Dopo due anni di piccole modifiche alle funzionalità di intelligenza artificiale del browser Edge, recentemente Microsoft ha aggiunto la modalità Copilot al browser Edge, entrando ufficialmente nel mercato dei browser con intelligenza artificiale.

Nello specifico, la funzione AI nel browser Edge non è più solo una barra laterale di chat come in precedenza. La nuova modalità Copilot consente all’AI di leggere e comprendere il contenuto delle pagine web, ad esempio aiutando a interpretare una pagina di documentazione tecnica o a fornire una panoramica di visualizzazione per un video di YouTube.

Può anche navigare contemporaneamente su tutte le pagine web aperte e, quando hai difficoltà a passare da una pagina all’altra di un prodotto o di un hotel, può aiutarti a creare una tabella di confronto per aiutarti a prendere una decisione. Microsoft ha anche aggiunto funzionalità di chat vocale, che ti consentono di comprendere le pagine web e di comunicare con l’intelligenza artificiale in tempo reale.

Queste funzionalità potrebbero sembrare simili a quelle dei browser AI attualmente sul mercato, ma il CEO di Microsoft Satya Nadella le ha elogiate molto, affermando: “Questo è il primo passo per ridefinire il browser per l’era dell’intelligenza artificiale”.

Questa funzionalità è attualmente in fase sperimentale e Microsoft afferma che aggiungerà gradualmente nuove funzionalità alla modalità Copilot. Un’altra implicazione di questa sperimentazione è che la modalità Copilot è attualmente “gratuita per un periodo di tempo limitato”. Considerando che Copilot si basa ancora sui modelli di base di OpenAI, ciò significa che è possibile utilizzare gratuitamente molte delle funzionalità a pagamento di ChatGPT.

Ad esempio, è possibile utilizzare la funzionalità a pagamento DeepResearch di ChatGPT in modalità Copilot. Nadella ha anche rivelato che lancerà una funzionalità di task agent, che consentirà agli utenti di delegare attività a Copilot durante la navigazione sul web. Un imprenditore nel campo dell’intelligenza artificiale l’ha definita un’alternativa gratuita a ChatGPT Agent. ChatGPT Agent è attualmente disponibile solo per gli utenti Plus e superiori, con una quota mensile minima di 20 dollari.

Questa è probabilmente la maggiore attrattiva di Edge rispetto ad altri browser basati su intelligenza artificiale. Prima che OpenAI lanci ufficialmente il proprio browser, è possibile utilizzare la versione alternativa di ChatGPT in Edge, il che fornisce a Sam Altman un’ulteriore scusa per lasciare Microsoft.

L'articolo Microsoft Edge lancia la modalità Copilot seguendo quanto fatto da Chrome proviene da il blog della sicurezza informatica.

L’intelligenza artificiale sta diventando sempre più un assistente per i programmatori, ma uno studio di Veracode ha dimostrato che la praticità comporta un rischio per la sicurezza. Un’analisi di 100 modelli linguistici principali (LLM) ha rivelato uno schema allarmante: in quasi la metà dei casi, i modelli generano codice vulnerabile.

Secondo un rapporto di Veracode, il 45% del codice generato dalle attività conteneva vulnerabilità note. E questo vale anche per i modelli più nuovi e potenti. La situazione non è cambiata molto negli ultimi due anni, nonostante il progresso tecnologico.

Sono stati condotti test su 80 task in quattro linguaggi di programmazione: Java, JavaScript, C# e Python. Sono state verificate le vulnerabilità più comuni: SQL injection, XSS, log injection e utilizzo di crittografia non sicura.

Java ha mostrato i risultati peggiori: solo il 28,5% delle soluzioni era sicuro. I migliori sono stati Python (61,7%) e JavaScript (57%). Gli sviluppatori attribuiscono questo risultato alla qualità dei dati di training: Java era spesso utilizzato prima dello studio attivo delle SQL injection e i modelli erano in grado di “imparare” i cattivi esempi.

Gli LLM sono particolarmente scarsi nel gestire XSS e log injection, con un punteggio di superamento non superiore al 13%. La situazione è migliore con SQL injection ed errori crittografici, con un livello di sicurezza del codice che raggiunge l’80-85%.

La dimensione del modello non ha praticamente alcun effetto sul risultato. Anche i modelli LLM con più di 100 miliardi di parametri mostrano lo stesso tasso di successo del 50% dei modelli più piccoli con meno di 20 miliardi.

I ricercatori sottolineano che gli LLM generalmente non sono efficaci nel sanificare i dati di input, soprattutto senza contesto. Il problema è aggravato dal fatto che la maggior parte dei modelli è stata addestrata su codice disponibile pubblicamente su GitHub e altri siti, che spesso contengono esempi non sicuri, a volte anche intenzionalmente, come in progetti educativi come WebGoat.

Veracode avverte che le aziende che stanno già implementando l’intelligenza artificiale nella fase di sviluppo, sia tramite piattaforme open source, appaltatori o low-code, potrebbero aumentare inconsapevolmente il rischio di violazioni dei dati e attacchi.

Il CEO di Val Town, Steve Kraus, chiama questo codice “vibe code” nel suo blog: è instabile, si rompe continuamente e richiede molto debug. Secondo lui, il “vibe coding” crea debito tecnico alla stessa velocità con cui l’intelligenza artificiale genera righe di codice. Può andare bene per i prototipi, ma non per progetti seri.

L'articolo Vibe Coding fuori controllo. L’IA Genera codice vulnerabile, ma tutti se ne fregano proviene da il blog della sicurezza informatica.

[Arkandas] had a problem. They liked reading in bed, but their bedroom lamps weren’t cutting it—either too bright and direct, or too dim and diffuse. The solution was custom lighting, and a new project began.

The concept was simple—build a custom controller for a set of addressable LED lighting strips that would be installed in the bedroom. Specifically, in the headboard of the bed, providing controllable light directly where it was needed. The strips themselves were installed in aluminum channel with plastic diffusers to give a nice smooth light. [Arkandas] then tasked an ESP32 to control the strips, using the FastLED library to work with WS2812B LEDs, and also the Adafruit NeoPixel library for using SK6812 LEDs and their extra white channel. The ESP32 was set up to provide a web interface for direct control over the local network. [Arkandas] also made good use of the FauxmoESP library to enable the device to be controlled via Amazon Alexa, which fit nicely into their existing smarthome setup. Files are on Github for the curious.

The final build works well, creating a soft light in the habitable area of the bed that can also be readily controlled via voice commands or via web. We’ve seen the ESP32 do other great feats in this arena before, too, albeit of the more colorful variety. Meanwhile, if you’re cooking up your own smart lighting solutions, don’t hesitate to tell the tipsline!

hackaday.com/2025/08/02/custom…

Google ha iniziato a indicizzare le conversazioni di ChatGPT che gli utenti condividono tramite il pulsante “Share“. Il problema è venuto alla luce per la prima volta grazie a un’inchiesta giornalistica di Fast Company, che ha rivelato – attraverso l’utilizzo delle Google Dorks – che nei risultati di ricerca di Google apparivano circa 4.500 conversazioni ChatGPT.

A prima vista (come riporta un post su linkedin di Jean Bonnenfant), per molti questa novità suona come un incubo per la privacy: le proprie domande, riflessioni o perfino idee di business rischiano di diventare pubbliche e ritrovarsi visibili nei risultati di ricerca. Tuttavia, guardando più in profondità, questa mossa potrebbe trasformarsi in una rivoluzione per il mondo del digital marketing, offrendo opportunità senza precedenti in ottica SEO e content marketing.

Chiunque abbia mai lavorato nel marketing digitale conosce l’importanza della search intent: capire cosa cercano davvero gli utenti, quali problemi vogliono risolvere e quali domande si pongono. Fino a ieri, per scoprirlo si utilizzavano strumenti di keyword research, forum, social media e interviste dirette.

Ora, grazie a questa indicizzazione, basta cercare su Google usando la formula site:chatgpt.com/share seguita da una parola chiave per scoprire le domande reali che le persone stanno ponendo a un’intelligenza artificiale su un determinato tema.

Questo è un vero e proprio tesoro nascosto di ricerche di mercato gratuite: centinaia, migliaia o addirittura milioni di conversazioni che rivelano dubbi, paure e curiosità del pubblico. È come accedere direttamente alla parte più spontanea e intima dei processi di ricerca, senza filtri e senza la timidezza che talvolta blocca gli utenti sui social o nei forum pubblici.

Ma non finisce qui. Per chi crea contenuti, queste conversazioni sono una miniera d’oro: domande che nessuno ha ancora trattato, problemi troppo specifici per emergere dai tradizionali tool SEO, o curiosità che le persone non osano chiedere apertamente in pubblico. Tutto questo materiale può diventare fonte di articoli, video, podcast e post social estremamente mirati e utili per il proprio pubblico.

In pratica, si sta creando una sorta di database pubblico di conversazioni AI-utente: un nuovo tipo di contenuto generato dagli utenti (UGC) che racconta in modo diretto le esigenze reali delle persone. Le aziende e i brand che sapranno sfruttare per primi questa risorsa potranno ottenere un vantaggio competitivo notevole, anticipando trend, rispondendo a domande non ancora coperte e intercettando nuovi segmenti di pubblico.

Naturalmente, resta il tema della privacy: molti non si rendono conto che, condividendo una conversazione, questa diventa potenzialmente pubblica e indicizzabile. La buona notizia è che OpenAI offre un’opzione per disattivare questa condivisione pubblica semplicemente deselezionando la casella “Share” al momento della condivisione. In ogni caso, questo cambiamento segna l’inizio di una nuova era per il content marketing, dove la voce autentica delle persone che dialogano con l’IA diventa parte integrante del web che tutti possiamo esplorare.

L'articolo Le Chat con ChatGPT condivise su Google! Minaccia per la privacy o opportunità SEO? proviene da il blog della sicurezza informatica.

La senatrice Segre parlando di quanto sta facendo Israele ai palestinesi usa termini forti, "abominio", "disumanità", "squadrismo" non fa certo sconti, ma il genocidio ancora non lo vede, oppure lo vede ma ancora non riesce a denunciarlo.

È una persona che ha attraversato l'inferno scalza e probabilmente dopo averlo fatto risulta troppo difficile ammettere che quell'inferno è ancora lì e che adesso ad alimentarne il fuoco sono "i salvati", il gruppo di cui ci siamo sentiti parte per una vita intera.

Usare il termine "genocidio" per lei è troppo ma quello che dice a me basta.

Credo siano altri quelli a cui dobbiamo chiedere conto delle loro reticenze.

rainews.it/articoli/2025/08/ga…

Gaza, Segre sull'ammonimento di Grossman: “La parola genocidio è troppo carica di odio”

La senatrice a vita ha commentato le parole dello scrittore israeliano: “Per anni ho rifiutato di utilizzare questa parola ('genocidio'). Adesso non posso trattenermi dall'usarla”

^{Redazione di Rainews (RaiNews)}

Il presidente russo Vladimir Putin ha firmato una legge che stabilisce la responsabilità amministrativa per i proprietari di servizi VPN e introduce multe per chi cerca deliberatamente e ottiene l’accesso a materiale estremista.

La scorsa settimana, il disegno di legge n. 755710-8 è stato esaminato dalla Duma di Stato della Federazione Russa in terza lettura e approvato dal Consiglio della Federazione. Ora il testo del documento è pubblicato sul portale ufficiale di informazione giuridica. Gli emendamenti entreranno in vigore il 1° settembre 2025.

A metà luglio si è saputo che sono state proposte modifiche al Codice della Federazione Russa sui reati amministrativi, prevedendo, in particolare, multe per chi “cerca deliberatamente” materiali palesemente estremisti su Internet e vi accede.

Il nuovo articolo 13.53 del Codice degli illeciti amministrativi della Federazione Russa prevede una multa per i cittadini da 3.000 a 5.000 rubli (circa 50 euro), che può essere ricevuta per la ricerca di materiali palesemente estremisti su Internet e per avervi accesso, “compreso l’utilizzo di software e hardware per l’accesso a risorse informative, reti di informazione e telecomunicazioni, il cui accesso è limitato”.

Si tratta di 5.500 materiali estremisti inseriti nell’elenco pubblicato dal Ministero della Giustizia o specificati nel comma 3 dell’articolo 1 “Sul contrasto alle attività estremiste”.

Un altro nuovo articolo, l’articolo 13.52 del Codice degli illeciti amministrativi della Federazione Russa (violazione della procedura per l’utilizzo di software e hardware per l’accesso a risorse informatiche, reti informatiche e di telecomunicazione, il cui accesso è limitato, sul territorio della Federazione Russa) prevede sanzioni pecuniarie per i proprietari di software e hardware che accedono a tali risorse. Questa definizione include sia le VPN sia altri mezzi per aggirare i blocchi.

Fornire accesso a risorse proibite comporterà una sanzione amministrativa per i cittadini pari a 50.000-80.000 (800 euro) rubli, per i funzionari da 80.000 a 150.000 (1500 euro) rubli, per le persone giuridiche da 200.000 a 500.000 (5000 euro) rubli.

Inoltre, è stato proposto di integrare l’articolo 14.3 del Codice degli illeciti amministrativi della Federazione Russa (violazione della legislazione sulla pubblicità) con una disposizione in base alla quale ai cittadini verrà imposta una multa da 50.000 a 80.000 rubli per la distribuzione di pubblicità per l’accesso software e hardware a risorse informative con accesso limitato (per i funzionari, la multa sarà da 80.000 a 150.000 rubli e per le persone giuridiche, da 200.000 a 500.000 rubli).

Il disegno di legge e i relativi emendamenti hanno suscitato aspre critiche anche da parte di deputati e personalità pubbliche. Va notato che la scorsa settimana il capo del Ministero dello sviluppo digitale, Maksut Shadayev, ha assicurato a Vladimir Putin che gli utenti comuni non hanno nulla di cui preoccuparsi: le forze dell’ordine dovranno dimostrare che la persona stava intenzionalmente cercando informazioni proibite.

L'articolo La Russia introduce multe per l’accesso a materiale estremista tramite VPN proviene da il blog della sicurezza informatica.

Google sta spingendo i limiti della sicurezza con una nuova iniziativa, rendendo Device Bound Session Credentials (DBSC) una funzionalità beta pubblica che aiuta a proteggere gli utenti dal furto di cookie di sessione.

Inizialmente presentato come prototipo nell’aprile 2024, il sistema è ora disponibile nel browser Chrome per Windows e collega le sessioni di autenticazione a un dispositivo specifico. Ciò significa che, anche se i cookie vengono rubati, un aggressore non sarà in grado di utilizzarli su un altro computer.

Secondo il responsabile della gestione dei prodotti di Google Workspace, DBSC rafforza la protezione post-accesso bloccando l’autorizzazione remota da un altro dispositivo. Questa associazione impedisce il riutilizzo dei cookie per acquisire la sessione e migliora l’integrità dei dati di autorizzazione. La tecnologia è progettata per rafforzare la protezione dell’account non solo al momento dell’accesso, ma durante l’intera interazione con i servizi.

Oltre a DBSC, Google ha annunciato un supporto esteso per la tecnologia passkey, ora disponibile per oltre 11 milioni di clienti aziendali di Google Workspace. Sono stati inoltre introdotti nuovi strumenti amministrativi per controllare la registrazione delle chiavi e limitarne l’utilizzo ai soli token hardware.

Allo stesso tempo, l’azienda sta avviando test chiusi di un nuovo meccanismo di scambio di segnali di sicurezza: Shared Signals Framework (SSF). Questo protocollo, basato sullo standard OpenID, è progettato per trasferire rapidamente informazioni su potenziali incidenti tra sistemi diversi. SSF crea un’architettura in cui alcuni servizi (“trasmettitori“) possono notificare tempestivamente altri (“ricevitori“) in caso di attività sospette, consentendo di rispondere istantaneamente alle minacce e sincronizzare le misure di protezione.

Inoltre, Google Project Zero, la divisione specializzata nel rilevamento delle vulnerabilità zero-day, ha annunciato il lancio di un’iniziativa pilota chiamata Reporting Transparency. Il suo obiettivo è ridurre il tempo tra la creazione di una correzione e la sua disponibilità per gli utenti finali. Spesso, il problema non si verifica a livello di utente, ma nelle aziende che utilizzano componenti esterni, che non hanno il tempo di integrare la correzione ricevuta nei propri prodotti. La nuova fase del processo di divulgazione delle vulnerabilità prevede la pubblicazione delle informazioni sul problema riscontrato entro una settimana dal trasferimento allo sviluppatore.

I report includeranno ora il nome del fornitore o del progetto, il nome del prodotto, la data di invio del report e la scadenza per la politica di divulgazione di 90 giorni. L’elenco pilota include già due vulnerabilità di Windows, un bug nel Dolby Unified Decoder e tre bug nel progetto Google BigWave.

Google prevede di utilizzare questo approccio anche nel progetto Big Sleep, uno strumento di intelligenza artificiale sperimentale sviluppato in collaborazione con DeepMind. Il suo obiettivo è utilizzare l’intelligenza artificiale per automatizzare la ricerca di vulnerabilità e accelerare l’analisi di potenziali minacce. Allo stesso tempo, l’azienda sottolinea che nessun dettaglio tecnico, codice PoC o materiale che potrebbe essere utile agli aggressori sarà pubblicato fino alla fine del periodo di divulgazione.

Tutto ciò riflette una tendenza più ampia di Google: l’attenzione verso un modello di difesa informatica proattivo, coordinato e tecnologicamente avanzato, volto a ridurre al minimo i tempi di risposta agli incidenti e ad aumentare la trasparenza nell’intero ecosistema software.

L'articolo Google potenzia la sicurezza con il Device Bound Session Credentials, passkey e nuove politiche sugli 0day proviene da il blog della sicurezza informatica.

Universal control is a neat feature on Macintosh computers, allowing you to slide your mouse seamlessly from device to device. Of course you need a relatively recent version of MacOS to make it work, right? Not necessarily– thanks to [Bart Jackobs] MacFriends, universal control has come to the Macintosh Classic.
The Arduino is perfect for this purpose, but choosing it ruined a perfectly good pun and we can never forgive that.
Well, not exactly universal control, but similar functionality at any rate. [Bart] can slide his mouse from one side of his retina display over onto the glorious 512 x 342, 1-bit display of his Macintosh Classic, just as if the 68k powered antique was a modern device. As you might expect, the Motorola 68000 in that old Mac is getting a teensy bit of help– though sadly for our love of puns, from an Arduino Nano and not any kind of Teensy.

The Arduino is emulating a mouse and keyboard on the Apple Desktop Bus using code based on the abduino by [akuker]. [Bart]’s custom software on the modern Mac captures the mouse and keyboard inputs to pipe to the Arduino via USB serial. Apple’s Universal control doesn’t require a wired connection between the two machines, of course, but then, it doesn’t work on the Classic. One could imagine redoing this project for Bluetooth communication to have that a same Clarkian feeling of technological Apple has always wanted to convey– but nothing was wireless in 1990 except for telegrams and a handful of telephones, so the project is appropriate as-is.

As much as we might resent that micro-controller for ruining a pun, if you want to hook into the ADB– perhaps to use old peripherals with an emulated Macintosh— an Arduino will do the job. So would a Teensy, though, and then we’d have our pun.

Our thanks to [Bart Jakobs] for the tip. Don’t forget to send in your own: the endless maw of the tipsline is always hungry.

hackaday.com/2025/08/01/univer…

Do you use a spell checker? We’ll guess you do. Would you use a button that just said “correct all spelling errors in document?” Hopefully not. Your word processor probably doesn’t even offer that as an option. Why? Because a spellchecker will reject things not in its dictionary (like Hackaday, maybe). It may guess the wrong word as the correct word. Of course, it also may miss things like “too” vs. “two.” So why would you just blindly accept AI code review? You wouldn’t, and that’s [Bill Mill’s] point with his recent tool made to help him do better code reviews.

He points out that he ignores most of the suggestions the tool outputs, but that it has saved him from some errors. Like a spellcheck, sometimes you just hit ignore. But at least you don’t have to check every single word.

The basic use case is to evaluate PRs (pull requests) before sending them or when receiving them. He does mention that it would be rude to simply dump the tool’s comments into your comments on a PR. This really just flags places a human should look at with more discernment.

The program uses a command-line interface to your choice of LLM. You can use local models or select among remote models if you have a key. For example, you can get a free key for Google Gemini and set it up according to the instructions for the llm program. Of course, many people will be more interested in running it locally so you don’t share your code with the AI’s corporate overlords. Of course, too, if you don’t mind sharing, there are plenty of tools like GitHub Copilot that will happily do the same thing for you.

The review tool is just a bash script, so it is easy to change, including the system prompt, which you could tweak to your liking:

Please review this PR as if you were a senior engineer.

## Focus Areas
– Architecture and design decisions
– Potential bugs and edge cases
– Performance considerations
– Security implications
– Code maintainability and best practices
– Test coverage

## Review Format
– Start with a brief summary of the PR purpose and changes
– List strengths of the implementation
– Identify issues and improvement opportunities (ordered by priority)
– Provide specific code examples for suggested changes where applicable

Please be specific, constructive, and actionable in your feedback. Output the review in markdown format.

Will you use a tool like this? Will you change the prompt? Let us know in the comments. If you want to play more with local LLMs (and you have a big graphics card), check out msty.

hackaday.com/2025/08/01/ai-cod…

Once upon a time, you could buy floppy drive cleaning disks at just about any stationary or computer store. These days, they’re harder to find. If you want to build one yourself, though, you might do well to follow [Gammitin]’s fine example.

[Gammitin] has been down this road before, having built head cleaning disks before. This time, a US patent was the inspiration. It basically indicated that the spinning cleaning disc inside should be made of spunbonded polyester or spunbonded olefin (such as Dupont Tyvek)—so those materials were sought out.

The project began with [Gammitin] disassembling a standard floppy disk down to its bare components. The spindle was then separated from the magnetic platter, and refitted with a disc of Tyvek material using super glue. The disk housing was then glued back together with more super glue, and labelled as a “Floppy Cleaning Disk.” Using the disk is as simple as putting a few drops of isopropyl alcohol on the Tyvek material, and inserting it into a drive. [Gammitin] tested it with an old Olivetti machine, and found it cleaned up the heads nicely.

Sometimes, when a commercial product ceases to exist, you can just make your own at home. This is a great example of that ethos. If you’re cooking up your own tools and accessories to keep your old machines running, we’d love to hear all about it on the tipsline!

hackaday.com/2025/08/01/you-ca…

Electric guitars are great, but they’re just so 20th century. You’d think decades of musicians riffing on the instrument would mean there are no hacks left in the humble axe. You’d think so, but you’d be wrong. [Michael], for one, has taken it upon himself to reinvent the electric guitar for the digital era.

Gone are the strings, and the frets have vanished as well. The neck of this guitar is one long custom PCB, looking very sleek with black solder mask. Gold pads serve as touch sensors to give tone data over i2c (from unspecified touch sensing chips) to the Amtel Mega 32u4 at the heart of the build.

With no strings, strumming won’t work, so a laptop-style touchpad serves instead. That means every user interaction with this guitar is with capacitive touch sensors talking i2c. The X and Y coordinates of the touch, along with pressure are sent to the processor over the i2c bus, triggering an interrupt and offering quite a bit of opportunity for sound control.

Said sound control is, of course, done in MIDI. This lets the guitar control a whole variety of synths and/or software, and of course [Michael] is using more futuristic-sounding synths than a pack of guitar samples. That said, what exactly goes on with the MIDI controls is left frustratingly vague. Obviously fretting provides note selection, but does the touchpad just send a “note start” command, or are the X, Y and pressure data used in interesting ways? Is there multitouch support? The video doesn’t say.

How, exactly, the obviously-plastic body of the guitar was manufactured is also left unsaid. Is it a large resin print? SLS? It looks injection-molded, but that makes no sense for a one-off prototype. On the other hand, it looks like he’s selling these, so it may very well be an injection-molded production case we’re seeing being assembled here, and not a prototype at all.

For all the video leaves us wanting more information, we can’t help but admit the end product both looks and sounds very cool. (Skip to the 4:50 mark in the embedded video to hear it in action.) The only thing that would improve it would be a hurdy-gurdy mode. Thanks to [Michael] for the tip, and remember we want to hear tips about all the weird and wonderful hacked-together instruments you make or find on the web.

youtube.com/embed/YTp3YmfvtcU?…

hackaday.com/2025/08/01/digita…

Un annuncio apparso su un forum online, datato 26 luglio 2025, ha catturato la nostra attenzione: un utente di nome “Bucad” pubblicizza la vendita di un “iOS RCE Exploit 0day | ZeroClick/1Click”. L’exploit, apparentemente in grado di compromettere completamente un dispositivo iOS 18.5, inclusa l’acquisizione di privilegi di root, senza visibili crash o interazioni utente significative, e con capacità di persistenza, rappresenta una potenziale minaccia di proporzioni significative.

Sebbene la veridicità di tali affermazioni sia sempre da dimostrare in contesti come questi, l’annuncio solleva questioni cruciali sul funzionamento e le implicazioni del mercato degli exploit 0-day e degli spyware che vogliamo nuovamente riportare all’attenzione.

Cos’è un Exploit RCE 0-day?

Un Exploit RCE (Remote Code Execution) 0-day è una vulnerabilità software critica che permette a un attaccante di eseguire codice arbitrario su un sistema remoto (RCE) senza che il fornitore del software (in questo caso, Apple) ne sia a conoscenza o abbia avuto il tempo di rilasciare una patch (0-day).

Le caratteristiche chiave di un RCE 0-day, come quelle descritte nell’annuncio, lo rendono estremamente pericoloso:

• ZeroClick / 1Click: Indica che l’attacco richiede nessuna o minima interazione da parte dell’utente. Un attacco “ZeroClick” può compromettere un dispositivo semplicemente inviando un messaggio o una chiamata non risposta, rendendolo quasi impossibile da rilevare per la vittima. Un “1Click” richiede una singola azione, come l’apertura di un link.
• Compromissione completa del dispositivo con root: Significa che l’attaccante ottiene il massimo livello di controllo sul sistema, potendo accedere a tutti i dati, installare software, modificare impostazioni e monitorare l’attività dell’utente.
• Stealth (Nessun utente, nessun crash): L’exploit opera in modo invisibile, senza generare messaggi di errore o comportamenti anomali che possano allertare l’utente.
• Estensibilità e Persistenza: Capacità di mantenere l’accesso al dispositivo anche dopo riavvii, facilitando lo spionaggio a lungo termine.

Nel caso specifico, un exploit di questo livello su un sistema operativo come iOS, sarebbe estremamente prezioso. Se le affermazioni fossero vere, un bug simile, che colpisce l’ultima versione di iOS (18.5) e supporta futuri aggiornamenti, potrebbe valere milioni di euro sul mercato nero, riflettendo la sua rarità e l’enorme potenziale di sfruttamento.

A Cosa Serve un Exploit di Questo Calibro?

Un exploit RCE 0-day, specialmente per piattaforme così diffuse come iOS, può essere utilizzato per svariati scopi, la maggior parte dei quali illeciti o eticamente discutibili:

• Spionaggio governativo: Stati e agenzie di intelligence lo utilizzano per monitorare dissidenti, giornalisti, attivisti, funzionari governativi stranieri o bersagli di alto valore.
• Cibercriminalità: Gruppi criminali potrebbero usarlo per rubare dati sensibili, credenziali bancarie, installare ransomware o condurre frodi su larga scala.
• Spionaggio industriale: Aziende o stati possono impiegarli per sottrarre segreti commerciali o informazioni strategiche a competitor.
• Sabotaggio: In scenari estremi, un controllo completo del dispositivo potrebbe permettere anche azioni di sabotaggio o disinformazione.

Il Mercato dei Broker 0-day

Esiste un mercato, in gran parte sotterraneo e altamente specializzato, dove gli exploit 0-day vengono acquistati e rivenduti anche in aste private. I principali attori includono:

• Ricercatori di Sicurezza Indipendenti: Alcuni esperti di cybersecurity, dopo aver scoperto una vulnerabilità, decidono di venderla al miglior offerente anziché divulgarla al vendor (processo noto come “disclosure responsabile”).
• Broker di Vulnerabilità (Vulnerability Brokers): Sono intermediari che fungono da “mercato” per gli 0-day. Aziende come Zerodium, Exodus Intelligence o Crowdfense sono tra le più note. Offrono ingenti somme di denaro per exploit verificati, in particolare quelli che colpiscono sistemi operativi e applicazioni molto diffusi, come iOS, Android, o browser web. Le somme possono raggiungere cifre esorbitanti, fino a diversi milioni di dollari per exploit “full chain” (che combinano più vulnerabilità per ottenere un controllo totale senza interazione dell’utente).
• Governi e Agenzie di Intelligence: Sono tra i principali acquirenti, disposti a pagare cifre astronomiche per acquisire capacità offensive uniche.
• Venditori di Spyware: Aziende che sviluppano e vendono software di spionaggio avanzato, le quali utilizzano questi preziosi 0day per infettare gli smartphone delle vittime e ottenere la completa compromissione e quindi la sorveglianza.

Il Mercato degli Spyware e le Sue Polemiche (Pegasus, Paragon, ecc.)

Il mercato degli 0-day è strettamente legato all’industria degli spyware commerciali, che utilizza spesso questi exploit per operare. Aziende come NSO Group (con il suo celebre spyware Pegasus), Candiru, Paragon, Gamma Group (con FinFisher) e altre, sviluppano software di sorveglianza sofisticati che possono intercettare chiamate, leggere messaggi, accedere a microfono e fotocamera, tracciare la posizione e rubare dati da un dispositivo bersaglio.

Questi spyware vengono venduti a governi e forze dell’ordine con la giustificazione di combattere terrorismo, criminalità organizzata e pedofilia. Tuttavia, il loro utilizzo è diventato oggetto di accesi dibattiti e aspre polemiche per diversi motivi:

1. Abusi dei Diritti Umani: Numerose indagini giornalistiche (come il “Pegasus Project”) e rapporti di organizzazioni per i diritti umani hanno documentato l’uso di questi spyware per spiare giornalisti, avvocati, attivisti per i diritti umani, oppositori politici e anche capi di stato. Questo solleva gravi preoccupazioni sulla violazione della privacy, della libertà di espressione e del diritto a un processo equo.
2. Mancanza di Trasparenza e Responsabilità: Le aziende produttrici di spyware operano spesso con poca trasparenza, sostenendo di vendere solo a governi “legittimi” e di avere “kill switch” per impedire abusi. Tuttavia, i casi di abuso continuano a emergere, e i meccanismi di controllo e responsabilità sembrano insufficienti.
3. Rischio di Diffusione: Una volta che uno spyware, alimentato da un 0-day, viene utilizzato, l’exploit sottostante può essere scoperto e potenzialmente riutilizzato da altri attori malevoli, come accaduto con EternalBlue della NSA, che fu poi utilizzato per WannaCry e NotPetya.
4. Impatto sulla Fiducia Digitale: L’esistenza di strumenti così potenti e il loro uso improprio minano la fiducia nelle tecnologie digitali e nella sicurezza delle comunicazioni online.

Conclusione

La comunità internazionale è divisa su come gestire questo mercato. Alcuni sostengono la necessità di un divieto totale sulla vendita di spyware a entità non statali e di una regolamentazione più stringente a livello globale. Altri evidenziano la necessità di tali strumenti per la sicurezza nazionale e la lotta contro minacce reali, pur riconoscendo il problema degli abusi.

In conclusione, l’annuncio di un exploit 0-day per iOS, sebbene la sua autenticità sia da verificare, ci ricorda la continua minaccia rappresentata dalle vulnerabilità software e l’esistenza di un mercato sotterraneo altamente sofisticato. Questo ecosistema, alimentato da broker e aziende di spyware, pone sfide etiche e di sicurezza globali che richiedono un’attenzione e una regolamentazione sempre maggiori per proteggere i diritti e la privacy degli individui nell’era digitale.

L'articolo Exploit RCE 0day/0click su iOS in vendita. Scopriamo il mercato delle armi cibernetiche per lo spionaggio proviene da il blog della sicurezza informatica.

Do you like buses, or do you just like the flippy-flappy displays they use to show route information? Either way, you’ll probably love the flip-disc clock created by [David Plass].

The build is based around four seven-segment flip disc displays. The modules in question are from Flipo.io. They use a hefty 0.5 amp pulse to create a magnetic field strong enough to flip the discs from one side to the other with coils placed underneath the fluro/black flipdots themselves. The modules are controlled by a Wemos D1, which uses Wi-Fi to query a NTP server to keep accurate time. It then drives the necessary segments to display the current time. The whole thing is assembled in what appears to be some kind of kitchen storage tub.

Notably, the clock flips a couple dots once every second to meet the requirements of our One-Hertz Challenge. This also makes it obvious that the clock is working when it would otherwise be static. However, [David] notes commenting out that part of the code at times, as it can be quite loud!

This clock has got fluro dots, it’s well-executed, and it’s a fine entry to the 2025 One-Hertz Challenge. We’ve also previously explored how these beautiful displays work in detail, too. Meanwhile, if you’re busy repurposing some other kind of mechanical display technology, don’t hesitate to let us know!

hackaday.com/2025/08/01/2025-o…

BornHack is a week-long summer hacker camp in a forest on the Danish island of Fyn, that consistently delivers a very pleasant experience for those prepared to make the journey. This year’s version was the tenth iteration of the camp and it finished a week ago, and having returned exhausted and dried my camping gear after a Biblical rainstorm on the last day, it’s time to take a look at the badges. In case you are surprised by the plural, indeed, this event had not one badge but two. Last year’s badge suffered some logistical issues and arrived too late for the camp, so as a special treat it was there alongside the 2025 badge for holders of BornHack 2024 tickets. So without further ado, it’s time to open the pack for Hackaday and see what fun awaits us.

Two Very Elegant Badges

Best photographed with the badge turned off, the BornHack 2024 badge’s LEDs are BRIGHT!
Both badges are the work of [Thomas Flummer], someone who has appeared here more than once over the years with an array of beautifully designed badges and SAOs. First out is the 2024 one, and it’s a slim rectangular board around 140 by 45 mm with a row of addressable LEDs and a BornHack logo on the front, and the electronics and LiPo battery on the rear. It’s elegant in its simplicity, with an ESP32-C3 Mini module, battery charger and power supply circuit, and an NT3H2x11 addressable NFC chip and associated antenna. There are also the usual SAO and QWiC connectors flus some GPIO pads for expandability.

The LEDs on the front can display pretty colours of course, but their intended use is for persistence-of-vision displays. On its GitHub repository are several firmwares should you wish to play around with this. Meanwhile the NFC chip is interesting in itself, as it’s both a passive tag that can be read when the badge is turned off, and a tag that can be addressed by the ESP32. It was intended for an NFC game at BornHack 2024, but it remains a part worth investigating.
The Molex antenna on the 2025 badge sticks over the PCB antenna, which isn’t ideal, but seemed to work.
Having given some attention to the 2024 badge it’s time to pick up the 2025 model, which is a large white PCB in the shape of an Ø character. On the front is a BornHack logo and a row of backlit status icons on the left hand side, while on the back you’ll find the electronics and a pair of AA batteries. It’s a LoRa experimentation board, so alongside another ESP32-C3 Mini there’s a European 868 MHz LoRa Module. There’s a PCB antenna on the board but this module has one of those tiny co-axial connectors and was supplied with a Molex stick-on antenna. Full design details can be found in its GitHub repository.

A Real World LoRa Propagation Test

BornHack: Very lovely, but not the best landscape for radio.
Out-of-the-box, this badge came with a Meshtastic node firmware, which for a hacker camp badge worked very well indeed. It’s easy enough to connect to the Meshtastic app on your smartphone, and soon a plethora of nodes sprang up. Most of you will be familiar with Meshtastic networks so it’s not worth going into too much detail on that front, but the site offered an interesting opportunity to test both those Molex antennas, and 868 MHz propagation in a real-world setting.

The BornHack site is not the least challenging location from a UHF radio perspective, being a series of former gravel pits interspersed with dense forest over a large area. Thus instead of line-of-sight it offers earth banks and dense foliage, neither ideal for radio propagation. I tested it by going to the far corners of the site and sending messages to my friends, and I was pleased to find I could cover the whole terrain with no more than a single intermediate badge providing a relay. This is as much to do with the clever tech behind LoRa as it is the Molex antennas, but I was still pleasantly surprised that they worked that well. In use it makes far more sense to take power from a USB-C source than those batteries, and I fond it didn’t appreciably accelerate my phone’s power drain.
The alien abduction artwork on the EMF Explorer makes for great backlighting.
So at the camp with two badges there was plenty to do with both of them, and it’s pleasing to see a design very much focused around life after the camp. I particularly like the “10” they form together as a reference to the tenth BornHack. The 2024 badge provides a fun light show and a chance to experiment with an interesting NFC chip, while there’s every chance you’ll encounter one of the 2025 badges providing Meshtastic service in a European hackerspace over the next few years, or being carried around as a personal node.

The two official badges weren’t entirely the end of the badge story for me at BornHack, because along the way I also picked up a sporklogic.com EMF Explorer badge from its creator [Darcy Neal]. It’s an analogue circuit for listening to ambient electric fields in glorious stereo which is enough fun, but the party piece is the UFO design backlit by a green LED. One of the most effective uses of unclad PCB I have seen on a badge.

hackaday.com/2025/08/01/two-fo…

Another week, another Hackaday podcast, and for this one Elliot is joined by Jenny List, fresh from the BornHack hacker camp in Denmark.

There’s a definite metal working flavour to this week’s picks, with new and exciting CNC techniques and a selective electroplater that can transfer bitmaps to metal. But worry not, there’s plenty more to tease the ear, with one of the nicest cyberdecks we’ve ever seen, and a bird that can store images in its song.

Standout quick hacks are a synth that makes sounds from Ethernet packets, and the revelation that the original PlayStation is now old enough to need replacement motherboards. Finally we take a closer look at the huge effort that goes in to monitoring America’s high voltage power infrastructure, and some concerning privacy news from the UK. Have a listen!

frame for podcast

And/or download your own freshly-baked MP3, full of unadulterated hacky goodness.
Where to Follow Hackaday Podcast

Places to follow Hackaday podcasts:

• iTunes
• Spotify
• Stitcher
• RSS
• YouTube
• Check out our Libsyn landing page

Episode 331 Show Notes:

News:

• We’ve reache the halfway point: Announcing The 2025 Hackaday One Hertz Challenge

What’s that Sound?

• If you know what this week’s sound is, enter your best guess here.

Interesting Hacks of the Week:

• Painting In Metal With Selective Electroplating
• A Dual-Screen Cyberdeck To Rule Them All
• Human In The Loop: Compass CNC Redefines Workspace Limits
• AVIF: The Avian Image Format
• Skateboard Wheels Add Capabilities To Plasma Cutter
• Engrave A Cylinder Without A Rotary Attachment? No Problem!
• The LumenPnP Pasting Utility: Never Buy Solder Stencils Again?

Quick Hacks:

• Elliot’s Picks:
  
  • Transparent PCBs Trigger 90s Nostalgia
  • Listening To Ethernet Via Eurorack
  • Read QR Codes On The Cheap
  • 2025 One-Hertz Challenge: A Clock Sans Silicon

  
  

• Jenny’s Picks:
  
  • A Non-Sony Playstation Motherboard Replacement
  • A Cable Modem, The Way All Network Gear Should Be Mounted
  • A Very Tidy Handheld Pi Terminal Indeed

  
  

Can’t-Miss Articles:

• Power Line Patrols: The Grid’s Eye In The Sky
• When Online Safety Means Surrendering Your ID, What Can You Do?

hackaday.com/2025/08/01/hackad…