01
Necessari Sempre attivo
Indispensabili per il funzionamento del sito (login, preferenze, sicurezza). Sempre attivi.
NOTIZIE
SICUREZZA
Ricerca sulla sicurezza e note di hardening su strumenti, minacce e pratiche rilevanti per MSP e team IT.
Un indice cloud dell’agente di coding significa che il codice è rimasto sul laptop?
No. Un indice cloud, una Repo Wiki o uno snapshot del workspace, di default o silenzioso, è un controllo di residenza e custodia: girare sul laptop del tecnico non prova che il codice sia rimasto lì.
ZCode è pubblico su GitHub: non prova che gli upload di settembre siano stati cancellati
Secondo la stampa di settore, un agente di coding caricava su Alibaba Cloud i workspace degli utenti autenticati. L’albero pubblico di ZCode, letto il 3 ottobre, non prova che quegli upload siano stati cancellati.
FAQ MSP: un segreto permanente di service principal non è un'identità del carico di lavoro
Aggiungere l'MFA a un account di automazione non elimina il rischio di un segreto client a lunga scadenza. Le linee guida di Microsoft favoriscono la federazione delle identità del carico di lavoro.
Aikido rilascia Altar-1, LLM di sicurezza open-weight basato su GLM-5.3
Aikido Security ha rilasciato Altar-1, un modello on-prem derivato da GLM-5.3 e snellito con pruning, per il triage delle vulnerabilità in ambienti air-gapped. È distribuito sotto la licenza di GLM-5.3, non permissiva.
Dagli SBOM al gate delle vulnerabilità: Syft e Grype nella CI degli MSP
Syft genera una distinta base software per ogni build e Grype la scansiona per vulnerabilità note, bloccando un job CI finché una CVE non è corretta o ottiene una deroga con responsabile e scadenza.
RatHat: un RAT Android pilotato dall'IA che legge lo schermo per orientarsi
I ricercatori di Zimperium hanno scoperto RatHat, un trojan Android che invia screenshot in tempo reale a un modello IA per navigare nei dispositivi infetti, più difficile da individuare del malware basato su script.
Google conferma: Gemini ha violato brevemente tre aziende reali in un test di sicurezza
Una valutazione red-team mal configurata ha permesso a Gemini di raggiungere tre aziende reali dopo che il nome fittizio nel test coincideva con un dominio reale; Google dice che il modello si è fermato da solo ogni volta.
FAQ MSP: tieni separati gli accessi umani e macchina tra i tenant
Gli account di servizio e i token di automazione ormai superano gli utenti umani nella maggior parte delle organizzazioni. Le linee guida NHI di OWASP dicono che hanno bisogno di identità e ciclo di vita propri.
L'app iOS FomoPeek ha usato un exploit del kernel per rubare le chiavi dei wallet crypto
I ricercatori hanno trovato codice dannoso in un'app iOS per wallet, capace di uscire dalla sandbox Apple e prelevare portachiavi, chiavi private e frasi seed. Binance chiede di rimuoverla e spostare i fondi.
Report di settembre di Anthropic: tratta le chiavi API AI come segreti di produzione
Il quarto report di intelligence sulle minacce di Anthropic documenta casi di uso improprio tra dicembre 2025 e agosto 2026 in cui chiavi API rubate, non sistemi Anthropic compromessi, hanno dato accesso agli attaccanti.
OpenAI ha costruito una 'Defense Factory' per far riparare i propri bug dagli agenti AI
OpenAI ha puntato il suo modello Astra sui propri sistemi e mobilitato oltre 250 persone per trovare e correggere vulnerabilità prima che gli attaccanti ottengano la stessa capacità. Ecco l'aspetto di governance per gli MSP.
I connettori Muse di Meta sollevano una questione di consenso per gli MSP dell'UE
L'agente AI Muse di Meta si collega a Gmail, Calendar e altre app tramite consenso per singolo connettore. Gli MSP che distribuiscono agenti simili dovrebbero applicare la stessa checklist su consenso e raggio di impatto.
Isolamento dei tenant per gli MSP: un tenant ID o un login non è autorizzazione
Un tenant ID, un header o un login forniti dal client dicono solo a chi guardare. L'appartenenza va riverificata lato server, a ogni richiesta, al login e in fase di offboarding.
FAQ MSP: come governare l'accesso tra i tenant senza un god admin
L'accesso global admin permanente su ogni tenant dei clienti è un singolo punto di fallimento. Il modello GDAP di Microsoft mostra invece come limitare l'accesso per singolo cliente.
WaterPlum, truffa dei finti reclutatori: 30.000 dispositivi colpiti, avvertono gli alleati
Un avviso congiunto di USA, Giappone, Australia e Germania afferma che WaterPlum, legato alla Corea del Nord, ha usato finti colloqui di lavoro per infettare circa 30.000 dispositivi e rubare da oltre 7.000 wallet di criptovalute.
Falco per gli MSP: rilevamento a runtime dalle pipeline CI alle flotte Kubernetes
Una guida pratica per gli MSP: calibra gli alert runtime di Falco per Kubernetes e affiancali a zizmor per intercettare workflow GitHub Actions rischiosi prima che vengano eseguiti.
I domini omografi continuano a ingannare — le misure igieniche che li individuano davvero
I domini Unicode simili possono essere visivamente identici all'URL di un marchio reale. Password manager, filtraggio DNS e avvisi di trasparenza dei certificati colmano più lacune che dire agli utenti di stare attenti.
Open Policy Agent per gli MSP: ammissione, autorizzazione API e gate CI
Una guida pratica a Open Policy Agent per l'autorizzazione API e i controlli CI, a Gatekeeper per l'ammissione Kubernetes e a una recente correzione del parser Rego.
Gli account break-glass non sono solo un admin con MFA
Gli account di accesso di emergenza devono continuare a funzionare quando un provider di identità o l'MFA è inattivo: progettarli diversamente dagli account amministratore ordinari, non aggiungere un livello in più.
FAQ MSP: checklist di governance dell'accesso remoto dopo una CVE del cliente
Una vulnerabilità critica in uno strumento di accesso remoto o RMM è anche un promemoria per verificare chi può utilizzarlo. Le indicazioni di CISA, NSA e MS-ISAC puntano su ruoli, MFA e registrazione.