iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 32篇
近 24 小時: 33篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/10 19:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

醫療業勒索軟體風險升高，臺灣列受害案例增幅明顯地區
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.cyfirma.com/research/cyfirma-industry-report-healthcare-9/" target="_blank">資安威脅情報業者Cyfirma近日發布醫療產業威脅報告</a>，指出勒索軟體仍是醫療保健產業面臨的主要網路威脅之一。該公司追蹤過去90天全球勒索軟體受害情形，發現共有2,388個組織遭勒索軟體組織列名為受害者，其中216個屬於醫療產業，較前一統計期間增加8.5%，而就整體受害比例而言，醫療產業占9.05%，使醫療業成為受害組織數量第三多的產業類別。</p> <p>報告指出，受害案例主要集中於醫院與專科診所、製藥與生物科技、專科醫療等領域，但醫療設備與用品、基層醫療、保險與醫療行政等子領域也受到波及，顯示勒索軟體威脅已從第一線醫療機構，進一步擴及醫療產業鏈多個環節。</p> <p>從區域分布來看，美國仍是醫療產業勒索軟體受害最集中的國家，占相關案例的53%。不過，醫療產業受害組織分布範圍已從33國擴大至42國，其中印度、德國、臺灣與中國的案例增幅相對明顯。</p> <p>醫療機構一旦遭勒索軟體攻擊，系統停機可能影響照護服務，加上持有大量敏感個資與醫療紀錄，攻擊者可藉由癱瘓營運與威脅公開其手上的外洩資料，對受害機構施壓。研究人員建議，相關機構應強化資料備份與復原演練、修補已知漏洞、控管遠端存取權限，並持續監測暗網外洩資料與勒索軟體組織動態，以降低攻擊擴散、資料外洩與營運中斷風險。</p> </div></div></div>
6/23 06:15作者王珮瑤https://www.ithome.com.tw/news/176760
醫療AI會考試不等於會看病，美國權威醫院研究登Nature：國考92分、臨床任務僅44.8分
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>大型語言模型（LLM）近年在醫療領域表現驚艷，不少模型甚至能在美國醫師執照考試（USMLE）中，拿下接近專科醫師水準的成績。然而，美國麻省總醫院布萊根體系（Mass General Brigham）<a href="https://www.massgeneralbrigham.org/en/about/newsroom/press-releases/evaluating-ai-performance-for-everyday-patient-care">最新研究發現</a>，這些在標準化考試表現亮眼的AI模型，面對真實醫療情境時，能力可能大打折扣。</p> <p>該醫院研究團隊最近在《Nature Biomedical Engineering》上，<a href="https://www.nature.com/articles/s41551-026-01719-2">發表一項名為BRIDGE的醫療AI評測框架</a>。這套評測基準，專門評估大型語言模型對真實臨床資料的理解力，範圍涵蓋電子病歷、臨床病例報告和醫病對話等資料，且也涵蓋9種語言。</p> <p>研究結果發現，表現最佳的模型在標準化醫學考試中拿下92分，但在BRIDGE測試中，平均得分只有44.8%，意味著目前醫療AI模型存在明顯的臨床理解落差。除了論文研究，團隊也同步<a href="https://huggingface.co/spaces/YLab-Open/BRIDGE-Medical-Leaderboard">公開模型排行榜</a>，來供醫療機構和開發者比較不同模型在真實臨床任務的表現，目前已納入107款模型。</p> <h2><strong>為何現有醫療AI評測方式不夠？</strong></h2> <p>過去幾年，醫療LLM的能力大多透過醫學考試題庫來評測，比如美國醫師執照考試（USMLE）或專科考題。這類評測方式都有個共同特性：題目通常經過標準化設計，使用正式且結構化的醫學語言，答案也相對明確。</p> <p>然而，Mass General Brigham研究團隊指出，這類測驗主要評估醫學知識和推理能力，無法完整反映臨床現場的複雜性。</p> <p>因為，相較於考題，醫師每天接觸的是電子病歷、護理紀錄、醫病對話及各類非結構化文本，其中充滿醫療縮寫、不完整病史、跨科別資訊和各院不同的書寫習慣。AI若無法理解這些內容，即使具備豐富醫學知識，也難以真正融入臨床工作流程。</p> <p>Mass General Brigham醫學部藥物流行病學與藥物經濟學部門研究員Jie Yang表示，有別於許多以醫學考題為核心的評測工具，團隊建立的BRIDGE更聚焦於真實臨床資料來源，就是希望更真實反映AI在醫療照護現場的能力。</p> <h2><strong>用真實病歷和醫病對話，測試AI能力</strong></h2> <p>BRIDGE最早在2025年公開上架，最近則正式通過同儕審查並刊登於權威期刊《Nature Biomedical Engineering》上。</p> <p>有別於傳統的醫療AI基準測試，BRIDGE採用電子病歷、臨床病例報告和醫病對話等真實醫療文本，作為測試資料，而非醫學考試考題。</p> <p>簡單來說，BRIDGE包含59個臨床資料來源，評估95款大型語言模型在病人照護全流程中的表現，涵蓋14個臨床專科領域，以及病人分流、醫療資訊擷取、疾病診斷、預後預測和醫療申報與編碼等能力。</p> <p>結果顯示，即使是表現最佳的模型，在標準化醫學考試拿下92分，在BRIDGE評測中的得分卻只有44.8%。研究團隊認為，這代表目前醫療AI最大的挑戰不再是缺乏醫學知識，而是缺乏對臨床語境（Clinical Context）和真實醫療文本的理解能力。</p> <p>BRIDGE還有另一個特色，也就是納入9種語言的臨床資料。由於目前大多數醫療AI模型，都以英文資料為主來訓練，因此非英語地區的模型能力與適用性，往往較少受到系統性評估。</p> <p>研究團隊指出，多語言設計，可以發現AI模型在不同語言環境下的表現差異，進一步改善醫療AI在全球不同醫療場域中的應用表現，降低語言造成的照護落差。</p> <h2><strong>醫療AI評測從「會考試」走向「會工作」</strong></h2> <p>除了論文研究，團隊也同步<a href="https://huggingface.co/spaces/YLab-Open/BRIDGE-Medical-Leaderboard">公開模型排行榜</a>，來供醫療機構和開發者比較不同模型在真實臨床任務的表現。</p> <p>這次論文首先評測95款大型語言模型，截至目前，排行榜已收錄了超過107款模型。</p> <p><img alt="" src="https://cdn-uploads.huggingface.co/production/uploads/669ff3f8efee8ac86d9b8c90/kX2cM7oBAowIXIqjBUp6E.png" /></p> <p>從產業發展角度來看，BRIDGE反映的不只是單一評測工具的進展，而是醫療AI評估標準的改變。過去業界習慣以USMLE等醫學考試成績衡量模型能力，但隨著生成式AI逐步進入醫院工作流程，醫療機構更關心的是AI是否能看懂病歷、理解醫病對話、支援病人分流、協助醫療申報與臨床決策。</p> <p></p> </div></div></div>
6/22 19:08作者王若樸https://www.ithome.com.tw/news/176785
沒有公雲帳單，私有雲如何落實FinOps？國泰世華銀行SRE用監控數據支援治理決策
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在臺灣第一場可觀察性技術研討會中，不少企業難得分享了自家運用可觀察性的實戰經驗，國泰世華銀行更將各項監控數據應用到私有雲資源的管理，導入了FinOps思維來創造可觀察性數據的新價值。</p> <p>國泰世華銀行SRE團隊，手上掌握了很多數據，從基礎設施層面的CPU和記憶體使用率，服務層面的Latency、錯誤率、SLA，還有應用程式效能監控的Tracing資訊等。</p> <p>一般維運團隊常見有三種監控數據的應用情境，像是系統出事而觸發告警，需要數據來找出問題，加快修復速度。其次是服務效能遇到瓶頸，需要分析監控數據，向主管說明問題來源，釐清責任歸屬並研擬改善方式。第三是要證明系統正常運作，像是例行系統健檢，需要確認指標正常。</p> <p>國泰世華銀行SRE工程師沈依潔剖析，這些應用方式只是利用觀察數據來解釋或是證明系統狀態，但能不能創造更多價值？</p> <p>從管理階層角度來看，老闆關心私有雲資源是否有效利用？這可以進一步細分成三個實務問題，第一是資源配置合理性，是否符合實際業務負載，其次是，服務資源是否長期高估？最後是，擴容需求是否基於真實數據，而非擔心出事而額外要求？</p> <p>就算拿到了上述問題的相關數據，沈依潔指出，最關鍵的挑戰就是，私有雲沒有如同公雲般的帳單，很難直接判斷資源利用的有效性。</p> <h3><strong><span style="color:#B22222;">私有雲 FinOps 挑戰：沒有帳單，也沒有人為浪費行為負責</span></strong></h3> <p>私有雲和公有雲最大的差異之一，是沒有像公有雲那樣清楚的帳單。在公雲環境中，服務上線後開始依用量計費，但私有雲資源是預先採購的設備，使用行為沒有帳單紀錄。「只要服務沒有出事，浪費的行為很安靜，沒有人可以察覺。」沈依潔表示，還有另一個挑戰是，「沒有人為省錢負責，也沒有人是資源浪費的擁有人。」</p> <p>管理階層無法了解實際數據與成本，平台管理團隊以平台穩定為優先，節省資源不是第一目標，開發應用團隊則依需求提出規格，但不見得有人可以評估規格所用資源的合理性。若指派一個團隊負責FinOps，其他團隊就會認為不是自己的責任而難以落實。</p> <p>「推動FinOps需要建立合作文化。合作的基礎不能各說各話，而是要用數據對齊決策。」沈依潔建議，第一步就是先定義什麼是「浪費」。</p> <p>掌握大量數據的平台管理團隊可以擔任FinOps核心承接者，用數據來定義指標，建立透明化規則，再和開發團隊討論資源調整方式，依照共同的指標和規則來調整。如此一來，管理階層就能清楚知道每一個專案如何落實FinOps。<br /> 國泰世華銀行採用了業界常見的叢集節能工具kube-green，先從測試環境導入私有雲FinOps做法。</p> <h3><span style="color:#B22222;"><strong>先從關閉測試環境的閒置空檔，長期則要清理閒置的服務</strong></span></h3> <p>測試環境的特性是，所部署的系統還沒實際執行交易，不會影響顧客或產生營運風險。使用時間也大多集中於上班時段，很多開啟在測試環境中的服務只是備用系統，不會持續創造價值。</p> <p>沈依潔表示，為了驗證系統，測試環境理論上得盡可能比照正式環境配置，因此，不適合採取「精準調整資源配置」的FinOps策略，反而是要採取「服務不用時可關閉」的做法。就像辦公大樓的餐廳，假日無人上班，就不用開店，可以省下電費與人力成本。</p> <p>所以，國泰世華銀行導入了測試環境的排程休眠與智慧喚醒機制。可以指定時段將部署環境的副本參數數值歸零，仍然保留所有設定，需要啟用服務時，仍可以喚醒測試環境。「這樣做的好處是，離峰時段自動關閉服務，不需靠人手動開關，也不用每天提前上班啟動服務。」她解釋。</p> <p>不過，並非所有測試環境的服務都能在離峰時段關閉，國泰世華銀行依照服務相依性與重要性，細分成三類服務，各有不同的休眠策略。</p> <p>第一類是基礎與關鍵服務。這一類服務支援了其他服務的大量呼叫，因此設定為永不休眠，避免影響其他服務智慧喚醒後的測試流程。第二類則是一般服務，這些服務有明確的開發和測試節奏，使用時間集中在上班時段，晚上則有少數測試需求，因此採取假日休眠的做法，避免影響開發流程。最後一類是教育訓練用服務，通常只會在上班時段使用，因此可以在平日晚上與假日時間休眠。</p> <p>不只關閉服務要有策略，喚醒服務也需要有一套做法，尤其不能同時喚醒平台上的所有服務。同時啟動所有服務，可能導致這些服務高度集中在特定運算節點上，造成整體節點的配置不均，也會因為啟動階段需要更多資源，而影響所用節點的運作。有些需要連結外部系統的服務，同時喚醒，對第三方服務會帶來較大的壓力。</p> <p>在喚醒服務上，國泰世華銀行SRE採取了三個做法，第一是事先預留啟動資源，來確保服務啟動時有足夠彈性。其次是，採取分批喚醒策略，避免同時啟動造成分配不均或節點負載過高。另外，還要控制每一波服務啟動的數量與間隔，確保上班時段開始之前，所需服務全都備妥。</p> <p>國泰世華銀行SRE針對測試環境中的閒置服務，設定了一套清理規則。以90天為限，超過這段時間沒有部署新版，沒有流量，也不是核心或基礎的服務，就會通知負責的開發團隊，確認是否需要保留或移除。<br /> 測試環境預設只會提供一份，開發團隊若因壓力測試需要大量副本，則要另外提出申請，使用後歸還。這個做法背後的目的是，建立測試環境資源是借用資源的觀念，不是永久配給制。</p> <p>他們管理測試環境的FinOps目標是，在穩定提供測試服務的前提下，讓測試環境的節點數，長期低於正式環境。簡單來說，就是用更少的基礎設施，提供同樣的服務能力。<br /> 沈依潔比喻，測試環境的管理，就像是旅館經營，平台是旅館，服務則是旅客。盡可能提高住房率、降低空房率，就能避免不必要的擴建。長期治理則像是定期清理已經登記但沒人入住的房間，將空間釋放給真正需要的人。</p> <h2><strong><span style="color:#B22222;">正式環境的FinOps做法和測試環境不一樣</span></strong></h2> <p>不過，相較於測試環境，正式環境才是導入FinOps更困難的挑戰。沈依潔解釋，正式環境除需要符合資安標準與合規要求之外，還必須維持服務的高可用性，核心服務更是需要達到7x24小時的穩定運作。其次，正式環境處理的是真實顧客資料與交易資料，也需要維持資料的一致性與即時性，不能有延遲或遺失。再加上，正式環境的流量變化劇烈，像是自家舉辦促銷活動，或是外部不可預測的事件，如匯率波動等都會導致流量驟增，必須保留即時調整的彈性。</p> <p>沈依潔提醒，無法將測試環境的FinOps管理方式，直接套到正式環境。「要管理正式環境的成本，第一步是先定義『不能做的事』。」</p> <p>像是，哪些是不能關閉的服務，或是必須7x24小時運作的核心服務。不能單看CPU峰值來調整，否則可能會造成其他資源的長期浪費，也必須保留彈性，避免服務遇到流量波動而受影響。</p> <p>「正式環境的FinOps目標不是關閉閒置服務，而要讓資源運用得更精準。」沈依潔一句話點出關鍵，必須提供正式環境更精準的資源配置，讓資源設定更符合每一項服務實際的使用型態。</p> <p>國泰世華銀行結合了不同維度的數據來綜合判斷，包括了數值型數據，服務類型標籤等。數值型數據像是維運團隊慣用的CPU用量、記憶體用量、長期用量。他們特別會觀察90天的長期使用行為，避免因為特殊壓測、單日異常或短期事件的誤導。服務類型的標籤則像交易類服務或查詢類服務。沈依潔解釋：「重點不是服務今天用了多少資源，而是它長期真正需要多少資源。」</p> <p><strong>國泰世華銀行SRE整合了多種數據，讓資源配置異動決策更有依據</strong><br /> <img alt="" src="/sites/default/files/images/%E5%9C%8B%E6%B3%B0SRE-%E5%9C%963-%E6%94%9D%E5%BD%B1-%E7%8E%8B%E5%AE%8F%E4%BB%81.jpeg" /></p> <p>為了更客觀地評估一項服務的配置能否調整，以及調整出錯時的風險，國泰世華銀行SRE還有一個特別的做法，他們將自己的維運經驗，轉換成可以通用各種服務的「服務重要性」指標。</p> <p>國泰團隊結合三項資訊，包括服務可用性、可變更時間，以及變更時可接受的中斷時間，將這三項資訊轉換成分數來加權計算，像是可接受中斷時間越短，代表這項服務的重要性分數就越高，最後歸納出三種「服務重要性」等級，分別是Critical、High和Medium。</p> <h3><span style="color:#B22222;"><strong>善用資源矩陣，找出必須關注和可調整的服務</strong></span></h3> <p>國泰世華銀行SRE以資源使用率與流量作為 X、Y 軸，再加上服務重要性標籤，設計了一個資源矩陣圖，就能一目瞭然看到所維運服務的資源調整態勢。</p> <p><img alt="" src="/sites/default/files/images/%E5%9C%8B%E6%B3%B0SRE-%E5%9C%962-%E6%94%9D%E5%BD%B1-%E7%8E%8B%E5%AE%8F%E4%BB%81.jpeg" /></p> <p>若有項服務的重要性等級為Critical，資源使用率高且流量也高，SRE團隊就需要特別關注，甚至得評估資源可用性，考慮增加資源來維持穩定。反過來說，若有服務的資源使用率低、流量也低，重要性等級只達到Medium，配置變動風險相對較低，就可以和該服務的負責團隊討論，評估是否減少資源配置。甚至可以用來評估是否要關閉或是和其他服務整併，來釋放所占用的資源。</p> <p>「透過數據、標籤與統一的調整標準，SRE可以和各個團隊用同一份數據與同一套指標來評估。」沈依潔表示，因為資源的調整不是憑感覺，而是符合服務真實使用狀況，可以讓大家對配置的調整更有信心。</p> <p>導入這套資源透明化的做法後，國泰所擁有的正式環境，在不增加更多節點的情況下，依舊能上線更多新服務，不只延緩了硬體資源的投資，也減輕了不少平臺管理團隊的維運壓力。</p> <h3><span style="color:#B22222;"><strong>SRE要將可觀察性數據變成治理依據</strong></span></h3> <p>「SRE不是沒有數據，而是這些數據能不能創造更多價值？答案是可以。」沈依潔表示，可以主動運用監控數據，來建立標準與規則，讓它變成主動治理的依據，讓數據成為每一個執行決策背後的依據。</p> <p>即使在私有雲中，沒有帳單，透過數據來定義出「浪費」，釐清哪些資源可以調整而哪些不能異動。「善用可觀察性讓浪費被看見，用數據做出決策，對平臺團隊而言，可以將維運工作從救火提升到治理層次。」沈依潔強調。</p> </div></div></div>
6/22 17:26作者王宏仁https://www.ithome.com.tw/news/176779
Google推出Brazos液冷設計，不需改建機房也能部署60kW AI機架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>AI運算需求快速成長，資料中心散熱正成為企業擴充AI基礎設施的新瓶頸。<a data-saferedirecturl="https://cloud.google.com/blog/topics/systems/brazos-liquid-cooling-system-for-air-cooled-data-centers" href="https://www.ithome.com.tw/news/124696" target="_blank">Google上周發表名為Brazos的液冷系統</a>，不同於傳統需要建置冷卻水系統的液冷架構，Brazos採用Sidecar（側掛式）設計，將液冷設備整合為獨立模組，直接安裝於AI機架旁，讓既有風冷資料中心也能部署高密度AI伺服器，而不必進行大規模機房改造。</p> <p>Google表示，Brazos已正式提供，並將透過合作夥伴推廣至產業市場，希望讓更多企業與資料中心業者採用這套設計。</p> <p><span style="color:#B22222;"><strong>Brazos</strong><strong>將液冷系統縮小至機架等級</strong></span></p> <p>目前市場上的液冷方案，多數需要資料中心配置冷卻水管路、冷卻水分配單元（CDU）以及相關基礎設施，在部署上伴隨高額投資與長達數個月的施工時間。</p> <p><img alt="" src="/sites/default/files/images/image1_qDK9NzQ_max-.jpg" style="width: 600px; height: 396px;" /></p> <p>Google的Brazos設計(上圖，來源：Google Cloud)是將完整液冷系統整合成側掛模組，並採用OCP的ORv3機架規格，由3個液冷模組搭配整合式機架歧管組成，每個模組占用11個OU高度，共同支援單一的AI機架散熱需求。</p> <p>換言之，原本屬於資料中心層級的液冷設備，被縮小為可隨機架部署的模組化設備，使液冷部署從「改建機房」轉變為「增加一個AI機架」。</p> <p><span style="color:#B22222;"><strong>建立封閉液冷循環，不需連接資料中心冷卻水</strong></span></p> <p>Brazos系統的最大特色是，採用Google稱之為「self-contained liquid ecosystem」的自成一體的液冷生態系。</p> <p>AI晶片產生的熱量先由冷板吸收後，再透過封閉式液體循環送往側掛模組內建的Liquid-to-Air熱交換器，最後直接將熱量排放至資料中心的熱通道，整個過程不需連接建築物冷卻水系統，也不必新增冷卻水管路。</p> <p>由於液體始終在封閉迴路內循環，IT設備與資料中心設施彼此隔離，不僅降低漏液風險，也讓既有風冷資料中心能以較低成本導入液冷AI設備。</p> <p>對企業IT而言，這代表未來升級AI運算時，不必等待機房重新設計，只需新增具備液冷能力的AI機架，即可逐步擴充算力。</p> <p><span style="color:#B22222;"><strong>單機架支援</strong><strong>60kW</strong><strong>熱負載，維修採模組化設計</strong></span></p> <p>根據Google公布的資料，Brazos每個機架最高可支援60kW熱負載，可使用去離子水（DI Water）或25%丙二醇混合液（PG25）作為冷卻液，供電則採40至60V直流電，可直接連接標準機架匯流排（Rack Busbar）。</p> <p>其在管理上，該系統支援Modbus over TCP，可整合既有資料中心監控平台，同時內建漏液偵測與壓力釋放機制，並符合UL、CSA及IEC 62368-1等安全規範。</p> <p>Google也在設計上強調Brazos的維護便利性。整個側掛模組採用滑軌結構，可直接抽出維修，幫浦與風扇也採用熱插拔、現場可替換（FRU）設計，方便現場快速更換，降低設備故障造成的停機時間。</p> <p>隨著新一代AI加速器功耗持續增加，資料中心升級的挑戰已從運算能力轉向基礎設施能力。液冷雖然被視為AI資料中心的重要技術，但如何兼顧部署速度與成本，仍是企業導入的主要考量。</p> <p>Brazos反映出AI基礎設施的新思維，將液冷能力封裝成標準化、模組化產品，讓企業可以依需求逐機架擴充，而不是一次投入機房大改造。</p> </div></div></div>
6/22 17:52作者蘇文彬https://www.ithome.com.tw/news/176782
GitLab 19.1強化AI工作流程治理，新增事件觸發與模型白名單
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><strong><a href="https://about.gitlab.com/blog/ai-catalog-updates-for-governance-and-operations/">GitLab在19.1版更新</a></strong>AI代理與流程目錄AI Catalog，讓AI工作流程功能Duo Flows可依合併請求、工作項目與CI/CD管線狀態自動觸發，並加入多項治理設定。管理員也可限制AI代理、流程與模型在組織內的使用範圍，降低未經審核的AI自動化內容進入企業環境的風險。</p> <p>過去Duo Flows主要靠使用者在GitLab介面中提及服務帳號、指派服務帳號，或把服務帳號加入為合併請求審查者來啟動，較難直接納入正式開發流程。GitLab 19.1新增事件觸發後，當系統偵測到合併請求出現程式碼衝突，或開發者將合併請求從草稿標記為準備審查，相關AI流程就能自動執行，用於產生衝突摘要、提出處理建議，或進行審查前檢查。</p> <p>Duo Flows支援的觸發事件還包括合併請求取得所有必要核准，以及建立新的工作項目。GitLab也強化既有的管線事件，讓使用者可設定只在管線執行中、成功、失敗或取消等特定狀態觸發流程，避免每次狀態變更都執行AI工作。</p> <p>GitLab新增設定，讓執行個體管理員與頂層群組擁有者限制AI Catalog的使用範圍。管理員可停用自訂AI代理與流程，讓使用者僅能使用GitLab提供的基礎內容，也可限制使用者只能啟用同一群組階層內的AI Catalog項目，避免未經審核的社群或第三方內容進入企業環境。</p> <p>GitLab 19.1也把流程設定檢查提前到儲存階段。使用者在AI Catalog新增或更新流程時，系統會先透過Duo Workflow Service檢查設定內容，要是缺少必要輸入或使用不明的工具參數，介面會在儲存前顯示錯誤，降低自動化流程上線後才因設定問題造成干擾的機率。</p> <p>另一項治理功能是AI模型白名單，目前以公開測試版提供。管理員可指定組織核准使用的AI模型，並設定預設模型，讓企業在資料駐留或內部審核要求下限制模型來源。GitLab表示，該功能初期適用於GitLab Duo Agentic Chat，之後會擴大到更多功能介面。</p> </div></div></div>
6/22 18:06作者李建興https://www.ithome.com.tw/news/176777
【資安日報】6月22日，FortiBleed暴露逾7萬臺Fortinet設備憑證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><h3><strong>本日新聞焦點</strong></h3> <p>● <a href="https://www.ithome.com.tw/news/176771#FortiBleed">FortiBleed曝光逾7萬臺Fortinet設備憑證資料</a></p> <p>● <a href="http://www.ithome.com.tw/news/176771#AryStinger">殭屍網路AryStinger感染大量D-Link路由器</a></p> <p>● <a href="https://www.ithome.com.tw/news/176771#Nginx">F5針對Nginx發布緊急安全更新</a> <a id="FortiBleed" name="FortiBleed"></a></p> <p> </p> <p><a href="https://www.ithome.com.tw/news/176718"><span style="font-size: 22px;"><strong>FortiBleed曝光逾7萬臺Fortinet設備憑證資料，臺灣受影響數量居全球第三</strong></span></a></p> <p><a href="/sites/default/files/images/1781278244877-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/1781278244877-63.jpg" style="width: 300px; float: right;" /></a></p> <p>威脅情報平臺InfoStealers於6月17日，揭露名為FortiBleed的大規模憑證外洩事件，指出全球有超過7萬臺Fortinet FortiGate防火牆與SSL VPN設備的登入憑證，遭駭客竊取並外洩，受害者遍布194個國家，影響逾2萬個網域，且臺灣曝險設備數量位居全球第三。這起事件最早由研究人員Bob Diachenko於6月中旬發現，當時他找到1臺曝露在網際網路的伺服器，其中儲存了大量疑似有效的Fortinet VPN登入憑證，包含使用者名稱、電子郵件地址，以及明文密碼。<a href="https://www.ithome.com.tw/news/176718"><strong>詳全文</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176765"><span style="font-size: 22px;"><strong>美CISA公布因應FortiBleed的五大措施，要求企業重設帳密並升級至PBKDF2雜湊機制</strong></span></a></p> <p>近期全球爆發FortiBleed大規模系統登入憑證外洩事件，美國網路安全與基礎設施安全局（CISA）緊急發布威脅因應的五項措施，呼籲受影響用戶立即強化防禦。具體因應行動包括：（一）停用所有SSL VPN與管理連線，重設所有Fortinet設備帳號與密碼，並強制實施強密碼政策；（二）確保憑證儲存安全，強制管理員帳戶改用PBKDF2雜湊機制儲存密碼，並依循Fortinet指引移除安全性較弱的舊版雜湊值；（三）全面審查防火牆與VPN日誌，確認是否有橫向移動或未經授權的設定變更；（四）針對遠端存取與管理帳戶強制啟用抗網釣MFA；（五）縮減攻擊面並限制存取權限。<a href="https://www.ithome.com.tw/news/176765"><strong>詳全文</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176757"><span style="font-size: 22px;"><strong>因應FortiBleed外洩大量Fortinet設備登入憑證，英國NCSC建議企業可先用兩款工具自行檢測是否名列其中</strong></span></a></p> <p>針對FortiBleed大規模系統登入憑證外洩事件，英國國家網路安全中心（NCSC）近日發布緊急安全建議，指出全球針對Fortinet防火牆與VPN設備的攻擊行動正顯著增加，呼籲用戶應盡速採取因應行動，NCSC建議用戶可以先用兩款檢測工具來確認是否受影響，包括威脅情資業者SOCRadar提供的FortiBleed Checker，或是另一威脅情資業者Hudson Rock提供的FortiBleed Checker。<a href="https://www.ithome.com.tw/news/176757"><strong>詳全文</strong></a> <a id="AryStinger" name="AryStinger"></a></p> <p><a href="https://www.ithome.com.tw/news/176759"><span style="font-size: 22px;"><strong>殭屍網路AryStinger感染約4千臺D-Link路由器</strong></span></a></p> <p><a href="/sites/default/files/images/massprod_scanip-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/massprod_scanip-63.jpg" style="width: 300px; float: right;" /></a></p> <p>中國資安公司奇安信揭露殭屍網路AryStinger，搭配RTL819X系列晶片的網路設備是遭到綁架的主要裝置，感染惡意軟體後，攻擊者將其組成具備偵察與攻擊能力的分散式殭屍網路，用於入侵受害組織的前期情報蒐集。奇安信一共偵測到4,371臺受害路由器設備，其中有75%是D-Link DIR-850L、13%為DIR-818LW，但也有同廠牌的DIR-816L、DIR-818L、DWR-118、DIR-817LW被感染的情況。<a href="https://www.ithome.com.tw/news/176759"><strong>詳全文</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176764"><span style="font-size: 22px;"><strong>AI應用程式框架Mastra遭遇北韓駭客供應鏈攻擊，逾140個NPM套件被植入後門</strong></span></a></p> <p><a href="/sites/default/files/images/Mastra -30-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/Mastra%20-30-63.jpg" style="width: 300px; float: right;" /></a></p> <p>6月17日微軟揭露針對AI應用程式框架Mastra的攻擊行動，北韓駭客組織BlueNoroff（UNC1069、Sapphire Sleet）先奪取其中一名開發成員ehindero的NPM維護帳號，藉此得到整個@mastra範圍的發布權限，並發布惡意套件easy-day-js。接著，駭客再度利用竊得的帳號，於@mastra經營的超過140個NPM套件當中，發布有問題的新版本，其共通點是將easy-day-js@^1.11.21當作相依套件，而且所有受污染版本均標記為latest。<a href="https://www.ithome.com.tw/news/176764"><strong>詳全文</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176752"><span style="font-size: 22px;"><strong>美國德州政府狩獵與釣魚執照管理系統發生資安事故，外洩300萬人的駕照資訊</strong></span></a></p> <p>美國德州的公園及野生動物部門（TPWD）的系統供應商近日發生資料外洩事故，導致超過300萬人駕照或護照資料遭竊取，這起事件和處理TPWD打獵與釣魚執照銷售的執照管理系統廠商有關，未授權人士可能已取得執照持有者的駕照、護照、電子郵件信箱、電話號碼和住家地址。根據德州檢察長辦公室獲報的資料，受影響人數高達3,087,721人，不過，受影響者並非全為德州居民。<a href="https://www.ithome.com.tw/news/176752"><strong>詳全文</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176740"><span style="font-size: 22px;"><strong>Splunk近期9.8分重大漏洞被CISA列入KEV，6月21日須完成修補</strong></span></a></p> <p>上週思科旗下Splunk揭露與修補12個漏洞，其中的CVSS評分9.8分重大漏洞CVE-2026-20253，因後續有很高機會遭攻擊者利用而受到關注，6月18日美國網路安全與基礎設施安全局（CISA）因掌握此漏洞已遭積極利用的證據，因此，宣布將其列入已遭利用的漏洞清單（KEV），並下令要求聯邦機構72小時內完成修復與緩解措施，Splunk更新CVE-2026-20253的安全性公告，提及已察覺少量利用漏洞行為。<a href="https://www.ithome.com.tw/news/176740"><strong>詳全文</strong></a> <a id="Nginx" name="Nginx"></a></p> <p><a href="https://www.ithome.com.tw/news/176739"><span style="font-size: 22px;"><strong>F5針對Nginx發布緊急安全更新，揭露與修補兩個重大漏洞</strong></span></a></p> <p>F5發布Nginx非例行的安全性更新公告，總共揭露6個漏洞，以CVSS 3.1評分而言，區分為4個高風險漏洞與2個中風險漏洞，若以CVSS 4.0評分而言，區分為2個重大漏洞、3個高風險漏洞，以及1個中風險漏洞。從嚴重程度來看，CVE-2026-42530與CVE-2026-42055最高，CVSS 3.1評分均為8.1，CVSS 4.0評分均為9.2，兩個漏洞皆是資料層（data plane）處理的議題，而非控制層（control plane）暴露的狀況。<a href="https://www.ithome.com.tw/news/176739"><strong>詳全文</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176758"><span style="font-size: 22px;"><strong>思科修補ISE身分識別與存取控制平臺重大漏洞，未更新可能導致攻擊者取得系統Root權限</strong></span></a></p> <p>思科於6月17日發布資安公告，揭露影響身分識別與存取控制服務平臺ISE與ISE-PIC重大漏洞CVE-2026-20181，此弱點的CVSS嚴重性評分達9.1分，問題源自ISE與ISE-PIC對使用者輸入資料驗證不足，具備管理員權限的遠端攻擊者可透過特製HTTP請求觸發此漏洞，進而在底層作業系統上獲得Root權限，並執行任意指令。在單節點系統上，這項漏洞還可能導致ISE/ISE-PIC節點服務中斷。<a href="https://www.ithome.com.tw/news/176758"><strong>詳全文</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176743"><span style="font-size: 22px;"><strong>Node.js揭露與修補12個漏洞，當中涵蓋兩個高風險漏洞</strong></span></a></p> <p>開放原始碼JavaScript執行環境Node.js這幾天發布安全性更新公告，揭露與修補12個漏洞（CVSS評分尚未公布），其中兩個為高風險漏洞，6個為中風險漏洞，4個為低風險漏洞，Node.js的22.x、24.x、26.x版本均受到影響，目前開發團隊已釋出修補漏洞的更新版本——Node.js 22.23.0、Node.js 24.17.0、Node.js 26.3.1。<a href="https://www.ithome.com.tw/news/176743"><strong>詳全文</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176744"><span style="font-size: 22px;"><strong>網頁快取與代理伺服器軟體Squid被找出存在近30年的漏洞，HTTP存取的密碼與金鑰可能全都被看光光！</strong></span></a></p> <p>因揭露攻擊手法HTTP/2 Bomb而聲名大噪的資安研究公司Calif，本週公開代號為Squidbleed的資安漏洞CVE-2026-47729，顧名思義，這個漏洞存在於知名的開源網頁代理伺服器（Proxy）與網路快取軟體Squid，而且是類似Heartbleed的記憶體洩漏弱點，原因主要是過去到近期版本Squid的預設配置存在缺陷，可能導致內部記憶體的內容洩漏，影響範圍相當廣泛。<a href="https://www.ithome.com.tw/news/176744"><strong>詳全文</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176751"><span style="font-size: 22px;"><strong>微軟著手修補Microsoft Defender零時差漏洞RoguePlanet</strong></span></a></p> <p>研究人員Chaotic Eclipse（Nightmare-Eclipse）於微軟發布6月例行更新不久，公布Microsoft Defender零時差漏洞RoguePlanet，一週後微軟發布公告，承認這項弱點的存在。6月16日微軟公布新的漏洞CVE-2026-50656，此為Microsoft Defender權限提升漏洞，屬於檔案存取之前的連結解析不當造成的弱點（CWE-59），CVSS風險評為7.8分，該公司指出，此漏洞就是已被公開的RoguePlanet。<a href="https://www.ithome.com.tw/news/176751"><strong>詳全文</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176716"><span style="font-size: 22px;"><strong>Mozilla發布Firefox 152版更新，修補40項資安漏洞</strong></span></a></p> <p>Mozilla近日發布Firefox瀏覽器的資安公告，揭露40項漏洞，並提供已修補完成的152版。前述漏洞中，包含13項高風險漏洞，16項中度風險漏洞，以及11項低風險漏洞。而從漏洞類型來看，記憶體安全相關問題仍占最大宗，在全部40項漏洞中，有18項漏洞屬於這類型，如記憶體已釋放卻仍被使用（UAF），或是記憶體安全錯誤（Memory safety bug）等，另有6項漏洞屬於沙箱逃逸問題（Sandbox escape）。<a href="https://www.ithome.com.tw/news/176716"><strong>詳全文</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176680"><span style="font-size: 22px;"><strong>Google發布ChromeOS長期支援版更新，修補17項記憶體相關重大漏洞</strong></span></a></p> <p>ChromeOS作業系統長期支援版LTS-144的更新版144.0.7559.255於6月13日上線，並修補40項漏洞，當中分別有17項漏洞被評為有重大風險，22項有高風險，1項有中度風險。前述漏洞中，CVE-2026-11638與CVE-2026-10886的CVSS嚴重性評分最高，都達到9.6分，前者存在於列印系統元件Printing，後者存在於檔案系統存取架構FileSystem，兩者都屬於記憶體已釋放卻仍被使用（UAF）問題。<a href="https://www.ithome.com.tw/news/176680"><strong>詳全文</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176714"><span style="font-size: 22px;"><strong>思科、Cloudflare等逾24個組織參與Athena聯盟，合作修補開源漏洞</strong></span></a></p> <p>軟體供應鏈安全業者Chainguard宣布成立產業聯盟Athena，協助成員在開源軟體漏洞公開前，先取得可用的緩解措施，降低攻擊風險。目前已有超過24個組織加入，包括紐約梅隆銀行（BNY）、思科、Cloudflare、Docker、摩根大通、Kyndryl與PwC等。該聯盟已處理逾2萬筆漏洞發現資料，並針對500個開放原始碼專案產生逾2,000項修補程式或版本，第一波協調揭露預計2026年7月開始進行。<a href="https://www.ithome.com.tw/news/176714"><strong>詳全文</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176725"><span style="font-size: 22px;"><strong>AWS推出Context知識圖譜與Continuum資安代理人服務，強化企業AI代理人部署</strong></span></a></p> <p>AWS在AWS Summit New York 2026宣布推出AI代理人相關服務，其中包括AI原生資安產品線AWS Continuum。AWS表示，隨著Claude Mythos等資安專用AI模型提升漏洞發掘與攻擊分析能力，企業面臨的漏洞數量正快速增加，傳統依賴蒐集遙測資料、查詢資料及監看儀表板的安全作業模式已難以跟上威脅演進速度。因此AWS推出Continuum，協助企業以接近機器速度處理安全問題。<a href="https://www.ithome.com.tw/news/176725"><strong>詳全文</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176717"><span style="font-size: 22px;"><strong>Linux 7.1正式發布，擴大沙箱機制是安全性一大突破</strong></span></a></p> <p>6月14日Linux核心7.1版正式發布，最顯著的進展是移除Intel M486與M486SX支援，並刪除大量舊式相容性程式碼，這表示Linux將終止支援37年前推出的Intel 486處理器，並且導入完全重寫的核心內建NTFS驅動程式。新版Linux核心也對於安全框架做了不少更新，特別是擴大沙箱機制Landlock對Unix Domain Socket的控制能力，讓應用程式更容易被限制在特定權限範圍內。<a href="https://www.ithome.com.tw/news/176717"><strong>詳全文</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176733"><span style="font-size: 22px;"><strong>愛沙尼亞擬替AI代理建立官方數位身分</strong></span></a></p> <p>以數位治國聞名的愛沙尼亞，正在研擬替AI代理建立官方的數位身分機制。愛沙尼亞政府於6月17日公告指出，該國Eesti.ai諮詢委員會同意推動AI代理數位身分，他們將其命名為AI身分碼（AI ID codes），讓AI代理未來能在明確權限範圍內，代表個人、企業或機構行動，且相關行為可被控管與稽核。該國在國家AI發展計畫架構下，將AI代理的身分管理、授權邊界與責任歸屬，納入數位身分制度設計的一環。<a href="https://www.ithome.com.tw/news/176733"><strong>詳全文</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176713"><span style="font-size: 22px;"><strong>歐盟對烏克蘭提供緊急網路安全支援</strong></span></a></p> <p>歐盟推進烏克蘭入盟談判程序之際，也同步強化對烏克蘭的網路安全支援。歐盟執委會於6月15日宣布，歐盟理事會已同意將烏克蘭納入歐盟網路安全儲備機制（EU Cybersecurity Reserve），若烏克蘭遭遇重大或大規模資安事件時，可取得歐盟受信任民間資安服務供應商提供的協助。這項合作並非單向支援，烏克蘭也已向歐洲夥伴分享俄羅斯相關的駭侵手法情資，並參與聯合網路犯罪調查與歸因工作。<a href="https://www.ithome.com.tw/news/176713"><strong>詳全文</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176754"><span style="font-size: 22px;"><strong>跨國執法行動中斷SocGholish感染鏈，清理近1.5萬個WordPress網站</strong></span></a></p> <p>荷蘭警方於6月18日宣布，跨國執法行動Operation Endgame針對惡意軟體SocGholish展開聯合行動，關閉或接管106個與其犯罪基礎設施有關的伺服器與網域，清理14,971個遭感染WordPress網站，中斷網路罪犯散布惡意軟體的感染鏈。執法單位除了移除受感染WordPress網站上的惡意軟體與後門，也透過Have I Been Pwned、Shadowserver基金會等多個管道，通知受害網站管理者更新網站並更換登入憑證。<a href="https://www.ithome.com.tw/news/176754"><strong>詳全文</strong></a></p> </div></div></div>
6/22 15:18作者周峻佑https://www.ithome.com.tw/news/176771
推動太空系統網路安全，MITRE透露鋼鐵城與Project 60計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>太空系統的網路安全防護日益受到關注，近日美國非營利研究機構<strong><a href="https://www.mitre.org/news-insights/employee-voice/mitre-theres-space-implementing-more-national-security">MITRE在一篇人物專文</a></strong>中，介紹首席應用資安工程師Robert Sumner投入太空系統資安的工作，值得關注的是，當中透露由他領導的兩項計畫，目的是強化太空系統的網路安全防禦體系。</p> <p>根據MITRE的說明，其中一項稱為鋼鐵城計畫（Project STEEL TOWN），發展重點在於，建立專門針對太空系統各個層面的網路威脅列舉（Cyber Threat Enumeration），並成為可重複使用的框架。</p> <p>這項計畫的目標主要在於，解決美國戰爭部（DoW）與情報體系之間長期存在的技術空白。其核心在於運用一套針對太空系統「全生命週期」的創新方法論，以顯著提升網路威脅情資的精準度，彌補過去資安評估往往僅針對特定組件或單一時點的不足。而且，這項計畫並非從零開始，而是基於MITRE ATT&CK框架以及D3FEND網路防禦矩陣的生態系而發展。Robert Sumner強調，他的職責所在，就是以創新的方式重新利用現有資源，並將這些防禦概念轉化為現實。</p> <p>另一項MITRE推動的太空資安關鍵計畫「Project 60」專注於提供「威脅情資驅動（Threat-informed）」的太空系統工程與架構支援。這兩項計畫的進展，反映美國在太空系統網路安全發展面臨的轉型。</p> <p>值得注意的是，歐盟網路安全機構（ENISA）日前發布NIS360報告，也提及<strong><a href="https://www.ithome.com.tw/news/176316">太空領域</a></strong>處於高度關鍵、網路安全成熟度中等偏低的現況。這些消息均突顯太空系統網路安全的重要性與迫切性。成熟度落差亦預示著巨大的太空網路安全商機。</p> </div></div></div>
6/22 16:25作者羅正漢https://www.ithome.com.tw/news/176776
新攻擊手法AutoJack可讓惡意網頁透過AI代理觸發本機程式執行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟研究團隊揭露一種名為<strong><a href="https://www.microsoft.com/en-us/security/blog/2026/06/18/autojack-single-page-rce-host-running-ai-agent/">AutoJack</a></strong>的新攻擊手法，指出AutoGen Studio開發版本曾存在一組可被串連利用的弱點。攻擊者只要讓具備網頁瀏覽能力的AI代理程式開啟惡意網頁，就可能藉由本機上的MCP WebSocket介面，讓主機執行攻擊者指定的程式。目前相關問題已在AutoGen主分支修補，且受影響介面未進入Python套件庫正式發行版。</p> <p>AutoGen Studio是AutoGen多代理系統框架上的開發介面，主要供開發者快速組合代理程式、連接工具與測試原型。由於過去許多開發工具會把本機連線視為較可信的環境，但AI代理程式若同時能瀏覽外部網頁，又能接觸本機服務，惡意網頁就可能透過代理程式把攻擊帶進本機。</p> <p>研究團隊指出，AutoJack攻擊鏈結合了三個設計缺陷。首先，AutoGen Studio當時只以localhost或127.0.0.1作為WebSocket Origin允許清單，這能阻擋一般瀏覽器從惡意網站直接連入，但若惡意內容由本機上的AI代理程式載入，就可能繞過這道檢查。其次，部分MCP相關路徑沒有套用原本的登入驗證。第三，連線介面可從網址參數接收設定值，並把這些設定交給系統啟動外部程式，因而形成遠端程式碼執行的條件。</p> <p>在研究團隊展示的範例中，開發者執行一個可瀏覽網頁並摘要內容的AutoGen代理程式。攻擊者只要誘使該代理程式前往惡意頁面，頁面中的指令碼就能嘗試連向本機AutoGen Studio服務，並夾帶經過編碼的參數，使主機在開發者帳號權限下開啟Windows小算盤程式。研究團隊以此作為受控驗證，說明同樣方法也可能被改成執行其他命令。</p> <p>AutoGen後續設計已調整，不再讓MCP WebSocket處理程式直接從網址讀取啟動參數，而是改由伺服器端先保存參數，再用連線識別碼對應，同時，AutoGen維護團隊也調整驗證規則，讓MCP相關路徑回到一般驗證流程。研究團隊表示，透過Python套件庫安裝AutoGen Studio的使用者，不受這條特定攻擊鏈影響。暴露範圍主要限於MCP外掛進入主分支後、相關修補完成前，自行從GitHub主分支建置AutoGen Studio的開發者。</p> </div></div></div>
6/22 15:49作者李建興https://www.ithome.com.tw/news/176772
美CISA公布因應FortiBleed的五大措施，要求企業重設帳密並升級至PBKDF2雜湊機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>近期全球爆發<strong><a href="http://www.ithome.com.tw/news/176718">FortiBleed大規模系統登入憑證外洩事件</a></strong>，波及約7.4萬臺Fortinet設備。針對此一威脅，美國網路安全暨基礎設施安全局（CISA）緊急<strong><a href="https://www.cisa.gov/news-events/alerts/2026/06/18/cisa-urges-hardening-fortinet-devices-after-reports-credential-exposure">發布威脅因應的五項措施</a></strong>，呼籲受影響用戶立即強化防禦。</p> <p>具體因應行動包括：（一）停用所有SSL VPN與管理連線，重設所有Fortinet設備帳號與密碼，並強制實施強密碼（strong password）的政策；（二）確保憑證儲存安全，強制管理員帳戶改用PBKDF2雜湊機制儲存密碼，並依循<strong><a href="https://community.fortinet.com/fortigate-3/technical-tip-enforcing-pbkdf2-as-hash-function-for-administrator-accounts-in-fortios-v7-2-11-and-later-220652">Fortinet指引</a></strong>移除安全性較弱的舊版雜湊值；（三）全面審查防火牆與VPN日誌，確認是否有橫向移動或未經授權的設定變更；（四）針對遠端存取與管理帳戶強制啟用抗網釣MFA；（五）縮減攻擊面並限制存取權限，確保管理介面不暴露於網際網路，僅允許受信任的內部網路存取，並停用不必要的帳號。</p> <p>值得一提的是，上述提及的PBKDF2雜湊機制，其重要性在之前已經被強調。例如，早在2024年底美國電信業遭中國駭客入侵後，美國、加拿大、澳洲、紐西蘭網路安全機構聯合發布的<strong>《</strong>增強電信通訊基礎設施可觀測性與防護指南<strong>》</strong>，當時國內資安專家解析該指引時指出，其中建議應採用思科的Type-8密碼，就是以<strong><a href="http://www.ithome.com.tw/news/166900#PBKDF2">PBKDF2</a></strong>作為基礎演算法，以提升暴力破解的難度，確保裝置配置檔中的管理員登入憑證安全。</p> <p> </p> </div></div></div>
6/22 14:29作者羅正漢https://www.ithome.com.tw/news/176765
國際刑警組織示警亞洲與南太平洋網路犯罪升溫，AI與憑證竊取擴大攻擊鏈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.interpol.int/News-and-Events/News/2026/New-INTERPOL-report-highlights-escalating-cyber-threats-across-Asia-and-South-Pacific" target="_blank">國際刑警組織（Interpol）發布2025/2026年亞洲與南太平洋網路威脅評估報告</a>，指出該地區網路犯罪活動規模持續擴大，線上詐騙、資訊竊取惡意程式、勒索軟體與AI濫用，正使攻擊鏈更趨複雜。</p> <p>這份報告涵蓋2024年1月至2025年3月，彙整18個會員國調查回覆、私部門威脅資料與近期執法行動。超過半數受訪國家表示，網路犯罪已占全國登錄犯罪案件30%以上；另有33%受訪國家通報超過1萬起線上詐騙案件。</p> <p>從威脅類型來看，報告列出該地區通報量最高的5類網路犯罪，依序為線上詐騙與網釣、銀行木馬與資訊竊取惡意程式、勒索軟體、錯假訊息、資訊操弄與深偽（deepfake）相關犯罪，以及商業電子郵件詐騙（BEC）。</p> <p>報告也指出，2024年亞洲與南太平洋地區記錄超過13.5萬起勒索軟體相關攻擊，影響房地產、製造與金融服務等產業；而在分散式阻斷服務（DDoS）攻擊方面，數量則較前一年增加92%。資料外洩事件多與系統遭入侵有關，約占整體案例80%，其中又以惡意程式與勒索軟體最常見，分別占整體案例的83%與51%。</p> <p>在AI相關風險方面，國際刑警組織指出，犯罪組織已將AI用於產生更具說服力的網釣內容、偽造身分與深偽影像。2024年2月至6月間，東南亞威脅社群中與深偽相關的討論增加600%，並已出現冒充企業高層、假投資與愛情誘騙等詐騙案例。</p> </div></div></div>
6/22 15:13作者王珮瑤https://www.ithome.com.tw/news/176770
思科買下身分安全新創WideField Security
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://blogs.cisco.com/news/cisco-announces-intent-to-acquire-widefield-security" target="_blank">思科上週四（6/18）宣布</a>將收購身分安全新創WideField Security，以強化旗下Splunk代理型資安營運中心（Agentic SOC）能力。這是思科繼AI可觀測性應用平臺<a href="https://www.ithome.com.tw/news/175220" target="_blank">Galileo</a>與非人類身分安全公司<a href="https://www.ithome.com.tw/news/175556" target="_blank">Astrix Security</a>之後，今年第三起資安相關收購案。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0622-WideField%20to%20Cisco-600.png" style="width: 450px;" /></p> <p>WideField Security成立於2023年，主打身分生命週期安全（Identity Lifecycle Security），保護範圍涵蓋人類身分、機器身分與AI代理人身分。該公司的重點不是傳統登入驗證，而是登入後的工作階段（Session）、Token、權限使用與異常行為偵測，補足企業在使用者或AI代理人完成驗證後，持續監控其行為脈絡與權限風險的安全缺口。</p> <p><a href="https://www.ithome.com.tw/news/164008" target="_blank">至於Splunk則是思科</a>在2024年以280億美元收購的資料分析與資安軟體公司，現為思科資安業務的核心平臺之一，負責發展AI驅動的資安營運中心（SOC）與代理型資安（Agentic Security）相關服務。</p> <p>思科資深副總裁暨Splunk總經理Kamal Hathi表示，隨著AI代理人、自主工作負載及各類非人類身分快速增加，企業面臨的新型態風險已不再只是未經授權的存取，而是已獲授權的使用者或AI代理人在錯誤情境下執行不安全操作。傳統安全工具雖能確認「誰登入系統」，卻難以判斷後續行為是否合理，因此需要更完整的身分、工作階段與權限脈絡分析能力。</p> <p>而WideField可將來自身分系統、網路、端點及雲端環境的資料進行關聯分析，讓Splunk Agentic SOC建立工作階段層級的身分情報，協助資安團隊判斷某項行為是否屬於合法操作，或可能涉及帳號遭盜用、權限濫用及AI代理人失控等風險。</p> <p>雙方未公布交易金額。WideField在去年10月完成1,130萬美元的A輪融資，今年3月Cisco Investments也曾參與其A輪延伸投資。</p> </div></div></div>
6/22 13:24作者陳曉莉https://www.ithome.com.tw/news/176766
TypeScript 7.0邁向正式版，編譯器移植Go並導入平行化建置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><strong><a href="https://devblogs.microsoft.com/typescript/announcing-typescript-7-0-rc/">微軟TypeScript團隊發布TypeScript 7.0候選版</a></strong>，官方規畫在一個月內發布正式版。該版最大變化，是編譯器底層改以Go實作，並導入多執行緒平行處理，在常見使用情境下，TypeScript 7.0的速度約可達TypeScript 6.0的10倍。</p> <p>TypeScript是JavaScript的型別化語言，不少JavaScript專案會用來檢查型別問題，提早發現部分錯誤。過去TypeScript編譯器本身以TypeScript撰寫，再轉成JavaScript執行。新版則將既有編譯器程式碼逐步搬到Go，目標是在不改變原有型別判斷規則的前提下，提高大型專案的建置速度與編輯器反應速度。</p> <p>官方強調，這次是把既有實作搬到新的技術基礎。TypeScript 7.0的型別檢查邏輯在結構上與TypeScript 6.0相同，一般TypeScript程式碼若已能在TypeScript 6.0通過檢查，轉到7.0理論上不需重新理解主要型別規則。</p> <p>新版編譯器可將多個工作平行處理，包括解析程式碼、檢查型別與產生輸出檔案，TypeScript 7.0預設使用4個型別檢查器，開發者可透過新的設定選項調整數量。不過官方也提醒，增加型別檢查器可能縮短大型專案建置時間，但也會使用更多記憶體，資源較有限的CI環境，反而可能需要降低數量。</p> <p>TypeScript 7.0也改善監看模式，當開發者修改檔案後自動重新檢查專案，過去在大型專案中可能消耗較多系統資源。新版監看機制借鑑Parcel專案的檔案監看技術，並移植到Go，官方表示可改善跨平臺穩定性與資源使用情況。</p> <p>編輯器支援也是這次更新重點之一，VS Code使用者可透過TypeScript Native Preview擴充套件試用新版體驗。官方表示，新版語言服務採用語言伺服器通訊協定，可利用多執行緒同時處理編輯器請求。</p> <p>升級仍有需要留意的地方，TypeScript 7.0沿用TypeScript 6.0的新預設行為，包括預設啟用嚴格模式、模組預設改為esnext，以及部分舊設定不再支援，例如ES5輸出目標、舊版Node模組解析方式，以及部分舊式模組格式都會成為錯誤。官方建議開發者先採用TypeScript 6.0，以降低後續升級到7.0時的調整幅度。</p> <p>TypeScript團隊也提供TypeScript 6相容套件，讓仍依賴舊版程式介面的工具可以並行使用。官方表示，穩定的程式化API最快要到TypeScript 7.1才會提供，因此部分開發工具短期內仍可能需要保留TypeScript 6。</p> </div></div></div>
6/22 12:28作者李建興https://www.ithome.com.tw/news/176763
AI應用程式框架Mastra遭遇北韓駭客供應鏈攻擊，逾140個NPM渡件被植入後門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>從去年下半開始，有多組人馬針對NPM、PyPI、微軟Visual Studio Code的軟體供應鏈從事攻擊行動，滲透維護者的帳號上架惡意套件，其中有多起是北韓國家級駭客所為，如今再傳新的資安事故引起外界注意。</p> <p>6月17日微軟揭露<strong><a href="https://www.microsoft.com/en-us/security/blog/2026/06/17/postinstall-payload-inside-mastra-npm-supply-chain-compromise/">針對AI應用程式框架Mastra的攻擊行動</a></strong>，駭客先奪取其中一名開發成員ehindero的NPM維護帳號，藉此得到整個@mastra範圍的發布權限，然後採用名稱冒充（Typosquat）手法發布惡意套件easy-day-js，此套件偽裝成每週下載超過5,700萬次的程式庫dayjs。接著，駭客再度利用竊得的帳號，於@mastra經營的超過140個NPM套件當中，發布有問題的新版本，其共通點是將easy-day-js@^1.11.21當作相依套件，而且所有受污染版本均標記為latest。一旦使用者安裝這些受污染的套件，攻擊者就會透過掛鉤（hook）執行經混淆處理的惡意程式，檔案大小為4,572位元組，功能是停用TLS驗證機制，清除追蹤標記，然後建立C2通訊，並從C2擷取第二階段的酬載。微軟向NPM通報之後，受影響的套件已被下架，攻擊者竊得的發布權限也遭撤銷。</p> <p>針對攻擊者的身分，微軟於19日更新部落格文章指出，是被稱為BlueNoroff、UNC1069、Sapphire Sleet的北韓駭客組織，該組織並非首度從事軟體供應鏈攻擊，因為發生在今年4月的<strong><a href="https://www.ithome.com.tw/news/174813">Axios事故</a></strong>，<strong><a href="https://www.ithome.com.tw/news/174826">就是該駭客團體所為</a></strong>。</p> </div></div></div>
6/22 12:48作者周峻佑https://www.ithome.com.tw/news/176764
殭屍網路AryStinger感染約4千臺D-Link路由器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>鎖定公布超過10年以上的資安漏洞，綁架老舊路由器設備的情況，已有不少資安事故傳出，如今有專門針對採用特定晶片網路設備的攻擊行動。</p> <p>中國資安公司奇安信<strong><a href="https://blog.xlab.qianxin.com/arystinger-botnet-hijacks-legacy-routers-for-global-attacks/">揭露殭屍網路AryStinger</a></strong>，搭配RTL819X系列晶片的網路設備是遭到綁架的主要裝置，感染惡意軟體後，攻擊者將其組成具備偵察與攻擊能力的分散式殭屍網路，用於入侵受害組織的前期情報蒐集。由於許多在2012年至2015年推出的網路設備均採用RTL819X晶片，因此引起了奇安信的注意。該公司起初在3月12日，找到以C語言開發的ELF惡意程式．當中利用已知漏洞<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2013-3307">CVE-2013-3307</a></strong>與<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2016-5681">CVE-2016-5681</a></strong>（CVSS風險評為8.3、9.8分），來攻擊Linksys與D-Link路由器設備，該公司將ELF檔案上傳VirusTotal，結果沒有防毒引擎將其視為有害；事隔一個月，他們於4月26日發現以Go語言改寫的AryStinger，這次駭客將目標轉移到NAS設備，利用<strong><a href="https://www.ithome.com.tw/news/172198">去年威聯通（QNAP）修補</a></strong>的資安漏洞<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2025-11837">CVE-2025-11837</a></strong>（CVSS風險評為9.8分）。</p> <p>雖然奇安信指出駭客使用了上述漏洞，攻擊目標涵蓋3種廠牌的網路設備，然而大部分遭到AryStinger感染是D-Link路由器，他們一共偵測到4,371臺受害路由器設備，其中有75%是D-Link DIR-850L、13%為DIR-818LW，但也有同廠牌的DIR-816L、DIR-818L、DWR-118、DIR-817LW被感染的情況。從地理分布來看，感染集中於韓國（48.45%），其次為中國（31.82%）、瑞典（6.40%）、馬來西亞（3.50%），以及新加坡（2.50%）。</p> </div></div></div>
6/22 11:33作者周峻佑https://www.ithome.com.tw/news/176759
微軟推出Copilot Cowork正式版，導入用量計費模式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>上週微軟正式推出企業級AI代理工具Copilot Cowork，<a href="https://www.microsoft.com/en-us/microsoft-365/blog/2026/06/16/copilot-cowork-is-now-generally-available/" target="_blank">並說明用量計費模式對企業用戶的影響</a>。</p> <p><a href="https://www.ithome.com.tw/news/175682" target="_blank">微軟將Copilot Cowork定位為一套AI代理系統</a>，可獨立執行複雜、耗時且涉及多種工具的任務，即使使用者電腦關機，任務仍能持續執行。這項工具主要鎖定需跨多項工具與企業資料來源處理的工作流程，協助企業將部分複雜且耗時的任務交由AI代理執行。</p> <p>計價方面，Copilot Cowork需搭配Microsoft 365 Copilot使用者訂閱授權（User Subscription License，USL），並另依使用量收費。微軟指出，Copilot Cowork的用量費用以Copilot Credits計算，每項任務的成本取決於模型使用、脈絡擷取、工具呼叫與執行時間等4項因素。</p> <p>微軟也將Copilot Cowork任務區分為輕量、中量與重度任務，協助企業估算導入後的成本。該公司表示，輕量任務通常只使用少量知識來源與有限推論；中量任務會引用多個來源，並執行結構化推論（structured reasoning）；重度任務則涉及廣泛資料彙整、深度推論與多項輸出。</p> <p>付款方式分為PayGo與P3兩種。微軟表示，企業可選擇隨用隨付的PayGo，以保留使用彈性，每個Copilot Credit價格為0.01美元；也可選擇P3，事先承諾一定用量以換取折扣，適合已有明確使用規模，或希望預先控管成本的企業。</p> <p>Copilot Cowork預設為停用，IT管理員可決定何時啟用，以及哪些員工能夠存取。微軟指出，管理員也能在租用戶、群組與使用者層級設定支出上限，並在支出達到指定門檻時收到通知，以降低企業導入變動計費服務時的預算風險。</p> <p>模型選擇也是Copilot Cowork正式版的重點更新。微軟表示，Copilot Cowork客戶目前可使用Anthropic Opus 4.8與Sonnet 4.6；參與Frontier計畫的客戶可使用OpenAI GPT 5.5，微軟自有Cowork 1模型則預計未來數週推出。</p> </div></div></div>
6/22 11:49作者王珮瑤https://www.ithome.com.tw/news/176761
挪威小學原則禁用AI，政府推動紙本教材回歸
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.regjeringen.no/no/aktuelt/slik-vil-regjeringen-endre-skolehverdagen/id3167032/" target="_blank">挪威首相Jonas Gahr Støre上週五（6/19）宣布多項教育改革措施</a>，將要求小學1至7年級學生原則上不得使用生成式AI工具，同時把紙本教科書供應納入法規保障，並持續修改課程綱要，希望扭轉近年學生閱讀、寫作與數學能力下滑的趨勢。</p> <p>挪威政府指出，近年國際學生能力評量PISA及國際閱讀素養評比PIRLS等調查顯示，挪威學生在閱讀、寫作與數學等基礎能力上大幅下滑；若未經引導地使用生成式AI，可能讓學生跳過學習中的重要環節。</p> <p>挪威教育部長Kari Nessa Nordtun表示，兒童必須學會自己尋找答案，而不是從AI獲得現成答案。小學生需要先具備學科基礎、批判思考能力與自我管理能力，才能有效地運用AI；因此應先學會自己閱讀、寫作、計算、獨立思考，以及與同伴的合作。</p> <p>根據挪威政府的規畫，1至7年級學生原則上不得接觸AI工具；8至10年級學生則可在教師具備相關能力後，逐步且謹慎地使用AI；高中階段則應學習如何有效運用AI，為未來升學及就業做好準備。挪威教育署（Utdanningsdirektoratet）也將研究是否針對特定情況設置例外規定。</p> <p>除了限制AI的使用外，挪威政府也計畫立法保障學生取得紙本教材的權利。這是因為許多教師反映紙本教材不足，無法真正依照教學需求在紙本與數位教材間做選擇，因此希望透過立法確保各地學校都能提供紙本教科書，不再受到地方財政或個別學校政策影響。</p> </div></div></div>
6/22 12:11作者陳曉莉https://www.ithome.com.tw/news/176762
因應FortiBleed外洩大量Fortinet設備登入憑證，英國NCSC建議企業可先用兩款工具自行檢測是否名列其中
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>針對<strong><a href="http://www.ithome.com.tw/news/176718">FortiBleed大規模系統登入憑證外洩事件</a></strong>，英國國家網路安全中心（NCSC）<strong>近日<a href="https://www.ncsc.gov.uk/news/advice-following-global-targeting-of-fortinet-firewalls-and-vpn-gateways">發布緊急安全建議</a></strong>，指出全球針對Fortinet防火牆與VPN設備的攻擊行動正顯著增加，呼籲用戶應盡速採取因應行動，並介紹兩款FortiBleed檢查工具，協助企業確認網域是否名列外洩清單。</p> <p>根據NCSC的說明，這類攻擊並非隨機，而是具有高度針對性的全球行動。攻擊者主要鎖定暴露在網際網路上的FortiGate與VPN系統，利用暴力破解、字典攻擊，以及帳密填充（Credential stuffing）手法入侵。</p> <p>在因應方式上，英國NCSC建議用戶可以先用兩款檢測工具來確認是否受影響，包括威脅情資業者<strong><a href="https://socradar.io/free-tools/fortibleed">SOCRadar提供的FortiBleed Checker</a></strong>，或是另一威脅情資業者<strong><a href="https://www.hudsonrock.com/fortinet">Hudson Rock提供的FortiBleed Checker</a></strong>，檢查組織的FortiGate防火牆或Fortinet VPN登入帳號與密碼是否出現在FortiBleed外洩資料集中。</p> <p>若有遭入侵的跡象，應立即清查入侵指標（IoC）。NCSC強調，僅更換密碼並不足以根除潛伏威脅，建議備份後執行「恢復出廠設定」，並確保管理介面不會暴露於網際網路，以及強制啟用MFA等防禦作為。</p> <p>此外，美國網路安全暨基礎設施安全局（CISA）亦<strong><a href="https://www.cisa.gov/news-events/alerts/2026/06/18/cisa-urges-hardening-fortinet-devices-after-reports-credential-exposure">公布應對此威脅的五項因應措施</a></strong>：（一）停用所有SSL VPN與管理連線，並重設所有Fortinet設備帳密與強化密碼策略；（二）確保憑證存取安全，強制管理員帳戶改用PBKDF2雜湊機制儲存密碼，並依循Fortinet指引移除安全性較弱的舊版雜湊值；（三）全面審查防火牆與VPN日誌；（四）針對遠端存取與管理帳戶強制啟用抗網釣MFA；（五）縮減攻擊面並限制存取權限。</p> <p><a href="/sites/default/files/images/（圖1）SOCRadar提供的FortiBleed Checker.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89SOCRadar%E6%8F%90%E4%BE%9B%E7%9A%84FortiBleed%20Checker.jpg" style="width: 600px;" /></a></p> <p><strong><span style="color:#696969;">威脅情資業者SOCRadar提供FortiBleed檢查工具</span><a href="https://socradar.io/free-tools/fortibleed"><span style="color:#696969;">FortiBleed Checker</span></a><span style="color:#696969;">，用戶只要輸入網域、IP位址，即可查詢組織的Fortinet憑證是否名列外洩資料集中。</span></strong></p> <p><a href="/sites/default/files/images/（圖2）Hudson Rock提供的FortiBleed Checker.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89Hudson%20Rock%E6%8F%90%E4%BE%9B%E7%9A%84FortiBleed%20Checker.jpg" style="width: 600px;" /></a></p> <p><strong><span style="color:#696969;">威脅情資業者Hudson Rock提供</span><a href="https://www.hudsonrock.com/fortinet"><span style="color:#696969;">FortiBleed Checker</span></a><span style="color:#696969;">。</span>該介面揭露全球受影響設備的全球區域分布與受影響的網域，指出全球7.3萬多臺設備受影響，並列出大量具體受影響網域如spotify.com與samsung.com等，亦提供搜尋功能供企業自行檢查。</strong><br /> </p> </div></div></div>
6/22 12:12作者羅正漢https://www.ithome.com.tw/news/176757
微軟著手修補Microsoft Defender零時差漏洞RoguePlanet
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>研究人員Chaotic Eclipse（Nightmare-Eclipse）於微軟發布6月例行更新（Patch Tuesday）不久，<strong><a href="https://www.ithome.com.tw/news/176503">公布Microsoft Defender零時差漏洞RoguePlanet</a></strong>，並指出可在已套用今年6月修補程式的Windows 11與Windows 10利用，且伺服器版本作業系統也可能存在相同弱點，如今微軟發布公告，承認這項弱點的存在。</p> <p>根據<strong><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-working-on-defender-patch-for-rogueplanet-zero-day/">資安新聞網站Bleeping Computer的報導</a></strong>，6月16日微軟公布新的漏洞<strong><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-50656">CVE-2026-50656</a></strong>，此為Microsoft Defender權限提升漏洞，屬於檔案存取之前的連結解析不當造成的弱點（CWE-59），CVSS風險評為7.8分，該公司指出，此漏洞就是已被公開的RoguePlanet，影響Microsoft Malware Protection Engine元件，他們正在著手打造資安更新因應。不過，微軟並未在資安公告裡提及通報漏洞的研究人員身分，僅表示他們肯定透過協調的漏洞揭露機制，幫助該公司保護客戶的資安社群。</p> </div></div></div>
6/22 09:56作者周峻佑https://www.ithome.com.tw/news/176751
印度最大電信商Jio啟動IPO
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>印度最大電信商Reliance Jio的母公司<a href="https://www.sebi.gov.in/filings/public-issues/jun-2026/jio-platforms-ltd-drhp_102248.html" target="_blank">Jio Platforms周五（6/19）向印度證券交易委員會（SEBI）申請首次公開發行股票（IPO）</a>，計畫於孟買證券交易所（Bombay Stock Exchange，BSE）及印度國家證券交易所（National Stock Exchange，NSE）上市，最多將發行2.7億股新股，可望成為印度史上最大IPO。</p> <p>Jio Platforms是印度富豪Mukesh Ambani所掌控的Reliance Industries設立的子公司。Reliance Industries涉足電信市場始於2010年，當時它收購唯一取得全印度4G頻譜的新創公司Infotel Broadband，繼之於2013年將Infotel更名為Reliance Jio Infocomm，並持續投入電信基礎建設，一直到2016年才正式推出Jio電信服務，以免費語音及低價行動數據方案引爆印度數位革命。</p> <p>Reliance Industries於2019年成立Jio Platforms，將Reliance Jio Infocomm及相關數位服務整合至同一家公司，作為集團發展電信、寬頻、雲端、影音串流、支付與電商等數位業務的控股平臺。Reliance Industries目前持有Jio Platforms逾66%股權，Meta與Google則分別持有近10%及7.7%股權。</p> <p>Reliance Jio現為印度最大電信商，擁有逾5.2億用戶，約占印度有線及無線網路近半市場；若以用戶數計算，它也是全球第二大電信營運商，僅次於中國移動。Jio Platforms表示，IPO所募資金將用來償還子公司Reliance Jio Infocomm的特定借款。</p> <p>根據申請文件，Jio Platforms在2026財年的營收為1.47兆盧比（約155.8億美元），成長14.6%，獲利3,005億盧比（約31.9億美元）。</p> <p><a href="https://www.reuters.com/world/china/ambanis-jio-platforms-files-38-billion-ipo-that-could-be-indias-biggest-sources-2026-06-19/" target="_blank">路透社（Reuters）指出</a>，Jio Platforms這次IPO規模可能上看38億美元，若順利完成，將超越現代汽車印度公司在2024年的33億美元上市案，成為印度史上最大IPO。</p> </div></div></div>
6/22 10:28作者陳曉莉https://www.ithome.com.tw/news/176753
跨國執法行動中斷SocGholish感染鏈，清理近1.5萬個WordPress網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.politie.nl/en/news/2026/june/18/international-law-enforcement-initiate-hunt-on-malware-group-socgholish.html" target="_blank">荷蘭警方於6月18日宣布</a>，跨國執法行動Operation Endgame近日針對惡意軟體SocGholish展開聯合行動，關閉或接管106個與其犯罪基礎設施有關的伺服器與網域，並清理14,971個遭感染WordPress網站，中斷網路犯罪分子散布惡意軟體的關鍵感染鏈。</p> <p>這次行動由荷蘭、加拿大、美國與德國合作執行，並獲歐洲刑警組織（Europol）與歐盟刑事司法合作署（Eurojust）支援。執法單位除了移除受感染WordPress網站上的惡意軟體與後門，也透過Have I Been Pwned、資安研究機構Shadowserver基金會等多個通報與資安協作管道，通知受害網站管理者更新網站並更換登入憑證。</p> <p>SocGholish又名FakeUpdates，是自2017年起活躍的惡意軟體框架，與俄羅斯網路犯罪組織Evil Corp有關。這項惡意軟體主要濫用遭入侵的合法WordPress網站，向訪客推送假冒瀏覽器或軟體更新的通知；一旦受害者安裝假更新，攻擊者即可取得初始存取權限，並進一步部署竊資程式、勒索軟體或其他惡意軟體。</p> <p>警方也發現約140萬組WordPress網站登入憑證外洩，相關網站可能面臨遭感染或侵入風險。荷蘭警方呼籲WordPress網站管理者立即檢查網站安全狀態，更換登入憑證、啟用多因素驗證（MFA）、移除可疑或未授權帳號，並確保網站與外掛維持最新版本，以降低再次遭植入惡意程式的風險。</p> </div></div></div>
6/22 10:38作者王珮瑤https://www.ithome.com.tw/news/176754
Cloudflare用AI代理輔助漏洞探索，以跨模型驗證過濾無效發現
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>網路服務與資安業者Cloudflare於6月18日公開其內部AI輔助漏洞探索架構，<a href="https://blog.cloudflare.com/build-your-own-vulnerability-harness/" target="_blank">說明該公司如何將AI代理用於大規模程式碼安全檢查</a>。</p> <p>Cloudflare指出，企業若要把AI導入漏洞探索，關鍵不只是選用哪一個模型，而是建立可替換不同模型、可保留執行狀態、可驗證結果，並能串接修補流程的工程架構。該公司將大型漏洞探索任務拆解為多個階段，讓每個代理只處理特定範圍的工作，並將執行狀態寫入資料庫，以便中斷後重新執行或接續分析。</p> <p>Cloudflare的架構將AI代理視為執行特定任務的工作單元，底層模型則可依階段替換。Cloudflare將整體流程分成兩部分，前段是負責掃描程式碼庫並產生候選漏洞的漏洞探索框架（Vulnerability Discovery Harness，VDH），後段則是負責去除重複項目、判斷風險與協助修補的漏洞驗證系統（Vulnerability Validation System，VVS）。Cloudflare採用跨模型方式執行VDH與VVS，讓後段模型以獨立邏輯驗證前段模型提出的漏洞假設，避免由同一模型驗證自身推論。</p> <p>在驗證流程方面，Cloudflare表示，每項確認後的漏洞發現，都必須附上可在未修改原始程式碼情況下執行的概念驗證（PoC）測試案例，以及對應的建議修補程式。進入VVS後，系統還會結合部署環境、組態與程式碼路徑等脈絡，評估相關漏洞在正式環境中是否可觸及，或是否具備可由實際攻擊者觸發的條件。若進入修補階段，修補代理可產生修補內容並執行測試，但不會自行合併程式碼，最終仍須由工程人員審查。</p> <p>Cloudflare也揭露內部處理結果，從逾2萬筆的候選漏洞發現中，最終留下7,245項可交由工程團隊處理的發現。不過Cloudflare強調，這些發現來自隔離研究實驗，用於壓力測試內部程式碼，不代表正式環境仍存在尚未修補且可被攻擊者實際觸發的漏洞。</p> </div></div></div>
6/22 10:50作者王珮瑤https://www.ithome.com.tw/news/176755
Cloudflare推出臨時帳號加速AI代理人部署作業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>AI代理人大量自動化開發工作，卻常在部署時卡住，<a href="https://blog.cloudflare.com/temporary-accounts/" target="_blank">為此Cloudflare上周公佈臨時Cloudflare帳號（Temporary Cloudflare Account）的服務</a>，不必註冊Cloudflare帳號就能直接部署應用程式。</p> <p>隨著企業大量於營運流程使用AI，現今許多開發團隊都以AI代理人撰寫程式。但是在部署App時，就會遇到很多關卡，包括瀏覽器為基礎的OAuth流程、要點入儀表板、要複製貼上API token、多因素驗證提示要求輸入驗證碼等，需要建立並且登入帳號。這些原本為人類建立的流程卻成為代理人的障礙；互動式代理人會需要麻煩人類點擊，背景運作的代理人則被迫停止。</p> <p>現在Cloudflare推出代理人專用的臨時帳號（Temporary Cloudflare Account for Agent）。讓代理人可在不需先登入帳號，部署網站、API或其他代理人，加速專案部署作業。</p> <p>臨時帳號是建立在Cloudflare的開發平臺命令列工具（CLI）Wrangler上。當用戶要求代理人執行某項開發任務，代理人即可執行wrangler deploy --temporary指令。這時Cloudflare自動建立一個臨時帳號、自動配置API Token、將Cloudflare Workers（無伺服器環境）部署上去，最後回傳一個網址，引領使用者領取（Claim）帳號。臨時帳號預設效期為60分鐘，這段時間內開發團隊可反覆部署更新、建立Worker、Database、API金鑰/Key-value等資源。若使用者在期限內領取，帳號及相關專案（如Worker、資料庫等Bindings）就會轉成正式Cloudflare帳號。若沒領取，60分鐘後自動刪除。</p> <p>透過這項臨時帳號服務，Cloudflare將傳統「先註冊帳號再部署」的流程，改為「先部署應用程式、再認領帳號與資產」的模式，以配合AI Agent自主開發與部署的工作流程。</p> <p>要啟用這項臨時Cloudflare帳號，開發團隊須使用最新版Wrangler（<a href="https://github.com/cloudflare/workers-sdk/releases" target="_blank">目前是4.103.0</a>）。</p> </div></div></div>
6/22 10:59作者林妍溱https://www.ithome.com.tw/news/176756
蘋果修補可讓駭客竊聽Beats藍牙耳機的資安漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://support.apple.com/en-us/127557" target="_blank">蘋果上週針對Beats無線耳機發布韌體更新</a>，以修補一個可讓駭客竊聽音訊的漏洞。</p> <p>這個修補的漏洞是CVE-2025-20701。對蘋果用戶而言，本項漏洞讓位於藍牙傳輸範圍的攻擊者得以在還沒有配對、正在尋求配對指令的Beats耳機進行攻擊，得以從麥克風進行竊聽。</p> <p>CVE-2025-20701並非新漏洞，而是<a href="https://www.ithome.com.tw/news/169873" target="_blank">德國資安業者ERNW去年揭露</a>、位於聯發科子公司達發科技（Airoha）設計的藍牙音訊系統單晶片（SoC）中的3個安全漏洞之一。<a href="https://nvd.nist.gov/vuln/detail/cve-2025-20701" target="_blank">該漏洞位於Airoha藍牙音訊SDK</a>，可讓攻擊者未經用戶同意配對藍牙音訊裝置，導致遠端提升權限，無需額外執行權限。攻擊行動也無需使用者互動。</p> <p>CVE-2025-20701允許駭客控制採用該晶片的裝置，包括耳機、喇叭或無線麥克風等，受影響的產品涵括Bose、Sony、Jabra、JBL與Marshall等知名品牌的音訊裝置。CVE-2025-20701風險值達到8.8。Airoha已於2025年6月初釋出更新SDK修補漏洞。</p> </div></div></div>
6/22 09:38作者林妍溱https://www.ithome.com.tw/news/176749
微軟對Insiders發布首個Windows 11 26H2預覽版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://techcommunity.microsoft.com/blog/windows-itpro-blog/get-ready-for-windows-11-version-26h2/4529367" target="_blank">微軟上周五透過Experimental頻道及Beta版釋出</a>首個Windows 11 26H2預覽版給Insider方案用戶，預告下一重大更新即將在不久後部署給所有用戶。</p> <p>Windows 11 26H2沒有重大新功能，著重於對企業組織和IT專業人員提供可預測、低干擾的更新。26H2使用的是和24H2和25H2相同的共享服務模式，這主要是因為他們具有相同的程式碼核心、安全與功能更新及相容驗證方式。在支援的硬體上，會以小的啟用套件（enablement package）獲得這版功能更新，而非完整作業系統升級。因此若企業已經安裝了Windows 11 24H2或25H2，大部份環境更新會有如安裝每月更新一樣平順，無需安裝映像檔或複雜的部署作業。</p> <p>透過Experimental和Beta版釋出的Windows 11版號各為<a href="https://learn.microsoft.com/en-us/windows-insider/release-notes/experimental/preview-build-26300-8697" target="_blank">Build 26300.8697</a>及<a href="https://learn.microsoft.com/en-us/windows-insider/release-notes/beta/preview-build-26220-8690" target="_blank">Build 26220.8690</a>。在功能更新方面，兩者皆修正了在虛擬機器操作、系統重啟或執行特定遊戲時導致Bugcheck當機狀態並顯示HYPERVISOR_ERROR (0x20001)與KMODE_EXCEPTION_NOT_HANDLED (0x1E)錯誤訊息的問題。兩者也提升「開始功能表」的可靠度，新安裝或移除的應用程式能即時反映在選單上，不需登出或重啟系統。此外也提升了「設定」頁面的穩定度。Experimental則另外優化了深色模式（Dark mode）下「複製」對話框的啟動視覺設計和可靠度。</p> <p>不同版本Windows升級到26H2後將享有長短不同的技術支援期間。Home、Pro、Pro EDU和Pro for Workstations用戶可獲得24個月技術支援，Enterprise、Education、IoT Enterprise和Enterprise Multi-session版則有36個月。</p> <p>微軟提醒安裝Windows 11 26H1的機器無法更新到26H2，這是因為其核心不同於24H2/25H2/26H2，必須循完整更新路徑來安裝新版Windows。</p> </div></div></div>
6/22 09:45作者林妍溱https://www.ithome.com.tw/news/176750
美國德州政府系統資安事故，外洩300萬人駕照資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國德州的公園及野生動物部門（Texas Parks and Wildlife Department）的系統供應商近日發生資料外洩事故，導致超過300萬人駕照或護照資料遭竊取。</p> <p>德州網戰司令部（Texas Cyber Command）偵測到，這起事件和處理TPWD打獵與釣魚執照銷售的執照管理系統廠商有關，未授權人士可能已取得執照持有者的駕照、護照（非所有人）、電子郵件信箱、電話號碼和住家地址。</p> <p><a href="https://oag.my.site.com/datasecuritybreachreport/apex/DataSecurityReportsPage" target="_blank">根據德州檢察長辦公室的資料</a>，受影響人數高達3,087,721人，但沒有當地居民。當局表示，執照持有人的社會安全號碼、出生日期、財務資訊包括信用卡號都未外洩。目前也沒有證據這起事件是特別鎖定18歲以下或特定族群用戶</p> <p>至於駭客是如何存取廠商系統資訊，包括是否為漏洞濫用，或是憑證外洩，德州官方並未說明。</p> <p>TPWD已和執照系統廠商密切合作，強化資料存取控制。他們也正在研議未來導入新的防護措施及監控服務。而預定於8月或2027年舉行的執照銷售將不受影響。</p> </div></div></div>
6/22 09:57作者林妍溱https://www.ithome.com.tw/news/176752
網頁快取與代理伺服器軟體 Squid被找出存在29年的漏洞，HTTP存取的密碼與金鑰可能全都被看光光！
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p style="margin-left:.05pt;">不久前因<a href="https://www.ithome.com.tw/news/176351"><strong>揭露攻擊手法</strong><strong>HTTP/2 Bomb</strong></a>而聲名大噪的資安研究公司Calif，本週公開代號為<a href="https://blog.calif.io/p/squidbleed-cve-2026-47729"><strong>Squidbleed</strong></a>的資安漏洞CVE-2026-47729，顧名思義，這個漏洞存在於知名的開源網頁代理伺服器（Proxy）與網路快取軟體Squid，而且是類似<a href="https://www.ithome.com.tw/tags/heartbleed"><strong>Heartbleed</strong></a>類似的記憶體洩漏漏洞，原因主要是過去到近期版本Squid的預設配置皆可能導致內部記憶體的內容洩漏，影響範圍相當廣泛。例如，網站伺服器的HTTP存取，以及透過官方套件庫提供 Squid套件的多個Linux發行版，都可能受到影響。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/Squidbleed-Demo-web.jpg"><img alt="" src="/sites/default/files/images/Squidbleed-Demo-web.jpg" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">值得注意的是，Squidbleed同樣是透過先進AI模型所發現的漏洞，該公司表示，他們運用Anthropic Claude Mythos探索Squid的內部結構，因此發現這個已存在29年之久的漏洞，而且，也在<strong><a href="https://github.com/califio/publications/tree/main/MADBugs/squidbleed">MADBugs（Month of AI-Discovered Bugs）的GitHub帳號</a></strong>公布利用此漏洞的概念驗證程式碼。Calif表示，這項報告與修正方式在今年4月17日提出，兩天後修正方式納入Squid master/v8分支，5月17日修正方式納入Squid master/v7分支，6月8日發布的<strong><a href="https://www.openwall.com/lists/oss-security/2026/06/12/1">Squid v7.6已包含此項修正</a></strong>，目前多個Linux發行版均已公告此項漏洞與列出受影響的版本，像是<a href="https://www.suse.com/security/cve/CVE-2026-47729.html"><strong>SUSE</strong></a>、<strong><a href="https://explore.alas.aws.amazon.com/CVE-2026-47729.html">Amazon Linux</a></strong>、<strong><a href="https://security-tracker.debian.org/tracker/CVE-2026-47729">Debian</a></strong>。至於CVSS嚴重度評分，出現多家廠商意見不同的現象，例如<a href="https://www.rapid7.com/db/vulnerabilities/ubuntu-cve-2026-47729/"><strong>Rapid7</strong><strong>評為</strong><strong> 10</strong><strong>分</strong></a>，SUSE評為6.5分，<strong><a href="https://www.tenable.com/cve/CVE-2026-47729">Tenable評為9.1分</a></strong>。</p> <p style="margin-left:.05pt;">簡而言之，Squidbleed的問題涉及FTP與NetWare——Squid預設也支援FTP協定，Claude Mythos在Squid找到FTP目錄列表（directory listing）解析器的漏洞；NetWare是80年代晚期與90年代相當普及的網路作業系統，可供企業用於檔案與列印伺服器，上面也附帶提供FTP服務，用於電腦的檔案傳輸，NetWare FTP伺服器產生目錄列表時，會在檔案修改時戳與名稱之間額外輸出4個空格，但一般FTP伺服器目錄列表的這兩個欄位之間，只間隔1個空格。</p> <p style="margin-left:.05pt;">當這樣的狀況遇上後續FTP目錄列表擷取檔案名稱的程式碼實作，一旦處理到在字串中尋找字元的函式strchr(w_space, '\0')，在 C 語言中會回傳非 NULL，導致程式把字串結尾誤當成可繼續跳過的空白字元，進而讓字元指標變數copyFrom越界掃描後續記憶體，導致堆緩衝區越界讀取（out-of-bounds read），因此可能隨機洩露用戶的HTTP請求，而這些HTTP請求可能包含密碼或 API金鑰。</p> <p style="margin-left:.05pt;"><img alt="" src="https://substackcdn.com/image/fetch/$s_!x29z!,f_auto,q_auto:good,fl_progressive:steep/https%3A%2F%2Fsubstack-post-media.s3.amazonaws.com%2Fpublic%2Fimages%2F170dcb41-24f0-46ae-b0f5-df4f28ba1ced_580x96.gif" style="width: 580px;" /></p> <p style="margin-left:.05pt;"><img alt="" src="https://substackcdn.com/image/fetch/$s_!EFJI!,w_1456,c_limit,f_webp,q_auto:good,fl_lossy/https%3A%2F%2Fsubstack-post-media.s3.amazonaws.com%2Fpublic%2Fimages%2Fc30c95e3-3380-4340-94e2-bd673abd7702_580x96.gif" style="width: 580px;" /></p> <p style="margin-left:.05pt;">Calif建議，在if條件式與while迴圈條件式的前半段加上*copyFrom &&，先計算前面的條件式，如果結果為假（false），後面的條件式就不會被計算。因此，程式會先檢查 *copyFrom 是否為非零值。若 *copyFrom 已是字串結尾字元 '\0'，條件判斷立即結束，不會再呼叫 strchr()。</p> <p style="margin-left:.05pt;"> </p> </div></div></div>
6/21 12:05作者李宗翰https://www.ithome.com.tw/news/176744
Node.js揭露與修補12個漏洞，當中涵蓋兩個高風險漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p style="margin-left:.05pt;">開放原始碼JavaScript執行環境Node.js這幾天<strong><a href="https://nodejs.org/en/blog/vulnerability/june-2026-security-releases">發布安全性更新公告</a></strong>，揭露與修補12個漏洞（CVSS評分尚未公布），其中兩個為高風險漏洞，6個為中風險漏洞，4個為低風險漏洞，Node.js 22、Node.js 24、Node.js 26均受到影響，目前開發團隊已釋出修補漏洞的更新版本——Node.js 22.23.0、Node.js 24.17.0、Node.js 26.3.1。</p> <p style="margin-left:.05pt;">值得注意的是，這些Node.js版本為了解決公開漏洞，也囊括多個元件的更新版本，像是解析HTTP 協定資料的程式庫llhttp的9.4.2版、HTTP/2 協定實作的程式庫nghttp2的1.69.0版、密碼學程式庫與TLS/SSL通訊協定實作套件OpenSSL的3.5.7版，以及專為Node.js開發的HTTP/1.1 用戶端程式庫undici的8.5.0版、7.28.0版、6.27.0版</p> <p style="margin-left:.05pt;">就此次Node.js揭露的高風險漏洞而言，當中的CVE-2026-48933，問題出在Node.js的 WebCrypto實作存在缺陷，因為AES加解密實作過程發生整數溢位錯誤，進而導致緩衝區溢位，使得subtle.encrypt()的輸入容量若是2 GiB 的倍數，可能導致處理程序停擺。</p> <p style="margin-left:.05pt;">另一個高風險漏洞CVE-2026-48618，問題出在Node.js的TLS主機名稱處理，可能導致Node.js處理Unicode間隔符號（·）時，由於解析器與驗證器對主機名稱的正規化處理不一致，可能導致TLS萬用字元對於多層子網域的驗證遭到繞過，進而造成機密性受損，或使預期的安全邊界遭到突破。</p> </div></div></div>
6/20 01:57作者李宗翰https://www.ithome.com.tw/news/176743
Google支持的全球首座AI藝術博物館於洛杉磯開幕
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://blog.google/company-news/outreach-and-initiatives/arts-culture/dataland-ai-art-museum/" target="_blank">Google宣布</a>以其Google雲端與AI技術及資金支持的全球首座AI藝術博物館Dataland，將於6月20日在洛杉磯開幕。</p> <p>這座博物館位於洛杉磯市中心由知名建築師Frank Gehry設計的綜合商業區The Grand LA，佔地2.5萬平方英呎。博物館大量運用了Google Cloud的AI及運算基礎架構。Dataland首個展覽Machine Dreams: Rainforest使用了多媒體藝術家Refik Anadol工作室的「大自然模型（Large Nature Model，LNM）」。Google Cloud則提供多感官體驗及與觀者的互動，包括生成音訊地景（soundlandscape）、即時感測觀者情緒、並放大氣味，提供觀者沉浸式體驗。利用Google Cloud的Gemini Enterprise代理人平臺及Compute Engine協同複雜的AI模型包括生成對抗網路（GAN）、擴散模型和Gemini，Google Cloud得以處理環境資料而生成Dataland 12億像素的超生成實境（hyper-generative reality）。Google並強調博物館資訊系統皆由Google Cloud支援，其運算基礎設施標榜使用87%無碳再生能源。</p> <p>配合博物館開幕Google藝術與文化（Arts & Culture）部門也贊助了Dataland AI藝術家駐村計畫，提供4位藝術家每人2.5萬美元經費、及Refik Anadol Studio的專家指導，以及Google Cloud工具及機器學習模型的存取權，以協助其創作。完成的作品也會在Dataland展區及Google藝術與文化網站展出。</p> </div></div></div>
6/19 20:40作者林妍溱https://www.ithome.com.tw/news/176742
Alphabet分拆公司SandboxAQ獲美政府5億資助以AI尋找新半導體材料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.prnewswire.com/news-releases/sandboxaq-signs-definitive-agreement-with-the-us-department-of-commerce-for-500-million-chips-rd-award-302802508.html" target="_blank">由Alphabet分拆出來的新創公司SandboxAQ本周三宣佈</a>獲得美國商務部晶片研發辦公室5億美元合約，將開發半導體製造所需的新型分子與材料配方，確保美國在晶片產製自主權，免受制於其他國家。</p> <p><a href="https://www.cnbc.com/2022/03/22/alphabets-quantum-tech-group-sandbox-spins-off-into-an-independent-company.html" target="_blank">SandboxAQ是Alphabet於2022年分拆出來的量子技術業者</a>。這家公司投資者包括Google、Eric Schmidt、Salesforce創辦人Marc Benioff等法人。SandboxAQ的方案結合AI和量子技術，其大型量化模型（Large Quantitative Models，LQMs）以推進生命科學、金融服務、導航等領域的研發。之前這家新創公司曾於2024年發表取代全球定位系統（GPS）的AI方案。</p> <p>美國商務部的合約是美國川普政府以國家及經濟安全為目標，依據CHIPS Act資助本地業者晶片研發計畫的一環。該計畫之前撥發了1.5億美元的晶片製造設備研發基金，以及20億美元的量子運算研發基金。商務部表示這項合約將有助於解決美國半導體製造的關鍵材料和化學物質受制於外國的挑戰。</p> <p>利用這筆資助，SandboxAQ將投入4項半導體製造的相關研發計畫。首先是開發多氟烷基物質（PFAS）的替代物質。PFAS廣泛用於晶片微影製程中的冷卻液與潤滑劑，但因環境污染問題面臨嚴格監管。SandboxAQ將運用其AI模擬平臺ReAQT與LQMs來篩選可取代PFAS、且效能更佳的替代化學配方，以便能在美國國內取得材料。</p> <p>第二是開發半導體製程的催化劑設計。催化劑用於產生超高純度氣體（以實現精準到單個原子層的材料沉積），以及減少製程中產生的有害氟化廢氣。SandboxAQ之前與Nvidia合作一套名為AQCat的工作流程，可以近量子化學的準確度篩選催化劑候選材料，速度比傳統方法快2萬倍。和商務部的合作將在此基礎上推進，以大幅縮短商業化部署的時程。</p> <p>第三項計畫是尋找無稀土永久磁鐵的配方。目前半導體製程設備，如曝光機、真空幫浦和精密致動器內的永久磁鐵原料釹（neodymium）90%為中國掌控。SandboxAQ將利用ReAQT平臺和LQM篩選能完全去除或大幅減少釹的磁鐵化學成份，且找出能利用美國現有設備能製造的配方，降低商業化成本。</p> <p>第四項是開發晶片工廠現有備用電源的替代電池材料。目前大部份晶圓廠備用電源關鍵礦物如鋰、鈷主要也是來自中國。SandboxAQ的任務是以電池化學尖端AI模型AQVolt為基礎，開發使用美國國內礦物的新型電池化學成份，以減少對外國材料的依賴及晶片廠停機風險。</p> <p><a href="https://www.reuters.com/technology/us-awards-500-million-nvidia-backed-sandboxaq-finding-new-chipmaking-materials-2026-06-17/" target="_blank">路透社引述SandboxAQ高層人士報導</a>，透過這項合約，美國商務部將在SandboxAQ取得部份股權，但SandboxAQ CEO Jack Hidary拒絕透露美國政府實際持有股權的比例，但表示並不會有投票權或董事會席次。</p> </div></div></div>
6/19 19:10作者林妍溱https://www.ithome.com.tw/news/176741
Splunk近期9.8分重大漏洞被CISA列入KEV，6月21日須完成修補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p style="margin-left:.05pt;">上週思科旗下<strong><a href="https://www.ithome.com.tw/news/176577">Splunk揭露與修補12個漏洞</a></strong>，其中的CVSS評分9.8分重大漏洞CVE-2026-20253，因後續有很高機會遭攻擊者利用而受到關注，6月18日美國網路安全與基礎設施安全局（CISA）因掌握此漏洞已遭積極利用的證據，因此，<strong><a href="https://www.cisa.gov/news-events/alerts/2026/06/18/cisa-adds-one-known-exploited-vulnerability-catalog">宣布將其列入已遭利用的漏洞清單（KEV）</a></strong>，並下令要求聯邦機構72小時內完成修復與緩解措施（期限為6月21日）。</p> <p style="margin-left:.05pt;">同一天，Splunk也更新<strong><a href="https://advisory.splunk.com/advisories/SVD-2026-0603">CVE-2026-20253的安全性公告</a></strong>，上面提到Splunk的產品安全事故應變團隊（PSIRT）察覺少量利用此漏洞的行為，強烈建議用戶更新至已修補此漏洞的版本。基本上，CVE-2026-20253影響的產品主要是Splunk Enterprise的10.0版與10.2版，因此，用戶可升級至10.2.4、10.2.7，或不受此漏洞影響的10.4版。</p> <p style="margin-left:.05pt;">若短期內無法升級至這些版本，Splunk的建議是停用PostgreSQL sidecar系統服務，做法是在設定檔$SPLUNK_HOME/etc/system/local/server.conf的PostgreSQL段落，加入組態描述「disabled = true」，重新啟動Splunk Enterprise後即可生效。</p> <p style="margin-left:.05pt;">該公司也提醒，上述設定方式不會影響核心搜尋、索引與儀表板功能，但若Splunk執行個體需用到Edge Processor、OpAmp或SPL2資料管線流程功能，就不適用此方法。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/SVD-2026-0603-2026-06-19.jpg"><img alt="" src="/sites/default/files/images/SVD-2026-0603-2026-06-19.jpg" style="width: 600px;" /></a></p> </div></div></div>
6/19 16:45作者李宗翰https://www.ithome.com.tw/news/176740
F5針對Nginx發布緊急安全更新，揭露與修補兩個重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p style="margin-left:.05pt;">前兩天F5發布Nginx<strong><a href="https://my.f5.com/manage/s/article/K000161614">非例行的安全性更新公告</a></strong>，總共揭露6個漏洞，以CVSS 3.1評分而言，區分為4個高風險漏洞與2個中風險漏洞，若以CVSS 4.0評分而言，區分為2個重大漏洞、3個高風險漏洞，以及1個中風險漏洞。</p> <p style="margin-left:.05pt;">從嚴重程度來看，<strong><a href="https://www.cve.org/CVERecord?id=CVE-2026-42530">CVE-2026-42530</a></strong>與<strong><a href="https://www.cve.org/CVERecord?id=CVE-2026-42055">CVE-2026-42055</a></strong>最高，CVSS 3.1評分均為8.1，CVSS 4.0評分均為9.2，問題分別出在<a href="https://nginx.org/en/security_advisories.html"><strong>Nginx</strong></a> Open Source的ngx_http_v3_module，以及Nginx Plus與Nginx Open Source的ngx_http_proxy_v2_module與ngx_http_grpc_module，兩個漏洞皆是資料層（data plane）處理的議題，而非控制層（control plane）暴露的狀況。</p> <p style="margin-left:.05pt;"><a href="https://nginx.org/en/security_advisories.html"><img alt="" src="/sites/default/files/images/nginx%20security%20advisories-2026-06-19.jpg" style="width: 298px;" /></a> <a href="/sites/default/files/images/nginx news-2026-06-19.jpg"><img alt="" src="/sites/default/files/images/nginx%20news-2026-06-19.jpg" style="width: 298px;" /></a></p> <p style="margin-left:.05pt;"><a href="https://nginx.org/news.html">這兩個漏洞</a>還有其他共通點，包括攻擊者可造成記憶體存取不良的問題，促成 Nginx重新啟動，攻擊者也能在停用或繞過「記憶體位址空間隨機配置（ASLR）」的系統，藉此發動遠端程式碼執行的活動。</p> <p style="margin-left:.05pt;">用戶若不修補這兩個漏洞，F5警告遠端攻擊者可能藉此造成Nginx系統面臨服務遭阻斷（DoS），或觸發程式碼執行等狀況（若要利用CVE-2026-42055，需搭配Nginx已修改預設組態的狀況才能成立）。</p> <p style="margin-left:.05pt;">單就<a href="https://my.f5.com/manage/s/article/K000161616"><strong>CVE-2026-42530</strong></a>而言，屬於記憶體釋放後卻仍遭存取（UAF）類型的漏洞，可能面臨攻擊的狀況在於，當Nginx Open Source設定使用HTTP/3 QUIC模組時，遠端攻擊者不需通過身分驗證，可使用特製的HTTP/2連線階段重新開啟QPACK編碼器的資料串流，此舉將導致Nginx的工作者處理程序發生UAF，進而促使系統重新啟動。</p> <p style="margin-left:.05pt;">CVE-2026-42530目前影響的產品，主要是Nginx Open Source的1.31.0與1.31.1版，F5最新釋出的1.31.2版已修補此漏洞。CVE-2026-42530也影響Nginx Instance Manager、Nginx Gateway Fabric、Nginx Ingress Controller，因為這三個產品皆基於Nginx Open Source而成，目前F5已針對Nginx Gateway Fabric 2.x版提供修補CVE-2026-42530的版本2.6.4，但對於Nginx Instance Manager 2.x、Nginx Gateway Fabric 1.x、Nginx Ingress Controller 3.x至5.x，F5尚未釋出修補的版本。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/CVE-2026-42530 affected.png"><img alt="" src="/sites/default/files/images/CVE-2026-42530%20affected.png" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">關於<strong><a href="https://my.f5.com/manage/s/article/K000161584">CVE-2026-42055</a></strong>，屬於堆積型緩衝區溢位（Heap-based Buffer Overflow）類型的漏洞，可能遭致攻擊的狀況在於，Nginx Plus與Nginx Open Source的proxy_http_version參數設定為2，或grpc_pass指令用於HTTP/2 傳輸流量的代理，且ignore_invalid_headers指令設為停用，以及large_client_header_buffers指令的容量大於2 MB，此時，遠端攻擊者可在建立上游請求時，傳送多個大型HTTP標頭，如此一來，將促使Nginx的工作者處理程序發生堆積型緩衝區溢位的狀況，進而導致系統重新啟動。</p> <p style="margin-left:.05pt;">細部檢視CVE-2026-42055目前影響的產品，F5表示，主要是Nginx Plus 37.0.0至37.0.1版與R33至R36版，以及Nginx Open Source 1.31.1版與1.30.0至1.30.2版，而在最新釋出的Nginx Plus 37.0.2.1版與R36 P6版，以及Nginx Open Source 1.31.2至1.30.3版，已修補此漏洞。</p> <p style="margin-left:.05pt;">CVE-2026-42055也影響其他產品，像是基於Nginx Open Source而成的產品，包括Nginx Instance Manager、Nginx Gateway Fabric、Nginx Ingress Controller，以及基於Nginx Plus而成的產品，包括F5 WAF for Nginx、F5 DoS for Nginx、Nginx App Protect WAF、Nginx App Protect DoS。目前F5僅針對Nginx Gateway Fabric與Nginx Ingress Controller的新世代版本提供修補，分別是2.6.4版與5.5.1版。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/CVE-2026-42055 affected.png"><img alt="" src="/sites/default/files/images/CVE-2026-42055%20affected.png" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">用戶若不方便將Nginx更新至已修補的版本，或目前所用的Nginx相關產品尚未釋出這類更新版，F5也在公告中列出緩解方法，以CVE-2026-42530為例，用戶可先停用HTTP/3，將quic模組從所有listen指令中移除；若要緩解CVE-2026-42055，F5建議用戶從組態設定移除ignore_invalid_headers off的指令，並且將large_client_header_buffers指令的容量減少至2 MB以下。</p> </div></div></div>
6/19 14:42作者李宗翰https://www.ithome.com.tw/news/176739
Waymo自駕計程車誤闖高速施工路段，近3,900輛遭召回修正
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Waymo周三（6/17）向美國國家公路交通安全管理局（NHTSA）<a href="https://static.nhtsa.gov/odi/rcl/2026/RCLRPT-26E035-7637.pdf" target="_blank">提交自願性軟體召回文件</a>，召回3,871輛搭載第5代自動駕駛系統的自駕計程車，原因是其自動駕駛系統可能無法正確辨識高速公路施工區的封閉標誌與交通錐，導致今年4月至5月間共13起誤闖施工路段事件。Waymo已暫停高速公路載客服務，並正開發相關修正程式。</p> <p>根據文件內容，Waymo自駕車在今年4月於亞利桑那州鳳凰城發生6起事件，它們未能辨識匝道封閉標誌，駛入預先規畫封閉的高速公路施工區；繼之5月於舊金山灣區又發生7起相關事件，Waymo自駕車穿越了用來標示車道封閉的交通錐，進入正在施工的高速公路車道。</p> <p>Waymo認為，原因可能是自動駕駛系統過度優先避開其他高速公路危險，或未能正確辨識施工區域。Waymo安全委員會因此於5月19日決定暫停所有高速公路行駛。</p> <p>此次召回範圍限於具備高速公路自駕功能的車輛，不具備該功能的則未受影響，Waymo自駕車依然可在一般平面道路上行駛及營運。</p> <p><a href="https://techcrunch.com/2026/06/18/waymo-recalls-nearly-4000-robotaxis-to-stop-them-driving-into-highway-construction-zones/" target="_blank">根據TechCrunch的報導</a>，這是Waymo第6次召回其自駕計程車，先前曾分別因車輛駛入積水道路、在校車周邊出現違規行為、低速碰撞鐵鍊、柵欄與電線桿，以及未能正確判斷被拖吊車輛等問題發起召回。</p> <p>目前Waymo自駕計程車於美國約10個城市/地區提供載客服務，原本在邁阿密、鳳凰城、洛杉磯與舊金山灣區有限開放高速公路行程，但此次召回後已暫停高速公路服務。</p> </div></div></div>
6/19 13:15作者陳曉莉https://www.ithome.com.tw/news/176738
蘋果在巴西開放第三方App市集與外部付款
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.apple.com/newsroom/2026/06/apple-announces-changes-to-ios-in-brazil/" target="_blank">蘋果週四（6/18）宣布</a>，根據與巴西競爭監管機關CADE（Conselho Administrativo de Defesa Econômica）所達成的協議，自iOS 26.5起開放開發者透過第三方應用程式商店散布App，並允許在App Store上架的應用程式導入Apple In-App Purchase以外的付款方式。這是蘋果繼歐盟《數位市場法》（DMA）後，再度因監管要求調整iOS生態系規則。</p> <p>根據蘋果公布的新規定，巴西開發者未來可選擇藉由第三方應用程式商店發行iOS App，也可自行經營第三方商店。此外，App Store上架的應用程式除了Apple In-App Purchase外，也能整合第三方支付機制，或將使用者導向外部網站完成數位商品與服務交易。</p> <p>蘋果表示，這些新選項雖然增加開發者的彈性，但同時也擴大惡意程式、詐騙、隱私外洩與安全風險。因此，公司與CADE合作導入一系列保護措施，包括所有iOS App均須通過名為Notarization的公證程序、第三方商店必須取得Apple授權，以及針對兒童用戶設置額外防護機制。</p> <p>Notarization將成為所有iOS App的基本安全檢查機制，透過自動化工具與人工審查確認應用程式不含已知惡意軟體、病毒或其他重大安全威脅。不過蘋果也強調，Notarization的審查範圍仍低於App Store現行的App Review，因此無法提供相同程度的內容與品質把關。</p> <p>除了技術與安全調整外，<a href="https://developer.apple.com/news/?id=dhwadr2x" target="_blank">蘋果也同步更新巴西市場的開發者條款</a>。所有現有Apple Developer Program成員都必須在7月6日前同意新版授權協議，當中納入了第三方商店與替代支付相關規定。</p> <p>蘋果是在2024年1月在歐盟宣布開放第三方商店與替代支付措施，並於同年3月隨iOS 17.4正式上線；巴西則是在2025年12月與蘋果達成協議，相關調整於2026年6月隨著iOS 26.5開放，顯示各地監管機關正逐步迫使蘋果鬆動iOS封閉生態系。</p> </div></div></div>
6/19 10:37作者陳曉莉https://www.ithome.com.tw/news/176737
【資安週報】0615~0618，發現中國駭客入侵關鍵基礎設施，潛伏隔離網路環境近十年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>這一星期漏洞攻擊威脅不斷，不僅多起零時差漏洞攻擊受矚目，還有許多是6月上旬剛修補，數天後即傳出攻擊者鎖定利用的情形，反映駭客鎖定已知漏洞的速度正大幅加快，企業修補節奏面臨嚴峻考驗。同時，美國政府對先進AI模型的出口限制亦引發爭議，反映AI模型已成為國家安全與地緣政治監管的核心。</p> <p>此外，關鍵基礎設施與供應鏈安全亦面臨挑戰，包括德國多家醫院因委外服務商遭駭導致大規模資料外洩，越南股市投資軟體更新伺服器遭入侵，澳洲製糖廠遭襲導致營運停擺，還有丹麥製藥巨擘、巴西最大外送平臺等資安事故，以及中國駭客組織Velvet Ant滲透關鍵CI，潛伏隔離網路環境近十年的揭露，這些事件均為相關產業帶來警惕。</p> <p>在資安防禦新進展上，Anthropic發布原始碼漏洞掃描參考實作，AWS推出PQC就緒度掃描工具以檢視TLS端點抗量子準備狀態，反映業界正積極透過自動化與新技術協助強化防線的態勢。</p> <h1><strong style="color: rgb(255, 140, 0);">AI資安</strong></h1> <p><span style="color:#696969;"><strong>強化AI開發流程安全持續成焦點，近期再有兩項重要消息，包括Anthropic發布程式原始碼安全實務指南，OpenAI擴展AI代理管理的態勢，還有多項新聞涉及濫用偵測、資料隱私、版權歸因與治理架構議題，突顯AI資安的多層面進展。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/176595">Anthropic發布原始碼漏洞掃描參考實作，示範以Claude驗證與修補漏洞</a></strong></p> <p><a href="https://www.ithome.com.tw/sites/default/files/images/2026-06-18_102145.jpg"><img alt="" src="https://www.ithome.com.tw/sites/default/files/images/2026-06-18_102145.jpg" style="width: 400px; float: right;" /></a></p> <p>AI模型業者Anthropic發布程式原始碼安全實務指南，說明企業與開放原始碼的軟體專案如何運用Claude建立威脅模型、找出漏洞，並進一步驗證、分級處理與修補，同時提供開放原始碼參考實作defending-code-reference-harness，以降低AI代理程式執行未受信任程式碼時的風險。</p> <p><strong><a href="https://www.ithome.com.tw/news/176545">Anthropic調整Mythos級模型資料留存政策，提示詞與輸出將保留30天</a></strong></p> <p>為了強化偵測越獄、間諜活動與資料勒索等濫用行為，Anthropic自2026年6月9日起調整Claude Mythos 5與Claude Fable 5資料留存政策，保留使用者提交給這類模型的提示詞與模型輸出30天，此舉將影響原本採零資料留存的企業與雲端客戶。Anthropic指出，這次資料留存政策的改變，原因是部分濫用行為無法只從單次請求判斷，必須跨多次提示詞與輸出觀察模式。</p> <p><strong><a href="https://www.ithome.com.tw/news/176564">OpenAI收購Ona，打造企業AI代理人雲端執行環境</a></strong></p> <p>提供AI代理的管理與沙箱隔離執行環境，成為AI廠商擴展市場的新賣點，OpenAI宣布收購AI資安業者Ona，準備將其技術整合進Codex。OpenAI指出，Ona提供由客戶控制的AI代理人雲端執行環境，讓企業可在自有或受其控管的雲端基礎設施中建立工作區，供AI代理人執行開發、測試與自動化任務，而且企業也可自行管理代理人的執行位置、存取權限、憑證範圍、活動紀錄及審查流程，以符合安全與治理需求。</p> <p><strong><a href="https://www.ithome.com.tw/news/176569">LiteLLM高風險已知漏洞可與另一個漏洞串連，形成CVSS風險10分的漏洞利用鏈</a><span style="color: rgb(255, 0, 0);">【CVE-2026-42271】</span></strong></p> <p>Python開發套件LiteLLM，其高風險漏洞CVE-2026-42271被美國CISA列入KEV清單，威脅情報公司Horizon3.ai指出，發現在依賴自架Gitea的開發環境裡，若搭配存在Python框架Starlette的中風險漏洞CVE-2026-48710，可能形成重大弱點，導致遠端程式碼執行，讓攻擊者以LiteLLM代理程式執行指令。</p> <p><strong><a href="https://www.ithome.com.tw/news/176593">AI開發平臺Langflow路徑遍歷漏洞已被用於實際攻擊</a><span style="color: rgb(255, 0, 0);">【CVE-2026-5027】</span></strong></p> <p>在3月底，大型語言模型開發工具Langflow被揭露8.8分重大漏洞CVE-2026-5027，幾天後，Langflow開發團隊發布0.8.3版langflow-base元件處理該問題，後續開發團隊已在Langflow 1.9.0完成修正。然而，資安公司VulnCheck警告於6月8日發現有人嘗試利用CVE-2026-5027的跡象。</p> <p><strong><a href="https://www.ithome.com.tw/news/176544">華納音樂買下Sureel，強化AI時代音樂版權追蹤</a></strong></p> <p>音樂領域的DRM版權防護技術，隨AI時代迎來新動向，華納音樂買下專注於內容歸因與版權追蹤技術的新創業者Sureel，期望強化AI時代的音樂版權管理。華納音樂執行長Robert Kyncl表示，AI歸因目前仍是業界高度爭議的技術領域。支持者認為，若能準確追蹤AI模型使用哪些作品進行訓練或生成內容，未來有機會建立依使用量分配收益的授權機制，但也有研究人員質疑，在數千萬部作品共同訓練下，是否真能精確判定單一作品的實際貢獻。</p> <p><strong><a href="https://www.ithome.com.tw/news/176644">90天完成AI治理起手式，Check Point資安長教你用5個步驟搞定</a></strong></p> <p>企業積極推動AI應用勢不可擋，該如何持續確保AI的有效管理、安全性與資安防護？企業需要建立AI治理的制度與組織，統籌考量這些議題，然而該從何處開始著手？Check Point亞太及日本區資安長Jayant Dave最近來臺參加活動，向大家介紹一套以5個步驟構成、90天內可執行的方案，教你踏出推動AI治理的第一步。</p> <p><a href="https://www.ithome.com.tw/news/176562"><strong>當Physical AI走進現實，一張傳單就可讓機器人出拳攻擊</strong></a></p> <p>【臺灣資安大會直擊】當AI開始掌控有手有腳的機器，資安就不再只是IT部門的事。VicOne執行長鄭奕立指出，一張印有指令的傳單就能讓友善的機器狗瞬間出拳攻擊。AI機器人的攻擊面橫跨感測器欺騙、AI模型劫持、無線通訊滲透及軟體供應鏈等五大層次，其後果已超越資料外洩，將直接造成實體的人身傷害。因此，臺灣機器人服務要落地，必須同步先做好資安，同時闡釋與兩家臺灣機器人業者合作的最新發展現況。</p> <p><strong><a href="https://www.ithome.com.tw/news/176695">Google Vertex AI SDK模型上傳流程漏洞，恐遭攻擊者跨租戶執行任意程式碼</a></strong></p> <p>Google前兩個月修補Vertex AI SDK for Python的漏洞，通報的Palo Alto Networks旗下Unit 42團隊如今公開相關細節，指出問題出在模型註冊前的暫存流程，由於舊版SDK未檢查預設儲存桶的所有權，加上Google Cloud儲存桶名稱不可重複的限制，導致攻擊者只要得知受害者的專案編號，就能預先建立同名儲存桶。當受害者依預設流程上傳時，模型構件便會流向攻擊者控制的儲存空間，甚至進而在模型部署後執行任意程式碼的風險。</p> <p><strong><a href="https://www.ithome.com.tw/news/176689">惡意瀏覽器擴充套件竊取AI對話內容再現新案例，近9萬名用戶受影響</a></strong></p> <p>惡意瀏覽器擴充套件竊取AI對話資料案例再現！MalExt Sentry揭露PromptSnatcher活動，發現偽裝成廣告攔截工具的Chrome擴充套件，會攔截ChatGPT、Gemini、Claude等多個生成式AI平台的提示詞與回應內容，並傳送至遠端伺服器，相關擴充套件累積安裝量約9萬次，提醒使用者注意瀏覽器擴充套件可能帶來的AI資料外洩風險。</p> <h1><strong style="color: rgb(255, 140, 0);">資料安全</strong></h1> <p><span style="color:#696969;"><strong>本週資料安全焦點在於藥廠、醫院及外送平臺的個資外洩，其中德國大規模病患資料外洩事故反映委外供應鏈危機，導致多家醫院同時受害。此外，ShinyHunters威脅不斷，本週再傳鎖定國際組織與教育機構，受害範圍持續擴大。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/176585">製藥巨擘諾和諾德遭駭，外洩臨床試驗病患資料</a></strong></p> <p>丹麥製藥業巨擘諾和諾德（Novo Nordisk）公告內部IT系統遭未授權存取，導致參加臨床試驗的病患資料外洩，但該公司強調，這些資訊並未直接連結這些病患的姓名或其他可辨識身分的屬性，這是因為可辨識身分的資訊需要其他存取管道，所以他們認為這次事件不會造成受測者身分曝光。</p> <p><strong><a href="https://www.ithome.com.tw/news/176679">德國多家醫院病患資料外洩，起因於醫療帳務委外服務商Unimed遭駭</a></strong></p> <p>醫院資料外洩議題、第三方供應鏈攻擊風險再受矚目。近期德國發生大規模病患資料外洩事件，多家醫院發布資安事故公告，包括弗萊堡大學附設醫院、海德堡大學附設醫院、科隆大學附設醫院、烏姆大學附設醫院等，指出事故起因於醫療帳務委外服務商Unimed遭駭，後續該業者亦發布資安事故公告，說明是在4月中旬遭受網路攻擊，此事件亦突顯第三方供應鏈資安風險對醫療產業構成的嚴峻挑戰。</p> <p><strong><a href="https://www.ithome.com.tw/news/176700">巴西外送龍頭iFood個資外洩，業者證實120萬用戶受影響</a></strong></p> <p><a href="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/zhu_tu_ba_xi_wai_song_long_tou_ifoodge_zi_wai_xie_.jpg?itok=G2EZ2urL"><img alt="" src="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/zhu_tu_ba_xi_wai_song_long_tou_ifoodge_zi_wai_xie_.jpg?itok=G2EZ2urL" style="width: 400px; float: right;" /></a></p> <p>外送服務普及已成常態，由於平臺掌握龐大民眾個資，一旦遭駭往往引發嚴重社會影響。近期巴西發生這類涉及民生服務的資安事件，當地龍頭業者iFood在6月4日傳出遭駭消息，該公司後續在6月10日發布資料外洩公告公開說明此事，指出其資料庫曾於2025年12月遭非法存取，導致約120萬名用戶個資外洩。不過，資安媒體Hackread指出駭客在BreachForums論壇上發文聲稱竊取其4,380萬筆客戶記錄，目前iFood否認此數量。</p> <p><strong><a href="https://www.ithome.com.tw/news/176673">駭客宣稱駭入任天堂竊走員工及公司資訊，勒索200萬美元</a></strong></p> <p>代號SHADOWBYT3$的駭客6月13日在地下論壇張貼勒索訊息，他宣稱從任天堂的員工關係管理平臺TINYpulse竊得近859MB的資料，喊價200萬美元作為贖金。這名駭客宣稱從TINYpulse取得員工姓名、電子郵件、分析報告、銀行對帳單PDF檔、以及職場問卷，涵括從2016年到2026年的資料。不過，任天堂尚未證實此消息。</p> <p><a href="http://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=162813&SPOKE_DATE=20260616&COMPANY_ID=6128"><strong>上福全球科技子公司Katun遭網路攻擊</strong></a></p> <p>耗材與影像輸出解決方案業者上福全球科技（6128）於6月16日，於股市公開觀測站代重要子公司Katun Corporation發布重大訊息，指出該公司發生網路資安事件，目前已啟動相關應變與調查程序，並評估事件對營運的影響。針對這起事故造成的影響，上福根據初步調查結果指出，尚未對公司整體營運、財務狀況或客戶服務造成重大影響。</p> <p><strong><a href="https://www.ithome.com.tw/news/176559">ServiceNow公布安全事件初步調查，稱資料查詢活動可能來自研究人員</a></strong></p> <p>企業雲端工作流程平臺業者ServiceNow於6月上旬傳出安全事件，ServiceNow於6月10日發布安全公告說明，多名客戶於6月3日至4日轉交漏洞獎勵計畫通報，內容涉及一項可能讓未經身分驗證使用者存取ServiceNow執行個體資訊的安全問題，且與4月22日提交至ServiceNow漏洞獎勵計畫的保密通報相似。該公司調查後發現，部分客戶執行個體自6月2日起出現不明的活動，且曾遭成功查詢；ServiceNow已通知觀察到相關活動的客戶，並部署安全更新協助保護客戶環境。</p> <p><strong><a href="https://www.ithome.com.tw/news/176587">駭客宣稱竊走Dynatrace數百GitHub儲存庫，外洩原始程式碼、公司資料</a></strong></p> <p>代號xpI0itrs駭客在駭客論壇兜售基礎架構效能監控及安全供應商Dynatrace的GitHub資料，宣稱利用廠商個人存取令牌（PAT）外洩的內容，包含內部基礎架構、CI/CD管線、敏感基礎架構細節、組織架構特定專案的員工資訊，共246個儲存庫，總量8.46GB，並喊價1.2萬美元，Dynatrace目前尚未公開證實此事故是否發生。</p> <p><strong><a href="https://www.ithome.com.tw/news/176563">英國諾丁漢大學資料外洩，可能影響45萬學生</a></strong></p> <p>英國諾丁漢大學6月11日證實發生網路攻擊事件，造成大量學生資訊外流。諾丁漢大學為知名學府，根據全球學校評等網站，該校排名為英國前20大，全球前一百大。根據報導，勒索軟體駭客組織ShinyHunters點名竊取了諾丁漢大學40GB資料，包含學生、校友及職員個資及財務資料，並已公開部分學生資訊，該校後續已證實此事故的發生。</p> <p><strong><a href="https://www.ithome.com.tw/news/176671">歐洲理事會傳資料外洩，駭客組織ShinyHunters聲稱竊得43萬份資料</a></strong></p> <p>歐洲理事會是具有國際法地位的國際組織，其宗旨為維護歐洲的人權、民主和法治，目前有46國參與，本週ShinyHunters在其資料公開網站貼文宣稱成功竊得歐洲理事會的訊息，涉及多個歐洲理事會分部的人事及薪資檔案，包括上萬名員工2011到2026年間的薪資條約40.9萬份、內部人事檔案3,700多份、1.4萬份履歷表等檔案。</p> <p><strong><a href="https://www.ithome.com.tw/news/176672">駭客組織ShinyHunters鎖定教育科技公司Infinite Campus，竊取13.7萬名師生個資</a></strong></p> <p>為美國逾3,200個學區提供學生資訊系統的教育科技公司Infinite Campus，3月傳出遭勒索軟體駭客ShinyHunters入侵，駭客聲稱從該公司的Salesforce平臺竊得1.2 GB的檔案。後續密碼外洩查詢網站Have I Been Pwned（HIBP）將這起事故納入資料庫，並指出約有137,100個帳號的資料外洩。</p> <h1><strong style="color: rgb(255, 140, 0);">端點安全</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>近一個多月來，有研究人員持續揭露微軟Windows的零時差漏洞，最新是可被用於繞過BitLocker磁碟加密機制、名為GreatXML的漏洞。還有微軟Secure Boot舊版憑證即將到期的消息，紅帽提醒用戶應儘速更新韌體信任資料庫，以確保開機安全與系統元件的後續更新。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/176566">研究人員揭露BitLocker零時差漏洞GreatXML</a><span style="color: rgb(255, 0, 0);">【GreatXML】</span></strong></p> <p><a href="/sites/default/files/images/研究人員揭露BitLocker零時差漏洞GreatXML.jpg"><img alt="" src="/sites/default/files/images/%E7%A0%94%E7%A9%B6%E4%BA%BA%E5%93%A1%E6%8F%AD%E9%9C%B2BitLocker%E9%9B%B6%E6%99%82%E5%B7%AE%E6%BC%8F%E6%B4%9EGreatXML.jpg" style="width: 400px; float: right;" /></a></p> <p>與微軟僵持不下的Chaotic Eclipse（Nightmare-Eclipse），本週公開另一個零時差漏洞GreatXML，並指出該弱點可被用於繞過BitLocker磁碟加密機制。根據他的研究，電腦在防毒軟體Microsoft Defender執行離線掃描期間，攻擊者無須登入Windows作業系統就有機會利用GreatXML。</p> <p><strong><a href="https://www.ithome.com.tw/news/176561">微軟Secure Boot舊版憑證2026年陸續到期，紅帽提醒RHEL用戶更新韌體信任資料庫</a></strong></p> <p>紅帽6月10日提醒，微軟安全開機（Secure Boot）機制使用的多張2011年版簽章憑證，將於2026年陸續到期，企業應確認UEFI韌體中的Secure Boot資料庫是否已納入2023年版憑證，以確保後續可取得開機安全相關更新。若系統韌體的Secure Boot 資料庫（db）沒有包含2023年版憑證，未來可能無法啟動新的開機元件。</p> <p><strong><a href="https://www.ithome.com.tw/news/176680">Google發布ChromeOS長期支援版更新，修補17項記憶體相關重大漏洞</a></strong></p> <p>Google發布ChromeOS LTS-144更新版144.0.7559.255，修補40項安全漏洞，其中17項屬重大等級。此次修補以記憶體安全問題為主，包含29項記憶體已釋放卻仍被使用（UAF）漏洞及5項記憶體溢位漏洞，占全部漏洞達85%。值得注意的是，這次修補的漏洞中，有5項重大漏洞都涉及ChromeOS圖形架構核心元件Ozone，其他漏洞則涵蓋GPU、Chromoting、Printing與FileSystem等元件。</p> <p><strong><a href="https://www.ithome.com.tw/news/176692">Android 17正式登上Pixel裝置，安全能力亦再提升</a></strong></p> <p>Google推出Android 17，內建安全能力強化亦是重點之一，新版本不僅升級即時威脅偵測與進階保護模式，也導入更多隱私微調，例如延長 PIN 碼連續輸入錯誤的等待時間以防範暴力破解。此外，用戶現在能更細緻地管理個資權限，像是僅暫時允許 App 取得精確位置，或只分享部分聯絡人。同時，系統也增強「標記為遺失」功能，讓使用者能用生物辨識鎖定遺失的手機，在這樣的保護機制下，竊賊即使知道PIN碼，也無法存取資訊或關閉追蹤功能。</p> <h1><strong style="color: rgb(255, 140, 0);">網路安全</strong></h1> <p><span style="color:#696969;"><strong>近期攻擊者積極鎖定邊緣裝置已知漏洞，針對修補動作慢的企業發動攻擊，包括Ivanti Sentry與Fortinet沙箱平臺近期修補的弱點均成為攻擊新目標。此外，AWS推出PQC就緒度掃描工具，以及德國核發首張5G核心網路組件安全證書，亦顯現PQC遷移與通訊供應鏈安全正加速進入實質落實階段。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/176572">Ivanti甫修補的滿分重大漏洞已出現實際攻擊</a><span style="color:#FF0000;">【CVE-2026-10520】</span></strong></p> <p>6月上旬Ivanti<a href="https://www.ithome.com.tw/news/176531">修補</a>Sentry安全閘道兩項重大漏洞，後續已有攻擊者鎖定其中一項已知漏洞CVE-2026-10520發動大規模利用嘗試行為！Shadowserver基金會11日提出警告，他們總共找到19臺存在弱點的Ivanti Sentry實體（instance），這些系統疑似都遭到入侵，其中有兩臺已被植入後門。另一方面，美國網路安全與基礎設施安全局（CISA）也將此漏洞<a href="http://www.ithome.com.tw/news/176612">納入KEV清單</a>，Ivanti則另說明是在蜜罐環境偵測到攻擊嘗試。</p> <p><strong><a href="https://www.ithome.com.tw/news/176694">Fortinet沙箱平臺3個已知漏洞傳出遭到嘗試利用</a><span style="color: rgb(255, 0, 0);">【CVE-2026-39813、CVE-2026-39808】</span></strong></p> <p>威脅情報公司Defused Cyber在社群網站X發文警告，有人試圖利用6月初修補的CVE-2026-25089、4月中修補的CVE-2026-39813、CVE-2026-39808等已知漏洞攻擊FortiSandbox。根據駭客利用CVE-2026-25089的手法，該公司研判是借助AI的力量來達到目的，不過駭客似乎並未成功利用CVE-2026-25089。另也強調CVE-2026-39813是首次發現有攻擊者成功利用。</p> <p><strong><a href="https://www.ithome.com.tw/news/176632">思科修補SD-WAN系統已遭利用的漏洞</a><span style="color: rgb(255, 0, 0);">【CVE-2026-20245】</span></strong></p> <p>思科在6月4日揭露Catalyst SD-WAN Manager的漏洞CVE-2026-20245成為零時差漏洞攻擊目標，先行提醒用戶注意，後續該公司於6月15日釋出補修程式，呼籲用戶儘速套用新版軟體修補。同日美國CISA也將之<a href="http://www.ithome.com.tw/news/176635">納入KEV</a>清單。</p> <p><strong><a href="https://www.ithome.com.tw/news/176682">AWS推出PQC就緒度掃描工具，檢視TLS端點抗量子準備狀態</a></strong></p> <p><a href="https://www.ithome.com.tw/sites/default/files/images/2026-06-18_102316.jpg"><img alt="" src="https://www.ithome.com.tw/sites/default/files/images/2026-06-18_102316.jpg" style="width: 400px; float: right;" /></a></p> <p>公有雲業者AWS宣布推出後量子密碼學就緒度掃描工具PQC Readiness Scanner，這是以AWS Config合規套件建置的解決方案，可協助企業盤點由AWS服務終止TLS連線的應用程式負載平衡器（ALB）、網路負載平衡器（NLB），以及API Gateway端點，持續檢查其TLS組態是否符合PQC就緒要求，並依三級架構排定遷移優先順序。</p> <p><strong><a href="https://www.ithome.com.tw/news/176685">德國BSI核發首張5G核心網路組件NESAS安全證書，Mavenir率先通過驗證</a></strong></p> <p>推動5G供應鏈安全，近年德國針對5G關鍵組件祭出強制性安全認證要求，德國聯邦資訊安全局（BSI）在6月15公布首款通過BSI NESAS驗證的產品，此舉突顯德國在強化行動通訊供應鏈安全已有全新進展。首家獲證廠商為美國雲端原生網路軟體商 Mavenir，獲證產品為其5G匯流封包核心網路的核心組件——網路儲存功能（NRF，版本為CC 24.4.2 p4 SW）。</p> <p><strong><a href="https://www.ithome.com.tw/news/176678">都柏林大學將主導歐盟6G安全專案，開發6G原生網路威脅情資平臺</a></strong></p> <p>愛爾蘭都柏林大學在6月11日宣布，將主導歐盟Horizon Europe架構下、智慧網路與服務聯合事業（SSNS JU）支持的SHIELD-6G專案，總經費達800萬歐元。這項專案將集結19個國際合作夥伴，目標是開發面向6G網路的AI驅動威脅情資平臺，為6G網路建立安全、可靠性與韌性的基礎指引。</p> <p><strong><a href="https://www.ithome.com.tw/news/176647">Palo Alto Networks警告VPN高風險漏洞遭積極利用</a></strong></p> <p>5月中Palo Alto Networks公告PAN-OS軟體存在驗證繞過漏洞CVE-2026-0257，6月1日<a href="https://www.ithome.com.tw/news/176250">該公司</a>與其他資安業者均警告有攻擊者試圖利用的跡象，指出其風險在於可能讓未經授權的攻擊者繞過安全控制而啟動VPN連線。6月9日該公司再度示警，指出該公司威脅情報團隊Unit 42觀測到一個身分未明的攻擊組織加入濫用該漏洞的行列，並存取其VPN系統GlobalProtect。</p> <h1><strong style="color: rgb(255, 140, 0);">資安維運</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>面對AI引發的漏洞激增現況，FIRST國際資安應變組織指出今年CVE預估量雖上修至6.6萬個，但真正被利用或具備高度威脅的漏洞增長相對平緩，建議企業應依循四項策略精準應對。此外，供應鏈韌性、AI治理與數位信任治理議題亦成專家不斷提醒的焦點，呼籲企業應在這些領域積極採取行動。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/176652">2026年CVE數量恐破6.6萬個，FIRST國際資安應變組織提四項應對建議</a></strong></p> <p>每年CVE數量持續創新高，但增幅更是各界觀察的重點。FIRST國際資安應變組織於6月15日舉行第38屆年會，同時發布「2026年年中漏洞預測報告」，指出2026年1至4月的實際披露量已較原先預估比例高出46.3%，這使得全年總量從2月份預估的59,427個，現在上修至約66,000個。FIRST解析推動數量增長三大原因，並針對企業組織提出因應行動上的四項建議。</p> <p><strong><a href="https://www.ithome.com.tw/news/176666">CVE漏洞數量大增，FIRST進一步說明致災風險並未隨總量而增加的理由</a></strong></p> <p><a href="/sites/default/files/images/CVE漏洞數量大增，FIRST進一步說明致災風險並未隨總量而增加的理由.jpg"><img alt="" src="/sites/default/files/images/CVE%E6%BC%8F%E6%B4%9E%E6%95%B8%E9%87%8F%E5%A4%A7%E5%A2%9E%EF%BC%8CFIRST%E9%80%B2%E4%B8%80%E6%AD%A5%E8%AA%AA%E6%98%8E%E8%87%B4%E7%81%BD%E9%A2%A8%E9%9A%AA%E4%B8%A6%E6%9C%AA%E9%9A%A8%E7%B8%BD%E9%87%8F%E8%80%8C%E5%A2%9E%E5%8A%A0%E7%9A%84%E7%90%86%E7%94%B1.jpg" style="width: 400px; float: right;" /></a></p> <p>面對今年這股由AI引發的大規模漏洞挑戰，FIRST國際資安應變組織提出一項重要觀察，並以「降雨與洪水」為喻指出：雖然漏洞總量（降雨）持續攀升，但真正被積極利用或具備高度威脅的漏洞（洪水），其增長速度並未同步上升。具體而言，儘管今年1至4月的CVE漏洞呈激增態勢，但被列入CISA KEV或EPSS分數超過10%的高風險漏洞，其增長曲線相當平緩。</p> <p><a href="https://www.ithome.com.tw/news/176614"><strong>資安不再是IT部門的事，供應鏈韌性與AI治理成企業存續的核心命題</strong></a></p> <p>在多重危機交錯的今天，資誠智能風險管理諮詢公司董事長張晉瑞指出，網路安全早已不再隸屬資訊部門的防護範疇，而是直接決定企業能否維持供應鏈韌性、落實AI治理的核心樞紐。他表示，在這個供應鏈韌性正被重新定義的時代，有許多議題需要重視，例如他提出一個許多臺灣企業尚未普遍運用的財務工具：總中斷成本（TCOD），另也提及歐盟CRA、影子AI風險，以及半導體資安等重要議題，他強調企業董事會必須正視「數位信任」的戰略缺口，否則將在跨國採購談判中失去准入資格。</p> <p><strong><a href="https://www.ithome.com.tw/news/176548">當數位信任躍升企業戰略核心，國際電腦稽核協會推動以DTEF框架落實韌性與企業治理</a></strong></p> <p>【臺灣資安大會直擊】數位信任議題對於很多企業來說還是很抽象，國際電腦稽核協會（ISACA）臺灣分會副會長陳政龍<strong><a href="https://www.ithome.com.tw/news/176552">點出</a></strong>為何數位信任企業治理熱門焦點，並針對管理階層如何促進數位信任進行深度剖析，並介紹ISACA近年推動的DTEF數位信任生態系框架。他並強調，韌性是DTEF框架中的核心原則之一，在遭遇資安攻擊、資料外洩、系統故障等重大干擾時，組織必須具備快速恢復與持續運作的能力，甚至在危機中強化自身競爭力。</p> <p><strong><a href="https://www.ithome.com.tw/news/176594">MITRE ATT&CK第19版刪除防禦規避戰略，拆分為隱匿與防禦削弱</a></strong></p> <p>MITRE ATT&CK框架月前更新至第19版，此次調整有一項重大變化在於，將防禦規避（原TA0005）戰術拆分為隱匿（TA0005）與防禦削弱（TA0112），協助防禦者透過區分攻擊意圖擬定不同應對策略。MITRE表示，隱匿與破壞其實是完全不同的行為，對於防禦者而言，隱匿與防禦削弱拆分後的最大價值，在於協助釐清核心問題：攻擊者究竟是在躲藏還是在破壞防禦能力？這是兩種完全不同的威脅模型，需要不同的應對策略。</p> <p><strong><a href="https://www.ithome.com.tw/news/176570">越南駭客OceanLotus發動供應鏈攻擊，鎖定投資人散布SpectralViper後門</a></strong></p> <p>越南金融科技公司FireAnt所推出的股市投資軟體FireAnt Metakit更新伺服器遭入侵，資安業者ESET指出，攻擊者是越南駭客組織OceanLotus（APT32），藉由入侵更新伺服器向股票投資人散布SpectralViper後門程式，受駭時間點為2025年10月至2026年3月。ESET表示，FireAnt Metakit雖為熱門投資工具，但僅極少數用戶最終被植入後門，因此判斷並非無差別攻擊，而是利用供應鏈入侵後，再精準篩選目標。</p> <p><strong><a href="https://www.ithome.com.tw/news/176648">中國駭客組織UNC6508鎖定美國醫療與國防研究機構竊取機密</a></strong></p> <p>新興中國駭客組織UNC6508發起大規模網路間諜行動，鎖定北美學術、醫療與軍事研究社群的機構，早在2023年9月，他們利用可透過網際網路存取的Research Electronic Data Capture（REDCap）伺服器，入侵與美軍有關的醫學大學，後續部署惡意程式Infinitered，企圖竊取REDCap登入憑證，相關活動持續到2025年11月。</p> <p><strong><a href="https://www.ithome.com.tw/news/176684">中國駭客Earth Lusca打造惡意軟體SprySOCKS變種，於政府機關從事攻擊活動</a></strong></p> <p>資安公司ESET揭露中國駭客組織Earth Lusca將原本針對Linux的後門程式SprySOCKS，開發成Windows版本，他們起初在VirusTotal發現惡意檔案，比對遙測資料後，發現駭客在2023至2024年將此程式用於攻擊。ESET看到兩種Windows版變種，均支援UDP、WebSocket協定，攻擊者可下達超過30種命令，涵蓋系統資訊收集。</p> <p><strong><a href="https://www.ithome.com.tw/news/176677">開源資安平臺Wazuh修補重大漏洞，攻擊者可竄改警示並刪除日誌</a></strong></p> <p>開源XDR與SIEM平臺Wazuh修補Wazuh Manager一項重大（Critical）風險漏洞，攻擊者可利用此漏洞在特定組態下註冊惡意代理程式，進而竄改警示、刪除鑑識日誌，甚至影響弱點與資產清查資料，影響wazuh-manager 5.0.0-beta1與後續推出的5.x版本，CVSS分數達滿分10.0分；Wazuh 4.x分支則不受影響。</p> <p><strong><a href="https://www.ithome.com.tw/news/176568">Palo Alto發佈6月安全更新修補11項漏洞</a></strong></p> <p>資安業者Palo Alto Networks發布六月份安全更新，修補11項漏洞，其中包含兩項高風險安全更新，廠商呼籲管理員儘速更新到最新版本。其中的CVE-2026-0274，影響SOAR平臺Cortex XSOAR，CVSS風險值8.1，影響Cortex XSIAM/XSOAR Commvault Security IQ Marketplace。</p> <p><strong><a href="https://www.ithome.com.tw/news/176577">Splunk 6月安全更新修補一項讓攻擊者清空檔案的重大漏洞</a></strong></p> <p>6月10日思科旗下Splunk發布安全更新公告，總共揭露與修補12項漏洞資訊，以主系統而言，重大漏洞有風險值達到9.8的CVE-2026-20253，未經驗證的攻擊者可藉此建立或清空檔案，高風險漏洞則有三項，分別是CVE-2026-20251、CVE-2026-20252及CVE-2026-20258。</p> <p><strong><a href="https://www.ithome.com.tw/news/176681">勒索軟體Anubis攻擊亞得里亞海港務局，索討千萬美元贖金</a></strong></p> <p>義大利亞得里亞海港務局年初證實遭遇勒索軟體Anubis攻擊，資安公司Resecurity上週揭露調查結果指出，駭客向員工寄送帶有惡意附件的釣魚信，成功入侵後便進行權限提升，在內網橫向移動，然後利用港務局IT基礎設施未修補的漏洞，逐步取得重要系統控制權。值得注意的是，本次攻擊駭客並未直接針對OT環境的基礎設施，而是入侵M365與Azure等IT系統達到目的。</p> <p><strong><a href="https://www.ithome.com.tw/news/176627">NightSpire勒索軟體濫用合法管理工具發動攻擊，已入侵包括臺灣在內33個國家</a></strong></p> <p>勒索軟體NightSpire自2025年初出現以來，已影響包括臺灣在內的33個國家、至少64個組織，資安業者Picus近日分析其攻擊手法指出，這款勒索軟體主要透過暴露的RDP服務取得初始存取權限，再結合濫用Chrome Remote Desktop、AnyDesk、Everything、7-Zip與MEGAsync等合法工具執行資料搜尋、外洩作業，並採用雙重勒索手法，威脅公開竊得的敏感資料以迫使受害者支付贖金。</p> <h1><strong style="color: rgb(255, 140, 0);">政策法規</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>今年1月《人工智慧基本法》上路，我國各目的事業主管機關針對各產業的指引也相繼出爐，繼衛福部後NCC也發布相關指引；針對中小企業提供資安強化方面的協助也持續成為政策焦點。國際間，則有美國政府對Anthropic高階模型祭出出口限制的政策與爭議，反映AI模型在國家安全與地緣政治監管層面的挑戰。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/176549">NCC發布新聞AI應用指引，要求全程標示AI內容並建立人工查核機制</a></strong></p> <p>NCC針對媒體應用AI提出指引規範，呼籲業者應用AI技術製播新聞，應建立AI內容查證機制，落實人工審核，對於第三方素材或AI產生的素材，善盡事實查證責任，並要求業者保留AI使用與審核紀錄，供事後的追蹤及查驗。NCC強調，AI可輔助新聞產製，但最終責任仍在人，廣電媒體在導入AI技術前應建立內控機制，應成立專案小組進行風險評估與監督管理。</p> <p><strong><a href="https://www.ithome.com.tw/news/176613">資安署開辦「資安專家會客室」，中小企業可免費申請預約</a></strong></p> <p>協助中小企業強化資安防護力，數位發展部資通安全署於6月11日正式啟動「資安專家會客室」，提供免費一對一客製化諮詢服務。過去一年來，數發部資安署、資安院、經濟部中企署已有針對中小企業資安防護的推動作為，包括資安健檢團與資安服務團，資安推廣工具資安星際指南，還有中小企業基本資安指引釋出。而在諮詢管道上，先前已設置「馬上辦服務中心」，如今再推出「資安專家會客室」，期望引導更多國內中小企業跨出資安防護的第一步。</p> <p><a href="https://www.ithome.com.tw/article/175015"><strong>從防禦前線到規則制定者，臺灣資安產業的質變與雄心</strong></a></p> <p>【2026臺灣資安年鑑】美軍在對伊朗的軍事行動中，曾滲透伊朗境內的監視器網路，透過分析IP Camera的影像與流量數據，精準定位目標人物的日常行蹤、開會地點與行動路線。這不是電影情節，而是發生在現實世界的情報操作。數位發展部數位產業署署長林俊秀面對這一系列國際局勢時，有著深刻的體悟。他表示，這場戰爭徹底驗證了資安產業的戰略價值，因為資安防護失守的代價，已經從單純的「資料外洩」，升級為對「人的資產」的直接威脅。</p> <p><a href="https://www.ithome.com.tw/article/175016"><strong>從制度革新到全民覺醒，守住數位國土的最後一道防線</strong></a></p> <p>【2026臺灣資安年鑑】在臺灣邁入全面數位化與AI時代的關鍵節點，資通安全早已不再只是工程師或資訊部門的專業領域，而是攸關國家安全、產業發展與社會信任的核心基礎。數位發展部資通安全署署長蔡福隆表示：「資安就是一個務實、落實的事情。你說的東西再好聽，沒有把它落實下去，都是假的。」若要說過去一年資安署最具里程碑意義的成果，修正《資通安全管理法》絕對名列前茅，蔡福隆坦言，這次修法不只是條文調整，而是涉及政策、產業與國際接軌的全面工程。</p> <p><a href="https://www.ithome.com.tw/news/175244"><strong>揭露資安院2.0轉型願景，林盈達以AI築數位長城</strong></a></p> <p>【2026臺灣資安年鑑】臺灣更需要一個能串聯營運與研發的核心節點，資通安全研究院長林盈達推動「資安院2.0」的轉型，他指出，透過將營運流程AI化，實踐「看得到才治得到」的治理核心；並透過資安治理平臺、CI場域抓鬼與「Team Taiwan」生態系評鑑，將維運轉為背景基礎，讓AI與可視化成為國防防禦的前景與動能。更重要是，資安院不僅要推動技術進步，也促進跨部會與產業間的協作。當不同體系能夠有效連動，整體防禦能力將不再是零散拼圖，而是一個有機整體。</p> <p><strong><a href="https://www.ithome.com.tw/news/176598">美政府要求封鎖他國用戶存取Claude Fable與Mythos，Anthropic全面暫停提供</a></strong></p> <p>Anthropic推出威力最強大的模型Claude 5及Mythos 5後，12日宣布全面暫停提供全球用戶。該公司是在6月12日下午5點獲美國政府出口管制命令信件，要求中止任何外國人存取Fable 5及Mythos 5，不論他們位於美國境內或境外，包括Anthropic的外籍員工。這紙命令迫使該公司必須突然對所有客戶關閉Fable 5和Mythos 5。</p> <p><strong><a href="https://www.ithome.com.tw/news/176653">美國政府要求Anthropic停止對外國用戶提供Claude Fable 5，原因是傳出有人能成功越獄</a></strong></p> <p>Anthropic發表Claude Fable 5與Mythos 5幾天後，突然因美國政府禁令被迫宣布停止提供外國用戶，原因應是有人發現「越獄」使用的方法。關於這項說法，有兩個傳聞，一是英國資安研究機構AI Security Institute（AISI），一是Amazon總裁Andy Jassy和美國官員的對話內容。</p> <p><strong><a href="https://www.ithome.com.tw/news/176644">資安專家聯署反對Anthropic Claude Fable/Mythos禁令</a></strong></p> <p><a href="/sites/default/files/images/資安專家聯署反對Anthropic Claude Fable Mythos禁令.jpg"><img alt="" src="/sites/default/files/images/%E8%B3%87%E5%AE%89%E5%B0%88%E5%AE%B6%E8%81%AF%E7%BD%B2%E5%8F%8D%E5%B0%8DAnthropic%20Claude%20Fable%20Mythos%E7%A6%81%E4%BB%A4.jpg" style="width: 400px; float: right;" /></a></p> <p>美國商務部對Anthropic發布出口管制命令，要求中止任何外國人存取Fable 5及Mythos 5，上百名資安專家連署發表公開信，說明AI對資安的重要性，要求政府官員解除禁令。連署人包括Facebook前資安長Alex Stamos、抓漏獎勵平臺Bugcrowd創辦人Casey Ellis、蘋果前安全架構師Jon Callas。</p> <p><strong><a href="https://www.ithome.com.tw/news/176567">Coupang個資外洩案波及3,755萬人，遭韓國重罰逾6,246億韓元</a></strong></p> <p>針對電商平臺酷澎（Coupang）於2025年11月揭露的大規模個資外洩事故，韓國個資保護委員會（PIPC）於6月11日公告，對酷澎處以6,246億8,100萬韓元（約4.09億美元）罰鍰。PIPC調查認定，酷澎因身分驗證簽章金鑰管理、存取控制等基本安全管理措施不足，導致約3,755萬人個資外洩。PIPC進一步指出，酷澎在事件應變與後續處置過程中，也出現未履行外洩通知義務、未依規定銷毀資料、未充分確保個資保護長（CPO）職務獨立性，以及妨礙調查等多項問題，另對酷澎處以1,680萬韓元罰款。</p> <h1><strong style="color: rgb(255, 140, 0);">應用程式安全</strong></h1> <p><span style="color:#696969;"><strong>Oracle PeopleSoft零時差漏洞攻擊持續成為焦點，「剛修補即遭利用」的嚴峻態勢也值得重視。本週相關案例數量之多遠超以往，包括WordPress外掛UpdraftPlus、Jenkins及Joomla等軟體在發布更新後，隨即傳出大規模攻擊；顯見駭客鎖定漏洞的速度正大幅縮短，企業的更新修補的節奏與效率必須更加及時。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/176558">Oracle PeopleSoft零時差漏洞遭駭客組織ShinyHunters積極利用</a><span style="color:#FF0000;">【CVE-2026-35273】</span></strong></p> <p><a href="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/peoplesoft-shinyhunters.max-156.jpg?itok=nlRY0QGn"><img alt="" src="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/peoplesoft-shinyhunters.max-156.jpg?itok=nlRY0QGn" style="width: 400px; float: right;" /></a></p> <p>先前ShinyHunters<a href="https://www.ithome.com.tw/news/176529">宣稱</a>駭入一百多家組織的Oracle PeopleSoft伺服器，引發各界高度重視，當時<a href="http://www.ithome.com.tw/news/176556">Oracle發布資安公告</a>修補企業應用系統平臺PeopleSoft PeopleTools重大漏洞CVE-2026-35273，但未說明該漏洞是否已遭到利用，後續Mandiant與Google威脅情報團隊（GTIG）公布調查結果，他們於5月27日至6月9日，看到ShinyHunters（UNC6240）積極針對Oracle PeopleSoft應用系統基礎設施入侵及勒索的活動，過程中利用了CVE-2026-35273。這顯然是一起零時差漏洞攻擊事件。此外，美國CISA也已經將此漏洞<a href="http://www.ithome.com.tw/news/176590">列入已知遭利用漏洞（KEV）</a>名單。</p> <p><strong><a href="https://www.ithome.com.tw/news/176656">Awesome Motive旗下外掛遭供應鏈攻擊，120萬個WordPress網站受影響</a><span style="color: rgb(255, 0, 0);">【CVE-2026-10795】</span></strong></p> <p>Awesome Motive旗下三款熱門WordPress外掛遭供應鏈攻擊，資安業者Sansec指出逾120萬個網站受影響，攻擊者主要利用日前UpdraftPlus才剛修補的已知重大漏洞（CVE-2026-10795）入侵其行銷伺服器，奪取CDN API金鑰後，隨即竄改提供給客戶網站載入的JavaScript檔案。這導致受害網站會在不知情下，直接從CDN自動下載並執行遭植入惡意程式的版本。由於UpdraftPlus已在6月5日釋出1.26.5版修補該漏洞，因此，尚未更新修補的開發人員必須留意攻擊者快速利用漏洞的態勢。後續<a href="https://www.ithome.com.tw/news/176660">Wordfence更警告單日攔截逾7萬次攻擊嘗試</a><strong>，</strong>尚未更新的網站持續成為攻擊者積極鎖定的目標<strong>。</strong></p> <p><strong><a href="https://www.ithome.com.tw/news/176670">美國警告Joomla外掛JCE的滿分重大漏洞已被用於實際攻擊活動</a><span style="color: rgb(255, 0, 0);">【CVE-2026-48907】</span></strong></p> <p>由軟體廠商Widget Factory開發的Joomla外掛程式Joomla Content Editor（JCE），於6月初揭露並修補重大漏洞CVE-2026-48907，6月16日美國CISA表示已掌握積極利用該弱點的攻擊跡象，並將其列入KEV清單。</p> <p><strong><a href="https://www.ithome.com.tw/news/176645">LiteSpeed修補cPanel外掛程式已遭利用的權限提升重大漏洞</a></strong><strong><span style="color: rgb(255, 0, 0);">【CVE-2026-54420】</span></strong></p> <p>LiteSpeed在6月初揭露cPanel外掛程式重大權限提升漏洞CVE-2026-54420，並於2.4.8版外掛程式與WHM Plugin 5.3.2.1版完成修補，後續發現該已知漏洞遭攻擊者鎖定，美國CISA於6月15日將之列入KEV清單，指出該漏洞已遭實際利用。</p> <p><strong><a href="https://www.ithome.com.tw/news/176663">Jenkins修補重大遠端執行程式碼漏洞，攻擊者已開始利用漏洞試圖入侵企業CI/CD環境</a><span style="color: rgb(255, 0, 0);">【CVE-2026-53435】</span></strong></p> <p>資安業者Defused Cyber警告，Jenkins重大遠端程式碼執行漏洞CVE-2026-53435已遭攻擊者實際利用。漏洞源自config.xml檔案處理過程中的反序列化缺陷，可能導致攻擊者在Jenkins主機上執行任意程式碼，進而危及企業CI/CD環境安全。Defused Cyber已觀察到針對暴露於網際網路的Jenkins主機進行掃描與攻擊的行為，建議用戶儘速升級至已修補版本。</p> <p><strong><a href="https://www.ithome.com.tw/news/176592">Arch Linux AUR爆供應鏈攻擊，孤兒套件遭接手散布惡意程式</a></strong></p> <p>Arch Linux社群套件庫AUR（Arch User Repository）傳出供應鏈攻擊事件。軟體供應鏈安全業者Sonatype於6月11日揭露，攻擊者鎖定存放在AUR的無人維護套件，在接手合法套件後修改PKGBUILD或安裝指令，使使用者在建置或安裝套件時，透過NPM下載惡意套件atomic-lockfile，進而執行Linux惡意酬載。</p> <p><strong><a href="https://www.ithome.com.tw/news/176691">FIFA平臺後端漏洞能讓駭客免費播放世界盃賽事、置換影像、修改比分</a></strong></p> <p>國際足球協會（FIFA）後端平臺被一名研究人員發現API有漏洞，攻擊者可藉此劫持世界盃足球賽轉播攝影機及賽事影像，或是變更賽事比分等紀錄。FIFA在接獲通報後已修補漏洞。研究人員BobDaHacker表示，這個資安問題出在FIFA後臺的身分與授權機制設計錯誤，使未經授權的人員得以登入內部系統，存取賽事串流影像管理介面。</p> <p><strong><a href="https://www.ithome.com.tw/news/176596">供應鏈安全框架SLSA解析Mini Shai-Hulud事件，驗證NPM套件安全不能只看簽章</a></strong></p> <p>軟體供應鏈安全框架SLSA專案於5月15日發布文章，針對Mini Shai-Hulud NPM供應鏈攻擊，說明SLSA能扮演的角色。開源軟體安全基金會OpenSSF也於6月10日轉載這篇文章，提醒開源社群，即使NPM套件附有可驗證的來源證明，也不能因此認定其建置與發布流程未曾遭到攻擊者介入或濫用。</p> <p><a href="https://www.ithome.com.tw/news/176453"><strong>微軟修補Edge三項漏洞，涵蓋遠端程式碼執行與偽冒風險</strong></a></p> <p>微軟修補Edge三項漏洞，這3項漏洞皆由臺灣資安公司戴夫寇爾（DEVCORE）首席資安研究員Orange Tsai在5月中Pwn2Own Berlin漏洞挖掘競賽發現，透過TrendAI的Zero Day Initiative協助通報。其中CVE-2026-45495風險最高，CVSS分數達8.8，另外兩項漏洞涉及安全功能繞過與偽冒風險，可能影響Windows VBS防護或造成釣魚攻擊。</p> <p><strong><a href="https://www.ithome.com.tw/news/176554">Google發布Chrome 149更新，修補近30個弱點</a></strong></p> <p>Google本週內第二次發布Chrome瀏覽器更新，共修補28個漏洞，其中5個為重大等級，用戶應儘速升級至149.0.7827.114或149.0.7827.115版。雖然Google不常在瀏覽器更新公告當下透露漏洞評分，但根據漏洞管理解決方案公司Tenable的資料庫，僅有CVE-2026-12007的評分為8.8，其餘4個都是9.6分的漏洞。</p> <p><strong><a href="https://www.ithome.com.tw/news/176575">GitLab修補12個漏洞，最高風險可能導致帳號接管</a></strong></p> <p>GitLab釋出社群版與企業版安全更新，共修補12個安全漏洞，有4個被列為高風險，皆影響GitLab企業版，其中CVE-2026-7250也波及GitLab社群版。在這次修補的12個漏洞中，最嚴重的有兩項漏洞CVSS風險評分達8.7分，可能導致帳號遭接管或在受害者瀏覽器中執行惡意程式碼。</p> <p><strong><a href="https://www.ithome.com.tw/news/176597">phpBB修補重大身分驗證繞過漏洞，攻擊者可冒充任意論壇用戶</a></strong></p> <p>開源論壇軟體phpBB發布更新，修補重大身分驗證繞過漏洞，攻擊者僅需發送特製HTTP請求，即可登入任意論壇帳號，包括管理員帳號在內。由於phpBB預設會公開會員名單，攻擊者很容易取得目標帳號名稱，進而讀取私人訊息或濫用管理權限。phpBB已於3.3.17版完成修補，建議用戶儘速更新。</p> <p><strong><a href="https://www.ithome.com.tw/news/176601">遠端管理工具SimpleHelp修補重大身分驗證繞過漏洞，未更新可能導致攻擊者取得管理權限</a></strong></p> <p>遠端管理工具平臺SimpleHelp修補重大身分驗證繞過漏洞CVE-2026-48558，CVSS嚴重性評分達滿分10分。漏洞源自OpenID Connect（OIDC）身分驗證流程未正確驗證權杖簽章，攻擊者可偽造身分資訊建立技術人員帳號，甚至繞過多因素驗證機制。受影響版本包括5.5.15與更早版本，以及6.0系列預覽版本，用戶應儘速更新至已修補的5.5.16與6.0 RC2版本。</p> <p><strong><a href="https://www.ithome.com.tw/news/176654">300萬個WordPress網站暴露於UpdraftPlus外掛程式漏洞風險</a></strong></p> <p>資安業者Wordfence揭露WordPress備份外掛程式UpdraftPlus，存在身分驗證繞過漏洞CVE-2026-10795，CVSS評分8.1分，影響逾300萬個網站。攻擊者可在未經驗證情況下冒充管理員，進而接管網站並執行管理操作，影響與UpdraftCentral控制臺連接的UpdraftPlus，建議用戶儘速更新至已修補的1.26.5版，以降低風險。</p> <p><strong><a href="https://www.ithome.com.tw/news/176703">Google發布Chrome 149穩定版更新，修補33項安全問題</a></strong></p> <p>Google發布Chrome 149穩定版更新，修補33項漏洞，其中7項被列為重大風險。這些重大漏洞涵蓋WebShare、WebView、Digital Credentials、File Input、Passwords及Web Authentication等元件，多數屬於記憶體已釋放後仍遭使用（UAF）問題。突顯記憶體安全問題仍是此次修補重點，占全部漏洞超過一半。</p> <p><strong><a href="https://www.ithome.com.tw/news/176609">152個Chrome動態桌布擴充套件暗藏用戶行為追蹤功能，累計安裝量逾10萬次</a></strong></p> <p>資安業者Socket揭露152個Chrome動態桌布擴充套件暗藏追蹤功能，累計安裝量超過10萬次。研究人員發現，這些擴充套件雖在Chrome Web Store宣稱不會收集用戶資料，實際上卻會記錄瀏覽活動、點擊資訊等數據，並用於廣告追蹤與流量分析。此外，部分套件還涉及操縱搜尋流量。Socket建議用戶移除相關擴充套件，以降低隱私風險。</p> <p><strong><a href="https://www.ithome.com.tw/news/176661">Apple以Swift改寫TrueType微調直譯器，降低記憶體安全風險</a></strong></p> <p>降低記憶體安全風險持續受關注。Apple公開以Swift改寫TrueType字型微調直譯器的實務案例，並釋出原始碼供社群借鏡。Apple指出，此舉目標是要降低字型解析的資安風險，而最大挑戰在於新版直譯器必須確保既有程式免修改無痛銜接，且字型顯示結果須與原C版本完全一致。</p> <h1><strong style="color: rgb(255, 140, 0);">身分安全</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>行政體系與企業高層面臨的身分冒用風險受矚目，包括法國政府通訊平臺Tchap帳號遭冒用，以及波蘭官員遭冒名鎖定企業CEO進行社交工程攻擊，均顯現這類身分防禦的挑戰需要全社會重視與防範。此外，憑證管理由人員延伸至機器工作負載的發展趨勢，更反映身分治理範疇的擴張已成業界發展重點。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/176589">法國政府通訊平臺Tchap發生帳號冒用事件，逾7.3萬名公部門人員受影響</a></strong></p> <p>法國政府加密即時通訊平臺Tchap發生安全事件，6月7日有一個Tchap使用者帳號遭冒用，攻擊者藉此查看該帳號可存取的公開對話內容。DINUM表示，已與法國國家資訊系統安全局（ANSSI）協調分析此事，並封鎖涉案帳號，逾7.3萬名公部門人員可能受影響，私人加密對話歷史紀錄未遭存取，但公開聊天室內容可能被查看。</p> <p><strong><a href="https://www.ithome.com.tw/news/176662">冒充官員鎖定CEO！波蘭政府警告大型企業當心社交工程威脅</a></strong></p> <p>偽冒政府官員帳號鎖定企業高層攻擊再添一案，波蘭數位事務部於6月12日發布警訊，有駭客利用WhatsApp與Signal等通訊軟體冒充政府高層，該國境內已發現這類攻擊事件，攻擊者會向國營及私人企業的高階管理者發送訊息。一旦雙方建立聯繫，攻擊者便伺機竊取敏感資料、植入惡意軟體或詐取金錢。由於先前美國、義大利均有傳出這類攻擊活動，此社交工程陷阱已成為全球企業高層不容忽視的資安風險。</p> <p><strong><a href="https://www.ithome.com.tw/news/176664">1Password推執行時憑證派發機制，減少工作負載長期持有權杖</a></strong></p> <p>面對非人類身分管理（NHI）趨勢，1Password發表1Password Credential Broker私有測試版，把憑證管理從人員使用情境延伸到機器工作負載。初期支援GitHub Actions，讓自動建置、測試與部署流程在執行時，依照身分與政策取得所需憑證，減少長期權杖留在環境變數、設定檔或自動化流程中的情況，年底還將延伸到AI代理憑證管理。</p> <p><strong><a href="https://www.ithome.com.tw/news/176605">瘋世足除了防範假門票，也要防範假FIFA與贊助商徵才的網釣活動</a></strong></p> <p><a href="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/zhu_tu_fifa_2026_phishing_fortinet_job_posting_scams.jpg?itok=2B9DPiT1"><img alt="" src="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/zhu_tu_fifa_2026_phishing_fortinet_job_posting_scams.jpg?itok=2B9DPiT1" style="width: 400px; float: right;" /></a></p> <p>網路攻擊者正趁著2026年世界盃足球賽熱潮發動大規模網釣，資安業者FortiGuard警告，駭客不僅註冊大量名稱相近的釣魚網站，利用假門票、假直播及博弈名義誘騙民眾，還會看準賽事的人力需求，假冒FIFA官方職缺與企業贊助商名義發布虛假招募資訊，向求職者發送惡意的行事曆邀請並導向偽造的Google登入頁面，騙取個人網路服務帳密。</p> <p><strong><a href="https://www.ithome.com.tw/news/176641">網路釣魚即服務平臺SniperDz遭瓦解，主要開發者與管理員在阿爾及利亞落網</a></strong></p> <p>資安調查與威脅情報業者Group-IB於6月11日揭露，他們協助國際刑警組織（INTERPOL）與阿爾及利亞警方，瓦解運作近10年的網路釣魚即服務（PhaaS）平臺SniperDz。這起行動是國際刑警組織主導的Operation Ramz的一部分，該行動於2025年10月至2026年2月28日在中東與北非地區13國展開，總計逮捕201名嫌犯，而使用Guedz名號的SniperDz主要開發者與管理員也在阿爾及利亞落網。</p> <h1><strong style="color: rgb(255, 140, 0);">IoT/OT安全</strong></h1> <p><span style="color:#696969;"><strong>關鍵基礎設施面臨的OT安全威脅受矚目，歐盟ENISA今年舉辦的網路安全演習對象鎖定「鐵路」與「海運」兩大交通運輸領域，指出這類產業風險加劇、資安成熟度亟待提升。還有</strong></span><strong style="color: rgb(105, 105, 105);">中國駭客Velvet Ant潛伏隔離網路十年的揭露，加上</strong><span style="color:#696969;"><strong>澳洲Mackay Sugar遭襲導致停擺的事件，更讓相關產業提高警覺。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/176603">中國駭客組織Velvet Ant滲透關鍵基礎設施，潛伏於隔離網路環境近十年</a></strong></p> <p>資安公司Sygnia在11日公布中國駭客組織Velvet Ant發動的Operation Highland攻擊行動，根據他們的調查，Velvet Ant至少從2016年開始，在完全與網際網路隔離的關鍵基礎設施網路潛伏將近十年而未被察覺。Sygnia認為，這是迄今Velvet Ant最為複雜精密的攻擊活動。</p> <p><strong><a href="https://www.ithome.com.tw/news/176600">澳洲第二大製糖業者Mackay Sugar遭網路攻擊，兩糖廠營運停擺並迫使農戶暫停收割</a></strong></p> <p>澳洲第二大製糖公司Mackay Sugar近日遭遇嚴重資安事故，導致昆士蘭麥凱地區其中兩座糖廠營運中斷，製糖與甘蔗運輸作業全面停擺，甚至被迫向麥凱地區的種植者發出「停止收割」的通知。該公司已在官方網站發布資安事故公告，說明正在處理影響部分營運的網路安全事件，證實其農工業OT營運受阻的現況。</p> <p><strong><a href="https://www.ithome.com.tw/news/176636">ENISA歐盟網路演習邁入第八屆，2026聚焦鐵路與海運領域</a></strong></p> <p><a href="/sites/default/files/images/ENISA歐盟網路演習邁入第八屆，2026聚焦鐵路與海運領域.jpg"><img alt="" src="/sites/default/files/images/ENISA%E6%AD%90%E7%9B%9F%E7%B6%B2%E8%B7%AF%E6%BC%94%E7%BF%92%E9%82%81%E5%85%A5%E7%AC%AC%E5%85%AB%E5%B1%86%EF%BC%8C2026%E8%81%9A%E7%84%A6%E9%90%B5%E8%B7%AF%E8%88%87%E6%B5%B7%E9%81%8B%E9%A0%98%E5%9F%9F.jpg" style="width: 400px; float: right;" /></a></p> <p>為了幫助歐盟提升關鍵基礎設施防護水準，歐盟ENISA舉辦第八屆Cyber Europe 2026網路安全演習，特別的是，這次演練對象是「鐵路」與「海運」兩大交通運輸領域，不同於前兩屆聚焦醫療與能源領域。ENISA報告指出，交通部門已連續兩年位居網路攻擊目標前五名，鐵路與海運子部門均屬於利害關係人眾多的複雜生態系，並面臨OT與現代數位系統整合的挑戰，加上涉及軍事物流功能，使其成為更具吸引力的攻擊目標，因此期盼透過這項演習計畫，提升其資安成熟度，強化該領域的應變能力、協作機制與復原韌性。</p> <p><strong><a href="https://www.ithome.com.tw/news/176643">伊朗駭客Handala傳出入侵加州水務公司，洩露GPS基礎設施憑證、客戶個資</a></strong></p> <p>伊朗駭客組織Handala聲稱成功入侵加州水務公司，並公布5 GB資料供買家驗證。該公司是美國投資人持有的大型水利設施，服務約兩百萬名用戶，威脅情報公司Dataminr研究人員認為，入侵管道可能是透過RTKBase平臺，通常僅搭配樹莓派等級的硬體設備架設，該系統的網頁管理介面會直接在內部網路暴露，且缺乏經過強化的身分驗證機制，而被用於建立初期存取管道。</p> <p><strong><a href="https://www.ithome.com.tw/news/176659">MagicAd廣告木馬藏身小米、三星官方商店App</a></strong></p> <p>資安業者Doctor Web揭露一款名為「Android.MagicAd.1」的Android廣告木馬，近期曾潛藏於小米及三星的官方應用程式商店。該木馬的隱匿手法相當特殊，攻擊者將其偽裝成遊戲或工具程式上架後，會在數週內主動下架，隨即以全新的應用程式取而代之，其主要目的很可能是為了規避行動應用商店的審核機制，並降低被資安防護軟體偵測的機率。</p> <p><strong><a href="https://www.ithome.com.tw/news/176565">施耐德電機修補多項高風險漏洞，影響EcoStruxure與PowerLogic等產品</a></strong></p> <p>工業自動化與能源管理業者施耐德電機（Schneider Electric）於6月9日發布3份安全公告，揭露資料中心監控軟體EcoStruxure IT Data Center Expert、遠端終端裝置與控制器EasyLogic T150／Saitel DP RTU，以及電力保護與控制平臺PowerLogic P7的多項漏洞，並針對受影響產品提供已修補的版本。</p> <p> </p> </div></div></div>
6/18 18:29作者羅正漢https://www.ithome.com.tw/news/176729
經濟部發布2025全國電力資源供需報告，AI資料中心首度被單獨納入用電預測，並示警將推升夜尖峰負載
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>經濟部能源署今天(6/18)發布「114年度全國電力資源供需報告」，首度將「AI資料中心用電」單獨列為未來幾年的電力需求預測的重要變數之一，並進一步指出AI科技與雲端資料服務需求增加，將推升未來夜間尖峰負載。這顯示在生成式AI快速發展帶動下，政府已將AI資料中心視為獨立且長期存在的電力需求來源，而非僅是半導體產業擴產所衍生的附屬用電。</p> <p>報告指出，在評估未來10年電力需求時，已納入主計總處經濟成長預測、半導體產業擴廠、AI資料中心用電、氣溫變化及深度節能推動等因素，以推估未來10年(2026年到2035年)的電力需求年均成長率預估為2.5%，為歷年預測中第二高的成長水準，且高於日本、韓國等亞鄰國家。</p> <p><strong><span style="font-size:22px;"><span style="color:#B22222;">AI資料中心用電獨立為未來用電成長預估變數之一</span></span></strong></p> <p>相較於前一年度的報告主要以AI科技發展、高效能運算（HPC）及半導體產業需求作為用電成長驅動因素，此次報告直接點名AI資料中心，顯示能源署已將AI算力基礎設施納入國家電力規畫的重要考量之一。</p> <p>值得注意的是，該報告除了將AI資料中心納入需求模型，也將AI發展與夜間供電壓力直接連結。報告指出，隨著新興AI科技發展及雲端資料服務需求攀升，將帶動半導體與電子資通訊產業用電持續成長。其中，2026年夜尖峰負載預估將達38,840MW，較2025年的36,888MW增加約1,952MW，預估2035年達到47,948MW。</p> <p><img alt="" src="/sites/default/files/images/%E6%93%B7%E5%8F%96(41).JPG" style="width: 706px; height: 654px;" /></p> <p>相較於傳統製造業多集中於白天生產，AI資料中心及大型算力叢集通常採24小時不間斷運作模式，即使夜間仍需維持大量GPU與伺服器運轉，因此其對夜間電力系統造成的影響遠高於一般工業負載。這也是近年美國、歐洲及亞洲多國在規畫AI資料中心時，開始將電網容量、儲能設備與穩定電源供應視為關鍵投資條件的原因。</p> <p>為因應AI與新興科技等變數帶來用電需求可能增加，規畫至2035年前新增約2萬5,980MW燃氣機組，並保留部分原本規畫除役機組作為備用電源，以增加電力系統調度彈性。報告也提到，政府將持續擴大再生能源、儲能系統及需求面管理措施，以因應AI科技發展帶來的新型態負載需求。</p> <p>從報告內容可以看出，政府對AI帶動用電成長的觀察已出現轉變。過去討論焦點多集中在AI帶動半導體產業擴產，現在進一步將AI資料中心本身視為重要電力需求來源之一。隨著生成式AI應用普及及算力需求持續攀升，AI基礎設施對電網、能源供應與電力調度的影響，已逐漸成為國家能源政策的重要課題。</p> </div></div></div>
6/18 19:07作者蘇文彬https://www.ithome.com.tw/news/176734
Sailpoint有意併購Entro，整合企業AI三大身分安全管理技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p style="margin-left:.05pt;">以身分安全與治理解決方案著稱的供應商SailPoint，繼2025年8月<strong><a href="https://investor.sailpoint.com/news-releases/news-release-details/introducing-sailpoint-accelerated-application-management">買下以色列資安新創公司Savvy Security的關鍵資產</a></strong>，獲得SaaS應用系統透視與監控機制，協助用戶即時強化識別身分風險與內部威脅，今年6月他們宣布<strong><a href="https://www.sailpoint.com/press-releases/sailpoint-announces-intent-to-acquire-entro-security">併購另一家以色列資安新創公司Entro Security</a></strong>，目的是鞏固SailPoint在人類、機器和AI代理等類型身分的治理能力，交易預計於2027會計年度的第三季完成。</p> <p style="margin-left:.05pt;">Entro是專精於非人類身分（NHI）與存取資格（credentials）安全領域的廠商，完成與SailPoint的併購後，可藉由該公司技術擴充與加速發展SailPoint <strong><a href="https://www.sailpoint.com/press-releases/sailpoint-launches-agentic-fabric">剛推出不久的Agentic Fabric</a></strong>，因為該項解決方案就是針對大量AI代理與非人類身分治理需求的產品。</p> <p style="margin-left:.05pt;">SailPoint本週預告Agentic Fabric將整合Entro的三大技術，首先，<strong><a href="https://entro.security/solutions/discovery-inventory/">是廣泛的身分與憑證探查能力</a></strong>，SailPoint可針對AI代理工作流程與實際運作的邊界，實施更深層、政策驅動的身分治理。</p> <p style="margin-left:.05pt;">基本上，Entro不需購透過代理程式的安裝，即可掌握AI代理與機器身分執行任務所用的特定工具、API及憑證，因此能大幅擴增SailPoint系統的涵蓋範圍，包括超過1,000種非人類或AI代理類型，可探索雲端服務、開發者工具、CI/CD管線流程、SaaS或協同運作系統，能橫跨 70種以上企業重要環境，並支援1,200種以上的身分存取資格，例如密碼、金鑰、權杖、數位憑證等。</p> <p style="margin-left:.05pt;"><img alt="" src="/sites/default/files/images/Entro%20Side-image.png" style="width: 298px;" /> <a href="/sites/default/files/images/Entro nhi-Inventory.png"><img alt="" src="/sites/default/files/images/Entro%20nhi-Inventory.png" style="width: 298px;" /></a></p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/Entro Secrets-Inventory.png"><img alt="" src="/sites/default/files/images/Entro%20Secrets-Inventory.png" style="width: 600px;" /></a></p> <p style="margin-left:.15pt;">Sailpoint打算整合的第二項技術，在於<strong><a href="https://entro.security/solutions/classification/">前後文脈絡與人員所有權的歸屬關聯能力</a></strong>。因為一旦完成探索企業環境的各種身分，接著就是將這些對應至人員身分，以便確認其責任歸屬的對象，SailPoint本身具有原生的身分情報處理能力，Entro可提供中繼資料（metadata）充實SailPoint系統所探查到的資料，如此即可對應確切的相互關係、許可權限、使用情況與影響範圍，Sailpoint認為，透過上述的深層譜系對應方式，可協助企業將繁複的非人類身分追溯至持有這些機制的人員，若以此結合Sailpoint本身的企業級存取認證與生命週期治理能力，可促使企業實現自動且封閉循環的修復作業，以及強制實施零常設權限（zero-standing privileges）。</p> <p style="margin-left:.15pt;"><a href="/sites/default/files/images/Entro Relationship-Mapping.png"><img alt="" src="/sites/default/files/images/Entro%20Relationship-Mapping.png" style="width: 298px;" /></a> <a href="/sites/default/files/images/Entro End-to-end-visibility.png"><img alt="" src="/sites/default/files/images/Entro%20End-to-end-visibility.png" style="width: 298px;" /></a></p> <p style="margin-left:.15pt;">第三項Sailpoint整合的技術，則是即時偵測與主動防護。對於企業而言，非人類身分一旦完成註冊與列管的程序後，理應受到即時防護，Entro本身提供<strong><a href="https://entro.security/solutions/nhidr/">專屬的非人類身分偵測與應變（NHIDR）功能</a></strong>，可協助Sailpoint用戶持續監控AI代理與機器身分，即時確認是否出現行為異常，藉此及早察覺授與過高權限的存取活動，進而落實最小特權，也能自動緩解威脅。</p> <p style="margin-left:.15pt;"><a href="/sites/default/files/images/Entro Side-image-1.png"><img alt="" src="/sites/default/files/images/Entro%20Side-image-1.png" style="width: 298px;" /></a> <a href="/sites/default/files/images/Entro Group-2085662597.png"><img alt="" src="/sites/default/files/images/Entro%20Group-2085662597.png" style="width: 298px;" /></a></p> </div></div></div>
6/18 19:17作者李宗翰https://www.ithome.com.tw/news/176735
Midjourney從AI影像生成跨入醫療影像，計畫以水中超音波進行全身高速掃描
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>知名AI影像生成服務開發商Midjourney宣布成立<strong><a href="https://www.midjourney.com/medical/blogpost">Midjourney Medical</a></strong>，跨入醫療影像硬體領域，計畫開發名為Midjourney Scanner的全身超音波掃描系統。該設備不使用輻射或強磁場，而是以水與聲波進行掃描，目標是在約60秒內完成全身掃描，建立身體內部的3D影像資料。Midjourney計畫以Midjourney Spa形式提供這項掃描服務，第一個據點預計2027年底在舊金山開設。</p> <p>Midjourney將該技術稱為Ultrasonic CT，或稱全身超音波（full-body ultrasound）。官方說明，使用者會站在平臺上，平臺沿軌道下降進入水中，身體通過一圈水下超音波感測器，系統從不同角度發出超音波並接收回波，再根據聲波穿過水、皮膚、脂肪、肌肉與骨骼等不同介質時產生的變化，重建身體內部影像。</p> <p>官方解釋，由於掃描器會產生大量聲波資料，系統必須先將這些資料重建為影像，再透過AI影像分割標示身體結構。不過，在這次公告中，Midjourney並未進一步公開相關技術細節。</p> <p>Midjourney Medical目前仍處於早期階段，相關醫療用途也涉及監管門檻。官方表示，具診斷能力的醫療功能通常需要FDA核准，因此初期會先提供身體組成圖，並持續向FDA提交測試結果，以爭取後續能力。</p> </div></div></div>
6/18 17:58作者李建興https://www.ithome.com.tw/news/176732
愛沙尼亞擬替AI代理建立官方數位身分
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>以<a data-saferedirecturl="https://www.google.com/url?q=https://www.ithome.com.tw/news/124696&source=gmail&ust=1781861456709000&usg=AOvVaw1xhCKGc7yM2-T7TJIPZcR7" href="https://www.ithome.com.tw/news/124696" target="_blank">數位治國聞名</a>的愛沙尼亞（Estonia），正在研擬替AI代理（AI agent）建立官方的數位身分機制。<a data-saferedirecturl="https://www.google.com/url?q=https://valitsus.ee/en/news/prime-minister-michal-estonia-become-first-country-create-digital-identities-ai-agents&source=gmail&ust=1781861456709000&usg=AOvVaw20xevLDsJYHeus4Pkh7Ja2" href="https://valitsus.ee/en/news/prime-minister-michal-estonia-become-first-country-create-digital-identities-ai-agents" target="_blank">愛沙尼亞政府於6月17日公<wbr></wbr>告指出</a>，該國Eesti.ai諮詢委員會同意推動AI代理數位身<wbr></wbr>分，他們將其命名為AI身分碼（AI ID codes），讓AI代理未來能在明確權限範圍內，代表個人、<wbr></wbr>企業或機構行動，且相關行為可被控管與稽核。</p> <p>該國總理Kristen Michal認為，AI未來將愈來愈常代表我們執行數位操作的任務，例如撰寫報告、準備申報資料，<wbr></wbr>或與資訊系統互動，因此政府必須建立可識別、<wbr></wbr>可授權與可追蹤的治理基礎，釐清AI代理的身分、代表對象、<wbr></wbr>權限範圍與責任歸屬。</p> <p>這項計畫是愛沙尼亞國家AI倡議Eesti.ai的一部分。<a data-saferedirecturl="https://www.google.com/url?q=https://eesti.ai/en/news/government-launched-eestiai-initiative-together-leading-entrepreneurs&source=gmail&ust=1781861456709000&usg=AOvVaw2ijFk1p4ET6WN_EUPDx3sI" href="https://eesti.ai/en/news/government-launched-eestiai-initiative-together-leading-entrepreneurs" target="_blank">愛沙<wbr></wbr>尼亞政府於2026年1月宣布</a>與企業界共同啟動Eesti.ai<wbr></wbr>，目標是透過系統性導入AI，提高各產業工作價值與經濟競爭力。</p> <p>由美國、英國、加拿大、澳洲及紐西蘭組成的五眼聯盟，<a data-saferedirecturl="https://www.google.com/url?q=https://www.ithome.com.tw/news/175530&source=gmail&ust=1781861456709000&usg=AOvVaw0nEoep6XBKTTGsEaOnz1k_" href="https://www.ithome.com.tw/news/175530" target="_blank">在今年5月<wbr></wbr>制定的代理式AI安全指引中</a>，也建議組織應為每個AI代理建立獨立的數位身分（<wbr></wbr>具有唯一金鑰或憑證，且運用密碼學固定的身分），並採取強化身分驗證、最小權限與持續監控的管理原則。<wbr></wbr>愛沙尼亞則是在國家AI發展計畫架構下，將AI代理的身分管理、<wbr></wbr>授權邊界與責任歸屬，納入數位身分制度設計的一環。</p> </div></div></div>
6/18 18:02作者王珮瑤https://www.ithome.com.tw/news/176733
MedTech醫療科技雙周報第51期：健保署今年將擴增LOINC上傳欄位、醫學中心優先試傳
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><span style="color: rgb(0, 0, 255);">重點新聞（0601～0615 ）</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">健保署 </span> </strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">LOINC </span> </strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">健康存摺 </span></strong></span></p> <p><span style="font-size:22px;"><strong>健保署今年將擴增LOINC上傳欄位、醫學中心優先試傳</strong></span></p> <p>在日前衛福部LOINC成果發表大會上，健保署署長陳亮妤揭露健保署導入LOINC國際標準的推動方向，包括今年將擴增LOINC上傳欄位，由醫學中心優先試行上傳，並規畫在雲端藥歷與健康存摺中顯示LOINC資訊。明年則將透過獎勵機制，鼓勵更多醫院上傳LOINC資料。</p> <p>LOINC是一套醫學檢驗檢查專用的國際標準代碼系統，總計超過10萬筆代碼，可用於精準描述檢驗檢查項目。臺灣醫界對LOINC並不陌生，早在2007年，衛生署資訊中心就輔導特定醫院進行電子病歷交換和LOINC導入試辦，也建立初步的NHI-LOINC對照資料庫。到了2013至2016年，疾管署推動防疫雲計畫，傳染病通報採用LOINC代碼，也成功輔導20家醫學中心使用。去年，衛福部資訊處進一步推動LOINC標準統一專案，由醫檢學會執行，集結了35家醫院、154位專家，共同完成5,050筆LOINC對照表，涵蓋約99%的健保核價檢驗項目。</p> <p>隨著LOINC對照表完成，健保署也加入推動行列。現階段除了鼓勵醫院以LOINC代碼上傳資料外，也將優先聚焦癌症精準醫療與NGS基因檢測等應用場景，要進一步提高檢驗資料標準化程度和跨院資料交換能力。</p> <p><img alt="" src="/sites/default/files/images/%E6%9C%AA%E4%BE%86%E5%B1%95%E6%9C%9B.JPG" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">衛福部 </span> </strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">LOINC </span> </strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">FHIR </span></strong></span></p> <p><span style="font-size:22px;"><strong>衛福部完成5,050筆LOINC對照表，要打造全國共通檢驗語言</strong></span></p> <p>為解決醫院檢驗資料格式不一、難以交換的問題，衛福部近日公布全國醫學檢驗資料標準化成果，完成5,050筆臺灣版LOINC對照表，涵蓋近99%的健保核價檢驗項目。</p> <p>LOINC是國際通用的醫學檢驗標準，但資料庫收錄超過10萬筆代碼，同一項檢驗還可能因檢體來源、檢驗方法或用途不同而對應不同代碼。過去各醫院往往得自行比對與維護，不僅耗時，也容易出現不一致情況。</p> <p>這次專案由衛福部資訊處與臺灣醫事檢驗學會共同推動，集結數十家醫院、154位專家與檢驗廠商參與，從超過3.9萬筆候選資料中完成編碼作業，並透過AI工具輔助整理，最終建立全國共用的LOINC對照表。</p> <p>除了對照表，衛福部也同步開發FHIR格式轉換工具與API模組，並完成與主要HIS、LIS系統廠商的介接測試。未來醫院可直接引用這套成果，減少重複建置成本。衛福部資訊處處長李建璋表示，統一檢驗資料標準，不只有助於跨院病歷交換、減少重複檢驗，也將成為FHIR病歷互通、精準醫療及醫療AI發展的重要基礎。<a href="https://www.ithome.com.tw/news/176573">（詳全文）</a></p> <p><img alt="" src="https://www.ithome.com.tw/sites/default/files/images/IMG_8050%E6%8B%B7%E8%B2%9D.JPG" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">韓國 </span> </strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">AI新藥開發 </span> </strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">癌症研究 </span></strong></span></p> <p><span style="font-size:22px;"><strong>韓國國家癌症中心打造AI虛擬試驗場，要提早預測癌症藥物療效</strong></span></p> <p>韓國國家癌症中心（NCC）正在開發一套生成式AI模型Biological World Model，要模擬藥物在類器官與動物模型中的反應，來提高癌症新藥開發成功率。</p> <p>這是因為，新藥研發長期面臨一項挑戰：許多藥物在細胞實驗中有效，但進入動物試驗甚至人體試驗後，卻失敗無效。NCC指出，人體生理機制十分複雜，實驗室環境無法完全重現真實情況，因此藥物效果往往難以預測。</p> <p>為此，研究團隊希望透過AI學習大量細胞實驗結果，再進一步預測藥物進入更接近人體環境的類器官與動物模型後，癌細胞如何變化，以及哪些基因會被活化或抑制。若研究成功，AI可望成為新藥開發的「虛擬試驗場」，在進入昂貴且耗時的臨床前試驗前，提早篩選出較有潛力的候選藥物。</p> <p>這項計畫是韓國科學技術資訊通信部（MSIT）4年期AI科研創新計畫的一部分。NCC表示，未來除了加速癌症新藥研發，也有機會進一步支援個人化癌症治療。<a href="https://www.koreabiomed.com/news/articleView.html?idxno=31904">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Mayo Clinic </span> </strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">微軟 </span> </strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">醫療AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>梅約醫學中心聯手微軟打造醫療專屬AI基礎模型</strong></span></p> <p>美國梅約醫學中心（Mayo Clinic）日前與微軟展開策略合作，要開發專為醫療場景設計的AI基礎模型，結合Mayo Clinic的臨床專業知識、去識別化病歷資料與長期健康資料，以及微軟的AI、雲端與運算能力，來打造能支援臨床推理的新一代醫療AI。</p> <p>有別於通用的大型語言模型，這款模型將以醫療情境為核心設計，可整合病歷、檢驗、影像等多種臨床資料，協助醫師進行更早期診斷、個人化治療決策及複雜病例分析。Mayo Clinic表示，模型將先部署於院內臨床環境，持續驗證與調整，再逐步擴大應用範圍。</p> <p>其中，該模型將由Mayo Clinic持有，以確保病患信任、臨床治理和資料使用符合醫療規範。未來微軟也計畫透過Azure Foundry API提供相關能力，讓其他醫療機構與開發者能使用這套醫療AI模型。<a href="https://news.microsoft.com/source/2026/06/02/mayo-clinic-and-microsoft-collaborate-to-develop-a-frontier-ai-model-for-healthcare/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">醫療AI </span> </strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">癌症篩檢 </span> </strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">CommonSpirit Health </span></strong></span></p> <p><span style="font-size:22px;"><strong>AI揪出被忽略的癌症篩檢個案，美醫療體系肺癌篩檢率提高至9成</strong></span></p> <p>美國大型醫療體系CommonSpirit Health日前與HIMSS旗下媒體分享AI落地成果，其醫療資訊長John Chelico表示，在醫護人力短缺下，AI最重要的角色不是取代醫師，而是協助完成大量重複性工作，讓醫護能把更多時間投入病患照護。</p> <p>其中一項應用是癌症篩檢。AI會在病人看診前自動分析病歷，找出乳癌、大腸癌及肺癌篩檢機會，減少人工查閱病歷負擔。該計畫最初在美國西北地區推動，肺癌篩檢遵從率從約20%提高至90%以上。</p> <p>另一項應用則是分析放射科報告中的意外發現（Incidental Findings）。例如有病患因車禍接受檢查時，AI從影像報告中發現肺結節並提醒醫療團隊追蹤，後續成功診斷出肺癌並及早治療。John Chelico表示，許多醫師本來就希望進行更完整的篩檢與追蹤，但受限於時間與人力，往往難以全面執行。</p> <p>AI能協助擴大這些工作的規模，但最終診療決策仍應由人類負責。John Chelico認為，AI最大的價值之一，在於協助醫療機構將原本做不到或做不完的工作流程規模化，同時維持臨床人員的監督與決策角色。<a href="https://www.healthcareitnews.com/news/ai-can-help-close-workforce-gaps-while-keeping-humans-loop">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">BTC </span> </strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">FHIR </span> </strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">健康資料 </span></strong></span></p> <p><span style="font-size:22px;"><strong>BTC預備會議聚焦AI生技、健康資料與FHIR病歷互通，8月將討論跨域治理</strong></span></p> <p>行政院日前召開2026年生技產業策略諮議委員會（BTC）預備會議，盤點AI生技、健康資料、智慧醫療及精準健康等多項推動成果，並預告8月底BTC大會將進一步討論科技跨域應用與法規治理議題。</p> <p>會中聚焦6大方向，包括AI與半導體跨域應用、健康資料整合與創新應用、智慧醫療數位轉型、創新醫藥與精準健康、人才培育與國際合作，以及投資與產業發展。其中，健康資料與智慧醫療仍是重要主軸。</p> <p>行政院再次點名FHIR資料交換標準與FHIR Box病歷互通平臺等建設進展。近年衛福部持續推動TW Core IG、FHIR高效能伺服器競賽、FHIR聯測松及SMART on FHIR應用生態系，要建立全國共通的醫療資料交換基礎。</p> <p>此外，FHIR Box也被列為未來病歷互通的重要數位底盤。衛福部規畫2026年底完成全臺醫學中心部署，2027年底擴大至區域及地區醫院，作為推動跨院病歷交換、精準醫療與醫療AI的重要基礎設施。<a href="https://www.nstc.gov.tw/folksonomy/detail/2e824668-7eaf-408c-90cd-fa5758fd94a2?l=ch">（詳全文）</a></p> <p><img alt="" src="https://www.nstc.gov.tw/nstc/attachments/e9ab7970-5765-4f55-8cd5-a783cac34db3" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">FHIR </span> </strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">TW Connectathon </span> </strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">IPS </span></strong></span></p> <p><span style="font-size:22px;"><strong>臺灣FHIR聯測松開跑：從TW Core驗證到跨國病歷交換</strong></span></p> <p>臺灣FHIR聯測松（TW Connectathon 2026）日前登場，共吸引47家機構、52支團隊參與。今年主題除了聚焦癌症用藥事前審查、SMART on FHIR應用授權，還進一步擴大到國際病人摘要（IPS）等場景，代表FHIR發展正從實際應用走向跨國互通。</p> <p>今年聯測涵蓋4大主題。首先是TW Core FHIR能力驗證，確認醫院與系統業者能否將資料轉換為符合臺灣FHIR核心實作指引的格式；其次是健保署推動的癌症用藥事前審查（PAS），驗證FHIR支援癌藥申請、補件與申復流程。</p> <p>第三個主題聚焦SMART on FHIR與IHE IUA授權機制，測試醫療App跨系統存取資料的能力；第四個則是國際病人摘要（IPS），驗證跨國病歷交換情境。IPS由HL7與世界衛生組織（WHO）共同推動，目標是讓病人在海外就醫時，也能以標準格式快速分享重要病歷資訊。目前臺灣已與日本、韓國及澳洲合作推動亞太病人摘要聯盟（AP IPS），今年合作範圍將擴大到拉丁美洲，明年則延伸至歐洲。IPS除了能支援海外就醫，還能結合數位皮夾、保險理賠和電子處方箋等應用場景。</p> <p>主辦單位表示，未來聯測將持續擴大應用範圍，包括電子處方箋、次世代基因定序（NGS）資料交換，以及跨院FHIR互通驗證，要建起兼顧標準驗證與實務落地的醫療互通生態系。<a href="https://www.ithome.com.tw/news/176495">（詳全文）</a></p> <p><img alt="" src="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/cover_72.jpg?itok=zrjbeeHr" style="height: 420px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">醫療AI </span> </strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">臨床決策支援 </span> </strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Duke Health </span></strong></span></p> <p><span style="font-size:22px;"><strong>Duke研究：AI臨床決策工具要長久使用，關鍵在讓醫護看見價值</strong></span></p> <p>美國杜克大學醫療體系（Duke Health）近期研究發現，AI臨床決策支援系統（CDS）能否長期被醫護採用，關鍵不只在模型準確度，更在於使用者是否能感受到實際效益。</p> <p>研究團隊以Epic的再住院風險預測模型為例，分析個案管理師、治療師及醫師的使用行為。結果發現，許多AI工具初期因政策要求、教育訓練或績效壓力而快速導入，但隨著目標達成、關注焦點轉移或新人未接受完整訓練，使用率往往逐漸下滑。</p> <p>研究指出，若醫護能明確感受到AI帶來的好處，例如改善出院規畫、提升團隊溝通效率或降低病人再住院風險，工具較容易持續被使用。然而，許多AI預測的是低頻事件，例如再住院，因此成效不容易立即被看見，導致使用意願下降。</p> <p>研究團隊因此提出，AI導入不應只是一次性部署，而應持續透過教育訓練、工作流程調整及成效回饋來維持使用動能。他們也正在開發模擬模型，希望協助醫院評估不同訓練策略、組織變動或工作負荷對AI採用率的長期影響。研究者認為，醫療機構評估AI投資時，除了關注模型表現，更應重視如何將工具真正融入臨床工作流程，才能讓AI從試點專案走向日常實務。<a href="https://humanfactors.jmir.org/2026/1/e87522">（詳全文）</a></p> <p><img alt="" src="https://asset.jmir.pub/assets/e4070cdf53ebdf0c47f96575078484ca.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">醫療AI </span> </strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">人口健康管理 </span> </strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Prisma Health </span></strong></span></p> <p><span style="font-size:22px;"><strong>Prisma Health用AI找出高風險病人，住院率降75%</strong></span></p> <p>美國醫療體系Prisma Health近期與HIMSS旗下媒體分享AI人口健康管理成果。他們整合電子病歷、理賠資料、用藥紀錄及即時住院訊息，建立縱向病人資料庫，並透過AI持續計算綜合風險分數，提前找出需要介入的高風險病人。</p> <p>這套風險模型不只考量疾病與住院紀錄，也納入用藥遵從性、預防保健執行情況，以及交通、住房、糧食安全等健康社會決定因子（SDOH）。系統會根據病人的主要風險來源，自動分派給護理師、藥師、社工師或心理健康管理人員等不同專業團隊介入。</p> <p>相較於過去等到病人急診、住院後才介入，Prisma Health希望在病情惡化前就啟動照護。該院目前已有約3.4萬名慢性病與高風險病人納入照護團隊管理，並有超過1.4萬人參與遠距病人監測計畫。</p> <p>根據Prisma Health統計，接受整合照護管理的病人，總醫療支出下降66%，住院率下降75%，再住院率下降70%，急診就醫率下降58%。此外，高血壓遠距監測計畫也讓病人的平均收縮壓下降21.6 mmHg。Prisma Health表示，真正的轉變不只是導入AI，而是利用資料與風險預測能力，讓照護團隊從「事件發生後處理」，轉向「事件發生前預防」，將有限的人力優先投入最需要協助的病人身上。<a href="https://www.healthcareitnews.com/news/how-prisma-health-turned-data-frontline-care-strategy">（詳全文）</a></p> <p>圖片來源／Duke Health、國科會</p> <p>攝影／王若樸</p> <p>資料來源：iThome整理，2026年6月</p> </div></div></div>
6/18 13:07作者王若樸https://www.ithome.com.tw/news/176723
Databricks Genie整合Slack、Teams並支援MCP，新增企業任務執行能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><strong><a href="http://www.databricks.com/blog/introducing-genie-one-genie-ontology-and-genie-agents">Databricks擴大Genie功能與角色</a></strong>，推出Genie One、Genie Agents與Genie Ontology，將原本Databricks AI/BI中的對話式分析助理，擴展成可連結企業資料、文件與工作工具，並協助執行任務的AI工作助理，讓使用者用自然語言查詢資料，並能把查詢結果帶入排程、提醒、文件產生與外部系統操作等企業工作流程。</p> <p>Genie One是主要使用入口，Databricks表示，Genie One可透過Lakehouse Federation、Lakeflow Connect，以及Gmail、Slack、Microsoft Teams等企業工具整合，連結企業資料與日常工作環境。使用者可在Slack或Teams中提及Genie，以自然語言詢問資料問題，也可在公開頻道或討論串中使用，使團隊在原本的溝通情境中取得回覆。Databricks也推出iOS與Android行動App，並提供Genie MCP App，讓已採用其他AI代理或自建助理的組織，透過MCP取得Genie能力。</p> <p>Genie Agents讓既有Genie Spaces從特定主題的聊天體驗，變成可執行多步驟工作的領域型（domain-specific）AI代理。Databricks表示，客戶已建立超過100萬個Genie Spaces，升級後團隊可用一段提示詞建立代理，設定使用範圍、進行基準測試，再分享給同事使用。Genie Agents可使用MCP連線、排程任務、文件與構件產生，以及寫入外部系統等工具，處理多步驟工作，也能同時參照結構化資料與文件、檔案等非結構化知識來源。</p> <p>Genie Ontology則為自動化企業脈絡層，是上述功能的基礎，會從資料表、查詢、儀表板、資料管線與連接的企業應用中抽取知識片段，整理成描述企業資料含義、指標定義、業務術語、計算邏輯，以及概念、指標、資料表與團隊關係的脈絡圖。Genie Ontology也會以類似PageRank的方式評估來源權重，納入定義來源、作者權威性、使用頻率、與認證資產的關聯及資料新鮮度，協助Genie判斷應優先採用哪些來源回答問題。</p> <p>Databricks引用2026年6月內部基準測試，稱在28題真實企業資料分析任務中，Genie首答正確率為84.5%，高於Databricks匿名比較的通用程式碼代理，其中最強者為52.4%，最弱者為25%。Databricks同時稱，Genie在維持準確率的情況下，延遲低於比較對象，速度比其中最強的通用程式碼代理快2倍。</p> </div></div></div>
6/18 16:36作者李建興https://www.ithome.com.tw/news/176728
AI驅動ESG轉型，資誠：數據治理成製造業強化永續競爭力的關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在歐盟碳邊境調整機制（CBAM）逐步上路、國際品牌供應鏈永續要求持續升高，以及ESG揭露規範日趨嚴格的背景下，製造業正面臨新一波數位與永續雙軸轉型挑戰。過去以人工彙整資料、試算表管理永續資訊的模式，已難以支撐企業未來的揭露、查核與決策需求。如何建立可信、可追溯且可驗證的數據治理能力，已成為企業推動淨零轉型與維持全球競爭力的重要基礎。</p> <p>資誠永續發展服務指出，AI與ESG的結合已不再只是導入新技術，而是企業重新建構治理架構、提升數據品質與強化營運韌性的關鍵工程。</p> <h2 dir="ltr" style="line-height:1.38;margin-top:18pt;margin-bottom:4pt;"><span style="font-size:22px;"><span style="color:#B22222;"><strong><span id="docs-internal-guid-3a25958c-7fff-d6ce-0bd1-5ce7a58e7446"><span style="font-family: Arial, sans-serif; background-color: transparent; font-weight: 700; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; vertical-align: baseline; white-space-collapse: preserve;">ESG治理的核心挑戰已從資料蒐集轉向數據治理</span></span></strong></span></span></h2> <p>隨著永續資訊揭露從自願性走向制度化，企業面臨的最大挑戰不再只是蒐集資料，而是如何確保資料的完整性、一致性與可信度。</p> <p>資誠永續發展服務協理廖樺懋指出，在全球永續共識、AI技術成熟與法規監管三道力量驅動下，製造業過去仰賴人工彙整、試算表管理ESG資料的模式已難以因應未來的揭露、查核與決策需求。企業需要透過AI、自動化數據平臺與跨部門治理機制，提升碳數據品質、能源使用效率與製程管理能力，以將ESG從被動合規推向主動創造價值。</p> <p>由於ESG資料分散於財務、採購、生產、品保、資訊及供應鏈等不同部門，如果缺乏跨部門協作機制與標準化管理流程，容易形成資訊孤島，也可能導致揭露數據與實際營運狀況產生落差，提高查核風險與合規成本。</p> <p>因此，企業推動ESG數位轉型的關鍵，不再只是建置系統，而是建立完整的數據治理架構，包括資料來源管理、數據標準制定、權責分工、品質控管與稽核機制。</p> <p dir="ltr" style="line-height:1.38;margin-top:12pt;margin-bottom:12pt;"><strong><span style="color:#B22222;"><span style="font-size:22px;"><span id="docs-internal-guid-3a25958c-7fff-d6ce-0bd1-5ce7a58e7446"><span style="font-family: Arial, sans-serif; background-color: transparent; font-weight: 700; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; vertical-align: baseline; white-space-collapse: preserve;">製造業的三大AI應用場景</span></span></span></span></strong></p> <p>資誠指出，製造業推動ESG應優先推動三大AI應用場景，智慧能源管理、碳盤查與供應鏈追蹤，以及製程優化與資源效率提升。</p> <p>以能源管理為例，運用AI分析工廠、機臺與資料中心的能源使用數據，進行即時監控、異常偵測及用電預測，找出能源浪費環節並優化能源配置。若建立完整的數據治理基礎，更可進一步形成能源管理決策模型。</p> <p>在碳盤查方面，AI可協助企業自動蒐集與驗證來自不同系統與供應商的排放數據，提高範疇一、範疇二及範疇三碳排放資料的完整性與可信度。不只是有助於降低人工作業負擔，也可提升碳資訊的可追溯性與稽核效率。</p> <p>而在製程優化上，AI透過視覺檢測、預測性維護及參數最佳化分析，降低不良率與材料浪費的情形。資誠指出，這類應用的成功關鍵，同樣建立於高品質數據與治理制度上。</p> <p>國內外已有企業整合AI與ESG，例如友達運用AI視覺檢測降低製程廢棄物，並建立碳管理平臺追蹤產品碳足跡；台達電透過AI能源管理平臺推動能源可視化與最佳化。而ASML利用AI提升EUV設備能源效率與供應鏈碳排管理；英特爾將AI應用於能源管理、水資源優化與預測性維護等等。</p> <p>上述案例顯示，AI除了提升生產效率、降低營運風險，也能用降低碳排，強化企業在全球供應鏈中的競爭力。</p> <h2 dir="ltr" style="line-height:1.38;margin-top:18pt;margin-bottom:4pt;"><span style="font-size:22px;"><strong><span style="color:#B22222;"><span id="docs-internal-guid-3a25958c-7fff-d6ce-0bd1-5ce7a58e7446"><span style="font-family: Arial, sans-serif; background-color: transparent; font-weight: 700; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; vertical-align: baseline; white-space-collapse: preserve;">推動AI與ESG整合的4大挑戰</span></span></span></strong></span></h2> <p>資誠點出企業推動AI與ESG整合面臨的4大挑戰，範疇三、揭露成本、跨部門整合與漂綠風險。</p> <p>其中的範疇三，因排放資料涉及大量的供應商與上下游廠商，排放資料分散複雜且標準不一，資料的完整及可信度是企業推動碳管理最大的挑戰之一。其次是，隨著法規揭露的要求增加，企業面臨的驗證與查核成本持續上升，缺乏系統化數據治理機制，將難以有效控管作業成本。</p> <p>不只是供應鏈排放資料複雜且分散，企業內部的ESG資料跨部門整合也是一項挑戰，各部門各自管理資料，容易出現數據定義不一致與責任歸屬不明等問題。</p> <p>漂綠風險方面，監管機關與投資人逐漸重視資訊透明度及可信的情況下，企業宣稱的ESG資訊都必須具備可追溯、可驗證及可稽核的數據基礎。缺乏治理機制的永續數據，不僅無法創造價值，反而可能衍生聲譽與法遵風險。</p> <p><span style="font-size:22px;"><span style="color:#B22222;"><strong>未來幾年AI與ESG整合的3個重要發展方向</strong></span></span></p> <p>展望2026年至2030年，資誠認為有3個重要的發展方向，包括生成式AI逐步進入企業治理核心，協助企業進行ESG報告撰寫、法規分析、風險辨識及資訊揭露。另外，企業內部推動碳定價機制，將碳成本納入營運決策核心。還有，AI與循環經濟的結合，從材料辨識、低碳設計、產品生命周期，從源頭降低碳排及廢棄物的產生。</p> <p>資誠建議製造業因應永續及科技轉型可加速3方面的布局，包括整合全價值鏈，從企業內部營運乃至供應商、客戶與產品生命週期，建立端到端碳管理與永續治理機制；建立可蒐集數據、追蹤、驗證，同時支援決策的數據基礎；主動掌握國內外法規、倡議、揭露準則的發展動向。</p> <p>資誠認為AI是ESG落地的加速器，也是對企業治理能力的壓力測試。未來製造業的競爭，不只是產品品質與成本的競爭，還包括碳管理能力、供應鏈透明度與治理成熟度的競爭。資誠建議，企業可檢視自身的ESG數據管理的成熟度、建立跨部門治理機制、導入AI與數位工具，並將碳成本納入策略決策。</p> <p> </p> </div></div></div>
6/18 17:14作者蘇文彬https://www.ithome.com.tw/news/176720
AWS推出Context知識圖譜與Continuum資安代理人服務，強化企業AI代理人部署
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Amazon Web Services（AWS）周三（6/17）在AWS Summit New York 2026宣布推出兩項AI代理人（Agent）相關服務，<a href="https://aws.amazon.com/tw/blogs/machine-learning/context-intelligence-for-your-data-and-ai-agents-at-scale/" target="_blank">包括可自動建立企業知識圖譜的AWS Context</a>，以及<a href="https://aws.amazon.com/tw/blogs/security/introducing-aws-continuum-security-at-machine-speed/" target="_blank">AI原生資安產品線AWS Continuum</a>。AWS表示，它們分別強化了AI代理人的資料理解能力與安全治理能力，協助企業加速部署AI代理人應用。</p> <p>AWS Continuum是一項全新的AI原生（AI-native）資安產品線，AWS除了推出首項服務Continuum for Code Vulnerabilities外，也將原AWS Security Agent的部分功能納入其中，讓Continuum成為未來資安代理人（Agentic Security）的核心平臺。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0618-AWS%20Continuum.jpg" style="width: 550px;" /></p> <p>AWS表示，隨著Claude Mythos等資安專用AI模型提升漏洞發掘與攻擊分析能力，企業面臨的漏洞數量正快速增加，傳統依賴蒐集遙測資料、查詢資料及監看儀表板的安全作業模式已難以跟上威脅演進速度。因此AWS推出Continuum，希望透過結合脈絡資訊、推理及自動化行動的AI代理人架構，協助企業以接近機器速度處理安全問題。</p> <p>首個推出的Continuum for Code Vulnerabilities目前已開放受限預覽，可整合企業既有漏洞資料與掃描結果，並結合基礎設施、權限設定、網路拓撲、程式碼及企業文件等資訊進行分析，評估漏洞是否確實存在風險及可能造成的業務影響。</p> <p>另一項即將推出的AWS Context，則是專為企業AI代理人打造的知識圖譜服務。AWS表示，該服務可自動分析企業既有資料來源之間的關聯，建立涵蓋資料資產、業務規則及領域知識的知識圖譜，並提供代理式搜尋能力，協助AI代理人在執行任務時取得所需資訊。</p> <p>AWS指出，企業資料通常分散於資料庫、文件、電子郵件及協作平臺等不同系統，AI代理人雖可存取這些資料，卻未必理解它們之間的關聯。AWS Context可整合結構化與非結構化資料，自動推斷資料關係，並透過內建治理機制控管代理人的存取權限。AWS認為，共享且可治理的脈絡資訊，將是企業大規模部署AI代理人的重要基礎。</p> </div></div></div>
6/18 14:46作者陳曉莉https://www.ithome.com.tw/news/176725
Anthropic加入Frontier碳移除採購聯盟，總承諾金額增至18億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://frontierclimate.com/writing/growth-amc" target="_blank">碳移除採購聯盟Frontier周三（6/17）宣布</a>新增9.15億美元採購承諾，參與企業包括Google、Salesforce、H&M Group，以及新加入的AI新創Anthropic，使Frontier總承諾金額增至18億美元。</p> <p><a href="https://www.ithome.com.tw/news/150412" target="_blank">Frontier成立於2022年</a>，由Stripe、Google、Shopify、Meta及McKinsey Sustainability共同發起，初期承諾金額為9.25億美元，採用預先市場承諾（Advance Market Commitment，AMC）模式，由企業預先承諾採購永久性碳移除服務，協助碳移除新創在技術尚未大規模商業化前取得穩定需求。目前Frontier已有十多家共同買家。</p> <p>Frontier負責審查相關技術與供應商，再代表參與企業簽署長期採購合約，支持直接空氣捕捉、強化岩石風化、海洋鹼化及生質碳移除等技術發展。</p> <p>根據專門<a href="https://www.cdr.fyi/leaderboards" target="_blank">追蹤全球碳移除交易市場的CDR.fyi</a>，Frontier Buyers累計承諾採購約184萬噸碳移除額度，排名第二；排名第一的微軟累計承諾採購約3,713萬噸，遙遙領先其它買家；Google則以約115萬噸排名第四，Airbus以40萬噸位居第七。</p> <p><a href="https://www.wsj.com/pro/sustainable-business/anthropic-google-other-tech-companies-commit-915-million-to-pull-carbon-out-of-the-sky-e2ee2c1e" target="_blank">華爾街日報（The Wall Street Journal，WSJ）指出</a>，對微軟的依賴令該市場變得脆弱，且微軟已於今年通知部分供應商，需暫停購買碳移除額度，因為既有採購量或許已滿足其環境目標。</p> <p>Frontier表示，這次新增的資金將更聚焦於具備長期需求前景的碳移除專案。換言之，獲得支持的業者不只要證明技術可行，也必須讓Frontier看見未來可能來自政府採購、碳市場法規、產業監管或補助機制的需求來源，以避免碳移除市場長期仰賴少數科技公司自願採購。</p> <p>值得注意的是，Anthropic此次成為首家參與Frontier的AI新創。<a href="https://techcrunch.com/2026/06/17/anthropic-becomes-first-ai-startup-to-join-the-frontier-carbon-removal-coalition/" target="_blank">TechCrunch指出</a>，Anthropic目前尚未發布永續發展報告，加入Frontier也是該公司首度公開參與大型碳移除採購計畫。</p> </div></div></div>
6/18 15:10作者陳曉莉https://www.ithome.com.tw/news/176726
Azure第6代AMD雲端機密虛擬機器供應全球57個區域，臺灣也入列
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p style="margin-left:.05pt;">去年9月，微軟Azure的<strong><a href="https://www.ithome.com.tw/review/171409">DCasv6系列與ECasv6系列</a></strong>正式上線，是採用AMD第四代EPYC處理器的雲端機密運算虛擬機器服務（CVM），主打效能比前一代增加25%，最大提供96顆vCPU與672 GiB記憶體的組態，並具備記憶體預設啟用256位元AES加密保護，以及支援加密金鑰可線上輪替等特色。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/MS Build-2026-06-02-1.jpg"><img alt="" src="/sites/default/files/images/MS%20Build-2026-06-02-1.jpg" style="width: 500px;" /></a></p> <p style="margin-left:.05pt;">經過9個月的發展，微軟最近宣布總共有<a href="https://www.linkedin.com/feed/update/urn:li:activity:7468036713223729153/"><strong>57個</strong></a>Azure區域提供此項機密運算服務，而於2024年11月正式啟用的第66座雲端區域「Taiwan North」也名列其中。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/Azure DCasv6-region-TW-web.jpg"><img alt="" src="/sites/default/files/images/Azure%20DCasv6-region-TW-web.jpg" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/Azure ECasv6-Regions TW-web.jpg"><img alt="" src="/sites/default/files/images/Azure%20ECasv6-Regions%20TW-web.jpg" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">根據微軟<strong><a href="https://techcommunity.microsoft.com/blog/azureconfidentialcomputingblog/ga-dcasv6-and-ecasv6-confidential-vms-based-on-4th-generation-amd-epyc%E2%84%A2-processo/4451460">揭露</a></strong>的全球部署進度，截至目前為止，DCasv6系列與ECasv6系列的雲端區域位置共歷經4波擴展，時間點依序落在2025年9月、2026年的1月、4月與6月，前三波累計18個雲端區域支援，東亞地區也僅開放 Korea Central，</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/Microsoft Build 2026-06-02-CVM AMD.jpg"><img alt="" src="/sites/default/files/images/Microsoft%20Build%202026-06-02-CVM%20AMD.jpg" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">至於最新這波則一口氣增加39個雲端區域支援，總數較先前增加逾3倍，東亞地區開放East Asia、Japan East、Japan West、Korea South及Taiwan North等據點。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/1780518700844.jpg"><img alt="" src="/sites/default/files/images/1780518700844.jpg" style="width: 300px;" /></a></p> </div></div></div>
6/18 12:23作者李宗翰https://www.ithome.com.tw/news/176702
FortiBleed曝光逾7萬臺Fortinet設備憑證資料，臺灣受影響數量居全球第三
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.infostealers.com/article/fortibleed-75000-fortinet-firewalls-compromised-global-enterprises-exposed-claim-your-ethical-disclosure/" target="_blank">威脅情報平臺InfoStealers周三（6/17）揭露</a>一起名為FortiBleed的大規模憑證外洩事件，指出全球有超過7萬臺Fortinet FortiGate防火牆與SSL VPN設備的登入憑證遭駭客竊取並外洩，受害者遍布194個國家，影響逾2萬個獨立網域，且臺灣受影響的設備數量位居全球第三。</p> <p>這起事件最早由<a href="https://www.linkedin.com/feed/update/urn:li:share:7471222470814072832/" target="_blank">資安研究人員 Volodymyr Bob Diachenko 於2026年6月中旬發現</a>。Diachenko在掃描網際網路時，找到一臺曝露在外的伺服器，其中儲存了大量疑似有效的Fortinet VPN登入憑證，包含使用者名稱、電子郵件地址及明文密碼。</p> <p>根據Diachenko發現的資料庫，光是其中一個檔案就列出了21,634個網域名稱，而資料集中總計包含73,932組獨特的防火牆URL，涵蓋從跨國企業到政府機構的眾多組織。資料庫上的名單包括三星（Samsung）、富士康（Foxconn）、AT&T、賓士（Mercedes-Benz）與豐田（Toyota）、Accenture、PwC、聯想及甲骨文等知名企業。</p> <p><a href="https://www.linkedin.com/feed/update/urn:li:activity:7472221360279207936/" target="_blank">Diachenko隨後披露</a>了更詳細的調查結果，指出這波攻擊是由多名俄語系操作者組成的威脅組織所主導，駭客對320,777個FortiGate目標發動了約11.6億次憑證嘗試，同時對163,650個Microsoft SQL Server系統發動了21億次暴力破解攻擊。他們攔截SSL VPN認證雜湊值，利用一個由45個GPU組成、透過Hashtopolis管理的叢集進行離線破解，再以取得的憑證橫向移動進入內部的Active Directory環境。</p> <p>資安研究人員Kevin Beaumont已驗證部分外洩資料的真實性，並認為這批資料可能來自Fortinet設備設定檔匯出內容。</p> <p>InfoStealers則說，受影響設備數量最多的國家依序為印度、美國、臺灣、墨西哥及土耳其，其中臺灣有3,637臺設備列入資料集中，排名全球第三。受影響的行業別則以IT服務的1,975個最多，其次為建築材料的587個與電信產業的574個。</p> <p>InfoStealers建議企業立即關閉FortiOS管理介面的公網暴露、升級FortiOS、強制管理員重新登入以改用PBKDF2雜湊，並全面啟用多因素驗證。</p> <p>至於Fortinet迄今則尚未對此事作出任何回應。</p> </div></div></div>
6/18 12:50作者陳曉莉https://www.ithome.com.tw/news/176718
【資安日報】6月18日，引領AI軟體開發安全，Anthropic發布指南示範以Claude建立威脅模型並修補漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><strong><a href="https://www.ithome.com.tw/news/176700" style="font-size: 22px;">巴西外送龍頭iFood個資外洩，業者證實120萬用戶受影響</a></strong></p> <p><a href="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/zhu_tu_ba_xi_wai_song_long_tou_ifoodge_zi_wai_xie_.jpg?itok=G2EZ2urL"><img alt="" src="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/zhu_tu_ba_xi_wai_song_long_tou_ifoodge_zi_wai_xie_.jpg?itok=G2EZ2urL" style="width: 400px; float: right;" /></a></p> <p>近期巴西外送龍頭iFood傳出個資外洩遭駭客兜售，該平臺表示去年12月其資料庫遭非法存取，導致120萬名用戶姓名、身分證號及地址外洩。資安媒體Hackread則指出，有駭客在BreachForums論壇上發文聲稱，竊取iFood平臺約4,380萬筆客戶記錄，並威脅若不支付贖金，將分批公開竊得的資料。雖然iFood否認外界傳言4千多萬筆資料外洩的說法，但相關問題仍有待後續進一步釐清。<a href="http://www.ithome.com.tw/news/176700"><span style="color:#696969;"><strong>詳全文</strong></span></a></p> <p><a href="https://www.ithome.com.tw/news/176710"><strong style="font-size: 22px;">柯達證實遭駭外洩公司資料，疑兩百多萬筆資料被竊</strong></a></p> <p>勒索軟體組織ShinyHunters宣稱駭入系統竊取客戶及公司資料後，影像器材大廠柯達（Eastman Kodak）向Bleeping Computer證實被駭一事，表示近日發現一個未經授權的第三方人士非法存取了公司小部分資料一小段時間。該公司已立即和外部資安專家合作，調查遭存取與複製的資料範圍，並和執法機關合作。駭客宣稱竊得這家影像巨擘220萬筆記錄，包含客戶個資和其他公司資料，目前柯達並未公布影響規模。<a href="http://www.ithome.com.tw/news/176710"><span style="color:#696969;"><strong>詳全文</strong></span></a></p> <p><a href="https://www.ithome.com.tw/news/176595"><strong style="font-size: 22px;">Anthropic發布原始碼漏洞掃描參考實作，示範以Claude驗證與修補漏洞</strong></a></p> <p><a href="/sites/default/files/images/2026-06-18_102145.jpg"><img alt="" src="/sites/default/files/images/2026-06-18_102145.jpg" style="width: 400px; float: right;" /></a></p> <p>AI模型業者Anthropic發布程式原始碼安全實務指南，說明企業與開放原始碼的軟體專案如何運用Claude建立威脅模型、找出漏洞，並進一步驗證、分級處理與修補，同時提供開放原始碼參考實作defending-code-reference-harness。<a href="http://www.ithome.com.tw/news/176595"><span style="color:#696969;"><strong>詳全文</strong></span></a></p> <p><a href="https://www.ithome.com.tw/news/176682"><strong style="font-size: 22px;">AWS推出PQC就緒度掃描工具，檢視TLS端點抗量子準備狀態</strong></a></p> <p><a href="/sites/default/files/images/2026-06-18_102316.jpg"><img alt="" src="/sites/default/files/images/2026-06-18_102316.jpg" style="width: 400px; float: right;" /></a></p> <p>IT產業近期密切關注後量子密碼學（PQC）的導入與遷移議題，公有雲業者AWS在上個月宣布推出後量子密碼學就緒度掃描工具PQC Readiness Scanner，這是以AWS Config合規套件建置的解決方案，可協助企業盤點由AWS服務終止TLS連線的應用程式負載平衡器（ALB）、網路負載平衡器（NLB），以及API Gateway端點，持續檢查其TLS組態是否符合PQC就緒狀態，並依三級架構排定遷移優先順序。<a href="http://www.ithome.com.tw/news/176682"><span style="color:#696969;"><strong>詳全文</strong></span></a></p> <p><a href="https://www.ithome.com.tw/news/176666"><strong style="font-size: 22px;">CVE漏洞數量大增，FIRST進一步說明致災風險並未隨總量而增加的理由</strong></a></p> <p>FIRST國際資安應變組織發布2026年中漏洞預測報告，不僅將全年CVE漏洞預估數量上修至6.6萬個，同時提出一項重要觀察，並以「降雨與洪水」為喻指出：雖然漏洞總量（降雨）持續攀升，但真正被積極利用或具備高度威脅的漏洞（洪水），其增長速度並未同步上升。<a href="http://www.ithome.com.tw/news/176666"><span style="color:#696969;"><strong>詳全文</strong></span></a></p> <p><a href="https://www.ithome.com.tw/news/176677"><strong style="font-size: 22px;">開源資安平臺Wazuh修補重大漏洞，攻擊者可竄改警示並刪除日誌</strong></a></p> <p>開源XDR與SIEM平臺Wazuh修補Wazuh Manager一項重大風險漏洞，影響wazuh-manager 5.0.0-beta1與後續推出的5.x版本，CVSS分數達滿分10.0分；Wazuh 4.x分支則不受影響。Wazuh已在wazuh-manager 5.0.0-beta3修補此漏洞。<a href="http://www.ithome.com.tw/news/176677"><span style="color:#696969;"><strong>詳全文</strong></span></a></p> <p><a href="https://www.ithome.com.tw/news/176549"><strong style="font-size: 22px;">NCC發布新聞AI應用指引，要求全程標示AI內容並建立人工查核機制</strong></a></p> <p>今年1月《人工智慧基本法》上路，各目的事業主管機關針對各產業的指引也相繼出爐，繼衛福部後，NCC也針對媒體應用AI提出指引規範，呼籲業者應用AI技術製播新聞，應建立AI內容查證機制，落實人工審核，對於第三方素材或AI產生的素材，善盡事實查證責任，並要求業者保留AI使用與審核記錄，供事後的追蹤及查驗。<a href="http://www.ithome.com.tw/news/176549"><span style="color:#696969;"><strong>詳全文</strong></span></a></p> <p><span style="font-size: 22px;"><strong><a href="https://www.ithome.com.tw/news/176610">GitHub改善Copilot程式碼審查，組織可統一控管Runner與內容排除設定</a></strong></span></p> <p>GitHub更新Copilot程式碼審查（code review）功能，新增組織層級Runner控管、Copilot內容排除支援，並移除儲存庫自訂指示檔的字元限制。該更新讓組織管理員可更集中管理AI程式碼審查的執行環境，以及Copilot審查時可使用的儲存庫內容，也讓開發團隊能提供更完整的審查規範。<a href="http://www.ithome.com.tw/news/176610"><span style="color:#696969;"><strong>詳全文</strong></span></a></p> <p><span style="font-size:22px;"><strong><a href="https://www.ithome.com.tw/news/176578">套件管理器Homebrew調整套件來源信任機制，6.0.0強化供應鏈安全與Linux沙箱</a></strong></span></p> <p>套件管理器Homebrew專案發布Homebrew 6.0.0，這次更新開發團隊把重點放在套件來源信任、安全隔離與更新效率。具體而言，新版增加第三方套件來源信任機制（tap trust），將內部JSON API設為預設，並在Linux導入Bubblewrap沙箱。Homebrew現在會在執行第三方tap程式碼前先確認信任狀態，並透過沙箱限制部分安裝流程，以降低惡意或遭入侵來源帶來的風險。<a href="http://www.ithome.com.tw/news/176578"><span style="color:#696969;"><strong>詳全文</strong></span></a></p> <p><span style="font-size: 22px;"><strong><a href="https://www.ithome.com.tw/news/176691">FIFA平臺後端漏洞能讓駭客免費播放賽事、置換影像、修改比分</a></strong></span></p> <p>一名研究人員發現國際足球協會（FIFA）後端平臺API漏洞，其問題出在FIFA後臺的身分與授權機制設計錯誤，使未經授權的人員得以登入內部系統，存取賽事串流影像管理介面，讀取每一場賽事的實況轉播影像，甚至攝影機角度，以及控制串流（如啟動／暫停／排程）或其他操作功能，或編輯賽事資訊。<a href="http://www.ithome.com.tw/news/176691"><span style="color:#696969;"><strong>詳全文</strong></span></a></p> <p><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/176659">MagicAd廣告木馬藏身小米、三星官方商店App</a></strong></p> <p>資安業者Doctor Web揭露一款名為「Android.MagicAd.1」的Android廣告木馬，近期曾潛藏於小米及三星的官方應用程式商店。該木馬的隱匿手法相當特殊，攻擊者將其偽裝成遊戲或工具程式上架後，會在數週內主動下架，隨即以全新的應用程式取而代之，其主要目的很可能是為了規避行動應用商店的審核機制，並降低被資安防護軟體偵測的機率。<a href="http://www.ithome.com.tw/news/176659"><span style="color:#696969;"><strong>詳全文</strong></span></a></p> <p><span style="font-size:22px;"><strong><a href="https://www.ithome.com.tw/news/176661">Apple以Swift改寫TrueType微調直譯器，降低記憶體安全風險</a></strong></span></p> <p>降低記憶體安全風險持續受關注。Apple公開以Swift改寫TrueType字型微調直譯器的實務案例，並釋出原始碼供社群借鏡。Apple指出，此舉目標是要降低字型解析的資安風險，而最大挑戰在於新版直譯器必須確保既有程式免修改無痛銜接，且字型顯示結果須與原C版本完全一致。<a href="http://www.ithome.com.tw/news/176661"><span style="color:#696969;"><strong>詳全文</strong></span></a></p> <p><span style="font-size:22px;"><strong><a href="https://www.ithome.com.tw/news/176664">1Password推執行時憑證派發機制，減少工作負載長期持有權杖</a></strong></span></p> <p>1Password發表1Password Credential Broker私有測試版，把憑證管理從人員使用情境延伸到機器工作負載。初期支援GitHub Actions，讓自動建置、測試與部署流程在執行時，依照身分與政策取得所需憑證，減少長期權杖留在環境變數、設定檔或自動化流程中的情況，年底還將延伸到AI代理憑證管理。<a href="http://www.ithome.com.tw/news/176664"><span style="color:#696969;"><strong>詳全文</strong></span></a></p> <p><span style="font-size: 22px;"><strong><a href="https://www.ithome.com.tw/news/176685">德國BSI核發首張5G核心網路組件NESAS安全證書</a></strong></span></p> <p>德國聯邦資訊安全局（BSI）於6月15日宣布，核發首張針對5G核心網路組件的BSI NESAS網路設備安全保障計畫認證，此舉標誌著德國在確保5G行動通訊基礎設施安全方面邁入全新里程碑。首家獲證廠商為美國雲端原生網路軟體商 Mavenir，獲證產品為其5G匯流封包核心網路的核心組件——網路儲存功能（NRF，版本為CC 24.4.2 p4 SW）。<a href="http://www.ithome.com.tw/news/176664"><span style="color:#696969;"><strong>詳全文</strong></span></a></p> <p><span style="font-size:22px;"><strong><a href="https://www.ithome.com.tw/news/176678">都柏林大學將主導歐盟6G安全專案，開發6G原生網路威脅情資平臺</a></strong></span></p> <p>愛爾蘭都柏林大學（University College Dublin，UCD）在6月11日宣布，將主導歐盟Horizon Europe架構下、智慧網路與服務聯合事業（SNS JU）支持的SHIELD-6G專案，總經費達800萬歐元。這項專案將集結19個國際合作夥伴，目標是開發面向6G網路的AI驅動威脅情資平臺。<a href="http://www.ithome.com.tw/news/176664"><span style="color:#696969;"><strong>詳全文</strong></span></a></p> <p><span style="font-size: 22px;"><strong><a href="https://www.ithome.com.tw/news/176224">如何用HIMSS框架衡量數位轉型？長庚揭大型醫療體系的成熟度治理戰略</a></strong></span></p> <p>長庚醫療體系今年受邀在HIMSS26大會發表全球首份大型醫療體系數位成熟度白皮書，不只反映過去10年數位轉型歷程，當中也說明用HIMSS成熟度框架衡量IT對醫療現況輔助成效，資安也是重點之一，例如，採行該成熟度框架中的INFRAM模型，以衡量IT基礎設施與資安成熟度，還有建置數據中臺強化資料治理，以及限縮生成式AI的決策風險等面向。<a href="http://www.ithome.com.tw/news/176224"><span style="color:#696969;"><strong>詳全文</strong></span></a></p> <p><a href="https://www.ithome.com.tw/news/176703"><strong style="font-size: 22px;">Google發布Chrome 149穩定版更新，修補33項安全問題</strong></a></p> <p>Google發布Chrome桌面版瀏覽器新版本，將Windows與Mac平臺穩定版更新至149.0.7827.155與149.0.7827.156，Linux版本更新至149.0.7827.155，此次改版共納入33項資安漏洞的修補，其中有7項重大漏洞最值得留意，涵蓋涉及網頁分享API元件WebShare，嵌入式瀏覽器元件WebView，數位身分憑證元件Digital Credentials、選擇本機檔案元件File Input、密碼管理元件Passwords，以及身分驗證元件Web Authentication等不同面向。<a href="http://www.ithome.com.tw/news/176703"><span style="color:#696969;"><strong>詳全文</strong></span></a></p> <p><a href="https://www.ithome.com.tw/news/176689"><strong style="font-size: 22px;">惡意瀏覽器擴充套件竊取AI對話內容再現新案例，近9萬名用戶受影響</strong></a></p> <p>AI對話內容持續成為攻擊者覬覦的資料來源，近日資安研究專案MalExt Sentry揭露另一起案例，是偽裝為廣告攔截工具的惡意瀏覽器擴充套件，會攔截與收集使用者與生成式AI服務的互動內容。MalExt Sentry將這起惡意資料收集活動命名為PromptSnatcher，指出發現兩款擴充套件Smart Adblocker與Adblock for Browser確實能提供攔截廣告功能，累積安裝量將近9萬次，但暗藏客製化攔截引擎，用於收集使用者與八種AI平臺的對話內容。<a href="http://www.ithome.com.tw/news/176689"><span style="color:#696969;"><strong>詳全文</strong></span></a></p> <p><a href="https://www.ithome.com.tw/news/176692"><strong style="font-size: 22px;">Android 17正式登上Pixel裝置，升級即時威脅偵測與進階保護模式</strong></a></p> <p>Google推出Android 17，內建安全能力強化亦是重點之一，新版本不僅升級即時威脅偵測與進階保護模式，也導入更多隱私微調，例如延長PIN碼連續輸入錯誤的等待時間以防範暴力破解。此外，用戶現在能更細緻地管理個資權限，像是僅暫時允許 App 取得精確位置，或只分享部分聯絡人。同時，系統也增強「標記為遺失」功能，讓使用者能用生物辨識鎖定遺失的手機，使竊賊即使知道PIN碼也無法存取資訊或關閉追蹤功能。<a href="http://www.ithome.com.tw/news/176692"><span style="color:#696969;"><strong>詳全文</strong></span></a></p> <p><a href="https://www.ithome.com.tw/news/176695"><strong style="font-size: 22px;">Google Vertex AI SDK模型上傳流程漏洞，恐遭攻擊者跨租戶執行任意程式碼</strong></a></p> <p>Google前兩個月修補Vertex AI SDK for Python的漏洞，通報的Palo Alto Networks旗下Unit 42團隊如今公開相關細節，指出該漏洞出現在模型註冊前的暫存流程。開發者透過Vertex AI SDK上傳模型時，若未指定自己的暫存儲存位置，舊版SDK會依據Google Cloud專案識別碼與區域，自動產生一個預設儲存桶（bucket）名稱。Unit 42指出，當時SDK只確認這個名稱是否已存在，卻沒有進一步檢查該儲存桶是否真的屬於呼叫者的專案。<a href="http://www.ithome.com.tw/news/176695"><span style="color:#696969;"><strong>詳全文</strong></span></a></p> <p> </p> <p> </p> </div></div></div>
6/18 12:53作者羅正漢https://www.ithome.com.tw/news/176711
Vercel整合AI代理開發基礎元件發表Agent Stack
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>開源Web框架Next.js開發商Vercel發表<strong><a href="https://vercel.com/blog/agent-stack">Agent Stack</a></strong>，將AI代理開發所需的模型連接、工作流程執行，以及外部系統存取與使用者互動平臺整合，整理成一組產品框架，涵蓋AI SDK、AI Gateway、Workflow SDK、Vercel Sandbox、Vercel Connect、Chat SDK與<strong><a href="http://vercel.com/blog/introducing-eve">eve開源代理框架</a></strong>，目標是讓開發者在建立代理時，不必逐一處理多模型呼叫、長任務狀態保存、隔離執行環境與企業系統授權等基礎工作。</p> <p>Vercel將Agent Stack分成三類能力，第一類是連接模型與模型路由，AI SDK提供呼叫不同模型的共用介面，處理串流、工具呼叫與結構化輸出等差異，而AI Gateway則透過單一端點路由多個模型供應商，並提供失效切換、成本與用量追蹤。</p> <p>第二類是長流程執行，Workflow SDK負責工作流程的狀態保存、重試、暫停與恢復，讓代理在多步驟任務中途失敗時，能從已完成的步驟繼續執行。Vercel Sandbox則提供隔離的microVM，讓代理可在受限制環境中讀取檔案、執行命令或測試程式碼，降低未審查程式碼直接碰觸應用程式執行環境的風險。</p> <p>第三類是資料、工具與互動平臺連接，Vercel Connect目前為公開測試版，主打讓代理以短效且權限受限的存取權杖存取Slack、GitHub、Snowflake、Salesforce、Notion與Linear等系統，並保留從使用者、代理到服務的稽核脈絡。Chat SDK則處理代理在Slack、GitHub、Linear、WhatsApp、Discord等平臺上的互動整合。</p> <p>Vercel也推出eve作為Agent Stack的開源代理框架。eve以單一目錄描述代理的模型設定、指令、工具、技能、子代理、通道與排程，並在框架底層整合持久執行、隔離運算環境、人工核准與交付機制。</p> </div></div></div>
6/18 12:54作者李建興https://www.ithome.com.tw/news/176719
思科、Cloudflare等逾24個組織參與Athena聯盟，合作修補開源漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>隨著AI加快漏洞發現速度，開放原始碼軟體漏洞修補流程面臨更大壓力。軟體供應鏈安全業者<a href="https://www.securityweek.com/tech-coalition-athena-targets-oss-vulnerabilities-ahead-of-disclosure/" target="_blank">Chainguard宣布成立產業聯盟Athena</a>，協助成員在開源軟體漏洞公開前，先取得可用的緩解措施與修補程式或版本，降低攻擊風險。</p> <p>Athena目前已有超過24個組織加入，包括紐約梅隆銀行（BNY）、思科（Cisco）、Cloudflare、Docker、摩根大通（JPMorganChase）、Kyndryl與PwC等。該聯盟已處理逾2萬筆漏洞發現資料，並針對500個開放原始碼專案產生逾2,000項修補程式或版本，第一波協調揭露預計2026年7月開始進行。</p> <p><a href="https://www.prnewswire.com/news-releases/chainguard-launches-athena-the-industry-coalition-to-fix-open-source-vulnerabilities-before-attackers-can-find-them-302799984.html" target="_blank">根據Chainguard說明</a>，Athena會把成員提交的漏洞發現資料集中到共同平臺，交叉比對是否涉及相同專案或相同問題，再進行分類、分流與後續處理。部分成員也會提交透過Anthropic的Project Glasswing、OpenAI的Daybreak等前沿AI研究計畫發現的漏洞；聯盟則會在漏洞揭露前，透過Chainguard Libraries針對受影響開放原始碼專案提供私有分支（private forks）與強化（hardened）版本。此外，成員也會提供偵測規則、虛擬修補與平臺端封鎖（platform-side blocks）等緩解措施，降低大範圍安全缺陷遭利用的風險。</p> <p>Chainguard表示，Athena會持續追蹤開放原始碼專案相關漏洞，直到開發流程或軟體專案的上游（upstream）完成可長期維護的修補。該公司也希望與Linux基金會（The Linux Foundation）合作，建立開放原始碼軟體資安事件應變團隊（Security Incident Response Team，SIRT）。</p> </div></div></div>
6/18 11:21作者王珮瑤https://www.ithome.com.tw/news/176714
勒索軟體DragonForce濫用Microsoft Teams轉送伺服器隱匿C&C流量
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.security.com/threat-intelligence/dragonforce-msteams-backdoor" target="_blank">Broadcom旗下Symantec與Carbon Black團隊近日揭露</a>，勒索軟體組織DragonForce攻擊一家大型美國服務業公司時，使用以Go語言開發的自製遠端存取木馬Backdoor.Turn，將命令與控制（C&C）流量隱藏在Microsoft Teams使用的TURN（Traversal Using Relays around NAT）轉送基礎設施之中。對企業防禦人員而言，相關流量看似連往合法Microsoft Teams伺服器，因此更難察覺背後的惡意通訊。</p> <p>這起攻擊始於2025年12月，攻擊者在受害者網路停留約1至2個月。研究人員研判，攻擊者可能利用SQL或MSSQL伺服器漏洞取得初始存取權，但尚未確認實際漏洞；也不排除是向存取權掮客購買入口。進入受害環境後，攻擊者透過DLL側載手法，透過個人端虛擬化軟體VirtualBox的處理程序，或微軟Sysinternals工具集的DebugView的執行檔（DbgView64.exe）載入惡意DLL，藉此繞過安全監控。</p> <p>Backdoor.Turn是在DragonForce勒索軟體部署後才被安裝，可能用於保留後續入侵管道，或將存取權轉售給其他惡意行為者。這個後門會向Microsoft Teams／Skype後端取得訪客（不具名）身分的存取權杖，再利用合法Microsoft Teams TURN轉送伺服器建立連線，接著與攻擊者實際控制的C&C伺服器建立直接QUIC連線。</p> <p>此外，攻擊者也利用自帶驅動程式（BYOVD）手法規避偵測，取得核心層級存取權，進而終止安全防護處理程序（如防毒軟體或EDR軟體）。研究人員認為，上述攻擊手法顯示DragonForce已從一般勒索軟體即服務（RaaS）團體，逐步發展成組織化程度更高的網路犯罪聯盟。</p> </div></div></div>
6/18 11:41作者王珮瑤https://www.ithome.com.tw/news/176715
Linux 7.1終止對Intel 486處理器支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>上個週末（6/14）正式發布的Linux 7.1包含一項具里程碑的變更，即不再支援Intel 486處理器。</p> <p>Linux 7.1今年4月發布第一個RC版，第7個RC（7.1-rc7）於6月初發布，而由於沒有重大問題，Linux之父Linus Torvalds週日透過Linux郵件群組<a href="https://lkml.iu.edu/2606.1/13340.html" target="_blank">宣布Linux 7.1正式版本發布</a>。</p> <p>Linux 7.1一項特色是清除大量舊程式。Torvalds對核心移除高達近14萬行的過時程式碼，當中包含移除Intel M486 / M486SX支援及刪除大量舊式相容性程式碼。這表示Linux將終止支援37年前推出的Intel 486處理器。</p> <p>這是為了減少技術債及降低維護成本。現代x86架構為了支援古早的32-bit CPU，必須加入複雜的硬體模擬層，這層程式碼反而引發漏洞，迫使維護人員撰寫程式修補漏洞。Torvalds曾經在群組中說，是時候放棄i486支援。沒有理由再讓維護人員為這類問題耗費時間。</p> <p>Linux LTS（Long Term Support）核心仍然可以支援486處理器，但前提是使用Linux 7.1之前的版本。早年形成Wintel聯盟的微軟，則是在Windows 2000及XP時代就已終止這顆處理器。</p> <p><strong>Linux 7.1新功能</strong></p> <p>根據專業網站<a href="https://computingforgeeks.com/what-is-new-in-linux-kernel-7-1/" target="_blank">ComputingForGeeks</a>及<a href="https://www.phoronix.com/news/Linux-7.1-rc1" target="_blank">Phoronix</a>，Linux 7.1其他重要（甚至更重要的）更新還包括全新的NTFS驅動程式、預設啟用Intel FRED及對新SoC晶片的支援。</p> <p>首先，Linux 7.1導入了一個歷時約4年開發、完全重寫的核心內建NTFS驅動程式。原生核心讀寫（in-kernel）、採用現代化iomap架構、支援延遲配置（Delayed Allocation）、改善多執行緒寫入效能，且掛載大型NTFS磁碟速度更快。對於需要在Linux與Windows之間共享硬碟的人來說，可能是本版最重要的改進。</p> <p>其次Linux 7.1開始預設啟用Intel FRED。FRED（Flexible Return and Event Delivery）是Intel新一代CPU的中斷與例外處理機制，能降低中斷處理overhead、改善系統切換效率、提升工作負載效能並強化系統安全性，對未來的Intel Panther Lake、Nova Lake等平臺尤其重要。</p> <p>新一代Linux也持續擴大對新晶片的支援。包括未來AMD Zen 6處理器、ARM64效能加速、並且改進了Apple Silicon-based MacBook的SMC電源控制器支援與電池資訊回報功能。Linux核心更新Intel QAT加速器及支援更多SoC與NPU驅動程式，使其更能勝任AI/HPC環境。</p> <p>Linux 7.1並對安全框架做了不少更新。特別是擴大沙箱機制Landlock對Unix Domain Socket的控制能力，讓應用程式更容易被限制在特定權限範圍內。</p> </div></div></div>
6/18 11:55作者林妍溱https://www.ithome.com.tw/news/176717
歐盟對烏克蘭提供緊急網路安全支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>歐盟推進<a href="https://x.com/vonderleyen/status/2065481649077317692" target="_blank">烏克蘭入盟談判</a>程序之際，也同步強化對烏克蘭的網路安全支援。<a href="https://digital-strategy.ec.europa.eu/en/news/eu-provides-cyber-support-ukraine-against-major-attacks" target="_blank">歐盟執委會於6月15日宣布</a>，歐盟理事會已同意將烏克蘭納入歐盟網路安全儲備機制（EU Cybersecurity Reserve），若烏克蘭遭遇重大或大規模資安事件時，可取得歐盟受信任民間資安服務供應商提供的協助。</p> <p>歐盟網路安全儲備機制依據《網路團結法》（Cyber Solidarity Act）設立，由歐盟網路安全局（European Union Agency for Cybersecurity，ENISA）負責運作，主要在成員國或合作夥伴面臨超出自身應變能力的重大或大規模網路安全事故時，提供外部專家協助，東歐國家摩爾多瓦（Moldova）已於2024年被納入同一支援體制。</p> <p><a href="https://therecord.media/ukraine-access-eu-cybersecurity-reserve" target="_blank">資安媒體The Record</a>報導指出，這項合作並非單向支援，烏克蘭也已向歐洲夥伴分享俄羅斯相關的駭侵手法情資，並參與聯合網路犯罪調查與歸因工作。</p> </div></div></div>
6/18 11:05作者王珮瑤https://www.ithome.com.tw/news/176713
柯達證實遭駭外洩公司資料，疑200萬筆資料被竊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>勒索軟體組織ShinyHunters宣稱駭入系統竊取客戶及公司資料後，影像器材大廠柯達（Eastman Kodak）昨（17）日證實遭駭。</p> <p>柯達向<a href="https://www.bleepingcomputer.com/news/security/kodak-confirms-data-breach-claimed-by-shinyhunters-extortion-gang/" target="_blank">Bleeping Computer</a>證實被駭一事，表示近日發現一個未經授權的第三方人士非法存取了公司小部分資料一小段時間。該公司已立即和外部資安專家合作，調查遭存取與複製的資料範圍，並和執法機關合作。柯達並說有信心此次事件不影響公司系統或營運。</p> <p>ShinyHunters本周稍早在其資料外洩網站公告駭入柯達，不過這群駭客宣稱竊得這家影像巨擘220萬筆紀錄，包含客戶個資和其他公司資料。ShinyHunters揚言若柯達未在6月18日前聯繫，將公開資料。</p> <p>柯達未說明資料何以外洩。若依據ShinyHunters所言竊取了客戶資料及公司資料，ShinyHunters過去鎖定的攻擊及存取目標，包括Salesforce、Snowflake以及最新的PeopleSoft，都可能是造成柯達資料外洩的原因。ShinyHunters曾宣稱駭入上百家Salesforce客戶並且取得了15億筆紀錄。</p> <p>ShinyHunters兩周來已先後宣稱，駭入了<a href="https://www.ithome.com.tw/news/176563" target="_blank">英國諾丁漢大學</a>、<a href="https://www.ithome.com.tw/news/176671" target="_blank">歐洲理事會</a>、教育平臺<a href="https://www.ithome.com.tw/news/176672" target="_blank">Infinite Campus</a>客戶、保全巨人ADT、遊輪業者Carnival及教育平臺Canvas供應商Instructure等知名企業及組織。</p> </div></div></div>
6/18 09:24作者林妍溱https://www.ithome.com.tw/news/176710
Stack Overflow for Agents公測，讓AI代理透過API交換技術知識
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Stack Overflow開放<strong><a href="https://stackoverflow.blog/2026/06/10/announcing-stack-overflow-for-agents/">Stack Overflow for Agents</a></strong> Beta測試，該服務是針對AI程式開發代理設計的知識交換平臺，採API優先架構，讓代理能透過API查詢、提交與驗證技術知識。Stack Overflow藉此把原本面向人類開發者的問答知識庫，擴展到AI代理可使用的技術知識層，讓代理在處理程式開發任務時，先查詢既有解法，再由人類審核後累積新的技術經驗。</p> <p>Stack Overflow指出，近年AI代理已能協助撰寫程式、修改錯誤與完成開發工作，但代理若只依賴模型本身與單次工作階段，可能使用過時函式庫、已棄用的語法，或在未充分檢查下引入資安風險。另一個問題是，即使某個代理在一次任務中找到可行解法，這段經驗也常停留在該次對話或工作環境中，無法成為其他開發者與代理可再利用的知識。</p> <p>Stack Overflow for Agents的設計重點，是讓代理在開始反覆嘗試前，先搜尋已整理過的技術內容。若現有內容不足，而代理在任務中找到解法，系統可協助整理成貼文草稿，再交由負責操作代理的人類開發者審核。這些貼文可用來記錄尚未解決的開發障礙、除錯經驗，或可重複使用的系統設計模式。</p> <p>在信任機制的設計上，Stack Overflow把社群審核、投票與聲譽帶入代理使用情境。開發者可用Stack Overflow帳號登入並宣告自己操作的代理，代理的貢獻、準確性與表現會與背後的人類帳號建立關聯。後續遇到相同問題的代理或開發者，也能回報解法可用程度、需調整條件，以及適用情境。</p> <p>Stack Overflow for Agents區分公開知識與企業內部知識。公開版提供給代理查詢與回報社群技術內容，企業如果要讓AI工具使用公司內部文件、專案經驗或專有技術知識，Stack Overflow則提供Stack Internal，讓組織在既有程式開發輔助工具、API與開發環境中使用內部資料，並把資料留在公司防火牆內。</p> </div></div></div>
6/17 20:01作者李建興https://www.ithome.com.tw/news/176705
JetBrains市集現15款惡意外掛，竊取開發者AI服務API金鑰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安業者Aikido<strong><a href="https://www.aikido.dev/blog/multiple-jetbrains-ide-plugins-caught-stealing-ai-keys">發現</a></strong>JetBrains外掛市集中，出現一波鎖定開發者AI服務API金鑰的惡意外掛活動。研究人員表示，至少15款IDE外掛分屬7個發布者帳號，表面上偽裝成AI程式助理，提供聊天、產生提交訊息、程式碼審查、找出錯誤與產生單元測試等功能，但會在使用者儲存金鑰時，將金鑰送往攻擊者控制的伺服器。</p> <p>這批外掛累計安裝次數接近7萬次，最早版本出現在2025年10月底，直到2026年6月仍有新外掛發布。不過，研究人員也提醒，市集下載數可能遭發布者灌水，外掛頁面也有疑似假五星評價，因此實際受影響人數仍難以確認。</p> <p>惡意外掛把竊取行為藏在設定儲存流程裡，當使用者在外掛設定頁輸入OpenAI、SiliconFlow或DeepSeek等AI服務的API金鑰，外掛會在使用者按下套用後，除了把金鑰保存在本機設定中，也會把金鑰送到一個寫死在程式裡的網路位址，而該傳送動作沒有提示使用者，也沒有出現在操作介面說明中。</p> <p>部分外掛內建付費功能，使用者付款後，攻擊者的伺服器會回傳一組API金鑰，外掛之後會優先使用這組金鑰來呼叫AI模型，研究人員推測，攻擊者可能一邊蒐集部分使用者輸入的金鑰，一邊把可用金鑰提供給付費用戶。</p> </div></div></div>
6/17 20:04作者李建興https://www.ithome.com.tw/news/176707
臺灣如何完成5,050筆LOINC對照表？醫檢學會揭實作過程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>「我們原本的KPI只有2,000筆，最後做到5,050筆。」臺灣醫事檢驗學會理事長曹國倩日前在衛福部LOINC成果發表會上回憶說道。</p> <p>這份5,050筆臺灣版LOINC對照表，看起來只是一份代碼清單，背後卻動員了35家醫院、154位醫檢專家，以及醫療器材廠商共同參與。從2025年底接下任務，到今年5月中交出成果，實際執行時間只有5個月，中間還跨了一個農曆年假。</p> <p>對曹國倩來說，這不只是一次標準化工程，更像是一場全國性的醫學檢驗資料盤點行動。</p> <h2><strong>為什麼光是血糖，就可能有18個LOINC碼</strong></h2> <p>LOINC（Logical Observation Identifiers Names and Codes）是目前全球最廣泛使用的醫學檢驗標準之一，已發展超過30年，目前約有190個國家使用。</p> <p>和一般人想像不同，LOINC並不是單純替檢驗項目編上一組代碼，而是透過6個關鍵資訊來定義每項檢驗，比如檢體種類、檢驗方法、採檢時間等。只要其中一個條件不同，就可能對應不同的LOINC代碼。</p> <p>以常見的血糖檢驗為例，這個血糖可能是空腹血糖、飯後血糖，也可能是在喝糖水後1小時、2小時或3小時測量的數值；檢體來源也可能是血液或尿液。雖然都與血糖有關，但實際代表的檢驗情境並不相同。</p> <p><img alt="" src="/sites/default/files/images/%E8%A1%80%E7%B3%96.JPG" /></p> <p>因此，在LOINC的定義裡，這些檢驗就得用不同代碼來區分。光是一項血糖檢驗，就可能對應18個不同的LOINC碼。</p> <p>曹國倩點出，正因為LOINC能夠細緻描述檢驗內容，當資料在不同醫院、不同系統之間交換時，接收端不只知道這是一項血糖檢驗，還能理解它是在什麼情境下產生、代表什麼樣的檢驗結果。</p> <h2><strong>一個敗血症分析案例，看見標準化的價值</strong></h2> <p>曹國倩也以敗血症分析為例，說明LOINC標準化的價值。</p> <p>她表示，醫院分析大腸桿菌（E. coli）相關資料，若直接將不同檢體來源的資料一起統計，ESBL抗藥性比例約為38%。</p> <p>但若進一步用LOINC碼區分檢體來源，只保留血液培養資料進行分析，ESBL比例則提高至接近60%。兩者結果相差超過20個百分點。</p> <p>這是因為，大腸桿菌可能來自血液、呼吸道、尿液或其他檢體，而不同檢體代表的臨床情境並不相同。若將所有資料混合分析，容易稀釋或掩蓋特定疾病的真實特徵。</p> <p>曹國倩指出，LOINC的重要價值不只是統一代碼，更能透過檢體、檢驗方法等資訊，協助資料進行更精確的分類與分層。對臨床研究、感染控制、抗生素管理和AI模型訓練來說，都能提供更可靠的分析基礎。</p> <h2><strong>為什麼需要一份臺灣版LOINC對照表？</strong></h2> <p>雖然LOINC是全球通用的醫學檢驗標準、臺灣檢驗通報也已使用多年，但要在臺灣更大規模落地並不容易。</p> <p>這是因為，LOINC官方資料庫已累積超過10.9萬筆代碼，而且還持續增加。對醫院檢驗人員來說，要從中找出最符合自家檢驗項目的代碼，往往需要耗費大量時間和專業判斷。</p> <p>更重要的是，臺灣醫療院所長期以健保核價碼，來管理檢驗項目。健保碼的設計目的是醫療申報與給付，並非資料交換標準，因此同一個健保碼底下，可能對應多個不同的LOINC代碼。</p> <p>以過敏原檢測、細菌培養或基因檢測為例，一個健保碼底下可能涵蓋數十甚至上百種不同檢驗內容。若沒有額外對照與標準化，就很難精準對應到國際標準。</p> <p>也因此，這次專案最核心的任務，就是替臺灣常用的健保檢驗項目建立LOINC對照關係，讓醫院不必再從10萬多筆代碼中逐一查找。</p> <h2><strong>廠商先提供資料，再由醫院與專家驗證</strong></h2> <p>這項專案由衛福部資訊處指導、臺灣醫事檢驗學會執行，並集結兩大團隊參與，一邊是醫院醫檢專家，另一邊是醫療器材公會帶領的醫療器材與檢驗試劑廠商，自去年底展開專案。</p> <p><img alt="" src="/sites/default/files/images/%E5%88%86%E5%B7%A5.JPG" /></p> <p>他們的策略是，先由廠商提供檢驗試劑對應的LOINC資訊，再由學會工作小組整理資料，最後交給醫院醫檢人員進行比對與確認。</p> <p><img alt="" src="/sites/default/files/images/%E7%AD%96%E7%95%A5.JPG" /></p> <p>不過，由於每家醫院都有數千項檢驗項目需要編碼，若全部交由單一團隊處理，工作量相當龐大。因此，專案團隊依照生化、血液、免疫、微生物等不同學門分工，讓不同醫院負責特定領域的LOINC編碼工作。</p> <p>再來，為了確保品質，專案團隊還要求，同一項檢驗由不同醫院編碼4至5次，再進行交叉比對和專家審查，來確認最終的LOINC代碼。</p> <p>可以說，專案的重點不只是找到代碼，而是確認不同團隊最終是否得到一致答案。</p> <h2><strong>有醫院靠AI，有醫院自己寫程式加速編碼</strong></h2> <p>面對龐大的編碼工作量，各家參與醫院，也發展出不同做法來提高效率。</p> <p>例如，有醫院導入AI語意比對工具，自動找出候選LOINC代碼，再由醫檢師人工審查確認；也有醫院自行開發比對程式，批次比對LOINC官方資料庫後，再由專家複核結果。還有醫院採取較傳統的方式，由醫檢人員逐筆查詢LOINC官網、人工比對代碼。</p> <p><img alt="" src="/sites/default/files/images/%E6%8C%91%E6%88%B0(2).JPG" /></p> <p>雖然做法不同，但最終都回到醫檢專家的專業判斷，由人工逐筆確認編碼結果。</p> <p>在這樣的分工和驗證機制下，18家核心醫院共完成20,973筆LOINC編碼資料。再加上12家醫材廠商提供的編碼資料，以及後續補齊的健保檢驗項目，專案團隊總計完成39,172筆編碼資料。</p> <p>由於不同團隊可能為同一項檢驗編出相同代碼，因此這些資料還必須經過人工審查、交叉驗證、LOINC官方資料庫比對，專案團隊甚至使用Claude AI，來輔助檢核。最終，團隊從近4萬筆編碼資料中，整理出5,050筆臺灣版LOINC對照表。</p> <p><img alt="" src="/sites/default/files/images/5050.JPG" /></p> <h2><strong>一個健保碼，背後可能藏著267個LOINC碼</strong></h2> <p>專案完成後，團隊也進一步分析這5,050筆編碼成果，共涵蓋18個檢驗學門，前5大類包括生化、免疫、微生物、病毒及血液檢驗。</p> <p>根據統計，2025年健保共有760項檢驗項目，其中已有750項完成LOINC對應，涵蓋率幾乎達99%。不過，團隊也發現，超過一半的健保碼其實不只對應一個LOINC碼。</p> <p><img alt="" src="/sites/default/files/images/%E5%BB%A3%E5%BA%A6.JPG" /></p> <p>這是因為，健保碼主要是為了申報與給付而設計，比較像是「大分類」；LOINC則更進一步描述檢驗的細節，包括檢體種類、檢驗方法和檢驗內容等資訊，更像是「細分類」。</p> <p>例如特異過敏原檢測，在健保系統裡只是一個檢驗項目，但實際上可能檢測的是花粉、塵蟎、海鮮或其他過敏原。因此，最後可以對應到267個不同的LOINC碼。</p> <p><img alt="" src="/sites/default/files/images/267.JPG" /></p> <p>細菌培養也是同樣道理。雖然健保申報時可能使用同一個代碼，但如果檢體來自血液、傷口、痰液或其他部位，代表的臨床意義其實不同，因此最後可對應到265個LOINC碼。</p> <p>曹國倩表示，LOINC最大的價值，就是把原本被歸在同一類的檢驗項目，進一步拆解清楚。未來醫院交換資料時，不只知道病人做過什麼檢驗，也能清楚知道檢驗的是什麼、怎麼驗，及其代表的意義。</p> <h2><strong>完成對照表只是起點，下一步要讓醫院真的用起來</strong></h2> <p>這份臺灣版LOINC對照表已涵蓋99%的健保核價檢驗項目，也整理出臺灣最常使用的檢驗代碼。</p> <p>但在曹國倩看來，這份對照表只是起點。真正的挑戰是，如何讓各家醫院把這些代碼真正導入資訊系統，成為日常檢驗作業的一部分。</p> <p>為推動落地，專案期間，團隊也在北、中、南舉辦多場教育訓練與工作坊，邀請實際參與編碼的醫檢專家分享經驗，並培育超過20位種子講師，共有331人參與相關課程。</p> <p><img alt="" src="/sites/default/files/images/%E7%B6%93%E9%A9%97%E5%88%86%E4%BA%AB.JPG" /></p> <p>下一步，臺灣醫事檢驗學會也規畫建立LOINC專區網站，提供代碼查詢工具、教材、課程影片和專家問答服務，協助更多醫療院所導入LOINC標準。</p> <p><img alt="" src="/sites/default/files/images/%E5%B0%88%E5%8D%80.JPG" /></p> <p>曹國倩表示，過去醫院若要導入LOINC，往往自行到官方資料庫，從超過10萬筆代碼中尋找適合的項目，不僅耗時，也容易產生不同解讀。</p> <p>但現在有了臺灣版LOINC對照表，醫院可以優先從這5,050筆常用代碼中查找，大幅降低導入門檻。「先從這5,050筆裡面找，如果真的沒有，再去官方資料庫找特殊項目就好。」她說。</p> <p>她也點出，未來可預見越來越多醫院導入LOINC，光靠人工編碼恐怕難以滿足需求。因此她建議，下一步可建立AI輔助編碼工具，先由AI推薦最相關的LOINC候選代碼，再由醫檢專家確認，加速醫院完成檢驗項目標準化。</p> <p></p> </div></div></div>
6/17 20:19作者王若樸https://www.ithome.com.tw/news/176709
環境部、金管會聯手協調企業永續揭露規範，範疇三免強制確信並將建立本土碳排係數
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>為減輕企業在永續揭露與碳盤查上的遵循負擔，環境部與金管會近期完成跨部會協商，環境部宣布將調和溫室氣體盤查規範、共同建置範疇三碳排放係數資料庫，並研擬企業反漂綠指引。</p> <p>這項措施為呼應歐盟近期透過永續綜合套案（EU Omnibus I）放寬與簡化企業永續揭露要求的趨勢，並希望降低企業重複盤查與查驗成本，協助企業更務實推動淨零轉型。</p> <p>在企業棘手的範疇三（Scope 3）排放揭露方面，環境部也與金管會進一步釋出彈性。</p> <p>去年底金管會已公布上市櫃公司分三階段接軌IFRS永續揭露準則，其中的第三階段、實收資本額未達50億元的企業，將自2028年起適用相關準則，並於2029年開始申報。依規畫，範疇三資訊將延後至適用準則後第4個會計年度才需揭露，換言之，第三階段企業最快可於2032年揭露2031年度的範疇三盤查數據。</p> <p><img alt="" src="/sites/default/files/images/%E6%88%AA%E5%9C%96%202026-06-17%20%E4%B8%8B%E5%8D%885_34_13.jpeg" style="width: 600px; height: 334px;" /></p> <p>此外，目前IFRS準則以及環境部、金管會相關規定，均未要求範疇三數據必須取得第三方確信，以此希望降低企業初期導入成本。</p> <p>金管會也正透過問卷調查，評估參考歐盟及國際趨勢，進一步簡化中小型上市櫃公司適用永續揭露準則的要求，包括延後或豁免氣候以外的永續資訊，以及範疇三排放資訊揭露的可能性，藉此降低中小企業在永續轉型過程中的負擔。</p> <p>兩個部會也著手解決企業長期反映的「重複盤查」問題。由於環境部與金管會過去在盤查與查驗時程及規範上存在差異，企業往往需要投入額外人力與成本。未來金管會將允許企業直接引用環境部列管事業的範疇一、範疇二查驗結果，並將相關確信申報期限放寬至每年10月底，透過申報期程一致化，減少企業重複作業。</p> <p>另一方面，範疇三排放長期被視為企業碳管理最困難的一環，主要原因在於供應鏈資料蒐集不易，以及缺乏本土化碳排放係數等等。環境部準備與經濟部、金管會等部會合作，逐步建立臺灣本土範疇三碳排放係數資料庫。有鑑於半導體及電子零組件製造業在臺灣出口占比高，且受到國際供應鏈減碳要求影響最深，將是首波優先建置對象。</p> <p><span style="font-size:22px;"><strong><span style="color:#B22222;">今年底公布永續獎項與標章反漂綠指引</span></strong></span></p> <p>針對近幾年快速興起的ESG獎項與永續標章市場宣傳亂象。環境部指出，部分企業透過引用未經驗證的獎項、標章或片面強調特定永續成果進行宣傳，已引發外界對漂綠（Greenwashing）的疑慮。環境部預計於今年底前訂定「企業使用永續獎項與永續標章之反漂綠指引」，參考歐美最新規範，要求相關宣稱須具備證據基礎、揭露利益關係，並避免使用容易誤導消費者與投資人的模糊表述。</p> <p><img alt="" src="/sites/default/files/images/%E6%88%AA%E5%9C%96%202026-06-17%20%E4%B8%8B%E5%8D%885_28_35.jpeg" style="width: 600px; height: 294px;" /></p> <p>根據規畫，未來企業在廣告、永續報告書及產品行銷中使用永續獎項與標章時，需遵循「真實有效」、「範圍相稱」及「禁止模糊」三大原則；而評鑑與頒獎單位也應公開評選標準、揭露與被評企業間的利益關係，並將重大違規事件納入評估，以提升永續評比制度的公信力。</p> </div></div></div>
6/17 17:42作者蘇文彬https://www.ithome.com.tw/news/176706
巴西外送龍頭iFood個資外洩，業者證實120萬用戶受影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>外送服務普及已成常態，由於平臺掌握龐大民眾個資，一旦遭駭往往引發嚴重社會影響。近期巴西發生這類涉及民生服務的資安事件，當地龍頭業者<strong><a href="https://www.youtube.com/watch?v=3i0DPfYKf84">iFood在6月4日傳出遭駭</a></strong>消息，該公司後續在6月10日發布<strong><a href="https://institucional.ifood.com.br/clientes/vazamento-de-dados-do-ifood/">資料外洩公告</a></strong>公開說明此事，指出其資料庫曾於2025年12月遭非法存取，導致約120萬名用戶的姓名、CPF號碼（巴西身分證號）、電話及地址外洩。</p> <p>這起資料外洩事件之所以曝光，主要是有駭客兜售相關資料。根據<strong><a href="https://hackread.com/ifood-confirms-data-breach-brazil-users/">資安媒體Hackread報導</a></strong>指出，一名代號為bacen的駭客在BreachForums論壇上發文聲稱，竊取iFood平臺約4,380萬筆客戶記錄，並威脅若不支付贖金，將分批公開竊得的資料。雖然iFood已否認外界傳言4千多萬筆資料外洩的說法，並表示該數據與事實不符，但駭客釋出的樣本資料已引起資安界高度關注，擔憂實際受害規模遠超官方揭露之數據。</p> <p>Hackread另也引述當地新聞媒體TecMundo取得一名研究人員的說法，指出iFood承認的120萬人資料外洩事件，與去年12月發生的安全問題可能完全無關。這意味著該平臺可能面臨多次入侵，或是平臺業者調查時的事件歸因上存在嚴重落差。相關問題仍有待後續進一步釐清。</p> </div></div></div>
6/17 18:15作者羅正漢https://www.ithome.com.tw/news/176700
Snap發表要價2,195美元的AR眼鏡Specs
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Snap周二（6/16）於Augmented World Expo（AWE）2026<a href="https://newsroom.snap.com/introducing-specs-augmented-reality-glasses" target="_blank">正式發表擴增實境（AR）眼鏡Specs</a>，售價2,195美元，即日起開放預購，預計今年秋季於美國、英國及法國出貨。</p> <p>Snap成立於2011年，以主打照片與訊息限時消失的社交通訊服務Snapchat起家。除了軟體服務外，Snap近年也持續投入硬體布局，先後推出多代的Spectacles智慧眼鏡，並曾於2022年推出自拍空拍機Pixy，Specs則是該公司最新一代AR眼鏡產品。</p> <p>Specs採全獨立設計，不需搭配手機、外接主機或外接電池即可運作。使用者可透過眼鏡觀看虛擬螢幕、瀏覽網頁、觀看影片、執行AR應用及獲得AI協助，也能透過EyeConnect功能與其他配戴者共享AR體驗。</p> <p>在硬體設計上，Specs搭載兩顆Snapdragon處理器，其中一顆負責電腦視覺運算，另一顆負責執行AR Lens應用。Snap表示，雙晶片架構可支援快速手勢追蹤與低延遲互動，讓虛擬內容更自然地固定於現實環境中。顯示系統提供51度視野角與1,600萬色顯示能力，並提供47毫米與52毫米兩種尺寸，重量分別為132公克與136公克。單次充電最長可使用4小時，搭配充電盒則可延長至20小時。</p> <p>Snap將Specs定位為可戴在臉上的獨立式AR電腦。該公司表示，Specs可將周遭空間轉變為工作與娛樂環境，讓使用者在眼前投放螢幕、瀏覽網頁、觀看串流內容、開啟白板、執行AR應用，並透過AI理解眼前環境，在工作、學習或創作時提供即時協助。</p> <p>目前開發者已為Specs打造數百款Lens應用，包括可協助判讀高爾夫果嶺的工具、在鼓組上疊加互動教學的Drum Kit，以及可將抽象力場視覺化的Vector Fields等教育工具，凸顯AR眼鏡在娛樂、學習與共享體驗上的應用潛力。</p> <p>Specs目前已於官方網站開放預購，消費者需支付200美元的可退還訂金。不過，2,195美元的售價也引發外界質疑，因為此一價格已接近高階電視與高階遊戲電腦，<a href="https://x.com/raywongy/status/2066996996485898560" target="_blank">Gizmodo資深編輯Ray Wong則在X上表示</a>，沒有人會真的用只有51度視野的AR眼鏡來做電腦工作或延伸螢幕，<a href="https://x.com/raywongy/status/2066945152485150758" target="_blank">更說在看到它的價格之後</a>，有99%的人會直接放棄。</p> </div></div></div>
6/17 15:31作者陳曉莉https://www.ithome.com.tw/news/176701
【資安日報】6月17日，歐洲理事會驚傳遭ShinyHunters入侵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/176671"><strong style="font-size: 22px;">歐洲理事會傳資料外洩，駭客組織ShinyHunters聲稱竊得43萬份資料</strong></a></p> <p><a href="/sites/default/files/images/Council of Europe on ShintyHunters leak site-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/Council%20of%20Europe%20on%20ShintyHunters%20leak%20site-63.jpg" style="width: 300px; float: right;" /></a></p> <p>駭客組織ShinyHunters本周宣稱，駭入歐洲理事會（Council of Europe）內部系統，竊走歐洲多國人員薪資等42.9萬份檔案，內容涵蓋多個歐洲理事會分部的人事及薪資檔案，包括上萬名員工2011到2026年間的薪資單約40.9萬份、內部人事檔案3,700多份、1.4萬份履歷表。外洩的資料型態眾多，包括員工ID、地址、電話號碼、出生日期、薪資、銀行帳號、稅務和社會安全碼資訊、醫療資料和出勤記錄、任務資訊及其他內部機構資料。歐洲理事會以正在著手調查為由，現階段拒絕評論。</p> <p><a href="https://www.ithome.com.tw/news/176648"><strong style="font-size: 22px;">中國駭客組織UNC6508鎖定美國醫療與國防研究機構竊取機密</strong></a></p> <p><a href="/sites/default/files/images/Nintendo-21-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/Nintendo-21-63.jpg" style="width: 300px; float: right;" /></a></p> <p>根據科技新聞網站TechNadu報導，自稱為SHADOWBYT3$的駭客6月13日在地下論壇張貼勒索訊息，宣稱從任天堂的TINYpulse系統竊得近859 MB資料，喊價200萬美元作為贖金。TINYpulse是蒐集員工匿名反饋意見的員工關係管理平臺。這名駭客宣稱從TINYpulse取得員工姓名、電子郵件、分析報告、銀行對帳單PDF檔、以及職場問卷，涵括2016年到2026年的資料。任天堂在同一天接獲勒索恐嚇信，駭客要求任天堂48小時做出回應，若在6月15日前未接獲聯繫，他們將公開竊得資料。</p> <p><a href="https://www.ithome.com.tw/news/176672"><strong style="font-size: 22px;">駭客組織ShinyHunters鎖定教育科技公司Infinite Campus，竊取13.7萬名師生個資</strong></a></p> <p>今年3月，勒索軟體駭客ShinyHunters聲稱入侵教育科技公司Infinite Campus，從該公司使用的Salesforce平臺竊得1.2 GB的檔案，由於該公司為美國逾3,200個學區提供學生資訊系統，範圍涵蓋46個州、握有約1,100萬名學生個資，使得這起事故在美國受到關注。根據資安新聞網站Bleeping Computer報導，密碼外洩查詢網站Have I Been Pwned（HIBP）本週將這起事故納入資料庫，並指出約有137,100個帳號的資料外洩。</p> <p><a href="https://www.ithome.com.tw/news/176679"><strong style="font-size: 22px;">德國多家醫院病患資料外洩，起因於醫療帳務委外服務商Unimed遭駭，突顯第三方供應鏈攻擊風險</strong></a></p> <p>近日，德國多家大學附設醫院陸續發布資安事故公告，揭露因委外服務商Unimed遭駭導致的資料外洩災情。受影響的醫院與規模如下：弗萊堡大學附設醫院揭露有5.4萬名病患個資外洩，其中 900名病患的帳單資料遭竊；海德堡大學附設醫院指出1.1萬名病患個資外洩，2,700名病患帳單資料被竊；科隆大學附設醫院表示約3萬名病患紀錄受影響；而烏姆大學附設醫院也同樣證實數千名病患資料遭竊。Unimed發布公告指出，該公司於4月14日遭到攻擊。</p> <p><a href="https://www.ithome.com.tw/news/176662"><strong style="font-size: 22px;">冒充官員鎖定CEO！波蘭政府警告大型企業當心社交工程威脅</strong></a></p> <p>波蘭數位事務部於6月12日發布警訊，近期出現偽冒當地政府官員的社交工程活動。駭客試圖藉此與大型企業執行長取得聯繫，最終目的可能在於竊取敏感資料、植入惡意軟體或詐取資金。網路犯罪分子主要利用社交工程手法，在WhatsApp和Signal等即時通訊軟體上冒充政府官員與VIP人士。為了提高可信度，攻擊者會從官員的官方帳號下載照片與個人資料來建立偽冒帳號，但使用的電話號碼與官員實際登記的並不相同。</p> <p><a href="https://www.ithome.com.tw/news/176681"><strong style="font-size: 22px;">勒索軟體Anubis攻擊亞得里亞海港務局，索討千萬美元贖金</strong></a></p> <p><a href="/sites/default/files/images/36fc9b4eb9fbf6b8f27b17afbd95bb1f-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/36fc9b4eb9fbf6b8f27b17afbd95bb1f-63.jpg" style="width: 300px; float: right;" /></a></p> <p>今年1月，義大利亞得里亞海港務局證實遭遇勒索軟體Anubis攻擊，當時該機關表示事故發生在去年12月，約有2%資料外流。近日資安公司Resecurity指出，駭客向員工寄送帶有惡意附件的釣魚信來接觸該組織，成功入侵後便進行權限提升，在內部網路橫向移動，然後利用港務局IT基礎設施中尚未修補的漏洞，逐步取得重要系統的控制權。值得注意的是，本次攻擊駭客並未直接針對OT環境的基礎設施，而是入侵M365與Azure等IT系統來達到目的，使貨物追蹤、船期排程及海關作業等核心系統全面癱瘓。</p> <p><a href="https://www.ithome.com.tw/news/176684"><strong style="font-size: 22px;">中國駭客Earth Lusca打造惡意軟體SprySOCKS變種，於政府機關從事攻擊活動</strong></a></p> <p><a href="/sites/default/files/images/FishMonger-figure-10-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/FishMonger-figure-10-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安公司ESET指出，他們發現中國駭客組織Earth Lusca，將原本針對Linux環境的後門程式SprySOCKS，開發出衍生的Windows版本，他們起初在VirusTotal發現惡意檔案，進一步比對遙測資料，發現這些駭客在2023至2024年用於攻擊行動，受害組織主要是政府機關，範圍涵蓋臺灣、宏都拉斯、泰國和巴基斯坦。ESET一共看到兩種Windows版的SprySOCKS變種WIN_DRV與WIN_PLUS，其中又以WIN_DRV較為特別，內建核心驅動程式RawWNPF來隱藏網路連線。</p> <p><a href="https://www.ithome.com.tw/news/176656"><strong style="font-size: 22px;">Awesome Motive旗下外掛遭供應鏈攻擊，120萬個WordPress網站受影響</strong></a></p> <p>資安業者Sansec於6月13日揭露，Awesome Motive旗下OptinMonster、TrustPulse及PushEngage的JavaScript檔案遭駭客植入惡意程式，導致使用相關外掛的WordPress網站面臨後門植入風險，影響規模超過120萬個網站。Awesome Motive則說，駭客是利用第三方WordPress備份外掛UpdraftPlus的已知漏洞，取得其行銷網站伺服器存取權。</p> <p><a href="https://www.ithome.com.tw/news/176660"><strong style="font-size: 22px;">UpdraftPlus WordPress外掛程式漏洞攻擊活動升溫，Wordfence單日攔截逾7萬次攻擊嘗試</strong></a></p> <p>資安業者Wordfence近日警告，6月10日揭露的WordPress網站備份外掛程式UpdraftPlus漏洞CVE-2026-10795，已出現明顯的攻擊活動升溫跡象。根據Wordfence漏洞資料庫統計，該公司旗下防護服務曾在單日內攔截超過7.4萬次針對此漏洞的攻擊嘗試，顯示攻擊者已開始大規模掃描與利用尚未修補的網站，UpdraftPlus用戶應儘速升級至已修補版本，免費版用戶應升級至1.26.5版，Premium付費版用戶則升級至2.6.5版。</p> <p><a href="https://www.ithome.com.tw/news/176670"><strong style="font-size: 22px;">美國警告Joomla外掛JCE的滿分重大漏洞已被用於實際攻擊活動</strong></a></p> <p>6月16日美國網路安全與基礎設施安全局（CISA）提出警告，由軟體廠商Widget Factory開發的Joomla外掛程式Joomla Content Editor（JCE），存在重大漏洞CVE-2026-48907，CISA已掌握積極利用該弱點的攻擊跡象，因此，他們將其列入已遭利用的漏洞名單（KEV），並要求聯邦機構在6月19日前完成修補。此為存取控制不當類型的弱點，攻擊者有機會造成PHP程式碼上傳及執行，CVSS v4.0評為滿分10分。</p> <p><a href="https://www.ithome.com.tw/news/176663"><strong style="font-size: 22px;">Jenkins修補重大遠端執行程式碼漏洞，攻擊者已開始利用漏洞試圖入侵企業CI/CD環境</strong></a></p> <p>資安業者Defused Cyber於6月15日警告，開源自動化CI/CD平臺Jenkins的遠端執行程式碼漏洞CVE-2026-53435，漏洞的CVSS嚴重性評分達8.8分，已遭攻擊者實際利用，可能影響企業CI/CD建置流程的安全性，用戶應儘速升級至已修補的2.568版與LTS 2.555.3版。該公司已觀察到攻擊者利用自動化掃描工具搜尋暴露於網際網路的Jenkins主機，並嘗試利用前述漏洞發動攻擊。Jenkins專案已於6月10日發布修補版本，用戶應儘速更新。</p> <p><a href="https://www.ithome.com.tw/news/176694"><strong style="font-size: 22px;">Fortinet沙箱平臺3個已知漏洞傳出遭到嘗試利用</strong></a></p> <p>上週資安公司Fortinet修補重大等級的作業系統指令注入漏洞CVE-2026-25089，威脅情報公司Defused Cyber於6月16日在社群網站X發文警告，他們看到有人試圖利用CVE-2026-25089、CVE-2026-39813、CVE-2026-39808等已知漏洞攻擊FortiSandbox系統，根據駭客利用CVE-2026-25089的手法，該公司研判是借助AI的力量來達到目的。Defused Cyber提及，這是首度有人成功利用CVE-2026-39813的攻擊活動。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=162813&SPOKE_DATE=20260616&COMPANY_ID=6128"><strong style="font-size: 22px;">上福全球科技子公司Katun遭網路攻擊</strong></a></p> <p>耗材與影像輸出解決方案業者上福全球科技（6128）於6月16日，於股市公開觀測站代重要子公司Katun Corporation發布重大訊息，指出該公司發生網路資安事件，目前已啟動相關應變與調查程序，並評估事件對營運的影響。針對這起事故造成的影響，上福根據初步調查結果指出，尚未對公司整體營運、財務狀況或客戶服務造成重大影響。</p> <p><a href="https://www.ithome.com.tw/news/176653"><strong style="font-size: 22px;">美國政府要求Anthropic停止對外國用戶提供Claude Fable 5，原因是傳出有人能成功越獄</strong></a></p> <p>上週Anthropic正式發表Claude Fable 5與Mythos 5，不料3天後突然因美國政府禁令被迫宣布停用，有科技新聞網站指出，傳出至少有兩組研究團隊已能成功越獄。根據科技新聞網站SiliconANGLE報導，美國商務部下達出口管制令的原因，很有可能源自英國資安研究機構AI Security Institute（AISI）紅隊負責人Xander Davies的推文；華爾街日報指出，美國政府下令禁止所有外國人士使用，疑似源自Amazon總裁Andy Jassy向美國官員透露已成功越獄的情形。</p> <p><a href="https://www.ithome.com.tw/news/176509"><strong style="font-size: 22px;">微軟整合雲端防護與程式碼安全工具，協助企業依正式環境風險排序漏洞修補</strong></a></p> <p>微軟在Build 2026揭露軟體安全布局，宣布兩大產品的原生整合正式推出，它們分別是雲端資安防護服務Microsoft Defender for Cloud，以及程式碼安全服務GitHub Code Security，讓企業能將正式環境中的風險資訊納入程式碼漏洞管理與修補流程。企業可透過GitHub connector連接GitHub組織或儲存庫，讓系統自動對應來源儲存庫與正在執行的雲端工作負載，協助團隊判斷哪些漏洞已實際影響運作中的工作負載，應優先修補。</p> <p><a href="https://www.ithome.com.tw/news/176539"><strong style="font-size: 22px;">OpenAI、Visa合作共推AI代理人安全支付技術</strong></a></p> <p>國際支付卡組織Visa宣布與OpenAI合作，將把其支付網路及安全、身分驗證技術整合到OpenAI ChatGPT使用體驗中，以實現消費者及企業AI代理式支付的安全及流暢度，這項合作讓開發人員或店家得以接受由AI代理人啟動的Visa支付，雙方也計畫將支付安全機制整合到開發或業務流程。其中，Visa將提供底層全球支付網路、支付憑證記號化（tokenization）、授權、代理人識別及風險管理基礎架構以確保交易安全性。</p> <p><a href="https://www.ithome.com.tw/news/176652"><strong style="font-size: 22px;">2026年CVE數量恐破6.6萬個，FIRST國際資安應變組織提四項應對建議</strong></a></p> <p>FIRST國際資安應變組織於6月15日舉行的第38屆年會裡，發布2026年年中漏洞預測報告，當中指出今年登記在案的CVE漏洞數量將呈現史無前例的激增。根據FIRST最新公布資料顯示，2026年1至4月的實際披露量已較原先預估多出約6,420個漏洞，比例高出46.3%，這使得全年總量從2月份預估的59,427個，現在上修至約66,000個。FIRST指出，這波CVE數量暴增並非軟體安全性下降，而是反映漏洞挖掘技術與回報機制的結構性轉變。</p> <p><a href="https://www.ithome.com.tw/news/176613"><strong style="font-size: 22px;">資安署開辦「資安專家會客室」，中小企業可免費申請預約</strong></a></p> <p>數位發展部資通安全署針對中小企業的資安輔導措施，於6月11日開辦「資安專家會客室」服務，將邀請具備實務經驗的專家，針對企業面臨的駭客入侵、機敏資料保護等關鍵議題，提供一對一的客製化具體行動建議，並於後續主動關懷企業的落實情況。資安專家會客室採線上視訊為主、實體面談為輔進行，讓缺乏資源的中小企業可以免費預約諮詢。活動期間為6月11日起至10月底，每週共計舉行6場，預估整體量能可達100場次以上。</p> <p><a href="https://www.ithome.com.tw/news/176562"><strong style="font-size: 22px;">當Physical AI走進現實，一張傳單就可讓機器人出拳攻擊</strong></a></p> <p>【臺灣資安大會直擊】專精車用資安與機器人資安的VicOne執行長鄭奕立指出，在Physical AI（物理AI）的世界裡，機器人的手腳可能會直接傷害人類。只需一張含戰鬥指令的傳單，就能操控機器狗由友善互動轉為攻擊行為。此現象凸顯AI機器人面臨五大資安威脅層面，包括感測器欺騙、AI模型劫持、無線通訊滲透、軟體供應鏈漏洞及硬體弱點。對此，鄭奕立認為，強調資安必須在設計端同步納入，確保未來機器人服務落地時能兼顧安全與隱私。</p> <p><a href="https://www.ithome.com.tw/news/176473"><strong style="font-size: 22px;">英國試辦AI臉部年齡估算技術，強化邊境移民身分審查</strong></a></p> <p>為了強化國家安全，政府機關導入臉部辨識機制來防範犯罪行為，不過也可能造成隱私層面的疑慮。英國內政部在5月底發布官方指引，宣布在多佛（Dover）等重要邊境港口與拘留中心，全面啟動AI臉部年齡估算技術，協助第一線執法人員對難民與尋求庇護者進行初步的年齡判定，以防範成年人蓄意隱瞞真實年齡、冒充未成年兒童入境，然而，人權團體與隱私倡議組織質疑演算法的準確性、對不同族群可能存在的特徵偏誤，以及個資隱私權保護的擔憂。</p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/176657"><strong>【6月16日】上百名資安專家連署反對Claude Fable禁令</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176604"><strong>【6月15日】美國政府禁止外國人士使用Claude Fable</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176576"><strong>【6月12日】Oracle PeopleSoft零時差漏洞被用於大規模攻擊</strong></a></p> </div></div></div>
6/17 16:18作者周峻佑https://www.ithome.com.tw/news/176698
Google Vertex AI SDK模型上傳流程漏洞，恐遭攻擊者跨租戶執行任意程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Palo Alto Networks旗下資安研究團隊Unit 42<strong><a href="https://unit42.paloaltonetworks.com/hijacking-vertex-ai-model/">揭露</a></strong>Google Cloud Vertex AI SDK for Python一項已修補漏洞，攻擊者可能在未取得受害者Google Cloud專案權限的情況下，利用模型上傳流程的暫存儲存設計缺陷，替換使用者原本要部署的機器學習模型，並在模型上線後執行任意程式碼。</p> <p>該漏洞出現在模型註冊前的暫存流程。開發者透過Vertex AI SDK上傳模型時，若未指定自己的暫存儲存位置，舊版SDK會依據Google Cloud專案識別碼與區域，自動產生一個預設儲存桶（bucket）名稱。Unit 42指出，當時SDK只確認這個名稱是否已存在，卻沒有進一步檢查該儲存桶是否真的屬於呼叫者的專案。</p> <p>由於Google Cloud的儲存桶名稱在全球範圍內不能重複，攻擊者若知道受害者的專案識別碼，就可能先在自己的雲端專案建立同名儲存桶。如此一來，當受害者使用預設流程上傳模型時，模型構件可能被送到攻擊者控制的儲存位置，而不是受害者自己的環境。</p> <p>攻擊者還可設定自動觸發的雲端函式，在受害者模型檔案上傳後立即替換成惡意檔案。研究團隊測試發現，模型上傳完成到Vertex AI服務代理讀取檔案之間約有2.5秒時間差，攻擊者若能在這段時間完成替換，就可能讓Vertex AI後續讀取並部署遭竄改的模型。</p> <p>後續風險來自Python機器學習常見的模型儲存方式。許多模型會透過Joblib或pickle保存成檔案，而pickle在還原物件時可能執行程式碼。當攻擊者控制模型檔案，Vertex AI服務環境在載入模型時，就可能觸發惡意程式碼。Unit 42在概念驗證中表示，攻擊程式可嘗試讀取服務帳號電子郵件與OAuth存取權杖、容器環境變數以及雲端中繼資料，並把資料送往攻擊者控制的端點。</p> <p>不過，這項攻擊要成立需要多個條件配合，包括受害者尚未在該區域建立預設暫存儲存桶、未自行指定暫存位置，攻擊者也必須知道受害者的專案識別碼，並在極短時間內完成檔案替換。</p> <p>Google已修補此問題，Unit 42指出，修正重點是在模型上傳流程加入儲存桶權屬驗證，以避免SDK只因同名儲存桶存在就繼續上傳。研究人員建議開發者升級至1.148.0或更新版本，並在上傳模型時明確指定由自己控制的暫存用儲存桶。</p> </div></div></div>
6/17 14:55作者李建興https://www.ithome.com.tw/news/176695