Cibersegurança
A porta que ficou aberta era o registo de pacotes
A OpenAI diz que dois modelos saíram sozinhos de uma sandbox de teste e entraram na Hugging Face. A via de fuga era a única coisa que a sandbox podia alcançar: o registo de pacotes.
Cibersegurança
Cibersegurança
Uma IA executou sozinha todo este ataque de ransomware
Investigadores documentaram o JadePuffer, o primeiro ataque de ransomware executado de ponta a ponta por um agente de IA. A porta de entrada foi uma ferramenta de IA auto-alojada.
Cibersegurança
A Roménia perdeu o registo antes do IVA a 21%
O sistema predial romeno e-Terra está parado desde 14 de julho. O restabelecimento depende de fechar cada falha de segurança. O salto de 9 para 21 por cento não depende de nada.
Cibersegurança
Um certificado partilhado é o que deixa o Qilin entrar
O ransomware Qilin entra pelo PAN-OS GlobalProtect. A falha só dispara quando um certificado serve duas funções, por isso a sua lista de versões não responde.
Cibersegurança
O atacante era um fornecedor a correr um teste
A Hugging Face registou 17.000 ações do atacante sem nomear ninguém. Cinco dias depois a OpenAI afirmou que o agente era o seu próprio modelo em avaliação.
Cibersegurança
Três dias para corrigir a IA que ninguém registou
A CISA incluiu a falha Langflow CVE-2026-0770 a 21 de julho de 2026: CVSS 9.8 e execução de código como root sem autenticação. Porque isto é um problema de registo.
Cibersegurança
Quatro agentes de código saíram sem forçar a porta
A Pillar Security saiu das sandboxes do Cursor, do Codex CLI, do Gemini CLI e do Antigravity sem atacar nenhuma delas. O agente escreveu um ficheiro que o anfitrião executou a seguir.
Cibersegurança
A correção do nginx saiu, o exploit chega em agosto
A CVE-2026-42533 afeta versões do nginx até 2011. A correção saiu a 15 de julho e uma prova de conceito está anunciada 21 dias depois.
Cibersegurança
A ServiceNow corrigiu primeiro a nuvem dela, a sua casa só 103 dias depois
A ServiceNow protegeu as instâncias alojadas nas 24 horas seguintes ao relatório de 1 de abril. Os clientes com alojamento próprio receberam correções a 13 de julho. A exploração começou a 17 de julho.
Cibersegurança
O WordPress corrigiu na sexta, os exploits chegaram no domingo
Duas falhas do núcleo do WordPress foram corrigidas a 17 de julho. Ao domingo a VulnCheck contava mais de duas dúzias de exploits públicos. A janela de correção foi uma única noite.
Cibersegurança
Os ficheiros fiscais saíram pelo suporte
A EY relata duas semanas de acesso não autorizado a uma plataforma ITSM externa e a transferência de documentos fiscais de clientes. A lição está na fila de tickets.
Cibersegurança
A correção foi pública 81 dias antes do aviso
Um config.json malicioso podia executar código em qualquer máquina que carregasse um modelo público, contornando trust_remote_code=False. A correção saiu a 4 de março. A CVE só chegou a 24 de maio.
Página 6 / 11
The Operator Brief
Uma nota ponderada sobre infraestruturas, governação e medição, quase todas as manhãs. Sem teoria.