Ponad 100 milionów pobrań tygodniowo, zaufanie milionów deweloperów i kilka godzin absolutnego chaosu. 31 marca 2026 roku biblioteka Axios stała się ofiarą jednego z najbardziej wyrafinowanych ataków na łańcuch dostaw w historii ekosystemu JavaScript. Przetestowałem zainfekowaną wersję na izolowanym środowisku i szczerze mówiąc, poziom skomplikowania tego wektora zrobił na mnie wrażenie. To zmienia zasady gry. […]
512 tysięcy linii kodu źródłowego Claude Code wyciekło przez plik mapy w rejestrze NPM. Anthropic opublikował pakiet z plikiem .map, który prowadził do bucketu R2 z pełnym źródłem TypeScript. Gdy testowałem ten pakiet na własnej maszynie, zauważyłem, że wystarczyło jedno zapytanie HTTP, aby pobrać całe repozytorium. TL;DR: 31 marca 2026 roku badacz bezpieczeństwa Chaofan Shou […]
Gdy buchodi zdekompilował 377 programów Cloudflare Turnstile przechwyconych z ruchu ChatGPT, odkrył coś niepokojącego. Każda wiadomość do ChatGPT uruchamia ukryty proces, który sprawdza 55 właściwości twojego urządzenia. To nie jest zwykła weryfikacja botów. TL;DR: ChatGPT uruchamia program Cloudflare Turnstile przy KAŻDEJ wiadomości. Zdekompilowano 377 takich programów, które sprawdzają 55 właściwości urządzenia na 3 warstwach — […]
52 miliony pobrań tygodniowo. Setki bibliotek zależnych. Trzy krytyczne luki. Badacze z Cyera ujawnili 27 marca 2026 trzy podatności w LangChain i LangGraph — najpopularniejszych frameworkach do budowy aplikacji AI. Najpoważniejsza z nich, z wynikiem CVSS 9.3, pozwala atakującemu wykraść klucze API i sekrety środowiskowe przez prosty prompt injection. TL;DR: Trzy podatności w LangChain i […]
24 marca 2026 o godzinie 10:39 UTC na PyPI opublikowano złośliwą wersję jednego z najpopularniejszych pakietów Python w ekosystemie AI. LiteLLM — biblioteka służąca jako proxy dla API modeli językowych — z 97 milionami miesięcznych pobrań stała się wektorem ataku na dane uwierzytelniające tysięcy firm i deweloperów. Źródło: Snyk, Sonatype, Datadog Security Labs, marzec 2026 […]
TL;DR: Amerykańska agencja CISA dodała CVE-2026-21385 do katalogu aktywnie exploitowanych luk (KEV). To krytyczna podatność w procesorach Qualcomm z oceną CVSS 7.8, która pozwala na wykonanie kodu i eskalację uprawnień. Luka dotyka miliony urządzeń Android na całym świecie, a agencje rządowe USA mają czas na instalację poprawek tylko do 24 marca 2026 roku. Co się […]
TL;DR: 17 lutego 2026 atakujący opublikował złośliwą wersję popularnego narzędzia AI Cline na npm. Przez 8 godzin około 4000 deweloperów nieświadomie zainstalowało OpenClaw – osobnego agenta AI z pełnym dostępem do systemu. Co najważniejsze: atakujący zdobył token npm, wstrzykując prompt w tytuł GitHub Issue, który został odczytany i wykonany przez bota AI do triage’u. Co […]
Claude Opus 4.6 wykrył ponad 500 nieznanych podatności w open-source, niektóre ukryte przez dekady. Sprawdzamy jak działa i kto ma dostęp.