// Popular Articles
Agent Vault: Infisical mở mã nguồn proxy giữ AI agent tránh xa secrets
Infisical vừa open-source Agent Vault — một HTTP credential proxy cho AI agent. Agent không bao giờ thấy API key: proxy tự gắn credential vào request trên đường truyền. Đây là mô hình 'tách agent khỏi credentials' mà Anthropic, Brex và Browser Use đang đi theo.
herdr 0.5.0: detach your AI agents, SSH in from your phone, reconnect anywhere
herdr v0.5.0 turns its terminal agent multiplexer into a real background session server. Close your laptop with Claude Code still running, open your phone, SSH in, type herdr, and you're back in the same workspace with the same agents. No app, no cloud, just a single Rust binary.
CVE-2026-39813: One HTTP Request Bypasses FortiSandbox Authentication
A path traversal in FortiSandbox's JRPC API (CVSS 9.1) lets unauthenticated attackers read system info, scan configs, and download a 32 KB encrypted backup with a single ../../tmp/ payload. Bytecode-level look at why /tmp/ is the perfect bypass target, what the patch is, and how it chains with CVE-2026-39808 for full root RCE.
Firecrawl /crawl + changeTracking: Monitor an entire site for pricing, docs, and inventory shifts with one flag
Add changeTracking to scrapeOptions and Firecrawl flags every page on a site as new, same, changed, or removed — with git or JSON diffs included. Pricing pages, doc trees, and product catalogs become a one-call monitoring pipeline.
Bybit cảnh báo: malware macOS giả mạo Claude Code đang hút sạch ví crypto
Bybit SOC vừa công bố chiến dịch malware đa tầng dùng SEO poisoning + Google Ads để đánh lừa developer tải Claude Code giả, đánh cắp Keychain, Telegram session và 250+ ví crypto trên macOS. Đây là cảnh báo đầu tiên từ một sàn CEX về mối đe dọa mới: AI tool discovery trở thành mặt phẳng tấn công.
Google đã build một vulnerability scanner và open-source nó: OSV-Scanner
OSV-Scanner của Google quét lockfiles, container images và cả C/C++ vendored code, đối chiếu từng dependency với database OSV.dev. 11+ ecosystem, call analysis loại bỏ alert nhiễu, guided remediation gợi ý version upgrade tối ưu, chạy được offline. Free, Apache-2.0.
Zero-day drop: SicuroWeb SSTI-to-RCE (CVE-2026-22191) + Voltronic UPS preauth root chain (CVE-2026-22192–22199)
Researcher @kmkz_security just dropped two OT-facing zero-day chains with public PoCs after four months of vendor silence. One is a 10-year-old AngularJS sandbox escape shipped in 2026 emergency-lighting gear (CVSS 9.3); the other is a pre-auth path traversal + hardcoded root password on Voltronic UPS cards (CVSS 10.0) that hands attackers a direct pivot into OT infrastructure.
6 one-liner eBPF cứu ca trực on-call lúc 3 giờ sáng
Pager kêu 3h sáng, service flapping, dashboard không thấy gì lạ. Đây là 6 lệnh bcc-tools kernel-native giúp bạn tìm ra thủ phạm trong vài phút — mà Grafana không bao giờ thấy.
Helix 02 tự dọn phòng khách: một mạng neural, 61 hành động, zero code mới
Figure AI vừa công bố demo mới: robot Figure 03 chạy trên Helix 02 tự xịt lau bàn, hốt đồ chơi, ném gối lên sofa, xoay remote bấm tắt TV — tất cả từ một neural network duy nhất, không can thiệp con người.
CrowdSec: IDS/IPS + WAF mã nguồn mở chia sẻ threat intel theo thời gian thực
CrowdSec là engine bảo mật open-source kết hợp IDS, IPS và WAF, dùng mạng lưới 40.000+ agent toàn cầu để chia sẻ ~1 triệu signal tấn công mỗi ngày. 92% các cuộc tấn công đến từ IP đã có sẵn trong community blocklist — nghĩa là bạn chặn được trước khi attacker chạm vào server.