Pacchetti npm finti: quando un polyfill Rollup diventa una backdoor
I pacchetti npm che imitano tool reali puntano alle workstation degli sviluppatori: token, chiavi cloud, wallet e build diventano il bersaglio.
LeggiSupply chain
Guide, analisi e storie Able2Code su Supply chain: 8 articoli con spiegazioni tecniche e difese pratiche.
ChocoPoC: il finto exploit GitHub che infetta chi fa security
I PoC malevoli non sono nuovi, ma ChocoPoC nasconde il malware nelle dipendenze: il file che leggi può essere pulito e tradirti comunque.
Leggi
HexStrike AI e MCP: il pentest col pilota automatico va messo in gabbia
Agenti AI, MCP server e tool di sicurezza cambiano il ritmo del pentest. Il punto non è usarli a occhi chiusi, ma isolarli, limitarli e renderli auditabili.
Leggi
Skill degli agenti AI: quando il plugin diventa supply chain
Gli agenti AI non installano solo pacchetti: installano istruzioni, tool, permessi e scorciatoie.
Leggi
Morris II: il worm AI che si propaga a prompt
Dai prompt autoreplicanti agli agenti che adattano l'attacco: il vecchio worm torna come threat model per RAG, email assistant e workflow agentici.
Leggi
Estensioni browser: l'ad blocker può diventare supply chain
Dai casi StegoAd e BadBlocker: permessi larghi, payload nascosti e regole remote trasformano le estensioni browser in una superficie critica.
Leggi
HalluSquatting: quando l'agente AI installa il pacchetto che si è inventato
Gli assistenti AI possono suggerire dipendenze inesistenti: un attaccante può registrarle e trasformarle in supply chain malware.
Leggi
GitHub Verified non basta: una firma valida non è una catena di fiducia
Il badge Verified conferma una parte della storia del commit, ma non sempre comunica tutto quello che un team crede di vedere.
Leggi