سان گیک / برنامه نویسی

یه داستان جالب و خطرناک تو Defcon امسال مطرح شده. یه محقق امنیتی دامنه‌های noreply.us و noreply.net رو ثبت کرده و فهمیده کلی شرکت دارن اطلاعات حساس کاربران و داده‌های داخلی‌شون رو به این دامنه‌ها می‌فرستن. چیزایی مثل گزارش‌های آسیب، سفارش‌های خدمات، اطلاعات حساب و حتی تصاویر دوربین‌های مداربسته! این اشتباه ساده تو تنظیمات ایمیل می‌تونه یه معدن طلا واسه هکرها باشه. محقق گفته این مشکل خیلی رایجه و شرکت‌ها باید سریع سیستم‌هاشون رو اصلاح کنن. حواستون باشه اگه تو تیم IT یا امنیت کار می‌کنین، حتماً تنظیمات ایمیل و دامنه‌های Placeholder رو چک کنین. از دامنه‌های داخلی یا .invalid استفاده کنین تا اطلاعاتتون سر از دست افراد اشتباهی درنیاره. god bless sungeeks #hossssein@sun_geek

این قبلا اینطوری نبودااااا قبلا اینطوری بود که باید ی هکر کار خفن میبودی که دعوتت کنن فعکککک کنم البته ینی یکاری میکردی دعوتت کنن و اصن جاش مخفی بود الان ۵۲۰ دلار میدی میری الان میرا میاد شر و ور میبافه 😂 #hossssssein@sun_geek

به به ،DEF CON 34 داره برگزار میشه؛ یکی از بزرگ‌ترین کنفرانس‌های هک و امنیت سایبری دنیا. جزئیاتش فعلاً محدود به تاریخ و محل برگزاریه و اطلاعات بیشتر تو سایت رسمی‌شون هست. تاریخشم از شش آگوست تا نه آگوسته، که میشه از پنج شنبه ۱۵ مرداد تا یکشنبه ۱۸ مرداد. کجاا؟؟؟ Vegas بیبی Vegas این کنفرانس همیشه پر از ارائه‌های فنی، مسابقات هک و معرفی ابزارهای جدید بوده و برای کسایی که تو حوزه امنیت کار می‌کنن یا بهش علاقه دارن، یه فرصت عالیه. منتظر انتشار ویدیوها و مستنداتش باشین. #hossssein@sun_geek

یه ابزار جدید به اسم **celld** اومده که می‌تونین Cloudflare Workers و Durable Objects رو روی سرورهای خودتون اجرا کنین. به‌جای اینکه به Cloudflare وابسته باشین، هر cell یه دیتابیس SQLite جدا داره و داده‌ها هم توی یه S3-compatible bucket ذخیره می‌شن. یعنی کنترل کامل روی زیرساخت و داده‌ها دست خودتونه. اگه دنبال یه جایگزین self-hosted برای serverless هستین یا می‌خواین معماری stateful ساده‌تر و ارزون‌تری داشته باشین، حتماً یه تست آزمایشی از celld بگیرین. ولی برای Production حساس، فعلاً دست نگه دارین! #hossssein@sun_geek

قبل از اینکه تکنولوژی غافلگیرت کنه، بشناسش. SunGeek #hossein

یه حمله زنجیره تأمین توی npm لو رفته که بیشتر از ۴۰۰ تا پکیج رو آلوده کرده. داستان اینه که مهاجما با دزدیدن اعتبارنامه‌های توسعه‌دهنده‌ها، نسخه‌های مخرب منتشر کردن. این نسخه‌ها یه Worm به اسم Mini Shai-Hulud داشتن که از طریق اسکریپت‌های preinstall اجرا می‌شده و می‌تونسته به ماشین‌های توسعه‌دهنده و محیط‌های CI نفوذ کنه. حتی به فایل‌های Visual Studio Code هم دسترسی پیدا می‌کرده! این حمله نشون می‌ده که حتی فرآیندهای مورداعتماد هم می‌تونن هدف قرار بگیرن. یعنی اگه دسترسی‌ها و اعتبارنامه‌ها درست مدیریت نشن، کل زنجیره تأمین به خطر می‌افته. حواستون به امنیت CI/CD باشه، دسترسی‌ها رو محدود کنین و از ابزارهایی مثل min-release-age استفاده کنین. اگه از npm استفاده می‌کنین، نسخه CLI رو آپدیت کنین و پکیج‌ها رو دقیق بررسی کنین. امنیت رو جدی بگیرین، چون این جور حمله‌ها داره زیاد می‌شه. منبع #hossssein@sun_geek

شرکت Meta یه ابزار جدید به اسم Muse Code معرفی کرده که قراره به مهندسا توی کارای پیچیده مثل نوشتن و دیباگ کد کمک کنه. قیمتش از رقبایی مثل OpenAI Codex و Anthropic Claude Code کمتره، اما یه شرط داره: اگه می‌خوای ارزون‌ترین پلنش رو بخری، باید اجازه بدی از داده‌های کدنویسیت برای بهبود مدل استفاده کنن (نمیدونم کی این شرکت میخاد بیخیال اطلاعات مردم بشه) این ابزار می‌تونه برای پروژه‌های شخصی یا Open Source خیلی به‌صرفه باشه، ولی واسه کدهای حساس و تجاری، به‌خاطر ریسک امنیتی و حریم خصوصی، شاید مناسب نباشه. بعضی شرکتا مثل Emburse و TestSprite هم گفتن حاضر نیستن امنیت داده‌هاشون رو با هزینه کمتر عوض کنن. اگه پروژه‌هاتون حساس نیست، می‌تونین یه تستی بزنین، ولی واسه کدهای اصلی شرکت، بهتره دنبال گزینه‌های بدون ریسک داده باشین. sungeek #hossssein@sun_geek

شرکت های Coinbase، Shopify و Ramp هرکدوم یه سیستم داخلی برای کمک به کدنویسی ساختن، ولی همچنان از ابزارهای تجاری مثل Claude Code و Codex هم استفاده می‌کنن. این شرکت‌ها به‌جای ساخت مدل زبانی خودشون، یه لایه به اسم "agent harness" طراحی کردن که وظایف مثل مدیریت workflow، امنیت و بهینه‌سازی هزینه‌ها رو انجام می‌ده. این معماری نشون می‌ده که مدل‌های زبانی دارن به یه زیرساخت استاندارد تبدیل می‌شن، و شرکت‌ها می‌تونن با ساخت لایه‌های داخلی، کنترل بیشتری روی هزینه‌ها و عملکرد داشته باشن. #hossssein sungeek #hossssein@sun_geek

مایکروسافت هم مثل گوگل تصمیم گرفته دیگه از افزونه‌های قدیمی مبتنی بر Manifest V2 توی مرورگر Edge پشتیبانی نکنه. این یعنی ad blockerهایی مثل uBlock Origin دیگه روی این مرورگر کار نمی‌کنن. مایکروسافت گفته تا پایان ۲۰۲۶ این تغییر رو برای کاربران عادی کامل می‌کنه و تا اوایل ۲۰۲۷ هم برای سازمان‌ها ادامه می‌ده. کاربرها قبل از غیرفعال شدن افزونه‌ها، نوتیفیکیشن دریافت می‌کنن و می‌تونن به نسخه‌های MV3 یا مرورگرهای دیگه مثل Firefox یا Opera مهاجرت کنن. حالا چرا مهمه؟ چون MV3 امنیت و عملکرد بهتری داره، اما محدودیت‌هایی هم داره که باعث می‌شه ad blockerهای قوی مثل uBlock Origin نتونن مثل قبل کار کنن. #hossssein@sun_geek

مایکروسافت یه قابلیت جدید به اسم "AI Gateway" به Azure API Management اضافه کرده که به‌جای APIها، روی مدیریت مدل‌های هوش مصنوعی تمرکز داره. این لایه جدید که فعلاً توی مرحله پیش‌نمایش عمومی هست، امکان مدیریت مدل‌های مختلف از ارائه‌دهنده‌هایی مثل OpenAI، Anthropic و AWS Bedrock رو فراهم می‌کنه. سیاست‌ها مثل محدودیت توکن، ایمنی محتوا و fallback مدل‌ها به‌صورت کارت‌های گرافیکی تعریف می‌شن و دیگه نیازی به XML نیست. اگه تیم شما با مدل‌های هوش مصنوعی از چندین ارائه‌دهنده کار می‌کنه، این ابزار می‌تونه مدیریت رو متمرکز و ساده‌تر کنه. مثلاً دیگه نیازی نیست برای هر مدل جداگانه محدودیت تعریف کنین. از طرفی، قابلیت‌هایی مثل OpenTelemetry برای مانیتورینگ و تحلیل داده‌ها اضافه شده. اما حواستون باشه که این قابلیت هنوز توی مرحله پیش‌نمایش هست. یعنی SLA نداره، قیمت‌گذاری مشخص نیست و ممکنه تغییراتی توی APIها یا محدودیت‌ها ایجاد بشه. همچنین، کلید دسترسی به‌صورت gateway-scoped تعریف شده که اگه لو بره، کل گیت‌وی آسیب‌پذیر می‌شه. #hossssein@sun_geek

Cloudflare یه مرورگر جدید به اسم Kitesurf معرفی کرده که مخصوص AI agents طراحی شده. این مرورگر روی پلتفرم سرورلس Workers اجرا می‌شه و به توسعه‌دهنده‌ها اجازه می‌ده بدون نیاز به ساخت مرورگر اختصاصی، نرم‌افزارهایی بسازن که کارهای وب‌محور مثل پر کردن فرم‌ها، استخراج HTML یا تعامل با صفحات وب رو انجام بدن. Cloudflare ادعا کرده Kitesurf مصرف CPU و حافظه کمتری نسبت به Chromium داره و برای taskهای رایج مثل گرفتن اسکرین‌شات یا پردازش HTML بهینه‌تره. مرورگرهای معمولی برای انسان‌ها طراحی شدن و به چیزهایی مثل رابط کاربری، تم‌ها و افزونه‌ها اهمیت می‌دن. ولی مرورگرهای مخصوص AI باید روی چیزهایی مثل مدیریت context، عملکرد، هزینه توکن‌ها و مقیاس‌پذیری تمرکز کنن. Kitesurf این نیازها رو هدف گرفته و می‌تونه برای تیم‌های AI و زیرساخت، هزینه‌ها و پیچیدگی‌ها رو کم کنه. #hossssein@sun_geek

داستان اینه که اپل برای یه مدت کوتاه تلگرام رو از اپ‌استور حذف کرد، چون محتوای غیرقانونی (CSAM) توش پیدا شده بود. بعد از اینکه تلگرام اون محتوا رو حذف کرد، اپل دوباره اپلیکیشن رو برگردوند. اما نکته اینجاست که اپل با پلتفرم‌هایی مثل X (توییتر سابق) که مشکلات مشابهی داشتن، سخت‌گیرانه برخورد نکرده و این باعث کلی سوال و بحث شده. حالا چرا این مهمه؟ اگه شما یه اپلیکیشن دارین که محتوای تولیدشده توسط کاربرا (UGC) داره، باید بدونین که اپل می‌تونه خیلی سریع و بدون هشدار قبلی اپلیکیشن شما رو حذف کنه. این یعنی باید حتماً یه سیستم قوی برای مدیریت محتوا داشته باشین و با اپل تعامل نزدیک و شفاف داشته باشین. از اون طرف، این خبر نشون می‌ده که سیاست‌های اپل همیشه یکسان نیست و ممکنه برای پلتفرم‌های بزرگ‌تر انعطاف بیشتری نشون بده. به نظرم، اگه تو حوزه اپلیکیشن کار می‌کنین، حتماً سیاست‌های اپ‌استور رو دقیق بخونین و برای مدیریت محتوا وقت و منابع کافی بذارین. حذف شدن از اپ‌استور می‌تونه یه ضربه بزرگ به کسب‌وکارتون بزنه، پس حواستون به این چیزا باشه. #hossssein@sun_geek

هوش مصنوعی داره کم‌کم مدیریت Incident Response رو توی تیم‌های مهندسی متحول می‌کنه. داستان اینه که AI می‌تونه کارهایی مثل خلاصه‌کردن کانال‌های حادثه، تحلیل کدهای ناشناخته، پیشنهاد راه‌حل، تولید Pull Request و حتی کمک به تشخیص مشکل رو انجام بده. یعنی چی؟ یعنی وقتی یه مشکل توی Production پیش میاد، می‌تونه سرعت و دقت تیم‌ها رو بالا ببره. حالا چرا مهمه؟ چون توی دنیای DevOps و مهندسی نرم‌افزار، زمان و دقت توی مدیریت حوادث خیلی مهمه. ابزارهای AI می‌تونن کمک کنن که تیم‌ها سریع‌تر به نتیجه برسن و از حجم کارشون کم کنن. ولی خب، هنوز کامل نیستن و توی شرایط پیچیده یا غیرمعمول ممکنه اشتباه کنن. به نظرم، اگه توی تیم DevOps یا مهندسی نرم‌افزار هستین، بهتره به این ابزارها یه نگاه بندازین. شاید بتونین ازشون برای ساده‌تر کردن کارهاتون استفاده کنین. ولی حواستون باشه که وابستگی کامل به AI می‌تونه خطرناک باشه. تهش اینه که تجربه انسانی هنوز خیلی مهمه و نباید حذف بشه. #hossssein@sun_geek

سلام

سلام این باز مالیده خداشاهدههههه با وپن هم به سختی بالا میاد هی پِت پِت میکنه. #hossssssein@sun_geek

برای هر عامل (Agent) از یه git worktree جداگانه استفاده کنین. اینو ما نمیگیمااااا ببیین خداشاهده Anthropic گفته. گفته که : این کار باعث می‌شه بتونین چندین تغییر رو به‌صورت موازی مدیریت کنین. یکم مفصل تر بخام بگم : ایده اینه که هر تغییر از کد تا دیتابیس و محیط اجرا، مسیر جداگانه‌ای داشته باشه و به‌جای اینکه همه توی یه محیط مشترک (مثل staging) گیر کنن، هر تغییر مسیر خودش رو بره. خیلی خفنه هااااا اگه دارین از عوامل هوش مصنوعی استفاده می‌کنین، اینا می‌تونن تعداد زیادی تغییر رو سریع تولید کنن. اگه زیرساخت‌تون نتونه این تغییرات رو مدیریت کنه، همه‌چی می‌ره تو صف و عملاً سرعتی که انتظار داشتین، به دست نمیاد. به نظرم، واسه تیم‌هایی که دارن با عوامل هوش مصنوعی کار می‌کنن یا دنبال تست و توسعه موازی هستن، این مدل می‌تونه یه گام بزرگ باشه. ولی حواستون باشه که زیرساخت فعلی‌تون احتمالاً نیاز به تغییر داره. ابزارهایی مثل Signadot می‌تونن کمک کنن، ولی هزینه و پیچیدگی هم داره. اگه تیم کوچیکی دارین یا پروژه‌تون ساده‌ست، شاید نیازی به این کار نباشه. #hossssssein@sun_geek

فورد یه وانت الکتریکی جدید معرفی کرده به اسم Fathom که قراره با قیمت پایه ۲۸,۳۵۰ دلار عرضه بشه. این ماشین امکانات کاملی مثل صفحه‌نمایش بزرگ، Apple CarPlay، Android Auto و حتی قابلیت Blue Cruise (البته با هزینه اضافی) داره. از نظر طراحی و تولید هم روی یه پلتفرم جدید به اسم UEV ساخته شده که قراره هزینه و زمان تولید رو کم کنه. چرا مهمه؟؟ چون این پوله با این دلار کارکشته میشه ۵میلیارد و سیصد خودتون دیگه مقایسه هارو انجام بدید. #hossssssein@sun_geek

گوگل یه سری قابلیت جدید به ابزار هوش مصنوعی «Ask Maps» توی Google Maps اضافه کرده. حالا می‌تونین ازش بخواین غذا سفارش بده، هتل پیدا کنه یا حتی رویدادهای محلی رو بهتون پیشنهاد بده. مثلاً می‌تونین بگین «یه غذای تند واسه مسیر برگشتم از کار پیدا کن» و این ابزار رستوران‌های مسیرتون رو بررسی می‌کنه و سفارش رو آماده می‌کنه. این قابلیت‌ها فعلاً توی آمریکا فعال شدن و قراره به کشورهای دیگه هم برسن (فعععععک نکنم اینجا ازین خبرا باشه) گوگل داره هوش مصنوعی رو بیشتر وارد زندگی روزمره می‌کنه و ابزارهایی مثل Ask Maps می‌تونن تجربه کاربری رو خیلی راحت‌تر کنن. اما این داستان یه سری ریسک هم داره؛ مثل وابستگی به کیفیت داده‌های گوگل، احتمال اشتباه در سفارش یا نگرانی‌های حریم خصوصی وقتی که اطلاعات Gmail و Calendar وارد بازی می‌شن. اگه روی محصولاتی مثل سفارش غذا یا خدمات محلی کار می‌کنین، این حرکت گوگل می‌تونه یه جهت‌گیری جدید بهتون بده. ولی واسه استفاده عملی یا تصمیم‌گیری جدی، بهتره فعلاً صبر کنین تا جزئیات بیشتری منتشر بشه #hossssssein@sun_geek

Rockstar گفته قراره ۲۷ آگوست یه پیش‌نمایش مفصل از بازی GTA VI منتشر کنه. این پیش‌نمایش اول روی نتفلیکس برای مشترکینش پخش می‌شه و بعدش روی یوتیوب میاد. بازی هم ۱۹ نوامبر برای PS5 و Xbox عرضه می‌شه. #hossssssein@sun_geek

*قطعا به کتفتونه که بگم* سامسونگ یه مانیتور جدید به اسم Odyssey G8 G80HS معرفی کرده که رزولوشن 6K داره (6144x3456) و نرخ تازه‌سازی 165 هرتز رو پشتیبانی می‌کنه. این مانیتور برای گیمینگ و کارهای گرافیکی طراحی شده، اما داستان اینه که برای استفاده کامل ازش، باید یه سیستم خیلی قوی داشته باشین. مثلاً کارت گرافیک‌های میان‌رده یا حتی بعضی از مدل‌های بالارده هم ممکنه برای اجرای بازی‌ها توی این رزولوشن بمالن و زرتشون در بره. به نظرم این مانیتور نشون می‌ده که تکنولوژی داره به سمت رزولوشن‌های بالاتر می‌ره، ولی هنوز سخت‌افزارها و حتی محتوا (مثل ویدیوها و بازی‌ها) برای 6K آماده نیستن. از طرف دیگه، این مانیتور به‌جای استفاده از پنل OLED، از IPS-LCD استفاده کرده که کیفیت رنگ و کنتراست پایین‌تری داره. این یعنی اگه دنبال یه تجربه تصویری عمیق و واقعی باشین، شاید بهتر باشه سراغ مانیتورهای 4K OLED رفت. البته که شما هیچکدومو انتخاب نمیکنید. اکثرتون یه صفحه سیاه دارید دیگه فرقی نمیکنه کجا نمایش داده بشه 😂 برا گیمیرا گفتم بیشتر #hossssssein@sun_geek