iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 21篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 02:52
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

OpenAI推出手機版Codex，可隨時接管AI程式任務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://openai.com/index/work-with-codex-from-anywhere/" target="_blank">OpenAI週四（5/14）宣布</a>，在ChatGPT手機App中推出Codex預覽版功能，讓開發者即使不在電腦前，也能透過手機查看、指揮與批准Codex正在執行的工作。</p> <p>Codex是OpenAI推出的AI軟體工程代理人（Software Engineering Agent），可協助撰寫程式、修Bug、執行測試與處理整個開發流程。OpenAI近來持續擴大Codex的使用入口，從Web版ChatGPT、命令列介面（CLI）、整合開發環境（IDE）與桌面版Codex App，延伸到這次新增的ChatGPT手機App。</p> <p>OpenAI表示，目前每週已有超過400萬人使用Codex，且隨著AI代理人開始承擔更長時間的工作，開發者與Codex之間也形成新的協作節奏。為了讓工作持續推進，使用者需要能隨時回答Codex的問題、檢視其發現、調整方向、批准下一步行動，或補充新的想法，因此OpenAI將Codex帶進ChatGPT手機App。</p> <p>在ChatGPT手機App中，使用者連上正在執行Codex的裝置後，不論是筆電、專用Mac mini或企業管理的遠端環境，App都會載入該環境的即時狀態。使用者可透過手機切換不同工作執行緒、審查輸出結果、批准命令、切換模型，或建立新任務；而檔案、憑證、權限與本地設定仍保留在Codex實際執行的機器上，手機端則會即時接收截圖、終端機輸出、程式差異、測試結果與批准請求。</p> <p>例如，開發者可在等咖啡時先讓Codex調查程式錯誤、重現問題並執行測試；也可在通勤途中檢視Codex提出的重構方案並選擇方向，讓任務在回到電腦前持續推進。</p> <p>OpenAI亦宣布全面開放Codex中的Remote SSH功能，讓Codex可透過SSH連接企業管理的遠端開發主機，在受控環境中建立專案與執行開發任務。</p> <p>目前Codex預覽版功能已開始在iOS與Android版ChatGPT App中逐步推出，適用於所有方案，包括Free與Go，並涵蓋所有支援地區。不過，現階段手機只能連接macOS版Codex App，之後才會支援Windows版Codex App。</p> </div></div></div>
5/15 10:54作者陳曉莉https://www.ithome.com.tw/news/175844
Google傳測試將未連結電話號碼的新帳戶雲端儲存限縮至5GB
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google可能正在測試，未連結電話號碼的新帳戶只能分配5GB免費雲端儲存空間。</p> <p>一名代號<a href="https://www.reddit.com/r/degoogle/comments/1tc0j0k/gmail_now_gives_5gb_free_if_you_sign_up_without/#lightbox" target="_blank">sungusungu的用戶</a>近日註冊新Gmail帳號時接獲Google跳出的選項訊息告知，將獲得5GB雲端儲存空間。但如果用戶選擇將電話號碼連結到帳戶，則可享有15GB雲端儲存空間，作為儲存Gmail、Google Drive及Photos之用。</p> <p>目前Google可能還在局部測試，因為有使用者表示剛註冊Gmail帳號並未被要求提供電話號碼。</p> <p>新措施的原因為何，Google簡單說明，電話號碼將用於確保讓雲端儲存只為一人所用。部份Reddit使用者猜測Google此舉純粹是為了蒐集用戶資訊。Google尚未就此回應媒體詢問。</p> <p>其實現在桌機及手機上註冊Google帳號都會被要求提供電話號碼，但用戶還是可以選擇跳過。至於為雲端空間重新提出該要求，可能是節省成本考量。</p> <p><a href="https://9to5google.com/2026/05/14/google-account-free-storage-changes-15gb/" target="_blank">9to5Google</a>分析，和其他公司一樣，現在Google也面臨成本高漲（如訓練和執行AI）及記憶體和儲存硬體短缺的挑戰。雖然使用者可以有多支電話號碼或是使用拋棄式門號等作法來繞過最新限制，但仍在一定程度內減少Google雲端儲存的濫用。</p> </div></div></div>
5/15 09:30作者林妍溱https://www.ithome.com.tw/news/175834
思科Catalyst SD-WAN控制器曝重大身分認證繞過漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>5月14日思科<strong><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sdwan-rpa2-v69WY2SW">發布資安公告</a></strong>，Catalyst SD-WAN Controller與Catalyst SD-WAN Manager（原名SD-WAN vSmart、SD-WAN vManage）的對等身分驗證流程存在漏洞，未經身分驗證的攻擊者可遠端繞過驗證流程，並得到系統管理權限，此漏洞登記為CVE-2026-20182，CVSS風險評為10分（滿分10分），屬重大風險等級，相當危險，而且，無論本地建置的SD-WAN環境，或是由思科代管的雲端版本都會受到影響。值得留意的是，思科指出已發現遭到利用的跡象。</p> <p>此弱點發生的原因，在於對等身分驗證運作機制異常，攻擊者可向存在漏洞的系統發送特製請求觸發漏洞。一旦成功利用，攻擊者就能以root以外的高權限帳號登入SD-WAN控制器，並利用該帳號存取NETCONF管理介面，然後竄改SD-WAN架構的網路設定。<strong><a href="https://www.rapid7.com/blog/post/ve-cve-2026-20182-critical-authentication-bypass-cisco-catalyst-sd-wan-controller-fixed/">通報漏洞的資安公司Rapid7表示</a></strong>，他們近期在調查<strong><a href="https://www.ithome.com.tw/news/174074">CVE-2026-20127</a>漏洞利用活動</strong>過程裡，發現了CVE-2026-20182，此漏洞影響與封包傳輸層安全（DTLS）有關的vdaemon服務及UDP 2346埠，但並非因CVE-2026-20127修補程式遭繞過而造成的問題，而是另一個完全不同的新漏洞。</p> <p>對於該漏洞帶來的影響，Rapid7指出攻擊者可用來執行特權操作，例如，將攻擊者控制的公鑰注入使用者帳號vmanage-admin授權SSH金鑰檔案，一旦這麼做，攻擊者就能以vmanage-admin的身分存取NETCONF服務，並執行任何的NETCONF指令。</p> </div></div></div>
5/15 09:48作者周峻佑https://www.ithome.com.tw/news/175835
Red Hat擴展主權雲與私有雲能力，強化資料駐留、區域支援與AI模型生命週期控管
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>開源解決方案供應商<a href="https://www.redhat.com/en/about/press-releases/red-hat-introduces-new-sovereign-and-private-cloud-capabilities-power-digital-autonomy?intcmp=RHCTG0260000483016">Red Hat（紅帽）宣布擴展主權雲（sovereign cloud）與私有雲（private cloud）功能</a>，更新項目涵蓋合規自動化、隔離式部署、區域內支援與AI服務部署，回應企業在資料駐留（data residency）、法規遵循與關鍵工作負載控管等議題的需求。</p> <p>在法規遵循方面，主權雲與私有雲不只要求資料留在特定區域，也要求企業能持續提供安全設定與技術控制的佐證資料。紅帽新增Red Hat OpenShift Compliance Operator的合規性設定檔（Compliance Profiles），並整合Kubernetes原生應用防護平臺Red Hat Advanced Cluster Security for Kubernetes，協助企業自動化技術審查，產生支援NIS2、GDPR與DORA等法規所需的佐證資料，降低稽核準備負擔。</p> <p>在部署面，紅帽鎖定主權雲與私有雲初期建置流程，推出跨平臺安裝程式，可自動建立預先配置的隔離運算平臺，涵蓋Red Hat Enterprise Linux、Red Hat OpenShift與Red Hat Ansible Automation Platform。這類「登陸區（landing zone）」可視為預先配置的雲端部署基礎環境，會在啟動時套用基礎控制與營運防護機制，讓企業更快部署經過強化、並符合法規要求的工作負載。</p> <p>面對AI工作負載需求，紅帽新增服務布建介面（service provisioning interface），讓合作夥伴與客戶可在Red Hat OpenShift上部署虛擬機器、叢集與AI服務，並支援GPU即服務（GPU-as-a-service）、模型即服務（models-as-a-service）與推論即服務（inferencing-as-a-service）等元件，建置具備AI能力的私有雲。。</p> <p>在營運支援方面，主權雲不只涉及資料儲存位置，也牽涉支援過程中的診斷資料是否會跨境流動。紅帽也在美國與歐盟市場提供Red Hat Confirmed Sovereign Support。傳統全球支援模式常由不同時區的支援團隊接續處理問題，可能導致診斷資料跨境流動。這項服務則採區域隔離方式，處理客戶上傳的診斷日誌、組態與sos報告等敏感資料，並透過角色型存取控制（Role-Based Access Control，RBAC）限制案件中繼資料的可見範圍。</p> <p>若問題需要全球工程團隊協助，紅帽會建立移除敏感資訊後的鏡像案件（mirror case），讓全球工程師參與分析，同時將原始敏感資料保留在區域邊界內。</p> <p>在成本管理方面，Red Hat Lightspeed現在可在客戶可控環境內提供Red Hat OpenShift成本管理遙測（telemetry）功能，讓企業掌握雲端支出，同時減少將營運資料傳送至主權邊界外的需求。</p> <p>生態系方面，紅帽也透過與雲端、AI基礎架構與企業IT業者合作，擴大主權雲與私有雲部署選項。紅帽表示，其平臺已取得Nvidia Cloud Partner（NCP）計畫的AI Cloud Ready狀態，可支援主權AI雲與新型雲端服務（neocloud）部署；該公司也與Google合作推出隔離式雲端基礎架構Red Hat OpenShift on Google Cloud Dedicated，提供給對控制權與效能有較高要求的企業使用；同時，紅帽宣布IBM主權雲與私有雲解決方案IBM Sovereign Core，採用Red Hat產品組合作為底層基礎。</p> </div></div></div>
5/15 10:01作者王珮瑤https://www.ithome.com.tw/news/175829
Xcode 26.5更新程式開發助理，並支援StoreKit新版訂閱測試
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Apple程式開發工具<strong><a href="https://developer.apple.com/documentation/xcode-release-notes/xcode-26_5-release-notes">Xcode 26.5</a></strong>納入Swift 6.3.2，以及iOS 26.5、iPadOS 26.5、watchOS 26.5、tvOS 26.5、macOS 26.5與visionOS 26.5軟體開發套件。更新重點在於程式開發助理的互動能力、StoreKit訂閱測試支援，以及多項開發、測試與效能分析工具修正。</p> <p>Xcode 26.5的程式開發助理新增訊息佇列功能，使用者可先送出多個問題或工作要求，再由系統依序處理。Apple也提到，程式開發助理中的代理功能現在能主動提出釐清問題，以便在需求不夠明確時取得更多資訊。該調整讓開發者可在同一輪操作中先排入多個請求，並在需求不明確時依助理追問補充條件，較適合分段處理開發工作。</p> <p>新版也修正程式開發助理相關問題，包括部分測試工具呼叫可能產生格式錯誤資料，以及使用Claude Code時可能出現OAuth權杖過期錯誤訊息的情況。</p> <p>Xcode內建的StoreKit Testing工具也擴充訂閱測試能力。StoreKit是Apple提供給App開發者處理App內購買與訂閱的框架，常用於付費功能、數位內容解鎖、自動續訂訂閱等情境。開發者可在StoreKit設定檔中，替自動續訂訂閱建立月繳且承諾使用12個月的計費方案，並透過Xcode的交易管理工具模擬使用者訂閱。團隊可在上架前測試較複雜的收費條件，不必等到正式環境才確認流程是否正確。</p> <p>其他修正則集中在效能分析、模擬器與測試環境。Instruments修正符號視窗搜尋欄位輸入時，每輸入一個字元就建立一個搜尋條件的問題，也修正使用Metal系統追蹤搭配GPU計數器擷取資料時，可能讓記憶體用量暴增到數十GB的情況。Simulator修正剪貼簿同步失效問題，測試工具也修正iOS 15模擬器無法執行測試的問題。</p> <p>官方也列出幾項已知限制，平行測試等情境若同時讀取多個程序的標準輸出與標準錯誤輸出，結果可能明顯延遲。Swift方面，啟用特定並行預設設定的專案，可能遇到閉包隔離判斷問題。Apple建議移除不必要的明確擷取，或改用明確標示執行隔離狀態的區域函式。Xcode 26.5支援iOS 15、tvOS 15、watchOS 8與後續版本的實機除錯，並要求Mac執行macOS Tahoe 26.2或後續版本。</p> </div></div></div>
5/15 09:03作者李建興https://www.ithome.com.tw/news/175832
AWS Kiro加入需求分析，AI實作前先找出需求歧義與衝突
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>AWS團隊<a href="http://kiro.dev/blog/faster-smarter-specs/">更新AI開發工具Kiro IDE的規格開發流程</a>，新增需求分析、快速規畫模式和平行任務執行，該更新讓系統在開始編寫程式前，先協助開發者找出需求描述中的模糊處、邏輯衝突與未說清楚的條件，降低後續實作走錯方向的機率。官方也表示，部分大型規格的完整實作時間可由超過1小時，降至原本約四分之一。</p> <p>Kiro是一款協助開發者用AI產生和執行程式任務的開發工具，採用規格驅動開發方法，也就是先定義需求、設計和任務清單，再讓AI依照這些文件進行實作。這種方式有助於讓開發過程留下依據，但在功能範圍已經明確，或多項工作彼此獨立時，也可能拖慢流程。</p> <p>新版Kiro加入的<a href="https://kiro.dev/blog/deep-spec-analysis/">深度需求分析</a>功能，可在系統產生需求後，由開發者啟動檢查。Kiro團隊表示，該功能採用混合式神經符號人工智慧（Neurosymbolic AI），結合大型語言模型與自動化推理，檢查需求是否存在不同解讀或互相矛盾的規則，或沒有交代清楚的情境，例如需求寫著「移除紀錄」時，實際上可能是永久刪除，也可能是保留資料但標記為刪除，而Kiro會把這類歧義整理成選項，讓開發者確認真正意圖。</p> <p>快速規畫模式則用來縮短建立規格的時間。過去Kiro會依序產生需求、設計與任務清單，並要求使用者逐步確認，而新模式會先掃描專案使用的程式語言、框架與結構，再提出2到4個釐清問題，接著一次產生需求、設計和任務，作為AI後續執行的依據。如果使用者只修改任務，Kiro就只重新產生任務，要是修改設計，便重新產生設計與任務，若改變整體範圍，才重新執行完整流程。</p> <p>平行任務執行用於一次執行整份任務清單，Kiro會分析每項工作的相依關係，判斷可同時進行的任務與必須等待前一項完成的任務。會修改同一批檔案的任務不會並行，基礎設定會先處理，測試則會等相關程式碼完成後再執行。每項任務都會在隔離環境中進行，因此即使其中一項失敗，其他不受影響的任務仍可繼續執行。</p> </div></div></div>
5/14 17:37作者李建興https://www.ithome.com.tw/news/175820
英國國民保健署因AI資安疑慮，將部分GitHub公開儲存庫改設私有
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>為因應先進AI模型可能帶來的資安風險，英國國民保健署（NHS）<wbr></wbr>要求技術主管暫時限制部分開放原始碼專案的公開存取權限。</p> <p><a data-saferedirecturl="https://www.google.com/url?q=https://www.theregister.com/software/2026/05/05/nhs-to-close-source-github-repos-over-ai-security-concerns/5224392&source=gmail&ust=1778812507360000&usg=AOvVaw2Pi7FEFzhsK5Wha96g8RMD" href="https://www.theregister.com/software/2026/05/05/nhs-to-close-source-github-repos-over-ai-security-concerns/5224392" target="_blank">根據The Register報導</a>，NHS內部指引要求：在5月11日前，相關GitHub儲存庫必須由公開狀態改設為私有；除非有明確且特殊需求，否則不應維持公開，影響的GitHub<wbr></wbr>儲存庫數量達數百個。</p> <p>這份內部指引指出，公開儲存庫可能增加原始碼、架構決策、組態細節與上下文資訊（<wbr></wbr>contextual information）外洩的風險；在AI模型已能大規模擷取程式碼<wbr></wbr>，並進行推論與分析的情況下，這些資訊可能遭到濫用。<wbr></wbr>指引中特別提到Anthropic的AI模型Mythos。NH<wbr></wbr>S England發言人表示，這只是暫時性措施，目的是在評估AI<wbr></wbr>模型快速發展影響的同時，進一步強化資安；若有明確需求，NHS<wbr></wbr>仍會繼續發布原始碼。</p> <p><a data-saferedirecturl="https://www.google.com/url?q=https://service-manual.nhs.uk/standards-and-technology/service-standard-points/12-make-new-source-code-open&source=gmail&ust=1778812507360000&usg=AOvVaw13krvRWJ5v1ctW5dNosAdZ" href="https://service-manual.nhs.uk/standards-and-technology/service-standard-points/12-make-new-source-code-open" target="_blank">NHS服務手冊主張</a>，公共服務由公眾的資金打造，除非有充分理由，<wbr></wbr>相關程式碼應開放給他人重複使用與延伸建置，<wbr></wbr>以避免重複開發並降低對單一供應商的依賴。這次NHS暫時將部分公開儲存庫改為私有，<wbr></wbr>也使其長期偏向開放原始碼的政策方向受到關注。</p> <p>英國NHS前開放技術主管<a data-saferedirecturl="https://www.google.com/url?q=https://shkspr.mobi/blog/2026/04/does-mythos-mean-you-need-to-shut-down-your-open-source-repos/&source=gmail&ust=1778812507360000&usg=AOvVaw3J7UJmsgIOPUgGhQdz7N6q" href="https://shkspr.mobi/blog/2026/04/does-mythos-mean-you-need-to-shut-down-your-open-source-repos/" target="_blank">Terence Eden則認為</a>，將公開儲存庫改設私有，無法有效防範先進AI能<wbr></wbr>力。Eden指出，許多開放原始碼早已被封存或納入訓練資料，<wbr></wbr>真正的風險反而可能來自軟體供應鏈、網路釣魚、<wbr></wbr>密碼管理不當與內部威脅。</p> </div></div></div>
5/14 17:58作者王珮瑤https://www.ithome.com.tw/news/175818
【臺灣資安大會直擊】驅動供應鏈韌性，漢翔憑CMMC實戰經驗打造供應鏈資安評級系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>全球資安合規浪潮正席捲各產業，供應鏈安全亦成為最關鍵的議題，而當中最受關注的施行標準，莫過於美國國防部推動的網路安全成熟度模型認證（CMMC）2.0版。</p> <p>當資安合規成為市場准入（Market Access）門檻，身為國防軍工指標大廠的漢翔航空工業，對這股浪潮感觸最深。該公司自2016年承接F-16維修專案起，長期接受洛克希德馬丁稽核，歷經從NIST SP 800-171到現行CMMC 2.0日益嚴謹的挑戰。漢翔不僅逐步建構自身防護體系，如今更將CMMC合規實戰經驗，建構出一套「供應鏈資訊安全評級系統」（AIxSISAS），複雜的合規要求轉化，成為可執行、可追溯且可持續的管理機制。</p> <p>特別的是，漢翔不僅對其供應鏈推廣此系統，更期盼能串連產業與政策動能，提倡將此平臺推向更多臺灣關鍵產業供應鏈。</p> <h2><strong>CMMC全面實施進入倒數，資安已成進入國際市場的入場券</strong></h2> <p>對於出口導向臺灣的產業來說，資安合規已經不是「要不要跟進」的問題，而是成為進入國際市場的基本門檻。漢翔航空工業資訊處處長方一定指出，CMMC採購規範已於2025年11月10日正式生效，新合約與招標將開始納入CMMC要件。</p> <p>下一個關鍵時間點就是2026年11月10日，因為，主流合約廠商將被要求進行Level 2第三方（C3PAO）驗證；到了2028年11月10日，CMMC更將走向全面實施。這意味著：企業若無法在時程內達成合規，將面臨失去國際訂單的直接風險。</p> <p><a href="/sites/default/files/images/（圖2）漢翔_CMMC推動時程_攝影羅正漢.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E6%BC%A2%E7%BF%94_CMMC%E6%8E%A8%E5%8B%95%E6%99%82%E7%A8%8B_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>面對CMMC合規要求，主要承包商與分包商皆須具備相應資安能力。面對迫在眉睫的合規壓力，方一定直言，企業在進行供應鏈管理時必須掌握三個核心要素。</p> <p>首先是數據管理，必須對數據的產生、存取與流動進行嚴格管控；第二是供應鏈數位韌性，重點在於企業遭遇攻擊時，仍能維持核心營運並保護機敏資訊；第三是持續威脅曝險管理（CTEM）。他強調，資安是動態且周而復始的過程，企業必須建立循環不息的威脅偵測與防禦機制，而非僅是應付一次性的稽核。</p> <p>如今，隨著CMMC以NIST SP 800-171為基礎建立強制認證機制，企業在落實相關控制措施時，必須具備更完整的證據鏈與治理能力</p> <p>然而，漢翔觀察到許多臺灣企業尚未做好準備，原因包含：難以解讀控制措施、無法量化現況與目標的距離、驗證證據蒐集困難，以及合規人才短缺與客戶要求的時程壓力。</p> <p>以漢翔通過CMMC的經驗來看，Level 1有17個基礎控制措施，Level 2則有110項。方一定指出，每一條要求看似簡單，例如「及時辨識、通報與矯正弱點」，但真正執行時，要求非常高，解讀與落地都不容易。他並強調，漢翔對於110項控制措施也不是一次到位，而是逐年修正補強才最終達標。他提醒：「供應鏈資安是長期工程，不可能一蹴可幾。」</p> <p>此外，方一定也以ISO 27001標準對比CMMC的難度。他表示，ISO 27001是優良的資安管理體制，偏向制度與文件的符合性，若未發現缺失即可通過，但CMMC的挑戰在於其「證據導向」，要求每一項都必須提出具體證據，任何一項不符都無法過關。目前臺灣1,900多家上市櫃公司當中，僅約24％通過ISO 27001，顯示多數企業在銜接更嚴格的CMMC時，將面臨巨大挑戰。</p> <p><a href="/sites/default/files/images/（圖4）漢翔航空工業資訊處處長方一定_攝影iThome.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89%E6%BC%A2%E7%BF%94%E8%88%AA%E7%A9%BA%E5%B7%A5%E6%A5%AD%E8%B3%87%E8%A8%8A%E8%99%95%E8%99%95%E9%95%B7%E6%96%B9%E4%B8%80%E5%AE%9A_%E6%94%9D%E5%BD%B1iThome.jpg" style="width: 600px;" /></a></p> <p style="margin: 0px;"><span style="color:#696969;"><strong>漢翔航空工業資訊處處長方一定指出，他們已開發一套供應鏈資安評級系統，將資安控制措施轉為題庫化管理。供應商可以透過平臺填答，上傳對應的佐證資料後可得到評分；平臺內並提供實務範例，協助企業理解每項控制措施的達成程度。</strong></span></p> <h2><strong>打造供應鏈資安評級系統AIxSISAS，期許推動至臺灣更多關鍵產業供應鏈</strong></h2> <p>漢翔如何因應供應鏈管理挑戰？方一定指出，內部團隊依據CMMC合規經驗，打造「漢翔供應鏈資訊安全評級系統（AIxSISAS）」，內建Level 1與Level 2的所有控制措施。此外，漢翔還要求其供應商符合30項特定的資安控制措施，並依合作深度畫分為1到4級。高層級供應商需全數符合，低層級供應商則需滿足關鍵項，且至少要在事件發生時於72小時內通報。</p> <p>因此，透過此平臺，主供應商與次供應商能在同一標準下持續評級，企業能清晰看見整體供應鏈的資安水準與落差。</p> <p>特別的是，漢翔不僅將此系統用於自身供應鏈，更致力於推動跨產業的資安協作，推廣給其他領導企業管理其供應鏈。方一定強調，漢翔的目標是促成政府與主導企業共同建立產業標準，讓平臺發揮更大價值。</p> <p>他期盼透過AIxSISAS平臺，與鴻海、中科院、華碩、台積電等產業領導企業有意願者一起合作，讓這些企業能將各自的特定控制措施匯入系統。這不僅是工具的分享，更是建立讓供應商、顧問、資安公司、稽核驗證機構能共同協作的生態系。</p> <p><a href="/sites/default/files/images/（圖3）漢翔供應鏈資訊安全評級系統AIxSISAS__攝影羅正漢.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E6%BC%A2%E7%BF%94%E4%BE%9B%E6%87%89%E9%8F%88%E8%B3%87%E8%A8%8A%E5%AE%89%E5%85%A8%E8%A9%95%E7%B4%9A%E7%B3%BB%E7%B5%B1AIxSISAS__%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <h2><strong>強化資安防護的四項實務建議</strong></h2> <p>在解析供應鏈資安管理之餘，方一定也針對企業如何改善資安防護的問題，提供四項實質建議：：</p> <p>首先是第三方外部風險管理。可利用Bitsight或Security Scorecard等工具掌握外網曝險，若是外網防護不周，內網安全亦難保；漢翔內部即採分數門檻管理，未達80分標準則要求改善；其次是弱點管理流程化。從辨識、通報、派工、修補、驗證、追蹤、例外處理，建立完整生命週期。工具可搭配SAST、DAST、開源元件掃描與AI輔助分析，但重點是流程責任與時限要明確。</p> <p>第三是端點與橫向移動防護。不論EDR、NDR、MDR與XDR都是因應方式，人力不足的中小企業可優先導入EDR或MDR託管服務，在有限資源下，降低內網擴散風險；最後，則是檔案加密與保護。企業營業秘密與機敏資料，應在儲存、傳輸、交換全程加密，搭配PKI公私鑰機制與多因子認證，防範資料流遭中間人攻擊攔截。</p> <p><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E6%BC%A2%E7%BF%94_%E5%85%A8%E7%90%83%E8%B3%87%E5%AE%89%E5%90%88%E8%A6%8F%E6%B5%AA%E6%BD%AE_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>資安合規浪潮已經成形，例如美國CMMC要求軍工供應商須通過第三方驗證，或是美國國防創新單位（DIU）透過Blue UAS與Green UAS推動無人機安全認證，以及歐盟網路韌性法（CRA）強調產品資安與漏洞管理責任，還有日本推動的JC-STAR資安標章制度。</strong></span><strong style="color: rgb(105, 105, 105);">漢翔航空工業資訊處處長方一定指出，</strong><span style="color:#696969;"><strong>上述資安要求的涵蓋層面看似不同，但其根源邏輯都一樣強調：證據化、可追蹤、可持續。</strong></span></p> </div></div></div>
5/14 16:45作者羅正漢https://www.ithome.com.tw/news/175813
行政院通過能源管理法修正草案，擬要求一定契約容量的用電大戶設置自發自用發電與儲能設備
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>為強化電網韌性與提升能源使用效率，行政院今天(5/14)通過經濟部提出的「能源管理法」修正草案，其中一項重要方向，是針對大型用電戶新增自發自用發電與儲能設備要求。經濟部表示，希望透過修法，提升企業自主供電能力，同時降低電網負擔，未來也將要求特定用電戶提出能源管理計畫，進一步推動節能與能源治理。</p> <p>此次政院通過的「能源管理法」修正草案，增訂第10條第4項，要求達一定用電規模的用戶，需設置「自發自用」的發電設備及儲能系統。這項措施主要希望強化用電戶本身的能源韌性，在電力公司維持供電穩定之外，用戶也需具備一定程度的自主供電與調節能力。</p> <p>經濟部表示，除了提升企業自身供電能力，相關設備也可在尖峰或特殊情況下協助電網調節，對於整體供電效率與電網韌性都有幫助。尤其是近年AI資料中心、高科技製造與半導體產業用電需求快速成長下，如何分散電網壓力，已成為能源政策的重要課題。</p> <p>官員也提到，未來特定大型用電戶，還可能需提出能源管理計畫，作為節能管理與能源效率改善的依據。相關制度細節，包括適用門檻、設備容量與管理要求，後續仍將依修法授權另訂子法規範。</p> <p>此次「能源管理法」修法共涉及14項條文調整，核心方向包括行政透明化、能源效率提升，以及因應能源韌性需求。其中，大型用電戶導入自發自用與儲能設備，被視為對產業影響最大的修法內容之一。行政院通過能管法修正草案後，接下來將送立法院審議。</p> <p>經濟部認為，此次修法除可能帶動儲能與再生能源市場需求，也有助於能源技術服務（ESCO）與能源管理產業發展。</p> <p>針對這次修正草案第10條第四項規定，對於一定契約容量以上能源用戶應設置自用發電及儲能設備，經濟部強調目的在於強化我國能源用戶的能源自給能力，提升電網韌性、降低輸配線路損耗。</p> <p>在能管法第10條修正草案，針對能源用戶簽定的用電契約，其契約容量達一定容量者，需在一定期限內設置一定裝置容量以上的自用發電設備及儲能設備。增訂條文的目的是提升能源用戶，如半導體及大型資料中心等產業的能源自給能力。</p> <p>但經濟部能源署也強調，第10條的規定並沒限制特定產業，而是對於達到一定契約容量的者的規定，如果是已自建符合一定容量要求的企業並不受草案的影響，不需額外設置自發用電設備及儲能設備，修法目的在促使能源用戶提升用電自主韌性，值得注意的是，能管法也沒有要求能源用戶建置的自用發電設備須採用再生能源或是低碳能源。</p> <p>另外，此次修法也加重對於違法的處罰，未來違反能管法第10條，主管機關得限期要求改善，屆期未改善者可處以15萬到75萬元罰鍰。</p> <p data-end="143" data-start="0">隨著AI資料中心用電需求快速攀升，國際上近幾年也開始出現要求大型資料中心承擔更多能源責任的政策趨勢。特別是在歐洲與美國部分地區，由於AI運算帶來的高密度、長時間耗電特性，對既有電網形成壓力，各國監管機構逐漸從過去將資料中心視為一般大型用戶，轉向要求其具備一定程度的自主供電與電力調節能力，一方面讓業者具備一定的能源自主韌性能力，另一方面也減輕對電網的影響。</p> <p data-end="450" data-is-last-node="" data-is-only-node="" data-start="145">以愛爾蘭為例，因大量超大型資料中心集中於都柏林周邊，已要求新建資料中心須搭配發電或儲能能力的政策方向，避免新增負載完全依賴公共電網。美國也有部分的電網監管機構開始要求大型AI資料中心提出電網穩定評估，甚至將表後發電（behind-the-meter generation）納入監管架構。</p> <p data-end="450" data-is-last-node="" data-is-only-node="" data-start="145">目前在業界也逐漸形成「Bring Your Own Power（自帶電力）」的新模式，包括Meta、Oracle與xAI等業者，都開始布局天然氣發電、儲能與微電網設施，以因應AI運算快速擴張帶來的供電壓力。臺灣這次「能源管理法」修法，要求特定大型用電戶設置自發自用與儲能設備，也算是與國際AI能源治理趨勢逐步接軌。</p> </div></div></div>
5/14 15:27作者蘇文彬https://www.ithome.com.tw/news/175812
【資安日報】5月14日，Exim修補可導致任意程式碼執行的重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/175781"><strong style="font-size: 22px;">郵件傳輸代理伺服器Exim存在重大漏洞，影響採用程式庫GnuTLS進行通訊的環境</strong></a></p> <p>郵件傳輸代理軟體系統Exim開發團隊5月12日發布資安公告，他們發布4.99.3版Exim，修補遠端的記憶體釋收後再存取使用（Use After Free）弱點，此漏洞存在於Exim的GnuTLS後端，攻擊者可遠端觸發，並造成記憶體資料損毀。上述漏洞影響4.97至4.99.2版Exim，並只有在採用GnuTLS程式庫的情況下才會曝險。開發團隊指出，搭配OpenSSL或其他TLS程式庫的Exim不受影響。此漏洞被登記為CVE-2026-45185，CVSS風險為9.8分（滿分10分），相當危險。Exim強調，目前沒有其他緩解措施，呼籲IT人員儘速升級。</p> <p><a href="https://www.ithome.com.tw/news/175782"><strong style="font-size: 22px;">Windows BitLocker與CTFMON存在零時差漏洞YellowKey、GreenPlasma</strong></a></p> <p>根據資安新聞網站Bleeping Computer報導，對微軟漏洞通報流程不滿的研究人員Chaotic Eclipse（Nightmare-Eclipse）於5月13日，公布磁碟加密機制BitLocker的漏洞YellowKey，以及輸入法元件CTFMON的漏洞GreenPlasma，並釋出部分概念驗證程式碼（PoC）。其中比較值得留意的是YellowKey，Chaotic Eclipse形容它幾乎等同於後門，該漏洞出現在Windows復原環境（WinRE），攻擊者需要將特製的FxTx檔案存放於USB隨身碟或EFI磁碟分割區，就有機會在WinRE環境存取受到BitLocker保護的檔案。</p> <p><a href="https://www.ithome.com.tw/news/175764"><strong style="font-size: 22px;">Ollama重大漏洞影響自架LLM部署，特製GGUF模型檔恐外洩提示詞與API金鑰</strong></a></p> <p><a href="/sites/default/files/images/69f6f991669e297f65128144_7b3dd88a-156.jpg" target="_blank"><img alt="" src="/sites/default/files/images/69f6f991669e297f65128144_7b3dd88a-156.jpg" style="width: 300px; float: right;" /></a></p> <p>自架大型語言模型工具Ollama出現重大漏洞CVE-2026-7482，攻擊者可利用特製GGUF模型檔，讓Ollama在建立或量化模型時讀到超出原本資料範圍的記憶體內容，可能外洩環境變數、API金鑰、系統提示詞，以及同一程序中其他使用者的對話資料，CVSS風險達到9.1分。通報此事的資安公司Cyera將這項漏洞命名為Bleeding Llama，該公司估計，全球約有30萬臺曝露於網際網路的Ollama伺服器恐受影響，Ollama已在0.17.1版修補該問題，用戶應儘速升級新版因應。</p> <p><a href="https://www.ithome.com.tw/news/175788"><strong style="font-size: 22px;">教育平臺Canvas背後的母公司宣稱已與駭客達成協議，取回遭竊資料</strong></a></p> <p>駭客組織ShinyHunters先後於4月底及5月上旬，傳出攻擊學習管理系統Canvas開發商Instructure，駭客當時聲稱竊得2.75億筆個資，影響近9千個教育機構，檔案大小達到3.65 TB；後續駭客發動第二波攻擊，竄改多所學校的Canvas入口網站並留下勒索訊息，要脅校方支付贖金以換取資料不被公開。如今傳出Instructure疑似選擇向駭客低頭，換取資料不被外洩的情形。5月11日Instructure更新資安事件公告網頁內容，表示他們基於保護客戶資料的立場，已與非法存取者達成協議，表示駭客已將資料歸還，並將手上的資料副本銷毀，而且不會向Instructure的客戶勒索。</p> <p><a href="https://www.ithome.com.tw/news/175794"><strong style="font-size: 22px;">伊朗駭客MuddyWater攻擊韓國電子製造商，濫用SentinelOne元件側載DLL檔案</strong></a></p> <p>博通（Broadcom）旗下的賽門鐵克與Carbon Black威脅獵捕團隊近日揭露伊朗駭客組織MuddyWater（Seedworm、Temp Zagros、Static Kitten）最新一波網路間諜活動，範圍橫跨四大洲與9個國家，至少有9家企業組織受害，涵蓋工業與電子製造、教育與公共部門機構、金融服務及專業服務。其中最值得關注的是，在於這些駭客大量使用DLL側載手法，濫用SentinelOne端點防護系統的二進位檔sentinelmemoryscanner.exe、富迪科技（Fortemedia）音訊驅動程式工具fmapp.exe，載入惡意DLL檔案，而這些DLL都內含竊資軟體ChromElevator。</p> <p><a href="https://www.ithome.com.tw/news/175802"><strong style="font-size: 22px;">Mistral AI的PyPI套件遭遇供應鏈攻擊</strong></a></p> <p>5月12日微軟威脅情報團隊提出警告，AI公司Mistral AI的PyPI套件2.4.6版遭到入侵，駭客在mistralai/client/__init__.py植入惡意程式碼，一旦開發人員安裝套件，這些程式碼就會執行，然後從hxxps://83[.]142[.]209[.]194/下載第二階段的酬載transformers.pyz。微軟認為，該酬載的檔案名稱可能模仿受廣泛使用的Hugging Face Transformers程式庫，藉此融入機器學習的環境。</p> <p><a href="https://www.ithome.com.tw/news/175735"><strong style="font-size: 22px;">Mirai變種xlabs_v1殭屍網路現蹤，劫持Android裝置發動DDoS攻擊</strong></a></p> <p><a href="/sites/default/files/images/Output%2BSQL-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/Output%2BSQL-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安威脅情報公司Hunt.io近日發布研究報告，揭露基於Mirai變種的新型殭屍網路惡意軟體xlabs_v1，鎖定暴露在網際網路，且啟用ADB（Android Debug Bridge）介面的Android裝置，入侵並控制受害設備組成DDoS攻擊網路。任何預設啟用 ADB且連上網際網路的物聯網硬體設備，都有可能中招。xlabs_v1主要針對採用Android平臺的連網設備，例如電視機上盒、智慧電視與家用路由器等，透過TCP 5555埠的ADB介面入侵部署惡意軟體，並將受害裝置加入殭屍網路，用於對遊戲伺服器與Minecraft連線伺服器發動DDoS攻擊。</p> <p><a href="https://www.ithome.com.tw/news/175706"><strong style="font-size: 22px;">國家級駭客組織Sandworm利用SSH-over-Tor建立隱蔽通道，強化長期滲透能力</strong></a></p> <p><a href="/sites/default/files/images/t117b8a8b0712faa42a8aa62616-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/t117b8a8b0712faa42a8aa62616-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安業者360揭露俄羅斯駭客Sandworm（APT-C-13）近期攻擊動向，警示該組織採用SSH-over-Tor技術建立隱蔽的遠端存取通道，以提升長期潛伏與存取能力。這波攻擊是以針對特定對象的魚叉式網路釣魚（Spear Phishing）為起點，誘使受害者開啟偽裝成PDF檔案的LNK捷徑檔，進而透過PowerShell指令下載惡意程式，並假冒合法應用程式的排程工作，在受害系統上建立持久的存取能力。攻擊的核心在於採用SSH-over-Tor架構，將SSH遠端連線透過Tor匿名網路進行多層節點轉送，從而建立隱蔽的遠端存取通道。</p> <p><a href="https://www.ithome.com.tw/news/175780"><strong style="font-size: 22px;">身分安全威脅成為勒索軟體主要侵入途徑，三分之二受害組織認為源頭是身分攻擊</strong></a></p> <p>根據資安廠商Sophos最近發布的2026身分安全現況調查報告指出，過去一年以來，有71%的組織曾遭遇至少一次與身分相關的資安事件，平均每個組織通報3起獨立事件；10％的組織通報曾發生影響業務的身分入侵事件，而且，身分攻擊行動一旦成功，資料竊取與勒索軟體皆為最常見的後果，比例都接近一半，各為49％與48％。有高達66.5％的勒索軟體受害者表示，這類事故是影響最重大的身分攻擊類型，並已確認身分與勒索軟體之間的關係與工作流程。</p> <p><a href="https://www.ithome.com.tw/news/175789"><strong style="font-size: 22px;">AI自主網攻能力加速，資安任務長度每4.7個月翻倍</strong></a></p> <p>英國AI安全研究所（AI Security Institute，AISI）於5月13日發布最新研究報告，利用名為Cyber Time Horizons的指標，衡量AI可自主完成多長時間的資安任務，並以人類資安專家的完成時間作為基準。AISI指出，自2024年底以來，先進AI模型可自主完成的資安任務長度大約每4.7個月翻倍，而最新的Claude Mythos Preview與GPT-5.5甚至已超出原本的成長趨勢。</p> <p><a href="https://www.ithome.com.tw/news/175732"><strong style="font-size: 22px;">英國NCSC提醒企業使用AI尋找漏洞前，先完善漏洞管理機制</strong></a></p> <p>隨著AI模型能力持續提升，英國國家網路安全中心（NCSC）提醒，使用AI模型尋找漏洞，目的應是強化系統安全；企業組織在導入前，應先確認自身是否具備漏洞管理、資產盤點等能力，否則當漏洞回報量增加，反而可能加重資安團隊負擔。 NCSC也強調，落實網路安全衛生仍是改善組織資安體質的關鍵；相較於零時差漏洞遭到利用，企業未能及時套用已釋出的修補程式，或是內部系統出現未經授權存取行為，帶來的安全風險更值得留意。</p> <p><a href="https://www.ithome.com.tw/news/175688"><strong style="font-size: 22px;">2026年第一季全球網際網路中斷事件偏多，政府斷網、停電與軍事衝突成主因</strong></a></p> <p>網路與資安服務業者Cloudflare發布2026年第一季全球網際網路中斷事件觀察，根據旗下網路流量觀測服務Cloudflare Radar資料，回顧全球多起已確認的連線異常。烏干達、伊朗與剛果共和國都在選舉或衝突背景下發生大規模斷網，古巴則在3月發生3次國家電力系統崩潰。整體來看，Cloudflare觀察到2026年第一季全球網際網路中斷事件數量偏高，影響因素涵蓋政府斷網、停電、軍事衝突、惡劣天候、海底纜線受損與技術故障。</p> <p><a href="https://www.ithome.com.tw/news/175699"><strong style="font-size: 22px;">FCC延長外國製路由器與無人機更新豁免，允許既有設備更新至2029年</strong></a></p> <p>美國聯邦通訊委員會（Federal Communications Commission，FCC）旗下的工程與技術辦公室（Office of Engineering and Technology，OET）宣布，把外國製無人機（Uncrewed Aircraft Systems，UAS）、無人機關鍵零組件及路由器的軟體與韌體更新豁免期限，延後到至少2029年1月1日。OET指出，若禁止既有設備接收軟體與韌體更新，反而可能讓已在美國市場流通的設備無法修補漏洞，增加消費者與網路安全風險。</p> <p><a href="https://www.ithome.com.tw/news/175770"><strong style="font-size: 22px;">CISA與G7共同發布AI軟體物料清單入門指引，推動跨國AI供應鏈透明化</strong></a></p> <p>美國網路安全與基礎設施安全局（CISA）與全球7大工業國組織（G7）——德國、加拿大、法國、義大利、日本、英國與歐盟，近日共同發布《AI軟體物料清單最低要素（Software Bill of Materials for AI – Minimum Elements）》指引，針對生成式AI與機器學習系統建立標準化的資訊揭露框架，以提升AI供應鏈透明度。這份指南強調，原本的SBOM資訊如套件版本、依賴關係等仍然需要，還需列出AI系統的關鍵組成資訊，從而提升AI系統的透明度。</p> <p><a href="https://www.ithome.com.tw/news/175762"><strong style="font-size: 22px;">DMTF的SPDM硬體安全驗證標準被納入FIPS 140-3規範，可望成為美國官方硬體安全參考標準</strong></a></p> <p>分散式管理工作小組（Distributed Management Task Force，DMTF）近日宣布，其制定的SPDM（Security Protocol and Data Model）硬體安全驗證標準，已正式被納入美國FIPS 140-3實作指引（Implementation Guidance）中，意味著SPDM從產業界的硬體與韌體安全驗證標準，進入美國聯邦加密驗證體系的參考架構。DMTF指出，SPDM被納入FIPS 140-3實作指引，反映產業的發展方向，有助於透過這項通用的設備身分驗證方法，在各種平臺上建立安全、可控的通信，從而降低供應鏈與韌體篡改的風險。</p> <p><a href="https://www.ithome.com.tw/news/175772"><strong style="font-size: 22px;">Google更新Android安全與隱私功能，攔截假冒銀行來電並升級AI惡意App偵測</strong></a></p> <p>Google於5月12日公布Android安全與隱私功能更新，將導入假冒銀行來電攔截、惡意App即時行為偵測、APK下載前掃描、手機竊盜防護，以及更細緻的位置與聯絡人權限控制，主軸是以AI與可驗證機制強化Android裝置安全。其中，Google將推出已驗證金融來電（Verified Financial Calls），用來防範詐騙者偽造來電顯示、假冒銀行或金融機構。若使用者已安裝參與合作的銀行或金融App並登入，Android會在背景向該App確認來電真偽。</p> <p><a href="https://www.ithome.com.tw/news/175773"><strong style="font-size: 22px;">Obsidian更新社群外掛審核流程，導入逐版自動檢查與安全評分卡</strong></a></p> <p>知識工作者愛用Markdown筆記工具Obsidian推出新的社群網站與開發者儀表板，調整社群外掛與主題的提交、審核和搜尋流程。本次改版重點，是把過去較依賴人工處理的審核方式，改為每個版本都會接受自動檢查，並在專案頁面加入安全評分卡，讓使用者在安裝前能先查看自動檢查結果與專案狀態。Obsidian表示，現在人工智慧輔助程式開發工具讓外掛產生速度更快，提交數量也跟著增加，因此需要一套能持續運作、也能處理大量提交項目的新流程來確保安全。</p> <p><a href="https://www.ithome.com.tw/news/175659"><strong style="font-size: 22px;">Microsoft Teams將針對可疑外部來電示警，防範品牌冒用語音詐騙</strong></a></p> <p>微軟將強化Microsoft Teams通話安全，針對Teams Calling新增品牌冒用防護（Brand Impersonation Protection for Teams Calling）功能，防範攻擊者透過外部的網路語音（Voice over Internet Protocol，VoIP ）來電假冒企業、客服或其他可信任組織，誘騙使用者回應或進一步提供資訊。項功能將於5月中旬推出，用戶可經由已設定目標發行（Targeted Release）軟體最新版本發布管道取得。</p> <p><a href="https://www.ithome.com.tw/news/175660"><strong style="font-size: 22px;">因應AI輔助開發風險，GitHub MCP Server加入提交前機密憑證與相依套件掃描</strong></a></p> <p>GitHub正式推出GitHub MCP Server機密憑證掃描功能，並公開預覽相依套件漏洞掃描。這兩項功能的用途，是讓開發者在使用AI工具撰寫或修改程式碼時，可以在送出程式碼前先檢查是否誤放金鑰或權杖等敏感資料，或引入帶有已知漏洞的外部套件。現在開發者可在支援MCP的開發環境中，要求AI代理工具先檢查目前修改的內容，降低敏感資料或脆弱套件被送出的機率。</p> <p><a href="https://www.ithome.com.tw/news/175767"><strong style="font-size: 22px;">【臺灣資安大會直擊】元智大學王仁甫指出AI代理與開源模型正重塑資安風險，企業需建立制度化、自動化的漏洞治理與AI責任機制</strong></a></p> <p>隨著生成式AI與代理型AI（Agentic AI）快速普及，企業正面臨全新的資安挑戰。元智大學資管系助理教授王仁甫指出，AI不只是工具，本身也是一套系統，而所有系統都存在漏洞。當AI開始具備自主操作、存取資料與呼叫API能力後，資安風險將從傳統系統漏洞，擴大到AI代理、開源模型與供應鏈層級。企業除了關心導入AI所帶來的效率提升之外，也不能輕忽AI帶來的資安風險，包括AI讓漏洞生成、攻擊自動化與惡意程式演化速度全面加快。</p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/175765"><strong>【5月13日】鴻海驚傳遭勒索軟體Nitrogen攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/175725"><strong>【5月12日】駭客首度濫用AI挖掘零時差漏洞並生成攻擊工具</strong></a></p> <p><a href="https://www.ithome.com.tw/news/175698"><strong>【5月11日】逾半數密碼的MD5雜湊值一小時就能破解</strong></a></p> </div></div></div>
5/14 13:08作者周峻佑https://www.ithome.com.tw/news/175803
伊朗駭客MuddyWater攻擊韓國電子製造商，濫用SentinelOne元件側載DLL檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>博通（Broadcom）旗下的賽門鐵克與Carbon Black威脅獵捕團隊近日揭露伊朗駭客組織MuddyWater（Seedworm、Temp Zagros、Static Kitten）<strong><a href="https://www.security.com/threat-intelligence/iran-seedworm-electronics">最新一波網路間諜活動</a></strong>，範圍橫跨四大洲與9個國家，至少有9家企業組織受害，涵蓋工業與電子製造、教育與公共部門機構、金融服務及專業服務。其中最值得關注的是，在於這些駭客大量使用DLL側載手法，濫用SentinelOne端點防護系統的二進位檔sentinelmemoryscanner.exe、富迪科技（Fortemedia）音訊驅動程式工具fmapp.exe，載入惡意DLL檔案，而這些DLL都內含竊資軟體ChromElevator，能繞過Chrome內建的App-Bound Encryption（ABE）防護機制，讓攻擊者竊取瀏覽器存放的密碼、cookie，以及付款資料。</p> <p>研究人員特別提及，這些駭客今年2月曾入侵一家韓國大型電子製造商，並在其網路環境活動長達一週，在2月20日，研究人員發現駭客下達一連串PowerShell指令進行偵察，但令他們意外的是，PowerShell處理程序竟透過Node.js的執行環境node.exe執行，代表受害主機在此之前可能已執行Node.js指令碼，而並非駭客手動操作的活動。不過，對於駭客如何入侵受害主機，以及植入node.exe的途徑，博通表示不清楚。</p> <p>後續MuddyWater使用curl下載其他作案工具，然後使用sentinelmemoryscanner.exe與fmapp.exe載入惡意DLL檔案，但值得留意的是，兩個DLL亦透過node.exe載入並執行，這也符合前述駭客非手動操作的特徵。後續他們試圖挖掘本機的NTLM密碼雜湊值，進行橫向移動，然後將竊得資料透過sendit[.]sh對外傳輸，最後一次活動出現在2月27日。</p> </div></div></div>
5/14 13:22作者周峻佑https://www.ithome.com.tw/news/175794
Mistral AI的PyPI套件遭遇供應鏈攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>5月12日微軟威脅情報團隊提出警告，<strong><a href="https://x.com/MsftSecIntel/status/2054041471280423424">AI公司Mistral AI的PyPI套件2.4.6版遭到入侵</a></strong>，駭客在mistralai/client/__init__.py植入惡意程式碼，一旦開發人員安裝套件，這些程式碼就會執行，然後從hxxps://83[.]142[.]209[.]194/下載第二階段的酬載transformers.pyz。微軟認為，該酬載的檔案名稱可能模仿受廣泛使用的Hugging Face Transformers程式庫，藉此融入機器學習的環境。</p> <p>這波攻擊行動針對Linux開發環境，最終的有效酬載是竊資軟體，但值得留意的是，此惡意軟體在特定國家會出現不同的行為，例如，受害主機在俄語國家，酬載將停止運作；受害主機若位於以色列或伊朗，酬載將有六分之一的機率執行rm -rf /進行破壞。對此，他們呼籲開發人員應儘速隔離受影響的Linux主機、封鎖駭客使用的IP位址83[.]142[.]209[.]194，並清查主機是否存在/tmp/transformers.pyz、pgmonitor[.]py，以及pgsql-monitor.service，並且輪換已外洩的憑證。</p> </div></div></div>
5/14 13:25作者周峻佑https://www.ithome.com.tw/news/175802
CPython調整3.14與3.15版本增量式GC實作，改回3.13分代式GC設計
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>CPython核心開發團隊<strong><a href="https://discuss.python.org/t/reverting-the-incremental-gc-in-python-3-14-and-3-15/107014/47">調整</a></strong>Python 3.14與Python 3.15的垃圾收集器（GC）路線，決定把Python 3.14.0至3.14.4採用的增量式GC（Incremental GC），改回Python 3.13既有的分代式設計（Generational GC）。該變更已納入5月10日發布的<strong><a href="https://blog.python.org/2026/05/python-3145-is-out/">Python 3.14.5</a></strong>，Python 3.15也會採用相同方向。主要原因是部分生產環境回報，新版設計雖然有助於降低最大GC暫停時間，卻可能讓記憶體壓力升高。</p> <p>這次調整涉及CPython執行時期的記憶體管理機制。Python平常會記錄每個物件還有多少參照，當物件不再被參照時，就能釋放記憶體。不過，有些物件會互相指向彼此，即使程式已經不需要它們，參照計數仍不一定會歸零。垃圾回收機制就是用來處理這類循環參照，避免記憶體被無用物件占住。</p> <p>Python 3.14原本導入的增量式GC，是把垃圾回收工作分成較小批次處理，目標是減少一次清理大量物件時造成的停頓，對物件數量龐大的程式而言，這樣的設計可降低單次停頓時間，讓程式執行看起來更平順。</p> <p>不過，核心開發者在討論中指出，這項設計在降低停頓時間之外，也改變了循環垃圾被回收的時機。部分應用在升級到Python 3.14後，出現記憶體使用量明顯上升，或更容易碰到記憶體限制的情況。對生產環境、CI環境或資源受限的伺服器而言，記憶體用量過高通常比短暫停頓更容易造成營運問題。</p> <p>因此，CPython團隊選擇先回到Python 3.13的分代式GC。分代式設計會依物件存活時間區分不同世代，優先回收較可能成為垃圾的新物件，這是CPython長期使用的做法。相較於增量式GC，舊設計可能在特定情境下帶來較明顯的GC停頓，但其行為較容易預期，也較符合過去版本的記憶體表現。</p> <p>該調整在Python 3.15仍處於開發階段時添加，爭議相對較小，但Python 3.14已經正式發布，因此在3.14.5維護版中回退底層GC設計，屬於較少見的變更。核心開發者在討論中也提到，若未來要重新導入增量式GC，可能需要經過PEP流程，並在效能、記憶體用量與相容性風險上做更完整評估，而不是直接沿用3.14早期版本的實作。</p> </div></div></div>
5/14 13:39作者李建興https://www.ithome.com.tw/news/175796
微軟公開自家MDASH多模型代理式AI安全系統，發現Windows軟體16個漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在Anthropic Claude Mythos及OpenAI Daybreak之後，微軟也展現以AI找漏洞的研發成果。<a href="https://www.microsoft.com/en-us/security/blog/2026/05/12/defense-at-ai-speed-microsofts-new-multi-model-agentic-security-system-tops-leading-industry-benchmark/" target="_blank">微軟本週公開代號MDASH的多模型代理式AI安全系統</a>，說這工具讓它找出Windows網路及驗證功能的16項新漏洞。</p> <p>微軟說明，MDASH代表multi-model agentic scanning harness，其核心是代理式漏洞發現及修復系統。該系統內包含多個模型及代理人，依循掃描、驗證、去重複（dedup）及證明的pipeline階段性運作。輸入端注入特定軟體標的後，系統內使用多個模型進行辯論，其中SOTA（state-of-the-art）模型執行推理、蒸餾模型扮演低成本的爭辯者（debater）、另一個SOTA模型則作為獨立Counterpoint。</p> <p>這個系統運用專門領域的代理人進行特定pipeline的稽核。MDASH內有100多個根據漏洞和修補程式經由深度學習組成的專業代理人（agent），來審查模型掃描結果，產出包含意見的報告。</p> <p>本系統提供另一特色是提供外掛供人類專家注入上下文，或是串接外部分析資料庫（如CodeQL資料庫）給基礎模型，像是核心呼叫慣例（kernel calling conventions）、IRP rules、鎖定不變量（lock invariants）、IPC信賴邊界及Codec狀態機等，以提升掃描的精確性。</p> <p>更好的是，本架構具備跨代可攜性，各個pipeline的各個階段能相容新一代模型，確保系統與時俱進。</p> <p>微軟並將MDASH用於自家產品程式的漏洞掃描。結果它在StorageDrive驅動程式找出21項微軟刻意植入的漏洞。進一步驗證也顯示零誤判。之後，本週Patch Tuesday修補的Windows網路堆疊及相鄰服務漏洞中，有16個是來自MDASH的發現。</p> <p>微軟以5年內二個程式的漏洞測試MDASH的準確率，它在clfs.sys和tcpip.sys的召回率分別是96%及100%。而在CyberGym公開標竿測試裏，MDASH在包括188個真實大型開源專案及1,507個歷史真實漏洞的成功率達88.45%。</p> <p>現在微軟開放企業<a href="https://aka.ms/AI-drivenScanningHarness" target="_blank">申請使用MDASH</a>進行產品漏洞測試。</p> </div></div></div>
5/14 13:54作者林妍溱https://www.ithome.com.tw/news/175805
思科營收成長12%，宣布裁撤近4,000名員工
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://investor.cisco.com/news/news-details/2026/CISCO-REPORTS-THIRD-QUARTER-EARNINGS/default.aspx" target="_blank">網路設備大廠思科（Cisco）週三（5/13）公布</a>截至4月25日的2026財年第三季財報，該季思科創下158億美元營收，比去年同期成長12%，優於市場預期。<a href="https://blogs.cisco.com/news/our-path-forward" target="_blank">同一天思科也宣布</a>，因應AI時代的投資重整，公司將於第四季裁減近4000名員工，占總員工數不到5%。</p> <p>在158.41億美元的營收中，產品營收占了121.17億美元，成長17%，服務營收為37.24億美元，衰退1%。在產品營收中，網路業務仍是最大來源，達88.15億美元，成長25%；資安業務為20.08億美元，與去年同期持平；協作業務為10.24億美元，減少1%；可觀測性業務為2.69億美元，成長3%。</p> <p>該季最大亮點為AI基礎架構需求升溫。思科第三季產品訂單總額年增35%，即使排除超大規模雲端業者，仍成長19%；資料中心交換器訂單成長率也超過40%。</p> <p>思科表示，今年迄今已取得53億美元AI基礎架構與超大規模雲端業者訂單，因此將2026財年AI相關訂單預期，從原本的50億美元上修至90億美元，相關營收預估也從30億美元提高至40億美元。</p> <p>該季思科淨利為33.7億美元，比去年同期成長35%，每股盈餘為0.85美元。</p> <p>同一天，思科執行長Chuck Robbins也向員工發出內部信件，宣布將於第四財季裁減近4000名員工，占總員工數不到5%，相關通知將於5月14日起陸續發出。此次重整將產生最高10億美元的稅前費用，其中約4.5億美元將於第四財季認列。</p> <p>Robbins表示，AI時代的競爭將取決於企業是否能持續把資源轉向需求與長期價值最高的領域，因此思科正重新調整投資方向與成本結構。未來公司將持續增加對矽光子、光通訊、資安與AI等領域的投資，同時也會推動員工更廣泛使用AI工具。</p> <p>財報公布當天，思科的盤後股價大漲20.37%，達到122.62美元。市場分析認為，思科最新財報意謂著AI支出不再只是購買晶片，因AI資料中心還需要大量交換器、路由器與高速網路設備，相關需求正往下游擴散，讓整個AI基礎架構鏈都開始受益。</p> </div></div></div>
5/14 14:12作者陳曉莉https://www.ithome.com.tw/news/175808
郵件傳輸代理伺服器Exim存在重大漏洞，影響採用程式庫GnuTLS進行通訊的環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>郵件傳輸代理軟體系統Exim開發團隊5月12日<strong><a href="https://exim.org/static/doc/security/EXIM-Security-2026-05-01.1/EXIM-Security-2026-05-01.1.txt">發布資安公告</a></strong>，他們發布4.99.3版Exim，修補遠端的記憶體釋收後再存取使用（Use After Free）弱點，此漏洞存在於Exim的GnuTLS後端，攻擊者可遠端觸發，並造成記憶體資料損毀。</p> <p>具體而言，此問題出現在Exim處理BDAT訊息主體的過程，攻擊者若是在傳輸完成前發送TLS close_notify警示通知，就會導致TCP連線的最後一個位元組以明文傳輸。上述事件將可能導致Exim在TLS連線階段終止期間，將資料寫入已釋出的記憶體緩衝區，造成記憶體損毀。攻擊者只需能夠建立TLS連線，並搭配BDAT這個將郵件切割為多個區塊（Chunking）的SMTP延伸指令，就有機會觸發漏洞，並執行任何程式碼。</p> <p>上述漏洞影響4.97至4.99.2版Exim，並只有在採用GnuTLS程式庫的情況下才會曝險。開發團隊指出，搭配OpenSSL或其他TLS程式庫的Exim不受影響。<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-45185">此漏洞被登記為CVE-2026-45185</a></strong>，CVSS風險為9.8分（滿分10分），相當危險。Exim強調，目前沒有其他緩解措施，呼籲IT人員儘速升級。</p> <p>通報漏洞的<strong><a href="https://xbow.com/blog/dead-letter-cve-2026-45185-xbow-found-rce-exim">滲透測試公司XBOW指出</a></strong>，GnuTLS是許多以Debian為基礎的Linux發行版（如Ubuntu）的預設TLS程式庫，因此該漏洞影響範圍可能會相當廣泛，而且，攻擊者若要觸發這項弱點，幾乎不需要倚賴Exim伺服器的特殊組態設定，因此XBOW認為，CVE-2026-45185是Exim當中最危險的漏洞之一。</p> </div></div></div>
5/14 12:23作者周峻佑https://www.ithome.com.tw/news/175781
教育平臺Canvas背後的母公司宣稱已與駭客達成協議，取回遭竊資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>駭客組織ShinyHunters先後於4月底及5月上旬，傳出攻擊學習管理系統Canvas開發商Instructure，<strong><a href="https://www.ithome.com.tw/news/175580">駭客當時聲稱竊得2.75億筆個資</a></strong>，影響近9千個教育機構，檔案大小達到3.65 TB；<strong><a href="https://www.ithome.com.tw/news/175683">後續駭客發動第二波攻擊</a></strong>，竄改多所學校的Canvas入口網站並留下勒索訊息，要脅校方支付贖金以換取資料不被公開。如今傳出Instructure疑似選擇向駭客低頭，換取資料不被外洩的情形。</p> <p>5月11日Instructure更新<strong><a href="https://www.instructure.com/incident_update">資安事件公告網頁</a></strong>內容，表示他們基於保護客戶資料的立場，已與非法存取者達成協議，表示駭客已將資料歸還，並將手上的資料副本銷毀，而且不會向Instructure的客戶勒索，因此，客戶無須自行協商，換取資料不被外流。雖然公告內容並未提及其他訊息，不過外界普遍認為，這代表Instructure已經向ShinyHunters付錢贖回遭竊資料。</p> <p>針對這起事故，Instructure也透露調查結果，表示駭客是透過Free-For-Teacher帳號的弱點而得逞，該公司一度關閉此類帳號來防堵駭客的存取管道。Instructure於5月5日通知受影響的客戶，並於9日恢復Canvas平臺的運作。</p> </div></div></div>
5/14 12:28作者周峻佑https://www.ithome.com.tw/news/175788
Windows BitLocker與CTFMON存在零時差漏洞YellowKey、GreenPlasma
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>日前因對微軟漏洞通報流程不滿的研究人員Chaotic Eclipse（Nightmare-Eclipse），上個月在微軟發布4月例行更新（Patch Tuesday）前後，公開Microsoft Defender一系列資安漏洞，包括BlueHammer（CVE-2026-33825）、RedSun、UnDefend，後續皆傳出已用於攻擊行動。這次該研究員在微軟發布5月例行更新之後，再度公布新的零時差漏洞，引起資安媒體的注意。</p> <p>根據<strong><a href="https://www.bleepingcomputer.com/news/security/windows-bitlocker-zero-day-gives-access-to-protected-drives-poc-released/">資安新聞網站Bleeping Computer報導</a></strong>，這名研究員5月13日公布磁碟加密機制BitLocker的漏洞<strong><a href="https://github.com/Nightmare-Eclipse/YellowKey">YellowKey</a></strong>，以及輸入法元件CTFMON的漏洞<strong><a href="https://github.com/Nightmare-Eclipse/GreenPlasma">GreenPlasma</a></strong>，並釋出部分概念驗證程式碼（PoC）。這兩個漏洞皆影響Windows 11、Windows Server 2022與2025，但Windows 10似乎不受影響。其中比較值得留意的是YellowKey，Chaotic Eclipse形容它幾乎等同於後門，該漏洞出現在Windows復原環境（WinRE），攻擊者需要將特製的FxTx檔案存放於USB隨身碟或EFI磁碟分割區，就有機會在WinRE環境存取受到BitLocker保護的檔案。資安專家Kevin Beaumont<strong><a href="https://cyberplace.social/@GossiTheDog/116565662607962457">確認該漏洞的存在</a></strong>，呼籲使用者為BitLocker設置PIN碼，或是採用BIOS密碼保護措施因應。</p> <p>另一個漏洞GreenPlasma為權限提升漏洞，Chaotic Eclipse指出，透過這個漏洞的概念驗證程式，可在任何SYSTEM權限可寫入物件的資料夾，建立任意的記憶體區塊。然而GreenPlasma真正帶來影響在於，攻擊者一旦成功利用，就有機會取得具有完整SYSTEM權限的Shell。該研究員透露，此漏洞發生的原因，在於包含核心模式驅動程式在內的眾多系統服務，會直接信任某些路徑的內容，使得一般使用者有機會取得寫入權限。</p> </div></div></div>
5/14 12:35作者周峻佑https://www.ithome.com.tw/news/175782
AWS與紅帽深化AI平臺合作，將代理式AI開發環境與AI晶片支援納入OpenShift生態系
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://aws.amazon.com/tw/blogs/ibm-redhat/aws-and-red-hat-at-red-hat-summit-2026-accelerating-ai-innovation-and-open-source-infrastructure/" target="_blank">AWS與Red Hat（紅帽）在Red Hat Summit 2026公布合作新進展</a>，焦點放在企業AI開發、AI推論部署與雲端原生基礎架構管理。</p> <p><span style="color:#B22222;"><strong>Kiro整合OpenShift Dev Spaces，讓企業在集中治理環境使用代理式AI開發工具</strong></span></p> <p>AWS與紅帽宣布，將代理式AI整合開發環境Kiro整合至紅帽雲端開發環境OpenShift Dev Spaces。這項整合採用本機到遠端的SSH連線工作流程，開發者可在本機執行Kiro，同時連線到OpenShift叢集中的容器化工作區。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0514-red%20hat%20aws-kiro.jpg" style="width: 600px;" /></p> <p>AWS與紅帽指出，這可讓開發團隊在集中治理的環境中使用AI程式開發工具，減少個別開發者電腦設定差異造成的問題；IT團隊也能集中控管安全政策、資源限制與網路存取。這項Kiro整合功能已在OpenShift Dev Spaces 3.25版提供。</p> <p><span style="color:#B22222;"><strong>強化OpenShift推論部署，納入Inferentia與Trainium支援</strong></span></p> <p>AWS與紅帽正在推動AWS Inferentia晶片專用的AI Operator（AI Operator for AWS Inferentia），協助企業在OpenShift環境中執行AI推論工作負載。</p> <p>對已使用OpenShift作為Kubernetes平臺的企業來說，這類做法可減少導入專用AI加速器所需的客製化工程。AWS與紅帽認為，企業可在既有OpenShift維運架構下，讓AI工作負載與傳統容器化應用並行運作，並沿用既有維運工具與政策控管機制。</p> <p>另一項合作則是讓紅帽模型推論伺服器Red Hat AI Inference Server支援AWS Trainium晶片，協助企業在保有紅帽支援與一致管理方式的情況下，降低大型語言模型與高流量AI應用的推論成本。</p> <p><span style="color:#B22222;"><strong>Red Hat AI Enterprise上架AWS Marketplace，簡化企業AI平臺採購流程</strong></span></p> <p>在AI平臺採購方面，企業可在AWS Marketplace取得Red Hat AI Enterprise，並透過既有雲端採購與支出承諾機制獲得授權，適用範圍包括AWS Enterprise Discount Program、私有定價協議與AWS Marketplace Private Offers。</p> <p><span style="color:#B22222;"><strong>ROSA導入Red Hat build of Karpenter，改善節點擴展與資源配置</strong></span></p> <p>紅帽將透過Red Hat build of Karpenter，改善Red Hat OpenShift Service on AWS（ROSA）的運算容量與節點生命周期管理。Red Hat build of Karpenter是以上游Project Karpenter為基礎的全代管自動擴展器，可依工作負載需求調整節點配置。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0514-red%20hat%20aws-Karpenter.png" style="width: 600px;" /></p> <p>紅帽表示，這項功能將在下一個Red Hat OpenShift小改版正式推出，並適用於所有已正式提供ROSA的AWS區域。</p> </div></div></div>
5/14 12:36作者王珮瑤https://www.ithome.com.tw/news/175793
微軟將透過Windows Update遠端復原問題驅動程式，減少手動排除故障負擔
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Windows Update不只負責提供Windows系統更新，也常被用來發布硬體驅動程式；但若驅動程式更新存在品質問題，可能造成裝置異常，使用者甚至需要自行解除安裝或回復驅動程式。</p> <p>為了降低驅動程式更新出問題後的處理負擔，<a href="https://techcommunity.microsoft.com/blog/hardware-dev-center/introducing-cloud-initiated-driver-recovery-for-windows-update/4519075" target="_blank">微軟5月12日宣布在Windows Update導入Cloud-Initiated Driver Recovery機制</a>。若驅動程式在硬體開發中心（Hardware Dev Center）的發布品質審查流程（Driver Shiproom）中被判定有品質問題，微軟即可遠端啟動復原作業，移除受影響裝置上有問題的版本，並回復到先前已知可正常運作的版本，或改用可透過Windows Update取得、經核准的替代版本。這項功能適用於透過Hardware Dev Center發布驅動程式的合作夥伴。</p> <p>根據微軟說明，Cloud-Initiated Driver Recovery會透過既有Windows Update基礎架構發送復原指令，Windows裝置不需要安裝新的用戶端代理程式，硬體合作夥伴也不需要部署額外工具。復原流程會先鎖定特定驅動程式及其連結的發布標籤，再由Windows Update向受影響裝置下達復原指令；若找不到經發布品質審查流程核准的替代驅動程式，該裝置就不會執行Cloud-Initiated Driver Recovery。</p> <p>微軟規畫在2026年5月至8月間，先針對特定發布標籤所對應的驅動程式進行手動驗證與測試，預計從2026年9月開始，驅動程式一旦在測試發布或漸進式推出期間，因品質問題而未通過審查，將自動納入Cloud-Initiated Driver Recovery處理流程。</p> </div></div></div>
5/14 12:50作者王珮瑤https://www.ithome.com.tw/news/175801
Google Cloud推出Cloud Storage Rapid，強化AI訓練與分析工作負載的儲存效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>隨著企業訓練大型AI模型、部署大規模AI推論服務，並建置可處理大量企業資料的AI代理，也讓儲存效能成為AI基礎架構能否充分發揮算力的關鍵。<a href="https://cloud.google.com/blog/products/storage-data-transfer/cloud-storage-rapid-turbocharges-object-storage-for-ai-analytics" target="_blank">Google Cloud指出</a>，GPU與TPU雖然是AI運算核心，但一旦資料供應或檢查點寫入跟不上運算節奏，運算資源可能無法充分發揮效益。Cloud Storage Rapid即是針對這類需求而設計，主打在保留物件儲存易用性與擴充性的同時，提升AI工作負載所需的資料存取效能。</p> <p>Cloud Storage Rapid目前包含兩項主要能力。Rapid Bucket已正式上市，前身為Rapid Storage，是一種高效能區域型物件儲存桶，底層採用Google分散式儲存系統Colossus，也就是支撐Gemini與YouTube的儲存基礎架構。Google Cloud表示，單一Rapid區域型儲存桶可提供超過15 TB/s彙總讀取傳輸量，並支援每秒最高2,000萬次查詢。</p> <p>Rapid Bucket主要用於資料準備、模型訓練、檢查點處理、批次與串流分析，以及分散式資料庫架構最佳化等高效能需求的應用場景。Google Cloud宣稱，在多模態訓練作業中，Rapid Bucket可讓GPU閒置等待時間減少50%，資料載入速度最高提升2.5倍；相較傳統物件儲存，檢查點還原速度最高提升5倍，寫入速度提升3.2倍。</p> <p>另一項能力Rapid Cache前身為Anywhere Cache，可針對既有Cloud Storage儲存桶加速讀取，而且不需要修改程式碼。Google Cloud表示，Rapid Cache可為資料準備、訓練，以及推論期間突發的模型載入需求，提供2.5 TB/s彙總讀取傳輸量；在推論工作負載中，模型載入速度最高提升2.1倍，並可帶來47%的總持有成本（TCO）節省。</p> <p>Google Cloud這次也為Rapid Cache新增「寫入即同步快取（ingest on write）」功能，讓資料寫入Cloud Storage儲存桶時，同步進入Rapid Cache，避免第一次讀取時才建立快取而造成效能落差。Google Cloud指出，這項功能可讓檢查點還原時間最高加快2.2倍，適合用於訓練中斷後需要快速恢復的AI工作負載。</p> <p>Google Cloud並以AI研究與產品公司Thinking Machines Lab為例指出，該公司在AI／ML流程中導入Rapid Cache，用於資料處理、多模型訓練與模型載入等作業後，穩定讀取傳輸量峰值超過1.8 TB/s，也降低長尾延遲與429錯誤。Google Cloud表示，Rapid Cache目前已由客戶部署數千個快取，過去一年的部署量成長20倍，最高可承載Cloud Storage全球對外資料流量的20%。</p> </div></div></div>
5/14 13:15作者王珮瑤https://www.ithome.com.tw/news/175804
AI自主網攻能力加速，資安任務長度每4.7個月翻倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.aisi.gov.uk/blog/how-fast-is-autonomous-ai-cyber-capability-advancing" target="_blank">英國AI安全研究所（AI Security Institute，AISI）週三（5/13）發布最新研究報告</a>，利用名為Cyber Time Horizons的指標，衡量AI可自主完成多長時間的資安任務，並以人類資安專家的完成時間作為基準。AISI指出，自2024年底以來，先進AI模型可自主完成的資安任務長度大約每4.7個月翻倍，而最新的Claude Mythos Preview與GPT-5.5甚至已超出原本的成長趨勢。</p> <p>AISI這次主要在名為Narrow Cyber Suite的封閉式資安測試環境中評估模型能力，測試內容涵蓋逆向工程（Reverse Engineering）、Web漏洞利用（Web Exploitation）等任務，要求模型自主辨識並利用目標系統弱點。此外，AISI也測試模型在模擬企業網路攻擊環境（Cyber Ranges）中的表現，其中包括32步驟的企業網路攻擊場景「The Last Ones」，以及先前從未被AI模型成功完成的「Cooling Tower」。</p> <p>AISI會根據模型在各項任務中的成功率，推估AI在80%成功率下，可自主完成相當於人類資安專家需花多久處理的任務。</p> <p>最新估算顯示，自2024年底以來，先進AI模型可穩定完成的資安任務長度，約每4.7個月翻倍。也就是說，若AI原本可完成相當於人類專家需花10分鐘處理的任務，約4.7個月後，就可能完成20分鐘等級的任務，能力成長速度也快於2025年11月估計的每8個月翻倍。AISI指出，Claude Mythos Preview與GPT-5.5在最新測試中的表現，也明顯超出原本的能力成長曲線。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0514-AISI-600.png" style="width: 600px;" /></p> <p>在測試中，AISI將每項任務限制於250萬個token，以便不同時期模型的結果可互相比較。目前測試集中最長的任務，約需人類資安專家花費12小時完成。即使在此限制下，Claude Mythos Preview仍在6項「人類專家需花8小時以上完成」的長資安測試任務中達到100%成功率；GPT-5.5則完成其中5項，其餘1項在移除token限制後也能成功完成。</p> <p>此外，新版Claude Mythos Preview已可在10次測試中成功完成「The Last Ones」6次，以及「Cooling Tower」3次，成為首個成功完成後者的AI模型；GPT-5.5則在「The Last Ones」中成功3次。</p> <p>AISI指出，由於Claude Mythos Preview與GPT-5.5在最長任務中的成功率已接近100%，目前這組測試已逐漸接近可衡量的上限。</p> </div></div></div>
5/14 11:23作者陳曉莉https://www.ithome.com.tw/news/175789
Anthropic調整Claude訂閱用量計算，Agent SDK等程式化使用改走專屬月額度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Anthropic將自6月15日起，<strong><a href="https://support.claude.com/en/articles/15036540-use-the-claude-agent-sdk-with-your-claude-plan">調整</a></strong>Claude付費訂閱方案的程式化使用用量計算方式，Pro、Max、Team與Enterprise等方案使用者，可申領每月固定額度，用於Claude Agent SDK、指令列非互動模式（claude -p）、Claude Code GitHub Actions，以及透過Claude Agent SDK搭配Claude訂閱方案使用的第三方工具。該調整把一般對話與程式自動化使用分開計算，並非提高原有訂閱方案的互動式使用上限</p> <p>過去開發者使用Agent SDK或claude -p時，相關用量會與Claude聊天和Claude Code共用同一組訂閱上限。新制上路後，Claude聊天與Claude Code互動操作仍使用原本的訂閱額度，程式化使用則改由每月可申領的專屬額度扣抵。開發者也需要更清楚區分哪些操作屬於互動式使用，哪些會進入程式化用量預算。</p> <p>各方案可申領金額不同，Pro方案每月為20美元，Max 5倍方案為100美元，Max 20倍方案為200美元，團隊標準方案為每席20美元，團隊進階方案為每席100美元，企業方案則依席位類型而定。使用者申領後，相關程式化用量會自動從這筆額度扣除，額度隨帳務週期重置，不會累積到下一期。</p> <p>額度用完後，開發者若仍要繼續使用這些程式化功能，必須啟用額外用量，並依標準API費率計費，若未開啟額外用量，Agent SDK相關請求會暫停，直到下一次額度重置。也就是說，這項調整雖然讓互動式使用與自動化使用不再互相排擠，但若開發者把Claude接到日常腳本、程式碼管理平臺或第三方工具中，實際支出可能仍會隨使用量增加。</p> <p>Claude官方也提到，Conductor、OpenClaw等採用Claude Agent SDK的第三方工具，可搭配Claude付費方案使用，但會與使用者自行撰寫的自動化腳本消耗同一筆程式化額度。</p> </div></div></div>
5/14 11:26作者李建興https://www.ithome.com.tw/news/175787
Notion公布AI代理人開發平臺，可整合第三方資料及外部代理人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>雲端筆記平臺<a href="https://www.notion.com/releases/2026-05-13" target="_blank">Notion週三（5/13）公布AI代理人開發人員平臺</a>（Notion Developer Platform），允許開發人員撰寫程式或是整合Claude、Codex等外部代理人、同步資料，跨入代理式AI市場，並且將用戶擴及開發人員。</p> <p><a href="https://www.notion.com/product/dev" target="_blank">Notion稍早透過線上發表會發表這項工具</a>。基本上，這新平臺讓Notion不再只是筆記本應用，而是扮演協作層，和團隊及代理人使用共享資料協作。</p> <p>Notion開發平臺運作核心之一是<a href="https://developers.notion.com/workers/get-started/overview" target="_blank">Notion Workers</a>。Notion Workers為一個延伸Notion的Node/TypeScript程式，允許開發人員以Notion CLI撰寫程式碼並部署在Notion上、同步資料，之後以Notion為代理人託管和執行平臺。</p> <p>Notion允許企業將第三方代理人透過API搬上平臺，如Claude、Codex、Decagon或自家開發的代理人。例如讓類人AI客服Decagon將客服工單傳到自己的程式撰寫代理人，後者提出解決方案建議，請求開發人員核准。但Notion表示，不只工程師，任何人都可以和代理人互動。目前，開發人員若想引入外部代理人需要先加入<a href="https://notion.pages.dev.notion.co/351b35e6e67f80128a8cf585188cf668" target="_blank">等候名單</a>等候核准。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0514-Notion-600.png" style="width: 600px;" /></p> <p>利用Notion Workers，開發人員可同步資料、建立代理人工具及Webhooks。在資料同步方面，利用API將任何資料源串接Notion資料庫，讓企業將外部資料同步至Notion Database讓代理人進行下一行動，例如把Zendesk工單匯入由代理人建議修改，將Salesforce資料拉進來讓代理人製作詳細報表，或是把Strava App的健康資訊和Spotify歌單資料串接立慢跑時的歌單。</p> <p>Notion也同步以Beta版推出Notion Workers的代理式工具及工作流程觸發（Webhooks）功能。</p> <p>下一步是讓使用者在其他App中使用Notion代理人，像是CRM、Microsoft Teams、Discord和Amplitude、Hex的儀表板。目前Notion Agent SDK以Alpha推出。<a href="https://notion.pages.dev.notion.co/357b35e6e67f8012bb0dd3f95c9be810?pvs=105" target="_blank">Notion並提供SDK</a>整合第三方App的註冊等候清單。</p> </div></div></div>
5/14 11:48作者林妍溱https://www.ithome.com.tw/news/175790
Meta推出Incognito Chat，主打AI對話完全私密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://about.fb.com/news/2026/05/incognito-chat-whatsapp-meta-ai/" target="_blank">Meta週二（5/13）宣布</a>，將於WhatsApp及Meta AI App推出全新的Incognito Chat隱私聊天模式，主打使用者可在「完全私密」的環境下與AI互動；強調相關對話會在特殊的安全環境中處理，連Meta本身也無法查看內容，而且對話預設不會保存，訊息也會自動消失。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0514-meta%20ai-960.png" style="width: 600px;" /></p> <p>Meta表示，隨著AI逐漸成為使用者獲取資訊、尋求建議的重要工具，人們也開始向AI詢問更多敏感問題，例如健康狀況、貸款、財務與職涯等，因此希望提供更高等級的隱私保護。</p> <p>Incognito Chat是建立在WhatsApp既有的Private Processing技術之上。當使用者啟動Incognito Chat後，便會建立一個僅自己可見的臨時AI聊天空間，訊息會在隔離的安全環境中完成處理。</p> <p>Meta表示，其他App雖然也有類似無痕模式，多半只是降低資料保存，或限制資料用於訓練，Incognito Chat則是在AI處理階段就採取隔離保護。</p> <p>例如OpenAI ChatGPT提供Temporary Chat模式，仍可能為安全目的保留最多30天；Google Gemini也允許使用者關閉對話紀錄，但相關對話仍可能保存最多72小時，以維持服務與處理回饋。</p> <p>Meta也預告，未來幾個月將推出Sidechat功能，可在不干擾主要聊天的情況下，讓Meta AI理解WhatsApp聊天脈絡並提供協助，且同樣採用Private Processing架構。</p> </div></div></div>
5/14 12:06作者陳曉莉https://www.ithome.com.tw/news/175792
Anthropic推出Claude for Small Business向小型企業招手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.anthropic.com/news/claude-for-small-business" target="_blank">Anthropic週三（5/13）公布</a>Claude for Small Business，希望將代理式AI推向小型企業。</p> <p>Claude for Small Business包含一組連接器（connector）和立即可用的工作流程（workflow），可讓小型企業直接把Claude整合進其業務流程，由AI代理人自動執行任務。現在Claude for Small Business已提供15項代理式工作流程，涵括財務、行銷、客服、業務及營運，並提供可自動化處理重複性作業的技能。這些技能涵括規劃薪資、結算帳務、排定公司銷售活動、執行行銷計畫，其他流程還包括報稅、合約、總帳、利潤分析、報表、內容規劃等。</p> <p>Claude for Small Business須從Claude Cowork啟動，它提供連接器以連接外部應用及其資源。其連接器可連結的第三方應用包括PayPal、Intuit QuickBooks、HubSpot、Canva、Docusign、Google Workspace、Microsoft 365、Slack等。</p> <p>和其他代理人工具一樣，Claude for Small Business雖然可自動化作業，但Anthropic強調，用戶仍持有最高控制權。所有任務和工作流程都必須由用戶主動發動、核准執行，且Claude權限不超越員工，例如無法讀取員工看不到的QuickBooks或Google Drive內的文件。且Anthropic保證，預設不使用Claude Team和Enterprise方案的企業內容和提示來訓練模型。</p> <p>為了讓中小企業更熟悉在企業管理中使用AI，Anthropic也和PayPal合作免費的線上教學，也和Workday及美國非營利本地企業支援組織提供美國中小企業免費使用。</p> <p>這是Anthropic將Claude推展到企業市場最新產品，在此之前，Anthropic分別提供產業別的方案包括<a href="https://www.ithome.com.tw/news/173311" target="_blank">Claude for Healthcare</a>、<a href="https://www.ithome.com.tw/news/175766" target="_blank">Claude for Legal</a>，也推出了<a href="https://www.ithome.com.tw/news/175574" target="_blank">金融業專用模板</a>。</p> </div></div></div>
5/14 10:47作者林妍溱https://www.ithome.com.tw/news/175783
身分安全威脅成為勒索軟體主要侵入途徑，三分之二受害組織認為源頭是身分攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p style="margin-left:.05pt;">企業採用雲端服務與AI的比例水漲船高，伴隨而來的是數量暴增的應用程式與服務，以及各種真人與非人的數位身分，導致龐大的管理與安全性問題，單就數位身分而言，包含使用者的帳號與密碼、API金鑰、服務帳號、OAuth權杖，一旦攻擊者掌握到這些重要資訊，就可能得以進入公司內部系統，導致資料外洩與勒索軟體等資安事故的發生，因此，遭竊的帳號與密碼、遭駭的服務帳號，以及鎖定企業員工發動的社交工程攻擊，都成為當前全球資料外洩事故中最常見的初始存取管道。</p> <p style="margin-left:.05pt;">根據資安廠商Sophos最近發布的<strong><a href="https://www.sophos.com/en-us/resources/report/the-state-of-identity-security-2026">2026身分安全現況調查報告</a></strong>指出，過去一年以來，有71%的組織曾遭遇至少一次與身分相關的資安事件，平均每個組織通報3起獨立事件；10％的組織通報曾發生影響業務的身分入侵事件，而且，身分攻擊行動一旦成功，資料竊取與勒索軟體皆為最常見的後果，比例都接近一半，各為49％與48％。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/Sophos Breach frequency distribution.png"><img alt="" src="/sites/default/files/images/Sophos%20Breach%20frequency%20distribution.png" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">有高達66.5％的勒索軟體受害者表示，這類事故是影響最重大的身分攻擊類型，並已確認身分與勒索軟體之間的關係與工作流程，換言之，有三分之二的受害者認同勒索軟體事故源自身分攻擊，並確認身分遭駭就是勒索軟體得以入侵的主要途徑。</p> <p style="margin-left:.05pt;">上述調查的結果，也與Sophos幾個月前發表的2026 年主動攻擊者報告相當接近，當中提到該公司分析去年事故應變（IR）與代管偵測與應變服務（MDR）團隊調查的所有事故，根本原因是身分相關攻擊的比例為<a href="https://www.sophos.com/en-us/blog/2026-sophos-active-adversary-report"><strong>67.32</strong><strong>％</strong></a>，而導致這類攻擊的三大因素，分別為帳號與密碼外洩（占所有案例的42.06％）、遭暴力破解攻擊（15.58％）、漏洞遭濫用（16.04％）。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/2026-02-active-advisory-report-figure-01.png"><img alt="" src="/sites/default/files/images/2026-02-active-advisory-report-figure-01.png" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">若以組織規模檢視勒索軟體與身分攻擊的關係，Sophos的2026身分安全現況調查報告指出，對於「勒索軟體等同身分攻擊」最感到認同的，是擁有1,001至3,000名員工的企業，比例高達71.6％，最不認同這個假設的是擁有100至250名員工的企業，但其比例仍有62.4％。對此，Sophos認為之所以存在差異，反映多種狀況，像是不同組織基礎架構的複雜性、能見度（visibility）的等級，以及組織能否橫跨多個領域將攻擊管道與最終結果進行交互關聯。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/Sophos Ransomware-Identity Link by Organization Size.png"><img alt="" src="/sites/default/files/images/Sophos%20Ransomware-Identity%20Link%20by%20Organization%20Size.png" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">以能見度而言，仍是身分安全的關鍵弱點，因為Sophos這份調查報告指出，去年只有24％的組織會持續監控異常登入行為，每三個月或更久才檢查一次的組織，已超過半數；而在探討組織淪為身分攻擊受害者的根本原因調查中，無法掌握外部應用系統存取與許可的比例為35.7％。</p> <p>除此之外，防護身分攻擊的缺口持續存在，因為資料遭外洩的組織當中，能夠在損害產生前偵測並阻止最嚴重的身分攻擊事件的比例雖然高達85.4％，顯示絕大多數組織具備防護能力，但還有14.4％無法阻擋，代表這少數案例形成巨大的尾部風險（tail risk）。而且，就不同規模的組織而言，員工數介於100至250人的小型組織，偵測身分攻擊的失敗機率幾乎是中型企業的兩倍。</p> <p><a href="/sites/default/files/images/Sophos ID Attack Detection Failure.png"><img alt="" src="/sites/default/files/images/Sophos%20ID%20Attack%20Detection%20Failure.png" style="width: 600px;" /></a></p> </div></div></div>
5/14 01:57作者李宗翰https://www.ithome.com.tw/news/175780
台達揭露淨零減碳心法，將內部科學減碳經驗輸出為顧問服務，瞄準企業低碳轉型需求
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在全球企業加速淨零轉型之際，台達電今天(5/13)分享其內部減碳推動經驗，以及如何將多年累積的淨零治理能力，轉化為對外的顧問與數位服務。</p> <p>台達永續長周志宏表示，「節能」一直是該公司的企業經營核心。早在2005年台達便開始推動工廠節能，當時創辦人便要求工廠節能50%，「大家當時還不敢相信」，台達以2009年為減碳基準年，到2014年時達到5年間50%的減碳成果。</p> <p>後續在巴黎協定之後，該公司進一步導入SBT（Science Based Targets，科學基礎減量目標）機制。周志宏回憶，當時他曾詢問，是否真的要承諾科學化減碳路徑，而得到的答案是，「既然答應了就要真正做到」。這成為後續十多年該公司持續推動淨零的重要起點。</p> <p><span style="color:#B22222;"><strong>2025年碳排已較基準年下降67.4%</strong></span></p> <p>周志宏指出，目前台達的減碳成果已超越原先SBT設定路徑。到2025年時，整體碳排已較基準年下降67.4%。</p> <p>台達是如何做到的？周志宏透露該公司經由4種方式推進減碳，包括節能、自發自用再生能源、採購再生電力，以及內部技術創新。其中，再生能源與再生電力是減碳效果最大的2項措施。</p> <p>在再生能源使用上，台達自2021年開始推動RE100，至2025年再生電力使用率已達91%。</p> <p>除了常見的購買綠電之外，台達透過更高難度的即時綠電匹配，以克服使用再生電力的障礙。他指出，以臺灣現行「15分鐘匹配制度」，難度甚至高於多數國家使用的每小時匹配制度。</p> <p>為了因應這項制度，台達自行開發再生電力匹配系統，整合發電端、用電端與轉供資訊，進行綠電匹配與最佳化調度。</p> <p><span style="color:#B22222;"><strong>透過內部碳費機制驅動減碳投資</strong></span></p> <p>除了從技術與能源管理著手，該公司也在內部建立碳費制度，每噸碳定價300美元，設立減碳基金，以提高各部門減碳的誘因。</p> <p>周志宏指出，台達過去4年已成立89個COS Center，建立可編列預算與追蹤績效的減碳管理機制，並透過內部碳費基金投入減碳專案。台達累積投入約7,250萬美元內部碳費基金，用來支持各單位推動節能改善、再生能源與減碳專案，共減少37.6萬噸碳排量。</p> <p>台達希望透過內部碳定價機制，讓各事業單位理解，現在投入減碳的成本，其實低於未來面對碳費或碳稅的代價，因此更願意提前投資節能與再生能源。台達內部碳費制度的重要精神是，讓事業單位願意投資節能與再生能源。</p> <p>他以內部高耗能事業單位為例指出，該單位自2021年至2025年間，投入4,500萬美元進行節能與再生能源改善後，碳排下降85%，碳費也減少近7成。</p> <p>在種種策略推動下，台達從2018年開始，碳排放量與公司營收脫鉤，隨著營收向上成長，碳排量逐年減少。</p> <p><img alt="" src="/sites/default/files/images/%E6%88%AA%E5%9C%96%202026-05-13%20%E4%B8%8B%E5%8D%886_28_24.jpeg" style="width: 600px; height: 387px;" /></p> <p><span style="color:#B22222;"><strong>台達開始將ESG能力轉化為對外服務</strong></span></p> <p>在建立自身減碳治理模式後，台達也開始將相關能力商品化。</p> <p>台達ESG整合策劃辦公室資深處長李立仁表示，2023年底台達內部重新檢視永續策略，認為ESG不應只停留在法規遵循與評比，可以轉化為真正的商業價值。</p> <p>「ESG它要能夠體現成能實踐的商業價值，成為台達一個商業差異化的競爭力」，李立仁說。</p> <p>因此，台達進一步成立永續顧問與服務團隊，聚焦3大主軸，包括顧問服務、永續數位平臺，以及綠色工廠、智慧建築、微電網與再生能源等淨零解決方案。</p> <p><span style="color:#B22222;"><strong>將SBT治理經驗轉化為顧問服務</strong></span></p> <p>李立仁指出，目前許多企業面臨兩種情況，一是尚未導入科學減碳，但已被供應鏈要求；另一種則是雖然已提出SBT承諾，但實際減碳成果與設定的目標脫鉤，實際效果不如預期。</p> <p>李立仁表示，台達推動SBT過程中，非常重視治理機制與跨部門管理，包括透過委員會制度，將KPI與責任分配到各事業群、區域與營運單位，並由中央平臺進行追蹤。</p> <p>此外，企業在推動減碳時，往往會面臨營收與產能壓力，因此缺乏投入誘因。李立仁指出，因此台達透過顧問服務，來協助企業設計「內部碳定價」與碳基金制度。</p> <p><span style="color:#B22222;"><strong>建立AI能源管理與綠電匹配平臺</strong></span></p> <p>除了顧問服務外，台達也將多年累積的能源管理能力發展成數位平臺。</p> <p>李立仁指出，台達目前已建立全球能源管理平臺，除了追蹤各據點KPI與碳排，也能管理節能專案執行情況，並分析能耗異常。</p> <p><img alt="" src="/sites/default/files/images/20260513_151016.jpeg" style="width: 600px; height: 382px;" /></p> <p>他表示，台達已累積超過1,000個節能專案經驗，現在開始把專家知識轉化為AI Agent與專家系統，用於節能分析與報告生成。</p> <p>在綠電管理方面，透過即時綠電匹配平臺，協助企業分析用電特性與綠電配比，降低RE100推動成本。</p> <p>李立仁指出，隨著未來ISO-GHG與電力時間標籤制度逐步導入，「24/7」即時綠電匹配能力，將成為企業淨零的重要基礎能力。</p> <p>台達能源事業開發的綠電即時匹配平臺，透過用電歷史分析、發電特性分析、配比最佳化等方式，協助企業以較低總成本達成RE100。</p> </div></div></div>
5/13 18:34作者蘇文彬https://www.ithome.com.tw/news/175776
AWS公布跨雲端資料遷移架構，以rclone worker叢集將PB級資料搬移至Amazon S3
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>為了便利更多企業將資料從其他公有雲搬遷至AWS的環境，<a href="https://aws.amazon.com/tw/blogs/storage/scalable-cross-cloud-data-migration-to-amazon-s3-with-distributed-rclone/" target="_blank">AWS在官方技術部落格介紹一套分散式跨雲端資料遷移架構</a>，透過開源命令列資料同步與搬移工具rclone，搭配Amazon ECS、Amazon SQS、EC2 Auto Scaling與CloudWatch等AWS服務，因應PB等級資料跨雲端搬移時常見的進度追蹤、失敗重試，以及規模擴展的挑戰。</p> <p>AWS指出，當企業需要在不同雲端服務供應商之間搬移PB等級資料時，傳統單機或集中式資料傳輸方式，往往會遇到進度難以掌握、失敗後重啟流程繁瑣，以及需要頻繁人工介入等問題。若還需在遷移過程中加入自訂標籤或其他商業邏輯，也會拉長遷移時間，並增加資料漂移風險與成本。</p> <p>這套跨雲端資料遷移架構主要分為探索層（Discovery Layer）、佇列層（Queueing Layer）與執行層（Execution Layer）。探索層以Amazon ECS搭配AWS Fargate執行，自動列舉來源儲存系統中的物件，並將檔案以每20個為一組而建立批次作業，再交由Amazon SQS佇列分派給後續worker處理。</p> <p>在執行層，SQS會將每個批次作為獨立工作，分配給EC2上的rclone worker。AWS在這套架構中使用r5n.xlarge執行個體建立Auto Scaling群組，並根據SQS佇列中的待處理工作量，自動擴展或縮減worker規模。每臺執行個體可同時執行6個rclone處理程序，以提高網路頻寬利用率。</p> <p>AWS表示，這套設計可透過SQS的可見性逾時（visibility timeout）與死信佇列（dead-letter queue）機制，讓暫時失敗的工作自動重新排入佇列處理；若工作兩次嘗試後仍失敗，則會送入死信佇列，方便後續追查，藉此減少人工介入與維運負擔。同時，透過CloudWatch Logs與自訂指標，也能追蹤檔案傳輸進度、失敗批次與傳輸時間等遷移情況。</p> <p>在實際測試中，AWS以容量為2.7 PB的媒體歸檔資料集，從IBM Cloud Object Storage遷移至S3，整體worker叢集達到15～120 Gbps聚合吞吐量，Auto Scaling群組約在10分鐘內擴展至5臺EC2執行個體，整體遷移約兩週完成，運算成本約2,000美元。</p> <p>AWS指出，由於架構採用相容S3 API的設計，因此除了IBM Cloud Object Storage，也可套用到Google Cloud Storage與Azure Blob Storage等服務。使用者只需調整端點設定，以及AWS Secrets Manager中的來源端憑證，不必重新部署整體架構。</p> <p>此外，AWS也解釋，之所以選擇rclone，而非直接使用AWS SDK，主要原因在於rclone可提供跨S3相容儲存服務的統一命令列介面，避免為不同雲端供應商各自撰寫專屬SDK程式碼，降低多雲遷移時的程式開發與維護複雜度。</p> </div></div></div>
5/13 17:42作者王珮瑤https://www.ithome.com.tw/news/175774
Obsidian更新社群外掛審核流程，導入逐版自動檢查與安全評分卡
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>知識工作者愛用Markdown筆記工具Obsidian<strong><a href="https://obsidian.md/blog/future-of-plugins/">推出</a></strong>新的社群網站與開發者儀表板，調整社群外掛與主題的提交、審核和搜尋流程。本次改版重點，是把過去較依賴人工處理的審核方式，改為每個版本都會接受自動檢查，並在專案頁面加入安全評分卡，讓使用者在安裝前能先查看自動檢查結果與專案狀態。</p> <p>Obsidian是一款採本地優先、Markdown檔案格式的筆記工具，因外掛生態活躍，深受開發者與知識工作者喜愛。官方表示，自2020年開放應用程式介面以來，社群已建立超過4,000個外掛與主題，外掛累計下載量也超過1.2億次。</p> <p>外掛數量增加後，原本由小團隊人工審核初次提交的流程逐漸難以負荷。過去外掛第一次進入官方目錄時會經過人工檢查，但後續版本並不會逐版審查。Obsidian表示，現在人工智慧輔助程式開發工具讓外掛產生速度更快，提交數量也跟著增加，因此需要一套能持續運作、也能處理大量提交項目的新流程。</p> <p>新的自動審核系統會檢查外掛與主題是否符合開發者政策，並檢查程式碼品質、已知安全弱點和可能的惡意程式。人工審核不會取消，但會轉向較需要深入檢查的項目，例如下載量較高的外掛、精選外掛，以及社群回報有問題的項目。</p> <p>在使用者端，新的社群網站提供分類、搜尋、篩選和排序功能。每個專案頁面會顯示截圖、功能說明與安全評分卡。Obsidian也預告，未來外掛頁面會進一步揭露外掛是否會存取網路、檔案系統或剪貼簿等能力，並加入隱私標籤、已驗證作者標籤，以及人工審核結果等資訊。</p> <p>這次改版也處理了過去累積的提交項目，Obsidian表示，既有外掛、主題和排隊中的提交項目，已搬到新的社群網站，開發者可登入新網站，連結GitHub帳號來認領專案。新系統已在數日內處理超過2,300個等待審核的提交項目，新專案通常可在數分鐘內看到審核結果，通過後會在24小時內出現在應用程式內，供使用者搜尋與下載。</p> </div></div></div>
5/13 18:14作者李建興https://www.ithome.com.tw/news/175773
【資安日報】5月13日，鴻海驚傳遭勒索軟體Nitrogen攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/175745"><strong style="font-size: 22px;">勒索軟體組織Nitrogen疑似駭入鴻海，竊得8 TB、上千萬份檔案</strong></a></p> <p><a href="/sites/default/files/images/foxconn-dark-web-post-63-2.jpg" target="_blank"><img alt="" src="/sites/default/files/images/foxconn-dark-web-post-63-2.jpg" style="width: 300px; float: right;" /></a></p> <p>根據資安新聞媒體Cybernews報導，鴻海5月初美國廠區發生嚴重的IT問題，勒索軟體Nitrogen本週在暗網網站將鴻海列為受害者。駭客宣稱取得的檔案包括英特爾、蘋果、Dell、Nvidia的機密指令、專案和設計草圖，以及其他檔案。巧合的是，兩週前鴻海位於美國威斯康辛州芒特普萊森特山（Mount Pleasant）的園區發生網路斷線事件，事件發生於5月1日凌晨，園區產線無法運作，報導引述員工說法，所有產線都被迫停工。而辦公室員工也無法連網，被要求使用個人行動熱點來上網工作。</p> <p><a href="https://www.ithome.com.tw/news/175747"><strong style="font-size: 22px;">微軟發布5月份例行更新，修補137個資安漏洞</strong></a></p> <p>微軟於5月12日發布本月例行更新（Patch Tuesday），總共公開137個由該公司登記CVE編號的漏洞，數量較上個月的165個有所減少。若是加上該公司修補的第三方元件漏洞，總數將達到265個。值得留意的是，這些漏洞當中，有13個微軟認為很有可能會成為駭客利用的目標，其中有4項被評為重大等級，這些漏洞是CVE-2026-35435、CVE-2026-40361、CVE-2026-40364、CVE-2026-41103。</p> <p><a href="https://www.ithome.com.tw/news/175744"><strong style="font-size: 22px;">SAP修補S/4HANA與Commerce Cloud重大漏洞</strong></a></p> <p>5月12日SAP發布本月例行更新（Security Patch Day），修補15個資安漏洞，其中的CVE-2026-34260與CVE-2026-34263被評為重大等級，兩者的CVSS風險評分皆為9.6（滿分10分）。CVE-2026-34260存在於SAP S/4HANA，為SQL注入漏洞，未經身分驗證的攻擊者可透過使用者控制的輸入，注入惡意的SQL指令（SQL Statement），此時該應用程式就會將惡意輸入串接成SQL查詢，並在未經適當驗證與處理的情況下，傳送至底層資料庫。</p> <p><a href="https://www.ithome.com.tw/news/175749"><strong style="font-size: 22px;">Fortinet修補FortiSandbox、FortiAuthenticator重大RCE漏洞</strong></a></p> <p>防火牆業者Fortinet本週發布軟體更新，分別修補旗下產品FortiSandbox和FortiAuthenticator的遠端程式碼執行（RCE）漏洞，這些漏洞被登記為CVE-2026-26083與CVE-2026-44277，CVSS風險都是9.1。其中，CVE-2026-26083涉及全域授權（global authorization）不充分，影響本地建置的FortiSandbox、雲端服務FortiSandbox Cloud，以及FortiSandbox的PaaS版本，攻擊者可藉由發送HTTP請求，在FortiSandbox執行未授權程式碼或指令。</p> <p><a href="https://www.ithome.com.tw/news/175748"><strong style="font-size: 22px;">Adobe針對10款應用系統發布5月更新，呼籲用戶應優先對電商平臺進行處理</strong></a></p> <p>Adobe於5月12日發布本月例行更新，修補10款應用程式及系統的資安漏洞，弱點數量總共有52個，與上個月55個相當接近。本次修補的範圍，涵蓋Premiere Pro、After Effects、Illustrator，以及Adobe Commerce（Magento）等常見應用程式。其中值得留意的是，Adobe這次將電子商務平臺軟體Adobe Commerce評為修補優先層級第二（Priority 2）的產品，呼籲用戶應儘速處理。</p> <p><a href="https://www.ithome.com.tw/news/175755"><strong style="font-size: 22px;">蘋果針對旗下電腦、行動裝置、穿戴裝置發布作業系統26.5版更新，並為更多行動裝置修補通知服務漏洞</strong></a></p> <p>5月11日蘋果發布iOS 26.5與iPadOS 26.5、macOS Tahoe 26.5、tvOS 26.5、watchOS 26.5、visionOS 26.5等一系列更新，修補旗下的行動裝置、電腦、電視盒、智慧手錶，以及混合實境（MR）裝置的資安漏洞，從弱點數量來看，macOS修補的漏洞最多，共有79個，iOS與iPadOS有61個居次，至於tvOS、watchOS與visionOS，分別修補了46、43、48個漏洞。</p> <p><a href="https://www.ithome.com.tw/news/175736"><strong style="font-size: 22px;">微軟警告Dirty Frag出現疑似遭到利用的跡象</strong></a></p> <p><a href="/sites/default/files/images/DirtyFrag-55-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/DirtyFrag-55-63.jpg" style="width: 300px; float: right;" /></a></p> <p>5月8日資安研究人員Hyunwoo Kim公開資安漏洞Dirty Frag，此漏洞存在於Linux核心，為本機權限提升（LPE）弱點，攻擊者有機會透過低權限帳號取得root權限，而且，漏洞的影響範圍涵蓋至少6種Linux發行版，這樣的特性，讓人很容易想到4月底公布的Copy Fail（CVE-2026-31431），因此也有研究人員將Dirty Frag稱為Copy Fail 2。值得留意的是，雖然Kim揭露此事的時候指出，網路上有人已公布概念驗證（PoC）程式碼，不過，微軟透露，他們發現疑似有實際利用的情形。</p> <p><a href="https://www.ithome.com.tw/news/175739"><strong style="font-size: 22px;">奇偶科技影像監控管理軟體系統存在重大漏洞</strong></a></p> <p>4月27日奇偶科技（GeoVision）發布資安公告，指出影像監控管理軟體系統GV-VMS V20存在資安漏洞CVE-2026-42369、CVE-2026-42370、CVE-2026-7372，影響20.0.2以下的版本，攻擊者只要發送特製的HTTP請求，就有機會在未經身分驗證的情況下，觸發漏洞執行任意程式碼。值得留意的是，雖然上述公告未說明細節，但實際上這些漏洞都相當危險，根據美國國家漏洞資料庫（NVD）5月3日公布的資料，最嚴重的是CVSS風險達到滿分10分的CVE-2026-42369。</p> <p><a href="https://www.ithome.com.tw/news/175717"><strong style="font-size: 22px;">Google發布ChromeOS長期支援版更新，修補多項高風險記憶體漏洞</strong></a></p> <p>Google發布ChromeOS作業系統長期支援版（Long Term Support）新版本，將LTS-144版更新至144.0.7559.250版，同時修補11項漏洞，多數屬於高風險的記憶體安全漏洞。這次修補的漏洞中，最嚴重的是CVE-2026-5290，CVSS嚴重性評分達9.6分，為畫面合成元件Compositor的記憶體已釋放卻仍被使用（Use After Free）問題。另有9項CVSS嚴重性評分8.8的漏洞，同樣屬於這類記憶體安全性問題。</p> <p><a href="https://www.ithome.com.tw/news/175761"><strong style="font-size: 22px;">Claude瀏覽器延伸套件存在設計缺陷，攻擊者恐透過惡意套件挾持AI</strong></a></p> <p><a href="/sites/default/files/images/LayerX-Thumbnail-copy-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/LayerX-Thumbnail-copy-63.jpg" style="width: 300px; float: right;" /></a></p> <p>Claude的Chrome延伸套件功能（Claude in Chrome）存在資安弱點，根據AI資安公司LayerX的研究，這項漏洞使得其他延伸套件在無須取得特殊權限的情況下，可注入惡意指令並挾持Claude in Chrome的功能，擷取攻擊者想要的任何資料，並讓Claude的代理程式執行攻擊者指定的操作或任意指令。值得留意的是，4月27日LayerX向Anthropic通報，並獲得確認，Anthropic表示將發布新版延伸套件進行修補，然而在5月6日套件1.0.70版更新發布後，LayerX發現Anthropic修補不完整，且未徹底解決漏洞根本原因，使得LayerX找到的弱點仍舊能夠利用。</p> <p><a href="https://www.ithome.com.tw/news/175721"><strong style="font-size: 22px;">AI模型Mythos首度實戰curl專案，發現1項漏洞與20項程式缺陷</strong></a></p> <p>由Anthropic開發的AI資安模型Mythos，首次應用於開源專案curl的程式碼分析，並產出第一批成果。Mythos掃描約17.6萬行程式碼後，共發現5項漏洞，但經curl資安團隊人工審查後，僅確認1項為實際的安全漏洞，其餘4項中有3項為誤判（false positives），1項為一般程式錯誤（bug），Mythos的報告也額外提出20項程式錯誤（bug）。curl開發團隊將於6月下旬發布的8.21.0版，修補Mythos找到的資安漏洞。</p> <p><a href="https://www.ithome.com.tw/news/175702"><strong style="font-size: 22px;">AI工具3個月找出38個OpenEMR漏洞，包括可能導致敏感資料外洩的滿分重大漏洞</strong></a></p> <p>資安公司Aisle近日發布研究報告，指出該公司透過其AI自主分析工具，掃描開源電子病歷系統OpenEMR的程式碼庫，在3個月內發現38個新漏洞，包括兩個CVSS嚴重性評為10分的重大漏洞，並協助OpenEMR基金會完成修補。第1個滿分漏洞是CVE-2026-24898，原因是MedEx回傳端點允許繞過身分驗證，導致連線階段權杖產生洩漏的問題，可能造成敏感資訊洩漏與未授權操作；第2個是CVE-2026-24908，為病人REST API端點的SQL注入問題。</p> <p><a href="https://www.ithome.com.tw/news/175704"><strong style="font-size: 22px;">惡意軟體框架PCPJack鎖定雲端基礎設施，封鎖駭客團體TeamPCP的存取權限</strong></a></p> <p>駭客團體TeamPCP（PCPcat）3月滲透資安公司Aqua Security開發的漏洞掃描工具Trivy，引發大家對於軟體供應鏈攻擊的擔憂，後續又發動一連串的供應鏈攻擊，不過，最近有一起針對雲端的惡意軟體活動相當不尋常，因為攻擊者顯然與TeamPCP爭奪攻擊資源。資安公司SentinelOne在4月28日發現一段相當特別的指令碼，主要攻擊目標是雲端環境，但引起該公司注意的地方在於，此指令碼執行後的首要工作，竟是驅逐與清理與TeamPCP有關的攻擊工具。</p> <p><a href="https://www.ithome.com.tw/news/175757"><strong style="font-size: 22px;">Best Western Hotel遭駭訂房資料外洩長達6個月</strong></a></p> <p>知名飯店集團貝斯特韋斯特（Best Western Hotel，BWH）本週通知客戶，去年10月發生資安事件，致使住客預約資料遭駭客存取。該公司在今年4月22日發現儲存特定客戶預約資料的網頁應用有非授權活動。該公司立即將網頁應用下線，註銷駭客的存取權，並偕同外部資安業者回應、強化安全並啟動調查。攻擊者存取部分客戶資料，包括姓名、電子郵件信箱、電話號碼、住家地址及其他訂房資料，資料期間涵括2025年10月14日到2026年4月22日。</p> <p><a href="https://www.ithome.com.tw/news/175741"><strong style="font-size: 22px;">【臺灣資安大會直擊】酷澎臺灣資安長陳浩維宣布：酷澎首個公開版漏洞獎勵計畫，並揭露背後的戰略藍圖</strong></a></p> <p>先前韓國總公司因為內部前中國籍員工外洩客戶個資，有20萬名臺灣客戶受到牽連而受到各界矚目的跨境電商酷澎（Coupang），今年在臺灣資安大會CYBERSEC 2026當中，首度公開酷澎臺灣將與全球規模最大的漏洞通報平臺HackerOne合作消息，推出「公開版漏洞獎勵計畫（Public Bug Bounty Program）」。酷澎臺灣暨日本資安長陳浩維表示，這不只是臺灣第一個與HackerOne的合作計畫，也是酷澎全球首發的合作專案。</p> <p><a href="https://www.ithome.com.tw/news/175737"><strong style="font-size: 22px;">【臺灣資安大會直擊】金管會揭金融資安韌性藍圖最新進展，即將發布金融業PQC遷移指引</strong></a></p> <p><a href="/sites/default/files/images/IMG_1236(1)-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/IMG_1236(1)-63.jpg" style="width: 300px; float: right;" /></a>金管會去年底發布了影響未來四年金融資安監理的「金融資安韌性發展藍圖」，經過半年，金管會資訊服務處處長林裕泰在剛落幕的臺灣資安大會上，揭露了半年來的多項成果和新進展。林裕泰表示，金管會自去年7月啟動「金融業後量子密碼遷移先導計畫」，找來代表性金融機構成立量子先導小組，目前最新的進展，是即將完成「金融業後量子密碼遷移參考指引」。</p> <p><a href="https://www.ithome.com.tw/news/175738"><strong style="font-size: 22px;">【臺灣資安大會直擊】醫院OT資安不能照辦公室IT那套！應先盤點、縮小範圍，再談防護</strong></a></p> <p>在今年度臺灣資安大會醫療資安論壇上，擁有近30年醫療儀器工程資歷的張韶良指出，醫院要真正做好OT資安，第一步不是每臺設備都加裝防火牆，也不是直接套用辦公室的資安規範，而是先完成資產盤點、設備分類與網路盤查，從原本動輒上萬臺設備中，找出真正需要優先保護的邊界設備與控制系統，再進行安全管控。張韶良強調資安法屬於通法，醫療器材管理法才是醫療儀器的專法，當兩者有衝突，仍應以專法優先。</p> <p><a href="https://www.ithome.com.tw/news/175742"><strong style="font-size: 22px;">【臺灣資安大會直擊】台新新光強調資安預算不等於資安部門預算，企業應重新定義資安投資範圍</strong></a></p> <p><a href="/sites/default/files/images/1(112)-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/1(112)-63.jpg" style="width: 300px; float: right;" /></a>資安預算應占IT預算多少比例，向來是許多人關心的資安治理議題，也往往是資安長爭取預算的基礎。台新新光金控資訊安全部資深協理方振維在今年臺灣資安大會指出，企業談資安時，不應只聚焦在駭客入侵，而是要重新回到CIA三大核心，也就是機密性（Confidentiality）、完整性（Integrity）與可用性（Availability），他特別點出，許多企業多會注意機密性、完整性，但長期忽略可用性。</p> <p><a href="https://www.ithome.com.tw/news/175726"><strong style="font-size: 22px;">【臺灣資安大會直擊】用AI對抗AI，緯創資通藍隊將資安事件回應速度從「小時」縮短至「分鐘」</strong></a></p> <p>近年來，Google、AWS與微軟等科技大廠陸續公開內部資安團隊用AI強化防禦，各界因此得以參考多種可仿效的實務作法，對臺灣企業而言，這股應用浪潮雖受重視，但如何將AI真正落實於日常資安維運，仍是大家積極探索的課題。今年臺灣資安大會開始出現更多企業公開實務經驗，高科技製造業者緯創資通（Wistron）就是一例。約從兩年前開始，該公司嘗試運用AI解決長年困擾SOC團隊的「告警疲勞」問題，並利用AI Chatbot大幅優化事件查詢效率。</p> <p><a href="https://www.ithome.com.tw/review/175733"><strong style="font-size: 22px;">VCF 9.1增強橫向存取安全，擴充EDR整合勒索軟體隔離復原</strong></a></p> <p>博通（Broadcom）月初宣布VMware Cloud Foundation（VCF）推出9.1版更新，關於安全性方面的功能突破，VCF 9.1主打能針對AI資料主權與治理需求提供零信任架構，能在基礎架構層級整合多種機制，保護Hypervisor到應用程式的AI工作負載、專屬AI模型與訓練資料。VMware強調，VCF 9.1能提供公有雲無法比擬的安全性，因為用戶實施零信任網路分段、主權復原（sovereign recovery），以及無需額外工具的持續漏洞修補，可強化AI系統部署於正式使用環境的資安態勢。</p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/175725"><strong>【5月12日】駭客首度濫用AI挖掘零時差漏洞並生成攻擊工具</strong></a></p> <p><a href="https://www.ithome.com.tw/news/175698"><strong>【5月11日】逾半數密碼的MD5雜湊值一小時就能破解</strong></a></p> <p><a href="https://www.ithome.com.tw/news/175655"><strong>【5月8日】Linux核心再傳本機提權漏洞Dirty Frag</strong></a></p> </div></div></div>
5/13 14:38作者周峻佑https://www.ithome.com.tw/news/175765
UiPath整合程式開發代理，AI建立的自動化流程也納入企業治理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>企業自動化廠商UiPath宣布推出<strong><a href="https://www.uipath.com/newsroom/uipath-for-coding-agents-launch">UiPath for Coding Agents</a></strong>，將Claude Code與OpenAI Codex這類AI程式開發代理工具整合進自家平臺，讓企業可用這些工具建立自動化流程，再由UiPath平臺納入測試、部署、執行、權限控管與稽核流程。</p> <p>AI程式開發工具已能協助開發者產生程式碼，但在企業環境中，自動化流程能否上線，通常還要經過審查、測試、權限設定、部署與稽核。UiPath指出，若AI產出的自動化流程仍停留在個別開發者或部門手上，缺少後續管理機制，企業仍必須靠人工交接與逐項確認，才能把成果放進正式業務流程。</p> <p>因此UiPath for Coding Agents的設計重點，是讓不同部門可使用各自偏好的AI程式開發代理工具，但後續執行與管理仍回到UiPath平臺。換言之，企業不必要求所有團隊改用同一套AI工具，而是透過UiPath把不同工具產出的自動化流程，整合在同一套協調、執行與治理架構。官方強調，無論自動化流程是由人類開發者建立，或由AI程式開發代理工具產生，都會套用相同的政策執行、操作紀錄、憑證保管、角色權限與執行階段控制。</p> <p><strong><a href="https://docs.uipath.com/uipath-cli/standalone/latest/user-guide/coding-agents">UiPath官方文件也說明</a></strong>，AI程式開發代理工具可透過UiPath命令列工具操作自動化專案，例如封裝解決方案、發布、部署、執行工作，以及檢查Orchestrator資料夾與部署狀態。這使得AI工具不只協助撰寫程式，也能依照企業自動化平臺的規則，將成果推進到後續執行環節。</p> <p>UiPath執行長Daniel Dines表示，AI程式開發代理工具的出現，正在改變誰能在UiPath平臺上建立自動化流程。使用者可描述想要完成的工作，讓AI工具產生自動化流程，再把成果帶到正式環境執行。UiPath for Coding Agents目前已提供給企業客戶使用，初期支援Claude Code與OpenAI Codex，並規畫在2026年加入更多AI程式開發代理工具的整合。</p> </div></div></div>
5/13 16:21作者李建興https://www.ithome.com.tw/news/175769
Anthropic為Claude for Legal新增外掛、MCP連接器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Anthropic 4月推出以Claude Opus 4.7為基礎開發法務人士專用的AI代理工具Claude for Legal，<a href="https://claude.com/blog/claude-for-the-legal-industry" target="_blank">本周Anthropic再為這工具新增外掛（plugin）及MCP整合連接器</a>進一步強化其功能。</p> <p>4月份推出的<a href="https://claude.com/plugins/legal" target="_blank">Claude for Legal</a>是Anthropic為法務專業人士推出的一套AI工作流程與整合方案，本質上是把Claude與法律研究、契約管理、eDiscovery、文件管理等法律工具串接起來的「法律專用AI生態系」。Claude for Legal利用MCP連接器，將文件、通訊及記錄整合到Claude中，並將法務人士常用功能包裹成外掛提供。法務事務或法務部門可因應業務需求來客製化Claude。上個月推出時，Claude主要整合微軟Office應用如Microsoft Word、Outlook、Excel、PowerPoint及Project等。</p> <p>如同其他領域軟體，4月Claude for Legal宣佈時，<a href="https://edition.cnn.com/2026/02/04/investing/us-stocks-anthropic-software" target="_blank">已引發</a>多家法律專業軟體方案如Thompson ReutersLegalzoom.com、RELX、LexisNexis股價大跌。</p> <p>在最新宣佈中，Claude for Legal新增20多項新的MCP連接器串接外部應用及12項新外掛。此外，該公司也和法律非營利機構Free Law Project和Justice Technology Association等合作，以提供Claude for Legal給法務機構及從業人員。</p> <p>新增連接器允許Claude整合專業應用和資料庫，涵括以下。如文件管理類如DocuSign、Ironclad知識管理類如Box、NetDcoument、法律研究判例類包括Thomson Reuters Westlaw、CoCounsel Legal等。其他如eDiscovery類、法律AI助理類、公共服務類（如Free Law Project）等。</p> <p>新增的12項外掛包括商業法務類，可處理NDA、審視商務合約、生成專業摘要。公司法務類外掛支援公司治理如併購調查、協同交易工作流程等。聘僱法務類負責員工聘僱、離職、員工分類；其他如產品法務；AI法理類；智財法務類；法規法務類；隱私法務類，處理和隱私法規（如GDPR）；訴訟法務，以及學習及其他法務行政等。</p> </div></div></div>
5/13 15:36作者林妍溱https://www.ithome.com.tw/news/175766
Google DeepMind替AI時代重塑沿用60年的滑鼠游標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://deepmind.google/blog/ai-pointer/" target="_blank">Google DeepMind週二（5/12）宣布</a>，正在開發一款由AI驅動的新型智慧游標Magic Pointer。此一技術可望改變半個多世紀以來幾乎未曾演變的滑鼠互動方式，讓游標不僅能「看到」使用者指向的位置，更能理解其意圖與脈絡。此一全新的Magic Pointer功能將被整合至Chrome瀏覽器與<a href="https://www.ithome.com.tw/news/175763" target="_blank">Googlebook筆電</a>，現則可於Google AI Studio平臺上試用。</p> <p>Google DeepMind表示，現有AI工具多獨立於專屬視窗，使用者的操作繁瑣且會打斷工作流程。Magic Pointer的目標是讓AI主動融入所有應用程式，使用者無須「繞道」，只要指向、點選、說話，AI就能即時回應，維持工作連續性。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0513-mouse%20pointer-google%20deepmind-600.jpg" style="width: 600px;" /></p> <p>Magic Pointer採用Gemini模型，能自動捕捉游標周圍的視覺與語意脈絡，讓電腦看懂使用者指向的詞句、圖像局部或程式碼。它結合「指向+語音」的自然互動，將螢幕上的像素轉為可操作的實體，例如把照片中的手寫便條變成待辦清單。</p> <p>Gemini模型的多模態能力讓Magic Pointer得以即時解析螢幕上的視覺與文字資訊。系統會根據游標位置自動判斷使用者關注的目標類型，例如日期、地址、商品或人物，並在背景完成語意理解與回應準備，全程無需使用者撰寫任何提示詞。</p> <p>Magic Pointer的操作極為簡單，使用者只需將滑鼠游標移至目標上，無須點擊左鍵或右鍵，直接以語音說出需求即可。例如在Chrome中，游標指向產品圖片後說「跟頁面上其他類似產品比較」，系統即會自動分析；或是指向客廳照片說「把這個沙發放這裡」，即時合成模擬畫面。在Googlebook上，指向電子郵件日期說「建立行事曆」，或指向PDF說「摘要」，全程無需框選、打字或撰寫任何提示詞。</p> <p>首批搭載Magic Pointer的<a href="http://www.ithome.com.tw/news/175763" target="_blank">Googlebook預計於2026年秋季上市</a>，合作夥伴包括宏碁、華碩、戴爾、惠普與聯想等五大品牌。除了Googlebook，Google也正逐步將Magic Pointer導入Chrome瀏覽器，讓使用者無論在何種裝置上都能享受指向即互動的AI體驗。</p> </div></div></div>
5/13 15:47作者陳曉莉https://www.ithome.com.tw/news/175768
Ollama重大漏洞影響自架LLM部署，特製GGUF模型檔恐外洩提示詞與API金鑰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>自架大型語言模型工具Ollama出現重大漏洞，受影響版本為低於0.17.1的版本。美國國家漏洞資料庫（NVD）已收錄此漏洞為<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-7482">CVE-2026-7482</a></strong>，指出攻擊者可利用特製GGUF模型檔，讓Ollama在建立或量化模型時讀到超出原本資料範圍的記憶體內容，可能外洩環境變數、API金鑰、系統提示詞，以及同一程序中其他使用者的對話資料。</p> <p>Ollama常被開發者與企業用於自己的電腦或伺服器上執行大型語言模型，不必把資料送到雲端AI服務。而CVE-2026-7482漏洞和Ollama處理GGUF模型檔的方式有關，GGUF可理解為一種存放大型語言模型資料的檔案格式，裡面會記錄張量資料的位置、形狀與大小等資訊。</p> <p>根據NVD漏洞說明，攻擊者可製作張量形狀或大小宣告與實際資料長度不一致的GGUF檔，使Ollama在建立與量化模型時讀到超出原始模型資料範圍的記憶體，而多讀出的內容可能是同一程序中的其他資料，因此形成資訊外洩。</p> <p>資安業者Cyera將這項漏洞命名為<strong><a href="https://www.cyera.com/research/bleeding-llama-critical-unauthenticated-memory-leak-in-ollama">Bleeding Llama</a></strong>。Cyera研究人員指出，在可連線且未加上額外驗證的Ollama部署中，攻擊者可先上傳特製GGUF檔，再要求伺服器建立模型，最後透過/api/push把含有外洩記憶體內容的模型檔推送到攻擊者控制的伺服器或模型儲存庫。Cyera估計，全球約有30萬臺曝露於網際網路的Ollama伺服器可能受影響。</p> <p>Ollama上游發行版本的/api/create與/api/push介面沒有內建身分驗證機制。不過，NVD與Ollama官方FAQ都指出，Ollama預設綁定在127.0.0.1:11434，並非一啟動就對外公開，因此風險較高的反而是管理者為了遠端使用或系統整合，透過OLLAMA_HOST=0.0.0.0等設定讓服務可從外部網路連線，卻沒有另行加上防火牆、反向代理驗證或其他存取限制的部署。</p> <p>Ollama已在0.17.1版修補該問題。使用者應確認目前執行版本是否低於0.17.1，並優先升級到新版。若曾把Ollama服務開放給內部網路或網際網路使用，也應檢查連線來源、模型建立紀錄與金鑰使用情況，必要時更換可能外洩的API金鑰與其他敏感設定。</p> </div></div></div>
5/13 15:59作者李建興https://www.ithome.com.tw/news/175764
【臺灣資安大會直擊】元智大學王仁甫：AI代理與開源模型正重塑資安風險，企業需建立制度化、自動化的漏洞治理與AI責任機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>隨著生成式AI與代理型AI（Agentic AI）快速普及，企業正面臨全新的資安挑戰。元智大學資管系助理教授王仁甫指出，AI不只是工具，本身也是一套系統，而所有系統都存在漏洞。當AI開始具備自主操作、存取資料與呼叫API能力後，資安風險將從傳統系統漏洞，擴大到AI代理、開源模型與供應鏈層級。</p> <p>他認為，企業除了關心導入AI所帶來的效率提升之外，也不能輕忽AI帶來的資安風險，包括AI讓漏洞生成、攻擊自動化與惡意程式演化速度全面加快。</p> <p><span style="color:#B22222;"><strong>AI讓漏洞與惡意程式生成速度大幅提升</strong></span></p> <p>他引用微軟數位防禦報告指出，AI已開始被駭客大量應用於惡意程式生成與自動化攻擊。目前每年新增漏洞數量已接近5萬個，惡意程式樣本一年新增約30萬種，全球累積病毒數量更已達13億隻。「未來病毒將會比人類還多」。</p> <p>他指出，過去駭客需要花費大量時間撰寫攻擊程式，但AI出現後，漏洞利用與攻擊工具生成速度明顯加快，「病毒開始有大腦」，甚至能自動判斷受害主機的防護環境，再決定如何繞過偵測。</p> <p>AI也正在改變資安人才需求結構。過去大量企業投入AI模型開發，但隨著AI系統越來越複雜，資安工程師需求正在快速上升，因為AI本身也需要被保護。</p> <p><strong><span style="color:#B22222;">代理AI與開源模型成為新的攻擊面</span></strong></p> <p>現在獲得較多關注的代理型AI也帶來的新風險。</p> <p>王仁甫指出，未來AI不只是聊天工具，而是能主動執行任務、呼叫外部API、讀取資料與操作系統的代理程式。當企業大量導入AI代理後，將使得攻擊面也同步擴大。</p> <p>他提到，包含大型語言模型（LLM）、開源AI模型、外部API、AI Plugin、RAG架構等等，都可能成為供應鏈攻擊入口。</p> <p><img alt="" src="/sites/default/files/images/%E6%88%AA%E5%9C%96%202026-05-13%20%E4%B8%8B%E5%8D%883_59_01.jpeg" style="width: 600px; height: 413px;" /></p> <p>其中開源模型面臨的風險更高。他表示，只要是Open Source，就可能存在漏洞或後門，甚至可能在模型微調（Fine-tuning）或套件更新時被植入惡意程式。</p> <p>OWASP近幾年已將AI代理風險列入重要議題，包括Prompt Injection、API安全、權限濫用、Agent越權操作、第三方模型驗證等等，這些都已成為企業AI治理的重要課題。</p> <p><img alt="" src="/sites/default/files/images/%E6%88%AA%E5%9C%96%202026-05-13%20%E4%B8%8B%E5%8D%883_53_09.jpeg" style="width: 600px; height: 405px;" /></p> <p><strong><span style="color:#B22222;">高風險漏洞的利用時間正在急速縮短</span></strong></p> <p>除了AI本身風險，王仁甫也指出，漏洞被利用的速度正在急速縮短。</p> <p>他表示，目前高風險漏洞平均128天內就可能遭到大量利用，且約3至4成的高風險漏洞很快就會出現攻擊程式。以CISA的KEV（Known Exploited Vulnerabilities）漏洞名單，幾乎都是已遭實際攻擊利用的重大漏洞。</p> <p>他認為，過去企業「延後修補」的策略已不再適用，未來漏洞治理必須向自動化與即時化發展，包括弱點掃描、Open Source元件盤點、自動化修補、AI供應鏈治理、API安全管理，都會成為企業必要能力。</p> <p><span style="color:#B22222;"><strong>歐盟CRA與AI Act提高企業的資安責任</strong></span></p> <p><img alt="" src="/sites/default/files/images/%E6%88%AA%E5%9C%96%202026-05-13%20%E4%B8%8B%E5%8D%884_00_41.jpeg" style="width: 600px; height: 412px;" /></p> <p>在法遵方面，王仁甫分析近年歐盟AI法案與資安法規發展，如歐盟AI Act、Cyber Resilience Act（CRA），其中CRA已正式實施，未來包含AI軟體、IoT設備與數位產品，都將受到更嚴格監管，例如高風險產品需第三方驗證、漏洞需強制通報、安全事件的揭露、軟體供應鏈需可追溯。</p> <p>他指出，CRA對開源軟體帶來巨大衝擊。過去開源開發者多半不需承擔產品責任，但未來若開源套件出現漏洞，可能也需負擔通報與安全義務。他認為，這可能改變整個Open Source生態與AI產業模式。</p> <p>歐盟AI Act建立高風險AI分類制度，對於資料、模型透明度、即時監控、安全性、風險管理都提出具體的要求，相較之下，王仁甫認為臺灣的AI治理制度相對鬆散，對於AI漏洞通報、高風險AI監管與供應鏈治理規範仍顯不足，臺灣的企業若未來要進入歐盟市場，需要提早建立符合國際規範的AI治理能力。</p> <p><strong><span style="color:#B22222;">未來AI治理的4大核心方向</span></strong></p> <p>王仁甫歸納AI治理歸的4大核心方向，分別是資料品質與完整性、AI透明性與可稽核性、偏誤與公平性控制、責任歸屬。</p> <p>他強調，企業未來不能只是「導入AI」，還必須建立完整的AI治理與資安管理機制，包括資料保護、權限控管、模型來源驗證，以及AI決策可追溯能力。如果做不到這些，AI帶來的風險可能將超過其帶來的效率與效益。</p> </div></div></div>
5/13 16:01作者蘇文彬https://www.ithome.com.tw/news/175767
Google更新Android安全與隱私功能，攔截假冒銀行來電並升級AI惡意App偵測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://blog.google/security/whats-new-in-android-security-privacy-2026/" target="_blank">Google週二（5/12）公布</a>Android安全與隱私功能更新，將導入假冒銀行來電攔截、惡意App即時行為偵測、APK下載前掃描、手機竊盜防護，以及更細緻的位置與聯絡人權限控制，主軸是以AI與可驗證機制強化Android裝置安全。</p> <p>其中，Google將推出已驗證金融來電（Verified Financial Calls），用來防範詐騙者偽造來電顯示、假冒銀行或金融機構。若使用者已安裝參與合作的銀行或金融App並登入，Android會在背景向該App確認來電真偽；若App確認銀行並未撥出該通電話，系統就會自動結束通話。銀行也可標記不會主動外撥的客服號碼，若詐騙者冒用這類號碼來電，Android會自動攔截。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0513-Android%20Security-600.png" style="width: 410px;" /></p> <p>Google表示，該功能將於未來幾週先在Android 11以上裝置推出，首波合作對象包括Revolut、Itaú與Nubank，今年稍晚再擴大至更多銀行與金融機構。</p> <p>不過，這項功能並非適用所有銀行來電。除了金融機構必須支援之外，使用者也必須安裝並登入該銀行App，Android才能在背景驗證來電真偽。因此，已驗證金融來電目前比較像是特定銀行與Android之間的防詐合作機制，而不是全面性的來電防詐系統。</p> <p>Google將升級既有的Live Threat Detection，新增針對簡訊轉發、無障礙覆蓋等可疑行為的警告。Android 17並將導入Dynamic Signal Monitoring，以即時監控App與系統的互動模式，可偵測變更圖示、從背景啟動、濫用輔助使用權限等惡意行為，還能動態推送新規則以應對新興威脅，預計於今年下半年上線。</p> <p>Android 17強化了防盜保護（Theft Protection）功能，允許使用者以生物辨識鎖定遺失裝置。即使小偷知道螢幕密碼，也無法關閉追蹤或重新存取手機。IMEI碼可直接顯示於鎖定畫面，方便拾獲者或執法單位辨識裝置並協助歸還。</p> <p>在隱私控制上，Android 17新增暫時位置權限（Temporary Location Access），使用者僅在特定App開啟時分享精確位置，關閉App後權限自動失效。另有聯絡人選擇器（Contact picker），當App需要聯絡人資訊時，系統會跳出選單，以手動勾選要分享哪一筆資料，而非交出整本通訊錄。</p> <p>其它Android 17新增的安全功能還包括OS驗證（Android OS verification）功能，能主動告知用戶裝置是否執行官方正式韌體；可因應未來量子計算威脅的後量子密碼（Post-Quantum Cryptography）；預設關閉2G網路以阻斷老舊協定漏洞；並會自動隱藏OTP驗證碼簡訊三小時，防止惡意App偷取，全面強化傳輸與認證安全。</p> </div></div></div>
5/13 16:15作者陳曉莉https://www.ithome.com.tw/news/175772
Claude瀏覽器延伸套件存在設計缺陷，攻擊者恐透過惡意套件挾持AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>AI資安公司LayerX指出，他們在Claude的Chrome延伸套件功能（Claude in Chrome）<strong><a href="https://layerxsecurity.com/blog/a-flaw-in-claudes-browser-extension-allows-any-extension-to-hijack-it/">發現資安弱點</a></strong>，使得其他延伸套件在無須取得特殊權限的情況下，可注入惡意指令並挾持Claude in Chrome的功能，擷取攻擊者想要的任何資料，並讓Claude的代理程式執行攻擊者指定的操作或任意指令。值得留意的是，4月27日LayerX向Anthropic通報，並獲得確認，Anthropic表示將發布新版延伸套件進行修補，然而在5月6日套件1.0.70版更新發布後，LayerX發現Anthropic修補不完整，且未徹底解決漏洞根本原因，使得他們找到的弱點仍舊能夠利用。對此，他們呼籲用戶應採取行動降低風險，像是引入延伸套件對頁面（extension-to-page）的身分驗證權杖（token）、限縮externally_connectable受信任的延伸套件名單內容等。</p> <p>針對這項弱點發生的原因，LayerX指出源自延伸套件程式碼的其中一條指令，功能是允許在瀏覽器執行的指令碼與Claude的大型語言模型（LLM）進行通訊，但由於沒有驗證執行指令碼的來源，因此，安裝在瀏覽器的任何延伸套件都能在沒有特殊權限的狀態下，向Claude in Chrome發出指令。此缺陷凸顯了許多AI工具面臨的根本問題，這些AI廠商過度擴展信任界限，忽視了基礎安全考量，為不法分子留下可利用的管道。LayerX將他們發現的漏洞命名為ClaudeBleed，目前該漏洞尚無CVE編號。</p> <p>究竟駭客能如何利用ClaudeBleed？LayerX指出，攻擊者可引誘使用者安裝零權限（zero-permission）的惡意延伸套件，然後在claude.ai注入指令碼，藉此對Claude in Chrome發送訊息，導致該套件觸發執行任意提示的現象，接著，攻擊者可透過審核迴圈來確認繞過使用者確認流程，並操縱DOM元件改變Claude的感知，最終能夠執行敏感的跨網站操作，過程完全不需要任何額外權限、無須使用者互動，也不需使用漏洞鏈。</p> </div></div></div>
5/13 12:35作者周峻佑https://www.ithome.com.tw/news/175761
Google發表以Gemini Intelligence為核心的全新筆電Googlebook
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>繼15年前推出Chromebook之後，<a href="https://blog.google/products-and-platforms/platforms/android/meet-googlebook/" target="_blank">Google本周二（5/12）正式發表全新筆電Googlebook</a>。有別於Chromebook以雲端為核心的設計理念，Googlebook從硬體到軟體全面以Gemini Intelligence為出發點，打造更個人化、更主動的AI筆電體驗。Google將與Acer、ASUS、Dell、HP及Lenovo等品牌合作推出首批Googlebook，預計於今年秋季正式上市。</p> <p><a href="https://googlebook.google/" target="_blank">Googlebook</a>搭載以Android技術為基礎的全新平臺，融合ChromeOS的瀏覽器優勢，其內部代號為Aluminium OS，正式名稱尚未出爐。它原生支援Google Play上的Android應用程式，並從底層深度整合Gemini智慧功能。這套系統的目標是讓筆電與Android手機無縫協作，使用者可直接在筆電上操作手機App或存取檔案，帶來統一的生態體驗。</p> <p>Googlebook內建名為Magic Pointer的全新游標功能。傳統游標只是一個箭頭，需要使用者自行點擊右鍵尋找選項；而Magic Pointer會主動判斷螢幕上的內容，自動提供建議。例如當使用者將游標指向電子郵件中的日期，系統會自動詢問是否要建立行事曆活動；若同時選取客廳照片與一張沙發圖片，游標能即時將兩者合成，讓使用者直接看見沙發擺放在家中的實際模樣。</p> <p>Googlebook也具備Create your Widget功能，使用者只要輸入簡單指令，例如「幫我把柏林旅行的所有資訊整理在桌面」，Gemini就會自動從網路、Gmail或日曆中找出航班、飯店、餐廳預訂及倒數計時，全部整理成一個小工具放在桌面上，無須手動設定。</p> <p>新筆電的其它功能還包括可讓使用者直接從筆電瀏覽Android手機檔案的Quick Access，以及能夠於筆電上操作手機程式的Cast my apps。</p> <p>首批Googlebook預計於今年秋天問世，Google目前尚未公布定價策略。相較於入門價百餘美元起跳的Chromebook，Googlebook強調高端工藝與頂級品牌合作，外界預期售價將高出許多。</p> </div></div></div>
5/13 13:54作者陳曉莉https://www.ithome.com.tw/news/175763
SAP公開自主企業布局，推動AI代理進入核心業務流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>SAP<strong><a href="https://news.sap.com/2026/05/sap-sapphire-sap-unveils-autonomous-enterprise/">發表</a><a href="https://www.sap.com/products/business-suite.html">自主企業（Autonomous Enterprise）</a></strong>布局，將企業AI產品分為平臺、應用套件與使用者體驗三個層次，分別對應SAP Business AI Platform、SAP Autonomous Suite與Joule Work，目標是讓AI代理進入核心業務流程。該發表也擴大Joule的角色，使其成為使用者以業務結果啟動流程、資料與AI代理的企業軟體操作入口。</p> <p>SAP Business AI Platform整合SAP Business Technology Platform、SAP Business Data Cloud與SAP Business AI，形成單一受治理環境。其核心元件SAP Knowledge Graph負責建立企業實體、流程與關係的結構化脈絡，讓AI代理能理解客戶SAP環境中的業務關聯，而不只是依文字提示回應使用者。SAP也提出Joule Studio，供開發者建立企業代理、應用程式與代理式工作流程。</p> <p>SAP也推出SAP Autonomous Suite，為既有SAP商業應用程式加入AI代理能力，使其可執行端到端流程。SAP表示，該方案將部署超過50個特定領域的Joule Assistants，涵蓋財務、供應鏈、採購、人力資源與客戶體驗，並由超過200個專門代理負責較細的任務。</p> <p>SAP還發表Joule Work，這是SAP把Joule推向企業AI操作入口的設計，讓使用者以任務或業務結果為中心操作SAP與非SAP系統，後端則由SAP的資料脈絡、工作流程與AI代理負責執行。依SAP規畫，Joule Work將支援桌面、行動與語音介面，並可跨SAP與非SAP系統運作。</p> <p>SAP也提出導入配套，包括設立1億歐元基金，協助其合作夥伴替客戶部署或擴充SAP的AI助理與代理。SAP另稱，新代理導向轉型工具可透過系統分析、程式碼修正、組態與測試自動化，讓企業將ERP搬遷至雲端時所需的轉換工作減少超過35%。</p> <p>合作方面，SAP也擴大與模型、雲端、資料與導入服務業者的合作，涵蓋Anthropic、AWS、Google Cloud、Microsoft、Mistral AI、Cohere、Nvidia、Palantir與Accenture等夥伴，支援基礎模型、資料整合、代理互通、安全執行環境與雲端ERP搬遷等需求。</p> </div></div></div>
5/13 13:55作者李建興https://www.ithome.com.tw/news/175760
Adobe針對10款應用系統發布5月更新，呼籲用戶應優先對電商平臺進行處理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Adobe於5月12日發布本月例行更新，修補10款應用程式及系統的資安漏洞，弱點數量總共有52個，與<strong><a href="https://www.ithome.com.tw/news/175076">上個月55個</a></strong>相當接近。本次修補的範圍，涵蓋Premiere Pro、After Effects、Illustrator，以及Adobe Commerce（Magento）等常見應用程式。其中值得留意的是，Adobe這次將<strong><a href="https://helpx.adobe.com/security/products/magento/apsb26-49.html">電子商務平臺軟體Adobe Commerce</a></strong>評為修補優先層級第二（Priority 2）的產品，呼籲用戶應儘速處理。</p> <p>值得留意的是，漏洞修補數量最多的產品也是Adobe Commerce。這次Adobe一共為該平臺修補15個漏洞，其中有10個被評為重大等級，這些漏洞又以阻斷服務（DoS）類型的最多，其次是安全功能繞過漏洞，其餘漏洞可能則被用於執行任意程式碼，或是寫入任何檔案。修補漏洞數量第二多的是<strong><a href="https://helpx.adobe.com/security/products/content-authenticity-sdk/apsb26-53.html">Content Authenticity SDK</a></strong>，共有14個漏洞，1個為重大等級、13個為重要（Important）等級。</p> <p>從CVSS風險評分來看，最危險的漏洞出現在<strong><a href="https://helpx.adobe.com/security/products/connect/apsb26-50.html">Adobe Connect</a></strong>，這次該公司共修補2個漏洞CVE-2026-34659、CVE-2026-34660，皆為重大等級，風險值分別為9.6、9.3。</p> </div></div></div>
5/13 10:04作者周峻佑https://www.ithome.com.tw/news/175748
蘋果針對旗下電腦、行動裝置、穿戴裝置發布作業系統26.5版更新，並為更多行動裝置修補通知服務漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>5月11日蘋果發布<strong><a href="https://support.apple.com/en-us/127110">iOS 26.5與iPadOS 26.5</a></strong>、<strong><a href="https://support.apple.com/en-us/127115">macOS Tahoe 26.5</a></strong>、<strong><a href="https://support.apple.com/en-us/127118">tvOS 26.5</a></strong>、<strong><a href="https://support.apple.com/en-us/127119">watchOS 26.5</a></strong>、<strong><a href="https://support.apple.com/en-us/127120">visionOS 26.5</a></strong>等一系列更新，修補旗下的行動裝置、電腦、電視盒、智慧手錶，以及混合實境（MR）裝置的資安漏洞，從弱點數量來看，macOS修補的漏洞最多，共有79個，iOS與iPadOS有61個居次，至於tvOS、watchOS與visionOS，分別修補了46、43、48個漏洞。</p> <p>這次蘋果也為舊版行動裝置與電腦發布更新，其中最受到關注的地方，就是先前為iOS 18與iOS 26用戶修補的<strong><a href="https://www.ithome.com.tw/news/175259">通知服務漏洞CVE-2026-28950</a></strong>，這次他們發布了<strong><a href="https://support.apple.com/en-us/127112">iPadOS 17.7.11</a></strong>、<strong><a href="https://support.apple.com/en-us/127113">iOS 16.7.16與iPadOS 16.7.16</a></strong>、<strong><a href="https://support.apple.com/en-us/127114">iOS 15.8.8與iPadOS 15.8.8</a>，為更多裝置修補這項弱點。此問題涉及</strong>被標記為刪除的通知訊息內容，可能會意外地保留在裝置裡，<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-28950">CVSS風險評為6.2分</a></strong>。</p> </div></div></div>
5/13 11:25作者周峻佑https://www.ithome.com.tw/news/175755
Google揭露Gemini Intelligence品牌，將Gemini深度整合至Android裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google週二（5/12）舉辦了<a href="https://blog.google/products-and-platforms/platforms/android/android-show-io-edition-2026/" target="_blank">The Android Show: I/O Edition 2026</a>，公布Android生態的各項新功能，也替預計於下週舉行的Google I/O熱身，本週先行宣布了全新的Gemini Intelligence品牌，全新的AI筆電Googlebook，更新了Android安全功能，以及Google DeepMind所研究的、適用於AI時代的游標功能。</p> <p>如同<a href="https://www.apple.com/tw/apple-intelligence/" target="_blank">蘋果</a>對Apple Intelligence的定位，<a href="https://blog.google/products-and-platforms/platforms/android/gemini-intelligence/" target="_blank">Gemini Intelligence</a>也是把生成式AI定位為作業系統層級AI能力，將Gemini擺進Android、Chrome、Googlebook、車載、穿戴與眼鏡，讓AI可跨App理解畫面與代辦任務，並自今年夏天起分階段推出。</p> <p>率先導入Gemini Intelligence的裝置包括最新的三星Galaxy與Google Pixel手機，今年稍晚即會擴展至其它Android裝置，涵蓋智慧手錶、汽車、眼鏡及筆電。</p> <p>Gemini Intelligence的主要任務是協助使用者自動化繁瑣的任務，它並非單一AI App，而是把Gemini的代理人能力整合到Android裝置層，讓AI自然滲入瀏覽、輸入、填表、App操作與小工具等日常使用情境中。使用者未必會清楚感覺自己正在啟用AI，而是會感受到裝置更能理解脈絡並主動完成任務。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0513-Gemini%20Intelligence-600(1).png" style="width: 600px;" /></p> <p>例如協助使用者預訂健身課程的座位，於Gmail中找到課程大綱，將所需要的教材添加至購物車。或是看懂手機畫面或圖片上的內容，並替使用者執行跨App動作，例如在筆記App中有一長串的購物清單時，使用者只需長按電源鍵，就能叫Gemini把清單上的物品全部加入外送購物車。也能在看到一個有趣的旅遊傳單時，直接拍照並請Gemini尋找「適合6人的類似旅行團」。</p> <p>從6月底起，Android版Chrome將導入Gemini瀏覽助理，可協助使用者研究、摘要與比較網頁內容，並透過Chrome自動瀏覽功能代為處理預約、保留停車位等瑣事。</p> <p>結合Gemini的自動填充功能，則可協助使用者於行動裝置上自動填寫複雜的表格。Android上的Gboard原已支援語音轉文字，但Google指出，口語常有停頓、重複與修正，未必適合直接變成書面訊息；因此Gemini Intelligence新增Rambler功能，可在使用者自然說話後，自動擷取重點並整理成精簡文字，也支援多語言混用，讓訊息更流暢。</p> <p>Gemini Intelligence也支援自訂小工具Create My Widget，使用者只要以自然語言描述需求，就能產生個人化小工具。例如要求每週推薦3道高蛋白備餐食譜，或建立只顯示風速與降雨機率的天氣小工具，並可放到Android主畫面或Wear OS手錶上。</p> </div></div></div>
5/13 11:28作者陳曉莉https://www.ithome.com.tw/news/175756
Best Western Hotel遭駭訂房資料外洩長達6個月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>知名飯店集團貝斯特韋斯特（Best Western Hotel，BWH）本週通知客戶，去年10月發生資安事件，致使住客預約資料遭駭客存取。</p> <p>BWH總部位於亞利桑納州，全世界80多個國家與地區有4200多家飯店經特許方式加入以Best Western營運，旗下有Best Western Hotels & Resorts、WorldHotels、Sure Hotels等其他品牌。</p> <p><a href="https://www.reddit.com/r/bestwestern/comments/1t7dg8d/security_breach_of_bwh_booking_portal/" target="_blank">BWH本週發送電子郵件告知資料外洩事件</a>。該公司在今年4月22日發現儲存特定客戶預約資料的網頁應用有非授權活動。該公司立即將網頁應用下線，註銷駭客的存取權，並偕同外部資安業者回應、強化安全並啟動調查。</p> <p>根據調查，攻擊者存取了部份客戶資料，包括姓名、電子郵件信箱、電話號碼、住家地址及其他訂房資料（如訂單編號、住房日期和特殊要求）。存取資料期間涵括2025年10月14日到2026年4月22日。但飯店方表示，客戶的支付及其他財務資料未受影響，同時也呼籲客戶小心來路不明的郵件和訊息。</p> <p>BWH似乎尚未向官方報告資訊外洩事件，故受影響人數不得而知。但半年來應該已有用戶因資料外洩受害。早在今年二月<a href="https://www.reddit.com/r/Scams/comments/1rfflye/uk_best_western_hotels_phishing_scam/" target="_blank">有英國用戶接到</a>冒充Best Western Hotels的釣魚信件，信中提供了用戶全名、訂房編號和入住/退房期間。</p> <p>上個月知名訂房網站<a href="https://www.theregister.com/security/2026/05/11/best-western-hotels-confirms-web-app-data-breach/5238020" target="_blank">Booking.com也被駭</a>，導致客戶個資外洩。</p> </div></div></div>
5/13 11:43作者林妍溱https://www.ithome.com.tw/news/175757
SAP修補S/4HANA與Commerce Cloud重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>5月12日SAP<strong><a href="https://support.sap.com/en/my-support/knowledge-base/security-notes-news/may-2026.html">發布本月例行更新（Security Patch Day）</a></strong>，修補15個資安漏洞，其中有兩項被評為重大等級，特別值得留意。</p> <p>這些漏洞是CVE-2026-34260與CVE-2026-34263，兩者的CVSS風險評分皆為9.6（滿分10分）。其中，<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-34260">CVE-2026-34260</a></strong>存在於SAP S/4HANA（SAP Enterprise Search for ABAP），為SQL注入漏洞，未經身分驗證的攻擊者可透過使用者控制的輸入，注入惡意的SQL指令（SQL Statement），此時該應用程式就會將惡意輸入串接成SQL查詢，並在未經適當驗證與處理的情況下，傳送至底層資料庫。一旦成功利用，攻擊者就有機會存取資料庫敏感資訊，或是導致S/4HANA當機，嚴重影響此應用程式的機密性與可用性。</p> <p>另一個重大漏洞<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-34263">CVE-2026-34263</a></strong>影響Commerce Cloud，起因是Spring Security元件的配置不當，未經身分驗證的攻擊者能上傳惡意組態及注入程式碼，導致任意程式碼執行，嚴重影響機密性、可用性與完整性。</p> </div></div></div>
5/13 08:49作者周峻佑https://www.ithome.com.tw/news/175744
微軟發布5月份例行更新，修補137個資安漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟於5月12日發布<strong><a href="https://msrc.microsoft.com/update-guide/releaseNote/2026-May">本月例行更新（Patch Tuesday）</a></strong>，總共公開137個由該公司登記CVE編號的漏洞，數量較<strong><a href="https://www.ithome.com.tw/news/175055">上個月</a></strong>的165個有所減少。若是加上該公司修補的第三方元件漏洞，總數將達到265個。</p> <p>值得留意的是，這些漏洞當中，有13個微軟認為很有可能會成為駭客利用的目標，較為值得留意。其中權限提升類型的漏洞占大多數，包括CVE-2026-33835<strong>、</strong>CVE-2026-33837、CVE-2026-33840、CVE-2026-33841<strong>、</strong>CVE-2026-35416、CVE-2026-35417、CVE-2026-35435、CVE-2026-40369、CVE-2026-40397、CVE-2026-40398、CVE-2026-41103，影響Windows的Cloud Files Mini Filter Driver、TCP/IP、Windows Win32k（Windows核心模式驅動程式）、Ancillary Function Driver for WinSock、通用事件記錄檔案（CLFS）驅動程式、遠端桌面服務、Azure AI Foundry，以及用於Jira與Confluence的微軟單一登入（SSO）外掛程式。另外兩個是Word遠端程式碼執行漏洞CVE-2026-40361、CVE-2026-40364。</p> <p>上述很可能會遭到利用的漏洞當中，有4項被評為重大等級，這些漏洞是CVE-2026-35435、CVE-2026-40361、CVE-2026-40364、CVE-2026-41103。根據CVSS風險評分，最危險的是CVE-2026-41103，出現在用於Jira與Confluence的微軟單一登入（SSO）外掛程式，風險值為9.1。</p> <p> </p> </div></div></div>
5/13 09:54作者周峻佑https://www.ithome.com.tw/news/175747
Fortinet修補FortiSandbox、FortiAuthenticator重大RCE漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>防火牆業者Fortinet本週發布軟體更新，分別修補旗下產品FortiSandbox和FortiAuthenticator的遠端程式碼執行（RCE）漏洞。</p> <p>在FortiSandbox方面，最新漏洞是<a href="https://www.fortiguard.com/psirt/FG-IR-26-136" target="_blank">CVE-2026-26083</a>，影響FortiSandbox、FortiSandbox Cloud及FortiSandbox PaaS，為一不當的全域授權（global authorization）漏洞。攻擊者可藉由發送HTTP請求在這些裝置上執行未授權程式碼或指令。受影響產品為FortiSandbox 4.4/5.0、FortiSandbox Cloud 5.0、23、24、FortiSandbox PaaS 23.1/23.3/23.4、22.1/22.2、21.3/21.4及FortiSandbox PaaS 4.4/5.0。</p> <p><a href="https://fortiguard.fortinet.com/psirt/FG-IR-26-128" target="_blank">FortiAuthenticator</a>方面，則為API端點存取控制不當漏洞CVE-2026-44277，該漏洞可讓未經驗證的攻擊者經由發送變造請求，執行未授權的程式碼或指令。受影響產品為FortiAuthenticator 6.5、6.6、8.0.0/8.0.2</p> <p>CVE-2026-26083為Fortinet產品安全團隊發現。CVE-2026-44277也是Fortinet內部稽核中發現。兩漏洞風險值皆高達9.1。Fortinet未說明是否有漏洞濫用現象。</p> <p>Fortinet已發布最新軟體版本，呼籲用戶儘速更新。最新漏洞不影響FortiAuthenticator Cloud，用戶無需動作。</p> </div></div></div>
5/13 10:32作者林妍溱https://www.ithome.com.tw/news/175749
勒索軟體組織Nitrogen疑似駭入鴻海取得8TB、上千萬份檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>媒體報導，鴻海本月稍早遭勒索軟體組織Nitrogen攻擊，被駭客竊走高達8TB、1100萬份生產及客戶檔案。</p> <p><a href="https://cybernews.com/security/foxconn-data-breach-apple-nvidia-partner/" target="_blank">Cybernews</a>首先報導，在5月初美國廠區發生嚴重IT問題後，勒索軟體Nitrogen操作者本週在其暗網網站將鴻海列為受害者。駭客宣稱取得的檔案包括英特爾、蘋果、戴爾電腦（Dell）、Nvidia的機密指令、專案和設計草圖，以及其他眾多檔案。</p> <p>駭客並公佈檔案擷圖以證明所言。擷圖分析顯示，當中包含硬體元件描述、工程結構圖、投資文件和財務作業文件部分。公開的元件描述檔案顯示是為Google生產的產品，但無法證實有和蘋果、戴爾或Nvidia相關的文件。</p> <p>巧合的是，兩週前鴻海位於美國威斯康辛州芒特普萊特山（Mount Pleasant）的園區發生網路斷線事件。事件發生於5月1日凌晨，園區產線無法運作，報導引述員工說，所有產線都被迫停工。而辦公室員工也無法連網，被要求使用個人行動熱點來上網工作。事件持續到5月第一個週末。</p> <p><a href="https://www.tmj4.com/news/local-news/in-your-community/racine-county/network-outage-halts-production-impacting-workers-at-foxconns-mount-pleasant-campus" target="_blank">鴻海向媒體證實</a>美國園區發生「IT網路問題」。鴻海已立即啟動應變措施確保產線持續、訂單交付以及資料安全。鴻海當時表示IT系統陸續恢復，產線整體運作也維持穩定。</p> <p>不確定鴻海美國廠區停止運作和資料外洩事件的關聯性，但IT大規模斷線通常和勒索軟體有關。去年秋天英國車廠<a href="https://www.ithome.com.tw/news/171866" target="_blank">Jaguar Land Rover疑似遭勒索軟體攻擊</a>，造成二座工廠停工長達一個月。</p> <p><a href="https://blog.barracuda.com/2025/11/07/nitrogen-ransomware--from-staged-loader-to-full-scale-extortion" target="_blank">資安廠商相信</a>Nitrogen崛起於2023年，以施行雙重勒索（double-extortion）聞名。它會先加密受害者電腦檔案，竊取資訊來勒索受害者。若受害者不願支付贖金，就威脅公開資料以逼迫受害者就範。該組織攻擊對象涵括金融、製造、或專業服務業，但其成員身分、活動區域，及和其他組織的關係則眾說紛耘，有人認為和BlackCat/ALPHV有關。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 編按 </span></strong></span> <span style="color:#696969;">5月12日晚上，鴻海公司在公開資訊觀測站發布重訊，提供有關集團北美部分廠區遭網路攻擊說明，指出資安團隊已啟動應變機制，目前受影響廠區之生產營運均維持正常。</span></p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0513-%E9%B4%BB%E6%B5%B7%E9%87%8D%E8%A8%8A_0512.png" style="width: 600px;" /></p> </div></div></div>
5/13 09:38作者林妍溱https://www.ithome.com.tw/news/175745
Salesforce推出Agentforce Operations，以AI代理自動化企業後臺流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>企業軟體與CRM服務業者<a href="https://www.salesforce.com/news/stories/agentforce-operations-announcement/" target="_blank">Salesforce推出Agentforce Operations</a>，將AI代理從客戶與員工體驗等前臺互動，進一步延伸到支撐企業營運的後臺流程。這項產品主打以專業的AI代理處理手動、重複性任務，<wbr></wbr>包括流程協調、資料驗證、合規檢查、核准追蹤，<wbr></wbr>以及跨系統資料處理。</p> <p>Salesforce指出，許多企業雖已改善前端使用體驗，但後臺仍仰賴人員在不同系統之間切換、複製資料到試算表，或透過電子郵件追蹤進度，使原本數小時可完成的作業拖延至數天甚至數週。該公司宣稱，Agentforce Operations可讓稽核、入職等流程週期時間縮短50%至70%，手動資料輸入減少80%。</p> <p>這項產品與Salesforce先前收購企業流程自動化業者Re<wbr></wbr>grello有關，因為它建立在該公司的技術基礎之上。Agentforce Operations可跨電子郵件、ERP與其他業務系統執行任務，並預計6月支援Slack與Microsoft Teams等協作工具，不只是把工作分派給人員，而是讓AI代理在特定規則與流程藍圖下完成工作。</p> <p>在應用情境上，Salesforce舉例指出，製造商可用AI代理協調訂單履約，檢查庫存、管理核准並安排現場安裝；銀行可用於核貸流程，擷取報稅資料、追蹤缺漏簽名，並依照法規遵循要求驗證資料；保險業則可用於理賠受理與驗證，加速彙整完整案件資料。而在IT服務情境中，AI代理也可協調多個代理，完成身分驗證、權限確認與第三方應用程式存取權限開通。</p> <p>為降低企業導入門檻，Agentforce Operations提供流程藍圖功能，可將非結構化文件或流程圖轉換為數位藍圖，也提供超過30個現成藍圖，涵蓋發票稽核、入職與採購訂單重新排程等常見工作。Salesforce也強調，每項AI行動都會記錄並對應回流程藍圖，形成稽核軌跡，讓IT與業務團隊可追蹤代理行為。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0513-Agentforce%20Operations-blueprints_2.png" style="width: 600px;" /></p> <p>不過，導入AI代理並不代表企業可直接把所有流程交給AI。<a href="https://venturebeat.com/orchestration/salesforce-launches-agentforce-operations-to-fix-the-workflows-breaking-enterprise-ai" target="_blank">VentureBeat</a>報導指出，若企業原本流程設計不完整或過度依賴人員經驗，AI代理依循這樣的架構執行時，可能放大既有問題，因此企業仍需重新檢視流程設計、明確責任歸屬與治理機制。 </p> </div></div></div>
5/13 09:56作者王珮瑤https://www.ithome.com.tw/news/175746
微軟警告Dirty Frag出現疑似遭到利用的跡象
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>5月8日資安研究人員Hyunwoo Kim<strong><a href="https://www.ithome.com.tw/news/175646">公開資安漏洞Dirty Frag</a></strong>，此漏洞存在於Linux核心，為本機權限提升（LPE）弱點，攻擊者有機會透過低權限帳號取得root權限，而且，漏洞的影響範圍<strong><a href="https://www.ithome.com.tw/news/175672">涵蓋至少6種Linux發行版</a></strong>，這樣的特性，讓人很容易想到<strong><a href="https://www.ithome.com.tw/tags/copy-fail">4月底公布的Copy Fail（CVE-2026-31431）</a></strong>，因此也有研究人員將Dirty Frag稱為Copy Fail 2。值得留意的是，雖然Kim揭露此事的時候指出，網路上有人已公布概念驗證（PoC）程式碼，不過，微軟透露，他們發現疑似有實際利用的情形。</p> <p>微軟在同一天<strong><a href="https://www.microsoft.com/en-us/security/blog/2026/05/08/active-attack-dirty-frag-linux-vulnerability-expands-post-compromise-risk/">發布部落格文章</a></strong>指出，他們看到與su有關的權限提升活動，過程裡可能使用了Dirty Frag或Copy Fail。駭客先建立外部SSH連線，並產生互動式的Shell，接著他們執行ELF二進位檔案，隨即透過su進行權限提升。在成功取得權限後，駭客竄改與GLPI LDAP身分驗證有關的特定檔案，並針對GLPI與系統組態進行偵察，然後檢查存在漏洞的指定檔案。</p> <p>接著，駭客會試圖存取機敏資料，並與PHP連線階段（session）進行互動，先刪除及抹除部分連線階段檔案，再存取剩下的內容。微軟強調，雖然Dirty Fail與Copy Fail存在共通點，都是操縱Linux分頁快取的行為進行提權，但Dirty Fail引入更多的攻擊途徑，使得利用漏洞的成功機會與可靠度，又較Copy Fail更上一層樓。</p> </div></div></div>
5/12 16:22作者周峻佑https://www.ithome.com.tw/news/175736
奇偶科技影像監控管理軟體系統存在重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>4月27日奇偶科技（GeoVision）<strong><a href="https://dlcdn.geovision.com.tw/TechNotice/CyberSecurity/2026/Security_Advistory_GV-VMS-2026-04-01.pdf">發布資安公告</a></strong>，指出影像監控管理軟體系統GV-VMS V20存在資安漏洞CVE-2026-42369、CVE-2026-42370、CVE-2026-7372，影響20.0.2以下的版本，攻擊者只要發送特製的HTTP請求，就有機會在未經身分驗證的情況下，觸發漏洞執行任意程式碼，該公司發布20.1.0版修補。</p> <p>值得留意的是，雖然上述公告未說明細節，但實際上這些漏洞都相當危險，根據美國國家漏洞資料庫（NVD）5月3日公布的資料，最嚴重的是CVSS風險達到滿分10分的<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-42369">CVE-2026-42369</a></strong>，起因是特定的端點採用自己的身分驗證機制，由於身分驗證的過程未檢查存取邊界，只要解碼後的字串超過緩衝區大小，就有可能造成堆疊溢位。奇偶科技指出，由於攻擊者可完全控制資料的存取，再加上缺乏位址空間配置隨機化（ASLR）的記憶體保護機制，想要利用該漏洞相當容易。</p> <p>另外兩個漏洞<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-42370">CVE-2026-42370</a></strong>、<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-7372">CVE-2026-7372</a></strong>，風險值被評為9.8、9.0，皆為重大等級的資安漏洞，兩者都是WebCam伺服器登入功能存在堆疊溢位漏洞，攻擊者可藉由發送特製HTTP請求而加以利用。</p> </div></div></div>
5/12 17:28作者周峻佑https://www.ithome.com.tw/news/175739
【臺灣資安大會直擊】台新新光資安主管：資安預算不等於資安部門預算，企業應重新定義資安投資範圍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>「資安預算應占IT預算多少比例？」，相信是許多人關心的資安治理議題，也是企業資安長爭取資安預算的根本。台新新光金控資訊安全部資深協理方振維在今年臺灣資安大會中分享他的看法，他認為資安預算比例存在一個根本問題，不同企業對「什麼是資安」的定義並不一致，導致許多數字根本無法直接比較。</p> <p><strong>他表示，企業真正需要思考的，不只是資安部門編列多少經費，而是哪些IT與基礎設施投資，本質上與資安風險治理有關。</strong></p> <p><span style="color:#B22222;"><strong>資安預算不只是資安部門的預算</strong></span></p> <p>方振維表示，目前許多企業在計算資安預算時，往往只統計資安部門直接掌握的項目，例如防火牆、EDR或SOC平臺等，實際上，企業大量與資安有關的支出，經常被歸類在IT、機房、網管或基礎設施預算之中。</p> <p>他舉例，包括AD（Active Directory）、NAC（Network Access Control）、備份系統、機房UPS、發電機、零信任架構、微分段（Micro Segmentation），甚至EOS／EOL設備汰換等，這些都和資安風險高度相關。</p> <p>「不是資安單位的預算，才叫資安預算」，方振維說。</p> <p>他指出，許多企業在資安預算比例上存在極大的差異，關鍵原因在於定義不同。有些企業將防火牆列入資安，有些則是列入網管；有些將備份系統視為IT基礎設施，但也有企業認為備份與勒索軟體防護密切相關，因此應納入資安範疇。</p> <p>因此，即使同樣宣稱「資安預算占IT預算10%」，不同企業各自涵蓋的內容也可能完全不同。</p> <p><span style="color:#B22222;"><strong>回歸CIA本質</strong></span></p> <p>方振維認為，企業談資安時，不應只聚焦在駭客入侵，而是應重新回到CIA三大核心，也就是機密性（Confidentiality）、完整性（Integrity）與可用性（Availability）。</p> <p><img alt="" src="/sites/default/files/images/1(112).jpg" style="width: 600px; height: 331px;" /></p> <p>他特別點出，許多企業多注意機密性、完整性，但是長期忽略Availability的重要性。</p> <p>例如勒索軟體攻擊，真正影響的就是系統可用性；而備份系統、機房供電、UPS與發電機等，雖然常被視為IT維運項目，但本質上都與系統是否能持續運作有關，因此也屬於資安治理的一部分。</p> <p>他以企業機房為例指出，即使不是遭到駭客攻擊，只要UPS故障導致系統停擺，對客戶而言結果並沒有差別。「客戶不會管你是自殺還是他殺，他只知道系統不能用」。</p> <p><span style="color:#B22222;"><strong>資安不是煞車，而是企業的安全氣囊</strong></span></p> <p>對於企業內部常將資安視為阻礙營運的部門，方振維也提出不同看法。他認為，資安不應是阻止業務發展的「煞車」，而更像是汽車的安全氣囊。</p> <p>許多資安措施，例如VPN、VDI跳板、多因素驗證、微分段與權限控管，確實會影響便利性，使得資安部門容易成為內部抱怨對象。但企業若只追求方便，而忽略風險控管，最終付出的代價可能更高。</p> <p>「離公司最近的方法，就是把網路拔掉、電腦關機，但這不是企業真正要的」，他說。</p> <p>因此，企業應在營運效率與風險控管之間取得平衡，而不是追求所謂「絕對安全」。</p> <p><span style="color:#B22222;"><strong>偵測能力比完美防禦更重要</strong></span></p> <p>方振維也認為，企業不應幻想能完全阻止駭客入侵，而應假設攻擊者已經進入內部環境。相較於單純強化邊界防禦，他更強調EDR/XDR、行為監控、Log分析、偵測與回應事件、事件追蹤的重要性。</p> <p>他指出，許多企業真正的問題並不是遭駭，而是「駭客待在內部很久卻沒有被發現」。</p> <p>此外，他也提到，現今勒索軟體攻擊往往會優先鎖定備份系統，因此企業即使有備份，也未必代表具備完整復原能力。</p> <p>他認為，企業與其把資源過度投入在災後救援，不如更早投入在防禦、偵測與復原能力建設上。</p> <p><span style="color:#B22222;"><strong>三層式資安預算架構</strong></span></p> <p>針對企業該如何盤點資安投資，方振維提出「三層式資安預算」概念。第一層是直接資安預算，包括防火牆、EDR、IAM與SOC等直接與CIA相關的資安工具；第二層是與Availability有關的預算，例如備份、機房、UPS、備援中心與供電系統等。</p> <p>第三層則是間接資安預算，包括AD、變更管理、EOS／EOL設備汰換、零信任架構與微服務等，雖然不一定由資安部門主導，但與資安風險高度相關。</p> <p><img alt="" src="/sites/default/files/images/2(85).jpg" style="width: 600px; height: 364px;" /></p> <p>他強調，企業真正應該關注的，不是單純追求資安占IT預算的比例，而是能否透過一致的定義與長期追蹤，理解風險變化與投資方向是否合理。</p> </div></div></div>
5/12 18:38作者蘇文彬https://www.ithome.com.tw/news/175742
【臺灣資安大會直擊】醫院OT資安不能照辦公室IT那套！應先盤點、縮小範圍，再談防護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在今年度臺灣資安大會醫療資安論壇上，擁有近30年醫療儀器工程資歷的張韶良，拋出一個問題：當IT要求密碼長度從4位、8位一路拉高到16位，還得同時包含英文、數字與符號，這套資安規則搬進醫療現場，行得通嗎？</p> <p>他描述一個場景：當醫護正在搶救病人，醫療儀器突然要求輸入密碼登入，「這有可能嗎？不可能。」因為，「在醫療儀器界，救命最重要。」辦公室IT的資安邏輯，沒辦法直接搬進病房。</p> <p>在他看來，醫院要真正做好OT（Operational Technology，營運技術）資安，第一步不是每臺設備都加裝防火牆，也不是直接套用辦公室的資安規範，而是先完成資產盤點、設備分類與網路盤查，從原本動輒上萬臺設備中，找出真正需要優先保護的邊界設備與控制系統，再進行安全管控。他也提醒，資安法屬於通法，醫療器材管理法才是醫療儀器的專法，當兩者有衝突，仍應以專法優先。</p> <h2><strong>IT講究機密性，醫療OT更重視「可用性」</strong></h2> <p>張韶良目前擔任亞東紀念醫院、秀傳醫療體系與羅東博愛醫院醫工顧問，同時也是中華民國生物醫學工程學會資安委員會主委。他花了不少篇幅解釋IT與OT的本質差異，因為在他看來，這個誤解，正是醫院推動OT資安最大的阻力。</p> <p>他指出，傳統IT資安遵循CIA三原則，也就是機密性（Confidentiality）、完整性（Integrity）與可用性（Availability），其中多數IT系統，常把機密性放在第一順位，例如透過多因子驗證、複雜密碼、閒置逾時登出等機制，確保資料不被未授權存取。</p> <p><img alt="" src="/sites/default/files/images/CIA.JPG" /></p> <p>但在OT環境裡，排序並不相同。「在OT的世界，可用性最大。」</p> <p>張韶良指出，對醫療現場而言，設備能不能持續運作，比能不能登入更重要。當資訊系統發生異常時，設備至少必須先能用，才能維持臨床診療不中斷。</p> <p>他也給了一個簡單的判斷框架：在IT世界，密碼是門神；但在OT世界，若過度要求密碼，反而可能變成擋住救命的牆。醫療OT的核心追求，是持續營運（Business Continuity），而不是存取控制。</p> <h2><strong>病安不等於資安，高病安設備不一定有高資安需求</strong></h2> <p>除了IT與OT的差異，張韶良也特別澄清另一個醫療圈常見的誤解：病人安全（Safety）並不等於資訊安全（Security）。</p> <p>他解釋，醫療領域談的Safety，指的是設備本身設計、故障或使用過程中可能對病人造成的風險；Security則是來自外部惡意攻擊，例如駭客入侵、未授權存取或惡意操控。</p> <p>「高病安不等於高資安。」張韶良說。</p> <p>他舉例，像內視鏡屬於高病安風險設備，因為會直接侵入人體；但如果設備本身沒有電腦，也沒有網路介面，資安風險未必高。反過來，一臺接上院內網路的行政電腦，即使與病人沒有直接接觸，也可能因為暴露在網路環境中，而成為更高的資安風險來源。</p> <h2><strong>做好醫院OT資安，第一步是盤點、縮小範圍</strong></h2> <p>談到實務落地，張韶良認為，醫療儀器OT資安最大的迷思，就是認為每一臺設備都要做同樣等級的防護。</p> <p>但真正的第一步，恰恰是先盤點、縮小範圍。</p> <p>他指出，衛福部目前定義的「資安列管醫療儀器」有4個條件：設備不只要位於院區內，還必須具備院內網路或網際網路連線能力、具網路位址追蹤性（非DHCP），並且需要與醫療資訊系統（HIS）、影像儲傳系統（PACS）等醫療IT系統交換資料或上傳資訊，才屬於優先列管的範圍。</p> <p><img alt="" src="/sites/default/files/images/%E5%88%97%E7%AE%A1.JPG" /></p> <p>透過這些條件篩選，一家醫學中心原本超過2萬臺設備，可以先縮減到約200臺；再從中找出真正負責資料交換或設備控制的核心節點，最後真正需要優先防護的，往往只剩10到20臺。</p> <h2><strong>真正要保護的是邊界主機，不是每一臺終端設備</strong></h2> <p>那這10到20臺設備，究竟是什麼？</p> <p>張韶良指出，它們通常不是病房裡每一臺超音波或監測設備本身，而是位於網路邊界、負責對外交換資料的邊界主機，或是負責管理多臺終端設備的控制系統。</p> <p><img alt="" src="/sites/default/files/images/%E9%82%8A%E7%95%8C%E4%B8%BB%E6%A9%9F%E8%88%87%E6%8E%A7%E5%88%B6%E7%B3%BB%E7%B5%B1%20(1).JPG" /></p> <p>例如，在加護病房裡，一套中央監測系統可能同時串接數十張病床，但真正把資料上傳到院內資訊系統的，往往只有中央主機；電腦斷層掃描（CT）、MRI等大型影像設備，也通常由單一控制主機整合影像與診療資料，再上傳到PACS或HIS。</p> <p>張韶良用老鷹抓小雞比喻：「當老鷹要抓小雞的時候，是誰在幫它擋？是母雞在幫它擋。」</p> <p>換句話說，真正該優先強化的，是這些資料出口與控制節點，而不是讓每一臺醫療儀器，各自承擔相同的防護成本。</p> <h2><strong>資安法是通法，醫療器材管理法才是專法</strong></h2> <p>在法規架構上，張韶良也提醒，醫療OT和一般企業IT最大的不同之一，在於它不只受《資通安全管理法》規範，還同時受到《醫療器材管理法》等專法約束。</p> <p>「當通法與專法衝突的時候，要以專法為優先。」他說。</p> <p>換句話說，即使IT團隊熟悉資安法的治理框架，也不代表能直接把同一套邏輯套用到醫療儀器上，因為醫療設備本身還有另一套專屬的法規、驗證與風險管理機制。</p> <p>張韶良指出，衛福部目前將醫院資通系統大致分成三類進行管理，分別是一般資訊系統（IT）、醫療儀器系統（Medical OT），以及水電、消防、門禁、電梯等其他支援設施。三類系統各有不同的風險評估方式與防護要求，第一步都必須先完成資產盤點與可視化。</p> <p>在治理流程上，醫院也必須依照資安法要求落實PDCA循環，也就是年初提出資安維護計畫，年底提交執行成果，若期間發生資安事件，還必須同步完成通報與後續改善。</p> <p><img alt="" src="/sites/default/files/images/pdca.JPG" /></p> <p>此外，醫院也會依規模與角色被賦予不同責任等級，其中醫學中心多被列為A級，重度責任醫院與區域教學醫院則多屬B級，對應不同等級的防護要求。</p> <p>張韶良也提到，衛福部針對醫療領域制定的資通系統資安防護基準，內容涵蓋10個控制構面、36個控制目標，以及78項控制措施，相較一般IT常用的附表十，多了3個控制構面，內容涵蓋網路架構、識別鑑別、營運持續，以及系統通訊防護等更貼近醫療OT場域的控制要求。</p> <p>除了設備本身，近年法規修正的另一個重點，則是委外廠商管理。張韶良透露，資安署與衛福部近年盤點資安事件後發現，不少問題與委外人員管理有關，因此今年後續的稽核重點，預計也會朝這個方向加強。</p> <h2><strong>最後建議：先規畫網路，再談設備防護</strong></h2> <p>談到實務建議，張韶良最後將重點放在網路治理。</p> <p>他認為，不需要每臺儀器各加一套防火牆。若20臺設備各花3萬元加裝防火牆，光設備成本就超過60萬元，後續還得持續維護防火牆規則、韌體版本與稽核設定，管理成本也會愈來愈高。</p> <p>相較之下，若從全院視角重新規畫網路架構，透過網路分段、OT網域隔離，以及邊界設備集中治理，往往只需10多萬元，就有機會達到更好的防護效果。</p> <p>「網路規畫好，IT、OT不煩惱。」在張韶良看來，醫療OT資安沒有絕對標準，也不是花錢就能解決，但只要從正確的地方開始，醫院就有機會用有限資源，把真正的高風險節點先守住。</p> <p></p> </div></div></div>
5/12 17:24作者王若樸https://www.ithome.com.tw/news/175738
【臺灣資安大會直擊】酷澎臺灣資安長陳浩維宣布：酷澎首個公開版漏洞獎勵計畫，並揭露背後的戰略藍圖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>你敢不敢讓自家的產品、系統或服務，公開讓全世界的白帽駭客，進行漏洞回報呢？跨境電商酷澎（Coupang）臺灣暨日本資安長陳浩維日前（5月6日）在「臺灣資安大會CyberSec 2026」的大會演講中，首度公開酷澎臺灣將與全球規模最大的漏洞通報平臺HackerOne合作消息，推出「公開版漏洞獎勵計畫」（Public Bug Bounty Program），陳浩維說：「這不只是臺灣第一個與HackerOne的合作計畫，也是酷澎全球首發合作專案。」</p> <p>陳浩維也在臺灣資安大會現場，針對先前韓國酷澎因為內部前中國籍員工外洩客戶個資，有20萬名臺灣客戶受到牽連一事，正式對大眾鞠躬道歉。</p> <p>除了表達歉意，他強調，酷澎臺灣近兩年積極和數位發展部合作，不論從物流隱碼、Passkey技術導入，到零售與旅宿業情資分享中心（R-ISAC）的倡議，也同時積極投入臺灣資安人才培育，以及支持臺灣資安社群運作。</p> <p>陳浩維認為，產業可能有競爭關係，但面對資安這件事情上，唯一的敵人就是攻擊者，「我們都是Team Taiwan，One Team，One Fight。」他說。</p> <h2><strong>臺灣酷澎與HackerOne合作，臺灣首例也是酷澎全球首例</strong></h2> <p>全球最具規模的漏洞回報平臺HackerOne，長期與財星五百大企業及政府機關合作，協助企業建立有組織、有獎勵機制的資安漏洞研究生態。不過，在臺灣，從未有企業與HackerOne合作推出「公開版漏洞獎勵計畫」（Public Bug Bounty Program）——開放所有資安研究人員皆可參與、公開透明的漏洞回報機制。</p> <p>此次，陳浩維公開宣布「酷澎臺灣公開版漏洞研究計畫（Coupang Taiwan Public Bug Bounty Program）」，在演講開始前一個小時正式上線。他指出，這不僅是HackerOne進入臺灣市場以來的首個公開計畫，也是酷澎集團在全球各個市場中，第一個率先啟動此類公開計畫的據點。</p> <p>「我們希望對資安研究有興趣的朋友，可以一起來保護臺灣的消費者，讓這個網路更安全，」陳浩維表示，臺灣數位發展部的法人機構資通安全研究院，去年也開始舉辦這類的漏洞獎勵計畫，也有越來越多企業開始願意加入這樣的活動。</p> <p>不過，陳浩維強調，這次與HackerOne合作的公開版漏洞獎勵計畫，是奠基在已經運作一段時間的「私有版」漏洞回報計畫──邀請特定研究人員參與，隨著這個活動從私有轉為公開，意味著：酷澎願意將自己的資安體質公開，並接受全球資安社群的挑戰與檢驗。對酷澎而言，這是一種需要高度自信，也需要高度誠意的決定。</p> <p>酷澎臺灣此舉，除了肯定臺灣的資安社群能量，也標誌著這家跨境電商，已經決定將資安防禦的觸角，從內部的封閉測試轉向全球白帽駭客的集體智慧。這項決策的背後，不僅是對技術實力的自信，更是酷澎在經歷資安風暴後，重塑數位信任的關鍵一步。</p> <h2><strong>韓國酷澎資安事件，牽連20萬名臺灣客戶</strong></h2> <p>陳浩維坦言，要理解這一切倡議背後的重量，必須先回到幾個月前在韓國酷澎爆發的那場資安事件。</p> <p>2025年，酷澎韓國發生嚴重的資安事件，有一名中國籍的酷澎韓國前員工，利用其對公司內部系統的知識與存取權限，對酷澎及酷盟（Coupang Eats）的顧客資料進行了未經授權的存取與竊取。根據韓國酷澎委託第三方數位鑑識公司Mandiant進行的獨立調查結果，此事件影響了約20萬名臺灣顧客的個人資料。</p> <p>受影響的臺灣顧客資料，包含：姓名、電話、電子郵件地址等基本聯絡資訊，以及部分帳戶相關的欄位。不過，陳浩維也再三強調，這起資安事件並不涉及信用卡資訊、密碼，以及身分證字號等高度敏感的資料。</p> <p>「根據多家資安公司共同進行的資訊監控，以及數位鑑識報告，我們的總結是，目前都沒有任何遭到濫用的情形。」陳浩維表示，韓國主管機關的聯合調查小組也得到相同結論。</p> <p>他指出，從調查結果可以發現，受影響的顧客資料沒有被散布、沒有被分享或轉移給任何第三方，也沒有看到被進一步犯罪利用的案例。「但我們會持續進行監控，這個工作不會停止，」陳浩維說。</p> <p>在確認事件影響臺灣顧客的當下，酷澎臺灣第一時間通報主管機關數位發展部，並持續保持暢通的溝通。事後，酷澎臺灣也對每一位受影響的臺灣顧客，發放新臺幣一千元等值的酷澎購物券。</p> <p>為了更了解受到影響客戶的心聲，陳浩維也到第一線，親自接聽客服電話，直接與客戶溝通，而且，他和其中一位顧客談了一個多小時的電話。在這樣的過程中，陳浩維清楚感受到臺灣客戶的憂慮、不滿和不安。</p> <p>對此，他也以酷澎臺灣資安部門的主管，以及臺灣資安社群的一份子，在臺灣資安大會的講臺上，正式對大眾鞠躬道歉、表達歉意。</p> <h2><strong>內部威脅與日俱增，惡意的主動竊取行為比例也大增</strong></h2> <p>陳浩維表示，酷澎韓國發生的資安事件，其實就是所謂的內部威脅（Insider Threat），「這起事件跟一般資安攻擊不一樣的地方，在於攻擊者是內部人員，」他說。</p> <p>他也援引美國政府對於「Insider」的定義：利用組織內部知識或授權存取權限，進行有害或無益行為的人員——可能是現職員工、前員工，也可能是承包商或供應商。他清楚的指出，內部威脅的危害，往往比外部攻擊更難察覺，也更難防範，因為「攻擊者原本就站在防線之內。」</p> <p>根據Ponemon Institute於2026年發布的《Cost of Insider Risks 2026 Global Report全球內部風險成本報告》，內部威脅造成的平均損失已達每年195萬美元，相較2022年的162萬美元，增幅超過兩成。</p> <p>報告同時指出，在所有內部威脅事件中，約有52％來自員工疏失，27％則屬於惡意的主動竊取行為，然而，後者的比例正在逐年成長；此外，該份報也顯示，約73%的受訪組織擔心，AI工具的使用會加入內部資料外洩的風險；但這些組織中，僅有18%已經具備完善的AI治理機制。</p> <p>陳浩維指出，美國的中大型企業近年來已開始在資安團隊內部，建立獨立的「Insider Threat Program」（內部威脅應對計畫），目前有63％的組織導入，一年可以減少7起內部威脅的事件發生，也可以減少820萬美元的損失。</p> <p>有別於一般的事件應變機制。美國政府甚至透過總統行政命令（EO），要求所有關鍵基礎設施（CI）的主管機關建立此類計畫。根據數據，這些計畫的導入，已讓相關事件數量減少了約一半。</p> <p>要如何應對內部威脅呢？陳浩維引述美國國家反情報和安全中心的「內部威脅防護計畫」提出五大要點。首先，組織必須識別自身最重要的資產與數據，也就是「皇冠上的珍珠」（Crown Jewels）；其次，需要跨部門整合，包括資安、法務、人資等，建立完善的通報機制與標準作業程序。</p> <p>第三，要鼓勵員工主動回報可疑行為，而不是依賴被動偵測；第四，導入使用者行為分析（UEBA）等偵測工具；第五，在整個組織打造全員參與的資安文化。畢竟，「最容易被忽略的風險，往往來自最熟悉的人，」他說。</p> <h2><strong>AI時代的資安新常態，攻擊成本趨近於零</strong></h2> <p>為了更清楚描繪當前資安威脅的整體輪廓，陳浩維引用美國網路安全暨基礎設施安全局（CISA）前局長及多位資安長共同發布的《The AI Vulnerability Storm: Building a Mythos-ready Security Program》報告，其中也提到，在2018年，一個漏洞（CVE）被公開之後，駭客平均需要兩年三個月才能將其發展為可用的攻擊手法；但到了2026年，這個時間已縮短到僅僅十個小時。</p> <p>換句話說，過去資安團隊賴以為生的「修補窗口」（Patching Window）——也就是漏洞公開後，企業得以在遭受攻擊前完成修補的時間——在AI輔助攻擊的時代，已近乎消失。</p> <p>陳浩維認為，當攻擊不再是偶然的個案，而是必須面對的日常，特別是因為AI日益普及與強大的關係，漏洞從發現到被利用的時間（Time to Exploitation）從數年縮短至短短十小時的今天，傳統的三十天修補窗口已然失效。</p> <p>報告中的另一組數據同樣震撼：2026年，漏洞公開當天（Day 0），就已有高達百分之二十五的比例被攻擊者直接利用。</p> <p>與此同時，根據美國國家標準暨技術研究院（NIST）於2026年4月發布的公告，NIST已宣布未來不再對所有新增漏洞完整的分析與評分，而是優先處理已被部署或涉及關鍵系統的漏洞——這個決定的背後，正是因為漏洞的產出速度已遠超人工處理的能量。</p> <p>「攻擊不再是偶然發生的個案，它將持續發生，並可能以不同的型態呈現，」陳浩維認為，當被攻擊成為日常，身為資安從業人員更重要的是，在面對這些事件的時候，如何對內強化資安措施，對外展現負責任的態度與積極的處理。「讓我們從每一次的事件中，變得更強大。」他也：「AI時代的資安，攻擊更容易，信任更昂貴。」因此，所有的行動，都必須作到連結、共享和培育。</p> <h2><strong>打造「全球資源、臺灣先行」的酷澎臺灣資安團隊</strong></h2> <p>陳浩維在兩年前加入酷澎美國西雅圖總部，成為資安團隊的第一號員工，此前曾在亞馬遜服務超過十年，也是亞馬遜資安部門的第一位臺灣籍員工，負責網路鑑識、全球漏洞獎勵計畫，以及內部威脅（Insider Threat）調查等業務。今年，他離開居住了十幾年的美國，以酷澎臺灣暨日本資安長的身分返回臺灣，回到他一直說是「起點也是終點」的土地。</p> <p>陳浩維指出，酷澎臺灣的資安團隊不只是聽命於總部的執行單位，更是勇於任事、敢於針對資安議題率先全球推出各項新服務的「創新樞紐」。「我們不只是跟各個總部合作，我們也會提出臺灣自己的倡議，」他說。「我們勇於率先在臺灣推動全球未有的資安計畫，然後再把這些經驗推向全球。」</p> <p>在過去兩年中，酷澎臺灣利用其獨特的市場地位，將臺灣作為資安最佳實踐的實驗基地。這種「臺灣先行」的定位，在酷澎的數個實際案例清晰可見。</p> <h3><strong>解決LINE難以控管稽核問題，導入企業版Line Works</strong></h3> <p>首先是Line Works的導入。臺灣有高達九成以上的智慧型手機用戶使用LINE作為日常通訊工具，其滲透率之高在全球幾乎難出其右。對於企業而言，這代表員工很自然地將工作訊息、客戶資料，甚至商業機密，透過個人LINE帳號進行傳輸——而資安團隊既無法稽核，員工離職後也無法清除相關群組或訊息記錄。</p> <p>酷澎臺灣選擇正面解決這個問題，而不是強行禁止員工使用熟悉的介面。陳浩維表示，他們找上了由日本開發的LINE Works，功能上類似於企業版LINE的通訊平臺。</p> <p>「在臺灣酷澎導入之前，LINE Works只有服務日本客戶，根本沒有臺灣客戶，甚至試過每一個管道，也找不到相關的聯絡方式。」陳浩維說，過程相當艱辛，但最終建立了連結，開啟了合作。</p> <p>LINE Works整合了組織的單一登入（SSO）機制，通訊紀錄可以納入資安偵測系統，員工離職後的存取也可受控管理，同時也能與公司的客戶關係管理系統整合，能在不改變員工習慣的前提下，將影子IT納入監控，這項由臺灣發起的倡議，隨後也開始影響酷澎全球的資安布局。</p> <h3><strong>主動識別仿冒網站，三步驟下架詐騙網站</strong></h3> <p>其次是針對電商產業最頭痛的詐騙網站問題，酷澎臺灣亦建立主動出擊的防禦機制。陳浩維展示一個實際案例：一個網域名稱與酷澎高度相似的仿冒網站（coupangkp.tw），不僅複製了酷澎的官網外觀，還設有假冒的登入頁面，並透過LINE帳號誘導消費者聯繫，進行詐騙。</p> <p>而在酷澎臺灣的資安團隊中，設有專責的威脅情資分析專家，每天分析驗證國際威脅情資廠商提供的資訊、比對本地域名資料，一旦發現偽冒酷澎的釣魚網站，便透過 AI與自然語言處理（NLP）技術進行自動化分析，主動識別仿冒網站。</p> <p>他表示，仿冒網站的情資一旦確認，便同步啟動三個層次的下架程序：首先，向TWNIC和165反詐騙通報窗口，申請域名的DNS網域的解析封鎖（RPZ），使釣魚網址無法解析；接著要求社交平臺下架詐騙帳號（包含FB、LINE帳號）；最後，通知域名註冊商將違法網域徹底撤除。</p> <p>陳浩維表示，製作這些仿冒網站的成本很低，速度很快，但酷澎臺灣透過縮短偵測與下架的時間差，大幅提高詐騙者的營運成本，有效降低了品牌信任受損的風險。</p> <h2><strong>引進物流隱碼與Passkey技術，把資安創新落地成顧客體驗</strong></h2> <p>過去兩年，酷澎臺灣連續參與數位部的「數位韌性產業計畫」，在數位部數位產業署、工研院及數位新創協會的支持與協助下，推出了兩項受到矚目的技術創新。</p> <p>第一項是2024年推出的「跨境物流隱碼科技」陳浩維指出，在電商的物流配送的流程中，包裹上的運送標籤幾乎必然印有顧客的姓名、地址與電話號碼——這是在每次配送過程中，個資就會被所有經手人員看見的系統性風險。</p> <p>酷澎臺灣的解法是，在酷澎跨境電商服務「火箭跨境」的物流標籤上，以安全碼取代顧客的真實電話號碼，搭配QR Code進行加密通訊，讓快遞員在需要聯繫收件人時，只需掃碼即可透過安全管道撥打，顧客的真實電話始終不會直接暴露在紙本標籤上。</p> <p>陳浩維表示，這項計畫不只在臺灣落地，也是酷澎跨境物流鏈中的首次導入，被酷澎視為「臺灣先行，全球可能跟進」的範本之一。</p> <p>第二項是2025年打造FIDO免密碼的新世代數位信任防線，推出「Passkey無密碼登入」進行數位身分驗證升級，這也是酷澎臺灣與全球開發團隊共同研發的自主技術，讓臺灣用戶可以透過生物辨識（如指紋或臉部辨識）完成帳號登入，徹底省去記憶密碼的需要。</p> <p>「沒有密碼，就沒有密碼被盜的風險；沒有密碼，也就沒有憑證填充攻擊（Credential Stuffing）的著力點。」陳浩維說，這項作法是臺灣跨境電商首例，也是酷澎持續強調的「以資安提升顧客體驗」的具體呈現。</p> <p>他指出，這兩項計畫讓酷澎臺灣連續兩年獲得數位部「友善電商」的認可，成為數位韌性產業計畫中的標竿案例。</p> <p>此外，酷澎臺灣也成功加入FIRST（Forum of Incident Response and Security Teams）——全球最重要的資安事件應變組織之一，他表示，加入FIRST需要兩個現有會員的背書（Sponsor），酷澎同時獲得臺灣電腦網路危機處理暨協調中心（TWCERT/CC），以及韓國資安協會（KISA）的聯合推薦，成為少數由兩國資安機構共同背書而加入的會員，並強化了酷澎在國際資安社群中的正式地位。</p> <h2><strong>推動臺版零售情資分享中心R-ISAC，把競爭對手變成資安夥伴</strong></h2> <p>身為臺灣電商零售業的一份子，陳浩維提出他認為臺灣電商產業最需要的一項集體行動：建立零售業情資分享與分析中心（Retail-Information Sharing and Analysis Center，R-ISAC）。</p> <p>ISAC的概念起源於美國，目的是讓同一產業的組織，在不涉及商業機密的前提下，共同分享威脅情資、最佳實踐，以及資安事件的應對經驗。也就是說，讓產業的競爭者面對資安這個共同的敵人時，可以成為彼此的盟友。</p> <p>美國早已有成熟的零售與旅宿業ISAC（Retail and Hospitality ISAC），酷澎本身也是其核心成員，他也和美國ISAC有長期聯繫。「在業務層面，我們都有競爭，但在資安領域，我們的競爭對手只有一個，就是攻擊者，」陳浩維表示，希望產業成員可以成為夥伴，提升整個產業的資安應對能力，尤其是在AI這個資訊不對稱的今天，我們更需要互助、交流與協力。</p> <p>臺灣R-ISAC的推動，已獲得數位部數位產業署署長蔡福隆，以及中華民國無店面零售商業同業公會（CNRA）的秘書長為許生忠的支持與指導；未來將透過無店面商業公會轄下的資安委員會的運作機制，推進臺灣R-ISAC的實際運作。</p> <p>在組織架構上，臺灣R-ISAC規畫設有指導委員會（Steering Committee）負責策略指引、跨部門協調與對外合作，以及營運辦公室（Operations Office）負責日常管理、會員服務與專案推動；主要功能涵蓋情資整合與分享、AI輔助的情報平臺、警訊推播、責任與隱私合規處理，以及會員招募與成員培育等。</p> <p>陳浩維特別強調，臺灣R-ISAC的關注範圍不限於技術性的威脅指標（IOC），也將涵蓋詐騙情資——包括仿冒網站與各類詐欺手法的資訊分享，「這些可以分享給同業，讓整個電商生態都能提早預警。」他說。</p> <p>在機制設計上，酷澎臺灣的規畫是以「輕量化」起步，利用AI Agent自動化情資的整理、驗證與初步分析威脅指標（IOC），同時維持「Human in the Loop」的人工審核機制，確保資料品質與隱私保護兼顧。陳浩維表示，未來臺灣R-ISAC的情資，也有機會與國際情資網絡進行交換，讓臺灣的電商資安防線真正接上全球的視野。</p> <h2><strong>打造數位信任飛輪，資安不是成本而是企業競爭力</strong></h2> <p>陳浩維用「數位信任飛輪」來涵蓋酷澎臺灣的整體資安策略。他指出，這個飛輪模型的核心是「信任」，外圍由四個互相驅動的要素組成，包括：公私協力；酷澎導入新資安技術；顧客數位信任提升，以及整體產業安全升級。</p> <p>每一個要素的強化，都會帶動下一個要素的前進，最終讓整個飛輪加速轉動。陳浩維說：「我們希望資安的角色，不只是一個成本中心，而是可以帶動企業發展，一起跟產業把資安的標準拉到更高的水平，蛻變為推動企業成長的『信任引擎』。」</p> <p>在資源投入上，酷澎集團在全球擁有超過兩百位資安專業人員，並在資安、個資保護及資訊安全基礎建設上的投入，2023年資安及資訊科技總投資額達290億元，到2024年成長為450億元。</p> <p>陳浩維表示，這些投資數字因酷澎是韓國上市公司，依規定必須做相關的資訊揭露，而從相關資訊也可以觀察到，酷澎在過去三年，已連續成為韓國上市企業資安投入的前三名。</p> <p>在臺灣，酷澎目前也開始採用本土的資安廠商，並計畫持續擴大合作範圍。陳浩維說，如果這些合作模式成功落地，或許也能鼓勵臺灣的資安新創廠商向更廣的國際市場擴展，可以由酷澎臺灣的經驗將這些臺灣資安業者的產品或服務，引進韓國甚至是全球酷澎，也藉此帶動臺灣資安產業的成長。</p> <h2><strong>投入資安人才教育，鼓勵參與數位動員</strong></h2> <p>除了技術與組織的建設，酷澎臺灣也積極投入資安人才的培育。過去一年，陳浩維率領團隊走訪了四所臺灣大學（包括兩所公立與兩所私立大學），分享企業資安團隊的日常工作與職涯路徑，希望讓有興趣的學生對這個領域有更真實的認識。今年，酷澎臺灣也將繼續進入校園，延續這條教育之路。</p> <p>酷澎也與教育部AIS3相關計畫合作，推動資安教育向下紮根，攜手培育新世代資安人才；以參與臺灣駭客年會HITCON 2025等在地資安活動，用實際行動支持臺灣本地的資安社群。</p> <p>「我今年離開了居住了十幾年的美國，回到了美麗的家鄉臺灣，」陳浩維說：「當時出國留學時，我的目標非常明確：我的起點就是終點，也就是回到這裡，在吸收完這些經驗與知識後，如果有一天可以回來幫忙，我覺得會是一件非常美好的事情。」</p> <p>臺灣二十年來持續遭受網路攻擊，臺灣雖然沒有天然資源，卻有為數眾多的惡意行為者虎視眈眈。他說：「我們需要一起去保護，一起團結，對抗這些惡意的攻擊者，保護網路生態系的使用者。」</p> <p>陳浩維也透露，他也非常期待能參加今年夏天的「漢光演習數位動員」，這是他過去在美國時，因遠距離而無緣參與的事。他說，他的團隊中，也有成員會一起參與這個數位動員，因為，他希望：「酷澎臺灣不只是一個商業的市場參與者，也希望成為臺灣整體數位防衛力量的一部分。」</p> </div></div></div>
5/12 17:41作者黃彥棻https://www.ithome.com.tw/news/175741
VCF 9.1增強橫向存取安全，擴充EDR整合勒索軟體隔離復原
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://www.ithome.com.tw/sites/default/files/vcf-.9.1-clean_room-main.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p style="margin-left:.05pt;">相隔近一年，博通（Broadcom）月初宣布VMware Cloud Foundation（VCF）推出9.1版更新，提供AI與Kubernetes原生的私有雲基礎架構平臺，強調能讓企業在部署推論與代理式AI應用系統時，享有更低的成本、強化的安全性，以及自由選擇最佳GPU與CPU硬體的彈性。</p> <p style="margin-left:.05pt;">關於安全性方面的功能突破，VCF 9.1主打能針對AI資料主權與治理需求提供零信任架構，能在基礎架構層級整合多種機制，保護Hypervisor到應用程式的AI工作負載、專屬AI模型與訓練資料。VMware強調，VCF 9.1能提供公有雲無法比擬的安全性，因為用戶實施零信任網路分段、主權復原（sovereign recovery），以及無需額外工具的持續漏洞修補，可強化AI系統部署於正式使用環境的資安態勢。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/VCF-Cyber Recovery0.jpg"><img alt="" src="/sites/default/files/images/VCF-Cyber%20Recovery0.jpg" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">首先，關於零信任網路防護，VCF 9.1提供用戶個別選購的進階服務，實踐<a href="https://blogs.vmware.com/security/2026/05/vdefend-vcf-9-1-zero-trust.html"><strong>零信任的橫向存取安全（</strong><strong>Zero Trust Lateral Security</strong><strong>）</strong></a>，因為VMware 將vDefend整合至VCF，當中的分散式入侵偵測系統（IDS）或入侵防禦系統（IPS）得以延伸至VCF，而能以此防護執行在Kubernetes平臺的AI工作負載。原本能保護虛擬機器的vDefend分散式IDS或IPS，現在也能用於VMware vSphere Kubernetes Service（VKS）叢集，提供網路檢測與防護機制，企業可藉此執行威脅行為偵測與虛擬修補（virtual patching）。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/VCF 9_1-vDefend IDPS Architecture.png"><img alt="" src="/sites/default/files/images/VCF%209_1-vDefend%20IDPS%20Architecture.png" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">而在橫向存取威脅預防效能上，由於新支援IDPS Turbo Mode，網路吞吐量可提升3倍。根據博通內部測試，對於分散式推論的威脅檢測效能，每臺主機的吞吐量可達到3 Gbps至9 Gbps，每個VCF工作負載網域的總防護能力可達到9 Tbps。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/VCF 9_1-IDPS Turbo Mode Performance.png"><img alt="" src="/sites/default/files/images/VCF%209_1-IDPS%20Turbo%20Mode%20Performance.png" style="width: 500px;" /></a></p> <p style="margin-left:.05pt;">若將VCF用在私有雲環境與網際網路應用系統時，由於VMware強化vDefend分散式防火牆，使得這套基礎架構平臺的應用程式辨識能力提升5倍，針對網路第7層的活動能有更清楚的能見度、更簡易操作且細緻的資安政策強制控管能力，而且當中也新增基於身分的防火牆隔離機制，可支援多站點環境，以便實施統一且簡化的政策強制控管。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/VCF-Layer 7 visibility.png"><img alt="" src="/sites/default/files/images/VCF-Layer%207%20visibility.png" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">VCF 9.1另一項安全強化措施是針對勒索軟體攻擊，提升企業內部環境基礎架構平臺的復原能力。VMware提供隔離的復原環境與整合的驗證工具，例如，原本預設使用博通旗下的端點偵測與應變系統（EDR）Carbon Black，現在<a href="https://blogs.vmware.com/cloud-foundation/2026/05/05/continuous-compliance-integrated-cyber-recovery-and-enhanced-platform-security-for-vcf-9-1/"><strong>新增端點安全平臺</strong><strong>CrowdStrike Falcon</strong><strong>的支援</strong></a>，能夠保護AI模型與訓練資料，相較於公有雲環境，若處於危機發生後的復原期間，不需為此進行跨境資料搬移，免於承擔龐大的頻寬費用。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/VCF-Cyber Recovery.jpg"><img alt="" src="/sites/default/files/images/VCF-Cyber%20Recovery.jpg" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">這項功能的實現，也是透過VCF用戶另一個選購的進階服務VMware Advanced Cyber Compliance（ACC），在這個解決方案的9.1新版，可針對內部環境的乾淨資料隔離儲存區（isolated clean rooms），提供整合的網路攻擊復原工作流程，當中提供涵蓋各個環節的自動化處理引擎，可大規模執行識別、驗證、復原的處理。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/VCF-Cyber Recovery1.jpg"><img alt="" src="/sites/default/files/images/VCF-Cyber%20Recovery1.jpg" style="width: 298px;" /></a> <a href="/sites/default/files/images/VCF-Cyber Recovery2.jpg"><img alt="" src="/sites/default/files/images/VCF-Cyber%20Recovery2.jpg" style="width: 298px;" /></a></p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/VCF-Cyber Recovery3.jpg"><img alt="" src="/sites/default/files/images/VCF-Cyber%20Recovery3.jpg" style="width: 298px;" /></a> <a href="/sites/default/files/images/VCF-Cyber Recovery4.jpg"><img alt="" src="/sites/default/files/images/VCF-Cyber%20Recovery4.jpg" style="width: 298px;" /></a></p> <p style="margin-left:.05pt;">具體而言，企業可透過內建AI/ML的EDR驗證復原點（restore points），即可針對已開機啟動的虛擬機器，識別當中是否存在無檔案（fileless）與基於檔案進行攻擊的惡意軟體，確保復原資料在接觸正式環境之前是乾淨的。在此同時，除了<a href="https://www.vmware.com/docs/291"><strong>預設支援</strong><strong>Carbon Black</strong></a>，現在CrowdStrike Falcon也加入ACC的網路復原流程，提供用戶更多選擇與多層次防護。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/VCF 9_1-Cyber Recovery for VMware Cloud Foundation Architecture web.jpg"><img alt="" src="/sites/default/files/images/VCF%209_1-Cyber%20Recovery%20for%20VMware%20Cloud%20Foundation%20Architecture%20web.jpg" style="width: 500px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;">VMware Cloud Foundation 9.1</span><br /> ●原廠：VMware by Broadcom<br /> ●建議售價：廠商未提供<br /> ●部署形式：VMware vSphere Foundation、VMware Cloud Foundation Edge、VMware Cloud Foundation<br /> ●選購擴充元件：VMware vSphere Foundation可搭配VMware Live Recovery，VMware Cloud Foundation可搭配VMware Private AI 9.1、VMware Data Services Manager 9.1<br /> ●多國語言版本：英、日、西、法<br /> ●組成架構：每個VCF Fleet包含VCF Automation、VCF Operations、VCF Instance；每個VCF Instance包含1個管理網域、2種工作負載網域；每個管理網域包含VCF Management Services、Cloud proxy、License server、SDDC Manager、NSX Manager、Management vCenter、ESXi Cluster；工作負載網域1包含NSX Manager、Workload vCenter、ESXi Cluster、上面建置應用系統的虛擬機器；工作負載網域2包含NSX Edge或Virtual Network Appliance、NSX Manager、Workload vCenter、搭配vSphere Supervisor的ESXi Cluster、上面建置應用系統的虛擬機器、容器、虛擬機器與容器<br /> ●整合的VMware產品：vSphere、vSphere Kubernetes Service、VCF Operations、VCF Operations for networks、VCF Operations fleet management、VCF Automation、vSAN、NSX<br /> vSphere、vSAN、NSX、vSphere Kubernetes Service、VCF Operations、VCF Automation、HCX、VCF Private AI services<br /> ●搭配Kubernetes最新版本：1.35.2（vSphere Kubernetes release，VKr）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
5/12 18:13作者李宗翰https://www.ithome.com.tw/review/175733
惡意軟體框架PCPJack鎖定雲端基礎設施，封鎖駭客團體TeamPCP的存取權限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>駭客團體TeamPCP（PCPcat）3月<strong><a href="https://www.ithome.com.tw/news/174601">滲透資安公司Aqua Security開發的漏洞掃描工具Trivy</a></strong>，引發大家對於軟體供應鏈攻擊的擔憂，後續又發動一連串的供應鏈攻擊，不過，最近有一起針對雲端的惡意軟體活動相當不尋常，因為攻擊者顯然與TeamPCP爭奪攻擊資源。</p> <p><strong><a href="https://www.sentinelone.com/labs/cloud-worm-evicts-teampcp-and-steals-credentials-at-scale/">資安公司SentinelOne</a></strong>在4月28日發現一段相當特別的指令碼，主要攻擊目標是雲端環境，但引起該公司注意的地方在於，此指令碼執行後的首要工作，竟是驅逐與清理與TeamPCP有關的攻擊工具，再加上此惡意工具針對的服務及目標，與TeamPCP於去年12月的攻擊行動Operation PCPcat相似，因此該公司推測，攻擊者的身分很有可能是TeamPCP的前成員，並將惡意程式框架命名為PCPJack。</p> <p>此惡意程式框架的用途，主要是竊取各式憑證，針對曝露在網際網路的Docker、Kubernetes、Redis、MongoDB、RayML等網頁應用程式，收集雲端、容器、開發環境、生產力工具，以及金融服務的憑證，然後將搜刮到的機密資料，傳送到攻擊者控制的基礎設施，同時，該惡意框架還具備蠕蟲的特性，進行自我傳播及橫向移動。然而，有別於許多攻擊雲端環境的惡意程式，PCPJack未具備濫用雲端運算資源挖礦的功能。對於駭客的攻擊目的，SentinelOne推測，其目的可能是盜用憑證、從事詐欺活動、寄送垃圾郵件，或是向經營者進行勒索，也不排除出售存取權限牟利的可能。</p> </div></div></div>
5/12 16:28作者周峻佑https://www.ithome.com.tw/news/175704
【臺灣資安大會直擊】金管會揭金融資安韌性藍圖最新進展，即將發布金融業PQC遷移指引
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>金管會去年底發布了影響未來四年金融資安監理的「金融資安韌性發展藍圖」，經過半年，金管會資訊服務處處長林裕泰在剛落幕的臺灣資安大會上，揭露了半年來的多項成果和新進展。</p> <p>金融資安發展藍圖聚焦四大主軸，包括了目標治理、全域防護、生態聯防和堅實韌性。在目標治理上，金管會希望企業公司治理，董事會將資安納入公司治理核心，董事會不要只停留在合規思維，更要從業務目標角度思考安全控管如何配合。也要能參考主管機關政策或同業資安水準，設定企業未來半年、一年的資安目標，作為衡量成效的依據。</p> <p>去年初，林裕泰看到本土資安廠商一份紅隊演練結果報告，提到舉辦上百場紅隊演練中，過半數演練都發現了共同的AD CS弱點，企業的網域管理員權限，不到幾分鐘就遭到紅隊掌控。</p> <p>這份報告讓他思考，金融業不只需要分享情資，也需要更多資安實際經驗。今年四月，金管會舉辦了一場長達4天的金融資安交流會FORCE 2026，透過公開徵稿，召集金融機構分享金融資安韌性發展藍圖相關實務經驗，最後集結了40位講師，12場深度解析和1場攻防實戰，超過800人次參與。「這場難得的經驗交流，不是分享應該做什麼，而是實際做了什麼，參考資安發展較快的金融同業經驗，作為自己日後進階目標的參考。」</p> <p><img alt="" src="/sites/default/files/images/%E5%A4%A7%E9%87%91%E8%9E%8D%E8%B3%87%E5%AE%89%E4%BA%A4%E6%B5%81%E6%9C%83IMG_1232.jpeg" /></p> <p>為了設定目標導向的發展，金管會也正在建立一套可以量測、可以成長的金融韌性成熟度分級評估指標，整合了CRI Cyber Profile的量化指標，正在設計一套依據四大治理主軸的成熟度發展階梯，像是軟體安全開發分級，第一級（L1）是版本控制中心化，第四級（L4）則要達到高度自動化持續合規檢核。或在新興AI治理分級指標上，L1是建立框架和盤點應用，L4則要達到具備偵測AI對抗性攻擊的能力。</p> <p><img alt="" src="/sites/default/files/images/%E5%A4%A7%E6%88%90%E7%86%9F%E5%BA%A6%E6%8C%87%E6%A8%99IMG_1236(1).jpeg" /></p> <p>「希望金融業者不只符合公會所訂的最低合規標準，而要思考未來可以發展的成熟度階段。」林裕泰表示。</p> <p>在全域防護上，金管會希望推動金融業資安作業左移，包括了CI/CD部署流程，也希望金融業開始建立SBOM來促進軟體供應鏈的透明化，讓SBOM可以和CVE或KEV等資安弱點資料庫整合，一旦出現新弱點，就可以即時修補。金管會更希望將API安全基準，從Open API延伸到夥伴API，甚至是金融機構的內部API安全管理。</p> <h3><span style="color:#FF0000;"><strong>資安漏洞武器化時間只剩９小時，因應AI漏洞風暴的三大對策</strong></span></h3> <p>林裕泰特別提到CSA、OWASP 等機構聯合在5月1日發布的最新AI資安報告《The “AI Vulnerability Storm”:Building a “Mythos-ready” Security Program 》，報告中指出，因為AI的進步，資安漏洞武器化的時間大幅縮短，一個漏洞遭利用的時間，2018年要花2.3年，2024年縮短到56天，到了2026年，大幅縮短到只剩下9小時，而且是會出現Mythos等級的自動化攻擊。</p> <p><img alt="" src="/sites/default/files/images/%E5%A4%A7AI%E6%BC%8F%E6%B4%9E%E9%A2%A8%E6%9A%B4IMG_1241.jpeg" /></p> <p>企業如何因應這樣的AI漏洞風暴？這份報告提出了三個建議，第一是部署AI防禦代理，用AI對抗AI，第二是從修補思維轉向彈性阻止，透過網路分段、零信任架構等來避免AI攻擊快速擴散，縮小爆炸半徑，最後一項是企業要建立漏洞維運VulnOps的機制。</p> <p>其中第二點建議，正是金管會過去兩年力推的零信任架構，過去是推動導入高風險場域，現在則希望金融業落實，要逐漸將零信任架構導入金融資安基礎規範。</p> <p>過去兩年，期望企業盤點資源存取途徑，用零信任思維來深化資安防護，尤其在每一道關卡，都要搜集足夠的日誌與事件資料收集，送到SOC平臺監控和判斷。</p> <p>金管會多年來推動金融業者要從駭客攻擊角度來部署資安防護，累積了不少資安監控規則。從去年到今年，金管會將原本的地端監控機制，延伸到雲端監控機制，讓金融資安監控組態基準（MCB），逐漸納入雲端基礎建設和雲端常用資安設備。</p> <p>其中一項金管會正在討論的雲地資安範疇是容器環境，也找來相關廠商配合實測，預計今年7月底完成金融機構容器安全監控暨組態基準，將會涵蓋雲地服務業者及容器安全日誌收集等相關監控項目和規則的訂定。</p> <p>去年金管會推動的金融資安攻防演練中，實測了資安監控組態基準的效果，這套基準可以涵蓋超過9成的演練攻擊手法，像是APT10、APT40、無檔案式攻擊、企業間諜活動攻擊等情境，對整體監控情境有高度完整性。</p> <p>「金管會推動這些事情不是為了合規，而是為了讓它真正發揮作用。」林裕泰強調：</p> <p>「目前最迫切的挑戰是AI和後量子密碼遷移。」他強調，AI與AI的戰爭已經發生了，金管會原本今年考慮參考OWASP的GenAI資安專案，發展臺灣金融業可用的資安防護框架，但是AI進步太快了。</p> <p>像OWASP的GenAI資安專案，幾乎每個月發布一份報告，持續更新指標，有時甚至一個月好幾份。MITRE ATLAS整理的AI攻擊樣態資料，攻擊手法和案例也不斷增加。所以，「如何將安全控制嵌入系統設計流程，是金融業未來要努力的目標。」他強調。如何建構一個環境，可以讓AI幫忙做事，又能夠確保安全的運作，金管會正與相關機構與單位共同試驗中，相關做法更成熟後會對外公布。</p> <h3><span style="color:#FF0000;"><strong>Y2Q剩下不到4年，金融業要更早因應PQC遷移</strong></span></h3> <p>另一個金融業的新興科技挑戰是後量子密碼遷移，根據CSA的Y2Q倒數計時（量子計算具備破解密碼的能力時間表），剩下不到4年的時間。Google更在今年RSA中預告，提早到2029年完成遷移，這意味著Y2Q的時間可能更為縮短。</p> <p>金融業PQC遷移要面臨不少挑戰，第一個挑戰是，金融服務範圍廣，而且往往不是由單一機構獨立完成，像跨行轉帳就是一個涉及多個機構的跨行交易系統。「不是自己的系統單獨升級就夠，必須配合整套體系的運作才能完成。」林裕泰剖析。另一個挑戰是，金融業追求穩定，遷移過程必須維持服務不中斷。</p> <p><img alt="" src="/sites/default/files/images/%E5%A4%A7PQC%E8%A6%8F%E5%8A%83IMG_1272.jpeg" /></p> <p>去年7月開始，金管會啟動「金融業後量子密碼遷移先導計畫」，找來代表性金融機構成立量子先導小組，即將完成「金融業後量子密碼遷移參考指引」。</p> <p>「不是要金融機構馬上開始遷移，而是要先做好遷移的準備工作。」林裕泰舉例，像是先鎖定高風險資產，來進行加密應用的盤點和風險評估，而不用全面性盤點。他強調：「PQC遷移工作不是一次性的任務，而會先進行混合加密，再過渡到量子加密。」PQC演算法也還沒經過足夠的時間來驗證安全性，日後可能還需要第二次或第三次的遷移。</p> <p>盤點完成後，金融機構要建立自己的加密演算法清單或控管表，也可以趁機將企業散落各地的加密機制整合，建立加密敏捷性，像是統一管理分散在程式碼中的加密機制。</p> <p>這份參考指引在策略面，希望加速金融的IT供應商及早投入PQC解決方案，等到金融業啟動遷移作業時有足夠的技術和產品支援，另外在管理，也會提供加密應用盤點和風險評估、排定優先順序的做法，以供金融機構規劃自己的遷移路徑、時程和所需資源。還會從技術面，評估專業人力需求、PQC演算法和產品採購策略、系統資源差異，提供企業人力培訓，汰換與擴充資訊訓設備的參考。金管會也會推動典範試點，讓更多金融同業參考。</p> <p>在軟體供應鏈資安上，金管會希望資安標準可以延伸到委外供應商端，因此也計畫要訂定供應商分級和委外資安責任的參考範本，參考了關鍵電信業者的做法。未來也會鼓勵關鍵供應商分享資安情資和協作，例如聯合資安演練等。</p> <p>他指出：「希望供應商建立一個觀念，落實資安不是成本，而是轉錢的能力。」資安做得越好，可以接到更多標案和業績，資安可以視為利潤，而非成本，這是資通訊業供應商必須有的認知。</p> <p>在情資分享上，F-ISAC和金融機構的情資分享已有很好的效果，下一步希望擴大到非金融機構情資分享和國際合作。金融資安交流會中，也找來情資貢獻度最高的前三名金融業者分享經驗。他們不只是搜集情資，更要化為實際的行動。他們搜集到一份情資，不只用來檢視自己的防護、偵測、阻擋能力，也將整理後的情資回饋F-ISAC，分享給其他成員，形成一個良性循環。</p> <p>從去年開始，金管會特別舉辦攻防演練體驗營，像在四月金融資安交流會中就有一場。讓沒有足夠人力自己演練的中小型金融機構，可以透過體驗營，來了解駭客怎麼攻擊，自己又要如何防護。</p> <p>林裕泰提醒：「攻防演練只是一種過程，發現問題不是目的，而是要在演練過程裡，同步檢查資安防禦環境。一個單一事件，可能是造成系統性失靈的環節。」</p> <p>現在金融業機構的多層次備援，不會採取和正式環境1比1的備援資源，但在資源不足的環境下，是否可以應付正常的流量。多層次備援機制也要從韌性角度來思考，資源不足時，要優先確保哪些關鍵金融服務的持續運作，演練SOP是否也納入這些韌性考量。</p> <p><img alt="" src="/sites/default/files/images/0507-%E6%9E%97%E8%A3%95%E6%B3%B0_701A_260507_5.jpg" /></p> <p>林裕泰也分享了他在金融資安交流會中得到的體會，從許多資安典範的經驗中，他歸納，資安落實原則，就是「堅持最小權限、追根究底、日常落實」。面對AI新興科技的挑戰，IT與資安單位更要率先擁抱，成為最了解，也最能掌握AI的人，將自己視為實驗平臺，才會得到深刻的體驗，日後更有能力評估業務單位的AI發展。</p> </div></div></div>
5/12 16:35作者王宏仁https://www.ithome.com.tw/news/175737
AWS推出Claude Platform on AWS，企業可用既有帳號存取Anthropic原生服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><strong><a href="https://aws.amazon.com/blogs/machine-learning/introducing-claude-platform-on-aws-anthropics-native-platform-through-your-aws-account/">AWS正式發布</a></strong>Claude Platform on AWS，AWS用戶可透過既有AWS帳號使用Anthropic原生Claude Platform，並沿用AWS IAM身分驗證、AWS Marketplace帳務與CloudTrail稽核記錄。這項服務讓企業在Amazon Bedrock之外，多一個取用Claude API與Claude Console的選擇。</p> <p>Claude Platform on AWS提供與Anthropic直接服務相近的API、功能與主控臺體驗，開發者可使用Messages API、Claude Managed Agents測試版、顧問策略（Advisor Strategy）測試版、網頁搜尋與網頁擷取、MCP連接器測試版、Agent Skills測試版、程式碼執行，以及Files API測試版等功能。AWS說明，這些能力可透過AWS帳號存取，不必另行管理獨立憑證、合約或帳單關係。 </p> <p>Claude Platform on AWS與Claude on Amazon Bedrock的區別在於，<strong><a href="https://claude.com/blog/claude-platform-on-aws">Claude Platform on AWS由Anthropic營運</a></strong>，推論請求與資料會在AWS安全邊界外由Anthropic處理，適合希望使用Claude原生平臺與較早期測試功能，且沒有嚴格區域資料駐留要求的團隊。要是企業要求AWS作為唯一資料處理方，或需要Bedrock Guardrails、Knowledge Bases等Amazon Bedrock代管功能，則較適合使用Claude on Amazon Bedrock。</p> <p>Claude Platform on AWS可用IAM政策控管工作區存取，活動可進入CloudTrail，帳務則透過AWS Marketplace與AWS Cost Explorer管理。AWS也提到，工作區操作預設會以管理事件形式記錄，企業也可啟用資料事件記錄，以追蹤推論活動。</p> <p>Claude Platform on AWS目前可在多個AWS商業地區使用，並支援全球與美國推論地理範圍。</p> </div></div></div>
5/12 16:44作者李建興https://www.ithome.com.tw/news/175734
【臺灣資安大會直擊】用AI對抗AI，緯創資通藍隊將資安事件回應速度從「小時」縮短至「分鐘」
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>近年來，<a href="https://www.ithome.com.tw/news/168970">Google</a>、<a href="https://www.ithome.com.tw/news/169968">AWS</a>與<a href="https://www.ithome.com.tw/news/175566">微軟</a>等科技大廠陸續公開內部資安團隊用AI強化防禦，各界因此得以參考多種可仿效的實務作法，對臺灣企業而言，這股應用浪潮雖受重視，但如何將AI真正落實於日常資安維運，仍是大家積極探索的課題。今年臺灣資安大會開始出現更多企業公開實務經驗，高科技製造業者緯創資通（Wistron）就是一例。</p> <p>約從兩年前開始，該公司嘗試運用AI解決長年困擾SOC團隊的「告警疲勞」問題，並利用AI Chatbot大幅優化事件查詢效率，這些應用實例已展現AI在日常維運中的關鍵價值。</p> <h2><strong>每月近1千筆資安警訊、65%為誤報，解決告警疲勞成焦點</strong></h2> <p>「企業藍隊每月面對將近1,000筆告警，但其中約65%是誤報。」緯創資通資訊安全系統監控部技術經理楊庭瑋指出，由於團隊要求每筆事件皆須檢視、記錄與追蹤，面對每月大量告警且準確率低的狀況，SOC團隊往往耗費大量精力在處理無效告警，導致真正具威脅的事件可能被延後處理，增加企業風險。</p> <p>楊庭瑋坦言，在過去實務經驗中，若依傳統人工模式，當真正威脅發生時，往往需耗費約數小時才能啟動處理，此時威脅可能已造成實質影響。因此，團隊一直在思考要如何提升處理效率，隨著LLM模型與生成式AI能力的持續展現，緯創自2024年起，將之納入企業藍隊防護的核心。</p> <h2><strong>企業藍隊AI布局聚焦4大面向，強化偵測與回應的投入最大</strong></h2> <p>為了確保AI能有效落地，楊庭瑋表示團隊在規畫初期，先透過NIST CSF 2.0及CDM（Cyber Defense Matrix）框架進行盤點，找出適合AI介入的場景，一開始他們選定的範圍，不僅包含異常偵測，亦涵蓋事件處理、情資整合與資安政策標準，進而歸納出四大戰略方向：強化偵測與回應、彌補自動化斷點、輔助資安宣導，並致力於縮短全球據點間的技能落差。</p> <p>在強化偵測與回應與彌補自動化斷點方面，團隊初期鎖定定義較明確、每月約30至50筆的病毒感染與網頁攻擊事件作為起點。導入前，人工作業常需排隊4小時才進入處理，並要再花15分鐘進行分析；導入AI後，緯創資通在內部開發名為「哥倫布」<strong></strong>的平臺，系統可先行抓取Log日誌並自動判斷：若為誤報則直接結案，若判定異常即通報。實測顯示，原本需15分鐘的分析工作縮短至1分鐘，且達成零遺漏的精準偵測。</p> <p>然而，當應用擴展至更複雜的異常登入場景時，挑戰也隨之而來。面對每月平均約150筆、誤報率高達95%的沉重負擔，緯創資通期望透過AI解決此痛點，並設定目標，要求正確率須達95％以上，且絕不容許任何威脅遺漏。</p> <p>楊庭瑋透露，訓練過程並非一帆風順。2024年3月啟動時，正確率僅在55％至80％間擺盪，甚至在模型從GPT-3.5升級至GPT-4時，正確率一度因模型特性改變而大幅下滑，令團隊感到意外。後續團隊改採多模型互檢機制並優化提示詞工程，正確率終於穩定達到平均97.5％，處理時間從4小時壓縮至10分鐘，另外也解決了過去每月約1％的漏報風險。</p> <p>除了解決告警問題，他們的企業藍隊還有發展關聯建模與可視化分析，其核心目標在於建立人員與事件間的關聯拓樸，並將外部威脅情資與內部資產進行精準比對，楊庭瑋並鼓勵企業積極探索此領域；同時該團隊也發展互動式資安應用，主要作為資安威脅查詢與事故回應的輔助核心。</p> <p>關於這方面的開發經驗，楊庭瑋強調：「設計核心在於不讓單一Agent負擔過多任務。」其團隊打造的Agent分工架構，由前端Agent負責判讀需求，再交由後端6個專長不同的Agent執行情資查詢、Log分析等特定任務。這種設計不僅減少Token浪費，更提升了精準度。</p> <p>該平臺目前已能自動比對攻擊IP位址情資，並在人員審核後，自動執行將IP位址加入黑名單或撤銷帳號Session等處置，將分析與回應整合在單一介面。雖然現階段仍需由人工下達執行指令，但已大幅提升了處理效率。</p> <p>綜觀上述這項實踐，讓我們聯想到近年資安業者強調產品已朝向Agentic SIEM發展，楊庭瑋表示，團隊也持續關注相關產品，而這段自研AI的經驗累積，不僅強化了現有的自動化能量，也讓未來評估相關解決方案時可以有更具體的心得與判斷依據。</p> <p><a href="/sites/default/files/images/（圖1）緯創資通_ 用AI對抗AI_企業藍隊應用.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E7%B7%AF%E5%89%B5%E8%B3%87%E9%80%9A_%20%E7%94%A8AI%E5%B0%8D%E6%8A%97AI_%E4%BC%81%E6%A5%AD%E8%97%8D%E9%9A%8A%E6%87%89%E7%94%A8.jpg" style="width: 600px;" /></a></p> <h2><strong>建立兩類型資安知識庫，解決技術斷層問題</strong></h2> <p>另兩項企業藍隊AI關鍵應用，在於輔助資安宣導與縮短全球技能落差的層面。</p> <p>楊庭瑋表示，資安不只是IT同仁的事，而是全公司的事。因此希望讓同仁能快速理解公司資安政策，降低違規風險，他們並針對不同目標需求打造相應機制。</p> <p>首先，對一般員工，資安團隊提供類似Chatbot的資安規範小幫手，方便大家諮詢，讓同仁不必翻找文件，可直接詢問網路阻擋原因、密碼政策等常見問題。</p> <p>其次，對資安人員而言，則提供面向SOC作業架構與流程的資安指南，由於緯創主要製造與研發基地遍布全球多國，協助新進或海外同仁快速理解作業流程、消弭技術斷層，亦顯得至關重要。</p> <p>總結緯創資通的實戰經驗，楊庭瑋強調，AI雖無法完全取代資安人員，卻是很好的增援戰力。面對駭客利用AI發動攻擊的嚴峻情勢，緯創正積極實踐「用AI對抗AI」。他並強調，目前公司藍隊防護的成果多源自2024年的開發基礎，但緯創資通後續也在持續深化應用，朝向更高度且完善的自動化AI防禦體系邁進，並期勉所有資安同仁與AI並肩作戰，讓防禦能走在威脅之前。</p> </div></div></div>
5/12 15:22作者羅正漢https://www.ithome.com.tw/news/175726
向量資料庫Pinecone推出AI代理知識引擎Nexus，主打以預先編譯知識改善RAG檢索問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.pinecone.io/blog/knowledge-infrastructure-for-agents/" target="_blank">向量資料庫業者Pinecone近日公布新產品Nexus</a>，定位為專供AI代理（AI agents）使用的知識引擎（knowledge engine），並提出「知識編譯（knowledge compilation）」概念，主張以預先整理與結構化企業知識的方式，改善現行RAG（Retrieval-Augmented Generation）架構在代理式AI場景的效能與可靠性問題。</p> <p>Pinecone表示，目前代理式AI約有85%的運算工作與知識檢索相關，但任務完成率仍僅約50%至60%。不只增加Token成本，也容易因反覆檢索與上下文不足而產生幻覺（hallucination）或遺漏重要資訊。</p> <p>該公司認為，現行RAG流程本質上仍是將大量原始文件片段交由模型即時處理，因此推論延遲、成本與輸出結果的穩定性都會受到影響。Nexus則試圖將部分知識整理工作提前至資料處理階段完成。</p> <p>根據Pinecone說明，Nexus主要由Context Compiler與Composable Retriever兩大元件構成。Context Compiler可先根據企業資料與代理任務需求，建立適合特定工作流程的結構化知識內容；Composable Retriever則負責依不同代理需求，以適當格式提供相關知識資料。</p> <p>Pinecone舉例，中型SaaS企業的資料通常分散於資料倉儲、Slack、Salesforce等不同系統。現行AI代理工具多半直接掃描所有資料來源，再自行整理上下文，不只容易產生錯誤，也可能被大量無關資訊干擾。Nexus則改以預先建構特定任務所需的知識內容，讓代理直接存取經過整理的知識成果，而非反覆查詢原始文件。</p> <p>Pinecone也同步公布KnowQL查詢語言，讓AI代理可透過統一格式描述查詢意圖、資料來源、輸出格式、可信度與延遲需求等條件，以取得結構化且附帶引用來源的回應內容。</p> <p><a href="https://thenewstack.io/pinecone-nexus-rag-obsolete/" target="_blank">《The New Stack》</a>分析指出，Pinecone過去是推廣RAG架構與向量資料庫的重要業者之一，如今卻主張傳統RAG模式開始面臨代理式AI工作負載帶來的效能挑戰，也反映AI基礎架構正從單純向量搜尋，轉向更重視上下文工程（context engineering）與知識預先整理的新方向。</p> </div></div></div>
5/12 15:33作者王珮瑤https://www.ithome.com.tw/news/175731