פעם היינו כותבים 7109179 וזה היה נראה כמו ״פרופסור״ בגלל הפונט המרובע.

Little that we knew…
אמריקה ביפנית מיתרגם ל…

המקור פה

#האקר_סטנדרטי ✨

Anthropic השיקה היום את Claude Code Security

זו שכבת אבטחה מעל Claude Code שמטרתה למצוא חולשות בקוד בצורה “חוקרת” ולא רק סריקה מבוססת חתימות.

מה זה אומר בפועל?

• סריקה של ריפוזיטוריז והבנה קונטקסטואלית של הזרימה
• זיהוי לוגיקות פגיעות, לא רק CVEs מוכרים
• הצעת תיקונים ישירות בקוד
• מיועד כרגע ל-Enterprise ו-Maintainers נבחרים (Preview)

הנקודה המעניינת:
זה כבר לא SAST קלאסי. זה ניסיון להכניס “חוקר אפליקטיבי” לתוך ה-Pipeline.

השאלה האמיתית היא לא אם זה ימצא באגים.
השאלה היא האם ארגונים יסכימו לתת למודל להבין את כל ה-Codebase שלהם קצה לקצה.

אנחנו נכנסים לעידן שבו AI לא רק כותב קוד, הוא בודק אותו. ובשביל לבדוק אותו, הוא צריך גישה לכולו.

מצד שני, ראינו איך חולשות קלות לניצול חומקות מתחת לרדאר רק כי ה-AI החליט לכתוב משהו בצורה X.

#האקר_סטנדרטי⚡️

אני אישית שמח ש-Claude התחילו עם ה-remote-control. לא הבנתי את ההפתעה של השוק… זה בדיוק OpenClaw פשוט ברמת אנטרפרייז, מאושר לעבור את כל ההגנות בלי שום השגחה.

נכון, יש את KOI ואפילו את Lasso ואני רואה אנג׳לים/VC רציניים משקיעים בהם.
האם זה מכסה נתח שוק? ודאי שלא. האם השוק זז לאנשהו? לא.

איך אני יודע?
כי אנחנו כרגע, בזמן שאני מטגן שניצלים, מטפלים ב-5 אירועים בו-זמנית, שניים מחכים להתחלה ועוד שניים שהחלטנו לרדת מהם.
אירועים גדולים ומשמעותיים, לא ״הכלב אכל לי את המחברת״.
בחלק מהמתקפות הארגון בכלל תקוע ב-2010. עם טרנד מיקרו השם ירחם…

ממה שאני רואה בשטח, ההתנהגות של הארגונים מוזרה. בכל העולם. גם בישראל אגב.

✨ וזו שאלה אליכם - קפצה לי בראש המילה unfollow סתם משיטוט רנדומלי באיזו רשת חברתית. חשבתי לעצמי - מה גורם לאדם לעשות unfollow ?

אחת הסיבות - אני לא חושף לו עניין על עצמי

נכון? או שאני לא מספיק מעניין.

אפשר גם לקרוא לזה: סתם מגלגל פוסטים/רילים משעממים או ריאקטיבי

האם מגיע לי Unfollow?
חד משמעית כן.

ואז עולה השאלה - איך אנחנו מגיבים למתקפות ושם אני מוצא SOC/MDR/IR ריאקטיבי? כלומר מחכה שידברו איתו. לא דוחף פרואקטיבית.
למה לא עושים להם unfollow?
ושכבר עושים… זה מאוחר מידי.
זה כבר אחרי שהכל קרס ונפל.

השניצלים מוכנים.
מגיש לילדות.
בתיאבון לכל מי שאוכל צהרים
ומחילה למי שטבעוני/צמחוני או דומה.

#האקר_סטנדרטי⚡️

תומאס ממשיך לייצר כלי אנליזה עם AI.
הפרסום האחרון שלו היה Malware Reverse Engineering tool עם UI שממש מסביר את פירוק הבינארי לגורמים.

אפשר לראות אותו בפעולה כאן

#האקר_סטנדרטי⚡️

יאללה דונלד / AI-OmerAdam

עולם ה-AI משתדרג וה-DeepFake עולה רמה. זה לא עומר אדם אבל זה נשמע בדיוק כמוהו.

מודל חדש בשם Sonauto - חינמי לגמרי - מייצר שיר מתוך פרומפט פשוט ובחירה של הזמר האהוב עליכם (כך טוען הפוסט).

הדוגמה בפוסט לא משאירה הרבה מקום לשאלות. הרמה באמת גבוהה. זה נשמע כמו עומר והניואנסים פשוט הזויים.

מה דעתכם?

#האקר_סטנדרטי⚡️

לקריאה בממד 😵‍💫

התקיפה האחרונה נגד GitHub Actions כבר כאן — והכל אוטונומי

בשבוע האחרון הופעל ברשת בוט אוטונומי בשם hackerbot-claw, שתוקף באופן פעיל מערכי CI/CD של GitHub. הבוט לא רק סורק קוד — הוא מנצל תצורות שגויות ב-GitHub Actions כדי להשיג הפעלת קוד מרחוק ורמות גישה גבוהות.

📌 התקיפה בקצרה:
• מדובר בקמפיין שגרתי שנמשך כשבוע נגד מאגרי קוד פומביים.
• הבוט השתמש בחמישה טכניקות שונות לניצול שגיאות בתצורת GitHub Actions.
• לפחות ב-4 מתוך 6 מטרות הוא השיג הרצת קוד מרחוק (RCE).
• הוא גם הצליח לחלץ טוקן GitHub עם הרשאת כתיבה.
• מדובר בפרויקטים פומביים גדולים כולל Microsoft, DataDog ו-פרויקטים של CNCF.

🤖 מה שמיוחד פה השימוש ב-OpenClaw שמבוסס על AI, שמזהה דפוסי תצורה פגיעים ומנצל אותם — ללא התערבות אנושית

ואני חשבתי שביבי בטלויזיה האיראנית זה מרשים

#האקר_סטנדרטי⚡️

קלוד בכותרות…
והפעם - פוסט של חבר אהוב וקולגה, עודד ואנונו

עודד (ועוד חבר מצוות המחקר של צ׳קפוינט) חשף את החולשות CVE-2026-21852,
CVE-2025-59536

הן מאפשרות לפי המחקר:
- הרצת קוד דרך קבצי project
- גניבת API tokens
- הפניית תעבורה לשרת תוקף עוד לפני שהמשתמש מבין מה קורה

בעולם של AI tools למפתחים,
קובץ קונפיגורציה כבר לא רץ כטקסט.
הוא יכול להפוך ל-execution surface.

וכשכלי רץ מקומית עם ההרשאות של המפתח -
זה מספיק כדי לייצר RCE או לשלוף טוקן החוצה.

אנטרופיק אולי תיקנו, אבל זה לא סיפור על Claude בלבד, ולא על OpenClaw/OpenAI או אייג׳נטים.

זה סיפור על הדור החדש של כתיבת קוד ומציאת חולשות.

#האקר_סטנדרטי⚡️

בהמשך לזה.

בין פגישות וטילים, יצרתי לו חבר.
שלא יהיה לו משעמם (לתוקף)

תכירו את anti-hackerbot-claw

התלבטתי אם לקרוא לו standarti או anti.. 😏

שיהיה יום שקט ומלא מרקטינג של צה״ל

#האקר_סטנדרטי⚡️

מציאות מול תיאוריה

אנטרופיק הוציאו מחקר מעולה על מה באמת קורה בשוק וכמה ה-ai מכסה מקצועות קיימים. אין את כל הקשת אבל עדיין אפשר לראות מגמה מאוד מעניינת.

#האקר_סטנדרטי⚡️

$4 מיליון.
8 Zero-Days.
אינסיידר אחד.

הוא לא פרץ לשום מערכת.
הוא לא כתב malware.

הוא כבר היה בפנים.

פיטר וויליאמס, עובד בכיר בחברת הביטחון האמריקאית L3Harris, גנב במשך שלוש שנים 8 zero-days שנבנו עבור ממשלת ארה״ב — ומכר אותם לברוקר רוסי בשם Operation Zero תמורת מיליוני דולרים בקריפטו.

ה-DOJ לא השאיר הרבה מקום לפרשנות:

“Williams betrayed the United States and his employer… imperiling our national security for the sake of personal gain.”

לפי התביעה, הכלים שהוא מכר יכלו לשמש:

“against any manner of victim, civilian or military around the world.”

כלומר -
ריגול.
כופרה.
תקיפות סייבר נגד תשתיות.

לא האקר ממוסקבה.
לא קבוצת APT.

רק עובד אחד עם גישה.

לפעמים האיום הכי מסוכן עובר דרך דלת הכניסה.

#האקר_סטנדרטי⚡️

יש לכם מקבוק?

הפאונדר של Tenable לא מבזבז זמן ובסופ״ש של זמן פנוי מפתח ומשחרר Open-Source דפדפן סנדבוקס להרצה של לינקים זדוניים (ועוד) מעל מקבוק.

מה שאהבתי יותר זה שהוא הפאונדר של Tenable (אלה של Nessus, למי שלא חיבר) שכמובן נסחרים בנאסד״ק… זמן פנוי זה לא מה שהייתי חושב שיש לו, אבל הנה. ה-AI מוציא מאיתנו יצירתיות ופיתרון בעיות הרבה מעבר למה שידענו.

ומה איתכם? מפתחים משהו?

#האקר_סטנדרטי⚡️

אוהבים רוורסינג? גם אני.
במשך הרבה שנים שקדתי על דוקומנטציה של מעבדים וסרטונים ביוטיוב כדי לפצח את הסינית של המחשבים - אסמבלי.

לא יכול להגיד שנהייתי מאסטר, אבל אולי גם לא כיוונתי לשם. רציתי להיות ״ברמת שיחה״ כדי לזהות תבניות חשודות במלוור וזה היה ונצ׳ר כייפי אי שם ב2013-2018.

היום יש לנו את חברינו ה-AI.
מאז שהוא יצא (קצת באזור 2022) פיתחנו בתוך JOES כלי רוורסינג שנקרא AskJoe. בהתחלה עם da-vinci פשוט שמתרגם אופקוד לטקסט קריא ואח״כ ממש סוכן אג׳נטי שאפשר לדבר איתו על כל מה שקורה בתהליך החקירה.

אנחנו בגרסה מס 3 של AskJoe והיא אושרה ב-PR ממש אתמול בלילה.
מהתרגשות שחררתי את זה הבוקר בפוסט אצלנו בעמוד עם ה-repo הפרטי של צ׳רלס (אחד העובדים שכתב את הכלי). תוקן בכל מקרה 😅

זה ממש מגניב, למי שאוהב low level.
מוזמנים להוריד Ghidra ולשים מעליו את AskJoe. יש גם סרטון הדרכה.

#האקר_סטנדרטי⚡️

מה קורה בבועת ההייטק בעת ובעונה אחת

הנה למשל חברת Onyx שמי שיטייל עכשיו בלינקדאין יראה תמונות נוצצות על גיוס 40M$

ומצד שני, נכנסו לתמונה TheMarker עם כתבה נוקבת על היזמים ועל חברה שהייתה ברשות אחד מהם בזמן שהוא היה חייל בצה״ל, ומה קרה לאחר שנסגרה כשמיליונים חולקו לבעלי המניות.

מוסריות, אתיקה, עיתונות, due-diligence ומה שביניהם.

מניסיוני הדל, הקמה של חברה היא דרך מלאה באי-ודאות. עד שלא מקימים אחת לא מבינים כמה אחריות נדרשת וכמה למידה מצטברת במספר תחומים מסביב לשעון. ניהול, משפט, שיווק, פיננסים, ביטוח, מש״א, טכנולוגיה ותשתיות והרשימה עוד ארוכה.

אני אישית מעריך את היזמים של Onyx ופחות נכנס לרכילויות, אבל אם צהל העלים עין במסווה של ״אישור עבודה״ מישהו שם צריך לקחת אחריות.

ו-TheMarker? ישארו TheMarker. זו העבודה שלהם. עיתונות היא תחום אפור שמצד אחד מכה בנקודות רגישות למטרת קריאה ממושכת ומצד שני חומר ששווה להוציא ממנו את העיקר ולזרוק את התפל, כי שם מתחבאת הסיבה האמיתית לכתבה.

שבת שלום,

#האקר_סטנדרטי⚡️

מי עומד מאחורי התקיפה של AppsFlyer?

אין עדיין שיוך מלא.

למי שלא מכיר, AppsFlyer זו חברה ישראלית שנותנת קוד לאתרים כדי למדוד משתמשים. הרבה מאוד אתרים בעולם פשוט טוענים את הקוד שלהם — וסומכים עליו. ואז, לכמה ימים, משהו שם השתנה.

הקוד הזה התחיל לעשות עוד משהו קטן בצד: אם מישהו ניסה לשלוח קריפטו, הכתובת התחלפה בשקט לכתובת של התוקף.

זה לא בדיוק הסטייל APT עם דגלים וכותרות. זה יותר להיכנס באמצע שאף בלי שאף אחד ירגיש.

#האקר_סטנדרטי⚡️

#אוףטופיק - AI משנה את חוקי המשחק

יזם טכנולוגיה מאוסטרליה, Paul Conyngham, גילה שלכלבה שלו יש סרטן אגרסיבי.
אחרי שטיפולים רגילים לא עזרו, הוא השתמש ב-AI, ChatGPT ו-AlphaFold כדי לנתח את ה-DNA של הגידול.
הוא השווה בין DNA בריא ל-DNA של הגידול כדי למצוא את המוטציות.
עם המידע הזה הוא תכנן חיסון mRNA מותאם אישית נגד הסרטן.
מדענים מאוניברסיטת UNSW עזרו לייצר את החיסון במעבדה.
לאחר ההזרקה, הגידול הצטמצם בכ-50% והכלבה התחילה להרגיש הרבה יותר טוב.

החלק הכי מטורף:
זה כנראה החיסון המותאם הראשון מסוגו שנוצר לכלב, וזה נותן הצצה למה שיכול לקרות גם בבני אדם בעתיד.

קריאה מהנה בממ"ד,

#האקר_סטנדרטי⚡

יש לכם אינסטגרם…
שימו לב מה אתם חושפים ב-DM

אינסטגרם הולכת להסיר את ההצפנה מקצה לקצה (E2EE) מהודעות פרטיות (DMs)
החל מ־8 במאי 2026.

רגע — מה זה בכלל E2EE?

זה אומר ש:
• רק אתה והאדם השני יכולים לקרוא את ההודעות
• אפילו אינסטגרם (Meta) לא יכולה לראות אותן

אז מה משתנה בפועל?

אחרי השינוי:

• ההודעות כבר לא יהיו מוצפנות מקצה לקצה

• כלומר — תיאורטית:

• אינסטגרם יכולה לגשת לתוכן📸

• אפשר לבצע יותר ניטור / סריקות / אכיפה 📸

למה הם עושים את זה?

כמה סיבות מרכזיות:

1. כמעט אף אחד לא השתמש בזה
Meta אמרו ש“מעט מאוד משתמשים” הפעילו את זה

2. לחץ רגולטורי מטורף
מדינות וגופים:
• רוצים גישה להודעות (למשל נגד פדופיליה וכו’)
• טוענים שהצפנה “מסתירה פשעים”

3. שינוי אסטרטגי
Meta בעצם אומרת:
👉 אם אתה רוצה פרטיות אמיתית — לך ל־WhatsApp

#האקר_סטנדרטי⚡️

BlackCat שוב בכותרות.
לא בגלל תקיפה — אלא בגלל מה שנחשף עכשיו בבית משפט.

שלושה אנשים הואשמו בקשר לפעילות של BlackCat (ALPHV).

שלושתם — עבדו בחברות Incident Response.

כן.
ניהול מו״מ ותגובה לאירוע,
על מנת *לעזור*

מה עלה מהחקירה?

• ניהלו מו״מ מול קורבנות רנסומוור
• היו עם גישה מלאה לפרטי האירוע
• ובמקביל — העבירו מידע לתוקפים
• עזרו לכוון סכומי כופר
• ולחצו על קורבנות לשלם

זה לא מקרה בודד - זה היה דפוס

לא “האקר מבחוץ”
אלא אנשים שנכנסים דרך הדלת הראשית עם גישה, אמון, והרשאות.

ה־DOJ מדבר על עשרות מיליוני דולרים בכופר.

הסיפור אמנם לא חדש
אבל עכשיו הוא קיבל חותמת רשמית

ה takeaway:

כשאתה מכניס חברת IR
אתה מכניס צד שלישי עם visibility מלאה

מי מדבר עם התוקף
מי מחזיק את המידע
ומי באמת בצד שלך

זה כבר לא רק Incident Response
זה Supply Chain

#האקר_סטנדרטי⚡️

טוב אז הצטרפתי לשיגעון ה-Base44🍊

אחרי שסיימתי את המחקר שלי והגשתי אותו ל-BlackHatUSA (סמנו ❤️) התפניתי לרעיון של זוגתי על אפליקציה שקיבלה Pivot ברגע האחרון ובלב שלם נפרדתי מקצת יותר מ-1,000 שקלים חדשים למאור שלמה יקירנו, כבוד וגאווה לאומית.

עד כה האפליקציה טוענת לבנות backend מלא והתחילה לבנות לי דפים של מוצר. לא אתר, אלא ממש מוצר. לא דוגמה ל-Ux/Ui כמו Figma, אלא ברזלים לגמרי עם API וכל הירקות.

אבטחת מידע? גורנישט.
שומעים, אם לא הייתי מציין שוב ושוב ושוב ושוב לעשות ווישים, דברים פשוטים כמו XSS היו עפים לפרודקשן בלי 👃🏽 פיקוח ו-API היה פתוח לעולם בלי שום טוקן.

מצד שני. 🧘 סבלנות.

ברמת Ui, הוא בונה קלאסי כמו כל מערכת אחרת. בהתחלה זה היה ״וואו!!״, אבל תכלס הציפייה עולה מהר בזמננו ועלה לי בראש שמי שיעשה Base44 שיודע להטמיע אובייקטים של Canva ינצח. ואולי כבר יש… 🤷🏻‍♂️

כל הפרויקטים האלה ועוד אחרים (כמו איזה סקריפט שמחלץ Sales ממיילים ישירות ל-HubSpot), וההגשה ל-BHUSA, ביחד עם כל ההייפ סביב המוצר שאנחנו בונים ב-JOES, עושה לי חשק להרים מחדש - את Virusbay.
הפעם אולי ברמה פי 100 יותר טובה.

אז חלמנו על דרך ליצור Yara אוטומטי ולנצח את VT ע״י הורדות בחינם - ואל תשאלו איזה מדורים עברנו.
מצד שני זה יצר זום עם Florian Roth וחשבון פרימיום של Any.Run ושת״פ מלא עם דניאל מ-Zero2Auto שאח״כ גם עבד שנה בצוות של JOES.
מטורף.
מעניין מה יוליד יום.

עד כאן חברים,

#האקר_סטנדרטי⚡️

אם אתם לא יודעים על זה
עצרו הכל ותכנסו לראות את הוידאו אחרי שקראתם את הפוסט. עשיתי לכם תקציר בוסים בעברית

כולם מדברים על ה־Keynote האחרון של NVIDIA, אבל רגע לפני ההייפ שווה להבין מי עומד שם על הבמה ולמה זה בכלל חשוב. ג’נסן הואנג הוא המנכ״ל והמייסד של NVIDIA, חברה שהתחילה כיצרנית כרטיסי מסך לגיימרים והפכה בעשור האחרון לאחת החברות הכי חשובות בעולם הטכנולוגיה. אם פעם GPU היה בשביל משחקים, היום הוא הלב של כל מערכת בינה מלאכותית — מ־ChatGPT ועד מערכות סייבר, פיננסים ורכב אוטונומי.

ב-Keynote הזה הוא לא בא להשיק עוד מוצר. הוא בא לספר סיפור על איך העולם עומד להיראות. הרעיון המרכזי שהוא דוחף הוא שבינה מלאכותית כבר לא “תוכנה” שאתה מריץ, אלא תשתית. משהו בסיסי כמו חשמל. בדיוק כמו שלא כל חברה מייצרת לעצמה חשמל אלא מתחברת לרשת — בעתיד ארגונים יתחברו ל״מפעלי AI״ שמייצרים אינטליגנציה בקנה מידה עצום.

וזה החלק המעניין באמת: NVIDIA לא רוצה רק למכור שבבים. היא בונה את כל המערכת — מהחומרה, דרך הרשתות שמחברות בין השרתים, ועד התוכנה והכלים שמריצים מודלים וסוכנים. במילים פשוטות, היא לא עוד ספק — היא רוצה להיות התשתית שעליה הכל יושב. כמו שחברות ענן הפכו להיות הבסיס של האינטרנט, הם מכוונים להיות הבסיס של עידן הבינה המלאכותית.

מה עוד השתנה? המעבר ממודלים לסוכנים. במקום לשאול שאלה ולקבל תשובה, מדברים על מערכות שמקבלות מטרה ופועלות לבד לאורך זמן. זה נשמע מוכר למי שחי את התחום, אבל כאן זה מוצג כסטנדרט העתידי — לא פיצ’ר ניסיוני. בנוסף, הוא מדבר על “בינה פיזית” — חיבור בין AI לעולם האמיתי: רובוטים, סימולציות, מערכות שמבינות תנועה, סביבה ופיזיקה. זה כבר לא רק טקסט ותמונות, אלא מערכות שפועלות בעולם.

אז למה זה מרגיש כמו משהו גדול? לא כי הכל חדש. רוב הדברים האלה קיימים כבר כמה שנים. אבל עכשיו הכל מתחבר — יש מספיק כוח חישוב, יש חוויית שימוש נוחה, ויש שחקן אחד שבונה את כל הערימה מקצה לקצה. זה מה שנותן תחושה של שינוי אמיתי.

אם מחפשים את השורה התחתונה: NVIDIA מנסה להפוך ליצרן של “אינטליגנציה” כמו שחברות חשמל מייצרות אנרגיה. ואם הם יצליחו, מי שיבנה מוצרים בעתיד לא ישאל “איך אני בונה AI”, אלא פשוט “לאיזה תשתית אני מתחבר”. וזה כבר שינוי תפיסתי עמוק, לא רק טכנולוגי.

#האקר_סטנדרטי⚡️

לפני כמה ימים ראיינתי עבור לקוח שלי Security Engineer ויצא לנו לדבר עם חיות כמו XSS ו-SQL Injection.
נכנסנו ממש לעובי של החולשות הללו ובאחד המשפטים הוא אמר שהחולשות הללו כבר לא כל כך רלוונטיות היום.

פאוזה: יש מושג חדש שנכנס ושווה להסביר אותו לפני שמזכירים אותו - Blast Radius.
אנשי סייבר/טק אוהבים להגיד את המילה הזו. ככה זה. כל מה שהייפ.
מה המשמעות? לא חדשה - מה חשוף מהרגע שנתגלתה חולשה וכמה עמוק תוקף יכול להגיע.
למשל בקונטקס של AI - הכניסה שלו לשוק הגדילה את ה-Blast Radius.
אתם מוזמנים לדבר על זה בראיונות או כנסים ולהישמע מתוחכמים. על לא דבר.

חזרה ל-SQL Injection שלנו: חברת סייבר (עם סוכן תקיפה) בשם Codewall מצאה (לא כל כך מצוין איך) את הדוקומנטציה של סוכנת AI מאוד ספציפית, פתוחה לאינטרנט (לא הסוכנת, הדוקומנטציה).
הסוכנת שבנדון היא "לילי" - סוכנת AI של חברת מקינזי.
למי שלא מכיר, מקינזי היא הלואי ויטון של עולם הייעוץ העסקי. החברה קיימת איזה 100 שנה ויש לה מעל 40,000 עובדים.
השם לילי, אגב, הוא על שמה של העובדת הראשונה שלהם שגויסה ב-1945. אהבתי.

חברת הסייבר Codewall פירסמה מאמר שבו היא מפרטת איך מתוך 200+ קריאות API נמצאו כמה שלא דרשו אותנטיקציה ומשם הם הצליחו להוכיח פריצה באמצעות סוכן ה-AI שלהם ולנצל SQL Injection לתוך המערכת.
לפי הבלוג הם טוענים שה-AI שלהם הצליח לפרוץ לתוך מסדי הנתונים של החברה דרך סוכנת ה-AI של מקינזי ומשם להוציא כמות מידע עצומה לכאורה.

בשורה התחתונה - חולשות כמו SQL Injection עדיין על המפה וה-Blast Radius שלהן, כפי שאנחנו עדים, רק גדל.

עד כאן,

#האקר_סטנדרטי⚡

יש סיפור מעניין שרץ עכשיו על Trivy, אבל הרבה מפספסים את הנקודה.

בהתחלה זה נראה כמו עוד בלאגן בגיטהאב, מישהו קיבל גישה, מחק דברים, שינה releases. רעש.

ואז, בערך 20 יום אחרי, יוצאת גרסה חדשה (0.69.4). נראית רגילה. עוברת דרך כל הצינורות הרגילים.

אבל פה זה נהיה בעייתי.

הקוד כמעט לא השתנה.
מה שכן השתנה זה איך שבנו אותו.

מישהו היה בתוך ה־pipeline.
עם הרשאות אמיתיות.
והצליח להכניס קוד בזמן build.

עכשיו לשאלה החשובה, מה הנזק?

הכלי הזה רץ בדיוק במקומות הכי רגישים:
ב־CI/CD, בתהליכי build, ובסריקות של קונטיינרים וריפוזיטוריז.

זה אומר גישה פוטנציאלית ל:
- קוד מקור
- secrets (tokens, keys)
- תשתיות ענן ו־registries

כלומר, לא צריך לפרוץ לארגון.
הארגון מריץ את Trivy לבד.

ומי משתמש בזה באמת? לא “כולם” באוויר, אלא שמות גדולים:

שירותי הענן של אמזון (AWS) משלבים אותו בדוגמאות רשמיות וב־workflows סביב ECR
האקוסיסטם של Kubernetes מלא בפרויקטים ו־Helm charts שמשתמשים בו
פלטפורמת GitHub כוללת אלפי pipelines ציבוריים שמריצים אותו אוטומטית
מערכת GitLab משלבת אותו בתבניות של CI עבור סריקות אבטחה
וגם חברות כמו Red Hat ו־Aqua Security מקדמות ומשתמשות בו כחלק מה־stack

וזה עוד לפני אלפי forks פנימיים בתוך חברות SaaS וסטארטאפים.

זה לא עוד כלי קוד פתוח.
זה כלי שיושב באמצע של תהליך ה־build של האינטרנט.

מי שרוצה לקרוא לעומק:
1. https://labs.boostsecurity.io/articles/20-days-later-trivy-compromise-act-ii/

2. https://opensourcemalware.com/repository/https%3A%2F%2Fgithub.com%2Faquasecurity%2Ftrivy%2F

שבת שלום,

#האקר_סטנדרטי⚡️