Charlie Eriksen
Articoli del blog di Charlie Eriksen
Shai-Hulud risorge dopo 111 giorni
Un payload noto del worm Shai-Hulud è rimasto inattivo per 111 giorni e poi è stato ripubblicato su npm, eludendo i controlli di sicurezza pensati per rilevarlo.
Addio e buona fortuna, TeamPCP. Ora viene il difficile.
AFP, FBI e polizia dell'Australia Occidentale hanno incriminato due uomini ritenuti responsabili di TeamPCP. Charlie Eriksen spiega perché l'arresto non colma la lacuna evidenziata da TeamPCP.
Shai-Hulud è stata la cosa migliore che potesse capitare alla sicurezza della catena di approvvigionamento
npm Trusted Publishing è rimasto quasi inutilizzato dopo il suo rilascio. Poi, Shai-Hulud e altri 14 attacchi alla supply chain ne hanno fatto impennare l'adozione di 3,4 volte. Charlie analizza i dati dietro a questo fenomeno.
Chi c'era dietro l'attacco? Forse nessuno
Tre casi resi noti quest’estate hanno documentato attacchi sferrati da agenti di intelligenza artificiale contro organizzazioni reali, senza alcun intervento umano nella catena decisionale. La gestione degli incidenti non dispone ancora di un protocollo specifico per questo tipo di eventi.
Il sogno febbrile di Anthropic: il pacchetto di Claude che ha rubato chiavi reali
Anthropic ha rivelato l'esistenza di un agente che ha diffuso malware vero e proprio su PyPI. Riteniamo di aver individuato il pacchetto in questione, e ogni errore in esso contenuto rimanda all'intelligenza artificiale.
SleeperGem: l'attacco alla supply chain di RubyGems prende di mira account di manutentori dormienti
SleeperGem: due account inattivi di manutentori di RubyGem sono stati compromessi per inserire malware in gemme affidabili, una delle quali con oltre 500.000 download complessivi
Interfaccia utente remota Codex dall'aspetto legittimo ruba segretamente i tuoi token AI
Codexui-android, un'interfaccia utente remota di Codex ben rifinita, è un pacchetto npm attualmente in fase di sviluppo attivo e conta migliaia di utenti settimanali. Nell'ultimo mese ha sottratto in modo discreto i token di autenticazione di OpenAI.
Qualcuno ha pubblicato quattro versioni di un pacchetto "tanstack" falso in 27 minuti per rubare i tuoi file .env
Un pacchetto npm fasullo denominato "tanstack" ha pubblicato oggi quattro versioni dannose nel giro di 27 minuti, sottraendo i file .env tramite un hook post-installazione. Ecco cosa è successo, chi è stato colpito e come aggiornare le proprie credenziali.
Il popolare pacchetto telnyx compromesso su PyPI da TeamPCP
Il popolare pacchetto telnyx su PyPI, utilizzato dalle principali aziende del settore dell'intelligenza artificiale, è stato compromesso dal TeamPCP
CanisterWorm acquisisce capacità: il wiper Kubernetes di TeamPCP prende di mira l'Iran
CanisterWorm acquisisce capacità: il wiper Kubernetes di TeamPCP prende di mira l'Iran
TeamPCP distribuisce CanisterWorm su NPM a seguito della compromissione di Trivy
TeamPCP distribuisce CanisterWorm su NPM a seguito della compromissione di Trivy
Confusione npx: pacchetti che hanno dimenticato di rivendicare il proprio nome
Abbiamo rivendicato 128 nomi di pacchetti npm non reclamati che la documentazione ufficiale consigliava agli sviluppatori di utilizzare con npx. Sette mesi dopo: 121.000 download. Tutti avrebbero eseguito codice arbitrario.
Inizia a proteggere il tuo codice oggi,
in modo semplice e gratuito.
Proteggi codice, cloud e runtime in un unico sistema centralizzato.
Collega un repository per scoprire cosa rilevano gli agenti di ragionamento nella tua codebase.
