یک هکر، Siri واقعی اپل رو روی سرور لینوکسی Minecraft اجرا کرد؛ بدون آیفون، مک یا Apple ID!

محققی به نام Zerotistic با مهندسی معکوس پروتکل Siri و اجرای توابع رمزنگاری اپل روی لینوکس، تونست مستقیماً به سرورهای واقعی Siri متصل بشه.

حالا کاربر توی چت Minecraft می‌پرسه:

«حاصل تقسیم 1000 بر 64 چقدره؟»

و Siri جواب می‌ده: "15.625"

🔹 بدون شبیه‌سازی با هوش مصنوعی
🔹 بدون دستگاه اپل
🔹 با پاسخ واقعی از سرورهای اپل

کد پروژه عمومی نشده؛ چون انتشارش ممکنه دردسرهای حقوقی داشته باشه.

به نظرتون این شاهکار مهندسی معکوسه یا یه حفره امنیتی که اپل باید ببندتش؟

#لینوکس
#مهندسی_معکوس
#امنیت_سایبری

🚨 ۶ باگ توی کرنل لینوکس؛ ادعای دسترسی روت در ۵ مورد.

هیون وو کیم جزئیات ۶ آسیب‌پذیری در بخش‌های مختلف کرنل لینوکس رو منتشر کرده؛ از مدیریت حافظه و سیگنال‌ها گرفته تا زمان‌بندی و SLUB.

🔹 طبق ادعای محقق، ۵ مورد می‌تونن به ارتقای دسترسی تا روت منجر بشن.

🔹 مورد ششم در PoC منتشرشده فقط باعث کرش کرنل می‌شه، نه دسترسی روت.

🔹 یکی از باگ‌ها روی Galaxy S26 Ultra هم بررسی شده؛ اما اکسپلویت اندروید هنوز عمومی نشده.

🔹 نکته مهم اینکه این باگ‌ها به دسترسی شبکه یا user namespace نیاز ندارن؛ البته بهره‌برداری از بعضی موارد به شرایط خاصی وابسته‌ست.

⚠️ یه نکته: این‌ها ادعاهای محقق بر اساس تحلیل‌ها و PoCها هستن و نباید بدون بررسی مستقل، همه جزئیات رو تأییدشده فرض کرد.

اگه از لینوکس استفاده می‌کنین، نسخه کرنل و وضعیت وصله‌های امنیتی توزیعتون رو بررسی کنین.

#Linux
#CyberSecurity

پ.ن. هر باگ کرنل الزاماً به معنی دسترسی روت نیست؛ شرایط بهره‌برداری، نسخه کرنل و پیکربندی سیستم خیلی مهمن. پس قبل از نتیجه‌گیری، ادعاهای محقق رو از تأیید مستقل و انتشار وصله‌ها جدا کنین.

اینترنت متاسفانه از بامداد امروز ، جمعه 1 آبان ، 40 درصد گران شد.

به نظرم مقایسه‌ی Codex و Claude Code فقط بر اساس کیفیت مدل‌ها، معیار کاملی نیست. چیزی که برای من اهمیت بیشتری داره، نحوه‌ی تعامل با ایجنت، مدیریت Context و میزان کنترل روی فرایند توسعه‌ست.

ممکنه بهترین مدل رو در اختیار داشته باشی، اما وقتی دستورالعمل‌های پروژه به‌درستی بارگذاری نشن یا مدیریت نشست‌ها و بازخوردها سخت باشه، بخشی از توانایی مدل عملاً هدر می‌ره.

ماجرا فقط این نیست که مدل چقدر باهوشه؛ مسئله اینه که ابزار چقدر خوب می‌تونه این هوش رو در یک جریان کاری واقعی به کار بگیره.

مثلاً در پروژه‌های ایجنتی، فایل‌های "AGENTS.md" می‌تونن نقش مهمی در تعریف قوانین و ساختار پروژه داشته باشن. اگر بخشی از این دستورالعمل‌ها به‌دلیل محدودیت حجم بارگذاری نشه، ممکنه ایجنت برخلاف انتظارات عمل کنه؛ حتی اگر خود مدل توانایی اجرای درست وظیفه رو داشته باشه.

به نظرم آینده‌ی ابزارهای کدنویسی هوش مصنوعی فقط به مدل‌های قوی‌تر وابسته نیست؛ کیفیت زیرساختی که این مدل‌ها رو به ابزارهای قابل‌اعتماد تبدیل می‌کنه هم به همون اندازه اهمیت داره.

در نهایت، بهترین ابزار لزوماً ابزاری نیست که در بنچمارک‌ها امتیاز بیشتری می‌گیره. ابزاریه که در پروژه‌ی واقعی، کنترل بیشتری بهت می‌ده و اصطکاک فرایند توسعه رو کمتر می‌کنه.

#Ai
#LLM

یک سناریو رو بیاید با هم‌ بررسی کنیم.
مثلا برای توسعه ایجنتی، من مدلی می‌خوام که بتونم حجم زیادی از اطلاعات رو بهش بدم، کدها رو بررسی کنه، جست‌وجو و تحلیل انجام بده و چند مرحله پشت سر هم کار کنه؛ بدون اینکه مدام نگران تموم شدن سهمیه باشم.

اما چیزی که برای من مهم‌تره، استفاده روزمره‌ست؛ اینکه بتونم کارهای روتین و کم‌اهمیت‌تر رو به مدل بسپرم و بی‌دلیل سراغ مدل‌های سنگین و پرهزینه نرم.

به نظرم ارزش واقعی یک مدل رایگان، فقط کیفیتش نیست؛ بلکه آزادی استفاده از اونه.

وقتی برای هر درخواست مجبور باشی مصرف توکن رو حساب کنی، عملاً نمی‌تونی مدل رو به بخش ثابتی از جریان کاری خودت تبدیل کنی.

البته در حال حاضر DeepSeek V4.1 Flash تا حد زیادی همین جایگاه رو پوشش می‌ده. برای همین، صرفاً رایگان بودن یک مدل برام مزیت خاصی محسوب نمی‌شه؛ باید ببینم در عمل چقدر می‌تونه از حجم کارم کم کنه.
#Ai

📚 لینوکس و زندگی | جادی میرمیرانی

لینوکس رو یاد بگیر، ولی فقط به یاد گرفتن دستوراتش اکتفا نکن!

جادی توی این کتاب از لینوکس می‌گه؛ از توزیع‌ها و ترمینال گرفته تا نصب برنامه‌ها و ساختار فایل‌ها. اما ماجرا به همین‌جا ختم نمی‌شه.

از یاد گرفتن و دانشگاه رفتن تا رزومه نوشتن، پیدا کردن شرکت مناسب و تقویت زبان انگلیسی؛ جادی تجربه‌هاش رو بی‌واسطه باهات به اشتراک می‌ذاره.

چیزی که این کتاب رو جذاب می‌کنه، فقط لینوکس نیست؛ طرز فکر جادی درباره یاد گرفتن، رشد کردن و ساختن مسیر خودته.

اگه می‌خوای توی دنیای تکنولوژی پیشرفت کنی، این کتاب می‌تونه شروع خوبی باشه.

#Linux

با سرهم‌بندی، حقه‌بازی یه چند وقتی انسان میتونه کاری رو پیش ببره، ولی این کار دائمی نمیتونه باشه، چنته هر کسی که توخالی باشه، بالاخره معلوم میشه❤️

یکی از چیزهای جالب توی دنیای هوش مصنوعی اینه که همیشه برای گرفتن خروجی بهتر، لازم نیست مدل قوی‌تری پیدا کنیم یا بریم سراغ فاین‌تیون.

گاهی مشکل از خود مدل نیست؛ از روشی‌ـه که برای گرفتن خروجی ازش استفاده می‌کنیم.

مثلاً فرض کن یه مسئله استدلالی داری و مدل جواب درستی بهت نمی‌ده. به‌جای اینکه همون جواب اول رو قبول کنی، می‌تونی چند پاسخ مختلف بگیری، نتایج رو بررسی کنی و از بینشون به جواب بهتری برسی.

اینجاست که ابزارهایی مثل OptiLLM وارد ماجرا می‌شن. این ابزار مجموعه‌ای از تکنیک‌های بهینه‌سازی رو ارائه می‌ده که می‌تونن بدون آموزش مجدد مدل، عملکردش رو در بعضی وظایف بهتر کنن.

از طرف دیگه، LiteLLM هم امکان اتصال به مدل‌های مختلف رو فراهم می‌کنه و می‌تونه در کنار ابزارهای دیگه، بخشی از زیرساخت کار با مدل‌های زبانی باشه.

البته یه نکته مهم وجود داره: این روش‌ها رایگان از نظر منابع نیستن. تولید چند پاسخ و بررسی اون‌ها می‌تونه مصرف توکن و زمان پردازش رو افزایش بده. ضمن اینکه چند پاسخ مختلف لزوماً به معنی رسیدن به جواب درست نیست.

من فکر می‌کنم قبل از اینکه همیشه دنبال مدل‌های بزرگ‌تر و گرون‌تر باشیم، بهتره روش استفاده از مدل‌های فعلی رو هم بررسی کنیم. گاهی با تغییر فرایند، می‌شه از همون منابع قبلی نتیجه بهتری گرفت.

پ.ن. شاید همیشه مسئله این نباشه که از چه مدلی استفاده می‌کنیم؛ گاهی مهم‌تر اینه که چطور ازش استفاده می‌کنیم.

🔗 ابزارها:

OptiLLM

#یادگیری_ماشین
#Ai

۱۰۰ میلیون توکن رایگان برای کار با چند مدل هوش مصنوعی!

به نظرم چیزی که این سرویس رو جالب می‌کنه، فقط تعداد توکن‌ها نیست؛ بلکه دسترسی به API مدل‌هاست که می‌تونه برای آزمایش و ساخت پروژه‌های هوش مصنوعی کاربرد داشته باشه.

طبق اطلاعات منتشرشده، سایت Dahl Inference امکان دریافت سهمیه توکن برای مدل‌های GLM 5.3، DeepSeek V4 و MiniMax M2.7 رو فراهم کرده.

روش دریافت هم ساده اعلام شده:

- وارد سایت می‌شین و با انتخاب یک نام کاربری حساب می‌سازین.
- از بخش "API Keys & Balance" توکن خودتون رو دریافت می‌کنین.
- روی "ALLOCATE" می‌زنین و مقدار سهمیه رو روی "MAX" قرار می‌دین.

البته قبل از استفاده در پروژه‌های جدی، بهتره محدودیت‌های سرویس، شرایط استفاده و نحوه نگهداری اطلاعات ارسالی به API رو بررسی کنین. رایگان بودن سرویس به‌تنهایی تضمین‌کننده پایداری یا امنیتش نیست.

🔗 سایت:
Dahl Inference

پ.ن. اگه این سهمیه واقعاً قابل استفاده باشه، فرصت خوبیه برای آزمایش مدل‌ها و ساخت نمونه‌های اولیه بدون پرداخت هزینه API؛ ولی بهتره قبل از سپردن اطلاعات حساس یا استفاده در محیط عملیاتی، سرویس رو بررسی کنین.

#Ai
#llm
#deepseek
#glm

شرکت Moonshot مدل K3.1 Pro را عرضه کرده.

این مدل بر اساس همان معماری پایه مدل K3 ساخته شده هست، اما به نظر میرسه که شرکت Moonshot در اجرای (inference) مدلی با این حجم با مشکل مواجه هست و به زودی شاهد عرضه مدلی کوچکتر خواهیم بود. در این نسخه، تمرکز ویژه‌ای بر استفاده از ابزارهای سه‌بعدی مانند Blender و موتورهای بازی Unity، Unreal Engine و Godot شده هست. این مدل در حال حاضر در تمام محصولات Moonshot در دسترس هست و انتظار می‌رود که وزن آن در
تاریخ ۴ نوامبر منتشر شود.

#Ai

کلادفلر ابزاری رو که باهاش باگ امنیتی پیدا می‌کنه رایگان کرد و فقط یه هفته‌ای ۱۶ هزار ستاره گرفت.

این ابزار یه Skill برای ایجنت‌های کدنویسی مثل Claude Code و Codex هست.
ریپوتو بهش می‌دی و اون چند تا ایجنت جدا رو می‌فرسته که کد رو دنبال حفره بگردن.
بعد هر باگی پیدا بشه، یه ایجنت تازه‌نفس دیگه سعی می‌کنه ردش کنه. یعنی کسی که باگ رو پیدا کرده حق نداره خودش تاییدش کنه.
آخرش هم یه گزارش مرتب می‌ده که باگ‌ها رو سه دسته کرده: تاییدشده، نیازمند بررسی و ردشده.

جالبیش اینه که این نسخه‌ی ساده، هسته‌ی همون سیستمیه که خود کلادفلر داخلی ازش استفاده می‌کنه.

اگه پروژه داری، قبل از انتشار یه بار بندازش روش.
بدترین حالت چند تا هشدار الکی می‌گیری، بهترین حالت یه حفره‌ی جدی رو زودتر از بقیه پیدا می‌کنی.

https://github.com/cloudflare/security-audit-skill

🌟 CHANNEL | GP CODE NEURON

می‌خوام به یک نکته مهم درباره استفاده از هوش مصنوعی اشاره کنم.

به دید‌ من استفاده از AI در برنامه‌نویسی زمانی بیشترین ارزش رو ایجاد می‌کنه که در کنار اون، درک درستی از اصول فنی و منطق برنامه‌نویسی داشته باشیم.

صرفاً تولید کد با کمک هوش مصنوعی به معنای توسعه بهتر نرم‌افزار نیست. اگر نتونیم خروجی‌های AI رو تحلیل کنیم، صحت اون‌ها رو بسنجیم و خطاهاشون رو تشخیص بدیم، ممکنه به‌جای افزایش بهره‌وری، پیچیدگی و مشکلات بیشتری به پروژه اضافه کنیم.

در مقابل، وقتی دانش فنی کافی داشته باشیم، AI می‌تونه به یک ابزار قدرتمند برای حل مسائل، بهینه‌سازی کد و افزایش سرعت توسعه تبدیل بشه.

به بیان ساده، مهم‌تر از توانایی AI در تولید کد، توانایی ما در درک، ارزیابی و هدایت اون کدهاست.

#AI
#Programming
#SoftwareEngineering

بیش از ۵.۶ میلیارد دلار تاکنون از بایننس به سرقت رفته !

در تازه‌ترین حمله، ۱۸.۲ هزار بیت‌کوین به ارزش حدود ۱.۴۵ میلیارد دلار به سرقت رفته.

گزارش‌ها حاکی از اینه که در حال حاضر تمام کیف‌پول‌های گرم (Hot Wallets) بایننس در حال تخلیه شدن هستن.

تتر (USDT) و سرکل (USDC) تاکنون ۱.۵ میلیارد دلار از دارایی‌های سرقت‌شده رو مسدود کردن؛ با این حال، حدود ۴ میلیارد دلار همچنان در کیف‌پول هکر باقی مونده.

جالبه بایننس خودش نمیدونه از کجا خورده هنوز!!!

آپدیت هک بایننس رو داشته باشیم.

مجموع دارایی‌های به سرقت رفته: ۵.۵ میلیارد دلار به بالا

۲.۲۹ میلیارد دلار تتر (USDT) - مسدود شد
۸۲۳ میلیون دلار یو‌اس‌دی‌سی (USDC) - مسدود شد
ارزهایی که هنوز دارن جابه‌جا می‌شن:
۱۸,۲۷۰ بیت‌کوین (۱.۴۵ میلیارد دلار)
۱۹۷ هزار اتریوم (۴۵۱ میلیون دلار)
۷۳۰ میلیون دلار تتر (USDT) - هنوز مسدود نشده

هک بایننس چطور اتفاق افتاد:

هکر از پروتکل EIP-7702 سواستفاده کرده؛ یعنی آپدیت Pectra اتریوم.
این قابلیت به یه کیف پول معمولی اجازه می‌ده موقتاً مثل یه قرارداد هوشمند (اسمارت کانتکت) با یه امضای کلید خصوصی معتبر عمل کنه.
هکر ۵۰ تا مجوز EIP-7702 رو با نانس‌های (Nonce) ترتیبی از قبل جمع‌آوری کرده بود.
بدون اینکه نانس دقیق رو موقع حمله بدونه.
همه رو با هم فرستاد و فقط یکی‌شون درست دراومد.
همون یکی براش کافی بود.
جریان جابه‌جایی استیبل‌کوین‌های ترون چی بود؟ کار خودِ بایننس بوده.

#موقت

تا ۵۰۰۰ کاربر Cursor به‌خاطر نسخه جعلی Claude Code در معرض خطر قرار گرفتن!

یه اتفاق امنیتی جدی برای کاربرهای Cursor افتاده که دونستنش خالی از لطف نیست.

۲۹ اکتبر، یه نسخه مخرب از افزونه Claude Code با نام "Anthropic.claude-code" و شماره نسخه "2.1.313" توی فروشگاه افزونه‌های Cursor منتشر شد.

این افزونه بعد از اجرا، بدون اینکه کاربر متوجه بشه، اطلاعات سیستمش رو جمع‌آوری می‌کرد و سعی داشت از طریق SSH یه راه دسترسی مخفی برای مهاجم ایجاد کنه.

اما دقیقاً چه اتفاقی می‌افتاد؟

🔹 با باز شدن افزونه، کد مخرب به‌صورت خودکار اجرا می‌شد.

🔹 اطلاعات مربوط به سیستم و کامپیوتر توسعه‌دهنده جمع‌آوری می‌شد.

🔹 یک کلید SSH غیرمجاز به سیستم اضافه می‌شد.

🔹 مهاجم تلاش می‌کرد از طریق ایجاد یک تونل معکوس، امکان اتصال از راه دور به سیستم رو فراهم کنه.

طبق اعلام Cursor، حداکثر ۵۰۰۰ کاربر در معرض این حمله قرار گرفته بودن.

سرور مهاجم از دسترس خارج شده و نسخه آلوده هم از فروشگاه حذف شده؛ اما یه نکته مهم وجود داره: صرفاً حذف افزونه به معنی پاک شدن کامل آلودگی نیست!

اگه از این نسخه استفاده کردید، باید فایل "authorized_keys" رو بررسی کنید و ببینید کلید مشکوکی با نام "svc-telemetry" داخلش وجود داره یا نه. همچنین باید اسکریپت‌های پاک‌سازی منتشرشده توسط Cursor رو اجرا کنید.

اگه نشونه‌ای از نفوذ پیدا کردید، سیستم رو از شبکه جدا کنید و رمزها و اطلاعات دسترسی‌ای رو که از طریق اون سیستم در دسترس بودن، تغییر بدید.

یه نکته مهم: این اتفاق نشون می‌ده حتی ابزارها و افزونه‌هایی که هر روز برای برنامه‌نویسی ازشون استفاده می‌کنیم هم می‌تونن به نقطه ورود مهاجم تبدیل بشن. پس صرفاً به اسم و اعتبار یک ابزار اعتماد نکنید.

#CyberSecurity
#Cursor
#ClaudeCode
#SSH
#SupplyChainAttack
#AppSec

جالبه که کل دنیا این روزها جوگیر شدن و دارن به سمت Rust حرکت می‌کنن! 😁

تا همین چند سال پیش، خیلی‌ها حتی اسم Rust رو هم نشنیده بودن؛ اما حالا به یکی از جدی‌ترین گزینه‌ها برای توسعه نرم‌افزارهای سیستمی، زیرساخت‌های مدرن و پروژه‌هایی تبدیل شده که امنیت و بهینگی توشون اهمیت زیادی داره.

۳ تا دلیل هم بگم خیلی کوتاه:

مدیریت حافظه بدون Garbage Collector
ایمنی حافظه
عملکرد بالا

پ.ن: ولی خداییش Rust فقط یه زبان برنامه‌نویسی ترند نیست. به دید من یه تغییر نگرش در مهندسی نرم‌افزاره. 🔥

#SoftwareEngineering
#AI

نکته: اجازه ندین یک ضرر کوچک، تبدیل به یک فاجعه‌ی روانی شود.

اومدن PostgreSQL رو با Rust بازنویسی کردن، بعد گفتن ۱۶۰۰ برابر سریع‌تریم.

اسم پروژه هم هست PgRust.

هنوز توی نسخه بتاست، ولی بنچمارک‌هاش جوریه که آدم شک می‌کنه نکنه دیتابیس قبلی رو با ماشین‌حساب مقایسه کردن.

البته صبر کنین، داستان جالب‌تر می‌شه.

عدد ۱۶۰۰ برابر مربوط به بعضی Queryهای تحلیلیه، نه اینکه هرچی تو PostgreSQL بزنی، ۱۶۰۰ برابر سریع‌تر تحویلت بده.

این پروژه از معماری متفاوتی استفاده می‌کنه؛ از ذخیره‌سازی ستونی گرفته تا JIT و بهینه‌سازی اجرای Queryها. یعنی قضیه صرفاً این نیست که کد C رو برداشتن، با Rust نوشتن و یهو دیتابیس فضایی شده.

ولی خب، وقتی خود سازنده بنچمارک رو منتشر می‌کنه، باید جزئیاتش رو هم بررسی کرد؛ نوع Query، سخت‌افزار، شرایط اجرا و اینکه دقیقاً چی رو با چی مقایسه کردن.

فعلاً هم پروژه بتاست و برای دیتای حیاتی توصیه نمی‌شه.

خلاصه هنوز PostgreSQL رو بازنشسته نکنین، بذارین این یکی از بتا بیاد بیرون، بعد براش حکم بازنشستگی صادر می‌کنیم.

🔗 https://pgrust.com

#برنامه_نویسی
#دیتابیس
#زبان_راست

#rust