mastouille.fr est l'un des nombreux serveurs Mastodon indépendants que vous pouvez utiliser pour participer au fédiverse.
Mastouille est une instance Mastodon durable, ouverte, et hébergée en France.

Administré par :

Statistiques du serveur :

640
comptes actifs

#itsecurity

2 messages2 participants0 message aujourd’hui

AI Agents: Loyal Only to the Prompt

Recently I thought “If AI scrapers are scraping my website, would a prompt injection work? Just adding invisible Prompt commands …?”

And just today, a colleague sent me this link to an article about prompt injection in GitLab Duo: Remote Prompt Injection in GitLab Duo Leads to Source Code Theft:

TL;DR: A hidden comment was enough to make GitLab Duo leak private source code and inject untrusted HTML into its responses.

legitsecurity.com/blog/remote-

Well – it shows: damit! Someone else was faster! 😀

But besides that: it confirms a paranoid thought that I have been harboring for quite a while. Any output of an AI system must not be trusted blindly.

[…]

locked.de/ai-agents-loyal-only

www.legitsecurity.comRemote Prompt Injection in GitLab Duo Leads to Source Code TheftThe Legit research team unearthed vulnerabilities in GitLab Duo.
#Agents#Agetic#AI

#Microsoft has simply given us no other option,” #Signal says as it blocks Windows Recall. Even after its refurbishing, Recall provides few ways to exclude specific apps.

@signalapp Messenger is warning the users of its #Windows #Desktop version that the privacy of their messages is under threat by Recall, the AI tool rolling out in #Windows11 that will #screenshot, index, and store almost everything a user does every three seconds.

💬 arstechnica.com/security/2025/

Ars Technica · “Microsoft has simply given us no other option,” Signal says as it blocks Windows RecallPar Dan Goodin
#messanger#ai#it

Mastodon hivemind question:

Employer is rolling out Windows Hello for Business for work-issued devices. Employees have been told that they must download a proprietary 2FA app to their *personal* (i.e not work-issued) devices to enable WH4B enrolment for their work devices.

I have struggled to find any information via Microsoft support pages to explain the need for this step. Any #ITsecurity or #infosec people able to point me to relevant documentation on this?

Microsoft entzieht einem Richter des Internatonalen Strafgerichtshofs den Zugriff auf dessen E-Mails.

Microsoft kappt einer Universität in China (!) den Zugang zu deren Cloud-Dienste.

Also, nur mal so aus Neugierde:
Liebe Unternehmen, Einrichtungen, Institute, Universitäten, ... in Deutschland:
Fühlt ihr euch noch wohl, wenn ihr in eurer IT-Landschaft weiterhin auf Produkte aus dem Hause Microsoft setzt?
Oder überhaupt auf
irgendeine Software "Made in USA"?

Ja, ganz sicher?

social.anoxinon.de/@RoedigerRG/114507201227166306

#Microsoft #UnplugTrump #UnplugUSA #ITsecurity #CyberSecurity

social.anoxinon.de - MastodonRoedigerRG (@RoedigerRG@social.anoxinon.de)#Microsoft abruptly cuts Microsoft 365 services – including OneDrive, OneNote, and SharePoint to Chinese university, genomics firm https://www.scmp.com/tech/tech-war/article/3305889/microsoft-abruptly-cuts-services-chinese-university-genomics-firm

AI-powered features are the new attack surface! Check out our new blog in which LMG Security’s Senior Penetration Tester Emily Gosney @baybedoll shares real-world strategies for testing AI-driven web apps against the latest prompt injection threats.

From content smuggling to prompt splitting, attackers are using natural language to manipulate AI systems. Learn the top techniques—and why your web app pen test must include prompt injection testing to defend against today’s AI-driven threats.

Read now: lmgsecurity.com/are-your-ai-ba

LMG SecurityAre Your AI-Backed Web Apps Secure? Why Prompt Injection Testing Belongs in Every Web App Pen Test | LMG SecurityDiscover how prompt injection testing reveals hidden vulnerabilities in AI-enabled web apps. Learn real-world attack examples, risks, and why your pen test must include LLM-specific assessments.

Guten Morgen,

Phishing kann jede*n treffen. Mails und SMS erreichen inzwischen zumindest bei manchen Angriffen eine hohe Qualität. Früher konnte man Phishingmails meistens an haarsträubenden Grammatikfehlern, schlechter Übersetzung oder fehlende persönliche Informationen erkennen. Durch Datenlecks oder über das Anzapfen von Social Media Beiträgen gelangen Angreifer*innen an persönliche Informationen und können mit KI überzeugend klingende Texte in beliebigen Sprachen schreiben.
Um auch vor gut gemachten Phishingversuchen geschützt zu sein, solltest du nie auf Links in Mails oder SMS klicken. Speicher stattdessen die Webseite deiner Bank, von DHL, deinen Social Media Plattformen oder deinen Onlineshops als Bookmarks. Dies geht über die Bookmark Funktion im Browser oder als URL in deinem Passwortmanager. Bei quasi allen Anbietern kannst du wichtige Benachrichtigungen in deinem Kundenbereich einsehen. Wenn du eine Mail bekommst, die dich zu einer Handlung auffordert, gehst du einfach auf deinen Bookmark. So bist du auf jeden Fall auf der echten Seite und nicht auf einer Phishingseite. Danach kannst du im Kundenbereich nachsehen, ob es wirklich etwas zu tun gibt.
Nimm den heutigen Tag als Anlass und speichere deine Bank und deine Social Media Seiten als Bookmark.

Habt einen guten Tag!

Guten Morgen liebe*r Leser*in,

Gerade bei mobilen IT-Geräten wie Laptops, Smartphones oder Tablets werden viele persönliche Daten durch die Gegend getragen. Um diese zu schützen, solltest du die Geräte verschlüsseln. Zum Glück musst du dafür heute nicht mehr manuell mit kryptografischen Befehlen hantieren. Android und iOS verschlüsseln Smartphones und Tablets automatisch. Selbst Laptops sind inzwischen meistens mit Windows BitLocker oder Apples FileVault verschlüsselt. Falls deine Version von Windows kein BitLocker unterstützt oder du ein externes Laufwerk so verschlüsseln möchtest, dass du es auch unter MacOS oder Linux entschlüsseln kannst, kannst du VeraCrypt einsetzen. VeraCrypt ist ein OpenSource Tool, dass sich auf die Verschlüsselung von Partitionen konzentriert.
Nimm den heutigen Tag als Anlass und verschlüssele deine Daten.

Habt einen wundervollen Tag

Guten Morgen,

Werbung ist nicht nur nervig. Sie verbraucht auch eine Menge Daten und verlangsamt damit Webseiten und Apps. Werbeplätze werden in automatischen Auktionen an die Meistbietenden verkauft. Dazu werden verschiedenste Daten über dich gesammelt und verkauft. Außerdem gibt es immer wieder Fälle, in denen Werbung für eine Anwendung gar nicht vom Anbieter stammt sondern von Angreifer*innen, die dich zu Seiten mit Trojanern locken. Oder es wird sogar in der Werbung selbst Schadcode auf seriösen Seiten ausgeliefert.
Es gibt daher gute Gründe, warum du einen Werbeblocker nutzen solltest. Besonders gut ist zum Beispiel uBlock Origin addons.mozilla.org/en-US/firef Neben Werbung unterbindet uBlock Origin auch Tracker, die deine Daten sammeln, oder bekannte Seiten mit Schadcode.
Webseiten werden schneller geladen und sind ohne die ganze Werbung viel besser zu lesen. Ich bekomme jedes mal einen kleinen Schock, wenn ich Webseiten mal ohne Werbeblocker sehe.
Da Google in Chrome die Schnittstelle für Erweiterungen so geändert hat, das Werbeblocker nicht mehr richtig arbeiten, solltest du Firefox eine Chance geben. Hier funktionieren die Erweiterungen wie sie sollen.
Sowohl Firefox als auch uBlock Origin sind OpenSource. Du kannst sie also kostenlos nutzen und bei Problemen auf eine breite Community zurückgreifen.
Wenn du einer Webseite Geld zukommen lassen möchtest, weil du jetzt keine Werbung mehr siehst und damit deren Einnahmequelle wegfällt, gibt es meistens auch andere Wege. Z.B. Abos, Spenden, Mitgliedschaften oder Dienste wie Patreon. Gerade in Zeiten von Fakenews und KI, die alles frisst was erreichbar ist, ist eine unabhängige Finanzierung guter Angebote von Qualität notwendig.
Nimm den heutigen Tag als Anlass und probiere Firefox mit uBlock Origin.

Habt einen guten Tag!

rant_mode=on

Dear App makers,

If I already have a login to your site/system/service then do NOT make me create a PIN to “make it simpler to login to the App”.

Making it “simpler to login to the App” would be remembering my credentials and using whatever biometrics are in my device to retrieve them, not having me create yet another secret that I need to remember and manage.

Seriously… please stop doing this!

rant_mode=off