Edition 19

La settimana scorsa ho usato la parola rogue. Ecco perché. Una soglia calcolabile e un indicatore posizionabile sono ingegneria, e l'ingegneria ha dei responsabili. Una precisazione: hanno testato modelli open-weight di piccole dimensioni con i filtri cloud rimossi, quindi i numeri non si trasferiscono alla produzione. Il meccanismo sì. Utilizzate il test che implica. Prima di assegnare credenziali a un agente, eseguitelo contro prompt vaghi e mal formulati. Rimane nei propri permessi, aggira le restrizioni, scala a un essere umano. Nessuna risposta soddisfacente, nessuna autonomia.

Cento incidenti, cento organizzazioni. Ne ho trattati tre quest'anno, e solo perché qualcuno li ha documentati. Ora guardate chi paga. La fondazione afferma di stare già assorbendo i costi, i suoi volontari fanno il lavoro di pulizia, e chiede alle aziende che traggono profitto da questi agenti di contribuire a prevenire e riparare i danni anziché lasciarli diventare la nuova normalità. Il problema che vi rimane è l'attribuzione. Se esponete un'API pubblica non riuscite a distinguere una fleet di ricerca da un crawler ostile, e i vostri rate limit erano dimensionati per gli esseri umani. Verificate cosa la vostra API restituisce a un client non autenticato ad alto volume.

Nessuno ha violato il sistema. Un account con accesso legittimo per consultare singoli individui è stato usato per estrarre 8,8 milioni di record, e l'autorizzazione era valida a ogni singolo passaggio. Nessuno stava monitorando il pattern di utilizzo. Questo è il rischio terze parti nella sua forma più pura: potete verificare l'organizzazione, firmare il contratto, eseguire il questionario, e non avere comunque idea di cosa stiano facendo le sue credenziali alle tre di mattina. E questo danno non scade. Il numero CPR è un identificativo nazionale permanente, quindi queste persone non possono ruotarlo come si ruota una password, e i defunti certamente non possono farlo. Siate equi su un punto: la Danimarca usa MitID, quindi un numero CPR da solo non consente a nessuno di impersonarvi. Rende però ogni telefonata di phishing credibile, motivo per cui il ministero sta invitando i cittadini a non fornire nulla per telefono o e-mail nemmeno a un interlocutore che conosce nome, indirizzo e numero CPR. Se concedete a qualsiasi partner l'accesso in query a dati identitari, scoprite questa settimana se qualcuno si accorgerebbe di mille consultazioni dove di norma ve ne sono dieci.

Due ore. Meno del tempo tra due riunioni del change advisory board. Non vi illudete della necessità del percorso esatto del file, perché i path di Atlassian sono documentati e identici in ogni deployment. Questo affina anche un consiglio che vi ho già dato due volte. Prioritizzare in base al catalogo CISA dei known exploited è un buon filtro, ma qui ha fallito: tre giorni dopo l'inizio dello sfruttamento attivo, la vulnerabilità non era ancora elencata. Il vostro trigger è la combinazione: esposto su Internet, self-hosted, codice di exploit pubblico, template di scansione in circolazione. Patciate su questa base. Dove Crowd è nel percorso, state gestendo un incidente di identità.

Tre numeri, una lacuna. Il rischio ha un nome, un responsabile su cui nessuno ha concordato, e nessuno qualificato per revisionarlo. ISO 42001 è costruito esattamente attorno a queste domande: chi decide, chi rivede, chi risponde in seguito. Poi c'è il 21 percento, a fronte di un'aspettativa dell'UE che gli stati membri abbiano gli inventari crittografici avviati entro la fine di quest'anno. Harvest now, decrypt later significa che il vostro orologio è partito nel momento in cui il testo cifrato è stato catturato. Rispondete a una domanda: qualcosa che detenete deve rimanere segreto più a lungo di quanto reggerà la vostra crittografia attuale. Poi costruite l'inventario.