Access Control Vulnerabilities: Unprotected Admin Functionality with Unpredictable URL

Teleport4 Hot5 min9 d agoAI

We Had 13 Engineers Spend Three Months Finding Vulnerabilities with LLMs

Bối cảnh: đội ngũ 13 kỹ sư đã dành ba tháng để áp dụng các mô hình LLM tiên tiến vào việc quét mã nguồn nhằm tìm lỗ hổng bảo mật. Nguyên nhân kỹ thuật: họ sử dụng các LLM frontier như GPT‑4‑Turbo và Claude‑2 để tạo các test case tự động, phân tích dữ liệu flow và đề xuất các patch tiềm năng. Hệ quả: qua quá trình này nhóm đã phát hiện hơn 1.200 vấn đề bảo mật, trong đó 85% được xác nhận là lỗi thực và đã được vá trước khi bản phát hành chính thức. Điều đáng học: mặc dù LLM có thể tăng tốc độ phát hiện lỗi gấp khoảng 4‑5 lần so với phương pháp thủ công truyền thống, nhưng vẫn cần sự Review của con người để loại bỏ false positive và xác định mức độ nguy hiểm thực. Bài học chính là kết hợp LLM vào quy trình “pressure washing” mã nguồn chỉ hiệu quả khi có ngân sách đủ cho thời gian của kỹ sư và cơ chế xác thực nghiêm ngặt.

Bài viết chia sẻ phương pháp sử dụng mô hình ngôn ngữ tiên tiến để dò lỗ hổng bảo mật trong codebase với hiệu quả cao.

#llm #ai-agent #vulnerability Source

Adventures in Nodeland99 Hot7 min1 mo agoAI

No, We Can't Harden Node.js Against Prototype Pollution

Lỗ hổng prototype pollution không phải lỗi của Node.js hay thư viện, mà phụ thuộc vào cách ứng dụng ngăn chặn các lỗ hổng bảo mật.

Lập trình viên nên đọc bài này để hiểu cách bảo vệ Node.js khỏi nguy cơ prototype pollution—một lỗ hổng thường bị bỏ qua mà có thể phá hủy tính bảo mật và tính ổn định của ứng dụng.

#javascript #nodejs #appsec Source

Laravel News2 Hot4 min7 d agoAI

Laravel Auditor Audits Your App With Your Own AI Agent

Laravel Auditor cho phép Claude Code, Codex và Cursor thực hiện một quy trình kiểm tra 75 rule kèm read‑only MCP để đánh giá bảo mật, hiệu năng và schema. Kiểm tra này dựa trên các công cụ tự động mà không thay đổi mã nguồn, giúp phát hiện lỗi tiềm ẩn và tối ưu hoá cấu trúc database. Kết quả là việc giảm thiểu lỗi bảo mật, tăng tốc độ chạy ứng dụng và duy trì tính nhất quán của các bảng dữ liệu. Vì vậy, nếu bạn đang cân nhắc tích hợp AI vào quy trình review mã, Laravel Auditor cung cấp một cách thực tiễn để tự động hoá kiểm tra. Điều này cho thấy việc kết hợp công nghệ AI với các quy tắc đã định nghĩa sẵn có thể nâng cao chất lượng và độ tin cậy của dự án Laravel.

Laravel Auditor trang bị cho bạn khả năng tự động kiểm tra ứng dụng với phương pháp luận 75 quy tắc và công cụ AI chuyên sâu để đảm bảo bảo mật, hiệu suất và tính nhất quán.

#ai-agent #php #laravel Source

GitHub Blog1 Hot13 min7 d agoAI

How to evaluate LLMs before production

Bối cảnh: Trước khi đưa LLM vào hệ thống sản xuất để quét mật mã, nhóm cần xác định xem mô hình có đủ khả năng phát hiện chính xác các secret không. Nguyên nhân kỹ thuật: Các LLM thường sinh ra phản hồi không nhất quán, dễ bị lừa bởi prompt và có xu hướng hallucinate, dẫn đến cả false positive và false negative trong việc nhận diện chuỗi khóa, token hoặc mật khẩu. Hệ quả: Nếu không kiểm soát những lỗi này, hệ thống có thể bỏ qua các secret thực sự (gây rò rỉ bảo mật) hoặc tạo ra quá nhiều cảnh báo không đúng (gây cảnh báo mệt mỏi và lãng phí công sức kiểm tra). Điều đáng học: Đánh giá trước khi triển khai nên dựa trên bộ dữ liệu secret thực tế, đo lường precision, recall và latency, đồng thời kiểm tra mô hình đối với các adversarial prompt và thiết lập quy trình giám sát liên tục sau khi đưa vào production. Các bước này giúp giảm rủi ro và tăng độ tin cậy của giải pháp quét secret dựa trên LLM.

Bài viết chia sẻ kinh nghiệm thực tế đánh giá LLMs cho quét dữ liệu bí mật trong môi trường ứng dụng thực tế.

#security #llm #github Source

XDA Developers1 Hot3 min10 d agoAI

I gave Claude Code its own disposable computer, and stopped caring what it installed

Tác giả đã cấp cho Claude Code một máy tính dùng một lần (disposable computer) để chạy các lệnh mà không cần phê duyệt trước. Môi trường này được tạo ra như một ảo máy hoặc container tách biệt hoàn toàn khỏi hệ thống chính, vì vậy bất kỳ thay đổi nào cũng sẽ bị xóa sau khi phiên bản kết thúc. Nhờ cách cô lập này, anh không còn phải xác nhận từng lệnh mà Claude Code thực hiện, từ đó tiết kiệm thời gian và giảm áp lực quyết định. Kết quả là quy trình làm việc với AI trở nên liền mạch hơn, cho phép tập trung vào mục tiêu thay vì các bước thủ tục. Bài học là việc sử dụng tài nguyên tính toán dùng một lần và cô lập có thể làm giảm rủi ro khi tự động hoá các tác vụ do mô hình ngôn ngữ thực hiện.

Bài viết này giúp lập trình viên tiết kiệm thời gian bằng cách tự động hóa phê duyệt lệnh trong quá trình phát triển.

#ai-agent #docker #claude-code Source

Awesome Java Newsletter1 Hot11 min12 d agoAI

Don't Let the AI Find Your Bugs. Let It Judge Them.

Bài viết đề xuất sử dụng AI để đánh giá lỗi bảo mật thay vì tìm kiếm chúng, minh họa qua một phương thức Java bị quét lỗ hổng SQL injection.

Bài viết này giúp lập trình viên hiểu cách sử dụng AI một cách hiệu quả để đánh giá và cải thiện chất lượng code, thay vì chỉ tìm lỗi bề mặt.

#llm #java #sql Source

Snyk1 Hot7 min12 d agoAI

Remediation Agents and Agentic AppSec Explained

Bài viết giải thích cách Snyk's Remediation Agent biến các bản vá backlog thành pull request có thể merge trong livestream từ AI Security Engineers.

Bài viết này giải thích cách Snyk's Remediation Agent tự động hóa việc sửa lỗi bảo mật, giúp lập trình viên tiết kiệm thời gian và nâng cao hiệu suất làm việc.

#security #ai-agents #appsec Source

Node Weekly1 Hot2 min19 d agoAI

Issue #637: Building Node TUIs with HTML and CSS — Node Weekly

Bài viết giới thiệu cách xây dựng Terminal User Interfaces (TUIs) bằng HTML và CSS trong môi trường Node.js. Sử dụng các thư viện như blessed hoặc ink để tạo giao diện dòng lệnh trực quan.

Lập trình viên Node.js nên đọc bài này để khám phá cách xây dựng giao diện người dùng đơn giản nhưng hiệu quả bằng HTML và CSS, giúp tối ưu hóa thời gian phát triển và tương tác trực quan cho ứng dụng của mình.

#nodejs #typescript #cli Source

Access Control Vulnerabilities: Unprotected Admin Functionality with Unpredictable URL

Recommended for you

Bình luận

We Had 13 Engineers Spend Three Months Finding Vulnerabilities with LLMs

No, We Can't Harden Node.js Against Prototype Pollution

Laravel Auditor Audits Your App With Your Own AI Agent

How to evaluate LLMs before production

I gave Claude Code its own disposable computer, and stopped caring what it installed

Don't Let the AI Find Your Bugs. Let It Judge Them.

Remediation Agents and Agentic AppSec Explained

Issue #637: Building Node TUIs with HTML and CSS — Node Weekly

One account, the whole ecosystem

8syncdev.com

Courses

Coding practice

IELTS

ZUS — AI IDE

mind0

AcoLeads