Fransız vergi dairesi ve Qwen'in sansürsüz sürümleri öne çıktıThe French tax authority and uncensored versions of Qwen stood out

ÖzetSummary

Haftalık siber güvenlik özeti üç olayı kapsıyor: Fransa Vergi Dairesi (DGFiP)'nde yaklaşık 678.000 kişiyi etkileyen kimlik bilgisi hırsızlığı, Wiz araştırmacılarının yapay zeka ajanıyla Snowflake'ın GitHub iş akışındaki kabuk betiği açığını istismar ederek dahili Jira biletlerine ulaşması ve Hugging Face'te hızla yayılan, 'abliteration' tekniğiyle modelin güvenlik reddetme mekanizmalarını aşan sansürsüz Qwen 3.8 varyantları.The weekly cybersecurity summary covers three incidents: a credential theft affecting approximately 678,000 individuals at the French Tax Office (DGFiP); Wiz researchers exploiting a shell script vulnerability in Snowflake's GitHub workflow using an AI agent to access internal Jira tickets; and rapidly spreading uncensored Qwen 3.8 variants on Hugging Face that bypass the model's safety refusal mechanisms using the 'abliteration' technique.

Neden ÖnemliWhy it matters

DGFiP ihlali, çalınan verilerin diğer sızıntılarla çapraz eşleştirildiğinde tek bir ele geçirilen dahili hesabın bile yüz binlerce vatandaşı balıkçılık ve kimlik hırsızlığına açık hale getirebildiğini gösteriyor. Snowflake olayı ise otomatik güvenlik araçlarındaki eksikliği öne çıkarıyor. GitHub Copilot ve standart taramalar, yapay zeka ajanının uçtan uca istismar ettiği kritik bir girdi işleme açığını gözden kaçırdı. Qwen 'abliteration' trendi, açık ağırlıklı modellerin ne kadar hızla güvenlik kısıtlamalarından arındırılabildiğini ve bunun kitlesel kötüye kullanım konusunda gerçek endişeler yarattığını vurguluyor.The DGFiP breach demonstrates that even a single compromised internal account can expose hundreds of thousands of citizens to phishing and identity theft when stolen data is cross-referenced with other leaks. The Snowflake incident highlights gaps in automated security tools, as GitHub Copilot and standard scans missed a critical input processing vulnerability that the AI agent exploited end-to-end. The Qwen 'abliteration' trend underscores how quickly open-weight models can be stripped of safety constraints, raising genuine concerns about mass misuse.

Öne ÇıkanlarHighlights

• DGFiP ihlali (Haziran–Temmuz 2026), 'ZeroBytes' adlı hacker'ın iddia ettiği üzere, ele geçirilen bir ajanın kimlik bilgileri aracılığıyla yaklaşık 678.000 kişiyi etkiledi.The DGFiP breach (June–July 2026) affected approximately 678,000 people via the credentials of a compromised agent, as claimed by the hacker 'ZeroBytes'.
• Wiz'in yapay zeka ajanı, Snowflake'ın GitHub iş akışındaki tespit edilmemiş kabuk betiği girdi açığını istismar ederek dahili Jira'ya erişti. Veri dışarı sızdırılmadı ve yama hızla uygulandı.Wiz's AI agent accessed internal Jira by exploiting an undetected shell script input vulnerability in Snowflake's GitHub workflow. No data was exfiltrated, and a patch was applied quickly.
• Hugging Face'teki 'abliterate edilmiş' Qwen 3.8 varyantları, resmi modelin reddettiği zararlı ve yasa dışı istemlere yanıt verirken, orijinal yeteneklerini koruyor.'Abliterated' Qwen 3.8 variants on Hugging Face respond to harmful and illegal prompts rejected by the official model while retaining their original capabilities.

EleştiriCritical take

Makale, Snowflake istismarını bir uyarı hikayesi olarak sunsa da bunun Wiz tarafından gerçekleştirilen kontrollü, beyaz şapkalı bir gösteri olduğunu göz ardı ediyor. Henüz gerçek bir saldırgan bu yolu tekrarlamadı ve 'veri çalınmadı' notu tek bir yan cümlede gizli kalmış. Qwen konusunda ise metin, 'istediğiniz her şeyi yapar' gibi dramatik bir çerçeveye yaslanıyor. Oysa abliterate edilmiş modeller, bilinen ve kolayca geri alınabilir bir değişikliktir. Gerçek risk, bu varyantların hobi amaçlı Hugging Face alanlarının ötesinde anlamlı bir dağıtıma ulaşmasına bağlıdır.While the article presents the Snowflake exploitation as a cautionary tale, it overlooks that this was a controlled, white-hat demonstration conducted by Wiz. No real attacker has yet replicated this path, and the note that 'no data was stolen' is buried in a single subordinate clause. Regarding Qwen, the text relies on a dramatic framing suggesting the model 'does whatever you ask.' However, abliterated models involve a known and easily reversible modification. The real risk depends on whether these variants achieve meaningful distribution beyond hobbyist Hugging Face spaces.