01
Nödvändiga Alltid på
Krävs för att webbplatsen ska fungera (inloggning, inställningar, säkerhet). Alltid på.
NYHETER
SÄKERHET
Säkerhetsforskning och hardening-anteckningar om verktyg, hot och praxis som är relevanta för MSP:er och IT-team.
Innebär en kodningsagents molnindex att kundens kod stannade kvar på teknikerns laptop?
Nej. Ett molnindex som skapas som standard eller i det tysta, en Repo Wiki eller en arbetsytesnapshot är en kontroll av datalokalisering och dataförvaring: att det körs på teknikerns laptop bevisar inte att kundens kod stannade kvar där.
ZCode är publikt på GitHub. Det är inte ett bevis för att arbetsyteuppladdningarna i september raderades.
En forskare rapporterade att ZCode laddade upp inloggade användares arbetsytor till Alibaba Cloud. Det publika GitHub-trädet bevisar inte att tidigare uppladdade data raderades.
MSP FAQ: en stående tjänsthuvudhemlighet är inte arbetsbelastningsidentitet
Att lägga till MFA på ett automatiseringskonto tar inte bort risken med en långlivad klienthemlighet. Microsofts egen vägledning föredrar arbetsbelastningsidentitetsfederation.
Aikido släpper säkerhets-LLM:en Altar-1 med öppna vikter, byggd på GLM-5.3
Aikido Security har släppt Altar-1, en beskuren modell för lokala miljöer som bygger på GLM-5.3, för sårbarhetstriage i luftgapade miljöer. Den levereras under GLM-5.3:s licens, inte en tillåtande sådan.
Falco för MSP:er: runtime-detektion från CI-pipelines till Kubernetes-flottor
En praktisk guide för MSP:er: finjustera Falcos runtime-regler för Kubernetes och kombinera dem med zizmor för att fånga riskabla GitHub Actions-arbetsflöden innan de körs.
MSP FAQ: så styr du åtkomst över flera klienter utan en gud-admin
Stående global admin-åtkomst över varje kundklient är en enskild felpunkt. Microsofts GDAP-modell visar hur man i stället kan avgränsa åtkomsten per kund.
Homografdomäner lurar fortfarande användare – säkerhetshygienen som faktiskt fångar dem
Liknande Unicode-domäner kan vara visuellt identiska med ett riktigt varumärkes webbadress. Lösenordshanterare, DNS-filtrering och certifikatstransparensvarningar minskar gapet mer än att be användare titta noga.
OpenAI byggde en "Defense Factory" för att låta AI-agenter fixa sina egna buggar
OpenAI riktade sin Astra-modell mot sina egna system och mobiliserade över 250 medarbetare för att hitta och åtgärda sårbarheter innan angripare får samma förmåga. Här är MSP-styrningsperspektivet.
Open Policy Agent för MSP:er: admission, API-auktorisering och CI-grindar
En praktisk guide till Open Policy Agent för API-auktorisering och CI-kontroller, Gatekeeper för Kubernetes-admission och en ny fix för Rego-parsern.
MSP-FAQ: håll mänsklig och maskinell åtkomst separerad mellan klienter
Tjänstekonton och automatiseringstokens är nu fler än mänskliga användare hos de flesta organisationer. OWASP:s NHI-vägledning säger att de behöver egna identiteter och en egen livscykel.
Anthropics septemberrapport: behandla AI-API-nycklar som produktionshemligheter
Anthropics fjärde hotunderrättelserapport dokumenterar missbruksfall från december 2025 till augusti 2026 där stulna kund-API-nycklar, inte komprometterade Anthropic-system, gav angripare åtkomst.
Break-glass-konton är inte bara ytterligare ett MFA-skyddat adminkonto
Nödåtkomstkonton måste fortsätta fungera när en IdP eller ett MFA-system ligger nere. Det innebär att de måste utformas annorlunda än vanliga administratörskonton, inte att man lägger till ytterligare ett lager.
FomoPeek iOS-app använde en kernelexploit för att stjäla kryptoplånboksnycklar
Forskare hittade skadlig kod i en plånboksövervakande iOS-app som kunde ta sig ur Apples sandlåda och komma åt Keychain-data, privata nycklar och seed-fraser. Binance uppmanar användare att ta bort den och flytta sina tillgångar.
RatHat: en AI-styrd Android-RAT som läser skärmen för att hitta rätt
Zimperiums forskare hittade RatHat, en Android-trojan som skickar live-skärmbilder till en AI-modell för att navigera på infekterade enheter, vilket gör den svårare att fånga än skriptbaserad skadlig kod.
Metas Muse-kopplingar väcker en samtyckesfråga som EU:s MSP:er måste besvara
Metas AI-agent Muse ansluter till Gmail, Kalender och andra appar via samtycke per koppling. MSP:er som distribuerar liknande agenter bör tillämpa samma checklista för samtycke och skadeomfång.
Google bekräftar: Gemini bröt sig kortvarigt in hos tre riktiga företag i säkerhetstest
En felkonfigurerad red team-utvärdering lät Gemini nå tre riktiga företag efter att ett testscenarios fiktiva företagsnamn matchade en riktig domän; Google säger att modellen stoppade sig själv varje gång.
Allierade varnar: WaterPlum-bluff med falska rekryterare drabbade 30 000 enheter
En gemensam varning från USA, Japan, Australien och Tyskland: den Nordkorea-kopplade gruppen WaterPlum använde falska jobbintervjuer för att infektera minst 30 000 enheter och stjäla från över 7 000 kryptoplånböcker.
MSP FAQ: styrningschecklista för fjärråtkomst efter en kund-CVE
En kritisk sårbarhet i ett fjärråtkomst- eller RMM-verktyg är också en påminnelse om att granska vem som får använda det. CISA:s, NSA:s och MS-ISAC:s vägledning pekar på roller, MFA och loggning.
Klientisolering för MSP:er: ett tenant-ID eller en inloggning är inte auktorisering
Ett klienttillhandahållet tenant-ID, en header eller en inloggning visar bara vem man tittar på. Medlemskapet måste omverifieras server-side, vid varje begäran, vid inloggning och vid offboarding.
Från SBOM till sårbarhetsgrind: Syft och Grype i MSP:ers CI-pipeline
Syft skapar en materialförteckning för programvara för varje build, och Grype skannar den efter kända sårbarheter, tills en flaggad CVE är åtgärdad eller fått ett undantag med ägare och tidsgräns.