تطبيق ZuckOff المجاني يرصد نظارات الكاميرا القريبة عبر إشارات Bluetooth التي تبثها
حماية الخصوصية من نظارات التصوير لم تأتِ من قانون أو منصة، بل من إشارة تبثها الأجهزة علنًا بتصميمها، مع حدود واضحة لما يمكن معرفته منها.
تحقيق تقني يرصد كوكي باسم __obi يربط تصفّح مستخدمي ChatGPT خارج الموقع بحساباتهم
السؤال عن الخصوصية لم يعد مقصورًا على ما يُكتب داخل المحادثة، بل امتد إلى المواقع التي يزورها المستخدم بعد إغلاقها، والمتصفح المختار يحدد الفرق.
تحليل RSA-896 إلى عوامله الأولية بمساعدة Claude، ورقم قياسي جديد بعد 16 يومًا من سابقه
لم تُكسر خوارزمية جديدة، لكن كلفة الهجوم انخفضت، وهذا ما يضع مفاتيح RSA-1024 القديمة الباقية في الأنظمة المصرفية والأجهزة المدمجة موضع سؤال.
لم تُنشر أي وثيقة من أرشيف سنودن منذ 29 مايو 2019، والنسخ الموزعة ربما لا تُفتح
أكبر أرشيف تسريبات لم يضع بالمصادرة بل بنسخ احتياطية قد لا يملك حاملوها المفتاح، والنسخة التي لم يُختبر فتحها ليست نسخة احتياطية.
اختراق Gyazo يطال نحو 23.62 مليون حساب و490 مليون سجل بيانات صور
الصورة الخاصة التي يحميها رابط يصعب تخمينه ليست خاصة فعلًا؛ فحين تُسرق قائمة المعرّفات يسقط الحاجز كله، ومعه النص الذي قرأته الخدمة من داخل الصور.
OpenAI تضيف تواريخ انتهاء لمفاتيح API وتتيح تقييد من يحق له إنشاؤها
مفتاح API العادي لا عمر له، فيبقى صالحًا بعد تسريبه أو رحيل صاحبه، والتغيير الجديد لا يطال المفاتيح القديمة، فيظل أقدمها أخطرها وأقلها مراجعة.
npm تتيح tokens للـ CI تجهّز النسخة ولا تستطيع نشرها دون موافقة بشرية
token مسرّب من خط الـ CI كان كافيًا لنشر نسخة خبيثة باسم صاحب الحزمة. الخيار الجديد يضع إنسانًا بخاصية 2FA بين التسريب والنشر.
مقال متداول يرى أن أكبر مخاطر الـ passkeys هو قفل الحساب لا الاختراق
الـ passkey أكثر أمانًا من كلمة المرور في مواجهة التصيّد، لكنها تعيش داخل حساب لدى جهة أخرى، وإذا أُغلق ذلك الحساب آليًا ضاع معه الوصول إلى كل ما يرتبط به.
باحثو Hacktron يصلون من صورة على منتدى OpenAI إلى مستودعها الداخلي عبر ثغرة قديمة في libheif
الثغرة كانت مصلحة في المشروع الأصلي منذ نحو سنة، لكن تصنيف الإصلاح تنظيفًا للكود بلا تنبيه أمني أبقى النسخة المعرضة على الخوادم.
تحليل تقني: أداة ZCode من Z.ai ترفع مساحة العمل كاملة بما فيها مجلد .git إلى خوادم خارجية
الأوزان المفتوحة تحمي المستخدم من مالك النموذج، لكنها لا تحميه من الأداة التي يشغّل بها النموذج، فهي التي ترى الكود.
فريق Rust يحذر من حملة تستهدف أصحاب المكتبات الشهيرة عبر عروض عمل ومكالمات فيديو
الهدف ليس سرقة حساب شخص واحد، بل نشر برمجية خبيثة باسم مطوّر موثوق، فتصل تلقائيًا إلى كل من يعتمد على مكتبته في التحديث التالي.
CrowdSec تكشف تسرب كودها الخاص عبر مكون مخترق من TanStack، بعد أربعة أشهر من الاختراق
توكن بصلاحية قراءة فقط يُعامل عادة على أنه غير خطر، لكن الكود المصدري نفسه قد يكون الخريطة التي تشرح لمن يقرؤه كيف يدخل.
Cloudflare تنشر برخصة MIT الـ skill التي انطلق منها نظامها الداخلي لاكتشاف الثغرات
مرحلة تحقق يحاول فيها agent ثانٍ إثبات خطأ كل ثغرة مرشّحة تعالج المشكلة الفعلية لأدوات التدقيق الآلي: كثرة النتائج الخاطئة التي تدفن الثغرات الحقيقية.
Cline 4.1.18 يغلق ثغرة على Windows كانت تشغّل ملفات تنفيذية مزروعة داخل المستودع
السلوك مصدره Windows نفسه لا أداة بعينها، فكل أداة تفتح مستودعًا وتشغّل أوامر داخله تقف في الموقع ذاته، في وقت أصبح فيه فتح مستودعات غريبة أمرًا يوميًا.
توكن GitHub بقي مكشوفًا 3 سنوات داخل سجل بناء صورة Docker لدى Baseten
حذف ملف الأسرار بعد البناء لا يمحو شيئًا إذا كانت قيمة التوكن قد كُتبت في أمر البناء نفسه، لأنها تُحفظ في بيانات الصورة الوصفية لا في طبقاتها.
Apple تقدّم Reference Image لإثبات أن الصورة التُقطت بكاميرا فعلًا، على iPhone 18 Pro فقط
نقلت Apple نقطة بداية التوثيق من ما بعد التصوير إلى حسّاس الكاميرا نفسه، لكن الإثبات صار مشروطًا بجهاز واحد من شركة واحدة.
باحث يوثّق أن مزوّد CrofAI يمرر الطلبات عبر OpenRouter ويستبدل نماذج أرخص بالمطلوبة
السعر المنخفض لم يكن خصمًا بل نموذجًا مختلفًا، فالجودة التي يختبرها الفريق أثناء التطوير قد لا تكون ما يصل فعلًا إلى العملاء.
ساعة Apple الجديدة تلخّص ما يُقال حولها، وضمانات الخصوصية مصممة لمن يرتديها
كل ضمانات الخصوصية في الميزة موجّهة إلى صاحب الساعة، أما من يجلس أمامه فحمايته الوحيدة هي تصرّف صاحب الجهاز.
موقع Session Context يعرض ما تعرفه صفحة الويب عن زائرها حتى مع إيقاف JavaScript
إيقاف JavaScript لا يوقف ما يرسله المتصفح بنفسه قبل تشغيل أي كود، وفرق المنتجات تجمع من زوارها أكثر مما تقصد في الغالب.
Signal تدمج في نسختها التجريبية لـ Android دعمًا لحسابات دون رقم هاتف مقابل دفعة مالية
حيث يرتبط خط الهاتف بالهوية الوطنية، يصبح التواصل دون رقم هاتف مسألة كود مدمج لا نقاشًا نظريًا، لكن ثمنه دفعة مالية غايتها رفع تكلفة الإساءة.
باحث يكشف أن خيار حظر الاتصالات خارج VPN في Android لا يمنع التسريب كليًا
خيار في الإعدادات يوحي بإغلاق الباب يقلّل التسريب فقط، ومن يعتمد عليه لإخفاء عنوانه الحقيقي يبني على ضمانة لا يقدّمها النظام فعليًا.
LG تنفي أن تلفزيوناتها تسجل الصوت باستمرار، وتؤكد في ردها أنها تفحص الشبكة المنزلية
أهم ما في بيان الشركة ليس ما نفته، بل ما أكّدته عرضًا وما سكتت عنه، وهي طريقة تصلح لقراءة أي رد على اتهامات تمس الخصوصية.
تقرير يكشف رفع أكثر من 2,000 حزمة خبيثة على RubyGems استهدفت خوادم التوثيق
الهجوم لم يستهدف من يثبّت الحزم بل الـ registry نفسه، وكل خطوة في الـ pipeline تقرأ ملفًا من حزمة مرفوعة وتنفذه هي مساحة هجوم كاملة.
تقرير Anthropic: عصابة باعت وصولًا رخيصًا إلى Claude لسرقة بيانات الدخول
الحسابات المشتركة والمفاتيح بنصف السعر منتشرة في المنطقة بسبب صعوبة الدفع ببطاقة أجنبية، وهي بالضبط الحلقة الضعيفة التي يستهدفها المهاجمون، والثمن يدفعه صاحب البيانات.
Wiz: قرابة واحد من كل عشرة خوادم LiteLLM مكشوفة يقبل المفتاح المنشور في التوثيق
الخطر لم يأتِ من إهمال فردي، بل من مفتاح تجريبي في الدليل الرسمي انتقل مع التجربة إلى production، والـ gateway هو المكان الذي تجتمع فيه كل مفاتيح المزودين.
باحث يكشف صفحة ويب تجمّد أجهزة Mac عبر WebGPU، وApple لا تراها مشكلة أمنية
حدود الـ sandbox في المتصفح تتوقف عند الـ GPU، وWebGPU مفعّلة افتراضيًا، فصار بإمكان رابط واحد أن يوقف جهاز العمل حتى إعادة التشغيل.
ثغرة بتقييم 9.4 في DeepSeek Harness سمحت بتعطيل الـ sandbox عن بعد
كل أداة agent تعمل محليًا تفتح واجهة HTTP على الجهاز، وفي هذه الحالة كان وصف الطلب بأنه محلي كلمة يكتبها المرسل نفسه فتُصدَّق.
npm توقف النشر 72 ساعة بعد أي دخول برمز استرداد، لكل الحسابات
قررت npm أن تأخير الناشر الشرعي ثلاثة أيام أرخص من انتشار حزمة مسمومة لساعة واحدة، وصار لترتيب خطوات أي maintainer قبل الإصدار ثمن.
Cognition تحلّل RSA-260 على وحدات GPU بتكلفة تقديرية تقارب 400 ألف دولار
مفاتيح RSA-2048 ما زالت بعيدة عن المتناول، لكن كلفة كسر مفتاح 1024 بت نزلت إلى ميزانية شركة متوسطة، فالخطر يتركّز في المفاتيح القديمة التي ما زالت تعمل.
معيار Credential Exchange يتيح نقل كلمات المرور والـ passkeys بين التطبيقات دون ملف CSV
حين يجعل معيار مفتوح مغادرة المنتج سهلة، تفقد المنتجات التي اعتمدت على صعوبة الخروج ميزتها، وتضطر للمنافسة على القيمة وحدها.