iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 21篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 05:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Ivanti修補裝置管理平臺EPMM已遭利用的高風險漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>5月7日資安公司Ivanti<strong><a href="https://hub.ivanti.com/s/article/May-2026-Security-Advisory-Ivanti-Endpoint-Manager-Mobile-EPMM-Multiple-CVEs">發布公告</a></strong>，端點管理平臺Endpoint Manager Mobile（EPMM）存在5個高風險漏洞，值得留意的是，其中一個登記為CVE-2026-6973的資安漏洞已出現實際攻擊活動。這些漏洞影響12.8.0.0以下版本的EPMM，Ivanti發布12.8.0.1、12.7.0.1、12.6.1.1版修補。</p> <p>CVE-2026-6973為存取控制不當引起的弱點，通過身分驗證且具備管理權限的攻擊者，就有機會遠端執行任何程式碼（RCE），CVSS風險評為7.2分。Ivanti指出，他們已掌握少部分客戶遭遇漏洞利用的情形，並強調利用漏洞的必要條件，在於須預先通過管理員的身分驗證。</p> <p>附帶一提的是，Ivanti特別指出，若IT人員緩解<strong><a href="https://www.ithome.com.tw/news/173694">今年一月修補的零時差漏洞</a></strong>CVE-2026-1281與CVE-2026-1340時，就已經輪換憑證，EPMM曝露在CVE-2026-6973的風險就會大幅降低。對此，該公司呼籲IT人員，應檢查具備管理員權限的帳號，並在必要的情況下輪換憑證。</p> </div></div></div>
5/8 09:09作者周峻佑https://www.ithome.com.tw/news/175634
駭客架設假Claude網站散布惡意軟體Beagle
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>上個月資安公司Malwarebytes揭露<strong><a href="https://www.ithome.com.tw/news/175039">冒牌Claude網站的攻擊行動</a></strong>，駭客藉此散布遠端存取木馬PlugX，本週有新的調查結果出爐，公布更多細節。</p> <p>資安公司Sophos指出，由於駭客的攻擊鏈與PlugX的活動有多個共通的特徵，他們起初認為這起偽冒事故是PlugX攻擊，<strong><a href="https://www.sophos.com/en-us/blog/donuts-and-beagles-fake-claude-site-spreads-backdoor">但進一步調查後發現</a></strong>，駭客使用了過往未曾出現的後門程式，該公司將其命名為Beagle，過程中駭客使用第一階段酬載DonutLoader將其載入。根據駭客不慎曝露的Cloudflare原始來源憑證，假Claude網頁的主機可能在今年3月架設。</p> <p>駭客疑似透過惡意廣告或SEO中毒（SEO Poisoning）引誘使用者存取假網站claude-pro[.]com，聲稱提供專業版應用程式Claude-Pro Relay，一旦使用者點選下載按鈕，就會取得505 MB的大型壓縮檔Claude-Pro-windows-x64.zip。若是使用者執行安裝，電腦就會被植入Beagle，此後門程式具備多項功能，包括：執行攻擊者下達的指令、上傳或下載檔案、建立資料夾、重新命名檔案、列出所有資料夾內容。</p> </div></div></div>
5/8 10:21作者周峻佑https://www.ithome.com.tw/news/175637
FDA升級內部AI工具Elsa，串接資料整合平臺強化查詢功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a data-saferedirecturl="https://www.google.com/url?q=https://www.fda.gov/news-events/press-announcements/fda-expands-ai-capabilities-and-completes-data-platform-consolidation&source=gmail&ust=1778288965869000&usg=AOvVaw0RmVc4dj9jHPI3-_rcn4Bz" href="https://www.fda.gov/news-events/press-announcements/fda-expands-ai-capabilities-and-completes-data-platform-consolidation" target="_blank">美國食品藥物管理局（FDA）公布新版AI工具Elsa 4.0</a>，並完成跨部門資料平臺整併。FDA將原本分散於各中心、<wbr></wbr>超過40套申請與送件相關的資料來源、系統與入口網站，<wbr></wbr>整合至名為HALO（Harmonized AI & Lifecycle Operations for Data）的新平臺。</p> <p>FDA首席AI長Jeremy Walsh指出，Elsa過去主要仰賴員工手動提供資料；<wbr></wbr>目前FDA已開始將HALO與Elsa串接，<wbr></wbr>讓員工不必在每次對話中上傳文件，就能透過AI工具查詢資料、<wbr></wbr>建立工作流程與進行分析。</p> <p>新版Elsa 4.0新增多項功能，包括自定AI代理、文件生成、<wbr></wbr>定量資料分析與視覺化、建立圖表、<wbr></wbr>透過安全網頁存取功能進行網頁搜尋、語音轉文字，<wbr></wbr>以及將掃描文件與影像轉成可搜尋文字（OCR）等功能，<wbr></wbr>也強化從大型文件儲存庫尋找關鍵資訊的搜尋能力。</p> <p>在安全控管方面，FDA表示，Elsa建置於符合FedRAMP High安全等級的Google Cloud Platform（GCP）環境，<wbr></wbr>不會使用員工輸入資料或受監管業者提交資料進行模型訓練，<wbr></wbr>以保護FDA處理的敏感研究與資料。</p> <p>根據FDA說明，內部人員也會參與Elsa工作流程各階段，<wbr></wbr>由領域專家檢查輸入內容、分析處理流程與輸出結果，<wbr></wbr>降低AI導入監管作業可能產生的風險。</p> </div></div></div>
5/8 10:45作者王珮瑤https://www.ithome.com.tw/news/175639
駭客濫用Anthropic與OpenAI的模型攻擊墨西哥水力及排水系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>駭客在攻擊企業組織的IT環境濫用AI已是常態，如今傳出有人將AI用於滲透關鍵基礎設施。</p> <p><strong><a href="https://www.dragos.com/blog/ai-assisted-ics-attack-water-utility#is-ai-lowering-the-barrier-to-ot-targeting">工控資安公司Dragos指出</a></strong>，他們協助另一家資安公司Gambit Security調查墨西哥多個政府機關遭遇大規模入侵的事故，結果發現駭客竟利用AI從受害組織的IT環境，成功滲透關鍵基礎設施的OT環境。Gambit Security於今年2月發現，墨西哥政府機構2025年12月開始遭遇攻擊，其中有大量證據顯示，攻擊者使用Anthropic Claude與OpenAI GPT模型的情況，Dragos留意到針對城市供水與排水的公營事業的攻擊，在這波事故中，駭客成功滲透該公司的企業IT環境之後，試圖入侵相關的OT環境。根據調查的結果，這些駭客以Claude為主力，用來找出OT環境與關鍵基礎設施之間的關連，評估攻擊目標的重要性，並尋找可能從IT網路滲透OT環境的途徑。</p> <p>Dragos分析逾350個駭客使用的工具，這些大部分是AI生成的指令碼，用於從事攻擊。其中，駭客運用Claude進行提示與回應互動、入侵規畫，以及攻擊工具的開發與部署；OpenAI的GPT模型則被用於資料分析，負責處理收集到的檔案，並產出使用西班牙文描述的結構性資料。</p> </div></div></div>
5/8 11:14作者周峻佑https://www.ithome.com.tw/news/175633
PCIe 8.0草案出爐，資料傳輸率上看1TB/s
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>周邊元件互連（Peripheral Component Interconnect，PCI）標準制定組織PCI-SIG本週<a href="https://pcisig.com/specifications/pcier-80-specification-draft-05-now-available-members" target="_blank">公佈PCIe 8.0標準草案</a>，預計2028年釋出給產業，最高資料傳輸率可達1.0 TB/s。最新釋出的PCIe 8.0標準草案為0.5版，預計在2028年釋出給產業。</p> <p>PCIe SIG指出，PCIe 8.0規格旨在提供高擴充性的互連方案，以支援新興應用包括AI、機器學習、高速網路、邊緣運算與量子運算，它也將支援資料密集市場如汽車、hyperscale資料中心、高效能運算（HPC）及軍事／航太業。</p> <p>技術規格方面，PCIe 8.0延續過去幾代，每三年提高一倍的更新幅度。其單一通道（Lane）的原始位元速率，較2025年6月公佈的PCIe 7.0的128 GT/s提升為2倍來到256 GT/s。其x1單向頻寬也從前代16 GB/s來到32 GB/s。而在x16配置下，雙向總頻寬可達到1,024 GB/s，突破1 TB/s。</p> <p class="rtecenter"><a href="https://www.businesswire.com/news/home/20250805675479/en/PCI-SIG-Announces-PCI-Express-8.0-Specification-to-Reach-256.0-GTs" target="_blank"><img alt="" src="/sites/default/files/images/0508-pcie%208-600.jpg" style="width: 600px;" /></a></p> <p>PCIe 8.0制訂目標除了傳輸速度外，也計畫改良連接器、降低延遲性、提升穩定性、提升有效頻寬利用率、降低耗電率等技術。PCIe 6/7/8已改用PAM4（四階振幅調變）訊號技術，但缺點是抗干擾力下降、BER（bit error rate），PCI-SIG暗示已在評估新連接器技術，<a href="https://www.tomshardware.com/tech-industry/pci-sig-announces-pcie-8-0-spec-with-twice-the-bandwidth-1tb-s-of-peak-bandwidth-256-gt-s-per-lane-and-a-possible-new-connector" target="_blank">Tom's Hardware報導</a>可能導入光互連optical-aware retimer（光學感知重定時器）架構。</p> <p>PCIe引入前向錯誤更正（Forward Error Correction，FEC）技術旨在解決PAM4的錯誤率，但也增加延遲性，因此最新版技術亦希望引入FEC技術提升通訊可靠性的同時，也能滿足低延遲性（Latency）目標。</p> <p>PCIe 8.0也可能計畫藉FLIT-based編碼及錯誤管理以提升有效頻寬利用率。此外，隨著AI及HPC應用帶動電力需求，PCIe 8.0可望藉使用的更有效率SerDes（Serializer/Deserializer）、編碼及能源管理來降低功耗。最後，一如之前標準，PCIe 8.0持續追求和前代標準的回溯相容性。</p> </div></div></div>
5/8 10:00作者林妍溱https://www.ithome.com.tw/news/175636
為了推動AI領域的投資，資安公司Arctic Wolf傳出裁員250人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>根據<strong><a href="https://www.theregister.com/ai-and-ml/2026/05/06/arctic-wolf-cuts-250-jobs-in-ai-push/5231213">科技新聞網站The Register的報導</a></strong>，資安公司Arctic Wolf近期裁員250人，目的是強化威脅情報平臺與代理型資安營運中心（Agentic SOC），投入更多與AI相關的資金，涵蓋銷售、產品開發、行銷多個部門，其中部分員工在職超過4年。該公司發言人證實此事，表示該公司確實在進行組織再造，使公司架構及投資方向更符合長期經營策略，提升營運效率，Arctic Wolf將持續投資威脅情報平臺Superintelligence與Agentic SOC。</p> <p>Arctic Wolf並未公布目前的員工人數，不過該公司<strong><a href="https://arcticwolf.com/resources/press-releases/arctic-wolf-recognized-on-the-2024-fortune-future-50-list-for-its-sustained-and-continued-business-growth/">於2024年12月曾在新聞稿透露有超過2,600名員工</a></strong>，The Register引述市調網站PitchBook的資料，該公司裁員前的員工人數應為3,323名。換言之，Arctic Wolf這次裁員的比例，約占員工總數的7%。</p> </div></div></div>
5/7 18:00作者周峻佑https://www.ithome.com.tw/news/175622
【臺灣資安大會直擊】BEC郵件詐騙手法採用AI深偽技術，讓商業詐騙進入「真假難辨」新階段
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>隨著生成式AI與深偽技術快速普及，商業電子郵件詐騙（BEC）正從傳統假冒郵件，演變為結合雲端帳號滲透、AI視訊偽造與跨境社交工程的新型態攻擊。曾在KPMG、鴻海集團擔任顧問、資訊或資安主管的遠東新世紀資安處資安長易換棣在今年臺灣資安大會中分享他的觀察及經驗，BEC已不只是資安事件，而是企業治理、信任機制與商業流程全面遭到操控的問題。</p> <p>他強調，BEC最危險之處，在於攻擊者不是直接竊取資金，而是利用企業原本正常運作的信任機制，讓受害者「親手完成匯款」。</p> <p>「它是透過合法的商業流程，操控人類在正常運作所依據的信任機制，而且最恐怖的是，它是透過受害者自己的手完成最後一個動作」，易換棣說。</p> <p><span style="color:#B22222;"><strong>BEC已成各產業共同風險，從資安問題升級為治理問題</strong></span></p> <p>他引用今年資安調查資料指出，不論高科技產業、製造業、百億營收企業或中小企業，BEC都已成為發生機率與衝擊程度最高的資安風險之一。</p> <p>他認為，BEC與傳統駭客攻擊最大的不同，在於其攻擊目標不只是系統，而是瞄準企業生態與商業信任鏈。</p> <p>「它攻擊的不只是表面上的錢，也是信任」，易換棣說。</p> <p>以遠東新世紀為例，由於企業橫跨6個國家，內部需使用5種以上語言，加上涵蓋製造、金融、醫療、運輸等多元事業，使跨境郵件往來與供應鏈溝通情境更加複雜，也提高BEC滲透空間。</p> <p>易換棣指出，BEC之所以難防，還包括法律責任模糊、攻擊者使用真實身份、遭詐騙的損失難以追回，以及企業與駭客之間存在高度的不對稱等特性。</p> <p>他舉例，若供應商財務主管帳號遭駭，並透過合法Email要求更改匯款帳號，企業依照正常流程付款後，最後的責任該由誰承擔，往往難以界定。</p> <p><span style="color:#B22222;"><strong>BEC詐騙手法從假郵件演進到AI深偽視訊</strong></span></p> <p>易換棣將BEC攻擊演進分為4個階段。早期BEC 1.0，主要透過相似網域與假冒Email進行詐騙，例如利用字母混淆誘如「VV」代替「W」欺騙企業匯款。當時只要做好SPF、DKIM、DMARC等郵件驗證機制，加上基本員工教育，多數攻擊仍可有效阻擋。</p> <p><img alt="" src="/sites/default/files/images/20260507_145314_2.jpeg" style="width: 600px; height: 393px;" /></p> <p>到了BEC 2.0階段，駭客開始直接竊取企業帳號與密碼，長時間潛伏在郵件系統中，觀察主管與財務流程，伺機發動攻擊。</p> <p>由於防不勝防，他指出，部分的東南亞企業甚至已默認系統遭入侵，「某種程度已經變成與駭客共生」。</p> <p>進入BEC 3.0後，攻擊者開始濫用Google Workspace、Microsoft 365等合法雲端服務，以及第三方會計系統發送通知，利用真實平臺提升可信度。</p> <p>現在則進入BEC 4.0階段，生成式AI與深偽技術則進一步讓真假難辨。易換棣舉例，國際上已有案例，一家企業的財務主管，在AI偽造的視訊會議中，誤以為正和公司高層開會，最後受騙匯出2,500萬美元。</p> <p>從BEC 1.0到4.0的詐騙手法並非演進，他觀察這些手法同時存在，甚至會混合攻擊。</p> <p><span style="color:#B22222;"><strong>遠東新世紀以AI與流程治理加固BEC防線</strong></span></p> <p>易換棣認為防禦BEC不能只靠IT部門，必須建立跨部門治理與供應鏈聯防機制。</p> <p>他提出「BEC黃金三角」概念，企業需同時管理自身、客戶與供應商之間的信任關係。</p> <p><img alt="" src="/sites/default/files/images/20260507_150614.jpeg" style="width: 600px; height: 358px;" /></p> <p>其中，面對客戶時，企業需事先建立清楚的責任邊界與付款規範；面對供應商時，由於企業是付款方，可強化帳號異動與付款驗證機制。</p> <p>在技術面，遠東新世紀已導入AI協助分析異常登入、郵件轉寄規則與ERP供應商帳號異動等行為，並透過AI分析供應商資安風險分數，建立高風險供應鏈預警機制。</p> <p>此外，還建立AI輔助的釣魚郵件通報機制，由員工將可疑郵件轉寄至特定信箱，再透過大型語言模型協助第一線分析與回應。</p> <p>易換棣表示，許多BEC異常行為並非人力無法處理，而是「太累了」，需要AI協助大量自動化分析。</p> <p><span style="color:#B22222;"><strong>企業不能只靠工具，還要靠自身「免疫力」</strong></span></p> <p><img alt="" src="/sites/default/files/images/20260507_150850.jpeg" style="width: 600px; height: 359px;" /></p> <p>除了AI防禦，他也強調企業基本功的重要性，包括部署SPF、DKIM與DMARC、建立Out-of-Band（OOB）雙重驗證、將BEC納入正式風險評估、強化財務與採購人員訓練、定期進行情境式演練、建立供應鏈資安風險管理制度。</p> <p>他認為，許多企業以為通過ISO 27001等認證就能百毒不侵，但如果沒有真正將BEC納入治理與內控流程，仍可能存在高度風險。</p> <p>他強調企業不能只依賴外部資安產品，還要建立自己的「免疫力」。</p> <p>「專業廠商提供的是盔甲，但你不可能只靠盔甲打贏戰爭。」他說，真正的防禦力，仍來自企業自身長期累積的治理能力、內控機制與組織韌性。</p> </div></div></div>
5/7 17:47作者蘇文彬https://www.ithome.com.tw/news/175620
Palo Alto Networks防火牆作業系統零時差漏洞傳出遭國家級駭客利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>5月6日資安公司Palo Alto Networks揭露<strong><a href="https://www.ithome.com.tw/news/175586">已被用於攻擊的零時差漏洞CVE-2026-0300</a></strong>，此弱點存在於User-ID身分驗證入口網站，未經身分驗證的攻擊者能以root權限執行程式碼，CVSS v4.0風險為9.3分，無論實體設備PA系列的或虛擬版防火牆VM系列都有可能受影響。究竟漏洞如何遭到利用？該公司透露更多細節。</p> <p>Palo Alto Networks<strong><a href="https://unit42.paloaltonetworks.com/captive-portal-zero-day/">威脅情報團隊Unit 42指出</a></strong>，他們從4月9日首度看到利用CVE-2026-0300的活動，不過當時並未得逞，一週後駭客於防火牆發動遠端程式碼執行（RCE）攻擊，並注入Shellcode，得逞後，為了避免留下作案痕跡，這些駭客隨即清除事件記錄，其中包含系統核心當機訊息、Nginx當機相關事件，此外，他們也移除核心當機傾印檔案。事隔數日，駭客部署多個具有root權限的工具，並利用防火牆服務帳號對AD進行偵察。4月29日，這些駭客發動SAML洪水攻擊，並對另一臺防火牆發動攻擊，然後下載網路隧道工具EarthWorm與ReverseSocks5。</p> <p>對於攻擊者的身分，Unit 42表示他們取名為CL-STA-1132列管，並推測這是背後有國家資助的駭客團體。</p> </div></div></div>
5/7 17:51作者周峻佑https://www.ithome.com.tw/news/175621
【資安日報】5月7日，駭客聲稱提供OpenClaw用戶擴充功能散布惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/175601"><strong style="font-size: 22px;">惡意OpenClaw技能套件被用於散布Remcos與GhostLoader</strong></a></p> <p><a href="/sites/default/files/images/OpenClaw_Skill-1_2-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/OpenClaw_Skill-1_2-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安廠商Zscaler發現，有人從3月開始透過惡意OpenClaw技能套件DeepSeek-Claw，針對Windows、macOS、Linux用戶散布惡意程式，藉此竊取憑證、瀏覽器Cookie、加密貨幣錢包，以及API金鑰等機敏資料。根據作業系統的不同，此套件將會透過MSI安裝檔，在Windows電腦植入Remcos RAT，駭客使用具備合法簽章的GoToMeeting執行檔側載Shellcode，並動態關閉事件追蹤（ETW）與防惡意程式掃描介面（AMSI）功能，然後下載最終的有效酬載並執行。</p> <p><a href="https://www.ithome.com.tw/news/175604"><strong style="font-size: 22px;">北韓駭客ScarCruft利用安卓惡意軟體BirdCall攻擊中國境內的脫北者</strong></a></p> <p><a href="/sites/default/files/images/Yanbian-1-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/Yanbian-1-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安廠商ESET揭露北韓駭客ScarCruft（APT37）鎖定中國延邊地區的攻擊行動，他們透過供應鏈攻擊滲透當地的遊戲平臺，於Windows與Android版遊戲植入後門程式BirdCall。ESET指出，BirdCall以往只有針對Windows用戶，Android版本是這次首度發現，駭客實作Windows版的部分指令與功能，收集聯絡人、簡訊、通話記錄、檔案與金鑰。除此之外，該惡意程式還能進行螢幕截圖，並錄製週遭的聲音。Android版BirdCall是駭客最近幾個月才積極開發，ESET一共找到7個版本，最早出現於2024年10月。</p> <p><a href="https://www.ithome.com.tw/news/175598"><strong style="font-size: 22px;">為掩護網路間諜活動，伊朗駭客MuddyWater利用勒索軟體Chaos製造混亂</strong></a></p> <p><a href="/sites/default/files/images/FixedDiagram-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/FixedDiagram-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安公司Rapid7揭露今年初發生的勒索軟體Chaos活動，表面上看起來是勒索軟體租用服務（RaaS）旗下打手的活動，但根據鑑識的結果，發現這其實是用來混淆真正攻擊的假旗行動（False Flag），Rapid7根據程式碼簽章、C2基礎設施等證據，認為背後的攻擊者身分，是隸屬伊朗情報與國家安全部（MOIS）的國家級駭客組織MuddyWater（Seedworm）。</p> <p><a href="https://www.ithome.com.tw/news/175600"><strong style="font-size: 22px;">微軟Phone Link應用程式被濫用，惡意軟體CloudZ竊取手機簡訊與OTP</strong></a></p> <p>思科威脅情報團隊Talos揭露惡意程式CloudZ RAT的攻擊行動，駭客從今年1月開始，使用CloudZ RAT及其外掛程式Pheno，企圖竊取受害者的憑證與動態密碼（OTP）。此惡意程式特別的地方，在於濫用Windows作業系統內建的「手機連結（Phone Link）」應用程式，挾持電腦與手機之間的橋接機制，從而在無須於手機植入惡意程式的情況下，攔截手機上的簡訊或動態密碼等敏感資料。為了迴避偵測，CloudZ RAT還會在系統記憶體執行特定的功能函式，檢查是否在沙箱或是除錯環境。</p> <p><a href="https://www.ithome.com.tw/news/175595"><strong style="font-size: 22px;">惡意軟體Quasar Linux結合後門與Rootkit功能，鎖定開發人員而來</strong></a></p> <p><a href="/sites/default/files/images/figure-11-peristence-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/figure-11-peristence-63.jpg" style="width: 300px; float: right;" /></a></p> <p>趨勢科技揭露Linux惡意軟體Quasar Linux（QLNX），此為功能非常複雜的惡意程式，同時具備遠端存取木馬（RAT）與進階迴避偵測的能力、鍵盤側錄、挖掘憑證，同時還嵌入了PAM後門與LD_PRELOAD機制的Rootkit的原始碼。特別的是，此惡意程式還會動態編譯Rootkit的共用物件與PAM後門模組，這樣的做法並不常見。值得留意的是，此惡意程式特別針對軟體供應鏈當中，開發者與DevOps相關的憑證，能讓攻擊者以受害者的名義，於NPM或PyPI上架惡意套件、存取雲端基礎設施，或是透過CI/CD管線尋找其他目標。</p> <p><a href="https://www.ithome.com.tw/news/175606"><strong style="font-size: 22px;">為深度學習框架PyTorch打造的PyPI程式庫Lightning遭供應鏈攻擊</strong></a></p> <p>資安公司Aikido、OX Security、Socket、StepSecurity提出警告，熱門PyPI套件Lightning遭遇供應鏈攻擊，駭客於4月30日上架惡意版本2.6.2與2.6.3。值得留意的是，這些資安公司不約而同指出，這起事故是Mini Shai-Hulud的延伸。對此，Lightning開發團隊證實此事，並表示他們的帳號疑似遭到蠕蟲程式完全入侵，後續發布完整的資安公告指出，若是用戶不慎安裝有問題的套件，應認定開發環境已遭入侵，立即輪換可能被洩露的憑證與機密資料，並採取相關應變措施。</p> <p><a href="https://www.ithome.com.tw/news/175614"><strong style="font-size: 22px;">Intercom遭到供應鏈攻擊Mini Shai-Hulud波及</strong></a></p> <p><a href="/sites/default/files/images/image-119-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/image-119-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安公司OX Security、Socket、StepSecurity發現，NPM套件intercom-client近期發布的7.0.4版遭到滲透，此為Intercom用戶端訊息平臺的Node.js軟體開發套件（SDK），一旦開發人員不慎安裝，就會從GitHub下載未經驗證的Bun二進位檔案；另一個駭客使用的惡意檔案大小達到11.7 MB，此檔案為高度混淆處理的JavaScript檔案，用途是從環境變數與本機檔案收集Kubernetes與Vault的憑證，然後經加密處理並經由GitHub API流出。</p> <p><a href="https://www.ithome.com.tw/news/175589"><strong style="font-size: 22px;">研究人員警示駭客濫用Amazon SES發動釣魚攻擊，合法雲端郵件服務成為繞過防護手段</strong></a></p> <p>資安業者卡巴斯基近日發布報告指出，駭客正在濫用Amazon旗下雲端郵件服務Simple Email Service（SES）發動釣魚攻擊，利用受信任的雲端基礎設施繞過傳統郵件過濾機制，較過去的釣魚攻擊更難以防範。攻擊者是透過用戶洩露的AWS IAM金鑰，來取得用戶的SES帳戶存取權限，然後利用合法帳戶發送釣魚郵件。問題源自開發人員經常將這些金鑰錯誤上傳到公共GitHub程式碼庫、環境設定檔、Docker映像、或是公開的S3儲存桶中，而導致外洩，攻擊者可使用自動化工具掃描這些洩露的金鑰，一旦藉此權限，便可大規模發送釣魚郵件。</p> <p><a href="https://www.ithome.com.tw/news/175590"><strong style="font-size: 22px;">中國內容管理系統MetInfo存在重大漏洞，已出現積極利用的攻擊活動</strong></a></p> <p><a href="/sites/default/files/images/1777901534810-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/1777901534810-63.jpg" style="width: 300px; float: right;" /></a></p> <p>一個月前，中國網站管理公司米拓信息的內容管理平臺（CMS）米拓（MetInfo）近期修補資安漏洞CVE-2026-29014，有資安公司發現，實際攻擊活動數週後出現、5月初顯著增加。威脅情報公司VulnCheck資安研究副總裁Caitlin Condon提出警告，因為他們4月25日開始察覺漏洞利用活動，當時攻擊者針對少量美國與新加坡主機下手，先確認目標伺服器是否存在漏洞並進行利用。但到了5月1日，該公司看到位於新加坡的密罐陷阱出現漏洞利用活動大幅增加的現象，攻擊來源大多位於中國與香港。</p> <p><a href="https://www.ithome.com.tw/news/175588"><strong style="font-size: 22px;">Telegram Mini Apps被用於假冒服務詐騙</strong></a></p> <p>資安業者CTM360發布資安研究報告，揭露名為FEMITBOT的詐騙基礎架構。攻擊者濫用Telegram Mini Apps與Telegram Bot，在Telegram內建立假冒加密貨幣、金融、AI、串流媒體與加密貨幣挖礦池的互動頁面，誘導使用者投入資金，部分網站還會提供Android APK檔案散布惡意程式。攻擊者透過機器人（Bot）誘導使用者啟動Mini App，再於Telegram內建WebView載入攻擊者控制的網站，使假冒服務看起來像是在Telegram內正常執行。</p> <p><a href="https://www.ithome.com.tw/news/175609"><strong style="font-size: 22px;">Braintrust遭未授權存取，要求用戶輪換AI供應商的API金鑰</strong></a></p> <p>AI可觀測性平臺Braintrust確認內部AWS帳號發生未授權存取事件，受影響環境存有客戶在Braintrust設定的AI模型供應商API金鑰。Braintrust表示事件目前已受控制，並要求客戶撤銷及重新產生儲存在平臺上的相關金鑰，以降低後續被濫用的風險。這起事故的發現，源自該公司在5月4日接獲有AWS帳號出現可疑行為的通報，調查後確認發生未授權存取。Braintrust並未說明是否有客戶金鑰實際外流，僅表示已與部分受影響客戶溝通，至今尚未發現更廣泛暴露的證據。</p> <p><a href="https://www.ithome.com.tw/news/175603"><strong style="font-size: 22px;">思科網路管理平臺存在阻斷服務漏洞，IT人員需手動重開機才能恢復運作</strong></a></p> <p>5月6日思科發布資安公告，指出旗下的Crosswork Network Controller（CNC）與Network Services Orchestrator（NSO）平臺存在資安漏洞CVE-2026-20188，一旦遭到利用，攻擊者可在未經身分驗證的情況下，造成CNC與NSO出現服務中斷（DoS）的現象，CVSS風險評為7.5分，危險程度屬高風險等級。值得留意的是，IT人員必須手動重新啟動系統，才能從服務中斷的狀態中恢復。</p> <p><a href="https://www.ithome.com.tw/news/175612"><strong style="font-size: 22px;">Google發布Chrome 148，修補127個資安漏洞</strong></a></p> <p>5月5日Google針對電腦版與Android版用戶，推出148版Chrome更新，總共修補127個資安漏洞，數量比前一次Chrome 147安全更新修補的30個漏洞多出不少。其中，這次有3個漏洞CVE-2026-7896、CVE-2026-7897、CVE-2026-7898被評為重大等級而成為本次更新的焦點。用戶應儘速將電腦版瀏覽器更新為148.0.7778.96或148.0.7778.97、Android版升級為148.0.7778.120修補。</p> <p><a href="https://www.ithome.com.tw/news/175553"><strong style="font-size: 22px;">Java網路應用程式框架Apache MINA修補兩項重大漏洞，未更新可能導致遠端執行程式碼攻擊</strong></a></p> <p>Java網路應用程式框架Apache MINA專案近日發布資安公告，揭露兩項重大漏洞，可能導致攻擊者在未經驗證的情況下執行任意程式碼，建議用戶儘速更新到修補版本，以降低風險。這次修補的兩項Apache MINA漏洞中，第1項是CVE-2026-42778，CVSS嚴重性評分達9.8分，源自先前對CVE-2024-52046漏洞的修補不完全，由於類別名稱允許清單（classname allowlist）在驗證程序中過晚執行，攻擊者可發送特製的惡意序列化資料，透過反序列化處理程序觸發漏洞，進而從遠端執行任意程式碼。</p> <p><a href="https://www.ithome.com.tw/news/175592"><strong style="font-size: 22px;">Infoblox完成併購Axur，強化外部威脅防護能力</strong></a></p> <p>DDI與DNS安全解決方案廠商Infoblox近日宣布完成併購Axur，藉此擴展因應外部威脅的防護能力，並結合後者的技術，推出數位風險防護服務（Digital Risk Protection Services，DRPS），作為其風險暴露管理（Exposure Management）框架的首個元件。Infoblox表示，這次併購將能整合雙方互補的能力，Axur公司專攻基於AI技術的外部威脅偵測與防護，可為主要針對DNS偵測與威脅攔截的Infoblox產品線，增強抵禦外部網路威脅的能力。</p> <p><a href="https://www.ithome.com.tw/news/175594"><strong style="font-size: 22px;">【臺灣資安大會直擊】衛福部推SBOM填補AI供應鏈漏洞、醫療主權雲八大方針正式版近期將出爐</strong></a></p> <p>衛福部資訊處處長李建璋5月6日在臺灣資安大會醫療資安論壇揭露，衛福部下一步將在負責任AI中心推動導入軟體物料清單（SBOM）機制，降低醫療AI軟體供應鏈漏洞風險。同時，衛福部延續今年初與微軟、Google雲端和AWS等三大公有雲業者的醫療主權雲八大方針溝通，近期將公布正式版本，醫院未來選擇公有雲服務時雖會多出5%至15%的成本費用，但可享有更完善的保障，如加密金鑰由醫院掌握、資料未經醫院授權不得二次利用等。</p> <p><a href="https://www.ithome.com.tw/news/175591"><strong style="font-size: 22px;">【臺灣資安大會直擊】2026年底9成資訊都是AI撰寫？趨勢科技揭示AI演進下的4大內外部風險</strong></a></p> <p>今年臺灣資安大會上，趨勢科技企業資安事業群（TrendAI）威脅研究總監Ryan Flores特別針對AI浪潮，剖析企業正處於進退維谷的內憂與外患之間。Ryan Flores的說明可歸納為4大要點。在內部風險方面有1項重要態勢：AI系統本身也會存在需要修補的漏洞，近兩年來的AI漏洞暴增，2024年有1,583個，2025年有2,130個；而在外部威脅上則有3項重要態勢，包括內容生成成本大幅降低、身分冒充變得可規模化，以及攻擊邏輯從傳統惡意程式轉為更難防範的惡意提示詞。</p> <p><a href="https://www.ithome.com.tw/news/175593"><strong style="font-size: 22px;">【臺灣資安大會直擊】合勤資安長游政卿：歐盟CRA上路倒數，產品安全成供應鏈生死線</strong></a></p> <p>歐盟網路韌性法案（Cyber Resilience Act，CRA）進入實施倒數，企業的產品資安合規正從「法遵議題」轉變為「供應鏈存亡關鍵」。在臺灣資安大會上，合勤投控資安長游政卿指出，CRA將在未來兩年內引發全球供應鏈重整，產品安全不再只是加分項，而是企業能否持續參與國際市場競爭的基本門檻。游政卿強調，與AI等快速變動的技術趨勢不同，CRA是具體且時程明確的法規要求，預計在2027年12月將會全面生效，企業在2026年就進入關鍵準備階段。這不是未來的問題，而是未來兩年內就會發生的供應鏈洗牌。</p> <p><a href="https://www.ithome.com.tw/news/175611"><strong style="font-size: 22px;">【臺灣資安大會直擊】沒弄清楚DevSecOps流程反模式，靠AI也解不了四大根本問題</strong></a></p> <p>不少企業看上GAI強大的資料處理能力，想要用來處理繁雜的資安作業。針對這波企業想用AI來強化資安的浪潮，靖本行策執行長盧建成認為，AI只是讓問題變快，不代表責任或決策變得更清楚。過去幾年企業最夯的DevSecOps，已成企業開發的主流方法，不少企業開始想用AI解決DevSecOps成效不彰的困境。但是，威力強大的AI工具，雖然可以彌補IT人員的能力不足，不過並不代表能承接責任。盧建成歸納，責任定義、風險接受標準、例外與特簽機制、治理與追蹤，這四件事，AI解決不了。</p> <p><a href="https://www.ithome.com.tw/review/174090"><strong style="font-size: 22px;">微軟新款機密虛擬機器上陣，首度導入開源VM內部隔離技術</strong></a></p> <p>去年9月，微軟Azure針對一般用途與記憶體最佳化等兩大雲端運算服務，推出基於AMD第四代EPYC處理器的機密虛擬機器：DCasv6系列與ECasv6系列。時隔5個月，基於英特爾第五代Xeon Scalable處理器的另一批機密虛擬機器：DCesv6系列與ECesv6系列，今年2月也宣告進入正式上線階段。受益於英特爾Xeon處理器標榜的Intel Trust Domain Extensions（TDX）技術，它們也藉此支援微軟與兩大處理器業者合作的Guest虛擬機器遠端見證（Remote Attestation）架構，成為率先響應英特爾信任驗證技術（Intel Trust Authority）的雲端服務業者。</p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/175587"><strong>【5月6日】Apache修補網頁伺服器高風險漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/175560"><strong>【5月5日】2026臺灣資安大會正式登場</strong></a></p> <p><a href="https://www.ithome.com.tw/news/175531"><strong>【5月4日】Linux系統核心存在長達9年的高風險漏洞Copy Fail</strong></a></p> </div></div></div>
5/7 16:02作者周峻佑https://www.ithome.com.tw/news/175615
聯發科啟用PUE1.1的高能效AI研發資料中心，以浸沒式冷卻與再生能源打造永續算力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>隨著生成式AI與高效能運算需求快速攀升，AI資料中心的能源消耗與散熱問題，已成為企業邁向永續發展的重要挑戰。聯發科今天(5/7)宣布啟用位於銅鑼科學園區的研發資料中心，不僅導入以Nvidia DGX B200平台打造的Nvidia DGX SuperPOD運算叢集，大規模採用單相浸沒式冷卻技術，以提升能源效率與降低冷卻耗能，強化AI研發基礎設施的永續能力。</p> <p>聯發科表示，該研發資料中心自2023年起依循綠建築的鑽石級標準規畫建置，並採模組化三期設計，第一期已於2026年正式啟用，未來將視AI業務成長需求逐步擴充。</p> <p><span style="color:#B22222;"><strong>導入浸沒式冷卻技術，PUE降至1.1</strong></span></p> <p>面對AI模型訓練所帶來的大量算力與散熱需求，聯發科此次在銅鑼研發資料中心，大規模導入「單相浸沒式冷卻技術」。該技術將伺服器直接浸泡於非導電絕緣液中運作，透過液體快速帶走熱能，相較傳統氣冷方式，可顯著降低冷卻系統耗電。</p> <p>這項技術使資料中心能源使用效率（PUE）最佳化至1.1，冷卻效率則提升達2.6倍。除了降低能源消耗，也能減少伺服器風扇運轉所帶來的噪音、震動，以及灰塵問題，進一步提升設備穩定性與使用壽命。</p> <p>在AI運算能力方面，該資料中心以Nvidia DGX SuperPOD為核心，支援大規模AI模型訓練與推論需求，每月最高可處理1,380億個Token，可完成超過2.4萬次模型訓練迭代。聯發科也導入Nvidia NIM、TensorRT-LLM等軟體架構，將推論速度提升40%、Token傳輸量提升60%，作為邊緣AI與雲端AI產品研發後盾。</p> <p>聯發科總經理暨營運長陳冠州表示，AI產業正帶來新的成長機會，聯發科持續投資高效能運算平台、Wi-Fi 7/8、5G衛星通訊、6G、先進製程與先進封裝等關鍵技術，新資料中心將是支撐未來AI研發的重要基礎建設。</p> <p><strong><span style="color:#B22222;">結合太陽能、再生水與綠建築設計</span></strong></p> <p>除了提升算力效率，聯發科也將節能減碳與資源循環納入資料中心設計。</p> <p>在能源管理上，聯發科於資料中心屋頂建置235kW太陽能發電系統，年發電量可達28萬度電，約相當於67個家庭年用電量。供電系統則比照晶圓廠等級設計，全區採2N雙備援電力架構與全載備援發電機組，以維持高穩定性的AI研發環境。</p> <p>水資源管理方面，導入銅鑼科學園區再生水，供應廠區空調與冷卻系統使用，並透過循環設計將再生水作為主要冷卻介質，降低對天然水資源的依賴。</p> <p>聯發科承諾2050年淨零排放目標後，持續在全球營運據點推動節能減碳措施，新的研發資料中心啟用，代表其永續AI算力的推策略，也是資料中心從單純追求算力規模化，向兼顧能源效率、資源循環與永續的轉型發展。</p> </div></div></div>
5/7 16:37作者蘇文彬https://www.ithome.com.tw/news/175617
Google發布Chrome 148，修補127個資安漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>5月5日Google針對<strong><a href="https://chromereleases.googleblog.com/2026/05/stable-channel-update-for-desktop.html">電腦版</a></strong>與<strong><a href="https://chromereleases.googleblog.com/2026/05/chrome-for-android-update.html">Android版</a></strong>用戶，推出148版Chrome更新，總共修補127個資安漏洞，數量比前一次Chrome 147安全更新修補的<strong><a href="http://www.ithome.com.tw/news/175444">30個漏洞</a></strong>多出不少其中，這次有3個被評為重大等級而成為本次更新的焦點。用戶應儘速將電腦版瀏覽器更新為148.0.7778.96或148.0.7778.97、Android版升級為148.0.7778.120修補。</p> <p>這些漏洞是CVE-2026-7896、CVE-2026-7897、CVE-2026-7898，其中的CVE-2026-7896為存在於排版引擎Blink的整數溢位弱點，攻擊者可透過特製HTML網頁遠端觸發漏洞，導致記憶體堆疊可能損毀。美國網路安全暨基礎設施安全局（CISA）對此漏洞進行風險評估，CVSS風險值為8.8，Google頒發通報的研究人員4.3萬美元獎金。</p> <p>另外兩個漏洞皆為記憶體使用後釋放再存取利用（User After Free）類型的弱點，CVE-2026-7897最早在iOS版Chrome發現，攻擊者可說服使用者操作特定的介面手勢，從而利用特製HTML網頁執行任意程式碼，風險值為7.5分；CVE-2026-7898存在於Chromoting元件，攻擊者可透過惡意網路流量執行程式碼，風險值為8.8。</p> </div></div></div>
5/7 15:14作者周峻佑https://www.ithome.com.tw/news/175612
駭客發動長達5小時慢而低調的DDoS攻擊以規避偵測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://datadome.co/threat-research/how-datadome-stopped-a-2-billion-request-ddos-attack/" target="_blank">資安業者DataDome發現</a>近來駭客發動分散式阻斷服務（DDoS）攻擊手法有所演進，從短時大規模流量攻擊轉向慢而低調的長時間活動。</p> <p>DataDome的Galileo團隊在2026年4月緩解了一波針對一家使用者生成內容平臺客戶的網頁機器人（bot）DDoS流量攻擊，以時間換取空間，在5小時內發出24.5億次請求，但未曾觸發傳統防護方案流量限制的機制。</p> <p>發動這波攻擊的殭屍網路橫跨16,402個自主系統（autonomous system，AS）遍及120萬個不重複IP位址，是DataDome觀察到最繁複的DDoS基礎架構。研究人員發現，和多數DDoS在短時間以極大流量癱瘓目標主機的暴力作法不同，在5小時的攻擊期間，尖峰流量是每秒20.5萬次請求（RPS），平均約13.6萬次，每個來源IP位址每9秒才發出一次請求，遠低於多數安全方案的流量上限，這意謂著所有IP都不會觸發偵測機制。</p> <p>研究人員還發現，攻擊流量呈現週期性起伏的波浪形態、中間夾雜停頓，意在使防護工具的限速計（rate-limit counter）重置、防禦系統誤判為流量恢復正常，讓操作者有時間輪換IP、user-agent、攻擊酬載，他們相信操作者藉此保持低調穩定攻擊，又不超過偵測閾值。</p> <p>另外，這波攻擊的基礎設施多樣化，流量來源混合了AWS、Google Cloud、DigitalOcean、Cloudflare等大型雲端服務，但也包含不少匿名化、隱私導向的ASN（Autonomous System Number，自主系統編號）。這可能反映攻擊者把惡意流量混進大量正常雲端流量，讓封鎖ASN不可行。攻擊者還試圖模仿正常瀏覽器行為，例如偽造HTTP headers、cookies、URL parameters、browser profile。</p> <p>安全研究人員相信，這次攻擊代表攻擊思維的演進，DDoS攻擊正從單純依靠大流量，轉向模仿正常使用模式，藉此繞過傳統基於閾值與IP的防禦方法。</p> </div></div></div>
5/7 15:41作者林妍溱https://www.ithome.com.tw/news/175613
Intercom遭到供應鏈攻擊Mini Shai-Hulud波及
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>繼<strong><a href="https://www.ithome.com.tw/news/175446">SAP的NPM套件</a></strong>、<strong><a href="https://www.ithome.com.tw/news/175606">深度學習框架PyTorch的PyPI程式庫Lightning</a></strong>遭遇Mini Shai-Hulud供應鏈蠕蟲攻擊後，有其他套件也受到波及。</p> <p>資安公司<strong><a href="https://www.ox.security/blog/lightning-python-package-shai-hulud-supply-chain-attack/">OX Security</a></strong>、<strong><a href="https://socket.dev/blog/intercom-s-npm-package-compromised-in-supply-chain-attack">Socket</a></strong>、<strong><a href="https://www.stepsecurity.io/blog/shai-hulud-worm-pivots-to-multi-cloud-intercom-client-hijacked">StepSecurity</a></strong>發現，NPM套件intercom-client近期發布的7.0.4版遭到滲透，此為Intercom用戶端訊息平臺的Node.js軟體開發套件（SDK），一旦開發人員不慎安裝，就會從GitHub下載未經驗證的Bun二進位檔案；另一個駭客使用的惡意檔案大小達到11.7 MB，此檔案為高度混淆處理的JavaScript檔案，用途是從環境變數與本機檔案收集Kubernetes與Vault的憑證，然後經加密處理並經由GitHub API流出。Socket指出，這起事故與SAP維護的套件與Lightning遇害的情況幾乎一模一樣，因此他們研判這些很可能是<strong><a href="https://socket.dev/supply-chain-attacks/mini-shai-hulud">同一波攻擊活動</a></strong>。</p> <p>在intercom-client遇害後，Socket發現另一個同樣由Intercom開發的<strong><a href="https://socket.dev/blog/mini-shai-hulud-packagist-malicious-intercom-php-package-compromise">PHP套件intercom/intercom-php也被感染</a></strong>。Intercom後續表示，該公司套件遭受攻擊的根本原因，就是他們不慎引入有問題的Lightning套件。</p> </div></div></div>
5/7 15:47作者周峻佑https://www.ithome.com.tw/news/175614
【臺灣資安大會直擊】沒弄清楚DevSecOps流程反模式，靠AI也解不了四大根本問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>不少企業看上GAI強大的資料處理能力，想要用來處理繁雜的資安作業，像是分析龐大的Log，篩選複雜的告警等，根據iThome今年CIO&CISO大調查，30%的資訊主管認為AI可以緩解資安人力不足的問題，每三家企業也就有一家今年要導入資安流程的AI Agent來輔助。</p> <p>針對這波企業想用AI來強化資安的浪潮，靖本行策執行長盧建成認為，AI只是讓問題變快，不代表責任或決策變得更清楚。</p> <p>早在AI資安爆紅之前，過去幾年，企業最夯的話題是DevSecOps，因為DevOps在臺發展十年，逐漸成了企業開發的主流方法論，但是速度變化了，安全的壓力也隨之而來，企業開始積極在開發流程的不同階段，採用各種DevSecOps資安工具或機制。</p> <p>但是，有些企業推動資安左移時，雖然將資安責任左移，也提供資安培訓，但是，人員的能力不見得足以因應不斷變化的資安問題，像是新型態風險的判斷、最新漏洞的修補等，開發團隊接手了資安責任，卻沒有足夠的能力採取行動。</p> <p>也有企業積極導入各式各樣的工具，從SAST、SCA、IaC Scan、容器映像檔Scan到SBOM監測工具，串接到不同的開發流程中，蒐集了大量Log，企業IT人員卻無法進行有效的分析，最後只是將資料儲存起來，沒有真正發揮作用。</p> <p>測試到部署中間的資安把關，也是DevSecOps重要的卡關點，但常見有些IT團隊只同意小幅變更，而將重大變更交給主管的特簽，或視為特例來放行，而不是從風險角度來拒絕。這類例外、特簽不只讓資安責任邊界更加模糊，也讓資安控管決策在日後難以追蹤。</p> <p>企業上雲後，IaC基礎架構程式化的做法，雖然可以透過自動化來簡化維運，但是，遇到開發團隊、維運團隊和資安團隊三者負責範圍交會的安全問題，不同團隊從不同立場各自解釋，往往沒有人對整體安全性負責。</p> <p>上述這些都是臺灣企業推動DevSecOps時的反模式，長年擔任企業IT顧問的盧建成認為，DevSecOps在台灣沒有一條像DevOps那樣清楚的成長曲線，而是隨著DevOps成熟、雲端複雜度上升與安全風險壓力的增加，被動地演化出來的一種補救性整合。</p> <p>「補救性整合的做法，帶來影響是補得越多、越麻，開發系統也越遲重。」他強調。</p> <p>生成式AI技術和工具更加成熟之後，不少企業開始想用AI解決DevSecOps成效不彰的困境。但是，威力強大的AI工具，雖然可以彌補IT人員的能力不足，像是用AI來解釋資安告警、幫忙分析根因、提供修補建議，但不代表AI可以承接責任。或有企業用AI來強化龐大資安資料的整理，彙整SBOM、SAST報告，製作摘要報告，協助找出系統和漏洞的關聯，但不等於AI能夠理解了企業所面對的風險。</p> <p>生成式AI助手可以加速IT工作的執行，像是自動產生PR或IaC的修正，提供自動化修補的建議，但是無法建立一套治理實踐。或是用AI來整理風險資訊，要求AI列出風險處理優先順序，提供建議方案，但是AI只能提出建議，而無法負責最後的決策，還得由企業IT自己做出決定。</p> <p>盧建成歸納，責任定義、風險接受標準、例外與特簽機制、治理與追蹤，這四件事，AI解決不了。</p> <p>他上述提到的DevSecOps反模式的共通點是，責任被往前推，能力沒有一起建立，規則也無法支撐決策，資源更不足以消化風險。「誰能承接風險的責任，如何判斷風險、資安決策有何基準？決策執行或放行後如何追蹤等。」這四大問題，不會因為AI而獲得解決。</p> <p>像是誰要承擔後果、對企業來說可以接受什麼後果？什麼情況可以例外，誰可以批准例外、決策是否被執行、例外是否遭到濫用等，這些問題都用AI解答，得由企業自己面對才能找到自己的答案。</p> <p>盧建成建議，人員要能承接責任，而不是被指派，風險也能被理解而不是一昧分類，資安控管也不是分辨紅綠燈來篩選，而要將控管視決策的過程，並讓這些決策的結果可以追蹤，而非一次性的處理。</p> <p>「DevSecOps不是將各種安全機制放進流程，而要讓安全成為日常運作的一環。」盧建成建議。</p> <p> </p> </div></div></div>
5/7 14:18作者王宏仁https://www.ithome.com.tw/news/175611
為深度學習框架PyTorch打造的PyPI程式庫Lightning遭供應鏈攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>4月底NPM套件供應鏈攻擊活動Mini Shai-Hulud<strong><a href="https://www.ithome.com.tw/news/175446">針對SAP而來</a></strong>，該公司4款套件受到影響，如今傳出相關攻擊延燒到其他開源生態圈的情況。</p> <p>資安公司<strong><a href="https://www.aikido.dev/blog/pytorch-lightning-pypi-compromise-mini-shai-hulud">Aikido</a></strong>、<strong><a href="https://www.ox.security/blog/lightning-python-package-shai-hulud-supply-chain-attack/">OX Security</a></strong>、<strong><a href="https://socket.dev/blog/lightning-pypi-package-compromised">Socket</a></strong>、<strong><a href="https://www.stepsecurity.io/blog/lightning-obfuscated-javascript-credential-stealer-bundled-in-pypi-wheel">StepSecurity</a>提出警告，熱門PyPI套件</strong>Lightning遭遇供應鏈攻擊，駭客於4月30日上架惡意版本2.6.2與2.6.3。值得留意的是，這些資安公司不約而同指出，這起事故是Mini Shai-Hulud的延伸。</p> <p>對此，<strong><a href="https://github.com/Lightning-AI/pytorch-lightning/issues/21691">Lightning開發團隊證實此事</a></strong>，並表示他們的帳號疑似遭到蠕蟲程式完全入侵，後續<strong><a href="https://github.com/Lightning-AI/pytorch-lightning/security/advisories/GHSA-w37p-236h-pfx3">發布完整的資安公告</a>指出</strong>，若是用戶不慎安裝有問題的套件，應認定開發環境已遭入侵，立即輪著可能被洩露的憑證與機密資料、重建系統、將套件固定為2.6.1版，並檢查事件記錄檔案是否出現可疑或未經授權的活動，該事故被登記為CVE-2026-44484列管。</p> </div></div></div>
5/7 12:04作者周峻佑https://www.ithome.com.tw/news/175606
美國CISA推動CI Fortify計畫強化美國基礎設施韌性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.cisa.gov/topics/industrial-control-systems/ci-fortify" target="_blank">美國網路安全暨基礎架構管理署（CISA）本週宣佈</a>啟動關鍵基礎設施（critical infrastructure，CI）強化（CI Fortify）計畫，要求能源、國防等基礎設施機構增加投資以強化隔離作業及回復運作的能力，因應地緣政治中的網路安全威脅。</p> <p>CI Fortify是因應美國關鍵基礎設施面臨他國國家網路攻擊者帶來的威脅，包括擾亂和破壞美國境內營運科技（operational technology，OT），如能源和設施控制系統，存取電信基礎設施以癱瘓電話和網路服務。這最新計畫是在美國能源或軍事設施傳遭到中國、伊朗、俄羅斯等國家駭客發動攻擊事件，美國政府提出的國家韌性強化計畫。</p> <p>CI Fortify為一確保美國國家安全及公眾健康的聯合計畫，CISA要求關鍵設施的擁有和營運者增加隔離（isolation）及回復（recovery）能力的投資，以便在未來可能的地緣政治衝突中持續必要運作。</p> <p>隔離能力是指主動和第三方及企業網路隔離，以確保OT即使在通訊服務惡化下仍能持續作業。其工作包括辨識出關鍵客戶，如軍事基礎設施或救援服務，設定服務目標，決定需要的OT和基礎設施，更新業務永續（business continuity）方案和隔離期間的工程流程。</p> <p>回復能力是指對系統完備記錄、備份關鍵檔案、演習一旦隔離策略失敗時的替代系統或轉為人工作業。也包括回復所需的工作，包括授權伺服器或企業網路連線。基礎設施運作者需和託管服務供應商、系統整合商（SI）等廠商討論相關必備作業。</p> <p>CISA及特定風險管理署（Sector Risk Management Agency）也提供何時該隔離及如何回復的指引，CISA也將執行特定檢核評估，並提供基礎設施能力強化的協助。同時CISA也呼籲所有網路安全專家一起參與防護美國基礎設施。</p> </div></div></div>
5/7 14:13作者林妍溱https://www.ithome.com.tw/news/175610
Braintrust遭未授權存取，要求用戶輪換AI供應商API金鑰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>AI可觀測性平臺Braintrust<a href="https://trust.braintrust.dev/updates">確認</a>內部AWS帳號發生未授權存取事件，受影響環境存有客戶在Braintrust設定的AI模型供應商API金鑰。Braintrust表示事件目前已受控制，並要求客戶撤銷及重新產生儲存在平臺上的相關金鑰，以降低後續被濫用的風險。</p> <p>根據Braintrust公告，該公司是在5月4日接獲其中一個AWS帳號出現可疑行為的通報，調查後確認發生未授權存取。官方提到，可能受影響的是組織層級儲存在Braintrust的AI模型供應商機密憑證，也就是客戶用於連接外部AI模型服務的憑證。Braintrust稱，目前已鎖定遭入侵帳號，稽核並限制相關系統存取，同時輪換內部機密資訊，事故原因仍由事件回應專家調查中。</p> <p>Braintrust並未說明是否有客戶金鑰實際外流，僅表示已與一名受影響客戶溝通，至今尚未發現更廣泛暴露的證據，但調查仍在進行。Braintrust發言人向外媒<a href="https://techcrunch.com/2026/05/06/ai-evaluation-startup-braintrust-confirms-breach-tells-every-customer-to-rotate-sensitive-keys/">TechCrunch</a>表示，出於謹慎考量通知所有客戶。</p> <p>Braintrust主要提供AI應用的觀測、評測與改善工具，協助團隊追蹤生產環境中的模型輸出、提示詞、評測結果與品質變化。其官方文件顯示，Braintrust Gateway可透過統一API存取OpenAI、Anthropic、Google與AWS等模型供應商，使用者也可將AI供應商金鑰加入Braintrust，讓Gateway代為呼叫不同模型服務。</p> <p>從Braintrust這次通報來看，未授權存取發生在Braintrust管理的AWS帳號，而受影響環境存放客戶設定的組織層級AI供應商機密憑證。Braintrust已要求客戶到組織層級AI模型供應商金鑰設定頁面，逐一輪換每個機密憑證，並到對應AI供應商管理頁面刪除或撤銷舊金鑰。Braintrust也要求客戶在完成輪換後，確認組織層級AI供應商設定頁面顯示相關金鑰已重新設定。</p> </div></div></div>
5/7 14:15作者李建興https://www.ithome.com.tw/news/175609
Anthropic Claude Desktop、Google Chrome疑未經告知、許可，悄悄在用戶裝置安裝檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>研究人員先後發現<a href="https://www.thatprivacyguy.com/blog/anthropic-spyware/" target="_blank">Anthropic Claude桌機版</a>及<a href="https://www.thatprivacyguy.com/blog/chrome-silent-nano-install/" target="_blank">Google Chrome</a>在用戶電腦上安裝檔案，未經事先告知、詢問，也未提供退出選項。</p> <p>Privacy Guys研究人員Alexander Hanff先後在4月中及本週發現此事。4月中，研究人員發現Anthropic的Claude Desktop Mac版App自動在其Chromium-based瀏覽器（例如Chrome、Edge、Brave、Opera等）中建立Native Messaging的設定檔（host manifest），但他後來才發現。這份JSON manifest檔可讓瀏覽器擴充套件與本機Claude程式交換訊息並執行某些本地操作。他發現Claude Desktop早在安裝過程中，就替Chromium-based瀏覽器建立了一套可互通的基礎架構，事件未明確告知用戶、當然也未取得授權。</p> <p>該host manifest bridge是一個合法通訊設定，而非木馬或其他惡意程式，但是研究人員不滿Claude Desktop在未告知情況下，擅自在用戶電腦建立了一個具高權限的整合介面。研究人員並發現，如果使用者手動移除檔案，每次Claude Desktop啟動時就會重新安裝。根據host manifest的屬性，預先安裝、長久休止、默默等待、等待搭配的擴充程式來啟動它，研究人員甚至以「間諜程式」來稱呼它。</p> <p>而在本週，Hanff又發現，Chrome會在符合硬體條件的裝置上，自動下載約4GB的Gemini Nano本地AI模型檔，名為weights.bin。weights.bin是Google裝置端LLM Gemini Nano的權重，存在OptGuideOnDeviceModel目錄中，但Chrome並不會跳出明顯詢問、通知或取得使用者同意，因此許多人是在硬碟空間異常減少後才注意到。</p> <p>和Claude Desktop的例子一樣，如果用戶手動刪除，Chrome也會再下載。唯一能關閉的方法是透過chrome://flags關閉Chrome AI功能，或是以家用用戶沒有的企業政策工具，或是整個移除Chrome。</p> <p>研究人員並利用macOS的filesystem event log重建安裝過程。他發現，從全新系統帳號中，只要Chrome啟動並符合軟硬體條件，模型就可能自動下載。從目錄建立到最後檔案下載、註冊，只花了14分半。</p> <p>此外，研究人員發現Gemini Nano運作幾乎不在桌機上。他發現Chrome 147 omnibox中的AI模式輸入的每個查詢，都會透過網路傳送到Google的雲端託管模型處理，意謂使用者被佔用儲存成本、下載頻寬，卻未獲得桌機AI的效能及隱私保護。裝置上的Nano模型完全不會被AI模式的UI流程調用，唯一會使用本地模型的功能（Help-Me-Write、分頁群組AI建議、智慧貼上、頁面摘要）則埋藏在一般人難以找到的按右鍵選單中。</p> <p>研究人員認為Anthropic Desktop之後會移除這個bridge或提供用戶退出方法。他也建議Google提供明示告知及授權選項。</p> </div></div></div>
5/7 12:27作者林妍溱https://www.ithome.com.tw/news/175607
Node.js沙箱函式庫vm2再爆重大逃逸漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Node.js沙箱函式庫vm2出現重大沙箱逃逸漏洞<a href="https://github.com/patriksimek/vm2/security/advisories/GHSA-ffh4-j6h5-pg66">CVE-2026-26956</a>，受影響版本為3.10.4，修補版本為3.10.5。GitHub安全公告顯示，該漏洞嚴重性等級為重大，CVSS v3.1分數為9.8，攻擊者若能將經過特殊設計的程式碼交由VM.run()執行，就可能跳出沙箱，並在主機端執行命令。PoC片段與poc.js檔案現已於GitHub公開，建議使用者升級至vm2 3.10.5或更新版本。</p> <p>vm2用途是讓Node.js應用程式在受限制環境中執行不受信任的JavaScript程式碼，常見情境包括線上程式執行、SaaS應用的使用者腳本以及自動化工具等，透過隔離沙箱內程式碼，避免其直接存取主機端的程序、檔案系統或其他敏感Node.js API。</p> <p>CVE-2026-26956破壞了vm2的隔離特性，官方確認問題可在Vm2 3.10.4搭配Node.js v25.6.1的x64 Linux環境觸發，觸發條件是攻擊者控制傳入VM.run()的程式碼，且Node.js版本具備WebAssembly例外處理與JSTag支援。</p> <p>vm2的防護仰賴JavaScript層的程式碼轉換與跨環境物件代理機制，而該漏洞攻擊路徑則透過WebAssembly在更低層級捕捉例外，使主機端產生的TypeError未經vm2清理就回到沙箱內。攻擊程式可再沿著該物件的建構子關係，取得主機端的程序物件，進而呼叫child_process執行主機命令。</p> <p>在此之前，vm2今年初也曾揭露沙箱逃逸漏洞<a href="https://github.com/patriksimek/vm2/security/advisories/GHSA-99p7-6v5w-7xg8">CVE-2026-22709</a>，由於Promise.prototype.then與Promise.prototype.catch的callback清理機制可被繞過，攻擊者可能藉此逃脫沙箱隔離機制，並執行任意程式碼。受影響版本為3.10.0及更早版本，vm2已在3.10.2修補，嚴重性同樣達重大等級。</p> </div></div></div>
5/7 12:36作者李建興https://www.ithome.com.tw/news/175605
AMD第一季營收成長38%，資料中心業務成主要成長動能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>半導體業者<a href="https://ir.amd.com/news-events/press-releases/detail/1284/amd-reports-first-quarter-2026-financial-results" target="_blank">AMD週二（5/5）公布</a>截至3月28日的2026財年第一季財報，該季AMD創下102.5億美元的營收，成長38%，其中，在AI需求的帶動下，其資料中心部門營收成長幅度更達57%。</p> <p>從部門來看，AMD資料中心部門營收為57.8億美元，比去年同期成長57%，主要來自EPYC處理器需求強勁，以及Instinct GPU出貨持續增加；客戶端與遊戲部門營收為36.1億美元，成長23%；嵌入式部門營收為8.73億美元，成長6%。</p> <p>AMD董事長暨執行長蘇姿丰表示，第一季業績主要受AI基礎架構需求加速帶動，資料中心已成為AMD營收與獲利成長的主要動力。AMD資料中心產品主要包括EPYC伺服器處理器與Instinct AI加速器，隨著推論與代理式AI推升相關需求，AMD預期伺服器業務將在供應擴大後明顯加速成長。</p> <p>AMD該季營業利潤為14.8億美元，成長83%，淨利為13.8億美元，成長95%，每股盈餘為0.84美元，高於去年同期的0.44美元。</p> </div></div></div>
5/7 13:04作者陳曉莉https://www.ithome.com.tw/news/175608
北韓駭客ScarCruft利用安卓惡意軟體BirdCall攻擊中國境內的脫北者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>北韓駭客ScarCruft（APT37）的攻擊目標，大部分集中在韓國，並關注政府機關與軍事單位，以及與北韓利益有關的企業組織。最近新一波攻擊行動引起研究人員的注意，因為這些駭客在中國特定地區發起攻擊行動，目標就是逃離北韓的難民與脫北者。</p> <p>資安廠商ESET揭露<strong><a href="https://www.welivesecurity.com/en/eset-research/rigged-game-scarcruft-compromises-gaming-platform-supply-chain-attack/">ScarCruft鎖定中國延邊地區的攻擊行動</a></strong>，他們透過供應鏈攻擊滲透當地的遊戲平臺，於Windows與Android版遊戲植入後門程式BirdCall。ESET指出，BirdCall以往只有針對Windows用戶，Android版本是這次首度發現，駭客實作Windows版的部分指令與功能，收集聯絡人、簡訊、通話記錄、檔案與金鑰。除此之外，該惡意程式還能進行螢幕截圖，並錄製週遭的聲音。Android版BirdCall是駭客最近幾個月才積極開發，ESET一共找到7個版本，最早出現於2024年10月。</p> <p>ESET發現駭客竄改遊戲公司神奇世界的安裝檔案，導致下載延邊紅十與新畫圖兩款App的Android用戶，就有可能被感染BirdCall。另一方面，駭客也透過遊戲平臺更新檔案對Windows用戶下手，於受害電腦植入含有後門程式RokRAT的shellcode，並以此後門部署BirdCall。</p> </div></div></div>
5/7 11:23作者周峻佑https://www.ithome.com.tw/news/175604
微軟Phone Link應用程式被濫用，惡意軟體CloudZ竊取手機簡訊與OTP
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>論及手機與電腦之間的互通有無，許多人會想到蘋果強大的生態系，使用者能直接在Mac電腦接聽iPhone的電話，或是使用AirDrop快速分享照片與檔案，不過，微軟也在Windows作業系統導入「手機連結（Phone Link）」應用程式，以提供類似的功能，如今有人盯上這類機制，透過惡意軟體竊取機敏資料。</p> <p>思科威脅情報團隊Talos揭露<strong><a href="https://blog.talosintelligence.com/cloudz-pheno-infostealer/">惡意程式CloudZ RAT的攻擊行動</a></strong>，駭客從今年1月開始，使用CloudZ RAT及其外掛程式Pheno，企圖竊取受害者的憑證與動態密碼（OTP）。此惡意程式特別的地方，在於濫用Phone Link應用程式的功能，挾持電腦與手機之間的橋接機制，從而在無須於手機植入惡意程式的情況下，攔截手機上的簡訊或動態密碼等敏感資料。為了迴避偵測，CloudZ RAT還會在系統記憶體執行特定的功能函式，檢查是否在沙箱或是除錯環境。</p> <p>究竟駭客如何入侵受害電腦，Talos表示不清楚，不過他們發現駭客執行了冒充遠端管理工具ScreenConnect的更新檔案，從而將CloudZ RAT植入受害電腦。此惡意程式接收並執行來自C2的指令，從受害電腦的瀏覽器竊取憑證資料，並下載外掛並安裝，然後在電腦上對Phone Link進行偵察。</p> </div></div></div>
5/7 10:26作者周峻佑https://www.ithome.com.tw/news/175600
惡意OpenClaw技能套件被用於散布Remcos與GhostLoader
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>自今年初開始開源AI代理OpenClaw（曾名Clawdbot和Moltbot）爆紅，「養龍蝦」成為顯學，駭客也鎖定這波風潮，假冒提供技能擴充套件（Skill）的名義，向這些使用者散布惡意軟體。</p> <p>資安廠商Zscaler發現，<strong><a href="https://www.zscaler.com/blogs/security-research/malicious-openclaw-skill-distributes-remcos-rat-and-ghostloader">有人從3月開始透過惡意技能套件DeepSeek-Claw</a></strong>，針對Windows、macOS、Linux用戶散布惡意程式，藉此竊取憑證、瀏覽器Cookie、加密貨幣錢包，以及API金鑰等機敏資料。</p> <p>根據作業系統的不同，此套件將會透過MSI安裝檔，在Windows電腦植入Remcos RAT，駭客使用具備合法簽章的GoToMeeting執行檔側載Shellcode，並動態關閉事件追蹤（ETW）與防惡意程式掃描介面（AMSI）功能，然後下載最終的有效酬載並執行；而在macOS與Linux環境，駭客使用經高度混淆處理的Node.js酬載，部署惡意程式GhostLoader，從受害電腦擷取敏感資料。</p> </div></div></div>
5/7 10:53作者周峻佑https://www.ithome.com.tw/news/175601
Arm財報創新高，押注AGI CPU擴大雲端市占
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>英國晶片設計公司<a href="https://newsroom.arm.com/news/arm-q4-fye26-results" target="_blank">Arm週三（5/6）公布</a>截至3月31日的2026財年第四季財報，該季Arm創下14.9億美元的營收，成長20%。該季Arm淨收入為3.13億美元，每股盈餘0.29美元，高於去年同期的0.2美元。當天Arm股價上漲了13.63%，以237.3美元作收。</p> <p>在14.9億美元的營收中，有8.2億美元來自於授權費，成長了29%，另外的6.7億美元為權利金，成長11%。</p> <p>原本主要提供處理器架構及設計IP的<a href="https://www.ithome.com.tw/news/174667" target="_blank">Arm在今年3月發表</a>了首款自行研發的資料中心處理器Arm AGI CPU，雖然此次財報尚未反映Arm AGI CPU的實際營收貢獻，但Arm在財報公告中以相當篇幅說明該處理器的市場需求、合作夥伴與雲端AI布局，顯示Arm已將其視為下一階段資料中心業務的成長重點。</p> <p>Arm表示，AGI CPU是該公司專為代理式AI所設計的產品，且是出自於客戶的明確需求，共同開發者為Meta，相較於基於x86的平臺，Arm AGI CPU每個機架的效能可提升兩倍以上。而客戶在2027財年（2026年4月到2027年3月）與2028財年對Arm AGI CPU的採購總額已超過20億美元，為Arm最初預期的兩倍以上。</p> <p>事實上，目前在主要超大規模雲端業者中，Arm架構CPU已約占CPU運算的50%；Amazon、Google與Nvidia也已在AI加速器系統中採用Arm架構CPU，以用來協調GPU、TPU等加速器的運作，顯示Arm已先在雲端與AI伺服器市場建立基礎，再進一步推出自有CPU產品擴大資料中心布局。</p> </div></div></div>
5/7 11:08作者陳曉莉https://www.ithome.com.tw/news/175602
思科網路管理平臺存在阻斷服務漏洞，IT人員需手動重開機才能恢復運作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>5月6日思科<strong><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-nso-dos-7Egqyc">發布資安公告</a></strong>，指出旗下的Crosswork Network Controller（CNC）與Network Services Orchestrator（NSO）平臺存在資安漏洞CVE-2026-20188，一旦遭到利用，攻擊者可在未經身分驗證的情況下，造成CNC與NSO出現服務中斷（DoS）的現象，CVSS風險評為7.5分，危險程度屬高風險等級。</p> <p>此漏洞源自於對進站網路連線的速率限制實作不足。攻擊者可利用此漏洞，向受影響系統發送大量連線請求。一旦成功利用，攻擊者可能耗盡可用連線資源，導致CNC與NSO系統失去回應，並對合法使用者及相關服務形成阻斷服務（DoS）狀態。值得留意的是，IT人員必須手動重新啟動系統，才能從此狀態中恢復。</p> </div></div></div>
5/7 11:12作者周峻佑https://www.ithome.com.tw/news/175603
為掩護網路間諜活動，伊朗駭客MuddyWater利用勒索軟體Chaos製造混亂
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>一般來說，駭客發動勒索軟體攻擊，多半是為了牟取經濟利益，或是表達特定的訴求，最近兩到三年也有將勒索軟體用於破壞的情形。不過，也有駭客用來掩蓋真正的動機，企圖藉由勒索軟體轉移受害組織的焦點。</p> <p>資安公司Rapid7揭露<strong><a href="https://www.rapid7.com/blog/post/tr-muddying-tracks-state-sponsored-shadow-behind-chaos-ransomware/">今年初發生的勒索軟體Chaos活動</a></strong>，表面上看起來是勒索軟體租用服務（RaaS）旗下打手的活動，但根據鑑識的結果，發現這其實是用來混淆真正攻擊的假旗行動（False Flag），Rapid7根據程式碼簽章、C2基礎設施等證據，認為背後的攻擊者身分，是隸屬伊朗情報與國家安全部（MOIS）的國家級駭客組織MuddyWater（Seedworm）。</p> <p>雖是勒索軟體活動，不過駭客透過微軟Teams進行社交工程接觸受害組織，然後透過螢幕分享的方式收集憑證，並且操縱多因素驗證（MFA）流程。在成功滲透受害組織的內部網路環境後，這些駭客竊取內部資料後並未加密檔案，而是使用遠端管理工具DWAgent、AnyDesk持續在網路環境活動，並部署RAT木馬Game.exe。</p> </div></div></div>
5/7 09:29作者周峻佑https://www.ithome.com.tw/news/175598
Anthropic與SpaceX達成算力合作，提高Claude Code與API使用上限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.anthropic.com/news/higher-limits-spacex" target="_blank">Anthropic週三（5/6）宣布</a>，已與SpaceX達成合作協議，將使用其Colossus 1資料中心的全部算力容量，並將因此放寬Claude Code與Claude API的使用限制。</p> <p>Claude Code原本就設有每5小時使用上限，但近來開始有Claude付費用戶抱怨額度消耗特別快。許多Claude Pro與Claude Max用戶反映，同樣的工作量以前可以撐滿5小時，但後來約2小時就達到上限。<a href="https://x.com/trq212/status/2037254607001559305" target="_blank">Anthropic技術團隊</a>的Thariq Shihipar解釋，為了因應Claude需求成長，Anthropic在尖峰時段調整Free、Pro與Max訂戶的5小時使用上限，但每週總用量上限並未改變。</p> <p>Claude Code是Anthropic於2025年推出的程式開發代理人工具，可在終端機中使用Claude協助讀懂程式碼、修改檔案、執行測試、除錯與提交程式變更。它會長時間處理多步驟開發任務，因此特別消耗Token與算力，也成為Claude容量壓力的主要來源之一。</p> <p>在此一合作中，SpaceX將開放Colossus 1資料中心全部算力，讓Anthropic在1個月內取得超過300MW的新容量，相當於逾22萬顆Nvidia GPU。這些GPU包括H100、H200與新一代GB200加速器，可支援AI訓練、微調、推論與高效能運算工作負載。</p> <p>Anthropic表示，這批新增容量將直接改善Claude Pro與Claude Max訂戶的可用容量。具體作法包括將Pro、Max、Team及按席位計價Enterprise方案用戶的Claude Code每5小時使用上限提高一倍，並取消Pro與Max帳戶在尖峰時段使用Claude Code時的降額限制。至於API端，Anthropic也將大幅提高Claude Opus模型的速率限制，以支援更高頻率的開發者調用。</p> <p>除了SpaceX之外，Anthropic近期已密集簽下多項大型算力協議，包括<a href="https://www.ithome.com.tw/news/175195" target="_blank">與Amazon</a>達成最高5GW的合作，其中近1GW新容量預計在2026年底前上線；<a href="https://www.ithome.com.tw/news/174875" target="_blank">與Google及Broadcom</a>簽署5GW協議，相關容量將自2027年開始啟用；另<a href="https://www.ithome.com.tw/news/172340" target="_blank">與微軟及Nvidia</a>建立策略合作，取得300億美元Azure容量，並<a href="https://www.ithome.com.tw/news/172220" target="_blank">透過Fluidstack投資</a>500億美元於美國AI基礎設施。</p> <p>Anthropic表示，Claude會同時使用AWS Trainium、Google TPU與Nvidia GPU等AI硬體，並持續擴充算力來源；部分新增容量也將部署在海外市場，以滿足企業客戶的資料駐留與合規需求。此外，Anthropic也表達了與SpaceX合作開發多GW等級軌道AI算力的興趣。</p> </div></div></div>
5/7 10:19作者陳曉莉https://www.ithome.com.tw/news/175599
劍橋研究指出逾8成金融業者已導入AI，監管機關最擔心資料隱私與AI幻覺風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p dir="ltr">劍橋大學賈吉商學院（Cambridge Judge Business School）發布全球金融業AI研究<a data-saferedirecturl="https://www.google.com/url?q=https://www.fii.international/news/report-ai-in-financial-services-2026&source=gmail&ust=1778145011694000&usg=AOvVaw2yhGyTKnZaMYTBkWsDRbmS" href="https://www.fii.international/news/report-ai-in-financial-services-2026" target="_blank">《2026 Global AI in Financial Services Report》</a>指出，目前已有81%的金融服務業者導入AI，<wbr></wbr>主要用於內部流程與營運優化。研究也發現，資料隱私、AI幻覺（<wbr></wbr>hallucination），以及AI輸出結果不可靠，<wbr></wbr>已成為監管機關最關注的AI風險。</p> <p class="rtecenter" dir="ltr"><a href="http://www.fii.international/news/report-ai-in-financial-services-2026" target="_blank"><img alt="" src="/sites/default/files/images/0507-AI%20report-600.png" style="width: 500px;" /></a></p> <p dir="ltr">這項研究由劍橋另類金融中心（Cambridge Centre for Alternative Finance，CCAF）主導，並與國際清算銀行（BIS）、<wbr></wbr>國際貨幣基金（IMF）、世界經濟論壇（WEF）<wbr></wbr>等機構合作完成，調查對象涵蓋金融服務業者、金融科技業者、<wbr></wbr>AI供應商，以及金融監管機關。</p> <p dir="ltr">研究顯示，金融業者導入AI的速度明顯快過監管機關。<wbr></wbr>受訪金融機構中，有40%已進入成熟導入或轉型階段，<wbr></wbr>相較於監管機關，比例達到兩倍以上，後者僅20%達到相近成熟度。不過，<wbr></wbr>僅14%的受訪者認為，<wbr></wbr>AI已對企業策略與競爭優勢帶來明顯影響。</p> <p dir="ltr">在AI技術類型方面，研究指出，已有71%<wbr></wbr>的金融業者導入生成式AI，另有52%開始使用代理式AI，<wbr></wbr>其中23%已進入成熟部署階段。研究人員認為，<wbr></wbr>這類AI技術能快速普及，<wbr></wbr>與供應商提供可直接部署的整合型AI服務有關，<wbr></wbr>讓企業不必投入大量AI開發與整合資源。</p> <p dir="ltr">目前金融業最常見的AI應用，仍以後臺營運為主，<wbr></wbr>包括流程自動化、資料視覺化、軟體工程，以及資料與知識管理等。<wbr></wbr>其中，流程自動化導入比例最高，達79%；<wbr></wbr>AI客戶服務應用則是目前最普遍的前臺應用，比例達74%。</p> <p dir="ltr">報告也指出，<wbr></wbr>金融業與監管機關對AI可解釋性的認知存在明顯落差。78%<wbr></wbr>受訪監管機關認為，模型可解釋性對監理目標具有重要性或關鍵性，<wbr></wbr>但僅有50%金融業者已採用可解釋AI（Explainable AI，XAI）相關方法。AI供應商也表示，<wbr></wbr>超過半數客戶在可解釋性工具的使用上，仍缺乏足夠專業能力。</p> <p dir="ltr">此外，約三分之二金融業受訪者尚未針對AI偏見、不當歧視、<wbr></wbr>排除效應或系統性偏差進行監測，且僅37%<wbr></wbr>受訪者將模型可解釋性不足與黑箱問題視為營運風險。</p> </div></div></div>
5/7 09:15作者王珮瑤https://www.ithome.com.tw/news/175597
惡意軟體Quasar Linux結合後門與Rootkit功能，鎖定開發人員而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>去年下半鎖定開源生態圈的惡意程式供應鏈攻擊頻頻傳出，其中的蠕蟲活動Shai-Hulud與GlassWorm不斷出現在資安新聞版面，最近又有新的惡意程式出現，引起資安公司的關注。</p> <p>趨勢科技揭露<strong><a href="https://www.trendmicro.com/en_us/research/26/e/quasar-linux-qlnx-a-silent-foothold-in-the-software-supply-chain.html">Linux惡意軟體Quasar Linux（QLNX）</a></strong>，此為功能非常複雜的惡意程式，同時具備遠端存取木馬（RAT）與進階迴避偵測的能力、鍵盤側錄、挖掘憑證，同時還嵌入了PAM後門與LD_PRELOAD機制的Rootkit的原始碼。特別的是，此惡意程式還會動態編譯Rootkit的共用物件與PAM後門模組，這樣的做法並不常見。</p> <p>值得留意的是，此惡意程式特別針對軟體供應鏈當中，開發者與DevOps相關的憑證，從高價值檔案擷取機密資料，其中包含NPM憑證、PyPI憑證、Terraform憑證、GitHub憑證與檔案，滲透這些資料能讓攻擊者以受害者的名義，於NPM或PyPI上架惡意套件、存取雲端基礎設施，或是透過CI/CD管線尋找其他目標。一旦開發者的Linux環境被感染QLNX，很有可能導致後續的軟體供應鏈攻擊。更可怕的是，由於QLNX內建了P2P與Mesh網狀通訊機制，能將單一惡意酬載加入韌性網路，使得受害者想要完全清理變得更加困難。</p> </div></div></div>
5/6 21:55作者周峻佑https://www.ithome.com.tw/news/175595
【臺灣資安大會直擊】2026年底9成資訊都是AI撰寫？趨勢科技揭示AI演進下的4大內外部風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>「到了今年底，你在網路上看到的資訊，可能90%都不是人寫的。」這不是科幻小說的對白，在今年臺灣資安大會上，趨勢科技企業資安事業群（TrendAI）威脅研究總監Ryan Flores特別針對這波AI浪潮，剖析企業正處於進退維谷的內憂與外患之間。</p> <p>隨著AI技術突飛猛進，網路犯罪態勢也呈現重大轉變，Ryan Flores對此提出的說明可歸納為4大要點。在內部風險方面有1項重要態勢：AI系統本身也會存在需要修補的漏洞，近兩年來的AI漏洞暴增，2024年有1,583個，2025年有2,130個；而在外部威脅上則有3項重要態勢，包括內容生成成本大幅降低、身分冒充變得可規模化，以及攻擊邏輯從傳統惡意程式轉為更難防範的惡意提示詞。</p> <h3><strong>AI漏洞七年間暴增10倍</strong></h3> <p>隨著全球迎接AI轉型，但AI漏洞數量激增的狀況不容忽視，Ryan Flores指出，在2018年，針對AI軟體堆疊（AI software stack）所發現的漏洞僅有178個，然而到了2025年，這個數字已經飆升至2,130個。他指出，這些漏洞存在於整個AI技術堆疊中，包含AI供應鏈、LLM生態系統、代理式AI模型、Data pipelines，以及GPU與硬體架構本身。這也是因為AI技術堆疊的開發速度極快，成為企業不能忽視的風險。</p> <p><a href="/sites/default/files/images/（圖1）2026臺灣資安大會_趨勢科技Ryan Flores.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%892026%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E5%A4%A7%E6%9C%83_%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80Ryan%20Flores.jpg" style="width: 600px;" /></a></p> <h3><strong>內容生成與身分偽冒規模擴大</strong><strong>，威脅防不勝防</strong></h3> <p>再從威脅面來看，首要焦點是：內容生成武器化，假資訊與詐騙內容大規模量產。生成式AI技術進步程度驚人，但Ryan Flores指出，其氾濫程度可能超乎想像。他提到，已有研究人員預測到今年年底，90%的線上內容將由AI生成，另一項研究顯示，目前網路已有60%的內容是AI生成的。</p> <p>趨勢科技研究團隊也曾進行一項實驗，評估大規模產製假內容的實際門檻。結果顯示，在幾乎不需撰寫程式碼的情況下，使用免費服務或是只花20美元訂閱費，就能建立電商平台上的假賣家、假商品與假人設。這顯示攻擊者如今可用近乎零成本發動大規模詐騙，同時也進一步用於釣魚詐騙、BEC詐騙與資訊作戰。</p> <p>其次是身分偽造進化，容易產生大規模濫用問題。Ryan Flores以北韓駭客偽裝IT人員應聘活動為例，指出駭客透過LinkedIn與GitHub資料包裝履歷，配合Deepfake與AI即時應答通過遠端面試，受聘後伺機竊取機敏資訊，甚至發動勒索攻擊。更嚴峻的是，駭客也會反向假扮雇主設局，藉由發布假職缺面試真實求職者，並誘騙其下載惡意軟體以竊取個資，甚至劫持真實帳號，作為下一波攻擊的完美掩護。這類針對企業招募與信任機制的挑戰，未來恐有更大規模活動需要企業因應。</p> <p>最後一個重要變化，是攻擊方式從惡意程式碼走向惡意提示詞。Ryan Flores特別舉出兩例說明：一是俄羅斯駭客組織APT28使用的「LameHug」手法，將惡意行為包裝在看似正常的工具流程中，刻意偽裝成AI圖像生成應用，實則內嵌大型語言模型運算能力來驅動攻擊，引導模型搜尋並外洩受害端的PDF與Word文件。</p> <p>另一組織Shadow-Earth-040則結合Claude與Shodan等工具，將攻擊鏈中的多個步驟自動化。在Ryan Flores展示的投影片中，可看出該組織使用的25個攻擊手法中，有23個手法都能自動化執行。此外，針對客服流程的提示注入攻擊也值得留意。在趨勢科技的概念驗證中，只要一封含惡意指令的郵件進入未妥善過濾的流程，就可能誘發AI代理程序執行高風險操作，甚至滲透資料庫。</p> <p><a href="/sites/default/files/images/（圖3）2026臺灣資安大會_趨勢科技Ryan Flores.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%892026%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E5%A4%A7%E6%9C%83_%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80Ryan%20Flores.jpg" style="width: 600px;" /></a></p> <h3><strong>實踐AIFearlessly，跨界聯手面對AI威脅</strong></h3> <p>在演說最後，Ryan Flores勉勵大家要能「無畏AI」（AIFearlessly），並指出這需要跨界合作才能共同做到。他提到，趨勢科技正積極與各界聯手，包括參與安全AI聯盟（CoSA），以及與國際刑警組織（Interpol）合作Project SynthWave，共同提升執法機關對深偽技術的偵測力。</p> <p>針對AI安全性，趨勢科技自2024年底也展開AISIR專案，已發現涵蓋近百家供應商、逾60個安全漏洞，致力於降低AI生態系快速更新帶來的風險。近期，該公司更與Anthropic合作加入網路驗證計畫（Cyber Verification Program），運用最新高階模型，強化漏洞研究與防禦測試的能量。</p> <h3> </h3> </div></div></div>
5/6 20:39作者羅正漢https://www.ithome.com.tw/news/175591
中國內容管理系統MetInfo存在重大漏洞，已出現積極利用的攻擊活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>一個月前，中國網站管理公司米拓信息為旗下的內容管理平臺（CMS）米拓（MetInfo）<strong><a href="https://www.metinfo.cn/news/2875.html">修補</a></strong>資安漏洞CVE-2026-29014，有資安公司發現，數週後就出現實際攻擊活動，而且到了5月初顯著增加。</p> <p>CVE-2026-29014是<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-29014">程式碼注入漏洞</a></strong>，遠端攻擊者可在未經授權的情況下發送帶有PHP程式碼的特製請求，從而在MetInfo平臺執行任意程式碼。除此之外，攻擊者還能利用執行路徑的輸入處理不夠充分的問題，進一步完全控制受害主機，CVSS風險為9.8分（滿分10分），為重大等級，影響7.9、8.0、8.1等多個版本的MetInfo。</p> <p>值得留意的是，威脅情報公司VulnCheck資安研究副總裁Caitlin Condon<strong><a href="https://www.linkedin.com/feed/update/urn:li:activity:7457059523007188992/">提出警告</a></strong>，他們自4月25日開始察覺漏洞利用活動，當時攻擊者針對少量美國與新加坡主機下手，先確認目標伺服器是否存在漏洞並進行利用。但到了5月1日，該公司看到位於新加坡的密罐陷阱出現漏洞利用活動大幅增加的現象，攻擊來源大多位於中國與香港。</p> </div></div></div>
5/6 17:35作者周峻佑https://www.ithome.com.tw/news/175590
【臺灣資安大會直擊】衛福部推SBOM填補AI供應鏈漏洞、醫療主權雲八大方針正式版近期將出爐
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>衛福部資訊處處長李建璋今日（5/6）在臺灣資安大會醫療資安論壇揭露，衛福部下一步將在負責任AI中心推動導入SBOM（軟體物料清單）機制，降低醫療AI軟體供應鏈漏洞風險。同時，衛福部延續今年初與微軟、Google雲端和AWS等三大公有雲業者的醫療主權雲八大方針溝通，近期將公布正式版本，醫院未來選擇公有雲服務時雖會多出5%至15%的成本費用，但可享有更完善的保障，如加密金鑰由醫院掌握、資料未經醫院授權不得二次利用等。</p> <h2><strong>醫療AI不只看模型，衛福部點名SBOM防供應鏈漏洞</strong></h2> <p>李建璋指出，醫療AI的資安風險，不只來自模型本身，而是背後龐大的軟體供應鏈。</p> <p>因為，一套醫療AI系統，往往整合模型、推論框架、第三方函式庫、容器映像檔，以及各種API。即便模型本身沒問題，只要其中一個元件存在漏洞，就可能成為攻擊入口。</p> <p>因此，醫療AI下一步必須建立SBOM，清楚列出系統使用的軟體元件、版本、來源與相依關係。</p> <p>李建璋說明，國際間包括美國FDA都已將SBOM納入醫療軟體治理，但法規速度往往趕不上科技演進。因此，臺灣決定從實務治理著手。</p> <p>他表示，衛福部將在10家醫院營運的負責任AI中心，進一步納入SBOM，作為負責任AI治理流程的一環，要求所有準備進入醫院的AI系統，除了先通過獨立委員會審查資安與個資風險外，還要清楚揭露SBOM，並完成對應的弱點掃描。</p> <p>「我們希望把SBOM的精神，先落實到負責任AI中心裡。」李建璋表示，透過這套機制，臺灣有機會比美國FDA相關法規更早，在實際醫療場域中驗證AI供應鏈治理模式。</p> <h2><strong>近期將揭露醫療主權雲8大方針正式版</strong></h2> <p>隨著基層診所與醫院資訊系統逐漸上雲，醫療資料主權也成為另一項資安治理重點。</p> <p>李建璋指出，當醫療機構採用商用公有雲後，會面臨資料跨境、個資外流，以及模型訓練資料使用權等新挑戰，例如醫療資料是否可能被用來訓練大型語言模型、資料是否存放海外，或管理人員不受臺灣法規管轄等問題。</p> <p>因此，<a href="https://www.mohw.gov.tw/cp-7395-85139-1.html">衛福部今年1月已與微軟、Google Cloud和AWS等公有雲業者協調「醫療主權雲八大方針」</a>。根據李建璋說明，醫療主權雲至少將要求：</p> <ul> <li>醫療資料留存在臺灣</li> <li>資料全程加密</li> <li>加密金鑰由醫院掌握</li> <li>資料未經醫院授權不得二次利用</li> <li>系統具備韌性與可稽核能力</li> <li>管理人員須為本國籍</li> </ul> <p>他也透露，近期，衛福部將公布正式版本的主權雲八大方針。而醫院導入這類主權雲服務後，費用可能增加5%至15%，但能換來更完整的資料治理保障。</p> <h2><strong>FHIR不只互通，更是訓練醫療AI的基礎</strong></h2> <p>除了資安與主權雲，李建璋也再次強調，國際醫療資料交換標準HL7 FHIR，是臺灣智慧醫療下一階段的關鍵基礎。</p> <p>他用「遍地石油卻無法開採」來形容臺灣醫療資料的現況。臺灣電子病歷普及率極高，連小型診所都已電子化，遠超預計2030年才完成全面電子化的日本。但全臺有四十幾套電子病歷系統，格式彼此不相容，從實驗室數據、文字到影像，格式各自為政。</p> <p>資料人看得懂、系統也讀得到，但電腦卻無法直接分析與運用——這正是FHIR標準化工程想要解決的核心問題，也是衛福部近年持續推動FHIR標準化的初衷。</p> <p>李建璋還預告一個重要里程碑——6月10日，衛福部將正式宣布全臺實驗室數據與國際標準編碼LOINC完成百分之百對齊，未來健康存摺上的所有實驗室檢驗檢查數據，都可透過這個標準，在合規的前提下來訓練醫療AI。</p> <h2><strong>115款SMART on FHIR應用上線，主打最小化授權</strong></h2> <p>在資料安全方面，李建璋也點出，臺灣已建立全球少見的國家級SMART on FHIR應用市集，目前已有115款智慧醫療應用上架。</p> <p>SMART on FHIR除了提供嚴謹的身份驗證與授權機制外，還特別著重Smart Scope技術。李建璋解釋，過去的授權往往是整包資料一次授權，但SMART Scope讓使用者可以最小化授權，App只能存取被明確授權的特定資料欄位，大幅降低個資外洩的風險。</p> <h2><strong>醫療OT設備救命優先，卻可能犧牲資安</strong></h2> <p>除了IT系統，李建璋也點出，醫療院所與其他產業最大的不同，在於院內存在大量OT（Operational Technology）設備，例如心律調節器、生理監測設備等。</p> <p>他解釋，這類設備在設計初期，多半以病人安全與即時救命為優先，例如工程師在緊急情況下，必須能快速讀取裝置資料，因此往往簡化身份驗證與授權流程。這也讓醫療OT設備，成為醫院資安治理中最特殊、也最容易被忽略的一環。</p> <h2><strong>臺灣大型醫院每月遭200萬次攻擊，地緣政治風險升高</strong></h2> <p>李建璋也揭露，目前臺灣大型醫學中心正面臨前所未有的網路攻擊壓力。</p> <p>他舉例，像榮總、臺大醫院等大型醫院，每月平均受到150萬至200萬次資安攻擊，數量甚至高於他所知的許多海外醫院。「很大一部分原因，和地緣政治有關。」他也提到，去年臺灣醫療體系遭遇Crazy Hunter勒索軟體事件後，政府更加意識到，醫療資安已不能只從IT角度思考，而必須提升到國安層級來審視。</p> <p></p> </div></div></div>
5/6 21:43作者王若樸https://www.ithome.com.tw/news/175594
【臺灣資安大會直擊】合勤資安長游政卿：歐盟CRA倒數上路，產品安全成供應鏈生死線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>歐盟網路韌性法案(Cyber Resilience Act，CRA）進入實施倒數，企業的產品資安合規正從「法遵議題」轉變為「供應鏈存亡關鍵」。在今天(5/6)臺灣資安大會上，合勤資安長游政卿指出，CRA將在未來兩年內引發全球供應鏈重整，產品安全不再只是加分項，而是企業能否持續參與國際市場競爭的基本門檻。</p> <p><span style="color:#B22222;"><strong>CRA上路倒數，供應鏈面臨重新洗牌</strong></span></p> <p>游政卿強調，與AI等快速變動的技術趨勢不同，CRA是具體且時程明確的法規要求，預計在2027年12月將會全面生效，企業在2026年就進入關鍵準備階段。「這不是未來的問題，而是未來兩年內就會發生的供應鏈洗牌」，他說。</p> <p><img alt="" src="/sites/default/files/images/%E6%88%AA%E5%9C%96%202026-05-06%20%E6%99%9A%E4%B8%8A7_13_10.jpeg" style="width: 600px; height: 340px;" /></p> <p>這也是歐盟推動CRA的原因之一，要從源頭確保每一項產品的基本安全，避免小漏洞累積成系統性風險，建立起整體供應鏈的防禦能力。</p> <p>游政卿指出，CRA主要針對所有具備「數位元素」的產品，要求企業在產品設計、上市與後續維護等全生命週期中，皆需落實資安管理。這代表企業不再只需確保產品出貨時安全，而是必須承擔長期維護責任，包含至少5年的漏洞修補與安全更新。</p> <p><strong><span style="color:#B22222;">從出貨安全到全生命週期責任，資安門檻大幅提高</span></strong></p> <p><img alt="" src="/sites/default/files/images/%E6%88%AA%E5%9C%96%202026-05-06%20%E6%99%9A%E4%B8%8A7_23_02.jpeg" style="width: 600px; height: 390px;" /></p> <p>游政卿指出，過去企業多採一次性檢測，確保產品出貨時符合安全標準即可，但CRA要求企業從源頭證明產品安全，並在上市後持續維護。他形容，這種轉變等同於企業「要負責產品到成年，而不是生出來就結束」。</p> <p>這項要求也直接反映在歐盟CE標章制度的演進上，未來不僅涵蓋健康、安全與環境，還將納入產品資安要求，成為進入歐洲市場的必要條件。</p> <p><span style="color:#B22222;"><strong>Mirai攻擊成轉折，歐盟強化供應鏈防禦</strong></span></p> <p>CRA的推動背景，來自過去重大資安事件的衝擊，例如Mirai殭屍網路攻擊，利用大量預設帳密未變更的IoT設備，形成大規模攻擊網絡，甚至影響國家層級的網路穩定。</p> <p>游政卿指出，這類事件讓歐盟意識到，單一設備的弱點可能擴大為整體基礎設施風險，因此決定從供應鏈源頭要求產品安全，建立「乾淨供應鏈」的概念。他強調很重要的一點是，不只是企業本身要合規，供應鏈也要合規。</p> <p><span style="color:#B22222;"><strong>三大能力成關鍵：應變、SBOM與證據鏈</strong></span></p> <p>面對CRA衝擊，企業需具備三項核心能力。首先是漏洞的應變能力，企業需建立產品安全事件應變團隊（PSIRT），並在24小時內通報重大漏洞，72小時內提出處理計畫。</p> <p>其次是軟體物料清單（SBOM）管理。企業需清楚掌握產品內所有軟體組成，包括開源元件，並將SBOM納入CI/CD流程自動更新。游政卿指出，許多企業目前仍無法掌握開源組件，將成為未來合規最大風險。</p> <p>第三是證據鏈管理。CRA不再接受單純文件或自我宣稱，企業需在設計、開發、測試與維運各階段留下完整證據，以證明產品持續符合安全要求。</p> <p><span style="color:#B22222;"><strong>供應鏈全面連動，中小企業難置身事外</strong></span></p> <p>即使未直接銷售至歐洲市場，企業仍難以避開CRA影響。游政卿指出，只要產品進入供應鏈並最終銷往歐洲，上游供應商同樣需符合要求。</p> <p>他觀察，客戶稽核方式也已改變，從過去的問卷勾選，轉為要求實際證據。「如果沒有證據，就等於沒有做」，這也是產品在設計、開發、測試、維運各階段需要保留完整證據的原因。</p> <p><strong><span style="color:#B22222;">最大風險不是鉅額罰款，而是失去市場信任</span></strong></p> <p>雖然CRA設有高額罰款機制(罰款方面，最高處罰1,500萬歐元（約5.2億台幣），或企業前一會計年度全球總營收的2.5%)，但游政卿認為，企業真正風險不在罰款，而在於產品被下架或失去市場准入資格。一旦被排除在供應鏈之外，將難以重新取得客戶信任。</p> <p>他形容，市場就像一道圍牆，「一旦被擋在外面，就很難再進來」，因此企業應將重點放在維持供應鏈地位，而非僅滿足最低法規要求。</p> <p><span style="color:#B22222;"><strong>合勤推分階段策略，先從模範產品做起再擴散</strong></span></p> <p><img alt="" src="/sites/default/files/images/%E6%88%AA%E5%9C%96%202026-05-06%20%E6%99%9A%E4%B8%8A7_12_13.jpeg" style="width: 600px; height: 413px;" /></p> <p>在實務因應上，合勤採取分階段推動策略，他們先選定輸出至歐洲較具代表性的「模範產品」，釐清產品在CRA中的風險等級，例如是否屬於高風險產品、是否需要第三方驗證，依據不同產品有不同的合規方式，例如一般產品為自我評估，而高風險產品則送指定的實驗室驗證。先從選定的產品線導入CRA要求，建立標準流程後，再逐步擴大至其他產品。</p> <p>同時，合勤也建立跨部門治理架構，整合資安、研發、品保與法務等單位，並建立產品安全事件應變機制（PSIRT），包括建立漏洞通報與回應流程，包含對外提供通報窗口（email /平台）、建立內部處理機制，目在在搶先掌握漏洞資訊，取得CVE編號發佈能力（CNA），提前掌握全球漏洞資訊，爭取在漏洞公開前完成修補。</p> <p>此外，合勤也導入自動化工具處理SBOM與漏洞管理，以因應大規模產品線的合規需求。</p> <p><span style="color:#B22222;"><strong>資安從加分變市場門檻，合規轉化為競爭優勢</strong></span></p> <p>游政卿指出，過去企業常以品質、成本、交付與服務（QCDS）為競爭指標，資安只是加分項目，在歐盟CRA上路後，「資安做不好，連做生意的資格都沒有」，他強調CRA雖然為企業帶來衝擊，但未來產品資安做得好，當其他企業因CRA被拒於門外，合規企業有機會取而代之，打入其客戶供應鏈。</p> <p>「合規只是門票，信任才是競爭力」，游政卿表示，企業若能將產品安全轉化為品牌信任，將在全球市場中取得長期優勢。</p> </div></div></div>
5/6 19:34作者蘇文彬https://www.ithome.com.tw/news/175593
【資安日報】5月6日，Apache修補網頁伺服器高風險漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/175577"><strong style="font-size: 22px;">Apache基金會修補HTTP Server高風險漏洞</strong></a></p> <p>5月4日Apache基金會發布2.4.67版網頁伺服器軟體HTTP Server，總共修補11個資安漏洞，其中被列為重要（Important）等級的CVE-2026-23918最值得留意。CVE-2026-23918存在於HTTP Server的HTTP/2通訊協定，為記憶體雙重釋放（Double Free）造成的弱點，攻擊者有機會用於發動遠端程式碼執行（RCE）攻擊，CVSS風險為8.8分（滿分10分），屬高風險層級。通報此弱點的資安公司Striga.ai共同創辦人Bartlomiej Dmitruk向資安新聞網站The Hacker News說明漏洞細節，指出該漏洞有可能導致網頁伺服器服務中斷（DoS）。</p> <p><a href="https://www.ithome.com.tw/news/175586"><strong style="font-size: 22px;">Palo Alto Networks揭露防火牆重大資安漏洞，並指出已被用於實際攻擊</strong></a></p> <p>5月6日資安公司Palo Alto Networks發布資安公告，揭露防火牆作業系統PAN-OS資安漏洞CVE-2026-0300，此弱點存在於User-ID身分驗證入口網站，為記憶體緩衝區溢位漏洞，未經身分驗證的攻擊者透過特製封包，就能在防火牆以root權限執行任意程式碼，CVSS v4.0風險評為9.3分，屬重大等級漏洞。值得留意的是，該漏洞已出現遭到利用的情況，但相關修補程式預計要一至三週後才會推出。</p> <p><a href="https://www.ithome.com.tw/news/175571"><strong style="font-size: 22px;">虛擬光碟機軟體DAEMON Tools Lite遭植入後門</strong></a></p> <p><a href="/sites/default/files/images/DeamonTools-Lite-1-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/DeamonTools-Lite-1-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安公司卡巴斯基指出，他們在5月初發現，免費版虛擬光碟機軟體DAEMON Tools Lite遭植入惡意程式，可用來下載後續惡意酬載，受影響版本涵蓋今年4月8日發行的12.5.0.2421至最新的12.5.0.2434。這起事故發現的原因，源自卡巴斯基在自家產品回傳的偵測資料察覺異常，發現多臺電腦執行DAEMON Tools Lite後，會連向冒牌DAEMON Tools惡意伺服器，並嘗試下載後續檔案。</p> <p><a href="https://www.ithome.com.tw/news/175570"><strong style="font-size: 22px;">中國駭客UAT-8302對南美洲、東南歐政府機關發動大規模APT攻擊</strong></a></p> <p><a href="/sites/default/files/images/data-src-image-05be427b-88d2-4272-8a70-c32cbabaebb5-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/data-src-image-05be427b-88d2-4272-8a70-c32cbabaebb5-63.jpg" style="width: 300px; float: right;" /></a></p> <p>思科威脅情報團隊Talos揭露中國駭客組織UAT-8302，相關活動至少可追溯到2024年底，當時他們針對南美洲政府機關發動攻擊，但從2025年開始，這些駭客轉移目標到東南歐國家。這些駭客在成功入侵受害組織後，他們就會使用自製的惡意程式，其中一個是以.NET打造的後門程式NetDraft（NosyDoor），駭客以C#後門FinalDraft（SquidDoor）為基礎進行改良而成。</p> <p><a href="https://www.ithome.com.tw/news/175565"><strong style="font-size: 22px;">中國駭客濫用OpenClaw自動化串接攻擊流程，試圖利用漏洞逾4.5萬次</strong></a></p> <p><a href="/sites/default/files/images/harvested-keys-on-server-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/harvested-keys-on-server-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安廠商SOCRadar揭露中國駭客使用自動化攻擊與資料蒐集基礎設施，透過OpenClaw與代號paperclip的集中式後端，將偵察、漏洞利用、憑證蒐集、後門部署與金流驗證串接成自動化流程。研究人員表示，其後端資料顯示該基礎設施記錄約4.5萬次漏洞利用嘗試，也會追蹤惡意酬載執行與命令驗證結果，讓攻擊者能掌握從漏洞利用到金流驗證的流程。</p> <p><a href="https://www.ithome.com.tw/news/175569"><strong style="font-size: 22px;">駭客冒充甫推出的DeepSeek V4散布惡意軟體</strong></a></p> <p><a href="/sites/default/files/images/1777917889504-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/1777917889504-63.jpg" style="width: 300px; float: right;" /></a></p> <p>4月24日中國AI公司深度求索（DeepSeek）發布新一代語言模型DeepSeek V4，然而駭客也假借該模型的名義，向使用者散布惡意程式。微軟威脅情報團隊於職場社群網站LinkedIn提出警告，他們在DeepSeek V4推出的數個小時之後，看到有人假冒此模型的名義設置GitHub儲存庫，導致有使用者下載了竊資軟體Vidar與惡意代理伺服器程式GhostSocks。對此，GitHub已關閉惡意儲存庫、封鎖惡意帳號，以阻止造成更多傷害。</p> <p><a href="https://www.ithome.com.tw/news/175580"><strong style="font-size: 22px;">ShinyHunters宣稱竊得Canvas開發商、Nvidia GeForce NOW數百萬個人資料</strong></a></p> <p>ShinyHunters上週宣稱駭入Canvas開發商Instructure及Nvidia GeForce NOW遊戲平臺，分別取得2.8億及數百萬筆用戶資料。Instructure坦承遭到網路攻擊，而Nvidia則說只影響東歐一家雲端託管平臺夥伴。Instructure公告近日遭網路罪犯攻擊，導致資料外洩，業者已偕同外部資安專家啟動調查，以控制災害並釐清影響範圍。ShinyHunters聲稱，他們利用Canvas資料匯出機制，包括DAP查詢、報表與使用者API等方式，取得Instructure約2.75億筆資料，現在持有將近9000個學校的師生、教職員的姓名、電子郵件、學生ID等個資，以及師生間、學生間不公開對話訊息數十億筆。</p> <p><a href="https://www.ithome.com.tw/news/175545"><strong style="font-size: 22px;">新網釣攻擊手法ConsentFix v3能自動化攻擊Azure環境</strong></a></p> <p><a href="/sites/default/files/images/ConsentFixV3-3-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/ConsentFixV3-3-63.jpg" style="width: 300px; float: right;" /></a></p> <p>Push Security近期在網路犯罪論壇XSS裡，看到疑為俄羅斯國家級駭客介紹的第三代ConsentFix（ConsentFix v3），駭客使用類似資安廠商部落格文章的形式，介紹該手法使用的重要技術，包括：OAuth授權、同意網路釣魚、刷新權杖（Token），以及Family of Client IDs（FOCI）。並介紹ClickFix與ConsentFix的發展過程，最終為論壇用戶提供逐步操作的指引。ConsentFix v3與第一代最大的不同，就是允許駭客監控整個攻擊流程。</p> <p><a href="https://www.ithome.com.tw/news/175579"><strong style="font-size: 22px;">Google發布5月份Android例行更新，修補重大層級的資安漏洞</strong></a></p> <p>5月4日Google發布Android本月份例行更新，不過這次特別的是，該公司僅有修補一項重大層級的資安弱點。此漏洞登記為CVE-2026-0073，出現在該作業系統的系統元件Android Debug Bridge Daemon（adbd），嚴重程度評為重大層級（未提供CVSS風險評分），一旦攻擊者成功利用，就能遠端執行任意程式碼（RCE），相當危險，Google已為Android 14以上版本進行修補。</p> <p><a href="https://www.ithome.com.tw/news/175552"><strong style="font-size: 22px;">企業檔案傳輸自動化工具MOVEit Automation存在重大漏洞，攻擊者可藉此繞過身分驗證流程</strong></a></p> <p>Progress發布企業檔案傳輸自動化工具MOVEit Automation安全公告，修補兩項影響企業檔案傳輸自動化流程的漏洞CVE-2026-4670與CVE-2026-5174，前者屬於嚴重等級的認證繞過漏洞，後者則是高風險等級的權限提升漏洞。若遭濫用，攻擊者可能取得未授權存取能力，進一步影響系統管理控制與資料安全。其中，較為危險的是CVE-2026-4670，攻擊者可用於繞過身分驗證流程，CVSS風險評為9.8分。</p> <p><a href="https://www.ithome.com.tw/news/175546"><strong style="font-size: 22px;">開源資安監控平臺Wazuh存在重大漏洞，可用於橫向移動、寫入任意檔案</strong></a></p> <p>廣泛使用的開源資安監控平臺Wazuh存在CVSS風險值9.9的重大漏洞，可讓攻擊者在受害者網路上橫向移動、覆寫系統檔案，及執行任意程式碼。此漏洞出現在Wazuh叢集同步化擷取程序，為路徑遍歷漏洞，起因是未能正確限制擷取文件的目錄路徑，一旦通過身分驗證的叢集用戶，就有機會突破原本預定的擷取目錄，並在其他叢集節點寫入任意檔案。此外，攻擊者還能透過覆寫掉Wazuh元件載入的Python模組，改寫入惡意檔案。</p> <p><a href="https://www.ithome.com.tw/news/175548"><strong style="font-size: 22px;">FreeBSD修補DHCP用戶端重大漏洞，未更新可能導致遠端執行程式碼攻擊</strong></a></p> <p>FreeBSD近日發布資安公告，揭露影響其DHCP用戶端元件dhclient的重大漏洞CVE-2026-42511，可能導致攻擊者以root權限執行遠端程式碼，並釋出修補程式。CVSS嚴重性評分達8.1分，問題源自FreeBSD的DHCP用戶端元件dhclient，處理DHCP回傳參數的方式存在缺陷。目前所有支援中的FreeBSD版本，包括13.x、14.x與15.x等版本都受到影響，解決方法是透過FreeBSD內建的系統更新指令，下載與安裝各版本對應的修補程式。</p> <p><a href="https://www.ithome.com.tw/news/175559"><strong style="font-size: 22px;">Linux核心漏洞Copy Fail可突破Kubernetes防護機制</strong></a></p> <p>資安公司Theori上週揭露嚴重性達到7.8分的Linux核心弱點Copy Fail，此漏洞可被用於本機權限提升（LPE），已被登記為CVE-2026-31431列管，由於該漏洞影響2017年以後發行的所有Linux版本，因此格外受到重視，繼微軟警告攻擊者可能藉此滲透雲端Linux工作負載與Kubernetes叢集後，荷蘭DevOps暨網頁開發工程師Jorijn Schrijvershof指出，此漏洞能直接突破Kubernetes的預設防護機制。</p> <p><a href="https://www.ithome.com.tw/news/175572"><strong style="font-size: 22px;">Palo Alto Networks提出Copy Fail的緊急因應措施</strong></a></p> <p>資安公司Palo Alto Networks本週針對Copy Fail發布資安公告，指出由於該弱點可被用於竄改特權執行檔（如su或sudo）記憶體快取內容，且不會觸發完整性檢查的警示訊息，攻擊者可用於突破Kubernetes容器、接管多租戶主機、滲透CI/CD管線，該公司呼籲使用者應儘速採取行動，最好能立刻套用廠商提供的核心更新程式，若是用戶暫時還無法安裝，應實作臨時緩解措施，停用受影響的algif_aead模組因應。</p> <p><a href="https://www.ithome.com.tw/news/175582"><strong style="font-size: 22px;">為因應AI加速找出資安漏洞的態勢，Oracle有意調整發布例行更新週期</strong></a></p> <p>4月29日Oracle透過部落格文章宣布，他們將於每季的Critical Patch Update（CPU）例行更新之外，於其他月份發布當月更新Critical Security Patch Update（CSPU）。CSPU將針對重要的資安問題進行精準修補，使得該公司客戶在下一次CPU更新發布之前，能夠處理高風險層級的漏洞。Oracle強調，CSPU套件更小、且專門針對弱點，使得用戶修補變得更加容易。對於執行CSPU的時間點，首波預計將於今年5月28日發布，接下來會在6月16日、8月18日、9月15日發布CSPU更新。</p> <p><a href="https://www.ithome.com.tw/news/175568"><strong style="font-size: 22px;">Google調整Android與Chrome漏洞獎勵，降低部分獎金並取消加碼</strong></a></p> <p>Google調整Android與Google裝置VRP，以及Chrome VRP這兩項漏洞獎勵計畫，保留零點擊完整攻擊鏈與瀏覽器程序完整攻擊鏈等高階獎勵，但降低部分獎金並取消特定加碼項目，同時把獎勵與審查重點放在較難由AI自動化工具找出的高影響漏洞。其中，Android漏洞保留最高150萬美元獎勵級距，適用於零點擊完整攻擊鏈，且能攻陷Pixel Titan M2安全晶片並具持續性的漏洞，若同樣是零點擊完整攻擊鏈，但不具持續性，最高獎金則為75萬美元。</p> <p><a href="https://www.ithome.com.tw/news/175567"><strong style="font-size: 22px;">【臺灣資安大會直擊】看不見的國土保衛戰，調查局長陳白立揭開臺灣「第五領域」的資安攻防全貌</strong></a></p> <p>在「臺灣資安大會CYBERSEC 2026」主題演講中，法務部調查局長陳白立以「全社會韌性：調查局在資安領域扮演的關鍵角色」為題，完整揭示臺灣面對的數位威脅樣貌，以及調查局如何從傳統執法機關，轉型成為國家數位國土防衛的重要支柱。這場演講不只是資安趨勢分析，更像是一份關於「第五領域戰爭」的國安報告。從APT長期滲透、AI驅動的勒索攻擊、供應鏈滲透、關鍵基礎設施威脅，到認知作戰與假訊息操作，陳白立描繪的，不再只是零星駭侵事件，而是一場結合科技、情報、政治與心理戰的複合型對抗。</p> <p><a href="https://www.ithome.com.tw/news/175566"><strong style="font-size: 22px;">【臺灣資安大會直擊】Agentic AI時代已到來，微軟強調企業資安必須走向「環境式、自主式」防禦</strong></a></p> <p>面對Agentic AI時代的新挑戰，在2026臺灣資安大會首日的主題演說中，微軟全球資深副總裁Vasu Jakkal針對當前威脅提出因應之道，強調企業下一階段的資安架構，必須轉向「環境式（Ambient）」與「自主式（Autonomous）」的防禦模式。環境式防禦代表資安能力必須內建，而非額外附加的選項，要成為系統與生俱來的預設能力；自主式防禦的部分，則是因為僅靠人力已難以應付AI驅動的規模化攻擊。</p> <p><a href="https://www.ithome.com.tw/news/175564"><strong style="font-size: 22px;">【臺灣資安大會直擊】台新新光金控談AI風險治理：從可信任走向永續AI</strong></a></p> <p>曾任刑事局資訊科科長、偵九大隊隊長，現為台新新光金控暨台新銀行資安長陳詰昌，於臺灣資安大會首日分享如何治理AI風險。他指出，金融業導入AI大致歷經3階段，首先是以統計與機器學習為核心的「判斷式AI」，多用於詐欺偵測與風險判斷；其次是近年快速普及的「生成式AI」，多應用於智能客服、報告生成與法規比對等場景，例如台新的法金徵信報告自動化。</p> <p><a href="https://www.ithome.com.tw/review/173386"><strong style="font-size: 22px;">提供1.5 Gbps網路威脅檢測效能，思科新款入門級防火牆上市</strong></a></p> <p>去年6月舉行年度用戶大會期間，思科宣布Cisco Secure Firewall產品線將推出兩款產品，其中一款是入門級的最小機型200系列，是鎖定分支辦公室環境使用，能以相當迷你的機箱尺寸、具有成本效益的市場包裝，提供1.5 Gbps的網路威脅檢測效能，相較於其他競爭產品，性價比號稱可達到3倍，思科當時也預告這批防火牆將於12月推出。到了今年1月，思科正式公布200系列的技術規格，首先是首款機型的名稱定為Secure Firewall 220（CSF 220），而在威脅檢測與網路傳輸的效能上，他們照慣例揭露多種使用模式的表現。</p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/175560"><strong>【5月5日】2026臺灣資安大會正式登場</strong></a></p> <p><a href="https://www.ithome.com.tw/news/175531"><strong>【5月4日】Linux系統核心存在長達9年的高風險漏洞Copy Fail</strong></a></p> <p><a href="https://www.ithome.com.tw/news/175458"><strong>【4月30日】NPM供應鏈攻擊Mini Shai-Hulud鎖定多款SAP套件</strong></a></p> </div></div></div>
5/6 15:20作者周峻佑https://www.ithome.com.tw/news/175587
Telegram Mini Apps遭濫用於假冒服務詐騙
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安業者CTM360<a href="https://www.ctm360.com/reports/femitbot-telegram-mini-apps-fraud-campaigns">發布資安研究報告</a>，揭露名為FEMITBOT的詐騙基礎架構。攻擊者濫用Telegram Mini Apps與Telegram Bot，在Telegram內建立假冒加密貨幣、金融、AI、串流媒體與加密貨幣挖礦池的互動頁面，誘導使用者投入資金，部分網站還會提供Android APK檔案散布惡意程式。</p> <p>研究人員指出，Telegram Mini Apps是Telegram內的輕量化網頁應用，可支援登入、付款與互動功能。攻擊者利用這種不必離開Telegram的使用體驗，透過機器人（Bot）誘導使用者啟動Mini App，再於Telegram內建WebView載入攻擊者控制的網站，使假冒服務看起來像是在Telegram內正常執行。</p> <p>CTM360將這套基礎架構命名為FEMITBOT，原因是研究人員在多個相關網域與Telegram Mini Apps中，發現一致的API回應內容「Welcome to join the FEMITBOT platform」。研究人員推測，不同的詐騙活動可能共用同一套後端架構，而非彼此獨立的釣魚網站。</p> <p>FEMITBOT的運作方式偏向模組化部署，相關基礎架構包含60個以上仍回應有效JSON的活躍網域、146個以上Telegram Bot、15個以上視覺模板、25個以上JavaScript程式碼包、100多組廣告追蹤碼識別碼，並涉及30個以上遭冒用品牌，包括BBC、Netflix、Binance、OKX、Nvidia與Circle等品牌或服務名稱。</p> <p>FEMITBOT攻擊流程通常從社群廣告、Telegram邀請或被動收入話術開始，當被害者進入Bot後，Mini App會載入假平臺頁面，前端再依後端設定套用不同品牌外觀。頁面會顯示假的即時收益、挖礦速度或限時名額，當受害者嘗試提領這些虛假收益時，再要求以小額首次存款啟用帳號，或完成邀請他人的社交任務。</p> <p>FEMITBOT相關活動整合Meta與TikTok的廣告追蹤碼，用來記錄頁面瀏覽、註冊、首次存款或再次存款等事件，攻擊者會利用這些資料，衡量不同誘導頁面與流量來源的成效，並調整詐騙流程。</p> <p>研究人員發現部分網站含有控制顯示App下載功能的旗標，啟用後，網站會提供Android APK檔案，誘導使用者側載安裝，而這些APK的檔名會設計成類似合法應用，或採用不易引起懷疑的隨機名稱，並託管在與API相同的網域，以維持TLS憑證有效，避免瀏覽器出現混合內容警告。</p> </div></div></div>
5/6 15:50作者李建興https://www.ithome.com.tw/news/175588
為因應AI加速找出資安漏洞的態勢，Oracle有意調整發布例行更新週期
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>一般而言，許多軟體開發商會每個月發布例行更新，修補旗下產品與服務的資安漏洞，不過有家廠商例外，他們採取每3個月發布一次的做法，每次都會修補大量資安漏洞，那就是Oracle。不過，該公司最近也宣布，他們打算加快發布例行更新的頻率。</p> <p>4月29日Oracle<strong><a href="https://blogs.oracle.com/security/accelerating-vulnerability-detection-and-response-at-oracle">透過部落格文章宣布</a></strong>，他們將於每季的Critical Patch Update（CPU）例行更新之外，於其他月份發布當月更新Critical Security Patch Update（CSPU）。CSPU將針對重要的資安問題進行精準修補，使得該公司客戶在下一次CPU更新發布之前，能夠處理高風險層級的漏洞。Oracle強調，CSPU套件更小、且專門針對弱點，使得用戶修補變得更加容易。對於執行CSPU的時間點，首波預計<strong><a href="https://www.oracle.com/security-alerts/">將於今年5月28日發布</a></strong>，接下來會在6月16日、8月18日、9月15日發布CSPU更新。</p> <p>而Oracle決定這麼做的原因，就是AI已經改變了漏洞識別及修復的流程，並大幅提升處理漏洞的速度與規模。該公司也透露，他們已利用Anthropic Claude Mythos Preview、OpenAI Trusted Access for Cyber等模型來找出產品弱點。</p> </div></div></div>
5/6 13:10作者周峻佑https://www.ithome.com.tw/news/175582
Linux基金會成立x402 Foundation，攜手產業推動AI代理支付標準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>因應AI代理應用帶動的自動化交易需求，<a data-saferedirecturl="https://www.google.com/url?q=https://www.linuxfoundation.org/press/linux-foundation-is-launching-the-x402-foundation-and-welcoming-the-contribution-of-the-x402-protocol&source=gmail&ust=1778128793367000&usg=AOvVaw2TgsggTEF6grCegI43d6Yi" href="https://www.linuxfoundation.org/press/linux-foundation-is-launching-the-x402-foundation-and-welcoming-the-contribution-of-the-x402-protocol" target="_blank">Linux基金會（<wbr></wbr>Linux Foundation）宣布成立</a>x402 Foundation，推動可嵌入網頁互動的通用支付標準。</p> <p>x402最初由Coinbase、Cloudflare與St<wbr></wbr>ripe共同推動，後續將交由Linux基金會治理，<wbr></wbr>並朝開源模式發展。 </p> <p><a data-saferedirecturl="https://www.google.com/url?q=https://docs.x402.org/introduction&source=gmail&ust=1778128793367000&usg=AOvVaw15n2bnH1FSLcD7EcbMMnWp" href="https://docs.x402.org/introduction" target="_blank">x402協定的設計</a>，是將支付能力整合進網頁請求流程，<wbr></wbr>讓AI代理、API與應用程式在傳送資料的同時，<wbr></wbr>也能直接完成支付交易。Linux基金會表示，x402 Foundation將作為中立治理平臺，<wbr></wbr>確保標準發展維持開放、透明與跨廠商互通。</p> <p>在技術機制上，x402支援按請求付費（pay-per-<wbr></wbr>request）模式，讓每一次API呼叫或服務存取，<wbr></wbr>都能直接對應一筆支付交易，適用於AI代理或自動化系統場景。</p> <p>此外，該協定以HTTP請求流程為基礎，<wbr></wbr>讓支付流程可隨網頁請求一併發生，<wbr></wbr>例如在存取API或呼叫服務時即可完成付款。官方文件指出，<wbr></wbr>此類設計可讓支付隨網頁請求一併進行，<wbr></wbr>並支援包含穩定幣在內的數位資產應用。</p> <p>x402 Foundation參與成員涵蓋雲端、支付與金融等產業，<wbr></wbr>包括AWS、Google、微軟、Mastercard、<wbr></wbr>Visa與Shopify等業者。</p> </div></div></div>
5/6 14:23作者王珮瑤https://www.ithome.com.tw/news/175585
Palo Alto Networks揭露防火牆重大資安漏洞，並指出已被用於實際攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>5月6日資安公司Palo Alto Networks<strong><a href="https://security.paloaltonetworks.com/CVE-2026-0300">發布資安公告</a></strong>，揭露防火牆作業系統PAN-OS資安漏洞CVE-2026-0300，此弱點存在於User-ID身分驗證入口網站，為記憶體緩衝區溢位漏洞，未經身分驗證的攻擊者透過特製封包，就能在防火牆以root權限執行任意程式碼，CVSS v4.0風險評為9.3分（滿分10分），屬重大等級漏洞。值得留意的是，該漏洞已出現遭到利用的情況，但相關修補程式預計要一至三週後才會推出。</p> <p>CVE-2026-0300存在於採用User-ID身分驗證入口網站的防火牆系統，無論是PA系列的實體設備，還是VM系列的虛擬版防火牆，都會受到影響。不過，雲端版的Cloud NGFW、SASE平臺Prisma Access，則不受影響。由於Palo Alto Networks尚未發布修補程式，該公司呼籲用戶應限縮能夠存取User-ID的來源，管制僅有受到信任的內部IP位址才能存取，並避免將User-ID入口網站曝露於網際網路上，如此一來，CVE-2026-0300的風險值就會降為8.7分。</p> <p> </p> </div></div></div>
5/6 15:01作者周峻佑https://www.ithome.com.tw/news/175586
SUSE發布SUSE AI Factory，整合Nvidia技術鎖定主權AI部署
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>歐洲開源軟體業者SUSE宣布與Nvidia合作<a data-saferedirecturl="https://www.google.com/url?q=https://www.suse.com/c/introducing-suse-ai-factory-with-nvidia/&source=gmail&ust=1778128793363000&usg=AOvVaw0CVnsEMKTNFKQHdJdG-H6c" href="https://www.suse.com/c/introducing-suse-ai-factory-with-nvidia/" target="_blank">推出SUSE AI Factory with NVIDIA</a>（以下簡稱SUSE AI Factory），<wbr></wbr>鎖定企業與政府在主權AI與高度監管環境下的部署需求。</p> <p>這套方案整合SUSE的企業AI平臺SUSE AI與Nvidia的企業AI軟體平臺NVIDIA AI Enterprise，提供一套預先驗證的完整軟體堆疊，<wbr></wbr>用於建置、部署與擴展企業AI工作負載。</p> <p>在架構上，<a data-saferedirecturl="https://www.google.com/url?q=https://www.suse.com/c/accelerating-the-ai-journey-suse-ai-factory-with-nvidia/&source=gmail&ust=1778128793363000&usg=AOvVaw2BUUFgzenfwcUabq_uWrEL" href="https://www.suse.com/c/accelerating-the-ai-journey-suse-ai-factory-with-nvidia/" target="_blank">SUSE AI Factory</a>建置於容器管理平臺SUSE Rancher Prime與SUSE Linux Enterprise Server（SLES），並整合Nvidia NIM microservices作為推論最佳化的微服務、<wbr></wbr>開源Nemotron模型，以及Nvidia NeMo用於建置與客製化生成式AI模型，<wbr></wbr>同時也整合Nvidia OpenShell執行環境，<wbr></wbr>用於部署具備安全與政策控管機制的AI代理，<wbr></wbr>並搭配GPU資源調度工具Nvidia Run:ai與Kubernetes架構，支援模型服務、GPU資源調度與AI代理部署。</p> <p>SUSE指出，<wbr></wbr>開發人員可在沙箱環境進行AI應用的原型開發與測試，<wbr></wbr>並透過Rancher整合介面或GitOps流程，<wbr></wbr>將工作負載部署至正式環境，以支援大規模部署管理。</p> <p>在安全與治理方面，該平臺整合零信任安全、可觀測性與治理機制，<wbr></wbr>並提供預先驗證架構、跨環境部署與生命週期管理能力，<wbr></wbr>同時由SUSE提供涵蓋整體軟體堆疊的單一支援與負責窗口。</p> <p>SUSE表示，企業可掌握其基礎架構、資料與模型，<wbr></wbr>以符合包括歐盟AI法案在內的監管要求，並支援數位主權需求。</p> <p>該方案已於SUSECON 2026展示預覽版本，預計2026年稍晚正式推出。</p> </div></div></div>
5/6 13:35作者王珮瑤https://www.ithome.com.tw/news/175583
Coinbase裁員14%，稱加密低迷與AI改變工作型態
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國加密貨幣交易所<a href="https://www.coinbase.com/blog/building-a-leaner-and-faster-coinbase" target="_blank">Coinbase週二（5/5）宣布</a>，將裁減14%人力，約700名員工，作為組織重整的一部分。該公司執行長Brian Armstrong在給員工的備忘錄中表示，Coinbase正同時面對加密貨幣市場低迷與AI改變工作方式兩股力量，因此必須調整成本結構，讓公司變得更精實、更快速，也更AI原生。</p> <p>Armstrong指出，Coinbase雖然資本充足，收入來源也已多元化，但營運仍高度受到加密貨幣市場週期影響。Coinbase過去13年已經歷4次加密寒冬並完成上市，如今又面對新一輪加密貨幣市場低迷，因此必須再次調整成本結構。儘管他看好穩定幣、預測市場與代幣化將推動下一波採用，仍希望在下一階段成長到來前，先讓公司維持更精實且有效率的狀態。</p> <p>這次重整不只是裁員，也包括組織架構調整。Coinbase將把執行長與營運長以下的組織層級壓縮至最多5層，以減少協調成本並加快決策速度。Armstrong並要求主管不能只是純管理者，而必須像「球員兼教練」一樣參與實際工作；未來部分主管可能會有超過15名直屬部屬。</p> <p>該公司還將進一步導入AI工具，讓小型團隊承擔更多工作。Armstrong表示，過去一年工程師已能利用AI在幾天內完成過去需要團隊花數週才能完成的任務，非技術團隊也開始交付正式上線的程式碼。未來Coinbase將聚焦於能管理AI代理人的人才，並實驗縮小團隊規模，包括讓同一人兼具工程、設計與產品管理職能的「一人團隊」。</p> <p>根據<a href="https://www.sec.gov/Archives/edgar/data/1679788/000167978826000049/coin-20260505.htm" target="_blank">Coinbase提交</a>給美國證券交易委員會（SEC）的文件，這項重組預計在第二季完成，相關資遣費用約為5,000萬至6,000萬美元。美國受影響員工將至少獲得16週基本薪資與6個月的COBRA醫療保險補助。</p> </div></div></div>
5/6 13:53作者陳曉莉https://www.ithome.com.tw/news/175584
Google發布5月份Android例行更新，修補重大層級的資安漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>5月4日Google發布<strong><a href="https://source.android.com/docs/security/bulletin/2026/2026-05-01">Android本月份例行更新</a></strong>，不過這次特別的是，該公司僅有修補一項重大層級的資安弱點。此漏洞登記為CVE-2026-0073，出現在該作業系統的系統元件Android Debug Bridge Daemon（adbd），嚴重程度評為重大層級（未提供CVSS風險評分），一旦攻擊者成功利用，就能遠端執行任意程式碼（RCE），相當危險，Google已為Android 14以上版本進行修補。</p> <p>雖然Google在上述公告對CVE-2026-0073的說明相當有限，不過該公司<strong><a href="https://www.cve.org/CVERecord?id=CVE-2026-0073">在CVE網站登記的內容</a></strong>提及，此漏洞存在於auth.cpp的adbd_tls_verify_cert元件，其中的程式碼存在邏輯錯誤，導致攻擊者可用來繞過無線的ADB交互驗證機制，並以Shell使用者的身分遠端執行任意程式碼。Google強調，利用漏洞無須特殊權限，過程裡也不需使用者互動。</p> </div></div></div>
5/6 11:49作者周峻佑https://www.ithome.com.tw/news/175579
微軟推出Microsoft 365 E7，採席次授權並搭配使用量計費機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a data-saferedirecturl="https://www.google.com/url?q=https://techcommunity.microsoft.com/blog/microsoft_365blog/microsoft-365-e7-and-agent-365-are-now-generally-available/4516295&source=gmail&ust=1778128793370000&usg=AOvVaw3dmqgrlg8o8ncyn9lchTqA" href="https://techcommunity.microsoft.com/blog/microsoft_365blog/microsoft-365-e7-and-agent-365-are-now-generally-available/4516295" target="_blank">微軟於5月1日正式推出</a>Microsoft 365 E7與Microsoft Agent 365。其中Microsoft 365 E7引起外界關注，該方案採用以使用者席次為基礎的授權模式，<wbr></wbr>針對超出基本使用量的部分另行計價，<wbr></wbr>並與token使用量及資源消耗連動。微軟強調，<wbr></wbr>該方案能讓客戶更方便購買與席次授權或AI代理相關的用量方案。</p> <p>在微軟<a data-saferedirecturl="https://www.google.com/url?q=https://www.microsoft.com/en-us/investor/events/fy-2026/earnings-fy-2026-q3&source=gmail&ust=1778128793370000&usg=AOvVaw3CddA7izraQkysbRx8ZdcX" href="https://www.microsoft.com/en-us/investor/events/fy-2026/earnings-fy-2026-q3" target="_blank">2026財年第三季財報電話會議</a>中，Microsoft 365 E7授權模式成為討論重點之一。微軟財務長Amy Hood表示，過去商用軟體產品以每席次授權為核心的模式，<wbr></wbr>將逐步轉向結合AI代理的使用情境，<wbr></wbr>加入類似Azure的用量計費機制。</p> <p>微軟執行長Satya Nadella則表示，結合使用者授權與使用量計價的模式，<wbr></wbr>將推廣至所有以使用者為基礎授權的軟體產品，包括生產力工具、<wbr></wbr>程式開發與資安服務。</p> <p>另據<a data-saferedirecturl="https://www.google.com/url?q=https://www.computerweekly.com/news/366642583/Microsoft-explains-value-of-E7-usage-based-pricing&source=gmail&ust=1778128793370000&usg=AOvVaw1_ahBT1-ODKxlXe5SeVXRT" href="https://www.computerweekly.com/news/366642583/Microsoft-explains-value-of-E7-usage-based-pricing" target="_blank">Computer Weekly</a>分析，企業在導入AI服務時，<wbr></wbr>往往難以事先預估運算與模型使用量，<wbr></wbr>因此透過席次授權提供基本使用權，再搭配使用量計費，<wbr></wbr>有助於在控制基礎成本的同時，依需求擴大AI使用規模。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0506-E7-600.png" style="width: 593px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源/微軟</span></span></p> <p>Microsoft 365 E7被定位為Frontier Suite，整合Microsoft 365 Copilot、Microsoft 365 E5、Microsoft Entra Suite與Agent 365。</p> <p>在定價方面，<a data-saferedirecturl="https://www.google.com/url?q=https://www.microsoft.com/en-us/microsoft-365/microsoft-365-enterprise%23tabs-v2a1_tab0&source=gmail&ust=1778128793370000&usg=AOvVaw0dfhI-g6N2BtezX1Q0ni14" href="https://www.microsoft.com/en-us/microsoft-365/microsoft-365-enterprise#tabs-v2a1_tab0" target="_blank">Microsoft 365 E7</a>提供包含與不包含Teams的年約版本，<wbr></wbr>其中含Teams版本每位使用者每月定價99美元，<wbr></wbr>不含Teams版本為每位使用者每月90.45美元；<wbr></wbr>Microsoft Agent 365亦可作為獨立授權提供，每位使用者每月15美元。</p> </div></div></div>
5/6 12:53作者王珮瑤https://www.ithome.com.tw/news/175581
Nvidia修補NemoClaw開發平臺高風險資訊外洩漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://nvidia.custhelp.com/app/answers/detail/a_id/5837" target="_blank">Nvidia上週發布軟體安全更新</a>，修補自家版OpenClaw開發平臺，即NemoClaw中可導致資訊洩露的高風險漏洞。</p> <p>NemoClaw是Nvidia三月<a href="https://www.ithome.com.tw/news/174439" target="_blank">公布</a>的自主AI代理人開源開發平臺NemoClaw。它是簡化OpenClaw長時（always-on）助理的參考軟體堆疊，主打與Nvidia GPU平臺及模型、控管軟體緊密整合，比OpenClaw具備企業需要的穩定、安全及隱私性。</p> <p class="rtecenter"><a href="http://nvidia.custhelp.com/app/answers/detail/a_id/5837" target="_blank"><img alt="" src="/sites/default/files/images/0506-NVIDIA%20NemoClaw-600.png" style="width: 600px;" /></a></p> <p>上週修補的NemoClaw漏洞有二個，較嚴重的是CVE-2026-24222。這是位於沙箱環境初始化（initialization）元件，遠端攻擊者可傳送含有提示注入內容的請求，引發存取控制不當，使代理人在建立沙箱時讀取並外洩主機環境變項。成功濫用本漏洞可導致資訊洩露。CVE-2026-24222被列為CVSS風險值8.6的高嚴重性漏洞。</p> <p>另一編號CVE-2026-24231的漏洞，存在validateEndpointUrl() SSRF防護元件中。攻擊者可提供變造過的端點URL，以blueprint配置檔或CLI flag提供參考0.0.0.0/8位址範圍，藉此引發伺服器端請求偽造（server-side request forgery，SSRF）。成功濫用本漏洞可造成資訊洩露。CVE-2026-24231風險被列為CVSS 5.9，為中度嚴重性，但<a href="https://nvd.nist.gov/vuln/detail/CVE-2026-24231" target="_blank">NVD漏洞資料庫</a>列為CVSS 6.3。</p> <p>CVE-2026-24231影響NemoClaw 0.0.13以前版本，CVE-2026-24222則影響0.0.18以前版本。兩個漏洞皆為外部研究人員發現及通報。Nvidia呼籲用戶升級到<a href="https://github.com/NVIDIA/NemoClaw" target="_blank">NemoClaw 0.0.18版</a>來緩解兩個漏洞。</p> </div></div></div>
5/6 11:29作者林妍溱https://www.ithome.com.tw/news/175576
Apache基金會修補HTTP Server高風險漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>5月4日Apache基金會<strong><a href="https://httpd.apache.org/security/vulnerabilities_24.html">發布</a></strong>2.4.67版網頁伺服器軟體HTTP Server，總共修補11個資安漏洞，其中被列為重要（Important）等級的CVE-2026-23918最值得留意。</p> <p>CVE-2026-23918存在於HTTP Server的HTTP/2通訊協定，為記憶體雙重釋放（Double Free）造成的弱點，攻擊者有機會用於發動遠端程式碼執行（RCE）攻擊，<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-23918">CVSS風險為8.8分</a></strong>（滿分10分），屬高風險層級。</p> <p>通報此弱點的資安公司Striga.ai共同創辦人Bartlomiej Dmitruk<strong><a href="https://thehackernews.com/2026/05/critical-apache-http2-flaw-cve-2026.html">向資安新聞網站The Hacker News說明漏洞細節</a></strong>，指出該漏洞不只能被用於執行任意程式碼，還有可能導致網頁伺服器服務中斷（DoS）。Dmitruk強調，利用漏洞的難度不高，攻擊者想要發動阻斷服務攻擊，需針對預設組態的mod_http2模組與特定多執行緒模組（MPM）；若是想要執行程式碼，則需要搭配Apache Portable Runtime（APR）與特定元件才能達成目的。</p> </div></div></div>
5/6 11:40作者周峻佑https://www.ithome.com.tw/news/175577
Google DeepMind、微軟與xAI同意提交未發布模型供美國測試
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國商務部國家標準暨技術研究院<a href="https://www.nist.gov/news-events/news/2026/05/caisi-signs-agreements-regarding-frontier-ai-national-security-testing" target="_blank">（NIST）週二（5/5）宣布</a>，旗下AI標準與創新中心（Center for AI Standards and Innovation，CAISI）已與Google DeepMind、微軟與xAI簽署協議，讓美國政府可在前沿AI模型公開發布前取得未發布模型，進行能力、資安風險與國家安全影響評估。</p> <p>CAISI的前身是2024年成立的美國AI安全研究所（U.S. AI Safety Institute，AISI），之後在川普政府時代於2025年6月改組為AI標準與創新中心，成為美國政府與商用AI產業進行測試、合作研究與最佳實務制定的主要窗口。而<a href="https://www.nist.gov/news-events/news/2024/08/us-ai-safety-institute-signs-agreements-regarding-ai-safety-research" target="_blank">AISI在2024年8月便與Anthropic及OpenAI</a>達成協議，可在這兩家業者發布重大新模型的前後存取相關模型，以評估模型能力及安全風險。</p> <p>此次CAISI再與Google DeepMind、微軟及xAI達成類似協議。</p> <p>CAISI重申，與這些前沿AI開發者的合作，將讓美國政府得以在AI模型公開之前對其進行評估，也能在模型部署後進行後續評估與研究，迄今該組織已完成逾40次的評估，涵蓋那些尚未公開的最先進AI模型。</p> <p>此外，這些協議將支援資訊分享，促使業者自願改善產品，並讓美國政府更清楚掌握AI能力與國際AI競爭現況；且為了全面評估與國家安全相關的能力與風險，開發者通常會向CAISI提供降低或移除安全防護措施的模型。</p> </div></div></div>
5/6 11:42作者陳曉莉https://www.ithome.com.tw/news/175578
Anthropic推出金融業Claude代理人模板，加速提案簡報、KYC審查與月結作業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Anthropic<a href="https://www.anthropic.com/news/finance-agents">發布10款面向金融服務業的Claude代理人模板</a>，鎖定研究、客戶經營、合規與財務營運等常見工作流程。這批模板可用於製作提案簡報（Pitchbook）、篩檢KYC文件、建立財務模型、處理總帳調節與月結等任務，Anthropic表示，金融機構可將這些模板作為Claude Cowork或Claude Code外掛使用，也能以Claude Managed Agents的部署指南形式，在Claude Platform上部署成受管理代理人。</p> <p>Anthropic將這批模板設計成可介接金融業既有文件、資料與審核流程，每款代理人模板都包含任務指令與領域知識、可控管權限的資料連接器，以及可處理特定子任務的子代理人。金融機構可依內部建模規範、風險政策與審批流程調整這些模板，而不是完全從零建立代理人系統。</p> <p>Claude這10款模板涵蓋研究與客戶經營，以及財務與營運兩大類工作。前者包括提案簡報製作、會議準備、財報申報文件與財報電話會議逐字稿檢視、財務模型建立，以及市場與發行人研究，後者則包括估值檢查、總帳調節、月結、財務報表檢查與KYC審查。Anthropic表示，這類流程仍由使用者審閱、修改並核准Claude輸出後，再交付客戶、送出文件或採取後續行動。</p> <p>Anthropic也擴大Claude與Microsoft 365的整合，Claude可透過增益集在Excel、PowerPoint與Word中運作，Outlook支援則標示為即將推出。官方舉例，在Excel中，Claude可依申報文件與資料來源建立財務模型、檢查跨活頁簿公式並執行情境分析，而在PowerPoint中，則可將模型結果轉成簡報，並在底層數字變動時更新內容。</p> <p>資料存取也是這次更新的一部分。Anthropic新增Dun & Bradstreet、Fiscal AI、Financial Modeling Prep、Guidepoint、IBISWorld、SS&C IntraLinks、Third Bridge與Verisk等連接器，讓Claude可存取市場資料、研究內容、資料室與產業資訊。Moody’s也推出MCP應用，提供信用評等與企業資料，用於合規、信用分析與業務開發。</p> <p>Anthropic表示，這些金融代理人模板已在其金融服務市集提供。Claude for Excel、PowerPoint與Word增益集已正式推出，Claude for Outlook仍為即將推出狀態，新的連接器與Moody’s MCP應用則提供給付費方案中的共同客戶使用。</p> </div></div></div>
5/6 11:58作者李建興https://www.ithome.com.tw/news/175574
ShinyHunters宣稱竊得Canvas供應商、Nvidia GeForce NOW數百萬個人資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>ShinyHunters上週宣稱駭入Canvas供應商Instructure及Nvidia GeForce NOW遊戲平臺，分別取得2.8億及數百萬筆用戶資料。Instructure坦承遭到網路攻擊，而Nvidia則說只影響東歐一家雲端託管平臺夥伴。</p> <p>Instructure開發知名線上學習管理平臺Canvas，用戶涵括中小學、大學及企業用於管理教材、作業及線上學習，<a href="https://www.insidehighered.com/news/tech-innovation/administrative-tech/2026/05/05/pay-or-leak-hackers-target-big-higher-ed-vendor" target="_blank">在北美教育科技市場</a>市占率高達41%。</p> <p><a href="https://status.instructure.com/incidents/9wm4knj2r64z" target="_blank">Instructure公告</a>近日遭網路罪犯攻擊，導致資料外洩，業者已偕同外部資安專家啟動調查，以控制災害並釐清影響範圍。</p> <p><a href="https://www.bleepingcomputer.com/news/security/instructure-hacker-claims-data-theft-from-8-800-schools-universities/" target="_blank">ShinyHunters上週</a>在其專用資料公佈網站宣稱是其所為。這群駭客聲稱，是利用Canvas資料匯出機制，包括DAP查詢、報表與使用者API等方式，取得Instructure約2.75億筆資料，現在持有將近9000個學校的師生、教職員的姓名、電子郵件、學生ID等個資，以及師生間、學生間不公開對話訊息數十億筆。這些資料總量達3.65TB。</p> <p>ShinyHunters還說也駭入了這家公司的Salesforce執行個體，取得更多其他資料。</p> <p>至少有二家大學包括柯羅拉多州<a href="https://www.bleepingcomputer.com/news/security/instructure-hacker-claims-data-theft-from-8-800-schools-universities/" target="_blank">小岩城大學</a>、羅格斯（Rutgers）大學、<a href="https://rtl.berkeley.edu/news/notice-canvas-security-incident" target="_blank">加州大學柏克萊分校</a>、<a href="https://oit.princeton.edu/instructure-security-incident-update" target="_blank">普林斯頓大學</a>已分別警告該事件。</p> <p>另一方面ShinyHunters也宣稱竊得Nvidia雲端遊戲平臺GeForce NOW數百萬筆用戶資料。不過Nvidia表示事件只影響合作夥伴，不是自己系統被駭。</p> <p>ShinyHunters在駭客論壇BreachForums宣稱駭入Nvidia GeForce NOW。駭客說他從Nvidia後臺下載「整個資料庫」，取得數百萬筆真實用戶資料，包括姓名、使用者名稱、電子郵件住址、出生日期、會員資料、TOTP/2FA狀態、平臺帳號建立時戳、與內部角色屬性等。駭客也貼出資料樣本為證明。</p> <p>ShinyHunters計畫以價值100美元的比特幣或門羅幣（XMR）出售這批資料。但是資料真偽未經證實，而且是否真是ShinyHunters也有疑問，因為該組織一向都是在自己營運的地下網站公佈資料及發文，而非使用BreachForums或Telegram。</p> <p>不過<a href="https://cybernews.com/security/hackers-claim-nvidia-geforce-now/" target="_blank">Nvidia</a>仍然就此事回應媒體，表示這次事件只影響該公司在亞美尼亞營運GeForce NOW網站的合作夥伴，公司也正協助調查。Nvidia GeForce NOW於亞美尼亞的平臺是由當地業者GFN CLOUD INTERNET SERVICES提供的GFN.AM業務部門負責，這個網站涵蓋亞塞拜然、喬治亞、哈薩克、摩爾多瓦、烏克蘭及烏茲別克等市場。</p> </div></div></div>
5/6 12:13作者林妍溱https://www.ithome.com.tw/news/175580
中國駭客UAT-8302對南美洲、東南歐政府機關發動大規模APT攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>中國APT駭客鎖定全球政府機關的情況，近年來陸續有資安公司與威脅情報團隊公布調查結果，最近有一個先後針對南美洲與東南歐政府機構的駭客組織，引起研究人員注意。</p> <p>思科威脅情報團隊Talos揭露<strong><a href="https://blog.talosintelligence.com/uat-8302/">中國駭客組織UAT-8302</a></strong>，相關活動至少可追溯到2024年底，當時他們針對南美洲政府機關發動攻擊，但從2025年開始，這些駭客轉移目標到東南歐國家。這些駭客在成功入侵受害組織後，他們就會使用自製的惡意程式，其中一個是以.NET打造的後門程式NetDraft（NosyDoor），駭客以C#後門FinalDraft（SquidDoor）為基礎進行改良而成。除此之外，UAT-8302經常使用的後門程式還有另一個CloudSorcerer，此後門曾被用於攻擊俄羅斯政府機關。</p> <p>這些駭客犯案的工具，還有Vshell、SnowLight，以及採用Rust打造的SnowRust。</p> </div></div></div>
5/6 10:04作者周峻佑https://www.ithome.com.tw/news/175570
虛擬光碟機軟體DAEMON Tools Lite遭植入後門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安業者<a href="https://securelist.com/tr/daemon-tools-backdoor/119654/" target="_blank">卡巴斯基（Kaspersky）週二（5/5）指出</a>，他們在今年5月初發現免費版虛擬光碟機軟體DAEMON Tools Lite遭植入惡意程式，可用來下載後續惡意酬載，受影響版本涵蓋今年4月8日發行的12.5.0.2421至最新的12.5.0.2434。</p> <p>DAEMON Tools是由AVB Disc Soft所開發的老牌虛擬光碟機與光碟映像檔工具，主要用於在Windows電腦上掛載ISO等光碟映像檔，讓使用者不需實體光碟機也能讀取CD、DVD或Blu-ray內容。該軟體早期常用於遊戲、軟體安裝光碟備份與映像檔管理，產品線包括免費的DAEMON Tools Lite，以及Pro、Ultra等付費版本。</p> <p>卡巴斯基是在自家產品回傳的偵測資料中察覺異常，發現多臺電腦執行DAEMON Tools Lite後，會連向一個仿冒DAEMON Tools合法下載網域的惡意伺服器，並嘗試下載後續檔案。進一步追查後，卡巴斯基確認相關安裝程式雖來自DAEMON Tools官網、也具備AVB Disc Soft的數位簽章，但內部元件已遭攻擊者竄改，因此判定為供應鏈攻擊。</p> <p>分析顯示，自4月8日首個遭木馬化的DAEMON Tools Lite版本上線後，已觀察到數千起相關攻擊嘗試，受影響機器分布於100多個國家與地區，主要集中在俄羅斯、巴西、土耳其、西班牙、德國、法國、義大利與中國。其中，約10%的受影響系統屬於企業或組織。</p> <p>不過，攻擊者並未對所有受影響機器採取相同行動。多數機器只被用來蒐集系統資訊，只有約十多臺機器被進一步部署後門酬載；這些機器屬於位於俄羅斯、白俄羅斯與泰國的政府、科學、製造與零售組織，顯示攻擊者可能是先大規模散布惡意版本，再篩選少數高價值目標。</p> <p>今年以來資安社群已發現多起供應鏈攻擊行動，從1月的防毒產品<a href="https://www.ithome.com.tw/news/173736" target="_blank">eScan</a>、2月的<a href="https://www.ithome.com.tw/news/173754" target="_blank">Notepad++</a>，到4月的<a href="https://www.ithome.com.tw/news/175007" target="_blank">CPU-Z</a>與5月的DAEMON Tools。</p> <p>卡巴斯基表示，已聯繫AVB Disc Soft，以便該公司採取修復措施。不過，AVB Disc Soft迄今尚未在官網或部落格發布相關說明。</p> </div></div></div>
5/6 10:44作者陳曉莉https://www.ithome.com.tw/news/175571
Google調整Android與Chrome漏洞獎勵，降低部分獎金並取消加碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google<a href="https://bughunters.google.com/blog/evolving-the-android-chrome-vrps-for-the-ai-era">調整Android與Google裝置VRP，以及Chrome VRP這兩項漏洞獎勵計畫</a>，保留零點擊完整攻擊鏈與瀏覽器程序完整攻擊鏈等高階獎勵，但降低部分獎金並取消特定加碼項目，同時把獎勵與審查重點放在較難由AI自動化工具找出的高影響漏洞。</p> <p>Android漏洞保留最高150萬美元獎勵級距，適用於零點擊完整攻擊鏈，且能攻陷Pixel Titan M2安全晶片並具持續性的漏洞，若同樣是零點擊完整攻擊鏈，但不具持續性，最高獎金則為75萬美元。Chrome方面，研究人員若能在最新作業系統與硬體上完成瀏覽器程序完整攻擊鏈，最高可獲25萬美元，而要是回報成功利用Google認為受到MiraclePtr保護的記憶體配置，另有最高250,128美元加碼。</p> <p>Google表示，AI與自動化工具加快漏洞發現速度，也讓測試案例的分析、修補建議與已知問題變體搜尋變得更容易。這使漏洞獎勵計畫需要重新區分哪些問題仍仰賴研究人員的經驗與攻擊鏈建構能力，而哪些問題已較容易由工具輔助產生。</p> <p>在Android與Google裝置VRP，Google會優先處理對使用者風險較高且較不容易被AI工具自動找出的漏洞類型。針對Linux核心漏洞，Google也把重點移向Google維護的元件，當不屬於這類元件，研究人員需要提出可在Android或Google裝置上利用的具體證明。</p> <p>Chrome VRP的變動則偏向回報品質與驗證流程，Google指出，AI已能產生冗長而詳細的漏洞說明，但其內部工具同樣能協助解釋問題與提出修補方向，因此會更重視可證明漏洞存在的具體資料，例如重現方式，以及協助驗證與分類問題的必要構件。Google也將逐步取消先前針對算繪程序RCE與任意讀寫漏洞設置的特別加碼。</p> <p>Google接下來也會更新Chrome漏洞受理與重現基礎設施，釋出供研究人員使用的特殊Chrome組態，用來證明特權程序中的任意讀寫能力，以及受控制的瀏覽器記憶體洩漏。官方表示，雖然這些調整可能使單一漏洞回報可獲得的獎金下降，但預期2026年整體獎勵總額仍會增加。</p> </div></div></div>
5/6 10:48作者李建興https://www.ithome.com.tw/news/175568
Palo Alto Networks提出Copy Fail的緊急因應措施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>4月底資安公司Theori揭露Linux核心權限提升漏洞Copy Fail（CVE-2026-31431），此漏洞影響近9年發布的Linux核心，所有Linux發行版都曝險，更可怕的是，攻擊者只需使用相同的指令碼，就可在不同發行版Linux觸發Copy Fail。這樣的情況引起資安界高度重視，繼<strong><a href="https://www.ithome.com.tw/news/175557">微軟提出警告</a></strong>，呼籲IT人員應立即採取行動因應，對於無法及時套用相關更新軟體的用戶，有資安公司也提出臨時因應措施。</p> <p>資安公司Palo Alto Networks本週針對Copy Fail<strong><a href="https://unit42.paloaltonetworks.com/cve-2026-31431-copy-fail/">發布資安公告</a></strong>，指出由於該弱點可被用於竄改特權執行檔（如su或sudo）記憶體快取內容，且不會觸發完整性檢查的警示訊息，攻擊者可用於突破Kubernetes容器、接管多租戶主機、滲透CI/CD管線，該公司呼籲使用者應儘速採取行動，最好能立刻套用廠商提供的核心更新程式，若是用戶暫時還無法安裝，應實作臨時緩解措施，停用受影響的algif_aead模組因應。</p> <p>具體來說，使用者需以root身分下達指令，命令內容如下：</p> <ul> <li>echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif.conf</li> <li>rmmod algif_aead</li> </ul> <p>值得留意的是，Linux核心維護團隊<strong><a href="https://lore.kernel.org/linux-cve-announce/2026042214-CVE-2026-31431-3d65@gregkh/">發布資安公告</a></strong>，說明緩解Copy Fail的有關細節。</p> </div></div></div>
5/6 10:59作者周峻佑https://www.ithome.com.tw/news/175572
OpenAI公布GPT-5.5 Instant，降低幻覺，減少嚕嗦、提升個人化回應
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>OpenAI週二（5/5）<a href="https://openai.com/index/gpt-5-5-instant/" target="_blank">公布輕量模型GPT-5.5 Instant</a>，強調較前代模型降低一半幻覺，回應更簡潔。此外也可利用過去對話或連結Gmail來提升個人化回應。</p> <p>GPT-5.5 Instant旨在取代5.3 Instant，大幅提升事實準確率、數理與視覺分析能力更強、回答也更簡練，能協助日常所有任務。根據OpenAI公司內部的測試，新模型在醫學、法律和財務等關鍵領域上的回應幻覺比GPT-5.3 Instant減少52.5%，而在挑戰性高的對話上，使用者標記出的事實錯誤也較前代少了37.3%。</p> <p>GPT-5.5 Instant即日起開放所有ChatGPT用戶使用，並取代GPT-5.3 Instant成為預設模型。包括免費版，也會透過API釋出。不過付費版用戶還能使用GPT-5.3 Instant三個月，不過用戶要從配置檔設定中修改。</p> <p>GPT-5.5 Instant的視覺推理及數理推理能力比GPT-5.3 Instant更加提升。根據基準測試CharXiv-Reasoning Scientific Chart Reasoning，新版模型跑分由75.0%提升到81.6%，而在MMMU-Pro Expert多模態推理測試中，GPT-5.5 Instant模型分數，由前代的69.2%提升到76.0%。在GPQA PhD-Level Science及AIME 2025 Competition Math也都較提升到80%以上。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0506-GPT-5_5%20Instant-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源/OpenAI</span></span></p> <p>許多人認為ChatGPT回應過於嚕嗦，這在GPT-5.5 Instant中獲得改善。它在提供同樣資訊的同時，回應更為簡練、減少公式化句型，以避免回答過於冗長，它也減少不必要的追加問題，或加入造成版面雜亂的元素，像是不要的表情符號。OpenAI統計，和GPT-5.3 Instant相較，5.5 Instant的回答減少了30.2%的字數及29.2%行數。</p> <p>但OpenAI強調GPT-5.5 Instant回應更精準的同時，也提升個人化能力。這是因為它能更有效運用過去對話、檔案和Gmail來生成個人化回應，前提是獲得使用者允許存取。例如當使用者問及喫茶店時，GPT-5.5 Instant會從對話中得知用戶去過的店及其喜好而建議新店家。</p> <p>為了讓使用者了解ChatGPT如何形成個人化回應，OpenAI在所有ChatGPT模型中都加入了記憶來源，告知使用者它是從哪取用個人化資訊，例如儲存的記憶或過去的對話。這些記憶來源不會隨著用戶分享對話時洩露出去。OpenAI也允許用戶將之刪除或修改這些舊記憶。</p> <p>利用對話記錄、檔案或連結Gmail來生成個人化回應的功能將推向Plus及Pro方案用戶，目前是Web版支援，很快會再推向App。OpenAI預計這功能會進一步擴大到免費版、Go、Business和Enterprise用戶。此外，記憶來源功能也是先提供給Web版，之後推到App版ChatGPT，但個人化程度可能依各地區而異。</p> </div></div></div>
5/6 11:04作者林妍溱https://www.ithome.com.tw/news/175573
駭客冒充甫推出的DeepSeek V4散布惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>4月24日中國AI公司深度求索（DeepSeek）發布<strong><a href="https://www.ithome.com.tw/news/175321">新一代語言模型DeepSeek V4</a></strong>，然而駭客也假借該模型的名義，向使用者散布惡意程式。</p> <p>微軟威脅情報團隊於<strong><a href="https://www.linkedin.com/feed/update/urn:li:activity:7457128129720119296/">職場社群網站LinkedIn提出警告</a></strong>，他們在DeepSeek V4推出的數個小時之後，看到有人假冒此模型的名義設置GitHub儲存庫，導致有使用者下載了竊資軟體Vidar與惡意代理伺服器程式GhostSocks。對此，GitHub已關閉惡意儲存庫、封鎖惡意帳號，以阻止造成更多傷害。</p> <p>這起活動使用DeepSeek的名稱為誘餌，深度求索的程式碼或帳號未遭到入侵。微軟強調，這次深度求索透過API與Hugging Face發布DeepSeek V4，並未於GitHub建立儲存庫，若是使用者透過關鍵字DeepSeek v4 weights GitHub進行網路搜尋，惡意儲存庫及其分叉（Fork）往往會在正牌DeepSeek V4的前面。為了迴避偵測，攻擊者在3天內輪換惡意軟體的酬載3次。</p> </div></div></div>
5/6 09:41作者周峻佑https://www.ithome.com.tw/news/175569
Linux核心漏洞Copy Fail可突破Kubernetes防護機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安公司Theori<strong><a href="https://www.ithome.com.tw/news/175481">上週揭露</a></strong>嚴重性達到7.8分的Linux核心弱點Copy Fail，此漏洞可被用於本機權限提升（LPE），已被登記為CVE-2026-31431列管，由於該漏洞影響2017年以後發行的所有Linux版本，因此格外受到重視，繼微軟警告攻擊者可能藉此滲透雲端Linux工作負載與Kubernetes叢集後，有開發人員指出，此漏洞能直接突破Kubernetes的預設防護機制。</p> <p>荷蘭DevOps暨網頁開發工程師Jorijn Schrijvershof<strong><a href="https://jorijn.com/en/blog/copy-fail-cve-2026-31431-linux-kernel-bug-explained/">發布部落格文章</a></strong>指出，Copy Fail是本機權限提升漏洞，攻擊者必須事先取得本機使用者權限才能利用，乍看之下濫用範圍相當有限，不過現在的本機範圍涵蓋多種情境，包括：共用Kubernetes節點的所有容器、共用主機的每個租戶、每個執行拉取請求程式碼的CI/CD工作、Windows電腦的WSL2實體（Instance）、每個獲得shell存取權限的容器化AI代理，上述的本機環境存在共通點，就是都和其他Linux環境共用核心。因此，一旦攻擊者成功利用Copy Fail，其影響範圍將會擴散，換言之，對於代管主機、Kubernetes、CI/CD等開發者會用到的環境，緩解Copy Fail格外重要。</p> <p>Schrijvershof引述資安公司Juliet.sh在Kubernetes的漏洞測試結果，確認PSS Restricted機制並未封鎖AF_ALG的Socket連線建立。Juliet.sh透過Talos與Amazon EKS進行測試，發現執行環境提供的預設seccomp設定檔，也都無法防範Copy Fail。Schrijvershof強調，即使是採用最嚴格安全政策的Kubernetes工作負載，其Pod仍可呼叫並存取存在漏洞的程式碼路徑。該名開發者也提及CERT-EU的緩解措施強調此問題的嚴重性：CERT-EU認為，即便使用者已套用修補程式，還是最好新增seccomp設定檔明確封鎖Socket連線的產生。</p> </div></div></div>
5/5 15:25作者周峻佑https://www.ithome.com.tw/news/175559
【臺灣資安大會直擊】看不見的國土保衛戰，調查局長陳白立揭開臺灣「第五領域」的資安攻防全貌
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>當全球地緣政治與數位科技高度交織，國家安全的定義，也正在被重新改寫。過去，人們談論國土防衛，多半聚焦於陸、海、空與太空；但在政府治理、金融交易、交通運輸、醫療系統與產業供應鏈全面數位化後，虛擬空間已不再只是技術延伸，而是國家主權與社會運作不可分割的一部分。</p> <p>在「臺灣資安大會CYBERSEC 2026」主題演講中，法務部調查局長陳白立以「全社會韌性：調查局在資安領域扮演的關鍵角色」為題，完整揭示臺灣面對的數位威脅樣貌，以及調查局如何從傳統執法機關，轉型成為國家數位國土防衛的重要支柱。</p> <p>這場演講，不只是一次資安趨勢分析，更像是一份關於「第五領域戰爭」的國安報告。從APT長期滲透、AI驅動的勒索攻擊、供應鏈滲透、關鍵基礎設施威脅，到認知作戰與假訊息操作，陳白立描繪的，不再只是零星駭侵事件，而是一場結合科技、情報、政治與心理戰的複合型對抗。</p> <h2><strong>數位空間已成國家第五領域，是沒有圍牆的國土</strong></h2> <p>陳白立明確指出，數位空間如今已實質成為國家的「第五領域」。這個概念的背後，不只是科技發展的結果，更反映國家治理模式的根本轉變，那就是，當國家的行政指揮、水電供應、金融交易、交通、醫療、網路通訊與企業供應鏈，都高度依賴數位系統運作時，數位空間便不再只是資訊部門的範疇，而是與國家命脈直接連動的新型疆域。</p> <p>陳白立形容，這是一片「沒有圍牆的國土」。它不像傳統邊界那樣看得見，也沒有實體防線可以阻絕敵人，但任何一次成功的駭侵、癱瘓或滲透，都可能對社會造成實體衝擊。若數位國土失守，實體國土也將難以維持正常運作。</p> <p>這也是他反覆強調「全社會韌性」的重要原因。他表示，因為現代資安問題，早已不只是技術攻防，而是整個國家面對危機時，能否持續維持治理能力、產業運作與社會信任的總體考驗。</p> <h2><strong>臺灣每天承受兩百多萬次網路攻擊，攻擊模式出現結構式改變</strong></h2> <p>身為國家安全團隊的核心成員，陳白立對於這片數位疆域所承受的壓力有著最直觀的感覺。他揭露了一個驚人的數字：臺灣平均每天遭受超過兩百萬次的網路攻擊。他表示，這並非單純的網路掃描或低層級惡意流量的騷擾，而是長期、高密度、具組織性的數位對抗壓力，是一場規模宏大且持續進行的無聲戰爭。</p> <p>臺灣在全球地緣政治中的特殊位置，使其成為高度集中的攻擊目標，包括政府機關、國防體系、金融機構、醫療系統，以及半導體與高科技供應鏈，長期都處於高風險狀態。</p> <p>陳白立強調，當前面臨的挑戰已遠不止於攻擊次數的累積，更值得注意的是，攻擊模式本身也已出現結構性改變。</p> <p>首先，是攻擊的「滲透化」。他表示，過去的駭客行動，往往追求短時間癱瘓網站或竊取資料；如今的APT組織則更傾向長期潛伏。他們可能在目標系統內隱藏數月甚至數年，只為等待特定時機發動攻擊。</p> <p>其次，是認知戰的「數位化」。AI生成技術快速成熟後，虛假內容與深偽資訊已開始系統性衝擊民主社會的信任結構。陳白立觀察到，這類攻擊不再只是資訊混淆，而是試圖瓦解人民對政府、媒體與彼此的信任。</p> <p>第三，則是供應鏈的「脆弱化」。在全球化的分工之下，任何一個資訊外包商、設備供應商或軟體開發商，都可能成為駭客滲透的入口；任何一個系統環節中潛藏的後門，都可能成為癱瘓整體運作的致命缺口，足以讓整個關鍵基礎設施暴露於風險之中。</p> <p>「因此，我們的資安已經不是單純的技術對抗，」他說，「現在的資安已經必須要討論到制度面、情報面，以及反情報的綜合層面。」</p> <h2><strong>APT滲透超乎外界想像，IoT設備淪攻擊鏈一環</strong></h2> <p>在所有威脅中，陳白立特別點名高度組織化的APT（Advanced Persistent Threat，進階持續性威脅）族群。他坦言，來自中國的APT組織，對臺灣政府機關、關鍵基礎設施、國防工業與高科技企業的滲透，「已經超乎外界想像」。</p> <p>這些APT組織善於利用零時差（Zero Day）漏洞、客製化攻擊工具與社交工程手法，並在行動結束後刻意清除痕跡，使受害者難以察覺，也增加執法機關溯源的困難度。</p> <p>更可怕的是，許多一般民眾日常使用的IoT設備，已逐漸成為攻擊鏈的一部分，包括：網路監視器、WiFi路由器、智慧設備等，都可能被駭客控制，成為匿蹤節點與跳板。陳白立憂心地指出，這也代表著：數位戰場已不再局限於政府與大型企業，而是滲透到一般家庭與中小企業之中。</p> <p>陳白立更舉出調查局近期偵辦案例指出，有單位的防火牆、核心交換器、網管系統，甚至印表機，都遭植入惡意程式；駭客甚至修改SOC系統的Log回傳規則，使監控系統無法察覺異常，導致機敏資料長期外洩而不自知。</p> <p>這類案例顯示，現代APT攻擊已不再只是單點突破，而是對整體數位生態系進行長期滲透與控制。</p> <h2><strong>AI重塑未來攻擊模式，RaaS降低犯罪門檻</strong></h2> <p>除了APT滲透外，陳白立也特別關注AI帶來的資安風險。他指出，未來最值得警戒的，不只是AI應用於防禦，而是駭客開始利用AI代理人（AI Agent）進行自動化攻擊。</p> <p>過去，駭客需要投入大量人力進行漏洞掃描與滲透測試；但未來AI可能自行搜尋弱點、自動選擇攻擊路徑，甚至自主執行攻擊行動。他說：「這代表攻擊速度、規模與複雜度，都將進一步提升。」</p> <p>另一方面，勒索軟體也已從個人犯罪演變成高度分工的產業鏈，陳白立描述，過去的駭客是獨行俠或小型組織，如今的駭客經濟已發展為分工精細的產業鏈：有專門找漏洞的前端人員，有負責編寫勒索軟體的開發者，有執行攻擊的中端操手，有協助談判贖金的後端人員，甚至還有專責洗錢與隱匿金流的末端成員，整個生態系已形成完整分工模式。</p> <p>這種「勒索軟體即服務」（RaaS）的模式，大幅降低了犯罪門檻，讓即便技術能力有限的攻擊者，也能發動高破壞性的攻擊，而臺灣身為全球高科技與半導體供應鏈核心，對營運中斷容忍度極低，也因此成為勒索集團鎖定的重要目標。</p> <p>「未來，駭客組織也將透過AI代理人來找漏洞、偵察並執行攻擊。」他說，面對這樣的趨勢，也是資安人應該要認真思考如何應對的議題。</p> <p>此外，陳白立表示，內部威脅與供應鏈破口，也是企業界最容易輕忽的弱點。他指出，外部攻擊或許可以用嚴密的資安防護加以阻擋，但內部人員的故意或過失往往是最難防範的缺口。「韌性不是買防火牆就好，對人的管理與信任鏈的建立尤為重要。」他說。</p> <p>駭客深知大型企業的防禦能量強，因此更常從這些企業的資訊服務供應商或軟體開發承包商下手，以供應鏈為突破口，間接攻入核心系統。他呼籲業者透過合約機制，將第三方成員的風險管理納入自身管理的一環。</p> <h2><strong>關鍵基礎設施已成政治性攻擊目標</strong></h2> <p>陳白立特別強調，近年針對OT（Operational Technology，營運技術）環境的滲透行動正快速增加。OT系統與一般IT系統不同，它直接控制電力、供水、工廠產線、交通號誌與醫療設備等實體世界運作，一旦遭受攻擊，影響的不只是資料，而是整個社會的基本運作。</p> <p>「更重要的是，這類攻擊往往帶有政治目的。」陳白立強調，這些攻擊手法背後真正的目標，不只是造成停電、停水或交通混亂，而是藉由製造社會動盪與不安情緒，削弱民眾對政府的信任。這也是陳白立特別強調「韌性」的原因。</p> <p>他認為，在現代資安環境下，真正重要的不只是「能不能防禦」，而是遭受攻擊後，整個社會是否仍具備「耐打」與「快速復原」能力。</p> <h2><strong>認知作戰正在攻擊民主社會的人心</strong></h2> <p>比起傳統駭侵，更難防禦的，是複合式認知作戰。陳白立指出，現在的境外勢力，常透過駭侵或盜用帳號取得社群媒體控制權，再透過國內跳板設備，以「看似本地人」的方式散播虛假資訊，第一時間擴大爭議，製造對立。</p> <p>他進一步分析，這些假訊息的內容往往配合重大政經事件同步操作，例如選舉、防疫或國防議題。背後真正的目的，不一定是讓民眾相信某項特定訊息，而是讓人民開始懷疑所有資訊來源。</p> <p>「當真假難辨、資訊混亂時，社會信任就會逐漸瓦解。」陳白立以2024年Dcard假飛官事件為例——有人假冒飛官身分發文，聲稱寧願賠三百萬元也不願繼續服役，意在打擊國軍士氣，動搖民眾對軍隊的信任。</p> <p>他直言，這些假訊息一旦進入第二層傳散，就會由境外網軍控制的粉絲專頁開始擴散，一般民眾很難判斷真偽，就可能轉發，在極短時間內席捲整個社群平臺。</p> <h2><strong>面對假訊息偵辦，調查局更關注訊息傳散過程</strong></h2> <p>調查局並非「言論真偽的裁判者」，也不是要去介入一個正常的公共討論議題，陳白立說：「對於假訊息內容真偽的判斷，是主管機關的職責。調查局的工作，是在訊息傳散的過程裡面，觀察是否有異常的協同性行為發生，進而對政府提出示警。」</p> <p>換言之，調查局的角色不是限制言論，而是追查是否存在境外勢力介入與操控。陳白立以「訊息擴散的三個階段」來說明調查局的介入點。</p> <p>「第一階段」是訊息的產製，錯誤或去脈絡化的資訊敘事被製造出來；「第二階段」是擴散放大，具有高頻、短時間內大量協同行為特徵的帳號開始運作；「第三階段」則是進入一般使用者的社會擴散，民眾因情緒或信任而轉傳。他表示，調查局的關注重點，在於判斷「第二階段」是否存在境外勢力介入，將訊息「不正常地放大」。</p> <p>他同時也提及，調查局的資安鑑識實驗室已通過國際ISO認證，能在執法過程中提供具有高度證據能力的鑑定報告，支援從假訊息偵辦到重大刑案的司法審判。</p> <h2><strong>調查局化身成國家的數位免疫系統</strong></h2> <p>面對這樣的威脅環境，調查局的角色定位也正快速轉變，陳白立更用「數位免疫細胞」形容調查局在國家資安架構中的功能：平時，調查局負責蒐報威脅情資、偵測異常與提早預警；事件發生時，則協助調查、溯源追查與依法究責；在攻擊擴大前，則盡可能阻斷攻擊鏈擴散。</p> <p>調查局的職能：「事前預警、溯源追查、依法究責，以及協力聯防。」其中，他認為「協力聯防」尤其重要，因為數位國土的防衛，不可能由政府單獨完成，而必須結合產業、學界與國際夥伴，共同建立跨域防線。</p> <p>在執法層面，陳白立說明，隨著22項涉及關鍵基礎設施保護的相關法案陸續修法，調查局的執法工具已明顯強化。其中兩個重點值得關注：一是針對意圖危害關鍵基礎設施的電腦犯罪罪責加重；二是電信管理法的修法讓海底電纜遭破壞的案件，不再只是單純的毀損罪，而落入特別法的規範，執法強度大幅提升。</p> <p>在國際執法合作方面，陳白立以「創世紀暗網市集案」為例，說明跨境化、暗網化、加密金流化的犯罪趨勢，如何讓調查局在偵辦過程中必須仰賴國際夥伴的協力。案中，主嫌利用暗網及虛擬貨幣購買大量國人的帳密個資，再藉此進行詐欺與洗錢，展現了現代網路犯罪的複雜樣態。</p> <h2><strong>中國監視器偽標案揭露供應鏈危機</strong></h2> <p>陳白立也揭露另一起讓人感到不安的偵辦案例，那就是「中國製監視器偽標產地案。」調查局發現，有廠商將中國製主機板與核心零組件，偽造標示為臺灣製造，再藉此取得政府採購標案。</p> <p>「關鍵不在產地標示不實，」陳白立直言，真正的風險在於：這些設備可能具備資料回傳能力，倘若這些中國製造的設備進入政府機關或關鍵基礎設施，內部敏感資訊便可能持續回傳至中國雲端伺服器。</p> <p>陳白立透露，調查局最終查獲超過兩千部設備，並成功阻止其流入關鍵基礎設施與政府系統。這起案件，也暴露供應鏈安全最大的難題：很多時候，真正的風險不在最終產品，而是藏在看不見的零組件與韌體之中。</p> <p>他指出，調查局偵辦這個案例，不僅揭示供應鏈資安風險的現實威脅，也凸顯政府採購機制在面對偽標產地等造假手段時的防禦缺口。</p> <h2><strong>2奈米技術保衛戰已上升至國安層級</strong></h2> <p>另一項備受關注的案件，則是2奈米製程技術外洩案。陳白立指出，隨著臺灣半導體產業成為全球戰略核心，跨國企業競相爭奪高科技人才與技術，臺灣高科技產業面臨的挖角滲透、機密竊取風險已愈發嚴峻。他說：「關鍵技術早已不只是商業機密，而是國家安全資產。」</p> <p>在核心關鍵技術的保護議題上，陳白立以調查局近期偵辦的2奈米製程技術遭竊案為例，在該案中，涉案人員利用前員工與現職員工的人脈，試圖將核心製程技術輸出至競爭方。</p> <p>該起案件，高等檢察署依《國家安全法》與《營業秘密法》偵辦，「本案於今年4月27日，由智慧財產法院判處主嫌十年有期徒刑，」陳白立說，「其他共犯分別判處六年、三年、兩年不等。這是我們國家宣示保護核心關鍵技術的一個很重要的案件。」</p> <p>他進一步說明，《營業秘密法》已修訂域外使用罪則，《國家安全法》也增訂了商業間諜罪，將國家核心關鍵技術納入國家安全法的保護體系，為執法提供更有力的法律依據。他呼籲業者建立內部分級管理、存取控管與外洩防護機制，搭配調查局的公私聯防機制，在機密外洩事件發生時能夠迅速協助蒐證偵辦。</p> <p>這不只是一起企業竊密案，陳白立認為，這更是一場關於國家競爭力與產業命脈的保衛戰。因為在當前國際局勢下，半導體技術已成為全球地緣政治競逐的核心資源。</p> <h2><strong>全社會韌性才是臺灣真正的防線</strong></h2> <p>陳白立提到，2025年國安會發布的《國家資安戰略 2025》，其中揭示了打造「堅韌、安全、可信賴智慧國家」的戰略願景，並提出四大支柱：建構全社會防衛韌性、強化關鍵基礎設施韌性、保障關鍵產業與供應鏈資安韌性，以及人工智慧的應用與安全並進。</p> <p>為了支撐這個架構，政府建構了以「國家資安戰略協同應變中心」為核心的跨部會防衛體系，整合了國安會、國安局、國防部、數位部、刑事局與調查局。「資安已不是單打獨鬥，」他說，「必須結合產官學研與企業，大家共同努力。」因為數位國土的防禦，本質上是一場橫跨政府、產業與社會的長期戰爭。</p> <p>陳白立以「全社會韌性」作為核心，意味著，當社會遭遇大規模網路攻擊時，能否維持足夠的防禦能力、夠耐打，並具備快速復原的韌性。而這三件事，缺一不可。他強調「唯有落實資安，才能強化數位韌性；唯有強健數位韌性，才能建立全社會防衛韌性。」</p> <p> </p> </div></div></div>
5/6 01:55作者黃彥棻https://www.ithome.com.tw/news/175567
中國駭客濫用OpenClaw自動化串接攻擊流程，後端記錄逾4.5萬次漏洞利用嘗試
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安業者SOCRadar<a href="https://socradar.io/blog/chinese-cybercrime-exploitation-harvesting/">揭露</a>中國駭客使用自動化攻擊與資料蒐集基礎設施，透過OpenClaw與代號paperclip的集中式後端，將偵察、漏洞利用、憑證蒐集、後門部署與金流驗證串接成自動化流程。研究人員表示，其後端資料顯示該基礎設施記錄約4.5萬次漏洞利用嘗試，也會追蹤惡意酬載執行與命令驗證結果，讓攻擊者能掌握從漏洞利用到金流驗證的流程。</p> <p>OpenClaw是一套可自架的AI代理閘道，可連接聊天介面與AI程式開發代理，並支援工具呼叫、工作階段、記憶與多代理路由等能力。而在這起事件中，中國駭客利用OpenClaw把攻擊活動拆成計畫、審查、派送、偵察、掃描、驗證與回報等階段，使大規模漏洞利用、憑證蒐集與變現作業能以流程化方式執行。</p> <p>研究團隊指出，攻擊者使用FOFA與360Quake等網際網路資產搜尋工具尋找目標，其中FOFA用於篩選Web3、金融科技服務與資安廠商等高價值組織，360Quake則用於辨識易受攻擊服務的技術特徵。攻擊者使用136個FOFA帳號，以維持連續掃描並避開API使用限制。</p> <p>攻擊基礎設施鎖定可遭React2Shell與Log4Shell等漏洞影響的Web應用程式。React團隊先前確認，CVE-2025-55182是React Server Components中未經身分驗證遠端程式碼執行漏洞，影響react-server-dom-webpack、react-server-dom-parcel與react-server-dom-turbopack套件的19.0、19.1.0、19.1.1與19.2.0版本，修補版本為19.0.1、19.1.2與19.2.1。</p> <p>攻擊者使用自訂Python腳本執行命令，包含傾印環境變數，以取得AI API金鑰、Stripe金鑰、資料庫憑證與權杖。在取得這些金鑰與憑證後，送往集中式後端進行解析與儲存，用來篩選可立即使用或具變現價值的目標。</p> <p>在變現階段，攻擊者會先利用OKLink、OKX與Tatum等區塊鏈情報API分析多鏈錢包資料，再透過Stripe API驗證竊得的金鑰是否可用，藉此篩選出具有可用餘額或較高價值的目標。研究人員指出，集中式後端同時會記錄各次攻擊嘗試、酬載執行與命令驗證結果，讓攻擊者得以完整追蹤從漏洞利用到金流驗證的整體流程。</p> </div></div></div>
5/6 08:22作者李建興https://www.ithome.com.tw/news/175565
新網釣攻擊手法ConsentFix v3能自動化攻擊Azure環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>去年12月，經營瀏覽器防護的資安公司Push Security揭露<strong><a href="https://www.ithome.com.tw/news/172800">網釣攻擊手法ConsentFix</a></strong>，此手法結合了ClickFix社交工程與OAuth同意授權的釣魚，目的是挾持使用者的微軟帳號。由於ConsentFix的攻擊流程都在瀏覽器進行，不需像ClickFix接觸端點電腦的作業系統，而不易被偵測及封鎖，<strong><a href="https://pushsecurity.com/blog/consentfix-v3-analyzing-a-new-toolkit/">當時俄羅斯駭客APT29將其用於實際攻擊</a></strong>。然而，近期駭客發展出新的ConsentFix變形手法，將其流程變得更加自動化。</p> <p>Push Security近期在網路犯罪論壇XSS裡，<strong><a href="http://pushsecurity.com/blog/consentfix-v3-analyzing-a-new-toolkit/">看到疑為俄羅斯國家級駭客介紹的第三代ConsentFix（ConsentFix v3）</a></strong>，駭客使用類似資安廠商部落格文章的形式，介紹該手法使用的重要技術，包括：OAuth授權、同意網路釣魚、刷新權杖（Token），以及Family of Client IDs（FOCI）。並介紹ClickFix與ConsentFix的發展過程，最終為論壇用戶提供逐步操作的指引。</p> <p>ConsentFix v3與第一代最大的不同，就是允許使用者監控整個攻擊流程。駭客啟動ConsentFix基礎設施，偽裝成可信賴的身分以與受害者互動，設計並管理電子郵件活動，並自動化將截取的OAuth權杖用於建立連線階段（Session），然後將權杖更新，最終建立受害帳號的存取權。</p> <p>此攻擊手法結合了SaaS與開源工具，包括用於主機代管的Cloudflare Workers、用於識別目標的ZoomInfo、用於代管PDF檔案的Dropbox，以及作為外洩通道的Pipedream。除此之外，駭客可能還會使用像SpecterPortal這樣的駭客工具來進行後續活動。</p> </div></div></div>
5/6 08:52作者周峻佑https://www.ithome.com.tw/news/175545
【臺灣資安大會直擊】Agentic AI時代已到來，微軟強調企業資安必須走向「環境式、自主式」防禦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>隨著AI深度滲透企業工作流程，攻擊者也同步運用AI升級攻擊行動。面對Agentic AI時代的新挑戰，在2026臺灣資安大會首日的主題演說中，微軟全球資深副總裁Vasu Jakkal針對當前威脅提出因應之道，強調企業下一階段的資安架構，必須轉向「環境式（Ambient）」與「自主式（Autonomous）」的防禦模式。</p> <h3><strong>面對AI代理時代，防禦方須具備對等自動化能力</strong></h3> <p>AI代理人的成長速度極快，Vasu Jakkal引用國際研究機構IDC數據示警：2028年將有13億個代理人加入職場，規模幾乎等同於印度的人口總數。同時她也指出，當前威脅已進入高度自動化階段，攻擊者不只利用AI產製更具欺騙性的釣魚內容、加速惡意程式開發，更實現了攻擊流程的規模化運作。</p> <p>面對這樣的發展態勢，Jakkal指出，2026年企業資安必須具備兩大核心特性。</p> <p>首先是「環境式（Ambient）」防禦。這代表資安能力必須內建，而非額外附加的選項，要成為系統與生俱來的預設能力。</p> <p>其次是「自主式（Autonomous）」防禦。這意味著僅靠人力已難以因應AI驅動的規模化攻擊，因為威脅環境本是不對稱的，攻擊者只需找到一個漏洞即可造成實質破壞。換言之，我們需要透過AI減輕防禦者採取行動所需的負擔。</p> <p><a href="/sites/default/files/images/（圖1）Microsoft_Vasu Jakkal_CYBERSEC 2026.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89Microsoft_Vasu%20Jakkal_CYBERSEC%202026.jpg" style="width: 600px;" /></a></p> <h3><strong>延伸防禦框架至AI代理，將Agent視為治理主體</strong></h3> <p>該如何朝向環境式與自主式防禦邁進？Vasu Jakkal認為，各個企業組織將有許多工作要做。她以微軟自身的經驗說明，兩年前啟動的「安全未來倡議（SFI）」，投入了3.5萬名工程師推展前沿資安工程。在這項計畫中，核心理念仍是「基礎安全先到位」，亦即優先守住身分、資料、端點、雲端、應用與基礎設施。</p> <p>特別的是，這套框架同時要求落實兩大重要原則：設計即安全（Secure by Design）、預設即安全（Secure by Default），維運安全（Security Operations）也是重要支柱。</p> <p>如今，這套保護框架必須進一步延伸到AI代理（AI Agent）層面，因為代理人正快速進入企業環境，成為新型態的高風險治理對象。</p> <p>針對AI代理人的資安治理，Vasu Jakkal提出了多項建議與觀點，我們整理為以下5大重點：</p> <p>第一，從可觀測性（Observability）出發。她強調：「我們無法保護看不到的東西。」企業需要一個橫跨IT、資安與開發團隊的共享控制平面，以監控所有代理人的身分與運作。</p> <p>第二，將代理人視為可治理主體，並賦予其動態身分。她提醒，在Agentic資安中，身分是核心，代理人並非一般工具帳號，而是具行動能力的新型數位身分，必須納入高風險帳號治理邏輯，包含權限配置、行為邊界與政策約束，並導入動態身分與條件式存取機制。</p> <p><a href="/sites/default/files/images/（圖2）Microsoft_Vasu Jakkal_CYBERSEC 2026.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89Microsoft_Vasu%20Jakkal_CYBERSEC%202026.jpg" style="width: 600px;" /></a></p> <p>第三，導入具備學習與適應能力的持續性威脅防護。重點包含持續探索與風險評估、即時監控與威脅阻斷，以及AI驅動的威脅偵測，讓控制機制從事後稽核轉為持續內建。</p> <p>第四，持續監控並保護代理人與敏感資料的互動。重點在於資料安全態勢管理，透過敏感性標籤與DLP（資料外洩防護）政策的強制執行，確保資料在自動化流程中的安全。</p> <p>第五，將零信任架構延伸至AI領域。Jakkal強調，每一項互動都需經過驗證，尤其是「評估與驗證機制」，對於決定代理人的權限至關重要。</p> <p>在技術框架之外，Jakkal也特別關注「人」的角色，她勉勵現場聽眾，資安技能必須持續演進，未來的分析師將轉型為代理人的管理者。演說最後，她亦重申資安是一場團隊運動，微軟無法獨力完成，AI是這一代最重要的技術，而資安則是建立信任的關鍵。微軟將持續與全球及臺灣夥伴攜手合作，共同塑造值得信賴的Agentic AI未來。</p> <p><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89Microsoft_Vasu%20Jakkal_CYBERSEC%202026.jpg" style="width: 600px;" /></p> <p> </p> </div></div></div>
5/5 21:33作者羅正漢https://www.ithome.com.tw/news/175566
【臺灣資安大會直擊】台新新光金控談AI風險治理：從可信任走向永續AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>隨著金管會發布金融業運用人工智慧（AI）的相關指引，要求金融機構在導入AI時兼顧風險控管與法規遵循，國內金融業正加速從試驗性導入走向制度化管理。從早期的機器學習應用，到近年生成式AI快速滲透客服、法遵與內部作業流程，AI已逐步成為金融服務的重要基礎能力，同時也帶來新的資安與治理挑戰。</p> <p>然而，AI要從實驗性走向制度化，成為組織內日常營運的能力，需要加強AI風險管理，今年臺灣資安大會首日，曾任刑事局資訊科科長、偵九大隊隊長，現為台新新光金控暨台新銀行資安長陳詰昌分享如何治理AI風險。</p> <p>他指出，金融業導入AI大致歷經3階段，首先是以統計與機器學習為核心的「判斷式AI」，多用於詐欺偵測與風險判斷；其次是近年快速普及的「生成式AI」，多應用於智能客服、報告生成與法規比對等場景，例如台新的法金徵信報告自動化。</p> <p>最後是邁向具備自主決策能力的「代理型AI」，包括自動化交易與多功能代理協作、AI員工等等。</p> <p><span style="color:#B22222;"><strong>AI帶來的機會與挑戰</strong></span></p> <p>然而，AI是一把雙面刃，AI能力愈強，其潛的風險也隨之提高，因此金融業多採取「先控管、後開放」的審慎策略。</p> <p>他強調，AI雖能帶來個人化服務、營運效率提升與更精準的風險預測，但也伴隨新型態資安威脅，例如模型黑箱、資料偏誤、對抗式攻擊，以及模型漂移(Model Drift)等問題。此外，當業界普遍採用相似模型時，還可能形成「集體性風險」，一旦模型出現缺陷，這個影響就會被放大。</p> <p><strong><span style="color:#B22222;">4大面向強化AI治理</span></strong></p> <p>為此，台新金控將「負責任且可信賴的AI」作為核心目標，從4大面向推動AI治理。</p> <p>首先是確保AI應用與企業策略及商業價值一致，避免資源錯置；其次是強化資料治理與隱私保護，確保資料來源合法、用途合規，並避免個資被不當用於模型訓練；第三是建立治理與法規遵循機制，包括著作權與國內外AI法規要求；最後則是確保系統安全與穩定，防範駭客攻擊與模型被操控。</p> <p>在風險辨識上，他點出AI特有的5大風險，包括小錯誤可能被放大的「規模效應」、模型持續自我學習的「自主學習」、隨時間變化的「模型漂移」、對外部供應鏈的「依賴性」，以及難以解釋決策過程的「黑箱問題」。</p> <p><img alt="" src="/sites/default/files/images/LINE_ALBUM_0505%2C%20701G%2C%201410-1440%2C%20%E5%8F%B0%E6%96%B0%E9%99%B3%E8%A9%B0%E6%98%8C_260505_1.jpeg" style="width: 600px; height: 400px;" /></p> <p>其中AI模型持續自我學習，隨時間變化產生漂移，「模型會隨著時間、資料累積，會產生不同的結果，同樣一個問句，在不同時間點提問所得到的結果可能不一樣，這就是飄移」，陳詰昌說。</p> <p>換言之，AI風險可能因為模型的自我學習、漂移產生不同的影響，必須納入動態監控與治理機制。</p> <p>陳詰昌以台新新光為例，在組織面已建立分層治理架構，由AI治理委員會負責策略制定與風險承受度設定，並設立風險管理、模型開發與維運等團隊分工合作。同時導入人為監督「Human-in-the-loop」機制，在關鍵決策或異常情境下，由人工即時介入，避免錯誤持續擴大影響性。</p> <p><img alt="" src="/sites/default/files/images/20260505_143504.jpeg" style="width: 600px; height: 373px;" /></p> <p>此外，AI管理也需涵蓋完整生命週期，從提案、設計、開發、驗證到部署與持續監控，每一階段都需進行風險評估與控管。陳詰昌指出，實務上可參考國際框架，如NIST AI風險管理框架（AI RMF）以及ISO 42001與ISO 23894等標準，並搭配威脅建模工具，強化技術層面的防護。</p> <p>他強調金融業AI風險管理的核心能力可歸納為5大面向，策略與治理、模型生命週期管理、資料治理（品質、來源、偏誤）、法規遵循，以及人為監督與可解釋性。</p> <p>較具體的策略作法包括建立明確的治理架構、定期風險評估、確保資料品質、持續監控模型異常，以及強化資安控制措施。</p> <p>陳詰昌也提到金融業發展AI的長期方向。他表示，金融服務的核心在於信任，AI也是如此，「我們要從現在的可信任走向永續的基因」，將負責任與可信賴的AI內化為組織長期能力，並在倫理、隱私、公平與安全間取得平衡，作為對客戶與使用者的長期承諾。</p> </div></div></div>
5/5 17:51作者蘇文彬https://www.ithome.com.tw/news/175564
【資安日報】5月5日，2026臺灣資安大會正式登場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/175554"><strong style="font-size: 22px;">從AI攻防到半導體資安標準制定，CYBERSEC 2026揭示臺灣邁向全球資安戰略核心</strong></a></p> <p><a href="/sites/default/files/images/960-zi_an_da_hui_he_zhao_huang_yan_fen_she_ying-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/960-zi_an_da_hui_he_zhao_huang_yan_fen_she_ying-63.jpg" style="width: 300px; float: right;" /></a></p> <p>亞洲最大規模的資安盛會「臺灣資安大會CYBERSEC 2026」，於5月5日至7日假臺北南港展覽館二館舉辦。來自全球數十個國家、超過二萬名資安專家、企業代表與政府官員齊聚臺灣，超過四百家國內外資安品牌同步參展，現場並規畫逾兩百場專業論壇與十五軌平行議程，全面呈現AI時代下的最新資安攻防趨勢。在開幕典禮上，最受矚目的焦點莫過於總統府副秘書長何志偉代表總統賴清德親臨致詞，這是八年以來，首度總統因為執行國是訪問任務而無法親自出席這場年度資安盛會。</p> <p><a href="https://www.ithome.com.tw/news/175550"><strong style="font-size: 22px;">美國警告Linux核心高風險漏洞Copy Fail已遭利用</strong></a></p> <p>4月30日資安公司Theori揭露Linux核心資安漏洞Copy Fail，此漏洞影響廣泛，可追溯到2017年發布的Linux核心4.14版，並影響所有的Linux發行版，多個發行版的開發團隊已發布相關資安公告。此漏洞可被用於本機權限提升（LPE），登記為CVE-2026-31431列管，Theori透過僅有732個位元組的Python概念驗證程式，於Ubuntu、Amazon Linux、Red Hat Enterprise Linux（RHEL），以及SUSE成功取得root權限，呼籲大家重視此事並儘快採取行動因應。事隔一天，美國網路安全暨基礎設施安全局（CISA）表示已掌握CVE-2026-31431被積極利用的證據，要求聯邦機構限期修補。</p> <p><a href="https://www.ithome.com.tw/news/175551"><strong style="font-size: 22px;">微軟警告Copy Fail恐被用於攻擊雲端環境</strong></a></p> <p><a href="/sites/default/files/images/CopyFail-11-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/CopyFail-11-63.jpg" style="width: 300px; float: right;" /></a></p> <p>上週被揭露的Linux核心高風險漏洞Copy Fail（CVE-2026-31431），微軟近日提出警告，大量雲端Linux工作負載及數百萬個Kubernetes叢集，也同樣受到Copy Fail影響。雖然利用漏洞的過程無須使用者互動，但微軟認為此漏洞不會被單獨利用，攻擊者可能會與初始存取管道串連，例如：SSH存取、惡意CI工作執行，或是將容器當作滲透的據點。只要能取得本機使用者身分利用漏洞，就能在含有Copy Fail的Linux核心與加密模組執行程式碼。</p> <p><a href="https://www.ithome.com.tw/news/175557"><strong style="font-size: 22px;">針對影響廣泛的Linux核心漏洞Copy Fail，微軟呼籲用戶應立即採取行動因應</strong></a></p> <p>微軟針對近日受到高度關注的Linux核心漏洞Copy Fail（CVE-2026-31431）提出警告，駭客很可能將其用於攻擊雲端環境，相當危險應立即處理。對此，該公司也提出了緩解措施，特別提及IT人員應在24小時內採取行動，盤點受影響的系統與版本，並套用緩解措施。這種呼籲要在1天內完成修補的情況，在微軟的相關調查報告裡，極為罕見，突顯微軟認定該漏洞帶來的威脅極為嚴重。</p> <p><a href="https://www.ithome.com.tw/news/175524"><strong style="font-size: 22px;">cPanel重大漏洞災情蔓延，資安機構揭露駭客藉此竊取東南亞政府資料</strong></a></p> <p>網站主機管理軟體cPanel與WHM（WebHost Manager）的重大漏洞CVE-2026-41940，風險正迅速增加中，資安研究機構Ctrl-Alt-Intel近日發布報告揭露，他們發現有攻擊者利用此漏洞作為入口，針對多個東南亞國家政府系統發起攻擊。攻擊者利用這個漏洞取得初始存取權限後，便橫向移動至其他系統，隨後從這些系統收集資料，然後將受害系統的資料回傳至攻擊者控制的伺服器。</p> <p><a href="https://www.ithome.com.tw/news/175493"><strong style="font-size: 22px;">中國駭客鎖定亞洲政府機關與北約國家，利用Exchange與IIS主機弱點進行滲透</strong></a></p> <p><a href="/sites/default/files/images/shadow-earth_figure02-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/shadow-earth_figure02-63.jpg" style="width: 300px; float: right;" /></a></p> <p>趨勢科技近日揭露新的中國駭客組織Shadow-Earth-053，利用可透過網際網路存取的Exchange伺服器，或是IIS網頁伺服器的已知漏洞，企圖植入稱做Godzilla的Webshell，以建立長期存取的管道，然後使用DLL側載手法，載入具有合法簽章的惡意程式ShadowPad。值得留意的是，駭客入侵受害組織最常使用的資安漏洞是ProxyLogon，這代表已公布並修補多年的資安漏洞，由於許多企業組織並未套用微軟提供的更新程式，仍是有效的駭客初始入侵管道。</p> <p><a href="https://www.ithome.com.tw/news/175506"><strong style="font-size: 22px;">中國駭客Shadow-Earth-053傳利用React2Shell滲透Linux主機</strong></a></p> <p>趨勢科技揭露中國駭客組織Shadow-Earth-053，並指出這些駭客主要透過ProxyLogon等已知漏洞，將Exchange郵件伺服器或IIS網頁伺服器作為初期的入侵管道，偵察AD環境，最終在Windows電腦植入惡意程式ShadowPad，攻擊包含臺灣在內的亞洲國家，且有北約國家遭鎖定的情況。不過值得留意的是，去年12月這些駭客也傳出攻擊Linux伺服器的情況，他們利用React伺服器元件（RSC）重大資安漏洞React2Shell（CVE-2025-55182），部署名為Noodle RAT的ShadowPad變種後門程式。</p> <p><a href="https://www.ithome.com.tw/news/175536"><strong style="font-size: 22px;">Tycoon 2FA遭打擊後失去釣魚工具主導地位，但包含其他工具在內的整體攻擊次數反而增加15%</strong></a></p> <p>資安廠商Barracuda Networks近日發布報告指出，原本主導釣魚即服務（PhaaS）平臺的Tycoon 2FA，在2026年3月遭到多國執法單位聯手打擊後，駭客轉向使用多種不同平臺，整體釣魚攻擊次數反而從2,000萬次增加到2,300萬次。儘管涉及Tycoon 2FA的攻擊次數已大幅減少，從912萬次大跌到212萬次，但其他釣魚工具迅速搶占Tycoon 2FA留下的空間，Mamba 2FA成為目前偵測到攻擊次數最多的釣魚工具，攻擊次數從786萬次增加到1,510萬次，EvilProxy也從287萬次增加到409萬次，Sneaky 2FA則從68萬次增加到194萬次，顯示Tycoon 2FA遭打擊後，釣魚攻擊生態逐漸分散的趨勢。</p> <p><a href="https://www.ithome.com.tw/news/175533"><strong style="font-size: 22px;">Android惡意程式NGate出現新變種，偽裝行動支付工具竊取信用卡資料</strong></a></p> <p>資安廠商ESET近日發布報告，揭露Android惡意程式NGate出現新變種，攻擊者透過偽造或植入惡意程式碼的HandyPay行動支付應用程式，竊取用戶的NFC支付資料，進而盜刷用戶信用卡，甚至從ATM提款。目前發現有兩個傳播途徑，一是透過假冒的巴西彩券網站，以中獎名義誘導用戶連至惡意網頁下載軟體。另一是假冒的Google Play應用程式商店頁面，以信用卡保護軟體Proteção Cartão的名義誘導用戶下載。</p> <p><a href="https://www.ithome.com.tw/news/175558"><strong style="font-size: 22px;">數位憑證機構DigiCert客服系統遭受社交工程攻擊， EV程式碼簽章憑證外洩遭撤銷</strong></a></p> <p>數位憑證機構DigiCert近日向事件追蹤平臺Mozilla Bugzilla提交報告，表示該公司遭遇社交工程攻擊，攻擊者透過偽裝成螢幕保護程式的惡意檔案，入侵客服支援流程，進而取得EV程式碼簽章（EV Code Signing）憑證相關資訊。依據DigiCert提交的報告，攻擊者在4月2日假冒客戶聯繫客服，並發送偽裝成螢幕截圖的惡意ZIP檔案，內含可執行的.scr檔案，該檔案在Windows環境中被執行後，攻擊者成功入侵一臺客服系統端點設備，該設備隨後被隔離，但該公司直到4月14日才發現另一臺客服設備也遭到入侵。</p> <p><a href="https://www.ithome.com.tw/news/175483"><strong style="font-size: 22px;">對抗先進AI模型帶來的資安威脅態勢急速惡化，AI紅隊平臺新創廠商Armadin與兩大資安公司宣布合作</strong></a></p> <p>因成立資安公司Mandiant而聞名的Kevin Mandia，去年創辦新的資安公司Armadin專攻AI紅隊演練應用需求，提供AI代理驅動的攻擊型資安平臺（offensive platform），4月30日宣布與CrowdStrike、Palo Alto Networks這兩家資安大廠合作，他們正好是AI模型大廠Anthropic資安計畫Project Glasswing的創始成員，也都參加OpenAI的Trusted Access for Cyber計畫。</p> <p><a href="https://www.ithome.com.tw/news/175532"><strong style="font-size: 22px;">Palo Alto Networks買下Portkey，強化AI代理安全布局</strong></a></p> <p>美國資安公司Palo Alto Networks於4月30日宣布，計畫買下專門開發AI閘道，以集中管理AI模型及AI代理人的Portkey，預計於今年7月底前完成。雙方並未公布交易細節，但外傳該交易價值1.2至1.4億美元。交易完成後，Portkey將負責檢查AI流量，並在執行階段強制執行安全與治理政策，以識別威脅並保護資料。它也會透過AI身分安全，對每一次代理人互動施加最小權限控制，確保AI工作負載維持安全且符合法規要求。</p> <p><a href="https://www.ithome.com.tw/news/175556"><strong style="font-size: 22px;">思科將買下聚焦於非人類身分安全的Astrix Security</strong></a></p> <p>思科於5月4日宣布，有意併購專門開發非人類身分（Non-Human Identity，NHI）安全技術的資安新創Astrix Security，以將相關功能整合到思科的安全服務中，強化思科安全平臺對各種身分的掌握能力。雙方並未公布交易細節，但外傳該交易價值4億美元。根據雙方的規畫，思科將在多項安全產品中整合Astrix功能，為每一個代理式身分、非人類身分與AI代理人提供端到端的發現、治理及威脅偵測。</p> <p><a href="https://www.ithome.com.tw/news/175509"><strong style="font-size: 22px;">紅帽釋出Tank OS，打造代理式作業系統原型，強化OpenClaw企業部署安全</strong></a></p> <p>紅帽（Red Hat）首席軟體工程師、同時也是OpenClaw開源專案維護者的Sally O'Malley發布開源專案Tank OS，透過容器化與無root權限（rootless）架構，強化OpenClaw在企業環境中的部署安全。O'Malley將Tank OS定位為「代理型作業系統（agentic OS）」的概念原型，嘗試在作業系統層建立專為AI代理設計的執行環境，作為代理執行環境的示範實作。</p> <p><a href="https://www.ithome.com.tw/news/175543"><strong style="font-size: 22px;">安碁資訊115年第一季獲利較去年同期成長超過20％，揭露近期成長動能</strong></a></p> <p>資安服務廠商安碁資訊（ACSI）發布115年第一季合併財報，公開多項營收表現數據：以合併營收而言，達到624,807千元，年增21％；在營業毛利方面，達到234,199千元，年增9％；營業淨利的部分，則為81,695千元，年增22％；在稅後淨利方面，達到68,064千元，年增21%；至於每股盈餘，則是2.27元。他們強調，已連續七年第一季維持雙位數成長。</p> <p><a href="https://www.ithome.com.tw/news/175475"><strong style="font-size: 22px;">全球最大網攻演習落幕，41國演練戰時守護電網與軍事系統</strong></a></p> <p>全球最大實戰型網路防禦演習Locked Shields 2026已於4月24日落幕。本次演習集結了來自41國、16支隊伍及超過4000名參與者，模擬戰時情境下即時應對大規模網路攻擊，演練如何在電網、防空與軍事系統等關鍵基礎設施遭攻擊時維持正常運作。本次演習虛構名為Berylia的國家，模擬它遭受到某個手段高明的敵對勢力的攻擊，目的是破壞該國的主權機制，為了確保演習的真實性，主辦方與業界合作，導入了真實的硬體設備及工業控制系統，包括功能完整的發電系統、5G網路、衛星、電子投票系統，以及作戰指揮系統等。</p> <p><a href="https://www.ithome.com.tw/news/175530"><strong style="font-size: 22px;">五眼聯盟發布AI代理人指引，要求防範權限擴張與自主行動風險</strong></a></p> <p>由美國、英國、加拿大、澳洲及紐西蘭等5個英語系國家組成的情報共享聯盟，5月1日共同發布了「謹慎採用代理式AI服務」（Careful Adoption of Agentic Artificial Intelligence Services）指引，提醒各組織在導入代理式AI系統時，應先評估其自主行動能力帶來的資安風險，並建立相應的安全控管。此指引是針對政府、關鍵基礎設施及大型組織所發布，提醒這些企業組織在導入代理式AI之前，必須先評估其資安風險。主要原因之一為代理式AI繼承了大型語言模型原有的風險，例如提示注入、越獄與幻覺。</p> <p><a href="https://www.ithome.com.tw/news/175537"><strong style="font-size: 22px;">英國NCSC警告AI將加速技術債利用，籲組織預備弱點修補潮</strong></a></p> <p>英國國家網路安全中心（NCSC）呼籲各類組織提前準備弱點修補潮（Vulnerability Patch Wave）。NCSC表示，AI在具備足夠技術能力的人員手中，已展現出大規模且快速利用技術債的能力，預期軟體生態系將出現一波被迫修正技術債的壓力，影響範圍涵蓋開源軟體、商用軟體、專有軟體與SaaS服務。NCSC進一步建議企業調整弱點管理流程，準備更快速、頻繁且大規模地部署安全更新，並把供應鏈納入考量。</p> <p><a href="https://www.ithome.com.tw/article/175438"><strong style="font-size: 22px;">【2026 企業資安大調查】一張圖看2026年百億營收企業資安風險</strong></a></p> <p>在2026年iThome CIO&CISO大調查中，營收百億的臺灣五百大企業，在第一象限的風險包括了5項人員類風險和6項系統類風險，但人員風險比系統風險的發生機率更高，衝擊也更大。可以說，營收百億企業未來一年主要的資安威脅來自人員的風險，也是優先防備的資安重點。過去的資安資源也大多集中在系統面的防禦，現代資安攻擊焦點轉向人員之後，營收百億企業所遭受的攻擊面反而更大，這也是為何網路釣魚也是百億企業首頁風險的原因。</p> <p><a href="https://www.ithome.com.tw/review/172263"><strong style="font-size: 22px;">整合防護端點、網路、郵件、SaaS，Cynet支援雲與地端部署</strong></a></p> <p>若要更徹底保護個人電腦、伺服器與行動裝置，許多企業已體認到單靠防毒軟體與網路防火牆是不夠的，為了能夠涵蓋事前與事中偵測，以及事後應變，EDR、XDR、NDR等解決方案在資安市場大行其道，這些解決方案我們統稱為威脅偵測與應變平臺（TDR）。一般而言，各界也會參照MITRE組織舉辦的ATT&CK Evaluations結果來作為評估依據，其中Cynet已連續參加5年，該公司的解決方案在2024及2025年均有相當優異表現。</p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/175531"><strong>【5月4日】Linux系統核心存在長達9年的高風險漏洞Copy Fail</strong></a></p> <p><a href="https://www.ithome.com.tw/news/175458"><strong>【4月30日】NPM供應鏈攻擊Mini Shai-Hulud鎖定多款SAP套件</strong></a></p> <p><a href="https://www.ithome.com.tw/news/175415"><strong>【4月29日】LiteLLM重大漏洞公布一天半出現攻擊活動</strong></a></p> </div></div></div>
5/5 15:31作者周峻佑https://www.ithome.com.tw/news/175560