iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 16篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 08:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Linux核心存在本機權限提升漏洞CIFSwitch
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>自4月底資安廠商Theori<strong><a href="https://www.ithome.com.tw/news/175481">揭露Linux系統核心本機權限提升（LPE）漏洞Copy Fail</a></strong>（CVE-2026-31431），許多研究人員跟進調查，結果發現其他變種弱點，例如：<strong><a href="https://www.ithome.com.tw/news/175646">Dirty Frag</a></strong>（CVE-2026-43284與CVE-2026-43500）、<strong><a href="https://www.ithome.com.tw/news/175850">Fragnesia</a></strong>（CVE-2026-46300）、<strong><a href="https://www.ithome.com.tw/news/175919">DirtyDecrypt</a></strong>、<a href="https://www.ithome.com.tw/news/176044" style="font-weight: bold;">PinTheft</a>，以及<strong><a href="https://www.ithome.com.tw/news/176047">CVE-2026-46333</a>等，如今又有新的</strong>Linux系統核心本機權限提升漏洞揭露。</p> <p>資安研究員Asim Manizada<strong><a href="https://heyitsas.im/posts/cifswitch/">揭露資安漏洞CIFSwitch</a></strong>，漏洞源於CIFS與使用者空間輔助工具（cifs-utils）交互的過程，Linux核心未驗證金鑰描述來源，導致攻擊者可偽造描述並啟動具有root權限的輔助程式，此問題的核心，在於cifs.spnego金鑰類型未強制檢查描述合法性，允許非核心來源的描述，攻擊者可透過request_key()提供假描述，讓root輔助工具在攻擊者命名空間（namespace）執行，並透過NSS模組載入惡意程式碼。Manizada指出，這項問題自2007年被引入，影響許多採用6.14版以上Linux核心的發行版，再者，他也提及開發團隊在其他漏洞修補的過程裡，也可能將這項弱點引入舊版作業系統。</p> <p>對於CIFSwitch的影響範圍，涵蓋採用Cinnamon桌面環境的Linux Mint、搭載GNOME桌面環境CentOS Stream 9、Rocky Linux 9、Kali Linux、AlmaLinux、SUSE Linux Enterprise Server for SAP Applications（SLES for SAP）15/16，且在預設的SELinux或AppArmor資安防護配置下，存在相關風險；部分發行版如：Ubuntu 26.04、Fedora 40+、CentOS Stream 10、openSUSE Leap 16，則因預設安全政策阻擋，不受CIFSwitch影響。</p> </div></div></div>
5/29 12:38作者周峻佑https://www.ithome.com.tw/news/176209
AI伺服器需求強勁，Dell首季營收成長88%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國電腦與伺服器大廠<a href="https://www.businesswire.com/news/home/20260528449392/en/Dell-Technologies-Delivers-First-Quarter-Fiscal-2027-Financial-Results" target="_blank">Dell Technologies周四（5/28）公布</a>截至5月1日的2027會計年度第一季財報，受惠於AI伺服器需求持續成長，單季營收達438億美元，比去年同期增加88%，創下2018年重新上市以來最快成長速度。調整後每股盈餘（EPS）4.86美元，也優於市場預期的2.94美元。財報發布當天，Dell盤後股價大漲近42%，達到450美元。</p> <p>Dell表示，該季取得244億美元的AI相關訂單，並認列161億美元AI伺服器營收，顯示AI伺服器需求不只推升當季業績，也持續累積未來出貨動能。目前該公司已擁有超過5,000家AI伺服器客戶，涵蓋新興雲端服務商（Neocloud）、主權AI計畫及企業客戶。</p> <p>從業務結構來看，負責伺服器、儲存與網路設備的基礎設施解決方案事業群（Infrastructure Solutions Group，ISG）營收為290億美元，比去年同期成長181%。其中，AI伺服器貢獻161億美元，成長757%，傳統伺服器與網路設備營收為85億美元，成長92%；儲存設備營收為43億美元，成長8%。</p> <p>另一方面，涵蓋PC與周邊設備的客戶端解決方案事業群（Client Solutions Group，CSG）營收為146億美元，成長17%。其中，商用PC營收為130億美元，消費性PC營收則是16億美元。</p> <p>受AI需求帶動，Dell同步上調全年展望，預估2027財年AI伺服器營收將達600億美元，高於今年2月預估的500億美元；全年總營收則上調至1,650億至1,690億美元區間。</p> <p>Dell副董事長兼營運長Jeff Clarke表示，AI需求正從模型訓練擴展至推論與代理人（Agentic）工作負載，但下半年仍可能面臨記憶體、CPU及硬碟等零組件供應吃緊問題。</p> </div></div></div>
5/29 15:06作者陳曉莉https://www.ithome.com.tw/news/176218
氣象署導入AI預報模型展現初步成果，10分鐘可快速模擬颱風動態，預報精度跨越4年進展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>天氣預報不只是民眾每天生活的參考依據，對於颱風、降雨量的氣象預測也是政府因應極端氣象的重要防救災依據，中央氣象署今天(5/29)向行政院長卓榮泰展現我國AI氣象科技的發展成果。氣象署長呂國臣表示，AI將改變傳統的氣象預報模式，從CPU物理模擬走向GPU資料驅動發展，10分鐘就能完成颱風模擬。</p> <p>極端氣候及複合型的災害已逐漸成為常態，以過去6年為例，臺灣氣候型態劇烈變化，前3年沒有颱風登陸，導致嚴重乾旱；後3年則有11個颱風侵襲臺灣。部分颱風出現異常路徑，例如從高雄登陸造成非典型的災害。而東部地震、堰塞湖與颱風降雨交互影響之下，形成複合型災害。</p> <p>呂國臣表示，2023年除了生成式AI爆發之外，全球氣象AI模型也快速成熟，包括Google、微軟、Nvidia，甚至是歐洲中期預報中心（ECMWF）等機構，都已投入AI氣象模式研發。聯合國科學界甚至形容，未來天氣預報將迎來一場「革命」。</p> <p>傳統天氣預報主要依靠觀測資料與CPU運算的物理模式，但需要花費數個小時來模擬大氣變化；而新一代的AI氣象模式改以資料驅動、GPU運算為核心，透過機器學習快速推演未來天氣發展。</p> <p>因此，氣象署也重新思考整體技術架構，包括硬體算力、GPU設備、資料治理與AI人才培育等問題。</p> <p><span style="color:#B22222;"><strong>導入15套AI模型，颱風模擬時間縮短至10分鐘</strong></span></p> <p>從2024年開始，氣象署導入15套AI全球氣象模式，率先應用於颱風預報。</p> <p>呂國臣指出，傳統颱風模式一次模擬往往需要3、4小時，但AI模式能在10分鐘內完成預報，大幅提升決策時效。</p> <p>氣象署分析Google、Microsoft、NVIDIA等模型後發現，在3至5天的颱風路徑預測上，AI模式的誤差已明顯優於傳統物理模式。</p> <p>AI模式應用測試至今，已有一些小成果，氣象署以2024年的凱米颱風為重要實戰案例。在颱風生成初期，AI模式便提前5天預測颱風將接近臺灣東北部，而當時的傳統歐洲物理模式仍判斷颱風將北轉琉球。</p> <p>另外，氣象署結合高速電腦的小區域模式，提前2天預估南高屏山區可能出現超過1,800毫米降雨，地方政府提前撤離山區居民。</p> <p>呂國臣表示，凱米颱風後續累積雨量接近莫拉克等級，AI模式已在實際防災上展現高度價值。</p> <p><strong><span style="color:#B22222;">AI導入後，預報誤差下降率提升至12%</span></strong></p> <p>除了預測時間縮短，呂國臣指出，過去臺灣氣象預報能力每年平均進步約2.7%，但自導入AI模式後，2024年開始預報誤差下降率已達12%。「等於一次跨越未來4年的進步」。</p> <p>除了颱風路徑，AI模式也已應用於短延時強降雨、山區豪雨與強風等情境模擬。</p> <p>例如氣象署與Nvidia合作進行高解析度降尺度實驗，利用全球模式資料推估臺灣局部強風與降雨變化，希望進一步提升局部劇烈天氣預測能力。</p> <p><strong><span style="color:#B22222;">提升AI預報品質的背後，資料清理與觀測品質是基礎</span></strong></p> <p>不過，呂國臣坦言，目前AI模型能否發揮效益，關鍵在於資料品質。</p> <p>他指出，氣象署目前正大規模整理過去15年的雷達觀測資料，進行資料清洗、去雜訊與重建，建立可供AI訓練使用的資料集。</p> <p>這並不是一件簡單的工作，以雷達資料為例，每10分鐘便會產生一筆雷達觀測資料，累積資料量相當龐大。未來還將整合，海象雷達、海面觀測、陸域氣象站、空域觀測，建立「全域陸海空聯合觀測」資料基礎。</p> <p>呂國臣強調，這些觀測資料將成為臺灣自己的「觀測資料DNA」，也是發展本土化AI氣象模式的重要基礎。</p> <p><span style="color:#B22222;"><strong>啟動9年高速運算計畫，將打造新竹氣象科學園區</strong></span></p> <p>因應AI氣象模型對GPU與高速運算需求增加，氣象署也同步推動新一代高速電腦計畫。</p> <p>目前氣象署規畫以9年、3期方式，建置第7、8、9代高速電腦，目標將算力從現有12 PF（Petaflops）提升至85 PF。</p> <p>預報解析度也希望從目前3公里提升至1公里以下，進一步從「鄉鎮級」預報走向「村里級」預報。</p> <p>目前正在採購第7代高速電腦，未來第8、9代電腦將會規畫設置於新竹氣象科學園區，並納入大型GPU運算與節能機房設計。</p> <p><span style="color:#B22222;"><strong>AI氣象資料將成防災與氣候調適核心Data Hub</strong></span></p> <p>氣象署表示，未來AI氣象系統不用於天氣預報服務，也會進一步支援我國的防災、基礎建設與氣候變遷調適。</p> <p>目前氣象署已與國網中心、國研院、臺大、清大，以及Google、NVIDIA、美國NCAR等單位合作，希望建立臺灣自己的AI氣象技術與人才體系。</p> <p>呂國臣表示，未來希望將AI氣象資料進一步發展成國家級Data Hub，成為臺灣推動永續治理與防災韌性的核心基礎設施。</p> <p> </p> </div></div></div>
5/29 15:17作者蘇文彬https://www.ithome.com.tw/news/176214
Artificial Analysis與IBM推出ITBench-AA，先進AI模型企業IT維運任務得分仍不到5成
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a data-saferedirecturl="https://www.google.com/url?q=https://www.linkedin.com/pulse/artificial-analysis-ibm-research-launching-itbench-aa-20oqc/?trackingId%3DdML7fQCVKaqnXweLQMuEhA%253D%253D&source=gmail&ust=1780114529864000&usg=AOvVaw29r_UKHGCvj8JM2QObwGUg" href="https://www.linkedin.com/pulse/artificial-analysis-ibm-research-launching-itbench-aa-20oqc/?trackingId=dML7fQCVKaqnXweLQMuEhA%3D%3D" target="_blank">AI模型評測業者Artificial Analysis與科技大廠IBM推出企業IT任務基準測試IT<wbr></wbr>Bench-AA</a>，首波聚焦網站可靠性工程（Site Reliability Engineering，SRE）情境，<wbr></wbr>針對Kubernetes容器叢集事件，<wbr></wbr>評估AI代理是否能透過日誌、指標、追蹤資料與系統拓撲，<wbr></wbr>判斷造成服務異常的根本原因。ITBench-AA結果顯示，<wbr></wbr>即使是目前先進AI模型，<wbr></wbr>在這類企業IT維運任務的最高得分仍低於50%。</p> <p>ITBench-AA是Artificial Analysis與IBM合作開發的新系列AI模型評測項目，<a data-saferedirecturl="https://www.google.com/url?q=https://research.ibm.com/publications/developing-ai-agents-for-it-automation-tasks-with-itbench&source=gmail&ust=1780114529864000&usg=AOvVaw2coE6hD3EDJpqgTE1DtCpt" href="https://research.ibm.com/publications/developing-ai-agents-for-it-automation-tasks-with-itbench" target="_blank">其<wbr></wbr>底層資料集由IBM軟體創新實驗室（IBM Software Innovation Lab）建立</a>，並納入IBM在企業IT維運與事件處理上的經驗。<wbr></wbr>雙方表示，這項評測先從SRE任務開始，後續將擴展到財務營運（<wbr></wbr>FinOps）與資訊安全長（CISO）相關情境。</p> <p>首波ITBench-AA SRE共包含59項任務，其中40項為公開任務，<wbr></wbr>19項為未公開的保留測試任務。<wbr></wbr>每項任務都提供一份Kubernetes事件快照（<wbr></wbr>incident snapshot），內容涵蓋警示（alerts）、事件（events）、<wbr></wbr>追蹤資料、效能指標、日誌與應用程式拓撲。受測模型必須從這些資料中，<wbr></wbr>找出導致事件的最小且彼此獨立的Kubernetes根本原因實<wbr></wbr>體，例如Deployment、<wbr></wbr>Service或Pod等叢集資源。</p> <p>ITBench-AA採用Artificial Analysis開源的Stirrup參考框架。<wbr></wbr>Stirrup是一套讓AI代理檢查離線Kubernetes事<wbr></wbr>件快照，並輸出結構化診斷結果的測試環境。<wbr></wbr>模型可透過Shell存取沙箱檔案系統中的事件資料，<wbr></wbr>每項任務最多可執行100個回合，並重複測試3次。<wbr></wbr>評分方式採完整召回下的平均精確率，<wbr></wbr>也就是模型必須先找齊所有標準答案中的根本原因；<wbr></wbr>若漏掉任何一項，該次測試即得0分，若全部找出，<wbr></wbr>則再依其提交結果中真正屬於根本原因的比例計分。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0529-Stirrup.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源/Artificial Analysis</span></span></p> <p>ITBench-AA SRE評測結果顯示，Claude Opus 4.7以47%得分居首，其次為GPT-5.5的46%，<wbr></wbr>以及Qwen3.7 Max的42%。在開放權重模型方面，GLM-5.1以40%<wbr></wbr>得分領先，DeepSeek V4 Pro為38%，Gemma 4 31B為37%。Artificial Analysis指出，所有先進AI模型的得分皆低於50%，<wbr></wbr>也反映現階段AI代理面對複雜的企業IT維運事件時，<wbr></wbr>仍不容易準確判斷真正造成故障的根本原因。</p> <p>評測結果也顯示，AI代理調查步驟愈多，<wbr></wbr>不一定能提高判斷準確度。GPT-5.<wbr></wbr>5平均每項任務使用31個回合，得分46%；Google Gemini 3.1 Pro Preview平均使用83個回合，得分30%。<wbr></wbr>Artificial Analysis認為，其中，發生過度調查（over-investigate）<wbr></wbr>狀況的模型，<wbr></wbr>容易把用來觸發故障的上游機制或事件發生時同時出現的症狀，<wbr></wbr>誤判為真正根本原因，而將不相關項目納入答案。</p> <p>ITBench-AA也比較各模型執行每項任務的平均成本。<wbr></wbr>Artificial Analysis指出，Gemma 4 31B得分37%，每項任務成本為0.14美元，<wbr></wbr>在分數與成本上都優於Gemini 3.1 Pro Preview，後者得分30%、每項任務成本為2.23美元。<wbr></wbr>GLM-5.1得分40%，每項任務成本為1.23美元，<wbr></wbr>分數與Gemini 3.5 Flash相當，但成本低於Gemini 3.5 Flash的1.70美元。Claude Opus 4.7以47%得分位居第一，但每項任務成本為5.38美元，<wbr></wbr>也是這次比較中成本最高的模型。</p> </div></div></div>
5/29 13:34作者王珮瑤https://www.ithome.com.tw/news/176212
Anthropic完成650億美元的H輪融資，估值近1兆美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.anthropic.com/news/series-h" target="_blank">Anthropic週四（5/28）宣布完成650億美元H輪融資</a>，公司投後估值達9,650億美元。Anthropic表示，這筆資金將用於推動AI安全與可解釋性研究、擴充Claude所需運算資源，以及擴大產品與合作夥伴生態系。</p> <p>Anthropic透露，自今年2月完成G輪融資以來，Claude在全球企業市場的採用持續成長，本月稍早年化營收（Run-rate Revenue）已突破470億美元。隨著企業客戶與日常使用者數量增加，公司也正加速擴充AI基礎設施，以支撐模型訓練與推論需求。</p> <p>Anthropic表示，近幾週已大幅增加運算能力，包括與Amazon簽署最高5GW新資料中心容量協議；與Google及Broadcom合作取得5GW下一代TPU運算資源；以及透過SpaceX取得Colossus 1與Colossus 2超級電腦的GPU容量。</p> <p>此外，Micron、Samsung及SK hynix等記憶體與儲存晶片供應商也加入成為策略性基礎設施合作夥伴。Anthropic指出，這些合作將有助於確保未來擴充運算能力所需的記憶體、儲存與邏輯晶片供應。</p> <p>本輪融資由Altimeter Capital、Dragoneer、Greenoaks與Sequoia Capital領投，Capital Group、Coatue、D1 Capital Partners、GIC、ICONIQ及XN等機構共同參與。Anthropic表示，融資金額中亦包含超大型雲端業者（Hyperscalers）先前承諾的150億美元投資，其中包括Amazon投入的50億美元。</p> <p>這也讓Anthropic的估值超越OpenAI。<a href="https://www.ithome.com.tw/news/174821" target="_blank">OpenAI今年3月完成融資後</a>的投後估值為8,520億美元，顯示先進AI公司的競爭已不只在模型能力，也延伸至算力、企業市場布局與資金實力。</p> </div></div></div>
5/29 13:45作者陳曉莉https://www.ithome.com.tw/news/176213
FortiClient EMS被鎖定，駭客假借提供修補程式散布竊資軟體EKZ Infostealer
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安公司Fortinet於4月4日<strong><a href="https://www.ithome.com.tw/news/174874">發布端點管理平臺FortiClient EMS更新</a></strong>，修補重大等級的資安漏洞CVE-2026-35616，並表示已掌握漏洞遭利用的跡象，本週有資安公司公布新一波攻擊活動，攻擊者企圖向納入該系統管理的端點電腦部署惡意程式。</p> <p>Arctic Wolf於今年5月發現<strong><a href="https://arcticwolf.com/resources/blog/forticlient-ems-exploited-via-cve-2026-35616-to-deliver-ekz-infostealer-disguised-as-a-fortinet-patch/">最新一波惡意活動</a></strong>，駭客利用CVE-2026-35616，針對透過FortiClient EMS管理的端點裝置傳送竊資軟體EKZ Infostealer，此惡意程式的有效酬載被偽裝成Fortinet端點更新檔案（修補程式），但實際的功能是從瀏覽器竊取帳密資料。一旦執行，電腦就會在背景執行PowerShell，並啟動惡意執行檔，發起一系列攻擊流程。由於駭客濫用FortiClient EMS的管理機制，以類似一般管理者操作的方式，向列管的端點電腦推送惡意PowerShell指令碼，因此他們無須個別滲透所有的端點電腦。</p> <p>EKZ Infostealer以MinGW編譯而成，可從Chrome、Edge等以Chromium為基礎的瀏覽器，以及Firefox與其他採用Gecko排版引擎的瀏覽器擷取資料，內容涵蓋憑證、cookie，以及自動輸入的資料，一旦攻擊者取得這些內容，就有機會存取雲端服務、內部應用程式，以及其他資源，甚至能藉由連線階段（session）的資料繞過多因素驗證（MFA）流程。</p> </div></div></div>
5/29 13:48作者周峻佑https://www.ithome.com.tw/news/176207
Hadrian開源AI漏洞研究框架OpenHack，可搭配Claude Code與Cursor執行白箱安全審查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>荷蘭資安公司<a href="https://hadrian.io/blog/hadrian-releases-openhack-an-open-source-tool-for-ai-powered-code-review" target="_blank">Hadrian上周宣布</a>開源<a href="https://github.com/hadriansecurity/OpenHack" target="_blank">AI漏洞研究框架OpenHack</a>，透過多代理人（Multi-Agent）工作流程協助研究人員自動化執行原始碼安全審查與白箱滲透測試（White-box Pentesting）。</p> <p>Hadrian成立於2021年，總部位於荷蘭阿姆斯特丹，主要提供攻擊面管理（Attack Surface Management，ASM）與自動化滲透測試服務。所謂的白箱安全審查，是指在能夠存取原始碼的情況下，直接分析程式邏輯與設計缺陷，以尋找安全漏洞。</p> <p>該研究團隊先前即曾利用與OpenHack類似的方法，分析荷蘭政府機關使用的十多個開源應用程式，在數小時內發現數百項漏洞，其中最嚴重的一項重大漏洞曝露伺服器憑證，並可進一步存取底層Azure資料庫。OpenHack即是將這套AI輔助漏洞研究流程整理後開源，讓資安社群能以較低成本進行類似的原始碼安全審查。</p> <p>Hadrian指出，許多人在利用大型語言模型（LLM）進行安全分析時，會直接要求模型閱讀整個程式碼庫並找出漏洞，但這種方式經常產生大量誤判。模型可能提出不存在的漏洞、錯誤解釋真實漏洞，或產生看似合理卻無法驗證的結果，導致研究人員花費大量時間進行人工複核。</p> <p>為了解決上述問題，OpenHack採用以情境（Scenario）為核心的多代理人工作流程。系統先由偵察代理人（Recon Agent）找出可能的攻擊面，再由路由代理人（Router Agent）將其轉換為特定測試情境，接著交由專門負責不同漏洞類型的專家代理人（Expert Agent）進行驗證，最後再由獨立的複核代理人（Triage Agent）重新審查結果。</p> <p>OpenHack最大的特色在於提出漏洞的代理人無法自行確認漏洞成立，而必須經過另一個獨立代理人的驗證，同時每個階段都需取得人工批准。OpenHack目前支援Claude Code、Codex與Cursor等AI程式代理工具。</p> <p>OpenHack也內建12種對應OWASP Top 10 2025與MITRE CWE的安全專家代理人，涵蓋權限控管、注入攻擊（Injection）、密碼學錯誤、供應鏈安全及路徑穿越等常見漏洞類型。此外，系統會將偵察結果、測試情境、候選漏洞、複核決策與最終報告保存為一般檔案，讓整個漏洞研究流程可追蹤與稽核。</p> <p><a href="https://www.helpnetsecurity.com/2026/05/25/openhack-open-source-ai-powered-vulnerability-research/" target="_blank">Help Net Security分析</a>，隨著Claude Code、Codex與Cursor等AI程式代理工具逐漸普及，原始碼導向的漏洞研究也愈來愈仰賴代理人執行程式碼審查。OpenHack則將這類流程包裝成可在不同工具中執行的檔案化工作空間，強調可追蹤、多代理人分工與獨立複核。</p> </div></div></div>
5/29 12:48作者陳曉莉https://www.ithome.com.tw/news/176210
因應AI加速網路攻擊，印度要求企業組織在漏洞公布12小時內完成修補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>因應AI加快駭客發現及攻擊軟體漏洞，印度網路安全主管機關CERT-In發布命令，要求企業在漏洞公布12小時內應完成修補。</p> <p><a href="https://www.cert-in.org.in/s2cMainServlet?pageid=GUIDLNVIEW02&refcode=CISG-2026-02" target="_blank">CERT-In發布38頁的最新指導方針文件（CISG-2026-02）說明</a>，AI輔助的工具加速攻擊者尋找、武器化和濫用漏洞、曝露服務、弱點、不安全API和配置錯誤系統，新一代攻擊時間大幅縮短，伴隨自主化攻擊出現，漏洞公開後數小時內就被武器化會變成常態。</p> <p>CERT-In相信傳統數週的修補週期已不具備防禦力，並提出極嚴格的修補時間要求。其中，若得知風險值9.0的重大漏洞或是影響內部系統的已知漏洞，應於24小時內修補，已遭公開利用（Known Exploited）且暴露在網際網路上的「核心關鍵資產（Crown Jewel）」系統，更須在發現後12小時內進行修補、緩解或隔離。其他高價值系統的關鍵漏洞應於3天內修補，高風險（High）的一般漏洞則須於5天內完成。</p> <p>印度官方並重申現有要求，所有組織與企業一旦偵測到或意識到資安事件發生時，必須在6小時內向CERT-In通報。</p> <p>其次，印度官方要求組織採取零信任（Zero Trust）架構、全面導入多因素驗證（MFA）、最小權限管理、硬體身分驗證，以及內網微分段（micro-segmentation），避免駭客攻破一臺主機後在整個網路橫向移動。文件也點名舊式VPN與遠端存取設備是高風險入口，建議強化或淘汰。</p> <p>CERT-In也鼓勵企業使用AI防禦工具，例如AI漏洞偵測或攻擊表面（attack surface）分析。此外，也要求企業定期進行AI輔助攻擊的安全教育，深偽（deepfake）辨識教育、AI紅隊演練（red teaming）等。</p> <p><a href="https://www.theregister.com/security/2026/05/27/cert-in-professes-12-hour-patching-for-ai-assisted-attacks/5247009" target="_blank">The Register引述資安專家表示</a>，12小時實在太短，不足以完成修補程式的測試和部署。</p> <p>但是也有資安專家認為，這類法規不無道理，因為AI出現後，駭客可能在幾小時內就可以發現並攻擊，新法規迫使組織必須重新調整其安全策略，使其轉向持續性防禦態勢（posture）。</p> </div></div></div>
5/29 12:59作者林妍溱https://www.ithome.com.tw/news/176211
IBM與Red Hat推出企業開源軟體供應鏈安全服務Project Lightwell，標榜AI輔助第三方套件漏洞修補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a data-saferedirecturl="https://www.google.com/url?q=https://newsroom.ibm.com/2026-05-28-ibm-and-red-hat-commit-5-billion-to-redefine-the-future-of-open-source-in-the-ai-era&source=gmail&ust=1780104758727000&usg=AOvVaw1BV4Hr0JAQ7yIpka7yeCfo" href="https://newsroom.ibm.com/2026-05-28-ibm-and-red-hat-commit-5-billion-to-redefine-the-future-of-open-source-in-the-ai-era" target="_blank">IBM</a>與<a data-saferedirecturl="https://www.google.com/url?q=https://www.redhat.com/en/about/press-releases/project-lightwell-secure-open-source&source=gmail&ust=1780104758727000&usg=AOvVaw0LWVm0GBDBAr6hKA2GXqhF" href="https://www.redhat.com/en/about/press-releases/project-lightwell-secure-open-source" target="_blank">Red Hat（紅帽）</a>合作推出企業開放原始碼軟體供應鏈安全服務Pro<wbr></wbr>ject Lightwell，標榜結合AI輔助漏洞分析，<wbr></wbr>協助企業處理第三方開放原始碼套件漏洞，<wbr></wbr>並將已驗證的修補整合至既有軟體供應鏈。</p> <p>這項服務延伸IBM與紅帽過去在Red Hat Enterprise Linux、OpenShift等企業開源平臺上的維護模式，<wbr></wbr>將過去針對平臺內開放原始碼元件提供的生命週期管理、<wbr></wbr>漏洞修補驗證與發布工程（release engineering），<wbr></wbr>擴大到企業應用程式常用的第三方開放原始碼函式庫、<wbr></wbr>程式語言工具鏈、AI框架與資料串流平臺。IBM與紅帽表示，<wbr></wbr>Project Lightwell將透過商業訂閱方式提供相關能力，<wbr></wbr>讓企業能將這類套件漏洞修補納入既有的軟體供應鏈管理流程。</p> <p>Project Lightwell鎖定的問題，<wbr></wbr>是如何把漏洞發現轉化為企業可實際部署的修補成果。<wbr></wbr>依IBM說明，企業可在可信任的中介框架下，<wbr></wbr>回報實際使用版本中發現的敏感安全問題；<wbr></wbr>IBM與紅帽則結合工程團隊與AI能力，<wbr></wbr>針對企業實際使用的開放原始碼套件版本，進行漏洞審查、分流、<wbr></wbr>優先排序、修補開發與驗證，<wbr></wbr>並交付針對正式環境最佳化的已驗證修補，<wbr></wbr>涵蓋紅帽產品與獨立社群程式碼。</p> <p>Project Lightwell也把上游通報與修正協調納入運作流程，<wbr></wbr>讓IBM與紅帽在完成企業所需的套件漏洞修補後，<wbr></wbr>可將相關修正內容回饋給上游開放原始碼社群，<wbr></wbr>供社群納入後續長期維護。<wbr></wbr>這種模式讓企業可委託IBM與紅帽處理關鍵安全問題，<wbr></wbr>同時透過負責任揭露，降低企業自行維護修補分支的負擔，<wbr></wbr>並強化整體開源生態系。</p> <p>IBM並將Project Lightwell定位為既有漏洞掃描與程式碼安全工具的補強，<wbr></wbr>而非取代Snyk、Sonatype、GitHub Advanced Security等工具。其差異在於，Project Lightwell交付的是針對企業既有套件版本完成修補、<wbr></wbr>具備簽章驗證且納入服務水準協議（SLA）的套件，<wbr></wbr>協助企業從發現漏洞進一步進入可部署到正式環境的修補階段。</p> <p>Project Lightwell的設計也參考<a data-saferedirecturl="https://www.google.com/url?q=https://www.anthropic.com/glasswing&source=gmail&ust=1780104758727000&usg=AOvVaw2DZwbdRMZB5dfNZbGxawis" href="https://www.anthropic.com/glasswing" target="_blank">Anthropic Project Glasswing</a>與<a data-saferedirecturl="https://www.google.com/url?q=https://openai.com/zh-Hant/index/trusted-access-for-cyber/&source=gmail&ust=1780104758727000&usg=AOvVaw17vguOTr8oab4dEtS1fHxZ" href="https://openai.com/zh-Hant/index/trusted-access-for-cyber/" target="_blank">OpenAI Trusted Access for Cyber</a>等計畫經驗，<wbr></wbr>IBM希望藉此把代理式安全技術用於開放原始碼套件風險管理，<wbr></wbr>協助企業保護支撐現代應用程式與AI系統的基礎開放原始碼元件。<wbr></wbr>技術支援範圍方面，<a data-saferedirecturl="https://www.google.com/url?q=https://www.ibm.com/products/lightwell&source=gmail&ust=1780104758727000&usg=AOvVaw2ssciZGYWL0JE354HcHBl7" href="https://www.ibm.com/products/lightwell" target="_blank">Project Lightwell</a>初期鎖定Maven與Java生態系，<wbr></wbr>未來預計擴展至PyPI、NPM、Go等更多套件生態系。</p> <p>IBM與紅帽已與一批早期採用企業合作，包括Bank of America、Goldman Sachs、JPMorganChase、<wbr></wbr>Mastercard、Morgan Stanley、Royal Bank of Canada、Visa與Wells Fargo等。雙方表示，這些初期部署經驗，<wbr></wbr>將作為Project Lightwell在複雜軟體供應鏈中，大規模識別、<wbr></wbr>驗證與修補開放原始碼套件漏洞的參考。</p> </div></div></div>
5/29 11:33作者王珮瑤https://www.ithome.com.tw/news/176206
美物流業者SpeedX敏感資料庫網上曝光，內含8.4億筆消費者、司機資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國最後一哩（Last Mile）電商物流業者SpeedX（極速達）一個內含超過8.4億筆送貨資料的雲端儲存桶，被發現因配置問題曝露於網路上，可能影響電商客戶、包裹及送貨司機。研究人員相信可能是歷來最大的資料外洩案之一。</p> <p>SpeedX成立於2022年，是一家由華人在美國創立的技術驅動電子商務物流公司，多個城市設有據點。其核心業務專注於電商「最後一哩」（Last Mile）配送解決方案，核心業務是將Amazon、Temu、TikTok Shop等電商平臺及SHEIN等快時尚商品寄往美國及全球市場，最多曾一天處理35萬到40萬件商品。</p> <p><a href="https://cybernews.com/security/speedx-delivery-data-leak-840-million-exposed/" target="_blank">資安媒體Cybernews報導</a>，該公司研究人員三月間發現一個屬於SpeedX的Microsoft Azure儲存桶曝露於網際網路上。問題出於該公司的Azure Blob儲存桶配置設定為公開，任何只要知道該儲存桶名稱的人，無需特定權限或路徑即可直接存取。這個儲存桶內含包裹相關的資料超過8.4億份檔案，可能成為有史以來最大規模的物流資料外洩事件之一。</p> <p>分析SpeedX公開的資料庫，大部分是和其運送包裹相關資訊。該資料庫內有11個資料群組，最大的群組包含近6.2億個檔案，次大為2.2億個。這些檔案包含包裹資訊如收件人姓名、住址、住家照片、出貨標籤、送貨司機證件、SpeedX App憑證等。另一包括380萬檔案的群組，則包含商品訂單追蹤碼、零售商、配銷機構住址及收件人資訊。</p> <p>研究人員相信這些資料可能涉及美國各地的網購消費者以及該公司的外送司機。此外，加拿大合作夥伴Raven Force Couriers的部分物流標籤也包含在內。</p> <p>SpeedX已於2026年5月11日關閉該儲存桶公開存取管道。SpeedX宣稱，經調查未發現資料被惡意外流或濫用的證據。</p> </div></div></div>
5/29 12:11作者林妍溱https://www.ithome.com.tw/news/176208
Gogs存在尚未修補的零時差漏洞，攻擊者可用於遠端執行任意程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>談到自建Git程式碼版本管理系統，除了GitHub與GitLab，許多開發團隊採用主打輕量化的Gogs，近日資安公司Rapid7表示，兩個月前他們向Gogs開發團隊通報的重大漏洞，迄今尚未修補，並警告一旦攻擊者成功利用此漏洞，就可能入侵伺服器、跨租戶竊取資料與身分憑證、橫向移動，甚至發動供應鏈攻擊。</p> <p>資安公司Rapid7<strong><a href="https://www.rapid7.com/blog/post/ve-authenticated-rce-via-argument-injection-gogs-unfixed/">發布部落格文章</a></strong>提出警告，這個被歸類為參數注入（argument injection）漏洞，Rapid7是在3月下旬找到，通過身分驗證的攻擊者，可藉此在合併前重設程式碼基礎（Rebase before merging）的操作流程中，建立具有惡意分支（branch）名稱的拉取請求，之後就有機會遠端執行任意程式碼（RCE），無須事先取得管理員權限，利用漏洞的過程也不需與使用者互動，甚至能完全自動化執行，CVSS v4.0評分達到9.4（滿分10分），該弱點目前尚未登記CVE編號。由於Gogs開發團隊尚未進行修補，他們呼籲用戶應採取行動因應，包括：限制用戶註冊與建立儲存庫，以及審核合併及重設程式碼基礎的組態設定。</p> <p>關於漏洞的影響範圍，Rapid7指出，無論在Windows、macOS、Linux作業系統上建置，以及採用預先組建二進位檔、Docker或用原始碼等安裝方式的Gog，都無法例外；而在Gog的版本上，他們驗證0.14.2版與0.15.0+dev都存在相同的資安風險——他們在Ubuntu 24.04架設Docker環境，並建置最新的0.14.2版Gogs成功驗證此漏洞，並發現測試版本0.15.0+dev也存在相同的資安風險。</p> </div></div></div>
5/29 12:19作者周峻佑https://www.ithome.com.tw/news/176202
GitLab 19.0推出SBOM相依性掃描，鎖定間接相依套件的漏洞風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>第三方套件與AI產生的程式碼大量進入企業專案，<wbr></wbr>也讓軟體供應鏈風險更難追蹤。DevSecOps平臺業者Git<wbr></wbr>Lab於5月26日說明GitLab 19.0的新功能，<a data-saferedirecturl="https://www.google.com/url?q=https://about.gitlab.com/blog/sbom-based-dependency-scanning/&source=gmail&ust=1780104758723000&usg=AOvVaw3ZZwZK4-Q9h8taUbKPebPw" href="https://about.gitlab.com/blog/sbom-based-dependency-scanning/" target="_blank">正式推出以軟體物料清單（Software Bill of Materials，SBOM）為基礎的相依性掃描（depen<wbr></wbr>dency scanning）</a>，協助企業盤點直接與間接相依套件，<wbr></wbr>追蹤有漏洞套件如何進入專案，<wbr></wbr>並依照程式碼的實際使用情況排定修補優先順序。</p> <p>GitLab指出，近期多起軟體供應鏈事件顯示，<wbr></wbr>單一套件一旦遭到入侵，可能連帶影響所有依賴該套件的專案。<wbr></wbr>另一方面，AI產生程式碼的應用增加，<wbr></wbr>也讓企業更難掌握程式碼與相依套件風險。<wbr></wbr>一般而言，傳統的相依性掃描工具，<wbr></wbr>包括GitLab既有的Gemnasium分析器，<wbr></wbr>主要用來檢查專案宣告使用的套件是否存在已被通用漏洞揭露（Common Vulnerabilities and Exposures，CVE）記錄的漏洞；<wbr></wbr>但在相依套件層級變深、軟體發布速度加快後，<wbr></wbr>企業還需要知道漏洞套件是透過哪一條相依鏈進入專案，<wbr></wbr>以及應用程式是否真的會使用到這些套件。</p> <p><a data-saferedirecturl="https://www.google.com/url?q=https://docs.gitlab.com/user/application_security/dependency_scanning/dependency_scanning_sbom/&source=gmail&ust=1780104758723000&usg=AOvVaw1sgJ4Y3BAH-sDAT1gvEHsF" href="https://docs.gitlab.com/user/application_security/dependency_scanning/dependency_scanning_sbom/" target="_blank">GitLab 19.0的SBOM相依性掃描分析器</a>，<wbr></wbr>會將專案使用的第三方函式庫與套件整理成SBOM，並以Cycl<wbr></wbr>oneDX格式輸出SBOM檔案，再與GitLab維護的漏洞資<wbr></wbr>料庫GitLab Advisory Database比對，標示已知漏洞。<wbr></wbr>掃描結果可顯示在合併請求（Merge Request，MR）、漏洞儀表板與報告中，<wbr></wbr>讓開發者能在程式碼發布前修正，<wbr></wbr>也讓資安團隊集中檢視不同專案的風險。CycloneDX是常用<wbr></wbr>於描述軟體元件清單與供應鏈資訊的機器可讀格式，可供GitLa<wbr></wbr>b內部流程、法規遵循報告或其他供應鏈安全工具使用。</p> <p>這項新功能的重點之一，是追蹤間接相依套件來源。GitLab舉<wbr></wbr>例，若library-a依賴library-b，而libra<wbr></wbr>ry-b又依賴有漏洞的library-c，<wbr></wbr>分析器會呈現這條相依路徑，協助團隊判斷應從哪一層套件介入。<wbr></wbr>針對Java、JavaScript／TypeScript與P<wbr></wbr>ython專案，<wbr></wbr>分析器也會檢查程式碼是否直接匯入或引用有漏洞套件，<wbr></wbr>區分哪些套件是程式碼可觸及的，哪些只是被間接帶入、<wbr></wbr>但未被應用程式引用，<wbr></wbr>讓團隊能把修補資源優先放在程式碼實際會用到的套件上。</p> <p>這項相依性掃描也支援持續風險檢查。GitLab文件指出，<wbr></wbr>當新的安全公告發布時，系統可針對已回報的SBOM元件進行持續<wbr></wbr>漏洞掃描；而在每次MR或管線（pipeline）執行時，<wbr></wbr>分析器也會重新檢查專案相依套件，<wbr></wbr>讓企業不只在導入套件或修改程式碼時掌握風險，<wbr></wbr>也能追蹤既有專案是否因後續發布的新漏洞公告而增加安全風險。<wbr></wbr>這項機制對於開發活動已放緩、<wbr></wbr>但仍在正式環境運作的專案尤其重要，因為即使程式碼沒有更新，<wbr></wbr>既有相依套件仍可能因新的安全公告而暴露於漏洞風險。</p> <p>此外，GitLab 19.0也提供相依性掃描的安全組態設定檔（security configuration profile），<wbr></wbr>讓資安與平臺團隊能以標準化設定集中管理掃描規則，<wbr></wbr>並一次套用到多個專案，減少逐一調整每個專案管線設定的負擔。</p> <p>GitLab表示，SBOM相依性掃描功能提供給GitLab Ultimate客戶，已在GitLab.com上線，<wbr></wbr>並依標準發布時程提供給GitLab Dedicated與自行管理部署用戶。</p> </div></div></div>
5/29 10:40作者王珮瑤https://www.ithome.com.tw/news/176203
Waymo推出新一代Robotaxi車款Ojai，搭載第6代自駕系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Alphabet旗下自駕車公司<a href="https://waymo.com/blog/2026/05/welcoming-riders-in-the-ojai/" target="_blank">Waymo周四（5/28）宣布推出新一代Robotaxi車款Ojai</a>，並將於未來數周開放首批一般乘客試乘。Ojai搭載第6代Waymo Driver自動駕駛系統，首波將在舊金山、鳳凰城與洛杉磯開放部分乘客免費試乘，成為Waymo One自駕叫車服務的新一代車款。</p> <p>Waymo過去主要是將自動駕駛系統整合至既有車款，包括早期使用的Chrysler Pacifica Hybrid，以及目前商用車隊主力Jaguar I-PACE電動休旅車。相較之下，Ojai是Waymo新一代專為Robotaxi服務打造的車款，車艙從乘客體驗出發重新設計，採用類似電梯的側滑車門、低踏板與全平地板，並配置3個大型LED螢幕，讓乘客可調整空調與音樂等設定。</p> <p>在無障礙設計方面，Ojai亦整合多項輔助功能，包括點字標示、螢幕閱讀器相容介面，以及座椅旁的輔助把手，以協助視障人士或行動不便乘客更順利地使用服務。</p> <p>雖然Ojai擁有全新的外觀與車艙設計，但其核心仍是Waymo最新一代自動駕駛平臺Waymo Driver。Waymo指出，第6代Waymo Driver可支援更多氣候與道路環境，包括較多降雪的城市，並有助於進一步擴大營運範圍。</p> <p><a href="https://techcrunch.com/2026/01/07/waymo-is-rebranding-its-zeekr-robotaxi/" target="_blank">根據TechCrunch報導</a>，Ojai的前身是Waymo與中國電動車品牌Zeekr共同開發的Zeekr RT。<a href="https://waymo.com/blog/2021/12/expanding-our-waymo-one-fleet-with/" target="_blank">Waymo早在2021年</a>即與Zeekr母公司吉利控股集團（Geely Holding Group）建立合作關係，雙方以Zeekr的SEA-M架構為基礎，開發專為Robotaxi等未來移動服務設計的車輛。Waymo亦於2025年的CES上展示Zeekr RT，並在2026年將其更名為Ojai。不過，Waymo在最新新聞稿中完全未提及吉利或Zeekr。</p> <p>Waymo表示，Ojai目前已接近正式商業化部署，首批Ojai試乘將先向舊金山、鳳凰城與洛杉磯部分用戶開放，後續也將擴展至丹佛、拉斯維加斯與聖地牙哥等城市。該公司同時正在亞利桑那州Mesa工廠擴大搭載Waymo Driver車輛的整合產能，以每年交付數萬輛為目標。</p> </div></div></div>
5/29 10:45作者陳曉莉https://www.ithome.com.tw/news/176204
遊輪旅行業者Carnival、有線電視業者Charter分別證實資料被竊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在勒索軟體駭客組織ShinyHunters宣稱自己的戰果後，全球最大遊輪營運業者Carnival及第三大美國有線電視業者Charter本周先後證實發生資料外洩事件。</p> <p><a href="https://www.ithome.com.tw/news/175316" target="_blank">ShinyHunters駭客4月份宣稱</a>竊得遊輪營運業者Carnival子公司荷美遊輪（Holland America）客戶資料，近一個月後，<a href="https://www.maine.gov/agviewer/content/ag/985235c7-cb95-4be2-8792-a1252b4f8318/d6729ef2-7bb3-42d3-abdd-99a1dd8f2415.html" target="_blank">本週Carnival透過向美國緬因州政府檢察長辦公室申報文件</a>證實此消息。Carnival同時間對消費者發出電子郵件通知。</p> <p>雖然資料外洩查詢服務Have I Been Pwned之前稱這波攻擊外洩870萬筆記錄、750萬人，<a href="https://www.maine.gov/agviewer/content/ag/985235c7-cb95-4be2-8792-a1252b4f8318/d6729ef2-7bb3-42d3-abdd-99a1dd8f2415.html" target="_blank">但根據緬因州政府記錄</a>，受影響人數為接近600萬人。</p> <p>Carnival並未說明外洩的客戶資料有哪些，但根據Have I Been Pwned資料顯示，攻擊者可能竊走了資料類型涵括姓名、出生日期、性別、電子郵件、地區、忠誠方案的客戶級別等。</p> <p><a href="https://ag.ny.gov/press-release/2022/attorney-general-james-recovers-125-million-consumers-affected-carnival-cruise" target="_blank">Carnival在2019年也曾發生客戶及員工資料外洩</a>，但是規模比這次小得多。當時受影響人數18萬人，2022年該公司以125萬美元和美國45州達成和解。</p> <p>同時間，美國第三大有線電視業者及第二大付費電視公司特許（Charter Communications）也<a href="https://www.bleepingcomputer.com/news/security/charter-confirms-data-breach-after-shinyhunters-extortion-threat/" target="_blank">向媒體Bleeping Computer證實</a>發生資料外洩事件。該公司表示得知狀況，將循公司資安規定通報主管機關。</p> <p>ShinyHunters上星期在其資料外洩網站公告，竊走了Charter 4000萬筆記錄。這群駭客聲稱是利用語音釣魚，騙走Charter一名員工的Microsoft Entra帳號，於4月1日從該公司的Salesforce執行個體中匯出資料。駭客聲稱取得的客戶資料包括姓名、電子郵件、住家地址、電話號碼、方案細節及部分客戶的專線資訊和技術支援工單資料。</p> <p>Charter雖然坦承有非授權存取資料的情形，但仍表示沒有敏感個資或客戶網路專線資訊（customer proprietary network information）因此外洩。</p> </div></div></div>
5/29 11:07作者林妍溱https://www.ithome.com.tw/news/176205
Google發布Chrome 148更新，修補逾150個資安漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>5月27日Google發布Chrome<strong><a href="https://chromereleases.googleblog.com/2026/05/stable-channel-update-for-desktop_0877304591.html">電腦版</a></strong>與<strong><a href="https://chromereleases.googleblog.com/2026/05/chrome-for-android-update_0815229315.html">Android版</a></strong>更新，一口氣修補了151個資安漏洞，數量較一週前的安全更新<strong><a href="https://www.ithome.com.tw/news/176039">修補16個漏洞</a></strong>多出不少。從危險程度來看，這次有22個重大漏洞、123個高風險漏洞，其餘6個評為中度風險。用戶應儘速更新，Windows版為148.0.7778.216或148.0.7778.217、macOS版為148.0.7778.215或148.0.7778.216，Linux與Android版為148.0.7778.215。</p> <p>從漏洞的類型來看，記憶體相關的漏洞仍是大宗，其中又以記憶體釋放後再存取利用（Use After Free）類型的弱點66個最多，數量超過本次修補漏洞的三分之一。未受信任的使用者輸入驗證不充分與不當實作類型的弱點，各有17與15個；記憶體越界寫入與讀取各有12個弱點，整數溢位類型弱點有11個。</p> <p>根據出現弱點的元件來看，ANGLE（Almost Native Graphics Layer Engine）有33個，數量位居第一，GPU、Skia、WebGL分別有12個、11個、9個。</p> </div></div></div>
5/29 10:19作者周峻佑https://www.ithome.com.tw/news/176201
逾100萬個WordPress網站受影響，Avada Builder外掛程式修補執行任意程式碼與SQL注入漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>擁有百萬等級部署規模的WordPress網站主題工具Avada，其附屬的圖形化頁面建構外掛程式Avada Builder，近日修補<strong><a href="https://avada.com/documentation/avada-changelog/">4項安全漏洞</a></strong>。考量到整個Avada生態系統擁有超過100萬個網站部署規模，因此，相關漏洞可能影響大量採用Avada的WordPress網站。Avada是WordPress平臺上具有高銷量的付費主題，很多用戶也會搭配圖形化頁面編輯外掛Avada Builder。</p> <p>這些漏洞是由3位資安研究人員透過<strong><a href="https://www.wordfence.com/blog/2026/05/1000000-wordpress-sites-affected-by-arbitrary-file-read-and-sql-injection-vulnerabilities-in-avada-builder-wordpress-plugin/">Wordfence漏洞懸賞計畫</a></strong>揭露，並由Wordfence向Avada通報。而比起Avada原廠更新公告只提及簡要的安全修補資訊，Wordfence<strong><a href="https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/fusion-builder">漏洞資料庫中的Avada Builder項目</a></strong>，更完˙整提供包括CVE編號、CVSS嚴重性評分等詳細資訊，我們引用的漏洞資料也是來自Wordfence資料庫。</p> <p>這次Avada Builder修補的漏洞中，最嚴重的是CVE-2026-6279，CVSS嚴重性評分達9.8分，可能導致未經身分驗證的攻擊者遠端執行任意程式碼。其次是CVE-2026-4798，CVSS嚴重性評分為7.5分，可能導致未經身分驗證的攻擊者利用SQL注入漏洞，從資料庫中取得敏感資訊。</p> <p>由於Avada Builder是WordPress網站主題工具Avada的重要組成元件，因此漏洞影響範圍不僅限於個別外掛程式，而可能波及大量採用Avada的WordPress網站。Avada原廠已於Avada Builder 3.15.3版完成前述漏洞修補，<strong><a href="https://avada.com/documentation/avada-changelog/">並隨Avada 7.15.3版本更新一併提供給用戶</a></strong>，用戶應儘速更新。</p> </div></div></div>
5/29 08:31作者張明德https://www.ithome.com.tw/news/176183
CrowdStrike與Google聯手，破壞軟體供應鏈蠕蟲GlassWorm基礎設施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>從<strong><a href="https://www.ithome.com.tw/news/171854">去年10月</a></strong>曝光的軟體供應鏈蠕蟲GlassWorm，最早在Visual Studio Code（VS Code）市集、Open VSX儲存庫散布，後續活動範圍擴大到<strong><a href="https://www.ithome.com.tw/news/174475">PyPI</a></strong>、NPM、GitHub，<strong><a href="https://www.ithome.com.tw/news/174484">同時針對四大開發生態系</a></strong>展開多管齊下的攻擊，甚至出現<strong><a href="https://www.ithome.com.tw/news/174526">染指瀏覽器擴充套件</a>、<a href="https://www.ithome.com.tw/news/175034">整合開發工具（IDE）</a></strong>的現象。本週有資安公司、科技龍頭，以及資安機構聯手，破壞此蠕蟲程式運作的基礎設施。</p> <p>5月26日<strong><a href="https://www.crowdstrike.com/en-us/blog/inside-crowdstrike-takedown-of-a-developer-targeting-botnet/">資安公司CrowdStrike宣布</a></strong>，他們與Google和Shadowserver基金會聯手，破壞GlassWorm背後的殭屍網路，以及4種C2通道，從而切斷駭客向受害電腦傳遞惡意程式的管道。CrowdStrike指出，GlassWorm的C2架構，涵蓋區塊鏈Solana、BitTorrent分散式雜湊表（DHT）、Google行事曆，以及透過虛擬專屬伺服器（VPS）建置的C2主機等4種，經營團隊規畫如此多種管道的目的，就是藉由多層間接機制，來保護實際的C2伺服器。因此，資安業者與社群必須同時且精準破壞所有的C2通訊管道，才能讓受害電腦無法再接收新的惡意指令或有效酬載。</p> <p>CrowdStrike也提及GlassWorm影響範圍非常廣泛，駭客不僅透過惡意VS Code延伸套件感染VS Code、Cursor、Positron、Windsurf、VSCodium等開發工具，同時入侵NPM與Python生態，而且，他們透過GlassWorm竊得的開發者憑證，感染超過300個GitHub儲存庫。</p> </div></div></div>
5/28 17:21作者周峻佑https://www.ithome.com.tw/news/176195
統一超商以AIoT、資料分析與自動化推動綠色零售，從門市節能到供應鏈導入數位治理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>零售業是高耗能產業，特別是24小時營運的便利商店，大量冷藏、冷凍設備與空調系統長時間運轉，加上數千家門市同時營運，如何節能減碳成為零售業者營運上的重要挑戰。</p> <p>統一超商近幾年將AIoT、資料分析、自動化設備與ESG治理機制導入門市與供應鏈流程，試圖以IT系統降低能源消耗、改善資源使用效率，並建立可規模化的低碳零售模式。</p> <p>在門市能源管理上，統一超商以7-ELEVEN慶城門市作為示範場域，導入AIoT能源管理系統。這套系統是透過感測器持續蒐集門市內外溫度、設備運轉與環境數據，再由後端系統分析後，動態調整冷藏、冷凍櫃與開放式冰箱的運作模式。</p> <p>由於超商冷鏈設備需維持穩定溫度，因此能源管理並非單純降低設備運轉，而是必須在食品安全與節能之間尋得平衡。統一超商的做法是，利用即時環境數據與AI演算，依據不同時段與環境條件來調整設備運轉頻率與冷卻效率，以降低不必要的耗電。</p> <p>空調系統則導入Free Cooling（自然冷卻）機制。系統會持續比對室內外溫度，當外部氣溫低於室內時，自動切換冷卻模式，以減少壓縮機使用時間。對於長時間營運的零售門市而言，這類調控方式能夠降低空調耗能與碳排放。</p> <p><span style="color:#B22222;"><strong>永續與數位雙軸轉型</strong></span></p> <p>除了能源管理，他們也不忘推動數位轉型發展，將AI與自動化導入門市營運，推動零售科技轉型。</p> <p>例如他們從2018年開始推動的X-STORE實驗計畫，測試無人化、自助化與自動化設備在零售場域中應用的可行性。至今已發展到最新的X-STORE 9，在該門市中導入AI影像辨識系統，讓消費者拿取商品後，系統可透過影像辨識與商品資料自動完成結帳流程，減少傳統收銀作業。</p> <p>為減輕門市人員的勞務壓力，他們也在X-STORE 9門市建置自動化取貨微型倉，透過設備管理取貨流程，降低人工作業負擔，並縮短消費者取貨時間。這個新的自助取貨模式背後，涉及門市端設備、自動化系統、物流資料及POS系統的整合。</p> <p><span style="color:#B22222;"><strong>結合AI數據分析優化門市營運</strong></span></p> <p>目前部分的技術已擴展至一般門市，例如手機自助結帳，以及AI銷售預測系統，特別是AI銷售預測系統，它會分析歷史銷售資料、商品需求與門市特性，協助門市進行備貨與商品配置調整。</p> <p>這套系統的目標，不只是提高銷售效率，更重要的是降低庫存與報廢品，因為對便利商店營運來說，控制鮮食與短效期商品的庫存與銷售相當重要，這類商品的比例高，若能透過資料分析提高需求預測準確度，就能有效減少食物的浪費與物流耗損。</p> <p><span style="color:#B22222;"><strong>推動循環經濟</strong></span></p> <p>在循環經濟部分，7-ELEVEN的現煮咖啡年銷售金額已突破180億元，年銷量估計達 4 億杯以上，平均每天賣出超過百萬杯，現煮咖啡使用的紙杯數量相當可觀，為此，統一也建立循環杯與咖啡渣回收系統。目前循環杯租借服務已擴展到超過2,500家門市，背後同樣涉及租借、回收、清洗與物流調度系統的管理。</p> <p>咖啡渣循環再利用則從2023年開始推動，統一超商建立回收與再製流程，將門市咖啡渣集中回收後，轉作為生活用品與再生商品原料。目前統一超商已有近400家門市加入此回收機制，累計共回收近20公噸的咖啡渣。</p> <p>他們也從供應鏈推動永續，依據ISO 20400永續採購指南，建立供應商ESG評鑑與自評機制，透過制度化與數據化管理方式，追蹤供應商永續表現。</p> <p>從門市設備管理、AI銷售預測、自助化系統到ESG治理，將零售業的永續轉型逐漸從單一減塑或節能措施，統一超商展現透過IT系統、資料分析與自動化設備優化營運調整，讓數位化不只是提升效率的工具，更是降低能源消耗與資源浪費的重要基礎。</p> </div></div></div>
5/28 17:40作者蘇文彬https://www.ithome.com.tw/news/176198
Google Cloud推出AI資安防禦平臺，整合Gemini、Wiz與Mandiant處理漏洞風險排序與修補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a data-saferedirecturl="https://www.google.com/url?q=https://cloud.google.com/blog/products/identity-security/introducing-google-ai-threat-defense&source=gmail&ust=1780018387916000&usg=AOvVaw0b18wnYwqF5J43Mj02t-4R" href="https://cloud.google.com/blog/products/identity-security/introducing-google-ai-threat-defense" target="_blank">Google Cloud宣布推出Google AI Threat Defense</a>，定位為AI驅動的自主式資安防禦平臺，目標是協助企業因應AI加速漏洞發現與攻擊自動化的趨勢，從曝險盤點、風險排序、修補到持續監控，提升漏洞管理流程的自動化與處理速度。</p> <p data-end="1120" data-start="934">Google Cloud指出，攻擊者正利用AI更快找出安全缺口，過去可能需要數週執行的攻擊，如今可能在數小時或數天內完成，使資安與工程團隊難以只靠人工方式完成漏洞分析、排序與修補。Google AI Threat Defense並非只著重於以AI找出漏洞，而是進一步納入實際曝險情境，判斷哪些風險最可能影響企業環境，協助資安與工程團隊排定修補優先順序，並縮短後續處理時間。</p> <p data-end="1267" data-start="1122">這套平臺整合大型語言模型Gemini的推理與程式碼生成能力、雲端安全平臺Wiz的曝險分析與風險排序能力、資安事件應變公司Mandiant的威脅情報與處置經驗，以及Google DeepMind用於協助分析、產生與驗證漏洞修補方案的AI程式碼安全代理<a href="https://deepmind.google/blog/introducing-codemender-an-ai-agent-for-code-security/" target="_blank">CodeMender</a>。</p> <p data-end="1540" data-start="1269">Google AI Threat Defense採取4階段框架。第一是準備（Prepare），強化基礎環境並降低不必要曝險，例如避免敏感資產直接暴露於網際網路。第二是掃描與排序（Scan and prioritize），透過AI分析程式碼、API、身分、權限、組態與執行階段環境，判斷哪些問題具有實際遭利用的可能性。第三是修補（Remediate），讓CodeMender在開發者使用的整合式開發環境（IDE）或命令列介面（CLI）中產生修補建議，並搭配測試驗證修正結果。第四是監控（Monitor），透過Google Security Operations提供的代理式安全營運中心（agentic SOC）能力，進行自動化偵測、分流、調查與威脅搜尋。</p> <p data-end="1667" data-start="1542">在合作夥伴方面，Google Cloud表示，Accenture、Deloitte、Netenrich、PwC與TENEX.AI等業者將參與AI Threat Defense相關導入服務，協助企業評估雲端架構，並視既有開發管線與安全流程需求進行整合。</p> </div></div></div>
5/28 16:24作者王珮瑤https://www.ithome.com.tw/news/176192
【臺灣資安大會直擊】面對開發速度暴衝引發的新挑戰，中華電信建構ChainStrike AI驗證閘門，加速資安檢測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>善用生成式AI強化資安已非口號，近年國內外科技大廠陸續分享早期實務經驗，今年臺灣資安大會（CYBERSEC 2026）亦有不少臺灣企業公開AI資安應用成果，其中，作為國內電信與資通訊服務龍頭的中華電信，其發展進度亦受外界關注。</p> <p>身為中華電信資訊技術分公司資訊安全應用處資安產品股股長的吳明峰，針對AI驅動日常工作提出實務經驗，並針對資安檢測難以跟上開發速度的挑戰，揭露團隊打造AI資安驗證閘門的新作法。</p> <h3><strong>用AI加速資安團隊日常工作，聚焦五大核心應用場景</strong></h3> <p>資安威脅與任務激增，資安人員負荷沉重。吳明峰表示，以自身單位而言，任務不僅包含防駭守門員這類對外資安服務，亦需協助內部資安強化。如何在繁重的工作壓力下，透過AI加速任務執行，是組織內部的核心焦點。對於如何實踐AI應用，他進一步歸納出該單位的五大AI核心應用場景。</p> <p>首先，在文件與設計產出方面，吳明峰指出，AI已翻轉過去先寫文件、再寫程式的傳統流程，因為程式碼本身就是文件，我們可以用AI解析整份程式碼，一次將說明文件、流程圖與Database Schema產出；其次在開發與重構上，團隊更曾嘗試將整包JavaScript套件轉譯為Python，實測經驗顯示，只要投入足夠的Token數量，便能完成複雜的程式碼轉換。</p> <p>此外，AI也應用於提升資安品質，加速軟體相依性盤點、風險檢核、滲透測試，以及安全閘道等面向，並將既有知識庫轉化為互動式問答資產。至於成效最顯著的領域，則是報告與例行作業自動化，諸如會議記錄與報表彙整等任務，其中會議記錄的自動生成更是讓同仁最有感的效率提升。</p> <p>除了現有的應用場景，吳明峰亦揭露團隊正聚焦Agentic SOC技術發展，推動資安監控的自動化與智能化發展。</p> <h3><strong>開發節奏邁向極速化，建構AI驗證閘門實現白箱與資安檢測自動化</strong></h3> <p>在揭露自家資安團隊的AI應用之餘，吳明峰更是針對提升資安品質的應用面，做出更深入剖析，並點出當前緊迫挑戰在於：資安檢核必須同樣加速，否則整個流程一定卡關。</p> <p>生成式AI對開發速度的提升顯而易見，吳明峰直言，有時自己半夜想到一個功能，就起身交給AI機器人處理，做完才回去睡。他並幽默地形容：「當你覺得自己開發速度已經很快，還有人更快；你快兩倍，有人快三倍、四倍。」</p> <p>當Coding Agent等工具讓開發速度提升數倍，程式碼產出與推送（Pull Request，PR）數量亦隨之暴增，在開發節奏急速提升之下，若仍沿用傳統的人工白箱掃描，整個研發流程勢必會卡在資安檢核關卡。為了不讓資安成為開發的絆腳石，中華電信正積極實驗AI白箱檢測與AI滲透測試的可行性。</p> <p>吳明峰表示，他們資安團隊建立名為「ChainStrike AI」的驗證閘門架構，可應用於AI白箱檢測環節，以及預部署測試後的安全驗證環節。</p> <p><a href="/sites/default/files/images/（圖1）中華電信_AI資安驗證閘門.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E4%B8%AD%E8%8F%AF%E9%9B%BB%E4%BF%A1_AI%E8%B3%87%E5%AE%89%E9%A9%97%E8%AD%89%E9%96%98%E9%96%80.jpg" style="width: 600px;" /></a></p> <p>根據吳明峰簡報圖片的內容顯示，這個ChainStrike AI的核心能力在於，可以整合開發程式碼、威脅情報與營運資料，進而用於攻擊面探索、身分權限驗證、攻擊鏈編排、漏洞與威脅情報關聯、證據圖譜，以及建立閘門政策引擎等能力。而當中最關鍵的特性，就是要將潛在的可疑風險轉化為具體證據。</p> <p>吳明峰強調，這套機制並非要取代既有的CI、SAST、Code Review或SOC等流程，而是補強「可利用性驗證」這一層，透過AI自動化驗證大幅縮短人工資安檢測所需的時間。在他們的初步實驗結果顯示，AI能模擬資深資安工程師的攻擊鏈思路進行檢測，也能每日自動研讀最新資安新聞、情資以強化防禦能量。</p> <p>特別的是，吳明峰也提醒大家：這類技術發展正備受市場看重，從GitHub平臺湧現數十個AI滲透測試專案的盛況便能窺見此一熱潮。這些專案正是因應自動化需求而來，搭配對話式機器人的輔助檢測，協助資安人員加速找出風險。換言之，他亦在鼓勵大家嘗試探索相關技術的應用潛力。</p> <h3><strong>AI已改變資安人員的工作方式，治理方式也要跟著升級</strong></h3> <p>另外，吳明峰也說明訓練AI Agent的經驗，他指出團隊會建立出題組、考試組及專屬訓練環境，讓AI在反覆演練中學會解題技巧，並將解法抽象化為可重複使用的檢測模式，以確保Agent的檢測可靠性。他強調，在此過程中，資深工程師需轉向扮演「教練」角色，負責指揮並教導Code Agent執行任務。</p> <p>至於模型效能的實測評估上，以吳明峰個人經驗來說，他指出，Claude Code（Opus 4.6）在解題邏輯與指令遵循的綜合表現最為優異，Cursor次之；而在任務拆解與並行處理能力上，則以OpenAI Codex表現較佳。與此同時，他也會針對Claude Code與Codex的沙盒環境，探討其執行邊界與安全機制，以深入了解自動化過程的受控程度。</p> <p>展望未來，吳明峰強調，AI不僅在改變資安人員的工作方式，更在重新定義AI的使用型態。例如，在操作形式方面，可能從傳統的使用者介面轉向極端的AI代理（Agent）優先模式；在治理模式方面，將演變為「人類決策、Agent執行、系統稽核」他並期勉所有業界資安同仁，從人員管控邁向對AI、Agent與工具鏈的全面治理。</p> <p> </p> </div></div></div>
5/28 16:57作者羅正漢https://www.ithome.com.tw/news/176193
【資安日報】5月28日，數發部資安署揭露實測高德地圖等四款中國App結果
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/176165"><strong style="font-size: 22px;">數發部資安署實測四款中國App，同是導航地圖，高德比Google Maps更危險</strong></a></p> <p><a href="/sites/default/files/images/wdze3jic_dwf-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/wdze3jic_dwf-63.jpg" style="width: 300px; float: right;" /></a>數位發展部資通安全署（資安署）5月27日召開記者會，公布對高德地圖、嗶哩嗶哩（Bilibili）、愛奇藝（iQIYI）及BIMOBIMO等四款中國App的資安檢測結果，結果顯示，高德地圖在Android平臺驗出高達十一項高風險行為，iOS平臺也有八項，是本次檢測中風險最高的應用程式。而同樣是地圖導航類App，Google Maps在相同的測試框架下，卻未發現高德地圖最具爭議的行為，尤其在使用者未主動操作的情況下，高德地圖會「主動擷取剪貼簿」內容。</p> <p><a href="https://www.ithome.com.tw/news/176158"><strong style="font-size: 22px;">Google示警中國PhaaS犯罪服務平臺升級，具AI生成偽冒網站能力</strong></a></p> <p><a href="/sites/default/files/images/phaas-fig1_max-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/phaas-fig1_max-63.jpg" style="width: 300px; float: right;" /></a>過去一年，使用中文為主要語言的駭客族群，其主導的網路釣魚即服務（PhaaS）迅速擴張。Google威脅情報小組（GTIG）近期警告，中文PhaaS平臺正運用AI提升全球網釣能力，並規避釣魚網站偵測。GTIG指出，PhaaS市場過去長期由俄語駭客包辦，現今中文地下犯罪體系興起，需要全球戒備。而且這些平臺提供的釣魚範本，宣稱能支援全球100多國的釣魚活動，但皆以非中國品牌為目標，顯示其刻意避開中國境內以降低查緝風險。</p> <p><a href="https://www.ithome.com.tw/news/176161"><strong style="font-size: 22px;">中國網釣即服務平臺YY Lai Yu崛起，日本成首要網釣目標</strong></a></p> <p><a href="/sites/default/files/images/phaas-fig2_max-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/phaas-fig2_max-63.jpg" style="width: 300px; float: right;" /></a>對於中國網釣即服務平臺的危害，近日Google威脅情報小組（GTIG）公布相關案例，指出名為YY Lai Yu（YY来鱼）的PhaaS平臺，正利用高度自動化的「在地化即服務（Localization-as-a-Service）」模式，大規模發動精準的網路釣魚攻擊。「YY来鱼」自2024年8月開始活躍，宣稱支援全球119國的網釣活動。其核心目標目前鎖定日本市場，專為中文攻擊者提供滲透日本消費生態系所需的在地化工具。</p> <p><a href="https://www.ithome.com.tw/news/176171"><strong style="font-size: 22px;">中國駭客利用新式惡意程式Showboat、JFMBackdoor攻擊電信業者，鎖定Linux與Windows系統展開滲透</strong></a></p> <p><a href="/sites/default/files/images/img-blog-bll-newmalware-figure7-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/img-blog-bll-newmalware-figure7-63.jpg" style="width: 300px; float: right;" /></a>自2022年起，亞太與中東地區的電信業者，特別是哈薩克、阿富汗與印度等地，便持續受到疑似中國駭客組織的攻擊。美國電信業者Lumen的資安研究團隊，與會計事務所PwC的資安威脅研究部門聯合進行調查後，近日發布報告，指出這些攻擊與中國駭客組織Red Lamassu有關，並使用新發現的Linux與Windows惡意程式Showboat、JFMBackdoor，以維持長期滲透與遠端控制能力，這些新型工具很可能在多個中國駭客組織間流通與共享。</p> <p><a href="https://www.ithome.com.tw/news/176128"><strong style="font-size: 22px;">透過微軟Teams散布惡意程式的攻擊又一樁！駭客假冒IT支援發動ModeloRAT攻擊，誘騙企業員工執行遠端工具</strong></a></p> <p>資安公司Rapid7近日揭露利用ModeloRAT惡意程式的活動，攻擊者透過微軟Teams平臺假冒IT支援人員進行社交工程，誘騙企業員工執行遠端管理工具，進而植入惡意程式並控制受害電腦。這波攻擊的入侵起點，是濫用Teams允許跨租戶直接對話的外部存取（external access）功能，攻擊者藉此假冒IT支援部門與受害者聯繫，誘使受害者執行PowerShell指令，從Dropbox雲端空間下載與執行Python惡意程式。</p> <p><a href="https://www.ithome.com.tw/news/176139"><strong style="font-size: 22px;">駭客濫用Google廣告與Claude.ai對話分享頁面，對macOS用戶散布惡意程式</strong></a></p> <p>許多IT使用者都會透過搜尋引擎，來尋找感興趣軟體的操作與安裝方式，連帶也出現針對這類使用行為的攻擊手法，攻擊者針對意圖搜尋特定軟體的用戶，透過Google廣告將其誘導到偽造的釣魚網站，藉此散布惡意軟體。根據資安媒體BleepingComputer最近的報導，有攻擊者以AI工具Claude Code為誘餌，濫用Claude平臺的對話公開分享（Shared Chats）功能，結合Google廣告，從而向macOS用戶散布惡意軟體。</p> <p><a href="https://www.ithome.com.tw/news/176174"><strong style="font-size: 22px;">CISA要求聯邦機構4天內修補cPanel外掛LiteSpeed重大漏洞</strong></a></p> <p>上週網頁伺服器系統開發商LiteSpeed揭露與修補權限提升漏洞CVE-2026-48172，此漏洞存在於該公司提供cPanel用戶的外掛程式，CVSS v4.0風險達到滿分10分，LiteSpeed強調已被積極利用，呼籲用戶儘速採取行動，如今美國政府也證實這樣的情形。5月26日美國網路安全暨基礎設施安全局（CISA）發出公告，將CVE-2026-48172加入已遭利用的漏洞名單（KEV），聯邦機構必須在5月29日前完成修補。</p> <p><a href="https://www.ithome.com.tw/news/176175"><strong style="font-size: 22px;">CISA要求聯邦機構對近期發生的軟體供應鏈事故採取行動</strong></a></p> <p>5月27日美國網路安全暨基礎設施安全局（CISA）將CVE-2026-8398、CVE-2026-45321、CVE-2026-48027等3個漏洞列入已遭利用的漏洞名單（KEV），值得留意的是，這些漏洞並非一般的軟體弱點，而是因供應鏈攻擊導致軟體被植入惡意程式碼的情況。值得留意的是，CISA給予聯邦機構因應威脅的期限有所不同，其中最短的是虛擬光碟機軟體Daemon Tools Lite嵌入惡意程式碼弱點CVE-2026-8398，聯邦機構必須在5月30日前完成修補。</p> <p><a href="https://www.ithome.com.tw/news/176087"><strong style="font-size: 22px;">Gemini 3.5刪除近3萬行程式碼，修改設定，用戶系統斷線半小時</strong></a></p> <p>Google上周發表最新版AI模型系列Gemini 3.5，不過開發人員dvrkstar卻自曝，原本他要求Gemini在內部管理入口網站中，修復在檢查中標示出的8個特定server-action驗證問題，理應更動3個檔案、8項功能、約70行程式碼，結果Gemini變更340個檔案，加入400多行程式碼的同時，竟刪除28,745行程式碼，導致整個營運網站出現404的錯誤訊息，直到使用者察覺異狀手動進行復原，經歷33分鐘後才回復運作。</p> <p><a href="https://www.ithome.com.tw/news/176155"><strong style="font-size: 22px;">壓縮工具7-Zip發布新版本，修補惡意NTFS映像檔可能導致執行任意程式碼的重大漏洞</strong></a></p> <p>廣獲使用的開源壓縮工具7-Zip近日更新26.01版，修補可能導致執行任意程式碼的重大漏洞CVE-2026-48095，攻擊者可能利用特製NTFS映像檔（NTFS image）觸發記憶體處理缺陷，進而造成程式當機，甚至執行任意程式碼，影響7-Zip 26.00版以前的所有版本，存在於7-Zip處理NTFS映像檔的過程中，對NTFS壓縮資料流緩衝區（NTFS compressed stream buffer）的記憶體配置不足，CVSS嚴重性評分達8.8分。</p> <p><a href="https://www.ithome.com.tw/news/176154"><strong style="font-size: 22px;">微軟修補SharePoint高風險漏洞，已通過身分驗證攻擊者可遠端執行程式碼</strong></a></p> <p>微軟於5月21日發布安全更新，修補企業協作與文件管理平臺SharePoint的遠端程式碼執行漏洞CVE-2026-45659，問題源自SharePoint系統可允許對不受信任資料的反序列化處理（Deserialization of Untrusted Data），使具備存取權限的攻擊者可透過網路執行程式碼，CVSS風險分數為8.8，受影響產品包括SharePoint Server Subscription Edition、SharePoint Server 2019，以及SharePoint Enterprise Server 2016。</p> <p><a href="https://www.ithome.com.tw/news/176148"><strong style="font-size: 22px;">PuTTY發布0.84版，修補可能導致拒絕服務攻擊的SSH金鑰交換與數位簽章驗證漏洞</strong></a></p> <p>歷史悠久、廣獲使用的開源SSH遠端終端機工具PuTTY，近日發布0.84版更新，修補多項安全性問題，包括SSH金鑰交換、ECDSA數位簽章與Telnet處理等，建議用戶儘速升級。PuTTY這次更新主要修補3項安全性問題，其中一個是RSA金鑰交換過程中，可遠端觸發的雙重釋放漏洞（double-free），系統可能因惡意特製的金鑰，而錯誤地兩次釋放相同記憶體結構，導致當機。</p> <p><a href="https://www.ithome.com.tw/news/176180"><strong style="font-size: 22px;">GitHub釋出Enterprise Server 3.20.3，修補多項重大漏洞</strong></a></p> <p>開發社群平臺GitHub釋出GitHub Enterprise Server（GHES）3.20.3，修補多項重大及高風險漏洞，包括2個伺服器請求偽造（SSRF）漏洞，以及和上周資安事件與Linux核心漏洞Dirty Frag（CVE-2026-43284、CVE-2026-43500）有關的問題。其中一個重大漏洞CVE-2026-9312，為預先驗證（pre-authentication）SSRF漏洞，攻擊者可傳送變造的請求到內部服務，進而成功存取內部服務並曝露敏感憑證。</p> <p><a href="https://www.ithome.com.tw/news/176084"><strong style="font-size: 22px;">Splunk修補多項高風險漏洞，未更新可能導致資料外洩與拒絕服務攻擊</strong></a></p> <p>資安與日誌分析平臺業者Splunk近日發布一系列公告，修補3項自家平臺與應用套件的安全漏洞，以及多項涉及第三方元件的應用套件漏洞。這次修補的漏洞中，最重要的是這3項：CVE-2026-20238、CVE-2026-20239與CVE-2026-20240。其中風險最高的漏洞，是可能導致洩漏日誌敏感資料的CVE-2026-20239，CVSS嚴重性評分達7.5分，影響Splunk Enterprise與Splunk Cloud Platform這兩大產品。</p> <p><a href="https://www.ithome.com.tw/news/176164"><strong style="font-size: 22px;">ExifTool修補macOS指令注入漏洞，未更新可能導致惡意圖片中繼資料觸發執行任意指令</strong></a></p> <p>在多媒體工作流程廣泛使用的開源影像metadata處理工具ExifTool，2月修補重大漏洞CVE-2026-3102，若不修補，攻擊者可透過特製圖片檔的metadata，在macOS環境下注入作業系統指令（OS Command Injection），進而執行任意指令。此漏洞影響ExifTool 13.49以前版本，已在13.50版修補，由於許多影像管理軟體、數位資產管理等平臺也都直接整合ExifTool，企業用戶也需確認相關平臺是否已升級新版ExifTool。</p> <p><a href="https://www.ithome.com.tw/news/176176"><strong style="font-size: 22px;">Health-ISAC警告Claude Mythos加快漏洞研究，醫療健康產業修補壓力升高</strong></a></p> <p>醫療健康產業資安情資分享組織Health-ISAC於5月12日發布報告，警告AI模型開發商Anthropic的Claude Mythos Preview已展現高度漏洞研究能力。Health-ISAC指出，這類模型若維持嚴格控管，可協助防禦方更快找出並修補弱點；但一旦外流，也可能像Cobalt Strike與Brute Ratel C4（BRC4）等合法資安工具一樣，遭威脅行為者濫用。再者，中國企業可能在6至12個月內發展出接近Mythos的漏洞發現能力。</p> <p><a href="https://www.ithome.com.tw/news/176157"><strong style="font-size: 22px;">Microsoft Defender for Endpoint測試自動隔離被駭端點功能</strong></a></p> <p>微軟目前正在端點安全產品Microsoft Defender for Endpoint當中，預覽一項能自動隔離被駭端點的新功能「自動攻擊阻斷」（automatic attack disruption），一旦特定裝置遭受感染或被駭，會立即從公司網路斷線，該裝置只會和Microsoft Defender for Endpoint服務保持連線，由該服務持續監控受害裝置，目的是能防止攻擊者或惡意程式橫向移動，以防範資料外洩、勒索軟體蔓延。</p> <p><a href="https://www.ithome.com.tw/news/176172"><strong style="font-size: 22px;">Anthropic揭露Claude代理安全設計，以環境邊界限制損害範圍</strong></a></p> <p>Anthropic近日公開說明Claude代理產品的安全設計，指出當AI代理取得檔案、命令列、網路與外部工具存取能力後，不能只依賴模型判斷或人工批准，而要透過執行環境隔離、檔案系統邊界與網路出口管制，限制代理遭誤用、遭攻擊或執行非預期動作時的損害範圍。其中，在Claude網頁服務中，程式執行被放在伺服器端的暫時性隔離容器，檔案系統只存在於單一工作階段，代理不會直接接觸使用者本機環境。</p> <p><a href="https://www.ithome.com.tw/news/176151"><strong style="font-size: 22px;">Red Hat推出強化容器映像檔，內建SBOM提升供應鏈透明度</strong></a></p> <p>開放原始碼解決方案供應商Red Hat（紅帽）於5月12日宣布，Red Hat Hardened Images正式推出。這項服務源自Red Hat先前推動的Project Hummingbird，該專案原本鎖定降低容器攻擊面的需求，如今已發展成可用於正式環境的強化容器映像檔，現階段提供超過45個項目、涵蓋超過150種變體，建置於紅帽管理的受信任（trusted）軟體管線，涵蓋企業工作負載常用的程式語言、執行環境、資料庫、網頁伺服器與工具。</p> <p><a href="https://www.ithome.com.tw/review/176173"><strong style="font-size: 22px;">Fortinet擴增G系列次世代防火牆，同時連線數可達競品13.7倍</strong></a></p> <p>近幾年以來，Fortinet持續推出更多款次世代防火牆FortiGate G系列，例如去年底我們介紹的FortiGate 700G，時至今年5月的此刻，該公司宣布擴增兩款機型，分別是用於資料中心環境的3500G系列，以及用於企業網路邊緣環境的400G系列。以FortiGate 3500G系列而言，Fortinet提供兩款機型：FG-3500G、FG-3501G，均內建兩個400GbE埠。</p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/176159"><strong>【5月27日】互動資通OTP簡訊平臺EVERY8D遭駭</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176130"><strong>【5月26日】馬偕醫院再傳遭駭客竊取資料，院方表示疑為去年舊案</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176130"><strong>【5月25日】GitHub內部儲存庫的程式碼外流，確認遭供應鏈攻擊事故波及</strong></a></p> </div></div></div>
5/28 16:20作者周峻佑https://www.ithome.com.tw/news/176187
微軟修補VS Code高風險漏洞，攻擊者可藉MCP安裝對話框取得開發者電腦控制權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>非人類身分（NHI）安全業者<a data-saferedirecturl="https://www.google.com/url?q=https://www.oasis.security/blog/envade-vscode-mcp-vulnerability&source=gmail&ust=1780018387912000&usg=AOvVaw1m9seeYfIYTXRxRLqlQfin" href="https://www.oasis.security/blog/envade-vscode-mcp-vulnerability" target="_blank">Oasis Security於5月21日揭露</a>，<wbr></wbr>微軟程式碼編輯器Visual Studio Code的MCP安裝對話框存在高風險漏洞CVE-2026-<wbr></wbr>41613，攻擊者可透過特製安裝連結，<wbr></wbr>在開發者電腦上執行指令。</p> <p><a href="https://pages.oasis.security/rs/106-PZV-596/images/envade-technical-report.pdf?version=0" target="_blank">Oasis指出</a>，VS Code可讓使用者透過網頁、文件或聊天訊息中的單一連結，將M<wbr></wbr>CP伺服器加入開發者工作區。使用者點擊連結，<wbr></wbr>並在安裝預覽對話框按下Install後，<wbr></wbr>相關組態便會寫入工作區的MCP設定。</p> <p>問題在於，VS Code安裝預覽畫面只顯示部分MCP設定，包括伺服器名稱（<wbr></wbr>name）、類型（type）、命令（command）與引數（<wbr></wbr>arguments）等資訊，<wbr></wbr>但實際寫入工作區的內容還包含未顯示的組態項目，涵蓋環境變數（<wbr></wbr>environment variables，env）、環境檔案（<wbr></wbr>environment file，envFile）、HTTP標頭（HTTP headers，headers）與工作目錄（working directory，cwd）。由於VS Code當時不會阻擋這些組態寫入，<wbr></wbr>也不會檢查內容或提醒使用者，<wbr></wbr>攻擊者可把惡意內容藏入未顯示的組態項目，<wbr></wbr>讓使用者在安裝前無從察覺。 </p> <p>Oasis說明，攻擊者可利用這些未揭露的MCP組態項目，<wbr></wbr>寫入影響程式啟動行為的設定，使程式先執行攻擊者指定的程式碼，<wbr></wbr>再執行MCP伺服器本身邏輯，進而植入shell或執行其他動作<wbr></wbr>。由於組態會留在工作區，<wbr></wbr>即使系統重新開機或整合式開發環境重新啟動，<wbr></wbr>攻擊者植入的設定仍可能繼續生效。</p> <p>這項漏洞不只會帶來程式碼執行風險，<wbr></wbr>也可能形成隱蔽的連線階段劫持，使攻擊者接管MCP工具對外服務<wbr></wbr>的連線身分。攻擊者可將自己的登入憑證藏入安裝連結，使MCP工<wbr></wbr>具改以攻擊者帳號連接線上服務；開發者後續透過AI助理讀取檔案<wbr></wbr>、傳送訊息或修改內容時，相關操作都可能以攻擊者帳號完成，<wbr></wbr>並留下攻擊者可查看的紀錄。</p> <p><a data-saferedirecturl="https://www.google.com/url?q=https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-41613&source=gmail&ust=1780018387912000&usg=AOvVaw2FeFOqR6t0G6joQ7xqvkN7" href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-41613" target="_blank">微軟已在VS Code 1.119.1修補這項問題</a>，藉由在確認畫面顯示env、env<wbr></wbr>File與headers等設定項目，<wbr></wbr>讓使用者在安裝前看到可能影響程式執行或身分驗證的組態內容，<wbr></wbr>降低攻擊風險。</p> <p>在防護措施上，Oasis建議組織儘速將VS Code更新至1.119.1或以上版本，並檢查各工作區的mc<wbr></wbr>p.json設定，確認是否存在非開發者自行加入的env、en<wbr></wbr>vFile、headers或cwd項目；特別要留意含有--<wbr></wbr>import的NODE_OPTIONS值，以及HTTP類型伺<wbr></wbr>服器中預先填入的Authorization標頭。<wbr></wbr>企業也應盤點開發環境中的MCP伺服器、AI代理與AI助理，<wbr></wbr>以及各自持有的憑證，並將MCP伺服器與AI代理納入企業身分治<wbr></wbr>理範圍，建立政策控管、即時存取管理與完整稽核機制。</p> </div></div></div>
5/28 14:44作者王珮瑤https://www.ithome.com.tw/news/176189
Cognition AI完成逾10億美元融資，身價竄上260億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://cognition.ai/blog/series-d" target="_blank">Cognition AI周三（5/27）宣布</a>完成超過10億美元的D輪融資，公司估值達260億美元。這輪融資由Lux Capital、General Catalyst與8VC領投。</p> <p>成立於2023年的Cognition AI總部位於美國舊金山，由Scott Wu、Steven Hao與Walden Yan共同創辦，主要產品為AI程式代理人（AI Coding Agent）Devin。Devin於2024年推出後快速受到市場關注，可自動完成撰寫程式、除錯、測試與部署等工作。</p> <p>隨著AI程式開發工具近兩年快速普及，<a href="https://www.ithome.com.tw/news/170053" target="_blank">Cognition也透過收購Windsurf擴大產品布局</a>。Windsurf原名Codeium，成立於2021年，主要開發AI程式編輯器與程式輔助工具，曾被視為Cursor主要競爭者之一。Windsurf先前曾傳出將由OpenAI收購，但交易未完成，後來由Cognition接手收購其產品、品牌、智慧財產與部分團隊。</p> <p>Cognition表示，今年以來企業使用量已成長超過10倍，年化營收（Run-rate Revenue）也增加至4.92億美元。目前已有Mercedes-Benz、Goldman Sachs、Dell Technologies與United States Army等企業與政府單位導入Devin。</p> <p>該公司認為，軟體開發正逐漸進入「自駕式軟體開發（self-driving software development）」階段，未來工程師將把更多時間投入問題設計與架構規畫，而AI代理人則負責執行大量開發工作。Cognition也透露，目前內部工程團隊提交的程式碼中，已有89%由Devin完成。</p> <p>美國媒體指出，Cognition去年9月估值約為100億美元，如今已升至260億美元，顯示AI程式開發工具仍是資本市場高度追逐的領域。</p> </div></div></div>
5/28 14:53作者陳曉莉https://www.ithome.com.tw/news/176190
Anthropic公布自管代理人沙箱、Claude安全指引外掛、治理工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="http://claude.com/blog/claude-managed-agents-updates" target="_blank">Anthropic周三（5/27）公布Claude Managed Agents新功能</a>，包括可讓代理人執行在企業自選雲端平臺的自管沙箱（self-hosted）及MCP通道（MCP tunnel），以及二項安全功能。</p> <p>這二項功能可允許Claude託管代理人運行在由企業控制的沙箱，並以MCP通道（MCP tunnel）連結到私有MCP（Model Context Protocol）伺服器。代理人執行工具的沙箱及代理人連結的服務，都是跑在企業建立的邊界內，受企業安全及runtime控制。</p> <p>Claude託管代理人預設執行Anthropic管理的雲端容器內的工具和程式碼。新推的自管沙箱功能，可將協同作業留在Anthropic端，但工具執行端可搬到企業用戶控制的基礎架構上，使代理人程式碼、檔案系統及網路出口（egress）都留在用戶環境內。</p> <p><a href="https://platform.claude.com/docs/en/managed-agents/self-hosted-sandboxes" target="_blank">Anthropic表示</a>，對代理人運用的資料絕不可離開網路環境的產業、內部服務流量不得流出，或是有嚴格遵循和稽核規範的組織，如金融或醫療業而言，自管是很適合的部署方式。</p> <p>代理人沙箱功能支援企業自有基礎架構，或合作的託管服務供應商如Cloudflare、Daytona、Modal或Vercel，由其處理運算或隔離。目前還不支援AWS上的Claude Platform。</p> <p>在Claude Platform上，自管沙箱以公開測試版開放下載，MCP通道則為研究預覽版，需要用戶<a href="https://claude.com/form/claude-managed-agents" target="_blank">報名請求核准</a>。</p> <p><strong>安全指引外掛、28家治理平臺夥伴</strong></p> <p><a href="https://code.claude.com/docs/en/security-guidance" target="_blank">Anthropic同時宣布安全指引外掛（plugin）</a>。這個外掛是Code Review的執行階段助理，能讓Claude自行檢視它變更程式碼後有沒有漏洞，並在發現時於同一工作階段（session）中即時修補。這外掛能捕捉常見的漏洞包括注入、不安全序列化（unsafe deserialization）、及不安全的DOM API，防止程式碼進入拉取請求，減少審查人員的工作負擔。安裝後該外掛就會自動執行，不必呼叫或下指令。要安裝這項工具，必須具備Claude Code CLI 2.1.144以後版本。</p> <p><a href="https://claude.com/blog/compliance-api-security-partners" target="_blank">本周稍早Anthropic還公布</a>Claude企業版整合28家主流資安與合規平臺，資安部門能夠像管理其他公司軟體一樣，將現有的監控與治理政策套用到Claude上，包括用戶和Claude Enterprise 的對話內容（聊天、上傳檔案），以及Claude Enterprise 與Claude平臺的活動事件日誌，如使用者登入、管理操作與設定變更等。</p> <p>整合合作夥伴包括CrowdStrike、Palo Alto Networks、Microsoft、Okta、Zscaler、Netskope、Cloudflare、Datadog、Fortinet、Wiz、SailPoint、Relativity、ReliaQuest、Sumo Logic、Geordie AI、Forcepoint、Cribl、Mimecast、Smarsh、Snyk、Cyera、Proofpoint、Rubrik、Tenable、Trellix、Theta Lake、Varonis及IBM。</p> </div></div></div>
5/28 13:38作者林妍溱https://www.ithome.com.tw/news/176184
Google搜尋翻新當周，DuckDuckGo稱自家iOS App在美下載量激增33%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google上周I/O大會上引入AI翻新搜尋服務，為網際網路界投下震撼彈。但至少有一部份用戶因此選擇試試非AI的搜尋。</p> <p>搜尋業者<a href="https://9to5mac.com/2026/05/26/duckduckgo-sees-iphone-installs-spike-in-the-us-following-ai-announcements-at-google-i-o/" target="_blank">DuckDuckGo告訴9to5mac</a>，在Google I/O當周，該公司iOS App在美國當周下載次數較前一周增加33%，是所有平臺之冠。其iOS App平均周成長率為18.1%。此外，<a href="https://noai.duckduckgo.com/" target="_blank">DuckDuckGo的NO AI</a>搜尋版本的周造訪流量也成長了22.7%。DuckDuckGo非AI版本中，關閉了由AI輔助回答及移除AI生成的圖片。</p> <p>DuckDuckGo（DDG）是一家主打隱私保護的美國網路隱私公司，最著名的產品是同名搜尋引擎。不同於Google或Bing等依賴追蹤用戶行為、收集個人資料來投放精準廣告的商業模式，DuckDuckGo核心賣點是不追蹤用戶搜尋歷史，也不收集個人資料。</p> <p><a href="https://gs.statcounter.com/search-engine-market-share" target="_blank">依據Statcounter數據</a>，DuckDuckGo全球搜尋市佔率為0.71%，相較之下，Google為90.02%，Bing為5.14%。<a href="https://gs.statcounter.com/search-engine-market-share/all/united-states-of-america" target="_blank">但在美國，</a>其市佔來到1.74%，Google和Bing則分別為85.16%及9.82%。</p> <p>該公司說，美國市場成長率是海外市場的數倍，且在過去流量會下滑的陣亡將士紀念日（Memorial Day）當周都還持續加速。DuckDuckGo表示，這數據或許是對Google「以美國為中心」的新AI搜尋宣布的用戶回應情緒。</p> <p>不過DuckDuckGo還是正在實驗AI功能，該公司希望提供用戶兩種選擇。</p> </div></div></div>
5/28 13:57作者林妍溱https://www.ithome.com.tw/news/176185
Robinhood開放AI代理人代客交易股票與刷卡消費
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://robinhood.com/us/en/newsroom/robinhood-is-now-open-to-agents/" target="_blank">美國股票交易平臺Robinhood周三（5/27）宣布推出</a>代理人交易（Agentic Trading）與代理人信用卡（Agentic Credit Card）服務，允許用戶把Claude Code、ChatGPT或Cursor等外部AI代理人接入Robinhood帳戶，由AI依照使用者指令執行股票交易或信用卡消費。</p> <p>成立於2013年的Robinhood，是由Vlad Tenev與Baiju Bhatt共同創辦的美國股票交易平臺，2021年在Nasdaq上市。Robinhood最早以零佣金股票交易打開知名度，後續擴展至ETF、選擇權、加密貨幣、信用卡與數位銀行等服務。</p> <p>Robinhood說明，使用者可開設獨立的代理人交易帳戶，並只把特定資金放入該帳戶。AI代理人只能動用這個專用帳戶內的資金，無法接觸使用者其他投資部位。每當AI完成交易，Robinhood會發送推播通知，使用者也能在App內即時查看活動紀錄與損益，並可隨時中斷AI代理人的連線。</p> <p>Robinhood舉例，AI代理人可協助分析投資組合是否過度集中於特定產業、追蹤AI與半導體類股表現，或依照設定好的均值回歸（Mean Reversion）策略，自動在股價超跌時買進、回升後賣出。</p> <p>除了股票交易，Robinhood也將AI代理人接入信用卡消費場景。使用者可讓AI連接虛擬版Robinhood Gold Card，設定消費上限與購買條件，讓AI協助比價、監控商品庫存，甚至自動完成購買。於是AI可依照使用者要求，在特定價格以下購買機票、門票或商品，或在熱門餐廳出現空位時自動預訂。</p> <p>Robinhood強調，AI代理人只能使用指定虛擬卡，不能存取主要信用卡號碼或其他帳戶資訊。使用者也可要求每筆消費都必須先經人工核准。</p> <p>Robinhood並非唯一布局AI代理人交易的平臺。今年3月，<a href="https://www.etoro.com/news-and-analysis/etoro-updates/agent-portfolios-let-your-ai-agent-trade-for-you/" target="_blank">eToro推出Agent Portfolios</a>，允許使用者建立獨立子投資組合，並透過API Key讓自己的AI代理人代為交易；<a href="https://www.prnewswire.com/news-releases/public-becomes-the-first-brokerage-to-introduce-ai-agents-for-your-portfolio-302729050.html" target="_blank">Public則推出AI Agents</a>，讓投資人以自然語言設定條件，由代理人監控市場、移動資金並執行交易，顯示散戶券商正加速把AI從投資分析工具推向自動化交易服務。</p> </div></div></div>
5/28 14:06作者陳曉莉https://www.ithome.com.tw/news/176186
Google Cloud正式推出GKE Agent Sandbox，並發表Agent Substrate開源專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>隨著AI代理自動執行程式碼與工具呼叫的應用升溫，<a data-saferedirecturl="https://www.google.com/url?q=https://cloud.google.com/blog/products/containers-kubernetes/bringing-you-agent-sandbox-on-gke-and-agent-substrate&source=gmail&ust=1780018387919000&usg=AOvVaw2wgLlglK-eMvN5HhfGAzLy" href="https://cloud.google.com/blog/products/containers-kubernetes/bringing-you-agent-sandbox-on-gke-and-agent-substrate" target="_blank">Google Cloud</a><a data-saferedirecturl="https://www.google.com/url?q=https://cloud.google.com/blog/products/containers-kubernetes/bringing-you-agent-sandbox-on-gke-and-agent-substrate&source=gmail&ust=1780018387919000&usg=AOvVaw2wgLlglK-eMvN5HhfGAzLy" href="https://cloud.google.com/blog/products/containers-kubernetes/bringing-you-agent-sandbox-on-gke-and-agent-substrate" target="_blank">宣布</a>，專為這類任務設計、可部署於Google Kubernetes Engine（GKE）的沙箱環境GKE Agent Sandbox正式開放使用，並同步提出開源基礎架構專案Age<wbr></wbr>nt Substrate，以因應超大規模AI代理在執行與排程上的需<wbr></wbr>求。</p> <p data-end="170" data-start="48">Google Cloud指出，AI代理已從早期聊天介面，進一步發展到可呼叫函式、執行程式碼，甚至持續使用終端機環境的型態。這也使代理工作負載不只需要模型能力，還需要可擴充且具隔離能力的運算環境，才能安全處理來自外部或尚未驗證的程式碼與工具操作。</p> <p data-end="266" data-start="172">在此需求下，GKE Agent Sandbox定位為AI代理的基礎執行層。這項服務建置於Kubernetes之上，是開源雲端原生執行環境，主打讓開發者在自有基礎架構上執行AI代理工作負載。</p> <p>Google Cloud強調，此次正式開放使用的GKE Agent Sandbox進一步降低閒置運算成本、縮短沙箱啟動時間，同時強化隔離機制。針對AI代理常見的短時間<wbr></wbr>執行、長時間閒置特性，GKE Agent Sandbox整合Pod快照（Pod Snapshots）機制，讓系統可在代理工作負載閒置時暫停P<wbr></wbr>od狀態，並在收到請求後快速恢復執行。</p> <p>在沙箱布建方面，GKE Agent Sandbox導入用來分配沙箱執行個體的Sandbox API，並整合可快速啟用沙箱副本的暖池（warm pool）機制。Google Cloud表示，這項機制可讓GKE在每個叢集每秒分配300個<wbr></wbr>沙箱，且90%的分配作業可在200毫秒內完成。<wbr></wbr>為降低暖池的維持成本，GKE Agent Sandbox也整合待命容量緩衝區（standby capacity buffers），提供由暫停狀態沙箱構成的冷池（cold pool），以較低成本快速補充暖池容量。</p> <p>安全隔離方面，GKE Agent Sandbox原生支援Google開源容器沙箱執行環境gVi<wbr></wbr>sor，以及預設拒絕（default-deny）的Kuber<wbr></wbr>netes網路政策；也提供可插拔介面，<wbr></wbr>支援以輕量虛擬機器強化容器隔離的開源專案Kata Containers，讓使用者依需求調整核心層級隔離機制。</p> <p>Google Cloud也提出Agent Substrate開源專案，<wbr></wbr>將其定位為面向下一階段AI代理需求的基礎架構專案。Google Cloud認為，AI代理工作負載可能擴展到數千萬至數億個執行<wbr></wbr>個體，但這類代理多半不是長時間持續執行，<wbr></wbr>而是經常等待使用者互動、事件或觸發條件，因此Kubernet<wbr></wbr>es控制平面將面臨大量短時間啟動、暫停與恢復工作負載的壓力。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0528-Agent%20Substrate-600.png" style="width: 550px;" /></p> <p>因此，Agent Substrate的設計重點，是在保留GKE Agent Sandbox安全執行環境與快照能力的同時，<wbr></wbr>降低控制平面處理大量代理任務時的負擔。Google Cloud表示，標準Kubernetes主要用於管理數千個長<wbr></wbr>時間執行的服務，Agent Substrate則鎖定數百萬個執行時間不到1秒的工具呼叫場<wbr></wbr>景，目標是改善標準Kubernetes在處理大量短時間工具呼<wbr></wbr>叫時的延遲與擴充性限制。後續Google Cloud也計畫將資料在地性納入排程核心，讓系統安排代理任務時，同步考量代理狀態與相關資料所在位置，降低跨節點搬移狀態或資料造成的延遲。</p> </div></div></div>
5/28 12:53作者王珮瑤https://www.ithome.com.tw/news/176182
CISA要求聯邦機構對近期發生的軟體供應鏈事故採取行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>5月27日美國網路安全暨基礎設施安全局（CISA）將CVE-2026-8398、CVE-2026-45321、CVE-2026-48027等3個漏洞<strong><a href="https://www.cisa.gov/news-events/alerts/2026/05/27/cisa-adds-three-known-exploited-vulnerabilities-catalog">列入已遭利用的漏洞名單（KEV）</a></strong>，要求聯邦機構限期採取行動，值得留意的是，這些漏洞並非一般的軟體弱點，而是因供應鏈攻擊導致軟體被植入惡意程式碼的情況。</p> <p>值得留意的是，CISA給予聯邦機構因應威脅的期限有所不同，其中最短的是虛擬光碟機軟體Daemon Tools Lite嵌入惡意程式碼弱點CVE-2026-8398，聯邦機構必須在5月30日前完成修補。此事故為<strong><a href="https://www.ithome.com.tw/news/175571">卡巴斯基於5月初揭露</a></strong>，受影響範圍涵蓋從4月8日發布的12.5.0.2421版，到當時最新的12.5.0.2434。當時卡巴斯基發現，部分執行Deamon Tools Lite的電腦，會連往冒牌Deamon Tools網域的伺服器下載其他作案工具。這些受害者都是從軟體開發商AVB Disc Soft設立的Deamon Tools網站下載安裝程式，而且這些安裝檔都具有AVB Disc Soft簽章，不過內部元件卻遭到竄改，因此確認是供應鏈攻擊。</p> <p>另外兩個漏洞CVE-2026-45321、CVE-2026-48027，指的是<a href="https://www.ithome.com.tw/news/175724"><strong>網頁應用程式框架TanStack的NPM套件TanStack Router</strong></a>，以及<strong><a href="https://www.ithome.com.tw/news/176068">Nx Console的Visual Studio Code（VS Code）延伸套件遭到攻擊</a></strong>的事故，駭客滲透GitHub Actions發布流程，上架惡意套件，從而影響開發人員的環境。CISA要求聯邦機構，必須在6月10日前進行處理。</p> </div></div></div>
5/28 11:38作者周峻佑https://www.ithome.com.tw/news/176175
Meta發表全新訂閱服務品牌Meta One，推出需要付費訂閱的Facebook、IG及WhatsApp服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Meta產品主管Naomi Gleit周三（5/27）透過Instagram及Threads<a href="https://www.threads.com/@naomigleit/post/DY2fUSxgKZg?hl=zh-tw" target="_blank">發表全新的服務品牌Meta One</a>，準備集結Meta旗下各種付費訂閱服務，首波已開始於全球市場推出的是Instagram Plus、WhatsApp Plus與Facebook Plus。</p> <p>Gleit並未詳細揭露這些付費服務的功能，只說這些訂閱功能將會強化使用者喜愛的功能，開放更多容量、能力、創作空間，並可處理更複雜的問題；未來還將針對企業、創作者及重度用戶的方案，以建立更進階的社群及AI使用經驗。</p> <p>根據<a href="https://techcrunch.com/2026/05/27/meta-officially-launches-instagram-facebook-and-whatsapp-subscriptions-with-more-to-come-including-ai-plans/" target="_blank">TechCrunch</a>的報導，Instagram Plus及Facebook Plus的每月訂閱費用為3.99美元，WhatsApp Plus則是2.99美元，可用來客製化個人檔案、更多的限時動態（Story）選項或特定的回應功能等。</p> <p>至於可用來聊天、生成圖片及搜尋資訊的Meta AI的付費版則會是每月7.99美元的Meta One Plus，以及每月19.99美元的Meta One Premium，可支援更多用量、深度推論，以及更多圖片及影片生成，跟上其它AI聊天機器人的收費腳步。儘管有上述的付費服務，但原本的免費服務也將繼續存在。</p> <p>與企業及創作者有關的方案則是每月14.99美元的Meta One Essential，以及每月49.99美元的Meta One Advanced。前者主要提供藍勾勾身分驗證及防偽等基本帳號保護功能，後者則再加上曝光、搜尋排名及分析工具等推廣功能。</p> <p>Meta已開始在全球推出Instagram Plus、WhatsApp Plus與Facebook Plus，至於其它AI、企業及創作者付費方案則會先於特定市場測試，再逐步擴大。</p> </div></div></div>
5/28 12:04作者陳曉莉https://www.ithome.com.tw/news/176179
GitHub釋出Enterprise Server 3.20.3修補多項重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://docs.github.com/en/[email protected]/admin/release-notes#3.20.3" target="_blank">開發社群平臺GitHub本周釋出GitHub Enterprise Server（GHES）3.20.3</a>，修補多項重大及高風險漏洞，包括2個SSRF漏洞，以及和上周資安事件與Linux Dirty Frag有關的問題。</p> <p>最新版更新修補的兩項重大漏洞，其一為編號CVE-2026-9312，為存在上傳端點的前驗證（pre-authentication）伺服器端請求偽造（server-side request forgery，SSRF）漏洞，起於輸入驗證不足，本漏洞讓攻擊者可傳送變造的請求到內部服務，進而成功存取內部服務並曝露敏感憑證。欲濫用本漏洞，攻擊者需要能存取GHES執行個體。</p> <p>第二項漏洞沒有編號，而是因應5月份資安事件的補強作業。<a href="https://www.ithome.com.tw/news/176006" target="_blank">在該事件中</a>，GitHub一名員工裝置因安裝了遭植入惡意軟體的VS Code擴充套件，讓駭客得以竊取約3,800個內部儲存庫資料。在新版軟體中，GitHub更新了GHES發行套件的所有簽章金鑰。未來新版也只能以新金鑰簽發。GitHub Enterprise Server管理員必須在更新修補程式之前輪換執行個體的GPG（GNU Privacy Guard）公鑰。</p> <p>GitHub Enterprise Server 3.20.3另外還修補了3個高風險漏洞。其中兩個是和代號Dirty Frag的Linux核心漏洞CVE-2026-43284及CVE-2026-43500有關，二者分別影響IPsec ESP和RxRPC子系統元件。新版軟體則包含了解決漏洞的Linux底層。</p> <p>第三項高風險漏洞編號<a href="https://www.tenable.com/cve/CVE-2026-8606" target="_blank">CVE-2026-8606</a>。這是影響GHES的SSRF漏洞，能讓攻擊者以安全公告套件查詢（lookup）功能誘發伺服器向內部服務發送HTTP請求，然後攻擊者結合第二步手法，量測服務回應時間差（如回應的秒數），藉此推測出敏感環境變項值，包括簽章密碼或私鑰。要濫用本漏洞，執行個體必須先啟用GitHub套件。</p> <p>值得說明的是，這個漏洞風險很高。私有模式（Private Mode）關閉時，攻擊者不需要登入，可從外網直接發送請求就能發動SSRF，而啟用時也擋不住最低權限者攻擊。為了最徹底解決，GHES 3.20.3版本直接把這整個受影響的功能API移除。</p> <p>但GitHub也說明新版本已知問題。包括自訂防火牆規則會被清空；管理員後臺（Management Console）登入失敗被鎖時不會自動解鎖，必須用SSH進後臺手動處理。其次，Actions與雲端儲存可能卡死：如果GitHub Actions有連動AWS S3或Google Cloud Storage（OIDC驗證），升級過程中可能會報錯中斷，需要進後臺下指令手動修補。最後，GitHub提醒，如果在企業最高層級「一鍵啟用」全公司的Secret/Code Scanning，會因為瞬間載入量過大導致系統卡死，GitHub建議到各個組織（Org）分批開啟。</p> </div></div></div>
5/28 12:12作者林妍溱https://www.ithome.com.tw/news/176180
CISA要求聯邦機構4天內修補cPanel外掛LiteSpeed重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>上週網頁伺服器系統開發商LiteSpeed揭露與修補<strong><a href="https://www.ithome.com.tw/news/176077">權限提升漏洞CVE-2026-48172</a></strong>，此漏洞存在於該公司提供cPanel用戶的外掛程式，CVSS v4.0風險達到滿分10分，LiteSpeed強調已被積極利用，呼籲用戶儘速採取行動，如今美國政府也證實這樣的情形。</p> <p>5月26日<strong><a href="https://www.cisa.gov/news-events/alerts/2026/05/26/cisa-adds-one-known-exploited-vulnerability-catalog">美國網路安全暨基礎設施安全局（CISA）發出公告</a></strong>，表示他們已掌握CVE-2026-48172遭積極利用的跡象，將其加入已遭利用的漏洞名單（KEV），<strong><a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search=CVE-2026-48172&field_date_added_wrapper=all&field_cve=&sort_by=field_date_added&items_per_page=20&url=">聯邦機構必須在5月29日前完成修補</a></strong>。</p> </div></div></div>
5/28 09:58作者周峻佑https://www.ithome.com.tw/news/176174
Health-ISAC警告Claude Mythos恐壓縮醫療健康產業漏洞修補時間，AI漏洞發現能力成新風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://health-isac.org/claude-mythos-and-its-health-sector-implications/">醫療健康產業資安情資分享組織Health-ISAC於5月發布報告</a>，警告AI模型開發商Anthropic的Claude Mythos Preview已展現高度自主攻擊能力，能用於發現與利用零時差漏洞，可能改變醫療健康產業面對漏洞管理與攻擊防禦的時間壓力。Health-ISAC指出，這類模型若維持在受控環境，可協助防禦方更快找出並修補弱點；但一旦外流或遭濫用，也可能像Cobalt Strike與Brute Ratel等合法資安工具一樣，成為攻擊者放大能力的工具。</p> <p>Health-ISAC認為，Mythos的風險不只來自<a href="https://www.google.com/search?q=Mythos++site:www.ithome.com.tw/news&num=10&sxsrf=ANbL-n4OUQQ-LyZccZMSjl8NpUwbiqx6fg:1779935687880&tbs=qdr:y">模型本身具備高度自主的漏洞尋找與利用能力</a>，也在於這類能力可能擴散到未經審查的使用者。<a href="https://www.ithome.com.tw/news/176076">目前Anthropic透過Project Glasswing</a>採取嚴格的客戶審查計畫（Know Your Customer，KYC）模式，只提供給經過完整審查的組織使用。這種受控釋出方式有助於為日後擴大開放建立管理基礎；但若模型外流，攻擊者可能更容易進行漏洞研究、產生攻擊程式，並自動化執行攻擊。</p> <p>報告以命令與控制（C2）框架Cobalt Strike、Brute Ratel作為前例，指出這些原本用於企業紅隊演練與安全評估的合法工具，後來也經常遭威脅行為者濫用於網路攻擊。Health-ISAC擔心，若Claude Mythos後續也像這些資安工具一樣遭到濫用，醫療健康產業可能面臨更高風險。報告並提到，<a href="https://www.bankinfosecurity.com/report-discord-group-uses-claudes-supposedly-secret-mythos-a-31484">Bloomberg日前報導指出</a>，某個Discord私人社群的使用者宣稱取得Claude Mythos Preview存取權；Anthropic表示正在調查此事，但沒有證據顯示，這起未授權使用事件的影響範圍已超出相關第三方供應商的IT系統。</p> <p>Health-ISAC也指出，中國企業可能在6至12個月內發展出接近Claude Mythos的漏洞發現能力。報告點名中國資安業者360 Digital Security Group已運用多代理協作漏洞發現系統，在2026年1月天府盃（Tianfu Cup）漏洞競賽取得第一名，並宣稱其AI系統已辨識出近1,000個漏洞，其中包括Microsoft Office、Windows與OpenClaw等用戶端產品中的50多個高嚴重性漏洞。報告認為，若未受監管的AI漏洞發現模型在2026年中至下半年透過Hugging Face等平臺擴散，網路犯罪分子取得AI漏洞發現能力的門檻將進一步降低。</p> <p>對資安主管而言，Health-ISAC認為，代理式AI正在壓縮漏洞從「發現」到「可用於攻擊」的時間。過去企業修補漏洞時，通常需要經過工單排程、變更時段安排、相依性盤點與跨團隊核准，但這套流程未必跟得上攻擊者加速行動的節奏。因此，企業應將修補管理視為核心防禦工作，依照漏洞是否容易被利用、系統是否暴露於外部等條件，決定修補優先順序，並建立可重複執行的自動化修補、測試與緊急變更流程；若短時間內無法修補，也應透過網路分段與其他補償性控制措施，降低單一弱點擴大成資安事件的風險。</p> </div></div></div>
5/28 10:44作者王珮瑤https://www.ithome.com.tw/news/176176
Anthropic揭露Claude代理安全設計，以環境邊界限制損害範圍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Anthropic<strong><a href="https://www.anthropic.com/engineering/how-we-contain-claude">公開說明</a></strong>Claude代理產品的安全設計，指出當AI代理取得檔案、命令列、網路與外部工具存取能力後，不能只依賴模型判斷或人工批准，而要透過執行環境隔離、檔案系統邊界與網路出口管制，限制代理遭誤用、遭攻擊或執行非預期動作時的損害範圍。</p> <p>在Claude網頁服務中，程式執行被放在伺服器端的暫時性隔離容器，檔案系統只存在於單一工作階段，代理不會直接接觸使用者本機環境。如此，降低單次執行可能造成的影響，但也限制代理可處理的工作範圍，例如沒有持久工作區，也不能直接存取使用者本機檔案。</p> <p>面向開發者的Claude Code，必須在使用者電腦上讀寫專案、執行命令列並使用網路。Anthropic原本以人工批准控管高風險操作，但遙測資料顯示，使用者批准約93%的權限提示，頻繁提示也可能讓使用者逐漸降低注意力。因此，該公司加入作業系統層級沙箱，讓代理可在工作區內較少中斷地執行任務，同時預設封鎖網路存取，減少每一步都仰賴人工判斷。</p> <p>Anthropic揭露Claude Code曾出現信任邊界問題，部分漏洞發生在使用者尚未同意信任專案資料夾前，系統已先讀取專案本機設定或啟動相關處理流程。另一次內部紅隊測試中，攻擊方以看似一般協作的提示誘使員工執行Claude Code，讓代理嘗試讀取雲端服務憑證並傳送到外部端點。Anthropic指出，這類攻擊若由使用者親自貼上指令，模型層防護未必能判斷異常，環境邊界才是主要防線。</p> <p>由於Claude Cowork針對一般知識工作者，使用者未必能判斷命令列指令是否安全，因此一開始採取本機虛擬機器隔離，只掛載使用者選定的工作資料夾與必要設定，主機憑證保留在主機鑰匙圈，不進入虛擬機器。</p> <p>不過，Anthropic也承認隔離設計仍有盲點，Claude Cowork曾因允許連向api.anthropic.com，使惡意檔案可引導代理使用攻擊者控制的API金鑰，呼叫Anthropic Files API，將工作區檔案上傳到攻擊者的Anthropic帳號。該公司後來在虛擬機器內加入防禦性中間人代理伺服器，只允許帶有該VM工作階段權杖的請求通過，並拒絕攻擊者嵌入的API金鑰。</p> <p>Anthropic認為，成熟的虛擬化、系統呼叫過濾器與容器執行環境相對可靠，真正容易出問題的往往是產品自行建置的周邊元件。</p> </div></div></div>
5/28 09:30作者李建興https://www.ithome.com.tw/news/176172
Fortinet擴增G系列次世代防火牆，同時連線數可達競品13.7倍
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://www.ithome.com.tw/sites/default/files/fortinet_fortigate_400g_series_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>近幾年以來，Fortinet持續推出更多款次世代防火牆FortiGate G系列，例如去年底我們介紹的<a href="https://www.ithome.com.tw/review/172669"><strong>FortiGate 700G</strong></a>，他們強調這批產品均配備專屬ASIC晶片，像是網路處理器NP7、安全處理器SP5、內容處理器CP10，以及長期發展的作業系統FortiOS。</p> <p><a href="/sites/default/files/images/FortiGate 3000G-2026-04.jpg"><img alt="" src="/sites/default/files/images/FortiGate%203000G-2026-04.jpg" style="width: 500px;" /></a></p> <p>時至今年5月的此刻，該公司宣布擴增兩款機型，分別是用於資料中心環境的3500G系列，以及用於企業網路邊緣環境的400G系列。</p> <p>以FortiGate 3500G系列而言，Fortinet提供兩款機型：FG-3500G、FG-3501G，均內建兩個400GbE埠。在此之前，若要選購提供400GbE埠的FortiGate，企業可評估的機型，包含內建4個400GbE埠的FG-3200F、FG-3700F、FG-3800G，以及內建8個400GbE埠的FG-4800F。</p> <p><a href="/sites/default/files/images/FortiGate 3500G-features.jpg"><img alt="" src="/sites/default/files/images/FortiGate%203500G-features.jpg" style="width: 600px;" /></a></p> <p><a href="/sites/default/files/images/FortiGate 3500G-features2.jpg"><img alt="" src="/sites/default/files/images/FortiGate%203500G-features2.jpg" style="width: 600px;" /></a></p> <p> </p> <p>相較於市面上的其他競爭產品，Fortinet指出，FortiGate 3500G系列領先幅度最大的規格，主要是同時連線數與單位效能耗電量，可分別達到6.9倍與6.1倍。</p> <p> </p> <p><a href="/sites/default/files/images/FortiGate 3500G-Comparison.png"><img alt="" src="/sites/default/files/images/FortiGate%203500G-Comparison.png" style="width: 600px;" /></a></p> <p>另一款FortiGate 400G系列，Fortinet提供兩款機型：FG-400G、FG-401G屬於中階防火牆定位的產品，能將G系列的效能、架構與運作一致性特色，帶入分散建置的網路環境。</p> <p><a href="/sites/default/files/images/FortiGate 400G-2026-04.jpg"><img alt="" src="/sites/default/files/images/FortiGate%20400G-2026-04.jpg" style="width: 600px;" /></a></p> <p><a href="/sites/default/files/images/FortiGate 400G-features.jpg"><img alt="" src="/sites/default/files/images/FortiGate%20400G-features.jpg" style="width: 600px;" /></a></p> <p>與高出一級的700G系列相比，400G系列具有不少相同規格，例如，網路埠均為16個GbE埠（SFP）、8個2.5/5GbE埠（RJ-45）、4個10GbE埠（SFP+）、4個10/25GbE埠（SFP28/SFP+）；防火牆吞吐量皆是164 Gbps，IPsec VPN吞吐量都是55 Gbps，應用程式控制吞吐量均為50 Gbps，同時連線數均為2,800萬個（700G系列最初發表時為1,600萬個）。</p> <p>而在一些高度耗用效能的規格上，400G系列就遜於700G系列，像是IPS吞吐量、次世代防火牆吞吐量、威脅防護吞吐量、SSL VPN吞吐量、SSL加密流量檢測能力，這些也反映兩者的市場定位差距。</p> <p><a href="/sites/default/files/images/FortiGate Middle models.jpg"><img alt="" src="/sites/default/files/images/FortiGate%20Middle%20models.jpg" style="width: 600px;" /></a></p> <p>對比其他競爭產品，Fortinet指出，FortiGate 400G系列與FortiGate 3500G系列一樣，都是同時連線數與單位效能耗電量領先幅度顯著，尤其是前者，FortiGate 400G系列甚至是競爭產品平均值的13.7倍，除此之外，就防火牆吞吐量而言，FortiGate 400G系列也達到競爭產品平均值的5.7倍。</p> <p><a href="/sites/default/files/images/FortiGate 400G-Comparison.png"><img alt="" src="/sites/default/files/images/FortiGate%20400G-Comparison.png" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;">Fortinet FortiGate 3500G系列</span><br /> ●原廠：Fortinet<br /> ●建議售價：廠商未提供<br /> ●機型與機箱尺寸：FG-3500G、FG-3501G均為2U<br /> ●防火牆吞吐量：595 Gbps<br /> ●次世代防火牆吞吐量：115 Gbps<br /> ●威脅防護功能全部啟用後的吞吐量：105 Gbps<br /> ●網路埠：30個1/10/25GbE埠（SFP/SFP+/SFP28）、4個40/100GbE埠（QSFP+/ QSFP28）、2個40/100/200/400GbE埠（QSFP+/QSFP28/QSFP56/QSFP-DD）<br /> ●其他連接埠：1個USB 3.0埠<br /> ●同時連線數量：1.79億個<br /> ●ASIC晶片：網路處理器NP7、內容處理器CP10<br /> ●作業系統：FortiOS 7.6.6版build6689</p> <p><span style="color:#0000FF;">Fortinet FortiGate 400G系列</span><br /> ●原廠：Fortinet<br /> ●建議售價：廠商未提供<br /> ●機型與機箱尺寸：FG-400G、FG-401G均為1U<br /> ●防火牆吞吐量：164 Gbps<br /> ●次世代防火牆吞吐量：14 Gbps<br /> ●威脅防護功能全部啟用後的吞吐量：13 Gbps<br /> ●網路埠：16個GbE埠（SFP）、8個5GbE埠（RJ-45）、4個1/10GbE埠（SFP/SFP+）、4個10/25GbE埠（SFP+/SFP28）<br /> ●其他連接埠：2個USB 3.0埠<br /> ●同時連線數量：2,800萬個<br /> ●ASIC晶片：網路處理器NP7、內容處理器CP10<br /> ●作業系統：FortiOS 7.6.6版build6689</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
5/28 01:50作者李宗翰https://www.ithome.com.tw/review/176173
NIST公布PQC數位簽章標準化新進展，9款候選演算法挺進第三輪
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國國家標準與技術研究院（NIST）自2024年8月發布首批PQC標準以來，持續擴展後量子密碼體系的完整性。除了先前已選定3款數位簽章標準與2款通用加密標準外，NIST近日宣布「額外數位簽章方案（Additional Digital Signature Schemes）」的PQC競賽，共有<a href="https://csrc.nist.gov/projects/pqc-dig-sig/round-3-additional-signatures">9項演算法晉級第三輪標準化評選</a>，以避免單一數學基礎遭破解而產生系統性的風險。</p> <p>NIST表示，本次入選第三輪的演算法包含：FAEST、HAWK、MAYO、MQOM、QR-UOV、SDitH、SNOVA、SQIsign與UOV，預計接下來將展開為期兩年的評估，檢驗各演算法的計算效率、簽章大小、驗證速度，以及對於旁路攻擊的抵禦能力。</p> <p>儘管新演算法仍在評選中，但NIST之前已強調企業不應因此推遲PQC遷移計畫。因為在數位簽章方面，2024年8月已發布FIPS 204（ML-DSA）與 FIPS 205（SLH-DSA），早已可投入使用；至於FIPS 206（FN-DSA）雖然因為實作細節較複雜，標準文件至今仍在制定，但並不影響企業先行部署前兩項PQC標準。</p> <p>在通用加密（KEM）方面，主要標準FIPS 203（ML-KEM）已正式發布，建議企業盡速採納。此外，NIST於2025年3月<a href="https://www.nist.gov/news-events/news/2025/03/nist-selects-hqc-fifth-algorithm-post-quantum-encryption">選定HQC</a>作為未來標準化的對象（可能為FIPS 207），不過此標準仍在制定階段中，尚未正式發布。</p> <p> </p> </div></div></div>
5/27 17:48作者羅正漢https://www.ithome.com.tw/news/176166
數發部資安署實測四款中國App，同是導航地圖，高德比Google Maps更危險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>數位發展部資通安全署（資安署）今日（5月27日）召開記者會，公布對高德地圖、嗶哩嗶哩（Bilibili）、愛奇藝（iQIYI）及BIMOBIMO等四款中國App的資安檢測結果。</p> <p>這次檢測由國家資通安全研究院（資安院）執行，採用黑箱方式，直接從Google Play及Apple App Store的官方平臺下載民眾常用的中國App版本，透過反組譯與開源檢測工具進行分析，涵蓋四大使用者核心風險、共十五項檢測指標。</p> <p>此次的檢測結果顯示，高德地圖在Android平臺驗出高達十一項高風險行為，iOS平臺也有八項，是本次檢測中風險最高的應用程式。</p> <p>而同樣是地圖導航類App，Google Maps在相同的測試框架下，卻未發現高德地圖最具爭議的行為，尤其在使用者未主動操作的情況下，高德地圖會「主動擷取剪貼簿」內容。這項差異清楚揭示使用中國製導航App後，其潛在代價已遠遠超過一般人的認知。</p> <h2><strong>從合法的應用程式商店，下載四款中國App進行檢測</strong></h2> <p>黑箱檢測是怎麼做的？資安院表示，此次檢測並非取得App的原始碼後進行白箱審查，而是採用黑箱方式。資安院技術人員直接從官方應用程式商店下載App的安裝檔（Android的APK與iOS的IPA），再嘗試對其進行反組譯，並搭配多套開源資安檢測工具，分析程式碼是否存在敏感的API呼叫、過度申請的系統權+-*限，以及異常的外部網路連線行為。</p> <p>這種方式的限制在於，檢測人員無法取得完整的原始碼細節，因此某些行為的觸發條件與頻率仍難以完全還原。例如，高德地圖被發現具備讀取剪貼簿的能力，但究竟是哪一個功能觸發了這個行為、觸發頻率是否固定，目前仍無法完全確定。</p> <p>儘管如此，資安院已透過實際執行環境，確認高德地圖在系統層面「曾觸發剪貼簿讀取」的系統警示，iPhone與Android手機都會跳出提示，告知使用者「高德地圖已存取剪貼簿」。</p> <p>相較之下，Google Maps面對相同測試條件時，並未觸發此類系統警示，也未被發現有主動讀取剪貼簿的行為。資安院指出，這是一個關鍵的「越線」差異——剪貼簿並非Android系統對地圖類App的標準授權範疇，高德地圖此舉，顯示其存在超出核心功能所需、過度蒐集使用者資料的傾向。</p> <h2><strong>同是地圖App，高德與Google Maps的關鍵差距</strong></h2> <p>高德地圖與Google Maps同屬地圖導航類應用程式，功能訴求高度相似，都需要存取使用者的地理位置。然而，資安院的比較測試，揭示兩者在資料蒐集行為上的本質差異。</p> <p>在Android平臺，高德地圖被檢出共十一項高風險行為，涵蓋持續讀取地理位置、讀取剪貼簿、讀取影音或即時影像、讀取麥克風、讀取通訊錄、讀取行事曆、讀取健康紀錄、讀取儲存空間、讀取裝置識別碼、於關閉狀態下對外傳輸資料，以及將資料傳輸至中國境內伺服器等。Google Maps則未發現上述多項行為，尤其是剪貼簿的主動截取。</p> <p>導航App需要位置權限，但地圖應用App為何需要讀取使用者的健康紀錄？為何需要存取通訊錄？為何需要在App完全關閉後，仍持續對外傳輸資料？這些問題，是評估高德地圖是否「越線」的核心所在。</p> <p>資安署署長蔡福隆直言，高德地圖「要求存取與核心功能無關之敏感權限，可能涉及過度蒐集個資，並增加資料外洩、行為追蹤及個資被濫用之風險」。</p> <p>資安署主任李昱瑋也提醒，「剪貼簿」的風險尤其值得關注，因現代人習慣從密碼管理器「複製」帳號密碼、從網頁「複製」信用卡卡號，或複製銀行的一次性驗證碼（OTP）。</p> <p>李昱瑋認為，一旦這些敏感資訊存在剪貼簿中，高德地圖便能在使用者不知情的狀況下，讀取這些內容；即使使用者完全沒有在App內進行任何「貼上」操作，系統仍可能跳出「高德地圖已存取剪貼簿」的警示。</p> <h2><strong>Android看似風險高，高風險App仍可合理繞過iOS限制</strong></h2> <p>本次資安署檢測中國App時，同時涵蓋Android與iOS雙平臺，結果顯示整體Android用戶面臨的風險明顯高於iOS用戶，但這並不代表iPhone用戶可以高枕無憂。</p> <p>在Android平臺，高德地圖驗出十一項高風險指標；iOS平臺則為八項，這些差異主要集中在兩個方面：其一是「讀取使用者的剪貼簿」——此行為在Android版本被檢出，但iOS版本未被檢出；其二是「於關閉狀態下對外傳輸資料」——同樣僅在Android版本被觸發。</p> <p>上述差異根源於iOS系統底層架構的設計哲學，當蘋果手機使用者將App切換至背景或退出介面時，iOS會在數秒內切斷該App的CPU運算能力與網路存取權限，使其進入完全休眠的「假死」狀態。這意味著，即便App的程式碼內建背景傳輸指令，iOS的系統層限制也使其難以運作。</p> <p>此外，iOS採用統一的推播通知服務（APNs），所有App的訊息推播都必須透過蘋果官方伺服器中轉，App本身無法自行建立持續的背景連線；再加上嚴格的沙盒（Sandbox）隔離機制，每個App都被限制在各自獨立的環境中，無法直接讀取其他App的資料，也無法互相「喚醒」，因此，切斷了中國高風險App家族常見的「聯動喚醒」與「寄生常駐」手段。</p> <p>然而，iOS用戶並非毫無風險。在本次檢測中，四款中國App的iOS版本，全數被驗出「讀取使用者的影音或即時影像」、「讀取裝置的識別碼」，以及「將資料傳輸到中國境內伺服器」。</p> <p>其中，愛奇藝、嗶哩嗶哩和BIMOBIMO的iOS版本，皆被發現讀取使用者的健康紀錄——這對任何影音娛樂或聊天軟體而言，同樣是完全超出合理使用範疇的行為。</p> <p> </p> <p><img alt="" src="/sites/default/files/images/600-%E5%9B%9B%E6%AC%BE%E4%B8%AD%E5%9C%8BApp%E8%B3%87%E5%AE%89%E9%A2%A8%E9%9A%AA%E6%AA%A2%E6%B8%AC%E7%B5%90%E6%9E%9C_%E5%9C%96%E7%89%87%EF%BC%9AGimini%E7%94%A2%E5%87%BA.png" style="width: 600px; height: 803px;" /></p> <blockquote><p>中國依照「網絡安全法」及「國家情報法」規定，可要求企業將用戶資料及數據提供給國安、公安及情工部門，恐使國人個資遭中國特定單位蒐集及運用；若資料在管理或流通過程中外洩或流入不法市場，可能遭犯罪集團利用於AI詐騙。<br /> 圖片來源：Gimini產出</p> </blockquote> <h2><strong>高德地圖：檢出十一項高風險，完整建立數位足跡</strong></h2> <p>高德地圖是本次檢測風險最高的應用程式，其超出核心功能的資料蒐集行為最廣泛。</p> <p>除了前述的剪貼簿問題，高德地圖在檢測時被發現，會持續讀取並記錄使用者的行動軌跡，包括：即時定位位置、歷史位置紀錄、常去地點、幾點出門、多久抵達目的地，以及在特定地點停留了多久。</p> <p>李昱瑋表示，這些資訊被整合後，足以建立關於使用者活動範圍與生活習慣的完整「數位足跡」，進而對人身安全構成潛在威脅。試想，若一名商務人士或政府官員使用高德地圖，其每日的行程規律、常去的機密場所，都可能被系統性地記錄並傳往境外。</p> <p>此外，高德地圖在背景持續讀取影音、即時影像及麥克風的權限，意味著：即便使用者並未主動開啟錄音或錄影功能，App也可能在背景側錄周遭的聲音與影像。</p> <p>這對於某些正在進行商業會議的企業人士而言，或在家中與親人閒話家常的一般民眾，都構成了隱私洩漏的隱憂。</p> <p>他也提醒，倘若這些聲音與面部影像資料不幸流入黑市、暗網等不法市場，結合當前生成式AI技術，極易被用於製作深偽（Deepfake）影片，可能成為詐騙其親友或企業財務人員的素材。</p> <h2><strong>嗶哩嗶哩與愛奇藝：影音平臺背後的行事曆竊探</strong></h2> <p>嗶哩嗶哩與愛奇藝這兩款熱門影音串流平臺，前者在Android平臺驗出八項高風險指標，後者則有七項；在iOS平臺則各有六項。</p> <p>其中最值得注意的是，這兩款App都被發現：會讀取使用者的行事曆或待辦事項，並讀取剪貼簿；同時，在關閉狀態下，也能對外傳輸資料，且將資料傳輸至中國境內伺服器。</p> <p>用來看影片的App，為何需要查看用戶的行事曆？這兩款App蒐集使用者的日常行程、生活習慣，乃至剪貼簿暫存的帳號密碼，甚至是信用卡等資訊，都可能在使用者毫不知情的情況下遭到蒐集，並傳往中國。</p> <p>其中，嗶哩嗶哩的Android版本，還被發現會讀取使用者的麥克風，意味著：即便只是在手機上看影片，背景的麥克風可能仍在運作。</p> <h2><strong>BIMOBIMO：精準低調情蒐，鎖定裝置識別碼</strong></h2> <p>聊天軟體BIMOBIMO在兩個平臺的風險項目數量最少，Android有五項、iOS也有五項，乍看之下似乎相對安全。但若進一步分析，BIMOBIMO反而精準鎖定幾個殺傷力最強的核心目標，包括：讀取儲存空間（系統檔案及資料）、讀取裝置識別碼，以及將資料傳輸至中國境內伺服器。</p> <p>裝置識別碼如同每一臺手機的唯一身分證，一旦這個識別碼被掌握，對方就可以在雲端資料庫中，將不同App蒐集到的各類個人資料進行「身分關聯」（Device Fingerprinting），就可以拼湊出使用者完整的隱私輪廓。</p> <p>若進一步結合儲存空間中可能存有的個人聲音、影像資料，以及對方已掌握的裝置識別碼，李昱瑋提醒，犯罪集團便可能利用這些資源，對使用者本人或其社交圈發動高度客製化的AI深偽詐騙攻擊。</p> <p>＠小標：中國法規是最根本風險，任何中國App資料都可依法被中國政府調取</p> <p>撇開上述具體的技術風險，有一個結構性問題是所有中國App共同面對的——中國政府依照《網絡安全法》及《國家情報法》的規定，可以要求在中國境內營運的企業，將其蒐集的用戶資料提供給中國的國家安全、公安及情報工作部門。</p> <p>這意味著，只要一款App的背後是中資企業，且其伺服器座落於中國境內，無論該App在技術上的資料蒐集行為是否已超出合理範疇，使用者的資料，最終都面臨可能被中國政府「合法調取」的風險。</p> <p>而且，以本次檢測的四款App為例，全數被確認會將資料傳輸至中國境內伺服器，李昱瑋表示，這個法規面帶來的根本風險，對每一位使用中國App的用戶，都是真實存在。</p> <p>蔡福隆指出，依據臺灣《資通安全管理法》的規定，公務機關不得下載、安裝或使用高德地圖、嗶哩嗶哩、愛奇藝及BIMOBIMO等危害國家資通安全的中國App，且公務機關配發供業務使用的手機與筆電，同樣禁止安裝這些App。</p> <p><img alt="" src="/sites/default/files/images/600-%E5%AE%89%E5%8D%93%E5%9B%9B%E6%AC%BEApp%E9%A2%A8%E9%9A%AA.jpg" style="width: 600px; height: 342px;" /></p> <p> </p> <p><img alt="" src="/sites/default/files/images/600-iOS%E5%9B%9B%E6%AC%BEApp%E9%A2%A8%E9%9A%AA.jpg" style="width: 600px; height: 338px;" /></p> <h2><strong>資安署推三大資安防護原則，可手動設定進階安全權限</strong></h2> <p>如何降低行動裝置App使用的資安風險？資安署提供三項基本的資安防護原則。第一，在安裝App前，應詳細閱讀其隱私權政策，確認App如何蒐集、使用及傳輸個人資料；第二，在授權App權限前，應仔細確認每一項權限要求是否與該App的核心功能相符。例如，一款導航地圖App若要求存取通訊錄，便是明顯不合理的要求，應定期檢視手機設定並關閉不必要的權限，同時刪除不再使用的App。第三，安裝手機資安防護軟體或工具，偵測異常行為，強化手機安全防護。</p> <p>對於Android用戶而言，由於系統底層架構較為開放，提升資安風險的防護需要更主動的操作。若因特殊需求不得不使用這類App，建議可以在手機系統設定，強制手動關閉「背景資料傳輸」與「背景執行」權限，並啟用「不使用時，暫停App活動」功能。</p> <p>由於中國App對剪貼簿的情蒐行為尤其積極，資安專家也建議，使用者可以養成一個習慣：在複製帳號密碼、信用卡卡號或任何敏感文字後，隨手再複製一段無意義的空白字元，覆蓋掉剪貼簿中的敏感資料，降低被截取的風險。</p> <p>雖然iOS的底層架構已提供相當程度的防護，但仍可以手動確認幾個關鍵設定，達到更嚴密的防護效果。</p> <p>首先，針對「區域網路」權限，許多App會以「連接智慧家電」為藉口要求這項權限，實際上，此舉可能是用來掃描家中或公司Wi-Fi網域內的其他裝置，進行環境情蒐。</p> <p>建議可以至「設定→隱私權與安全性→區域網路」，關閉影音、社群類App的此項權限，這不會影響正常上網與影片觀看。</p> <p>其次，關於「照片」存取權限，預設選項往往是「允許存取所有照片」，但這等於讓App有機會掃描整個相簿，包括可能包含密碼、身分證或信用卡資訊的截圖。</p> <p>建議所有iOS使用者可至「設定→隱私權與安全性→照片」，針對高風險App，將存取範圍限制為「選取的照片」。</p> <p>第三，關於「地理位置」的精準度，即便必須授予位置權限，也可以至「設定→隱私權與安全性→定位服務」，進入該App的設定，將「準確位置」的開關關閉。關閉後，App只能得知使用者大約在哪個行政區，而無法精準定位到街道與門牌。</p> <p>第四，關於剪貼簿的防護，iOS允許使用者控制App存取剪貼簿的行為。建議iOS使用者進入「設定」，找到該App的專屬設定頁面，將「從其他App貼上」的選項，從「詢問」改為「拒絕」，強制阻斷App讀取剪貼簿的行為。</p> <p>最後，建議至「設定→隱私權與安全性→追蹤」，直接關閉「允許App要求追蹤」，防止App讀取廣告識別碼（IDFA），阻斷其與其他App聯手建立使用者完整行為輪廓的能力。</p> <h2><strong>中國App安裝在單獨手機，企業推MAM區隔公司與私人生活</strong></h2> <p>對於在工作或生活中「不得不使用」這類App的情境，例如需要與中國大陸地區的客戶或親友保持聯繫，蔡福隆建議，可以採用「物理隔離」的方式，準備一支專用的備用手機，專門安裝這類高風險App，並且不在該手機上存放任何工作資料、不登入任何公司帳號、不連接公司內部網路。他表示，如此一來，即便該手機遭到資料蒐集，也無法成為企業資安防線的破口。</p> <p>此次資安署的檢測報告，著重在對一般民眾的提醒，但對企業而言，同樣存在一個容易被忽視的隱患，意即：許多企業允許員工使用個人手機（Bring Your Own Device，BYOD）存取公司郵件與內部系統。</p> <p>如果員工的個人手機安裝這些中國高風險App，而這支手機同時連接著公司的企業內部網路，或透過VPN存取公司伺服器，這些App所具備的「跨App資訊存取」與「擷取系統資訊」能力，便可能成為滲透企業資安防線的跳板。</p> <p>蔡福隆表示，包括商業機密、企業通訊錄、乃至開發中的產品原始碼，都可能透過一支安裝了高風險App的員工個人手機，透過「合法授權」的管道悄悄外流，造成供應鏈安全的連帶信任危機。</p> <p>有鑑於此，資安專家建議，企業資安主管可以考慮推動行動應用管理（MAM）技術，在手機的作業系統底層，對員工手機的「個人生活區」與「公司公務區」進行隔離，可以確保公務資料無法被跨App讀取，同時建立合理的行動裝置App 稽核機制與白名單制度。</p> <p>蔡福隆表示，此次檢測四款中國App的起點，是今年四月二十三日行政院院會後的記者會，當時已針對高德地圖的資安疑慮提出說明，並宣布將委託國家資通安全研究院進行全面技術檢測。如今，檢測結果也驗證了當時的資安疑慮。</p> <p>對於一般民眾而言，面對這類「合法權限掩護隱蔽傳輸」的App行為，最直接的自保之道，就是在非必要的情況下，避免下載與使用來自中國的App；若有使用需求，則按照上述的防護原則，盡可能限縮這些App能夠存取的個人資訊範圍。</p> <p><img alt="" src="/sites/default/files/images/600-%E4%B8%AD%E5%9C%8BApp%E8%94%A1%E7%A6%8F%E9%9A%86_%E9%BB%83%E5%BD%A5%E6%A3%BB%E6%94%9D.jpg" style="width: 600px; height: 415px;" /></p> <blockquote><p>數位發展部資通安全署署長蔡福隆指出，依據臺灣《資通安全管理法》的規定，公務機關不得下載、安裝或使用高德地圖、嗶哩嗶哩、愛奇藝及BIMOBIMO等危害國家資安全的中國App，且公務機關配發供業務使用的手機與筆電，同樣禁止安裝這些App。<br /> 攝影 ∕ 黃彥棻</p> </blockquote> <p> </p> <p><img alt="" src="/sites/default/files/images/600-%E4%B8%AD%E5%9C%8BApp%E6%9D%8E%E6%98%B1%E7%91%8B_%E9%BB%83%E5%BD%A5%E6%A3%BB%E6%94%9D.jpg" style="width: 600px; height: 401px;" /></p> <blockquote><p>數位發展部資通安全署主任李昱瑋表示，以本次檢測的四款中國App為例，全數被確認會將資料傳輸至中國境內伺服器，而中國政府依法可要求在中國維運的App提供所需資訊的法規面風險，對每一位使用中國App的用戶，都是真實存在。<br /> 攝影 ∕ 黃彥棻攝</p> </blockquote> </div></div></div>
5/27 17:41作者黃彥棻https://www.ithome.com.tw/news/176165
Deno 2.8強化Node.js相容性，新增套件管理與CI流程CLI命令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>JavaScript執行環境Deno團隊發布<strong><a href="https://deno.com/blog/v2.8">Deno 2.8</a></strong>，這次更新重點放在強化Node.js與NPM套件系統的相容性，並新增多項CLI命令，讓開發者能在Deno中處理套件安裝、自動化建置、版本更新、相依關係查詢與套件發布流程，讓既有Node.js專案更容易搭配Deno工具鏈一起使用。</p> <p>Deno主打安全預設與單一執行檔工具鏈，不過，若要讓更多Node.js專案順利使用Deno，仍需要提高相容性，並補強套件安裝、建置與發布等流程。Deno 2.8對Node.js官方測試套件的通過率，從Deno 2.7約42%提高到76.4%，在4,457項測試中通過3,405項，擴大對Node.js常用功能的支援範圍。</p> <p>Deno 2.8調整CLI使用方式，開發者透過命令列加入或安裝套件時，未加來源前綴的套件名稱會預設視為NPM套件。官方提到，該功能調整的目的，是讓命令列操作更接近多數JavaScript開發者熟悉的使用習慣。</p> <p>新版新增的CLI命令，則補強開發到交付之間的常見工作。Deno 2.8加入適合CI環境的安裝模式，能依照鎖定檔安裝相依項目，避免自動化建置時意外改變套件版本，並也新增套件打包（deno pack）能力，可將專案產生為NPM可接受的發布封裝。開發者也能查詢某個套件是透過哪一層相依關係被帶入專案，較容易判斷套件來源與版本關係。</p> <p>其他新增命令則處理漏洞修補、版本更新與程式轉換。新版可在版本限制允許的範圍內，自動升級受已知漏洞影響的NPM套件，也能更新專案設定檔中的版本號。對需要預先產生JavaScript檔案的場景，Deno 2.8提供將TypeScript、JSX或TSX轉成JavaScript的命令。</p> <p>Deno 2.8也改善執行效能與除錯能力，根據官方公布的Linux測試顯示，冷啟動NPM安裝時間由Deno 2.7.1的3,319毫秒降至906毫秒。新版也支援在Chrome DevTools中檢視Deno程式的網路流量，方便開發者觀察程式對外連線與請求狀況。 </p> <p>Deno 2.8內建TypeScript 6.0.3，型別檢查、打包（deno bundle）、語言伺服器與編譯功能會自動使用新版本。新版也加入工作區集中管理套件版本的能力，方便大型專案在多個子專案之間維持一致相依項目版本，並支援只安裝正式環境需要的套件，供部署與CI流程使用。</p> </div></div></div>
5/27 16:23作者李建興https://www.ithome.com.tw/news/176163
【資安日報】5月27日，互動資通OTP簡訊平臺EVERY8D遭駭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/176142"><strong style="font-size: 22px;">互動資通OTP簡訊平臺EVERY8D遭駭，F-ISAC發布黃燈級資安事件警訊</strong></a></p> <p><a href="/sites/default/files/images/hu_dong_zi_tong_bfwai_xie_zi_xun-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/hu_dong_zi_tong_bfwai_xie_zi_xun-63.jpg" style="width: 300px; float: right;" /></a>國內企業簡訊與通訊軟體供應商互動資通（Teamplus）日前疑似遭受嚴重的網路攻擊與勒索軟體侵害，導致其核心業務、市占第一的EVERY8D企業簡訊平臺全面癱瘓。金融資安資訊分享與分析中心（F-ISAC）於5月26日下午，正式對此一資安事件發布黃燈等級的資安事件警訊，並要求所有會員機構必須採取「先釐清暴露面，再進行應變處置」的緊急手段，同時發布五點防禦指引作為會員機構的防禦參考。這場風暴的開端可追溯至5月21日，身分不明的駭客在知名駭客地下論壇中，以「SELLING」為標題，公開兜售互動資通的上市公司網域控制器帳號，以及EVERY8D企業簡訊平臺的相關資料。</p> <p><a href="https://www.ithome.com.tw/news/176141"><strong style="font-size: 22px;">臺馬二號海纜完成搶修，東引脫離「單一備援」狀態</strong></a></p> <p>數發部於5月26日表示，中華電信已於25日通報完成臺馬二號海纜修復作業，將今年3月7日臺馬二號海纜距離淡水沙崙約23.6公里處的全斷障礙正式排除，目前東引地區語音、行動通訊及網際網路服務已恢復透過海底電纜傳輸，結束近一個月主要依靠微波備援系統支撐的狀態。此次修復之所以受到關注，原因在於東引及馬祖地區近來接連遭遇海纜故障事件，首先是臺馬二號海纜在去年10月7日部分芯線受損障礙，後續臺馬二號海纜又在今年的3月7日於距沙崙23.6公里處發生斷纜，使得當地通訊只能仰賴臺馬三號海纜支援。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=182848&SPOKE_DATE=20260526&COMPANY_ID=5287"><strong style="font-size: 22px;">數字科技發布資安重訊，揭露開發測試流程疏失導致原始碼與個資外流</strong></a></p> <p>旗下擁有591房屋交易網、8591、518熊班與小雞上工等知名平臺的數字科技（5287），於5月26日晚間發布資安重訊，揭露因開發測試流程疏失導致的原始碼與個資外流事件。根據數字科技說明，公司今年5月25日進行內部活動網頁開發與測試作業時，因程式碼管理設定不當，致使部分尚未去識別化的測試原始碼曾短暫被推送至外部平臺，而這些內容涉及特定專案的會員姓名、身分證字號及電子郵件等敏感資訊。</p> <p><a href="https://www.ithome.com.tw/news/176146"><strong style="font-size: 22px;">日本學習管理系統KnowledgeDeliver存在零時差漏洞，駭客用於部署Godzilla</strong></a></p> <p>日本常見的學習管理系統（LMS）KnowledgeDeliver存在資安重大漏洞CVE-2026-5426，根據Google旗下的Mandiant與威脅情報團體（GTIG）最新揭露，起因是2025年底發生的資安事故。Google表示他們發現有駭客組織濫用相關權限，在KnowledgeDeliver平臺注入惡意程式碼，目的是感染存取該網站的使用者裝置。駭客在成功取得存取權限後，就會在該平臺植入以.NET打造的Webshell，此惡意程式被稱為Godzilla（BlueBeam）。</p> <p><a href="https://www.ithome.com.tw/news/176122"><strong style="font-size: 22px;">北韓駭客Lazarus鎖定金融與加密貨幣機構，散布惡意軟體RemotePE</strong></a></p> <p><a href="/sites/default/files/images/remotepe_diagram-4-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/remotepe_diagram-4-63.jpg" style="width: 300px; float: right;" /></a>資安公司Fox IT指出，北韓駭客組織Lazarus從原本使用惡意程式ThemeForestRAT和PondRAT，更換為僅在記憶體運作的工具組，涵蓋3種惡意程式DPAPILoader、RemotePELoader，以及RemotePE。具體來說，這些工具可形成一系列攻擊鏈，Lazarus通常會濫用Windows服務，或是透過側載方式啟動DPAPILoader，該惡意程式再濫用作業系統內建的Windows Data Protection API（DPAPI），解密並載入另一支惡意程式RemotePELoader，最終啟動遠端存取木馬（RAT）RemotePE。</p> <p><a href="https://www.ithome.com.tw/news/176145"><strong style="font-size: 22px;">7-Eleven資料外洩事故外流逾18.5萬客戶個資</strong></a></p> <p>在4月17日，駭客組織ShinyHunters聲稱從便利商店龍頭7-Eleven竊得超過60萬筆資料，開價25萬美元兜售；一個月後，7-Eleven向美國緬因州檢察長辦公室通報資料外洩事故，並指出事故發生在4月8日，該公司自5月1日起通知受影響人士。近日密碼外洩查詢網站Have I Been Pwned（HIBP）將這起資安事故加入資料庫，並指出有18.53萬個帳號受到影響，其中包括電子郵件信箱、姓名、實體地址、出生日期、電話號碼。</p> <p><a href="https://www.ithome.com.tw/news/176124"><strong style="font-size: 22px;">2026世界盃倒數一個月，當心鎖定球迷的偽冒FIFA網站</strong></a></p> <p><a href="/sites/default/files/images/sitio-falso-fifa-mundial-26-2-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/sitio-falso-fifa-mundial-26-2-63.jpg" style="width: 300px; float: right;" /></a>不到一個月後，2026年世界盃足球賽將於美國、加拿大與墨西哥舉行。資安公司ESET近日發出警示，發現多個偽冒FIFA（國際足總）官方網站的釣魚網站，攻擊者透過註冊與官方名稱相近的網域，鎖定正在尋找門票、住宿或官方商品的球迷，藉此騙取個資與信用卡資訊。這些攻擊活動並非零星個案，而是有組織的運作。攻擊者註冊了多種變體的偽冒網域，即使部分網站因被檢舉而下架，仍能透過其他備用網域維持詐騙活動運作。</p> <p><a href="https://www.ithome.com.tw/news/176119"><strong style="font-size: 22px;">鎖定SonicWall防火牆的掃描活動激增，疑為利用新漏洞前兆</strong></a></p> <p><a href="/sites/default/files/images/6a0e0c0afd965436cf1294ba_GreyNoise-Q1-Activity-Spikes-Preceded-CVE-2026-0400-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/6a0e0c0afd965436cf1294ba_GreyNoise-Q1-Activity-Spikes-Preceded-CVE-2026-0400-63.jpg" style="width: 300px; float: right;" /></a>威脅情報公司GreyNoise發現，近二週鎖定SonicWall防火牆管理介面的掃描活動顯著增加，最高一天將近60萬次，有可能是新漏洞或零時差漏洞即將被利用的前兆，對此，他們呼籲IT人員立即採取行動因應。由於這個現象和今年初掃描激增現象頗為相似，因此GreyNoise認為，之後可能會出現新漏洞。今年初，GreyNoise團隊1月18日、30日及2月14日先後觀察到掃描高峰，10天後就發現了CVE-2026-0400。因此GreyNoise指出，兩週來的掃描次數激增可能是漏洞揭露的前兆。</p> <p><a href="https://www.ithome.com.tw/news/176072"><strong style="font-size: 22px;">TeamPCP滲透資料圖形化程式庫AntV，影響逾600個套件</strong></a></p> <p><a href="/sites/default/files/images/e24a7f4437ee577d2d69db1e54b2cdc6f3cfe1b3-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/e24a7f4437ee577d2d69db1e54b2cdc6f3cfe1b3-63.jpg" style="width: 300px; float: right;" /></a>多家資安公司Aikido、Endor Labs、Socket、Step Security提出警告，駭客團體於5月19日發起最新一波Mini Shai-Hulud供應鏈攻擊活動，主要目標是阿里巴巴資料圖形化程式庫AntV生態系統套件，由於被入侵的NPM帳號維護的套件每週下載次數達到150萬，因此，受影響的套件數量快速增加，Socket確認駭客滲透323個套件，上架639個惡意套件。Step Security指出，這些套件內含經混淆處理的惡意酬載，會讀取記憶體中的GitHub Actions執行程序內容，挖掘其中的CI/CD機密資料，從AWS、GCP、Azure、Kubernetes、HashiCorp Vault、加密貨幣錢包及開發者工具等超過130種管道收集憑證，然後透過兩種機制外流。</p> <p><a href="https://www.ithome.com.tw/news/176152"><strong style="font-size: 22px;">Anthropic擴大Project Glasswing合作對象，有意將Claude Mythos推向一般企業</strong></a></p> <p>4月初Anthropic發布Claude Mythos預覽版，由於該模型威力極為強大，該公司決定限縮使用範圍，透過Project Glasswing專案讓特定科技及金融廠商用來挖掘資安漏洞，本週Anthropic宣布，將把Project Glasswing擴及更多政府等組織，終極目標是將該模型公開推出。Anthropic將Project Glasswing擴大到更多關鍵合作夥伴，包括美國及盟國政府，一旦該公司具備更強大的安全防護機制，將有可能把Mythos等級的模型公開（general release）給大眾使用。</p> <p><a href="https://www.ithome.com.tw/news/176133"><strong style="font-size: 22px;">OpenSSF發布Python安全程式開發指南，可用於開發者培訓、資安研究與AI工具評測</strong></a></p> <p>開源軟體安全基金會（OpenSSF）於5月12日發布《Python安全程式開發指南》（Secure Coding Guide for Python，pyscg）首版，內容涵蓋9大章節、超過50項規則，並以可執行程式碼範例示範常見弱點與修正方式，可用於開發者培訓、資安研究，以及大型語言模型與靜態分析工具評測。這份指南聚焦CPython 3.9及之後版本與標準函式庫，避免依賴特定網頁框架或第三方模組，讓不同技術堆疊的團隊都能套用當中揭示的原則。</p> <p><a href="https://www.ithome.com.tw/news/176131"><strong style="font-size: 22px;">NIST發布製造業資安實務指南草案，聚焦ICS網路攻擊事件應變與復原</strong></a></p> <p>為了強化製造業資安，在5月21日，美國國家標準暨技術研究院（NIST）國家網路安全卓越中心（NCCoE）公開《製造業網路攻擊回應與復原：資安實務指南》初版草案，文件編號為NIST SP 1800-41，聚焦工業控制系統（ICS）環境，說明製造業者如何依據NIST網路安全框架2.0版（NIST CSF 2.0）建立事件回應與復原流程，以降低停機與營運衝擊。這份指南也參考NIST另外兩份文件，分別是：《NISTIR 8428》以及《NIST SP 800-61r3》。</p> <p><a href="https://www.ithome.com.tw/news/176115"><strong style="font-size: 22px;">CDM發明人推AI Defense Matrix，建構AI安全配套框架</strong></a></p> <p>隨著生成式AI浪潮席捲全球，企業在導入AI技術的同時，也面臨前所未有的安全挑戰。知名資安專家、網路防禦矩陣（Cyber Defense Matrix，CDM）發明人Sounil Yu，於5月中旬宣布與資安專家Lenny Zeltser攜手合作，發表全新的AI防禦矩陣（AI Defense Matrix），目的是協助資安主管識別防禦缺口、確立權責歸屬，並針對AI系統選擇精準的控管措施。同時，對於資安供應商而言，這套框架亦能協助其釐清產品價值定位，並擬定更具策略性的產品發展藍圖。</p> <p><a href="https://www.ithome.com.tw/news/176104"><strong style="font-size: 22px;">CIS發布Benchmark安全設定基準更新，涵蓋PostgreSQL、Kubernetes與SQL Server</strong></a></p> <p>非營利的資安組織網際網路安全中心（Center for Internet Security，CIS），近日發布CIS Benchmarks更新，新增多項針對雲端、容器與作業系統環境的安全設定基準，涵蓋PostgreSQL、Kubernetes、SQL Server、AWS、微軟Office 365等平臺，協助企業進行系統安全強化（Hardening），降低設定錯誤的風險。CIS Benchmarks是CIS發布的安全設定與強化基準，涵蓋作業系統、雲端服務、資料庫、網路設備與容器平臺等環境，廣泛被用於資安稽核、法規遵循與系統安全檢查。</p> <p><a href="https://www.ithome.com.tw/news/176089"><strong style="font-size: 22px;">CIS推出支援AI與HPC的強化映像檔，協助企業在AWS部署安全雲端環境</strong></a></p> <p>許多組織準備的AI執行環境所採用的組態標準不一，甚至等系統部署後才回頭補強安全措施，不僅增加風險，也讓安全與營運團隊更難維持一致的防護狀態。為了降低這類部署風險，非營利資安組織網際網路安全中心（CIS）將既有CIS Hardened Images產品線延伸到AI與高效能運算（HPC）場景。CIS Hardened Images是依據CIS Benchmarks建立的預先配置虛擬機器映像檔，可在主要雲端平臺提供預設具備安全組態的作業系統環境。</p> <p><a href="https://www.ithome.com.tw/news/176088"><strong style="font-size: 22px;">Underminr濫用共享CDN架構，讓惡意連線偽裝成可信網域流量</strong></a></p> <p>資安業者ADAMnetworks揭露藏匿在內容傳遞網路（CDN）基礎架構中的安全漏洞Underminr，宣稱駭客可利用該漏洞繞過安全偵測，估計影響全球約8,800萬個網域。惡意程式可讓受害裝置先查詢一個被允許的可信網域A，取得它背後的CDN邊緣IP位址；但真正連到該IP位址時，卻在TLS SNI（伺服器名稱指示）與HTTP Host中指定另一個同樣位於該CDN共享邊緣上的惡意網域B。這麼做使惡意程式可把C2通訊、資料外洩或代理流量偽裝成正常連線。</p> <p><a href="https://www.ithome.com.tw/news/176143"><strong style="font-size: 22px;">蘋果OS新推出的基礎密碼學程式庫內建兩種量子安全演算法，並推出形式驗證工具</strong></a></p> <p>在蘋果的安全工程與架構團隊（SEAR）與硬體技術正式驗證團隊的合作之下，針對作業系統發布新的基礎密碼學程式庫corecrypto，當中實作兩種量子安全演算法：ML-KEM、ML-DSA，以及該公司建立的數學證明，以確保它們符合FIPS 203與FIPS 204這兩種美國聯邦資訊處理標準的要求，供專家獨立評估。在此同時，為了提升關鍵軟體安全保障，使其達到最先進的水準，蘋果也發布自行建立的形式驗證（formal verification）程式庫與工具。</p> <p><a href="https://www.ithome.com.tw/news/176011"><strong style="font-size: 22px;">微軟開源RAMPART，讓代理安全測試CI化</strong></a></p> <p>微軟開源測試AI代理安全性的工具RAMPART，讓工程團隊把資安團隊在模擬攻擊中發現的問題，或實際AI事件中的風險情境，轉成可以反覆執行的自動化測試，並放進持續整合流程，也就是每次程式變更時都能一起檢查，避免修正過的安全問題之後又重新出現。該公司也開源Clarity，協助團隊在正式開發前釐清開發假設、可能出錯的情境與重要設計決策。兩項工具處理的階段不同，RAMPART偏向開發中的安全測試，Clarity則偏向開發前的問題釐清與決策記錄。</p> <p><a href="https://www.ithome.com.tw/news/176042"><strong style="font-size: 22px;">Flipper公布Flipper One計畫</strong></a></p> <p>主要開發開源硬體與資安工具產品的Flipper Devices，因推出Flipper Zero可攜式資安裝置在資安研究者、硬體玩家與創客社群間快速走紅，近日他們公布新專案Flipper One，目標是打造全球最開放、文件最完整的ARM電腦，完整支援Linux主線核心（Mainline Linux Kernel）。Flipper宣稱Flipper One與Flipper Zero定位完全不同，Flipper Zero偏向近距離通訊與裝置訊號分析，Flipper One則聚焦IP網路與Linux運算能力。</p> <p><a href="https://www.ithome.com.tw/news/176065"><strong style="font-size: 22px;">CISA宣布提供研究人員通報漏洞已遭利用的管道</strong></a></p> <p>5月21日美國網路安全暨基礎設施安全局（CISA）發布公告，表示為了讓研究人員、供應商，以及產業合作夥伴能更容易通報遭到利用的漏洞，他們推出已遭利用漏洞列表（KEV）的漏洞提報表單（Nomination Form）系統，期望這種新的通報機制能增加CISA快速識別、驗證、共享KEV相關的重要威脅情資。CISA設立KEV的漏洞提報表單平臺的目的，就是鼓勵研究人員進行誠信的資安研究，並促進透明、協調的網路風險修復。</p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/176130"><strong>【5月26日】馬偕醫院再傳遭駭客竊取資料，院方表示疑為去年舊案</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176130"><strong>【5月25日】GitHub內部儲存庫的程式碼外流，確認遭供應鏈攻擊事故波及</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176053"><strong>【5月22日】微軟修補防毒軟體零時差漏洞</strong></a></p> </div></div></div>
5/27 16:33作者周峻佑https://www.ithome.com.tw/news/176159
Google揭露中國網釣即服務平臺YY Lai Yu，日本成首要網釣目標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>對於中國網釣即服務平臺的危害，近日<a href="https://cloud.google.com/blog/topics/threat-intelligence/chinese-language-phishing-services">Google威脅情報小組（GTIG）公布相關案例</a>，指出名為YY Lai Yu（YY来鱼）的PhaaS平臺，正利用高度自動化的「在地化即服務（Localization-as-a-Service）」模式，大規模發動精準的網路釣魚攻擊。</p> <p>GTIG調查顯示，「YY来鱼」自2024年8月開始活躍，宣稱支援全球119國的網釣活動。其核心目標目前鎖定日本市場，專為中文攻擊者提供滲透日本消費生態系所需的在地化工具。</p> <p>自2025年11月至今，該平臺已提供超過400種釣魚模板。值得關注的是，這些模板不再僅限於傳統的偽冒銀行頁面，而是深度偽造日本民眾的日常數位服務，品牌涵蓋 Amazon、Apple、PayPay、JR鐵路、任天堂，以及野村、樂天等證券公司與佐川急便等物流業者。同時，該平臺也進一步利用當地消費習慣與時事主題，以積分獎勵兌換、日本冬季電力補助等名義，引誘民眾上當。</p> <p>在攻擊管道方面，該平臺支援RCS與iMessage加密簡訊發送功能，讓攻擊者得以規避電信業者過濾；此外，「YY来鱼」也提供獨特的真人驗證視窗機制（human verification anti-bot screen），能阻擋資安廠商的自動化掃描，規避偵測並延長釣魚連結的存活時間。</p> <p>GTIG 強調，雖然「YY来鱼」目前以日本為主要目標，但攻擊活動正向全球擴散，美洲、歐洲、澳洲及中東地區均已出現受害者，顯示此類中文自動化PhaaS體系已成為全球資安威脅。</p> <p><a href="/sites/default/files/images/2026-05-27_152838.jpg"><img alt="" src="/sites/default/files/images/2026-05-27_152838.jpg" style="width: 600px;" /></a></p> <p><span style="color:#808080;"><strong>圖為YY Lai Yu（YY来鱼）平臺偽冒日本最大行動支付PayPay的釣魚頁面。</strong></span></p> <p> </p> </div></div></div>
5/27 15:21作者羅正漢https://www.ithome.com.tw/news/176161
西班牙封鎖預測投注平臺Polymarket與Kalshi
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.dsca.gob.es/es/comunicacion/notas-prensa/consumo-abre-expediente-sancionador-plataformas-polymarket-kalshi-ordena" target="_blank">西班牙消費部（Ministerio de Derechos Sociales, Consumo y Agenda 2030）周一（5/25）宣布</a>，已針對Polymarket及Kalshi兩個預測投注平臺啟動制裁程序，並暫時於當地封鎖它們。</p> <p>Kalshi與Polymarket分別是2018年及2020年在美國紐約創立的預測投注平臺，它們列出各種尚未成定局的事件，然後開放下注，從政治、體育、天氣、名人八卦到金融，例如比特幣的漲跌、OpenAI會在何時IPO、西班牙能否贏得世界盃等，主要的差別在於Kalshi使用法幣，而Polymarket則要以加密貨幣下注。</p> <p>西班牙消費部表示，這兩個平臺涉嫌違反博彩法規，在未持有必要行政許可的情況下於西班牙境內營運，當地的博彩監管總局（DGOJ）已針對它們啟動制裁程序，由於制裁程序可能需要數月，因此決定要求當地電信業者暫時封鎖Kalshi與Polymarket。</p> <p>西班牙曾嘗試向兩家公司海外地址直接送達通知，但均告失敗，才決定展開制裁。裁決後的平臺可選擇申請執照、提出申訴或調整服務內容。</p> <p>DGOJ說，西班牙與其他歐洲司法管轄區一致，認定預測投注平臺在涉及對不確定未來結果進行投注時，具有博彩性質，因此在西班牙境內經營須取得特定行政執照。未獲授權的業者缺乏西班牙法規所要求的技術與監管保障，包括身份核實系統、阻止未成年人及自我排除者或被禁止賭博人士進入的管控機制，以及保護用戶所需的監督標準等。</p> <p>除了西班牙之外，新加坡也以非法博彩為由封鎖了Kalshi與Polymarket，臺灣則以違反《公職人員選舉罷免法》封鎖了Polymarket。</p> </div></div></div>
5/27 15:26作者陳曉莉https://www.ithome.com.tw/news/176162
日本學習管理系統KnowledgeDeliver存在零時差漏洞，駭客用於部署Godzilla
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>日本常見的學習管理系統（LMS）KnowledgeDeliver<strong><a href="http://cloud.google.com/blog/topics/threat-intelligence/knowledgedeliver-viewstate-deserialization-vulnerability">存在資安重大漏洞CVE-2026-5426</a></strong>，根據Google旗下的Mandiant與威脅情報團體（GTIG）最新揭露，起因是2025年底發生的資安事故。</p> <p>CVE-2026-5426源自於KnowledgeDeliver採用完全相同的ASP.NET機器金鑰，未經身分驗證的攻擊者可用於繞過ViewState驗證機制，並透過惡意的ViewState進行反序列化攻擊，最終可遠端執行任意程式碼（RCE），影響在今年2月24日之前部署的KnowledgeDeliver，<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-5426">CVSS風險評為9.1分</a></strong>，為重大等級。Mandiant於1月19日向軟體開發商Digital Knowledge通報此事，Digital Knowledge於2月24日實作新版部署工具解決弱點。Google表示，由於不同客戶部署的KnowledgeDeliver平臺採用完全相同的金鑰，換言之，若攻擊者從任一伺服器取得金鑰，他們就能入侵暴露在網際網路的其他學習管理平臺主機。</p> <p>針對當時發現的攻擊活動，Google表示他們發現有駭客組織濫用相關權限，在KnowledgeDeliver平臺注入惡意程式碼，目的是感染存取該網站的使用者裝置。駭客在成功取得存取權限後，就會在該平臺植入以.NET打造的Webshell，此惡意程式被稱為Godzilla（BlueBeam），透過網頁伺服器IIS的處理程序啟動，並完全在記憶體執行，若是被攻擊的使用者試圖透過檔案掃描進行偵測，將難以察覺異常。攻擊者透過發送HTTP POST請求，向受害電腦下達更多命令，或是傳遞惡意酬載。</p> <p>另一方面，攻擊者也試圖竄改檔案他們透過Windows內建的命令列工具icacls，對IIS網頁伺服器的「所有使用者」授予完整的存取權限，接著，他們試圖竄改某個網頁應用程式的JavaScript檔案，使得存取KnowledgeDeliver平臺的用戶電腦顯示偽造的警示訊息，並要求用戶安裝經過驗證的資安外掛程式。不過，也有部分會從攻擊者控制的網域，於背景下載惡意指令碼。但不論何種方式，最終駭客都是為了說服使用者下載冒牌安裝程式，導致電腦被感染Cobalt Strike的Beacon。</p> </div></div></div>
5/27 14:23作者周峻佑https://www.ithome.com.tw/news/176146
行政院成立AI導入災防專案會議，整合空間情資與AI分析強化防災韌性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>去年豪雨、颱風及多次地震造成山區地質脆弱，隨著5月進入國內進入防汛期，行政院召開中央災害防救會報，聚焦防汛整備、AI災防應用與空間情資整合等議題。行政院副院長鄭麗君強調，面對日益複雜的災害型態，政府必須加速導入AI與數位科技，來建立更具韌性的災害管理體系。</p> <p>這次中央災害防救會報最大重點之一，是確立將在中央災害防救委員會下設立「AI導入災防專案會議」，跨部會共同推動AI在災害風險管理與防救災工作中的應用。鄭麗君指出，國發會推動的「AI新十大建設推動方案」，其中的智慧治理已是重要的施政方向，災害管理更是其中關鍵的應用場域，已請國發會將災防AI應用計畫納入AI新十大建設推動方案之中，強化跨部會計畫整合。</p> <p><span style="color:#B22222;"><strong>AI災防管理的4方向</strong></span></p> <p>行政院規畫將AI應用納入下一階段的「災害防救基本計畫（2029年至2033年）」中，優先推動4大方向，包括「決策支援與應變方案規畫」、「資源調度與後勤管理」、「資訊傳遞與民眾互動」，以及「特殊族群與社會支持」。未來將透過跨部會資料共享與AI分析，讓政府可以更精準進行風險預測、災防預算配置與應變調度。</p> <p>鄭麗君強調，AI災防的關鍵在於資料整合。未來政府將優先建立統整性的災防資料庫，串接各部會圖資、氣象、水文、交通、地質及通訊等資料，再透過AI模型分析與模擬，提升災害預警與決策效率。</p> <p>她指出，透過圖資與AI分析，能協助中央與地方政府更有效協調資源，也有助於與民間體系合作，建立更完整的社會防災支持網絡。</p> <p><strong><span style="color:#B22222;">透過各種科技整合空間情資，發揮救災重建效益</span></strong></p> <p>在災防管理中，地理空間情資的資料蒐集相當重要，中央災害防救會報中，農業部特別報告了空間情資在加速災後復原重建的應用案例，以丹娜絲颱風為例，政府首度啟動空間情報小組，整合衛星、飛機、無人機遙測影像，以及各類地理資訊系統圖資，協助超過4萬棟受損房屋的災損調查與復原重建。</p> <p>農業部建置BigGIS巨量空間資訊系統，在丹娜絲颱風與七二八豪雨期間，實際用於雲嘉南地區災損的調查與重建工作。</p> <p>行政院認為，空間情資平臺未來將是防災科技的重要基礎建設，將持續優化「空間情報小組」運作機制，並與AI災防專案會議跨域整合。</p> <p>除了AI與空間科技，高風險基礎設施與孤島地區的防災韌性也是關注的重點。行政院要求相關部會強化水、電、通訊等維生系統的災前整備與監測預警，同時加強邊坡科技監測與道路排水改善工程，降低豪雨與地震造成的交通中斷風險。</p> <p>在交通防災方面，交通部持續推動蘇花及中橫公路邊坡科技監測與排水改善工程；農業部則持續利用雨量監測、水位監測與水砂情境模擬，掌握馬太鞍溪堰塞湖與土石流風險變化，並即時提供地方政府作為疏散避難與防災應變依據。</p> </div></div></div>
5/27 14:24作者蘇文彬https://www.ithome.com.tw/news/176160
Google示警中國PhaaS犯罪服務平臺升級，具AI生成偽冒網站能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>過去一年，使用中文為主要語言的駭客族群，其主導的網路釣魚即服務（PhaaS）迅速擴張。繼<a href="https://www.ithome.com.tw/news/169488">臺灣研究人員</a>去年率先揭露相關情況後，<a href="https://cloud.google.com/blog/topics/threat-intelligence/chinese-language-phishing-services">Google威脅情報小組（GTIG）近期再度警告</a>，中文PhaaS平臺正運用AI提升全球網釣能力，並規避釣魚網站偵測。</p> <p>GTIG指出，PhaaS市場過去長期由俄語駭客包辦，現今中文地下犯罪體系興起，需要全球戒備。而且這些平臺提供的釣魚範本，宣稱能支援全球100多國的釣魚活動，但皆以非中國品牌為目標，顯示其刻意避開中國境內以降低查緝風險。</p> <p>經分析十多個活躍平臺後，GTIG發現AI自動化工具已成主流。以Darcula平臺（研判與UNC5814有關）為例，該平臺捨棄靜態模板，改採AI網頁產生器搭配Puppeteer等工具。攻擊者僅需提供URL，系統即能複製合法網站的HTML、CSS與JavaScript。由於釣魚網頁結構各異，導致傳統特徵碼偵測效果大減甚至失效。</p> <p>此外，GTIG還發現其技術手段進一步擴張。例如，這些網路犯罪租賃平臺從單純收集密碼，演進至即時攔截一次性密碼（OTP），另也能將竊取的信用卡資訊與OTP結合，受害者信用卡綁定攻擊者設備的數位錢包。這些PhaaS更提供網域名稱註冊、VPS代管、偽基地臺（IMSI catchers）及洗錢等配套，形成完整而成熟的網路犯罪供應鏈，讓租用犯罪平臺的簡體中文使用者，可以更快速對全球民眾發動網釣攻擊。</p> <p> </p> </div></div></div>
5/27 15:17作者羅正漢https://www.ithome.com.tw/news/176158
北韓駭客Lazarus鎖定金融與加密貨幣機構，散布惡意軟體RemotePE
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>惡名昭彰的北韓駭客Lazarus近期動作頻頻，不時有攻擊行動傳出，最近有資安公司警告，這些駭客更換作案工具，使得相關活動的蹤跡更難察覺。</p> <p>資安公司Fox IT指出，Lazarus從原本使用惡意程式ThemeForestRAT和PondRAT，<strong><a href="https://blog.fox-it.com/2026/05/22/remotepe-the-lazarus-rat-that-lives-in-memory/">更換為僅在記憶體運作的工具組</a></strong>，涵蓋3種惡意程式DPAPILoader、RemotePELoader，以及RemotePE。具體來說，這些工具可形成一系列攻擊鏈，Lazarus通常會濫用Windows服務，或是透過側載方式啟動DPAPILoader，該惡意程式再濫用作業系統內建的Windows Data Protection API（DPAPI），解密並載入另一支惡意程式RemotePELoader。由於DPAPI將金鑰與特定使用者帳號綁定，金鑰管理由作業系統負責，即使防守方將惡意酬載上傳至VirusTotal，也會因為缺乏對應的金鑰而難以分析。</p> <p>接著，RemotePELoader的主要工作，是從C2伺服器擷取惡意程式RemotePE的核心模組，並載入記憶體。不過，它在執行上述工作之前，會採用兩種型態的迴避偵測技術，其中一種是HellsGate，是源自於TartarusGate的變形手法，會動態解析執行環境以掌握Windows系統呼叫編號。藉由直接系統呼叫，RemotePELoader會迭代Process Environment Block的模組清單，然後重新映射所有的DLL檔，並置換在記憶體中被掛鉤的DLL複本，同時解除端點防護系統的掛鉤。另一種是「填補」Windows事件記錄追蹤功能（ETW），以特定位元組覆寫當中使用的EtwEventWrite() 函式，使得ETW的事件記錄不會產生，連帶影響仰賴ETW的資安工具讀取受害電腦的事件記錄內容。</p> <p>RemotePE是具備完整遠端存取木馬（RAT）功能的惡意程式，採用C++語言與物件導向的程式設計風格進行撰寫，執行時會啟動兩個執行緒，其中一個建立C2通訊，另一個處理來自C2伺服器的指令。此RAT支援6種類型的指令，其中較特別的是刪除檔案的部分，該惡意程式會先以特定的資料覆寫檔案7次，然後再更改檔名並予以刪除。RemotePE也實作外掛功能，操作員可動態註冊其他DLL有效酬載，以載入外掛程式。</p> </div></div></div>
5/27 14:14作者周峻佑https://www.ithome.com.tw/news/176122
7-Eleven資料外洩事故外流逾18.5萬客戶個資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在4月17日，被駭客組織ShinyHunters聲稱從便利商店龍頭7-Eleven竊得超過60萬筆資料，開價25萬美元兜售；一個月後，7-Eleven<strong><a href="https://www.ithome.com.tw/news/175914">向美國緬因州檢察長辦公室通報資料外洩事故</a></strong>，並指出事故發生在4月8日，該公司自5月1日起通知受影響人士。至於此次資料外洩影響的範圍有多大，最近有資安網站透露更多資訊。</p> <p>近日密碼外洩查詢網站Have I Been Pwned（HIBP）將這起資安事故<strong><a href="https://haveibeenpwned.com/Breach/7-Eleven">加入資料庫</a></strong>，並指出有18.53萬個帳號受到影響，其中包括電子郵件信箱、姓名、實體地址、出生日期、電話號碼。根據HIBP掌握的駭客公開資料，他們認為，符合7-Eleven後續以電子郵件通知受影響人員的說法（外洩資料來自該公司存放加盟商文件的系統）。</p> </div></div></div>
5/27 14:19作者周峻佑https://www.ithome.com.tw/news/176145
美國航空導入Starlink機上網路，逾500架客機明年升級
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://news.aa.com/news/news-details/2026/American-to-install-Starlink-the-fastest-Wi-Fi-in-the-sky-MKG-OB-05/" target="_blank">美國航空（American Airlines，AA）周二（5/26）宣布</a>，將自2027年第一季起在超過500架窄體客機上安裝SpaceX旗下Starlink衛星網路服務，成為最新一家導入Starlink機上Wi-Fi的大型航空公司。</p> <p>此次升級主要針對美國航空旗下500多架Airbus窄體客機，包括新交付的A321neo及A321XLR機型。美國航空表示，此舉將大幅提升旅客在飛行期間的網路體驗，支援影音串流、線上遊戲、即時通訊及協作工具等應用。</p> <p>Starlink是SpaceX所建置的低地球軌道（Low Earth Orbit，LEO）衛星網路系統，目前已在太空部署逾7,000顆衛星。相較傳統高軌道衛星系統，低軌衛星可降低訊號傳輸距離，因此具有較低延遲及更高速度。根據美國航空說法，Starlink可透過Aero Terminal設備向飛機提供連線，每個天線最高可支援1Gbps；希望讓窄體機隊旅客獲得「接近家中使用」的Wi-Fi體驗。</p> <p>SpaceX Starlink企業銷售副總裁Jason Fritch表示，Starlink可提供從登機門到登機門（gate-to-gate）的持續連線能力，讓商務及休閒旅客都能獲得更順暢的飛行體驗。</p> <p>近年航空公司正積極升級過去速度慢、價格高且不穩定的機上網路服務，希望吸引高消費能力旅客。除了美國航空外，聯合航空（United Airlines）、西南航空（Southwest Airlines）及阿拉斯加航空（Alaska Airlines）等業者，也都已宣布採用Starlink作為機上網路方案。</p> </div></div></div>
5/27 12:51作者陳曉莉https://www.ithome.com.tw/news/176156
Microsoft Defender for Endpoint測試自動隔離被駭端點功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://learn.microsoft.com/en-us/defender-endpoint/whats-new-in-microsoft-defender-endpoint#may-2026" target="_blank">微軟目前正在預覽</a>端點安全產品Microsoft Defender for Endpoint一項能自動隔離被駭端點的新功能。</p> <p><a href="https://learn.microsoft.com/en-us/defender-endpoint/respond-machine-alerts#isolate-device-automatic-attack-disruption" target="_blank">根據微軟描述</a>名為「自動攻擊阻斷」（automatic attack disruption）的功能，可在企業特定裝置被駭時自動隔離，防止攻擊在公司網路上擴大災害。</p> <p>Microsoft Defender for Endpoint為微軟企業版端點安全產品，可管理企業終端設備。針對由Microsoft Defender for Endpoint管理的企業裝置，一旦特定裝置遭受感染或被駭，會立即從公司網路斷線，該裝置只會和Microsoft Defender for Endpoint服務保持連線，由後者持續監控裝置。這功能能防止攻擊者或惡意程式橫向移動，以防範資料外洩、勒索軟體蔓延。</p> <p>但微軟也提醒，為防隔離造成營運中斷，若關鍵系統被自動隔離，企業想要解除隔離，之前必須確認快速驗證和利害關係人協調，確認惡意活動已經被排除和災害已復原。</p> <p>這項功能也允許管理員定義不受隔離的裝置。首先，管理員可定義隔離裝置可存取的處理程序與網路目的地，這功能支援的裝置包括Windows 11、Windows 10 1703、Windows Server 2012 R2、Azure Stack HCI OS 23H2以後版本，以及執行macOS的裝置。其二，管理員可定義哪些裝置或實體完全不能隔離，用以防止關鍵營運中斷。</p> </div></div></div>
5/27 12:57作者林妍溱https://www.ithome.com.tw/news/176157
Red Hat推出強化容器映像檔，內建SBOM提升供應鏈透明度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>開放原始碼解決方案供應商<a href="https://www.redhat.com/en/about/press-releases/red-hat-hardened-images-accelerates-cloud-native-development-and-zero-cve-strategies" target="_blank">Red Hat（紅帽）於5月12</a><a href="https://www.redhat.com/en/about/press-releases/red-hat-hardened-images-accelerates-cloud-native-development-and-zero-cve-strategies" target="_blank">日宣布</a>，Red Hat Hardened Images正式推出。這項服務源自Red Hat先前推動的Project Hummingbird，該專案原本鎖定降低容器攻擊面的需求，如今已發展成可用於正式環境的強化容器映像檔，現階段提供超過45個項目、涵蓋超過150種變體，並建置於紅帽管理的受信任（trusted）軟體管線之上。</p> <p>Red Hat表示，這批正式供應的強化映像檔涵蓋企業工作負載常用的程式語言、執行環境、資料庫、網頁伺服器與工具，包括Python、Node.js、Go、Java、.NET、PostgreSQL、Valkey、Nginx與HAProxy等。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0527-Red%20Hat%20Hardened%20Images-1.png" style="width: 600px;" /></p> <p>Red Hat推出這項服務，主要是因應容器基礎映像檔帶來的軟體供應鏈風險。<a href="https://www.redhat.com/en/blog/red-hat-hardened-images" target="_blank">Red Hat</a><a href="https://www.redhat.com/en/blog/red-hat-hardened-images" target="_blank">在部落格中指出</a>，目前平均每天約有160個通用漏洞揭露（Common Vulnerabilities and Exposures，CVE）編號被公開，加上自動化掃描工具與AI輔助漏洞發掘工具普及，企業後續可能需要處理更多漏洞警示。單一容器掃描就可能列出數百個漏洞項目，使資安團隊必須花費大量時間判斷哪些漏洞真正影響應用程式。</p> <p>Red Hat Hardened Images的核心設計包括distroless架構、可信任相依套件、自動化修補與多雲可攜性。所謂distroless架構，是指預設不包含命令列Shell、套件管理工具與非必要元件，藉此縮小攻擊者可利用的攻擊面。Red Hat也提供多種映像檔變體，包括兼顧distroless原則與上游映像檔相容性的預設版本、保留安全強化但允許安裝套件以利客製化建置的Builder版本，以及面向受監管環境的美國聯邦資訊處理標準（Federal Information Processing Standards，FIPS）驗證變體；部署架構則涵蓋AMD64與Arm64。</p> <p>在供應鏈透明度方面，Red Hat Hardened Images內建軟體物料清單（Software Bill of Materials，SBOM），讓企業更容易掌握映像檔組成內容，並支援法遵稽核與報告需求。Red Hat也表示，這些映像檔的相依套件來自Red Hat的SLSA第3級建置管線（Supply-chain Levels for Software Artifacts Level 3，SLSA3），維持從原始碼到成品的可驗證信任鏈；合規相關設定可透過開源組態與合規掃描工具OpenSCAP驗證。Red Hat也指出，這些映像檔可在公有雲與內部部署基礎架構維持一致的操作體驗，協助降低企業遭特定供應商綁定的風險。</p> <p>Red Hat表示，Red Hat Hardened Images提供的每個映像檔都可免費使用，並可用於任何Linux發行版、任何Kubernetes版本或任何容器引擎。對於需要較長生命週期的使用者，該公司也預計後續提供長期支援（Long-Term Support，LTS）映像檔，並以選購訂閱模式供應。</p> </div></div></div>
5/27 11:36作者王珮瑤https://www.ithome.com.tw/news/176151
Anthropic預計擴大Project Glasswing合作對象，目標是將Claude Mythos推向一般企業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Anthropic 4月初透過Project Glasswing將Claude Mythos分享給特定科技及金融廠商，<a href="https://www.anthropic.com/research/glasswing-initial-update" target="_blank">本周Anthropic公布下一步計畫</a>，將把Project Glasswing擴及更多政府等組織，但最終目標是將該模型公開推出。</p> <p>Anthropic上個月公布Claude Mythos預覽版時，考量該模型尋找程式碼漏洞的威力極大，若被濫用可能有不良後果，因此透過Project Glasswing，限定僅有部分合作夥伴能使用Claude Mythos。</p> <p>迄今已有將近50家合作夥伴已經用Claude Mythos來搜尋自家環境或產品軟體的漏洞。<a href="https://www.ithome.com.tw/news/176076" target="_blank">該公司表示</a>，Claude Mythos讓合作夥伴找到超過一萬個漏洞。</p> <p>Anthropic說，接下來，他們將會把Project Glasswing擴大到更多關鍵合作夥伴，包括美國及盟國政府。至於何時會提供一般企業，Anthropic表示，現在還不是時候，原因不是申請團隊的能力，而是他們相信，目前包括Anthropic在內，沒有一家公司已發展出夠強大的安全防護機制來防範模型被惡意濫用。</p> <p>但Anthropic承諾，在最近的將來，一旦該公司完成更強大的安全防護機制，公司「很期待」將Mythos等級的模型公開（general release）大眾使用。</p> <p>在此之前，Anthropic已以公開Beta版提供Claude Opus 4.7為基礎的Claude Security給Claude Enterprise客戶。針對安全專家，該公司也透過<a href="https://support.claude.com/en/articles/14604842-real-time-cyber-safeguards-on-claude" target="_blank">Cyber Verification Program</a>開放以資安為目的，如漏洞研究、滲透測試和紅隊演練等使用其Claude模型。</p> </div></div></div>
5/27 11:44作者林妍溱https://www.ithome.com.tw/news/176152
收錄近600個歷史作業系統的虛擬作業系統博物館開幕了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>一名加拿大獨立開發人員<a href="https://virtualosmuseum.org/" target="_blank">Andrew Warkentin在上周發表了Virtual OS Museum</a>，這是一個跨平臺與互動式的虛擬作業系統博物館，蒐集了逾570種作業系統，橫跨超過250種平臺，總計收錄逾1,700個虛擬機安裝環境。Windows、macOS或Linux用戶下載後，即可透過Linux虛擬機與內建模擬器，啟動多種歷史作業系統環境。</p> <p>Warkentin是位作業系統與模擬器收藏者，他花了二十多年來收集模擬器、磁碟映像檔，以及舊時代的作業系統環境。<a href="http://andreww591.blogspot.com/2026/05/ive-released-virtual-museum-with-nearly.html" target="_blank">他表示</a>，雖然近年已有不少歷史軟體保存專案與古老平臺模擬器，但一般使用者往往仍得自行處理繁複的安裝與設定；部分作業系統甚至只適用特定版本的模擬器，若模擬器更新後出現相容性退化，就可能無法正常執行。因此，Virtual OS Museum的目標，是把分散各處的歷史系統整理成可直接啟動、容易體驗的形式。</p> <p>Virtual OS Museum中所收錄的系統橫跨整個電腦發展史，從1948年的Manchester Baby、早期大型主機系統CTSS、Multics，到Unix、早期Windows NT、Classic Mac OS、NeXTSTEP、PalmOS、Symbian、Windows CE、QNX，以及各種BSD與Linux發行版。也包含Xerox Star Pilot/ViewPoint這類早期圖形介面系統，讓使用者可直接體驗作業系統從大型主機、個人電腦到行動與嵌入式裝置的演進。</p> <p>Warkentin表示，Virtual OS Museum幾乎納入所有知名作業系統與平臺，也包括許多冷門平臺。他已針對每個模擬器至少測試過一個客體安裝環境，並確認所有客體系統過去都曾在他的電腦上成功執行；不過，整合進Virtual OS Museum後，逾1,700個安裝環境目前仍在測試中，迄今僅完成不到一半。</p> <p>使用者可下載完整版或簡易版的Virtual OS Museum。其中，完整版已預先下載所有內容，檔案大小約為170GB，可離線使用；簡易版（Lite）則只有20GB，只包含基礎的Linux系統、安裝器、模擬器與啟動器，至於各種作業系統的虛擬機映像檔，則會在第一次執行時下載。</p> <p>Warkentin表示，手上仍有許多安裝映像檔，未來將持續替Virtual OS Museum新增虛擬機安裝環境，數量可望超過2,000個。</p> <p>開發者社群對Virtual OS Museum感到驚豔。<a href="https://www.osnews.com/story/145006/the-virtual-os-museum/" target="_blank">OSNews說</a>明，這類「下載即可使用」的懷舊收藏在遊戲領域並不陌生，但將數百個歷史作業系統整合成單一體驗平臺的案例卻很少見；<a href="https://forums.libretro.com/t/the-virtual-os-museum/50466" target="_blank">Libretro論壇用戶則說</a>這個讓數百個作業系統可直接開箱使用的Virtual OS Museum專案令人驚豔；<a href="https://www.theregister.com/oses/2026/05/23/the-virtual-os-museum-opens-its-doors/5243459" target="_blank">The Register則指出</a>，該專案還提供了快照還原功能，若使用者把模擬系統弄壞，可快速回復到正常狀態。</p> </div></div></div>
5/27 11:49作者陳曉莉https://www.ithome.com.tw/news/176153
微軟修補SharePoint高風險漏洞，已通過身分驗證攻擊者可遠端執行程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-45659" target="_blank">微軟於5月21日發布安全更新</a>，修補企業協作與文件管理平臺SharePoint的遠端程式碼執行漏洞CVE-2026-45659。這項漏洞CVSS風險分數為8.8，<a href="https://www.cve.org/CVERecord?id=CVE-2026-45659" target="_blank">屬於高風險</a><a href="https://www.cve.org/CVERecord?id=CVE-2026-45659" target="_blank">（High）</a>等級。受影響產品包括SharePoint Server Subscription Edition、SharePoint Server 2019，以及SharePoint Enterprise Server 2016。</p> <p>根據微軟安全更新指南，CVE-2026-45659的問題源自SharePoint系統可允許對不受信任資料的反序列化處理（Deserialization of Untrusted Data），使具備存取權限的攻擊者可透過網路執行程式碼。這項漏洞可透過網路觸發，攻擊門檻相對較低，不需要誘使使用者點擊連結或開啟檔案；不過，攻擊者仍必須先登入系統，並至少具備SharePoint網站成員（Site Member）權限。微軟也指出，這項漏洞在公告發布時，尚未遭公開揭露或遭利用。</p> <p>這項漏洞由名為MEOW的研究人員通報。微軟提醒，SharePoint Server 2016與SharePoint Enterprise Server 2016適用相同KB編號，使用任一版本的客戶都應安裝對應安全更新。</p> <p>值得注意的是，微軟在4月也曾修補SharePoint Server偽冒漏洞<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-32201" target="_blank">CVE-2026-32201</a>，該漏洞CVSS風險分數為6.5，且已遭實際利用。雖然微軟評估CVE-2026-45659被利用的可能性較低，但<a href="https://thehackernews.com/2026/05/microsoft-patches-sharepoint-rce-flaw.html" target="_blank">The Hacker News</a>指出，SharePoint漏洞多年來持續遭攻擊活動利用，企業仍應盤點受影響版本並儘速套用修補。</p> </div></div></div>
5/27 11:55作者王珮瑤https://www.ithome.com.tw/news/176154
微軟傳將要求內部停用Claude Code改用GitHub Copilot
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>媒體報導，微軟高層近日要求內部工程師在6月30日之前，停用Claude Code作為程式開發工具，而改用其自家的GitHub Copilot CLI。部分媒體認為成本或許是原因之一。</p> <p><a href="https://www.theverge.com/tech/930447/microsoft-claude-code-discontinued-notepad" target="_blank">The Verge首先引述報導此事</a>。微軟Windows、Microsoft 365、Outlook、Teams和Surface部門執行副總裁Rajesh Jha發出對內公開信下達命令，要求工程師們在2026年6月30日之前將Anthropic的開發助理Claude Code從其作業流程中移除，改用自家的GitHub Copilot CLI。報導指出，Claude Code很受微軟員工喜愛甚於自家GitHub Copilot，「可能太受歡迎了」，不但工程師愛用，而且在之前微軟的倡導下，連非工程人員也都用起了Claude Code。</p> <p>報導引述Jha給出的理由是，「工具串的整體性（toolchain unification）」。他指出，雖然Claude Code是學習的重要一環，但Copilot CLI更有助於和公司的GitHub程式庫直接整合。</p> <p><a href="https://www.techradar.com/pro/microsoft-may-discontinue-claude-code-internally-as-it-looks-to-push-users-towards-github-copilot" target="_blank">媒體分析</a>，對微軟高層而言，透過將工具整合於公司控制的軟體，最終理由是有助於削減成本。</p> <p><a href="https://www.techradar.com/pro/microsoft-may-discontinue-claude-code-internally-as-it-looks-to-push-users-towards-github-copilot" target="_blank">不過報導指出</a>，微軟只限制員工使用Claude Code，但仍然允許員工以GitHub Copilot使用Anthropic的模型。事實上，微軟和Anthropic合作日漸深厚，其消費版Copilot和Microsoft 365底層也有使用Anthropic Claude模型，藉此減少對OpenAI的依賴性。</p> <p><strong>Anthropic漲價爭議</strong></p> <p>不過Anthropic的成本近日成為開發人員的關切問題。4月Anthropic公布Claude Opus 4.7時，Anthropic雖然計價表維持每百萬Token的API原價，卻悄悄更換了底層的分詞器（Tokenizer）。<a href="https://platform.claude.com/docs/en/about-claude/models/whats-new-claude-4-7" target="_blank">官方在公告中說明</a>，「相同文字可能多消耗高達35%的Token。其次，Anthropic Claude Code定價頁與支援文件一度顯示每月20美元的Pro方案排除在Claude Code適用對象，他們可能必須升級或改成每月100美元起的Max方案，引發開發人員反彈。不過<a href="https://www.ithome.com.tw/news/175323" target="_blank">Anthropic主管澄清</a>這只是一項對比例約2%新專業消費者（prosumer）註冊用戶的小型測試，並未推向Pro方案用戶。</p> </div></div></div>
5/27 11:09作者林妍溱https://www.ithome.com.tw/news/176147
蘋果OS基礎密碼學程式庫內建兩種量子安全演算法，並推出形式驗證工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p style="margin-left:.05pt;">上週五，在蘋果的安全工程與架構團隊（SEAR）與硬體技術正式驗證團隊的合作之下，針對作業系統<a href="https://security.apple.com/blog/formal-verification-corecrypto/"><strong>發布</strong></a>新的基礎密碼學程式庫<a href="https://github.com/apple/corecrypto"><strong>corecrypto</strong></a>，當中實作兩種量子安全演算法：ML-KEM、ML-DSA，以及該公司建立的數學證明，以確保它們符合FIPS 203與FIPS 204這兩種美國聯邦資訊處理標準的要求，供專家獨立評估。</p> <p style="margin-left:.05pt;">在此同時，為了提升關鍵軟體安全保障，使其達到最先進的水準，蘋果也發布自行建立的形式驗證（formal verification）程式庫與工具，可針對任何廣泛部署的相關演算法實作，提供已知最強的正確性驗證結果。</p> <p style="margin-left:.05pt;">為了及早因應未來的量子電腦帶來的加密遭破解威脅，蘋果2024年在corecrypto加入後量子加密，並持續在最有可能發揮作用的領域當中，例如涉及通訊與其他敏感資訊加密處理的應用，<a href="https://support.apple.com/zh-tw/guide/security/secc7c82e533/1/web"><strong>像是</strong><strong>iMessage</strong><strong>、</strong><strong>VPN</strong><strong>、</strong><strong>TLS</strong><strong>網路連線</strong></a>，率先開發與部署強力的量子安全密碼學技術；此外，2025年秋季蘋果發布的<a href="https://developer.apple.com/documentation/cryptokit/enhancing-your-app-s-privacy-and-security-with-quantum-secure-workflows"><strong>Apple CryptoKit</strong></a>，也內含多種支援量子安全機制的API，開發者得以在他們的應用程式當中，採用具有量子安全特性的加密與身分驗證技術。</p> <p style="margin-left:.05pt;">而在審閱ML-KEM與ML-DSA設計附帶的實作後，蘋果確認當中有顯著的改善空間，他們套用數學最佳化的處理，即可在不需變更底層演算法的狀況下，增進效能，也謹慎改寫對效能與安全性影響相當敏感的子程序，以便充分利用蘋果的處理器硬體特性，像是資料獨立計時（Data Independent Timing，DIT），以及指標認證（Pointer Authentication，PAC）。基於他們對於蘋果晶片的專業知識，透過這些經過手動最佳化的做法，也使他們能精準控制處理器的行為，進而預防可能將機密暴露的時序旁路攻擊（timing side channels）。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/xlarge_Formal-Verification-Process-Light-Mode-%402x.jpg"><img alt="" src="/sites/default/files/images/xlarge_Formal-Verification-Process-Light-Mode-%402x.jpg" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">由於ML-KEM與ML-DSA背後的數學原理是近年才出現的，在實際產品中，IT業界以安全方式實作這些演算法的集體經驗仍很有限，蘋果表示，他們積極致力於避免再度發生業界早期部署橢圓曲線密碼學的問題，當時因為其中存在隱晦且易遭利用的漏洞，而阻礙這類技術的普及。</p> <p style="margin-left:.05pt;">為了因應支援多種語言、快速程式碼演化，以及使用現有開發者工具等多種需求，蘋果最終自行設計了形式驗證方法。他們結合原本使用的工具與新工具，並實現自上而下的驗證，範圍橫跨針對ML-KEM與ML-DSA訂定的FIPS規範與最終實作。</p> <p style="margin-left:.05pt;">在這次發表的消息中，蘋果介紹4種用於形式化驗證的開放原始碼工具，分別是：驗證複雜數學證明的Isabelle、形式驗證軟體程式屬性的Software Analysis Workbench（SAW）、與SAW搭配的形式語言Cryptol、將Cryptol演算法模型轉換為Isabelle公式的cryptol-to-isabelle。</p> </div></div></div>
5/27 01:20作者李宗翰https://www.ithome.com.tw/news/176143
市占第一OTP簡訊平臺EVERY8D遭駭，F-ISAC發布三級資安事件警訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在臺灣數位經濟運作的底層，企業簡訊傳遞服務是一條鮮少受到公眾關注、卻牽一髮而動全身的神經網路。國內企業簡訊與通訊軟體供應商互動資通（Teamplus）」日前疑似遭受嚴重的網路攻擊與勒索軟體侵害，導致其核心業務、市占第一的EVERY8D企業簡訊平臺全面癱瘓。</p> <p>由於該平臺每月簡訊發送量超過一億封，加上與電信業者的深度合作，已成為臺灣各大銀行身分驗證、電商交易確認、政府機關通知及金流業者OTP（一次性密碼）認證不可或缺的關鍵基礎設施。</p> <p>金融資安資訊分享與分析中心（F-ISAC）於今日（5月26日）下午，正式對此一資安事件發布重大「三級資安事件」警訊，並要求所有會員機構必須採取「先釐清暴露面，再進行應變處置」的緊急手段，同時發布五點防禦指引作為會員機構的防禦參考。</p> <p>但此事件因核心驗證服務中斷而面臨營運停擺危機，凸顯第三方供應商的防護漏洞，已經直接威脅到臺灣商業與民生系統的營運持續性，更迅速演變成一場國家級的供應鏈資安風暴。</p> <h2><strong>F-ISAC發布三級資安事件，意味核心系統遭駭或機敏資料外洩</strong></h2> <p>在臺灣資安通報規範中，「三級事件」屬於相當嚴重的國安與產業危機，這意味著：國家關鍵基礎設施或核心通訊系統，遭受高技術駭客入侵而導致核心業務停擺，或是涉及大量核心機敏資料與民眾個資外洩；而由於其損害規模已無法由單一企業自行控制，因此，必須提升至國家級跨部會通報、跨產業鑑識聯防的資安事件通報層級。</p> <p>此次F-ISAC將互動資通事件定性為「三級資安事件」（警示燈號為黃燈Amber），其意義遠超過一般的系統故障或服務中斷。依據我國《資通安全管理法》及相關法規，三級資安事件意指對核心業務資料或系統造成重大影響、可能波及組織正常運作的安全事故；一旦發生，必須立刻依法啟動強制通報與應變程序，機構若未在規定時限內完成通報與處置，將面臨相應的法律責任。</p> <p>從衝擊面向來看，三級事件通常代表受害組織單位面臨以下幾個層面的挑戰，首先，核心業務資料已確認或極可能外洩，企業的商業機密、客戶個資或系統架構資訊不再處於受控狀態；其次，組織的日常運作受到顯著干擾，依賴受影響系統的業務流程出現大範圍停擺；第三，企業的信譽與財務狀況可能因此遭受難以量化的長期損害。</p> <p>更重要的是，三級事件的發生本身就是一個嚴重的管理警訊，這顯示該受駭組織在資安防禦縱深、人員訓練或政策執行上，已經存在根本性的漏洞。畢竟，一個成熟的資安體系，應該在事件升級至三級之前，於更早階段攔截威脅。</p> <h2><strong>駭客論壇外洩互動資通內網架構圖與部份簡訊內容</strong></h2> <p>這場風暴的開端可追溯至5月21日，一名身分不明的駭客在知名駭客地下論壇中，以「SELLING」為標題，公開兜售互動資通的上市公司網域控制器帳號，以及EVERY8D企業簡訊平臺的相關資料。</p> <p>根據駭客論壇公布的外洩網路架構圖與拓樸可以顯示，駭客應該早就已經深度潛伏於互動資通的內網中，將第一層反向代理伺服器（HAProxy）、內部主機名稱、IP位址配置、檔案路徑結構以及服務連接埠資訊全部摸透。從外洩的資訊更可以看到，本應嚴密保護的SSH遠端管理服務更直接暴露在外網，讓駭客有長驅直入的通道。</p> <p>此外，根據駭客論壇的外洩資訊顯示，互動資通內部多達兩百多臺活躍主機、簡訊服務中心（ServiceCenter）、排程元件（RabbitMQ），以及用於硬體層級控制的iLO管理介面，均遭到全面控制。</p> <p>最讓人擔心的是，駭客已經成功攻破生產環境的微軟網域控制器（Domain Controller），掌握網域之間的最高信任關係。這意味著駭客已奪取了企業IT環境的最高權限帳號，能夠以最高管理員身分，在整個網路中自由地橫向移動、讀取任意機敏資料。</p> <p>駭客為了證明已經確實掌握EVERY8D企業簡訊平臺，更直接在駭客論壇上，公布涉及臺灣五院、總統府、軍隊、各部會，以及民眾的真實簡訊的日誌紀錄，甚至連文化部驗證碼、軍醫院收發室聯絡訊息與政治核心輿情都被駭客公開；隨後服務主機也被鎖上加密勒索訊息，顯示其防禦體系已被徹底瓦解。</p> <h2><strong>企業簡訊異常引爆業界怒火，宣稱「系統升級」卻遭資安警訊打臉</strong></h2> <p>但是，在駭客論壇外洩資料公布之前的幾日，社群媒體Threads（脆）上，已經陸續傳出許多電商、金流業者的認證簡訊無法發送災情，導致許多電商和金流業者的身分認證和交易中止。</p> <p>從Threads上的發言可以觀察到，最早自5月18日起，就已經有電商與金流業者開始通報簡訊發送異常，消費者遲遲無法收到OTP驗證碼，導致無數筆交易在最後結帳環節硬生生卡死。</p> <p>隨後數日，Threads也湧現大量電商、開店平臺與線上金流業者的集體抱怨，直指企業簡訊平臺的服務連續數日掛點「根本恢復不了」，許多電商平臺和金流業者甚至憂慮，不知如何賠償因簡訊異常而造成的客戶商譽與營業損失，部分民眾更諷刺企業簡訊平臺的系統恢復無望。</p> <p>然而，在持續擴大的服務中斷期間，卻可以看到，有一些銀行在官網公告中，宣稱其簡訊異常的原因是「簡訊業者機房搬遷及系統升級造成簡訊服務不穩定」，試圖安撫客戶並請用戶嘗試重新操作。</p> <p>銀行在官網上的「機房搬遷、系統升級」的解釋，極有可能就是互動資通對銀行客戶的說法，但這個說法卻在F-ISAC發布三級資安事件的警訊後，難以自圓其說。</p> <p>企業簡訊平臺業者試圖粉飾太平的藉口，與F-ISAC證實：互動資通的企業簡訊平臺是「遭遇加密勒索」，以及業界第一線人員集體在社群媒體上哀號的現實，顯然存在著嚴重落差，也引發外界對互動資通的誠信與危機處理能力的質疑。</p> <p><img alt="" src="/sites/default/files/images/600-%E8%84%86%E4%B8%8A%E4%BA%92%E5%8B%95%E8%B3%87%E9%80%9A%E7%B0%A1%E8%A8%8A%E4%B8%8D%E9%80%9A%E8%B2%BC%E6%96%87.jpg" style="width: 600px; height: 330px;" /></p> <blockquote><p>最早自5月18日起，Threads也湧現大量電商、開店平臺與線上金流業者的集體抱怨，直指EVERY8D企業簡訊平臺的服務連續數日掛點，許多電商平臺和金流業者甚至憂慮，不知如何賠償因簡訊異常而造成的客戶商譽與營業損失，部分民眾更諷刺企業簡訊平臺的系統恢復無望。</p> </blockquote> <p> </p> <p><img alt="" src="/sites/default/files/images/900-%E9%8A%80%E8%A1%8C%E5%85%AC%E5%91%8A%E7%B0%A1%E8%A8%8A%E7%95%B0%E5%B8%B8.jpg" style="width: 900px; height: 253px;" /></p> <blockquote><p>也有銀行業者在官網公告麒簡訊異常，是因為簡訊業者互動資通因機房搬遷和系統升級造成的結果，但互動資通這樣的「藉口」，則被F-ISAC於5月26日所發布的三級事件警訊打臉。</p> </blockquote> <p> </p> <h2><strong>政治與軍事機密恐全面裸奔，國家級「簡訊間諜」成隱憂</strong></h2> <p>除了眼前的商業產值損失，這起事件也潛藏令人不安的國安威脅。因為，駭客所釋出的資料庫外洩樣本中，也有大量涉及臺灣五院、總統府、各部會，以及軍隊相關的真實簡訊日誌紀錄。</p> <p>在外洩的簡訊樣本中，除了包含文化部文化幣App的註冊驗證碼、北市社會局關於中央租金補貼專案的意願調查等公部門行政個資，也包含大量政治人物與民意代表間的通訊內容、政情討論、地方輿情，甚至是民眾對總統、立委的建言。最驚人的是，在外洩資料中，甚至有新竹空軍醫院收發室的收件聯絡資訊，以及官兵在國防部會客室的聯絡簡訊。</p> <p>這意味著，只要互動資通與其四大電信介接的簡訊發送管道若未能完全釐清權限，駭客未來隨時有可能發動更精準的偽冒攻擊。由於EVERY8D平臺支持政府專屬的「+111」等特定簡訊代碼，一旦該管道遭到不法份子控制，駭客將能假冒政府部會或軍方名義，發送帶有惡意木馬或釣魚連結的簡訊給特定官員與一般大眾，可能引發民眾恐慌與資安後遺症。</p> <h2><strong>社交工程攻擊風險劇增，單點故障引發跨產業數位韌性信心危機</strong></h2> <p>該起事件之所以引發如此大規模地癱瘓，根本原因在於：現代數位服務生態中「單點故障」（Single Point of Failure）的結構過於脆弱。</p> <p>也就是說，當一家企業簡訊服務業者，同時掌握著數以百計的銀行、電商、金流，以及政府機關等客戶，它本身就成為整條供應鏈上，最脆弱的「關鍵罩門」。</p> <p>以金融業為例，幾乎所有網路銀行與行動支付服務在關鍵操作時，都依賴OTP（一次性密碼）簡訊作為第二身分驗證因素。一旦認證簡訊發送服務中斷，不僅轉帳、付款等日常交易無法進行，就連登入帳號、修改設定等基本操作，也可能因為無法通過雙因素驗證而全面停擺。此外，對電商業者而言，無法完成身分驗證，意味著訂單流失、客訴激增，也會對品牌信譽帶來難以量化的長期損害。</p> <p>更深層的隱患，也來自資料外洩本身的後續風險。金融機構F-ISAC發布的三級資安事件警訊，已明確提示：若曾透過互動資通系統或服務發送簡訊，應立即檢視近期簡訊發送紀錄、內容、連結網址及收件對象是否正常，並特別留意「是否有未經授權寄送、異常連結或疑似偽冒通知等情形」。</p> <p>這意味著，外洩的簡訊發送記錄可能被用於精準的社交工程（Social Engineering）攻擊，針對已知的目標客戶發送偽冒官方訊息，進而引導受害者洩漏更多個人資訊或金融帳號。</p> <h2><strong>F-ISAC提出五點防禦指引，提醒未來企業選用相關服務時應該謹慎</strong></h2> <p>目前F-ISAC在其發布的三級警訊中，採取「TLP Amber」限制性資訊分享等級，明確指引跨產業防禦的核心邏輯，要求所有會員機構必須採取「先釐清暴露面，再進行應變處置」的緊急手段。</p> <p>首先，便是呼籲各單位立即展開內部全面盤點，確認是否有任何機敏資訊存放於互動資通的系統中，並依據相關法規辦理後續通報與處置；再者，各機構必須嚴密清查，確認近期與該公司之間是否存在任何檔案交換、設備介接，或是使用其所提供之設備、平臺與服務的紀錄，以防堵任何潛在的滲透路徑。</p> <p>第三，在實體設備與網域防範方面，F-ISAC要求資安團隊全面檢視單位內所有設備是否存在異常行為，尤其是設備的異常外部連線或帳號異常登入，一旦發現可疑行為紀錄，必須在第一時間釐清原因並啟動應變程序。</p> <p>第四，要將包含主機設備、作業系統、程式套件及防毒軟體在內的安全修補與防護系統全面更新至最新版本，做到即時防禦。</p> <p>最後，針對EVERY8D企業簡訊平臺最核心的資料外洩危機，F-ISAC更特別示警，凡曾透過該公司系統發送簡訊的單位，必須嚴格回溯檢視近期的簡訊發送紀錄、內容、連結網址及收件對象是否正常，加強監控是否有未經授權寄送、異常連結或疑似偽冒通知等衍生詐騙情形，若發現蛛絲馬跡應儘速釐清衝擊範圍。</p> <p>然而，警訊中「影響範圍及整體事件原因，正委由資安廠商鑑識中」的關鍵表述，正意味著即便在警訊發布的當下，這場供應鏈遭駭事件的真實受害全貌與潛在破口，仍未完全釐清。</p> <p>這正是供應鏈攻擊最令人心驚的危害所在──駭客不再耗費心力去直接攻破防禦嚴密的銀行或政府核心網域，而是透過滲透防護相對薄弱、卻握有通行特權的第三方核心服務商，將風險無差別地擴散至上游千百家企業。這種「木馬屠城」式的連鎖效應，也引發了跨產業與主管機關對於供應鏈安全的集體高度關切。</p> <p>當互動資通這類企業簡訊平臺，實質上，已經承載國家數位身分驗證、金流交易，以及公部門訊息傳遞的核心功能時，它就不再是一家單純的資訊軟體服務業者，而是已經成為國家關鍵基礎設施在運作上，不可或缺的重要外部樞紐。</p> <p>對受駭的資服業者互動資通而言，此次事件從網域控制器淪陷、勒索軟體部署到資料於地下論壇公開兜售，顯示攻擊者已在其環境中進行深層且持續的滲透，這絕非單一漏洞或個別疏失所能解釋，而是系統性資安防護失效的結果。</p> <p>未來，面對這種關鍵服務的提供者，其資安防禦強度是否符合國家安全標準、遭遇攻擊時的通報透明度是否足夠，或許是臺灣相關產業在選用時，能否進行嚴格的資安盡職調查（Security Due Diligence）與多元備援布局，將成為接下來各界在評估選用關鍵服務業者時的布局重點。</p> <p> </p> </div></div></div>
5/26 19:22作者黃彥棻https://www.ithome.com.tw/news/176142
微軟規畫調整C# unsafe語意，強化記憶體安全責任揭露
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟.NET團隊說明，他們正在<strong><a href="https://devblogs.microsoft.com/dotnet/improving-csharp-memory-safety/">調整C#處理不安全（unsafe）程式碼的設計</a></strong>，讓可能影響記憶體安全的責任更明確地出現在程式碼中，並由編譯器協助檢查。該變更暫定列為C# 16功能，計畫在.NET 11提供預覽，並在.NET 12正式推出，初期在專案層級設定可選啟用，未來可能成為預設模式。</p> <p>在既有C#模型中，unsafe主要用來建立允許使用指標相關功能的程式碼範圍，例如方法、型別或方法內部區塊。新模型調整後，unsafe不再只是允許開發者使用指標語法，而是用來標示一段程式碼涉及編譯器無法自行驗證的記憶體安全條件，也就是說，當成員簽章標上unsafe，代表該成員將特定安全義務傳遞給呼叫端。</p> <p>新設計要求每個不安全操作都必須放在明確的unsafe區塊內，例如呼叫不安全方法，或是讀取、寫入指標指向的記憶體。若開發者能在方法內部先檢查輸入條件，完成風險處理，該方法對外仍可維持一般呼叫方式，但若無法處理，就必須把責任傳遞給呼叫端，呼叫端呼叫該成員時也必須放在unsafe區塊內。</p> <p>該設計也會改變部分既有API揭露風險的方式，以Marshal.ReadByte這類API為例，過去這類方法可透過IntPtr讀取記憶體，但呼叫端不一定會因為方法簽章出現指標型別而受到限制。新模型擴大unsafe涵蓋範圍後，這類操作必須更清楚揭露呼叫端需要確保的條件，例如指標與位移量相加後，必須指向呼叫端有權讀取的有效記憶體位置。</p> <p>除了語法規則，微軟也引入安全註解慣例。不安全成員應該附上專門的安全說明，寫明呼叫端必須滿足的條件，而方法內部則可用註解說明，開發者如何確認特定不安全操作所依賴的條件已經成立，分析器可協助找出缺少安全說明的情況。</p> <p>該調整屬於編譯期規則變更，不會新增執行期檢查，也不會影響效能，違反新規則時，結果會出現編譯錯誤而不是警告。微軟表示，.NET執行期函式庫也會採用新模型，並計畫提供工具協助既有專案進行機械式調整，讓程式碼能先符合新規則，但安全條件的判斷與<safety>說明撰寫，仍需由開發者完成。</p> </div></div></div>
5/26 19:38作者李建興https://www.ithome.com.tw/news/176140
臺馬二號海纜完成搶修，東引脫離「單一備援」狀態
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>數發部今天(5/26)表示，中華電信已於25日通報完成臺馬二號海纜修復作業，將今年3月7臺馬二號海纜距離淡水沙崙約23.6公里處的全斷障礙正式排除，目前東引地區語音、行動通訊及網際網路服務已恢復透過海底電纜傳輸，結束近一個月主要依靠微波備援系統支撐的狀態。</p> <p>此次修復之所以受到關注，原因在於東引及馬祖地區近來接連遭遇海纜故障事件，首先是臺馬二號海纜在去年10月7日發生部分芯線受損障礙，後續臺馬二號海纜又在今年的3月7日於距沙崙23.6公里處發生斷纜，使得當地通訊只能仰賴臺馬三號海纜支援。</p> <p>但是今年3月30日，臺馬三號海纜於東引外海約2.64公里處也發生部分芯線受損，後又於4月29日再次受損，最終造成北竿至東引區段全斷，在臺馬二號待修，臺馬三號又斷之下，只能緊急啟動微波備援機制，將語音及網路流量轉移至微波通訊系統，以維持東引約1,500名居民的基本通訊需求。</p> <p>雖然行動電話及網路服務仍可運作，但部分上網服務出現延遲，當地的有線電視服務也受到影響。此次臺馬二號終於修復後，東引終於回到海纜傳輸，通訊品質回歸正常。</p> <p>值得注意的是，臺馬二號海纜目前仍有另一處障礙尚未排除。數發部表示，該海纜於2025年10月在距離淡水沙崙約180公里海域發生部分芯線受損，但剩餘容量仍足以支應馬祖尖峰時段通訊需求，因此不影響現行服務，預計最快可於今年11月底前完成修復。</p> <p>儘管臺馬二號斷纜部分已修復，當地回歸到海纜通訊，但現在臺馬三號海纜仍處於待修狀態，按照數發部公布的資料顯示，預估7月底才會修復，擺脫僅靠單一條海纜通訊的風險。</p> <p>近幾年來從2023年臺馬二號與臺馬三號接連斷纜事件，到今年東引再度面臨海纜故障，離島通訊韌性已成為政府數位基礎建設的重要課題。</p> <p>數發部表示，未來將持續落實「備援再備援」策略，包括在關鍵節點布建非同步衛星站點、補助電信業者擴充微波容量，以及持續推動海纜建設與更新工程，透過海纜、微波與衛星等多元異質網路架構，降低單一通訊路徑故障所帶來的衝擊。</p> <p>從這次事件來看，即使微波備援已能在海纜故障時維持基本服務，但海底電纜仍是離島寬頻與大型網路流量的主要傳輸骨幹。當臺馬二號與臺馬三號接連發生障礙時，也突顯建立多重備援與提升海纜韌性，已成為確保離島數位服務不中斷的重要基礎工程。</p> </div></div></div>
5/26 19:16作者蘇文彬https://www.ithome.com.tw/news/176141
【資安日報】5月26日，馬偕醫院再傳遭駭客竊取資料，院方表示疑為去年舊案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/176129"><strong style="font-size: 22px;">馬偕醫院再傳遭駭客竊取資料，該院表示疑為2025年舊案</strong></a></p> <p>馬偕醫院再傳出遭駭客攻擊事件。今日國內多家媒體報導，有駭客組織宣稱取得馬偕全臺5家醫院1.2TB醫療資料。馬偕醫院今日發布聲明強調，經了解後疑似為2025年舊案，目前並未發現網路流量異常現象，並在得知此事的第一時間向臺北市調查處報案。</p> <p><a href="https://www.ithome.com.tw/news/176081"><strong style="font-size: 22px;">秘魯國家級緊急預警系統遭駭，破口是供應商帳號遭入侵</strong></a></p> <p><a href="/sites/default/files/images/（主圖）秘魯緊急預警訊息系統遭駭_SISMATE.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E7%A7%98%E9%AD%AF%E7%B7%8A%E6%80%A5%E9%A0%90%E8%AD%A6%E8%A8%8A%E6%81%AF%E7%B3%BB%E7%B5%B1%E9%81%AD%E9%A7%AD_SISMATE.jpg" style="width: 380px; float: right;" /></a></p> <p>國家級緊急預警系統是政府傳遞警報的工具，若被不肖分子駭入並用於散布社會恐慌，將帶來動盪。近日秘魯的緊急預警訊息系統（SISMATE）便發生嚴重資安事故，因供應商帳號遭未經授權存取，導致大量民眾收到虛假預警。秘魯交通與通訊部（MTC）發布聲明指出，有攻擊者透過系統供應商Consorcio Everbridge的帳號非法存取SISMATE系統，發送虛假地震、海嘯警報，並夾帶與緊急應變無關的內容。</p> <p><a href="https://www.ithome.com.tw/news/176127"><strong style="font-size: 22px;">賓士德國、土耳其分公司均傳資安事件，外洩數十萬客戶資料</strong></a></p> <p>汽車大廠賓士（Mercedes-Benz）土耳其分公司疑似近日遭到勒索軟體攻擊，資安業者VECERT指出，有駭客組織將賓士土耳其分公司Mercedes-Benz Türk列入勒索外洩名單，研判外洩資訊可能來自賓士公司自行開發的Xentry車輛診斷系統的資料。此外，研究人員亦在4月間也發現涉及德國賓士分公司的資料外洩事件。目前賓士集團尚未證實資料外洩或資安事件一事。</p> <p><a href="https://www.ithome.com.tw/news/176076"><strong style="font-size: 22px;">Anthropic公布Project Glasswing實施一個月成果，Claude Mythos已找出超過三萬個資安漏洞</strong></a></p> <p>Project Glasswing計畫執行一個月後，Anthropic於5月22日公布成效，指出近50家合作夥伴利用Mythos預覽版找出逾1萬個漏洞，Anthropic亦運用Mythos掃描逾千個開源專案，共找出23,019個漏洞。另一關注焦點在於漏洞挖掘的品質，經6家資安公司與Anthropic審核其中1,752個高風險項目，確認有1,587個（90.6%）為有效弱點，並有1,094個（62.4%）被認定為高風險或重大漏洞。</p> <p><a href="https://www.ithome.com.tw/news/176096"><strong style="font-size: 22px;">資安業者Elastic揭露新型銀行木馬TCLBanker</strong></a></p> <p>資安業者Elastic揭露新型銀行木馬TCLBanker，研判這是既有Maverick／Sorvepotel惡意軟體家族的大幅升級版本。值得注意的是，該惡意程式會偽裝成Logitech軟體安裝程式，鎖定巴西59個銀行與加密貨幣網站，並能進行鍵盤側錄、螢幕截圖與遠端操控等遠端控制。目前該惡意軟體雖然專門針對巴西用戶，但仍存在跨區域散播的風險。</p> <p><a href="https://www.ithome.com.tw/news/176082"><strong style="font-size: 22px;">PHP開發框架Laravel的語言套件遭挾持，駭客植入竊資軟體</strong></a></p> <p>PHP開發框架Laravel的第三方語言套件專案Laravel Lang，其GitHub儲存庫近期遭到入侵，攻擊者針對三個套件，分別是laravel-lang/lang、laravel-lang/attributes、laravel-lang/http-statuses，發布指向帶有惡意程式碼版本的標籤，並在這些程式碼注入可竊取憑證的程式碼，並藉由composer元件的自動載入功能執行。根據資安公司Aikido的調查分析，由於惡意程式碼未曾提交到Laravel的官方儲存庫，而特別難以察覺，資安公司Socket、Step Security也著手調查此事，並指出還有一個專案Laravel-Lang/actions也遭遇攻擊。</p> <p><a href="https://www.ithome.com.tw/news/176093"><strong style="font-size: 22px;">GitHub出現大規模自動化活動Megalodon，六小時推送近6千筆惡意提交、5,500個儲存庫受害</strong></a></p> <p><a href="/sites/default/files/images/2026-05-26_161037.jpg"><img alt="" src="/sites/default/files/images/2026-05-26_161037.jpg" style="width: 380px; float: right;" /></a></p> <p>GitHub面臨大規模自動化攻擊Megalodon，攻擊者在5月18日，於5,561個儲存庫提交5,718次惡意內容。揭露此攻擊活動的資安公司OX Security與SafeDep指出，這次駭客透過已棄用的帳號與偽造的作者身分，將經Base64編碼處理的bash酬載注入GitHub Actions的工作流程，並將CI機密、雲端憑證、SSH金鑰、OIDC權杖（token），以及原始碼等敏感資料偷偷傳出，整個過程僅花了6小時。</p> <p><a href="https://www.ithome.com.tw/news/176113"><strong style="font-size: 22px;">TrapDoor供應鏈攻擊透過NPM、PyPI、Crates散布竊資軟體</strong></a></p> <p>資安公司Socket揭露一起攻擊行動TrapDoor，目標鎖定加密貨幣、去中心化金融（DeFi）、Solana，以及AI社群開發者，駭客於NPM、PyPI、Crates滲透34個套件，上傳至少384個惡意套件版本，目的是竊取開發者的機密資料，包括加密貨幣錢包、SSH金鑰、雲端憑證、瀏覽器資料，以及環境變數。</p> <p><a href="https://www.ithome.com.tw/news/176103"><strong style="font-size: 22px;">Packagist遭遇供應鏈攻擊，8個套件被感染，駭客意圖透過GitHub散布Linux惡意軟體</strong></a></p> <p>過往軟體供應鏈攻擊多半針對NPM或PyPI儲存庫而來，如今有人將目標轉移到Packagist。資安公司Socket揭露針對Packagist的供應鏈攻擊事故，有8個套件受到影響，這些套件上游的儲存庫遭到竄改，被植入相同的惡意指令碼，其功能是從特定的GitHub網址下載Linux二進位檔案，並於系統背景執行。進一步追查攻擊者GitHub帳號，在17小時內發現777個惡意檔案，此結果顯示整起攻擊活動的規模比預期的更大。</p> <p><a href="https://www.ithome.com.tw/news/176112"><strong style="font-size: 22px;">內容管理系統Ghost的SQL注入漏洞被用於發動ClickFix網釣攻擊</strong></a></p> <p>內容管理平臺未及時修補的資安漏洞，有可能讓攻擊者有機可乘。中國資安公司奇安信揭露鎖定Ghost平臺的大規模攻擊活動，駭客利用已知漏洞CVE-2026-26980，取得網站的API金鑰，接著透過API大量竄改文章內容，於頁面植入惡意JavaScript載入工具，目的是建置假的Cloudflare人機驗證網頁（FakeCaptcha），進行ClickFix網釣攻擊，引誘瀏覽網頁的使用者在本機執行惡意命令。</p> <p><a href="https://www.ithome.com.tw/news/176116"><strong style="font-size: 22px;">Universal Robots修補工控機器人重大漏洞</strong></a></p> <p>全球主要協作機器人（cobot）廠商之一的Universal Robots，近日修補工控機器人作業系統PolyScope 5中的重大漏洞CVE-2026-8153，CVSS評分高達9.8分，漏洞存在於Dashboard Server介面，攻擊者可能透過命令注入遠端控制機器人與周邊設備。CISA也已對此漏洞發布ICS安全公告，呼籲企業儘速更新並強化網段隔離。</p> <p><a href="https://www.ithome.com.tw/news/176120"><strong style="font-size: 22px;">網路流量分析工具Wireshark發布新版本</strong></a></p> <p>知名開源網路流量分析工具Wireshark近日發布4.6.6版更新，修補ROHC與MACsec協定解析器漏洞，攻擊者可能利用特製封包造成程式當機與阻斷服務，主要問題影響4.6與4.4系列版本，新版本也同步修正Windows相容性與安裝問題，建議用戶儘速升級。</p> <p><a href="https://www.ithome.com.tw/news/176107"><strong style="font-size: 22px;">向量資料庫ChromaDB存在重大漏洞引發關注</strong></a></p> <p>開源向量資料庫ChromaDB Python FastAPI伺服器存在重大漏洞CVE-2026-45829，在GitHub相關回報中有人特別提到，這項漏洞主要影響Python實作部署方式後端，建議ChromaDB用戶改用不受影響的Rust實作版本。資安業者HiddenLayer更是指出，該漏洞從ChromaDB 1.0.0就存在，至1.5.8仍未修補，最新1.5.9也沒有明確說明是否修補。</p> <p><a href="https://www.ithome.com.tw/news/176091"><strong style="font-size: 22px;">Ubiquiti修補UniFi OS平臺三項滿分重大漏洞</strong></a></p> <p>網通設備商Ubiquiti修補旗下UniFi OS管理平臺的重大漏洞，這次修補包含3項CVSS嚴重性評分10.0滿分的漏洞，包括CVE-2026-34908、CVE-2026-34909、CVE-2026-34910，未修補可能導致攻擊者執行任意指令、存取系統底層敏感資訊等問題。</p> <p><a href="https://www.ithome.com.tw/news/176121"><strong style="font-size: 22px;">FBI警告Kali365釣魚即服務竊取Microsoft 365權杖</strong></a></p> <p><a href="/sites/default/files/images/2026-05-26_160832.jpg"><img alt="" src="/sites/default/files/images/2026-05-26_160832.jpg" style="width: 380px; float: right;" /></a></p> <p>美國聯邦調查局（FBI）5月21日警告，Kali365釣魚即服務（PhaaS）正鎖定Microsoft 365環境。FBI強調，這類攻擊活動主要濫用Microsoft身分驗證機制中的合法裝置代碼流程（Device Code Flow），進而冒充可信任的雲端生產力或文件共享服務，郵件內含裝置代碼，並引導使用者前往真正的Microsoft驗證頁面輸入代碼，受害者完成驗證後，實際上是授權攻擊者控制的裝置存取其帳號。</p> <p><a href="https://www.ithome.com.tw/news/176125"><strong style="font-size: 22px;">AI是否加速Linux漏洞發現受關注，OpenSSF專家稱約三成漏洞通報為重複案例</strong></a></p> <p>近期Linux核心漏洞接連曝光，開源安全社群與Linux核心維護者怎麼看待？OpenSSF首席安全架構師Christopher Robinson即表示，隨著更多人使用AI工具進行漏洞研究，回報的Linux資安漏洞約有30%是重複案例。CloudLinux執行長Igor Seletskiy則指出，過去通常每年只會出現一、兩個影響多個Linux發行版的LPE漏洞，但近期一週內就出現兩個類似漏洞值得企業留意，並認為這類趨勢可能還會持續數月。</p> <p><a href="https://www.ithome.com.tw/news/176019"><strong style="font-size: 22px;">臺灣AI治理將從政府擴及產業與資料治理</strong></a></p> <p>臺灣《人工智慧基本法》共有20條，其中多項條文涉及全新的AI治理制度設計，國科會前瞻及應用科技處處長蔡妙慈表示，政府正討論建立資料開放、共享與再利用機制，但前提仍須兼顧個資與隱私保護。她強調，AI發展速度極快，政府希望透過《人工智慧基本法》的落實，以及國科會、數發部與各部會的分工協作，建立可信任的AI治理生態系，讓臺灣不只是AI技術供應者，也成為具備治理能力的AI應用國家。</p> <p><a href="https://www.ithome.com.tw/news/176108"><strong style="font-size: 22px;">Visa揭示支付威脅新趨勢：犯罪集團轉向攻擊「人」而非破解技術</strong></a></p> <p>支付安全新挑戰浮現，Visa於5月20日發布2026年春季半年度威脅報告，指出網路層面的技術防護雖有成效，但罪犯已將矛頭轉向利用AI與社交工程，誘騙使用者自行授權付款。報告中指出，詐騙已成為成長最快的受害類型，在2025年7月至12月間，共偵測到近10億美元的詐騙相關企圖。Visa指出，防禦重心必須從「偵測遭竊憑證」，轉向「偵測並瓦解欺騙行為」。</p> <p><a href="https://www.ithome.com.tw/news/176118"><strong style="font-size: 22px;">NIST發布SP 800-172第三版修訂，強化對抗APT韌性</strong></a></p> <p><a href="/sites/default/files/images/（主圖）NIST SP 800-172r3.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89NIST%20SP%20800-172r3.jpg" style="width: 380px; float: right;" /></a></p> <p>美國國家標準與技術研究院（NIST）更新SP 800-172，於5月13日發布第三版。這套指南是建立在現行的SP 800-171基礎合規框架之上，專為保護關鍵計畫與高價值資產（HVA）所設計的增強型規範，目的是協助建立抵禦進階持續性威脅（APT）的深層防線。無論企業是為了支援CMMC的合規、強化供應鏈韌性、與風險管理框架（RMF）對接，將可參考新版指引來行動。</p> <p><a href="https://www.ithome.com.tw/news/176111"><strong style="font-size: 22px;">微軟推.NET版MCP代理治理套件，控管AI代理工具呼叫風險</strong></a></p> <p>微軟推出.NET版MCP代理治理擴充套件預覽版，其特色是，讓開發者在建置MCP伺服器時，就能加入治理機制，控管工具是否能被呼叫、呼叫時是否符合政策，以及啟動前掃描、回應內容遮蔽，以及稽核與指標蒐集機制，降低代理誤用工具或接收惡意輸出的風險。</p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/176094"><strong>【5月25日】GitHub內部儲存庫的程式碼外流，確認遭供應鏈攻擊事故波及</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176053"><strong>【5月22日】微軟修補防毒軟體零時差漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176020"><strong>【5月21日】近兩個月研究人員公布的零時差漏洞已能串成攻擊鏈</strong></a></p> <p> </p> </div></div></div>
5/26 16:30作者羅正漢https://www.ithome.com.tw/news/176130
OpenSSF發布Python安全程式開發指南，可用於開發者培訓、資安研究與AI工具評測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://openssf.org/blog/2026/05/12/secure-coding-guide-for-python-pyscg-first-release/" target="_blank">開源軟體安全基金會（Open Source Security Foundation，OpenSSF）於5月12日發布《Py<wbr></wbr>thon安全程式開發指南》</a>（Secure Coding Guide for Python，pyscg）首版，內容涵蓋9大章節、超過50項<wbr></wbr>規則，並以可執行程式碼範例示範常見弱點與修正方式，<wbr></wbr>可用於開發者培訓、資安研究，<wbr></wbr>以及大型語言模型與靜態分析工具評測。</p> <p>這份指南由OpenSSF最佳實務工作小組（OpenSSF Best Practices Working Group）建立，聚焦CPython 3.9及之後版本與標準函式庫，<wbr></wbr>避免依賴特定網頁框架或第三方模組，<wbr></wbr>讓不同技術堆疊的團隊都能套用當中揭示的原則。OpenSSF表示，整份指南設計為可在40小時內完成自學，<wbr></wbr>協助開發者建立安全程式開發基本觀念。</p> <p>雖然這份指南主要面向新進開發者，但OpenSSF也指出，<wbr></wbr>指南中的程式碼範例與規則整理，可協助資安研究人員觀察與理解Python弱點模式；開發團隊也能利用這些範例，測試大型語言模型、<wbr></wbr>靜態分析器等AI與自動化分析工具，並檢驗這些工具是否能辨識Python程式碼中的弱點模式，<wbr></wbr>教育工作者則可將其作為安全程式開發課程的基礎教材。</p> <p>指南內容分為9個章節，涵蓋信任邊界（Trust Boundaries）、硬編碼憑證（Hardcoded Credentials）、輸入正規化（Input Canonicalization）與數值處理（Numeric Handling）等基礎安全議題，也包括作業系統命令注入（O<wbr></wbr>S Command Injection）、SQL注入（SQL Injection）、反序列化（Deserializatio<wbr></wbr>n）、路徑穿越（Path Traversal）等常見弱點，並延伸至例外處理（Excep<wbr></wbr>tion Handling）、日誌記錄（Logging）、並行處理（C<wbr></wbr>oncurrency）與密碼學（Cryptography）。<wbr></wbr>每項規則都包含風險說明、不符合規範的程式碼範例、<wbr></wbr>符合規範的修正範例、自動化偵測結果，並對應非營利研發組織MI<wbr></wbr>TRE維護的常見弱點枚舉（Common Weakness Enumeration，CWE）分類。</p> <p class="rtecenter"><a href="https://best.openssf.org/Secure-Coding-Guide-for-Python/" target="_blank"><img alt="" src="/sites/default/files/images/0526-pyscg.png" style="width: 600px;" /></a></p> <p>OpenSSF也強調，靜態分析工具與AI輔助程式碼審查雖有助<wbr></wbr>於找出問題，但無法涵蓋所有安全風險。<wbr></wbr>部分弱點不是單靠程式碼掃描就能發現，<wbr></wbr>而是與系統流程設計及資料處理方式有關。例如，<wbr></wbr>程式未清楚區分可信任與不可信任資料、未妥善處理輸入內容，<wbr></wbr>或因運算子優先順序誤用而產生邏輯錯誤，<wbr></wbr>這類問題通常需要結合程式情境判斷，難以完全仰賴工具自動辨識。</p> <p>因此，指南中的程式碼範例採用固定命名規則，例如：noncompliantXX.py用來呈現反模式（an<wbr></wbr>ti-pattern）或漏洞，compliantXX.py示範對應修正方式，exa<wbr></wbr>mpleXX.py則說明特定程式行為。OpenSSF也指出，<wbr></wbr>範例不只呈現有弱點的程式碼，也會示範這類弱點可能如何被利用，<wbr></wbr>並以註解區隔兩者內容，<wbr></wbr>方便檢驗資安分析工具，確認其是否能找出相關弱點。</p> <p>在風險呈現方式上，這份指南並未採用抽象風險矩陣，<wbr></wbr>而是在主要總覽表中，將多項規則對應到實際產品中的代表性CVE<wbr></wbr>案例，並列出CVSS與EPSS（Exploit Prediction Scoring System，漏洞利用機率評分系統）的分數。OpenSSF指出<wbr></wbr>，CVSS呈現漏洞遭利用後的嚴重程度， EPSS則反映漏洞在<wbr></wbr>實際環境遭利用的可能性，<wbr></wbr>兩者搭配可協助開發者更具體理解不同弱點的真實風險。</p> </div></div></div>
5/26 16:51作者王珮瑤https://www.ithome.com.tw/news/176133
馬偕醫院再傳遭駭客入侵竊取資料，該院表示疑為2025年舊案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>馬偕醫院再度傳出遭駭客攻擊的事件，今日國內多家媒體報導指出，有駭客組織宣稱取得馬偕全臺5家醫院1.2TB醫療資料，馬偕醫院隨即發布聲明，表示經了解後疑似為2025年舊案，目前並未發現網路流量異常現象，並在得知此事的第一時間向臺北市調查處報案。</p> <p><a href="https://www.ithome.com.tw/news/167318">馬偕醫院去年2月曾遭到勒索軟體攻擊</a>，當時事件曾導致院內600多臺電腦受影響，掛號系統也受波及，後續證實為中國駭客Crazyhunter所為，其幕後主謀已確認為一名中國浙江省籍羅姓男子。</p> <p>時隔一年多的現在，馬偕醫院又傳出大規模資料外洩事件。根據多家國內媒體報導指出，一個稱為The BlackH4t MD-Ghost的駭客組織，宣稱他們從馬偕全臺5家醫院竊取大量資料，聲稱取得2025至2026年合計高達1.2TB醫療資料，同時在駭客論壇發布多份病患資料與檢驗系統紀錄作為佐證。</p> <p>馬偕醫院對此發布聲明稿表示：「針對網路疑似有關本院病人個資外洩一事，經內部瞭解後，疑似係為2025年發生之駭客攻擊事件。本院除已進行各項資安聯防外，平日即十分重視資訊安全，在該起事件後，本院更嚴密進行全體系資訊安全維護與定期及不定期內部查核。對於網路流量也持續保持監測，均未發現網路流量異常現象。」</p> <p>此外，院方也表示已向臺北市調查處報案，全力配合檢調偵辦，並呼籲民眾切勿在網路買賣或下載個資，以免觸法。</p> <p><a href="/sites/default/files/images/2026-05-26_152932.jpg"><img alt="" src="/sites/default/files/images/2026-05-26_152932.jpg" style="width: 600px;" /></a></p> </div></div></div>
5/26 15:28作者羅正漢https://www.ithome.com.tw/news/176129
NIST發布製造業資安實務指南草案，聚焦ICS網路攻擊事件應變與復原
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>為了強化製造業資安，在5月21日，美國國家標準暨技術研究院（<wbr></wbr>NIST）國家網路安全卓越中心（NCCoE）公開<a data-saferedirecturl="https://www.google.com/url?q=https://www.nist.gov/news-events/news/2026/05/now-available-nist-sp-1800-41-responding-and-recovering-cyber-attack&source=gmail&ust=1779868904563000&usg=AOvVaw15fBqQ0wtqoafS5pvMimLf" href="https://www.nist.gov/news-events/news/2026/05/now-available-nist-sp-1800-41-responding-and-recovering-cyber-attack" target="_blank">《<wbr></wbr>製造業網路攻擊回應與復原：資安實務指南》</a>初版草案，文件編號為NIST SP 1800-41，以下簡稱《製造業資安實務指南》。<wbr></wbr>這份指南聚焦工業控制系統（ICS）環境，說明製造業者如何依據<wbr></wbr>NIST網路安全框架2.0版（NIST CSF 2.0）建立事件回應與復原流程，以降低停機與營運衝擊。</p> <p>這份指南也參考NIST另外兩份文件，分別是：《NISTIR 8428》以及《NIST SP 800-61r3》；前者提供營運技術（OT）<wbr></wbr>環境的數位鑑識與事件回應流程，後者則協助製造業者依循NIST CSF 2.0，將資安事件的通報、分析、處置與復原整合至資安風險管理流程</p> <p>在實作層面，《製造業資安實務指南》以NIST CSF 2.0為基礎，聚焦該框架中的「回應」（Respond）與「<wbr></wbr>復原」（Recover）兩項核心功能。<a data-saferedirecturl="https://www.google.com/url?q=https://www.nccoe.nist.gov/news-insights/now-available-nist-sp-1800-41-responding-and-recovering-cyber-attack&source=gmail&ust=1779857586954000&usg=AOvVaw2IlyJ40gIaaHk6TKP-ORSk" href="https://www.nccoe.nist.gov/news-insights/now-available-nist-sp-1800-41-responding-and-recovering-cyber-attack" target="_blank">NCCoE與11家產業<wbr></wbr>合作夥伴建立模擬離散製造現場的示範環境</a>，<wbr></wbr>透過商用資安與工控技術，示範ICS環境遭遇資安事件後的應變流<wbr></wbr>程，包括事件通報、日誌檢視、事件分析、系統隔離、<wbr></wbr>清除入侵跡象與受影響項目，以及逐步恢復營運。<wbr></wbr>參與合作的業者涵蓋AWS、Google Cloud，思科（Cisco）、Dragos、Garland Technology、Tenable等網通與資安業者，<wbr></wbr>以及洛克威爾自動化（Rockwell Automation）、西門子（Siemens）等工控業者。</p> <p>具體來看，<a data-saferedirecturl="https://www.google.com/url?q=https://www.nccoe.nist.gov/sites/default/files/2026-05/nist-sp-1800-41-ipd.pdf&source=gmail&ust=1779857586954000&usg=AOvVaw39xqMMWJVToHAetwoXUTuY" href="https://www.nccoe.nist.gov/sites/default/files/2026-05/nist-sp-1800-41-ipd.pdf" target="_blank">這份指南列出3種演練情境</a>。首先，模擬攻擊者利用US<wbr></wbr>B隨身碟將惡意檔案植入工程工作站，進而感染監督層人機介面（H<wbr></wbr>uman Machine Interface，HMI），造成操作畫面失效。<wbr></wbr>第二類情境則模擬攻擊者竊取IT憑證後，<wbr></wbr>利用設定錯誤的防火牆系統，從企業網路進入ICS網路，<wbr></wbr>存取資料歷史庫，並將大量歷史資料傳送到外部伺服器；<wbr></wbr>組織需透過日誌、網路流量分析與端點資訊，<wbr></wbr>釐清資料外洩路徑與影響範圍。</p> <p>第三種情境聚焦未經授權控制指令。<wbr></wbr>攻擊者利用遭竊憑證存取工程工作站，<wbr></wbr>操作內部軟體變更控制輸送帶的可程式化邏輯控制器（Programmable Logic Controller，PLC）參數，<wbr></wbr>使產線生產出不符合規格的產品，最後導致生產中斷。</p> <p>另一方面，NIST也提醒，ICS環境不能直接套用一般IT資安<wbr></wbr>控制措施。以IT環境常見的入侵防護系統（Intrusion Prevention System，IPS）為例，ICS重視即時反應與可預期運作，<wbr></wbr>若IPS將安全控制相關通訊誤判為威脅並加以阻擋，<wbr></wbr>反而可能干擾現場安全機制或產線運作。因此，組織規畫ICS事件<wbr></wbr>回應架構時，不能只評估資安防護效果，也要同步考量製程需求、<wbr></wbr>設備運作特性與現場安全風險。</p> <p>整體而言，NIST這份《製造業資安實務指南》提醒，<wbr></wbr>組織若能完整蒐集設備、系統與網路日誌，提升監控資料的可視性，<wbr></wbr>並透過行為分析及早發現設備或網路活動異常，<wbr></wbr>再搭配不易遭竄改的備份儲存方式，<wbr></wbr>保存可用於復原的良好組態與備份檔案，<wbr></wbr>將有助於縮短從發現異常到完成調查處置的時間，提升ICS環境的<wbr></wbr>復原能力與營運韌性。</p> </div></div></div>
5/26 16:17作者王珮瑤https://www.ithome.com.tw/news/176131