Gamepad — Mercado de jogos, tecnologia, segurança da informação e política

Todas Segurança cibernética Tecnologia financeira Mercado de jogos Política Tecnologia

O DevGuard está agitando a segurança da cadeia de software com uma plataforma gratuita e open source que reúne as descobertas de segurança de um projeto em um só lugar, classifica por risco e acompanha cada alerta até a resolução. Como projeto em incubação na OWASP, pode ser auto-hospedado e já está disponível no GitHub.

Feito para o fluxo de trabalho real de desenvolvedores, o DevGuard executa verificação de segredos, análise estática de código, checagem de dependências contra CVEs conhecidas, validação de infraestrutura como código, escaneamento de contêineres e verificação de licenças com uma única linha de comando. Seu Dependency Firewall atua como proxy para os registries npm, Go e Python e bloqueia pacotes maliciosos ou vulneráveis antes do download.

A plataforma também oferece regras VEX para descartar falsos positivos recorrentes, sincroniza achados com GitHub Issues, GitLab Issues e Jira, e publica dados SBOM e VEX atualizados em links ao vivo. Isso facilita a geração de evidências para ISO 27001, o EU Cyber Resilience Act, BSI IT-Grundschutz e SLSA, mantendo a segurança visível em todo o pipeline de build.

DevGuard lança gestão gratuita de vulnerabilidades open source para a cadeia de software

#open-source #cybersecurity #vulnerability-management #software-supply-chain #appsec #devguard

Ver detalhe →

Ferramentas de IA estão escrevendo e enviando código mais rápido do que os mantenedores de open source conseguem revisar, e muitos desses projetos operam no limite. O resultado é uma falha de segurança crescente no software que move celulares, carros, sistemas em nuvem e plataformas de IA.

Ao mesmo tempo, atacantes plantam pacotes maliciosos em repositórios populares, enquanto o dinheiro segue desequilibrado: a Linux Foundation arrecadou US$ 292 milhões em 2024, e a Apache Software Foundation recebeu menos de 1% disso. A maioria dos usuários nunca paga, e dependências críticas ficam subfinanciadas e sem pessoal suficiente.

Corrigir isso exige tratar a manutenção de open source como infraestrutura essencial, não como trabalho gratuito. Financiamento, governança e revisões de segurança precisam acompanhar a enxurrada de código gerada por IA, ou o próximo grande vazamento pode começar em um projeto que ninguém quis pagar.

A IA está soterrando mantenedores de open source em código, e o impacto na segurança está só começando

#ai #governance #open-source #cybersecurity #funding #software-supply-chain

Ver detalhe →