MoEla

Software Engineering & Security Research (Red Teaming)
🔜🔜 Youtuber soon...
building @TalibAI_inc
I mostly retweet to share with my future self and others 💖

[brainstormity @brainstormity]

Ok so...

JEV just accidentally helped me find backdoors on a family member's wifi network. 🤯

- ​Brought my laptop to code while visiting.
- Decided to experiment with a JEV-powered classifier for network packets fetched via Wireshark.

​While building the tool for fun, JEV's classification caught some serious threats. At first I thought JEV was wrong, but then I got a frontier AI model to validate the findings

...and here we are factory resetting some of their devices and securing their network. 🛠️

@typesafeai's JEV powered cybersecurity is real! Crazy!!

​And as always, I'm gonna be open sourcing the network packet analyzer soon.

[David Cramer @zeeg]

Guess ill move off of Vercel for (unpaid) personal projects at this point.

I dont mind if people ask permission for this, and everyones free to make their own choices, but I am your funnel, not your product.

[Baptiste Robert @fs0c131y]

Hackers claim to have breached Gravy Analytics, a US location data broker selling to government agencies.

They shared 3 samples on a Russian forum, exposing millions of location points across the US, Russia, and Europe.

It's OSINT time! 👇

[Me2resh @me2resh]

خلصت آخر كتاب ابتديت أقرا�� في 2024: Wiring the Winning Organization لجين كيم (The Phoenix Project, The DevOps Handbook, Accelerate) وستيف سبير (The High-Velocity Edge). الكتاب بيتكلم عن ال��حساس اللي أحيانا بنحس بيه في الشغل: ليه كل حاجة بتاخد وقت طويل ومعاها مشاكل كتير، وهي مفروض تمشي أسرع؟

المؤلفين حددوا ثلاث مبادئ أساسية:
• Slowification: بيشجعك تاخد وقت توقف فيه، تخطط كويس، وتتأقلم مع التغيرات بمرونة. يعني زي ما العربيات في السباق بتاخد pit stops علشان تزود البنزين وتصلح أي حاجة محتاجة.
• Simplification: بيخليك تقسم الشغل لأجزاء صغيرة وسهلة الإدارة بدل ما تكون في مشاريع ضخمة ومعقدة. ده بيساعد الفريق يركز أكتر ويشتغل بكفاءة أعلى.
• Amplification: بيهتم بإبراز المشاكل الصغيرة بسرعة قبل ما تكبر وتبقى صعبة التعامل معاها. يعني تكتشف المشكلات في وقتها وتحلها قبل ما تتحول لكوارث مستقبلية.

وبيستخدموا ثلاث Layers:
1. Layer 1: جوهر شغلك (كود، مواصفات المنتج، تصميمات)
2. Layer 2: الأدوات والمنصات اللي بتعتمد عليها (software، معدات)
3. Layer 3: “social circuitry”—طرق القيادة، العمليات، والعادات اللي بتربط جهود الكل مع بعض

“لما Layer 3 تكون wired صح، الناس بتاخد بالظبط اللي محتاجينه، في الوقت اللي محتاجينه فيه. مفيش ‘Is anyone handling this?’ — الشغل بيستمر بسلاسة.”

الكتاب بيفكرنا إن المنظمات الفعّالة مش بس عن “الشغل بجهد أكتر” أو “full utilization” للأفراد، لكن عن تحسين نظام الشغل كله. لما تشوف نظام شغلك كله متكامل، بتشيل اللبس والتكرار، وفجأة الشغل بيتم بسرعة.

لو حاسس إن فريق عملك دايمًا في وضعية hotfix أو غارق في تعقيد مالوش لازمة، Wiring the Winning Organization بيديك طريقة للخروج وبيساعدك تحقق انجازات حقيقية ومستدامة. أنصح بيه بشدة! 🚀

[Me2resh @me2resh]

في الـ MACH ecosystem (Microservices, API-first, Cloud-native, Headless)، كل خدمة لها دورها وعزفها الخاص، بس السؤال:
إزاي نخلّي كل الأجزاء تعزف بتناغم؟ هنا بيظهر مفهوم الـ Orchestration والـ Choreography. كل واحد فيه مزايا وعيوب، والمهمّ هو إمتى تستخدم ده أو ده.

Orchestration: قائد الفرقة وعصاية المايسترو
تخيل إنك في أوركسترا موسيقية رسمية. عندك مايسترو ماسك عصاية (الباتون) بيشاور بيها ويقول: “الوتريات الأول، بعدين الآلات النحاسية، والبيانو جهّز نفسك!” بالظبط ده اللي بيحصل في الـ Orchestration. فيه خدمة رئيسية مسؤولة عن تنسيق المهام:

Central Brain: الخدمة دي بتبعت أوامر (Commands) لأي مايكروسيرفس مطلوب منها تنفذ خطوة معينة، وتستنى رد “تمام”، وبعدين تبعت الخطوة اللي بعدها. وده مميزاته:
- وضوح في المتابعة: علشان عندك نقطة مركزية بتدير سير الطلب، تقدر تحدد فين بالظبط ممكن يحصل خطأ أو تأخير.
- سهولة في تعويض الأخطاء: لو في عملية محتاجة تعويض (راجع تنفيذها أو تلغيها)، الخدمة المركزية قادرة ترجع لباقي الخدمات وتقولها: “كل واحد يرجع اللي عمله لو سمحت.”
بس لازم ماتقعش في غلطة إنك تحوّل الـ Orchestrator لـ “God Service” يتحكم في كل تفصيلة، ويكون فعليًا مونوليث مقنّع.

Choreography: رقصة الباليه الجميلة
على الجانب التاني، الـ Choreography بتقولك: “خلّي كل خدمة عار��ة دورها لوحدها.” زي فرقة باليه، كل راقص عارف هيعمل حركة معينة أول ما يسمع موسيقى أو يشوف إشارة من الباقيين.

- Event-Driven: أي خدمة تعمل Event، والخدمات التانية اللي يهمّها الحدث ده، تشتغل بناءً عليه، من غير ما تستنى أوامر من خدمة مركزية.
- مرونة عالية: الخدمات دي مستقلة جدًا عن بعضها، وبالتالي تقدر تتطوّر أو تتغير أسرع.
- صعوبة في المراقبة: لإن ما فيش حد ماسك العصاية، محتاج حل قوي للـ Logging والـ Observability، وإلا هتفضل تسأل: “مين السبب في اللخبطة اللي حصلت؟”

الحقيقة إن كتير من المشاريع بتستعمل الاتنين مع بعض، لأن كل جزء في السيستم ممكن يناسبه أسلوب مختلف.

في النهاية، الهدف هو إن فرقتك الموسيقية (Microservices) تعزف بتناغم حلو، سواء كان عندها مايسترو بعصايته في وسط القاعة، أو بتسمع إشار��ت بعضها زي فرقة باليه. المهم ما تتحولش لحفلة وفوضى !

المصدر: https://t.co/BJlIaFdm6E

[Jonny Johnson @JonnyJohnson_]

We have all heard about attackers leveraging firewall policies or WFP to block EDRs from communicating with their servers. Today I am releasing a @HuntressLabs blog talking about how to mitigate that tampering technique within EDR products: https://t.co/bd00lmRkRW

[Hussein Nasser @hnasr]

this is interesting, instead of installing all root certificates, Windows install the bare minimum and lazy load the rest as requested.

This ensures that certificates that are later rejected don’t make it into offline installations. Plus it keeps the OS footprint smaller, there might be websites that you never visit so why have their cert.

This might explain why every time you visit a tls website with a new root certificate, Microsoft first check its local store, if it’s not there it checks its online store. If it is in its online store and it’s not revoked or expired it is downloaded and cached in the local store. So next time you don’t have to do that.

[Kyunghyun Cho @kchonyc]

very cool to see a pretty exhaustive and extensive technical report on llama-3.1!

a few fun snippets 🧵

[biraj (બિરજ) @biraj21_]

updated the list. posting to keep myself accountable.

[Santiago @svpino]

I recorded a full tutorial on how to build a RAG application using open-source models.

It's almost 1 hour.

Step by step. I explained everything as if you were 5 years old.

[Kali Linux @kalilinux]

The xz package, starting from version 5.6.0 to 5.6.1, was found to contain a backdoor. The impact of this vulnerability affected Kali between March 26th to March 29th. If you updated your Kali installation on or after March 26th, it is crucial to apply the latest updates today.

[Santiago @svpino]

What a week, huh?

1. Mojo 🔥 went open-source
2. Claude 3 beats GPT-4
3. $100B supercomputer from MSFT and OpenAI
4. Andrew Ng and Harrison Chase discussed AI Agents
5. Karpathy talked about the future of AI
...

And more.

Here is everything that will keep you up at night:

[frye @___frye]

here’s a fun fact: almost all modern computer systems depend on a single time zone database that gets updated when local laws change

it’s maintained by two people

[v @iavins]

It's pretty much everywhere - https://t.co/GY9ddBmp1d

[v @iavins]

For the past few months, I have been learning about internals of databases. I found many excellent articles on writing compilers, but I could not find many practical resources for databases. So I wrote one. CaskDB is the project I wish I had started with.

https://t.co/95EcPAjP4w

[Rob Mensching @robmen]

Lots of analysis of the xz/liblzma vulnerability. Most skip over the first step of the attack:

0. The original maintainer burns out, and only the attacker offers to help (so the attacker inherits the trust of the project built by the maintainer).

Read their words👇🏻 1/

[Thomas Roccia 🤘 @fr0gger_]

@windsheep_ Check out this blog for more details, I am still analysing this part! https://t.co/ilatDzZVsR

[Thomas Roccia 🤘 @fr0gger_]

🤯 The level of sophistication of the XZ attack is very impressive! I tried to make sense of the analysis in a single page (which was quite complicated)!

I hope it helps to make sense of the information out there. Please treat the information "as is" while the analysis progresses! 🧐 #infosec #xz

[Santiago @svpino]

LoRA adapters are revolutionary. They have changed how we fine-tune and serve models.

Unfortunately, most companies haven't realized it yet.

TL;DR: Companies can now start shipping fast and affordable models that can provide a personalized experience to customers.

A company has two options when deploying an LLM:

• Build a general model that works for all your customers

• Build a personalized model for each of your customers

Personalized versus general. Everyone knows that quality comes from specialization.

Unfortunately, companies cannot fine-tune and serve a custom LLM for each customer. This would be too costly to even consider.

And that's where most conversations end. But they shouldn't.

I've talked about parameter-efficient fine-tuning before. Specifically, I've written about LoRA and how it helps fine-tune a model for a fraction of the cost.

But the beauty of LoRA goes beyond efficiency:

LoRA works by creating and training a separate, small adapter. LoRA doesn't modify the original model. You can use multiple adapters with the same model to accomplish different tasks.

A company with 100 customers can't fine-tune and serve 100 large models, but they can train a LoRA adapter for each. These adapters are small, and training them is affordable and fast.

When serving the models, the company will use the large model and the appropriate adapter to provide personalized results to the customer. They can switch between these adapters while keeping all of them in the same GPU.

This is amazing! Serving 100 fine-tuned or traditional models would require 100 GPUs. Serving 1 model with 100 adapters would require a single GPU.

If you aren't using LoRA, you should look into it immediately.

Unfortunately, fine-tuning your model with LoRA is not straightforward. That's where @monsterapis comes in with their efficient no-code LoRA/QLoRA-powered LLM fine-tuner.

To my knowledge, this platform offers the most advanced and efficient way to fine-tune and deploy open-source Large Language Models.

They partnered with me and gave me 10,000 free credits for anyone who uses the code "SANTIAGO" in their dashboard:

https://t.co/HaeAxyM3be

If you want to read their latest updates, get free credits and special offers, join their Discord server: https://t.co/oecoxEec14

[Astro @astrodotbuild]

What makes this demo so special is that it's almost entirely server-rendered HTML.

The browser is powering the animations entirely through Astro's View Transition API (with fallbacks for browsers that don't yet support it)