Reprise du message précédent :
 
Ouais un peu chaud

Si vous aussi vous avez un doute sur une potentielle fuite de vos clés (api claude / Open AI / Gemini / Git / reddit ...) ou de mots de passe :
 
https://infisical.com/ (pour les moldus comme moi)
 
https://github.com/Infisical/infisical (pour ceux qui ne peuvent pas lire à côté d'un truc animé )  
 
en gros il agit comme un proxy :
votre agent fait un appel à l'API endpoint en passant par lui sans clé applicative. Infisical vérifie que l'agent à le droit de le faire, ajoute la clé pour la transaction, envoie la requète à l'app puis fait suivre la réponse à votre agent qui peut encore faire beaucoup de bétises mais pas divulgacher ( ) vos clés à un attaquant
 
Pour les curieux y'a un p'tit site qui vous propose de trouver son mot de passe en 60 requêtes à un chatbot :
https://danielfridljand.de/post/prompt-injection

Voilà, bon week-end  
https://status.northflank.com/cmvv0rn5a092f14rutwccodpp

ouch  

pour ceux qui veulent protéger leur app du revderse engineering : choisissez soigneusement vos variables. Ca peut déclencher les protections de votre "adversaire" si il utilise des modèles americains
 

 
https://lnkd.in/p/eKp46SKF

 
C'est quoi le rapport avec l'IA?

Rigolo mais bon la protection qui nécessite juste un petit script de renommage des variables

c'est une plateforme d'hébergement autonome d'ia et d'apps :
https://northflank.com/

 
OSEF il suffit d'utiliser un modèle abliterated
 
Perso je vois ça dans une lib au taf' le truc dégage direct

 
j'ai lu northbank

chut, ne dévoile pas le truc au monde entier

 
Mince, il faut pas utiliser GLM non plus qui semble BALEC sur le sujet

Ca fonctionne peut-être aussi avec le NSFW  
Je vais de ce pas renommer toutes mes fonctions au taf `calculatePornHentaiStepmomMilfSupply`

Si tu veux bloquer Grok tu peux aussi mettre averageDemocratSocialistLGBT()

faut qu'on vibe code un générateur de variables
 
je couvre la partie chinoise : Tian'anmenWinnie-the-poohBaozieGreatFirewallofChina

Malin

 
En fait il faudrait l'inverse de minify pour le JS, genre merdify qui génère tout seul les noms, comme ça tu peux garder du code normal. Mais vla le bonheur d'avoir des sites encore plus lourds...

J'aime bien le nom que tu proposes. Faudrait aussi trouver l'angle mort de Mistral. On aurait une librairie à commercialiser

Dette

 
Le truc c'est que je suis pour le reverse engineering et l'open-source Hack the planet

Hello,

C'est ici pour parler sécurité de ses agents ?

J'ai un problème que je n'ai pas encore réussi à résoudre, je n'arrive pas à trouver le bon outil ou la bonne facon de donner des accès à des sites sans qu'il voit les login et mdp.

Me dites pas un truc du genre 1keypass machin, l'IA peut lire le mdp en changeant le html de type password par text et il passe en clair.  Une facon encore plus sûr que ca, il y a ou pas mieux ?

Juste un peu plus haut
https://forum.hardware.fr/forum2.ph [...] s=0#t55112

Alors c'est super pour des sites, outils avec API sinon je suis en train de tester une autre solution qu'on m'a soufflé à l'oreille.
 
Créer des comptes annexes sur windows/linux dédié aux agents.
Je suis sur l'admin, le collecteur qui récupèrera les data pour mon agent, sera sur un compte avec peu de droit donc il ne peut faire que ce qu'on lui demande, rien de plus.
Mon agent sur un autre compte, il a accès qu'aux data du collecteur et moi en admin pour surveiller tout ça.
 
1. L'agent n'a pas accès aux logins et mdp donc prompts injections impossible et il est isolé.
2. Le collecteur, ne renvoie que de la data, aucun secret quel qu'il soit.
3. L'humain à la main sur tout et aucun ne peut parler ou aller demander à l'autre des choses interdites car il en a tout simplement pas la possibilité.
 
Les login et mdp sont stocké sur le trousseau de clef windows dans le compte collecteur de data, l'agent n'a rien en clair, jamais.
 
Je ne sais pas si chez vous vous avez eu à faire ce genre d'outil ? Ca m'intéresse car je vais avoir de la sécurité +++ à mettre en place si je conclus avec un client bientôt

Si t'as pas la place pour une VM / container supplémentaire c'est une bonne approche (tu mets de côté 2 bons Go de RAM ce qui fait pas mal de pognon au tarif actuel pour partir en vacances et probablement acheter un palace l'an prochain / )  
 
Mais honnêtement j'ai zero confiance en une IA si installée à côté de ce qui l'empêche de mener sa mission :
- pas de pare feu pour filtrer des protocoles non prévus  
- pas de point d'entrée API avec seulement quelques méthodes incluses
- accès aux hardware et ses probables failles (drivers pas à jour)
- kernel directement accessible et très sensible si pas mis à jour très régulièrement
- potentiel rootkits invisible
 
Faut vraiment avoir en tête qu'une IA qui tourne à 30/40 mots / secondes à toute la journée / nuit / week-end / jour férié pour accomplir la mission donnée avec l'aide de google, forums d'échange en sécurité et liste des CVE. Il ne se fatigue jamais. Si il a accès à la machine (avec des droits restreints) il a un éventail dingue de surface d'attaque (le filesystem, les librairies, le kernel, les clés de registre, les clés de chiffrement, les firmwares des différents composants, la possibilité d'executer du code à des moments sensibles du démarrage / shutdown de la machine, déduire des valeurs des temps d'accès / vitesse de refus à un registre CPU / GPU, relire l'historique du shell / logs sytemes pour trouver des trucs intéressants ... ).
 
Ca veut pas dire que ça va mal finir (suffit de pas subir d'attaque / faire un usage raisonné de l'IA) mais en cas de problème la même machine c'est un risque que je ne prendrais pas si j'ai 2GO qui trainent pour un proxy

trouvé sur linkedin : https://lnkd.in/p/eh3a5Uqy
 

 
qualitance  

On avait déjà cité la plupart de ceux de la liste ici

vu ce que credit mutuel Arkea et Binance ont pris cette semaine ça coûte pas très cher de le remettre

Non c'est vrai