Z.ai disables coding assistant feature after flaw exposed enterprise code upload risk

Trendyol Tech15 Hot25 min7 d agoAI

We Automated Over 15,000 Security Reviews Without Letting AI Decide Everything

Để giải quyết bài toán kiểm tra bảo mật mất hàng giờ, công ty đã triển khai hệ thống automation với 15,000+ security reviews. Họ kết hợp deterministic controls và specialized AI agents để xử lý tác vụ nhưng vẫn giữ con người giám sát an toàn. Nhờ hệ thống này, thời gian verification giảm từ vài giờ xuống còn vài phút. Bài học đáng học là cách thiết kế hybrid approach giữa AI và human oversight mà không để AI tự quyết định, sử dụng safe escalation khi cần xử lý phức tạp. Các công nghệ như deterministic controls và specialized AI agents được tận dụng tối ưu để đạt hiệu suất cao.

Bài viết này giúp lập trình viên hiểu cách kết hợp kiểm soát xác định và AI chuyên dụng để tự động hóa hiệu quả quy trình rà bảo mật.

#security #llm #ai-agent Source

Dev Interrupted1 Hot6 min1 d agoAI

Securing tomorrow’s git forge, so we can reimagine everything else | Entire's Thomas Dohmke & Apiiro's Idan Plotnik

Bối cảnh An ninh cho các nền tảng Git forge như GitHub trở nên quan trọng khi các doanh nghiệp ngày càng dựa nhiều vào chúng. Nguyên nhân kỹ thuật Vấn đề đến từ việc AI và LLM đang ngày càng tích hợp sâu vào quy trình phát triển, tạo ra lỗ hổng bảo mật mới. Hệ quả Điều này dẫn đến nguy cơ rò rỉ dữ liệu mã nguồn và vi phạm cam kết bảo mật từ các agent AI. Điều đáng học Các công ty như Entire và Apiiro đang hợp tác để phát triển các giải pháp bảo mật tiên tiến, đảm bảo AI agents có thể hoạt động trong môi trường Git mà không gây rủi ro, giúp các tổ chức tập trung vào việc đổi mới.

Bài viết tiết lộ tầm nhìn bảo mật Git trong tương lai và cách nó mở ra khả năng tái định hình mọi thứ khác.

#ai-agent #github #code-review Source

Adventures in Nodeland99 Hot7 min2 mo agoAI

No, We Can't Harden Node.js Against Prototype Pollution

Lỗ hổng prototype pollution không phải lỗi của Node.js hay thư viện, mà phụ thuộc vào cách ứng dụng ngăn chặn các lỗ hổng bảo mật.

Lập trình viên nên đọc bài này để hiểu cách bảo vệ Node.js khỏi nguy cơ prototype pollution—một lỗ hổng thường bị bỏ qua mà có thể phá hủy tính bảo mật và tính ổn định của ứng dụng.

#javascript #nodejs #appsec Source

SitePoint1 Hot23 min4 d agoAI

AI Pull Request Security: AST Audit Harness in GitHub Actions

Trong bối cảnh AI coding-agent ngày càng phổ biến, các pull request tự động tiềm ẩn rủi ro bảo mật. Nguyên nhân kỹ thuật là AI có thể tạo ra code chứa prototype pollution trong AST, rò rỉ secret hoặc cho phép unsafe egress. Hệ quả là mã nguồn có thể bị thao túng, dữ liệu nhạy cảm bị lộ lọt hoặc ứng dụng bị tấn công từ xa. Bài trình bày một CI/CD audit harness sử dụng GitHub Actions để kiểm tra trước khi merge, với các công cụ tĩnh phân tích AST. Điều đáng học là cách kết hợp static analysis với quy trình CI/CD để phát hiện lỗ hổng bảo mật do AI tạo ra một cách tự động.

Bài viết giúp lập trình viên xây dựng hệ thống kiểm tra tự động bảo mật cho pull request do AI tạo ra trên GitHub Actions, ngăn chặn các lỗ hổng prototype pollution, rò rỉ bí mật và kết nối không an toàn.

#ai-agent #typescript #github-actions Source

Teleport5 Hot5 min1 mo agoAI

We Had 13 Engineers Spend Three Months Finding Vulnerabilities with LLMs

Bối cảnh: đội ngũ 13 kỹ sư đã dành ba tháng để áp dụng các mô hình LLM tiên tiến vào việc quét mã nguồn nhằm tìm lỗ hổng bảo mật. Nguyên nhân kỹ thuật: họ sử dụng các LLM frontier như GPT‑4‑Turbo và Claude‑2 để tạo các test case tự động, phân tích dữ liệu flow và đề xuất các patch tiềm năng. Hệ quả: qua quá trình này nhóm đã phát hiện hơn 1.200 vấn đề bảo mật, trong đó 85% được xác nhận là lỗi thực và đã được vá trước khi bản phát hành chính thức. Điều đáng học: mặc dù LLM có thể tăng tốc độ phát hiện lỗi gấp khoảng 4‑5 lần so với phương pháp thủ công truyền thống, nhưng vẫn cần sự Review của con người để loại bỏ false positive và xác định mức độ nguy hiểm thực. Bài học chính là kết hợp LLM vào quy trình “pressure washing” mã nguồn chỉ hiệu quả khi có ngân sách đủ cho thời gian của kỹ sư và cơ chế xác thực nghiêm ngặt.

Bài viết chia sẻ phương pháp sử dụng mô hình ngôn ngữ tiên tiến để dò lỗ hổng bảo mật trong codebase với hiệu quả cao.

#llm #ai-agent #vulnerability Source

Medium1 Hot7 min12 d agoAI

Express Validator - Part 1: Why Your API Should Never Trust Client Input

API luôn cần kiểm tra dữ liệu đầu vào từ client vì nếu không có validation, các vấn đề như email không hợp lệ, mật khẩu rỗng hay giá trị âm sẽ xảy ra. Express Validator cung cấp giải pháp validation mạnh mẽ với nhiều rule như isEmail(), isEmpty(), isNumeric() để xử lý các trường hợp này. Việc không validation dữ liệu có thể dẫn đến lỗi database, bảo mật bị yếu đi và trải nghiệm người dùng kém. Các lập trình viên nên học cách implement validation chain trong Express Validator để đảm bảo data integrity ngay từ đầu request.

Bài viết này giúp bạn hiểu tầm quan trọng của việc xác thực dữ liệu đầu vào để bảo vệ API khỏi các lỗi và lỗ hổng bảo mật.

#architecture #nodejs #appsec Source

DevOps.com1 Hot5 min13 d agoAI

Why AI Agents Shouldn’t Guess at Vulnerability Exploitability

Trong lĩnh vực bảo mật AI, các hệ thống hiện tại thường đánh giá tính khai thác lỗ hổng bằng cách đoán mò thay vì theo dõi bằng chứng thực tế. Việc thiếu tính xác định (deterministic) trong các hệ thống AI dẫn đến việc xếp hạng sai lầm về mức độ nguy hiểm của lỗ hổng, gây lãng phí nguồn lực cho đội ngũ bảo mật. Nghiên cứu cho thấy chỉ có 17% các hệ thống AI có khả năng cung cấp bằng chứng xác thực về khả năng khai thác lỗ hổng thay vì chỉ đưa ra dự đoán. Để khắc phục vấn đề này, các công nghệ như deterministic vulnerability assessment và evidence-based exploitability tracking cần được triển khai thay vì các phương pháp dựa trên guesswork.

AI có thể giải thích các phát hiện lỗ hổng, nhưng việc ưu tiên đáng tin cậy đòi hỏi các hệ thống xác định theo dõi khả năng khai thác qua bằng chứng thực tế.

#security #ai-agent #appsec Source

PyTorch1 Hot8 min16 d agoAI

Alibaba Cloud, Ant Group, Cambricon and Huawei Come Together in Shanghai to Advance the Open Source AI Stack at PyTorch Conference China – PyTorch

Alibaba Cloud và Cambricon đã trở thành thành viên Platinum, Ant Group thành viên Gold tại PyTorch Conference China 2026 ở Shanghai, cùng với Huawei là thành viên hiện có. Trong các bài phát biểu chính, Alibaba Cloud trình bày cách mở rộng việc phục vụ mô hình Qwen qua Karmada, Huawei đề cập đến NPU Ascend và thiết kế cứng‑mềm kết hợp, Cambricon giới thiệu PyTorch không phụ thuộc thiết bị để hỗ trợ nhiều nền tảng chip, Ant Group chia sẻ về việc xây dựng môi trường chạy AI agent an toàn bằng Kubernetes Agent Sandbox và Kata Containers. Sự hợp tác này cho thấy hơn 250 tổ chức ở Trung Quốc đang đóng góp vào các dự án của Quỹ PyTorch như DeepSpeed, Ray, Safetensors và vLLM, làm giàu hệ sinh thái nguồn mở. Đối với lập trình viên đang cân nhắc đọc bài gốc, bài học là việc kết hợp tối ưu hóa phần cứng riêng của các nhà cung cấp với các công cụ cộng đồng giúp đạt được triển khai AI có thể mở rộng, bảo mật và di động.

Bài viết này cho thấy hợp tác của các tập đoàn công nghệ hàng đầu Trung Quốc trong thúc đẩy stack AI mở thông qua PyTorch, mang lại hiểu biết sâu sắc về xu hướng phát triển AI và hợp tác công nghệ.

#open-source #pytorch #ai-infrastructure Source

Z.ai disables coding assistant feature after flaw exposed enterprise code upload risk

Recommended for you

Bình luận

We Automated Over 15,000 Security Reviews Without Letting AI Decide Everything

Securing tomorrow’s git forge, so we can reimagine everything else | Entire's Thomas Dohmke & Apiiro's Idan Plotnik

No, We Can't Harden Node.js Against Prototype Pollution

AI Pull Request Security: AST Audit Harness in GitHub Actions

We Had 13 Engineers Spend Three Months Finding Vulnerabilities with LLMs

Express Validator - Part 1: Why Your API Should Never Trust Client Input

Why AI Agents Shouldn’t Guess at Vulnerability Exploitability

Alibaba Cloud, Ant Group, Cambricon and Huawei Come Together in Shanghai to Advance the Open Source AI Stack at PyTorch Conference China – PyTorch

One account, the whole ecosystem

8syncdev.com

Courses

Coding practice

IELTS

ZUS — AI IDE

mind0

AcoLeads