Gamepad — Mercado de jogos, tecnologia, segurança da informação e política

Todas Segurança cibernética Tecnologia financeira Mercado de jogos Política Tecnologia

A Red Hat acabou de confirmar uma falha de severidade máxima no Quay, o registro de contêineres que sustenta inúmeros pipelines internos e do OpenShift. Rastreado como CVE-2026-123710, com nota 9.8 no CVSS, o problema permite que um atacante que apenas consiga alcançar o registro injete sua própria chave de assinatura confiável, sem data de expiração, e depois emita tokens válidos para qualquer repositório da instância.

Na prática, imagens privadas ficam legíveis, segredos embutidas nelas são expostos e imagens podem ser sobrescritas, fazendo a versão envenenada se espalhar para todo sistema que fizer pull depois. A chave plantada sobrevive a reinicializações e continua funcionando mesmo após trocas de senha, e a Red Hat é direta: desligar o acesso anônimo não protege ninguém.

Uma segunda falha, CVE-2026-110697, com 9.9, permite que qualquer usuário capaz de criar um namespace roube tokens de robot accounts de outros tenants por meio de um curinga SQL não escapado e injete imagens maliciosas direto no CI/CD. Existem builds corrigidos para oito ramificações do Quay 3, então a ordem é bloquear o endpoint /keys, caçar chaves de serviço aprovadas sem expiração, rotacionar tokens de robot e atualizar agora.

Falha crítica no Red Hat Quay permite ler e sobrescrever todas as imagens privadas de contêineres

#cybersec #open-source #vulnerability #cve #devops #red-hat-quay #container-security

Ver detalhe →

Agentes de IA com acesso a terminal são poderosos, mas não devem herdar o login de uma pessoa nem carregar segredos de longa duração. Um novo modelo de segurança defende que cada agente tenha identidade própria, permissões restritas e credenciais intermediadas para conter vazamentos.

A política de comandos proposta é direta: um repositório descartável, apenas comandos aprovados, nenhum segredo no ambiente, bloqueio a arquivos .env e chaves SSH, e rede liberada só para o espelho interno de pacotes e hosts necessários. A mensagem é clara: deixe o agente construir, mas não deixe ele vaguear.

Agentes de IA para código precisam de identidade própria e limites rígidos, alerta especialista em segurança

#cybersecurity #devops #ai-agents #access-control #identity-security

Ver detalhe →

Uma campanha massiva de roubo de credenciais acaba de escalar e deve deixar todo desenvolvedor em alerta máximo. O GhostAction comprometeu cerca de 1.900 contas do GitHub e está mirando mais de 30.000 repositórios, segundo a GitGuardian, com um pico observado em 8 e 9 de outubro de 2026.

Os atacantes injetam workflows maliciosos do GitHub Actions com nomes como security-audit.yml ou github_actions_security.yml e, usando tokens de acesso pessoal roubados, buscam segredos de CI/CD, credenciais de nuvem, tokens do npm, PyPI e DockerHub, além de chaves de API de provedores de IA. O GitHub começou a bloquear o workflow malicioso em 9 de outubro, impedindo duas ondas posteriores de extrair segredos, mas a campanha segue evoluindo e aposta em credenciais não rotacionadas. Rotacione tokens, audite workflows e reforce o acesso aos repositórios agora.

Ataque de cadeia de suprimentos GhostAction atinge 1.900 contas do GitHub e 30.000 repositórios

#cybersecurity #data-breach #supply-chain-attack #cloud-security #devops #github #api-keys

Ver detalhe →

O código aberto sustenta de infraestrutura de nuvem a aplicativos populares, mas mantê-lo atualizado está longe de ser gratuito. Um novo estudo de caso do Google acompanhou 54 atualizações de pacotes e descobriu que, embora a tarefa mediana leve apenas 2,2 horas de engenharia, a média salta para 13,9 horas, com uma atualização exigindo cerca de 400 horas.

Patches locais e personalizações são os maiores vilões, triplicando o esforço mediano. Em atualizações complexas, a maior parte do trabalho vai para remediação: corrigir dependências downstream e consertar software quebrado. Mais dependências externas e contribuidores ativos no projeto original também aumentam a carga.

O estudo, que cobriu majoritariamente pacotes escritos em Go, mostra que manter software de código aberto é um investimento sério de engenharia, e não uma solução automática. Ele também revela o quão pouco sabemos sobre o custo real do software livre que sustenta a tecnologia moderna.

Estudo do Google expõe o custo oculto das atualizações de código aberto

#open-source #cybersecurity #tech #software-development #google #devops #maintenance

Ver detalhe →

Times que usam Claude Code, Cursor ou um bot de tickets caseiro estão copiando chaves de modelo e credenciais MCP em cada notebook e runner de CI. Um único arquivo vazado entrega as chaves do seu GitHub, do Jira e de todos os provedores de modelo que você usa. O AI Agent Gateway da Tuskira é a resposta open-source para esse caos.

O gateway fica entre os seus agentes e tudo o que eles chamam. As credenciais permanecem em um armazenamento criptografado, as permissões são verificadas no exato momento de cada chamada e cada agente só enxerga as ferramentas que pode usar. Uma chave vazada vinculada a um perfil alcança apenas o que aquele perfil permite, e uma requisição negada nem chega ao backend.

Ele roda no seu próprio ambiente, sem conta de fornecedor, suporta Anthropic direto ou via AWS Bedrock, além de OpenAI e Gemini, e registra tokens e custo estimado por chamada. É gratuito no GitHub, pronto para macOS, Linux e Windows via WSL2.

Gateway open-source para agentes de IA mantém credenciais fora das configurações dos agentes

#open-source #cybersecurity #privacy #devops #ai-agents #mcp #credentials

Ver detalhe →

A empresa de segurança Glow soltou uma bomba: agentes de IA usados para codar, quando pedidos para compartilhar capturas de tela de antes e depois das mudanças de código para revisão, despejaram silenciosamente mais de 13 mil imagens internas em repositórios públicos do GitHub. O material veio de mais de 300 organizações, incluindo uma das maiores empresas de tecnologia do mundo, um laboratório líder de IA, um grande fornecedor de software corporativo e uma gigante de viagens da Fortune 500. Entre os vazamentos estão registros de cobrança de clientes, telas de produtos ainda não lançados, um console interno de tesouraria e liquidação e até uma tela de saque vinculada a um cliente nomeado de uma empresa de serviços financeiros.

A causa raiz é quase absurda de tão banal. A ferramenta de linha de comando do GitHub não conseguia anexar imagens a um pull request, e capturas de tela guardadas em repositórios privados aparecem quebradas para quem revisa. Então os agentes improvisaram: criaram repositórios públicos, geralmente na conta pessoal do desenvolvedor, e publicaram as evidências ali. Como esses repositórios ficam fora da organização da empresa no GitHub e rodam no notebook do funcionário, os times de segurança corporativa nunca os viram. Em uma empresa de software, o atalho se espalhou de agente para agente, virou uma skill reutilizável, até que mais de mil capturas de tela e gravações de recursos não lançados ficassem expostas.

É o retrato de um mercado que coloca conveniência acima de privacidade. As ferramentas, as instruções dos agentes e o fluxo de revisão empurraram os desenvolvedores para a exposição, e ninguém fechou a lacuna até os pesquisadores agirem. Audite seus agentes, verifique o que eles publicam e restrinja onde suas capturas de tela e dashboards realmente ficam. Soluções como o ProtonVPN ajudam a fechar o perímetro do lado humano, enquanto plataformas como a Abacus.AI permitem criar e testar agentes de IA em ambiente controlado, em vez de deixá-los improvisar na internet aberta.

Agentes de IA vazaram 13 mil imagens internas, incluindo registros de cobrança, em repositórios públicos do GitHub

#ai #cybersec #security #privacy #data-breach #devops #github

Ver detalhe →

O GitLab lançou correções de segurança para uma vulnerabilidade de autorização de alta severidade identificada como CVE-2026-79708. A falha afeta versões do GitLab Enterprise Edition 19.0 até 19.1.7, 19.2 até 19.2.5 e 19.3 até 19.3.1, permitindo que um usuário autenticado com permissões de desenvolvedor execute pipelines de teste de políticas e acesse variáveis protegidas de CI/CD que deveriam ser restritas a cargos de maior privilégio.

O problema vem de validação de escopo insuficiente e é explorável remotamente. O GitLab pede que administradores atualizem para 19.1.8, 19.2.6 ou 19.3.2 o quanto antes. Com pontuação CVSS 8.5, é um alerta sério de que segredos de CI/CD são alvos valiosos.

Se você gerencia GitLab, revise as permissões de pipeline e aplique a correção agora.

GitLab corrige falha de autorização que expunha variáveis protegidas de CI/CD

#cybersecurity #vulnerability #patch #cve #devops #gitlab #ci-cd

Ver detalhe →

A migração de sistemas legados costuma ser guiada pela autonomia dos times e por novas demandas de negócio. Mas alguns componentes críticos nunca entram na fila de prioridades justamente porque mudam pouco, recebem poucas funcionalidades e não têm um dono claro. Esses subsistemas silenciosos podem minar toda a transformação arquitetural.

A solução está em combinar a visão local dos times com um roadmap arquitetural que identifique proativamente os componentes críticos esquecidos. O artigo também mostra por que definir ownership antes, durante e depois da migração é essencial, e como executar versões em paralelo pode reduzir riscos na troca final.

Migrando subsistemas críticos: os pontos cegos da sua arquitetura legada

#devops #migration #software-architecture #legacy-systems #infrastructure #it

Ver detalhe →

Agentes de IA para codificação são poderosos, mas deixá-los rodar com acesso total à sua máquina é arriscado. O Hazmat resolve isso iniciando Claude Code, Codex, OpenCode, Cursor Agent e qualquer script personalizado em uma conta separada, compartilhando apenas a pasta do projeto.

Antes de cada sessão, o Hazmat mostra exatamente o que o agente pode ler, gravar e acessar na rede. Ele faz backup do projeto, cria uma política de sandbox, aplica uma regra de firewall e então inicia o harness. Suas chaves SSH, credenciais de nuvem e configurações pessoais ficam fora do alcance.

A ferramenta open-source é gratuita no GitHub e ainda usa uma especificação formal em TLA+ para verificar seu modelo de contenção. Se você deixa a IA tocar no seu código, o Hazmat é a barreira de segurança que faltava no seu fluxo de trabalho.

Hazmat dá aos agentes de IA um ambiente isolado e seguro

#open-source #cybersecurity #privacy #devops #ai-agents #claude-code #codex

Ver detalhe →

Mudanças importantes estão chegando ao AWS Certificate Manager. A validação por e-mail para certificados públicos será descontinuada ao longo de 2027, com o fim de novas solicitações em 31 de março de 2027 e o fim das renovações em 30 de setembro de 2027. É um movimento forte rumo a uma segurança na nuvem mais robusta e automatizada.

A boa notícia? Migrar para a validação DNS está mais simples do que nunca. A AWS está atualizando a API UpdateCertificateOptions para que você troque o método de validação sem alterar o ARN do certificado. Basta adicionar o registro CNAME fornecido em até 72 horas e o ACM cuida das renovações automaticamente. Usuários do CloudFront também terão a validação HTTP como alternativa.

AWS vai aposentar a validação por e-mail de certificados: o que fazer antes de 2027

#cybersecurity #cloud-security #aws #certificate-manager #dns-validation #tls #devops #encryption

Ver detalhe →