iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 28篇
近 24 小時: 29篇
近 7 天: 135篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/10 17:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 135 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Dell SupportAssist服務引發Windows BSOD災情
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>近日Dell電腦新版的SupportAssist引發部份用戶裝置的藍色死亡螢幕（Blue Screen of Death，BSOD）災情，並使電腦陷入無限重開機循環。</p> <p><a href="https://www.dell.com/community/en/conversations/supportassist-for-pcs/xps-15-9530-bsod-criticalprocessdied-caused-by-dellsupportass-supportassist-remediation-55160/6a0010e052786a36cb345dcc" target="_blank">上週有用戶Sygent在Dell用戶論壇反映</a>，在5月8日安裝Dell Update 5.5.16.0及其內建的SupportAssist Remediation 5.5.16.0和Dell SupportAssist OS Recovery外掛後，系統每30分鐘出現藍色死亡螢幕（BSOD）後無預警自動重啟的狀態。欲暫時緩解，移除SupportAssist Remediation就能排除問題，Sygent即為按下Win + R鍵，輸入services.msc，找到名為Dell SupportAssist Remediation的服務，再從「啟動類型」改為「停用（Disabled）」。</p> <p>SupportAssist Remediation是安裝在Dell電腦的背景工具，主要是在作業系統或開機發生嚴重錯誤時，提供自動修復環境，協助使用者排除開機障礙或緊急復原系統。Dell SupportAssist OS Recovery外掛則可協助作業系統復原。可移除病毒、偵測問題、最佳化設定，或通知更新。</p> <p><a href="https://www.dell.com/community/en/conversations/supportassist-for-pcs/xps-15-9530-bsod-criticalprocessdied-caused-by-dellsupportass-supportassist-remediation-55160/6a0010e052786a36cb345dcc?page=3" target="_blank">目前用戶通報</a>受影響機種包括XPS 15 9530、Dell Pro Plus 14/16、XPS 15、Precision 3571、Pro Max Tower T2及Alienware 16 Area-51、Alienware M16 R2等機種。引發Alienware機種BSOD的是Alienware SupportAssist Remediation服務。</p> <p><a href="https://www.dell.com/community/en/conversations/supportassist-for-pcs/bsod-random-reboots-may-2026-dell-updates-dell-support-assist-probable-cause/6a017bde657052398888e805?commentId=6a0497fd33bd096c44c1f4f9" target="_blank">Dell官方表示</a>已經獲知狀況，正在解決問題。Dell指出，Dell SupportAssist Remediation service或Alienware SupportAssist Remediation service，與主要Dell SupportAssist應用程式分開運作，目前最佳解決方式正是移除Dell/Alienware SupportAssist Remediation service 5.5.16.0。用戶可以透過Windows「設定」>「應用程式」>「已安裝應用程式」中找到這兩項服務來移除之。</p> <p>Dell也提醒，移除後，經由Dell OS SupportAssist Recovery 建立修復點也會移除。但用戶後續可以再透過SupportAssist App或Dell Command Update來安裝最新版Dell SupportAssist Remediation service。</p> </div></div></div>
5/18 10:34作者林妍溱https://www.ithome.com.tw/news/175883
AWS強化Amazon EMR on EC2可觀測性，新增近即時日誌串流與YARN Application ID對應功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>隨著企業持續擴大在雲端大數據處理服務Amazon EMR on EC2上的資料處理與分析工作負載，<a href="https://aws.amazon.com/tw/blogs/big-data/streamlined-monitoring-and-debugging-for-amazon-emr-on-ec2/" target="_blank">AWS於5月12日公布這項服務的可觀測性功能更新</a>，強化日誌蒐集、監控介面與指標管理。</p> <p>這波更新的重點之一，是自Amazon EMR 7.11.0版起，支援將叢集日誌近即時串流到雲端日誌服務Amazon CloudWatch Logs。使用者啟用CloudWatch日誌功能後，不需要另外透過叢集啟動自動化指令Bootstrap Actions或手動設定代理程式，Amazon EMR即可擷取並串流EMR步驟執行日誌、分散式運算引擎Spark的驅動程式與執行器日誌。AWS也新增步驟層級的Amazon S3日誌控制，企業可針對個別步驟指定專屬的S3日誌路徑與金鑰管理服務AWS KMS金鑰，以因應多租戶環境或不同資料分級需求。</p> <p>另一項更新則是擴充Amazon EMR主控臺功能，新增叢集資源管理介面YARN ResourceManager UI與查詢執行監控介面Tez UI的直接存取能力，讓使用者不必建立加密遠端連線SSH通道、透過代理連線，或直接連線至叢集節點，就能檢視執行中工作的資源配置、查詢執行計畫與容器日誌。AWS也在步驟細節面板中加入應用程式識別碼YARN Application ID顯示，方便使用者直接比對EMR步驟與底層YARN應用程式，加快問題追查流程。</p> <p>在指標監控方面，AWS也補強自訂指標相關文件與設定說明。Amazon EMR預設會每5分鐘將叢集層級指標傳送到CloudWatch；自Amazon EMR 7.0版起，啟用CloudWatch代理程式（CloudWatch Agent）後，可收集1分鐘間隔的詳細指標；Amazon EMR 7.1版則導入自訂指標分類，讓用戶可更細緻地定義分散式資料處理框架Hadoop、資源管理系統YARN與分散式資料庫HBase等元件的監控項目。不過，若啟用CloudWatch Logs與自訂指標功能，仍會依日誌擷取量與指標發布頻率產生額外CloudWatch費用。</p> </div></div></div>
5/18 10:58作者王珮瑤https://www.ithome.com.tw/news/175884
Nginx重大漏洞已被用於攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>5月13日F5修補網頁伺服器Nginx<strong><a href="https://www.ithome.com.tw/news/175851">資安漏洞CVE-2026-42945</a></strong>，此漏洞是在18年前引入，有可能造成伺服器服務中斷（DoS），在特定情況下攻擊者還能用於執行任意程式碼，CVSS v4.0風險為9.2分（滿分10分），如今有研究人員提出警告，他們已偵測到積極利用的現象。</p> <p>VulnCheck漏洞研究員Patrick Garrity於職場社群網站LinkedIn<strong><a href="https://www.linkedin.com/posts/patrickmgarrity_cybersecurity-threatintelligence-riskmanagement-share-7461369931851517952-PBjV/">提出警告</a></strong>，他們在5月16日於蜜罐陷阱首度偵測到CVE-2026-42945被積極利用的跡象。雖然Nginx伺服器必須導入特定的重新寫入組態設定才會受到影響，但由於攻擊者無須通過身分驗證就能利用，再加上全球約有570萬臺伺服器尚未套用新版程式，儘管實際上真正存在風險的伺服器數量有限，VulnCheck也並未說明遭到利用的其他細節，但用戶仍應儘速採取防範措施。</p> </div></div></div>
5/18 11:10作者周峻佑https://www.ithome.com.tw/news/175882
TeamPCP兜售近450個Mistral AI程式碼儲存庫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>之前傳出AI公司Mistral AI的<strong><a href="https://www.ithome.com.tw/news/175802">PyPI套件遭到入侵</a></strong>，駭客發布含有惡意程式碼的2.4.6版，此為<strong><a href="https://www.ithome.com.tw/news/175854">蠕蟲Mini Shai-Hulud供應鏈攻擊</a></strong>的一部分，Mistral AI也<strong><a href="https://docs.mistral.ai/resources/security-advisories">發布資安公告</a></strong>，證實NPM與PyPI套件先後遭到入侵，指出該公司是<strong><a href="https://www.ithome.com.tw/news/175724">TanStack供應鏈攻擊</a></strong>事故而受到波及，如今傳出駭客已開始兜售竊得的資料。</p> <p>根據<strong><a href="https://www.bleepingcomputer.com/news/security/teampcp-hackers-advertise-mistral-ai-code-repos-for-sale/">資安新聞網站Bleeping Computer的報導</a></strong>，駭客團體TeamPCP於網路犯罪論壇宣稱，他們竊得Mistral AI近5 GB的內部儲存庫與原始碼資料，這些是用於訓練、微調、基準測試、模型交付、實驗推論，以及未來專案的檔案，總計涉及450個儲存庫的內容，他們開價2.5萬美元求售，聲稱這些資料只會賣給1個買家，或是Mistral AI支付贖金後，駭客便會永久銷毀這些資料。假若一週內找不到買家，駭客打算在論壇洩漏這批資料。</p> <p>值得留意的是，雖然Mistral AI在公告裡強調該公司基礎設施未遭到入侵，僅影響一臺開發人員使用的裝置，然而他們向Bleeping Computer透露，TeamPCP成功汙染了部分的軟體開發套件（SDK），上述事故帶來的影響，有待進一步觀察。</p> </div></div></div>
5/18 11:15作者周峻佑https://www.ithome.com.tw/news/175876
OpenAI在美預覽ChatGPT連結個人金融帳戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://openai.com/index/personal-finance-chatgpt/" target="_blank">上週OpenAI宣布預覽一項個人金融新功能</a>，讓ChatGPT連結其金融帳戶，協助快速了解個人全面的財務狀況。</p> <p>OpenAI表示，現在每個月全球有超過2億人使用ChatGPT執行預算、詢問投資、比較不同路徑、或為未來目標進行規劃。而底層的GPT-5.5也為ChatGPT賦予更強的推理能力來回答複雜的個人金融問題。</p> <p>最新服務透過金融科技（FinTech）公司Plaid實現ChatGPT和用戶個人金融機構帳戶的連結。Plaid提供連結銀行與支付App（如Venmo）的API基礎架構，<a href="https://www.openbankingtracker.com/api-aggregators/plaid" target="_blank">支援美國及加拿大9,600多家金融機構</a>。新服務很快就會整合Intuit，使連結的機構達到12,000多家。</p> <p>最新服務目前以預覽版提供給美國的ChatGPT Pro方案iOS App及Web版用戶，OpenAI下一步是將之部署到Plus用戶方案，最終目的是推向所有人。</p> <p>要使用這項服務，使用者需先驗證並串聯金融機構帳戶。第一步是開啟ChatGPT側邊欄的Finances功能，或是在ChatGPT中輸入「@Finances，連結我的帳號」ChatGPT就會導引用戶安全連結其支援的金融機構，例如Charles Schwab、Bank of America或American Express等。完成連結及同步後用戶就能透過ChatGPT顯示的儀表板，看到投資組合表現、支出、訂閱、即將支付的款項等。</p> <p>用戶除了連結帳戶，還可以告訴ChatGPT其他背景資訊，像是有房貸、存錢目標，或想買什麼，例如「我想明年買車」或「我還欠父母助學貸款」，ChatGPT即會將之儲存在Financial memories中，它會根據帳號資訊、個人目標及其他資料，未來提供更完整而個人化的建議或回應。</p> <p>對於ChatGPT處理財務資訊，許多用戶不免感到顧忌。為此OpenAI表示，用戶連結ChatGPT和金融帳戶後，也可以隨時中止。同步的帳戶資料會在30天內從OpenAI系統刪除，這個動作不會影響ChatGPT對話紀錄中的財務資訊，但用戶可刪除特定資訊。用戶也可以刪除ChatGPT記憶中用戶輸入的上下文資訊，如個人目標、債務等等。用戶若選擇使用暫時對話，ChatGPT就不會存取用戶連結的財務帳戶，這些對話亦不會顯示在對話紀錄中。最後，OpenAI也允許用戶啟用多因素驗證（multi-factor authentication，MFA）強化帳戶安全。</p> <p>不確定這項服務未來是否會推向其他市場。</p> <p>這是OpenAI強化ChatGPT財務功能的最新功能。為了實現財務精算能力，OpenAI上個月才<a href="https://www.ithome.com.tw/news/175060" target="_blank">收購個人金融App新創公司Hiro</a>。</p> </div></div></div>
5/18 10:00作者林妍溱https://www.ithome.com.tw/news/175880
Akamai將斥資2.05億美元收購LayerX，強化AI與瀏覽器安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國資安與雲端運算業者<a href="https://www.akamai.com/newsroom/press-release/akamai-technologies-announces-intent-to-acquire-layerx-advancing-its-workforce-security-strategy-with-ai-usage-control" target="_blank">Akamai Technologies週四（5/14）宣布</a>，已簽署最終協議，將以約2.05億美元收購以色列瀏覽器安全新創LayerX Security，交易預計於今年第三季完成。Akamai表示，此舉將強化其零信任（Zero Trust）與AI使用控制（AI Usage Control）產品線，以因應企業員工大量使用生成式AI、SaaS AI服務與AI代理人所帶來的新資安風險。</p> <p>LayerX成立於2021年，總部位於以色列臺拉維夫，由Or Eshed與David Vaisbrud共同創辦，主打瀏覽器安全與AI使用控管技術。LayerX的方案可直接部署在既有主流瀏覽器上，不要求企業改用專有企業瀏覽器，也不必調整基礎設施，即可監控與控管員工在瀏覽器中的AI互動行為。</p> <p>Akamai指出，瀏覽器如今已成為多數企業工作的主要介面，也是員工使用生成式AI應用、SaaS AI服務與AI代理人的入口。LayerX可讓資安團隊即時掌握使用者與網頁內容、Prompt、檔案上傳及SaaS應用程式的互動情境，在不增加員工使用摩擦的情況下提供安全控制。</p> <p>Akamai執行副總裁兼總經理Mani Sundaram表示，企業客戶正以前所未有的速度導入AI，但既有安全控制工具無法看見員工如何與AI工具互動，也難以掌握他們向大型語言模型分享了哪些內容。收購LayerX後，Akamai將能在AI實際使用的當下建立控制層，協助企業兼顧AI導入速度、安全與合規。</p> <p>交易完成後，LayerX團隊將加入Akamai的零信任組織。LayerX將補上瀏覽器端的AI使用控制能力，與Akamai既有的零信任網路存取（Zero Trust Network Access，ZTNA）、AI應用程式執行期保護，以及AI推論工作負載分段等技術互補，形成從使用者、應用程式到基礎設施的防護架構。LayerX也是Akamai過去5年內第4起位於以色列臺拉維夫的資安併購案</p> <p>LayerX共同創辦人暨執行長Or Eshed表示，保護人類與代理式AI的使用行為，已成為企業安全領域的關鍵挑戰之一。透過結合LayerX技術、Akamai零信任產品組合與其全球邊緣平臺，企業將能更安全地在全球規模部署AI。</p> </div></div></div>
5/18 10:14作者陳曉莉https://www.ithome.com.tw/news/175881
Mozilla推出Firefox 150.0.3，修補多項JavaScript高風險漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>5月12日Mozilla基金會發布Firefox 150.0.3更新，<strong><a href="https://www.mozilla.org/en-US/security/advisories/mfsa2026-45/">總共修補5個高風險漏洞</a></strong>CVE-2026-8388、CVE-2026-8389、CVE-2026-8390、CVE-2026-8391、CVE-2026-8401。</p> <p>值得留意的是，雖然Mozilla評估這些漏洞都是高風險等級，但根據美國國家漏洞資料庫（NVD）登記的資料，美國網路安全暨基礎設施安全局（CISA）認為最危險的漏洞是<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-8401">CVE-2026-8401</a></strong>，此沙箱逃逸類型的弱點，此沙箱逃逸類型的弱點，存在Firefox個人設定檔備份（Profile Backup）元件，CVSS風險評為9.8分（滿分10分）。</p> <p>其餘漏洞皆與JavaScript有關，<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-8388">CVE-2026-8388</a></strong>、<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-8389">CVE-2026-8389</a></strong>，以及<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-8401">CVE-2026-8391</a></strong>存在於JavaScript引擎；<a href="https://nvd.nist.gov/vuln/detail/CVE-2026-8390"><strong>CVE-2026-8390</strong></a>出現於WebAssembly元件，為JavaScript當中的記憶體釋放後再存取利用（Use After Free）弱點，風險介於5.3至7.3分。</p> </div></div></div>
5/18 10:18作者周峻佑https://www.ithome.com.tw/news/175874
SAP Business Data Cloud新增Snowflake整合，HANA Cloud加入知識圖譜與MCP支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>企業應用軟體業者<a href="https://news.sap.com/2025/11/sap-snowflake-new-data-fabric-innovations-sap-bdc-sap-hana-cloud/" target="_blank">SAP宣布擴充商業資料雲SAP Business Data Cloud（SAP BDC）與資料庫服務SAP HANA Cloud</a>，更新重點放在多雲資料整合、資料治理，以及代理式AI應用開發。</p> <p>在資料整合方面，SAP在SAP BDC加入資料雲端平臺Snowflake解決方案的整合，讓客戶可直接透過SAP使用Snowflake的資料與AI能力，並依不同資料與AI工作負載選擇合適的運算與儲存資源。同時，SAP將資料連接功能SAP BDC Connect延伸到Snowflake，讓原本已支援Databricks與Google Cloud的雙向、零複製資料與中繼資料分享能力，進一步擴及Snowflake平臺。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0515-SAP-BDC.png" style="width: 450px;" /></p> <p>在資料治理方面，SAP新增資料資產開發功能Data product studio，讓使用者可在單一工作區中，透過視覺化工具與以SQL為基礎的轉換流程，整理、建模及管理可重複使用的資料資產，並支援資料綱要、資料血緣、版本控制與生命週期管理。</p> <p>SAP同時擴大SAP BDC可提供的資料範圍，新增SAP Cloud ERP、SAP SuccessFactors、永續發展與客戶體驗等領域資料。另一方面，SAP表示，SAP BDC與SAP HANA Cloud之間已可進行雙向資料分享，讓既有SAP HANA Calculation Views等物件，可直接延伸到SAP BDC中使用。</p> <p>另一波更新則集中在資料庫服務SAP HANA Cloud。SAP將這項產品定位為支援代理式AI與智慧應用程式的AI資料庫，新增自動根據中繼資料產生知識圖譜的功能，並加入模型上下文協定（Model Context Protocol，MCP）支援，讓SAP的AI代理Joule Agents可存取SAP HANA Cloud的多模型處理引擎，不再局限於資料表，還能理解非結構化資料、空間資料、圖學資料與向量嵌入等不同類型資料之間的關係與語意。</p> </div></div></div>
5/18 06:00作者王珮瑤https://www.ithome.com.tw/news/175872
Grafana Labs存取權杖外洩導致其GitHub程式碼庫遭竊與勒索
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p style="margin-left:.05pt;">開放原始碼IT系統監控與分析平臺業者Grafana Labs最近發生資料外洩事故，起因在於攻擊者非法取得GitHub的存取權杖，以此登入GitHub下載其程式碼庫，並向其勒索。</p> <p style="margin-left:.05pt;">週日（5月17日）Grafana Labs在<strong><a href="https://x.com/grafana/status/2055827123236171827">社群平臺X</a></strong>和<strong><a href="https://www.linkedin.com/posts/grafana-labs_we-recently-discovered-that-an-unauthorized-activity-7461591118028251136-qx_C?utm_source=li_share&utm_content=feedcontent&utm_medium=g_dt_web&utm_campaign=copy">LinkedIn</a></strong>發文，坦承近期發現有個未經授權的團體獲得該公司GitHub環境的存取權杖，使攻擊者得以下載該公司的程式碼庫，根據內部調查指出，這起事故期間並無客戶資料或個人資訊被存取，也查無影響客戶系統或營運的相關證據。</p> <p style="margin-left:.05pt;">Grafana Labs即刻展開初步鑑識分析，目前已找出身分憑證外洩的源頭、停用遭外洩的憑證，並部署額外的資安措施，進一步保護他們的環境，以防止未經授權的存取。</p> <p style="margin-left:.05pt;">至於攻擊者，Grafana Labs表示，公司遭到對方的勒索，要求支付贖金以阻止其程式碼庫被公開，對此，Grafana Labs依據自身實務營運經驗與美國聯邦調查局的建議，決定不支付贖金。</p> <p style="margin-left:.05pt;">Grafana Labs預告，待調查工作完成後，將揭露更多關於事後檢討報告的資訊。</p> <p style="margin-left:.05pt;">關於攻擊者身分，資安媒體<strong><a href="https://thehackernews.com/2026/05/grafana-github-token-breach-led-to.html">The Hacker News</a></strong>引用<strong><a href="https://x.com/H4ckmanac/status/2055380899840078266">Hackmanac</a></strong>與 <strong><a href="https://ransomware.live/group/coinbasecartel">Ransomware.live</a></strong>這兩個威脅情資平臺的警示，認為可能是勒索軟體組織CoinbaseCartel。</p> </div></div></div>
5/18 01:38作者李宗翰https://www.ithome.com.tw/news/175878
微軟揭露Exchange Server存在8.1分重大漏洞，並已偵測到漏洞利用活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p style="margin-left:.05pt;">本週微軟發布每月例行安全性更新，沒想到週四（5月14日）該公司突然又<strong><a href="https://techcommunity.microsoft.com/blog/exchange/addressing-exchange-server-may-2026-vulnerability-cve-2026-42897/4518498">揭露CVSS評分8.1的重大漏洞CVE-2026-42897</a></strong>，受到影響的產品主要是部署於企業內部環境（on-premises）的Exchange Server 2016、Exchange Server 2019，以及Exchange Server訂閱版（SE），Exchange Online不受影響。根據微軟安全應變中心（MSRC）當天發布的安全性更新公告，此漏洞已遭利用（Exploited），微軟也偵測到漏洞遭利用的活動，</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/msrc-CVE-2026-42897.png"><img alt="" src="/sites/default/files/images/msrc-CVE-2026-42897.png" style="width: 400px;" /></a></p> <p style="margin-left:.05pt;">隔天美國網路安全與基礎設施安全局（CISA）也<strong><a href="https://www.cisa.gov/news-events/alerts/2026/05/15/cisa-adds-one-known-exploited-vulnerability-catalog">發布警示</a></strong>，將CVE-2026-42897列入已知遭利用漏洞清單（KEV），要求聯邦機構須在5月29日採取緩解措施。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/CISA-KEV-CVE-2026-42897 .png"><img alt="" src="/sites/default/files/images/CISA-KEV-CVE-2026-42897%20.png" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">CVE-2026-42897若不即時修補或緩解，會產生哪些風險？攻擊者可透過寄送特製的電子郵件給用戶，濫用存在Exchange Outlook Web Access（OWA）的跨網站指令碼（XSS）漏洞，<strong><a href="https://www.cve.org/CVERecord?id=CVE-2026-42897">此弱點允許未獲得授權的攻擊者經由網路進行偽冒攻擊</a></strong>，若用戶在OWA開啟該封特製郵件，而且符合特定互動條件時，即可在瀏覽器目前的權限與工作階段執行任何JavaScript程式碼。</p> <p style="margin-left:.05pt;">對於Exchange Server 2016、Exchange Server 2019，以及Exchange Server訂閱版（SE）用戶而言，若想要避免受到CVE-2026-42897的影響，微軟表示，目前正在開發與測試可長期使用的修補機制，若達到品質標準，將正式發布供用戶部署，將會針對Exchange Server 2019 CU14與CU15、Exchange Server 2016 CU23、Exchange SE RTM提供更新，其中，前兩種版本的Exchange更新，微軟僅提供給註冊參加Exchange Server ESU計畫的用戶；對於Exchange SE更新，微軟會公開發布。</p> <p style="margin-left:.05pt;">雖然現在沒有修補CVE-2026-42897的軟體更新，但微軟仍提供兩種暫時的緩解方式，首先是透過<strong><a href="https://learn.microsoft.com/zh-tw/exchange/plan-and-deploy/post-installation-tasks/security-best-practices/exchange-emergency-mitigation-service">Exchange緊急風險降低（Emergency Mitigation，EM）服務</a></strong>，套用IIS URL Rewrite規則，以及停用存在漏洞的Exchange伺服器服務與相關應用程式集區（App Pool）；另一種是經由套用指令碼的方式，協助無法採用EM服務的Exchange用戶緩解，像是離線或隔離環境，用戶須下載最新版本的Exchange on-premises Mitigation Tool（EOMT），針對單臺伺服器或所有伺服器，透過提升權限的Exchange Management Shell（EMS）執行對應的指令碼。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/Scripted application of mitigation-CVE-2026-42897.png"><img alt="" src="/sites/default/files/images/Scripted%20application%20of%20mitigation-CVE-2026-42897.png" style="width: 600px;" /></a></p> </div></div></div>
5/17 02:11作者李宗翰https://www.ithome.com.tw/news/175877
AI持續降低自動化網路攻擊門檻，2025惡意機器人活動霸佔全球網際網路流量4成
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p style="margin-left:.05pt;">隨著AI技術普及與AI代理快速崛起，AI與自動化程式已成為網際網路基礎架構的常態。根據資安廠商Imperva與2023年將其買下的Thales近期發布的報告，<strong><a href="https://www.imperva.com/blog/2025-imperva-bad-bot-report-how-ai-is-supercharging-the-bot-threat/">從2024年開始</a></strong>，人類網路活動流量占比（49％）首度被自動化流量（51％）超越，惡意機器人（bad bots）占所有網路流量的 37％；<strong><a href="https://www.thalesgroup.com/en/news-centre/press-releases/ai-driven-bot-attacks-surged-125x-according-thales-bad-bot-report">到了2025年</a></strong>，機器人（bots）已主導網際網路，占據總流量的一半以上（53％），而有高達40％流量被歸類為惡意機器人。他們在2025年每天封鎖的AI驅動（AI-driven）機器人攻擊達到2,500萬次，而在2024年每天緩解這類活動的規模僅200萬次，暴增至12.5倍，因此他們決定擴增自動化流量觀察類別：AI機器人（AI bots）。</p> <p style="margin-left:.05pt;">之所以如此，原因在於AI與大型語言模型（LLM）的快速普及，使得機器人開發更容易上手，就算是技術水平較低的人也能做到。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/Thales INTERNET TRAFFIC PROFILE BETWEEN 2015 AND 2025.png"><img alt="" src="/sites/default/files/images/Thales%20INTERNET%20TRAFFIC%20PROFILE%20BETWEEN%202015%20AND%202025.png" style="width: 600px;" /></a></p> <h1 style="margin-left: 0.05pt;"><span style="color:#0000FF;"><strong>AI流量將成為網路自動化流量的第三種類型</strong></span></h1> <p style="margin-left:.05pt;">對於網路自動化流量（automated traffic）的類型，Imperva原本分為兩大部分：善意機器人（good bots），例如搜尋引擎的網頁爬取程式（crawlers），以及惡意機器人（bad bots），例如網頁抓取工具（scrapers）、帳號密碼填充工具（credential stuffing tools）、黃牛機器人（scalpers）。現在為了AI代理的大幅成長，Thales決定新增AI自動化流量的類別，他們表示：目前AI代理可代表使用者存取網站、擷取資料與執行各種任務，而且會嵌入瀏覽器、網路搜尋平臺與企業工具，直接與應用系統、API進行大量互動，因此，以往被視為異常的自動化活動，如今越來越常被視為預期中的行為。</p> <p style="margin-left:.05pt;">AI流量暴增的現況，也正在徹底改變企業解讀自動化流量的方式，因為合法自動化與惡意自動化行為之間的界線變得模糊，使得企業更難以判定背後的意圖，原因在於：兩者如今都透過相似的管道、工作流程和基礎設施運作。而且，自動化程式不僅限於網頁抓取工具、帳號密碼填充等活動，而是成為數位環境持續且可預期存在的常態。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/Thales Detectable AI Traffic 2025.png"><img alt="" src="/sites/default/files/images/Thales%20Detectable%20AI%20Traffic%202025.png" style="width: 198px; float: right;" /></a></p> <p style="margin-left:.05pt;">不過，關於AI流量的分析，資安產業對AI驅動自動化活動（AI-driven activity）的能見度仍相當有限。Thales表示，目前他們的分析主要基於可偵測（detectable）的流量，也就是系統能識別或觸發安全控制措施的AI用戶端連線活動，但更大部分的AI驅動自動化活動仍處於無法驗證的狀態，例如，攻擊者可部署自行管理或修改的大型語言模型，這些行為都不會被視為AI代理，而且能針對惡意用途進行微調，導致企業可偵測的狀況與AI產生風險的實際規模，存在日益擴大的差距。</p> <p style="margin-left:.05pt;">關於能偵測到的2025年AI流量，Thales區分為兩大類：首先是利用AI執行網路內容抓取（AI crawlers），目的是為了訓練模型而蒐集資料，占比為85％；其次是利用AI執行資料提取（AI fetchers），能根據使用者提示執行特定動作，占比為15％。</p> <p style="margin-left:.05pt;">而在這兩種AI流量中，資安系統偵測到的惡意機器人流量，各為10.8％與8.8％，顯示AI驅動流量已開始呈現惡意自動化常見的行為模式。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/Thales AI Bot type.png"><img alt="" src="/sites/default/files/images/Thales%20AI%20Bot%20type.png" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/Thales AI CRAWLER BOT TRAFFIC BY SOURCE 2025.png"><img alt="" src="/sites/default/files/images/Thales%20AI%20CRAWLER%20BOT%20TRAFFIC%20BY%20SOURCE%202025.png" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/Thales AI FETCHER BOT TRAFFIC BY SOURCE 2025.png"><img alt="" src="/sites/default/files/images/Thales%20AI%20FETCHER%20BOT%20TRAFFIC%20BY%20SOURCE%202025.png" style="width: 600px;" /></a> </p> <p style="margin-left:.05pt;">縱觀2025年自動化攻擊流量，Thales也揭露不同複雜度的攻擊比例。比起2024年，進階型與中階型機器人攻擊占比（44％與14％）合計增高兩個百分點，他們認為，原因在於惡意機器人變得更加靈活且頑強，攻擊者會利用AI變換指紋、調整互動時機，並在防禦措施生效時迅速轉向，某些攻擊活動會反覆出現，持續探測不同的終端裝置和工作流程，直到找到可行的入侵途徑為止。</p> <p style="margin-left:.05pt;">簡易型機器人攻擊占比（12％）相較去年降低2％，但次數增加超過230％，Thales表示，因為AI降低進入門檻，使技術能力有限的攻擊者也能大規模部署自動化工具，雖然這類自動化攻擊手法不複雜，但仍導致基礎設施持續承受繁重負載，並造成營運的干擾。</p> </div></div></div>
5/16 16:25作者李宗翰https://www.ithome.com.tw/news/175873
VS Code改進代理式開發介面，Agents Window可跨多專案管理代理工作階段
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟發布<strong><a href="https://code.visualstudio.com/updates/v1_120">VS Code 1.120</a></strong>，主要變更之一是<strong><a href="https://code.visualstudio.com/docs/copilot/agents/agents-window">代理視窗（Agents Window）</a></strong>進入VS Code Stable預覽階段。Agents Window讓開發者能在VS Code中以獨立視窗管理代理式開發工作，而原本主要編輯器視窗中的AI聊天介面仍可使用，但Agents Window更強調多專案、多代理工作階段的管理。</p> <p>Agents Window是VS Code針對代理式開發設計的獨立視窗。相較於以單一工作區、程式碼編輯、測試與除錯為中心的主要編輯器視窗，Agents Window以聊天和工作階段清單作為主要介面，並提供變更面板，方便使用者追蹤多個專案中的代理工作。開發者可在Agents Window中輸入任務要求，交由代理規畫、修改程式，再檢查結果。</p> <p>介面配置方面，Agents Window左側列出不同工作區與代理工作階段（Session），中央是與代理互動的聊天區域，右側則提供檔案與變更檢視。代理所修改的檔案，以及新增或刪除的內容，都可在變更面板中查看。使用者也能開啟差異比較，針對特定修改加入回饋，或選擇提交、合併、簽出與捨棄變更。</p> <p>目前Agents Window支援Copilot CLI、Copilot Cloud與Claude Agent。選擇本機資料夾時，可用Copilot CLI或Claude Agent建立工作階段，並可在工作階段中轉交Copilot Cloud，選擇GitHub儲存庫時，則會使用Copilot Cloud。若是Copilot CLI工作階段，開發者可選擇直接在原工作資料夾處理，或使用Git工作樹（Worktree）建立隔離資料夾，讓代理修改先與主要工作區分開，確認後再合併。</p> <p>VS Code 1.120也一併調整AI輔助開發相關功能。對使用自備API金鑰（BYOK）連接模型的使用者，VS Code現在可顯示模型上下文視窗用量，並可為BYOK推理模型設定推理投入程度，讓使用者在回應品質、速度與成本之間取捨。該版本也加入終端機輸出壓縮預覽功能，以及終端機指令風險評估實驗功能，協助使用者在代理執行命令前先判斷可能影響。</p> <p>官方也列出多項限制，包括Agents Window目前只支援Copilot CLI、Copilot Cloud與Claude Agent，本機或其他第三方CLI代理仍需在主要VS Code視窗管理。Copilot Cloud工作階段只支援以GitHub為基礎的儲存庫，Claude代理工作階段尚未支援子工作階段，Agents Window也尚未支援多根目錄工作階段。</p> </div></div></div>
5/15 22:33作者李建興https://www.ithome.com.tw/news/175862
2026年全球資安長人力落差約1比1萬，AI與法規壓力擴大CISO職責
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安業者Sophos與資安市場研究機構Cybersecurity Ventures合作發布<a href="http://www.sophos.com/en-us/resources/report/2026-ciso-report" target="_blank">《2026 CISO Report》指出</a>，2026年全球資安長（CISO）估計約有3.5萬名，僅較2023年的3.2萬名小幅增加；但全球營運中的企業約達3.59億家，相當於平均1名CISO需對應約1萬家企業，凸顯資安領導人才缺口依舊明顯。</p> <p><a href="https://assets.sophos.com/X24WTUEQ/at/g7ghqxsnv5gw8x3rp6sp8jz/2026-ciso-report.pdf" target="_blank">根據這份報告彙整的產業研究與多項調查</a>，大型企業多半已配置全職CISO，<wbr></wbr>部分中型企業則採用兼職或共同型資安長（fractional CISO）或導入虛擬資安長（virtual CISO，vCISO）服務，多數小型企業仍缺乏專責資安主管。</p> <p>成本是原因之一。報告提到，全職CISO年薪通常介於25萬至40萬美元，對多數中小企業負擔過高；相較之下，vCISO服務年費約4萬至12萬美元，成為較可行的替代方案。但Sophos也指出，vCISO這類服務仍受限於專業人力規模，難以大幅擴張。</p> <p>除了人力不足，CISO承受的工作壓力也持續升高。報告引用多項產業調查指出，CISO平均任期約18至26個月，背後原因包括責任升高、法遵要求增加、人才短缺，以及董事會期待提高。</p> <p>在2026年CISO面臨的主要議題中，AI是最受關注的項目之一。高階人才顧問公司Heidrick & Struggles調查顯示，57%的受訪者將AI、機器學習與資料分析列為最需要建立或維持的專業能力，另有96%表示已使用AI強化公司資安態勢。</p> <p>勒索軟體仍是最受關切的企業風險。報告指出，57%的CISO將勒索軟體列為首要威脅，其次是供應鏈中斷、網路詐欺，以及惡意內部威脅。另一方面，涉及第三方軟體的資料外洩事件在2025年增加一倍，占所有資料外洩事件的30%，也凸顯供應鏈攻擊與雲端平臺風險持續升高。</p> <p>報告指出，後量子密碼學（post-quantum cryptography，PQC）轉換、人員風險管理與法規遵循，都是CISO中長期的重要課題。市場研究機構Gartner則預測，到2027年，隨著法規壓力升高與攻擊面持續擴大，將有45%的CISO職責延伸到傳統資安範圍之外，反映這個角色未來不只負責技術風險控管，還得更深入承擔治理、法遵、內部威脅與企業當責等工作。</p> </div></div></div>
5/15 19:30作者王珮瑤https://www.ithome.com.tw/news/175864
AWS推Redshift RG執行個體，採Graviton處理器提升效能並降低資料湖查詢成本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><strong><a href="https://aws.amazon.com/blogs/aws/amazon-redshift-introduces-aws-graviton-based-rg-instances-with-an-integrated-data-lake-query-engine/">AWS推出Amazon Redshift RG執行個體</a></strong>，這是Redshift新的執行個體家族，採用AWS Graviton處理器，並整合資料湖查詢引擎。AWS表示，RG執行個體執行資料倉儲工作負載時，速度最高可達既有RA3執行個體的2.2倍，每vCPU價格低30%，適用於資料倉儲、資料湖與高頻查詢工作負載的成本控管需求。</p> <p>Amazon Redshift是AWS的雲端資料倉儲服務，企業常以Redshift處理結構化且經常存取的資料，並以資料湖保存更多樣、成本較低的大量資料。AWS強調，隨著BI儀表板、ETL流程與AI代理程式帶來更頻繁的查詢需求，分析平臺需要在延遲、效能與成本之間取得更好的平衡。</p> <p>RG執行個體的主要變化，是Redshift可用同一套查詢引擎存取資料倉儲與資料湖。AWS指出，內建資料湖查詢引擎預設啟用，使用者可從單一引擎執行SQL分析，查詢Redshift資料表與Amazon S3資料湖資料。在查詢資料湖格式資料時，AWS表示，RG執行個體查詢Apache Iceberg的效能最高可達RA3的2.4倍，查詢Apache Parquet則最高可達RA3的1.5倍。</p> <p>該架構調整也改變Redshift查詢資料湖的成本組成，AWS說明，Redshift現在會在叢集節點上執行資料湖查詢，也就是使用處理資料倉儲工作負載的同一批運算資源。因此Amazon Redshift Spectrum現在不再是必要元件，資料湖查詢可留在使用者的VPC邊界內，沿用既有IAM角色，也不再產生過去Spectrum每TB掃描5美元的費用。</p> <p>企業可透過AWS管理主控臺、AWS CLI或AWS API建立新的RG叢集，也可將既有Redshift叢集搬遷至RG執行個體。AWS提供兩種使用方式，一是Elastic Resize，適用於相容組態，AWS提到，停機時間約10至15分鐘。另一種是快照還原（Snapshot and Restore），可從RA3快照建立RG叢集，適合在搬遷時一併調整組態。</p> <p>AWS表示，既有外部資料表、Schema與查詢語法，包括原本的Spectrum查詢，都不需要重建或修改應用程式碼。Redshift RG執行個體目前已在多個AWS地區開放，包括美國、加拿大、歐洲、南美，以及亞太區的香港、首爾、新加坡、東京、大阪、臺灣和雪梨等地區。</p> </div></div></div>
5/15 18:30作者李建興https://www.ithome.com.tw/news/175858
Google發布電腦版Chrome 148更新，修補79個資安漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>5月12日Google發布電腦版<strong><a href="https://chromereleases.googleblog.com/2026/05/stable-channel-update-for-desktop_12.html">Chrome更新148.0.7778.167、148.0.7778.168</a></strong>，總共修補79個漏洞，從嚴重程度來看，有14個是重大等級、37個屬於高風險等級，其餘28個為中度風險。</p> <p>從漏洞的類型來看，記憶體相關的弱點占大多數，其中又以記憶體釋放後再次存取利用（Use After Free）的漏洞最多，有24個，整數溢位漏洞8個居次、記憶體堆積緩衝區溢位漏洞有6個，記憶體越界讀取與越界寫入的漏洞各有5個。此外，安全政策未充分落實、對於未獲信任的輸入的驗證不足、實作不當類型的弱點，分別有8個、6個、6個。</p> </div></div></div>
5/15 17:29作者周峻佑https://www.ithome.com.tw/news/175860
【資安週報】0511~0515，Linux零時差漏洞攻擊不斷，再爆Dirty Frag漏洞鏈遭鎖定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>本週資安焦點首推Linux系統面臨的零時差漏洞攻擊威脅。繼先前的Copy Fail漏洞後，近期再度爆發鎖定Dirty Frag漏洞鏈的攻擊行動，甚至還有第三個同樣屬於本機提權漏洞的Fragnesia遭揭露。由於此類威脅波及多個主流Linux發行版，影響範圍之廣，企業維運團隊絕不容輕忽。</p> <p>在資安防禦焦點方面，上週舉行的臺灣資安大會中，多位政府與企業資安專家分享了第一手的治理藍圖與實務經驗。例如，金管會預告即將發布金融業PQC遷移指引，醫療產業對OT資安盤點的分級防護經驗，以及生成式AI時代下的治理挑戰與藍隊防禦實戰成果。這些來自第一線的實戰洞察，為企業在面對技術轉型與威脅加劇的雙重考驗下，提供了關鍵的應對指引。</p> <p> </p> <h1 style="margin: 0px;"><strong style="color: rgb(255, 140, 0);">政策法規</strong></h1> <p><span style="color:#696969;"><strong>這一星期政策焦點聚焦於金融與醫療產業的資安韌性升級。金管會預告將發布金融業PQC遷移指引，積極應對後量子時代的加密挑戰；醫療端則建議醫學中心的資安預算應占總經費15％至10％，地區醫院至少也要有3%至5%。此外，英國NCSC提醒企業導入AI找漏洞前須先完善漏洞管理，以及AI SBOM最低要素指引的發布，亦提醒企業，須認知漏洞管理與SBOM已是AI治理的基本配置。</strong></span></p> <p><a href="https://www.ithome.com.tw/news/175737"><strong>金管會揭金融資安韌性藍圖最新進展，即將發布金融業</strong><strong>PQC</strong><strong>遷移指引</strong></a></p> <p><a href="/sites/default/files/images/2026-05-15_164814.jpg"><img alt="" src="/sites/default/files/images/2026-05-15_164814.jpg" style="width: 380px; float: right;" /></a></p> <p>金融資安當前最迫切的挑戰為何？答案是：AI漏洞風暴與後量子密碼遷移。金管會資訊服務處處長林裕泰指出，面對AI加速漏洞攻擊的嚴峻態勢，建議應從三大面向著手：首先是部署AI防禦代理，其次是透過網路分段與零信任架構以「彈性阻斷」，最後則是建立漏洞維運（VulnOps）機制；面對後量子密碼的遷移，去年7月金管會已啟動先導計畫，預計這個月就會發布「金融業後量子密碼遷移參考指引」。此外，金管會亦正積極籌畫多項精進作為，包含建構具備四大治理主軸的金融韌性成熟度分級評估指標，並計畫訂定供應商分級與委外資安責任的參考範本。</p> <p><a href="https://www.ithome.com.tw/news/175707"><strong>金融資安治理、防護與韌性演練都必須持續升級</strong></a></p> <p>強化資安韌性持續成金融業關注焦點，金管會副主委莊琇媛強調AI對資安的影響越發顯現，他提醒國內金融業者，資安治理必須持續升級，防護能力也必須升級，韌性更一定要能演練和驗證，才能讓我們在面對攻擊發生時，能快速因應、盡速恢復。還有供應鏈資安管理這樣的重要課題，需將資安防護的責任，從單一金融機構擴展到整個生態系。</p> <p><a href="https://www.ithome.com.tw/news/175668"><strong>衛福部期中將著重</strong><strong>AI</strong><strong>與資安治理，醫院資安預算至少應編</strong><strong>3%</strong></a></p> <p>醫療產業近年約有95%的資安事件源於人為因素，中山醫學大學附設醫院醫療資訊中心副主任黃冠凱揭露問題之餘，同時強調臺灣多數醫院的資安成熟度，仍停留在第二至三級，亟需向第四級邁進——透過整合威脅情資、自動化回應與AI異常偵測，在攻擊擴散前主動阻斷風險。他並建議，醫院整體資安經費應占總預算3%至15%：地區醫院建議投入3%至5%、區域醫院5%至10%、醫學中心則應達10%至15%。</p> <p><a href="https://www.ithome.com.tw/news/175813"><strong>驅動供應鏈韌性，漢翔憑</strong><strong>CMMC</strong><strong>實戰經驗打造供應鏈資安評級系統</strong></a></p> <p>面對全球資安合規浪潮，漢翔航空工業作為全臺首家獲得美國國防部CMMC Level 2認證的國防大廠，該公司資訊處處長方一定於臺灣資安大會解析供應鏈管理之道，並公布漢翔依據CMMC實戰經驗開發的「供應鏈資訊安全評級系統（AIxSISAS）」。更引發矚目的是，漢翔不僅將此平臺落實於自身供應鏈治理，還期盼能與更多關鍵產業指標企業合作，共築供應鏈資安生態圈</p> <p><a href="https://www.ithome.com.tw/news/175732"><strong>英國</strong><strong>NCSC</strong><strong>提醒企業使用</strong><strong>AI</strong><strong>尋找漏洞前，先完善漏洞管理機制</strong></a></p> <p>英國國家網路安全中心（NCSC）指出，企業使用AI尋找漏洞前，應先完善漏洞管理機制。使用AI模型尋找漏洞，目的應是強化系統安全；企業組織在導入前，應先確認自身是否具備漏洞管理、資產盤點等能力，否則當漏洞回報量增加，反而可能加重資安團隊負擔。</p> <p><a href="https://www.ithome.com.tw/news/175762"><strong>DMTF</strong><strong>的</strong><strong>SPDM</strong><strong>硬體安全驗證標準被納入</strong><strong>FIPS 140-3</strong><strong>規範</strong></a></p> <p>國際非營利標準組織DMTF宣布，SPDM（Security Protocol and Data Model）標準已正式納入FIPS 140-3實作指引參考規範，這代表原本由產業推動的硬體安全驗證機制，開始進入美國聯邦加密驗證體系。SPDM近年已廣泛應用於PCIe裝置、伺服器BMC與SSD等硬體，用於裝置身分驗證、韌體完整性檢測。</p> <p><a href="https://www.ithome.com.tw/news/175770"><strong>CISA</strong><strong>與</strong><strong>G7</strong><strong>共同發布</strong><strong>AI</strong><strong>軟體物料清單入門指引，推動跨國</strong><strong>AI</strong><strong>供應鏈透明化</strong></a></p> <p>CISA與G7集團成員共同發布《AI軟體物料清單最低要素》指引，建立AI系統資訊揭露框架。AI SBOM除列出軟體元件，也涵蓋AI模型、資料集、推論框架與基礎設施等內容，協助企業掌握AI供應鏈依賴關係、漏洞風險與模型來源可信度，將成為AI治理與供應鏈透明化的重要一步。</p> <p><a href="https://www.ithome.com.tw/news/175597"><strong>逾</strong><strong>8</strong><strong>成金融業者已導入</strong><strong>AI</strong><strong>，監管機關最擔心資料隱私與</strong><strong>AI</strong><strong>幻覺風險</strong></a></p> <p>劍橋大學研究指出，81%金融服務業者已導入AI，生成式AI與代理式AI快速普及，但資料隱私、AI幻覺、輸出不可靠與模型可解釋性不足，也成為金融監管機關最關注的風險。</p> <p> </p> <h1><span style="color: rgb(255, 140, 0);"><strong>AI資安</strong></span></h1> <p><span style="color:#696969;"><strong>AI領域正上演攻防兩端的自動化軍備競賽。一方面，OpenAI發表 Daybreak資安防禦方案，微軟公開MDASH多模型代理式AI安全系統，多家業者亦相繼展示利用AI找出大量系統漏洞的實戰成果，涵蓋Curl、開源電子病歷系統OpenEMR等；另一方面，Google首度揭露駭客濫用AI挖掘零時差漏洞並企圖發動大規模攻擊，加上LiteLLM漏洞遭利用、Mistral AI供應鏈攻擊等事件接連爆發，顯示AI生態系已成為駭客的新獵場。</strong></span></p> <p><a href="https://www.ithome.com.tw/news/175703"><strong>AI時代資安新風險，東元電機：未來駭客攻擊的不只是系統，而是企業決策</strong></a></p> <p>從資安治理到AI治理，東元電機數位發展處處長胡修武強調，專案只是培養企業能力的一種手段，應以能力成熟度為目標，如今生成式AI快速進入企業營運流程，需重視治理焦點的轉移，並指出資料流動掌控力的重要性，同時強調未來AI時代真正危險的地方是，當AI逐漸成為企業內部的「數位員工」，未來駭客攻擊的目標，也將不再只是系統本身，而是企業的決策能力</p> <p><a href="https://www.ithome.com.tw/news/175726"><strong>用</strong><strong>AI</strong><strong>對抗</strong><strong>AI</strong><strong>，緯創資通藍隊將資安事件回應速度從「小時」縮短至「分鐘」</strong></a></p> <p>面對AI時代日益嚴峻的網路攻擊，緯創資通從2024年即開始嘗試以AI強化藍隊防禦戰力。該公司在2026臺灣資安大會揭露實戰成果，指出過去SOC團隊每月面對將近1,000筆告警，但其中約65％是誤報，容易導致真正的威脅可能延遲處理。在發展初期，他們藉助AI判斷病毒感染與網頁攻擊事件，成效顯著，後續更延伸至複雜的異常登入場景，經長時間調校，正確率終於穩定達平均97.5%，整體處理時間也從4小時壓縮至10分鐘</p> <p><a href="https://www.ithome.com.tw/news/175767"><strong>AI</strong><strong>代理與開源模型正重塑資安風險，企業需建立制度化、自動化的漏洞治理與</strong><strong>AI</strong><strong>責任機制</strong></a></p> <p>面對AI新時代，企業不應僅停留在只是導入AI。元智大學資管系助理教授王仁甫指出，AI不只是工具，本身也是一套系統，而所有系統都存在漏洞。當AI開始具備自主操作、存取資料與呼叫API能力後，資安風險也將進一步擴大至AI代理、開源模型與供應鏈層級。因此，他建議，企業AI治理應聚焦四大核心：資料品質與完整性、透明性與可稽核性、偏誤與公平性管控，以及明確的責任歸屬，從而建立完整的AI治理與資安管理機制。</p> <p><a href="http://www.ithome.com.tw/news/175679"><strong>美國警告LiteLLM</strong></a><strong><a href="http://www.ithome.com.tw/news/175679">重大SQL注入漏洞已被用於實際攻擊</a>【</strong>CVE-2026-42208<strong>】</strong></p> <p>LiteLLM開發團隊4月24日揭露SQL注入漏洞CVE-2026-42208，在公告發布的36小時後，資安公司Sysdig發現有人將其用於實際攻擊，事隔兩週後，美國網路安全暨基礎設施安全局（CISA）將CVE-2026-42208列入已遭利用的漏洞名冊（KEV），要求聯邦機構必須在5月11日前完成修補。</p> <p><a href="https://www.ithome.com.tw/news/175764"><strong>Ollama</strong><strong>重大漏洞影響自架</strong><strong>LLM</strong><strong>部署</strong></a></p> <p>大型語言模型工具Ollama存在CVE-2026-7482重大漏洞，通報此漏洞的資安業者Cyera在5月5日公布漏洞細節，並將之命名為「Bleeding Llama」。值得關注的是，該漏洞於2月2日通報，2月24日Ollama就已發布0.17.1版本完成修補，不過當時新版釋出並未標註修補重大漏洞，且因CVE編號申請延宕，直到近3個月後才浮出檯面。這種情形，恐那些習慣先評估、後更新的企業未能及時警覺。</p> <p><a href="https://www.ithome.com.tw/news/175802"><strong>Mistral AI</strong><strong>的</strong><strong>PyPI</strong><strong>套件遭遇供應鏈攻擊</strong></a></p> <p>AI公司Mistral AI的PyPI套件2.4.6版遭到入侵，5月12日微軟威脅情報團隊提出警告，這波攻擊行動針對Linux開發環境，最終的有效酬載是竊資軟體，但值得留意的是，此惡意軟體在特定國家會出現不同的行為，例如，受害主機在俄語國家，酬載將停止運作；受害主機若位於以色列或伊朗，酬載將有六分之一的機率執行rm -rf /進行破壞。</p> <p><a href="https://www.ithome.com.tw/news/175713"><strong>OpenAI</strong><strong>發表</strong><strong>Daybreak</strong><strong>資安防禦方案，整合</strong><strong>GPT-5.5-Cyber</strong><strong>與</strong><strong>Codex Security</strong></a></p> <p>資安人員迎來新AI戰力，OpenAI發表Daybreak資安防禦方案，其核心理念在於從軟體開發初始階段即介入防護。具體而言，此方案整合GPT-5.5-Cyber與Codex Security，可將安全程式碼審查、威脅建模、修補驗證、相依套件風險分析，以及偵測與修復建議，納入日常軟體開發流程。特別的是，此方案還設計了模型分級存取機制，可依照使用情境與風險程度開放不同能力</p> <p><a href="https://www.ithome.com.tw/news/175789"><strong>AI</strong><strong>自主網攻能力加速，資安任務長度每</strong><strong>4.7</strong><strong>個月翻倍</strong></a></p> <p><a href="/sites/default/files/images/2026-05-15_165441.jpg"><img alt="" src="/sites/default/files/images/2026-05-15_165441.jpg" style="width: 380px; float: right;" /></a></p> <p>近年大家對於AI模型進步速度深有所感，最新研究更是顯示，自2024年底以來，先進AI模型可穩定完成的資安任務長度，約每4.7個月翻倍。英國AI安全研究所（AISI）指出，若從Claude Mythos Preview與GPT-5.5的最新測試表現來看，甚至已超出原本的成長趨勢</p> <p><a href="https://www.ithome.com.tw/news/175721"><strong>AI</strong><strong>資安模型</strong><strong>Mythos</strong><strong>首度實戰</strong><strong>curl</strong><strong>專案，發現</strong><strong>1</strong><strong>項漏洞與</strong><strong>20</strong><strong>項程式缺陷</strong></a></p> <p>AI資安模型Mythos首次應用於curl專案的程式碼分析，掃描約17.6萬行程式碼後回報5項漏洞，最終僅1項低嚴重性漏洞獲得確認，其餘為誤判或一般程式缺陷。curl維護者指出，由於他們先前已使用多種工具發現與修補curl中的問題，Mythos要再發現新問題也變得更困難，單純比較漏洞發現數量並不盡公平。</p> <p><a href="https://www.ithome.com.tw/news/175805"><strong>微軟公開自家</strong><strong>MDASH</strong><strong>多模型代理式</strong><strong>AI</strong><strong>安全系統，發現</strong><strong>Windows</strong><strong>軟體</strong><strong>16</strong><strong>個漏洞</strong></a></p> <p>不讓Anthropic Claude Mythos及OpenAI Daybreak專美於前，微軟本週也展現以AI找漏洞的研發成果，他們公開代號MDASH的多模型代理式AI安全系統，並說明將其用於自家產品的漏洞掃描，結果它在StorageDrive驅動程式找出21項微軟刻意植入的漏洞，經過進一步驗證也顯示零誤判，而本週Patch Tuesday修補的Windows網路堆疊及相鄰服務漏洞中，也有16個是來自MDASH的發現。</p> <p><a href="https://www.ithome.com.tw/news/175674"><strong>Firefox</strong><strong>大改版修復的漏洞不只</strong><strong>271</strong><strong>個！</strong><strong>Mozilla</strong><strong>基金會指出其實</strong><strong>多達</strong><strong>423</strong><strong>個</strong></a></p> <p>近期兩大先進AI模型被用於資安漏洞偵測與修補的話題引發熱議，先前Firefox推出150版更新時，提到Mozilla基金會將Claude Mythos Preview用於Firefox，並修復在初步評估發現的271個漏洞。而在5月7日發布的部落格文章，Mozilla基金會揭露強化Firefox資安的幕後花絮，坦言結合AI、模糊測試、人工處理的漏洞其實有423個。</p> <p><a href="https://www.ithome.com.tw/news/175702"><strong>AI</strong><strong>工具</strong><strong>3</strong><strong>個月找出</strong><strong>38</strong><strong>個</strong><strong>OpenEMR</strong><strong>漏洞，包括恐導致敏感資料外洩的滿分重大漏洞</strong></a></p> <p>資安公司Aisle利用AI分析工具，在3個月內找出開源電子病歷系統OpenEMR的38項漏洞，其中2項為CVSS風險評分達10.0的重大漏洞，可能導致敏感資料外洩與遠端程式碼執行。相關漏洞已由OpenEMR維護團隊完成修補，並於程式碼審查流程整合AI審查工具AISLE PRO，強化後續漏洞偵測與修補流程。</p> <p><a href="https://www.ithome.com.tw/news/175722"><strong>Google</strong><strong>揭露駭客濫用</strong><strong>AI</strong><strong>找出零時差漏洞，企圖發動大規模攻擊</strong></a></p> <p>Google威脅情報團隊（GTIG）近日指出，首度偵測到駭客組織企圖利用AI挖掘的零時差漏洞進行大規模攻擊，經與廠商協作及時攔阻，攻擊並未成功。Google指出，發現該攻擊的指令碼內含大量註解說明，並提供一般駭客通常不會標註、疑似捏造的CVSS風險評分，再者，這些程式碼採用結構化、教科書式的Python程式撰寫風格等，這些都是人類駭客在撰寫程式碼不會出現的內容。不過，Google目前尚未揭露受影響的軟體或系統名稱。</p> <p><a href="https://www.ithome.com.tw/news/175660"><strong>因應</strong><strong>AI</strong><strong>輔助開發風險，</strong><strong>GitHub MCP Server</strong><strong>加入提交前機密憑證與相依套件掃描</strong></a></p> <p>針對GitHub MCP Server，GitHub新增了機密憑證與相依套件掃描功能。使用者可為儲存庫啟用GitHub Secret Protection，以協助檢查程式碼變更中是否包含可能外洩的密碼、金鑰、權杖或其他憑證；也可啟用Dependabot警示，由GitHub根據專案的相依套件資訊與GitHub漏洞公告資料庫進行比對，並回報受影響套件、漏洞嚴重程度及建議修補版本。</p> <p><a href="https://www.ithome.com.tw/news/175792"><strong>Meta</strong><strong>推出</strong><strong>Incognito Chat</strong><strong>，主打</strong><strong>AI</strong><strong>對話完全私密</strong></a></p> <p>WhatsApp與Meta AI App將針對AI對話情境新增Incognito Chat隱私聊天模式，Meta指出，隨著使用者開始向AI諮詢健康狀況、貸款、財務及職涯等敏感問題，透過Private Processing技術，可確保對話僅在臨時且隔離的安全環境中進行。該模式預設不儲存紀錄，訊息處理完畢後會自動消失，Meta官方也無法查看內容。</p> <p><a href="https://www.ithome.com.tw/news/175692"><strong>逾</strong><strong>5</strong><strong>千個</strong><strong>Vibe Coding</strong><strong>應用程式可公開存取且毫不設防，可能導致企業資料外洩</strong></a></p> <p>以色列資安業者RedAccess揭露，他們發現逾5千個透過AI輔助Vibe Coding建立的應用程式暴露於網路上，且缺乏驗證與保護機制，可能外洩企業敏感資料。問題源自使用者缺乏安全意識，且將應用程式直接公開部署，部分甚至可被搜尋引擎索引，引發資安疑慮。</p> <p><a href="https://www.ithome.com.tw/news/175775"><strong>Veeam</strong><strong>推出</strong><strong>DataAI Command Platform</strong><strong>，整合</strong><strong>AI</strong><strong>代理治理與資料復原</strong></a></p> <p>因應生成式AI與AI代理應用擴張，備份與資料保護大廠Veeam將防線由資料安全延伸至AI資安，該公司發表DataAI Command Platform，將AI代理治理、DSPM（資料安全態勢管理）、身分管理，以及資料復原功能，整合為統一的AI信任層。強調該平臺可分析敏感資料、AI代理權限與存取風險，並提供精細資料復原能力，降低AI代理錯誤操作帶來的影響。</p> <p> </p> <h1><span style="color: rgb(255, 140, 0);"><strong>資料安全</strong></span></h1> <p><span style="color:#696969;"><strong>這一星期國內焦點為鴻海北美廠遭Nitrogen勒索軟體竊取8TB檔案，引起各界高度關注；國安局示警高德地圖異常蒐集與回傳個資，則引發對跨境傳輸機制的情資重視。國際間則有SailPoint與Trellix接連傳出遇襲，再次突顯資安大廠在資料保護上也面臨嚴峻挑戰。</strong></span></p> <p><a href="https://www.ithome.com.tw/news/175745"><strong>勒索軟體組織</strong><strong>Nitrogen</strong><strong>疑似駭入鴻海，取得</strong><strong>8TB</strong><strong>、上千萬份檔案</strong></a></p> <p><a href="/sites/default/files/images/2026-05-15_165553.jpg"><img alt="" src="/sites/default/files/images/2026-05-15_165553.jpg" style="width: 380px; float: right;" /></a></p> <p>根據資安媒體Cybernews報導，5月初鴻海美國廠區發生嚴重IT問題後，勒索軟體Nitrogen操作者本週在其暗網網站將鴻海列為受害者。駭客宣稱取得8TB、1100萬份生產及客戶檔案，包括英特爾、蘋果、Dell、Nvidia的機密指令、專案和設計草圖，以及其他眾多檔案。5月12日晚上，鴻海公司在公開資訊觀測站發布重訊，提供有關集團北美部分廠區遭網路攻擊說明，指出資安團隊已啟動應變機制，目前受影響廠區之生產營運均維持正常。</p> <p><a href="https://www.ithome.com.tw/news/175644"><strong>國安局指出高德地圖存在資安問題，使用者通話及個資會回傳中國</strong></a></p> <p>中國導航服務高德地圖竄紅，但其資料來源與個資蒐集方式引發疑慮，4月下旬數發部根據資通安全管理法要求政府機關禁止使用，近日國家安全局也對高德地圖進行檢測，結果發現多項資安問題，例如，不僅持續收集使用者的通訊錄、通話內容、即時視訊影音內容，並回傳到中國伺服器，更值得留意的是，即便使用者將應用程式關閉，高德地圖仍持續回傳用戶資料，因此存在較高的資安風險。</p> <p><a href="https://www.ithome.com.tw/news/175715"><strong>汽車大廠</strong><strong>Skoda</strong><strong>網路商店被駭，疑外洩客戶個資</strong></a></p> <p>捷克汽車大廠Skoda線上商店平臺近期發生遭駭事故，該公司發布公告警示客戶姓名、電子郵件信箱等個資可能遭存取。Skoda指出攻擊者曾取得對網路商店系統的未授權存取權限，並研判駭客是濫用其運行線上商店的標準商店軟體的漏洞，可能存取線上商店平臺處理的資料。</p> <p><a href="https://www.ithome.com.tw/news/175711"><strong>身分驗證管理供應商</strong><strong>SailPoint</strong><strong>的</strong><strong>GitHub</strong><strong>儲存庫遭駭</strong></a></p> <p>身分驗證管理供應商SailPoint向美國證券交易委員會（SEC）提交8-K表單，說明該公司4月20日偵測到部分GitHub儲存庫出現未經授權存取的情況，事件回應團隊隨即阻止未經授權的行為，找出被入侵的原因並予以處置。該公司透露，攻擊者是透過第三方應用程式的弱點而獲得存取管道，目前該漏洞已經修復。根據初步的調查結果，SailPoint未發現客戶資料於生產或臨時環境遭到存取的跡象，亦未出現服務中斷，該公司已通知資料存放在上述儲存庫的客戶。</p> <p><a href="https://www.ithome.com.tw/news/175680"><strong>勒索軟體</strong><strong>RansomHouse</strong><strong>聲稱竊得資安公司</strong><strong>Trellix</strong><strong>的原始碼</strong></a></p> <p>5月初資安公司Trellix傳出原始碼儲存庫遭未經授權存取，外界好奇到底是哪一個駭客組織所為？上週勒索軟體RansomHouse將Trellix列於資料外洩網站，並發布螢幕截圖宣稱他們成功存取該公司的裝置管理系統，該團體聲稱於4月17日成功入侵Trellix。Trellix表示，他們已掌握駭客的說法並著手調查。</p> <p><a href="https://www.ithome.com.tw/news/175683"><strong>Canvas</strong><strong>再被駭客入侵斷線，大學被迫延遲期末考</strong></a></p> <p>學習管理系統Canvas開發商Instructure上週遭勒索軟體組織 ShinyHunters二次入侵。這群駭客將Canvas入口網站置換成勒索訊息，聲稱未接獲Instructure聯繫，並且一再威脅，後續該網站入口更是直接斷線。由於此時正是大學院校舉行期末考期間，斷線也導致使用Canvas平臺的大學院校行程大亂。包含伊利諾大學、貝勒大學及亞利桑納大學等校，均被迫延後或取消期末考試與報告。加州大學系統則宣布全面清查並暫時封鎖所有分校的Canvas存取，以確保系統安全。</p> <p><a href="https://www.ithome.com.tw/news/175757"><strong>Best Western Hotel</strong><strong>遭駭訂房資料外洩長達</strong><strong>6</strong><strong>個月</strong></a></p> <p>總部位於亞利桑納州、旗下擁有逾4,200家旅館的貝斯特韋斯特（Best Western Hotel，BWH）集團，本週發送電子郵件通知資料外洩事件，說明今年4月22日偵測到特定訂房網頁應用出現異常存取，隨即將該系統下線並註銷駭客權限，同時協同外部資安專家展開調查與加固。經調查，去年10月至今年4月間部分客戶資料遭非法存取，受影響資訊涵蓋姓名、電子郵件、電話、住家地址及訂房細節。</p> <p> </p> <h1><strong style="color: rgb(255, 140, 0);">端點安全</strong></h1> <p><span style="color:#696969;"><strong>繼Linux核心Copy Fail漏洞後，近期再度爆發鎖定Dirty Frag漏洞鏈的零時差漏洞攻擊；在Windows方面，亦有研究人員揭露YellowKey零時差漏洞，涉及BitLocker繞過而引發重視。此外，多則消息顯示駭客濫用RMM與資安元件側載DLL建立持久滲透，突顯端點防禦對合法工具濫用的偵測挑戰。</strong></span></p> <p><strong><a href="http://www.ithome.com.tw/news/175646">Linux核心再現本機提權漏洞，發行版修補前攻擊程式已流出</a>【Dirty Frag】【</strong><strong>CVE-2026-43284</strong><strong>、</strong><strong>CVE-2026-43500</strong><strong>】</strong></p> <p><a href="/sites/default/files/images/2026-05-15_165719.jpg"><img alt="" src="/sites/default/files/images/2026-05-15_165719.jpg" style="width: 380px; float: right;" /></a></p> <p>Linux核心漏洞消息連連，繼Copy Fail漏洞之後，資安研究人員Hyunwoo Kim公開名為Dirty Frag的漏洞鏈，值得關注意的是，此漏洞影響所有主流Linux環境且修補尚未釋出，CVE編號也尚未公開，但已有第三方公開部分漏洞細節與攻擊程式。後續最新消息是，該漏洞指向<strong><a href="https://www.ithome.com.tw/news/175672">CVE-2026-43284與CVE-2026-43500</a></strong>，多家IT與資安廠商也紛紛發布相關的觀察分析，並警示影響的產品涵蓋2017年至今的Linux系統核心，以及Ubuntu、RHEL、 CentOS Stream、AlmaLinux、Fedora、openSUSE等Linux發行版，容器平臺OpenShift也面臨這樣的風險。</p> <p><strong><a href="https://www.ithome.com.tw/news/175850">Linux再爆本機提權漏洞，兩週內已經找到第三個</a></strong></p> <p>近兩個禮拜以來，陸續有研究人員揭露涵蓋多個Linux發行版的本機提權漏洞（LPE），最新揭露的漏洞稱為Fragnesia（CVE-2026-46300），CVSS嚴重度評分為7.8，存在Linux核心的XFRM ESP-in-TCP子系統。研究人員已透過V12團隊的GitHub頁面公布利用該漏洞的概念驗證程式（PoC）、緩解與修補方式。目前已有多個Linux發行版本發布相關公告，包含AlmaLinux、Amazon Linux、CloudLinux、Debian、Gentoo、Red Hat Enterprise Linux、SUSE、Ubuntu。</p> <p><a href="https://www.ithome.com.tw/news/175634"><strong>Ivanti</strong><strong>修補裝置管理平臺</strong><strong>EPMM</strong></a><strong><a href="https://www.ithome.com.tw/news/175634">已遭利用的高風險漏洞</a>【CVE-2026-6973】</strong></p> <p>資安公司Ivanti揭露端點管理平臺Endpoint Manager Mobile（EPMM）存在5個高風險漏洞，其中CVE-2026-6973已出現實際攻擊活動。這些漏洞影響12.8.0.0以下版本的EPMM，Ivanti發布12.8.0.1、12.7.0.1、12.6.1.1版修補。該公司呼籲IT人員，應檢查具備管理員權限的帳號，並在必要的情況下輪換憑證。</p> <p><a href="https://www.ithome.com.tw/news/175747"><strong>微軟發布5月份安全例行更新，修補</strong><strong>137</strong><strong>個資安漏洞</strong></a></p> <p>5月份例行更新微軟公開137個由該公司登記CVE編號的漏洞，當中有13個很有可能會成為駭客利用的目標，較為值得留意，權限提升類型的漏洞占大多數，下列四個被評為重大等級：CVE-2026-35435、CVE-2026-40361、CVE-2026-40364、CVE-2026-41103，根據CVSS風險評分來看，最嚴重的是CVE-2026-41103，出現在用於Jira與Confluence的微軟單一登入（SSO）外掛程式，風險值為9.1。</p> <p><a href="https://www.ithome.com.tw/news/175755"><strong>蘋果發布作業系統</strong><strong>26.5</strong><strong>版更新，並為更多行動裝置修補通知服務漏洞</strong></a></p> <p>蘋果針對iOS、iPadOS、macOS、tvOS、watchOS、visionOS發布26.5版更新，從弱點數量來看，macOS有79個最多，iOS與iPadOS有61個居次，其中最受到關注的地方，就是先前為iOS 18與iOS 26修補的通知服務漏洞CVE-2026-28950，這次他們發布iPadOS 17.7.11、iOS與iPadOS的16.7.16、iOS與iPadOS 15.8.8，為更多裝置修補這項弱點。</p> <p><a href="https://www.ithome.com.tw/news/175782"><strong>資安研究員揭露</strong><strong>Windows BitLocker</strong><strong>與</strong><strong>CTFMON</strong></a><strong><a href="https://www.ithome.com.tw/news/175782">的零時差漏洞</a>【YellowKey】【GreenPlasma】</strong></p> <p>研究人員再度公布新的零時差漏洞，一是磁碟加密機制BitLocker的漏洞YellowKey，另一是輸入法元件CTFMON的漏洞GreenPlasma，並釋出部分概念驗證程式碼（PoC）。這兩個漏洞皆影響Windows 11、Windows Server 2022與2025，但Windows 10似乎不受影響。其中值得留意的是YellowKey，Chaotic Eclipse形容它幾乎等同於後門，該漏洞出現在Windows復原環境（WinRE），攻擊者需要將特製的FxTx檔案存放於USB隨身碟或EFI磁碟分割區，就有機會在WinRE環境存取BitLocker保護的檔案。資安專家Kevin Beaumont確認該漏洞的存在，呼籲使用者為BitLocker設置PIN碼，或是採用BIOS密碼保護措施因應。</p> <p><a href="https://www.ithome.com.tw/news/175794"><strong>伊朗駭客</strong><strong>MuddyWater</strong><strong>攻擊韓國電子製造商，濫用</strong><strong>SentinelOne</strong><strong>元件側載</strong><strong>DLL</strong><strong>檔</strong></a></p> <p>賽門鐵克與Carbon Black威脅獵捕團隊揭露伊朗駭客組織MuddyWater最新一波網路間諜活動，範圍橫跨四大洲與9個國家，至少有9家企業組織受害，其中一家是韓國大型電子製造商。這些駭客大量使用DLL側載手法，濫用SentinelOne端點防護系統的二進位檔、富迪科技（Fortemedia）音訊驅動程式工具fmapp.exe，藉此植入竊資軟體ChromElevator，並竊取瀏覽器存放的密碼、cookie，以及付款資料。</p> <p><strong><a href="https://www.ithome.com.tw/news/175648">駭客濫用遠端管理工具Tiflux於受害電腦建立存取管道</a></strong></p> <p>發現駭客使用巴西遠端監控及管理工具Tiflux的活動。威脅情報公司Huntress自今年2月起觀察到，攻擊者先透過網路釣魚活動與誘餌文件檔案建立初期存取管道，再將存取管道串連其他遠端管理工具，如UltraVNC、Splashtop、ScreenConnect。駭客選用Tiflux的關鍵在於該工具不僅鮮為人知，且安裝程式內含過時且具弱點的驅動程式HwRwDrv.sys，其簽章已過期。Huntress 警告，這種利用特定軟體缺陷進行濫用的手法，危險程度已大幅超越一般RMM工具入侵活動。</p> <p><a href="https://www.ithome.com.tw/news/175667"><strong>駭客結合釣魚攻擊與遠端管理工具，影響逾</strong><strong>80</strong><strong>個機構</strong></a></p> <p>資安業者Securonix揭露代號VENOMOUS#HELPER的攻擊行動，駭客透過假冒美國社會安全局的釣魚郵件，誘騙受害者在電腦上安裝SimpleHelp與ScreenConnect等合法RMM遠端管理工具，藉此建立持久遠端存取並規避傳統資安防護，並同時透過兩種RMM工具相互搭配，即使其中之一遭到阻擋，仍能維持遠端存取。駭客相關行為特徵疑似初始存取管道活動模式，與勒索軟體攻擊前兆。</p> <p><a href="https://www.ithome.com.tw/news/175801"><strong>微軟將透過</strong><strong>Windows Update</strong><strong>遠端復原問題驅動程式，減少手動排除故障負擔</strong></a></p> <p>針對透過Windows Update發布後被判定有品質問題的驅動程式，微軟將導入Cloud-Initiated Driver Recovery機制，遠端移除受影響裝置上的問題版本，回復到可正常運作的版本，降低仰賴硬體合作夥伴更新或使用者手動解除安裝的負擔。</p> <p><a href="https://www.ithome.com.tw/news/175719"><strong>iPhone</strong><strong>與</strong><strong>Android</strong><strong>互傳訊息更安全，</strong><strong>iOS 26.5</strong><strong>支援</strong><strong>RCS</strong><strong>端到端加密</strong></a></p> <p>過去Google Messages與iMessage雖各自支援端到端加密（E2EE），但跨平臺的RCS訊息卻始終缺乏保護，隨著Google與蘋果雙方合作將E2EE導入RCS標準，相關功能現已陸續正式上路。不過，目前該功能仍處於Beta階段，實際可用性取決於iPhone使用者是否升級至最新系統、電信商是否支援，以及Android端是否安裝最新版Google Messages。</p> <p> </p> <h1><span style="color: rgb(255, 140, 0);"><strong>網路安全</strong></span></h1> <p><strong style="color: rgb(105, 105, 105);">邊界防護設備風險持續升溫，不僅有攻擊者鎖定Palo Alto防火牆發動零時差漏洞攻擊，還有俄羅斯組織利用SSH-over-Tor手法來規避監控的揭露。此外，德國.de網域因DNSSEC簽章錯誤導致大規模故障，突顯網路韌性風險；而Cloudflare與紅帽積極導入後量子加密（PQC），則顯示網路防禦正加速邁向抗量子時代。</strong></p> <p><a href="https://www.ithome.com.tw/news/175627"><strong>CISA</strong><strong>在</strong><strong>Palo Alto Networks</strong><strong>防火牆重大漏洞揭露當下，即同步納入</strong><strong>KEV</strong></a><strong>【CVE-2026-0300】</strong></p> <p>CISA將Palo Alto Networks防火牆重大漏洞CVE-2026-0300列入KEV清單，顯示該漏洞已遭實際利用。該漏洞影響實體與VM版防火牆的PAN-OS作業系統，可能導致遠端程式碼執行，目前尚未釋出修補程式，用戶需立即採取緩解措施以降低風險。</p> <p><a href="https://www.ithome.com.tw/news/175749"><strong>Fortinet</strong><strong>修補</strong><strong>FortiSandbox</strong><strong>、</strong><strong>FortiAuthenticator</strong><strong>重大</strong><strong>RCE</strong><strong>漏洞</strong></a></p> <p>本週Fortinet發布軟體更新，修補旗下產品FortiSandbox和FortiAuthenticator的RCE漏洞。其中，FortiSandbox最新漏洞是CVE-2026-26083，影響FortiSandbox、FortiSandbox Cloud及FortiSandbox PaaS，FortiAuthenticator則為API端點存取控制不當漏洞CVE-2026-44277，受影響產品為FortiAuthenticator 6.5、6.6、8.0.0/8.0.2，不影響FortiAuthenticator Cloud。</p> <p><a href="https://www.ithome.com.tw/news/175706"><strong>國家級駭客組織</strong><strong>Sandworm</strong><strong>利用</strong><strong>SSH-over-Tor</strong><strong>建立隱蔽通道以長期滲透</strong></a></p> <p><a href="/sites/default/files/images/2026-05-15_170343.jpg"><img alt="" src="/sites/default/files/images/2026-05-15_170343.jpg" style="width: 380px; float: right;" /></a></p> <p>當心駭客利用SSH-over-Tor技術建立隱匿遠端通道！資安研究機構警示，俄羅斯駭客組織Sandworm（APT-C-13）在最新攻擊中，利用SSH-over-Tor技術建立隱匿遠端通道，以強化長期滲透能力。攻擊流程從魚叉式網路釣魚展開，透過偽裝PDF的LNK檔與PowerShell指令部署惡意程式，並結合Tor隱藏網路服務與obfs4混淆技術，規避傳統資安監測與追蹤機制。</p> <p><a href="https://www.ithome.com.tw/news/175822"><strong>DNSSEC</strong><strong>簽章錯誤導致德國</strong><strong>.de</strong><strong>網域大規模故障，數百萬網站斷線數小時</strong></a></p> <p>5月5日晚間至5月6日凌晨，德國.de網域曾因DNSSEC簽章錯誤發生大規模故障，導致數百萬網站短暫無法解析。事件源自DENIC在密鑰輪替過程中產生錯誤RRSIG簽章，使驗證型DNS解析器回傳錯誤並拒絕服務。Cloudflare緊急啟用負向信任錨（NTA）暫時略過驗證，協助恢復連線。整起事故約持續數小時，凸顯DNSSEC配置與金鑰管理風險。</p> <p><a href="https://www.ithome.com.tw/news/175688"><strong>2026</strong><strong>年第一季全球網際網路中斷事件偏多，政府斷網、停電與軍事衝突成主因</strong></a></p> <p>網路與資安服務業者Cloudflare發布2026年第一季全球網際網路中斷事件觀察，烏干達、伊朗與剛果共和國都在選舉或衝突背景下發生大規模斷網，古巴則在3月發生3次國家電力系統崩潰，軍事衝突則進一步波及雲端基礎設施。Cloudflare指出，3月初，AWS位於阿拉伯聯合大公國與巴林的資料中心，因無人機攻擊受損。其他中斷原因還包括惡劣天候、海底纜線受損與技術問題。</p> <p><a href="https://www.ithome.com.tw/news/175652"><strong>AWS</strong><strong>美東資料中心傳出供電與冷卻異常，</strong><strong>EC2</strong><strong>與</strong><strong>EBS</strong><strong>服務受影響</strong></a></p> <p>AWS US-EAST-1美東服務區域單一可用區發生供電與冷卻系統異常，導致EC2與EBS服務出現功能降級（impairment）。AWS指出已暫停部分流量並導向其他可用區，並透過額外冷卻資源逐步恢復受影響機架，目前已出現初步復原跡象，但完整恢復時間仍未確定。</p> <p><a href="https://www.ithome.com.tw/news/175690"><strong>Cloudflare</strong><strong>廣域網路即服務開始支援</strong><strong>PQC</strong><strong>，強化企業</strong><strong>WAN</strong><strong>量子威脅防護</strong></a></p> <p>網路服務與資安業者Cloudflare宣布，Cloudflare IPsec後量子加密功能正式上線，採用混合的模組格基式金鑰封裝機制（ML-KEM），結合傳統Diffie-Hellman金鑰交換與後量子演算法，降低未來量子電腦破解現行公開金鑰密碼學的風險。</p> <p><a href="https://www.ithome.com.tw/news/175684"><strong>紅帽新版</strong><strong>RHEL</strong><strong>強化後量子安全準備，導入抗量子簽章與</strong><strong>AI</strong><strong>輔助升級</strong></a></p> <p>Red Hat宣布Red Hat Enterprise Linux（RHEL）10.2與9.8版即將正式推出，將後量子密碼學（Post-Quantum Cryptography，PQC）納入系統基礎，並搭配機密運算與AI輔助自動化處理與系統升級，協助企業在混合雲環境兼顧安全性與維運一致性。</p> <p><a href="https://www.ithome.com.tw/review/175733"><strong>VCF 9.1</strong><strong>增強橫向存取安全，擴充</strong><strong>EDR</strong><strong>整合勒索軟體隔離復原</strong></a></p> <p>支援AI與Kubernetes環境建置的私有雲基礎架構平臺VMware Cloud Foundation（VCF）邁入9.1版，安全面向先從企業最在意、也最難守的內部網路風險下手：新版強化內網橫向存取的防護能力，協助降低入侵後在內網擴散的可乘之隙，博通並強調相關機制不會犧牲網路傳輸頻寬。在勒索軟體威脅方面，VCF延續以隔離資料防護為主的思路：先前已可整合Carbon Black，9.1版再擴充支援CrowdStrike Falcon等端點安全方案。</p> <p> </p> <h1><span style="color: rgb(255, 140, 0);"><strong>應用程式安全</strong></span></h1> <p><span style="color:#696969;"><strong>軟體供應鏈攻擊持續成為資安威脅焦點，本週不僅Checkmarx再傳出Jenkins AST外掛遭竄改，更出現首個具備SLSA 3級見證的惡意NPM套件，以及駭客在Hugging Face冒充OpenAI散布竊資軟體。這些事件顯示，從開發工具到AI模型庫都已成為深層滲透的跳板。</strong></span></p> <p><a href="https://www.ithome.com.tw/news/175714"><strong>資安公司</strong><strong>Checkmarx</strong><strong>再傳遭供應鏈攻擊，</strong><strong>Jenkins AST</strong><strong>外掛被竄改</strong></a></p> <p><a href="/sites/default/files/images/2026-05-15_170447.jpg"><img alt="" src="/sites/default/files/images/2026-05-15_170447.jpg" style="width: 380px; float: right;" /></a></p> <p>5月9日Checkmarx發布資安公告，因為他們察覺發布於Jenkins延伸套件市集的Jenkins AST外掛程式，出現遭到竄改的跡象，攻擊者發布帶有惡意程式的新版本，呼籲用戶要儘速檢查，確定使用的版本是2025年12月17日發布的2.0.13-829.vc72453fa_1c16，或之前的版本，而非有資安風險的2026.5.09版，才能避免CI/CD環境被滲透。</p> <p><a href="https://www.ithome.com.tw/news/175689"><strong>Hugging Face</strong><strong>出現冒充</strong><strong>OpenAI</strong><strong>的惡意儲存庫，鎖定</strong><strong>Windows</strong><strong>用戶散布竊資軟體</strong></a></p> <p>在Hugging Face發布的Open-OSS/privacy-filter存在惡意程式碼，AI資安公司HiddenLayer指出，他們近日發現該儲存庫複製了OpenAI近日開源的去識別化資料模型Privacy Filter，內容幾乎與正牌的Privacy Filter一模一樣，然而，若依照其指示操作，使用者的電腦就有可能被植入竊資軟體。值得留意的是，該儲存庫在Hugging Face下架前，已被下載超過20萬次，甚至登上熱門排行榜，因此影響範圍恐怕會非常廣泛，研究人員提醒，在完全清除前切勿登入電腦。使用者應將主機隔離，然後將所有存放於瀏覽器、密碼管理工具，以及受害電腦的憑證進行輪換。</p> <p><a href="https://www.ithome.com.tw/news/175724"><strong>網頁應用程式框架</strong><strong>TanStack</strong><strong>的</strong><strong>NPM</strong><strong>套件遭</strong><strong>Mini Shai-Hulud</strong><strong>供應鏈攻擊</strong></a></p> <p>最新一波蠕蟲程式Mini Shai-Hulud攻擊被揭露，TeamPCP針對網頁應用程式框架TanStack的GitHub Actions發布流程，利用挾持的OIDC權杖（token），發布TanStack Router的惡意NPM套件。與先前攻擊的差異在於，這次被滲透的套件，竟然具有軟體供應鏈安全框架SLSA第3級來源見證，使得Mini Shai-Hulud成為第一個可產生有效見證的惡意軟體套件、又有文件記載的NPM蠕蟲。值得留意的是，Mini Shai-Hulud已從TanStack擴散，影響UiPath、DraftLab及其他維護者的套件。</p> <p><a href="https://www.ithome.com.tw/news/175687"><strong>檔案下載工具</strong><strong>JDownloader</strong><strong>網站遭駭，駭客竄改安裝檔下載連結</strong></a></p> <p>提供檔案下載工具軟體JDownloader的官方網站遭駭，最早發現此事的是ID為PrinceOfNightSky的使用者，後續開發這款軟體的廠商AppWork在JDownloader網站發布公告，表明這起事故最早可追溯到世界協調時間（UTC）5月5日半夜，約於23時55分攻擊者首度嘗試竄改檔案下載連結，後續在6日凌晨又有其他連結被竄改。假若使用者在5月6日至7日從Download Alternative Installer下載Windows版安裝檔，或是使用Linux版Shell安裝程式，就有可能從外部網站取得惡意檔案。</p> <p><a href="https://www.ithome.com.tw/news/175638"><strong>Mozilla</strong><strong>發布</strong><strong>Firefox 150.0.2</strong><strong>，修補</strong><strong>3</strong><strong>項高風險漏洞</strong></a></p> <p>Mozilla基金會發布Firefox 150.0.2，共修補3項高風險資安漏洞，分別是CVE-2026-8090、CVE-2026-8092、CVE-2026-8093，皆與記憶體有關，值得留意的是，漏洞管理廠商Tenable認為CVE-2026-8092屬重大層級風險，將此漏洞的嚴重性評為9.8分。</p> <p><a href="https://www.ithome.com.tw/news/175717"><strong>Google</strong><strong>發布</strong><strong>ChromeOS</strong><strong>長期支援版更新，修補多項高風險記憶體漏洞</strong></a></p> <p>Google發布ChromeOS長期支援版（LTS-144）更新，版本升級至144.0.7559.250，修補11項安全漏洞，其中多數為高風險記憶體安全問題。漏洞涵蓋Blink、Media、Network、WebCodecs與WebUSB等元件，包含Compositor元件的重大漏洞（CVSS 9.6分），建議用戶儘速更新，以降低攻擊風險。</p> <p><a href="https://www.ithome.com.tw/news/175748"><strong>Adobe</strong><strong>針對</strong><strong>10</strong><strong>款應用系統發布</strong><strong>5</strong><strong>月更新，呼籲用戶應優先對電商平臺進行處理</strong></a></p> <p>Adobe本月例行更新修補10款應用程式及系統的資安漏洞，涵蓋Premiere Pro、After Effects、Illustrator，以及Adobe Commerce等常見應用程式，弱點數量總共有52個，與上個月55個相當接近。Adobe Commerce是這波漏洞修補數量最多的產品，一共修補15個漏洞，其中有10個被評為重大等級，這些漏洞又以阻斷服務（DoS）類型的最多，從CVSS風險評分來看，最嚴重的漏洞出現在Adobe Connect，這次共修補兩個重大漏洞。</p> <p><a href="https://www.ithome.com.tw/news/175744"><strong>SAP</strong><strong>修補</strong><strong>S/4HANA</strong><strong>與</strong><strong>Commerce Cloud</strong><strong>重大漏洞</strong></a></p> <p>SAP的5月例行更新修補15個資安漏洞，其中有兩項被評為重大等級這些漏洞，其中CVE-2026-34260漏洞存在於SAP S/4HANA，攻擊者可藉此存取資料庫敏感資訊或導致S/4HANA當機；另一是CVE-2026-34263漏洞，影響SAP Commerce Cloud，未經身分驗證的攻擊者能上傳惡意組態及注入程式碼，導致任意程式碼執行。兩者的CVSS風險評分皆為9.6，特別值得留意。</p> <p><a href="https://www.ithome.com.tw/news/175712"><strong>cPanel</strong><strong>身分驗證漏洞被用於散布</strong><strong>RAT</strong><strong>木馬</strong><strong>Filemanager</strong></a></p> <p>上星期駭客鎖定cPanel零時差漏洞（CVE-2026-41940）攻擊的消息不斷，5月初再添一樁！中國資安公司奇安信發現有人利用CVE-2026-41940散布的新惡意程式，此酬載以Go語言撰寫，嵌入疑為AI生成的大量土耳其語事件記錄與訊息，主要功能是將SSH公鑰、惡意PHP與JavaScript程式碼植入cPanel系統，竊取登入憑證，並回傳攻擊者控制的Telegram頻道，最終部署RAT遠端存取木馬Filemanager。</p> <p><a href="https://www.ithome.com.tw/news/175673"><strong>cPanel</strong><strong>新揭露與修補</strong><strong>3</strong><strong>個漏洞</strong></a></p> <p>近期網站主機代管業者常用管理軟體cPanel與Web Host Manager（WHM）重大漏洞CVE-2026-41940，引發一連串資安風波，5月8日這系列產品再度發布漏洞公告，揭露與修補3個新漏洞：CVE-2026-29201、CVE-2026-29202、CVE-2026-29203。當中最需要注意的是CVE-2026-29202與CVE-2026-29203，CVSSv3嚴重度皆為8.8分，都屬於高風險漏洞。</p> <p><a href="https://www.ithome.com.tw/news/175781"><strong>郵件傳輸代理伺服器</strong><strong>Exim</strong><strong>存在重大漏洞，影響採用程式庫</strong><strong>GnuTLS</strong><strong>進行通訊的環境</strong></a></p> <p>5月12日Exim開發團隊發布4.99.3版Exim，修補遠端的記憶體釋放後再存取使用（Use After Free）的漏洞CVE-2026-45185，此漏洞CVSS風險為9.8分，存在於Exim的GnuTLS後端，攻擊者可遠端觸發，並造成記憶體資料損毀。Exim開發團隊強調，呼籲IT人員儘速升級。</p> <p><a href="https://www.ithome.com.tw/news/175761"><strong>Claude</strong><strong>瀏覽器延伸套件存在設計缺陷，攻擊者恐透過惡意套件挾持</strong><strong>AI</strong></a></p> <p>Claude的Chrome延伸套件功能（Claude in Chrome）被資安廠商LayerX發現資安弱點，透過該漏洞，其他延伸套件在無須取得特殊權限的情況下，可注入惡意指令並挾持Claude in Chrome的功能，擷取攻擊者想要的任何資料，並讓Claude的代理程式執行攻擊者指定的操作或任意指令。另要注意的是，LayerX發現Anthropic修補不完整，呼籲用戶應採取行動降低風險，像是引入extension-to-page的身分驗證權杖（token）、限縮受信任的延伸套件名單內容等。</p> <p><a href="https://www.ithome.com.tw/news/175666"><strong>惡意</strong><strong>NuGet</strong><strong>套件冒充中國</strong><strong>.NET</strong><strong>程式庫，企業鎖定開發人員的瀏覽器、加密貨幣錢包發動攻擊</strong></a></p> <p>名為bmrxntfj的開發者上架5個惡意套件，資安公司Socket指出，這些套件冒充中國廣泛使用的.NET程式庫，內含經.NET Reactor保護的竊資軟體，能針對12種瀏覽器、8種加密貨幣錢包的應用程式，以及5種加密貨幣錢包的瀏覽器延伸套件功能，從中竊取機密，然後傳送到特定的C2網域。值得留意的是，這些套件總共被下載超過6.5萬次，影響範圍相當廣泛。</p> <p><a href="https://www.ithome.com.tw/news/175669"><strong>惡意程式</strong><strong>ZiChatBot</strong><strong>透過</strong><strong>PyPI</strong><strong>套件散布，針對</strong><strong>Windows</strong><strong>與</strong><strong>Linux</strong><strong>用戶而來</strong></a></p> <p>駭客組織OceanLotus（APT32）自2025年7月上傳一系列的惡意套件至PyPI儲存庫，根據資安公司卡巴斯基的分析，這些套件確實具備駭客宣稱的功能，實際上卻會根據受害電腦的作業系統，執行Windows版或Linux版的惡意程式載入工具（Dropper），最終植入惡意軟體ZiChatBot，該公司向PyPI維護團隊通報後，上述套件已被下架。</p> <p><a href="https://www.ithome.com.tw/news/175662"><strong>WordPress</strong><strong>轉址外掛功能發現潛藏多年後門程式，逾</strong><strong>7</strong><strong>萬網站恐暴險</strong></a></p> <p>下載用戶數量相當大的WordPress轉址外掛程式Quick Page/Post Redirect，被發現潛藏長達5年的後門程式，影響逾7萬個網站，遭竄改版本可透過隱藏更新機制，繞過WordPress.org正常審查流程，自外部來源下載惡意程式碼，進而導致內容注入與惡意程式散播等問題。WordPress.org已緊急將外掛下架，建議用戶立即停用並移除。</p> <p><a href="https://www.ithome.com.tw/news/175686"><strong>非關聯式資料庫</strong><strong>Redis</strong><strong>揭露</strong><strong>5</strong><strong>個漏洞，未修補可能導致遠端執行程式碼攻擊</strong></a></p> <p>Redis資料庫近日修補5項安全漏洞，其中4項為高風險，最嚴重可能導致遠端程式碼執行。漏洞主要涉及RESTORE指令及blocked client處理流程，以及RedisTimeSeries與RedisBloom模組。Redis OSS/CE、Redis Software與Redis Cloud等3種部署版本皆受影響，目前已釋出修補版本，建議用戶盡速升級以降低風險。</p> <p><a href="https://www.ithome.com.tw/news/175795"><strong>微軟修補</strong><strong>Android</strong><strong>版</strong><strong>Teams</strong><strong>漏洞，未更新可能導致偽造攻擊</strong></a></p> <p>微軟近日揭露協作平臺Teams的漏洞CVE-2026-32185，可能被攻擊者用於假冒通訊內容，誘騙用戶並進一步發動社交工程攻擊，此漏洞會影響Android版Teams，微軟已在5月份例行更新（Patch Tuesday）中釋出修補，建議用戶儘速更新。</p> <p><a href="https://www.ithome.com.tw/news/175588"><strong>Telegram Mini Apps</strong><strong>遭濫用於假冒服務詐騙</strong></a></p> <p>攻擊者頻繁濫用Telegram內的輕量化網頁應用（Telegram Mini Apps）與機器人（Telegram Bot）建立釣魚網站與惡意網站，近期資安業者CTM360再揭露一起案例，並將之命名為FEMITBOT的詐騙基礎架構，駭客主要利用Telegram內建網頁瀏覽不必跳轉程式的特性，讓受害者進入假冒頁面，該架構包含逾140個機器人與60個活躍網域，且能隨意更換品牌模板進行大規模詐騙。</p> <p> </p> <h1><span style="color: rgb(255, 140, 0);"><strong>身分安全</strong></span></h1> <p><span style="color:#696969;"><strong>近期兩則身分安全報告值得優先關注：其一指出近三年流入暗網的2.31億個密碼中，有6成能在RTX 5090算力下於一小時內破解MD5雜湊，突顯密碼長度的重要性；另一份2026身分安全現況調查報告則顯示，有6成6的勒索軟體受害者指出事故源頭即為針對身分的攻擊，再次印證身分防護已成為防範勒索威脅的重中之重。</strong></span></p> <p><a href="https://www.ithome.com.tw/news/175663"><strong>約六成的密碼</strong><strong>MD5</strong><strong>雜湊值可在一小時內破解</strong></a></p> <p><a href="/sites/default/files/images/2026-05-15_170535.jpg"><img alt="" src="/sites/default/files/images/2026-05-15_170535.jpg" style="width: 380px; float: right;" /></a></p> <p>要確保密碼的強度，其中一個關鍵是密碼組成的長度。近日卡巴斯基分析2023年至2026年流入暗網的2.31億個密碼，發現其中六成只需1小時與幾美元的費用就能破解，值得注意的是，有近半數（48%）只要1分鐘就能破解。該公司說明，一般應用系統不會以明文存放密碼，而是經過特定演算法處理，並以雜湊值存放，一旦駭客取得這些雜湊值，而且能解密，就能還原成使用者輸入的密碼。</p> <p><a href="https://www.ithome.com.tw/news/175780"><strong>身分安全威脅成為勒索軟體主要侵入途徑，三分之二受害組織認為勒索軟體攻擊源頭是身分攻擊</strong></a></p> <p>帳號與密碼外洩、遭暴力破解攻擊、漏洞遭濫用等狀況層出不窮，導致勒索軟體攻擊等資安事故持續爆發，資安廠商Sophos最近發布的2026身分安全現況調查報告指出，全球17個國家當中（不包含臺灣），有71%的組織曾遭遇至少一次與身分相關的資安事件；而且有高達66.5％的勒索軟體受害者表示，這類事故是影響最重大的身分攻擊類型。而導致這類攻擊的三大因素，分別為帳號與密碼外洩（占所有案例的42.06％）、遭暴力破解攻擊（15.58％）、漏洞遭濫用（16.04％）。</p> <p><a href="https://www.ithome.com.tw/news/175659"><strong>Microsoft Teams</strong><strong>將針對可疑外部來電示警，防範品牌冒用語音詐騙</strong></a></p> <p>微軟將強化Microsoft Teams通話安全，針對Teams Calling新增品牌冒用防護功能，防範攻擊者透過外部的VoIP網路語音來電假冒企業、客服或其他可信任組織，誘騙使用者回應或進一步提供資訊。</p> <p><a href="https://www.ithome.com.tw/news/175772"><strong>Google</strong><strong>更新</strong><strong>Android</strong><strong>安全與隱私功能，攔截假冒銀行來電</strong></a></p> <p>可透過合作銀行App驗證金融來電真偽，這是Google近期為Android新增多項防護機制中，最受矚目的新功能。首波合作對象包括Revolut、Itaú與Nubank。換言之，除了金融機構需支援此功能外，使用者也必須安裝並登入該銀行App，Android才能在背景驗證來電真偽。此外，其他升級的防護機制還包括惡意App即時行為偵測、APK下載前掃描、手機竊盜防護，以及更細緻的位置與聯絡人權限控管。</p> <p> </p> <h1><span style="color: rgb(255, 140, 0);"><strong>IoT/OT安全</strong></span></h1> <p><span style="color:#696969;"><strong>在IoT/OT安全方面，本週聚焦於AI滲透威脅與產業防禦實務。墨西哥水利系統遭駭事件近期揭露新細節，調查顯示駭客利用Claude模型分析IT與OT環境關聯並尋找滲透途徑，顯見AI已成為跨網段攻擊的利器。此外，國內醫療OT資安議題亦受關注，專家強調應落實資產盤點與分級防護，並提醒避免將 IT 控管思維硬套至醫療現場，以確保設備持續運作與病患安全。</strong></span></p> <p><a href="https://www.ithome.com.tw/news/175633"><strong>駭客濫用</strong><strong>Anthropic</strong><strong>與</strong><strong>OpenAI</strong><strong>的模型攻擊墨西哥水力及排水系統</strong></a></p> <p>墨西哥多個政府機關遭遇的大規模入侵事故，攻擊者從利用AI協助從受害組織的IT環境滲透關鍵基礎設施的OT環境。資安公司Gambit Security指出墨西哥政府機構自2025年12月開始遭遇攻擊，對方使用Anthropic Claude與OpenAI GPT模型，Dragos進一步發現，駭客在入侵城市供水與排水公營事業的企業IT環境後，試圖進一步滲透OT環境。</p> <p><a href="https://www.ithome.com.tw/news/175738"><strong>醫院</strong><strong>OT</strong><strong>資安不能照辦公室</strong><strong>IT</strong><strong>那套！應先盤點、縮小範圍，再談防護</strong></a></p> <p>醫院推動OT資安的挑戰為何？擔任亞東紀念醫院、秀傳醫療體系與羅東博愛醫院醫工顧問的張韶良指出，對醫療現場而言，設備持續運作遠比系統登入更重要；此外，病安不等於資安，具備高病安等級的設備不一定有高資安需求。他建議，醫院OT資安落地的第一步是盤點「資安列管醫療儀器」，鎖定需優先保護的邊界設備與控制系統，而非認為每一臺設備都要做同樣等級的防護。他並強調，資安法是通法，醫療器材管理法則是專法，兩者衝突時應以專法為準。</p> <p><a href="https://www.ithome.com.tw/news/175735"><strong>Mirai</strong><strong>變種</strong><strong>xlabs_v1</strong><strong>殭屍網路現蹤，劫持</strong><strong>Android</strong><strong>裝置發動</strong><strong>DDoS</strong><strong>攻擊</strong></a></p> <p><a href="/sites/default/files/images/2026-05-15_170910.jpg"><img alt="" src="/sites/default/files/images/2026-05-15_170910.jpg" style="width: 380px; float: right;" /></a></p> <p>資安廠商揭露Mirai變種xlabs_v1殭屍網路，鎖定暴露在網際網路，且啟用ADB（Android Debug Bridge）介面的Android裝置，植入惡意軟體組成DDoS攻擊網路，任何預設啟用ADB且連上網際網路的物聯網硬體設備都可能受到感染，這款惡意軟體還採用商業化運作，能測量受害裝置頻寬，並依此設定收費等級。</p> <p><a href="https://www.ithome.com.tw/news/175739"><strong>奇偶科技影像監控管理軟體存在重大漏洞</strong></a></p> <p>4月27日奇偶科技（GeoVision）GV-VMS V20存在3個資安漏洞，影響20.0.2以下的版本，攻擊者只要發送特製的HTTP請求，就有機會在未經身分驗證的情況下，觸發漏洞執行任意程式碼，該公司發布20.1.0版修補。這些漏洞當中，最嚴重的是CVSS風險達到滿分10分的CVE-2026-42369，另外兩個漏洞CVE-2026-42370、CVE-2026-7372，風險值被評為9.8、9.0，皆為重大等級的資安漏洞。</p> <p> </p> <h1><span style="color: rgb(255, 140, 0);"><strong>資安維運</strong></span></h1> <p><span style="color:#696969;"><strong>資安維運正聚焦於信任治理的轉型，這一星期多則新聞突顯不同的維運議題，包括專家提醒AI雖能輔助效率，但仍無法解決DevSecOps中責任定義與風險標準等核心問題；亦有金融主管提出「三層式資安預算架構」，讓資安投資範疇更為明確；以及電商大廠推出漏洞獎勵計畫並倡議成立R-ISAC。這些舉措顯示，資安維運正與更深層的治理架構及產業協作緊密結合，成為強化企業數位信任的關鍵。</strong></span></p> <p><a href="https://www.ithome.com.tw/news/175611"><strong>沒弄清楚</strong><strong>DevSecOps</strong><strong>流程反模式，靠</strong><strong>AI</strong><strong>也解不了四大根本問題</strong></a></p> <p>臺灣企業推動DevSecOps時反模式有哪些？長年擔任企業IT顧問的盧建成在臺灣資安大會上一一道出，並指出隨著生成式AI技術和工具更加成熟，企業開始想用AI解決DevSecOps成效不彰的困境，但仍有四大核心問題是AI無法解決的：責任定義、風險接受標準、例外與特簽機制，以及治理與追蹤。因此他建議，人員要能承接責任，而不是被指派，風險應被深入理解而非僅作分類，資安控管應視為決策過程並確保結果可追蹤，而非一次性處理</p> <p><a href="https://www.ithome.com.tw/news/175742"><strong>資安預算不等於資安部門預算，企業應重新定義資安投資範圍</strong></a></p> <p>針對資安預算占比議題，台新新光金控資安部資深協理方振維指出，各企業對資安定義不一，導致數據難以直接比較。對此他提出三層式資安預算架構：第一層「直接資安預算」，像是防火牆、EDR、IAM與SOC等直接維護 CIA 的資安工具；第二層「可用性基礎設施預算」，包括備份、機房、UPS、備援中心與供電系統等；第三層則是「間接資安預算」，涵蓋AD、變更管理、EOS/EOL汰換與零信任架構與微服務等，雖然不一定由資安部門主導，但與資安風險高度相關</p> <p><a href="https://www.ithome.com.tw/news/175741"><strong>酷澎宣布首個公開版漏洞獎勵計畫，並揭露背後的戰略藍圖</strong></a></p> <p>【臺灣資安大會直擊】酷澎臺灣宣布於HackerOne平臺推出首個公開版漏洞獎勵計畫，這不只是臺灣首個與HackerOne的合作案，也是酷澎全球首發合作專案。酷澎臺灣暨日本資安長陳浩維在臺灣資安大會現場，不僅談及先前韓國酷澎因前中國籍員工外洩個資的事件，也揭露酷澎臺灣近兩年已導入物流隱碼與Passkey技術，並能主動識別外部仿冒網站；同時，他更倡議臺灣應建立零售與旅宿業情資分享中心（R-ISAC）。陳浩維強調，資安團隊必須從建立信任出發，進而蛻變為推動企業成長的「信任引擎」</p> <p><a href="https://www.ithome.com.tw/news/175704"><strong>惡意軟體框架</strong><strong>PCPJack</strong><strong>鎖定雲端基礎設施，封鎖駭客團體</strong><strong>TeamPCP</strong><strong>的存取權限</strong></a></p> <p><a href="/sites/default/files/images/2026-05-15_171105.jpg"><img alt="" src="/sites/default/files/images/2026-05-15_171105.jpg" style="width: 380px; float: right;" /></a></p> <p>4月底資安公司SentinelOne發現主要攻擊目標是雲端環境的一段惡意程式碼，其首要工作是驅逐與清理TeamPCP有關的攻擊工具，再加上此惡意工具鎖定目標，類似另一個駭客組織TeamPCP去年12月的攻擊行動Operation PCPcat，因此攻擊者很有可能是TeamPCP的前成員，於是SentinelOne將惡意程式框架命名為PCPJack。</p> <p><a href="https://www.ithome.com.tw/news/175637"><strong>駭客架設假</strong><strong>Claude</strong><strong>網站散布惡意軟體</strong><strong>Beagle</strong></a></p> <p>資安公司Sophos示警留意新的後門程式Beagle，該公司在4月發現冒牌Claude網站的攻擊行動，他們起初認為是PlugX攻擊事故，但進一步調查後發現，駭客使用了過往未曾出現的後門程式，該公司將其命名為Beagle，此後門程式具備多項功能，包括：執行攻擊者下達的指令、上傳或下載檔案、建立資料夾、重新命名檔案、列出所有資料夾等，而在滲透目標的過程中，駭客使用第一階段酬載DonutLoader將其載入。根據駭客不慎曝露的Cloudflare原始來源憑證，假Claude網頁的主機可能在今年3月架設。</p> <p> </p> </div></div></div>
5/15 18:00作者羅正漢https://www.ithome.com.tw/news/175859
台達董事長鄭平：AI不只是耗電怪獸，也是下一波節能與能源轉型的重要工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>當全球都在擔憂AI帶來的龐大耗電需求時，台達董事長暨執行長鄭平本周在該公司55周年活動中提出不同觀點。他認為，AI雖然推升資料中心與電力需求，但同時也將成為推動能源效率、智慧電網與低碳轉型的重要工具，「AI與永續並不是衝突，而是必須同步前進的兩件事。」</p> <p>鄭平指出，全球正同時面臨AI浪潮與氣候變遷雙重壓力，企業不能只追求AI算力成長，也必須面對能源與碳排帶來的挑戰。</p> <p><span style="color:#B22222;"><strong>極端氣候加劇，全球能源轉型仍持續推進</strong></span></p> <p>全球氣候變遷變得愈來愈嚴峻。鄭平指出，過去30年極端氣候造成超過80萬人死亡，經濟損失超過4兆美元，而全球均溫升幅也已逼近《巴黎協議》設定的1.5°C門檻。</p> <p>他提到，目前全球平均升溫已達1.44°C，其中陸地升溫更達1.74°C，珊瑚礁白化、格陵蘭冰蓋與南極冰層融化等問題，顯示部分生態系統已逐漸接近不可逆的臨界點。</p> <p>儘管美國2次退出巴黎協議，在氣候政策上出現反覆，在全球淨零減碳上帶來逆風，但鄭平認為，全球減碳趨勢仍然向前行進，例如英國、比利時、瑞典等國都持續推進煤電退場，中國再生能源占比也已超過四成，顯示各國仍持續朝能源轉型方向前進。</p> <p><strong><span style="color:#B22222;">AI很耗能，但也可以是節能利器</span></strong></p> <p>面對外界對AI耗電的疑慮，鄭平認為，不能只看到AI增加用電的一面，更應看到AI提升能源效率的潛力。</p> <p>他引用國際能源總署的預估指出，未來10年AI可協助全球節省高達13EJ（Exajoule）的能源消耗，關鍵在於AI可應用於智慧交通、智慧建築與電網調度等場域。</p> <p>例如在交通領域，AI可透過路徑規劃與車流控制，減少車輛頻繁煞車與啟停造成的能源浪費；在電網管理方面，AI可協助預測再生能源發電量與用電需求，協助儲能與電力調度，提高電網穩定性。</p> <p>而在建築領域，由於建築本身約占全球40%的能源消耗，AI也可協助空調、照明與設備自動化管理，在維持舒適度的同時降低耗能。</p> <p>鄭平強調，未來AI最大的價值之一，不只是生成內容，還能協助整個社會提升能源使用效率。</p> <p>以台達為例，該公司已建立全球能源管理平臺，從底層設備、控制系統到各營運據點的能耗資料，逐步整合到統一平臺上，並透過大數據分析，開始發展AI節能應用。目前台達已累積超過1,000個節能專案經驗，並將能源專家的知識與過往案例，轉化為AI Agent與專家系統。</p> <p>透過能源平臺導入AI分析機制，用於監控能耗熱區與異常耗能情形，並透過全球營運資料分析，自動找出節能機會點與優化方向，將過去專家經驗打造為AI agent，降低過去高度仰賴人工判讀與顧問經驗的能源管理模式。此外，台達也利用AI自動生成報告功能，協助整理能耗與減碳資料。</p> <p><span style="color:#B22222;"><strong>AI資料中心瓶頸，正從算力轉向能源</strong></span></p> <p>鄭平不諱言，AI基礎設施快速擴張，確實已對全球電力系統帶來壓力。</p> <p>他引用國際能源總署的預估指出，未來10年全球資料中心用電量可能增至目前的2.5倍，而美國目前約有8成AI資料中心建設，已受到供電能力限制。</p> <p>他指出，資料中心高度集中於美國、中國與歐洲，也開始推升土地與能源成本，甚至造成局部缺電問題。部分美國州政府已要求，大型資料中心若要設置，必須具備自發電能力，否則將不核准興建。</p> <p>這也代表AI產業的競爭焦點，正逐漸從GPU算力，轉向電力供應、能源效率與基礎設施能力。</p> </div></div></div>
5/15 18:00作者蘇文彬https://www.ithome.com.tw/news/175861
TeamPCP利用蠕蟲Mini Shai-Hulud滲透逾400個NPM與PyPI套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>本週<strong><a href="https://www.ithome.com.tw/news/175724">TanStack的NPM套件</a></strong>、<strong><a href="https://www.ithome.com.tw/news/175802">Mistral AI的PyPI套件</a></strong>遭遇供應鏈攻擊，疑似駭客滲透其套件發布流程，上架夾帶惡意程式碼的新版套件，有多家資安公司指出，這其實都是由駭客團體TeamPCP發起的蠕蟲活動Mini Shai-Hulud的一部分。</p> <p>資安公司<strong><a href="https://www.aikido.dev/blog/mini-shai-hulud-is-back-tanstack-compromised">Aikido</a></strong>、<strong><a href="https://safedep.io/mass-npm-supply-chain-attack-tanstack-mistral/">SafeDep</a></strong>、<strong><a href="https://snyk.io/blog/tanstack-npm-packages-compromised/">Snyk</a></strong>、<strong><a href="https://socket.dev/blog/tanstack-npm-packages-compromised-mini-shai-hulud-supply-chain-attack">Socket</a></strong>、<strong><a href="https://www.aikido.dev/blog/mini-shai-hulud-is-back-tanstack-compromised">Wiz</a></strong>指出，這波攻擊是4月底蠕蟲活動Mini Shai-Hulud的延續。SafeDep指出，截至5月11日，TeamPCP總共入侵170個NPM套件與2個PyPI套件，發布了404個惡意版本，其中，有42個是網頁應用程式框架TanStack的套件、65個是UiPath自動化工具的套件，Mistral AI的SDK軟體則是NPM與PyPI套件都被入侵，其他受害者，每週下載量達130萬次的NPM套件OpenSearch，以及Guardrails AI的PyPI套件，SafeDep強調，這是今年規模最大的程式碼儲存庫攻擊事件，而且範圍同時涵蓋NPM與PyPI。根據Socket的統計，5月15日已累計出現416個惡意套件。</p> <p>值得留意的是，Snyk提及，TanStack的路由器套件家族是駭客最早入侵的管道，隨後蠕蟲透過自我散播的特性，迅速造成大規模感染。</p> </div></div></div>
5/15 14:10作者周峻佑https://www.ithome.com.tw/news/175854
OpenAI遭受TanStack供應鏈攻擊波及
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>5月13日OpenAI<strong><a href="https://openai.com/index/our-response-to-the-tanstack-npm-supply-chain-attack/">發布部落格文章</a></strong>表示，他們有兩名員工的裝置遭受Mini Shai-Hulud⁠供應鏈攻擊的影響，不慎安裝植入惡意程式碼的TanStack套件，該公司察覺後迅速展開調查，並採取措施保護系統。OpenAI隔離受影響的系統與身分、撤銷使用者連線階段，輪換受影響儲存庫的存取憑證，暫時限制程式碼部署流程，徹底審查使用者與憑證行為。</p> <p>OpenAI目前並未發現用戶資料遭到存取，正式系統或智慧財產也沒有遭入侵的跡象，該公司的軟體也沒有遭到竄改。該公司指出，由於受影響的原始碼儲存庫包含應用程式簽署憑證，為求謹慎他們將輪換憑證，雖然這些憑證被用於簽署Windows、macOS、iOS版應用程式，不過OpenAI提醒macOS用戶必須因此而更新應用程式，否則等到該公司在6月12日完全撤銷現有憑證後，相關應用程式將無法使用，Windows與iOS用戶則不受影響。</p> </div></div></div>
5/15 15:31作者周峻佑https://www.ithome.com.tw/news/175856
【資安日報】5月15日，思科SD-WAN裝置重大漏洞被用於攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/175835"><strong style="font-size: 22px;">思科Catalyst SD-WAN控制器曝重大身分認證繞過漏洞</strong></a></p> <p>5月14日思科發布資安公告，Catalyst SD-WAN Controller與Catalyst SD-WAN Manager（原名SD-WAN vSmart、SD-WAN vManage）的對等身分驗證流程存在漏洞，未經身分驗證的攻擊者可遠端繞過驗證流程，並得到系統管理權限，此漏洞登記為CVE-2026-20182，CVSS風險評為10分（滿分10分），屬重大風險等級，相當危險，而且，無論本地建置的SD-WAN環境，或是由思科代管的雲端版本都會受到影響。值得留意的是，已發現遭到利用的跡象，該公司已發布更新版完成修補，並強調沒有其他解決方法，呼籲用戶儘速更新。</p> <p><a href="https://www.ithome.com.tw/news/175836"><strong style="font-size: 22px;">CISA下令聯邦機構3天內修補思科Catalyst SD-WAN控制器重大漏洞</strong></a></p> <p>思科揭露CVE-2026-20182，此漏洞存在於Catalyst SD-WAN Controller與Catalyst SD-WAN Manager（原名SD-WAN vSmart、SD-WAN vManage），為風險值達到滿分10分的重大漏洞，當天美國網路安全暨基礎設施安全局（CISA）也發布警訊，將此漏洞列入已遭利用漏洞名冊（KEV），要求聯邦機構必須在5月17日之前完成修補。與其他列入KEV的漏洞有所不同的是，這次CISA也要求所有聯邦機構根據今年2月發布的緊急指令ED 26-03，盤點思科SD-WAN系統。</p> <p><a href="https://www.ithome.com.tw/news/175840"><strong style="font-size: 22px;">駭客組織UAT-8616積極利用思科Catalyst SD-WAN系統滿分零時差漏洞</strong></a></p> <p>思科公布重大漏洞CVE-2026-20182，並表示產品安全事件回應團隊（PSIRT）在本月發現有限度的攻擊行動，該公司威脅情報團隊Talos也公布調查結果，指出利用該漏洞的駭客組織，就是他們在2月揭露、曾經利用另一個漏洞CVE-2026-20127發動攻擊的駭客組織UAT-8616。UAT-8616在成功利用CVE-2026-20182之後，就會試圖新增SSH金鑰、竄改NETCONF組態設定，並提升至root權限。Talos提到，這些駭客發動攻擊的基礎設施，與他們密切監控的操作中繼盒（Operational Relay Box，ORB）網路環境有所交集。</p> <p><a href="https://www.ithome.com.tw/news/175845"><strong style="font-size: 22px;">今年2月修補的思科SD-WAN系統高風險漏洞，已有多組人馬用於實際攻擊</strong></a></p> <p>本週思科警告Catalyst SD-WAN Controller與Catalyst SD-WAN Manager最新資安漏洞CVE-2026-20182遭到利用，威脅情報團隊Talos透露攻擊者的身分是UAT-8616。不過，在公開上述漏洞如何遭到利用的同時，Talos也透露有人試圖利用其他已知漏洞攻擊思科SD-WAN設備的情況。Talos從今年3月至4月，掌握一系列有別於UAT-8616的駭客團體，利用今年2月下旬修補的任意檔案覆寫漏洞CVE-2026-20122、權限提升漏洞CVE-2026-20126，以及資訊洩露漏洞CVE-2026-20133（CVSS風險值為7.1、7.8、7.5），攻擊尚未修補的思科SD-WAN系統。</p> <p><a href="https://www.ithome.com.tw/news/175851"><strong style="font-size: 22px;">F5修補存在18年的Nginx重大漏洞</strong></a></p> <p><a href="/sites/default/files/images/nginx-findings-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/nginx-findings-63.jpg" style="width: 300px; float: right;" /></a></p> <p>5月13日F5發布資安公告，指出採用非同步事件驅動框架的網頁伺服器Nginx存在資安漏洞CVE-2026-42945，問題發生在ngx_http_rewrite_module元件。目前CVE-2026-42945的CVSS v4.0風險評為9.2分，影響Nginx Plus R32至R36、Nginx Open Source、Nginx Instance Manager、Nginx Ingress Controller等平臺，F5發布更新軟體修補。通報此事的AI資安公司Depthfirst透露，該漏洞是從18年前的0.6.27版引入，影響1.30.0版以前的Nginx，起因於指令碼引擎的執行採用兩個步驟，一旦指令裡的替代字串出現問號，就有可能觸發這個問題，該公司也公布概念驗證程式碼（PoC）。</p> <p><a href="https://www.ithome.com.tw/news/175850"><strong style="font-size: 22px;">Linux再爆本機提權漏洞，兩週內已經找到第三個</strong></a></p> <p>繼Copy Fail、Dirty Frag這兩個涵蓋多個Linux發行版的本機提權漏洞（LPE）揭露，5月13日又有資安研究人員揭露新的這類型漏洞，稱為Fragnesia，透過V12團隊的GitHub頁面公布利用該漏洞的概念驗證程式（PoC）、緩解與修補方式，並表示所有受Dirty Frag影響的Linux發行版都無法倖免。Fragnesia漏洞的編號被定為CVE-2026-46300，CVSS嚴重度評分為7.8，存在Linux核心的XFRM ESP-in-TCP子系統，攻擊者可濫用邏輯漏洞，在本機系統中，將任意位元組的資料寫入唯讀檔案的核心頁面快取（Kernel Page Cache），且不需任何競態條件。</p> <p><a href="https://www.ithome.com.tw/news/175852"><strong style="font-size: 22px;">美政府外包商前員工被控刪除近100個政府資料庫，詢問AI如何刪除系統記錄</strong></a></p> <p>曾任職於美國政府外包商的員工Muneeb Akhter，被控在遭到公司解聘時，趁著尚有存取權限期間將96個美國政府資料庫刪除，並企圖刪除犯罪跡證。聯邦陪審團本週裁定Sohaib Akhter與Muneeb Akhter共謀電腦詐欺、輸送密碼及其他罪名成立。Muneeb與Sohaib兩人是雙胞胎兄弟，原先任職於美國政府外包IT業者Opexus，今年2月因竊取帳密資料遭到投訴及解職，兩人憤而報復，Muneeb濫用尚未撤銷的權限，在一小時內刪除了約96個由Opexus代管的美國政府資料庫，包含與資訊自由法相關資料及屬於聯邦機構的敏感調查檔案，其中一個資料庫隸屬美國國土安全部。</p> <p><a href="https://www.ithome.com.tw/news/175818"><strong style="font-size: 22px;">英國國民保健署因AI資安疑慮，將部分GitHub公開儲存庫改設私有</strong></a></p> <p>為因應先進AI模型可能帶來的資安風險，英國國民保健署（NHS）要求技術主管暫時限制部分開放原始碼專案的公開存取權限。根據The Register報導，NHS內部指引要求：在5月11日前，相關GitHub儲存庫必須由公開狀態改設為私有；除非有明確且特殊需求，否則不應維持公開，影響的GitHub儲存庫數量達數百個。NHS England發言人表示，這只是暫時性措施，目的是在評估AI模型快速發展影響的同時，進一步強化資安；若有明確需求，NHS仍會繼續發布原始碼。</p> <p><a href="https://www.ithome.com.tw/news/175837"><strong style="font-size: 22px;">日本啟動內閣層級資安戰略檢討，因應先進AI帶來的新型防禦挑戰</strong></a></p> <p>Anthropic於4月公布Claude Mythos Preview後，引發美國、英國與加拿大等國金融監理機關的關注。這類先進AI模型若被用於攻擊情境，可能加快漏洞的發現與利用，使政府系統與金融服務等關鍵基礎設施面臨更大的防禦壓力。根據The Register報導，日本首相高市早苗於5月12日內閣會議中，指示網路安全擔當大臣松本尚與相關內閣成員採取行動，檢查政府系統是否具備偵測與修補漏洞的能力，並研擬協助關鍵基礎設施營運者強化防禦的措施。</p> <p><a href="https://www.ithome.com.tw/news/175822"><strong style="font-size: 22px;">DNSSEC簽章錯誤導致德國.de網域大規模故障，數百萬網站斷線數小時</strong></a></p> <p><a href="/sites/default/files/images/BLOG-3309_2-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/BLOG-3309_2-63.jpg" style="width: 300px; float: right;" /></a>5月5日晚間，德國頂級網域（ccTLD）「.de」發生大規模DNS異常事件，大量德國網站的網域名稱當時無法解析。根據網路服務與資安業者Cloudflare的報告指出，事件起因是德國網域管理機構DENIC發布錯誤的DNSSEC數位簽章，導致DNS伺服器的DNSSEC驗證失敗，數百萬個採用.de網域的網站同時斷線，Cloudflare隨即啟用「負向信任錨」（Negative Trust Anchors，NTA）機制緩解問題。</p> <p><a href="https://www.ithome.com.tw/news/175805"><strong style="font-size: 22px;">微軟公開自家MDASH多模型代理式AI安全系統，發現16個Windows漏洞</strong></a></p> <p><a href="/sites/default/files/images/Image-for-MDASH-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/Image-for-MDASH-63.jpg" style="width: 300px; float: right;" /></a>在Anthropic Claude Mythos及OpenAI Daybreak之後，微軟也展現以AI找漏洞的研發成果。微軟本週公開多模型代理式AI安全系統MDASH，並指出此工具讓該公司成功找出Windows網路及驗證功能的16項新漏洞。微軟將MDASH用於自家產品的漏洞掃描測試，結果在StorageDrive驅動程式找出21項微軟刻意植入的漏洞，進一步驗證也顯示零誤判。之後，5月份例行更新（Patch Tuesday）修補的Windows網路堆疊及相鄰服務漏洞中，有16個是來自MDASH的發現。</p> <p><a href="https://www.ithome.com.tw/news/175801"><strong style="font-size: 22px;">微軟將透過Windows Update遠端復原問題驅動程式，減少手動排除故障負擔</strong></a></p> <p>為了降低驅動程式更新出問題後的處理負擔，微軟5月12日宣布在Windows Update導入Cloud-Initiated Driver Recovery機制。若驅動程式在硬體開發中心（Hardware Dev Center）的發布品質審查流程（Driver Shiproom）中被判定有品質問題，微軟即可遠端啟動復原作業，移除受影響裝置上有問題的版本，並回復到先前已知可正常運作的版本，或改用可透過Windows Update取得、經核准的替代版本。這項功能適用於透過Hardware Dev Center發布驅動程式的合作夥伴。</p> <p><a href="https://www.ithome.com.tw/news/175743"><strong style="font-size: 22px;">老牌Windows診斷工具Sysinternals推出新版本，3大工具同步升級</strong></a></p> <p>常用於系統監控與資安事件分析的Windows診斷工具集Sysinternals，近日發布新版本，涵蓋系統啟動分析工具Autoruns、記憶體傾印分析工具ProcDump，以及螢幕放大與標註工具ZoomIt的更新。其中Autoruns更新至14.2版，新增對Windows套件化封裝應用程式（Windows packaged apps）的支援，提升對當前Windows應用程式新型啟動機制的解析能力。ProcDump更新至12.0版，新增透過-pt參數，以整個程序階層結構（process tree）為單位擷取記憶體dump資料，讓記憶體dump分析可以涵蓋整個應用程式的主從程序結構，不像舊版ProcDump只能針對單一程序擷取記憶體資料。</p> <p><a href="https://www.ithome.com.tw/news/175795"><strong style="font-size: 22px;">微軟修補Android版Teams漏洞，未更新可能導致偽造攻擊</strong></a></p> <p>微軟近日揭露協作平臺Teams的漏洞CVE-2026-32185，可能被攻擊者用於假冒通訊內容，誘騙用戶並進一步發動社交工程攻擊，此漏洞會影響Android版Teams，微軟已在5月份例行更新（Patch Tuesday）中釋出修補，建議用戶儘速更新。這項漏洞源自Teams的檔案與目錄存取權限控制問題，可能被外部存取，進而導致攻擊者可藉此進行偽造攻擊（spoofing），誘使用戶信任假冒的惡意通訊內容。微軟將此漏洞列為重要（Important）等級，CVSS嚴重性評分為5.5分，雖然攻擊需在本機環境進行，且需與用戶互動，但不需額外權限即可利用。</p> <p><a href="https://www.ithome.com.tw/news/175792"><strong style="font-size: 22px;">Meta推出Incognito Chat，主打AI對話完全私密</strong></a></p> <p>Meta宣布將於WhatsApp及Meta AI App推出全新的Incognito Chat隱私聊天模式，主打使用者可在完全私密的環境下與AI互動；強調相關對話會在特殊的安全環境中處理，連Meta本身也無法查看內容，而且對話預設不會保存，訊息也會自動消失。Incognito Chat是建立在WhatsApp既有的Private Processing技術之上。當使用者啟動Incognito Chat後，便會建立僅自己可見的臨時AI聊天空間，訊息會在隔離的安全環境中完成處理。</p> <p><a href="https://www.ithome.com.tw/news/175775"><strong style="font-size: 22px;">Veeam推出DataAI Command Platform，整合AI代理治理與資料復原</strong></a></p> <p>看好生成式AI與AI代理應用快速擴張帶來的資安風險管理需求，資料保護軟體供應商Veeam去年底併購資料安全態勢管理（DSPM）服務廠商Securiti AI後，便結合雙方技術，在今年2月發表AI代理應用管理平臺Agent Commander，在近期舉行VeeamON 2026大會上，Veeam又發表新的DataAI Command Platform，除了Agent Commander的AI代理管理功能外，進一步將資料保護、AI治理、身分管理與資料安全等應用，整合至新推出的DataAI Command Platform，構成統一的AI信任層。</p> <p><a href="https://www.ithome.com.tw/news/175829"><strong style="font-size: 22px;">Red Hat擴展主權雲與私有雲能力，強化資料駐留、區域支援與AI模型生命週期控管</strong></a></p> <p>開源解決方案供應商Red Hat（紅帽）宣布擴展主權雲（sovereign cloud）與私有雲（private cloud）功能，更新項目涵蓋合規自動化、隔離式部署、區域內支援與AI服務部署，回應企業在資料駐留（data residency）、法規遵循與關鍵工作負載控管等議題的需求。在法規遵循方面，主權雲與私有雲不只要求資料留在特定區域，也要求企業能持續提供安全設定與技術控制的佐證資料。</p> <p><a href="https://www.ithome.com.tw/news/175838"><strong style="font-size: 22px;">叡揚資訊延攬前總統府二局局長馬正維，強化推動數位韌性</strong></a></p> <p>迄今成立40年的臺灣軟體業者叡揚資訊，日前延攬前總統府第二局局長馬正維，擔任該公司數位韌性辦公室執行長。這項人事任命備受業界關注，不僅因為馬正維在公部門深耕逾37年，親身參與國家最高層級資安與機要管理工作，更因為他的加入，象徵臺灣民間資訊服務業在「數位韌性」議題上，正全面接軌國家戰略視野，向企業治理層次邁進。</p> <p><a href="https://www.ithome.com.tw/news/175813"><strong style="font-size: 22px;">【臺灣資安大會直擊】驅動供應鏈韌性，漢翔憑CMMC實戰經驗打造供應鏈資安評級系統</strong></a></p> <p>全球資安合規浪潮正席捲各產業，供應鏈安全亦成為最關鍵的議題，而當中最受關注的施行標準，莫過於美國國防部推動的網路安全成熟度模型認證（CMMC）2.0版。身為國防軍工指標大廠的漢翔航空工業，該公司自2016年承接F-16維修專案起，長期接受洛克希德馬丁稽核，歷經從NIST SP 800-171到現行CMMC 2.0日益嚴謹的挑戰，如今更將CMMC合規實戰經驗，建構出一套「供應鏈資訊安全評級系統」（AIxSISAS），將複雜的合規要求轉化，成為可執行、可追溯且可持續的管理機制。</p> <p><a href="https://www.ithome.com.tw/news/175847"><strong style="font-size: 22px;">【臺灣資安大會直擊】專家談跨國企業資安治理：真正難的不是技術，而是跨文化協作</strong></a></p> <p>保瑞藥業全球資安經理Jesse Ku在今年臺灣資安大會上分享他多年參與跨國企業資安治理與海外協作的經驗，他認為，企業資安最大的困難，很多時候不是技術，而是「人」。Jesse認為，資安裡面最弱的環節是人，但人同時也是做好資安最重要的因素。許多人以為跨國企業資安協作最大的問題是英文能力，實際上，語言只是第一層障礙。真正困難的，是不同文化背景下，對同一句話可能產生完全不同的解讀。這種語意解讀落差（interpretation gap），其實是跨國資安合作中非常常見，但也最容易被忽略的問題。</p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/175803"><strong>【5月14日】Exim修補可導致任意程式碼執行的重大漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/175765"><strong>【5月13日】鴻海驚傳遭勒索軟體Nitrogen攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/175725"><strong>【5月12日】駭客首度濫用AI挖掘零時差漏洞並生成攻擊工具</strong></a></p> </div></div></div>
5/15 15:37作者周峻佑https://www.ithome.com.tw/news/175857
F5修補存在18年的Nginx重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>5月13日F5<strong><a href="https://my.f5.com/manage/s/article/K000161019">發布資安公告</a></strong>，指出採用非同步事件驅動框架的網頁伺服器Nginx存在資安漏洞CVE-2026-42945，問題發生在ngx_http_rewrite_module元件。</p> <p>當rewrite指令接在rewrite、if，或set指令的後面，以及運用未命名的Perl相容正規表達式（Perl-Compatible Regular Expression，PCRE）擷取含有問號的替換字串時，就會形成這項弱點。未經身分驗證的攻擊者發送特製的HTTP請求，在超出本身控制的特定條件下，就有機會觸發漏洞，導致Nginx的處理程序出現記憶體堆積緩衝區溢位的現象，導致伺服器重新啟動。若系統關閉位址空間配置隨機化（ASLR）的保護措施，攻擊者有機會進一步執行任意程式碼。</p> <p>目前CVE-2026-42945的CVSS v4.0風險評為9.2分，影響Nginx Plus R32至R36、Nginx Open Source、Nginx Instance Manager、Nginx Ingress Controller等平臺，F5發布更新軟體修補。</p> <p>通報此事的<strong><a href="https://depthfirst.com/research/nginx-rift-achieving-nginx-rce-via-an-18-year-old-vulnerability">AI資安公司Depthfirst透露</a></strong>，該漏洞是從18年前的0.6.27版引入，影響1.30.0版以前的Nginx，起因源自指令碼引擎的執行採用兩個步驟，一旦指令裡的替代字串出現問號，就有可能觸發這個問題，該公司也公布概念驗證程式碼（PoC）。Depthfirst於4月下旬找到弱點，並向F5通報獲得確認，當時Depthfirst總共發現5個漏洞，F5確認其中4個是有效漏洞並登記CVE編號。除了CVE-2026-42945，另外3個漏洞是CVE-2026-42946、CVE-2026-40701，以及CVE-2026-42934。</p> </div></div></div>
5/15 12:35作者周峻佑https://www.ithome.com.tw/news/175851
美政府外包商遭解僱員工被控刪除96個政府資料庫，還問AI如何刪除Log
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>一名曾任職於美國政府外包商的員工，<a href="https://www.justice.gov/opa/pr/federal-jury-convicts-virgina-man-charges-relating-deletion-us-government-databases" target="_blank">本週被控</a>在遭到公司解聘時，趁著尚有存取權限期間將96個美國政府資料庫刪除，並企圖刪除犯罪跡證。</p> <p>聯邦陪審團本週裁定34歲的維吉尼亞州民Sohaib Akhter共謀電腦詐欺、輸送密碼及其他罪名成立。他在去年2月間內犯下一連串內部網路攻擊，最終導致多個聯邦機構資料外洩及被破壞，包括國土安全部、國稅局及平等就業機會委員會，並在去年12月初落網。</p> <p>根據法院文件，Sohaib Akhter與其雙胞胎兄弟兼共同被告Muneeb Akhter原先任職於美國IT業者Opexus。該公司為45家政府機關提供軟體及資料代管服務。2025年2月初，Muneeb Akhter遭到他人向平等就業機會委員會（Equal Employment Opportunity Commission）投訴，要求主嫌Sohaib代為取得儲存在公司資料庫的網站密碼。Sohaib存取公司系統取得該投訴人密碼後交由兄弟，使其得以存取電子郵件信箱。</p> <p>Opexus發現Sohaib行為及兩人的前科後，在2025年2月18日將二人解僱，在獲悉被解僱的5分鐘內二人憤而報復。Sohaib的VPN與Windows存取權限已在解僱視訊會議期間遭移除，但兄弟Muneeb還有權限。Muneeb Akhter立即存取該公司網路系統，展開大規模破壞。</p> <p>根據檢察官<a href="https://www.justice.gov/opa/pr/two-virginia-men-arrested-conspiring-destroy-government-databases" target="_blank">起訴書</a>，他在一小時內刪除了約96個由Opexus代管的美國政府資料庫，包含與資訊自由法相關資料及屬於聯邦機構的敏感調查檔案，其中一個資料庫還是屬於美國國土安全部。</p> <p>刪除行動從2月18日下午持續到當晚11點多。Muneeb另外非法下載了1800餘份Opexus代管的美國平等就業機會委員會及國稅局的資訊，後者包含約至少450人的稅務資料。在刪除資料庫後，Muneeb並詢問AI，如何刪除作案的Windows Server及SQL Server的系統日誌（log）檔。同時兄弟倆還討論如何在警方搜查前清除證據。兩個人的公司電腦已在交還公司前刪除資料。</p> <p>這並非兩人第一次資訊犯罪。<a href="https://cyberscoop.com/opexus-background-checks-insider-attack-muneeb-sohaib-akhter/" target="_blank">根據報導</a>，2015年兄弟倆曾駭入一家化妝品公司，竊取數千張信用卡號碼，並利用這些權限預訂機票和飯店，分別被判處3年及2年徒刑。Muneeb曾將竊取的資訊轉售到暗網上，他們也曾取得他人護照和簽證資料，包括調查他們案件的聯邦調查員的資訊。</p> <p><a href="https://cybernews.com/security/fired-contractors-delete-government-databases/" target="_blank">媒體報導</a>Muneeb已先認罪。Sohaib預定9月量刑，最高可能判刑21年。</p> </div></div></div>
5/15 13:31作者林妍溱https://www.ithome.com.tw/news/175852
AI半導體業者Cerebras上市首日股價飆漲68%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國AI半導體業者Cerebras Systems週四（5/14）以CBRS為代號，登上美國那斯達克股市。<a href="https://www.cerebras.ai/press-release/cerebras-systems-announces-pricing-of-initial-public-offering" target="_blank">CBRS的發行價為185美元</a>，上市當天就上漲了68.15%，以311.07美元作收，盤後續漲至329.57美元。</p> <p>2016年於美國創立的Cerebras是家專注於AI專用硬體的半導體新創公司，其最具代表性的創新為晶圓級處理器（Wafer-Scale Engine，WSE）架構，把整片矽晶圓當作單一處理器，完全跳脫傳統GPU或CPU以多顆晶片組裝的設計邏輯，這也讓Cerebras的晶片尺寸達到Nvidia GPU的58倍。然而，該架構使得運算核心、記憶體與內部頻寬高度整合，大幅降低資料搬移延遲，特別適合大型語言模型與科學運算等高強度AI工作負載。</p> <p>近來Cerebras已分別與OpenAI、Amazon Web Services、Meta、Mistral AI、以及Windsurf建立合作。</p> <p>在此次IPO中，Cerebras以每股185美元出售3,000萬股，總計募得55.5億美元。<a href="https://www.cnbc.com/2026/05/14/cerebras-cbrs-stock-trade-nasdaq-ipo.html" target="_blank">根據CNBC的報導</a>，這是自Uber於2019年上市以來，美國科技公司IPO募資最高的一案。</p> <p>Cerebras近年營收快速成長，從2022年的2460萬美元增至2024年的2.903億美元，3年內成長超過10倍；2025年營收進一步成長76%至5.1億美元。獲利方面，Cerebras 2025年依GAAP認列淨利2.378億美元，較2024年淨損4.816億美元大幅改善；不過，若排除股票薪酬與遠期合約負債公允價值變動等項目，2025年Non-GAAP仍為淨損7570萬美元，且該年仍有1.46億美元營業虧損。</p> <p><a href="https://www.ft.com/content/4848fbef-d9af-46ee-b6ef-ad344a7a3814" target="_blank">英國金融時報</a>（Financial Times，FT）指出，Cerebras不到一年前的私募估值只有81億美元，但此次上市後的市值已接近700億美元，顯示AI基礎架構概念股仍受到市場追捧，可能進一步推高市場對OpenAI與Anthropic未來上市的期待。</p> </div></div></div>
5/15 13:42作者陳曉莉https://www.ithome.com.tw/news/175853
GitHub Copilot桌面應用程式開始技術預覽，將代理式開發整合到桌面工作環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>GitHub釋出<strong><a href="https://github.blog/changelog/2026-05-14-github-copilot-app-is-now-available-in-technical-preview/">GitHub Copilot桌面應用程式技術預覽版</a></strong>，讓開發者可從議題、拉取請求（Pull Request）、提示詞或先前工作階段啟動AI代理開發任務，並在同一個環境中檢視程式碼變更、檢查結果與合併請求。該新功能讓Copilot的使用情境從程式碼撰寫輔助，擴及可接續開發流程的工作環境。根據官方的預告影片，該應用程式將會在6月2日正式發布。</p> <p>GitHub說明，開發者可以從議題、拉取請求、提示文字或先前工作階段開始任務。啟動後，相關的工作內容、程式碼儲存庫狀態、審查意見與檢查結果，都能帶入同一個工作階段（Session）。</p> <p>Copilot桌面應用程式採用工作階段設計，每個工作階段都有獨立的程式碼分支、檔案、對話紀錄與任務狀態，因此不同任務可以分開處理，不會把多項修改混在同一個工作區。開發者也可以暫停工作，之後再回到原本進度。同時處理多個專案，也能讓不同任務維持各自的脈絡。</p> <p>該應用程式也將AI代理的職責擴大到程式碼生成之後的開發流程，包括後續修改與測試。GitHub表示，開發者可以在應用程式內查看AI代理規畫的修改方向與實際變更內容，並提供意見要求下一輪修改。完成修改後，也能透過內建終端機與瀏覽器執行指令、開啟預覽畫面並進行測試，再建立拉取請求，交由團隊依照既有流程審查。</p> <p>GitHub還提到代理合併（Agent Merge）功能，開發者可讓AI代理後續處理審查意見、修正未通過的檢查項目，並在條件符合時完成合併。</p> <p>目前GitHub Copilot Pro與Pro+訂閱者可申請早期存取。GitHub Copilot Business與Enterprise訂閱者則會隨GitHub發布擴大可用範圍而陸續取得存取權。若企業或組織要使用該技術預覽版，管理員必須先啟用預覽功能，並在政策設定中啟用Copilot CLI。</p> </div></div></div>
5/15 13:45作者李建興https://www.ithome.com.tw/news/175848
【臺灣資安大會直擊】專家談跨國企業資安治理：真正難的不是技術，而是跨文化協作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在全球企業持續擴張、跨國併購日益頻繁的情況下，企業資安團隊面臨的挑戰，不只是技術如何防禦，更重要的是克服跨越語言、文化與組織差異，建立一致的全球資安治理機制。</p> <p>保瑞藥業全球資安經理Jesse Ku在今年臺灣資安大會上分享他多年參與跨國企業資安治理與海外協作的經驗，他認為，企業資安最大的困難，很多時候不是技術，而是「人」。</p> <p><strong>「資安裡面最弱的環節是人，但人同時也是做好資安最重要的因素。」他說。</strong></p> <p><span style="color:#B22222;"><strong>全球資安治理的最大障礙，不只是語言</strong></span></p> <p>Jesse指出，許多人以為跨國企業資安協作最大的問題是英文能力，實際上，語言只是第一層障礙。真正困難的，是不同文化背景下，對同一句話可能產生完全不同的解讀。</p> <p>他以華人常用的「No no no」或「Actually」為例，在華人語境中很多時候只是表達「不是這樣」或「我來補充一下」，但是在歐美文化裡卻可能被解讀成否定對方、拒絕合作，甚至帶有攻擊性。</p> <p>他分享一次跨國會議案例，亞洲同事在討論流程時，不斷插話與說「No」，原意其實是想修正流程內容，但美國同事認為，「你根本不是來合作，只是在否定我」，最後甚至拒絕繼續討論。</p> <p>Jesse認為，這類「語意解讀落差（interpretation gap）」，其實是跨國資安合作中非常常見，但也最容易被忽略的問題。</p> <p><strong><span style="color:#B22222;">不同國家存在職場文化差異</span></strong></p> <p>Jesse也分享自己與不同國家的團隊合作的觀察。</p> <p>他指出，美國職場文化習慣在會議中習慣積極發言、表達意見；但臺灣企業則更重視效率與執行速度，許多時候希望快速完成專案。歐洲同事則較重視邏輯與辯論，只要能被說服，通常願意接受不同做法；加拿大與澳洲同事則相對更重視工作與生活平衡。</p> <p>這些文化差異，都會直接影響全球資安治理的推動方式。他舉例說明，臺灣同事習慣快速推進專案，但澳洲同事可能認為週五下午不適合談工作，應該等到下週再討論。</p> <p>「每個國家的文化、步調與工作方式都不一樣」，Jesse說。</p> <p><span style="color:#B22222;"><strong>跨國資安治理需掃除「隱形障礙」</strong></span></p> <p>Jesse認為，除了文化差異之外，跨國資安治理另一個常見問題，是知識與經驗背景不同。</p> <p>例如有些企業高度重視ISO認證，有些美國企業更偏向採用NIST CSF，有些企業每月作社交工程演練，有些企業一年才做一次。企業不能把自己的標準直接套用到所有組織。</p> <p>Jesse指出，不少資安團隊容易有「經驗迷思」，例如宣稱有20年的資安經驗，但他認為如果長期沒有持續更新知識，觀念可能仍停留在10年前。「如果你的經驗沒有跟產業一起更新，就會出現盲點」。</p> <p>在跨國協作時，生成式AI確實有助於跨國企業突破語言障礙，如即時翻譯、Email撰寫、多語系溝通等，都比過去容易許多。</p> <p>但Jesse也醒，AI無法真正解決文化與認知問題。此外，企業若過度相信AI，也可能產生新的風險，例如使用者被AI誤導、員工將公司機密輸入AI工具、攻擊者利用AI強化攻擊能力</p> <p>因此，他認為企業在導入AI工具的同時，也必須同步強化治理與防護能力。</p> <p><span style="color:#B22222;"><strong>資安協作基礎是建立共同理解</strong></span></p> <p>Jesse指出，跨國資安治理最重要的事情，其實是「Alignment（對齊）」。</p> <p>因為很多跨國會議最大的問題，不是技術，而是大家以為在討論同一件事、實際上彼此理解完全不同</p> <p>他以親身經歷的故事為例，是某一年冬天在美國麥當勞用餐時，外面氣溫為零下15度，他看到一名婦人推著嬰兒車、手上提著大包小包準備進店，而他剛好坐在門口附近，因此起身想幫對方開門，就在他還沒真正把門打開前，那名婦人已經自行開門，並開始對他破口大罵，讓他當下感到困惑，在他的認知中，他起身想為婦人開門，而該名婦人是位街友，在她的認知中，以為他想阻止她開門，所以引起誤會。</p> <p>資安協作也容易存在認知上的差異，因此跨國資安協作必須先確認目標是否一致、對風險的理解是否一致、誰負責什麼（R&R）、工作模式如何運作。</p> <p>根據他的經驗，跨國企業常見三種治理模式，集中式、混合式、分散式。許多大型跨國企業目前多採混合式架構，也就是由總部制定最低資安標準，各地區再依實際需求進行調整。</p> <p>他認為，企業不應追求單一治理模式，而是應依據組織規模、文化成熟度、管理能力、地區差異、資源配置建立適合自己的全球資安協作機制。</p> <p>全球資安治理真正困難的地方，往往不是工具或技術，更重要的是如何讓不同國家、文化與組織背景的團隊，建立一致的風險認知與協作模式。</p> <p>當跨國企業持續擴張、併購與整合日益頻繁的情況下，資安團隊不只要面對技術威脅，還必須處理語言、文化、組織與管理上的「隱形障礙」。相較於單純導入工具，企業更需要建立清楚的溝通機制、角色分工與全球協作流程，才能真正讓全球資安治理有效落地。</p> </div></div></div>
5/15 13:59作者蘇文彬https://www.ithome.com.tw/news/175847
高達7成美國人反對在住家附近興建AI資料中心，反對比例高於核電廠
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國民調機構蓋洛普（Gallup）針對美國成年人進行調查，詢問他們是否支持在所居住的地區興建AI資料中心或核電廠，<a href="https://news.gallup.com/poll/709772/americans-oppose-data-centers-area.aspx" target="_blank">結果有71%的受訪者反對興建AI資料中心</a>，但只有53%反對興建核電廠。自蓋洛普於2001年起追蹤核電廠地方建設題目以來，最高的反對比例也只有63%。</p> <p>蓋洛普先是在今年3月針對約1,000名美國成年人，調查他們是否支持在居住地區興建AI資料中心與核電廠，接著在4月透過Gallup Panel，向逾2,000名受訪者詢問支持或反對AI資料中心的理由。</p> <p>AI資料中心主要用來放置支撐AI服務運作的運算設備，供企業、大學與其他機構使用。不過，這類設施通常占地廣大，營運時需要大量電力，也必須使用相當多的水來冷卻設備，因此引發外界對環境衝擊與地方電費上漲的疑慮。</p> <p>近年美國大型科技公司持續擴大AI資料中心投資，例如<a href="https://www.ithome.com.tw/news/172334" target="_blank">微軟正在</a>威斯康辛州Mount Pleasant興建Fairwater AI資料中心，Amazon則在密西西比州擴大資料中心投資，規模達250億美元；<a href="https://www.ithome.com.tw/news/167160" target="_blank">Meta也在</a>路易斯安那州Richland Parish興建該公司迄今最大資料中心，用於支援AI模型訓練。此外，OpenAI、Oracle與SoftBank的Stargate計畫，也已公布在德州Abilene、威斯康辛州Port Washington等地建設AI資料中心。</p> <p>在3月的調查中，71%的受訪者反對在居住地附近興建AI資料中心；其中48%為強烈反對，23%為有點反對，支持者則約占26%。相較之下，同次調查中反對在當地興建核電廠的比例為53%。</p> <p>4月的調查則顯示，在反對者中，有50%擔心資源問題，像是水、電的消耗，以及對環境與生態的可能影響；有22%擔心生活品質受到衝擊，例如人口增加、房地產價格變化、交通惡化，或是認為土地應作其它用途；有20%擔心生活成本上升，像是電費或其它成本的增加；有16%擔心污染；14%擔心經濟影響，如工作被AI取代；另有13%擔心AI所帶來的倫理、隱私、社交或過於依賴等問題。</p> <p>而支持者的理由則有66%認為可帶動地方經濟效益，17%認為可享受科技帶來的好處，10%相信AI有助於個人福利。</p> <p>蓋洛普指出，反對在當地興建AI資料中心的態度，橫跨不同年齡、種族、教育程度、收入與城鄉族群，這些群體的總體反對比例並沒有明顯差異。不過，若看「強烈反對」比例，民主黨支持者達56%，高於獨立選民的48%與共和黨支持者的39%；女性強烈反對比例也達55%，高於男性的43%。在地區上，中西部與南部總體反對比例較高，分別為76%與75%，東部與西部則為68%與63%。</p> </div></div></div>
5/15 14:18作者陳曉莉https://www.ithome.com.tw/news/175855
今年2月修補的思科SD-WAN系統高風險漏洞，已有多組人馬用於實際攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>本週思科警告Catalyst SD-WAN Controller與Catalyst SD-WAN Manager（原名SD-WAN vSmart、SD-WAN vManage）<strong><a href="https://www.ithome.com.tw/news/175835">最新資安漏洞CVE-2026-20182遭到利用</a></strong>，威脅情報團隊Talos透露<strong><a href="https://www.ithome.com.tw/news/175840">攻擊者的身分是UAT-8616</a></strong>。不過，在公開上述漏洞如何遭到利用的同時，Talos也透露有人試圖利用其他已知漏洞攻擊思科SD-WAN設備的情況。</p> <p>Talos<strong><a href="https://blog.talosintelligence.com/sd-wan-ongoing-exploitation/">從今年3月至4月</a></strong>，掌握一系列有別於UAT-8616的駭客團體，利用<strong><a href="https://www.ithome.com.tw/news/174227">今年2月下旬修補的</a></strong>任意檔案覆寫漏洞CVE-2026-20122、權限提升漏洞CVE-2026-20126，以及資訊洩露漏洞CVE-2026-20133（CVSS風險值為7.1、7.8、7.5），攻擊尚未修補的思科SD-WAN系統，Talos一共看到10波攻擊活動共通點是駭客透過公開的概念驗證程式碼（PoC）利用上述漏洞。得逞後他們就對SD-WAN系統部署web shell，並執行bash指令。在大部分的漏洞利用活動裡，駭客都是使用與前述概念驗證程式碼搭配的JSP web shell，Talos將其命名為XenShell，但也有部署其他作案工具的情況，其中包括Godzilla、Behinder、AdaptixC2、Sliver，此外駭客也試圖植入挖礦軟體XMRig、隧道工具Gsocket，以及竊資軟體。</p> <p>雖然上述3項漏洞僅被評為高風險等級，不過Talos強調，一旦被串連利用，攻擊者就能在未經身分驗證的情況下，取得SD-WAN的存取權限，因此他們強烈呼籲用戶要儘速套用更新軟體。</p> </div></div></div>
5/15 10:56作者周峻佑https://www.ithome.com.tw/news/175845
Linux再爆本機提權漏洞，兩週內已經找到第三個
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p style="margin-left:.05pt;">繼<a href="https://www.ithome.com.tw/tags/copy-fail"><strong>Copy Fail</strong></a>、<a href="https://www.ithome.com.tw/tags/dirty-frag"><strong>Dirty Frag</strong></a>這兩個涵蓋多個Linux發行版的本機提權漏洞（LPE）揭露，本週三（5月13日）又有資安研究人員揭露新的這類型漏洞，稱為<a href="https://github.com/v12-security/pocs/tree/main/fragnesia"><strong>Fragnesia</strong></a>，透過V12團隊的GitHub頁面公布利用該漏洞的概念驗證程式（PoC）、緩解與修補方式，並表示所有受Dirty Frag影響的Linux發行版都無法倖免。</p> <p style="margin-left:.05pt;">目前已有多個Linux發行版本發布相關公告，包含<strong><a href="https://almalinux.org/blog/2026-05-13-fragnesia-cve-2026-46300/">AlmaLinux</a></strong>、<strong><a href="https://aws.amazon.com/security/security-bulletins/rss/2026-029-aws/">Amazon Linux</a></strong>、<strong><a href="https://blog.cloudlinux.com/fragnesia-mitigation-and-kernel-update">CloudLinux</a></strong>、<strong><a href="https://security-tracker.debian.org/tracker/CVE-2026-46300">Debian</a></strong>、<strong><a href="https://bugs.gentoo.org/show_bug.cgi?id=CVE-2026-46300">Gentoo</a></strong>、<strong><a href="https://access.redhat.com/security/cve/cve-2026-46300">Red Hat Enterprise Linux</a></strong>、<strong><a href="https://www.suse.com/security/cve/CVE-2026-46300.html">SUSE</a></strong>、<strong><a href="https://ubuntu.com/security/CVE-2026-46300">Ubuntu</a></strong><strong>。</strong></p> <p style="margin-left:.05pt;">Fragnesia漏洞的編號當天被定為<a href="https://access.redhat.com/security/cve/cve-2026-46300"><strong>CVE-2026-46300</strong></a>，CVSS嚴重度評分為7.8，存在Linux核心的XFRM ESP-in-TCP子系統，攻擊者可濫用邏輯漏洞，在本機系統中，將任意位元組的資料寫入唯讀檔案的核心頁面快取（Kernel Page Cache），且不需任何競態條件。<a href="https://www.wiz.io/blog/fragnesia-linux-kernel-local-privilege-escalation-via-esp-in-tcp"><strong>資安廠商</strong><strong>Wiz</strong><strong>表示</strong></a>，已進入本機、未取得系統權限的攻擊者，能修改核心頁面快取中的唯讀檔案內容。</p> <p style="margin-left:.15pt;">發現Fragnesia漏洞的研究人員是隸屬V12團隊的William Bowling表示，Fragnesia是與Dirty Frag同類型的漏洞，因為它也是源於Dirty Frag、同樣存在ESP或XFRM的另一個程式臭蟲，而且，已經有<a href="https://lists.openwall.net/netdev/2026/05/13/79"><strong>專屬修補程式</strong></a>，但它和Dirty Frag有相同的攻擊面與緩解方式。他還提到之所以將此漏洞命名為Fragnesia，是因為關鍵問題在於，用來存放網路封包核心資料結構的socket緩衝（socket buffer，skb）「忘記」記憶碎片（fragments）也會在Linux網路堆疊合併封包處理期間（coalescing）被共享。</p> <p style="margin-left:.15pt;">若將Fragnesia一詞拆解，試著從字面上理解，Frag是指記憶碎片，nesia字尾通常代表與記憶有關的事物，例如hypermnesia是記憶增強、paramnesia是記憶錯誤。</p> <p style="margin-left:.15pt;"><a href="/sites/default/files/images/Fragnesia PoC Demo.jpg"><img alt="" src="/sites/default/files/images/Fragnesia%20PoC%20Demo.jpg" style="width: 300px;" /></a></p> <p style="margin-left:.15pt;">對於Fragnesia漏洞的理解，Wiz表示，Fragnesia是在Linux XFRM ESP-in-TCP實作中的邏輯瑕疵，尤其是涉及socket緩衝合併封包（skb coalescing）期間對共享快取碎片的不當處理。</p> <p style="margin-left:.15pt;">微軟威脅情資團隊則透過社群網站X快速解讀Fragnesia，他們認為Fragnesia濫用XFRM ESP-in-TCP子系統的漏洞，目的是為了能存取Linux核心的記憶體寫入原語（primitive），該原語後續可用於/usr/bin/su這個二進位檔的頁面快取記憶體，進而啟動具有root權限的shell，而且，此漏洞濫用不限於/usr/bin/su，能修改所有使用者可讀取的檔案，包括/etc/passwd。</p> <p style="margin-left:.15pt;"> </p> <div class="media_embed"> <blockquote class="twitter-tweet" height="" width=""><p dir="ltr" lang="en" xml:lang="en">A new variant of the recent Dirty Frag vulnerability, named Fragnesia (CVE-2026-46300), has been discovered in the Linux XFRM ESP-in-TCP subsystem. Similar to Dirty Frag, Fragnesia exploits a vulnerability in the XFRM ESP-in-TCP subsystem to achieve a memory write primitive in…</p> <p>— Microsoft Threat Intelligence (@MsftSecIntel) <a href="https://twitter.com/MsftSecIntel/status/2054701609024934064?ref_src=twsrc%5Etfw">May 13, 2026</a></p></blockquote> <script async="" charset="utf-8" height="" src="https://platform.twitter.com/widgets.js" width=""></script></div> <p> </p> <p style="margin-left:.15pt;">而在微軟5月8日對於<strong><a href="https://www.microsoft.com/en-us/security/blog/2026/05/08/active-attack-dirty-frag-linux-vulnerability-expands-post-compromise-risk/">Dirty Frag的資安公告中</a></strong>，也特別為Fragnesia增列更新資訊。微軟向所有使用者與組織呼籲，強調Fragnesia漏洞修補方式已釋出，雖然目前尚未觀察到大量濫用的跡象，應盡快執行更新以套用修補，若所用的Linux發行版尚未提供修補，也可套用Dirty Frag漏洞的既有緩解措施。該公司旗下的資安軟體Microsoft Defender也能利用既有偵測Dirty Frag漏洞濫用的方式，提供保護，透過Trojan:Linux/DirtyFrag.DA!MTB或Trojan:Linux/DirtyFrag.Z!MTB這兩組特徵碼，可識別與封鎖已公開的Fragnesia漏洞濫用概念驗證程式碼。</p> </div></div></div>
5/15 12:48作者李宗翰https://www.ithome.com.tw/news/175850
CISA下令聯邦機構3天內修補思科Catalyst SD-WAN控制器重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>5月14日<strong><a href="https://www.ithome.com.tw/news/175835">思科揭露CVE-2026-20182</a></strong>，此漏洞存在於Catalyst SD-WAN Controller與Catalyst SD-WAN Manager（原名SD-WAN vSmart、SD-WAN vManage），為風險值達到滿分10分的重大漏洞，當天美國網路安全暨基礎設施安全局（CISA）<strong><a href="https://www.cisa.gov/news-events/alerts/2026/05/14/cisa-adds-one-known-exploited-vulnerability-catalog">也發布警訊</a></strong>，將此漏洞列入已遭利用漏洞名冊（KEV），要求聯邦機構<strong><a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search=CVE-2026-20182&field_date_added_wrapper=all&field_cve=&sort_by=field_date_added&items_per_page=20&url=">必須在5月17日之前完成修補</a></strong>。</p> <p>與其他列入KEV的漏洞有所不同的是，這次CISA也要求所有聯邦機構根據今年2月發布的<strong><a href="https://www.cisa.gov/news-events/directives/supplemental-direction-ed-26-03-hunt-and-hardening-guidance-cisco-sd-wan-systems">緊急指令ED 26-03</a></strong>，盤點思科SD-WAN系統，調查是否出現利用CVE-2026-20182的入侵跡象，CISA此次採取不尋常的作法，也顯示該漏洞造成的資安風險，已經超過其他滿分資安漏洞。</p> </div></div></div>
5/15 10:02作者周峻佑https://www.ithome.com.tw/news/175836
日本啟動內閣層級資安戰略檢討，因應先進AI帶來的新型防禦挑戰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Anthropic於4月公布<a href="https://www.ithome.com.tw/news/174898" target="_blank">Claude Mythos Preview</a>後，<a href="https://www.ithome.com.tw/news/175081" target="_blank">引發美國、英國與加拿大</a>等國金融監理機關的關注。這類先進AI模型<a href="https://www.ithome.com.tw/news/175037" target="_blank">若被用於攻擊情境</a>，可能加快漏洞的發現與利用，使政府系統與金融服務等關鍵基礎設施面臨更大的防禦壓力。</p> <p>根據<a href="https://www.theregister.com/security/2026/05/12/japans-pm-orders-cybersecurity-review-to-defend-against-anthropic-mythos/5238501" target="_blank">《The Register》</a>報導，日本首相高市早苗於5月12日內閣會議中，指示網路安全擔當大臣松本尚與相關內閣成員採取行動，檢查政府系統是否具備偵測與修補漏洞的能力，並研擬協助關鍵基礎設施營運者強化防禦的措施。日本政府也計畫召開相關部會會議，由內閣官房轄下的國家網路安全室主導後續工作。</p> <p>金融系統是日本這波因應行動的重點之一。<a href="https://www.reuters.com/sustainability/boards-policy-regulation/japans-bank-regulator-sets-up-forum-counter-mythos-powered-cyber-threats-2026-05-12/" target="_blank">路透社報導</a>，日本財務大臣片山皋月表示，金融廳準備成立公私部門工作小組，討論Mythos等AI模型可能對金融系統造成的資安風險。參與單位包括瑞穗金融集團等大型金融機構與網路銀行、日本央行（Bank of Japan），以及Anthropic與OpenAI的日本分支機構，共36個組織。</p> <p>除了日本之外，<a href="https://www.theregister.com/security/2026/05/06/india-orders-infosec-red-alert-in-case-mythos-sparks-crime/5224961" target="_blank">印度</a>證券監管機關、<a href="https://www.reuters.com/world/australia-regulator-calls-urgent-cybersecurity-action-counter-mythos-2026-05-08/" target="_blank">澳洲</a>證券投資委員會ASIC與歐洲央行（ECB）近期也針對AI輔助網路攻擊風險提出應對的要求或警告。<a href="https://www.reuters.com/sustainability/boards-policy-regulation/ecbs-elderson-urges-euro-area-banks-quickly-prepare-mythos-2026-05-13/" target="_blank">路透社</a>5月13日報導，ECB要求歐元區銀行加速因應AI驅動的資安威脅，並指出即使尚未取得Mythos等模型存取權，也不代表能延後準備工作。</p> </div></div></div>
5/15 10:34作者王珮瑤https://www.ithome.com.tw/news/175837
叡揚資訊延攬前總統府二局局長馬正維，強化推動數位韌性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>迄今成立40年的臺灣軟體業者叡揚資訊，日前延攬前總統府第二局局長馬正維，擔任該公司數位韌性辦公室執行長。這項人事任命備受業界關注，不僅因為馬正維在公部門深耕逾37年，親身參與國家最高層級資安與機要管理工作，更因為他的加入，象徵臺灣民間資訊服務業在「數位韌性」議題上，正全面接軌國家戰略視野，向企業治理層次邁進。</p> <h2><strong>從總統府走向民間，公職37年的韌性積累</strong></h2> <p>馬正維在政府部門服務歷任多個資訊與資安要職，退休前最後的崗位是總統府第二局局長。第二局是總統府內負責文書處理、印信檔案管理、榮典作業及數位資訊安全的核心機要單位，長期守護著臺灣最高行政機構的資訊安全。</p> <p>「在公部門服務時，我本來就在做資安的工作，」馬正維表示，「在總統府任職期間，資安韌性的要求極高，一個細小的疏漏都可能引發外界對政府運作的質疑。」他透露一個不為人知的小秘辛：總統府的官方網站訂有內部規範，若網站無法正常對外提供服務，容許的最長中斷時間只有15分鐘。</p> <p>表面上，總統府網站僅是提供公開資訊的平臺，但服務若中斷，外界往往直覺聯想「是不是發生了什麼大事」，國家形象與社會信任的損耗難以估量。這個細節，恰恰說明了數位韌性對公部門的重要性——它不只是技術問題，更是治理與公信力的核心議題。</p> <p>退休後，馬正維選擇加入叡揚資訊，擔任數位韌性辦公室執行長，而非就此全身而退。「退休後，希望還可以對臺灣產業貢獻，」他說。這份使命感，正是他選擇投身民間科技產業的動力所在。他在經濟部服務期間，也對能源、油水電等關鍵基礎設施有深入了解，這些跨領域的公部門歷練，將成為他在民間推動韌性工作的重要底蘊。</p> <h2><strong>韌性不只是從危機中復原，更要在逆境中茁壯</strong></h2> <p>馬正維指出，現代企業與政府面對的挑戰，已遠遠超過傳統資安防護的範疇。地緣政治的緊張局勢，不僅造成全球網際網路加速分裂為區域性陣營，也使技術堆疊（Tech Stacks）面臨分裂壓力，影響跨境連接。</p> <p>目前資料本地化要求日趨嚴格，企業對資料存取與管理的精準度必須大幅提升，再加上新型態的網路攻擊、AI工具的普及，以及供應鏈的突發中斷等，馬正維坦言，上述的技術趨勢發展，都讓各種緊急狀況的頻率與嚴峻程度不斷攀升。</p> <p>「韌性不只是從危機中快速恢復，而是能不能藉由這樣的機會，讓你可以更快地反彈，甚至蓬勃發展，」馬正維說。他也引用麥肯錫研究指出，約三分之二的企業認為，韌性對戰略進展至關重要，而數位、技術與營運正是其中最關鍵的領域。他表示，具備韌性的企業，在經濟低迷期間表現優於同業，並以更快的速度進入復甦後的「新常態」。</p> <p>「韌性的真正價值，在於超越復原——不能只是復原，要在逆境中再實現更好的成長，在競爭中脫穎而出。」這個觀點，或許也正是叡揚資訊設立數位韌性辦公室的核心理念，因為「韌性不是被動的防禦，而是主動的戰略布局。」</p> <h2><strong>從合規到治理：企業韌性的進化路徑</strong></h2> <p>馬正維也進一步梳理企業建構數位韌性的演進路徑，他建議先從合規起步，再走向治理融合。</p> <p>他也以目前在全球範圍內，重塑規則的三大國際法規作為企業法遵的框架。首先，是針對產品安全的CRA（網路韌性法），強制要求「Secure by Default」的安全設計原則，要求廠商提供SBOM（軟體物料清單）並落實全生命週期的漏洞更新，因為這已成為進入歐盟市場的門檻條件，而非選配項目。</p> <p>其次是針對金融業的DORA（數位營運韌性法案），它不僅要求金融機構本身強化韌性，更延伸至供應鏈管理，第三方ICT服務業者的納管責任也一併納入，該項法律也強制實施「威脅引導滲透測試」（TLPT）。</p> <p>第三，則是針對歐盟境內關鍵基礎設施服務商的NIS2指令，將治理責任直接拉升至董事會層級，C-Level的高階主管需承擔個人法律責任；一旦違規，公司最高可被處以全球營收2％的罰款。</p> <p>「合規已經是一個基本要求，而不再只是我們可以做、努力做的一個環節，」馬正維表示，這意味著，企業必須從被動的合規應付，走向主動的治理融合，例如：將資安防禦與營運持續（ISO 27001與ISO 22301）整合為一個韌性閉環（Closed Loop），形成以治理為核心的框架。</p> <p>NIST CSF 2.0正是這一趨勢的體現。馬正維進一步說明，在原有1.0版的識別、保護、偵測、回應、復原五大功能之外，新增了「治理（Govern）」作為2.0版的核心，並強調由董事會層級推動，以確保韌性策略融入整體組織運作。</p> <p>馬正維同意說道：「叡揚資訊推動韌性，不只要做到公司本身加強韌性，也要提供能讓客戶應對這樣變局的韌性服務。」他舉例說明，叡揚資訊不僅協助客戶理解CRA等歐盟規範的安全設計要求，也提供包括SBOM製作的合規服務，讓客戶的產品在市場上更具競爭力與保障。</p> <h2><strong>AI是一把雙面刃，兼具超級智能的威脅與韌性的可能</strong></h2> <p>馬正維也非常關注當前最受矚目的AI技術發展，特別是Anthropic尚未對外公開的超級AI模型，內部代號「水豚」（Capybara），也被外界稱Claude Mythos。</p> <p>他引述一份2026年4月的深度研究報告，描述這個AI模型已從傳統的「被動接收指令」，進化為能夠「自己寫程式、自己修改自己、爆發式成長」的自我迭代超級工程師。</p> <p>其能力之強令人難以想像，例如：對於以極端安全著稱的OpenBSD系統，它能挖掘出隱藏長達27年的TCP協定缺陷，實現僅憑連線即可觸發的阻斷服務攻擊；它也能找出已在全球多媒體資料庫潛伏16年、且曾避開超過500萬次自動化掃描的深層漏洞；在取得高控制權限漏洞的搜尋能力上，它更以181比2的壓倒性比數，徹底超越前一代AI。</p> <p>面對如此強大的破壞潛力，馬正維坦言，看到這份報告的第一反應，就是聯想到電影《不可能的任務：最終清算》那個試圖控制全球網路、操縱輿論、乃至掌控各國核武庫的超級AI「Entity」。他除了思考那樣的情境是否發生，也擔心世界上會不會真的存在無法被控制的AI。</p> <p>然而，這個故事也有其轉折。正因為Claude Mythos的能力過於強大且危險，Anthropic的團隊決議不對外發布，反而啟動了「Glasswing計畫」——投入一億美元資金，與微軟、Google等超過40家科技巨頭合作，讓這個超級AI搶先一步，替全球關鍵基礎設施找出並修補漏洞，將原本最致命的駭客工具，轉化為守護人類的「數位免疫系統」。</p> <p>在防護機制層面，Anthropic正在研究兩個方向，防禦方向一是「機械可解釋性」（Mechanistic Interpretability）——直接讀取與解析神經網路中的「想法」與「情緒概念」，在危險發生前，從思維源頭直接修改並消除失控風險。</p> <p>防禦方向二就是，發展類似「世界人權宣言」等級的「憲法AI」機制，將「不傷害人、且對人類有益」的最高道德標準寫入底層架構，作為一道嚴格的憲法機制（Constitutional Filter），全面監督AI的所作所為。</p> <p>馬正維也提到，Anthropic因拒絕美國軍方要求將其AI用於開發「全自動致命武器」，不僅喪失了可觀的商業利益，還遭美國國防部以「不安全的控制鏈」為由起訴，禁止雙方合作，相關案件至今仍在法院審理。這清晰地呈現科技公司在巨大政治與商業壓力下，堅守道德底線的艱難抉擇。</p> <p>「到底AI是一個威脅，還是我們人類可以善用AI來變成我們的護盾？」馬正維認為這個問題沒有簡單的答案。但他表示，關鍵在於「能否建立足夠的防護框架」，包括：極端安全的實驗室環境、24小時由專職安全AI監控系統內任何異常行為模式，以及推動各國政府跨國合作、制定防止技術失控的國際法規。</p> <p>馬正維表示，有科學家預估，未來幾年內訓練安全超級AI的資金需求，可能高達100億至1,000億美元，規模堪稱「國家級投資」。</p> <h2><strong>政府推動全社會防衛韌性，就是數位韌性的國家級實踐</strong></h2> <p>「全社會防衛韌性委員會」是總統賴清德上任後成立的三大委員會之一，設有三大總目標：確保政府核心功能不中斷；維持社會民生核心服務穩定運行，以及在必要時協助國防需求。馬正維回憶，委員會第一次開會就進行整整5個小時，足見政府對這項工作的高度重視。</p> <p>這個框架以數位韌性為神經中樞，整合國安會、內政部、經濟部、衛福部、金管會等跨部會資源，將數位韌性深植於民力、物資、能源、醫療、金融等五大關鍵領域網絡之中。其中，他也說，通訊網絡作為核心基礎設施，串聯五大主軸，支撐整體決策與應變行動。</p> <p>在通訊韌性的具體措施上，政府規畫海、空、陸多重立體備援架構：強化海纜法律地位與防護，並增建國內外備援海纜；整合低、中、高軌衛星群（包括OneWeb、SES、Astranis等），建立政府專屬與商用應變網路；同時設置高抗災基地臺並與電網共構，落實災區跨網漫遊機制。</p> <p>馬正維特別指出，若主要依賴的海纜中斷，必須有備援方案確保核心系統持續正常運作，這也是整個通訊韌性設計的核心邏輯。</p> <p>在行政部門的關鍵民生系統韌性方案上，政府投入13.4億元，鎖定內政、經濟、交通、財政、衛福、勞動等六大部會的關鍵系統，以四大核心原則為選定標準：災時所需核心功能、可辨識民眾身分或親屬、涉及民眾財產與權益，以及動員所需人力物資。這些系統必須確保在緊急狀態下，仍能正常運作。</p> <p>雲端技術策略方面，政府規畫了三個階段的應變架構：承平整備期將核心系統模組化，加密後分散備份至境外公有雲；災害應變期則在地端中斷時，啟用衛星與行動網路重新連結雲端資料；確保最小營運階段，由雲端調用核心功能，維持社會最低基本運作底線。</p> <p>醫療數位韌性因其資料高度敏感性，更是採用「主權雲」概念，訂定八大方針進行分級治理，包括全程加密與金鑰自主、絕對資料在地化、法律優先性、數位韌性與雙活架構，以及電子病歷系統的備援、備份、加密及入侵應變復原能力等，定位為準國安等級防護。</p> <h2><strong>叡揚資訊角色轉變，從服務提供者到韌性夥伴</strong></h2> <p>對於叡揚資訊在數位韌性時代的定位，馬正維有著清晰的思路。事實上，叡揚資訊本身就是眾多企業與政府機關的資訊服務提供商，提供各種客製化軟體開發與雲端服務。在這樣的身分下，如何在挑戰不斷升級的環境中，持續而穩定地提供服務，本身就是一個韌性課題。</p> <p>「叡揚資訊很重視韌性這件事，希望可以在這個地方加強，尤其隨著AI讓攻擊變得越來越容易，」馬正維說。他認為，韌性是一個綜合性的環境建置，涵蓋基層硬體、軟體、通訊網路，到應用系統、AI安全，每個環節都至關重要。「一有環節出問題，韌性就不見了，像是網路通訊服務中斷了、系統就無法運作。」這提醒企業，韌性必須從全局視角出發，而非僅聚焦單點防護。</p> <p>他也坦言，目前叡揚資訊雖然提供很多韌性相關方案，但終究無法涵蓋所有領域，因此韌性辦公室的成立，正是希望系統性地補強這塊缺口，協助客戶從合規起步，到建立真正可落地的韌性能力。在政府端，叡揚資訊也希望能在雲端架構上，扮演更積極的角色，作為政府數位韌性不可或缺的支援夥伴。</p> <h2><strong>公私交流，共同建立臺灣韌性生態</strong></h2> <p>在臺灣面對複雜地緣政治環境、AI技術快速演進、法規標準持續強化的當下，公私部門之間的經驗交流與協作，比以往任何時候都更加迫切。馬正維從公部門到民間的轉換，不只是個人職涯的新篇章，更是這種跨界協作的具體實踐。</p> <p>「在政府部門累積了很多公部門的經驗，希望可以到民間多多交流，」他說，「民間韌性需求越來越大，從韌性到治理都有進步，需要更多的經驗交流。」</p> <p>他也提到，過去在經濟部任職時，對油、水、電等能源關鍵基礎設施有著深入的了解，這些CI（關鍵基礎設施）的韌性防護，是整體數位韌性不可切割的一部分。政府端的能源CI若能與企業端的資訊系統韌性緊密配合，臺灣整體的抗風險能力才能真正提升。</p> <p>馬正維指出，叡揚資訊接下來也會持續深化在全球合規、雲端韌性架構、AI安全防護等領域的能量，為臺灣的企業與政府機關，提供布局全球合規與技術實踐的最佳支援。他更相信，「在變局中領航：數位韌性是企業跨越世代挑戰的必備基因。」</p> <p> </p> </div></div></div>
5/15 10:41作者黃彥棻https://www.ithome.com.tw/news/175838
駭客組織UAT-8616積極利用思科Catalyst SD-WAN系統滿分零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>思科<strong><a href="https://www.ithome.com.tw/news/175835">公布重大漏洞CVE-2026-20182</a></strong>，此漏洞存在於Catalyst SD-WAN Controller與Catalyst SD-WAN Manager（原名SD-WAN vSmart、SD-WAN vManage），並表示產品安全事件回應團體（PSIRT）在本月發現有限度的攻擊行動，<strong><a href="https://blog.talosintelligence.com/sd-wan-ongoing-exploitation/">該公司威脅情報團隊Talos也公布調查結果</a></strong>，指出利用該漏洞的駭客組織，就是他們在2月揭露、曾經利用另一個漏洞CVE-2026-20127發動攻擊的駭客組織UAT-8616。</p> <p>UAT-8616在成功利用CVE-2026-20182之後，就會試圖新增SSH金鑰、竄改NETCONF組態設定，並升級至root權限，這樣的作法，這作法相當類似該組織利用CVE-2026-20127後的活動。Talos提到，這些駭客發動攻擊的基礎設施，與他們密切監控的操作中繼盒（Operational Relay Box，ORB）網路環境有所交集。</p> </div></div></div>
5/15 10:45作者周峻佑https://www.ithome.com.tw/news/175840
美國傳允許10家中國公司採買Nvidia H200晶片，1家最多7.5萬顆
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>伴隨剛落幕的川習會，<a href="https://www.reuters.com/business/retail-consumer/us-clears-h200-chip-sales-10-china-firms-nvidia-ceo-looks-breakthrough-2026-05-14/" target="_blank">路透社報導</a>，美國已批准阿里巴巴、騰訊等10家中國企業採購Nvidia H200晶片，在許可期間1家公司最多可採購7.5萬顆。</p> <p>本週美國總統川普偕同包括蘋果執行長庫克（Tim Cook）、特斯拉執行長馬斯克（Elon Musk），以及輝達（Nvidia）執行長黃仁勳等17名科技及產業高層前往稍早於北京舉行的川習會。其中黃仁勳是在最後才加入造訪的美國團隊。川習會也在週四（5/14）落幕。</p> <p>路透社引述消息人士報導，美國已批准阿里巴巴、騰訊、字節跳動（ByteDance）及京東（JD.com）等10家中國企業採買Nvidia高階AI晶片H200。此外，聯想（Lenovo）及鴻海也獲得銷售H200的代理商資格。這10家獲准的企業可以直接向Nvidia或代理商採購晶片，在美國授權期間，每家中國公司最多能買7.5萬顆晶片。</p> <p>聯想向路透社證實是獲准在中國銷售Nvidia H200晶片的業者之一。不過Nvidia、阿里巴巴、騰訊、字節跳動及京東等公司皆未回應。</p> <p>中國工信部、中國國家發展和改革委員會也未回應。美國商務部則拒絕評論。</p> <p>作為全球市值最高及AI晶片龍頭，Nvidia在此行的成果最引人注目，因為過去幾年Nvidia向中國銷售高階AI晶片受到美國出口管制限制。2023年起美國商務部擴大禁止Nvidia高階晶片出口中國。2025年4月美國政府禁售低階的H20給中國，同年12月批准銷售H200晶片，但需附帶25%關稅。今年1月，<a href="https://www.ithome.com.tw/news/173340" target="_top">美國正式放行</a>以逐案審查方式允許先進晶片出口至中國。</p> <p>北京政府也採取反制措施，禁止當地企業採購Nvidia的H200晶片，要求本土科技大廠轉向使用華為的Ascend（昇騰）系列等國產AI晶片，以達成技術自立。</p> <p>本月稍早<a href="https://finance.yahoo.com/sectors/technology/article/nvidia-ceo-jensen-huang-says-company-now-has-zero-market-share-in-china-150805330.html" target="_blank">黃仁勳公開指出</a>，該公司晶片在中國市佔率已從之前的超過90%，跌到幾乎是零。</p> </div></div></div>
5/15 10:48作者林妍溱https://www.ithome.com.tw/news/175842
OpenAI推出手機版Codex，可隨時接管AI程式任務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://openai.com/index/work-with-codex-from-anywhere/" target="_blank">OpenAI週四（5/14）宣布</a>，在ChatGPT手機App中推出Codex預覽版功能，讓開發者即使不在電腦前，也能透過手機查看、指揮與批准Codex正在執行的工作。</p> <p>Codex是OpenAI推出的AI軟體工程代理人（Software Engineering Agent），可協助撰寫程式、修Bug、執行測試與處理整個開發流程。OpenAI近來持續擴大Codex的使用入口，從Web版ChatGPT、命令列介面（CLI）、整合開發環境（IDE）與桌面版Codex App，延伸到這次新增的ChatGPT手機App。</p> <p>OpenAI表示，目前每週已有超過400萬人使用Codex，且隨著AI代理人開始承擔更長時間的工作，開發者與Codex之間也形成新的協作節奏。為了讓工作持續推進，使用者需要能隨時回答Codex的問題、檢視其發現、調整方向、批准下一步行動，或補充新的想法，因此OpenAI將Codex帶進ChatGPT手機App。</p> <p>在ChatGPT手機App中，使用者連上正在執行Codex的裝置後，不論是筆電、專用Mac mini或企業管理的遠端環境，App都會載入該環境的即時狀態。使用者可透過手機切換不同工作執行緒、審查輸出結果、批准命令、切換模型，或建立新任務；而檔案、憑證、權限與本地設定仍保留在Codex實際執行的機器上，手機端則會即時接收截圖、終端機輸出、程式差異、測試結果與批准請求。</p> <p>例如，開發者可在等咖啡時先讓Codex調查程式錯誤、重現問題並執行測試；也可在通勤途中檢視Codex提出的重構方案並選擇方向，讓任務在回到電腦前持續推進。</p> <p>OpenAI亦宣布全面開放Codex中的Remote SSH功能，讓Codex可透過SSH連接企業管理的遠端開發主機，在受控環境中建立專案與執行開發任務。</p> <p>目前Codex預覽版功能已開始在iOS與Android版ChatGPT App中逐步推出，適用於所有方案，包括Free與Go，並涵蓋所有支援地區。不過，現階段手機只能連接macOS版Codex App，之後才會支援Windows版Codex App。</p> </div></div></div>
5/15 10:54作者陳曉莉https://www.ithome.com.tw/news/175844
Google傳測試將未連結電話號碼的新帳戶雲端儲存限縮至5GB
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google可能正在測試，未連結電話號碼的新帳戶只能分配5GB免費雲端儲存空間。</p> <p>一名代號<a href="https://www.reddit.com/r/degoogle/comments/1tc0j0k/gmail_now_gives_5gb_free_if_you_sign_up_without/#lightbox" target="_blank">sungusungu的用戶</a>近日註冊新Gmail帳號時接獲Google跳出的選項訊息告知，將獲得5GB雲端儲存空間。但如果用戶選擇將電話號碼連結到帳戶，則可享有15GB雲端儲存空間，作為儲存Gmail、Google Drive及Photos之用。</p> <p>目前Google可能還在局部測試，因為有使用者表示剛註冊Gmail帳號並未被要求提供電話號碼。</p> <p>新措施的原因為何，Google簡單說明，電話號碼將用於確保讓雲端儲存只為一人所用。部份Reddit使用者猜測Google此舉純粹是為了蒐集用戶資訊。Google尚未就此回應媒體詢問。</p> <p>其實現在桌機及手機上註冊Google帳號都會被要求提供電話號碼，但用戶還是可以選擇跳過。至於為雲端空間重新提出該要求，可能是節省成本考量。</p> <p><a href="https://9to5google.com/2026/05/14/google-account-free-storage-changes-15gb/" target="_blank">9to5Google</a>分析，和其他公司一樣，現在Google也面臨成本高漲（如訓練和執行AI）及記憶體和儲存硬體短缺的挑戰。雖然使用者可以有多支電話號碼或是使用拋棄式門號等作法來繞過最新限制，但仍在一定程度內減少Google雲端儲存的濫用。</p> </div></div></div>
5/15 09:30作者林妍溱https://www.ithome.com.tw/news/175834
思科Catalyst SD-WAN控制器曝重大身分認證繞過漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>5月14日思科<strong><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sdwan-rpa2-v69WY2SW">發布資安公告</a></strong>，Catalyst SD-WAN Controller與Catalyst SD-WAN Manager（原名SD-WAN vSmart、SD-WAN vManage）的對等身分驗證流程存在漏洞，未經身分驗證的攻擊者可遠端繞過驗證流程，並得到系統管理權限，此漏洞登記為CVE-2026-20182，CVSS風險評為10分（滿分10分），屬重大風險等級，相當危險，而且，無論本地建置的SD-WAN環境，或是由思科代管的雲端版本都會受到影響。值得留意的是，思科指出已發現遭到利用的跡象。</p> <p>此弱點發生的原因，在於對等身分驗證運作機制異常，攻擊者可向存在漏洞的系統發送特製請求觸發漏洞。一旦成功利用，攻擊者就能以root以外的高權限帳號登入SD-WAN控制器，並利用該帳號存取NETCONF管理介面，然後竄改SD-WAN架構的網路設定。<strong><a href="https://www.rapid7.com/blog/post/ve-cve-2026-20182-critical-authentication-bypass-cisco-catalyst-sd-wan-controller-fixed/">通報漏洞的資安公司Rapid7表示</a></strong>，他們近期在調查<strong><a href="https://www.ithome.com.tw/news/174074">CVE-2026-20127</a>漏洞利用活動</strong>過程裡，發現了CVE-2026-20182，此漏洞影響與封包傳輸層安全（DTLS）有關的vdaemon服務及UDP 2346埠，但並非因CVE-2026-20127修補程式遭繞過而造成的問題，而是另一個完全不同的新漏洞。</p> <p>對於該漏洞帶來的影響，Rapid7指出攻擊者可用來執行特權操作，例如，將攻擊者控制的公鑰注入使用者帳號vmanage-admin授權SSH金鑰檔案，一旦這麼做，攻擊者就能以vmanage-admin的身分存取NETCONF服務，並執行任何的NETCONF指令。</p> </div></div></div>
5/15 09:48作者周峻佑https://www.ithome.com.tw/news/175835
Red Hat擴展主權雲與私有雲能力，強化資料駐留、區域支援與AI模型生命週期控管
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>開源解決方案供應商<a href="https://www.redhat.com/en/about/press-releases/red-hat-introduces-new-sovereign-and-private-cloud-capabilities-power-digital-autonomy?intcmp=RHCTG0260000483016">Red Hat（紅帽）宣布擴展主權雲（sovereign cloud）與私有雲（private cloud）功能</a>，更新項目涵蓋合規自動化、隔離式部署、區域內支援與AI服務部署，回應企業在資料駐留（data residency）、法規遵循與關鍵工作負載控管等議題的需求。</p> <p>在法規遵循方面，主權雲與私有雲不只要求資料留在特定區域，也要求企業能持續提供安全設定與技術控制的佐證資料。紅帽新增Red Hat OpenShift Compliance Operator的合規性設定檔（Compliance Profiles），並整合Kubernetes原生應用防護平臺Red Hat Advanced Cluster Security for Kubernetes，協助企業自動化技術審查，產生支援NIS2、GDPR與DORA等法規所需的佐證資料，降低稽核準備負擔。</p> <p>在部署面，紅帽鎖定主權雲與私有雲初期建置流程，推出跨平臺安裝程式，可自動建立預先配置的隔離運算平臺，涵蓋Red Hat Enterprise Linux、Red Hat OpenShift與Red Hat Ansible Automation Platform。這類「登陸區（landing zone）」可視為預先配置的雲端部署基礎環境，會在啟動時套用基礎控制與營運防護機制，讓企業更快部署經過強化、並符合法規要求的工作負載。</p> <p>面對AI工作負載需求，紅帽新增服務布建介面（service provisioning interface），讓合作夥伴與客戶可在Red Hat OpenShift上部署虛擬機器、叢集與AI服務，並支援GPU即服務（GPU-as-a-service）、模型即服務（models-as-a-service）與推論即服務（inferencing-as-a-service）等元件，建置具備AI能力的私有雲。。</p> <p>在營運支援方面，主權雲不只涉及資料儲存位置，也牽涉支援過程中的診斷資料是否會跨境流動。紅帽也在美國與歐盟市場提供Red Hat Confirmed Sovereign Support。傳統全球支援模式常由不同時區的支援團隊接續處理問題，可能導致診斷資料跨境流動。這項服務則採區域隔離方式，處理客戶上傳的診斷日誌、組態與sos報告等敏感資料，並透過角色型存取控制（Role-Based Access Control，RBAC）限制案件中繼資料的可見範圍。</p> <p>若問題需要全球工程團隊協助，紅帽會建立移除敏感資訊後的鏡像案件（mirror case），讓全球工程師參與分析，同時將原始敏感資料保留在區域邊界內。</p> <p>在成本管理方面，Red Hat Lightspeed現在可在客戶可控環境內提供Red Hat OpenShift成本管理遙測（telemetry）功能，讓企業掌握雲端支出，同時減少將營運資料傳送至主權邊界外的需求。</p> <p>生態系方面，紅帽也透過與雲端、AI基礎架構與企業IT業者合作，擴大主權雲與私有雲部署選項。紅帽表示，其平臺已取得Nvidia Cloud Partner（NCP）計畫的AI Cloud Ready狀態，可支援主權AI雲與新型雲端服務（neocloud）部署；該公司也與Google合作推出隔離式雲端基礎架構Red Hat OpenShift on Google Cloud Dedicated，提供給對控制權與效能有較高要求的企業使用；同時，紅帽宣布IBM主權雲與私有雲解決方案IBM Sovereign Core，採用Red Hat產品組合作為底層基礎。</p> </div></div></div>
5/15 10:01作者王珮瑤https://www.ithome.com.tw/news/175829
Xcode 26.5更新程式開發助理，並支援StoreKit新版訂閱測試
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Apple程式開發工具<strong><a href="https://developer.apple.com/documentation/xcode-release-notes/xcode-26_5-release-notes">Xcode 26.5</a></strong>納入Swift 6.3.2，以及iOS 26.5、iPadOS 26.5、watchOS 26.5、tvOS 26.5、macOS 26.5與visionOS 26.5軟體開發套件。更新重點在於程式開發助理的互動能力、StoreKit訂閱測試支援，以及多項開發、測試與效能分析工具修正。</p> <p>Xcode 26.5的程式開發助理新增訊息佇列功能，使用者可先送出多個問題或工作要求，再由系統依序處理。Apple也提到，程式開發助理中的代理功能現在能主動提出釐清問題，以便在需求不夠明確時取得更多資訊。該調整讓開發者可在同一輪操作中先排入多個請求，並在需求不明確時依助理追問補充條件，較適合分段處理開發工作。</p> <p>新版也修正程式開發助理相關問題，包括部分測試工具呼叫可能產生格式錯誤資料，以及使用Claude Code時可能出現OAuth權杖過期錯誤訊息的情況。</p> <p>Xcode內建的StoreKit Testing工具也擴充訂閱測試能力。StoreKit是Apple提供給App開發者處理App內購買與訂閱的框架，常用於付費功能、數位內容解鎖、自動續訂訂閱等情境。開發者可在StoreKit設定檔中，替自動續訂訂閱建立月繳且承諾使用12個月的計費方案，並透過Xcode的交易管理工具模擬使用者訂閱。團隊可在上架前測試較複雜的收費條件，不必等到正式環境才確認流程是否正確。</p> <p>其他修正則集中在效能分析、模擬器與測試環境。Instruments修正符號視窗搜尋欄位輸入時，每輸入一個字元就建立一個搜尋條件的問題，也修正使用Metal系統追蹤搭配GPU計數器擷取資料時，可能讓記憶體用量暴增到數十GB的情況。Simulator修正剪貼簿同步失效問題，測試工具也修正iOS 15模擬器無法執行測試的問題。</p> <p>官方也列出幾項已知限制，平行測試等情境若同時讀取多個程序的標準輸出與標準錯誤輸出，結果可能明顯延遲。Swift方面，啟用特定並行預設設定的專案，可能遇到閉包隔離判斷問題。Apple建議移除不必要的明確擷取，或改用明確標示執行隔離狀態的區域函式。Xcode 26.5支援iOS 15、tvOS 15、watchOS 8與後續版本的實機除錯，並要求Mac執行macOS Tahoe 26.2或後續版本。</p> </div></div></div>
5/15 09:03作者李建興https://www.ithome.com.tw/news/175832
AWS Kiro加入需求分析，AI實作前先找出需求歧義與衝突
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>AWS團隊<a href="http://kiro.dev/blog/faster-smarter-specs/">更新AI開發工具Kiro IDE的規格開發流程</a>，新增需求分析、快速規畫模式和平行任務執行，該更新讓系統在開始編寫程式前，先協助開發者找出需求描述中的模糊處、邏輯衝突與未說清楚的條件，降低後續實作走錯方向的機率。官方也表示，部分大型規格的完整實作時間可由超過1小時，降至原本約四分之一。</p> <p>Kiro是一款協助開發者用AI產生和執行程式任務的開發工具，採用規格驅動開發方法，也就是先定義需求、設計和任務清單，再讓AI依照這些文件進行實作。這種方式有助於讓開發過程留下依據，但在功能範圍已經明確，或多項工作彼此獨立時，也可能拖慢流程。</p> <p>新版Kiro加入的<a href="https://kiro.dev/blog/deep-spec-analysis/">深度需求分析</a>功能，可在系統產生需求後，由開發者啟動檢查。Kiro團隊表示，該功能採用混合式神經符號人工智慧（Neurosymbolic AI），結合大型語言模型與自動化推理，檢查需求是否存在不同解讀或互相矛盾的規則，或沒有交代清楚的情境，例如需求寫著「移除紀錄」時，實際上可能是永久刪除，也可能是保留資料但標記為刪除，而Kiro會把這類歧義整理成選項，讓開發者確認真正意圖。</p> <p>快速規畫模式則用來縮短建立規格的時間。過去Kiro會依序產生需求、設計與任務清單，並要求使用者逐步確認，而新模式會先掃描專案使用的程式語言、框架與結構，再提出2到4個釐清問題，接著一次產生需求、設計和任務，作為AI後續執行的依據。如果使用者只修改任務，Kiro就只重新產生任務，要是修改設計，便重新產生設計與任務，若改變整體範圍，才重新執行完整流程。</p> <p>平行任務執行用於一次執行整份任務清單，Kiro會分析每項工作的相依關係，判斷可同時進行的任務與必須等待前一項完成的任務。會修改同一批檔案的任務不會並行，基礎設定會先處理，測試則會等相關程式碼完成後再執行。每項任務都會在隔離環境中進行，因此即使其中一項失敗，其他不受影響的任務仍可繼續執行。</p> </div></div></div>
5/14 17:37作者李建興https://www.ithome.com.tw/news/175820
英國國民保健署因AI資安疑慮，將部分GitHub公開儲存庫改設私有
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>為因應先進AI模型可能帶來的資安風險，英國國民保健署（NHS）<wbr></wbr>要求技術主管暫時限制部分開放原始碼專案的公開存取權限。</p> <p><a data-saferedirecturl="https://www.google.com/url?q=https://www.theregister.com/software/2026/05/05/nhs-to-close-source-github-repos-over-ai-security-concerns/5224392&source=gmail&ust=1778812507360000&usg=AOvVaw2Pi7FEFzhsK5Wha96g8RMD" href="https://www.theregister.com/software/2026/05/05/nhs-to-close-source-github-repos-over-ai-security-concerns/5224392" target="_blank">根據The Register報導</a>，NHS內部指引要求：在5月11日前，相關GitHub儲存庫必須由公開狀態改設為私有；除非有明確且特殊需求，否則不應維持公開，影響的GitHub<wbr></wbr>儲存庫數量達數百個。</p> <p>這份內部指引指出，公開儲存庫可能增加原始碼、架構決策、組態細節與上下文資訊（<wbr></wbr>contextual information）外洩的風險；在AI模型已能大規模擷取程式碼<wbr></wbr>，並進行推論與分析的情況下，這些資訊可能遭到濫用。<wbr></wbr>指引中特別提到Anthropic的AI模型Mythos。NH<wbr></wbr>S England發言人表示，這只是暫時性措施，目的是在評估AI<wbr></wbr>模型快速發展影響的同時，進一步強化資安；若有明確需求，NHS<wbr></wbr>仍會繼續發布原始碼。</p> <p><a data-saferedirecturl="https://www.google.com/url?q=https://service-manual.nhs.uk/standards-and-technology/service-standard-points/12-make-new-source-code-open&source=gmail&ust=1778812507360000&usg=AOvVaw13krvRWJ5v1ctW5dNosAdZ" href="https://service-manual.nhs.uk/standards-and-technology/service-standard-points/12-make-new-source-code-open" target="_blank">NHS服務手冊主張</a>，公共服務由公眾的資金打造，除非有充分理由，<wbr></wbr>相關程式碼應開放給他人重複使用與延伸建置，<wbr></wbr>以避免重複開發並降低對單一供應商的依賴。這次NHS暫時將部分公開儲存庫改為私有，<wbr></wbr>也使其長期偏向開放原始碼的政策方向受到關注。</p> <p>英國NHS前開放技術主管<a data-saferedirecturl="https://www.google.com/url?q=https://shkspr.mobi/blog/2026/04/does-mythos-mean-you-need-to-shut-down-your-open-source-repos/&source=gmail&ust=1778812507360000&usg=AOvVaw3J7UJmsgIOPUgGhQdz7N6q" href="https://shkspr.mobi/blog/2026/04/does-mythos-mean-you-need-to-shut-down-your-open-source-repos/" target="_blank">Terence Eden則認為</a>，將公開儲存庫改設私有，無法有效防範先進AI能<wbr></wbr>力。Eden指出，許多開放原始碼早已被封存或納入訓練資料，<wbr></wbr>真正的風險反而可能來自軟體供應鏈、網路釣魚、<wbr></wbr>密碼管理不當與內部威脅。</p> </div></div></div>
5/14 17:58作者王珮瑤https://www.ithome.com.tw/news/175818
【臺灣資安大會直擊】驅動供應鏈韌性，漢翔憑CMMC實戰經驗打造供應鏈資安評級系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>全球資安合規浪潮正席捲各產業，供應鏈安全亦成為最關鍵的議題，而當中最受關注的施行標準，莫過於美國國防部推動的網路安全成熟度模型認證（CMMC）2.0版。</p> <p>當資安合規成為市場准入（Market Access）門檻，身為國防軍工指標大廠的漢翔航空工業，對這股浪潮感觸最深。該公司自2016年承接F-16維修專案起，長期接受洛克希德馬丁稽核，歷經從NIST SP 800-171到現行CMMC 2.0日益嚴謹的挑戰。漢翔不僅逐步建構自身防護體系，如今更將CMMC合規實戰經驗，建構出一套「供應鏈資訊安全評級系統」（AIxSISAS），複雜的合規要求轉化，成為可執行、可追溯且可持續的管理機制。</p> <p>特別的是，漢翔不僅對其供應鏈推廣此系統，更期盼能串連產業與政策動能，提倡將此平臺推向更多臺灣關鍵產業供應鏈。</p> <h2><strong>CMMC全面實施進入倒數，資安已成進入國際市場的入場券</strong></h2> <p>對於出口導向臺灣的產業來說，資安合規已經不是「要不要跟進」的問題，而是成為進入國際市場的基本門檻。漢翔航空工業資訊處處長方一定指出，CMMC採購規範已於2025年11月10日正式生效，新合約與招標將開始納入CMMC要件。</p> <p>下一個關鍵時間點就是2026年11月10日，因為，主流合約廠商將被要求進行Level 2第三方（C3PAO）驗證；到了2028年11月10日，CMMC更將走向全面實施。這意味著：企業若無法在時程內達成合規，將面臨失去國際訂單的直接風險。</p> <p><a href="/sites/default/files/images/（圖2）漢翔_CMMC推動時程_攝影羅正漢.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E6%BC%A2%E7%BF%94_CMMC%E6%8E%A8%E5%8B%95%E6%99%82%E7%A8%8B_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>面對CMMC合規要求，主要承包商與分包商皆須具備相應資安能力。面對迫在眉睫的合規壓力，方一定直言，企業在進行供應鏈管理時必須掌握三個核心要素。</p> <p>首先是數據管理，必須對數據的產生、存取與流動進行嚴格管控；第二是供應鏈數位韌性，重點在於企業遭遇攻擊時，仍能維持核心營運並保護機敏資訊；第三是持續威脅曝險管理（CTEM）。他強調，資安是動態且周而復始的過程，企業必須建立循環不息的威脅偵測與防禦機制，而非僅是應付一次性的稽核。</p> <p>如今，隨著CMMC以NIST SP 800-171為基礎建立強制認證機制，企業在落實相關控制措施時，必須具備更完整的證據鏈與治理能力</p> <p>然而，漢翔觀察到許多臺灣企業尚未做好準備，原因包含：難以解讀控制措施、無法量化現況與目標的距離、驗證證據蒐集困難，以及合規人才短缺與客戶要求的時程壓力。</p> <p>以漢翔通過CMMC的經驗來看，Level 1有17個基礎控制措施，Level 2則有110項。方一定指出，每一條要求看似簡單，例如「及時辨識、通報與矯正弱點」，但真正執行時，要求非常高，解讀與落地都不容易。他並強調，漢翔對於110項控制措施也不是一次到位，而是逐年修正補強才最終達標。他提醒：「供應鏈資安是長期工程，不可能一蹴可幾。」</p> <p>此外，方一定也以ISO 27001標準對比CMMC的難度。他表示，ISO 27001是優良的資安管理體制，偏向制度與文件的符合性，若未發現缺失即可通過，但CMMC的挑戰在於其「證據導向」，要求每一項都必須提出具體證據，任何一項不符都無法過關。目前臺灣1,900多家上市櫃公司當中，僅約24％通過ISO 27001，顯示多數企業在銜接更嚴格的CMMC時，將面臨巨大挑戰。</p> <p><a href="/sites/default/files/images/（圖4）漢翔航空工業資訊處處長方一定_攝影iThome.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89%E6%BC%A2%E7%BF%94%E8%88%AA%E7%A9%BA%E5%B7%A5%E6%A5%AD%E8%B3%87%E8%A8%8A%E8%99%95%E8%99%95%E9%95%B7%E6%96%B9%E4%B8%80%E5%AE%9A_%E6%94%9D%E5%BD%B1iThome.jpg" style="width: 600px;" /></a></p> <p style="margin: 0px;"><span style="color:#696969;"><strong>漢翔航空工業資訊處處長方一定指出，他們已開發一套供應鏈資安評級系統，將資安控制措施轉為題庫化管理。供應商可以透過平臺填答，上傳對應的佐證資料後可得到評分；平臺內並提供實務範例，協助企業理解每項控制措施的達成程度。</strong></span></p> <h2><strong>打造供應鏈資安評級系統AIxSISAS，期許推動至臺灣更多關鍵產業供應鏈</strong></h2> <p>漢翔如何因應供應鏈管理挑戰？方一定指出，內部團隊依據CMMC合規經驗，打造「漢翔供應鏈資訊安全評級系統（AIxSISAS）」，內建Level 1與Level 2的所有控制措施。此外，漢翔還要求其供應商符合30項特定的資安控制措施，並依合作深度畫分為1到4級。高層級供應商需全數符合，低層級供應商則需滿足關鍵項，且至少要在事件發生時於72小時內通報。</p> <p>因此，透過此平臺，主供應商與次供應商能在同一標準下持續評級，企業能清晰看見整體供應鏈的資安水準與落差。</p> <p>特別的是，漢翔不僅將此系統用於自身供應鏈，更致力於推動跨產業的資安協作，推廣給其他領導企業管理其供應鏈。方一定強調，漢翔的目標是促成政府與主導企業共同建立產業標準，讓平臺發揮更大價值。</p> <p>他期盼透過AIxSISAS平臺，與鴻海、中科院、華碩、台積電等產業領導企業有意願者一起合作，讓這些企業能將各自的特定控制措施匯入系統。這不僅是工具的分享，更是建立讓供應商、顧問、資安公司、稽核驗證機構能共同協作的生態系。</p> <p><a href="/sites/default/files/images/（圖3）漢翔供應鏈資訊安全評級系統AIxSISAS__攝影羅正漢.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E6%BC%A2%E7%BF%94%E4%BE%9B%E6%87%89%E9%8F%88%E8%B3%87%E8%A8%8A%E5%AE%89%E5%85%A8%E8%A9%95%E7%B4%9A%E7%B3%BB%E7%B5%B1AIxSISAS__%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <h2><strong>強化資安防護的四項實務建議</strong></h2> <p>在解析供應鏈資安管理之餘，方一定也針對企業如何改善資安防護的問題，提供四項實質建議：：</p> <p>首先是第三方外部風險管理。可利用Bitsight或Security Scorecard等工具掌握外網曝險，若是外網防護不周，內網安全亦難保；漢翔內部即採分數門檻管理，未達80分標準則要求改善；其次是弱點管理流程化。從辨識、通報、派工、修補、驗證、追蹤、例外處理，建立完整生命週期。工具可搭配SAST、DAST、開源元件掃描與AI輔助分析，但重點是流程責任與時限要明確。</p> <p>第三是端點與橫向移動防護。不論EDR、NDR、MDR與XDR都是因應方式，人力不足的中小企業可優先導入EDR或MDR託管服務，在有限資源下，降低內網擴散風險；最後，則是檔案加密與保護。企業營業秘密與機敏資料，應在儲存、傳輸、交換全程加密，搭配PKI公私鑰機制與多因子認證，防範資料流遭中間人攻擊攔截。</p> <p><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E6%BC%A2%E7%BF%94_%E5%85%A8%E7%90%83%E8%B3%87%E5%AE%89%E5%90%88%E8%A6%8F%E6%B5%AA%E6%BD%AE_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>資安合規浪潮已經成形，例如美國CMMC要求軍工供應商須通過第三方驗證，或是美國國防創新單位（DIU）透過Blue UAS與Green UAS推動無人機安全認證，以及歐盟網路韌性法（CRA）強調產品資安與漏洞管理責任，還有日本推動的JC-STAR資安標章制度。</strong></span><strong style="color: rgb(105, 105, 105);">漢翔航空工業資訊處處長方一定指出，</strong><span style="color:#696969;"><strong>上述資安要求的涵蓋層面看似不同，但其根源邏輯都一樣強調：證據化、可追蹤、可持續。</strong></span></p> </div></div></div>
5/14 16:45作者羅正漢https://www.ithome.com.tw/news/175813
行政院通過能源管理法修正草案，擬要求一定契約容量的用電大戶設置自發自用發電與儲能設備
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>為強化電網韌性與提升能源使用效率，行政院今天(5/14)通過經濟部提出的「能源管理法」修正草案，其中一項重要方向，是針對大型用電戶新增自發自用發電與儲能設備要求。經濟部表示，希望透過修法，提升企業自主供電能力，同時降低電網負擔，未來也將要求特定用電戶提出能源管理計畫，進一步推動節能與能源治理。</p> <p>此次政院通過的「能源管理法」修正草案，增訂第10條第4項，要求達一定用電規模的用戶，需設置「自發自用」的發電設備及儲能系統。這項措施主要希望強化用電戶本身的能源韌性，在電力公司維持供電穩定之外，用戶也需具備一定程度的自主供電與調節能力。</p> <p>經濟部表示，除了提升企業自身供電能力，相關設備也可在尖峰或特殊情況下協助電網調節，對於整體供電效率與電網韌性都有幫助。尤其是近年AI資料中心、高科技製造與半導體產業用電需求快速成長下，如何分散電網壓力，已成為能源政策的重要課題。</p> <p>官員也提到，未來特定大型用電戶，還可能需提出能源管理計畫，作為節能管理與能源效率改善的依據。相關制度細節，包括適用門檻、設備容量與管理要求，後續仍將依修法授權另訂子法規範。</p> <p>此次「能源管理法」修法共涉及14項條文調整，核心方向包括行政透明化、能源效率提升，以及因應能源韌性需求。其中，大型用電戶導入自發自用與儲能設備，被視為對產業影響最大的修法內容之一。行政院通過能管法修正草案後，接下來將送立法院審議。</p> <p>經濟部認為，此次修法除可能帶動儲能與再生能源市場需求，也有助於能源技術服務（ESCO）與能源管理產業發展。</p> <p>針對這次修正草案第10條第四項規定，對於一定契約容量以上能源用戶應設置自用發電及儲能設備，經濟部強調目的在於強化我國能源用戶的能源自給能力，提升電網韌性、降低輸配線路損耗。</p> <p>在能管法第10條修正草案，針對能源用戶簽定的用電契約，其契約容量達一定容量者，需在一定期限內設置一定裝置容量以上的自用發電設備及儲能設備。增訂條文的目的是提升能源用戶，如半導體及大型資料中心等產業的能源自給能力。</p> <p>但經濟部能源署也強調，第10條的規定並沒限制特定產業，而是對於達到一定契約容量的者的規定，如果是已自建符合一定容量要求的企業並不受草案的影響，不需額外設置自發用電設備及儲能設備，修法目的在促使能源用戶提升用電自主韌性，值得注意的是，能管法也沒有要求能源用戶建置的自用發電設備須採用再生能源或是低碳能源。</p> <p>另外，此次修法也加重對於違法的處罰，未來違反能管法第10條，主管機關得限期要求改善，屆期未改善者可處以15萬到75萬元罰鍰。</p> <p data-end="143" data-start="0">隨著AI資料中心用電需求快速攀升，國際上近幾年也開始出現要求大型資料中心承擔更多能源責任的政策趨勢。特別是在歐洲與美國部分地區，由於AI運算帶來的高密度、長時間耗電特性，對既有電網形成壓力，各國監管機構逐漸從過去將資料中心視為一般大型用戶，轉向要求其具備一定程度的自主供電與電力調節能力，一方面讓業者具備一定的能源自主韌性能力，另一方面也減輕對電網的影響。</p> <p data-end="450" data-is-last-node="" data-is-only-node="" data-start="145">以愛爾蘭為例，因大量超大型資料中心集中於都柏林周邊，已要求新建資料中心須搭配發電或儲能能力的政策方向，避免新增負載完全依賴公共電網。美國也有部分的電網監管機構開始要求大型AI資料中心提出電網穩定評估，甚至將表後發電（behind-the-meter generation）納入監管架構。</p> <p data-end="450" data-is-last-node="" data-is-only-node="" data-start="145">目前在業界也逐漸形成「Bring Your Own Power（自帶電力）」的新模式，包括Meta、Oracle與xAI等業者，都開始布局天然氣發電、儲能與微電網設施，以因應AI運算快速擴張帶來的供電壓力。臺灣這次「能源管理法」修法，要求特定大型用電戶設置自發自用與儲能設備，也算是與國際AI能源治理趨勢逐步接軌。</p> </div></div></div>
5/14 15:27作者蘇文彬https://www.ithome.com.tw/news/175812
【資安日報】5月14日，Exim修補可導致任意程式碼執行的重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/175781"><strong style="font-size: 22px;">郵件傳輸代理伺服器Exim存在重大漏洞，影響採用程式庫GnuTLS進行通訊的環境</strong></a></p> <p>郵件傳輸代理軟體系統Exim開發團隊5月12日發布資安公告，他們發布4.99.3版Exim，修補遠端的記憶體釋收後再存取使用（Use After Free）弱點，此漏洞存在於Exim的GnuTLS後端，攻擊者可遠端觸發，並造成記憶體資料損毀。上述漏洞影響4.97至4.99.2版Exim，並只有在採用GnuTLS程式庫的情況下才會曝險。開發團隊指出，搭配OpenSSL或其他TLS程式庫的Exim不受影響。此漏洞被登記為CVE-2026-45185，CVSS風險為9.8分（滿分10分），相當危險。Exim強調，目前沒有其他緩解措施，呼籲IT人員儘速升級。</p> <p><a href="https://www.ithome.com.tw/news/175782"><strong style="font-size: 22px;">Windows BitLocker與CTFMON存在零時差漏洞YellowKey、GreenPlasma</strong></a></p> <p>根據資安新聞網站Bleeping Computer報導，對微軟漏洞通報流程不滿的研究人員Chaotic Eclipse（Nightmare-Eclipse）於5月13日，公布磁碟加密機制BitLocker的漏洞YellowKey，以及輸入法元件CTFMON的漏洞GreenPlasma，並釋出部分概念驗證程式碼（PoC）。其中比較值得留意的是YellowKey，Chaotic Eclipse形容它幾乎等同於後門，該漏洞出現在Windows復原環境（WinRE），攻擊者需要將特製的FxTx檔案存放於USB隨身碟或EFI磁碟分割區，就有機會在WinRE環境存取受到BitLocker保護的檔案。</p> <p><a href="https://www.ithome.com.tw/news/175764"><strong style="font-size: 22px;">Ollama重大漏洞影響自架LLM部署，特製GGUF模型檔恐外洩提示詞與API金鑰</strong></a></p> <p><a href="/sites/default/files/images/69f6f991669e297f65128144_7b3dd88a-156.jpg" target="_blank"><img alt="" src="/sites/default/files/images/69f6f991669e297f65128144_7b3dd88a-156.jpg" style="width: 300px; float: right;" /></a></p> <p>自架大型語言模型工具Ollama出現重大漏洞CVE-2026-7482，攻擊者可利用特製GGUF模型檔，讓Ollama在建立或量化模型時讀到超出原本資料範圍的記憶體內容，可能外洩環境變數、API金鑰、系統提示詞，以及同一程序中其他使用者的對話資料，CVSS風險達到9.1分。通報此事的資安公司Cyera將這項漏洞命名為Bleeding Llama，該公司估計，全球約有30萬臺曝露於網際網路的Ollama伺服器恐受影響，Ollama已在0.17.1版修補該問題，用戶應儘速升級新版因應。</p> <p><a href="https://www.ithome.com.tw/news/175788"><strong style="font-size: 22px;">教育平臺Canvas背後的母公司宣稱已與駭客達成協議，取回遭竊資料</strong></a></p> <p>駭客組織ShinyHunters先後於4月底及5月上旬，傳出攻擊學習管理系統Canvas開發商Instructure，駭客當時聲稱竊得2.75億筆個資，影響近9千個教育機構，檔案大小達到3.65 TB；後續駭客發動第二波攻擊，竄改多所學校的Canvas入口網站並留下勒索訊息，要脅校方支付贖金以換取資料不被公開。如今傳出Instructure疑似選擇向駭客低頭，換取資料不被外洩的情形。5月11日Instructure更新資安事件公告網頁內容，表示他們基於保護客戶資料的立場，已與非法存取者達成協議，表示駭客已將資料歸還，並將手上的資料副本銷毀，而且不會向Instructure的客戶勒索。</p> <p><a href="https://www.ithome.com.tw/news/175794"><strong style="font-size: 22px;">伊朗駭客MuddyWater攻擊韓國電子製造商，濫用SentinelOne元件側載DLL檔案</strong></a></p> <p>博通（Broadcom）旗下的賽門鐵克與Carbon Black威脅獵捕團隊近日揭露伊朗駭客組織MuddyWater（Seedworm、Temp Zagros、Static Kitten）最新一波網路間諜活動，範圍橫跨四大洲與9個國家，至少有9家企業組織受害，涵蓋工業與電子製造、教育與公共部門機構、金融服務及專業服務。其中最值得關注的是，在於這些駭客大量使用DLL側載手法，濫用SentinelOne端點防護系統的二進位檔sentinelmemoryscanner.exe、富迪科技（Fortemedia）音訊驅動程式工具fmapp.exe，載入惡意DLL檔案，而這些DLL都內含竊資軟體ChromElevator。</p> <p><a href="https://www.ithome.com.tw/news/175802"><strong style="font-size: 22px;">Mistral AI的PyPI套件遭遇供應鏈攻擊</strong></a></p> <p>5月12日微軟威脅情報團隊提出警告，AI公司Mistral AI的PyPI套件2.4.6版遭到入侵，駭客在mistralai/client/__init__.py植入惡意程式碼，一旦開發人員安裝套件，這些程式碼就會執行，然後從hxxps://83[.]142[.]209[.]194/下載第二階段的酬載transformers.pyz。微軟認為，該酬載的檔案名稱可能模仿受廣泛使用的Hugging Face Transformers程式庫，藉此融入機器學習的環境。</p> <p><a href="https://www.ithome.com.tw/news/175735"><strong style="font-size: 22px;">Mirai變種xlabs_v1殭屍網路現蹤，劫持Android裝置發動DDoS攻擊</strong></a></p> <p><a href="/sites/default/files/images/Output%2BSQL-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/Output%2BSQL-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安威脅情報公司Hunt.io近日發布研究報告，揭露基於Mirai變種的新型殭屍網路惡意軟體xlabs_v1，鎖定暴露在網際網路，且啟用ADB（Android Debug Bridge）介面的Android裝置，入侵並控制受害設備組成DDoS攻擊網路。任何預設啟用 ADB且連上網際網路的物聯網硬體設備，都有可能中招。xlabs_v1主要針對採用Android平臺的連網設備，例如電視機上盒、智慧電視與家用路由器等，透過TCP 5555埠的ADB介面入侵部署惡意軟體，並將受害裝置加入殭屍網路，用於對遊戲伺服器與Minecraft連線伺服器發動DDoS攻擊。</p> <p><a href="https://www.ithome.com.tw/news/175706"><strong style="font-size: 22px;">國家級駭客組織Sandworm利用SSH-over-Tor建立隱蔽通道，強化長期滲透能力</strong></a></p> <p><a href="/sites/default/files/images/t117b8a8b0712faa42a8aa62616-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/t117b8a8b0712faa42a8aa62616-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安業者360揭露俄羅斯駭客Sandworm（APT-C-13）近期攻擊動向，警示該組織採用SSH-over-Tor技術建立隱蔽的遠端存取通道，以提升長期潛伏與存取能力。這波攻擊是以針對特定對象的魚叉式網路釣魚（Spear Phishing）為起點，誘使受害者開啟偽裝成PDF檔案的LNK捷徑檔，進而透過PowerShell指令下載惡意程式，並假冒合法應用程式的排程工作，在受害系統上建立持久的存取能力。攻擊的核心在於採用SSH-over-Tor架構，將SSH遠端連線透過Tor匿名網路進行多層節點轉送，從而建立隱蔽的遠端存取通道。</p> <p><a href="https://www.ithome.com.tw/news/175780"><strong style="font-size: 22px;">身分安全威脅成為勒索軟體主要侵入途徑，三分之二受害組織認為源頭是身分攻擊</strong></a></p> <p>根據資安廠商Sophos最近發布的2026身分安全現況調查報告指出，過去一年以來，有71%的組織曾遭遇至少一次與身分相關的資安事件，平均每個組織通報3起獨立事件；10％的組織通報曾發生影響業務的身分入侵事件，而且，身分攻擊行動一旦成功，資料竊取與勒索軟體皆為最常見的後果，比例都接近一半，各為49％與48％。有高達66.5％的勒索軟體受害者表示，這類事故是影響最重大的身分攻擊類型，並已確認身分與勒索軟體之間的關係與工作流程。</p> <p><a href="https://www.ithome.com.tw/news/175789"><strong style="font-size: 22px;">AI自主網攻能力加速，資安任務長度每4.7個月翻倍</strong></a></p> <p>英國AI安全研究所（AI Security Institute，AISI）於5月13日發布最新研究報告，利用名為Cyber Time Horizons的指標，衡量AI可自主完成多長時間的資安任務，並以人類資安專家的完成時間作為基準。AISI指出，自2024年底以來，先進AI模型可自主完成的資安任務長度大約每4.7個月翻倍，而最新的Claude Mythos Preview與GPT-5.5甚至已超出原本的成長趨勢。</p> <p><a href="https://www.ithome.com.tw/news/175732"><strong style="font-size: 22px;">英國NCSC提醒企業使用AI尋找漏洞前，先完善漏洞管理機制</strong></a></p> <p>隨著AI模型能力持續提升，英國國家網路安全中心（NCSC）提醒，使用AI模型尋找漏洞，目的應是強化系統安全；企業組織在導入前，應先確認自身是否具備漏洞管理、資產盤點等能力，否則當漏洞回報量增加，反而可能加重資安團隊負擔。 NCSC也強調，落實網路安全衛生仍是改善組織資安體質的關鍵；相較於零時差漏洞遭到利用，企業未能及時套用已釋出的修補程式，或是內部系統出現未經授權存取行為，帶來的安全風險更值得留意。</p> <p><a href="https://www.ithome.com.tw/news/175688"><strong style="font-size: 22px;">2026年第一季全球網際網路中斷事件偏多，政府斷網、停電與軍事衝突成主因</strong></a></p> <p>網路與資安服務業者Cloudflare發布2026年第一季全球網際網路中斷事件觀察，根據旗下網路流量觀測服務Cloudflare Radar資料，回顧全球多起已確認的連線異常。烏干達、伊朗與剛果共和國都在選舉或衝突背景下發生大規模斷網，古巴則在3月發生3次國家電力系統崩潰。整體來看，Cloudflare觀察到2026年第一季全球網際網路中斷事件數量偏高，影響因素涵蓋政府斷網、停電、軍事衝突、惡劣天候、海底纜線受損與技術故障。</p> <p><a href="https://www.ithome.com.tw/news/175699"><strong style="font-size: 22px;">FCC延長外國製路由器與無人機更新豁免，允許既有設備更新至2029年</strong></a></p> <p>美國聯邦通訊委員會（Federal Communications Commission，FCC）旗下的工程與技術辦公室（Office of Engineering and Technology，OET）宣布，把外國製無人機（Uncrewed Aircraft Systems，UAS）、無人機關鍵零組件及路由器的軟體與韌體更新豁免期限，延後到至少2029年1月1日。OET指出，若禁止既有設備接收軟體與韌體更新，反而可能讓已在美國市場流通的設備無法修補漏洞，增加消費者與網路安全風險。</p> <p><a href="https://www.ithome.com.tw/news/175770"><strong style="font-size: 22px;">CISA與G7共同發布AI軟體物料清單入門指引，推動跨國AI供應鏈透明化</strong></a></p> <p>美國網路安全與基礎設施安全局（CISA）與全球7大工業國組織（G7）——德國、加拿大、法國、義大利、日本、英國與歐盟，近日共同發布《AI軟體物料清單最低要素（Software Bill of Materials for AI – Minimum Elements）》指引，針對生成式AI與機器學習系統建立標準化的資訊揭露框架，以提升AI供應鏈透明度。這份指南強調，原本的SBOM資訊如套件版本、依賴關係等仍然需要，還需列出AI系統的關鍵組成資訊，從而提升AI系統的透明度。</p> <p><a href="https://www.ithome.com.tw/news/175762"><strong style="font-size: 22px;">DMTF的SPDM硬體安全驗證標準被納入FIPS 140-3規範，可望成為美國官方硬體安全參考標準</strong></a></p> <p>分散式管理工作小組（Distributed Management Task Force，DMTF）近日宣布，其制定的SPDM（Security Protocol and Data Model）硬體安全驗證標準，已正式被納入美國FIPS 140-3實作指引（Implementation Guidance）中，意味著SPDM從產業界的硬體與韌體安全驗證標準，進入美國聯邦加密驗證體系的參考架構。DMTF指出，SPDM被納入FIPS 140-3實作指引，反映產業的發展方向，有助於透過這項通用的設備身分驗證方法，在各種平臺上建立安全、可控的通信，從而降低供應鏈與韌體篡改的風險。</p> <p><a href="https://www.ithome.com.tw/news/175772"><strong style="font-size: 22px;">Google更新Android安全與隱私功能，攔截假冒銀行來電並升級AI惡意App偵測</strong></a></p> <p>Google於5月12日公布Android安全與隱私功能更新，將導入假冒銀行來電攔截、惡意App即時行為偵測、APK下載前掃描、手機竊盜防護，以及更細緻的位置與聯絡人權限控制，主軸是以AI與可驗證機制強化Android裝置安全。其中，Google將推出已驗證金融來電（Verified Financial Calls），用來防範詐騙者偽造來電顯示、假冒銀行或金融機構。若使用者已安裝參與合作的銀行或金融App並登入，Android會在背景向該App確認來電真偽。</p> <p><a href="https://www.ithome.com.tw/news/175773"><strong style="font-size: 22px;">Obsidian更新社群外掛審核流程，導入逐版自動檢查與安全評分卡</strong></a></p> <p>知識工作者愛用Markdown筆記工具Obsidian推出新的社群網站與開發者儀表板，調整社群外掛與主題的提交、審核和搜尋流程。本次改版重點，是把過去較依賴人工處理的審核方式，改為每個版本都會接受自動檢查，並在專案頁面加入安全評分卡，讓使用者在安裝前能先查看自動檢查結果與專案狀態。Obsidian表示，現在人工智慧輔助程式開發工具讓外掛產生速度更快，提交數量也跟著增加，因此需要一套能持續運作、也能處理大量提交項目的新流程來確保安全。</p> <p><a href="https://www.ithome.com.tw/news/175659"><strong style="font-size: 22px;">Microsoft Teams將針對可疑外部來電示警，防範品牌冒用語音詐騙</strong></a></p> <p>微軟將強化Microsoft Teams通話安全，針對Teams Calling新增品牌冒用防護（Brand Impersonation Protection for Teams Calling）功能，防範攻擊者透過外部的網路語音（Voice over Internet Protocol，VoIP ）來電假冒企業、客服或其他可信任組織，誘騙使用者回應或進一步提供資訊。項功能將於5月中旬推出，用戶可經由已設定目標發行（Targeted Release）軟體最新版本發布管道取得。</p> <p><a href="https://www.ithome.com.tw/news/175660"><strong style="font-size: 22px;">因應AI輔助開發風險，GitHub MCP Server加入提交前機密憑證與相依套件掃描</strong></a></p> <p>GitHub正式推出GitHub MCP Server機密憑證掃描功能，並公開預覽相依套件漏洞掃描。這兩項功能的用途，是讓開發者在使用AI工具撰寫或修改程式碼時，可以在送出程式碼前先檢查是否誤放金鑰或權杖等敏感資料，或引入帶有已知漏洞的外部套件。現在開發者可在支援MCP的開發環境中，要求AI代理工具先檢查目前修改的內容，降低敏感資料或脆弱套件被送出的機率。</p> <p><a href="https://www.ithome.com.tw/news/175767"><strong style="font-size: 22px;">【臺灣資安大會直擊】元智大學王仁甫指出AI代理與開源模型正重塑資安風險，企業需建立制度化、自動化的漏洞治理與AI責任機制</strong></a></p> <p>隨著生成式AI與代理型AI（Agentic AI）快速普及，企業正面臨全新的資安挑戰。元智大學資管系助理教授王仁甫指出，AI不只是工具，本身也是一套系統，而所有系統都存在漏洞。當AI開始具備自主操作、存取資料與呼叫API能力後，資安風險將從傳統系統漏洞，擴大到AI代理、開源模型與供應鏈層級。企業除了關心導入AI所帶來的效率提升之外，也不能輕忽AI帶來的資安風險，包括AI讓漏洞生成、攻擊自動化與惡意程式演化速度全面加快。</p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/175765"><strong>【5月13日】鴻海驚傳遭勒索軟體Nitrogen攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/175725"><strong>【5月12日】駭客首度濫用AI挖掘零時差漏洞並生成攻擊工具</strong></a></p> <p><a href="https://www.ithome.com.tw/news/175698"><strong>【5月11日】逾半數密碼的MD5雜湊值一小時就能破解</strong></a></p> </div></div></div>
5/14 13:08作者周峻佑https://www.ithome.com.tw/news/175803
伊朗駭客MuddyWater攻擊韓國電子製造商，濫用SentinelOne元件側載DLL檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>博通（Broadcom）旗下的賽門鐵克與Carbon Black威脅獵捕團隊近日揭露伊朗駭客組織MuddyWater（Seedworm、Temp Zagros、Static Kitten）<strong><a href="https://www.security.com/threat-intelligence/iran-seedworm-electronics">最新一波網路間諜活動</a></strong>，範圍橫跨四大洲與9個國家，至少有9家企業組織受害，涵蓋工業與電子製造、教育與公共部門機構、金融服務及專業服務。其中最值得關注的是，在於這些駭客大量使用DLL側載手法，濫用SentinelOne端點防護系統的二進位檔sentinelmemoryscanner.exe、富迪科技（Fortemedia）音訊驅動程式工具fmapp.exe，載入惡意DLL檔案，而這些DLL都內含竊資軟體ChromElevator，能繞過Chrome內建的App-Bound Encryption（ABE）防護機制，讓攻擊者竊取瀏覽器存放的密碼、cookie，以及付款資料。</p> <p>研究人員特別提及，這些駭客今年2月曾入侵一家韓國大型電子製造商，並在其網路環境活動長達一週，在2月20日，研究人員發現駭客下達一連串PowerShell指令進行偵察，但令他們意外的是，PowerShell處理程序竟透過Node.js的執行環境node.exe執行，代表受害主機在此之前可能已執行Node.js指令碼，而並非駭客手動操作的活動。不過，對於駭客如何入侵受害主機，以及植入node.exe的途徑，博通表示不清楚。</p> <p>後續MuddyWater使用curl下載其他作案工具，然後使用sentinelmemoryscanner.exe與fmapp.exe載入惡意DLL檔案，但值得留意的是，兩個DLL亦透過node.exe載入並執行，這也符合前述駭客非手動操作的特徵。後續他們試圖挖掘本機的NTLM密碼雜湊值，進行橫向移動，然後將竊得資料透過sendit[.]sh對外傳輸，最後一次活動出現在2月27日。</p> </div></div></div>
5/14 13:22作者周峻佑https://www.ithome.com.tw/news/175794
Mistral AI的PyPI套件遭遇供應鏈攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>5月12日微軟威脅情報團隊提出警告，<strong><a href="https://x.com/MsftSecIntel/status/2054041471280423424">AI公司Mistral AI的PyPI套件2.4.6版遭到入侵</a></strong>，駭客在mistralai/client/__init__.py植入惡意程式碼，一旦開發人員安裝套件，這些程式碼就會執行，然後從hxxps://83[.]142[.]209[.]194/下載第二階段的酬載transformers.pyz。微軟認為，該酬載的檔案名稱可能模仿受廣泛使用的Hugging Face Transformers程式庫，藉此融入機器學習的環境。</p> <p>這波攻擊行動針對Linux開發環境，最終的有效酬載是竊資軟體，但值得留意的是，此惡意軟體在特定國家會出現不同的行為，例如，受害主機在俄語國家，酬載將停止運作；受害主機若位於以色列或伊朗，酬載將有六分之一的機率執行rm -rf /進行破壞。對此，他們呼籲開發人員應儘速隔離受影響的Linux主機、封鎖駭客使用的IP位址83[.]142[.]209[.]194，並清查主機是否存在/tmp/transformers.pyz、pgmonitor[.]py，以及pgsql-monitor.service，並且輪換已外洩的憑證。</p> </div></div></div>
5/14 13:25作者周峻佑https://www.ithome.com.tw/news/175802
CPython調整3.14與3.15版本增量式GC實作，改回3.13分代式GC設計
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>CPython核心開發團隊<strong><a href="https://discuss.python.org/t/reverting-the-incremental-gc-in-python-3-14-and-3-15/107014/47">調整</a></strong>Python 3.14與Python 3.15的垃圾收集器（GC）路線，決定把Python 3.14.0至3.14.4採用的增量式GC（Incremental GC），改回Python 3.13既有的分代式設計（Generational GC）。該變更已納入5月10日發布的<strong><a href="https://blog.python.org/2026/05/python-3145-is-out/">Python 3.14.5</a></strong>，Python 3.15也會採用相同方向。主要原因是部分生產環境回報，新版設計雖然有助於降低最大GC暫停時間，卻可能讓記憶體壓力升高。</p> <p>這次調整涉及CPython執行時期的記憶體管理機制。Python平常會記錄每個物件還有多少參照，當物件不再被參照時，就能釋放記憶體。不過，有些物件會互相指向彼此，即使程式已經不需要它們，參照計數仍不一定會歸零。垃圾回收機制就是用來處理這類循環參照，避免記憶體被無用物件占住。</p> <p>Python 3.14原本導入的增量式GC，是把垃圾回收工作分成較小批次處理，目標是減少一次清理大量物件時造成的停頓，對物件數量龐大的程式而言，這樣的設計可降低單次停頓時間，讓程式執行看起來更平順。</p> <p>不過，核心開發者在討論中指出，這項設計在降低停頓時間之外，也改變了循環垃圾被回收的時機。部分應用在升級到Python 3.14後，出現記憶體使用量明顯上升，或更容易碰到記憶體限制的情況。對生產環境、CI環境或資源受限的伺服器而言，記憶體用量過高通常比短暫停頓更容易造成營運問題。</p> <p>因此，CPython團隊選擇先回到Python 3.13的分代式GC。分代式設計會依物件存活時間區分不同世代，優先回收較可能成為垃圾的新物件，這是CPython長期使用的做法。相較於增量式GC，舊設計可能在特定情境下帶來較明顯的GC停頓，但其行為較容易預期，也較符合過去版本的記憶體表現。</p> <p>該調整在Python 3.15仍處於開發階段時添加，爭議相對較小，但Python 3.14已經正式發布，因此在3.14.5維護版中回退底層GC設計，屬於較少見的變更。核心開發者在討論中也提到，若未來要重新導入增量式GC，可能需要經過PEP流程，並在效能、記憶體用量與相容性風險上做更完整評估，而不是直接沿用3.14早期版本的實作。</p> </div></div></div>
5/14 13:39作者李建興https://www.ithome.com.tw/news/175796
微軟公開自家MDASH多模型代理式AI安全系統，發現Windows軟體16個漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在Anthropic Claude Mythos及OpenAI Daybreak之後，微軟也展現以AI找漏洞的研發成果。<a href="https://www.microsoft.com/en-us/security/blog/2026/05/12/defense-at-ai-speed-microsofts-new-multi-model-agentic-security-system-tops-leading-industry-benchmark/" target="_blank">微軟本週公開代號MDASH的多模型代理式AI安全系統</a>，說這工具讓它找出Windows網路及驗證功能的16項新漏洞。</p> <p>微軟說明，MDASH代表multi-model agentic scanning harness，其核心是代理式漏洞發現及修復系統。該系統內包含多個模型及代理人，依循掃描、驗證、去重複（dedup）及證明的pipeline階段性運作。輸入端注入特定軟體標的後，系統內使用多個模型進行辯論，其中SOTA（state-of-the-art）模型執行推理、蒸餾模型扮演低成本的爭辯者（debater）、另一個SOTA模型則作為獨立Counterpoint。</p> <p>這個系統運用專門領域的代理人進行特定pipeline的稽核。MDASH內有100多個根據漏洞和修補程式經由深度學習組成的專業代理人（agent），來審查模型掃描結果，產出包含意見的報告。</p> <p>本系統提供另一特色是提供外掛供人類專家注入上下文，或是串接外部分析資料庫（如CodeQL資料庫）給基礎模型，像是核心呼叫慣例（kernel calling conventions）、IRP rules、鎖定不變量（lock invariants）、IPC信賴邊界及Codec狀態機等，以提升掃描的精確性。</p> <p>更好的是，本架構具備跨代可攜性，各個pipeline的各個階段能相容新一代模型，確保系統與時俱進。</p> <p>微軟並將MDASH用於自家產品程式的漏洞掃描。結果它在StorageDrive驅動程式找出21項微軟刻意植入的漏洞。進一步驗證也顯示零誤判。之後，本週Patch Tuesday修補的Windows網路堆疊及相鄰服務漏洞中，有16個是來自MDASH的發現。</p> <p>微軟以5年內二個程式的漏洞測試MDASH的準確率，它在clfs.sys和tcpip.sys的召回率分別是96%及100%。而在CyberGym公開標竿測試裏，MDASH在包括188個真實大型開源專案及1,507個歷史真實漏洞的成功率達88.45%。</p> <p>現在微軟開放企業<a href="https://aka.ms/AI-drivenScanningHarness" target="_blank">申請使用MDASH</a>進行產品漏洞測試。</p> </div></div></div>
5/14 13:54作者林妍溱https://www.ithome.com.tw/news/175805
思科營收成長12%，宣布裁撤近4,000名員工
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://investor.cisco.com/news/news-details/2026/CISCO-REPORTS-THIRD-QUARTER-EARNINGS/default.aspx" target="_blank">網路設備大廠思科（Cisco）週三（5/13）公布</a>截至4月25日的2026財年第三季財報，該季思科創下158億美元營收，比去年同期成長12%，優於市場預期。<a href="https://blogs.cisco.com/news/our-path-forward" target="_blank">同一天思科也宣布</a>，因應AI時代的投資重整，公司將於第四季裁減近4000名員工，占總員工數不到5%。</p> <p>在158.41億美元的營收中，產品營收占了121.17億美元，成長17%，服務營收為37.24億美元，衰退1%。在產品營收中，網路業務仍是最大來源，達88.15億美元，成長25%；資安業務為20.08億美元，與去年同期持平；協作業務為10.24億美元，減少1%；可觀測性業務為2.69億美元，成長3%。</p> <p>該季最大亮點為AI基礎架構需求升溫。思科第三季產品訂單總額年增35%，即使排除超大規模雲端業者，仍成長19%；資料中心交換器訂單成長率也超過40%。</p> <p>思科表示，今年迄今已取得53億美元AI基礎架構與超大規模雲端業者訂單，因此將2026財年AI相關訂單預期，從原本的50億美元上修至90億美元，相關營收預估也從30億美元提高至40億美元。</p> <p>該季思科淨利為33.7億美元，比去年同期成長35%，每股盈餘為0.85美元。</p> <p>同一天，思科執行長Chuck Robbins也向員工發出內部信件，宣布將於第四財季裁減近4000名員工，占總員工數不到5%，相關通知將於5月14日起陸續發出。此次重整將產生最高10億美元的稅前費用，其中約4.5億美元將於第四財季認列。</p> <p>Robbins表示，AI時代的競爭將取決於企業是否能持續把資源轉向需求與長期價值最高的領域，因此思科正重新調整投資方向與成本結構。未來公司將持續增加對矽光子、光通訊、資安與AI等領域的投資，同時也會推動員工更廣泛使用AI工具。</p> <p>財報公布當天，思科的盤後股價大漲20.37%，達到122.62美元。市場分析認為，思科最新財報意謂著AI支出不再只是購買晶片，因AI資料中心還需要大量交換器、路由器與高速網路設備，相關需求正往下游擴散，讓整個AI基礎架構鏈都開始受益。</p> </div></div></div>
5/14 14:12作者陳曉莉https://www.ithome.com.tw/news/175808
郵件傳輸代理伺服器Exim存在重大漏洞，影響採用程式庫GnuTLS進行通訊的環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>郵件傳輸代理軟體系統Exim開發團隊5月12日<strong><a href="https://exim.org/static/doc/security/EXIM-Security-2026-05-01.1/EXIM-Security-2026-05-01.1.txt">發布資安公告</a></strong>，他們發布4.99.3版Exim，修補遠端的記憶體釋收後再存取使用（Use After Free）弱點，此漏洞存在於Exim的GnuTLS後端，攻擊者可遠端觸發，並造成記憶體資料損毀。</p> <p>具體而言，此問題出現在Exim處理BDAT訊息主體的過程，攻擊者若是在傳輸完成前發送TLS close_notify警示通知，就會導致TCP連線的最後一個位元組以明文傳輸。上述事件將可能導致Exim在TLS連線階段終止期間，將資料寫入已釋出的記憶體緩衝區，造成記憶體損毀。攻擊者只需能夠建立TLS連線，並搭配BDAT這個將郵件切割為多個區塊（Chunking）的SMTP延伸指令，就有機會觸發漏洞，並執行任何程式碼。</p> <p>上述漏洞影響4.97至4.99.2版Exim，並只有在採用GnuTLS程式庫的情況下才會曝險。開發團隊指出，搭配OpenSSL或其他TLS程式庫的Exim不受影響。<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-45185">此漏洞被登記為CVE-2026-45185</a></strong>，CVSS風險為9.8分（滿分10分），相當危險。Exim強調，目前沒有其他緩解措施，呼籲IT人員儘速升級。</p> <p>通報漏洞的<strong><a href="https://xbow.com/blog/dead-letter-cve-2026-45185-xbow-found-rce-exim">滲透測試公司XBOW指出</a></strong>，GnuTLS是許多以Debian為基礎的Linux發行版（如Ubuntu）的預設TLS程式庫，因此該漏洞影響範圍可能會相當廣泛，而且，攻擊者若要觸發這項弱點，幾乎不需要倚賴Exim伺服器的特殊組態設定，因此XBOW認為，CVE-2026-45185是Exim當中最危險的漏洞之一。</p> </div></div></div>
5/14 12:23作者周峻佑https://www.ithome.com.tw/news/175781
教育平臺Canvas背後的母公司宣稱已與駭客達成協議，取回遭竊資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>駭客組織ShinyHunters先後於4月底及5月上旬，傳出攻擊學習管理系統Canvas開發商Instructure，<strong><a href="https://www.ithome.com.tw/news/175580">駭客當時聲稱竊得2.75億筆個資</a></strong>，影響近9千個教育機構，檔案大小達到3.65 TB；<strong><a href="https://www.ithome.com.tw/news/175683">後續駭客發動第二波攻擊</a></strong>，竄改多所學校的Canvas入口網站並留下勒索訊息，要脅校方支付贖金以換取資料不被公開。如今傳出Instructure疑似選擇向駭客低頭，換取資料不被外洩的情形。</p> <p>5月11日Instructure更新<strong><a href="https://www.instructure.com/incident_update">資安事件公告網頁</a></strong>內容，表示他們基於保護客戶資料的立場，已與非法存取者達成協議，表示駭客已將資料歸還，並將手上的資料副本銷毀，而且不會向Instructure的客戶勒索，因此，客戶無須自行協商，換取資料不被外流。雖然公告內容並未提及其他訊息，不過外界普遍認為，這代表Instructure已經向ShinyHunters付錢贖回遭竊資料。</p> <p>針對這起事故，Instructure也透露調查結果，表示駭客是透過Free-For-Teacher帳號的弱點而得逞，該公司一度關閉此類帳號來防堵駭客的存取管道。Instructure於5月5日通知受影響的客戶，並於9日恢復Canvas平臺的運作。</p> </div></div></div>
5/14 12:28作者周峻佑https://www.ithome.com.tw/news/175788
Windows BitLocker與CTFMON存在零時差漏洞YellowKey、GreenPlasma
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>日前因對微軟漏洞通報流程不滿的研究人員Chaotic Eclipse（Nightmare-Eclipse），上個月在微軟發布4月例行更新（Patch Tuesday）前後，公開Microsoft Defender一系列資安漏洞，包括BlueHammer（CVE-2026-33825）、RedSun、UnDefend，後續皆傳出已用於攻擊行動。這次該研究員在微軟發布5月例行更新之後，再度公布新的零時差漏洞，引起資安媒體的注意。</p> <p>根據<strong><a href="https://www.bleepingcomputer.com/news/security/windows-bitlocker-zero-day-gives-access-to-protected-drives-poc-released/">資安新聞網站Bleeping Computer報導</a></strong>，這名研究員5月13日公布磁碟加密機制BitLocker的漏洞<strong><a href="https://github.com/Nightmare-Eclipse/YellowKey">YellowKey</a></strong>，以及輸入法元件CTFMON的漏洞<strong><a href="https://github.com/Nightmare-Eclipse/GreenPlasma">GreenPlasma</a></strong>，並釋出部分概念驗證程式碼（PoC）。這兩個漏洞皆影響Windows 11、Windows Server 2022與2025，但Windows 10似乎不受影響。其中比較值得留意的是YellowKey，Chaotic Eclipse形容它幾乎等同於後門，該漏洞出現在Windows復原環境（WinRE），攻擊者需要將特製的FxTx檔案存放於USB隨身碟或EFI磁碟分割區，就有機會在WinRE環境存取受到BitLocker保護的檔案。資安專家Kevin Beaumont<strong><a href="https://cyberplace.social/@GossiTheDog/116565662607962457">確認該漏洞的存在</a></strong>，呼籲使用者為BitLocker設置PIN碼，或是採用BIOS密碼保護措施因應。</p> <p>另一個漏洞GreenPlasma為權限提升漏洞，Chaotic Eclipse指出，透過這個漏洞的概念驗證程式，可在任何SYSTEM權限可寫入物件的資料夾，建立任意的記憶體區塊。然而GreenPlasma真正帶來影響在於，攻擊者一旦成功利用，就有機會取得具有完整SYSTEM權限的Shell。該研究員透露，此漏洞發生的原因，在於包含核心模式驅動程式在內的眾多系統服務，會直接信任某些路徑的內容，使得一般使用者有機會取得寫入權限。</p> </div></div></div>
5/14 12:35作者周峻佑https://www.ithome.com.tw/news/175782
AWS與紅帽深化AI平臺合作，將代理式AI開發環境與AI晶片支援納入OpenShift生態系
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://aws.amazon.com/tw/blogs/ibm-redhat/aws-and-red-hat-at-red-hat-summit-2026-accelerating-ai-innovation-and-open-source-infrastructure/" target="_blank">AWS與Red Hat（紅帽）在Red Hat Summit 2026公布合作新進展</a>，焦點放在企業AI開發、AI推論部署與雲端原生基礎架構管理。</p> <p><span style="color:#B22222;"><strong>Kiro整合OpenShift Dev Spaces，讓企業在集中治理環境使用代理式AI開發工具</strong></span></p> <p>AWS與紅帽宣布，將代理式AI整合開發環境Kiro整合至紅帽雲端開發環境OpenShift Dev Spaces。這項整合採用本機到遠端的SSH連線工作流程，開發者可在本機執行Kiro，同時連線到OpenShift叢集中的容器化工作區。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0514-red%20hat%20aws-kiro.jpg" style="width: 600px;" /></p> <p>AWS與紅帽指出，這可讓開發團隊在集中治理的環境中使用AI程式開發工具，減少個別開發者電腦設定差異造成的問題；IT團隊也能集中控管安全政策、資源限制與網路存取。這項Kiro整合功能已在OpenShift Dev Spaces 3.25版提供。</p> <p><span style="color:#B22222;"><strong>強化OpenShift推論部署，納入Inferentia與Trainium支援</strong></span></p> <p>AWS與紅帽正在推動AWS Inferentia晶片專用的AI Operator（AI Operator for AWS Inferentia），協助企業在OpenShift環境中執行AI推論工作負載。</p> <p>對已使用OpenShift作為Kubernetes平臺的企業來說，這類做法可減少導入專用AI加速器所需的客製化工程。AWS與紅帽認為，企業可在既有OpenShift維運架構下，讓AI工作負載與傳統容器化應用並行運作，並沿用既有維運工具與政策控管機制。</p> <p>另一項合作則是讓紅帽模型推論伺服器Red Hat AI Inference Server支援AWS Trainium晶片，協助企業在保有紅帽支援與一致管理方式的情況下，降低大型語言模型與高流量AI應用的推論成本。</p> <p><span style="color:#B22222;"><strong>Red Hat AI Enterprise上架AWS Marketplace，簡化企業AI平臺採購流程</strong></span></p> <p>在AI平臺採購方面，企業可在AWS Marketplace取得Red Hat AI Enterprise，並透過既有雲端採購與支出承諾機制獲得授權，適用範圍包括AWS Enterprise Discount Program、私有定價協議與AWS Marketplace Private Offers。</p> <p><span style="color:#B22222;"><strong>ROSA導入Red Hat build of Karpenter，改善節點擴展與資源配置</strong></span></p> <p>紅帽將透過Red Hat build of Karpenter，改善Red Hat OpenShift Service on AWS（ROSA）的運算容量與節點生命周期管理。Red Hat build of Karpenter是以上游Project Karpenter為基礎的全代管自動擴展器，可依工作負載需求調整節點配置。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0514-red%20hat%20aws-Karpenter.png" style="width: 600px;" /></p> <p>紅帽表示，這項功能將在下一個Red Hat OpenShift小改版正式推出，並適用於所有已正式提供ROSA的AWS區域。</p> </div></div></div>
5/14 12:36作者王珮瑤https://www.ithome.com.tw/news/175793
微軟將透過Windows Update遠端復原問題驅動程式，減少手動排除故障負擔
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Windows Update不只負責提供Windows系統更新，也常被用來發布硬體驅動程式；但若驅動程式更新存在品質問題，可能造成裝置異常，使用者甚至需要自行解除安裝或回復驅動程式。</p> <p>為了降低驅動程式更新出問題後的處理負擔，<a href="https://techcommunity.microsoft.com/blog/hardware-dev-center/introducing-cloud-initiated-driver-recovery-for-windows-update/4519075" target="_blank">微軟5月12日宣布在Windows Update導入Cloud-Initiated Driver Recovery機制</a>。若驅動程式在硬體開發中心（Hardware Dev Center）的發布品質審查流程（Driver Shiproom）中被判定有品質問題，微軟即可遠端啟動復原作業，移除受影響裝置上有問題的版本，並回復到先前已知可正常運作的版本，或改用可透過Windows Update取得、經核准的替代版本。這項功能適用於透過Hardware Dev Center發布驅動程式的合作夥伴。</p> <p>根據微軟說明，Cloud-Initiated Driver Recovery會透過既有Windows Update基礎架構發送復原指令，Windows裝置不需要安裝新的用戶端代理程式，硬體合作夥伴也不需要部署額外工具。復原流程會先鎖定特定驅動程式及其連結的發布標籤，再由Windows Update向受影響裝置下達復原指令；若找不到經發布品質審查流程核准的替代驅動程式，該裝置就不會執行Cloud-Initiated Driver Recovery。</p> <p>微軟規畫在2026年5月至8月間，先針對特定發布標籤所對應的驅動程式進行手動驗證與測試，預計從2026年9月開始，驅動程式一旦在測試發布或漸進式推出期間，因品質問題而未通過審查，將自動納入Cloud-Initiated Driver Recovery處理流程。</p> </div></div></div>
5/14 12:50作者王珮瑤https://www.ithome.com.tw/news/175801
Google Cloud推出Cloud Storage Rapid，強化AI訓練與分析工作負載的儲存效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>隨著企業訓練大型AI模型、部署大規模AI推論服務，並建置可處理大量企業資料的AI代理，也讓儲存效能成為AI基礎架構能否充分發揮算力的關鍵。<a href="https://cloud.google.com/blog/products/storage-data-transfer/cloud-storage-rapid-turbocharges-object-storage-for-ai-analytics" target="_blank">Google Cloud指出</a>，GPU與TPU雖然是AI運算核心，但一旦資料供應或檢查點寫入跟不上運算節奏，運算資源可能無法充分發揮效益。Cloud Storage Rapid即是針對這類需求而設計，主打在保留物件儲存易用性與擴充性的同時，提升AI工作負載所需的資料存取效能。</p> <p>Cloud Storage Rapid目前包含兩項主要能力。Rapid Bucket已正式上市，前身為Rapid Storage，是一種高效能區域型物件儲存桶，底層採用Google分散式儲存系統Colossus，也就是支撐Gemini與YouTube的儲存基礎架構。Google Cloud表示，單一Rapid區域型儲存桶可提供超過15 TB/s彙總讀取傳輸量，並支援每秒最高2,000萬次查詢。</p> <p>Rapid Bucket主要用於資料準備、模型訓練、檢查點處理、批次與串流分析，以及分散式資料庫架構最佳化等高效能需求的應用場景。Google Cloud宣稱，在多模態訓練作業中，Rapid Bucket可讓GPU閒置等待時間減少50%，資料載入速度最高提升2.5倍；相較傳統物件儲存，檢查點還原速度最高提升5倍，寫入速度提升3.2倍。</p> <p>另一項能力Rapid Cache前身為Anywhere Cache，可針對既有Cloud Storage儲存桶加速讀取，而且不需要修改程式碼。Google Cloud表示，Rapid Cache可為資料準備、訓練，以及推論期間突發的模型載入需求，提供2.5 TB/s彙總讀取傳輸量；在推論工作負載中，模型載入速度最高提升2.1倍，並可帶來47%的總持有成本（TCO）節省。</p> <p>Google Cloud這次也為Rapid Cache新增「寫入即同步快取（ingest on write）」功能，讓資料寫入Cloud Storage儲存桶時，同步進入Rapid Cache，避免第一次讀取時才建立快取而造成效能落差。Google Cloud指出，這項功能可讓檢查點還原時間最高加快2.2倍，適合用於訓練中斷後需要快速恢復的AI工作負載。</p> <p>Google Cloud並以AI研究與產品公司Thinking Machines Lab為例指出，該公司在AI／ML流程中導入Rapid Cache，用於資料處理、多模型訓練與模型載入等作業後，穩定讀取傳輸量峰值超過1.8 TB/s，也降低長尾延遲與429錯誤。Google Cloud表示，Rapid Cache目前已由客戶部署數千個快取，過去一年的部署量成長20倍，最高可承載Cloud Storage全球對外資料流量的20%。</p> </div></div></div>
5/14 13:15作者王珮瑤https://www.ithome.com.tw/news/175804
AI自主網攻能力加速，資安任務長度每4.7個月翻倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.aisi.gov.uk/blog/how-fast-is-autonomous-ai-cyber-capability-advancing" target="_blank">英國AI安全研究所（AI Security Institute，AISI）週三（5/13）發布最新研究報告</a>，利用名為Cyber Time Horizons的指標，衡量AI可自主完成多長時間的資安任務，並以人類資安專家的完成時間作為基準。AISI指出，自2024年底以來，先進AI模型可自主完成的資安任務長度大約每4.7個月翻倍，而最新的Claude Mythos Preview與GPT-5.5甚至已超出原本的成長趨勢。</p> <p>AISI這次主要在名為Narrow Cyber Suite的封閉式資安測試環境中評估模型能力，測試內容涵蓋逆向工程（Reverse Engineering）、Web漏洞利用（Web Exploitation）等任務，要求模型自主辨識並利用目標系統弱點。此外，AISI也測試模型在模擬企業網路攻擊環境（Cyber Ranges）中的表現，其中包括32步驟的企業網路攻擊場景「The Last Ones」，以及先前從未被AI模型成功完成的「Cooling Tower」。</p> <p>AISI會根據模型在各項任務中的成功率，推估AI在80%成功率下，可自主完成相當於人類資安專家需花多久處理的任務。</p> <p>最新估算顯示，自2024年底以來，先進AI模型可穩定完成的資安任務長度，約每4.7個月翻倍。也就是說，若AI原本可完成相當於人類專家需花10分鐘處理的任務，約4.7個月後，就可能完成20分鐘等級的任務，能力成長速度也快於2025年11月估計的每8個月翻倍。AISI指出，Claude Mythos Preview與GPT-5.5在最新測試中的表現，也明顯超出原本的能力成長曲線。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0514-AISI-600.png" style="width: 600px;" /></p> <p>在測試中，AISI將每項任務限制於250萬個token，以便不同時期模型的結果可互相比較。目前測試集中最長的任務，約需人類資安專家花費12小時完成。即使在此限制下，Claude Mythos Preview仍在6項「人類專家需花8小時以上完成」的長資安測試任務中達到100%成功率；GPT-5.5則完成其中5項，其餘1項在移除token限制後也能成功完成。</p> <p>此外，新版Claude Mythos Preview已可在10次測試中成功完成「The Last Ones」6次，以及「Cooling Tower」3次，成為首個成功完成後者的AI模型；GPT-5.5則在「The Last Ones」中成功3次。</p> <p>AISI指出，由於Claude Mythos Preview與GPT-5.5在最長任務中的成功率已接近100%，目前這組測試已逐漸接近可衡量的上限。</p> </div></div></div>
5/14 11:23作者陳曉莉https://www.ithome.com.tw/news/175789
Anthropic調整Claude訂閱用量計算，Agent SDK等程式化使用改走專屬月額度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Anthropic將自6月15日起，<strong><a href="https://support.claude.com/en/articles/15036540-use-the-claude-agent-sdk-with-your-claude-plan">調整</a></strong>Claude付費訂閱方案的程式化使用用量計算方式，Pro、Max、Team與Enterprise等方案使用者，可申領每月固定額度，用於Claude Agent SDK、指令列非互動模式（claude -p）、Claude Code GitHub Actions，以及透過Claude Agent SDK搭配Claude訂閱方案使用的第三方工具。該調整把一般對話與程式自動化使用分開計算，並非提高原有訂閱方案的互動式使用上限</p> <p>過去開發者使用Agent SDK或claude -p時，相關用量會與Claude聊天和Claude Code共用同一組訂閱上限。新制上路後，Claude聊天與Claude Code互動操作仍使用原本的訂閱額度，程式化使用則改由每月可申領的專屬額度扣抵。開發者也需要更清楚區分哪些操作屬於互動式使用，哪些會進入程式化用量預算。</p> <p>各方案可申領金額不同，Pro方案每月為20美元，Max 5倍方案為100美元，Max 20倍方案為200美元，團隊標準方案為每席20美元，團隊進階方案為每席100美元，企業方案則依席位類型而定。使用者申領後，相關程式化用量會自動從這筆額度扣除，額度隨帳務週期重置，不會累積到下一期。</p> <p>額度用完後，開發者若仍要繼續使用這些程式化功能，必須啟用額外用量，並依標準API費率計費，若未開啟額外用量，Agent SDK相關請求會暫停，直到下一次額度重置。也就是說，這項調整雖然讓互動式使用與自動化使用不再互相排擠，但若開發者把Claude接到日常腳本、程式碼管理平臺或第三方工具中，實際支出可能仍會隨使用量增加。</p> <p>Claude官方也提到，Conductor、OpenClaw等採用Claude Agent SDK的第三方工具，可搭配Claude付費方案使用，但會與使用者自行撰寫的自動化腳本消耗同一筆程式化額度。</p> </div></div></div>
5/14 11:26作者李建興https://www.ithome.com.tw/news/175787
Notion公布AI代理人開發平臺，可整合第三方資料及外部代理人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>雲端筆記平臺<a href="https://www.notion.com/releases/2026-05-13" target="_blank">Notion週三（5/13）公布AI代理人開發人員平臺</a>（Notion Developer Platform），允許開發人員撰寫程式或是整合Claude、Codex等外部代理人、同步資料，跨入代理式AI市場，並且將用戶擴及開發人員。</p> <p><a href="https://www.notion.com/product/dev" target="_blank">Notion稍早透過線上發表會發表這項工具</a>。基本上，這新平臺讓Notion不再只是筆記本應用，而是扮演協作層，和團隊及代理人使用共享資料協作。</p> <p>Notion開發平臺運作核心之一是<a href="https://developers.notion.com/workers/get-started/overview" target="_blank">Notion Workers</a>。Notion Workers為一個延伸Notion的Node/TypeScript程式，允許開發人員以Notion CLI撰寫程式碼並部署在Notion上、同步資料，之後以Notion為代理人託管和執行平臺。</p> <p>Notion允許企業將第三方代理人透過API搬上平臺，如Claude、Codex、Decagon或自家開發的代理人。例如讓類人AI客服Decagon將客服工單傳到自己的程式撰寫代理人，後者提出解決方案建議，請求開發人員核准。但Notion表示，不只工程師，任何人都可以和代理人互動。目前，開發人員若想引入外部代理人需要先加入<a href="https://notion.pages.dev.notion.co/351b35e6e67f80128a8cf585188cf668" target="_blank">等候名單</a>等候核准。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0514-Notion-600.png" style="width: 600px;" /></p> <p>利用Notion Workers，開發人員可同步資料、建立代理人工具及Webhooks。在資料同步方面，利用API將任何資料源串接Notion資料庫，讓企業將外部資料同步至Notion Database讓代理人進行下一行動，例如把Zendesk工單匯入由代理人建議修改，將Salesforce資料拉進來讓代理人製作詳細報表，或是把Strava App的健康資訊和Spotify歌單資料串接立慢跑時的歌單。</p> <p>Notion也同步以Beta版推出Notion Workers的代理式工具及工作流程觸發（Webhooks）功能。</p> <p>下一步是讓使用者在其他App中使用Notion代理人，像是CRM、Microsoft Teams、Discord和Amplitude、Hex的儀表板。目前Notion Agent SDK以Alpha推出。<a href="https://notion.pages.dev.notion.co/357b35e6e67f8012bb0dd3f95c9be810?pvs=105" target="_blank">Notion並提供SDK</a>整合第三方App的註冊等候清單。</p> </div></div></div>
5/14 11:48作者林妍溱https://www.ithome.com.tw/news/175790
Meta推出Incognito Chat，主打AI對話完全私密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://about.fb.com/news/2026/05/incognito-chat-whatsapp-meta-ai/" target="_blank">Meta週二（5/13）宣布</a>，將於WhatsApp及Meta AI App推出全新的Incognito Chat隱私聊天模式，主打使用者可在「完全私密」的環境下與AI互動；強調相關對話會在特殊的安全環境中處理，連Meta本身也無法查看內容，而且對話預設不會保存，訊息也會自動消失。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0514-meta%20ai-960.png" style="width: 600px;" /></p> <p>Meta表示，隨著AI逐漸成為使用者獲取資訊、尋求建議的重要工具，人們也開始向AI詢問更多敏感問題，例如健康狀況、貸款、財務與職涯等，因此希望提供更高等級的隱私保護。</p> <p>Incognito Chat是建立在WhatsApp既有的Private Processing技術之上。當使用者啟動Incognito Chat後，便會建立一個僅自己可見的臨時AI聊天空間，訊息會在隔離的安全環境中完成處理。</p> <p>Meta表示，其他App雖然也有類似無痕模式，多半只是降低資料保存，或限制資料用於訓練，Incognito Chat則是在AI處理階段就採取隔離保護。</p> <p>例如OpenAI ChatGPT提供Temporary Chat模式，仍可能為安全目的保留最多30天；Google Gemini也允許使用者關閉對話紀錄，但相關對話仍可能保存最多72小時，以維持服務與處理回饋。</p> <p>Meta也預告，未來幾個月將推出Sidechat功能，可在不干擾主要聊天的情況下，讓Meta AI理解WhatsApp聊天脈絡並提供協助，且同樣採用Private Processing架構。</p> </div></div></div>
5/14 12:06作者陳曉莉https://www.ithome.com.tw/news/175792
Anthropic推出Claude for Small Business向小型企業招手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.anthropic.com/news/claude-for-small-business" target="_blank">Anthropic週三（5/13）公布</a>Claude for Small Business，希望將代理式AI推向小型企業。</p> <p>Claude for Small Business包含一組連接器（connector）和立即可用的工作流程（workflow），可讓小型企業直接把Claude整合進其業務流程，由AI代理人自動執行任務。現在Claude for Small Business已提供15項代理式工作流程，涵括財務、行銷、客服、業務及營運，並提供可自動化處理重複性作業的技能。這些技能涵括規劃薪資、結算帳務、排定公司銷售活動、執行行銷計畫，其他流程還包括報稅、合約、總帳、利潤分析、報表、內容規劃等。</p> <p>Claude for Small Business須從Claude Cowork啟動，它提供連接器以連接外部應用及其資源。其連接器可連結的第三方應用包括PayPal、Intuit QuickBooks、HubSpot、Canva、Docusign、Google Workspace、Microsoft 365、Slack等。</p> <p>和其他代理人工具一樣，Claude for Small Business雖然可自動化作業，但Anthropic強調，用戶仍持有最高控制權。所有任務和工作流程都必須由用戶主動發動、核准執行，且Claude權限不超越員工，例如無法讀取員工看不到的QuickBooks或Google Drive內的文件。且Anthropic保證，預設不使用Claude Team和Enterprise方案的企業內容和提示來訓練模型。</p> <p>為了讓中小企業更熟悉在企業管理中使用AI，Anthropic也和PayPal合作免費的線上教學，也和Workday及美國非營利本地企業支援組織提供美國中小企業免費使用。</p> <p>這是Anthropic將Claude推展到企業市場最新產品，在此之前，Anthropic分別提供產業別的方案包括<a href="https://www.ithome.com.tw/news/173311" target="_blank">Claude for Healthcare</a>、<a href="https://www.ithome.com.tw/news/175766" target="_blank">Claude for Legal</a>，也推出了<a href="https://www.ithome.com.tw/news/175574" target="_blank">金融業專用模板</a>。</p> </div></div></div>
5/14 10:47作者林妍溱https://www.ithome.com.tw/news/175783
身分安全威脅成為勒索軟體主要侵入途徑，三分之二受害組織認為源頭是身分攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p style="margin-left:.05pt;">企業採用雲端服務與AI的比例水漲船高，伴隨而來的是數量暴增的應用程式與服務，以及各種真人與非人的數位身分，導致龐大的管理與安全性問題，單就數位身分而言，包含使用者的帳號與密碼、API金鑰、服務帳號、OAuth權杖，一旦攻擊者掌握到這些重要資訊，就可能得以進入公司內部系統，導致資料外洩與勒索軟體等資安事故的發生，因此，遭竊的帳號與密碼、遭駭的服務帳號，以及鎖定企業員工發動的社交工程攻擊，都成為當前全球資料外洩事故中最常見的初始存取管道。</p> <p style="margin-left:.05pt;">根據資安廠商Sophos最近發布的<strong><a href="https://www.sophos.com/en-us/resources/report/the-state-of-identity-security-2026">2026身分安全現況調查報告</a></strong>指出，過去一年以來，有71%的組織曾遭遇至少一次與身分相關的資安事件，平均每個組織通報3起獨立事件；10％的組織通報曾發生影響業務的身分入侵事件，而且，身分攻擊行動一旦成功，資料竊取與勒索軟體皆為最常見的後果，比例都接近一半，各為49％與48％。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/Sophos Breach frequency distribution.png"><img alt="" src="/sites/default/files/images/Sophos%20Breach%20frequency%20distribution.png" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">有高達66.5％的勒索軟體受害者表示，這類事故是影響最重大的身分攻擊類型，並已確認身分與勒索軟體之間的關係與工作流程，換言之，有三分之二的受害者認同勒索軟體事故源自身分攻擊，並確認身分遭駭就是勒索軟體得以入侵的主要途徑。</p> <p style="margin-left:.05pt;">上述調查的結果，也與Sophos幾個月前發表的2026 年主動攻擊者報告相當接近，當中提到該公司分析去年事故應變（IR）與代管偵測與應變服務（MDR）團隊調查的所有事故，根本原因是身分相關攻擊的比例為<a href="https://www.sophos.com/en-us/blog/2026-sophos-active-adversary-report"><strong>67.32</strong><strong>％</strong></a>，而導致這類攻擊的三大因素，分別為帳號與密碼外洩（占所有案例的42.06％）、遭暴力破解攻擊（15.58％）、漏洞遭濫用（16.04％）。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/2026-02-active-advisory-report-figure-01.png"><img alt="" src="/sites/default/files/images/2026-02-active-advisory-report-figure-01.png" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">若以組織規模檢視勒索軟體與身分攻擊的關係，Sophos的2026身分安全現況調查報告指出，對於「勒索軟體等同身分攻擊」最感到認同的，是擁有1,001至3,000名員工的企業，比例高達71.6％，最不認同這個假設的是擁有100至250名員工的企業，但其比例仍有62.4％。對此，Sophos認為之所以存在差異，反映多種狀況，像是不同組織基礎架構的複雜性、能見度（visibility）的等級，以及組織能否橫跨多個領域將攻擊管道與最終結果進行交互關聯。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/Sophos Ransomware-Identity Link by Organization Size.png"><img alt="" src="/sites/default/files/images/Sophos%20Ransomware-Identity%20Link%20by%20Organization%20Size.png" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">以能見度而言，仍是身分安全的關鍵弱點，因為Sophos這份調查報告指出，去年只有24％的組織會持續監控異常登入行為，每三個月或更久才檢查一次的組織，已超過半數；而在探討組織淪為身分攻擊受害者的根本原因調查中，無法掌握外部應用系統存取與許可的比例為35.7％。</p> <p>除此之外，防護身分攻擊的缺口持續存在，因為資料遭外洩的組織當中，能夠在損害產生前偵測並阻止最嚴重的身分攻擊事件的比例雖然高達85.4％，顯示絕大多數組織具備防護能力，但還有14.4％無法阻擋，代表這少數案例形成巨大的尾部風險（tail risk）。而且，就不同規模的組織而言，員工數介於100至250人的小型組織，偵測身分攻擊的失敗機率幾乎是中型企業的兩倍。</p> <p><a href="/sites/default/files/images/Sophos ID Attack Detection Failure.png"><img alt="" src="/sites/default/files/images/Sophos%20ID%20Attack%20Detection%20Failure.png" style="width: 600px;" /></a></p> </div></div></div>
5/14 01:57作者李宗翰https://www.ithome.com.tw/news/175780