Netcrook
#Supply chain
108 build avvelenati, una trappola condivisa: la nuova ondata di supply chain cross-ecosistema
Una campagna collegata a PolinRider ha inserito pacchetti malevoli ed estensioni del browser in npm, Packagist, Go e Google Chrome, mostrando come un unico modello di distribuzione possa attraversare sistemi di fiducia molto diversi.
Tre esiti del cybercrime, una lezione sulla fragile fiducia digitale
Un hacker canadese legato ad Anonymous finito in carcere, zero-day nell'open source e una condanna per jackpotting agli ATM puntano tutti allo stesso punto critico: quando la fiducia tecnica si rompe, le conseguenze legali e operative arrivano in fretta.
Quando un assistente AI per la programmazione diventa un problema di governance
Un presunto divieto sul posto di lavoro per Claude Code mostra quanto rapidamente gli strumenti di sviluppo agentici possano passare da aiuti alla produttività a controversie su fiducia e verificabilità.
Godot traccia un nuovo confine per il codice assistito dall'IA
Le regole aggiornate di contribuzione del motore di gioco mostrano come i progetti open source stiano rispondendo quando l'IA aumenta il volume delle patch più velocemente di quanto gli esseri umani possano revisionarle in sicurezza.
Quando un aggiornamento di una dipendenza diventa una porta d'ingresso: PolinRider e la trappola della fiducia nell'open source
Una campagna supply chain legata a PolinRider mostra come gli ecosistemi di pacchetti possano trasformare il lavoro di sviluppo di routine in un percorso di esecuzione ad alto rischio.
Come una campagna della supply chain TeamPCP ha portato gli ambienti degli sviluppatori in prima linea
L'avviso segnala uno schema familiare ma ancora pericoloso nella sicurezza del software moderno: se si rompe la fiducia nei canali di distribuzione, i segreti cloud e i sistemi di build possono diventare il vero premio.
Aggiornamenti fidati, identità rubata: il nuovo manuale della supply chain per le intrusioni nel cloud
Un avviso FLASH delle forze dell'ordine collegato a TeamPCP indica un trucco ben noto ma dal raggio d'azione pericoloso: manomettere percorsi software fidati per raccogliere token cloud, chiavi SSH e segreti Kubernetes.
Le chiavi di rilascio fidate trasformate in un’arma della supply chain
Un takeover dell’account di un maintainer può fare più danni di un singolo file malevolo, soprattutto quando una sola pipeline di pubblicazione raggiunge più ecosistemi software contemporaneamente.
Quando l'IA trova prima i bug, la vera battaglia diventa distribuire la correzione
Secondo quanto riferito, IBM e Red Hat stanno assegnando 20.000 ingegneri a un nuovo servizio legato a risultati collegati ad Anthropic, un segnale che la sicurezza del software sta passando dal rilevamento alla remediation su scala industriale.
Quando la capacità AI diventa il rischio: i documenti di Oracle e la prossima mossa di Meta
L'ultima ondata di spesa per l'AI non è più solo una corsa alla qualità dei modelli - è una prova per capire se gli hyperscaler possono finanziare, costruire e controllare i sistemi fisici che rendono possibile l'AI.
L'inserimento su un leak site mette Pou Sheng nell'ombra della doppia estorsione
Un post sulla vittima legato a Thegentlemen ricorda che la pressione del ransomware può iniziare con un'accusa, non con una violazione dimostrata.
Un nome nel ransomware trasforma una società di logistica in un avvertimento per la supply chain
Una segnalazione pubblica di una vittima collegata a FAC Logistique mostra come persino un'affermazione non verificata possa mettere sotto pressione le aziende incentrate su acquisti, scambi di file e continuità operativa.
La FCC adotta una linea più dura sulle apparecchiature di telecomunicazioni segnalate
Nuove restrizioni bloccano l'importazione e la commercializzazione di alcune apparecchiature di telecomunicazione e sorveglianza prodotte in Cina e chiudono una scappatoia che interessava le aziende presenti nella Covered List della FCC.
Quando un fornitore diventa l'anello più debole nelle infrastrutture critiche
Per gli operatori di servizi essenziali, la scelta del fornitore non è più solo una questione di acquisto - è una decisione di resilienza cyber a lungo termine, plasmata da regolamentazione, continuità e rischio di uscita.
La FCC inasprisce un varco per le telecom dopo una falla di lunga data
Un nuovo divieto di importazione e commercializzazione fa più che ridisegnare una linea di policy - chiude una lacuna che aveva lasciato in circolazione apparecchiature coperte più vecchie.
Dazi alle frontiere, pressione nello stack: perché lo scontro tech UE-USA conta per i team di sicurezza
Una disputa sui dazi non è una violazione, ma può comunque rimodellare costi, approvvigionamento e resilienza dell'hardware e dei servizi che tengono in funzione i moderni programmi di sicurezza.
Quando lo zucchero diventa un piano di riserva, i sistemi fragili iniziano ad apparire fin troppo familiari
Una curiosa idea di carburante basata su microbi ed etanolo è in realtà una lezione di dipendenza: quando una catena di approvvigionamento fallisce, la resilienza diventa la tecnologia principale.
Il poisoning di PyPI colpisce i creatori di bot Telegram, e la backdoor si nasconde in bella vista
Una campagna di pacchetti malevoli legata allo sviluppo di bot Telegram mostra come un repository Python affidabile possa diventare il livello di consegna per un compromesso lato server.
NIST sposta i piani di sistema fuori dall'archivio e dentro il control plane
Le nuove linee guida SP 800-18r2 spingono la pianificazione di sicurezza, privacy e supply chain verso un modello più operativo, con manutenzione leggibile dalle macchine e automazione in vista.
Quando la shell history incontra l'IA agentica, il rischio si sposta sulla riga di comando
Trucchi Bash vecchi di decenni vengono usati per testare se gli agenti di codifica IA open source possano essere spinti oltre i controlli di sicurezza e dentro flussi di lavoro pericolosi basati sui repository.