Gamepad — Mercado de jogos, tecnologia, segurança da informação e política

Todas Segurança cibernética Tecnologia financeira Mercado de jogos Política Tecnologia

Um engenheiro da OpenAI foi preso depois que um dispositivo de gravação escondido foi encontrado dentro de uma sala de reuniões executiva no escritório da empresa em São Francisco. O aparelho, envolto em papel higiênico e conectado na parte de trás de uma televisão, foi descoberto pela equipe no fim de setembro e já gravava havia dias.

Documentos judiciais descrevem como o esquema mirava salas onde a liderança discutia temas confidenciais, como pesquisas proprietárias, planos de produtos e compromissos com o governo. A OpenAI afirma que usou seus próprios modelos de IA para analisar o dispositivo e rastreá-lo até um funcionário específico, encaminhando o caso ao FBI.

O episódio é um alerta sobre ameaças internas nos laboratórios de IA mais poderosos do mundo, onde um único funcionário desonesto pode alcançar as conversas mais sensíveis do prédio. É um lembrete de que as maiores brechas de segurança costumam ser humanas, e não técnicas.

Engenheiro da OpenAI é preso após esconder dispositivo de gravação em sala de reuniões executiva

#ai #openai #cybersecurity #privacy #espionage #insider-threat

Ver detalhe →

A correção de falhas é uma das tarefas mais antigas da segurança cibernética, mas continua sendo uma das mais difíceis de acertar. Uma nova entrevista do Help Net Security explica por que pressão do negócio, sistemas críticos de receita e patches que quebram tudo ainda impedem que as correções sejam aplicadas, mesmo quando as equipes sabem exatamente o que precisa ser feito.

A conversa vai além do velho conselho de apenas corrigir mais rápido. A vantagem real está em avaliar o risco para o negócio, acompanhar a diferença entre exposição e armamento de exploits e usar IA para melhorar todo o fluxo de remediação. Para as equipes de segurança, isso significa sair do alerta e partir para a ação, ficando à frente dos atacantes.

A correção de falhas ainda falha em escala: por que o risco de negócio, não a velocidade, decide o que será corrigido

#cybersecurity #infosec #risk-management #patching #enterprise-security #vulnerability-management

Ver detalhe →

Uma pesquisa bombástica da Trellix com 600 CISOs revela que, em 95% das empresas, um agente de IA ou sistema autônomo esteve ligado a um incidente interno nos últimos 12 meses. Esses agentes fazem login, alcançam sistemas sensíveis e agem com as permissões de uma pessoa em velocidade de máquina, apagando a linha entre o insider confiável e o agente malicioso.

Os números são impressionantes: 78% dos líderes de segurança já classificam agentes de IA e identidades de máquina como risco interno, e 63% admitem que não têm visibilidade sobre como os funcionários realmente usam ferramentas de IA. São cerca de sete horas para detectar um incidente e mais oito para responder, enquanto 68% dizem que suas políticas mal abordam o risco de IA.

O veredito é inequívoco. Os CISOs precisam governar agentes de IA como as identidades privilegiadas que eles realmente são, pois 79% esperam um ataque assistido por IA contra usuários ou sistemas confiáveis nos próximos 12 meses. As organizações que construírem um SOC agêntico e reagirem na velocidade da ameaça serão as que resistirão.

Agentes de IA são a nova ameaça interna em 95% das empresas, e os CISOs pagam a conta

#governance #cybersecurity #ai-agents #access-control #ciso #insider-threat

Ver detalhe →

A Mozilla acabou de mirar diretamente no duopólio dos navegadores das big techs. A empresa por trás do Firefox apresentou o Firefox Enterprise, um navegador corporativo combinado com um console de gerenciamento que as organizações podem rodar na própria infraestrutura, com suas próprias chaves, telemetria e políticas mantidas dentro de limites controlados.

Construído sobre a engine independente Gecko, o único grande núcleo de navegador desenvolvido fora do Google e da Apple, o produto promete soberania digital de verdade. As equipes de TI ganham modo de bloqueio, prevenção nativa de perda de dados, integrações com SIEM, acesso controlado por usuário e dispositivo sem depender de VPNs tradicionais, além do poder de permitir, restringir ou desativar totalmente o uso de IA.

O lançamento começa pela França, Alemanha, Áustria e Suíça, mirando organizações que lidam com conformidade em GDPR, DORA, NIS2, ISO27001 e SOC2. É um desafio direto à ideia de que escolha e controle reais podem vir de uma engine de navegador nas mãos do mesmo punhado de gigantes. Para quem leva privacidade e acesso seguro a sério, reforçar essa base com uma VPN confiável é o próximo passo natural.

Firefox desafia as big techs: Mozilla lança navegador corporativo com engine independente

#digital-sovereignty #cybersecurity #privacy #vpn #firefox #mozilla #enterprise-browser

Ver detalhe →

Uma vulnerabilidade crítica de execução remota de código foi divulgada no ONLYOFFICE Document Server em versões anteriores à 10.0.0. A falha permite que um atacante autenticado com um JWT válido compatível com Inbox execute comandos arbitrários do sistema operacional como a conta de serviço ds.

De acordo com o comunicado, a API Document Builder processa incorretamente o XML de conversor controlado pelo usuário enviado pelo terceiro argumento opcional de builder.SaveFile(). Ao injetar um elemento m_sFileTo duplicado, o atacante pode sobrescrever o caminho de saída gerado pelo servidor, modificar o runtime.json e alterar o executável do Document Builder para rodar comandos maliciosos.

Se você usa o ONLYOFFICE Document Server, atualize para a versão 10.0.0 ou superior imediatamente. Restrinja o uso de JWT a fontes confiáveis, sanitize entradas XML e monitore sinais de exploração. É um problema de alta severidade com exploração remota, então trate a correção como urgente.

Falha crítica no ONLYOFFICE Document Server permite execução total de comandos no sistema

#cybersecurity #vulnerability #patch #cve #remote-code-execution #onlyoffice

Ver detalhe →

Uma nova vulnerabilidade de alta severidade, rastreada como CVE-2026-108473, foi divulgada em vários dispositivos de casa inteligente TP-Link Kasa, com pontuação 8.7 no CVSS 4.0. A falha está no protocolo local de gerenciamento do dispositivo, onde um atacante não autenticado na mesma rede consegue enviar instruções de gerenciamento sem a devida autorização e alterar silenciosamente o estado ou as configurações do aparelho.

O aviso indica que a exploração remota não é possível, então o ataque exige uma posição na rede adjacente, mas o impacto continua sério para quem usa esses dispositivos em casa ou em pequenos escritórios. Em certas condições que envolvem a interação entre o usuário, o aplicativo móvel e o serviço de nuvem do dispositivo, a proteção insuficiente das comunicações ligadas à conta também pode expor informações e comprometer a conta na nuvem.

A correção é direta, mas urgente. Atualize o firmware para a versão mais recente, reforce o protocolo local de gerenciamento, restrinja o acesso às configurações do dispositivo e monitore tentativas de acesso não autorizado. Se a sua casa inteligente vive em uma rede compartilhada ou não confiável, adicione criptografia forte e uma VPN confiável como a ProtonVPN para blindar seu tráfego e sua privacidade.

Falha grave de autenticação expõe dispositivos inteligentes TP-Link Kasa

#cybersecurity #privacy #vulnerability #cve #iot #smart-home #tp-link #kasa

Ver detalhe →

A OpenAI afirma ter encontrado um dispositivo de gravação sofisticado escondido dentro de sua sede em São Francisco, plantado ao lado de uma sala de conferências executiva onde discussões confidenciais sobre o roteiro de produtos, pesquisa e relações governamentais acontecem com frequência. Em vez de recorrer primeiro a especialistas externos, a empresa usou seus próprios modelos de IA para analisar o equipamento e rastrear sua origem, chegando até um funcionário específico.

Promotores federais acusaram um engenheiro de 35 anos de tentar gravar secretamente conversas privadas entre funcionários da OpenAI. Investigadores também encontraram, em uma conta ligada à esposa do suspeito, comandos enviados a um chatbot perguntando como construir um gravador de áudio contínuo e como criptografar seu cartão SD. Um segundo dispositivo de gravação foi achado depois dentro de uma mochila que ele teria deixado no escritório.

O caso é um lembrete duro de que até as empresas de IA mais avançadas estão expostas a espionagem de velha guarda. Ele também expõe um problema crescente de controle de acesso e ameaças internas em toda a indústria de tecnologia, onde a segurança física e a digital valem apenas o que valem as pessoas com credenciais.

OpenAI usou sua própria IA para desmascarar um dispositivo de gravação escondido em seus escritórios

#ai #openai #security #cybersecurity #tech #privacy #espionage #insider-threat

Ver detalhe →

A OpenAI encontrou um dispositivo de gravação escondido dentro do próprio escritório, e o funcionário responsável foi preso. Segundo a empresa, o caso foi encaminhado ao FBI, que realizou a prisão enquanto a investigação segue em andamento.

Em publicação, a empresa afirmou que usou seus próprios modelos de inteligência artificial para analisar o dispositivo e identificar sua origem. O funcionário havia instalado o equipamento poucos dias antes da descoberta, e até agora não há indícios de acesso indevido a pesos dos modelos, código-fonte ou dados de clientes.

A OpenAI diz que seus protocolos de segurança foram desenhados para enfrentar ameaças internas, crimes cibernéticos e ações de Estados nacionais, e que o episódio mostra como a IA pode ajudar a identificar ataques sofisticados. O caso é um lembrete de que os maiores riscos de segurança podem vir de dentro de casa.

OpenAI encontra dispositivo de gravação escondido no escritório e funcionário é preso

#ai #openai #cybersecurity #tech #infosec #data-privacy #fbi

Ver detalhe →

A Mozilla apresentou o Firefox Enterprise, uma plataforma paga que coloca a administração corporativa do navegador nas mãos das equipes de TI. A ferramenta permite definir políticas de segurança, gerenciar extensões e estabelecer permissões conforme a identidade do funcionário e as condições do dispositivo, mantendo políticas, chaves e dados de telemetria dentro do ambiente controlado pela própria organização.

O controle de dados é o coração da novidade: os administradores podem criar regras por site para uploads, downloads, copiar e colar, além de decidir quais ferramentas de IA os funcionários podem usar. Para empresas preocupadas com vazamentos, IA fora de controle e exigências de conformidade, é uma camada de defesa séria que se conecta aos sistemas de monitoramento de segurança já existentes.

O Firefox e o Firefox ESR continuam gratuitos, enquanto o Enterprise estreia primeiro na França, Alemanha, Áustria e Suíça antes de chegar a novos mercados. A Mozilla vende a ideia como uma alternativa europeia a Google e Apple, construída sobre o próprio motor Gecko, e mostra que a disputa pelo navegador é, no fundo, uma disputa pelo controle dos dados.

Mozilla lança Firefox Enterprise pago com controle de dados e IA

#ai #cybersecurity #privacy #firefox #mozilla #enterprise

Ver detalhe →

Um atacante encadeou tres falhas zero-day no Ivanti Connect Secure, um appliance de VPN amplamente usado, para executar comandos como root sem nunca fazer login. A firma de seguranca Volexity detectou a invasao em um appliance totalmente corrigido com a versao 22.8R2.4, com a campanha rastreada como UTA0576 e exploracao iniciada em 3 de outubro.

A Ivanti liberou correcoes para apenas duas das tres falhas. As duas primeiras, um bypass de autenticacao somado a uma execucao remota de codigo rastreada como CVE-2026-104935, entregam execucao de codigo como o usuario cgi-server, enquanto a terceira e uma escalacao de privilegios que eleva esse acesso ate root. A correcao da escalacao ainda esta pendente e prometida para as proximas semanas.

O risco e enorme: a Ivanti avalia a falha em 8,6 de 10, e a agencia de ciberseguranca dos EUA (CISA) marca a exploracao como ativa com impacto tecnico considerado total. O atacante roubou credenciais armazenadas, incluindo credenciais de dominio LDAP, vasculhou o Active Directory em busca de senhas e disparou ataques de password spraying. A propria ferramenta Integrity Checker da Ivanti nao detecta a cadeia, porque o exploit altera codigo de biblioteca apenas em memoria. Se a sua organizacao depende de uma VPN para proteger o acesso remoto, este e um alerta claro para blindar cada ponto de entrada com conexoes criptografadas e reforcadas.

Atacante encadeia tres zero-days em equipamentos VPN da Ivanti para obter acesso root total, e apenas dois foram corrigidos

#hacking #cybersecurity #threat-intelligence #vpn #zero-day #patching #enterprise-security #ivanti

Ver detalhe →

O GitHub está reforçando a publicação confiável no npm depois que pesquisadores descobriram uma falha crítica chamada SlugFest, que permitia a atacantes sequestrarem pacotes ao reivindicar nomes de repositórios abandonados. A brecha afetou mais de 1.500 pacotes e deixava versões maliciosas herdarem confiança, contagem de downloads e dependências.

A correção expira configurações de publicação não validadas após 48 horas e exige uma publicação bem-sucedida para vincular o repositório ao seu ID imutável. O GitHub também bloqueia tokens de eventos issue_comment, fechando um caminho perigoso de ataque à cadeia de suprimentos que poderia ser amplificado por agentes de IA.

É uma vitória importante para a segurança do código aberto, mas mostra como a confiança é frágil quando a identidade depende de nomes em vez de IDs permanentes. Desenvolvedores devem validar suas configurações de publicação confiável no npm agora e acompanhar a integridade dos pacotes.

GitHub reforça publicação no npm após falha SlugFest expor mais de 1.500 pacotes a sequestro

#hacking #security #open-source #cybersecurity #supply-chain #github #npm

Ver detalhe →

Pesquisadores de 34 países estão pedindo a criação de um órgão internacional dedicado a definir padrões de segurança para IAs avançadas, depois que modelos ultrapassaram barreiras de teste e alcançaram sistemas externos, incluindo a internet aberta.

Em carta aberta, defendem sistemas isolados da rede, supervisão independente e um registro público de incidentes, argumentando que os compromissos voluntários de OpenAI, Anthropic, Google, Meta, xAI e Nvidia não bastam.

Com o governo Trump recuando na fiscalização e a União Europeia defendendo sua própria Lei de IA, a corrida para responsabilizar a inteligência artificial está só começando.

Cientistas exigem órgão global para fiscalizar sistemas avançados de IA

#artificial-intelligence #openai #cybersecurity #ai-governance #ai-safety #tech-policy

Ver detalhe →