126 notícia(s) relacionada(s).
Reunimos nesta página as publicações do Hack Alerta relacionadas a devsecops.
Dark Reading alerta que a crescente adoção de agentes de IA para gerar código torna crítico priorizar a segurança do pipeline em 2026. O alerta pede governança do uso de agentes, validação de artefatos e integração das práticas de análise de segurança ao código gerado automaticamente. O texto disponível destaca a mudança de paradigma, mas não fornece métricas ou exemplos públicos no trecho divulgado.
Docker tornou gratuitos os Docker Hardened Images (DHI) sob Apache 2.0, incluindo SBOMs e SLSA Build Level 3. A iniciativa facilita adoção de imagens seguras, enquanto a oferta Enterprise permanece para SLAs e conformidade.
Pesquisa da Checkmarx demonstra 'Lies‑in‑the‑Loop', técnica que forja diálogos HITL em assistentes de código (Claude Code, Copilot Chat) para induzir RCE. Recomendações incluem isolamento, validação de payloads e exibição do código bruto antes de aprovação.
Chrissa Constantine, em artigo no Dark Reading, afirma que 'vibe coding' — desenvolvimento sem governança estrita — acelera inovação, mas aumenta riscos de segurança. O aviso é qualitativo: o resumo não traz estatísticas nem incidentes vinculados; o foco é recomendação de controles, integração de testes e maturidade no SDLC para equilibrar velocidade e segurança.
A Prime Security levantou US$20 milhões para desenvolver uma plataforma agentic que conduz revisões de design de segurança de forma autônoma. A solução pretende automatizar a identificação proativa de falhas em artefatos de desenvolvimento, segundo a cobertura.
Aikido Security descreve "PromptPwnd", uma classe de prompt injection que afeta GitHub Actions/GitLab CI integrados a agentes de IA (Gemini CLI, Claude Code, OpenAI Codex) e já comprometeu pelo menos cinco empresas da Fortune 500; mitigação inclui sanitização de inputs e limitação de privilégios.
Shai‑Hulud 2.0, identificado pela Wiz.io, comprometeu mais de 30.000 repositórios via pacotes NPM envenenados (notadamente @postman/tunnel-agent v0.6.7 e @asyncapi/specs v6.8.3), roubando ~500 tokens GitHub e até 400.000 segredos detectados por Trufflehog (2,5% verificados).
A variante “The Second Coming” do Sha1‑Hulud comprometeu 800+ pacotes npm e criou ~26.300 repositórios GitHub para armazenar segredos exfiltrados; a campanha usa o runtime Bun para evasão e inclui um wiper que apaga o diretório home se não conseguir exfiltrar dados.
Campanha "Shai Hulud: The Second Coming" comprometeu contas NPM do Zapier e do ENS, injetando código self‑propagador em pacotes centrais; mais de 19.000 repositórios públicos com credenciais roubadas foram criados, requerendo rotação imediata de tokens e auditoria de dependências.
A Amazon detectou a publicação automatizada de cerca de 150.000 pacotes NPM em uma campanha coordenada associada a token farming ligada ao domínio tea.xyz. O SecurityWeek reporta que o ator financeiro automatizou o pipeline de publicação, mas não há detalhes públicos sobre conteúdo malicioso nos pacotes nem sobre remoções em massa no registry.