اخبار فناوری امروز ۹ مهر ۱۴۰۵؛ HydraFusion، امنیت npm و Gemini 4 Argon

اخبار فناوری امروز؛ ۹ مهر ۱۴۰۵

بازه بررسی: ۲۴ ساعت اخیر تا زمان اجرای گزارش

خلاصه سریع

در ۲۴ ساعت اخیر، خبرهای مهم اکوسیستم توسعه بیشتر روی AI Coding، امنیت زنجیره تأمین نرم‌افزار و زیرساخت Agentها متمرکز بوده‌اند.

مهم‌ترین تغییر برای توسعه‌دهندگان، عرضه HydraFusion در Visual Studio Code و GitHub Copilot app است. HydraFusion یک مدل واحد نیست؛ چند مدل را برای انتخاب مسیر اجرای بهینه هماهنگ می‌کند و فعلاً در مرحله Research Preview قرار دارد.

در امنیت npm، GitHub امکان مدیریت dist-tags با OIDC کوتاه‌عمر را به Trusted Publishing اضافه کرده است. این تغییر می‌تواند آخرین نیاز بعضی Publisherها به Access Token بلندمدت برای عملیات latest، next و beta را حذف کند.

در سطح مدل‌ها، Gemini 4 Argon برای Coding، کارهای سازمانی و دفاع سایبری معرفی شده، اما فعلاً به‌صورت مرحله‌ای برای مدافعان سایبری مورد اعتماد عرضه می‌شود.

هم‌زمان OpenAI گزارشی درباره یک کمپین Adversarial Distillation منتشر کرده که فعالیت اصلی آن از اوایل تیر ۱۴۰۵ آغاز شده بود؛ بنابراین تاریخ وقوع با تاریخ انتشار این خبر متفاوت است.

۱. HydraFusion وارد VS Code و GitHub Copilot app شد

تاریخ انتشار: ۸ مهر ۱۴۰۵
مرحله: Research Preview
نسخه/محیط: VS Code 1.140 یا جدیدتر / VS Code Insiders

GitHub قابلیت HydraFusion را از Copilot CLI به Visual Studio Code و GitHub Copilot app گسترش داده است.

HydraFusion یک مدل منفرد نیست. این سیستم چند مدل را با توجه به نوع کار هماهنگ می‌کند و تلاش می‌کند بهترین Workflow را برای رسیدن به کیفیت موردنیاز انتخاب کند.

سه الگوی اصلی دارد:

• Single: یک مدل مستقیماً Task را حل می‌کند.
• Cascade: یک مدل سریع پیش‌نویس را می‌سازد و Quality Gate تصمیم می‌گیرد که همان نتیجه کافی است یا باید به مدل قوی‌تر واگذار شود.
• Critique: یک مدل نتیجه را تولید می‌کند و یک مدل مستقل از خانواده‌ای دیگر آن را بررسی می‌کند؛ سپس مدل اولیه یک بار اصلاح می‌کند.

این قابلیت در VS Code 1.140 یا جدیدتر و VS Code Insiders قابل فعال‌سازی است و در Copilot app نیز از Settings در دسترس است.

اهمیت: بسیار زیاد برای آینده Coding Agentها؛ چون به‌جای انتخاب یک مدل، خود سیستم می‌تواند انتخاب Workflow را بهینه کند.

اقدام پیشنهادی: اگر Copilot استفاده می‌کنی، HydraFusion را روی Taskهای واقعی چندمرحله‌ای، Debug و Refactor امتحان کن و زمان تکمیل، تعداد اصلاحات و هزینه را با Auto مقایسه کن.

منبع اولیه:
https://github.blog/changelog/2026-09-30-hydrafusion-in-vs-code-and-the-github-copilot-app/

۲. npm Trusted Publishing حالا می‌تواند dist-tagها را با OIDC مدیریت کند

تاریخ انتشار: ۸ مهر ۱۴۰۵
مرحله: Generally Available / Improvement
حوزه: npm Supply Chain Security

GitHub قابلیت جدیدی برای npm Trusted Publishing اضافه کرده که به یک Configuration اجازه می‌دهد مدیریت dist-tags را با Credentialهای کوتاه‌عمر OIDC انجام دهد.

پیش از این، Trusted Publishing برای Publish و Staging کافی بود، اما عملیات‌هایی مثل انتقال یک نسخه به latest یا به‌روزرسانی next و beta همچنان می‌توانستند نیازمند یک Access Token جداگانه باشند.

حالا با فعال کردن گزینه Allow npm dist-tag، همان Workflow مبتنی بر OIDC می‌تواند این عملیات را انجام دهد. این مجوز به‌صورت پیش‌فرض خاموش است و به Configurationهای قبلی خودکار اضافه نمی‌شود.

اهمیت: زیاد برای Maintainerها و CI/CD؛ چون سطح اتکا به Tokenهای بلندمدت را کاهش می‌دهد.

اقدام پیشنهادی: اگر npm Package منتشر می‌کنی، Workflowهای Release را بررسی کن و در صورت امکان Access Token مربوط به dist-tag را با OIDC کوتاه‌عمر جایگزین کن.

منبع اولیه:
https://github.blog/changelog/2026-09-30-opt-in-dist-tag-permissions-for-npm-trusted-publishing/

۳. Gemini 4 Argon برای Coding و دفاع سایبری معرفی شد

تاریخ انتشار: ۸ مهر ۱۴۰۵
مرحله: Phased rollout / Trusted Cyber Defenders

Google مدل Gemini 4 Argon را به‌عنوان مدل Frontier جدید معرفی کرده است. تمرکز آن روی Workflowهای طولانی و پیچیده در Software Engineering، کارهای سازمانی و Cybersecurity Defense است.

Google یک Context/Output limit تا ۱ میلیون Token را برای این مدل اعلام کرده و می‌گوید Argon در ارزیابی DeepSWE v1.1 امتیاز ۷۷.۹٪ گرفته است.

برای امنیت، Google اعلام کرده Argon می‌تواند به‌صورت خودکار آسیب‌پذیری‌های نرم‌افزاری را پیدا، اعتبارسنجی و Patch کند. در عین حال عرضه عمومی هنوز انجام نشده و دسترسی فعلاً از مسیر برنامه Fairwind برای مدافعان سایبری مورد اعتماد شروع شده است.

اهمیت: بسیار زیاد برای AI Coding و Cybersecurity، اما هنوز محصول عمومی Stable محسوب نمی‌شود.

اقدام پیشنهادی: فعلاً آن را به‌عنوان یک مدل Experimental/Controlled Access دنبال کن؛ برای استفاده سازمانی منتظر API عمومی و مستندات رسمی Availability بمان.

منبع اولیه:
https://blog.google/innovation-and-ai/models-and-research/gemini-models/gemini-4-argon/

۴. OpenAI یک کمپین Adversarial Distillation را مختل کرد

تاریخ انتشار گزارش: ۸ مهر ۱۴۰۵
تاریخ وقوع: از اوایل تیر ۱۴۰۵؛ بخش اصلی فعالیت در ۲ مرداد و ۳ مرداد مشاهده شد و تا ۶ مرداد مختل شد.
مرحله: Security Incident / Mitigated

OpenAI گزارش داده که یک کمپین هماهنگ برای استخراج Protected Reasoning از مدل‌هایش را شناسایی و مختل کرده است.

طبق گزارش، مهاجمان رمزنگاری را نشکستند و به Database یا Conversationهای ذخیره‌شده دسترسی مستقیم پیدا نکردند. در عوض، با دست‌کاری تعاملات مدل تلاش کردند Reasoning محافظت‌شده را در مقیاس بالا استخراج کنند.

OpenAI می‌گوید بخشی از فعالیت را به افرادی مرتبط با Moonshot AI نسبت داده است، اما در مورد اینکه تمام اپراتورها یک Actor واحد بوده‌اند قطعیت ندارد.

اهمیت: زیاد برای امنیت مدل‌های Frontier و سرویس‌های AI. این خبر از نظر تاریخ وقوع، خارج از بازه رخداد است اما چون گزارش اولیه در پنجره ۲۴ ساعته منتشر شده، در اخبار امروز قرار می‌گیرد.

اقدام پیشنهادی: برای سرویس‌های AI سازمانی، فقط روی مخفی بودن System Prompt یا Reasoning حساب نکن؛ Rate Limiting، Abuse Detection، Account Controls و مانیتورینگ رفتارهای استخراجی را در نظر بگیر.

منبع اولیه:
https://openai.com/index/disrupting-a-coordinated-model-distillation-campaign/

۵. GitHub برای GHE.com تغییر TLS اعلام کرد

تاریخ انتشار: ۸ مهر ۱۴۰۵
تاریخ اجرا: ۱۵ مهر ۱۴۰۵
مرحله: Deprecation / Security Compatibility

GitHub Enterprise Cloud با Data Residency از ۷ اکتبر دیگر اتصال TLS از Clientهایی که فقط X25519 را برای Key Agreement ارائه می‌کنند قبول نخواهد کرد.

GitHub می‌گوید P-256 و P-384 همچنان پشتیبانی می‌شوند و بیشتر Browserها، سیستم‌عامل‌ها و TLS Libraryهای مدرن از P-256 پشتیبانی دارند.

این تغییر فقط به GitHub Enterprise Cloud با Data Residency مربوط است و SSH را تحت تأثیر قرار نمی‌دهد.

اهمیت: زیاد برای زیرساخت‌های Enterprise و Proxyهای سفارشی.

اقدام پیشنهادی: اگر Proxy، Security Appliance یا TLS Library شما عمداً فقط X25519 ارائه می‌کند، قبل از ۷ اکتبر P-256 را فعال و Runtime/Libraryها را به نسخه پشتیبانی‌شده ارتقا بده.

منبع اولیه:
https://github.blog/changelog/2026-09-30-x25519-only-tls-ends-for-ghe-com-on-october-7/

۶. AWS؛ چند تغییر مهم برای Data و Agent Infrastructure

Aurora PostgreSQL مستقیماً Iceberg و Parquet را Query می‌کند

تاریخ: ۸ مهر ۱۴۰۵
مرحله: Launch

AWS قابلیت جدیدی در Aurora PostgreSQL معرفی کرده که اجازه می‌دهد داده عملیاتی PostgreSQL مستقیماً در کنار داده‌های Apache Iceberg و Parquet در Data Lake Query شود؛ بدون اینکه الزاماً داده برای ETL به Database منتقل یا Duplicate شود.

AWS همچنین DuckDB را در Aurora PostgreSQL برای این قابلیت ادغام کرده است.

این قابلیت برای Applicationهایی که باید Transactionهای جدید را با داده‌های تاریخی و داده‌های مورد استفاده Agentها ترکیب کنند، مهم است.

اهمیت: زیاد برای Data Platform و AI Applicationها.

منبع اولیه:
https://aws.amazon.com/blogs/aws/amazon-aurora-postgresql-now-supports-direct-querying-of-apache-iceberg-and-parquet-data-in-your-data-lake/

S3 Vectors؛ Metadata Pre-filtering

AWS همچنین Metadata Pre-filtering را برای S3 Vectors عرضه کرده است. Filter قبل از Similarity Search اعمال می‌شود و برای سناریوهای Multi-tenant، RAG و Agentic Search می‌تواند Recall را بهتر کند.

AWS می‌گوید هر Vector تا ۲KB Metadata قابل فیلتر دارد و هر Query تا ۱۰۰ Constraint را پشتیبانی می‌کند؛ قابلیت $startsWith نیز اضافه شده است.

اهمیت: زیاد برای RAG و Vector Search.

منبع اولیه:
https://aws.amazon.com/blogs/aws/amazon-s3-vectors-now-supports-metadata-pre-filtering-for-higher-recall-on-filtered-searches/

JavaScript / TypeScript / ECMAScript / Node / Deno / Bun

در جست‌وجوی تازه و دقیق ۲۴ ساعت اخیر، Release یا Proposal مهم و قابل‌تأیید جدیدی از Node.js، Deno، Bun، TypeScript یا TC39 پیدا نشد.

بنابراین نسخه‌های قدیمی‌تر عمداً وارد گزارش امروز نشده‌اند.

Browser / Web APIs

Firefox 157 در همین بازه عرضه شده و طراحی جدید Nova را به Release Channel آورده است. Mozilla اعلام کرده طراحی جدید روی Desktop و Mobile عرضه شده و Compact Mode نیز برگشته است.

این تغییر بیشتر UI/Browser Experience است تا یک Web API جدید، اما برای Extension و Theme Developerها مهم است؛ Mozilla صراحتاً اعلام کرده برخی Theme properties در Nova رفتار متفاوتی دارند. citeturn2news13turn2news21

اقدام: اگر Firefox Theme یا Extension داری، UI را روی Firefox 157 بررسی کن؛ مخصوصاً Sidebar، Vertical Tabs و Theme Manifest.

شایعات — تأیید نشده

در جست‌وجوی امروز موردی پیدا نشد که هم ارزش پیگیری داشته باشد و هم شواهد کافی برای قرار گرفتن در بخش «تأیید نشده» داشته باشد.

سه اقدام اولویت‌دار

1. HydraFusion را تست کن و آن را با Auto روی Taskهای واقعی Coding Agent مقایسه کن.
2. npm Trusted Publishing را Audit کن و اگر ممکن است Tokenهای بلندمدت مربوط به dist-tag را با OIDC جایگزین کن.
3. TLS و Dependency Pipeline را بررسی کن: X25519-only configurationها را قبل از ۷ اکتبر اصلاح کن و npm Release Workflow را به OIDC منتقل کن.

FAQ

HydraFusion چیست؟

یک Research Preview در GitHub Copilot است که چند مدل و چند Workflow را برای انتخاب مسیر اجرای مناسب یک Task هماهنگ می‌کند.

آیا Gemini 4 Argon برای همه در دسترس است؟

خیر. در زمان این گزارش، عرضه آن مرحله‌ای و برای مدافعان سایبری مورد اعتماد است.

آیا npm Trusted Publishing توکن‌ها را کامل حذف می‌کند؟

برای dist-tagها می‌تواند نیاز به Access Token بلندمدت را حذف کند، اما Permission جدید Allow npm dist-tag باید به‌صورت صریح فعال شود.

آیا خبر OpenAI درباره یک حمله امروز اتفاق افتاده؟

خیر. گزارش در ۸ مهر ۱۴۰۵ منتشر شده، اما فعالیت اصلی کمپین از اوایل تیر ۱۴۰۵ آغاز شده بود. این تفاوت تاریخ انتشار و تاریخ وقوع در گزارش جدا شده است.