Halloween is about tricks and treats, but who wouldn’t fancy a bit to drink with that? [John Sutley] decided to complete his Halloween party with a drink dispenser looking as though it was dumped by a backstreet laboratory. It’s not only an impressive looking separating funnel, it even runs on an Arduino. The setup combines lab glassware, servo motors, and an industrial control panel straight from a process plant.

The power management appeared the most challenging part. The three servos drew more current than one Arduino could handle. [John] overcame voltage sag, brownouts, and ghostly resets. A healthy 1000 µF capacitor across the 5-volt rail fixed it. With a bit of PWM control and some C++, [John] managed to finish up his interactive bar system where guests could seal their own doom by pressing simple buttons.

This combines the thrill of Halloween with ‘the ghost in the machine’. Going past the question whether you should ever drink from a test tube – what color would you pick? Lingonberry juice or aqua regia, who could tell? From this video, we wouldn’t trust the bartender on it – but build it yourself and see what it brings you!

youtube.com/embed/8pY9TOOwmnc?…

hackaday.com/2025/10/31/scared…

A cura di Vicki Vinci, SOC Architect – International di Fortinet

Il trend tecnologico di assoluto maggior rilievo degli ultimi anni è senza dubbio l’avvento dell’Artificial Intelligence soprattutto declinata nella sua componente generativa (GenAI). Accantonando per il momento le considerazioni su come il mercato ne abbia fatto adozione, non è negabile che nel mondo della sicurezza questa evoluzione abbia portato una serie di cambiamenti molto significativi.
A cura di Vicki Vinci, SOC Architect – International di Fortinet
Proviamo ad analizzare alcuni casi d’uso su cui l’industria della security e la community hanno provato a focalizzare maggiormente l’attenzione:

1. Come l’AI viene utilizzata dagli attaccanti
2. L’ AI nelle attività di chi deve difendere
3. Come le soluzioni di GenAI possono venire attaccate
4. Le modalità in cui si possono proteggere i motori di LLM

Partendo dal primo esempio non v’è dubbio che la possibilità di utilizzare strumenti di GenAI abbia facilitato e di molto il compito degli attaccanti su molteplici fronti:

• La facilità nella creazione di codice malevolo in grado di aggirare le difese classiche messe in atto dalle organizzazioni
• Il supporto al perfezionamento di campagne di phishing con testi sempre più perfezionati e repliche fedeli di messaggi e portali realmente in uso da parte degli utenti
• L’integrazione delle funzionalità native degli LLM a supporto di variegate campagne d’attacco automatizzandone ed ottimizzandone le fasi partendo dallaReconnaissance, la Weaponization, fino a Installation, Command and Control (C2) terminando con Actions on Objectives

Allo stesso tempo chi ha come sua missione la difesa, viene affiancato da soluzioni in grado di:

• Accelerare la capacità di Triage aumentandone anche la profondità di dettaglio
• Produrre componenti delle soluzioni di SecOps (playbooks, connettori, ecc.) in maniera semplificata e quanto più sempre nella direzione di uno sviluppo codeless
• Mettere in campo specifiche attività di riconoscimento, contenimento e remediation automatizzate attraverso soluzioni di AgenticAI

Perché questa serie di opzioni possa essere messa in campo, uno degli elementi fondamentali è la disponibilità di un motore di LLM (pubblico o privato che sia) che inevitabilmente diventa a sua volta oggetto di possibili attacchi. La disponibilità, l’integrità e confidenzialità dei contenuti sono messi in pericolo sia singolarmente che in modo congiunto a seconda delle metodologie utilizzate.

A tal proposito i modus operandi che vediamo essere messi in atto dai Threat Actors con maggiore frequenza sono:

• Attacchi volumetrici e qualitativi sulle risorse di calcolo destinate alla fruizione del LLM (DdoS)
• Prompt injection per costruire Bias tali da produrre allucinazioni da parte del motore di LLM o attività di mass-query per estrapolazione delle informazioni contenute
• Attacchi “tradizionali” per colpire le componenti infrastrutturali coinvolte nell’erogazione del servizio (network, compute, application-layer)
• Accessi non autorizzati a motori di LLM privati tramite credenziali compromesse o accessi di rete non correttamente presidiati

In ultima istanza l’industria della Cyber Security si è messa in movimento per dare il suo contributo nella difesa di questa componente sempre più fondamentale nella nostra economia digitale. Mappando le tipologie di attacco appena citate, le soluzioni che stanno guidando il mercato sono:

• Soluzioni di GSLB, Waf e CNAPP
• Prodotti di Deep Inspection che disaccoppiano la sessione dell’utente rispetto all’accesso sulla componente di front-end del motore di LLM, strumenti di DLP e di monitoraggio
• Firewalling, strumenti di API protection
• Unified SASE, ZTNA, MFA e segregazione della rete

In ognuno di questi casi d’uso, l’ingresso degli strumenti di Artifical Intelligence ha cambiato radicalmente il livello qualitativo ma anche le tempistiche collegate alle varie fasi dell’attacco. Se in precedenza l’intervento umano era ancora una componente fondamentale in alcuni dei passaggi, oggi molte di queste attività possono essere delegate a macchine che sono in grado sia di accelerare che di parallelizzare i task accorciandone le tempistiche e moltiplicandone i volumi.

Con queste premesse diventa mandatorio mettere a disposizione dei Blue-Team strumenti che possano contrastare le nuove modalità d’attacco pareggiandone sia i tempi che le quantità. L’obiettivo finale è quello di mettere a disposizione dell’analista informazioni quanto più possibile ricche di dettaglio e che minimizzino il tempo di analisi e decisione delle contromisure, quando non siano già state messe in campo in maniera automatizzata.

Se gli attaccanti stanno utilizzando sempre più la tecnologia (oltre che le tecniche di Social Engineering) elevando la potenza delle loro attività nella scala del “tempo-macchina”, anche i difensori non possono esimersi da adottare strategie e strumenti che permettano loro di rispondere nello stesso ordine di grandezza della scala temporale. Minimizzare il dwell time farà sempre più la differenza tra un attacco andato a buon fine da un’eccellente capacità di risposta e contenimento.

Per tutti gli approfondimenti del caso è disponibile la pagina dedicata.

L'articolo Le Security Operations al tempo dell’Artificial Intelligence proviene da Red Hot Cyber.

Negli ultimi anni la cybersecurity è balzata in cima all’agenda di imprese, istituzioni e pubblica amministrazione. Ma se guardiamo ai numeri, l’Italia sembra ancora correre con le scarpe legate: investe circa lo 0,12% del PIL in sicurezza digitale, meno della metà di Francia e Germania e appena un terzo rispetto a Regno Unito e Stati Uniti (fonti: Rapporto Clusit 2025, DeepStrike Cybersecurity Spend Report 2025).

Questo budget ridotto si traduce in un parco strumenti spesso vecchio e polveroso, incapace di tenere il passo con la mole e la complessità degli attacchi. Il Rapporto Clusit 2025 fotografa una realtà che non lascia spazio a speranze: gli attacchi gravi nel nostro Paese sono cresciuti del 15,2% nell’ultimo anno e quasi ogni giorno qualcuno subisce danni rilevanti, certificati da 357 incidenti gravi che sono stati registrati nel 2024.

Aggiungiamo al quadro un ritardo digitale che pesa come un macigno: appena il 45% degli italiani ha competenze digitali di base, e molte aziende arrancano a trovare profili specializzati per difendersi (fonte: DESI Digital Skills Report 2025). In pratica, questa carenza crea una rete di sicurezza fatta più di buchi che di protezione.

Nulla di nuovo per gli attaccanti, che ci attaccano con automatismi che nelle realtà italiane pubbliche e private – dove anche acquistare una tecnologia, un corso di formazione, oppure un servizio di consulenza è una corsa ad ostacoli – sono pura fantasia: è la nuova realtà, non un’eccezione da tamponare.

E qui salta fuori il CISO, il capo della sicurezza digitale, figura che non può più essere solo un tecnico ingegnoso o un giurista pedante: serve un mix tra diritto, tecnologia, gestione e comunicazione. Chi occupa questo ruolo deve saper trasformare un linguaggio tecnico complesso in argomentazioni convincenti per i vertici dell’organizzazione, spesso poco inclini a capire che la sicurezza non è tecnologia, ma strategia.

L’asimmetria tra chi difende e chi attacca è quasi una barzelletta a denti stretti: i malintenzionati spesso hanno più budget, meno regole e più libertà d’azione. È urgente un cambio di passo che prenda in considerazione investimenti coordinati, sviluppo di competenze ampie e un cambio culturale profondo.

Ogni giorno che passa senza un cambio deciso, il rischio per il sistema Paese cresce fino al prossimo report. La cybersecurity non è più un’opzione, ma è un asset fondamentale per la sopravvivenza in un mondo iperconnesso.

Per approfondire come preparare professionisti capaci di questo salto, rimando al “Manuale CISO Security Manager”, che offre un percorso concreto di formazione multidisciplinare.

L'articolo La corsa alla cybersicurezza è partita e l’Italia corre con le scarpe legate proviene da Red Hot Cyber.

Dear Friend of Press Freedom,

It’s been 220 days since Rümeysa Öztürk was arrested for co-writing an op-ed the government didn’t like. Read on for news from California, Washington D.C. and Maryland as the government shutdown drags on.

Public records are for the public

When Wired made public records-based stories free, subscriptions went up.

When 404 Media published reporting that relied on the Freedom of Information Act without a paywall, new sources came forward.

Freedom of the Press Foundation (FPF) spoke to Wired Global Editorial Director and FPF board member Katie Drummond, and 404 Media co-founder Joseph Cox about why giving the public access to public records reporting is good for journalism — and for business. Read more here.

Shutting down the government doesn’t shut down the First Amendment

It’s absurd and unconstitutional to exclude reporters from immigration hearings unless they get government permission to attend, especially when it’s impossible to obtain permission due to the government shutdown, and particularly when the current government despises First Amendment freedoms and will use any opportunity to evade transparency.

And yet that’s exactly what an immigration court in Maryland did this week. We wrote a detailed letter to the top judge at the courthouse explaining why they need to reverse course, both to comply with the law and for the sake of democracy. The next day, Capital News Service reported that the court had backed down and lifted the ban. Read the letter here.

No secret police in LA

Award-winning journalist Cerise Castle sued Los Angeles County in July and obtained a court order for the department to release the sheriff’s deputy ID photographs.

But now the county is appealing. Its objection to allowing the public to identify law enforcement officers is especially striking when Angelenos and others across the country are outraged by unidentified, masked federal immigration officers abducting their neighbors. It also comes on the heels of the city of Los Angeles embarrassing itself with its failed effort to sue a journalist for publishing officer photographs.

We connected with Castle’s lawyer, Susan Seager, to try to figure out what the department is thinking. Read more here.

Top three questions about the White House ballroom

FPF’s Daniel Ellsberg Chair on Government Secrecy Lauren Harper has lots of questions about the demolition of a section of the White House to construct a ballroom.

She wrote about three of them for our government secrecy site, The Classifieds: (1) Is there a budget? (2) Who are the donors, and what do they get in return? and (3) Where should we look for answers about what’s going on at the East Wing? Read more here.

What we’re reading

U.S. assessment of Israeli shooting of journalist divided American officials (The New York Times). A retired U.S. colonel has gone public with his concern that the Biden administration’s findings about the 2022 killing of Palestinian-American journalist Shireen Abu Akleh by the Israeli military were “soft-pedaled to appease Israel.” There has been “a miscarriage of justice,” he says.

ICE detains British journalist after criticism of Israel on US tour (The Guardian). The detention of Sami Hamdi by U.S. Immigration and Customs Enforcement solely for his views while on a speaking tour in the U.S. is a blatant assault on free speech. These are the tactics of the thought police.

Trump and Leavitt watch with glee as the press is crumbling (Salon). “As the press becomes more subservient and less independent, the firsthand knowledge needed to even stage a fight to get our mojo back is a whisper in the ether,” writes Brian Karem. That’s why veteran journalists who know how abnormal this all is need to be extra vocal these days.

Atlanta journalist says he ‘won’t be the only’ one deported by Trump officials (The Guardian). “It’s not the way I wanted to come back to my country – deported like a criminal,” journalist Mario Guevara told Briana Erickson of FPF’s U.S. Press Freedom Tracker from El Salvador. Read The Guardian’s story, based on reporting by the Tracker.

One third of all journalists are creator journalists, new report finds (Poynter). It’s no time for gatekeeping. There aren’t enough traditional J-School trained journalists to adequately document every ICE abduction – let alone everything else going on. We appreciate everyone who is exercising their press freedom rights, no matter how they’re categorized.

RSVP

freedom.press/issues/public-re…

Part of setting up a microcontroller when writing a piece of firmware usually involves configuring its connections to the outside world. You define a mapping of physical pins to intenral peripherals to decide which is an input, output, analogue, or whatever other are available. In some cases though that choice isn’t available, and when you’ve used all the available output pins you’re done. But wait – can you use an input as an output? With [SCART VADER]’s lateral thinking, you can.

The whole thing takes advantage of the internal pull-up resistor that a microcontroller has among its internal kit of parts. Driving a transistor from an output pin usually requires a base resistor, so would it be possible to use the pullup as a base resistor? If the microcontroller can enable or disable the resistor on an input pin then yes it can, a transistor can be turned off and on with nary an output to be seen. In this case the chip is from ATmega parts bin so we’re not sure if the trick is possible on other manufacturers’ devices.

As part of our 2025 Component Abuse Challenge, this one embodies the finest principles of using a part in a way it was never intended to be used, and we love it. You’ve still got a few days to make an entry yourself at the time of writing this, so bring out your own hacks!

hackaday.com/2025/10/31/2025-c…

A partire da martedì 12 novembre 2025 entreranno in vigore le nuove disposizioni dell’Autorità per le Garanzie nelle Comunicazioni (AGCOM) che impongono un sistema di verifica dell’età per accedere ai siti pornografici.

La misura, prevista dalla delibera 96/25/CONS,dà attuazione a quanto stabilito dal cosiddetto “decreto Caivano”, approvato nel 2023 dal governo di Giorgia Meloni per contrastare la criminalità minorile e proteggere i minori dall’accesso a contenuti vietati.

Cosa cambia dal 12 novembre

Fino ad oggi, per entrare in un sito per adulti bastava dichiarare di avere almeno 18 anni con un semplice clic sulla schermata iniziale. Un metodo facilmente aggirabile che consentiva anche ai minorenni di accedere liberamente a milioni di video.

Con le nuove regole, questo meccanismo sarà sostituito da un controllo più rigoroso: i siti dovranno accertare la maggiore età degli utenti attraverso soggetti terzi certificati – aziende, istituti bancari o operatori telefonici – già autorizzati alla gestione di dati identificativi.

Il processo introdotto dall’AGCOM prevede un sistema di “doppio anonimato” che tutela la privacy dell’utente. In pratica, chi vuole accedere a un sito per adulti dovrà richiedere a un soggetto certificato una “prova dell’età”.

Il fornitore di questo servizio verifica se la persona è maggiorenne e rilascia un codice anonimo, privo di informazioni personali, che l’utente inserisce sul sito per adulti. Il sito, a sua volta, controlla la validità del codice prima di consentire l’accesso. La verifica dovrà essere effettuata ad ogni nuovo accesso.

Le regole e i divieti imposti

La delibera non impone un unico sistema tecnico, ma vieta alcune modalità considerate invasive o non sicure, come il riconoscimento facciale biometrico o la richiesta diretta della carta d’identità da parte dei siti pornografici. È esclusa anche l’autodichiarazione dell’età, ormai ritenuta insufficiente.

L’AGCOM potrà intervenire direttamente contro i portali che non si adegueranno entro 20 giorni dall’entrata in vigore della misura, arrivando, nei casi di inadempienza, fino al blocco del sito sul territorio italiano.

Il provvedimento interesserà inizialmente 48 piattaforme indicate in un elenco pubblicato dall’Autorità, che sarà aggiornato nel tempo. Tra i nomi figurano i più noti portali internazionali come Pornhub, YouPorn, Xvideos, OnlyFans, Chaturbate e Xhamster, insieme a numerosi siti minori.

Questa prima lista rappresenta solo una parte del vasto panorama di siti pornografici accessibili dall’Italia, ma segna l’avvio concreto del nuovo sistema di controllo.

Un modello già adottato in Francia

L’Italia segue così l’esempio della Francia, dove provvedimenti simili sono già entrati in vigore nei mesi scorsi. Anche lì, l’obiettivo principale è stato quello di rendere più difficile per i minorenni l’accesso a contenuti pornografici, bilanciando sicurezza e tutela della privacy.

L'articolo Dal 12 novembre in Italia scatta la verifica dell’età per siti porno. Cosa cambia proviene da Red Hot Cyber.

Award-winning journalist Cerise Castle has some history with the Los Angeles County Sheriff’s Department. In 2021, she chronicled how deputies formed violent gangs within the department. She then turned “A Tradition of Violence,” her 15-part series for Knock LA, into a podcast by the same name.

Perhaps that’s why the department was spooked when Castle submitted a Public Records Act request for names and official ID photographs of all sworn personnel, “excluding those in undercover assignments.” Or maybe the department was merely committed to following its routine practice of delaying and denying records requests.

In any case, the department produced the names of about 8,500 deputies but refused to produce any photographs except of the sheriff and his undersheriffs. They claimed that producing photographs of the deputies would violate their right to privacy and might endanger them in the future, if they ever go undercover.

But the department’s rationale seemed suspect because it also refused to comply with separate requests for headshots of three deputies who have been convicted of serious felonies, fired, and obviously won’t be sent on any future undercover operations for the department.

Castle won her Los Angeles County Superior Court Public Records Act lawsuit in July, and the court ordered the department to release the deputy ID photographs. But now the county is appealing. Its objection to allowing the public to identify law enforcement officers is especially striking when Angelenos and others across the country are outraged by unidentified, masked federal immigration officers abducting their neighbors.

The timing is also particularly odd after the California Legislature just enacted Sen. Scott Wiener’s new law, the No Secret Police Act, barring law enforcement officers operating in the state from masking their faces when working in public, beginning on Jan. 1, 2026.

We spoke to Castle’s lawyer, Susan Seager, to learn more about the case and her client’s opposition to the county’s appeal.

What is the county’s basis for its opposition to producing pictures of law enforcement officers who operate in public and serve the public at the public’s expense?

They claim that no deputy will ever work undercover again because if a deputy’s photo is posted online, and if that deputy works undercover in the future, and if a “criminal” uses facial recognition technology, then that future undercover deputy will be recognized by criminals. But the court rejected this argument because it’s all speculation. Los Angeles Superior Court Judge James Chalfant followed decisions by the California Supreme Court, such as Commission on Peace Officer Certification Standards and Training v. Superior Court, which held that ordinary police officers don’t have a right to privacy in their identities and mere “speculation” about safety risks to the general police force is not enough to block disclosure of public records containing individual police officers’ identities.

The top brass at the LA Sheriff’s Department don’t want their deputies to be accountable to the public they serve. The Sheriff’s Department fights all Public Records Act cases. It’s a knee-jerk reaction.

Susan Seager

Have similar arguments been rejected by the courts before?

No. As far as I know, this is the first case where a court decided that official police department officer ID photos are disclosable under the Public Records Act. The city of LA and city of Santa Ana both voluntarily gave journalist Ben Camacho official police officer ID photos in response to his Public Records Act legal actions, but they did so before a court ruled on his request. The LAPD photos are now online for public use at Watch the Watchers.

It seems notable that LA County is pursuing this appeal so soon after the city of Los Angeles wasted its time and the taxpayers’ money, and embarrassed itself in the Camacho case. Why is the county repeating the city’s mistakes?

The problem is that both the Los Angeles County Board of Supervisors and the Los Angeles City Council appear to be very hands-off on the litigation against them, including cases involving their sheriff’s department and police department, respectively. The elected officials seem to let their lawyers make all the decisions on litigation strategies, appeals, etc., without asking for any updates or to be involved in any decisions to appeal in cases against the government agencies. LA’s elected officials need to take more control over litigation involving their police officers. They need to stop wasting taxpayer money fighting Public Records Act cases like this, especially after a superior court orders the police agency to release the records.

Many people in Los Angeles and around the country have been outraged in recent months by Immigration and Customs Enforcement agents wearing masks, and other efforts by the Trump administration to discourage and even criminalize identifying law enforcement officers. What do you make of LA County litigating the right to keep deputies’ identities secret against that backdrop?

LA deputies probably wish they could wear masks as well. And the top brass at the LA Sheriff’s Department don’t want their deputies to be accountable to the public they serve. The Sheriff’s Department fights all Public Records Act cases. It’s a knee-jerk reaction. And the lawyers hired by the county don’t care about public accountability — they are hired to fight and win.

What’s your theory about why the county is pursuing this? Where is the pressure coming from? Do they seriously believe that this is a meritorious appeal that they have a real chance of winning? Or do they just not care because taxpayers are funding it?

This is typical for the county of Los Angeles and the Los Angeles Sheriff’s Department. They fight all Public Records Act cases. In this case, there is extra pressure coming from the labor unions representing the deputies. The deputies’ labor unions actually joined in the case as intervenors, so we are fighting against the county and the labor unions.

If journalists are not able to obtain photos of law enforcement officers through public records requests, what kind of reporting will the public lose out on?

In the age of everyone carrying a smartphone and filming police, and posting images of police on social media or news sites, the public and the press can use those images to identify officers and investigate their past history. There may be instances where deputies use excessive force or threaten members of the public, but the victim doesn’t know the name of the deputy. Photographs help identify officers.

freedom.press/issues/la-sherif…