Security scanning at Foundation scale

The Apache Software Foundation ran full security scans across 230 repositories over a three-day window in August 2026, using Anthropic's Claude Mythos 5 model via the Project Glasswing security program. The effort, part of ASF's Responsible AI Initiative, combined a homegrown OWASP ASVS-based audit pipeline (running on the Tooling team's Gofannon agent platform) with Glasswing's harness running parallel Claude Code sessions. 75 PMCs covering 180+ repositories built threat models beforehand, which cut scanning cost by roughly one-fifth and reduced false positives. Findings, including drafted patches for critical vulnerabilities, are now flowing through ASF's official disclosure path to project maintainers. Planned next steps include incremental scanning, additional OWASP scan types, and a self-serve scanning model with token budgets.

Nguồn: https://news.apache.org/foundation/entry/security-scanning-at-foundation-scale. 8 Sync News chỉ tóm tắt và dẫn link; bản quyền nội dung thuộc tác giả và nguồn gốc.

Đề xuất cho bạn

Nordic APIs8 Hot8 phút3 ngày trướcAI

How AI Agents Are Changing API Architecture

AI agents đang định hình lại kiến trúc API với cách tiếp cận mới về bảo mật, quản lý và giám sát. Các agent thông minh như OpenAI Assistant hay Anthropic Claude giúp tự động hóa việc ủy quyền và xác thực, giảm đến 70% lỗi cấu hình thủ công. Hệ quả là hiệu suất API tăng lên 35% nhờ khả năng tối ưu hóa đường đi truy vấn tự động. Điều đáng học là cách integration AI agents không chỉ cải thiện security nhưng còn tạo ra hệ thống API có khả năng tự giải quyết vấn đề, giảm 50% thời gian phản hồi cho các request phức tạp.

Bài viết này giúp lập trình viên hiểu cách AI agents đang cách mạng hóa kiến trúc API và các yếu tố liên quan.

#security#ai-agent#architectureNguồn

GitButler Blog52 Hot20 phút13 ngày trướcAI

Git 3.0's upcoming SHA-256 default will be a costly mistake

Git 3.0 đang chuẩn bị chuyển sang sử dụng SHA-256 làm thuật toán hash mặc định, gây ra gánh nặng chi phí khổng lồ cho toàn hệ sinh thái Git. Việc thay đổi này sẽ buộc tất cả các repository phải xử lý file lớn hơn đáng kể so với SHA-1 hiện tại, gây ra vấn đề về hiệu năng và lưu trữ. Nguyên nhân kỹ thuật nằm ở việc SHA-256 tạo ra hash 256-bit dài gấp đôi SHA-1, làm tăng kích thước object store và network traffic. Hệ quả sẽ là các dự án lớn phải đối mặt với thời gian clone/push/pull lâu hơn và không gian lưu trữ tăng gấp đôi. Điều đáng học hỏi là các quyết định thay đổi core technical specification cần cân nhắc kỹ lưỡng ảnh hưởng toàn hệ thống, không chỉ tập trung vào tính bảo mật mà còn xem xét đến hiệu năng và trải nghiệm người dùng.

Đọc bài này để hiểu về những tác động tiêu cực tiềm ẩn khi Git chuyển sang thuật toán SHA-256 mặc định.

#security#git#version-controlNguồn

Read the Tea Leaves51 Hot7 phút13 ngày trướcAI

Goodbye WordPress

Nolan Lawson đã di chuyển blog từ WordPress.com sang self-hosting sau 15 năm sử dụng. Sự thay đổi này diễn ra do drama gần đây liên quan đến WordPress và các hạn chế về kỹ thuật của nền tảng. Người đọc cần cập nhật RSS reader để theo dõi tại địa chỉ nolanlawson.com/feed. Bài viết mang lại bài học về tầm quan trọng của việc kiểm soát dữ liệu và độc lập với một nền tảng duy nhất.

Bài viết chia sẻ kinh nghiệm di chuyển khỏi WordPress sau 15 năm sử dụng, giúp bạn hiểu lý do và cách thức chuyển đổi sang self-hosting.

#wordpress#claude#self-hostingNguồn

freeCodeCamp62 Hot10 phút15 ngày trướcAI

How ORMs Still Let SQL Injection Through (and How to Close the Gaps)

Nhiều lập trình viên lầm tưởng rằng khi sử dụng ORM, nguy cơ SQL injection sẽ được loại bỏ hoàn toàn, nhưng thực tế chỉ chuyển dịch sang vị trí khác. Các ORM như Sequelize, Prisma, TypeORM, và Knex vẫn có thể bị khai thác SQL injection khi phép ánh xạ đối tượng quan hệ không được triển khai chính xác. Kẻ tấn công có thể lợi dụng các phương thức động hoặc hàm không được parameter hóa để chèn mã độc vào truy vấn. Lỗi thường gặp nhất là sử dụng template literals kết hợp với các giá trị đầu vào không được kiểm soát, dẫn đến lỗ hổng bảo hiểm nghiêm trọng. Mặc dù có SQL injection ORM vẫn tồn tại, bài viết cung cấp các giải pháp cụ thể để bảo vệ ứng dụng, nhấn mạnh tầm quan trọng của việc kiểm tra đầu vào và sử dụng prepared statements thay vì concatenation strings.

ORM có thể vẫn để lỗ hổng SQL injection đi qua nếu bạn không sử dụng chúng đúng cách.

#nodejs#sql#appsecNguồn

Round The Code16 Hot7 phút9 ngày trướcAI

AI added a vulnerable NuGet package to our .NET app

Tình huống xảy ra khi Claude AI đã vô tình thêm gói NuGet Newtonsoft.Json 13.0.3 vào ứng dụng .NET, phiên bản này chứa lỗ hổng bảo mật CVE-2023-23397. Nguyên nhân kỹ thuật là do training data của Claude chưa được cập nhật với thông tin bảo mật mới nhất và thiếu hiểu biết về các package vulnerable. Hệ quả là ứng dụng dễ bị tấn công khai thác lỗ hổng này. Bài viết đề xuất giải pháp bằng cách prompt Claude kiểm tra version compatibility và security status trước khi thêm package, giúp tránh được các rủi ro tương tự.

Bài viết này giúp lập trình viên hiểu và tránh được những lỗ hổng bảo mật do AI tự động đưa vào dự án .NET khi sử dụng Claude.

#.net#claude#nugetNguồn

The New Stack1 Hot7 phút1 ngày trướcAI

“A major overhaul”: OpenCode 2.0 puts its terminal, desktop, and web apps on one shared service

OpenCode 2.0 được phát hành bản public beta vào tháng 7, thực hiện một cuộc cải tổ kiến trúc lớn. Bản update này bao gồm việc xây dựng lại hoàn toàn API, thêm embeddable SDK và Code Mode để tích hợp các dịch vụ. Việc này cho phép terminal, desktop và web apps của OpenCode cùng chia sẻ một dịch vụ chung, loại bỏ sự phân mảnh. Đây là bài viết đáng đọc để hiểu cách chuyển đổi kiến trúc từ hệ thống phân tản sang mô hình tập trung, với các công cụ cụ thể như SDK và Code Mode.

OpenCode 2.0 mang lại kiến trúc thống nhất cho terminal, desktop và web apps qua API được xây dựng lại và SDK nhúng linh hoạt.

#ai-agent#architecture#mcpNguồn

The New Stack1 Hot4 phút1 ngày trướcAI

Google paid $90,000 for this bug, then waited two months to fix it

Google đã trả 90,000 USD cho một lỗ h bảo mật trên các máy chủ developer docs. Nguyên nhân kỹ thuật là do Google sử dụng chung một OAuth secret làm signing key. Lỗ h này cho phép kẻ tấn thực hiện remote code execution trên hệ thống. Dù đã biết và chi trả tiền thưởng, Google lại mất hai tháng vá lỗi. Điều này cho thấy việc tách bạch giữa các chức năng bảo mật là quan trọng, ngay cả với các tập đoàn công nghệ lớn như Google.

Bài viết này giúp lập trình viên hiểu về rủi bảo mật OAuth và tầm quan trọng của việc vá lỗi kịp thời.

#security#python#googleNguồn

InfoQ42 Hot12 phút16 ngày trướcAI

Five Ways To Use AI Coding Agents to Improve Your Software Architecture

Kiến trúc hiện đại thường sử dụng các legacy services cho nhiệm vụ cụ thể nhưng chúng thường thiếu tài liệu chính xác và sửa đổi chúng tiềm ẩn rủi ro. AI coding agents có thể giúp lấp đầy khoảng trống kiến thức này bằng cách phân tích codebase. Các công cụ như GitHub Copilot, Amazon CodeWhisperer hay Tabnine có thể hiểu ngữ cảnh và đề xuất cải tiến cho hệ thống cũ. Điều này cho phép developer hiểu rõ hơn dependency giữa các thành phần mà không cần đọc trực tiếp hàng ngàn dòng code. Hơn nữa, AI agents có thể đề xuất refactoring để tăng khả năng maintainability của hệ thống mà không phá vỡ tính ổn định.

AI coding agents giúp đóng khoảng cách kiến thức khi làm việc với các dịch vụ legacy trong kiến trúc phần mềm hiện đại.

#ai-agent#architecture#appsecNguồn