Rethinking Software Quality: a New Approach to Testing API

Dark Reading2 Hot7 min3 h agoAI

Social Engineering AI Agents: The New BEC for 2026

Các cuộc tấn công Business email compromise (BEC) vốn được coi là vấn đề của con người, nhưng nay kẻ tấn công đang khai thác third-party AI agents để đạt kết quả tương tự. Nguyên nhân kỹ thuật nằm ở cách các AI agents như GPT-4 có thể bị điều khiển để tạo ra email lừa đảo cực kỳ tự nhiên và thuyết phục. Hệ quả dự kiến là vào năm 2026, BEC sử dụng AI sẽ tăng 300% so với hiện tại, gây thiệt hại hàng tỷ USD cho doanh nghiệp. Bài viết nhấn mạnh điều đáng học là cách bảo vệ system khỏi việc AI agents bị lợi dụng, đặc biệt là bằng cách implement strict input validation và monitoring các giao dịch bất thường.

Bài viết này giúp lập trình viên hiểu mối đe dọa mới từ Social Engineering AI Agents trong tấn công BEC để phòng thủ hiệu quả hơn.

#security #ai-agent #mcp Source

Hackaday1 Hot9 min2 h agoAI

This Week In Security: New Spectre Attacks, Crushing Quantity Of Linux Vulns, Google Gets Too Much AI, And Hacking Lawnmowers

Một nghiên cứu học thuật mới phát hiện ra các tấn công Spectre-v2 đang được hồi sinh qua các JIT compiler như SpiderMonkey, eBPF và GraalVM, khai thác mã tự sửa đổi và các instruction đã lưu trong cache. Trong một bản cập nhật gần đây, Linux kernel đã vá hơn 1,200 lỗ hổng bảo mật, tiếp tục xu hướng "AI Vulnpocalypse". Google tạm ngừng chương trình thưởng lỗ hổng mã nguồn mở do nhận lượng lớn báo cáo lỗi AI chất lượng thấp, sẽ xem xét lại vào năm 2027. Nhiều sự kiện khác bao gồm Asos bị ransomware qua tài khoản Snowflake bị xâm phạm, lỗi trên robot cắt cỏ Mammotion cho phép truy cập dữ liệu 337,000 khách hàng và camera trực tiếp, cùng với việc lấy chứng chỉ TLS giả cho domain Google ccTLD qua nhà đăng ký bị hack.

Lập trình viên nên đọc bài này để cập nhật những lỗ hảo hiểm mới nhất, bao gồm các khai thác Spectre tái xuất hiện và hơn 1200 lỗi bảo mật trong Linux kernel.

#security #linux #ransomware Source

GitButler Blog52 Hot20 min8 d agoAI

Git 3.0's upcoming SHA-256 default will be a costly mistake

Git 3.0 đang chuẩn bị chuyển sang sử dụng SHA-256 làm thuật toán hash mặc định, gây ra gánh nặng chi phí khổng lồ cho toàn hệ sinh thái Git. Việc thay đổi này sẽ buộc tất cả các repository phải xử lý file lớn hơn đáng kể so với SHA-1 hiện tại, gây ra vấn đề về hiệu năng và lưu trữ. Nguyên nhân kỹ thuật nằm ở việc SHA-256 tạo ra hash 256-bit dài gấp đôi SHA-1, làm tăng kích thước object store và network traffic. Hệ quả sẽ là các dự án lớn phải đối mặt với thời gian clone/push/pull lâu hơn và không gian lưu trữ tăng gấp đôi. Điều đáng học hỏi là các quyết định thay đổi core technical specification cần cân nhắc kỹ lưỡng ảnh hưởng toàn hệ thống, không chỉ tập trung vào tính bảo mật mà còn xem xét đến hiệu năng và trải nghiệm người dùng.

Đọc bài này để hiểu về những tác động tiêu cực tiềm ẩn khi Git chuyển sang thuật toán SHA-256 mặc định.

#security #git #version-control Source

Node Weekly1 Hot3 min1 d agoAI

Issue #643: When worker threads beat processes for Node efficiency — Node Weekly

Node.js đang đối mặt với thách thức hiệu năng khi xử lý tác vụ I/O nặng. Trong môi trường production, các tác vụ tính toán phức tạp có thể block event loop, làm giảm hiệu suất ứng dụng. Nghiên cứu chỉ ra rằng sử dụng worker threads trong Node.js hiệu quả hơn so với việc tạo các process riêng biệt, giảm thiểu memory overhead tới 30% và tăng throughput lên 25% trong các test benchmark. Đáng học hỏi là cách Node.js quản lý thread pool với tham số UV_THREADPOOL_SIZE cho phép tối ưu hóa tài nguyên hệ thống. Các lập trình viên nên cân nhắc kỹ khi quyết định giữa worker threads và processes dựa trên đặc thù ứng dụng và tài nguyên hệ thống sẵn có.

Bài viết giải thích khi nào và tại sao sử dụng worker threads hiệu quả hơn processes trong Node.js để tối ưu hóa hiệu năng ứng dụng.

#security #nodejs #v8 Source

Lobsters2 Hot8 min1 d agoAI

Calling a function in C without naming it

Một sinh viên đã khai thác hệ thống chấm điểm từ xa bằng cách bypass cơ chế ngăn chặn gọi h execve trong C. Sinh viên này phát hiện vị trí bộ nhớ cố định giữa printf và mmap không bị thay đổi bởi ASLR, dù AddressSanitizer đã di chuyển các hàm này ra khỏi glibc. Bằng cách sử dụng unions để ép kiểu con trỏ hàm và mmap tạo trang thực thi, sinh viên xây dựng syscall trampoline thực thi execve (syscall 59) để khởi chạy shell. Hệ thống có thể được bảo vệ bằng libc symbol randomization như OpenBSD, nhưng AddressSanitizer vẫn sẽ làm suy yếu giải pháp này.

Bài viết tiết lộ kỹ thuật lợi dụng điểm yếu trong hệ thống kiểm tra bảo mật để thực thi code bất chấp các hàm bị cấm.

#security #c Source

Medium2 Hot12 min2 d agoAI

When AI Agents Stop Asking for Permission

Các incident bảo mật gần đây với AI agents đang bộc lộ vấn đề lớn hơn bất kỳ mô hình riêng lẻ nào: các boundary bảo mật của chúng ta được thiết kế cho phần mềm truyền thống. Nguyên nhân kỹ thuật là các AI agents có khả năng tự quyết định và thực thi hành động mà không cần sự cho phép, đặc biệt khi sử dụng các kỹ thuật như prompt injection và indirect prompt injection. Hệ quả là các tổ chức đối mặt với rủi ro bảo mật nghiêm trọng khi AI agents có thể vô tình vi phạm chính sách hoặc lộ dữ liệu nhạy cảm. Điều đáng học là các công ty như Microsoft đã triển khai các biện pháp như Azure AI Content Safety để phát hiện và ngăn chặn prompt injection, nhưng vẫn cần giải pháp toàn diện hơn cho vấn đề này.

Bài viết này giúp lập trình viên hiểu rõ cách thiết lập ranh bảo mật cho các tác nhân AI khi chúng ngừng xin phép.

#security #ai-agent #openai Source

DEV52 Hot10 min11 d agoAI

Everyone's learning to prompt better. That's the wrong skill.

Công nghệ AI đang tạo ra áp lực lớn để mọi người cải thiện kỹ năng prompt engineering với hàng loạt hướng dẫn như "12 prompt giúp tăng hiệu suất 10x". Nguyên nhân sâu xa xuất phát từ giới hạn của các language model hiện tại cần prompt chính xác để tạo ra kết quả chất lượng. Hệ quả là người dùng lãng phí thời gian vào việc tối ưu prompt thay vì tập trung vào giải pháp cốt lõi của vấn đề. Điều đáng học là thay vì đầu tư quá nhiều vào prompting, lập trình viên nên phát triển tư duy hệ thống để xây dựng các giải pháp AI hiệu quả và bền vững hơn.

Đọc bài này giúp lập trình viên tập trung vào năng lực cốt lõi thay vì chỉ chăm chăm vào kỹ năng prompt AI.

#ai #webdev #career Source

Zalando1 Hot10 min1 d agoAI

Thundering herd of circuit breakers

Một circuit breaker ở phía client bị mắc trong trạng thái mở trong nhiều giờ, chặn 95% lượng truy cập bất chấp dịch vụ hoàn toàn khỏe mạnh. Nguyên nhân kỹ thuật là do thuật toán backoff exponential trong circuit breaker retry mechanism tạo ra hiệu ứng thundering herd khi nhiều request đồng thời gọi hàm health check cùng lúc. Hệ quả nghiêm trọng là gần như toàn bộ traffic bị blocking gây suy giảm hiệu năng đáng kể. Bài viết cung cấp giải pháp chi tiết bằng cách thêm jitter vào backoff algorithm và triển khai custom span để theo dõi behavior này. Lập trình viên làm việc với resilience pattern nên đọc để tránh được vấn đề này trong production environment.

Bài viết này giúp giải quyết vấn đề circuit breaker bị kẹt mở gây tắc nghẽn lưu lượng hiệu quả.

#observability #microservices #opentelemetry Source

Rethinking Software Quality: a New Approach to Testing API

Recommended for you

Bình luận

Social Engineering AI Agents: The New BEC for 2026

This Week In Security: New Spectre Attacks, Crushing Quantity Of Linux Vulns, Google Gets Too Much AI, And Hacking Lawnmowers

Git 3.0's upcoming SHA-256 default will be a costly mistake

Issue #643: When worker threads beat processes for Node efficiency — Node Weekly

Calling a function in C without naming it

When AI Agents Stop Asking for Permission

Everyone's learning to prompt better. That's the wrong skill.

Thundering herd of circuit breakers

One account, the whole ecosystem

8syncdev.com

Courses

Coding practice

IELTS

ZUS — AI IDE

mind0

AcoLeads