C0ss4ck

Cloud Security | Long live the great unity of the people of the world!

[C0ss4ck @CossackWang]

@BestMinhal tql!

[C0ss4ck @CossackWang]

"Sandbox as a tool wrapper" wins "Agent in sandbox"

[OpenAI Developers @OpenAIDevs]

Build long-running agents with more control over agent execution.

New capabilities in the Agents SDK:
• Run agents in controlled sandboxes
• Inspect and customize the open-source harness
• Control when memories are created and where they’re stored

[Bilgin Ibryam @bibryam]

Your Container Is Not a Sandbox
https://t.co/mOTmqC5PgY

[C0ss4ck @CossackWang]

@Terenceliqiang 哈哈，不是官方指定的安全容器方案。我们用crosvm+gunyah跑一些headless的进程，但部分SoC缺pvmfw，就fallback到systrap platform的runsc来跑

[C0ss4ck @CossackWang]

第一次被gvisor合pr
https://t.co/xBTU5hgVB5
最近在折腾高通的安全容器方案

[C0ss4ck @CossackWang]

今天画云计算安全思维导图时意识到好久不挖洞不搞fuzz不搓sast了，竟然跑去搞了两三个月的可信计算，现在能凑合着跟厂商联合设计DICE度量启动方案了。
不禁感慨，遥想当年大二密码学都是考前背题才过的，觉着可信计算只可能出现在跳过的论文里……

[C0ss4ck @CossackWang]

捡了一台8口万兆+IceLake-D的1u机，准备改成all-in-one

[C0ss4ck @CossackWang]

最近工作吐槽记录
1. 对于一个修复流程完全不影响用户侧的固件漏洞，国内SRE讨论了一个多月“修复时监控哪些指标才能证明不影响用户”，非中SRE两周就修完了
2. 云产品没人相信APT就在面前，就算这些产品经理的前司都有公开的APT案例，也都装看不见...也没人相信APT会用bootkit，demo甩脸上也不相信...

[C0ss4ck @CossackWang]

@karminski3 oak stream:别打了别打了

[C0ss4ck @CossackWang]

正确的，不少成年人都能把AI当ground truth，更别说AI教案误人子弟了

[联合早报 Lianhe Zaobao @zaobaosg]

中国教育部发布人工智能使用指南，明确规定小学阶段禁止学生独自使用开放式内容生成功能，教师不得将生成式人工智能作为替代性教学主体。 https://t.co/MfhCZmNkeA

[C0ss4ck @CossackWang]

暴露了数据擦除的缺位，按理说实例释放后硬盘至少要做clear级擦除

[Jim Yu @ivyliner]

帮忙恢复了, 我要是腾讯云负责人, 我不会帮忙恢复
1. 契约精神, SLA 怎么规定就怎么处理.
2. 最重要的数据安全问题引发的信任问题
请问腾讯云是怎么恢复的 ?
为什么你们号称"所有数据被清理, 且不可找回" 为什么可以找回?
这里有个非常关键的数据安全性问题: 你们对用户数据是怎么处理的 ?

[C0ss4ck @CossackWang]

在Orin AGX 32G跑QwQ-32B

[C0ss4ck @CossackWang]

@bdsqlsz 说不定是老黄的诡计（纯属猜测）：看到友商猛堆显存，先进行一个48G vBIOS leak，啊客户反馈供电不稳定？找人抄个L40 pcb！市场反应不大？96G vBIOS leak，再找人抄个H100 pcb！这下既炒高了4090，又消耗了库存

[C0ss4ck @CossackWang]

在sw blog刷个脸🫡《如何把0day变成1day》

[infosec.exchange/@swing @bestswngs]

水一水 blog 😆

https://t.co/qnsZrpFGGs

[C0ss4ck @CossackWang]

Awesome work!
I think the most valuable thing might be the "zentool" and partial details of microarchitecure of Zen, which is the door of analyzing amd-ucode.

[spq @__spq__]

Here are the details about the AMD Signature verification vulnerability we worked on, Enjoy!
https://t.co/b9CPWqIEzO

[C0ss4ck @CossackWang]

稳定复现，退货警告

[C0ss4ck @CossackWang]

喜提今年第一炸——mac mini m4跑Qwen2.5-Coder-14B-Instruct-Q5把CPU跑挂了

[C0ss4ck @CossackWang]

@MarsCode_Team 😢VS Code 插件还会持续维护吗？

[C0ss4ck @CossackWang]

@Eqq111e 更惨的是不仅撞洞，还被人发BH

[C0ss4ck @CossackWang]

@therabbithole @elonmusk But actually North Korea has betrayed socialism....