#iam

Amazon Bedrock AgentCore now offers a Web Search API

Discover more about what's new at AWS with Amazon Bedrock AgentCore now offers a Web Search API

Google’s Data Agent Kit Hits GA, Splitting Agent Guardrails Between Skills and IAM

Google đã chính thức ra mắt Data Agent Kit, bộ công cụ miễn phí gồm 37 kỹ năng open-source kết nối các agent mã nguồn với hơn 15 dịch vụ Google Data Cloud. Kit này sử dụng MCP (Model Context Protocol) để tạo cầu nối giữa các agent mã nguồn và nền tảng dữ liệu của Google. Hệ quả là hai loại guardrail tách biệt được áp dụng: một cho kỹ năng và một cho IAM (Identity and Access Management). Lập trình viên nên xem xét giải pháp này khi cần xây dựng agent mã nguồn có khả năng truy cập và xử lý dữ liệu trong hệ sinh thái Google Cloud một cách an toàn và kiểm soát được.

Bài viết này cung cấp thông tin mới nhất về Google Data Agent Kit giúp lập trình viên hiểu cách kết nối agent mã nguồn với các dịch vụ Google Data Cloud.

AWS STS now supports cross-partition federation for AWS identities

Discover more about what's new at AWS with AWS STS now supports cross-partition federation for AWS identities

Attackers backdoor trusted AWS integrations to steal secrets

Wiz researchers uncovered the secret-stealing supply-chain attack

Import Records, Build Tables And Get Change Alerts With Airtable

Your team keeps the real list in Airtable: the clients, the content calendar, the inventory, the applicants. It works until the list needs to talk to somethi...

Store, Rotate And Recover Passwords And API Keys With Amazon Secrets Manager

Maybe your database passwords live in a configuration file nobody wants to touch, an API key for a payment provider has been the same since the day someone p...

Control Who Sees Your Data, Manage Warehouses And Run AI Models With Snowflake

A new analyst starts on Monday and can’t see the sales tables until someone files a request. A departing contractor still has access nobody remembered to rem...

Find The Root Cause Of Outages, Search Logs And Forecast Monitoring Costs With Dynatrace

Your website slows to a crawl on a busy morning. Customers are complaining, three teams are on a call, and each one is sure the problem is somewhere else. Af...

The Rise of LLMJacking: How Threat Actors Monetize Compromised Cloud and Model Resources

Mandiant reveals how LLMJacking attacks cost victims hundreds of thousands in fraudulent cloud bills, with underground markets targeting LLM credentials.

Manage User Logins, Roles And Feature Flags For Your App With Kinde

If you sell software, a surprising amount of your time goes to things your customers never pay you for: who can log in, who is an admin, which plan unlocks w...

What happens when the agent is long gone, but its access key lives on?

AI agents leave behind active IAM keys. Learn how to find unused credentials, block persistent keys, and govern non-human identities.

What's new in Dynatrace SaaS 1.349

New features, changes, and resolved issues in Dynatrace SaaS 1.349

Share Files And Add Maps, Places, And Routes To Your Business With Google

Most businesses already use Google every day, for documents, for maps, for finding customers and getting to them. What fewer people realize is that much of t...

Automate Clusters, User Access, And Patching With Red Hat

If you are responsible for the servers and cloud systems your business runs on, the work never really stops: spin up an environment for a new project, give a...

Scale agents securely with IAM Helper Agent Skills and MCP Tools

Today we’re introducing IAM Helper, a suite of intelligent, agent-facing building blocks that can automate complex, end-to-end IAM workflows.

Security Disclosure Recommendation: Check for Anomalous GCP Access

Bối cảnh: Các nhà nghiên cứu bảo mật vừa công khai phát hiện lỗ hole cho phép kẻ tấn công nhận được thông tin đăng nhập GCP mà không cần xác thực. Nguyên nhân kỹ thuật: Lỗi nằm ở dịch vụ Google Cloud Identity Proxy trong cách xử lý authentication tokens, cho phép bypass authentication mechanism thông qua việc lợi dụng endpoint /accounts/{user_id}. Hệ quả: Kẻ tấn công có thể truy cập trái phép vào tài nguyên GCP và dữ liệu nhạy cảm nếu biết user ID. Điều đáng học: Cách Google đã vá lỗi bằng cách cập nhật IAM permissions và giới hạn access scope, nhấn mạnh tầm quan trọng của việc validate input parameters và implement proper authentication checks trong các dịch vụ cloud.

Bài viết này giúp bạn phát hiện và ngăn chặn truy cập bất thường vào Google Cloud Platform, bảo vệ hệ thống khỏi các mối đe dọa bảo mật.

Moving past autonomous exploitation to machine-speed security

Công nghệ AI có thể phát hiện lỗ hổng bảo mật với độ chính xác gần như hoàn hảo nhưng thường thất bại trong việc sửa chữa chúng. Nguyên nhân chính là các hệ thống AI thiếu cơ chế kiểm soát và quản lý phù hợp khi đưa ra bản vá. Hậu quả là các tổ chức vẫn phải đối mặt với rủi ro bảo mật dù đã đầu tư vào công nghệ phát hiện tự động. Bài viết nhấn mạnh tầm quan trọng của việc xây dựng một hệ thống sandboxed có khả năng vá lỗi nhanh chóng như tốc độ phát hiện. Các tổ chức cần đầu tư vào cơ chế quản lý và kiểm soát chất lượng bản vá để đảm bảo bảo mật hiệu quả với tốc độ machine-speed.

Bài viết giúp lập trình viên hiểu cách xây dựng hệ thống bảo mật tự động hiệu quả bằng cách tập trung vào cơ chế quản lý sandbox và vá lỗi tức thời thay vì chỉ dựa vào AI phát hiện lỗ hổng.

Limit agent permissions and spend in AWS Transform custom

AWS Transform custom needs three guardrails before you run its autonomous coding agent across a fleet of repositories: a trust allowlist, a scoped execution identity, and a spend cap. A trust settings file cut approval prompts on a sample Java upgrade from 23 to zero across three runs, without using the blanket --trust-all-tools flag. The execute-only managed policy separates the pipeline role from the one that authors transformation definitions, and can be further scoped with resource tags. An agent-minute cap stops a run at a chosen limit (exit code 2) while an AWS Budgets alert watches cumulative spend; a sample run cost about $1.60 for 45.8 agent minutes at $0.035 per minute.

How to Tie Kubernetes Audit Logs to Individual Engineers

Bối cảnh: Việc truy xuất trách nhiệm trách nhiệm trong môi trường Kubernetes phức tạp khi nhiều engineer cùng làm việc. Nguyên nhân kỹ thuật: Mặc định Kubernetes audit logs chỉ ghi nhận username không phải user identity thực tế. Hệ quả: Khó khăn trong việc xác định ai đã thực hiện thay đổi nào gây ra sự cố. Điều đáng học: Bài hướng dẫn sử dụng tool like Kubernetes Audit Policy, OIDC identity providers, và attribute mapping để liên kết logs với user identity cụ thể. Giải pháp gồm cấu hình audit policy, thiết lập authentication flow qua provider như GitHub hoặc GitLab, và implement log parsing với tool như kube-audit-viewer hoặc Loki.

Bài viết này giúp bạn xác định trách nhiệm cá nhân của mỗi kỹ sư thông qua bản ghi Kubernetes Audit Logs.

How to Reduce Overprivileged Kubernetes Service Accounts

Trong môi trường Kubernetes, các Service Account thường được cấp quyền quá rộng so với nhu cầu thực tế, tạo ra lỗ hổng bảo mật tiềm tàng. Nguyên nhân kỹ thuật nằm ở việc sử dụng cluster-wide role bindings và RBAC (Role-Based Access Control) không được phân chia chi tiết. Hậu quả là các ứng dụng có thể truy cập vào tài nguyên không cần thiết, như API server hoặc các namespace khác, dẫn đến nguy cơ tấn công leo thang quyền. Bài hướng dẫn này giải thích cách sử dụng admission controllers như Pod Security Admission và các công cụ như kube-bench để kiểm soát và hạn chế quyền Service Account một cách hiệu quả.

Bài này giúp lập trình viên giảm thiểu rủi ro bảo mật cho tài khoản dịch vụ Kubernetes.

How to reassign resource ownership before someone’s last day

Catch stale cloud resource ownership before offboarding. Learn queries and policies to reassign infrastructure when team roles change.

How One Kubernetes YAML Can Hand Over a GCP Organization

A Kubernetes user with limited permissions can potentially gain control of an entire Google Cloud organization by exploiting the authority granted to Google Kubernetes Config Connector. Varonis explains how this confused deputy problem can turn a single Kubernetes YAML file into a path to organization-wide privilege escalation.

Cloud Threat Emulation on Autopilot: Context is Everything

How we treat cloud threat emulation as a detection-engineering methodology, and where AI actually helps without removing the practitioner.