A breach at Thomson Reuters reached appellate courts in twelve US jurisdictions

How confidential AI splits control between data and model owners — and opens new opportunities for both

Các doanh nghiệp muốn áp dụng AI trên dữ liệu nhạy cảm nhưng các nhà xây dựng mô hình không muốn chia sẻ weights. VAST Data triển khai confidential AI để giải quyết vấn đề này bằng cách chia sẻ quyền kiểm soát giữa chủ sở hữu dữ liệu và chủ sở hữu mô hình. Công nghệ này sử dụng Intel SGX và AMD SEV để mã hóa dữ liệu trong quá trình inference, đảm bảo không ai truy cập được thông tin nhạy cảm. Điều này mở ra cơ hội cho cả hai bên: doanh nghiệp có thể tận dụng AI trên dữ liệu quan trọng mà không lo rò rỉ, trong khi các công ty AI vẫn bảo vệ được mô hình của mình.

Bài này giải thích giải pháp Confidential AI giúp doanh nghiệp sử dụng trí tuệ nhân tạo trên dữ liệu nhạy mật mà không cần chia sẻ trọng số mô hình.

Malicious npm packages evade install-script defenses at runtime

Chiến dịch npm với package 'indexed-btree' cho thấy tấn công chuỗi cung ứng đang phát …

A Shai-Hulud npm payload came back 111 days later

Một con Shai-Hulud worm đã ẩn mình trong npm registry suốt 111 ngày rồi bất ngờ tái xuất hiện, qua mặt hoàn toàn hệ thống quét malware. Chiến thuật này khai thác khoảng trống thời gian trong cơ chế giám sát của npm, cho phép mã độc tồn tại lâu dài mà không bị phát hiện. Vụ việc này gây ra rủi ro bảo mật đáng kể cho các dự án phụ thuộc vào các package bị nhiễm. Lập trình viên nên cân nhắc thêm các bước kiểm tra bổ sung như analysis bằng công cụ như npm audit hoặc Snyk để phát hiện hành vi đáng ngờ. Điều này cho thấy giới hạn của hệ thống tự động và nhu cầu cần thiết về nhận thức cộng đồng trong việc bảo vệ ecosystem.

Bài viết này cảnh báo về mối nguy hiểm của các npm payload có khả năng ẩn mình và né qua hệ thống quét độc hại.

I ditched Google Sheets for a self-hosted spreadsheet, and my data finally stopped leaving my network

Bối cảnh là tác giả chuyển từ Google Sheets sang giải pháp spreadsheet tự host để kiểm soát dữ liệu. Nguyên nhân kỹ thuật là Google Sheets yêu cầu kết nối internet và tài khoản cloud, khiến dữ liệu phải ra khỏi mạng nội bộ. Hệ quả là dữ liệu giờ được lưu trữ an toàn bên trong hệ thống tự host, không cần tài khoản cloud phụ. Điều đáng học là các giải pháp tự host như Nextcloud hoặc OnlyOffice cung cấp chức năng spreadsheet tương tự mà vẫn giữ dữ liệu trong mạng. Lập trình viên có cân nhắc đọc bài gốc nếu muốn tìm hiểu chi tiết về việc thiết lập self-hosted spreadsheet solution.

Tự lưu trữ bảng tính giúp bảo vệ dữ liệu cá nhân khỏi bị dịch vụ đám mây thu thập.

Seriously, please stop uploading these files to cloud LLMs (and what to use instead)

Bối cảnh là nhiều lập trình viên thường tải lên các LLM cloud (như OpenAI API) cả các files chứa dữ liệu nhạy cảm mà không nhận thức được rủi ro. Nguyên nhân kỹ thuật là các nhà cung cấp LLM như OpenAI có chính sách lưu trữ dữ liệu đầu vào để cải tiến model và huấn luyện lại, khiến thông tin có thể bị truy xuất lâu sau. Hệ quả là dữ liệu cá nhân, mã nguồn độc quyền hoặc thông tin bí mật công ty có thể bị tiết lộ hoặc sử dụng không kiểm soát. Điều đáng học là bạn nên dùng các local LLM (như Llama 2, Mistral) hoặc self-hosted solution khi làm việc với dữ liệu nhạy cảm, kết hợp với RAG (Retrieval-Augmented Generation) để bảo mật thông tin mà vẫn tận dụng được khả năng xử lý ngôn ngữ tự nhiên.

Bài này giúp lập trình viên hiểu rủi ro bảo mật khi tải file lên LLM đám mây và giải pháp thay thế an toàn hơn.

EU proposes Kids Act banning social media for under-13s and capping teen use at an hour a day

EU đề xuất Kids Act cấm trẻ dưới 13 tuổi sử dụng social media và giới hạn thanh thiếu niên 13-14 tuổi chỉ dùng được một giờ mỗi ngày. Đề xuất này cũng yêu cầu tắt các AI chatbot cho trẻ vị thành niên và phạt vi phạm lên đến 6% doanh thu toàn cầu. Quy định này xuất phát từ lo ngại về tác động tiêu cực của social media đến sức khỏe tâm thần và phát triển nhận thức của trẻ em. Nhiều nền tảng như TikTok và Instagram sẽ phải điều chỉnh chính thức age verification và parental controls để tuân thủ. Lập trình viên nên cân nhắc tìm hiểu kỹ thuật age verification và content moderation mà các công ty sẽ triển khai trong giai đoạn tới.

Luật Kids Act của EU sẽ định hình lại cách trẻ em thanh thiếu niên sử dụng mạng xã hội và công nghệ AI.

Operation RepoGhost: Exposing a Russian-Linked Malware Campaign Hiding in GitHub’s Open-Source Ecosystem

Nghiên cứu CTI của Vedant Bhalgama và Kavin Jindal đã phát hiện một chiến dịch phần mềm độc hại có liên quan tới Nga, được giấu trong hệ sinh thái mã nguồn mở của GitHub. Chiến dịch được đặt tên Operation RepoGhost và sử dụng các kho lưu trữ giả mạo hoặc đã bị xâm nhập để phân tán payload độc hại cho nhà phát triển. Các tệp độc hại thường được nhúng trong các file cấu hình hoặc script bản dựng, khiến chúng khó bị phát hiện bởi các công cụ quét thường dùng. Theo báo cáo, chiến dịch đã ảnh hưởng tới nhiều repository và tạo ra lượng lớn trafic độc hại từ các nguồn này. Bài học chính là cần tăng cường kiểm tra nguồn gốc và tính toàn vẹn của các phụ thuộc mã nguồn mở, đồng thời áp dụng xác thực hai yếu tố và giám sát thay đổi bất thường trong các kho GitHub.

Bài tiết lộ chiến dịch phần mềm độc hại Nga ẩn nấp trong hệ sinh thái mã nguồn mở GitHub giúp lập trình viên nhận diện và phòng thủ các cuộc tấn công tương tự.