iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 31篇
近 24 小時: 32篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/10 18:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

NPM套件再傳遭惡意程式Miasma供應鏈攻擊，AI程式碼工具被鎖定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>6月1日資安公司Aikido與OX Security揭露<strong><a href="https://www.ithome.com.tw/news/176301">惡意程式Shai-Hulud的變種Miasma攻擊行動</a></strong>，駭客鎖定與Red Hat雲端服務相關的NPM套件，事隔數日，這些駭客再度發起新一波攻擊，引起多家資安公司關注。</p> <p>資安公司<strong><a href="https://www.endorlabs.com/learn/malicious-payload-in-ai-sdk-ollama-npm-package">Endor Labs</a></strong>、<strong><a href="https://www.ox.security/blog/600000-monthly-downloads-affected-miasma-supply-chain-attack-is-back-on-npm/">OX Security</a></strong>、<strong><a href="https://safedep.io/miasma-worm-ai-coding-agent-config-injection/">SafeDep</a></strong>、<strong><a href="https://www.stepsecurity.io/blog/binding-gyp-npm-supply-chain-attack-spreads-like-worm">StepSecurity</a></strong>於6月3日至5日提出警告，他們偵測到最新一波的Miasma攻擊，有57個套件被入侵，駭客上傳超過286個版本的惡意套件。其中最受到關注的部分，是感染了由社群維護的NPM套件ai-sdk-ollama，用於串接LLM框架Ollama與雲端AI網頁程式開發平臺Vercel AI，每月下載量超過12萬次；另一個受到研究人員關注的受害套件，是由Vapi推出的AI語音助理軟體開發套件（SDK）vapi-ai/server-sdk，每月下載量超過40.8萬次，StepSecurity指出，vapi-ai/server-sdk是本次事故受害最嚴重的套件。</p> <p>總體而言，OX Security表示，至少有118個GitHub儲存庫被感染，駭客用於存放竊得憑證；Endor Labs於17秒內看到駭客上傳4個惡意套件。</p> </div></div></div>
6/8 13:20作者周峻佑https://www.ithome.com.tw/news/176422
多倫多大學研究示警，駭客可用免費AI模型提高蠕蟲程式擴散能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.utoronto.ca/news/u-t-researchers-demonstrate-ai-worm-could-target-any-online-device" target="_blank">加拿大多倫多大學（University of Toronto）發布研究指出</a>，攻擊者即使未掌握先進AI模型或龐大運算資源，仍可能利用開放權重模型，開發具備自主調整攻擊策略能力的惡意程式。</p> <p>研究團隊在受控且與外界隔離的虛擬網路環境中，驗證以開放權重（open-weight）AI模型打造的蠕蟲程式，能否利用已知漏洞、密碼重複使用、弱密碼與錯誤組態等常見安全弱點，在不同裝置之間擴散。</p> <p>結果顯示，傳統蠕蟲程式多依固定指令碼運作，一旦遭遇預期之外的防禦措施，攻擊往往會失敗；AI驅動蠕蟲則可先偵察目標環境，再依照弱點與防禦狀況調整攻擊方式，成功入侵後進行自我複製，並利用受害裝置的資源持續擴散。</p> <p>研究團隊指出，這類威脅不只局限於AI系統，也可能波及筆記型電腦、攝影機，以及能源電網等連網設備。</p> <p>防護建議方面，研究人員提醒企業與使用者應落實基本資安措施，包括定期修補裝置與軟體漏洞、使用高強度且不重複的密碼、啟用多因素驗證，並檢查可能導致系統暴露於風險的安全設定，以降低單一裝置遭入侵後，被攻擊者作為跳板，進一步擴散至其他系統的風險。</p> </div></div></div>
6/8 11:38作者王珮瑤https://www.ithome.com.tw/news/176423
Anthropic揭露惡意帳號濫用Claude趨勢，中度風險以上AI輔助攻擊者占比已逾五成
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://red.anthropic.com/2026/attack-navigator/" target="_blank">AI公司Anthropic於6月3日發布AI輔助網路威脅分析報告</a>，指出攻擊者濫用AI模型發動網路攻擊的情況持續增加，風險也逐步升高。該公司分析2025年3月至2026年3月間，因違反使用政策遭停權、且具備足夠活動細節可供分析的832個帳號。</p> <p>Anthropic表示，中度風險以上的AI輔助網路攻擊者占比，在研究期間從33.5%上升至56.1%，不到一年即增加至約1.7倍，顯示AI正在降低攻擊者執行複雜攻擊行動的門檻。</p> <p>報告指出，多數攻擊者仍主要將AI用於攻擊行動的準備與部署階段。若按照MITRE ATT&CK資安框架的技術項目分類，用於開發攻擊能力（Develop Capabilities）的比例最高，達69%；其次是檔案或資訊混淆（Obfuscated Files or Information），占64.7%；從本機系統蒐集資料（Data from Local System）占55.9%；規避或削弱防禦機制（Impair Defenses）占54.9%。相較之下，利用AI模型協助橫向移動（Lateral Movement）的比例只有6.5%，顯示AI目前在入侵後階段的實際操作應用仍屬少數，但若涉及此類行為，通常也代表AI對攻擊行動的助益更大，整體威脅風險更高。</p> <p>Anthropic並將13,873筆惡意活動觀察結果，對應至MITRE ATT&CK資安框架。結果顯示，MITRE ATT&CK目前仍難完整涵蓋AI代理自主串接攻擊流程，以及即時調整攻擊方向的新型態行為。該公司表示，已根據這項分析更新Claude內建分類器與偵測機制，並與MITRE討論如何讓ATT&CK框架納入AI原生（AI-native）攻擊行為。</p> </div></div></div>
6/8 11:58作者王珮瑤https://www.ithome.com.tw/news/176425
無印良品、東芝等多家網站傳出可疑的Polyfill登入提示
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>日本電子電機廠商東芝（Toshiba）、無印良品（Muji）旗下網站疑似被植入Polyfill跳出式登入提示頁，意在蒐集用戶憑證資訊。</p> <p>Polyfill是前端網頁開發中用來填補瀏覽器功能缺失的JavaScript程式碼函式庫。當舊版瀏覽器不支援某些現代化的API時，Polyfill會模擬這些新功能，讓網頁能在舊環境中正常運行。許多網站都在程式碼中嵌入Polyfill.io的連結。但2024年初一家中國公司收購了Polyfill.io網域後，<a href="https://www.ithome.com.tw/news/163667" target="_blank">以其進行供應鏈攻擊</a>，在造訪網域的使用者裝置瀏覽器插入惡意程式碼。當時維護Polyfill專案的原作者提醒大家儘快移除該連結，但許多維護率低的網站並未及時更新。</p> <p>在使用Polyfill.io程式碼的網站，包括<a href="https://www.global.toshiba/jp/top/info-20260602.html" target="_blank">東芝</a>及<a href="https://www.muji.com/jp/ja/notice/1676928" target="_blank">無印良品</a>網頁兩星期前出現可疑的跳出式登入提示視窗，要求用戶輸入使用者名稱及密碼，意在蒐集用戶輸入憑證。根據二家公司的調查，登入頁皆是由已變成惡意網站的https://polyfill[.]io生成並經由CDN（content delivery network）推送腳本程式。</p> <p>兩家日本企業網站已於上周移除相關程式碼，並警告用戶不要輸入任何資訊，若用戶已輸入資訊，則應儘速變更密碼。</p> </div></div></div>
6/8 10:21作者林妍溱https://www.ithome.com.tw/news/176420
SolarWinds Serv-U未經身分驗證阻斷服務漏洞已遭利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>SolarWinds於6月4日發布檔案傳輸與管理軟體Serv-U更新<strong><a href="https://documentation.solarwinds.com/en/success_center/servu/content/release_notes/servu_15-5-4-hotfix-1_release_notes.htm">15.5.4 Hotfix 1版</a></strong>，修補與CVE-2026-28318相關的軟體臭蟲，<strong><a href="https://www.cisa.gov/news-events/alerts/2026/06/05/cisa-adds-one-known-exploited-vulnerability-catalog">隔天美國網路安全與基礎設施安全局（CISA）表示</a></strong>，他們已掌握該漏洞遭到積極利用的證據，將其列入已遭利用漏洞名單（KEV），要求聯邦機構<strong><a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-28318">在6月19日前完成修補</a></strong>。</p> <p>CVE-2026-28318為未經身分驗證的阻斷服務漏洞，起因是Serv-U在身分驗證流程時，容易受到特製POST請求的影響，而在無需驗證的情況下，利用Content-Encoding: deflate的標頭，導致Serv-U服務崩潰，CVSS風險為7.5分，若是IT人員無法及時部署新版程式，應該採用該公司在SolarWinds Trust Center提供的指引進行緩解。</p> </div></div></div>
6/8 10:22作者周峻佑https://www.ithome.com.tw/news/176417
摩根大通、花旗擬推代幣化存款網路，迎戰穩定幣競爭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.theclearinghouse.org/payment-systems/Articles/2026/06/Major-Financial-Institutions-Unveil-Bank-Led-On-Chain-Money-Initiative" target="_blank">紐約清算所（The Clearing House，TCH）上周五（6/5）宣布</a>，將與摩根大通（JPMorgan Chase）、花旗（Citigroup）、美國銀行（Bank of America）、富國銀行（Wells Fargo）等大型銀行合作，建立代幣化存款清算與結算網路，支援銀行間鏈上資金流動。外界認為，此舉是大型銀行回應穩定幣支付競爭的重要布局。</p> <p>紐約清算所成立於1853年，由美國25家大型金融機構共同持有，營運即時支付網路RTP（Real-Time Payments）與大額美元支付系統CHIPS（Clearing House Interbank Payments System），每天清算與結算規模超過2兆美元。</p> <p>由TCH主導的代幣化存款清算與結算網路，是將區塊鏈金融活動接入既有銀行支付系統，讓銀行存款能以數位代幣形式在鏈上移轉與結算，但本質上仍是商業銀行存款，而非第三方穩定幣。</p> <p>這套網路主要提供兩項功能，一是支援銀行間代幣化存款的鏈上清算與24小時結算，讓交易可自動執行，並附帶更豐富的交易資料；二是建立連接區塊鏈與傳統法幣支付軌道的橋接層，串接RTP與CHIPS，讓資金可在代幣化存款與既有銀行存款之間流動。</p> <p>參與這項計畫的金融機構包括美國銀行、摩根大通、花旗、富國銀行、匯豐（HSBC）與桑坦德（Santander）等大型銀行。TCH表示，該網路未來可支援可程式化企業財務、即時流動性管理、跨境支付、數位資產結算、AI代理人商務（Agentic Commerce）及自動化金融流程等應用。</p> <p><a href="https://www.wsj.com/finance/banking/jpmorgan-citi-and-big-banks-plan-new-tokenized-deposit-system-to-answer-crypto-6b2d696b" target="_blank">華爾街日報（The Wall Street Journal）指出</a>，該計畫是大型銀行回應穩定幣競爭的重要行動，預計最快於2027年上半年推出。<a href="https://www.coindesk.com/markets/2026/06/05/jpmorgan-bank-of-america-and-citi-are-going-on-the-blockchain-offensive-with-a-shared-tokenized-network" target="_blank">加密貨幣媒體CoinDesk則認為</a>，美國銀行業正在發動「區塊鏈攻勢」（Blockchain Offensive），希望透過共享代幣化存款網路，將鏈上美元活動留在受監管的銀行體系內。</p> </div></div></div>
6/8 11:13作者陳曉莉https://www.ithome.com.tw/news/176421
AI設計通用冠狀病毒疫苗首度完成人體試驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.cam.ac.uk/research/news/new-universal-vaccine-technology-could-protect-us-from-future-virus-outbreaks" target="_blank">英國劍橋大學（University of Cambridge）上周五（6/5）宣布</a>，與生技公司DIOSynVax共同開發的AI設計通用冠狀病毒疫苗已完成首次人體臨床試驗，證實安全且未出現重大副作用，相關研究成果已發表於<a href="https://www.journalofinfection.com/article/S0163-4453(26)00084-8/fulltext" target="_blank">《Journal of Infection》</a>。這也是全球首次將完全由電腦模擬設計的疫苗活性成分應用於人體試驗，為利用人工智慧（AI）開發下一代通用疫苗邁出重要一步。</p> <p>研究團隊利用機器學習分析全球監測計畫所蒐集的大量Sarbecovirus（SARS相關冠狀病毒）基因序列資料，找出整個病毒家族共享且較不容易發生變異的特徵，再將這些特徵整合為單一人工設計抗原，形成超級抗原（Super-Antigen）。</p> <p>這種AI設計抗原的作法，與現行多半針對特定病毒株開發的疫苗不同，目標是讓疫苗同時對抗整個病毒家族，甚至對尚未出現的新病毒提供保護。</p> <p>這項第一期臨床試驗共招募39名18歲至50歲健康志願者，研究結果顯示，該疫苗不僅可引發受試者對SARS-CoV-2及SARS病毒的免疫反應，也能對多種相關蝙蝠冠狀病毒產生反應，顯示其具備擴大保護範圍的潛力。</p> <p>劍橋大學獸醫學系病毒人畜共通傳染病實驗室教授Jonathan Heeney表示，傳統疫苗開發模式往往是在病毒出現後才開始追趕變異株，而新技術則希望將疫苗開發從被動反應轉變為面向未來的預防策略，降低頻繁更新疫苗配方的需求。</p> <p>其實通用疫苗、AI輔助設計、電腦模擬抗原，這些概念本身都不是第一次出現。該研究的重點在於，一個完全由電腦模擬設計的疫苗核心抗原，已首次進入並完成人體一期試驗，並初步證實安全。<a href="https://diosynvax.com/" target="_blank">DIOSynVax</a>成立於2017年，是衍生自劍橋大學的生技公司，專注於利用AI與運算生物學開發廣效保護疫苗。</p> <p>不過，該疫苗目前仍處於早期臨床階段，後續仍需透過第二期試驗，在更大規模與更多元族群中驗證其免疫效果與廣泛保護能力。研究人員認為，相同技術未來也可應用於季節性流感、禽流感以及伊波拉病毒等其他高風險病原體，建立可因應未來疫情威脅的通用疫苗平臺。</p> </div></div></div>
6/8 09:57作者陳曉莉https://www.ithome.com.tw/news/176418
研究人員以1000美元用AI發現FFmpeg 21項零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>繼Google和Anthropic的AI工具後，另一家<a href="https://depthfirst.com/research/21-zero-days-in-ffmpeg" target="_blank">資安業者Depthfirst也宣布</a>以AI工具找到開源音訊與視訊編碼工具FFmpeg 21項零時差漏洞，總成本約1000美元。</p> <p>FFmpeg是全世界最多人部署的軟體之一，它安裝所在小從瀏覽器，大到大型串流平臺的基礎架構，也是駭客攻擊目標。它常處理各種複雜、非信賴媒體內容，易遭到零點擊攻擊。另一方面，它體積相當大，包含將近150萬行為處理複雜媒體而高度優化的C程式。近日Google Big Sleep團隊在FFmpeg找到13個漏洞，之後<a href="https://www.ithome.com.tw/news/174940" target="_blank">Anthropic也用Mythos成功發現一些安全瑕疵</a>。</p> <p>Depthfirst團隊撰寫代理人系統來深度掃描FFmpeg的程式，並經過測試證實漏洞。該公司宣稱，其分析結果並非理論上的漏洞報告或語焉不詳的警告，而是具有可複製的概念驗證（PoC）、並加以執行過程來確認的安全漏洞。其代理人一共發現了21項零時差漏洞，範圍擴及TS demuxer（分離器）到VP9 decoder（解碼器），總成本大約是1000美元（是Anthropic使用Mythos成本的10%）。</p> <p>這21項漏洞中，已有9個獲得派發CVE編號。包括5個堆積緩衝區溢位（CVE-2026-39210、CVE-2026-39213、CVE-2026-39215、CVE-2026-39216、CVE-2026-39217、CVE-2026-39218）、2個堆疊緩衝溢位（CVE-2026-39212、CVE-2026-39214）和1個整數溢位（CVE-2026-39211）漏洞。其中不乏10年以上的漏洞（如CVE-2026-39210及CVE-2026-39211出現於2010年、CVE-2026-39215和CVE-2026-39216出現於2012年），更有一個（CVE-2026-39214）2003年就已存在，潛伏期長達23年。這21項漏洞俱已完成修補。</p> <p>剩下的漏洞沒有獲得編號。其中一個尤其危險。它是存在FFmpeg AV1 RTP depacketizer（解封包器）的堆積緩衝區溢位漏洞，能實現PC控制權劫持（PC Control），使用戶CPU執行攻擊者指令。欲濫用本漏洞，攻擊者只需架設一臺支援RTSP（Real-Time Streaming Protocol，即時串流協定）的影音伺服器，以播放影音內容掩人耳目，並將惡意封包藏在動態流量中。使用者終端只要以點選攻擊者傳送的RTSP串流URL，使之以FFmpeg處理流量就能完成攻擊。</p> <p>研究人員指出，本項漏洞之所以危險，原因在於攻擊場景廣、攻擊門檻低、使用者零點擊。受害者只要執行很普通的FFmpeg指令、也不需下載任何檔案，攻擊流量僅包含一個183-byte微型封包就足以觸發受害者CPU重導引執行。這類惡意封包能隱身在正常流量中，也不易觸發防護功能警報。</p> <p>最值得注意的是，本漏洞攻擊場景廣泛，從雲端影音轉碼服務、IP Cam監視器後臺、網路電視（IPTV）系統，任何讀取外部網路影音串流的系統都暴露在風險中。<a href="https://github.com/DepthFirstDisclosures/ffmpeg-dfvuln127" target="_blank">該公司代理人也寫了個PoC證實漏洞風險</a>。</p> </div></div></div>
6/8 09:03作者林妍溱https://www.ithome.com.tw/news/176414
世界糧食計劃署系統被駭，外洩高達60萬加薩家庭資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>聯合國旗下人道救援組織世界糧食計畫署（World Food Programme，WFP）近日遭不明人士攻擊，導致60萬加薩地區的巴勒斯坦家庭的姓名、手機及地址外洩，可能成為歷來最大人道組織的資料外洩案。</p> <p><a href="https://www.upguard.com/news/world-food-programme-data-breach-2026-06-02" target="_blank">報導指出</a>，被駭的是WFP的巴勒斯坦人自助註冊應用（Self-Registration Application，SRA for Palestine）系統，該系統提供加薩地區巴勒斯坦家庭註冊後，登記需要的食物和現金需求。5月14日時一名不明人士存取了該系統。估計該系統儲存的60萬巴勒斯坦家庭資料外洩。</p> <p><a href="https://www.thenewhumanitarian.org/news/2026/06/02/data-600000-gaza-households-exposed-wfp-cyber-attack" target="_blank">非營利媒體組織報導</a>，這可能是迄今最大規模的人道救援組織的資料外洩案。</p> <p>WFP在案發17天後於6月2日才證實此事，<a href="https://t.me/wfp_gaza/20" target="_blank">並透過Telegram通知巴勒斯坦用戶</a>。外洩的資訊包括巴勒斯坦人姓名、身分證號、手機號碼及地點資訊。WFP已關閉該平臺、排除入侵行動，並且強化安全控管以防止未來再發生資料曝露。</p> <p>超過200萬加薩居民在SRA系統上登入。WFP發言人對媒體表示，外洩的是巴勒斯坦人專用的應用程式，而該署開發的數位化受益人資訊與援助管理平臺（Beneficiary Information and Transfer Management Platform）SCOPE並未受影響。</p> <p>該聯合國組織被批評態度消極、回應速度太慢，導致巴勒斯坦居民陷於風險。<a href="https://www.thenewhumanitarian.org/news/2026/06/02/data-600000-gaza-households-exposed-wfp-cyber-attack" target="_blank">報導引述消息人士指出</a>，攻擊前二天即5月12日有一匿名專家聯繫WFP警告此事。該專家指出SRA平臺存在安全漏洞。WFP巴勒斯坦團隊將訊息提報羅馬總部後，總部的資安團隊完成漏洞評估，並說已經修補漏洞。然而WFP並未及時通知加薩居民，且到5月31日前都未進行風險評估，或提供緩解方法。報導指出，以色列軍方迄今已殺害數百名向WFP求助的巴勒斯坦民眾。</p> <p>WFP未公布攻擊者身分，目前也沒有組織宣稱犯案。</p> </div></div></div>
6/8 09:09作者林妍溱https://www.ithome.com.tw/news/176415
Amazon以Bring Your Own Media方案吸引SQL Server用戶搬上AWS RDS雲端，不需購買…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>因應企業用戶要從本地端搬移到雲端，<a href="https://aws.amazon.com/tw/blogs/database/unlock-license-mobility-with-bring-your-own-media-on-fully-managed-amazon-rds-for-sql-server/" target="_blank">Amazon公布新方案Bring Your Own Media</a>，允許客戶以現有授權，將SQL Server從本地搬移到AWS RDS上。</p> <p>過去具有微軟軟體授權（Software Assurance）的企業用戶，只能透過微軟的License Mobility方案，將SQL Server部署在企業自管的Amazon EC2（Elastic Compute Cloud）上。若企業想使用完全託管的資料庫，例如Amazon RDS （Relational Database Service，RDS），SQL Server用戶就必須透過License Included模式購買第二次授權。</p> <p>AWS公布針對Amazon RDS for SQL Server設計的Bring Your Own Media（BYOM）方案旨在解決這個問題。企業可將現有SQL Server安裝媒體和授權用於RDS for SQL Server，而無需額外付出授權，這支援Enterprise或Standard版本SQL Server授權。若用戶設定了AWS授權管理員，就能自動追蹤BYOM執行個體，讓用戶得以持續掌控SQL Server授權使用和遵循狀態。</p> <p>若用戶想搬移到AWS上，<a href="https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/SQLServer.Procedural.Importing.html" target="_blank">Amazon RDS也提供搬移方案</a>。RDS還會自動執行修補程式、備份、高可用性（high availability，HA）及監控作業，同時能提供AWS原生的代理式AI和分析服務。</p> <p>AWS也提供了解決方案運作說明。要重複使用現有SQL Server授權，其授權發布條款要求用戶提供SQL Server RTM（Release to Manufacturing）媒體給Amazon RDS。有了BYOM，用戶可以從AWS控制臺將SQL Server RTM媒體上傳到Amazon S3，就可以啟動完全託管的RDS for SQL Server執行個體。利用AWS授權管理員，Amazon RDS能自動偵測BYOM，並報告vCPU使用量，用戶得以完全掌控SQL Server授權耗用。但AWS也提醒，在此配置下，授權遵循義務還是在企業用戶身上。</p> </div></div></div>
6/8 09:17作者林妍溱https://www.ithome.com.tw/news/176416
思科企業通訊管理平臺Unified CM存在重大SSRF漏洞，恐遭用於權限提升攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>思科發布安全公告，修補企業通訊管理平臺Unified CM（Cisco Unified Communications Manager）及Unified CM SME（Cisco Unified Communications Manager Session Management Edition）<strong><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-cucm-ssrf-cXPnHcW">重大漏洞CVE-2026-20230</a></strong>。該漏洞屬於伺服器端請求偽造（Server-Side Request Forgery，SSRF）漏洞，攻擊者可能透過特製HTTP請求，讓受影響系統執行非預期的連線或處理動作。</p> <p>思科將該漏洞的安全影響評等列為重大等級，<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-20230">高於CVSS 8.6分對應的高風險等級</a></strong>。官方解釋，原因是攻擊者成功利用後，可能將檔案寫入底層作業系統，作為日後提升至root權限的手段。CVE-2026-20230源於系統對特定HTTP請求的輸入驗證不當，未經身分驗證的遠端攻擊者只要向受影響裝置送出特製HTTP請求，就可能發動攻擊。</p> <p>不過，該漏洞要生效有明確前提，並非所有Unified CM部署皆受影響，只有啟用WebDialer網頁撥號服務的Cisco Unified CM與Unified CM SME環境，才在CVE-2026-20230影響範圍。</p> <p>管理員可登入Cisco Unified CM管理介面，檢查Cisco WebDialer Web Service是否處於已啟動狀態。目前官方沒有提供可完全替代修補程式的解決方式，但在正式套用修補前，管理員可先停用WebDialer服務，作為降低風險的臨時措施。WebDialer預設為停用，因此管理員需要先確認實際部署狀態，才能判斷是否暴露於相關風險。</p> <p>Cisco Unified CM與Unified CM SME 14版的修補版本為14SU6；15版則為15SU5，預計於2026年9月提供，或可使用版本對應的COP修補程式。思科提醒，暫時停用WebDialer服務只能降低風險，完整處理仍需升級到已修補版本。</p> <p>思科產品安全事件應變團隊表示，已知這項漏洞已有概念驗證利用程式碼公開，但截至公告發布時，尚未掌握惡意利用案例。</p> </div></div></div>
6/5 19:59作者李建興https://www.ithome.com.tw/news/176411
【資安日報】6月5日，伺服器管理晶片廠商於Computex 2026積極展現資安布局
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/176369"><strong style="font-size: 22px;">導入Caliptra 2.x安全架構，信驊於Computex 2026積極展現晶片級資安布局，PQC支援亦成焦點</strong></a></p> <p><a href="/sites/default/files/images/Aspeed-Computex-Caliptra-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/Aspeed-Computex-Caliptra-63.jpg" style="width: 300px; float: right;" /></a>以伺服器管理晶片BMC產品聞名全球的臺廠信驊科技，在本週舉行的Computex展示以Caliptra安全架構為核心的產品布局。Caliptra是由OCP（Open Compute Project）主導的開源硬體信任根標準，信驊這次展出的多款新一代產品，也使其成為全球首家將Caliptra 2.x版本整合至晶片的廠商，宣示資安防禦已從軟體層全面深化至晶片層，該公司並預期，未來有更多廠商也會跟進。新版晶片亦全面支援後量子密碼學（PQC），確保伺服器韌體在未來量子運算時代，仍能防範韌體遭竄改。</p> <p><a href="https://www.ithome.com.tw/news/176374"><strong style="font-size: 22px;">Computex首設開源臺灣館，向國際展現臺灣開源社群實力</strong></a></p> <p>今年Computex首次設立「開源臺灣館」（Open Source Team Taiwan），成為與硬體產品截然不同的展區。事實上，開源已經成為現代IT的重要基礎，因此，企業關注的焦點不再只是是否使用開源軟體，而是如何參與開源專案、建立開源治理能力，以及在供應鏈中維持軟體安全。本次大會亦邀請Apache軟體基金會（ASF）與開放原始碼安全基金會（OpenSSF）社群領袖來臺演說、交流，涵蓋開源治理、開源安全、軟硬體整合以及社群協作等議題。</p> <p><a href="https://www.ithome.com.tw/news/176367"><strong style="font-size: 22px;">Perplexity發表混合式本地伺服器推論技術，將敏感資料留在本機處理</strong></a></p> <p><a href="/sites/default/files/images/0604-intel perplexity-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/0604-intel%20perplexity-63.jpg" style="width: 300px; float: right;" /></a>在Computex 2026的Intel主題演講裡，AI模型廠商Perplexity展示混合式本地伺服器推論協調器，此為該公司混合式代理推論（hybrid agentic inference）的實作，訴求是部署AI系統需在準確性、隱私、成本三種要求間取得平衡。Perplexity指出，這項方案適合處理敏感資訊，但需要龐大AI分析的應用，包括財務記錄、健康資訊和個人資料。一般來說，準確性需要最強大的模型，但這類模型往往在雲端而難以兼顧隱私，藉由混合式本地伺服器推論協調器，將能把這類機敏資料留在本機處理。</p> <p><a href="https://www.ithome.com.tw/news/176394"><strong style="font-size: 22px;">NTLM協定安全問題又一樁，Windows Search URI問題可能導致NTLM驗證資訊外洩</strong></a></p> <p>資安公司Huntress近日揭露Windows Search URI導致NTLM雜湊值洩漏的弱點，此問題源自Windows的search-ms: URI處理程序，當使用者點擊包含惡意參數的連結時，系統會解析該URI並自動發起連線至攻擊者控制的SMB伺服器，Windows可能在連線過程中自動發起NTLMv2驗證流程，導致Net-NTLMv2雜湊值洩漏給攻擊者。值得留意的是，此問題的性質與嚴重性，與微軟在4月修補CVE-2026-33829相同，但通報後卻未獲得微軟採納與修補。</p> <p><a href="https://www.ithome.com.tw/news/176387"><strong style="font-size: 22px;">研究人員直接公開VS Code資安漏洞，並表明對微軟漏洞通報流程失去信任</strong></a></p> <p><a href="/sites/default/files/images/github-dev-dropdown-option-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/github-dev-dropdown-option-63.jpg" style="width: 300px; float: right;" /></a>資安研究員Ammar Askar於6月2日公布Visual Studio Code（VS Code）一項零時差漏洞，並指出攻擊者只要誘導使用者點選惡意連結，就能竊得GitHub OAuth權杖（token），進而存取使用者的公開與私有儲存庫。這項漏洞之所以受到關注，在於Askar並未依照微軟提供的通報管道處理，而是選擇在VS Code的GitHub專案提出議題（issue），以及發布部落格文章的方式公開漏洞，並表明這麼做的原因，就是他多年前向微軟安全回應中心（MSRC）通報漏洞的不愉快經驗。</p> <p><a href="https://www.ithome.com.tw/news/176392"><strong style="font-size: 22px;">WordPress表單外掛Everest Forms Pro漏洞遭積極利用</strong></a></p> <p><a href="/sites/default/files/images/everest-forms-pro-rce-howto-wordfence-firewall-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/everest-forms-pro-rce-howto-wordfence-firewall-63.jpg" style="width: 300px; float: right;" /></a>6月5日資安公司Wordfence提出警告，他們於3月底公開揭露的表單外掛程式Everest Forms Pro漏洞CVE-2026-3300，於4月13日首度偵測到漏洞利用的跡象，並在5月16日出現大規模漏洞利用嘗試活動，當天有超過17,900次攻擊，截至目前為止已出現逾29,300次活動。Wordfence指出，攻擊者會嘗試在具有此漏洞的網站建立新的管理員帳號，而且多半會使用特定的使用者名稱或電子郵件信箱，該公司也提供入侵指標，讓系統管理者檢查網站是否已遭滲透。</p> <p><a href="https://www.ithome.com.tw/news/176391"><strong style="font-size: 22px;">Google發布Chrome 149穩定版更新，修補429項安全問題</strong></a></p> <p>Google發布Chrome瀏覽器新版本，將Windows與Mac平臺穩定版更新至149.0.7827.53與149.0.7827.54，Linux版本更新至149.0.7827.53，此次改版同時納入429項安全修正，其中包括22項重大漏洞的修補，而最為顯眼的是3項通報者獲頒獎金的重大漏洞。首先是CVE-2026-10881，為圖形處理元件ANGLE的記憶體越界讀取與寫入（Out of bounds read and write）問題，Google給予通報者9.7萬美元獎勵，是近幾個月來Chrome漏洞通報中相對少見的高額獎金。</p> <p><a href="https://www.ithome.com.tw/news/176356"><strong style="font-size: 22px;">Google發布ChromeOS長期支援版更新，修補多項重大記憶體安全漏洞</strong></a></p> <p>Google推出ChromeOS作業系統長期支援版LTS-144更新144.0.7559.254版，當中修補15項漏洞，有3項漏洞被評為有重大風險，11項有高風險，1項有中度風險。這3項重大漏洞皆為記憶體已釋放卻仍被使用（UAF）問題，嚴重性最高的是CVSS評分達9.0的CVE-2026-9891，問題出在擴充功能（Extensions），其次是CVSS嚴重性評分同為8.8的CVE-2026-9887與CVE-2026-9873，分別存在於代理伺服器（Proxy）與網路元件（Network）。</p> <p><a href="https://www.ithome.com.tw/news/176382"><strong style="font-size: 22px;">宏碁Wave 7路由器存在2項滿分重大漏洞</strong></a></p> <p>宏碁本週發布安全公告，預告將對Wave 7家用路由器發布韌體更新，修補2個CVSS風險值10分的安全漏洞。這兩項漏洞編號分別為CVE-2026-49200及CVE-2026-49201。其中CVE-2026-49200屬於存取控制缺陷。攻擊者未經驗證也可經由Web介面存取裝置韌體中的acer_cgi.log檔。這個檔案包含明碼的Web及Telnet登入憑證，而導致非授權存取系統；CVE-2026-49201則是發生在負責處理裝置備份的upload.cgi，當中包含寫死的AES加密金鑰。</p> <p><a href="https://www.ithome.com.tw/news/176397"><strong style="font-size: 22px;">Google Gemini語音助理存在漏洞，攻擊者可透過訊息通知來挾持AI</strong></a></p> <p>資安公司SafeBreach揭露Google Gemini存在一種新型態的弱點Fake Context Alignment，攻擊者藉由WhatsApp、Slack、簡訊等管道發送通知，並將惡意指令隱藏到另一種國家語言或是靜音連結（muted hyperlinks），就可能讓語音助理執行未經授權的行為。這種弱點可被用於控制智慧家庭裝置、啟動未經授權的影片串流，甚至偽造受信任的聯絡人進行大規模社交工程攻擊，或是污染AI長期記憶內容、建立持續存取的管道而影響廣泛。</p> <p><a href="https://www.ithome.com.tw/news/176380"><strong style="font-size: 22px;">新型SymJack攻擊鏈盯上AI程式開發代理，藉核准提示隱藏真正寫入目標</strong></a></p> <p>資安公司Adversa AI揭露SymJack新型攻擊鏈，能對於多款協助開發者寫程式、修改檔案與執行命令的AI程式開發代理下手，因此該公司研判是普遍存在的設計瑕疵，而非單一產品問題。攻擊者可準備惡意程式碼儲存庫，讓AI代理執行看似普通的檔案複製動作，但實際內容可能被寫入代理工具的設定檔，並在代理下次啟動時執行攻擊者指定的程式。研究團隊建議，AI程式開發代理應在檔案寫入前解析符號連結的真正目標，避免只依命令文字判斷操作是否安全。</p> <p><a href="https://www.ithome.com.tw/news/176393"><strong style="font-size: 22px;">NPM套件遭供應鏈攻擊，感染惡意程式IronWorm</strong></a></p> <p>資安公司JFrog揭露竊資軟體IronWorm的攻擊行動，這是以Rust打造的大型惡意程式，能從開發環境抓取多達86種機密資訊，本身可隱匿在eBPF核心rootkit背後運作，並透過Tor連線向操作員回報執行結果。與Shai-Hulud相同的地方在於，IronWorm使用竊得的憑證作為傳播機制，悄悄將惡意程式碼提交至受害者的GitHub儲存庫，並透過受信任的開發者工作流程GitHub Actions發布到NPM儲存庫。JFrog指出，這次攻擊者特別針對加密貨幣與Web3領域而來。</p> <p><a href="https://www.ithome.com.tw/news/176384"><strong style="font-size: 22px;">RondoDox殭屍網路鎖定華碩路由器舊漏洞，CVE-2018-5999出現實際濫用跡象</strong></a></p> <p>資安漏洞情報業者VulnCheck於5月17日觀察到，殭屍網路RondoDox開始利用華碩路由器漏洞CVE-2018-5999。這項漏洞早在2018年已有公開利用程式，但VulnCheck表示，這是該公司首度觀察到實際濫用跡象。BankInfoSecurity報導指出，這項漏洞可讓未經身分驗證的攻擊者以root權限遠端執行程式碼；VulnCheck技術長Jacob Baines也對BankInfoSecurity表示，有超過100萬臺華碩路由器連接網際網路，形成相當可觀的攻擊面。</p> <p><a href="https://www.ithome.com.tw/news/176375"><strong style="font-size: 22px;">駭客入侵大型證券交易所高層電子郵件帳號，潛伏5個月竊取商業情報</strong></a></p> <p>Broadcom旗下Symantec與Carbon Black團隊，近日揭露一起鎖定全球大型證券交易所的網路間諜活動。相關跡象最早可追溯至2025年10月，此時攻擊者已取得SYSTEM權限，並部署偽裝成Adobe Acrobat Reader與OneDrive元件的惡意程式，用於展開後續攻擊活動。在5個月的時間中，攻擊者始終專注於逐步竊取單一Outlook信箱的內容，其中內容足以讓攻擊者建構出組織發展方向等重要商業資訊，而無須進一步橫向移動。</p> <p><a href="https://www.ithome.com.tw/news/176363"><strong style="font-size: 22px;">駭客利用美國愛國者形象經營社群頻道，掩護詐騙活動，結合生成式AI擴大攻擊行動</strong></a></p> <p>透過生成式AI的協助，以往需要一組團隊才能完成的複雜網路攻擊行動，現在單一攻擊者便能執行。趨勢科技研究團隊近日揭露一起以「美國愛國者」形象的Telegram社群頻道為掩護，長達5年的社群操作與網路詐欺活動，近期攻擊者還進一步利用遭越獄（Jailbreak）的Google Gemini AI模型與遭竊API金鑰，將生成式AI用於社群頻道內容生成、憑證竊取、帳號入侵等工作，在Gemini協助下完成大規模的自動化攻擊活動。</p> <p><a href="https://www.ithome.com.tw/news/176373"><strong style="font-size: 22px;">惡意NPM套件藉自動化流量灌水下載量，偽裝成活躍維護專案</strong></a></p> <p>資安業者Tenable揭露一種名為download pumping的NPM套件操弄手法，攻擊者會在短時間內大量發布套件新版本，藉此觸發套件庫鏡像站、安全掃描器與分析機器人等自動化系統下載，拉高下載次數與版本歷史，讓惡意套件看起來像是持續維護、具有使用基礎的專案。Tenable舉出惡意套件ambar-src為例，攻擊者曾在兩小時內密集發布428個看似正常的版本，3天後才上傳含有惡意程式碼的新版本，該套件後來累積至724個版本，下載量被推升至約5萬次。</p> <p><a href="https://www.ithome.com.tw/news/176364"><strong style="font-size: 22px;">Let's Encrypt規畫2027年建立後量子憑證架構</strong></a></p> <p>免費憑證簽發機構Let's Encrypt規畫以MTC（Merkle Tree Certificates）作為Web PKI導入後量子身分驗證的主要方案，目標是在2026年稍晚建立可簽發MTC的測試環境，並在2027年建立可供生產使用的環境。該計畫不會立即改變現有Let's Encrypt憑證的申請與續期流程，但顯示Web PKI後量子憑證開始進入具體工程規畫階段。Let's Encrypt並非單純把既有X.509憑證改用後量子簽章，因為這麼做將導致TLS交握需要傳送的驗證資料大幅增加。</p> <p><a href="https://www.ithome.com.tw/news/176317"><strong style="font-size: 22px;">HPE將AI對話式互動帶進災難復原管理，Zerto新增AI助理與第3方AI平臺整合</strong></a></p> <p>HPE旗下備份與資料保護平臺Zerto近日推出10.9版，新增兩項與AI相關的新功能，包括內建的對話式AI助理（AI Assistant），以及與外部AI用戶端的整合機制Zerto Context Protocol。其中的Zerto Context Protocol，允許外部AI用戶端環境透過標準化介面連接Zerto的ZVM管理平臺。在這個應用架構下，外部AI用戶端是透過OAuth 2授權機制與TLS 1.2+加密通訊協定，來與Zerto的ZVM連線，可透過對話式互動方式，提供系統資訊與功能操作。</p> <p><a href="https://www.ithome.com.tw/news/176390"><strong style="font-size: 22px;">群創光電重新定義資安的價值，從「花錢的部門」到公司治理核心</strong></a></p> <p>【臺灣資安大會直擊】在2025年，群創光電悄悄完成一項組織變革，對於群創光電、對於臺灣製造業的資安史上，這是一個值得記錄的里程碑。群創光電的資通安全部正式從MIS（資訊系統）部門獨立出來，直屬執行長辦公室，並設立資安長（CISO）一職，邀請學者型高階主管林宜隆擔綱。這個組織圖上的移動，看似只是幾條線的重新連接，卻牽動一整套思維方式的根本翻轉——資訊安全，不再只是IT部門底下一個防堵漏洞的執行單位，而是公司戰略決策的核心機制。</p> <p><a href="https://www.ithome.com.tw/news/175244"><strong style="font-size: 22px;">【2026臺灣資安年鑑｜國家資通安全研究院院長林盈達】揭露資安院2.0轉型願景，林盈達以AI築數位長城</strong></a></p> <p>在臺灣數位發展體系中，隸屬於數位發展部的法人機構國家資通安全研究院，長期扮演技術支援與政策智庫的關鍵角色。不同於一般以研發導向為主的法人單位，資安院自成立以來便肩負著貼近第一線的任務，既要支援政府機關的資安防護，也要回應快速變動的數位威脅環境。如今，在第二任院長林盈達的帶領下，資安院正邁入一場被稱為「資安院2.0」的深層轉型，試圖重新定義國家級資安機構的角色與價值。</p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/176372"><strong>【6月4日】HTTP/2 Bomb影響多款主流網頁伺服器系統</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176332"><strong>【6月3日】紅帽NPM套件遭遇蠕蟲Miasma供應鏈攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176297"><strong>【6月2日】捷克參議院率團訪臺前夕，傳出中國駭客從事網路間諜活動</strong></a></p> </div></div></div>
6/5 15:33作者周峻佑https://www.ithome.com.tw/news/176404
如何用HIMSS框架衡量數位轉型？長庚揭大型醫療體系的成熟度治理戰略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>每年，美國醫療資訊與管理系統協會（HIMSS）都會舉辦HIMSS全球年會，是醫療IT界最有影響力的國際盛會之一。在今年3月的HIMSS26全球大會中，長庚醫療體系特別受邀參加，站上講臺發表全球醫療機構首份大型醫療體系「數位成熟度白皮書」，揭露他們如何透過HIMSS成熟度框架，把關11個院區的數位轉型進展和IT治理。</p> <p>這份白皮書，集結了長庚過去10年來的數位轉型歷程，一路從第四代醫療資訊系統（HIS 4.0）的布局、全面導入結構化病歷，再到數據中臺的建置和AI治理，一步步築起大型醫療體系的數位治理架構與藍圖。</p> <h2><strong>長庚如何用HIMSS框架盤點數位能力？</strong></h2> <p>長庚醫療財團法人行政中心總執行長潘延健點出，HIMSS成熟度框架，是長庚醫療集團用來衡量IT對醫療現況輔助成效的重要工具。</p> <p>「很多人以為HIMSS只是資訊面驗證，但它真正看的是，資訊化後，醫療品質、病人照護、營運效率甚至是醫院永續，是否變得更好，」潘延健說。這樣的衡量機制，讓長庚能清楚掌握，自家IT對醫療品質、病人參與以及醫院營運的實際影響程度。</p> <p>於是，2016年，長庚醫院開始接觸HIMSS框架。他們先導入HIMSS EMRAM（Electronic Medical Record Adoption Model），也就是一套專門評估醫療院所電子病歷應用成熟度的模型。</p> <p>這套模型衡量了醫院在臨床資訊系統、資料整合和數位化流程上的發展程度，共分0到7級，等級越高，醫院在電子病歷整合、臨床決策支援和資料互通的能力就越成熟。EMRAM也是全球醫療機構，廣泛採用的衡量指標。</p> <p>該年，長庚取得EMRAM第6級認證，2年後拿下第7級最高等級認證，成為全臺首家通過認證的醫院。但對他們來說，EMRAM只是起點，長庚還導入其他HIMSS成熟度框架與數位健康評估機制，從不同面向盤點大型醫療體系的數位能力，包括：</p> <ul> <li>DHI（Digital Health Indicator，數位健康指標）：評估醫院整體數位健康能力，涵蓋治理、互通性、病人參與與分析能力；</li> <li>AMAM（Adoption Model for Analytics Maturity，分析成熟度模型）：聚焦AI與資料分析能力成熟度；</li> <li>DIAM（Digital Imaging Adoption Model，數位影像採用成熟度模型）：評估醫療影像數位化與整合能力；</li> <li>INFRAM（Infrastructure Adoption Model，基礎設施採用成熟度模型）：衡量IT基礎設施與資安成熟度。</li> </ul> <p>可以說，長庚不只看電子病歷如何幫助醫療流程，還進一步衡量院內AI能力是否成熟、醫療影像是否高度整合、IT底層架構能否支撐智慧醫療發展，以及病人互動和資料治理是否真正落地。</p> <p>舉例來說，DHI就是一項重要指標，因為它強調整體數位治理能力，而不只是單一系統的導入成效。長庚在2022年取得DHI全球第2名、臺灣第1名，2024年更獲得滿分成績，名列全球第一。至於其他成熟度框架，長庚也陸續拿下第7級認證，也就是HIMSS成熟度模型的最高等級，反映他們的IT基礎架構、醫療AI與影像整合能力，已相當成熟了。</p> <p><img alt="" src="/sites/default/files/images/S__22773854.jpg" /></p> <h2><strong>成熟度達標關鍵是HIS 4.0，主打全面結構化病歷</strong></h2> <p>長庚醫療集團之所以能拿下4大HIMSS成熟度框架最高第7級認證與世界第一的DHI滿分，一大關鍵是多年前啟動的第三代HIS改造計畫，內部稱為HIS 4.0。</p> <p>這套HIS 4.0在2019年正式上線，最大的亮點是全面結構化病歷。潘延健解釋，傳統自由文本（Free text）式的病歷，雖然方便醫師記錄，對IT系統來說，這些文件形式的資訊，很難直接進行即時分析、跨系統整合或進一步應用。</p> <p>相較之下，結構化病歷可將診斷、症狀、檢驗結果、用藥與各類處置等資訊，拆解成系統可辨識的標準化欄位，可以更好地善用資料。</p> <p>早在2015年，長庚就開始規畫病歷結構化工程。早期，他們曾開發一套表單編輯工具，希望由各科室自行設計結構化表單，但也引發部分臨床人員反彈。</p> <p>後來，他們調整設計思維，改採自由書寫與結構化輸入並用的混合架構。醫師仍可在主表單以文字記錄病況，同時能透過快捷鍵、範本或子表單等方式，快速調用結構化表單，完成資料填寫。這些結構化資料寫回病歷系統後，也會同步匯入後端資料平臺，供後續分析和應用。</p> <p>目前，長庚醫療體系內，幾乎所有病歷紀錄都以結構化方式保存，同時保留醫師客製化調整的彈性。</p> <p>這種結構化病歷的好處，在於可即時支援臨床輔助決策。潘延健指出，隨著大型語言模型（LLM）能力越來越強，不少人認為，就算保留大量自由書寫的病歷，AI也能協助解讀和整理，不一定需要高度結構化。</p> <p>但，「若只是回溯性分析，或許能用AI慢慢從大量文字中找資料；但要即時支援臨床決策，不可能每次都大海撈針。」潘延健點出，有別於「事後再讓AI解讀」，長庚更傾向在資料源頭，就完成結構化與標準化。</p> <p>在長庚看來，結構化病歷不只改善病歷記錄方式、利於後續分析和輔助應用，更是資料治理工程的起點，對數據中臺的建置、AI應用、跨系統資料整合，都有深遠影響。</p> <h2><strong>開始建置數據中臺，資料治理是關鍵</strong></h2> <p>HIS 4.0上線後，長庚開始建置一套數據中臺，為下一代智慧醫療應用鋪路。</p> <p>這是因為，HIS是醫院核心業務系統，但院內往往有其他需求，如研究、教學、監測指標以及AI訓練等，這些需求有各自的系統，也都需要存取臨床資料。</p> <p>這些系統若直接向HIS抓資料，HIS除了原本的門診、急診、住院、醫囑等核心臨床業務，還得額外負責大量資料傳輸、整合和查詢需求。久而久之，HIS不只越來越龐大，也越來越不穩定。</p> <p>因此，長庚先推動平臺化架構，將不同功能拆分成不同平臺，讓HIS只負責核心臨床業務，同時建置數據中臺來集中各種資料、統一提供給其他系統，讓這些系統不必再向HIS存取資料。</p> <p>建置數據中臺時，還有個「資料治理」的關鍵下水道工程要進行。潘延健強調：「如果只是把HIS資料原封不動搬過來，後面還是很難用。」</p> <p>於是，在將資料匯入數據中臺前，長庚先統一資料的欄位名稱、資料格式和定義，甚至釐清資料血緣（Data Lineage），找出每筆資料之間的關聯。</p> <p>這麼做的好處是，資料經梳理和標準化後，可依不同系統需求，自動組合、呈現對應的資料，例如能以病人為中心，或以疾病或手術為視角，來呈現完整的醫療資料。</p> <p>這個好處，也能作為數據中臺的重要功能：資料視覺化。由於使用者角色不同，所需的資料內容也會不一樣，因此，長庚只要在資料進入數據中臺時設定對應的存取權限，系統就能按使用者需求，自動組裝對應的欄位和內容，快速產生資料組合和對應畫面。</p> <p>長庚原本就有深厚的資料治理經驗，發展數據中臺的門檻，與其他醫院相比，相對低了很多。他們有套長年發展的長庚研究資料庫（CGRD），當年建置時，就以病人為中心整合跨系統資料，且為了支援這類跨系統研究應用，早已統一了資料欄位定義、建立病人資料串接機制，也整理不同系統間的資料關聯。</p> <p>隨著時間推移，CGRD累積了上百億筆資料，也成為這套數據中臺的重要基礎。潘延健表示，這些資料正逐步轉移至數據中臺中，成為研究、AI訓練、監測指標、資料交換等應用的重要來源。</p> <p>除了CGRD，HIS 4.0的結構化病歷，也是推動數據中臺資料治理的關鍵一步。由於病歷資料已具備一致的資料格式和欄位定義，後續不論是資料擷取、整合、分析或交換，都能大幅降低處理難度，免去了從零開始的資料治理工作。</p> <p>可以說，長庚的數據中臺，不是單純多了一套資料平臺，而在多年資料治理、結構化病歷和研究資料庫工程的實踐上，進一步擴展成支援AI、智慧醫療應用，甚至是FHIR交換的核心資料架構。</p> <h2> </h2> <h2><strong>從判讀型AI走向生成式AI</strong></h2> <p>AI應用是長庚數位轉型的另一大亮點。潘延健將長庚的AI發展，分為兩大階段。首先是早期的判讀型AI，透過大量標註資料來訓練專用模型，主要用於醫療影像分析，如X光、病理、超音波與心電圖等。目前長庚已發展20多套相關模型，部分也取得臺灣TFDA核准。</p> <p>第二階段則是近年發展的生成式AI與大型語言模型（LLM）應用。潘延健點出，LLM與傳統醫療AI的定位不同，過去的判讀型AI強調診斷準確性，適合用於影像判讀等特定任務；相較之下，LLM更適合處理醫療文件、知識查詢和資訊整理等工作。</p> <p>「診斷必須非常精確，不能出錯，」他說。因此，長庚主要將LLM用於護理紀錄、檢查報告、病歷摘要及院內知識查詢等非診斷決策的場景。例如，醫護人員可透過語音輸入，由AI協助整理內容；醫師則能利用AI快速摘要病人歷年的病歷紀錄，減少閱讀大量病歷的時間成本。</p> <p>不過，有別於一般生成式AI直接輸出自由書寫文字，長庚有一個特別的講究，也就是直接讓LLM產生結構化資料，來符合結構化病歷的規範。因為，如果只將語音轉成自由文本，最後還是得手動整理、將這些資訊結構化；但若直接產出符合結構化病歷規範的資料，才能真正融入後續的資料治理與應用流程。</p> <p>除了病歷整理，長庚也透過RAG技術，將LLM用於院內知識查詢。例如，醫護人員不清楚某項作業規範或流程時，可直接透過AI查詢相關文件與規章內容，快速取得所需資訊。</p> <p>在AI應用逐漸增加後，長庚也在2年前開始建置AI推論主機，整合至HIS 4.0中。潘延健指出，過去許多醫院導入AI時，往往是額外增加一套AI系統，醫師得在不同平臺之間切換操作。但長庚希望，AI能直接嵌入原有醫療工作流程。</p> <p>比如，同一位病人的X光影像，系統可同時串接多個AI模型，在背景自動完成氣胸、骨質密度、心電圖和其他影像分析結果，再統一回傳至HIS介面，讓醫師在同一個畫面就能完成多種判讀。長庚想做的，不只是導入單一AI工具，而是讓AI成為HIS底層能力的一部分。</p> <h2><strong>下一步：持續優化HIS 4.0，還要打造長庚專屬的醫療GPT</strong></h2> <p>提及長庚的下一步，潘延健表示，他們要持續優化數據中臺架構，預計今年完成數據中臺的整合工程，進一步強化資料治理、資料交換和跨系統整合能力。與此同時，他們還要持續優化HIS 4.0效能，降低系統負擔和操作複雜度。</p> <p>另一大發展重點，則是建立屬於長庚自己的醫療GPT。</p> <p>潘延健透露，他們正在規畫，透過微調開源LLM，結合院內知識庫、數據中臺和臨床資料，建立起長庚專屬的GPT架構，未來不只能支援病歷摘要和知識查詢，還要進一步結合數據中臺與院內知識庫，提升資料分析和運用能力。</p> <p>不過，他也坦言，這類系統目前的一大挑戰是，如何讓LLM與後端結構化資料真正整合。例如，當文字資料轉成向量（Embedding）後，如何再回到後端SQL查詢、資料權限治理與結構化分析，這些都是要持續發展驗證的技術課題。</p> <p>對長庚來說，下一階段的目標不只是導入更多AI工具，而是打造一套能持續支援臨床、醫院營運和研究的智慧醫療基礎架構。這是長庚從HIS 4.0、資料治理到醫療GPT布局背後，最核心的數位轉型戰略。</p> <p></p> </div></div></div>
6/5 17:55作者王若樸https://www.ithome.com.tw/news/176224
用AI對抗AI：陳怡樺帶領趨勢科技全面加入Anthropic Project Glasswing，開啟資安攻防新紀元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>兩天前，AI公司Anthropic發信邀請趨勢科技旗下企業資安品牌TrendAI加入<a href="https://www.ithome.com.tw/tags/project-glasswing"><strong>Project Glasswing</strong></a>，得知此事後，趨勢科技執行長陳怡樺一路風塵僕僕返臺。深夜從倫敦啟程的她，才剛參加完聚集美英歐洲各國政府代表的國家安全會議，便立刻趕回臺北，就是為了參加今日（6月5日）舉辦的記者會。</p> <p>陳怡樺表示，世界各國都對AI資安帶來的威脅憂心忡忡，而這個世界正處於一種既充滿希望、又高度警覺的曖昧狀態，當各國政府視AI為國力象徵、建設目標的同時，卻同時在夜裡擔心它被惡意利用。</p> <p>陳怡樺表示，趨勢科技是以相當謹慎的態度提出加入Project Glasswing的申請，計畫初期，Anthropic甚至只給趨勢科技一個可以存取<a href="https://www.ithome.com.tw/tags/claude-mythos-preview"><strong>Claude Mythos Preview</strong></a>的名額，讓陳怡樺不禁開玩笑地擔憂：「一個名額的話，我們公司內部要怎麼分配？不就要打起來了？」</p> <p>這句看似輕描淡寫的玩笑話，其實指向一個嚴肅的現實：能夠接觸Claude Mythos Preview這款Anthropic最先進前沿模型的資格，在資安界幾乎等同於取得一把打開未知威脅版圖的鑰匙。而如今，趨勢科技旗下所有事業群——<strong><a href="https://www.ithome.com.tw/news/174697">TrendAI</a></strong>、TrendLife、TXOne、VicOne，以及Magna AI——都已全體入列。</p> <h1><span style="color:#FF0000;"><strong>震驚全球資安的AI模型誕生，衍生出Project Glasswing</strong></span></h1> <p>要理解這份合作協議的重量，必須先理解Project Glasswing為何而生。</p> <p>2026年4月，Anthropic發布Claude Mythos Preview，這款模型在全球資安社群引發了罕見的震撼，因為它能夠在極短時間內，自主發現數千個高風險的資安漏洞。對照傳統資安專家甚至是駭客社群一整年所能發掘的高危險漏洞，也不過就是這個量級。</p> <p>更讓人不安的，是這款模型不僅能快速找出漏洞，還能將多個漏洞串聯在一起，自動模擬潛在的攻擊路徑與攻擊鏈。換言之，這款模型具備了超越現有紅隊（Red Team）能力的潛力，而Anthropic在開發過程的晚期才意識到，這款模型比任何人預期的都還要強大。</p> <p>面對這種潛在的雙面刃，數位發展部部長林宜敬認為，Anthropic的選擇就是一種對AI安全責任的一貫堅持：在模型廣泛公開之前，先讓可信任的防禦者搶先行動。</p> <p>這也是Project Glasswing計畫的邏輯：優先開放給作業系統廠商、瀏覽器開發者，以及重要的資安機構，讓善意的一方，率先使用這款模型全面掃描既有軟體的漏洞，在壞人有機會利用同等能力之前，率先把那些漏洞補起來；等到防禦陣線建立完成後，才逐步擴大模型的使用範圍。林宜敬稱讚，這個做法「獲得了全球資安與科技界的高度肯定」。</p> <p>這個計畫的第一批成員，大約有四五十家公司，但林宜敬坦言，當初看到第一批的參加名單後發現，除了一家英國的AI Security機構，其餘幾乎清一色是美國企業，但是，臺灣這個「全球AI硬體強權」，卻付之闕如。</p> <p>因此，林宜敬在多次與美國相關單位溝通聯繫時，也反覆強調，希望可以讓臺灣的業者有機會加入Project Glasswing計畫，有能力用AI對抗AI。</p> <h1><span style="color:#FF0000;"><strong>一場沒有旁觀者的全球賽局</strong></span></h1> <p>「臺灣是全球AI的硬體強權的這個事實，在AI時代反而放大了資安威脅的後果。」林宜敬表示，一旦臺灣關鍵基礎設施或AI供應鏈遭受重大攻擊，衝擊的不只是一個國家的國內問題，而是整個全球科技產業的運作，乃至民主國家共同體的集體安全。</p> <p>因此，林宜敬說，當Project Glasswing的第一批名單揭曉，他意識到臺灣沒有入列時，他開始向美方官員遊說，要求將臺灣的資安公司納入合作機制。他認為，美國是AI的軟體強權，臺灣是AI的硬體強權，兩者缺一不可；若臺灣的資安防線被突破，對美國、對所有民主國家，都是災難。</p> <p>林宜敬對於趨勢科技最終入列感到「非常非常高興」，原因不只是這家公司的創辦人是臺灣人、現任執行長是臺灣人、主要研發團隊來自臺灣，更因為趨勢科技雖在日本上市，卻在地緣政治上具備高度的臺灣認同。以一個行動同時解決臺日兩地的資安弱點，正是林宜敬所稱「一口氣解決兩個問題」的戰略判斷。</p> <p>但林宜敬也同時向陳怡樺喊話，要求趨勢科技善盡社會責任，協助臺灣所有企業與關鍵基礎設施盡快找出漏洞、完成修補。因為，加入Project Glasswing只是開始，真正的工作才正要展開。</p> <h1><span style="color:#FF0000;"><strong>Anthropic選擇與趨勢科技合作的關鍵要素</strong></span></h1> <p>Anthropic網路合作關係負責人Rob Bair在這場記者會中，也解釋Anthropic主動邀請趨勢科技加入背後的戰略邏輯。</p> <p>他表示，Anthropic帶來的，是世界上最先進的AI模型；但這個模型，不論多麼強大，本身並不等於防禦。因為，一個模型不會了解企業的網路環境，也不曾花數十年時間研究攻擊者實際的行為模式，更不會在凌晨三點，當企業遭遇資安事件時，坐在企業資安人員的身邊提供協助。「但趨勢科技做到了。」他說。</p> <p>Rob Bair表示，Anthropic在選擇合作夥伴時的核心標準，不是尋找任何一家會用AI的公司，而是那些既有深厚資安領域知識、又擁有與全球客戶真實信任關係的防禦者。</p> <p>他坦言，Anthropic前沿模型的能力固然無可替代，但若缺乏對客戶環境的了解、對威脅情報的積累，以及對人際關係的深度理解，再強大的模型也只是工具，而非盾牌。</p> <p>「趨勢科技恰恰滿足了這些條件。」他指出，一家即將邁入四十年歷史的資安公司，從最初的電腦病毒時代走過網際網路崛起、雲端運算普及、行動裝置爆發，直到如今的AI浪潮，始終維持著全球資安領域的領導地位。</p> <p>Rob Bair認為，在這個產業裡，這樣的持久性本身就是一種奇蹟。此外，他也說，趨勢科技最值得稱道的，就是它面對AI浪潮的態度。「大多數擁有這種歷史的公司，會傾向於保護它所建立的一切。趨勢科技卻做了相反的事。」他說。</p> <p>當AI時代來臨，趨勢科技選擇成為最早轉型為AI原生公司（AI Native Company）的企業之一——不是把AI當成舊產品的附加功能，而是將AI深度融入該公司研究方式、營運邏輯與防禦架構的每一條脈絡之中。</p> <p>而趨勢科技旗下業界知名的漏洞研究計畫ZDI，也是Anthropic青睞它的重要原因。過去二十年來，趨勢科技建立了全球規模最大、跨供應商的漏洞獎勵計畫，由分布在世界各地的數千名研究員持續供給威脅情報。年復一年，趨勢科技的研究員揭露了資安業界相當高比例的重大漏洞，且往往比威脅正式爆發早上數個月，搶先通知並協助客戶完成修補。</p> <p>「試想一下，這樣一個跨越數十年累積的威脅情報引擎，結合全球遙測資料，放入世界上最強大的AI模型手中，那將會產生什麼？」Rob Bair說，「這就是這份合作能夠交付的成果。」</p> <h1><span style="color:#FF0000;"><strong>「不是只有我們自己的Silo」：陳怡樺的臺灣使命</strong></span></h1> <p>陳怡樺表示，臺灣擁有完整且領先全球的AI供應鏈，包括臺積電在內、幾乎所有重要的AI基礎建設廠商，都扎根於此。</p> <p>趨勢科技身為這些企業長年倚賴的資安夥伴，當它能夠使用Claude Mythos Preview這個等級的前沿模型進行漏洞掃描時，陳怡樺強調：「這時候，趨勢科技守護的不只是自己的客戶名單，更是整個臺灣AI供應鏈的韌性。」</p> <p>不過，陳怡樺的目光，並不僅僅停留在趨勢科技本身，這份合作的最終目標，是用來賦能臺灣整個AI產業生態。她說：「臺灣現在是AI硬體第一名，但AI軟體將是下一波成長的地方。」</p> <p>臺灣有許多AI新創正在快速崛起，從醫療AI、汽車科技到通用企業應用，這些公司在部署AI產品時，最大的挑戰之一就是讓客戶信任；而信任的基礎，正是安全。</p> <p>為此，趨勢科技在Computex 2026期間，正式宣布推出「TrendAI Inception Program」作為「AI新創的安全加速器」，目標是運用包含Anthropic前沿模型在內的最先進AI技術與資安能力，協助臺灣AI新創企業在起步階段就建立安全基礎。</p> <p>陳怡樺說明，並不是讓這些AI新創公司直接使用Mythos，而是因為趨勢科技奠基在對Mythos的理解，可以大幅提升挖掘漏洞、弱點修補管理和屏蔽防護的時間和效率。</p> <p>「這也是我們希望給臺灣所有產業帶來的，不只是我們自己的Silo。」陳怡樺的視角，已經從單獨一家資安公司，轉型為整個產業安全基礎設施推動者的視角，這也是陳怡樺帶領趨勢科技全體加入Project Glasswing最重要的關鍵。</p> <h1><strong><span style="color:#FF0000;">當AI模型遇上現實，漏洞修補的缺口才是真正戰場</span></strong></h1> <p>陳怡樺坦言，加入Project Glasswing之後，對趨勢科技最大的挑戰，往往不是找到多少漏洞，而是怎麼修補這些漏洞。「CVE漏洞的數量是直線上升的，但組織的修補能力，卻是緩慢爬行的。那個缺口，才是真正的問題所在。」她說。</p> <p>她以2021年底爆發的log4j漏洞為例，這是曾引發全球資安危機的漏洞，時至今日，仍有超過四百萬臺面向網際網路的伺服器未能完成修補。關鍵不是因為廠商沒有發布修補程式（Apache官方在2021年底便已緊急發布了修補版本），而是因為各種相容性、系統連續性的顧慮，讓真正的部署難以推進。</p> <p>她也解釋，要幫企業修補一個漏洞並不簡單，必須了解客戶的整個環境，知道哪些地方可以上patch，而哪些地方不能，若無法修補，又該用什麼方式，在前面攔截攻擊。</p> <p>這也是趨勢科技旗下各事業群分眾布局的深層意義。陳怡樺指出，TXOne專注於工業控制系統（OT）領域，面對的是那些根本無法停機更新的生產機臺；TrendAI聚焦企業IT環境，TrendLife則深入消費者市場。</p> <p>她認為，只有當每個事業群對其客戶環境的深度了解，才是在Claude Mythos Preview找出漏洞之後，讓防禦能夠真正落地的最後一哩路。</p> <p>Rob Bair同意這樣的看法，他表示，Anthropic帶來的是更快、更深入找出漏洞的能力，以及讓研究員能以「決心堅定的攻擊者」角度思考的AI推理工具；而趨勢科技帶來的，是將這些發現，轉化為客戶環境中可執行防禦措施的判斷力與信任關係。「趨勢科技帶來判斷、帶來脈絡，更帶來沒有任何演算法能夠取代的人際關係。」他說。</p> <p>因此，陳怡樺強調，該公司並不是讓所有工程師都能直接存取Claude Mythos Preview這個模型，對於有權存取的工程師，都會進行嚴格的資格審查與使用規範。</p> <p>她認為，因為一個能以機器速度找出漏洞並串聯攻擊鏈的模型，一旦落入不慎或不軌之手，同樣能成為威力無匹的攻擊工具。</p> <h1><span style="color:#FF0000;"><strong>面對AI帶來的時間差，防禦者還有多少餘裕？</strong></span></h1> <p>面對攻擊者也可能自行開發或取得具備Claude Mythos Preview類似能力的模型，防禦者究竟還剩下多少時間呢？</p> <p>Rob Bair表示，根據Anthropic的判斷，惡意行為者要取得具備同等能力的模型，可能還需要大約一年的時間，而這一年，正是讓防禦者先行建立防線的關鍵窗口。</p> <p>他進一步解釋，前沿模型的能力只會越來越強，從網路資安的角度來看，所有前沿模型最終都將具備類似的能力。正因如此，讓模型率先進入防禦者手中，才能讓各方在整體上取得最好的防禦機會。</p> <p>陳怡樺提出補充說明，她表示，AI驅動的攻擊早已存在，因為上個月趨勢科技就發現純粹以AI、包含多個Agent（代理程式）協同合作的方式，針對某基礎設施展開攻擊的真實案例。</p> <p>她更直言，回顧過去十年最重大的資安事件，沒有一起是單純因為zero-day（零時差）漏洞被利用所造成的；絕大多數，都是配置錯誤、人為疏失，或是組織內部溝通鏈的薄弱環節被突破。</p> <p>「你不需要讓所有人都有Mythos才能安全，」她認為，關鍵在於讓防禦者能夠用Mythos，去防禦那些新型態的威脅；同時，能夠在攻擊鏈（Cyber Kill Chain）的前段就把攻擊者擋下來，讓這些攻擊者根本沒機會，進入到使用漏洞的那一步。</p> <h1><span style="color:#FF0000;"><strong>陳怡樺揭露下一步的AI資安想像</strong></span></h1> <p>陳怡樺對未來AI資安格局，有不一樣的宏觀想像。她表示，生成式AI的出現，本質上是一場「資訊可擴展性」（Information Scalability）的革命——所有資訊都被商品化了。</p> <p>但她認為，下一波真正的價值，將來自Agentic AI（代理式AI）中的客製化能力：一個能夠收集獨特資料、對獨特情境進行推理、最終協助客戶做出最適合自身環境的決策的智慧系統。</p> <p>「全世界沒有一個決策可以說是最好的決策，每個人的決策都是不一樣的，都是客製化的。」她說，「對於做網路資安的人來說，最重要的，是了解你的環境之中，你的風險跟你的緩解措施如何取得平衡。你不可能百分之百完全安全，你有你的取捨，每家公司的取捨都不同。」</p> <p>陳怡樺這個關於客製化防禦的願景，也與Anthropic的Project Glasswing設計理念相呼應，都是選擇先開放給信任的防禦者、分階段擴大存取範圍，本身就是一種對「沒有單一最佳解」的承認——最有效的防禦，永遠需要了解你守護的那個環境。</p> <p>陳怡樺表示，現在是用AI對抗AI的時代，趨勢科技選擇全體入列，不只是對臺灣、對全球AI供應鏈安全的負責，更深信「防禦者必須跑得比攻擊者更快」，國家、企業才能更安全。</p> </div></div></div>
6/5 18:00作者李宗翰https://www.ithome.com.tw/news/176412
ChatGPT新版記憶系統上線，改善個人化回應的時效與正確性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>OpenAI開始推送<strong><a href="https://openai.com/index/chatgpt-memory-dreaming/">新版ChatGPT記憶系統</a></strong>，以改善長期使用後記憶內容可能過期、錯誤或難以規模化管理的問題。OpenAI命名該技術為Dreaming，讓ChatGPT不只依賴使用者明確要求保存的資料，也能從過往對話中整理較新且相關的脈絡，用於後續回應。新版系統先向美國Plus與Pro用戶推出，數周內將擴展到更多國家，並提供給Free與Go用戶。</p> <p>OpenAI在2024年4月推出記憶功能，當時稱為儲存記憶（Saved Memories），主要讓使用者在對話中要求ChatGPT記住特定資訊，例如飲食限制、工作需求或常用格式，但這類記憶可能隨時間經過而變得不準確或不再相關。OpenAI在2025年進一步讓ChatGPT可參考已保存記憶以外的聊天脈絡，補足手動記憶不足之處。</p> <p>新記憶架構建構在Dreaming技術之上，OpenAI將新版系統列為Dreaming V3。官方表示，新架構更具運算效率，會在背景參考多次對話中的資訊，整理出可供ChatGPT使用的記憶狀態。使用者也可從頁面檢視記憶摘要，更新或修正ChatGPT對使用者的理解，並指示哪些主題適合在什麼情境下被提起。</p> <p>OpenAI以三個方向評估記憶品質，包括延續有用脈絡、遵守偏好與限制，以及隨時間保持正確。官方舉例，若使用者先前曾提供相機與水下攝影設備資訊，ChatGPT之後在推薦TTL閃光燈設備時，就可延續這些既有脈絡，直接依使用者現有設備判斷相容產品，而不是只提供通用採購清單。</p> <p>在偏好遵循方面，OpenAI內部評估顯示，相關任務成功率從2024年儲存記憶時期的31.4%，提升到2025年儲存記憶加上Dreaming V0的55.3%，新版Dreaming V3則達到71.3%。在時間正確性方面，成功率則從2024年的9.4%，提高到2025年的52.2%，新版系統為75.1%。</p> <p>使用者可在設定中開啟或關閉記憶，也可使用暫時聊天功能避免特定對話影響未來個人化回應。若要完整移除ChatGPT可能使用的資訊，使用者需刪除相關記憶、對話、檔案或已連接應用程式中的來源資料。</p> </div></div></div>
6/5 16:25作者李建興https://www.ithome.com.tw/news/176408
OpenSSF前總經理Brian Behlendorf：AI對開源的依賴愈深，將放大軟體供應鏈問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>AI浪潮讓開源軟體的重要性攀上新高，但也讓軟體供應鏈安全問題變得更加嚴峻。OpenSSF前總經理Brian Behlendorf受邀在Computex的活動論壇中指出，從Log4j漏洞、XZ後門事件到PyTorch供應鏈攻擊，AI並未帶來新的資安威脅，而是將既有的開源供應鏈風險「推上火箭」，放大到前所未有的規模。他呼籲企業除了使用開源軟體，也應投入資源協助改善開源專案安全，共同建立可信任的AI基礎設施。</p> <p>他表示，當企業爭相導入生成式AI、大型語言模型與AI代理（Agent）應用時，這些創新的底層支撐技術，愈來愈多建立在開源生態系上。但是，AI產業對開源的高度依賴，也使得原本就存在的軟體供應鏈風險被全面放大。</p> <p>他形容，開源軟體就像數位世界裡的「暗物質」（Dark Matter），雖然平時不容易被看見，卻支撐著現代軟體產業運作。根據相關研究，平均約74%的企業軟體程式碼來自開源元件，而96%的程式碼庫都包含開源套件。從作業系統、資料庫到雲端平臺與AI框架，開源早已成為軟體開發的預設選項。</p> <p>但是這也意味著，一旦核心元件出現漏洞，其影響範圍往往遠超出單一產品或企業的範籌，影響之大難以估量。</p> <p><span style="color:#B22222;"><strong>從Log4j到XZ事件，開源供應鏈問題浮上檯面</strong></span></p> <p>回顧過去的幾起重大資安事件，軟體供應鏈已成為企業不可忽視的風險來源。</p> <p><img alt="" src="/sites/default/files/images/%E6%88%AA%E5%9C%96%202026-06-05%20%E4%B8%8B%E5%8D%884_43_07.jpeg" style="width: 600px; height: 297px;" /></p> <p>以2021年爆發的Log4Shell漏洞事件為例，由Apache基金會維護的Log4j是一套被廣泛使用的日誌記錄元件，該漏洞曝光後迅速波及大量企業系統。更值得注意的是，許多企業在第一時間甚至無法確認自身是否受到影響，因為根本並不清楚系統內部實際使用了哪些開源元件，曝露企業軟體的組成資訊缺乏透明度的問題。</p> <p>另一個案例是2024年的XZ後門事件。攻擊者長期以正常貢獻者身分參與專案開發，逐步取得社群信任後獲得維護權限，最終成功將惡意程式碼植入核心套件中。幸運的是，漏洞在正式大規模部署前即被發現，但這個事件曝露開源社群治理與信任機制可能面臨挑戰。</p> <p>Brian指出，這些案例反映的並非是單純的技術問題，而是整個開源供應鏈管理問題。過去依賴社群信任與開發者自律的模式，一旦面對國家級攻擊者或是高度組織化的供應鏈攻擊時，已顯得不足。</p> <p><span style="color:#B22222;"><strong>AI時代讓供應鏈風險「搭上火箭」</strong></span></p> <p>進入AI時代後，上述的問題又被進一步放大。</p> <p>首先，AI產業高度依賴少數關鍵開源專案。以PyTorch為例，已成為大型語言模型訓練與推論的重要基礎設施；GitHub、Hugging Face等平臺也逐漸成為AI生態系的重要節點。一旦這些核心元件遭到攻擊，影響範圍可能遍及整個產業。</p> <p>其次是，AI開發流程也新增了大量供應鏈環節。除了傳統軟體開發流程外，還有模型訓練、微調（Fine-tuning）、後訓練（Post-training）、RAG（Retrieval-Augmented Generation）、Agent框架等等，每個環節都可能成為新的攻擊面。</p> <p>Brian直言，AI開發工具與框架正在快速發展，但許多專案仍處於發展初期，尚未建立成熟的安全治理機制。許多新進開發者對供應鏈安全議題也缺乏足夠認識，這使得風險進一步增加。</p> <p>更值得關注的是，AI本身也可能成為漏洞擴散的新管道。如今愈來愈多開發者利用生成式AI協助撰寫程式碼，而這些模型大多以既有開源程式碼進行訓練。如果訓練資料中包含歷史漏洞或不安全的開發模式，AI就有可能將這些問題重新複製到新的應用程式中。</p> <p>「過去存在的問題並沒有消失，而是在AI環境中被放大了」，Brian說。</p> <p><span style="color:#B22222;"><strong>從被動防禦轉向建立可信任供應鏈</strong></span></p> <p>面對AI時代的開源風險，Brian認為企業不能只關注漏洞修補，而必須建立完整的供應鏈治理能力。</p> <p>他特別提到近年受到產業廣泛採用的SBOM軟體物料清單概念。透過建立軟體組成清單，企業才能掌握系統中實際使用的開源元件，在漏洞事件發生時快速評估影響範圍。</p> <p>此外，OpenSSF近年也推動包括Scorecard、Sigstore與SLSA等工具與框架，希望建立更透明、更可供驗證的開源供應鏈管理機制。例如透過數位簽章確認套件來源，或以標準化方式驗證軟體建置流程是否符合安全要求。</p> <p><img alt="" src="/sites/default/files/images/20260603_131803%20(1).jpeg" style="width: 600px; height: 328px;" /></p> <p>另方面，AI也反過來協助提升開源安全，例如Anthropic的GlassWing計畫，利用大型語言模型分析開源專案中的潛在漏洞，短短數個月便產生超過2萬份漏洞報告，協助社群找出大量長期潛伏的安全問題。</p> <p>不過，他認為真正的挑戰並不只是技術工具，而是資源投入。許多企業仰賴開源專案建立產品與服務，卻鮮少回饋資源給維護社群。未來若要建立可信任的AI基礎設施，企業除了導入開源，也應支持關鍵專案的安全改善工作，讓開源生態具備更長期、穩定的維運能力。</p> <p>「自由軟體不等於免費安全」（Free software is not free security），Brian強調，開源已成為AI時代最重要的數位基礎設施，而建立安全可信的供應鏈，更是整個產業共同面對的課題。</p> </div></div></div>
6/5 17:03作者蘇文彬https://www.ithome.com.tw/news/176410
台達電展示模組化AI資料中心，可縮短6成建置時間、強化節能與電力韌性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>因應企業或AI基礎設施業者加速導入AI資料中心的需求，台達電在Computex展示預製化AI模組化資料中心方案，主打以工廠預組裝與系統整合方式，大幅縮短資料中心建置時間最高達60%，同時透過電力架構與散熱設計優化，降低整體能耗並提升高密度AI運算的部署效率。</p> <p>台達資通訊基礎設施事業群副總裁暨總經理黃彥文表指出，傳統資料中心建設已無法滿足AI時代快速擴張與高功率密度需求，新一代預製AI資料中心將電力、散熱、管線與IT設備整合於模組化單元中，並於工廠完成預先組裝與測試，使企業能在最短時間內上線運算資源。</p> <p>該架構結合800VDC直流供電與高密度液冷系統設計，在提升能源轉換效率的同時，也降低資料中心PUE。</p> <p>在節能設計部分，其提出「Grid-to-Chip」電力架構，從電網到晶片端優化效率。其800VDC In-Row供電系統可將電源與備援模組直接整合於機櫃內，一方面可減少電力轉換損耗，另一方面節省空間；搭配最高達98.5%效率的電源模組與微電網架構，可整合再生能源、儲能與燃氣發電系統，提升供電穩定性與能源使用彈性。</p> <p>散熱方面，台達提出3MW等級的液冷解決方案，並以2.4MW液對液冷卻分配單元（CDU）支援高密度AI運算機櫃，透過N+1的冗餘設計及熱插拔能力，以降低停機的風險。同時，台達也針對新GPU與AI伺服器，提供晶片級冷板與微通道散熱技術，使高功耗運算環境仍可維持穩定熱管理效率。</p> <p>現場也展示Nvidia的新一代AI基礎建設平臺Vera Rubin：</p> <p><img alt="" src="/sites/default/files/images/pic--intro--4.jpeg" /></p> <p>台達指出，透過預製化AI資料中心可提升部署速度，也同步改善能源效率表現，AI貨櫃型資料中心，搭配液對氣冷散熱系統，空間只需一個停車格，在部分設計情境下可將PUE控制於1.19以下，並透過標準化模組設計降低整體建置與營運成本。</p> <p>該公司也展示AI數位孿生技術在邊緣與製造場域的應用，透過Nvidia Omniverse建構虛實整合模型，提前預測熱能與環境變化，並自動調整空調與照明系統，使建築與工廠能源使用效率提升約20%，進一步延伸AI基礎設施的節能應用場景。</p> </div></div></div>
6/5 15:22作者蘇文彬https://www.ithome.com.tw/news/176401
NPM套件遭供應鏈攻擊，感染惡意程式IronWorm
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>軟體供應鏈攻擊猖獗，其中從去年下半出現的NPM蠕蟲Shai-Hulud，近期已出現<strong><a href="https://www.ithome.com.tw/news/176301">變種Miasma</a></strong>，攻擊手法變得更加複雜，攻擊者將流程拆分為更多步驟，透過後續階段擴大蒐集範圍與隱匿程度。近期疑似有人用Rust語言將Shai-Hulud重新撰寫，將此惡意程式用於針對加密貨幣與Web3的開發者。</p> <p>資安公司JFrog揭露<strong><a href="https://research.jfrog.com/post/iron-worm-shai-hulud-rustier-cousin/">竊資軟體IronWorm的攻擊行動</a></strong>，這是以Rust打造的大型惡意程式，能從開發環境抓取多達86種機密資訊，本身可隱匿在eBPF核心rootkit背後運作，並透過Tor連線向操作員回報執行結果。與Shai-Hulud相同的地方在於，IronWorm使用竊得的憑證作為傳播機制，悄悄將惡意程式碼提交至受害者的GitHub儲存庫，並透過受信任的開發者工作流程GitHub Actions發布到NPM儲存庫。JFrog指出，雖然開發人員很顯然就是攻擊者的目標，但這次他們特別針對加密貨幣與Web3領域而來。</p> <p>JFrog試圖將IronWorm比對所有常見的竊資軟體、eBPF rootkit、C2框架，結果發現最相近的是Shai-Hulud，因為這兩款惡意程式都是入侵開發者帳號、竊取憑證，並藉由受信任的供應鏈工作流程擴大感染範圍，而且，，還使用相同的作者名稱提交程式碼，然而，IronWorm本身也從多個層面增加防守端的困難：駭客使用難以逆向工程的Rust開發、進行字串混淆處理、以修改版的UPX打包、採用Tor進行C2通訊，以及使用eBPF rootkit。</p> </div></div></div>
6/5 15:28作者周峻佑https://www.ithome.com.tw/news/176393
Google Gemini語音助理存在漏洞，攻擊者可透過訊息通知來挾持AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安公司SafeBreach揭露<strong><a href="https://www.safebreach.com/blog/gemini-voice-assistant-prompt-injection-exploit">Google Gemini存在一種新型態的弱點</a></strong>，攻擊者藉由WhatsApp、Slack、簡訊等管道發送通知，並將惡意指令隱藏到另一種國家與地區的語言或是靜音連結（muted hyperlinks），就可能讓語音助理執行未經授權的行為。這種弱點可被用於控制智慧家庭裝置、啟動未經授權的影片串流，甚至偽造受信任的聯絡人進行大規模社交工程攻擊，或是污染AI長期記憶內容、建立持續存取的管道而影響廣泛。SafeBreach於去年8月通報此弱點，並將其命名為Fake Context Alignment，Google獲報後，已於11月中旬改進內容分類器功能作為因應措施。</p> <p>Fake Context Alignment主要透過兩種技巧來繞過Google實作的防護機制Delayed Tool Invocation，一方面Gemini背後的安全機制會將其判定為合法的授權，另一方面也對使用者呈現完全不同且看似無害的情境。雖然系統與使用者都認為正在進行正常互動，然而背後實際上卻是攻擊者刻意設計的惡意情境。其中一種技巧是針對使用者通常不會使用超過兩種語言與Gemini溝通，研究人員可設計一種酬載，強制在Gemini輸出一段使用者看不懂的語言（SafeBreach使用簡體中文為例），由於使用者無法理解該段內容，很可能會誤以為是系統暫時性的錯誤，而以自己慣用的語言回答來結束對話，使得Gemini誤認已取得使用者的授權，進而執行相關操作。</p> <p>另一種技巧是針對許多使用者仰賴的語音助理，由於在這種使用情境下，使用者往往不會查看電腦或裝置的螢幕（例如開車），因此無法確認語音助理說出的內容是否與螢幕顯示的文字一致。SafeBreach利用Gemini不會將超連結唸出來的特性，將惡意問題嵌入超連結中，當使用者聽到Gemini唸出的內容並回答「Yes」，同時也讓攻擊者隱藏在超連結的問題，被視為已獲得使用者的授權。</p> </div></div></div>
6/5 15:31作者周峻佑https://www.ithome.com.tw/news/176397
Google Phone App為Android裝置加入AI詐騙電話偵測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://blog.google/security/android-fake-call-detection/" target="_blank">Google本週公布</a>為Android加入偽造電話偵測（fake call detection）功能，提供給Android 12+版本裝置，防範用戶被AI深偽技術生成的詐騙電話所害。</p> <p>Google稱，這項技術是業界首個能偵測和標識出疑似詐騙電話的方案，只要用戶本身和聯絡人都使用Google Phone App就能自動啟用這項防護。</p> <p>深偽詐騙電話是運用二種手法生成。首先，他們冒用用戶聯絡人的合法電話號碼，並由網路軟體傳送通話。第二步是使用AI深偽技術生成酷似權威機關（如警察局、國稅局）、親友或公司老闆的聲音。研究顯示現在深偽技術進展到大多數人難以分辨真假。</p> <p>偽造電話偵測功能是於Google Phone App自動啟用並於背景執行。運作方式是二支手機之間進行數位交握（handshake）。若雙方都是使用Google App通話，撥話方的手機會即時傳送靜默確認訊號給受話方，以驗證電話確實來自聯絡人手機。數位交握的原理是利用端到端加密的RCS（Rich Communication Services）技術，因而是完全保密不公開。</p> <p>運用這項技術架構，若有人冒充聯絡人打電話，其通話訊息就不會有確認訊號。這時受話方，即用戶裝置會立即發覺、並傳送訊息要求聯絡人的正牌手機重複確認。如果該裝置回覆它現在並未打電話，用戶手機螢幕就會顯示警告訊息，建議用戶儘速掛斷。</p> <p>偽造電話偵測功能現在將提供給全球Android 12+版本手機上的Phone App。本月將會先推到Pixel手機。大部份Android手機上預設手機App都是Google Phone App。</p> <p>偽造電話方案是預設啟動，不過用戶可以在Phone App設定關閉。</p> </div></div></div>
6/5 15:43作者林妍溱https://www.ithome.com.tw/news/176405
美國政府示警自動儲槽計量系統遭鎖定，籲ATG用戶移除網際網路曝露介面
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國包括CISA、FBI與USDA等多個聯邦機關發布<strong><a href="https://www.ic3.gov/CSA/2026/260602.pdf">聯合警示</a></strong>，指出近期已有惡意網路活動鎖定美國境內的自動儲槽計量系統（Automatic Tank Gauge，ATG）。該系統常用於能源、化工、食品與農業、運輸等產業，用來遠端監測儲槽液位、液體存量、溫度與可能的洩漏狀態。</p> <p>美國政府敦促ATG擁有者與營運者立即強化密碼管理，並避免ATG系統直接曝露於網際網路，以降低遭入侵與被遠端修改設定的風險。</p> <p>美國政府目前尚未將相關活動歸因於特定國家或攻擊組織，根據其觀察，相關活動是攻擊者入侵曝露在網際網路上的ATG系統後，再透過指令執行修改系統。可能遭利用的攻擊途徑，包括身分驗證繞過、利用系統內建固定帳密、作業系統指令執行、SQL注入，以及權限提升。</p> <p>由於ATG系統連接的是與現場儲槽管理有關的營運功能，美國政府指出，若攻擊者成功利用相關弱點，可能像具備實體控制臺存取權一樣，直接與儲槽管理系統互動。攻擊者可能修改網路設定、產品識別、儲槽容量與泵浦控制等屬性，也可能加劇營運異常，使系統元件錯誤運作，造成操作人員無法掌握儲槽液位，甚至使儲槽系統重要功能受損。</p> <p>另外，攻擊者若停用系統警報，將降低營運者偵測與處理異常的能力，增加洩漏、繼電器故障等事件造成環境或實體危害的風險。因此ATG安全性不只關係到遠端監測，也涉及營運技術環境中的警報、異常偵測與現場設備控制。</p> <p>聯合警示建議業者不要將ATG序列埠或其他Web介面直接曝露於網際網路，若業務上必須遠端存取，業者應透過防火牆、存取控制清單或VPN限制可連線來源。還要求業者立即更換預設密碼，對所有介面使用強健且唯一的安全碼與管理憑證，並在可行情況下導入多因素驗證。</p> </div></div></div>
6/5 15:47作者李建興https://www.ithome.com.tw/news/176400
加拿大發布《AI for All》戰略，目標2034年企業AI採用率達6成
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.pm.gc.ca/en/news/news-releases/2026/06/04/prime-minister-carney-launches-ai-all-canadas-new-national-artificial" target="_blank">加拿大總理Mark Carney周四（6/4）發布國家人工智慧（AI）戰略《AI for All》</a>，希望透過立法、投資與人才培育，加速AI在企業、教育及公共服務領域的應用。加拿大政府預估，該戰略將於2031年前創造25萬個AI相關工作機會，並將企業AI採用率從目前約12%提高至2034年的60%。</p> <p>加拿大政府指出，該國雖然擁有世界知名的AI研究人才與研究機構，也是現代AI研究的重要基地之一，但企業導入AI的速度明顯落後於部分國家。如果無法加快AI普及，不僅可能影響經濟競爭力，也可能導致人才與新創企業持續流向海外。</p> <p><a href="https://ised-isde.canada.ca/site/ised/en/canadas-national-artificial-intelligence-strategy-ai-all" target="_blank">《AI for All》</a>主要圍繞三大方向推動。首先為建立信任，加拿大計畫更新消費者隱私與線上安全相關法規，加強保護兒童個資與線上活動，並打擊深偽（Deepfake）等AI濫用行為。</p> <p>其次是創造機會。加拿大將推出全國AI素養計畫，提供全民入門AI教育，並讓100萬名大專學生接觸AI訓練課程。同時，政府承諾為所有大專學生提供可信任的AI代理人工具，並提供最多9萬個AI相關工作與實習機會，協助年輕人進入AI時代的就業市場。</p> <p>第三則是強化主權。加拿大希望降低對外國AI平臺與雲端服務的依賴，計畫興建公共AI超級電腦、擴充主權運算與雲端基礎設施，並持續投資AI人才與資料基礎建設。政府也將成立5億加元的Canadian Tech Growth Fund，協助本土AI企業取得成長資金，必要時甚至可直接持有加拿大AI公司的股權。</p> <p>除了扶植本土產業外，加拿大也希望透過與德國、英國、歐盟、澳洲、日本等國的合作，建立更具自主性的AI供應鏈與技術合作網絡。</p> <p>不過，該國政府目前公布的內容較偏向國家戰略方向與政策目標，尚未提出完整的逐年執行時程。加拿大政府僅表示，未來5年將陸續推動相關立法、投資與計畫，並以2031年及2034年作為主要政策目標節點。</p> </div></div></div>
6/5 15:58作者陳曉莉https://www.ithome.com.tw/news/176406
WordPress表單外掛Everest Forms Pro漏洞遭積極利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>近期研究人員不斷揭露WordPress外掛程式的資安漏洞，且有不少是重大等級的危險弱點，成為駭客盯上的目標。本週有資安公司提出警告，他們3個月前通報並獲得修補的資安漏洞，近期已遭到積極利用。</p> <p>6月5日<strong><a href="https://www.wordfence.com/blog/2026/06/attackers-actively-exploiting-critical-vulnerability-in-everest-forms-pro-plugin/">資安公司Wordfence提出警告</a></strong>，他們於3月底公開揭露的表單外掛程式Everest Forms Pro漏洞CVE-2026-3300，於4月13日首度偵測到漏洞利用的跡象，並在5月16日出現大規模漏洞利用嘗試活動，當天有超過17,900次攻擊，截至目前為止已出現逾29,300次活動。對此，Wordfence呼籲用戶，應儘速升級新版外掛程式因應。</p> <p>CVE-2026-3300為遠端程式碼執行（RCE）類型的弱點，未經身分驗證的攻擊者可在伺服器執行任何PHP程式碼，導致網站被全面入侵，CVSS風險評為9.8分，開發商WPEverest於3月18日發布1.9.13版修補。Wordfence指出，攻擊者會嘗試在具有此漏洞的網站建立新的管理員帳號，而且多半會使用特定的使用者名稱或電子郵件信箱，該公司也提供入侵指標，讓網站管理者檢查網站是否已遭到滲透。</p> </div></div></div>
6/5 15:09作者周峻佑https://www.ithome.com.tw/news/176392
研究人員直接公開VS Code資安漏洞，並表明對微軟漏洞通報流程失去信任
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>研究人員Chaotic Eclipse（Nightmare-Eclipse）因不滿微軟漏洞通報流程，自兩個月前陸續公布一系列漏洞而受到外界關注，引發多位資安研究員的共鳴，紛紛在網路揭露向微軟通報漏洞過程的受挫經驗。最近有研究人員直接在GitHub與部落格公布微軟產品漏洞，並表明這麼做的原因，就是他多年前向微軟安全回應中心（MSRC）通報漏洞的不愉快經驗。</p> <p>資安研究員Ammar Askar於6月2日公布Visual Studio Code（VS Code）<strong><a href="https://blog.ammaraskar.com/github-token-stealing/">一項零時差漏洞</a></strong>，並指出攻擊者只要誘導使用者點選惡意連結，就能竊得GitHub OAuth權杖（token），進而存取使用者的公開與私有儲存庫。這項漏洞之所以受到關注，在於Askar並未依照微軟提供的通報管道處理，而是選擇在VS Code的GitHub專案提出議題（issue），以及發布部落格文章的方式公開漏洞。微軟在上述資訊發布後，於6月3日先後兩次進行緊急修補。</p> <p>這項漏洞發生的原因，在於GitHub.dev提供網頁版VS Code，透過OAuth權杖與GitHub溝通，然而該權杖具備的權限過高，原本應該只能存取單一儲存庫，實際上卻能存取使用者所有的儲存庫，使得網頁版VS Code成為攻擊者高價值目標問題在於：網頁版VS Code使用的Webview元件會將鍵盤事件（keydown）傳遞到外層的主視窗，攻擊者能藉此執行惡意指令碼，並觸發VS Code的快速鍵，藉此安裝惡意延伸套件，進而侵入受害者的儲存庫。</p> </div></div></div>
6/5 15:11作者周峻佑https://www.ithome.com.tw/news/176387
Cloudflare收購VoidZero，強化AI代理人開發平臺布局
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.cloudflare.com/zh-tw/press/press-releases/2026/cloudflare-acquires-voidzero-to-build-the-future-of-the-ai-native-web/" target="_blank">網路基礎設施業者Cloudflare週四（6/4）宣布收購JavaScript開發工具公司VoidZero</a>，將Vite、Vitest、Rolldown、Oxc與Vite+等熱門開源工具納入旗下開發者生態系。Cloudflare表示，這些專案將維持MIT授權、開源及供應商中立（Vendor-Agnostic）原則，不會綁定Cloudflare平臺。雙方並未揭露交易金額。</p> <p>VoidZero成立於2023年，由Vue.js創作者Evan You創立，是一家專注於開源JavaScript開發工具的新創公司。旗下產品包括前端開發工具Vite、測試工具Vitest、打包器Rolldown與Rust語言工具鏈Oxc。其中Vite目前每週下載量已超過1億次，已成為現代JavaScript與TypeScript開發的重要工具之一。</p> <p>Cloudflare表示，未來將把這套工具鏈與Cloudflare Workers開發平臺進一步整合，希望讓開發者從本地端撰寫程式碼、測試到部署至全球網路，都能透過一致的工作流程完成。Cloudflare指出，其Cloudflare Vite外掛目前每週下載量已達1,390萬次，約占Vite總下載量的10%以上。</p> <p>Cloudflare共同創辦人兼執行長Matthew Prince表示，AI正在改變軟體開發模式，許多工程師正在交付比以往更多的程式碼，但親手撰寫的比例卻越來越低。隨著AI代理人開始參與程式開發，開發工具必須具備更快速度、更穩定的執行環境，以及從本地開發到正式部署的一致性。</p> <p><a href="https://voidzero.dev/posts/voidzero-cloudflare" target="_blank">Evan You則坦言</a>，雖然Vite生態系成長迅速，但開源開發工具始終面臨商業化挑戰。VoidZero曾嘗試混合授權模式，也曾開發名為Void的Vite原生部署平臺，希望建立穩定營收來源，但仍未找到理想模式。他認為，加入Cloudflare後，團隊能繼續專注於開發工具本身，同時利用Cloudflare的基礎設施資源推動未來發展。</p> <p>為了回應外界對單一廠商掌控重要開源專案的疑慮，Cloudflare承諾投入100萬美元成立Vite生態系基金（Vite Ecosystem Fund），支援與Cloudflare及VoidZero無關的維護者與開源貢獻者。Cloudflare也強調，You與原有團隊將繼續主導Vite系列專案的技術路線圖與開源治理。</p> </div></div></div>
6/5 13:53作者陳曉莉https://www.ithome.com.tw/news/176396
由機器人發出的網路請求流量首度超越人類
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>網路基礎設施業者Cloudflare共同創辦人兼執行長<a href="https://x.com/eastdakota/status/2062212701414187452" target="_blank">Matthew Prince週四（6/4）透露</a>，由機器人發出的網路請求（Request）流量已首次超越人類，成為網際網路發展的重要轉折點。</p> <p>Prince在社群平臺X上表示，他原本預期這項變化會在2027年底或2027年初發生，但AI代理人（AI Agent）流量成長速度遠超預期，「機器人如今已首次超越人類流量，這是網際網路史上的第一次」。目前尚無法精確判定機器人流量超越人類的具體日期，但整體趨勢已相當明顯。</p> <p><a href="https://radar.cloudflare.com/traffic#bot-vs-human" target="_blank">根據Cloudflare統計</a>，目前57.4%的網站請求來自機器人，42.6%來自人類。不過，這項數據衡量的是HTTP請求數量，而非實際使用時間。</p> <p><a href="https://www.nbcnews.com/tech/tech-news/bot-web-traffic-overtaken-human-web-traffic-data-shows-rcna348522" target="_blank">Prince接受NBC News採訪時指出</a>他對非人類流量的成長速度感到震驚，而且這種變化可能對網際網路帶來深遠影響；AI代理人大量出現將挑戰現有網路商業模式，因為「機器人不會點擊廣告」。未來或許需要建立新的模式，例如向機器人收取內容存取費用，讓內容創作者獲得報酬。</p> </div></div></div>
6/5 13:05作者陳曉莉https://www.ithome.com.tw/news/176395
Anthropic稱內部逾8成正式程式碼由Claude撰寫，倡議先進AI開發者建立協調暫停機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>AI新創Anthropic近日發表報告<a href="https://www.anthropic.com/institute/recursive-self-improvement" target="_blank">《When AI builds itself》</a>，揭露該公司合併至正式程式碼庫的程式碼中，已有超過80%由Claude撰寫，顯示AI正逐步參與AI模型本身的開發流程。Anthropic並主張，全球應建立可驗證的協調機制，讓主要前沿AI開發者在必要時具備共同減速或暫停開發的選項。</p> <p>Anthropic表示，AI模型的開發流程正在快速改變。早期Claude的開發工作主要由人類工程師完成，包括撰寫程式、文件與訓練相關工具；到了2023年至2025年，工程師開始使用聊天機器人輔助產生程式片段；2025年之後，程式代理人已能自行編寫與修改整個檔案。</p> <p>如今，Claude不只是提供建議，而是能直接執行程式、處理較長時間的工程任務，甚至把部分工作交給其他代理人完成，使AI模型研發逐漸從「人類寫、AI輔助」轉向「人類設定目標、AI執行」。</p> <p>根據Anthropic內部統計，截至2026年5月，該公司合併至正式程式碼庫的程式碼中，超過80%可歸因於Claude撰寫；2026年第二季，工程師每日合併的程式碼量也達到2024年的8倍，代表Claude已明顯提高工程產出。但Anthropic也提醒，程式碼行數只能反映產出規模，不能完整衡量實際生產力，仍須考量程式品質、審查負擔、維護成本，以及這些程式碼是否真正解決關鍵問題。</p> <p>報告也指出，Claude不只會寫程式，也已能執行研究流程中的部分任務，例如修復錯誤、加速實驗程式、測試假設及分析結果。不過，目前人類仍在研究判斷與方向設定上具有優勢，包括決定哪些問題值得研究、哪些結果可信，以及何時應放棄某個方向等。</p> <p>Anthropic將未來可能出現的情況稱為「遞迴式自我改進」（Recursive Self-Improvement），也就是AI能夠自行設計與改進自己的後繼模型。儘管此一情況尚未發生，亦非必然會發生，但若真的出現，可能成為科技史上的重大轉折，一方面可加速科學與醫療等領域進展，另一方面也可能提高人類失去控制的風險。</p> <p>基於上述趨勢，Anthropic主張，全球應建立可驗證的協調機制，讓主要前沿AI開發者在必要時具備共同減速或暫停開發的選項。Anthropic強調，單一實驗室片面暫停效果有限，真正有意義的暫停，必須由多個擁有充足資源、接近前沿水準的實驗室共同參與，並能確認彼此確實遵守。</p> </div></div></div>
6/5 11:24作者陳曉莉https://www.ithome.com.tw/news/176389
【臺灣資安大會直擊】群創光電重新定義資安的價值，從「花錢的部門」到公司治理核心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在2025年，群創光電悄悄完成一項組織變革，對於群創光電、對於臺灣製造業的資安史上，這是一個值得記錄的里程碑。群創光電的資通安全部正式從MIS（資訊系統）部門獨立出來，直屬執行長辦公室，並設立資安長（CISO）一職，邀請學者型高階主管林宜隆擔綱。</p> <p>這個組織圖上的移動，看似只是幾條線的重新連接，卻牽動一整套思維方式的根本翻轉——資訊安全，不再只是IT部門底下一個防堵漏洞的執行單位，而是公司戰略決策的核心機制。</p> <p>群創光電資通安全部資深副理蔡秉諺分享這段轉型的心路歷程，他坦言：「當老闆問你，你做這件事情的價值在哪裡？」這是所有資安人最難回答的一題。</p> <h2><span style="color:#B22222;"><strong>從MIS底下的一個人，到執行長直屬的獨立部門</strong></span></h2> <p>群創光電成立於2003年，是全球主要的TFT-LCD液晶面板製造商，全球員工約三萬五千人，在臺灣、中國大陸、日本、韓國、美國、荷蘭、德國、新加坡均設有據點，2025年營業額高達兩千兩百六十七億新臺幣。這樣規模的製造業集團，其資安部門如何走到今天這個位置？</p> <p>蔡秉諺回顧說，群創最早的資安工作其實寄居在MIS部門，只有一名資安專職人員。2021年，公司才開始正式招聘更多資安人才。隨著「上市公司應成立專屬資安部門」的法規精神逐漸落地，群創光電也依循趨勢成立了資通安全部，但當時仍掛在MIS底下，定位上更接近IT資安的執行層。</p> <p>這樣的架構，藏著一個根本性的矛盾。「我一方面自己導入控制措施，另一方面又自己來評鑑控制措施的有效性，」蔡秉諺坦言，「這樣很難達到平衡。就像讓選手兼任裁判，球賽結果能客觀嗎？」</p> <p>直到2025年，執行長主動介入，將資安部門從組織圖上「拉出來」，掛在執行長辦公室之下，並設立資安室與資安長（CISO）職位。從此，資安長與總經理並列，對執行長直接負責。</p> <p>他表示，這個資安組織架構的改變，也呼應了國際標準ISO 27014對「資安治理」的定義——治理層必須具備評估、指導、溝通的獨立性，不能被執行層吸納。</p> <h2><span style="color:#B22222;"><strong>把資安分成三個層次，先搞清楚自己在哪一層</strong></span></h2> <p>蔡秉諺從國際標準和實務經驗，分享一個簡潔有力的框架，就是將資安工作分為三個層次：資安技術、資安管理、資安治理。</p> <p>最底層的「資安技術」，對應的角色是資安工程師，回答的是「What to do」——導入EDR端點偵測防護、SIEM安全資訊與事件管理、PAM特權帳號管理、弱點掃描、攻防演練，這些都是實際動手做的技術控制措施。</p> <p>中間層的「資安管理」，對應的角色是資安主管，回答的是「How to do」——看各項控制措施的部署率、更新率、達成率，執行業務衝擊分析（BIA），訂定最大容許停機時間（MTD）、復原時間目標（RTO）與復原點目標（RPO），確保整體體系依照標準運轉。</p> <p>最頂層的「資安治理」，對應的角色是資安長，回答的是「Why to do」——創造組織價值，將資安韌性轉化為營運韌性，讓資安投資能夠被量化，使公司決策層看得見資安的貢獻。</p> <p>蔡秉諺特別強調，這三個層次並非互相獨立，而是由上往下驅動的，關鍵在於：「導入的各種控制措施，一定要對齊公司的願景與目標。」所以，不能為了做資安而做資安。</p> <p>他也假設性地提問：「如果公司今天買了一千臺EDR授權，但老闆問你，買五百臺不行嗎？」如果資安長無法回答，就表示這件事並沒有對齊公司的治理方向。</p> <h2><span style="color:#B22222;"><strong>合理量化資安價值，不再將資安視為成本中心</strong></span></h2> <p>資安部門長年被視為「成本中心」，是花錢的單位，而非賺錢的引擎。蔡秉諺認為，這個困境的根源，在於資安人員未能將自身工作的價值語言，轉譯成經營者聽得懂的語言。</p> <p>「老闆只跟你談錢，」他說得直白，「對老闆而言，資安價值最直覺的量化方式就是財務數字。」所以，他將資安的價值呈現歸納為四個維度：提升獲利、降低成本、合規韌性、營運持續。</p> <p>對於製造業而言，「提升獲利」這道題確實很難直接作答，畢竟群創光電不是資安公司；「降低成本」也不容易被具體感知；但「合規」與「營運持續」，則是製造業資安人員最能發力、也最能量化的兩個戰場。</p> <p>蔡秉諺也舉出多個例子，說明如何把抽象的防護能力轉換為可量測的指標。</p> <p>案例一，A公司的SIEM平臺導入案例，主打「技術維度：平均偵測時間（MTTD）」。在沒有SIEM平臺之前，資安人員要找出全公司一天內密碼錯誤超過一百次的帳號，必須手動撈取大量Log（登錄檔），至少要花掉整整四個小時；但導入SIEM平臺之後，同樣的查詢只要十秒鐘就能完成，並且能同時一覽多個高風險帳號的即時狀態。</p> <p>蔡秉諺表示，這個SIEM平臺量化價值一目了然：一年三百萬元的SIEM訂閱費，換來的是平均偵測時間從四小時壓縮到十秒，人工分析成本下降八成。</p> <p>案例二，B公司的合規通過率案例，主打「管理維度」。蔡秉諺表示，一名資安人員獨力完成十家客戶的資安稽核，通過率達到百分之百。</p> <p>關鍵不在於這個數字有多漂亮，他表示，在於如何讓老闆「有感」：這十家客戶，合計占公司整體營收的六成。「一個人卻守住了公司六成的生意，」蔡秉諺認為，這樣的呈現方式，董事會才會真正理解資安投資的意義。</p> <p>案例三，C公司與D公司的「年度損失期望值（ALE）」案例，主打「財務維度」。C公司有一批老舊工廠設備，無法安裝防毒軟體，過去每年中毒一次，每次損失兩百萬元產值；解決方案是導入一套十萬元的防火牆，作為補償性控制措施，以十萬元防住兩百萬的潛在損失。</p> <p>D公司則是電商平臺，每年遭受三次DDoS攻擊，每次停機兩小時，一年累計損失六百萬元營業額；解決方案則是：訂閱一年三百萬的DDoS防護服務，即可守住六百萬的收入。</p> <p>蔡秉諺總結從上述的案例後歸納的重點：資安投資的邏輯，不是計算公司花了多少錢；而是在這樣的投資之後，能夠幫助公司減少多少損失。「只要把這個對價關係算清楚，老闆就會理解資安投資對公司帶來的效益。」他說。</p> <h2><span style="color:#B22222;"><strong>合規不是為了應付稽核，而是在訓練韌性</strong></span></h2> <p>談到合規，蔡秉諺也提到目前多數企業面對稽核時，所看到的普遍現象，那就是：「下禮拜要稽核了，所以這禮拜趕快補資料、補簽名、補報到率。」他稱之為「應付稽核心態」。這樣的心態也與他對企業資安認同的「韌性與營運持續」觀點，完全背道而馳。</p> <p>他舉了一個讓人心有戚戚的例子，某公司電腦中毒，事後檢查，防毒軟體確實有安裝，但「病毒碼」已經半年沒有更新了。回頭查詢稽核時的記錄是「有裝防毒」，但現實情況則是，防毒軟體的安裝形同虛設。他說：「控制措施早就已經失效，只是沒有人知道。」</p> <p>蔡秉諺表示，ISO 27008是專門針對「控制措施有效性」的評鑑，也就是說，ISO 27008它是ISO 27002（控制措施具體指南）的「檢驗器」，這正是ISO 27008這個標準存在的意義。</p> <p>他進一步解釋，若以ISO 27002這個資安標準為例，該標準要求企業做到「應定期備份」，ISO 27001的稽核員只要看到你有定期備份的紀錄，可能就放行了；但若參考ISO 27008對此的要求，則是必須做到「還原測試」——那個備份檔案，是否真的做過資料還原嗎？而還原後的備份資料，還能用嗎？</p> <p>對此，蔡秉諺表示，合規的目的是「韌性」；韌性的目的是「營運持續」。這也意味著，企業做稽核的目的，不應該只是為了通過稽核，而應該是為了確保公司真的準備好應對突發狀況。</p> <p>這個思維的轉換，也是蔡秉諺認為，臺灣企業資安文化最需要補上的一課。</p> <h2><span style="color:#B22222;"><strong>資安標準ISO 27000系列，是前人事先幫忙整理好的智慧</strong></span></h2> <p>資安標準ISO 27000系列幾乎是臺灣最普遍的資安標準，但蔡秉諺也強調，不是每一個標準都要去取得驗證，它們是參考指引，是全世界專家學者共同擬定的最佳實踐，你照著做就不會差太多，不用自己摸索。因為，資安國際標準不是用來硬背應付的考卷，而是全球專家幫你寫好的資安大補帖。</p> <p>他同時梳理了一條清晰的導入順序。首先，參考ISO 27014處理「資安治理」問題，解答的是公司為什麼要做資安、如何讓資安對齊組織策略。</p> <p>其次，ISO 27005處理「資訊安全風險管理」議題，搭配ISO 22301的營運持續管理（BCM），讓企業能夠：識別風險、量化風險，導出營運衝擊分析（Business Impact Analysis，BIA）、最大可容忍中斷時間（Maximum Tolerable Downtime，MTD）、多久要恢復的復原時間目標（Recovery Time Objective，RTO），以及最多可遺失多少資料的復原點目標（Recovery Point Objective，RPO）等關鍵參數。</p> <p>接著是參考ISO 27002，根據其提供具體的資訊安全控制措施，告訴企業「具體怎麼做」——蔡秉諺表示，這份文件多達152頁，是實作層面的核心指南。</p> <p>至於ISO 27003則是ISMS的實施指南，目的就是解決企業「空有控制項，卻沒有流程」的痛點，更像一位導航員，帶著你一步步從組織環境分析，走向風險處理計畫。</p> <p>而ISO 27008則是用來評鑑控制措施的有效性，是整個體系的「品質管控器」；最後，ISO 27001才是那個拿來驗證的標準，確認你的資訊安全管理體系是否符合要求。</p> <p>「從群創光電的自身經驗來看，合理且正確的做法是：先導入ISO 27002的控制措施，再取得並通過ISO 27001的驗證。」蔡秉諺認為，因為你無法驗證一個不存在的控制措施，當稽核員來企業驗證時，就必須要有東西讓他查。</p> <p>蔡秉諺表示，這個「先建立，再驗證」的邏輯，放在臺灣企業界的資安實務中，其實糾正了不少人長期以來本末倒置的慣性思維——因為許多臺灣企業直接衝向27001認證，拿到證書後才發現，許多資安控制措施根本沒有真正落地。</p> <h2><span style="color:#B22222;"><strong>釐清資安長與資訊長的差異，達到資安韌性即營運韌性的願景</strong></span></h2> <p>組織架構調整之後，一個隨之而來的問題浮現：既然已經有資訊長（CIO），為什麼還需要資安長（CISO）？這兩個角色之間的界線與張力，是許多正在思考資安組織定位的企業共同面對的課題。</p> <p>蔡秉諺表示，資訊長管的是資訊系統的運作效率，資安長管的是公司整體的風險視角——不只是IT安全，還包括OT（工控系統）安全、營業秘密保護、供應鏈安全，乃至地緣政治風險。</p> <p>所以，資安長的職責，是在公司的每一個決策流程融入安全的思維，而這個任務，從定義上，就不應該被資訊長的職責所涵蓋。</p> <p>「資安其實是一個潤滑劑，」蔡秉諺以公司推動資安的經驗為例，資安在群創光電的各個業務流程當中，是幫助大家融入安全的作業流程，並協助公司持續運作。「我不是那個踩煞車的人，我是讓齒輪轉得更穩的人。」蔡秉諺說道。</p> <p>伴隨著組織升級，群創光電也重新制定資安的策略願景：以安全信賴、韌性防禦、AI創新驅動、供應鏈資安作為四大支柱，並建立具有國際化、安全信賴標準的供應商形象，支持公司「More than Panel」的多元化轉型方向。</p> <p>這個願景的落地，分為三個層次。蔡秉諺表示，在公司的資安與IT治理（Governance）方面，為了協助企業「由上而下」建立決策與監督機制，確保資安與數據資產與商業目標對齊，該公司正在推動涵蓋ISO 27014（資訊安全治理）、ISO 38500（企業IT治理）、ISO 38505（數據治理）的標準化資安治理。</p> <p>為了協助公司達到持續性營運機制（Business Continuity，BCM），在企業面臨重大災害、駭客攻擊或大停電等中斷事件時，可以做到維持關鍵業務「不斷線」的韌性，則推動包括：ISO 22301（營運持續管理系統要求）、ISO 22313（營運持續管理指引）、ISO 22318（供應鏈持續性指引）的持續性營運機制。</p> <p>當企業資安防線被突破時，為了確保企業可以做到快速通報、止血，並以科學、合規的方法保存證據以利後續追查，便積極推動資安事件通報與鑑識流程（Incident & Forensics），參考包括：ISO 27035（資訊安全事件管理）、ISO 27037（數位證據保全指引）、ISO 27050（電子證據開示 / eDiscovery）的資安事件通報流程。</p> <p>在網路時代，供應商往往成為駭客借道攻擊的跳板，而群創光電本身也面臨許多供應商要落實資安管理，為了確保供應鏈資安（Supply Chain Security），做到涵蓋內部與外包商的全面防護網，採用ISO 28000（供應鏈安全管理系統）、ISO 27001（資訊安全管理系統）、ISO 27036（供應商關係資安指引）的供應鏈資安。</p> <p>此外，為了更有效率的因應當前爆發式的AI應用，確保AI模型在安全、公平、不洩密的前提下為企業所用，則開始參考ISO 42001（人工智慧管理系統）、ISO 42005（AI系統影響評估指引）、ISO 23894（AI風險管理指南），和ISO TR 24028（AI可信賴性概覽），做到AI應用與安全管理（AI Security）。</p> <p>「面對這麼多的ISO標準，並不是全部都要去考證照，或取得認證。」蔡秉諺再次強調，「重點在於，要把它們作為公司內部推動的行動指引。參考這些國際標準來做，就不會差太多，也不用每件事都自己從零摸索。」</p> <p>在技術執行層面，則是依照國家的資安主管機關資通安全署的指引，制定群創光電內部的《資通安全維護計畫》，同時把ISO的高層次原則，翻譯成第一線人員可以操作的檢測項目與頻率，例如：哪些系統要做主機弱點掃描、多久做一次、防火牆規則稽核的週期為何，都要寫得清清楚楚。</p> <p>蔡秉諺說，這個《資通安全維護計畫》解決了ISMS程序書過於原則性的問題，像是：程序書寫著「應定期做檢測」，但多久做、做什麼，沒有人知道。他表示，有了《資通安全維護計畫》之後，就可以填補這個說明與執行實務的落差，可以讓第一線人員照著做就好。</p> <h2><span style="color:#B22222;"><strong>資安是公司的風險語言，不是IT的技術術語</strong></span></h2> <p>蔡秉諺清楚地表示，所有的風險都不可能降低為零；即使把風險降到零，也會因此投入超過預期的成本。所以，「風險管理的目的，是把風險降低到營運管理階層可以接受的程度，讓公司能夠持續運作。這才是資安存在的意義。」他說。</p> <p>他也強調，資源永遠有限，資安從業人員都必須學會做選擇，例如，如果你有合作的供應鏈有五百家廠商，根本不可能全部納入完善管理。那麼，應該怎麼做呢？</p> <p>他坦言，唯有先做到分級、分類，找出對公司影響最大的前五十家供應商，集中資源保護它們也就是保護群創光電。「真正做到把資源花在刀口上，才是資安治理的精神。」他說。</p> <p>群創光電的資安進化史，從早期「有裝防毒」到確認「韌性有效」；從「應付稽核」到「真正落地」；從「MIS底下的資安人員」到「執行長直屬的資安長」，蔡秉諺表示，這樣的過程其實也是許多臺灣高科技製造業在數位轉型浪潮中的縮影，最終都必須面對的一道共同命題則是：資安，究竟是公司的負擔，還是公司的護城河？</p> <p>對蔡秉諺而言，群創光電的資安轉型，就是最好的答案。</p> <p> </p> <p><img alt="" src="/sites/default/files/images/600-%E7%BE%A4%E5%89%B5%E5%85%89%E9%9B%BB%E8%B3%87%E5%AE%89%E4%B8%89%E9%9A%8E%E6%AE%B5%E7%9B%AE%E6%A8%99(1).jpg" style="width: 600px; height: 312px;" /></p> </div></div></div>
6/5 11:25作者黃彥棻https://www.ithome.com.tw/news/176390
RondoDox殭屍網路鎖定華碩路由器舊漏洞，CVE-2018-5999出現實際濫用跡象
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.linkedin.com/feed/update/urn:li:activity:7463587031470784512/" target="_blank">資安漏洞情報業者VulnCheck於5月17日觀察到</a>，殭屍網路RondoDox開始利用華碩（Asus）路由器漏洞CVE-2018-5999。這項漏洞早在2018年已有公開利用程式，但VulnCheck表示，這是該公司首度觀察到實際濫用跡象。</p> <p><a href="https://www.bankinfosecurity.com/rondodox-botnet-exploits-2018-flaw-in-asus-routers-a-31768" target="_blank">BankInfoSecurity報導指出</a>，這項漏洞可讓未經身分驗證的攻擊者以root權限遠端執行程式碼；VulnCheck技術長Jacob Baines也對BankInfoSecurity表示，有超過100萬臺華碩路由器連接網際網路，形成相當可觀的攻擊面。</p> <p>資安風險管理業者<a href="https://www.bitsight.com/blog/rondodox-botnet-infrastructure-analysis" target="_blank">Bitsight在2025年5月首度觀測到RondoDox活動</a>，指出該殭屍網路經常被辨識為Mirai殭屍網路變種，整合174種漏洞利用手法，單日攻擊嘗試最高達1.5萬次，並可能利用遭入侵的住宅IP架設基礎設施。</p> <p><a href="https://nvd.nist.gov/vuln/detail/cve-2018-5999" target="_blank">NVD</a>資料顯示，CVE-2018-5999影響AsusWRT 3.0.0.4.384_10007版之前的版本，CVSS風險分數為9.8分，屬於重大（Critical）風險層級。另據<a href="https://www.twcert.org.tw/newepaper/cp-67-2466-2dcde-3.html" target="_blank">TWCERT/CC</a>資安公告，華碩已針對包含CVE-2018-5999在內的多項漏洞推出韌體修補，受影響設備至少涵蓋14款RT系列路由器。</p> </div></div></div>
6/5 10:27作者王珮瑤https://www.ithome.com.tw/news/176384
Nvidia與微軟推RTX Spark，押注Windows PC成為本機AI代理平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在Computex 2026期間，<a href="https://nvidianews.nvidia.com/news/nvidia-microsoft-windows-pcs-agents-rtx-spark" target="_blank">Nvidia與微軟公布Windows個人AI代理運算平臺Nvidia RTX Spark</a>，採用Nvidia Blackwell RTX GPU、20核心Nvidia Grace CPU與最高128GB統一記憶體架構（Unified Memory），鎖定創作者、AI開發者與玩家，主打特色是大型模型與AI代理可在使用者端裝置執行。</p> <p>Nvidia表示，RTX Spark最高可提供1 petaflop的AI運算效能，可在本機執行具備1,200億個參數的大型語言模型，並支援最高100萬token上下文處理能力。這次合作不只強調運算效能，也將AI代理的安全治理納入設計重點。Nvidia與微軟將在Windows加入身分識別、隔離、原則控管，以及運作全程皆可獲得安全防護等基礎能力，並搭配AI代理執行環境Nvidia OpenShell，讓使用者與管理員可定義代理能執行哪些動作、可存取哪些資源。</p> <p><a href="https://www.idc.com/resource-center/blog/nvidia-and-microsoft-are-betting-the-future-of-the-pc-is-agents-and-local-inference/" target="_blank">IDC分析指出</a>，這次發表顯示Windows AI PC的發展方向正在調整。微軟先前推動AI PC時，主要強調神經處理單元（NPU）與Copilot+ PC功能，但RTX Spark這次改以GPU、本機推論與AI代理執行環境作為核心。對企業而言，採用關鍵未必在於運算效能本身，而是AI代理能否在受管理裝置上安全運作，並讓IT部門維持控管能力。</p> <p>不過，IDC也提醒，目前Anthropic、Google與OpenAI等基礎模型業者的主力服務仍建立在雲端推論與訂閱制之上。若未來未出現可讓部分推論工作轉向客戶端GPU執行的授權或訂閱模式，Windows AI PC上的代理功能仍將主要依賴開放權重模型，與先進模型可能存在能力落差。</p> </div></div></div>
6/5 10:55作者王珮瑤https://www.ithome.com.tw/news/176385
宏碁Wave 7路由器存在2項滿分重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://community.acer.com/en/kb/articles/19673" target="_blank">宏碁本週發布安全公告</a>，預告將針對Wave 7家用路由器系列發布韌體更新，以修補2個CVSS風險值10.0的安全漏洞。</p> <p>Wave 7為宏碁的家用Wi-Fi 7 Mesh網狀網路路由器。宏碁經由外部安全研究人員Gergo Pap通報獲知兩項與存取控制結構及韌體密碼防護機制有關的漏洞，公司正在開發韌體更新，將在完成後提供下載更新。</p> <p>這兩項漏洞編號分別為<a href="https://nvd.nist.gov/vuln/detail/CVE-2026-49200" target="_blank">CVE-2026-49200</a>及<a href="https://nvd.nist.gov/vuln/detail/CVE-2026-49201" target="_blank">CVE-2026-49201</a>。其中CVE-2026-49200屬於存取控制缺陷。攻擊者未經驗證也可經由Web介面存取裝置韌體中的acer_cgi.log檔。這個檔案包含明碼的Web及Telnet登入憑證，而導致非授權存取系統。</p> <p>CVE-2026-49201則是負責處理裝置備份的upload.cgi包含寫死的AES加密金鑰。這讓攻擊者得以解密系統備份、修改後再加密，利於持久性的後門注入。</p> <p>兩項漏洞皆為CVSS評分10.0的重大風險漏洞，影響的是執行T7c_GBL_1.01.000055以前版本韌體的Wave 7產品。宏碁將在下一版韌體更新解決，呼籲用戶屆時應儘速更新。該公司預定6月底先釋出目標修補程式。</p> <p>宏碁並未說明是否有漏洞濫用活動的跡象。</p> </div></div></div>
6/5 09:37作者林妍溱https://www.ithome.com.tw/news/176382
新型SymJack攻擊鏈盯上AI程式開發代理，藉核准提示隱藏真正寫入目標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安公司Adversa AI揭露<strong><a href="https://adversa.ai/blog/the-approval-prompt-is-lying-to-you-symlink-rce-in-five-ai-coding-agents-claude-code-cursor-antigravity-copilot-grok-build/">SymJack新型攻擊鏈</a></strong>，協助開發者寫程式、修改檔案與執行命令的AI程式開發代理。研究團隊指出，攻擊者可準備一個惡意程式碼儲存庫，讓AI代理執行看似普通的檔案複製動作，但實際內容可能被寫入代理工具的設定檔，並在代理下次啟動時執行攻擊者指定的程式。</p> <p>研究團隊已在Claude Code、Gemini CLI與Antigravity CLI、Cursor Agent CLI、GitHub Copilot CLI、Grok Build CLI以及OpenAI Codex CLI重現SymJack攻擊。由於各工具的攻擊流程相近，Adversa AI將其視為同一類設計問題，而不是單一產品的個別漏洞。</p> <p>SymJack攻擊手法可讓核准提示看起來只是一般檔案複製，但實際寫入位置可能被符號連結（Symlink）導向AI代理工具的設定檔。攻擊者可在儲存庫中放入AI代理會讀取的專案指令檔，例如CLAUDE.md、AGENTS.md與GEMINI.md等，要求代理複製一個偽裝成影片或媒體檔的檔案。使用者核准時，畫面上看起來只是一般檔案複製，但目標檔案其實是符號連結，也就是一種會把寫入動作導向其他位置的檔案捷徑。</p> <p>當符號連結指向AI代理的設定檔，攻擊者準備好的內容就可能被寫入敏感位置。研究團隊指出，攻擊者可藉此寫入MCP伺服器設定，使代理工具下次啟動時執行設定中的啟動命令，讓攻擊者指定的程式在使用者權限下執行。</p> <p>Adversa AI表示，Anthropic未接受其漏洞通報，理由是不在漏洞獎勵計畫範圍內，但後續Claude Code核准流程已加入符號連結解析後路徑顯示。Google未接受通報，認為該攻擊需要使用者複製惡意儲存庫並核准命令，Cursor則將通報列為重複案件，原因是已有研究者通報符號連結處理問題。OpenAI的Bugcrowd漏洞回報平臺也將Codex CLI案例關閉，理由包括使用者已核准檔案複製命令。xAI與GitHub在研究發布時尚未回覆。</p> <p>研究團隊建議，AI程式開發代理應在檔案寫入前解析符號連結的真正目標，避免只依命令文字判斷操作是否安全。組織也應限制代理工具寫入設定檔的能力，檢查儲存庫中的符號連結與代理指令檔，並避免處理外部程式碼變更的自動化環境持有高權限憑證。</p> </div></div></div>
6/5 09:04作者李建興https://www.ithome.com.tw/news/176380
惡意NPM套件藉自動化流量灌水下載量，偽裝成活躍維護專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>許多開發者會以開源套件的下載量作為可信度參考，但這類指標也可能遭到攻擊者操弄。<a href="https://www.tenable.com/blog/how-cyberattackers-inflate-malicious-package-npm-download-counts">資安業者Tenable揭露一種名為download pumping的NPM套件操弄手法</a>，攻擊者會在短時間內大量發布套件新版本，藉此觸發套件庫鏡像站、安全掃描器與分析機器人等自動化系統下載，拉高下載次數與版本歷史，讓惡意套件看起來像是持續維護、具有使用基礎的專案。</p> <p>研究人員在惡意套件ambar-src案例中發現，攻擊者曾在兩小時內密集發布428個看似正常的版本，3天後才上傳含有惡意程式碼的新版本，該套件後來累積至724個版本，下載量也被推升至約5萬次。</p> <p>這項研究顯示，下載量、更新頻率與版本數量等指標，並不足以單獨作為判斷開源套件是否可信的依據。Tenable指出，許多開發者與安全工具仍會參考NPM套件的下載統計、版本歷史與維護活躍程度，快速評估套件可信度，但這些看似正常的訊號其實都可能被刻意製造。</p> <p>研究人員建議，企業除了檢查套件維護者背景、原始碼內容與相依關係，也應建立完整的套件資產清單與環境監控機制，持續留意異常更新行為。企業也可採取版本釘選策略，對新套件或新版套件設定3至4天等待期，再允許導入環境，並採用一次性CI/CD執行環境、限制建置流程對外連線，以降低惡意套件進入軟體供應鏈後，竊取權杖或機密資料的風險。</p> </div></div></div>
6/4 17:20作者王珮瑤https://www.ithome.com.tw/news/176373
【資安日報】6月4日，HTTP/2 Bomb影響多款主流網頁伺服器系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/176351"><strong style="font-size: 22px;">HTTP/2 Bomb攻擊手法影響主流網頁伺服器，恐遭用於DoS攻擊</strong></a></p> <p>研究人員於6月3日揭露名為HTTP/2 Bomb的遠端阻斷服務（DoS）攻擊手法，影響多款主流網頁伺服器與代理伺服器，包括Nginx、Apache httpd、Microsoft IIS、Envoy與Cloudflare Pingora。資安研究發布平臺Calif指出，這項攻擊手法的成形，源於研究人員使用OpenAI程式開發代理Codex，嘗試將兩種已知手法進行串連而得到，這些被發現至今長達10年的手法，分別是：HTTP/2標頭壓縮機制HPACK的壓縮炸彈，以及類似Slowloris的連線占用手法。</p> <p><a href="https://www.ithome.com.tw/news/176362"><strong style="font-size: 22px;">Minecraft玩家遭惡意軟體WeedHack鎖定，逾11萬臺設備被感染</strong></a></p> <p><a href="/sites/default/files/images/Screenshot-2026-05-28-at-9_15_17 AM-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/Screenshot-2026-05-28-at-9_15_17%E2%80%AFAM-63.jpg" style="width: 300px; float: right;" /></a>近年來遊戲玩家不斷成為駭客鎖定的目標，如今出現攻擊特定遊戲族群的惡意軟體租用服務（Malware-as-a-Service），提供買家對特定遊戲的玩家發動攻擊。資安公司McAfee揭露惡意軟體租用服務WeedHack，該平臺從今年1月開始出現，專門針對Minecraft玩家，迄今已確認有116,464臺電腦受害，而且遭感染的電腦數量每天會增加2千至3千臺。一旦遭到感染，攻擊者可竊取帳密資料並挾持Discord與Minecraft帳號，洗劫加密貨幣資產，甚至即時存取受害者的視訊鏡頭、螢幕畫面，以及電腦檔案。</p> <p><a href="https://www.ithome.com.tw/news/176370"><strong style="font-size: 22px;">惡意軟體租用服務WeedHack提供免費試用，已成為青少年竊取Minecraft玩家財務、霸凌同儕的工具</strong></a></p> <p><a href="/sites/default/files/images/Screenshot-2026-05-28-at-8_43_12 AM-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/Screenshot-2026-05-28-at-8_43_12%E2%80%AFAM-63.jpg" style="width: 300px; float: right;" /></a>資安公司McAfee揭露針對Minecraft玩家的惡意軟體WeedHack，網路罪犯採用租用模式（Malware-as-a-Service）經營，不過有別於其他提供惡意軟體租用的服務，每個月費用需要數百美元，McAfee指出，任何人只要有Discord帳號與網路連線，就能免費使用WeedHack，竊取玩家的帳密資料及挾持帳號，若是一個月支付5美元的買家，還能進一步即時存取受害者的電腦螢幕畫面、視訊鏡頭，以及檔案。McAfee發現，買家不僅利用WeedHack獲得經濟利益，還進一步騷擾和霸凌同儕。</p> <p><a href="https://www.ithome.com.tw/news/176357"><strong style="font-size: 22px;">WordPress惡意軟體感染近2,000個網站，駭客濫用Steam平臺建立C2通訊管道</strong></a></p> <p><a href="/sites/default/files/images/ascii_art_comment1-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/ascii_art_comment1-63.jpg" style="width: 300px; float: right;" /></a>為了隱匿攻擊活動，駭客濫用合法雲端服務建立C2通訊的情況極為氾濫，然而最近有一起相當不尋常的活動引起資安研究人員的注意，因為遊戲平臺提供的功能也遭到利用。網站代管平臺GoDaddy資安團隊上週公布鎖定WordPress網站的惡意軟體活動，駭客利用Steam社群的個人資料（profile）留言區嵌入C2資料，將惡意基礎設施隱藏在Valve合法的平臺之中。該公司最早於2025年7月偵測到相關活動，迄今約有1,980個WordPress網站被植入惡意軟體。</p> <p><a href="https://www.ithome.com.tw/news/176336"><strong style="font-size: 22px;">新興勒索軟體The Gentlemen濫用Windows排程工作提升權限，具備自我擴散能力加速大規模感染</strong></a></p> <p>微軟資安威脅情報團隊近日揭露新興勒索軟體The Gentlemen，指出相較於傳統勒索軟體，The Gentlemen有兩項特點。首先，具備濫用Windows排程工作（Scheduled Task）功能，建立SYSTEM權限的排程工作，藉此再次以SYSTEM的權限層級執行惡意軟體本身，還會透過排程工作與修改登錄檔，建立持久運作機制，在系統重啟後仍能運作；其次，擁有強大的自我散播能力，會嘗試使用WMI、PsExec與PowerShell多種遠端執行方式，在網路中橫向移動。</p> <p><a href="https://www.ithome.com.tw/news/176337"><strong style="font-size: 22px;">駭客Storm-2949接管雲端帳號，濫用Azure權限滲透正式環境竊取資料</strong></a></p> <p>微軟揭露濫用雲端身分入侵事件，駭客組織Storm-2949先透過社交工程接管Microsoft Entra ID帳號，再濫用受害者原本就具有的Azure角色型存取控制（Azure RBAC）權限，存取Microsoft 365應用程式、雲端檔案服務，以及Azure託管正式環境中的資料與雲端資源。該攻擊疑似與自助密碼重設流程遭濫用有關，攻擊者可能假冒內部IT支援人員，鎖定IT人員與高階主管，要求目標使用者核准看似正常的多因素驗證（MFA）提示而得逞。</p> <p><a href="https://www.ithome.com.tw/news/176353"><strong style="font-size: 22px;">4年前的Linux核心漏洞已遭利用，恐被用於供應鏈攻擊</strong></a></p> <p>6月2日美國網路安全與基礎設施安全局（CISA）警告，幾年前揭露的Linux核心權限提升漏洞CVE-2022-0492已遭到積極利用，他們將其納入已遭利用漏洞名單（KEV），要求聯邦機構於6月5日前完成修補。巧合的是，在CISA將此漏洞納入KEV之前，在卡巴斯基本週揭露的容器用於供應鏈攻擊初期管道研究，CVE-2022-0492剛好是其中一個被提到遭利用的漏洞，攻擊者將其用於容器逃逸。</p> <p><a href="https://www.ithome.com.tw/news/176350"><strong style="font-size: 22px;">美國政府證實Magento快取外掛Mirasvit Cache Warmer重大漏洞已遭利用</strong></a></p> <p>上週資安公司Sansec提出警告，Magento網頁快取外掛程式Mirasvit Cache Warmer存在重大漏洞CVE-2026-45247，攻擊者在未經身分驗證的情況下，可在PHP物件進行注入，CVSS風險評為9.8分，用戶應儘速更新因應。本週美國網路安全與基礎設施安全局（CISA）指出，他們已掌握漏洞遭積極利用的證據。6月3日CISA將上述漏洞加入已遭利用的漏洞名單（KEV），要求聯邦機構必須在6月6日前完成修補。</p> <p><a href="https://www.ithome.com.tw/news/176349"><strong style="font-size: 22px;">CISA將Android框架零時差漏洞列入已遭利用漏洞名單</strong></a></p> <p>Google發布6月Android例行更新（Android Security Bulletin），修補的對象包含存在於Android框架的權限提升漏洞CVE-2025-48595，公告指出該漏洞已被鎖定目標的局部活動所利用，隨後美國網路安全與基礎設施安全局（CISA）也證實CVE-2025-48595被用於實際攻擊的情況。6月2日CISA發布公告，他們掌握兩個漏洞遭到積極利用的證據，將它們加入已遭利用漏洞列表（KEV），其中一個就是CVE-2025-48595，聯邦機構必須在6月5日前完成修補。</p> <p><a href="https://www.ithome.com.tw/news/176352"><strong style="font-size: 22px;">老舊系統威脅持續惡化，歐洲逾半數工業組織的資安事件涉及舊版Windows系統</strong></a></p> <p>工業環境中的老舊系統（Legacy Systems）風險持續成焦點，TXOne Networks近期針對歐洲揭露其2026年度OT資安報告研究細節，解析當地工業領域面臨的挑戰。報告指出，過去一年有超過半數（51%）的歐洲工業組織，曾經歷涉及老舊Windows系統的資安事件，這項數據相較於2025年的43%有明顯增長。值得注意的是，約25%受訪者表示相關資安事故在一年內發生不只一次，反映出舊系統漏洞已成為駭客眼中持續且活躍的攻擊面。</p> <p><a href="https://www.ithome.com.tw/news/176316"><strong style="font-size: 22px;">歐盟網路安全局發布NIS360報告，太空與鐵路關鍵性攀升</strong></a></p> <p>歐盟網路安全局（ENISA）發布NIS360報告，針對歐盟NIS2指令所涵蓋的高關鍵性部門，建立年度評估架構。報告指出，隨著組織積極應對演進中的政策要求與網路威脅，歐盟關鍵領域部門的資安成熟度正穩步提升；然而，受地緣政治與數位化影響，太空與鐵路部門的關鍵性（Criticality）顯著攀升，被列入資安防禦的重點關注區域。鐵路、飲用水及廢水處理這三個部門，先前僅處於風險區邊緣，今年則正式進入風險區內，顯示其防護成熟度需要積極提升。</p> <p><a href="https://www.ithome.com.tw/news/176278"><strong style="font-size: 22px;">逾9成資安長重視網路威脅情資，但不到3成將其列入決策依據</strong></a></p> <p>資安教育與研究機構SANS Institute於5月發布調查報告指出，企業已普遍將網路威脅情資（Cyber Threat Intelligence，CTI）納入資安計畫，但許多組織仍未把情資分析結果，轉化為預算分配、風險排序與高層決策依據。91%的資安長認為CTI具備價值，但僅26%表示CTI會明顯影響高層決策。SANS認為，這反映CTI目前面臨的主要挑戰，不是情資可信度不足，而是對於分析結果的認知尚未反映至對於決策制定的影響。</p> <p><a href="https://www.ithome.com.tw/news/176339"><strong style="font-size: 22px;">Veeam 13.0.2解決備份伺服器高可用性與跨平臺支援問題</strong></a></p> <p>備份與資料保護廠商Veeam近日推出Veeam Backup & Replication 13.0.2版，這次更新聚焦於備份基礎設施高可用性、跨平臺支援，以及復原能力的修正。在跨平臺支援方面，13.0.2版也修正搭配不同平臺時的作業問題，例如Hyper-V環境的複本VM無法啟動，以及Linux平臺的代理程式，無法安裝在RHEL 9.8、RHEL 10.2與Ubuntu 26.04 LTS等Linux發行版。上述狀況改善後，能使這些系統的資料受到保護。</p> <p><a href="https://www.ithome.com.tw/news/176358"><strong style="font-size: 22px;">WordPress熱門外掛Kirki爆權限提升漏洞，未登入攻擊者可劫持管理員帳號</strong></a></p> <p>資安業者Wordfence揭露，WordPress外掛Kirki含有未經身分驗證即可利用的權限提升漏洞CVE-2026-8206，CVSS分數為9.8，影響6.0.0至6.0.6版，開發團隊已在Kirki 6.0.7修補。攻擊者不必登入網站，就可透過外掛的密碼重設功能，讓任意已註冊使用者帳號的密碼重設連結，寄到攻擊者控制的電子郵件信箱，進而接管管理員帳號。由於該漏洞是在Kirki 6.0主要版本引入，Wordfence在6月1日估計約15萬個網站使用受影響版本。</p> <p><a href="https://www.ithome.com.tw/news/176340"><strong style="font-size: 22px;">Google Workspace擴大網域外檔案警示，降低敏感資料外洩與釣魚攻擊風險</strong></a></p> <p>Google宣布強化Google Workspace安全功能，擴大既有的網域外檔案警示（Out-of-Domain file-level warnings）適用範圍，新增支援行動裝置App、檔案共享通知等情境。Google表示，這項預設啟動的功能，可協助用戶更清楚辨識所處理的檔案，並降低外洩敏感資料及遭遇網路釣魚攻擊的風險。現在擴大支援範圍，涵蓋Android版與iOS版的Google雲端硬碟、Google文件、Google試算表與Google簡報，也延伸至電子郵件的評論通知與檔案共享的郵件通知。</p> <p><a href="https://www.ithome.com.tw/news/176277"><strong style="font-size: 22px;">Anthropic提出AI代理人零信任框架，因應AI加速攻擊風險</strong></a></p> <p>Anthropic發布AI代理人零信任安全框架，主張企業部署具自主操作能力的AI代理人時，應從一開始就以「預想遭駭」為前提，規畫整體系統與安全架構。Anthropic提出的AI代理人零信任安全框架依組織成熟度與風險承受能力分為3層，分別是基礎、企業與進階。基礎層級涵蓋短效存取權杖、具備密碼學驗證機制的代理人身分識別、以身分為核心的工作負載隔離，以及可自動執行初步事件分流的安全機制。</p> <p><a href="https://www.ithome.com.tw/news/176311"><strong style="font-size: 22px;">思科打造AI代理時代IT營運平臺，內建身分、政策與零信任防護</strong></a></p> <p>思科（Cisco）推出統一營運平臺Cisco Cloud Control，將旗下網路、資安、AI基礎架構、可觀測性與協作等產品能力，整合到單一操作介面。這項平臺也透過Cloud Control Studio串接第三方工具與既有IT環境，讓企業可在同一套介面中管理跨產品組合的維運工作。該平臺提供標準化API與MCP介面，並整合身分識別、政策控管、遙測資料與執行期間控管點；同時促使每項AI代理的行為透明、可被稽核（auditable）、能受到限制（bounded）、可被追溯（reversible），並且必須經過人類批准，降低AI代理直接操作企業環境可能帶來的風險。</p> <p><a href="https://www.ithome.com.tw/news/176334"><strong style="font-size: 22px;">川普簽署AI資安行政命令，要求業者自願提供前沿模型供政府測試</strong></a></p> <p>美國總統川普於6月2日簽署AI資安行政命令，要求聯邦政府建立前沿AI模型自願測試機制，最終版本已較白宮原先考慮的方案大幅縮減。這項行政命令正式名稱為《促進先進人工智慧創新與安全》（Promoting Advanced Artificial Intelligence Innovation and Security），重點包括成立AI資安資訊交換中心（AI Cybersecurity Clearinghouse），要求美國網路安全與基礎設施安全局（CISA）擴大AI資安工具與服務，建立「列管前沿模型」（Covered Frontier Model）認定標準。</p> <p><a href="https://www.ithome.com.tw/news/176333"><strong style="font-size: 22px;">微軟9月強化Entra ID自助式密碼重設，僅允許已註冊驗證方法</strong></a></p> <p>微軟預告，身分識別與存取管理服務Microsoft Entra ID的自助式密碼重設（Self-Service Password Reset，SSPR）流程，將自2026年9月7日起調整。企業使用者透過SSPR重設密碼並驗證身分時，僅能使用事先完成註冊的驗證方法。若手機號碼、公司電話或備用電子郵件僅存在於目錄屬性中，未正式註冊為驗證方法，政策生效後將無法再用於密碼重設。2026年7月6日起，系統將提醒受影響使用者與系統管理員註冊驗證方法；9月7日起正式強制執行。</p> <p><a href="https://www.ithome.com.tw/article/175242"><strong style="font-size: 22px;">【2026臺灣資安年鑑｜數位發展部部長林宜敬】從「資安蜜罐」到「民主供應鏈」，臺灣是自由民主世界資安前哨站</strong></a></p> <p>在2026年4月初，數位發展部部長林宜敬甫自美國舊金山RSA Conference（RSAC）資安會議返臺，帶回一股強烈的信念：臺灣資安產業的黃金時代，就在當下。「Taiwan is a honey pot of free world.（臺灣是自由世界的蜜罐）」。首創這句話的林宜敬表示，這是他對臺灣資安現況觀察的真實寫照。此次RSAC之旅臺灣的角色已悄然翻轉──在擁擠的展覽館裡，臺灣廠商告訴國際訪客「We are the expert of Chinese APT」，令現場人群立刻停下腳步關注。</p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/176332"><strong>【6月3日】紅帽NPM套件遭遇蠕蟲Miasma供應鏈攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176297"><strong>【6月2日】捷克參議院率團訪臺前夕，傳出中國駭客從事網路間諜活動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176267"><strong>【6月1日】偽冒FIFA世足的詐騙網域激增</strong></a></p> </div></div></div>
6/4 15:34作者周峻佑https://www.ithome.com.tw/news/176372
Computex首設開源臺灣館，向國際展現臺灣開源社群實力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>臺灣開源社群長期活躍於Linux、Kubernetes、Apache等國際專案，卻鮮少以臺灣整體生態系的名義出現在大型科技展。今年Computex電腦展中首度設立「開源臺灣館」，集結臺灣在地的開源社群能量組成臺灣隊，向國際來訪的參觀者展現臺灣開源社群的活力，而在AI時代下，開源技術與開源治理也逐漸成為產業關注焦點。</p> <p>當今年Computex展場充滿AI伺服器、資料中心基礎設施、大型語言模型、商業軟體解決方案相關展示時，在南港展覽2館中出現了一個與硬體產品截然不同的展區，首次設立的「開源臺灣館」（Open Source Team Taiwan）。</p> <p>相較於各家廠商展示新一代GPU、AI伺服器或企業AI平臺，這個展區展示的並非單一產品，匯聚長年參與國際開源專案的開發者、社群組織與企業技術團隊。對許多臺灣開源社群成員而言，這是很不一樣的地方，Computex提供了國際舞臺，集合臺灣的開源社群，對外展現臺灣的軟實力。</p> <p>臺灣擁有相當活躍的開源文化。從2000年代初期Linux社群興起，到2006年COSCUP開源人年會創立，臺灣逐漸形成完整的開源生態圈。多年來，不少臺灣工程師持續參與Linux Kernel、Apache、Kubernetes、OpenStack等國際專案，也有人擔任專案維護者（Maintainer）或核心貢獻者。</p> <p>但是相較於臺灣半導體產業在全球供應鏈中的高能見度，國內開源社群的貢獻往往分散在不同專案之中，外界較少意識到許多全球開源技術背後其實有臺灣開發者參與其中。</p> <p>因此，今年Computex首次出現開源臺灣館，某種程度上也象徵臺灣開源社群從幕後走向前臺。</p> <p>值得注意的是，這樣的轉變與近年AI發展趨勢密切相關。</p> <p>過去開源軟體經常被視為開發者文化的一部分，但是當雲端原生（Cloud Native）、Kubernetes、生成功能AI模型與AI開發框架快速普及，開源已經成為現代IT的重要基礎。從PyTorch、TensorFlow到近年的Llama、Mistral等開放模型，許多AI創新的基礎都建立在開源生態之上。</p> <p>也因此，企業關注的焦點不再只是是否使用開源軟體，而是如何參與開源專案、建立開源治理能力，以及在供應鏈中維持軟體安全。</p> <p>除了開源臺灣館，今年活動也邀請Apache Sofeware Foudation與Open SSF的開源社群領袖來臺演說、交流，涵蓋開源治理（Open Source Governance）、開源安全（Open Source Security）、軟硬體整合以及社群協作等議題。這些主題近年已逐漸成為企業IT部門關注的重點，尤其在《歐盟網路韌性法》（Cyber Resilience Act，CRA）等法規陸續上路後，企業對開源元件管理與軟體供應鏈安全的重視程度明顯提高。</p> <p>開源臺灣館展示了幾個在地開源社群參與開源專案的成果，或是由在地社群主導的開源專案，例如在地化AI發展成果，雲端及私有雲平臺、資料處理。</p> <p><span style="color:#B22222;"><strong>熟悉臺灣在地文化、語境的AI</strong></span></p> <p>目前國際上開源的大語言模型，雖然理解中文語意內容，但是多採用中文簡體內容訓練而成，因此對於臺灣使用的正體中文、臺灣的觀點並不完成理解，因此由國科會主導，中研院推動的臺灣在地大語言模型TAIDE，在今年2月釋出Gemma-3-TAIDE-12b-Chat-2602模型，TAIDE模型累積下載已達到24萬次，除了展示教育、醫療等應用，還包括政府公部門專用的G-TAIDE。TAIDE未來將朝多模態發展。</p> <p>另外，國內的資訊經理人協會(IMA)也展示Taiwan Tongues臺灣通用語料庫，目的在建立臺灣文化內容的資料集，目的在邀請文學作家提供作品內容授權，以建立可供國內外大型語言模型訓練使用的臺灣文學內容語料，提升國際大語言模型對臺灣用語文化的理解。</p> <p>另外，致力於推廣正體中文開源語言模型的社群Twinkle AI，目標為打造適合臺灣語境的大型語言模型（LLM），並讓模型可在手機、桌機甚至各種終端設備上執行。Twinkle AI現場還展示將AI接上政府開放資料，讓AI代理人可協助查詢政府標案、房價登錄等資料。</p> <p>社群成員Bobson Lin指出，過去一年團隊持續驗證大型語言模型能否在iPhone、Android等行動裝置執行，並推Littlestar的開源應用程式，作為模型部署與推論平臺。該專案已開源釋出，未來將會持續強化推論效能、多模型支援以及跨裝置運作能力。</p> <p>Twinkle AI目前採用GGUF格式模型與llama.cpp等開源推論框架，透過模型量化、記憶體優化與推論加速技術，使模型能在資源有限的終端設備運作。該團隊也正在開發新的推論架構與加速機制，希望能提升手機端的推論速度與使用體驗。</p> <p><img alt="" src="/sites/default/files/images/%E6%88%AA%E5%9C%96%202026-06-04%20%E4%B8%8B%E5%8D%884_27_32.jpeg" style="width: 600px; height: 348px;" /></p> <p>有鑑於AI向邊緣裝置發展的趨勢，Bobson Lin表示，許多個人資料原本就儲存在手機等終端設備中，若能直接在本地端完成推論，不僅可降低對雲端的依賴，也有助於提升隱私保護能力。</p> <p>此外，Twinkle AI也持續投入臺灣本地化模型訓練，希望模型能更理解臺灣的用語、文化與使用情境。未來除文字模型外，也將朝向語音、多模態模型發展，並以Ambient Intelligence環境智慧為其長期願景，希望AI能更自然地融入使用者周遭環境與日常生活。</p> <p><span style="color:#B22222;"><strong>打造企業級雲原生基礎架構平臺</strong></span></p> <p>除了推動AI的在地化發展，擴展臺灣在AI時代的能見度，企業級工具也是展出的另一項重點。</p> <p>例如Bigstack展示旗下開源專案CubeCOS，CubeCOS定位為企業級的雲原生基礎架構平臺，以協助企業簡化私有雲、邊緣運算與AI工作負載的部署與管理。</p> <p>Bigstack表示，許多企業雖然希望採用Kubernetes等雲原生技術，但實際導入時往往需要處理身分管理、儲存、網路、監控、維運等大量整合工作，門檻相當高。因此，CubeCOS希望將這些基礎能力整合成標準化平臺，讓企業能更容易建置自己的雲端環境。</p> <p>在技術架構上，CubeCOS建立於Kubernetes生態系上，扮演類似基礎作業平臺的角色，向上承載虛擬機、容器及各類應用服務，向下則整合不同硬體與基礎設施資源。</p> <p>該公司對於CubeCOS採取開源模式開發，相關功能會優先回饋至上游開源專案，因此維持開源社群與商業服務並行模式。商業版本與開源版本差異在於企業維運管理、整合工具與技術支援服務。</p> <p>該公司也提到，近年邊緣運算需求增加，加上企業對自主可控基礎架構的需求提升，使得開源雲原生平臺獲得更多關注。部分客戶已將CubeCOS應用於AI推論、醫療影像等需要在地部署的場景。</p> <p><span style="color:#B22222;"><strong>OpenSource4You把臺灣工程師帶進全球開源資料平臺生態系</strong></span></p> <p>而本地知名開源社群opensource4you也展示參與Apache Kafka、Airflow、Flyte、Ray等開源專案的成果，其中的分散式串流資料分析的Kafka為知名的開源專案，IBM曾以110億美元買下資料串流平臺台巨頭Confluent，Confluent創辦人即為Kafka開源專案原始共同創造者，該公司員工也是Kafka專案的核心與最大貢獻者，而opensource4you社群貢獻度約為Confluent的三分之一，為Kafka專案的主要工獻社群之一。</p> <p>在BI商業智慧洞察分析方面，為突破AI通用語義缺乏對企業的商業情境上下文理解限制，易開科技開發商業情境AI的WrenAI。</p> <p>易開科技軟體工程師、開源專案核心維護者陳品旭指出，企業導入AI Agent後，最大挑戰已不再是讓 AI 能夠存取資料庫，而是如何讓 AI 理解企業內部的商業語意與資料定義。他舉例，當使用者詢問「本季活躍客戶成長率」時，AI 雖然可以從資料表取得數據，卻未必知道企業如何定義活躍客戶、是否需排除試用帳號或內部帳號，以及季度計算方式等商業規則，因此容易產生看似合理卻不符合企業實際定義的答案。</p> <p>為解決這類問題，WrenAI提出Context Layer，希望在AI Agent與資料庫間建立可供機器理解的企業知識層，將商業術語、指標定義、資料使用規範、團隊慣例與歷史分析經驗等資訊結構化管理，讓AI不僅能查詢資料，還能理解資料背後的商業情境。他認為，過去企業建立的Semantic Layer要解決資料模型與指標定義問題，而在Agent時代，還需要進一步納入企業知識與商業脈絡，才能提升AI回答商業問題的準確度與可信度。</p> <p>陳品旭認為，隨著越來越多企業開始導入AI Agent查詢資料與產生分析結果，資料治理也從資料表管理延伸到知識治理（Knowledge Governance）。WrenAI透過開源方式發展 Context Layer 架構，讓企業能將原本散落在文件、會議紀錄、SQL腳本與員工經驗中的知識，轉換成可供AI存取與重複利用的上下文資訊，降低因AI錯誤理解的判斷風險。</p> <p><span style="color:#B22222;"><strong>中研院長期投入YOLO物件偵測技術研發</strong></span></p> <p>另外，中研院長期投入電腦視覺與深度學習應用領域長期，其中在YOLO物件偵測架構專案上，中研院是YOLOv4、v7、v9 的核心研發團隊之一。目前著重於模型輕量化、推論效率優化，以及在邊緣裝置上的部署可行性。</p> <p><img alt="" src="/sites/default/files/images/20260603_145302.jpeg" style="width: 300px; height: 400px;" /></p> <p>中研院現場展示即時影像分析場景，例如監控、交通辨識等智慧城市應用，或是在室內物件偵測的成果。中研院持續將YOLO相關技術與本地產業及開源生態接軌，推動從研究模型走向實際應用系統的轉譯，例如結合嵌入式運算平台與AI推論加速框架，使即時物件偵測能在低功耗設備上穩定運行。</p> <p><strong><span style="color:#B22222;">全球首個5G核網開源專案free5GC</span></strong></p> <p>陽明交大資工系教授陳健介紹全球第一套開源的5G核網專案free5GC，其原本的核心目標是建立一套開源5G核心網路實驗平臺，讓研究與產業不再只能依賴昂貴且封閉的商用系統。free5GC是以3GPP Release 15標準為基礎，提供完整的5G Core（5GC核網）實作，讓研究人員能直接在平台上進行網路功能驗證、協定測試與PoC開發，縮短從學術研究到實際應用的距離。</p> <p><img alt="" src="/sites/default/files/images/20260603_143210.jpeg" style="width: 600px; height: 450px;" /></p> <p>在產業與應用驗證方面，free5GC成為企業建立5G專網或進行PoC測試的重要工具。企業可利用開源架構來模擬真實電信網路環境，進行如智慧工廠、車聯網、邊緣運算等應用測試，以降低導入前的試錯成本。同時，由於其開放特性，也便於與SDN、雲原生平臺整合，加速網路功能虛擬化（NFV）與雲端化部署。</p> <p>在生態系價值上，free5GC透過開源社群，累積大量來自學界與產業的修補與功能擴充，使其不只是單一研究成果，而逐漸成為5G核心網路開源基礎設施。這也讓使用者能在一致的平台上進行標準對齊、互通性測試與創新實驗，提升整體5G技術發展的協作效率與速度。</p> <p>陳健強調free5GC的價值不僅在於可用的開源核心網路，更是打造一個可持續演進的研究與產業協作基礎。透過開放原始碼與社群共創，目前free5GC已被用於智慧工廠、智慧醫療、車聯網與專網（private 5G）等場景驗證，並且也朝向下一代行網路6G研究的重要基礎設施之一，使臺灣在核心網路技術上從過去較少著力的領域，轉向具全球影響力的開源平臺貢獻者。</p> <p><span style="color:#B22222;"><strong>Ai輔助IC設計，縮短迭代設計時間</strong></span></p> <p>台大團隊的陳祈介紹SiliconMind-V1，主軸聚焦於將AI導入IC設計流程中的自動化與推理能力，特別針對晶片設計週期長、驗證成本高的痛點提出解法。他指出，傳統 IC 設計流程有高達6至7成時間耗費在設計驗證與除錯，而SiliconMind-V1透過多代理蒸餾（multi-agent distillation）與debug推理流程，讓模型能同時具備「生成設計」與「自我測試與修正」能力，縮短設計迭代時間。</p> <p><img alt="" src="/sites/default/files/images/20260603_150210.jpeg" style="width: 600px; height: 450px;" /></p> <p>SiliconMind-V1採取開源策略，強調可在本地端或企業內部環境部署，降低對雲端AI與敏感設計資料外流的依賴。在實測結果上，該模型在使用更少訓練資料與顯著較低的算力情況下，仍能在特定IC設計任務上超越部分的既有模型表現，並透過與多模態工具鏈整合，進一步強化從規格理解到RTL生成的完整流程，展現AI在半導體設計自動化上的潛力。</p> <p>相較於過去電腦展展示產品，今年Computex電腦展中設立開源臺灣館，集合15件臺灣的開源社群參與及主導的開源專案成果，透過電腦展的國際舞臺，讓外界也能看到默默付出的臺灣開源社群活力及貢獻，此外，也在AI時代基礎技術建設，從模型、資料內容到雲原生基礎架構，都能看到臺灣開發者的身影。</p> </div></div></div>
6/4 16:35作者蘇文彬https://www.ithome.com.tw/news/176374
導入Caliptra 2.x安全架構，信驊於Computex 2026積極展現晶片級資安布局，PQC支援亦成焦點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>硬體安全持續成焦點，以伺服器管理晶片BMC產品聞名全球的臺股股王信驊科技，在本週舉行的Computex展示以Caliptra安全架構為核心的產品布局。Caliptra是由OCP（Open Compute Project）主導的開源硬體信任根標準，信驊這次展出的多款新一代產品，也使其成為全球首家將Caliptra 2.x版本整合至晶片的廠商，宣示資安防禦已從軟體層全面深化至晶片層，該公司並預期，未來有更多廠商也會跟進，進一步加速硬體安全的演進。</p> <p>在Caliptra 2.x版本的導入下，信驊新款晶片透過整合的PUF技術，於生產階段賦予每顆IC獨一無二的身分識別碼，之後即可經由HSM硬體安全模組簽署生成憑證，隨後燒錄至晶片組內的OTP（One-Time Programmable）記憶體中，使其成為不可變更且不可置換的唯一身分證明。而且，新版本亦全面支援<a href="https://www.ithome.com.tw/tags/pqc?page=3">後量子密碼學（PQC）</a>，確保伺服器韌體在未來量子運算時代，仍能防範韌體遭竄改。</p> <p>信驊科技雲端產品業務處副總經理關超成表示，這次展出有3大焦點，分別是衛星管理控制器晶片（SMC）AST1040、SMC+eFPGA輔助管理晶片AST1840 ，以及平臺信任根晶片（PRoT）AST1080，它們都將內建Caliptra 2.x版本的安全架構，透過硬體層級安全機制提供韌體保護與實體防篡改能力，同時支援PQC演算法。</p> <p>關超成進一步解釋，先前信驊產品如AST2700系列已採用Caliptra 1.2版，但1.2版與2.x版最大的差異，在於對PQC演算法的完整支援。具體而言，Caliptra 1.2版僅支援LMS演算法，而升級至2.x版後，則全面支援ML-KEM（FIPS 203）與ML-DSA（FIPS 204）等符合NIST標準的演算法。</p> <p>至於為何標註為Caliptra 2.x版，是因為Caliptra 2.1版在去年底正式推出，而Caliptra 2.2版預計於明年發布，信驊新款IC將視量產時程而更新版本。</p> <p><img alt="" src="/sites/default/files/images/PXL_20260603_061338424.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>Caliptra 2.x版不僅支援LMS，更是新支援NIST最新PQC演算法標準，包括ML-KEM（FIPS 203）與ML-DSA（FIPS 204）。</strong></span></p> <p><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E8%82%A1%E7%8E%8B%E4%BF%A1%E9%A9%8A%E5%9C%A8Computex%E4%BB%A5Caliptra%E8%88%87%E8%B3%87%E5%AE%89%E7%82%BA%E5%B1%95%E7%A4%BA%E4%B8%BB%E8%BB%B8.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>根據信驊現場人員說明，這次展出以Caliptra安全架構為核心，包括2024年Computex發表的<a href="https://www.ithome.com.tw/tech/164954">第八代遠端伺服器管理晶片AST2700</a>，以及這次展出的重點產品AST1040 SMC、AST1840 SMC+eFPGA輔助管理晶片，以及AST1080平臺信任根晶片，均已全面導入Caliptra 2.X版本，以因應資料中心對資安更為嚴苛的要求。</strong></span></p> <p>這些新一代晶片還有哪些特色？關超成指出，隨著日益興起的AI高密度運算架構，單一機櫃內的節點數量大幅增加，傳統單節點管理已難以負荷。因此信驊推出多節點管理架構。例如，由BMC協同AST1040與AST1840等SMC管理控制器，實現一對多管理。</p> <p>以AST1040為例，可透過支援OBMF ICP over USB標準來進行多節點管理。當中的OBMF，是開源啟動與管理框架（Open Boot and Management Framework）的簡稱，信驊表示，這是OCP從2025年開始推廣的重點規格。</p> <p><img alt="" src="/sites/default/files/images/PXL_20260603_054205979.jpg" style="width: 600px;" /></p> <p>另一款是首次公開亮相的AST1840輔助管理晶片。信驊表示，繼去年發表將AST1700與Lattice的FPGA組成ASIC的整合型架構，後續考量資安需求，FPGA雖可獨立啟動，但其過程缺乏額外的驗證，因此與CSP客戶討論出新方案，更進一步將Caliptra的RISC-V核心結合於ASIC中。換言之，在AST1840啟動時，韌體會先驗證FPGA韌體，等到完成通過身分驗證的程序，才執行後續動作。此外，AST1840亦承襲AST1040的管理、監控與安全功能。</p> <p><a href="/sites/default/files/images/PXL_20260603_054216561.jpg"><img alt="" src="/sites/default/files/images/PXL_20260603_054216561.jpg" style="width: 600px;" /></a></p> <p>至於AST1080，是<a href="https://www.ithome.com.tw/news/157530">AST1060</a>的下一代產品，最大特色是支援分散式管理工作小組（DMTF）定義的SPDM與PLDM標準協定。一般而言，SPDM協定負責硬體安全與身分驗證，PLDM協定則用於硬體管理與資料交換。同時，AST1080也延續上一代功能，相容NIST 800-193安全標準，並可運行OCP OpenPRoT開源工作小組所開發的軟體套件，為伺服器平臺提供更嚴密的信任根防護。</p> <p><img alt="" src="/sites/default/files/images/PXL_20260603_054535026.jpg" style="width: 600px;" /></p> </div></div></div>
6/4 17:18作者羅正漢https://www.ithome.com.tw/news/176369
Meta升級AI客服機器人為Business Agent，擴大支援Instagram商家
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Meta週三（6/3）在倫敦舉行的Conversations 2026大會上宣布，<a href="https://about.fb.com/news/2026/06/meta-business-agent/" target="_blank">將原本用於WhatsApp與Messenger的AI客服機器人Business AI升級為Meta Business Agent</a>，並進一步擴大支援Instagram商家。這是Meta專為企業打造的人工智慧（AI）代理人（Agent）服務，可在WhatsApp、Instagram及Messenger上自動回覆顧客訊息，並協助企業處理客服、商品推薦、預約安排、潛在客戶篩選與銷售等工作。</p> <p>Business Agent的前身可追溯至Meta於2024年10月推出的Business AI免費測試版，當時先在印度、墨西哥等部分市場開放測試。Meta表示，目前已有超過100萬家企業透過WhatsApp與Messenger使用這項企業AI客服服務，全天候回應顧客需求。該服務可協助商家回覆顧客詢問、推薦商品、安排預約、篩選銷售線索，並在必要時轉交真人客服。</p> <p>相較於原本偏重客服回覆的Business AI，Business Agent此次除了擴大支援Instagram商家之外，也進一步強化銷售與營運能力。除了回答顧客問題、推薦商品及安排預約外，還可協助篩選銷售線索、完成交易，並將對話內容整理成晨間簡報，協助商家掌握夜間錯過的訊息與顧客需求。Meta表示，未來還將加入市場研究、商品洞察、行事曆管理及競爭情報分析等功能。</p> <p><a href="https://www.cnbc.com/2026/06/03/meta-business-agent-is-zuckerberg-latest-effort-to-diversify-from-ads.html" target="_blank">CNBC引用Meta執行長Mark Zuckerberg的說法指出</a>，Business Agent可讓各種規模的企業都擁有AI代理人，協助與顧客對話並處理營運工作。不管是伯明翰的服裝店還是聖保羅的麵包店，都能藉此提供大型品牌才有能力負擔的全天候個人化服務。隨著模型不斷進步，AI代理人將承擔更多工作，最終甚至協助企業經營整個業務。</p> <p>Meta也同步推出Meta Business Agent Platform，讓企業能建立、客製化及大規模部署AI代理人。該平臺可連接Shopify、Zendesk及Shopee等外部系統，使Business Agent能存取企業資料並執行更多任務。Meta表示，平臺內建企業級管理與安全機制，讓大型企業可依需求設定規則及管理AI代理人的運作方式。</p> <p>Business Agent目前正擴大開放給全球各種規模的企業使用，可支援WhatsApp、Instagram，以及透過Messenger與顧客互動的企業，初期使用無須付費，但Meta預計會在未來數個月推出付費訂閱方案。</p> </div></div></div>
6/4 15:32作者陳曉莉https://www.ithome.com.tw/news/176371
惡意軟體租用服務WeedHack提供買家免費試用，已成為青少年對Minecraft玩家竊取財務、霸凌的工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安公司McAfee揭露<strong><a href="https://www.ithome.com.tw/news/176362">針對Minecraft玩家的惡意軟體WeedHack</a></strong>，網路罪犯採用租用模式（Malware-as-a-Service）經營，不過有別於其他提供惡意軟體租用的服務，每個月費用需要數百美元，<strong><a href="https://www.mcafee.com/blogs/other-blogs/mcafee-labs/weedhack-minecraft-malware-as-a-service-campaign-research/">McAfee指出</a></strong>，任何人只要有Discord帳號與網路連線，就能免費使用WeedHack，竊取玩家的帳密資料及挾持帳號，若是一個月支付5美元（24.99美元可取得進階功能的終身使用權）的買家，還能進一步即時存取受害者的電腦螢幕畫面、視訊鏡頭，以及檔案。這種極低的門檻，吸引年輕族群上門，McAfee發現，買家不僅利用WeedHack獲得經濟利益，還進一步騷擾和霸凌同儕。</p> <p>從功能上來看，免費版本的WeedHack偏向竊資軟體（Infostealer），而付費版本具備後門程式的能力。McAfee監控駭客經營的Telegram頻道發現，該頻道有超過850名成員，且大部分是青少年或是剛成年的年輕人，值得留意的是，其中有不少人的目的並非經濟利益，而是為了騷擾和恐嚇其他Minecraft玩家。該公司看到攻擊者透過電腦的網路攝影機錄製受害者的影片，並在Telegram頻道分享，也有人利用受害者的IP位址與系統存取權限，威脅受害者。</p> <p>針對這項發現，<strong><a href="https://www.mcafee.com/blogs/security-news/minecraft-malware-campaign-research-teen-hacker-cyberbullying/">McAfee提醒家長</a></strong>，假若有人聲稱入侵小孩的電腦、擁有網路攝影機畫面，或是掌握電腦的IP位址，請務必認真看待；而對於玩家的部分，McAfee呼籲要立刻告訴家長、監護人、或學校輔導人員等值得信賴的大人，並聯絡當地執法機關，切勿與攻擊者互動，或是聽從攻擊者的指示。</p> </div></div></div>
6/4 15:39作者周峻佑https://www.ithome.com.tw/news/176370
Google公布可在筆電執行的AI模型Gemma 4 12B
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://blog.google/innovation-and-ai/technology/developers-tools/introducing-gemma-4-12b/" target="_blank">Google週三（6/2）公布</a>整合式無編碼器（encoder-free）多模態模型Gemma 4 12B，主打能在筆電上執行，具有多模態及推理能力不輸26B版本，但記憶體不到一半。</p> <p>Gemma 4 12B是4月公布的<a href="https://www.ithome.com.tw/news/174868" target="_blank">Gemma 4家族</a>的最新成員。之前模型Effective 2B（E2B）、Effective 4B（E4B）、26B Mixture of Experts（MoE）及31B Dense版本分別適合執行在邊緣裝置及工作站上，最新模型則為120億參數，專門設計跑在普通筆記型電腦（Everyday Laptops）上，填補了之前模型運算平臺的空缺，實現本機端代理人（Agent）及多模態推理工作流程。12B比E2B/E4B更聰明、推理與寫程式能力更強，又比26B/31B更輕量，不需要高規格桌機顯卡或雲端伺服器。</p> <p><a href="https://blog.google/innovation-and-ai/technology/developers-tools/introducing-gemma-4-12B/" target="_blank">Google說明</a>，Gemma 4 12B技術上最大的創新是「無編碼器」統一架構（Encoder-Free Architecture）。Google移除了多模態編碼器，改用極輕量化的嵌入模組，視覺與音訊輸入可直接進入LLM骨幹。由於架構極度精簡，大幅降低記憶體佔用。此外它加入MTP（multi-token prediction）drafter來降低延遲性。</p> <p>綜合這些新功能，12B得以在輕量模型中具備多模態、及多步驟推理及自主修正能力。在標竿測試中12B表現接近Gemma 4 26B MoE模型，但總記憶體大小不到一半。這也使得它夠輕巧，足以執行在16GB RAM的消費者筆電上，支援複雜的代理式工作流程。</p> <p>在標竿測試中，12B的推理、數學（AIME）和程式碼能力，皆超越參數大一倍以上的上一代Gemma 3 27B。而在考驗邏輯思考的GPQA和AIME測試中，Gemma 4 12B不僅超越同量級的Llama 3 8B，甚至超越了體積大6倍的Llama 3 70B。</p> <p>現在Gemma 4 12B已經以對開發人員最友善的Apache 2.0授權公開。開發人員可以透過Google AI Edge Gallery App（macOS版）、Google AI Edge Eloquent（macOS版）及LiteRT-LM CLI，以及LM Studio和Ollama等開源工具搭配測試Gemma 4 12B，或是從<a href="https://huggingface.co/collections/google/gemma-4" target="_blank">Hugging Face</a>和<a href="https://www.kaggle.com/models/google/gemma-4" target="_blank">Kaggle</a>下載預訓練及指令微調過的版本。</p> </div></div></div>
6/4 13:23作者林妍溱https://www.ithome.com.tw/news/176366
WordPress惡意軟體感染近2,000個網站，駭客濫用Steam平臺建立C2通訊管道
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>為了隱匿攻擊活動，駭客濫用合法雲端服務建立C2通訊的情況極為氾濫，然而最近有一起相當不尋常的活動引起資安研究人員的注意，因為遊戲平臺提供的功能也遭到利用。</p> <p>網站代管平臺GoDaddy資安團隊上週公布<a href="http://www.godaddy.com/resources/news/malware-targeting-wordpress-abuses-steam-community-profiles">鎖定WordPress網站的惡意軟體活動</a>，駭客利用Steam社群的個人資料（profile）留言區嵌入C2資料，將惡意基礎設施隱藏在Valve合法的平臺之中。該公司最早於2025年7月偵測到相關活動，迄今約有1,980個WordPress網站被植入惡意軟體。</p> <p>此惡意程式具備兩個主要功能，其中一個是從Steam個人資料的留言區擷取經編碼處理的URL，將其解開並把外部的JavaScript指令碼注入WordPress網頁；另一個是利用網頁存取POST請求中的身分驗證cookie內容，形成後門，藉此得以遠端修改網頁程式碼，讓攻擊者能藉由外掛程式與佈景主題竄改PHP檔案。值得留意的是，駭客為了避免他人察覺異狀，利用6個人眼無法看見的Unicode字元來隱藏留言區的酬載，使得傳統的文字偵測方法無法察覺。</p> </div></div></div>
6/4 13:27作者周峻佑https://www.ithome.com.tw/news/176357
WordPress熱門外掛Kirki爆權限提升漏洞，未登入攻擊者可劫持管理員帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安業者Wordfence揭露，WordPress外掛Kirki含有一項未經身分驗證即可利用的權限提升漏洞<strong><a href="https://www.wordfence.com/blog/2026/06/unauthenticated-privilege-escalation-vulnerability-patched-in-kirki-wordpress-plugin/">CVE-2026-8206</a></strong>，CVSS分數為9.8，影響6.0.0至6.0.6版。攻擊者不必登入網站，就可能透過外掛的密碼重設功能，讓任意已註冊使用者帳號的密碼重設連結，寄到攻擊者控制的電子郵件信箱，進而接管管理員帳號。</p> <p>Kirki是一款用於頁面、網站建置與WordPress自訂器功能強化的外掛。<strong><a href="https://wordpress.org/plugins/kirki/advanced/">WordPress.org外掛頁面顯示</a></strong>，Kirki活躍安裝數超過50萬。由於該漏洞是在Kirki 6.0主要版本引入，Wordfence在6月1日估計約15萬個網站使用受影響版本。</p> <p>CVE-2026-8206漏洞出現在Kirki前端帳號管理功能中的忘記密碼流程。該外掛透過自訂REST API端點處理密碼重設請求，相關函式會接收使用者名稱與電子郵件參數。正常情況下，系統應依使用者名稱找到對應帳號，再將重設連結寄到該帳號原本登錄的電子郵件信箱。</p> <p>但在受影響版本中，要是請求提供使用者名稱，外掛會先找到目標帳號並產生有效的密碼重設金鑰，卻仍將含有重設連結的郵件寄到請求中提供的電子郵件地址。攻擊者因此可指定高權限帳號名稱，同時填入自己控制的信箱，以取得該帳號的密碼重設連結。</p> <p>攻擊者一旦重設管理員帳號密碼，就可能取得網站後臺控制權。研究人員指出，管理員帳號遭接管後，攻擊者可能修改網站內容、安裝惡意外掛、建立新的管理員帳號，或植入Web shell以維持後續存取。</p> <p>Wordfence指出，CVE-2026-8206已在Kirki 6.0.7修補。截至6月4日，WordPress.org外掛頁面顯示Kirki最新版為6.0.9，受影響網站應升級至6.0.7或更新版本。</p> </div></div></div>
6/4 13:30作者李建興https://www.ithome.com.tw/news/176358
Minecraft玩家遭惡意軟體WeedHack鎖定，逾11萬臺設備被感染
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>近年來遊戲玩家不斷成為駭客鎖定的目標，如今有人專門打造惡意軟體租用服務（Malware-as-a-Service），探供買家對特定遊戲的玩家發動攻擊。</p> <p>資安公司McAfee揭露惡意軟體租用服務<strong><a href="https://www.mcafee.com/blogs/security-news/minecraft-malware-campaign-research-teen-hacker-cyberbullying/">WeedHack</a></strong>，該平臺從今年1月開始出現，專門針對Minecraft玩家，迄今已確認有116,464臺電腦受害，而且遭感染的電腦數量每天會增加2千至3千臺。一旦遭到感染，攻擊者可竊取帳密資料並挾持Discord、Minecraft帳號，洗劫加密貨幣資產，甚至進一步即時存取受害者的視訊鏡頭、螢幕畫面，以及電腦存放的檔案。（在受害規模的部分，McAfee在<strong><a href="https://www.mcafee.com/blogs/other-blogs/mcafee-labs/weedhack-minecraft-malware-as-a-service-campaign-research/">另一篇較為詳細的調查裡</a></strong>用了完全不同的單位「hits」。）</p> <p>駭客接觸受害者主要有兩種管道，一種是假的YouTube影片，另一個是使用仿造Minecraft模組的網頁，並透過搜尋引擎最佳化中毒（SEO Poisoning）來引誘玩家上當。</p> </div></div></div>
6/4 13:31作者周峻佑https://www.ithome.com.tw/news/176362
Perplexity AI發表混合式本地伺服器推論技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.perplexity.ai/hub/blog/the-data-center-moves-to-your-machine" target="_blank">Perplexity AI本週在Computex 2026展示</a>混合式本地伺服器推論協調器（hybrid local-server inference orchestrator），能視AI運算需求及資源考量，自動將推論任務分配到雲端或本地端執行，預計7月將整合到Personal Computer方案。</p> <p>Perplexity執行長Aravind Srinivas於6月2日在臺北舉行的Computex 2026大會上與英特爾執行長陳立武一同登臺，宣布首款「混合本地-伺服器推論協調器」概念。</p> <p>這項技術是Perplexity AI所謂的混合式代理推論（hybrid agentic inference）的實作。該公司表示，部署AI系統需在準確性、隱私、成本三種要求間取得平衡。準確性需要最強大的模型，但這類模型往往在雲端平臺。對用戶而言，對雲端模型發送呼叫費用高昂，還有隱私疑慮。此外，有的任務較簡單，基於成本和節能考量，在本地機器上執行小型模型就能解決。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0604-intel%20perplexity-600.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源/英特爾</span></span></p> <p>本功能預計將於7月加入Perplexity Computer，本週已在Intel Core Ultra Series 3處理器平臺上展示，目前僅在Windows PC應用程式提供。</p> <p>Perplexity AI指出，這項方案相當適合執行敏感資訊，但需要龐大AI分析的應用，包括財務紀錄、健康資訊和個人資料。由於大部份真實世界任務都是混合型，Personal Computer能將單一任務切分成數個部份，並思考哪些工作應執行在本地機器上，哪些工作應該交由雲端代理人處理，然後自動把各部份分別送到對的地方。而且Perplexity強調，不像其他AI工具要使用者決定放在雲端或本機，Personal Computer會自行決定，而且每個任務都不相同。</p> <p>雖然Perplexity本週和英特爾公布混合推理方案，但Perplexity表示，Personal Computer同一款硬體中立的軟體框架也可在其他本地晶片平臺上運行，包括Nvidia的RTX Spark。</p> </div></div></div>
6/4 13:48作者林妍溱https://www.ithome.com.tw/news/176367
歐盟發表科技主權方案，強化數位自主能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_26_1187" target="_blank">歐盟執委會（European Commission，EC）週三（6/3）公布「歐洲科技主權方案」</a>（European Technological Sovereignty Package），提出涵蓋半導體、人工智慧（AI）、雲端運算與開源軟體的多項政策與法案，希望提升歐洲數位自主能力，降低關鍵技術受制於外部供應商的風險。外界普遍認為，這項方案也反映歐盟試圖強化本土科技產業競爭力，並爭取更大的數位政策主導權。</p> <p>歐盟執委會主席Ursula von der Leyen表示，歐洲不能依賴他國提供維持醫院運作、電網穩定與公共服務安全所需的關鍵技術。她強調，科技主權不只是產業政策，更關係到歐洲保護公民、維護利益及自主決策的能力。</p> <p>此次方案包含《晶片法案2.0》（Chips Act 2.0）、《雲端與AI發展法案》（Cloud and AI Development Act）、《開源策略》（Open Source Strategy）以及《能源領域數位化與AI戰略路線圖》（Strategic Roadmap for Digitalisation and AI in Energy）等措施。</p> <p>其中，《雲端與AI發展法案》為整體方案核心。歐盟希望在未來5至7年間將資料中心容量提升至目前的3倍，並建立統一的雲端與AI主權評估框架，以保護敏感資料與關鍵應用，同時推動AI技術在各會員國的部署與採用。</p> <p>在半導體方面，歐盟將透過《晶片法案2.0》強化先進晶片製造能力、加速投資與審批流程，並推動與資料中心、雲端服務及AI Gigafactory等產業的合作。歐盟指出，AI相關元件預計到2030年將占全球半導體市場超過7成，因此建立自主供應能力已成為重要戰略目標。</p> <p><a href="https://www.politico.eu/article/eu-plots-long-game-against-us-digital-supremacy/" target="_blank">根據Politico的報導</a>，歐盟國家每年在美國科技產品與服務上的支出高達2,640億歐元，而雲端市場主要由微軟、Google及Amazon主導。雖然歐盟官方並未將新方案描述為針對美國企業，但相關措施反映出歐洲希望降低對美國科技基礎設施依賴的長期趨勢。</p> <p>相關法案後續仍須由歐洲議會（European Parliament）及歐盟理事會（Council of the European Union）審議。歐盟也預計於7月啟動AI超級工廠（AI Gigafactory）徵案計畫，並研究建立新的投資機制，以支援歐洲科技產業發展。</p> </div></div></div>
6/4 13:58作者陳曉莉https://www.ithome.com.tw/news/176368
Let's Encrypt規畫2027年建立後量子憑證架構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>免費憑證簽發機構<strong><a href="https://letsencrypt.org/2026/06/03/pq-certs">Let's Encrypt規畫</a></strong>以MTC（Merkle Tree Certificates），作為Web PKI導入後量子身分驗證的主要方案，目標是在2026年稍晚建立可簽發MTC的測試環境，並在2027年建立可供生產使用的環境。該計畫不會立即改變現有Let's Encrypt憑證的申請與續期流程，但顯示Web PKI後量子憑證開始進入具體工程規畫階段。</p> <p>官方說明，後量子密碼強化近年多半先著重加密與金鑰交換，因為攻擊者可能先蒐集今日加密流量，等量子電腦足以破解既有演算法後再解密。不過，TLS中的身分驗證也需要提早準備，尤其是根憑證機構金鑰、程式碼簽章金鑰與身分系統使用的長期金鑰，一旦之後面臨量子電腦威脅，影響範圍將比一般短期憑證更大。</p> <p>Let's Encrypt並非單純把既有X.509憑證改用後量子簽章，因為後量子簽章與公開金鑰體積明顯較大，直接替換目前Web PKI常用的RSA或ECDSA簽章，TLS交握需要傳送的驗證資料會大幅增加。Let's Encrypt指出，以ML-DSA-44為例，簽章約2,420位元組，公開金鑰約1,312位元組，高於RSA-2048與ECDSA-P256。典型Web PKI交握要是全面替換為ML-DSA，單次TLS交握資料量可能超過10KB，將影響連線成功率與延遲。</p> <p>MTC的作法是把憑證批次放進雜湊樹（Merkle Tree），由單一簽章涵蓋整批憑證。瀏覽器會在TLS交握之外另外維持稱為Landmarks的批次簽章資訊，在一般情況下，MTC交握中的身分驗證路徑只需要一個簽章、一個公開金鑰與一個納入證明。Let's Encrypt認為，該設計可在使用後量子演算法的同時，降低憑證驗證資料對TLS交握的負擔。</p> <p>MTC也會改變憑證透明度的實作方式，現行Certificate Transparency是在憑證簽發流程之外，另行將憑證或預憑證送交透明度紀錄，並透過額外簽章證明讓瀏覽器確認憑證已被記錄。MTC則讓每張憑證本身成為Merkle Tree的一部分，憑證透明度會被納入簽發流程。Let's Encrypt表示，這與該組織多年營運Certificate Transparency紀錄服務的經驗有關，因為CT紀錄服務本身也使用附加式Merkle Tree。</p> <p>導入MTC需要調整簽發基礎架構、ACME協定、撤銷與營運工具，以及原本由透明度紀錄承擔的相關基礎設施。Let's Encrypt提到，現有憑證目前不受影響，仍會照常簽發與續期，但ACME客戶端維護者，以及仰賴ACME建立憑證自動化工作管線的團隊，應開始關注PLANTS工作小組與MTC相關討論，因為後續部分變更將需要客戶端支援。</p> </div></div></div>
6/4 14:09作者李建興https://www.ithome.com.tw/news/176364
4年前的Linux核心漏洞已遭利用，恐被用於供應鏈攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>6月2日美國網路安全與基礎設施安全局（CISA）警告，幾年前揭露的Linux核心權限提升漏洞CVE-2022-0492<strong><a href="https://www.cisa.gov/news-events/alerts/2026/06/02/cisa-adds-two-known-exploited-vulnerabilities-catalog">已遭到積極利用</a></strong>，，他們將其納入已遭利用漏洞名單（KEV），要求聯邦機構<strong><a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-0492">於6月5日前</a></strong>完成修補。由於上個月有多名研究人員與資安公司揭露Linux核心權限提升漏洞，使得CVE-2022-0492被利用的最新消息，也相當引人關注。</p> <p>CVE-2022-0492<strong><a href="https://www.openwall.com/lists/oss-security/2022/02/04/1">在2022年2月</a>首度</strong>揭露，為權限提升漏洞，存在於cgroups v1 release_agent的功能，攻擊者在特定情況下，可用於提升權限並繞過名稱空間（namespace）隔離機制，<strong><a href="https://nvd.nist.gov/vuln/detail/cve-2022-0492">CVSS風險評分為7.8</a></strong>，根據3年前<strong><a href="https://www.hackthebox.com/blog/cve-2022-04920-carpe-diem-explained">資安公司Hack The Box公布的分析結果</a></strong>，該漏洞也能被用於容器逃逸，而且攻擊者無需取得特定的授權就能利用。巧合的是，在CISA將此漏洞納入KEV之前，<strong><a href="http://securelist.com/container-attack-vectors/120010/">在卡巴斯基本週揭露的容器用於供應鏈攻擊初期管道研究</a></strong>，CVE-2022-0492剛好是其中一個被提到遭利用的漏洞。</p> </div></div></div>
6/4 12:42作者周峻佑https://www.ithome.com.tw/news/176353
SpaceX敲定每股135美元IPO價格，預計下週登上那斯達克
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.sec.gov/Archives/edgar/data/1181412/000162828026040364/spaceexplorationtechnologib.htm" target="_blank">根據SpaceX週三（6/3）公開的招股文件</a>，該公司已將首次公開募股（IPO）發行價格定為每股135美元，預計最快6月12日於那斯達克（Nasdaq）掛牌，股票代號為SPCX。SpaceX本次將發行約5.56億股A類普通股，募資規模約750億美元，以發行價計算，公司估值約達1.75兆美元。</p> <p>SpaceX成立於2002年，總部位於美國德州，由共同創辦人兼執行長Elon Musk創立，主要業務涵蓋火箭發射、衛星通訊與太空運輸服務。近年來，Starlink衛星網路已成為公司最主要營收來源，而Starship重型火箭計畫則持續投入大量研發資金。</p> <p>招股文件顯示，SpaceX去年營收達186.7億美元，較前一年成長33%，但仍淨虧損49.4億美元。公司表示，本次IPO募集資金將用於支持火箭、衛星網路及人工智慧（AI）等業務發展。</p> <p>此次IPO採全數增資發行（All-primary Offering），募集資金將全數流入公司，而非由現有股東出售持股套現。市場分析認為，此舉反映SpaceX仍處於積極擴張階段，需要持續投入資金以支應基礎設施建設與新產品開發。</p> <p>由於SpaceX採雙重股權架構，A類股每股擁有1票表決權，B類股則擁有10票表決權。IPO完成後，共同創辦人Elon Musk仍將掌握約82.4%的公司表決權，可控制股東表決結果及董事會多數席次。</p> <p>市場普遍認為，SpaceX上市將成為近年全球最具指標性的科技IPO之一，也反映投資人對太空產業及衛星網路市場的高度期待。隨著Starlink持續擴大全球服務規模，以及Starship推進商業化部署，未來營收成長與獲利能力將成為市場關注焦點。</p> </div></div></div>
6/4 13:16作者陳曉莉https://www.ithome.com.tw/news/176365
美國政府證實Magento快取外掛Mirasvit Cache Warmer重大漏洞已遭利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>上週資安公司Sansec提出警告，Magento網頁快取外掛程式Mirasvit Cache Warmer<strong><a href="https://www.ithome.com.tw/news/176288">存在重大漏洞CVE-2026-45247</a></strong>，攻擊者在未經身分驗證的情況下，可在PHP物件進行注入，CVSS風險評為9.8分，用戶應儘速更新因應。本週美國網路安全與基礎設施安全局（CISA）指出，他們已掌握漏洞遭積極利用的證據。</p> <p>6月3日CISA將上述漏洞<strong><a href="https://www.cisa.gov/news-events/alerts/2026/06/03/cisa-adds-one-known-exploited-vulnerability-catalog">加入已遭利用的漏洞名單（KEV）</a></strong>，要求聯邦機構<strong><a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search=CVE-2026-45247&field_date_added_wrapper=all&field_cve=&sort_by=field_date_added&items_per_page=20&url=">必須在6月6日前完成修補</a></strong>。而對於該漏洞是否被用於勒索軟體攻擊？CISA表示不清楚。</p> </div></div></div>
6/4 10:31作者周峻佑https://www.ithome.com.tw/news/176350
老舊系統威脅持續惡化，歐洲逾半數工業組織的資安事件涉及舊版Windows系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>工業環境中的老舊系統（Legacy Systems）風險持續成焦點，TXOne Networks近期<a href="https://www.txone.com/security-reports/europe-ot-legacy-systems-report-2026/">針對歐洲揭露其2026年度OT資安報告研究細節</a>，解析當地工業領域面臨的挑戰。報告指出，過去一年有超過半數（51%）的歐洲工業組織，曾經歷涉及老舊Windows系統的資安事件，這項數據相較於2025年的43%有明顯增長。值得注意的是，約25%受訪者表示相關資安事故在一年內發生不只一次，反映出舊系統漏洞已成為駭客眼中持續且活躍的攻擊面。</p> <p>從地區分布來看，瑞典災情最為嚴峻，高達72%受訪者表示曾發生相關事故，波蘭與英國也分別出現68％與64％的高比例。若以產業別分析，食品與飲料業、半導體產業的受害比例居首，皆達70%，能源產業則為61%，即便是在比例相對較低的公用事業，也有35%的組織受到影響，顯見舊系統風險已橫跨各大工業領域。</p> <p>該報告同時強調企業防禦策略正在轉變，目前已有6成工業組織正積極計畫投資專門的老舊系統防護方案，突顯討論重點正從「何時更換」轉向「今日如何保護」。</p> <p><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89TXOne%20Networks%E7%A4%BA%E8%AD%A6%E6%AD%90%E6%B4%B2%E9%80%BE%E5%8D%8A%E6%95%B8%E5%B7%A5%E6%A5%AD%E7%B5%84%E7%B9%94%E7%9A%84%E8%B3%87%E5%AE%89%E4%BA%8B%E4%BB%B6%E6%B6%89%E5%8F%8A%E8%88%8A%E7%89%88Windows%E7%B3%BB%E7%B5%B1.jpg" style="width: 600px;" /></p> </div></div></div>
6/4 10:42作者羅正漢https://www.ithome.com.tw/news/176352
英國要求Google提供AI Overviews獨立退出權限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.gov.uk/government/news/cma-secures-fairer-deal-for-publishers-and-improves-google-search-services-in-uk" target="_blank">英國競爭與市場管理局（Competition and Markets Authority，CMA）周三（6/3）宣布</a>，對Google搜尋服務祭出新的行為要求（Conduct Requirement），正式要求Google讓出版商能夠單獨選擇退出（Opt-out）AI Overviews等AI搜尋功能對其內容的使用，同時不得影響其內容出現在一般搜尋結果中的資格。CMA表示，這是全球首個針對AI搜尋內容使用建立獨立退出機制的監管措施。</p> <p>近年Google陸續推出AI Overviews等生成式AI搜尋功能，透過大型語言模型直接整理多個網站內容，於搜尋結果頁頂端提供摘要答案。出版商與新聞媒體則擔憂，使用者獲得答案後不再點擊原始網站，將導致流量與廣告收入下滑。根據<a href="https://www.ithome.com.tw/news/170268" target="_blank">皮尤研究中心（Pew Research Center）去年公布的研究</a>，出現AI Overviews時，僅8%的使用者會點擊傳統搜尋結果連結，低於未出現時的15%；點擊AI Overviews引用來源連結的比例更只有1%。</p> <p>此一要求是CMA在認定Google於一般搜尋服務市場具有「策略市場地位」（Strategic Market Status，SMS）後推出的首批正式監管措施之一。CMA認為，出版商應擁有更大的控制權，決定自己的內容如何被Google搜尋及相關AI功能使用，並藉此提升與Google協商內容授權合作時的議價能力。</p> <p>新規定也進一步擴大出版商的控制權。除了可拒絕內容被用於AI搜尋功能外，出版商未來也能選擇不讓Google將內容用於AI模型微調（Fine-tuning）。而Google則必須在AI生成搜尋結果中清楚標示內容來源並提供連結，以提高資訊透明度。</p> <p>由於Google正將搜尋服務從傳統連結列表轉向AI生成答案，CMA也將這項要求視為對Google整體AI搜尋轉型的監管，而非只處理單一功能。換言之，出版商取得的不是一次性的AI Overviews退出權，而是對其內容被用於AI搜尋的持續控制權。</p> <p>Google必須在9個月內完成所有調整，並每6個月提交及公開合規報告，說明已採取的措施與相關數據。</p> </div></div></div>
6/4 10:47作者陳曉莉https://www.ithome.com.tw/news/176354
HTTP/2 Bomb攻擊手法影響主流網頁伺服器，恐遭用於DoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://blog.calif.io/p/codex-discovered-a-hidden-http2-bomb">研究人員於6月3日揭露名為HTTP/2 Bomb的遠端阻斷服務（DoS）攻擊手法</a>，影響多款主流網頁伺服器與代理伺服器，包括Nginx、Apache httpd、Microsoft IIS、Envoy與Cloudflare Pingora。這項攻擊鎖定HTTP/2預設組態，攻擊者可透過少量流量消耗伺服器大量記憶體，導致服務回應緩慢或無法存取。</p> <p><a href="http://blog.calif.io/p/codex-discovered-a-hidden-http2-bomb" target="_blank">資安研究發布平臺Calif指出</a>，這項攻擊是由OpenAI程式開發代理Codex將兩種已知技術串連後發現，作法是結合針對HTTP/2標頭壓縮機制HPACK的壓縮炸彈，以及類似Slowloris的連線占用手法。攻擊者可先利用HPACK索引引用，讓伺服器反覆配置標頭相關記憶體，再透過宣告零位元組的HTTP/2流量控制視窗，讓伺服器無法完成回應並釋放已配置的記憶體。</p> <p>根據研究測試，一臺具備100Mbps連線的家用電腦，理論上可在數秒內讓易受攻擊的伺服器無法提供服務。以單一用戶端測試來看，Envoy 1.37.2約可在10秒內占用32GB記憶體，放大比例最高約5,700:1；Apache httpd 2.4.67約可在18秒內占用32GB記憶體，放大比例約4,000:1。</p> <p>漏洞修補方面，Nginx自1.29.8版起加入max_headers指令，預設值為1000；Apache則在mod_http2 v2.0.41修正，相關修補已可從獨立發布的mod_http2套件版本與httpd trunk取得，但尚未納入Apache httpd 2.4.x正式版本。該問題被指定為CVE-2026-49975，Calif文章未列出CVSS風險分數。若無法升級，研究者建議停用HTTP/2。</p> </div></div></div>
6/4 09:25作者王珮瑤https://www.ithome.com.tw/news/176351
CISA將Android框架零時差漏洞列入已遭利用漏洞名單
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google於<strong><a href="https://www.ithome.com.tw/news/176314">6月Android例行更新</a></strong>（Android Security Bulletin）修補零時差漏洞CVE-2025-48595，此為存在於Android框架的權限提升漏洞，已被鎖定目標的局部活動所利用，隨後美國網路安全暨基礎設施安全局（CISA）也證實被用於實際攻擊的情況。</p> <p>6月2日CISA發布公告，<strong><a href="https://www.cisa.gov/news-events/alerts/2026/06/02/cisa-adds-two-known-exploited-vulnerabilities-catalog">他們掌握兩個漏洞遭到積極利用的跡象</a></strong>，將它們加入已遭利用漏洞列表（KEV），其中一個就是CVE-2025-48595，聯邦機構<strong><a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search=CVE-2025-48595&field_date_added_wrapper=all&field_cve=&sort_by=field_date_added&items_per_page=20&url=">必須在6月5日前</a></strong>完成修補。</p> </div></div></div>
6/4 08:38作者周峻佑https://www.ithome.com.tw/news/176349
Google Workspace擴大網域外檔案警示，降低敏感資料外洩與釣魚攻擊風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google於5月26日<a href="https://workspaceupdates.googleblog.com/2026/05/improvements-to-out-of-domain-file-level-warnings.html" target="_blank">宣布強化Google Workspace安全功能</a>，擴大既有網域外檔案警示（Out-of-Domain file-level warnings）的適用範圍，新增支援行動裝置App、檔案共享通知等情境。Google表示，這項功能可協助企業使用者辨識來自組織外部的文件與使用者，降低外洩敏感資料及遭遇網路釣魚攻擊的風險。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0603-workspace-600_3.png" style="width: 550px;" /></p> <p>根據Google說明，網域外檔案警示功能在2025年4月推出，當使用者處理來自Workspace組織外部的文件，或文件擁有者、存取對象涉及外部使用者時，系統會顯示外部標章，提醒使用者留意此為外部共享內容。現在這項功能擴大支援範圍，除了涵蓋Android與iOS版Google雲端硬碟、Google文件、Google試算表與Google簡報，也延伸至電子郵件的留言通知與檔案共享通知。</p> <p>另一項變更涉及服務帳戶。若文件開放給外部Google Cloud組織擁有的服務帳戶存取，系統也會在文件中顯示外部標章，提醒使用者留意文件存取權限變化，降低資料外洩風險。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源/Google</span></span></p> </div></div></div>
6/4 08:45作者王珮瑤https://www.ithome.com.tw/news/176340
微軟9月強化Entra ID自助式密碼重設，僅允許已註冊驗證方法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟預告，身分識別與存取管理服務Microsoft Entra ID的自助式密碼重設（Self-Service Password Reset，SSPR）流程，將自2026年9月7日起調整。企業使用者透過SSPR重設密碼並驗證身分時，僅能使用事先完成註冊的驗證方法。若手機號碼、公司電話或備用電子郵件僅存在於目錄屬性中，未正式註冊為驗證方法，政策生效後將無法再用於密碼重設。</p> <p>根據微軟5月28日發布的<a href="https://mc.merill.net/message/MC1325414" target="_blank">Message Center公告MC1325414</a>，以及媒體<a href="https://www.neowin.net/news/microsoft-is-making-a-major-change-to-entra-id-authentication/" target="_blank">Neowin</a>、<a href="https://www.techzine.eu/news/security/141721/microsoft-is-tightening-password-reset-security-in-entra-id/" target="_blank">Techzine</a>報導，這項調整被列為重大變更（Major change），也是微軟安全未來倡議（Secure Future Initiative，SFI）的一部分。微軟表示，這項作法是要讓密碼重設驗證改以可信任、經使用者驗證的方法為基礎，而不是仰賴目錄中可能未持續維護的聯絡資訊。</p> <p>根據微軟規畫，2026年7月6日起，系統將提醒受影響使用者與系統管理員註冊驗證方法；9月7日起正式強制執行。屆時，已啟用SSPR的租戶，將無法再使用儲存在目錄中的聯絡資訊作為身分驗證方式。微軟表示，目前約86%的SSPR驗證已透過完成註冊的驗證方法進行；未完成註冊者屆時將無法自行重設密碼，必須先註冊驗證方法或聯絡系統管理員。</p> <p>微軟建議已啟用SSPR的組織及早確認所有使用者，尤其是系統管理員，都已註冊至少一種符合SSPR政策的驗證方法，並提前建立服務臺協助註冊與替代啟用流程，同時通知IT人員與員工新政策內容，以降低政策生效後無法自行重設密碼的風險。</p> </div></div></div>
6/4 06:00作者王珮瑤https://www.ithome.com.tw/news/176333
駭客Storm-2949接管雲端帳號，濫用Azure權限滲透正式環境竊取資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟<strong><a href="https://www.microsoft.com/en-us/security/blog/2026/05/18/storm-2949-turned-compromised-identity-into-cloud-wide-breach/">揭露</a></strong>一起濫用雲端身分入侵事件，編號為Storm-2949的攻擊者，先透過社交工程接管Microsoft Entra ID帳號，再濫用受害者原本就具有的Azure角色型存取控制（Azure RBAC）權限，存取Microsoft 365應用程式、雲端檔案服務，以及Azure託管正式環境中的資料與雲端資源。</p> <p>微軟評估，該攻擊疑似與自助密碼重設流程遭濫用有關。攻擊者可能假冒內部IT支援人員，要求目標使用者核准看似正常的多因素驗證提示。當使用者完成驗證後，攻擊者便能重設密碼、移除原本的驗證方式，並把Microsoft Authenticator註冊到自己的裝置。遭鎖定的帳號包括IT人員與高階主管，顯示攻擊者挑選的是較可能接觸重要系統或資料的身分。</p> <p>在取得帳號後，Storm-2949會盤點受害組織的雲端環境，尋找使用者、應用程式與可能具有更高權限的帳號。攻擊者也曾試圖替受害環境中的應用程式身分新增憑證，讓自己不必依賴被接管的使用者帳號也能維持存取，不過這個動作因權限不足而未成功。</p> <p>在Azure環境中，攻擊者利用受害帳號既有的特權，轉向正式Azure訂閱與相關應用資源。Storm-2949曾取得Azure App Service的發布設定檔，藉此取得部署端點憑證，並可進一步查看應用程式環境與部署資訊。攻擊者也操作Azure Key Vault的存取設定，在短時間內讀取數十個祕密資料，包括資料庫連線字串與身分憑證，藉此擴大對正式應用程式與後端資料的存取。</p> <p>Storm-2949也修改Azure SQL伺服器的防火牆規則與Azure Storage帳號的網路存取設定，取得可用來讀取資料的SAS權杖與帳號金鑰，再以自製Python指令碼列舉並下載大量Blob資料。攻擊者後續還濫用Azure虛擬機器的管理功能，在目標主機建立本機管理員帳號，嘗試透過VM的受管識別取得存取權杖並讀取Key Vault祕密資料，但因權限不足未成功取得祕密資料。後續還安裝ScreenConnect遠端管理工具，用來執行環境探索與憑證蒐集。</p> <p>微軟建議組織強化身分與雲端資源控管，包括要求所有使用者啟用多因素驗證，並對管理員與特權帳號採用抗釣魚多因素驗證，啟用條件式存取，稽核Azure RBAC與Azure Key Vault權限，限制Azure App Service發布憑證與虛擬機器管理功能，並串聯身分、雲端與端點記錄，追蹤這類跨服務攻擊行為。</p> </div></div></div>
6/3 18:28作者李建興https://www.ithome.com.tw/news/176337
首期碳費徵收近50億元，半導體業碳費占比逾4成，企業減碳投資開始反映在國家排放數據
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>環境部今天(6/3)宣布國內的首期碳費徵收正式完成，461家列管工廠全數如期繳納碳費，總金額達49.7億元。其中半導體業繳費占比超過4成。環境部並指出，目前已有402家工廠提出自主減量計畫並獲核定，預估至2030年可累計減碳4,745萬噸，未來將透過持續查核機制，確保企業落實減碳承諾。</p> <p>我國碳定價制度邁入實施元年。環境部今公布首期碳費徵收結果，共有461家收費對象工廠、共涉及240家企業，在今年6月1日前全數完成繳費，累計徵收金額達49.7億元。環境部表示，首期碳費順利完成徵收，象徵臺灣碳定價機制正式上路，也反映產業界已逐步將減碳納入經營策略，為2050淨零排放目標奠定基礎。</p> <p>從產業別來看，半導體業是本次碳費最大宗來源，繳納金額共約22億元，占總額44.3%。其次依序為電力供應業（12.77%）、化學原材料製造業（10.97%）、鋼鐵製造業（8.06%）、石油及煤製品製造業（4.83%）以及水泥及其製品製造業（2.61%）。</p> <p>此外，印刷電路板、塑膠及合成橡膠原料、其他電子零組件及光電材料與元件等產業，也都納入主要繳費行業之列。</p> <p>值得注意的是，在首期徵收過程中，並未有企業因國際局勢變化或其他不可抗力因素申請延後或分期繳納碳費。環境部認為，這顯示企業對於碳費制度已有一定程度的認知與準備，也展現配合國家減碳政策的態度。</p> <p><span style="color:#B22222;"><strong>402廠自主減量計畫上路，估可減碳4,745萬噸</strong></span></p> <p>環境部也公布企業自主減量計畫的推動進展。目前已有402家工廠提出自主減量計畫並獲核定，可依減量成果適用較低的優惠碳費費率。</p> <p>其中，有64家工廠採用附表一指定削減率目標，可適用每公噸50元的優惠費率A；另有338家工廠採用技術標竿削減率目標，可適用每公噸100元的優惠費率B。環境部初步估算，這些自主減量計畫若能依規畫執行，至2030年累計減碳量可達4,745萬公噸二氧化碳當量（CO₂e）。</p> <p>環境部指出，碳費制度的目的並非單純增加企業成本，而是透過價格訊號引導產業投資減碳技術與低碳轉型。企業若能有效降低排放，不僅可適用較低費率，也能提升未來面對國際供應鏈碳管理與碳邊境調整機制（CBAM）等要求的競爭力。</p> <p><span style="color:#B22222;"><strong>下半年啟動查核，減量未達目標將追繳差額</strong></span></p> <p>為確保企業減量承諾落實，環境部未來每年都將查核自主減量計畫執行情況。企業須於每年4月底前提報前一年度執行進度報告，經審查符合規定者，當年度才能繼續適用優惠費率。</p> <p>預計下半年環境部將展開自主減量計畫查核作業，若發現企業未依核定內容執行，將依法追繳一般費率與優惠費率之間的差額，避免優惠制度流於形式。</p> <p><span style="color:#B22222;"><strong>碳費將投入減碳與淨零轉型</strong></span></p> <p>至於徵收所得的49.7億元碳費收入，未來將依《氣候變遷因應法》規定，專款專用於溫室氣體減量及氣候調適工作，包括補助企業與地方政府推動減碳措施、提供淨零轉型貸款利息補貼與信用保證，以及支持氣候調適研究與公正轉型相關計畫。</p> <p>環境部強調，首期碳費徵收完成只是起點，真正的關鍵仍在於後續減碳成果是否落實。企業唯有持續推動能源效率改善、製程減碳及低碳技術投資，才能從根本降低碳費負擔，同時強化國際市場競爭力。政府也將持續透過查核、輔導與獎勵機制，推動產業加速邁向淨零轉型。</p> <p><span style="color:#B22222;"><strong>我國碳排減量有成</strong></span></p> <p>首期碳費徵收完成之際，環境部也公布最新的國家溫室氣體排放清冊。數據顯示，2024年臺灣溫室氣體淨排放量為2.51億公噸CO₂e，較2023年減少1.92%，相較2005年基準年則減少6.59%，已連續三年呈現下降趨勢。這也是碳費制度正式上路前，臺灣排放量持續下降的重要觀察指標。</p> <p>從產業角度來看，本次碳費繳納金額最高的半導體、化工、鋼鐵與電力等產業，同時也是國內主要排放來源。隨著企業近年投入節能設備更新、製程改善、再生能源採購及能源管理系統建置，相關減碳成果已逐步反映在國家排放數據上。</p> <p>環境部指出，2024年能源部門排放量首次低於2005年基準年，其中製造業與營造業的排放減幅最為明顯，顯示工業部門的能源效率改善已開始產生實質效果。</p> <p><img alt="" src="/sites/default/files/images/%E9%99%84%E5%9C%962_%E6%88%91%E5%9C%8BGDP%E6%88%90%E9%95%B7%E8%88%87%E4%BA%8C%E6%B0%A7%E5%8C%96%E7%A2%B3%E6%8E%92%E6%94%BE%E5%AF%86%E9%9B%86%E5%BA%A6%E8%B6%A8%E5%8B%A2.jpeg" style="width: 600px; height: 321px;" /></p> <p>另外，從經濟發展與碳排放關係來看，近20年我國實質GDP成長超過九成，而同期二氧化碳排放密集度下降近五成。環境部指出，這代表產業創造單位產值所產生的碳排放持續降低，經濟成長與碳排放逐步脫鉤。根據《2025全球碳預算報告》分析，全球僅35個經濟體呈現類似趨勢，我國名列其中。</p> <p>目前已有402家工廠提出自主減量計畫，其中338家選擇以技術標竿作為減量目標。企業正透過製程優化、設備汰換、智慧能源管理及低碳技術投資等方式，換取較低碳費費率。2030年累計可減少約4,745萬公噸二氧化碳當量，相當於全國年排放量近兩成規模。</p> </div></div></div>
6/3 17:57作者蘇文彬https://www.ithome.com.tw/news/176338
【資安日報】6月3日，紅帽NPM套件遭遇蠕蟲Miasma供應鏈攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/176301"><strong style="font-size: 22px;">紅帽雲端服務NPM套件遭Shai-Hulud變種Miasma入侵，恐外洩GitHub與雲端憑證</strong></a></p> <p><a href="/sites/default/files/images/Miasma-30-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/Miasma-30-63.jpg" style="width: 300px; float: right;" /></a>資安公司OX Security與Aikido揭露，紅帽（Red Hat）在NPM套件庫的雲端服務相關套件遭植入惡意程式Miasma，此為Shai-Hulud新變種，開發者一旦安裝遭污染的套件，電腦或開發環境中的登入權杖、雲端服務憑證及其他敏感資料，都可能被惡意程式讀取並外傳。OX Security研究人員分析，該事件影響@redhat-cloud-services至少31個套件，GitHub上也已發現超過210個含有遭竊憑證的儲存庫。Aikido指出，受影響範圍可能達32個套件、96個版本。</p> <p><a href="https://www.ithome.com.tw/news/176318"><strong style="font-size: 22px;">俄羅斯駭客GreyVibe濫用生成式AI，攻擊烏克蘭企業組織</strong></a></p> <p><a href="/sites/default/files/images/greyvibe-8-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/greyvibe-8-63.jpg" style="width: 300px; float: right;" /></a>隨著AI應用普及，許多駭客也開始濫用這些工具，從事網路攻擊活動。最近資安公司WithSecure揭露的俄羅斯駭客組織GreyVibe，就屬這種型態的例子。活動最早可追溯到2025年8月，駭客利用多種攻擊途徑，攻擊烏克蘭軍事機構、政府機關、企業組織，以及一般民眾。值得留意的是，GreyVibe在整個運作的過程裡，系統性地運用生成式AI與大型語言模型（LLM），這些駭客高度依賴大型語言模型，並反覆發生操作安全錯誤，其中一款該組織開發的惡意程式LegionRelay，存在設計上的缺陷。</p> <p><a href="https://www.ithome.com.tw/news/176330"><strong style="font-size: 22px;">GreyVibe借助生成式AI，發起3種型態的攻擊行動</strong></a></p> <p><a href="/sites/default/files/images/greyvibe-1-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/greyvibe-1-63.jpg" style="width: 300px; float: right;" /></a>資安公司WithSecure近日揭露俄羅斯駭客團體GreyVibe，並指出這些駭客借助AI與大型語言模型（LLM）的力量從事網路攻擊活動，值得留意的是，這些駭客至少透過3種管道散布惡意軟體。其中最早出現的是PhantomMail網釣活動，GreyVibe從2025年8月開始，至今已發動6次攻擊；GreyVibe於2025年10月初短暫嘗試ClickFix手法的攻擊行動PhantomClick，他們利用假的CAPTCHA驗證網頁來散布惡意軟體；還有一種是GreyVibe假冒女性引誘烏克蘭軍人上當的PrincessClub。</p> <p><a href="https://www.ithome.com.tw/news/176305"><strong style="font-size: 22px;">國家級駭客濫用ROADtools，鎖定微軟雲端身分識別環境</strong></a></p> <p><a href="/sites/default/files/images/word-image-336300-181397-1-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/word-image-336300-181397-1-63.jpg" style="width: 300px; float: right;" /></a>網路資安廠商Palo Alto Networks旗下威脅情報團隊Unit 42指出，原本用於紅隊演練與資安研究的開源工具組ROADtools，已被攻擊者整合至雲端攻擊行動，用於列舉Microsoft Entra ID、註冊Entra ID裝置，以及取得、交換與操控Microsoft Entra ID權杖。攻擊者利用ROADtools時，並非透過記憶體破壞漏洞或在主機植入惡意程式，而是濫用企業日常使用的驗證流程與API，因此防禦重點應放在身分識別控管。企業可啟用Microsoft Entra ID權杖保護、透過條件式存取限制裝置驗證碼流程等措施因應。</p> <p><a href="https://www.ithome.com.tw/news/176320"><strong style="font-size: 22px;">駭客組織DriveSurge劫持數千個合法網站，結合運用ClickFix與FakeUpdates手法散布惡意軟體</strong></a></p> <p>以軟體更新或修復問題為誘餌，誘導受害者下載惡意軟體或執行惡意指令的FakeUpdates與ClickFix攻擊手法，近來出現結合運用的案例。資安公司Silent Push近日發布報告，揭露新興網路犯罪組織DriveSurge劫持數千個合法網站，藉此發動大規模惡意軟體散布活動，並能分析受害者情境，切換使用FakeUpdates與ClickFix手法來誘導受害者。DriveSurge主要扮演初始入侵管道掮客（IAB）角色，採用按安裝次數計費（Pay-Per-Install，PPI）模式運作。</p> <p><a href="https://www.ithome.com.tw/news/176296"><strong style="font-size: 22px;">Windows銀行木馬Grandoreiro出現新進化，利用WebRTC網頁即時通訊與DLL側載技術強化隱匿能力</strong></a></p> <p>肆虐近十年的Windows銀行木馬軟體Grandoreiro，出現新一波攻擊活動。資安業者WatchGuard近日揭露Grandoreiro出現強化隱匿性的新版本，並鎖定歐洲與拉丁美洲金融服務與銀行用戶發動攻擊。Grandoreiro具備竊取銀行認證資訊、攔截金融交易等能力，WatchGuard發現的新版本進一步提高規避偵測能力，使用網頁即時通訊技術WebRTC，以及常用於視訊會議的STUN協定（Session Traversal Utilities for NAT）進行通訊，藉此降低活動被偵測到的機率。</p> <p><a href="https://www.ithome.com.tw/news/176299"><strong style="font-size: 22px;">Android遠端控制木馬BTMOB鎖定金融服務用戶，可竊取帳號資訊與遠端控制受害裝置</strong></a></p> <p>資安業者ESET上週發布警示，呼籲大家注意針對Android平臺的遠端控制木馬BTMOB正在拉丁美洲散播，這款惡意程式是從早期銀行木馬SpySolr演化而來，其功能不僅限於竊取金融憑證，已擴展為具備完整遠端控制能力的Android惡意程式，並具備跨區域擴散潛力。BTMOB主要透過假冒串流服務、加密貨幣與熱門網站等釣魚網頁散布，誘導受害者安裝惡意APK套件。安裝完成後，BTMOB會濫用Android無障礙服務（Accessibility Services）取得高權限。</p> <p><a href="https://www.ithome.com.tw/news/176314"><strong style="font-size: 22px;">Google發布6月Android例行更新，修補存在於系統框架的零時差漏洞</strong></a></p> <p>6月1日Google發布Android每月例行更新（Android Security Bulletin），總共修補124個資安漏洞，從危險程度來看，有19個是重大等級，其餘大部分為高風險等級。值得留意的是，該公司提及，其中一個漏洞已被用於目標式攻擊。這項弱點的編號是CVE-2025-48595，存在於Android系統的框架元件，為高風險等級的權限提升漏洞，影響Android 14、15、16，以及16-qpr2版作業系統。不過，對於攻擊者如何利用弱點，Google並未進一步說明。</p> <p><a href="https://www.ithome.com.tw/news/176310"><strong style="font-size: 22px;">CISA警告兩年前修補的Oracle WebLogic Server高風險漏洞已被用於攻擊行動</strong></a></p> <p>6月1日美國網路安全暨基礎設施安全局（CISA）發布公告，他們已掌握CVE-2024-21182遭到積極利用的證據，將其列入已遭利用的漏洞名單（KEV），要求聯邦機構必須在6月4日前完成修補。CVE-2024-21182存在於Oracle WebLogic Server的核心元件，未通過身分驗證的攻擊者，只要透過T3或IIOP協定進行網路存取，就有機會入侵WebLogic Server，CVSS風險評為7.5分，為高風險等級，Oracle於2024年7月每季例行更新修補。</p> <p><a href="https://www.ithome.com.tw/news/176313"><strong style="font-size: 22px;">Oracle首度發布每月例行更新，修補77個漏洞</strong></a></p> <p>5月28日Oracle發布5月份當月更新（CSPU），提供35個修補程式，這些受影響的應用程式涵蓋：Oracle Communications Unified Assurance、Oracle Database Server、Oracle E-Business Suite、Oracle Hospitality OPERA 5 Property Services，以及Oracle REST Data Services。雖然Oracle公布了35個漏洞的危險程度及影響範圍，但部分修補程式同時也解決了另外42個資安弱點，因此實際上該公司本次修補的漏洞數量，總共達到77個。</p> <p><a href="https://www.ithome.com.tw/news/176319"><strong style="font-size: 22px;">Anthropic修補Claude Code GitHub Actions權限繞過弱點，降低權杖外洩風險</strong></a></p> <p><a href="/sites/default/files/images/claude_code_github_actions_attack-flow-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/claude_code_github_actions_attack-flow-63.jpg" style="width: 300px; float: right;" /></a>Anthropic修補Claude Code GitHub Actions的權限繞過與設定錯誤風險，資安公司GMO Flatt Security指出，該問題可能讓攻擊者透過GitHub議題或拉取請求（Pull Request）提交惡意內容，誘導Claude Code在自動化開發流程中讀取不應外洩的資訊，取得權杖或其他機密資料。該工具原本會檢查觸發者是否具有儲存庫寫入權限，但過去在代理模式下，對GitHub應用程式的檢查不夠嚴格。攻擊者可自行建立GitHub應用程式，並以該App的安裝權杖在公開儲存庫建立議題或拉取請求觸發弱點。</p> <p><a href="https://www.ithome.com.tw/news/176304"><strong style="font-size: 22px;">Gitea修補套件登錄庫漏洞，逾3萬自架站點恐暴露私有容器映像檔</strong></a></p> <p>開源程式碼託管平臺Gitea釋出1.26.2版，修補與套件登錄庫權限有關的安全漏洞CVE-2026-27771。資安業者NoScope指出，該漏洞可能讓自行架設Gitea的組織，在未要求使用者登入的情況下，讓外部人員存取原本應屬私有的容器映像檔。研究人員估算，公開可從網際網路找到的受影響站點可能超過3萬個。若管理者無法立即更新，可暫時啟用所有內容都必須登入後才能查看的設定，降低未登入者存取內容的風險。</p> <p><a href="https://www.ithome.com.tw/news/176312"><strong style="font-size: 22px;">Project Glasswing擴大範圍至15國，近150個合作夥伴可使用Claude Mythos找出漏洞</strong></a></p> <p>Anthropic周二（6月2日）宣布Project Glasswing擴大實施，將具備強大資安能力的Claude Mythos Preview提供給15國將近150家企業組織使用。這批合作夥伴多半是關鍵基礎架構相關領域，包括電力、供水、通訊、醫療及硬體業的企業，或是協助其他單位（如政府）維護程式碼的非營利機構，這些組織攸關國家社會運作，一旦遭網路攻擊可能影響全球穩定及國家安全。不過，他們必須符合Anthropic的安全要求，才能使用此前沿語言模型。</p> <p><a href="https://www.ithome.com.tw/news/176252"><strong style="font-size: 22px;">Mistral AI助理改名為Vibe，預告將推出程式碼遠端代理功能</strong></a></p> <p>法國AI新創公司Mistral AI宣布，旗下AI聊天機器人Le Chat改名為Vibe，預計將新增工作（Work Mode）及程式碼（Code Mode）模式的代理功能，其中尚未推出的程式模式，其代理機制將可在用戶電腦關機時自主執行任務。Mistral AI將以單獨的網頁應用程式，提供用戶執行Vibe程式模式以啟動遠端代理，代理程式會在隔離沙箱執行工作階段，確保資料安全，開發人員可連結GitHub管理專案，即使電腦關機仍會繼續運作。</p> <p><a href="https://www.ithome.com.tw/news/176306"><strong style="font-size: 22px;">微軟推出.NET版MCP治理擴充套件，強化AI代理工具呼叫控管</strong></a></p> <p>微軟公開預覽適用於.NET的Agent Governance Toolkit MCP擴充套件，支援.NET 8以上應用程式，並可搭配官方MCP C# SDK使用，協助開發者在MCP伺服器加入工具定義掃描、工具呼叫政策控管與回應內容清理機制。微軟表示，Agent Governance Toolkit可為AI代理系統提供治理層，用於執行政策、檢查輸入與輸出，並讓工具呼叫的信任判斷更明確。此擴充套件可透過WithGovernance()方法，將相關控管整合到既有IMcpServerBuilder管線。</p> <p><a href="https://www.ithome.com.tw/news/176269"><strong style="font-size: 22px;">員工自建Vibe Coding應用成影子AI新風險，有兩千個企業用途工具暴露敏感資料</strong></a></p> <p>資安業者Red Access先前向媒體揭露，大量透過Vibe Coding方式建立的網路應用程式缺乏身分驗證等基本安全措施，導致企業敏感資料可能暴露於公開網路。該公司後續發布完整研究報告指出，影子AI風險已從員工將敏感資料輸入AI聊天工具，擴大到員工自行建立AI應用、匯入內部資料，甚至串接正式生產系統。Red Access發現，數量多達2,000個應用系統，含有企業營運、個人或敏感資料，卻未設置基本身分驗證與存取控管機制。</p> <p><a href="https://www.ithome.com.tw/news/176300"><strong style="font-size: 22px;">MITRE將自動化攻擊模擬平臺Caldera移交Apache基金會</strong></a></p> <p>開源自動化模擬工具Caldera自多年前MITRE ATT&CK框架興起以來，即備受資安人員關注，開發該平臺的美國非營利組織MITRE於5月20日宣布，將這項發展近十年的平臺正式捐贈給Apache軟體基金會（ASF），並進入孵化器（Incubator）階段。MITRE表示，轉移至ASF的主要目的，是為了擴大全球資安與開源社群的協作、提升平臺普及率，並透過「廠商中立」的治理模式，確保Caldera能持續成長為全球性的資安資源。</p> <p><a href="https://www.ithome.com.tw/news/176295"><strong style="font-size: 22px;">譴責Chaotic Eclipse未經協調公開零時差漏洞惹議，微軟說明不會對公布成果的研究員採取法律行動</strong></a></p> <p>5月27日微軟資安回應中心（MSRC）發布部落格文章，公開譴責研究人員Chaotic Eclipse（Nightmare-Eclipse）在未經協調揭露的情況下，公布BlueHammer、RedSun、UnDefend等一系列零時差漏洞的行為，該文引起資安圈高度關注，原因在於微軟提及可能會對該名研究員採取法律行動，引起不少研究人員討論其漏洞通報制度的問題，對此，6月1日MSRC在X發布推文表示，他們無意對研究人員採取法律行動。</p> <p><a href="https://www.ithome.com.tw/news/176294"><strong style="font-size: 22px;">衛福部發布醫療GenAI指引，聚焦6大風險與供應鏈透明度</strong></a></p> <p>衛福部在5月29日發布首份《醫療機構應用生成式人工智慧指引》，針對醫院與診所導入生成式AI提出風險治理框架，涵蓋風險盤點、資料保護、系統驗證、供應商管理與持續監測等面向。衛福部除了聚焦模型偏差、資料品質、AI幻覺、資安攻擊、使用者過度依賴及服務中斷等6類常見生成式AI風險，也首度要求醫療機構建立AI產品與系統清冊，掌握院內生成式AI系統的用途、應用場景、風險等級及管理措施，並依臨床影響程度進行分級管理。</p> <p><a href="https://www.ithome.com.tw/article/175205"><strong style="font-size: 22px;">【2026臺灣資安年鑑｜國家安全會議諮詢委員李育杰】國家資通安全戰略2025的訂定，是臺灣資安體制的轉型</strong></a></p> <p>國家安全會議諮詢委員李育杰說：「2025年，每日臺灣遭受到的網路侵擾大約263萬次。但民眾出門都覺得臺灣運作得好好的。」他提醒，「缺乏危機意識」就是臺灣最危險的地方。目前最大的威脅，不只是中共網軍的日夜叩關，更是臺灣社會對於「表面和平」的習以為常。李育杰將駭客區分為兩類：一是以勒索與竊密為目的的網路犯罪集團，另一是國家級駭客，目標在於關鍵時刻癱瘓防空雷達、電網與通訊系統。他直言：「所有的戰爭都從網路上先發生。」</p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/176297"><strong>【6月2日】捷克參議院率團訪臺前夕，傳出中國駭客從事網路間諜活動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176267"><strong>【6月1日】偽冒FIFA世足的詐騙網域激增</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176217"><strong>【5月29日】Linux傳出新的本機權限提升漏洞CIFSwitch</strong></a></p> </div></div></div>
6/3 14:55作者周峻佑https://www.ithome.com.tw/news/176332
川普簽署AI資安行政命令，要求業者自願提供前沿模型供政府測試
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.whitehouse.gov/presidential-actions/2026/06/promoting-advanced-artificial-intelligence-innovation-and-security/" target="_blank">美國總統川普（Donald Trump）周二（6/2）簽署AI資安行政命令</a>，要求聯邦政府建立前沿AI模型自願測試機制，但最終版本已較白宮原先考慮的方案大幅縮減。<a href="https://www.politico.com/news/2026/06/02/trump-signs-downsized-ai-order-00946389" target="_blank">根據Politico報導</a>，白宮原本規畫要求AI業者在模型發布前提供最多90天的自願政府評估期，但在產業反彈後，最終版本將評估期縮短為最多30天。</p> <p>這項行政命令正式名稱為《促進先進人工智慧創新與安全》（Promoting Advanced Artificial Intelligence Innovation and Security），重點包括成立AI資安資訊交換中心（AI Cybersecurity Clearinghouse），要求美國網路安全暨基礎設施安全局（Cybersecurity and Infrastructure Security Agency，CISA）擴大AI資安工具與服務，建立「列管前沿模型」（Covered Frontier Model）認定標準，並優先查緝利用AI從事駭客攻擊與未經授權存取電腦系統的犯罪行為。</p> <p>其中最受關注的是列管前沿模型認定機制，該行政命令要求美國國家安全局（National Security Agency，NSA）、白宮國家網路總監辦公室（Office of the National Cyber Director）、CISA及相關單位建立機密評估流程，判定哪些AI模型具備較高階的網路攻擊能力，並可能對金融系統、國家安全或關鍵基礎設施構成風險。</p> <p>被納入列管前沿模型的開發商，可自願讓政府在模型發布前取得早期存取權限，以評估其可能帶來的資安風險。白宮表示，此舉旨在協助政府與關鍵基礎設施營運商提前發現潛在威脅，但也特別強調，該機制不得被解釋為建立AI模型開發、發布或散布的強制審查、發照或預先核准制度。</p> <p>除了前沿模型評估機制外，行政命令也要求財政部、NSA與CISA在30天內成立AI資安資訊交換中心，與AI業者及關鍵基礎設施營運商合作發掘、驗證及修補軟體漏洞，以降低AI技術遭惡意利用的風險。</p> <p>另要求CISA在30天內發布相關指引，加速部署AI資安工具，並協助地方政府、醫院、銀行與公用事業等關鍵基礎設施強化防護。司法部則須優先查緝利用AI進行駭客攻擊、非法存取系統或協助其他犯罪的行為。</p> </div></div></div>
6/3 15:36作者陳曉莉https://www.ithome.com.tw/news/176334
GreyVibe借助生成式AI，發起3種型態的攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安公司WithSecure近日揭露<a href="https://www.ithome.com.tw/news/176318"><strong>俄羅斯駭客團體GreyVibe</strong></a>，並指出這些駭客借助AI與大型語言模型（LLM）的力量從事網路攻擊活動，主要目標是針對烏克蘭，值得留意的是，<strong><a href="https://www.withsecure.com/en/resources-hub/w-labs/greyvibe/">這些駭客至少透過3種管道散布惡意軟體</a></strong>。</p> <p>其中最早出現的是PhantomMail網釣活動，GreyVibe從2025年8月開始，至今已發動6次攻擊，這些駭客寄出的信件存在共通點，就是含有指向Google Drive、4sync等雲端檔案共用服務的連結，並引誘收信人下載惡意ZIP或RAR檔，壓縮檔內容包含以PyInstaller或JavaScript打造的惡意程式載入工具，功能是在背景啟動惡意程式感染鏈PhantomRelay，並顯示PDF文件或錯誤訊息視窗來轉移受害者的注意。</p> <p>GreyVibe於2025年10月初短暫嘗試ClickFix手法的攻擊行動PhantomClick，他們利用假的CAPTCHA驗證網頁來散布惡意軟體，駭客使用烏克蘭語顯示操作步驟，要求使用者依照指示完成Cloudflare資安驗證流程，但若是照做，電腦會在背景啟動感染鏈PhantomRelay。</p> <p>還有一種是GreyVibe假冒女性引誘烏克蘭軍人上當的PrincessClub，這些駭客透過Telegram、網路交友頻道，與軍人建立信任關係，然後誘導他們存取冒牌的成人俱樂部網站，藉此散布Android惡意程式FallSpy，以及Windows惡意程式PhantomRelayV1與LegionRelay。該活動到了今年3月出現變形版本DroneLink ，駭客架設假的慈善基金會網站，號稱聲援烏克蘭武裝部隊，藉此散布惡意軟體。</p> </div></div></div>
6/3 14:23作者周峻佑https://www.ithome.com.tw/news/176330
微軟發布7款AI模型，強化Microsoft Foundry模型陣容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://microsoft.ai/news/building-a-hillclimbing-machine-launching-seven-new-mai-models/" target="_blank">微軟周二（6/2）發表7款由Microsoft AI團隊自主研發的人工智慧（AI）模型</a>，涵蓋推理、程式開發、影像生成、語音生成與語音轉文字等領域，並共同組成全新的MAI（Microsoft AI）模型家族。這些模型將透過Microsoft Foundry提供給企業與開發人員使用，未來也將登陸更多開發平臺，讓企業可根據自身需求調整模型權重與能力。</p> <p>此次發表的模型包括旗艦推理模型MAI-Thinking-1、程式開發模型MAI-Code-1-Flash、影像生成模型MAI-Image-2.5與MAI-Image-2.5-Flash、語音生成模型MAI-Voice-2與MAI-Voice-2-Flash，以及語音轉文字模型MAI-Transcribe-1.5。</p> <p>在7款模型中，MAI-Thinking-1最受關注，因為它是Microsoft AI目前最能代表自研基礎模型能力的旗艦推理模型。相較於程式、影像、語音與轉錄模型多半對應特定任務，推理模型則更接近OpenAI、Anthropic與Google等業者競逐的核心能力，可用於複雜問題拆解、數學推理、軟體工程與企業流程自動化，也因此被視為微軟降低對外部模型依賴、建立自家AI技術底座的重要一步。</p> <p><a href="https://microsoft.ai/news/introducing-mai-thinking-1/" target="_blank">MAI-Thinking-1採用稀疏專家混合（Mixture of Experts，MoE）架構</a>，活躍參數約350億個，總參數約1兆個。該模型在SWE-Bench Pro軟體工程測試中可與Claude Opus 4.6匹敵，在AIME 2025與AIME 2026數學測試中分別取得97.0%與94.5%的成績。微軟也強調，MAI-Thinking-1完全從零開始訓練，使用企業級、乾淨且具商業授權的資料，未採用第三方模型蒸餾技術，並支援256K Token長脈絡、函式呼叫與開發者指令。</p> <p>相較之下，其餘模型則屬於特定領域模型。MAI-Code-1-Flash主要面向GitHub Copilot與Visual Studio Code等開發工具，以50億參數實現較低成本與更高推論效率；MAI-Image-2.5與MAI-Image-2.5-Flash則支援文字生成圖片與圖片編輯功能；MAI-Voice-2提供15種語言的自然語音生成能力，甚至可透過短語音樣本模仿特定聲音；MAI-Transcribe-1.5則主打高準確率語音辨識，支援43種語言與專業術語轉錄。</p> <p>其實微軟自2024年起便傳出開發代號MAI-1的大型語言模型，由Microsoft AI執行長Mustafa Suleyman領軍推動。隨著此次MAI模型家族正式亮相，微軟已逐步補齊推理、程式開發、影像、語音與語音辨識等AI基礎能力，形成完整的模型產品線。</p> <p>除了模型本身，微軟也同步推出所謂的Frontier Tuning技術，允許企業利用自身工作流程資料訓練客製化模型。微軟表示，在內部測試中，針對Excel工作負載調校後的MAI模型，在能力接近GPT-5.4的情況下，推論效率最高可提升10倍。未來企業可利用自身資料與工作流程打造專屬模型，同時掌控相關知識與權限。</p> <p>美國媒體多將這次發表解讀為微軟降低對OpenAI依賴、強化自研AI能力的重要訊號；<a href="https://www.ft.com/content/e8b86648-61b3-4b48-8bd4-a50f03de92d8?syn-25a6b1a6=1" target="_blank">金融時報（Financial Times，FT）則認為</a>，微軟這波模型發布也有追趕Anthropic的意味，特別是在企業與開發者市場。</p> </div></div></div>
6/3 14:30作者陳曉莉https://www.ithome.com.tw/news/176331