I Almost Failed Google OAuth Verification Because I Requested Too Much Access

gitconnected1 Hot6 min1 h agoAI

Your Agent’s Memory Is a Liability: Defending Against Context Poisoning in Persistent AI Systems

Bối cảnh của bài viết là vấn đề context poisoning trong các hệ thống AI persistent như RAG agents và chatbots, nơi kẻ tấn công có thể inject độc hại vào database. Nguyên nhân kỹ thuật là hệ thống lưu trữ các đoạn hội thoại bị nhiễm độc và tái sử dụng chúng trong các phiên sau, với một nghiên cứu chỉ ra 89% RAG agents và 75% chatbots bị ảnh hưởng. Hệ quả là an ninh của AI system bị xâm phạm nghiêm trọng, dữ liệu người dùng có thể bị rò rỉ và tin tặc có thể thao túng phản hồi. Điều đáng học là việc sử dụng các kỹ thuật như memory scrubbing, context isolation và checksum để phát hiện và ngăn chặn các cuộc tấn công context poisoning, đồng thời cần thiết lập các protocol bảo mật tương tự như phần mềm truyền thống.

Bài viết này giúp lập trình viên nhận biết và phòng thủ nguy cơ độc tố ngữ cảnh trong hệ thống AI có trạng thái liên tục.

#security #ai-agent #claude Source

Medium1 Hot10 min8 h agoAI

Security for AI Agents: Prompt Injection Is Only the Beginning

AI agents đang đối mặt với mối đe dọa bảo mật nghiêm trọng khi kỹ thuật prompt injection chỉ là phần nổi của tảng băng chìm. Các agent sản xuất cần triển khai permission boundaries, tool controls, output validation và human checkpoints để ngăn chặn các lạm dụng chức năng. Việc thiếu kiểm soát cho phép kẻ tấn công thao túng các công cụ như code interpreter để thực thi mã độc hại. Các công ty cần thiết kế hệ thống với nhiều lớp bảo vệ, không chỉ dựa vào việc cải thiện model response. Trường hợp thực tế cho thấy ngay cả các model tiên tiến như GPT-4 vẫn có thể khai thác nếu không có biện pháp kiểm soát phù hợp.

Bài viết này giúp lập trình viên hiểu những rủi ro bảo mật nghiêm trọng ngoài tấn công prompt injection mà các tác nhân AI cần được bảo vệ để triển khai an toàn.

#security #ai-agent #prompt-injection Source

Auth01 Hot13 min1 d agoAI

A Developer's Guide to API Access Policies in Auth0

Bối cảnh là hướng dẫn dành cho nhà phát triển về API Access Policies trong Auth0 để bảo mật API M2M. Nguyên nhân kỹ thuật là do Auth0 cung cấp hệ thống client grants, routing và phân biệt giữa truy cập first-party và third-party. Hệ quả là nhà phát triển sẽ được trang bị kiến thức để bảo vệ API hiệu quả. Điều đáng học là cách Auth0 xử lý các chính sách truy cập API cho ứng dụng third-party so với ứng dụng first-party. Bài viết cũng đề cập đến các phương thức xác thực cụ thể như Client Credentials và Authorization Code flow.

Bài hướng dẫn này giúp lập trình viên nắm vững cách bảo mật API bằng Auth0 API Access Policies, quản lý client grants, và phân biệt truy cập ứng dụng đầu tiên với ứng dụng thứ ba.

#security #authentication #authorization Source

freeCodeCamp1 Hot12 min19 h agoAI

How to Connect to HMRC's Making Tax Digital API: A Beginner's Guide

Making Tax Digital (MTD) for Income Tax bắt đầu áp dụng từ ngày 6 tháng 4 năm 2026 tại Anh và đã trở thành bắt buộc với những người tự làm thuế. Để tích hợp với hệ thống này, lập trình viên cần sử dụng HMRC's MTD API cho phép trao đổi dữ liệu thuế điện tử. API này yêu cầu xác thực OAuth 2.0 và tuân thủ cấu trúc dữ liệu JSON cụ thể của HMRC. Việc kết nối đúng chuẩn giúp tránh các vấn đề về tính tuân thủ và đảm bảo dữ liệu thuế được chuyển tiếp an toàn. Bài viết hướng dẫn chi tiết từng bước thiết lập kết nối, từ việc đăng ký client ID đến gửi thử nghiệm đầu tiên.

Bài hướng dẫn này giúp lập trình viên hiểu cách kết nối với Making Tax Digital API HMRC - một yêu cầu bắt buộc cho phần mềm hỗ trợ thuế tại Anh.

#nodejs #typescript #rest-api Source

GitLab1 Hot13 min1 d agoAI

GitLab Critical Patch Release: 19.3.2, 19.2.6, 19.1.8

GitLab vừa phát hành bản vá bảo mật quan trọng phiên bản 19.3.2, 19.2.6 và 19.1.8 cho cả Community Edition và Enterprise Edition. Các bản vá này khắc phục lỗ hổng nghiêm trọng ảnh hưởng đến GitLab CE và EE, không được chi tiết cụ thể trong bài. Người dùng nên cập nhật ngay vì lỗ hổng có thể cho phép kẻ tấn công thực thi mã từ xa hoặc truy cập dữ liệu không được phép. Điều đáng học hỏi là ngay cả các hệ thống như GitLab vẫn thường xuyên phát hiện ra lỗ hổng, cho thấy việc cập nhật bảo mật định kỳ là cần thiết.

Lập trình viên quản lý hệ thống hoặc phát triển ứng dụng trên GitLab nên đọc để cập nhật các sửa lỗi trọng tâm (critical patch) mới nhất, đặc biệt là về bảo mật và tính ổn định cho phiên bản CE/EE hiện tại, tránh rủi ro từ các exploit mới hoặc bug nghiêm trọng ảnh hưởng đến quy trình CI/CD và môi trường sản xuất.

#security #cicd #graphql Source

Fish Food for Thought33 Hot8 min10 d agoAI

Load-Bearing People

Bài viết bắt đầu bằng việc mô tả cách một gói npm tên left-pad, chỉ gồm mười một dòng JavaScript, đã được tác giả xóa khỏi kho lưu trữ công cộng vào tháng 3/2016. Vì hàng nghìn dự án Node.js và các công cụ xây dựng phụ thuộc trực tiếp hoặc gián tiếp vào left-pad để thực hiện hàm padding chuỗi, việc xóa này khiến quá trình cài đặt và biên dịch của nhiều dự án thất bại ngay lập tức. Hậu quả lan rộng đến mức các dịch vụ web lớn như Netflix, PayPal và cả các hệ thống nội bộ của các công ty công nghệ đều gặp lỗi build, dẫn đến sự gián đoạn triển khai và trong một số trường hợp là downtime tạm thời. Bài viết nhấn mạnh rằng nguyên nhân không phải do lỗi phức tạp mà là sự quáмер phụ thuộc vào một gói nhỏ, không có bản sao lưu hoặc phiên bản dự phòng trong hệ thống quản lý phụ thuộc. Kết luận là để tránh tình trạng tương tự, các đội ngũ cần áp dụng chính sách khóa phiên bản, kiểm tra lại cây phụ thuộc và cân nhắc sao chép mã nguồn quan trọng vào nội bộ thay vì tin tưởng hoàn toàn vào gói bên ngoài.

Những dòng code làm sập Internet dạy chúng ta về tầm quan trọng của con người trong cấu trúc nhóm và trách nhiệm cá nhân.

#security #open-source #leadership Source

DevOps.com1 Hot5 min1 d agoAI

Why AI Agents Shouldn’t Guess at Vulnerability Exploitability

Trong lĩnh vực bảo mật AI, các hệ thống hiện tại thường đánh giá tính khai thác lỗ hổng bằng cách đoán mò thay vì theo dõi bằng chứng thực tế. Việc thiếu tính xác định (deterministic) trong các hệ thống AI dẫn đến việc xếp hạng sai lầm về mức độ nguy hiểm của lỗ hổng, gây lãng phí nguồn lực cho đội ngũ bảo mật. Nghiên cứu cho thấy chỉ có 17% các hệ thống AI có khả năng cung cấp bằng chứng xác thực về khả năng khai thác lỗ hổng thay vì chỉ đưa ra dự đoán. Để khắc phục vấn đề này, các công nghệ như deterministic vulnerability assessment và evidence-based exploitability tracking cần được triển khai thay vì các phương pháp dựa trên guesswork.

AI có thể giải thích các phát hiện lỗ hổng, nhưng việc ưu tiên đáng tin cậy đòi hỏi các hệ thống xác định theo dõi khả năng khai thác qua bằng chứng thực tế.

#security #ai-agent #appsec Source

Aikido Security11 Hot10 min7 d agoAI

Dirty Frag (CVE-2026-43284): Linux Root Escalation

Dirty Frag (CVE-2026-43284) cho phép attacker từ quyền low-privilege leo thang lên root trên Linux, bao gồm cả việc thoát container. Lỗ hổng này xuất phát từ race condition trong bộ nhớ kernel khi xử lý system call clone(), cho phép attacker overwrite kernel structures. Hậu quả là attacker có thể nhận được quyền kernel code execution và bypass các cơ chế bảo vệ như SELinux hay AppArmor. Điều đáng học là kernel developers cần thêm validation trong các system call quan trọng và container environments cần chroot() sớm hơn để hạn chế tác động.

Dirty Frag giúp bạn bảo mật hệ thống Linux bằng cách phát hiện và vá lỗ hổng root escalation CVE-2026-43284 trước khi kẻ tấn công khai thác.

#security #linux #kubernetes Source

I Almost Failed Google OAuth Verification Because I Requested Too Much Access

Recommended for you

Bình luận

Your Agent’s Memory Is a Liability: Defending Against Context Poisoning in Persistent AI Systems

Security for AI Agents: Prompt Injection Is Only the Beginning

A Developer's Guide to API Access Policies in Auth0

How to Connect to HMRC's Making Tax Digital API: A Beginner's Guide

GitLab Critical Patch Release: 19.3.2, 19.2.6, 19.1.8

Load-Bearing People

Why AI Agents Shouldn’t Guess at Vulnerability Exploitability

Dirty Frag (CVE-2026-43284): Linux Root Escalation

One account, the whole ecosystem

8syncdev.com

Courses

Coding practice

IELTS

ZUS — AI IDE

mind0

AcoLeads