Disco duro externo conectado a un portátil sobre una mesa de despacho

El clone no porta el .git/config. El ZIP sí

Quatre CVE publicats l'agost i el setembre del 2026 descriuen la mateixa seqüència: obres una carpeta amb un agent d'IA, l'agent crida git per saber on és, i la configuració local d'aquella carpeta executa un programa amb les teves credencials abans que ningú no et pregunti si hi confies. A dins: què diu la documentació de git sobre core.fsmonitor, per què un clone normal no serveix com a via de lliurament, per què la comprovació de propietat que git sí que té queda desarmada pel gest més normal del món, i el truc que amaga la clau del teu propi grep.

IA Ciberseguretat DevOps

Llegir més →

Dos portátiles abiertos sobre una mesa de oficina y una mano escribiendo sobre unos papeles

19 Sep 2026 7 min lectura

L'agent va fixar el commit del plugin. Git li va lliurar la branca de l'atacant

Plugin4Shell afecta els quatre agents de programació amb IA més usats: clonen el repositori del plugin, fan checkout del commit fixat i mai no comproven que hi hagin aterrat. Hem reproduït al laboratori, amb git 2.43, el comportament de git en què se sosté: codi de sortida 0, un avís que ningú no llegeix i el contingut de l'atacant al directori de treball. La mateixa cadena de 40 caràcters dona una resposta diferent segons quina ordre de git la llegeixi, així que auditar amb git log no serveix. I avui la defensa depèn sobretot d'on estigui allotjat el repositori del plugin.

IA Ciberseguretat DevOps

Llegir més →

Puesto de trabajo vacío de noche en una oficina pequeña: portátil cerrado, teclado mecánico, taza fría y flexo encendido

18 Aug 2026 5 min lectura

Cinc dies, el títol d'un issue i un token de Jira

El 17 d'agost Wiz va explicar com va treure un token de Jira de Snowflake obrint un issue en un repositori públic: el títol de l'issue era l'exploit. La línia que ho permetia havia entrat cinc dies abans en un canvi que anava d'ordenar el codi, i va substituir el patró segur que la mateixa documentació de GitHub recomana per escrit. Què va fallar a la cadena de revisió, per què l'«if» que semblava un filtre no filtrava res, i què mirem nosaltres en un pipeline.

CI/CD IA GitHub

Llegir més →

Terminal de contenedores nevada con grúas portuarias y miles de contenedores apilados: la cadena de suministro por la que viaja el código que instalas

10 Aug 2026 5 min lectura

ChainDrop: 444 paquets de npm compromesos i ni un sol pedaç per aplicar

El 4 d'agost, entre les 09:35 i les 13:20 UTC, un cuc es va propagar tot sol per 444 paquets de npm robant les credencials que necessitava per continuar propagant-se. La primera versió maliciosa va sortir pel pipeline legítim, amb signatura de procedència vàlida. I hi ha un parany que inverteix el reflex correcte: revocar el testimoni robat és exactament el que dispara la càrrega següent. Què buscar als teus lockfiles, en quin ordre rotar i per què aquí no existeix cap versió corregida per instal·lar.

Desenvolupament CI/CD Ciberseguretat

Llegir més →

FakeGit

7.600 repos falsos; l'objectiu és la teva IA

23 Jul 2026 5 min lectura

El malware ja no t'enganya a tu: enganya la teva IA. FakeGit, 7.600 repositoris falsos a GitHub

La campanya FakeGit va sembrar GitHub amb 7.600 repositoris falsos; només en uns 200 es comptabilitzen més de 14 milions de descàrregues de malware. La novetat no és el volum: més de 800 es feien passar per servidors MCP i skills d'IA, i els assistents els recomanaven sols. Li han posat nom: agentbaiting.

IA Ciberseguretat GitHub

Llegir més →

Blog everyWAN

El clone no porta el .git/config. El ZIP sí

L'agent va fixar el commit del plugin. Git li va lliurar la branca de l'atacant

Cinc dies, el títol d'un issue i un token de Jira

ChainDrop: 444 paquets de npm compromesos i ni un sol pedaç per aplicar

El malware ja no t'enganya a tu: enganya la teva IA. FakeGit, 7.600 repositoris falsos a GitHub

Subscriu-te al nostre butlletí