iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 21篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 06:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

都柏林大學將主導歐盟6G安全專案，開發6G原生網路威脅情資平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ucd.ie/research/news/2026/ucdtoleadexclusive8mhorizoneurope6gsecurityproject/" target="_blank">愛爾蘭都柏林大學（University College Dublin，UCD）在6月11日宣布</a>，將主導歐盟Horizon Europe架構下、智慧網路與服務聯合事業（Smart Networks and Services Joint Undertaking，SNS JU）支持的SHIELD-6G專案，總經費達800萬歐元。這項專案將集結19個國際合作夥伴，目標是開發面向6G網路的AI驅動威脅情資平臺。</p> <p>UCD指出，SHIELD-6G專案任務是為6G網路建立安全、可靠性與韌性的基礎指引。參與成員涵蓋學術研究機構、跨國企業與中小型企業，包括法國航太、國防與資安業者Thales，以及UCD衍生新創MBP Network Technology。</p> <p><a href="https://smart-networks.europa.eu/sns-ju-invests-e116-million-in-20-new-6g-projects-to-strengthen-europes-digital-leadership/" target="_blank">歐盟SNS JU於2026年3月公告投入1.16億歐元</a>，支持20項6G研究與創新專案，SHIELD-6G是其中之一，該項專案將結合聯邦學習（federated learning）、可解釋AI（explainable AI）與數位分身（digital twins）等技術，強化6G網路的即時威脅偵測、合規檢查與韌性，並在多網域環境中，驗證從不同網路區段到整體服務流程的安全防護能力。</p> <p>從歐盟6G政策來看，SHIELD-6G可視為歐盟6G投資組合中的安全布局。<a href="https://digital-strategy.ec.europa.eu/en/news/europe-advance-6g-innovation-20-projects-set-receive-eu116-million" target="_blank">歐盟執委會（European Commission）指出</a>，這20項6G專案屬於Horizon Europe迄今6.3億歐元歐盟資金的一部分，並使SNS JU專案組合擴大到100項；<a href="https://commission.europa.eu/funding-and-tenders/find-funding/eu-funding-programmes/horizon-europe_en" target="_blank">Horizon Europe</a>則是歐盟2021年至2027年的主要研究與創新資助計畫。這也反映歐洲在6G標準、架構與測試環境仍在發展階段，就已同步推進6G安全、隱私保護與策略性數位技術供應鏈的布局。</p> </div></div></div>
6/17 11:41作者王珮瑤https://www.ithome.com.tw/news/176678
勒索軟體Anubis攻擊亞得里亞海港務局，索討千萬美元贖金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>今年1月，義大利亞得里亞海港務局<strong><a href="https://www.porto.ancona.it/en/news/gestione-attacco-informatico-dicembre-2025">證實遭遇勒索軟體Anubis攻擊</a></strong>，當時該機關表示事故發生在去年12月，約有2%資料外流。近日有資安公司公布調查結果，指出駭客疑似針對員工從事網釣而得逞。</p> <p><strong><a href="https://www.resecurity.com/blog/article/the-anubis-ransomware-attack-on-the-adriatic-port-authority">資安公司Resecurity指出</a></strong>，一般而言，Anubis入侵受害組織的方法有兩種，其中一種是針對能從網際網路存取的應用系統，利用已知漏洞進行滲透；另一種是接管帳號（ATO），透過初始入侵管道掮客（IAB）取得帳密資料。不過，在針對亞得里亞海港務局的活動裡，駭客向員工寄送帶有惡意附件的釣魚信來接觸該組織，成功入侵後便進行權限提升，在內部網路橫向移動，然後利用港務局IT基礎設施中尚未修補的漏洞，逐步取得重要系統的控制權。值得注意的是，本次攻擊駭客並未直接針對OT環境的基礎設施，而是入侵M365與Azure等IT系統來達到目的。</p> <p>勒索軟體加密了數千份檔案，使貨物追蹤、船期排程及海關作業等核心系統全面癱瘓，同時竊取了合約與員工資料等機敏資訊。Anubis隨後要求以比特幣支付一千萬美元贖金，並以七天為限威脅，若未付款，將於暗網公開所有竊得資料。</p> <p>針對這起事故的後續處理，亞得里亞海港務局後續與資安公司及執法單位合作，以減輕事故帶來的損害，但Resecurity特別提及幾個與其他勒索軟體事故不同的地方，首先，港務局雖然嘗試利用備份系統復原資料，但由於仰賴過時的備份通訊協定，大幅拖慢了復原的速度；再者，雖然港務局沒有向駭客支付贖金，但他們透過與駭客談判，為復原工作爭取到更多的時間。</p> </div></div></div>
6/17 11:43作者周峻佑https://www.ithome.com.tw/news/176681
AWS推出PQC就緒度掃描工具，檢視TLS端點抗量子準備狀態
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>為了因應量子運算即將造成大規模既有加密機制保護力不足的危機，IT產業近期密切關注後量子密碼學（Post-Quantum Cryptography，PQC）的導入與遷移議題，<a href="https://aws.amazon.com/tw/blogs/security/automating-post-quantum-cryptography-readiness-using-aws-config/">公有雲業者AWS在上個月宣布推出後量子密碼學就緒度掃描工具PQC Readiness Scanner</a>，這是以AWS Config合規套件建置的解決方案。</p> <p>這項工具可協助企業盤點由AWS服務終止TLS連線的應用程式負載平衡器（Application Load Balancer，ALB）、網路負載平衡器（Network Load Balancer，NLB），以及API Gateway端點，持續檢查其TLS組態是否符合PQC就緒狀態，並依三級架構排定遷移優先順序。</p> <p>AWS指出，隨著量子運算技術的發展，使企業必須逐步採用可抵抗量子運算攻擊的密碼學機制，以長期保護資料機密性。以TLS連線而言，PQC金鑰交換演算法只會在TLS 1.3內協商，因此端點必須同時支援TLS 1.3與PQC金鑰交換機制，才能建立具備後量子安全能力的連線。</p> <p>PQC Readiness Scanner鎖定採用HTTPS、TLS、TCP SSL協定的ALB與NLB的監聽器，以及API管理服務Amazon API Gateway的REST API、HTTP API與WebSocket API端點。這項工具會透過AWS Config合規套件部署自定規則，檢查上述資源是否採用PQC就緒（PQ-ready）安全政策，以及是否仍允許使用TLS 1.0或TLS 1.1等舊版協定。</p> <p>AWS也強調，實際採用何種TLS安全政策，以及後量子加密機制的導入與維護，仍須由客戶企業自行規畫與管理。</p> </div></div></div>
6/17 11:49作者王珮瑤https://www.ithome.com.tw/news/176682
駭客宣稱駭入任天堂竊走員工及公司資訊，勒索200萬美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>媒體報導，日本電玩大廠任天堂（Nintendo）疑似遭駭，被竊走至少包括員工電子郵件、績效等公司資料，並且被勒索200萬美元。</p> <p><a href="https://www.technadu.com/nintendo-data-breach-hacker-claims-stealing-approximately-860-mb-via-tinypulse-systems/629331/" target="_blank">TechNadu報導</a>，一個代號SHADOWBYT3$的駭客6月13日在地下論壇張貼勒索訊息。他宣稱從任天堂的TINYpulse系統竊得近859MB的資料，喊價200萬美元作為贖金。TINYpulse是蒐集員工匿名反饋意見的員工關係管理平臺。這名駭客宣稱從TINYpulse取得員工姓名、電子郵件、分析報告、銀行對帳單PDF檔、以及職場問卷，涵括從2016年到2026年的資料。駭客還公佈了部份樣本。</p> <p>報導指出，任天堂是在6月13日接獲勒索恐嚇信。駭客給任天堂48小時回應，並稱在6月15日前未接獲聯繫將公開資料。</p> <p><a href="https://cybernews.com/security/nintendo-employee-data-ransom-claim/" target="_blank">Cybernews研究人員分析樣本</a>，證實內含現任任天堂員工的問卷。此外，外洩的員工資料類別，以及資料metadata也符合駭客描述。</p> <p>任天堂尚未證實消息確實性。</p> <p>這是這家日本遊戲大廠近半年來第二次傳出遭駭。<a href="https://www.thegamer.com/nintendo-hacking-group-claims-to-have-breached/" target="_blank">去年10月駭客組織Crimson Collective宣稱</a>竊得這家日本遊戲大廠的內部檔案，包括營運資產、開發版本預覽和備份。但任天堂同樣未證實。</p> </div></div></div>
6/17 10:27作者林妍溱https://www.ithome.com.tw/news/176673
SpaceX以600億美元收購AI程式設計新創Cursor
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>SpaceX周二（6/16）宣布，將以價值600億美元的全股票交易收購AI程式設計工具Cursor母公司Anysphere。<a href="https://www.sec.gov/Archives/edgar/data/1181412/000162828026043411/spaceexplorationtechnologi.htm" target="_blank">根據SpaceX提交給美國證券交易委員會（SEC）的文件</a>，雙方已簽署合併協議，SpaceX將透過全資子公司X67 Inc.進行合併；交易完成後，Cursor將成為SpaceX的全資子公司，預計於今年第3季完成。</p> <p>根據協議內容，Cursor股東將獲得SpaceX Class A普通股作為對價。換股比例將以Cursor隱含股權價值600億美元為基礎，並依據SpaceX普通股於交易完成前連續7個交易日的成交量加權平均收盤價（VWAP）計算。</p> <p>這筆交易距離SpaceX完成IPO僅數日。<a href="https://www.ithome.com.tw/news/176588" target="_blank">SpaceX上周以每股135美元掛牌上市</a>，上市後股價持續上漲，市值已突破2兆美元。市場分析指出，SpaceX選擇以股票作為收購對價，可利用目前高估值優勢，以相對有限的股權稀釋完成大型併購。</p> <p>Anysphere成立於2022年，由4名MIT學生共同創辦，並於2023年推出AI程式碼編輯器Cursor。Cursor可利用生成式AI協助開發人員撰寫、修改及除錯程式碼，也能支援部分開發工作流程自動化，是近年成長最快的AI程式設計工具之一。Cursor去年表示年化營收已突破10億美元，主要競爭對手包括Anthropic的Claude Code及OpenAI的Codex。</p> <p>由於馬斯克（Elon Musk）已於今年2月<a href="https://www.ithome.com.tw/news/173722" target="_blank">將xAI併入SpaceX麾下</a>，外界普遍將此次收購視為SpaceX擴大AI布局的重要一步。<a href="https://x.com/SpaceX/status/2066873915717136548" target="_blank">SpaceX亦透過X表示</a>，過去幾個月來，SpaceX AI一直與Cursor共同訓練一款新模型，該模型很快就會在Cursor與Grok Build中推出，亦期待與Cursor團隊合作，共同提升其前沿AI能力。</p> </div></div></div>
6/17 10:33作者陳曉莉https://www.ithome.com.tw/news/176675
AMD收購MEXT，強化資料中心記憶體最佳化技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.amd.com/en/blogs/2026/amd-acquires-mext-for-memory-optimization.html" target="_blank">晶片大廠AMD宣布收購記憶體最佳化技術業者MEXT</a>，並規畫將其AI驅動預測式記憶體（AI-Powered Predictive Memory）技術整合至AMD資料中心產品組合。雙方未公布交易金額。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0617-amd%20mext-600.png" style="width: 500px;" /></p> <p><a href="https://www.mext.ai/about" target="_blank">根據MEXT官方資料</a>，AI-Powered Predictive Memory是一套軟體解決方案，可調度快閃儲存與動態隨機存取記憶體（DRAM），使作業系統將快閃儲存視為DRAM速度的記憶體，在不更動硬體或應用程式的情況下，擴充系統可用的記憶體容量，並維持接近DRAM等級的效能水準。</p> <p><a href="https://siliconangle.com/2026/06/15/amd-buys-data-center-memory-optimization-startup-mext/" target="_blank">媒體SiliconANGLE則說明</a>，MEXT是AI原生記憶體分層（AI-native memory tiering）技術的開發商，這項技術會依據記憶體存取模式，將較少使用的資料動態移至NAND快閃儲存，並在判斷應用程式可能很快會用到這些資料時，預先載回DRAM。這種作法可擴大系統可用的記憶體容量，讓資料中心更有效運用既有記憶體。報導也提到，大型資料中心正面臨記憶體供應與成本壓力，而快閃儲存成本可能比DRAM低上數十倍甚至數百倍（orders of magnitude）。</p> <p>AMD認為，MEXT的記憶體最佳化技術可讓既有資料中心硬體執行規模更大的工作負載，支援AI模型運算、資料分析、虛擬化與高效能運算（HPC）等應用。</p> </div></div></div>
6/17 10:52作者王珮瑤https://www.ithome.com.tw/news/176676
開源資安平臺Wazuh修補重大漏洞，攻擊者可竄改警示並刪除日誌
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>開源XDR與SIEM平臺Wazuh修補Wazuh Manager一項重大（Critical）風險漏洞，影響wazuh-manager 5.0.0-beta1與後續推出的5.x版本，CVSS分數達滿分10.0分；Wazuh 4.x分支則不受影響。</p> <p><a href="https://github.com/wazuh/wazuh/security/advisories/GHSA-ff9g-85jq-r3g3" target="_blank">Wazuh已於GitHub發布安全公告</a>，說明漏洞出現在wazuh-manager 5.0.0-beta1導入的盤點同步機制。Wazuh Manager在處理代理程式送出的清查資料時，未妥善驗證部分由代理程式控制的內容；在預設允許匿名註冊代理程式的組態下，攻擊者可註冊惡意代理程式並送出特製資料。由於Wazuh Manager使用具有全部存取權限的OpenSearch角色，攻擊者可能刪除警示日誌、竄改弱點或資產清查資料，破壞安全遙測資料的完整性，甚至影響多租戶環境的資料隔離。</p> <p>Wazuh已在wazuh-manager 5.0.0-beta3修補此漏洞，針對OpenSearch _bulk請求中的_index欄位導入跳脫處理。管理員也應檢查OpenSearch索引存取控制、代理程式註冊設定與角色權限，避免Wazuh Manager使用admin帳號或all_access等高度授權的角色與權限，並改採最小權限原則，以降低漏洞遭利用後的影響範圍。</p> </div></div></div>
6/17 10:59作者王珮瑤https://www.ithome.com.tw/news/176677
美國警告Joomla外掛JCE的滿分重大漏洞已被用於實際攻擊活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>6月16日美國網路安全與基礎設施安全局（CISA）<strong><a href="https://www.cisa.gov/news-events/alerts/2026/06/16/cisa-adds-one-known-exploited-vulnerability-catalog">提出警告</a></strong>，由軟體廠商Widget Factory開發的Joomla外掛程式Joomla Content Editor（JCE），存在重大漏洞CVE-2026-48907，CISA已掌握積極利用該弱點的攻擊跡象，因此，他們將其列入已遭利用的漏洞名單（KEV），並要求聯邦機構<strong><a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog?&field_cve=CVE-2026-48907">在6月19日前</a></strong>完成修補。</p> <p>CVE-2026-48907是存取控制不當類型的弱點，攻擊者可為未經身分驗證的使用者建立新的編輯者設定檔（profile），而有機會造成PHP程式碼上傳及執行，<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-48907">CVSS v4.0評為滿分10分</a></strong>。該漏洞Widget Factory<strong><a href="https://www.joomlacontenteditor.net/news/jce-pro-2-9-99-5-released">於6月3日發布2.9.99.5版JCE</a></strong>修補，後續在<strong><a href="https://www.joomlacontenteditor.net/news/jce-security-update-and-a-free-patch-for-older-sites">12日證實漏洞遭到積極利用</a></strong>，網路上已有公開的概念驗證程式碼，駭客以自動化的方式從事攻擊行動，呼籲用戶儘速更新JCE，並檢查網站是否遭到入侵。</p> </div></div></div>
6/17 09:40作者周峻佑https://www.ithome.com.tw/news/176670
CVE漏洞數量大增，FIRST進一步說明致災風險並未隨總量而增加的理由
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>FIRST國際資安應變組織發布2026年中漏洞預測報告，不僅將全年CVE漏洞預估數量上修至6.6萬個，同時提出一項重要觀察，並以「降雨與洪水」為喻指出：雖然漏洞總量（降雨）持續攀升，但真正被積極利用或具備高度威脅的漏洞（洪水），其增長速度並未同步上升。</p> <p>若僅觀察漏洞總數，上述預測結果似乎令人擔憂。但根據FIRST預測團隊的分析，若進一步套用「漏洞可利用性的分析層」（Exploitability Overlay）進行過濾，會發現實際狀況比想像的情境更受到一定程度的控制。</p> <p>數據顯示，雖然今年總量呈現激增的態勢，但那些出現在CISA KEV（已知被利用漏洞清單）中，或EPSS（漏洞利用預測評分系統）分數超過10%的高風險漏洞，其增長曲線其實相當平緩。對於資安團隊而言，這代表既有的應對策略仍然有效。</p> <p>因此，FIRST強調，企業在面對排山倒海而來的漏洞通報時，應繼續採用EPSS與CISA KEV作為優先順序篩選的標準。而報告中所提到的「10% EPSS分數門檻」，主要是為了符合多數組織的風險胃納（Risk Appetite）能力，協助團隊精準鎖定最具槓桿效應（highest-leverage）、數量最少的高風險漏洞，盡快著手修補。</p> <p>換言之，這項預測帶給資安防禦者的關鍵啟示在於：需要精準識別出那些真正會引發災難的「洪水訊號」。由於實際的洪水風險並未改變，企業只要能夠善用自動化工具進行風險評分，即便CVE總量持續創下新高，資安團隊仍能在不額外擴增人力成本的前提下，有效管理風險暴露，確保企業營運安全。</p> </div></div></div>
6/17 10:04作者羅正漢https://www.ithome.com.tw/news/176666
歐洲理事會傳資料外洩，駭客組織ShinyHunters聲稱竊得43萬份資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>駭客組織ShinyHunters本周宣稱駭入歐洲理事會（Council of Europe）內部系統，竊走歐洲多國人員薪資等42.9萬份檔案。</p> <p>歐洲理事會是具有國際法地位的國際組織，其宗旨為維護歐洲的人權、民主和法治，目前有46個歐洲國家參與。</p> <p>本周ShinyHunters在其資料公開網站貼文宣稱成功竊得歐洲理事會的訊息。這群駭客說他們得手了多個歐洲理事會分部的人事及薪資檔案，包括上萬名員工2011到2026年間的薪資條約40.9萬份、內部人事檔案3,700多份、1.4萬份履歷表等檔案。</p> <p>這些檔案外洩的資料型態眾多，包括員工ID、地址、電話號碼、出生日期、薪資、銀行帳號、稅務和社會安全碼資訊、醫療資料和出勤記錄、任務資訊及其他內部機構資料。</p> <p>駭客並要求歐洲理事會在6月16日前聯繫，否則將公開資料。對於整起事件，歐洲理事會對<a href="https://www.bleepingcomputer.com/news/security/council-of-europe-investigates-shinyhunters-data-breach-claims/" target="_blank">媒體Bleeping Computer</a>發現表示，正在著手調查，現階段拒絕評論。</p> <p>目前尚不清楚ShinyHunters透過何種途徑取得這批資料。<a href="https://www.ithome.com.tw/news/174786" target="_blank">今年3月ShinyHunters也曾經宣稱</a>入侵歐洲聯盟執委會的AWS雲端環境，竊得超過350 GB資料，包含數個資料庫內容。之後CERT-EU證實，事件是和開源漏洞掃描工具Trivy有關的供應鏈攻擊，攻擊者藉此取得AWS某個API金鑰而存取歐盟執委會的雲端環境。</p> </div></div></div>
6/17 10:11作者林妍溱https://www.ithome.com.tw/news/176671
駭客組織ShinyHunters鎖定教育科技公司Infinite Campus，竊取13.7萬名師生個資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>今年3月，勒索軟體駭客ShinyHunters<strong><a href="https://www.bleepingcomputer.com/news/security/infinite-campus-warns-of-breach-after-shinyhunters-claims-data-theft/">聲稱入侵教育科技公司Infinite Campus</a></strong>，從該公司使用的Salesforce平臺竊得1.2 GB的檔案，由於該公司為美國逾3,200個學區提供學生資訊系統，範圍涵蓋46個州、握有約有1,100萬名學生個資，使得這起事故在美國受到關注。但究竟有多少學生受到影響，最近出現新的發展。</p> <p>根據<strong><a href="https://www.bleepingcomputer.com/news/security/infinite-campus-data-breach-affects-137-000-school-staff-accounts/">資安新聞網站Bleeping Computer報導</a></strong>，密碼外洩查詢網站Have I Been Pwned（HIBP）本週<strong><a href="https://haveibeenpwned.com/Breach/InfiniteCampus">將這起事故納入資料庫</a></strong>，並指出約有137,100個帳號的資料外洩，內容涵蓋電子郵件信箱、姓名、工作頭銜、電話號碼、居住地址、使用者名稱、支援工單內容，以及雇主姓名。根據Infinite Campus<strong><a href="https://www.reddit.com/r/k12sysadmin/comments/1s12xx7/infinite_campus_incident/#lightbox">向用戶通知的內容</a></strong>，外洩資料大部分為學校工作人員的姓名與聯絡資訊，而且大多數是常見於學校網站的公開資訊。</p> </div></div></div>
6/17 10:13作者周峻佑https://www.ithome.com.tw/news/176672
Google Cloud推資料代理新工具，讓自然語言分析深入資料庫與資料湖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google Cloud<strong><a href="https://cloud.google.com/blog/products/data-analytics/new-data-agents-across-the-agentic-data-cloud">擴大資料代理與自然語言分析工具</a></strong>，將相關能力帶進BigQuery、資料湖、雲端資料庫與BI平臺Looker，並新增多款面向資料工程、資料科學、資料庫維運和商業分析的代理工具，讓企業使用者不必撰寫查詢語法，能直接用自然語言向資料平臺提問，並在權限控管下取得分析結果。</p> <p>Google讓使用者直接用一般問句查資料，而不必先撰寫SQL查詢，以BigQuery為例，預覽版Conversational Analytics in BigQuery已整合至BigQuery Studio，可讓資料與業務團隊用問答方式探索資料、產生分析，並依據企業內部的業務脈絡整理答案。Conversational Analytics in Lakehouse也進入預覽，支援跨AWS、Azure與Google Cloud查詢分散式資料湖，使用者不需要先搬移資料，就能整合不同雲端環境的資料進行分析。</p> <p>AlloyDB、Spanner與Cloud SQL的Conversational Analytics也進入預覽，使用者可用自然語言查詢營運資料庫中的即時資料。Looker方面，Embedded Conversational Analytics已正式推出，可透過低程式碼iframe實作內嵌至企業自有應用程式，而Looker的Conversational Analytics API則可建立多輪對話流程，並驗證和說明底層SQL查詢。</p> <p>新資料代理中，Data Engineering Agent可將自然語言需求轉為BigQuery與Dataflow可用的SQL或Python程式碼，也能協助找出資料管線中斷原因，並提出資料表結構與分區策略建議。Data Science Agent則可協助資料科學家建議特徵、產生筆記本樣板程式碼與技術文件。</p> <p>Google還推出預覽版資料庫觀測代理、資料庫導入代理與Looker儀表板代理。資料庫觀測代理用於監控Cloud SQL、AlloyDB、Spanner與Bigtable效能，資料庫導入代理則可依使用需求建議合適的Google Cloud資料庫，而Looker儀表板代理則讓使用者在儀表板內提問，取得資料摘要與說明。</p> <p>開發者工具方面，Data Agent Kit進入預覽，Managed MCP Servers for Databases已正式推出，支援AlloyDB、Spanner、Cloud SQL、Bigtable與Firestore。Google也推出預覽版Managed MCP Server for Looker，讓支援MCP的代理工具查詢Looker語意模型。</p> </div></div></div>
6/17 08:10作者李建興https://www.ithome.com.tw/news/176669
冒充官員鎖定CEO！波蘭政府警告大型企業當心社交工程威脅
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.gov.pl/web/cyfryzacja/komunikat-pelnomocnika-rzadu-do-spraw-cyberbezpieczenstwa-w-sprawie-podszywania-sie-pod-politykow">波蘭數位事務部於6月12日發布警訊</a>，引述該國網路安全全權代表揭露的調查指出，近期出現偽冒當地政府官員的社交工程活動。駭客試圖藉此與大型企業執行長取得聯繫，最終目的可能在於竊取敏感資料、植入惡意軟體或詐取資金。</p> <p>根據波蘭數位事務部與國家電腦安全事件應變小組（CSIRT GOV）的說明，網路犯罪分子主要利用社交工程手法，在WhatsApp和Signal等即時通訊軟體上冒充政府官員與VIP人士。為了提高可信度，攻擊者會從官員的官方帳號下載照片與個人資料來建立偽冒帳號，但使用的電話號碼與官員實際登記的並不相同。</p> <p>接下來，犯罪分子會利用這些虛假帳號，向國營及私人企業的高階管理者發送訊息，利用官員身分的權威與公信力使受害者放下戒心。在攻擊者成功引誘受害者建立聯繫後，進而展開後續的滲透行動。</p> <p>值得留意的是，這類針對企業組織高層的攻擊手法已在國際間頻傳。美國聯邦調查局（FBI）一年前<a href="https://www.ithome.com.tw/news/169994">曾警告</a>，有駭客假冒美國高層官員進行詐騙簡訊與語音釣魚；<a href="https://www.ithome.com.tw/news/169993">義大利</a>也曾發生國防部長遭偽冒，攻擊者目的是鎖定當地多名企業高層。這反映出冒名官員、針對高層的社交工程陷阱已遍及國際，成為全球企業不容忽視的資安風險。</p> </div></div></div>
6/16 18:24作者羅正漢https://www.ithome.com.tw/news/176662
新加坡啟用新AI超級電腦Aspire 2B，搭載逾1,500顆H200打造115PF總算力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>新加坡國家超級電腦中心（NSCC）近期宣布新一代國家級超級電腦Aspire 2B正式投入運作，主打AI運算與大型模型訓練能力，其整體效能約為前一代系統提升數倍。</p> <p>Aspire 2B採用超過1,500顆的Nvidia H200 GPU，其峰值總運算力可達約115 PF，將投入當地的人工智慧、氣候模擬與科學研究等國家級應用。</p> <p>Aspire 2B在設計上明顯從過去以科學模擬為主的高效能運算（HPC），轉向以AI為核心的混合工作負載架構，包括大型語言模型（LLM）訓練與推論、氣候與環境模擬、量子運算與跨領域科學研究、政府與研究機構AI應用。</p> <p>整體架構採用CPU與GPU異質運算設計，提高AI運算資源密度，反映全球超算從「模擬導向」走向「AI導向」的趨勢。</p> <p>新加坡指出，Aspire 2B的啟用在於強化國家級AI與科學研究能力，使過去受限於算力規模的工作負載，例如大型語言模型訓練、高解析氣候模擬與跨領域科學計算，得以在本地完成。該系統也支援AI與傳統高效能運算（HPC）融合應用，讓研究人員能在單一平臺上進行從基礎科學模擬到生成式AI模型開發的多元工作。</p> <p>另外，Aspire 2B也將提升新加坡的「算力自主」，降低對海外超級運算資源的依賴，並支撐國家AI發展策略的推動。透過提供更大規模的運算資源，該系統預期可服務約9千名研究人員，加速氣候變遷、醫療健康與區域語言AI等關鍵領域的研究進展，強化新加坡作為區域AI與科研樞紐的地位。</p> <h2 dir="ltr" style="line-height:1.38;margin-top:18pt;margin-bottom:4pt;"><span style="color:#B22222;"><strong><span id="docs-internal-guid-6c996e76-7fff-98ca-31d5-c51c7604cd21"><span style="font-size: 14pt; font-family: Arial, sans-serif; background-color: transparent; font-variant: normal; vertical-align: baseline; white-space: pre-wrap;">前一代超級電腦2A曾以溫水液冷為核心設計</span></span></strong></span></h2> <p>Aspire 2B的前一代系統為2022年啟用的Aspire 2A，在當時是新加坡NSCC推動「熱帶資料中心的超級電腦」的重要里程碑。這套系統採用HPE Cray EX 架構，導入AMD EPYC處理器及352顆Nvidia A100，後續在2024年再擴充GPU，以迎合AI及生成式AI的需求。</p> <p>Aspire 2A在當時的一大特色是導入大規模溫水液冷（warm water cooling）技術。</p> <p>相較傳統資料中心使用7°C至12°C冷水冷卻，Aspire 2A採用較高溫度的液冷設計，透過直接帶走高密度運算節點產生的熱能，在熱帶高溫高濕環境中仍維持穩定運作。NSCC稱其設計針對新加坡的高溫、高潮溼的熱帶氣候地區，在有限土地空間與氣候條件下，提高資料中心能源效率的重要策略。</p> <p>Aspire 2A 也透過高密度運算與液冷架構，使機房占地相較前代系統大幅縮小，展現「高算力與低空間成本」的設計方向。</p> <p>相較於2A強調能源效率與液冷設計，此次Aspire 2B則聚焦於AI算力與H200 GPU規模擴充，但並未揭露採用的冷卻技術，如何針對功耗更高的H200，以實現熱帶地區資料中心的高密度、能源效率需求。</p> <h2 dir="ltr" style="line-height:1.38;margin-top:18pt;margin-bottom:4pt;"><span style="color:#B22222;"><strong><span id="docs-internal-guid-6c996e76-7fff-98ca-31d5-c51c7604cd21"><span style="font-size: 14pt; font-family: Arial, sans-serif; background-color: transparent; font-variant: normal; vertical-align: baseline; white-space: pre-wrap;">AI國家基礎設施競賽加速</span></span></strong></span></h2> <p>此次新加坡啟用Aspire 2B，反映各國正將AI基礎建設視為國家級數位基礎設施的一部分，臺灣也不落人後，目前我國正在推動中的新AI十大建設中，AI超級電腦也是基礎建設的一環。</p> <p>過去超級電腦的建置，主要用於氣候模擬、材料研究與科學研究，新的超級電腦運算架構明顯轉向，AI模型的自主訓練能力、國家級資料與算力主權、科學研究與AI融合運算。此外，因應全球極端氣候帶來災害，各國也加速發展超級電腦的AI預報技術，以提高對極端氣候的預測及應變能力。</p> </div></div></div>
6/16 18:39作者蘇文彬https://www.ithome.com.tw/news/176667
1Password推執行時憑證派發機制，減少工作負載長期持有權杖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>1Password<strong><a href="https://1password.com/blog/introducing-1password-credential-broker">發表1Password Credential Broker私有測試版</a></strong>，把憑證管理從人員使用情境延伸到機器工作負載。該服務首波支援GitHub Actions，讓自動建置、測試與部署流程在執行時，依照身分與政策取得所需憑證，減少長期權杖留在環境變數、設定檔或自動化流程中的情況。1Password預告，今年稍晚Credential Broker將延伸到AI代理憑證管理。</p> <p>1Password指出，不少企業在自動化流程中會建立服務帳號權杖，為避免任務失敗，常會先給較大的權限。專案結束或流程刪除後，這些權杖未必會同步撤銷，時間一久就可能累積成難以盤點的存取風險。Credential Broker要改變的是工作負載取得憑證的方式，使其不必事先持有可長期使用的權杖。</p> <p>在GitHub Actions場景中，當工作流程啟動，GitHub會產生已簽章的身分權杖，說明該次執行的程式碼儲存庫、分支與工作流程。1Password會依照管理者設定的信任政策驗證身分資訊，再交付該工作被允許取得的特定1Password項目。自動化工作因此只會在需要時拿到必要憑證，而不是取得整個保管庫（vault）的常駐存取權。</p> <p>官方表示，每次憑證請求都會記錄程式碼儲存庫、分支、工作流程、執行環境與程式碼提交。企業查看紀錄時，不再只是看見服務帳號曾存取憑證，也能追溯提出請求的自動化流程與執行環境。</p> <p>不過，Credential Broker目前並未處理所有憑證生命週期問題，1Password也說明，工作負載從1Password取得憑證後，該憑證在上游系統能存活多久，仍取決於該系統本身的政策，例如資料庫密碼若在資料庫端仍是長期密碼，這個版本尚未提供自動輪替。現階段主要改變，是拿掉工作負載對1Password保管庫的常駐存取，並把每個自動化工作可取得的憑證限縮到實際需要的範圍。</p> </div></div></div>
6/16 18:06作者李建興https://www.ithome.com.tw/news/176664
【資安日報】6月16日，上百名資安專家連署反對Claude Fable禁令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/176639"><strong style="font-size: 22px;">上百名資安專家連署反對Anthropic Claude Fable與Mythos禁令</strong></a></p> <p>在美國政府下達禁止外國人使用Anthropic Claude Fable/Mythos模型的命令後，超過130名資安專家連署發表公開信，說明AI對資安的重要性，要求政府官員解除禁令。他們認為，Mythos等級的模型能幫助程式開發人員及安全團隊加速找到並修補漏洞，防守方必須利用這樣的工具，比敵人更快找到弱點並進行修補。再者，中國公開的開放權重模型實力只比美國頂尖模型落後幾個月，一旦美國政府奪走最優秀的AI能力，情況會變得非常危險。</p> <p><a href="https://www.ithome.com.tw/news/176648"><strong style="font-size: 22px;">中國駭客組織UNC6508鎖定美國醫療與國防研究機構竊取機密</strong></a></p> <p><a href="/sites/default/files/images/inifinitered-fig1-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/inifinitered-fig1-63.jpg" style="width: 300px; float: right;" /></a></p> <p>Google威脅情報團隊（GTIG）揭露由新興中國駭客組織UNC6508發起的大規模網路間諜行動，鎖定北美學術、醫療與軍事研究社群的機構，在長達逾一年的潛伏期間，攻擊者入侵對外開放的網路應用程式、部署客製化惡意軟體、滲透進敏感內部系統，並濫用企業管理工具進行隱密的資料外洩。GTIG指出，攻擊者的情報蒐集目標範圍極廣，包括涉及國家安全的敏感國防情報、印太司令部作戰行動、人工智慧、無人載具系統、網路作戰計畫及醫學研究。</p> <p><a href="https://www.ithome.com.tw/news/176606"><strong style="font-size: 22px;">Google控告濫用Gemini的中國詐騙集團Outsider Enterprise</strong></a></p> <p>6月12日Google向紐約南區聯邦地方法院提告，指控中國網路犯罪集團Outsider Enterprise透過AI工具與釣魚工具包建立大規模詐騙基礎設施，並以詐騙簡訊竊取受害者帳號、密碼與信用卡資料。根據TechCrunch取得的訴狀內容，Outsider Enterprise開發並維護名為Outsider的釣魚工具套件，Google將其稱為「傻瓜版釣魚工具」（phishing-for-dummies），內建290種網站範本，供用戶快速建立冒充電信業者、金融機構、政府機關及零售商的假網站。</p> <p><a href="https://www.ithome.com.tw/news/176632"><strong style="font-size: 22px;">思科修補SD-WAN系統已遭利用的漏洞</strong></a></p> <p>6月15日思科發布資安公告，指出旗下的Catalyst SD-WAN Manager存在任意檔案寫入漏洞CVE-2026-20262，此漏洞存在於該系統的網頁使用者介面，通過身分驗證的攻擊者可遠端在檔案系統建立新的檔案，甚至能覆寫已經存在的任何檔案，CVSS風險評為6.5分，影響內部建置、雲端，以及政府機關專用版本。值得留意的是，思科已掌握漏洞遭到少量利用，再加上沒有其他緩解措施，呼籲用戶儘速套用新版軟體因應。</p> <p><a href="https://www.ithome.com.tw/news/176635"><strong style="font-size: 22px;">CISA將思科SD-WAN系統任意檔案寫入漏洞加入KEV</strong></a></p> <p>思科於6月15日揭露Catalyst SD-WAN Manager任意檔案寫入漏洞CVE-2026-20262，同一天美國網路安全與基礎設施安全局（CISA）表示，他們已掌握漏洞遭到積極利用的證據，將其加入已遭利用的漏洞列表（KEV），要求聯邦機構必須在6月29日前完成修補。同日CISA將另一個高風險漏洞CVE-2026-54420加入KEV，此為LiteSpeed提供的cPanel外掛程式弱點，問題與符號連結有關，CVSS風險為8.5分。</p> <p><a href="https://www.ithome.com.tw/news/176647"><strong style="font-size: 22px;">Palo Alto Networks警告VPN高風險漏洞遭積極利用</strong></a></p> <p>6月9日資安公司Palo Alto Networks提出警告，5月中旬公布的防火牆作業系統PAN-OS漏洞CVE-2026-0257在先前出現少量利用嘗試後，如今已遭攻擊者積極利用。該公司威脅情報團隊Unit 42觀測到身分尚未確認的駭客團體濫用該漏洞，以存取VPN系統GlobalProtect。目前僅有少數受害裝置建立了VPN連線，導致閘道連線（gateway-connected）事件，但並未出現其他後續存取行為，或是橫向移動的現象。</p> <p><a href="https://www.ithome.com.tw/news/176645"><strong style="font-size: 22px;">LiteSpeed修補cPanel外掛程式已遭利用的權限提升重大漏洞，若未更新可能導致攻擊者取得底層共享主機Root權限</strong></a></p> <p>美國網路安全與基礎設施安全局（CISA）於6月15日公告，將網站伺服器平臺LiteSpeed的cPanel外掛程式漏洞CVE-2026-54420，加入已遭利用的漏洞列表（KEV），此漏洞LiteSpeed於6月1日揭露與修補，問題源自LiteSpeed整合在cPanel/WHM管理平臺上的用戶端外掛程式（User-End Plugin），若攻擊者已取得底層共享主機的FTP或Web Shell存取權限，就可能利用此漏洞，獲得底層共享主機的Root權限，CVSS嚴重性評分達8.5分。</p> <p><a href="https://www.ithome.com.tw/news/176612"><strong style="font-size: 22px;">CISA將Ivanti Sentry滿分漏洞列為已知遭利用，Ivanti稱攻擊嘗試僅見於蜜罐環境</strong></a></p> <p>美國網路安全暨基礎設施安全局（CISA）於6月11日宣布，將影響Ivanti Sentry安全閘道設備的CVE-2026-10520，納入已知遭利用漏洞（KEV）清單。對此，Ivanti更新公告內容，強調若要利用CVE-2026-10520，需要存取管理介面的8443連接埠，若用戶依照Ivanti的建議，管理介面不應暴露於網際網路。然而，為了識別惡意行為是否存在，蜜罐環境經常採用不適當的配置。因此，Ivanti認為CISA所根據的狀況是發生在蜜罐陷阱，而非正式使用環境。</p> <p><a href="https://www.ithome.com.tw/news/176654"><strong style="font-size: 22px;">UpdraftPlus WordPress外掛程式修補重大身分驗證繞過漏洞，未更新可能導致攻擊者取得管理員權限</strong></a></p> <p>資安業者Wordfence於6月10日揭露，安裝數量超過300萬臺系統的WordPress網站備份外掛程式UpdraftPlus，存在繞過身分驗證漏洞CVE-2026-10795，CVSS嚴重性評分達8.1分，可能導致未經驗證的攻擊者以管理員身分控制網站，UpdraftPlus已於1.26.5版完成修補。漏洞則是源自外掛程式與UpdraftCentral控制臺之間的通訊機制驗證不足，導致攻擊者可以繞過驗證，冒充UpdraftCentral管理員身分執行遠端程序呼叫（RPC）指令，並完全控制網站。</p> <p><a href="https://www.ithome.com.tw/news/176597"><strong style="font-size: 22px;">phpBB修補重大身分驗證繞過漏洞，攻擊者可冒充任意論壇用戶</strong></a></p> <p>開源論壇軟體phpBB近日發布更新，修補重大身分驗證繞過漏洞，攻擊者可利用這個漏洞登入包括管理者在內的任意帳號，受影響版本涵蓋3.3.16以前的所有3.x版本，以及4.0.0-a2以前的4.x測試版本，其中3.x版已於3.3.17版修補完成，但4.x版尚未修補。通報漏洞的資安公司Aikido指出，該漏洞已存在逾10年，攻擊者僅需發送特製HTTP請求，便能觸發漏洞，進而登入任意帳號，然後利用管理員帳號取得完整的論壇讀取、寫入和刪除權限。</p> <p><a href="https://www.ithome.com.tw/news/176643"><strong style="font-size: 22px;">伊朗駭客Handala傳出入侵加州水務公司，洩露GPS基礎設施憑證、客戶個資</strong></a></p> <p>威脅情報公司Dataminr於6月11日發現，伊朗駭客組織Handala聲稱成功入侵加州水務公司California Water Service（Cal Water）。由於Cal Water是美國投資人持有的大型水利設施，業務橫跨加州約100個社區、服務約兩百萬名用戶，因此這起事故引起研究人員的注意。根據駭客公布的資料，Cal Water至少有兩個系統遭到入侵，其中一個是帳號資料庫，內含多個服務區的客戶個資；另一個是RTKBase NTRIP網路，用於工程團隊進行精密的GPS作業。</p> <p><a href="https://www.ithome.com.tw/news/176605"><strong style="font-size: 22px;">瘋世足除了防範假門票，也要防範假FIFA與贊助商徵才的網釣活動</strong></a></p> <p>2026年世界盃足球賽（FIFA World Cup）開打，針對賽事的網路釣魚威脅也隨之升溫。資安業者Fortinet近期也發布最新調查報告，警示全球民眾與企業需嚴加防範網路假冒。攻擊者不僅利用售票服務、賽事直播及球賽博弈等熱門關鍵字作為誘餌，企圖誘騙民眾上鉤，由於世界盃賽事規模龐大，帶動海量人力需求，包括臨時工、承包商、飯店服務人員、後勤物資人員、媒體支援，以及設置在賽事特定崗位的人員，攻擊者也藉此開闢了新的攻擊路徑。</p> <p><a href="https://www.ithome.com.tw/news/176627"><strong style="font-size: 22px;">NightSpire勒索軟體濫用合法管理工具發動攻擊，已入侵包括臺灣在內33個國家</strong></a></p> <p>勒索軟體NightSpire自2025年初被發現以來，短短幾個月內就入侵包括臺灣在內的33個國家，已有至少64家組織與企業受害，涵蓋醫療、政府、金融、製造與IT服務等行業。資安業者Picus近日分析這款勒索軟體的攻擊手法，指出NightSpire的特色是結合多種合法工具，使惡意行為能融入正常系統活動中，從而達到迴避偵測與竊取資料的目的。NightSpire不僅會加密受害者本機上的檔案，同時還會威脅公開事先竊取的敏感資料，增加受害者支付贖金的壓力。</p> <p><a href="https://www.ithome.com.tw/news/176609"><strong style="font-size: 22px;">152個Chrome動態桌布擴充套件暗藏用戶行為追蹤功能，累計安裝量逾10萬次</strong></a></p> <p><a href="/sites/default/files/images/715a5b9ada3831d90270a9bc98d979865e33e992-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/715a5b9ada3831d90270a9bc98d979865e33e992-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安業者Socket近日揭露暗藏追蹤功能的Chrome擴充套件家族，這些套件雖然聲明不會收集用戶資料，實際上卻在後臺收集用戶瀏覽行為，並將這些資訊提供給第三方廣告業者。這些套件表面上聲稱提供動態桌布（Live Wallpaper）擴充功能，並在網站商店頁面表示不會收集用戶資料，但是在廠商的隱私政策連結中，卻承認會記錄IP位址、ISP、點擊次數與引薦來源（referrer data），並將這些資料提供給廣告合作夥伴。其中部分擴充套件還會操縱Google搜尋流量，影響廣告點擊追蹤的統計結果。 </p> <p><a href="https://www.ithome.com.tw/news/176641"><strong style="font-size: 22px;">網路釣魚即服務平臺SniperDz遭瓦解，主要開發者與管理員在阿爾及利亞落網</strong></a></p> <p><a href="/sites/default/files/images/unnamed-2026-06-10t101926_580-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/unnamed-2026-06-10t101926_580-63.jpg" style="width: 300px; float: right;" /></a></p> <p>威脅情報業者Group-IB於6月11日揭露，他們協助國際刑警組織（INTERPOL）與阿爾及利亞警方，瓦解運作近10年的網路釣魚即服務（PhaaS）平臺SniperDz。這起行動是國際刑警組織主導的Operation Ramz的一部分，該行動於2025年10月至2026年2月28日在中東與北非地區13國展開，總計逮捕201名嫌犯，而使用Guedz名號的SniperDz主要開發者與管理員也在阿爾及利亞落網。SniperDz平臺降低犯罪者發動網路釣魚活動的門檻，Group-IB在9年間也辨識出超過2萬個與其生態系有關的獨立網域。</p> <p><a href="https://www.ithome.com.tw/news/176636"><strong style="font-size: 22px;">ENISA歐盟網路演習邁入第八屆，2026聚焦鐵路與海運領域</strong></a></p> <p>歐盟網路安全局（ENISA）於6月10日至11日展開兩年一度的大型網路安全演習「Cyber Europe 2026」。此次演習為第八屆，核心目標為實測歐洲各國面對大規模跨境網路攻擊的集體應變能力、協作機制，以及關鍵基礎設施的復原韌性，演習重點轉向「鐵路」與「海運」兩大交通運輸領域，原因是交通部門已連續兩年位居網路攻擊目標前五名，而且鐵路與海運子部門均屬於利害關係人眾多的複雜生態系，且數位化程度日益提升。</p> <p><a href="https://www.ithome.com.tw/news/176594"><strong style="font-size: 22px;">MITRE ATT&CK第19版刪除防禦規避戰略，拆分為隱匿與防禦削弱</strong></a></p> <p>資安界廣泛採用的攻擊手法框架MITRE ATT&CK，如今已更新至第19版（目前最新為19.1版）。本次新版調整有一項重大變化，是將Enterprise ATT&CK中的防禦規避（Defense Evasion）的戰術，進一步拆分成隱匿（Stealth）與防禦削弱（Defense Impairment）。因此，更新的Enterprise ATT&CK，將從原有14個戰術（Tactics）擴展為15個。關於拆分的原因，MITRE指出，主要是隱匿與破壞其實是完全不同的行為。</p> <p><a href="https://www.ithome.com.tw/news/176496"><strong style="font-size: 22px;">Arm開源AI資安框架Metis，鎖定傳統SAST工具難以發現的漏洞</strong></a></p> <p>晶片架構設計與矽智財授權業者Arm推出開源代理式AI資安框架Metis，可協助開發與資安團隊提升大型程式碼庫安全性，對於靜態應用程式安全測試（SAST）較難偵測的複雜漏洞，能夠更快找到。Metis採用檢索增強生成（RAG）架構，結合大型語言模型（LLM）與專案特定知識，依據原始碼、建置檔與文件等資訊建立知識庫，用於分析整個儲存庫、單一檔案、拉取請求（pull request）或近期程式碼變更。</p> <p><a href="https://www.ithome.com.tw/news/176552"><strong style="font-size: 22px;">從ATM到自駕車，ISACA點出為何數位信任企業治理熱門焦點</strong></a></p> <p>數位信任（Digital Trust）已不再僅是資安防護的附屬品，而是企業維繫營運與品牌價值的核心資產。在2026臺灣資安大會中，ISACA臺灣分會副會長陳政龍特別強調，數位信任的熱度之所以持續攀升，是因為它直接關乎提供者與消費者在數位生態系統中的互動品質。在AI與數位化浪潮的驅動下，建立數位信任才是真正的競爭力所在，ISACA近年提出「數位信任生態系框架」（Digital Trust Ecosystem Framework，DTEF），即是聚焦數位信任而來。</p> <p><a href="https://www.ithome.com.tw/news/176614"><strong style="font-size: 22px;">資安不再是IT部門的事，供應鏈韌性與AI治理成企業存續的核心命題</strong></a></p> <p>資安已成企業核心議題，不再只是IT防護。資誠智能風險管理諮詢公司董事長張晉瑞近日指出，歐盟《網路韌性法》要求24小時通報漏洞，臺灣企業需具備SBOM/HBOM能力，否則失去進入市場的條件。另一方面，九成員工早已自行使用AI，企業必須重視新型態AI治理與邊界風險，像是影子AI、間接提示語注入與供應鏈投毒，以及握有高特權的代理式AI所帶來的風險。</p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/176604"><strong>【6月15日】美國政府禁止外國人士使用Claude Fable</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176576"><strong>【6月12日】Oracle PeopleSoft零時差漏洞被用於大規模攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176543"><strong>【6月11日】Exchange Online傳出可被用於欺騙的資安漏洞</strong></a></p> </div></div></div>
6/16 16:21作者周峻佑https://www.ithome.com.tw/news/176657
美國政府要求Anthropic停止對外國用戶提供Claude Fable 5，原因是傳出有人能成功越獄
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>上週Anthropic<strong><a href="https://www.ithome.com.tw/news/176499">正式發表</a></strong>Claude Fable 5與Mythos 5，並在短短3天表示<strong><a href="https://www.ithome.com.tw/news/176598">因美國政府禁令被迫宣布停用</a></strong>，研判當局得知能夠對Fable 5進行越獄的方法而祭出禁令，強調政府掌握的應該是狹義且非通用的越獄手段，並認為這是誤會。有科技新聞網站指出，傳出至少有兩組研究團隊已能成功越獄。</p> <p>根據<strong><a href="https://siliconangle.com/2026/06/14/white-house-forces-anthropic-disable-new-frontier-models-following-abrupt-export-ban/">科技新聞網站SiliconANGLE報導</a></strong>，美國商務部下達出口管制令的原因，很可能源自英國資安研究機構AI Security Institute（AISI）紅隊負責人Xander Davies的推文，他表示AISI針對Fable 5的資安防護機制進行紅隊測試，於6月9日<strong><a href="https://x.com/alxndrdavies/status/2064415072928268446">出現實質進展</a></strong>，該機構於獲得存取權限的數個小時內，開發出越獄的方法，經過兩天的測試，他們成功呼叫了惡意代理工具。但是否就是因為此事促成前述禁令，有待進一步釐清。</p> <p>不過，AISI並非唯一成功越獄Fable 5的研究團隊。<strong><a href="https://www.wsj.com/tech/ai/amazon-ceos-talks-with-u-s-officials-triggered-crackdown-on-anthropic-models-dcc90578?st=YpsshB&reflink=article_copyURL_share">華爾街日報指出</a></strong>，美國政府下令禁止所有外國人士使用，疑似源自Amazon總裁Andy Jassy和美國官員的對話內容。知情人士透露，Amazon研究人員曾利用一系列提示，讓Fable 5提供能用來從事網路攻擊的資訊。後續美國白宮開會討論如何回應，也有其他資安研究員驗證Amazon的說法，官員要求Anthropic修補弱點或下架模型。</p> <p>值得留意的是，由於之前美國國防部要求Anthropic<strong><a href="https://www.ithome.com.tw/news/174038">放寬模型在軍事領域使用限制</a></strong>，後續五角大廈<strong><a href="https://www.ithome.com.tw/news/174229">將該公司列為供應鏈風險</a></strong>，使得這次的禁令被視為加劇美國政府與Anthropic之間的緊張關係。然而，<strong><a href="https://x.com/DavidSacks/status/2065853007619588171">美國總統科學與技術顧問委員會共同主席David Sacks認為</a></strong>，美國政府其實是希望Anthropic修補發現的越獄問題，但該公司拒絕處理，並強調問題並不嚴重，美國政府是出於無奈才下達出口管制命令。Sacks強調，Fable其實是具備額外防護措施的Mythos，一旦這些保護機制失效，將會把Mythos強大的能力暴露給不該取得的用戶。特別是Anthropic曾宣稱Mythos是網路武器，必須受到監管，因此美國政府才會對於Fable被越獄的情況特別看待。</p> </div></div></div>
6/16 16:53作者周峻佑https://www.ithome.com.tw/news/176653
Apple以Swift改寫TrueType微調直譯器，降低記憶體安全風險且較C語言版快13%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Apple<strong><a href="https://www.swift.org/blog/migrating-truetype-hinting-to-swift/">公開</a></strong>一項以Swift改寫TrueType字型微調直譯器的實務案例，並釋出相關原始碼作為參考實作。Apple資安團隊說明，該改寫實作已在2025年秋季版Apple平臺採用，目標是降低字型解析過程中的記憶體安全風險，維持與原C版本一致的字型顯示結果。官方說明，該實作是已用於生產環境的程式碼，開源目的是供外界參考的實作範例，並非一個持續維護的專案。</p> <p>TrueType是常見的向量字型標準，網頁、PDF、作業系統與應用程式都可能使用，可內含供微調引擎執行的程式，系統透過位元組碼直譯器處理這些程式，在特定字級或低解析度畫面調整字形輪廓，使文字更容易閱讀。雖然現代高解析度螢幕已能直接呈現細緻字型，但Apple指出，仍有字型需要該機制確保可讀性。</p> <p>Apple現在公開原始碼，提供底層C元件搬遷到Swift的參考實例。字型解析器會處理來自網頁或文件的外部資料，資料來源不一定可信，因此直譯器若存在記憶體錯誤，就可能成為攻擊入口。Apple將該元件改寫為Swift，讓關鍵程式碼具備更好的記憶體安全性。</p> <p>改寫的難處不只在於更換程式語言，Apple說明，新版直譯器必須讓既有程式在不修改的情況下繼續運作，也必須產生與C版本相同的文字顯示結果。字型微調會影響字形最後落在畫面上的像素位置，因此即使直譯器行為只有細微差異，也可能讓使用者看到不同的文字外觀。</p> <p>Apple把正確性定義為輸出結果必須與原C實作一致，Apple建立兩套測試，第一套是可同時測試C與Swift版本的單元測試，程式碼覆蓋率達99.7%。第二套則從1,000萬個PDF檔案中縮減出4,200個測試文件，且不降低程式碼覆蓋率。這批文件內含25,572個字型，合計2,700萬個字形，Apple再以4種不同轉換方式產生畫面結果，逐一比對輸出的點陣圖。</p> <p>效能方面，Apple指出，最佳化工作集中在降低Swift執行期成本、減少C與Swift之間的資料複製、避免短時間記憶體配置，以及減少動態分配。Apple表示，在其測試中，Swift版直譯器平均比被取代的C版本快13%。</p> </div></div></div>
6/16 17:04作者李建興https://www.ithome.com.tw/news/176661
MagicAd廣告木馬藏身小米、三星官方商店App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://news.drweb.com/show/?i=15262&lng=en" target="_blank">資安業者Doctor Web近日揭露Android廣告木馬Android.MagicAd.1</a>，發現其藏身於超過50款遊戲及工具程式中，並透過小米GetApps與三星Galaxy Store等官方應用商店散布。</p> <p>Android.MagicAd.1是Doctor Web此次分析的MagicAd廣告木馬變種，現身於2025年，可在使用者不知情的情況下持續投放廣告。該木馬會先檢查執行環境是否存在虛擬機器或資安研究人員常用的分析環境，確認安全後便隱藏自身圖示，建立背景常駐服務與排程任務，確保即使使用者關閉應用程式，木馬仍可持續運作。</p> <p>Android近年已限制背景App自行啟動或覆蓋其它程式畫面，但Android.MagicAd.1會改用系統程式作為跳板。它會依裝置品牌利用小米、Vivo與Amazon設備上的預載程式喚醒自身，若這些手法無法使用，還會改以系統媒體播放器觸發廣告顯示，因此即使未取得覆蓋視窗權限，也能在背景強制投放廣告。</p> <p>Doctor Web說明，Android.MagicAd.1主要透過小米GetApps散布，也曾出現在三星Galaxy Store中。駭客通常將木馬偽裝成遊戲或工具程式上架，並在數周內主動下架，再以新的應用程式取代，猜測此一短期上架策略可能是為了降低遭安全產品或商店審核機制發現的機率。</p> <p>目前那些確認含有Android.MagicAd.1的應用程式皆已從商店移除，相關開發者也未再上架新的感染版本。不過，商店下架並不會清除已安裝在使用者裝置上的木馬，這些程式仍可持續在背景執行惡意活動。</p> <p><a href="https://github.com/DoctorWebLtd/malware-iocs/blob/master/Android.MagicAd.1/README.adoc" target="_blank">Doctor Web則透過GitHub公布相關入侵指標（IoC）</a>，列出已知樣本的SHA-1、套件名稱與App名稱，供使用者與資安人員比對。受影響App涵蓋遊戲、清理工具、PDF閱讀器、天氣、桌布與健康監測程式等類型；若使用者曾安裝相關App，應盡快移除並掃描裝置。</p> </div></div></div>
6/16 15:34作者陳曉莉https://www.ithome.com.tw/news/176659
Awesome Motive旗下外掛遭供應鏈攻擊，120萬個WordPress網站受影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://sansec.io/research/optinmonster-supply-chain-attack" target="_blank">資安業者Sansec上周六（6/13）揭露</a>，Awesome Motive旗下OptinMonster、TrustPulse及PushEngage的JavaScript檔案遭駭客植入惡意程式，導致使用相關外掛的WordPress網站面臨後門植入風險，影響規模超過120萬個網站。<a href="https://optinmonster.com/security-incident-tampered-script-served-via-optinmonster-and-trustpulse/" target="_blank">Awesome Motive則說</a>，駭客是利用第三方WordPress備份外掛UpdraftPlus的已知漏洞，取得其行銷網站伺服器存取權。</p> <p>Sansec是在監測網站供應鏈攻擊時，發現OptinMonster與TrustPulse所載入的合法JavaScript檔案遭人植入惡意程式，進一步追查後確認PushEngage也受到影響，而這些程式碼皆由Awesome Motive的CDN（Content Delivery Network）端點提供。</p> <p>Awesome Motive是一家WordPress外掛開發商，旗下產品涵蓋行銷、表單、分析、SEO及推播等網站經營工具。這次受影響的OptinMonster主要用於彈出視窗與名單蒐集，TrustPulse用來顯示購買或訂閱通知以提高轉換率，PushEngage則提供網站推播通知服務。其中，光是OptinMonster便擁有超過100萬個啟用網站，而這3款產品合計涉及逾120萬個WordPress網站。</p> <p>駭客所植入的惡意JavaScript會先確認目前是否處於WordPress管理環境，蒐集可代表管理員操作的安全權杖，接著建立隱藏管理員帳號、安裝會自我隱藏的後門外掛，並把新帳號與網站資訊傳送到攻擊者控制的伺服器。</p> <p>關於此一事件，OptinMonster與TrustPulse團隊解釋，駭客是利用第三方WordPress備份外掛UpdraftPlus的已知漏洞，入侵其行銷網站伺服器，並在該伺服器上找到CDN API金鑰，再利用這把金鑰竄改CDN提供給客戶網站載入的JavaScript檔案。由於網站會直接從CDN取得這些程式碼，因此受影響網站可能在不知情的情況下自動載入遭植入惡意程式的版本。</p> <p>不過，該伺服器與執行OptinMonster、TrustPulse服務及儲存客戶資料的系統分屬不同基礎架構，因此目前沒有證據顯示客戶帳號資料或個人資訊遭到存取。</p> <p>Sansec與OptinMonster／TrustPulse的公告並未提及此一UpdraftPlus漏洞的編號。不過，專門提供WordPress網站防護與漏洞研究的資安業者<a href="https://www.ithome.com.tw/news/176654" target="_blank">Wordfence日前揭露編號為CVE-2026-10795的UpdraftPlus重大漏洞</a>，該漏洞允許未經驗證的駭客以管理員身分執行操作，進而上傳並啟用惡意外掛或控制網站。<a href="https://tw.wordpress.org/plugins/updraftplus/" target="_blank">UpdraftPlus已釋出1.26.5版修補了該漏洞</a>，呼籲用戶應儘速更新。</p> </div></div></div>
6/16 14:34作者陳曉莉https://www.ithome.com.tw/news/176656
2026年CVE數量恐破6.6萬個，FIRST國際資安應變組織提四項應對建議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>每年CVE數量創新高已非新鮮事，但增幅更是各界觀察的重點。FIRST國際資安應變組織於6月15日舉行第38屆年會，同時發布「2026年年中漏洞預測報告」，當中指出今年登記在案的CVE漏洞數量將呈現史無前例的激增。根據FIRST最新公布資料顯示，2026年1至4月的實際披露量已較原先預估多出約6,420個漏洞，比例高出46.3%，這使得全年總量從2月份預估的59,427個，現在上修至約66,000個。</p> <p><strong><a href="http://www.first.org/newsroom/releases/20260615">報告分析指出</a></strong>，這波CVE數量暴增並非軟體安全性下降，而是反映漏洞挖掘技術與回報機制的結構性轉變。推動數量增長的三大因素包含：AI輔助漏洞挖掘重塑漏洞揭露生態、GitHub資安通報量較去年同期暴增449%，以及VulnCheck等「最後手段CNA」（CNA-of-Last-Resort）機構的漏洞編號核發數量呈現爆發式成長，年增率高達3,119%，吸收大量未分配CVE編號的漏洞。</p> <p>面對2026年的漏洞挑戰，FIRST提醒，雖然CVE總量顯著上升，但實際被利用或有高度威脅的漏洞比例並未跟著總量一起增長，這代表資安團隊的應對邏輯並未改變。對此，FIRST提出四項建議：（一）應從軟體資產類型快速增加的角度，重新審視預算配置；（二）立即採用EPSS與CISA KEV等工具進行漏洞可利用性篩選，以從大量雜訊中辨識關鍵威脅；（三）針對可能倍增的修補工作量預先作準備與規畫；（四）應積極導入防禦性AI工具，以縮短平均修復時間（MTTR）。</p> <p><a href="/sites/default/files/images/Rorecast vs_ Actual The Epochal Shift Drift Curve 2026_FIRST國際資安應變組織.jpg"><img alt="" src="/sites/default/files/images/Rorecast%20vs_%20Actual%20The%20Epochal%20Shift%20Drift%20Curve%202026_FIRST%E5%9C%8B%E9%9A%9B%E8%B3%87%E5%AE%89%E6%87%89%E8%AE%8A%E7%B5%84%E7%B9%94.jpg" style="width: 600px;" /></a></p> </div></div></div>
6/16 14:37作者羅正漢https://www.ithome.com.tw/news/176652
90天完成AI治理起手式，Check Point資安長教你用5個步驟搞定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p style="margin-left:.05pt;">隨著企業導入AI速度越來越快，開始將更多工作搭配或交由AI處理，責任歸屬的認定可能出現混亂，換言之，一旦發生意外狀況，可能大家並不清楚相關責任該由誰承擔，因為這牽涉到企業AI治理的缺失，Check Point亞太及日本區資安長 Jayant Dave最近來臺介紹一套能快速理解與實施的框架，這是他參考NIST與ISO兩大標準組織的相關框架，以及雲端控制指標（AI 模型大多部署於雲端環境），用商業語言加以簡化而成，區分為5個步驟、3個實施階段，而且能在90天完成。</p> <p style="margin-left:.05pt;">他這麼做是為了幫助大家輕鬆理解AI治理的意涵，因為上述3種分析模型對多數企業而言過於複雜，尤其是中小型企業，而非試圖築起高牆，企業若能依此概念實踐AI治理，就能同時符合 ISO與NIST的標準，以及雲端控制指標。Jayant Dave表示，企業面對AI風險管理需求的框架，通常採用<a href="https://www.nist.gov/itl/ai-risk-management-framework"><strong>NIST AI RMF</strong></a>或<strong><a href="https://www.iso.org/standard/77304.html">ISO/IEC 23894</a></strong>作為治理整體AI風險的基準，再將<a href="https://cloudsecurityalliance.org/artifacts/ai-controls-matrix"><strong>CSA AICM</strong></a>疊加上去，因為它專門處理雲端 AI 部署的特定安全控制需求，而上述的雲端控制指標是指與CSA AICM<strong>一致的</strong><strong><a href="https://cloudsecurityalliance.org/star/ai/">CSA STAR for AI</a></strong>認證。</p> <h1 style="margin-left: 0.05pt;"><span style="color:#0000FF;"><strong>AI是一把雙面刃，想要妥善控管面臨多種挑戰</strong></span></h1> <p style="margin-left:.05pt;">目前AI的實際使用方式與成效是一體兩面，若能妥善管理，它能使很多事物變得更美好，相反地，則可能釀成災難。Jayant Dave表示，所以，我們站在哪一面，就顯得格外重要，舉例來說，在銀行業任職16年的他，曾見過AI在詐欺偵測的表現遠勝以往，但也體認到人類已難以精準辨識深偽（Deepfake），須靠AI協助達到更精準地偵測；而在生產製造領域中，預測性維護至關重要，現有AI模型能妥善管理這些狀況，有助於提升企業營運效能；反之，若缺乏管理，便會陷入影子AI等問題，此外，提示詞（prompt）也是資料外洩的另一個潛在風險點。</p> <p style="margin-left:.05pt;">以AI治理的角度而言，也可區分為檯面上的已列管AI，以及檯面下的未列管AI（影子AI），Jayant Dave表示，確實存在一般的AI輔助操作（copilots）或資料的AI輔助操作（data copilots）這類企業主動採購或建置的AI系統，然而，現狀是40%至60%的AI系統處於無人治理的狀態，企業並不知道它們在系統環境究竟在做什麼。</p> <p style="margin-left:.05pt;">造成這種情況的原因主要有四個方面。就已列管AI而言，2025年眾人討論的重點在於，所有AI決策高度依賴「人類介入」（Human in the loop，HitL），但在詐欺偵測應用案例中，重點其實已經不是「人類介入」，而是「AI介入」，而且，靜態治理已無法繼續適用，因為AI模型的演進極為快速。</p> <p style="margin-left:.05pt;">若從未列管AI的角度來看，回顧過去幾個月以來的IT與商業應用趨勢，所有發展都圍繞著工作流程，而且AI已逐漸融入其中。由於AI的執行與本身的更新速度太快，人類審核與系統運作已經無法跟上模型的動態更新步伐，這些狀況都是我們必須處理的。例如，在當前紅隊演練的應用中，若企業仍採用靜態的評估模式，無論間隔三個月、六個月或九個月的定期評估，都已過時，相反地，我們必須針對更多模式持續、動態地進行評估。</p> <p style="margin-left:.05pt;">供應鏈風險也是該領域的另一個重要議題，如今相關問題變得更加嚴重，因為AI不僅放大了機會，也放大供應鏈的API 風險，而這正是治理缺口的所在。Jayant Dave表示，2026 年許多攻擊者正針對由AI模型支援的工作流程發動攻擊，而非AI模型，因為AI模型與AI代理已融入我們的工作流程，以支援各個環節，而這些正是遭受攻擊的關鍵領域。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/Check Point-AI Govern-2026-06-Reality days.jpg"><img alt="" src="/sites/default/files/images/Check%20Point-AI%20Govern-2026-06-Reality%20days.jpg" style="width: 600px;" /></a></p> <h1 style="margin-left: 0.05pt;"><span style="color:#0000FF;"><strong>安全、防護、治理容易混為一談，需要釐清差異才能明確分工</strong></span></h1> <p style="margin-left:.05pt;">想要妥善使用AI，我們往往會關注如何做到安全（Safety）、防護（Security）、治理（Governance），Jayant Dave提醒，我們必須非常清楚理解它們的差異，而且，三者必須環環相扣才能妥善運作，但很多企業尚未充分理解上述區分，混淆的狀況很常見。有些公司雖然將AI治理交由風險長處理，但很多風險長實際上卻在執行資安長的工作。</p> <p style="margin-left:.05pt;">所謂AI安全，是指AI應該符合商業預期，AI的行為與AI作業模式是否一如預期，涉及幻覺、偏見、對齊等議題的處理，主要負責人員是AI/ML工程與資料科學團隊。</p> <p style="margin-left:.05pt;">AI防禦側重防禦內外部的敵對者，關注重點在於能否抵禦包括內部與外部的攻擊者，主要負責人員是資安長（CISO）與資安維運團隊。</p> <p style="margin-left:.05pt;">AI治理正是確保安全與防護能全面運作的關鍵齒輪，涉及權責區分、政策與持續監督的工作，主要負責人員是風險長（CRO）、董事會，以及法規遵循團隊。</p> <p style="margin-left:.05pt;">面對AI治理的需求，當責（accountability）與監督（oversight）機制，將發揮關鍵作用。Jayant Dave肯定當前臺灣處於非常獨特的地位，首先，臺灣今年1月正式公布並施行的人工智慧基本法，核心就是治理；第二，臺灣既希望採用以歐盟為基礎的模式，也參考以美國為基礎的模式，在這兩者之間，尋求精妙的平衡點，因此，治理是人工智慧基本法後續24個月的調適期發揮作用之處；第三，臺灣不再僅基於安全與防護進行考量，而是著眼於如何全面治理AI架構。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/Check Point-AI Govern-2026-06-confused terms.jpg"><img alt="" src="/sites/default/files/images/Check%20Point-AI%20Govern-2026-06-confused%20terms.jpg" style="width: 600px;" /></a></p> <h1 style="margin-left: 0.05pt;"><span style="color:#0000FF;"><strong>推動AI治理可從5個步驟著手</strong></span></h1> <p style="margin-left:.05pt;">企業想要實施AI治理，將占比高達40%至60%的影子 AI轉為受管控的 AI，該如何進行？除了研究複雜的框架、ISO 標準及 NIST 準則，再設法規畫與執行解決方案，Jayant Dave提出5個簡單易懂的基礎步驟，而且，現在就可以開始行動，不必等待政府發布AI治理規範</p> <h2 style="margin-left: 0.05pt;"><span style="color:#FF0000;">第一步：了解企業正在使用的各種AI應用與服務</span></h2> <p style="margin-left:.05pt;">關於AI治理的推動流程，Jayant Dave表示，我們需要找到單一的「真相來源」，而這正是關鍵的整合環節。</p> <p style="margin-left:.05pt;">為了取得企業內部使用AI的唯一的真相來源，他列出下列作法：</p> <p style="margin-left:.05pt;">（一）透過財務或購買資料，掌握企業已採購並註冊使用的AI；（二）透過IT資產管理與各種資料對齊的方式進行確認；（三）透過AI資安解決方案與網頁Proxy記錄的端點活動，也就是上網行為的使用記錄，了解使用的服務、傳送的資料、流量類型，以識別當中的資安風險；（四）透過訪談業務單位的高階主管，得知使用AI的狀況；（五）透過雲端平臺的稽核，由於許多AI應用都透過雲端平臺提供，因此，可從中了解企業AI的使用方式。</p> <p style="margin-left:.05pt;">基本上，經由目前部署在系統環境中的控制措施，能告訴你正在使用何種類型的AI，它們還能揭示透過這些AI 模型實際傳遞的具體前後文脈絡。</p> <p style="margin-left:.05pt;">Jayant Dave表示，一旦我們能正確執行這五項措施，將能掌握90%至95%的AI應用，這將立即成為單一可信來源。經過多家大型企業的概念驗證（POC），企業察覺到正在使用的AI，其實有70%至80%是未知的。因此，只要企業正確執行其中兩項措施，便能揭露「影子 AI」的真相。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/Check Point-AI Govern-2026-06-5steps-1 days.jpg"><img alt="" src="/sites/default/files/images/Check%20Point-AI%20Govern-2026-06-5steps-1%20days.jpg" style="width: 600px;" /></a></p> <h2 style="margin-left: 0.05pt;"><span style="color:#FF0000;">第二步：進行客觀的風險評估</span></h2> <p style="margin-left:-.1pt;">找出所有AI系統之後，我們需要將這些AI系統區分到不同的風險類別，知道AI使用相關的風險，並聚焦系統一旦失效時可能產生的衝擊，以及失效發生的機率，得到客觀的評等。</p> <p style="margin-left:-.1pt;">面對任何 AI應用，無論人工智慧基本法所規範的AI或其他 AI，只要涉及關鍵決策，例如醫療保健、重大的信用決策、關鍵的金融基礎設施（交易）等，Jayant Dave認為，當中使用的AI模型都必須具備完全的透明度、當責、人類監督，以及明確的監控機制，都要有完善的真人監督和文件記錄及定期監控，且絕無例外。同時，系統必須配備緊急關閉機制（Kill Switch），以防萬一發生問題，因為能否暫停系統運作，至關重要。他預估，未來幾個月隨著臺灣市場的持續發展，我們將看到更多針對或觸及關鍵基礎架構的AI而制定的法規。</p> <p style="margin-left:-.1pt;">簡而言之，關於影子 AI的顧慮就存在於這些層面的考量，一旦確認有員工正在使用影子 AI，企業就能著手建立五天內完成審批的流程。</p> <p style="margin-left:-.1pt;">當大眾都為Anthropic或OpenAI的AI技術有多麼出色而興奮，Jayant Dave坦言，身為組織的網路安全防禦者，他只關心兩件事：影響程度（impact）與發生機率（likelihood），先前針對任何科技領域與技術都曾這麼做，只要能把上述兩件事做好，就能從保有安全距離（風險評估）的角度來駕馭AI的力量。</p> <p style="margin-left:-.1pt;">換句話說，他特別關注的是：如果系統失效、AI出問題，會造成什麼樣的衝擊？發生的機率有多高？透過這樣的觀點進行分析，我們就可以得到資安風險的評級。</p> <p style="margin-left:-.1pt;"><a href="/sites/default/files/images/Check Point-AI Govern-2026-06-5steps-2 days.jpg"><img alt="" src="/sites/default/files/images/Check%20Point-AI%20Govern-2026-06-5steps-2%20days.jpg" style="width: 600px;" /></a></p> <h2 style="margin-left: 0.05pt;"><span style="color:#FF0000;">第三步：建立企業的AI風險登記表</span></h2> <p style="margin-left:.05pt;">關於AI風險項目的確立，相關的作業程序，已經在很多企業採用的治理、風險及法規遵循（Governance, Risk, Compliance，GRC）平臺，實現高度自動化的處理，不再是手動操作。</p> <p style="margin-left:.05pt;">以風險類型而言，Jayant Dave總共列出7種，並談到目前新增的資料風險與模型風險，他說每個模型都伴隨著不同的風險，而且，適用臺灣的模型，並不代表在香港或日本同樣能成功。</p> <p style="margin-left:.05pt;">若要更徹底掌握風險的性質及因應之道，我們需要建立AI風險登記表（AI Risk Register），在此之前，我們必須找出正在運行的 AI 系統，然後執行客觀的風險分類，接著將這些資訊納入風險登記表。</p> <p style="margin-left:-.1pt;">舉例來說，當臺灣金融業向金管會申報時，他們不會詢問資產與流程的盤點，而是要求查看風險登記表。基本上，所有監管機構只問一件事：請出示風險登記表，並說明評分情況。</p> <p style="margin-left:-.1pt;">而在完成AI風險登記表的過程中，總共有10個項目需要定義。Jayant Dave特別提醒達成這項工作的三大黃金法則。</p> <ul> <li>每項風險的負責人（Owner）不能是一個團隊。</li> </ul> <p style="margin-left:35.9pt;">一般而言，IT團隊負責修復（fixing）與修補（patching），資安團隊也負責修補，因此，必須明確指定各個風險項目的負責人。以AI領域為例，假設企業有個AI輔助操作系統，它可能存在多重風險，例如資料風險或模型風險，企業必須明確指派一名負責人來處理，而非交由一個團隊。</p> <p style="margin-left:35.9pt;">以AI輔助操作系統來說，它有模型的風險，也有資料的風險，但如果是一個團隊負責，就無法更明確要求個人找出問題及解決問題，因此，每一個風險只能夠有一個人負責。</p> <ul> <li>需要為每個風險建立書面說明。</li> </ul> <p style="margin-left:35.9pt;">在填寫AI風險登記表時，我們必須釐清問題會造成的危害、背後的原因，以及何時修正。如同上述，我們必須在每個風險的負責人，必須明確指明一個人；而在風險的因應方式上，我們可以採取「接受」、「拒絕」、「迴避」、「轉移」——以接受為例，我們要寫下理由，表達我們為何接受這項風險。</p> <p style="margin-left:35.9pt;">依此完成登記表後，一旦AI風險出現，負責人可以了解其所屬的類型、造成的傷害與原因、可能性與影響程度，知道誰負責及如何因應。</p> <ul> <li>審查日期是確切的承諾，而非僅是意圖。</li> </ul> <p style="margin-left:35.9pt;">若是關鍵AI系統，Jayant Dave建議，在3至6個月內，至少建立最低限度的補償性控制措施（compensating control），若我們接受這樣的要求，持續推動相關的工作，等到審查的考驗正式展開時，就能非常清楚必須遵循的部分。</p> <h2><a href="/sites/default/files/images/Check Point-AI Govern-2026-06-5steps-3 days.jpg"><img alt="" src="/sites/default/files/images/Check%20Point-AI%20Govern-2026-06-5steps-3%20days.jpg" style="width: 600px;" /></a></h2> <h2><span style="color:#FF0000;">第四步：建立AI治理委員會</span></h2> <p>治理是許多組織缺乏的環節，因此，企業的AI治理工作持續推動需要成立委員會（Committee），Jayant Dave列出組成這個組織的三道防線負責人員。</p> <p>第一道防線是業務與技術人員，負責確保AI提供的系統服務符合業務所設定的目標，例如CISO團隊負責進行攻擊者影響評估，AI/ML工程團隊負責確保模型能如預期運作。</p> <p>資料架構師也是重要成員。Jayant Dave表示，根據Gartner的預測，到了2030年，<strong><a href="https://www.gartner.com/en/newsroom/press-releases/2026-03-17-gartner-predicts-ai-applications-will-drive-50-percent-of-cybersecurity-incident-response-efforts-by-2028">33%的IT人力將專注於資料衛生（Data Hygiene）維護，</a></strong>開發人員未來也將確保資料衛生得以維持，原因在於模型漂移（Model Drifting）現象非常普遍。</p> <p>AI治理委員會的第二道防線是風險、法務與政策遵循人員（Risk, Legal & Compliance），包含風險長、法規遵循與隱私保護主管。至於第三道防線，則是組織內部的稽核部門，其職責由金融監督管理委員會（FSC）這類監管機關規定，而且是無表決權的成員，要確保相關的報告可以上報到董事會，簡而言之，這群人不是董事會成員、沒有投票權，卻可以直接通報董事會，從評估角度來看，他們是能夠針對關鍵AI做出決策的關鍵角色。</p> <p>關於AI治理委員會設立的主要目的，除了審查所有AI系統的上線與否，還要有風險長與內部稽核人員的最終簽核，因為這些人員如果發現有重大問題，將有權限立刻暫停AI的系統。Jayant Dave強調，在任何時刻，對於任何可能對業務造成危害的AI，都應配備緊急關閉機制，以便能立即暫停運作。由於模型運作與演進的速度極快，這些緊急關閉機制至關重要，而且，最終將由AI治理委員會做出決定。</p> <p><a href="/sites/default/files/images/Check Point-AI Govern-2026-06-5steps-4 days.jpg"><img alt="" src="/sites/default/files/images/Check%20Point-AI%20Govern-2026-06-5steps-4%20days.jpg" style="width: 600px;" /></a></p> <h2 style="margin-left: 0.05pt;"><span style="color:#FF0000;">第五步：處理影子AI</span></h2> <p style="margin-left:.05pt;">最後一個階段是處理影子AI的問題，Jayant Dave認為不該立即停止影子AI，因為這麼做反而會製造更多風險，迫使最懂得使用AI、最有工作效率的員工，成為違規的人。他說，一旦驟然禁止會有兩種結果，一是組織中最聰明的人才正在使用AI，企業可能會因此失去這群人，而非不願使用AI的人；一是被禁用的AI解決方案將轉入地下，員工開始改用其他工具，因為他們知道已被偵測到，IT部門可能更難管理。</p> <p style="margin-left:.05pt;">基於上述理由，Jayant Dave建議企業應採取有架構、有系統的方式逐步開放這些「影子AI」，因為我們希望將它們轉變為「獲准使用的AI」，並且立即公開容易上手的AI工具。例如針對低衝擊、低風險、無安全疑慮，以及容易得到成果且特別容易管理的AI應用，企業可提供快速批准的程序，有些企業的做法則是先推出核准的工具清單，告訴員工現在可以使用的AI應用。</p> <p style="margin-left:.05pt;">Jayant Dave以自身經驗為例說明，他在花旗銀行工作16年，公司最初只允許使用Microsoft Copilot，後來開放使用GitHub Copilot，接著是Google 的Gemini，最後是Anthropic的AI服務，因為員工們都在使用這些工具，所以，他建議企業應針對「低垂的果實（可快速取得成果的、風險低的AI服務）」，設置5天內即可完成審批的流程。</p> <p style="margin-left:.05pt;">根據他的觀察，目前在臺灣的銀行若要審批一項新技術的使用，至少需要九個月，時間大多花在風險評估與報告對接（reporting alignment），然而，在AI急速發展與普及的此刻，這樣的決策實在太曠日廢時，企業需要為 AI 建立更快的審批流程，將其納入整體框架，並且在此基礎上建立培訓機制，提高使用AI的效率，使其更有結構，進而利於治理。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/Check Point-AI Govern-2026-06-5steps-5 days.jpg"><img alt="" src="/sites/default/files/images/Check%20Point-AI%20Govern-2026-06-5steps-5%20days.jpg" style="width: 600px;" /></a></p> <h1 style="margin-left: 0.05pt;"><span style="color:#0000FF;"><strong>AI治理的建立是具體而可行的，能在三個月內、分三個階段完成</strong></span></h1> <p style="margin-left:.05pt;">除了透過5個步驟說明實施AI治理的方式，Jayant Dave提出90天解決問題的三階段執行規畫，具體描繪企業推動AI治理的時程。</p> <p style="margin-left:.05pt;">第一個階段為期30天，工作重點在於增加企業現行AI應用的能見度（Visibility），例如盤點企業使用的AI服務、確保採用適當的盤點方式、指定AI治理的監督與負責人，以及能在7天內建立的風險評分系統。第二階段同樣為期30天，工作重點在於建立架構（Structure），例如起草AI治理委員會的章程與AI風險登記表、召開首次會議，並且公布核心政策，促使委員會開始運作。</p> <p style="margin-left:.05pt;">第三階段也是30天，工作重點在於落實治理，例如每季進行評估、向董事會匯報、列出核准的工具清單，進而彌補「影子 AI」的缺口。</p> <p>Jayant Dave表示，當我們掌握AI應用的能見度之後，即可建立明確的職責分工架構，進而建立季度與月度的治理協調機制。有了這些資訊，一旦企業的AI系統做出錯誤決策，對於該負責的人員、能否暫停運作、是否有緊急關閉機制等問題，都會有答案。</p> <p><a href="/sites/default/files/images/Check Point-AI Govern-2026-06-5steps-90 days.jpg"><img alt="" src="/sites/default/files/images/Check%20Point-AI%20Govern-2026-06-5steps-90%20days.jpg" style="width: 600px;" /></a></p> </div></div></div>
6/16 12:34作者李宗翰https://www.ithome.com.tw/news/176644
Salesforce買下AI客服平臺Fin
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.salesforce.com/news/press-releases/2026/06/15/salesforce-signs-definitive-agreement-to-acquire-fin/" target="_blank">Salesforce周一（6/15）宣布</a>，將以約36億美元收購AI客服平臺Fin，以強化旗下Agentforce代理人產品布局。</p> <p>Fin的前身為Intercom，成立於2011年，最早以網站客服聊天視窗與企業客戶溝通平臺聞名，在今年5月更名為Fin。其原有客服品牌保留Intercom名稱，全新品牌Fin則主打AI客服代理人，可透過網站聊天、電子郵件、WhatsApp、簡訊、電話及Slack等管道自動回應客戶問題，並採用自行開發、專為客服場景設計的Apex模型。</p> <p>至於Agentforce則是Salesforce於2024年推出的企業AI代理人平臺，可讓企業建立能自主執行客服、銷售、行銷及內部作業等任務的AI代理人。</p> <p>根據Fin官網上的介紹，目前已有超過3萬家企業使用其產品，每周處理超過200萬筆對話，在全球6個據點擁有1,400名員工。</p> <p>Salesforce表示，Fin擁有成熟的AI客服代理人技術與龐大客戶基礎，可補強Agentforce在客服領域的能力。雙方整合後，將提供企業更多部署AI代理人的選擇，協助企業提高客戶問題自動解決率、降低客服成本，並加速AI導入。</p> <p><a href="https://www.cnbc.com/2026/06/15/salesforce-ai-customer-service-fin-acquistion.html" target="_blank">CNBC指出</a>，Salesforce與許多SaaS業者一樣，正面臨AI工具可能顛覆既有商業模式的壓力，該公司今年以來股價已下跌逾三分之一。<a href="https://www.cio.com/article/4185285/salesforce-buying-agentic-ai-firm-fin-for-3-6-billion.html" target="_blank">CIO則引述分析師看法報導</a>，Salesforce去年迄今已收購十多家AI公司，雖有助於補強AI代理人布局，但也可能讓產品線與整合路線更加複雜。</p> </div></div></div>
6/16 13:13作者陳曉莉https://www.ithome.com.tw/news/176655
OpenRouter推出Fusion，以多模型協作提升AI研究能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://openrouter.ai/blog/announcements/fusion-beats-frontier/" target="_blank">AI模型路由平臺OpenRouter上周四（6/12）推出Fusion功能</a>，可同時呼叫多個AI模型回答同一問題，再由另一模型整合成最終答案，並宣稱Fusion可在深度研究任務中產生比單一模型更完整的答案。</p> <p>OpenRouter成立於2023年，是一家AI模型存取平臺，提供統一API讓開發者呼叫OpenAI、Anthropic、Google、Meta、Mistral及DeepSeek等業者的模型，目前支援400多種AI模型。該平臺採預付點數制，使用者依各模型原價與實際用量扣款，平臺主要在使用者儲值時收取5.5%的交易費。</p> <p>根據OpenRouter的說法，Fusion的核心概念是結合不同模型的專長，由多個模型平行分析同一問題，再透過另一模型整理各方觀點、找出共識與差異，藉此產生更完整的答案。</p> <p>OpenRouter以DRACO深度研究基準測試比較Fusion與單一模型表現。結果顯示，前四名全部都是Fusion組合，而非單一模型。其中，表現最好的是由Fable 5與GPT-5.5分別執行任務，再由Claude Opus 4.8負責綜合答案，得分為69.0%，高於單獨使用Fable 5的65.3%、GPT-5.5的60%，以及Claude Opus 4.8的58.8%。</p> <p>此外，就算是便宜的模型在融合後的表現也可挑戰頂級模型，例如由Gemini 3 Flash、Kimi K2.6及DeepSeek V4 Pro組成的Fusion組合得分64.7%，直接超越了GPT-5.5的60.0%與Claude Opus 4.8的58.8%。意味著藉由多模型協作，即使使用成本較低的模型，也有機會接近頂級模型的表現。</p> <p>另一個有趣的現象是，就算都使用同一模型也能產生效果，例如OpenRouter要求Opus 4.8模型回答兩次，再以同樣的Opus 4.8融合這兩次的答案，其DRACO成績達到65.5%，高於單獨使用Opus 4.8的58.8%。</p> <p>Fusion現已支援OpenRouter的聊天介面與API。使用者可直接採用預設Fusion組合，也可自行指定參與分析及負責整合的模型，以在效能、成本與任務需求之間取得平衡。</p> </div></div></div>
6/16 11:35作者陳曉莉https://www.ithome.com.tw/news/176646
Palo Alto Networks警告VPN高風險漏洞遭積極利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://unit42.paloaltonetworks.com/active-exploitation-of-pan-os-cve-2026-0257/" target="_blank">Palo Alto Networks日前發出安全公告</a>，警告PAN-OS漏洞CVE-2026-0257在先前出現少量利用嘗試後，如今已遭攻擊者積極利用。Palo Alto安全監控中心Unit 42觀測到一個身分未明的攻擊組織濫用該漏洞，以存取其VPN系統GlobalProtect。</p> <p>CVE-2026-0257是Palo Alto 5月中公告的驗證繞過漏洞，影響PAN-OS軟體的入口網站及閘道元件，可能讓未經授權的攻擊者繞過安全控制而啟動VPN連線，本漏洞CVSS風險值7.8。</p> <p>5月29日Palo Alto警告開始有少量嘗試利用本項漏洞的活動。美國網路安全暨基礎設施安全局（CISA）將之列入已知遭利用漏洞（Known Exploited Vulnerabilities，KEV）名錄，並要求聯邦機關於6月1日前完成修補。</p> <p>Palo Alto針對這次攻擊說明，目前未發現到存取後（post-access）行為或橫向移動。但在少量已被刺探的裝置上，攻擊者已實際建立VPN連線階段，而導致連結閘道（gateway-connected）事件。</p> <p>在本安全公告中，Palo Alto也提供了漏洞濫用活動相關的入侵指標（Indicators of Compromise，IoC），包括IP位址及主機名稱。廠商建議用戶主動檢視IoC，並強烈建議在啟用可用的緩解措施或暫時解決後，檢視CVE-2026-0257安全公告，或更新到最新版本解決漏洞。</p> </div></div></div>
6/16 11:44作者林妍溱https://www.ithome.com.tw/news/176647
中國駭客組織UNC6508鎖定美國醫療與國防研究機構竊取機密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google威脅情報團隊（GTIG）揭露由新興中國駭客組織UNC6508發起的<strong><a href="https://cloud.google.com/blog/topics/threat-intelligence/prc-targets-us-medical-research">大規模網路間諜行動</a></strong>，鎖定北美學術、醫療與軍事研究社群的機構，在長達逾一年的潛伏期間，攻擊者入侵對外開放的網路應用程式、部署客製化惡意軟體、滲透進敏感內部系統，並濫用企業管理工具進行隱密的資料外洩。GTIG與Mandiant Consulting聯手。摧毀惡意基礎設施，並通知受害機構及提供協助。</p> <p>GTIG指出，攻擊者的情報蒐集目標範圍極廣，包括涉及國家安全的敏感國防情報、印太司令部作戰行動、人工智慧、無人載具系統、網路作戰計畫及醫學研究。受影響機構涵蓋世界知名的臨床服務提供商、頂尖學術中心、北美軍事醫療機構、專業倡議團體及衛生監管機構，研究領域橫跨分子發現、臨床藥物試驗、州級公衛政策到軍事整備，合計雇用數千名員工，研究規模總計達數十億美元。</p> <p>UNC6508的活動最早可追溯到2023月9月，當時他們利用可透過網際網路存取的Research Electronic Data Capture（REDCap）伺服器，入侵與美軍有關的醫學大學，後續部署惡意程式Infinitered，目的是竊取REDCap的登入憑證，相關活動持續到202511月。值得留意的是，這些駭客隱匿行蹤的策略與許多中國駭客團體不同，他們完全使用美國境內的IP位址存取受害組織及攻擊基礎設施，使得美國企業組織無法透過來源IP位址的地理位置過濾相關威脅。</p> </div></div></div>
6/16 11:50作者周峻佑https://www.ithome.com.tw/news/176648
Linux基金會成立由Databricks貢獻的OpenSharing專案，推動AI資產與資料交換標準化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.linuxfoundation.org/press/linux-foundation-announces-opensharing-project-to-standardize-ai-asset-and-data-exchange" target="_blank">Linux基金會（The Linux Foundation）於6月10日宣布成立OpenSharing Project</a>，這項專案源自資料與AI平臺業者Databricks的貢獻，是一個強調開放與廠商中立（vendor-neutral）的交換協定，用於建立跨雲端、跨資料平臺的共通交換規範，讓企業能安全分享資料、AI模型與代理技能（Agent Skills）等資產。</p> <p>Linux基金會指出，企業導入代理型AI時，若缺乏共通交換協定，往往必須依賴點對點整合或專有市集，限制跨組織協作與AI資產交換。OpenSharing以<a href="https://www.databricks.com/company/newsroom/press-releases/databricks-unveils-delta-sharing-the-worlds-first-open-protocol-for-real-time-secure-data-sharing-and-collaboration-between-organizations" target="_blank">Databricks於2021年推出的Delta Sharing開放協定</a>為基礎，將原本用於跨組織資料分享的能力，延伸至代理型AI應用所需的非結構化資料、AI模型與代理技能。</p> <p><a href="https://github.com/OpenSharing-IO/OpenSharing" target="_blank">根據OpenSharing在GitHub儲存庫的說明</a>，該協定採零複製分享（zero-copy sharing）模式，資產仍保留在資料提供者的儲存環境，由分享伺服器核發短效、限定存取範圍的雲端憑證，讓接收方直接存取資料表、檔案目錄、機器學習模型或代理技能。</p> <p>Linux基金會也說明，OpenSharing將延續Delta Sharing既有連接器生態系，並擴大對Apache Iceberg等開放資料表格式的支援，提升互通性。透過Linux基金會託管，OpenSharing也將以社群治理方式推動，降低企業在不同資料湖、資料倉儲或分析平臺之間重複開發與維護客製化整合方案的需求。</p> </div></div></div>
6/16 10:24作者王珮瑤https://www.ithome.com.tw/news/176634
CISA將思科SD-WAN系統任意檔案寫入漏洞加入KEV
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>思科於6月15日<strong><a href="https://www.ithome.com.tw/news/176632">揭露</a></strong>Catalyst SD-WAN Manager（原SD-WAN vManage）任意檔案寫入漏洞CVE-2026-20262，同一天美國網路安全與基礎設施安全局（CISA）表示，<strong><a href="https://www.cisa.gov/news-events/alerts/2026/06/15/cisa-adds-two-known-exploited-vulnerabilities-catalog">他們已掌握漏洞遭到積極利用的證據</a></strong>，將其加入已遭利用的漏洞列表（KEV），要求聯邦機構<strong><a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-20262">必須在6月29日前完成修補</a></strong>。</p> <p>同日CISA將另一個高風險漏洞CVE-2026-54420加入KEV，此為LiteSpeed提供的cPanel外掛程式弱點，問題與符號連結有關，CVSS風險為8.5分。</p> </div></div></div>
6/16 10:25作者周峻佑https://www.ithome.com.tw/news/176635
英國也要禁止16歲以下使用社交媒體，盼讓孩子重拾童年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.gov.uk/government/news/social-media-to-be-banned-for-under-16s-in-landmark-government-move-to-givekids-their-childhood-back" target="_blank">英國政府周一（6/15）宣布</a>，將禁止16歲以下兒童使用社交媒體，並針對直播、陌生人聯繫及AI戀愛聊天機器人等功能祭出額外限制。政府表示，此舉獲得9成家長支持，預計於今年底前提交國會審議，最快2027年春季上路，希望減少兒童沉迷網路的時間，讓孩子找回童年。</p> <p>英國政府表示，新制度將比照澳洲模式，要求社交平臺阻止未滿16歲用戶使用服務，適用範圍涵蓋TikTok、Instagram、Facebook、YouTube、Snapchat及X等以用戶互動與內容分享為主的平臺，但不包括WhatsApp及Signal等通訊服務。政府也將要求通訊管理局（Ofcom）研擬年齡驗證機制，以確認使用者是否已滿16歲。</p> <p>除了社交媒體禁令外，英國也將禁止16歲以下兒童在各類平臺直播，並限制陌生成年人透過遊戲等線上服務主動聯繫兒童。針對AI服務，模擬戀愛或親密關係的AI聊天機器人未來須將最低使用年齡提高至18歲，其它具類似親密互動功能的AI聊天機器人也將限制未成年人使用。</p> <p>英國另將進一步研議對18歲以下用戶實施夜間使用限制，以及中斷無限捲動（Infinite Scroll）等措施，預計7月公布更多細節。</p> <p><a href="https://www.gov.uk/government/speeches/pm-remarks-from-downing-street-on-social-media-15-june-2026" target="_blank">英國首相Keir Starmer表示</a>，社交媒體正讓兒童變得不快樂，更容易遭受霸凌、接觸有害內容，也可能危害心理健康。他指出，無限捲動等功能刻意吸引用戶長時間停留，剝奪孩子做功課、閱讀、與朋友在戶外玩耍及正常作息的時間，而這些原本都是兒童成長過程中不可或缺的活動，因此政府必須在科技公司利益與兒童福祉之間做出選擇。</p> <p>英國政府也強調，將同步投資音樂、文化、藝術、運動與自然活動，為兒童提供更多社交媒體之外的成長與休閒選擇。</p> <p><a href="https://www.ithome.com.tw/news/166276" target="_blank">澳洲</a>已於2025年12月實施16歲以下社交媒體禁令，<a href="https://www.ithome.com.tw/news/174273" target="_blank">印尼</a>也在2026年3月禁止16歲以下兒童使用社交媒體與部分線上平臺。<a href="https://www.ithome.com.tw/news/176540" target="_blank">加拿大</a>、<a href="https://www.ithome.com.tw/news/174937" target="_blank">希臘</a>、丹麥、法國、西班牙等國近年也陸續提出或推動類似規範，顯示限制青少年使用社交媒體已成全球趨勢。</p> </div></div></div>
6/16 10:36作者陳曉莉https://www.ithome.com.tw/news/176638
資安專家聯署反對Anthropic Claude Fable/Mythos禁令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在美國政府下達禁止外國人使用Anthropic Claude Fable/Mythos模型的命令後，<a href="https://freefable.org/" target="_blank">上百名資安專家昨（6/15）日聯署發表公開信</a>，說明AI對資安的重要性，要求政府官員解除禁令。</p> <p>Anthropic於6月9日公佈Claude Fable後，開始向Pro、Max及Enterprise用戶部署Fable 5，原定Enterprise用戶部署時程持續至6月22日。但上周五美國商務部向發出出口管制命令，引述美國國家安全主管機關的說法，要求Anthropic中止任何外國人存取Fable 5及Mythos 5，不論他們是位於美國境內、境外或是Anthropic的員工。為了遵循這道命令，Anthropic緊急公佈，立即對所有用戶關閉Fable 5和Mythos，同時著手和美國政府交涉。</p> <p>在致美國商務部長Howard Lutnick及國家網路主任Sean Cairncross的公開信中，這群專家說，AI對網路安全具有重大影響力，Anthropic Mythos等級的模型擅長找到漏洞。雖然也可能被惡意分子濫用，但它也能幫助程式開發人員及安全團隊找到並修補漏洞。美國政府必須幫助安全團隊比敵人更快找到並修補新撰寫與舊有程式碼的漏洞。</p> <p>研究人員警告，中國的開放權重模型實力只比美國頂尖模型落後幾個月，這還是公開資訊而已，而中國政府具有的模型能力可能超出外界所知。在敵人快速進步同時，美國政府在欠缺充分理由情況下，從安全研究人員手中奪走最優秀的AI能力，情況會變得非常危險。</p> <p>公開信聯署人包括Facebook前資安長Alex Stamos、抓漏獎勵平臺Bugcrowd創辦人Casey Ellis、蘋果前安全架構師Jon Callas、Sophos執行長Joe Levy等人。到周二早上，聯署人已經超過130人。</p> <p>這些聯署人雖然對AI規範方法立場各異，但他們對政府管制程序，一致要求必須奠基於有產學專家參與的科學評估基礎上，須經過民主化的決策過程，而且執法需透明公開且提供適當的修復時間。他們認為，AI管制應以確保美國大眾安全為前提，並以最小必要程度實施規範。</p> </div></div></div>
6/16 10:44作者林妍溱https://www.ithome.com.tw/news/176639
網路釣魚即服務平臺SniperDz遭瓦解，主要開發者與管理員在阿爾及利亞落網
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.group-ib.com/top-investigations/dismantling-sniperdz/" target="_blank">資安調查與威脅情報業者Group-IB於6月11日揭露</a>，他們協助國際刑警組織（INTERPOL）與阿爾及利亞警方，瓦解運作近10年的網路釣魚即服務（PhaaS）平臺SniperDz。<a href="https://www.ithome.com.tw/news/175975" target="_blank">這起行動是國際刑警組織主導的Operation Ramz的一部分</a>，<a href="https://www.interpol.int/en/News-and-Events/News/2026/201-arrests-in-first-of-its-kind-cybercrime-operation-in-MENA-region" target="_blank">該行動於2025年10月至2026年2月28日在中東與北非地區13國展開</a>，總計逮捕201名嫌犯，而使用Guedz名號的SniperDz主要開發者與管理員也在阿爾及利亞落網。</p> <p>SniperDz至少自2015年開始活動，曾以JokerDz、StormDz與SpamDz等名稱運作，免費提供釣魚套件、託管基礎設施與操作支援。Group-IB指出，該平臺降低犯罪者發動網路釣魚活動的門檻，該公司在9年間也辨識出超過2萬個與SniperDz生態系有關的獨立網域。</p> <p>根據Group-IB調查，SniperDz冒用PayPal、Facebook、Instagram、Yahoo、Netflix與Steam等30多個全球品牌，誘騙使用者輸入帳號密碼，並蒐集受害時間點、IP位址與所在國家等資料。該平臺提供80種釣魚範本，支援阿拉伯文、英文、法文、西班牙文與希伯來文。除了冒用企業品牌，Group-IB也指出，SniperDz相關活動曾假冒中東與北非地區知名政治人物的社群帳號，再以促銷優惠或免費上網等名義散布釣魚連結。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0616-SniperDz-600.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Group-IB</span></span></p> <p>值得注意的是，SniperDz不同於一般收取訂閱費的PhaaS平臺，而是以免費提供工具與基礎設施擴大使用規模，再透過將受害者流量導向其他服務而趁機詐取金錢，包括將使用者導向特定網站以取得流量分潤收益、電信帳單扣款詐騙、高額簡訊訂閱服務、濫用瀏覽器推播通知投放廣告，或導流至其他詐騙網站。</p> <p>在這起調查中，Group-IB透過基礎設施分析、開源情報（Open Source Intelligence，OSINT）與數位足跡比對，串聯SniperDz長期使用的網域、社群貼文、Telegram頻道的通訊內容與教學影片，並將相關情資提交國際刑警組織與阿爾及利亞警方。執法單位後續關閉SniperDz提供PhaaS能力的網站，並查扣含有釣魚軟體與指令碼的硬體設備。</p> </div></div></div>
6/16 10:51作者王珮瑤https://www.ithome.com.tw/news/176641
Threads大規模誤封事件突顯社群平臺年齡驗證挑戰，Meta坦承技術錯誤急修復
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Meta旗下社群平臺Threads與Instagram在周日到周一之間無預警爆發大規模帳號停權事件，許多臺灣使用者突然收到系統通知，指帳號因「未滿13歲」而遭到停用，造成用戶的不便。受影響對象橫跨政治人物、媒體機構、網紅與一般用戶，包括多位具有高知名度的公眾人物帳號一度無法正常使用。Meta事後坦承，這起事件是因年齡判定機制的技術錯誤，導致部分帳號被誤判為未滿13歲，正著手修復系統，目前一部分用戶的帳號已恢復。</p> <p>這次事件之所以受到高度關注，不只是因為影響範圍廣泛，更因為遭停權的帳號多為已公開經營多年的媒體或公眾人物帳號，使外界質疑平臺自動化審查與身分驗證機制的可靠性。</p> <p>數發部昨晚緊急發出新聞稿表示，上午接獲民眾陳情後即與Meta臺灣聯繫，Meta初步研判是年齡驗證機制異常所致，並非針對特定立場、族群或人士進行處置。</p> <p>Meta事後坦承，造成事件的原因是一項技術錯誤，少數帳號被誤判為未滿 13 歲的使用者，正積極處理並儘速修復。但Meta並未解釋導致誤判的原因。</p> <p><span style="font-size:22px;"><span style="color:#B22222;"><strong>多國立法限制未成年人使用社群媒體</strong></span></span></p> <p>從Meta近年政策方向來看，這起事件背後其實反映全球社群平臺正面臨愈來愈大的未成年人保護壓力。</p> <p>Meta近年陸續推出「青少年帳號」（Teen Accounts）機制，透過演算法與身分驗證技術限制未成年使用者可接觸的內容與互動對象。同時，Meta也持續開發新的年齡辨識技術，希望即便使用者填寫成年生日，系統仍能主動辨識可能的青少年帳號並套用保護措施。</p> <p>這次誤封事件突顯現今的年齡驗證技術仍存在相當程度的誤判風險，為避免誤產生，Meta強調採取科技偵測與人工檢視以移除違反規定的帳號，並提供申訴管道。</p> <p>事實上近幾年，由於青少年重度使用社交媒體可能引發焦慮、睡眠不足、手機成癮等問題，已有多國陸續推動嚴格的社群媒體年齡限制與驗證制度，例如澳洲已實施16歲以下青少年社群媒體禁令，英國、法國等國也正研議更嚴格的年齡驗證措施，要求平臺負起阻止未成年人使用服務的責任。面對監管壓力，平臺業者必須提高偵測強度，但也導致增加誤判的可能性。</p> <p>類似帳號遭錯誤停權的案例在Meta旗下服務並非首次出現，包括Threads、Instagram及Facebook都曾有使用者反映因自動化審查系統誤判而遭停權、限制登入或要求額外身分驗證的案例，雖然最終恢復正常，但也曝露社群平臺依賴AI與自動化系統作為治理工具，背後隱藏的透明度與申訴效率問題。</p> <p>由於社群平臺影響力巨大，社群平臺不只是面臨未成年人保護的壓力，平臺也面臨內容治理的壓力，如平臺散布的暴力、色情、違法或詐騙訊息等等，被要求強化不當內容的治理，今年5月行政院曾以Meta上的重覆詐騙訊息過多，要求其利用演算法從源頭上攔截詐騙訊息。</p> </div></div></div>
6/16 10:59作者蘇文彬https://www.ithome.com.tw/news/176640
ENISA歐盟網路演習邁入第八屆，2026聚焦鐵路與海運領域
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>歐盟網路安全局（ENISA）於6月10日至11日展開兩年一度的<strong><a href="https://www.enisa.europa.eu/news/cyber-europe-2026-all-eyes-on-the-eus-collective-response-and-resilience">大型網路安全演習「Cyber Europe 2026」</a></strong>。此次演習為第八屆，核心目標為實測歐洲各國面對大規模跨境網路攻擊的集體應變能力、協作機制，以及關鍵基礎設施的復原韌性。</p> <p>與前兩屆聚焦<strong><a href="https://www.ithome.com.tw/news/151346">醫療</a></strong>與<strong><a href="https://www.enisa.europa.eu/news/cyber-europe-tests-the-eu-cyber-preparedness-in-the-energy-sector">能源</a></strong>領域不同，今年演習重點轉向「鐵路」與「海運」兩大交通運輸領域。ENISA報告指出，交通部門已連續兩年位居網路攻擊目標前五名。鐵路與海運子部門均屬於利害關係人眾多的複雜生態系，且數位化程度日益提升。目前產業面臨的共同挑戰在於：如何在維持嚴格安全與可靠性標準的前提下，將傳統營運科技（OT）與現代數位系統無縫整合。此外，在地緣政治衝突激化的局勢下，交通運輸設施因涉及軍事物流功能，戰略重要性大幅提升，使其成為更具吸引力的攻擊目標。</p> <p>此外，根據ENISA發布的<strong><a href="https://www.ithome.com.tw/news/176316">NIS360</a></strong>報告，也印證目前鐵路與海運領域的資安成熟度仍低於平均值，顯見強化該領域防禦能力的迫切性。這次ENISA將演練重點轉向鐵路與海運，亦期盼透過實戰模擬，協助產業縮短安全落差。</p> </div></div></div>
6/16 11:10作者羅正漢https://www.ithome.com.tw/news/176636
HPE推VM Essentials新方案，鎖定評估更換虛擬化平臺的企業客戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在本週舉行的年度用戶大會期間，HPE宣布新的虛擬化平臺遷移方案，鎖定正在評估更換既有虛擬化平臺的企業客戶。</p> <p>根據<a href="https://www.businesswire.com/news/home/20260615729111/en/HPE-Fuels-Partner-Growth-With-New-Incentives-Partner-led-Offers-and-Unified-Program" target="_blank">HPE新聞稿</a>以及<a href="https://www.crn.com/news/virtualization/2026/hpe-unleashes-new-vm-essentials-incentives-in-vmware-by-broadcom-virtualization-market-share-battle" target="_blank">CRN報導</a>，HPE針對Morpheus VM Essentials新用戶推出優惠，購買3年授權可取得最多1年免費授權；HPE也以1美元的價格提供為期1年的HPE Zerto Advanced Resilience Edition授權（Zerto目前最高階授權版本），單次可支援最多25臺VM的遷移與保護。<a href="https://www.hpe.com/tw/en/morpheus-vm-essentials-software.html" target="_blank">VM Essentials是HPE的虛擬化軟體解決方案</a>，可從單一平臺布建與管理VMware ESXi與KVM架構的虛擬機器，協助企業逐步把工作負載遷移至HPE的虛擬機器環境。</p> <p><a href="https://www.theregister.com/virtualization/2026/06/15/hpe-offers-vmware-refugees-a-year-off-the-meter/5255460" target="_blank">The Register</a>分析認為，HPE這項轉換方案主要鎖定評估轉出VMware環境的用戶，CRN也將這項方案放在VMware by Broadcom虛擬化市場變化的脈絡下報導。<a href="https://www.theregister.com/software/2026/03/24/half-of-vmware-users-plan-to-reduce-usage-by-2028/5229588" target="_blank">The Register於今年3月</a>曾引述分析機構Virtified調查，指出約半數VMware用戶計畫在2028年前降低VMware產品使用量。</p> </div></div></div>
6/16 11:13作者王珮瑤https://www.ithome.com.tw/news/176642
伊朗駭客Handala傳出入侵加州水務公司，洩露GPS基礎設施憑證、客戶個資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美伊戰爭持續進行，伊朗駭客也傳出試圖對美國的關鍵基礎設施下手，藉此進行報復。</p> <p>威脅情報公司Dataminr<strong><a href="https://www.dataminr.com/resources/intel-brief/cyber-intel-brief-handala-claims-breach-of-california-water-service/">於6月11日發現</a></strong>，伊朗駭客組織Handala聲稱成功入侵加州水務公司California Water Service（Cal Water），並公布5 GB資料供買家驗證。由於Cal Water是美國投資人持有的大型水利設施，業務橫跨加州約100個社區、服務約兩百萬名用戶，因此這起事故引起研究人員的注意。</p> <p>根據駭客公布的資料，Cal Water至少有兩個系統遭到入侵，其中一個是帳號資料庫，內含多個服務區的客戶個資；另一個是RTKBase NTRIP發射器網路，用於工程團隊進行精密的GPS作業，涵蓋範圍跨越至少7個Cal Water服務區域，包括：Bakersfield、Chico、Salinas、Stockton、Visalia、San Mateo，以及一個區域工程部門。</p> <p>針對駭客入侵的管道，Dataminr認為很有可能是透過RTKBase平臺而得逞，此為輕量的開源GNSS基地臺應用程式，通常僅搭配樹莓派等級的硬體設備架設，該系統的網頁管理介面會直接在內部網路暴露，且缺乏經過強化的身分驗證機制，而被用於建立初期存取管道。</p> </div></div></div>
6/16 11:13作者周峻佑https://www.ithome.com.tw/news/176643
思科修補SD-WAN系統已遭利用的漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>6月15日<strong><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sdwan-arbfw-c2rZvQ">思科發布資安公告</a></strong>，指出旗下的Catalyst SD-WAN Manager（原SD-WAN vManage）存在任意檔案寫入漏洞CVE-2026-20262，通過身分驗證的攻擊者可遠端在檔案系統建立新的檔案，甚至能覆寫已經存在的任何檔案，CVSS風險評為6.5分，影響內部建置、雲端，以及政府機關專用版本。值得留意的是，思科已掌握漏洞遭到少量利用，再加上沒有其他緩解措施，呼籲用戶儘速套用新版軟體因應。</p> <p>此漏洞存在於該SD-WAN系統的網頁使用者介面，起因是在檔案上傳的流程未適當驗證使用者輸入的內容，攻擊者可發送特製的HTTP請求利用弱點，一旦成功利用，就能在作業系統底層建立或覆寫任意檔案，攻擊者並能藉由特定檔案將權限提升為root。利用CVE-2026-20262存在必要條件，攻擊者需事先取得具有寫入權限的帳號憑證。</p> </div></div></div>
6/16 10:08作者周峻佑https://www.ithome.com.tw/news/176632
AWS推出FinOps Agent公開預覽版，協助企業追查雲端成本異常
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://aws.amazon.com/tw/blogs/aws-cloud-financial-management/aws-finops-agent-is-now-public-preview/" target="_blank">雲端服務業者AWS於6月9日宣布推出雲端成本管理工具AWS FinOps Agent公開預覽版</a>，定位為代理式AI解決方案，可協助企業追查雲端成本異常、找出可能原因，並讓工程師透過自然語言查詢AWS成本與用量資料。</p> <p>AWS指出，AWS FinOps Agent可搭配AWS Cost Explorer、AWS Cost Anomaly Detection、AWS Cost Optimization Hub與AWS Compute Optimizer等服務，並可將調查結果送至Jira或Slack，協助團隊建立Jira工單，或發布至Slack頻道。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0616-aws%20finops-600-1.png" style="width: 500px;" /></p> <p>在雲端成本異常調查方面，AWS FinOps Agent可在偵測到AWS Cost Anomaly Detection事件後，自動比對AWS CloudTrail事件記錄，追蹤AWS環境中的變更活動，找出可能造成成本上升的操作或資源變動，並產生包含可能原因與資源擁有者的調查摘要。企業也可設定金額門檻，只針對超過特定金額的異常事件進行調查。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0616-aws%20finops-600-%EF%BC%92.png" style="width: 500px;" /></p> <p>這項服務也支援自然語言問答，工程師可詢問「為何上個月成本上升」等問題。AWS FinOps Agent會根據實際成本與用量資料，整理增加支出的AWS服務，以及用量成長的資源，並分析造成成本變動的主要原因。</p> <p>AWS表示，AWS FinOps Agent目前可在美國東部（維吉尼亞北部，us-east-1）區域試用。這項服務在該區域執行，若企業透過管理帳號完成設定，則可管理跨AWS區域與帳號的成本。預覽期間AWS FinOps Agent本身不收費，但設有每月用量上限；搭配使用的其他AWS服務，仍依標準費率計費。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源/AWS</span></span></p> </div></div></div>
6/16 10:11作者王珮瑤https://www.ithome.com.tw/news/176633
系統介面WASI 0.3改用元件模型非同步機制，改善Wasm跨元件呼叫與串流處理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><strong><a href="https://bytecodealliance.org/articles/WASI-0.3">WASI（WebAssembly System Interface）小組通過WASI 0.3.0</a></strong>，這一版正式讓WASI改用WebAssembly元件模型的非同步原語，規格也進入穩定狀態。該版本讓WebAssembly元件在瀏覽器外執行時，不只可以存取系統資源，也能用更一致的方式處理網路、串流資料與跨元件呼叫。</p> <p>WASI是WebAssembly在瀏覽器外使用系統功能的重要介面。早期WASI 0.1主要處理檔案、環境變數、亂數等基本功能，讓WebAssembly程式能在伺服器或命令列環境執行。2024年的WASI 0.2把重心轉向元件模型，讓不同語言寫成的WebAssembly元件可以用明確介面互相組合。而到了WASI 0.3，重點在於各元件不必各自維護事件迴圈或非同步執行環境，而是改用元件模型本身提供的共用非同步機制。</p> <p>在WASI 0.2中，使用串流或非同步功能的元件，常需要各自帶有事件迴圈或非同步執行方式。單一元件可以執行，但多個元件要彼此搭配時，事件排程不容易協調，WASI 0.3改由宿主端統一管理事件迴圈，執行環境負責安排等待中的工作，即使非同步呼叫跨過多個元件邊界，也能在結果準備好後繼續處理。</p> <p>該變更也簡化了介面設計，WASI 0.2中用來處理輪詢、輸入串流與輸出串流的機制，到了WASI 0.3不再需要由WASI另外設計，而是改由元件模型本身提供。過去需要拆成開始、完成與訂閱等多個步驟的非同步呼叫，也可改成直接宣告為非同步函式，讓綁定產生器能產生更接近Rust、Go、JavaScript或Python慣用寫法的非同步介面。</p> <p>變動較大的部分包括HTTP介面，WASI 0.3重新整理HTTP服務與中介元件的設計，使一個WebAssembly元件可以把收到的請求轉交給另一個元件處理。這種服務串接方式，讓執行環境有機會在同一個程序內組合多個元件，而不一定要讓服務之間透過網路互相呼叫。</p> <p>官方指出，WebAssembly執行環境Wasmtime 45已可執行最新候選版本，Wasmtime 46將納入WASI 0.3.0，並預設啟用元件模型的非同步能力。JavaScript元件模型工具鏈jco也已支援WASI 0.3，後續版本將預設啟用。Rust、Go、JavaScript和Python等用來開發WebAssembly元件的語言工具鏈，則仍在逐步導入支援。</p> </div></div></div>
6/15 19:05作者李建興https://www.ithome.com.tw/news/176615
瘋世足除了防範假門票，也要防範假FIFA與贊助商徵才的網釣活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>2026年世界盃足球賽（FIFA World Cup）開打，針對賽事的網路釣魚威脅也隨之升溫。繼資安業者<a href="https://www.ithome.com.tw/news/176264">CTM360</a>與<a href="https://www.ithome.com.tw/news/176124">ESET</a>陸續揭露相關威脅態勢後，Fortinet旗下FortiGuard Labs近期也發布最新調查報告，警示全球民眾與企業需嚴加防範網路假冒。</p> <p>根據FortiGuard Labs的監測資料顯示，今年1月至5月間，全球已出現超過13,000個與FIFA 2026相關的新註冊網域。經由模式分析與詐騙活動追蹤，研究人員發現其中有1,100多個網域名稱（約佔 8.8%）被識別為惡意或可疑。</p> <p>值得注意的是，攻擊者不僅利用售票服務、賽事直播及球賽博弈等熱門關鍵字作為誘餌，企圖誘騙民眾上鉤，由於世界盃賽事規模龐大，帶動海量人力需求，包括臨時工、承包商、飯店服務人員、後勤物資人員、媒體支援，以及設置在賽事特定崗位的人員，攻擊者也藉此開闢了新的攻擊路徑。</p> <p>例如，研究人員偵測到專門鎖定求職者的憑證竊取（Credential Harvesting）攻擊活動。攻擊者會散布虛假的FIFA職缺廣告或贊助商招募貼文，並向求職者發送行事曆邀請，若不慎點擊邀請中的網址連結，將會被導向一個偽造的Google登入頁面，當受害者輸入Google帳號密碼後，網頁僅會顯示通用的錯誤訊息，但攻擊者此時已成功擷取其登入憑證與個資，進而遂行後續的滲透或詐騙行為。</p> </div></div></div>
6/15 18:11作者羅正漢https://www.ithome.com.tw/news/176605
資安署開辦「資安專家會客室」，中小企業可免費申請預約
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>面對嚴峻的全球網路威脅，多國政府均意識到全面防護的重要性。在推動關鍵基礎設施與上市櫃公司的資安強化之餘，協助中小企業的資安防護力，也成為各國政策推動的戰略核心。數位發展部資通安全署（簡稱資安署）近年祭出多項針對中小企業的資安輔導措施，如今更於6月11日起進一步開辦<a href="https://moda.gov.tw/ACS/press/news/press/19908">「資安專家會客室」</a>服務，期盼持續增加協助管道，有意加強防範卻無處著手的企業人員，可藉此與資安領域專家進行免費的一對一諮商。</p> <p>回顧過去一年，政府針對中小企業已有多項具體進展，包括國家資通安全研究院（資安院）、資安署，以及經濟部中小及新創企業署（中企署），皆紛紛推動與展開相關合作。例如去年開始推動的<a href="https://www.ithome.com.tw/news/171253">資安健檢團與資安服務團</a>，還有打造資安推廣工具「<a href="https://www.ithome.com.tw/news/171261">資安星際指南</a>」並同步推出<a href="https://www.smelearning.org.tw/class.php?course=18442">資安教育訓練影片</a>，後續還釋出「<a href="https://www.ithome.com.tw/news/175154#中小企業基本資安指引">中小企業基本資安指引</a>」以建立明確的防護基準。</p> <p>另一方面，政府先前已設置「<a href="https://moda.gov.tw/ACS/press/news/press/18810">馬上辦服務中心</a>」，企業可透過智慧客服或撥打專線，獲取協助並排除基本問題；如今更啟動全新的「<a href="https://moda.gov.tw/ACS/press/news/press/19908">資安專家會客室</a>」，建置多管道的資安諮詢服務。根據資安署的說明，這兩項諮詢服務的差異在於，「資安專家會客室」將邀請具備實務經驗的專家，針對企業面臨的駭客入侵、機敏資料保護等關鍵議題，提供一對一的客製化具體行動建議，並於後續主動關懷企業的落實情況。</p> <p>至於服務能量方面，資安專家會客室採線上視訊為主、實體面談為輔進行，讓缺乏資源的中小企業可以免費預約諮詢。活動期間為6月11日起至10月底，每週共計舉行6場——每週開放兩日、每日提供3場次（上午10至11時，下午14至15時與15至16時），預估整體量能可達100場次以上。</p> </div></div></div>
6/15 18:15作者羅正漢https://www.ithome.com.tw/news/176613
CISA將Ivanti Sentry滿分漏洞列為已知遭利用，Ivanti稱攻擊嘗試僅見於蜜罐環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.cisa.gov/news-events/alerts/2026/06/11/cisa-adds-one-known-exploited-vulnerability-catalog" target="_blank">美國網路安全暨基礎設施安全局（CISA）於6月11日</a>宣布，將影響Ivanti Sentry安全閘道設備的CVE-2026-10520，納入已知遭利用漏洞（KEV）清單。Ivanti針對他們早先說明尚未掌握有客戶遭攻擊者濫用這兩項漏洞的情況，後續提出補充解釋。該公司認為，CISA將其納入KEV清單的依據，在於蜜罐環境出現攻擊嘗試。</p> <p>此事源自<a href="https://www.ithome.com.tw/news/176531" target="_blank">Ivanti於6月9日發布安全公告</a>，修補Sentry兩項重大漏洞CVE-2026-10520與CVE-2026-10523，其中CVE-2026-10520是作業系統命令注入漏洞，CVSS分數達滿分10.0分。</p> <p><a href="https://hub.ivanti.com/s/article/Security-Advisory-Ivanti-Sentry-CVE-2026-10520-CVE-2026-10523?language=en_US#:~:text=What%20is%20the,and%20EPMM.">根據Ivanti安全公告常見問題的答覆資訊</a>，該漏洞對客戶造成的實際風險，取決於Sentry設備的部署方式，以及管理介面是否限制外部存取。若Sentry設備由EPMM管理，受影響API在納入管理後會受到雙向TLS（mTLS）保護；若透過Neurons for MDM管理，不應將管理介面的8443連接埠暴露於網際網路，避免外部攻擊者存取受此漏洞影響的API。無論採用何種部署方式，都應遵循Ivanti文件對於MDM和EPMM的建議。</p> <p>針對CISA將CVE-2026-10520加入KEV的判定，Ivanti強調，若要利用CVE-2026-10520，需要存取管理介面的8443連接埠，若用戶依照Ivanti的建議，管理介面不應暴露於網際網路。然而，為了識別惡意行為是否存在，蜜罐環境經常採用不適當的配置。因此，Ivanti認為CISA所根據的狀況是發生在蜜罐環境，而非正式使用環境。</p> </div></div></div>
6/15 16:40作者王珮瑤https://www.ithome.com.tw/news/176612
GitHub改善Copilot程式碼審查，組織可統一控管Runner與內容排除設定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><strong><a href="https://github.blog/changelog/2026-06-12-copilot-code-review-new-configurations-and-controls/">GitHub更新Copilot程式碼審查（code review）功能</a></strong>，新增組織層級Runner控管、Copilot內容排除支援，並移除儲存庫自訂指示檔的字元限制。該更新讓組織管理員可更集中管理AI程式碼審查的執行環境，以及Copilot審查時可使用的儲存庫內容，也讓開發團隊能提供更完整的審查規範。</p> <p>Copilot程式碼審查採用代理式架構後，由GitHub Actions提供執行基礎。GitHub原先預設讓Copilot程式碼審查使用標準GitHub託管Runner，團隊也可另外設定自行託管Runner或較大型GitHub託管Runner。本次新增的組織層級Runner設定，讓組織管理員不必逐一調整各儲存庫，即可指定整個組織內Copilot程式碼審查預設使用的Runner類型。</p> <p>GitHub也提供鎖定Runner設定的選項。組織管理員啟用後，組織預設值可覆蓋個別儲存庫設定，避免不同專案各自使用不同執行環境。官方說明，該設定同時適用於Copilot程式碼審查與Copilot雲端代理。管理者可在組織設定中進入Copilot、Runner類型與Runner類型配置進行設定。</p> <p>另一項更新是Copilot程式碼審查開始遵循Copilot內容排除設定。儲存庫、組織與企業層級若已設定要排除的檔案或目錄，Copilot程式碼審查便不會利用這些內容作為脈絡。<strong><a href="https://docs.github.com/en/copilot/concepts/context/content-exclusion">GitHub文件寫明</a></strong>，儲存庫管理員、組織擁有者與企業擁有者可管理內容排除設定，並可透過路徑規則指定Copilot應忽略的檔案範圍。</p> <p>內容排除支援納入程式碼審查流程後，已設定排除規則的儲存庫、組織或企業，可更一致地控管Copilot程式碼審查能使用的內容，例如指定不希望納入審查脈絡的檔案或目錄。</p> <p>GitHub同時移除自訂指示檔的4,000字元讀取限制。之前Copilot程式碼審查讀取儲存庫內的自訂審查規範檔時，若.github目錄下的copilot-instructions.md或符合*.instructions.md命名格式的檔案達到4,000字元，便會停止讀取。限制移除後，團隊可在儲存庫自訂指示中放入更完整的程式碼風格、測試要求、架構慣例與審查注意事項。</p> </div></div></div>
6/15 16:44作者李建興https://www.ithome.com.tw/news/176610
資安不再是IT部門的事，供應鏈韌性與AI治理成企業存續的核心命題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>當全球貿易戰方酣、地緣政治衝突持續重塑供應鏈版圖，有一個問題正悄悄從資訊部門的技術備忘錄，爬升到董事會的戰略議程首位：企業的網路安全能力，究竟是不是決定能否進入國際市場的門檻條件？</p> <p>資誠智能風險管理諮詢公司董事長暨資誠企業管理顧問公司執行董事張晉瑞，在臺灣投資人關係協會主辦的「2026年企業全方位治理——韌性驅動力」董監事進修課程，以「網路安全與數位信任：供應鏈韌性與AI治理之戰略突圍」為題，向臺灣各產業的董事與監察人發出警示。</p> <p>張晉瑞直言，在多重危機交錯的今天，網路安全早已不再隸屬資訊部門的防護範疇，而是直接決定企業能否維持供應鏈韌性、落實AI治理的核心樞紐。</p> <h1><span style="color:#B22222;">多重危機已成新常態，資安能力直接決定合約地位</span></h1> <p>面對在場的企業高層，張晉瑞勾勒一幅令人警醒的全球風險全景。他指出，當前企業面臨的挑戰，已從過去可預期的孤立危機，演變為地緣政治衝突、氣候環境變遷、數位信任威脅三者相互加成的「多重危機」（Polycrisis）格局。這些衝擊不僅相互催化，更直接推動了全球監管趨嚴的浪潮，其中尤以歐盟的監管態勢最為強硬且具前瞻性。</p> <p>援引資誠《2026年全球數位信任洞察報告》與資誠《2026年臺灣執行長調查》的數據，張晉瑞點出幾個關鍵數字，包括：60%的企業領袖已將網路風險列為前三大優先處理事項；44%的臺灣企業領袖視關稅為營運上的高度威脅；近四成臺灣企業正計畫直接於美國投資，以因應供應鏈重構的壓力。</p> <p>這些數字共同說明一件事：「網路安全能力已不再只是IT部門的防護議題，而是決定能否進入國際供應鏈、維持合約地位的門檻條件。」，但臺灣企業面對這個新現實的準備程度，令人憂慮。</p> <h1><span style="color:#B22222;">歐盟CRA倒數計時，24小時通報能力是生死線</span></h1> <p>張晉瑞認為，2026年最迫切的法規時間壓力，就是歐盟《網路韌性法（Cyber Resilience Act，CRA）》的強制通報義務，將於2026年9月11日全面啟動，屆時所有具數位元件的產品，都必須符合CRA的通報要求，才能繼續留在歐盟市場。全面強制實施的期限則訂於2027年12月11日。</p> <p>而CRA的核心挑戰，不在於法規本身的複雜度，而在於通報時限的嚴苛程度。</p> <p>他進一步解釋，CRA法規要求企業在發現重大漏洞後，必須在24小時內向歐盟網路安全局（ENISA）提出初步預警，說明受影響產品的型號、版本與部署範圍；72小時內提交包含技術細節與初步風險緩解措施的完整報告；修補後14日內，或嚴重事件發生後一個月內，提出含根本原因分析的最終結案報告。</p> <p>「能否在24小時內完成通報，取決於企業現在是否已建立SBOM（軟體物料清單）與HBOM（硬體物料清單）的快速盤點能力。」張晉瑞說。</p> <p>SBOM（軟體物料清單）是數位產品的「成分表」，追蹤所有軟體元件與相依套件，確保漏洞能被即時識別；至於HBOM（硬體物料清單）則提供實體元件與內嵌韌體的結構化清單。</p> <p>他特別指出，在CRA的框架下，韌體被明確定義為「軟體」，同樣須接受嚴格的漏洞追蹤管理。</p> <p>他曾對一款安卓手機使用的APK安裝程式進行元件盤點，結果發現其中內嵌超過88個開源套件，而這些套件各自有版本迭代、各自有漏洞被持續發現，管理工作的龐雜程度遠超一般企業的想像。</p> <p>「對於仰賴人工盤點的企業而言，要在24小時內完成精準的SBOM（軟體物料清單）通報，幾乎是高難度任務。」他說，一旦未能精準盤點，業者面臨的不只是鉅額裁罰，更是喪失歐盟市場准入資格的實質風險。</p> <p>他特別強調，SBOM（軟體物料清單）與HBOM（硬體物料清單）的價值不只在於合規。當供應商能提供完整的元件透明度，這份清單本身就成為跨國採購談判中的信任憑證——讓買方知道自己引入的每一個元件，都有人在負責任地管理。</p> <h1><span style="color:#B22222;">以TCOD量化資安投資，讓資安預算告別「成本中心」困境</span></h1> <p>在供應鏈韌性的討論中，張晉瑞提出一個許多臺灣企業尚未普遍運用的財務工具：總中斷成本（Total Cost of Downtime，TCOD）。</p> <p>資安投資長期面臨的最大阻力，往往是「無法說明投資效益」，而張晉瑞認為，TCOD指標正好提供具體的解法——將停機損失換算為每小時的財務數字，資安防護的投資回報就有了可被評估的量化依據。</p> <p>根據西門子2024年的研究報告，張晉瑞列出各產業的每小時平均TCOD估算：汽車製造業的每小時損失可高達230萬美元，因為該產業高度仰賴即時生產（Just-in-Time，JIT）模式，單一元件短缺，即可能導致整條組裝線停擺。</p> <p>像是半導體製造業的每小時損失約在10至50萬美元之間，因為無塵室重啟耗時，停機期間製程中的高價值晶圓將全數報廢；一般製造業的每小時損失則在1至25萬美元之間，交貨延遲將觸發違約金條款，並面臨流失大型客戶的風險。</p> <p>「當汽車廠每小時損失230萬美元，縮短復原時間1小時所節省的成本，就是資安專案最直接的投資回報依據。」張晉瑞說，企業可以自身產業的TCOD基準，反推資安防護投資的合理上限，這是將資安預算從「成本中心」轉化為「風險管理工具」的第一步。</p> <h1><span style="color:#B22222;">半導體業的數位信任護城河：SSCA與SEMI E187</span></h1> <p>半導體供應鏈面臨的合規壓力，與一般製造業截然不同——無塵室的OT（營運技術）環境、製程機密與設備韌體的安全要求，是通用標準難以覆蓋的盲區，張晉瑞表示，由SEMI（半導體設備與材料國際協會）訂定的供應商網路安全評估（Semiconductor Supplier Cyber Security Assessment，SSCA）正是為此量身設計。</p> <p>相較於傳統的資安合規檢核，張晉瑞點出SSCA的三大戰略優勢，首先，產業適配性方面，SSCA專為半導體供應鏈打造，直擊製造設備與無塵室OT環境的真實威脅，而非只適用於傳統IT環境的通用標準。</p> <p>其次，稽核效率方面，傳統模式下企業面臨不同客戶的碎片化、重複性問卷，耗費龐大法遵成本，而SSCA提供單一標準化評估，結果可分享給全球客戶，大幅降低合規摩擦。</p> <p>第三，信任深度方面，SSCA基於CMMI（軟體能力成熟度模型）評級，要求可驗證的技術證據，確保產品安全的實質落實，而非僅靠紙本政策的有無。</p> <p>他表示，臺灣有許多面向全球市場的製造大廠，在這半年多來已積極針對SSCA進行對齊作業，「因為大家都知道，再不做，就沒有資格在那些市場繼續做。」</p> <p>張晉瑞解釋，這不是產品本身功能的問題，而是資格的問題，也是供應鏈上信任的問題。他也表示，完成SSCA評估的供應商，有機會只需一份標準化報告，即可回應多數客戶的稽核要求，直接降低合規成本，並使網路安全能力成為可量化的競爭優勢。</p> <h1><span style="color:#B22222;">企業不察影子AI風險，九成員工早已自行使用AI</span></h1> <p>張晉瑞認為，企業還必須重視「新型態AI治理與邊界風險」。</p> <p>他拋出四個令人坐立難安的情境：工程師為了趕專案，私下在工作筆電安裝開源AI Agent協助寫程式；行銷部門擅自使用AI外掛工具，自動讀取並連結公司內部的CRM系統；業務為了效率，把客戶資料丟進外部模型；高階主管幕僚將尚未公開的董事會簡報、併購合約交給AI機器人產出摘要。</p> <p>「這一些狀況，其實都在發生中。」張晉瑞說，上述行為統稱「影子AI」（Shadow AI），而它的規模之大，往往遠超企業管理層的認知。</p> <p>援引《PwC 2026年全球數位信任洞察報告》（Global Digital Trust Insights Survey 2026）中引用的調查數據，他指出，雖然大多數公司宣稱有在管理AI工具，但超過九成的員工表示，他們使用的是自己訂閱的個人AI服務——也就是說，企業所管控的官方授權AI工具，在整體使用量中可能連10%都不到。</p> <p>影子AI帶來的風險是多層次的，包括：機密營運數據或客戶合約可能流入公共AI平臺，違反營業秘密保護規範；外部演算法的偏見可能被引入企業的決策流程，影響決策品質；企業在數據主權的舉證上也將面臨重大挑戰。</p> <p>「現在已經不是我們要不要用AI，而是所有員工都會自己找到提高效率的方法，我們不能不管他。」張晉瑞說。</p> <h1><span style="color:#B22222;">從對話助理到高特權虛擬員工的代理式AI，風險躍升</span></h1> <p>影子AI的問題尚未解決，一個更複雜的威脅已然浮現。張晉瑞將目光指向目前最受產業關注的代理式AI（Agentic AI）——也就是能夠自主判斷、拆解任務、呼叫外部工具、甚至做出決策的AI程式。</p> <p>他進一步解釋，Agentic AI的風險性質與過去的AI工具截然不同。過去大家擔心AI「回答錯了」、產生幻覺，那是資訊品質的問題；2026年企業真正應該擔心的，是Agentic AI「做了什麼」——它存取了機密資料，將資料傳送到不受信任的環境，或在無人知情的狀態下向外部通訊。</p> <p>張晉瑞提出，當一個Agentic AI同時具備三項能力時，即可能成為高風險攻擊面，包括：具備存取企業私密資料的高度權限、持續暴露於網路上不受信任的外部內容（易遭惡意指令注入），以及具備向外部通訊與發送指令的能力。</p> <p>更令人擔憂的是，如果一位高階主管因為便利，授權代理式AI以自己的名義行事，這個AI就繼承了該主管的完整信任憑證——攻擊者一旦挾持這個AI，掌握的將不只是資料存取權，而是高階員工完整的決策邏輯與數位認知脈絡。</p> <p>他特別提到一個在網路上流傳的真實案例，一位Meta公司的AI安全防護主管，在使用某款Agentic AI工具時，眼看著AI不停地刪除他的電子郵件，他大喊「Stop doing that！」，AI卻把郵件全部刪完，才向他回報說「我發現我犯了錯誤，我沒有事先確認，以後會記錄到memory.md裡面。」</p> <p>「這就是我們現在面對的現實。」張晉瑞說，錯誤已然發生，然後AI才學到教訓。</p> <h1><span style="color:#B22222;">間接提示語注入與供應鏈投毒，意味著多代理協作的連鎖失控風險</span></h1> <p>當多個代理式AI相互協作、自動傳遞任務時，風險的複雜度又上升了一個層次。張晉瑞說明了兩種最難防範的新型攻擊手法。</p> <p>第一種是「間接提示語注入」（Indirect Prompt Injection）：攻擊者將惡意指令隱藏於AI日常處理的外部文件中——例如一封看似正常的電子郵件、一份合約附件——當AI讀取這份文件時，就被引導繞過既有的安全護欄，在未經人員覆核的情況下讀取並外傳內部機密通訊紀錄。</p> <p>第二種是「供應鏈投毒」（Supply Chain Poisoning）：Agentic AI所使用的第三方擴充元件中被蓄意植入惡意程式碼，當AI呼叫這些外掛時，觸發惡意行為，使企業核心機密在背景被靜默傳送，形成隱蔽性極高的供應鏈投毒事件。</p> <p>「這類攻擊最難防範之處，在於它往往不會立即觸發警報——惡意指令潛伏在代理記憶體中，等待高權限任務執行時才發動。」他說，這要求企業必須在流程設計階段就納入安全控制，而非事後補救。</p> <p>面對這些風險，張晉瑞提出三項具體的治理建議，首先，應將所有自主代理視為「高特權實體」，套用嚴格的存取控制機制；其次，建立終端指令白名單，明確定義哪些操作允許執行、哪些絕對禁止；第三，在涉及機密資料讀取或資金操作的節點，必須導入人類介入機制（Human-in-the-loop），以及緊急中斷機制（Kill Switch）。</p> <p>「Human-in-the-loop並非效率的阻礙，而是在自動化流程中保留人類判斷的最後防線。」張晉瑞說，在某個關鍵時間點讓人類介入，不是要降低效益，而是要掌控風險。</p> <h1><span style="color:#B22222;">負責任AI治理做得好，信任溢價就能得到財務回報</span></h1> <p>此外，張晉瑞援引《PwC第29屆全球執行長調查》的數據，指出56%的企業已導入AI，但尚未看見實質的營收增長或成本降低；同時實現營收成長與成本優化的「AI領先群」，僅占12%。這個領先群有一個共同特徵：具備制度化的負責任AI治理框架。</p> <p>更具體的數字來自另一份「2026 PwC《AI績效研究》：從AI到ROI企業領先關鍵在AI成熟度」報告，有74%集中於AI成熟度排名前20%的企業。而臺灣企業的處境尤其值得警惕——在PwC的AI成熟度評估中，臺灣企業在「治理與風險」構面的落差最為顯著，落後全球領先者高達1.71倍，是所有評估構面中差距最大的項目。</p> <p>張晉瑞表示，AI治理做得好，就可以從風險管理轉向競爭優勢。「AI管得好，回報才會顯著。」他指出，這4%的淨利潤差距，並非來自更多的AI功能，而是因為實施有效的治理框架，降低了系統失效風險，縮短了客戶的盡職調查週期，進而轉化為合約存續率與定價能力的提升。</p> <h1><span style="color:#B22222;">參考ISO 42001角色畫定責任，讓合規成為談判籌碼</span></h1> <p>在如何落實AI治理的具體路徑上，張晉瑞建議可參考ISO 42001人工智慧管理系統國際標準。他認為，這個標準最大的實用價值，在於它幫助企業依照自身在AI價值鏈中的角色，明確界定對應的合規責任。</p> <p>包括：AI開發者承擔最高技術當責，需建立訓練資料合法性文件與版本控管；AI提供者需啟動第三方風險管理，建立系統可靠度追蹤機制；AI使用者則聚焦於應用場景合規，透過合約將底層舉證責任轉嫁給供應商。</p> <p>「多數臺灣企業屬於AI使用者角色。」張晉瑞說，這意味著合規的重點不在底層技術驗證，而在管理責任與合約設計——明確要求供應商承擔舉證責任，就可以將ISO 42001轉化為談判的實質籌碼。</p> <p>他同時提到了「模型漂移」（Model Drift）的管理責任。當企業從某個AI版本切換到另一個版本時，他提醒，企業必須驗證系統產出的品質是否仍符合原先的設定，「這是AI使用者必須承擔的責任，而不能依賴模型提供者自動保證。」張晉瑞說。</p> <p>ISO 42001還有另一個具體效益：通過認證的企業，在進入歐盟等受監管市場時，可享有「符合性推定」（Presumption of Conformity）的優勢。張晉瑞表示，在競爭對手仍在逐一回應客戶的合規問卷時，已具備ISO 42001認證的企業能以相關文件直接舉證，大幅縮短跨國合約的審查週期，降低信任摩擦成本。</p> <h1><span style="color:#B22222;">信任不是用講的，是要拿得出東西來驗證的</span></h1> <p>在這個供應鏈韌性正被重新定義的時代，張晉瑞強調，企業不能只是口頭宣稱「我們資安做得很好」、「我們AI有在管理」，因為這些話人人都會說，客戶早已聽膩。</p> <p>他認為，真正的競爭力，在於面對客戶稽核時，能夠拿出：具體的文件、量化的指標、可驗證的技術證據。</p> <p>例如，SBOM讓你能在24小時內完成漏洞通報；SSCA讓你能以一份標準化報告回應全球客戶的稽核；ISO 42001讓你能在合約談判中直接舉證，這些都不是空口白話，而是有具體文件、數據作為證明。</p> <p>「信任不是用說的，是要做到，而且要經得起考驗，要拿得出東西來。」張晉瑞表示，這才是臺灣企業在2026年多重危機格局下，能夠守住市場、乃至拓展市場的真正護城河。</p> </div></div></div>
6/15 17:13作者黃彥棻https://www.ithome.com.tw/news/176614
美國司法部放行派拉蒙以1,100億美元收購WBD
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.justice.gov/opa/pr/statement-department-justice-antitrust-division-closing-its-investigation-merger-paramount" target="_blank">美國司法部反壟斷部門上周五（6/12）宣布</a>完成對派拉蒙（Paramount）收購華納兄弟探索（Warner Bros. Discovery，WBD）案的調查，認定這筆價值1,100億美元的交易不太可能損害市場競爭或消費者利益，因此決定結束調查並放行交易。</p> <p>這起交易最初是由Netflix先出手。<a href="https://www.ithome.com.tw/news/172678" target="_blank">Netflix去年12月</a>原本已與WBD達成協議，準備收購WBD拆分後的串流與內容資產，但派拉蒙隨後提出更高的全現金報價，改為收購整個WBD，並主張其交易較容易通過監管審查。雙方一度形成競價戰，直到今年2月<a href="https://www.ithome.com.tw/news/174085" target="_blank">Netflix拒絕提高報價並退出</a>，WBD旋即轉向<a href="https://ir.paramount.com/news-releases/news-release-details/paramount-acquire-warner-bros-discovery-form-next-generation/" target="_blank">接受派拉蒙每股31美元現金收購要約</a>，整體交易估值約1,100億美元。</p> <p>派拉蒙目前正式名稱為Paramount Skydance，源於該公司去年完成與電影製作公司Skydance Media的合併，因此司法部文件皆以Paramount Skydance稱呼交易方。</p> <p>司法部表示，經過8個月調查後認為，Paramount Skydance併購WBD不太可能損害市場競爭。在串流影音市場方面，合併後的新公司可整合Paramount+、HBO Max及Discovery+等服務，成為更具規模的競爭者，以對抗Netflix、Disney+及Amazon Prime Video等大型平臺。交易完成後將增加而非減少市場競爭，替消費者提供更多選擇。</p> <p>司法部也評估Skydance是否可能將華納兄弟與HBO等內容獨家保留在自家平臺，減少對其它業者的授權。不過，調查發現派拉蒙長期以來一直透過授權內容創造收益，並未看到交易後改變此一商業模式的誘因。無論是串流、傳統電視或電影市場，目前仍有Disney、Amazon、Sony、Universal、Apple及Netflix等眾多競爭者，因此認定這項交易不會對競爭或消費者利益造成實質傷害。</p> <p>儘管美國司法部已放行交易，但由於派拉蒙與華納兄弟均為加州影視產業重要企業，交易可能影響當地市場競爭與就業，因此加州政府仍保有依州法獨立評估及採取行動的權限。</p> </div></div></div>
6/15 15:27作者陳曉莉https://www.ithome.com.tw/news/176608
【資安日報】6月15日，美國政府禁止外國人士使用Claude Fable
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/176598"><strong style="font-size: 22px;">美政府要求封鎖他國用戶存取Claude Fable與Mythos，Anthropic全面暫停提供</strong></a></p> <p>甫於6月9日發表的Claude Fable 5與Mythos 5模型，Anthropic於12日表示暫時必須被迫對所有用戶關閉，原因是他們接獲美國政府發出的出口管制命令，要求中止所有非美國籍人士存取這些模型，無論這些用戶位於美國境內或境外，即使是Anthropic的外籍員工，也在管制命令的範圍裡。美國政府祭出管制命令的原因，Anthropic認為可能與模型遭到越獄有關。該公司強調，Opus 4.8與其他模型存取不受影響。</p> <p><a href="https://www.ithome.com.tw/news/176545"><strong style="font-size: 22px;">Anthropic調整Mythos級模型資料留存政策，提示詞與輸出將保留30天</strong></a></p> <p>Anthropic調整包括Claude Mythos 5與Claude Fable 5模型的資料留存政策，基於其信任與安全目的，保留使用者提交給這類模型的提示詞與模型輸出30天。該政策已於2026年6月9日起生效，主要影響原本採用零資料留存（Zero Data Retention，ZDR）的企業與雲端服務客戶；其他模型與未採用ZDR的使用情境，則維持既有條款。制訂這項新政策的原因，在於部分濫用行為無法只從單一次請求判斷，必須跨多次提示詞與輸出觀察模式才能確認。</p> <p><a href="https://www.ithome.com.tw/news/176585"><strong style="font-size: 22px;">製藥巨擘諾和諾德遭駭，外洩臨床試驗病患資料</strong></a></p> <p>丹麥製藥業巨擘諾和諾德（Novo Nordisk）於6月11日公告，內部IT系統遭未授權存取，導致參加臨床試驗的病人資料外洩。駭客存取了部分IT系統，並且複製部分未公開資訊。諾和諾德說明，事件影響了參與公司某些臨床測試的病患資訊。但該公司強調，這些資訊並未直接連結這些病患的姓名或其他可辨識身分的屬性，這是因為可辨識身分的資訊需要其他存取管道。因此這家藥廠相信，這次事件不會造成受測者身分曝光。</p> <p><a href="https://www.ithome.com.tw/news/176591"><strong style="font-size: 22px;">九州電力送配電遺失備份裝置，1,090萬用戶資料面臨外洩風險</strong></a></p> <p>日本九州電力旗下九州電力送配電於6月8日公告，用來備份部分系統資料的外接儲存裝置遺失，內含最多1,090萬用電帳戶的資料，包括姓名、供電地址、用電量，以及電話號碼等，但未含銀行帳戶及信用卡資訊。該公司在4月27日完成備份後，確認已將外接儲存裝置放在櫃子內，但5月26日要再進行定期備份時，就找不到該裝置了。九州電力送配電也曾詢問在這期間曾經出入機房的人員並進行現場調查，迄今仍未尋獲。</p> <p><a href="https://www.ithome.com.tw/news/176587"><strong style="font-size: 22px;">駭客宣稱竊走Dynatrace數百個GitHub儲存庫，外洩原始碼、公司資料</strong></a></p> <p><a href="/sites/default/files/images/dynatrace-1-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/dynatrace-1-63.jpg" style="width: 300px; float: right;" /></a></p> <p>AI基礎架構效能監控及安全供應商Dynatrace傳出GitHub儲存庫遭竊，駭客存取246個儲存庫，導致公司基礎架構資訊、軟體原始碼與員工資料外流。代號為xpI0itrs駭客在駭客論壇上張貼Dynatrace GitHub資料的兜售訊息，宣稱是利用廠商私有存取令牌（PAT）得逞，內容包含內部基礎架構、CI/CD管線、Kubernetes叢集管理資訊、敏感基礎架構細節、組織架構，以及特定專案的員工資訊，檔案大小為8.46 GB，開價1.2萬美元。不過，迄今Dynatrace尚未對外針對此事作出說明。</p> <p><a href="https://www.ithome.com.tw/news/176592"><strong style="font-size: 22px;">Arch Linux套件庫AUR爆供應鏈攻擊，孤兒套件遭接管，被用於散布惡意程式</strong></a></p> <p>以提供用戶高度自由的Linux發行版Arch Linux，其社群軟體套件庫Arch User Repository（AUR）傳出供應鏈攻擊事件。軟體供應鏈安全業者Sonatype於6月11日揭露，攻擊者鎖定存放在AUR的無人維護套件，在接手合法套件後修改PKGBUILD或安裝指令，使使用者在建置或安裝套件時，透過NPM下載惡意套件atomic-lockfile，進而執行Linux惡意酬載。Sonatype後續更新指出，初步估計受影響套件總數可能接近1,500個。</p> <p><a href="https://www.ithome.com.tw/news/176589"><strong style="font-size: 22px;">法國政府通訊平臺Tchap發生帳號冒用事件，逾7.3萬名公部門人員受影響</strong></a></p> <p>法國政府加密即時通訊平臺Tchap發生安全事件。負責Tchap的營運單位法國跨部會數位事務局（Direction interministérielle du numérique，DINUM）於6月8日公告，6月7日其中一個Tchap使用者帳號遭冒用，攻擊者藉此查看該帳號可存取的公開對話內容。DINUM表示，已與法國國家資訊系統安全局（ANSSI）協調分析此事，並封鎖涉案帳號。DINUM估計，Tchap超過82.5萬名使用者中，有73,467人可能受影響，占整體近9%。</p> <p><a href="https://www.ithome.com.tw/news/176600"><strong style="font-size: 22px;">澳洲第二大製糖業者Mackay Sugar遭網路攻擊，兩糖廠營運停擺並迫使農戶暫停收割</strong></a></p> <p>澳洲第二大製糖公司Mackay Sugar遭遇嚴重資安事故，導致昆士蘭麥凱地區的兩座糖廠營運中斷。由於該公司生產的粗糖經常外銷至亞太多個國家的精煉廠，這起事件不僅突顯農工業供應鏈面臨網路威脅時的脆弱，後續是否影響國際市場與產業鏈，亦值得持續關注。這起攻擊事件發生於6月10日，正值磨坊榨糖作業（crushing）剛啟動之際，造成該公司Farleigh與Racecourse糖廠的製糖與甘蔗運輸作業全面停擺，甚至被迫向麥凱地區的種植者發出停止收割通知。</p> <p><a href="https://www.ithome.com.tw/news/176603"><strong style="font-size: 22px;">中國駭客組織Velvet Ant滲透關鍵基礎設施，潛伏隔離網路環境近十年</strong></a></p> <p>資安公司Sygnia在兩年前揭露中國駭客組織Velvet Ant的網路間諜活動，這些駭客曾利用F5 BIG-IP負載平衡設備建立持續存取管道，也有利用思科網路設備作業系統零時差漏洞CVE-2024-20399滲透受害組織的記錄，然而該公司發現，這些駭客也染指隔離網路環境，潛伏近十年才被發現。Sygina近日公布Operation Highland攻擊行動，Velvet Ant至少從2016年開始，在完全與網際網路隔離的關鍵基礎設施網路潛伏將近十年而未被察覺。</p> <p><a href="https://www.ithome.com.tw/news/176583"><strong style="font-size: 22px;">中國駭客瞄準缺乏EDR防護的邊界設備，藉Brickstorm後門潛伏18個月</strong></a></p> <p>資安業者Volexity揭露，中國駭客組織UNC5221（VerdantBamboo）在長期入侵事件中，將惡意程式放在企業邊緣與基礎設施，再利用Brickstorm後門提供的代理連線能力和遭竊憑證，存取受害組織的Microsoft 365環境。該做法讓攻擊流量更像來自企業內部網路，進而避開原本用來限制外部登入的條件式存取政策。Volexity察覺此事的過程，在於他們發現受害的Egnyte Storage Sync系統，此平臺連到攻擊者控制並透過Cloudflare代理的網域。</p> <p><a href="https://www.ithome.com.tw/news/176593"><strong style="font-size: 22px;">AI開發平臺Langflow路徑遍歷漏洞已被用於實際攻擊</strong></a></p> <p><a href="/sites/default/files/images/1781017392750-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/1781017392750-63.jpg" style="width: 300px; float: right;" /></a></p> <p>近日資安公司VulnCheck警告，他們於6月8日發現有人嘗試利用CVE-2026-5027的跡象，此為大型語言模型開發工具Langflow的路徑遍歷漏洞，攻擊者有機會用來遠端執行任意程式碼，該公司看到有人在蜜罐陷阱試圖利用漏洞，並成功進行路徑遍歷，寫入看起來像是測試用的檔案。Langflow開發團隊於3月底發布0.8.3版langflow-base元件首度處理該問題，後續開發團隊於6月11日向Tenable回覆，已在Langflow 1.9.0完成修正。VulnCheck強調，由於Langflow預設允許未經授權的自動登入，因此攻擊者有機會在沒有事先取得憑證的情況下存取Lagflow的端點，進而利用弱點。</p> <p><a href="https://www.ithome.com.tw/news/176590"><strong style="font-size: 22px;">CISA將Oracle PeopleSoft零時差漏洞列入KEV</strong></a></p> <p>上週Oracle警告企業應用系統平臺PeopleSoft PeopleTools存在重大漏洞CVE-2026-35273，呼籲用戶應立刻採取行動緩解風險，Mandiant與Google威脅情報團隊（GTIG）指出，駭客組織ShinyHunters（UNC6240）在Oracle發布公告之前就積極利用，6月12日美國網路安全與基礎設施安全局（CISA）表示已掌握CVE-2026-35273遭積極利用的證據，將其列入已遭利用的漏洞名單（KEV），要求聯邦機構於6月15日前完成修補。</p> <p><a href="https://www.ithome.com.tw/news/176601"><strong style="font-size: 22px;">遠端管理工具SimpleHelp修補重大身分驗證繞過漏洞，未更新可能導致攻擊者取得管理權限</strong></a></p> <p>遠端管理工具平臺SimpleHelp近日發布更新，修補重大身分驗證繞過漏洞CVE-2026-48558，CVSS嚴重性評分達滿分10.0，未經驗證的遠端攻擊者可利用漏洞偽造身分資訊，建立技術人員（Technician）帳號，甚至繞過多因素驗證（MFA），受影響版本包括5.5.15與更早版本，以及6.0系列預覽版本，問題源自SimpleHelp的OpenID Connect（OIDC）身分驗證流程，未正確驗證身分權杖（Identity Token）的加密簽章而導致存在弱點。</p> <p><a href="https://www.ithome.com.tw/news/176577"><strong style="font-size: 22px;">Splunk發布6月安全更新，修補可讓攻擊者清空檔案的重大漏洞</strong></a></p> <p>思科旗下Splunk本星期發布安全更新，修補12項漏洞，包括重大漏洞CVE-2026-20253，此弱點允許未經驗證的攻擊者建立或清空檔案，影響Splunk Enterprise與Splunk Cloud Platform部分版本。該漏洞發生的原因，在於資料庫元件PostgreSQL的sidecar服務端點缺乏身分驗證控制，可讓任何能存取網際網路的攻擊者，未經驗證就能透過PostgreSQL sidecar服務在系統上建立或清空任意檔案。本漏洞CVSS風險值達到9.8。</p> <p><a href="https://www.ithome.com.tw/news/176575"><strong style="font-size: 22px;">GitLab修補12個漏洞，最高風險可能導致帳號接管</strong></a></p> <p>資安業者Palo Alto Networks指出，攻擊者利用Microsoft Teams等企業協作工具發動社交工程與網釣攻擊，藉由員工對內部溝通平臺的信任，假冒IT支援人員或服務供應商誘騙受害者。攻擊者可能透過Teams傳送外部聊天邀請，聲稱使用者帳號出現異常，要求對方核准多因素驗證（MFA）請求，或依指示重設憑證。由於訊息出現在Teams而非電子郵件，員工可能降低戒心。該公司強調，這類手法並非個案，已有駭客組織APT29、UNC6692用於實際活動。</p> <p><a href="https://www.ithome.com.tw/news/176596"><strong style="font-size: 22px;">供應鏈安全框架SLSA解析Mini Shai-Hulud事件，驗證NPM套件安全不能只看簽章</strong></a></p> <p>軟體供應鏈安全框架SLSA（Supply-chain Levels for Software Artifacts）專案於5月15日發布文章，針對Mini Shai-Hulud NPM供應鏈攻擊，說明SLSA能協助驗證什麼，以及它無法單獨解決哪些問題。開源軟體安全基金會OpenSSF也於6月10日轉載這篇由Red Hat工程師Andrew McNamara撰寫的文章，提醒開源社群，即使NPM套件附有可驗證的來源證明（provenance），建置與發布流程還是有可能遭到攻擊者介入或濫用。</p> <p><a href="https://www.ithome.com.tw/news/176561"><strong style="font-size: 22px;">微軟Secure Boot舊版憑證2026年陸續到期，紅帽提醒RHEL用戶更新韌體信任資料庫</strong></a></p> <p>開源軟體與企業Linux業者紅帽（Red Hat）6月10日提醒，微軟安全開機（Secure Boot）機制使用的多張2011年版簽章憑證，將於2026年陸續到期，企業應確認UEFI韌體中的Secure Boot資料庫是否已納入2023年版憑證，以確保後續可取得開機安全相關更新。若系統韌體的Secure Boot 資料庫沒有包含2023年版憑證，未來可能無法啟動新的開機元件。前述問題與名為shim的第一階段開機程式有關，此為由微軟的Secure Boot憑證簽署的元件。</p> <p><a href="https://www.ithome.com.tw/news/176548"><strong style="font-size: 22px;">當數位信任躍升企業戰略核心，國際電腦稽核協會推動以DTEF框架落實韌性與企業治理</strong></a></p> <p>【臺灣資安大會直擊】隨著數位科技深度滲透社會，數位信任已成為企業維繫營運與競爭力的重要條件。國際電腦稽核協會（ISACA）臺灣分會副會長陳政龍在2026臺灣資安大會，針對管理階層如何促進數位信任進行深度剖析，並介紹ISACA近年推動的「數位信任生態系框架」（Digital Trust Ecosystem Framework，DTEF），帶領產業重新思考數位信任架構下的治理思維。具體而言，DTEF模型是由四大節點構成核心，並由六大領域作為節點之間的連結。</p> <p><a href="https://www.ithome.com.tw/news/176433"><strong style="font-size: 22px;">Apache軟體基金會董事Justin Mclean指出，企業只用開源卻不參與，恐承擔更高風險</strong></a></p> <p>Apache軟體基金會（ASF）董事Justin Mclean在Computex論壇活動指出，開源已成為AI與數位基礎設施的核心，企業面臨的問題已從過往的是否採用，演變成選擇成為被動的使用者，或是積極參與的貢獻者。當企業將開源視為關鍵基礎設施，卻從未參與相關社群時，不僅無法影響技術發展方向，也難以提前掌握重大變化，反而可能承擔更高的技術與營運風險。當關鍵功能調整、架構改版或維護策略改變時，企業往往只能被動接受結果。</p> <p><a href="https://www.ithome.com.tw/news/176473"><strong style="font-size: 22px;">新加坡揭露公共服務導入AI代理的風險</strong></a></p> <p>新加坡政府日前發表AI Agents Sandbox白皮書，揭露與Google合作的AI代理沙盒測試成果，評估AI代理是否能安全應用於公共服務場景。該計畫是在2025年8月啟動、歷時約4個月，重點測試可操作電腦與瀏覽器的AI代理，在政府服務流程中執行多步驟任務的能力與風險。結果顯示，AI代理在政府網站品質檢測中表現穩定，但是在長篇回應記錄時，仍可能出現資訊遺漏或幻覺問題。此外，AI代理具備瀏覽與操作外部網站能力，需防範間接提示注入等攻擊手法。</p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/176576"><strong>【6月12日】Oracle PeopleSoft零時差漏洞被用於大規模攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176543"><strong>【6月11日】Exchange Online傳出可被用於欺騙的資安漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176520"><strong>【6月10日】Anthropic推出具有Mythos能力的Claude Fable 5</strong></a></p> </div></div></div>
6/15 16:16作者周峻佑https://www.ithome.com.tw/news/176604
Google控告濫用Gemini的中國詐騙集團Outsider Enterprise
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://blog.google/innovation-and-ai/technology/safety-security/combatting-ai-scams/" target="_blank">Google周五（6/12）向紐約南區聯邦地方法院提告</a>，指控中國網路犯罪集團Outsider Enterprise透過AI工具與釣魚工具包建立大規模詐騙基礎設施，並以詐騙簡訊竊取受害者帳號、密碼與信用卡資料。</p> <p>Google發布的新聞稿並未提及駭客的攻擊手法，而是僅以「AI驅動詐騙」（AI-powered scams）描述這起案件。然而，<a href="https://techcrunch.com/2026/06/12/chinese-cybercrime-operation-that-used-ai-to-scam-hundreds-of-thousands-of-victims-sued-by-google/" target="_blank">根據TechCrunch取得的訴狀內容</a>，Outsider Enterprise為一網路犯罪集團，開發並維護名為Outsider的釣魚工具套件，Google將其稱為「傻瓜版釣魚工具」（phishing-for-dummies），內建290種網站範本，用戶只要每周支付88美元，或每月支付200美元訂閱費用，就能快速建立冒充電信業者、金融機構、政府機關及零售商的假網站。</p> <p>Outsider還提供如何將AI生成程式碼武器化的教學文件，並支援使用Gemini等AI平臺產生客製化釣魚網站程式碼，再匯入Outsider平臺部署成可上線運作的詐騙網站。這些假網站可即時蒐集受害者輸入的帳號密碼、信用卡資料及多因素驗證碼。</p> <p>Google指出，Outsider Enterprise並非單一犯罪組織，而是由釣魚工具開發者、受害者名單供應商、垃圾簡訊發送者，以及負責變現與洗錢的成員組成，形成完整的詐騙產業鏈；其成員透過Telegram協調運作，迄今已建立9000個假網站及超過100萬個惡意網域，並在兩周內向Android用戶發送250萬則詐騙簡訊，已有數十萬人受害。</p> <p>目前Google正與FBI，以及AT&T、T-Mobile、Verizon等電信業者合作，試圖瓦解Outsider Enterprise的基礎設施，並在詐騙簡訊送達用戶前加以攔截。除了法律行動外，Google也呼籲美國國會通過多項反詐騙法案；Google表示，隨著AI讓詐騙內容變得更逼真、更難辨識，除了技術防禦與執法合作之外，也需要透過立法建立長期防護機制。</p> </div></div></div>
6/15 15:17作者陳曉莉https://www.ithome.com.tw/news/176606
中國駭客組織Velvet Ant滲透關鍵基礎設施，潛伏隔離網路環境近十年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安公司Sygnia在兩年前揭露中國駭客組織Velvet Ant的網路間諜活動，這些駭客<strong><a href="https://www.ithome.com.tw/news/163512">曾利用F5 BIG-IP負載平衡設備建立持續存取管道</a></strong>，也有利用思科網路設備作業系統零時差漏洞<strong><a href="https://www.ithome.com.tw/news/163736">CVE-2024-20399</a></strong>滲透受害組織的記錄，然而該公司發現，這些駭客也染指隔離網路環境，潛伏近十年才被發現。</p> <p>Sygina近日公布<strong><a href="https://www.sygnia.co/blog/operation-highland-velvet-ant/">Operation Highland攻擊行動</a></strong>，Velvet Ant至少從2016年開始，在完全與網際網路隔離的關鍵基礎設施網路潛伏將近十年而未被察覺。Sygina認為，這是迄今Velvet Ant最為複雜精密的攻擊活動。</p> <p>在整個攻擊活動裡，Velvet Ant採取三階段滲透策略，逐步突破層層防線。首先，他們在面向網際網路的伺服器上部署GS-Netcat，作為反向Shell及SOCKS5代理伺服器，並將其偽裝成Chrome服務或系統處理程序，以規避資安偵測，建立初始存取管道。接著，該組織利用Nginx與FastCGI建立執行命令的橋樑，透過HTTP請求穿越IT網路環境，在無需對目標建立直接連線的情況下，即可抵達隔離網路環境的關鍵基礎設施網段。最終，攻擊者篡改Linux PAM認證模組與OpenSSH程式，植入後門密碼並竊取憑證，同時在authorized_keys中植入公鑰，建立三重持久化機制，將整個環境置於自身掌控之下。</p> <p>此次行動最引起Sygina注意的地方，在於攻擊者選擇控制身分驗證的環節，而非僅在系統上留下惡意程式。Sygnia在多臺主機發現9種不同版本的後門化PAM模組，這些惡意模組透過完全不同的開發環境編譯而成，顯示此攻擊行動背後有龐大資源支撐、組織高度嚴密，且具備針對不同目標環境量身打造工具的能力。由於攻擊者控制管理員用來遠端管理主機的核心元件，光是執行更換密碼等傳統應變措施，在此幾乎完全失效。該公司提及，若是受害組織的IT人員處理不慎，有可能被鎖死在系統外，甚至造成關鍵基礎設施的系統服務中斷。</p> </div></div></div>
6/15 13:02作者周峻佑https://www.ithome.com.tw/news/176603
MITRE ATT&CK第19版刪除防禦規避戰略，拆分為隱匿與防禦削弱
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安界廣泛採用的攻擊手法框架MITRE ATT&CK，如今<a href="https://attack.mitre.org/resources/updates/updates-april-2026/">已更新至第19版</a>（目前最新為19.1版）。本次新版調整有一項重大變化，是將Enterprise ATT&CK中的防禦規避（Defense Evasion）的戰術，進一步拆分成隱匿（Stealth）與防禦削弱（Defense Impairment）。因此，更新的Enterprise ATT&CK，將從原有14個戰術（Tactics）擴展為15個。</p> <p>關於拆分的原因，<a href="https://medium.com/mitre-attack/defense-evasion-split-5d533545fa32">MITRE指出</a>這項變動醞釀已久。長期以來，「防禦規避」是整個框架中最龐大的戰術類別，包含超過40項技術與140多項子技術，這使得防禦者在進行威脅對應與分析時，往往感到難以分類與聚焦。</p> <p>更需要探討的是，隱匿與破壞其實是完全不同的行為。例如，攻擊者入侵後，利用寄生攻擊（Living-off-the-land）潛伏，這就是「隱匿」，但隨後在行動中，攻擊者可能轉而停用日誌傳輸，並篡改EDR代理程式使其停止回報，這時就是「防禦削弱」。</p> <p>整體而言，本次更新後大多數編號保持不變，不過隱匿將繼承原有的防禦規避戰略ID（TA0005），防禦削弱則作為全新戰術分配新ID（TA0112），另有3項手法（Techniques）被徹底移出原有的防禦規避範疇。MITRE亦強調，對於防禦者而言，隱匿與防禦削弱拆分後的最大價值，在於協助釐清核心問題：攻擊者究竟是在躲藏還是在破壞防禦能力？這是兩種完全不同的威脅模型，需要不同的應對策略。</p> <p><a href="/sites/default/files/images/（圖1）MITRE ATT%26CK v19.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89MITRE%20ATT%26CK%20v19.jpg" style="width: 600px;" /></a></p> </div></div></div>
6/15 12:20作者羅正漢https://www.ithome.com.tw/news/176594
澳洲第二大製糖業者Mackay Sugar遭網路攻擊，兩糖廠營運停擺並迫使農戶暫停收割
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>澳洲第二大製糖公司Mackay Sugar近日遭遇嚴重資安事故，導致昆士蘭麥凱地區的兩座糖廠營運中斷。由於該公司生產的粗糖經常外銷至亞太多個國家的精煉廠，這起事件不僅突顯農工業供應鏈面臨網路威脅時的脆弱，後續是否影響國際市場與產業鏈，亦值得持續關注。</p> <p>根據<strong><a href="https://www.abc.net.au/news/2026-06-10/cyber-attack-shuts-down-north-queensland-sugar-mills/106780304">澳洲廣播公司</a></strong>的報導指出，這起攻擊事件發生於6月10日，正值磨坊榨糖作業（crushing）剛啟動之際，造成該公司Farleigh與Racecourse糖廠的製糖與甘蔗運輸作業全面停擺，甚至被迫向麥凱地區的種植者發出「停止收割」的通知。另一糖廠原定下星期開始壓榨，尚未受到此事件影響。</p> <p>Mackay Sugar已在官方網站<strong><a href="https://www.mkysugar.com.au/news-updates-circulars/mackay-sugar-cyber-security-incident">發布資安事故公告</a></strong>，說明正在處理影響部分營運的網路安全事件，目前已啟動緊急應變機制維持核心業務運作，力求將營運衝擊降至最低。雖然此公告證實其農工業OT營運受阻的現況，但官方尚未揭露具體技術細節，亦未確認是否涉及勒索軟體或其他形式的惡意攻擊。</p> <p>此外，兩日後（6月12日）的<strong><a href="https://www.mkysugar.com.au/news-updates-circulars/mackay-sugar-cyber-security-incident-akm6l">更新公告顯示</a></strong>，預計下週起逐步恢復採收與壓榨作業，目前首要任務仍是確保人員安全、保護營運系統並維持業務連續性。</p> </div></div></div>
6/15 12:55作者羅正漢https://www.ithome.com.tw/news/176600
供應鏈安全框架SLSA解析Mini Shai-Hulud事件，驗證NPM套件安全不能只看簽章
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>軟體供應鏈安全框架<a href="https://slsa.dev/blog/2026/05/mini-shai-hulud-what-slsa-can-and-cannot-do" target="_blank">SLSA（Supply-chain Levels for Software Artifacts）專案於5月15日發布文章</a>，針對Mini Shai-Hulud NPM供應鏈攻擊，說明SLSA能協助驗證什麼，以及它無法單獨解決哪些問題。開源軟體安全基金會<a href="https://openssf.org/blog/2026/06/10/mini-shai-hulud-where-slsas-boundaries-fall/" target="_blank">OpenSSF也於6月10日轉載</a>這篇由Red Hat工程師Andrew McNamara撰寫的文章，提醒開源社群，即使NPM套件附有可驗證的來源證明（provenance），也不能因此認定其建置與發布流程未曾遭到攻擊者介入或濫用。</p> <p>SLSA由OpenSSF推動，透過來源證明、建置流程驗證與分級安全要求，協助開發者與企業判斷軟體成品是否來自可信流程；撰文者<a href="https://arewm.com/about/" target="_blank">Andrew McNamara</a>是Red Hat軟體供應鏈架構師與SLSA維護者。</p> <p>Mini Shai-Hulud攻擊於5月11日波及TanStack專案，攻擊者利用GitHub Actions工作流程設定缺陷，結合快取污染（Cache poisoning）與OIDC權杖擷取（OIDC token extraction）手法，透過合法CI/CD管線發布惡意NPM套件。SLSA指出，攻擊最初影響@tanstack命名空間下42個套件、共84個NPM成品，後續又以蠕蟲方式擴散至@mistralai、@uipath等命名空間，波及170多個套件。</p> <p><a href="https://www.bleepingcomputer.com/news/security/shai-hulud-attack-ships-signed-malicious-tanstack-mistral-npm-packages/" target="_blank">外界先前有報導</a>將這些惡意套件描述為具有「有效SLSA Build Level 3證明」，引發SLSA是否失效的討論。SLSA澄清，相關NPM套件確實帶有密碼學層面的有效證明（attestation），但這不等於建置流程安全。攻擊者從GitHub Actions runner記憶體擷取合法OIDC權杖，透過Sigstore與NPM可信發布機制（trusted publishing）完成簽署，使這些惡意套件的來源證明（provenance attestation）仍指向正確的儲存庫、工作流程與程式碼分支，從表面驗證結果來看，與合法套件難以區分。</p> <p>SLSA說明，問題不在於attestation本身造假，而是產生attestation的建置平臺已被攻擊者利用。若要解決這樣的問題，須達到SLSA建置供應鏈安全模型的第三級（SLSA Build L3），因為這當中要求建置平臺具備隔離能力，防止一個建置流程污染另一個建置使用的快取，避免建置程序接觸簽署金鑰或其他平臺敏感資訊，也不能讓一個建置持續影響後續建置環境。TanStack事件正是違反這些要求：先前工作流程污染了共享快取，發布流程暴露OIDC簽署身分，攻擊者程式碼也透過共享快取延續到後續建置。</p> <p>SLSA指出，NPM目前內建的provenance能力大致對應SLSA Build L2，可將套件綁定至正規來源儲存庫與建置系統，降低冒名發布、相依性混淆等攻擊風險；但Build L2不要求多租戶CI/CD服務的建置環境彼此隔離，也不要求將簽署使用的身分憑證與建置程序隔離。這些屬於Build L3要處理的問題，因此不能把「帶有簽章的軟體成品」（signed artifact）直接解讀為「套件建置流程安全」。</p> <p>SLSA也提醒，「預期建置器」（expected builder）是用來檢查套件是否由預先信任的建置器與來源儲存庫產生的驗證條件，可協助發現非標準管線產生的套件；但在TanStack事件中，惡意套件的attestation仍準確標示預期的builder、repository與workflow，因此這類檢查仍會通過。真正異常的是，發布惡意套件的工作流程最後以失敗狀態結束，卻仍完成套件發布；若企業監控這類異常狀況，可能在數分鐘內偵測到問題。</p> <p><a href="https://cloudsmith.com/blog/miasma-worms-path-of-destruction" target="_blank">資安業者Cloudsmith在分析後續Miasma變種時也引用McNamara的SLSA文章指出</a>，若攻擊者濫用合法開發者憑證與GitHub OIDC權杖，惡意套件仍可能夾帶有效SLSA來源證明（valid SLSA provenance），使傳統掃描機制可能將其視為一般可信更新；Cloudsmith也提醒，具備有效維護者簽章（valid maintainer signature）不應被視為安全的絕對保證。</p> <p>SLSA建議，開源專案與企業驗證軟體供應鏈安全時，不應只看NPM套件是否具備有效簽章（valid signature），也要確認建置平臺是否具有SLSA Build L3要求的隔離能力。專案維護者應控管GitHub Actions的pull_request_target觸發器、落實最小權限原則、將GitHub Actions動作固定至commit SHA，並監控工作流程失敗卻仍發布套件等異常行為。</p> </div></div></div>
6/15 11:24作者王珮瑤https://www.ithome.com.tw/news/176596
美政府要求封鎖他國用戶存取Claude Fable與Mythos，Anthropic全面暫停提供
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國政府上周以國安為由，要求Anthropic封鎖其他國家用戶存取其威力最大的Claude Fable及Mythos模型。<a href="https://www.anthropic.com/news/fable-mythos-access" target="_blank">Anthropic表示</a>，將全面暫停提供全球用戶作為回應。該公司也發聲明反對美國政府的作法。</p> <p>Anthropic表示是在美東時間6月12日下午5點21分接獲美國政府發出的出口管制命令信件。信件引述美國國家安全主管機關的說法，要求該公司中止任何外國人存取Fable 5及Mythos 5，不論他們是位於美國境內或境外，包括Anthropic的外籍員工。這紙命令迫使該公司必須突然對所有客戶關閉Fable 5和Mythos 5。其他Anthropic模型包括Claude Opus 4.8的存取不受影響。</p> <p>本信件是<a href="https://www.ithome.com.tw/news/176499" target="_blank">在Anthropic上周推出</a>威力最強大的模型Claude 5及Mythos 5後<a href="https://siliconangle.com/2026/06/14/white-house-forces-anthropic-disable-new-frontier-models-following-abrupt-export-ban/" target="_blank">由美國商務部發出</a>。Anthropic說，美國政府的信件並未提供所謂國安考量的細節。根據該公司了解，美國政府接獲一起可能的越獄通報，並且以該通報成為命令的基礎。</p> <p><a href="https://www.securityweek.com/anthropic-disputes-fable-5-ai-jailbreak/" target="_blank">根據SecurityWeek報導</a>，一名為Pliny the Liberator的使用者宣稱繞過Fable 5的限制性安全層，成功「解放了」Fable 5。</p> <p>Anthropic在聲明中表示，該公司檢視過這名用戶展示利用Fable 5找出少量已知小漏洞的手法，但認為這些漏洞相當簡單，而且他們發現過其他公開模型如GPT 5.5也能找到這些漏洞，根本無需繞過安全限制。</p> <p>該公司表示，終止所有Fable 5/Mythos 5的提供是為了遵循政府命令，但他們不同意以單一可能的越獄行為為由，導致召回已部署給數億名用戶的商用模型。他們相信如果這標準普遍運用於產業，將扼止所有尖端模型供應商的新模型部署。Anthropic重申，認為政府應該透過透明、公平、清楚而有技術事實基礎的法定程序來阻止不安全的部署，但今天的行為並不符合這項原則。</p> <p><strong>重申Fable/Mythos的安全防護</strong></p> <p>Anthropic重申Fable具有強大的安全防護，大幅降低Fable模型被不當利用作為網路攻擊的可能性。事實上許多用戶抱怨Fable 5安全限制太多了。而且在Fable推出之前幾個星期，Anthropic和美國、英國政府、第三方機構和內部團隊合作下，曾對Fable的安全防護做了數千小時的紅隊演練。這些測試顯示Fable的防護效力大幅優於之前部署的任何模型，沒有任何測試能找到通用越獄（universal jailbreak）方法，解鎖Fable多項網路安全能力。</p> <p>該公司也相信所有模型供應商目前都沒有完美的越獄防護方法。目前所有AI產業發展出的防護都可能遭遇非通用越獄手法（解鎖少數功能），而且在駭客的鑽研下，未來終有一天可能還是會出現通用越獄手法。</p> <p>但Anthropic強調，即便現在沒有完美的越獄防護，公司採用的深度防禦策略讓越獄不是很侷限就是成本高昂。此外他們結合嚴密監控以便快速偵測並關閉攻擊行動。這也是為何Anthropic要變更政策，要求所有使用Fable的客戶資料要留存30天，以助其研究、防範越獄或其他攻擊。</p> <p>Anthropic說，目前尚未接獲令人憂心、引發損害的非通用越獄通報。目前接獲的通報都是善意通報，或是較小、非針對Mythos的越獄方法。</p> <p>Anthropic對所有用戶致歉，並表示他們相信這是一場誤會，該公司正努力儘速恢復Fable 5/Mythos的存取服務。</p> </div></div></div>
6/15 11:50作者林妍溱https://www.ithome.com.tw/news/176598
九州電力送配電遺失備份裝置，1,090萬用戶資料面臨外洩風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.kyuden.co.jp/td/press/2026/260608.html" target="_blank">日本九州電力旗下九州電力送配電於周日（6/8）公告</a>，用來備份部分系統資料的外接儲存裝置不見了，內含最多1,090萬用電帳戶的資料，包括姓名、供電地址、用電量及電話號碼等，但未含銀行帳戶及信用卡資訊。</p> <p>九州電力為日本九州地區主要電力公司，原本同時經營發電、售電與送配電業務。因日本電力系統改革要求發電/售電與送配電業務法的分離，九州電力於2020年4月將送配電部門分拆為全資子公司九州電力送配電，負責九州地區電網、輸配電及相關用電資料管理。</p> <p>九州電力送配電說明，該公司會定期執行資料備份，但因備份容量不足，曾一度改以外接儲存裝置進行備份；不管是伺服器或備份作業都在採取多重安全措施的機房內進行，外接儲存裝置也存放在機房的櫃子中，但櫃子並未上鎖。</p> <p>該公司在4月27日完成備份後，確認已將外接儲存裝置放在櫃子內，但5月26日要再進行定期備份時，就找不到該裝置了。九州電力送配電也曾詢問在這期間曾經出入機房的人員並進行現場調查，但迄今仍未尋獲。</p> <p>九州電力送配電強調，機房的進出受到嚴格管控，只有特定相關人員才可進入。目前該公司也正調查裝置是否遭未經授權帶離，但尚無證據顯示資料已經外洩。</p> <p>根據日本媒體的報導，九州電力送配電的機房採用生物辨識門禁管制，只有57人具備進入權限，該公司已於6月4日向警方報案，懷疑有人擅自取走了該儲存裝置。另外，<a href="https://www.itmedia.co.jp/news/articles/2606/09/news132.html" target="_blank">ITmedia引述九州電力送配電的說法指出</a>，該儲存裝置內的資料並未加密，也未設密碼保護。</p> </div></div></div>
6/15 10:46作者陳曉莉https://www.ithome.com.tw/news/176591
Arch Linux AUR爆供應鏈攻擊，孤兒套件遭接手散布惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Arch Linux社群套件庫AUR（Arch User Repository）傳出供應鏈攻擊事件。<a href="https://www.sonatype.com/blog/atomic-arch-npm-campaign-adds-malicious-dependency" target="_blank">軟體供應鏈安全業者Sonatype於6月11日揭露</a>，攻擊者鎖定存放在AUR的無人維護套件，在接手合法套件後修改PKGBUILD或安裝指令，使使用者在建置或安裝套件時，透過NPM下載惡意套件atomic-lockfile，進而執行Linux惡意酬載。</p> <p><a href="https://thehackernews.com/2026/06/over-400-arch-linux-aur-packages.html" target="_blank">The Hacker News報導指出</a>，社群已盤點超過400個AUR套件遭接手並竄改建置腳本，Arch Linux官方套件庫未受影響。Sonatype後續更新指出，相關活動可能已擴大為多次攻擊，初步估計受影響套件總數可能接近1,500個，且調查仍在進行。</p> <p><a href="https://socket.dev/npm/package/atomic-lockfile">根據NPM套件安全平臺Socket安全分析報告頁面顯示</a>，NPM安全團隊已將包含惡意程式碼的atomic-lockfile 1.4.2版自NPM套件登錄庫移除；目前Socket列出的是安全保留版本0.0.1-security。Sonatype指出，6月12日又出現第二波活動，部分遭竄改的AUR套件改用Bun安裝路徑，並透過js-digest、lockfile-js等惡意套件散布酬載，顯示攻擊者已更換安裝路徑與惡意依賴組合。</p> <p><a href="https://ioctl.fail/preliminary-analysis-of-aur-malware/" target="_blank">獨立研究人員Whanos分析</a>，惡意程式主要鎖定開發者工作站與建置環境，可蒐集Slack、Microsoft Teams等協作與通訊軟體資料，以及GitHub、NPM、HashiCorp Vault權杖、SSH金鑰、Docker／Podman憑證，還包括VPN設定檔。</p> <p>The Hacker News引述研究分析提醒，曾執行相關酬載的主機應視為憑證可能外洩，並全面輪替帳號憑證、權杖與金鑰。<a href="https://lists.archlinux.org/archives/list/[email protected]/thread/FGXPCB3ZVCJIV7FX323SBAX2JHYB7ZS4/" target="_blank">Arch Linux社群維護者表示</a>，正陸續重設或刪除惡意提交，並封鎖涉案帳號。</p> </div></div></div>
6/15 10:54作者王珮瑤https://www.ithome.com.tw/news/176592
AI開發平臺Langflow路徑遍歷漏洞已被用於實際攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>近日資安公司VulnCheck<strong><a href="https://www.linkedin.com/posts/ccondon_kevs-share-7470128376624783361-Ot2c/">於職場社群網站LinkedIn提出警告</a></strong>，他們於6月8日發現有人嘗試利用CVE-2026-5027的跡象，此為大型語言模型開發工具Langflow的路徑遍歷漏洞，攻擊者有機會用來遠端執行任意程式碼，該公司看到有人在蜜罐陷阱試圖利用漏洞，並成功進行路徑遍歷，寫入看起來像是測試用的檔案。</p> <p>此為今年1月漏洞管理公司Tenable通報的漏洞，在多次通報沒有得到開發團隊回覆後，<strong><a href="https://www.tenable.com/security/research/tra-2026-26">於3月下旬公開</a></strong>。此漏洞發生的原因，在於POST /api/v2/files端點不會從資料多個地方清理filename參數，導致攻擊者能藉由路徑遍歷序列，於檔案系統的任何位置寫入檔案，CVSS v4.0為8.7分、CVSS v3.1為8.8分，<strong><a href="https://security.snyk.io/vuln/SNYK-PYTHON-LANGFLOWBASE-15842030">另一家資安公司Snyk發現</a></strong>，Langflow開發團隊於3月底發布0.8.3版langflow-base元件首度處理該問題，後續開發團隊於6月11日向Tenable回覆，已在Langflow 1.9.0完成修正。</p> <p>VulnCheck強調，由於Langflow預設允許未經授權的自動登入，因此攻擊者有機會在沒有事先取得憑證的情況下存取Lagflow的端點。換言之，攻擊者只要能發出未經授權的護求，並包含有效連線階段（session）的權杖（token）就能利用。</p> </div></div></div>
6/15 10:57作者周峻佑https://www.ithome.com.tw/news/176593
Anthropic發布原始碼漏洞掃描參考實作，示範以Claude驗證與修補漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://claude.com/blog/using-llms-to-secure-source-code">AI模型業者Anthropic發布程式原始碼安全實務指南</a>，說明企業與開放原始碼的軟體專案如何運用Claude建立威脅模型、找出漏洞，並進一步驗證、分級處理與修補，同時提供<a href="https://github.com/anthropics/defending-code-reference-harness?is=d108d928bf3dc5877f986c73a3cd90f89af9168dfb9fe293bba24c76211ae7ae" target="_blank">開放原始碼參考實作defending-code-reference-harness</a>。</p> <p>defending-code-reference-harness參考實作提供多個Claude Code技能，包括/quickstart、/threat-model、/vuln-scan、/triage、/patch與/customize，可支援快速啟動（Quickstart）、威脅建模、漏洞掃描、驗證分級、修補與客製化。其自主掃描管線預設鎖定C/C++記憶體漏洞，會將目標程式編譯成啟用記憶體錯誤偵測工具AddressSanitizer（ASAN）的Docker映像檔，並在以gVisor隔離的容器中執行AI代理程式與目標程式，且只允許對外連至模型API，以降低AI代理程式執行未受信任程式碼時的風險。</p> <p>在流程設計上，Anthropic建議團隊先建立威脅模型，界定系統資產、攻擊入口與信任邊界，再執行漏洞的發現、驗證、合併重複漏洞回報、分級處理與修補。負責驗證的AI代理程式應與發現漏洞的代理程式分開運作，並在乾淨容器中獨立執行；必要時可建立概念驗證（Proof of Concept，PoC）程式，確認漏洞是否真的可被觸發或利用，再依可達性（Reachability）、攻擊者控制程度、前提條件、身分驗證要求與影響範圍等漏洞發現的結果，安排修補優先順序。</p> <p>Anthropic也提醒，AI可協助產生修補程式碼，但產出的修補方案可能僅處理表面問題，甚至誤擋合法輸入，或對既有相依服務造成影響，因此修補內容仍需經測試、驗證與人工審查。</p> </div></div></div>
6/15 11:09作者王珮瑤https://www.ithome.com.tw/news/176595
法國政府通訊平臺Tchap發生帳號冒用事件，逾7.3萬名公部門人員受影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>法國政府加密即時通訊平臺Tchap發生安全事件。負責Tchap的<a href="https://www.numerique.gouv.fr/sinformer/espace-presse/incident-tchap/" target="_blank">營運單位法國跨部會數位事務局（Direction interministérielle du numérique，DINUM）於6月8日公告</a>，6月7日有一個Tchap使用者帳號遭冒用，攻擊者藉此查看該帳號可存取的公開對話內容。DINUM表示，已與法國國家資訊系統安全局（ANSSI）協調分析此事，並封鎖涉案帳號。</p> <p>Tchap是法國政府供公部門人員使用的通訊平臺，支援公開與私人對話。DINUM說明，私人對話採加密保護，即使發生帳號冒用，攻擊者也無法存取加密私人對話的歷史紀錄；但公開聊天室依設計可由所有使用者搜尋與加入，其中的訊息未加密，因此這次可能遭查看的範圍，主要限於遭冒用帳號可進入的公開聊天室內容。</p> <p>DINUM估計，Tchap超過82.5萬名使用者中，有73,467人可能受影響，占整體不到9%。可能暴露的資料包括姓名、電子郵件地址、所屬機關與帳號頭像。DINUM已通報法國國家資訊與自由委員會（CNIL），並持續分析系統存取與活動日誌紀錄，釐清攻擊者查看了哪些對話，以及哪些資料可能外洩。</p> <p><a href="https://www.bleepingcomputer.com/news/security/french-govt-says-tchap-breach-affected-over-73-000-accounts/" target="_blank">Bleeping Computer報導指出</a>，攻擊者聲稱透過社交工程手法取得Tchap帳號控制權，並宣稱擷取近65萬則訊息與超過13.5 GB的文件及媒體檔案；不過，DINUM目前尚未說明使用者帳號遭冒用的原因，也未證實攻擊者宣稱的外洩規模。</p> </div></div></div>
6/15 10:02作者王珮瑤https://www.ithome.com.tw/news/176589
CISA將Oracle PeopleSoft零時差漏洞列入KEV
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>上週Oracle警告企業應用系統平臺PeopleSoft PeopleTools<strong><a href="https://www.ithome.com.tw/news/176556">存在重大漏洞CVE-2026-35273</a></strong>，呼籲用戶應立刻採取行動緩解風險，Mandiant與Google威脅情報團隊（GTIG）指出，駭客組織ShinyHunters（UNC6240）<strong><a href="https://www.ithome.com.tw/news/176558">在Oracle發布公告之前就積極利用</a></strong>，如今美國政府也證實漏洞被用於實際攻擊的現象。</p> <p>6月12日<strong><a href="https://www.cisa.gov/news-events/alerts/2026/06/12/cisa-adds-one-known-exploited-vulnerability-catalog">美國網路安全與基礎設施安全局（CISA）表示</a></strong>，他們已掌握CVE-2026-35273遭積極利用的證據，將其列入已遭利用的漏洞名單（KEV），要求聯邦機構<strong><a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search=CVE-2026-35273&field_date_added_wrapper=all&field_cve=&sort_by=field_date_added&items_per_page=All&url=">於6月15日前完成修補</a>，並指出該洞已被用於勒索軟體活動。</strong>CVE-2026-35273是PeopleSoft PeopleTools重要功能缺乏驗證的弱點，未經身分驗證的攻擊者有可能用於挾持該系統。</p> </div></div></div>
6/15 10:10作者周峻佑https://www.ithome.com.tw/news/176590
製藥巨擘諾和諾德遭駭，外洩臨床試驗病患資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.novonordisk.com/content/nncorp/global/en/news-and-media/news-and-ir-materials/news-details.html?id=916571" target="_blank">丹麥製藥業巨擘諾和諾德（Novo Nordisk）上周四公告</a>內部IT系統遭未授權存取，導致參加臨床試驗的病患資料外洩。</p> <p>這次IT資安事件讓駭客存取了部份IT系統，並且複製部份未公開資訊。<a href="https://www.novonordisk.com/news-and-media/latest-news/incident-update.html" target="_blank">諾和諾德說明</a>，事件影響了參與公司某些臨床測試的病患資訊。但該公司強調，這些資訊並未直接連結這些病患的姓名或其他可辨識身分的屬性，這是因為可辨識身分的資訊需要其他存取管道。因此這家藥廠相信這次事件並不會造成受測者身分曝光。此外，他們也說這次事件並未影響公司核心業務運作，目前營運一切正常。</p> <p>諾和諾德得知事件後，立即偕同外部資安專家展開調查，並通報主管機關。公司已暫時將被駭的IT系統下線以保護環境，同時致力於系統在受控及安全情境下恢復上線。但這家藥廠說，恢復過程需要一段時日。</p> <p><a href="https://www.theregister.com/security/2026/06/12/novo-nordisk-says-hackers-stole-clinical-trial-data/5254812" target="_blank">The Register報導</a>，諾和諾德發給醫療合作夥伴的通知信件提醒可能已外洩資料，可能引發精準釣魚。報導指出，此次事件時間點剛好在這家丹麥藥廠一款知名藥物（名為Wegovy）在英國取得減重與糖尿病藥物證照之後。</p> <p>報導說，受影響的合作夥伴資料包括姓名、註冊編號、電子郵件信箱、電話號碼、WhatsApp、公司地址等。這家藥廠提醒合作夥伴留意陌生的訊息或來電。</p> <p>依據諾和諾德的描述，顯示元凶可能是勒索軟體。不過目前該公司未提供細節，也沒有駭客組織出面宣稱攻擊行動。</p> </div></div></div>
6/15 08:54作者林妍溱https://www.ithome.com.tw/news/176585
Office 2019 for Mac將進入功能受限模式，7月13日起無法新增與儲存檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟上周提醒Mac電腦用戶，7月13日起macOS版Office 2019因憑證到期將功能大減，若用戶不改用Microsoft 365，之後只能讀取舊檔案，無法編輯、儲存，也無法建立新檔案。</p> <p><a href="https://support.microsoft.com/en-us/office/update-microsoft-365-or-office-on-your-macos-or-ios-device-f418ae5d-bb5f-4078-b3d9-9340f5dd084e#bkmk_office_2019" target="_blank">根據微軟說明</a>，從2026年7月13日起，部份macOS版Office會因無法獲得更新而進入「功能受限模式」（reduced functionality mode）。這是舊式硬體或OS上的Office憑證到期之故。屆時用戶會發現，Office應用程式包括Word、Excel、PowerPoint、Outlook及OneNote只能讀取，但無法編輯、儲存，也無法新增Office檔案。</p> <p>微軟說，這次憑證到期將影響macOS、iPhone/iPad版的Microsoft 365，以及Office 2019/ 2021 for Mac用戶。其中，Office 2019 for Mac必須改用Microsoft 365，原因是Office 2019 for Mac已在2023年10月10日來到支援終點，用戶已無法獲得功能或安全更新，也無法更新到最新的版本，因此不能透過軟體更新或重新安裝Office 2019 for Mac來解決本問題；唯一方法是使用Microsoft 365。</p> <p>Android及Windows版Office這次不受影響。</p> <p>Office 2021 for Mac及macOS/iOS Microsoft 365用戶則需升級OS或Office版本來解決問題。用戶需先確定macOS或iOS裝置作業系統版本在macOS 12（Monterey）及iOS 17以上。之後，Microsoft 365及Office 2021 for Mac用戶可循「Help」>「Check for Updates」>選擇「Update All」或「Update」解決。Microsoft 365 on iOS用戶需點入App Store，從最上方點選大頭照叫出選單，點選「Update All」或「Update」。更新後再重新登入。</p> <p>值得注意的是，Office 2021 for Mac將在2026年10月13日結束支援，屆時也不會再獲得安全更新或技術支援。</p> </div></div></div>
6/15 08:59作者林妍溱https://www.ithome.com.tw/news/176586
駭客宣稱竊走Dynatrace數百GitHub儲存庫，外洩原始程式碼、公司資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://cybernews.com/security/dynatrace-github-source-code-leak/" target="_blank">AI基礎架構效能監控及安全供應商Dynatrace傳出</a>被駭客存取246個GitHub儲存庫，導致公司基礎架構資訊、軟體原始碼或員工資料被盜走。</p> <p>一名代號xpI0itrs駭客在駭客論壇上張貼Dynatrace GitHub資料的兜售訊息，宣稱是利用廠商個人存取令牌（Personal Access Token,PAT）外洩的內容，包含內部基礎架構、CI/CD管線、Kubernetes叢集管理資訊、敏感基礎架構細節、組織架構特定專案的員工資訊。駭客宣稱這批資料共246個儲存庫，總量8.46GB，並喊價1.2萬美元。</p> <p>駭客也公佈部份資料作為樣本，宣稱是Dynatrace的員工資料及儲存庫。<a href="https://cybernews.com/security/dynatrace-github-source-code-leak/" target="_blank">資安媒體Cybernews</a>檢視公開的員工資料包含全名、使用者名稱、存取內部系統的公司電子郵件信箱。而樣本儲存庫則疑為Dynatrace Scorecard的程式原始碼。</p> <p>目前Dynatrace尚未向媒體證實消息的確實性。</p> </div></div></div>
6/15 09:14作者林妍溱https://www.ithome.com.tw/news/176587