iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 9篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 11:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

委內瑞拉能源及公用事業部門遭資料破壞軟體Lotus Wiper攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>隨自2025年底開始，加勒比海地區地緣政治局勢變得更加緊張，傳出有駭客組織專門以破壞為目的發動網路攻擊。<strong><a href="https://securelist.com/tr/lotus-wiper/119472/">資安公司卡巴斯基指出</a></strong>，名為Lotus Wiper的資料破壞軟體（Wiper）針對委內瑞拉能源與公營事業部門而來，而且攻擊的目的很明顯，駭客並未留下勒索訊息，並積極抹除資料，使檔案無法恢復。</p> <p>駭客利用兩個批次檔啟動攻擊鏈，並準備惡意程式所需的執行環境，並啟動惡意酬載。這些批次檔先透過網路進行滲透操作，降低受害電腦系統防禦層級，中斷系統正常作業，然後接收Lotus Wiper並解密執行。此資料破壞軟體會移除復原機制，覆寫磁碟上的內容，有系統地刪除受影響磁區的檔案，最終使得受害電腦系統無法復原。</p> <p>關於攻擊流程的進行，駭客第一個使用的批次檔是OhSyncNow.bat，目的是識別本機資料夾，然後停用系統服務、檢查網域資源，並檢查特定的Netlogon共享機制，從遠端取得特定檔案。</p> <p>接著駭客執行另一個批次檔notesreg.bat，找出所有的本機使用者帳號並竄改密碼、停用網路介面、執行磁碟清除指令，並嘗試填滿磁碟空間，最終部署Lotus Wiper。</p> <p>雖然卡巴斯基並未透露攻擊者的身分，不過<strong><a href="https://www.darkreading.com/cyber-risk/lotus-wiper-attack-targeted-venezuelan-energy-firms-utilities">資安新聞網站Dark Reading指出</a></strong>，很有可能與委內瑞拉石油公司（PDVSA）的事故有關，該公司去年12月13日傳出疑似遭勒索軟體攻擊，PDVSA認為，攻擊可能來自美國。</p> </div></div></div>
4/30 14:25作者周峻佑https://www.ithome.com.tw/news/175454
臺馬三號海纜部分蕊線受損不到一個月發生全斷，中華電信緊急以微波備援東引通訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>今年3月30日才發生部分蕊線受損的臺馬三號海纜，在不到一個月的時間再次發生海纜異常事件，臺馬三號海纜於馬祖東引外海約2.64公里處發生芯線斷裂，導致北竿至東引段全斷。此次事故影響連江縣東引鄉共約1,500位居民的對外通訊，突顯離島對單一海纜依賴所帶來的網路韌性風險。</p> <p><span style="color:#B22222;"><strong>海纜再受損，由「部分故障」演變為「全斷」</strong></span></p> <p>早在3月30日，臺馬三號海纜同一區段發生部分芯線受損，不到一個月的時間進一步惡化為全斷。數發部初步研判原因與海象不佳有關，可能是先前擱淺船隻殘骸因海況變動移動，進而破壞海纜結構。</p> <p>這類非人為、不確定性的外力干擾，反映出海纜基礎設施在面對自然環境時的脆弱性，也顯示既有海纜保護與監測機制仍有強化空間。</p> <p>在海纜中斷後，中華電信已依標準作業程序啟動微波通訊備援，將原本經由海纜傳輸的語音與網際網路服務切換至微波鏈路。目前東引地區行動通信、語音及數據服務仍可正常運作，但受限於微波頻寬與易受天候影響，部分上網服務可能出現延遲。</p> <p>此外，有線電視服務因缺乏相應轉換設備，無法透過微波系統提供服務，顯示不同通訊服務在備援設計上的落差，也突顯多層次備援架構的重要性。</p> <p><span style="color:#B22222;"><strong>離島通訊高度依賴單一海纜，韌性建設待強化</strong></span></p> <p>此次事件再度暴露東引對單一海纜路徑的高度依賴。儘管微波通訊可作為緊急備援，但是在頻寬容量與穩定性上仍難以完全取代海纜，對於日益依賴數位服務的離島地區而言，長時間透過微波支援當地通訊服務，也會影響民生與行政的日常運作。</p> <p>近年來，海纜已被視為關鍵基礎設施，其韌性不僅關乎通訊穩定，更涉及國安與區域發展。此次臺馬三號海纜前後受損，除強化海纜實體防護外，建立多路徑傳輸（如新增海纜、衛星或高容量微波鏈路）與提升即時監測能力，已成為提升整體網路韌性的關鍵。</p> <p>數發部目前已要求中華電信協調海纜船進行修復，但受限於海象條件，例最快須至今年7月底方能完成修復。這代表東引地區在未來數月內仍須仰賴微波備援系統維持對外通訊。</p> <p>長時間依賴備援機制，不僅考驗通訊服務品質，也對既有網路架構的穩定運作提出挑戰。此次事件再次提醒，面對頻繁發生的海纜事故，如何從「事後備援」進一步提升至「事前韌性設計」，是我國離島數位基礎建設的重要課題。</p> <p>數發部先前發布的我國海纜報告指出，去年因天災人禍導致7起近岸海纜故障事件，另有25起遠海海纜故障事件，為確保海纜斷纜不斷網，一方面建置多路由備援，鼓勵業者投資新建海纜，也加強對海纜的物理防護，例如深埋設計，並且提升對海纜的監測與預警能力，以及建立跨國維修與調度機制。另外，也要引進衛星通訊星系，以新世代的衛星通訊作為備援通訊手段。</p> </div></div></div>
4/30 15:01作者蘇文彬https://www.ithome.com.tw/news/175455
北韓駭客Famous Chollima透過AI生成惡意NPM套件，藉此洗劫開發人員加密貨幣資產
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>過去外界對於北韓駭客Famous Chollima的印象，在於他們長期以IT工作者到歐美企業應徵遠距工作的方式，藉此獲取資金以支援國家核武發展，並對受僱企業從事破壞，<strong><a href="https://www.reversinglabs.com/blog/claude-promptmink-malware-crypto">近期有資安公司指出</a></strong>，這些駭客採取新一波的攻擊行動，上架惡意NPM套件讓大型語言模型（LLM）採用，然後執行惡意程式。</p> <p>資安公司ReversingLabs在某個加密貨幣交易專案發現惡意程式碼，經調查發現，AI程式碼助理將惡意的@validate-sdk/v2判定為相依套件，駭客將其偽裝成常見的資料驗證工具，但實際上，該套件會從受害電腦抽取敏感資料。該公司將此攻擊活動命名為PromptMink，被汙染的套件於2月28日引入，攻擊者透過大型語言模型Anthropic Claude Opus提交，藉此洗劫使用者的加密貨幣錢包及資產。</p> <p>該公司指出，這起事故是Famous Chollima廣泛攻擊行動的一部分。上述的惡意套件最早在去年10月出現在NPM儲存庫，不過，相關的惡意功能直到今年2月才被加入。由於這些駭客擅長使用大型語言模型生成惡意套件，但他們究竟如何避開大型語言模型的防護機制？ReversingLabs認為，很可能與Famous Chollima採取多層次策略將誘餌與惡意套件區分開來有關。</p> <p>在上述事故發生之前，Famous Chollima在過去半年陸續發布多個看似無害的惡意套件，目的就是引誘開發人員或AI程式碼助理在專案導入這些套件。駭客的套件大致分兩層，第一層的套件不含惡意程式碼，其功能是匯入具備惡意功能的第二層套件。一旦這些第二層套件被發現有問題，駭客可輕易從NPM移除並進行更換。</p> </div></div></div>
4/30 12:31作者周峻佑https://www.ithome.com.tw/news/175450
【2026 企業資安大調查】一張圖看2026年金融業企業資安風險
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://www.ithome.com.tw/sites/default/files/0429-feng_xian_tu_-jin_rong_ye_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"><p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在這張金融業企業資安風險圖中，第一象限是最值得企業留意的資安威脅，對金融業而言，包括了8項系統類風險，5項人員類風險，以及1項AI類風險。</p> <p>金融業未來一年兩大首要資安威脅是「網路釣魚/社交工程手段」和「勒索軟體資安事故」，三項次要風險則包括了資安漏洞濫用、商業郵件詐騙和機敏資料外洩，AI風險最需要留意的是LLM應用洩露敏感資料的威脅。</p> <p>特別在AI威脅項目上，LLM幻覺導致真人誤判的衝擊雖然相對較低，但是，隨著金融業今年積極要落地各種生成式AI應用，不少金融資安長認為未來一年發生這類AI資安事件的風險也很高，因此也列入了第四象限「衝擊低但發生風險高」的項目之一。</p> <p><a href="https://r.itho.me/26svciop6">立即下載完整報告【iThome 2026 CIO & CISO大調查】資安策略篇完整報告</a></p> <p class="rtecenter"><a href="/sites/default/files/files/0429-%E9%A2%A8%E9%9A%AA%E5%9C%96-%E9%87%91%E8%9E%8D%E6%A5%AD-600-1.png" target="_blank"><img alt="" src="/sites/default/files/images/0429-%E9%A2%A8%E9%9A%AA%E5%9C%96-%E9%87%91%E8%9E%8D%E6%A5%AD-600-1.png" style="width: 600px;" /></a></p> <p><strong><span style="font-size: 14px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 102, 0);"> 企業資安風險圖製作說明 </span></span> 在iThome 2026年CIO暨CISO大調查中，由企業CIO和CISO自評各威脅項目的兩項指標，一項是該項目對企業帶來的衝擊程度（衝擊極高和衝擊極低），另一項是這個項目未來1年的發生風險（極可能發生與極不可能發生），再換算成不同程度的量化數據來製圖。垂直軸是該威脅項目對企業的衝擊，位置越往上代表衝擊越大，水平軸是企業未來1 年發生該項目的風險，位置越右，代表發生可能性越大。威脅項目的位置圓點，區分成三類，紅點代表系統類風險，綠點代表人員風險，黑點則為AI風險。</span></strong></p> <p><span style="font-size: 14px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 102, 0);"> 問卷執行 </span></span> 自2026年1月1日至1月29日，對臺灣大型企業、iThome歷屆CIO大調查企業、政府機關及大學院校的資訊主管進行線上問卷調查，有效問卷數396份，其中57%填答者為企業資安最高主管。</strong></span></p> <p><span style="font-size: 14px;"><strong>資料來源：2026年iThome CIO & CISO大調查，2026年3月</strong></span></p> </div></div></div>
4/30 13:26作者王宏仁https://www.ithome.com.tw/article/175432
【2026 企業資安大調查】一張圖看2026年高科技製造業企業資安風險
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://www.ithome.com.tw/sites/default/files/0601-zi_an_feng_xian_tu_-gao_ke_ji_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"><p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>高科技製造業2026年得優先警戒的資安威脅，包括了3項系統類風險，6項人員類風險</p> <p>「網路釣魚/社交工程手段」是高科技製造業未來一年的首要資安威脅，另有兩項次要風險也得防備，包括了「商業郵件詐騙」和「勒索軟體資安事故」，值得關注的是「深偽技術冒用」今年也開始進入高衝擊高風險的威脅範疇。</p> <p>另外DDoS攻擊雖然對高科技製造業的衝擊較低，但是2026年發生的可能性很高，也得留意相關對外網站或服務的可用性。</p> <p><a href="https://r.itho.me/26svciop6">立即下載完整報告【iThome 2026 CIO & CISO大調查】資安策略篇完整報告</a></p> <p class="rtecenter"><a href="/sites/default/files/files/0601-%E8%B3%87%E5%AE%89%E9%A2%A8%E9%9A%AA%E5%9C%96-%E9%AB%98%E7%A7%91%E6%8A%80-600-1.png" target="_blank"><img alt="" src="/sites/default/files/images/0601-%E8%B3%87%E5%AE%89%E9%A2%A8%E9%9A%AA%E5%9C%96-%E9%AB%98%E7%A7%91%E6%8A%80-600-1.png" style="width: 600px;" /></a></p> <p><strong><span style="font-size: 14px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 102, 0);"> 企業資安風險圖製作說明 </span></span> 在iThome 2026年CIO暨CISO大調查中，由企業CIO和CISO自評各威脅項目的兩項指標，一項是該項目對企業帶來的衝擊程度（衝擊極高和衝擊極低），另一項是這個項目未來1年的發生風險（極可能發生與極不可能發生），再換算成不同程度的量化數據來製圖。垂直軸是該威脅項目對企業的衝擊，位置越往上代表衝擊越大，水平軸是企業未來1 年發生該項目的風險，位置越右，代表發生可能性越大。威脅項目的位置圓點，區分成三類，紅點代表系統類風險，綠點代表人員風險，黑點則為AI風險。</span></strong></p> <p><span style="font-size: 14px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 102, 0);"> 問卷執行 </span></span> 自2026年1月1日至1月29日，對臺灣大型企業、iThome歷屆CIO大調查企業、政府機關及大學院校的資訊主管進行線上問卷調查，有效問卷數396份，其中57%填答者為企業資安最高主管。</strong></span></p> <p><span style="font-size: 14px;"><strong>資料來源：2026年iThome CIO & CISO大調查，2026年3月</strong></span></p> </div></div></div>
4/30 13:45作者王宏仁https://www.ithome.com.tw/article/175433
微軟財報出爐，AI年化營收成長123%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.microsoft.com/en-us/investor/earnings/fy-2026-q3/press-release-webcast" target="_blank">微軟週三（4/29）公布</a>截至3月31日的2026財年第三季營收，該季微軟締造829億美元的營收，成長18%，其中，跟AI有關的年化營收超過了370億美元，成長123%。不過，當天盤後微軟股價微幅下滑，跌至417.8美元。</p> <p>在829億美元的營收中，有350億美元來自生產力與業務流程（Productivity and Business Processes），成長17%；347億美元來自智慧雲端（Intelligent Cloud），成長30%；132億美元來自更多個人運算（More Personal Computing），下滑1%。</p> <p>至於所有以雲端、訂閱或用量計費方式交付的Microsoft Cloud在該季締造545億美元的營收，占微軟整體營收的66%，成長29%。</p> <p>從關鍵營運指標來看，商用剩餘履約義務（Commercial Remaining Performance Obligation，已簽約但尚未認列收入）的金額高達6,270億美元，成長99%，顯示企業雲端訂單持續累積；Azure與其它雲端服務的營收成長40%；Microsoft 365 Consumer雲端營收成長33%。</p> </div></div></div>
4/30 13:48作者陳曉莉https://www.ithome.com.tw/news/175452
終端模擬器Warp開源客戶端導入代理優先貢獻流程，OpenAI為創始贊助方
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>終端模擬器與代理式開發工具<a href="https://www.warp.dev/blog/warp-is-now-open-source" target="_blank">Warp開源客戶端</a>，並把社群貢獻流程導入代理優先模式。Warp表示，社群成員可透過Oz雲端代理調度平臺參與開發，由人類提出想法、確認方向與驗證成果，代理程式則處理規畫、撰寫程式碼與測試等工作。OpenAI是新開源Warp儲存庫的創始贊助方，新的代理管理工作流程由GPT模型支援。</p> <p>Warp最初是一款現代化終端模擬器，官方表示已有近百萬名活躍開發者使用，近年則逐步加入AI代理與程式開發工作流程，用途延伸至代理式開發環境（Agentic Development Environment，ADE），並支援Claude Code、OpenAI Codex CLI與Gemini CLI等第三方命令列代理工具。本次開源重點是讓外部開發者以公開方式參與Warp產品開發，並在實際專案中使用代理程式協助完成開源貢獻。</p> <p>Warp客戶端原始碼已<a href="https://github.com/warpdotdev/warp" target="_blank">放上GitHub</a>，採AGPL授權，目前獲得超過4.5萬顆星。社群可參考CONTRIBUTING.md了解貢獻流程，Warp團隊仍會協助引導哪些功能要開發、何時開發，以及如何實作，但希望把過去較封閉的產品開發流程，逐步改成以公開GitHub issue作為功能追蹤依據，並公開ADE相關路線圖與技術討論。</p> <p>Warp共同創辦人暨執行長Zach Lloyd表示，開源的主要原因是希望更快改善產品。他認為，目前開發瓶頸已不再只是寫程式，而是產品規格制定、方向判斷與行為驗證等需要人類參與的工作。</p> <p>配合這次開源，Warp更新產品能力，支援更廣泛的開源模型，包括Kimi、MiniMax與Qwen，並新增Auto (open)模型路由選項，可依任務選用合適的開放模型。Warp也強化客製化能力，使用者可把Warp調整成接近傳統終端機、加入差異檢視與檔案樹等輔助功能，或使用具備內建代理程式的完整ADE模式。Warp還推出設定檔，讓使用者與代理程式能以程式化方式控制設定，並在不同裝置之間搬移設定。</p> </div></div></div>
4/30 13:59作者李建興https://www.ithome.com.tw/news/175451
Amazon財報出爐，AWS成長28%，創15季新高
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://ir.aboutamazon.com/news-release/news-release-details/2026/Amazon-com-Announces-First-Quarter-Results/default.aspx" target="_blank">Amazon週三（4/29）公布</a>截至3月31日的2026年第一季財報，該季營收達1,815億美元，年增17%，營業利潤為239億美元，高於去年同期的184億美元。受AI投資與業務擴張帶動，淨利達303億美元，每股盈餘為2.78美元。</p> <p>在1,815億美元營收中，北美市場為1,041億美元，成長12%；國際市場為398億美元，成長19%；AWS為376億美元，成長28%。其中AWS成長速度為近15季以來最快，顯示企業對雲端與AI運算需求持續攀升。</p> <p>在營業利潤上，AWS貢獻141億美元，仍為主要獲利來源；北美市場為83億美元，國際市場則為14億美元。整體營業利潤年增30%，反映規模經濟與高毛利雲端業務的帶動。</p> <p>Amazon指出，過去12個月自由現金流降至12億美元，主要因AI基礎設施投資大幅增加，包括資料中心與自研晶片。公司透露，其Trainium、Graviton與Nitro晶片業務年化營收已突破200億美元，且呈現3位數成長。</p> <p>在AI布局上，Amazon持續強化Amazon Bedrock與代理人能力，推出Managed Agents與AgentCore等服務，並與<a href="https://www.ithome.com.tw/news/175395" target="_blank">OpenAI</a>、<a href="https://www.ithome.com.tw/news/175195" target="_blank">Anthropic</a>、<a href="https://www.ithome.com.tw/news/175317" target="_blank">Meta</a>等業者合作，擴大AI模型供應與雲端運算基礎設施布局。</p> <p>Amazon過去12個月資本支出達1,510億美元，較前一年增加約593億美元，主要投入AI基礎設施。</p> </div></div></div>
4/30 14:19作者陳曉莉https://www.ithome.com.tw/news/175453
【企業資安大調查｜一張圖揭露2026企業資安風險】從系統風險、人員風險到AI風險，2026企業得優先防備哪些資安威脅？
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://www.ithome.com.tw/sites/default/files/0429-zheng_ti_feng_xian_tu_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"><p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>傳統資安威脅依舊在，但企業今年更加留意這幾年爆紅的GenAI浪潮風險。尤其有多項LLM資安風險威脅，今年開始升溫，也成為企業資訊長和資安長特別警戒的項目。</p> <p>在2026年iThome CIO&CISO大調查中，我們再一次製作這份企業資安風險圖，可以作為企業分配有限IT資源的參考。這項調查由396位企業CIO和CISO參與填答，針對29項資安威脅進行自評，衡量每一項資安威脅，在未來一年的發生可能性和衝擊高低。我們彙整所有填答結果後，才製作出這份2026年企業資安風險圖。</p> <p class="p1" style="margin: 5.6px 0px; font-style: normal; font-variant: normal; font-size-adjust: none; font-language-override: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; font-size: 14px; line-height: normal; font-family: "Avenir Next"; color: rgb(38, 38, 38); background-color: rgba(0, 0, 0, 0);"><a href="https://r.itho.me/26svciop6"><span class="s1" style="font-style: normal; font-variant: normal; font-size-adjust: none; font-language-override: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; font-size: 14px; line-height: normal; font-family: "PingFang TC";">立即下載完整報告【</span>iThome 2026 CIO & CISO<span class="s1" style="font-style: normal; font-variant: normal; font-size-adjust: none; font-language-override: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; font-size: 14px; line-height: normal; font-family: "PingFang TC";">大調查】資安策略篇完整報告</span></a></p> <p>我們將這些資安威脅分成三大類，系統風險類，人員風險類和今年新增的AI風險類資安威脅等。</p> <p class="rtecenter"><a href="/sites/default/files/files/0429-%E6%95%B4%E9%AB%94%E9%A2%A8%E9%9A%AA%E5%9C%96-600-2(1).png" target="_blank"><img alt="" src="/sites/default/files/images/0429-%E6%95%B4%E9%AB%94%E9%A2%A8%E9%9A%AA%E5%9C%96-600-2.png" style="width: 600px;" /></a></p> <p>根據這次調查結果發現，2026年企業最常見的資安風險前三名，分別是勒索軟體資安事故（32%）、資安漏洞濫用（28%）和DDoS攻擊（26%）。這三類系統風險都有近三成企業，列為今年必須警戒的威脅項目之一，這幾項也是過去三年來，大型企業最常見的資安事故。</p> <p>在人員風險類型上，名列第一個威脅是社交工程手段的網路釣魚（52%），半數CIO自認未來一年非常有可能遭遇這類威脅。其次是商業郵件詐騙（31％）、瀏覽惡意網站（27%）。</p> <p>在AI風險類威脅上，今年企業最警戒的兩項威脅是「LLM應用洩漏敏感資料」、「Deepfake深偽技術冒用」。</p> <p>代理式AI今年崛起，不分產業，都有不少企業今年開始大力擁抱代理式AI，但是企業對於代理式AI風險的戒心還是偏低。只有少數企業約1～2%開始將AI代理供應鏈弱點和AI代理自主操作失當視為年度高風險資安威脅來防範。企業資源有限時，可優先防範常見威脅。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>一張圖看2026年整體企業資安風險</strong></span></span></p> <p class="rtecenter"><a href="/sites/default/files/files/0429-%E6%95%B4%E9%AB%94%E9%A2%A8%E9%9A%AA%E5%9C%96-600-1.png" target="_blank"><img alt="" src="/sites/default/files/images/0429-%E6%95%B4%E9%AB%94%E9%A2%A8%E9%9A%AA%E5%9C%96-600-1.png" style="width: 600px;" /></a></p> <p><span style="color:#3366ff;"><strong>企業未來一年兩大首要資安威脅是「網路釣魚/社交工程手段」和「勒索軟體資安事故」，三項次要風險則包括了「資安漏洞濫用」、「商業郵件詐騙」和「機敏資料外洩」，AI風險最需要留意的是「LLM應用洩漏敏感資料」的威脅。</strong></span></p> <p><strong><span style="font-size:14px;"><span style="color:#FFFFFF;"><span style="background-color:#ff6600;"> 企業資安風險圖製作說明 </span></span> 在iThome 2026年CIO暨CISO大調查中，由企業CIO和CISO自評各威脅項目的兩項指標，一項是該項目對企業帶來的衝擊程度（衝擊極高和衝擊極低），另一項是這個項目未來1年的發生風險（極可能發生與極不可能發生），再換算成不同程度的量化數據來製圖。垂直軸是該威脅項目對企業的衝擊，位置越往上代表衝擊越大，水平軸是企業未來1 年發生該項目的風險，位置越右，代表發生可能性越大。威脅項目的位置圓點，區分成三類，紅點代表系統類風險，綠點代表人員風險，黑點則為AI風險。</span></strong></p> <p><span style="font-size:14px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#ff6600;"> 問卷執行 </span></span> 自2026年1月1日至1月29日，對臺灣大型企業、iThome歷屆CIO大調查企業、政府機關及大學院校的資訊主管進行線上問卷調查，有效問卷數396份，其中57%填答者為企業資安最高主管。</strong></span></p> <p><span style="font-size:14px;"><strong>資料來源：2026年iThome CIO & CISO大調查，2026年3月</strong></span></p> </div></div></div>
4/30 13:16作者王宏仁https://www.ithome.com.tw/article/175420
SAP的NPM套件遭Mini Shai-Hulud攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安公司<strong><a href="https://www.aikido.dev/blog/mini-shai-hulud-has-appeared">Aikido</a></strong>、<strong><a href="https://safedep.io/mini-shai-hulud-and-sap-compromise/">SafeDep</a></strong>、<a href="https://socket.dev/blog/sap-cap-npm-packages-supply-chain-attack">Socket</a>、<strong><a href="https://www.stepsecurity.io/blog/a-mini-shai-hulud-has-appeared">StepSecurity</a></strong>、<strong><a href="https://www.wiz.io/blog/mini-shai-hulud-supply-chain-sap-npm">Wiz</a></strong>提出警告，最新一波NPM套件供應鏈攻擊活動Mini Shai-Hulud針對SAP而來，該公司多個套件受到影響。關於攻擊者的身分，Socket、Wiz推測很有可能就是3月發動大規模攻擊的駭客團體TeamPCP。</p> <p>這些遭到竄改的SAP生態系統套件，駭客植入了預先安裝的指令碼，在NPM套件安裝過程中，自動執行setup.mjs，該指令碼下載Bun執行環境，並啟動經混淆處理的酬載execution.js，攻擊者可藉此在NPM套件安裝完成之前，得以趁機執行特定程式碼。</p> <p>第二階段酬載是竊資軟體與大量擴散的框架，駭客同時針對開發者的環境與CI/CD管線，收集的資料包括：GitHub憑證、NPM憑證、雲端（AWS、Azure、GCP）機密資料、Kubernetes憑證，以及GitHub Actions機密資料，並透過公開的GitHub儲存庫外洩。</p> <p>針對這起事故發生的原因，Aikido根據曝露拉取請求的NPM權杖，駭客有可能透過CircleCI入侵這些套件而得逞。SafeDep指出，攻擊者可能在攻擊GitHub Actions之前就取得NPM憑證。</p> <p>對比這起事故與先前Shai-Hulud活動不同之處，StepSecurity提出下列3點分析：首先，惡意軟體偵測到位於俄羅斯會自動停止、所有外洩資料會使用AES-256-GCM演算法處理，再者，駭客濫用Claude Code的掛鉤功能，將有問題的內容提交到每個能夠存取的儲存庫。</p> </div></div></div>
4/30 11:40作者周峻佑https://www.ithome.com.tw/news/175446
CISA警告ConnectWise ScreenConnect、Windows Shell漏洞已出現攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>4月28日<strong><a href="https://www.cisa.gov/news-events/alerts/2026/04/28/cisa-adds-two-known-exploited-vulnerabilities-catalog">美國網路安全暨基礎設施安全局（CISA）指出</a></strong>，ConnectWise ScreenConnect路徑遍歷漏洞CVE-2024-1708、Windows防護機制失效漏洞CVE-2026-32202已遭到積極利用，並將這些漏洞列入已遭利用漏洞名冊（KEV），要求聯邦機構於5月12日前完成修補。</p> <p>從漏洞的CVSS評分來看，較嚴重的是CVE-2024-1708，<strong><a href="https://www.ithome.com.tw/news/161417">此漏洞於2024年2月揭露</a></strong>，影響23.9.7以前版本的ScreenConnect，CVSS風險評分為8.4分（滿分10分），屬高風險等級，ConnectWise發布23.9.8版予以修補。值得留意的是，ConnectWise在發布公告的隔天，就傳出有嘗試利用的跡象。</p> <p>另一個漏洞<strong><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-32202">CVE-2026-32202</a></strong>存在於Windows Shell，原因是保護機制失效，導致未經授權的攻擊者能在網路上進行偽造，CVSS風險評為4.3分，為中度風險，微軟評為重要（Important）等級。<strong><a href="https://www.ithome.com.tw/news/175055">微軟於4月例行更新（Patch Tuesday）著手修補</a></strong>，並在27日更新公告內容，表示漏洞已遭到利用。</p> </div></div></div>
4/30 11:40作者周峻佑https://www.ithome.com.tw/news/175431
APT28將Windows Shell欺騙漏洞用於實際攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>本週微軟、<strong><a href="https://www.ithome.com.tw/news/175431">美國網路安全暨基礎設施安全局（CISA）證實</a></strong>，CVSS風險僅有4.3分的Windows Shell資安漏洞CVE-2026-32202被用於實際攻擊，但他們並未進一步說明如何被利用，有資安公司透露，此漏洞已遭俄羅斯駭客APT28（Fancy Bear、UAC-0001）利用。</p> <p><strong><a href="https://www.akamai.com/blog/security-research/incomplete-patch-apt28s-zero-day-cve-2026-32202">資安公司Akamai指出</a></strong>，此漏洞與微軟2月修補的Windows Shell安全功能繞過漏洞CVE-2026-21510有關，由於修補不完整而導致有弱點，事實上，微軟當時提供的修補程式確實阻止了SmartScreen繞過，並讓攻擊者無法再用來遠端執行任意程式碼，卻留下零點擊強制身分驗證的弱點，也就是上述的CVE-2026-32202。</p> <p>而Akamai所謂的漏洞利用活動，就是<strong><a href="https://www.ithome.com.tw/news/174182">兩個月前</a></strong>公布APT28攻擊烏克蘭與數個歐盟國家的活動，當時Akamai指出駭客利用惡意LNK檔案觸發CVE-2026-21513，但實際上，還有另一個漏洞也被利用，那就是CVE-2026-21510，由於Akamai發現修補不完整，並未在調查報告透露此事。</p> <p>Akamai表示，駭客同時在LNK檔案利用了CVE-2026-21510與CVE-2026-21513，至於利用CVE-2026-21510的目的，主要是為了繞過SmartScreen安全功能，使APT28得以執行存放於遠端伺服器的攻擊程式碼，透過Windows Shell名稱空間解析機制，經由UNC路徑而從遠端伺服器載入DLL檔。</p> </div></div></div>
4/30 11:43作者周峻佑https://www.ithome.com.tw/news/175440
Meta營收成長33%，AI資本支出上調至1450億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://investor.atmeta.com/investor-news/press-release-details/2026/Meta-Reports-First-Quarter-2026-Results/default.aspx" target="_blank">Meta週三（4/29）公布</a>2026年第一季財報，該季Meta創下563.11億美元的營收，比去年同期成長33%，淨收入為268億美元，成長61%，每股盈餘為10.44美元。當天Meta亦將2026年的資本支出從原本預測的1,150~1,350億美元，調高至1,250~1,450億美元。財報出爐後，Meta盤後股價下滑6.37%，跌至626.5美元。</p> <p>在563.11億美元的營收中，有550.24億美元來自程式家族（Family of Apps）廣告，占了Meta總營收的97.7%，而Reality Labs營收則是4.02億美元，程式家族另有8.85億美元為非廣告收入。整體而言，程式家族的營業收入為269億美元，Reality Labs則虧損了40.3億美元。</p> <p>Reality Labs去年同期的收入跟虧損都與今年相去不遠。</p> <p>Meta執行長祖克柏（Mark Zuckerberg）<a href="https://s21.q4cdn.com/399680738/files/doc_financials/2026/q1/META-Q1-2026-Prepared-Remarks.pdf" target="_blank">在財報會議中表示</a>，全球每天有超過35億人使用Family of Apps的其中一款程式，儘管因為伊朗網路中斷，以及俄羅斯的封鎖措施，使得Family of Apps的每日使用量略顯下滑，但此外，所有應用程式的使用狀況都十分良好。</p> <p>祖克柏亦多次提到由超級智慧實驗室（Meta Superintelligence Labs，MSL）所打造的首款AI模型<a href="https://www.ithome.com.tw/news/174932" target="_blank">Muse Spark</a>，指出Meta的目標不僅是讓使用者把Meta AI當作助手，更要打造出能夠理解用戶目標、持續協助用戶實現這些目標的智慧助手。</p> <p>至於微幅提高今年資本支出的預估主要是為了反映今年零組件成本的上升，小部分是為了因應算力需求增加所需的資料中心建置成本。</p> </div></div></div>
4/30 11:44作者陳曉莉https://www.ithome.com.tw/news/175447
勒索軟體Gentlemen透過代理伺服器工具SystemBC滲透企業組織
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>為了讓行蹤較難被發現，駭客利用代理伺服器建立隱匿通訊機制的手法，如今越來越常見，近期有勒索軟體也加入利用行列。</p> <p>資安公司Check Point揭露<strong><a href="https://research.checkpoint.com/2026/dfir-report-the-gentlemen/">勒索軟體Gentlemen</a></strong>，該駭客團體約從2025年中旬開始活動，宣稱迄今已有320家企業或組織受害，其中有240家企業或組織的事故發生在今年1月。這些駭客以租用模式（RaaS）尋找打手，並廣泛提供不同型態的檔案加密工具，包括能在Windows、Linux、BSD等作業系統與NAS運作的版本，以及專為虛擬化平臺VMware ESXi打造的版本。</p> <p>值得留意的是，在其中一起事故裡，Gentlemen部署了代理伺服器工具SystemBC，此類工具通常被用於建立秘密隧道，並傳遞惡意酬載。</p> <p>至於Gentlemen是否直接將SystemBC整合其勒索軟體生態系統，或是旗下附屬團體將SystemBC用於遠端存取的工具，目前不得而知。不過Check Point強調，駭客通常將SystemBC用於人為操作入侵流程，而非鎖定大量使用者，因此受害者多半應該是企業或組織。根據他們的調查，可能有1,570家企業組織遭到感染，其中美國最多，英國、德國居次。</p> </div></div></div>
4/30 11:45作者周峻佑https://www.ithome.com.tw/news/175442
Gemini服務現可直接生成PDF、Word、Excel及Google Docs等檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://blog.google/innovation-and-ai/products/gemini-app/generate-files-in-gemini/" target="_blank">Google週三（4/29）宣布</a>，旗下生成式AI服務Gemini現在已可直接生成檔案，從PDF、Word、Excel到Google Docs等。</p> <p>過去使用者要利用Gemini建立檔案時，必須先請它生成內容或表格，使用者再複製至特定工具中並排版，現在Gemini則可直接幫使用者將內容轉為標準檔案格式。</p> <p>Gemini App團隊產品經理Maryam Sanglaji表示，使用者只要給出相關提示，就能將工作內容轉移到不同的應用程式中，例如將預算提案輸出為Microsoft Excel檔案；把零散想法條列之後，再將它們輸出成PDF或Word檔；並可直接下載至本地裝置或匯出至Google Drive。</p> <p>目前Gemini所支援的檔案生成格式涵蓋Workspace（Docs, Sheets及Slides）、PDF、DOCX、XLSX、CSV、LaTeX、TXT、RTF及MD等，並已同時部署至全球的Gemini服務上。</p> </div></div></div>
4/30 10:33作者陳曉莉https://www.ithome.com.tw/news/175439
微軟開源86-DOS 1.00
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>本週在DOS問世的45週年，<a href="https://opensource.microsoft.com/blog/2026/04/28/continuing-the-story-of-early-dos-development/" target="_blank">微軟開源</a>86-DOS 1.00，IBM PC的第一代DOS程式碼及相關紀錄。</p> <p>最新開源的86-DOS 1.00資源除了程式碼核心，還包括PC-DOS 1.00核心多個開發版本、知名工具如CHKDSK。除了上述程式的組譯清單，還包括組譯器本身的原始碼清單。</p> <p>這些資產由歷史學家及保存家組成的專門團隊整理、掃描和轉錄86-DOS 1.00的清單而成。其中有些清單是原始開發者Tim Patersonan本人保存的工作狀態和手寫筆記。這些資源反映了DOS早期的開發歷程，展示了功能實現的進展、錯誤修復過程，以及當時作業系統開發的真實樣貌。目前這些實體文件已由Tim Paterson捐贈給臨時計算機博物館（Interim Computer Museum）保存。</p> <p>Tim Paterson開發86-DOS 1.00是微軟與個人電腦歷史中最重要的轉折點之一。1980年代初期，Tim Paterson任職於Seattle Computer Products（SCP）。當時英特爾推出了16位元的8086處理器，但市場上缺乏能發揮該處理器性能的作業系統（當時的主流CP/M仍是8位元），Tim Paterson因此決定動手寫出一個全新的系統。Tim Paterson僅用了大約4個月就開發出了16位元的早期OS版本，最初命名QDOS（Quick and Dirty Operating System），後來正式定名為86-DOS。</p> <p>當時微軟正與IBM洽談為即將推出的IBM PC提供作業系統，但微軟手上並沒有現成軟體。微軟在1980年底向SCP購買了86-DOS的授權，並隨後在1981年正式將整套系統買斷。Tim Paterson後來也加入微軟，協助將86-DOS修改為PC-DOS 1.00，以適應IBM PC的硬體規範。他不僅寫了DOS核心，還親手編寫了組譯器（ASM.COM）以及像CHKDSK這樣至今仍廣為人知的診斷工具。</p> <p><a href="https://thebrokenpipe.com/dos/paterson_listings/" target="_blank">數位化小組網站</a>提供了86-DOS 1.00部份數位化典藏。86-DOS 1.00的開源程式碼則可在<a href="https://github.com/DOS-History/Paterson-Listings" target="_blank">GitHub</a>找到。</p> </div></div></div>
4/30 10:44作者林妍溱https://www.ithome.com.tw/news/175441
Alphabet財報出爐，Google Cloud營收成長63%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://s206.q4cdn.com/479360582/files/doc_financials/2026/q1/2026q1-alphabet-earnings-release.pdf" target="_blank">Alphabet週三（4/29）公布</a>截至3月31日的第一季財報，該季Alphabet創下1,099億美元的營收，成長22%。其中，Google Services營收為896億美元，成長16%，Google Cloud占了200億美元，成長63%，淨收入達626億美元，成長81%，每股盈餘為5.11美元。當天Alphabet盤後股價上揚6.96%，漲至371.5美元。</p> <p>這次Alphabet財報最受矚目之處在於Google Cloud。Alphabet執行長<a href="https://blog.google/company-news/inside-google/message-ceo/alphabet-earnings-q1-2026/#introduction" target="_blank">Sundar Pichai表示</a>，該季雲端業務的加速成長有賴市場對其AI產品與基礎設施的強大需求，這是Google Cloud營收首度超過200億美元，同時其雲端訂單積壓也比上一季增加一倍，超過4,600億美元。至於Gemini Enterprise的每月付費用戶亦比上一季成長40%。</p> <p>除了Google Cloud成長63%之外，Google的搜尋及廣告營收成長了19%；旗下模型每分鐘處理的Token數量超過160億個，比上季增加60%；包括YouTube、Google One及消費版Gemini的付費人數突破3.5億；自駕計程車服務Waymo每週在所服務的11個城市的載客次數也達到50萬次。</p> <p>另一方面，新創事業（Other Bets）在第一季締造4.11億美元的營收，虧損21億美元，低於去年同期所創下的4.5億美元營收，也高過當時12.3億美元的虧損。</p> <p>在AI基礎設施上，Google目前採取自研及外部並行策略，同時採用Nvidia GPU，以及自行研發的Axion CPU及TPU，日前更發表了分別為訓練及推理任務所設計的<a href="https://www.ithome.com.tw/news/175251" target="_blank">TPU 8t及TPU 8i</a>，再加上不斷更新的模型。Pichai說，過去一年來，有330家的Google Cloud處理了超過1兆個Token的資料，當中有35家所處理的資料超過10兆個Token。</p> <p><a href="https://abc.xyz/investor/events/event-details/2026/2025-Q4-Earnings-Call-2026-Dr_C033hS6/default.aspx" target="_blank">Pichai在財報會議上也揭露</a>，2025年的全年資本支出（Capital Expenditure，CapEx）為914億美元，主要集中在AI基礎設施上，其中約有6成用於伺服器（包括GPU及TPU等運算設備），其餘4成則投入資料中心及網路設備；而今年的資本支出將大幅提高到1,750億至1,850億美元之間，主要用於擴充AI運算能力，支援Google DeepMind前沿模型開發，並強化Google Services使用者體驗與廣告投資報酬率，同時因應雲端客戶需求成長，持續投資資料中心與伺服器等基礎設施。</p> </div></div></div>
4/30 10:57作者陳曉莉https://www.ithome.com.tw/news/175443
澳洲新法擬以徵稅為手段，催Google、Meta、TikTok支付新聞網站授權費
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.pm.gov.au/media/consultation-news-bargaining-incentive-now-open" target="_blank">澳洲本週公布新法案</a>，促使Google、Meta和TikTok等大型社群媒體或網路服務業者和新聞媒體議價內容授權費，否則就要支付稅收。</p> <p>新法案名為新聞媒體議價倡議（News Media Bargaining Incentive，NBI）。NBI法草案旨在修補舊有《新聞媒體議價法（News Media Bargaining Code）》的漏洞，尤其是數位巨頭拒絕與本地媒體協議付費的問題。</p> <p>新版法案適用於在澳洲年營收超過2.5億澳幣（約1.8億美元）的大型社群媒體或搜尋引擎服務供應商。初步鎖定Meta（Facebook/Instagram）、Google及TikTok。根據法案，若大型平臺未與澳洲本地新聞機構達成付費協議，政府將對其在澳洲的總營收課徵2.25%的稅款。若數位平臺選擇繳稅，這筆資金將由政府徵收，根據媒體雇用記者數量發放給媒體。他們如果與本地新聞機構簽署授權協議並支付費用，則可以用於抵減2.25%的稅額。</p> <p>2021年的法案強制數位平臺（如Google、Meta）必須為其平臺上顯示的新聞內容支付費用給媒體公司，並和當地新聞機構議價。但反對本案的Meta一度從Facebook平臺上撤下澳洲媒體新聞以避免支付費用。新草案下即便平臺移除新聞連結，只要其營收與用戶規模達到門檻都將繳稅，以防止其重施故技。澳洲政府估計，新法案如果上路，一年能徵收2.5億澳幣。</p> <p>Meta和Google雙雙反對新法案。<a href="https://www.theguardian.com/australia-news/2026/apr/28/albanese-tech-companies-australian-media" target="_blank">Guardian</a>引述Meta發言人指出，澳洲媒體是因為收費而自願貼文在其平臺，新法要求Meta對沒有顯示的本地新聞付費，無異是由政府強制徵稅的「數位稅」。</p> <p>Google則說目前該公司已向90家新聞機構及220多家網站支付費用，新法沒有改革必要，且澳洲政府也誤解了新聞業生存危機來自線上廣告的版圖移轉，此外，Google也批評新法只要求傳統數位平臺，而遺漏了AI平臺如微軟、OpenAI及Snapchat等對新聞內容的掠奪。</p> <p>新法案從本週起1個月接受各方討論，預計在7月2日提交國會審議。</p> </div></div></div>
4/30 11:16作者林妍溱https://www.ithome.com.tw/news/175445
微軟Exchange Online 7月起封鎖POP與IMAP舊版TLS連線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟Exchange團隊<a href="https://techcommunity.microsoft.com/blog/exchange/deprecating-legacy-tls-and-endpoints-for-pop-and-imap-in-exchange-online/4515201">公告</a>，Exchange Online將全面淘汰POP3與IMAP4連線對TLS1.0、TLS1.1的支援，並自2026年7月起開始封鎖使用舊版TLS的連線。企業若仍以POP或IMAP存取Exchange Online，需確認郵件用戶端、應用程式與相關函式庫已支援TLS1.2以上，並停止使用舊版TLS端點。</p> <p>該變更預期主要影響已明確選用舊版TLS端點的客戶，微軟表示，現代郵件用戶端與函式庫大多已支援TLS1.2或更新版本，目前Exchange Online多數POP與IMAP流量也已使用較新的TLS協定。</p> <p>TLS1.0與TLS1.1早被業界視為不宜繼續使用的舊加密協定，微軟在Microsoft Learn文件中說明，Exchange Online自2020年10月起已不再支援在服務中使用TLS1.0與TLS1.1，但過去仍允許部分POP3/IMAP4用戶端透過特定舊版端點連線，作為舊系統轉換期間的緩衝安排。而現在微軟將正式結束這個例外管道。</p> <p>微軟建議，若企業不確定是否仍使用舊版TLS，應檢查POP與IMAP用戶端設定，並向應用程式或設備供應商確認TLS支援狀態。要是相關設備或程式無法升級到TLS1.2以上，企業需在微軟自2026年7月開始封鎖舊版TLS連線前，完成替換、更新或調整連線方式，以避免舊系統後續無法透過POP或IMAP存取Exchange Online。</p> </div></div></div>
4/30 09:59作者李建興https://www.ithome.com.tw/news/175430
【達拉斯現場直擊】SAS 50周年揭AI戰略方向，聚焦可信任、要強化企業AI落地能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>專攻AI大數據分析的老牌大廠SAS今年迎來50周年，從北卡羅來納州立大學的農業數據研究起家，到如今服務逾150個國家、多數為財富500企業，他們在年度大會首日（4/28）上重申AI戰略方向，聚焦可信任AI，要從決策流程、治理機制和資料等三層面下手，打造企業級可信任且可規模化的AI應用架構。他們也以一系列產品布局來支持這個戰略方向，包括以MCP結合大型語言模型的決策平臺、這次新推出的AI治理工具SAS AI Navigator，以及資料管理和合成資料工具。</p> <h2><strong>代理型AI帶來決策可信任挑戰</strong></h2> <p>原本只是要解決農業運算需求的SAS，在1976年發表同名程式語言，1998年開始在服務中融入機器學習功能、2016年納入深度學習、2020年擁抱多雲架構，確保自家軟體服務能在多雲環境和地端執行。2024年，他們還推出合成資料生成器，來供資料不足、但想訓練AI模型的企業使用。</p> <p>SAS技術長Bryan Harris在大會上指出，他們這一路發展降低了企業用AI的門檻，卻也發現可信任問題，尤其是代理型AI（Agentic AI）應用，「所有AI代理工作流程，都包含了確定性（Deterministic）與非確定性（Non-deterministic）元素。」</p> <p>其中，確定性系統可提供穩定且可預測的結果，但以大型語言模型（LLM）為基礎的生成式AI應用，可能因上下文不同而產生不同輸出，進而影響企業決策品質。</p> <h2><strong>解方是LLM當介面、確定性邏輯做為決策關鍵</strong></h2> <p>Bryan Harris以反洗錢警示為例，進一步說明為何不能把所有決策都交給LLM。同一筆可疑交易，LLM跑三次可能得出三種不同結論：低風險、高風險、或直接關閉警示。如果企業把這種判斷完全交給LLM，出錯的風險會以複合方式累積。</p> <p><img alt="" src="/sites/default/files/images/%E7%A2%BA%E5%AE%9A.JPG" /></p> <p>SAS的解法是，結合確定性和非確定性邏輯，讓LLM當作前臺介面，來處理語言理解、推理和解釋，而SAS的規則引擎處理則作為後臺決策核心，確保關鍵決策都在可追溯、可稽核的確定性系統上執行。</p> <p>SAS全球AI暨生成式AI產品策略負責人Marinela Profi以實例說明，一家零售業者店長收到庫存預警後，直接在Claude的對話介面問「我該怎麼辦？」Claude呼叫了SAS Intelligent Decisioning智慧決策平臺，根據銷售預測、庫存數據和補貨政策，算出「建議補貨約1,040件」，還附上詳細的決策依據和稽核紀錄。</p> <p><img alt="" src="/sites/default/files/images/%E6%88%AA%E5%9C%96%202026-04-29%20%E6%B8%85%E6%99%A87_10_29.png" /></p> <p><img alt="" src="/sites/default/files/images/%E6%88%AA%E5%9C%96%202026-04-29%20%E6%B8%85%E6%99%A87_20_31.png" /></p> <p>在整個過程中，使用者都透過Claude這款LLM介面來對話與解釋，SAS的決策平臺則負責實際運算和政策套用，兩者以MCP伺服器串接，解決決策可信任問題。</p> <h2><strong>影子AI問題靠禁止沒用，要讓治理變得夠方便才有效</strong></h2> <p>同樣是要打造可信任AI系統，SAS在今年大會上揭露了新治理工具AI Navigator，是整個戰略的一大亮點產品。它的核心邏輯很簡單：與其等AI出問題再來收拾，不如一開始就把治理嵌進去，尤其是在員工使用未經授權的AI來解決公司問題、影子AI（Shadow AI）風險越來越高的現在。</p> <p>SAS副總裁Reggie Townsend負責帶領SAS數據倫理措施（Data Ethics Practice）團隊，他在現場展示，當企業使用者發現某個開源LLM被標記為資料投毒（Data poisoning）風險，AI Navigator五分鐘內就能完成這些工作：確認這個模型連結到哪些應用場景、套用了哪些法規政策、找到合規團隊已有的應變措施、發現一個可以替代的授權代理，並通知資產負責人啟動處理流程。</p> <p><img alt="" src="/sites/default/files/images/ai%20navigator.JPG" /></p> <p>他直言，AI治理計畫最大的風險，不是法規，「而是工具太複雜、沒人真的去用。」他也點出，企業導入AI面臨的3大核心張力，比如在道德層面，AI必須符合企業的價值觀與信念；在營運層面，效率提升不能犧牲一致性和清晰度；在財務層面，要創造AI價值但不能提高失控風險。</p> <p>他強調，這三者都需要靠「好的判斷力」來平衡，而AI治理正是把這種判斷力系統化、規模化的機制。</p> <h2><strong>以數位分身和合成資料補足現實限制，讓What if變成可模擬的問題</strong></h2> <p>在應用層面，SAS也持續推動數位分身（Digital Twin），作為驗證和優化企業決策流程的核心工具。</p> <p>Bryan Harris指出，去年，他們就與Epic Games合作，在Unreal Engine中建置光擬真的虛擬場域，來讓企業在不冒真實風險的情況下，模擬各種營運情境。</p> <p>他在現場舉例，丹麥最大醫療器材滅菌廠商SteriCentral，就用這套數位分身服務來解決問題。他們原本以為，醫療器械清洗流程的低效率，來自緩衝升降機卡滯；但導入數位分身模擬後才發現，升降機本身就是整個流程的中央分流節點，所有器械托盤都要經過它重新分配，才導致排隊延遲。</p> <blockquote><p><img alt="" src="/sites/default/files/images/%E6%89%98%E7%9B%A4.JPG" /></p> <p>此為數位分身模擬的醫療器械清洗流程。</p> </blockquote> <p>釐清癥結後，團隊調整分流策略，成功化解瓶頸、提高作業效率。甚至更進一步，SAS還用同一套數位分身工具產出合成影像，來訓練電腦視覺模型，偵測廠商人員作業時，是否正確佩戴口罩、手套等防護裝備。</p> <p>Bryan Harris也透露其他產業的實例。比如能源業方面，SAS正訓練無人機搭配電腦視覺，提前偵測電力設備故障，預防停電和可能造成的野火；油氣業則建置深海鑽油平臺的數位分身，能即時偵測氣體洩漏等危險情況。Bryan Harris稱數位分身為「終極的What-if實驗場」，讓企業在真正行動前，就能看清楚每個決策的可能後果。</p> <p><img alt="" src="/sites/default/files/images/%E6%B7%B1%E6%B5%B7.JPG" /></p> <h2><strong>遷移不一定會痛苦：Posten Bring的雲端升級經驗</strong></h2> <p>除了主打AI可信任機制，SAS還在大會首日請來挪威郵政物流集團Posten Bring，不只分享他們從SAS 9.4升級到SAS Viya的經驗，還包括後來使用的新款資料分析工具好處。</p> <p>Posten Bring分析部門主管Bendik Overgaard說明了遷移的三個主要原因：公司原本就有全面上雲的技術策略；24小時不間斷的物流營運需要即時資料支援，但舊平臺容量已經跟不上需求；SAS提供的遷移工具可讓超過95%的既有程式碼直接沿用，大幅降低重建成本。</p> <p><img alt="" src="/sites/default/files/images/postoffice.JPG" /></p> <p>於是，雙方展開遷移，完成後全集團6、700名主管，每天上班都可以即時獲得所需的管理資訊。不只如此，他們還採用新款資料分析工具SpeedyStore，直接在資料所在處就能執行分析，不需要把資料搬移到特定平臺，不只分析速度更快，資料主權也更有保障。</p> <p>遷移完成後，全集團6、700名主管每天上班，都能即時獲得所需的管理資訊。這背後靠的是SAS SpeedyStore資料分析工具，過去企業做分析，習慣把資料搬到分析平臺再處理，但SpeedyStore反過來，讓分析運算直接在資料所在處執行，資料不動、分析移過去。這樣做不只速度更快、成本更低，資料不離開原本的環境，資安風險也跟著降低。</p> <p></p> </div></div></div>
4/29 20:31作者王若樸https://www.ithome.com.tw/news/175428
GitHub近月頻繁故障，HashiCorp共同創辦人宣布搬遷Ghostty專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>開源終端機模擬器Ghostty的作者，同時也是HashiCorp共同創辦人的Mitchell Hashimoto，於4月28日在個人部落格<a href="https://mitchellh.com/writing/ghostty-leaving-github">宣布</a>，將把Ghostty專案搬離使用超過18年的GitHub。他提到，問題不在Git本身，而在GitHub的Issues、拉取請求（Pull Requests，PR）與Actions等周邊服務近月頻繁故障，已嚴重影響其日常開發。新託管平臺尚未公布，Mitchell Hashimoto正與多家商業與開源方案洽談，現有儲存庫將保留為唯讀鏡像，URL維持不變。</p> <p>Mitchell Hashimoto為GitHub第1,299號用戶，他表示，自2008年2月註冊以來，幾乎每天都會開啟GitHub。他曾共同創辦HashiCorp，並打造Vagrant、Terraform與Vault等基礎設施工具，目前主力放在2021年起開發的Ghostty，這是一款採用GPU加速與平臺原生UI的跨平臺終端機模擬器。</p> <p>Mitchell Hashimoto提到，過去一個月，他以日記方式逐日記錄受GitHub故障影響的工作日，幾乎每天都被畫上記號。他撰寫該部落格文章當下，還因GitHub Actions故障，無法進行Pull Request審查長達約兩小時，他特別強調，問題不在Git本身，而是GitHub周邊基礎設施，包括Issues、PR與Actions等服務。</p> <p>事實上，GitHub在4月下旬接連發生多起事故，<a href="https://www.ithome.com.tw/news/175276">4月24日Pull Requests服務發生影響合併佇列操作的迴歸問題</a>，使用擠壓合併（Squash Merge）且合併群組包含多個Pull Request時，會產生錯誤的合併提交，期間影響658個儲存庫與2,092個Pull Request。</p> <p>另一起搜尋相關事故則發生於4月28日，GitHub<a href="https://www.githubstatus.com/incidents/x69zbgdyfzg0">表示</a>Elasticsearch叢集過載，可能與殭屍網路攻擊有關，導致Issues、Pull Requests、Projects與Actions工作流程執行頁面等仰賴搜尋的功能出現異常。</p> <p>關於搬遷規畫，Mitchell Hashimoto表示會以漸進方式移除Ghostty對GitHub的依賴，未來數月再公布更多細節。本次搬遷僅針對Ghostty，他其餘個人專案目前仍留在GitHub，他也表示，若GitHub未來在可靠度上有實際改善，不排除重返。</p> <p>GitHub技術長Vlad Fedorov也在4月28日於官方部落格<a href="https://github.blog/news-insights/company-news/an-update-on-github-availability/">發文提到</a>，GitHub自2025年10月起執行10倍容量擴充計畫，而到2026年2月，GitHub判斷未來需要支援目前30倍規模。Vlad Fedorov將主因歸於代理式開發流程快速增加，帶動儲存庫建立、PR活動、API使用、自動化與大型儲存庫工作負載成長。</p> </div></div></div>
4/29 19:58作者李建興https://www.ithome.com.tw/news/175419
Mythos模型問世，臺灣兩大資安廠商警示AI將使攻擊門檻大幅降低
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>AI自動化尋找漏洞的能力正迎來爆發式成長，近期Anthropic公開的Mythos模型，以其強大的自主攻擊鏈構建能力震撼全球，但臺灣資安研究人員示警：這場攻防變革的轉折點，其實早在Mythos問世前就已出現，因為前一代模型Opus 4.6釋出時，就已開始實質瓦解漏洞挖掘的技術門檻。</p> <p>自從Mythos模型預覽版在4月初<a href="https://www.ithome.com.tw/news/174898">公布初步應用成果</a>，已引發全球資安界高度戒備，不僅Anthropic宣布暫不對外發布，僅限參與「<a href="https://www.anthropic.com/glasswing">Project Glasswing</a>」計畫的特定企業先行使用，隨後還<a href="https://www.ithome.com.tw/news/175081">引發美英加監理機關</a>與銀行高層討論相關風險，<a href="https://www.ithome.com.tw/news/175189">新加坡網路安全局（CSA）也發出警訊</a>，強調先進AI模型恐將徹底改變漏洞利用的節奏，要求銀行與關鍵基礎設施加速補強防線。</p> <p>由於Mythos尚未開放大眾使用，外界難以完整驗證其實戰能力，但從模型開發商的謹慎封印到各國政府的連鎖反應，已顯現Mythos背後隱藏的毀滅性潛能。</p> <p>這類能力固然可用於提升產品安全，卻也可能被攻擊者用於更快速發動漏洞攻擊。隨著技術演進至此，全球資安體系都必須重新審視這股浪潮下的威脅轉變。因此，我們也針對Mythos帶來的影響，邀請國內資安專家提出更深刻的觀察與解析。</p> <h2><strong>之前Opus 4.6模型已降低漏洞挖掘與利用門檻，下一代模型的能力提升幅度令人難以想像</strong></h2> <p>曾多次在國際展現漏洞研究實力的戴夫寇爾（DEVCORE），其紅隊總監許復凱表示，雖然DEVCORE並未參與Project Glasswing第一波合作，無法具體評估Mythos的能力，但從前一代模型Opus 4.6的實際經驗來看，他認為現在的趨勢已經很明顯：AI在漏洞挖掘上的能力，正呈指數級成長，且目前仍看不到盡頭。</p> <p>這些新變化已對相關生態帶來衝擊，許復凱在CTF競賽與漏洞獎勵計畫領域中，已深刻感受到AI帶來的劇烈變化，甚至知名漏洞獎勵平臺HackerOne也因此<a href="https://hackerone.com/ibb/policy_versions?change=3771829&type=team">停止Internet Bug Bounty（IBB）計畫</a>。</p> <p>至於Mythos的能力是否被高估？他認為這並非最重要的問題。因為就算不是Mythos，下一代或再下一代的模型也遲早會做到這一步。</p> <p>他認為更關鍵的現況是，資安威脅的「奇點」其實早在前一代模型Opus 4.6釋出時，就已悄然降臨，因為該模型具備高度殺傷力，足以明顯降低漏洞挖掘與利用的門檻。</p> <p>許復凱進一步解釋，在實際操作Opus 4.6的第一手經驗中，他觀察到，在小型目標或CTF題目中，確實可能僅憑一句提示（Prompt）指令就讓AI尋獲漏洞；但面對大範圍或高難度標的，AI現在仍然太容易武斷地下結論，也太急著給出一個答案，因此一定還有不少潛在漏洞其實沒有被找到，尤其是深層漏洞或組合型漏洞，現階段仍會高度依賴專家協作，才能挖出真正關鍵盲點。</p> <p>然而，這並不代表防禦方可以掉以輕心。許復凱強調：「惡意攻擊者不需要找完所有漏洞，只要找到一個能打的洞就夠了。」雖然當前AI模型在挖掘深度與完整性上仍有侷限，但攻擊者已能藉由AI帶來速度快、量級大、成本低的優勢，讓攻擊效率產生質變，這正是當前最現實且巨大的威脅。</p> <p>若從更廣的面向來看，對資安領域而言，更大的改變其實是攻防規模開始失衡。</p> <p>許復凱直言，「過去很多系統不是因為真的安全，僅是駭客覺得不值得花時間研究，所以沒有被攻擊者大規模盯上。」當AI將逆向工程到產出攻擊程式的時間，從數天壓縮至數分鐘時，時間成本也被壓到接近零。換言之，現有的防禦體系在攻擊頻率與反應速度上將無法跟上。</p> <p>在此威脅態勢下，最令人擔憂的目標並非防禦嚴密的大型系統，而是那些不起眼卻無所不在的系統，例如：路由器、印表機、醫療設備、金融設備，甚至各種家電裡的聯網元件。因為這類終端環節並不像Windows、Chrome、iOS或Android等主流平臺，擁有龐大的技術支援與更新能力。</p> <p>他再次強調，攻擊者只要找到一個洞就夠了，但對於防守方而言，卻可能要面對一整片看不完、補不完、也處理不完的風險面，這才是AI對資安產業最根本的衝擊。</p> <p>有何應對方式？他建議，若能及早在設計開發階段納入資安團隊及資安研究量能，提前找出漏洞及組合攻擊鏈，持續提高產品被攻擊的門檻與成本，可預防未來產品錯誤召回、產品安全修補等風險與損失。</p> <p><img alt="" src="/sites/default/files/images/2021%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E5%A4%A7%E8%81%B2%E5%85%ACShaolin.jpg" style="color: rgb(7, 130, 193); width: 380px;" /></p> <p><strong>對於AI漏洞研究能力提升，戴夫寇爾紅隊總監暨共同創辦人許復凱指出，其實前一代Opus 4.6模型就已經讓漏洞挖掘門檻顯著下降，其重大影響在於，過去的安全僅是攻擊者沒花更多時間深入研究，如今AI讓攻擊門檻消失，特別是路由器、醫療與金融設備等IoT元件，因資源匱乏，難以像科技巨頭般應對新興威脅。</strong></p> <h2><strong>突破漏洞分析瓶頸，這波演變關鍵在於AI能與外部工具互動</strong></h2> <p>很早投入AI資安並連續舉辦多屆AI資安年會的奧義智慧科技，也從實際經驗對於先進AI模型產生的資安衝擊，提出深度剖析。奧義智慧資安研究員陳兆閔與研究處長陳仲寬指出，根據團隊利用多種大型語言模型（LLM）與AI代理系統挖掘漏洞的經驗，雖然目前無法直接測試Mythos，但廠商宣稱它能發現上千個漏洞並串聯成攻擊驗證程式（PoC）的說法，他們並不意外。</p> <p>這是因為，在龐大的開源生態系中，沒有經過專家認真審核的程式實在非常多，過去受限於人力，難以進行系統化且高涵蓋率的分析；如今在LLM的協助之下，AI確實能以更完整、更全面的維度去覆蓋這些潛在弱點。換言之，要找到上千個漏洞是有可能做到的。</p> <p>此外，AI在提交修補程式的部分也已展現潛力。例如，透過精確定位崩潰（Crash）位置，並輔以良好的單元測試（Unit Test），已能有效修正許多漏洞。</p> <p>不過，陳兆閔與陳仲寬也提醒，若從漏洞複雜度的角度來看，依現有資訊較難作為判斷。根據過往在CTF競賽中的經驗，AI在處理複雜的二進位漏洞利用（Binary Exploitation）時表現尚不理想，通常需要經過數次人工介入的迭代與指引，才能產出真正可行的攻擊程式（Exploit）。</p> <p>目前來看，現在的漏洞挖掘並非一步即可達成，但其關鍵是在與外部工具的互動能力的呈現。他們進一步解釋，這一波技術進化的最重要關鍵，是LLM能與外部工具進行動態互動，像是運用Debugger（除錯器）追蹤程式記憶體狀態，加上設計精良的提示（Prompt），才能達到這項結果，並確保漏洞PoC及測試是正確運作。</p> <p>整體而言，就現在的演進方向來看，主要是透過LLM與外部工具的互動，讓AI執行、測試產生出的攻擊程式或修補方案，若功能錯誤，則根據回饋在下一輪進行修正。透過這樣的方式，將降低模型幻覺的影響，並讓系統可靠性更高。</p> <p>談完技術面的發展，陳兆閔與陳仲寬也指出這波技術潮流的影響，認為其重大變革在於將漏洞挖掘從「人力密集的手工業」轉向「自動化工業」，因為過去尋找漏洞的成本極高且涵蓋率有限，但如今Agentic AI的出現與進步，讓整體漏洞挖掘的成本變低，發動攻擊的門檻也隨之瓦解，這對所有與漏洞相關的產業都將帶來重大衝擊。</p> <p><img alt="" src="/sites/default/files/images/43f2afb8-8f61-4379-8b1c-30c527b451a3.png" style="width: 295px;" /> <a href="/sites/default/files/images/e09b499c-556b-4108-a7b5-79e1de97b730.png"><img alt="" src="/sites/default/files/images/e09b499c-556b-4108-a7b5-79e1de97b730.png" style="width: 295px;" /></a></p> <p><span style="color:#696969;"><strong>用AI挖掘出上千個漏洞是否可能？奧義智慧資安研究員陳兆閔與資安研究處長陳仲寬指出，在龐大的開源生態系中，沒有經過專家認真審核的程式實在非常多，以往較難有系統性、高涵蓋性的分析。如今，在LLM具備更完整分析能力的輔助下，要在短時間內找出上千個漏洞，確實是可能做到的。（圖左為奧義智慧資安研究員陳兆閔，圖右為奧義智慧資安研究處長陳仲寬。）</strong></span></p> </div></div></div>
4/29 17:22作者羅正漢https://www.ithome.com.tw/news/175398
資策會MIC：AI資料中心擴展瓶頸從算力轉向電力與散熱，基礎設施正面臨轉型變革
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>隨著AI模型規模持續擴張，資料中心的競爭焦點正出現根本轉變。資策會MIC產業分析師郭思偉指出，過去以算力為核心的發展模式，正逐步轉為電力供應與散熱能力的瓶頸。從晶片功耗飆升，到機櫃、機房、電網層級的連鎖壓力，AI資料中心正迎接新的電力與散熱管理挑戰。</p> <p><span style="color:#B22222;"><strong>AI伺服器功耗飆升，資料中心面臨基礎設施極限</strong></span></p> <p>郭思偉指出，近十年GPU與AI伺服器的功耗大幅上升，單一晶片從400瓦、700瓦到1,200瓦，這意味著不只是伺服器、機櫃設計改變，連帶衝擊整體資料中心的電力與散熱架構。</p> <p>這使得問題不再限於單一機櫃，而擴及整棟建築乃至區域電網。當電力需求與熱排放同步增加，資料中心營運者必須同時解決「如何供電」與「如何散熱」兩大難題。</p> <p><img alt="" src="/sites/default/files/images/%E6%88%AA%E5%9C%96%202026-04-29%20%E4%B8%8B%E5%8D%886_01_28.jpeg" style="width: 600px; height: 480px;" /></p> <p>舉例而言，在1U機架高度內，若晶片功耗在350瓦以內尚可使用氣冷，而超過此限制就必須使用水冷或液冷。由於資料中心的空間有限，不能因為散熱而減少機器密度，如何在有限空間內輸入更多電力並有效排熱成為關鍵。</p> <p><span style="color:#B22222;"><strong>高壓、穩定供電成趨勢，傳統48V架構面臨淘汰</strong></span></p> <p>由於模型訓練需要使用大量記憶體，模型訓練需要較長時間，在電源轉換或負載變動時若供電不及，可能導致訓練數月的模型毀於一旦，因此Nvidia建議高階AI伺服器需配備BBU(Battery Backup Unit)，高階系統配備BBU逐漸成為標配，目前BBU有2種方式，採用鋰電池或超電容，前者電量較大，但使用壽命較短，後者的電量較小，但比較耐用。</p> <p>另外，在電力架構上，傳統48V直流供電已難以支撐高功耗AI負載。郭思偉指出，隨著單一機櫃功率從過去10kW、30kW，提升至未來可能上看100kW甚至更高，業界正轉向高壓直流（HVDC）架構。</p> <p>郭思偉指出，目前HDVC有2派的技術路線主張，一派是微軟和Meta主張的正負400V，可延用現今較成熟的電動車零件，另一派則是Nvidia去年倡議的800V系統，效率較佳，但目前僅有少數電動跑車採用，仍在驗證階段，預期2025年至2026年將完成驗證，2027年前後有機會成為主流標準。</p> <p>除了HVDC，固態變壓器 (SST)因為體積更小、效率更高的優勢，預計將取代傳統大型線圈變壓器，改善精準的電力調度。</p> <p><span style="color:#B22222;"><strong>備援電力與供電模式全面重構</strong></span></p> <p>在供電架構轉型之外，備援電力系統也面臨變革。傳統UPS使用鉛酸電池與柴油發電機，因環保與碳排壓力逐漸被淘汰，取而代之的是鋰電池、儲能系統（BESS）及燃料電池等方案。目前已有UPS採用鋰電池，但相對的容易有燃燒爆炸風險，去年南韓政府的資料中心即因鋰電池管理不當造成資料中心火災，進而曝露南韓政府資料備份不足的問題。</p> <p>同時，資料中心業者也開始探索新的供電模式，例如「Behind-the-Meter」，直接從發電端供電給資料中心，以降低對既有電網的依賴。國外已有資料中心案例，直接採用自建發電設備，確保電力供應不受限制，另外，Amazon直接購買核電廠旁的土地建設資料中心，跳過脆弱的公共電網。</p> <p>郭思偉指出，這反映出電網建設速度難以跟上AI發展需求。</p> <p><span style="color:#B22222;"><strong>核能與再生能源成為長期解方</strong></span></p> <p>在能源來源上，郭思偉表示，目前業界尋求低碳能源解方，包括再生能源、氫能與核能，其中小型模組化核電（SMR）被視為兼具穩定供電與低碳排的潛力選項。</p> <p>此外，大型科技業者已開始透過長期購電協議（PPA）提前鎖定未來電力來源，確保AI資料中心的能源供應穩定。</p> <p><span style="color:#B22222;"><strong>液冷成主流，但仍處於過渡期</strong></span></p> <p>在散熱方面，傳統空氣冷卻已接近極限。郭思偉指出，空冷大致僅能支撐每機櫃約10kW至80kW的熱負載，無法滿足高階AI運算需求，這使得液冷快速崛起。</p> <p>目前主流為直接液冷（Direct-to-Chip），並持續導入微流道等技術提升效率。浸沒式冷卻雖具更高的散熱能力，但是因維護與成本問題，短期內仍難全面普及。</p> <p>值得一提的是，冷卻液也出現變革，過去常用的氟化液因環境疑慮正逐步退出市場，替代方案尚未確定，化工與材料業者積極投入競爭。</p> <p>郭思偉強調，短期內液冷仍將和氣冷並存，原因是液冷初期成本高，且需要基礎設施配合；短期間內，業者多採取能用氣冷的做法，以兼顧成本與市場接受度。但是液冷也在管線標準、漏水防護與維運機制等問題上已有改善，導入障礙正逐步降低。</p> <p><span style="color:#B22222;"><strong>用水也是問題</strong></span></p> <p>除了電力之外，資料中心也成「用水怪獸」，散熱也帶來水資源問題。資料中心大量用水進行冷卻，已在部分地區引發民眾關切。</p> <p>對此，目前業界已發展多種解法，包括水下資料中心，引用海水冷卻，或是將資料中心鄰近水源，設置於河邊，方便取水冷卻、建置封閉式水循環系統，甚至透過空氣取水技術降低對自來水的依賴。</p> <p><img alt="" src="/sites/default/files/images/%E6%88%AA%E5%9C%96%202026-04-29%20%E4%B8%8B%E5%8D%885_53_54.jpeg" style="width: 508px; height: 386px;" /></p> <p>郭思偉指出，臺灣業者在液冷與電源供應鏈已具備完整布局，涵蓋水冷板、接頭、管線與CDU等關鍵元件。</p> <p>隨著BBU可望成為高階AI伺服器標配，帶動電源廠與電池廠之間的合作，台廠在模組整合能力上具優勢，有望在新一波架構升級中受惠。另外，在高壓供電（800V）標準上，已有多家台廠參與國際聯盟，提前卡位未來規格制定。</p> <p>郭思偉認為，AI資料中心正從單純的算力競賽，轉向電力與能源效率的競爭。當電網、能源與散熱能力成為限制因素，誰能有效解決這些問題，將是下一階段產業競爭的關鍵。</p> <p>AI發展不只是晶片與模型的問題，也是一場涵蓋能源、基礎建設與供應鏈的新競局。</p> </div></div></div>
4/29 18:08作者蘇文彬https://www.ithome.com.tw/news/175418
勒索軟體VECT 2.0加密檔案出錯，受害者付錢也無法完全復原檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>為了縮短加密檔案的時間，勒索軟體駭客會採用部分加密的手法，然而若是相關機制存在缺陷，就有可能導致經加密處理的檔案無法復原，而成為變相的資料破壞軟體（Wiper）。</p> <p>例如，從去年12月在俄語網路犯罪論壇出現的<strong><a href="https://research.checkpoint.com/2026/vect-ransomware-by-design-wiper-by-accident/">勒索軟體VECT</a></strong>。根據資安公司Check Point的調查，近期發布的VECT 2.0大改版，因為對於容量超過128 KB檔案的加密處理機制實作存在弱點，導致用於解密的nonce資料每4組就有3組會被清除，即使是散播惡意軟體的攻擊者也無法將檔案還原。值得留意的是，檔案容量少於128 KB，加密處理才能正常運作，換言之，幾乎企業常見的資料與資產，像是虛擬磁碟、資料庫、內部文件，以及備份資料，一旦遭到此勒索軟體加密，就無法恢復原狀。</p> <p>針對勒索軟體VECT的來歷，以租用服務（RaaS）的形式供買家使用，於今年1月首度對兩家企業發動攻擊，由於該駭客組織在TeamPCP發動大規模供應鏈攻擊之後，宣布進行合作，目標是受到供應鏈攻擊影響的企業組織，因此VECT的動態，格外受到關注。</p> <p>對於這些駭客打造的勒索軟體，共有Windows、Linux，以及專為VMware ESXi打造的版本，全部都是以C++撰寫，駭客實作的檔案加密機制完全相同，因此，上述提及的加密缺陷，也存在於所有版本的VECT 2.0。</p> </div></div></div>
4/29 17:02作者周峻佑https://www.ithome.com.tw/news/175417
復古模型talkie問世，僅蒐集1930年以前知識以測試推理能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>一群研究人員近日<a href="https://talkie-lm.com/introducing-talkie" target="_blank">發表了一個名為talkie的語言模型</a>，它是個復古語言模型，僅使用1930年以前的資料進行訓練，<a href="https://talkie-lm.com/chat" target="_blank">以觀察AI</a>在缺乏現代資訊下的理解及推理能力。</p> <p>研究團隊表示，人們或許曾想像與過去的人對話，如果對方完全不了解現代世界，會如何回答問題？又會提出哪些疑問？雖然無法真正回到過去，但透過僅使用歷史資料訓練語言模型，可以在某種程度上模擬這種跨時代對話。talkie不僅可用來跟古人聊天，還能用來觀察AI在知識受限的情況下能夠如何推理及回應問題，進而理解其能力來源與行為模式。</p> <p>在訓練資料方面，talkie完全採用1930年及以前的英文文本，總計約2600億個Token，內容涵蓋書籍、報紙、期刊、科學論文、專利與判例等歷史資料，刻意排除現代網路內容，以確保模型的知識停留在1930年前。</p> <p>在模型設計上，talkie為一個具備130億參數的語言模型，並提供原始版本與可對話版本。此外，研究團隊也建立一個以現代網路資料訓練的對照模型，藉此比較不同訓練資料對AI能力的影響。</p> <p>實驗顯示，talkie在語言理解與基本數學能力上表現接近同架構的現代模型，但在知識性任務上明顯落後。不過，當問題排除時代錯置（Anachronism）後，兩者差距可縮小一半，顯示部分差異來自知識缺口而非能力不足。</p> <p>而在實際互動示範中，talkie呈現出明顯的時代風格，例如以偏向維多利亞時代的語氣回答問題，並在缺乏相關知識時出現錯誤推論。</p> <p>研究人員認為，這類「時間切片」模型可用於探索AI如何從有限資料中形成理解，甚至評估其「預測未來」或生成新知識的潛力。</p> <p>目前talkie僅支援英文，但已被餵進各種奇怪的問題，例如有人問它誰統治印度，印度有朝一日會自由嗎？結果talkie回答「印度是由英國國王統治，而且印度不會獨立。」問說能不能打電話給它，它說「可以，打到North 3360。」問它火箭能不能回收，他說「不行」。</p> <p>該團隊打算進一步將資料訓練規模擴大至兆級Token，並開發更高品質的歷史文字辨識技術，以提升talkie的表現。</p> </div></div></div>
4/29 15:39作者陳曉莉https://www.ithome.com.tw/news/175414
【資安日報】4月29日，LiteLLM重大漏洞公布一天半出現攻擊活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/175400"><strong style="font-size: 22px;">LiteLLM重大漏洞公布後36小時出現攻擊活動</strong></a></p> <p>4月24日LiteLLM開發團隊揭露SQL注入漏洞CVE-2026-42208，此為代理伺服器API金鑰驗證流程弱點，一旦成功利用漏洞，攻擊者就能從代理伺服器的資料庫讀取資料，甚至能進行竄改，導致代理伺服器與其管理的憑證可被未經授權存取，CVSS v4.0風險評為9.3分，開發團隊發布1.83.7版LiteLLM修補。資安公司Sysdig發現，在上述公告發布的36個小時後，他們偵測到漏洞利用的跡象，駭客試圖發動SQL注入攻擊，然後找出資料庫結構，並鎖定其中3個資料表，使用17個Union惡意酬載。</p> <p><a href="https://www.ithome.com.tw/news/175397"><strong style="font-size: 22px;">Hugging Face機器人平臺LeRobot存在重大漏洞，未經身分驗證的攻擊者可執行任意程式碼</strong></a></p> <p><a href="/sites/default/files/images/72ebe147d930397455a02a0300607de5-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/72ebe147d930397455a02a0300607de5-63.jpg" style="width: 300px; float: right;" /></a></p> <p>由AI開發資源平臺Hugging Face打造的開源機器人平臺LeRobot，近期揭露重大等級的資安漏洞CVE-2026-25874，此為不安全的反序列化漏洞，未通過身分驗證的攻擊者可透過 SendPolicyInstructions、SendObservations或GetActions gRPC呼叫，傳送特製的Pickle有效酬載，在伺服器或用戶端執行任意程式碼，CVSS v4.0風險評為9.3分、CVSS v3.1達到9.8分，屬重大等級的弱點，相當危險。</p> <p><a href="https://www.ithome.com.tw/news/175406"><strong style="font-size: 22px;">高風險GitHub漏洞極容易被利用，攻擊者只需透過推送Git就能觸發</strong></a></p> <p><a href="/sites/default/files/images/1777301499-image3-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/1777301499-image3-63.jpg" style="width: 300px; float: right;" /></a></p> <p>3月上旬GitHub接獲資安公司Wiz的通報，發布3.14.25、3.15.20、3.16.16、3.17.13、3.18.7、3.19.4版GitHub Enterprise Server（GHES）修補高風險漏洞CVE-2026-3854，此漏洞讓攻擊者能夠取得推送儲存庫的權限，於GHES主機執行任意程式碼，CVSS風險為8.8分（CVSS v4.0為8.7分）。本週GitHub與Wiz說明更多細節，指出該漏洞相當容易利用。</p> <p><a href="https://www.ithome.com.tw/news/175410"><strong style="font-size: 22px;">TeamT5 ThreatSonar反勒索軟體存在高風險漏洞，可被提升權限、刪除任何檔案</strong></a></p> <p>4月28日國家資通安全研究院（資安院）發布資安公告，指出杜浦數位安全（TeamT5）旗下的反勒索軟體系統ThreatSonar Anti-Ransomware存在資安漏洞CVE-2026-5967，影響4.0.0版（不含）以前的用戶，此漏洞可被用於權限提升，通過身分驗證且取得Shell操作權限的攻擊者可遠端注入作業系統指令，並以root執行，CVSS風險為8.8（4.0版為8.7分），呼籲用戶應根據杜浦數位安全4月20日的公告，儘速確認及修補。</p> <p><a href="https://www.ithome.com.tw/news/175391"><strong style="font-size: 22px;">AI代理人9秒刪掉新創公司PocketOS的資料庫及備份</strong></a></p> <p>提供租車SaaS服務的新創公司PocketOS上週發生慘劇，創辦人Jeremy Crane將此事在X上公開警告。上週五，執行Anthropic旗艦模型Opus 4.6的Cursor刪掉其營運用的資料庫，之後透過一個API呼叫，將在其雲端基礎架構服務Railway上的備份也刪掉。整個過程花了9秒鐘。這個Cursor代理人原本是要解決PocketOS模擬（staging）環境的某個憑證不一致的問題，這通常是例行性事務。它碰到問題後，自行決定要刪除Railway volume，並未詢問開發人員而鑄成大錯。</p> <p><a href="https://www.ithome.com.tw/news/175403"><strong style="font-size: 22px;">影音串流平臺Vimeo遭Anodot資料外洩事件波及，部分用戶與客戶資料遭未經授權存取</strong></a></p> <p>4月27日Vimeo發布公告指出，該公司遭到Anodot事故影響而資料外洩，未經授權的駭客存取部分使用者與客戶的資料，主要包含技術資料、影片標題與中繼資料，部分情況下還有客戶的電子郵件信箱。上述資料不包括影片內容、使用者登入憑證、付款資訊。Vimeo強調，使用者與客戶的登入憑證都是安全的，這起事故未造成該公司系統或服務中斷。</p> <p><a href="https://www.ithome.com.tw/news/175389"><strong style="font-size: 22px;">研究人員揭露比Stuxnet還要早被利用的工控惡意軟體Fast16</strong></a></p> <p><a href="/sites/default/files/images/fast16_7-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/fast16_7-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安公司SentinelOne揭露網路攻擊框架Fast16，並指出其核心元件最早在2005年出現，其中的fast16.sys會選擇性攻擊高精度計算軟體，於記憶體裡竄改程式碼，以影響計算結果。值得留意的是，Fast16的有效酬載同樣具備蠕蟲機制，可自我散播，駭客的目標是讓整個設施產生不正確的計算結果，削弱科學研究與工程成果，從而影響工控系統的運作。</p> <p><a href="https://www.ithome.com.tw/news/175392"><strong style="font-size: 22px;">駭客冒充IT與客服人員，透過跨租戶Teams通訊進行社交工程攻擊</strong></a></p> <p><a href="/sites/default/files/images/Teams-helpdesk-38-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/Teams-helpdesk-38-63.jpg" style="width: 300px; float: right;" /></a></p> <p>微軟近日提出警告，他們發現駭客冒充IT人員或客服人員建立跨租戶的Teams通訊，並透過社交工程手法誘騙員工授予遠端桌面存取權限，得逞後他們透過快速助手（Quick Assist）或其他遠端監控與管理（RMM）工具建立存取管道，並執行經受信任廠商簽章的應用程式，搭配攻擊者自己的模組執行惡意程式碼。上述的存取途徑，微軟強調攻擊者能藉由Windows遠端管理（WinRM）等原生的管理通訊協定橫向移動，進一步滲透至網域控制器（DC）等高價值資產。</p> <p><a href="https://www.ithome.com.tw/news/175394"><strong style="font-size: 22px;">UNC6692冒充IT服務臺，透過Teams散布惡意軟體套件Snow</strong></a></p> <p><a href="/sites/default/files/images/unc6692-custom-malware-fig5_max-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/unc6692-custom-malware-fig5_max-63.jpg" style="width: 300px; float: right;" /></a></p> <p>Google威脅情報團隊（GTIG）揭露駭客組織UNC6692的多階段攻擊活動，駭客運用持續性社交工程與模組化的惡意軟體套件，試圖潛入受害企業的環境，目的是進行深度的網路環境滲透。這些駭客主要依賴冒充IT或客服人員，說服使用者接受企業外部的Teams群組邀請，最終使用Snow惡意程式工具包，洩露受害企業機敏資訊。UNC6692的活動展現駭客社交工程攻擊策略的改變，利用使用者對多家軟體廠商的信任，而成功引誘他們上當。</p> <p><a href="https://www.ithome.com.tw/news/175383"><strong style="font-size: 22px;">駭客組織BlackFile鎖定零售與餐旅業竊取資料，並索討7位數的高價贖金</strong></a></p> <p>資安公司Palo Alto Networks透過零售及餐旅情資共享暨分析中心（RH-ISAC）網站發布警告，他們發現駭客團體BlackFile從事資料竊取與勒索的活動，這些事故最早於今年1月出現，其攻擊手法相當特別，有別於許多駭客組織打造自己的惡意軟體與作案工具，該組織專門濫用受害組織的API與其他內部資源，來進行寄生攻擊（LoL）。關於BlackFile的來歷，Palo Alto Networks表示，這群攻擊者似乎與The Com有關，該組織是由ShinyHunters與Scattered Spider成員另組的子團隊。</p> <p><a href="https://www.ithome.com.tw/news/175372"><strong style="font-size: 22px;">OpenClaw強化權限管理與系統穩定性，修復繞過策略與憑證洩漏等弱點</strong></a></p> <p>當前廣泛使用的AI代理框架OpenClaw，近日發布新的2026.4.20版，強化整體權限控管與執行流程安全性，資安媒體GBHackers指出，這個版本也修復先前多項安全性問題，提醒用戶儘速更新。GBHackers指出，OpenClaw先前版本存在3項安全性問題：首先，是可透過提示注入（prompt-injection）繞過保護機制，從而修改Gateway等關鍵設定，進而影響AI代理執行流程與權限控管。</p> <p><a href="https://www.ithome.com.tw/news/175384"><strong style="font-size: 22px;">Google修補Gemini CLI重大漏洞，未更新可能導致開發整合流程遭遇遠端執行程式碼攻擊</strong></a></p> <p>Google近日透過GitHub發布資安公告，修補Gemini CLI搭配GitHub Actions使用的重大漏洞，此弱點若不修補或緩解，可能被用於程式開發部署流程，執行遠端程式碼攻擊，因此用戶應立即更新。這項漏洞尚無CVE編號，在GitHub漏洞資料庫中，它的代號是GHSA-wpqr-6v78-jr5g，開發者給予的CVSS嚴重性等級是滿分10.0分，涉及輸入驗證不當、指令注入、敏感資料外洩等類型弱點。</p> <p><a href="https://www.ithome.com.tw/news/175399"><strong style="font-size: 22px;">微軟修補Entra ID權限漏洞，防止AI代理管理角色遭到濫用</strong></a></p> <p>資安廠商Silverfort研究人員近日發布報告，揭露微軟身分管理服務Entra ID存在角色權限設計缺陷，可能導致權限提升與身分接管風險，微軟已於4月完成修補。Silverfort於3月1日向微軟通報前述問題，微軟已於4月9日為所有雲端環境完成修補，限制Agent ID Administrator角色不得再管理非AI代理相關的服務主體。</p> <p><a href="https://www.ithome.com.tw/news/175351"><strong style="font-size: 22px;">韓國KISA首度啟動安全漏洞清理服務，首波因應目標是WGear網銀RCE漏洞</strong></a></p> <p>面對用戶未積極更新修補軟體漏洞的狀況，韓國網路安全振興院（KISA）近期採取創新作法，於2026年4月首度啟動「安全漏洞清理服務（보안취약점클리닝서비스）」，協助用戶清除含漏洞的WGear舊版本。這種主動介入的作法在全球相當罕見，其後續成效可能引發各國效法，也能針對促進用戶修補的作法帶來更多啟發，值得政府與企業關注。</p> <p><a href="https://www.ithome.com.tw/news/175396"><strong style="font-size: 22px;">FIDO聯盟推動AI代理互動與驗證標準，降低AI代理線上交易風險</strong></a></p> <p>隨著AI代理逐步進入購物與線上服務應用環境，可在用戶幾乎無須直接操作的情況下完成交易，雖然大幅簡化購物程序，但也帶來失控的風險，為了降低風險，專注身分驗證標準制定的FIDO聯盟4月28日宣布，啟動AI代理身分驗證與自動支付安全的標準制定工作，目標是建立跨平臺、可互通的AI代理互動與交易機制，從而為基於AI代理的線上交易環境，建立安全、可信任的基礎架構。</p> <p><a href="https://www.ithome.com.tw/news/175228"><strong style="font-size: 22px;">Mandiant推出免費資安教學平臺FLARE Learning Hub</strong></a></p> <p>4月中旬，隸屬於Google Cloud的資安公司Mandiant宣布，由旗下專注於逆向工程與惡意程式分析的研究團隊FireEye Labs Advanced Reverse Engineering（FLARE）推出FLARE Learning Hub，免費提供逆向工程與惡意程式分析教學內容，並提供實作導向模組，鎖定資安研究人員與企業防禦團隊的技能培訓需求。</p> <p><a href="https://www.ithome.com.tw/article/175313"><strong style="font-size: 22px;">【2026 企業資安大調查｜資安防護投資布局】資安AI代理崛起，金融和百億企業積極擁抱零信任</strong></a></p> <p>零信任網路安全架構是企業強化資安管理的主流，今年整體採用率突破了三成，除了金融業、百億營收企業和政府學校，採用率逐漸達到5成，其餘產業導入的企業數也明顯較前一年增加，2026年零信任網路安全架構的採用率各產業普遍都提高了。不只如此，生成式AI明顯開始改變企業資安管理做法，今年超過3成企業想要在資安流程中導入最夯的代理式AI技術，其中以金融業、服務業和政府學校最積極。</p> <p><a href="https://www.ithome.com.tw/news/175333"><strong style="font-size: 22px;">【2026 CIO&CISO大調查】今年臺灣大型企業IT預算成長9%，CIO從數位轉型邁向AI轉型布局</strong></a></p> <p>AI浪潮加持下，今年企業IT投資力道依舊穩健，IT預算比去年增加了9%，臺灣大型企業平均每家在2026年編列了2億8千多萬元的IT預算，約佔企業年營收的4%。企業今年不再出現過去高達13%的爆炸性IT預算成長。去年甚至有多個產業達到兩位數、突破10%的成長，但今年不論金融、高科技、一般製造或服務業，預算加碼力道皆明顯下滑。企業今年依舊持續擴大IT投資，不過，採取更加謹慎、穩健的IT投資策略，要將IT資源用在刀口或明顯可以獲得效益的目標。</p> <p><a href="https://www.ithome.com.tw/review/172669"><strong style="font-size: 22px;">Fortinet新一代中高階NGFW登場，提供26 Gbps威脅防護效能</strong></a></p> <p>這幾年，Fortinet持續推出FortiGate G系列次世代防火牆（NGFW），去年底發表高效能等級的700G，鎖定園區網路環境，11月發表超高效能的3800G，保護AI資料中心環境。若以市面上其他廠商相近等級產品的平均效能為基準，FortiGate 700G系列的防火牆網路吞吐量是165 Gbps，可達到7倍；啟用威脅防護功能（防火牆、入侵防禦系統、應用程式控管、惡意軟體防護）的網路吞吐量是26 Gbps，可達到4倍；防火牆單位效能的耗電量為1.8瓦，只需1/7電力。</p> <p><a href="https://www.ithome.com.tw/article/175255"><strong style="font-size: 22px;">從「零信任網路」到「雙零安全」</strong></a></p> <p>如今，「零信任網路」已經成為市場上的流行詞，幾乎所有安全廠商都將自己的產品與它連結在一起。但「雙零安全」更進一步，強調安全性和生產力的同時提高。這種方法旨在提供無縫且易於使用的安全體驗，確保安全措施不會影響生產力或設備和機器的性能。實施這種不會破壞使用者體驗或設備效能的強大安全解決方案，可以讓組織認識到資訊安全不是障礙，是企業平穩、安全營運的推動者。</p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/175370"><strong>【4月28日】資安院宣布第二屆漏洞獵捕活動，為公務機關最常使用的軟體抓漏</strong></a></p> <p><a href="https://www.ithome.com.tw/news/175326"><strong>【4月27日】後門程式FireStarter鎖定思科防火牆發動攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/175256"><strong>【4月24日】資安公司Checkmarx遭遇供應鏈攻擊</strong></a></p> </div></div></div>
4/29 15:41作者周峻佑https://www.ithome.com.tw/news/175415
高風險GitHub漏洞極容易被利用，攻擊者只需透過推送Git就能觸發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>3月上旬GitHub接獲資安公司Wiz的通報，發布3.14.25、3.15.20、3.16.16、3.17.13、3.18.7、3.19.4版GitHub Enterprise Server（GHES）<strong><a href="https://github.com/advisories/GHSA-64fw-jx9p-5j24">修補</a></strong>高風險漏洞<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-3854">CVE-2026-3854</a></strong>，此漏洞讓攻擊者能夠取得推送儲存庫的權限，於GHES主機執行任意程式碼，CVSS風險為8.8分（CVSS v4.0為8.7分）。本週GitHub與Wiz說明更多細節，指出該漏洞相當容易利用。</p> <p>GitHub指出CVE-2026-3854<strong><a href="https://github.blog/security/securing-the-git-push-pipeline-responding-to-a-critical-remote-code-execution-vulnerability/">影響範圍廣泛</a></strong>，涵蓋Github.com、GitHub Enterprise Cloud、GitHub Enterprise Cloud with Data Residency、GitHub Enterprise Cloud with Enterprise Managed Users。根據他們的調查，該漏洞在公布前尚未遭人利用。</p> <p>這個漏洞利用使用者提供的git推送選項，這些選項透過中繼資料處理。該功能允許用戶端在推送過程中向伺服器傳送特定字串。然而，使用者提供的數值被納入內部的中繼資料，且未經過充分的處理。由於內部中繼資料格式使用分隔字元，且該字元也可能出現在使用者輸入中，攻擊者可以注入額外欄位，讓下游服務將其解讀為受信任的內部資料。</p> <p>Wiz<strong><a href="https://www.wiz.io/blog/github-rce-vulnerability-cve-2026-3854">也透過部落格文章說明</a></strong>，這起案例是少數透過AI技術，在封閉原始碼二進位程式中發現的重大漏洞，並強調此漏洞相當容易被利用。於Github.com和GHES造成的影響有所不同，攻擊者可遠端在Github.com的共用儲存節點執行任意程式碼，而若是在GHES利用，攻擊者可完全入侵伺服器，並存取其管理的儲存庫與憑證資料。</p> <p>值得留意的是，儘管GitHub獲報後數個小時就發布新版修補，然而迄今仍有88%的GHES實體曝險，因此他們也呼籲用戶應儘速更新。</p> </div></div></div>
4/29 14:25作者周峻佑https://www.ithome.com.tw/news/175406
自ChatGPT從2022年11月問世以來，新網站內容已有近35%來自AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>來自英國帝國理工學院（Imperial College London）、美國史丹佛大學（Stanford University），以及網際網路檔案館（Internet Archive）的跨機構研究團隊，<a href="https://ai-on-the-internet.github.io/" target="_blank">本週發表一研究報告</a>，指出從OpenAI在2022年11月推出ChatGPT以來，直至2025年年中，約有35%的新網站內容被判定為AI生成或是AI輔助生成。</p> <p>研究人員是從Internet Archive的Wayback Machine蒐集2022~2025年間發布的網頁，採用「多維度分層抽樣」（Multi-Dimensional Stratified Sampling）來模擬對公開網頁的隨機抽取，同時採用了Binoculars、Desklib、DivEye及Pangram v3等4種AI文字偵測器，來判斷內容是來自人類或AI。</p> <p>結果發現，在ChatGPT於2022年底推出後，AI生成內容比例從幾乎為零迅速攀升至三分之一以上，反映出生成式AI對內容生態的滲透速度。</p> <p>研究同時檢驗外界對AI內容的6項常見負面假設，包括語意收縮、事實衰退、正向語氣偏移、知識孤島、資訊密度稀釋與風格單一化，結果顯示僅有語意收縮與正向語氣偏移獲得統計支持，其餘未被數據證實。例如AI網站的語意相似度比人類撰寫的網站高出33%，或是AI網站的正面情緒得分比人類網站高出107%。</p> <p>除了透過工具之外，研究人員也針對853位美國成年人進行問卷調查，結果顯示多數受訪者相信上述6項負面影響都正在發生。顯示公眾的感知與實際數據之間，存在相當大的落差。</p> <p>整體而言，生成式AI正在重塑網路內容的生產模式與語言風格。目前的主要影響集中在內容多樣性與情緒表達，但對於資訊可信度的衝擊仍未被證實。</p> </div></div></div>
4/29 14:35作者陳曉莉https://www.ithome.com.tw/news/175408
TeamT5 ThreatSonar反勒索軟體存在高風險漏洞，可被提升權限、刪除任何檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>4月28日國家資通安全研究院（資安院）<strong><a href="https://www.nics.nat.gov.tw/core_business/information_security_information_sharing/Vulnerability_Alert_Announcements/854aa862-f5be-46b5-b41a-bd723e118f0d/">發布資安公告</a></strong>，指出杜浦數位安全（TeamT5）旗下的反勒索軟體系統ThreatSonar Anti-Ransomware存在資安漏洞<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-5967">CVE-2026-5967</a></strong>，影響4.0.0版（不含）以前的用戶，此漏洞可被用於權限提升，通過身分驗證且取得Shell操作權限的攻擊者可遠端注入作業系統指令，並以root執行，CVSS風險為8.8（4.0版為8.7分），用戶應儘速確認及修補。</p> <p>實際上，杜浦數位安全於4月20日<strong><a href="https://teamt5.org/tw/posts/vulnerability-notice-20260420-threat-sonar-anti-ransomware-versions-4-0-0-earlier/">已發布資安公告</a></strong>，說明漏洞的處理過程。該公司PSIRT團隊在內部稽查的過程，發現CVE-2026-5966與CVE-2026-5967，影響ThreatSonar Anti-Ransomware 4.0.0以下版本，該公司根據漏洞揭露政策進行通報處理流程，於3月2日與TWCERT/CC通報細節、申請CVE漏洞編號及進行產品漏洞修補，他們在3月18日通知客戶安裝修補程式。杜浦數位安全提及，雲端版ThreatSonar Anti-Ransomware已於3月3日完成修補。</p> <p>針對這次修補的另一個漏洞<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-5966">CVE-2026-5966</a></strong>，為任意檔案刪除漏洞，通過身分驗證的攻擊者可用於路徑遍歷，並刪除系統上的任何檔案，CVSS風險為8.1分（4.0版為7.2分）。</p> </div></div></div>
4/29 14:51作者周峻佑https://www.ithome.com.tw/news/175410
LiteLLM重大漏洞公布後36小時出現攻擊活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>上個月<strong><a href="https://www.ithome.com.tw/news/174661">遭遇TeamPCP供應鏈攻擊</a></strong>的開源大型語言模型串接套件LiteLLM，近期揭露的重大資安漏洞，有人花費不到兩天的時間，就用於實際攻擊行動。</p> <p>4月24日LiteLLM開發團隊揭露SQL注入漏洞<strong><a href="https://github.com/BerriAI/litellm/security/advisories/GHSA-r75f-5x8p-qvmc">CVE-2026-42208</a></strong>，此為代理伺服器API金鑰驗證流程弱點，過程中使用的資料庫查詢，會將提供的金鑰資料混入查詢文字，而非當作獨立的參數傳送。攻擊者有機會在未經身分驗證的情況下，發送特製的偽造標頭到任意大型語言模型（LLM）API路由，就有機會透過代理伺服器錯誤處理路徑的情況，觸及上述查詢內容。</p> <p>一旦成功利用漏洞，攻擊者就能從代理伺服器的資料庫讀取資料，甚至能進行竄改，導致代理伺服器與其管理的憑證可被未經授權存取，CVSS v4.0風險評為9.3分，開發團隊發布1.83.7版LiteLLM修補。</p> <p>資安公司Sysdig發現，<strong><a href="https://www.sysdig.com/blog/cve-2026-42208-targeted-sql-injection-against-litellms-authentication-path-discovered-36-hours-following-vulnerability-disclosure">在上述公告發布的36個小時後</a></strong>，他們偵測到漏洞利用的跡象，駭客試圖發動SQL注入攻擊，然後找出資料庫結構，並鎖定其中3個資料表，使用17個Union惡意酬載。</p> <p>後續出現第二波攻擊駭客重覆使用相同的惡意酬載，並在未通過身分驗證的情況下探測/key/generate與/key/info。</p> </div></div></div>
4/29 12:45作者周峻佑https://www.ithome.com.tw/news/175400
影音串流平臺Vimeo遭Anodot資料外洩事件波及，部分用戶與客戶資料遭未經授權存取
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>4月上旬知名遊戲公司Rockstar Games<strong><a href="https://www.ithome.com.tw/news/175099">傳出資料外洩</a></strong>，駭客組織ShinyHunters疑似透過AI績效分析平臺Anodot得逞，如今有影音串流平臺也遭到波及。</p> <p>4月27日Vimeo<strong><a href="https://vimeo.com/blog/post/anodot-third-party-security-incident">發布公告</a></strong>指出，他們也遭到Anodot事故影響而資料外洩，未經授權的駭客存取部分使用者與客戶的資料，主要包含技術資料、影片標題與中繼資料，部分情況下還有客戶的電子郵件信箱。上述資料不包括影片內容、使用者登入憑證、付款資訊。Vimeo強調，使用者與客戶的登入憑證都是安全的，這起事故未造成該公司系統或服務中斷。</p> <p>根據資安新聞網站Bleeping Computer報導，<strong><a href="https://www.bleepingcomputer.com/news/security/video-service-vimeo-confirms-anodot-breach-exposed-user-data/">ShinyHunters將Vimeo列於受害者網站</a></strong>，聲稱他們入侵了Vimeo的Snowflake與Bigquery實體（Instance），要求在4月30日前支付贖金，否則就要洩露竊得資料（Pay or Leak）。不過，ShinyHunters並未進一步宣稱竊得資料的規模與細節。</p> </div></div></div>
4/29 13:41作者周峻佑https://www.ithome.com.tw/news/175403
蘋果公布綁年約的App Store月費訂閱方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://developer.apple.com/news/?id=agq42lxe" target="_blank">蘋果週二（4/28）宣布</a>綁年約的月費方案，讓應用程式開發商可提供更低的收費價格給消費者，同時確保開發商更穩定收入。</p> <p>在現有月費和年費模式下，開發商為了讓訂閱費看來較便宜，而會顯示年費的單月價格。消費者點入後才會發現真相，但或許有些用戶會有上當或上鈎的感受。</p> <p>現在蘋果將這些作法定型化，提供綁一年的月費制。新措施讓價格更透明化，消費者也能付出更低的價格。此外消費者也可以隨時取消訂閱，避免約滿到期後被自動續約。</p> <p>為提供透明度，消費者可以很簡單地在Apple帳號下看到他們的訂閱過了幾個月，剩下幾個月。對於同意接收電子郵件的消費者，蘋果也會寄郵件提醒更新訂閱。</p> <p>開發商現在可以在Apple Store Connect上設定此類訂閱並在Xcode上測試。現在iOS 26.4、iPadOS 26.4、macOS Tahoe 26.4、tvOS 26.4和visionOS 26.4及以後平臺已可以設定，iOS 26.5、iPadOS 26.5、macOS Tahoe 26.5、tvOS 26.5和visionOS 26.5則需稍等到五月。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0429-Monthly%20Subscriptions-apple-600.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源/蘋果</span></span></p> <p>不過新措施新加坡及美國暫緩推出。<a href="https://techcrunch.com/2026/04/28/apple-introduces-a-cheaper-option-for-app-store-subscriptions/" target="_blank">Techcrunch報導</a>，在美國延遲推出是因為還有和Epic Games等開發商的「蘋果稅」（Apple Tax）官司進行中。</p> <p> </p> </div></div></div>
4/29 13:06作者林妍溱https://www.ithome.com.tw/news/175401
Nvidia釋出鎖定AI代理人的多模態模型Nemotron 3 Nano Omni
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Nvidia週二（4/28）<a href="https://blogs.nvidia.com/blog/nemotron-3-nano-omni-multimodal-ai-agents/" target="_blank">發布Nemotron 3 Nano Omni</a>，這是一款鎖定AI代理人（AI Agent）設計的多模態模型，可在單一模型中同時處理影片、音訊、圖片與文字，在維持相同互動品質的條件下，處理效率最高可達同類開源模型的9倍。</p> <p>Nemotron 3是Nvidia在去年12月發表的<a href="https://www.ithome.com.tw/news/172846" target="_blank">開源模型家族</a>，採用Mamba-Transformer MoE架構，分為Nano、Super、Ultra三種版本。Nano Omni是Nano的多模態升級版，在原有文字推理能力之上加入視覺與音訊處理。</p> <p>現行AI代理人系統在處理螢幕錄影、通話音訊、文件等任務時，通常需要視覺、語音、語言三個獨立模型分工，不僅拉高延遲，也容易在模型間傳遞過程中遺失上下文。Nemotron 3 Nano Omni 將3種感知能力整合進單一模型，負責代理人系統中的感知層，再交由其他模型接手執行或規畫。</p> <p>目前Nemotron 3 Nano Omni主要支援3種代理人應用場景，包括電腦操作、文件解讀，以及影音理解。它可解讀文件、圖表、表格與截圖等混合內容，執行企業分析與法規合規工作流程；或是串連影片畫面與音訊內容，維持跨模態的完整上下文，適用於客服、研究與監控等場景。在電腦操作上，法國AI新創H Company已將Nano Omni整合至其代理人系統，以1920×1080原生解析度即時解讀螢幕錄影，在OSWorld基準測試中的表現明顯提升。</p> <p>Nvidia已釋出Nemotron 3 Nano Omni的模型權重、訓練資料及訓練方法，開發人員可透過<a href="https://huggingface.co/nvidia/Nemotron-3-Nano-Omni-30B-A3B-Reasoning-BF16" target="_blank">Hugging Face</a>、<a href="https://openrouter.ai/nvidia/nemotron-3-nano-omni-30b-a3b-reasoning:free" target="_blank">OpenRouter</a>及<a href="https://build.nvidia.com/nvidia/nemotron-3-nano-omni-30b-a3b-reasoning" target="_blank">build.nvidia.com</a>取得。</p> </div></div></div>
4/29 13:13作者陳曉莉https://www.ithome.com.tw/news/175402
駭客冒充IT與客服人員，透過跨租戶Teams通訊進行社交工程攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>駭客冒充企業IT人員或客服，向員工從事社交工程攻擊的活動，最近兩年層出不窮，其中最常見的做法是利用IT服務臺的名義來達到目的。如今有人透過協作平臺接觸員工，從而竊取企業內部機密資料。</p> <p>微軟<strong><a href="http://www.microsoft.com/en-us/security/blog/2026/04/18/crosstenant-helpdesk-impersonation-data-exfiltration-human-operated-intrusion-playbook/">近日提出警告</a></strong>，他們發現駭客冒充IT人員或客服人員建立跨租戶的Teams通訊，並透過社交工程手法誘騙員工授予遠端桌面存取權限，得逞後他們透過快速助手（Quick Assist）或其他遠端監控與管理（RMM）工具建立存取管道，並執行經受信任廠商簽章的應用程式，搭配攻擊者自己的模組執行惡意程式碼。</p> <p>上述的存取途徑，微軟強調攻擊者能藉由Windows遠端管理（WinRM）等原生的管理通訊協定橫向移動，進一步滲透至網域控制器（DC）等高價值資產。在該公司看到的活動中，駭客利用遠端管理工具及資料傳輸工具（如Rclone）擴大對企業環境的存取，並將業務資料分階段傳送到外部的雲端儲存空間。這種攻擊流程高度仰賴合法應用程式與通訊協定，使得駭客的攻擊行動融入企業的正常活動裡。</p> <p>有別於大部分社交工程攻擊透過釣魚信接觸受害者，這波攻擊鎖定企業的協作工作流程，其中一種應用系統就是Teams。微軟也看到駭客濫用外部Teams協作，假借IT人員或客服發動攻擊的情形。</p> <p>一般來說，Teams在首度與外部聯繫時，已具備多種警示機制，提醒用戶提高警覺，而駭客會試圖說服使用者忽略相關警告，然後改用其他的支援工具進行遠端存取。另一方面，在部分攻擊活動裡，駭客在成功建立初期存取管道後，有可能會將後續攻擊流程移交給其他人馬執行。</p> </div></div></div>
4/29 10:04作者周峻佑https://www.ithome.com.tw/news/175392
OpenAI模型、Codex在AWS上架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>OpenAI與Amazon Web Services（AWS）週二（4/28）<a href="https://www.aboutamazon.com/news/aws/bedrock-openai-models" target="_blank">宣布擴大合作</a>，OpenAI的頂級AI模型及AI開發助理Codex，將登上AWS成為服務陣容之一。</p> <p>其中，OpenAI最新模型將首次在Amazon Bedrock模型平臺提供，供用戶存取、微調和協同，成為繼Anthropic、Meta、Mistral、Cohere、Amazon等後，最新的模型供應商。OpenAI程式撰寫代理人Codex也同樣在Amazon Bedrock上架。</p> <p>此外，AWS推出了以OpenAI模型為基礎的Amazon Bedrock Managed Agents及Bedrock AgentCore。Amazon Bedrock Managed Agents是以OpenAI模型及OpenAI harness代理人功能為核心，以AWS為基礎架構，幫助企業更快開發代理人，可執行、推理或長期運行的任務。Bedrock AgentCore則是輔助性的代理人開發管理平臺，提供智慧記憶體、閘道加速、授權政策執行、工具發現、觀察評估等工具，協助建置、部署和監控Bedrock Managed Agent。</p> <p>包括OpenAI模型、OpenAI Codex到Bedrock Managed Agents等目前皆以限量預覽版形式上線。</p> <p>最新宣布是繼<a href="https://openai.com/index/amazon-partnership/" target="_blank">二月間</a>AWS和OpenAI合作的最新成果。在兩者合作下，Amazon將投資OpenAI 500億美元，OpenAI將使用AWS Trainium運算容量執行Stateful Runtime Environment、Frontier等AI工作負載。兩家公司也將合作開發自訂模型，支援AWS的AI應用。</p> <p>上週OpenAI與微軟宣布<a href="https://www.ithome.com.tw/news/175339" target="_blank">調整</a>合作協議，微軟不再是OpenAI智財的獨家授權對象，讓OpenAI得以自由和其他業者合作，免除對OpenAI的官司威脅。</p> </div></div></div>
4/29 11:27作者林妍溱https://www.ithome.com.tw/news/175395
Hugging Face機器人平臺LeRobot存在重大漏洞，未經身分驗證的攻擊者可執行任意程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>由AI開發資源平臺Hugging Face打造的開源機器人平臺LeRobot，<strong><a href="https://github.com/advisories/GHSA-f7vj-73pm-m822">近期揭露重大等級的資安漏洞CVE-2026-25874</a></strong>，此為不安全的反序列化漏洞，未通過身分驗證的攻擊者可透過 SendPolicyInstructions、SendObservations或GetActions gRPC呼叫，傳送特製的Pickle有效酬載，在伺服器或用戶端執行任意程式碼，CVSS v4.0風險評為9.3分、CVSS v3.1達到9.8分，屬重大等級的弱點，相當危險。</p> <p>有資安公司透露該漏洞更多細節。<strong><a href="https://www.resecurity.com/blog/article/cve-2026-25874-hugging-face-lerobot-unauthenticated-rce-via-pickle-deserialization">資安公司Resecurity指出</a></strong>，此漏洞的問題源自非同步推論元件PolicyServer，此元件允許攻擊者在未經身分驗證的情況下存取相關連接埠，發送經過序列化處理的惡意酬載，從而在LeRobot的主機執行任何作業系統層級的指令。由於該漏洞目前尚未有修補程式，Resecurity建議用戶立即採取行動因應。</p> <p>對於此漏洞帶來的危險，Resecurity指出，由於該平臺是為AI推論系統而設計，通常具備高權限，而且需存取內部網路環境、資料集，以及運算資源，一旦遭利利用，攻擊者不只是能完全滲透PolicyServer或執行任意程式碼，還有機會竊取敏感資料與進行跨網路的橫向移動，甚至能影響連線的機器人，或是破壞模型、造成系統當機，且有可能造成實體安全風險。</p> <p>VulnCheck資安研究員Valentin Lobstein<strong><a href="https://chocapikk.com/posts/2026/lerobot-pickle-rce/">透過部落格文章指出</a></strong>，此漏洞最早是有人於去年12月通報，今年1月LeRobot開發團隊承認有這個漏洞，並表示相關的程式碼幾乎全部都需要重新建構，才能修復。</p> </div></div></div>
4/29 11:29作者周峻佑https://www.ithome.com.tw/news/175397
研究人員揭露比Stuxnet還要早被利用的工控惡意軟體Fast16
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>於2010年被發現的電腦蠕蟲Stuxnet，是全球第一個專門針對關鍵基礎設施工業控制系統的惡意程式，當時用來攻擊伊朗位於納坦茲（Natanz）的核能設施，滲透廠內的西門子SCADA系統，導致大量離心機損壞，重挫伊朗相關計畫，然而，近期有資安公司找到比Stuxnet早出現的工控惡意程式。</p> <p>資安公司SentinelOne揭露<strong><a href="https://www.sentinelone.com/labs/fast16-mystery-shadowbrokers-reference-reveals-high-precision-software-sabotage-5-years-before-stuxnet/">網路攻擊框架Fast16</a></strong>，並指出其核心元件最早在2005年出現，其中的fast16.sys會選擇性攻擊高精度計算軟體，於記憶體裡竄改程式碼，以影響計算結果。值得留意的是，Fast16的有效酬載同樣具備蠕蟲機制，可自我散播，駭客的目標是讓整個設施產生不正確的計算結果，削弱科學研究與工程成果，從而影響工控系統的運作。該公司強調，Fast16比Stuxnet早5年出現，該惡意程式嵌入自製的Lua虛擬機器，比另一個採用這種手法的惡意軟體Flame早了3年，而且，迄今VirusTotal的防毒引擎僅有1個將其視為有害。</p> <p>針對這項調查的動機，SentinelOne留意到某些駭客團體持續依賴嵌入式指令碼引擎打造模組化工具，並採用嵌入式的Lua虛擬機器打造具延展性的模組化平臺，其中包含Flame、Animal Farm’s Bunny、PlexingEagle、Flame 2.0，以及Project Sauron，因此該公司懷疑有可能有共同的來源基礎，著手進行相關調查。於是，他們找到了Fast16的元件svcmgmt.exe。</p> <p>此執行檔看起來是Windows 2000與XP時期的通用控制臺服務包裝函式（Wrapper），並內嵌了Lua 5.0虛擬機器，其中包含多個模組，可直接綁定Windows NTFS檔案系統、登錄檔、服務控制，以及網路API。其用途就是載入fast16.sys，此為核心系統層級的驅動程式，儘管已無法在Windows 7以上版本的作業系統運作，然而，此元件具備可套用規則的程式碼修補功能，以及超越檔案系統I/O的控制能力，SentinelOne認為，Fast16已經不只是一般的Rootkit。</p> <p>駭客鎖定的目標為何？該公司推測，很可能是2000年代中期的高精度工程模擬工具，它們是：LS-DYNA 970、PKPM及MOHID，這些軟體的用途涵蓋碰撞測試、結構分析，以及環境建模。</p> <p>另一方面，SentinelOne在二進位檔案內部發現早期Unix系統開發文化的痕跡，其中包含了1970至1980年代的Unix原始碼控制系統（Source Code Control System，SCCS）與修訂控制系統（Revision Control System，RCS），由於這在2000年中期的Windows程式碼極為罕見，代表相關工具的作者並非典型的Windows開發人員。由於這些作法源自當時安全性較高的Unix環境，因此該公司推測，Fast16可能與政府機關或軍事單位的計畫有關。</p> </div></div></div>
4/29 11:52作者周峻佑https://www.ithome.com.tw/news/175389
駭客組織BlackFile鎖定零售與餐旅業竊取資料，並索討7位數的高價贖金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安公司Palo Alto Networks透過<strong><a href="https://rhisac.org/threat-intelligence/extortion-in-the-enterprise-defending-against-blackfile-attacks/">零售及餐旅情資共享暨分析中心（RH-ISAC）網站發布警告</a></strong>，他們發現駭客團體BlackFile從事資料竊取與勒索的活動，這些事故最早於今年1月出現，其攻擊手法相當特別，有別於許多駭客組織打造自己的惡意軟體與作案工具，該組織專門濫用受害組織的API與其他內部資源，來進行寄生攻擊（LoL）。</p> <p>關於BlackFile的來歷，Palo Alto Networks表示，這群攻擊者別名為<strong><a href="https://www.ithome.com.tw/news/173745">UNC6671</a></strong>或Cordial Spider、CL-CRI-1116，而且似乎與The Com有關，該組織是由ShinyHunters與Scattered Spider成員另組的子團隊。值得留意的是，<strong><a href="https://cyberscoop.com/blackfile-data-theft-extortion-retail-unit-42-rh-isac/">研究人員向資安新聞網站Cyberscoop透露</a></strong>，這波攻擊活動仍在持續進行。究竟有多少企業受害，Palo Alto Networks並未透露。</p> <p>對於攻擊事故發生的過程，駭客通常會事先建置類似合法企業網站的釣魚網頁，這些網頁多半與單一登入（SSO）有關，目的是在員工輸入相關資料的過程截取憑證。接著，他們透過偽造的網路語音電話（VoIP）號碼與來電顯示名稱（Caller ID Names，CNAM），冒充IT客服從事社交工程攻擊，藉此騙取動態密碼（OTP）。為了能在受害組織內部環境持續活動，他們會綁定自己的裝置，藉此繞過多因素驗證（MFA）。</p> <p>一旦駭客成功滲透員工的帳號，他們就會試圖橫向移動到高權限帳號，並透過員工名冊找出高階主管，以便進一步對這些主管的帳號進行社交工程攻擊。</p> <p>這些駭客的主要目的，在於雲端的SaaS服務與內部資料庫的檔案，他們通常會濫用Microsoft Graph API抓取SharePoint網站內容，並透過Salesforce或其他SaaS系統的搜尋功能，尋找具有高價值的機密資料。得逞後透過SharePoint下載功能與Salesforce的API，將含有員工電話號碼的CSV檔案與商業機密資料，大量傳送到攻擊者控制的基礎設施，過程中會使用合法的SSO身分驗證連線進行，以免觸發資安系統警示訊息。最終利用外流的員工電子郵件信箱發送勒索訊息，這些駭客通常會索討高達數百萬美元的贖金，另一方面，他們還會鎖定高階主管進行假報警（Swatting）藉此施加更大的壓力。</p> </div></div></div>
4/29 11:56作者周峻佑https://www.ithome.com.tw/news/175383
UNC6692冒充IT服務臺，透過Teams散布惡意軟體套件Snow
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google威脅情報團隊（GTIG）揭露<strong><a href="https://cloud.google.com/blog/topics/threat-intelligence/unc6692-social-engineering-custom-malware/">駭客組織UNC6692的多階段攻擊活動</a></strong>，駭客運用持續性社交工程與模組化的惡意軟體套件，試圖潛入受害企業的環境，目的是進行深度的網路環境滲透。這些駭客主要依賴冒充IT或客服人員，說服使用者接受企業外部的Teams群組邀請，最終使用Snow惡意程式工具包，洩露受害企業機敏資訊。UNC6692的活動展現駭客社交工程攻擊策略的改變，利用使用者對多家軟體廠商的信任，而成功引誘他們上當。</p> <p>這波攻擊行動約從2025年12月底出現，UNC6692先大規模寄送垃圾信轟炸使用者，然後再冒充IT或客服人員，透過Teams向使用者發送釣魚訊息，聲稱可以協助處理爆量信件。駭客提供連結，號稱只要在本機電腦安裝修補程式，就能防堵電子郵件信箱被轟炸的情況。</p> <p>一旦使用者照做，瀏覽器就會開啟特定的HTML網頁，從駭客控制的AWS S3儲存桶下載命名為AutoHotKey的二進位檔，以及AutoHotkey指令碼，然後執行指令碼進行偵察，並下載惡意Chrome延伸套件SnowBelt安裝，並透過啟動資料夾與工作排程讓SnowBelt在受害電腦持續運作。</p> <p>UNC6692利用此延伸套件於受害電腦下載其他檔案，包括隧道工具SnowGlaze、Bindshell程式SnowBasin、AutoHotkey指令碼，以及其他執行作案工具所需的執行環境元件。駭客利用Python指令碼掃描區域網路的135、445、3389埠，並使用SnowGlaze建立隧道通訊，並找出本機管理員帳號，然後建立遠端桌面連線（RDP）將資料外傳至駭客的伺服器。</p> <p>這些駭客也利用本機管理員帳號，從Windows工作管理員擷取LSASS處理程序的記憶體內容，再透過LimeWire外傳，接著，UNC6692利用Pass-The-Hash手法橫向移動到網域控制器（DC），並竊取AD資料庫檔案NTDS.dit、Windows安全帳號管理員（SAM）資料庫，以及SECURITY和SYSTEM的機碼資料，並使用LimeWire傳送至外部。</p> </div></div></div>
4/29 11:59作者周峻佑https://www.ithome.com.tw/news/175394
Anthropic讓Claude連接Adobe、Autodesk與Blender，切入創作軟體操作層
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.anthropic.com/news/claude-for-creative-work" target="_blank">Anthropic週二（4/28）推出</a>一系列創意連接器（Connectors），讓其AI模型Claude可直接連接Adobe、Autodesk與Blender等專業創作工具，從對話延伸至實際操作，切入創作軟體流程。</p> <p>此次發布是Anthropic將Claude定位為跨工具操作層的延伸佈局。Anthropic在2024年11月發布Model Context Protocol（MCP）開放標準，讓AI模型可連結外部資料與工具；2025年7月推出基於MCP的Connectors，允許Claude用戶一鍵連結常用工具，迄今已支援超過200種，涵蓋協作、專案管理、資料、金融與生活服務等類別，本週新增的則屬創意類別。</p> <p>Anthropic表示，Claude無法取代品味與想像力，但可開啟新的工作方式，包括更快速的構想發展、更廣泛的技能，以及承接更大規模專案的能力；同時也能透過處理重複性任務，減少創作流程中的人工負擔。該公司指出，關鍵在於將Claude整合進創意產業已熟悉且信任的工具中。</p> <p>此次推出的連接器涵蓋多款主流創作軟體，包括音樂製作軟體Ableton Live、影像與影音設計工具Adobe Creative Cloud（涵蓋Photoshop、Premiere等50餘款應用）、由Canva旗下Affinity提供的專業設計工具、用於3D建模與工程設計的Autodesk Fusion、開源3D創作軟體Blender、即時視覺演出工具Resolume，以及3D建模軟體SketchUp；此外也支援音樂素材平臺Splice，讓使用者可直接在Claude中搜尋免版稅音訊素材。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0429-anthropic%20blender-600-2.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0429-anthropic%20blender-600-1.png" style="width: 600px;" /></p> <p>在應用場景上，Claude可作為複雜軟體的即時教學工具，也能自動撰寫腳本與外掛以擴展創作工具功能；透過串接不同應用，自動完成格式轉換與資料整理，讓設計、3D與音訊工具之間的銜接更為順暢；新推出的Claude Design則可讓使用者快速探索設計構想並反覆調整，並將結果匯出至Canva等工具進一步製作；也可自動處理批次與重複性工作，減少人工操作負擔。<span style="font-size:14px;"><span style="color:#696969;">圖片來源/Anthropic</span></span></p> <hr /> <p> </p> </div></div></div>
4/29 10:30作者陳曉莉https://www.ithome.com.tw/news/175393
Google與美國國防部簽AI協議，逾600名員工連署反對
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google近日被揭露已與美國國防部達成一項機密AI合作，允許其人工智慧模型用於政府「任何合法用途」，引發公司內部強烈反彈，逾600名員工聯名致信執行長Sundar Pichai，要求公司不要推動相關合作。</p> <p>根據<a href="https://www.theinformation.com/articles/google-signs-classified-ai-deal-pentagon-amid-employee-opposition" target="_blank">The Information</a>與<a href="https://www.wsj.com/tech/ai/google-clears-pentagon-to-use-ai-tools-in-classified-settings-d8162cda" target="_blank">華爾街日報</a>（WSJ）的報導，該協議允許國防部在機密環境中使用Google的AI技術，涵蓋任務規畫等應用，並要求Google配合政府需求，調整AI的安全設定與過濾機制。</p> <p>Google已向The Information證實了此事，表示很榮幸成為支持國家安全之AI聯盟的一員，同時強調AI不應在缺乏適當人類監督的情況下，用於國內大規模監控或自主武器。</p> <p>逾600名Google員工於本週一（4/27）聯名致信Pichai，這些員工擔心自身開發的技術可能被應用於不人道或具高度風險的用途，並要求公司拒絕將AI系統用於機密任務。</p> <p>在另一AI新創Anthropic拒絕放寬Claude模型的使用限制，以納入更廣泛的軍事用途之後，美國總統川普（Donald Trump）於今年2月底指示聯邦機構全面停止使用Anthropic技術，國防部更在3月初將Anthropic列為「供應鏈風險」（Supply Chain Risk，SCR），禁止承包商與相關合作夥伴採用Claude，等於將其排除於政府採購體系之外。</p> <p>隨後Anthropic<a href="https://www.ithome.com.tw/news/174943" target="_blank">提告</a>國防部，而國防部則接連與xAI、<a href="https://www.ithome.com.tw/news/174100" target="_blank">OpenAI</a>及現在的Google達成了機密部署協議。</p> <hr /> <p> </p> </div></div></div>
4/29 09:26作者陳曉莉https://www.ithome.com.tw/news/175390
AI代理人9秒刪掉新創公司的資料庫及備份
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>AI代理人雖然能提升工作效率，前提是運作正常時。一家新創公司近日遭到以Anthropic Claude為基礎的代理人刪除資料庫及備份，全程只花了9秒鐘。</p> <p>提供租車SaaS服務的新創公司PocketOS創辦人Jeremy Crane於上週發生慘劇後，<a href="https://x.com/lifeof_jer/status/2048103471019434248" target="_blank">將此事在X上</a>公開警告大家。上週五，執行Anthropic旗艦模型Opus 4.6的Cursor刪掉其營運用的資料庫，之後透過一個API呼叫，將在其雲端基礎架構服務Railway上的備份也刪掉。整個過程花了9秒鐘。</p> <p>這個Cursor代理人原本是要解決PocketOS模擬（staging）環境的某個憑證不一致的問題，這通常是例行性事務。它碰到問題後，自行決定要刪除一個Railway volume，並未詢問開發人員而鑄成大錯。</p> <p>事後Crane問這個代理人何以出此決策，該代理人竟也坦承犯了錯。它說它在試圖解決問題時「猜想」透過API刪除staging的volume，只會刪除staging環境的東西。」它坦承自己沒有進一步確認volume ID是所有環境共享，也沒有查閱Railway相關文件就下達毀滅性指令。代理人事後「懺悔」說它應該先問人或尋找較安全的解決方案。它說，自己違反了被授予的原則，包括行動前應詢問、驗證、閱讀Railway文件、確實理解行動後果。</p> <p>除了AI代理人出包，Crane也批評雲端平臺Railway一方面鼓勵客戶使用AI代理人，另方面卻缺乏適當安全機制，其API未經驗證就允許代理人執行此一毀滅性動作。而且CLI token竟擁有全環境的地毯式權限（blanket permissions）。</p> <p>PocketOS花了數小時協助客戶從Stripe支付紀錄、行事曆或電子郵件確認信中重建預約資訊。所幸PocketOS自己有一份3個月前做的完整備份可以回復，因此事件損失的是一小部份資訊。</p> <p>在Crane發出貼文後，Railway已經聯繫PocketOS，協助回復資料。Railway並對<a href="https://www.theregister.com/2026/04/27/cursoropus_agent_snuffs_out_pocketos/" target="_blank">The Register</a>說明，這次事件是「不受控的客戶AI」被給予完整權限的API token，AI呼叫了的是缺少「延遲刪除」邏輯的舊式端點所致。Railway表示已經修補此一問題、回復用戶資料並和PocketOS合作改進其平臺。</p> <p><a href="https://www.ithome.com.tw/news/174354#ASI03" target="_blank"><span style="font-size:20px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#B22222;"> 相關報導 </span></span> <span style="color:#B22222;">【OWASP揭露Agentic十大風險】快速認識AI代理常見資安挑戰</span></strong></span></a></p> </div></div></div>
4/29 09:58作者林妍溱https://www.ithome.com.tw/news/175391
GitHub Copilot將於6月改採用量計費制，依Token消耗量收費
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>GitHub再度調整AI程式開發工具Copilot方案與用量限制，<a href="https://github.blog/news-insights/company-news/github-copilot-is-moving-to-usage-based-billing/">Copilot全系列方案將於2026年6月1日起改為按用量計費</a>，以AI點數（Credits）取代現行的進階請求（Premium Request）制度。新制以Token消耗量為計算基準，依各模型已公告的API費率扣抵Credits，付費方案月費維持不變，但用量超出內含AI Credits後，須依各模型公告費率額外付費。</p> <p>官方表示，Credits扣抵將同時計入輸入、輸出與快取Tokens三類用量。月費方案中Copilot Pro、Pro+，以及商用方案Copilot Business、Copilot Enterprise，四個方案均含等值AI Credits。內建於IDE的程式碼自動完成（Code Completions）與下一步編輯建議仍免費包含於所有方案，不消耗AI Credits，但Copilot程式碼審查除扣抵AI Credits外，還會額外消耗GitHub Actions執行分鐘數。</p> <p>另外，現行的模型降級機制將同步取消。目前用戶用完Premium Request額度後，可改用較低成本的模型繼續工作，6月1日後使用範圍將由AI Credits餘額與管理員預算控管決定，若未允許額外付費或預算用罄，相關用量將被封鎖，直到下一個計費周期重設。</p> <p>針對企業客戶，GitHub推出兩項新治理工具。一是內含用量共用機制，將組織內各使用者未用完的內含額度匯整為共用池，避免額度閒置，二是新增企業、成本中心與使用者三個層級的預算控管，當共用池用盡，管理員可選擇允許以API費率持續使用，或將支出上限直接封頂。</p> <p>GitHub將於5月初推出預覽帳單機制，使用者與管理員可於github.com的帳務總覽頁面預覽新制下的預估費用。商用客戶另獲三個月過渡優惠，Copilot Pro與Pro+年繳用戶則沿用現行進階請求制度直至訂閱到期，但6月1日起部分模型的扣抵倍率將上調，到期後將轉為Copilot Free，用戶可再選擇升級為付費月繳方案。</p> <p>官方提到，Copilot已從IDE內的輔助工具，演進為可執行多步驟自主程式開發任務的代理式平臺，現行制度下一次快速問答與一場長時間的自主任務所消耗的額度相同，已不符實際運算成本。</p> </div></div></div>
4/29 08:22作者李建興https://www.ithome.com.tw/news/175387
一卡通導入行動身分識別，靠電信門號身分驗證強化電支交易安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>去年鎖定第三方支付、電子支付的詐騙案件增加，導致民眾遭到盜刷損失，為降低電支帳戶被盜用的風險，一卡通今天（4/28）宣布，旗下電子支付服務 iPASS MONEY 導入臺灣網路認證公司的行動身分識別(Mobile ID)機制，透過電信級的身分驗證確保電支用戶的帳戶安全。</p> <p>過去曾發生不法分子透過釣魚簡訊或假冒客服，引導用戶點擊造假網站並輸入OTP驗證碼，進而接管其電支帳戶，並在用戶不知情下完成裝置綁定或支付工具重設；另有一些案例是利用「換機登入」流程漏洞，在取得帳密後嘗試重新綁定裝置，導致受害用戶原有的金融設定遭解除，增加資金被盜刷風險。這些攻擊多半繞過傳統簡訊驗證的保護機制，使OTP逐漸暴露出易被攔截或誘騙的弱點。</p> <p>在上述的詐騙手法中，由於電支帳戶仰賴帳密、OTP簡訊驗證，歹徒取得被害者的手機門號，就能以騙取得手的帳密、OTP簡訊驗證，在新的行動裝置上設定綁定被害人的電子支付帳戶，導致被害者遭盜刷。</p> <p>一卡通為防範上述手法，原本設定iPASS MONEY用戶在更換行動裝置登入「一卡通iPASS MONEY」APP 時，系統會自動解綁「銀行帳戶」及「信用卡」等金融設定，並要求用戶重新進行綁定流程，如此一來雖然強化帳戶安全，但用戶汰換新手機就需要重新綁定銀行帳戶、信用卡，對用戶而言並不方便。</p> <p>這次導入行動身分識別機制強化電支帳戶安全，一卡通形容此措施將傳統的數位驗證提升至「電信實體認證」。</p> <p>新機制目前已導入一卡通旗下720萬電支用戶，透過TWCA Mobile ID，涵蓋中華電信、遠傳、台灣大哥大三大行動電信業者。當使用者汰換手機，將原有的個人SIM卡插入新的行動裝置，同意進行行動身分辨識，SIM卡即透過電信基地臺進行身分驗證，確認為本人操作後，原有的電支帳戶金融設定可直接延續，大幅降低用戶重新綁定設定的操作成本，同時減少遭詐騙集團利用帳戶冒用帳戶盜刷的風險。</p> <p>在技術上，這項行動身分識別整合2個關鍵驗證機制。首先是「門號資料核實」，透過電信端即時比對用戶留存資料，以降低歹徒利用人頭門號進行詐騙或非法轉帳的可能性。</p> <p>第二是「裝置確認（Mobile ID）」，以實體SIM卡作為認證憑證，讓帳戶與特定裝置進行物理性綁定。相較於傳統簡訊OTP驗證，此類電信驗證不易被釣魚網站或是中間人攻擊攔截，防護強度更高。</p> <p>TWCA提供的行動身分識別服務，實際上是透過電信網路完成「人、門號、裝置」三者一致性驗證，成為近幾年金融與數位服務導入的重要防詐技術之一。此類機制也被視為補足OTP驗證不足的重要手段，適用於帳戶異動、裝置更換等高風險操作情境。</p> <p>在既有資安架構上，iPASS MONEY也導入FIDO2無密碼驗證標準，以「身分」、「設備」與「行為」為核心的多重信任機制，目前已通過數發部數位信任場域驗證。新的措施導入電信級身分識別，再進一步提升電支帳戶的防詐機制。</p> <p>未來將持續根據詐騙手法的態勢調整風控策略，導入進階資安技術。隨著電子支付用戶規模擴大，如何在用戶無感體驗下提升安全強度，已是數位金融服務競爭的關鍵。</p> </div></div></div>
4/28 18:38作者蘇文彬https://www.ithome.com.tw/news/175386
國科會規畫在南部建置全光網路，以高速、低延遲、節能網路打造AI與智慧城市示範應用場域
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在政府推動人工智慧島政策願景之下，國科會主委吳誠文今天(4/28)在主權AI-全光網路智慧城市應用發布活動中表示，將於南部規畫建置全光網路，結合國網中心的雲端算力中心與產業資源，串聯臺南沙崙、南科等據點，作為智慧城市與AI應用的重要示範場域。</p> <p>副總統蕭美琴在公開活動中指出，全光網路具備大容量、低延遲與節能等特性，是支撐AI與智慧城市發展的關鍵基礎。臺灣將以沙崙為核心，串聯南部產業聚落，並與日本在技術與產業上互補合作，發展下一世代智慧應用與產業生態系。她強調，透過全光網路結合AI，智慧治理、醫療等應用將更貼近民眾生活。</p> <p>吳誠文進一步說明，國科會除持續推動雲端算力中心建設，並結合民間產業發展算力聯盟外，也會同步規劃於南部地區建置全光網路，作為智慧城市與AI應用的示範場域。南部全光網路將與國網中心的雲端算力基礎設施整合，並串聯國家實驗研究院國家高速網路與計算中心，串聯臺南南科、沙崙、臺中及新竹等全光網路節點，並且和中華電信既有的全區全光網路與AI資料中心整合，逐步形成跨區域、高效能的運算與傳輸平臺。同時，也將透過臺日合作，與日本AI資料中心互連，發展跨境應用場景。</p> <p>全光網路是以光訊號取代傳統電訊號進行傳輸與交換，核心架構來自NTT提出的IOWN（Innovative Optical and Wireless Network）概念，其中的APN（All-Photonic Network）主打端到端光傳輸。相較傳統網路需多次光電轉換，全光網路可大幅降低延遲與能耗，並提升頻寬容量，特別適合AI運算、即時影像分析與大規模資料中心互連。</p> <p>依據中華電信公開資料，全光網路（或稱光纖到府、FTTH）具備高頻寬、低干擾與穩定性高等優勢，且因中間節點多採被動式光分配設計，可有效降低能源消耗，對於5G、AI與雲端服務的長期發展具有關鍵支撐作用。進一步結合矽光子與光學共封裝（CPO）技術，未來甚至可將光通訊直接延伸至晶片與伺服器內部，再進一步提升整體運算效率。</p> <p><span style="color:#B22222;"><strong>運用全光網路串聯南部、北部與日本AI算力資源</strong></span></p> <p>成大電機工程系教授，同時也是大南方新矽谷辦公室主任謝明德展示全光網路的應用，利用高速、低延遲的全光網路串聯分散在3個不同區域的AI算力資源；首先是臺灣南部的算力資源，包括中華電信的台南機房、國網中心的雲端算力中心、沙侖、南科共3個AIDC，資料傳輸距離約30公里；北部地區，包括桃園的中華電信研究院、中華電信的台北機房、衛福部的機房，跨區資料傳輸距離約300公里；透過海纜跨境連接NTT的日本武藏野AIDC，傳輸距離約3,000公里。</p> <p>謝明得表示，儘管3個區域間的傳輸距離相差10至100倍，但透過全光網路串聯不同區域的AI算力資源，如同在沙侖的隔壁，幾乎感受不到地理上的距離差異。</p> <p><span style="color:#B22222;"><strong>靠AI算力協作偵測道路施工</strong></span></p> <p>為了展示全光網路的低延遲的特色，將臺南的智慧桿拍攝即時街道影像畫面，推播傳送到中華電信臺南永康、國網臺南沙侖，還有遠在3千公里外的日本武藏野，利用AI模型辨識街道影像畫面進行辨識推論，自動辨識出狀態描述「現場道路正在施工，並且占用車道，交通設施完善，工作人員在場」，中華電信臺南永康、國網臺南沙侖的推論秒數分別為1.5秒、1.6秒，日本武藏野推論秒數為1.7秒。</p> <p>謝明得強調，透過全光網路在不同的地點的AI推論秒數在誤差範圍內，意謂著即使透過日本協作推論也不是問題，透過全光網路在不同地點的協作幾乎感受不到差距。</p> <p><img alt="" src="/sites/default/files/images/%E6%88%AA%E5%9C%96%202026-04-28%20%E4%B8%8B%E5%8D%884_18_43.jpeg" style="width: 600px; height: 403px;" /></p> <p>第二項全光網路應用：算力協作。謝明得指出，傳統在不同資料中心進行分散式運算，通常會受限於頻寬，資料傳輸速度較慢，進而影響分散式運算的效益。通過全光網路幾乎感受不到差異，以偵測道路施工、交通事故為例，可以將偵測道路施工的模型交由中華電信臺南永康機房負責，將偵測交通事故模型則由國網中心南科的資料中心負責，再將施工偵測、交通事故偵測的結果，透過全光網路匯整至國網臺南沙侖的資料中心進行應變決策。</p> <p>第三項應用，全光網路的高速、低延遲有助於強化備援，提升服務韌性。原本在中華電信臺南機房的道路施工偵測，當臺南機房因為特殊的原因無法處理時，全光網路僅需要花費6.2秒就可傳輸完畢51GB的資料量至中華電信台北算力中心偵測推論，相較之下，傳統網路傳輸51GB資料則需要2分鐘以上。</p> <p>智慧醫療方面，衛福部展示南部地區的民眾就醫，醫院可將民眾的CT照上傳至衛福部台北健康數據資料中心，透過全光網路僅花費約2.7秒傳輸完畢20GB的CT資料，醫院傳輸的CT資料在北部完成3D建模後，再下載3D影像，讓醫生利用頭戴裝置檢視病人的3D模型影像。</p> <p>其他展示還有智慧交通道路安全，透過全光網路及5G SA切片網路、MEC邊緣運算，從桃園楊梅遠程控制在臺南沙侖的自駕車，同步傳輸自駕車內的道路影像，展示幾乎沒有無時差的遠端控制技術。</p> </div></div></div>
4/28 17:45作者蘇文彬https://www.ithome.com.tw/news/175385
【資安日報】4月28日，資安院宣布第二屆漏洞獵捕活動，為公務機關最常使用的軟體抓漏
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/175329"><strong style="font-size: 22px;">資安院首屆漏洞獵捕活動發現20個硬體產品漏洞，今年第二屆活動開放AI工具挖掘軟體漏洞</strong></a></p> <p>為鼓勵國內業者重視產品資安，數發部資安院在去年12月舉辦首屆漏洞獵捕（Bug Bounty）活動，邀請研華、威強電等11家業者參加，超過20項產品參與，共有179名資安研究人員參與，發現約20個漏洞，資安院為引導資安社群與產業建立機制，預告今年第四季將舉辦第二屆漏洞獵捕活動，鼓勵研究人員使用AI工具輔助，以增加找到漏洞的機會，針對的產品也從首屆活動以硬體、網通產品為主，第二屆活動將以公務機關使用最多的軟體產品為對象。</p> <p><a href="https://www.ithome.com.tw/news/175338"><strong style="font-size: 22px;">Checkmarx證實GitHub資料遭駭客團體Lapsus$流入暗網</strong></a></p> <p>4月22日資安公司Checkmarx發生供應鏈攻擊，VS Code延伸套件與掃描工具KICS的Docker映像檔被入侵，後續調查結果出現新的進展，4月26日Checkmarx公布新的調查結果，他們在第三方鑑識公司的協助下進行調查，有網路犯罪團體將該公司的資料於暗網公開。根據相關證據，這些資料來自Checkmarx的GitHub儲存庫。隔天Checkmarx發布新的內容，表示這是源自Trivy供應鏈攻擊的事故，該公司研判，攻擊者藉此取得憑證，而能夠未經授權存取他們的GitHub儲存庫，並以此發布惡意程式碼。</p> <p><a href="https://www.ithome.com.tw/news/175340"><strong style="font-size: 22px;">蠕蟲程式GlassWorm透過73個VS Code延伸套件潛伏於Open VSX儲存庫</strong></a></p> <p>資安公司Socket指出，他們在3月於Open VSX發現73個惡意VS Code延伸套件，這些套件大部分看起來無害，但有6個已顯露真正的意圖，被用來傳送GlassWorm。該公司指出，這些惡意套件與今年3月揭露（1月發現）的活動有關，並遵循近期GlassWorm的攻擊模式，那就是惡意套件本身最初發布時，都不會出現明顯的有效酬載，之後駭客再透過延伸套件的更新機制傳遞惡意軟體。</p> <p><a href="https://www.ithome.com.tw/news/175341"><strong style="font-size: 22px;">RPC零時差漏洞PhantomRPC可被用於提升權限</strong></a></p> <p><a href="/sites/default/files/images/phantomrpc16-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/phantomrpc16-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安公司卡巴斯基近日公布零時差漏洞PhantomRPC，此漏洞與Windows作業系統的遠端程序呼叫（RPC）有關，攻擊者有機會以此提升本機權限至SYSTEM，所有版本的Windows作業系統都可能受影響。由於該弱點源自系統架構的弱點，潛在的攻擊手法近乎無限多種，原因是只要透過任何RPC的處理程序或服務，都有可能引入一種權限提升的路徑而觸發漏洞。</p> <p><a href="https://www.ithome.com.tw/news/175353"><strong style="font-size: 22px;">Linux作業系統套件管理器存在資安漏洞Pack2TheRoot，攻擊者能取得root權限</strong></a></p> <p><a href="/sites/default/files/images/581941838-9a7ce174-85d9-42b8-95ac-5407a26219ba-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/581941838-9a7ce174-85d9-42b8-95ac-5407a26219ba-63.jpg" style="width: 300px; float: right;" /></a></p> <p>德國電信公司Deutsche Telekom紅隊團隊近日公布高風險資安漏洞Pack2TheRoot，此漏洞存在於套件管理工具PackageKit的處理程序，影響Ubuntu、Debian、Fedora等多個Linux發行版，非特權攻擊者可在未經授權的情況下，安裝或移除系統套件，而有機會取得受害主機的root權限，或是透過其他管道入侵受害電腦。此漏洞被登記為CVE-2026-41651，CVSS風險評為8.8分，屬高風險等級，PackageKit開發團隊獲報後發布1.3.5版予以修補。</p> <p><a href="https://www.ithome.com.tw/news/175315"><strong style="font-size: 22px;">Linux惡意軟體GoGra濫用Microsoft Graph API隱匿活動蹤跡</strong></a></p> <p>賽門鐵克與Carbon Black威脅獵捕團隊發現，APT駭客組織Harvester近期開發了Linux後門程式GoGra，此惡意軟體具備高度迴避偵測的能力，利用微軟Graph API與電子郵件信箱服務Outlook建立C2通訊，疑似打算在印度與阿富汗從事網路間諜活動。由於此駭客組織的活動最早可溯到2021年，當時使用後門程式Graphon攻擊Windows電腦，GoGra的出現，代表Harvester採取跨平臺攻擊的策略。</p> <p><a href="https://www.ithome.com.tw/news/175324"><strong style="font-size: 22px;">中國駭客Tropic Trooper鎖定臺灣、日本、韓國，透過Adaptix C2與VS Code隧道控制受害電腦</strong></a></p> <p><a href="/sites/default/files/images/tropic_trooper_figure_1-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/tropic_trooper_figure_1-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安公司Zscaler於3月12日發現鎖定臺灣使用者發動攻擊的惡意ZIP檔，該項行動由Tropic Trooper發起，並使用軍事相關的誘餌發動多階段攻擊，他們竄改PDF檢視器SumatraPDF的二進位檔案，用來部署AdaptixC2的Beacon代理程式，最終目的是下載與部署Visual Studio Code（VS Code）隧道。根據分析的結果，這些駭客的主要目標是使用中文的臺灣用戶，不過也有日本與韓國用戶受害。</p> <p><a href="https://www.ithome.com.tw/news/175325"><strong style="font-size: 22px;">中國駭客GopherWhisper鎖定蒙古，利用多種雲端服務從事網路間諜活動</strong></a></p> <p><a href="/sites/default/files/images/GopherWhisper-1-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/GopherWhisper-1-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安公司ESET揭露中國駭客GopherWhisper，這些駭客使用多種以Go語言撰寫而成的工具於蒙古某個政府機構部署並執行各種後門程式LaxGopher、RatGopher、SSLORDoor與BoxOfFriends，這些駭客也濫用Discord、Slack、Microsoft 365 Outlook，以及雲端檔案共享服務file.io等合法服務，進行C2通訊與資料外洩。</p> <p><a href="https://www.ithome.com.tw/news/175360"><strong style="font-size: 22px;">醫療設備製造商美敦力資料外洩，駭客聲稱竊取逾900萬筆個資</strong></a></p> <p>4月24日醫療器材大廠美敦力（Medtronic）發出聲明，證實資訊系統的資料遭到未經授權的第三方存取，事發後該公司立刻採取遏止措施、啟動事件應變程序，並找出疑似被存取的個人資訊。不過，該公司強調，這起事故對於他們的產品、病人安全、與客戶的連結、製造與分銷、財務報告系統未受到影響，也不影響他們因應病人需求的能力。資安新聞網站Bleeping Computer指出，聲稱入侵美敦力的駭客團體就是ShinyHunters。</p> <p><a href="https://www.ithome.com.tw/news/175367"><strong style="font-size: 22px;">網路學習平臺Udemy傳資料外洩，ShinyHunters聲稱竊得140筆個資</strong></a></p> <p>惡名昭彰的駭客團體ShinyHunters於4月24日宣稱，他們手上握有大型網路學習平臺Udemy的內部資料，並要求該公司必須在4月27日前取得聯繫並支付贖金，不然就要將竊得資料公諸於世（Pay or Leak）。針對外洩的資料，ShinyHunters聲稱包含超過140萬筆個人可識別資訊（PII），以及該公司的企業內部資料。不過，駭客並未公布部分資料供買家確認。</p> <p><a href="https://www.ithome.com.tw/news/175346"><strong style="font-size: 22px;">CISA警告D-Link路由器命令注入漏洞被用於實際攻擊</strong></a></p> <p>上週資安公司Akamai揭露殭屍網路Mirai變種tuxnokill攻擊行動，駭客利用命令注入漏洞CVE-2025-29635，綁架產品生命週期已經結束（EOL）的D-Link路由器DIR-823X，現在美國政府也證實該漏洞遭到利用的情況。4月24日美國網路安全暨基礎設施安全局（CISA）將4個資安漏洞列入已遭利用的漏洞名冊（KEV），並要求聯邦機構必須於5月8日完成修補，其中一個漏洞就是CVE-2025-29635。</p> <p><a href="https://www.ithome.com.tw/news/175362"><strong style="font-size: 22px;">Notepad++修補字串輸入漏洞，未更新可能導致資訊洩漏或程式當機</strong></a></p> <p>開源文字編輯器Notepad++近日發布公告，揭露可能導致資訊外洩或應用程式當機的漏洞，會影響8.9.3以前版本，解決辦法是升級到已修補的8.9.4版。這項漏洞的編號為CVE-2026-3008，問題源自Notepad++的FindInFiles功能未妥善處理特定輸入字串，攻擊者可利用此漏洞讀取記憶體內容，或觸發應用程式異常終止。</p> <p><a href="https://www.ithome.com.tw/news/175352"><strong style="font-size: 22px;">Tenable修補Nessus弱點掃描代理程式漏洞，未更新可能導致攻擊者取得SYSTEM權限</strong></a></p> <p>資安廠商Tenable近日發布公告，揭露旗下弱點掃描工具Nessus的Windows版代理程式存在高風險漏洞CVE-2026-33694，是由外部研究人員發現並向Tenable通報，CVSS嚴重性評分達8.2分，源自於Nessus代理程式執行檔案存取前，未妥善驗證檔案連結，在Windows系統環境中，擁有本機存取權限的攻擊者可以建立惡意的連接點（junction），誘使Nessus代理程式以SYSTEM權限刪除任意檔案，並進而以SYSTEM權限執行任意程式碼。</p> <p><a href="https://www.ithome.com.tw/news/175327"><strong style="font-size: 22px;">CrowdStrike修補LogScale重大漏洞，未更新可能導致遠端讀取任意檔案</strong></a></p> <p>端點防護與雲端資安平臺廠商CrowdStrike近日發布安全公告，修補旗下日誌分析與監控平臺LogScale重大漏洞CVE-2026-40050，一旦該系統暴露在網際網路，遠端攻擊者可利用此漏洞，在未通過身分驗證的狀態下，讀取伺服器檔案系統的任意檔案，CrowdStrike表示尚未發現此漏洞的濫用跡象，但仍建議所有自行建置版用戶升級，以降低攻擊風險。</p> <p><a href="https://www.ithome.com.tw/news/175331"><strong style="font-size: 22px;">LMDeploy LLM推論工具SSRF漏洞公開後13小時內即遭利用</strong></a></p> <p>資安公司Sysdig指出，InternLM開發的LMDeploy大型語言模型推論工具，在伺服器端請求偽造（SSRF）漏洞公開後，不到13小時就出現利用嘗試。該漏洞編號為CVE-2026-33626，影響LMDeploy 0.12.3之前版本，官方已在0.12.3版修補。CVE-2026-33626漏洞風險在於，攻擊者可透過模型請求中的image_url欄位，讓LMDeploy伺服器代為存取雲端中繼資料服務（metadata service）、內部網路或其他原本不應對外暴露的資源。</p> <p><a href="https://www.ithome.com.tw/news/175332"><strong style="font-size: 22px;">Python存在高風險的記憶體存取漏洞，未修補可能導致越界寫入與記憶體資料損毀</strong></a></p> <p>廣泛使用的高階程式語言Python存在高風險漏洞CVE-2026-3298，可能導致越界寫入（Out-of-Bounds Write）問題，進而造成記憶體資料毀損，此漏洞已由Python軟體基金會登記CVE編號，並於CPython程式碼庫提交修補程式，建議使用者儘速更新。這項漏洞的CVSS嚴重性評分達8.8分，是在4月21日由研究人員Seth Larson揭露，他透過Python安全公告郵件清單（security announcement mailing list）公開此事。</p> <p><a href="https://www.ithome.com.tw/news/175328"><strong style="font-size: 22px;">用AI發現漏洞還不夠，Google指出自動化大規模修補才是防禦核心</strong></a></p> <p>將AI用於資安防禦以對抗AI攻擊，已成為各界關注焦點，特別是近期AI在漏洞挖掘能力上的高速推進，然而，AI大廠Google認為，解決資安漏洞風險的關鍵，不只在於大規模「找出」漏洞，更關鍵的是，如何運用AI大規模且高效率地「修補」漏洞。近日Google工程部門副總裁Royal Hansen來臺，揭露自動化防禦的最新發展。</p> <p><a href="https://www.ithome.com.tw/article/175310"><strong style="font-size: 22px;">【2026 企業資安大調查｜資安預算變化】整體資安預算大增13％，金融業更加碼近2成</strong></a></p> <p>資安管理向來是企業資訊長和資安長的年度優先目標，近兩三年來，加上主管機關對上市櫃公司的資安法遵要求，如資安長設置要求，訂定資安事件重大訊息揭露標準等，促使企業投入更多資源來落實資安管理。根據2026 iThome CIO&CISO大調查，多數產業的資安預算皆成長，平均資安預算成長率高達13%，只有政府學校的資安預算比去年略減了4%。</p> <p><a href="https://www.ithome.com.tw/article/175311"><strong style="font-size: 22px;">【2026 企業資安大調查｜資安人才需求】因應資安人才缺口， 3成CIO想靠AI緩解</strong></a></p> <p>過去幾年，資安人才更成了超級搶手的人才，不分產業也都吹起了資安人才荒。在去年大調查中，我們開始調查資訊長和資安長對於AI緩解IT人才荒的看法，尤其是資安人才和開發人才缺口的緩解。去年已超過7成資訊長和資安長認同AI的確可以緩解IT人力需求，今年這個比例再次上升，達到77%之高，幾乎每五位資訊長，就有四位認為可以藉助AI來分擔人力。</p> <p><a href="https://www.ithome.com.tw/article/175312"><strong style="font-size: 22px;">【2026 企業資安大調查｜企業AI資安挑戰】人才和資料治理是AI資安兩大難題</strong></a></p> <p>隨著越來越多企業擁抱生成式AI，AI資安風險也成了資訊長和資安長當前最大的新挑戰。根據2026年iThome CIO&CISO大調查，從生成式AI發展成熟度來看，臺灣大型企業中，有23%的企業已經在正式環境中運用生成式AI，另有33%企業正在導入和驗證階段，26%的企業今年才開始計畫。換句話說，超過2成資安長日常工作已經開始面臨種種AI資安挑戰，另有5成資安主管至少得開始準備因應。</p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/175326"><strong>【4月27日】後門程式FireStarter鎖定思科防火牆發動攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/175256"><strong>【4月24日】資安公司Checkmarx遭遇供應鏈攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/175256"><strong>【4月23日】近1,300臺SharePoint伺服器尚未修補已遭利用的欺騙漏洞</strong></a></p> </div></div></div>
4/28 14:26作者周峻佑https://www.ithome.com.tw/news/175370
IBM與英國原子能機構合作推出核融合電漿AI模型，鎖定低碳能源應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>4月中旬<a data-saferedirecturl="https://www.google.com/url?q=https://research.ibm.com/blog/fusion-plasma-ai-model&source=gmail&ust=1777436728434000&usg=AOvVaw0r5b25CMgeSbq3zC0nox9_" href="https://research.ibm.com/blog/fusion-plasma-ai-model" target="_blank">IBM研究部門宣布</a>，與英國原子能機構（UKAEA）及<wbr></wbr>英國科學與技術設施委員會（STFC）Hartree Centre合作，<wbr></wbr>推出核融合電漿AI基礎模型TokaMind，<wbr></wbr>以及開源模型與評測工具，目標是加速核融合技術邁向電網應用。</p> <p><a data-saferedirecturl="https://www.google.com/url?q=https://bimonthly.ps-taiwan.org/articles/67bc2c541efd7411b20ca6ce&source=gmail&ust=1777436728434000&usg=AOvVaw2iqNi0ny3pC3Wvzk06vzTv" href="https://bimonthly.ps-taiwan.org/articles/67bc2c541efd7411b20ca6ce" target="_blank">核融合被視為下一代能源</a>，<wbr></wbr>其反應需在極高溫形成的電漿狀態中進行。相較傳統核分裂，<wbr></wbr>核融合具備低碳排、燃料來源充足且長期放射性廢料較少等特性。<wbr></wbr>不過，要在地球上穩定控制這種高溫電漿並持續輸出能量，<wbr></wbr>仍是主要技術挑戰。</p> <p>IBM表示，<wbr></wbr>TokaMind模型整合英國原子能機構的MAST（Mega Ampere Spherical Tokamak）實驗裝置資料，<wbr></wbr>將分散且複雜的資料整理成一致格式，<wbr></wbr>使研究人員能更容易掌握電漿在不同操作條件下的變化。<wbr></wbr>不同於傳統模型需針對單一任務分別訓練，<wbr></wbr>TokaMind可同時處理多種電漿分析工作。<wbr></wbr>在TokaMark基準測試的14項電漿分析任務中，<wbr></wbr>該模型幾乎都優於傳統機器學習方法。</p> <p>IBM與UKAEA表示，<wbr></wbr>這項技術將用於優化核融合發電原型Spherical Tokamak for Energy Production（STEP）的設計，<wbr></wbr>目標在2040年代建成並接入電網。</p> <p>整體來看，核融合技術目前仍處研發階段，<wbr></wbr>而TokaMind可望成為核融合研究的重要工具，<wbr></wbr>協助相關技術從實驗階段逐步邁向商用發電階段。</p> </div></div></div>
4/28 14:42作者王珮瑤https://www.ithome.com.tw/news/175371
Meta與Overview Energy合作以存取太空太陽能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>為了因應AI與資料中心所需的龐大電力，<a href="https://about.fb.com/news/2026/04/powering-ai-strengthening-the-grid-space-solar-energy-and-long-duration-storage/" target="_blank">Meta週一（4/27）宣布兩項合作計畫</a>，一是與Overview Energy合作，把最多1GW的太陽能傳輸到地球，以實現全天候發電，二是與Noon Energy合作，部署功率達1 GW/100 GWh（連續100小時輸出1GW電力）的超長時效能源儲存系統。</p> <p>2022年在美國創立的<a href="https://www.overviewenergy.com/" target="_blank">Overview Energy</a>為一太空能源新創，主要發展太空太陽能技術，可於地球同步軌道收集持續日照，再轉為近紅外光傳回地面太陽能場，使其24小時發電。目前已完成空中傳電測試，目標是在2028年進行太空示範，2030年進入商轉。</p> <p>至於同樣位於美國的Noon Energy創立於2018年，主要開發超長時儲能技術，採用可逆固態氧化物燃料電池與碳基儲能材料，能將電力轉為化學能並儲存超過100小時，再轉回電力使用。主打不依賴鋰等稀缺金屬，降低成本與供應鏈風險。不過，Noon Energy目前仍處示範階段，預計2028年完成首個25MW/2.5GWh專案，之後再擴展至GW級規模，尚未正式商業化運轉。</p> <p>目前Meta已向Overview Energy預訂最多1GW的太空太陽能容量，以取得未來太空太陽能的優先使用權，屬於容量預購模式。此類合作不需立即建置發電設施，而是提前鎖定未來電力來源，被視為大型科技業者因應AI用電需求、提前布局能源供應的策略之一。</p> <p>與Noon Energy的合作同樣採用容量預購模式，預訂最多1GW／100GWh的儲能容量，未來可作為資料中心的備援與調節電力來源。</p> <p>迄今Meta已簽署超過30GW再生能源合約並投入數十億美元，包括與Sage Geosystems及XGS Energy合作開發新一代地熱技術，以及與Vistra、TerraPower、Oklo及Constellation Energy合作以支援總計7.7GW的核能專案，全面卡位電力供應，以因應AI與資料中心的長期用電需求。</p> </div></div></div>
4/28 15:19作者陳曉莉https://www.ithome.com.tw/news/175373
網路學習平臺Udemy傳資料外洩，ShinyHunters聲稱竊得140筆個資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>惡名昭彰的駭客團體ShinyHunters於4月24日宣稱，<strong><a href="https://cybersecuritynews.com/udemy-data-breach/">他們手上握有大型網路學習平臺Udemy的內部資料</a></strong>，並要求該公司必須在4月27日前取得聯繫並支付贖金，不然就要將竊得資料公諸於世（Pay or Leak）。</p> <p>Udemy是全球最大的網路學習平臺，提供超過2.6萬門由業界專家設計的課程，涵蓋程式開發、資料科學、商業管理、設計、行銷、音樂、語言學習、健康健身等領域，學生可隨時隨地透過教學影片與測驗題目來提升技能，甚至能取得認證，以促進職涯發展。因此，這起資料外洩事故的影響範圍，有可能相當廣泛。</p> <p>針對外洩的資料，ShinyHunters聲稱包含超過140萬筆個人可識別資訊（PII），以及該公司的企業內部資料。不過，駭客並未公布部分資料供買家確認。雖然Udemy並未對此事做出說明，但密碼外洩查詢網站Have I Been Pwned（HIBP）於<strong><a href="https://haveibeenpwned.com/Breach/Udemy">4月26日記錄此事</a></strong>，並指出洩露的資料影響學生與教練，內容包括：姓名、實體地址、電話號碼、員工資訊，以及支付講師費的方法（PayPal、支票、銀行轉帳）。</p> </div></div></div>
4/28 13:04作者周峻佑https://www.ithome.com.tw/news/175367
專注強化學習的AI新創Ineffable Intelligence募得11億美元的種子輪資金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>由前DeepMind強化學習團隊負責人David Silver在2025年底創辦的AI新創<a href="https://x.com/IneffableLabs/status/2048775952876851547" target="_blank">Ineffable Intelligence週一（4/27）正式浮上檯面</a>，並說<a href="https://www.cnbc.com/2026/04/27/deepmind-ineffable-intelligence-record-seed-funding-nvidia-google.html" target="_blank">已獲得了</a>11億美元的種子輪投資，估值為51億美元，為歐洲史上最大規模的種子輪融資之一。投資者包括美國風投Sequoia、Lightspeed，以及Nvidia、Google與英國的Sovereign AI Fund等。</p> <p><a href="https://davidstarsilver.wordpress.com/about/" target="_blank">Silver專注</a>於使用強化學習來打造超級智慧助理，他曾主導或共同主導的AI研究包括在2015年讓AI直接從像素學會玩Atari遊戲，2016年以AlphaGo擊敗圍棋世界冠軍，2017至2018年進一步實現AI自學擊敗最強西洋棋、將棋與圍棋程式，2019年AlphaStar擊敗職業《星海爭霸》玩家，2020年更在無規則知識下完成自學突破。</p> <p>此外，他也參與了AlphaFold於2020至2021年解決蛋白質摺疊問題，以及2024年AlphaProof達到國際數學奧林匹亞競賽獎牌水準，橫跨遊戲、科學與數學領域的重要進展。Silver在DeepMind任職超過10年，現在除了擔任Ineffable Intelligence執行長，亦為倫敦大學學院教授。</p> <p>在新創立的<a href="https://www.ineffable.ai/" target="_blank">Ineffable Intelligence</a>首頁上，Silver說明該公司正在打造一種超級學習者（Superlearner），可從自身的經驗獲取所有的知識，從最基本的運動技能，到最深刻的智力突破；此一學習能力並不仰賴人類所提供的資料，而是由世界上最強大的強化學習演算法來推動。</p> <p>這也意味著該超級學習者將能重新發現並超越人類史上最偉大的發明，包括語言、科學、數學與技術，倘若成功了，將成為能與達爾文發現相媲美的科學突破，還能解釋並闡明所有智慧形態的本質。</p> <p>根據<a href="https://www.wired.com/story/david-silver-ai-ineffable-intelligence-reinforcement-learning/" target="_blank">Wired的報導</a>，Ineffable Intelligence最終的願景是創造出在許多領域都能超越人類智慧的超級學習者。</p> <p>創立於英國的Ineffable Intelligence也獲得了由英國政府支持的AI投資基金Sovereign AI Fund的投資，英國AI暨網路安全部長<a href="https://www.sovereignai.gov.uk/post/sovereign-ai-invests-in-ineffable-intelligence" target="_blank">Kanishka Narayan表示</a>，很高興Silver選擇在英國創業，並得到英國政府的全力支持，共同推動英國的AI發展並改變世界。</p> </div></div></div>
4/28 14:09作者陳曉莉https://www.ithome.com.tw/news/175369
韓國KISA首度啟動安全漏洞清理服務，首波因應目標是WGear網銀RCE漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>面對用戶未積極更新修補軟體漏洞的狀況，韓國網際網路與安全管理署（KISA）近期採取創新作法，於2026年4月首度啟動「安全漏洞清理服務（보안취약점클리닝서비스）」，<a href="https://www.boho.or.kr/kr/bbs/view.do?searchCnd=&bbsId=B0000133&searchWrd=&menuNo=205020&pageIndex=1&categoryCode=&nttId=72023">協助用戶清除含漏洞的WGear舊版本</a>。這種主動介入的作法在全球相當罕見，其後續成效可能引發各國效法，也能針對促進用戶修補的作法帶來更多啟發，值得政府與企業關注。</p> <p>根據KISA說明，此項服務目的是為了縮短「廠商釋出修補」與「終端實際完成更新」之間的落差，目前保險作法是僅移除受影響的舊版本。其運作方式如下：KISA此次與4家資安業者合作，納入其防毒產品，涵蓋nProtect（INCA Internet）、VirusChaser（SGA）、Exosphere（Exosphere Labs）、TurboViro（EveryZone）。一旦在使用者電腦偵測到舊版軟體，這些防毒軟體將引導使用者點選「解決漏洞」按鈕，同意移除軟體。</p> <p>此計畫的第一個漏洞因應目標是韓國企業網銀常見的中介程式WGear，這套系統主要用於協助大量Excel資料處理，近日被確認存在遠端程式碼執行（RCE）漏洞。由於此類軟體常見於企業網銀與電子金融服務情境，一旦未及時修補，恐遭駭客利用並擴大入侵風險，其威脅不容忽視。</p> <p>關於這項安全漏洞清理服務的發展，KISA是在去年11月<a href="https://www.kisa.or.kr/402/form?postSeq=2550&page=4">對外公開</a>，並於2026年4月正式啟動。KISA指出，其特色在於用戶無需另行安裝程式，只要電腦已安裝指定防毒軟體即可使用。KISA後續也規畫與韓國國內更多防毒廠商合作，逐步擴大服務規模。</p> <p><a href="/sites/default/files/images/KISA_보안취약점클리닝서비스架構圖_圖片來源KISA .jpg"><img alt="" src="/sites/default/files/images/KISA_%EB%B3%B4%EC%95%88%EC%B7%A8%EC%95%BD%EC%A0%90%ED%81%B4%EB%A6%AC%EB%8B%9D%EC%84%9C%EB%B9%84%EC%8A%A4%E6%9E%B6%E6%A7%8B%E5%9C%96_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90KISA%20.jpg" style="width: 600px;" /></a></p> <p>事實上，如何縮短漏洞修補的空窗期，避免用戶在安全更新釋出後仍遲遲不修補，一直是各國政府面臨的嚴峻挑戰。以美國為例，網路安全暨基礎設施安全局（CISA）自2021年起發布「<a href="https://www.ithome.com.tw/news/154595">已知遭利用漏洞清單</a>」（KEV），並透過法規強制要求聯邦機構必須在限期內完成修補，主要以行政手段落實政府機構的資安防禦。</p> <p>除了法規強制，各國也正嘗試不同主動手段。例如，<a href="https://www.ithome.com.tw/news/172752">英國國家網路安全中心（NCSC）於去年12月試辦主動通報服務</a>，與資安業者Netcraft合作，針對更廣泛的當地企業，透過分析公開資訊與外部可觀察行為，主動寄送漏洞預警通知，以補足企業未主動追蹤漏洞的缺口。</p> <p>而韓國KISA此次採取的策略則更進一步，試圖直接與端點安全產品合作介入清理。這些案例顯示，各國政府在漏洞治理的角色上，正從過去的被動宣導轉向更具主動性的干預與協作。</p> </div></div></div>
4/28 14:20作者羅正漢https://www.ithome.com.tw/news/175351
RPC零時差漏洞PhantomRPC可被用於提升權限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安公司卡巴斯基<strong><a href="https://securelist.com/phantomrpc-rpc-vulnerability/119428/?unapproved=3581317&moderation-hash=396323c74722f8f00289278563b80d4b#comment-3581317">近日公布零時差漏洞PhantomRPC</a></strong>，此漏洞與Windows作業系統的遠端程序呼叫（RPC）有關，攻擊者有機會以此提升本機權限至SYSTEM，所有版本的Windows作業系統都可能受影響。由於該弱點源自系統架構的弱點，潛在的攻擊手法近乎無限多種，原因是只要透過任何RPC的處理程序或服務，都有可能引入一種權限提升的路徑而觸發漏洞。卡巴斯基也在部落格文章裡，展示5種PhantomRPC的概念驗證（PoC）攻擊手法，有的透過強制依賴，有些需要使用者互動，也有利用背景服務來觸發漏洞的情況。</p> <p>值得留意的是，卡巴斯基於去年9月向微軟資安回應中心（MSRC）通報此事，結果微軟認定利用PhantomRPC必須事先取得指定權限SeImpersonatePrivilege，將其評為中度風險並認定無須立即修補，該公司不會登記CVE編號，將直接結案不會繼續追蹤。換言之，該漏洞目前沒有修補程式。</p> <p>對此，卡巴斯基認為，儘管完全緩解漏洞需要微軟發布修補程式，目前企業組織還是可以採取行動緩解PhantomRPC帶來的影響，其中一種方法，是利用Windows事件記錄追蹤（ETW）進行監控，偵測例外的RPC活動，特別是用戶端試圖連接無法使用的伺服器的可疑事件。另外，在非必要流程減少特殊權限的使用，也能降低此弱點帶來的風險。</p> </div></div></div>
4/28 10:53作者周峻佑https://www.ithome.com.tw/news/175341
CISA警告D-Link路由器命令注入漏洞被用於實際攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>上週資安公司Akamai揭露<strong><a href="https://www.ithome.com.tw/news/175307">殭屍網路Mirai變種tuxnokill攻擊行動</a></strong>，駭客利用命令注入漏洞CVE-2025-29635，綁架產品生命週期已經結束（EOL）的D-Link路由器DIR-823X，現在美國政府也證實該漏洞遭到利用的情況。</p> <p>4月24日美國網路安全暨基礎設施安全局（CISA）<strong><a href="https://www.cisa.gov/news-events/alerts/2026/04/24/cisa-adds-four-known-exploited-vulnerabilities-catalog">將4個資安漏洞列入已遭利用的漏洞名冊（KEV）</a>，</strong>並要求聯邦機構必須於5月8日完成修補，其中一個漏洞就是CVE-2025-29635。</p> <p>CVE-2025-29635為命令注入漏洞，取得授權的攻擊者可藉由特定的功能，發送POST請求到/goform/set_prohibiting觸發漏洞，從而觸發遠端命令執行（RCE）。CISA強調，由於DIR-823X生命週期結束且廠商已終止服務（EoS），<strong><a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search_api_fulltext=CVE-2025-29635&field_date_added_wrapper=all&field_cve=&sort_by=field_date_added&items_per_page=20&url=">他們呼籲用戶應停止使用</a></strong>。</p> <p>同一天列入KEV的資安漏洞，還有遠端管理與監控工具SimpleHelp的缺乏授權漏洞CVE-2024-57726、路徑遍歷漏洞CVE-2024-57728，以及三星MagicINFO 9 Server路徑遍歷漏洞CVE-2024-7399。</p> </div></div></div>
4/28 11:12作者周峻佑https://www.ithome.com.tw/news/175346
Linux作業系統存在資安漏洞Pack2TheRoot，攻擊者能取得root權限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>德國電信公司Deutsche Telekom紅隊團隊近日公布<strong><a href="https://github.security.telekom.com/2026/04/pack2theroot-linux-local-privilege-escalation.html">高風險資安漏洞Pack2TheRoot</a></strong>，此漏洞存在於套件管理工具PackageKit的處理程序，影響Ubuntu、Debian、Fedora等多個Linux發行版，非特權攻擊者可在未經授權的情況下，安裝或移除系統套件，而有機會取得受害主機的root權限，或是透過其他管道入侵受害電腦。此漏洞被登記為CVE-2026-41651，CVSS風險評為8.8分，屬高風險等級，PackageKit開發團隊獲報後發布1.3.5版予以修補。</p> <p>值得留意的是，這項漏洞影響範圍有可能相當廣泛，因為Deutsche Telekom起初在部落格文章提到，其中一個分支1.0.2版PackageKit已發布超過12年，只要採用該版本的Linux發行版就會受到影響。不過，他們<strong><a href="https://github.com/PackageKit/PackageKit/security/advisories/GHSA-f55j-vvr9-69xv">在資安公告裡提及</a></strong>，該漏洞可能在14年前的0.8.1版就已經引入。</p> <p>之所以調查PackageKit，原因在於Deutsche Telekom發現竟能透過一個指令於Fedora工作站電腦安裝系統套件，過程中無須輸入密碼，他們後續借助Anthropic Claude Opus成功發現Pack2TheRoot。該公司於Ubuntu Desktop 18.04至26.04、Ubuntu Server 22.04至24.04、Debian Desktop Trixie 13.4、Rocky Linux Desktop 10.1，以及工作站與伺服器版Fedora 43確認存在漏洞。</p> </div></div></div>
4/28 11:49作者周峻佑https://www.ithome.com.tw/news/175353
醫療設備製造商美敦力資料外洩，駭客聲稱竊取逾900萬筆個資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>駭客組織ShinyHunters橫行，不斷公布受害的企業組織，最近的消息是聲稱<strong><a href="https://www.ithome.com.tw/news/175316">竊得保全公司ADT與遊輪營運公司Carnival的內部資料</a></strong>，如今傳出有醫療器材公司受害。</p> <p>4月24日<strong><a href="https://news.medtronic.com/Medtronic-statement-on-unauthorized-system-access">醫療器材大廠美敦力（Medtronic）發出聲明</a></strong>，證實資訊系統的資料遭到未經授權的第三方存取，事發後該公司立刻採取遏止措施、啟動事件應變程序，並找出疑似被存取的個人資訊。不過，該公司強調，這起事故對於他們的產品、病人安全、與客戶的連結、製造與分銷、財務報告系統未受到影響，也不影響他們因應病人需求的能力。</p> <p>美敦力強調，醫院客戶的網路環境由客戶的IT團隊管理，與美敦力的IT網路並未連結而不受影響，而且，美敦力的IT系統與該公司產品、製造、分銷的網路系統，均各自獨立運作。</p> <p>資安新聞網站Bleeping Computer指出，<strong><a href="https://www.bleepingcomputer.com/news/security/medtronic-confirms-breach-after-hackers-claim-9-million-records-theft/">聲稱入侵美敦力的駭客團體就是ShinyHunters</a></strong>，該組織於4月18日聲稱從該公司竊得超過900萬筆個人可識別資訊（PII）的記錄，並要脅美敦力必須在21日前聯繫。</p> </div></div></div>
4/28 12:22作者周峻佑https://www.ithome.com.tw/news/175360
Google DeepMind分拆公司Isomorphic Labs推動AI藥物設計，新藥將進入臨床測試
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>由Google DeepMind分拆的AI藥學研究實驗室Isomorphic Labs本週說，以AI設計的新藥已進入關鍵的臨床測試階段。</p> <p>Isomorphic Labs是2021年由DeepMind分拆的單位，旨在以AI協助發現藥物。DeepMind執行長Demis Hassabis將同時擔任Isomorphic Labs的執行長與創辦人。Isomorphic Labs的技術以DeepMind的AlphaFold系列為基礎，Iso旗艦模型AlphaFold 3可預測所有生命分子的結構及相互作用，並與全球藥廠包括Novartis、Johnson & Johnson及Eli Lilly等合作針對多個目標發現小分子治療藥物、療法或生物製劑。</p> <p><a href="https://www.wired.com/story/wired-health-2026-how-ai-is-powering-drug-discovery-max-jaderberg/" target="_blank">Isomorphic Labs總裁Max Jaderberg</a>本週在Wired Health醫學大會表示，運用最新AI系統IsoDDE的藥物開發結果將進入臨床測試。不過他未說明明確時間點。</p> <p>Isomorphic Labs Drug Design Engine（IsoDDE）是該實驗室<a href="https://www.isomorphiclabs.com/articles/the-isomorphic-labs-drug-design-engine-unlocks-a-new-frontier" target="_blank">今年二月公布最新AI系統</a>，為整合運算藥物設計系統，其分子結構預測準確度超越AlphaFold 3。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0428-Isomorphic%20Labs%20Drug%20Design%20Engine%20(IsoDDE)-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Isomorphic Labs</span></span></p> <p>根據該公司官網說明，在蛋白質和小分子結構預測泛化的標竿測試中，IsoDDE在小分子親合力（binding-affinity）的預測準確率是AlphaFold 3的二倍，超越作為黃金標準的物理方法，且時間和成本較過去大幅降低，展現僅僅以胺基酸輸入辨識出目標蛋白質的新結合位點（binding pocket）的能力。</p> <p>簡單而言，IsoDDE將原本分散於多種工具中的功能（如預測蛋白質分子對接、親和力預測與結合位點分析）整合為單一系統，提升了藥物設計流程的效率與一致性。也就是說，和過去AlphaFold系統相較，IsoDDE已從單純的結構預測擴展至更完整的分子設計流程，使研究人員能更準確模擬與設計新藥物。</p> <p>Google DeepMind建立整合性的藥物設計系統，將直接衝擊利基市場業者，包括提供通用AI藥物設計平臺、以及只設計而沒有自有pipeline的AI公司。而這些業者的挑戰可能會更加嚴峻。<a href="https://www.ithome.com.tw/news/175158" target="_blank">OpenAI也在上週公布</a>專精生命科學及藥物開發的GPT-Rosalind。</p> </div></div></div>
4/28 12:44作者林妍溱https://www.ithome.com.tw/news/175364
歐盟要求Google鬆綁Android平臺上的AI服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://digital-markets-act.ec.europa.eu/commission-seeks-feedback-measures-ensure-interoperability-googles-android-under-digital-markets-act-2026-04-27_en" target="_blank">歐盟執委會（European Commission，EC）週一（4/27）表示</a>，已依《數位市場法》（Digital Markets Act，DMA）向Google提出初步調查結果，並列出草案措施，要求其鬆綁Android平臺上的AI服務，開放第三方AI能直接與裝置上的App互動並執行任務。EC指出，目前相關系統層能力多由Google自家AI掌控，已對競爭與使用者選擇造成限制。</p> <p>EC的草案措施主要是確保各競爭對手的AI服務能夠與Android裝置上的各種應用程式互動，並執行相對應的任務，像是利用使用者偏好的電子郵件程式發送信件，叫外送，或者與朋友分享照片等。</p> <p>目前Google基本上將上述功能保留給自己在Android手機及平板上的AI服務使用，也只能使用「Hey Google」來呼叫Google的AI服務，開放後的系統將允許使用者自訂喚醒詞（wake word）來啟動其它競爭對手的AI服務。</p> <p>這些措施也將讓其他AI業者能在Android手機與平板上打造更深度整合的AI服務，直接與Google自家AI（如Gemini）競爭。歐盟認為，開放相關能力後，將促進創新，並替歐盟用戶帶來更多AI服務選擇。</p> <p>EC同步公開徵求各界對上述草案措施的意見，回饋截止日為2026年5月13日；再依據諮詢結果進一步修正內容，並公布最終措施。一旦定案，相關要求將具有法律約束力，Google即須依《數位市場法》規定配合實施，否則可能面臨高額罰款。</p> </div></div></div>
4/28 12:52作者陳曉莉https://www.ithome.com.tw/news/175366
Checkmarx證實GitHub資料遭駭客團體Lapsus$流入暗網
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>4月22日<strong><a href="https://www.ithome.com.tw/news/175264">資安公司Checkmarx發生供應鏈攻擊</a></strong>，VS Code延伸套件與掃描工具KICS的Docker映像檔被入侵，後續調查結果出現新的進展，Checkmarx證實，這起事故的導火線，就是<strong><a href="https://www.ithome.com.tw/news/174629">一個月前的Trivy供應鏈攻擊</a></strong>。</p> <p>4月26日Checkmarx<strong><a href="https://checkmarx.com/blog/checkmarx-security-update-april-26/">公布新的調查結果</a></strong>，他們在第三方鑑識公司的協助下進行調查，有網路犯罪團體將該公司的資料於暗網公開。根據相關證據，這些資料來自Checkmarx的GitHub儲存庫。該公司強調，他們未將客戶資料存放於GitHub，用戶資料不受影響，他們已將相關儲存庫的存取權限鎖定。</p> <p>隔天Checkmarx發布新的內容，<strong><a href="https://checkmarx.com/blog/supply-chain-security-incident-update/">表示這是源自Trivy供應鏈攻擊的事故</a></strong>，該公司研判，攻擊者藉此取得憑證，而能夠未經授權存取他們的GitHub儲存庫，並以此發布惡意程式碼。他們確認資料外洩發生在3月30日，4月25日駭客團體Lapsus$將資料公布於暗網。Checkmarx公布事件發生的過程，說明後續的因應措施。</p> </div></div></div>
4/28 09:30作者周峻佑https://www.ithome.com.tw/news/175338
蠕蟲程式GlassWorm透過73個VS Code延伸套件潛伏於Open VSX儲存庫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>出現於VS Code延伸套件市集、Open VSX套件儲存庫的蠕蟲程式GlassWorm，再度出現新的活動，駭客使用新的GitHub帳號上傳熱門套件的複製版本，這些套件最初並無惡意軟體，不過在一段時間後，駭客就會發布有問題的惡意版本，向使用者傳送GlassWorm，藉此躲過Open VSX或微軟的審查機制，並取信使用者。</p> <p>資安公司Socket指出，<strong><a href="https://socket.dev/blog/73-open-vsx-sleeper-extensions-glassworm">他們在3月於Open VSX發現73個惡意VS Code延伸套件</a></strong>，這些套件大部分看起來無害，但有6個已顯露真正的意圖，被用來傳送GlassWorm。該公司指出，這些惡意套件與<strong><a href="https://www.ithome.com.tw/news/174423">今年3月揭露（1月發現）的活動</a></strong>有關，並遵循近期GlassWorm的攻擊模式，那就是惡意套件本身最初發布時，都不會出現明顯的有效酬載，之後駭客再透過延伸套件的更新機制傳遞惡意軟體。</p> <p>Socket也指出發布惡意套件的GitHub帳號存在共通點，它們都是新帳號，通常只有1至2個公開的儲存庫，而且，通常有一個公開儲存庫以8個字元的字串命名，但沒有任何內容。</p> </div></div></div>
4/28 10:01作者周峻佑https://www.ithome.com.tw/news/175340
中國要求撤銷Meta與Manus的併購案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>根據<a href="https://www.ft.com/content/1e4c269a-5258-406c-a308-e55c3d5d640f?syn-25a6b1a6=1" target="_blank">金融時報</a>（Financial Times，FT）、<a href="https://www.cnbc.com/2026/04/27/meta-manus-china-blocks-acquisition-ai-startup.html" target="_blank">CNBC</a>及<a href="https://apnews.com/article/china-meta-manus-ai-acquisition-5f8012791f86f719a24a3ebac06d9b0a" target="_blank">美聯社</a>（AP）的報導，中國國家發展及改革委員會在本週一（4/25）出手阻止了Meta與AI代理人開發商Manus的併購案。</p> <p>Manus源自於肖弘在2022年所創辦的蝴蝶效應（Butterfly Effect Technology），蝴蝶效應原本創立於中國，之後將總部遷移到新加坡，所開發的首款產品為Monica AI瀏覽器聊天機器人擴充程式，<a href="https://www.ithome.com.tw/news/167762" target="_blank">Manus</a>為第二款產品，定位為通用型AI助理，可將使用者的想法轉化為行動。</p> <p>Meta是在2025年12月宣布買下Manus（蝴蝶效應），外傳金額為20億美元，但2026年1月就<a href="https://www.ithome.com.tw/news/173610" target="_blank">傳出</a>中國政府介入該交易，不過，Manus在2026年2月仍以Meta的名義<a href="https://manus.im/zh-tw/blog/manus-agents-telegram" target="_blank">推出</a>Manus Agents並與Telegram合作。</p> <p>根據報導，中國國家發展及改革委員會、商務部，以及中國的反壟斷監管機構都針對該交易進行審查，已於本周一要求相關方撤銷此一收購交易，而且禁止外國投資Manus是依法作出的決定。</p> <p>該委員會並未明確對外說明禁止原因，但FT引述消息來源報導，中國透過各種法令來審查該交易，從出口管制、外國投資法到競爭法令等，調查期間還限制Manus創辦人離境；現在則要求兩家公司撤銷交易，包括退還資金、重新登記公司的所有權，以及禁止Meta使用Manus演算法等。</p> <p>Meta則說，該交易完全符合規定，相信此事會被妥善解決。</p> </div></div></div>
4/28 11:10作者陳曉莉https://www.ithome.com.tw/news/175345