سیستم‌عامل لینوکس زیرساخت بسیاری از سایت‌ها، سرورهای بانکی و حتی گوشی‌های اندرویدی است و ایمنی آن برای حفظ حریم خصوصی و اطلاعات کاربران در سراسر جهان حیاتی به حساب می‌آید. اما به تازگی لینوس توروالدز، بنیان‌گذار و مهندس ارشد این سیستم‌عامل، هشدار داده که استفاده مداوم از ابزارهای هوش مصنوعی یکسان، روند بررسی‌های امنیتی را مختل کرده است.
ماجرا از این قرار است که برخی پژوهشگران و شکارچیان باگ، با استفاده از ابزارهای هوش مصنوعی، روزانه صدها گزارش از آسیب‌پذیری‌های احتمالی برای تیم برنامه‌نویسان لینوکس ارسال می‌کنند. مشکل اینجاست که این ابزارها مدام خطاهای تکراری، پیش‌پاافتاده و غیرمحرمانه را پیدا می‌کنند. در نتیجه، صندوق پیام‌های امنیتی لینوکس پر از هرزنامه‌هایی شده که ارزش فنی ندارند و مدیریت‌شان هم «تقریباً غیرممکن» است!
وقتی متخصصان امنیتی سیستم‌عامل‌های پایه، زمان خود را صرف خواندن و رد کردن گزارش‌های بی‌فایده می‌کنند، ممکن است خطرات امنیتی واقعی و جدی در لابه‌لای این شلوغی گم شوند. اگر یک آسیب‌پذیری واقعی در هسته سیستم‌عاملی مانند لینوکس به موقع برطرف نشود، اطلاعات شخصی ما در سایت‌ها و سرویس‌هایی که روزانه از آن‌ها استفاده می‌کنیم، در خطر نشت یا نفوذ قرار می‌گیرند.
توروالدز از افرادی که با هوش مصنوعی گزارش‌های انبوه تولید می‌کنند انتقاد کرده و از آن‌ها خواسته رویه خود را تغییر دهند:
«اگر واقعاً می‌خواهید کمک کنید، مستندات نرم‌افزار را بخوانید، یک راه‌حل یا وصله امنیتی بسازید و ارزشی واقعی به آنچه هوش مصنوعی پیدا کرده اضافه کنید. از آن دسته افرادی نباشید که بدون درک واقعی مشکل، صرفاً یک گزارش تصادفی می‌فرستند.»
جالب است بدانید پدیده گزارش‌های بی‌فایده و تکراری فقط به لینوکس محدود نمی‌شود. اوایل سال میلادی جاری، توسعه‌دهندگان ابزار شبکه کرل (Curl) هم اعلام کردند که به دلیل دریافت سیل عظیمی از گزارش‌های بی‌ارزش و تولیدشده با هوش مصنوعی، برنامه جایزه‌دهی برای کشف باگ خود را متوقف می‌کنند!
#خبر_و_تحلیل
نوشدارو را در تلگرام دنبال کنید:
Please open Telegram to view this post
VIEW IN TELEGRAM
👍8
ابزارهای صوتی هوش مصنوعی هر روز بیشتر وارد زندگی‌مان می‌شوند؛ از دستیارهای صوتی و اسپیکرهای هوشمند گرفته تا ربات‌های پشتیبانی، ابزارهای تبدیل گفتار به متن و سرویس‌هایی که جلسه‌ها را خلاصه می‌کنند. این ابزارها فقط «صدا» را نمی‌شنوند؛ بسیاری از آن‌ها می‌توانند فایل صوتی را تحلیل کنند، درباره‌اش پاسخ بدهند، اطلاعات را جستجو کنند و حتی به سرویس‌ها و ابزارهای دیگر وصل شوند.
همین توانایی‌ها، یک نگرانی امنیتی جدی هم به وجود آورده. پژوهشی جدید نشان می‌دهد بعضی از مدل‌های بزرگ صوتی-زبانی می‌توانند با صداهایی فریب بخورند که برای گوش انسان عادی و بی‌خطر به نظر می‌رسند. در این روش، دستور مخرب داخل یک فایل صوتی پنهان می‌شود؛ نه به شکلی که کاربر متوجه شود، بلکه به شکلی که مدل هوش مصنوعی آن را به‌عنوان «فرمان» تشخیص می‌دهد.
▪️ فرمانی که به گوش نمی‌رسد، اما اجرا می‌شود
این حمله که پژوهشگران آن را «آدیوهایجک» (AudioHijack) نامیده‌اند، می‌تواند در قالب فایل موسیقی، ویدیو، پیام صوتی، فایل جلسه یا حتی صدایی در پس‌زمینه پیاده‌سازی شود. کاربر ممکن است صرفاً از هوش مصنوعی بخواهد فایل صوتی را خلاصه کند یا نسخه متنی آن را بنویسد، اما هوش مصنوعی در همان فایل، دستور دیگری هم دریافت کند؛ مثلاً اینکه دست به جستجوی حساس بزند، لینک مشکوک درون پاسخ‌ها بگنجاند، فایلی را از منبعی ناشناس دانلود کند یا حتی اطلاعات کاربر را برای شخصی دیگر ایمیل کند!
این دستورها لزوماً به گوش انسان قابل تشخیص نیستند. یعنی فایل صوتی می‌تواند کاملاً معمولی به نظر برسد، اما برای مدل هوش مصنوعی حامل فرمان‌های پنهان باشد. به زبان ساده، همان‌طور که در حملات متنی می‌توان با یک دستور مخفی رفتار چت‌بات را تغییر داد، در نسل جدید ابزارهای صوتی هم ممکن است چنین دستوری داخل صدا پنهان شود.
▪️ در آخر؛ فعلاً جای نگرانی نیست!
فعلاً این نوع حمله بیشتر در فضای پژوهشی بررسی شده و لازم نیست از این پس از تمام فایل‌های صوتی بترسیم. اما پیام این پژوهش روشن است: هرچه هوش مصنوعی بیشتر به ابزارهای روزمره، حساب‌های شخصی و سرویس‌های کاری ما وصل شود، امنیت ورودی‌ها هم مهم‌تر می‌شود. صدا هم مثل متن و لینک می‌تواند حامل دستور پنهان باشد؛ حتی وقتی ما چیزی نمی‌شنویم.
#انواع_کلاهبرداری
نوشدارو را در تلگرام دنبال کنید:
Please open Telegram to view this post
VIEW IN TELEGRAM
🙏3👍2
اگر مدیر وب‌سایت، طراح وب یا توسعه‌دهنده‌ای هستید که سایت خود را با پلتفرم مدیریت محتوای دروپال (Drupal) ساخته‌اید، فردا (۳۰ اردیبهشت) روزی مهم برای مراقبت از امنیت اطلاعات‌تان خواهد بود. سازندگان این پلتفرم هشدار امنیتی مهمی صادر کرده‌اند و قرار است در تاریخ ۳۰ اردیبهشت (۲۰ مِی)، بین ساعات ۲۰:۳۰ تا ۰۰:۳۰ بامداد به وقت ایران، یک به‌روزرسانی امنیتی حیاتی برای برطرف سازی نقصی در هسته سیستم خود منتشر کنند.
ماهیت دقیق این آسیب‌پذیری هنوز فاش نشده تا هکرها نتوانند پیش از انتشار راهکار امنیتی از آن سوءاستفاده کنند. اما حساسیت مشکل به حدی بالاست که تیم دروپال به مدیران سایت‌ها توصیه کرده وقت‌شان را خالی کنند و در ساعت مقرر برای نصب وصله امنیتی آماده باشند! علاوه بر این، وصله‌ی امنیتی حتی برای نسخه‌های قدیمی‌تری که دیگر پشتیبانی رسمی نمی‌شوند هم ارائه خواهد شد.
هرچند ممکن است تنظیمات و پیکربندی همه سایت‌ها تحت‌تاثیر این مشکل قرار نگیرد، اما ضروری است در زمان اعلام‌شده وضعیت سایت‌تان را بررسی کنید تا در صورت نیاز فوراً برای آپدیت اقدام کنید.
#خبر_و_تحلیل
نوشدارو را در تلگرام دنبال کنید:
Please open Telegram to view this post
VIEW IN TELEGRAM
👍4
محققان دانشگاه واشنگتن اخیراً قصد داشتند یک پروژه‌ی تحقیقاتی عجیب در مهدکودک‌ها اجرا کنند. برنامه این بود که مربیان، دوربین‌های کوچکی روی لباس خود نصب کنند و از تمام اتفاقات کلاس، از جمله رفتار و تعامل کودکان خردسال فیلم بگیرند! هدف از این کار هم استفاده از این ویدیوها برای آموزش مدل‌های هوش مصنوعی بود. اما این پروژه با اعتراض و خشم شدید والدین روبه‌رو شد و دانشگاه چاره‌ای جز لغو پروژه خود نداشت!
▪️ داستانی از فریب و بی‌اخلاقی!
یکی از بزرگترین مشکلات این پروژه، نحوه‌ی رضایت گرفتن از والدین بود. محققان از روش «انصراف اجباری» استفاده کرده بودند؛ یعنی اگر شما به‌عنوان پدر یا مادر به‌صورت کتبی مخالفت خود را اعلام نمی‌کردید، فرزندتان به‌طور خودکار وارد این آزمایش و تصویرش ثبت می‌شد.
علاوه بر این، متن رضایت‌نامه‌هایی که به دست والدین رسید هم پر از کلمات مبهم بود. در این فرم‌ها گفته می‌شد که ویدیوها برای بررسی کیفیت تعاملات کلاس استفاده می‌شوند و ممکن است در فضای ابری پردازش شوند. اما هیچ اشاره‌ای نشده بود که دقیقاً کدام مدل‌ها یا کدام شرکت‌های فناوری قرار است به تصویر و صدای کودکان دسترسی داشته باشند.
در واقع پرسش‌های بی‌پاسخ فراوان بود: مثلاً اگر والدین یک کودک رضایت نمی دانند، آیا فقط چهره‌ی او در ویدیو تار می‌شد؟ این کار در عمل چطور انجام می‌شد؟ محققان فقط گفته بودند «تا حد امکان» نام و چهره‌ها را سانسور می‌کنند، اما این یعنی همچنان از کودک خردسال فیلم‌برداری می‌شد و داده‌های او در اختیار شرکت‌های ناشناس قرار می‌گرفت!
این ابهام‌ها باعث ترس و نگرانی والدین شد. همچنین زبان مبهم فرم‌ها باعث شده بود خانواده‌های مهاجری که به زبان انگلیسی تسلط کافی نداشتند، اصلاً متوجه نشوند با چه چیزی موافقت می‌کنند!
▪️ در آخر: خطری بزرگ‌تر در کمین کودکان؟
در نهایت با بالا گرفتن اعتراض‌ها، این پروژه متوقف شد؛ اما یکی دیگر از نشانه‌های این بود که شرکت‌های بزرگ فناوری مانند OpenAI، آنتروپیک و مایکروسافت با صرف هزینه‌های میلیون دلاری در حال نفوذ به دانشگاه‌ها، اتحادیه‌های معلمان و سیستم‌های آموزشی‌اند. آن‌ها برای ساخت مدل‌های تخصصی‌تر به داده‌های واقعی نیاز دارند؛ اما والدین هم می‌توانند با آگاهی، پرسشگری و واکنش به‌موقع، جلوی به خطر افتادن حریم خصوصی فرزندان را بگیرند.
#خبر_و_تحلیل
نوشدارو را در تلگرام دنبال کنید:
Please open Telegram to view this post
VIEW IN TELEGRAM
👍6❤4
طی چند هفته‌ی اخیر در نوشدارو زیاد در این مورد صحبت کرده‌ایم که هکرها اخیراً توسعه‌دهندگان را زیاد هدف می‌گیرند تا به نرم‌افزارهای رسمی و محبوب نفوذ کنند. حالا این موضوع به نرم‌افزار گرافانا هم رسیده است.
گرافانا (Grafana) ابزاری بسیار محبوب و حیاتی در دنیای فناوری است که به برنامه‌نویسان و مدیران سیستم کمک می‌کند داده‌های مختلف سرورها و سیستم‌های خود را پایش کرده و آن‌ها را به‌صورت نمودارهای زنده و قابل‌فهم تماشا کنند.
هکرها، توانسته‌اند با نفوذ به زنجیره تأمین نرم‌افزاری این شرکت (از طریق ابزار واسطه TanStack)، به مخازن گیت‌هاب گرافانا دست پیدا کنند.
بررسی‌های گرافانا نشان می‌دهد که ریشه این نفوذ به یک اشتباه به‌ظاهر کوچک بازمی‌گردد. تیم امنیتی گرافانا پس از شناسایی اولیه حمله، اقدام به تعویض «توکن‌های امنیتی» (کلیدهای دیجیتالی ورود) کرد تا دسترسی هکرها را قطع کند، اما یک توکن در این میان فراموش شد.
هکرها از همین یک درِ بازمانده استفاده کردند و به نفوذ خود ادامه دادند. اگرچه هکرها بعد از سرقت اطلاعات تلاش کردند تا با تهدید به انتشار فایل‌های مسروقه از گرافانا باج‌گیری کنند، این شرکت اعلام کرده که هیچ باجی پرداخت نخواهد کرد.
اگر توسعه‌دهنده هستید یا سازمان شما از این ابزار استفاده می‌کند، باید هشیار باشید. نشت اطلاعات تماس و ایمیل‌های تجاری به این معنی است که احتمالاً هکرها در روزهای آینده تلاش خواهند کرد با کمپین‌های فیشینگ هدفمند (ارسال ایمیل‌های جعلی اما بسیار شبیه به واقعیت به نام گرافانا) به اهداف بعدی خود آسیب برسانند.
بررسی مجدد دسترسی‌ها و هشیاری در مواجهه با ایمیل‌های مشکوک، اولین سد دفاعی شما در برابر این موج جدید خواهد بود.
این هشدار را برای همکاران فنی و توسعه‌دهنده خود بفرستید تا مراقب زنجیره امنیت‌شان باشند.
#خبر_و_تحلیل
نوشدارو را در تلگرام دنبال کنید:
Please open Telegram to view this post
VIEW IN TELEGRAM
👍4
تا همین یک سال پیش، تشخیص عکسی که با هوش مصنوعی ساخته شده بود کار راحتی بود؛ مثلاً دست‌ها شش تا انگشت داشتند یا پس‌زمینه بیش از حد غیرطبیعی به نظر می‌رسید. اما امروز هوش مصنوعی آن‌قدر پیشرفت کرده که برخی تصاویرش حتی به چشم تیزبین‌ترین افراد هم به سختی قابل تشخیص‌اند. همین باعث شده به هرچیزی که در اینترنت می‌بینیم (از اخبار گرفته تا عکس محصولات در فروشگاه‌های آنلاین) کمتر اعتماد کنیم.
خوشبختانه در کنفرانس اخیر Google I/O، یک قابلیت هیجان‌انگیز به نام AI Content Verification معرفی شد که قرار است اعتماد را به اینترنت بازگرداند. نکته مهم این است که گوگل در این مسیر تنها نیست؛ شرکت‌های بزرگی مثل OpenAI (سازنده چت جی‌پی‌تی) و انویدیا (بزرگترین سازنده تراشه‌های هوش مصنوعی) نیز دست به دست گوگل داده‌اند تا در یک همکاری بزرگ، اصالت‌سنجی تصاویر را ساده‌تر کنند.
▪️ این سیستم چطور کار می‌کند؟
شاید بپرسید گوگل و شرکایش چطور می‌خواهند مچ هوش مصنوعی را بگیرند؟ پاسخ در دو ابزار کلیدی نهفته است که مانند یک تیم دونفره با هم همکاری می‌کنند:
• شناسنامه دیجیتال (C2PA): این استاندارد که توسط ائتلافی از شرکت‌های فناوری (مایکروسافت، ادوبی، اینتل و…) پایه‌گذاری شده، بی‌شباهت به متادیتا نیست و مانند یک سند یا شناسنامه، اطلاعات ریز عکس را همراه خود حمل می‌کند؛ به شما می‌گوید این عکس با چه دوربینی گرفته شده و آیا اصلاً با هوش مصنوعی دستکاری شده است یا خیر. مثلاً اگر عکسی واقعی از حیوان خانگی خود گرفته باشید و بعداً با هوش مصنوعی یک کلاه تولد روی سرش گذاشته باشید، این سیستم به شما می‌گوید که عکس اصلی واقعی بوده، اما بخش‌هایی از آن تغییر کرده است.
• واترمارک یا مهر پنهان (SynthID): مشکل شناسنامه‌های دیجیتال این است که اگر کسی از صفحه اسکرین‌شات بگیرد یا عکس را کپی کند، آن اطلاعات از دست می‌روند. اینجاست که ابزار دوم وارد کار می‌شود. این فناوری گوگل، یک مُهر یا نشان کاملاً نامرئی را در تار و پود عکس، ویدیو یا حتی صدا تزریق می‌کند که با چشم غیرمسلح اصلاً دیده نمی‌شود. این مهر آن‌قدر جان‌سخت است که حتی با اسکرین‌شات گرفتن، برش زدن یا تغییر سایز عکس هم از بین نمی‌رود.
به گفته شرکت OpenAI، این دو سیستم مکمل یکدیگرند. شناسنامه دیجیتال اطلاعات دقیق را ارائه می‌دهد و مهر پنهان هم مامور محافظت از اطلاعات است. به این ترتیب، همینطور که تصاویر در اینترنت دست به دست می‌شوند، اطلاعات‌شان گم نمی‌شود و در دسترس می‌ماند.
▪️ چطور از این قابلیت استفاده کنیم؟
گوگل قصد دارد ابزار قدرتمند Verify AI را به بخش‌های مختلف زندگی روزمره ما، مثلاً جستجوگر گوگل و مرورگر کروم بیاورد. به این ترتیب، به زودی تشخیص هوش مصنوعی به راحتیِ یک راست‌کلیک ساده در مرورگر کروم یا یک جستجوی سریع در گوشی‌های اندرویدی خواهد بود.
علاوه بر این، اگر خواستار بررسی تصاویر در دو هوش مصنوعی گوگل جمنای یا چت جی‌پی‌تی شوید، سیستم به شما گزارش می‌دهد که این فایل از کجا آمده و چقدر دستکاری شده است. جالب است بدانید گوگل تا به امروز بیش از ۱۰۰ میلیارد عکس و ویدیو و بیش از ۶۰ هزار سال محتوای صوتی را به این مهر نامرئی مجهز کرده است!
▪️ در آخر: اهمیت این همکاری بزرگ چیست؟
جذاب‌ترین نکته‌ی این پروژه، همکاری سه شرکتِ غولِ فناوریِ گوگل، OpenAI و انویدیا (در کنار شرکت‌های دیگری مثل ElevenLabs و Kakao) است. این یعنی ابزار تشخیص گوگل، فقط مچ تصاویر ساخته شده توسط جمنای را نمی‌گیرد؛ بلکه تصاویر چت جی‌پی‌تی و چند ابزار هوش مصنوعی دیگر هم به از طریق Verify AI قابل تشخیص خواهند بود.
گرچه این بازیِ موش و گربه بین سازندگان هوش مصنوعی و کسانی که می‌خواهند از آن سوءاستفاده کنند همیشه ادامه خواهد داشت، اما این همکاری و استفاده از فناوری‌های پیشرفته امنیتی، کار را برای جعل‌کنندگان و کلاهبرداران اینترنتی بسیار سخت‌تر از قبل خواهد کرد.
#خبر_و_تحلیل
نوشدارو را در تلگرام دنبال کنید:
Please open Telegram to view this post
VIEW IN TELEGRAM
👍6❤3🔥2
مایکروسافت اعلام کرده که به‌تدریج استفاده از کدهای پیامکی را برای ورود و بازیابی حساب‌های شخصی مایکروسافت کنار می‌گذارد؛ چون به گفته این شرکت، احراز هویت پیامکی حالا به یکی از «منابع اصلی کلاهبرداری» تبدیل شده است. این تغییر قرار نیست در یک تاریخ مشخص و یک‌باره برای همه اجرا شود، اما مسیر کلی روشن است: مایکروسافت می‌خواهد کاربران را به سمت روش‌های بدون رمز عبور، مثل «پَس‌کی» (Passkey) سوق دهد.
اهمیت این تصمیم فقط در حذف یک روش قدیمی نیست؛ کد پیامکی می‌تواند با فیشینگ، سرقت شماره تلفن، یا ربایش سیم‌کارت به دست مهاجم بیفتد. اما تکنولوژی ایمن‌تر Passkey با یک جفت کلید رمزنگاری کار می‌کند: یک بخش روی دستگاه شما می‌ماند و بخش دیگر در سرورهای سرویس ذخیره می‌شود. هنگام ورود، دستگاه با اثر انگشت، تشخیص چهره یا PIN ثابت می‌کند که شما صاحب حساب هستید، بدون اینکه کلید اصلی از دستگاه خارج شود و به دست کسی دیگر بیفتد.
#خبر_و_تحلیل
نوشدارو را در تلگرام دنبال کنید:
Please open Telegram to view this post
VIEW IN TELEGRAM
👍2🙏2
برای خیلی از مشاغل پیش می‌آید که در میانه‌ی یک روز کاری عادی، ناگهان با هشدار به‌روزرسانی فوری برای ابزارها و پلتفرم‌ها روبه‌رو شوند؛ هشدارهایی که پس از کشف یک حفره امنیتی بزرگ صادر می‌شوند و هدف‌شان بستن راه ورود هکرهاست. اما چه می‌شد اگر برنامه‌ها پیش از هک شدن، خودشان را «ترمیم» می‌کردند؟ این ایده‌ای است که گوگل می‌خواهد با ابزار هوش مصنوعی جدید CodeMender عملی کند.
گوگل در رویداد سالانه I/O اعلام کرد که ابزار هوش مصنوعی «کُدمِندِر» (CodeMender) را برای گروه محدودی از متخصصان امنیت سایبری و شرکت‌ها در دسترس قرار می‌دهد. این ابزار، دستیاری هوش مصنوعی برای «تامین امنیت کدهای نرم‌افزاری» است و به برنامه‌نویسان کمک کند رخنه‌های امنیتی را پیش از وقوع فاجعه شناسایی و ترمیم کنند.
▪️ هوش مصنوعی کُدمِندِر چگونه کار می‌کند؟
ابزارهای سنتی کشف باگ مثل یک چراغ‌قوه در انباری تاریک عمل می‌کنند؛ فقط بخشی از مشکل را نشان می‌دهند و رفع خود مشکل هم نیازمند ساعت‌ها کار انسانی است. اما کدمندر مانند یک تیم مهندسی خستگی‌ناپذیر عمل می‌کند. این ابزار از مدل‌های پیشرفته‌ی تفکر عمیق جمنای بهره می‌برد و ۲ وظیفه‌ی اصلی دارد:
• واکنش سریع: به محض شناسایی یک آسیب‌پذیری جدید، فوراً یک وصله‌ی امنیتی (Patch) برای آن می‌نویسد.
• پیشگیری هوشمند: کدهای قدیمی را بازنویسی می‌کند تا از پایه و اساس جلوی بروز انواع خاصی از خطاهای امنیتی را بگیرد.
هوش مصنوعی کدمنِدر تنها در شش ماه گذشته بیش از ۷۲ مشکل امنیتی را در پروژه‌های متن‌باز برطرف کرده است؛ پروژه‌هایی که برخی از آن‌ها بیش از ۴.۵ میلیون خط کد داشته‌اند. برای درک بهتر خوب است بدانید یکی از رخنه‌های خطرناکی که این ابزار رفع کرده، پیش‌تر باعث هک شدن گوشی‌های آیفون شده بود که به امنیت مثال‌زدنی مشهورند.
▪️ رقابت تازه در بازار امنیت هوش مصنوعی
معرفی این ابزار در واقع واکنش سریع گوگل به موفقیت چشمگیر هوش مصنوعی «میتوس» (Mythos) از شرکت آنتروپیک است؛ مدلی که به دلیل توانایی بالا در کشف رخنه‌های امنیتی در سیستم‌های حساس، توجه بسیاری از بانک‌های بزرگ و نهادهای دولتی را به خود جلب کرد.
«سوندار پیچای»، مدیرعامل گوگل، می‌گوید که موفقیت میتوس نشان داد بازار تشنه‌ی مدل‌های بزرگ هوش مصنوعی برای تامین امنیت است و گوگل هم توانایی رقابت قدرتمند را در این عرصه دارد.
▪️ هدف بلندمدت: ایمن‌تر شدن نرم‌افزارهای جهان
گوگل در حال مذاکره با دولت‌ها و شرکت‌های بزرگ است تا استفاده از کدمندر را در فرایند بررسی امنیت سیستم‌های نرم‌افزاری فراگیر کند. البته این شرکت فعلاً رویکردی محتاطانه در پیش گرفته و تمام تغییراتی که هوش مصنوعی پیشنهاد می‌دهد، پیش از اعمال نهایی توسط متخصصان انسانی بررسی می‌شوند تا از بروز خطاهای ناخواسته جلوگیری کنند.
با ورود هوش مصنوعی به عرصه‌ی ترمیم خودکار نرم‌افزارها، به نظر می‌رسد در آستانه‌ی تحولی بزرگ در امنیت دنیای دیجیتال هستیم. پرسش اصلی اینجاست؛ آیا هوش مصنوعی می‌تواند بدون نظارت انسان، امنیت تمام سیستم‌های حیاتی جهان را به تنهایی تامین کند یا خیر؟ نظر شما چیست؟
#خبر_و_تحلیل
نوشدارو را در تلگرام دنبال کنید:
Please open Telegram to view this post
VIEW IN TELEGRAM
👍6❤1
تا امروز وقتی چیزی را در گوگل جست‌وجو می‌کردید، معمولاً با فهرستی از لینک‌ها روبه‌رو می‌شدید؛ منابع مختلف را می‌خواندید و در نهایت خودتان تصمیم می‌گرفتید کدام پاسخ معتبرتر است. این تجربه آشنا حالا در آستانه تغییری بزرگ قرار گرفته است.
حالا گوگل در رویداد پریشب اعلام کرد که می‌خواهد جست‌وجو را به سمت پاسخهای تولیدشده توسط هوش مصنوعی ببرد؛ همان رویکردی که با قابلیت «AI Overviews» آغاز شده بود. این ویژگی به ظاهر باعث صرفه‌جویی در وقت می‌شود، اما بی‌خطا نیست. در برخی بررسی‌های مستقل، حدود ۱۰ درصد پاسخهای AI Overviews نادرست گزارش شده‌اند؛ بنابراین نباید پاسخ تولیدشده توسط هوش مصنوعی را جایگزین بررسی منبع اصلی دانست.
▪️ انحصار اطلاعات پشت دیوارهای گوگل
با جذاب‌تر شدن پاسخهای آماده هوش مصنوعی، یک نگرانی جدی هم شکل می‌گیرد: کاربر ممکن است کمتر به منبع اصلی سر بزند و بیشتر به خلاصه‌ای اعتماد کند که توسط یک پلتفرم ساخته و چیده شده است.
منتقدان می‌گویند اگر پاسخهای هوش مصنوعی بیش از حد جای لینک‌ها را بگیرند، نوشته‌ها، گزارش‌ها و آثار سازندگان محتوا ممکن است کمتر به‌عنوان منبع مستقل دیده شوند و بیشتر به مواد اولیه‌ای برای تولید پاسخهای خلاصه‌شده تبدیل شوند.
پرسش بزرگ‌تر این است: چه کسی تصمیم می‌گیرد کدام پاسخ دیده شود؟ اگر کاربران به‌جای گردش در وب، فقط پاسخهای خلاصه‌شده یک شرکت را ببینند، دسترسی به اطلاعات کاملاً متمرکز می‌شود.
▪️ چگونه اسیر پاسخهای آماده نشویم؟
با وجود این تغییرات باید آگاهانه‌تر با فناوری برخورد کنیم و کنترل اطلاعات دریافتی را به دست یک یا دو اپلیکیشن محدود نسپاریم:
• از جست‌وجو گرهای جایگزین هم استفاده کنید: به یک موتور جست‌وجو وابسته نمانید. ابزارهای دیگری را امتحان کنید که هنوز به نمایش لینک‌های مستقیم و احترام به منابع اصلی پایبند هستند.
• به یک مرورگر محدود نشوید: اگر تمام زندگی دیجیتال شما روی «مرورگر کروم» متمرکز شده است، بد نیست به گزینه‌های مستقل‌تر و امن‌تری فکر کنید که اطلاعات شما را کمتر ردیابی می‌کنند.
• اطلاعات را اعتبارسنجی کنید: پاسخهای تولیدشده توسط هوش مصنوعی را قطعی و بدون نقص ندانید. برای تصمیم‌های مهم مالی، سلامت، حریم خصوصی و امنیتی، حتماً خودتان به سایت‌های معتبر سر بزنید و اطلاعات را مستقیماً از منبع بخوانید.
در دنیایی که غول‌های فناوری می‌خواهند تنها راویِ حقیقت باشند، «پرسشگری»، «تنوع در استفاده از ابزارها» و «بررسی منابع»، مهم‌ترین سلاح شما برای تصمیم‌گیری امن و هوشمندانه است.
#خبر_و_تحلیل
نوشدارو را در تلگرام دنبال کنید:
Please open Telegram to view this post
VIEW IN TELEGRAM
👍5
ایده‌ی استخراج رمزارز در خانه و با وسایل شخصی، برای بسیاری از تازه‌واردان بازار کریپتو جذاب است. خیلی‌ها می‌پرسند آیا می‌شود بدون خرید دستگاه‌های گران‌قیمت و صرفاً با روشن گذاشتن لپ‌تاپ یا گوشی موبایل، درآمد کسب کرد؟ و حداقل روی کاغذ پاسخ ساده به نظر می‌رسد؛ اما استفاده از دستگاه‌های شخصی برای استخراج رمزارز، اشتباهی پرهزینه است که معمولاً به قیمت آسیب دیدن دستگاه و حتی سرقت اطلاعات شخصی تمام می‌شود.
اگر عجله دارید…
• موضوع چیست؟ تبلیغات و برنامه‌هایی که ادعا می‌کنند با روشن گذاشتن گوشی یا لپ‌تاپ می‌توان رمزارز استخراج کرد و پول‌دار شد.
• خطر اصلی چیست؟ درآمد ناچیز، فشار شدید به دستگاه، مصرف برق، استهلاک باتری و احتمال نصب اپلیکیشن‌های مشکوک.
• چه کسی باید نگران باشد؟ کاربرانی که به دنبال کسب درآمد دلاری آسان هستند و برنامه‌های ناشناس روی دستگاه‌های خود نصب می‌کنند.
• چه کاری همین الان بهتر است؟ اگر اپلیکیشن یا رباتی با ادعای استخراج با موبایل نصب کرده‌اید، همین الان آن را پاک کنید.
• چه کاری نباید انجام شود؟ هرگز فریب تبلیغات شبکه‌های اجتماعی که وعده‌ی «درآمد رایگان بدون سخت‌افزار» می‌دهند را نخورید.
#ارزهای_دیجیتال
نوشدارو را در تلگرام دنبال کنید:
Please open Telegram to view this post
VIEW IN TELEGRAM
👍12❤1👌1
تا حالا پیش آمده نرم‌افزاری را برای راحت‌تر شدن کارتان نصب کنید، اما همان برنامه بلای جان سیستم شما شود؟ این همان اتفاقی است که برای بزرگترین پلتفرم میزبان کدهای نرم‌افزاری دنیا یعنی «گیت‌هاب» (GitHub) رخ داده؛ اتفاقی که نشان می‌دهد حتی غول‌های فناوری هم از اشتباهات انسانی در امان نیستند.
▪️ سرقت کدهای گیت‌هاب با یک اشتباه ساده
گیت‌هاب تأیید کرده که به دلیل نصب یک افزونه‌ی آلوده روی ویرایشگر VS Code توسط یکی از کارمندانش، حدود ۳۸۰۰ مخزن کد (Repository) داخلی این شرکت در معرض دسترسی غیرمجاز و استخراج داده قرار گرفته‌اند.
▪️ هکرها به دنبال ۵۰ هزار دلار
گروه هکری TeamPCP با انتشار پستی در انجمن سایبری جرایم رایانه‌ای (Breached) مسئولیت این حمله را بر عهده گرفته است. آن‌ها کدهای سرقت‌شده را حداقل ۵۰ هزار دلار قیمت‌گذاری کرده‌اند. این گروه مدعی تأکید کرده است که قصد باج‌گیری از خود گیت‌هاب را ندارد و اگر خریدار واحدی پیدا نشود، داده‌ها را به صورت رایگان در اینترنت منتشر خواهد کرد.
گیت‌هاب هنوز این حادثه را به گروه مشخصی نسبت نداده، اما گفته عدد اعلام‌شده درباره حدود ۳۸۰۰ مخزن با بررسی فعلی شرکت هم‌خوانی نسبی دارد.
گیت‌هاب همچنین می‌گوید بلافاصله پس از شناسایی مشکل، نسخه مخرب این افزونه را از فروشگاه افزونه‌های VS Code حذف کرده و دستگاه آلوده را از شبکه جدا کرده است. همچنین تیم امنیتی شرکت روند بررسی حادثه را آغاز کرده است.
▪️ افزونه‌ها؛ دروازه‌ی پنهان ورود هکرها
افزونه‌های VS Code برای برنامه‌نویسان بسیار کاربردی‌اند، اما همین محبوبیت آن‌ها را به هدف جذابی برای مهاجمان تبدیل می‌کند. یک افزونه می‌تواند به فایل‌های پروژه، توکن‌ها، تنظیمات گیت، کلیدهای دسترسی یا محیط توسعه کاربر نزدیک شود؛ بنابراین نصب افزونه ناشناس در محیط برنامه‌نویسی، فقط اضافه کردن یک ابزار ساده نیست، بلکه دادن سطحی از اعتماد به کدی است که روی دستگاه اجرا می‌شود.
این اولین بار نیست که فروشگاه افزونه‌های VS Code میزبان برنامه‌های مخرب می‌شود. پیش از این نیز افزونه‌هایی با «بیش از ۹ میلیون نصب» به دلیل سرقت اطلاعات برنامه‌نویسان از این فروشگاه حذف شده بودند. دو افزونه دیگر هم با عنوان «دستیار هوش مصنوعی برای برنامه‌نویسی» با ۱.۵ میلیون نصب اطلاعات توسعه‌دهندگان را به سرورهایی در چین ارسال می‌کردند.
▪️ در آخر
ماجرای گیت‌هاب یادآوری می‌کند که حمله‌های زنجیره تأمین همیشه از مسیرهای پیچیده شروع نمی‌شوند؛ گاهی یک افزونه آلوده روی دستگاه یک کارمند یا توسعه‌دهنده کافی است تا مهاجم به مخازن داخلی، توکن‌ها یا فایل‌های حساس نزدیک شود. برای کاربران عادی شاید این خبر مستقیماً به معنای خطر فوری نباشد، اما برای توسعه‌دهندگان و تیم‌های فنی یک هشدار جدی است: هر افزونه‌ای که در محیط کدنویسی نصب می‌شود، باید مثل یک نرم‌افزار حساس بررسی شود، نه یک ابزار بی‌خطر.
#ابزارها_و_افزونه‌ها
نوشدارو را در تلگرام دنبال کنید:
Please open Telegram to view this post
VIEW IN TELEGRAM
👍4
انویدیا (Nvidia) در یک بولتن امنیتی تازه، برای درایورهای گرافیک خود در ویندوز و لینوکس به‌روزرسانی منتشر کرده است. این به‌روزرسانی ۱۳ آسیب‌پذیری را در درایورهای اصلی کارت‌های گرافیک انویدیا و ۲ آسیب‌پذیری دیگر را در نرم‌افزار «کارت گرافیک مجازی» (vGPU) پوشش می‌دهد؛ آسیب‌پذیری‌هایی که در صورت سوءاستفاده موفق می‌توانند به اجرای کد، ارتقای سطح دسترسی، افشای اطلاعات، دستکاری داده یا از کار افتادن سیستم منجر شوند.
▪️ کدام نسخه درایور را باید نصب کنید؟
اگر روی کامپیوتر یا لپ‌تاپ خود از کارت گرافیک انویدیا استفاده می‌کنید، نسخه درایور را بررسی کنید. این به‌روزرسانی می‌تواند شامل کارت‌های جی‌فورس، RTX، کوادرو، NVS و تسلا شود؛ اما نسخه اصلاح‌شده برای همه محصولات یکسان نیست و به مدل کارت، سیستم‌عامل و شاخه درایور بستگی دارد.
اگر مطمئن نیستید، ساده‌ترین راه این است که مدل کارت گرافیک و سیستم‌عامل خود را در صفحه رسمی دانلود انویدیا وارد کنید و آخرین نسخه سازگار را بگیرید. علاوه بر نصب این به‌روزرسانی، کارشناسان توصیه می‌کنند سپر امنیتی سیستم‌عامل خود (مانند ویندوز دیفندر) را همیشه فعال و به‌روز نگه دارید.
#خبر_و_تحلیل
نوشدارو را در تلگرام دنبال کنید:
Please open Telegram to view this post
VIEW IN TELEGRAM
👍3
یک برنامه‌نویس کنجکاو، در یک آزمایش شخصی و غیررسمی، هوش مصنوعی «کلود» (Claude) را به شبیه‌ساز پرواز X-Plane 12 وصل کرد تا ببیند یک مدل زبانی چطور با هدایت هواپیما کنار می‌آید. این آزمایش پروژه رسمی شرکت Anthropic یا معیار علمی برای سنجش خلبانی هوش مصنوعی نبود؛ بلکه تجربه‌ای بود برای دیدن اینکه کلود می‌تواند ابزار بسازد، از خطاهای خود درس بگیرد و در شرایط لحظه‌ای تصمیم بگیرد یا نه.
کلود با کمک اسکرین‌شات‌های کابین و نوشتن کدهای پایتون، فرمان‌های هواپیما را اجرا می‌کرد. در شروع، توانست هواپیمای «سسنا ۱۷۲» را از روی باند بلند کند؛ اما وقتی سرعت صعود بیش از حد بالا رفت، به جای اصلاح نرم مسیر، فرمان را با شدت به سمت پایین داد. هواپیما شیرجه رفت، تعادلش را از دست داد و چند ثانیه بعد با سر به زمین خورد.
مشکل اصلی این نبود که کلود هیچ تحلیلی از وضعیت نداشت؛ کنترلر اولیه‌اش بیش از حد خشن عمل می‌کرد و تأخیر در دریافت داده‌ها باعث می‌شد واکنش‌هایش دیر و شدید باشند. کلود بعد از سقوط، گزارش عملکرد خودش را خواند، اشتباهاتش را تحلیل کرد و کدهایش را بازنویسی کرد. در تلاش بعدی پرواز پایدارتر شد و حتی گردش به چپ را انجام داد، اما هنگام فرود، چرخه کند دریافت اطلاعات و اجرای فرمان دوباره دردسرساز شد و هواپیما پیش از رسیدن به باند سقوط کرد.
پس آیا هوش مصنوعی می‌تواند خلبان خوبی باشد؟ فعلاً نه. کلود در این آزمایش نتوانست هواپیما را سالم فرود بیاورد، اما نشان داد که می‌تواند برای یک کار ناشناخته ابزار بسازد، خطاهایش را تحلیل کند و در تلاش بعدی بهتر عمل کند. تا اطلاع ثانوی، بهتر است هوش مصنوعی را کمک‌خلبانی باهوش بدانیم که هنوز در حال آزمون و خطاست، نه جایگزینی برای خلبان یا اتوپایلوت‌های حرفه‌ای.
#خبر_و_تحلیل
نوشدارو را در تلگرام دنبال کنید:
Please open Telegram to view this post
VIEW IN TELEGRAM
👍4👌4❤1
به‌تازگی درباره پیام‌رسان دولتی روسیه، «مکس» (MAX)، ادعاهایی مطرح شده که نگرانی‌های جدی درباره حریم خصوصی کاربران ایجاد کرده است. یک پژوهشگر امنیتی می‌گوید با بررسی فایل نصبی این اپلیکیشن، نشانه‌هایی از قابلیت‌هایی مانند تشخیص فعال بودن VPN، ارسال اطلاعات مخاطبان، پاک‌کردن پیام‌ها و ضبط صدا پیدا کرده است.
سازندگان مکس این ادعاها را رد کرده و بررسی را «جعلی» خوانده‌اند؛ اما گروه حقوق دیجیتال RKS Global می‌گوید بخشی از ادعاهای فنی در کد برنامه تأیید شده و هیچ‌کدام کاملاً بی‌اساس نبوده است. همین کافی است تا این ماجرا را نه فقط به‌عنوان خبر یک پیام‌رسان روسی، بلکه به‌عنوان هشداری درباره خطرهای پنهان نصب هر اپلیکیشن جدی بگیریم.
▪️ چگونه در برابر چنین برنامه‌هایی ایمن بمانیم؟
گاهی به‌دلایل کاری، آموزشی یا اداری ناچاریم از اپلیکیشن‌هایی استفاده کنیم که انتخاب اول ما نیستند یا درباره میزان دسترسی و شفافیت آن‌ها اطمینان کامل نداریم. در چنین شرایطی، چند اصل ساده می‌تواند خطر را کمتر کند:
• از نسخه‌ی تحت وب استفاده کنید: اگر اپلیکیشن نسخه‌ی تحت وب دارد، ترجیحا از آن استفاده کنید چون در این صورت دسترسی‌های بسیار محدود‌تری خواهد داشت.
• مراقب حریم خصوصی‌تان باشید: اگر به یک اپلیکیشن اعتماد کامل ندارید یا رمزنگاری آن شفاف نیست، پیام، عکس، فایل و اطلاعات حساس را داخل آن ردوبدل نکنید.
• دسترسی‌ها را محدود کنید: مخاطبان، میکروفون، دوربین، موقعیت مکانی و فایل‌ها را فقط وقتی فعال کنید که واقعاً لازم است؛ بعد از استفاده هم مجوزهای اضافه را ببندید.
• از منبع معتبر نصب کنید: فایل‌هایی که از کانال‌ها، لینک‌های ناشناس یا سایت‌های متفرقه می‌آیند، می‌توانند دستکاری‌شده باشند.
• وی‌پی‌ان را کافی ندانید: بعضی برنامه‌ها می‌توانند تشخیص دهند دستگاه به VPN وصل است و همین موضوع می‌تواند برای کاربر دردسرساز شود.
• اطلاعات اصلی‌تان را درگیر نکنید: اگر ناچار به استفاده از یک اپ پرریسک هستید، تا حد ممکن با اطلاعات کمتر، دسترسی کمتر و بدون گفت‌وگوی حساس از آن استفاده کنید.
#خبر_و_تحلیل
نوشدارو را در تلگرام دنبال کنید:
Please open Telegram to view this post
VIEW IN TELEGRAM
👍7
یکی از روش‌های معمول برای تشخیص ایمیل جعلی، بررسی آدرس فرستنده است؛ اما در یک نمونه تازه، کلاهبرداران از یک آدرس واقعی و معتبر مایکروسافت برای ارسال ایمیل‌های فیشینگ سوءاستفاده کرده‌اند؛ آدرسی که خود مایکروسافت از آن برای پیام‌هایی مثل کدهای ورود دومرحله‌ای و اطلاعیه‌های حساب کاربری استفاده می‌کند. همین موضوع باعث می‌شود کاربر با دیدن آدرس معتبر، پیام را واقعی تصور کند.
طبق گزارش منتشرشده، این ایمیل‌ها با موضوع‌هایی مثل «فعالیت مشکوک در حساب مایکروسافت» یا «پیام خصوصی جدید» ارسال شده‌اند و داخل آن‌ها لینک‌های اسپم و فیشینگ قرار داشته است.
مایکروسافت تا زمان انتشار گزارش، توضیح عمومی مشخصی درباره سازوکار این سوءاستفاده یا توقف آن ارائه نکرده است.
▪️ چطور فریب ایمیل‌های جعلی را نخوریم؟
در چنین حمله‌هایی، مشکل اصلی این است که یک نشانه‌ی ظاهراً قابل اعتماد، مثل آدرس فرستنده، کاربر را گمراه می‌کند. پس برای تشخیص فیشینگ، نباید فقط به یک نشانه تکیه کنیم؛ باید فرستنده، متن پیام، لینک‌ها و درخواستی را که از ما شده، با هم بررسی کنیم.
• فقط به آدرس فرستنده اعتماد نکنید: آدرس معتبر مهم است، اما کافی نیست؛ متن، لینک‌ها و درخواست‌های داخل ایمیل را هم بررسی کنید.
• لینک‌ها را قبل از کلیک بررسی کنید: پیش از کلیک، نشانگر ماوس خود را روی لینک‌ها نگه دارید تا آدرس اصلی (URL) نمایش داده شود. لینک‌های کوتاه‌شده، آدرس‌های عجیب و دامنه‌هایی که شبیه سایت اصلی ساخته شده‌اند، می‌توانند نشانه فیشینگ باشند.
• به پیام‌های فوری مشکوک شوید: هشدارهایی مثل «حساب شما مسدود می‌شود»، «فعالیت مشکوک» یا «همین حالا تأیید کنید» معمولاً برای عجله انداختن کاربر طراحی می‌شوند.
• به نگارش و ظاهر ایمیل دقت کنید: به ساختار ایمیل با دید انتقادی نگاه کنید. وجود غلط‌های املایی، ایرادات نگارشی در عنوان یا متن ایمیل و همچنین طراحی ضعیفی که با استانداردهای یک شرکت بزرگ (مثل مایکروسافت) هم‌خوانی ندارد، از مهم‌ترین نشانه‌های یک کلاهبرداری است.
• رمز و کد ورود را در صفحه‌های مشکوک وارد نکنید: اگر صفحه‌ای از طریق لینک ایمیل از شما رمز، کد ورود دومرحله‌ای یا اطلاعات بانکی خواست، صفحه را ببندید و از مسیر رسمی وارد حساب شوید.
#خبر_و_تحلیل
نوشدارو را در تلگرام دنبال کنید:
Please open Telegram to view this post
VIEW IN TELEGRAM
👍5
شرکت‌ها مدت‌هاست کارمندان خود را تشویق می‌کنند برای افزایش بهره‌وری، بیشتر از ابزارهای هوش مصنوعی استفاده کنند؛ اما حالا نشانه‌هایی دیده می‌شود که این موج، هزینه‌های سنگینی روی دست همان شرکت‌ها گذاشته است. طبق گزارش‌ها، مایکروسافت در حال لغو بیشتر لایسنس‌های داخلی «کلود کد» (Claude Code) برای مهندسان خود است؛ ابزاری که فقط چند ماه قبل، استفاده از آن را به توسعه‌دهندگان، مدیران محصول و طراحانش توصیه کرده بود.
مشکل اینجاست که این ابزارها خیلی سریع محبوب شدند و استفاده گسترده کارمندان، هزینه‌ها را بالا برد. به همین دلیل مایکروسافت می‌خواهد دسترسی به کلود کد را محدود کند و کارکنانش را به سمت ابزار اختصاصی خودش، «گیت‌هاب کوپایلت سی‌ال‌آی» (GitHub Copilot CLI)، ببرد. این تصمیم البته به معنی قطع همکاری‌های کلان مایکروسافت با آنتروپیک، سازنده کلود، نیست.
مایکروسافت تنها نمونه نیست. مدیر ارشد فناوری اوبر هم گفته این شرکت بودجه ابزارهای برنامه‌نویسی هوش مصنوعی برای سال ۲۰۲۶ را فقط در چهار ماه مصرف کرده است. این اتفاق در حالی رخ می‌دهد که برخی شرکت‌ها تا همین اواخر تیم‌هایی را که بیشتر از هوش مصنوعی استفاده می‌کردند، تشویق می‌کردند. حالا گزارش‌ها نشان می‌دهد اقتصاد استفاده از هوش مصنوعی، مخصوصاً برای جایگزینی یا کمک به نیروی انسانی، ساده‌تر و ارزان‌تر از چیزی نیست که ابتدا تصور می‌شد.
شاید هزینه هر توکن در آینده کمتر شود، اما مصرف توکن‌ها هم با رشد «هوش مصنوعی عامل» (Agentic AI) چندین برابر خواهد شد؛ یعنی ابزارهایی که فقط پاسخ کوتاه نمی‌دهند، بلکه وظایف چندمرحله‌ای و پیچیده انجام می‌دهند. نتیجه این است که حتی با ارزان‌تر شدن هر واحد پردازش، فاکتور نهایی شرکت‌ها می‌تواند سنگین‌تر شود.
#خبر_و_تحلیل
نوشدارو را در تلگرام دنبال کنید:
Please open Telegram to view this post
VIEW IN TELEGRAM
👍6😁5⚡1
سایت فروشگاه پوشاک آنلاین متعلق به «کش پاتل» (Kash Patel)، رئیس اف‌بی‌آی در دولت ترامپ، هک شد و طی روزهای اخیر برای فریب کاربران مک و پخش بدافزار استفاده می‌شد. این وب‌سایت با آدرس BasedApparel.com هدف حمله «کلیک‌فیکس» (ClickFix) قرار گرفته بود؛ روشی که کاربر را وادار می‌کند خودش یک دستور مخرب را در سیستم اجرا کند.
ماجرا از یک صفحه تقلبی شبیه کلادفلر شروع می‌شد که به کاربر پیام «ترافیک وب غیرعادی شناسایی شد» نشان می‌داد. این صفحه از کاربر می‌خواست برنامه ترمینال مک را باز کند و برای کپی شدن شناسه تأیید، روی دکمه Copy بزند؛ اما در واقع به‌جای شناسه، یک کد مخرب طولانی کپی می‌شد.
وقتی کاربر فریب‌خورده آن کد را در ترمینال جای‌گذاری و اجرا می‌کرد، بدافزار در پس‌زمینه دانلود و فعال می‌شد. بررسی‌ها نشان می‌دهد این بدافزار از نوع «سارق اطلاعات» (Infostealer) بوده و برای ربودن رمزهای ذخیره‌شده در مرورگرهایی مثل گوگل کروم و اطلاعات کیف‌پول‌های ارز دیجیتال طراحی شده است.
این حمله یادآوری می‌کند حتی سایت‌های ظاهراً معتبر هم می‌توانند بعد از هک شدن به دام کاربران تبدیل شوند. قانون ساده اما حیاتی این است: هیچ‌وقت کد ناشناس را در ترمینال سیستم‌عامل خود کپی و اجرا نکنید. اگر کاربر مک هستید، به‌روزرسانی سیستم‌عامل را هم جدی بگیرید؛ چون نسخه‌های جدید مک برای اجرای مستقیم دستورهای جای‌گذاری‌شده در ترمینال هشدار امنیتی نشان می‌دهند.
#خبر_و_تحلیل
نوشدارو را در تلگرام دنبال کنید:
Please open Telegram to view this post
VIEW IN TELEGRAM
👍3
دادستان کل ایالت تگزاس از شرکت متا، مالک واتس‌اپ و اینستاگرام، شکایت کرده و مدعی شده واتس‌اپ برخلاف ادعاهایش از سال ۲۰۱۶، واقعاً از رمزنگاری سرتاسری استفاده نمی‌کند. رمزنگاری سرتاسری یعنی پیام در دستگاه فرستنده قفل می‌شود و فقط گیرنده باید امکان خواندن آن را داشته باشد؛ نه متا، نه دولت‌ها و نه هیچ واسطه دیگری.
اما پایه اصلی این شکایت، فعلاً بیشتر بر ادعاها و شنیده‌ها استوار است. سند دادستانی به گزارشی از بلومبرگ و ایمیلی لو رفته اشاره می‌کند که در آن ادعا شده متا می‌تواند پیام‌های کاربران را ببیند. متا در مقابل می‌گوید تنها زمانی پیام‌ها را بررسی می‌کند که خود کاربر، یک پیام را گزارش کند؛ در این حالت، همان پیام برای بررسی به متا ارسال می‌شود.
کارشناسان مستقل امنیت سایبری هم تصویر ساده‌ای از ماجرا ارائه نمی‌کنند. برخی پژوهش‌ها نشان داده‌اند که ادعاهای اصلی واتس‌اپ درباره رمزنگاری تا حد زیادی درست بوده، هرچند درباره ضعف‌ها و حاشیه‌های امنیتی آن هم بحث‌هایی وجود داشته است. از طرف دیگر، بعضی کارشناسان احتمال می‌دهند این شکایت، هم‌زمان با فضای سیاسی آمریکا، بیشتر جنبه تبلیغاتی داشته باشد تا یک افشاگری فنی قطعی.
در نتیجه فعلاً نمی‌توان واتس‌اپ را صرفاً بر اساس این شکایت، ناامن یا دروغگو دانست؛ اما سابقه متا در حوزه حریم خصوصی هم باعث می‌شود بی‌اعتمادی کاربران بی‌دلیل نباشد. تصمیم محتاطانه این است که برای گفت‌وگوهای بسیار حساس، سراغ پیام‌رسان‌های امن‌تر و شفاف‌تر مثل سیگنال بروید و واتس‌اپ را برای همه نوع اطلاعات، انتخاب بی‌ریسک فرض نکنید.
#خبر_و_تحلیل
نوشدارو را در تلگرام دنبال کنید:
Please open Telegram to view this post
VIEW IN TELEGRAM
👍3😁1😱1
تصور کنید ابزار تغییر آی‌پی را روشن کرده‌اید و حتی وارد چت مخفی یا همان سیکرت چت تلگرام شده‌اید؛ تصور همه ما این است که حالا دیگر نباید ردی از پیام‌های خصوصی‌مان باقی بماند… اما یک گزارش فنی جدید ادعا می‌کند ماجرا آنقدرها ساده نیست.
بر اساس گزارش فنی شرکت Symbolic Software که اخیراً منتشر شده، ساختار پروتکل اختصاصی تلگرام (MTProto) به‌گونه‌ای است که شناسه ثابت auth_key_id (شناسه‌ای مشتق‌شده از کلید احراز هویت کاربر) را در ترافیک شبکه آشکار می‌کند. این شناسه (که به گفته پژوهشگران امنیتی حتی با تغییر آی‌پی یا جابه‌جایی بین شبکه‌ها هم ثابت می‌ماند و در گذر زمان هم عوض نمی‌شود) می‌تواند برای ردگیری دستگاه کاربر، مورد استفاده قرار گیرد.
اما آیا این ادعا واقعاً درست است؟ و مهم‌تر از آن، پاسخ تلگرام به این گزارش تا چه اندازه قانع‌کننده بوده؟
#خبر_و_تحلیل
نوشدارو را در تلگرام دنبال کنید:
Please open Telegram to view this post
VIEW IN TELEGRAM
❤7😱3🤯2
شرکت آنتروپیک، سازنده هوش مصنوعی «کلود» (Claude)، در قالب «پروژه گلس‌وینگ» (Glasswing) مدل تازه‌ای به نام «کلود میتوس» (Claude Mythos) را در اختیار شماری از شرکت‌های منتخب گذاشته تا به شکل خودکار، آسیب‌پذیری‌ها و باگ‌های نرم‌افزاری را پیدا کند. حالا اعلام شده که این هوش مصنوعی فقط در یک ماه، بیش از ۱۰ هزار آسیب‌پذیری مهم و بحرانی را در نرم‌افزارهای پرکاربرد شناسایی کرده است.
این خبر از یک طرف امیدوارکننده است، چون بسیاری از ایرادها قبل از سوءاستفاده هکرها پیدا شده‌اند؛ اما از طرف دیگر یک هشدار جدی دارد: سرعت کشف باگ‌ها با هوش مصنوعی از سرعت اصلاح آن‌ها جلو زده است. طبق گزارش آنتروپیک، در پروژه‌های متن‌باز هم بیش از ۲۳ هزار آسیب‌پذیری احتمالی شناسایی شده که بخشی از آن‌ها پس از بررسی انسانی تأیید شده‌اند و دقت مدل در تشخیص باگ‌های واقعی حدود ۹۱ درصد بوده است.
▪️ شناسایی بیش از ۱۰ هزار آسیب‌پذیری در یک ماه
طبق اعلام آنتروپیک، تنها در ماه نخست اجرای این پروژه، بیش از ۱۰ هزار آسیب‌پذیری با شدت بالا یا بحرانی شناسایی شده است. در دنیای نرم‌افزارهای متن‌باز هم ۲۳ هزار و ۱۹ آسیب‌پذیری احتمالی مشخص شده‌اند:
• ۶۲۰۲ مورد از آسیب‌پذیری‌ها ابتدا در «سطح بالا» یا «بحرانی» ارزیابی شده‌اند.
• از این تعداد، ۱,۷۲۶ مورد پس از بررسی انسانی تایید شده‌اند.
• ۱,۰۹۴ مورد واقعاً «سطح بالا» یا «بحرانی» ارزیابی شده‌اند.
• دقت مدل در تشخیص باگ‌های واقعی حدود ۹۱ درصد بوده است.
• شرکت کلادفلر به‌تنهایی ۲,۰۰۰ باگ در سیستم‌هایش پیدا کرده که ۴۰۰ مورد از آن‌ها بحرانی بوده‌اند.
• موزیلا ۲۷۱ آسیب‌پذیری در مرورگر فایرفاکس کشف کرده؛ بیش از ۱۰ برابر آنچه با مدل هوش مصنوعی قبلی پیدا شده بود.
یکی از آسیب‌پذیری‌های مهم مربوط به کتابخانه رمزنگاری wolfSSL بود؛ کتابخانه‌ای که در بسیاری از سرویس‌ها و دستگاه‌ها برای ارتباط امن استفاده می‌شود. سوءاستفاده از چنین نقصی می‌توانست به مهاجم اجازه دهد گواهی جعلی بسازد و خود را به‌جای یک سرویس معتبر، مثل وب‌سایت بانک یا ایمیل، جا بزند. در نمونه‌ای دیگر، یکی از بانک‌های شریک پروژه توانست با کمک میتوس یک حواله جعلی ۱.۵ میلیون دلاری را شناسایی و متوقف کند.
چالش اصلی اینجاست که پیدا کردن باگ آسان‌تر از ترمیم آن شده است. اصلاح هر باگ مهم یا بحرانی به‌طور میانگین حدود ۲ هفته زمان می‌برد و برخی توسعه‌دهندگان متن‌باز حتی از آنتروپیک خواسته‌اند گزارش‌دهی را کندتر کند، چون ظرفیت رسیدگی به این حجم از هشدارها را ندارند. برای کاربران عادی، نتیجه عملی روشن است: سیستم‌عامل، مرورگرها و نرم‌افزارهای خود را به‌روز نگه دارید و برای حساب‌های مهم، ورود دو مرحله‌ای را فعال کنید.
#خبر_و_تحلیل
نوشدارو را در تلگرام دنبال کنید:
Please open Telegram to view this post
VIEW IN TELEGRAM
👍6❤3👏1
استفاده رایگان از هوش مصنوعی «جمنای» (Gemini) تا مدت‌ها تقریباً بی‌دردسر به نظر می‌رسید؛ اما گوگل حالا محدودیت‌های مصرف را واضح‌تر نشان می‌دهد. در تنظیمات جمنای، گزینه‌ای برای نمایش «میزان مصرف» اضافه شده تا کاربر ببیند تا زمان شارژ مجدد حساب، چقدر از ظرفیتش باقی مانده است.
مصرف جمنای تصادفی محاسبه نمی‌شود. هرچه درخواست پیچیده‌تر باشد، قابلیت سنگین‌تری مثل دیپ ریسرچ، کدنویسی، تولید تصویر، ویدیو یا موسیقی استفاده شود، یا گفت‌وگو طولانی‌تر شود، ظرفیت بیشتری مصرف می‌شود. نکته مهم این است که جمنای برای پاسخ به پیام تازه، فقط همان پرامپت را نمی‌خواند؛ بلکه بخش‌های قبلی همان مکالمه را هم دوباره در نظر می‌گیرد.
پس اگر از نسخه رایگان استفاده می‌کنید، بهتر است مصرف را مدیریت کنید: برای موضوعات جدید چت تازه باز کنید، پرامپت‌ها را دقیق‌تر بنویسید، درخواست‌های آزمایشی و بی‌هدف را کمتر کنید و ابزارهای سنگین مثل تولید تصویر یا تحلیل‌های پیچیده را فقط وقتی استفاده کنید که واقعاً لازم است. کاربران طرح‌های پولی ظرفیت بیشتری دارند، اما برای بسیاری از کاربران ایرانی، نسخه رایگان همچنان انتخاب اصلی است.
این محدودیت فقط یک مانع فنی نیست؛ یادآوری می‌کند که هوش مصنوعی یک منبع پردازشی واقعی است، نه یک ابزار بی‌هزینه و بی‌پایان. وقتی کاربر میزان مصرف را می‌بیند، احتمالاً قبل از هر درخواست بیشتر مکث می‌کند و از خود می‌پرسد: آیا واقعاً به این خروجی تازه نیاز دارم یا نتیجه فعلی کافی است؟
#خبر_و_تحلیل
نوشدارو را در تلگرام دنبال کنید:
Please open Telegram to view this post
VIEW IN TELEGRAM
👍5💔3👨💻1