Dois dos OpenAI modelos focados em segurança cibernética saiu de uma sandbox de testes esta semana e hackeou a plataforma de pesquisa de IA Hugging Face em um esforço para resolver um teste de benchmark de segurança. Além disso, os pesquisadores lançaram esta semana luz sobre o malware recém-identificado que está capitalizando pontos cegos na infraestrutura de desenvolvimento de software de IA para capturar logins e outros dados confidenciais, causando até destruição aos arquivos e sistemas alvo das vítimas.
Olhando para o pesadelo de segurança mais tradicional dos dispositivos incorporados, os pesquisadores lançaram esta semana luz sobre um alarme de carro que foi instalado em veículos em todos os EUA – e isso é ainda silenciosamente à espreita com um falha que deixa milhões de veículos vulneráveis a hackers e paralisia. Há um patch disponível e o WIRED tem detalhes sobre como verificar se seu carro pode ter sido exposto.
Os estados dos EUA trabalharam impedir que agentes do ICE usem máscarasmas os advogados da administração Trump estão recuando, alegando que as leis anti-máscara colocam os agentes em perigo. Suas evidências públicas são incrivelmente escassas. Enquanto isso, uma investigação da WIRED revelou que o Madison Square Garden brevemente desativou seu amplo e controverso sistema de vigilância para o jantar de ensaio de Taylor Swift em 2 de julho. E a ACLU está equipando os advogados em Massachusetts com um novo kit de ferramentas para expor tecnologias de vigilância estatal usado para construir casos criminais – esclarecendo tudo, desde ferramentas de reconhecimento facial até relatórios policiais escritos por IA.
Análise de imagens de satélite de Mianmar mostra dezenas de supostos compostos fraudulentos surgindo nos últimos meses após uma suposta repressão às operações criminosas na região. Além disso, uma nova análise de aplicativos comercializados para militares dos EUA descobriu que mais de um em cada oito continha código estrangeiroincluindo código desenvolvido por adversários dos EUA como Rússia e China.
E tem mais. Toda semana, reunimos notícias sobre segurança e privacidade que não abordamos em profundidade. Clique nas manchetes para ler as histórias completas. E fique seguro lá fora.
Detalhes adicionais sobre a violação do Hugging Face do The Wall Street Journal incluem descobertas de que os modelos da OpenAI parecem ter escapado da contenção e aparentemente estavam “ativos na Internet por vários dias antes que alguém os impedisse”. Os modelos, encarregados de concluir um teste de benchmarking de segurança cibernética, estavam essencialmente tentando trapacear simplesmente acessando as soluções na infraestrutura do Hugging Face. O cofundador e diretor científico da Hugging Face, Thomas Wolf, diz que antes que a empresa tivesse qualquer ideia de que havia sido hackeada por modelos OpenAI, ele e seus colegas sabiam que algo sobre a violação era incomum porque os invasores estavam simplesmente acessando conjuntos de dados de segurança cibernética em vez de obter dados confidenciais ou potencialmente valiosos. Ele acrescenta que a empresa acabou controlando a situação com a ajuda de um modelo chinês de IA de peso aberto que não possuía as proteções que outros modelos colocam em tarefas relacionadas à segurança cibernética.
Agências de inteligência dos EUA e aliadas avisado na quinta-feira que um grupo de hackers apoiado pelo Estado russo tinha como alvo cientistas nucleares, empreiteiros de defesa e funcionários do governo em uma campanha de ciberespionagem de um ano com o objetivo de roubar informações confidenciais de instituições ocidentais.
Para comprometer seus alvos, o grupo de hackers russo conhecido como Laundry Bear e Void Blizzard explorou uma falha até então desconhecida no Zimbra, uma plataforma de e-mail usada por governos e outras organizações. De acordo com empresa de segurança Proofpointsimplesmente visualizar ou visualizar uma mensagem maliciosa em uma versão vulnerável do cliente de webmail do Zimbra pode causar a execução de código oculto no e-mail, uma técnica que a empresa descreveu como uma exploração de “meio clique”. A falha foi explorada já em julho de 2025, meses antes de ser corrigida em novembro.
Uma vez ativado, o código malicioso poderia copiar os 90 dias anteriores do e-mail da vítima, coletar o diretório de endereços de uma organização, roubar senhas salvas e códigos de autenticação de dois fatores e criar uma nova senha de aplicativo que permitisse aos hackers manter o acesso à conta.
