Google Project Zero cho biết Administrator Protection trên Windows 11 25H2 có thể bị vượt qua, đặt dấu hỏi cho cơ chế dự kiến thay thế UAC. Với đội ngũ kỹ thuật, phát hiện này nhấn mạnh rằng luồng nâng quyền phải được kiểm thử như một ranh giới bảo mật thực sự.

Google Project Zero cho biết chuỗi khai thác Pixel 9 của nhóm có thể đi từ bối cảnh zero-click đến quyền root chỉ bằng hai exploit. Lỗ hổng Dolby trong mắt xích đầu tiên từng ảnh hưởng toàn bộ Android trước khi được vá vào tháng 1/2026; nghiên cứu tiếp theo đặt câu hỏi liệu cách tiếp cận tương tự có hoạt động trên Pixel 10 hay không.

Anthropic đang mở bản xem trước nghiên cứu của Model Hardware Standard cho một nhóm phòng thí nghiệm và nhà sản xuất tiên tiến. Đề xuất này hướng đến một đặc tả dùng chung để AI agent vận hành thiết bị vật lý an toàn hơn, nhưng các chi tiết kỹ thuật và mô hình quản trị vẫn cần được làm rõ.

Bảo mật danh tính đang mở rộng từ các đợt kiểm tra quyền định kỳ sang khám phá liên tục, báo cáo tập trung và phát hiện hành vi đáng ngờ. Các hướng dẫn từ AWS, Wiz và Qualys cho thấy quản trị quyền, di chuyển nguồn danh tính và giám sát tấn công cần được xử lý như một vòng đời thống nhất.

Tác nhân AI đang được thử nghiệm trong các công việc bảo mật có tính hành động: kiểm tra cơ sở mã, khai thác lỗ hổng, đánh giá phạm vi ảnh hưởng và điều phối ứng phó. Những trường hợp từ AWS, HackerOne, Wiz và Cisco Talos cho thấy tiềm năng tăng tốc lớn, đồng thời đặt ra yêu cầu nghiêm ngặt về quyền hạn, bằng chứng và kiểm soát vận hành.

Các báo cáo mới về crate Rust độc hại và lỗ hổng trong tiện ích VS Code cho thấy rủi ro chuỗi cung ứng không dừng ở dependency được triển khai lên production. Trình soạn thảo, quy trình build và hệ sinh thái plugin đều cần được đưa vào cùng một mô hình kiểm soát.

Repository cá nhân có thể chứa secrets và mã liên quan đến công việc nhưng nằm ngoài kiểm soát repository tổ chức. Rủi ro không được giải quyết bằng giả định rằng mọi repo cá nhân đều vô hại.

Các phiên bản arrayref độc hại được báo cáo đã chạy backdoor khi biên dịch. Với Rust, kiểm soát dependency phải bao gồm những gì build script và compiler thực thi, không chỉ code chạy trong production.

Extension editor tự cập nhật và chạy với quyền của người dùng, nhưng thường không xuất hiện trong inventory phần mềm. Nghiên cứu về Markdown Preview Enhanced cho thấy vì sao bề mặt này cần được quản trị như một phần chuỗi cung ứng.

Vụ tấn công nhắm vào các package keyv/cacheable cho thấy một dependency phổ biến có thể biến quá trình cài đặt bình thường thành sự kiện an ninh. Đội ngũ cần điều tra theo dependency graph, không chỉ theo danh sách package trực tiếp.

Wiz nhấn mạnh rằng AI thay đổi ngữ cảnh của data risk: tổ chức cần hiểu dữ liệu nào được kết nối, đang lộ ra sao và vì sao. Đây là nền tảng cho agent, response và remediation đáng tin cậy.

Wiz Workflows hiện sẵn sàng rộng rãi và Remediation and Response đang public preview, theo Wiz. Xu hướng này đưa security từ cảnh báo đơn lẻ sang quy trình phát hiện, quyết định, thực thi và xác minh.