iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 00:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

UiPath整合程式開發代理，AI建立的自動化流程也納入企業治理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>企業自動化廠商UiPath宣布推出<strong><a href="https://www.uipath.com/newsroom/uipath-for-coding-agents-launch">UiPath for Coding Agents</a></strong>，將Claude Code與OpenAI Codex這類AI程式開發代理工具整合進自家平臺，讓企業可用這些工具建立自動化流程，再由UiPath平臺納入測試、部署、執行、權限控管與稽核流程。</p> <p>AI程式開發工具已能協助開發者產生程式碼，但在企業環境中，自動化流程能否上線，通常還要經過審查、測試、權限設定、部署與稽核。UiPath指出，若AI產出的自動化流程仍停留在個別開發者或部門手上，缺少後續管理機制，企業仍必須靠人工交接與逐項確認，才能把成果放進正式業務流程。</p> <p>因此UiPath for Coding Agents的設計重點，是讓不同部門可使用各自偏好的AI程式開發代理工具，但後續執行與管理仍回到UiPath平臺。換言之，企業不必要求所有團隊改用同一套AI工具，而是透過UiPath把不同工具產出的自動化流程，整合在同一套協調、執行與治理架構。官方強調，無論自動化流程是由人類開發者建立，或由AI程式開發代理工具產生，都會套用相同的政策執行、操作紀錄、憑證保管、角色權限與執行階段控制。</p> <p><strong><a href="https://docs.uipath.com/uipath-cli/standalone/latest/user-guide/coding-agents">UiPath官方文件也說明</a></strong>，AI程式開發代理工具可透過UiPath命令列工具操作自動化專案，例如封裝解決方案、發布、部署、執行工作，以及檢查Orchestrator資料夾與部署狀態。這使得AI工具不只協助撰寫程式，也能依照企業自動化平臺的規則，將成果推進到後續執行環節。</p> <p>UiPath執行長Daniel Dines表示，AI程式開發代理工具的出現，正在改變誰能在UiPath平臺上建立自動化流程。使用者可描述想要完成的工作，讓AI工具產生自動化流程，再把成果帶到正式環境執行。UiPath for Coding Agents目前已提供給企業客戶使用，初期支援Claude Code與OpenAI Codex，並規畫在2026年加入更多AI程式開發代理工具的整合。</p> </div></div></div>
5/13 16:21作者李建興https://www.ithome.com.tw/news/175769
Anthropic為Claude for Legal新增外掛、MCP連接器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Anthropic 4月推出以Claude Opus 4.7為基礎開發法務人士專用的AI代理工具Claude for Legal，<a href="https://claude.com/blog/claude-for-the-legal-industry" target="_blank">本周Anthropic再為這工具新增外掛（plugin）及MCP整合連接器</a>進一步強化其功能。</p> <p>4月份推出的<a href="https://claude.com/plugins/legal" target="_blank">Claude for Legal</a>是Anthropic為法務專業人士推出的一套AI工作流程與整合方案，本質上是把Claude與法律研究、契約管理、eDiscovery、文件管理等法律工具串接起來的「法律專用AI生態系」。Claude for Legal利用MCP連接器，將文件、通訊及記錄整合到Claude中，並將法務人士常用功能包裹成外掛提供。法務事務或法務部門可因應業務需求來客製化Claude。上個月推出時，Claude主要整合微軟Office應用如Microsoft Word、Outlook、Excel、PowerPoint及Project等。</p> <p>如同其他領域軟體，4月Claude for Legal宣佈時，<a href="https://edition.cnn.com/2026/02/04/investing/us-stocks-anthropic-software" target="_blank">已引發</a>多家法律專業軟體方案如Thompson ReutersLegalzoom.com、RELX、LexisNexis股價大跌。</p> <p>在最新宣佈中，Claude for Legal新增20多項新的MCP連接器串接外部應用及12項新外掛。此外，該公司也和法律非營利機構Free Law Project和Justice Technology Association等合作，以提供Claude for Legal給法務機構及從業人員。</p> <p>新增連接器允許Claude整合專業應用和資料庫，涵括以下。如文件管理類如DocuSign、Ironclad知識管理類如Box、NetDcoument、法律研究判例類包括Thomson Reuters Westlaw、CoCounsel Legal等。其他如eDiscovery類、法律AI助理類、公共服務類（如Free Law Project）等。</p> <p>新增的12項外掛包括商業法務類，可處理NDA、審視商務合約、生成專業摘要。公司法務類外掛支援公司治理如併購調查、協同交易工作流程等。聘僱法務類負責員工聘僱、離職、員工分類；其他如產品法務；AI法理類；智財法務類；法規法務類；隱私法務類，處理和隱私法規（如GDPR）；訴訟法務，以及學習及其他法務行政等。</p> </div></div></div>
5/13 15:36作者林妍溱https://www.ithome.com.tw/news/175766
Google DeepMind替AI時代重塑沿用60年的滑鼠游標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://deepmind.google/blog/ai-pointer/" target="_blank">Google DeepMind週二（5/12）宣布</a>，正在開發一款由AI驅動的新型智慧游標Magic Pointer。此一技術可望改變半個多世紀以來幾乎未曾演變的滑鼠互動方式，讓游標不僅能「看到」使用者指向的位置，更能理解其意圖與脈絡。此一全新的Magic Pointer功能將被整合至Chrome瀏覽器與<a href="https://www.ithome.com.tw/news/175763" target="_blank">Googlebook筆電</a>，現則可於Google AI Studio平臺上試用。</p> <p>Google DeepMind表示，現有AI工具多獨立於專屬視窗，使用者的操作繁瑣且會打斷工作流程。Magic Pointer的目標是讓AI主動融入所有應用程式，使用者無須「繞道」，只要指向、點選、說話，AI就能即時回應，維持工作連續性。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0513-mouse%20pointer-google%20deepmind-600.jpg" style="width: 600px;" /></p> <p>Magic Pointer採用Gemini模型，能自動捕捉游標周圍的視覺與語意脈絡，讓電腦看懂使用者指向的詞句、圖像局部或程式碼。它結合「指向+語音」的自然互動，將螢幕上的像素轉為可操作的實體，例如把照片中的手寫便條變成待辦清單。</p> <p>Gemini模型的多模態能力讓Magic Pointer得以即時解析螢幕上的視覺與文字資訊。系統會根據游標位置自動判斷使用者關注的目標類型，例如日期、地址、商品或人物，並在背景完成語意理解與回應準備，全程無需使用者撰寫任何提示詞。</p> <p>Magic Pointer的操作極為簡單，使用者只需將滑鼠游標移至目標上，無須點擊左鍵或右鍵，直接以語音說出需求即可。例如在Chrome中，游標指向產品圖片後說「跟頁面上其他類似產品比較」，系統即會自動分析；或是指向客廳照片說「把這個沙發放這裡」，即時合成模擬畫面。在Googlebook上，指向電子郵件日期說「建立行事曆」，或指向PDF說「摘要」，全程無需框選、打字或撰寫任何提示詞。</p> <p>首批搭載Magic Pointer的<a href="http://www.ithome.com.tw/news/175763" target="_blank">Googlebook預計於2026年秋季上市</a>，合作夥伴包括宏碁、華碩、戴爾、惠普與聯想等五大品牌。除了Googlebook，Google也正逐步將Magic Pointer導入Chrome瀏覽器，讓使用者無論在何種裝置上都能享受指向即互動的AI體驗。</p> </div></div></div>
5/13 15:47作者陳曉莉https://www.ithome.com.tw/news/175768
Ollama重大漏洞影響自架LLM部署，特製GGUF模型檔恐外洩提示詞與API金鑰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>自架大型語言模型工具Ollama出現重大漏洞，受影響版本為低於0.17.1的版本。美國國家漏洞資料庫（NVD）已收錄此漏洞為<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-7482">CVE-2026-7482</a></strong>，指出攻擊者可利用特製GGUF模型檔，讓Ollama在建立或量化模型時讀到超出原本資料範圍的記憶體內容，可能外洩環境變數、API金鑰、系統提示詞，以及同一程序中其他使用者的對話資料。</p> <p>Ollama常被開發者與企業用於自己的電腦或伺服器上執行大型語言模型，不必把資料送到雲端AI服務。而CVE-2026-7482漏洞和Ollama處理GGUF模型檔的方式有關，GGUF可理解為一種存放大型語言模型資料的檔案格式，裡面會記錄張量資料的位置、形狀與大小等資訊。</p> <p>根據NVD漏洞說明，攻擊者可製作張量形狀或大小宣告與實際資料長度不一致的GGUF檔，使Ollama在建立與量化模型時讀到超出原始模型資料範圍的記憶體，而多讀出的內容可能是同一程序中的其他資料，因此形成資訊外洩。</p> <p>資安業者Cyera將這項漏洞命名為<strong><a href="https://www.cyera.com/research/bleeding-llama-critical-unauthenticated-memory-leak-in-ollama">Bleeding Llama</a></strong>。Cyera研究人員指出，在可連線且未加上額外驗證的Ollama部署中，攻擊者可先上傳特製GGUF檔，再要求伺服器建立模型，最後透過/api/push把含有外洩記憶體內容的模型檔推送到攻擊者控制的伺服器或模型儲存庫。Cyera估計，全球約有30萬臺曝露於網際網路的Ollama伺服器可能受影響。</p> <p>Ollama上游發行版本的/api/create與/api/push介面沒有內建身分驗證機制。不過，NVD與Ollama官方FAQ都指出，Ollama預設綁定在127.0.0.1:11434，並非一啟動就對外公開，因此風險較高的反而是管理者為了遠端使用或系統整合，透過OLLAMA_HOST=0.0.0.0等設定讓服務可從外部網路連線，卻沒有另行加上防火牆、反向代理驗證或其他存取限制的部署。</p> <p>Ollama已在0.17.1版修補該問題。使用者應確認目前執行版本是否低於0.17.1，並優先升級到新版。若曾把Ollama服務開放給內部網路或網際網路使用，也應檢查連線來源、模型建立紀錄與金鑰使用情況，必要時更換可能外洩的API金鑰與其他敏感設定。</p> </div></div></div>
5/13 15:59作者李建興https://www.ithome.com.tw/news/175764
【臺灣資安大會直擊】元智大學王仁甫：AI代理與開源模型正重塑資安風險，企業需建立制度化、自動化的漏洞治理與AI責任機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>隨著生成式AI與代理型AI（Agentic AI）快速普及，企業正面臨全新的資安挑戰。元智大學資管系助理教授王仁甫指出，AI不只是工具，本身也是一套系統，而所有系統都存在漏洞。當AI開始具備自主操作、存取資料與呼叫API能力後，資安風險將從傳統系統漏洞，擴大到AI代理、開源模型與供應鏈層級。</p> <p>他認為，企業除了關心導入AI所帶來的效率提升之外，也不能輕忽AI帶來的資安風險，包括AI讓漏洞生成、攻擊自動化與惡意程式演化速度全面加快。</p> <p><span style="color:#B22222;"><strong>AI讓漏洞與惡意程式生成速度大幅提升</strong></span></p> <p>他引用微軟數位防禦報告指出，AI已開始被駭客大量應用於惡意程式生成與自動化攻擊。目前每年新增漏洞數量已接近5萬個，惡意程式樣本一年新增約30萬種，全球累積病毒數量更已達13億隻。「未來病毒將會比人類還多」。</p> <p>他指出，過去駭客需要花費大量時間撰寫攻擊程式，但AI出現後，漏洞利用與攻擊工具生成速度明顯加快，「病毒開始有大腦」，甚至能自動判斷受害主機的防護環境，再決定如何繞過偵測。</p> <p>AI也正在改變資安人才需求結構。過去大量企業投入AI模型開發，但隨著AI系統越來越複雜，資安工程師需求正在快速上升，因為AI本身也需要被保護。</p> <p><strong><span style="color:#B22222;">代理AI與開源模型成為新的攻擊面</span></strong></p> <p>現在獲得較多關注的代理型AI也帶來的新風險。</p> <p>王仁甫指出，未來AI不只是聊天工具，而是能主動執行任務、呼叫外部API、讀取資料與操作系統的代理程式。當企業大量導入AI代理後，將使得攻擊面也同步擴大。</p> <p>他提到，包含大型語言模型（LLM）、開源AI模型、外部API、AI Plugin、RAG架構等等，都可能成為供應鏈攻擊入口。</p> <p><img alt="" src="/sites/default/files/images/%E6%88%AA%E5%9C%96%202026-05-13%20%E4%B8%8B%E5%8D%883_59_01.jpeg" style="width: 600px; height: 413px;" /></p> <p>其中開源模型面臨的風險更高。他表示，只要是Open Source，就可能存在漏洞或後門，甚至可能在模型微調（Fine-tuning）或套件更新時被植入惡意程式。</p> <p>OWASP近幾年已將AI代理風險列入重要議題，包括Prompt Injection、API安全、權限濫用、Agent越權操作、第三方模型驗證等等，這些都已成為企業AI治理的重要課題。</p> <p><img alt="" src="/sites/default/files/images/%E6%88%AA%E5%9C%96%202026-05-13%20%E4%B8%8B%E5%8D%883_53_09.jpeg" style="width: 600px; height: 405px;" /></p> <p><strong><span style="color:#B22222;">高風險漏洞的利用時間正在急速縮短</span></strong></p> <p>除了AI本身風險，王仁甫也指出，漏洞被利用的速度正在急速縮短。</p> <p>他表示，目前高風險漏洞平均128天內就可能遭到大量利用，且約3至4成的高風險漏洞很快就會出現攻擊程式。以CISA的KEV（Known Exploited Vulnerabilities）漏洞名單，幾乎都是已遭實際攻擊利用的重大漏洞。</p> <p>他認為，過去企業「延後修補」的策略已不再適用，未來漏洞治理必須向自動化與即時化發展，包括弱點掃描、Open Source元件盤點、自動化修補、AI供應鏈治理、API安全管理，都會成為企業必要能力。</p> <p><span style="color:#B22222;"><strong>歐盟CRA與AI Act提高企業的資安責任</strong></span></p> <p><img alt="" src="/sites/default/files/images/%E6%88%AA%E5%9C%96%202026-05-13%20%E4%B8%8B%E5%8D%884_00_41.jpeg" style="width: 600px; height: 412px;" /></p> <p>在法遵方面，王仁甫分析近年歐盟AI法案與資安法規發展，如歐盟AI Act、Cyber Resilience Act（CRA），其中CRA已正式實施，未來包含AI軟體、IoT設備與數位產品，都將受到更嚴格監管，例如高風險產品需第三方驗證、漏洞需強制通報、安全事件的揭露、軟體供應鏈需可追溯。</p> <p>他指出，CRA對開源軟體帶來巨大衝擊。過去開源開發者多半不需承擔產品責任，但未來若開源套件出現漏洞，可能也需負擔通報與安全義務。他認為，這可能改變整個Open Source生態與AI產業模式。</p> <p>歐盟AI Act建立高風險AI分類制度，對於資料、模型透明度、即時監控、安全性、風險管理都提出具體的要求，相較之下，王仁甫認為臺灣的AI治理制度相對鬆散，對於AI漏洞通報、高風險AI監管與供應鏈治理規範仍顯不足，臺灣的企業若未來要進入歐盟市場，需要提早建立符合國際規範的AI治理能力。</p> <p><strong><span style="color:#B22222;">未來AI治理的4大核心方向</span></strong></p> <p>王仁甫歸納AI治理歸的4大核心方向，分別是資料品質與完整性、AI透明性與可稽核性、偏誤與公平性控制、責任歸屬。</p> <p>他強調，企業未來不能只是「導入AI」，還必須建立完整的AI治理與資安管理機制，包括資料保護、權限控管、模型來源驗證，以及AI決策可追溯能力。如果做不到這些，AI帶來的風險可能將超過其帶來的效率與效益。</p> </div></div></div>
5/13 16:01作者蘇文彬https://www.ithome.com.tw/news/175767
Google更新Android安全與隱私功能，攔截假冒銀行來電並升級AI惡意App偵測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://blog.google/security/whats-new-in-android-security-privacy-2026/" target="_blank">Google週二（5/12）公布</a>Android安全與隱私功能更新，將導入假冒銀行來電攔截、惡意App即時行為偵測、APK下載前掃描、手機竊盜防護，以及更細緻的位置與聯絡人權限控制，主軸是以AI與可驗證機制強化Android裝置安全。</p> <p>其中，Google將推出已驗證金融來電（Verified Financial Calls），用來防範詐騙者偽造來電顯示、假冒銀行或金融機構。若使用者已安裝參與合作的銀行或金融App並登入，Android會在背景向該App確認來電真偽；若App確認銀行並未撥出該通電話，系統就會自動結束通話。銀行也可標記不會主動外撥的客服號碼，若詐騙者冒用這類號碼來電，Android會自動攔截。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0513-Android%20Security-600.png" style="width: 410px;" /></p> <p>Google表示，該功能將於未來幾週先在Android 11以上裝置推出，首波合作對象包括Revolut、Itaú與Nubank，今年稍晚再擴大至更多銀行與金融機構。</p> <p>不過，這項功能並非適用所有銀行來電。除了金融機構必須支援之外，使用者也必須安裝並登入該銀行App，Android才能在背景驗證來電真偽。因此，已驗證金融來電目前比較像是特定銀行與Android之間的防詐合作機制，而不是全面性的來電防詐系統。</p> <p>Google將升級既有的Live Threat Detection，新增針對簡訊轉發、無障礙覆蓋等可疑行為的警告。Android 17並將導入Dynamic Signal Monitoring，以即時監控App與系統的互動模式，可偵測變更圖示、從背景啟動、濫用輔助使用權限等惡意行為，還能動態推送新規則以應對新興威脅，預計於今年下半年上線。</p> <p>Android 17強化了防盜保護（Theft Protection）功能，允許使用者以生物辨識鎖定遺失裝置。即使小偷知道螢幕密碼，也無法關閉追蹤或重新存取手機。IMEI碼可直接顯示於鎖定畫面，方便拾獲者或執法單位辨識裝置並協助歸還。</p> <p>在隱私控制上，Android 17新增暫時位置權限（Temporary Location Access），使用者僅在特定App開啟時分享精確位置，關閉App後權限自動失效。另有聯絡人選擇器（Contact picker），當App需要聯絡人資訊時，系統會跳出選單，以手動勾選要分享哪一筆資料，而非交出整本通訊錄。</p> <p>其它Android 17新增的安全功能還包括OS驗證（Android OS verification）功能，能主動告知用戶裝置是否執行官方正式韌體；可因應未來量子計算威脅的後量子密碼（Post-Quantum Cryptography）；預設關閉2G網路以阻斷老舊協定漏洞；並會自動隱藏OTP驗證碼簡訊三小時，防止惡意App偷取，全面強化傳輸與認證安全。</p> </div></div></div>
5/13 16:15作者陳曉莉https://www.ithome.com.tw/news/175772
Claude瀏覽器延伸套件存在設計缺陷，攻擊者恐透過惡意套件挾持AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>AI資安公司LayerX指出，他們在Claude的Chrome延伸套件功能（Claude in Chrome）<strong><a href="https://layerxsecurity.com/blog/a-flaw-in-claudes-browser-extension-allows-any-extension-to-hijack-it/">發現資安弱點</a></strong>，使得其他延伸套件在無須取得特殊權限的情況下，可注入惡意指令並挾持Claude in Chrome的功能，擷取攻擊者想要的任何資料，並讓Claude的代理程式執行攻擊者指定的操作或任意指令。值得留意的是，4月27日LayerX向Anthropic通報，並獲得確認，Anthropic表示將發布新版延伸套件進行修補，然而在5月6日套件1.0.70版更新發布後，LayerX發現Anthropic修補不完整，且未徹底解決漏洞根本原因，使得他們找到的弱點仍舊能夠利用。對此，他們呼籲用戶應採取行動降低風險，像是引入延伸套件對頁面（extension-to-page）的身分驗證權杖（token）、限縮externally_connectable受信任的延伸套件名單內容等。</p> <p>針對這項弱點發生的原因，LayerX指出源自延伸套件程式碼的其中一條指令，功能是允許在瀏覽器執行的指令碼與Claude的大型語言模型（LLM）進行通訊，但由於沒有驗證執行指令碼的來源，因此，安裝在瀏覽器的任何延伸套件都能在沒有特殊權限的狀態下，向Claude in Chrome發出指令。此缺陷凸顯了許多AI工具面臨的根本問題，這些AI廠商過度擴展信任界限，忽視了基礎安全考量，為不法分子留下可利用的管道。LayerX將他們發現的漏洞命名為ClaudeBleed，目前該漏洞尚無CVE編號。</p> <p>究竟駭客能如何利用ClaudeBleed？LayerX指出，攻擊者可引誘使用者安裝零權限（zero-permission）的惡意延伸套件，然後在claude.ai注入指令碼，藉此對Claude in Chrome發送訊息，導致該套件觸發執行任意提示的現象，接著，攻擊者可透過審核迴圈來確認繞過使用者確認流程，並操縱DOM元件改變Claude的感知，最終能夠執行敏感的跨網站操作，過程完全不需要任何額外權限、無須使用者互動，也不需使用漏洞鏈。</p> </div></div></div>
5/13 12:35作者周峻佑https://www.ithome.com.tw/news/175761
Google發表以Gemini Intelligence為核心的全新筆電Googlebook
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>繼15年前推出Chromebook之後，<a href="https://blog.google/products-and-platforms/platforms/android/meet-googlebook/" target="_blank">Google本周二（5/12）正式發表全新筆電Googlebook</a>。有別於Chromebook以雲端為核心的設計理念，Googlebook從硬體到軟體全面以Gemini Intelligence為出發點，打造更個人化、更主動的AI筆電體驗。Google將與Acer、ASUS、Dell、HP及Lenovo等品牌合作推出首批Googlebook，預計於今年秋季正式上市。</p> <p><a href="https://googlebook.google/" target="_blank">Googlebook</a>搭載以Android技術為基礎的全新平臺，融合ChromeOS的瀏覽器優勢，其內部代號為Aluminium OS，正式名稱尚未出爐。它原生支援Google Play上的Android應用程式，並從底層深度整合Gemini智慧功能。這套系統的目標是讓筆電與Android手機無縫協作，使用者可直接在筆電上操作手機App或存取檔案，帶來統一的生態體驗。</p> <p>Googlebook內建名為Magic Pointer的全新游標功能。傳統游標只是一個箭頭，需要使用者自行點擊右鍵尋找選項；而Magic Pointer會主動判斷螢幕上的內容，自動提供建議。例如當使用者將游標指向電子郵件中的日期，系統會自動詢問是否要建立行事曆活動；若同時選取客廳照片與一張沙發圖片，游標能即時將兩者合成，讓使用者直接看見沙發擺放在家中的實際模樣。</p> <p>Googlebook也具備Create your Widget功能，使用者只要輸入簡單指令，例如「幫我把柏林旅行的所有資訊整理在桌面」，Gemini就會自動從網路、Gmail或日曆中找出航班、飯店、餐廳預訂及倒數計時，全部整理成一個小工具放在桌面上，無須手動設定。</p> <p>新筆電的其它功能還包括可讓使用者直接從筆電瀏覽Android手機檔案的Quick Access，以及能夠於筆電上操作手機程式的Cast my apps。</p> <p>首批Googlebook預計於今年秋天問世，Google目前尚未公布定價策略。相較於入門價百餘美元起跳的Chromebook，Googlebook強調高端工藝與頂級品牌合作，外界預期售價將高出許多。</p> </div></div></div>
5/13 13:54作者陳曉莉https://www.ithome.com.tw/news/175763
SAP公開自主企業布局，推動AI代理進入核心業務流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>SAP<strong><a href="https://news.sap.com/2026/05/sap-sapphire-sap-unveils-autonomous-enterprise/">發表</a><a href="https://www.sap.com/products/business-suite.html">自主企業（Autonomous Enterprise）</a></strong>布局，將企業AI產品分為平臺、應用套件與使用者體驗三個層次，分別對應SAP Business AI Platform、SAP Autonomous Suite與Joule Work，目標是讓AI代理進入核心業務流程。該發表也擴大Joule的角色，使其成為使用者以業務結果啟動流程、資料與AI代理的企業軟體操作入口。</p> <p>SAP Business AI Platform整合SAP Business Technology Platform、SAP Business Data Cloud與SAP Business AI，形成單一受治理環境。其核心元件SAP Knowledge Graph負責建立企業實體、流程與關係的結構化脈絡，讓AI代理能理解客戶SAP環境中的業務關聯，而不只是依文字提示回應使用者。SAP也提出Joule Studio，供開發者建立企業代理、應用程式與代理式工作流程。</p> <p>SAP也推出SAP Autonomous Suite，為既有SAP商業應用程式加入AI代理能力，使其可執行端到端流程。SAP表示，該方案將部署超過50個特定領域的Joule Assistants，涵蓋財務、供應鏈、採購、人力資源與客戶體驗，並由超過200個專門代理負責較細的任務。</p> <p>SAP還發表Joule Work，這是SAP把Joule推向企業AI操作入口的設計，讓使用者以任務或業務結果為中心操作SAP與非SAP系統，後端則由SAP的資料脈絡、工作流程與AI代理負責執行。依SAP規畫，Joule Work將支援桌面、行動與語音介面，並可跨SAP與非SAP系統運作。</p> <p>SAP也提出導入配套，包括設立1億歐元基金，協助其合作夥伴替客戶部署或擴充SAP的AI助理與代理。SAP另稱，新代理導向轉型工具可透過系統分析、程式碼修正、組態與測試自動化，讓企業將ERP搬遷至雲端時所需的轉換工作減少超過35%。</p> <p>合作方面，SAP也擴大與模型、雲端、資料與導入服務業者的合作，涵蓋Anthropic、AWS、Google Cloud、Microsoft、Mistral AI、Cohere、Nvidia、Palantir與Accenture等夥伴，支援基礎模型、資料整合、代理互通、安全執行環境與雲端ERP搬遷等需求。</p> </div></div></div>
5/13 13:55作者李建興https://www.ithome.com.tw/news/175760
Adobe針對10款應用系統發布5月更新，呼籲用戶應優先對電商平臺進行處理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Adobe於5月12日發布本月例行更新，修補10款應用程式及系統的資安漏洞，弱點數量總共有52個，與<strong><a href="https://www.ithome.com.tw/news/175076">上個月55個</a></strong>相當接近。本次修補的範圍，涵蓋Premiere Pro、After Effects、Illustrator，以及Adobe Commerce（Magento）等常見應用程式。其中值得留意的是，Adobe這次將<strong><a href="https://helpx.adobe.com/security/products/magento/apsb26-49.html">電子商務平臺軟體Adobe Commerce</a></strong>評為修補優先層級第二（Priority 2）的產品，呼籲用戶應儘速處理。</p> <p>值得留意的是，漏洞修補數量最多的產品也是Adobe Commerce。這次Adobe一共為該平臺修補15個漏洞，其中有10個被評為重大等級，這些漏洞又以阻斷服務（DoS）類型的最多，其次是安全功能繞過漏洞，其餘漏洞可能則被用於執行任意程式碼，或是寫入任何檔案。修補漏洞數量第二多的是<strong><a href="https://helpx.adobe.com/security/products/content-authenticity-sdk/apsb26-53.html">Content Authenticity SDK</a></strong>，共有14個漏洞，1個為重大等級、13個為重要（Important）等級。</p> <p>從CVSS風險評分來看，最危險的漏洞出現在<strong><a href="https://helpx.adobe.com/security/products/connect/apsb26-50.html">Adobe Connect</a></strong>，這次該公司共修補2個漏洞CVE-2026-34659、CVE-2026-34660，皆為重大等級，風險值分別為9.6、9.3。</p> </div></div></div>
5/13 10:04作者周峻佑https://www.ithome.com.tw/news/175748
蘋果針對旗下電腦、行動裝置、穿戴裝置發布作業系統26.5版更新，並為更多行動裝置修補通知服務漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>5月11日蘋果發布<strong><a href="https://support.apple.com/en-us/127110">iOS 26.5與iPadOS 26.5</a></strong>、<strong><a href="https://support.apple.com/en-us/127115">macOS Tahoe 26.5</a></strong>、<strong><a href="https://support.apple.com/en-us/127118">tvOS 26.5</a></strong>、<strong><a href="https://support.apple.com/en-us/127119">watchOS 26.5</a></strong>、<strong><a href="https://support.apple.com/en-us/127120">visionOS 26.5</a></strong>等一系列更新，修補旗下的行動裝置、電腦、電視盒、智慧手錶，以及混合實境（MR）裝置的資安漏洞，從弱點數量來看，macOS修補的漏洞最多，共有79個，iOS與iPadOS有61個居次，至於tvOS、watchOS與visionOS，分別修補了46、43、48個漏洞。</p> <p>這次蘋果也為舊版行動裝置與電腦發布更新，其中最受到關注的地方，就是先前為iOS 18與iOS 26用戶修補的<strong><a href="https://www.ithome.com.tw/news/175259">通知服務漏洞CVE-2026-28950</a></strong>，這次他們發布了<strong><a href="https://support.apple.com/en-us/127112">iPadOS 17.7.11</a></strong>、<strong><a href="https://support.apple.com/en-us/127113">iOS 16.7.16與iPadOS 16.7.16</a></strong>、<strong><a href="https://support.apple.com/en-us/127114">iOS 15.8.8與iPadOS 15.8.8</a>，為更多裝置修補這項弱點。此問題涉及</strong>被標記為刪除的通知訊息內容，可能會意外地保留在裝置裡，<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-28950">CVSS風險評為6.2分</a></strong>。</p> </div></div></div>
5/13 11:25作者周峻佑https://www.ithome.com.tw/news/175755
Google揭露Gemini Intelligence品牌，將Gemini深度整合至Android裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google週二（5/12）舉辦了<a href="https://blog.google/products-and-platforms/platforms/android/android-show-io-edition-2026/" target="_blank">The Android Show: I/O Edition 2026</a>，公布Android生態的各項新功能，也替預計於下週舉行的Google I/O熱身，本週先行宣布了全新的Gemini Intelligence品牌，全新的AI筆電Googlebook，更新了Android安全功能，以及Google DeepMind所研究的、適用於AI時代的游標功能。</p> <p>如同<a href="https://www.apple.com/tw/apple-intelligence/" target="_blank">蘋果</a>對Apple Intelligence的定位，<a href="https://blog.google/products-and-platforms/platforms/android/gemini-intelligence/" target="_blank">Gemini Intelligence</a>也是把生成式AI定位為作業系統層級AI能力，將Gemini擺進Android、Chrome、Googlebook、車載、穿戴與眼鏡，讓AI可跨App理解畫面與代辦任務，並自今年夏天起分階段推出。</p> <p>率先導入Gemini Intelligence的裝置包括最新的三星Galaxy與Google Pixel手機，今年稍晚即會擴展至其它Android裝置，涵蓋智慧手錶、汽車、眼鏡及筆電。</p> <p>Gemini Intelligence的主要任務是協助使用者自動化繁瑣的任務，它並非單一AI App，而是把Gemini的代理人能力整合到Android裝置層，讓AI自然滲入瀏覽、輸入、填表、App操作與小工具等日常使用情境中。使用者未必會清楚感覺自己正在啟用AI，而是會感受到裝置更能理解脈絡並主動完成任務。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0513-Gemini%20Intelligence-600(1).png" style="width: 600px;" /></p> <p>例如協助使用者預訂健身課程的座位，於Gmail中找到課程大綱，將所需要的教材添加至購物車。或是看懂手機畫面或圖片上的內容，並替使用者執行跨App動作，例如在筆記App中有一長串的購物清單時，使用者只需長按電源鍵，就能叫Gemini把清單上的物品全部加入外送購物車。也能在看到一個有趣的旅遊傳單時，直接拍照並請Gemini尋找「適合6人的類似旅行團」。</p> <p>從6月底起，Android版Chrome將導入Gemini瀏覽助理，可協助使用者研究、摘要與比較網頁內容，並透過Chrome自動瀏覽功能代為處理預約、保留停車位等瑣事。</p> <p>結合Gemini的自動填充功能，則可協助使用者於行動裝置上自動填寫複雜的表格。Android上的Gboard原已支援語音轉文字，但Google指出，口語常有停頓、重複與修正，未必適合直接變成書面訊息；因此Gemini Intelligence新增Rambler功能，可在使用者自然說話後，自動擷取重點並整理成精簡文字，也支援多語言混用，讓訊息更流暢。</p> <p>Gemini Intelligence也支援自訂小工具Create My Widget，使用者只要以自然語言描述需求，就能產生個人化小工具。例如要求每週推薦3道高蛋白備餐食譜，或建立只顯示風速與降雨機率的天氣小工具，並可放到Android主畫面或Wear OS手錶上。</p> </div></div></div>
5/13 11:28作者陳曉莉https://www.ithome.com.tw/news/175756
Best Western Hotel遭駭訂房資料外洩長達6個月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>知名飯店集團貝斯特韋斯特（Best Western Hotel，BWH）本週通知客戶，去年10月發生資安事件，致使住客預約資料遭駭客存取。</p> <p>BWH總部位於亞利桑納州，全世界80多個國家與地區有4200多家飯店經特許方式加入以Best Western營運，旗下有Best Western Hotels & Resorts、WorldHotels、Sure Hotels等其他品牌。</p> <p><a href="https://www.reddit.com/r/bestwestern/comments/1t7dg8d/security_breach_of_bwh_booking_portal/" target="_blank">BWH本週發送電子郵件告知資料外洩事件</a>。該公司在今年4月22日發現儲存特定客戶預約資料的網頁應用有非授權活動。該公司立即將網頁應用下線，註銷駭客的存取權，並偕同外部資安業者回應、強化安全並啟動調查。</p> <p>根據調查，攻擊者存取了部份客戶資料，包括姓名、電子郵件信箱、電話號碼、住家地址及其他訂房資料（如訂單編號、住房日期和特殊要求）。存取資料期間涵括2025年10月14日到2026年4月22日。但飯店方表示，客戶的支付及其他財務資料未受影響，同時也呼籲客戶小心來路不明的郵件和訊息。</p> <p>BWH似乎尚未向官方報告資訊外洩事件，故受影響人數不得而知。但半年來應該已有用戶因資料外洩受害。早在今年二月<a href="https://www.reddit.com/r/Scams/comments/1rfflye/uk_best_western_hotels_phishing_scam/" target="_blank">有英國用戶接到</a>冒充Best Western Hotels的釣魚信件，信中提供了用戶全名、訂房編號和入住/退房期間。</p> <p>上個月知名訂房網站<a href="https://www.theregister.com/security/2026/05/11/best-western-hotels-confirms-web-app-data-breach/5238020" target="_blank">Booking.com也被駭</a>，導致客戶個資外洩。</p> </div></div></div>
5/13 11:43作者林妍溱https://www.ithome.com.tw/news/175757
SAP修補S/4HANA與Commerce Cloud重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>5月12日SAP<strong><a href="https://support.sap.com/en/my-support/knowledge-base/security-notes-news/may-2026.html">發布本月例行更新（Security Patch Day）</a></strong>，修補15個資安漏洞，其中有兩項被評為重大等級，特別值得留意。</p> <p>這些漏洞是CVE-2026-34260與CVE-2026-34263，兩者的CVSS風險評分皆為9.6（滿分10分）。其中，<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-34260">CVE-2026-34260</a></strong>存在於SAP S/4HANA（SAP Enterprise Search for ABAP），為SQL注入漏洞，未經身分驗證的攻擊者可透過使用者控制的輸入，注入惡意的SQL指令（SQL Statement），此時該應用程式就會將惡意輸入串接成SQL查詢，並在未經適當驗證與處理的情況下，傳送至底層資料庫。一旦成功利用，攻擊者就有機會存取資料庫敏感資訊，或是導致S/4HANA當機，嚴重影響此應用程式的機密性與可用性。</p> <p>另一個重大漏洞<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-34263">CVE-2026-34263</a></strong>影響Commerce Cloud，起因是Spring Security元件的配置不當，未經身分驗證的攻擊者能上傳惡意組態及注入程式碼，導致任意程式碼執行，嚴重影響機密性、可用性與完整性。</p> </div></div></div>
5/13 08:49作者周峻佑https://www.ithome.com.tw/news/175744
微軟發布5月份例行更新，修補137個資安漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟於5月12日發布<strong><a href="https://msrc.microsoft.com/update-guide/releaseNote/2026-May">本月例行更新（Patch Tuesday）</a></strong>，總共公開137個由該公司登記CVE編號的漏洞，數量較<strong><a href="https://www.ithome.com.tw/news/175055">上個月</a></strong>的165個有所減少。若是加上該公司修補的第三方元件漏洞，總數將達到265個。</p> <p>值得留意的是，這些漏洞當中，有13個微軟認為很有可能會成為駭客利用的目標，較為值得留意。其中權限提升類型的漏洞占大多數，包括CVE-2026-33835<strong>、</strong>CVE-2026-33837、CVE-2026-33840、CVE-2026-33841<strong>、</strong>CVE-2026-35416、CVE-2026-35417、CVE-2026-35435、CVE-2026-40369、CVE-2026-40397、CVE-2026-40398、CVE-2026-41103，影響Windows的Cloud Files Mini Filter Driver、TCP/IP、Windows Win32k（Windows核心模式驅動程式）、Ancillary Function Driver for WinSock、通用事件記錄檔案（CLFS）驅動程式、遠端桌面服務、Azure AI Foundry，以及用於Jira與Confluence的微軟單一登入（SSO）外掛程式。另外兩個是Word遠端程式碼執行漏洞CVE-2026-40361、CVE-2026-40364。</p> <p>上述很可能會遭到利用的漏洞當中，有4項被評為重大等級，這些漏洞是CVE-2026-35435、CVE-2026-40361、CVE-2026-40364、CVE-2026-41103。根據CVSS風險評分，最危險的是CVE-2026-41103，出現在用於Jira與Confluence的微軟單一登入（SSO）外掛程式，風險值為9.1。</p> <p> </p> </div></div></div>
5/13 09:54作者周峻佑https://www.ithome.com.tw/news/175747
Fortinet修補FortiSandbox、FortiAuthenticator重大RCE漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>防火牆業者Fortinet本週發布軟體更新，分別修補旗下產品FortiSandbox和FortiAuthenticator的遠端程式碼執行（RCE）漏洞。</p> <p>在FortiSandbox方面，最新漏洞是<a href="https://www.fortiguard.com/psirt/FG-IR-26-136" target="_blank">CVE-2026-26083</a>，影響FortiSandbox、FortiSandbox Cloud及FortiSandbox PaaS，為一不當的全域授權（global authorization）漏洞。攻擊者可藉由發送HTTP請求在這些裝置上執行未授權程式碼或指令。受影響產品為FortiSandbox 4.4/5.0、FortiSandbox Cloud 5.0、23、24、FortiSandbox PaaS 23.1/23.3/23.4、22.1/22.2、21.3/21.4及FortiSandbox PaaS 4.4/5.0。</p> <p><a href="https://fortiguard.fortinet.com/psirt/FG-IR-26-128" target="_blank">FortiAuthenticator</a>方面，則為API端點存取控制不當漏洞CVE-2026-44277，該漏洞可讓未經驗證的攻擊者經由發送變造請求，執行未授權的程式碼或指令。受影響產品為FortiAuthenticator 6.5、6.6、8.0.0/8.0.2</p> <p>CVE-2026-26083為Fortinet產品安全團隊發現。CVE-2026-44277也是Fortinet內部稽核中發現。兩漏洞風險值皆高達9.1。Fortinet未說明是否有漏洞濫用現象。</p> <p>Fortinet已發布最新軟體版本，呼籲用戶儘速更新。最新漏洞不影響FortiAuthenticator Cloud，用戶無需動作。</p> </div></div></div>
5/13 10:32作者林妍溱https://www.ithome.com.tw/news/175749
勒索軟體組織Nitrogen疑似駭入鴻海取得8TB、上千萬份檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>媒體報導，鴻海本月稍早遭勒索軟體組織Nitrogen攻擊，被駭客竊走高達8TB、1100萬份生產及客戶檔案。</p> <p><a href="https://cybernews.com/security/foxconn-data-breach-apple-nvidia-partner/" target="_blank">Cybernews</a>首先報導，在5月初美國廠區發生嚴重IT問題後，勒索軟體Nitrogen操作者本週在其暗網網站將鴻海列為受害者。駭客宣稱取得的檔案包括英特爾、蘋果、戴爾電腦（Dell）、Nvidia的機密指令、專案和設計草圖，以及其他眾多檔案。</p> <p>駭客並公佈檔案擷圖以證明所言。擷圖分析顯示，當中包含硬體元件描述、工程結構圖、投資文件和財務作業文件部分。公開的元件描述檔案顯示是為Google生產的產品，但無法證實有和蘋果、戴爾或Nvidia相關的文件。</p> <p>巧合的是，兩週前鴻海位於美國威斯康辛州芒特普萊特山（Mount Pleasant）的園區發生網路斷線事件。事件發生於5月1日凌晨，園區產線無法運作，報導引述員工說，所有產線都被迫停工。而辦公室員工也無法連網，被要求使用個人行動熱點來上網工作。事件持續到5月第一個週末。</p> <p><a href="https://www.tmj4.com/news/local-news/in-your-community/racine-county/network-outage-halts-production-impacting-workers-at-foxconns-mount-pleasant-campus" target="_blank">鴻海向媒體證實</a>美國園區發生「IT網路問題」。鴻海已立即啟動應變措施確保產線持續、訂單交付以及資料安全。鴻海當時表示IT系統陸續恢復，產線整體運作也維持穩定。</p> <p>不確定鴻海美國廠區停止運作和資料外洩事件的關聯性，但IT大規模斷線通常和勒索軟體有關。去年秋天英國車廠<a href="https://www.ithome.com.tw/news/171866" target="_blank">Jaguar Land Rover疑似遭勒索軟體攻擊</a>，造成二座工廠停工長達一個月。</p> <p><a href="https://blog.barracuda.com/2025/11/07/nitrogen-ransomware--from-staged-loader-to-full-scale-extortion" target="_blank">資安廠商相信</a>Nitrogen崛起於2023年，以施行雙重勒索（double-extortion）聞名。它會先加密受害者電腦檔案，竊取資訊來勒索受害者。若受害者不願支付贖金，就威脅公開資料以逼迫受害者就範。該組織攻擊對象涵括金融、製造、或專業服務業，但其成員身分、活動區域，及和其他組織的關係則眾說紛耘，有人認為和BlackCat/ALPHV有關。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 編按 </span></strong></span> <span style="color:#696969;">5月12日晚上，鴻海公司在公開資訊觀測站發布重訊，提供有關集團北美部分廠區遭網路攻擊說明，指出資安團隊已啟動應變機制，目前受影響廠區之生產營運均維持正常。</span></p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0513-%E9%B4%BB%E6%B5%B7%E9%87%8D%E8%A8%8A_0512.png" style="width: 600px;" /></p> </div></div></div>
5/13 09:38作者林妍溱https://www.ithome.com.tw/news/175745
Salesforce推出Agentforce Operations，以AI代理自動化企業後臺流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>企業軟體與CRM服務業者<a href="https://www.salesforce.com/news/stories/agentforce-operations-announcement/" target="_blank">Salesforce推出Agentforce Operations</a>，將AI代理從客戶與員工體驗等前臺互動，進一步延伸到支撐企業營運的後臺流程。這項產品主打以專業的AI代理處理手動、重複性任務，<wbr></wbr>包括流程協調、資料驗證、合規檢查、核准追蹤，<wbr></wbr>以及跨系統資料處理。</p> <p>Salesforce指出，許多企業雖已改善前端使用體驗，但後臺仍仰賴人員在不同系統之間切換、複製資料到試算表，或透過電子郵件追蹤進度，使原本數小時可完成的作業拖延至數天甚至數週。該公司宣稱，Agentforce Operations可讓稽核、入職等流程週期時間縮短50%至70%，手動資料輸入減少80%。</p> <p>這項產品與Salesforce先前收購企業流程自動化業者Re<wbr></wbr>grello有關，因為它建立在該公司的技術基礎之上。Agentforce Operations可跨電子郵件、ERP與其他業務系統執行任務，並預計6月支援Slack與Microsoft Teams等協作工具，不只是把工作分派給人員，而是讓AI代理在特定規則與流程藍圖下完成工作。</p> <p>在應用情境上，Salesforce舉例指出，製造商可用AI代理協調訂單履約，檢查庫存、管理核准並安排現場安裝；銀行可用於核貸流程，擷取報稅資料、追蹤缺漏簽名，並依照法規遵循要求驗證資料；保險業則可用於理賠受理與驗證，加速彙整完整案件資料。而在IT服務情境中，AI代理也可協調多個代理，完成身分驗證、權限確認與第三方應用程式存取權限開通。</p> <p>為降低企業導入門檻，Agentforce Operations提供流程藍圖功能，可將非結構化文件或流程圖轉換為數位藍圖，也提供超過30個現成藍圖，涵蓋發票稽核、入職與採購訂單重新排程等常見工作。Salesforce也強調，每項AI行動都會記錄並對應回流程藍圖，形成稽核軌跡，讓IT與業務團隊可追蹤代理行為。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0513-Agentforce%20Operations-blueprints_2.png" style="width: 600px;" /></p> <p>不過，導入AI代理並不代表企業可直接把所有流程交給AI。<a href="https://venturebeat.com/orchestration/salesforce-launches-agentforce-operations-to-fix-the-workflows-breaking-enterprise-ai" target="_blank">VentureBeat</a>報導指出，若企業原本流程設計不完整或過度依賴人員經驗，AI代理依循這樣的架構執行時，可能放大既有問題，因此企業仍需重新檢視流程設計、明確責任歸屬與治理機制。 </p> </div></div></div>
5/13 09:56作者王珮瑤https://www.ithome.com.tw/news/175746
微軟警告Dirty Frag出現疑似遭到利用的跡象
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>5月8日資安研究人員Hyunwoo Kim<strong><a href="https://www.ithome.com.tw/news/175646">公開資安漏洞Dirty Frag</a></strong>，此漏洞存在於Linux核心，為本機權限提升（LPE）弱點，攻擊者有機會透過低權限帳號取得root權限，而且，漏洞的影響範圍<strong><a href="https://www.ithome.com.tw/news/175672">涵蓋至少6種Linux發行版</a></strong>，這樣的特性，讓人很容易想到<strong><a href="https://www.ithome.com.tw/tags/copy-fail">4月底公布的Copy Fail（CVE-2026-31431）</a></strong>，因此也有研究人員將Dirty Frag稱為Copy Fail 2。值得留意的是，雖然Kim揭露此事的時候指出，網路上有人已公布概念驗證（PoC）程式碼，不過，微軟透露，他們發現疑似有實際利用的情形。</p> <p>微軟在同一天<strong><a href="https://www.microsoft.com/en-us/security/blog/2026/05/08/active-attack-dirty-frag-linux-vulnerability-expands-post-compromise-risk/">發布部落格文章</a></strong>指出，他們看到與su有關的權限提升活動，過程裡可能使用了Dirty Frag或Copy Fail。駭客先建立外部SSH連線，並產生互動式的Shell，接著他們執行ELF二進位檔案，隨即透過su進行權限提升。在成功取得權限後，駭客竄改與GLPI LDAP身分驗證有關的特定檔案，並針對GLPI與系統組態進行偵察，然後檢查存在漏洞的指定檔案。</p> <p>接著，駭客會試圖存取機敏資料，並與PHP連線階段（session）進行互動，先刪除及抹除部分連線階段檔案，再存取剩下的內容。微軟強調，雖然Dirty Fail與Copy Fail存在共通點，都是操縱Linux分頁快取的行為進行提權，但Dirty Fail引入更多的攻擊途徑，使得利用漏洞的成功機會與可靠度，又較Copy Fail更上一層樓。</p> </div></div></div>
5/12 16:22作者周峻佑https://www.ithome.com.tw/news/175736
奇偶科技影像監控管理軟體系統存在重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>4月27日奇偶科技（GeoVision）<strong><a href="https://dlcdn.geovision.com.tw/TechNotice/CyberSecurity/2026/Security_Advistory_GV-VMS-2026-04-01.pdf">發布資安公告</a></strong>，指出影像監控管理軟體系統GV-VMS V20存在資安漏洞CVE-2026-42369、CVE-2026-42370、CVE-2026-7372，影響20.0.2以下的版本，攻擊者只要發送特製的HTTP請求，就有機會在未經身分驗證的情況下，觸發漏洞執行任意程式碼，該公司發布20.1.0版修補。</p> <p>值得留意的是，雖然上述公告未說明細節，但實際上這些漏洞都相當危險，根據美國國家漏洞資料庫（NVD）5月3日公布的資料，最嚴重的是CVSS風險達到滿分10分的<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-42369">CVE-2026-42369</a></strong>，起因是特定的端點採用自己的身分驗證機制，由於身分驗證的過程未檢查存取邊界，只要解碼後的字串超過緩衝區大小，就有可能造成堆疊溢位。奇偶科技指出，由於攻擊者可完全控制資料的存取，再加上缺乏位址空間配置隨機化（ASLR）的記憶體保護機制，想要利用該漏洞相當容易。</p> <p>另外兩個漏洞<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-42370">CVE-2026-42370</a></strong>、<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-7372">CVE-2026-7372</a></strong>，風險值被評為9.8、9.0，皆為重大等級的資安漏洞，兩者都是WebCam伺服器登入功能存在堆疊溢位漏洞，攻擊者可藉由發送特製HTTP請求而加以利用。</p> </div></div></div>
5/12 17:28作者周峻佑https://www.ithome.com.tw/news/175739
【臺灣資安大會直擊】台新新光資安主管：資安預算不等於資安部門預算，企業應重新定義資安投資範圍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>「資安預算應占IT預算多少比例？」，相信是許多人關心的資安治理議題，也是企業資安長爭取資安預算的根本。台新新光金控資訊安全部資深協理方振維在今年臺灣資安大會中分享他的看法，他認為資安預算比例存在一個根本問題，不同企業對「什麼是資安」的定義並不一致，導致許多數字根本無法直接比較。</p> <p><strong>他表示，企業真正需要思考的，不只是資安部門編列多少經費，而是哪些IT與基礎設施投資，本質上與資安風險治理有關。</strong></p> <p><span style="color:#B22222;"><strong>資安預算不只是資安部門的預算</strong></span></p> <p>方振維表示，目前許多企業在計算資安預算時，往往只統計資安部門直接掌握的項目，例如防火牆、EDR或SOC平臺等，實際上，企業大量與資安有關的支出，經常被歸類在IT、機房、網管或基礎設施預算之中。</p> <p>他舉例，包括AD（Active Directory）、NAC（Network Access Control）、備份系統、機房UPS、發電機、零信任架構、微分段（Micro Segmentation），甚至EOS／EOL設備汰換等，這些都和資安風險高度相關。</p> <p>「不是資安單位的預算，才叫資安預算」，方振維說。</p> <p>他指出，許多企業在資安預算比例上存在極大的差異，關鍵原因在於定義不同。有些企業將防火牆列入資安，有些則是列入網管；有些將備份系統視為IT基礎設施，但也有企業認為備份與勒索軟體防護密切相關，因此應納入資安範疇。</p> <p>因此，即使同樣宣稱「資安預算占IT預算10%」，不同企業各自涵蓋的內容也可能完全不同。</p> <p><span style="color:#B22222;"><strong>回歸CIA本質</strong></span></p> <p>方振維認為，企業談資安時，不應只聚焦在駭客入侵，而是應重新回到CIA三大核心，也就是機密性（Confidentiality）、完整性（Integrity）與可用性（Availability）。</p> <p><img alt="" src="/sites/default/files/images/1(112).jpg" style="width: 600px; height: 331px;" /></p> <p>他特別點出，許多企業多注意機密性、完整性，但是長期忽略Availability的重要性。</p> <p>例如勒索軟體攻擊，真正影響的就是系統可用性；而備份系統、機房供電、UPS與發電機等，雖然常被視為IT維運項目，但本質上都與系統是否能持續運作有關，因此也屬於資安治理的一部分。</p> <p>他以企業機房為例指出，即使不是遭到駭客攻擊，只要UPS故障導致系統停擺，對客戶而言結果並沒有差別。「客戶不會管你是自殺還是他殺，他只知道系統不能用」。</p> <p><span style="color:#B22222;"><strong>資安不是煞車，而是企業的安全氣囊</strong></span></p> <p>對於企業內部常將資安視為阻礙營運的部門，方振維也提出不同看法。他認為，資安不應是阻止業務發展的「煞車」，而更像是汽車的安全氣囊。</p> <p>許多資安措施，例如VPN、VDI跳板、多因素驗證、微分段與權限控管，確實會影響便利性，使得資安部門容易成為內部抱怨對象。但企業若只追求方便，而忽略風險控管，最終付出的代價可能更高。</p> <p>「離公司最近的方法，就是把網路拔掉、電腦關機，但這不是企業真正要的」，他說。</p> <p>因此，企業應在營運效率與風險控管之間取得平衡，而不是追求所謂「絕對安全」。</p> <p><span style="color:#B22222;"><strong>偵測能力比完美防禦更重要</strong></span></p> <p>方振維也認為，企業不應幻想能完全阻止駭客入侵，而應假設攻擊者已經進入內部環境。相較於單純強化邊界防禦，他更強調EDR/XDR、行為監控、Log分析、偵測與回應事件、事件追蹤的重要性。</p> <p>他指出，許多企業真正的問題並不是遭駭，而是「駭客待在內部很久卻沒有被發現」。</p> <p>此外，他也提到，現今勒索軟體攻擊往往會優先鎖定備份系統，因此企業即使有備份，也未必代表具備完整復原能力。</p> <p>他認為，企業與其把資源過度投入在災後救援，不如更早投入在防禦、偵測與復原能力建設上。</p> <p><span style="color:#B22222;"><strong>三層式資安預算架構</strong></span></p> <p>針對企業該如何盤點資安投資，方振維提出「三層式資安預算」概念。第一層是直接資安預算，包括防火牆、EDR、IAM與SOC等直接與CIA相關的資安工具；第二層是與Availability有關的預算，例如備份、機房、UPS、備援中心與供電系統等。</p> <p>第三層則是間接資安預算，包括AD、變更管理、EOS／EOL設備汰換、零信任架構與微服務等，雖然不一定由資安部門主導，但與資安風險高度相關。</p> <p><img alt="" src="/sites/default/files/images/2(85).jpg" style="width: 600px; height: 364px;" /></p> <p>他強調，企業真正應該關注的，不是單純追求資安占IT預算的比例，而是能否透過一致的定義與長期追蹤，理解風險變化與投資方向是否合理。</p> </div></div></div>
5/12 18:38作者蘇文彬https://www.ithome.com.tw/news/175742
【臺灣資安大會直擊】醫院OT資安不能照辦公室IT那套！應先盤點、縮小範圍，再談防護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在今年度臺灣資安大會醫療資安論壇上，擁有近30年醫療儀器工程資歷的張韶良，拋出一個問題：當IT要求密碼長度從4位、8位一路拉高到16位，還得同時包含英文、數字與符號，這套資安規則搬進醫療現場，行得通嗎？</p> <p>他描述一個場景：當醫護正在搶救病人，醫療儀器突然要求輸入密碼登入，「這有可能嗎？不可能。」因為，「在醫療儀器界，救命最重要。」辦公室IT的資安邏輯，沒辦法直接搬進病房。</p> <p>在他看來，醫院要真正做好OT（Operational Technology，營運技術）資安，第一步不是每臺設備都加裝防火牆，也不是直接套用辦公室的資安規範，而是先完成資產盤點、設備分類與網路盤查，從原本動輒上萬臺設備中，找出真正需要優先保護的邊界設備與控制系統，再進行安全管控。他也提醒，資安法屬於通法，醫療器材管理法才是醫療儀器的專法，當兩者有衝突，仍應以專法優先。</p> <h2><strong>IT講究機密性，醫療OT更重視「可用性」</strong></h2> <p>張韶良目前擔任亞東紀念醫院、秀傳醫療體系與羅東博愛醫院醫工顧問，同時也是中華民國生物醫學工程學會資安委員會主委。他花了不少篇幅解釋IT與OT的本質差異，因為在他看來，這個誤解，正是醫院推動OT資安最大的阻力。</p> <p>他指出，傳統IT資安遵循CIA三原則，也就是機密性（Confidentiality）、完整性（Integrity）與可用性（Availability），其中多數IT系統，常把機密性放在第一順位，例如透過多因子驗證、複雜密碼、閒置逾時登出等機制，確保資料不被未授權存取。</p> <p><img alt="" src="/sites/default/files/images/CIA.JPG" /></p> <p>但在OT環境裡，排序並不相同。「在OT的世界，可用性最大。」</p> <p>張韶良指出，對醫療現場而言，設備能不能持續運作，比能不能登入更重要。當資訊系統發生異常時，設備至少必須先能用，才能維持臨床診療不中斷。</p> <p>他也給了一個簡單的判斷框架：在IT世界，密碼是門神；但在OT世界，若過度要求密碼，反而可能變成擋住救命的牆。醫療OT的核心追求，是持續營運（Business Continuity），而不是存取控制。</p> <h2><strong>病安不等於資安，高病安設備不一定有高資安需求</strong></h2> <p>除了IT與OT的差異，張韶良也特別澄清另一個醫療圈常見的誤解：病人安全（Safety）並不等於資訊安全（Security）。</p> <p>他解釋，醫療領域談的Safety，指的是設備本身設計、故障或使用過程中可能對病人造成的風險；Security則是來自外部惡意攻擊，例如駭客入侵、未授權存取或惡意操控。</p> <p>「高病安不等於高資安。」張韶良說。</p> <p>他舉例，像內視鏡屬於高病安風險設備，因為會直接侵入人體；但如果設備本身沒有電腦，也沒有網路介面，資安風險未必高。反過來，一臺接上院內網路的行政電腦，即使與病人沒有直接接觸，也可能因為暴露在網路環境中，而成為更高的資安風險來源。</p> <h2><strong>做好醫院OT資安，第一步是盤點、縮小範圍</strong></h2> <p>談到實務落地，張韶良認為，醫療儀器OT資安最大的迷思，就是認為每一臺設備都要做同樣等級的防護。</p> <p>但真正的第一步，恰恰是先盤點、縮小範圍。</p> <p>他指出，衛福部目前定義的「資安列管醫療儀器」有4個條件：設備不只要位於院區內，還必須具備院內網路或網際網路連線能力、具網路位址追蹤性（非DHCP），並且需要與醫療資訊系統（HIS）、影像儲傳系統（PACS）等醫療IT系統交換資料或上傳資訊，才屬於優先列管的範圍。</p> <p><img alt="" src="/sites/default/files/images/%E5%88%97%E7%AE%A1.JPG" /></p> <p>透過這些條件篩選，一家醫學中心原本超過2萬臺設備，可以先縮減到約200臺；再從中找出真正負責資料交換或設備控制的核心節點，最後真正需要優先防護的，往往只剩10到20臺。</p> <h2><strong>真正要保護的是邊界主機，不是每一臺終端設備</strong></h2> <p>那這10到20臺設備，究竟是什麼？</p> <p>張韶良指出，它們通常不是病房裡每一臺超音波或監測設備本身，而是位於網路邊界、負責對外交換資料的邊界主機，或是負責管理多臺終端設備的控制系統。</p> <p><img alt="" src="/sites/default/files/images/%E9%82%8A%E7%95%8C%E4%B8%BB%E6%A9%9F%E8%88%87%E6%8E%A7%E5%88%B6%E7%B3%BB%E7%B5%B1%20(1).JPG" /></p> <p>例如，在加護病房裡，一套中央監測系統可能同時串接數十張病床，但真正把資料上傳到院內資訊系統的，往往只有中央主機；電腦斷層掃描（CT）、MRI等大型影像設備，也通常由單一控制主機整合影像與診療資料，再上傳到PACS或HIS。</p> <p>張韶良用老鷹抓小雞比喻：「當老鷹要抓小雞的時候，是誰在幫它擋？是母雞在幫它擋。」</p> <p>換句話說，真正該優先強化的，是這些資料出口與控制節點，而不是讓每一臺醫療儀器，各自承擔相同的防護成本。</p> <h2><strong>資安法是通法，醫療器材管理法才是專法</strong></h2> <p>在法規架構上，張韶良也提醒，醫療OT和一般企業IT最大的不同之一，在於它不只受《資通安全管理法》規範，還同時受到《醫療器材管理法》等專法約束。</p> <p>「當通法與專法衝突的時候，要以專法為優先。」他說。</p> <p>換句話說，即使IT團隊熟悉資安法的治理框架，也不代表能直接把同一套邏輯套用到醫療儀器上，因為醫療設備本身還有另一套專屬的法規、驗證與風險管理機制。</p> <p>張韶良指出，衛福部目前將醫院資通系統大致分成三類進行管理，分別是一般資訊系統（IT）、醫療儀器系統（Medical OT），以及水電、消防、門禁、電梯等其他支援設施。三類系統各有不同的風險評估方式與防護要求，第一步都必須先完成資產盤點與可視化。</p> <p>在治理流程上，醫院也必須依照資安法要求落實PDCA循環，也就是年初提出資安維護計畫，年底提交執行成果，若期間發生資安事件，還必須同步完成通報與後續改善。</p> <p><img alt="" src="/sites/default/files/images/pdca.JPG" /></p> <p>此外，醫院也會依規模與角色被賦予不同責任等級，其中醫學中心多被列為A級，重度責任醫院與區域教學醫院則多屬B級，對應不同等級的防護要求。</p> <p>張韶良也提到，衛福部針對醫療領域制定的資通系統資安防護基準，內容涵蓋10個控制構面、36個控制目標，以及78項控制措施，相較一般IT常用的附表十，多了3個控制構面，內容涵蓋網路架構、識別鑑別、營運持續，以及系統通訊防護等更貼近醫療OT場域的控制要求。</p> <p>除了設備本身，近年法規修正的另一個重點，則是委外廠商管理。張韶良透露，資安署與衛福部近年盤點資安事件後發現，不少問題與委外人員管理有關，因此今年後續的稽核重點，預計也會朝這個方向加強。</p> <h2><strong>最後建議：先規畫網路，再談設備防護</strong></h2> <p>談到實務建議，張韶良最後將重點放在網路治理。</p> <p>他認為，不需要每臺儀器各加一套防火牆。若20臺設備各花3萬元加裝防火牆，光設備成本就超過60萬元，後續還得持續維護防火牆規則、韌體版本與稽核設定，管理成本也會愈來愈高。</p> <p>相較之下，若從全院視角重新規畫網路架構，透過網路分段、OT網域隔離，以及邊界設備集中治理，往往只需10多萬元，就有機會達到更好的防護效果。</p> <p>「網路規畫好，IT、OT不煩惱。」在張韶良看來，醫療OT資安沒有絕對標準，也不是花錢就能解決，但只要從正確的地方開始，醫院就有機會用有限資源，把真正的高風險節點先守住。</p> <p></p> </div></div></div>
5/12 17:24作者王若樸https://www.ithome.com.tw/news/175738
【臺灣資安大會直擊】酷澎臺灣資安長陳浩維宣布：酷澎首個公開版漏洞獎勵計畫，並揭露背後的戰略藍圖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>你敢不敢讓自家的產品、系統或服務，公開讓全世界的白帽駭客，進行漏洞回報呢？跨境電商酷澎（Coupang）臺灣暨日本資安長陳浩維日前（5月6日）在「臺灣資安大會CyberSec 2026」的大會演講中，首度公開酷澎臺灣將與全球規模最大的漏洞通報平臺HackerOne合作消息，推出「公開版漏洞獎勵計畫」（Public Bug Bounty Program），陳浩維說：「這不只是臺灣第一個與HackerOne的合作計畫，也是酷澎全球首發合作專案。」</p> <p>陳浩維也在臺灣資安大會現場，針對先前韓國酷澎因為內部前中國籍員工外洩客戶個資，有20萬名臺灣客戶受到牽連一事，正式對大眾鞠躬道歉。</p> <p>除了表達歉意，他強調，酷澎臺灣近兩年積極和數位發展部合作，不論從物流隱碼、Passkey技術導入，到零售與旅宿業情資分享中心（R-ISAC）的倡議，也同時積極投入臺灣資安人才培育，以及支持臺灣資安社群運作。</p> <p>陳浩維認為，產業可能有競爭關係，但面對資安這件事情上，唯一的敵人就是攻擊者，「我們都是Team Taiwan，One Team，One Fight。」他說。</p> <h2><strong>臺灣酷澎與HackerOne合作，臺灣首例也是酷澎全球首例</strong></h2> <p>全球最具規模的漏洞回報平臺HackerOne，長期與財星五百大企業及政府機關合作，協助企業建立有組織、有獎勵機制的資安漏洞研究生態。不過，在臺灣，從未有企業與HackerOne合作推出「公開版漏洞獎勵計畫」（Public Bug Bounty Program）——開放所有資安研究人員皆可參與、公開透明的漏洞回報機制。</p> <p>此次，陳浩維公開宣布「酷澎臺灣公開版漏洞研究計畫（Coupang Taiwan Public Bug Bounty Program）」，在演講開始前一個小時正式上線。他指出，這不僅是HackerOne進入臺灣市場以來的首個公開計畫，也是酷澎集團在全球各個市場中，第一個率先啟動此類公開計畫的據點。</p> <p>「我們希望對資安研究有興趣的朋友，可以一起來保護臺灣的消費者，讓這個網路更安全，」陳浩維表示，臺灣數位發展部的法人機構資通安全研究院，去年也開始舉辦這類的漏洞獎勵計畫，也有越來越多企業開始願意加入這樣的活動。</p> <p>不過，陳浩維強調，這次與HackerOne合作的公開版漏洞獎勵計畫，是奠基在已經運作一段時間的「私有版」漏洞回報計畫──邀請特定研究人員參與，隨著這個活動從私有轉為公開，意味著：酷澎願意將自己的資安體質公開，並接受全球資安社群的挑戰與檢驗。對酷澎而言，這是一種需要高度自信，也需要高度誠意的決定。</p> <p>酷澎臺灣此舉，除了肯定臺灣的資安社群能量，也標誌著這家跨境電商，已經決定將資安防禦的觸角，從內部的封閉測試轉向全球白帽駭客的集體智慧。這項決策的背後，不僅是對技術實力的自信，更是酷澎在經歷資安風暴後，重塑數位信任的關鍵一步。</p> <h2><strong>韓國酷澎資安事件，牽連20萬名臺灣客戶</strong></h2> <p>陳浩維坦言，要理解這一切倡議背後的重量，必須先回到幾個月前在韓國酷澎爆發的那場資安事件。</p> <p>2025年，酷澎韓國發生嚴重的資安事件，有一名中國籍的酷澎韓國前員工，利用其對公司內部系統的知識與存取權限，對酷澎及酷盟（Coupang Eats）的顧客資料進行了未經授權的存取與竊取。根據韓國酷澎委託第三方數位鑑識公司Mandiant進行的獨立調查結果，此事件影響了約20萬名臺灣顧客的個人資料。</p> <p>受影響的臺灣顧客資料，包含：姓名、電話、電子郵件地址等基本聯絡資訊，以及部分帳戶相關的欄位。不過，陳浩維也再三強調，這起資安事件並不涉及信用卡資訊、密碼，以及身分證字號等高度敏感的資料。</p> <p>「根據多家資安公司共同進行的資訊監控，以及數位鑑識報告，我們的總結是，目前都沒有任何遭到濫用的情形。」陳浩維表示，韓國主管機關的聯合調查小組也得到相同結論。</p> <p>他指出，從調查結果可以發現，受影響的顧客資料沒有被散布、沒有被分享或轉移給任何第三方，也沒有看到被進一步犯罪利用的案例。「但我們會持續進行監控，這個工作不會停止，」陳浩維說。</p> <p>在確認事件影響臺灣顧客的當下，酷澎臺灣第一時間通報主管機關數位發展部，並持續保持暢通的溝通。事後，酷澎臺灣也對每一位受影響的臺灣顧客，發放新臺幣一千元等值的酷澎購物券。</p> <p>為了更了解受到影響客戶的心聲，陳浩維也到第一線，親自接聽客服電話，直接與客戶溝通，而且，他和其中一位顧客談了一個多小時的電話。在這樣的過程中，陳浩維清楚感受到臺灣客戶的憂慮、不滿和不安。</p> <p>對此，他也以酷澎臺灣資安部門的主管，以及臺灣資安社群的一份子，在臺灣資安大會的講臺上，正式對大眾鞠躬道歉、表達歉意。</p> <h2><strong>內部威脅與日俱增，惡意的主動竊取行為比例也大增</strong></h2> <p>陳浩維表示，酷澎韓國發生的資安事件，其實就是所謂的內部威脅（Insider Threat），「這起事件跟一般資安攻擊不一樣的地方，在於攻擊者是內部人員，」他說。</p> <p>他也援引美國政府對於「Insider」的定義：利用組織內部知識或授權存取權限，進行有害或無益行為的人員——可能是現職員工、前員工，也可能是承包商或供應商。他清楚的指出，內部威脅的危害，往往比外部攻擊更難察覺，也更難防範，因為「攻擊者原本就站在防線之內。」</p> <p>根據Ponemon Institute於2026年發布的《Cost of Insider Risks 2026 Global Report全球內部風險成本報告》，內部威脅造成的平均損失已達每年195萬美元，相較2022年的162萬美元，增幅超過兩成。</p> <p>報告同時指出，在所有內部威脅事件中，約有52％來自員工疏失，27％則屬於惡意的主動竊取行為，然而，後者的比例正在逐年成長；此外，該份報也顯示，約73%的受訪組織擔心，AI工具的使用會加入內部資料外洩的風險；但這些組織中，僅有18%已經具備完善的AI治理機制。</p> <p>陳浩維指出，美國的中大型企業近年來已開始在資安團隊內部，建立獨立的「Insider Threat Program」（內部威脅應對計畫），目前有63％的組織導入，一年可以減少7起內部威脅的事件發生，也可以減少820萬美元的損失。</p> <p>有別於一般的事件應變機制。美國政府甚至透過總統行政命令（EO），要求所有關鍵基礎設施（CI）的主管機關建立此類計畫。根據數據，這些計畫的導入，已讓相關事件數量減少了約一半。</p> <p>要如何應對內部威脅呢？陳浩維引述美國國家反情報和安全中心的「內部威脅防護計畫」提出五大要點。首先，組織必須識別自身最重要的資產與數據，也就是「皇冠上的珍珠」（Crown Jewels）；其次，需要跨部門整合，包括資安、法務、人資等，建立完善的通報機制與標準作業程序。</p> <p>第三，要鼓勵員工主動回報可疑行為，而不是依賴被動偵測；第四，導入使用者行為分析（UEBA）等偵測工具；第五，在整個組織打造全員參與的資安文化。畢竟，「最容易被忽略的風險，往往來自最熟悉的人，」他說。</p> <h2><strong>AI時代的資安新常態，攻擊成本趨近於零</strong></h2> <p>為了更清楚描繪當前資安威脅的整體輪廓，陳浩維引用美國網路安全暨基礎設施安全局（CISA）前局長及多位資安長共同發布的《The AI Vulnerability Storm: Building a Mythos-ready Security Program》報告，其中也提到，在2018年，一個漏洞（CVE）被公開之後，駭客平均需要兩年三個月才能將其發展為可用的攻擊手法；但到了2026年，這個時間已縮短到僅僅十個小時。</p> <p>換句話說，過去資安團隊賴以為生的「修補窗口」（Patching Window）——也就是漏洞公開後，企業得以在遭受攻擊前完成修補的時間——在AI輔助攻擊的時代，已近乎消失。</p> <p>陳浩維認為，當攻擊不再是偶然的個案，而是必須面對的日常，特別是因為AI日益普及與強大的關係，漏洞從發現到被利用的時間（Time to Exploitation）從數年縮短至短短十小時的今天，傳統的三十天修補窗口已然失效。</p> <p>報告中的另一組數據同樣震撼：2026年，漏洞公開當天（Day 0），就已有高達百分之二十五的比例被攻擊者直接利用。</p> <p>與此同時，根據美國國家標準暨技術研究院（NIST）於2026年4月發布的公告，NIST已宣布未來不再對所有新增漏洞完整的分析與評分，而是優先處理已被部署或涉及關鍵系統的漏洞——這個決定的背後，正是因為漏洞的產出速度已遠超人工處理的能量。</p> <p>「攻擊不再是偶然發生的個案，它將持續發生，並可能以不同的型態呈現，」陳浩維認為，當被攻擊成為日常，身為資安從業人員更重要的是，在面對這些事件的時候，如何對內強化資安措施，對外展現負責任的態度與積極的處理。「讓我們從每一次的事件中，變得更強大。」他也：「AI時代的資安，攻擊更容易，信任更昂貴。」因此，所有的行動，都必須作到連結、共享和培育。</p> <h2><strong>打造「全球資源、臺灣先行」的酷澎臺灣資安團隊</strong></h2> <p>陳浩維在兩年前加入酷澎美國西雅圖總部，成為資安團隊的第一號員工，此前曾在亞馬遜服務超過十年，也是亞馬遜資安部門的第一位臺灣籍員工，負責網路鑑識、全球漏洞獎勵計畫，以及內部威脅（Insider Threat）調查等業務。今年，他離開居住了十幾年的美國，以酷澎臺灣暨日本資安長的身分返回臺灣，回到他一直說是「起點也是終點」的土地。</p> <p>陳浩維指出，酷澎臺灣的資安團隊不只是聽命於總部的執行單位，更是勇於任事、敢於針對資安議題率先全球推出各項新服務的「創新樞紐」。「我們不只是跟各個總部合作，我們也會提出臺灣自己的倡議，」他說。「我們勇於率先在臺灣推動全球未有的資安計畫，然後再把這些經驗推向全球。」</p> <p>在過去兩年中，酷澎臺灣利用其獨特的市場地位，將臺灣作為資安最佳實踐的實驗基地。這種「臺灣先行」的定位，在酷澎的數個實際案例清晰可見。</p> <h3><strong>解決LINE難以控管稽核問題，導入企業版Line Works</strong></h3> <p>首先是Line Works的導入。臺灣有高達九成以上的智慧型手機用戶使用LINE作為日常通訊工具，其滲透率之高在全球幾乎難出其右。對於企業而言，這代表員工很自然地將工作訊息、客戶資料，甚至商業機密，透過個人LINE帳號進行傳輸——而資安團隊既無法稽核，員工離職後也無法清除相關群組或訊息記錄。</p> <p>酷澎臺灣選擇正面解決這個問題，而不是強行禁止員工使用熟悉的介面。陳浩維表示，他們找上了由日本開發的LINE Works，功能上類似於企業版LINE的通訊平臺。</p> <p>「在臺灣酷澎導入之前，LINE Works只有服務日本客戶，根本沒有臺灣客戶，甚至試過每一個管道，也找不到相關的聯絡方式。」陳浩維說，過程相當艱辛，但最終建立了連結，開啟了合作。</p> <p>LINE Works整合了組織的單一登入（SSO）機制，通訊紀錄可以納入資安偵測系統，員工離職後的存取也可受控管理，同時也能與公司的客戶關係管理系統整合，能在不改變員工習慣的前提下，將影子IT納入監控，這項由臺灣發起的倡議，隨後也開始影響酷澎全球的資安布局。</p> <h3><strong>主動識別仿冒網站，三步驟下架詐騙網站</strong></h3> <p>其次是針對電商產業最頭痛的詐騙網站問題，酷澎臺灣亦建立主動出擊的防禦機制。陳浩維展示一個實際案例：一個網域名稱與酷澎高度相似的仿冒網站（coupangkp.tw），不僅複製了酷澎的官網外觀，還設有假冒的登入頁面，並透過LINE帳號誘導消費者聯繫，進行詐騙。</p> <p>而在酷澎臺灣的資安團隊中，設有專責的威脅情資分析專家，每天分析驗證國際威脅情資廠商提供的資訊、比對本地域名資料，一旦發現偽冒酷澎的釣魚網站，便透過 AI與自然語言處理（NLP）技術進行自動化分析，主動識別仿冒網站。</p> <p>他表示，仿冒網站的情資一旦確認，便同步啟動三個層次的下架程序：首先，向TWNIC和165反詐騙通報窗口，申請域名的DNS網域的解析封鎖（RPZ），使釣魚網址無法解析；接著要求社交平臺下架詐騙帳號（包含FB、LINE帳號）；最後，通知域名註冊商將違法網域徹底撤除。</p> <p>陳浩維表示，製作這些仿冒網站的成本很低，速度很快，但酷澎臺灣透過縮短偵測與下架的時間差，大幅提高詐騙者的營運成本，有效降低了品牌信任受損的風險。</p> <h2><strong>引進物流隱碼與Passkey技術，把資安創新落地成顧客體驗</strong></h2> <p>過去兩年，酷澎臺灣連續參與數位部的「數位韌性產業計畫」，在數位部數位產業署、工研院及數位新創協會的支持與協助下，推出了兩項受到矚目的技術創新。</p> <p>第一項是2024年推出的「跨境物流隱碼科技」陳浩維指出，在電商的物流配送的流程中，包裹上的運送標籤幾乎必然印有顧客的姓名、地址與電話號碼——這是在每次配送過程中，個資就會被所有經手人員看見的系統性風險。</p> <p>酷澎臺灣的解法是，在酷澎跨境電商服務「火箭跨境」的物流標籤上，以安全碼取代顧客的真實電話號碼，搭配QR Code進行加密通訊，讓快遞員在需要聯繫收件人時，只需掃碼即可透過安全管道撥打，顧客的真實電話始終不會直接暴露在紙本標籤上。</p> <p>陳浩維表示，這項計畫不只在臺灣落地，也是酷澎跨境物流鏈中的首次導入，被酷澎視為「臺灣先行，全球可能跟進」的範本之一。</p> <p>第二項是2025年打造FIDO免密碼的新世代數位信任防線，推出「Passkey無密碼登入」進行數位身分驗證升級，這也是酷澎臺灣與全球開發團隊共同研發的自主技術，讓臺灣用戶可以透過生物辨識（如指紋或臉部辨識）完成帳號登入，徹底省去記憶密碼的需要。</p> <p>「沒有密碼，就沒有密碼被盜的風險；沒有密碼，也就沒有憑證填充攻擊（Credential Stuffing）的著力點。」陳浩維說，這項作法是臺灣跨境電商首例，也是酷澎持續強調的「以資安提升顧客體驗」的具體呈現。</p> <p>他指出，這兩項計畫讓酷澎臺灣連續兩年獲得數位部「友善電商」的認可，成為數位韌性產業計畫中的標竿案例。</p> <p>此外，酷澎臺灣也成功加入FIRST（Forum of Incident Response and Security Teams）——全球最重要的資安事件應變組織之一，他表示，加入FIRST需要兩個現有會員的背書（Sponsor），酷澎同時獲得臺灣電腦網路危機處理暨協調中心（TWCERT/CC），以及韓國資安協會（KISA）的聯合推薦，成為少數由兩國資安機構共同背書而加入的會員，並強化了酷澎在國際資安社群中的正式地位。</p> <h2><strong>推動臺版零售情資分享中心R-ISAC，把競爭對手變成資安夥伴</strong></h2> <p>身為臺灣電商零售業的一份子，陳浩維提出他認為臺灣電商產業最需要的一項集體行動：建立零售業情資分享與分析中心（Retail-Information Sharing and Analysis Center，R-ISAC）。</p> <p>ISAC的概念起源於美國，目的是讓同一產業的組織，在不涉及商業機密的前提下，共同分享威脅情資、最佳實踐，以及資安事件的應對經驗。也就是說，讓產業的競爭者面對資安這個共同的敵人時，可以成為彼此的盟友。</p> <p>美國早已有成熟的零售與旅宿業ISAC（Retail and Hospitality ISAC），酷澎本身也是其核心成員，他也和美國ISAC有長期聯繫。「在業務層面，我們都有競爭，但在資安領域，我們的競爭對手只有一個，就是攻擊者，」陳浩維表示，希望產業成員可以成為夥伴，提升整個產業的資安應對能力，尤其是在AI這個資訊不對稱的今天，我們更需要互助、交流與協力。</p> <p>臺灣R-ISAC的推動，已獲得數位部數位產業署署長蔡福隆，以及中華民國無店面零售商業同業公會（CNRA）的秘書長為許生忠的支持與指導；未來將透過無店面商業公會轄下的資安委員會的運作機制，推進臺灣R-ISAC的實際運作。</p> <p>在組織架構上，臺灣R-ISAC規畫設有指導委員會（Steering Committee）負責策略指引、跨部門協調與對外合作，以及營運辦公室（Operations Office）負責日常管理、會員服務與專案推動；主要功能涵蓋情資整合與分享、AI輔助的情報平臺、警訊推播、責任與隱私合規處理，以及會員招募與成員培育等。</p> <p>陳浩維特別強調，臺灣R-ISAC的關注範圍不限於技術性的威脅指標（IOC），也將涵蓋詐騙情資——包括仿冒網站與各類詐欺手法的資訊分享，「這些可以分享給同業，讓整個電商生態都能提早預警。」他說。</p> <p>在機制設計上，酷澎臺灣的規畫是以「輕量化」起步，利用AI Agent自動化情資的整理、驗證與初步分析威脅指標（IOC），同時維持「Human in the Loop」的人工審核機制，確保資料品質與隱私保護兼顧。陳浩維表示，未來臺灣R-ISAC的情資，也有機會與國際情資網絡進行交換，讓臺灣的電商資安防線真正接上全球的視野。</p> <h2><strong>打造數位信任飛輪，資安不是成本而是企業競爭力</strong></h2> <p>陳浩維用「數位信任飛輪」來涵蓋酷澎臺灣的整體資安策略。他指出，這個飛輪模型的核心是「信任」，外圍由四個互相驅動的要素組成，包括：公私協力；酷澎導入新資安技術；顧客數位信任提升，以及整體產業安全升級。</p> <p>每一個要素的強化，都會帶動下一個要素的前進，最終讓整個飛輪加速轉動。陳浩維說：「我們希望資安的角色，不只是一個成本中心，而是可以帶動企業發展，一起跟產業把資安的標準拉到更高的水平，蛻變為推動企業成長的『信任引擎』。」</p> <p>在資源投入上，酷澎集團在全球擁有超過兩百位資安專業人員，並在資安、個資保護及資訊安全基礎建設上的投入，2023年資安及資訊科技總投資額達290億元，到2024年成長為450億元。</p> <p>陳浩維表示，這些投資數字因酷澎是韓國上市公司，依規定必須做相關的資訊揭露，而從相關資訊也可以觀察到，酷澎在過去三年，已連續成為韓國上市企業資安投入的前三名。</p> <p>在臺灣，酷澎目前也開始採用本土的資安廠商，並計畫持續擴大合作範圍。陳浩維說，如果這些合作模式成功落地，或許也能鼓勵臺灣的資安新創廠商向更廣的國際市場擴展，可以由酷澎臺灣的經驗將這些臺灣資安業者的產品或服務，引進韓國甚至是全球酷澎，也藉此帶動臺灣資安產業的成長。</p> <h2><strong>投入資安人才教育，鼓勵參與數位動員</strong></h2> <p>除了技術與組織的建設，酷澎臺灣也積極投入資安人才的培育。過去一年，陳浩維率領團隊走訪了四所臺灣大學（包括兩所公立與兩所私立大學），分享企業資安團隊的日常工作與職涯路徑，希望讓有興趣的學生對這個領域有更真實的認識。今年，酷澎臺灣也將繼續進入校園，延續這條教育之路。</p> <p>酷澎也與教育部AIS3相關計畫合作，推動資安教育向下紮根，攜手培育新世代資安人才；以參與臺灣駭客年會HITCON 2025等在地資安活動，用實際行動支持臺灣本地的資安社群。</p> <p>「我今年離開了居住了十幾年的美國，回到了美麗的家鄉臺灣，」陳浩維說：「當時出國留學時，我的目標非常明確：我的起點就是終點，也就是回到這裡，在吸收完這些經驗與知識後，如果有一天可以回來幫忙，我覺得會是一件非常美好的事情。」</p> <p>臺灣二十年來持續遭受網路攻擊，臺灣雖然沒有天然資源，卻有為數眾多的惡意行為者虎視眈眈。他說：「我們需要一起去保護，一起團結，對抗這些惡意的攻擊者，保護網路生態系的使用者。」</p> <p>陳浩維也透露，他也非常期待能參加今年夏天的「漢光演習數位動員」，這是他過去在美國時，因遠距離而無緣參與的事。他說，他的團隊中，也有成員會一起參與這個數位動員，因為，他希望：「酷澎臺灣不只是一個商業的市場參與者，也希望成為臺灣整體數位防衛力量的一部分。」</p> </div></div></div>
5/12 17:41作者黃彥棻https://www.ithome.com.tw/news/175741
VCF 9.1增強橫向存取安全，擴充EDR整合勒索軟體隔離復原
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://www.ithome.com.tw/sites/default/files/vcf-.9.1-clean_room-main.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p style="margin-left:.05pt;">相隔近一年，博通（Broadcom）月初宣布VMware Cloud Foundation（VCF）推出9.1版更新，提供AI與Kubernetes原生的私有雲基礎架構平臺，強調能讓企業在部署推論與代理式AI應用系統時，享有更低的成本、強化的安全性，以及自由選擇最佳GPU與CPU硬體的彈性。</p> <p style="margin-left:.05pt;">關於安全性方面的功能突破，VCF 9.1主打能針對AI資料主權與治理需求提供零信任架構，能在基礎架構層級整合多種機制，保護Hypervisor到應用程式的AI工作負載、專屬AI模型與訓練資料。VMware強調，VCF 9.1能提供公有雲無法比擬的安全性，因為用戶實施零信任網路分段、主權復原（sovereign recovery），以及無需額外工具的持續漏洞修補，可強化AI系統部署於正式使用環境的資安態勢。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/VCF-Cyber Recovery0.jpg"><img alt="" src="/sites/default/files/images/VCF-Cyber%20Recovery0.jpg" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">首先，關於零信任網路防護，VCF 9.1提供用戶個別選購的進階服務，實踐<a href="https://blogs.vmware.com/security/2026/05/vdefend-vcf-9-1-zero-trust.html"><strong>零信任的橫向存取安全（</strong><strong>Zero Trust Lateral Security</strong><strong>）</strong></a>，因為VMware 將vDefend整合至VCF，當中的分散式入侵偵測系統（IDS）或入侵防禦系統（IPS）得以延伸至VCF，而能以此防護執行在Kubernetes平臺的AI工作負載。原本能保護虛擬機器的vDefend分散式IDS或IPS，現在也能用於VMware vSphere Kubernetes Service（VKS）叢集，提供網路檢測與防護機制，企業可藉此執行威脅行為偵測與虛擬修補（virtual patching）。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/VCF 9_1-vDefend IDPS Architecture.png"><img alt="" src="/sites/default/files/images/VCF%209_1-vDefend%20IDPS%20Architecture.png" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">而在橫向存取威脅預防效能上，由於新支援IDPS Turbo Mode，網路吞吐量可提升3倍。根據博通內部測試，對於分散式推論的威脅檢測效能，每臺主機的吞吐量可達到3 Gbps至9 Gbps，每個VCF工作負載網域的總防護能力可達到9 Tbps。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/VCF 9_1-IDPS Turbo Mode Performance.png"><img alt="" src="/sites/default/files/images/VCF%209_1-IDPS%20Turbo%20Mode%20Performance.png" style="width: 500px;" /></a></p> <p style="margin-left:.05pt;">若將VCF用在私有雲環境與網際網路應用系統時，由於VMware強化vDefend分散式防火牆，使得這套基礎架構平臺的應用程式辨識能力提升5倍，針對網路第7層的活動能有更清楚的能見度、更簡易操作且細緻的資安政策強制控管能力，而且當中也新增基於身分的防火牆隔離機制，可支援多站點環境，以便實施統一且簡化的政策強制控管。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/VCF-Layer 7 visibility.png"><img alt="" src="/sites/default/files/images/VCF-Layer%207%20visibility.png" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">VCF 9.1另一項安全強化措施是針對勒索軟體攻擊，提升企業內部環境基礎架構平臺的復原能力。VMware提供隔離的復原環境與整合的驗證工具，例如，原本預設使用博通旗下的端點偵測與應變系統（EDR）Carbon Black，現在<a href="https://blogs.vmware.com/cloud-foundation/2026/05/05/continuous-compliance-integrated-cyber-recovery-and-enhanced-platform-security-for-vcf-9-1/"><strong>新增端點安全平臺</strong><strong>CrowdStrike Falcon</strong><strong>的支援</strong></a>，能夠保護AI模型與訓練資料，相較於公有雲環境，若處於危機發生後的復原期間，不需為此進行跨境資料搬移，免於承擔龐大的頻寬費用。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/VCF-Cyber Recovery.jpg"><img alt="" src="/sites/default/files/images/VCF-Cyber%20Recovery.jpg" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">這項功能的實現，也是透過VCF用戶另一個選購的進階服務VMware Advanced Cyber Compliance（ACC），在這個解決方案的9.1新版，可針對內部環境的乾淨資料隔離儲存區（isolated clean rooms），提供整合的網路攻擊復原工作流程，當中提供涵蓋各個環節的自動化處理引擎，可大規模執行識別、驗證、復原的處理。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/VCF-Cyber Recovery1.jpg"><img alt="" src="/sites/default/files/images/VCF-Cyber%20Recovery1.jpg" style="width: 298px;" /></a> <a href="/sites/default/files/images/VCF-Cyber Recovery2.jpg"><img alt="" src="/sites/default/files/images/VCF-Cyber%20Recovery2.jpg" style="width: 298px;" /></a></p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/VCF-Cyber Recovery3.jpg"><img alt="" src="/sites/default/files/images/VCF-Cyber%20Recovery3.jpg" style="width: 298px;" /></a> <a href="/sites/default/files/images/VCF-Cyber Recovery4.jpg"><img alt="" src="/sites/default/files/images/VCF-Cyber%20Recovery4.jpg" style="width: 298px;" /></a></p> <p style="margin-left:.05pt;">具體而言，企業可透過內建AI/ML的EDR驗證復原點（restore points），即可針對已開機啟動的虛擬機器，識別當中是否存在無檔案（fileless）與基於檔案進行攻擊的惡意軟體，確保復原資料在接觸正式環境之前是乾淨的。在此同時，除了<a href="https://www.vmware.com/docs/291"><strong>預設支援</strong><strong>Carbon Black</strong></a>，現在CrowdStrike Falcon也加入ACC的網路復原流程，提供用戶更多選擇與多層次防護。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/VCF 9_1-Cyber Recovery for VMware Cloud Foundation Architecture web.jpg"><img alt="" src="/sites/default/files/images/VCF%209_1-Cyber%20Recovery%20for%20VMware%20Cloud%20Foundation%20Architecture%20web.jpg" style="width: 500px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;">VMware Cloud Foundation 9.1</span><br /> ●原廠：VMware by Broadcom<br /> ●建議售價：廠商未提供<br /> ●部署形式：VMware vSphere Foundation、VMware Cloud Foundation Edge、VMware Cloud Foundation<br /> ●選購擴充元件：VMware vSphere Foundation可搭配VMware Live Recovery，VMware Cloud Foundation可搭配VMware Private AI 9.1、VMware Data Services Manager 9.1<br /> ●多國語言版本：英、日、西、法<br /> ●組成架構：每個VCF Fleet包含VCF Automation、VCF Operations、VCF Instance；每個VCF Instance包含1個管理網域、2種工作負載網域；每個管理網域包含VCF Management Services、Cloud proxy、License server、SDDC Manager、NSX Manager、Management vCenter、ESXi Cluster；工作負載網域1包含NSX Manager、Workload vCenter、ESXi Cluster、上面建置應用系統的虛擬機器；工作負載網域2包含NSX Edge或Virtual Network Appliance、NSX Manager、Workload vCenter、搭配vSphere Supervisor的ESXi Cluster、上面建置應用系統的虛擬機器、容器、虛擬機器與容器<br /> ●整合的VMware產品：vSphere、vSphere Kubernetes Service、VCF Operations、VCF Operations for networks、VCF Operations fleet management、VCF Automation、vSAN、NSX<br /> vSphere、vSAN、NSX、vSphere Kubernetes Service、VCF Operations、VCF Automation、HCX、VCF Private AI services<br /> ●搭配Kubernetes最新版本：1.35.2（vSphere Kubernetes release，VKr）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
5/12 18:13作者李宗翰https://www.ithome.com.tw/review/175733
惡意軟體框架PCPJack鎖定雲端基礎設施，封鎖駭客團體TeamPCP的存取權限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>駭客團體TeamPCP（PCPcat）3月<strong><a href="https://www.ithome.com.tw/news/174601">滲透資安公司Aqua Security開發的漏洞掃描工具Trivy</a></strong>，引發大家對於軟體供應鏈攻擊的擔憂，後續又發動一連串的供應鏈攻擊，不過，最近有一起針對雲端的惡意軟體活動相當不尋常，因為攻擊者顯然與TeamPCP爭奪攻擊資源。</p> <p><strong><a href="https://www.sentinelone.com/labs/cloud-worm-evicts-teampcp-and-steals-credentials-at-scale/">資安公司SentinelOne</a></strong>在4月28日發現一段相當特別的指令碼，主要攻擊目標是雲端環境，但引起該公司注意的地方在於，此指令碼執行後的首要工作，竟是驅逐與清理與TeamPCP有關的攻擊工具，再加上此惡意工具針對的服務及目標，與TeamPCP於去年12月的攻擊行動Operation PCPcat相似，因此該公司推測，攻擊者的身分很有可能是TeamPCP的前成員，並將惡意程式框架命名為PCPJack。</p> <p>此惡意程式框架的用途，主要是竊取各式憑證，針對曝露在網際網路的Docker、Kubernetes、Redis、MongoDB、RayML等網頁應用程式，收集雲端、容器、開發環境、生產力工具，以及金融服務的憑證，然後將搜刮到的機密資料，傳送到攻擊者控制的基礎設施，同時，該惡意框架還具備蠕蟲的特性，進行自我傳播及橫向移動。然而，有別於許多攻擊雲端環境的惡意程式，PCPJack未具備濫用雲端運算資源挖礦的功能。對於駭客的攻擊目的，SentinelOne推測，其目的可能是盜用憑證、從事詐欺活動、寄送垃圾郵件，或是向經營者進行勒索，也不排除出售存取權限牟利的可能。</p> </div></div></div>
5/12 16:28作者周峻佑https://www.ithome.com.tw/news/175704
【臺灣資安大會直擊】金管會揭金融資安韌性藍圖最新進展，即將發布金融業PQC遷移指引
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>金管會去年底發布了影響未來四年金融資安監理的「金融資安韌性發展藍圖」，經過半年，金管會資訊服務處處長林裕泰在剛落幕的臺灣資安大會上，揭露了半年來的多項成果和新進展。</p> <p>金融資安發展藍圖聚焦四大主軸，包括了目標治理、全域防護、生態聯防和堅實韌性。在目標治理上，金管會希望企業公司治理，董事會將資安納入公司治理核心，董事會不要只停留在合規思維，更要從業務目標角度思考安全控管如何配合。也要能參考主管機關政策或同業資安水準，設定企業未來半年、一年的資安目標，作為衡量成效的依據。</p> <p>去年初，林裕泰看到本土資安廠商一份紅隊演練結果報告，提到舉辦上百場紅隊演練中，過半數演練都發現了共同的AD CS弱點，企業的網域管理員權限，不到幾分鐘就遭到紅隊掌控。</p> <p>這份報告讓他思考，金融業不只需要分享情資，也需要更多資安實際經驗。今年四月，金管會舉辦了一場長達4天的金融資安交流會FORCE 2026，透過公開徵稿，召集金融機構分享金融資安韌性發展藍圖相關實務經驗，最後集結了40位講師，12場深度解析和1場攻防實戰，超過800人次參與。「這場難得的經驗交流，不是分享應該做什麼，而是實際做了什麼，參考資安發展較快的金融同業經驗，作為自己日後進階目標的參考。」</p> <p><img alt="" src="/sites/default/files/images/%E5%A4%A7%E9%87%91%E8%9E%8D%E8%B3%87%E5%AE%89%E4%BA%A4%E6%B5%81%E6%9C%83IMG_1232.jpeg" /></p> <p>為了設定目標導向的發展，金管會也正在建立一套可以量測、可以成長的金融韌性成熟度分級評估指標，整合了CRI Cyber Profile的量化指標，正在設計一套依據四大治理主軸的成熟度發展階梯，像是軟體安全開發分級，第一級（L1）是版本控制中心化，第四級（L4）則要達到高度自動化持續合規檢核。或在新興AI治理分級指標上，L1是建立框架和盤點應用，L4則要達到具備偵測AI對抗性攻擊的能力。</p> <p><img alt="" src="/sites/default/files/images/%E5%A4%A7%E6%88%90%E7%86%9F%E5%BA%A6%E6%8C%87%E6%A8%99IMG_1236(1).jpeg" /></p> <p>「希望金融業者不只符合公會所訂的最低合規標準，而要思考未來可以發展的成熟度階段。」林裕泰表示。</p> <p>在全域防護上，金管會希望推動金融業資安作業左移，包括了CI/CD部署流程，也希望金融業開始建立SBOM來促進軟體供應鏈的透明化，讓SBOM可以和CVE或KEV等資安弱點資料庫整合，一旦出現新弱點，就可以即時修補。金管會更希望將API安全基準，從Open API延伸到夥伴API，甚至是金融機構的內部API安全管理。</p> <h3><span style="color:#FF0000;"><strong>資安漏洞武器化時間只剩９小時，因應AI漏洞風暴的三大對策</strong></span></h3> <p>林裕泰特別提到CSA、OWASP 等機構聯合在5月1日發布的最新AI資安報告《The “AI Vulnerability Storm”:Building a “Mythos-ready” Security Program 》，報告中指出，因為AI的進步，資安漏洞武器化的時間大幅縮短，一個漏洞遭利用的時間，2018年要花2.3年，2024年縮短到56天，到了2026年，大幅縮短到只剩下9小時，而且是會出現Mythos等級的自動化攻擊。</p> <p><img alt="" src="/sites/default/files/images/%E5%A4%A7AI%E6%BC%8F%E6%B4%9E%E9%A2%A8%E6%9A%B4IMG_1241.jpeg" /></p> <p>企業如何因應這樣的AI漏洞風暴？這份報告提出了三個建議，第一是部署AI防禦代理，用AI對抗AI，第二是從修補思維轉向彈性阻止，透過網路分段、零信任架構等來避免AI攻擊快速擴散，縮小爆炸半徑，最後一項是企業要建立漏洞維運VulnOps的機制。</p> <p>其中第二點建議，正是金管會過去兩年力推的零信任架構，過去是推動導入高風險場域，現在則希望金融業落實，要逐漸將零信任架構導入金融資安基礎規範。</p> <p>過去兩年，期望企業盤點資源存取途徑，用零信任思維來深化資安防護，尤其在每一道關卡，都要搜集足夠的日誌與事件資料收集，送到SOC平臺監控和判斷。</p> <p>金管會多年來推動金融業者要從駭客攻擊角度來部署資安防護，累積了不少資安監控規則。從去年到今年，金管會將原本的地端監控機制，延伸到雲端監控機制，讓金融資安監控組態基準（MCB），逐漸納入雲端基礎建設和雲端常用資安設備。</p> <p>其中一項金管會正在討論的雲地資安範疇是容器環境，也找來相關廠商配合實測，預計今年7月底完成金融機構容器安全監控暨組態基準，將會涵蓋雲地服務業者及容器安全日誌收集等相關監控項目和規則的訂定。</p> <p>去年金管會推動的金融資安攻防演練中，實測了資安監控組態基準的效果，這套基準可以涵蓋超過9成的演練攻擊手法，像是APT10、APT40、無檔案式攻擊、企業間諜活動攻擊等情境，對整體監控情境有高度完整性。</p> <p>「金管會推動這些事情不是為了合規，而是為了讓它真正發揮作用。」林裕泰強調：</p> <p>「目前最迫切的挑戰是AI和後量子密碼遷移。」他強調，AI與AI的戰爭已經發生了，金管會原本今年考慮參考OWASP的GenAI資安專案，發展臺灣金融業可用的資安防護框架，但是AI進步太快了。</p> <p>像OWASP的GenAI資安專案，幾乎每個月發布一份報告，持續更新指標，有時甚至一個月好幾份。MITRE ATLAS整理的AI攻擊樣態資料，攻擊手法和案例也不斷增加。所以，「如何將安全控制嵌入系統設計流程，是金融業未來要努力的目標。」他強調。如何建構一個環境，可以讓AI幫忙做事，又能夠確保安全的運作，金管會正與相關機構與單位共同試驗中，相關做法更成熟後會對外公布。</p> <h3><span style="color:#FF0000;"><strong>Y2Q剩下不到4年，金融業要更早因應PQC遷移</strong></span></h3> <p>另一個金融業的新興科技挑戰是後量子密碼遷移，根據CSA的Y2Q倒數計時（量子計算具備破解密碼的能力時間表），剩下不到4年的時間。Google更在今年RSA中預告，提早到2029年完成遷移，這意味著Y2Q的時間可能更為縮短。</p> <p>金融業PQC遷移要面臨不少挑戰，第一個挑戰是，金融服務範圍廣，而且往往不是由單一機構獨立完成，像跨行轉帳就是一個涉及多個機構的跨行交易系統。「不是自己的系統單獨升級就夠，必須配合整套體系的運作才能完成。」林裕泰剖析。另一個挑戰是，金融業追求穩定，遷移過程必須維持服務不中斷。</p> <p><img alt="" src="/sites/default/files/images/%E5%A4%A7PQC%E8%A6%8F%E5%8A%83IMG_1272.jpeg" /></p> <p>去年7月開始，金管會啟動「金融業後量子密碼遷移先導計畫」，找來代表性金融機構成立量子先導小組，即將完成「金融業後量子密碼遷移參考指引」。</p> <p>「不是要金融機構馬上開始遷移，而是要先做好遷移的準備工作。」林裕泰舉例，像是先鎖定高風險資產，來進行加密應用的盤點和風險評估，而不用全面性盤點。他強調：「PQC遷移工作不是一次性的任務，而會先進行混合加密，再過渡到量子加密。」PQC演算法也還沒經過足夠的時間來驗證安全性，日後可能還需要第二次或第三次的遷移。</p> <p>盤點完成後，金融機構要建立自己的加密演算法清單或控管表，也可以趁機將企業散落各地的加密機制整合，建立加密敏捷性，像是統一管理分散在程式碼中的加密機制。</p> <p>這份參考指引在策略面，希望加速金融的IT供應商及早投入PQC解決方案，等到金融業啟動遷移作業時有足夠的技術和產品支援，另外在管理，也會提供加密應用盤點和風險評估、排定優先順序的做法，以供金融機構規劃自己的遷移路徑、時程和所需資源。還會從技術面，評估專業人力需求、PQC演算法和產品採購策略、系統資源差異，提供企業人力培訓，汰換與擴充資訊訓設備的參考。金管會也會推動典範試點，讓更多金融同業參考。</p> <p>在軟體供應鏈資安上，金管會希望資安標準可以延伸到委外供應商端，因此也計畫要訂定供應商分級和委外資安責任的參考範本，參考了關鍵電信業者的做法。未來也會鼓勵關鍵供應商分享資安情資和協作，例如聯合資安演練等。</p> <p>他指出：「希望供應商建立一個觀念，落實資安不是成本，而是轉錢的能力。」資安做得越好，可以接到更多標案和業績，資安可以視為利潤，而非成本，這是資通訊業供應商必須有的認知。</p> <p>在情資分享上，F-ISAC和金融機構的情資分享已有很好的效果，下一步希望擴大到非金融機構情資分享和國際合作。金融資安交流會中，也找來情資貢獻度最高的前三名金融業者分享經驗。他們不只是搜集情資，更要化為實際的行動。他們搜集到一份情資，不只用來檢視自己的防護、偵測、阻擋能力，也將整理後的情資回饋F-ISAC，分享給其他成員，形成一個良性循環。</p> <p>從去年開始，金管會特別舉辦攻防演練體驗營，像在四月金融資安交流會中就有一場。讓沒有足夠人力自己演練的中小型金融機構，可以透過體驗營，來了解駭客怎麼攻擊，自己又要如何防護。</p> <p>林裕泰提醒：「攻防演練只是一種過程，發現問題不是目的，而是要在演練過程裡，同步檢查資安防禦環境。一個單一事件，可能是造成系統性失靈的環節。」</p> <p>現在金融業機構的多層次備援，不會採取和正式環境1比1的備援資源，但在資源不足的環境下，是否可以應付正常的流量。多層次備援機制也要從韌性角度來思考，資源不足時，要優先確保哪些關鍵金融服務的持續運作，演練SOP是否也納入這些韌性考量。</p> <p><img alt="" src="/sites/default/files/images/0507-%E6%9E%97%E8%A3%95%E6%B3%B0_701A_260507_5.jpg" /></p> <p>林裕泰也分享了他在金融資安交流會中得到的體會，從許多資安典範的經驗中，他歸納，資安落實原則，就是「堅持最小權限、追根究底、日常落實」。面對AI新興科技的挑戰，IT與資安單位更要率先擁抱，成為最了解，也最能掌握AI的人，將自己視為實驗平臺，才會得到深刻的體驗，日後更有能力評估業務單位的AI發展。</p> </div></div></div>
5/12 16:35作者王宏仁https://www.ithome.com.tw/news/175737
AWS推出Claude Platform on AWS，企業可用既有帳號存取Anthropic原生服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><strong><a href="https://aws.amazon.com/blogs/machine-learning/introducing-claude-platform-on-aws-anthropics-native-platform-through-your-aws-account/">AWS正式發布</a></strong>Claude Platform on AWS，AWS用戶可透過既有AWS帳號使用Anthropic原生Claude Platform，並沿用AWS IAM身分驗證、AWS Marketplace帳務與CloudTrail稽核記錄。這項服務讓企業在Amazon Bedrock之外，多一個取用Claude API與Claude Console的選擇。</p> <p>Claude Platform on AWS提供與Anthropic直接服務相近的API、功能與主控臺體驗，開發者可使用Messages API、Claude Managed Agents測試版、顧問策略（Advisor Strategy）測試版、網頁搜尋與網頁擷取、MCP連接器測試版、Agent Skills測試版、程式碼執行，以及Files API測試版等功能。AWS說明，這些能力可透過AWS帳號存取，不必另行管理獨立憑證、合約或帳單關係。 </p> <p>Claude Platform on AWS與Claude on Amazon Bedrock的區別在於，<strong><a href="https://claude.com/blog/claude-platform-on-aws">Claude Platform on AWS由Anthropic營運</a></strong>，推論請求與資料會在AWS安全邊界外由Anthropic處理，適合希望使用Claude原生平臺與較早期測試功能，且沒有嚴格區域資料駐留要求的團隊。要是企業要求AWS作為唯一資料處理方，或需要Bedrock Guardrails、Knowledge Bases等Amazon Bedrock代管功能，則較適合使用Claude on Amazon Bedrock。</p> <p>Claude Platform on AWS可用IAM政策控管工作區存取，活動可進入CloudTrail，帳務則透過AWS Marketplace與AWS Cost Explorer管理。AWS也提到，工作區操作預設會以管理事件形式記錄，企業也可啟用資料事件記錄，以追蹤推論活動。</p> <p>Claude Platform on AWS目前可在多個AWS商業地區使用，並支援全球與美國推論地理範圍。</p> </div></div></div>
5/12 16:44作者李建興https://www.ithome.com.tw/news/175734
【臺灣資安大會直擊】用AI對抗AI，緯創資通藍隊將資安事件回應速度從「小時」縮短至「分鐘」
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>近年來，<a href="https://www.ithome.com.tw/news/168970">Google</a>、<a href="https://www.ithome.com.tw/news/169968">AWS</a>與<a href="https://www.ithome.com.tw/news/175566">微軟</a>等科技大廠陸續公開內部資安團隊用AI強化防禦，各界因此得以參考多種可仿效的實務作法，對臺灣企業而言，這股應用浪潮雖受重視，但如何將AI真正落實於日常資安維運，仍是大家積極探索的課題。今年臺灣資安大會開始出現更多企業公開實務經驗，高科技製造業者緯創資通（Wistron）就是一例。</p> <p>約從兩年前開始，該公司嘗試運用AI解決長年困擾SOC團隊的「告警疲勞」問題，並利用AI Chatbot大幅優化事件查詢效率，這些應用實例已展現AI在日常維運中的關鍵價值。</p> <h2><strong>每月近1千筆資安警訊、65%為誤報，解決告警疲勞成焦點</strong></h2> <p>「企業藍隊每月面對將近1,000筆告警，但其中約65%是誤報。」緯創資通資訊安全系統監控部技術經理楊庭瑋指出，由於團隊要求每筆事件皆須檢視、記錄與追蹤，面對每月大量告警且準確率低的狀況，SOC團隊往往耗費大量精力在處理無效告警，導致真正具威脅的事件可能被延後處理，增加企業風險。</p> <p>楊庭瑋坦言，在過去實務經驗中，若依傳統人工模式，當真正威脅發生時，往往需耗費約數小時才能啟動處理，此時威脅可能已造成實質影響。因此，團隊一直在思考要如何提升處理效率，隨著LLM模型與生成式AI能力的持續展現，緯創自2024年起，將之納入企業藍隊防護的核心。</p> <h2><strong>企業藍隊AI布局聚焦4大面向，強化偵測與回應的投入最大</strong></h2> <p>為了確保AI能有效落地，楊庭瑋表示團隊在規畫初期，先透過NIST CSF 2.0及CDM（Cyber Defense Matrix）框架進行盤點，找出適合AI介入的場景，一開始他們選定的範圍，不僅包含異常偵測，亦涵蓋事件處理、情資整合與資安政策標準，進而歸納出四大戰略方向：強化偵測與回應、彌補自動化斷點、輔助資安宣導，並致力於縮短全球據點間的技能落差。</p> <p>在強化偵測與回應與彌補自動化斷點方面，團隊初期鎖定定義較明確、每月約30至50筆的病毒感染與網頁攻擊事件作為起點。導入前，人工作業常需排隊4小時才進入處理，並要再花15分鐘進行分析；導入AI後，緯創資通在內部開發名為「哥倫布」<strong></strong>的平臺，系統可先行抓取Log日誌並自動判斷：若為誤報則直接結案，若判定異常即通報。實測顯示，原本需15分鐘的分析工作縮短至1分鐘，且達成零遺漏的精準偵測。</p> <p>然而，當應用擴展至更複雜的異常登入場景時，挑戰也隨之而來。面對每月平均約150筆、誤報率高達95%的沉重負擔，緯創資通期望透過AI解決此痛點，並設定目標，要求正確率須達95％以上，且絕不容許任何威脅遺漏。</p> <p>楊庭瑋透露，訓練過程並非一帆風順。2024年3月啟動時，正確率僅在55％至80％間擺盪，甚至在模型從GPT-3.5升級至GPT-4時，正確率一度因模型特性改變而大幅下滑，令團隊感到意外。後續團隊改採多模型互檢機制並優化提示詞工程，正確率終於穩定達到平均97.5％，處理時間從4小時壓縮至10分鐘，另外也解決了過去每月約1％的漏報風險。</p> <p>除了解決告警問題，他們的企業藍隊還有發展關聯建模與可視化分析，其核心目標在於建立人員與事件間的關聯拓樸，並將外部威脅情資與內部資產進行精準比對，楊庭瑋並鼓勵企業積極探索此領域；同時該團隊也發展互動式資安應用，主要作為資安威脅查詢與事故回應的輔助核心。</p> <p>關於這方面的開發經驗，楊庭瑋強調：「設計核心在於不讓單一Agent負擔過多任務。」其團隊打造的Agent分工架構，由前端Agent負責判讀需求，再交由後端6個專長不同的Agent執行情資查詢、Log分析等特定任務。這種設計不僅減少Token浪費，更提升了精準度。</p> <p>該平臺目前已能自動比對攻擊IP位址情資，並在人員審核後，自動執行將IP位址加入黑名單或撤銷帳號Session等處置，將分析與回應整合在單一介面。雖然現階段仍需由人工下達執行指令，但已大幅提升了處理效率。</p> <p>綜觀上述這項實踐，讓我們聯想到近年資安業者強調產品已朝向Agentic SIEM發展，楊庭瑋表示，團隊也持續關注相關產品，而這段自研AI的經驗累積，不僅強化了現有的自動化能量，也讓未來評估相關解決方案時可以有更具體的心得與判斷依據。</p> <p><a href="/sites/default/files/images/（圖1）緯創資通_ 用AI對抗AI_企業藍隊應用.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E7%B7%AF%E5%89%B5%E8%B3%87%E9%80%9A_%20%E7%94%A8AI%E5%B0%8D%E6%8A%97AI_%E4%BC%81%E6%A5%AD%E8%97%8D%E9%9A%8A%E6%87%89%E7%94%A8.jpg" style="width: 600px;" /></a></p> <h2><strong>建立兩類型資安知識庫，解決技術斷層問題</strong></h2> <p>另兩項企業藍隊AI關鍵應用，在於輔助資安宣導與縮短全球技能落差的層面。</p> <p>楊庭瑋表示，資安不只是IT同仁的事，而是全公司的事。因此希望讓同仁能快速理解公司資安政策，降低違規風險，他們並針對不同目標需求打造相應機制。</p> <p>首先，對一般員工，資安團隊提供類似Chatbot的資安規範小幫手，方便大家諮詢，讓同仁不必翻找文件，可直接詢問網路阻擋原因、密碼政策等常見問題。</p> <p>其次，對資安人員而言，則提供面向SOC作業架構與流程的資安指南，由於緯創主要製造與研發基地遍布全球多國，協助新進或海外同仁快速理解作業流程、消弭技術斷層，亦顯得至關重要。</p> <p>總結緯創資通的實戰經驗，楊庭瑋強調，AI雖無法完全取代資安人員，卻是很好的增援戰力。面對駭客利用AI發動攻擊的嚴峻情勢，緯創正積極實踐「用AI對抗AI」。他並強調，目前公司藍隊防護的成果多源自2024年的開發基礎，但緯創資通後續也在持續深化應用，朝向更高度且完善的自動化AI防禦體系邁進，並期勉所有資安同仁與AI並肩作戰，讓防禦能走在威脅之前。</p> </div></div></div>
5/12 15:22作者羅正漢https://www.ithome.com.tw/news/175726
向量資料庫Pinecone推出AI代理知識引擎Nexus，主打以預先編譯知識改善RAG檢索問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.pinecone.io/blog/knowledge-infrastructure-for-agents/" target="_blank">向量資料庫業者Pinecone近日公布新產品Nexus</a>，定位為專供AI代理（AI agents）使用的知識引擎（knowledge engine），並提出「知識編譯（knowledge compilation）」概念，主張以預先整理與結構化企業知識的方式，改善現行RAG（Retrieval-Augmented Generation）架構在代理式AI場景的效能與可靠性問題。</p> <p>Pinecone表示，目前代理式AI約有85%的運算工作與知識檢索相關，但任務完成率仍僅約50%至60%。不只增加Token成本，也容易因反覆檢索與上下文不足而產生幻覺（hallucination）或遺漏重要資訊。</p> <p>該公司認為，現行RAG流程本質上仍是將大量原始文件片段交由模型即時處理，因此推論延遲、成本與輸出結果的穩定性都會受到影響。Nexus則試圖將部分知識整理工作提前至資料處理階段完成。</p> <p>根據Pinecone說明，Nexus主要由Context Compiler與Composable Retriever兩大元件構成。Context Compiler可先根據企業資料與代理任務需求，建立適合特定工作流程的結構化知識內容；Composable Retriever則負責依不同代理需求，以適當格式提供相關知識資料。</p> <p>Pinecone舉例，中型SaaS企業的資料通常分散於資料倉儲、Slack、Salesforce等不同系統。現行AI代理工具多半直接掃描所有資料來源，再自行整理上下文，不只容易產生錯誤，也可能被大量無關資訊干擾。Nexus則改以預先建構特定任務所需的知識內容，讓代理直接存取經過整理的知識成果，而非反覆查詢原始文件。</p> <p>Pinecone也同步公布KnowQL查詢語言，讓AI代理可透過統一格式描述查詢意圖、資料來源、輸出格式、可信度與延遲需求等條件，以取得結構化且附帶引用來源的回應內容。</p> <p><a href="https://thenewstack.io/pinecone-nexus-rag-obsolete/" target="_blank">《The New Stack》</a>分析指出，Pinecone過去是推廣RAG架構與向量資料庫的重要業者之一，如今卻主張傳統RAG模式開始面臨代理式AI工作負載帶來的效能挑戰，也反映AI基礎架構正從單純向量搜尋，轉向更重視上下文工程（context engineering）與知識預先整理的新方向。</p> </div></div></div>
5/12 15:33作者王珮瑤https://www.ithome.com.tw/news/175731
英國NCSC提醒企業使用AI尋找漏洞前，先完善漏洞管理機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>隨著AI模型能力持續提升，<a href="https://www.ncsc.gov.uk/blogs/10-questions-ask-using-ai-models-find-vulnerabilities" target="_blank">英國國家網路安全中心（NCSC）提醒</a>，使用AI模型尋找漏洞，目的應是強化系統安全；企業組織在導入前，應先確認自身是否具備漏洞管理、資產盤點等能力，否則當漏洞回報量增加，反而可能加重資安團隊負擔。 </p> <p>NCSC也強調，落實網路安全衛生仍是改善組織資安體質的關鍵；相較於零時差漏洞遭到利用，企業未能及時套用已釋出的修補程式，或是內部系統出現未經授權存取行為，帶來的安全風險更值得留意。</p> <p>在漏洞處理優先順序方面，NCSC指出，2025年取得CVE編號的漏洞超過4萬個，但根據美國CISA已知遭利用漏洞目錄（KEV），只有約400個新漏洞被確認為已遭利用。因此，企業應優先處理攻擊者可實際利用的漏洞。</p> <p>針對有意使用雲端代管AI模型服務的企業，NCSC建議的評估面向包括：資料外洩風險、基礎架構防護、沙箱隔離機制、模型存取權限、是否讓模型存取正式上線環境、服務條款、資料保存政策，以及服務所在地與法律管轄區等。</p> <p>在長期規畫上，NCSC認為，掌握先進AI資安發展，幾乎可以確定會是未來10年維持網路韌性的關鍵。NCSC並提醒，AI能加快資安團隊分析與處理問題的速度，但無法取代專業資安人員的角色。</p> </div></div></div>
5/12 15:42作者王珮瑤https://www.ithome.com.tw/news/175732
【資安日報】5月12日，駭客首度濫用AI挖掘零時差漏洞並生成攻擊工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/175722"><strong style="font-size: 22px;">Google揭露駭客濫用AI找出零時差漏洞，企圖發動大規模攻擊</strong></a></p> <p><a href="/sites/default/files/images/ai-q2-fig2_63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/ai-q2-fig2_63.jpg" style="width: 300px; float: right;" /></a></p> <p>Google威脅情報團隊（GTIG）公布網路犯罪圈濫用AI的態勢的最新調查報告，其中最受到關注的是，他們近日察覺有駭客組織嘗試利用AI找出的零時差漏洞，從事大規模攻擊，但因GTIG及時發現而加以攔阻，攻擊並未成功。GTIG指出，這是首度發現有人利用AI挖掘零時差漏洞，並企圖用於實際攻擊。在其中一個漏洞利用嘗試活動裡，GTIG看到多個惡名昭彰的駭客團體聯手策畫大規模漏洞利用活動，他們製作能利用此漏洞的Python指令碼，藉此繞過熱門開源網路系統管理工具的雙因素驗證（2FA）流程，根據漏洞的結構與內容，GTIG研判駭客顯然正在利用AI模型找出漏洞，並製作相關攻擊工具。</p> <p><a href="https://www.ithome.com.tw/news/175714"><strong style="font-size: 22px;">資安公司Checkmarx再傳遭供應鏈攻擊，Jenkins AST外掛被竄改</strong></a></p> <p>5月9日Checkmarx指出，他們察覺發布於Jenkins延伸套件市集的Jenkins AST外掛程式出現遭到竄改的跡象，攻擊者上架了有問題的新版本，呼籲用戶要儘速檢查，確定使用的版本是2025年12月17日發布的2.0.13-829.vc72453fa_1c16，或之前的版本，而非有資安風險的2026.5.09版，才能避免CI/CD環境被滲透。雖然Checkmarx並未進一步說明細節，不過該公司認為此事與他們從3月開始遭遇的供應鏈攻擊事故有關，很可能是其中的一部分。</p> <p><a href="https://www.ithome.com.tw/news/175718"><strong style="font-size: 22px;">針對Checkmarx發布的Jenkins AST外掛遭駭，TeamPCP聲稱是他們所為</strong></a></p> <p><a href="/sites/default/files/images/HH5GLz9W8AQNkbM-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/HH5GLz9W8AQNkbM-63.jpg" style="width: 300px; float: right;" /></a></p> <p>5月9日資安公司Checkmarx發出警告，該公司推出的Jenkins AST外掛程式遭供應鏈攻擊，駭客上架有問題的新版本，要用戶採取行動因應，有資安研究員公布更多細節。資安工程師Adnan Khan、資安公司SOCRadar指出，TeamPCP於Checkmarx的Jenkins AST外掛植入後門程式，但與過往的攻擊活動最大的不同，在於這些駭客這次還竄改了GitHub儲存庫的內容，竄改標題與說明資訊，聲稱他們完全滲透了Checkmarx，慫恿該公司客戶取消使用該公司的產品及服務，並嘲諷該公司憑證輪換不完全。</p> <p><a href="https://www.ithome.com.tw/news/175724"><strong style="font-size: 22px;">網頁應用程式框架TanStack的NPM套件遭Mini Shai-Hulud供應鏈攻擊</strong></a></p> <p><a href="/sites/default/files/images/6a0249ed345a95098929b98f_mermaid-diagram-2026-05-11-142800-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/6a0249ed345a95098929b98f_mermaid-diagram-2026-05-11-142800-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安公司StepSecurity發現最新一波蠕蟲程式Mini Shai-Hulud攻擊，TeamPCP針對網頁應用程式框架TanStack的GitHub Actions發布流程，利用挾持的OIDC權杖（token），發布TanStack Router的惡意NPM套件。與先前攻擊的差異在於，這次被滲透的套件，竟然具有軟體供應鏈安全框架SLSA第3級來源見證，使得Mini Shai-Hulud成為第一個可產生有效見證的惡意軟體套件、又有文件記載的NPM蠕蟲。值得留意的是，Mini Shai-Hulud已從TanStack擴散，影響UiPath、DraftLab及其他維護者的套件。</p> <p><a href="https://www.ithome.com.tw/news/175712"><strong style="font-size: 22px;">cPanel身分驗證漏洞被用於散布RAT木馬Filemanager</strong></a></p> <p>中國資安公司奇安信指出，他們在5月4日發現有人利用CVE-2026-41940散布的新惡意程式，此酬載以Go語言撰寫，嵌入疑為AI生成的大量土耳其語事件記錄與訊息，主要功能是將SSH公鑰、惡意PHP與JavaScript程式碼植入cPanel系統，竊取登入憑證，並回傳攻擊者控制的Telegram頻道，最終部署RAT遠端存取木馬Filemanager。該公司進一步調查背後的攻擊者，發現該駭客組織的活動最早可追溯至2020年，他們將這組人馬命名為Mr_Rot13進行追蹤。</p> <p><a href="https://www.ithome.com.tw/news/175711"><strong style="font-size: 22px;">身分驗證管理供應商SailPoint的GitHub儲存庫遭駭</strong></a></p> <p>身分驗證管理供應商SailPoint於5月8日，向美國證券交易委員會（SEC）提交8-K表單，表示該公司於4月20日偵測到部分GitHub儲存庫出現未經授權存取的情況，事件回應團隊隨即阻止未經授權的行為，找出被入侵的原因並予以處置。該公司透露，攻擊者是透過第三方應用程式的弱點而獲得存取管道，目前該漏洞已經修復。根據初步的調查結果，SailPoint未發現客戶資料於生產或臨時環境遭到存取的跡象，亦未出現服務中斷，該公司已通知資料存放在上述儲存庫的客戶。</p> <p><a href="https://www.ithome.com.tw/news/175715"><strong style="font-size: 22px;">汽車大廠Skoda網路商店被駭，疑外洩客戶個資</strong></a></p> <p>捷克汽車大廠Skoda公告，其線上商店平臺遭駭，警告客戶姓名、電子郵件信箱等個資可能遭存取。Skoda的安全監控團隊發現異常活動。在發現後該公司立即將網站下線並修補漏洞。事後Skoda研判，駭客是濫用其運行線上商店的標準電商系統軟體的漏洞，可能存取線上商店平臺處理的資料。原則上攻擊者可以接觸儲存在系統中的資料，包括客戶姓名、地址、電子郵件信箱、電話、訂單細項及其他帳戶資訊。此外，以密碼雜湊形式儲存的密碼可能也遭存取。</p> <p><a href="https://www.ithome.com.tw/news/175648"><strong style="font-size: 22px;">駭客濫用遠端管理工具Tiflux於受害電腦建立存取管道</strong></a></p> <p><a href="/sites/default/files/images/assets_3eb6f92aedf74f109c7b4b0897ec39a8_db41aecec1074879848dfef8f0f83551-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/assets_3eb6f92aedf74f109c7b4b0897ec39a8_db41aecec1074879848dfef8f0f83551-63.jpg" style="width: 300px; float: right;" /></a></p> <p>在今年2月，威脅情報公司Huntress開始觀察到駭客使用巴西遠端監控及管理工具Tiflux的活動，並從2月27日出現顯著增加的情形。駭客先透過網路釣魚活動與誘餌文件檔案建立初期存取管道，然後再將存取管道與其他遠端管理工具串連使用。駭客挑選Tiflux的原因，不光是該應用程式鮮為人知，其安裝程式亦存在過時且疑似有問題的元件，其中一個是驅動程式HwRwDrv.sys，此元件存在可被用於權限提升的弱點，而且簽章已經過期，因此，Huntress認為，駭客濫用Tiflux帶來的危險，已超越一般利用遠端監控及管理工具的活動。</p> <p><a href="https://www.ithome.com.tw/news/175667"><strong style="font-size: 22px;">駭客結合釣魚攻擊與遠端管理工具，影響逾80個機構</strong></a></p> <p>資安業者Securonix近日發布報告，揭露代號VENOMOUS#HELPER的釣魚攻擊行動，駭客自2025年4月起，利用兩款遠端監控與管理（RMM）工具：修改版的SimpleHelp與ScreenConnect，攻擊超過80個機構。駭客首先透過假冒美國社會安全局名義寄送釣魚郵件，誘騙受害者下載惡意檔案，一旦受害者執行惡意檔案，駭客便會藉此安裝擁有合法數位簽章的RMM工具，從而對受害裝置建立持久的遠端存取能力，並藉此規避傳統資安防護與惡意程式偵測。</p> <p><a href="https://www.ithome.com.tw/news/175692"><strong style="font-size: 22px;">逾5千個Vibe Coding應用程式可公開存取且毫不設防，可能導致企業資料外洩</strong></a></p> <p>資安業者RedAccess近日向媒體WIRED與Axios揭露，大量透過直覺式程式開發（Vibe Coding）方式建立的網路應用程式，缺乏身分驗證等基本的安全措施，導致企業敏感資料可能暴露於公開網路。這家以色列資安公司總共找到38萬個這類系統，他們有幾個認定條件：一、暴露在網路上、可公開存取的系統，二、使用整合AI工具的開發平臺，如Lovable、Replit、Base44與Netlify等而建立的系統，他們發現其中有5千個缺乏身分驗證、存取控制等基本防護措施，外界只要能找到正確網址，就能存取這些應用程式及其資料。</p> <p><a href="https://www.ithome.com.tw/news/175686"><strong style="font-size: 22px;">非關聯式資料庫Redis揭露5個漏洞，未修補可能導致遠端執行程式碼攻擊</strong></a></p> <p>開源記憶體型NoSQL資料庫系統Redis的資安團隊，近日發布公告，揭露5個漏洞，包括可能導致遠端執行任意程式碼（RCE）攻擊的高風險漏洞，建議用戶儘速更新至已修補版本。這次Redis公告的漏洞，被判定為高風險等級的就多達4個，CVSS嚴重性評分均為7.7分，同樣都可能導致攻擊者遠端執行任意程式碼，其中3個漏洞都涉及RESTORE指令的無效記憶體存取（Invalid Memory Access）問題。</p> <p><a href="https://www.ithome.com.tw/news/175679"><strong style="font-size: 22px;">美國警告LiteLLM重大SQL注入漏洞已被用於實際攻擊</strong></a></p> <p>4月24日LiteLLM開發團隊揭露SQL注入漏洞CVE-2026-42208，資安公司Sysdig也發現，在公告發布的36小時後，已有人將其用於實際攻擊，如今美國政府也證實該漏洞遭利用。5月8日美國網路安全暨基礎設施安全局（CISA）發布公告，將CVE-2026-42208列入已遭利用的漏洞名冊（KEV），要求聯邦機構必須在5月11日前完成修補，但對於此漏洞是否被用於勒索軟體攻擊，CISA目前無法確定。</p> <p><a href="https://www.ithome.com.tw/news/175713"><strong style="font-size: 22px;">OpenAI發表Daybreak資安防禦方案，整合GPT-5.5-Cyber與Codex Security</strong></a></p> <p>OpenAI於5月12日發表了Daybreak，宣稱這是專替資安防禦者打造的前沿AI，它結合了OpenAI的各種模型、Codex，以及資安合作夥伴，可協助企業掃描漏洞、建立威脅模型、驗證修補結果，以加速資安防禦並持續保護軟體安全。Daybreak的角色及定位是在將AI的能力變成一套可控的資安防禦方案，解決誰可以使用、可用於哪些授權環境、如何驗證修補結果，以及高風險資安能力如何分級開放與稽核等問題。</p> <p><a href="https://www.ithome.com.tw/news/175719"><strong style="font-size: 22px;">iPhone與Android互傳訊息更安全，iOS 26.5支援RCS端到端加密</strong></a></p> <p>5月11日蘋果與Google宣布，從iOS 26.5版開始，RCS（Rich Communication Services，豐富通訊服務）訊息將陸續支援端到端加密，讓iPhone與Android使用者之間的跨平臺訊息傳輸更安全。雙方合作於RCS標準中導入端到端加密，使得此替代傳統SMS的跨平臺訊息格式更加安全與私密。當RCS訊息採用端到端加密時，訊息在裝置之間傳送的過程中無法被讀取，可降低電信商、平臺或其他中間環節接觸訊息內容的風險。</p> <p><a href="https://www.ithome.com.tw/news/175684"><strong style="font-size: 22px;">紅帽新版RHEL強化後量子安全準備，導入抗量子簽章與AI輔助升級</strong></a></p> <p>Red Hat（紅帽）於5月6日宣布，Red Hat Enterprise Linux（RHEL）10.2與9.8即將正式推出。新版作業系統將後量子密碼學（PQC）納入系統基礎，並搭配機密運算與AI輔助自動化處理與系統升級，協助企業在混合雲環境兼顧安全性與維運一致性。在後量子準備（Post-Quantum Readiness）能力方面，紅帽指出，RHEL 10.2與9.8整合美國國家標準暨技術研究院（NIST）標準，讓企業系統能及早因應量子運算可能帶來的新興威脅。</p> <p><a href="https://www.ithome.com.tw/news/175690"><strong style="font-size: 22px;">Cloudflare廣域網路即服務開始支援PQC，強化企業WAN量子威脅防護</strong></a></p> <p>網路服務與資安業者Cloudflare宣布，Cloudflare IPsec後量子加密功能正式上線，這也是該公司加速後量子準備（Post-Quantum Readiness）布局的最新進展。該公司於4月30日把防護範圍擴大，涵蓋企業的站點對站點廣域網路（site-to-site WAN）連線。Cloudflare IPsec新增支援的後量子加密功能，採用混合的模組格基式金鑰封裝機制（Module-Lattice-Based Key-Encapsulation Mechanism，ML-KEM），結合傳統Diffie-Hellman金鑰交換與後量子演算法，降低未來量子電腦破解現行公開金鑰密碼學的風險。</p> <p><a href="https://www.ithome.com.tw/news/175703"><strong style="font-size: 22px;">【臺灣資安大會直擊】AI時代資安新風險，東元電機指出未來駭客攻擊的不只是系統，而是企業決策</strong></a></p> <p>生成式AI快速進入企業營運流程之際，企業面臨的資安風險也正從傳統IT安全問題，逐步轉變成更深層的治理與決策風險。東元電機數位發展處處長胡修武近日在一場演講中指出，AI並不只是新的工具，而是一種全新的資訊架構。當AI逐漸成為企業內部的「數位員工」，未來駭客攻擊的目標，也將不再只是系統本身，而是企業的決策能力。胡修武認為，企業不應把資安視為一次性的導入專案，而是一種需要長期累積的企業能力。</p> <p><a href="https://www.ithome.com.tw/news/175707"><strong style="font-size: 22px;">【臺灣資安大會直擊】金融資安治理、防護與韌性演練都必須持續升級</strong></a></p> <p>在臺灣資安大會金融資安論壇中，金管會副主委莊琇媛開場時也特別強調了AI對資安的影響，她指出，這對資安產業帶來很大的挑戰，攻擊者可以用AI發動攻擊，企業同樣也可以用AI來防禦。因此，金管會在去年底發布了金融資安韌性發展藍圖政策，莊琇媛特別提醒三件事，來因應越來越嚴峻的資安挑戰：資安治理必須持續升級，防護能力也必須升級，韌性更一定要能演練和驗證。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=161014&SPOKE_DATE=20260511&COMPANY_ID=2030"><strong style="font-size: 22px;">不鏽鋼管製造廠彰源資源系統遭網路攻擊</strong></a></p> <p>5月11日不鏽鋼管製造廠彰源企業（2030）於股市公開觀測站發布資安重訊，指出該公司內部網路環境出現有人企圖登入的跡象，經調查發現資訊系統遭受駭客攻擊。針對這起事故對公司帶來的影響，彰源根據初步評估的結果指出，目前沒有個資、機密或重要文件資料外洩情形，研判對公司營運無重大影響。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=200141&SPOKE_DATE=20260511&COMPANY_ID=6865"><strong style="font-size: 22px;">偉康科技遭網路攻擊</strong></a></p> <p>企業數位轉型公司偉康科技（6865）於5月11日晚間發布資安重訊，透露遭到駭客攻擊的情形。該公司透露事發後已啟動防禦機制因應，對於這起事故可能會造成的影響，該公司初步評估對公司營運無重大影響。罕見的是，偉康特別提及已投保了資安險，有可能會獲得理賠，但金額將根據最終鑑定結果及保單條款而定。</p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/175698"><strong>【5月11日】逾半數密碼的MD5雜湊值一小時就能破解</strong></a></p> <p><a href="https://www.ithome.com.tw/news/175655"><strong>【5月8日】Linux核心再傳本機提權漏洞Dirty Frag</strong></a></p> <p><a href="https://www.ithome.com.tw/news/175615"><strong>【5月7日】駭客聲稱提供OpenClaw用戶擴充功能散布惡意軟體</strong></a></p> </div></div></div>
5/12 13:30作者周峻佑https://www.ithome.com.tw/news/175725
GitLab啟動Act 2策略調整，改造AI代理開發平臺並縮減人力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><strong><a href="https://about.gitlab.com/blog/gitlab-act-2/">GitLab執行長Bill Staples發布公開信</a></strong>，宣布公司啟動一項名為Act 2的組織重整與產品策略調整，核心方向是因應AI代理參與軟體開發後，程式碼提交、合併請求與CI/CD流程可能從人類速度轉向機器速度。GitLab表示，既有開發平臺若只是把AI功能加掛到原有流程，將難以承受代理大量並行工作的負載，因此公司將改造底層基礎架構與開發流程。</p> <p>該公開信中指出，AI代理未來可負責規畫、撰寫程式、審查、部署與修復，人類工程師仍負責架構、客戶問題理解與關鍵取捨。GitLab認為，這會改變開發平臺的設計前提。以Git為例，GitLab稱AI代理可能並行開啟大量合併請求、全天候觸發工作管線，並以人類團隊難以達到的頻率推送提交，因此Git本身需要面向機器規模工作負載重新工程化。</p> <p>GitLab列出5項架構改進方向，包括機器規模基礎架構、橫跨軟體開發生命周期的協調能力、可供AI模型使用的脈絡資料、內建治理機制，以及同時支援人類主導、AI輔助與AI自主開發的一套平臺。GitLab也表示，單一AI代理產生程式碼或開啟合併請求並不足以滿足企業需求，企業更需要一個能協調代理、管理狀態、傳遞脈絡資料、處理衝突並執行政策控管的協調層。</p> <p>Act 2策略延續GitLab今年1月所宣布GitLab Duo Agent Platform正式可用的方向，主打在軟體開發生命周期中協調AI代理，涵蓋規畫、程式碼、CI/CD與安全等工作，並提供Planner Agent、Security Analyst Agent與自訂代理等能力。</p> <p>Act 2也伴隨組織重整，GitLab表示將縮減人力，但公開信未列出受影響人數。公司計畫將營運所在國家數量最多縮減30%，主要針對只有少數人員或人數更少的地區，部分職能最多移除3層管理階層，研發部門則將重組為約60個較小、負責端到端工作的團隊。GitLab表示，既有客戶支援、產品路線圖承諾與合約條款不受影響。</p> </div></div></div>
5/12 14:59作者李建興https://www.ithome.com.tw/news/175730
網頁應用程式框架TanStack的NPM套件遭Mini Shai-Hulud供應鏈攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>從3月下旬起接連發動供應鏈攻擊的駭客團體TeamPCP，繼傳出三度對資安公司Checkmarx下手後，也有其他NPM套件遭到這些駭客滲透，散布蠕蟲程式。</p> <p>資安公司StepSecurity發現<strong><a href="https://www.stepsecurity.io/blog/mini-shai-hulud-is-back-a-self-spreading-supply-chain-attack-hits-the-npm-ecosystem">最新一波蠕蟲程式Mini Shai-Hulud攻擊</a></strong>，TeamPCP針對網頁應用程式框架TanStack的GitHub Actions發布流程，利用挾持的OIDC權杖（token），發布TanStack Router的惡意NPM套件。與先前攻擊的差異在於，這次被滲透的套件，竟然具有<strong><a href="https://www.ithome.com.tw/news/145101">軟體供應鏈安全框架SLSA</a></strong>第3級來源見證，使得Mini Shai-Hulud成為第一個可產生有效見證的惡意軟體套件、又有文件記載的NPM蠕蟲。值得留意的是，Mini Shai-Hulud已從TanStack擴散，影響UiPath、DraftLab及其他維護者的套件。</p> <p>針對駭客滲透TanStack的過程，StepSecurity指出大致可分成3個環節，首先，駭客於GitHub分叉當中暫存惡意酬載，然後注入在已經發布的NPM套件tarball檔案，接著，他們再挾持專案的CI/CD管線流程，發布具備有效SLSA來源的惡意版本。</p> </div></div></div>
5/12 13:20作者周峻佑https://www.ithome.com.tw/news/175724
駭客濫用AI找出零時差漏洞，企圖發動大規模攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>近期軟體開發團隊、資安研究員積極使用AI挖掘大量資安漏洞，然後進行修補的態勢已成潮流，希望能趕在駭客之前找出零時差漏洞，讓應用程式或系統變得更難被滲透，然而，駭客也濫用AI找出零時差漏洞，並打算發動大規模攻擊。</p> <p>Google威脅情報團隊（GTIG）公布<strong><a href="http://cloud.google.com/blog/topics/threat-intelligence/ai-vulnerability-exploitation-initial-access">網路犯罪圈濫用AI的態勢的最新調查</a></strong>，其中最受到關注的是，他們近日察覺有駭客組織嘗試利用AI找出的零時差漏洞，從事大規模攻擊，但因GTIG及時察覺而加以攔阻，攻擊並未成功。GTIG指出，這是首度發現有人利用AI挖掘零時差漏洞，並企圖用於實際攻擊。對此，GTIG已與受影響的廠商合作，中斷該攻擊活動並通報漏洞細節。不過，Google並未透露受影響的軟體或應用系統名稱。</p> <p>在其中一個漏洞利用嘗試活動裡，GTIG看到多個惡名昭彰的駭客團體聯手策畫大規模漏洞利用活動，他們製作能利用此漏洞的Python指令碼，藉此繞過熱門開源網路系統管理工具的雙因素驗證（2FA）流程，根據漏洞的結構與內容，GTIG研判駭客顯然正在利用AI模型找出漏洞，並製作相關攻擊工具。Google究竟根據那些特徵認定駭客使用AI？他們提及，指令碼內含大量註解說明，並提供一般駭客通常不會標註、疑似捏造的CVSS風險評分，再者，這些程式碼採用結構化、教科書式的Python程式撰寫風格等，而這些都是人類駭客在撰寫程式碼不會出現的內容。</p> <p>針對駭客找到的零時差漏洞，GTIG指出，主要可用於繞過雙因素驗證，不過利用漏洞的必要條件是事先取得有效的使用者憑證。此漏洞並非源自記憶體損毀，或是輸入內容清理不完整等實作錯誤，而是高階語意邏輯缺陷造成。GTIG指出，大型語言模型（LLM）擅長識別這類高層次缺陷，以及寫死（Hardcoded）程式碼出現的靜態異常，再加上現在越來越擅長情境推理，使得LLM能發現功能看似正確，但從資安角度而言，卻是具有攻擊風險的邏輯錯誤。</p> </div></div></div>
5/12 12:24作者周峻佑https://www.ithome.com.tw/news/175722
Nvidia Labs公開cuda-oxide，供開發者用Rust編寫CUDA GPU核心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Nvidia Labs公開<strong><a href="https://nvlabs.github.io/cuda-oxide/index.html">cuda-oxide v0.1.0</a></strong>，這是一套實驗性的Rust到CUDA編譯器，讓開發者能以Rust撰寫CUDA的單指令多執行緒（Single Instruction, Multiple Threads，SIMT）GPU核心，並直接編譯成Nvidia GPU使用的PTX中介表示。目前該專案仍屬早期alpha測試版。</p> <p>cuda-oxide讓Rust開發者不必在GPU核心開發時改寫成CUDA C++、使用特定DSL，或依賴外部語言綁定。官方說明，開發者可用Rust撰寫GPU核心，並透過自訂rustc程式碼產生後端編譯成PTX，專案也支援單一來源檔開發，讓主機端與裝置端程式碼放在同一份Rust程式中，再透過cargo oxide build或cargo oxide run建置與執行。</p> <p>簡單來說，cuda-oxide把CUDA帶進Rust，原本開發者使用C++寫CUDA的核心，不過現在可以選擇用Rust編寫。</p> <p>開發者可以使用cuda-oxide，把Rust的型別系統、所有權模型、泛型與閉包等語言能力，應用在Nvidia GPU程式開發流程。官方文件指出，泛型與trait條件約束可用在GPU核心中，編譯器會針對不同型別產生各自的PTX進入點，開發者也能從主機端傳入閉包，調整GPU端的運算行為。</p> <p>cuda-oxide也包含主機端CUDA執行環境，負責記憶體管理、GPU核心啟動與非同步GPU執行。官方提到，這次釋出包含cuda-core與cuda-async等執行期crate，開發者可先把GPU工作描述成延後執行的DeviceOperation工作圖，再由排程策略分配到CUDA串流池執行，最後以.await等待執行結果。該設計讓Rust既有的非同步程式模型，也能用於安排GPU工作與等待GPU運算完成。</p> <p>在Nvidia的技術生態中，cuda-oxide目前更像是把CUDA程式模型接到Rust生態的實驗性入口，而不是要直接取代既有CUDA C++工具鏈。<strong><a href="https://nvlabs.github.io/cuda-oxide/appendix/ecosystem.html">在官方Rust+GPU生態系附錄中</a></strong>，cuda-oxide被列在多個Rust GPU方案中，並與Rust-GPU、CubeCL、std::offload和cudarc等專案區分定位。cuda-oxide的應用範疇是能將CUDA程式模型用較安全的Rust形式表達。</p> <p>cuda-oxide建置需求包含Linux、CUDA Toolkit 12.x以上、Nvidia Ampere以上GPU、Rust nightly與rust-src、rustc-dev元件、支援NVPTX的LLVM 21以上，以及Clang 21或libclang相關開發標頭。官方文件也列出目前測試平臺為Ubuntu 24.04，PTX輸出目標涵蓋sm_80至sm_100a。</p> </div></div></div>
5/12 13:11作者李建興https://www.ithome.com.tw/news/175720
OpenAI宣布創立專替企業導入AI的OpenAI Deployment Company
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://openai.com/index/openai-launches-the-deployment-company/" target="_blank">OpenAI週一（5/11）正式宣布</a>成立OpenAI Deployment Company，這家新公司專門協助組織導入AI，同時OpenAI亦宣布將買下<a href="https://tomoro.ai/insights/tomoro-acquired-by-openai-deployment-company" target="_blank">AI顧問公司Tomoro</a>，但雙方並未透露交易金額。</p> <p>Tomoro為一英國AI顧問與工程公司，創立於2023年，主要協助企業把生成式AI從概念性驗證導入實際營運流程，其作法是派出前線部署工程師（Forward Deployed Engineers，FDE），進入客戶組織內，協助設計、建置、測試與部署AI系統。待OpenAI與Tomoro的交易完成後，Tomoro約150名前線部署工程師與部署專家，將成為OpenAI Deployment Company成立初期的核心團隊。</p> <p>OpenAI指出，過去幾年中，有超過100萬家企業採用了OpenAI的產品與API，他們從中看出了一個趨勢，亦即企業AI的下一個發展階段，將取決於企業能夠多有效地將該技術應用到實際情境中，以及OpenAI與聯盟如何提供幫助。這使得他們決定以客戶為中心，按照上述任務所需的模式與節奏，獨立出OpenAI Deployment Company。</p> <p>OpenAI Deployment Company是OpenAI與19家全球主要投資公司、顧問公司及系統整合商建立的深度合作夥伴關係；該合作由TPG主導，Advent、Bain Capital與Brookfield擔任共同主要創始夥伴，但仍由OpenAI持有多數股權並控制OpenAI Deployment Company，新公司啟動時取得逾40億美元初始投資。</p> <p>OpenAI表示，OpenAI Deployment Company的投資與顧問夥伴，在全球支持超過2000家企業，顧問與系統整合夥伴則服務更多企業。這讓OpenAI可快速接觸不同產業與工作流程，找出AI最具價值、也最容易複製擴大的部署模式。</p> <p>此外，私募股權投資者熟悉企業營運轉型與變革管理，可與OpenAI的技術、產品及前沿AI部署能力互補。換言之，OpenAI提供AI能力與技術落地，合作夥伴則提供企業轉型經驗與客戶網絡，協助企業把AI導入核心流程並形成長期營運改變。</p> <p>OpenAI與Anthropic的企業AI競爭正逐步鏡像化。<a href="https://www.ithome.com.tw/news/175544" target="_blank">Anthropic上週亦宣布</a>與Blackstone、Hellman & Friedman、Goldman Sachs共同成立新的企業AI服務公司，並與多家資產管理公司合作，以協助組織導入AI。雙方不只比拚基礎模型能力，也同時布局企業版產品、API、程式開發工具、資安防禦與前線部署服務，試圖把AI從單一工具推進到企業核心流程。</p> </div></div></div>
5/12 13:20作者陳曉莉https://www.ithome.com.tw/news/175723
針對Checkmarx發布的Jenkins AST外掛遭駭，TeamPCP聲稱是他們所為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>5月9日資安公司Checkmarx發出警告，<strong><a href="https://www.ithome.com.tw/news/175714">該公司推出的Jenkins AST外掛程式遭供應鏈攻擊</a></strong>，駭客上架有問題的新版本，要用戶採取行動因應，有資安研究員公布更多細節。</p> <p>資安工程師<strong><a href="https://x.com/adnanthekhan/status/2053156381616676928">Adnan Khan</a></strong>、<strong><a href="https://socradar.io/blog/checkmarx-jenkins-plugin-teampcp-backdoor/">資安公司SOCRadar</a></strong>指出，TeamPCP於Checkmarx的Jenkins AST外掛植入後門程式，但與過往的攻擊活動最大的不同，在於這些駭客這次還竄改了GitHub儲存庫的內容。</p> <p>他們提及，駭客將儲存庫的標題置換為「Checkmarx-Fully-Hacked-by-TeamPCP-and-Their-Customers-Should-Cancel-Now.」，聲稱他們完全滲透了Checkmarx，要該公司客戶取消使用該公司的產品及服務，駭客也嘲諷該公司憑證輪換不完全。SOCRadar推測，TeamPCP後續能不斷對Checkmarx發布的套件持續發動供應鏈攻擊，原因很有可能就是駭客聲稱的Checkmarx未完全輪換憑證，但他們不排除駭客使用了在今年3月事件調查時未被發現的管道。</p> </div></div></div>
5/12 11:10作者周峻佑https://www.ithome.com.tw/news/175718
iPhone與Android互傳訊息更安全，iOS 26.5支援RCS端到端加密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.apple.com/newsroom/2026/05/end-to-end-encrypted-rcs-messaging-begins-rolling-out-today-in-beta/" target="_blank">蘋果</a>與<a href="https://blog.google/products-and-platforms/platforms/android/android-ios-end-to-end-encrypted-rcs-messaging/" target="_blank">Google</a>週一（5/11）同步宣布，從iOS 26.5版開始，RCS（Rich Communication Services，豐富通訊服務）訊息將陸續支援端到端加密，讓iPhone與Android使用者之間的跨平臺訊息傳輸更安全。</p> <p>RCS被視為傳統簡訊（SMS）的後繼格式，可支援較豐富的通訊功能，例如高解析度圖片、影片、已讀回條與輸入提示等。蘋果是在<a href="https://www.ithome.com.tw/news/165054" target="_blank">iOS 18開始支援RCS</a>，改善iPhone與Android之間長期仰賴SMS/MMS所造成的跨平臺通訊限制。不過，過去iPhone與Android之間的RCS訊息並未具備端到端加密，因此在隱私與安全性上仍不如iMessage或Android裝置間的Google Messages加密訊息。</p> <p>根據蘋果與Google的說明，雙方合作於RCS標準中導入端到端加密，使此一用來取代傳統SMS的跨平臺訊息格式更加安全與私密。當RCS訊息採用端到端加密時，訊息在裝置之間傳送的過程中無法被讀取，可降低電信商、平臺或其他中間環節接觸訊息內容的風險。</p> <p>使用者可透過聊天畫面中的鎖頭圖示判斷RCS對話是否已啟用端到端加密，當iPhone或Google Messages使用者在跨平臺RCS對話中看到該圖示時，即代表訊息傳輸已受加密保護。</p> <p>這項加密功能將預設開啟，並會隨時間自動套用至新的與既有的RCS對話。不過，由於目前仍屬Beta版，實際可用性仍取決於iPhone使用者是否升級至iOS 26.5、所屬電信業者是否支援，以及Android端是否使用最新版Google Messages。</p> </div></div></div>
5/12 12:15作者陳曉莉https://www.ithome.com.tw/news/175719
日本大型金融機構導入AI代理應用，企業提案書製作可望縮短至數十分鐘到數小時
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p data-end="576" data-start="344">日本大型金融機構三井住友金融集團（Sumitomo Mitsui Financial Group，SMFG）與AI新創業者Sakana AI合作，開發用於大型企業金融業務（wholesale banking）的提案書自動生成應用系統。<a href="https://www.smbc.co.jp/news/pdf/j20260430_01.pdf" target="_blank">SMFG與三井住友銀行（Sumitomo Mitsui Banking Corporation，SMBC）於4月30日宣布</a>，該系統已在三井住友銀行導入實務作業。這是雙方自2025年5月簽署合作協議後，第一項進入實務應用的合作成果。</p> <p data-end="576" data-start="344">這套系統鎖定三井住友銀行對大型企業客戶的提案流程。在技術設計上，採用多個AI代理協作架構，讓不同角色的代理分工負責資訊蒐集、分析、假設建構、提案敘事規畫、品質評估與事實查核，並分階段具體化提案內容。</p> <p data-end="576" data-start="344"><a href="https://sakana.ai/smbc-proposal-ai/" target="_blank">Sakana AI表示</a>，AI會分析目標企業的財務與非財務資訊，不只產生草稿，也能提出人類可能忽略的新視角與客觀論點，讓銀行人員有更多時間處理客戶真正需要解決的經營課題。SMFG與三井住友銀行指出，這項導入不只是提高文件產出效率，也希望降低高階策略規畫與研究工作對個別行員經驗與技能的依賴，讓不同客戶都能更快取得品質一致的提案內容。</p> <p data-end="576" data-start="344">根據<a href="https://www.nikkei.com/article/DGXZQOUB2713R0X20C26A4000000/" target="_blank">《日本經濟新聞》</a>報導，過去三井住友銀行製作大型企業提案書需耗時1至2週，導入這套系統後，可望縮短至數十分鐘到數小時。Sakana AI後續也計畫將AI代理技術擴大至三井住友金融集團內其他業務領域。</p> </div></div></div>
5/12 10:00作者王珮瑤https://www.ithome.com.tw/news/175709
微軟正式推出Azure儲存服務Smart Tier，適用於存取模式難以預測的物件資料成本控管
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>因應企業對於多種儲存服務層級的需求，<a data-saferedirecturl="https://www.google.com/url?q=https://azure.microsoft.com/en-us/blog/optimize-object-storage-costs-automatically-with-smart-tier-now-generally-available/&source=gmail&ust=1778566826633000&usg=AOvVaw3H8Fjllm8Ny4VibM0JXWhM" href="https://azure.microsoft.com/en-us/blog/optimize-object-storage-costs-automatically-with-smart-tier-now-generally-available/" target="_blank">微軟正式推出Azure全代管自動分層儲存功能Smart Tier</a>，支援Azure Blob Storage與Azure Data Lake Storage，主要用於存取模式持續變動、<wbr></wbr>難以事先規畫生命週期規則的大型物件資料環境。</p> <p>根據微軟說明，Smart Tier會持續檢查儲存體帳戶中每個物件的最近一次存取時間。<wbr></wbr>經常使用的資料會留在熱存取層，以維持查詢與交易效率；<wbr></wbr>若資料連續30天沒有存取紀f錄，系統會將其移至非經常性存取層（cool tier），<wbr></wbr>再經過60天後移至冷存取層。<wbr></wbr>當系統偵測到資料再次被讀取或寫入，會立即將資料移回熱存取層，<wbr></wbr>並重新計算分層週期。</p> <p>微軟指出，自2025年11月推出Smart Tier公開預覽版後，<wbr></wbr>已有客戶與合作夥伴將其導入不同資料環境。依實際存取情況判斷，<wbr></wbr>超過50%的Smart Tier管理容量已自動轉移至成本較低的儲存層。微軟並舉例，<wbr></wbr>一家大型資料分析客戶在數百TiB的遙測與日誌資料啟用Smart Tier後，超過一半受管理資料自動移至較低成本儲存層，<wbr></wbr>也不再需要反覆調整生命週期政策。</p> <p>計費方面，Smart Tier管理的物件仍依所在儲存層的標準容量費率計價。<wbr></wbr>微軟表示，這項功能不另外收取儲存層轉換、<wbr></wbr>提前刪除或資料擷取費用，但會收取監控費。小於128 KiB的物件會留在熱存取層，不會自動下移，也不會產生監控費；<wbr></wbr>若物件日後成長至128 KiB以上，才會自動套用Smart Tier政策。</p> <p>目前，Smart Tier已在幾乎所有支援可用性區域的Azure公有雲區域正式<wbr></wbr>推出。然而，這項功能不支援Standard general-purpose v1（GPv1）等舊版帳戶類型，<wbr></wbr>也不適用於分頁Blob或附加Blob。</p> <p>微軟表示，Smart Tier特別適合分析管線、資料湖、日誌、<wbr></wbr>遙測資料與應用程式資料等場景，<wbr></wbr>因為這類資料的存取模式可能混合、持續變動或難以預測，<wbr></wbr>也可能因查詢、稽核、事件調查或應用需求而重新存取。<wbr></wbr>對企業而言，若只靠固定生命週期規則判斷儲存層，<wbr></wbr>可能難以及時反映實際使用情況。</p> </div></div></div>
5/12 10:00作者王珮瑤https://www.ithome.com.tw/news/175710
cPanel身分驗證漏洞被用於散布RAT木馬Filemanager
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>網站主機管理平臺廠商cPanel<strong><a href="https://www.ithome.com.tw/news/175449">於4月28日</a></strong>，揭露旗下管理軟體cPanel及WHM（WebHost Manager）身分驗證繞過漏洞<strong><a href="https://www.ithome.com.tw/tags/cve-2026-41940">CVE-2026-41940</a></strong>（CVSS風險評為9.8分），由於該工具有許多網站主機代管公司採用，影響極為廣泛。事隔兩日，美國網路安全和基礎設施安全局（CISA）<strong><a href="https://www.ithome.com.tw/news/175473">證實漏洞已遭利用</a></strong>，後續有資安公司揭露<strong><a href="https://www.ithome.com.tw/news/175485">勒索軟體Sorry</a></strong>的活動，以及<strong><a href="https://www.ithome.com.tw/news/175524">針對東南亞軍事單位的攻擊</a></strong>，如今再傳有人藉此散布惡意程式。</p> <p>中國資安公司奇安信指出，<strong><a href="https://blog.xlab.qianxin.com/mr_rot13-the-elusive-6-year-hacker-group-weaponizing-critical-cpanel-flaws-for-backdoor-deployment/">他們在5月4日發現有人利用CVE-2026-41940散布的新惡意程式</a></strong>，此酬載以Go語言撰寫，嵌入疑為由AI生成的大量土耳其語事件記錄與訊息，主要功能是將SSH公鑰、惡意PHP與JavaScript程式碼植入cPanel系統，竊取登入憑證，並回傳攻擊者控制的Telegram頻道，最終部署RAT遠端存取木馬Filemanager。該公司進一步調查背後的攻擊者，發現該駭客組織的活動最早可追溯至2020年，他們將這組人馬命名為Mr_Rot13進行追蹤。</p> <p>Filemanager為跨平臺的RAT程式，同時支援Windows、macOS、Linux三大作業系統，具備許多功能，一旦執行，它就會監聽指定的連接埠，並根據特定的參數判斷是來自攻擊者的指令，以便駭客能利用網頁介面遠端控制受害的cPanel系統。</p> </div></div></div>
5/12 10:05作者周峻佑https://www.ithome.com.tw/news/175712
OpenAI發表Daybreak資安防禦方案，整合GPT-5.5-Cyber與Codex Security
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://x.com/OpenAI/status/2053939702110269822" target="_blank">OpenAI週二（5/12）發表了Daybreak</a>，宣稱這是專替資安防禦者打造的前沿AI，它結合了OpenAI的各種模型、Codex，以及資安合作夥伴，可協助企業掃描漏洞、建立威脅模型、驗證修補結果，以加速資安防禦並持續保護軟體安全。</p> <p>根據OpenAI所建立的<a href="https://openai.com/daybreak/" target="_blank">Daybreak首頁</a>，Daybreak基本前提是資安防禦的下一發展階段應從軟體開發的初始階段就開始著手，除了可找出並修復漏洞之外，更應於軟體設計階段就具備抵禦各種漏洞的能力。</p> <p>此外，其實AI已可協助防禦者處理許多事，從讀取大型程式碼庫、尋找隱晦漏洞、驗證修補、分析不熟悉的系統，一直到加快從發現到修補的速度，問題在於，同樣的能力也可被拿去攻擊。</p> <p>因此，Daybreak的角色及定位是在將這些能力變成一套可控的資安防禦方案，解決誰可以使用、可用於哪些授權環境、如何驗證修補結果，以及高風險資安能力如何分級開放與稽核等問題。</p> <p>為此OpenAI在Daybreak中設計了模型分級存取機制，依照使用情境與風險程度開放不同能力。GPT-5.5適用於通用開發與知識工作；GPT-5.5 with Trusted Access for Cyber則面向已驗證的防禦工作，可用於安全程式碼審查、漏洞分級、惡意程式分析、偵測工程與修補驗證；GPT-5.5-Cyber則是更高權限版本，預覽階段將提供給授權紅隊、滲透測試與受控驗證等專業資安場景，並搭配更嚴格的驗證與帳號層級控管。</p> <p>Daybreak的另一個核心是Codex Security，這是OpenAI把Codex程式代理能力導入資安工作流程的環境，甫於今年3月<a href="https://www.ithome.com.tw/news/174282" target="_blank">邁入預覽階段</a>。Codex Security可理解整個系統脈絡並驗證漏洞，以降低誤報並提高漏洞偵測品質，目標是讓AI能協助完成部分原本需要資安工程師進行的程式碼安全審查工作。</p> <p>OpenAI表示，Daybreak可將安全程式碼審查、威脅建模、修補驗證、相依套件風險分析，以及偵測與修復建議，納入日常軟體開發流程，讓軟體從開發初期就更具安全韌性。</p> <p>美國媒體多半將Daybreak視為OpenAI對Anthropic Claude Mythos與<a href="https://www.ithome.com.tw/news/174898" target="_blank">Project Glasswing</a>的回應，也是OpenAI將高能力資安模型從研究展示推向企業與政府防禦場景的產品化嘗試。</p> </div></div></div>
5/12 10:39作者陳曉莉https://www.ithome.com.tw/news/175713
資安公司Checkmarx再傳遭供應鏈攻擊，Jenkins AST外掛被竄改
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>自3月下旬駭客團體TeamPCP攻擊資安公司Checkmarx的<strong><a href="https://www.ithome.com.tw/news/174629">基礎設施即程式碼（Infrastructure as Code，IaC）掃描工具KICS</a></strong>，且有該公司的Open VSX延伸套件遭駭，一個月後，<strong><a href="https://www.ithome.com.tw/news/175264">KICS的Docker映像檔也遭到攻擊</a></strong>，如今再傳新的供應鏈攻擊活動。</p> <p>5月9日<strong><a href="https://checkmarx.com/blog/ongoing-security-updates/#article-anchor-1">Checkmarx指出</a></strong>，他們察覺發布於Jenkins延伸套件市集的Jenkins AST外掛程式出現遭到竄改的跡象，攻擊者上架了有問題的新版本，呼籲用戶要儘速檢查，確定使用的版本是2025年12月17日發布的2.0.13-829.vc72453fa_1c16，或之前的版本，而非有問題的2026.5.09版，才能避免CI/CD環境被滲透。</p> <p>雖然Checkmarx並未透露進一步說明，不過該公司認為此事與他們從3月開始遭遇的供應鏈攻擊事故有關，很可能是其中的一部分。</p> </div></div></div>
5/12 10:40作者周峻佑https://www.ithome.com.tw/news/175714
汽車大廠Skoda網路商店被駭，疑外洩客戶個資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.skoda-auto.de/unternehmen/sicherheitsvorfall-skoda-shop" target="_blank">捷克汽車大廠Skoda公告</a>，其線上商店平臺遭駭，警告客戶姓名、電子郵件信箱等個資可能遭存取。</p> <p>Skoda的安全監控團隊發現異常活動。在發現後該公司立即將網站下線並修補漏洞。事後Skoda研判，駭客是濫用其運行線上商店的標準商店軟體的漏洞，可能存取線上商店平臺處理的資料。</p> <p>Skoda保守指出，由於攻擊者曾取得對網路商店系統的未授權存取權限，「原則上可以接觸儲存在系統中的資料，包括客戶姓名、地址、電子郵件信箱、電話、訂單細項及其他帳戶資訊。此外，以密碼雜湊形式儲存的密碼可能也遭存取。不過Skoda告知，信用卡資料僅由支付業者儲存，並未存在平臺上。</p> <p>雖然技術分析顯示，理論上駭客可以存取系統中儲存的資料。然而，Skoda依據現有技術協定特性，表示無法詳細追蹤或確實資料是否被複製、檢索，也不知影響幅度。該公司亦沒有證據顯示客戶資料被濫用。</p> <p>Skoda未說明它使用的是什麼線上商店平臺、遭濫用的漏洞、或是有多少用戶受影響。</p> <p>基於可能的攻擊風險，Skoda呼籲用戶變更密碼，特別是共用密碼的服務帳號。該公司也提醒用戶不要公開個資或點選聲稱是Skoda發送的郵件或訊息連結。</p> <p>Skoda是近來最新一家外洩資料的汽車大廠。單單2025年就有<a href="https://www.ithome.com.tw/news/173067" target="_blank">克萊斯勒</a>、<a href="https://www.ithome.com.tw/news/172974" target="_blank">Nissan</a>、<a href="https://www.ithome.com.tw/news/172097" target="_blank">現代</a>被外洩客戶資訊。而<a href="https://www.ithome.com.tw/news/171772" target="_blank">福斯</a>、<a href="https://www.ithome.com.tw/news/173899" target="_blank">Volvo</a>則是因外包商或合作夥伴被駭而遭竊走員工和營運資訊。</p> </div></div></div>
5/12 10:55作者林妍溱https://www.ithome.com.tw/news/175715
中國業者公布雙核心量子電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>中國業者<a href="https://www.cascoldatom.com/newsx.php?lm=4&id=218" target="_blank">中科酷原科技近日公布</a>其最新量子電腦新進展，宣稱打造出全球首臺雙核量子電腦，具有能協同運作、但低功耗及體積小等優點。</p> <p>總部位於武漢的中科酷原科技2024年推出中國首座商用中性原子量子電腦，名為漢原1號。漢原2號為升級版。該系統採用中國移動五嶽紀元（WuYueOS）量子計算作業系統，宣稱是全球首次量子運算領域引入「雙核」概念；在單一機箱中同時操作兩套不同的中性原子陣列，包括100個⁸⁷Rb（銣-87）原子和100個⁸⁵Rb（銣-85）原子。藉此實現雙核協作運算。</p> <p><a href="https://www.ncsti.gov.cn/kjdt/kjrd/202605/t20260508_246047.html" target="_blank">該公司解釋</a>，這是一種新異構原子協同架構，利用不同原子之間的特性差異，一套核用於運算，另一套可用於資料儲存或輔助糾錯。該設計能有效減少量子位元（qubit）之間的串擾，提高運算穩定性。</p> <p>此外，本系統另一特色是高整合度；雖然擁有200個量子位元，但整個系統被封裝在標準的機櫃內，具有極高能效比和空間利用率。此外，該系統僅需小型鐳射冷卻系統即可運行，整體功耗低於7kW，無需複雜低溫製冷環境，可在普通室內環境快速部署，大幅降低量子運算技術的應用門檻與成本。</p> <p>量子電腦要走向實用，必須大幅增加量子位元數。「雙核」架構提供了一種模組化策略，藉由減少串擾問題，能支援擴大量子位元數量，進而促進量子電腦商用性，加速量子運算技術在金融建模、物流優化、量子教育、醫藥研發等多種場景。</p> <p>酷原科技在湖南省及武漢市專案的支援研發的「漢原1號」，已在2025年已投入商用。</p> </div></div></div>
5/12 11:05作者林妍溱https://www.ithome.com.tw/news/175716
身分驗證管理供應商SailPoint的GitHub儲存庫遭駭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>5月初資安公司Trellix透露<strong><a href="https://www.ithome.com.tw/news/175492">原始碼儲存庫遭未經授權存取</a></strong>，<strong><a href="https://www.ithome.com.tw/news/175680">勒索軟體駭客RansomHouse聲稱犯案</a></strong>，並表示是在4月17日入侵，最近有另一家資安公司也發生類似事故，而且，時間點相當接近。</p> <p>身分驗證管理供應商SailPoint於5月8日，<strong><a href="https://www.sec.gov/ix?doc=%2FArchives%2Fedgar%2Fdata%2F2030781%2F000162828026033016%2Fsail-20260508.htm#fact-identifier-5">向美國證券交易委員會（SEC）提交8-K表單</a></strong>，表示該公司於4月20日偵測到部分GitHub儲存庫出現未經授權存取的情況，事件回應團隊隨即迅速阻止未經授權的行為，找出被入侵的原因並予以處理。該公司透露，攻擊者存取的管道，源自第三方應用程式的弱點，目前該漏洞已經修復。</p> <p>而對於這起事故帶來的影響，根據初步的調查結果，SailPoint未發現客戶資料於生產或臨時環境遭到存取的跡象，亦未出現服務中斷。該公司已通知資料被存放在上述儲存庫的客戶。不過，該文件並未進一步透露受影響人數、曝險的資料類型，也沒有透露攻擊者的身分。</p> </div></div></div>
5/12 09:26作者周峻佑https://www.ithome.com.tw/news/175711
【臺灣資安大會直擊】莊琇媛：金融資安治理、防護與韌性演練都必須持續升級
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>過去一個月，AI對資安產業帶來了很大的壓力。Anthropic新釋的Claude Mythos模型預覽版，發現了許多重要系統的資安漏洞，不少是數十年來都未曾被發現的弱點。美國財政部長更立刻召集多家大型金融機構的重要資安主管，共同討論對策。</p> <p>在臺灣資安大會金融資安論壇中，金管會副主委莊琇媛開場時也特別強調了AI對資安的影響，「這對資安產業帶來很大的挑戰，攻擊者可以用AI發動攻擊，企業同樣也可以用AI來防禦。」</p> <p>因此，金管會在去年底發布了金融資安韌性發展藍圖政策，莊琇媛特別提醒三件事，來因應越來越嚴峻的資安挑戰，「資安治理必須持續升級，防護能力也必須升級，韌性更一定要能演練和驗證。」</p> <p>莊琇媛解釋，過去，多依靠自律規範視為基本資安門檻的做法，已經不夠。因此，金管會在今年四月時，招集了資安措施表現較成熟的金融機構分享經驗，希望能建立典範產生知識移轉，讓其他金融機構帶回組織內部，進一步內化，發展出適合自己的治理架構。</p> <p>在AI帶來的資安威脅下，莊琇媛指出，現在的資安防護不能只停留在單點防禦，而要走向全域防護與供應鏈聯防，尤其，供應鏈資安管理已經成為非常重要的課題，將資安防護的責任，從單一金融機構，擴展到整個生態系。</p> <p>最讓莊琇媛感觸的則是第三點，韌性要能夠演練、驗證。金融機構雖然有備援機制，但這些備援機制經常是「備而不用」，「真正發生重大事件時，往往不敢切換，因為無法確認實際效果。」</p> <p>莊琇媛希望，關鍵時刻，核心金融服務發生問題，需要切換到備援系統時，大家能夠有信心地啟用備援，並快速恢復服務。「這種信心，只能透過不斷演練與驗證來建立，持續測試整體韌性的有效性。」 </p> <p>「韌性並不是保證永遠不會遭受攻擊，這是不可能的。真正重要的是，當攻擊發生時，我們能否快速因應、盡速恢復。」莊琇媛表示。</p> </div></div></div>
5/11 18:28作者王宏仁https://www.ithome.com.tw/news/175707
AWS預覽AgentCore Payments，讓代理可在任務中即時付費使用外部資源
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><strong><a href="https://aws.amazon.com/blogs/machine-learning/agents-that-transact-introducing-amazon-bedrock-agentcore-payments-built-with-coinbase-and-stripe/">AWS推出Amazon Bedrock AgentCore Payments預覽版</a></strong>，讓建置在Amazon Bedrock AgentCore上的AI代理，可在執行任務時存取並付費使用外部資源，包括網頁內容、API、MCP伺服器及其他代理。該功能由AWS與Coinbase、Stripe合作，預覽階段先支援x402協定，用於處理代理工作流程中的即時微支付。</p> <p>Amazon Bedrock AgentCore是AWS用來大規模建置、連接及最佳化AI代理的平臺，提供代理身分系統、代理閘道與可觀測性等功能。AgentCore Payments把支付流程也納入代理執行環境，讓開發者不必替每個付費服務個別建立帳務關係、憑證管理與交易邏輯。AWS表示，這項功能涵蓋錢包驗證、交易執行、支出控管與可觀測性，降低代理存取付費資源時的整合負擔。</p> <p>預覽版主要應用情境是微支付，AWS舉例，金融研究代理可依任務需求存取即時市場資料、付費出版品或新聞資料，而程式開發代理也可在需要時呼叫特定API、付費MCP伺服器或第三方代理。由於這類交易可能低於1美元，甚至是幾分之一美分，因此需要能在代理執行流程中即時完成付款的機制。</p> <p>在實作上，開發者可透過AgentCore SDK或主控臺啟用Payments功能，並選擇連接Coinbase錢包或Stripe Privy錢包。終端使用者可用穩定幣替錢包加值，也可透過簽帳金融卡以法幣加值。代理要使用錢包前，必須取得使用者明確授權，執行期間也會套用每個工作階段的支出上限。</p> <p>AWS說明，當代理請求付費端點並收到HTTP 402 Payment Required回應時，AgentCore payments會依x402協定處理付款流程，包括向已設定的錢包完成驗證、執行穩定幣付款，並附上付款證明，再將內容交回代理。相關交易可透過AgentCore主控臺的記錄、指標與追蹤資料觀察。</p> <p>AWS也透過AgentCore Gateway提供Coinbase x402 Bazaar MCP伺服器，讓代理可搜尋、探索並付費使用支援x402的端點。Stripe旗下Privy提供錢包基礎設施，作為AgentCore Payments預覽階段可選用的付款連接。AWS也提到，後續將朝法幣支付支援與更廣泛的商務流程擴展。</p> <p>Amazon Bedrock AgentCore Payments目前已在美東維吉尼亞北部、美西奧勒岡、歐洲法蘭克福及亞太雪梨地區提供預覽。預覽版目前僅支援x402協定，AWS規畫未來加入更多支付協定。</p> </div></div></div>
5/11 18:12作者李建興https://www.ithome.com.tw/news/175701
AI時代資安新風險，東元電機：未來駭客攻擊的不只是系統，而是企業決策
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>生成式AI快速進入企業營運流程之際，企業面臨的資安風險也正從傳統IT安全問題，逐步轉變成更深層的治理與決策風險。東元電機數位發展處處長胡修武近日在一場演講中指出，AI並不只是新的工具，而是一種全新的資訊架構。當AI逐漸成為企業內部的「數位員工」，未來駭客攻擊的目標，也將不再只是系統本身，而是企業的決策能力。</p> <p><span style="color:#B22222;"><strong>資安是長期能力的積累</strong></span></p> <p>胡修武認為企業不應把資安視為一次性的導入專案，而是一種需要長期累積的企業能力。許多企業談資安時，多聚焦於導入EDR、SIEM、SOAR等工具，或推動ISO制度與稽核流程，但是真正關鍵的是，企業是否透過這些過程，逐步建立可持續運作的能力體系。他認為，專案有開始與結束，但能力沒有終點，企業真正該思考的，不是「專案有沒有完成」，而是「這個專案替企業留下了哪些能力」。</p> <p>他以知名武俠小說中的「掃地僧」比喻具備成熟能力的資安團隊，真正強韌的資安組織，平時不一定高調處理大量事件，而是在背後持續累積的基礎內功，包括資產盤點、漏洞管理、弱點修補、告警判讀、備份與災難復原等能力。當企業真正發生資安事件時，可能才發現連完整的資訊資產清冊都沒有，導致漏洞修補、網路隔離與事件處理都無法有效進行。因此，資安韌性並非靠單一工具或短期專案建立，而是企業長時間、一層一層堆疊出的能力積累。</p> <p><span style="color:#B22222;"><strong>AI風險：影響企業決策</strong></span></p> <p>至於AI帶來的資安風險，胡修武指出，過去企業談資安，主要聚焦於系統是否遭入侵、資料是否外洩，以及網路是否受到攻擊，但AI時代最大的不同，在於AI已開始直接參與企業的分析與決策流程。未來企業內部大量操作，可能不再由人員直接操作ERP、MES等系統，而是由AI Agent代為執行，人類透過自然語言與AI互動，由AI協助解讀報表、提供建議，甚至執行部分決策。</p> <p><img alt="" src="/sites/default/files/images/20260507_122355.jpeg" style="width: 600px; height: 389px;" /></p> <p>在這種架構下，駭客攻擊的方向也將改變。胡修武認為，未來攻擊者不一定需要癱瘓系統，而可能透過污染資料、操弄Prompt或誤導模型，使AI產生錯誤分析，進一步影響企業高層決策。他強調，未來AI時代真正危險的地方是，「攻擊的已經不是系統，而是決策本身」。</p> <p>他也指出，AI的導入，正讓企業的攻擊面快速擴大。過去企業資安防護主要圍繞在防火牆、端點保護與網路邊界，但現在AI大量依賴外部資料、API串接、Prompt輸入與模型訓練資料，這些都可能成為新的攻擊入口。</p> <p><img alt="" src="/sites/default/files/images/20260507_122016.jpeg" style="width: 600px; height: 376px;" /></p> <p>特別是當AI模型長時間運作後，還可能出現模型漂移（Model Drift）問題，讓模型判斷逐漸偏離原本設計目標。如果訓練資料本身遭污染，AI產出的結果也可能受到影響。</p> <p>胡修武指出，AI時代下，企業能力被進一步放大的核心之一是資料治理（Data Governance）。過去企業資料多半分散在ERP、MES、CRM等不同系統中，即使資料品質不一致，影響通常仍侷限於單一部門。但當企業開始推動AI分析、BI與自動化決策後，資料會被大量集中、串聯與重複使用，原本隱藏的資料問題，也會被同步放大。因此，東元電機內部推動數據中臺，將集團內部資料進行集中與標準化，希望能支援後續AI分析與模擬應用。</p> <p>不過，他也強調，資料集中同時代表風險集中。當大量資料進入同一平臺後，若權限管理、資料分類與資料流向控制沒有做好，集中化反而會讓風險被放大。「模型是引擎，資料是燃料，如果燃料是髒的，引擎跑出來一定有問題」，胡修武說。</p> <p>為此，未來企業治理的重點，將不再只是系統整合，而是資料流（Data Flow）的管理與控制。</p> <p>他進一步提到，生成式AI也正在大幅改變社交工程攻擊型態。過去詐騙或釣魚攻擊多半仰賴人工操作，但現在AI已能自動生成釣魚郵件、模擬主管語音與影像，甚至製作深偽（Deepfake）內容。企業員工未來可能接到「看起來像真的」主管視訊會議，或收到仿真的AI語音指示，使辨識真假變得更加困難。</p> <p>除了企業資安外，他認為AI風險也正擴大到更廣泛的安全領域，包括認知作戰、惡意資訊操作，甚至生化武器研究等。AI已不只是IT議題，而是跨入社會安全與國安層級的新風險來源。</p> <p><span style="color:#B22222;"><strong>AI加快攻防速度</strong></span></p> <p>另一方面，AI也正在讓資安攻防速度出現巨大變化。胡修武指出，過去企業面對的是駭客個人或團體，但未來可能面對的是AI自動化攻擊鏈。近期已有AI模型能快速挖掘多年未被發現的漏洞，未來攻擊流程甚至可能從漏洞探索、滲透、攻擊到擴散，全程自動化完成。</p> <p>這也意味著，企業未來不能只依靠人工進行防禦，而必須開始導入AI協助資安，包括利用AI進行威脅分析、異常偵測與自動化事件回應。未來的資安攻防，很可能演變成「AI對抗AI」。</p> <p>當AI成為企業的「數位員工」，管理重點在身分識別、權限及風險管理</p> <p>胡修武認為，AI最大的挑戰還不只是技術，而是治理模式的全面改變。因為AI不像傳統IT系統只是照流程執行，它具有一定程度的自主性，因此企業必須重新思考，哪些決策可以交給AI處理、哪些仍需人工覆核，以及AI能接觸哪些資料與系統。</p> <p>當AI逐漸變成企業中的「數位員工」，而IT部門也可能從過去管理系統，轉變成管理數位員工的單位。企業未來可能需要替AI建立身分識別、權限管理與操作紀錄，並針對不同AI應用建立高、中、低風險分級制度。</p> <p>他也強調，AI與資安治理不可能只靠IT部門完成，因為真正瞭解資料價值與業務風險的是第一線的業務單位，因此AI治理必須讓高階主管、業務部門、法務、稽核與資安團隊共同參與，才能真正建立有效的管理機制。</p> <p>他以東元電機自身為例，近幾年東元電機持續透過培訓、競賽與跨部門推動等方式，讓AI與資安不只是IT議題，而是逐步成為企業文化的一部分。對企業而言，AI帶來的不只是效率革命，也同時帶來治理模式與風險管理的新挑戰。</p> </div></div></div>
5/11 16:42作者蘇文彬https://www.ithome.com.tw/news/175703
【資安日報】5月11日，逾半數密碼的MD5雜湊值一小時就能破解
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/175663"><strong style="font-size: 22px;">約六成的密碼MD5雜湊值可在一小時內破解</strong></a></p> <p><a href="/sites/default/files/images/passwords-hacking-research-2026-01-EN-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/passwords-hacking-research-2026-01-EN-63.jpg" style="width: 300px; float: right;" /></a></p> <p>近日卡巴斯基分析2023年至2026年流入暗網的2.31億個密碼，結果發現，駭客想要破解密碼，其中六成只需1小時與幾美元的費用，值得注意的是，有近半數（48%）只要1分鐘就能破解。該公司說明，一般應用系統不會以明文存放密碼，而是經過特定演算法處理，並以雜湊值存放，一旦駭客取得這些雜湊值，而且能解密，就能還原成使用者輸入的密碼。而該公司測試時，使用搭載RTX 5090顯卡的電腦，嘗試還原MD5雜湊值。卡巴斯基強調，實際上駭客不需自行擁有一臺上述顯卡的高階工作站電腦，而是直接以數美元的代價租用雲端的GPU運算資源，就能達到目的。</p> <p><a href="https://www.ithome.com.tw/news/175672"><strong style="font-size: 22px;">Linux高風險漏洞Dirty Frag影響2017年至今的系統核心，以及6種發行版</strong></a></p> <p>4月底揭露的Linux系統核心的本機提權漏洞Copy Fail（CVE-2026-31431）震撼全球之餘，沒想到5月8日竟又爆出另一批同樣存在Linux系統核心的本機提權漏洞Dirty Frag，微軟、Wiz公布進一步的細節。微軟透露此漏洞涉及esp4、esp6與rxrpc核心模組弱點CVE-2026-43284、CVE-2026-43500，恐影響Ubuntu、RHEL、CentOS Stream、AlmaLinux、Fedora、openSUSE等Linux發行版，以及容器平臺OpenShift。Wiz指出，以Linux核心為例，就ESP子系統而言，可涵蓋2017年至今的所有版本，就RxRPC子系統而言，可涵蓋2023年至今的所有版本。</p> <p><a href="https://www.ithome.com.tw/news/175674"><strong style="font-size: 22px;">Firefox大改版修復的漏洞其實不只271個！Mozilla基金會揭露近期結合AI處理的Firefox漏洞多達423個</strong></a></p> <p><a href="/sites/default/files/images/security-bug-fixes-1-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/security-bug-fixes-1-63.jpg" style="width: 300px; float: right;" /></a></p> <p>瀏覽器Firefox在4月下旬發布150版，Mozilla基金會表示，由於與AI模型大廠Anthropic合作，因此有機會採用早期版本的先進AI模型Claude Mythos Preview，找出271個漏洞並完成修補。事實上，4月推出的Firefox 150總共修補的漏洞數量不只於此，Mozilla基金會在5月7日表示，實際上內部回報的漏洞有316個，而且，它們是由3個彙整多個漏洞而成的CVE組成，分別是匯集154個漏洞的CVE-2026-6784、匯集55個漏洞的CVE-2026-6785，以及匯集107個漏洞的CVE-2026-6786。Mozilla在4月份發布的Firefox 149.0.2、150、150.0.1當中，總共修補了423個漏洞。</p> <p><a href="https://www.ithome.com.tw/news/175673"><strong style="font-size: 22px;">cPanel新揭露與修補3個漏洞</strong></a></p> <p>許多網站主機代管業者採用的Linux系統管理軟體cPanel與Web Host Manager（WHM）在4月底揭露與修補重大漏洞CVE-2026-41940，後續引發一連串資安風波，5月8日再度發布漏洞公告，揭露與修補3個新漏洞：CVE-2026-29201、CVE-2026-29202、CVE-2026-29203。當中最需要注意的漏洞是CVE-2026-29202與CVE-2026-29203，CVSSv3嚴重度皆為8.8分，都屬於高風險漏洞；CVE-2026-29201的CVSSv3嚴重度評為4.3分，屬於中度風險漏洞。</p> <p><a href="https://www.ithome.com.tw/news/175691"><strong style="font-size: 22px;">Node.js沙箱函式庫vm2繼WASM沙箱逃逸後，再修NodeVM巢狀執行設定漏洞</strong></a></p> <p>Node.js沙箱函式庫vm2近期連續修補沙箱逃逸漏洞，繼3.10.5版處理CVE-2026-26956後，又在3.11.1版修補NodeVM巢狀執行設定問題CVE-2026-44007。該漏洞可能讓沙箱內程式碼繞過原本禁止載入模組的限制，進一步建立新的執行環境，並嘗試在主機端執行命令。CVE-2026-44007其漏洞情境是當開發者在NodeVM開啟nesting:true，卻同時以為已透過require:false關閉模組載入功能時，沙箱內程式碼仍可能載入vm2，再建立另一個內層NodeVM，並用攻擊者指定的設定執行主機命令。</p> <p><a href="https://www.ithome.com.tw/news/175689"><strong style="font-size: 22px;">Hugging Face出現冒充OpenAI的惡意儲存庫，鎖定Windows用戶散布竊資軟體</strong></a></p> <p><a href="/sites/default/files/images/69fddb9c8b74b531406173bb_Stage1_Lure-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/69fddb9c8b74b531406173bb_Stage1_Lure-63.jpg" style="width: 300px; float: right;" /></a></p> <p>AI資安公司HiddenLayer指出，他們近日在Hugging Face儲存庫Open-OSS/privacy-filter找到惡意程式碼，該儲存庫複製了OpenAI近日開源的去識別化資料模型Privacy Filter，內容幾乎與正牌的Privacy Filter一模一樣，然而，若依照其指示操作，Windows使用者的電腦就有可能被植入惡意程式。值得留意的是，該儲存庫在Hugging Face下架前，已被下載超過20萬次，甚至登上熱門排行榜，因此影響範圍恐怕會非常廣泛。</p> <p><a href="https://www.ithome.com.tw/news/175687"><strong style="font-size: 22px;">檔案下載工具JDownloader網站遭駭，駭客竄改安裝檔下載連結</strong></a></p> <p>根據資安新聞網站Bleeping Computer報導，提供檔案下載工具軟體JDownloader的官方網站遭駭，攻擊者竄改安裝程式的下載連結，導致Windows電腦可能會被植入Python打造的遠端存取木馬。最早發現此事的是ID為PrinceOfNightSky的使用者，他在社群網站Reddit警告，剛從JDownloader網站下載的安裝程式，被Windows內建端點防護軟體Microsoft Defender標示為有問題，因此，他呼籲JDownloader用戶特別留意，並聯繫開發商AppWork進行確認。該公司在該篇貼文底下提出回覆，當中證實網站遭駭。</p> <p><a href="https://www.ithome.com.tw/news/175680"><strong style="font-size: 22px;">勒索軟體RansomHouse聲稱竊得資安公司Trellix的原始碼</strong></a></p> <p><a href="/sites/default/files/images/ransomhouse-trellix-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/ransomhouse-trellix-63.jpg" style="width: 300px; float: right;" /></a></p> <p>一週前Trellix在網站發布公告，透露部分原始碼的儲存庫遭未經授權存取，近日有駭客組織聲稱是其所為。根據資安新聞網站Bleeping Computer的報導，勒索軟體RansomHouse近日將Trellix列於資料外洩網站，並發布螢幕截圖，藉此證明他們已成功存取該公司的裝置管理系統，該團體聲稱於4月17日成功入侵Trellix。不過，Bleeping Computer無法確認駭客說法的真實性。針對上述情形，Trellix向該新聞網站表示，他們已掌握駭客的說法並著手調查。</p> <p><a href="https://www.ithome.com.tw/news/175681"><strong style="font-size: 22px;">Zara母公司傳被ShinyHunters竊取資料，影響近20萬人</strong></a></p> <p>西班牙快時尚品牌Zara母公司Inditex疑似遭勒索軟體組織ShinyHunters宣稱入侵雲端分析系統，被竊取197,000筆客戶資料。4月中旬勒索軟體組織ShinyHunters宣稱，他們利用Anodot行銷分析平臺的憑證，從Inditex的BigQuery執行個體竊得140 GB資料。由於該公司未及時支付贖金，駭客威脅準備將竊得的資料公開。5月8日密碼外洩查詢網站Have I Been Pwned將Inditex列入資料外洩名冊，洩露的資料包括197,000筆電子郵件信箱、產品SKU、客戶訂單編號，客戶來源地區、以及9,500萬筆支援工單資訊。</p> <p><a href="https://www.ithome.com.tw/news/175683"><strong style="font-size: 22px;">Canvas再被駭客入侵斷線，大學被迫延遲期末考</strong></a></p> <p>Canvas供應商Instructure四月遭勒索軟體ShinyHunters外洩資料，上週網站再度遭駭，導致大學用戶運作大亂，甚至延遲期末考。群駭客將Canvas入口網站置換成勒索訊息。聲稱未接獲Instructure聯繫，對方反而實施一定的安全措施。由於已過了公開Canvas資料的談判期限，駭客於是向Canvas學校用戶喊話，呼籲他們如果不希望資料公開，就個別和駭客直接以TOX通訊程式聯繫、談判「和解」，最後期限為5月12日。由於此時正是大學院校舉行期末考期間，斷線也造成使用Canvas平臺的學校行程大亂。</p> <p><a href="https://www.ithome.com.tw/news/175662"><strong style="font-size: 22px;">WordPress轉址外掛功能發現潛藏多年後門程式，逾7萬網站恐暴露於惡意程式散播風險</strong></a></p> <p>網站代管業者Austin Ginder近日發布報告，指出廣泛使用的開源網站管理系統WordPress上，有不少用戶使用的外掛程式Quick Page/Post Redirect存在潛藏5年的後門，影響超過7萬個網站，可能導致內容注入與惡意程式碼散播等問題，WordPress.org已於4月14日將Quick Page/Post Redirect外掛程式下架，等待進一步審查，目前已無法下載，但已安裝該外掛的用戶仍面臨風險，建議用戶先行停用與移除，等待審查結果。</p> <p><a href="https://www.ithome.com.tw/news/175664"><strong style="font-size: 22px;">加拿大查獲簡訊廣播器犯罪活動，攻擊者假冒合法基地臺並利用2G連線弱點發送釣魚簡訊</strong></a></p> <p>日前多倫多警察局（Toronto Police Service）公布「燈塔專案」（Project Lighthouse）調查結果，指出3名男子涉嫌在多倫多市中心操作簡訊廣播器（SMS blaster），向大量行動裝置發送詐騙簡訊。這起調查始於2025年11月，當時有安全合作夥伴通報執法機關，指出多倫多市中心疑似出現這類設備。多倫多警方表示，數個月內已有幾萬臺裝置曾連上這臺簡訊廣播器，警方也辨識出超過1,300萬次網路中斷事件，使部分裝置無法正常連上合法行動基地臺。</p> <p><a href="https://www.ithome.com.tw/news/175666"><strong style="font-size: 22px;">惡意NuGet套件冒充中國.NET程式庫，企圖對開發人員的瀏覽器、加密貨幣錢包發動攻擊</strong></a></p> <p><a href="/sites/default/files/images/938e3de66c4c5847bafb470ee1f25c77727e3bac-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/938e3de66c4c5847bafb470ee1f25c77727e3bac-63.jpg" style="width: 300px; float: right;" /></a></p> <p>最近資安公司Socket發現惡意NuGet套件的攻擊活動，名為bmrxntfj的開發者上架5個惡意套件，這些套件冒充中國廣泛使用的.NET程式庫，涵蓋使用者介面和基礎設施相關用途。這些惡意套件內含經.NET Reactor保護的竊資軟體，能針對12種瀏覽器、8種加密貨幣錢包的應用程式，以及5種加密貨幣錢包的瀏覽器延伸套件功能，從中竊取機密，然後傳送到特定的C2網域。值得留意的是，這些套件總共被下載超過6.5萬次，影響範圍相當廣泛。</p> <p><a href="https://www.ithome.com.tw/news/175669"><strong style="font-size: 22px;">惡意程式ZiChatBot透過PyPI套件散布，針對Windows與Linux用戶而來</strong></a></p> <p>資安公司卡巴斯基近日揭露駭客組織OceanLotus（APT32）於PyPI儲存庫的攻擊活動，攻擊者自2025年7月上傳一系列的惡意套件，而這些套件確實具備駭客宣稱的功能，不過實際上卻會根據受害電腦的作業系統，執行Windows版或Linux版的惡意程式載入工具（Dropper），最終植入惡意軟體ZiChatBot，該公司向PyPI維護團隊通報後，上述套件已被下架。此惡意軟體的特別之處，在於並未採用一般的C2機制，而是濫用開源聊天及協作軟體Zulip的REST API建立通訊。ZiChatBot可接收駭客送出的Shellcode，執行完成後，該惡意軟體會回傳愛心表情符號（Emoji）表示成功。</p> <p><a href="https://www.ithome.com.tw/news/175627"><strong style="font-size: 22px;">CISA在Palo Alto Networks防火牆重大漏洞揭露當下，即同步納入KEV清單，限期3天採取緩解措施</strong></a></p> <p>5月6日揭露的Palo Alto Networks防火牆重大漏洞CVE-2026-0300，當天美國網路安全與基礎設施安全局（CISA）隨即證實已出現被利用的活動，將其納入已知遭利用漏洞清單（KEV），要求各機構5月9日前採取緩解措施，顯示此漏洞具備高度風險與急迫性。CVE-2026-0300的CVSS v4.0嚴重性達到9.3分，問題源自Palo Alto Networks防火牆的User-ID身分驗證入口網站，攻擊者無須身分驗證，即可向入口網站服務發送特製封包觸發此漏洞。</p> <p><a href="https://www.ithome.com.tw/news/175652"><strong style="font-size: 22px;">AWS美東資料中心傳出供電與冷卻異常，EC2與EBS服務受影響</strong></a></p> <p>AWS透過其服務狀態儀表板警示，美國東部（北維吉尼亞）的US-EAST-1服務區域，因單一資料中心供電與冷卻系統異常，導致部分EC2與EBS服務出現「impairment（功能降級）」情況，進而影響到其他相關服務運作，AWS表示已著手修復問題，目前已有初步復原跡象，但尚未能確認完全復原的時程。AWS最初是在太平洋夏令時間（PDT）5月7日下午5點25分（臺灣時間5月8日上午8點25分）發出通知，表示US-EAST-1的use1-az4可用區出現執行個體功能降級（impairment）情況，稍後在5點53分說明更多細節。</p> <p><a href="https://www.ithome.com.tw/news/175649"><strong style="font-size: 22px;">Cloudflare營收成長34%，宣布裁撤2成員工</strong></a></p> <p>網路基礎架構及資安服務業者Cloudflare於5月7日公布第一季財報，該季Cloudflare創造6.4億美元的營收，成長34%，隨後宣布將全面擁抱代理式AI優先（Agentic AI-first）的營運模式，要裁撤1,100名員工，約占該公司20%的員工比重。當天Cloudflare的盤後股價下滑了17%，跌至213美元。Cloudflare的兩名共同創辦人Matthew Prince與Michelle Zatlyn表示，公司的運作方式已經發生了根本性的變化，過去3個月期間，Cloudflare在AI方面的使用率增加了超過600%。</p> <p><a href="https://www.ithome.com.tw/news/175622"><strong style="font-size: 22px;">為了推動AI領域的投資，資安公司Arctic Wolf傳出裁員250人</strong></a></p> <p>根據科技新聞網站The Register的報導，資安公司Arctic Wolf近期裁員250人，目的是強化威脅情報平臺與代理型資安營運中心（Agentic SOC），投入更多與AI相關的資金，涵蓋銷售、產品開發、行銷多個部門，其中部分員工在職超過4年。該公司發言人證實此事，表示該公司確實在進行組織再造，使公司架構及投資方向更符合長期經營策略，為了提升營運效率，Arctic Wolf將持續投資威脅情報平臺Superintelligence與Agentic SOC。</p> <p><a href="https://www.ithome.com.tw/news/175668"><strong style="font-size: 22px;">衛福部期中將著重AI與資安治理，醫院資安預算至少應編3%</strong></a></p> <p>隨著醫療機構持續成為勒索攻擊與個資外洩的高風險目標，醫院不只得補強技術防護，也得提前因應更嚴格的法規與治理要求。在5月7日的臺灣資安大會裡，中山醫學大學附設醫院醫療資訊中心副主任黃冠凱指出，衛福部推動的健康臺灣深耕計畫近期將進入期中審查，其中第3範疇聚焦資安治理、資料治理與AI治理，將成為衛福部資訊處的重要核查項目。他也建議，醫院整體資安經費至少應占總預算3%以上，才能建立基本防護能力。</p> <p><a href="https://www.ithome.com.tw/review/174894"><strong style="font-size: 22px;">攔阻影子AI有道！SailPoint提供基於瀏覽器外掛的企業管理框架</strong></a></p> <p>為了提高工作效率，越來越多人在企業管理的環境當中，使用各種生成式AI服務，然而，也因此經常發生所謂的「影子AI」，也就是員工未獲得IT部門的許可而擅自使用AI，由於資安人員無法知曉他們如何與AI平臺互動，導致出現管理的盲點與失去狀態掌控的能力，針對這樣的管理需求，專攻身分治理解決方案的資安廠商SailPoint，今年3月下半宣布推出SailPoint Shadow AI Remediation（SAIR），提供即時AI治理與安全性框架，因應員工未經授權使用AI工具的行為，提供持續探查、監督與防護機制，協助緩解AI應用急速成長帶來的安全性與法規遵循風險。</p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/175655"><strong>【5月8日】Linux核心再傳本機提權漏洞Dirty Frag</strong></a></p> <p><a href="https://www.ithome.com.tw/news/175615"><strong>【5月7日】駭客聲稱提供OpenClaw用戶擴充功能散布惡意軟體</strong></a></p> <p><a href="https://www.ithome.com.tw/news/175587"><strong>【5月6日】Apache修補網頁伺服器高風險漏洞</strong></a></p> </div></div></div>
5/11 14:40作者周峻佑https://www.ithome.com.tw/news/175698
OpenAI Codex現可透過Chrome擴充功能背景處理跨分頁任務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><strong><a href="https://x.com/OpenAI/status/2052480800004956323">OpenAI Codex現在可透過Chrome擴充功能</a></strong>，在macOS與Windows的Chrome中處理部分原本需要於瀏覽器內完成的工作。該更新讓Codex除了協助程式開發工作，也能處理網站與Web應用程式中的部分瀏覽器工作，並支援跨分頁背景執行任務，不會接管使用者目前正在操作的瀏覽器。</p> <p><strong><a href="https://developers.openai.com/codex/app/chrome-extension">OpenAI說明</a></strong>，新版Chrome擴充功能可用於處理重複性瀏覽器工作，例如導覽結構化頁面、操作較複雜的資料輸入流程，或協助開發者檢查Web應用程式行為。Codex在執行這類工作時可依任務需要撰寫並執行程式碼，藉此完成頁面導覽、資料填寫與流程檢查等操作，而不是只仰賴逐步點擊。</p> <p>支援瀏覽器跨分頁背景任務擴大了Codex在多工具工作流程中的角色。OpenAI表示，Codex可依任務需求在不同工具間切換，若已有專用整合可處理，就使用外掛，若需要使用者已登入的瀏覽器狀態，則使用Chrome，要是本機開發伺服器、以檔案為基礎的預覽，或不需登入的公開頁面，便會優先使用Codex內建瀏覽器。</p> <p>OpenAI列出的應用情境包括除錯瀏覽器流程、檢查儀表板、進行資料查找，以及更新CRM系統等。這些情境多半涉及既有網站、內部系統或多步驟表單操作，也是傳統API整合或單一外掛不一定能完整涵蓋的工作範圍。不過，實際可處理程度會取決於網站權限、頁面結構與使用者授權範圍。</p> <p>要使用該新功能，使用者需在Codex應用程式中加入Chrome外掛，並完成Chrome擴充功能設定。Codex預設會在與新網站互動前詢問使用者，使用者也可在設定中管理網域允許清單與封鎖清單。由於Chrome安裝時可能要求讀取與變更網站資料、瀏覽紀錄、書籤、下載項目與分頁群組等權限，使用者需注意權限控管。</p> </div></div></div>
5/11 15:52作者李建興https://www.ithome.com.tw/news/175700
FCC延長外國製路由器與無人機更新豁免，允許既有設備更新至2029年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國聯邦通訊委員會（Federal Communications Commission，FCC）旗下的工程與技術辦公室（Office of Engineering and Technology，OET）<a href="https://docs.fcc.gov/public/attachments/DA-26-454A1.pdf" target="_blank">上週五（5/8）宣布</a>，把外國製無人機（Uncrewed Aircraft Systems，UAS）、無人機關鍵零組件及路由器的軟體與韌體更新豁免期限，延後到至少2029年1月1日。</p> <p>FCC是在2025年12月，將外國製無人機與無人機關鍵零組件<a href="https://docs.fcc.gov/public/attachments/DA-25-1086A1.pdf" target="_blank">納入受管制設備清單（Covered List）</a>，理由是這類設備可能被用於蒐集敏感資料、遠端未授權存取，或透過軟體更新被任意停用，構成美國國安與人身安全風險。</p> <p>此舉禁止新的外國製無人機與關鍵零組件取得FCC設備授權，外界一般認為將影響DJI、Autel，以及其它外國製無人機與關鍵零組件供應商；但已在禁令前取得授權、已在市場上的既有設備仍可繼續使用。OET後來另行發布豁免，允許這些既有設備接收軟體與韌體更新至2027年1月1日。</p> <p>至於外國製路由器則是在2026年3月<a href="https://www.ithome.com.tw/news/174607" target="_blank">被列入受管制設備清單</a>，原因是它們長期存在資安漏洞，且分布廣泛，容易被駭客利用作為入侵跳板，用於網路監控、資料外洩或建立殭屍網路進行攻擊。該禁令同樣只限制新裝置，OET當時也另行豁免，允許既有已授權路由器執行軟體與韌體更新至2027年3月1日。</p> <p>這次OET將外國製無人機、無人機關鍵零組件及路由器的軟體與韌體更新豁免期限，統一放寬至2029年1月1日。OET指出，若禁止既有設備接收軟體與韌體更新，反而可能讓已在美國市場流通的設備無法修補漏洞，增加消費者與網路安全風險。</p> <p>OET表示，這些更新包括修補漏洞、維持設備功能，以及確保與不同作業系統相容等。此外，這次豁免也從原本的Class I許可變更，擴大到部分涉及軟體與韌體更新的Class II許可變更；不過OET強調，豁免只適用於已獲授權的既有設備，並未解除外國製無人機與路由器取得新設備授權的限制。</p> </div></div></div>
5/11 15:13作者陳曉莉https://www.ithome.com.tw/news/175699
歐洲央行總裁質疑歐元穩定幣必要性，主張以央行貨幣支撐代幣化金融
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ecb.europa.eu/press/key/date/2026/html/ecb.sp260508~dd909fbed1.en.html" target="_blank">歐洲央行（ECB）總裁Christine Lagarde</a>週五（5/8）在西班牙Roda de Bará舉行的Banco de España拉丁美洲經濟論壇上表示，歐洲不應只是因應美元穩定幣崛起，就急著推動歐元穩定幣；推動歐元穩定幣的必要性其實遠低於外界想像，甚至可能帶來金融穩定與貨幣政策傳導風險。</p> <p>穩定幣近年從加密貨幣市場邊緣進入政策辯論核心，規模已從6年前不到100億美元，成長到今日逾3000億美元，其中接近98%以美元計價，近9成市場由Tether與Circle掌握。</p> <p>美國去年通過<a href="https://www.ithome.com.tw/news/170148" target="_blank">穩定幣法案GENIUS Act</a>，將美元穩定幣視為維持美元全球主導地位與支撐美債需求的工具，也讓歐洲內部出現是否應推出歐元穩定幣的討論。</p> <p>不過，Lagarde認為，主張歐洲必須推出歐元穩定幣的說法，混淆了穩定幣的貨幣功能與技術功能。前者是讓某種貨幣更容易被全球使用，後者則是在代幣化金融市場中作為鏈上交易的結算工具；若分開檢視，歐元穩定幣並不是歐洲取得這些效益的必要工具。</p> <p>在貨幣功能上，她承認歐元穩定幣確實可能提高外界對歐元資產的需求，並擴大國際上的歐元使用，但代價或許更高，因為穩定幣為私人發行的負債，可能在市場壓力下脫鉤或引發擠兌，進而影響金融穩定。此外，歐元區金融體系高度依賴銀行放款，若銀行存款流向非銀行發行的穩定幣，銀行可用於放款的穩定資金將減少，進而削弱歐洲央行利率政策對實體經濟的影響力。</p> <p>在技術功能上，Lagarde並不反對分散式帳本技術（DLT）或代幣化金融，但指出導入這些技術並不等於必須發行歐元穩定幣。歐洲更應建立由央行貨幣支撐的公共結算基礎設施，讓穩定幣、代幣化銀行存款或其它工具都能在安全且可互通的架構下運作。</p> <p>Lagarde認為，若歐洲要強化歐元的國際地位，應先推動資本市場整合，並建立足以支撐歐元角色的安全資產，而不是把歐元穩定幣視為捷徑。若要發展代幣化金融，也應先建立以央行貨幣為基礎的共同結算架構，讓創新能在安全且可互通的環境下發展。</p> </div></div></div>
5/11 13:20作者陳曉莉https://www.ithome.com.tw/news/175693
Node.js沙箱函式庫vm2繼WASM沙箱逃逸後，再修NodeVM巢狀執行設定漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Node.js沙箱函式庫vm2近期連續修補沙箱逃逸漏洞，繼3.10.5版處理<a href="https://www.ithome.com.tw/news/175605">CVE-2026-26956</a>後，又在3.11.1版修補NodeVM巢狀執行設定問題<a href="https://github.com/advisories/GHSA-8hg8-63c5-gwmx">CVE-2026-44007</a>。該漏洞可能讓沙箱內程式碼繞過原本禁止載入模組的限制，進一步建立新的執行環境，並嘗試在主機端執行命令。</p> <p>vm2的用途，是讓Node.js應用程式在受限制的環境中執行JavaScript，常用於線上程式執行、外掛功能、自動化腳本或讓使用者自訂邏輯的服務。問題在於，這些程式碼雖然被放進沙箱，但沙箱還是在同一個Node.js程序內運作，一旦隔離邊界被繞過，攻擊者就可能接觸到原本不該碰到的主機端能力。</p> <p>vm2被編號為CVE-2026-44007的NodeVM巢狀執行漏洞，影響3.11.0及更早版本，修補版本為3.11.1。其漏洞情境是當開發者在NodeVM開啟nesting:true，卻同時以為已透過require:false關閉模組載入功能時，沙箱內程式碼仍可能載入vm2，再建立另一個內層NodeVM，並用攻擊者指定的設定執行主機命令。3.11.1的修補方式，是在這種矛盾設定出現時直接報錯，避免開發者誤判保護效果。</p> <p>vm2近期安全修補是連續發生的版本更新。維護者先在3.10.5版修補CVE-2026-26956，該漏洞與WebAssembly例外處理機制有關，攻擊者若能控制交給vm2執行的JavaScript，可能讓主機端錯誤物件回到沙箱，進一步取得主機端程序能力。</p> <p>在3.10.5之後，<a href="https://github.com/patriksimek/vm2/releases/tag/v3.11.0">vm2維護者又於3.11.0版進行協調式安全發布</a>，關閉13個安全通報，其中多項涉及完整沙箱逃逸與遠端程式碼執行風險。接著3.11.1修補NodeVM巢狀執行設定造成的沙箱逃逸問題，3.11.2又修補3項安全問題，其中2項列為RCE風險。因此，對仍使用vm2執行不受信任JavaScript的服務而言，升級至目前最新的3.11.2版本，才是較完整的處置方式。</p> <p><a href="https://github.com/patriksimek/vm2">vm2專案說明</a>也提醒，vm2不應是執行不受信任程式碼時的唯一防線。若服務允許外部程式碼進入執行環境，開發者除了升級至3.11.2，也應檢查是否需要搭配獨立程序、容器、虛擬機器或雲端受託管執行環境，以降低沙箱邊界失效後的影響範圍。</p> </div></div></div>
5/11 13:25作者李建興https://www.ithome.com.tw/news/175691
檔案下載工具JDownloader網站遭駭，駭客竄改安裝檔下載連結
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>根據<strong><a href="https://www.bleepingcomputer.com/news/security/jdownloader-site-hacked-to-replace-installers-with-python-rat-malware/">資安新聞網站Bleeping Computer報導</a></strong>，提供檔案下載工具軟體JDownloader的官方網站遭駭，攻擊者竄改安裝程式的下載連結，導致Windows電腦可能會被植入Python打造的遠端存取木馬。</p> <p>最早發現此事的是ID為PrinceOfNightSky的使用者，<strong><a href="https://old.reddit.com/r/jdownloader/comments/1t6goqe/is_the_website_hacked/">他在社群網站Reddit警告</a></strong>，剛從JDownloader網站下載的安裝程式，被Windows內建端點防護軟體Microsoft Defender標示為有問題，其中不尋常的特徵是，他試著下載不同版本的Windows安裝檔，但有的開發者標示為Zipline LLC，有的是The Water Team，但正牌的安裝檔應該是由AppWork開發。因此，他呼籲JDownloader用戶特別留意，並聯繫開發商AppWork進行確認。該公司<strong><a href="http://old.reddit.com/r/jdownloader/comments/1t6goqe/is_the_website_hacked/okhg2ur/">在該篇貼文底下提出回覆</a></strong>，當中證實網站遭駭，並表示進一步調查後發現，不僅Windows版安裝程式的連結被置換，也有部分Linux版安裝程式連結被竄改。</p> <p>AppWork後來在JDownloader網站<strong><a href="https://jdownloader.org/incident_8.5.2026.html?v=20260508277000">發布公告</a></strong>，表明這起事故最早可追溯到世界協調時間（UTC）5月5日半夜，約於23時55分攻擊者首度嘗試竄改檔案下載連結，後續在6日凌晨又有其他連結被竄改。假若使用者在5月6日至7日從Download Alternative Installer下載Windows版安裝檔，或是使用Linux版Shell安裝程式，就有可能從外部網站取得惡意檔案。該公司強調，存放在伺服器上的安裝檔並未遭到更動，直接從JDownloader內建更新機制升級的用戶不受影響。關於事故發生的原因，AppWork指出，是網站採用的內容管理系統（CMS）遭到更動，但攻擊者並未滲透底層的伺服器架構，亦無法存取主機的檔案系統，或是取得作業系統層級的控制權。</p> <p>該公司於5月7日得知此事，並於當天傍晚17時24分關閉伺服器因應，經調查及修復，網站已重新上線。</p> </div></div></div>
5/11 11:53作者周峻佑https://www.ithome.com.tw/news/175687
Hugging Face出現冒充OpenAI的惡意儲存庫，鎖定Windows用戶散布竊資軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>素有AI界GitHub之稱的Hugging Face提供大量的模型與工具，已成為許多人研究與開發AI應用的重要資源，有駭客因為該平臺極為熱門，而對其發動惡意軟體攻擊。</p> <p>AI資安公司HiddenLayer指出，<strong><a href="https://www.hiddenlayer.com/research/malware-found-in-trending-hugging-face-repository-open-oss-privacy-filter">他們近日在Hugging Face儲存庫Open-OSS/privacy-filter找到惡意程式碼</a></strong>，該儲存庫複製了OpenAI近日開源的<strong><a href="https://www.ithome.com.tw/news/175246">去識別化資料模型Privacy Filter</a></strong>，內容幾乎與正牌的Privacy Filter一模一樣，然而，若依照其指示操作，使用者的電腦就有可能被植入惡意程式。值得留意的是，該儲存庫在Hugging Face下架前，已被下載超過20萬次，甚至登上熱門排行榜，因此影響範圍恐怕會非常廣泛。</p> <p>對此，HiddenLayer認為，若是使用者曾依照Open-OSS/privacy-filter安裝指引複製了儲存庫，並在Windows電腦執行start.bat、python loader.py等執行檔，應將視為系統遭入侵並採取行動，最好優先考慮重建開發環境，而非直接清理惡意程式。由於這次的惡意程式是竊資軟體，在完全清除前切勿登入電腦。使用者應將主機隔離，然後將所有存放於瀏覽器、密碼管理工具，以及受害電腦的憑證進行輪換。若是使用者並未存放帳密資料，還是要將瀏覽器的連線階段（Session）視為遭到入侵，因為攻擊者有機會洩露Cookie並繞過多因素驗證（MFA）。該公司也呼籲受害者最好將加密貨幣錢包的資產，移轉到新的錢包因應。</p> </div></div></div>
5/11 12:08作者周峻佑https://www.ithome.com.tw/news/175689
Cloudflare廣域網路即服務開始支援PQC，強化企業WAN量子威脅防護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>網路服務與資安業者Cloudflare宣布，<a data-saferedirecturl="https://www.google.com/url?q=https://blog.cloudflare.com/post-quantum-ipsec/&source=gmail&ust=1778554821750000&usg=AOvVaw22PHjoyhANR77vs2aPMTlj" href="https://blog.cloudflare.com/post-quantum-ipsec/" target="_blank">Cl<wbr></wbr>oudflare IPsec後量子加密功能正式上線</a>，<wbr></wbr>這也是該公司加速後量子準備（Post-Quantum Readiness）布局的最新進展。<a data-saferedirecturl="https://www.google.com/url?q=https://www.ithome.com.tw/news/174910&source=gmail&ust=1778554821750000&usg=AOvVaw0Sl3bE7wV9khtRpEWP2dnr" href="https://www.ithome.com.tw/news/174910" target="_blank">Cloudflare先前<wbr></wbr>已宣布</a>，目標在2029年全面達成後量子安全，<wbr></wbr>4月30日則進一步把防護範圍擴大，<wbr></wbr>涵蓋企業的站點對站點廣域網路（site-to-site WAN）連線。</p> <p>網際網路協定安全性（Internet Protocol Security，IPsec）<wbr></wbr>是一套用來建立加密網路通道的通訊協定，常見於企業資料中心、<wbr></wbr>分支據點與雲端環境之間的安全連線。Cloudflare IPsec則是該公司提供的廣域網路即服務（WAN Network-as-a-Service），<wbr></wbr>可讓企業透過加密IPsec通道，連接資料中心、分支據點、<wbr></wbr>雲端VPC，以及Cloudflare One安全存取服務邊緣（Secure Access Service Edge，<a data-saferedirecturl="https://www.google.com/url?q=https://www.cloudflare.com/zh-tw/learning/access-management/what-is-sase/&source=gmail&ust=1778554821750000&usg=AOvVaw3yxbTDSpHiw_tJVgeDImwI" href="https://www.cloudflare.com/zh-tw/learning/access-management/what-is-sase/" target="_blank">SASE</a>）平臺。</p> <p>Cloudflare IPsec新增支援的後量子加密功能，<wbr></wbr>採用混合的模組格基式金鑰封裝機制（Module-<wbr></wbr>Lattice-Based Key-Encapsulation Mechanism，ML-KEM），結合傳統Diffie-<wbr></wbr>Hellman金鑰交換與後量子演算法，<wbr></wbr>降低未來量子電腦破解現行公開金鑰密碼學的風險。<wbr></wbr>Cloudflare表示，這項功能已完成與兩種網路安全設備平臺的互通性測試，<wbr></wbr>可支援Cisco 8000系列Secure Routers 26.1.1版之後版本，以及Fortinet FortiOS 7.6.6及後續版本，<wbr></wbr>企業可透過符合版本條件的既有分支據點設備，<wbr></wbr>建立後量子Cloudflare IPsec通道。</p> <p>Cloudflare強調，這類部署主要是為了防範「先蒐集、<wbr></wbr>日後解密」（harvest-now-decrypt-<wbr></wbr>later）攻擊，也就是攻擊者現在先攔截並保存加密流量，<wbr></wbr>等到未來量子電腦具備破解能力後再解密。<wbr></wbr>這個時間點通常被稱為Q-Day。</p> <p>由於量子運算進展可能使Q-Day比原先預期更早到來，<wbr></wbr>Cloudflare認為，後量子加密不只應用於TLS流量，<wbr></wbr>也需要延伸到企業WAN等網路基礎架構。</p> </div></div></div>
5/11 12:47作者王珮瑤https://www.ithome.com.tw/news/175690
Ubuntu與Fedora都將支援本地生成式AI，開發者反彈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>紅帽（Red Hat）工程師Gordon Messmer在3月31日於Fedora論壇<a href="https://discussion.fedoraproject.org/t/fedora-ai-developer-desktop-objective/184941/1" target="_blank">提出了「Fedora AI 開發者桌面」</a>（Fedora AI Developer Desktop Objective）計畫，Ubuntu則由Canonical工程副總裁Jon Seager在4月27日正式<a href="https://discourse.ubuntu.com/t/the-future-of-ai-in-ubuntu/81130" target="_blank">公開AI整合路線圖</a>，雙方都打算於作業系統中整合本地端生成式AI功能，然而，社群內部卻因擔心其與開源精神相悖而出現反彈，Fedora甚至已有貢獻者為此離去。</p> <p>Fedora與Ubuntu同為最主流的Linux桌面發行版，皆以開源精神為核心；其中，Fedora由紅帽（Red Hat）贊助，Ubuntu由Canonical主導。這次兩者同步擁抱生成式AI，都強調隱私優先的本地端推論，拒絕預設連線雲端服務，顯示主流Linux陣營對AI整合已形成某種共識。</p> <p>這兩大Linux發行版擁抱AI的理由一致，皆認為生成式AI工具在開發者生態系中的滲透已難以逆轉。在去年接替Matthew Miller成為Fedora專案負責人的Jef Spaleta預估，到了2028年，Linux核心的多數Commit可能都會帶有AI輔助標記，與其置身事外讓商業大模型主導整個開發流程，不如主動介入，推出符合開源精神的本地端版本。</p> <p>而Canonical亦明確表示偏好開放權重模型與開源工具鏈，並以本地推論為預設方向，試圖在擁抱新技術的同時，守住自由軟體社群長期建立的價值底線。</p> <p>不過，反對者認為，大型語言模型（LLM）的訓練資料來源不透明，大量使用未經授權的開源程式碼及網路內容，在全球還有多個著作權訴訟；Fedora貢獻者Fabio Valentini指出，LLM現有形式的本質就是不道德的；另一位貢獻者Fernando Mancera認為，將AI列為Fedora的正式目標，等於向外界傳遞出Fedora願意背書當前AI技術現狀的訊號。</p> <p>曾擔任Fedora委員會成員、導師計畫共同負責人的Mancera，還因此次於上週<a href="https://discussion.fedoraproject.org/t/fedora-ai-developer-desktop-objective/184941/71" target="_blank">宣布退出</a>Fedora專案的所有活動。相較之下，Ubuntu內部雖然同樣引發部分質疑，但反應相對溫和。</p> </div></div></div>
5/11 11:35作者陳曉莉https://www.ithome.com.tw/news/175685
2026年第一季全球網際網路中斷事件偏多，政府斷網、停電與軍事衝突成主因
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>網路與資安服務業者<a data-saferedirecturl="https://www.google.com/url?q=https://blog.cloudflare.com/q1-2026-internet-disruption-summary/&source=gmail&ust=1778555572871000&usg=AOvVaw3lwO56ls8NL8eF8Km73bEV" href="https://blog.cloudflare.com/q1-2026-internet-disruption-summary/" target="_blank">Cloudflare發布2026年第一季全<wbr></wbr>球網際網路中斷事件觀察</a>，<wbr></wbr>根據旗下網路流量觀測服務Cloudflare Radar資料，回顧全球多起已確認的連線異常。</p> <p>相較於2025年第一季未觀測到政府下令斷網，<wbr></wbr>今年第一季情況明顯不同。Cloudflare指出，烏干達、<wbr></wbr>伊朗與剛果共和國都在選舉或衝突背景下發生大規模斷網，<wbr></wbr>古巴則在3月發生3次國家電力系統崩潰。</p> <p>烏干達斷網發生在1月總統大選前。<wbr></wbr>烏干達通訊委員會要求行動網路業者暫停提供公共網際網路服務，<wbr></wbr>使烏干達網際網路交換中心（Uganda Internet Exchange Point，UIXP）的國內流量，<wbr></wbr>從約72Gbps降至1Gbps。<wbr></wbr>伊朗則在1月與2月出現兩波全國性斷網，<wbr></wbr>第二波截至4月下旬仍大致持續。<wbr></wbr>剛果共和國也在3月總統大選期間，出現約60小時、近乎全面中斷的網路連線異常。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0511-Traffic%20trends%20in%20Iran-600.png" style="width: 600px;" /></p> <p>停電也是本季造成網路中斷的重要原因。<wbr></wbr>古巴在3月發生3次國家電力系統崩潰，<wbr></wbr>每次都造成大範圍網路流量下滑；巴拉圭、多明尼加共和國、<wbr></wbr>美屬維京群島，以及摩爾多瓦與烏克蘭部分地區，<wbr></wbr>也因電網或供電問題影響網際網路連線。</p> <p>軍事衝突則進一步波及雲端基礎設施。Cloudflare指出，<wbr></wbr>3月初，AWS位於阿拉伯聯合大公國與巴林的資料中心，<wbr></wbr>因無人機攻擊受損，導致AWS中東區域連線失敗率升高。<a data-saferedirecturl="https://www.google.com/url?q=https://www.ithome.com.tw/news/174125&source=gmail&ust=1778554821760000&usg=AOvVaw1YJckIqWUSxJ8PrkoPgZVE" href="https://www.ithome.com.tw/news/174125" target="_blank">Amaz<wbr></wbr>on當時也提醒客戶</a>，受影響區域營運可能持續不穩，<wbr></wbr>建議備份資料，或將工作負載遷移至其他AWS區域。</p> <p>其他中斷原因還包括惡劣天候、海底纜線受損與技術問題。<wbr></wbr>葡萄牙受風暴影響，出現廣泛停電與基礎設施損害；<wbr></wbr>剛果共和國則因西非海底電纜系統（West Africa Cable System，WACS）受損，網路流量一度較預期水準低82%<wbr></wbr>。技術問題方面，<a data-saferedirecturl="https://www.google.com/url?q=https://www.ithome.com.tw/news/173376&source=gmail&ust=1778554821760000&usg=AOvVaw1abLG-g81wBnnvJjwx13qj" href="https://www.ithome.com.tw/news/173376" target="_blank">美國電信業者Verizon</a>旗下Verizon Wireless因軟體問題，影響用戶語音與資料服務，<wbr></wbr>Verizon流量也出現小幅下降。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0511-HTTP%20traffic%20in%20Leiria%2C%20Portugal.png" style="width: 600px;" /></p> <p>整體來看，<wbr></wbr>Cloudflare觀察到2026年第一季全球網際網路中斷事<wbr></wbr>件數量偏高，影響因素涵蓋政府斷網、停電、軍事衝突、惡劣天候、<wbr></wbr>海底纜線受損與技術故障。<wbr></wbr>而AWS位於中東地區的資料中心遭無人機攻擊，<wbr></wbr>則顯示軍事衝突的影響已波及大型雲端基礎設施，<wbr></wbr>並連帶影響託管於當地的網站與應用程式服務。</p> </div></div></div>
5/11 12:09作者王珮瑤https://www.ithome.com.tw/news/175688
Zara母公司傳被ShinyHunters竊取資料，影響近20萬人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>西班牙快時尚品牌Zara母公司Inditex疑似遭勒索軟體組織ShinyHunters宣稱入侵雲端分析系統，被竊取197,000筆客戶資料。</p> <p>四月中勒索軟體組織ShinyHunters宣稱，他們利用Anodot行銷分析平臺的驗證憑證，從Inditex的BigQuery執行個體竊得140 GB資料。由於該公司未能支付贖金，駭客威脅準備將竊得的資料公開。</p> <p>當時這家西班牙集團<a href="https://www.marketwatch.com/story/inditex-warns-of-data-breach-c820db93" target="_blank">承認偵測到異常活動</a>，該公司調查，事件起因是出於之前的技術供應商的資安事件，但他們宣稱客戶的密碼、信用卡或其他支付資料並未受影響。</p> <p>不過<a href="https://haveibeenpwned.com/Breach/Zara" target="_blank">Have I Been Pwned</a>週五將Inditex列入外洩清單。外洩資訊達197,000筆資料，包括197,000筆不重複電子郵件信箱及產品SKU、客戶訂單編號，販告地區、以及9,500萬筆支援工單資訊。</p> <p>Inditex之外，這群駭客近二週先後公布的受害者如<a href="https://www.ithome.com.tw/news/175099" target="_blank">Rockstar Games</a>及<a href="https://www.ithome.com.tw/news/175403" target="_blank">Vimeo</a>，都是因Anodot憑證外流導致資料外洩。</p> <p>此外，ShinyHunters宣稱竊得Nvidia雲端遊戲平臺GeForce NOW數百萬筆用戶資料，Nvidia於東歐亞美尼亞合作的託管雲端平臺GFN.AM已正式<a href="https://gfn.am/hy/blog/%D5%A1%D5%B6%D5%BE%D5%BF%D5%A1%D5%B6%D5%A3%D5%B8%D6%82%D5%A9%D5%B5%D5%A1%D5%B6-%D5%B4%D5%AB%D5%BB%D5%A1%D5%A4%D5%A5%D5%BA/" target="_blank">發文證實</a>。</p> </div></div></div>
5/11 10:23作者林妍溱https://www.ithome.com.tw/news/175681