Mesut T.

a curious mind.

[Mesut T. @mtimur]

Boyle tehlikeler kol gezerken production sistemlerde sandbox ve genel olarak defense in depth'lere yatirim yapmamak gercekten olumcul.

[Andrej Karpathy @karpathy]

Software horror: litellm PyPI supply chain attack.

Simple `pip install litellm` was enough to exfiltrate SSH keys, AWS/GCP/Azure creds, Kubernetes configs, git credentials, env vars (all your API keys), shell history, crypto wallets, SSL private keys, CI/CD secrets, database passwords.

LiteLLM itself has 97 million downloads per month which is already terrible, but much worse, the contagion spreads to any project that depends on litellm. For example, if you did `pip install dspy` (which depended on litellm>=1.64.0), you'd also be pwnd. Same for any other large project that depended on litellm.

Afaict the poisoned version was up for only less than ~1 hour. The attack had a bug which led to its discovery - Callum McMahon was using an MCP plugin inside Cursor that pulled in litellm as a transitive dependency. When litellm 1.82.8 installed, their machine ran out of RAM and crashed. So if the attacker didn't vibe code this attack it could have been undetected for many days or weeks.

Supply chain attacks like this are basically the scariest thing imaginable in modern software. Every time you install any depedency you could be pulling in a poisoned package anywhere deep inside its entire depedency tree. This is especially risky with large projects that might have lots and lots of dependencies. The credentials that do get stolen in each attack can then be used to take over more accounts and compromise more packages.

Classical software engineering would have you believe that dependencies are good (we're building pyramids from bricks), but imo this has to be re-evaluated, and it's why I've been so growingly averse to them, preferring to use LLMs to "yoink" functionality when it's simple enough and possible.

[Aravind Srinivas @AravSrinivas]

We will look back on AlphaFold as one of the greatest things to come from AI. Will keep giving for generations to come.

[Gündem Fener @GundemFBX]

🏟️ KARAGÜMRÜK DEPLASMANINDA 3 PUAN HESABI

Yarın 20:00'de Olimpiyat Stadı'nda sahaya çıkıyoruz. Ligde namağlup tek takımız: 25 maçta 16G-9B-0M, 57 puan.

Liderle aramızda 4 puan var, son 9 haftada hata lüksümüz yok. Karagümrük 18. sırada, 14 puanla küme düşme tehdidi altında.

[Gündem Fener @GundemFBX]

📊 TRANSFERMARKT GÜNCELLEMESİ: CHERİF VE YİĞİT EFE UÇUŞTA

Kadromuzda öne çıkan değer değişimleri:

📈 Yükselenler:
Cherif: 7M → 18M (+157%)
Yiğit Efe Demir: 2M → 5M (+150%)
Musaba: 4M → 6M (+50%)
Levent Mercan: 3.5M → 5M
Müldür: 5M → 7M
Oosterwolde: 16M → 18M
İsmail Yüksek: 13M → 15M

📉 Düşenler:
Álvarez: 22M → 18M (ameliyat)
Ederson: 15M → 13M
Brown: 10M → 9M
Oğuz Aydın: 10M → 8M
Söyüncü: 6M → 4.5M (sakatlık)
Fred: 7M → 6M
Semedo: 7.5M → 7M

Cherif'in 1 ayda değerini neredeyse 3'e katlaması, transfer isabetini rakamlarla teyit ediyor. 17 yaşındaki Yiğit Efe'nin yükselişi ise altyapımızın gücünü gösteriyor. Düşüşlerin büyük bölümü sakatlık kaynaklı, döndüklerinde toparlanması beklenir. #Fenerbahce

[Mesut T. @mtimur]

@utkusen Bu mevzuyu çözmek için hard cap getiriyorlarmış yakında, olmaması cidden ayıptı.

https://t.co/eG1sANHPUJ

[Logan Kilpatrick @OfficialLoganK]

@heyandras the team has been sprinting to get hard caps out, we are targeting March 12 rollout!

[Gündem Fener @GundemFBX]

⚽ GUENDOUZİ: 9 MAÇTA 9 KEZ 90 DAKİKA, HER MEVKİDE

Stoper, 6 numara, 8 numara, sol ön — nereye koysan oynuyor. %91.2 pas isabeti, %63.3 ikili mücadele kazanma, 7.4 ortalama puanla sessiz kahramanımız.

Sercan Hamzaoğlu'nun dediği gibi: "Formanın ağırlığını bilenlerden." Alper Öcal de altını çizdi: tüm üretkenlik onun bağlantıları ve servisleriyle geldi. Rıdvan Dilmen'in sözü ise net: "Fenerbahçe Guendouzi'ye dua edecek."

Asensio'nun parlaklığı gözleri kamaştırırken, bu adamın takım için yaptığı fedakarlığı es geçmeyelim.

[Gündem Fener @GundemFBX]

🛡️ Savunmanın yıldızı: N. Kanté (7.5)

💪 9/15 ikili mücadele (%60)
📊 3 top kesme | 12 top kapma | 2 kazanılan müdahale

Orta sahada adeta bir dinamo gibi çalıştı ve rakibe geçit vermedi! Kritik deplasman zaferinin gizli kahramanı. 🔒 💛💙

[Gündem Fener @GundemFBX]

🏥 STOPER HATTINDA KRİZ: 5 MAÇA 1 DOĞAL STOPER

Škriniar 4 hafta, Söyüncü 3-4 hafta, Oosterwolde 10-15 gün yok. Álvarez zaten sahalarda değil. Milli araya kadar Forest rövanşı dahil 5 kritik maç var ve elimizde tek orijinal stoper Yiğit Efe Demir. Durumu bir thread'le ele alalım. 👇

[Gündem Fener @GundemFBX]

🏆 ŞAMPİYON FENERBAHÇE BEKO! 🔥

Türkiye Kupası zaferimizin coşkusu parkeden taşıyor! Kupa koleksiyonumuza bir yenisini daha ekleyen takımımızın kutlama anları görülmeye değer. Omuz omuza nice zaferlere! 💛💙

[Mesut T. @mtimur]

@cryptoguncel @fkadev Bu cihaz Türkiye’de satılıyor mu?

[Mesut T. @mtimur]

@fkadev Bunu çözmem ABD’ye taşındıktan bir kaç yıl sonrasındadır :)

[Mesut T. @mtimur]

@fkadev Yurtdışından tanıdık birine göndertip onun memlekete gelirken getirmesi galiba en az riskli seçenek bu durumlarda.

[Mesut T. @mtimur]

@fkadev @mustafaefecan23 @ifndefgt Bu arada yazmayı unuttum; backend’e parola ilgili hiçbir şey göndermeden kimlik doğrulama sağlayan kriptografik teknikler de (PAKE) 20+ yıldır biliniyor ama uygulamada pek yaygınlaşamadılar. Sanırım yaygınlaşmadan da parolalar tarih olacak.

[Mesut T. @mtimur]

Şimdi browser ile parolayı process eden spesifik sunucu arasında tonla farklı sistem olabiliyor. O aradaki sistemlerden atıyorum load balancer takımı log tutucam diye istemeden insanların parolalarını bir dosyaya kaydedince büyük bir incident olmuş oluyor.

API key ile de parolalar farklı kategoride, zira parolalar çok kişisel, aynı parolayı farklı sistemlerde kullanmak çok yaygın bir insan davranışı ve büyük ölçekte engellemek imkansız.

Özetle front end’de parola şifreleyip TLS üzerine bir katman daha örmek çok az görülen bir şey değil, ilk örneğini 20 yıl öncesinden bile hatırlıyorum, en az 3-4 farklı bağlamda da mecburiyetten yapıldığını bizzat biliyorum.

[David Wong @cryptodavidw]

Turns out my book Real-World Cryptography has the highest grade of the top 20 books on cryptography on goodreads by quite the margin (4.56 where the next best rating is 4.30 for the first one in the list)! The only issue is that it's shy a few reviews to reach 100 ratings. Please help :)
https://t.co/dWOe42tSDC

[Veli Alper Döndaş @VeliAlperDondas]

💰 Altın hakkında bildiklerinizi unutun!

İlk altın para nerede basıldı? 🏛️
Altın Standardı ekonomiyi nasıl değiştirdi? 📈
Neden altını ısırarak test ediyorlar? 🤔
Tüm cevaplar ve çok daha fazlası "Altının Matematiği" videosunda! 🎥

📺 İzleyin: https://t.co/ozksvYNcph
#Altın

[Mesut T. @mtimur]

Let me state the obvious: Absolute security does not exist.

[Mark Ermolov @_markel___]

Intel HW is too complex to be absolutely secure! After years of research we finally extracted Intel SGX Fuse Key0, AKA Root Provisioning Key. Together with FK1 or Root Sealing Key (also compromised), it represents Root of Trust for SGX. Here's the key from a genuine Intel CPU😀

[Mesut T. @mtimur]

@neseruzgari Episodes :) tekrar izlemek istiyoruz yılda bir