیک و همزمانی پایینه، یک PostgreSQL درست‌وحسابی روی Linux می‌تونه کل نیازت رو جواب بده.

مهندس بودن یعنی بفهمی کِی باید سیستم رو پیچیده کنی، نه اینکه همیشه پیچیده‌ترین ابزارها رو انتخاب کنی.

یه پست دیدم که ادعا می‌کرد اجرای Post-Ex با استفاده از یک VM می‌تونه از BOFها از نظر OpSec مناسب‌تر باشه، چون در این روش رفتار مربوط به تخصیص و تغییر permission حافظه متفاوت خواهد بود.

اما این مقایسه به این سادگی نیست. در هر دو رویکرد، رفتارهای مربوط به حافظه و اجرای کد وجود دارن و صرفاً انتخاب VM به‌تنهایی تضمین نمی‌کنه که ردپای کمتری ایجاد بشه.

از طرف دیگه، استفاده از VM خودش می‌تونه کد و اجزای بیشتری رو وارد فضای اجرای Beacon کنه. بنابراین علاوه بر رفتار حافظه، باید حجم و نوع کد موجود در پروسه و روش‌های تشخیص سمت دفاع رو هم در نظر گرفت.

در نتیجه نمی‌شه صرفاً بر اساس یک شاخص مثل تغییر permission حافظه گفت VM الزاماً از BOF امن‌تر یا stealthier هست. مقایسه واقعی باید کل رفتار اجرا و سطح قابل مشاهده بودن هر روش رو در نظر بگیره.

هرچی بیشتر درباره Mythos می‌خونم، بیشتر این حس بهم دست می‌ده که با یکی دیگه از همون موج‌های بیش‌ازحد هایپ‌شده AI طرفیم؛ چیزی شبیه خیلی از ترندهایی که طی یکی دو سال اخیر دیدیم.

بخش قابل‌توجهی از این هایپ هم به نظرم از سمت اینفلوئنسرها و خبرنگارهای حوزه Cybersecurity میاد که شاید تجربه زیادی در Pentest داشته باشن یا صرفاً در حد سطحی باهاش برخورد کرده باشن، ولی تجربه عملی جدی در Red Team ندارن. طبیعتاً وقتی چنین فضایی شکل می‌گیره، فاصله بین چیزی که واقعاً وجود داره و چیزی که درباره‌ش گفته می‌شه می‌تونه خیلی زیاد بشه.

حتی بعضی از مشتری‌های خودم رو هم دیدم که تحت تأثیر این موج قرار گرفتن. ولی اگر بخوام بر اساس الگوی ترندهای قبلی قضاوت کنم، احتمالاً این یکی هم مسیر آشنایی رو طی می‌کنه؛ یه مدت شدیداً ترند می‌شه، همه درباره‌ش حرف می‌زنن، بعد تبش می‌خوابه و مدتی بعد همین چرخه با یه اسم و تکنولوژی جدید دوباره تکرار می‌شه.

در این مرحله بیشتر از اینکه AI Revolution باشه، برای من شبیه AI-Milking هس.

استفاده از اسم AI برای داغ کردن دوباره چیزهایی که شاید به‌اندازه هایپ اطرافشون جدید نباشن.

#Mythos
#AI
#Cybersecurity
#Pentesting
#RedTeam
#Infosec
#CyberSecurity
#ArtificialIntelligence
#AITools
#Security

دیدگاه من اینه که بیشتر ابزارهای AI برای Pentest که تا الان دیدم، در بهترین حالت می‌تونن یه Nmap اجرا کنن، چندتا ابزار آماده رو صدا بزنن و یه چیزی شبیه Metasploit رو اجرا کنن. اما وقتی از این مرحله فاصله می‌گیری و وارد چیزی می‌شی که واقعاً به Tradecraft و تجربه عملی نیاز داره، خیلی‌هاشون عملاً از کار می‌افتن.

به نظرم بخش واقعاً جذاب ماجرا الان جای دیگه‌ست. به‌جای اینکه صرفاً یک LLM رو روی ابزارهای قدیمی Pentest سوار کنیم و اسمش رو AI Pentesting بذاریم، تحقیق روی خود مدل‌ها و روش‌های Adversarial علیه اون‌ها خیلی جالب‌تره.

اینکه چطور می‌شه مدل‌ها رو تحت تأثیر قرار داد، محدودیت‌هاشون رو بررسی کرد و نقاط ضعفشون رو پیدا کرد، به نظرم از این جهت ارزش تحقیقاتی بیشتری داره که واقعاً یک لایه جدید به مسئله اضافه می‌کنه، نه اینکه فقط یک Wrapper هوشمند دور ابزارهای موجود بسازیم.

#AI
#Cybersecurity
#Pentesting
#RedTeam
#AdversarialAI
#LLM
#AIsecurity
#Infosec

من توی هر Red Team Engagement معمولاً قبل از اینکه چیزی رو روی محیط مشتری اجرا کنم، یه Local Environment جدا دارم که سناریوها، Exploitها، Injectionها و Executionها رو اول اونجا شبیه‌سازی و تست می‌کنم.

هدفش هم خیلی ساده‌ هست.
نمی‌خوام محیط مشتری تبدیل به محیط آزمایش من بشه. قبل از اینکه چیزی وارد Target Environment بشه، ترجیح می‌دم تا جای ممکن بدونم دقیقاً چه رفتاری داره و چه اثری روی سیستم می‌ذاره.

ولی اخیراً متوجه شدم ظاهراً خیلی‌ها این روال رو ندارن و مستقیم روی محیط مشتری تست می‌کنن. برام جالبه که چرا. واقعاً این حجم از YOLO کردن توی Red Team طبیعیه یا من زیادی محتاطم؟

به نظرم داشتن یک Lab مشابه Target قبل از اجرای سناریوهای حساس، بیشتر از اینکه کار اضافه باشه، بخشی از Professional Tradecraft محسوب می‌شه. مخصوصاً وقتی پای محیط واقعی مشتری وسطه.

#RedTeam
#Pentesting
#Cybersecurity
#Infosec
#SecurityTesting
#EthicalHacking
#OffensiveSecurity
#Tradecraft

خیلی‌ها از Programming می‌ترسن، ولی اگر بخوام صادق باشم، خود کدنویسی برای من بخش ساده‌ی ماجراست. بخش سخت‌تر، تمام زمانی‌ـه که صرف ساختن Logic توی ذهنت می‌کنی و فکر کردن به تمام حالت‌هایی که ممکنه یک راه‌حل در اون‌ها شکست بخوره.

بعضی روزها ساعت‌ها فقط می‌شینم و فکر می‌کنم. یه راه‌حل رو توی ذهنم می‌سازم، خرابش می‌کنم، دوباره از اول می‌چینمش و همین چرخه رو ادامه می‌دم تا به چیزی برسم که از نظر منطقی برام درست و قابل اتکا باشه.

جالب اینجاست که این مدل فکر کردن فقط توی کار به دردم نخورده. کم‌کم تبدیل شده به بخشی از نحوه تصمیم‌گیریم توی زندگی. اینکه قبل از تصمیم گرفتن، سناریوهای مختلف رو بررسی کنی، پیامدهاشون رو ببینی و سعی کنی به‌جای واکنش لحظه‌ای، منطقی‌ترین مسیر رو انتخاب کنی.

شاید برای همینه که همیشه Chess رو هم دوست داشتم. به نظرم Coding و Chess خیلی بیشتر از چیزی که در ظاهر به نظر میاد به هم شبیهن. توی هر دو، باید چند حرکت جلوتر رو ببینی، حالت‌های مختلف رو تصور کنی، اشتباهات احتمالی رو پیش‌بینی کنی و بدون عجله بهترین تصمیم ممکن رو پیدا کنی.

واقعاً نمی‌دونم اگر Programming و Chess وارد زندگی من نمی‌شدن، امروز چه شکلی فکر می‌کردم یا کجا بودم. ولی مطمئنم هر دو، بیشتر از اینکه فقط یک مهارت یا سرگرمی باشن، روی نحوه فکر کردنم تأثیر گذاشتن.

#Programming
#Coding
#Chess
#ProblemSolving
#CriticalThinking
#Logic
#SoftwareEngineering

شاید یکی از دلایلی که امروز صدها Open Source C2 داریم ولی تعداد خیلی کمی از اون‌ها واقعاً در دنیای واقعی قابل استفاده‌ان، همین باشه.

بعد از یه نقطه مشخص، واقعاً Coding بخش کوچکی از نتیجه نهایی می‌شه. شاید حتی همون ۱۰ درصدی که همه بیشتر می‌بیننش. بخش اصلی ماجرا جاییه که باید خارج از چارچوب معمول فکر کنی، Research خودت رو انجام بدی، فرضیاتت رو به چالش بکشی و یک سناریو رو بارها و بارها تست کنی.

ساختن چیزی که روی کاغذ کار می‌کنه یک مسئله‌ست. ساختن چیزی که در دنیای واقعی قابل اتکا باشه، مسئله کاملاً متفاوتیه.

برای همین فکر می‌کنم تفاوت بین یک پروژه معمولی و یک ابزار واقعاً کاربردی، اغلب نه در تعداد Lines of Code، بلکه در میزان فکر، تحقیق و Testing پشت اون مشخص می‌شه.

در نهایت Coding شاید فقط ۱۰ درصد نتیجه باشه. ۹۰ درصد دیگه مربوط به طرز فکر، Research و تست بی‌پایانه.

#Programming
#Cybersecurity
#RedTeam
#C2
#OpenSource
#OffensiveSecurity
#Pentesting
#SoftwareEngineering
#Research
#ProblemSolving

یک موضوع دلی رو بگم بهتون دوستان.

امروز داشتم با یکی از دوستام صحبت می‌کردم و یاد یه عادت قدیمی افتادم. سال ۲۰۱۸، وقتی تازه شروع کرده بودم Windows Internals رو یاد بگیرم، من و چندتا از دوستام یه عادت نسبتاً ساده برای خودمون ساخته بودیم.

هر روز ۱۰ تا فایل EXE یا DLL از System32 انتخاب می‌کردیم و فقط درباره‌شون می‌خوندیم. نه خبری از Hack خاصی بود، نه Reversing و نه کار عجیب‌وغریبی. اسم فایل، کاربردش، اینکه چرا وجود داره، چه کاری انجام می‌ده و هر چیزی که می‌شد درباره‌ش پیدا کرد.

این کار رو تقریباً ۶۰ روز ادامه دادیم و حجم دانشی که فقط با Google کردن و خوندن به دست آوردیم واقعاً عجیب بود.

خیلی وقت‌ها فکر می‌کنیم برای یادگیری یک حوزه حتماً باید یک Course گرون، یک کتاب خاص یا یک مسیر پیچیده داشته باشیم. در حالی که اصل ماجرا خیلی ساده‌تره. یک موضوع مشخص انتخاب کن، هر روز براش وقت بذار و این کار رو با Discipline ادامه بده.

خیلی‌ها با دیدن مباحث Advanced از همون اول می‌ترسن، در حالی که چیزی که واقعاً تفاوت ایجاد می‌کنه، کیفیت Fundamentals هست.

اگر پایه‌هات رو واقعاً خوب بفهمی، مباحث پیچیده‌تر دیگه اون‌قدر ترسناک نیستن. خیلی از چیزهایی که در ابتدا Advanced به نظر می‌رسن، در نهایت فقط ترکیب عمیق‌تری از همون مفاهیم پایه‌ان.

به نظرم یکی از بزرگ‌ترین اشتباهات در یادگیری اینه که همیشه دنبال چیزهای سخت‌تر بگردیم، در حالی که شاید بهتر باشه همون چیزهای ساده رو عمیق‌تر بفهمیم.

و البته بله، من خودم چندتا Course هم می‌فروشم؛ ولی حتی با وجود این، هنوز فکر می‌کنم چیزی که بیشتر از هر منبعی نتیجه می‌ده، Time + Consistency + Discipline هست.

#WindowsInternals
#Cybersecurity
#Programming
#Fundamentals
#Learning
#ReverseEngineering
#Infosec
#Security
#SoftwareEngineering
#Discipline

صرفاً Prompt نوشتن و کپی کردن خروجی AI ازت Developer نمی‌سازه.

اگر کدی که AI برات نوشته رو نمی‌فهمی، نمی‌تونی Debug اش کنی، نمی‌دونی چرا این Architecture انتخاب شده و وقتی چیزی خراب می‌شه نمی‌فهمی مشکل از کجاست، در واقع بیشتر از اینکه Developer باشی، AI Babysitter هستی.

وایب کدینگ خودش مشکلی نداره. مشکل از جایی شروع می‌شه که فکر کنی استفاده از AI جای فهمیدن Programming رو گرفته.

#VibeCoding
#Programming
#SoftwareEngineering
#AI
#Developers
#Coding

وقتی درباره AI حرف می‌زنیم، خیلی وقت‌ها فقط مدل، GPU و دیتاست رو می‌بینیم. ولی پشت تمام این‌ها یک دنیای فیزیکی عظیم وجود داره.

خود AI به Data Center نیاز داره. Data Center یعنی Construction، برق، شبکه، Cooling، HVAC و کلی زیرساخت دیگه. برای همین رشد AI فقط به معنی رشد شغل‌های Software و AI نیست؛ بخش بزرگی از این موج داره وارد دنیای واقعی و صنایع زیرساختی می‌شه.

نکته جالب اینجاست که هرچی تقاضا برای Compute بیشتر بشه، نیاز به ساخت Data Center و تأمین انرژی و تجهیزات هم بیشتر می‌شه و طبیعتاً نیروی انسانی بیشتری هم برای ساخت و نگهداری این زیرساخت‌ها لازم خواهد بود.

در نهایت AI هرچقدر هم Digital به نظر برسه، برای رشد کردن به یک دنیای کاملاً فیزیکی وابسته‌ست.

مدل‌ها در Cloud اجرا می‌شن، ولی Cloud از هوا ساخته نشده.

#AI
#ArtificialIntelligence
#DataCenters
#Infrastructure
#Technology
#CloudComputing
#Energy
#Construction
#HVAC
#Jobs

اما بخش Disruption کاملاً واقعیه.

بعضی از کارهای روتین مثل کارهای اداری، پشتیبانی و Customer Service واقعاً تحت فشار AI و Automation قرار گرفتن. بعضی موقعیت‌های شغلی از بین می‌رن، در عوض موقعیت‌های جدیدی شکل می‌گیرن و همزمان مهارت‌هایی که شرکت‌ها دنبالشن هم تغییر می‌کنه.

به نظرم مسئله اصلی این نیست که AI قراره همه شغل‌ها رو از بین ببره. مسئله اینه که تعریف خیلی از شغل‌ها داره تغییر می‌کنه و کسی که خودش رو با این تغییرات وفق نده، احتمالاً بیشتر از خود AI آسیب می‌بینه.

واقعاً چرا هنوز توی خیلی از مصاحبه‌های Programming ازت می‌خوان Code رو از صفر و با دست بنویسی؟

وقتی قراره در دنیای واقعی از AI برای کدنویسی استفاده کنیم، شاید بهتر باشه مصاحبه‌ها هم از این مدل ارزیابی فاصله بگیرن.

به‌جای اینکه ببینیم کسی چقدر سریع می‌تونه چند خط Code رو بدون کمک بنویسه، بهتر نیست درباره Fundamentals سؤال بپرسیم؟ اینکه چرا یک تکنولوژی رو انتخاب می‌کنی، چطور یک مسئله رو تحلیل می‌کنی، چطور Architecture مناسب رو انتخاب می‌کنی، چطور یک Bug رو پیدا می‌کنی و چطور تشخیص می‌دی کدی که AI تولید کرده واقعاً درست و قابل استفاده هست یا نه.

در نهایت، AI می‌تونه Code رو بنویسه. چیزی که هنوز باید خود Developer بلد باشه، فهمیدن مسئله و تصمیم گرفتن درباره راه‌حل درستشه.

شاید وقتشه Technical Interview هم خودش رو با دنیای AI وفق بده.

#AI
#Programming
#Coding
#SoftwareEngineering
#TechnicalInterview
#Developers
#VibeCoding
#ArtificialIntelligence

چه خوشتون بیاد چه نیاد، Omarchy تونسته تجربه Linux Desktop رو واقعاً جذاب‌تر کنه.

شاید قرار نباشه همه باهاش موافق باشن، ولی نمی‌شه انکار کرد که Omarchy دوباره توجه خیلی‌ها رو به تجربه استفاده روزمره از Linux روی Desktop جلب کرده.

گاهی برای بهتر شدن یک پلتفرم، لازم نیست همه‌چیز از صفر ساخته بشه. فقط کافیه یکی بالاخره تجربه کاربری رو جدی بگیره.

#Linux
#Omarchy
#LinuxDesktop
#OpenSource
#DesktopLinux
#Technology
#Software

یه چیزی درباره‌ی ماجرای OpenAI دیدم که جالبه.
گفته شده OpenAI برای حل یک مسئله، حدود ۱۵ میلیون دلار هزینه‌ی توکن کرده، در حالی که جایزه‌ی مسئله فقط ۱ میلیون دلار بوده.
بعضیا سریع میگن:
خب این دیگه اقتصاد عجیب هوش مصنوعیه!

ولی واقعاً این برداشت کاملی نیست.
کاری که OpenAI انجام داده، احتمالاً ارزش خیلی بیشتری از اون ۱۵ میلیون دلار داشته.
اینکه جایزه فقط ۱ میلیون دلار بوده، بیشتر نشون میده خود جایزه نسبت به ارزش واقعی مسئله خیلی کم بوده.
حتی ترول کردن ایلان ماسک هم بیشتر از همین زاویه قابل فهمه؛ چون خودش هم احتمالاً می‌دونه ارزش چنین کاری فقط به مبلغ جایزه محدود نمی‌شه.
اما یه بخش دیگه‌ی ماجرا برای من عجیب‌تره.
وقتی OpenAI از داده‌های هنرمندان استفاده کرد و بحث کپی‌رایت مطرح شد، خیلی از دانشمندان و آدم‌های حوزه‌ی ریاضی و تکنولوژی واکنش جدی نشون ندادن.
ولی وقتی بحث استفاده از داده برای حل یک مسئله‌ی ریاضی و اثبات یک قضیه مطرح شد، ناگهان حساسیت‌ها خیلی بیشتر شد.
همین تفاوت واکنش‌ها واقعاً قابل تأمله.
مسئله فقط این نیست که هوش مصنوعی چقدر پول برای حل یک مسئله خرج کرده.
مسئله اینه که وقتی پای منافع و حوزه‌ی تخصصی خودمون وسط میاد، نگاه‌مون به استفاده از داده چقدر تغییر می‌کنه؟
شاید بهتر باشه قبل از قضاوت درباره‌ی این اتفاق، همین تناقض رو هم ببینیم.

#هوش_مصنوعی
#OpenAI
#AI
#Math
#Technology

این خانوم مریم عظیمی هاشمی هست
دانشمند و متخصص تصویر برداری اپل هست.
اومده دوربین آیفون ۱۸ اپل رو رونمایی کرده.
لیسانس مهندسی کامپیوتر از فردوسی مشهد رو داره
و برای تحصیل هم به کانادا مهاجرت کرد.
دکترای خودش رو در پردازش تصویر گرفت.
جالب اینجاست از سال ۲۰۲۱ به عنوان دانشمند الگوریتم های زیبایی شناسی دوربین در اپل استخدام شد.

آنتروپیک دوباره اتهام جدیدی علیه دیپ‌سیک و مون‌شات مطرح کرده.

طبق ادعای آنتروپیک، این شرکت‌های چینی بخشی از درخواست‌های کاربرانشون رو به کلود می‌فرستادن و بعد جواب‌های کلود رو به اسم مدل‌های خودشون ارائه می‌کردن.
آنتروپیک گفته مون‌شات فقط در ۱۰ روز، بیش از ۳۰۰ هزار درخواست به کلود فرستاده و برای این کار از حدود ۵۳۸۰ حساب استفاده شده.

اما یک سؤال مهم وجود داره:

اگه واقعاً از کلود استفاده می‌کردن، چطور کیمی و دیپ‌سیک هنوز می‌تونن خدماتشون رو با قیمت خیلی پایین‌تری نسبت به کلود ارائه بدن؟

فعلاً آنتروپیک توضیح مشخصی برای این اختلاف قیمت نداده.

#آنتروپیک
#کلود
#دیپ_سیک
#مون_شات
#هوش_مصنوعی

#Ai

اوپن‌ای‌آی از شرکت در یک هکاتون ریاضی در مؤسسه فناوری کالیفرنیا کنار کشیده و دیگه اسپانسر این مسابقه هم نیست.

این اتفاق جالبه، چون قبلاً گزارش‌هایی منتشر شده بود که اوپن‌ای‌آی قصد داره با مدل‌های هوش مصنوعی خودش، سخت‌ترین مسائل ریاضی و حتی ۷ مسئله هزاره رو حل کنه.

حالا بعضی‌ها این اتفاق رو به ماجرای استفاده از راه‌حل‌های دزدیده‌شده ربط دادن، اما فعلاً مدرک معتبری برای این ادعا منتشر نشده.

#اوپن_ای‌آی
#هوش_مصنوعی
#ریاضی

#Ai