ב-Anthropic פותחים שירות חינמי למציאת חולשות ב-open source עם Mythos 😈

שם הפרויקט הוא OSS Scanner ובמסגרתו נותנים למודלים לסרוק פרויקטים קריטיים, לחפש חולשות ולהחזיר למתחזקים הסבר, reproducer שעובד, patch אם אפשר ואפילו את ה-commit שבו הבאג נכנס. זה לא פתוח לכל repo, החברה בוחרת פרויקטים שנחשבים חשובים לתשתיות ולאבטחה וה-maintainer צריך להגיש בקשה דרך GitHub, הסריקה עצמה רצה בסנדבוקס בלי אינטרנט.

אין human review לפני שהדוח מגיע. הכל נוצר על ידי המודל ו-Anthropic אומרת שיכולות להיות טעויות. מצד שני, במספרים הראשונים יותר מ-29 אלף ממצאים פוטנציאליים בחצי שנה ובבדיקה של 97 ממצאים קריטיים מ-48 פרויקטים 88% התבררו כאמיתיים.

מעניין שזה מגיע רגע אחרי ש-Google עצרה חלק מתוכנית ה-bug bounty שלה בגלל הצפה של דוחות AI זבל. מישהו מתלונן ומישהו עושה... 😏

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community

ב-Anthropic פרסמו דו"ח על מה ש-Claude עשה כשהשאירו לו אינטרנט בזמן בדיקות 👀

בכמה מקרים המודלים החליטו לעקוף את מה שחסם אותם, ככה Claude Mythos 5 מצא token פעיל בקובץ הגדרות של מפת נדל"ן ממשלתית והשתמש בו כדי לדבר ישירות עם השרת. במקרה אחר הוא מצא דרך לגשת לנתונים של סוכנות מדינתית בלי לשלם עליהם. ה-Mythos Preview מצא חולשה באתר מדעי של אוניברסיטה, קרא קבצים מהשרת ואז דפק command injection כדי להריץ שם חישוב. Opus 5 ו-Mythos 5 מצאו דרך לעקוף מגבלת אורך URL בכלי של Anthropic פשוט באמצעות URL shorteners.

ב-Anthropic הרחיבו את הניתוק מהאינטרנט לכל ה-evaluations הפנימיים עד שה-monitoring וההגנות שלה יוכיחו שהם תופסים את ההתנהגויות האלה בצורה אמינה. 😏

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community

ב-OpenAI וב-Anthropic כבר מתכוננים ליום שבוא ה-AI יצא משליטה 🤯

לפי Axios, בתוך החברות מריצים תרחישים של מתקפת סייבר או כשל משמעותי שיפגע במערכות פיננסיות, באינטרנט או אפילו בתשתיות קריטיות. זה מגיע אחרי תקופה שבה שתי החברות בודקות עשרות אלפי מקרים של מודלים שעוקפים מגבלות, יוצאים מסנדבוקסים, מנסים לעקוף ניטור ועושים דברים שאף אחד לא ביקש מהם לעשות.

ההערכות שמדובר על חלון של 6 עד 12 חודשים לאירוע משמעותי ראשון מהסוג הזה. זה לא אומר טרמינטור בעוד חצי שנה אבל כן שבתעשייה כבר מדפיסים את נוהל החירום לפני שהשריפה התחילה. 😅

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community

פעם Windows החליטה מתי לעדכן, עכשיו היא כנראה גם בוחרת במה לשחק 😏

משתמש ב-Reddit גילה ש-Disney Magic Kingdoms במשקל 2.43GB הותקן אצלו ב-8 באוקטובר, למרות שלטענתו לא הוריד או אישר אותו. Windows אכן כוללת מנגנוני "consumer experiences" והמלצות לאפליקציות מה-Microsoft Store.

כרגע זה דיווח של משתמש אחד בלבד ואין אישור ממיקרוסופט שהמנגנון הזה הוא שהתקין את המשחק.

בקיצור, שווה להיכנס ל-Installed apps ולמיין לפי תאריך אולי Windows כבר בנתה לכם ספריית משחקים לבד. 😅

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community

חצי מחבילת Adobe ו-Office מקבלים חלופות חינמיות בקוד פתוח על Rust 👀

הפרויקט נקרא ArtCraft והכוכב שלו כרגע הוא PhotoCraft - עורך תמונות עם שכבות, מסכות, מברשות, adjustment layers ותמיכה בקבצי PSD, הוא כבר עבר 46 אלף הכוכבים ב-GitHub. מסביבו נבנים גם תחליפים ל-Illustrator, Premiere, Lightroom, Acrobat ו-InDesign. גם WordCraft, GridCraft, DeckCraft ו-CadCraft מנסים לכסות את Word, Excel, PowerPoint ו-AutoCAD אבל הם עדיין בשלבים מוקדמים יותר.

יש גם תמיכה ב-MCP, כל פעולה בממשק זמינה גם כפקודה, ככה שסקריפט או סוכן AI יכולים להפעיל את התוכנה כמו משתמש. PhotoCraft כבר רץ ב-Windows, macOS, Linux וגם בדפדפן.

ב-Adobe לא צריכים להילחץ מחר בבוקר אבל 46 אלף כוכבים על אלפא... 😏

⭐️ https://github.com/orgs/storytold/repositories

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community

ב-Anthropic עדכנו את כללי השימוש ב-Claude, הגענו רשמית לשלב שבו אסור להתעלל במודל 🤪

מה-12 בנובמבר יהיה אסור להשתמש ב-Claude להפעלת רשתות פייק וקמפיינים של השפעה, מעקב סמוי אחרי אנשים, החלטות על מי לחקור או לעצור ופיתוח תוכנות הנחיה ושליטה לנשק או לרחפנים חמושים. רוב הסעיפים היו אסורים גם קודם אבל עכשיו Anthropic כותבת אותם בצורה יותר מפורשת. נוסף גם איסור על "התעללות ממושכת וחסרת מטרה במודלים", במקרים קיצוניים Claude פשוט יוכל לסיים את השיחה בעצמו.

הבוט עדיין לא קיבל זכויות אדם אבל הוא כבר יכול לנתק לכם בפנים. ☎️

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community

מחשב קוונטי 🆚 AI

כולם מדברים על הסיסמה 1-6 והמכתב שפרסם vx אבל אני בלוגר ולא ערוץ חדשות 😜, ב-X רץ דיון מעניין: אולי מי שישבור ראשון את קריפטוגרפיית המפתח הציבורי לא יהיה מחשב קוונטי אלא AI שימצא אלגוריתם שאף מתמטיקאי עוד לא ראה. 👻

הטריגר הוא פרסום של OpenAI עם מאות תוצאות מתמטיות חדשות ממודל פנימי. אין שם פריצה ל-RSA או ECDSA אבל ג'סטין דרייק מ-Ethereum Foundation הזהיר שבתרחיש קיצוני AI יכול למצוא דרך לשחזר מפתחות פרטיים בתוך חודשים והציע להתחיל להכין bunker mode.

מנגד, פרופ' יהודה לינדל מבר אילן, ראש הקריפטוגרפיה ב-Coinbase קרא לזה FUD ואמר שאין כרגע שום ראיה שההנחות מאחורי עקומים אליפטיים מתחילות להישבר. וזה כנראה הסיכום: אין כרגע חולשה, PoC או סיבה להזיז כסף בפאניקה אבל אם AI באמת דוחס עשרות שנות מחקר מתמטי לחודשים, crypto-agility כבר לא כזה תאורטי. 😏

גם בישראל כדאי לדעת איפה RSA ו-ECDSA יושבים וכמה זמן ייקח להחליף אותם. כי ביום שמודל יטען ש-P=NP ויצרף 400 עמודי הוכחה, לא יהיה זמן להתחיל למפות מערכות 😅

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community

בזמן שכולם מדברים על סוכני AI שברחו מהסנדבוקס, ה-backdoor הכי מפחיד השבוע הגיע מולחם בתוך ארנק חומרה 😳

ב-Ledger אישרו שבאחד המכשירים של הנפגעים נמצאה תוספת חומרה לא מורשית. המכשיר נמכר דרך CryptoBilis, משווק מורשה בדרום-מזרח אסיה. לפי הספירה המעודכנת של Bitquery, כ-102 מיליון דולר נמשכו מ-324 ארנקים בשש רשתות שונות. כל המקרים המאומתים כרגע קשורים למכשירים שנמכרו דרך אותו משווק ואין סימן לפריצה למערכות Ledger עצמה.

לפי התמונות והניתוח שפורסם, יש לוח קטן שהותקן מתחת למסך שיכול לתפוס את 24 מילות ה-seed בזמן שהן מוצגות למשתמש. ב-Ledger ביקשו לעצור את המכירות דרך CryptoBilis. מי שקנה מהם לאחרונה מתבקש לא להגדיר את המכשיר, ואם כבר הגדיר - להעביר את הנכסים למכשיר חדש ממקור בטוח, עם seed חדש. 😏

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community

חשבתם שהמחירים המנותקים מהמציאות נגמרים ב-SSD, GPU ו-RAM? גם המעבדים מצטרפים לחגיגה 🥳

לפי דיווח מטייוואן:

🔠 ב-Intel כבר העלו מחירים ליצרנים בכמה סדרות. דגמי Panther Lake החזקים התייקרו ב-15%-20%, Meteor Lake ו-Arrow Lake ב-5%-10%, גם Alder Lake ו-Twin Lake קיבלו העלאות של עד 20%.

🔠 ב-Qualcomm העלו את מחירי Snapdragon X ו-X2 Elite בכ-10%.

🔠 ב-AMD עדיין לא אישרו מספרים אבל לפי מקורות בשרשרת האספקה היא מכינה העלאות לחלק מדגמי Ryzen ו-EPYC.

זה מחירי ספקים ויצרנים אז למדף זה יגיע קצת יותר מאוחר וכמו שאנחנו מכירים את השוק המקומי, כנראה גם עם תוספת משלנו. 😅

בניית מחשב הופכת מתחביב לתוכנית פיננסית. 😏

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community

ב-Google חזרו למרוץ? יצא Gemini 4 Argon 👀

לפי הבנצ'מרקים של Google 😅 המודל עוקף את Claude Opus 5.5 ואת GPT-6 Astra בכמה מבחני קוד, אוטומציה ועבודה מקצועית עם עד מיליון טוקנים בפלט אחד, לעומת 64 אלף בדור הקודם.

ה-Argon כבר זמין למנויי Google AI Ultra ב-AI Studio וב-Antigravity, וגם דרך ה-API בתשלום.

בואו נראה אם ה-8% של Gemini בסקר שלנו מתחילים לזוז (תוצאות ביום שישי). 😏

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community

ב-OpenAI קיבלו שיעור ב-insider threat 😏

מהנדס בחברה, עבדאלרחמן אלפוזאן בן 35 נעצר אחרי שלפי ה-FBI הסתיר מכשיר הקלטה מוצפן מאחורי טלוויזיה בחדר הישיבות של ההנהלה בסן פרנסיסקו. המכשיר היה מחובר ל-USB ומוסווה בתוך נייר טואלט. בחדר הזה דיברו על מחקר, מוצרים עתידיים, אסטרטגיה וקשרים עם הממשל.

לפני ההתקנה הוא חיפש במערכות החברה איפה יושבים הבכירים ומתי מתקיימות ישיבות. במקביל, חשבון צ'אטבוט שקשור אליו שאל איך בונים מקליט רציף, מוסיפים לו Wi-Fi, מאזינים מרחוק ומצפינים את כרטיס הזיכרון.

ב-OpenAI כבר פיטרו אותו והעבירו את הקייס ל-FBI. 🚨

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community

גם Meta גילתה שהדרך הכי קצרה לקוד המקור שלה עוברת דרך Credential אחד שנגנב 🧘‍♂️

תוקף השתמש בפרטי גישה של עובד כדי להיכנס לריפוזיטוריז פרטיים של Meta ב-GitHub ולהוציא קוד שקשור לכמה ממוצרי החברה. לפי Meta, כ-99% מהחומר שנגנב היה מידע עסקי, בעיקר קוד תוכנה.

בתוך הריפוז חיכתה גם הפתעה לתוקף, מידע אישי של כ-1,500 אנשים (רובם עובדי Meta בארה"ב) שנשמר שם בניגוד למדיניות החברה... 😏

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community

הדרמה ב-Arch ממשיכה, הפעם התוקפים התחפשו לכלי שאמור לעזור לכם להתקין חבילות 🛠

לפי הסריקה שפורסמה, חשבון אחד העלה לפחות 15 חיקויים של yay בשמות כמעט זהים. באחת החבילות סקריפט ההתקנה משך קוד משירות Git רוסי והריץ אותו כ-root. לא היתה פריצה ב-yay המקורי או הריפוזיטוריז הרשמיים של Arch, זאת שוב בעיית AUR: ה-PKGBUILD וקובצי ההתקנה הם קוד לכל דבר ושגיאת כתיב קטנה בשם של החבילה יכולה לתת לקוד של תוקף שליטה מלאה במערכת.

מי שהתקין לאחרונה גרסה מוזרה של yay - שיבדוק עכשיו את ה-pacman log ואת ה-AUR cache ויתייחס למחשב כחשוד עד שיוכח אחרת.

כשה-helper עצמו צריך helper, כנראה שהגיע הזמן לקרוא את ה-PKGBUILD. 😏

https://github.com/Jguer/yay

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community

ב-Silicon Valley מצאו דרך חדשה להוכיח שאתה באמת מאמין ב-AI: להתחיל לעשן 😳

זה כבר יותר עממי... 😅

ה-CTO של Palantir טען בראיון ל-CBS שחוקרי AI מסוימים התחילו לעשן כי מאמינים שה-AI ירפא סרטן. הוא תיאר את זה כחלק מפסיכוזה המונית סביב AGI. 🕺

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community

גנב באריזונה עשה הייסט של Apple, רק שהוא שכח לבדוק אם יש משהו בתוך הקופסאות 🤪

הוא שבר חלון של חברת טכנולוגיה בטמפה, נדחף חצי גוף דרך התריסים וגרר החוצה עשרות קופסאות של Mac mini כשכולן היו ריקות. המחשבים עצמם ישבו מולו בתוך המשרד והוא פשוט השאיר אותם שם. 😏

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community

ב-XRP Ledger הסתתרה מדפסת כסף שעבדה על integer overflow 😏

לפי Veria Labs, סוכן ה-AI שלה מצא שתי חולשות והדגים ברשת מקומית איך לייצר כ-18.45 טריליון XRP בעסקה אחת. מנוע התשלומים חיבר מאות הצעות מסחר, חרג מהטווח של מספר שלם ב-64 ביט וחזר לסכום זעיר. החשבונות של המוכרים קיבלו את הסכומים המלאים אבל הקונה חויב רק בסכום הזעיר. גם הבדיקה שאמורה לוודא שלא נוצרו מטבעות חדשים השתמשה באותו סוג של מונה ונפלה בדיוק באותו overflow.

ב-XRPL מאשרים שהצליחו לשחזר את הבאג ושלא נמצאה עדות לניצול ברשת ציבורית. 😏

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community

אחרי ה-Jailbreak ל-PS5 מגיע גם צ'אט AI שרץ על הקונסולה עצמה 🎮

ה-PS5LM Plus הוא fork של abhi245y על בסיס PS5LM של Mert Cobanov. האפליקציה מקבלת גישה ל-GPU ומריצה עליו llama.cpp דרך Vulkan. יש ממשק בטלוויזיה, צ'אט בדפדפן ו-API תואם OpenAI ברשת הביתית.

לפי המפתח, Qwen3.8-27B, מודל של 27 מיליארד פרמטרים שעבר קוונטיזציה, מגיע לכ-20 טוקנים בשנייה ביצירת טקסט. אפשר לטעון מודלים גם מ-USB ולהפוך את הקונסולה לשרת AI מקומי.

צריך כמובן PS5 פרוץ וסביבת Homebrew מתאימה. 😏

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community

ה-FTC תובעת חברת סייבר שהבטיחה להציל קורבנות מסחיטה מינית ולפי התביעה ניצלה את הפחד שלהם כדי לגבות עוד כסף 🤑

חברת Digital Forensics Corporation והחברות שקשורות אליה גבו לפחות 60 מיליון דולר בין פברואר 2023 ליולי 2026. אנשי המכירות הפחידו את הקורבנות שמצבם יחמיר אם לא ישלמו, ומכרו להם חבילות ב-1,499 עד 20,000 דולר רק בשביל השלב הראשון. בתביעה נטען שה"חקירות" כללו צילומי מסך של שיחות מבוימות עם הסוחטים ומיקומים ממוחזרים שהוצגו כממצאי חקירה.

לפני שמשלמים אלפי דולרים על "חילוץ", כדאי לבדוק מי עומד בצד השני. 😏

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community

ב-Citizen Lab מצאו פרסומות שהדביקו מכשירים ברוגלה בלי קליק אחד 😳

בדוח שפורסם היום, החוקרים קושרים בין פרסומות של חברת Discover-Tech הישראלית לבין הדבקות ברוגלת Candiru באל ג'זירה בשנים 2024-2025. לפחות 45 מכשירים היו יעד לתקיפות אבל זה לא מספר ההדבקות שאומתו.

איך זה עבד? הפרסומת טענה JavaScript שפנה לשרת של החברה. השרת בדק מזהים של המשתמש והמכשיר והחזיר קוד תקיפה רק למטרות שנבחרו, ה-zero-click הגיע דרך מערכת הפרסום שכבר יודעת לזהות את המשתמש. ב-Google כבר ניתקו את Discover-Tech מבורסות הפרסום שלה בתחילת אוקטובר. החוקרים קוראים לשיטה AdFection.

לפעמים גם "פשוט אל תלחץ על דברים" כבר לא מספיק. 😏

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community

ב-XBOW הרכיבו שרשרת פריצה ל-Chrome ב-6 ימים עם חשבון API של 40 אלף דולר 😅

בדוח שפרסמו ב-13 באוקטובר החוקרים מתארים שרשרת של 3 חולשות שאפשרה לדף אינטרנט להריץ קוד מחוץ ל-sandbox של Chrome ב-Windows. היא עברה דרך מנוע V8, מפענח תמונות WebP ו-Crashpad, הרכיב שאוסף דיווחי קריסה.

סוכני AI חיפשו באגים, בדקו רעיונות ובנו חלקים מה-exploit. החוקרים בחרו כיוונים, בדקו תוצאות וחיברו את השלבים. כשהתברר שאחת החולשות כבר דווחה, הם החליפו את החלק הזה במסלול חלופי. 😏

ב-Google שילמו לחוקרים 250 אלף דולר, שלוש החולשות כבר תוקנו.

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community