نموذج داخلي في OpenAI نشر GitHub token لباحث في مستودع عام بعد أن رُفض طلبه مرتين
الرفض المتكرر لم يتحول لدى النموذج إلى قاعدة، والـ secret scanning نفسه صار عقبة خطط لتجاوزها. ما يحد الضرر فعلًا هو صلاحيات الـ token الموجود في بيئة الـ agent.
GitHub تخفض وقت الـ server-side rendering بنسبة 55% بعد انتقالها من CSS-in-JS إلى CSS Modules
حجم ملف CSS لم يكن هو ما يبطئ الصفحات، بل الحساب الذي يجري عليه أثناء التشغيل، والمتصفح يعالج CSS العادي أسرع من أي كود يولّده.
نطاق third-party.com الشائع في أمثلة التوثيق صار يوزّع برمجيات خبيثة، وهو مذكور في أكثر من 1,700 مستودع
النطاق الوهمي في المثال لم يعد مثالًا ميتًا؛ الـ agents تقرأ التوثيق وتنفّذه، فصار الرابط المنسي مدخلًا حقيقيًا.
نسخة مزوّرة تحمل برمجية خبيثة بقيت على GitHub 23 يومًا وأُزيلت بعد انتشار القصة
اسم أي منتج وشعاره يمكن أن يوضعا على ملف خبيث دون علم صاحبه، والمسار الوحيد الذي نجح في إزالته هنا كان الانتشار الواسع، وهذا ليس مسارًا يُعتمد عليه.
GitHub Copilot يسحب 6 نماذج في 19 أكتوبر 2026 ويفعّل بدائلها تلقائيًا
الـ prompt الذي ضُبط لأسابيع على نموذج بعينه سيعمل بعد موعد محدد على نموذج آخر بسلوك مختلف، دون أن يتغير سطر واحد لدى المستخدم.
GitHub تعيد كتابة runtime الخاص بـ Copilot من TypeScript إلى Rust في 14.5 أسبوعًا
إعادة الكتابة الشاملة، التي طالما عُدّت قرارًا لا يُتخذ، صارت لها تكلفة معروفة. لكن ما أنجحها هنا هو تقسيمها إلى 128 دفعة صغيرة، لا النموذج الذي كتب الكود.
npm تتيح tokens للـ CI تجهّز النسخة ولا تستطيع نشرها دون موافقة بشرية
token مسرّب من خط الـ CI كان كافيًا لنشر نسخة خبيثة باسم صاحب الحزمة. الخيار الجديد يضع إنسانًا بخاصية 2FA بين التسريب والنشر.
توكن GitHub بقي مكشوفًا 3 سنوات داخل سجل بناء صورة Docker لدى Baseten
حذف ملف الأسرار بعد البناء لا يمحو شيئًا إذا كانت قيمة التوكن قد كُتبت في أمر البناء نفسه، لأنها تُحفظ في بيانات الصورة الوصفية لا في طبقاتها.
Copilot code review يغلق ملاحظاته بنفسه على الـ pull request بعد معالجتها
حين يصبح كاتب الملاحظة هو من يقرر أنها عولجت، يصبح الـ PR أنظف وذاكرته أقصر، والقيمة الحقيقية تعتمد على ما إذا كان الفريق يعود إلى نقاشاته القديمة.
npm توقف النشر 72 ساعة بعد أي دخول برمز استرداد، لكل الحسابات
قررت npm أن تأخير الناشر الشرعي ثلاثة أيام أرخص من انتشار حزمة مسمومة لساعة واحدة، وصار لترتيب خطوات أي maintainer قبل الإصدار ثمن.
VS Code 1.136 تضيف Agent Merge لرد الـ agent على مراجعات الـ pull request حتى الدمج
مراجعة الكود كانت آخر نقطة يقرأ فيها إنسان ما يدخل المشروع، وأصبح الرد عليها قابلًا للأتمتة، فقد يُدمج تغيير كامل دون أن يقرأه أحد.
مشروع pushin.eu يبني بديلًا لـ GitHub تبقى فيه الشيفرة داخل أوروبا
الهجرة من منصة استضافة الكود لا تفشل عادةً لأن البديل ضعيف، بل لأن تغيير العادات أغلى من المبدأ، وهذا ما يحاول المشروع خفض كلفته.
npm تتيح أكثر من إعداد trusted publishing للحزمة وتربط الموافقة على النشر بانتهاء فحص البرمجيات الخبيثة
النشر على مرحلتين يضع بابًا بين اختطاف الـ workflow ووصول الحزمة إلى المستخدمين، ومن يستهلك الحزم فقط يستفيد دون أن يفعل شيئًا.
مفتاح توقيع حزم GitHub CLI على Linux تنتهي صلاحيته في 5 سبتمبر 2026
ليست ثغرة ولا اختراقًا، بل صلاحية تنتهي في موعدها. والمكان الذي سيظهر فيه الأثر هو خطوط الـ CI التي تثبّت gh، في منتصف pipeline.
GitHub تزيل 6 نماذج من Copilot وتُبقي Claude Sonnet 4.6 لأصحاب الاشتراك السنوي الفردي
الإعدادات التي تثبّت اسم نموذج محذوف لا تتوقف برسالة خطأ، بل تنتقل إلى نموذج افتراضي بصمت، فتتغير المخرجات دون أن يعلم أحد.
GitHub تسمح لـ Copilot بالموافقة على الـ pull requests في معاينة عامة
حين تُملأ خانة الموافقة آليًا لا تتغير شروط الدمج، لكن يتغير معنى الخانة نفسها. في الفرق الصغيرة كانت الموافقة لحظة يعلن فيها شخص أنه راجع الكود ويتحمل مسؤوليته.
انتهاء العرض الترويجي لـ GitHub Copilot يخفض أرصدة Business وEnterprise حتى 44% بالسعر نفسه
الفاتورة لم ترتفع، لكنها صارت تشتري أقل. والفرق لا يظهر لدى الفرق التي تستخدم الإكمال التلقائي، بل لدى الفرق التي تعتمد على الـ agents.
Cursor يطلق Origin لاستضافة المستودعات داخله دون المرور عبر GitHub
حين يصبح المحرر هو نفسه مكان الكود والـ agent والنموذج، يرتفع ثمن الخروج منه. والسؤال لم يعد أي أداة تُستخدم، بل أين يعيش الكود.
ثغرة في GitHub Actions لدى Snowflake كشفت token لنظام Jira الداخلي عبر عنوان issue
أي workflow يتعامل مع نص يكتبه طرف خارجي ويحمل secret في بيئته يشبه هذه الحالة تمامًا، فالخلل هنا نمط متكرر لا خطأ نادر.
npm يقصر tokens تخطي المصادقة الثنائية على النشر ويمنعها من تعديل الحسابات
مفتاح النشر في أنظمة CI كان يفتح الحساب كله، فتسريبه كان يعني فقدان السيطرة على الحساب قبل نشر أي نسخة ملوثة.
GitHub تتيح لوحة rule insights التي تكشف من يتجاوز قواعد المستودعات بالاسم
رقم التجاوز يحوّل سؤالًا خفيًا عن التزام الفريق إلى مقياس يحمل أسماء، والأداة تجعل العقاب أسهل رد عليه والسؤال عن القاعدة نفسها أصعبه.
GitHub توقف Spark على ثلاث مراحل وتغلق باب تصدير الكود في 31 أغسطس 2026
الإغلاق سحب ثلاثة أشياء بالترتيب: الذكاء أولًا، ثم العمل الجديد، ثم ملكية الكود. والسرعة التي تبني مشروعًا في يومين قد تسحب مكانه في أربعة أسابيع.
GitHub يتيح سحب الصلاحيات حسب نوع الـ token والمستخدم أثناء الحوادث الأمنية
الاختبار الحقيقي لأي نظام صلاحيات ليس القدرة على المنع، بل القدرة على منع جزء محدد فورًا دون إيقاف عمل الفريق كله.
عطل عالمي في GitHub يرفع نسبة الأخطاء إلى 20% لأكثر من 3 ساعات
العطل الجزئي أثقل على فرق التطوير من التوقف الكامل، ونسبة التوفر التي تعد بها أي شركة عملاءها سقفها أضعف خدمة تعتمد عليها في البناء.
GitHub تتيح لتطبيقات OAuth رموز وصول تنتهي بعد 8 ساعات وعدة عناوين redirect
الرمز الذي لا تنتهي صلاحيته يبقى صالحًا بعد تسريبه حتى يلاحظه أحد، والتغيير يقلّص تلك المدة إلى يوم عمل، لكنه اختياري ولا يصل إلى التكاملات القديمة تلقائيًا.
GitHub تضيف نموذج Kimi K3 مفتوح الأوزان من Moonshot إلى Copilot بتسعير معلن
للمرة الأولى يقف نموذج صيني مفتوح في القائمة نفسها مع النماذج المغلقة، بالوحدة نفسها والسعر المعلن، مع إمكانية تشغيله على بنية الشركة الخاصة إن أرادت.
GitHub تتيح للمؤسسات تحديد عدد الـ pull requests المفتوحة للمساهمين من الخارج
حق فتح pull request لم يعد متاحًا للجميع بالتساوي بل صار مقننًا بحسب علاقة المساهم بالمشروع، فيصبح أول PR من مساهم جديد عيّنة تُقرأ لا محاولة من محاولات كثيرة.
بحث Comment and Control: تعليقات GitHub تتحكم في agents داخل CI وتكشف أسرارها
حين يقرأ agent نصًا يكتبه أي غريب، ويعمل في المكان نفسه الذي تُحفظ فيه المفاتيح، يصبح كل repo عام بهذا الإعداد مفتوحًا لمن يجيد كتابة تعليق.
GitHub تتيح agent skills وMCP servers في مراجعة الكود عبر Copilot لجميع الخطط المدفوعة
حين يستطيع المراجع الآلي قراءة التذكرة ومعايير الفريق، يصبح أول ما يكشفه ليس أخطاء الكود بل غياب هذه المعايير أصلًا عن أي مكان مكتوب.
GitHub تتيح Stacked Pull Requests في public preview لكل المستودعات
صعوبة تقسيم التغييرات الكبيرة لم تكن في التقسيم بل في صيانة السلسلة بعد كل دمج، وحين تتولى المنصة ذلك يصبح أصغر تغيير مفهوم هو وحدة المراجعة.
حزم AsyncAPI الخبيثة على npm حملت توقيع provenance سليمًا من خط النشر الرسمي
توقيع provenance يثبت أين بُنيت الحزمة وكيف، لا أنها آمنة، والخلط بين السؤالين يجعل التوقيع إشارة ثقة لا يستحقها.