Баг Safari и Edge позволяет отобразить в адресной строке любой URL

Баг Safari и Edge позволяет отобразить в адресной строке любой URL

Баг Safari и Edge позволяет отобразить в адресной строке любой URL

Серьезный недостаток безопасности был обнаружен в браузерах Safari и Microsoft Edge. Используя его, злоумышленник может отображать URL-адрес легитимного сайта в адресной строке браузера в тот момент, когда пользователь по факту находится на вредоносном сайте. Проблему обнаружил исследователь Рафау Балох.

Специалист не стал медлить, и уведомил Apple и Microsoft о наличии бага еще в начале июня. Microsoft отреагировала достаточно оперативным патчем в августе, а вот от Apple пока не получилось дождаться какого-либо ответа.

«В процессе тестирования бага я обратил внимание, что оба браузера (как Edge, так и Safari) разрешили JavaScript обновлять адресную строку еще в процессе загрузки ресурса», — пишет Балох на своем сайте.

«Из-за наличия ошибки “состояние гони” (race condition) вкупе с задержкой, вызванной функцией setInterval, мне удалось совершить спуфинг адресной строки и загрузить содержимое с фейковой страницы».

Следовательно, вырисовывается волне рабочая схема для киберпреступников — они заманивают пользователя на определенный злонамеренный сайт, используют этот недостаток в браузерах и могут рассчитывать, что пользователь вряд ли заподозрит неладное, так как адрес страницы совершенно легитимен.

Балох опубликовал видео, которое подтверждает наличие проблемы.

Интересно, что с новым обновлением корпорация Microsoft все агрессивнее навязывает пользователям свой браузер Edge, позиционируя его как «быстрый и безопасный браузер, оптимизированный для использования в операционной системе Windows 10».

Теперь насчет «безопасного» браузера вполне можно поспорить, учитывая находку Балоха.

VK Tech научила ИИ-агентов помнить всё важное и не начинать работу с нуля

VK Tech добавила в платформу VK AI Space многоуровневую память для ИИ-агентов. Теперь они смогут сохранять контекст, переиспользовать готовые материалы и учитывать прошлые правки сотрудников. В компании рассчитывают, что это сократит долю повторно решаемых задач на 40–50%.

Память разделена на четыре слоя. Сессионная хранит ход текущего диалога и активные задачи.

Пользовательская запоминает профиль и предпочтения сотрудника. Проектная собирает материалы, решения и правила конкретного проекта. Наконец, собственная память агента фиксирует его рабочий опыт: какие подходы дали результат и что затем исправил человек.

В итоге агент превращается из цифровой рыбки с памятью на три секунды в полноценного участника команды. Например, при подготовке тендера он может сформировать ответы на основе корпоративной базы знаний.

Сотрудник внесёт правки, а система сохранит их вместе с исходными данными. В следующем тендере команде уже не придётся заново искать документы и согласовывать те же формулировки.

Тот же принцип работает при расследовании инцидентов, подготовке проектных отчётов и запуске продуктов. Агент сможет найти похожий случай, вспомнить принятое решение и учесть аргументы, которые к нему привели.

При этом новая функция не выдаёт ИИ универсальный пропуск ко всем корпоративным данным. Агент получает доступ только к информации, которую вправе видеть работающий с ним сотрудник. Пользователь может проверить содержимое памяти и удалить лишнее.

Данные хранятся внутри контура компании и не передаются внешним сервисам. В VK Tech считают, что такой подход позволит превратить опыт отдельных специалистов в общий актив: знания не исчезают вместе с закрытым диалогом, а накапливаются и переходят от одной задачи к другой.

RSS: Новости на портале Anti-Malware.ru