☀️ تکین مورنینگ | یکشنبه ۹ آگوست ۲۰۲۶: از آلودگی آمازون تا بریچ امنیتی Metabase

آمازون در حال ساخت بزرگترین منبع آلودگی آمریکا در تگزاس

شاید فکر کنید که نیروگاه‌های زغال‌سنگ قدیمی بدترین منابع آلودگی هستند، اما در سال ۲۰۲۶ یک بازیکن جدید وارد میدان شده: آمازون. این غول تکنولوژی در حال سرمایه‌گذاری روی یک نیروگاه گازی خصوصی در Pecos County تگزاس است که قرار است رکورد جدیدی را برای انتشار گازهای گلخانه‌ای ثبت کند. این نیروگاه که قرار است مرکز داده هوش مصنوعی آمازون را تأمین برق کند، مجوز انتشار ۳۳ میلیون تن دی‌اکسید کربن در سال دارد - بیشتر از هر منبع واحد دیگری در کل آمریکا.

این پروژه که توسط Pacifico Energy توسعه می‌یابد، شامل ۳۵ توربین گازی طبیعی با ظرفیت ترکیبی ۷.۶۵ گیگاوات است. برای درک بهتر این عدد، بزرگترین نیروگاه زغال‌سنگ آمریکا حدود ۲۰-۲۵ میلیون تن دی‌اکسید کربن در سال منتشر می‌کند، یعنی این پروژه آمازون حتی از آن هم بدتر است. نکته جالب اینجاست که این رقم سقف مجاز انتشار است، نه لزوماً میزان واقعی انتشار آینده، اما حتی اگر نیمی از این رقم تحقق پیدا کند، باز هم یکی از بزرگترین منابع آلودگی کشور خواهد بود.

تضاد با تعهدات آب‌وهوایی

نکته تلخ ماجرا اینجاست که آمازون یکی از بنیان‌گذاران "Climate Pledge" بود - تعهدی برای رسیدن به net-zero کربن تا سال ۲۰۴۰. اما طبق گزارش‌های اخیر، انتشار کربن آمازون در سال‌های اخیر نه تنها کاهش نیافته، بلکه افزایش هم داشته است. شرکت توضیح می‌دهد که این افزایش به دلیل رشد سریع تقاضا برای زیرساخت‌های AI و مراکز داده است. اما آیا این دلیل کافی است که بزرگترین منبع آلودگی کشور را بسازی؟

گزارش Cleanview که به ردیابی مراکز داده و پروژه‌های برق مرتبط با آن‌ها می‌پردازد، نشان می‌دهد که Texas Commission on Environmental Quality اخیراً مجوز هوایی این پروژه را صادر کرده است. این مجوز به آمازون اجازه می‌دهد تا سایت GW Ranch را که اخیراً خریداری کرده، به یک کمپلکس عظیم مرکز داده تبدیل کند.

Metabase Zero-Day: بریچ امنیتی خطرناک که Framework و Tally را درگیر کرد

اگر از لپ‌تاپ‌های ماژولار Framework استفاده می‌کنید یا از نرم‌افزار حسابداری Tally استفاده می‌کنید، خبر بدی دارم: اطلاعات شما احتمالاً افشا شده است. یک آسیب‌پذیری بحرانی Zero-Day در نرم‌افزار Metabase - یک ابزار Business Intelligence محبوب - به صورت فعال در حملات واقعی استفاده شد و منجر به دسترسی غیرمجاز به اطلاعات مشتریان این دو شرکت شد.

این آسیب‌پذیری که امتیاز بحرانی ۱۰.۰ از ۱۰ در مقیاس CVSS دریافت کرده، یک SQL Injection است که به حمله‌کنندگان اجازه می‌دهد بدون هیچ احراز هویتی به دسترسی مدیریتی (Administrator) برسند. بله، درست خواندید - بدون نیاز به رمز عبور، بدون نیاز به حساب کاربری، فقط با استفاده از endpoint خاص /api/session/reset_password.

جزئیات حمله

Metabase در یک اعلامیه رسمی توضیح داد که نسخه‌های ۱.۵۸ به بالا از این آسیب‌پذیری رنج می‌برند. شرکت بلافاصله پس از کشف حمله، endpointهای مورد استفاده را مسدود کرد و نسخه‌های وصله‌شده را منتشر کرد. اما متأسفانه این کار پس از آن اتفاق افتاد که حمله‌کنندگان موفق به دسترسی به اطلاعات شدند.

Framework در یک ایمیل به مشتریانش اعلام کرد که حمله در تاریخ ۳ آگوست ۲۰۲۶ انجام شد. خوشبختانه اطلاعات پرداخت مانند کارت اعتباری و جزئیات سفارشات در دسترس حمله‌کنندگان قرار نگرفت، اما اطلاعات تماس و آدرس‌ها کافی هستند که کلاهبرداران بتوانند از آن‌ها برای Phishing یا حملات Social Engineering استفاده کنند.

واکنش Metabase

Metabase نسخه‌های وصله شده را برای تمام نسخه‌های آسیب‌پذیر منتشر کرد و به تمام مشتریان Metabase Cloud توصیه کرد که هرچه سریع‌تر آپدیت کنند. شرکت همچنین اعلام کرد که در حال کار با تیم‌های امنیتی برای بررسی دقیق‌تر دامنه حمله است. متأسفانه این آسیب‌پذیری هنوز CVE ID دریافت نکرده، که این موضوع را برای ردیابی و مدیریت آن کمی پیچیده‌تر کرده است.

گوگل سیستم نام‌گذاری گروه‌های هکری را تغییر داد

دیگه نگو APT41 یا APT1 - گوگل تصمیم گرفته سیستم نام‌گذاری گروه‌های هکری رو کاملاً عوض کنه. اگر تا حالا با اصطلاحاتی مثل APT (Advanced Persistent Threat) سر و کله زدید، باید بگم که از این به بعد گوگل دیگه از این شماره‌گذاری‌های خشک و بی‌روح استفاده نمی‌کنه. به جاش، یک سیستم دو کلمه‌ای جدید معرفی کرده که هم به یاد موندنی‌تر و هم شفاف‌تره.

سیستم جدید ساده است: هر گروه هکری یک نام دو کلمه‌ای می‌گیره. کلمه اول یک اسم یادآوری و تصادفی است که نماینده اون گروه خاص هست، و کلمه دوم به کشور منشأ اون گروه اشاره می‌کنه. برای مثال:

• Castle برای گروه‌های هکری چین (China)
• Ion برای گروه‌های هکری ایران (Iran)
• Neptune برای گروه‌های هکری کره شمالی (North Korea)
• Relic برای گروه‌های هکری روسیه (Russia)
• Comet برای هکرهای مالی غیردولتی (Financially motivated criminals)

چطور این اسامی انتخاب می‌شوند؟

اگر یک گروه هکری قبلاً در گزارش‌های عمومی با نامی شناخته شده، گوگل همون اسم رو حفظ می‌کنه. اما اگه اسم عمومی وجود نداشته باشه، یک کلمه به صورت تصادفی تولید می‌شه تا از هر نوع بایاس جلوگیری بشه. بعد از اون، تحلیلگران اون اسم رو بررسی می‌کنن تا مطمئن بشن که نامناسب یا اشتباه نیست.

این تغییر از ماه ژوئیه ۲۰۲۶ شروع شده و گوگل داره به تدریج اون رو در تمام پلتفرم‌ها و گزارش‌های عمومی پیاده می‌کنه. هدف گوگل اینه که ردیابی و گزارش‌دهی تهدیدات سایبری رو برای همه - از محققان امنیتی گرفته تا تیم‌های IT شرکت‌ها - ساده‌تر کنه.

OpenAI استارت‌آپ NextSlide را خرید

OpenAI دوباره مشغول خرید شرکت‌های کوچک شده. این بار نوبت NextSlide بود - یک استارت‌آپ که ابزار AI برای تبدیل پرامپت‌ها، یادداشت‌ها و اسناد به ارائه‌های ویرایش‌پذیر می‌سازه. این معامله در اوایل سال ۲۰۲۶ انجام شده اما تازه در ۸ آگوست رسماً اعلام شد. جزئیات مالی معامله فاش نشده، اما تیم کامل NextSlide به توسعه ChatGPT پیوستن.

NextSlide توسط احمد بشری (Ahmed Beshry) تأسیس شده بود - همون کسی که قبلاً Canvas رو توسعه داده بود (یک ابزار طراحی دیگه). هدف NextSlide این بود که ارتباطات بصری رو قابل دسترس‌تر کنه و به افراد کمک کنه تا ایده‌هاشون رو واضح‌تر بیان کنن. حالا این تیم در OpenAI داره همون ماموریت رو ادامه می‌ده: ساخت محصولات AI که به مردم کمک می‌کنه تا خلق کنن، ارتباط برقرار کنن، و ایده‌هاشون رو به کار معنادار تبدیل کنن.

چه چیزی در راه ChatGPT است؟

این خرید نشان می‌ده که OpenAI داره روی قابلیت‌های بصری ChatGPT سرمایه‌گذاری جدی می‌کنه. در حال حاضر ChatGPT می‌تونه متن تولید کنه، کد بنویسه، و حتی تصاویر بسازه، اما قابلیت ساخت ارائه‌های حرفه‌ای به صورت مستقیم یک گام بزرگ به جلوست. تصور کنید بتونید فقط با یک پرامپت ساده، یک ارائه کامل ۲۰ اسلایدی با چارت‌ها، تصاویر و متن‌های سازماندهی شده بسازید.

این یکی از چندین خرید کوچک OpenAI در ماه‌های اخیر است. شرکت استراتژی واضحی داره: به جای استخدام از صفر، تیم‌های کوچک با تخصص خاص رو خریداری می‌کنه و مستقیماً توی محصولات خودش ادغام می‌کنه. این روش سریع‌تر و مؤثرتر از استخدام و آموزش تیم جدید از ابتداست.

Bitcoin و Ethereum ETF ها؛ ورود ۱ میلیارد دلار سرمایه

بازار کریپتو دوباره داره نفس می‌کشه. صندوق‌های ETF Bitcoin و Ethereum در آمریکا در هفته گذشته بیش از ۱ میلیارد دلار ورود سرمایه (Inflow) داشتند - قوی‌ترین عملکرد از ماه آوریل تا الان. این یعنی سرمایه‌گذاران نهادی (Institutional Investors) دوباره دارن به این بازار برمی‌گردن.

صندوق‌های ETF Bitcoin به تنهایی ۸۵۳.۵ میلیون دلار جذب کردند، در حالی که صندوق‌های Ethereum ۲۴۴.۹ میلیون دلار ورود سرمایه داشتند. اما ستاره واقعی این هفته BlackRock بود. صندوق IBIT (BlackRock's Bitcoin ETF) به تنهایی ۸۰ درصد از کل جریان نقدی رو جذب کرد - حدود ۴۷۹ میلیون دلار در ۵ روز معاملاتی.

چرا این ورود سرمایه مهم است؟

بعد از یک دوره رکود و خروج سرمایه در نیمه اول ۲۰۲۶، این ورود سرمایه نشون‌دهنده تغییر جهت جو روانی بازار است. سرمایه‌گذاران نهادی معمولاً از طریق ETF ها به جای خرید مستقیم کریپتو وارد بازار می‌شن، چون ریسک کمتر و نظارت بیشتری داره. وقتی می‌بینیم که ۱ میلیارد دلار در یک هفته وارد این صندوق‌ها می‌شه، یعنی اعتماد مؤسسات مالی به آینده کریپتو داره برمی‌گرده.

Bitcoin در پایان این هفته حدود ۶۵,۰۹۲ دلار معامله شد، با رشد ۰.۸ درصدی در آخرین روز. Ethereum هم در محدوده ۱,۸۷۲ دلار قرار داشت. هر دو این ارزها پس از ریزش‌های تابستان در حال بازیابی هستند.

توسعه‌دهنده Doom به Xbox حمله کرد: "آن‌ها هنر را نمی‌فهمند"

کریس هیز، برنامه‌نویس ارشد سرویس‌ها در استودیوی افسانه‌ای id Software، پس از موج اخراج‌های ژوئیه، حرف‌های تلخی درباره Xbox زد: "آن‌ها اساساً هنر را درک نمی‌کنند. آن‌ها بازی‌ها را نمی‌فهمند." این اظهارات در واکنش به اخراج حدود ۱۳۶ نفر از توسعه‌دهندگان Doom بود - تقریباً نیمی از کل کارکنان استودیو.

id Software، استودیویی که بازی‌های افسانه‌ای مثل Doom، Quake و Wolfenstein رو ساخته، در ژوئیه ۲۰۲۶ دچار یکی از بزرگترین اخراج‌های تاریخ خودش شد. از این ۱۳۶ نفر، ۹۶ نفر در دفتر Richardson تگزاس کار می‌کردند و ۴۰ نفر دیگه remote بودند. بسیاری از این افراد، توسعه‌دهندگان پیشکسوت Doom 2016 بودند که سال‌ها روی این فرنچایز کار کرده بودند.

بخشی از ۳,۲۰۰ اخراج مایکروسافت

این اخراج‌ها بخشی از یک برنامه بازسازی بزرگتر در Xbox بود. مایکروسافت در ژوئیه اعلام کرد که قصد داره ۳,۲۰۰ نفر رو از بخش Xbox و استودیوهای بازی‌سازی اخراج کنه - ۱,۶۰۰ نفر بلافاصله و ۱,۶۰۰ نفر دیگه در ۱۲ ماه آینده. این بزرگترین موج اخراج در تاریخ Xbox محسوب می‌شه. علاوه بر id Software، چهار استودیو دیگه هم از Xbox Game Studios جدا شدند.

کریس هیز در توییت خودش توضیح داد که دپارتمان‌های کامل "به کلی نابود شدند" (gutted) و ساخت یک بازی AAA مثل Doom با نیمی از استودیو "غیرممکن" شده. این واکنش تندِ او نشون‌دهنده خشم و ناامیدی توسعه‌دهندگانی است که سال‌ها عمرشون رو برای ساخت بازی‌های محبوب گذاشتن، اما حالا شاهد نابودی تیم‌هاشون هستن.

واکنش‌ها و انتقادات

مارتی استراتون، مدیر خلاق id Software، بعداً تلاش کرد تا ادعاهای "نابودی کامل استودیو" رو رد کنه و گفت که این ادعاها درست نیستند. اما اعداد خودشون حرف می‌زنن: وقتی نیمی از یک استودیو اخراج می‌شه، نمی‌شه ادعا کرد که همه چیز عادیه. بسیاری از توسعه‌دهندگان صنعت بازی هم از این اخراج‌ها انتقاد کردند و گفتند که مایکروسافت فقط به سود کوتاه‌مدت فکر می‌کنه، نه به ارزش بلندمدت استودیوها و IP های ارزشمند.

id Software در حال حاضر روی Doom: The Dark Ages کار می‌کنه که قرار است در آینده منتشر بشه. اما سوال این است که آیا این بازی با تیمی که نصف شده می‌تونه همون سطح کیفیت رو حفظ کنه یا نه.

تحلیل تکین: چرا این ۶ خبر امروز مهم هستند؟

سه درس کلیدی از اخبار امروز

اول، رشد سریع تکنولوژی - به خصوص در حوزه AI - هزینه‌های زیست‌محیطی سنگینی داره. نیروگاه ۳۳ میلیون تنی آمازون یادآوری تلخی است که منابع محاسباتی بی‌حد و حصر نیستند و همه چیز قیمتی داره.

دوم، امنیت سایبری همچنان یکی از بزرگترین چالش‌های صنعت است. آسیب‌پذیری Metabase نشون داد که حتی شرکت‌های محبوبی مثل Framework و Tally هم در معرض خطر هستند. این یک یادآوری است که همه - از استارت‌آپ‌ها تا غول‌های تکنولوژی - باید امنیت رو جدی بگیرند.

سوم، ارزش واقعی در استعداد انسانی است، نه فقط تکنولوژی. وقتی Xbox نیمی از id Software رو اخراج می‌کنه، داره سال‌ها تجربه و دانش نهفته رو از بین می‌بره - چیزی که با پول نمی‌شه برگردوند.

جمع‌بندی: صبح یکشنبه‌ای پرماجرا در دنیای تک