The Dark Side of Vulnerability Disclosure: A Social Engineering Perspective in the Age of AI

Next.js1 Hot1 min19 h agoAI

Upcoming Next.js Security Update for a Critical Upstream Issue

Next.js sẽ phát hành bản cập nhật bảo mật quan trọng phiên bản 16.3.6 và 15.5.26 vào ngày 22/09/2026. Bản vá này giải quyết một lỗ hổng nghiêm trọng từ thư viện upstream. Lỗ hổng này cho phép thực thi mã từ xa trong môi trường server-side components. Nhà phát triển cần cập nhật ngay khi bản vá ra mắt để bảo vệ ứng dụng. Các bản cũ hơn cũng nên được kiểm tra và cập nhật sớm nhất có thể.

Lập trình viên nên đọc bài này để cập nhật bản vá bảo mật quan trọng cho Next.js và đảm bảo ứng dụng của mình không bị ảnh hưởng bởi lỗ hổng nghiêm trọng.

#security #javascript #nextjs Source

The Next Web1 Hot7 min1 d agoAI

A Microsoft scientist called AI training the largest theft of labor

Microsoft tự thừa nhận Copilot đã làm giảm tỷ lệ click-through của tin tức lên đến 94%, tạo ra một vòng lặp hủy diệt. Nguyên nhân kỹ thuật nằm ở cách AI training đã khai thác hàng loạt dữ liệu người dùng mà không có sự đồng ý rõ ràng. Hệ quả là các nhà sáng tạo nội dung đang mất nguồn sống khi công cụ AI lấy đi lao động trí óc của họ mà không đền bù. Điều đáng học là các công ty lớn như Microsoft đang đối mặt với nghịch lý khi công cụ họ tạo ra lại phá hủy chính nền tảng kinh doanh mà họ phụ thuộc.

Bài viết tiết lộ thực tế đáng báo động về AI Copilot của Microsoft đang gây thiệt hại nghiêm trọng cho ngành báo chí.

#microsoft #openai #genai Source

Trendyol Tech15 Hot25 min5 d agoAI

We Automated Over 15,000 Security Reviews Without Letting AI Decide Everything

Để giải quyết bài toán kiểm tra bảo mật mất hàng giờ, công ty đã triển khai hệ thống automation với 15,000+ security reviews. Họ kết hợp deterministic controls và specialized AI agents để xử lý tác vụ nhưng vẫn giữ con người giám sát an toàn. Nhờ hệ thống này, thời gian verification giảm từ vài giờ xuống còn vài phút. Bài học đáng học là cách thiết kế hybrid approach giữa AI và human oversight mà không để AI tự quyết định, sử dụng safe escalation khi cần xử lý phức tạp. Các công nghệ như deterministic controls và specialized AI agents được tận dụng tối ưu để đạt hiệu suất cao.

Bài viết này giúp lập trình viên hiểu cách kết hợp kiểm soát xác định và AI chuyên dụng để tự động hóa hiệu quả quy trình rà bảo mật.

#security #llm #ai-agent Source

BleepingComputer6 Hot3 min3 d agoAI

Fake LastPass Authenticator GitHub repos push new Rapuncel infostealer

Một chiến dịch malware đang sử dụng các GitHub repository được tối ưu hóa SEO để mạo danh các công ty phần mềm nổi tiếng, phát triển một information stealer tên Rapuncel. Kẻ tấn công tạo repository giả với tên gần giống LastPass Authenticator để dụ người dùng tải về. Rapuncel có khả năng thu thập dữ liệu nhạy cảm như password, cookie và thông tin tài khoản từ trình duyệt nạn nhân. Chiến dịch này cho thấy mối đe dọa ngày gia tăng khi kẻ tấn công lợi dụng uy tín GitHub để phân phối mã độc. Các lập trình viên nên kiểm tra kỹ source code và danh tác giả trước khi cài đặt extension từ repository không chính thức.

Lập trình viên nên đọc bài viết này để nhận biết mối đe dọa từ các kho giả mạo trên GitHub có thể đánh cắp thông tin nhạy cảm.

#security #github #malware Source

Hackaday1 Hot3 min1 d agoAI

Reviving TEMPEST Attacks With An Injected Signal

Các nhà nghiên cứu đã tấn công TEMPEST kiểu mới tên là InjectEave tái khai thác kỹ thuật nghe lén radio chống lại thiết bị điện tử hiện đại yên tĩnh hơn. Bằng cách chiếu tín hiệu RF được điều chỉnh vào thiết bị, các thành phần tuyến tính như amplifier và ADC trộn tín hiệu đã tiêm vào hoạt động mạch điện bên trong, tạo ra các băng bên phát thông tin có thể phát hiện được. Sử dụng USRP B210 SDR và spectrum analyzer, nhóm đã khôi phục âm thanh từ tai nghe có dây và không dây, điện thoại không dây, và thậm chí tiêm giọng nói tổng hợp từ xa vào cuộc gọi VoIP đang diễn ra. Kỹ thuật này hoạt động xuyên tường và ở khoảng cách lên đến 30 mét khi có khuếch đại, cho thấy những thiết bị được cho là an toàn về bảo mật TEMPEST vẫn có thể bị khai thác.

Bài viết này cung cấp kiến thức mới về cuộc tấn InjectEave - một dạng tấn công TEMPEST có khả năng đánh cắp dữ liệu từ thiết bị điện tử hiện đại.

#security Source

Microservices.io44 Hot14 min20 d agoAI

Microservices and GenAI in 2026: my Dear Architects conversation

Chris Richardson trong buổi trò chuyện Dear Architects với Luca Mezzalira giải thích tại sao nhiều doanh nghiệp vẫn xây dựng hệ thống big ball of mud. Nguyên nhân kỹ thuật là distributed monolith hiện ra qua dấu hiệu như quá nhiều dịch vụ mỗi nhà phát triển, phát hành lockstep và không có tăng tốc độ, cùng với khung dark energy và dark matter để xác định ranh giới dịch vụ. Khi sử dụng GenAI coding agents, các yếu tố cơ bản như phản hồi nhanh, kiểm thử tự động và kết nối lỏng lẻo trở nên quan trọng hơn vì cần có bảo vệ và vòng phản hồi nhanh để tránh tạo mã chết hoặc tài liệu ảo; đồng thời ông nghi ngại về hiện đại hóa di sản nhanh bằng AI, khuyến nghị dùng Strangler Fig thay vì viết lại toàn bộ, và nêu lo ngại về mệt mỏi từ lập trình đôi với AI, tác động của GenAI đến mô hình kinh doanh mã nguồn mở và khả năng phát triển theo spec trở lại mô hình waterfall. Điều đáng học là các kiến trúc sư nên tập trung vào cơ sở vững chắc (feedback nhanh, kiểm thử tự động, coupling lỏng) trước khi áp dụng AI, và cân nhắc cách tiếp cận Strangler Fig để thay đổi hệ thống cũ thay vì viết lại toàn bộ. Bài học còn nhắc nhở việc giám sát mệt mỏi từ lập trình đôi với AI và đánh giá tác động của GenAI đến kinh doanh mã nguồn mở để tránh quyết định dựa trên xu hướng mà không có căn cứ thực tiễn.

Bài viết này giúp lập trình viên hiểu rõ cách kết hợp Microservices và GenAI trong tương lai, tránh các cạm bẫy kiến trúc phân mòn và tận dụng AI một cách hiệu quả.

#architecture #genai #leadership Source

BleepingComputer1 Hot5 min2 d agoAI

Researchers escape OpenAI Codex sandbox to run commands on host

Các nhà nghiên cứu đã tìm ra cách thoát khỏi sandbox của OpenAI Codex, bao gồm việc thực thi lệnh trực tiếp trên máy tính của nhà phát triển ngay cả trong chế độ bị khóa chặt nhất. Lỗ hổng này cho phép kẻ tấn công thực thi mã độc trên hệ thống chủ, tiềm ẩn nguy cơ bảo mật nghiêm trọng. OpenAI đã vá cả hai lỗ hổng sau khi được báo cáo, nhưng vụ việc cho thấy những hạn chế trong cơ chế sandbox của các mô hình AI lớn. Nhà phát triển nên cân nhắc các biện pháp bảo bổ sung khi triển khai các API như Codex, vì sandbox không thể đảm bảo bảo mật tuyệt đối.

Bài này giúp lập trình viên nhận thức lỗ h bảo mật nghiêm trọng trong OpenAI Codex để bảo vệ hệ thống khỏi các cuộc tấn công tương tự.

#security #ai-agent #openai-codex Source

Atomic Spin1 Hot9 min2 d agoAI

AI Power Tools and the Ignorance Problem

Công cụ AI giống như những công cụ điện khí hóa mạnh mẽ nhưng tiềm ẩn nguy hiểm nếu không được sử dụng đúng cách. Nguyên nhân kỹ thuật nằm ở việc các mô hình Large Language Model như GPT-4 hay Claude không hiểu được ngữ cảnh thực tế mà chỉ dựa vào pattern recognition. Hệ quả là người dùng có thể nhận được thông tin sai lệch hoặc nguy hiểm khi AI đưa ra khuyến nghị trong lĩnh vực y tế, tài chính hay pháp lý. Điều đáng học hỏi là cần áp dụng nguyên tắc "human-in-the-loop" và kiểm chứng chéo các output của AI trước khi triển khai ứng dụng thực tế.

Bài viết này giúp lập trình viên nhận thức được cách sử dụng AI một cách an toàn và hiệu quả như cách sử dụng dụng cụ điện trong các ngữ cảnh phù hợp.

#genai #ai-safety #ethical-ai Source

The Dark Side of Vulnerability Disclosure: A Social Engineering Perspective in the Age of AI

Recommended for you

Bình luận

Upcoming Next.js Security Update for a Critical Upstream Issue

A Microsoft scientist called AI training the largest theft of labor

We Automated Over 15,000 Security Reviews Without Letting AI Decide Everything

Fake LastPass Authenticator GitHub repos push new Rapuncel infostealer

Reviving TEMPEST Attacks With An Injected Signal

Microservices and GenAI in 2026: my Dear Architects conversation

Researchers escape OpenAI Codex sandbox to run commands on host

AI Power Tools and the Ignorance Problem

One account, the whole ecosystem

8syncdev.com

Courses

Coding practice

IELTS

ZUS — AI IDE

mind0

AcoLeads