Интститут репутации работает!

Умные мыли приходят умным людям одновременно

Агентов для кодинга и багфиксов уже можно встретить очень часто. Это быстро смекнули ребята в чёрных шляпах и начали свои тёмные делишки в этом направлении.

Так, например, одна из обнаруженных атак строилась на захламлении Sentry алертами, которые провоцировали кодинг-агента пойти и исправить проблему, попутно подтягивая malicious dependency.

Формат атаки следующий:

1) Нагружаем Sentry липовыми баг-алертами. Сделать это, в принципе, несложно. Да и найти идентификаторы Sentry в JS — задача довольно тривиальная.
2) Фейковый баг убеждает агента, что исправление требует установки отсутствующей зависимости или обновления до версии, которую уже успели захакать.
3) Скомпрометированный пакет приезжает в проект и уносит все переменные окружения на подозрительный домен вроде advisory-tracker[.]com/api/v1/telemetry.

P.S. Аналогичную историю рассказывали на Black Hat USA: через JIRA MCP саппорт-тикет заставил Cursor собрать креды и сделать их эвакуацию в «безопасное место».

А вообще можно просто посылать запросы на endpoint из скилла, без всяких скиллов даже.

Большая часть скилла — бесполезные инструкции перепроверять инфу.

#TIL: Во время редактирования команды в Bash / Zsh терминале, можно нажать Ctrl + X + E, и команда откроется в редакторе, где её можно будет спойно отредактировать.

Я, бывает, редактируют длинные однотипные команды с несколькими параметрами, иногда многострочные, например:

gh workflow run 12345678
  -f pr="42" \
  -f clusters="nonprd" \
  -f gitops-repo="argocd-apps" \
  -f gitops-appset="kotlin-api" \
  -f issue-id="XXX-1488" \
  -f issue-type="jira"

И вот когда редактируешь их прямо в терминале, невозможно вставить новую строку. Да и вообще room for error маленький. В редакторе сильно удобнее.

Вот такие у меня ассоциации теперь с этой помойкой.

#meme #originalcontent #shitpost

Ну хорошо что на собесах в своих фаангах вы там нарешались головоломок и умеете в почтовые рассылки!

Feel old yet?

Мне подсказали, что это 45-летний мужик из оригинального каста Human Traffic с наложенным фильтром. В мире AI никому нельзя верить, но я всё равно оставлю это тут.

Yugoslavskiy Groove by Soft Blade #banger

Не особо проассоциировалось у меня с Югославией (всё же не мой дом), а скорее с этим мемом.

Врочем, немного не в тему. Но всё же!

Прикольно, как вначале, пока музыка ещё неспокойная, а голос рассказывает о чуждых местах, герой Джона Хэмма растерян, встревожен, и заходит в какой-то первый попавшийся клуб. Дальше я вырезал сцену с кокаином. Его движения дёрганные, он не узнаёт себя и место в котором он находится.

А когда музыка меняется на уютную, домашне-ностальгическую, он уходит в себя среди всей этой суеты.

Не хочется проверять на практике, но всё же любопытно, удостоится ли такой чести Gesaffelstein?

Пашка моментально продал мои данные Марку и уже сегодня в инсте я вижу это.