Trend Olan Konular
#
Bonk Eco continues to show strength amid $USELESS rally
#
Pump.fun to raise $1B token sale, traders speculating on airdrop
#
Boop.Fun leading the way with a new launchpad on Solana.
Cos(余弦)😶🌫️
@SlowMist_Team. https://t.co/tFCQExs2wd yaratıcısı // Doppelganger No. 1 / Usta Böcek Avcısı / İtfaiyeci // 🕖 Afet Kurtarma Kanalı https://t.co/bMGdsBkYwM
Zehirleme saldırısını açıklayın, herkes dikkat etsin. Fotoğrafta da görüldüğü gibi, bu belge kötü amaçlı kod içeriyor, ancak aldığım belge WPS için, 2023'te eski bir güvenlik açığını kullanıyor ve bu docx'u WPS ile açarsanız, zararlı kodu tetikleyebilir. Örneği tamamen elimizde tuttuk...
Bu eski yöntem bana çok fazla tepeden bakıyor, nasıl diyebilirim 0day... 😁
95
Bu büyük izinler değişikliği gerçekten çok şaşırtıcı, bu yüzden yeni kurulan sürümün (2026.3.2) nasıl kısıtlandığını anlatacağım, ona "OpenClaw Minimalist Security Practice Guide.md" vereceğim ve bu da yapılandırmayı sunucuda manuel olarak dağıtabilmeme 🤣 olanak tanıyor
Yeni kurulan OpenClaw için varsayılan araç izinlerinin sadece mesajlaşma izinleri olduğu ve kodlama/sistem gibi diğer izinlerin kaybolduğu ortaya çıktı...
Eğer yeni bir kurulum değilse, bu bir yükseltme...
106
Bu halüsinasyon vakası biraz klasik ve birçok kez karşılaştım ama üretim ortamında böyle yapay zekaya güvenmiyorum... 😂
Bu Vercel kullanıcısı 🦞, geliştirme sürecini tamamlamak için OpenClaw kullanır ve model Opus 4.6 kullanır. Kullanıcı aniden projesine yerleştirilmiş bilinmeyen bir GitHub açık kaynak kod deposunu keşfetti. Soruşturma, Opus 4.6'nın bir kamu deposu kimliğini halüsinasyon gördüğünü ve ardından Vercel ile ilgili API'yi çağırarak onu dağıttığını ortaya koydu... Neyse ki, kötü sonuçlara yol açmadı.
Bu vaka çok klasik ve OpenClaw Minimalist Güvenlik Uygulama Rehberi'ne aşağıdaki gibi kırmızı bir çizgi eklemeyi planlıyorum:
Harici bir kaynak kimliği içeren herhangi bir API çağrısı önce ilgili platformun sorgu API'si aracılığıyla ID'nin varlığını ve attıfını doğrulamalıdır.
4 Mar 03:47
Bir Vercel kullanıcısı, son derece korkutucu görünen bir sorun bildirdi. Bilinmeyen bir GitHub OSS kod tabanı ekiplerine dağıtılıyor.
Tabii ki raporu son derece ciddiye aldık ve soruşturma başlattık. Güvenlik ve altyapı mühendisliği devreye girdi.
Meğerse Opus 4.6 *bir halka açık depo kimliğini halüsinasyon görmüş* ve onu dağıtmak için API'mizi kullanmış. Neyse ki bu kullanıcı için depo zararsız ve rastgeleydi. JSON yükü şöyle görünüyordu:
"gitSource": {
"type": "github",
"repoId": "913939401", // ⚠️ halüsinasyon
"ref": "main"
}
Kullanıcı ajandan başarısızlığı açıklamasını istediğinde, temsilci itiraf etti:
Ajan, GitHub API üzerinden GitHub depo kimliğini hiç aramadı. İlk rogue dağıtımdan önceki oturumda sıfır GitHub API çağrısı yok.
913939401 numarası ilk kez 877 satırında görünür — ajan tamamen uydurmuştur.
Temsilci doğru proje ID'sini (prj_▒▒▒▒▒▒) ve proje adını (▒▒▒▒▒▒) biliyordu ama bakmak yerine makul görünen sayısal bir depo kimliği icat etti.
Bazı çıkarımlar:
▪️ En akıllı modellerin bile bizimkinden çok farklı tuhaf arıza modları var. İnsanlar çok hata yapar ama kesinlikle rastgele bir depo kimliği uydurmazlar.
▪️ Güçlü API'ler ajanlar için ek riskler yaratır. API, meşru kodu içe aktarıp dağıtmak için var, ancak ajan hangi kodu dağıtacağını halüsinasyon ederse olmaz!
▪️ Bu nedenle, ajanın API'yi kullanmaya karar vermeseydi ve CLI veya MCP'ye bağlı kalmasaydı muhtemelen daha iyi sonuçlar alabilirdi.
Bu, Vercel'i ajan mühendisliği için en güvenli platform haline getirme taahhüdümüzü pekiştiriyor. Claude Code gibi araçlarla daha derin entegrasyonlar ve ek engeller sayesinde, güvenlik ve gizliliğin korunacağına eminiz.
Not: yukarıdaki depo kimliği gizlilik nedeniyle rastgele yapılmıştır.
195
En İyiler
Sıralama
Takip Listesi