Bienvenue sur notre blog.

Jason Haddix : Cessez d'avoir peur pentest IA

Jason Haddix explique pourquoi les tests d'intrusion manuels ne suffisent plus, ce qui disparaît en premier, et pourquoi c'est la méthodologie humaine qui fait le succès d'pentest IA

Un paquet Flutter compromis sur pub.dev contient le logiciel malveillant XCSSET

Nous avons détecté le logiciel malveillant XCSSET au sein d'un package Flutter compromis sur pub.dev. Voici une analyse détaillée de la chaîne d'infection, des modules de propagation et du mécanisme de vol de données que nous y avons découverts.

Ne pas enfreindre les SLA : comment corriger les vulnérabilités avant même que le correctif ne soit disponible

Découvrez comment respecter les accords de niveau de service (SLA) en matière de sécurité concernant les vulnérabilités liées aux dépendances grâce aux bibliothèques « Aikido », en déployant des correctifs sécurisés et rétroportés.

MECCHA CHAMELEON ne peut pas échapper au RCE

Nous avons découvert une deuxième vulnérabilité RCE à déclenchement différé dans MECCHA CHAMELEON : une carte personnalisée malveillante pouvait écrire des fichiers n'importe où sur votre système et exécuter du code après un redémarrage. Cette faille a été corrigée dans la version 4.0.0.

La face cachée de la détection dans la chaîne d'approvisionnement

Les règles basées sur des chaînes de caractères ne permettent de détecter que les logiciels malveillants déjà connus. La détection comportementale permet, quant à elle, de repérer les attaques de la chaîne d’approvisionnement.

Aikido Security obtient la certification ISO 42001:2023 pour la gouvernance de l'IA

Aikido lance un service de tests d'intrusion « agentic » pour les applications Android

Aikido réalise désormais des tests d'intrusion autonomes sur les applications Android, à la manière d'un pirate informatique, en couvrant à la fois l'application et son backend au cours d'une seule évaluation, avec des fonctionnalités d'AutoFix et de nouveaux tests intégrées.

Shai-Hulud a été la meilleure chose qui soit arrivée à la sécurité de la chaîne d'approvisionnement

Le programme « npm Trusted Publishing » est resté pratiquement inactif pendant deux ans. Puis, grâce à Shai-Hulud et à 14 autres « attaques de la chaîne d’approvisionnement », son adoption a été multipliée par 3,4. Charlie analyse les données qui se cachent derrière ce phénomène.

Les crates populaires de Rust « arrayref », « append-only-vec » et « internment » ont été compromises lors d'une attaque par chaîne d'approvisionnement

Une attaque par la chaîne d'approvisionnement a compromis deux crates Rust très utilisées, « arrayref » et « append-only-vec », en y injectant une dépendance au package malveillant « proc-macro1 », qui télécharge et exécute une charge utile à distance lors de la compilation.

Encore un RCE à Gogs, mais cette fois-ci, c'est corrigé !

Qu'est-ce que l'ingénierie des harnais d'IA ?

L'ingénierie de « harness » désigne le code qui entoure un modèle d'IA et qui le transforme en agent. Quel est le rôle d'un « harness », pourquoi est-il préférable de choisir un modèle, et comment en créer un ?

Qui était à l'origine de cette attaque ? Peut-être personne.

Trois révélations faites cet été ont mis en évidence des agents d'IA attaquant de véritables organisations sans aucune intervention humaine dans la chaîne. Les procédures d'intervention en cas d'incident ne prévoient pas encore de protocole pour ce type de situation.