Marcin Niemiec

security researcher, bug bounty hunter and appsec engineer

[Marcin Niemiec @xvnpw]

@feross @anthonyronning @feross it makes me nervous to secure supply chain with npm install -g socket ;) people are right to challenge that (in polite way)

[Marcin Niemiec @xvnpw]

@feross @anthonyronning I disagree with @anthonyronning. Trivy hack was about using latest tag. Imho it's more about insecure design in GitHub than anything else.
@feross Good job with socket. One tiny thing: could you pack socket-cli into binary? Why not just download bin from releases page, verify sha

[Marcin Niemiec @xvnpw]

@Maciej_Korowaj "Pytanie otwarte - do czego?" Chcą móc grać najlepiej jak potrafią swoimi najlepszymi kartami: strachem, terrorem, szantażem i okrucieństwem. W każdej możliwej postaci i miejscu.

[Marek Meissner @MarekMeissner]

Air raid alert Chełm, Poland
@anneapplebaum @TimothyDSnyder
@davidgilmour

[Marcin Niemiec @xvnpw]

@renaultgroup I think it's only light effect on logo @renaultgroup . But might be interesting inspiration for future

[ppłk rez. Maciej Korowaj @Maciej_Korowaj]

"MGŁA WOJNY" - Mroczne Widmo - komentarz

Wtajemniczeni w arkany kremlowskiej polityki rosyjscy komentatorzy wskazują że, Władimir Putin zgodził się na tymczasowe ustępstwa w sprawie Ukrainy po tajnych rozmowach z Donaldem Trumpem.

Według tego samego źródła, otoczenie z grupy "patriotów" z bliskiego kręgu rosyjskiego prezydenta postrzega te ustępstwa jako środek przymusowy, który umożliwi odwrócenie tragicznych konsekwencji prowadzenia tej niedopracowanej wojny.

Zaznaczę, że w mojej ocenie wybuchła ona za sprawą "pazernej" grupy "biznesmenów", która wcześniej maiła duży wpływ na politykę Putina. Dodatkowo Prezydent Federacji Rosyjskiej wykorzystał okres gorącego konfliktu z Ukrainą i Zachodem do skonsolidowania swojej władzy oraz przygotowania społeczeństwa na nowe wyzwania wojenne.

W tym przypadku część dużej strategicznej przerwy jest Rosji krytycznie potrzebna jako niezbędny czas do przygotowania się do nowego, bardziej zdecydowanego etapu konfliktu, a jednocześnie uchroni Federację przed długotrwałą zapaścią.

Według osoby wtajemniczonej, Putin jest przekonany, że kadencja nieprzewidywalnego Trumpa będzie ostatnią, a po nim do Białego Domu powróci słaba postać, taka jak Biden lub jeszcze bardziej przewidywalny amerykański polityk.

Oceniam, że w tym wypadku "szarża Trumpa" może przynieść zamierzony skutek, czyli podpisanie zawieszenia broni, ale ostatecznie nie ograniczy to planów rosyjskiej ekspansji przy pomocy projekcji własnej agresji.

Czy znów kupowany jest nam czas? A może Rosja przekona się do innego modelu rozwoju pod dyktando USA? Ta druga opcja obecnie jest mało prawdopodobna.

Zdaniem analityków rosyjskich to właśnie na ten okres przerwy strategicznej będzie wykorzystany przez Kreml na zaostrzenie działań wywiadowczych i hybrydowych.

Źródło rosyjskie podkreśla, że otoczenie Prezydenta postrzega obecne porozumienia jako "[...] zwodniczy manewr - pozór pokoju, za którym rozpocznie się ukryta mobilizacja sił".

Według źródła, na najwyższym szczeblu kierowniczym Kremla (Rada Bezpieczeństwa Federacji Rosyjskiej) opracowano już wstępny plan, zgodnie z którym "wytchnienie" (ros. передышка) potrwa dokładnie tak długo, jak Trump będzie kontrolował sytuację w Europie i Azji oraz na Bliskim Wschodzie. W ich ocenie potowa to najdalej do końca jego kadencji.

Ten czas Federacja Rosyjska chce wykorzystać na całkowite przezbrojenie, stworzenie nowych sił zbrojnych, najemniczych (ochotniczych) grup uderzeniowych i przygotowania do nowego rodzaju wojny, która wykroczy poza Ukrainę.

Według cytowanej wcześniej osoby wtajemniczonej w działanie Kremla (często nie mylącej się w ocenie sytuacji) Putin nie ma już złudzeń w stosunku do polityki Waszyngtonu i to niezależnie od opcji politycznej. Zapewne nabrał pewności co do tego po ostatniej rozmowie z Tumpem i garści "zgniłych korzyści" w sprawie pokoju z Ukrainą.

"[...} Po otwartych dostawach rakiet dalekiego zasięgu do Kijowa i utworzeniu nowych baz wojskowych NATO w Europie Wschodniej oraz Północnej, Rosja postrzega konflikt z NATO jako w dłuższej lub bliższej perspektywie jako nieodwracalny".

Czy to realna groźba czy tylko kognitywne odziaływanie? Liczymy na najlepsze ale szykujmy się na najgorsze.

W ocenie rosyjskich analityków, (którą też podzielam) w nadchodzących latach wektor projekcji rosyjskiej agresji przeniesie się na kraje bałtyckie.

Najbardziej gorliwi rosyjscy analitycy wskazują w swoich ocenach, że Putin i jego generałowie są przekonani, że bez kontroli nad wschodnim brzegiem Bałtyku Rosja "będzie ściśnięta" i zamknięta w co raz bardziej obiecującym obszarze Arktycznym, a konflikt z Ukrainą przerodzi się w przedłużającą się, wyczerpującą konfrontację zagrażając żywotnym obszarom federacji Rosyjskiej.

Oceniam, że już teraz na nasypie Frunzenskim w Moskwie jest planowana nowa faza szybkich konfliktów na kierunkach Bałtyckim, Kaukaskim, Azji Centralnej oraz Arktycznym, odmienna od długotrwałej wyciszającej wojny z Ukrainą, gdzie w nowym wydaniu utrzymywanie długotrwałe wysokiej gotowości bojowej jednostek, przed takim potencjalnym konfliktem, będzie kluczowym wyznacznikiem manewru i zaskoczenia strategicznego. Czyli według Rosjan decydującą zdolnością do pokonania silniejszego technicznie ale sparaliżowanego decyzyjnie (skłóconego) rozdrobnionego przeciwnika.

Źródło rosyjskie twierdzi również, że Putin osobiście powiedział na spotkaniu za zamkniętymi posiedzeniu Rady Bezpieczeństwa, że " [...] Nie możemy teraz wytrzymać otwartego starcia z Ameryką, ale za kilka lat nas nie powstrzymają".

Ale nie znalazłem nic konkretnego co Putin sądzi o Europie, zapewne ją nie doceniając.

Bardzo intersujące jest to że według cytowanej osoby wtajemniczonej w funkcjonowanie rosyjskich służb bezpieczeństwa, już teraz są przygotowane na Kremlu "scenariusze niestabilności" dla krajów bałtyckich i części Polski, Kaukazu oraz Azji Centralnej.

Rosjanie rozważają różne modele prowadzenia operacji w ramach "Wojny Zrównoważonej" tj. sabotażu i wywołania "niepokojów społecznych" np. wśród rosyjskojęzycznej ludności szczególnie w państwach byłego Związku Radzieckiego.

W tym czasie pod kierownictwem Ministra Obrony na bazie praktycznych doświadczeń z wojny z Ukrainą trwa w rosyjskich siłach zbrojnych całkowite przeformatowanie całego systemu szkolenia wojskowego oraz zmiana wzorów doktrynalnych.

Jeden z wpływowych komendantów rosyjskiej wyższej szkoły wojskowej na przemówieniu do własnych słuchaczy i wykładowców otwarcie mówił że: "[...] Naucz się walczyć ponownie, następna wojna będzie większa niż na Ukrainie".

Rosjanie z wniosków do przyszłych wydarzeń zwracają szczególną uwagę na przemysł. Należy podkreślić, że już od grudnia 2024 roku trwa niejawna mobilizacja przedsiębiorstw obronnych. Otrzymały one dyrektywy, aby zwiększyć produkcję pocisków, czołgów i dronów szturmowych co najmniej dwukrotnie do 2026 roku.

Pytanie czy im się to uda? Gdyż pytanie po co jest formułą retoryczną.

Jedne z prezesów państwowego przedsiębiorstwa obronnego ściśle powiązany z administracją Prezydenta Rosji powiedział niedawno do swoich detektorów, że "[...] Robimy sobie przerwę, aby wykończyć ich później" dodatkowo stwierdził. iż "[...] ale aby odetchnąć, kraj będzie musiał się zmienić - całkowicie zmilitaryzować".

W mojej ocenie "Mroczne Widmo" jest skrajnym scenariuszem ale równie prawdopodobnym, baza indykatorów, które je definiują jest na mojej matrycy analitycznej otwarta.

Faktem jest, że okno możliwości dla Rosji otworzy się ponownie, o ile nie zbudujemy mechanizmów ostrzegawczych i obronnych (potencjału obronnego), a także nie nabędziemy odporności na agresywne odziaływania Moskwy szczególnie prowadzące do erozji naszych zdolności pod progiem wojny.

Pozdrawiam i dziękuję.

[Marcin Niemiec @xvnpw]

@emollick For me in security analysis Gemini 2.0 Flask Thinking works best. See https://t.co/MMLoQ9AyUy

[Marcin Niemiec @xvnpw]

🔒 New blog post: "Scaling Threat Modeling with AI: Generating 1000 Threat Models Using Gemini 2.0"

I used Google's Gemini to automate security documentation at scale. Check out:

📝 Blog: https://t.co/5fjw9XOwBZ
🛠️ Code: https://t.co/W6A0rZoO3h

[Marcin Niemiec @xvnpw]

An early look at my new project: AI Security Analyzer - a powerful tool that leverages AI to automatically generate comprehensive security documentation for your projects.

https://t.co/c41xB7kVHH

[Ethan Mollick @emollick]

"a pug is crowned king of england in an elaborate ceremony, ending with a crown being placed on its head"

I liked all of the initial videos so much.

[Ethan Mollick @emollick]

AI benchmarks falling into the McNamara Fallacy:
Step 1: Measure what can be easily measured
Step 2: Disregard that which cannot be measured easily
Step 3: Presume that which cannot be measured easily isn’t important
Step 4: Say that which can’t be easily measured doesn’t exist

[Mike Satoshi @Mikey_Satoshi]

Uwaga na kolejny scam... Właśnie przyszedł SMS od oszustów podszywających się pod @Google

[Clint Gibler @clintgibler]

🔥 Supply-Chain Firewall - New OSS tool from @Datadog

Protect yourself from malicious Python and NPM packages

$ scfw run npm install <foo>

Queries packages against https://t.co/5JDyabN6AD and Datadog's internal database, blocking known-malicious packages

https://t.co/wf0QWCMOXc

[Sekurak @Sekurak]

Nie no, to są totalne jaja. Jednak Facebook to są clowny do sześcianu 🤡

Wrzuciliśmy na nasz profil FB info o tym, że FB usunął wpis CERT Polska ostrzegający o... fałszywych reklamach na FB.

I wiecie co? Po 2 minutach usunęli też nasz wpis!

[Sekurak @Sekurak]

A teraz grubej rury. Facebook zawiesił nam właśnie *cały profil sekuraka*!

Dlaczego? A to dlatego że napisaliśmy na profilu info, że Facebook usunął wpis CERT Polska ostrzegający o scam reklamach na FB.

[ZaufanaTrzeciaStrona @zaufanatrzeciastrona@infosec @Zaufana3Strona]

Oświadczenie CERT Polska na temat usuwania przez Facebooka artykułu o oszustwach na Facebooku. Podawajcie dalej, bo ten skandal trzeba nagłośnić.

https://t.co/myYYiv91RZ

[ᴅᴀɴɪᴇʟ ᴍɪᴇssʟᴇʀ 🛡️ @DanielMiessler]

https://t.co/Z1RJ8NuqaG

[Marcin Niemiec @xvnpw]

My new blog post introducing fabric-agent-action https://t.co/ZZZogFZSRR

[Marcin Niemiec @xvnpw]

[Fabric Agent Action Demo] https://t.co/eyjMyNmNcx

[Marcin Niemiec @xvnpw]

@emollick I use LLMs for cybersecurity threat modeling. With next gen models approaching, I work on prompts that help me create new test cases. I bet my usual public test data, used on blog, are already in training data. If you are interested https://t.co/Yg1XdFE0PW