Laravel a lansat un SDK pentru AI. Au apărut și șase zero-day-uri. Iată ce contează.

Două lucruri s-au întâmplat săptămâna aceasta care merită atenția voastră, și trag în direcții opuse. Unul este despre a construi mai rapid. Celălalt este despre a nu fi compromis.

Să începem cu cel distractiv.

Laravel are acum un SDK oficial pentru AI

Pe 5 februarie, echipa Laravel a lansat oficial Laravel AI SDK. Este în beta (v0.1.2), dar este real, este documentat și deja generează mult entuziasm. SDK-ul oferă un API unificat pentru lucrul cu mai mulți furnizori de AI, inclusiv OpenAI, Anthropic, Google Gemini, Groq și xAI, totul printr-o singură interfață consistentă. Instalează-l cu composer require laravel/ai și ești gata de drum.

Partea interesantă nu este doar abstracția furnizorilor. Este pattern-ul Agent. Rulezi php artisan make:agent și obții o clasă dedicată în care definești instrucțiuni, instrumente, context conversațional și scheme de output. Agenții sunt testabili, compozabili și urmează aceleași convenții pe care dezvoltatorii Laravel le cunosc deja. Există și middleware pentru agenți care interceptează și modifică prompt-urile, persistența conversațiilor, răspunsuri în streaming și failover integrat între furnizori.

Căutarea vectorială și embedding-urile necesită PostgreSQL cu pgvector, ceea ce are sens dat fiind că Laravel 12 a adăugat suport nativ pentru căutare vectorială. Generarea standard de text, imagini și audio funcționează cu orice bază de date.

Este un moment important pentru ecosistemul PHP. Ani de zile, construirea funcționalităților AI în Laravel a însemnat îmbinarea pachetelor din comunitate, scrierea manuală a request-urilor Guzzle și menținerea propriului strat de abstracție. Am făcut exact asta pentru proiectele clienților, și este o muncă plictisitoare pe care fiecare echipă ajunge să o rezolve ușor diferit. Un SDK oficial cu valori implicite sensibile schimbă ecuația.

Din experiența noastră cu PHP și Docker pentru clienți enterprise, vă pot spune că pattern-ul este familiar: Laravel face asta bine. Așteaptă până când comunitatea a descoperit forma aproximativă a unei probleme, apoi lansează o soluție oficială care este mai curată și mai bine integrată decât orice alternativă third-party. Au făcut-o cu Cashier pentru plăți, Socialite pentru OAuth, Scout pentru căutare. Acum o fac pentru AI.

Biblioteca MCP (Model Context Protocol) a fost lansată alături de SDK, permițându-vă să expuneți funcționalitatea aplicației către clienți AI precum ChatGPT și Claude. Combinată cu Laravel Boost pentru dezvoltare asistată de AI, există acum o secțiune completă dedicată AI în documentația Laravel, acoperind trei pachete care funcționează împreună.

Deci, ar trebui să-l adoptați astăzi?

Pentru proiecte noi: da, absolut explorați-l. API-ul este curat, iar documentația este solidă. Pentru aplicații existente în producție, aș recomanda o abordare mai prudentă. Introduceți-l alături de configurația actuală pentru o funcționalitate specifică, în loc să scoateți ce funcționează deja. Este v0.1, iar API-ul probabil se va schimba. Când construim aplicații cloud-native pentru clienți enterprise, rareori adoptăm release-uri dot-zero în producție, și acest sfat rămâne valabil și aici.

Un lucru de urmărit: SDK-ul folosește Prism sub capotă. Dacă folosiți deja Prism direct, veți vrea să înțelegeți ce adaugă SDK-ul înainte de a migra, deoarece este un wrapper cu extra-uri specifice Laravel, nu un înlocuitor.

Șase zero-day-uri în Patch Tuesday-ul de săptămâna aceasta

Acum partea mai puțin distractivă.

Patch Tuesday-ul Microsoft din februarie 2026 a apărut pe 10 cu remedieri pentru aproximativ 54 CVE-uri. Șase dintre ele sunt zero-day-uri care erau deja exploatate activ înainte ca patch-urile să fie disponibile. Este mult.

Iată ce este exploatat chiar acum:

• CVE-2026-21510: un bypass Windows Shell (CVSS 8,8) în care un singur click pe un link malițios ocolește complet protecțiile SmartScreen. Fără dialoguri de avertizare, fără solicitări de consimțământ. Afectează toate versiunile Windows suportate.
• CVE-2026-21513: un bypass al framework-ului MSHTML (CVSS 8,8) declanșat prin deschiderea unui fișier HTML sau .lnk malițios. Da, componentele Internet Explorer încă cauzează probleme în 2026.
• CVE-2026-21514: un bypass Microsoft Word (CVSS 7,8) în care deschiderea unui document creat special permite atacatorilor să ocolească mitigările OLE.
• CVE-2026-21519: o escaladare de privilegii în Desktop Window Manager (CVSS 7,8) care oferă atacatorilor acces la nivel SYSTEM. Este a doua lună consecutiv cu un exploit DWM, ceea ce sugerează că patch-ul de luna trecută nu a rezolvat complet problema.
• CVE-2026-21533: o escaladare de privilegii în Remote Desktop Services către SYSTEM. Nu vă lăsați păcăliți de „Remote" — este un bug local, dar serverele RDS sunt ținte valoroase pentru mișcarea laterală.
• CVE-2026-21525: un denial-of-service în Windows Remote Access Connection Manager, care gestionează conexiunile VPN.

Trei dintre acestea (21510, 21513, 21514) au fost descoperite în comun de Google's Threat Intelligence Group și echipele proprii ale Microsoft, ceea ce sugerează că ar fi putut fi utilizate în aceeași campanie. Spionajul cibernetic de stat sau spyware-ul comercial este contextul probabil.

Pe lângă zero-day-uri, există CVE-2026-20841, un RCE în Windows Notepad (CVSS 8,8) declanșat prin deschiderea unui fișier Markdown creat special și click pe un link. Și CVE-2026-21531 în Azure SDK are scorul 9,8, permițând potențial execuția arbitrară de cod pe orice mașină care comunică cu serviciile Azure.

Există și o vulnerabilitate de spoofing în Microsoft Outlook (CVE-2026-21511, CVSS 7,5) în care panoul de previzualizare este un vector de atac, ceea ce înseamnă că nici nu trebuie să deschideți email-ul.

Și iată un detaliu care ar trebui să îngrijoreze în mod specific echipele de dezvoltare: acest Patch Tuesday include remedieri RCE pentru GitHub Copilot și multiple IDE-uri, inclusiv VS Code, Visual Studio și produse JetBrains. Mediul vostru de dezvoltare este o suprafață de atac.

Ce ar trebui să faceți concret

În cadrul angajamentelor noastre de testare de penetrare, vedem regulat organizații care sunt cu săptămâni sau luni în urmă cu patch-urile. Șase zero-day-uri exploatate activ într-un singur release nu este ceva obișnuit. CISA le-a adăugat în catalogul Known Exploited Vulnerabilities cu un termen limită de patch pe 3 martie, dar sincer, dacă aveți mașini Windows în mediul vostru, asta ar trebui să se întâmple acum, nu peste trei săptămâni.

Acțiuni specifice:

1. Aplicați patch-urile Windows imediat. Prioritizați cele șase zero-day-uri, apoi Azure SDK (CVSS 9,8), apoi tot restul.
2. Actualizați-vă IDE-urile. RCE-urile din Copilot și IDE-uri înseamnă că mașinile dezvoltatorilor voștri sunt ținte. Când configurăm Cloudflare sau Akamai pentru protecție DDoS, subliniem întotdeauna că securitatea nu se referă doar la serverele de producție. Mașinile de dezvoltare cu acces la repo-uri, credențiale cloud și instrumente interne sunt, fără îndoială, ținte și mai valoroase.
3. Verificați configurația Outlook. CVE-2026-21511 se poate declanșa din panoul de previzualizare. Dacă organizația voastră folosește Outlook, acesta este un scenariu de tip „citești email-ul și ești compromis".
4. Dacă rulați Laravel AI SDK, revizuiți ce date trec prin agenții voștri. Integrările AI tind să obțină permisiuni largi rapid, pentru că e mai ușor decât să le delimitezi corect. În proiectele noastre native iOS și Android, am văzut același pattern cu modelele ML on-device: echipele lansează cu acces la date excesiv de permisiv pentru că funcționalitatea a fost construită sub presiunea deadline-ului. Aplicați aceeași disciplină agenților AI server-side. Delimitați-le instrumentele, auditați-le accesul și nu acordați unui agent acces la nimic de care nu are nevoie.
5. Verificați și versiunea voastră de Laravel. Laravel 12 primește remedieri de bug-uri până în august 2026 și remedieri de securitate până în februarie 2027, deci aveți timp, dar dacă sunteți încă pe Laravel 10 sau 11, începeți să planificați drumul de upgrade.

Povestea RCE-ului în Notepad (CVE-2026-20841) este cu adevărat incredibilă. Un fișier Markdown. În Notepad. Ducând la execuție de cod. Am văzut acest pattern în aplicațiile de healthcare și IoT pe care le-am construit, unde operațiunile aparent inofensive de gestionare a fișierelor devin vectori de atac pentru că nimeni nu se aștepta ca acea cale de cod să conteze. Aceeași logică se aplică aici: dacă Notepad poate fi un vector RCE, reevaluați-vă presupunerile despre ce este „sigur" în propriile aplicații.

Imaginea de ansamblu

Laravel AI SDK și șase zero-day-uri în aceeași săptămână spun aceeași poveste din unghiuri diferite: suprafața de atac a software-ului modern continuă să se extindă. Integrările AI adaugă noi dependențe de furnizori, noi fluxuri de date, noi riscuri de prompt injection. Iar fundația pe care construim — Windows, Office, propriile noastre instrumente de dezvoltare — continuă să dezvăluie noi breșe.

Niciunul dintre aceste lucruri nu este un motiv de panică. Laravel SDK este bine conceput și urmează pattern-uri pe care comunitatea le înțelege deja. Remedierile Patch Tuesday sunt disponibile și ar trebui aplicate. Dar ambele sunt amintiri că a construi software în 2026 înseamnă să ții două lucruri în minte în același timp: cum să te miști rapid și cum să nu fii prins cu garda jos.

Dacă echipa voastră se confruntă cu echilibrul dintre livrarea funcționalităților AI și menținerea infrastructurii securizate, sau dacă șase zero-day-uri într-o lună sună ca mai mult decât poate gestiona echipa voastră internă, hai să discutăm. Acesta este genul de problemă cu care ajutăm în fiecare zi, în aplicații web, aplicații mobile și securitate.