iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 21篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 06:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

企業檔案傳輸自動化工具MOVEit Automation存在重大漏洞，攻擊者可藉此繞過身分驗證流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Progress Software發布企業檔案傳輸自動化工具<a href="https://community.progress.com/s/article/MOVEit-Automation-Critical-Security-Alert-Bulletin-April-2026-CVE-2026-4670-CVE-2026-5174">MOVEit Automation安全公告</a>，修補兩項影響企業檔案傳輸自動化流程的漏洞，包括CVE-2026-4670與CVE-2026-5174，前者屬於嚴重等級的認證繞過漏洞，後者則是高風險等級的權限提升漏洞。若遭濫用，攻擊者可能取得未授權存取能力，進一步影響系統管理控制與資料安全。 </p> <p>MOVEit Automation的CVE-2026-4670可能遭利用來繞過身分驗證流程，根據<a href="https://nvd.nist.gov/vuln/detail/CVE-2026-4670">NVD資料</a>，Progress Software作為CNA給出的CVSS 3.1評分為9.8分，攻擊條件包含可透過網路發動、攻擊複雜度低，且不需要既有權限，也不需要使用者互動。 </p> <p>CVE-2026-5174則是輸入驗證不當造成的權限提升漏洞。<a href="https://nvd.nist.gov/vuln/detail/CVE-2026-5174">NVD資料顯示</a>，該漏洞同樣可透過網路利用，攻擊複雜度低也不需要使用者互動，但需要低權限身分作為前提。Progress Software給出的CVSS 3.1評分為7.7分，NIST NVD評分則為8.8分，兩者皆為高風險等級。 </p> <p>CVE-2026-4670影響MOVEit Automation 2025.0.0至2025.0.8、2024.0.0至2024.1.7，以及2024.0.0之前版本，CVE-2026-5174則另涵蓋2025.1分支，包含2025.1.0至2025.1.4、2025.0.0至2025.0.8、2024.0.0至2024.1.7，以及2024.0.0之前版本。 </p> <p>Progress Software已釋出對應修補版本，官方修補版本為MOVEit Automation 2025.1.5、2025.0.9與2024.1.8，官方提醒，修補必須透過完整安裝程式升級到已修補版本，升級期間系統會有停機時間。<a href="https://www.cyber.gc.ca/en/alerts-advisories/progress-security-advisory-av26-410">加拿大網路安全中心也發布通報</a>，建議使用者與管理員檢視Progress公告並套用必要更新。</p> </div></div></div>
5/5 16:01作者李建興https://www.ithome.com.tw/news/175552
從AI攻防到半導體資安標準制定，CYBERSEC 2026揭示臺灣邁向全球資安戰略核心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>當全球正加速邁入AI全面滲透的時代，數位世界的競爭與衝突，也同步升高到前所未有的層次。從生成式AI協助企業提升效率，到駭客利用AI自動化攻擊、癱瘓關鍵基礎設施，資安早已不只是資訊部門的工作，而是攸關國家治理、民主韌性、產業競爭力與國際信任的新戰場。</p> <p>在這樣的國際局勢下，亞洲最大規模的資安盛會「臺灣資安大會CYBERSEC 2026」，於5月5日～5月7日假臺北南港展覽館二館舉辦。來自全球數十個國家、超過二萬名資安專家、企業代表與政府官員齊聚臺灣，超過四百家國內外資安品牌同步參展，現場並規畫逾兩百場專業論壇與十五軌平行議程，全面呈現AI時代下的最新資安攻防趨勢。</p> <p>在開幕典禮上，最受矚目的焦點莫過於總統府副秘書長何志偉代表總統賴清德親臨致詞，這是八年以來，首度總統因為執行國是訪問任務而無法親自出席這場年度資安盛會，然而何志偉在演說中多次強調，總統對於臺灣資安產業發展的支持與信念始終如一，並將資安視為國家戰略的重中之重。</p> <p>美國在臺協會（AIT）代理處長梁凱雯代表AIT向大會主辦方及臺灣各界合作夥伴致謝，並對現場同時出現多位部長與政務次長表示印象深刻，認為這充分反映了臺灣政府以全政府（whole-of-government）之力推動資安的決心。</p> <p>臺灣資安大會主席、iThome電腦報總編輯吳其勳指出，今年「臺灣資安大會CYBERSEC 2026」的大會主題「韌性未來」（Resilient Future），就是呼應總統賴清德上任後提出的「全社會防衛韌性」概念，並直言：「韌性不只是少數人的事情，它不只是政府的責任，也不是只有企業才有責任。韌性是整個社會都要共同準備、共同承擔、共同守護的能力。而資安正是全社會韌性裡面非常非常關鍵的數位防線。」</p> <h2><strong>八年來，總統首度因公缺席，副秘書長何志偉代總統宣示「資安就是國安」</strong></h2> <p>何志偉一開場即說明，總統賴清德原訂親臨臺灣資安大會致詞，然而正逢出訪非洲友邦史瓦帝尼回程，雖已抵臺，仍因行程銜接無法趕至現場，因此特別指派他代表出席。他表示，這是八年來第一次總統因為國是訪問而不克親自出席，但強調賴清德總統支持臺灣資安產業發展的決心與信念始終如一，並承諾總統將掌握本屆大會的所有細節與重要成果。</p> <p>致詞中，何志偉以工程師的角度比喻政治人物的職責，他表示，在場的工程師、資訊界與資安界的朋友們，其實應該是最了解臺灣、也最了解賴總統的人，因為大家的工作本質都在於看到問題、進行除錯（debug），並在繁雜的系統中尋找重點並找出解方。</p> <p>針對當前嚴峻的國際情勢與科技挑戰，何志偉引述最新產業數據指出，今年臺灣的資安產值已達912億元，正穩健邁向千億規模。然而，臺灣作為全球資安的最前線，威脅的增長速度同樣驚人。他揭露，去年臺灣關鍵基礎設施——涵蓋能源、醫療、通信、交通、金融等各大領域——每天承受高達263萬次的入侵嘗試，是三年前的兩倍以上。</p> <p>更令人警覺的是，隨著生成式人工智慧技術的突飛猛進，駭客利用AI進行攻擊的效率已達到驚人地步。何志偉引述國際數據指出，生成式AI系統不需睡眠休息，使得系統性突破的速度在過去一年大幅成長65%，甚至在極端情況下，最快只需27秒內即可完成系統入侵。</p> <p>「這是我們面對的挑戰，但我們從來、從來不怕挑戰，」何志偉語氣堅定地說，「臺灣就是一座全世界在資安最前線的數位堡壘。」他在致詞中明確表示，資安就是國安，更是支撐產業競爭力與守護民主價值最核心的動能，防禦的腳步一秒都不能停歇。</p> <p>他甚至向國內各界喊話，指出政府總預算多卡關一天，臺灣的資安防線就會多出一天的風險，因此呼籲跨黨派應齊心協力，共同守護臺灣的數位主權。</p> <p>在政策宣示上，何志偉指出，賴清德總統提出的五大信賴產業與AI新十大建設，均將資安列為重中之重。政府不僅要提升全民資安意識，更要結合臺灣引以為傲的半導體優勢，與SEMI國際半導體產業協會及台積電攜手，共同推動「SEMI E187半導體設備資安標準」。他特別強調：「這是第一個由臺灣主導、推向全球的國際資安認證——臺灣不僅僅是技術的參與者，我們也正成為標準的制定者。」</p> <p>何志偉最後以「Made in Taiwan」進化為「Made with Taiwan」作為致詞結語，呼籲全球夥伴共同選擇臺灣、站在臺灣這一邊：「我們選擇的不只是先進的製程，更是一份無可取代的信賴。」此語道出臺灣在全球供應鏈重組浪潮中，試圖以資安可信度建立國際合作新典範的深層戰略意涵。</p> <h2><strong>臺美深化CMMC合作，資安治理正式進入國防供應鏈</strong></h2> <p>在高度互聯的世界中，資安早已不只是IT部門的問題，而是一項影響經濟、基礎建設與民主制度運作的戰略議題。梁凱雯表示，沒有任何國家或經濟體能單獨面對這些挑戰。因此，像「臺灣資安大會CYBERSEC」這樣能夠聚集公私部門領袖的平臺，對全球合作至關重要。</p> <p>她強調，在當今高度互聯的世界中，資安不再僅僅是一個資訊技術議題，而是一個影響社會各個層面的戰略要務，包括經濟發展、關鍵基礎設施乃至於民主制度的運作，都與數位韌性息息相關。</p> <p>她在致詞時代表美國政府表示，美國將持續扮演臺灣最可信賴的夥伴，透過世界領先的資安創新、專業知識與深度的合作，協助保護關鍵基礎設施、確保半導體供應鏈的安全，並強化雙方共同數位未來的韌性。</p> <p>梁凱雯在演說中特別點名AIT與臺灣政府的多項具體合作成果，例如，AIT正積極協助數位發展部推動資安韌性建設，其中包括推廣「網路安全成熟度模型認證（CMMC）」框架的認知，以強化臺灣國防相關生態系統的資安準備程度，並支持國防部的網路韌性目標。</p> <p>CMMC原本是美國國防部（DoD）針對國防供應鏈建立的資安成熟度驗證制度，如今AIT公開在臺灣推廣，也代表臺灣企業若想進一步進入國際國防供應鏈，未來勢必要符合更高層級的資安要求，這也意味著，資安能力已經從企業附加選項，逐漸變成國際供應鏈的「入場資格」。</p> <p>此外，梁凱雯也對臺灣近期修訂《個人資料保護法》、強化私部門資料保護責任與提高罰則的舉措表示肯定。她指出，這些政策改革向企業與市場傳達了一個清晰的訊號──資安與資料保護，不應被視為無法直接創造營收的成本中心，而是企業治理與國家韌性的核心要素。她強調，唯有當企業高層與監管機構真正願意投入資源，資安團隊才能獲得足夠支持，建立更完整的防護能力</p> <p>她最後重申，美國將持續扮演臺灣最可信賴的合作夥伴，繼續攜手，透過世界領先的資安創新技術、專業知識與深度合作，共同保護關鍵基礎設施與半導體供應鏈安全，共同推進一個更安全且具韌性的數位未來。</p> <h2><strong>資安已不再只是資安圈的事，是全社會的事</strong></h2> <p>作為大會主席，吳其勳則從社會韌性的角度，重新定義資安的意義。他表示，當今社會的運作每一天都建立在數位資訊系統之上，一旦系統遭受攻擊，受影響的將不再只是單純的硬體或數據，而是會直接衝擊人們的生活、企業的營運，甚至動搖社會整體的信任。</p> <p>他認為，所謂韌性，不只是政府責任，也不是少數企業的工作，而是整個社會共同準備、共同承擔與共同守護的能力。因此，「資安已經不再是資安圈自己的事，資安是全社會的事。」</p> <p>面對地緣政治的挑戰，吳其勳提醒，當臺灣越具關鍵地位、越被國際重視與信任，我們守護這份信任的責任就越重。他勉勵所有資安從業者，儘管威脅與攻擊手段會不斷改變，但守護信任的使命絕對不能改變，大家應共同結合國際力量，打造一個更值得信賴的數位未來。</p> <p>過往，企業往往將資安視為技術部門工作，但在AI、雲端與數位治理全面普及後，資安早已成為影響國家穩定與民主社會運作的重要基礎設施。吳其勳表示：「我們正在進入⼀個資安與AI高度耦合的時代。未來的關鍵不只是防禦能⼒，而是組織在遭受攻擊時，是否仍能持續運作並快速復原。這正是『Resilient Future』所強調的核心。」</p> <p>吳其勳表示，韌性不再只是資安策略的⼀環，而是企業營運設計的基礎。在AI驅動的威脅環境中，資安能力將直接影響企業競爭力與長期發展。</p> <h2><strong>AI攻防全面升級，CYBERSEC 2026以五大分軌重構資安新戰場</strong></h2> <p>隨著生成式AI、代理式AI（Agentic AI）與自動化攻防技術快速成熟，AI正以前所未有的速度重塑全球資安版圖。面對攻擊與防禦同步AI化的趨勢，2026年「臺灣資安大會CYBERSEC 2026」也首度將AI安全提升為整體議程核心，並以五大AI分軌架構，系統性描繪AI時代下的新型態資安風險與治理挑戰。</p> <p>本屆大會規畫的五大AI分軌，包括「AI Defense」、「AI Offense」、「Attacking AI」、「Securing AI」與「AI Governance」，不僅代表AI技術已全面滲透資安領域，也顯示未來資安競爭，將不再只是傳統網路攻防，而是涵蓋資料、模型、演算法、代理AI與治理制度的全方位戰場。</p> <p>其中，「AI Defense」聚焦如何讓AI成為新世代防禦中樞。從異常行為分析、威脅情資整合，到自動化資安營運（SOC）與即時決策，企業正逐步利用AI提升威脅偵測速度與反應能力，讓資安防禦從被動回應轉向主動預測。近年國際間也開始出現「Agentic SOC」概念，透過具自主行動能力的AI代理系統，自動執行威脅分析、調查與事件處理，對抗愈來愈高速的AI化攻擊。</p> <p>與此同時，「AI Offense」則從攻擊思維切入，探討AI如何被應用於滲透測試、紅隊演練、弱點探索與攻擊模擬。當AI能自動化搜尋漏洞與生成攻擊路徑，企業防禦思維也必須同步改變，不再只是等待攻擊發生後再修補，而是透過AI主動驗證系統脆弱點，在攻擊發生前完成風險排除。近年已有研究指出，AI代理系統已具備自動化弱點探索與攻擊能力，甚至可能改變現有攻防平衡。</p> <p>在AI技術快速導入企業與關鍵系統的同時，「Attacking AI」則揭露另一個更深層的問題：AI本身也可能成為攻擊目標。包括模型投毒（Model Poisoning）、提示注入（Prompt Injection）、資料污染、代理AI操控與生成式AI弱點利用等新型態攻擊，正在形成全新的威脅面。尤其在代理式AI（Agentic AI）快速發展下，AI不再只是單一模型，而是結合資料、API、工具鏈與自主決策能力的複合系統，其安全問題也變得更複雜。</p> <p>因此，「Securing AI」分軌則進一步回到企業實務層面，探討如何從資料安全、模型保護、訓練流程、部署驗證到運行監控，建立完整AI防護機制，推動「Trustworthy AI（可信任AI）」真正落地。相關議程也強調，AI安全已不只是單一產品問題，而是涉及整體AI供應鏈與基礎設施安全的新型態治理工程。</p> <p>當AI逐漸進入企業核心決策與關鍵基礎設施場域後，「AI Governance」的重要性也快速提升。從歐盟《AI Act》到各國監管框架陸續成形，企業未來除了追求AI創新，更必須兼顧合規、透明度與風險控管。大會相關議程將聚焦企業如何建立AI治理制度，在創新速度與監管要求之間取得平衡。</p> <p>除了AI議題成為主軸，今年大會也特別強化關鍵基礎設施與工控環境安全，推出「OT Solution Day」，聚焦工控系統（OT）與關鍵基礎設施的資安挑戰。隨著製造業、能源、交通與半導體產線加速數位化，IT與OT融合也同步擴大攻擊面，勒索軟體、供應鏈滲透與橫向移動風險持續升高。相關議程將深入探討零信任架構、供應鏈資安標準在OT場域的落地，以及跨系統防禦策略的實務經驗。</p> <h2><strong>從後量子密碼到6G衛星，臺灣資安館展現自主能量</strong></h2> <p>除了論壇內容外，今年「臺灣資安館」同樣成為現場焦點之一。展區將展示晶片安全、後量子密碼（PQC）、零信任架構、AI資安應用、智慧機器人安全等多項自主研發成果，展現臺灣在半導體與高科技供應鏈中的安全技術能量。</p> <p>其中，後量子密碼技術尤其受到高度關注。隨著量子運算技術逐步成熟，現行加密演算法未來可能遭到破解，各國也正加速布局下一世代加密標準。臺灣此時積極投入PQC領域，也意味政府與產業界已意識到，未來的資安競爭將進一步延伸至演算法與運算架構層級，而不再只是傳統網路防禦。</p> <p>此外，大會也設置「AIoT & Hardware Security Zone」，聚焦晶片安全、韌體防護、嵌入式系統、AI機器人與6G衛星通訊安全等議題，並推動「Secure by Design」理念，強調產品應在設計初期即納入資安思維。這也反映全球供應鏈正逐步從過去「事後補漏洞」模式，轉向「設計即安全（Security by Design）」的新世代安全架構。</p> <h2><strong>臺灣資安戰略轉型，從防禦走向全球治理角色</strong></h2> <p>「臺灣資安大會CYBERSEC 2026」所呈現的，早已不是單一資安產業的展覽，更像是臺灣數位資安戰略角色轉型的對外政策宣示。</p> <p>在AI加速改變全球秩序、地緣政治風險持續升高的背景下，臺灣不再只是半導體供應鏈中的製造基地，而是逐漸成為全球民主科技體系中的關鍵節點。</p> <p>而資安，正是這場轉型的核心。</p> <p>何志偉代表總統致詞時強調，臺灣要從「Made in Taiwan」走向「Made with Taiwan」，背後代表的不只是產業升級，而是一種國際信任結構的重建。</p> <p>當全球開始重新思考供應鏈安全、數位主權與AI治理時，臺灣正試圖用自身的技術實力與民主價值，強調資安的戰略地位，以及臺灣如何成為全球可信賴數位秩序中的重要支柱。</p> <p> </p> </div></div></div>
5/5 13:14作者黃彥棻https://www.ithome.com.tw/news/175554
微軟推出AI代理人管理平臺Agent 365、Windows 365 for Agents
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟去年11月公布的AI代理人管理平臺Agent 365，<a href="https://www.microsoft.com/en-us/security/blog/2026/05/01/microsoft-agent-365-now-generally-available-expands-capabilities-and-integrations/" target="_blank">本週宣布全面上線</a>，號稱能管理應用、OS及工作流程中的自建及第三方AI代理人，如OpenClaw或Claude Code。微軟並公布專門執行代理人的雲端OS，名為Windows 365 for Agents。</p> <p>Microsoft Agent 365定位為AI代理的控制平面（control plane），使用企業團隊現有的管理及安全工作流程，來觀測、治理、和確保代理人及代理人間的互動，無需企業重構既有IT架構。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0505-Microsoft%20Agent%20365-600-1.jpg" style="width: 600px;" /></p> <p>Agent 365管理對象涵括以微軟技術打造的代理人和合作夥伴的第三方AI代理人、影子AI代理人、雲端/SaaS代理人。首先，它能管理企業組織Microsoft Copilot Studio或Microsoft Foundry開發的代理人。至於第三方代理人，微軟本週公布可為Agent 365管理的合作夥伴AI代理人，包括由Genspark、Zensai、Egnyte、Zendesk的代理人以及由Kasisto、Kore及n8n平臺開發的代理人。</p> <p>Microsoft Agent 365也能管理難以發現的影子AI，像是自有憑證和權限運作的獨立代理人，結合Microsoft Defender和Microsoft Intune，Agent 365允許企業找到並管理本地Windows裝置和雲端上的任何自主代理人。目前它已能管理OpenClaw代理人，很快會擴充到GitHub Copilot CLI及Claude Code代理人。</p> <p>例如，已經加入Frontier方案的企業管理員可以在Agent 365上檢視公司網路中是否有用OpenClaw、在哪臺裝置上、並用Intune政策封鎖。經由Agent 365登錄（registry），安全管理員就能從Defender和Intune掌握本地代理人清單，採取必要措施。微軟預告，從6月起Defender還會提供每個代理人的週遭元素，例如執行的裝置、它們的MCP伺服器、代理人身份，以及它們能夠存取的雲端資源。</p> <p>微軟並於上週公布<a href="https://learn.microsoft.com/en-us/windows-365/agents/introduction-windows-365-for-agents" target="_blank">Windows 365 for Agents</a>，這是在Windows 365平臺上打造專門執行代理人的Cloud PC環境，後者本質上是代管在Microsoft Cloud上的虛擬Windows桌面環境。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0505-Enabling%20Windows%20365%20for%20Agents%20in%20Agent%20365-600(2).png" style="width: 600px;" /></p> <p>Windows 365 for Agents讓企業能調用Cloud PC、透過API協同代理人執行階段、並即時監控介入。Windows 365 for Agents也支援Copilot Studio、Microsoft 365 Copilot的任務自動化代理人（Project Opal）及上網自動化，及Agent 365的執行。<span style="font-size:14px;"><span style="color:#696969;">圖片來源/微軟</span></span></p> </div></div></div>
5/5 13:35作者林妍溱https://www.ithome.com.tw/news/175555
思科將買下聚焦於非人類身分安全的Astrix Security
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://blogs.cisco.com/news/cisco-announces-intent-to-acquire-astrix-security" target="_blank">思科（Cisco）週一（5/4）宣布</a>，有意收購專門開發非人類身分（Non-Human Identity，NHI）安全技術的資安新創Astrix Security，以將相關功能整合到思科的安全服務中，強化思科安全平臺對各種身分的掌握能力。雙方並未公布交易細節，但外傳該交易價值4億美元。</p> <p>Astrix Security是由Alon Jackson與Idan Gour在2021年於以色列所創辦，後來將總部設於美國。主要聚焦於NHI安全，保護API金鑰、服務帳號、OAuth權杖、服務主體、AI代理人等不是由真人直接操作、卻能存取企業系統的身分與憑證。</p> <p>Astrix Security的服務包括四大類：一是發現與治理，盤點企業內AI代理人的活動，檢查政策與設定問題；二是存取與生命週期管理，控管AI代理人及非人類身分從建立、授權到停用的流程；三是威脅偵測與回應，偵測憑證遭竊或代理人越權行動；四是機密管理，集中管理API金鑰、權杖等機密資料。</p> <p><a href="https://astrix.security/learn/blog/a-new-chapter-astrix-security-is-joining-cisco/" target="_blank">Jackson及Gour表示</a>，創立Astrix Security時，NHI安全尚未成為資安領域正式認可的類別；但隨著AI代理人興起，企業愈來愈依賴API金鑰、服務帳號與OAuth權杖等憑證，使這類非人類身分成為新的攻擊面。如今，Astrix已成為安全團隊用來發現、管理與保護代理人及非人類身分的平臺，涵蓋建立、停用、政策執行與即時威脅偵測等流程。</p> <p>根據雙方的規畫，思科將在多項安全產品中整合Astrix功能，包括身分安全服務Cisco Identity Intelligence、雲端安全存取服務Secure Access、身分驗證與存取控管產品Duo，以及思科於2024年買下的大數據資安公司Splunk，為每一個代理式身分、非人類身分與AI代理人提供端到端的發現、治理及威脅偵測。</p> </div></div></div>
5/5 13:50作者陳曉莉https://www.ithome.com.tw/news/175556
針對影響廣泛的Linux核心漏洞Copy Fail，微軟呼籲用戶應立即採取行動因應
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟針對近日受到高度關注的Linux核心漏洞Copy Fail（CVE-2026-31431）<strong><a href="https://www.ithome.com.tw/news/175551">提出警告</a></strong>，駭客很可能將其用於攻擊雲端環境，相當危險應立即處理。對此，該公司也提出了<strong><a href="https://www.microsoft.com/en-us/security/blog/2026/05/01/cve-2026-31431-copy-fail-vulnerability-enables-linux-root-privilege-escalation/#mitigation-and-protection-guidance">緩解措施</a></strong>，特別提及IT人員應在24小時內採取行動，盤點受影響的系統與版本，並套用緩解措施。這種呼籲要在1天內完成修補的情況，在微軟的相關調查報告裡，極為罕見，突顯微軟認定該漏洞帶來的威脅極為嚴重。</p> <p>Copy Fail為本機權限提升（LPE）漏洞，為邏輯錯誤造成的臭蟲，存在Linux系統核心的密碼學範本authencesn，由於不需觸發競態條件的時間空檔（race window）或系統核心層面的偏移（kernel-specific offset），也不需網路存取、系統核心除錯功能、預先安裝指令，就能利用，再加上影響所有採用4.14到7.0-rc版Linux核心的Linux發行版，因此影響範圍極為廣泛。</p> <p>對於如何減緩Copy Fail帶來的衝擊並進行防護，微軟呼籲IT人員應立即採取行動，找出內部網路環境所有受影響的系統與版本，若是Linux發行版的開發團隊已提供更新套件，就應該取得並套用；假如尚未有相關修補程式，IT人員要停用受影響功能、實施網路隔離，或是存取控制管控，並檢查事件記錄（Log）內容，是否出現有人利用漏洞的跡象。</p> <p>由於Copy Fail存在於大量Linux系統，微軟也強烈呼籲IT人員採取進一步的措施因應，在套用修補程式或更新元件之餘，也可封鎖AF_ALG的Socket連線建立來降低風險。其次，若是容器出現有問題的遠端程式碼執行（RCE）活動，IT人員就應該視為主機疑似遭到入侵，並強制快速回收節點。</p> </div></div></div>
5/5 14:04作者周峻佑https://www.ithome.com.tw/news/175557
微軟警告Copy Fail恐被用於攻擊雲端環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>上週被揭露的<strong><a href="https://www.ithome.com.tw/news/175481">Linux核心高風險漏洞Copy Fail（CVE-2026-31431）</a></strong>，由於廣泛影響近9年的Linux核心，且所有的Linux發行版都曝露相關風險，攻擊者可在未經授權的情況下將權限升級為root，因此受到資安界高度關注。<strong><a href="https://www.microsoft.com/en-us/security/blog/2026/05/01/cve-2026-31431-copy-fail-vulnerability-enables-linux-root-privilege-escalation/">微軟近日提出警告</a></strong>，大量雲端Linux工作負載及數百萬個Kubernetes叢集，也同樣受到Copy Fail影響。</p> <p>微軟指出，根據他們的觀察，目前的Copy Fail漏洞利用主要是進行概念驗證（PoC）測試，大多並非實際攻擊行動，但由於美國網路安全暨基礎設施安全局（CISA）<strong><a href="https://www.ithome.com.tw/news/175550">已列入已遭利用的漏洞名冊（KEV）</a></strong>，且漏洞的影響範圍極為廣泛，該公司研判，幾天後就會有駭客加入利用的行列。</p> <p>攻擊者利用Copy Fail存在前提，那就是事先取得非特權使用者的本機存取權限，從而利用此位於Linux核心加密子系統的弱點，對於任何能夠讀取的檔案，破壞其快取資料，其中包括setuid的二進位檔案。攻擊者可藉此導致程式碼執行的過程具備root權限，形同以未經授權的方式將自己升級為root。由於成功利用漏洞能完整將權限提升為root，對於機密性、完整性、可用性產生高度影響，在雲端環境裡，該漏洞有可能被用來突破容器、入侵多個租戶，並在共用環境裡橫向移動，再加上該漏洞只會竄改記憶體內容，且具備跨平臺的通用性，使得Copy Fail在雲端、CI/CD管線，以及Kubernetes環境格外危險。</p> <p>雖然利用漏洞的過程無須使用者互動，但微軟認為此漏洞不會被單獨利用，攻擊者可能會與初始存取管道串連，例如：SSH存取、惡意CI工作執行，或是將容器當作滲透的據點。只要能取得本機使用者身分利用漏洞，就能在含有Copy Fail的Linux核心與加密模組執行程式碼。值得留意的是，一旦攻擊者成功利用漏洞竄改可讀取的二進位檔案，該檔案就會取得root權限，從而破壞系統權限的邊界。</p> </div></div></div>
5/5 11:55作者周峻佑https://www.ithome.com.tw/news/175551
老牌搜尋引擎Ask.com關閉，前Google時代的網路公司退場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>老牌搜尋平臺Ask.com在成立30年後宣布關閉服務，象徵舊式搜尋服務業者已全數退場。</p> <p>Ask.com前身為Ask Jeeves，成立於1996年。它最特別之處讓使用者能以完整句子提問，而非Yahoo或Google使用的關鍵字搜尋。結合個性化聲音與品牌形象，使其成為早期網路使用者首選的網路搜尋與回答引擎。</p> <p>但是其技術不成熟，最終不敵Google。Ask.com在2005年被IAC收購，並改名為ask.com。<a href="https://www.ask.com/" target="_blank">IAC本週透過Ask.com宣布</a>，隨著IAC持續聚焦，決定終止搜尋業務，包括Ask.com。在回答世界問題25年後，Ask.com已在2026年5月1日正式關閉，並對Ask.com用戶的「無盡的好奇心、忠誠和信賴」表達感謝。</p> <p>在收購Ask.com之初，IAC原本還試圖以搜尋服務對抗Yahoo及Google。2010年IAC將Ask.com變成Q&A內容網站，營收模式變為靠SEO，由搜尋引擎（主要是Google）導入流量並獲取廣告收入。</p> <p>然而後來Google改變演算法，打擊內容農場，威脅其營收模式。近來Ask.com又遭遇更嚴峻挑戰；以自然語言問答為介面的AI聊天機器人取代了用戶搜尋習慣，加上Google導入AI概要（AI Overview），可以說真正改變了人類上網行為，而傳統廣告營收也再也支持不住IAC對Ask.com的信心。</p> <p>Ask.com的關閉不僅象徵前Google搜尋服務告終，也是第一代網路公司的結束。<a href="https://mashable.com/article/ask-jeeves-shut-down" target="_blank">Mashable說</a>Ask.com的消失更像是早期網路泡沫時代的真正終結。</p> <p>然而它開啟的以自然語言問答的互動模式，正是現今生成式AI聊天機器人的原型，一如IAC最後說的「Jeeves精神長存。」</p> </div></div></div>
5/5 11:21作者林妍溱https://www.ithome.com.tw/news/175547
美國警告Linux核心高風險漏洞Copy Fail已遭利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>4月30日資安公司Theori揭露<strong><a href="https://www.ithome.com.tw/news/175481">Linux核心資安漏洞Copy Fail</a></strong>，此漏洞影響廣泛，可追溯到2017年發布的Linux核心4.14版，並影響所有的Linux發行版，多個發行版的開發團隊已發布相關資安公告。此漏洞可被用於本機權限提升（LPE），登記為CVE-2026-31431列管，Theori透過僅有732個位元組的Python概念驗證程式，於Ubuntu、Amazon Linux、Red Hat Enterprise Linux（RHEL），以及SUSE成功取得root權限，呼籲大家重視此事並儘快採取行動因應。事隔一天，美國警告已被用於實際攻擊。</p> <p>5月1日美國網路安全暨基礎設施安全局（CISA）表示，<strong><a href="https://www.cisa.gov/news-events/alerts/2026/05/01/cisa-adds-one-known-exploited-vulnerability-catalog">他們掌握CVE-2026-31431已被積極利用的證據</a></strong>，將此漏洞列入已遭利用的漏洞名冊（KEV），要求聯邦機構<strong><a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search=CVE-2026-31431&field_date_added_wrapper=all&field_cve=&sort_by=field_date_added&items_per_page=20&url=">必須在5月15日前完成修補</a></strong>。但對於此漏洞是否被用於勒索軟體攻擊活動？CISA表示不清楚。</p> <p>值得留意的是，過往可被用於權限提升而受到高度關注的Linux核心漏洞也有不少，例如：Dirty Cow（CVE-2016-5195）、Dirty Pipe（CVE-2022-0847），<strong><a href="https://xint.io/blog/copy-fail-linux-distributions">不過Theori強調</a></strong>，Copy Fail是單純的邏輯缺陷，極為容易利用且幾乎沒有條件限制。因為，攻擊者不需像Dirty Cow贏得競爭條件，也不用像Dirty Pipe需要精確的管線緩衝區才能觸發。</p> <p>由於觸發Copy Fail使用的是標準功能程式庫模組，只需相同的指令碼就能在不同Linux發行版利用，而且僅有記憶體內部的快取資料會損壞，磁碟上的檔案不會被更動，其帶來的影響不只局限於本機權限提升，若是在Kubernetes環境，攻擊者還能用來逃脫容器。</p> </div></div></div>
5/5 11:39作者周峻佑https://www.ithome.com.tw/news/175550
Amazon推出物流服務ASCS，寶僑及3M成首批客戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.aboutamazon.com/news/retail/amazon-supply-chain-services-for-business" target="_blank">Amazon週一（5/4）正式發表物流服務</a>Amazon Supply Chain Services（ASCS），允許任何企業都能利用與Amazon及其賣家所使用的相同供應鏈，來處理從原料到成品的所有環節，包括商品的儲存與配送。寶僑（Procter & Gamble，P&G）、3M、Lands' End，以及American Eagle Outfitters皆為ASCS的首批客戶。</p> <p>身為全球最大的零售平臺，Amazon在30年前就體認到配送的重要性，並著手打造高效的供應鏈系統，涵蓋藉由空運、陸運和海運來運送貨物的運輸網絡，能夠每天處理數百萬單訂單的倉儲中心，以及可在每個工作日將包裹送達收件人的配送網路。</p> <p>Amazon說，如同Amazon Web Services（AWS）的誕生是將自家業務的基礎設施開放給市場，ASCS也是把自家物流服務開放給企業供應鏈，將Amazon在貨運、配送、倉儲及包裹寄送等全方位的服務，提供給各種類型及規模的企業，而不僅限於Amazon的賣家。</p> <p>該服務的第一段是貨運（Freight），可藉由Amazon所擁有的逾8萬輛拖車、2.4萬個聯運貨櫃，以及超過100架由合作承運商營運的飛機，負責在製造商、供應商與倉庫之間進行國內及跨國運輸。</p> <p>第二段是配送與履約（Distribution & Fulfillment），涵蓋海外庫存進口、大宗庫存補貨、庫存配置最佳化，以及透過同一批庫存支援不同銷售通路的訂單履約。第三段則是包裹配送（Parcel Shipping），提供一週7天的可靠配送、彈性取件，以及從建立標籤到送達客戶手中的GPS追蹤。</p> <p>在推出ASCS之前，Amazon即提供類似的Fulfillment by Amazon（FBA）服務予平臺上的賣家，迄今獨立賣家已寄送出逾800億個商品，透過單一網路，將商品從工廠直接送到消費者的手上，估計替採用這些端到端解決方案的賣家增加近20%的銷售額。</p> <p>在ASCS的客戶中，寶僑利用Amazon的物流將原料送到生產基地，再將成品運送到各地的銷售網路；3M則利用其物流把產品從生產基地運送到全球各地的配送中心；Lands' End使用的是Amazon的統一庫存系統，處理不同通路的訂單。</p> <p><a href="https://www.reuters.com/business/retail-consumer/amazon-opens-up-its-logistics-network-other-businesses-2026-05-04/" target="_blank">路透社（Reuters）</a>引用Evercore ISI分析師的看法指出，ASCS將直接衝擊市場上的UPS與FedEx等包裹配送業者，以及DHL Supply Chain、Maersk Logistics與GXO Logistics等合約物流業者。</p> </div></div></div>
5/5 11:45作者陳曉莉https://www.ithome.com.tw/news/175549
Anthropic與OpenAI分別成立企業AI服務合資公司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>AI新創<a href="https://www.anthropic.com/news/enterprise-ai-services-company" target="_blank">Anthropic週一（5/4）宣布</a>，將與Blackstone、Hellman&Friedman、Goldman Sachs，以及一個由多家另類資產管理公司組成的財團共同成立新的企業AI服務公司，同一天<a href="https://www.bloomberg.com/news/articles/2026-05-04/openai-finalizes-10-billion-joint-venture-with-pe-firms-to-deploy-ai?embedded-checkout=true" target="_blank">彭博社（Bloomberg）</a>則引述消息來源報導，OpenAI已與其它19家投資者合作，也成立了專門推動企業採用AI軟體的新公司The Deployment Company。</p> <p>Anthropic的新公司將與各產業的中型公司合作，以將Claude導入它們最重要的營運流程；Anthropic的應用AI工程師也會與新公司的工程團隊合作，判斷Claude最能發揮效益的應用場景，開發客製化解決方案，並為客戶提供長期支援。</p> <p>Anthropic解釋，許多公司都想從AI受益，但它們缺乏內部資源來建置及營運前沿AI部署，一個典型的合作案會從一支小團隊開始，該團隊會與客戶密切合作，了解Claude在哪些地方能產生最大影響。接著，這家公司的工程師將與Anthropic應用AI人員一起，開發由Claude驅動、並依照每個組織營運需求量身打造的系統。</p> <p>根據<a href="https://www.wsj.com/business/deals/anthropic-nears-1-5-billion-joint-venture-with-wall-street-firms-8f5448ee?mod=tech_feat1_ai_pos1" target="_blank">華爾街日報（The Wall Street Journal）</a>的報導，由Anthropic參與的新公司規模約15億美元，其中，Anthropic、Blackstone與Hellman & Friedman各承諾投入3億美元，Goldman Sachs則將投入1.5億美元，其它投資者還包括General Atlantic、Leonard Green、Apollo Global Management、GIC與Sequoia Capital。</p> <p>至於OpenAI雖尚未公開發表The Deployment Company，但消息已陸續曝光。<a href="https://www.ft.com/content/87727c4e-05c4-4d84-a9de-4190a9d681a6?syn-25a6b1a6=1" target="_blank">金融時報（Financial Times）</a>上個月報導，內部代號為DeployCo的新公司將協助投資者旗下的投資組合公司導入AI。</p> <p>換句話說，The Deployment Company初期的主要客戶為股東相關企業，這也無怪乎新公司的投資者高達19家，涵蓋TPG、Brookfield、SoftBank、Advent及Bain Capital等。彭博社報導，The Deployment Company已成功募集逾40億美元，且估值高達100億美元。</p> <p>專注AI產業動態的<a href="https://www.thedeepview.com/articles/how-deployment-became-ai-s-new-battleground" target="_blank">The Deep View</a>分析指出，Anthropic與OpenAI相繼找來華爾街大型金融機構合作，顯示AI競爭已從模型能力推進到企業部署能力。兩家公司都在上市預期升溫之際，加速爭取企業客戶與長期合約，這場企業AI軍備競賽尚未分出勝負，但對企業而言，兩大AI業者競爭將有助於取得更好的條件與更先進的AI解決方案。</p> </div></div></div>
5/5 10:51作者陳曉莉https://www.ithome.com.tw/news/175544
開源資安監控平臺Wazuh存在重大漏洞，可用於橫向移動、寫入任意檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>廣泛使用的開源資安監控平臺Wazuh存在CVSS風險值9.9的重大漏洞，可讓攻擊者在受害者網路上橫向移動、覆寫系統檔案，及執行任意程式碼。</p> <p><a href="https://github.com/wazuh/wazuh/security" target="_blank">Wazuh</a>是提供威脅防禦、偵測和回應的免費及開源平臺，可監控本地部署、虛擬化、容器化及雲端環境。它具有入侵偵測、Log資料分析、檔案系統監控、漏洞偵測、配置評估以及事件回應、及提供法規遵循等多種IT安全管理必要的功能。</p> <p>最新漏洞編號<a href="https://nvd.nist.gov/vuln/detail/CVE-2026-30893" target="_blank">CVE-2026-30893</a>為存在Wazuh叢集同步化擷取程序中的路徑遍歷（path traversal）漏洞，原因是未能正確限制擷取文件的目錄路徑。本漏洞可讓經過驗證的叢集用戶，突破原本預定的擷取目錄而在其他叢集節點寫入任意檔案。</p> <p>此外，攻擊者還能透過覆寫掉Wazuh元件載入的Python模組，改寫入惡意檔案。檔案一旦執行，即能在Wazuh的服務中執行任意程式碼。而在叢集精靈具有高權限的環境中，這可能導致系統層級的攻擊。</p> <p>雖然由GitHub擔任的CVE編號分配機構（CVE Numbering Authority，CNA）將CVE-2026-30893風險值列為CVSS 9.0，但美國國家標準研究院(NIST)在其NVD資料庫中將其評為9.9。</p> <p>CVE-2026-30893影響Wazuh 4.4.0到4.14.4以前的版本。Wazuh專案已釋出4.14.4版解決本漏洞。</p> </div></div></div>
5/5 10:59作者林妍溱https://www.ithome.com.tw/news/175546
【2026 企業資安大調查】一張圖看2026年百億營收企業資安風險
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://www.ithome.com.tw/sites/default/files/0601-zi_an_feng_xian_tu_-bai_yi_qi_ye_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"><p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在企業資安風險圖中，第一象限是必須立即處理的風險，營收百億的臺灣五百大企業，在第一象限的風險包括了5項人員類風險和6項系統類風險，但人員風險比系統風險的發生機率更高，衝擊也更大。可以說，營收百億企業未來一年主要的資安威脅來自人員的風險，也是優先防備的資安重點。</p> <p><a href="https://r.itho.me/26svciop6">立即下載完整報告【iThome 2026 CIO & CISO大調查】資安策略篇完整報告</a></p> <p>營收百億企業，員工規模也相對較大，過去的資安資源也大多集中在系統面的防禦，現代資安攻擊焦點轉向人員之後，營收百億企業所遭受的攻擊面反而更大，這也是為何網路釣魚也是百億企業首頁風險的原因，尤其身分將會成員新的安全邊界，今年只有47%營收百億企業採用零信任網路，還有一半企業，仍舊會面臨高人員風險的處境。</p> <p>這些人員風險除了網路釣魚/社交工程手段，還有商業郵件詐騙、機敏資料外洩、個人資料外洩、身分冒用等。</p> <p>系統風險最需警戒的是勒索軟體資安事故，威脅度僅次於網路釣魚/社交工程手段。另外隨著營收百億企業積極上雲，組態設定不當導致網路裸奔的風險也大增，今年同樣進入了高衝擊高機率的第一象限風險。</p> <p>營收百億企業得特別留意3項位於第一象限邊緣的風險，包括軟體供應鏈資安事故、以第三方為跳板的攻擊，以及LLM應用洩漏敏感資料。</p> <p>雖然這三項風險位於邊緣，看似還不用擔心，但卻是容易忽略而釀災的決策盲區，營收百億企業的資安資源相對充沛，可以擴大防備範圍，納入第一象限邊緣附近，隨時可能擴大災情風險的項目。</p> <p>GenAI是今年所有企業的發展焦點，營收百億企業也不例外，雖然AI類風險多位於中低風險的第三、第四象限，但是有些AI風險正在移動，LLM資料外洩和LLM幻覺導致人員誤判等風險，都接近第一象限邊緣，逐漸移動到高風險區的趨勢。營收百億企業積極擁抱GenAI應用之際，也得同時做好對應的AI風險對策才行。</p> <p class="rtecenter"><a href="/sites/default/files/files/0601-%E8%B3%87%E5%AE%89%E9%A2%A8%E9%9A%AA%E5%9C%96-%E7%99%BE%E5%84%84%E4%BC%81%E6%A5%AD-600-1.png" target="_blank"><img alt="" src="/sites/default/files/images/0601-%E8%B3%87%E5%AE%89%E9%A2%A8%E9%9A%AA%E5%9C%96-%E7%99%BE%E5%84%84%E4%BC%81%E6%A5%AD-600-1.png" style="width: 600px;" /></a></p> <p><strong><span style="font-size: 14px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 102, 0);"> 企業資安風險圖製作說明 </span></span> 在iThome 2026年CIO暨CISO大調查中，由企業CIO和CISO自評各威脅項目的兩項指標，一項是該項目對企業帶來的衝擊程度（衝擊極高和衝擊極低），另一項是這個項目未來1年的發生風險（極可能發生與極不可能發生），再換算成不同程度的量化數據來製圖。垂直軸是該威脅項目對企業的衝擊，位置越往上代表衝擊越大，水平軸是企業未來1 年發生該項目的風險，位置越右，代表發生可能性越大。威脅項目的位置圓點，區分成三類，紅點代表系統類風險，綠點代表人員風險，黑點則為AI風險。</span></strong></p> <p><span style="font-size: 14px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 102, 0);"> 問卷執行 </span></span> 自2026年1月1日至1月29日，對臺灣大型企業、iThome歷屆CIO大調查企業、政府機關及大學院校的資訊主管進行線上問卷調查，有效問卷數396份，其中57%填答者為企業資安最高主管。</strong></span></p> <p><span style="font-size: 14px;"><strong>資料來源：2026年iThome CIO & CISO大調查，2026年3月</strong></span></p> </div></div></div>
5/5 09:47作者王宏仁https://www.ithome.com.tw/article/175438
英國NCSC警告AI將加速技術債利用，籲組織預備弱點修補潮
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>英國國家網路安全中心（NCSC）<a href="https://www.ncsc.gov.uk/blogs/prepare-for-vulnerability-patch-wave">呼籲</a>各類組織提前準備弱點修補潮（Vulnerability Patch Wave）。NCSC表示，AI在具備足夠技術能力的人員手中，已展現出大規模且快速利用技術債的能力，預期軟體生態系將出現一波被迫修正技術債的壓力，影響範圍涵蓋開源軟體、商用軟體、專有軟體與SaaS服務。</p> <p>NCSC說明，各類組織都存在技術債，也就是組織為追求短期效益而累積的一批技術問題，後續處理成本高且耗時。AI可能加快新弱點被發現與利用的速度，迫使企業在短時間內對整個技術堆疊套用大量軟體更新，形成NCSC所稱的弱點修補潮。</p> <p>在因應順序上，NCSC建議組織先盤點並降低網際網路可接觸的外部攻擊面，包括邊界系統、雲端執行個體與地端環境。當企業無法一次更新所有系統，應先處理暴露在外部的系統，若處理外部攻擊面後仍有維運量能，則應優先處理關鍵資安系統。NCSC也提醒，修補並不一定能解決所有問題，部分老舊或已終止支援的技術可能無法取得更新，企業必須汰換相關系統，或重新納入支援範圍，尤其是這些系統同時暴露在外部攻擊面時。</p> <p>NCSC進一步建議企業調整弱點管理流程，準備更快速、頻繁且大規模地部署安全更新，並把供應鏈納入考量。要是系統支援不影響服務的自動化安全熱修補，應優先啟用，支援自動更新的系統，也應開啟，以降低維運團隊負擔。對於無法採取自動機制的環境，企業則需確保既有流程與風險承受度，足以支援更頻繁且更大規模的更新作業，並考量營運中斷與安全關鍵系統的取捨，必要時可採用SSVC等風險優先排序方法，決定更新部署順序。</p> <p>NCSC也指出，若關鍵弱點已遭主動濫用，特別是影響網際網路暴露系統時，企業應加快更新程序。NCSC建議組織建立「預設更新」政策，在可行情況下盡快且最好自動套用軟體更新，但也承認安全關鍵系統或營運技術環境可能需要例外處理。</p> </div></div></div>
5/5 08:45作者李建興https://www.ithome.com.tw/news/175537
美國戰爭部與8家科技巨頭聯手導入雲端及AI，加速軍事AI化轉型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國戰爭部近期和全球8家主要人工智慧與雲端科技企業簽署合作協議，包括SpaceX、OpenAI、Google、Nvidia、微軟、AWS與Oracle等，共同將先進AI能力部署至國防部的機密網路環境中，用於合法軍事任務與作戰支援。此舉被視為美國軍事體系邁向「AI優先戰力」的重要一步。</p> <p>根據規劃，相關AI能力將導入美國國防部的高安全等級網路環境，包括Impact Level 6（IL6）與Impact Level 7（IL7），用以提升資料整合分析、戰場情勢理解與決策支援能力。在複雜戰場環境中，AI將協助加速資訊處理與情資判讀，強化作戰人員的決策優勢與反應速度。</p> <p>美國國防部也透過內部AI平台GenAI.mil進行初步規模化應用，目前已有超過130萬名軍事人員、文職人員與承包商使用，累積數千萬次AI互動請求，並部署數十萬個AI代理系統，部分任務處理時間從數月縮短至數天，顯示AI已實際進入軍事作業流程。</p> <p>官方強調，此次合作著重於避免對單一AI供應商產生依賴，將建立可擴展且多元的AI架構，以確保長期彈性與安全性。透過整合美國科技產業完整AI生態系，將有助於提升軍事韌性與國家安全能力，並強化面對未來複雜威脅的應對能力。</p> </div></div></div>
5/4 18:21作者蘇文彬https://www.ithome.com.tw/news/175535
英國警方擴大行動臉部辨識應用，強化即時身分查驗能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>英國警方持續擴大臉部辨識的執法應用，近期導入行動式臉部辨識技術（Operator-Initiated Facial Recognition, OIFR），讓執法人員可透過手機或隨身裝置，即時比對現場影像與警方資料庫身分資訊。該應用使臉部辨識從過去的固定式監視系統，延伸到執法現場。</p> <p>根據英國警方規劃，相關系統已逐步與隨身攝影機及其他行動設備整合，可在街頭巡邏、大型活動維安或特定風險區域中即時使用，提高對可疑人士的辨識效率與反應速度。一部分的單位已開始測試將即時影像串接至後端資料庫，以縮短查驗流程。</p> <p>這類應用同時引發對隱私與監控範圍擴張的討論。外界關注在技術提升執法效率的同時，是否會造成過度監控或誤判風險。英國政府強調，相關技術仍在持續調整與規範中，並須符合既有資料保護與人權法規框架。</p> </div></div></div>
5/4 18:37作者蘇文彬https://www.ithome.com.tw/news/175542
安碁資訊115年第一季獲利較去年同期成長超過20％，揭露近期成長動能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在上個月底，資安服務廠商安碁資訊（ACSI）發布115年第一季合併財報，公開多項營收表現數據：以合併營收而言，達到624,807千元，年增21％；在營業毛利方面，達到234,199千元，年增9％；營業淨利的部分，則為81,695千元，年增22％；在稅後淨利方面，達到68,064千元，年增21%；至於每股盈餘，則是2.27元。他們強調，已連續七年第一季維持雙位數成長。</p> <p><a href="/sites/default/files/images/ACSI Portfolio.png"><img alt="" src="/sites/default/files/images/ACSI%20Portfolio.png" style="width: 600px;" /></a></p> <p>關於獲利成長幅度明顯優於營收的原因，該公司表示，受惠於資安法規趨嚴、企業上雲安全需求，以及駭客攻擊持續遽增，帶動資安防護服務強勁成長。而且，安碁資訊也揭露本季營收之所以能夠提升，首要因素是基於既有長約與持續性專案，主要成長動能則來自下列三個因素：北市府零信任架構建置專案、台電公司智慧電網IDS擴大部署，以及新簽署的台電SOC資安監控服務。</p> <p><img alt="" src="/sites/default/files/images/ACSI%20OT.png" style="width: 600px;" /></p> <p> </p> </div></div></div>
5/4 18:40作者李宗翰https://www.ithome.com.tw/news/175543
IBM發布企業級AI開發平臺Bob，將AI輔助擴及軟體開發生命周期
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>IBM正式發布企業級AI開發平臺<a href="https://www.ibm.com/new/announcements/shifting-from-ai-assisted-coding-to-ai-assisted-delivery-with-ibm-bob">IBM Bob</a>，這是一套面向企業開發團隊的代理式AI開發工具，專用於開發者工作流程，並提供Bob IDE與命令列工具Bob Shell。開發者可在Bob IDE中以自然語言操作，讓Bob理解專案內容、規畫變更、修改程式碼、執行命令，或透過MCP串接外部工具與企業內部系統，而Bob Shell則將Bob能力帶到終端機，支援命令列任務、腳本自動化與終端機工作流程。</p> <p>相較於只提供程式碼完成或片段生成的AI程式開發助理，Bob更接近可操作專案檔案、呼叫工具、切換工作模式，並執行多步驟任務的AI輔助軟體開發生命周期（SDLC）工作環境。Bob可在軟體開發生命周期中協助開發團隊處理規畫、開發、測試、部署與維運等工作，並滿足企業導入AI輔助開發後，對流程協調、治理控管、資安檢查與系統現代化的需求。</p> <p>Bob採用多模型調度方式，會依任務需求在不同模型之間分派工作。IBM表示，Bob可使用Anthropic Claude、Mistral開源模型與IBM Granite，也可搭配針對程式推理、資安檢查與下一步編輯預測微調的模型，並依準確性、效能與成本等條件選擇適合的模型。較簡單的完成任務可交給較輕量模型，較複雜任務則交由能力較高的模型處理。</p> <p>IBM強調，Bob將安全控制嵌入開發流程，包括提示正規化、敏感資料掃描、即時政策執行與AI紅隊測試。Bob也提供命令列工具Bob Shell，讓開發團隊在終端機與自動化流程中使用Bob能力，並建立可追蹤的代理執行紀錄，使AI生成或修改程式碼時，能留下從開始到結束的操作脈絡。開發者也可依工作型態設定核准方式，決定哪些動作需要人工確認，哪些動作可自動核准。</p> <p>Bob自2025年6月先在內部由100名開發者試用，<a href="https://newsroom.ibm.com/2026-04-28-introducing-ibm-bob-ai-development-partner-that-takes-enterprises-from-ai-assisted-coding-to-production-ready-software">IBM表示</a>，目前已有超過8萬名IBM員工採用。IBM列舉Bob應用適用情境包括稅務平臺現代化、Java升級、程式重構、測試產生、文件生成，以及大型既有系統分析等工作。既有WCA（Watsonx Code Assistant）客戶則會持續獲得支援，並可依需求逐步轉向Bob。</p> </div></div></div>
5/4 18:07作者李建興https://www.ithome.com.tw/news/175534
【資安日報】5月4日，Linux系統核心存在長達9年的高風險漏洞Copy Fail
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/175481"><strong style="font-size: 22px;">Linux系統核心存在高風險漏洞Copy Fail，本機使用者能藉此奪取root權限，廣泛影響多個主流Linux版本</strong></a></p> <p>資安廠商Theori公開揭露存在於Linux系統核心長達9年的高風險漏洞CVE-2026-31431，這個嚴重性評分為7.8分弱點，被命名為Copy Fail，該公司特別設立專屬網站說明問題的成因與影響範圍，同時提供概念驗證程式，促使大家盡快因應迫切的危機。根據資安廠商Sysdig的整理，以系統核心而言，受此漏洞影響的版本，包含：4.14 到7.0-rc版、6.18.22之前的6.18.x版、6.19.12之前的6.19.x版，換言之，已修補的版本為7.0版、6.19.12版、6.18.22版。</p> <p><a href="https://www.ithome.com.tw/news/175482"><strong style="font-size: 22px;">Ubuntu與Canonical網站疑似遭遇DDoS攻擊而停擺</strong></a></p> <p>在5月1日，維護Ubuntu Linux作業系統的廠商Canonical，旗下有多個網站面臨DDoS攻擊，發動這波行動的是親伊朗的駭客組織，自稱「伊拉克伊斯蘭網路抵抗組織—313團隊（The Islamic Cyber Resistance in Iraq – 313 Team）」，他們透過即時通訊軟體Telegram的頻道宣布，攻擊將持續4個小時。根據Canonical與Ubuntu服務狀態網站的公告，以及Canonical與Ubuntu的社群網站X（原 Twitter）最新貼文，他們表示，網站基礎架構正面臨持續且跨越多國的網路攻擊，Canonical正在處理這起事故。然而，他們至今尚未發布DDoS攻擊導致網站服務中斷的正式聲明。</p> <p><a href="https://www.ithome.com.tw/news/175473"><strong style="font-size: 22px;">cPanel近期揭露9.8分重大漏洞已存在濫用活動</strong></a></p> <p>網站主機管理軟體供應商cPanel揭露與修補重大漏洞CVE-2026-41940，這個嚴重程度高達9.8分的身分驗證繞過漏洞，影響管理主機上個別租用帳號的cPanel、管理整臺代管主機的WHM（WebHost Manager），以及建立在cPanel與WHM架構上的WordPress專用版主機管理平臺WP2（WordPress Squared）。4月30日美國網路安全和基礎設施安全局（CISA）宣布，將CVE-2026-41940加入已知遭利用漏洞清單（KEV）。</p> <p><a href="https://www.ithome.com.tw/news/175484"><strong style="font-size: 22px;">cPanel重大漏洞出現濫用的概念驗證框架，全球網際網路尚有兩萬多臺伺服器遭駭</strong></a></p> <p><a href="/sites/default/files/images/CVE-2026-41940-POC-63.png" target="_blank"><img alt="" src="/sites/default/files/images/CVE-2026-41940-POC-63.png" style="width: 300px; float: right;" /></a></p> <p>供應網站主機代管相關軟體的WebPros，擁有可簡化Linux系統管理的cPanel與WHM（WebHost Manager），在4月28日揭露與修補9.8分重大漏洞CVE-2026-41940，5月1日GitHub出現濫用CVE-2026-41940的概念驗證框架cPanelSniper，由資安研究員Yunus Emre Öztaş發布。根據Shadowserver基金會的儀表板顯示，4月30日遭駭的IP位址總數為44,089個，5月1日遭駭的IP位址總數降至20,771個。</p> <p><a href="https://www.ithome.com.tw/news/175485"><strong style="font-size: 22px;">cPanel重大漏洞釀災！勒索軟體Sorry已濫用此弱點對多個網站發動攻擊</strong></a></p> <p><a href="/sites/default/files/images/GoogleSearch-Sorry-cPanel-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/GoogleSearch-Sorry-cPanel-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安新聞媒體Bleeping Computer收到許多消息來源指出，有多個駭客組織已經濫用cPanel與WHM重大資安漏洞CVE-2026-41940，滲透多臺伺服器並部署以Go語言寫成的加密勒索軟體Sorry。這支惡意軟體是專門針對Linux系統設計的加密勒索軟體，所有遭到加密的檔案附檔名都會加上.sorry，遭殃的每個資料夾都會出現勒索說明檔README.md，指示受害者透過加密匿名即時通訊工具Tox聯繫攻擊者，協商贖金金額。</p> <p><a href="https://www.ithome.com.tw/news/175492"><strong style="font-size: 22px;">資安公司Trellix傳出原始碼遭未經授權存取</strong></a></p> <p>資安公司Trellix近日在網站發布公告，表示他們部分原始碼的儲存庫遭到未經授權存取，該公司察覺後隨即尋求資安鑑識專家協助，並通報執法部門。根據初步調查結果，目前發布流程尚未受到影響，原始碼亦無遭到利用的跡象。值得留意的是，這份公告內容並未透露進一步的細節，沒有說明資料外流的範圍，也沒有透露受影響的產品，以及攻擊者可能的身分。</p> <p><a href="https://www.ithome.com.tw/news/175479"><strong style="font-size: 22px;">英國生物樣本庫經由內部研究人員外洩，50萬筆記錄流入阿里巴巴兜售</strong></a></p> <p>全球最大生物樣本資料庫UK Biobank近日發生重大資安事件，參與研究的人員導致50萬筆所有參與者的生物資料外洩，並放上中國電商平臺阿里巴巴兜售。UK Biobank執行長Rory Collins上週向參與者公開說明，在英國和中國政府介入下，已要求阿里巴巴將這些資料集下架，這些資料未被出售。UK Biobank指出，該事件並非出於網站漏洞或被駭，而是來自具有合法存取權的研究人員。UK Biobank指出這是這些學術機構的明顯違約行為，這些研究機構及牽涉的研究人員已經被吊銷存取。</p> <p><a href="https://www.ithome.com.tw/news/175477"><strong style="font-size: 22px;">蘋果App Store驚見假錢包，FakeWallet攻擊竊取助記詞</strong></a></p> <p><a href="/sites/default/files/images/0501-FakeWallet1-600-1-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/0501-FakeWallet1-600-1-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安公司卡巴斯基近日揭露，攻擊行動FakeWallet已滲透蘋果App Store，出現至少26款偽裝成主流加密貨幣錢包的應用程式。這些App表面看似正常，但實際上會將使用者導向仿冒的下載網頁，誘導安裝被植入惡意程式的錢包，或透過釣魚介面騙取助記詞（Recovery Phrase）與私鑰，進而竊取加密資產。這波攻擊主要出現在中國區App Store，由於多數官方錢包無法在中國區App Store上架，使駭客得以利用此情境展開攻擊。</p> <p><a href="https://www.ithome.com.tw/news/175456"><strong style="font-size: 22px;">研究人員揭露AI程式碼開發工具Cursor設計缺陷，可能導致開發者API金鑰外洩</strong></a></p> <p><a href="/sites/default/files/images/LayerX-Thumbnail-copy-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/LayerX-Thumbnail-copy-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安研究機構LayerX近日發布報告，揭露廣獲使用的AI程式碼開發工具Cursor存在設計缺陷，攻擊者可透過擴充套件存取用戶的API金鑰與連線權杖（Session Token），他們已於2月通報此問題，但直到4月底仍未見修補，提醒用戶安裝第三方擴充套件時須提高警覺。LayerX將這項攻擊手法命名為「CursorJacking」，評估其CVSS嚴重性為8.2分。</p> <p><a href="https://www.ithome.com.tw/news/175467"><strong style="font-size: 22px;">數發部揭露AI風險分類框架草案最新進展，採分類而非分級管理設計，涵蓋三大類18小類AI風險</strong></a></p> <p>數發部政務次長侯宜秀在最近一場活動中首度揭露了政府AI風險分類框架的最新進展，強調臺灣《人工智慧基本法》和歐盟AI法案最重要的差異之一，在於臺灣對於AI風險的管理，採取分類概念，而不是分級的概念。臺灣的《人工智慧基本法》設計了一個三層式的AI風險治理框架，包括了三個層面，第一層定義了AI發展原則，包括7項全球普遍接受的AI發展原則，兼顧創新和人權保障的平衡。在七大原則之下的第二層是，數發部負責訂定的AI分類風險框架草案，最下方的第三層則是各部會的治理工作。</p> <p><a href="https://www.ithome.com.tw/news/175490"><strong style="font-size: 22px;">借鏡ATT&CK經驗，MITRE發表F3金融反詐欺框架</strong></a></p> <p>金融詐欺每年造成數十億美元損失，風險程度已不亞於傳統網路攻擊。長期推動MITRE ATT&CK並剖析攻擊鏈的美國非營利組織MITRE，旗下威脅情資驅動防禦中心（CTID）於2026年4月發布MITRE Fight Fraud Framework（F3），希望以共享的對手行為框架，協助金融機構更有效理解、偵測與預防詐欺活動。MITRE試圖打破隔閡，將詐欺分析師與資安防禦者拉到同一張作戰地圖。畢竟ATT&CK已是全球廣泛採用的對手戰術與技術知識庫，F3則建立在這套成熟基礎上，進一步延伸到金融詐欺場景。</p> <p><a href="https://www.ithome.com.tw/news/175489"><strong style="font-size: 22px;">Anthropic公布Claude Security供企業掃描漏洞</strong></a></p> <p>Anthropic發表Claude Security測試版，可供企業掃描易被AI濫用的軟體漏洞並且生成建議修補程式，或是由內建Claude模型的第三方安全工具修補。Claude Security原名為Claude Code Security，設計主旨是協助企業找出能被AI濫用的漏洞，Anthropic最早在二月提供少數企業試用，並於上週擴大推出並改名Claude Security，現在以公開Beta版提供Claude Enterprise用戶試用。Claude Security以Claude Opus 4.7為基礎，可透過claude.ai存取，檢視企業軟體程式碼的漏洞、建議修補程式，或是發現傳統方式找不到的複雜程式碼問題。</p> <p><a href="https://www.ithome.com.tw/news/175474"><strong style="font-size: 22px;">OpenAI推出進階帳號安全機制，為ChatGPT與Codex導入實體金鑰登入並支援用戶退出模型訓練</strong></a></p> <p>OpenAI於4月30日宣布為ChatGPT及Codex用戶提供支援實體金鑰，關閉以電子郵件和SMS回復帳號、自動將用戶退出模型訓練等確保帳號安全性。OpenAI也宣布，最新模型GPT 5.5-Cyber即將開放特定安全廠商存取。這一波安全新措施是OpenAI強化AI網路安全計畫的一環。新增的進階帳號安全（Advanced Account Security）核心在以新措施強化帳號登入防護、減少執行階段攔截、用戶退出模型訓練。首先，OpenAI和實體安全金鑰業者合作，支援以YubiKey等產品登入帳號。</p> <p><a href="https://www.ithome.com.tw/news/175487"><strong style="font-size: 22px;">螢幕連線也可能被駭？英國NCSC授權新型HDMI/DP硬體防護技術</strong></a></p> <p>螢幕與電腦之間的顯示連線，長期被視為「只是輸出畫面」的通道，但英國國家網路安全中心（NCSC）指出，這段連線同樣可能被攻擊者當成入侵管道，成為潛在攻擊面。為此，NCSC在4月22日宣布自家研發成果已商品化，推出全球首款獲得NCSC授權的硬體防護商業產品SilentGlass，標榜在HDMI與DisplayPort顯示連線上，主動阻擋非預期或惡意行為，將「筆電與螢幕之間的連線」重新納入企業能夠治理的安全邊界。</p> <p><a href="https://www.ithome.com.tw/review/175388"><strong style="font-size: 22px;">Fortinet資安平臺邁入8.0，擴增AI控管與量子安全防護特色</strong></a></p> <p><a href="https://www.ithome.com.tw/sites/default/files/images/FortiView%20AI-1.jpg" target="_blank"><img alt="" src="/sites/default/files/images/FortiView%20AI-1-63.jpg" style="width: 300px; float: right;" /></a></p> <p>在2026年上半舉行的全球與臺灣年度用戶大會期間，資安廠商Fortinet針對支撐其安全織網架構（Fortinet Security Fabric）的作業系統平臺FortiOS，宣布推出最新版本8.0，主打三大特色：AI驅動的安全防護、次世代的安全存取服務邊緣（SASE），以及量子安全防護功能，並於4月21日正式推出。相較於既有的FortiOS，8.0版最顯著的差異在於，針對生成式AI與自主AI代理的使用，提供更深層的安全控管，企業對於整體網路環境的AI使用行為，具有更強大的掌握、治理與防護能力。</p> <p><a href="https://www.ithome.com.tw/article/175434"><strong style="font-size: 22px;">【2026 企業資安大調查】一張圖看2026年一般製造業企業資安風險</strong></a></p> <p>在2026年iThome CIO&CISO大調查中，一般製造2026年的首要風險和次要風險，與高科技製造業相同，「網路釣魚/社交工程手段」是未來一年的首要資安威脅，次要風險包括「商業郵件詐騙」和「勒索軟體資安事故」，不過值得注意的是，一般製造業第一象限高衝擊高風險的項目，卻比高科技製造業還要更多，包括4項系統類風險和6項人員類風險和一項AI類的風險。</p> <p><a href="https://www.ithome.com.tw/article/175435"><strong style="font-size: 22px;">【2026 企業資安大調查】一張圖看2026年服務業企業資安風險</strong></a></p> <p>臺灣服務業2026年得特別防備的首要風險是「網路釣魚/社交工程手段」，次要風險則包括了「勒索軟體資安事故」和「資安漏洞濫用」，另外，服務業得留意多項人員面的風險，包括「商業郵件詐騙」、「瀏覽惡意網站」、「身分冒用」、「個人資料外洩」和「機敏資料外洩」，都進入了第一象限。由於服務業CIO今年特別重視員工賦能和IT維運效能的提升，但在加速衝刺之際，也得特別留意與人員相關的資安威脅。</p> <p><a href="https://www.ithome.com.tw/article/175436"><strong style="font-size: 22px;">【2026 企業資安大調查】一張圖看2026年醫療業企業資安風險</strong></a></p> <p>2025年臺灣醫界歷經了嚴重的勒索軟體攻擊事件之後，每一家醫院紛紛把勒索軟體攻擊視為頭號資安威脅。但在2026年的醫療業資安風險圖中，網路釣魚/社交工程手段的發生可能性，比勒索軟體資安事件更高，成了醫療業的兩大首要風險，也是醫院今年特別要防備的頭號威脅。值得留意的是，醫院的挑戰不只這兩項，在高衝擊高風險的第一象限中，包括了7項系統類資安威脅和6項人員類資安威脅，都是得投入一定資源防備的項目。</p> <p><a href="https://www.ithome.com.tw/article/175437"><strong style="font-size: 22px;">【2026 企業資安大調查】一張圖看2026年政府學校資安風險</strong></a></p> <p>「網路釣魚/社交工程手段」和「資安漏洞濫用」是臺灣政府機構和學校未來一年必須優先防備的兩大首要威脅，其次則是對政府網站的「DDoS攻擊」。值得注意的是「軟體供應鏈資安事故」的威脅，在政府學校特別嚴峻，已經進入了高衝擊發生風險高的第一象限。雖然，政府學校積極擁抱生成式AI，但是AI類資安風險，仍被許多政府學校CIO列為未來一年比較不可能遭遇的風險，甚至是衝擊低的風險。這也是跟其他產業不太一樣之處。</p> <p><a href="https://www.ithome.com.tw/news/123912"><strong style="font-size: 22px;">臺灣資安市場地圖2026年4月更新版出爐</strong></a></p> <p>臺灣資安市場地圖上周發布4月更新版，本次新增6個品牌，包含中華數位代理的Action1、Hudson Rock，紘瑒科技（Cloudforce）自有品牌與代理的CloudCoffer、Semgrep，以及義大利嵌入式資安軟體廠商Exein。</p> <p>在廠牌商標更新的部分，這次更換的廠牌，以臺灣廠商而言，有峻盟科技（Billows）、區塊科技（BlockChain Security，BCS）、基點資訊（Cellopoint）、池安量子資安（Chelpis Quantum）、誠雲（CT-Cloud）、恆智資安（DoQubiz）、中華龍網（DragonSoft）、杜浦數位安全（TeamT5）；至於國際廠商，有Anomali、BitSight、Black kite、Checkmarx、Check Point、Cloudflare、CyberArk、Cynomi、<br /> Delinea、TrendAI。</p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/175458"><strong>【4月30日】NPM供應鏈攻擊Mini Shai-Hulud鎖定多款SAP套件</strong></a></p> <p><a href="https://www.ithome.com.tw/news/175415"><strong>【4月29日】LiteLLM重大漏洞公布一天半出現攻擊活動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/175370"><strong>【4月28日】資安院宣布第二屆漏洞獵捕活動，為公務機關最常使用的軟體抓漏</strong></a></p> </div></div></div>
5/4 14:16作者周峻佑https://www.ithome.com.tw/news/175531
Palo Alto Networks收購Portkey，強化AI代理人安全布局
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國資安業者<a href="https://www.paloaltonetworks.com/company/press/2026/palo-alto-networks-to-acquire-portkey-to-secure-the-rise-of-ai-agents" target="_blank">Palo Alto Networks上週四（4/30）宣布</a>，計畫買下專門開發AI閘道，以集中管理AI模型及AI代理人的Portkey，預計於今年7月底前完成收購。雙方並未公布交易細節，但外傳該交易價值1.2至1.4億美元。</p> <p>Portkey是由兩名具印度背景的Rohit Agarwal與Ayush Garg在2023年共同創辦，主要開發AI閘道（AI Gateway）平臺，協助企業在應用程式與大型語言模型之間建立中控層，統一管理模型連接、流量路由、安全政策、成本控管與稽核紀錄，並在AI應用正式上線後，持續監控與保護AI代理人的運作。雖然Portkey的總部設在美國，但工程團隊主要分布於印度。</p> <p>Portkey甫於2026年2月完成1,500萬美元的A輪融資，當時估值約為6,000~7,000萬美元。</p> <p>至於Palo Alto Networks則是2005年創立的美國資安公司，早期從防火牆起步，之後逐步擴張至雲端安全、安全存取服務邊緣、資安營運及身分安全等領域，屬於全球一線資安業者，已服務逾7萬家客戶，包括95%的Fortune 100企業。</p> <p>Palo Alto Networks表示，隨著企業採用AI的方式，從輔助人類工作的AI助理及AI應用程式，進一步擴展到能自主執行任務的AI代理人，AI安全缺口也明顯擴大。這些AI代理人就像擁有高度權限的內部人員，能在企業內外部系統中執行大量自動化決策，為協助組織因應這項挑戰，Portkey將成為Prisma AIRS的AI閘道，扮演可監控、路由並保護企業內每一筆AI交易的中樞系統。</p> <p>Prisma AIRS（Prisma AI Runtime Security）為Palo Alto Networks用來保護企業AI系統的安全平臺，重點在於管理AI應用、模型與代理人正式上線後的風險。此次收購Portkey，是要把Portkey的AI閘道能力整合進Prisma AIRS，補強企業對AI代理人流量與行為的集中治理能力。</p> <p>交易完成後，Portkey將負責檢查AI流量，並在執行階段強制執行安全與治理政策，以識別威脅並保護資料。它也會透過AI身分安全，對每一次代理人互動施加最小權限控制，確保AI工作負載維持安全且符合法規要求。</p> </div></div></div>
5/4 15:27作者陳曉莉https://www.ithome.com.tw/news/175532
GovTech月報第52期：國科會擬於南部規畫建置全光網路串聯南、北AI算力資源；美戰爭部與8科技巨頭聯手，加速軍事A…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><span style="color: rgb(0, 0, 255);">重點新聞(3/31~5/1)</span></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">全光網路</span></font></strong></p> <p><span style="font-size:22px;"><strong>國科會推動主權AI發展，規畫在南部建置全光網路串聯AI算力資源</strong></span></p> <p>在政府推動AI島政策下，國科會主委吳誠文近期表示，將以臺南沙崙為核心，在南部規畫建置全光網路，串聯南科等產業據點，並整合國網中心雲端算力資源，打造智慧城市與AI應用的示範場域。</p> <p>國科會進一步說明，南部全光網路將與國家實驗研究院國家高速網路與計算中心的算力基礎設施整合，並與中華電信既有全光網路及AI資料中心互通，逐步串聯臺南、臺中、新竹等節點，形成跨區域的高速運算與傳輸平臺。同時，透過與日本AI資料中心互連，建立跨境算力協作環境，讓分散在不同地區的運算資源能即時整合，降低地理距離對AI應用的影響。</p> <p><img alt="" src="/sites/default/files/images/%E6%88%AA%E5%9C%96%202026-04-28%20%E4%B8%8B%E5%8D%884_18_43(1).jpeg" style="width: 600px; height: 403px;" /></p> <p>技術上，全光網路以光訊號取代傳統電訊號傳輸，減少多次光電轉換所帶來的延遲與能耗，特別適合AI運算與資料中心互連。實際展示中，透過全光網路串聯臺灣南北與日本算力資源，即使跨越數百至數千公里，AI推論延遲仍維持在相近水準；在備援情境下，也可在數秒內完成大規模資料傳輸，顯著優於傳統網路。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">軍事</span></font></strong></p> <p><span style="font-size:22px;"><strong>美國戰爭部與8家科技巨頭聯手導入機密網路運算，加速軍事AI化轉型 </strong></span></p> <p>美國戰爭部近期和全球8家主要人工智慧與雲端科技企業簽署合作協議，包括SpaceX、OpenAI、Google、Nvidia、微軟、AWS與Oracle等，共同將先進AI能力部署至國防部的機密網路環境中，用於合法軍事任務與作戰支援。此舉被視為美國軍事體系邁向「AI優先戰力」的重要一步。</p> <p>根據規劃，相關AI能力將導入美國國防部的高安全等級網路環境，包括Impact Level 6（IL6）與Impact Level 7（IL7），用以提升資料整合分析、戰場情勢理解與決策支援能力。在複雜戰場環境中，AI將協助加速資訊處理與情資判讀，強化作戰人員的決策優勢與反應速度。</p> <p>美國國防部也透過內部AI平台GenAI.mil進行初步規模化應用，目前已有超過130萬名軍事人員、文職人員與承包商使用，累積數千萬次AI互動請求，並部署數十萬個AI代理系統，部分任務處理時間從數月縮短至數天，顯示AI已實際進入軍事作業流程。</p> <p>官方強調，此次合作著重於避免對單一AI供應商產生依賴，將建立可擴展且多元的AI架構，以確保長期彈性與安全性。透過整合美國科技產業完整AI生態系，將有助於提升軍事韌性與國家安全能力，並強化面對未來複雜威脅的應對能力。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">代幣化金融</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">金融科技</span></font></strong></p> <p><span style="font-size:22px;"><strong>英國推動代幣化金融與數位支付，促傳統金融市場加速數位轉型 </strong></span></p> <p>英國政府近期公布新一輪的金融科技政策方向，聚焦支付系統現代化與代幣化金融（tokenised finance）發展，目標是讓傳統金融市場逐步導入數位資產與區塊鏈基礎架構。這項政策由財政部主導，並和金融監管機構協作推動，強調提升市場效率與金融基礎設施競爭力。</p> <p>這項政策內容涵蓋未來支付技術升級、資產數位化與結算系統創新，特別強調代幣化資產在債券、基金與金融產品中的應用潛力。透過將資產轉換為數位代幣形式，金融交易可望縮短結算時間、降低成本，並提升跨市場流動性與透明度。</p> <p>英國政府表示，相關措施將建立在既有金融監管框架之上，確保在創新與風險控管之間取得平衡。外界普遍認為，此舉代表英國正積極搶占全球「數位資產金融中心」地位，並與歐盟及美國在金融數位化競爭上持續加速布局。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位身分</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">個資</span></font></strong></p> <p><span style="font-size:22px;"><strong>歐盟將提供可避免曝露個資的年齡驗證工具，提升未成年保護機制</strong></span></p> <p>歐盟近期宣布已完成開發年齡驗證應用程式，未來用戶可在不揭露個人身分的情況下證明年齡，避免未成年人接觸不適宜內容或服務。歐盟執委會主席Ursula von der Leyen表示，該App將配合Digital Services Act（數位服務法）推動，要求線上平臺限制未成年接觸色情、賭博及酒精等內容，相關應用程式技術已就緒，近期將上架供下載使用。</p> <p>依規劃，用戶可透過應用程式商店下載該App，並以護照或身分證完成驗證。歐盟指出，其運作方式類似疫情期間的數位疫苗憑證，允許用戶在不暴露實際身分的情況下，向網站或服務證明已達特定年齡門檻，兼顧隱私與合規需求。</p> <p>該應用程式是基於European Digital Identity Wallet架構開發，支援各會員國依需求客製化導入，並採開放標準與開源技術設計，促進跨國系統互通。歐盟也同步提供技術文件與整合指引，協助服務提供者快速導入相容機制。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">科技防災</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p><span style="font-size:22px;"><strong>水利署將結合AI辨識與感測器偵測淹水災情強化應變能力</strong></span></p> <p><img alt="" src="/sites/default/files/images/AItech.jpg" style="width: 600px; height: 329px;" /></p> <p>在抗旱工作的同時，臺灣也面臨颱風季帶來的淹水風險。為強化防災科技量能，行政院已核定經濟部水利署「水災智慧防災計畫（第二期）」，預計5年投入30.9億元，透過大規模感測與影像串聯，提升對極端氣候引發水災的即時應變能力，降低對民眾生命財產與整體經濟的衝擊。</p> <p>水利署規畫在全臺建置2,068處淹水感測器，並串聯近萬支CCTV監視設備，結合AI進行24小時水情監測。水利署署長林元鵬指出，未來約6成易淹水地點可透過感測器自動偵測，相較過去仰賴民眾通報與人工勘查，大幅提升預警效率。此外，也將與氣象單位合作建置降雨雷達系統，強化降雨監測與預測能力，讓各地水情掌握更即時。</p> <p>在應用面上，系統將優先導入地下道、涵洞等高風險場域，一旦偵測到積淹水，便可即時啟動管制措施，避免人車誤入釀災。同時，透過AI影像辨識分析監視畫面，減少人力巡查負擔；並與地圖服務整合，提供即時淹水資訊與替代路徑建議，讓用路人可提前避開積水路段，進一步提升整體防災韌性。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">臉部辨識</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">執法</span></font></strong></p> <p><span style="font-size:22px;"><strong>英國警方擴大行動臉部辨識應用，強化即時身分查驗能力</strong></span></p> <p>英國警方持續擴大臉部辨識的執法應用，近期導入行動式臉部辨識技術（Operator-Initiated Facial Recognition, OIFR），讓執法人員可透過手機或隨身裝置，即時比對現場影像與警方資料庫身分資訊。該應用使臉部辨識從過去的固定式監視系統，延伸到執法現場。</p> <p>根據英國警方規劃，相關系統已逐步與隨身攝影機及其他行動設備整合，可在街頭巡邏、大型活動維安或特定風險區域中即時使用，提高對可疑人士的辨識效率與反應速度。一部分的單位已開始測試將即時影像串接至後端資料庫，以縮短查驗流程。</p> <p>這類應用同時引發對隱私與監控範圍擴張的討論。外界關注在技術提升執法效率的同時，是否會造成過度監控或誤判風險。英國政府強調，相關技術仍在持續調整與規範中，並須符合既有資料保護與人權法規框架。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">情報</span></font></strong></p> <p><span style="font-size:22px;"><strong>美國CIA導入AI完成首份自主情報報告，以全面整合分析系統強化情報能力 </strong></span></p> <p>美國CIA副局長Michael Ellis近期於公開演講中指出，CIA已成功運用人工智慧完成該機構史上首份「自主生成情報報告」。相關消息由Politico與Cointelegraph報導指出，該成果被視為美國情報體系邁向AI化的重要里程碑。</p> <p>CIA為美國對外情報核心機構，負責蒐集與分析全球政治、軍事與經濟情資，提供白宮與國安決策參考，並在海外執行秘密行動任務。Ellis指出，CIA已將AI應用於約300個內部專案，包括大型資料處理、文件翻譯、情報報告生成，以及協助辨識潛在間諜行為，逐步擴展AI在情報流程中的角色。</p> <p>Ellis表示，CIA未來數年將把AI全面整合至所有分析平台，協助分析人員草擬情報判斷、驗證結論與發掘資料趨勢，但強調最終關鍵決策仍由人類主導。他同時指出，此一技術推進的核心動機在於維持對中國的技術優勢，因為雙方在AI與資料分析能力上的差距正快速縮小，促使美方加速情報體系現代化轉型。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">情報</span></font></strong></p> <p><span style="font-size:22px;"><strong>英國國防部導入AI無人機偵測爆裂物，加速戰場除雷與減少人員風險</strong></span></p> <p><img alt="" src="/sites/default/files/images/ai_drones_gov.jpg" style="width: 600px; height: 400px;" /></p> <p>英國國防部公布推動的Defence Science and Technology Laboratory（Dstl）計畫旗下一項AI無人機測試計畫成果，成功驗證可利用人工智慧協助偵測地雷與爆裂物。該計畫由英國陸軍協力下進行，目標是透過自動化偵測能力，加速爆裂物清除任務並降低人員進入危險區域的風險。</p> <p>該測試是在英國陸軍第33工兵團（爆裂物處理與搜索部隊）基地進行，經歷數週的測試，在不同地形環境中布置多種模擬地雷與未爆彈，由小型無人機搭載感測器蒐集資料後，即時回傳至作戰人員，再由AI模型進行辨識與分析，以標記潛在危險物位置，提升現場判讀與處理效率。</p> <p>這項實驗驗證了AI模型可快速重新訓練，以因應不同類型爆裂物與環境變化，提升戰場適應性。英國國防部指出，相關技術將進一步與自主系統、感測器與人機協作整合，未來將透過後續測試推動可部署版本，加速導入實戰應用，並支援軍方提升作戰效率與人員安全。</p> <p> </p> <p>圖片來源／國科會、水利署、英國</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多GovTech動態 </span></strong></span></p> <p><strong>1.報告：美國多數州政府導入AI，輔助決策、政策資料分析</strong></p> <p><strong>2.政府主權AI發展，16家金融聯構聯手打造懂在地金融法規、產業知識的金融LLM</strong></p> <p>資料來源：iThome整理，2026年4月</p> </div></div></div>
5/4 14:33作者蘇文彬https://www.ithome.com.tw/news/175500
五眼聯盟發布AI代理人指引，要求防範權限擴張與自主行動風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>由美國、英國、加拿大、澳洲及紐西蘭等5個英語系國家組成的情報共享聯盟，<a href="https://www.cyber.gc.ca/en/news-events/joint-guidance-careful-adoption-agentic-artificial-intelligence-services" target="_blank">上週五（5/1）共同發布</a>了「謹慎採用代理式AI服務」（<a href="https://www.cyber.gov.au/business-government/secure-design/artificial-intelligence/careful-adoption-of-agentic-ai-services" target="_blank">Careful Adoption of Agentic Artificial Intelligence Services</a>）指引，提醒各組織在導入代理式AI系統時，應先評估其自主行動能力帶來的資安風險，並建立相應的安全控管。</p> <p>代理式AI系統是由一個或多個代理人組成，通常依賴大型語言模型來理解環境、進行推理、做出決策並採取行動。和傳統生成式AI不同，代理式AI不只是產生文字、圖片或影音，而是能串接工具、外部資料、記憶與工作流程，自主完成目標，甚至建立子代理人執行任務。</p> <p>此一指引是針對政府、關鍵基礎設施及大型組織所發布，提醒它們在導入代理式AI之前，必須先評估其資安風險。主要原因之一為代理式AI繼承了大型語言模型原有的風險，例如提示注入、越獄與幻覺；同時，因為它會連接工具、資料來源、記憶庫與其他系統，每增加一個元件，就擴大攻擊面。若代理人可執行指令、寄送郵件或存取內部系統，攻擊者便可能利用這些權限發動更複雜的攻擊。</p> <p>指引將代理式AI風險分為權限風險、行為風險、結構風險與問責風險。其中，權限風險包括過度授權、權限蔓延、身分冒充，以及代理人被劫持；行為風險包括目標錯置、欺瞞行為、不可預期能力與惡意操縱；結構風險來自多代理人、工具與第三方元件的交互依賴；問責風險則是代理人決策過程不透明，事故發生後難以追查責任。</p> <p>因此，組織在設計階段就應限制代理人可存取的脈絡及資料來源，預先設定行動邊界；亦應建立明確的指令層級，並在執行高風險動作前加入人工監督；每個代理人都應具備獨立身分，以利追蹤、限制或停用；不論是代理人之間，或是代理人與服務之間的API呼叫，都應經過強身分驗證，並採最小權限原則，以避免權限擴張。</p> <p>在開發階段則應進行對抗測試、紅隊演練、沙盒測試、輸入驗證與第三方元件管理。於部署階段應先進行威脅建模，並分階段導入，從低風險任務開始，逐步提高自主程度，同時設下防護欄與隔離機制。在營運階段也必須持續監控代理人的行為、工具呼叫、權限變更、輸出結果與異常模式。</p> <p>指引最後指出，代理式AI雖具備強大的自動化效益，但因其可跨工具、資料與環境自主行動，帶來的風險已超越傳統軟體或生成式AI。因此，組織不應只追求效率，而應優先考量韌性、可回復性及風險限制。</p> </div></div></div>
5/4 13:37作者陳曉莉https://www.ithome.com.tw/news/175530
思科開源AI模型溯源工具，提供辨識模型血緣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>防範第三方AI模型帶來的供應鏈安全問題，<a href="https://blogs.cisco.com/ai/model-provenance-kit" target="_blank">思科近日開源模型溯源工具組</a>（Model Provenance Kit），供企業辨識模型來源，以避免模型身份不明，引發版權或其他安全及合規疑慮。</p> <p>AI應用當道，許多企業使用從Hugging Face上下載的第三方AI模型，經微調後用於開發AI應用。這些模型往往缺乏變更紀錄，無從追蹤模型開發過程做了哪些修改。使用這些模型可能的風險包括模型有漏洞或遭下毒、或是因模型系譜關係不明造成資安回應盲點、欠缺模型來源可能引發版權問題。而且缺少訓練資料、模型訓練方法及風險評估文件的模型，也無法滿足歐盟AI法規（AI Act）的法規。</p> <p>思科說明現有模型紀錄法的不足。Meta、阿里巴巴、DeepSeek和Mistral等主要業者使用相同建構元素如分組查詢注意力（grouped-query attention）、旋轉位置嵌入（rotary positional embeddings）、和均方根標準化（Root Mean Square Normalization，RMSNorm）等，雖然有配置檔可描述這些架構，但無法說明模型是否為獨立訓練或是從其他模型複製來的。思科開源其自有使用的AI模型溯源工具組<a href="https://github.com/cisco-ai-defense/model-provenance-kit" target="_blank">Model Provenance Kit</a>，旨在解決上述疑慮。</p> <p>其Model Provenance Kit為一個Python工具包和指令行介面（CLI），能以分層策略分析架構metadata、標記器（tokenizer）結構及其權重，判斷兩個模型是否有相同的來源，第一步先快速檢查結構，若光是metadata無法判斷，再深入到權重層分析。</p> <p>在第一階段中，這工具會比較模型的配置（config）文件及結構metadata。若架構規格完全不同可以判定為不相關，若架構相同則進入第二階段深度分析。在權重分析中，它會從模型權重擷取出5種訊號或指紋，並將其加權整合成一個最終系譜（lineage）分數。這個工具會使用兩種比對模式，在比較模式（compare mode）中需輸入二個模型，可判斷其中一模型是否由抄襲、微調另一模型而生。在掃描模式（scan mode），則輸入一個模型，由系統比對資料庫的模型指紋判斷可能的來源模型。</p> <p>思科運用111組模型對（model pairs）做了一個系統性的基準測試，驗證Model Provenance Kit準確判斷兩個模型血緣關係的能力。跑分結果證明Model Provenance Kit能準確追出模型來源，又不會把「長得像」的模型誤認為同一血統，具備實務上可用的模型鑑識能力。</p> <p>配合這個溯源工具，思科也發布第一版<a href="https://huggingface.co/datasets/cisco-ai/model-provenance-kit" target="_blank">指紋資料庫</a>，涵括20多家發布業者、超過45個家族的近150個基礎模型，模型規模由1.35億到超過700億個參數，提供比對基準。</p> </div></div></div>
5/4 12:23作者林妍溱https://www.ithome.com.tw/news/175502
中國駭客Shadow-Earth-053傳利用React2Shell滲透Linux主機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>趨勢科技<strong><a href="https://www.ithome.com.tw/news/175493">揭露中國駭客組織Shadow-Earth-053</a></strong>，並指出這些駭客主要透過ProxyLogon等已知漏洞，將Exchange郵件伺服器或IIS網頁伺服器作為初期的入侵管道，偵察AD環境，最終Windows電腦植入惡意程式ShadowPad，攻擊包含臺灣在內的亞洲國家，且有北約國家遭鎖定的情況。不過值得留意的是，這些駭客也傳出攻擊Linux伺服器的情況。</p> <p>趨勢科技<strong><a href="https://www.trendmicro.com/en_us/research/26/d/inside-shadow-earth-053.html">在追蹤Shadow-Earth-053的活動發現</a></strong>，去年12月中旬，有人從194[.]38[.]11[.]3接收Linux版的ShadowPad，方法是監聽1790埠，該公司取得ELF樣本檔案分析，確認是被稱做Noodle RAT的變種後門程式。而駭客滲透Linux主機的方法，就是利用React伺服器元件（RSC）重大資安漏洞React2Shell（<strong><a href="https://www.ithome.com.tw/news/172628">CVE-2025-55182</a></strong>）。</p> <p>根據駭客使用的C2網域名稱domain check[.]office365-update[.]com，其名稱的結構特徵與Shadow-Earth-053所有的網域相似，因此趨勢科技推測，背後的攻擊者應該就是Shadow-Earth-053。</p> </div></div></div>
5/4 12:27作者周峻佑https://www.ithome.com.tw/news/175506
紅帽釋出Tank OS，打造代理式作業系統原型強化OpenClaw企業部署安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>紅帽（Red Hat）首席軟體工程師、<wbr></wbr>同時也是OpenClaw開源專案維護者的<a data-saferedirecturl="https://www.google.com/url?q=https://www.redhat.com/en/blog/building-hardened-image-based-foundation-ai-agents&source=gmail&ust=1777944734832000&usg=AOvVaw3VLqGUUvYSAAVtsz4s2fCS" href="https://www.redhat.com/en/blog/building-hardened-image-based-foundation-ai-agents" target="_blank">Sally O'Malley發布開源專案Tank OS</a>，透過容器化與無root權限（rootless）架構，<wbr></wbr>強化OpenClaw在企業環境中的部署安全。</p> <p>O'Malley將<a data-saferedirecturl="https://www.google.com/url?q=https://github.com/LobsterTrap/tank-os&source=gmail&ust=1777944734832000&usg=AOvVaw02KsJ_IpJyGKqz8aNOzrGE" href="https://github.com/LobsterTrap/tank-os" target="_blank">Tank OS</a>定位為「代理型作業系統（agentic OS）」的概念原型，<wbr></wbr>嘗試在作業系統層建立專為AI代理設計的執行環境，<wbr></wbr>作為代理執行環境的示範實作。</p> <p>OpenClaw是一套可在本地電腦執行AI代理的開源執行環境<wbr></wbr>，已被用於各類自動化任務。不過，<a data-saferedirecturl="https://www.google.com/url?q=https://techcrunch.com/2026/04/28/red-hats-openclaw-maintainer-just-made-enterprise-claw-deployments-a-lot-safer/&source=gmail&ust=1777944734832000&usg=AOvVaw2ilerrd7btq1IA1dkOm-1c" href="https://techcrunch.com/2026/04/28/red-hats-openclaw-maintainer-just-made-enterprise-claw-deployments-a-lot-safer/" target="_blank">O'Malley指出</a>，<wbr></wbr>OpenClaw雖然功能強大，但若未妥善設定，<wbr></wbr>可能導致資料誤刪或敏感資訊外洩。</p> <p>Tank OS的核心設計，是將OpenClaw執行環境封裝於容器中，<wbr></wbr>並採用紅帽開發的Podman技術，<wbr></wbr>以無root權限方式執行代理，使容器無法取得主機系統權限。</p> <p>在架構上，O'Malley表示，Tank OS建立於Fedora Linux與fedora-bootc技術之上，<wbr></wbr>後者可將整個作業系統封裝為容器映像並進行部署，<wbr></wbr>系統啟動後即直接以該映像作為完整執行環境。<wbr></wbr>系統亦支援在同一臺設備上運行多個代理實例，<wbr></wbr>各實例彼此隔離且不共享憑證或系統資源。</p> <p>Tank OS另一項設計，在於採用不可變（immutable）<wbr></wbr>作業系統架構。O'Malley指出，該系統將Linux核心、<wbr></wbr>執行環境與系統服務預先定義於映像中，<wbr></wbr>使大部分檔案系統維持唯讀，僅允許必要範圍內的變更，<wbr></wbr>以避免設定漂移。</p> <p>更新機制則採映像版本管理方式，當新版本發布後，<wbr></wbr>各節點會下載更新並重新開機套用，並支援交易式更新與回復，<wbr></wbr>使系統維持一致狀態。</p> <p>針對AI代理需使用API金鑰與存取權杖的特性，O'<wbr></wbr>Malley表示，Tank OS不會將憑證內嵌於系統映像，<wbr></wbr>而是在系統啟動後透過Podman secrets機制設定，並以專用工具管理存取。<wbr></wbr>此設計使敏感資訊不會以明文形式出現在環境變數或處理程序清單中<wbr></wbr>。</p> <p>隨著AI代理逐步導入企業IT環境，<wbr></wbr>如何在提升自動化能力的同時兼顧安全與可控性，<wbr></wbr>成為業界關注焦點。<wbr></wbr>OpenClaw生態系也出現多種強化安全的實作方式，<wbr></wbr>例如採Docker容器化的<a data-saferedirecturl="https://www.google.com/url?q=https://techcrunch.com/2026/03/13/the-wild-six-weeks-for-nanoclaws-creator-that-led-to-a-deal-with-docker/&source=gmail&ust=1777944734832000&usg=AOvVaw2e5ppjL7jOBZO0zSIOXKyX" href="https://techcrunch.com/2026/03/13/the-wild-six-weeks-for-nanoclaws-creator-that-led-to-a-deal-with-docker/" target="_blank">NanoClaw</a>，<wbr></wbr>強調精簡設計與高安全隔離環境；以及Nvidia推出的<a data-saferedirecturl="https://www.google.com/url?q=https://www.ithome.com.tw/news/174439&source=gmail&ust=1777944734832000&usg=AOvVaw1EQnkeFsKeeXpo_pEXMTHO" href="https://www.ithome.com.tw/news/174439" target="_blank">Nemo<wbr></wbr>Claw</a>，透過核心層沙箱機制隔離代理執行環境。</p> </div></div></div>
5/4 12:52作者王珮瑤https://www.ithome.com.tw/news/175509
Snowflake發布Datometry資料平臺遷移工具，免重寫SQL加速Teradata遷移
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>雲端資料平臺業者<a data-saferedirecturl="https://www.google.com/url?q=https://www.snowflake.com/en/blog/datometry-for-snowflake-teradata-migration/&source=gmail&ust=1777949707200000&usg=AOvVaw3SlbgyQrsVjPmFZ-R62ACY" href="https://www.snowflake.com/en/blog/datometry-for-snowflake-teradata-migration/" target="_blank">Snowflake宣布推出Datometry for Snowflake公開預覽版</a>，這是一項資料平臺遷移工具，<wbr></wbr>號稱能在不需重寫既有SQL程式碼且不中斷服務的情況下，<wbr></wbr>協助企業將Teradata工作負載遷移至Snowflake AI Data Cloud。</p> <p>這項技術來自<a data-saferedirecturl="https://www.google.com/url?q=https://www.snowflake.com/en/blog/accelerate-data-migration-datometry-technology/&source=gmail&ust=1777949707200000&usg=AOvVaw1W_V131gcz5v0uiqg7UuI0" href="https://www.snowflake.com/en/blog/accelerate-data-migration-datometry-technology/" target="_blank">Snowflake於去年下旬收購的資料庫虛擬化技<wbr></wbr>術業者Datometry</a>。<wbr></wbr>該公司開發的技術可讓既有應用程式在不同資料平臺之間運作，<wbr></wbr>而不需修改原有SQL程式碼，藉此降低遷移過程的風險與複雜度。</p> <p>Snowflake指出，長期使用Teradata的企業，<wbr></wbr>在續約與系統重構之間往往面臨取捨。若採用傳統的遷移方式可能耗時數年，<wbr></wbr>且涉及既有SQL程式碼、相依系統與客製化工具，導致處理過程複雜，也提高在不中斷服務情況下完成遷移的難度。</p> <p>針對上述情境，Datometry for Snowflake透過在Snowflake環境中模擬Tera<wbr></wbr>data的SQL執行行為，<wbr></wbr>使既有應用程式可在不需修改程式碼的情況下持續運作。<wbr></wbr>Snowflake表示，此機制支援原樣搬移（lift-<wbr></wbr>and-shift）模式，<wbr></wbr>讓企業在不中斷應用程式服務的前提下，<wbr></wbr>直接將既有工作負載搬移至雲端平臺。</p> <p>在導入流程上，Datometry提供三個階段，<wbr></wbr>包括將應用程式重新指向Snowflake（repoint）、<wbr></wbr>在不中斷業務的情況下進行測試（test），<wbr></wbr>以及完成正式環境遷移（transition）。官方指出，<wbr></wbr>此類遷移流程可在數週內完成，相較傳統需耗費數年的轉換專案，<wbr></wbr>可大幅縮短導入時程。</p> <p>Snowflake也表示，企業可先完成平臺遷移，<wbr></wbr>再依自身時程逐步推動現代化轉型。<wbr></wbr>透過搭配SnowConvert AI工具，<wbr></wbr>使用者後續可逐步將既有SQL轉換為Snowflake原生語法<wbr></wbr>，而不需在初期一次完成全面程式碼重寫。</p> </div></div></div>
5/4 12:55作者王珮瑤https://www.ithome.com.tw/news/175521
Anthropic傳計畫採購英國AI新創公司Fractile的晶片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.theinformation.com/articles/anthropic-talks-buy-ai-chips-u-k-startup" target="_blank">The Information</a>報導，Anthropic計畫向英國AI晶片新創公司Fractile採購晶片，以降低AI推論應用的高昂成本。</p> <p>Fractile由英國牛津大學博士Walter Goodwin於2022年創立，專注開發推論用的整合型晶片，其團隊成員據稱曾任職於Graphcore、Nvidia及Imagination Technologies等業者。<a href="https://www.tomshardware.com/tech-industry/artificial-intelligence/anthropic-in-early-talks-to-buy-inference-chips-from-uk-startup-fractile" target="_blank">Tom's Hardware報導</a>Fractile 2024年7月完成了1,500萬美元的種子輪融資，並正計畫再募資2億美元，使其市值突破10億美元。</p> <p>和Nvidia的GPU架構的運算與記憶體元件分開不同，Fractile使用RISC-V晶片及SRAM（靜態隨機存取記憶體），並將運算及記憶體放在同一顆die（裸晶）上，好處是可消除資料在分開的晶片和記憶體上資料搬移造成的延遲性和耗能，前者尤其是現行GPU/DRAM設計執行AI推論的主要痛點。<a href="https://fortune.com/2024/07/26/fractile-ai-chip-startup-nvidia-15-million-funding-seed-round/" target="_blank">該公司聲稱</a>，其新設計執行LLM推論可望比Nvidia快100倍，而僅需1/10成本。這家業者<a href="https://tech.eu/2025/05/06/we-are-sprinting-towards-implementation-of-our-first-chip-says-uk-startup-in-ai-inference-race/" target="_blank">曾表示</a>，計畫2027年將晶片推向市場。</p> <p>和OpenAI或xAI等自建資料中心不同，Anthropic都是使用第三方運算平臺，包括Nvidia GPU、Amazon Trainium以及Google TPU。採購Fractile的晶片反映Anthropic在業務衝刺下對運算需求高漲。截至2025年底Anthropic年營收由前一年激增40億美元來到300億美元。報導分析，Anthropic可能希望藉此分散採購來源，以降低對單一產品的依賴。</p> <p>因應AI推論的技術需求，其他新創晶片業者如Groq及Cerebras，也都發展SRAM或近記憶體架構的晶片技術。</p> </div></div></div>
5/4 13:16作者林妍溱https://www.ithome.com.tw/news/175527
中國駭客鎖定亞洲政府機關與北約國家，利用Exchange與IIS主機弱點進行滲透
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟Exchange伺服器於2021年被揭露的資安漏洞ProxyLogon（CVE-2021-26855、CVE-2021-26857、CVE-2021-26858及CVE-2021-27065）曾引發全球高度關注，駭客利用的情況最早<strong><a href="https://www.ithome.com.tw/news/151549">可追溯到2020年底</a></strong>，當時駭客組織ToddyCat用於攻擊歐洲與亞洲知名企業組織、政府機關、軍事機關與承包商，不過事隔數年，這些漏洞再傳遭到利用的跡象。</p> <p>趨勢科技近日揭露新的<strong><a href="https://www.trendmicro.com/en_us/research/26/d/inside-shadow-earth-053.html">中國駭客組織Shadow-Earth-053</a></strong>，利用可透過網際網路存取的Exchange伺服器，或是IIS網頁伺服器的已知漏洞，企圖植入稱做Godzilla的Webshell，以建立長期存取的管道，然後使用DLL側載手法，載入具有合法簽章的惡意程式ShadowPad。值得留意的是，駭客入侵受害組織最常使用的資安漏洞是ProxyLogon，這代表已公布並修補多年的資安漏洞，由於許多企業組織並未套用微軟提供的更新程式，仍是有效的駭客初始入侵管道。</p> <p>對於這些駭客的活動，最早可追溯至2024年12月，最近一年至少對包含臺灣在內的8個國家政府機關與關鍵基礎設施發動攻擊，目標大部分集中在亞洲，不過這些駭客攻擊範圍也涵蓋北約會員國的歐洲政府。根據駭客的目標特徵，趨勢科技研判Shadow-Earth-053的目的，不僅從事網路間諜活動，也有可能意圖竊取智慧財產。</p> <p>值得留意的是，趨勢科技特別提及Shadow-Earth-053與其他中國駭客之間的關聯，因為Shadow-Earth-053與另一組駭客Shadow-Earth-054使用的惡意軟體及戰術、手法和流程（TTP）存在明顯的交集，此外，這兩組人馬也與被稱為CL-STA-0049、Ref7707的中國駭客，以及Earth Alux駭客團體有關。趨勢科技指出，這幾個駭客團體常在相同受害組織的網路環境中活動，不過，Shadow-Earth-054發動的相關攻擊，通常在Shadow-Earth-053部署ShadowPad的數個月前發生。</p> </div></div></div>
5/4 11:30作者周峻佑https://www.ithome.com.tw/news/175493
Meta買下專門開發機器人AI模型的Assured Robot Intelligence
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>機器人AI模型新創Assured Robot Intelligence（ARI）共同創辦人<a href="https://x.com/LerrelPinto/status/2050297929294885270" target="_blank">Lerrel Pinto</a>及<a href="https://x.com/xiaolonw/status/2050298370842132680" target="_blank">Xiaolong Wang</a>上週證實，已將ARI出售給Meta，加入Meta的超級智慧實驗室（Meta Superintelligence Labs，MSL）。此一併購應已完成，但雙方並未透露交易金額。</p> <p>Pinto為機器人專家，曾共同創辦人形機器人公司Fauna Robotics，Fauna Robotics已於2026年3月賣給了Amazon；Wang則曾為Nvidia的研究員，負責打造基礎模型，兩人在2025年共同創辦ARI，專門開發應用於人形機器人的AI模型，以讓機器人得以理解、預測及適應複雜環境的人類行為。</p> <p>Pinto表示，過去一年來該公司的目標是替人形機器人打造符合產業標準的AI系統，其技術堆疊是建立在人類的經驗之上，並將這些經驗濃縮為可操作的Token，以快速導入至真實世界的硬體上。ARI下週就會加入MSL，繼續推動最先進的機器人模型，讓個人超級智慧得以延伸到實體世界，讓AI從「能思考及對話」轉為可於現實世界中可靠協助人類的行動型AI。</p> <p>至於Wang則說，ARI的使命是實現實體通用AI，相信這個代理人將會是人形，其規模化將來自直接向人類經驗學習，而不僅是依賴遠端遙控，Meta的生態體系整合了實現此一願景所需的關鍵要素。</p> <p>不過，Assured Robot Intelligence<a href="https://www.arirobots.com/" target="_blank">的官網上</a>只有商業與招聘聯繫方式，並未揭露ARI的技術、規畫或產品，網際網路檔案館（Internet Archive）在這一年來的幾次存檔也都只出現同樣的簡單內容。</p> <p>Meta的AI長、負責領導MSL的汪滔（Alexandr Wang）則<a href="https://x.com/alexandr_wang/status/2050305805455700378" target="_blank">透過X</a>歡迎ARI團隊加入Meta。</p> </div></div></div>
5/4 11:54作者陳曉莉https://www.ithome.com.tw/news/175496
螢幕連線也可能被駭？英國NCSC授權新型HDMI/DP硬體防護技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>螢幕與電腦之間的顯示連線，長期被視為「只是輸出畫面」的通道，但英國國家網路安全中心（NCSC）指出，這段連線同樣可能被攻擊者當成入侵管道，成為潛在攻擊面。為此，<a href="https://www.ncsc.gov.uk/news/world-first-ncsc-engineered-device-secures-vulnerable-display-links">NCSC在4月22日宣布自家研發成果已商品化</a>，推出全球首款獲得NCSC授權的硬體防護商業產品SilentGlass，標榜在HDMI與DisplayPort顯示連線上，主動阻擋非預期或惡意行為，將「筆電與螢幕之間的連線」重新納入企業能夠治理的安全邊界。</p> <p>具體而言，SilentGlass是一款即插即用的裝置，其設計目標是在筆電與螢幕的顯示連線之間，對異常連線採取阻擋策略。目的在於針對實體連線、供應鏈或第三方維運的情境下，降低顯示介面被當成突破口的可能性。</p> <p>根據NCSC的說明，此類裝置早已研發完成，並已於英國政府部署與驗證一段時間，用於最高威脅等級的環境。如今全新焦點在於邁向商業化推廣，在NCSC完成相關智慧財產的開發後，經競爭程序授權英國新創Goldilock Labs量產與銷售，並與Sony UK Technology Centre合作製造，在4月英國CYBERUK會議舉行期間，產品已向全球市場發表並上市。</p> <p>NCSC技術長Ollie Whitehouse形容，這項創新讓企業能以更可負擔的成本，保障過去難以全面防護的環節；Goldilock Labs共同創辦人Stephen Kines則強調，硬體介面應被視為可被強制執行的控制點，而非預設為可信、完全交給上層軟體承擔風險。</p> <p> </p> </div></div></div>
5/4 09:29作者羅正漢https://www.ithome.com.tw/news/175487
資安公司Trellix傳出原始碼遭未經授權存取
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>為了拆解資安防護系統的運作機制並進行突破，駭客攻擊資安公司的任何事故往往受到很大的重視，因為有可能影響許多用戶的資安防護，像是先前發生FireEye與Barracuda遭駭，後續衍生很多爭議，最近有資安公司透露他們發生資料外洩的情況，引起外界的注意。</p> <p>資安公司Trellix近日<strong><a href="https://www.trellix.com/statement/">在網站發布公告</a></strong>，表示他們部分原始碼的儲存庫遭到未經授權存取，該公司察覺後隨即尋求資安鑑識專家協助，並通報執法部門。根據初步調查結果，目前發布流程尚未受到影響，原始碼亦無遭到利用的跡象。</p> <p>值得留意的是，這份公告內容並未透露進一步的細節，沒有說明資料外流的範圍，也沒有透露受影響的產品，以及攻擊者可能的身分。</p> </div></div></div>
5/4 10:26作者周峻佑https://www.ithome.com.tw/news/175492
Anthropic公布Claude Security供企業掃描漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://claude.com/blog/claude-security-public-beta" target="_blank">Anthropic宣布Claude Security</a>，可供企業掃描易被AI濫用的軟體漏洞並且生成建議修補程式，或是由內建Claude模型的第三方安全工具修補。</p> <p>AI模型現在不但被用於尋找軟體程式碼的漏洞，也被有心人士用來自主濫用這些漏洞，協助企業找出能被AI濫用的漏洞是Claude Security的設計主旨。Claude Security<a href="https://www.ithome.com.tw/news/173997" target="_blank">原名為</a>Claude Code Security，首在二月提供少數企業試用，並於上週擴大推出並改名Claude Security，現在以公開Beta版提供Claude Enterprise用戶試用。</p> <p>Claude Security和不久前Anthropic發表的Claude Mythos不同。Claude Mythos僅提供給Project Glasswing的少數合作夥伴，理由是它尋找軟體漏洞的能力過於強大，擔心落入有心人士之手有不良後果。Claude Security以Claude Opus 4.7為基礎，可透過claude.ai存取，檢視企業軟體程式碼的漏洞、建議修補程式，或是發現傳統方式找不到的複雜程式碼問題。Claude Security能執行排程及精準掃描，可整合企業稽核系統，方便追蹤。它不需要API整合或開發自訂代理人，只要企業使用Claude.ai，就可以從側邊欄啟用，或是從claude.ai/security登入開始掃描。</p> <p>根據官網<a href="https://support.claude.com/en/articles/14661296-use-claude-security" target="_blank">網頁說明</a>，Claude Security可讓企業同步掃描程式碼，能理解上下文、了解檔案和模組間的元件互動、可跨檔案追蹤資料流、讀取原始碼，找出傳統掃描工具找不到的多元件複雜漏洞樣態。有初步發現後，它可以進行階段驗證以減少誤判；完成後提供解釋、判定信心水準、及漏洞影響和如何被複製。此外Claude Security還能針對特定漏洞建議修補指令，允許使用者開啟Web版Claude Code來修補漏洞。</p> <p>Claude Security能辨識許多種漏洞，包括注入型漏洞如SQL、指令、XSS漏洞；網路型（如路徑遍歷、伺服器請求偽造SSRF、開放重導向Open redirect）、驗證存取類（如跨網站請求偽造CSRF）、記憶體類（如緩衝溢位）、密碼類（如演算法混淆、時序洩漏Timing Leaks、Weak primitives）、反序列化型（任意類型實例化Arbitrary type instantiation）及協定類漏洞（如編碼混淆、快取下毒）等。</p> <p>Anthropic和常見安全廠商合作，例如CrowdStrike、Microsoft Security、Palo Alto、SentinelOne、TrendAI和Wiz都已在其產品整合Opus 4.7。主要整合商Accenture、BCG、Deloitte、Infosys和PwC也提供整合Claude的安全服務。</p> </div></div></div>
5/4 09:34作者林妍溱https://www.ithome.com.tw/news/175489
【2026 企業資安大調查】一張圖看2026年政府學校資安風險
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://www.ithome.com.tw/sites/default/files/0601-zi_an_feng_xian_tu_-zheng_fu_xue_xiao_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"><p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>「網路釣魚/社交工程手段」和「資安漏洞濫用」是政府機構和學校未來一年必須優先防備的兩大首要威脅，其次則是對政府網站的「DDoS攻擊」。值得注意的是「軟體供應鏈資安事故」的威脅，在政府學校特別嚴峻，已經進入了高衝擊發生風險高的第一象限。</p> <p><a href="https://r.itho.me/26svciop6">立即下載完整報告【iThome 2026 CIO & CISO大調查】資安策略篇完整報告</a></p> <p>政府學校今年在高風險高衝擊的資安威脅，包括了7項系統類風險和5項人員類風險，得優先投入資源來防備</p> <p>相較於其他產業，國家級網路攻擊對政府機關的衝擊和發生可能性都相對較高，甚至未來一年，國家級網路攻擊和機敏資料外洩事件的威脅同樣都屬於必須警戒的重點，政府公務人員得留意各種網路釣魚和社交工程手段，背後就可能結合了國家級到攻擊來源。</p> <p>雖然，政府學校積極擁抱生成式AI，但是AI類資安風險，仍被許多政府學校CIO列為未來一年比較不可能遭遇的風險，甚至是衝擊低的風險。這也是跟其他產業不太一樣之處。</p> <p>AI採用越多越深，AI風險的發生可能性應該越高，但政府機關的警戒心相對較低。忙於用AI創新之際，政府機關還得留意是否忽略了對aI風險沒有給予足夠的重視。</p> <p>深偽技術冒用是最接近第一象限高衝擊高風險的威脅項目，這也是政府機關在AI風險中，可以優先警戒的重點項目。</p> <p class="rtecenter"><a href="/sites/default/files/files/0601-%E8%B3%87%E5%AE%89%E9%A2%A8%E9%9A%AA%E5%9C%96-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A1-600-1.png" target="_blank"><img alt="" src="/sites/default/files/images/0601-%E8%B3%87%E5%AE%89%E9%A2%A8%E9%9A%AA%E5%9C%96-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A1-600-1.png" style="width: 600px;" /></a></p> <p><strong><span style="font-size: 14px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 102, 0);"> 企業資安風險圖製作說明 </span></span> 在iThome 2026年CIO暨CISO大調查中，由企業CIO和CISO自評各威脅項目的兩項指標，一項是該項目對企業帶來的衝擊程度（衝擊極高和衝擊極低），另一項是這個項目未來1年的發生風險（極可能發生與極不可能發生），再換算成不同程度的量化數據來製圖。垂直軸是該威脅項目對企業的衝擊，位置越往上代表衝擊越大，水平軸是企業未來1 年發生該項目的風險，位置越右，代表發生可能性越大。威脅項目的位置圓點，區分成三類，紅點代表系統類風險，綠點代表人員風險，黑點則為AI風險。</span></strong></p> <p><span style="font-size: 14px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 102, 0);"> 問卷執行 </span></span> 自2026年1月1日至1月29日，對臺灣大型企業、iThome歷屆CIO大調查企業、政府機關及大學院校的資訊主管進行線上問卷調查，有效問卷數396份，其中57%填答者為企業資安最高主管。</strong></span></p> <p><span style="font-size: 14px;"><strong>資料來源：2026年iThome CIO & CISO大調查，2026年3月</strong></span></p> </div></div></div>
5/4 09:37作者王宏仁https://www.ithome.com.tw/article/175437
借鏡ATT&CK經驗，MITRE發表F3金融反詐欺框架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>金融詐欺每年造成數十億美元損失，風險程度已不亞於傳統網路攻擊。長期推動MITRE ATT&CK並剖析攻擊鏈的美國非營利組織MITRE，旗下威脅情資驅動防禦中心（CTID）於2026年4月發布MITRE Fight Fraud Framework（F3），希望以共享的對手行為框架，協助金融機構更有效理解、偵測與預防詐欺活動。</p> <p>回顧過去，在MITRE F3框架發布之前，負責阻詐的調查人員與負責網路威脅的分析人員，往往分屬不同組織，使用不同工具與術語，應對的思維模型也不一致。</p> <p>如今我們看到MITRE試圖打破隔閡，將詐欺分析師與資安防禦者拉到同一張作戰地圖。畢竟ATT&CK已是全球廣泛採用的對手戰術與技術知識庫，F3則建立在這套成熟基礎上，進一步延伸到金融詐欺場景。</p> <p>根據MITRE CTID說明，初版MITRE F3反詐欺框架主要延續ATT&CK方法論，將詐欺流程結構化為戰術與技術，讓防禦方可用一致語言描述詐欺如何發生。首版框架歸納出7大戰術階段，分別是偵察（Reconnaissance）、資源開發（Resource Development）、初始存取（Initial Access）、防禦規避（Defense Evasion）、布局定位（Positioning）、執行（Execution）與變現（Monetization）。</p> <p>其中，「布局定位」與「變現」是過去ATT&CK既有戰術中未涵蓋的部分。以布局定位而言，是指詐欺者在取得初始存取後、正式執行詐騙前的準備行為，包含透過一系列技術手段來蒐集敏感資訊、篡改帳戶設定、操縱交易參數，以建立確保詐騙能成功實施的必要條件；以變現而言，這是詐騙流程最終的核心目標，描述詐欺者如何透過特定手段，將受害者資產轉換為可提領的可用資金或實體現金，完成最終非法獲利。</p> <p>整體而言，網路詐騙經常將傳統網路攻擊技術與特定產業詐欺手法混合運用；若缺乏統一的「網路－詐欺」分析框架，事件容易被切成零散訊號、難以還原全貌。F3框架的目的，正是把技術層訊號與真實詐欺事件關聯起來，讓組織從被動回應逐步轉向主動防禦。未來，CTID成員與合作夥伴將持續擴展該框架，納入更多技術、資料來源與緩解對策，使其適用範圍從銀行業延伸至更多產業。</p> <p><a href="/sites/default/files/images/（圖2）MITRE F3反詐欺框架.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89MITRE%20F3%E5%8F%8D%E8%A9%90%E6%AC%BA%E6%A1%86%E6%9E%B6.jpg" style="width: 600px;" /></a></p> <p><span style="color:#696969;"><strong>MITRE發布第一版MITRE Fight Fraud Framework（F3）框架矩陣，借助ATT&CK方法論將詐騙鏈化為通用戰術與技術，期望讓資安與阻詐團隊能建立標準化的溝通語言。</strong></span></p> </div></div></div>
5/4 09:44作者羅正漢https://www.ithome.com.tw/news/175490
美國戰爭部與8大科技巨頭簽署AI協議，Anthropic遭排除在外
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國戰爭部（Department of War，<a href="https://www.war.gov/News/Releases/Release/Article/4475177/classified-networks-ai-agreements/" target="_blank">DOW）上週五（5/1）宣布</a>，已與全球8家頂尖人工智慧企業——SpaceX、OpenAI、Google、Nvidia、Reflection、微軟、AWS及甲骨文——簽署協議，將其先進AI能力部署於機密軍事網路之上，用於合法作戰用途。五角大廈表示，此舉旨在加速美軍轉型為「AI優先作戰力量」，強化戰士在複雜作戰環境下的決策優勢。</p> <p>1789年美國建國之初即設立戰爭部，歷經一戰、二戰均沿用此名。1947年杜魯門推動軍事整合改革後更名為國防部。2025年9月，<a href="https://www.whitehouse.gov/fact-sheets/2025/09/fact-sheet-president-donald-j-trump-restores-the-united-states-department-of-war/" target="_blank">川普簽署行政命令</a>，授權將戰爭部作為國防部的第二名稱，在官方對外通訊中使用，網址亦從defense.gov改為war.gov，目前美國在行政上已全面使用戰爭部，但法律上仍為國防部，正式更名尚須國會立法。</p> <p>戰爭部表示，這批AI工具將整合至最高機密等級的 IL6 與 IL7 網路環境，主要應用於情報資料整合、戰場態勢感知，以及輔助指揮決策。戰爭部官方AI平臺GenAI.mil目前已有超過130萬名軍事與文職人員使用，僅5個月內便產生數千萬次提示指令，部署數十萬個AI代理程式，許多原本耗時數月的任務已縮短至數天完成。</p> <p>原本與該部門合作密切的Anthropic並未出現在此次的名單中。Anthropic今年2月公開拒絕讓其產品用於自主武器開發及對美國人的監控，而讓美國總統川普（Donald Trump）指示所有聯邦機構立即停止使用Anthropic的技術，隨之國防部即將Anthropic列為供應鏈風險（Supply Chain Risk，SCR），限制其產品進入機密系統與關鍵任務環境，雙方關係生變且Anthropic還提出了告訴。</p> <p>戰爭部強調，此次協議刻意納入多家不同廠商，目的是避免對單一AI供應商形成依賴，確保聯合部隊的長期彈性。川普政府則說，將持續以先進AI武裝美軍，以應對未來各種新興威脅。</p> <p>對於此次大規模AI軍事化部署，外界反應不一。支持者認為，美國若不搶先將AI導入軍事核心，將在與中國的戰略競爭中落居下風；批評者則憂慮，在缺乏明確倫理框架與監督機制的情況下，將前沿AI系統引入機密作戰網路，潛藏難以預見的風險。隨著AI與國家安全的邊界日益模糊，這場科技巨頭與軍事機器的深度整合，或許才剛剛開始。</p> </div></div></div>
5/4 09:49作者陳曉莉https://www.ithome.com.tw/news/175491
Fortinet資安平臺邁入8.0，擴增AI控管與量子安全防護特色
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://www.ithome.com.tw/sites/default/files/fortios_8.0-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p style="margin-left:.05pt;">在2026年上半舉行的全球與臺灣年度用戶大會期間，資安廠商Fortinet針對支撐其安全織網架構（Fortinet Security Fabric）的作業系統平臺FortiOS，<strong><a href="https://www.fortinet.com/corporate/about-us/newsroom/press-releases/2026/fortinet-introduces-fortios-8-expand-secure-networking-with-secure-ai-controls-fabric-based-ai-agents-flexible-sase-and-simplified-sdwan">宣布推出最新版本8.0</a></strong>，主打三大特色：AI驅動的安全防護、次世代的安全存取服務邊緣（SASE），以及量子安全防護功能，<a href="https://docs.fortinet.com/product/fortigate/8.0"><strong>並於</strong><strong>4</strong><strong>月</strong><strong>21</strong><strong>日正式推出</strong></a>。</p> <h1 style="margin-left: 0.05pt;"><span style="color:#0000FF;"><strong>強化生成式AI的支援與識別，企業了解與控管整體網路環境的AI使用現況</strong></span></h1> <p style="margin-left:.05pt;">相較於既有的FortiOS，8.0版最顯著的差異在於，針對生成式AI與自主AI代理的使用，提供更深層的安全控管，企業對於整體網路環境的AI使用行為，具有更強大的掌握、治理與防護能力。</p> <p style="margin-left:.05pt;">就AI的可攻擊面與未經企業批准AI的使用活動（影子AI）而言，企業可透過FortiOS內建的事件記錄檢視工具FortiView，即時掌握公司AI應用程式與服務使用現況，區分員工使用的授權與未授權AI工具，協助資安團隊快速辨別高風險或未知AI的使用情況，以便符合法規的要求、減少不必要的風險暴露，並促進安全AI的採用，而非等到發生資安事故才設法亡羊補牢。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/FortiView AI-4.jpg"><img alt="" src="/sites/default/files/images/FortiView%20AI-4.jpg" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">為了避免AI不當使用，FortiOS 8.0應用程式控管也具備識別AI的能力，可限制員工僅使用企業批准的生成式AI工具，並阻擋可能暴露公司敏感資料的高風險存取行為，以便在導入AI提高生產力之餘，也能保護企業智慧財產、客戶資料，以及各種受到監管的資訊。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/FortiView AI-1.jpg"><img alt="" src="/sites/default/files/images/FortiView%20AI-1.jpg" style="width: 600px;" /></a> </p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/FortiView AI-2.jpg"><img alt="" src="/sites/default/files/images/FortiView%20AI-2.jpg" style="width: 298px;" /></a> <a href="/sites/default/files/images/FortiView AI-3.jpg"><img alt="" src="/sites/default/files/images/FortiView%20AI-3.jpg" style="width: 298px;" /></a> </p> <p style="margin-left:.05pt;">關於資料外洩預防（DLP）的機制上，FortiOS 8.0的FortiGuard DLP引擎不僅具有傳統的文字內容比對機制，也提供結合光學字元辨識（OCR）功能的強化防護功能，企業可藉此額外偵測圖片、掃描而成的文件影像、螢幕擷圖是否蘊含敏感資料，阻斷員工透過這些常見的資料外洩途徑，將重要資料上傳至企業不允許使用的AI服務，可藉此避免發生資料外洩事故，以及相關的罰款與信譽損失。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/FortiOS 8_0 DLP.jpg"><img alt="" src="/sites/default/files/images/FortiOS%208_0%20DLP.jpg" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">針對AI的隱藏活動，以及AI與各種應用程式、AI代理、工具的互動行為，FortiOS 8.0可協助企業掌握模型上下文協定（MCP），以及AI代理對 AI代理（A2A）的使用情形，藉此減少管理盲點，以防資料遭不當處理或外洩，促使資安團隊能夠更明確控管資訊在不同系統之間流動的狀況。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/FortiOS 8_0_MCP_A2A.jpg"><img alt="" src="/sites/default/files/images/FortiOS%208_0_MCP_A2A.jpg" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/FortiOS 8_0-A2A-A.jpg"><img alt="" src="/sites/default/files/images/FortiOS%208_0-A2A-A.jpg" style="width: 298px;" /></a> <a href="/sites/default/files/images/FortiOS 8_0-A2A-B.jpg"><img alt="" src="/sites/default/files/images/FortiOS%208_0-A2A-B.jpg" style="width: 298px;" /></a></p> <p style="margin-left:.05pt;">以MCP的偵測而言，Fortinet在此提供<a href="https://www.fortinet.com/blog/security-architecture/fortios-8-redefining-secure-networking-in-the-ai-and-quantum-era"><strong>MCP</strong><strong>可觀測性功能（</strong><strong>MCP observability</strong><strong>）</strong></a>，能針對多個AI代理之間的溝通方式與原因進行遙測（telemetry），以便監控AI代理的行為與強制實施政策，將失控的影子AI轉為可控、妥善治理的AI應用。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/FortiOS 8_0-MCP0.jpg"><img alt="" src="/sites/default/files/images/FortiOS%208_0-MCP0.jpg" style="width: 298px;" /></a> <a href="/sites/default/files/images/FortiOS 8_0-MCP1.jpg"><img alt="" src="/sites/default/files/images/FortiOS%208_0-MCP1.jpg" style="width: 298px;" /></a></p> <p style="margin-left:.05pt;">為了簡化Fortinet安全織網架構的故障排除與設定作業，FortiOS 8.0具備多種AI代理人，能針對防火牆、SD-WAN等網路環境進行導引、執行對話式工作流程，以及自動分類、根本原因分析等工作，藉此減輕IT團隊的營運負擔、縮短應變時間，並大幅降低可能導致系統停擺或出現安全漏洞的設定錯誤。</p> <p style="margin-left:.05pt;">就輔助資安與網管人員操作的AI助理功能FortiAI-Assist而言，FortiOS 8.0可針對FortiGate防火牆的使用，提供AI驅動的訣竅說明、導引建議，以及強化的除錯與組態設定協助機制。FortiAnalyzer也內建多個AI代理，可幫忙資安維運中心團隊更快排除故障、減少操作錯誤、簡化組態設定，以及加速日常的防火牆維運作業。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/FortiAssistant.jpg"><img alt="" src="/sites/default/files/images/FortiAssistant.jpg" style="width: 600px;" /></a></p> <h1 style="margin-left: 0.05pt;"><span style="color:#0000FF;"><strong>擴大量子安全的防護範圍</strong></span></h1> <p><a href="https://www.fortinet.com/corporate/about-us/newsroom/press-releases/2025/fortinet-advances-quantum-safe-security-to-guard-against-emerging-quantum-threats"><strong>去年</strong><strong>7</strong><strong>月</strong></a>，Fortinet宣布FortiOS新增5大量子安全加密功能，例如，在7.6版內建多種<a href="https://www.fortinet.com/resources/cyberglossary/post-quantum-cryptography"><strong>後量子密碼學演算法</strong></a>，像是NIST批准的ML-KEM，以及新興的BIKE、HQC、Frodo，防禦「先竊取、後解密（HNDL）」的攻擊；從7.4版開始，Fortinet開始支援量子金鑰分配（QKD），不僅使其次世代防火牆運用量子力學原理，而得以實現加密金鑰的安全交換，偵測任何試圖竊聽的行為，也能透過標準介面實現與QKD供應商之間的互通性。</p> <p style="margin-left:.05pt;">而在最新推出的FortiOS 8.0，Fortinet將量子安全密碼學的保護功能擴展至更多產品與協定。首先是抗量子運算破解的密碼學（Quantum-resilient cryptographic）控管，企業可運用後量子密碼學的憑證，像是將ML-DSA演算法用於身分認證與金鑰建立，針對採用無代理程式VPN連線的重要管理存取路徑（management access），提供更強大的保護能力。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/FortiOS 8_0 Quantum Safe.jpg"><img alt="" src="/sites/default/files/images/FortiOS%208_0%20Quantum%20Safe.jpg" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/FortiOS 8_0-Post-Quantum Cryptography for IPsec key exchange0.png"><img alt="" src="/sites/default/files/images/FortiOS%208_0-Post-Quantum%20Cryptography%20for%20IPsec%20key%20exchange0.png" style="width: 298px;" /></a> <a href="/sites/default/files/images/FortiOS 8_0-Post-Quantum Cryptography for IPsec key exchange1.png"><img alt="" src="/sites/default/files/images/FortiOS%208_0-Post-Quantum%20Cryptography%20for%20IPsec%20key%20exchange1.png" style="width: 298px;" /></a></p> <p style="margin-left:.05pt;">第二是透過<a href="https://www.fortinet.com/blog/security-architecture/fortios-8-redefining-secure-networking-in-the-ai-and-quantum-era"><strong>支援</strong><strong>TLS 1.3</strong><strong>與</strong><strong>FIPS 204/205</strong><strong>混合金鑰交換</strong></a>，以及後量子安全密碼學處理的方式，<a href="https://docs.fortinet.com/document/fortigate/8.0.0/new-features/771310/support-for-hybrid-pqc-ssl-deep-inspection-in-proxy-mode"><strong>提升</strong><strong>SSL</strong><strong>加密流量的深層檢測能力</strong></a>，以便在維持全面加密且不影響連線效能的狀態下，仍能偵測隱藏在加密流量的資安威脅活動。</p> <p style="margin-left:.05pt;">第三是支援量子安全防護的SASE存取環境，亦即透過Fortinet防火牆內建的量子韌性安全技術，實現混合金鑰交換與後量子安全密碼學處理的加密流量保護，不僅能透過強化的SSL深層檢測功能，揭露隱藏的資安威脅活動，同時，還能保護多種重要的存取路徑，像是管理存取的連線與無代理程式的VPN連線。</p> <p><strong><span style="color:#008080;">產品資訊</span></strong></p> <p><span style="color:#0000FF;">Fortinet FortiOS 8.0</span><br /> ●原廠：Fortinet<br /> ●建議售價：廠商未提供<br /> ●適用機型：FortiGate、FortiWiFi、FortiGate Rugged、FortiFirewall、FortiGate VM<br /> ●資安防護引擎版本：AV Engine 8.0014，IPS Engine 8.0028<br /> ●安全織網配合的產品與版本：FortiAnalyzer 8.0.0、FortiManager 8.0.0、FortiExtender 7.4.0以後版本、FortiSwitch OS 6.4.6 build 0470以後版本、FortiAP 7.2.2以後版本、FortiAP-U 6.2.5以後版本、FortiAP-W2 7.2.2以後版本、FortiClient EMS 7.0.3 build 0229以後版本、FortiClient 7.0.2或7.0.3以後版本、FortiSandbox 2.3.3與4.2.0<br /> ●虛擬化環境支援：Citrix Hypervisor 8.2 Express Edition, CU1、Linux KVM（Ubuntu 22.04.3 LTS、Red Hat Enterprise Linux release 9.4、SUSE Linux Enterprise Server 12 SP3 release 12.3）、Microsoft（Windows Server 2022）、XenServer 3.4.3與4.1以後版本、VMware ESXi 6.5/6.7/7.0/8.0/9.0</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
5/4 00:48作者李宗翰https://www.ithome.com.tw/review/175388
【2026 企業資安大調查】一張圖看2026年服務業企業資安風險
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://www.ithome.com.tw/sites/default/files/0601-zi_an_feng_xian_tu_-fu_wu_ye_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"><p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>服務業CIO今年特別重視員工賦能和IT維運效能的提升，但在加速衝刺之際，也得特別留意與人員相關的資安威脅。服務業今年在高衝擊高風險的第一象限，足足有6項人員類風險和6項系統類風險得優先防範。</p> <p>服務業未來一年得特別防備的首要風險是「網路釣魚/社交工程手段」，次要風險則包括了「勒索軟體資安事故」和「資安漏洞濫用」，另外，服務業得留意多項人員面的風險，包括「商業郵件詐騙」、「瀏覽惡意網站」、「身分冒用」、「個人資料外洩」和「機敏資料外洩」，都進入了第一象限。 </p> <p><a href="https://r.itho.me/26svciop6">立即下載完整報告【iThome 2026 CIO & CISO大調查】資安策略篇完整報告</a></p> <p>雖然說服務業的網站，經常會遭受到種種DDoS攻擊，但是未來一年，服務業自家員工面對商業郵件詐騙和惡意網站瀏覽的風險，遠高於網站遭受DDoS的可能性。持續強化員工的資安意識和素養，還得持續認識最新的攻擊手法，成了重要的年度課題。</p> <p>另外得留意的是，今年服務業也是積極擁抱生成式AI的產業之一，LLM應用外洩敏感資料的風險，也逐漸升高。接近了第一象限的邊緣，也得留意這類威脅的風險可能隨著GenAI應用越多，而風險越高。</p> <p><a href="/sites/default/files/files/0601-%E8%B3%87%E5%AE%89%E9%A2%A8%E9%9A%AA%E5%9C%96-%E6%9C%8D%E5%8B%99%E6%A5%AD-600.png" target="_blank"><img alt="" src="/sites/default/files/images/0601-%E8%B3%87%E5%AE%89%E9%A2%A8%E9%9A%AA%E5%9C%96-%E6%9C%8D%E5%8B%99%E6%A5%AD-600.png" /></a></p> <p> 企業資安風險圖製作說明在iThome 2026年CIO暨CISO大調查中，由企業CIO和CISO自評各威脅項目的兩項指標，一項是該項目對企業帶來的衝擊程度（衝擊極高和衝擊極低），另一項是這個項目未來1年的發生風險（極可能發生與極不可能發生），再換算成不同程度的量化數據來製圖。垂直軸是該威脅項目對企業的衝擊，位置越往上代表衝擊越大，水平軸是企業未來1 年發生該項目的風險，位置越右，代表發生可能性越大。威脅項目的位置圓點，區分成三類，紅點代表系統類風險，綠點代表人員風險，黑點則為AI風險。</p> <p> 問卷執行自2026年1月1日至1月29日，對臺灣大型企業、iThome歷屆CIO大調查企業、政府機關及大學院校的資訊主管進行線上問卷調查，有效問卷數396份，其中57%填答者為企業資安最高主管。</p> <p>資料來源：2026年iThome CIO & CISO大調查，2026年3月</p> <p class="p2" style="margin: 5.6px 0px; font-style: normal; font-variant: normal; font-size-adjust: none; font-language-override: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; font-size: 14px; line-height: normal; font-family: "PingFang TC"; color: rgb(38, 38, 38); background-color: rgba(0, 0, 0, 0);">服務業今年在高衝擊高風險的第一象限，足足有<span class="s1" style="font-style: normal; font-variant: normal; font-size-adjust: none; font-language-override: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; font-size: 14px; line-height: normal; font-family: "Avenir Next";">6</span>項人員類風險和<span class="s1" style="font-style: normal; font-variant: normal; font-size-adjust: none; font-language-override: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; font-size: 14px; line-height: normal; font-family: "Avenir Next";">6</span>項系統類風險得優先防範</p> <p class="p2" style="margin: 5.6px 0px; font-style: normal; font-variant: normal; font-size-adjust: none; font-language-override: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; font-size: 14px; line-height: normal; font-family: "PingFang TC"; color: rgb(38, 38, 38); background-color: rgba(0, 0, 0, 0);">服務業<span class="s1" style="font-style: normal; font-variant: normal; font-size-adjust: none; font-language-override: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; font-size: 14px; line-height: normal; font-family: "Avenir Next";">CIO</span>今年特別重視員工賦能和<span class="s1" style="font-style: normal; font-variant: normal; font-size-adjust: none; font-language-override: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; font-size: 14px; line-height: normal; font-family: "Avenir Next";">IT</span>維運效能的提升，但在加速衝刺之際，也得特別留意與人員相關的資安威脅。</p> <p class="p2" style="margin: 5.6px 0px; font-style: normal; font-variant: normal; font-size-adjust: none; font-language-override: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; font-size: 14px; line-height: normal; font-family: "PingFang TC"; color: rgb(38, 38, 38); background-color: rgba(0, 0, 0, 0);">服務業未來一年得特別防備的首要風險是「網路釣魚<span class="s1" style="font-style: normal; font-variant: normal; font-size-adjust: none; font-language-override: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; font-size: 14px; line-height: normal; font-family: "Avenir Next";">/</span>社交工程手段」，次要風險則包括了「勒索軟體資安事故」和「資安漏洞濫用」，另外，服務業得留意多項人員面的風險，包括「商業郵件詐騙」、「瀏覽惡意網站」、「身分冒用」、「個人資料外洩」和「機敏資料外洩」，都進入了第一象限。<span class="s1" style="font-style: normal; font-variant: normal; font-size-adjust: none; font-language-override: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; font-size: 14px; line-height: normal; font-family: "Avenir Next";"> </span></p> <p class="p2" style="margin: 5.6px 0px; font-style: normal; font-variant: normal; font-size-adjust: none; font-language-override: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; font-size: 14px; line-height: normal; font-family: "PingFang TC"; color: rgb(38, 38, 38); background-color: rgba(0, 0, 0, 0);">雖然說服務業的網站，經常會遭受到種種<span class="s1" style="font-style: normal; font-variant: normal; font-size-adjust: none; font-language-override: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; font-size: 14px; line-height: normal; font-family: "Avenir Next";">DDoS</span>攻擊，但是未來一年，服務業自家員工面對商業郵件詐騙和惡意網站瀏覽的風險，遠高於網站遭受<span class="s1" style="font-style: normal; font-variant: normal; font-size-adjust: none; font-language-override: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; font-size: 14px; line-height: normal; font-family: "Avenir Next";">DDoS</span>的可能性。持續強化員工的資安意識和素養，還得持續認識最新的攻擊手法，成了重要的年度課題。</p> </div></div></div>
5/3 22:44作者王宏仁https://www.ithome.com.tw/article/175435
【2026 企業資安大調查】一張圖看2026年醫療業企業資安風險
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://www.ithome.com.tw/sites/default/files/0601-zi_an_feng_xian_tu_-yi_liao_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"><p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>去年臺灣醫界歷經了嚴重的勒索軟體攻擊事件之後，每一家醫院紛紛把勒索軟體攻擊視為頭號資安威脅。</p> <p>但在今年的醫療業資安風險圖中，網路釣魚/社交工程手段的發生可能性，比勒索軟體資安事件更高，成了醫療業的兩大首要風險，也是醫院今年特別要防備的頭號威脅。</p> <p><a href="https://r.itho.me/26svciop6">立即下載完整報告【iThome 2026 CIO & CISO大調查】資安策略篇完整報告</a></p> <p>醫院的挑戰不只這兩項，在高衝擊高風險的第一象限中，包括了7項系統類資安威脅和6項人員類資安威脅，都是得投入一定資源防備的項目。</p> <p>在高衝擊高發生風險的第一象限有多項人員面風險，習慣委外開發的醫院，也得注意「以第三方為跳板的攻擊」，這項威脅在今年成了第一象限的資安威脅，正在進行HIS系統升版的醫院更是必須留意。</p> <p>值得注意的是，隨著醫院今年展開第二波的上雲潮，組態設定不當導致網路裸奔的資安風險，正處於從第二象限要進入第一象限的邊界上，隨的AP上雲越多也越深，這類風險也會隨之而提高，成了必須防範的第一象限威脅，今年積極上雲的醫院得要格外留意。</p> <p class="p1" style="margin: 5.6px 0px; font-style: normal; font-variant: normal; font-size-adjust: none; font-language-override: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; font-size: 14px; line-height: normal; font-family: "PingFang TC"; color: rgb(38, 38, 38); background-color: rgba(0, 0, 0, 0);"><a href="/sites/default/files/files/0601-%E8%B3%87%E5%AE%89%E9%A2%A8%E9%9A%AA%E5%9C%96-%E9%86%AB%E7%99%82-600-1.png" style="text-align: center; font-family: sans-serif, Arial, Verdana, "Trebuchet MS"; font-size: 13px;" target="_blank"><img alt="" src="/sites/default/files/images/0601-%E8%B3%87%E5%AE%89%E9%A2%A8%E9%9A%AA%E5%9C%96-%E9%86%AB%E7%99%82-600-1.png" style="width: 600px;" /></a></p> <p><strong><span style="font-size: 14px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 102, 0);"> 企業資安風險圖製作說明 </span></span> 在iThome 2026年CIO暨CISO大調查中，由企業CIO和CISO自評各威脅項目的兩項指標，一項是該項目對企業帶來的衝擊程度（衝擊極高和衝擊極低），另一項是這個項目未來1年的發生風險（極可能發生與極不可能發生），再換算成不同程度的量化數據來製圖。垂直軸是該威脅項目對企業的衝擊，位置越往上代表衝擊越大，水平軸是企業未來1 年發生該項目的風險，位置越右，代表發生可能性越大。威脅項目的位置圓點，區分成三類，紅點代表系統類風險，綠點代表人員風險，黑點則為AI風險。</span></strong></p> <p><span style="font-size: 14px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 102, 0);"> 問卷執行 </span></span> 自2026年1月1日至1月29日，對臺灣大型企業、iThome歷屆CIO大調查企業、政府機關及大學院校的資訊主管進行線上問卷調查，有效問卷數396份，其中57%填答者為企業資安最高主管。</strong></span></p> <p><span style="font-size: 14px;"><strong>資料來源：2026年iThome CIO & CISO大調查，2026年3月</strong></span></p> </div></div></div>
5/3 22:54作者王宏仁https://www.ithome.com.tw/article/175436
cPanel重大漏洞釀災！勒索軟體Sorry已濫用此弱點對多個網站發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p style="margin-left:.05pt;">從4月30日開始，我們持續追蹤cPanel與WHM重大資安漏洞<strong><a href="https://www.ithome.com.tw/tags/cve-2026-41940">CVE-2026-41940</a></strong>的消息，就當大家以為資安風險暴露的狀況應該獲得改善之際，十多個小時之前，資安新聞媒體Bleeping Computer收到許多消息來源指出，有多個駭客組織已經濫用這個漏洞滲透多臺伺服器，並且部署以Go語言寫成的加密勒索軟體Sorry。</p> <p style="margin-left:.05pt;">這支惡意軟體是專門針對Linux系統設計的加密勒索軟體，所有遭到加密的檔案附檔名都會加上.sorry，遭殃的每個資料夾都會出現勒索說明檔README.md，指示受害者透過加密匿名即時通訊工具Tox聯繫攻擊者，協商贖金金額。而且，這波勒索軟體攻擊的勒索說明檔都一樣，例如，上面都註明Tox聯絡人ID是：3D7889AEC00F2325E1A3FBC0ACA4E521670497F11E47FDE13EADE8FED3144B5EB56D6B198724。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/HHWJix4XAAAmE_x.jpg"><img alt="" src="/sites/default/files/images/HHWJix4XAAAmE_x.jpg" style="width: 600px;" /></a></p> <p>值得注意的是，README.md的說明也出現在許多受害網站與網頁的最頂端，因此，若在Google搜尋引擎輸入這段16進位編碼的字元，<strong><a href="https://www.google.com/search?q=%223D7889AEC00F2325E1A3FBC0ACA4E521670497F11E47FDE13EADE8FED3144B5EB56D6B198724%22&oq=%223D7889AEC00F2325E1A3FBC0ACA4E521670497F11E47FDE13EADE8FED3144B5EB56D6B198724%22">就能夠找到這些網站</a></strong>，</p> <p><a href="/sites/default/files/images/Google搜尋-Sorry-cPanel.jpg"><img alt="" src="/sites/default/files/images/Google%E6%90%9C%E5%B0%8B-Sorry-cPanel.jpg" style="width: 600px;" /></a></p> <p>依此檢視，目前可辨識為臺灣的網站，有監督執政聯盟、阿洲工作室、台炘公司、台灣要健康環境永續協會，我們試圖聯繫這些組織或業者，但截稿前尚未得到回應。</p> <p><a href="/sites/default/files/images/監督執政聯盟.png"><img alt="" src="/sites/default/files/images/%E7%9B%A3%E7%9D%A3%E5%9F%B7%E6%94%BF%E8%81%AF%E7%9B%9F.png" style="width: 298px;" /></a> <a href="/sites/default/files/images/阿洲工作室.png"><img alt="" src="/sites/default/files/images/%E9%98%BF%E6%B4%B2%E5%B7%A5%E4%BD%9C%E5%AE%A4.png" style="width: 298px;" /></a></p> <p><a href="/sites/default/files/images/台炘.png"><img alt="" src="/sites/default/files/images/%E5%8F%B0%E7%82%98.png" style="width: 298px;" /></a> <a href="/sites/default/files/images/台灣要健康環境永續協會.png"><img alt="" src="/sites/default/files/images/%E5%8F%B0%E7%81%A3%E8%A6%81%E5%81%A5%E5%BA%B7%E7%92%B0%E5%A2%83%E6%B0%B8%E7%BA%8C%E5%8D%94%E6%9C%83.png" style="width: 298px;" /></a></p> </div></div></div>
5/3 18:44作者李宗翰https://www.ithome.com.tw/news/175485
【2026 企業資安大調查】一張圖看2026年一般製造業企業資安風險
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://www.ithome.com.tw/sites/default/files/0601-zi_an_feng_xian_tu_-zhi_zao_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"><p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>一般製造2026年的首要風險和次要風險，雖然和高科技製造業一項，但是一般製造業第一象限高衝擊高風險的項目，卻比高科技製造業還要更多，包括4項系統類風險和6項人員類風險和一項AI類的風險。</p> <p>一般製造業今年也開始積極跟上生成式AI的浪潮，也願意投資在最新的AI代理應用上，但是一般製造業的AI因應能力沒有跟上來，像是AI負責任框架採用率偏低，AI治理程度也不高。企業資訊長和資安長也因此比高科技製造業更擔心生成式AI災情的發生。</p> <p><a href="https://r.itho.me/26svciop6">立即下載完整報告【iThome 2026 CIO & CISO大調查】資安策略篇完整報告</a></p> <p>一般製造業得特別留意的AI風險是LLM應用夜露敏感資料，這是已經進入第一象限高衝擊高風險的威脅，一般製造業CIO認為自己未來一年至少會遭遇一次。LLM幻覺導致真人誤判的風險，</p> <p>處於第四象限和第一象限的交接原點附近，這意味著看似發生機率不高衝擊可能也偏低的幻覺影響，隨著一般製造業對LLM應用和依賴越多，可能快速進入了第一線像，成為高衝擊高風險的威脅，企業積極擁抱AI時，也得留意這樣可能的未來威脅。</p> <p>一般製造業今年也得特別防備的首要風險是「網路釣魚/社交工程手段」，次要風險則包括了「商業郵件詐騙」和「勒索軟體資安事故」，這三項都與高科技製造業的威脅類似，但值得關注的是「LLM應用洩漏敏感資料」今年進入高衝擊發生風險高的第一象限，一般製造業者也必須警戒。</p> <p class="rtecenter"><a href="/sites/default/files/files/0601-%E8%B3%87%E5%AE%89%E9%A2%A8%E9%9A%AA%E5%9C%96-%E8%A3%BD%E9%80%A0-600-1.png" target="_blank"><img alt="" src="/sites/default/files/images/0601-%E8%B3%87%E5%AE%89%E9%A2%A8%E9%9A%AA%E5%9C%96-%E8%A3%BD%E9%80%A0-600-1.png" style="width: 600px;" /></a></p> <p><strong><span style="font-size: 14px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 102, 0);"> 企業資安風險圖製作說明 </span></span> 在iThome 2026年CIO暨CISO大調查中，由企業CIO和CISO自評各威脅項目的兩項指標，一項是該項目對企業帶來的衝擊程度（衝擊極高和衝擊極低），另一項是這個項目未來1年的發生風險（極可能發生與極不可能發生），再換算成不同程度的量化數據來製圖。垂直軸是該威脅項目對企業的衝擊，位置越往上代表衝擊越大，水平軸是企業未來1 年發生該項目的風險，位置越右，代表發生可能性越大。威脅項目的位置圓點，區分成三類，紅點代表系統類風險，綠點代表人員風險，黑點則為AI風險。</span></strong></p> <p><span style="font-size: 14px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 102, 0);"> 問卷執行 </span></span> 自2026年1月1日至1月29日，對臺灣大型企業、iThome歷屆CIO大調查企業、政府機關及大學院校的資訊主管進行線上問卷調查，有效問卷數396份，其中57%填答者為企業資安最高主管。</strong></span></p> <p><span style="font-size: 14px;"><strong>資料來源：2026年iThome CIO & CISO大調查，2026年3月</strong></span></p> </div></div></div>
5/3 12:16作者王宏仁https://www.ithome.com.tw/article/175434
cPanel重大漏洞出現濫用的概念驗證框架，全球網際網路尚有兩萬多臺伺服器遭駭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p style="margin-left:.05pt;">供應網站主機代管相關軟體的WebPros，擁有可簡化Linux系統管理的cPanel與WHM（WebHost Manager），<strong><a href="https://www.ithome.com.tw/news/175449">在4月28日揭露與修補9.8分重大漏洞CVE-2026-41940</a></strong><strong>，</strong>兩天後，美國網路安全和基礎設施安全局（CISA）宣布，將CVE-2026-41940加入<strong><a href="https://www.ithome.com.tw/news/175473">已知遭利用漏洞清單（KEV）</a></strong>，因為他們觀察到濫用此漏洞的活動變得活躍，5月1日GitHub出現濫用CVE-2026-41940的概念驗證框架<strong><a href="https://github.com/ynsmroztas/cPanelSniper">cPanelSniper</a></strong>，由資安研究員Yunus Emre Öztaş發布，其簡介對於CVE-2026-41940屬於身分驗證繞過類型的漏洞，提供更清楚的說明：此弱點允許未經身分驗證的遠端攻擊者（不需任何有效憑證），獲取root層級的WHM存取權限，方法是透過授權的HTTP標頭注入CRLF（\r\n）換行序列。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/CVE-2026-41940-POC.png"><img alt="" src="/sites/default/files/images/CVE-2026-41940-POC.png" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">5月1日Shadowserver基金會也在社群網站X發文，警示濫用CVE-2026-41940的攻擊持續發生，他們發現4.4萬個IP位址疑似遭駭，而且針對他們設置的蜜罐誘捕陷阱進行掃描、漏洞濫用或暴力破解攻擊。</p> <p style="margin-left:.05pt;">根據Shadowserver基金會的儀表板顯示，4月30日遭駭的IP位址總數為44,089個，數量前三的國家分別是美國（15,200個）、法國（4,300個）、德國（4,200個），臺灣有71個IP位址遭駭。5月1日遭駭的IP位址總數降至20,771個，數量前三的國家分別是美國（7,400個）、法國（2,200個）、印度（1,200個），臺灣還有13個IP位址遭駭。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/CVE-2026-41940-shadowserver-2026-04-30.jpg"><img alt="" src="/sites/default/files/images/CVE-2026-41940-shadowserver-2026-04-30.jpg" style="width: 600px;" /></a></p> </div></div></div>
5/2 23:46作者李宗翰https://www.ithome.com.tw/news/175484
對抗先進AI模型帶來的資安威脅態勢急速惡化，AI紅隊平臺新創廠商Armadin與兩大資安公司宣布合作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p style="margin-left:.05pt;">因成立資安公司Mandiant而聞名的Kevin Mandia，去年創辦新的資安公司Armadin專攻AI紅隊演練應用需求，提供<strong><a href="https://www.armadin.com/blog-posts/introducing-armadin">AI代理驅動的攻擊型資安平臺（offensive platform）</a></strong>，4月30日宣布與CrowdStrike、Palo Alto Networks這兩家資安大廠合作，他們正好是AI模型大廠Anthropic資安計畫<a href="https://www.anthropic.com/glasswing"><strong>Project Glasswing</strong></a>的創始成員，也都參加<strong><a href="https://openai.com/zh-Hant/index/accelerating-cyber-defense-ecosystem/">OpenAI的Trusted Access for Cyber計畫</a></strong>。</p> <p style="margin-left:.05pt;">上述的策略結盟源自近期多個先進AI模型（frontier AI models）問世，像是<strong><a href="https://www.ithome.com.tw/tags/mythos">Mythos</a></strong>與<strong><a href="https://www.ithome.com.tw/tags/gpt-cyber">GPT-Cyber</a></strong><strong>，</strong>資安漏洞發現與濫用的規模、能力、速度均大幅提升，徹底改變攻擊態勢，大型企業已感受到強化資安的迫切性，不僅需了解本身暴露的部分與風險，也要掌握哪些層面將轉換成真正的攻擊行動。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/Frontier AI Models Are Reshaping.jpg"><img alt="" src="/sites/default/files/images/Frontier%20AI%20Models%20Are%20Reshaping.jpg" style="width: 600px;" /></a></p> <h1 style="margin-left: 0.05pt;"><span style="color:#0000FF;"><strong>與CrowdStrike合作重點在於強化內部環境防護</strong></span></h1> <p style="margin-left:.05pt;">對於CrowdStrike而言，4月23日號召埃森哲（Accenture）、安永（EY）、IBM Cybersecurity Services、Kroll 和 OpenAI，<strong><a href="https://www.crowdstrike.com/en-us/press-releases/crowdstrike-launches-project-quiltworks/">宣布成立Project QuiltWorks的聯盟</a></strong>，針對先進AI模型找到的企業系統程式碼漏洞，提供評估、優先順序排定與持續修復能力，CrowdStrike也順勢推出Frontier AI Readiness and Resilience Service服務，因應先進AI模型加速資安風險產生的威脅態勢。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/CrowdStrike Launches Project QuiltWorks1-web.jpg"><img alt="" src="/sites/default/files/images/CrowdStrike%20Launches%20Project%20QuiltWorks1-web.jpg" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">而在最新宣布與Armadin的策略合作中，CrowdStrike的XDR與端點防護平臺Falcon將整合Armadin的AI攻擊技術，借重該公司提供安全而持續的AI代理攻擊能力，檢測企業內部網路環境的基礎架構、身分、端點等層面的防禦能力。Armadin將成為Project QuiltWorks生態系統的一員，提供多種攻擊措施以凸顯企業的AI風險，CrowdStrike的專家團隊與合作廠商將會依此排定遭濫用漏洞的處理優先順序，並修復已暴露在風險中的漏洞，驅動企業內部的修復作業。</p> <p style="margin-left:.05pt;">在此同時，自動化攻擊模擬與驗證平臺Armadin Red將透過Project QuiltWorks提供用戶，也能經由CrowdStrike全球現場服務團隊與全球系統整合商供應，屆時企業即可運用Armadin與Falcon平臺，實現自主的滲透測試，進而達到持續確保資安韌性的目標。</p> <h1 style="margin-left: 0.05pt;"><span style="color:#0000FF;"><strong>與Palo Alto Networks合作重點在於外部攻擊面的掌控</strong></span></h1> <p style="margin-left:.05pt;">對於Palo Alto Networks而言，與Armadin展開合作的方式，是將該公司<strong><a href="https://www.paloaltonetworks.com/blog/2026/04/introducing-unit-42-frontier-ai-defense/">新推出的先進AI模型防禦系統</a></strong>Unit 42 Frontier AI Defense<strong>，</strong>結合Armadin提供的AI驅動（AI-driven）自主攻擊評估措施。</p> <p style="margin-left:.05pt;">在Palo Alto Networks的這套系統中，Armadin以元件形式為其增添自主的外部攻擊模擬與評估能力，Unit 42 Frontier AI Defense可提供更嚴謹、經過壓力測試驗證的外部攻擊面呈現方式。簡而言之，針對面向網際網路的IT資產，這樣的搭配，可協助企業<strong><a href="https://www.paloaltonetworks.com/blog/2026/04/unit-42-frontier-ai-defense-armadin-partnership/">找出實際的攻擊路徑，並證明可被攻擊者滲透的弱點，</a></strong>使企業能驗證本身面臨的AI驅動威脅風險，了解外部邊界可能遭受的漏洞濫用活動。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/Unit 42 Frontier AI Defense-2-web.jpg"><img alt="" src="/sites/default/files/images/Unit%2042%20Frontier%20AI%20Defense-2-web.jpg" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;"><img alt="" src="/sites/default/files/images/Unit%2042%20Frontier%20AI%20Defense-1.png" style="width: 600px;" /></p> <p style="margin-left:.05pt;">細部而言，Armadin會先針對面向網際網路的IT資產、雲端服務資源，以及暴露在外的帳密與金鑰，執行被動式探查與驗證；接著部署一群協同工作的AI代理，進而同時執行主動偵察與漏洞濫用，過程中會採用<strong><a href="https://www.paloaltonetworks.com/blog/2026/04/unit-42-frontier-ai-defense-armadin-partnership/">超過5萬個範本</a></strong>；一旦能夠建立對上述IT資產的初步存取（initial access），這個平臺會模擬漏洞濫用後（post-exploitation）進行的行為，展示其在現實世界的影響；而且，每一條攻擊鏈都會被記錄，成為通過驗證且符合決策層級需求的可利用風險。</p> <p style="margin-left:.05pt;">Armadin表示，上述評估工作若用人工進行需花上好幾週，Armadin的平臺卻是以機器的速度完成，能透過精準模擬的方式反映攻擊者使用最強大AI後的攻擊手法，能將複雜網路攻擊的生命週期從幾天壓縮至幾分鐘。</p> <p style="margin-left:.05pt;">而有了這些重大發現，Palo Alto Networks整合威脅情報、事件應變與資安顧問的專業團隊Unit 42就能加以利用，對整個企業提供修復指引，加速資安防護的實施。</p> </div></div></div>
5/2 15:19作者李宗翰https://www.ithome.com.tw/news/175483
Ubuntu與Canonical網站疑似遭遇DDoS攻擊而停擺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p style="margin-left:.05pt;">在5月1日，維護Ubuntu Linux作業系統的廠商Canonical，旗下有多個網站面臨DDoS攻擊，發動這波行動的是親伊朗的駭客組織，自稱「伊拉克伊斯蘭網路抵抗組織—313團隊（The Islamic Cyber Resistance in Iraq – 313 Team）」，他們透過即時通訊軟體Telegram的頻道宣布，攻擊將持續4個小時，但截至目前為止，網站仍未恢復正常運作。</p> <p style="margin-left:.05pt;">根據<strong><a href="https://status.canonical.com/">Canonical與Ubuntu服務狀態網站</a></strong>的公告，以及<a href="https://x.com/ubuntu/status/2050112955132297652"><strong>Canonical</strong></a>與<a href="https://x.com/ubuntu/status/2050112955132297652"><strong>Ubuntu</strong></a>的社群網站X（原 Twitter）最新貼文，他們表示，網站基礎架構正面臨持續且跨越多國的網路攻擊，Canonical正在處理這起事故。然而，他們至今尚未發布DDoS攻擊導致網站服務中斷的正式聲明。</p> <p style="margin-left:.05pt;"> </p><div class="media_embed"> <blockquote class="twitter-tweet" height="" width=""><p dir="ltr" lang="en" xml:lang="en">Canonical’s web infrastructure is under a sustained, cross-border attack and we are working to address it.</p> <p>We will provide more information in our official channels as soon as we are able to.</p> <p>— Ubuntu (@ubuntu) <a href="https://twitter.com/ubuntu/status/2050112955132297652?ref_src=twsrc%5Etfw">May 1, 2026</a></p></blockquote> <script async="" charset="utf-8" height="" src="https://platform.twitter.com/widgets.js" width=""></script></div> <p style="margin-left:.05pt;">而在線上論壇網站Reddit的<strong><a href="https://www.reddit.com/r/Ubuntu/comments/1t07tb2/canonical_ubuntu_being_targeted_by_a_ddos_attack/">r/Ubuntu社群相關貼文</a></strong>，列出停擺的多個網站：</p> <ul> <li>ubuntu.com</li> <li>canonical.com</li> <li>security.ubuntu.com</li> <li>archive.ubuntu.com</li> <li>developer.ubuntu.com</li> <li>blog.ubuntu.com</li> <li>portal.canonical.com</li> <li>assets.ubuntu.com</li> <li>academy.canonical.com</li> <li>jaas.ai</li> <li>maas.io</li> <li>Ubuntu Security API – CVEs</li> <li>Ubuntu Security API – Notices</li> </ul> <p style="margin-left:.05pt;">上述網站橫跨開發者工具、資安API，以及入口網站，如今Canonical與Ubuntu旗下多個網站停擺已超過24小時，可能造成哪些影響？Ubuntu是全世界最廣泛使用的Linux發行版本，用戶涵蓋雲端服務供應商、大型企業，以及個別開發者，當這個重要的開放原始碼軟體平臺的網站服務持續中斷，將對全球開發者與資安社群的運作帶來重大衝擊。</p> <p style="margin-left:.05pt;">首當其衝的是，使用者無法經由常用管道下載Ubuntu的各個版本，也無法登入Canonical帳號；若無法存取archive.ubuntu.com網站，將導致套件安裝與系統更新中斷；資安相關API若停擺，對於仰賴Ubuntu安全資訊餵送基礎架構的組織而言，可能發生自動修補工作流程延遲。</p> </div></div></div>
5/2 01:49作者李宗翰https://www.ithome.com.tw/news/175482
Linux系統核心存在高風險漏洞Copy Fail，本機使用者能藉此奪取root權限，廣泛影響多個主流Linux版本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p style="margin-left:.05pt;">前幾天，有個存在Linux系統核心長達9年的高風險漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2026-31431"><strong>CVE-2026-31431</strong></a>被揭露，由資安廠商Theori公開這個嚴重性評分為7.8分弱點，將其命名為Copy Fail，並特別設立<a href="https://copy.fail/"><strong>專屬網站</strong></a>說明問題的成因與影響範圍，同時提供概念驗證程式，促使大家盡快因應迫切的危機。根據資安廠商Sysdig的整理，以系統核心而言，受此漏洞影響的版本，包含：4.14 到7.0-rc版、6.18.22之前的6.18.x版、6.19.12之前的6.19.x版，換言之，已修補的版本為7.0版、6.19.12版、6.18.22版。</p> <p style="margin-left:.05pt;"><strong><a href="https://www.tenable.com/blog/copy-fail-cve-2026-31431-frequently-asked-questions-about-linux-kernel-privilege-escalation"><img alt="" src="/sites/default/files/images/CVE-2026-31431-Linux%20Version1-Tenable.png" style="width: 600px;" /></a></strong></p> <p style="margin-left:.05pt;">Theori表示，Copy Fail是個邏輯臭蟲，存在Linux系統核心的密碼學範本authencesn，不需觸發競態條件的時間空檔（race window）或系統核心層面的偏移（kernel-specific offset），也不需網路存取、系統核心除錯功能、預先安裝指令，即可在Linux系統達到本機存取權限提升（Local Privilege Escalation，LPE）的目的——允許未取得權限的本機使用者，觸發長度為4個位元組的受控資料寫入動作，寫入的目標是系統中任何可讀取檔案的分頁快取（Page Cache），而且，透過一段長度為732個位元組的Python指令碼，可針對套用 setuid權限位元的二進位執行檔（setuid binary，例如/usr/bin/passwd或/usr/bin/su）進行編輯，藉此在Linux系統獲得root權限。</p> <p style="margin-left:.05pt;">值得注意的是，上述發現得力於AI輔助。來源是Theori的研究員Taeyang Lee的一項研究，當中發現splice() 將分頁快取傳遞給crypto/子系統，以及scatterlist分頁的來源可能是一個未深入調查的程式臭蟲類別，後續Theori採用自家的AI資安工具Xint Code，大約在1個小時內完成稽核整個crypto/ 子系統的規模擴展，結果顯示Copy Fail是處理過程發現的最嚴重漏洞。</p> <p style="margin-left:.05pt;">基本上，這個問題影響的範圍非常廣泛，涵蓋2017年以後發行的所有Linux版本，因為都預設搭配Kernel Crypto API（使用者空間的存取介面為AF_ALG），目前Theori展示可濫用Copy Fail漏洞的四個版本：Ubuntu 24.04 LTS、Amazon Linux 2023、RHEL 10.1、SUSE 16。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/copy fail exploit linux.jpg"><img alt="" src="/sites/default/files/images/copy%20fail%20exploit%20linux.jpg" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">除此之外，多個Linux版本均已發布相關資安公告，包括：<strong><a href="https://explore.alas.aws.amazon.com/CVE-2026-31431.html">Amazon Linux</a></strong>、<strong><a href="https://security.archlinux.org/CVE-2026-31431">Arch Linux</a></strong><strong>、</strong><strong><a href="https://blog.cloudlinux.com/cve-2026-31431-copy-fail-mitigation-and-patches">CloudLinux</a></strong><strong>、</strong><strong><a href="https://security-tracker.debian.org/tracker/CVE-2026-31431">Debian</a></strong><strong>、</strong><strong><a href="https://bugs.gentoo.org/show_bug.cgi?id=CVE-2026-31431">Gentoo</a></strong><strong>、</strong><strong><a href="https://access.redhat.com/security/cve/cve-2026-31431">Red Hat Enterprise Linux</a></strong><strong>、</strong><strong><a href="https://www.suse.com/security/cve/CVE-2026-31431.html">SUSE</a></strong><strong>、</strong><strong><a href="https://ubuntu.com/security/CVE-2026-31431">Ubuntu</a></strong><strong>。</strong></p> <p style="margin-left:.05pt;"><a href="https://www.tenable.com/blog/copy-fail-cve-2026-31431-frequently-asked-questions-about-linux-kernel-privilege-escalation"><img alt="" src="/sites/default/files/images/CVE-2026-31431-Linux%20Version2-Tenable.png" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;"> </p> </div></div></div>
5/1 23:37作者李宗翰https://www.ithome.com.tw/news/175481
蘋果財報超越預期，iPhone 17與MacBook Neo熱銷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.apple.com/newsroom/2026/04/apple-reports-second-quarter-results/" target="_blank">蘋果週四（4/30）公布</a>截至3月28日的2026財年第二季財報，該季蘋果創下1,112億美元的營收，比去年同期成長17%，所有地區的業績都出現兩位數的成長，是蘋果歷來最佳的3月季度表現。蘋果表示，該成果主要受益於iPhone 17系列的市場需求，以及新款MacBook Neo的熱銷。由於表現超越分析師預期，當天蘋果盤後股價上漲2.68%，至278.46美元。</p> <p><a href="https://www.apple.com/newsroom/pdfs/fy2026q2/FY26_Q2_Consolidated_Financial_Statements.pdf" target="_blank">在1,112億美元的營收中</a>，有802.1億美元來自產品，成長16.7%，310億美元來自服務，成長16.3%。</p> <p>最大的市場為美洲，營收為451億美元，成長11.9%；居次的是歐洲的281億美元，成長14.7%；大中華區為205億美元，大幅成長28.1%；日本為84億美元，成長15.1%；其它亞太市場為91億美元，成長25.3%。</p> <p>在個別的產品上，iPhone該季帶進570億美元的營收，成長21.7%；Mac為84億美元，成長5.7%；iPad為69億美元，成長8%；穿戴暨家用裝置為79億美元，成長5%。</p> <p>蘋果在今年3月推出了兩款入門級產品，分別是售價599美元的<a href="https://www.ithome.com.tw/news/174123" target="_blank">iPhone 17e</a>，以及同樣只賣599美元的全新入門級筆電<a href="https://www.ithome.com.tw/news/174206" target="_blank">MacBook Neo</a>。蘋果表示，從該季的表現來看，iPhone 17系列已成為蘋果歷史上最受歡迎的產品線；且他們低估了市場對MacBook Neo的熱情，該季的新Mac用戶也創下了新紀錄，有部分需歸功於MacBook Neo。</p> <p class="rtecenter"><img alt="" src="https://www.ithome.com.tw/sites/default/files/images/0305-macbookneo-600.png" style="width: 600px;" /></p> <p>此外，MacBook Neo正逐步侵蝕低階Windows筆電與Chromebook市場。</p> <p>蘋果透過Apple Intelligence將AI整合至裝置體驗中。蘋果執行長庫克（Tim Cook）表示，真正讓蘋果脫穎而出的，是Apple Intelligence如何融入各平臺的核心，現在它可支援AirPods的即時翻譯，也可分析視覺及整理照片，並打算在今年推出更個人化的Siri，蘋果並不把AI當作一個獨立的功能，而是把它視為所有裝置上不可或缺、直覺的用戶體驗的一部分。</p> </div></div></div>
5/1 20:06作者陳曉莉https://www.ithome.com.tw/news/175480
英國生物樣本庫經由內部研究人員外洩，50萬筆記錄流入阿里巴巴兜售
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>全球最大生物樣本資料庫UK Biobank近日<a href="https://www.ukbiobank.ac.uk/news/a-message-to-our-participants-uk-biobank-data-security-update/" target="_blank">發生重大資安事件</a>，參與研究的人員導致50萬筆所有參與者的生物資料外洩，並放上中國電商平臺阿里巴巴兜售。</p> <p><a href="https://www.twbiobank.org.tw/article.php?id=17" target="_blank">UK Biobank</a>是全球最大生物樣本資料庫，從2006到2010年間，募集全英國40到69歲共50萬人自願者加入UK Biobank，收集參與者的血液、唾液、尿液和身體檢測數值並經過匿名化（de-identified）處理保存，供國際上研究者申請使用或進行相關的生物醫學測試。至今已有1萬3千個研究人員註冊登記，遍布68個國家1,375個單位，並核准1,200個計畫使用UK Biobank資料。</p> <p>根據英國媒體報導，4月20日UK Biobank發現有三批資料集被不同賣家放上阿里巴巴持有的消費者電商平臺出售。其中至少有一筆是來自UK Biobank所有50萬自願參與者的資料。</p> <p>UK Biobank執行長Rory Collins上週向參與者公開說明，在英國和中國政府介入下，已要求阿里巴巴將這些資料集下架，這些資料都未被出售。UK Biobank指出，該事件並非出於網站漏洞或被駭，而是來自具有合法存取權的研究人員。UK Biobank指出這是這些學術機構的明顯違約行為，這些研究機構及牽涉的研究人員已經被吊銷存取。</p> <p>不確定詳細原因是研究人員刻意外流資訊，或是未妥善保管下載的研究樣本集導致資料被竊。</p> <p>Biobank告知參與者，所有外洩的資料都是匿名化資料，不包含任何可辨識身份的資訊，如姓名、住址、出生日期和NHS（英國健康記錄帳號）編號。UK Biobank已暫時關閉所有存取，以強化安全控管措施，包括縮小由平臺下載的資料規模。平臺也將對所有輸出的檔案監控所有可疑行為，以減少被誤用及濫用行為。</p> <p>英國公立醫療機構Barts Health NHS Trust去年才<a href="https://www.ithome.com.tw/news/172731" target="_blank">公告</a>遭駭客攻擊Oracle E-Business Suite（EBS），導致數目不詳的個人資料外洩。</p> </div></div></div>
5/1 15:30作者林妍溱https://www.ithome.com.tw/news/175479
讓世界再次看見臺灣AI資安實力，奧義兩款產品列入OWASP AI 安全地圖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p style="margin-left:.05pt;">過去曾多次參加MITRE ATT&CK評估，<strong><a href="https://www.ithome.com.tw/news/173853">奧義</a></strong>成為臺灣首家站上全球舞臺展現資安廠商偵測實力的新創公司，本週他們宣布在AI資安領域獲得新突破，因為旗下有兩款資安產品列入OWASP最新版AI安全解決方案地圖。</p> <p style="margin-left:.05pt;">其中一款是去年7月推出的<strong><a href="https://www.ithome.com.tw/news/169867">新世代AI防火牆安全模組XecGuard</a></strong><strong>，</strong>被OWASP列入該份地圖的企業導入AI階段，分別是：營運（Operate）、部署（Deploy）、測試與評估（Test & Evaluate）、增強與資料微調（Augment, Fine Tune Data）。這項產品可強化大型語言模型（LLM）的安全防禦能力，在AI服務運作過程中，提供<strong><a href="https://www.linkedin.com/feed/update/urn:li:activity:7455435772436045824/">即時防止敏感資料外洩的機制</a></strong>，實現自主與量化的資安管理，<strong><a href="https://www.cycraft.com/news/owasp-20260430">持續監控與分析對話內容</a></strong>，藉此偵測AI代理是否被引導執行偏離任務的工具呼叫程序，或是產生不安全的工作流程。除此之外，XecGuard可提供API與閘道模式，因應不同產業對於法規遵循、資料主權與部署的需求，也能快速整合既有的AI應用系統、AI代理架構與內部作業流程。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/OWASP AI Security Solutions Landscape-Operate.jpg"><img alt="" src="/sites/default/files/images/OWASP%20AI%20Security%20Solutions%20Landscape-Operate.jpg" style="width: 198px;" /></a> <a href="/sites/default/files/images/OWASP AI Security Solutions Landscape-Deploy.jpg"><img alt="" src="/sites/default/files/images/OWASP%20AI%20Security%20Solutions%20Landscape-Deploy.jpg" style="width: 198px;" /></a> <a href="/sites/default/files/images/OWASP AI Security Solutions Landscape-Test.jpg"><img alt="" src="/sites/default/files/images/OWASP%20AI%20Security%20Solutions%20Landscape-Test.jpg" style="width: 198px;" /></a></p> <p style="margin-left:.05pt;">另一款是XecART，被列入OWASP AI安全解決方案地圖的企業導入 AI階段，涵蓋：範圍與規畫（Scope & Plan）、開發與實驗（Develop & Experiment），以及測試與評估。這款產品專攻AI紅隊安全評測（AI Red Teaming），去年奧義陸續在幾篇新聞稿提及，像是6月底<strong><a href="https://www.cycraft.com/post/apple-on-device-foundation-model-en-20250630">針對蘋果裝置端基礎模型的分析</a></strong>，<strong><a href="https://www.cycraft.com/en/news/xecguard-launch-en-20250702">7月發表</a></strong>XecGuard，直到12月接受<strong><a href="https://www.cycraft.com/news/weekly-bcn-20251202">日本週刊 BCN 報導</a></strong>，XecART這個稱呼才真正浮上檯面，今年2月正式於<strong><a href="https://www.cycraft.com/news/taiwans-first-ai-cybersecurity-stock-20260205">台灣證券交易所創新板掛牌交易</a></strong>，XecART則以「模型自動化評測」再度被提到。</p> <p style="margin-left:.05pt;">在4月底奧義宣布入選OWASP AI安全解決方案地圖的消息中，他們更具體描繪XecART的特色，像是<strong><a href="https://www.linkedin.com/feed/update/urn:li:activity:7455435772436045824/">精準模擬攻擊路徑，確保AI代理的行為能夠遵循企業與組織的政策，</a></strong>並且針對目標偏移、提示注入、工具濫用等風險，<strong><a href="https://www.cycraft.com/news/owasp-20260430">提供多回合的對話循環測試與自動化紅隊演練</a></strong>，藉此協助企業驗證在多AI代理環境下，AI代理是否安全、穩定及遵循規範。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/OWASP AI Security Solutions Landscape-Scope.jpg"><img alt="" src="/sites/default/files/images/OWASP%20AI%20Security%20Solutions%20Landscape-Scope.jpg" style="width: 198px;" /></a> <a href="/sites/default/files/images/OWASP AI Security Solutions Landscape-Develop.jpg"><img alt="" src="/sites/default/files/images/OWASP%20AI%20Security%20Solutions%20Landscape-Develop.jpg" style="width: 198px;" /></a> <a href="/sites/default/files/images/OWASP AI Security Solutions Landscape-Test.jpg"><img alt="" src="/sites/default/files/images/OWASP%20AI%20Security%20Solutions%20Landscape-Test.jpg" style="width: 198px;" /></a></p> </div></div></div>
5/1 15:37作者李宗翰https://www.ithome.com.tw/news/175478
全球最大網攻演習落幕，41國演練戰時守護電網與軍事系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>全球最大實戰型網路防禦演習<a href="https://ccdcoe.org/news/2026/locked-shields-2026-united-the-power-of-41-nations-to-defend-cyberspace/" target="_blank">Locked Shields 2026已於4月24日落幕</a>。本次演習集結了來自41國、16支隊伍及超過4000名參與者，模擬戰時情境下即時應對大規模網路攻擊，演練如何在電網、防空與軍事系統等關鍵基礎設施遭攻擊時維持正常運作。</p> <p>Locked Shields是北大西洋公約組織（North Atlantic Treaty Organization，NATO）合作網路防禦卓越中心（Cooperative Cyber Defence Centre of Excellence，CCDCOE）在2010年起每年舉辦的實戰型網路防禦演習，從最初僅有4國、約60人參與，逐步擴大為全球規模最大的網路攻防演練，採取即時攻防（live-fire）設計，模擬國家在遭受持續網路攻擊甚至戰時情境下的應變能力。</p> <p><a href="https://ccdcoe.org/news/2026/worlds-largest-cyber-defence-exercise-locked-shields-kicks-off-in-tallinn/" target="_blank">Locked Shields 2026的演習</a>則是虛構了一個名為Berylia的國家，模擬它遭受到某個手段高明的敵對勢力的攻擊，目的是破壞該國的主權機制，為了確保演習的真實性，CCDCOE與業界合作，導入了真實的硬體設備及工業控制系統，包括一個功能完整的發電系統、5G網路、衛星、電子投票系統，以及作戰指揮系統等。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0501-Locked%20Shields%202026-NATO%20CCDCOE-600.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／NATO CCDCOE</span></span></p> <p>今年的演習模擬了真實且大規模的網路攻擊行動，由16支隊伍扮演各國的快速反應小組，在兩天內協助Berylia抵禦針對上述系統、約8,000次的即時網路攻擊。</p> <p>CCDCOE主任Tõnis Saar表示，各隊必須在Locked Shields 2026的演習中充分展現自己的技能，保護那些維持人們日常生活運轉的資訊技術系統，各隊在偵測及應對惡意網路活動中表現出色，如今的重點則是將演習中的整體經驗應用到現實情境中，特別是隨著AI技術的不斷發展，也正在改變網路領域的攻擊與防禦模式。</p> <p>CCDCOE也公布了在Locked Shields 2026演習中表現最出色的3個隊伍，分別是拉脫維亞+新加坡隊，德國+奧地利+盧森堡+瑞士隊，以及法國+瑞典隊。</p> <p>負責該演習的Dan Ungureanu指出，Locked Shields的最終目標是促進各國之間的合作，建立彼此的信任，以及共同理解如何強化網路空間的韌性。</p> </div></div></div>
5/1 14:48作者陳曉莉https://www.ithome.com.tw/news/175475
Cloudflare代理人能自主建帳號、註冊網域、部署程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>雲端基礎架構供應商<a href="https://blog.cloudflare.com/agents-stripe-projects/" target="_blank">Cloudflare宣布</a>和金融服務商Stripe合作提高代理人服務能力，可代管理員部署Cloudflare應用程式，從建立帳號、註冊網域和搞定API token都能自主解決。</p> <p>現在程式開發代理人已經能幫忙撰寫程式，但是要將應用程式部署到雲端，仍需要人類來處理後續工作，包括建立帳號和訂購必要的基礎架構服務。Cloudflare強化的代理人功能，讓代理人可以建立Cloudflare帳號、啟用付費訂閱、註冊帳號、取得API token來部署程式碼。這過程中不需人類動手，但人類全程都會被通知以便提供許可，並且必須接受Cloudflare的服務條款。之後管理人就不需在儀表板操控、複製貼上API token，或輸入信用卡帳號。若結合Cloudflare的Code Mode MCP伺服器及Cloudflare的代理人技能，可以進一步提升代理人自動化功能。</p> <p>這項服務是基於Cloudflare和金融雲端平臺Stripe合作的新協定<a href="https://projects.dev/" target="_blank">Stripe Project</a>實作。使用Stripe Atlas的新創公司也可獲得價值10萬美元的Cloudflare點數。不過Cloudflare說，使用其他平臺的用戶若已登入，也可在Cloudflare實作高度自動化的代理人。</p> <p>Cloudflare和Stripe合作的新協議Stripe Project以現有標準如OAuth、OIDC及支付代幣化（tokenization）技術之上，涵括發現、授權及支付三個階段。發現部份使代理人得以呼叫指令來查詢可用服務的目錄。授權部份，讓平臺驗證使用者身份，允許供應商配置帳戶或連結現有帳戶，並將憑證發回給代理人。支付部份則由支付平臺提供支付token，供應商可用來向客戶收費，讓代理人能開始訂閱、購買並按使用量計費。</p> <p>Cloudflare也說明了運作方式。以Stripe為例，加入Stripe Project的企業組織必須安裝Stripe CLI及Strike Project外掛、登入Stripe。為了能讓代理人順暢在Stripe和Cloudflare服務間來回，用戶會被要求同意授權OAuth流程，允許代理人登入帳號。</p> </div></div></div>
5/1 15:05作者林妍溱https://www.ithome.com.tw/news/175476
蘋果App Store驚見假錢包，FakeWallet攻擊竊取助記詞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安業者<a href="https://securelist.com/fakewallet-cryptostealer-ios-app-store/119474/" target="_blank">Kaspersky近日揭露</a>，一波名為FakeWallet的攻擊行動已滲透蘋果App Store，出現至少26款偽裝成主流加密貨幣錢包的應用程式。這些App表面看似正常，但實際上會將使用者導向仿冒下載頁，誘導安裝被植入惡意程式的錢包，或透過釣魚介面騙取助記詞（Recovery Phrase）與私鑰，進而竊取加密資產。</p> <p>這波攻擊主要出現在中國區App Store。Kaspersky已發現至少26款釣魚應用偽裝成主流加密貨幣錢包。由於多數官方錢包無法在中國區App Store上架（特別是Apple ID設為中國地區的用戶），使駭客得以利用此情境，上架名稱與圖示與官方錢包高度相似的假App，並宣稱官方版本無法取得，誘導使用者轉往其他管道下載，進而展開後續攻擊。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0501-FakeWallet1-600-1.png" style="width: 600px;" /></p> <p>上述釣魚應用主要模仿多款主流加密貨幣錢包，包括MetaMask、Ledger Live、Trust Wallet、Coinbase旗下錢包，以及TokenPocket、imToken與Bitpie等，透過使用與官方高度相似的圖示、名稱（甚至刻意拼錯字），並搭配看似正常的介面或功能，增加使用者誤信與下載的機率。</p> <p>這些假錢包App多半只是入口，開啟後會將使用者導向仿冒頁面，誘導下載被植入惡意程式的錢包，或直接要求輸入助記詞。當使用者建立或匯入錢包時，助記詞就會被攔截並傳送給攻擊者，進而取得錢包控制權並竊取資產；部分針對硬體錢包的攻擊，則會偽裝成「安全驗證」畫面，誘騙使用者自行輸入助記詞。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0501-Phishing%20window%20for%20seed%20phrase%20verification.png" style="width: 462px;" /></p> <p>研究發現，這類攻擊並非單一手法，部分樣本是透過植入惡意程式庫或竄改原始碼，在應用執行過程中攔截助記詞，亦有版本會利用iOS描述檔機制，繞過App Store安裝限制，將受感染的錢包直接安裝至裝置中，增加偵測與防範難度。</p> <p>在攻擊來源方面，Kaspersky指出，FakeWallet行動可能與另一已知惡意程式SparkKitty存在關聯。研究人員在部分樣本中發現同時包含兩者模組，且程式內部出現中文註解與紀錄訊息，顯示開發者可能為中文母語者。不過，目前尚無法確認這些攻擊是否出自同一駭客組織。</p> <p>值得注意的是，儘管本次攻擊主要以中國市場為目標，但惡意模組本身並未設有地區限制，且部分釣魚介面可依語言自動調整，意味著該手法具備擴散至其他市場的能力。</p> </div></div></div>
5/1 15:20作者陳曉莉https://www.ithome.com.tw/news/175477
cPanel近期揭露9.8分重大漏洞已存在濫用活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p style="margin-left:.05pt;">本週網站主機管理軟體供應商<strong><a href="https://www.ithome.com.tw/news/175449">cPanel</a></strong>揭露與修補重大漏洞CVE-2026-41940，這個嚴重程度高達9.8分的身分驗證繞過漏洞，影響管理主機上個別租用帳號的cPanel、管理整臺代管主機的<strong><a href="https://www.namecheap.com/support/knowledgebase/article.aspx/9674/30/difference-between-cpanel-and-whm/">WHM（WebHost Manager）</a></strong>，以及建立在cPanel與WHM架構上的WordPress專用版主機管理平臺WP2（WordPress Squared），該公司已公布完成修補的版本，以及執行軟體更新的步驟與偵測入侵指標（IoC）的指令碼。根據<strong><a href="https://docs.cpanel.net/changelogs/130-change-log/">已修補版本的變更記錄描述</a></strong>，此問題的內部編號為CPANEL-52908，涉及連線階段的載入與儲存。</p> <p style="margin-left:.05pt;">4月30日美國網路安全和基礎設施安全局（CISA）宣布，將CVE-2026-41940加入已知遭利用漏洞清單（KEV），因為他們已掌握漏洞濫用活動開始活躍的證據，要求聯邦機構須於5月3日完成修補。</p> <p style="margin-left:.05pt;">關於漏洞濫用活動開始出現的時間點，最早可追溯至今年2月。4月29日主機代管服務業者<strong><a href="https://www.reddit.com/r/cpanel/comments/1syyajp/comment/oiz12pp/?solution=8dff1e681e635afb8dff1e681e635afb&js_challenge=1&token=bbbe4bf1c9a2b5160829c4be34da5861b451948032bb91491e2daec99801fe13&jsc_orig_r=&utm_source=BC">KnownHost執行長Daniel Pearson</a></strong>在社群論壇Reddit表示，曾在2月23日察覺這類嘗試行為，<strong><a href="https://www.reddit.com/r/cpanel/comments/1syyajp/comment/oiyg0fr/?utm_source=share&utm_medium=web3x&utm_name=web3xcss&utm_term=1&utm_content=share_button">並認為此漏洞必定遭到廣泛濫用，</a></strong>而且至少存在1個月之久，Daniel Pearson本人也確認存取活動與漏洞濫用已成功再現。同日資安公司<strong><a href="https://labs.watchtowr.com/the-internet-is-falling-down-falling-down-falling-down-cpanel-whm-authentication-bypass-cve-2026-41940/">watchTowr</a></strong>也公布這個漏洞的技術分析、概念驗證程式碼，以及偵測這類行為的Python指令碼。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/watchTowr-CVE-2026-41940-POC1.png"><img alt="" src="/sites/default/files/images/watchTowr-CVE-2026-41940-POC1.png" style="width: 298px;" /></a> <a href="/sites/default/files/images/watchTowr-CVE-2026-41940-POC2.png"><img alt="" src="/sites/default/files/images/watchTowr-CVE-2026-41940-POC2.png" style="width: 298px;" /></a></p> </div></div></div>
5/1 11:54作者李宗翰https://www.ithome.com.tw/news/175473
OpenAI推出進階帳號安全機制，為ChatGPT與Codex導入實體金鑰登入並支援用戶退出模型訓練
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://openai.com/index/advanced-account-security/" target="_blank">OpenAI週四（4/30）宣布</a>為ChatGPT及Codex用戶提供支援實體金鑰，關閉以電子郵件和SMS回復帳號、自動將用戶退出模型訓練等確保帳號安全性。OpenAI也宣布最新模型GPT 5.5-Cyber即將開放特定安全廠商存取。</p> <p>這一波安全新措施是OpenAI強化AI網路安全計畫的一環。新增的進階帳號安全（Advanced Account Security）核心在以新措施強化帳號登入防護、減少執行階段攔截、用戶退出模型訓練。首先，OpenAI和實體安全金鑰業者合作，支援以YubiKeys等產品登入帳號。除了支援標準FIDO標準的硬體金鑰，OpenAI並和Yubico聯名推出YubiKey金鑰，包含筆電用的YubiKey C Nano及行動裝置用的C NFC，售價68美元。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0501-openai%20passkey-600-1(1).png" style="width: 600px;" /></p> <p>當用戶啟用進階帳號安全後，會被要求關閉密碼登入，以防止密碼遭釣魚攻擊後外洩，損及帳號安全性。本設定也會關閉電子郵件和簡訊寄送帳號被鎖定時的回復驗證，而要求使用備份通行密鑰（passkey）、安全金鑰和回復金鑰。必須注意的是，由於帳號回復僅限定使用的安全措施，OpenAI安全支援無法提供協助。</p> <p>其次，啟用進階帳號安全時，登入安全執行階段（session）也會縮短，以減少曝險空窗。而如果用戶帳號有登入活動，也會獲得警示通知，並可檢視和管理該次登入。</p> <p>最後，啟用進階帳號安全設定時，用戶輸入會被自動摒除於OpenAI模型訓練，以保護敏感資訊身份的用戶，如記者、政治人物、異議人士。</p> <p>除了選擇性的安全設定外，OpenAI執行長<a href="https://x.com/sama/status/2049712078836170843" target="_blank">Sam Altman也宣布</a>最新的GPT-5.5-Cyber模型將在未來幾天內開放給「關鍵安全夥伴」存取。GPT-5.5-Cyber模型降低AI模型的拒絕邊界（refusal boundary），並提供包括二進位檔逆向工程，讓資安專家分析惡意軟體能力，或是在不需存取原始碼情況下了解系統軟體漏洞。為防新模型遭惡意濫用，新模型不開放給大眾使用。欲使用的組織必須<a href="https://openai.com/zh-Hant/form/enterprise-trusted-access-for-cyber/" target="_blank">在網站輸入</a>資訊申請以待審核。</p> <p>這項宣布正值OpenAI和Anthropic激烈技術競賽中。Anthropic公布安全模型Claude Mythos時，號稱該模型十分強大，為防濫用無法全面開放，因此必須採審核式開放存取。<a href="https://techcrunch.com/2026/04/21/sam-altman-throws-shade-at-anthropics-cyber-model-mythos-fear-based-marketing/" target="_blank">Altman嘲諷</a>此作法只是恐懼行銷。</p> </div></div></div>
5/1 11:54作者林妍溱https://www.ithome.com.tw/news/175474
微軟擴大Microsoft Discovery預覽，提供代理式AI支援企業研發流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a data-saferedirecturl="https://www.google.com/url?q=https://azure.microsoft.com/en-us/blog/microsoft-discovery-advancing-agentic-rd-at-scale/&source=gmail&ust=1777634563824000&usg=AOvVaw20Kh675wS0zCBWt6v5uD48" href="https://azure.microsoft.com/en-us/blog/microsoft-discovery-advancing-agentic-rd-at-scale/" target="_blank">微軟</a>針對研發專用的AI平臺Microsoft Discovery，<a data-saferedirecturl="https://www.google.com/url?q=https://azure.microsoft.com/en-us/blog/microsoft-discovery-advancing-agentic-rd-at-scale/&source=gmail&ust=1777634563824000&usg=AOvVaw20Kh675wS0zCBWt6v5uD48" href="https://azure.microsoft.com/en-us/blog/microsoft-discovery-advancing-agentic-rd-at-scale/" target="_blank">宣布</a>擴大預覽範圍。該平臺整合代理協作機制（<wbr></wbr>agentic orchestration）、推理能力、<wbr></wbr>知識圖譜架構與高效能運算（HPC），<wbr></wbr>並建置於Microsoft Azure雲端基礎架構上，可在企業既有的安全、<wbr></wbr>合規與治理架構下運作。</p> <p>微軟指出，代理式AI代表研發流程的新運作模式。<wbr></wbr>透過多個具備不同任務能力的AI代理組成團隊，<wbr></wbr>在人類專家監督下執行研究與工程工作，包括進行推理、生成假設、<wbr></wbr>測試與驗證，以及分析結果並持續回饋到後續流程。</p> <p>在核心技術上，Microsoft Discovery內建Discovery Engine，用來模擬科學研究方法，<wbr></wbr>讓AI代理能在大規模知識基礎上進行推理，<wbr></wbr>並生成假設與其驗證結果。同時，<wbr></wbr>該機制也能針對不同理論與實驗結果進行推理，<wbr></wbr>更貼近實際的科學研究過程。<wbr></wbr>平臺亦可整合企業內部資料與外部科學文獻，<wbr></wbr>作為AI代理推理所需的知識基礎。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0501-Microsoft%20Discovery-Discovery%20Engine.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>在執行層面，Microsoft Discovery整合高效能運算叢集、大型量化模型（<wbr></wbr>Large Quantitative Models，LQMs）與AI代理，並可串接實驗室設備、<wbr></wbr>機器人與物聯網裝置，<wbr></wbr>使AI代理能在人類監督下執行實驗相關流程。</p> <p>在企業系統方面，該平臺可與Microsoft 365、Microsoft Foundry與Microsoft Fabric整合，讓企業能在不同業務代理、企業資料與機構知識之間，<wbr></wbr>建立一致的運作方式。.</p> <p>微軟同時揭露多項預覽期間的應用案例。例如，<wbr></wbr>其內部研究團隊曾利用Microsoft Discovery找出新型資料中心浸沒式冷卻液原型。<wbr></wbr>工業工程業者PhysicsX則透過該平臺進行工程設計模擬，<wbr></wbr>將原本需數週的流程縮短至數天；半導體設計軟體業者新思科技（<wbr></wbr>Synopsys）也已導入Microsoft Discovery，應用於晶片設計流程。</p> </div></div></div>
5/1 09:34作者王珮瑤https://www.ithome.com.tw/news/175472
Coupang資料外洩波及逾3,300萬帳戶後，南韓FTC要求7大電商修訂服務條款強化個資保護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>南韓公平交易委員會（Fair Trade Commission，FTC）<wbr></wbr>針對主要電商平臺服務條款進行審查，要求包括Coupang、<wbr></wbr>Naver在內的7家業者修訂不公平條款，<wbr></wbr>以強化個資保護與消費者權益。</p> <p>根據<a data-saferedirecturl="https://www.google.com/url?q=https://en.yna.co.kr/view/AEN20260427004900320&source=gmail&ust=1777634563815000&usg=AOvVaw15Tp61p8qESQ8fq_WM_qq2" href="https://en.yna.co.kr/view/AEN20260427004900320" target="_blank">韓聯社</a>（Yonhap News Agency）、<a data-saferedirecturl="https://www.google.com/url?q=https://koreajoongangdaily.joins.com/news/2026-04-27/national/socialAffairs/Coupang-6-other-shopping-platforms-ordered-to-rewrite-terms-of-service-over-liabilitydodging/2578778&source=gmail&ust=1777634563815000&usg=AOvVaw2vBjNQZ0yEClujgJamfnAd" href="https://koreajoongangdaily.joins.com/news/2026-04-27/national/socialAffairs/Coupang-6-other-shopping-platforms-ordered-to-rewrite-terms-of-service-over-liabilitydodging/2578778" target="_blank">韓國中央日報</a>（Korea JoongAng Daily）報導，南韓FTC於4月27日公布審查結果，<wbr></wbr>指出Coupang、Naver、Kurly、SSG.<wbr></wbr>com等開放式電商平臺，共存在11類不公平條款，<wbr></wbr>涵蓋責任免除、營運權限、結算與退款等規範。其中，<wbr></wbr>有6家業者被發現存在不當免除或轉嫁個資外洩責任的條款。<wbr></wbr>以Coupang為例，其服務條款曾明訂，<wbr></wbr>對第三方未授權存取所造成的損害不負責任。<wbr></wbr>FTC認定此類全面免責不合理，要求業者除非能證明無過失，<wbr></wbr>否則不得排除責任或將損失轉嫁給使用者。此外，以業者別來看，<wbr></wbr>FTC指出Coupang涉及的不公平條款數量最多，共達8項。</p> <p>FTC也要求調整涉及消費者財產權的條款。例如，<wbr></wbr>Coupang過去在會員終止時，<wbr></wbr>會取消用戶已付費取得的儲值金（Coupay Money）。FTC認為，<wbr></wbr>此類作法等同於在未退款情況下消滅消費者以對價取得的財產價值。<wbr></wbr>經要求後，業者已同意修正條款，改為僅取消免費點數，<wbr></wbr>並保留付費餘額。</p> <p>此次監管行動的背景，與Coupang於2025年下半年揭露的<a data-saferedirecturl="https://www.google.com/url?q=https://www.ithome.com.tw/news/174032&source=gmail&ust=1777634563815000&usg=AOvVaw1NgW-phuoYxq1d6bLcUE_n" href="https://www.ithome.com.tw/news/174032" target="_blank"><wbr></wbr>資料外洩事件</a>相關。Coupang起初僅揭露約3,<wbr></wbr>000個帳戶資料遭前員工存取，但後續第三方鑑識<a data-saferedirecturl="https://www.google.com/url?q=https://www.aboutcoupang.com/update-on-the-november-29-personal-information-incident/&source=gmail&ust=1777634563815000&usg=AOvVaw1j7s7rRQiJvxpw9b-Yz7e4" href="https://www.aboutcoupang.com/update-on-the-november-29-personal-information-incident/" target="_blank">調查顯示</a>，<wbr></wbr>實際遭存取帳戶數達逾3,300萬個，<wbr></wbr>臺灣也有逾20萬用戶受影響</p> <p>FTC表示，<wbr></wbr>相關修正內容預計於5月初由各電商業者反映於新版服務條款中，<wbr></wbr>以強化數位交易環境中的責任分配與消費者權益保障。</p> </div></div></div>
5/1 09:06作者王珮瑤https://www.ithome.com.tw/news/175468
SAS升級資料管理平臺，還預告今年Q4上線量子運算工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>老牌AI大數據分析大廠SAS在年度大會SAS Innovate 2026上預告，要在今年第4季推出量子運算工具Quantum Lab，讓企業在既有的SAS Viya平臺上，探索和驗證量子AI的應用價值。同時，他們也宣布升級旗下資料管理服務組合SAS Data Management，讓使用者不用搬資料，就能直接在資料所在處進行分析。</p> <h2><strong>量子AI是什麼，為什麼現在就能用？</strong></h2> <p>SAS量子產品策略主管Amy Stout揭露量子運算產品布局，他們看好古典運算和量子運算的混合式架構，也就是在現有的量子硬體上執行機器學習演算法，混合搭配，讓量子處理器和古典處理器各自處理擅長的運算工作。</p> <p>SAS內部測試發現，這種混合式做法可提升效能超過100倍、成本還節省了99%。</p> <h2><strong>SAS Quantum Lab：不是量子物理學家也能用來探索運算</strong></h2> <p>Amy Stout指出，他們已經開發一款量子運算工具SAS Quantum Lab，定位是讓非量子物理專家的使用者，也能探索、測試和驗證自己的想法。</p> <p>這款平臺工具的亮點是，可以比較古典運算、量子運算以及混合式運算的結果，來讓企業找到最適合自身業務問題的解法。</p> <p><img alt="" src="/sites/default/files/images/%E6%88%AA%E5%9C%96%202026-04-30%20%E4%B8%8A%E5%8D%889_19_48.png" /></p> <p>該平臺也提供一個虛擬量子AI導師，可以回答問題、提供範例程式碼並建議下一步。</p> <h2><strong>直接在資料所在處跑分析，省去搬遷麻煩</strong></h2> <p>另一方面，SAS也升級旗下資料管理服務，要讓使用者在資料所在處，就能直接執行分析和AI應用。</p> <p>過去，企業做資料分析，習慣把資料集中搬到分析平臺再處理，但這麼做會帶來三個問題：資料複製的成本、搬移過程的延遲，以及治理上的漏洞。SAS這次的做法反過來，讓分析和AI功能直接在資料所在的地方執行，也就是資料不動，分析能力直接移過去。</p> <p>進一步來說，主打這個便利性的產品名為SAS SpeedyStore，是一套整合在既有SAS Viya平臺上的高效能雲端資料平臺，可直接在分散資料的所在處執行分析。另一款產品SAS Data Accelerator則更進一步，讓SAS的分析能力可以跑在企業已使用的雲端資料倉儲或湖倉架構裡，不需要把資料搬出原本的環境，兼顧低延遲、低成本、低資安風險。此外，SAS Viya平臺還新增對DuckDB的支援，可在治理框架內直接分析Parquet、CSV、JSON等常見格式的資料。</p> <h2><strong>三款AI輔助工具，讓資料準備更快也更安全</strong></h2> <p>SAS這次也揭露幾款直接嵌入資料工作流程的AI工具。首先是SAS Viya Copilot for Data Discovery，可讓使用者用自然語言提問，比如「這份資料能不能用？怎麼用？」，把過去需要好幾天的資料探索流程，縮短到幾秒鐘。另一個AI工具SAS Viya Copilot for Code Assistance則整合進開發環境SAS Studio，讓工程師用自然語言撰寫、修改SAS和Python程式碼，不用離開原本的工作介面。</p> <p>另一款AI工具SAS Data Maker解決的是另一個常見痛點：很多開發與測試工作需要用到真實資料，但真實資料裡有個資，不能隨便拿來測試。Data Maker是SAS先前揭露的工具，可用來生成合成資料，在統計特性、關聯結構和時序特徵上都能貼近真實情況，且完全不含個資，企業可放心拿來開發和測試。</p> <p></p> <p></p> </div></div></div>
4/30 22:31作者王若樸https://www.ithome.com.tw/news/175470
SAS擴充自家平臺代理AI能力，推特定產業AI助理、MCP Server供外部LLM呼叫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>專攻AI大數據分析的老牌廠商SAS在年度大會SAS Innovate 2026上，宣布擴充自家分析平臺SAS Viya的代理型AI功能，主打2大新能力：內嵌於分析工作流程的AI助理系列SAS Viya Copilot、讓外部AI代理呼叫SAS分析能力的MCP Server。同時，他們也鎖定企業的AI代理需求，打造一款人人可用的AI代理加速器Agentic AI Accelerator，降低不同專業技能人員建置AI代理的門檻。</p> <h2><strong>Copilot不是外掛聊天介面，而是嵌進工作流程的AI助理</strong></h2> <p>SAS Viya Copilot的定位，是直接嵌入SAS Viya平臺的對話式AI助理，整合微軟一站式AI平臺Microsoft Foundry，讓資料科學家、開發者和業務分析師能在既有分析環境中，用自然語言完成資料探索、模型建置、儀表板生成和洞察解讀等任務，不需要切換到另一個獨立的聊天介面。</p> <p><img alt="" src="/sites/default/files/images/copilot(1).JPG" /></p> <p>目前Copilot支援的功能涵蓋：自動生成SAS和Python程式碼、模型管線建議與可解釋性說明、以自然語言建立儀表板，以及AI輔助的案件和預警資訊生成。SAS強調，有別於其他靠通用LLM知識的AI助理，Viya Copilot是以產業資料模型、術語與最佳實務為基礎，能執行更貼近產業情境的分析任務。</p> <p>SAS也推出2大產業專用Copilot，包括金融風險工作流程專用的資產負債管理（ALM）Copilot，以及協助臨床資料探索與病患族群分析的健康醫療Copilot。SAS也打算在2026年持續擴大應用範圍，比如金融犯罪防制、製造業供應鏈最佳化等場景。</p> <h2><strong>建置MCP Server，外部LLM可直接呼叫SAS分析能力</strong></h2> <p>SAS Viya MCP Server採用Model Context Protocol標準，把SAS的分析模型和決策能力作為客戶教的工具，企業使用者可從自選的LLM介面（如Claude）直接呼叫SAS的治理和分析能力，不需要複製邏輯或繞過企業管控機制。這也是大會現場Demo中，Claude能直接呼叫SAS Intelligent Decisioning完成補貨決策的技術基礎。</p> <p><img alt="" src="/sites/default/files/images/MCP(1).JPG" /></p> <h2><strong>瞄準不同技術程度的團隊需求，推加速器讓人人都能建置AI代理</strong></h2> <p>另一方面，SAS也發現一個企業痛點，就是要建置和部署AI代理，通常需要相當技術能力的工程團隊。為降低這個門檻，他們推出SAS Agentic AI Accelerator，提供一套預先整理好的程式碼、元件、介面和最佳實務框架，讓不懂程式碼的業務人員、或具備低程式碼能力的分析師，到有完整開發能力的工程師，都能在同一套治理框架內設計和部署AI代理。</p> <p>目前，Accelerator已在GitHub上開放給現有SAS Viya用戶使用。</p> <p><img alt="" src="/sites/default/files/images/%E5%8A%A0%E9%80%9F%E5%99%A8.JPG" /></p> <h2><strong>RAM：讓AI代理回答時有企業內部資料當依據</strong></h2> <p>SAS Retrieval Agent Manager（RAM）解決的是另一個常見問題：AI代理在回應問題時，如果只依賴訓練資料，很容易產生與企業實際情況脫節的答案。</p> <p>RAM以在RAG（檢索增強生成）框架為基礎，可將企業內部的非結構化資料，如政策文件、案件紀錄、作業程序等，轉化為AI代理可即時查詢的知識庫，讓代理在回應時，能以企業自家的最新資料為基礎，而非憑空推理。</p> <p>目前RAM以獨立產品形式提供，SAS計畫後續將其整合進SAS Viya平臺，讓平臺上的所有AI代理和助理都能直接存取。</p> <p></p> </div></div></div>
4/30 23:00作者王若樸https://www.ithome.com.tw/news/175471
SAS推產業AI代理和加速器，鎖定供應鏈、工安和詐欺偵測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>專攻AI與大數據分析的老牌大廠SAS在年度大會SAS Innovate 2026上，宣布推出一系列產業專用AI代理與模型，統稱產業加速器（Industry Accelerators），主打解決各產業最棘手的問題、提供開箱即用的AI解決方案。這也是SAS 10億美元產業解決方案投資計畫的最新成果，首波聚焦供應鏈、工安、社會福利給付與金融詐欺等四大場景。</p> <p>除了產業加速器，SAS的AI代理策略也瞄準行銷，在自家行銷平臺上新增3款AI代理能力，來加速行銷人員的受眾管理、顧客旅程、決策執行等工作流程。</p> <h2><strong>供應鏈AI代理：供應鏈規畫從每月一次變成持續執行</strong></h2> <p>這次產業加速器的一大亮點，是供應鏈AI代理SAS Supply Chain Agent，目前已開放客戶私人預覽。這款代理鎖定供需運營規畫（S&OP）流程，也就是零售和製造業管理庫存與供應鏈的核心機制。</p> <p><img alt="" src="/sites/default/files/images/%E4%BE%9B%E6%87%89%E9%8F%88agent%20cover.JPG" /></p> <p>傳統S&OP流程高度仰賴跨部門合作，要耗費好幾天在試算表進行需求預測和庫存規畫，流程複雜且耗時，所以大多數企業每個月執行一次。SAS Supply Chain Agent把這個流程轉為可持續運作、接近即時的決策機制，來兼顧企業使用者的需求、供應和營運狀態，在規畫周期內外，都能持續用這些資料進行決策。</p> <p>使用者可透過對話介面與AI代理互動，例如詢問「若需求下降15%，會發生什麼？」系統除了模擬情境、給出預測結果，也會同步說明推論依據，提高決策透明度。</p> <p><img alt="" src="/sites/default/files/images/supply%20chain.JPG" /></p> <h2><strong>數位分身加上合成資料，讓工安訓練不必承擔真實風險</strong></h2> <p>在工業與醫療場景中，SAS持續推動數位分身與合成資料的應用。SAS技術長Bryan Harris在大會首日回顧，2025年，SAS就已在Epic Games的Unreal Engine中建立工業場域的數位分身，讓企業能在虛擬環境中模擬各種營運情境，進行what-if的情境分析。</p> <p>在工安應用上，SAS Worker Safety整合數位分身、合成資料和電腦視覺技術，模擬高風險場景，例如堆高機碰撞或防護裝備配戴不當，產出訓練模型所需影像資料。這種方式可以生成多樣化情境，也能模擬真實世界中罕見、但可能發生的事故，同時避免員工暴露於風險或洩漏個資。模型訓練完成後，可部署於現場攝影機，提供即時預警。例如在製造場域偵測安全帽是否正確配戴，或在醫療環境中偵測口罩與手套是否鬆脫。</p> <p>Bryan Harris還揭露一項丹麥醫療器材滅菌機構的實例，他指出，該機構原先判斷，清洗流程瓶頸是因為負責排列器械托盤的緩衝升降機（buffer lift）發生卡滯。但在導入數位分身、進行模擬分析後，團隊發現托盤並未卡住，而是該升降機本身即為中央分流節點，需負責重新分配所有器械托盤流向，因此形成排隊延遲。</p> <p><img alt="" src="/sites/default/files/images/%E6%89%98%E7%9B%A4(1).JPG" /></p> <p>在釐清運作機制後，團隊進一步調整分流策略，成功解決問題，提高整體產線處理效率。</p> <p>甚至，在這個應用實例中，同一套系統還能用來檢查，工作人員是否準確配戴口罩、手套，確保工作達標。</p> <h2><strong>從SNAP到支付詐欺：AI協助政府與金融機構降低誤判</strong></h2> <p>在公共部門應用方面，SAS應用AI與建模研發副總裁Udo Sglavo指出，美國多個州政府（如內華達州）已採用食物給付工具SAS Payment Integrity for Food Assistance，協助管理聯邦補充營養援助計畫（SNAP）的給付正確性。</p> <p><img alt="" src="/sites/default/files/images/%E9%A3%9F%E7%89%A9.JPG" /></p> <p>這套系統可以串接既有的資格審查、案件管理、收入驗證和交易紀錄等資料，透過機器學習模型自動標記錯誤模式與異常情況，例如未更新的收入或家庭狀況變化，協助案件人員優先處理高風險個案，取代過往高度依賴人工逐筆審查的流程。</p> <p>金融詐欺方面，SAS提供Fraud Decisioning for Payments模型，支援信用卡、金融卡、ATM與數位錢包等多種交易場景的即時詐欺偵測。這些模型以多家全球大型金融機構透過聯盟提供的大規模詐欺資料進行訓練，涵蓋信用卡詐欺、帳戶詐欺和洗錢等多種樣態。</p> <h2><strong>行銷平臺導入多代理AI，主打人機協作</strong></h2> <p>不只如此，SAS的AI代理佈局也擴大到行銷領域，在大會上宣布擴充行銷平臺SAS Customer Intelligence 360的AI代理能力，提供多個專屬AI代理來自動化特定行銷工作流程，包括在既有的受眾管理、顧客旅程、決策執行等作業流程，擷取正確的資料物件、給建議並加速執行，所有關鍵節點都保留人工確認機制。</p> <p><img alt="" src="/sites/default/files/images/CI%20360.JPG" /></p> <p><strong>SAS 360 Agent：統籌協調各專屬代理</strong></p> <p>第一個是扮演監督角色的SAS 360 Agent，負責管理各個AI代理，如受眾代理、旅程代理、電子郵件代理、搜尋代理等專屬代理間的互動，讓行銷人員不需要在多個工具介面之間切換，由SAS 360 Agent跨顧客資料、行銷AI與旅程執行統一調度。</p> <p><strong>Journeys Agent：從想法到執行一氣呵成</strong></p> <p>另一款AI代理是Journeys Agent，行銷人員可透過文字簡報、圖片或對話提示等多模態輸入，快速建立顧客旅程。代理會自動擷取相關受眾、事件和接觸點，組合出符合最佳實務與行銷人員意圖的旅程架構，還能在背景產生可直接部署的SAS程式碼。整個規畫與建置過程，都內嵌了人機協作的確認節點，確保行銷人員掌握主導權。</p> <p><strong>Search Agent：不用翻儀表板，直接問就好</strong></p> <p>還有一款AI代理是Search Agent，行銷人員可用自然語言，直接詢問SAS Customer Intelligence 360平臺內的營運與績效相關問題，系統能根據企業資料給出有脈絡的答案，有別於過去行銷人員得在儀表板和選單間反覆切換的操作模式</p> <p></p> <p></p> </div></div></div>
4/30 21:49作者王若樸https://www.ithome.com.tw/news/175469
台灣大哥大與GMI Cloud合作在桃園打造25MW的AI算力中心，PUE小於1.2
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>台灣大哥大積極布局AI DC市場，去年與GMI Cloud合作AI Factory，台灣大哥大本周在媒體交流活動中預告，台灣大哥大將在桃園建置電力總負載容量為25MW的AI算力中心，並且與GMI Cloud合作，該資料中心將會採用Nvidia的GB300，以成為國內第一大AI算力中心為目標。</p> <p>GMI Cloud為Nvidia 的NCP雲端服務夥伴，為少數獲得Nvidia Reference Platform認證的雲端供應商之一。去年11月<a href="https://www.ithome.com.tw/news/172325">GMI Cloud大動作宣布</a>將在臺灣投入約160億元，以7,000顆GB300打造大型AI Factory, 當時預告於今年第一季完成。</p> <p>台灣大哥大周三對外說明今年營運策略，其中在企業服務方面，揭示在桃園建置25MW的AI算力中心，該算力中心將會採用符合UPTime Tier III規格設計，採用N+1備援架構，其PUE低於1.2，可支援單櫃散熱達135kW+，並採用模組化設計，以及最新的液冷技術。</p> <p><img alt="" src="/sites/default/files/images/%E6%93%B7%E5%8F%961(4).JPG" style="width: 600px; height: 341px;" /></p> <p>根據台灣大哥大先前的資料，與GMI Cloud的合作，涵蓋主流的H100、H200、GB200，預計年中再上線的最高規格的Blackwell GB300 NVL72超級晶片。</p> <p>台灣大哥大企業服務事業商務長朱曉幸曾指出，隨著企業專屬LLM落地部署、數位孿生、高階邊緣運算的需求爆發，加上高敏感產業對資料主權與低延遲的需求，台灣大哥大AIDC將鎖定政府、金融、製造、醫療四大領域，預期AIDC營收將有倍數成長。</p> <p>由於資料中心用電量大，台電早在2023年限制桃園以北地區的資料中心停止申請5MW以上的用電申請。台灣大哥大在桃園的資料中心則在限制之前通過取得25MW用電容量，此次與GMI Cloud的合作改建為新的AI算力中心，得以突破限制使用較大的電容量。台灣大哥大預告該算力中心目前預售期已100%售罄。</p> <p>在AI資料中心受限於用電限制移往中南部地區之下，這座AI Factory也是國內少數在北部建置的大型AI算力中心，資料中心位於桃園地區，在交通上可配合多設置於北部的企業總部，人員、設備交通往返比較方便。</p> <p>GMI身為Nvidia的雲端合作夥伴，具有優先配貨權，未來取得的GB300，其效能為GB200的1.5倍，為H200的7.5倍。</p> <p>去年在對外活動中，GMI Cloud預告在臺灣建立的AI Factory，將會採用7,000顆Blackwell GB300，搭配NVLink高速連接，相當於一秒可處理200萬token的超級電腦。</p> <p>GMI Cloud執行長葉威廷當時比喻，7,000顆GB300的算力相當於10萬顆H100，Llama 3花費6個月的時間訓練完成，這座AI Factory只要2周就能完成。</p> <p>該資料中心將鎖定大規模推論、模型訓練及AI應用開發，此外，也可供需要複雜運算的科學研究使用，像是預測未來災害的發展，例如預測模擬颱風的動向。</p> </div></div></div>
4/30 17:58作者蘇文彬https://www.ithome.com.tw/news/175465
《iThome臺灣資安產業地圖》發布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>《臺灣資安產業地圖》呈現臺灣自主研發的資安廠牌與產品類別的對應關係，以及資安產品的代理商與經銷商生態，未來將持續更新，以完整涵蓋臺灣資安產業全貌。由於資安市場龐大、技術發展快速、廠商併購頻繁，我們將盡可能以最快的速度保持更新，歡迎大家與我們交流討論。</p> <p>《臺灣資安產業地圖》PDF下載：<a href="https://s.itho.me/cybersec/2026/maps/iThome_Taiwan_Cyber_Industry_MAY_2026.pdf">下載連結</a>（若無法開啟，請先清除瀏覽器快取資料）</p> <p>下回更新時間：預計2026年6月</p> <p>聯絡資訊：ithomecyberscape<at>mail.ithome.com.tw</p> <p><a href="/sites/default/files/images/iThome_Taiwan_Cyber_Industry_MAY_2026-web.jpg"><img alt="" src="/sites/default/files/images/iThome_Taiwan_Cyber_Industry_MAY_2026-web.jpg" style="width: 600px;" /></a></p> <p>為了呈現活躍於臺灣資安市場的國內外廠商，我們持續發布與更新<a href="https://www.ithome.com.tw/news/123912">《iThome臺灣資安市場地圖》</a>，呈現國內外資安廠牌與產品類別的對應關係，協助大家更快找到有興趣了解的資安供應商與理想的資安供應商，歡迎大家與我們交流與討論。</p> <p> </p> </div></div></div>
4/30 18:01作者吳其勳https://www.ithome.com.tw/news/175466
【資安週報】0427~0430，iThome企業資安大調查結果公布，投資預算較去年大幅成長13％，百億營收企業的AI預…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>這一星期的AI資安威脅的消息不斷，尤其攻擊者鎖定LiteLLM、LMDeploy才剛剛修補一兩天的漏洞快速發動攻擊，顯示漏洞修補空窗期持續成為駭客高度覬覦的目標，還有大家在關注LLM挖掘漏洞能力大幅進步之餘，國內外資安專家也持續示警：防禦端的自動化修補速度卻尚未跟上，正使企業面臨空前挑戰，另也強調過去很多系統不是因為真的安全，僅是駭客覺得不值得花時間研究，必須警惕AI導致的攻防失衡。</p> <p>另一重要焦點是「2026 iThome 企業資安大調查」結果公布，今年報告顯現多項重要調查結果，涵蓋整體資安預算變化、從數位轉型邁向AI轉型布局，企業AI資安挑戰，以及資安人才需求等不同重點，勾勒出臺灣企業在AI浪潮下的資安防禦動向，是本星期不容錯過的產業深度觀察。</p> <p> </p> <h1 style="margin: 0px;"><strong style="color: rgb(255, 140, 0);">政策法規</strong></h1> <p><span style="color:#696969;"><strong>產品安全與AI資安風險已成為各國政府關注的戰略焦點。如何促使設備業者採取主動防禦行動，並喚醒金融業與關鍵基礎設施（CI）營運商對新型威脅的警覺，成為近期政策推動的核心議題。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/175329">資安院首屆漏洞獵補計劃發現20個臺廠硬體產品漏洞，第二屆將聚焦純軟體產品</a></strong></p> <p><a href="/sites/default/files/images/資安院漏洞獵捕計畫成果出爐.jpg"><img alt="" src="/sites/default/files/images/%E8%B3%87%E5%AE%89%E9%99%A2%E6%BC%8F%E6%B4%9E%E7%8D%B5%E6%8D%95%E8%A8%88%E7%95%AB%E6%88%90%E6%9E%9C%E5%87%BA%E7%88%90.jpg" style="width: 380px; float: right;" /></a></p> <p>為喚起國內業者重視產品資安，去年資安院啟動的漏洞獵補計畫已有成果出爐，共發現8款臺廠硬體產品的20個漏洞，發出53.9萬元的獎金，廠商也都已經完成修補。資安院表示第二屆漏洞獵補計畫將以純軟體產品為主，並以國內公務機關使用最多的軟體產品為對象，預計今年9月開放報名，同時也鼓勵研究人員使用AI工具輔助找出漏洞。</p> <p><strong><a href="https://www.ithome.com.tw/news/175189">新加坡示警AI模型恐改變漏洞利用節奏，要求銀行與關鍵基礎設施加速補強防線</a></strong></p> <p>新加坡網路安全局警告先進AI模型將加速漏洞利用流程，可能將攻擊準備時間從數月縮短至數小時。監管單位要求關鍵基礎設施與金融業強化修補、MFA與網路分段等防護措施，並導入AI輔助弱點偵測，以因應生成式AI帶來的攻擊自動化與規模化風險。</p> <p> </p> <h1><span style="color: rgb(255, 140, 0);"><strong>AI資安</strong></span></h1> <p><span style="color:#696969;"><strong>隨著LLM進步降低漏洞攻擊門檻，資安焦慮持續蔓延，近期多則新聞揭露：自動化修補技術尚未跟上、以及大型業者積極應對之際，但資源匱乏的路由器、醫療與金融設備業者，恐因難以即時因應快速更迭的風險。此外，熱門LLM套件與LLM推論工具剛修補的漏洞，最近發生一兩天內就被攻擊者鎖定利用，突顯駭客正鎖定尚未更新的空窗期速攻，用戶必須在補丁釋出後迅速更新。</strong></span></p> <p><a href="https://www.ithome.com.tw/news/175400"><strong>LiteLLM</strong><strong>重大漏洞公布後</strong><strong>36</strong><strong>小時出現攻擊活動</strong></a><strong><span style="color: rgb(255, 0, 0);">【CVE-2026-42208】</span></strong></p> <p>開源LLM串接套件LiteLLM修補的SQL注入漏洞CVE-2026-42208，資安公司Sysdig示警，在修補公告發布的36個小時後，偵測到漏洞利用的跡象，駭客試圖發動SQL注入攻擊，然後找出資料庫結構，並鎖定其中3個資料表，使用17個Union惡意酬載。</p> <p><strong><a href="https://www.ithome.com.tw/news/175331">LMDeploy LLM推論工具SSRF漏洞公開後13小時內即遭利用</a><span style="color: rgb(255, 0, 0);">【CVE-2026-33636】</span></strong></p> <p>大型語言模型推論工具LMDeploy甫發布新版0.12.3，修補一項高風險漏洞CVE-2026-33626，但攻擊者隨即盯上該漏洞，在不到13小時內就找出實際利用方式，鎖定尚未修補的用戶發動攻擊。資安業者Sysdig指出已在蜜罐環境中觀察到相關利用行為，推測攻擊者可能根據安全公告揭露的受影響檔案、參數與檢查缺口，自行組合出可運作的攻擊流程。</p> <p><a href="https://www.ithome.com.tw/news/175398"><strong>Mythos模型問世，臺灣兩大資安廠商警示AI將使攻擊門檻大幅降低</strong></a></p> <p>Mythos模型已引發全球資安界高度戒備，多國金融監管機構已在討論相關風險，對此技術發展浪潮，臺灣資安專家怎麼看？戴夫寇爾專家指出，前一代Opus 4.6模型就已經讓漏洞挖掘門檻顯著下降，如今真正的隱憂在於路由器、醫療與金融設備等IoT元件，因資源匱乏，難以像科技巨頭般應對新興威脅。奧義智慧專家亦強調，這波技術進化的關鍵在於能與Debugger等外部工具互動協作，打破過去漏洞開發高成本、低涵蓋的限制，將為漏洞相關產業帶來重大衝擊</p> <p><strong><a href="https://www.ithome.com.tw/news/175328">用AI發現漏洞還不夠，Google指出自動化大規模修補才是防禦核心</a></strong></p> <p>AI漏洞挖掘能力已大幅提升，但更關鍵的挑戰在於自動化漏洞修補能力還要努力跟上。Google工程副總裁Royal Hansen在4月來臺揭露這方面的進展，說明去年公開的AI代理CodeMender運作方式：可針對同一漏洞提出多個修補方案，透過真實攻擊模擬逐一測試與評分，就如同AI在圍棋中評估每一步的優劣，最終選出防禦效果最佳的程式碼進行部署。</p> <p><a href="https://www.ithome.com.tw/news/175391"><strong>AI</strong><strong>代理人</strong><strong>9</strong><strong>秒刪掉新創公司的資料庫及備份</strong></a></p> <p>自動化處理雖然便捷，但就怕一個不小心失手導致重要資料損毀，提供租車SaaS服務的新創公司PocketOS創辦人Jeremy Crane上週透過社群媒體X貼文表示，近日遭到以Anthropic Claude為基礎的代理人刪除資料庫及備份，全程只花了9秒鐘。</p> <p><strong><a href="https://www.ithome.com.tw/news/175384">Google修補Gemini CLI重大漏洞</a></strong></p> <p>Google揭露AI輔助開發命令列工具Gemini CLI存在重大漏洞（GHSA-wpqr-6v78-jr5g，截稿前暫無CVE公布），CVSS嚴重性達10.0分，建議用戶儘速更新並檢視自動化流程設定。此漏洞問題源自工作區信任與工具控管機制缺陷，風險是攻擊者可透過GitHub Actions工作流程觸發遠端執行程式碼，影響程式開發與整合環境的安全。</p> <p><strong><a href="https://www.ithome.com.tw/news/175230">開源監控平臺Grafana Cloud加入AI Observability，納管AI代理對話與工具呼叫</a></strong></p> <p>傳統可觀測性工具無法及早判斷輸出偏差，往往在品質下降或用戶反映後才發現，對此狀況，以開源監控工具Grafana聞名的Grafana Labs採取新行動，針對其提供的雲端託管平臺Grafana Cloud推出新功能AI Observability，現已開放預覽，其新做法是將代理對話與工作階段納入主要遙測訊號，並且相容OpenTelemetry標準。</p> <p><strong><a href="https://www.ithome.com.tw/news/175413">一次盤點OpenClaw近期嚴重漏洞，關注AI代理框架安全風險</a></strong></p> <p><a href="/sites/default/files/images/2026第一季openclaw重大漏洞問題彙整.jpg"><img alt="" src="/sites/default/files/images/2026%E7%AC%AC%E4%B8%80%E5%AD%A3openclaw%E9%87%8D%E5%A4%A7%E6%BC%8F%E6%B4%9E%E5%95%8F%E9%A1%8C%E5%BD%99%E6%95%B4.jpg" style="width: 380px; float: right;" /></a></p> <p>AI代理框架OpenClaw推出以來，陸續暴露多項重大漏洞，近期有AI應用新創公司發布報告，彙整2026年第1季發現的OpenClaw重大漏洞與修補建議，供使用者參考，除了提醒用戶注意修補，同時也讓外界了解AI代理框架的各種嚴重風險。</p> <p><strong><a href="https://www.ithome.com.tw/news/175372">OpenClaw強化權限管理與系統穩定性，修復繞過策略與憑證洩漏等弱點</a></strong></p> <p>OpenClaw新發布2026.4.20版，修補多項安全性問題，其中有3項問題最為嚴重，例如，可透過提示注入繞過保護機制修改Gateway設定，竄改AI代理執行流程；由於工具鏈邏輯缺陷，可濫用MCP與LSP工具註冊流程，執行未授權功能；還有環境變數污染問題，若透過惡意工作區.env覆寫API主機設定，可藉此竊取API憑證等敏感資料。</p> <p><strong><a href="https://www.ithome.com.tw/news/175226">Google推出兩款研究代理人Deep Research與Deep Research Max</a></strong></p> <p>寫研究報告這件事更容易了，Google正式推出AI代理Gemini Deep Research，主要基於Gemini 3.1 Pro打造，最大特色在於，可自動執行多步驟搜尋、整合企業內外資料，並提供引用來源的報告，貼近企業實際工作場景需求。Deep Research以效率為訴求，Deep Research Max則是高完整度的研究引擎</p> <p> </p> <h1><span style="color: rgb(255, 140, 0);"><strong>資料安全</strong></span></h1> <p style="margin: 0px;"><span style="color:#696969;"><strong>國際間近期接連傳出多起重大資料外洩事件，從醫療器材大廠、保全業龍頭ADT到遊輪營運業等企業均傳出資安事故，且這些事件更被指與駭客組織ShinyHunters相關。這突顯勒索軟體威脅仍持續發生，攻擊者正持續鎖定具高價值資料的大型企業。</strong></span></p> <p><a href="https://www.ithome.com.tw/news/175360"><strong>醫療設備製造商美敦力資料外洩，駭客聲稱竊取逾</strong><strong>900</strong><strong>萬筆個資</strong></a></p> <p><a href="/sites/default/files/images/美敦力發布資料外洩公告.jpg"><img alt="" src="/sites/default/files/images/%E7%BE%8E%E6%95%A6%E5%8A%9B%E7%99%BC%E5%B8%83%E8%B3%87%E6%96%99%E5%A4%96%E6%B4%A9%E5%85%AC%E5%91%8A.jpg" style="width: 380px; float: right;" /></a></p> <p>醫療器材大廠美敦力（Medtronic）發布公告說明資料外洩事故，資訊系統的資料遭未經授權的第三方存取。關於攻擊者身分，駭客團體ShinyHunters於4月18日聲稱從該公司竊得超過900萬筆個人可識別資訊（PII）的記錄。</p> <p><a href="https://www.ithome.com.tw/news/175316"><strong>ShinyHunters</strong><strong>傳竊得保全巨人</strong><strong>ADT</strong><strong>、遊輪業者</strong><strong>Carnival</strong><strong>數百萬筆資料</strong></a></p> <p>保全業龍頭公司ADT和遊輪營運業者Carnival遭駭，勒索軟體組織ShinyHunters分別宣稱駭入兩公司各取得數百萬筆資料。ADT向媒體證實在4月20日偵測到客戶及潛在客戶資料遭未授權存取，初步調查有個資外洩事故，Carnival則向資料外洩查詢網站HIBP證實本案是起自一位用戶遭釣魚攻擊被竊取帳密，正在調查中。</p> <p><strong><a href="https://www.ithome.com.tw/news/175338">Checkmarx證實GitHub資料遭駭客團體Lapsus$流入暗網</a></strong></p> <p>資安公司Checkmarx因提供的VS Code延伸套件與掃描工具KICS的Docker映像檔被入侵，面臨供應鏈攻擊，後續Checkmarx證實，這起事故的導火線，就是一個月前發生的Trivy供應鏈攻擊，該公司研判，攻擊者藉此取得憑證，而能夠未經授權存取他們的GitHub儲存庫，並以此發布惡意程式碼。他們確認資料外洩發生在3月30日，4月25日駭客團體Lapsus$將資料公布於暗網。</p> <p><strong><a href="https://www.ithome.com.tw/news/175416">2025企業面臨勒索軟體攻擊的衝擊，Veeam警示能完全復原資料的比例不到3成</a></strong></p> <p>Veeam發布《2026資料信任與韌性》報告指出，僅不到3成企業能在勒索軟體攻擊後完整復原資料。調查顯示，過去一年56%受害企業資料遭加密或竊取，但僅28%可完全復原，多數企業僅能部分恢復資料、承受一定的資料損失。報告也指出，企業資安預算與復原策略，將直接影響是否支付贖金及資料復原成效。</p> <p><strong><a href="https://www.ithome.com.tw/news/175367">網路學習平臺Udemy傳資料外洩，ShinyHunters聲稱竊得140萬筆個資</a></strong></p> <p>提供超過2.6萬門由業界專家設計課程的全球最大網路學習平臺之一Udemy，近期疑似傳出資料外洩事故，駭客團體ShinyHunters於4月24日宣稱竊取Udemy的內部資料，雖然Udemy並未對此事做出說明，但密碼外洩查詢網站HIBP已於4月26日記錄此事，並指出洩露的資料影響學生與講師。</p> <p><a href="https://www.ithome.com.tw/news/175403"><strong>影音串流平臺</strong><strong>Vimeo</strong><strong>遭</strong><strong>Anodot</strong><strong>資料外洩事件波及，部分用戶與客戶資料遭未經授權存取</strong></a></p> <p>影音串流平臺Vimeo公告發生資料外洩事故，說明是因為Anodot遭駭事故影響而外洩資料，部分使用者與客戶資料遭未經授權存取，主要包含技術資料、影片標題與中繼資料，部分情況下還有客戶的電子郵件信箱。另一方面，駭客團體ShinyHunters聲稱入侵Vimeo的Snowflake與BigQuery實體。</p> <p><strong><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=213035&SPOKE_DATE=20260429&COMPANY_ID=7750">工具機控制器業者新代科技發布資安重訊</a>【上市公司資安重訊】</strong></p> <p>製造數位控制器的新代科技（7750）於4月29日晚間發布資安重訊，表示該公司遭遇勒索軟體攻擊，該公司已進行全面性檢測與防護處理，經初步確認，該公司內部資訊系統及網站運作正常，未受實質影響，亦未發現有機密資料或重要文件外洩之情事。根據初步評估，對公司營運無重大影響。</p> <p> </p> <h1><strong style="color: rgb(255, 140, 0);">端點安全</strong></h1> <p><span style="color:#696969;"><strong>Windows出現新的零時差漏洞攻擊，值得各界重視。新揭露的PhantomRPC漏洞已遭鎖定利用，突顯駭客領先資安界發現潛在漏洞，搶在防禦機制建立前，便完成從漏洞發現到發動攻擊的過程，使企業在修補程式釋出前難以防範。</strong></span></p> <p style="margin: 0px;"><strong><a href="https://www.ithome.com.tw/news/175341">RPC零時差漏洞PhantomRPC可被用於提升權限</a><span style="color: rgb(255, 0, 0);">【PhantomRPC</span><span style="color: rgb(255, 0, 0);">】</span></strong></p> <p><a href="/sites/default/files/images/PhantomRPC漏洞.jpg"><img alt="" src="/sites/default/files/images/PhantomRPC%E6%BC%8F%E6%B4%9E.jpg" style="width: 380px; float: right;" /></a></p> <p>發現鎖定Windows零時差漏洞攻擊的活動！資安公司卡巴斯基調查發現後將此漏洞命名為PhantomRPC，指出此漏洞與Windows作業系統的遠端程序呼叫（RPC）有關，攻擊者可藉此將本機權限提升至最高級別SYSTEM。目前微軟尚無釋出修補程式，卡巴斯基已同步發布數項緩解措施供用戶參考。</p> <p><strong><a href="https://www.ithome.com.tw/news/175320">CISA將微軟Defender漏洞BlueHammer列入KEV清單，要求各機構限期修補</a><span style="color: rgb(255, 0, 0);">【CVE-2026-33825、BlueHammer</span><span style="color: rgb(255, 0, 0);">】</span></strong></p> <p>先前已有資安業者指出微軟Defender漏洞BlueHammer（CVE-2026-33825）遭利用，如今美國CISA也將該漏洞納入KEV清單，要求各聯邦機構限期修補。</p> <p><strong><a href="https://www.ithome.com.tw/news/175440">APT28將Windows Shell欺騙漏洞用於實際攻擊</a><span style="color: rgb(255, 0, 0);">【CVE-2026-32202</span><span style="color: rgb(255, 0, 0);">】</span></strong></p> <p>本月微軟修補Windows Shell漏洞CVE-2026-32202，CVSS風險僅有4.3分，如今微軟與美國CISA指出該漏洞被用於實際攻擊，但他們並未進一步說明如何被利用。資安公司Akamai則透露，此漏洞已遭俄羅斯駭客APT28利用，另指出與微軟2月的CVE-2026-21510漏洞修補不完全有關。</p> <p><a href="https://www.ithome.com.tw/news/175410"><strong>TeamT5 ThreatSonar Anti-Ransomware</strong><strong>存在高風險漏洞</strong></a></p> <p>國家資通安全研究院於4月24日發布資安公告，警示杜浦數位安全（TeamT5）的ThreatSonar Anti-Ransomware存在資安漏洞CVE-2026-5967，呼籲用戶盡速修補。實際上，杜浦數位安全於4月20日資安公告已說明該公司PSIRT團隊發現CVE-2026-5966與CVE-2026-5967漏洞並釋出修補，並表示在所有客戶都完成更新才公告，無客戶受到漏洞影響，亦無漏洞遭到實際利用的情況。</p> <p><strong><a href="https://www.ithome.com.tw/news/175353">Linux作業系統套件管理器存在資安漏洞Pack2TheRoot</a></strong></p> <p>可安裝在Linux等類Unix作業系統的套件管理工具PackageKit，被發現存在CVE-2026-41651漏洞，這是德國電信公司Deutsche Telekom紅隊團隊找到並公布，PackageKit開發團隊獲報後發布1.3.5版予以修補。值得關注的是，此漏洞影響範圍可能相當廣泛，因缺陷潛伏於程式碼中長達14年。且攻擊者能藉此取得root權限。</p> <p> </p> <h1><span style="color: rgb(255, 140, 0);"><strong>網路安全</strong></span></h1> <p><span style="color:#696969;"><strong>網路設備已知漏洞未修補的情況一再發生，讓攻擊者有可趁之機。近期再有此類事件，駭客鎖定去年思科修補的漏洞，攻擊尚未更新設備的企業用戶，突顯資安治理失效的情形。若等到受害後才修補，往往得不償失，因為IT人員除了修補補洞，同時須確保已清除所有隱藏的存取通道與惡意程式，以防駭客持續潛伏。</strong></span></p> <p><a href="https://www.ithome.com.tw/news/175309"><strong>後門程式</strong><strong>FireStarter</strong><strong>鎖定思科防火牆，中國駭客利用已知漏洞滲透裝置</strong></a></p> <p>思科Firepower防火牆的已知漏洞遭駭客組織UAT-4356鎖定攻擊，思科威脅情報團隊Talos警告，攻擊者主要利用Firepower eXtensible作業系統（FXOS）兩個漏洞CVE-2025-20333及CVE-2025-20362入侵，最終會植入後門程式FireStarter。Talos呼籲用戶應儘速依照指引採取行動因應。</p> <p><a href="https://www.ithome.com.tw/news/175314"><strong>美國聯邦機構的思科防火牆遭後門程式</strong><strong>FireStarter</strong><strong>攻擊</strong></a></p> <p>在思科警告Firepower防火牆遭駭客組織UAT-4356攻擊後，同日CISA與NCSC聯合警示後門程式FireStarter的活動，指出受害設備若是已被植入FireStarter，IT人員不能只是修補漏洞，同時也要徹底清除已存在的後門機制，否則駭客仍能在不需利用漏洞的情況下，持續潛伏於企業環境中。</p> <p><a href="https://www.ithome.com.tw/article/175255"><strong>台積電全球安全負責人屠震強調從「零信任網路」到「雙零安全」</strong></a></p> <p>當「零信任網路」成為資安市場上的流行詞，台積電全球安全負責人屠震現在進一步提倡「雙零安全」，他在其新著《資訊安全管理領導力實戰手冊》中指出，雙零安全是指，安全產品對於一般使用者而言，零感受，對設備、工具機而言，零影響。對於「雙零安全」的實現，他強調這應該成為所有安全產品設計的首要考量，尤其是網路服務供應商和電子郵件供應商。</p> <p><strong><a href="https://www.ithome.com.tw/news/175455">臺馬三號海纜部分芯線受損不到一個月發生全斷，中華電信緊急以微波備援東引通訊</a></strong></p> <p>3月底才發生部分芯線受損的臺馬三號海纜，4月再次發生海纜異常事件，北竿至東引段全斷。數發部初步研判原因與海象不佳有關，也可能是先前擱淺船隻殘骸因海況變動移動，進而破壞海纜結構，此事件也再次引發離島對單一海纜依賴所帶來的網路韌性風險。</p> <p> </p> <h1><span style="color: rgb(255, 140, 0);"><strong>應用程式安全</strong></span></h1> <p><span style="color:#696969;"><strong>由於應用程式數量龐大，廠商與維護團隊正積極修補漏洞，近期以Notepad++、Python的漏洞修補最受矚目。這些安全更新頻繁發布，目的是在提醒企業用戶與開發者，必須時時刻刻關注產品動態，並落實安全修補更新。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/175446">SAP的NPM套件遭Mini Shai-Hulud攻擊</a></strong></p> <p><a href="/sites/default/files/images/SAP的NPM套件遭Mini Shai-Hulud攻擊.jpg"><img alt="" src="/sites/default/files/images/SAP%E7%9A%84NPM%E5%A5%97%E4%BB%B6%E9%81%ADMini%20Shai-Hulud%E6%94%BB%E6%93%8A.jpg" style="width: 380px; float: right;" /></a></p> <p>多家資安業者示警，最新一波NPM套件供應鏈攻擊活動Mini Shai-Hulud針對SAP而來，該公司多個套件受到影響。關於攻擊者的身分，Socket、Wiz推測很有可能就是3月發動大規模攻擊的駭客團體TeamPCP。</p> <p><a href="https://www.ithome.com.tw/news/175362"><strong>Notepad++修補字串輸入漏洞，未更新可能導致資訊洩漏或程式當機</strong></a></p> <p>Notepad++修補CVE-2026-3008格式化字串漏洞，問題源自Find in Files功能，當處理特定輸入時可能觸發記憶體存取異常，導致資訊洩漏或程式當機，由於Notepad++廣泛用於開發與系統維運，建議用戶儘速升級至已修補的8.9.4版。</p> <p><a href="https://www.ithome.com.tw/news/175332"><strong>Python存在高風險的記憶體存取漏洞，未修補可能導致越界寫入與記憶體資料損毀</strong></a></p> <p>Python存在高風險記憶體漏洞CVE-2026-3298，影響Windows平臺的asyncio模組，問題源自缺乏邊界檢查，可能導致越界寫入，進而引發記憶體資料毀損，甚至在特定條件下被利用進行攻擊。Python軟體基金會已提交修補至CPython程式碼庫，建議用戶儘速更新以降低風險。</p> <p><strong><a href="https://www.ithome.com.tw/news/175184">高下載量protobuf.js函式庫爆RCE漏洞，波及gRPC與Firebase套件</a></strong></p> <p>有使用protobuf.js函式庫的開發者注意，維護團隊近日發布新版修補重大漏洞CVE-2026-41242，並建議執行NPM ls protobufjs指令確認專案中是否存在該套件，以盡速更新，其風險在於攻擊者可在protobuf定義的type欄位，注入任意程式碼。</p> <p><strong><a href="https://www.ithome.com.tw/news/175322">Google發布Chrome瀏覽器更新，修補19個安全性問題，含2個重大漏洞</a></strong></p> <p>Google發布Chrome 147安全更新，共修補19項安全問題，其中2項CVSS嚴重性達9.6分的重大漏洞，最受關注，分別影響DevTools與GPU元件，均屬於記憶體安全問題。此外還包含一項GPU條件競爭漏洞，建議用戶儘速更新以降低遭攻擊風險。</p> <p><strong><a href="https://www.ithome.com.tw/news/175327">CrowdStrike修補LogScale重大漏洞，未更新可能導致遠端讀取任意檔案</a></strong></p> <p>資安業者CrowdStrike修補日誌分析與監控平臺LogScale重大漏洞CVE-2026-40050，值得關注的是，該漏洞結合路徑遍歷與缺乏身分驗證問題，CVSS高達9.8。僅有自行建置版受影響，用戶應儘速升級修補版本以降低風險。</p> <p><strong><a href="https://www.ithome.com.tw/news/175352">Tenable修補Nessus弱點掃描代理程式漏洞，未更新可能導致攻擊者取得SYSTEM權限</a></strong></p> <p>Tenable修補弱點掃描工具Nessus Agent Windows版本漏洞CVE-2026-33694，該問題源自檔案系統junction驗證不當，本機攻擊者可利用惡意連接點，在SYSTEM權限下刪除任意檔案並進一步提升權限或執行任意程式碼。原廠已釋出11.1.3修補，建議用戶儘速更新。</p> <p><a href="https://www.ithome.com.tw/news/175406"><strong>高風險</strong><strong>GitHub</strong><strong>漏洞極容易被利用，攻擊者只需透過推送</strong><strong>Git</strong><strong>就能觸發</strong></a></p> <p>上個月GitHub修補資安公司Wiz通報的GitHub Enterprise Server漏洞CVE-2026-3854，後續兩家業者說明更多細節，指出該漏洞影響相當廣泛，並且相當容易利用。Wiz另也說明，這起案例是少數透過AI技術，在封閉原始碼二進位程式中發現的重大漏洞。</p> <p><a href="https://www.ithome.com.tw/news/175340"><strong>蠕蟲程式</strong><strong>GlassWorm</strong><strong>透過</strong><strong>73</strong><strong>個</strong><strong>VS Code</strong><strong>延伸套件潛伏於</strong><strong>Open VSX</strong><strong>儲存庫</strong></a></p> <p>Open VSX平臺在4月出現73個惡意VS Code延伸套件，資安公司Socket指出這些套件大部分看起來無害，但有6個已顯露真正的意圖，被用來傳送GlassWorm。另也提及這些惡意套件與1月發現的活動有關，因為皆先發布看似乾淨的套件，隨後再利用延伸套件的更新機制植入惡意軟體。</p> <p>●<a href="https://www.ithome.com.tw/news/175431"><strong>ConnectWise ScreenConnect、Windows Shell已知漏洞已出現攻擊行動</strong></a><strong><span style="color: rgb(255, 0, 0);">【CVE-2024-1708</span><span style="color: rgb(255, 0, 0);">】</span></strong></p> <p> </p> <h1><span style="color: rgb(255, 140, 0);"><strong>身分安全</strong></span></h1> <p><span style="color:#696969;"><strong>近期數位身分識別正迎來關鍵演進，包括先前臺灣已在推動Mobile ID電信門號驗證，應用逐漸升溫，還有FIDO聯盟在2026年有全新發展焦點，聚焦FIDO與數位憑證的結合，以及FIDO與AI代理的交會。</strong></span></p> <p><a href="https://www.ithome.com.tw/news/175386"><strong>一卡通導入行動身分識別，靠電信門號身分驗證強化電支交易安全</strong></a></p> <p>臺灣推動Mobile ID行動身分識別多年，應用範疇已從政府試點擴及金融業，如今「一卡通iPASS MONEY」也正式導入。一卡通指出，過去為強化防護，用戶更換行動裝置登入App時，系統會自動解除銀行帳戶與信用卡等金融設定，雖安全卻造成不便。透過導入Mobile ID電信層級認證，可實現帳戶與特定裝置的物理性綁定，比傳統簡訊OTP驗證更不容易受網釣攔截。</p> <p><a href="https://www.ithome.com.tw/news/175115"><strong>FIDO</strong><strong>身分識別觸角擴大，聚焦數位憑證、</strong><strong>AI</strong><strong>代理、歐盟</strong><strong>CRA</strong></a></p> <p><a href="/sites/default/files/images/FIDO身分識別觸角擴大，數位憑證、AI代理、歐盟CRA.jpg"><img alt="" src="/sites/default/files/images/FIDO%E8%BA%AB%E5%88%86%E8%AD%98%E5%88%A5%E8%A7%B8%E8%A7%92%E6%93%B4%E5%A4%A7%EF%BC%8C%E6%95%B8%E4%BD%8D%E6%86%91%E8%AD%89%E3%80%81AI%E4%BB%A3%E7%90%86%E3%80%81%E6%AD%90%E7%9B%9FCRA.jpg" style="width: 380px; float: right;" /></a></p> <p>想要了解網路身分識別的最新發展，FIDO聯盟揭露的技術路線向來是了解相關產業發展的風向球，2026年展現3項全新的探討重心：「數位憑證」與「代理式AI」已躍升為核心議題，歐盟網路韌性法案（CRA）亦是討論焦點。這些動向不僅展現FIDO正擴張其接軌範疇，也預示著身分識別在AI代理時代面臨的全新挑戰。</p> <p><strong><a href="https://www.ithome.com.tw/news/175396">FIDO聯盟推動AI代理互動與驗證標準，降低AI代理線上交易風險</a></strong></p> <p>FIDO聯盟在4月宣布推動AI代理互動與交易安全標準，聚焦使用者意圖驗證、代理身分驗證與交易授權機制，確保AI代理在自動化操作時符合使用者授權。該組織並成立工作小組，結合Google與Mastercard等業者的既有技術，建立跨平臺信任架構，因應AI代理逐步參與線上支付與服務的新型安全需求。</p> <p><strong><a href="https://www.ithome.com.tw/news/175399">微軟修補Entra ID權限漏洞，防止AI代理管理角色遭到濫用</a></strong></p> <p>微軟修補Microsoft Entra ID權限設計漏洞，問題出在Agent ID Administrator角色可能被用來接管任意服務主體，進而新增憑證並取得身分控制權。攻擊者若利用高權限服務主體，可橫向移動至整個租戶環境。微軟已於4月完成修補，限制該角色僅能管理AI代理相關身分。</p> <p> </p> <h1><span style="color: rgb(255, 140, 0);"><strong>IoT/OT安全</strong></span></h1> <p><span style="color:#696969;"><strong>近期IoT安全焦點在於，開源機器人平臺LeRobot有零時差漏洞尚未有能力修補，以及產品生命週期（EoL）路由器淪為殭屍網路攻擊跳板，這些消息反映兩件事，一是開源端修補能量與速度不足，一是使用端則忽視了資產淘汰與生命週期管理。這也提醒我們，未受妥善管理的影子IoT已成為企業防禦的最弱環節。</strong></span></p> <p><a href="https://www.ithome.com.tw/news/175397"><strong>Hugging Face</strong><strong>機器人平臺</strong><strong>LeRobot</strong><strong>存在重大漏洞</strong></a><strong><span style="color: rgb(255, 0, 0);">【CVE-2026-25874</span><span style="color: rgb(255, 0, 0);">】</span></strong></p> <p><a href="/sites/default/files/images/開源機器人平臺LeRobot漏洞尚未修補.jpg"><img alt="" src="/sites/default/files/images/%E9%96%8B%E6%BA%90%E6%A9%9F%E5%99%A8%E4%BA%BA%E5%B9%B3%E8%87%BALeRobot%E6%BC%8F%E6%B4%9E%E5%B0%9A%E6%9C%AA%E4%BF%AE%E8%A3%9C.jpg" style="width: 380px; float: right;" /></a></p> <p>開源機器人平臺LeRobot的CVE-2026-25874重大零時差漏洞引發關注，原因是目前尚無修補程式，建議用戶即刻採取更多因應防範措施，VulnCheck研究員指出，此漏洞早在去年12月便已通報，雖然開發團隊於今年1月承認漏洞存在，但表示需重新建構幾乎所有程式碼才能修復。</p> <p><a href="https://www.ithome.com.tw/news/175389"><strong>研究人員揭露比</strong><strong>Stuxnet</strong><strong>還要早被利用的工控惡意軟體</strong><strong>Fast16</strong></a></p> <p>Stuxnet經常被指認為工控系統惡意程式的先驅，然而，資安公司SentinelOne近期揭露網路攻擊框架Fast16，其核心元件早在2005年便已現蹤。該框架的關鍵元件fast16.sys專門鎖定高精度計算軟體，於記憶體竄改程式碼以操控計算結果，並干預工控系統運作。目前VirusTotal僅有1家防毒引擎將其標識為有害。</p> <p><a href="https://www.ithome.com.tw/news/175346"><strong>CISA</strong><strong>警告</strong><strong>D-Link</strong><strong>路由器命令注入漏洞被用於實際攻擊</strong></a></p> <p>產品生命週期已結束的D-Link路由器DIR-823X，其已知漏洞面臨殭屍網路Mirai變種tuxnokill攻擊，美國CISA近日將此漏洞列入KEV清單。CISA強調，由於DIR-823X生命週期結束且廠商已終止服務（EoS），呼籲用戶應停止使用。</p> <p><a href="https://www.ithome.com.tw/news/175307"><strong>殭屍網路</strong><strong>Mirai</strong><strong>變種綁架生命週期結束的</strong><strong>D-Link</strong><strong>路由器</strong></a></p> <p>D-Link路由器設備DIR-823X遭駭客鎖定，資安公司Akamai發現有攻擊者部署殭屍網路Mirai變種tuxnokill。D-Link表示，DIR-823X僅在中國銷售，因此不影響臺灣與其他國家用戶，此設備於2024年11月生命週期結束，並於2025年8月停止支援。</p> <p> </p> <h1><span style="color: rgb(255, 140, 0);"><strong>資安維運</strong></span></h1> <p><span style="color:#696969;"><strong>「2026 iThome 企業資安大調查」結果於本週正式揭曉，成為業界關注焦點。此調查針對臺灣大型企業、政府機關及大專院校之資訊主管進行調查，深入探討資安預算變動、AI轉型下的安全防禦策略及人才需求，調查結果顯示，企業資安投資金額再創新高，將GenAI創新列為年度目標的企業比例同樣大幅提升。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/article/175310">【2026 企業資安大調查】整體資安預算大增13％，金融業更加碼近2成</a></strong></p> <p><a href="/sites/default/files/images/iThome 2026 企業資安大調查.jpg"><img alt="" src="/sites/default/files/images/iThome%202026%20%E4%BC%81%E6%A5%AD%E8%B3%87%E5%AE%89%E5%A4%A7%E8%AA%BF%E6%9F%A5.jpg" style="width: 380px; float: right;" /></a></p> <p>近期臺灣不只出口金額創下新高，企業在資安領域的投資也攀上新高峰。近日iThome發布2026企業資安大調查報告，顯示今年平均單一企業的資安預算已達2,371萬元，較去年大幅成長13％，占整體IT預算的比例為8.2％。</p> <p><strong><a href="https://www.ithome.com.tw/news/175333">【2026 </a></strong><a href="https://www.ithome.com.tw/article/175311"><strong>企業資安大調查</strong></a><strong><a href="https://www.ithome.com.tw/news/175333">】CIO從數位轉型邁向AI轉型布局</a></strong></p> <p>國際大廠AI投資狀況顯著，臺灣企業在AI投資方面的布局又是如何？2026 iThome企業資安大調查顯示，以百億營收的企業來看，AI預算增加111％，比去年翻了一倍多，突顯國內大型企業正積極投資AI。進一步從產業來看，政府學校在今年的AI投資比去年增加134％，金融業增加118％居次，一般製造也比去年多了50％。</p> <p><strong><a href="https://www.ithome.com.tw/article/175312">【2026 企業資安大調查】人才和資料治理是AI資安兩大難題</a></strong></p> <p>擁抱生成式AI之際，應對AI資安風險也成為CIO與CISO當前最大新挑戰，根據iThome最新企業資安大調查顯示，「AI資安和治理人才的不足」是企業最頭痛的問題，比例達26％，「資料治理成熟度不足」居次，比例也有21％。同時，我們也針對企業防範生成式AI風險因應作法進行深入調查。</p> <p><a href="https://www.ithome.com.tw/article/175311"><strong>【2026 企業資安大調查】因應資安人才缺口，3成CIO想靠AI緩解</strong></a></p> <p>AI是解決資安人才荒的靈丹妙藥？隨著「2026 iThome企業資安大調查」結果出爐，企業資訊長和資安長對於AI緩解IT人才荒的反映如何？企業招募人才狀況又是如何？請看本篇iThome深度分析。</p> <p><strong><a href="https://www.ithome.com.tw/news/175325">中國駭客GopherWhisper鎖定蒙古，利用多種雲端服務從事網路間諜活動</a></strong></p> <p>中國駭客GopherWhisper正攻擊蒙古某個政府機構，資安公司ESET表示從2025年1月發現攻擊活動，攻擊者部署後門程式LaxGopher，並使用後門注入工具JabGopher將其注入svchost.exe處理程序執行，而且該惡意軟體會與特定的Slack伺服器互動。</p> <p><strong><a href="https://www.ithome.com.tw/news/175394">UNC6692冒充IT服務臺，透過Teams散布惡意軟體套件Snow</a></strong></p> <p>近一年來，駭客越來越常透過電話或協作通訊平臺發動網釣，Google威脅情報團隊揭露駭客組織UNC6692的攻擊活動，指出攻擊者去年底先大規模寄送垃圾信轟炸使用者，然後冒充IT或客服人員，透過Teams向使用者發送釣魚訊息，聲稱可以協助處理爆量信件並提供連結，聲稱安裝特定修補程式即可防堵郵件轟炸，使用者若依指示下載安裝即會受駭。</p> <p><strong><a href="https://www.ithome.com.tw/news/175324">中國駭客Tropic Trooper鎖定臺灣、日本、韓國，透過Adaptix C2與VS Code隧道控制受害電腦</a></strong></p> <p>中國駭客Tropic Trooper有新攻擊對象，資安公司Zscaler指出該組織使用軍事相關的誘餌發動多階段攻擊，例如，竄改PDF檢視器SumatraPDF的二進位檔案，以此部署AdaptixC2的Beacon代理程式，最終目的是下載與部署Visual Studio Code（VS Code）隧道。值得關注的是，這些駭客的主要目標是使用中文的臺灣用戶，也有日本與韓國用戶受害。</p> <p><strong><a href="https://www.ithome.com.tw/news/175315">Linux惡意軟體GoGra濫用Microsoft Graph API隱匿活動蹤跡</a></strong></p> <p>利用合法API服務存取掩護非法行動的例子越來越多，資安廠商賽門鐵克與Carbon Black威脅獵捕團隊調查，APT駭客組織Harvester近期開發具備高度迴避偵測能力的Linux後門程式GoGra，利用微軟Graph API與電子郵件信箱服務Outlook建立C2通訊，疑似打算在印度與阿富汗從事網路間諜活動。</p> <p><strong><a href="https://www.ithome.com.tw/news/175318">微軟允許用戶無限制推遲Windows更新，不更新就關閉電源</a></strong></p> <p>微軟宣布改善Windows使用體驗的方案，承諾提高用戶對升級的控制權，必要時暫停更新系統更多天、裝置設定時可跳過升級以加速安裝、重啟或關閉Windows機器時可不需安裝更新。根據微軟進一步說明，將允許略過更新、無限制暫停更新、支援不安裝更新即關閉電腦－以及加速App重啟與更新失敗復原機制。理想狀態下，一般用戶每月僅需重啟電腦一次。</p> <p> </p> </div></div></div>
4/30 18:47作者羅正漢https://www.ithome.com.tw/news/175448
【資安日報】4月30日，NPM供應鏈攻擊Mini Shai-Hulud鎖定多款SAP套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/175446"><strong style="font-size: 22px;">SAP的NPM套件遭Mini Shai-Hulud攻擊</strong></a></p> <p><a href="/sites/default/files/images/1777476450-screenshot-2026-04-29-at-17-56-12-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/1777476450-screenshot-2026-04-29-at-17-56-12-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安公司Aikido、SafeDep、Socket、StepSecurity、Wiz提出警告，最新一波NPM套件供應鏈攻擊活動Mini Shai-Hulud針對SAP而來，該公司多個套件受到影響。關於攻擊者的身分，Socket、Wiz推測很有可能就是3月發動大規模攻擊的駭客團體TeamPCP。這些遭到竄改的SAP生態系統套件，駭客植入了預先安裝的指令碼，在NPM套件安裝過程中，自動執行setup.mjs，該指令碼下載Bun執行環境，並啟動經混淆處理的酬載execution.js，攻擊者可藉此在NPM套件安裝完成之前，得以趁機執行特定程式碼。</p> <p><a href="https://www.ithome.com.tw/news/175450"><strong style="font-size: 22px;">北韓駭客Famous Chollima透過AI生成惡意NPM套件，藉此洗劫開發人員加密貨幣資產</strong></a></p> <p><a href="/sites/default/files/images/12_openpaw_graveyard_npm_readme-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/12_openpaw_graveyard_npm_readme-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安公司ReversingLabs在某個加密貨幣交易專案發現惡意程式碼，經調查發現，AI程式碼助理將惡意的@validate-sdk/v2判定為相依套件，但實際上，該套件是駭客偽造的常見資料驗證工具，會從受害電腦抽取敏感資料。該公司將此攻擊活動命名為PromptMink，被汙染的套件於2月28日引入，攻擊者透過大型語言模型Anthropic Claude Opus提交，藉此洗劫使用者的加密貨幣錢包及資產。該公司指出，這起事故是Famous Chollima廣泛攻擊行動的一部分。</p> <p><a href="https://www.ithome.com.tw/news/175431"><strong style="font-size: 22px;">CISA警告ConnectWise ScreenConnect、Windows Shell漏洞已出現攻擊行動</strong></a></p> <p>4月28日美國網路安全暨基礎設施安全局（CISA）指出，ConnectWise ScreenConnect路徑遍歷漏洞CVE-2024-1708、Windows防護機制失效漏洞CVE-2026-32202已遭到積極利用，並將這些漏洞列入已遭利用漏洞名冊（KEV），要求聯邦機構於5月12日前完成修補。從漏洞的CVSS評分來看，較嚴重的是CVE-2024-1708，此漏洞於2024年2月揭露，影響23.9.7以前版本的ScreenConnect，CVSS風險評分為8.4分（滿分10分），屬高風險等級，ConnectWise發布23.9.8版予以修補。</p> <p><a href="https://www.ithome.com.tw/news/175440"><strong style="font-size: 22px;">APT28將Windows Shell欺騙漏洞用於實際攻擊</strong></a></p> <p><a href="/sites/default/files/images/incomplete-patch-apt28s-zero-day-cve-2026-32202-one-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/incomplete-patch-apt28s-zero-day-cve-2026-32202-one-63.jpg" style="width: 300px; float: right;" /></a></p> <p>本週微軟、美國網路安全暨基礎設施安全局（CISA）證實，CVSS風險僅有4.3分的Windows Shell資安漏洞CVE-2026-32202被用於實際攻擊，但他們並未進一步說明如何被利用。資安公司Akamai透露，此漏洞已遭俄羅斯駭客APT28（Fancy Bear、UAC-0001）利用。此漏洞與微軟2月修補的Windows Shell安全功能繞過漏洞CVE-2026-21510有關，由於修補不完整而導致有弱點。</p> <p><a href="https://www.ithome.com.tw/news/175454"><strong style="font-size: 22px;">委內瑞拉能源及公用事業部門遭資料破壞軟體Lotus Wiper攻擊</strong></a></p> <p><a href="/sites/default/files/images/lotus-wiper2-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/lotus-wiper2-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安公司卡巴斯基指出，名為Lotus Wiper的資料破壞軟體（Wiper）去年12月針對委內瑞拉能源與公營事業部門而來，而且攻擊的目的很明顯，駭客並未留下勒索訊息，並積極抹除資料，使檔案無法恢復。雖然卡巴斯基並未透露攻擊者的身分，不過資安新聞網站Dark Reading指出，很有可能與委內瑞拉石油公司（PDVSA）的事故有關，該公司去年12月13日傳出疑似遭勒索軟體攻擊，PDVSA認為，攻擊可能來自美國。</p> <p><a href="https://www.ithome.com.tw/news/175417"><strong style="font-size: 22px;">勒索軟體VECT 2.0加密檔案出錯，受害者付錢也無法完全復原檔案</strong></a></p> <p><a href="/sites/default/files/images/Vect-2_0-9-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/Vect-2_0-9-63.jpg" style="width: 300px; float: right;" /></a></p> <p>為了縮短加密檔案的時間，勒索軟體駭客會採用部分加密的手法，然而若是相關機制存在缺陷，就有可能導致經加密處理的檔案無法復原，而成為變相的資料破壞軟體（Wiper）。例如，從去年12月在俄語網路犯罪論壇出現的勒索軟體VECT。根據資安公司Check Point的調查，近期發布的VECT 2.0大改版，因為對於容量超過128 KB檔案的加密處理機制實作存在弱點，導致用於解密的nonce資料每4組就有3組會被清除，即使是散播惡意軟體的攻擊者也無法將檔案還原。</p> <p><a href="https://www.ithome.com.tw/news/175442"><strong style="font-size: 22px;">勒索軟體Gentlemen透過代理伺服器工具SystemBC滲透企業組織</strong></a></p> <p><a href="/sites/default/files/images/Gentlemen -3-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/Gentlemen%20-3-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安公司Check Point揭露勒索軟體Gentlemen，該駭客團體約從2025年中旬開始活動，宣稱迄今已有320家企業或組織受害，其中有240家企業或組織的事故發生在今年1月。這些駭客以租用模式（RaaS）尋找打手，並廣泛提供不同型態的檔案加密工具，包括能在Windows、Linux、BSD等作業系統與NAS運作的版本，以及專為虛擬化平臺VMware ESXi打造的版本。值得留意的是，在其中一起事故裡，Gentlemen部署了代理伺服器工具SystemBC，此類工具通常被用於建立秘密隧道，並傳遞惡意酬載。</p> <p><a href="https://www.ithome.com.tw/news/175457"><strong style="font-size: 22px;">美國NASA傳出遭中國駭客網釣，意圖竊取美國國防軟體</strong></a></p> <p><a href="/sites/default/files/images/nasa-investigators-expose-a-chinese-national-phishing-for-defense-software-image-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/nasa-investigators-expose-a-chinese-national-phishing-for-defense-software-image-63.jpg" style="width: 300px; float: right;" /></a></p> <p>美國太空總署（NASA）監察長辦公室（OIG）近日揭露，中國籍人士Song Wu於2017年1月至2021年12月，佯稱自己是知名且與NASA頻繁合作的航太教授，透過Gmail向NASA員工傳送訊息，要求提供受美國政府出口管制的軟體與原始碼，其中包括由NASA開發的航太工程軟體。此人對目標進行大量研究，成功假扮成目標人士的朋友或同事，以需要重新組建或修改應用系統為由，要求受害者提供軟體檔案或原始碼。</p> <p><a href="https://www.ithome.com.tw/news/175455"><strong style="font-size: 22px;">臺馬三號海纜部分蕊線受損不到一個月發生全斷，中華電信緊急以微波備援東引通訊</strong></a></p> <p>今年3月30日才發生部分蕊線受損的臺馬三號海纜，在不到一個月的時間再次發生海纜異常事件，臺馬三號海纜於馬祖東引外海約2.64公里處發生芯線斷裂，導致北竿至東引段全斷。此次事故影響連江縣東引鄉共約1,500位居民的對外通訊，突顯離島對單一海纜依賴所帶來的網路韌性風險。數發部初步研判原因與海象不佳有關，可能是先前擱淺船隻殘骸因海況變動移動，進而破壞海纜結構。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=213035&SPOKE_DATE=20260429&COMPANY_ID=7750"><strong style="font-size: 22px;">數位控制器製造商新代科技遭勒索軟體攻擊</strong></a></p> <p>4月29日製造數位控制器的新代科技（7750）晚間於股市公開觀測站發布資安重訊，表示該公司遭遇勒索軟體攻擊，該公司已進行全面性檢測與防護處理，經初步確認，該公司內部資訊系統及網站運作正常，未受實質影響，亦未發現有機密資料或重要文件外洩之情事。根據初步評估，對公司營運無重大影響。</p> <p><a href="https://www.ithome.com.tw/news/175398"><strong style="font-size: 22px;">Mythos模型問世，臺灣兩大資安廠商警示AI將使攻擊門檻大幅降低</strong></a></p> <p>Mythos模型引發熱議，臺灣資安專家提出警告，AI將會讓攻擊門檻大幅降低。戴夫寇爾（DEVCORE）紅隊總監許復凱指出，前一代Opus 4.6模型就已經讓漏洞挖掘門檻顯著下降，如今真正的隱憂在於路由器、醫療與金融設備等IoT元件，因資源匱乏，難以像科技巨頭般應對新興威脅。奧義智慧資安研究員陳兆閔與研究處長陳仲寬指出，這波技術進化的關鍵在於能與Debugger等外部工具互動協作，打破過去漏洞開發高成本、低涵蓋的限制，將為漏洞相關產業帶來顛覆性衝擊。</p> <p><a href="https://www.ithome.com.tw/news/175459"><strong style="font-size: 22px;">2025年API資安事故頻傳，遭遇危機的企業比例高達87％</strong></a></p> <p>根據資安廠商Akamai最新發布的2026年API安全影響調查報告，全球大型企業正在管理數量龐大且不斷擴張的API資產，每家企業掌管的API數量中位數達到5,900個，單就前四分之一的企業而言，甚至達到29,400個。對此，Akamai警示，隨著API使用數量增長，對於API風險與安全防護範圍的掌控，卻未能同步跟上，導致通報的API資安事故過去4年持續攀升。該公司針對全球1,840位資安專業人士調查，高達87%的組織表示曾遭遇API資安事故，相較於2022年的76%，呈現大幅上升的趨勢。</p> <p><a href="https://www.ithome.com.tw/news/175416"><strong style="font-size: 22px;">2025企業面臨勒索軟體攻擊的衝擊，Veeam警示能完全復原資料的比例不到3成</strong></a></p> <p>備份與資料保護廠商Veeam發布《2026資料信任與韌性》報告，其中呈現2025年企業遭遇勒索軟體攻擊的情況。過去一年近三成受訪企業曾發生資安事件，這比例看似不高，但若是遭遇勒索軟體攻擊，則後果便十分嚴重。過去一年遭遇勒索軟體攻擊的企業中，56%受害企業表示遭到攻擊者加密或竊取資料，這意味著，僅有不到4成的企業，能在遭遇攻擊時成功防禦，防止資料遭到加密或竊取。</p> <p><a href="https://www.ithome.com.tw/news/175444"><strong style="font-size: 22px;">Google發布Chrome瀏覽器更新，修補30個安全性問題，含4個重大漏洞</strong></a></p> <p>Google發布Chrome瀏覽器新版本，將Windows與macOS平臺穩定版更新至147.0.7727.137與147.0.7727.138，Linux版本更新至147.0.7727.137，此次改版一共修補30個安全性問題，最受矚目的是4個重大漏洞，皆屬於記憶體釋放後再存取使用（Use After Free）的問題，其中最嚴重的是瀏覽器介面元件View的漏洞CVE-2026-7343，CVSS嚴重性評分達9.8分。</p> <p><a href="https://www.ithome.com.tw/news/175449"><strong style="font-size: 22px;">cPanel修補重大身分驗證漏洞，未更新可能導致攻擊者接管主機</strong></a></p> <p>網站主機管理平臺廠商cPanel近日發布資安公告，揭露旗下管理軟體cPanel及WHM（WebHost Manager）存在重大漏洞CVE-2026-41940，CVSS嚴重性評分達9.8，攻擊者能在不需通過身分驗證的狀況下，即可取得管理介面存取權限，進而控制主機，由於這兩款軟體是網站主機環境常用的Linux伺服器管理與控制面板工具，因此這項漏洞的影響範圍格外廣泛，用戶必須立即更新至已修補版本。</p> <p><a href="https://www.ithome.com.tw/news/175413"><strong style="font-size: 22px;">一次盤點OpenClaw近期嚴重漏洞，關注AI代理框架安全風險</strong></a></p> <p>AI應用新創公司Skywork近日發布報告，彙整2026年第1季發現的OpenClaw重大漏洞與修補建議，供使用者參考。對於打算自行建置OpenClaw的用戶，Skywork建議必須使用2026.3.28以上版本，確保已修補CVE-2026-25253、CVE-2026-33579等漏洞，此外還須清理HOME、ZDOTDIR等環境變數，以緩解CVE-2026-32056漏洞，並透過config.patch參數，強制LLM代理執行前必須獲得用戶許可，藉此緩解CVE-2026-41349漏洞。</p> <p><a href="https://www.ithome.com.tw/article/175420"><strong style="font-size: 22px;">【2026 企業資安大調查】一張圖看2026年整體臺灣企業資安風險</strong></a></p> <p>在2026年iThome CIO&CISO大調查中，企業最常見的資安風險前三名，分別是勒索軟體資安事故（32%）、資安漏洞濫用（28%）和DDoS攻擊（26%）。這三類系統風險都有近三成企業，列為今年必須警戒的威脅項目之一，這幾項也是過去三年來，大型企業最常見的資安事故。</p> <p><a href="https://www.ithome.com.tw/article/175432"><strong style="font-size: 22px;">【2026 企業資安大調查】一張圖看2026年金融業企業資安風險</strong></a></p> <p>臺灣金融業2026年得優先警戒的資安威脅，包括了8項系統類風險，5項人員類風險，以及1項AI類風險，其中，金融業未來一年兩大首要資安威脅是「網路釣魚/社交工程手段」和「勒索軟體資安事故」，三項次要風險則包括了資安漏洞濫用、商業郵件詐騙和機敏資料外洩，AI風險最需要留意的是LLM應用洩露敏感資料的威脅。</p> <p><a href="https://www.ithome.com.tw/article/175433"><strong style="font-size: 22px;">【2026 企業資安大調查】一張圖看2026年高科技製造業企業資安風險</strong></a></p> <p>2026年臺灣高科技製造業認為未來一年的首要資安威脅是「網路釣魚/社交工程手段」，另有兩項次要風險也得防備，包括了「商業郵件詐騙」和「勒索軟體資安事故」，值得關注的是「深偽技術冒用」今年也開始進入高衝擊高風險的威脅範疇。</p> <p><a href="https://www.ithome.com.tw/review/172764"><strong style="font-size: 22px;">儲域網路進入128G FC時代，博科第8代產品結合AI與量子安全</strong></a></p> <p>去年11月博科（Brocade）正式宣布推出首批支援128 Gb FC的第8代交換器設備，機型包括採用模組化機箱的X8 Director系列，以及機箱配置固定網路埠的G820。就整體功能特色而言，博科表示，第8代FC網路設備的推出，不僅憑藉更高的網路傳輸速度（128Gb FC），繼續鎖定企業關鍵業務應用的工作負載，以及AI應用系統的執行需求，也具有量子安全（quantum-safe）的特色，可預防量子運算時代即將來臨而導致加密資料遭解密的威脅。</p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/175415"><strong>【4月29日】LiteLLM重大漏洞公布一天半出現攻擊活動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/175370"><strong>【4月28日】資安院宣布第二屆漏洞獵捕活動，為公務機關最常使用的軟體抓漏</strong></a></p> <p><a href="https://www.ithome.com.tw/news/175326"><strong>【4月27日】後門程式FireStarter鎖定思科防火牆發動攻擊</strong></a></p> </div></div></div>
4/30 15:19作者周峻佑https://www.ithome.com.tw/news/175458