Bienvenue sur notre blog.

Shai-Hulud a été la meilleure chose qui soit arrivée à la sécurité de la chaîne d'approvisionnement

La publication sécurisée npm est restée presque inutilisée pendant deux ans. Puis, Shai-Hulud et 14 autres attaques de la chaîne d’approvisionnement ont multiplié l'adoption par 3,4. Charlie analyse les données sous-jacentes.

Les crates Rust populaires arrayref, append-only-vec et internment compromises lors d'une attaque de la chaîne d'approvisionnement

Une attaque de la chaîne d'approvisionnement a compromis deux crates Rust populaires, arrayref et append-only-vec, en injectant une dépendance vers le paquet malveillant proc-macro1, qui télécharge et exécute une charge utile distante lors de la compilation.

Encore un RCE à Gogs, mais cette fois-ci, c'est corrigé !

Qu'est-ce que l'ingénierie des harnais d'IA ?

Le harness engineering désigne le code qui entoure un modèle d'IA pour le transformer en agent. En quoi cela consiste, pourquoi c'est plus important que le choix du modèle, et comment en construire un.

Qui était à l'origine de cette attaque ? Peut-être personne.

Cet été, trois divulgations ont documenté des agents IA attaquant de véritables organisations sans aucune intervention humaine dans la chaîne. La gestion des incidents n'a pas encore de catégorie pour cela.

Quatre décisions de réponse aux incidents suite à la violation de données de Hugging Face

Reconnaissance, identifiants volés, C2 caché et reconstruction ou correctif. Quatre décisions suite à la violation de Hugging Face qui montrent si vous pouvez détecter une attaque en cours.

Une meilleure détection générique de secrets commence par l'identification des non-secrets

Certaines clés API sont destinées à être publiques. Betterleaks les retire désormais des résultats de détection générique de secrets, réduisant ainsi des milliers de faux positifs par analyse.

Découverte de huit vulnérabilités de haute gravité dans NodeBB en six heures

Huit vulnérabilités de haute gravité dans NodeBB, découvertes par notre AI Pentest en six heures. Analyse technique complète des chaînes de cross-site scripting, des contournements d'authentification et du détournement de posts.

L'injection SQL n'est pas morte

Le correctif pour l'injection SQL a des décennies et fonctionne toujours. Alors pourquoi le cœur de WordPress a-t-il eu besoin d'un correctif d'urgence pour l'une d'elles ? Les données, et comment s'en défendre.

CISO de Tyro : Être l'« Einstein de la cybersécurité » ne suffit pas si les développeurs ne vous font pas confiance

Arun Singh, CISO de Tyro, sur la confiance des développeurs en tant que ressource limitée, et ce qui se passe lorsque les attaques de la chaîne d’approvisionnement forcent les équipes à la dépenser.

RCE non authentifiée dans le cœur de WordPress (wp2shell), via injection SQL

Benchmarking de 13 modèles d'IA sur la redécouverte de CVE connues

Nous avons testé 13 modèles d'IA pour trouver 26 CVE connues. GPT-5.6 a trouvé le plus grand nombre, mais le modèle le plus cher n'était pas la meilleure utilisation du budget.