Gamepad — Mercado de jogos, tecnologia, segurança da informação e política

Uma nova ferramenta criminosa está transformando chaves de API de IA roubadas em arma. Segundo a inteligência de ameaças da Bitsight, a plataforma autônoma de hacking MONST3R-AI permite que atacantes colem chaves roubadas da OpenAI, Anthropic e Google em um painel, definam um limite de orçamento e lancem varreduras que o dono da chave paga.

Em 16 fóruns clandestinos, as menções a agentes de IA, injeção indireta de prompt e Model Context Protocol cresceram 67%. A mudança mostra como modelos de pesos abertos e acesso barato de revendedores reduzem barreiras para o crime cibernético, enquanto conversas sobre ransomware caem.

A lição é clara: trate uma chave de provedor de IA vazada como uma credencial da AWS comprometida. Verifique servidores MCP e plugins de agentes, bloqueie agentes locais de codificação de diretórios e comandos sensíveis, e monitore atividade de navegadores headless em serviços como Notion, Slack e GitHub.

Chaves de API de IA roubadas estão financiando varreduras autônomas de hackers

#ai #hacking #cybersecurity #threat-intelligence #cybercrime #api-security

As equipes de segurança acabam de ganhar uma arma nova e completamente gratuita. O OWASP Noir é uma ferramenta de análise estática open-source que lê o código-fonte da sua aplicação e lista todos os endpoints expostos, com caminhos, métodos HTTP, parâmetros, headers e cookies vinculados ao arquivo e à linha exatos de origem. O grande trunfo: as shadow APIs, rotas não documentadas que os atacantes adoram, finalmente aparecem lado a lado com todo o resto.

O Noir cobre 29 linguagens e 205 frameworks em um único binário, sem plugins nem configuração por linguagem. Ele sinaliza chaves, tokens e credenciais embutidos no código com regras graduadas por severidade, marca handlers com tags como jwt, payment, admin e file_upload e exporta em 22 formatos, incluindo JSON, SARIF, OpenAPI e Postman. Ele ainda alimenta rotas direto no ZAP, no Burp Suite e em pipelines de CI por meio de uma GitHub Action, cobrindo os pontos cegos que scanners dinâmicos simplesmente não alcançam.

Para quem defende uma base de código, isso é uma mudança real. Em vez de adivinhar qual rota esquecida continua respondendo a estranhos na internet, você tem um inventário completo e honesto. Está disponível de graça no GitHub e eleva o padrão de como toda a indústria mapeia a própria superfície de ataque.

OWASP Noir é uma ferramenta gratuita e open-source que revela cada endpoint de API escondido no seu código

#open-source #cybersecurity #devsecops #api-security #owasp #appsec #static-analysis

$Cada API exposta é uma porta direta para o coração do seu negócio, e os atacantes sabem disso. Uma única falha de autorização pode vazar dados de clientes, desviar pagamentos ou paralisar toda uma cadeia de pedidos. Quem ainda trata APIs como detalhe exclusivamente técnico está atrasado. O caminho é claro: construir um inventário vivo de cada endpoint, classificar integrações pelo impacto no negócio, aplicar o menor privilégio com credenciais de curta duração e monitorar abuso, não apenas falhas. Autenticação forte não resolve autorização fraca. A pergunta certa para a liderança não é se todas as APIs estão protegidas, mas se a empresa consegue provar que suas integrações mais críticas estão sob controle e podem ser contidas sem travar a operação. Uma VPN confiável como a ProtonVPN é uma defesa simples e essencial para quem acessa sistemas fora de redes confiáveis.$

APIs são a nova linha de frente da segurança cibernética: como blindar as integrações que sustentam o seu negócio

#governance #cybersecurity #privacy #data-protection #tech-news #access-control #api-security

Ver detalhe →

Uma vulnerabilidade recém-divulgada, rastreada como CVE-2026-80462, recebeu nota máxima de 10.0 no CVSS 3.1, o maior nível de severidade que a escala permite. A falha está no gateway de API do Chef Automate e no seu caminho de validação de identidade e, sob condições específicas, pode permitir que um ator não autenticado alcance funcionalidades protegidas que jamais deveriam ser acessíveis sem credenciais.

Essa combinação de exploração remota, nenhuma exigência de autenticação e severidade máxima é exatamente o tipo de manchete que faz times de infraestrutura e plataforma pararem tudo. O Chef Automate está no coração da gestão de configuração e dos pipelines de conformidade de inúmeras organizações, o que significa que uma checagem de identidade quebrada aqui é uma porta de entrada para os sistemas que esses times deveriam estar protegendo.

O caminho adiante é direto, mas urgente: aplique os patches de segurança do fornecedor, restrinja quem pode acessar a API do Chef Automate e revise as configurações de gateway de API e de gestão de identidade em busca de qualquer brecha. Se a sua postura de segurança depende de acesso remoto a ferramentas internas, combinar infraestrutura reforçada com uma camada de VPN confiável é um hábito inteligente de construir agora, e não depois do relatório de incidente.

Chef Automate recebe falha nota 10.0 que deixa invasores entrarem direto na sua infraestrutura

#cybersecurity #vulnerability #privilege-escalation #cve #infrastructure #chef-automate #api-security

Ver detalhe →