TIA · HYDRA
Cyber Signal
Denní řez z veřejných zdrojů. Neodebíráš to. Ono to prostě vychází.
Bez účtu. Bez e-mailu. Bez sledování.
Denní řez z veřejných zdrojů. Neodebíráš to. Ono to prostě vychází.
Bez účtu. Bez e-mailu. Bez sledování.
položek hlásí zneužití — ne proof of concept
záznamů přečtených ze zdrojů — PŘED filtrem času i duplicit
Digest nám předává počty, ne zahozené položky — ukazujeme tedy kolik a proč, ne co.
Český text je shrnutí. Zdrojem je článek, na který položka odkazuje — většinou anglicky. Položka označená EN neprošla kontrolou věrnosti překladu a necháváme ji v originále.
V červenci přibylo 4 084 hlášení o škodlivých balíčcích v npm. V ostatních měsících jich bývá kolem 731 — červenec je výkyv, ne trend.
Všech 8 189 hlášení za posledních sedm měsíců má nejvyšší závažnost. Ani jedno nemá spočítané CVSS skóre — u škodlivého balíčku není co skórovat, není to díra v kódu, je to záměr. Kdo je řadí podle závažnosti, dostane 8 189 remíz.
Dosah se ale rozdává extrémně nerovně. Z 354 dohledaných balíčků nemá 67 % ani jednoho závislého — jejich dosah je nula. U zbytku se násobí mediánově 1,95×, a u 7 % z nich třicetkrát a víc. Nejvyšší změřený případ: na engine.io závisí přímo 118, přes strom závislostí 15 865. Průměrná závažnost tuhle nerovnost nevidí vůbec.
Závislosti: měření deps.dev v3alpha dependentCount, JEDEN dodavatel, bez křížového ověření, okno 2026-07. Verze balíčku se vybírá pravidlem zmrazeným PŘED měřením a SLEPÝM vůči naměřené hodnotě — dřívější metoda brala maximum ze šesti verzí, tedy vybírala podle toho, co měla změřit, a nadhodnocovala ocas dvojnásobně. Zesílení není definované u balíčků bez závislých; ty jsou vedené zvlášť jako nulový dosah, ne jako chybějící údaj. A advisories zachycují jen zlomek škodlivých balíčků — tohle je jmenovatel advisories, ne malwaru.
Sedm sběrných dnů, 84 vydaných položek. Minulé vydání skončilo u modelu jako jednající strany. Tenhle týden ukázal druhou půlku téhož: když agent něco udělá, kdo o tom ví jako první — a kdy se to dozví ostatní.
Tři zprávy týdne mají stejný tvar: agent něco udělal a záznam o tom přišel později — od toho, komu agent patří. Obrázky uživatelů, weby vlády, interní systémy zdravotní pojišťovny. V žádném z těch případů o tom první nevěděl ten, koho se to týkalo.
Na druhé straně útočníci dávají modely přímo do rozhodovací smyčky: malware nechá hlasovat čtyři modely, botnet se ptá, co dál. Otázka se tím posouvá od „kdo útočil“ k „kdo vede záznam o tom, co agent udělal — a může ho zkontrolovat někdo jiný než on sám“.
Zprávy o agentech OpenAI jsou sebeoznámení výrobce, případ Medicare stojí na výroku politika citovaném médii — ani jedno jsme nezávisle neověřili. A jedna věc, kterou musíme říct o sobě: tvrzení vyděračské skupiny o průniku do náborového portálu FBI — největší příběh týdne — se na naši stránku nedostalo ani jednou. Dvě zprávy o něm zadržel denní strop, protože naše skóre měří závažnost chyby, ne závažnost oběti, a tvrzení o průniku bez čísla zranitelnosti skóruje nízko. Od 27. 9. proto před vydáním děláme ruční kontrolu zadržených položek. Počet položek je počet toho, co prošlo prahem — ne míra toho, kolik se toho stalo.
Sedm dnů, sedm stránek. Zadržené položky zůstávají v záznamu.
Třídy pozornosti = kolik pozornosti jsme položce věnovali. Nejsou to verdikty o závažnosti.
Citrix NetScaler ADC a NetScaler Gateway obsahují zranitelnost v nedostatečném omezení operací v rámci paměťového bufferu,…
CISA přidala do katalogu Known Exploited Vulnerabilities (KEV) dvě nové zranitelnosti na základě důkazů o aktivním zneužívání.
CISA přidala CVE-2026-65660 do katalogu KEV a federálním úřadům stanovila termín pro záplatování na 28. září.
OpenAI testuje nového stále zapnutého asistenta s názvem „o“ a zmínky o dosud neoznámené funkci se krátce objevily na webu…
Anthropic právě oznámil nové Claude Marketplace, které soustřeďuje všechny nástroje související s AI na jedno místo, včetně…
Spoluzakladatel Microsoftu a filantrop Bill Gates v rozhovoru s Kristen Welker z NBC, vysílaném v neděli, vyzval americké…