iThome

台灣·近期無新文章

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 0篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 19:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

AWS更新AI助理Amazon Quick，新增自主代理與跨企業資料來源查詢
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>AWS公開AI助理<strong><a href="https://aws.amazon.com/blogs/machine-learning/get-back-hours-every-day-with-autonomous-agents-in-amazon-quick/">Amazon Quick新功能</a></strong>，包括可在背景持續處理工作的自主代理、強化後的活動摘要，以及跨企業內部資料來源查詢等能力。Amazon Quick是AWS針對日常工作場景推出的AI助理，使用者可透過Quick連接常用應用程式與資料來源，包括檔案、電子郵件、行事曆、即時訊息與業務系統，再用自然語言要求Quick整理資料、產出文件或協助處理例行工作。</p> <p>本次更新重點在於自主代理，使用者可用自然語言描述要處理的工作，或選用預先設定的代理範本，並決定代理要依照明確步驟執行，或在較廣的目標下自行判斷流程。官方舉例，業務人員可設定代理持續追蹤客戶互動與客戶關係管理系統資料，用來標記停滯的銷售案、草擬後續聯繫內容，或更新客戶關係管理系統中的備註。企業也可用代理彙整法規變更對業務的影響，或協助處理採購單。</p> <p>新版活動摘要會整合電子郵件、即時訊息、行事曆與待辦事項，彙整成經過優先排序的工作清單。AWS表示，Amazon Quick會依據使用者回覆訊息、略過討論串與一周主要工作主題等互動情況調整排序，並讓使用者直接在活動清單中回覆、轉寄、核准或委派事項。</p> <p>在整合服務方面，AWS這次新增16項整合，包括Adobe、Figma、Google Chat、Microsoft OneNote、Shopify、Snowflake與Zapier等服務，讓Quick連接外部資料來源、商業工具與日常應用程式，使技能、代理與連接器能取用企業已授權的資訊與系統。Amazon Quick新加入的跨企業資料來源查詢能力，官方舉例，當交易歷史存放在Salesforce、互動資料在Databricks、區域目標在規畫試算表中，使用者可用一個問題要求Quick組合這些來源並回傳答案。</p> <p>另外，使用者也可透過對話建立在Quick中執行的Web應用程式，並發布分享給其他對象使用。該應用程式發布與分享能力目前開放Plus用戶使用，Professional與Enterprise用戶則可透過受控預覽使用。</p> </div></div></div>
6/23 18:22作者李建興https://www.ithome.com.tw/news/176811
善用ERP產品優勢卡位企業AI代理市場，鼎新數智發表AI代理協作平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>鼎新數智2年前從ERP軟體商轉型為AI平臺商，今天發表瞄準企業AI代理應用需求的Agent Space服務，採取雙軌Agent空間的平臺設計，搭配統一管理機制，支援落地部署形式。特色是能直接串接鼎新ERP等既有產品，來打造多種產業場景的Agent協作流程。</p> <p>鼎新數智執行副總潘泰龢表示，企業內部AI運作需要一套分層的基礎設施架構，由下而上，在算力層、模型層、數據層之上，還需要智能協作層和智能體層。鼎新數智希望成為AI原生企業基礎設施的供應商，透過Agent Space平臺瞄準最後兩層的需求。</p> <p>Agent Space整合了鼎新數智的製造業和流通業Know How，例如使用大型製造業的訂單和發票資料來微調後端模型，提高AI代理理解不同產業場景表單的能力。鼎新數智也提出不同場景的AI代理應用流程，例如接單流程智慧化、備料決策智慧化、急單救援智慧化。</p> <p>以急單救援智慧化為例，AI代理可以從Email監控中，偵測到客戶來信通知3天後提前交貨，並同步監控MES、工單、設備、在製品等資訊，透過生管分身（即AI代理）分析哪條產線可支援、哪張工單可延後，以及是否需要加班或委外等。同時，也能偵測相關設備產能、備料狀態，以及特殊優先工單的安排等。</p> <p>不同角色的專家AI代理，如採購分身、生管分身、倉管分身和真人，可以啟動緊急會議，重排工單或調度物料。最後，系統會將這次急單處理過程和各部門協作方式記錄下來，建立知識庫。鼎新數智表示，Agent Space目前可提供執行類和決策類的製造業專家AI代理，支援上述場景的協作。</p> <p>鼎新數智副總裁黃昱凱補充，這套產品雖然採用GCP的Gemini Enterprise技術，但可以落地部署到企業內部。呼叫AI模型時，系統會先將資料去除機敏內容，再上傳到公雲AI模型。</p> <p>在產品架構中，Agent Space區分為企業空間和個人空間。在企業空間中，提供3種Agent（鼎新數智稱為分身），包括指揮官分身、不同的專家分身和個人化分身。企業可以依據組織專職角色，針對不同單位設計不同角色的AI代理，而「指揮官分身」則用於協調不同專長的AI代理。整套平臺採取集中化管理設計，提供多AI代理協作環境，並可追溯所有AI代理操作和對話紀錄，以落實治理。</p> <p>個人空間則採取邊緣架構設計，員工個人資料儲存在個人電腦上、不上雲，但仍接受企業角度的控管，可用來處理個人作業、Email、製作簡報等工作。</p> <p>另外，在個人空間中，系統會自動提取使用者的溝通風格、決策邏輯、價值觀等，設計企業空間中的個人化分身，作為使用者的分身，代表使用者操作企業系統，或與其他AI代理協作。在使用者授權下，個人化分身就能呼叫獲得授權的技能，存取企業資料，執行被交付的任務，如整理信件、蒐集資訊等。</p> <p>個人分身所使用的技能還可以自動模組化和自動迭代，發展到一定程度後，自動匯入企業空間，成為企業知識庫中的技能之一，再分享給其他使用者。甚至，這些技能模組還可以放入鼎新數智提供的能力交易市集，與其他公司交易。這個能力交易平臺支援ISV、個人上傳Skills來交易。</p> <p><img alt="" src="/sites/default/files/images/AI%E4%BB%A3%E7%90%86%E4%BA%A4%E6%98%93%E5%B8%82%E9%9B%86.png" /></p> <p>不過，這些Skills採取鼎新數智專屬的技能架構設計，不支援開放的Agent Skills規格。關鍵業務邏輯封裝在Agent Space後端，僅在Skills描述檔中揭露部分行為、操作指令，以及呼叫後端邏輯的指令。鼎新數智想透過這種方式，建立自己獨有的AI代理技能生態圈。</p> <p>網通設備商主向位科技是第一批先行試用的企業之一。他們今年5月開始，先導入請購、採購時的人工打單輸入作業。原本由人工作業得花半天，現在AI幾分鐘就可以完成，未來計畫導入決策類的代理應用。</p> <p>主向位科技資訊部經理張峯銘表示，過去靠人工打單，將Email或紙本訂單、發票等表單內容輸入ERP，現在改靠AI自動偵測和理解Email內容，代替真人進入ERP輸入訂單或更新資料，後續再串聯原有的系統作業流程。「AI打單的正確率超過9成，還有一些小型供應商的手寫發票或單據仍需人工處理。」</p> <p>張峯銘補充，這套Agent Space可以直接串接鼎新的ERP系統，不用自行介接或拋轉資料，節省許多開發工作，這是採用的主要關鍵。</p> <p>鼎新數智表示，既有產品線如ERP、BPM、HRM、MES等正在進行重構，只要企業採用AiGP升級版，就能無縫整合到Agent Space的代理。提供訂閱制和用量計價這兩種計價方式。</p> <p>鼎新數智運營方案中心經理陳威弟表示，Agent Space採取Open API方式串接鼎新自家產品，而非採用MCP方式介接，未來計畫支援其他廠牌ERP。目前只支援GCP的AI代理技術，等到A2A等跨Agent協定更成熟後，才會支援其他廠牌的AI代理技術。</p> </div></div></div>
6/23 19:15作者王宏仁https://www.ithome.com.tw/news/176816
【資安日報】6月23日，Fortinet回應FortiBleed資料外洩事故
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><h3><strong>本日新聞焦點</strong></h3> <p>● <a href="https://www.ithome.com.tw/news/176807#FortiBleed">Fortinet指出FortiBleed事故為舊資料再散布</a></p> <p>● <a href="https://www.ithome.com.tw/news/176807#Tata">印度Tata Electronics遭駭恐洩露蘋果、特斯拉資料</a></p> <p>● <a href="https://www.ithome.com.tw/news/176807#MITRE">MITRE透露鋼鐵城與Project 60計畫</a> <a id="FortiBleed" name="FortiBleed"></a></p> <p> </p> <p><a href="https://www.ithome.com.tw/news/176784"><span style="font-size: 22px;"><strong>Fortinet研判FortiBleed為舊資料再散布，公布六大因應對策</strong></span></a></p> <p>近期有攻擊者針對Fortinet防火牆與VPN閘道器發動FortiBleed攻擊活動，引發資安界關注。對此事件，我們取得資安公司Fortinet的回覆，該公司指出，根據初步分析，網路上流傳的憑證資料很可能是過往資安事件的「再次散布」（resharing），並結合暴力破解手段取得，並非源於任何目前的系統漏洞或新的資安事故。針對此事件的防禦，Fortinet於官方部落格發布事件分析說明，同時提出內容更為細緻的六大因應方針，以協助企業強化設備安全。<a href="https://www.ithome.com.tw/news/176784">詳全文</a> <a id="Tata" name="Tata"></a></p> <p><a href="https://www.ithome.com.tw/news/176786"><span style="font-size: 22px;"><strong>印度Tata Electronics證實遭駭，疑似外洩蘋果、特斯拉資料</strong></span></a></p> <p>印度半導體暨電子製造巨擘Tata Electronics向媒體證實，該公司在幾個星期前部分系統發生資安事件，但強調此事對其各業務營運未造成影響。這起事故最早是印度資安研究員Rajshekhar Rajaharia發現，勒索軟體組織World Leaks宣稱駭入Tata Electronics，公布20萬份檔案，以及疑為蘋果、特斯拉的硬體元件設計及規格文件的螢幕擷圖，這些資料約630 GB，除了疑似客戶的文件外，也包含Tata Electronics的公司Outlook電子郵件、SAP資訊等。<a href="https://www.ithome.com.tw/news/176765">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176798"><span style="font-size: 22px;"><strong>Salesforce停用Klue Battlecards應用程式整合，起因是第三方應用程式供應商遭到攻擊</strong></span></a></p> <p>6月18日Salesforce發布資安公告，表示針對已安裝Klue Battlecards應用程式的用戶，他們已停用該應用程式與Salesforce之間的連接。起因是該公司近期偵測到Klue Battlecards應用程式出現異常活動，可能導致部分用戶資料遭到未經授權存取。AI競爭情報公司Klue隔日發布部落格文章進一步說明，該公司於6月12日察覺異狀，整合基礎設施出現未經授權活動，攻擊者透過與整合服務相關的外流憑證得到存取權限而得逞。<a href="https://www.ithome.com.tw/news/176798">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176796"><span style="font-size: 22px;"><strong>PCPJack活動攻擊230臺AWS、GCP、Azure伺服器，企圖架設SMTP中繼網路</strong></span></a></p> <p><a href="/sites/default/files/images/PCPJack%2BHijacked%2B230%2BAWS%2C%2BGCP%2C%2Band%2BAzure%2BServers%2Bto%2BRun%2Ba%2BHidden%2BSMTP%2BRelay%2BNetwork%2B-%2Bfigure%2B1-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/PCPJack%2BHijacked%2B230%2BAWS%2C%2BGCP%2C%2Band%2BAzure%2BServers%2Bto%2BRun%2Ba%2BHidden%2BSMTP%2BRelay%2BNetwork%2B-%2Bfigure%2B1-63.jpg" style="width: 300px; float: right;" /></a></p> <p>今年4月資安公司SentinelOne揭露駭客組織PCPJack的攻擊行動，並指出駭客作案的特殊之處，竟是驅逐與清理與TeamPCP有關的攻擊工具，本月初威脅情報公司Hunt.io發布調查報告，該公司找到與PCPJack的C2基礎設施有關伺服器213.136.80[.]73，其中有一個公開的資料夾，總共存放12個檔案，內容包含原始碼、經過編譯的二進位檔案，以及開發狀態的事件記錄，Hunt.io分析資料後發現，這些駭客於3月曾入侵230臺伺服器，這些主機位於AWS EC2、GCP、Azure雲端環境。<a href="https://www.ithome.com.tw/news/176796">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176791"><span style="font-size: 22px;"><strong>Windows剪貼簿功能遭濫用，駭客散布USB蠕蟲竊取加密貨幣資產</strong></span></a></p> <p><a href="/sites/default/files/images/image-21-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/image-21-63.jpg" style="width: 300px; float: right;" /></a></p> <p>微軟揭露專門鎖定Windows電腦的加密貨幣剪貼簿惡意程式（Crypto Clipper），活動最早可追溯至今年2月，該惡意程式結合剪貼簿竊取、加密錢包地址替換、Tor匿名通訊與蠕蟲式自我擴散等多重手法，因此微軟認為，其威脅程度遠超一般竊資軟體。此惡意程式主要由兩個核心元件組成，其中一個是蠕蟲元件，負責自我複製與持續擴散，並透過排程工作維持在受害電腦活動；另一個是竊取機密的元件，負責監控剪貼簿、竊取加密貨幣資訊，然後回傳攻擊者。<a href="https://www.ithome.com.tw/news/176791">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176781"><span style="font-size: 22px;"><strong>資安研究人員揭露新型惡意軟體載入工具OXLoader，用於部署竊資軟體CastleStealer</strong></span></a></p> <p><a href="/sites/default/files/images/OXLoader4-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/OXLoader4-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安業者Elastic揭露新型惡意軟體載入工具OXLoader，主要被用於部署竊資軟體CastleStealer。OXLoader被偽裝成JavaScript執行平臺Node.js，或API監控工具API Monitor的安裝網站，濫用Google廣告引誘使用者下載與執行。此惡意程式執行後會透過多階段解密程序載入後續惡意程式，並採用多種分層混淆與反沙箱檢查措施，以規避靜態分析與沙箱偵測，還會將惡意程式碼隱藏於Windows檔案的.reloc區段。這款惡意工具會避開以俄羅斯為首的獨立國協地區，顯示攻擊者可能慣用俄語。<a href="https://www.ithome.com.tw/news/176781">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176724"><span style="font-size: 22px;"><strong>駭客鎖定遊戲玩家社群，濫用Steam Workshop平臺散布夾帶惡意程式的動態桌布軟體</strong></span></a></p> <p><a href="/sites/default/files/images/dozens-of-malicious-wallpapers19-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/dozens-of-malicious-wallpapers19-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安業者Kaspersky揭露針對遊戲玩家社群的攻擊活動，攻擊者利用Steam遊戲平臺內建的Steam工作坊（Steam Workshop），散布夾帶惡意程式的動態桌布軟體Wallpaper Engine。Kaspersky在Steam工作坊發現數十款惡意Wallpaper Engine動態桌布作品，相關樣本顯示攻擊者並非單一來源，而是已有多個駭客組織仿效此類手法。駭客主要透過兩種方式散布惡意程式，一種是直接將惡意EXE、DLL與指令碼打包至桌布套件；另一種則是將惡意程式藏於受密碼保護的壓縮檔內，誘騙使用者解壓與執行。<a href="https://www.ithome.com.tw/news/176724">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176715"><span style="font-size: 22px;"><strong>勒索軟體DragonForce濫用Microsoft Teams轉送伺服器隱匿C&C流量</strong></span></a></p> <p>Broadcom旗下Symantec與Carbon Black團隊揭露，勒索軟體組織DragonForce攻擊一家大型美國服務業公司時，使用以Go語言開發的自製遠端存取木馬Backdoor.Turn，將C2流量隱藏在Microsoft Teams使用的TURN（Traversal Using Relays around NAT）轉送基礎設施之中。對企業防禦人員而言，相關流量看似連往合法Microsoft Teams伺服器，因此更難察覺其中的惡意通訊。這起攻擊始於2025年12月，攻擊者在受害者網路停留約1至2個月。<a href="https://www.ithome.com.tw/news/176715">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176707"><span style="font-size: 22px;"><strong>JetBrains市集15款惡意外掛現身，竊取開發者AI服務API金鑰</strong></span></a></p> <p>資安業者Aikido發現JetBrains外掛市集中，出現一波鎖定開發者AI服務API金鑰的惡意外掛活動。研究人員表示，至少15款IDE外掛分屬7個發布者帳號，表面上偽裝成AI程式助理，提供聊天、產生提交訊息、程式碼審查、找出錯誤與產生單元測試等功能，但當使用者在外掛設定頁輸入OpenAI、SiliconFlow或DeepSeek等AI服務的API金鑰，外掛會在使用者按下套用後，除了把金鑰保存在本機設定中，也會把金鑰送到一個寫死在程式裡的網路位址。<a href="https://www.ithome.com.tw/news/176707">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176799"><span style="font-size: 22px;"><strong>熱門Chrome瀏覽器AI擴充套件存在重大漏洞，逾千萬用戶面臨敏感資料遭竊風險</strong></span></a></p> <p>資安公司Rebora揭露兩項Chrome瀏覽器熱門AI擴充套件的重大漏洞，影響SiderAI與MaxAI等兩款Chrome擴充套件，攻擊者僅需誘導受害者造訪惡意網站，即可能濫用擴充套件的權限發動攻擊，Rebora將他們發現的SiderAI與MaxAI漏洞，分別命名為Spyder與MaXSS，兩者都是源自擴充套件與網站之間的訊息傳遞機制設計不當，未能充分驗證來自網站的輸入內容，攻擊者只需架設惡意網站並誘導使用者造訪，即可能觸發漏洞。<a href="https://www.ithome.com.tw/news/176799">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176760"><span style="font-size: 22px;"><strong>醫療業勒索軟體風險升高，臺灣列受害案例增幅明顯地區</strong></span></a></p> <p>資安威脅情報業者Cyfirma發布醫療產業威脅報告，指出勒索軟體仍是醫療保健產業面臨的主要網路威脅之一。該公司追蹤過去90天全球勒索軟體受害情形，發現共有2,388個組織遭勒索軟體組織列名為受害者，其中216個屬於醫療產業，較前一統計期間增加8.5%。從區域分布來看，美國仍是醫療產業勒索軟體受害最集中的國家，占相關案例的53%。不過，醫療產業受害組織分布範圍已從33國擴大至42國，其中印度、德國、臺灣與中國的案例增幅相對明顯。<a href="https://www.ithome.com.tw/news/176760">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176770"><span style="font-size: 22px;"><strong>國際刑警組織示警亞洲與南太平洋網路犯罪升溫，AI與憑證竊取擴大攻擊鏈</strong></span></a></p> <p>國際刑警組織（Interpol）發布2025/2026年亞洲與南太平洋網路威脅評估報告，指出該地區網路犯罪活動規模持續擴大，線上詐騙、資訊竊取惡意程式、勒索軟體與AI濫用，正使攻擊鏈更趨複雜。從威脅類型來看，報告列出該地區通報量最高的5類網路犯罪，依序為線上詐騙與網釣、銀行木馬與資訊竊取惡意程式、勒索軟體、錯假訊息、資訊操弄與深偽（deepfake）相關犯罪，以及商業電子郵件詐騙（BEC）。<a href="https://www.ithome.com.tw/news/176770">詳全文</a></p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=180740&SPOKE_DATE=20260622&COMPANY_ID=6425"><span style="font-size: 22px;"><strong>自動化設備與智慧製造商易發旗下子公司東野精機、日福精工遭網路攻擊</strong></span></a></p> <p>專門設計、製造及銷售高科技自動化設備的上櫃公司易發精機（6425），於6月22日傍晚發布資安重訊，指出旗下的子公司東野精機與日福精工，遭不明人士入侵，將伺服器的資料加密，導致部分系統無法使用。兩家子公司在偵測到資訊系統遭到攻擊時，資安部門立即啟動相關防禦措施並進行系統復原，目前已陸續恢復。對於這起事故可能會帶來的衝擊，易發表示，根據他們的初步評估，對於兩家子公司運作無重大影響。<a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=180740&SPOKE_DATE=20260622&COMPANY_ID=6425">詳全文</a></p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=3&SPOKE_TIME=181259&SPOKE_DATE=20260622&COMPANY_ID=6146"><span style="font-size: 22px;"><strong>耕興資訊系統遭遇資安事件，啟動復原機制並報警處理</strong></span></a></p> <p>國內無線通訊與射頻測試驗證廠商耕興（6146）於6月22日發布重大訊息，揭露部分資訊系統於6月13日發生網路資安事件。耕興表示，發現異常後已立即啟動資安防禦與系統復原機制，並委由外部資安公司協助調查，同時依程序向警方報案。耕興強調，由於遭受影響的資料檔案均留有備份，因此事件未對公司營運及業務執行造成影響。耕興目前正持續進行事件調查與後續處置，以確認影響範圍及事件原因。<a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=3&SPOKE_TIME=181259&SPOKE_DATE=20260622&COMPANY_ID=6146">詳全文</a></p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=191133&SPOKE_DATE=20260622&COMPANY_ID=6230"><span style="font-size: 22px;"><strong>散熱解決方案廠商尼得科超眾遭勒索軟體攻擊</strong></span></a></p> <p>替筆電、伺服器、顯示卡、網通設備及資料中心提供散熱產品與熱管理技術的尼得科超眾（6230），於昨日晚間7時11分發布資安重訊，表示部分伺服器遭勒索軟體攻擊，導致部分資訊系統無法正常運作，其中包括了ERP。尼得科超眾在察覺異狀後，立即啟動防禦機制與斷網隔離措施因應，而對於這起事故帶來的影響，該公司表示，對於公司整體營運及財務的影響，尚在評估中，並強調將視系統復原進度，調整生產及出貨排程。<a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=191133&SPOKE_DATE=20260622&COMPANY_ID=6230">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176800"><span style="font-size: 22px;"><strong>加拿大情報機構首度獲准遠端清除殭屍網路</strong></span></a></p> <p>加拿大聯邦法院近日公開一份判決理由書，揭露加拿大安全情報局（CSIS）曾於2024年，取得法院核發的網路威脅削減令，獲准自遠端進入境內遭殭屍網路感染的設備，刪除惡意程式並中斷其運作。這是CSIS首次動用該權限，以降低外國敵對勢力對加拿大關鍵基礎設施造成的網路威脅。根據法院文件，CSIS鎖定的是兩個由外國敵對勢力控制的殭屍網路。駭客透過惡意程式感染加拿大境內的伺服器、SOHO路由器與物聯網設備，並納入殭屍網路。<a href="https://www.ithome.com.tw/news/176800">詳全文</a> <a id="MITRE" name="MITRE"></a></p> <p><a href="https://www.ithome.com.tw/news/176776"><span style="font-size: 22px;"><strong>推動太空系統網路安全，MITRE透露鋼鐵城與Project 60計畫</strong></span></a></p> <p>太空系統的網路安全防護日益受到關注，近日美國非營利研究機構MITRE在一篇人物專文中，介紹首席應用資安工程師Robert Sumner投入太空系統資安的工作，值得關注的是，當中透露由他領導的兩項計畫，目的是強化太空系統的網路安全防禦體系。根據MITRE的說明，其中一項稱為鋼鐵城計畫（Project STEEL TOWN），發展重點在於，建立專門針對太空系統各個層面的網路威脅列舉（Cyber Threat Enumeration），並成為可重複使用的框架。<a href="https://www.ithome.com.tw/news/176776">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176766"><span style="font-size: 22px;"><strong>思科買下身分安全新創WideField Security</strong></span></a></p> <p>思科於6月18日宣布，將收購身分安全新創WideField Security，以強化旗下Splunk代理型資安營運中心（Agentic SOC）能力。這是思科繼AI可觀測性應用平臺Galileo與非人類身分安全公司Astrix Security之後，今年第三起資安相關的併購案。在完成併購後，WideField可將來自身分系統、網路、端點及雲端環境的資料進行關聯分析，讓Splunk Agentic SOC建立工作階段層級的身分情報，協助資安團隊判斷某項行為是否屬於合法操作。<a href="https://www.ithome.com.tw/news/176766">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176735"><span style="font-size: 22px;"><strong>SailPoint有意併購Entro，整合企業AI三大身分安全管理技術</strong></span></a></p> <p>以身分安全與治理解決方案著稱的供應商SailPoint，繼2025年8月買下以色列資安新創公司Savvy Security的關鍵資產，獲得SaaS應用系統透視與監控機制，協助用戶即時強化識別身分風險與內部威脅，今年6月他們再度宣布，將併購另一家專精於非人類身分（NHI）與存取資格安全領域的廠商Entro Security，目的是鞏固SailPoint在人類、機器和AI代理等類型身分的治理能力，交易預計於2027會計年度的第三季完成。<a href="https://www.ithome.com.tw/news/176735">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176736"><span style="font-size: 22px;"><strong>Databricks宣布併購AI SOC平臺廠商Panther，持續擴大資安應用版圖</strong></span></a></p> <p>資料湖倉（Data Lakehouse）平臺業者Databricks宣布將併購AI SOC平臺廠商Panther，進一步擴大其在資安領域的布局。這也是Databricks近來併購的第3家資安相關公司，今年3月該公司才揭露併購Antimatter與SiftD.ai等兩家資安新創廠商的訊息，並推出AI驅動的安全資訊與事件管理（SIEM）平臺Lakewatch。短短數月內連續推動多起資安領域併購，顯示Databricks正積極強化其產品平臺的資安服務能力。<a href="https://www.ithome.com.tw/news/176736">詳全文</a></p> </div></div></div>
6/23 16:31作者周峻佑https://www.ithome.com.tw/news/176807
北市府「AI龍蝦」出任務！北市以OpenClaw打造公務AI助理CiviClaw開始公務應用測試
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>臺北市政府積極推動AI導入政府治理，資訊局近期對外發表公務AI助理專案「CiviClaw」，以代理AI協助公務員處理行政工作，更採用開源Agent框架、私有化部署及人類最終決策，在提升行政效率的同時，兼顧資安、治理與可課責性。臺北市政府希望在2027年底前，讓市府公務員AI Agent使用率達到100%。</p> <p><span style="color:#B22222;"><strong>讓</strong><strong>AI</strong><strong>協助公務員執行任務</strong></span></p> <p>臺北市資訊局局長趙式隆在6月的一場智慧城市論壇活動中指出，未來政府導入AI的方向，不只是生成式AI聊天，而是具備自主執行能力的代理式AI，使其成為公務員的工作助手，協助處理行政流程，讓人力投入政策制定、市民服務及跨部門協調等更需要創造力與同理心的工作。</p> <p>趙式隆將Agent定義為「Foundation Model＋Harness 」，即基礎模型加上任務執行框架，其中模型負責理解與生成內容，而Harness則負責工具使用、任務執行與流程控制，讓AI從單純回答問題，進一步成為可執行工作的代理人。</p> <p><span style="color:#B22222;"><strong>採</strong><strong>OpenClaw</strong><strong>開源</strong><strong>Agent</strong><strong>框架，強調自主運行、記憶與工具能力</strong></span></p> <p>CiviClaw的核心技術採用OpenClaw代理人框架，使用非固定腳本，具備自主運行能力的AI Agent，可記住上下文、掌握時間資訊，並使用各種工具完成任務，同時將資訊安全與降低AI幻覺列為核心設計目標。（下圖，來源：北市資訊局）</p> <p><img alt="" src="/sites/default/files/images/%E6%93%B7%E5%8F%962-600(6).jpg" style="width: 600px; height: 268px;" /></p> <p>基於資安優先的原則，資訊局將系統置於沙盒(Sandbox)環境運作，並且嚴格控管工具權限。至於AI常見的「幻覺」，嚴格限制AI讀取市府的JSON資料，確保基於事實產生內容。</p> <p>臺北市政府計畫未來更將把核心程式碼公開於GitHub，以開放原始碼方式，允許其他政府機關或組織自由使用、研究及修改，在既有基礎上發展自己的AI系統，希望形成公部門AI開源協作生態。</p> <p><span style="color:#B22222;"><strong>導入私有部署與人類最終審核，降低公部門</strong><strong>AI</strong><strong>治理風險</strong></span></p> <p>趙式隆指出，目前主流AI仍面臨黑箱決策、偏見放大、權限濫用、資安漏洞及過度依賴等等問題，因此無法直接套用在行政機關。因此AI導入公部門必須建立透明稽核、人類最終決策、小規模低風險試點等治理原則。</p> <p>為此，CiviClaw採取私有化部署、資料匿名化、分級權限與完整稽核軌跡等設計，確保資料安全與隱私合規；對於罰鍰、補助核定等高風險業務，則採取人工最終審核，由AI提供建議、公務員負責最終判斷與承擔責任，同時建立法律適用、錯誤追溯與民眾救濟機制，並保留離線與真人服務選項，提供數位包容性。</p> <p><span style="color:#B22222;"><strong>已投入實驗</strong><strong>AI</strong><strong>新聞臺，從行政資料自動生成影音內容</strong></span></p> <p>目前資訊局先以內部測試中的「臺北AI市政新聞台」作為CiviClaw的實驗案例，主要是想解決市府大量資訊公開卻少有人閱讀的問題。該系統會透過每日過濾、智能策展與摘要，將市府行政資料轉譯為更容易理解的內容，並透過Line Bot、YouTube、Podcast及專屬網站等多元管道發布，降低市民取得市政資訊門檻。</p> <p><img alt="" src="/sites/default/files/images/%E6%93%B7%E5%8F%965-600.jpg" style="width: 600px; height: 294px;" /></p> <p>該系統也規畫自動翻譯、AI語音複製及專屬國際頻道等功能，希望突破語言限制，強化城市國際傳播能力。</p> <p><span style="color:#B22222;"><strong>2027年底前市府公務員100%採用AI Agent</strong></span></p> <p>臺北市政府將AI定位為政府的新基礎建設，未來透過跨系統協作，應用於便民服務、政府治理及內部管理，包括資格查詢、進度追蹤、法規整合、風險監測、採購、稽核、客服及知識管理等場景，並將人類問責、資料治理與透明稽核能力內建於工作流程中，在不犧牲政府的公信力、公平性下，提升效率。</p> <p><img alt="" src="/sites/default/files/images/%E6%93%B7%E5%8F%963-600(6).jpg" style="width: 600px; height: 279px;" /></p> <p>臺北市長蔣萬安設定目標，2027年12月前，資訊局、各機關資訊專責人員及全府公務員逐步導入AI Agent，目標達成100%使用率，並透過資訊局、公務人員訓練處及教師研習中心建立支援與培訓機制，朝「AI無門檻、人人都能用」的方向推進。</p> <p>為了達成此目標，北市府分三階段進行，首先是由資訊局統籌技術推動，先由資訊局作為示範區，並在今年底提出執行成果報告；至於應用落地方面，於明年上半年，要求市府局處首長成立人工智慧小組，將政策責任層級拉高，由簡任十職等以上官員統籌辦理，並以各機關的資訊專責人員做為種子，採 1+1模式，每一位資訊人員加上一位專責人員開始推動落地。市長期望在明年下半年，北市府所有公務員都能善用安全、可課責、具包容性的 AI 工具，深化城市的AI治理。</p> <p><img alt="" src="/sites/default/files/images/%E6%93%B7%E5%8F%966-600.jpg" style="width: 600px; height: 376px;" /></p> <p>北市府也將這項專案推向跨國合作，希望透過與東京都等國際智慧城市夥伴共同推動開源協作，分享政府AI最佳實踐，建立安全、可課責且具包容性的公共AI工具。</p> <p> </p> </div></div></div>
6/23 17:03作者蘇文彬https://www.ithome.com.tw/news/176804
長庚揭AI用電預測實戰：從經驗管理走向預測決策，準確率達98%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>能源管理一直是醫院不得不面對的重大課題。長庚醫療體系近年自行開發一套AI用電預測模型，以林口院區的歷史用電資料訓練AI，能提前15、30、45分鐘和1小時預測用電需求，而且「預測準確率達到98%！」長庚醫療集團行政中心總執行長潘延健說道。這套模型更協助長庚提前掌握尖峰負載變化，進而優化契約容量管理和能源調度。</p> <p>長庚的AI能源管理並非一蹴可幾，而是靠長年累積的能源管理經驗、中央監控系統建置和大量歷史資料，一步步建置而成。</p> <h2><strong>傳統節能做到極致後，長庚開始用AI管理尖峰用電</strong></h2> <p>早在1996年，長庚就成立跨院區節能組織、建立能源查核和改善機制，將節能納入日常營運管理。後來，長庚陸續推動不少節能措施，比如照明汰換、空調變頻控制、冰水主機優化、冷卻水塔改善，以及能源監測系統建置等，來改善能源管理。</p> <p>其中，空調一直是醫院最耗電的系統。潘延健指出，空調約占整體用電4成以上。病房、手術室和檢查室都需要維持特定的溫度、濕度和空氣品質，因此空調幾乎全年無休運轉，也一直是長庚節能工作的重點。</p> <p>也因此，他們早年就將傳統交流馬達改為高效率直流馬達，部分自行研發空調改善案的節電率超過五成；冰水主機汰換和系統優化後，每年節省超過1,100萬度電。近年，他們也改用微波感測照明、液氧冷能回收和鍋爐廢熱再利用等方式，持續降低能耗。</p> <p><img alt="" src="/sites/default/files/images/%E7%9B%B4%E6%B5%81%E4%BA%A4%E6%B5%81%E6%94%B9%E5%96%84%E6%88%90%E6%95%88.JPG" /></p> <p><img alt="" src="/sites/default/files/images/%E5%86%B0%E6%B0%B4%E6%B1%B0%E6%8F%9B.JPG" /></p> <p>但長庚發現，當設備效率與節能措施持續優化後，能再挖掘的節電空間已經越來越有限了。於是，他們開始思考：醫院能不能更早知道，未來會用多少電？</p> <p>這是因為，醫院除了支付實際用電費用，還必須事先向台電申報「契約容量」，也就是預先約定的最大用電量。一旦實際用電超過這個數值，就可能產生額外費用；但申報過高，又會增加固定電費支出。</p> <p>長庚過去在規畫契約容量時，工務團隊會根據過去兩、三年的用電紀錄，再搭配醫療服務量變化、新設備導入等因素來推估未來需求。潘延健坦言，這種做法很仰賴經驗，一旦遇到天氣異常、醫療量增加，或大型設備上線等情況，就很難精準掌握未來負載。</p> <p>再加上，近幾年供電環境不確定性增加，長庚開始考慮用AI提前預測未來的用電需求，讓能源管理從過去的事後反應，變成事前預判。</p> <h2><strong>沒有20年的資料累積，就沒有AI用電預測</strong></h2> <p>不過，AI用電預測真正的關鍵不在模型，而在資料。</p> <p>「AI需要足夠的資料讓它訓練，我們很早就建置中央監控系統、蒐集設備數據，所以資料完整度相對高。」潘延健表示，早在20多年前，長庚就開始建置分散式控制系統（DCS）和中央監控系統，要把原本分散在院區各處的供電、空調、冰水主機、泵浦和公用設備，都納入同一套監測架構。</p> <p>他也坦言，這項工程並不容易。因為，醫院裡的機電設備往往來自不同廠商，而且使用年限長，有些甚至在大樓興建時就已部署。不同設備還使用不同的通訊協定與控制系統，要把資料整合到同一套平臺，本身就是個長期工程。</p> <p>「你不可能為了做中央監控，就把周邊設備全部換掉。」他說。</p> <p>因此，長庚採取逐步整合的方式，配合設備汰換與系統更新時機，慢慢將各類設備納入中央監控架構。歷經多年累積，才建立起如今的能源資料基礎。</p> <p>目前，長庚醫院中央監控系統蒐集的資料，除了有歷史用電量和需量，還涵蓋大量設備負載率、空調運轉狀態，以及外部環境資訊，例如氣溫、水溫等。</p> <p>此外，長庚也嘗試把醫療服務量納入分析。例如門診量增加、檢查量提升，都可能直接影響院區用電需求。每當導入MRI、CT等大型醫療設備時，院方也會要求廠商提供滿載與待機狀態下的耗電規格，以利後續供電規畫和模型訓練。</p> <p>「我們希望AI可以抓行為模式。」潘延健解釋，AI學習的不只是用電數字，而是整個醫院的運轉模式，例如不同時段的醫療服務量、設備使用情況，以及外部環境變化對用電需求的影響。</p> <h2><strong>從經驗法則到AI預測，成功達98%準確率</strong></h2> <p>於是，長庚開始用林口院區的歷史資料建立AI模型，訓練資料包括歷年用電量、最大用電需求（需量）、設備負載率、空調運轉狀態，以及氣溫、水溫等外部環境資訊。</p> <p>為因應不同決策需求，長庚也建立15分鐘、30分鐘、45分鐘及60分鐘等不同時間尺度的預測模型。</p> <p>其中，15分鐘模型最重要。這是因為，台電契約容量計費，是以15分鐘平均需量作為計算基礎。一旦實際需量超過契約容量，就可能產生額外費用，因此15分鐘模型專門用來預警即將發生的尖峰負載。</p> <p>至於30分鐘至60分鐘模型，則提供工務團隊更多反應時間。例如當系統預測1小時後可能接近契約容量上限時，團隊可以提前評估，是否調整冰水主機運轉策略、降低部分空調負載，或延後非關鍵設備的啟動時程。</p> <p>根據長庚醫院2025年揭露的測試結果，15分鐘預測模型平均誤差約1.7%至2.3%，30分鐘模型約2.2%至3%，45分鐘模型約2.3%至2.8%，60分鐘模型則約2.5%至3%。</p> <p><img alt="" src="/sites/default/files/images/AI%E7%94%A8%E9%9B%BB%E9%A0%90%E6%B8%AC%E6%88%90%E6%9E%9C.JPG" /></p> <p>潘延健透露，經過後續持續優化，現在模型整體預測準確率已達98%。</p> <p>不過，預測本身並不是長庚的最終目的。他們用AI預測結果，來管理契約容量、尖峰用電預警和降載規畫，舉例來說，當系統預測未來30分鐘內可能接近契約容量上限時，工務團隊就能提前評估，是否調整空調系統、冰水主機或其他非關鍵設備的運轉策略，避免超約。</p> <h2><strong>AI只是輔助決策工具，下一步瞄準醫療碳足跡管理</strong></h2> <p>盡管AI用電預測準確率已達98%，長庚現階段還是沒讓AI直接控制設備運轉。</p> <p>潘延健打趣形容：「你敢叫龍蝦幫你買東西嗎？」</p> <p>在他看來，AI目前仍只適合分析資料、預測風險和提供建議，還沒辦法完全取代人類決策。尤其在醫院場域中，任何能源調度都必須以醫療服務穩定性為優先，因此長庚的設備控制和降載策略，依然得由工務與管理團隊拍板。</p> <p>這套AI用電預測專案最大的收穫，或許不只是優化能源管理能力，而是長庚驗證了資料驅動決策的價值。</p> <p>從整合設備資料、環境資訊到醫療服務量數據，長庚建立起一套跨系統的資料分析能力，也讓這些資料有機會應用到更多場景。</p> <p>例如，長庚正與衛福部合作推動醫療碳足跡資訊化專案，希望建立醫療服務碳排放的標準化計算模式。他們首波規畫涵蓋門診、住院、手術、急診、X光、CT、MRI、超音波及檢驗檢查等項目，目標是將過去仰賴人工盤查的流程，逐步資訊化與自動化。</p> <p><img alt="" src="/sites/default/files/images/%E7%A2%B3%E6%8E%92.JPG" /></p> <p>不論是AI用電預測還是醫療碳足跡管理，背後其實是同一套思路：把過去20多年累積的設備和營運資料，轉化為支撐決策的數位能力，讓醫院從經驗管理走向資料驅動管理。對長庚而言，AI不是起點，而是資料累積與數位治理走到一定階段後，自然長出的成果。</p> <p></p> </div></div></div>
6/23 17:05作者王若樸https://www.ithome.com.tw/news/176668
Apple A12、S4/S5與A13 BootROM漏洞usbliter8曝光，可破壞應用處理器開機鏈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安研究公司Paradigm Shift<strong><a href="https://ps.tc/pages/blog-usbliter8.html">公開usbliter8漏洞研究</a></strong>，揭露Apple A12、S4/S5與A13晶片存在BootROM層級漏洞，並釋出概念驗證程式。研究團隊指出，usbliter8漏洞涉及晶片內不可變的SecureROM，以及USB控制器的資料寫入行為，因此受影響裝置難以靠一般軟體更新根治，換用較新硬體是較有效的緩解方式。</p> <p>BootROM是寫在晶片內、裝置開機時最先執行的程式碼，負責啟動後續開機流程並建立信任鏈。研究團隊指出，usbliter8漏洞是因USB控制器的運作方式與SecureROM的設定搭配不當所造成，可被用來破壞應用處理器的開機鏈，在開機早期取得程式碼執行能力。</p> <p>受影響的Apple晶片使用Synopsys DWC2 USB控制器處理USB設定封包時，控制器會在記憶體中保存最多3個連續的設定封包，待收到第4個設定交易時，寫入位址會往回重設。由於控制器也接受較短封包，造成位址前進量與固定回退量不一致，進而讓寫入位置往緩衝區前方偏移。也就是說，外部USB資料有機會被寫到原本不該碰觸的記憶體位置。</p> <p>該問題在A12與A13上可被進一步濫用，因為SecureROM將USB資料存取保護機制設為直接通過模式，使USB控制器能覆寫SRAM中的資料。研究團隊確認，A12、S4/S5與A13可受影響，而A12X/Z在技術上可能可納入支援，但公開的概念驗證程式尚未實作。A11因USB驅動每次接收封包後會重設寫入位址，不受同樣方式影響。至於A14與後續世代，研究團隊指出，晶片的SecureROM似乎已正確設定相關DART保護機制，使usbliter8漏洞無法被利用。</p> <p>在A12上，研究團隊可透過覆寫USB工作任務使用的記憶體資料，改變SecureROM接下來執行的程式位置，A13因加入指標驗證保護，利用過程更複雜，但研究團隊仍透過多階段方式取得控制權。取得控制權後，usbliter8可在DFU模式加入自訂USB請求處理程式，讓研究人員暫時改變晶片的安全狀態，並載入未經簽章檢查的原始iBoot映像。</p> <p>研究團隊也強調，usbliter8漏洞不會直接影響Apple安全隔離區處理器（Secure Enclave Processor，SEP），也不代表攻擊者可直接取得SEP內的資料，但可能擴大後續攻擊SEP的可能路徑。</p> </div></div></div>
6/23 17:09作者李建興https://www.ithome.com.tw/news/176808
訴求AI時代端點防禦革新，資安新創Ent首獲1億美元種子輪募資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>隨著生成式AI與AI Agent進入企業工作流程，端點安全的防護邏輯也正被重新檢視。近期浮出檯面的資安新創Ent，主張過去十多年資安產業過度依賴偵測與回應，但在AI加快工作與攻擊速度的情況下，單靠事後調查已不足因應。該公司試圖將端點防護重新拉回預防，並已獲得資安業界少見的1億美元種子輪募資，以及多家全球二千大企業與國防單位導入。</p> <p>Ent由Elias Manousos與Brandon Dixon創立，兩人過去曾共同創辦RiskIQ，該公司後來被微軟收購，兩人也投入Microsoft安全性Copilot相關工作。Ent在日前脫離隱身模式時宣布完成1億美元種子輪募資，投資者包括Decibel、Sequoia、Crosspoint Capital、Craft Ventures、Shield Capital、Felicis與In-Q-Tel。</p> <p>對資安新創公司而言，1億美元種子輪的規模相當罕見。相較於Google在今年以320億美元完成收購的Wiz，在2020年底浮出檯面時募得1億美元A輪投資。而Ent不僅在種子輪即獲得1億美元的資金，而且投資者中還包括由美國中情局協助創立、著眼於國家安全科技的創投公司—In-Q-Tel，其在種子輪的策略性挹注，格外引人注目。此一結果不僅顯示投資人押注生成式AI將重新改寫端點與工作空間領域的資安市場，亦代表美國政府站在國家安全角度對於AI資安的高度重視。</p> <p>過去十多年，隨著進階持續性威脅（APT）等刁鑽攻擊手法的興盛，許多資安業者陸續放棄了在端點達成災前預防（Prevention）的可行性，轉而接受入侵是不可避免的前提，採取較為積極主動的預想被駭（Assumed Breached）觀念，將防護重心轉往偵測（Detect）得到正在進行中的攻擊，得以及早應變（Respond），採取告警、阻擋或排除等措施。為此，企業大量蒐集端點、網路、身分、雲端與應用程式日誌等資訊，傳送到雲端分析平臺，再透過EDR、SIEM、SOAR等工具還原事件發生經過或即時排除威脅。</p> <p>Ent創辦人Elias Manousos在官方部落格中指出，這套模式在過去有其價值，但在生成式AI的時代卻會逐漸失效。原因在於，AI同時提高了企業工作者與惡意攻擊者的速度。過去可能需要數天發展的攻擊，現在可能在數分鐘內完成；而許多風險甚至不是從傳統惡意程式開始，而是從工作者平時看似正常的動作，例如複製、貼上、輸入提示詞、點擊連結，或是AI Agent把遠端控制權交給組織外部的人。Ent認為，在這樣的速度下，等到EDR發出警示、SOC團隊進行分流與調查時，損害往往已經開始。</p> <p>EliasManousos認為，現代工作者環境中的風險散落在應用程式、瀏覽器、SaaS雲端服務與AI助理之間，已不見得發生在EDR與SIEM最擅長觀察的系統與網路層次。EDR可以查覺某個惡意程序正在執行，SIEM可以收集與彙整相關日誌，但不一定能判斷使用者是否把敏感資料交給未授權AI工具，或某個AIAgent的動作是否偏離原本任務目的，尤其是這些看起來都很像正常工作。</p> <p>因此，Ent主張端點的工作空間需要一個防護層，負責蒐集行為遙測、推斷使用者與AI Agent的意圖、區分正常工作與高風險行為，建立完整的工作紀錄，並在決策瞬間介入，也就是在工作發生的當下保護工作。例如，員工開啟一份敏感文件、複製內容、切換到未核准的AI工具，並準備貼上資料；單看每個動作未必是惡意行為，但串起來可能就是資料外洩風險。又例如，使用者把電腦遠端控制權交給組織外部人士，或AI Agent代表使用者存取與搬移資料，這些行為可能在系統層看似合法，卻在業務脈絡上高度可疑。</p> <p>EliasManousos指出，過去要在端點電腦達成預防威脅之所以困難，是因為要在事件發生前阻止行為，系統就必須在決策的瞬間看到完整脈絡並做出判斷，而過往需要依賴雲端分析服務來達成，然而雲端式分析模式勢必要面臨端點到雲端的網路往返延遲問題，因此執行決策遂難以在使用者動作完成前介入。但現在出現了可以在端點本機執行小型AI模型的新契機，得以在端點邊緣端就實現推理與行動執行，便可在低於秒級的時間內判斷行為是否應該繼續，並在風險造成影響前阻擋。</p> <p><img alt="" src="/sites/default/files/images/ent%20ui.png" style="width: 700px; height: 461px;" /></p> <p>Ent稱其解決方案的關鍵在意圖感知，藉由紀錄與分析使用者、應用程式與AI Agent的種種行為與解析內容，涵蓋應用程式、瀏覽器、聊天工具、AI工具、工作流程、執行環境與資料移動，透過一連串行為脈絡，判斷某個動作是否符合業務目的，在損害發生前即阻擋下來，達到防患未然的效果。Ent指出其產品已可支援Windows、MacOS及Linux等平臺。</p> <p>Ent的產品定位明顯不同於傳統EDR，或一般AI護欄（Guardrails），不過，歷來訴求意圖感知的產品最大挑戰往往在於何謂準確判斷。如果系統過度保守，可能頻繁阻擋正常工作，影響生產力；如果過度寬鬆，又難以達到防患於未然的效果；再者，Ent的另一個挑戰是如何融入企業既有的資安架構體系，與既有產品之間的分工或整合；此外，在端點層蒐集完整工作紀錄，勢必牽涉員工隱私、管控界定、資料保存與法規遵循等問題，企業在部署前更需要明確的治理機制。</p> <p>Ent以資安新創之姿甫浮出檯面，即獲得資安業界少見的1億美元種子輪募資，以及來自全球2000大金融、醫療、旅宿企業與國防單位導入的成績，不僅代表投資者看好AI時代下資安將迎來全新的契機，也印證生成式AI的問世已為資安發展畫下明確的分水嶺。</p> </div></div></div>
6/23 15:51作者吳其勳https://www.ithome.com.tw/news/176805
沙國零售商BinDawood揭露資料外洩，該國政府年初已針對48起違反個資法PDPL案件開罰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>5月31日沙烏地阿拉伯大型零售集團BinDawood Holding在該國證券交易所（Tadawul）發布重大訊息公告，<strong><a href="https://www.saudiexchange.sa/wps/portal/saudiexchange/newsandreports/issuer-news/issuer-announcements/issuer-announcements-details/?anId=95675&anCat=1&cs=4161&locale=en">揭露旗下子公司BinDawood Superstores遭遇資安事故</a></strong>。該集團本身是沙國知名的超市與量販店營運商，他們表示已成功控制一起資安事件，由於電商平臺應用系統「<span draggable="true" style="color: inherit"><a href="http://BINDAWOOD.SA" rel="noopener noreferrer" style="color: #1264a3; text-decoration: none" target="_blank">BINDAWOOD.SA</a></span>」存在資安漏洞，導致部分客戶的訂單資料外洩。</p> <p>在發現事故後，BinDawood表示資安團隊已針對導致外洩的漏洞進行修補，並委請經沙烏地國家資安局（NCA）認證的專業資安機構協助處理，同時說明所有核心系統與日常營運均維持正常運作，對公司財務狀況無重大影響。</p> <p>無獨有偶，沙烏地聯合國際交通公司（Budget Saudi）亦於6月9日在證交所揭露資安事故。這類事件的接連揭露，反映出沙國《個人資料保護法》（PDPL）自2024年9月結束寬限期並全面實施後，企業對於合規透明度的重視。更重要的是，根據<strong><a href="https://spa.gov.sa/en/N2489505">沙烏地資料與人工智慧管理局（SDAIA）2026年1月的最新公告</a></strong>，旗下委員會已針對48起違反PDPL的案件正式發布處罰裁定，突顯沙國已從法規宣導階段進入嚴格執法階段，也進一步推動企業主動揭露的趨勢。</p> <p> </p> </div></div></div>
6/23 16:01作者羅正漢https://www.ithome.com.tw/news/176802
加拿大情報機構首度獲准遠端清除殭屍網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.fct-cf.ca/en/pages/media/news-bulletins/file-c-6-24" target="_blank">加拿大聯邦法院上週公開一份判決理由書</a>，揭露加拿大安全情報局（Canadian Security Intelligence Service，CSIS）曾於2024年取得法院核發的網路威脅削減令（Cyber Threat Reduction Measures Warrant），獲准自遠端進入境內遭殭屍網路感染的設備，刪除惡意程式並中斷其運作。這是CSIS首次動用該權限，以降低外國敵對勢力對加拿大關鍵基礎設施造成的網路威脅。</p> <p><a href="https://www.fct-cf.ca/Content/assets/pdf/base/2026-06-15-EN-Decision-C-6-24.pdf" target="_blank">根據法院文件</a>，CSIS鎖定的是兩個由外國敵對勢力控制的殭屍網路。駭客透過惡意程式感染加拿大境內的伺服器、小型辦公室暨家用路由器（SOHO Router）與物聯網設備（IoT），包括Ring智慧門鈴、監視器、智慧電視及其他可連網裝置，並將這些設備納入殭屍網路控制。</p> <p>法院指出，駭客可利用這些遭入侵設備作為隱匿身分的中繼節點，以看似合法的連線方式接觸關鍵基礎設施、軍事網路及政府系統，並用於網路間諜、破壞及其他受外國勢力影響的活動。若未及時干預，相關殭屍網路可能被用來偵察、攻擊甚至干擾加拿大關鍵基礎設施運作。</p> <p>此一公開版文件並未揭露兩個殭屍網路的名稱、控制者身分、受感染設備數量，以及CSIS實際遠端進入設備並移除惡意程式的技術手法，相關內容均已遭刪節處理。</p> <p>法院認定，兩個外國敵對勢力的行為已構成對加拿大國家安全的威脅，且有合理理由相信，核發令狀是降低該威脅的必要手段。法院也認為，CSIS提出的具體措施在當時情況下屬必要、合理且符合比例原則；相關措施針對的是遭感染設備，而非設備使用者，執行過程也未蒐集身分識別資訊、個人資料或其他內容。</p> <p>加拿大司法部與獨立法律顧問皆支持公開此案，認為民眾有必要了解殭屍網路對加拿大構成的威脅，以及CSIS為降低相關威脅所採取的措施。此外，美國及其他五眼聯盟成員國近年已更公開地說明打擊殭屍網路等網路威脅的行動，因此決定公布刪節後的判決理由書，以提高外界對相關威脅的認識。</p> <p>這類行動與美國聯邦調查局（Federal Bureau of Investigation，FBI）近年清除中國駭客組織Volt Typhoon及俄羅斯APT28控制的殭屍網路作法相似，但法律途徑有所不同。美國主要由執法機關依搜索令等刑事調查權限執行；加拿大則是由情報機構CSIS依據《加拿大安全情報局法》中的威脅削減權限，向法院申請專門令狀後執行。</p> </div></div></div>
6/23 13:22作者陳曉莉https://www.ithome.com.tw/news/176800
Cloudflare加入支援微軟、Google及Mozilla合推的網頁安全協定PACT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://cloudflare.net/news/news-details/2026/Cloudflare-Collaborates-With-Leading-Browsers-to-Develop-a-Privacy-First-Protocol-For-the-Global-Internet/default.aspx" target="_blank">Cloudflare周一宣佈加入</a>瀏覽器業者微軟、Google、Mozilla及網購平臺Shopify行列，支援推動PACT（Private Access Control Tokens）協定的標準化工作，以確保AI代理人自動化網頁作業的安全性及效率。</p> <p>微軟、Google、Mozilla與Shopify推動的PACT協定主要是為了防堵自動化網頁爬蟲未經同意擷取網頁內容，或增加網頁點擊率、搶購票券等濫用行為。傳統上網站要求使用者輸入帳密登入，這雖然達到防範濫用的目的，卻也阻礙了使用體驗。這問題在AI代理人導入業務流程後更明顯，自動化代理人作業在網頁登入流程即會中斷。</p> <p>PACT的宗旨是讓使用者網站提供匿名化令牌（token）給要登入的網站，證明行為者是真人，藉此取代困難的CAPTCHA同時防範網頁爬蟲。PACT並不會辨識使用者個人身份或追蹤其上網者活動。</p> <p>Cloudflare是全球主要反機器人（Anti-Bot）和WAF（網頁防火牆）服務商之一，透過這項結盟，數千萬個網站使用Cloudflare方案。Cloudflare將PACT驗證代碼內建到它現有的網路節點中，將讓全球數百萬個使用Cloudflare的網站能接收並理解PACT令牌。Cloudflare表示，將其網路上使用PACT將可提升驗證的可信度及線上完整性，又可免除龐大的成本。</p> <p>但是Cloudflare官方尚未宣布任何正式在瀏覽器或Cloudflare網路層上線、或實作確切日期。</p> <p>2025年12月初一群技術專家在W3C的反詐欺瀏覽器安全社群小組（W3C Anti-Fraud Browser Security Community Group）<a href="https://cside.com/blog/cside-w3c-anti-fraud-community-group-browser-security" target="_blank">提交了PACT的問題陳述與初步提案</a>。不過距離真正的標準化可能要花上數年時間。</p> </div></div></div>
6/23 13:31作者林妍溱https://www.ithome.com.tw/news/176801
Salesforce停用Klue Battlecards應用程式整合，起因應用程式供應商遭到攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>駭客滲透與CRM平臺Salesforce串接的第三方應用程式，然後竊取用戶存放在Salesforce的資料，這樣的事故去年已發生兩起，最早是8月發生的<strong><a href="https://www.ithome.com.tw/news/170866">對話式行銷與客戶互動工具Salesloft Drift</a></strong>，後續在11月<strong><a href="https://www.ithome.com.tw/news/172406">客戶管理與客戶體驗系統Gainsight遭入侵</a></strong>，如今又有新的事故傳出。</p> <p>6月18日Salesforce<strong><a href="https://status.salesforce.com/generalmessages/20000257">發布資安公告</a></strong>，表示為了回應近期的資安事故，針對已安裝Klue Battlecards應用程式的用戶，他們已停用該應用程式與Salesforce之間的連接。起因是該公司資安團隊近期偵測到Klue Battlecards應用程式出現異常活動，有可能導致部分用戶資料遭到未經授權存取。Salesforce強調，相關問題並非來自Salesforce平臺的弱點，僅發生於Klue的應用程式連線的環節。</p> <p>AI競爭情報公司Klue隔日<strong><a href="https://klue.com/blog/an-update-on-recent-klue-security-incident">發布部落格文章</a></strong>進一步說明，該公司於6月12日察覺異狀，整合基礎設施出現未經授權活動，攻擊者透過與整合服務相關的外流憑證得到存取權限，然後以此權限竊取Klue與第三方平臺連接所使用的OAuth權杖（token），進而存取多個用戶的第三方平臺資料，其中包括Salesforce。Klue撤銷受影響的憑證與權杖、移除未授權程式碼、停用可能受影響的整合功能、展開全面調查，並通報執法機關。同時，該公司也委託CrowdStrike協助調查與驗證應變措施，並通知受影響客戶，及提供具體修復指引。</p> </div></div></div>
6/23 12:44作者周峻佑https://www.ithome.com.tw/news/176798
川普簽署行政命令，加速量子電腦發展與後量子資安部署
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國總統川普週一（6/22）同步簽署兩項行政命令，<a href="https://www.whitehouse.gov/fact-sheets/2026/06/fact-sheet-president-donald-j-trump-ushers-in-the-next-frontier-of-quantum-innovation/" target="_blank">一方面加速</a>量子電腦、量子感測與量子網路等技術發展，<a href="https://www.whitehouse.gov/fact-sheets/2026/06/fact-sheet-president-donald-j-trump-secures-the-nation-against-advanced-cryptographic-attacks/" target="_blank">另一方面推動聯邦政府</a>加速導入後量子密碼（Post-Quantum Cryptography，PQC），希望在擴大美國量子競爭力的同時，降低量子運算未來對現行加密系統造成的資安風險。</p> <p>在量子技術發展方面，川普要求白宮科技政策辦公室（OSTP）更新國家量子戰略（National Quantum Strategy），並成立名為Quantum Computer for Application Development and Discovery Science（QC-ADDS）的國家計畫，目標為打造至少一臺可用於科學研究與商業應用開發的大型量子電腦。行政命令也要求能源部、商務部、國防部、NASA與情報機構共同參與，評估建置相關系統所需資源，並規畫於未來5年部署量子感測器與量子網路技術。</p> <p>該命令也要求強化美國量子產業供應鏈與人才培育，包括建立國家量子人才發展機構（National QIST Workforce Development Institutes）、擴大學徒制度與專業認證計畫，以及研擬提升本土量子元件製造能力與供應鏈韌性的措施，以降低對外部供應商的依賴。</p> <p>另一項行政命令則聚焦後量子密碼（PQC）部署。白宮指出，未來大規模量子電腦可能破解現行廣泛使用的公開金鑰加密機制，甚至出現「先蒐集、後解密」（Harvest Now, Decrypt Later）攻擊模式，因此要求聯邦機關全面盤點高價值資產（HVA）與高衝擊系統，並加速遷移至美國國家標準與技術研究院（NIST）所制定的PQC標準。</p> <p>根據命令，各機關須於30天內指派PQC遷移負責人，並在2030年底前完成高價值資產與高衝擊系統的量子安全金鑰交換機制部署，2031年底前完成數位簽章系統升級。NIST也將啟動示範計畫，預計於2027年底前完成首批PQC遷移驗證。</p> <p>美國自2018年通過《國家量子倡議法案》（National Quantum Initiative Act）後，持續推動量子科技發展。隨著量子電腦可能威脅現有加密機制，美國國家標準與技術研究院（NIST）亦於2024年<a href="https://www.ithome.com.tw/news/164456" target="_blank">發布首批後量子密碼標準</a>，為聯邦機關與產業的PQC遷移奠定基礎。</p> <p><a href="https://www.ithome.com.tw/news/176034" target="_blank">川普政府近期已與9家量子相關業者簽署協議</a>，透過《晶片法案》提供20億美元聯邦資金，並取得這些公司的股權，顯示美國除政策命令外，也正以資金投入扶植本土量子產業。</p> </div></div></div>
6/23 11:40作者陳曉莉https://www.ithome.com.tw/news/176792
FFmpeg修補遠端程式碼執行漏洞PixelSmash
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ffmpeg.org/download.html" target="_blank">開源多媒體處理軟體FFmpeg修補</a>了一個可導致遠端程式碼執行（Remote Code Execution，RCE）又稱PixelSmash的漏洞。</p> <p><a href="https://www.linkedin.com/posts/weaponized-media-files-jfrog-has-uncovered-share-7474834304343191553-lNEW/" target="_blank">CVE-2026-8461為資安業者JFrog揭露</a>。CVE-2026-8461位於函式庫libavcodec，尤其是MagicYUV解碼器中的越界寫入（out-of-bounds write）漏洞，能引發阻斷服務、有時甚至可讓攻擊者遠端執行程式碼。PixelSmash風險值為8.8。</p> <p>這項漏洞影響FFmpeg 8.1.2以前的版本。<a href="https://www.ffmpeg.org/download.html" target="_blank">最新版FFmpeg 8.1.2已包含修補程式</a>。</p> <p>PixelSmash之所以嚴重，是出於軟體供應鏈效應。FFmpeg是最受歡迎的媒體處理框架之一，數百個影音播放專案依賴其元件來解碼影音資料，包括Jellyfin、mpv、Nextcloud、Immich、OBS、vLLM等。其函式庫內元件的漏洞會影響所有這些下游專案。</p> <p>濫用PixelSmash輕而易舉。攻擊者只需上傳一個50KB大小的惡意媒體檔，如AVI、MKV或MOV到任何使用FFmpeg的libavcodec的應用程式，不需經過驗證程式序、不用提升權限或預先存取系統，就能濫用漏洞。</p> <p>受該漏洞影響的應用程式或裝置涵括眾多平臺：如桌機版的影音播放器、伺服器端的媒體伺服器（如Jellyfin、Emby、Nextcloud、Immich）、雲端轉碼服務（AWS MediaConvert、Cloudflare Stream）、聊天平臺（Slack、Discord、Telegram）、或是嵌入式裝置/IoT如NAS裝置（Synology、QNAP）、智慧電視、或能產生媒體預覽畫面的媒體裝置。</p> <p>MagicYUV在幾乎每個上游FFmpeg版本或Linux發行版(Ubuntu、Debian、Fedora、Arch、Alpine)套件9.0以前都預設啟用。</p> <p>對開發人員，研究人員提供了檢查問題版MagicYUV的方法。在提示字元中輸入「ffmpeg -decoders 2>/dev/null | grep magicyuv」，如果結果出現VFS..D magicyuv，即表示是問題版本。</p> </div></div></div>
6/23 11:52作者林妍溱https://www.ithome.com.tw/news/176794
Google提出ARD規格，讓AI代理能跨組織探索工具、技能與其他代理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google公布<strong><a href="https://developers.googleblog.com/announcing-the-agentic-resource-discovery-specification/">Agentic Resource Discovery（ARD）開放規格</a></strong>，目標是讓AI代理能在不同團隊、組織與平臺之間，尋找可用的工具、技能、MCP伺服器、API、工作流程與其他代理。ARD規格處理的是代理呼叫能力之前的探索與驗證問題，讓用戶端取得能力所在位置、提供者資訊，以及連線前所需的信任判斷依據。</p> <p>Google指出，AI代理使用越來越多外部能力，但目前企業內外的工具註冊與管理方式多半分散在不同平臺。當每個產品、團隊或供應商都可能發布自有的代理資源時，使用者、開發者或IT管理者若只靠人工尋找與串接，將難以維持規模與更新速度。ARD提供代理資源探索與驗證規格，協助代理在連線前找到符合任務需求的能力。</p> <p>ARD架構主要由Catalog與Registry組成，Catalog是由組織發布的能力目錄，內容描述可提供的代理資源，並可放在組織自有網域下，例如以ai-catalog.json形式提供。Registry則扮演搜尋服務角色，負責爬取Catalog、建立索引，並在代理提出探索需求時回傳相符能力與驗證所需中繼資料。</p> <p>Google解釋，ARD不取代既有呼叫協定或代理框架。代理找到合適能力後，仍透過該資源原本支援的機制連線，例如MCP、API、代理框架或工作流程系統。</p> <p>Google也計畫將ARD帶進Gemini Enterprise Agent Platform，其Agent Registry已提供搜尋、探索與託管代理、技能、MCP伺服器及其他工具的能力，並用於企業治理，包括命名、代理外連政策、工具與規格釘選，以及透過Agent Identity驗證信任資訊清單。Google表示，Agent Platform會在數月內加入ARD原生支援，讓企業能把內部註冊系統接到更大的聯合網路。</p> <p>目前<strong><a href="https://agenticresourcediscovery.org/introduction/">ARD規格已公開</a></strong>，並提供快速入門、完整規格文件與GitHub儲存庫。</p> </div></div></div>
6/23 11:56作者李建興https://www.ithome.com.tw/news/176793
PCPJack活動攻擊230臺AWS、GCP、Azure伺服器，企圖架設SMTP中繼網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>今年4月資安公司SentinelOne揭露<strong><a href="https://www.ithome.com.tw/news/175704">駭客組織PCPJack的攻擊行動</a></strong>，並指出駭客作案的特殊之處，竟是驅逐與清理與TeamPCP有關的攻擊工具，近日有資安公司公布最新的發現，駭客的目的，很可能是為了架設SMTP郵件系統中繼網路。</p> <p>本月初<strong><a href="https://hunt.io/blog/pcpjack-230-cloud-servers-smtp-proxy-network-sliver-chisel">威脅情報公司Hunt.io發布調查報告</a></strong>，該公司找到與PCPJack的C2基礎設施有關伺服器213.136.80[.]73，其中有一個公開的資料夾，總共存放12個檔案，內容包含原始碼、經過編譯的二進位檔案，以及開發狀態的事件記錄，任何人無需通過身分驗證，就能經8444埠存取。另一個公開資料夾使用了9443埠，用途與PCPJack操作員的工作有關，內含掃描工具、弱點利用工具，以及C2框架Sliver的組態配置。Hunt.io對這些資料進行分析，這些駭客於3月曾入侵230臺伺服器，這些主機位於AWS EC2、GCP、Azure雲端環境，地理分布涵蓋歐洲、亞洲、美洲及中東地區，屬隨機尋找目標的攻擊，並非針對特定地區的目標式攻擊行動。</p> <p>針對惡意程式的部分，駭客以開源TCP隧道工具Chisel作為核心元件，並開發x86的32位元與64位元，以及Arm架構的二進位檔案，目的是儘可能涵蓋雲端環境的主流Linux伺服器。此惡意程式會部署指令碼，透過C2框架Sliver對節點下達指令，並為受害主機分配SOCKS5代理伺服器的連接埠。根據版本的演進，Hunt.io總共看到3種世代的惡意程式，根據第一代採用的指令碼會建立SMTP品質閘道（SMTP quality gate），該公司確認攻擊者的目的是打造電子郵件中繼系統，藉此隱匿攻擊流量。</p> </div></div></div>
6/23 12:05作者周峻佑https://www.ithome.com.tw/news/176796
支援更完善的SPDM裝置見證，英特爾新網卡強調穩定性與省電
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://www.ithome.com.tw/sites/default/files/intel_ethernet_e835_main_0.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>去年初英特爾推出伺服器網路卡<strong><a href="https://www.ithome.com.tw/review/167636">E830系列</a></strong>，支援200 Gbps，相隔一年多後，該公司在2026台北國際電腦展期間，接續推出E835系列網路控制器與網路卡，同樣最高支援200 Gb/s傳輸速度，大部分支援規格也相同，像是QSFP28埠與SFP28埠（E835系列若採用單個200Gb埠組態，則支援QSFP56埠），而在XXVDA系列型號上，兩批產品均額外支援RoCEv2與iWARP協定。</p> <p><a href="/sites/default/files/images/Intel E835-1-Web.jpg"><img alt="" src="/sites/default/files/images/Intel%20E835-1-Web.jpg" style="width: 298px;" /></a> <a href="/sites/default/files/images/Intel E835-2026-2-web.jpg"><img alt="" src="/sites/default/files/images/Intel%20E835-2026-2-web.jpg" style="width: 298px;" /></a></p> <p><a href="/sites/default/files/images/Intel E835-2026-3-web.jpg"><img alt="" src="/sites/default/files/images/Intel%20E835-2026-3-web.jpg" style="width: 298px;" /></a></p> <p>網路加速的部分，E830系列與E835系列支援英特爾的動態裝置個人化技術（Dynamic Device Personalization，DDP）、開放原始碼的資料層開發套件（Data Plane Development Kit，DPDK）；針對5G無線存取網路（RAN）與邊緣運算的精準時間同步處理，它們支援IEEE 1588 Precision Time Protocol（PTP）v2、Precision Time Measurement（PTM）v1.0a。</p> <p>關於遠端管理的應用（Manageability），E830系列與E835系列支援三種標準，包括在系統管理匯流排傳送管理元件傳輸協定（MCTP over SMBus）2.0與PCIe VDM（廠商自定訊息）、網路控制器側頻介面（NC-SI）1.2協定（涵蓋NC-SI over MCTP傳輸）、在管理元件傳輸協定傳送平臺層級資料模型（PLDM over MCTP，可支援PLDM多種訊息類型，包含4種PLDM命令類型）。</p> <p><a href="/sites/default/files/images/E835-2026-06-01-4.jpg"><img alt="" src="/sites/default/files/images/E835-2026-06-01-4.jpg" style="width: 600px;" /></a></p> <p>至於安全性的部分，E830系列與E835系列均內建已簽署的韌體（安全韌體更新）、安全開機，以及<a href="https://www.intel.com/content/www/us/en/support/articles/000098433/ethernet-products.html"><strong>遵循</strong><strong>NIST SP 800-193</strong><strong>平臺韌性指南</strong></a>的矽信任根（Root of Trust，RoT），並採用遵循商用國家安全演算法（Commercial National Security Algorithm，CNSA）1.0規格的 RSA3K/SHA2-384加密演算法（韌體映像採用RSA3K的數位簽章進行簽署與驗證），以及符合FIPS 140-3 level 1的標準。不過，在裝置見證的功能上，兩批產品雖然都遵循SPDM 1.1.2規範文件，但新推出的E835支援已簽署（Signed）的SPDM，網路卡產生的量測結果，如韌體雜湊值、啟動狀態等，網路卡會使用私鑰對這些資訊進行簽章，主機或基板控制器作為驗證端，會查核當中的簽章，確認量測結果由這張網路卡產生、在傳輸過程中未被修改、未經過偽造，以及並非先前擷取後重新開啟（Replay）的SPDM量測報告。</p> <p>E830則是支援未簽署的SPDM，比起完全沒有SPDM的裝置見證方式，仍具有傳輸加密、完整性保護、防止第三方竊聽，能驗證網路卡的身分與透過加密通道保護量測結果的傳輸，但無法像已簽署的量測結果（Signed Measurement），以裝置私鑰簽章的方式證明量測資料直接來自特定裝置。</p> <p><a href="/sites/default/files/images/E835-2026-06-01-2.jpg"><img alt="" src="/sites/default/files/images/E835-2026-06-01-2.jpg" style="width: 600px;" /></a></p> <p>省電能力提升，也是英特爾Ethernet E835系列網路卡的一大賣點，若同樣採用單個200 Gb/s埠，E830-CQDA2的耗電量規格標示為11.6瓦，E835-CQDA2的耗電量為11.52瓦。</p> <p>對比其他廠牌的200 Gb/s埠網路卡，成效更顯著。根據英特爾公布的測試比較結果，在耗電量的表現上，<strong><a href="https://www.ithome.com.tw/review/133978">Nvidia ConnectX-6 DX</a></strong>的<strong><a href="https://networking-docs.nvidia.com/connectx6enhw/introduction">CX614106A</a></strong>的實測值為22.15瓦，<strong><a href="https://www.broadcom.com/products/ethernet-connectivity/network-adapters/p2100g">Broadcom P2100G（BCM957508）</a></strong>為16.19瓦，英特爾E835-CQDA2實測值為11.68瓦，省電比例分別為47%與28%；而在每瓦效能的部分，Nvidia ConnectX-6 DX的CX614106A為17 Gbps，Broadcom P2100G（BCM957508）為23 Gbps，英特爾E835-CQDA2為32 Gbps，領先上述兩款產品的幅度，分別為88%與39%。</p> <p><a href="/sites/default/files/images/E835-2026-06-01-3.jpg"><img alt="" src="/sites/default/files/images/E835-2026-06-01-3.jpg" style="width: 600px;" /></a></p> <p>關於產品穩定度的部分，英特爾也和第三方測試與驗證機構Signal65合作，針對精準時間協定的平均錯誤時間、抖動、最小值至最高值的時間誤差等項目進行測試，比較<strong><a href="https://www.intel.com.tw/content/www/tw/zh/products/sku/245161/intel-ethernet-network-adapter-e835xxvda2/specifications.html">Intel E835-XXVDA2</a></strong>、<strong><a href="https://www.ithome.com.tw/review/149714">Nvidia ConnectX-7</a></strong>、<strong><a href="https://www.broadcom.com/products/ethernet-connectivity/network-adapters/p425g">Broadcom P425G（BCM957504）</a></strong>，藉此突顯英特爾Ethernet E835系列的表現。</p> <p><a href="/sites/default/files/images/Ethernet E835-Signal65.png"><img alt="" src="/sites/default/files/images/Ethernet%20E835-Signal65.png" style="width: 600px;" /></a></p> <p>在市場定位上，根據英特爾5月底最新公布的網路卡產品指南來看，顯示E835已成為Intel 800系列乙太網路產品的主力型號，而先前推出的 E830系列除特殊用途的E830-XXVDA4F外，多數型號並未列入現行產品清單，顯示E835有可能逐步接替E830。</p> <p><a href="/sites/default/files/images/Intel Ethernet 800 series-2026-05.jpg"><img alt="" src="/sites/default/files/images/Intel%20Ethernet%20800%20series-2026-05.jpg" style="width: 600px;" /></a></p> <p><strong><span style="color:#008080;">產品資訊</span></strong></p> <p><span style="color:#0000FF;"><strong>Intel Ethernet Network Adapter E835系列</strong></span><br /> ●原廠：Intel<br /> ●建議售價：廠商未提供<br /> ●外形：短板全高、OCP 3.0<br /> ●支援網路介面：E835-CCQDA1/CQDA2支援200/100/50/25/10GbE，E835-XXVDA2、E835-XXVDA4支援25/10GbE<br /> ●提供網路埠：<br /> E835-CCQDA1/CQDA2：單埠200GbE採用QSFP56、雙埠100GbE採用QSFP28<br /> E835-XXVDA2：雙埠25GbE採用SFP28、雙埠10GbE採用SFP+<br /> E835-XXVDA4：四埠25GbE採用SFP28、四埠10GbE採用SFP+<br /> ●乙太網路控制器：Intel Ethernet Controller E835<br /> ●連接介面：E835-CCQDA1/CQDA2搭配PCIe 5.0 x8，E835-XXVDA2、E835-XXVDA4搭配PCIe 4.0 x16<br /> ●支援伺服器虛擬化規格：Open vSwitch（OVS）、VMDq、PCI-SIG SR-IOV、Intel VT-c<br /> ●支援網路時間精確應用：IEEE 1588（PTP v2）、PTM v1.0a<br /> ●進階功能：DDP<br /> ●支援儲存網路協定：iSCSI、NFS<br /> ●網路傳輸技術：RDMA（iWARP、RoCEv2）<br /> ●管理功能規格：NC-SI 1.2、MCP over SMBus 2.0、MCP over PCIe VDM、PLDM over MCP<br /> ●安全性功能規格：CNSA 1.0、硬體信任根（SPDM 1.1.2）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
6/23 12:14作者李宗翰https://www.ithome.com.tw/review/176745
Google強化Gemini app資料治理，Vault支援AI對話保存與訴訟保全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google近期強化Google Workspace環境下Gemini app的資料治理功能，擴大Google Vault對Gemini app（<a href="http://gemini.google.com/" target="_blank">gemini.google.com</a>）對話的保存，以及訴訟保全（litigation holds）支援，也新增管理員控管臨時對話與刪除對話記錄的選項。</p> <p>Google Vault是Google Workspace的電子蒐證與資訊治理工具，過去已支援管理員搜尋與匯出Gemini app對話。<a href="https://workspaceupdates.googleblog.com/2026/06/google-vault-now-supports-retention-rules-and-litigation-holds-for-Gemini-app.html" target="_blank">Google於6月11日公告</a>，管理員可進一步針對網頁版與行動版Gemini app設定預設保存規則、保存規則與訴訟保全功能，讓組織將AI對話紀錄納入法遵保存與法律調查流程。這項更新適用於Business Plus等部分Google Workspace版本，以及Vault附加元件客戶，但僅適用Gemini app，不涵蓋Gmail、Google Docs等Workspace應用程式內建Gemini功能產生的互動記錄。</p> <p><a href="https://workspaceupdates.googleblog.com/2026/06/temporary-chats-and-conversation-deletion-control-for-gemini.html" target="_blank">Google也在6月16日宣布新增Gemini app對話紀錄控管選項</a>。管理員可設定是否允許使用者使用臨時對話，以及是否允許刪除對話紀錄。這兩項功能預設為開啟，可依網域、組織單位或群組層級停用，適用於所有Google Workspace客戶。</p> <p>不過，若組織已設定Google Vault保存規則或訴訟保全，Vault設定仍優先於管理控制臺中的相關設定、使用者刪除設定與使用者活動設定。換言之，即便使用者刪除對話或關閉活動設定，只要Vault保存規則或訴訟保全要求保存資料，相關資料仍會保留，並可供Vault管理員檢視。</p> </div></div></div>
6/23 12:15作者王珮瑤https://www.ithome.com.tw/news/176797
Google DeepMind諾貝爾獎得主跳槽Anthropic
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在Transformer模型開發之父後，Google DeepMind的副總裁，也是諾貝爾獎得主John Jumper已加入Anthropic。前Gemini主管Sissie Hsiao也離開Google跳槽OpenAI。</p> <p>Jumper和DeepMind創辦人暨執行長Demis Hassabis<a href="https://www.ithome.com.tw/news/165422" target="_blank">同為2024年諾貝爾獎化學獎得主</a>。他和Hassabis領導開發的AlphaFold，成功預測出2億多種蛋白質結構，協助科學家在幾秒內了解胺基酸鏈如何形成蛋白質3D形狀。</p> <p><a href="https://x.com/JohnJumperSci/status/2068001285173834106" target="_blank">Jumper本人透過X宣佈</a>，在Google DeepMind工作9年以後決定加入Anthropic。他也感謝Hassabis給予他率領AlphaFold的機會。</p> <p><a href="https://www.bloomberg.com/news/articles/2026-06-19/nobel-winner-john-jumper-to-leave-google-deepmind-for-anthropic" target="_blank">彭博報導</a>，Jumper在DeepMind後期除了生物科學研究外，也是Google AI程式編碼工具開發團隊的核心領導人。然而，Google DeepMind一直苦於無法將其程式碼撰寫開發工具推銷給企業用戶。</p> <p>同時，Anthropic對生物科技展現積極企圖心，Anthropic近期推出的Claude Code也以Claude for Healthcare跨入生醫領域。另一方面，Anthropic今年4月斥資4億美元<a href="https://techcrunch.com/2026/04/03/anthropic-buys-biotech-startup-coefficient-bio-in-400m-deal-reports/" target="_blank">收購生技新創Coefficient Bio</a>，擴充生命科學與計算生物學部門。<a href="https://www.inside.com.tw/article/41599-john-jumper-joins-anthropic" target="_blank">媒體分析</a>，Jumper作為蛋白質結構預測的權威，加入Anthropic能有助於實現將AI代理（Agents）引入生物學研究的戰略，而他也能獲得比體制龐大的Google內更大的發揮空間。</p> <p>同一時間，<a href="https://americanbazaaronline.com/2026/06/18/google-ai-executive-departs-for-openai-in-escalating-talent-battle-483088/" target="_blank">報導指出</a>，長期掌管Google Gemini聊天機器人與生成式AI產品化落地的Sissie Hsiao也跳槽OpenAI。<a href="https://www.reddit.com/r/business/comments/1jq7twn/google_gemini_executive_sissie_hsiao_to_step_down/" target="_blank">她在去年Google AI部門改組中下臺</a>。她的加入補足了OpenAI在面對大規模商業化與產品生態系建立時所需的頂級管理戰力。</p> <p>二週以前，Google工程部門副總裁<a href="https://x.com/NoamShazeer/status/2067400851438932297" target="_blank">Noam Shazeer也宣佈</a>自己將離開Google而加入OpenAI。Shazeer 2017年共同撰寫的Transformer論文《Attention Is All You Need》，是AI的重要論文，這個Transformer架構正是如今ChatGPT、Gemini、Claude等所有主流大模型的最底層核心技術。</p> <p>Shazeer 2021年離開Google共同創立AI角色對話平臺Character AI。2024年Google又以27億美元買下Character，目的即在將之延攬回Google，他之後擔任Gemini AI模型開發的共同負責人。在他領導之下Google Gemini 2.5大幅進步，並逐漸趕上領先的OpenAI。</p> </div></div></div>
6/23 10:21作者林妍溱https://www.ithome.com.tw/news/176788
五眼聯盟示警前沿AI將改變網路攻防，籲企業加速強化資安韌性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>由美國、英國、加拿大、澳洲與紐西蘭組成的情報共享組織五眼聯盟（Five Eyes），<a href="https://www.ncsc.gov.uk/news/the-ai-shift-in-cyber-risk-why-leaders-must-act-now" target="_blank">於6月22日發布聯合聲明</a>，警告前沿AI模型（frontier AI model）可能在數個月內改變網路攻防能力，企業與公部門必須加速強化網路韌性。</p> <p>這份聲明由五國資安機構首長，包括澳洲ACSC、加拿大CCCS、紐西蘭NCSC、英國NCSC、美國NSA與CISA等共同發布。聲明指出，前沿AI模型預期將從根本上改變攻擊與防禦兩端的網路能力，相關變化不是以年計算，而是以月計算；AI一方面可強化防禦能力，例如提升漏洞發現效率、改善軟體品質、強化異常行為監測與事件回應，但同時也會降低惡意行為者攻擊門檻，進一步壓縮漏洞從被發現到遭到利用的防禦空窗期。</p> <p>因此，五眼聯盟呼籲董事會與高階主管，應將網路韌性納入核心商業策略，並重新評估長期以來在效率、成本與安全之間的取捨，有意識地運用AI強化防禦，而不只是提高營運效率。</p> <p>在實務建議上，五眼聯盟提出5項優先行動，包括降低網路攻擊面、加速漏洞修補流程、處理不再受支援的老舊系統、強化身分安全管理與存取控制，以及在資安事件發生前完成應變準備。聲明指出，老舊系統不只是技術債，更是策略負債；組織應以資安事件不可避免為前提，將重心放在快速控制事件影響並加快復原，避免事態擴大為重大營運與財務風險。</p> </div></div></div>
6/23 10:30作者王珮瑤https://www.ithome.com.tw/news/176789
ChatGPT Enterprise新增支出控管功能，管理員可設定每月用量上限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://help.openai.com/en/articles/10128477-chatgpt-enterprise-edu-release-notes#:~:text=3%20%E5%A4%A9%E5%89%8D-,June%2018%2C%202026,Usage%20limits%2C%20Global%20Admin%20Console%20billing%20and%20analytics,-Enterprise%20and%20Edu" target="_blank">OpenAI於6月18日針對ChatGPT Enterprise與Edu方案</a>，推出新的用量分析與支出控管功能，讓管理員可更細緻掌握ChatGPT與程式開發代理工具Codex的點數（credit）使用量，並控管每月用量上限。</p> <p>這次更新包含兩個重點。首先，<a href="https://help.openai.com/en/articles/20001001-setting-usage-limits-in-chatgpt-enterprise-and-edu" target="_blank">OpenAI在工作區設定加入用量限制（Usage limits）功能</a>，支援管理員依工作區、群組與個別使用者設定每月點數使用上限。另一方面，OpenAI也同步強化Global Admin Console管理主控臺中的分析與帳務管理功能。符合資格的工作區現在可集中檢視點數使用趨勢、ChatGPT與Codex的用量分布、訂閱方案資訊、點數餘額、發票紀錄，以及用量警示與使用上限（超額）設定，並能依產品、功能類別、使用者或代理等不同維度匯出資料，以利進一步分析與內部管理。</p> <p>OpenAI說明，Enterprise與Edu工作區目前仍可沿用在Permissions & roles設定的每週用量限制。不過，OpenAI已透過新的用量限制功能，提供每月工作區與群組的預設限制，並預計於2026年7月15日自動遷移尚未轉換的設定，屆時舊的每週限制設定將不再生效。</p> </div></div></div>
6/23 10:37作者王珮瑤https://www.ithome.com.tw/news/176790
Windows剪貼簿功能遭濫用，駭客散布USB蠕蟲竊取加密貨幣資產
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>一般而言，駭客竊取使用者電腦的帳密資料，多半是透過竊資軟體（Infostealer）與剪貼簿監控工具（Clipper）來達到目的，他們通常會藉由釣魚郵件或是搜尋引擎最佳化中毒（SEO Poisoning）來接觸使用者，然而有人在此種類型的惡意軟體當中，整合了自我複製及擴散的能力，使其影響範圍變得更加廣泛。</p> <p>微軟揭露<strong><a href="https://www.microsoft.com/en-us/security/blog/2026/06/17/crypto-clipper-uses-tor-worm-like-propagation-for-persistence-control/">專門鎖定Windows電腦的加密貨幣剪貼簿惡意程式（Crypto Clipper）</a></strong>，活動最早可追溯至今年2月，該惡意程式結合剪貼簿竊取、加密錢包地址替換、Tor匿名通訊與蠕蟲式自我擴散等多重手法，因此微軟認為，其威脅程度遠超一般竊資軟體。攻擊者透過惡意捷徑檔案（LNK）作為初始入侵手段，這些捷徑主要透過USB隨身碟散布。惡意程式會掃描USB裝置上的常見文件，將原始檔案隱藏，並建立同名的LNK捷徑檔，導致使用者點開後實際上執行的是惡意程式，而非預期的文件。</p> <p>此惡意程式主要由兩個核心元件組成，其中一個是蠕蟲元件，負責自我複製與持續擴散，並透過排程工作維持在受害電腦活動；另一個是竊取機密的元件，負責監控剪貼簿、竊取加密貨幣資訊，然後回傳攻擊者。微軟指出，該惡意程式的運作方式尤其值得留意，因為駭客部署了便攜版（Portable）的Tor用戶端，將流量透過本機SOCKS5代理伺服器進行路由，而且惡意程式結合竊取資料及遠端程式碼執行的能力，形同在受害電腦設置了後門。</p> </div></div></div>
6/23 10:38作者周峻佑https://www.ithome.com.tw/news/176791
Fortinet研判Fortibleed為舊資料再散布，並公布六大因應對策
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>近期有攻擊者針對Fortinet防火牆與VPN閘道器發動<strong><a href="http://www.ithome.com.tw/news/176718">Fortibleed</a></strong>攻擊活動，引發資安界關注。對此事件，我們取得資安業者Fortinet的回覆，該公司指出，根據初步分析，網路上流傳的憑證資料很可能是過往資安事件的「再次散布」（resharing），並結合暴力破解手段取得，並非源於任何目前的系統漏洞或新的資安事故。</p> <p>針對此事件的防禦，除了<strong><a href="https://www.ithome.com.tw/news/176765">美國CISA</a></strong>公布五大因應措施外，<strong><a href="https://www.fortinet.com/blog/psirt-blogs/analysis-of-reported-credential-compromise-of-fortigate-devices">Fortinet亦於官方部落格發布事件分析說明，</a></strong>同時提出內容更為細緻的六大因應方針，以協助企業強化設備安全。</p> <p>首先，停用所有管理員與VPN的連線階段並重設帳號與密碼等身分憑證，特別是直接暴露於網際網路的系統。另也強調必須執行強密碼政策，以阻斷威脅者利用已竊得的憑證持續潛伏於系統中；其次，要求所有管理員帳號與VPN用戶強制使用MFA。這能確保即便密碼遭竊，攻擊者也無法輕易突破第二道防線登入系統。</p> <p>接下來Fortinet特別強調兩個重點，一是升級FortiOS作業系統至7.4、7.6或8.0的最新版本。該公司解釋，這些版本支援使用PBKDF2演算法對管理員密碼進行雜湊處理，安全性更高，同時提醒務必遵循指引，透過指令set login-lockout-upon-weaker-encryption移除舊有的遺留密碼設定。</p> <p>另一是檢查系統配置與異常帳號，確認是否有未經授權的變更，並留意是否出現不尋常的帳號名稱。該公司特別點出：forticloud、fortiuser、fortinet-support或fortinet-tech-support等帳號名稱，呼籲用戶應仔細清查。</p> <p>至於最後兩項因應作為，則是全面檢查設備與網域日誌，以及縮減攻擊面並限制管理權限。其中，前者著重檢查是否存在來自不明IP位址的異常管理員存取記錄，並檢查網域控制器（Domain Controller）日誌，搜尋是否存在橫向移動、異常存取、可疑帳號或未經授權的設定變更跡象；後者在建議上提供3種強度的攻擊面限縮，例如：透過「信任主機」限制管理存取來源是基本做法；實施「區域存取策略（Local-In Policy）」是更佳的選擇；而完全移除網路遠端管理功能則是最高等級的保護。</p> <p>Fortinet在公告中重申，若企業組織先前已依循資安最佳實踐進行防禦，此次憑證外洩事件帶來的風險極小。換言之，這類事件多半與企業未落實既有資安最佳實務有關，如何有效協助這些組織補齊防禦缺口，將是未來資安防護上的重要挑戰。</p> <p><a href="/sites/default/files/images/2026-06-22_182559.jpg"><img alt="" src="/sites/default/files/images/2026-06-22_182559.jpg" style="width: 600px;" /></a></p> </div></div></div>
6/22 23:55作者羅正漢https://www.ithome.com.tw/news/176784
Gartner舉辦安全與風險管理高峰會，點名CISO須優先應對的4大關鍵威脅
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>面對持續演變的AI技術與威脅態勢，研究調查機構Gartner在2026年6月1日至3日舉辦資安與風險管理高峰會，特別點出CISO必須在2027年前優先因應的四大關鍵威脅。這四大領域涵蓋深度偽造（Deepfakes）、AI應用程式入侵、軟體供應鏈漏洞，以及提示注入。Gartner副總裁兼分析師John Watts<strong><a href="https://www.gartner.com/en/newsroom/press-releases/2026-06-02-gartner-identifies-four-critical-threats-requiring-urgent-improvements-from-cybersecurity-leaders">指出</a></strong>，由於攻擊者在上述這些新興技術領域已占據顯著優勢，因此提出4大具體因應策略，供企業參考與執行。</p> <p>首先，針對深度偽造影音內容可能引發的冒名詐騙，他建議，企業應根據具體應用情境制定多層控制措施，聚焦於影像展示攻擊（Presentation Attacks，例如利用照片、螢幕畫面、3D面具偽冒臉部），以及合成內容資料注入攻擊（Injection Attacks，例如將相機畫面替換為合成畫面、偽造鏡頭的metadata）的偵測，以及實施條件存取策略來確保線上會議的安全；其次，企業需將安全測試深度嵌入AI開發流程，並描繪出AI模型或自動化工具引入的新型攻擊面，亦可利用Gartner提出的安全管理信任與風險（<strong>TRiSM</strong>）框架作為指引。該框架自2022年10月發布，近年更強化對生成式AI的動態風險監控與合規管理。</p> <p>第三，面對複雜的軟體供應鏈漏洞，John Watts強調企業必須加速推動軟體物料清單（SBOM）與AI物料清單（AIBOM）的應用，藉此提升第三方組件與模型的透明度，並建立持續性的風險評估機制，以確保在AI驅動的威脅環境下，維持企業安全運作；最後，針對日益盛行的提示注入攻擊，必須落實大型語言模型（LLM）的輸入監控、過濾與最小權限控管，以嚴防敏感資料外洩。<br /> </p> </div></div></div>
6/23 10:00作者羅正漢https://www.ithome.com.tw/news/176778
印度Tata Electronics證實遭駭，疑似外洩蘋果、特斯拉資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在勒索軟體組織公開宣稱竊得資料並且貼出樣本後，印度半導體暨電子製造巨擘Tata Electronics證實發生資安事故。</p> <p><a href="https://techcrunch.com/2026/06/22/tata-electronics-a-major-tech-supplier-to-apple-and-tesla-confirms-data-breach/" target="_blank">Tata Electronics向媒體證實</a>，該公司在幾個星期前發現部分系統發生資安事件，公司立即啟動回應措施。Tata Electronics強調此事對其各業務營運未造成影響。</p> <p>印度資安研究人員Rajshekhar Rajaharia發現，勒索軟體組織World Leaks本週稍早在暗網上宣稱駭入Tata Electronics，公布了20萬份檔案，以及疑為蘋果、特斯拉的硬體元件設計及規格文件的螢幕擷圖。</p> <p><a href="https://www.reuters.com/business/media-telecom/indias-tata-electronics-hit-by-cyber-breach-claiming-expose-apple-tesla-trade-2026-06-22/" target="_blank">路透引述資安研究人員Rajshekhar Rajaharia報導</a>，這些資料約630GB，其中包含和蘋果相關的資料夾中，有些命名為com.apple.factorydata，有的文件檔名指向材料規格，另有和iPhone電路板的品管標準文件。而在特斯拉相關資料夾中，則包含疑為Model Y充電埠以及和Model 3改版專案Highland有關、檔名為「商業機密」文件。</p> <p>Techcrunch則報導，駭客張貼在暗網論壇的資料，除了疑似蘋果和特斯拉等客戶的文件外，也包含Tata Electronics的公司Outlook電子郵件、SAP資訊等。</p> <p>蘋果、特斯拉官方拒絕評論。不過路透社引述消息人士說，蘋果公司已經開始調查此事。</p> <p>Tata Electronics是在2023年及2025年先後買下緯創印度廠，和入股和碩印度業務後成為鴻海之後主要的iPhone代工廠。Tata Electronics也是特斯拉在美國加州、德國柏林及中國上海工廠之外的主要生產基地。</p> <p><a href="https://www.ithome.com.tw/news/171354" target="_blank">去年被勒索軟體攻擊</a>導致停產數週的英國車廠Jaguar Land Rover則和Tata Electronics同屬Tata集團。</p> </div></div></div>
6/23 10:04作者林妍溱https://www.ithome.com.tw/news/176786
OpenAI擴大Daybreak資安計畫，發表Patch the Planet協助開源專案修補漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://openai.com/index/daybreak-securing-the-world/" target="_blank">OpenAI週一（6/22）宣布擴大其資安防禦計畫Daybreak</a>，推出完整版GPT-5.5-Cyber、更新Codex Security工具，並發表協助開源專案修補漏洞的Patch the Planet計畫。</p> <p><a href="https://www.ithome.com.tw/news/175713" target="_blank">Daybreak是OpenAI於今年5月推出的資安防禦計畫</a>，結合AI模型、資安工具及合作夥伴，協助企業找出、驗證及修補軟體漏洞。其中，GPT-5.5-Cyber是OpenAI專為資安工作打造的AI模型；Codex Security則是將Codex程式代理人導入資安工作流程，可分析程式碼、建立威脅模型、驗證漏洞並產生修補程式；至於Patch the Planet則是結合資安研究人員與開源維護者的新計畫，協助開源專案加速完成漏洞修補。</p> <p>OpenAI同步發布完整版GPT-5.5-Cyber。該模型先前隨Daybreak以預覽版形式開放給已驗證的資安防禦者使用，本次則首度公布測試成績。OpenAI表示，GPT-5.5-Cyber在CyberGym測試中取得85.6%成績，高於GPT-5.5的81.8%，在ExploitGym及SEC-bench Pro等資安測試中的表現也優於一般版GPT-5.5。</p> <p>此次OpenAI也更新Codex Security工具。<a href="https://www.ithome.com.tw/news/174282" target="_blank">該工具自3月以研究預覽版形式推出以來</a>，已掃描超過3萬個程式碼庫及3,000萬次程式提交，超過7萬項發現經人工確認已完成修補，另有逾50萬項發現由系統自動判定已獲修復。OpenAI表示，新版Codex Security可直接執行深度掃描、建立威脅模型、分析攻擊路徑、驗證漏洞，並針對特定程式碼庫產生修補程式供開發人員審查。</p> <p>OpenAI表示，AI大幅提升漏洞發現能力，讓開源專案維護者可能面臨更多漏洞通報與修補壓力；然而，許多廣泛使用的開源專案長期面臨維護人力不足問題。Linux Foundation與哈佛大學研究顯示，許多熱門開源專案的維護人力有限，在受調查專案中，有94%的專案其9成以上程式碼變更是由不到10名開發者完成。隨著AI讓漏洞發現變得更快，維護者要處理的漏洞驗證、通報與修補工作也隨之增加，使資安瓶頸從尋找漏洞轉向修補漏洞。</p> <p>為此，OpenAI與Trail of Bits、HackerOne及Calif共同成立Patch the Planet計畫，資助資安研究人員利用Codex Security及OpenAI模型，直接協助開源專案維護者驗證漏洞、排除重複通報並提交修補程式。首批已有超過30個開源專案參與，包括cURL、Go、Python、Sigstore及pyca/cryptography等。OpenAI表示，在首輪5天測試中，研究人員已提出數百項問題供審查，並完成數十個修補程式。</p> <p>OpenAI的Daybreak與Anthropic的<a href="https://www.ithome.com.tw/news/174898" target="_blank">Project Glasswing</a>有不少相似之處，它們分別具備專用資安模型GPT-5.5-Cyber與Claude Mythos，<a href="https://www.ithome.com.tw/news/175489" target="_blank">提供資安工具Codex Security及Claude Security</a>，<a href="https://www.ithome.com.tw/news/174480" target="_blank">也分別透過Patch the Planet及Alpha-Omega支援開源軟體安全</a>，顯示雙方已在AI資安領域上短兵相接。</p> </div></div></div>
6/23 10:09作者陳曉莉https://www.ithome.com.tw/news/176787
醫療業勒索軟體風險升高，臺灣列受害案例增幅明顯地區
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.cyfirma.com/research/cyfirma-industry-report-healthcare-9/" target="_blank">資安威脅情報業者Cyfirma近日發布醫療產業威脅報告</a>，指出勒索軟體仍是醫療保健產業面臨的主要網路威脅之一。該公司追蹤過去90天全球勒索軟體受害情形，發現共有2,388個組織遭勒索軟體組織列名為受害者，其中216個屬於醫療產業，較前一統計期間增加8.5%，而就整體受害比例而言，醫療產業占9.05%，使醫療業成為受害組織數量第三多的產業類別。</p> <p>報告指出，受害案例主要集中於醫院與專科診所、製藥與生物科技、專科醫療等領域，但醫療設備與用品、基層醫療、保險與醫療行政等子領域也受到波及，顯示勒索軟體威脅已從第一線醫療機構，進一步擴及醫療產業鏈多個環節。</p> <p>從區域分布來看，美國仍是醫療產業勒索軟體受害最集中的國家，占相關案例的53%。不過，醫療產業受害組織分布範圍已從33國擴大至42國，其中印度、德國、臺灣與中國的案例增幅相對明顯。</p> <p>醫療機構一旦遭勒索軟體攻擊，系統停機可能影響照護服務，加上持有大量敏感個資與醫療紀錄，攻擊者可藉由癱瘓營運與威脅公開其手上的外洩資料，對受害機構施壓。研究人員建議，相關機構應強化資料備份與復原演練、修補已知漏洞、控管遠端存取權限，並持續監測暗網外洩資料與勒索軟體組織動態，以降低攻擊擴散、資料外洩與營運中斷風險。</p> </div></div></div>
6/23 06:15作者王珮瑤https://www.ithome.com.tw/news/176760
醫療AI會考試不等於會看病，美國權威醫院研究登Nature：國考92分、臨床任務僅44.8分
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>大型語言模型（LLM）近年在醫療領域表現驚艷，不少模型甚至能在美國醫師執照考試（USMLE）中，拿下接近專科醫師水準的成績。然而，美國麻省總醫院布萊根體系（Mass General Brigham）<a href="https://www.massgeneralbrigham.org/en/about/newsroom/press-releases/evaluating-ai-performance-for-everyday-patient-care">最新研究發現</a>，這些在標準化考試表現亮眼的AI模型，面對真實醫療情境時，能力可能大打折扣。</p> <p>該醫院研究團隊最近在《Nature Biomedical Engineering》上，<a href="https://www.nature.com/articles/s41551-026-01719-2">發表一項名為BRIDGE的醫療AI評測框架</a>。這套評測基準，專門評估大型語言模型對真實臨床資料的理解力，範圍涵蓋電子病歷、臨床病例報告和醫病對話等資料，且也涵蓋9種語言。</p> <p>研究結果發現，表現最佳的模型在標準化醫學考試中拿下92分，但在BRIDGE測試中，平均得分只有44.8%，意味著目前醫療AI模型存在明顯的臨床理解落差。除了論文研究，團隊也同步<a href="https://huggingface.co/spaces/YLab-Open/BRIDGE-Medical-Leaderboard">公開模型排行榜</a>，來供醫療機構和開發者比較不同模型在真實臨床任務的表現，目前已納入107款模型。</p> <h2><strong>為何現有醫療AI評測方式不夠？</strong></h2> <p>過去幾年，醫療LLM的能力大多透過醫學考試題庫來評測，比如美國醫師執照考試（USMLE）或專科考題。這類評測方式都有個共同特性：題目通常經過標準化設計，使用正式且結構化的醫學語言，答案也相對明確。</p> <p>然而，Mass General Brigham研究團隊指出，這類測驗主要評估醫學知識和推理能力，無法完整反映臨床現場的複雜性。</p> <p>因為，相較於考題，醫師每天接觸的是電子病歷、護理紀錄、醫病對話及各類非結構化文本，其中充滿醫療縮寫、不完整病史、跨科別資訊和各院不同的書寫習慣。AI若無法理解這些內容，即使具備豐富醫學知識，也難以真正融入臨床工作流程。</p> <p>Mass General Brigham醫學部藥物流行病學與藥物經濟學部門研究員Jie Yang表示，有別於許多以醫學考題為核心的評測工具，團隊建立的BRIDGE更聚焦於真實臨床資料來源，就是希望更真實反映AI在醫療照護現場的能力。</p> <h2><strong>用真實病歷和醫病對話，測試AI能力</strong></h2> <p>BRIDGE最早在2025年公開上架，最近則正式通過同儕審查並刊登於權威期刊《Nature Biomedical Engineering》上。</p> <p>有別於傳統的醫療AI基準測試，BRIDGE採用電子病歷、臨床病例報告和醫病對話等真實醫療文本，作為測試資料，而非醫學考試考題。</p> <p>簡單來說，BRIDGE包含59個臨床資料來源，評估95款大型語言模型在病人照護全流程中的表現，涵蓋14個臨床專科領域，以及病人分流、醫療資訊擷取、疾病診斷、預後預測和醫療申報與編碼等能力。</p> <p>結果顯示，即使是表現最佳的模型，在標準化醫學考試拿下92分，在BRIDGE評測中的得分卻只有44.8%。研究團隊認為，這代表目前醫療AI最大的挑戰不再是缺乏醫學知識，而是缺乏對臨床語境（Clinical Context）和真實醫療文本的理解能力。</p> <p>BRIDGE還有另一個特色，也就是納入9種語言的臨床資料。由於目前大多數醫療AI模型，都以英文資料為主來訓練，因此非英語地區的模型能力與適用性，往往較少受到系統性評估。</p> <p>研究團隊指出，多語言設計，可以發現AI模型在不同語言環境下的表現差異，進一步改善醫療AI在全球不同醫療場域中的應用表現，降低語言造成的照護落差。</p> <h2><strong>醫療AI評測從「會考試」走向「會工作」</strong></h2> <p>除了論文研究，團隊也同步<a href="https://huggingface.co/spaces/YLab-Open/BRIDGE-Medical-Leaderboard">公開模型排行榜</a>，來供醫療機構和開發者比較不同模型在真實臨床任務的表現。</p> <p>這次論文首先評測95款大型語言模型，截至目前，排行榜已收錄了超過107款模型。</p> <p><img alt="" src="https://cdn-uploads.huggingface.co/production/uploads/669ff3f8efee8ac86d9b8c90/kX2cM7oBAowIXIqjBUp6E.png" /></p> <p>從產業發展角度來看，BRIDGE反映的不只是單一評測工具的進展，而是醫療AI評估標準的改變。過去業界習慣以USMLE等醫學考試成績衡量模型能力，但隨著生成式AI逐步進入醫院工作流程，醫療機構更關心的是AI是否能看懂病歷、理解醫病對話、支援病人分流、協助醫療申報與臨床決策。</p> <p></p> </div></div></div>
6/22 19:08作者王若樸https://www.ithome.com.tw/news/176785
沒有公雲帳單，私有雲如何落實FinOps？國泰世華銀行SRE用監控數據支援治理決策
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在臺灣第一場可觀察性技術研討會中，不少企業難得分享了自家運用可觀察性的實戰經驗，國泰世華銀行更將各項監控數據應用到私有雲資源的管理，導入了FinOps思維來創造可觀察性數據的新價值。</p> <p>國泰世華銀行SRE團隊，手上掌握了很多數據，從基礎設施層面的CPU和記憶體使用率，服務層面的Latency、錯誤率、SLA，還有應用程式效能監控的Tracing資訊等。</p> <p>一般維運團隊常見有三種監控數據的應用情境，像是系統出事而觸發告警，需要數據來找出問題，加快修復速度。其次是服務效能遇到瓶頸，需要分析監控數據，向主管說明問題來源，釐清責任歸屬並研擬改善方式。第三是要證明系統正常運作，像是例行系統健檢，需要確認指標正常。</p> <p>國泰世華銀行SRE工程師沈依潔剖析，這些應用方式只是利用觀察數據來解釋或是證明系統狀態，但能不能創造更多價值？</p> <p>從管理階層角度來看，老闆關心私有雲資源是否有效利用？這可以進一步細分成三個實務問題，第一是資源配置合理性，是否符合實際業務負載，其次是，服務資源是否長期高估？最後是，擴容需求是否基於真實數據，而非擔心出事而額外要求？</p> <p>就算拿到了上述問題的相關數據，沈依潔指出，最關鍵的挑戰就是，私有雲沒有如同公雲般的帳單，很難直接判斷資源利用的有效性。</p> <h3><strong><span style="color:#B22222;">私有雲 FinOps 挑戰：沒有帳單，也沒有人為浪費行為負責</span></strong></h3> <p>私有雲和公有雲最大的差異之一，是沒有像公有雲那樣清楚的帳單。在公雲環境中，服務上線後開始依用量計費，但私有雲資源是預先採購的設備，使用行為沒有帳單紀錄。「只要服務沒有出事，浪費的行為很安靜，沒有人可以察覺。」沈依潔表示，還有另一個挑戰是，「沒有人為省錢負責，也沒有人是資源浪費的擁有人。」</p> <p>管理階層無法了解實際數據與成本，平台管理團隊以平台穩定為優先，節省資源不是第一目標，開發應用團隊則依需求提出規格，但不見得有人可以評估規格所用資源的合理性。若指派一個團隊負責FinOps，其他團隊就會認為不是自己的責任而難以落實。</p> <p>「推動FinOps需要建立合作文化。合作的基礎不能各說各話，而是要用數據對齊決策。」沈依潔建議，第一步就是先定義什麼是「浪費」。</p> <p>掌握大量數據的平台管理團隊可以擔任FinOps核心承接者，用數據來定義指標，建立透明化規則，再和開發團隊討論資源調整方式，依照共同的指標和規則來調整。如此一來，管理階層就能清楚知道每一個專案如何落實FinOps。<br /> 國泰世華銀行採用了業界常見的叢集節能工具kube-green，先從測試環境導入私有雲FinOps做法。</p> <h3><span style="color:#B22222;"><strong>先從關閉測試環境的閒置空檔，長期則要清理閒置的服務</strong></span></h3> <p>測試環境的特性是，所部署的系統還沒實際執行交易，不會影響顧客或產生營運風險。使用時間也大多集中於上班時段，很多開啟在測試環境中的服務只是備用系統，不會持續創造價值。</p> <p>沈依潔表示，為了驗證系統，測試環境理論上得盡可能比照正式環境配置，因此，不適合採取「精準調整資源配置」的FinOps策略，反而是要採取「服務不用時可關閉」的做法。就像辦公大樓的餐廳，假日無人上班，就不用開店，可以省下電費與人力成本。</p> <p>所以，國泰世華銀行導入了測試環境的排程休眠與智慧喚醒機制。可以指定時段將部署環境的副本參數數值歸零，仍然保留所有設定，需要啟用服務時，仍可以喚醒測試環境。「這樣做的好處是，離峰時段自動關閉服務，不需靠人手動開關，也不用每天提前上班啟動服務。」她解釋。</p> <p>不過，並非所有測試環境的服務都能在離峰時段關閉，國泰世華銀行依照服務相依性與重要性，細分成三類服務，各有不同的休眠策略。</p> <p>第一類是基礎與關鍵服務。這一類服務支援了其他服務的大量呼叫，因此設定為永不休眠，避免影響其他服務智慧喚醒後的測試流程。第二類則是一般服務，這些服務有明確的開發和測試節奏，使用時間集中在上班時段，晚上則有少數測試需求，因此採取假日休眠的做法，避免影響開發流程。最後一類是教育訓練用服務，通常只會在上班時段使用，因此可以在平日晚上與假日時間休眠。</p> <p>不只關閉服務要有策略，喚醒服務也需要有一套做法，尤其不能同時喚醒平台上的所有服務。同時啟動所有服務，可能導致這些服務高度集中在特定運算節點上，造成整體節點的配置不均，也會因為啟動階段需要更多資源，而影響所用節點的運作。有些需要連結外部系統的服務，同時喚醒，對第三方服務會帶來較大的壓力。</p> <p>在喚醒服務上，國泰世華銀行SRE採取了三個做法，第一是事先預留啟動資源，來確保服務啟動時有足夠彈性。其次是，採取分批喚醒策略，避免同時啟動造成分配不均或節點負載過高。另外，還要控制每一波服務啟動的數量與間隔，確保上班時段開始之前，所需服務全都備妥。</p> <p>國泰世華銀行SRE針對測試環境中的閒置服務，設定了一套清理規則。以90天為限，超過這段時間沒有部署新版，沒有流量，也不是核心或基礎的服務，就會通知負責的開發團隊，確認是否需要保留或移除。<br /> 測試環境預設只會提供一份，開發團隊若因壓力測試需要大量副本，則要另外提出申請，使用後歸還。這個做法背後的目的是，建立測試環境資源是借用資源的觀念，不是永久配給制。</p> <p>他們管理測試環境的FinOps目標是，在穩定提供測試服務的前提下，讓測試環境的節點數，長期低於正式環境。簡單來說，就是用更少的基礎設施，提供同樣的服務能力。<br /> 沈依潔比喻，測試環境的管理，就像是旅館經營，平台是旅館，服務則是旅客。盡可能提高住房率、降低空房率，就能避免不必要的擴建。長期治理則像是定期清理已經登記但沒人入住的房間，將空間釋放給真正需要的人。</p> <h2><strong><span style="color:#B22222;">正式環境的FinOps做法和測試環境不一樣</span></strong></h2> <p>不過，相較於測試環境，正式環境才是導入FinOps更困難的挑戰。沈依潔解釋，正式環境除需要符合資安標準與合規要求之外，還必須維持服務的高可用性，核心服務更是需要達到7x24小時的穩定運作。其次，正式環境處理的是真實顧客資料與交易資料，也需要維持資料的一致性與即時性，不能有延遲或遺失。再加上，正式環境的流量變化劇烈，像是自家舉辦促銷活動，或是外部不可預測的事件，如匯率波動等都會導致流量驟增，必須保留即時調整的彈性。</p> <p>沈依潔提醒，無法將測試環境的FinOps管理方式，直接套到正式環境。「要管理正式環境的成本，第一步是先定義『不能做的事』。」</p> <p>像是，哪些是不能關閉的服務，或是必須7x24小時運作的核心服務。不能單看CPU峰值來調整，否則可能會造成其他資源的長期浪費，也必須保留彈性，避免服務遇到流量波動而受影響。</p> <p>「正式環境的FinOps目標不是關閉閒置服務，而要讓資源運用得更精準。」沈依潔一句話點出關鍵，必須提供正式環境更精準的資源配置，讓資源設定更符合每一項服務實際的使用型態。</p> <p>國泰世華銀行結合了不同維度的數據來綜合判斷，包括了數值型數據，服務類型標籤等。數值型數據像是維運團隊慣用的CPU用量、記憶體用量、長期用量。他們特別會觀察90天的長期使用行為，避免因為特殊壓測、單日異常或短期事件的誤導。服務類型的標籤則像交易類服務或查詢類服務。沈依潔解釋：「重點不是服務今天用了多少資源，而是它長期真正需要多少資源。」</p> <p><strong>國泰世華銀行SRE整合了多種數據，讓資源配置異動決策更有依據</strong><br /> <img alt="" src="/sites/default/files/images/%E5%9C%8B%E6%B3%B0SRE-%E5%9C%963-%E6%94%9D%E5%BD%B1-%E7%8E%8B%E5%AE%8F%E4%BB%81.jpeg" /></p> <p>為了更客觀地評估一項服務的配置能否調整，以及調整出錯時的風險，國泰世華銀行SRE還有一個特別的做法，他們將自己的維運經驗，轉換成可以通用各種服務的「服務重要性」指標。</p> <p>國泰團隊結合三項資訊，包括服務可用性、可變更時間，以及變更時可接受的中斷時間，將這三項資訊轉換成分數來加權計算，像是可接受中斷時間越短，代表這項服務的重要性分數就越高，最後歸納出三種「服務重要性」等級，分別是Critical、High和Medium。</p> <h3><span style="color:#B22222;"><strong>善用資源矩陣，找出必須關注和可調整的服務</strong></span></h3> <p>國泰世華銀行SRE以資源使用率與流量作為 X、Y 軸，再加上服務重要性標籤，設計了一個資源矩陣圖，就能一目瞭然看到所維運服務的資源調整態勢。</p> <p><img alt="" src="/sites/default/files/images/%E5%9C%8B%E6%B3%B0SRE-%E5%9C%962-%E6%94%9D%E5%BD%B1-%E7%8E%8B%E5%AE%8F%E4%BB%81.jpeg" /></p> <p>若有項服務的重要性等級為Critical，資源使用率高且流量也高，SRE團隊就需要特別關注，甚至得評估資源可用性，考慮增加資源來維持穩定。反過來說，若有服務的資源使用率低、流量也低，重要性等級只達到Medium，配置變動風險相對較低，就可以和該服務的負責團隊討論，評估是否減少資源配置。甚至可以用來評估是否要關閉或是和其他服務整併，來釋放所占用的資源。</p> <p>「透過數據、標籤與統一的調整標準，SRE可以和各個團隊用同一份數據與同一套指標來評估。」沈依潔表示，因為資源的調整不是憑感覺，而是符合服務真實使用狀況，可以讓大家對配置的調整更有信心。</p> <p>導入這套資源透明化的做法後，國泰所擁有的正式環境，在不增加更多節點的情況下，依舊能上線更多新服務，不只延緩了硬體資源的投資，也減輕了不少平臺管理團隊的維運壓力。</p> <h3><span style="color:#B22222;"><strong>SRE要將可觀察性數據變成治理依據</strong></span></h3> <p>「SRE不是沒有數據，而是這些數據能不能創造更多價值？答案是可以。」沈依潔表示，可以主動運用監控數據，來建立標準與規則，讓它變成主動治理的依據，讓數據成為每一個執行決策背後的依據。</p> <p>即使在私有雲中，沒有帳單，透過數據來定義出「浪費」，釐清哪些資源可以調整而哪些不能異動。「善用可觀察性讓浪費被看見，用數據做出決策，對平臺團隊而言，可以將維運工作從救火提升到治理層次。」沈依潔強調。</p> </div></div></div>
6/22 17:26作者王宏仁https://www.ithome.com.tw/news/176779
Google推出Brazos液冷設計，不需改建機房也能部署60kW AI機架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>AI運算需求快速成長，資料中心散熱正成為企業擴充AI基礎設施的新瓶頸。<a data-saferedirecturl="https://cloud.google.com/blog/topics/systems/brazos-liquid-cooling-system-for-air-cooled-data-centers" href="https://www.ithome.com.tw/news/124696" target="_blank">Google上周發表名為Brazos的液冷系統</a>，不同於傳統需要建置冷卻水系統的液冷架構，Brazos採用Sidecar（側掛式）設計，將液冷設備整合為獨立模組，直接安裝於AI機架旁，讓既有風冷資料中心也能部署高密度AI伺服器，而不必進行大規模機房改造。</p> <p>Google表示，Brazos已正式提供，並將透過合作夥伴推廣至產業市場，希望讓更多企業與資料中心業者採用這套設計。</p> <p><span style="color:#B22222;"><strong>Brazos</strong><strong>將液冷系統縮小至機架等級</strong></span></p> <p>目前市場上的液冷方案，多數需要資料中心配置冷卻水管路、冷卻水分配單元（CDU）以及相關基礎設施，在部署上伴隨高額投資與長達數個月的施工時間。</p> <p><img alt="" src="/sites/default/files/images/image1_qDK9NzQ_max-.jpg" style="width: 600px; height: 396px;" /></p> <p>Google的Brazos設計(上圖，來源：Google Cloud)是將完整液冷系統整合成側掛模組，並採用OCP的ORv3機架規格，由3個液冷模組搭配整合式機架歧管組成，每個模組占用11個OU高度，共同支援單一的AI機架散熱需求。</p> <p>換言之，原本屬於資料中心層級的液冷設備，被縮小為可隨機架部署的模組化設備，使液冷部署從「改建機房」轉變為「增加一個AI機架」。</p> <p><span style="color:#B22222;"><strong>建立封閉液冷循環，不需連接資料中心冷卻水</strong></span></p> <p>Brazos系統的最大特色是，採用Google稱之為「self-contained liquid ecosystem」的自成一體的液冷生態系。</p> <p>AI晶片產生的熱量先由冷板吸收後，再透過封閉式液體循環送往側掛模組內建的Liquid-to-Air熱交換器，最後直接將熱量排放至資料中心的熱通道，整個過程不需連接建築物冷卻水系統，也不必新增冷卻水管路。</p> <p>由於液體始終在封閉迴路內循環，IT設備與資料中心設施彼此隔離，不僅降低漏液風險，也讓既有風冷資料中心能以較低成本導入液冷AI設備。</p> <p>對企業IT而言，這代表未來升級AI運算時，不必等待機房重新設計，只需新增具備液冷能力的AI機架，即可逐步擴充算力。</p> <p><span style="color:#B22222;"><strong>單機架支援</strong><strong>60kW</strong><strong>熱負載，維修採模組化設計</strong></span></p> <p>根據Google公布的資料，Brazos每個機架最高可支援60kW熱負載，可使用去離子水（DI Water）或25%丙二醇混合液（PG25）作為冷卻液，供電則採40至60V直流電，可直接連接標準機架匯流排（Rack Busbar）。</p> <p>其在管理上，該系統支援Modbus over TCP，可整合既有資料中心監控平台，同時內建漏液偵測與壓力釋放機制，並符合UL、CSA及IEC 62368-1等安全規範。</p> <p>Google也在設計上強調Brazos的維護便利性。整個側掛模組採用滑軌結構，可直接抽出維修，幫浦與風扇也採用熱插拔、現場可替換（FRU）設計，方便現場快速更換，降低設備故障造成的停機時間。</p> <p>隨著新一代AI加速器功耗持續增加，資料中心升級的挑戰已從運算能力轉向基礎設施能力。液冷雖然被視為AI資料中心的重要技術，但如何兼顧部署速度與成本，仍是企業導入的主要考量。</p> <p>Brazos反映出AI基礎設施的新思維，將液冷能力封裝成標準化、模組化產品，讓企業可以依需求逐機架擴充，而不是一次投入機房大改造。</p> </div></div></div>
6/22 17:52作者蘇文彬https://www.ithome.com.tw/news/176782
GitLab 19.1強化AI工作流程治理，新增事件觸發與模型白名單
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><strong><a href="https://about.gitlab.com/blog/ai-catalog-updates-for-governance-and-operations/">GitLab在19.1版更新</a></strong>AI代理與流程目錄AI Catalog，讓AI工作流程功能Duo Flows可依合併請求、工作項目與CI/CD管線狀態自動觸發，並加入多項治理設定。管理員也可限制AI代理、流程與模型在組織內的使用範圍，降低未經審核的AI自動化內容進入企業環境的風險。</p> <p>過去Duo Flows主要靠使用者在GitLab介面中提及服務帳號、指派服務帳號，或把服務帳號加入為合併請求審查者來啟動，較難直接納入正式開發流程。GitLab 19.1新增事件觸發後，當系統偵測到合併請求出現程式碼衝突，或開發者將合併請求從草稿標記為準備審查，相關AI流程就能自動執行，用於產生衝突摘要、提出處理建議，或進行審查前檢查。</p> <p>Duo Flows支援的觸發事件還包括合併請求取得所有必要核准，以及建立新的工作項目。GitLab也強化既有的管線事件，讓使用者可設定只在管線執行中、成功、失敗或取消等特定狀態觸發流程，避免每次狀態變更都執行AI工作。</p> <p>GitLab新增設定，讓執行個體管理員與頂層群組擁有者限制AI Catalog的使用範圍。管理員可停用自訂AI代理與流程，讓使用者僅能使用GitLab提供的基礎內容，也可限制使用者只能啟用同一群組階層內的AI Catalog項目，避免未經審核的社群或第三方內容進入企業環境。</p> <p>GitLab 19.1也把流程設定檢查提前到儲存階段。使用者在AI Catalog新增或更新流程時，系統會先透過Duo Workflow Service檢查設定內容，要是缺少必要輸入或使用不明的工具參數，介面會在儲存前顯示錯誤，降低自動化流程上線後才因設定問題造成干擾的機率。</p> <p>另一項治理功能是AI模型白名單，目前以公開測試版提供。管理員可指定組織核准使用的AI模型，並設定預設模型，讓企業在資料駐留或內部審核要求下限制模型來源。GitLab表示，該功能初期適用於GitLab Duo Agentic Chat，之後會擴大到更多功能介面。</p> </div></div></div>
6/22 18:06作者李建興https://www.ithome.com.tw/news/176777
【資安日報】6月22日，FortiBleed暴露逾7萬臺Fortinet設備憑證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><h3><strong>本日新聞焦點</strong></h3> <p>● <a href="https://www.ithome.com.tw/news/176771#FortiBleed">FortiBleed曝光逾7萬臺Fortinet設備憑證資料</a></p> <p>● <a href="http://www.ithome.com.tw/news/176771#AryStinger">殭屍網路AryStinger感染大量D-Link路由器</a></p> <p>● <a href="https://www.ithome.com.tw/news/176771#Nginx">F5針對Nginx發布緊急安全更新</a> <a id="FortiBleed" name="FortiBleed"></a></p> <p> </p> <p><a href="https://www.ithome.com.tw/news/176718"><span style="font-size: 22px;"><strong>FortiBleed曝光逾7萬臺Fortinet設備憑證資料，臺灣受影響數量居全球第三</strong></span></a></p> <p><a href="/sites/default/files/images/1781278244877-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/1781278244877-63.jpg" style="width: 300px; float: right;" /></a></p> <p>威脅情報平臺InfoStealers於6月17日，揭露名為FortiBleed的大規模憑證外洩事件，指出全球有超過7萬臺Fortinet FortiGate防火牆與SSL VPN設備的登入憑證，遭駭客竊取並外洩，受害者遍布194個國家，影響逾2萬個網域，且臺灣曝險設備數量位居全球第三。這起事件最早由研究人員Bob Diachenko於6月中旬發現，當時他找到1臺曝露在網際網路的伺服器，其中儲存了大量疑似有效的Fortinet VPN登入憑證，包含使用者名稱、電子郵件地址，以及明文密碼。<a href="https://www.ithome.com.tw/news/176718"><strong>詳全文</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176765"><span style="font-size: 22px;"><strong>美CISA公布因應FortiBleed的五大措施，要求企業重設帳密並升級至PBKDF2雜湊機制</strong></span></a></p> <p>近期全球爆發FortiBleed大規模系統登入憑證外洩事件，美國網路安全與基礎設施安全局（CISA）緊急發布威脅因應的五項措施，呼籲受影響用戶立即強化防禦。具體因應行動包括：（一）停用所有SSL VPN與管理連線，重設所有Fortinet設備帳號與密碼，並強制實施強密碼政策；（二）確保憑證儲存安全，強制管理員帳戶改用PBKDF2雜湊機制儲存密碼，並依循Fortinet指引移除安全性較弱的舊版雜湊值；（三）全面審查防火牆與VPN日誌，確認是否有橫向移動或未經授權的設定變更；（四）針對遠端存取與管理帳戶強制啟用抗網釣MFA；（五）縮減攻擊面並限制存取權限。<a href="https://www.ithome.com.tw/news/176765"><strong>詳全文</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176757"><span style="font-size: 22px;"><strong>因應FortiBleed外洩大量Fortinet設備登入憑證，英國NCSC建議企業可先用兩款工具自行檢測是否名列其中</strong></span></a></p> <p>針對FortiBleed大規模系統登入憑證外洩事件，英國國家網路安全中心（NCSC）近日發布緊急安全建議，指出全球針對Fortinet防火牆與VPN設備的攻擊行動正顯著增加，呼籲用戶應盡速採取因應行動，NCSC建議用戶可以先用兩款檢測工具來確認是否受影響，包括威脅情資業者SOCRadar提供的FortiBleed Checker，或是另一威脅情資業者Hudson Rock提供的FortiBleed Checker。<a href="https://www.ithome.com.tw/news/176757"><strong>詳全文</strong></a> <a id="AryStinger" name="AryStinger"></a></p> <p><a href="https://www.ithome.com.tw/news/176759"><span style="font-size: 22px;"><strong>殭屍網路AryStinger感染約4千臺D-Link路由器</strong></span></a></p> <p><a href="/sites/default/files/images/massprod_scanip-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/massprod_scanip-63.jpg" style="width: 300px; float: right;" /></a></p> <p>中國資安公司奇安信揭露殭屍網路AryStinger，搭配RTL819X系列晶片的網路設備是遭到綁架的主要裝置，感染惡意軟體後，攻擊者將其組成具備偵察與攻擊能力的分散式殭屍網路，用於入侵受害組織的前期情報蒐集。奇安信一共偵測到4,371臺受害路由器設備，其中有75%是D-Link DIR-850L、13%為DIR-818LW，但也有同廠牌的DIR-816L、DIR-818L、DWR-118、DIR-817LW被感染的情況。<a href="https://www.ithome.com.tw/news/176759"><strong>詳全文</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176764"><span style="font-size: 22px;"><strong>AI應用程式框架Mastra遭遇北韓駭客供應鏈攻擊，逾140個NPM套件被植入後門</strong></span></a></p> <p><a href="/sites/default/files/images/Mastra -30-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/Mastra%20-30-63.jpg" style="width: 300px; float: right;" /></a></p> <p>6月17日微軟揭露針對AI應用程式框架Mastra的攻擊行動，北韓駭客組織BlueNoroff（UNC1069、Sapphire Sleet）先奪取其中一名開發成員ehindero的NPM維護帳號，藉此得到整個@mastra範圍的發布權限，並發布惡意套件easy-day-js。接著，駭客再度利用竊得的帳號，於@mastra經營的超過140個NPM套件當中，發布有問題的新版本，其共通點是將easy-day-js@^1.11.21當作相依套件，而且所有受污染版本均標記為latest。<a href="https://www.ithome.com.tw/news/176764"><strong>詳全文</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176752"><span style="font-size: 22px;"><strong>美國德州政府狩獵與釣魚執照管理系統發生資安事故，外洩300萬人的駕照資訊</strong></span></a></p> <p>美國德州的公園及野生動物部門（TPWD）的系統供應商近日發生資料外洩事故，導致超過300萬人駕照或護照資料遭竊取，這起事件和處理TPWD打獵與釣魚執照銷售的執照管理系統廠商有關，未授權人士可能已取得執照持有者的駕照、護照、電子郵件信箱、電話號碼和住家地址。根據德州檢察長辦公室獲報的資料，受影響人數高達3,087,721人，不過，受影響者並非全為德州居民。<a href="https://www.ithome.com.tw/news/176752"><strong>詳全文</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176740"><span style="font-size: 22px;"><strong>Splunk近期9.8分重大漏洞被CISA列入KEV，6月21日須完成修補</strong></span></a></p> <p>上週思科旗下Splunk揭露與修補12個漏洞，其中的CVSS評分9.8分重大漏洞CVE-2026-20253，因後續有很高機會遭攻擊者利用而受到關注，6月18日美國網路安全與基礎設施安全局（CISA）因掌握此漏洞已遭積極利用的證據，因此，宣布將其列入已遭利用的漏洞清單（KEV），並下令要求聯邦機構72小時內完成修復與緩解措施，Splunk更新CVE-2026-20253的安全性公告，提及已察覺少量利用漏洞行為。<a href="https://www.ithome.com.tw/news/176740"><strong>詳全文</strong></a> <a id="Nginx" name="Nginx"></a></p> <p><a href="https://www.ithome.com.tw/news/176739"><span style="font-size: 22px;"><strong>F5針對Nginx發布緊急安全更新，揭露與修補兩個重大漏洞</strong></span></a></p> <p>F5發布Nginx非例行的安全性更新公告，總共揭露6個漏洞，以CVSS 3.1評分而言，區分為4個高風險漏洞與2個中風險漏洞，若以CVSS 4.0評分而言，區分為2個重大漏洞、3個高風險漏洞，以及1個中風險漏洞。從嚴重程度來看，CVE-2026-42530與CVE-2026-42055最高，CVSS 3.1評分均為8.1，CVSS 4.0評分均為9.2，兩個漏洞皆是資料層（data plane）處理的議題，而非控制層（control plane）暴露的狀況。<a href="https://www.ithome.com.tw/news/176739"><strong>詳全文</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176758"><span style="font-size: 22px;"><strong>思科修補ISE身分識別與存取控制平臺重大漏洞，未更新可能導致攻擊者取得系統Root權限</strong></span></a></p> <p>思科於6月17日發布資安公告，揭露影響身分識別與存取控制服務平臺ISE與ISE-PIC重大漏洞CVE-2026-20181，此弱點的CVSS嚴重性評分達9.1分，問題源自ISE與ISE-PIC對使用者輸入資料驗證不足，具備管理員權限的遠端攻擊者可透過特製HTTP請求觸發此漏洞，進而在底層作業系統上獲得Root權限，並執行任意指令。在單節點系統上，這項漏洞還可能導致ISE/ISE-PIC節點服務中斷。<a href="https://www.ithome.com.tw/news/176758"><strong>詳全文</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176743"><span style="font-size: 22px;"><strong>Node.js揭露與修補12個漏洞，當中涵蓋兩個高風險漏洞</strong></span></a></p> <p>開放原始碼JavaScript執行環境Node.js這幾天發布安全性更新公告，揭露與修補12個漏洞（CVSS評分尚未公布），其中兩個為高風險漏洞，6個為中風險漏洞，4個為低風險漏洞，Node.js的22.x、24.x、26.x版本均受到影響，目前開發團隊已釋出修補漏洞的更新版本——Node.js 22.23.0、Node.js 24.17.0、Node.js 26.3.1。<a href="https://www.ithome.com.tw/news/176743"><strong>詳全文</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176744"><span style="font-size: 22px;"><strong>網頁快取與代理伺服器軟體Squid被找出存在近30年的漏洞，HTTP存取的密碼與金鑰可能全都被看光光！</strong></span></a></p> <p>因揭露攻擊手法HTTP/2 Bomb而聲名大噪的資安研究公司Calif，本週公開代號為Squidbleed的資安漏洞CVE-2026-47729，顧名思義，這個漏洞存在於知名的開源網頁代理伺服器（Proxy）與網路快取軟體Squid，而且是類似Heartbleed的記憶體洩漏弱點，原因主要是過去到近期版本Squid的預設配置存在缺陷，可能導致內部記憶體的內容洩漏，影響範圍相當廣泛。<a href="https://www.ithome.com.tw/news/176744"><strong>詳全文</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176751"><span style="font-size: 22px;"><strong>微軟著手修補Microsoft Defender零時差漏洞RoguePlanet</strong></span></a></p> <p>研究人員Chaotic Eclipse（Nightmare-Eclipse）於微軟發布6月例行更新不久，公布Microsoft Defender零時差漏洞RoguePlanet，一週後微軟發布公告，承認這項弱點的存在。6月16日微軟公布新的漏洞CVE-2026-50656，此為Microsoft Defender權限提升漏洞，屬於檔案存取之前的連結解析不當造成的弱點（CWE-59），CVSS風險評為7.8分，該公司指出，此漏洞就是已被公開的RoguePlanet。<a href="https://www.ithome.com.tw/news/176751"><strong>詳全文</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176716"><span style="font-size: 22px;"><strong>Mozilla發布Firefox 152版更新，修補40項資安漏洞</strong></span></a></p> <p>Mozilla近日發布Firefox瀏覽器的資安公告，揭露40項漏洞，並提供已修補完成的152版。前述漏洞中，包含13項高風險漏洞，16項中度風險漏洞，以及11項低風險漏洞。而從漏洞類型來看，記憶體安全相關問題仍占最大宗，在全部40項漏洞中，有18項漏洞屬於這類型，如記憶體已釋放卻仍被使用（UAF），或是記憶體安全錯誤（Memory safety bug）等，另有6項漏洞屬於沙箱逃逸問題（Sandbox escape）。<a href="https://www.ithome.com.tw/news/176716"><strong>詳全文</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176680"><span style="font-size: 22px;"><strong>Google發布ChromeOS長期支援版更新，修補17項記憶體相關重大漏洞</strong></span></a></p> <p>ChromeOS作業系統長期支援版LTS-144的更新版144.0.7559.255於6月13日上線，並修補40項漏洞，當中分別有17項漏洞被評為有重大風險，22項有高風險，1項有中度風險。前述漏洞中，CVE-2026-11638與CVE-2026-10886的CVSS嚴重性評分最高，都達到9.6分，前者存在於列印系統元件Printing，後者存在於檔案系統存取架構FileSystem，兩者都屬於記憶體已釋放卻仍被使用（UAF）問題。<a href="https://www.ithome.com.tw/news/176680"><strong>詳全文</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176714"><span style="font-size: 22px;"><strong>思科、Cloudflare等逾24個組織參與Athena聯盟，合作修補開源漏洞</strong></span></a></p> <p>軟體供應鏈安全業者Chainguard宣布成立產業聯盟Athena，協助成員在開源軟體漏洞公開前，先取得可用的緩解措施，降低攻擊風險。目前已有超過24個組織加入，包括紐約梅隆銀行（BNY）、思科、Cloudflare、Docker、摩根大通、Kyndryl與PwC等。該聯盟已處理逾2萬筆漏洞發現資料，並針對500個開放原始碼專案產生逾2,000項修補程式或版本，第一波協調揭露預計2026年7月開始進行。<a href="https://www.ithome.com.tw/news/176714"><strong>詳全文</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176725"><span style="font-size: 22px;"><strong>AWS推出Context知識圖譜與Continuum資安代理人服務，強化企業AI代理人部署</strong></span></a></p> <p>AWS在AWS Summit New York 2026宣布推出AI代理人相關服務，其中包括AI原生資安產品線AWS Continuum。AWS表示，隨著Claude Mythos等資安專用AI模型提升漏洞發掘與攻擊分析能力，企業面臨的漏洞數量正快速增加，傳統依賴蒐集遙測資料、查詢資料及監看儀表板的安全作業模式已難以跟上威脅演進速度。因此AWS推出Continuum，協助企業以接近機器速度處理安全問題。<a href="https://www.ithome.com.tw/news/176725"><strong>詳全文</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176717"><span style="font-size: 22px;"><strong>Linux 7.1正式發布，擴大沙箱機制是安全性一大突破</strong></span></a></p> <p>6月14日Linux核心7.1版正式發布，最顯著的進展是移除Intel M486與M486SX支援，並刪除大量舊式相容性程式碼，這表示Linux將終止支援37年前推出的Intel 486處理器，並且導入完全重寫的核心內建NTFS驅動程式。新版Linux核心也對於安全框架做了不少更新，特別是擴大沙箱機制Landlock對Unix Domain Socket的控制能力，讓應用程式更容易被限制在特定權限範圍內。<a href="https://www.ithome.com.tw/news/176717"><strong>詳全文</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176733"><span style="font-size: 22px;"><strong>愛沙尼亞擬替AI代理建立官方數位身分</strong></span></a></p> <p>以數位治國聞名的愛沙尼亞，正在研擬替AI代理建立官方的數位身分機制。愛沙尼亞政府於6月17日公告指出，該國Eesti.ai諮詢委員會同意推動AI代理數位身分，他們將其命名為AI身分碼（AI ID codes），讓AI代理未來能在明確權限範圍內，代表個人、企業或機構行動，且相關行為可被控管與稽核。該國在國家AI發展計畫架構下，將AI代理的身分管理、授權邊界與責任歸屬，納入數位身分制度設計的一環。<a href="https://www.ithome.com.tw/news/176733"><strong>詳全文</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176713"><span style="font-size: 22px;"><strong>歐盟對烏克蘭提供緊急網路安全支援</strong></span></a></p> <p>歐盟推進烏克蘭入盟談判程序之際，也同步強化對烏克蘭的網路安全支援。歐盟執委會於6月15日宣布，歐盟理事會已同意將烏克蘭納入歐盟網路安全儲備機制（EU Cybersecurity Reserve），若烏克蘭遭遇重大或大規模資安事件時，可取得歐盟受信任民間資安服務供應商提供的協助。這項合作並非單向支援，烏克蘭也已向歐洲夥伴分享俄羅斯相關的駭侵手法情資，並參與聯合網路犯罪調查與歸因工作。<a href="https://www.ithome.com.tw/news/176713"><strong>詳全文</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176754"><span style="font-size: 22px;"><strong>跨國執法行動中斷SocGholish感染鏈，清理近1.5萬個WordPress網站</strong></span></a></p> <p>荷蘭警方於6月18日宣布，跨國執法行動Operation Endgame針對惡意軟體SocGholish展開聯合行動，關閉或接管106個與其犯罪基礎設施有關的伺服器與網域，清理14,971個遭感染WordPress網站，中斷網路罪犯散布惡意軟體的感染鏈。執法單位除了移除受感染WordPress網站上的惡意軟體與後門，也透過Have I Been Pwned、Shadowserver基金會等多個管道，通知受害網站管理者更新網站並更換登入憑證。<a href="https://www.ithome.com.tw/news/176754"><strong>詳全文</strong></a></p> </div></div></div>
6/22 15:18作者周峻佑https://www.ithome.com.tw/news/176771
推動太空系統網路安全，MITRE透露鋼鐵城與Project 60計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>太空系統的網路安全防護日益受到關注，近日美國非營利研究機構<strong><a href="https://www.mitre.org/news-insights/employee-voice/mitre-theres-space-implementing-more-national-security">MITRE在一篇人物專文</a></strong>中，介紹首席應用資安工程師Robert Sumner投入太空系統資安的工作，值得關注的是，當中透露由他領導的兩項計畫，目的是強化太空系統的網路安全防禦體系。</p> <p>根據MITRE的說明，其中一項稱為鋼鐵城計畫（Project STEEL TOWN），發展重點在於，建立專門針對太空系統各個層面的網路威脅列舉（Cyber Threat Enumeration），並成為可重複使用的框架。</p> <p>這項計畫的目標主要在於，解決美國戰爭部（DoW）與情報體系之間長期存在的技術空白。其核心在於運用一套針對太空系統「全生命週期」的創新方法論，以顯著提升網路威脅情資的精準度，彌補過去資安評估往往僅針對特定組件或單一時點的不足。而且，這項計畫並非從零開始，而是基於MITRE ATT&CK框架以及D3FEND網路防禦矩陣的生態系而發展。Robert Sumner強調，他的職責所在，就是以創新的方式重新利用現有資源，並將這些防禦概念轉化為現實。</p> <p>另一項MITRE推動的太空資安關鍵計畫「Project 60」專注於提供「威脅情資驅動（Threat-informed）」的太空系統工程與架構支援。這兩項計畫的進展，反映美國在太空系統網路安全發展面臨的轉型。</p> <p>值得注意的是，歐盟網路安全機構（ENISA）日前發布NIS360報告，也提及<strong><a href="https://www.ithome.com.tw/news/176316">太空領域</a></strong>處於高度關鍵、網路安全成熟度中等偏低的現況。這些消息均突顯太空系統網路安全的重要性與迫切性。成熟度落差亦預示著巨大的太空網路安全商機。</p> </div></div></div>
6/22 16:25作者羅正漢https://www.ithome.com.tw/news/176776
新攻擊手法AutoJack可讓惡意網頁透過AI代理觸發本機程式執行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟研究團隊揭露一種名為<strong><a href="https://www.microsoft.com/en-us/security/blog/2026/06/18/autojack-single-page-rce-host-running-ai-agent/">AutoJack</a></strong>的新攻擊手法，指出AutoGen Studio開發版本曾存在一組可被串連利用的弱點。攻擊者只要讓具備網頁瀏覽能力的AI代理程式開啟惡意網頁，就可能藉由本機上的MCP WebSocket介面，讓主機執行攻擊者指定的程式。目前相關問題已在AutoGen主分支修補，且受影響介面未進入Python套件庫正式發行版。</p> <p>AutoGen Studio是AutoGen多代理系統框架上的開發介面，主要供開發者快速組合代理程式、連接工具與測試原型。由於過去許多開發工具會把本機連線視為較可信的環境，但AI代理程式若同時能瀏覽外部網頁，又能接觸本機服務，惡意網頁就可能透過代理程式把攻擊帶進本機。</p> <p>研究團隊指出，AutoJack攻擊鏈結合了三個設計缺陷。首先，AutoGen Studio當時只以localhost或127.0.0.1作為WebSocket Origin允許清單，這能阻擋一般瀏覽器從惡意網站直接連入，但若惡意內容由本機上的AI代理程式載入，就可能繞過這道檢查。其次，部分MCP相關路徑沒有套用原本的登入驗證。第三，連線介面可從網址參數接收設定值，並把這些設定交給系統啟動外部程式，因而形成遠端程式碼執行的條件。</p> <p>在研究團隊展示的範例中，開發者執行一個可瀏覽網頁並摘要內容的AutoGen代理程式。攻擊者只要誘使該代理程式前往惡意頁面，頁面中的指令碼就能嘗試連向本機AutoGen Studio服務，並夾帶經過編碼的參數，使主機在開發者帳號權限下開啟Windows小算盤程式。研究團隊以此作為受控驗證，說明同樣方法也可能被改成執行其他命令。</p> <p>AutoGen後續設計已調整，不再讓MCP WebSocket處理程式直接從網址讀取啟動參數，而是改由伺服器端先保存參數，再用連線識別碼對應，同時，AutoGen維護團隊也調整驗證規則，讓MCP相關路徑回到一般驗證流程。研究團隊表示，透過Python套件庫安裝AutoGen Studio的使用者，不受這條特定攻擊鏈影響。暴露範圍主要限於MCP外掛進入主分支後、相關修補完成前，自行從GitHub主分支建置AutoGen Studio的開發者。</p> </div></div></div>
6/22 15:49作者李建興https://www.ithome.com.tw/news/176772
美CISA公布因應FortiBleed的五大措施，要求企業重設帳密並升級至PBKDF2雜湊機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>近期全球爆發<strong><a href="http://www.ithome.com.tw/news/176718">FortiBleed大規模系統登入憑證外洩事件</a></strong>，波及約7.4萬臺Fortinet設備。針對此一威脅，美國網路安全暨基礎設施安全局（CISA）緊急<strong><a href="https://www.cisa.gov/news-events/alerts/2026/06/18/cisa-urges-hardening-fortinet-devices-after-reports-credential-exposure">發布威脅因應的五項措施</a></strong>，呼籲受影響用戶立即強化防禦。</p> <p>具體因應行動包括：（一）停用所有SSL VPN與管理連線，重設所有Fortinet設備帳號與密碼，並強制實施強密碼（strong password）的政策；（二）確保憑證儲存安全，強制管理員帳戶改用PBKDF2雜湊機制儲存密碼，並依循<strong><a href="https://community.fortinet.com/fortigate-3/technical-tip-enforcing-pbkdf2-as-hash-function-for-administrator-accounts-in-fortios-v7-2-11-and-later-220652">Fortinet指引</a></strong>移除安全性較弱的舊版雜湊值；（三）全面審查防火牆與VPN日誌，確認是否有橫向移動或未經授權的設定變更；（四）針對遠端存取與管理帳戶強制啟用抗網釣MFA；（五）縮減攻擊面並限制存取權限，確保管理介面不暴露於網際網路，僅允許受信任的內部網路存取，並停用不必要的帳號。</p> <p>值得一提的是，上述提及的PBKDF2雜湊機制，其重要性在之前已經被強調。例如，早在2024年底美國電信業遭中國駭客入侵後，美國、加拿大、澳洲、紐西蘭網路安全機構聯合發布的<strong>《</strong>增強電信通訊基礎設施可觀測性與防護指南<strong>》</strong>，當時國內資安專家解析該指引時指出，其中建議應採用思科的Type-8密碼，就是以<strong><a href="http://www.ithome.com.tw/news/166900#PBKDF2">PBKDF2</a></strong>作為基礎演算法，以提升暴力破解的難度，確保裝置配置檔中的管理員登入憑證安全。</p> <p> </p> </div></div></div>
6/22 14:29作者羅正漢https://www.ithome.com.tw/news/176765
國際刑警組織示警亞洲與南太平洋網路犯罪升溫，AI與憑證竊取擴大攻擊鏈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.interpol.int/News-and-Events/News/2026/New-INTERPOL-report-highlights-escalating-cyber-threats-across-Asia-and-South-Pacific" target="_blank">國際刑警組織（Interpol）發布2025/2026年亞洲與南太平洋網路威脅評估報告</a>，指出該地區網路犯罪活動規模持續擴大，線上詐騙、資訊竊取惡意程式、勒索軟體與AI濫用，正使攻擊鏈更趨複雜。</p> <p>這份報告涵蓋2024年1月至2025年3月，彙整18個會員國調查回覆、私部門威脅資料與近期執法行動。超過半數受訪國家表示，網路犯罪已占全國登錄犯罪案件30%以上；另有33%受訪國家通報超過1萬起線上詐騙案件。</p> <p>從威脅類型來看，報告列出該地區通報量最高的5類網路犯罪，依序為線上詐騙與網釣、銀行木馬與資訊竊取惡意程式、勒索軟體、錯假訊息、資訊操弄與深偽（deepfake）相關犯罪，以及商業電子郵件詐騙（BEC）。</p> <p>報告也指出，2024年亞洲與南太平洋地區記錄超過13.5萬起勒索軟體相關攻擊，影響房地產、製造與金融服務等產業；而在分散式阻斷服務（DDoS）攻擊方面，數量則較前一年增加92%。資料外洩事件多與系統遭入侵有關，約占整體案例80%，其中又以惡意程式與勒索軟體最常見，分別占整體案例的83%與51%。</p> <p>在AI相關風險方面，國際刑警組織指出，犯罪組織已將AI用於產生更具說服力的網釣內容、偽造身分與深偽影像。2024年2月至6月間，東南亞威脅社群中與深偽相關的討論增加600%，並已出現冒充企業高層、假投資與愛情誘騙等詐騙案例。</p> </div></div></div>
6/22 15:13作者王珮瑤https://www.ithome.com.tw/news/176770
思科買下身分安全新創WideField Security
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://blogs.cisco.com/news/cisco-announces-intent-to-acquire-widefield-security" target="_blank">思科上週四（6/18）宣布</a>將收購身分安全新創WideField Security，以強化旗下Splunk代理型資安營運中心（Agentic SOC）能力。這是思科繼AI可觀測性應用平臺<a href="https://www.ithome.com.tw/news/175220" target="_blank">Galileo</a>與非人類身分安全公司<a href="https://www.ithome.com.tw/news/175556" target="_blank">Astrix Security</a>之後，今年第三起資安相關收購案。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0622-WideField%20to%20Cisco-600.png" style="width: 450px;" /></p> <p>WideField Security成立於2023年，主打身分生命週期安全（Identity Lifecycle Security），保護範圍涵蓋人類身分、機器身分與AI代理人身分。該公司的重點不是傳統登入驗證，而是登入後的工作階段（Session）、Token、權限使用與異常行為偵測，補足企業在使用者或AI代理人完成驗證後，持續監控其行為脈絡與權限風險的安全缺口。</p> <p><a href="https://www.ithome.com.tw/news/164008" target="_blank">至於Splunk則是思科</a>在2024年以280億美元收購的資料分析與資安軟體公司，現為思科資安業務的核心平臺之一，負責發展AI驅動的資安營運中心（SOC）與代理型資安（Agentic Security）相關服務。</p> <p>思科資深副總裁暨Splunk總經理Kamal Hathi表示，隨著AI代理人、自主工作負載及各類非人類身分快速增加，企業面臨的新型態風險已不再只是未經授權的存取，而是已獲授權的使用者或AI代理人在錯誤情境下執行不安全操作。傳統安全工具雖能確認「誰登入系統」，卻難以判斷後續行為是否合理，因此需要更完整的身分、工作階段與權限脈絡分析能力。</p> <p>而WideField可將來自身分系統、網路、端點及雲端環境的資料進行關聯分析，讓Splunk Agentic SOC建立工作階段層級的身分情報，協助資安團隊判斷某項行為是否屬於合法操作，或可能涉及帳號遭盜用、權限濫用及AI代理人失控等風險。</p> <p>雙方未公布交易金額。WideField在去年10月完成1,130萬美元的A輪融資，今年3月Cisco Investments也曾參與其A輪延伸投資。</p> </div></div></div>
6/22 13:24作者陳曉莉https://www.ithome.com.tw/news/176766
TypeScript 7.0邁向正式版，編譯器移植Go並導入平行化建置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><strong><a href="https://devblogs.microsoft.com/typescript/announcing-typescript-7-0-rc/">微軟TypeScript團隊發布TypeScript 7.0候選版</a></strong>，官方規畫在一個月內發布正式版。該版最大變化，是編譯器底層改以Go實作，並導入多執行緒平行處理，在常見使用情境下，TypeScript 7.0的速度約可達TypeScript 6.0的10倍。</p> <p>TypeScript是JavaScript的型別化語言，不少JavaScript專案會用來檢查型別問題，提早發現部分錯誤。過去TypeScript編譯器本身以TypeScript撰寫，再轉成JavaScript執行。新版則將既有編譯器程式碼逐步搬到Go，目標是在不改變原有型別判斷規則的前提下，提高大型專案的建置速度與編輯器反應速度。</p> <p>官方強調，這次是把既有實作搬到新的技術基礎。TypeScript 7.0的型別檢查邏輯在結構上與TypeScript 6.0相同，一般TypeScript程式碼若已能在TypeScript 6.0通過檢查，轉到7.0理論上不需重新理解主要型別規則。</p> <p>新版編譯器可將多個工作平行處理，包括解析程式碼、檢查型別與產生輸出檔案，TypeScript 7.0預設使用4個型別檢查器，開發者可透過新的設定選項調整數量。不過官方也提醒，增加型別檢查器可能縮短大型專案建置時間，但也會使用更多記憶體，資源較有限的CI環境，反而可能需要降低數量。</p> <p>TypeScript 7.0也改善監看模式，當開發者修改檔案後自動重新檢查專案，過去在大型專案中可能消耗較多系統資源。新版監看機制借鑑Parcel專案的檔案監看技術，並移植到Go，官方表示可改善跨平臺穩定性與資源使用情況。</p> <p>編輯器支援也是這次更新重點之一，VS Code使用者可透過TypeScript Native Preview擴充套件試用新版體驗。官方表示，新版語言服務採用語言伺服器通訊協定，可利用多執行緒同時處理編輯器請求。</p> <p>升級仍有需要留意的地方，TypeScript 7.0沿用TypeScript 6.0的新預設行為，包括預設啟用嚴格模式、模組預設改為esnext，以及部分舊設定不再支援，例如ES5輸出目標、舊版Node模組解析方式，以及部分舊式模組格式都會成為錯誤。官方建議開發者先採用TypeScript 6.0，以降低後續升級到7.0時的調整幅度。</p> <p>TypeScript團隊也提供TypeScript 6相容套件，讓仍依賴舊版程式介面的工具可以並行使用。官方表示，穩定的程式化API最快要到TypeScript 7.1才會提供，因此部分開發工具短期內仍可能需要保留TypeScript 6。</p> </div></div></div>
6/22 12:28作者李建興https://www.ithome.com.tw/news/176763
AI應用程式框架Mastra遭遇北韓駭客供應鏈攻擊，逾140個NPM渡件被植入後門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>從去年下半開始，有多組人馬針對NPM、PyPI、微軟Visual Studio Code的軟體供應鏈從事攻擊行動，滲透維護者的帳號上架惡意套件，其中有多起是北韓國家級駭客所為，如今再傳新的資安事故引起外界注意。</p> <p>6月17日微軟揭露<strong><a href="https://www.microsoft.com/en-us/security/blog/2026/06/17/postinstall-payload-inside-mastra-npm-supply-chain-compromise/">針對AI應用程式框架Mastra的攻擊行動</a></strong>，駭客先奪取其中一名開發成員ehindero的NPM維護帳號，藉此得到整個@mastra範圍的發布權限，然後採用名稱冒充（Typosquat）手法發布惡意套件easy-day-js，此套件偽裝成每週下載超過5,700萬次的程式庫dayjs。接著，駭客再度利用竊得的帳號，於@mastra經營的超過140個NPM套件當中，發布有問題的新版本，其共通點是將easy-day-js@^1.11.21當作相依套件，而且所有受污染版本均標記為latest。一旦使用者安裝這些受污染的套件，攻擊者就會透過掛鉤（hook）執行經混淆處理的惡意程式，檔案大小為4,572位元組，功能是停用TLS驗證機制，清除追蹤標記，然後建立C2通訊，並從C2擷取第二階段的酬載。微軟向NPM通報之後，受影響的套件已被下架，攻擊者竊得的發布權限也遭撤銷。</p> <p>針對攻擊者的身分，微軟於19日更新部落格文章指出，是被稱為BlueNoroff、UNC1069、Sapphire Sleet的北韓駭客組織，該組織並非首度從事軟體供應鏈攻擊，因為發生在今年4月的<strong><a href="https://www.ithome.com.tw/news/174813">Axios事故</a></strong>，<strong><a href="https://www.ithome.com.tw/news/174826">就是該駭客團體所為</a></strong>。</p> </div></div></div>
6/22 12:48作者周峻佑https://www.ithome.com.tw/news/176764
殭屍網路AryStinger感染約4千臺D-Link路由器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>鎖定公布超過10年以上的資安漏洞，綁架老舊路由器設備的情況，已有不少資安事故傳出，如今有專門針對採用特定晶片網路設備的攻擊行動。</p> <p>中國資安公司奇安信<strong><a href="https://blog.xlab.qianxin.com/arystinger-botnet-hijacks-legacy-routers-for-global-attacks/">揭露殭屍網路AryStinger</a></strong>，搭配RTL819X系列晶片的網路設備是遭到綁架的主要裝置，感染惡意軟體後，攻擊者將其組成具備偵察與攻擊能力的分散式殭屍網路，用於入侵受害組織的前期情報蒐集。由於許多在2012年至2015年推出的網路設備均採用RTL819X晶片，因此引起了奇安信的注意。該公司起初在3月12日，找到以C語言開發的ELF惡意程式．當中利用已知漏洞<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2013-3307">CVE-2013-3307</a></strong>與<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2016-5681">CVE-2016-5681</a></strong>（CVSS風險評為8.3、9.8分），來攻擊Linksys與D-Link路由器設備，該公司將ELF檔案上傳VirusTotal，結果沒有防毒引擎將其視為有害；事隔一個月，他們於4月26日發現以Go語言改寫的AryStinger，這次駭客將目標轉移到NAS設備，利用<strong><a href="https://www.ithome.com.tw/news/172198">去年威聯通（QNAP）修補</a></strong>的資安漏洞<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2025-11837">CVE-2025-11837</a></strong>（CVSS風險評為9.8分）。</p> <p>雖然奇安信指出駭客使用了上述漏洞，攻擊目標涵蓋3種廠牌的網路設備，然而大部分遭到AryStinger感染是D-Link路由器，他們一共偵測到4,371臺受害路由器設備，其中有75%是D-Link DIR-850L、13%為DIR-818LW，但也有同廠牌的DIR-816L、DIR-818L、DWR-118、DIR-817LW被感染的情況。從地理分布來看，感染集中於韓國（48.45%），其次為中國（31.82%）、瑞典（6.40%）、馬來西亞（3.50%），以及新加坡（2.50%）。</p> </div></div></div>
6/22 11:33作者周峻佑https://www.ithome.com.tw/news/176759
微軟推出Copilot Cowork正式版，導入用量計費模式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>上週微軟正式推出企業級AI代理工具Copilot Cowork，<a href="https://www.microsoft.com/en-us/microsoft-365/blog/2026/06/16/copilot-cowork-is-now-generally-available/" target="_blank">並說明用量計費模式對企業用戶的影響</a>。</p> <p><a href="https://www.ithome.com.tw/news/175682" target="_blank">微軟將Copilot Cowork定位為一套AI代理系統</a>，可獨立執行複雜、耗時且涉及多種工具的任務，即使使用者電腦關機，任務仍能持續執行。這項工具主要鎖定需跨多項工具與企業資料來源處理的工作流程，協助企業將部分複雜且耗時的任務交由AI代理執行。</p> <p>計價方面，Copilot Cowork需搭配Microsoft 365 Copilot使用者訂閱授權（User Subscription License，USL），並另依使用量收費。微軟指出，Copilot Cowork的用量費用以Copilot Credits計算，每項任務的成本取決於模型使用、脈絡擷取、工具呼叫與執行時間等4項因素。</p> <p>微軟也將Copilot Cowork任務區分為輕量、中量與重度任務，協助企業估算導入後的成本。該公司表示，輕量任務通常只使用少量知識來源與有限推論；中量任務會引用多個來源，並執行結構化推論（structured reasoning）；重度任務則涉及廣泛資料彙整、深度推論與多項輸出。</p> <p>付款方式分為PayGo與P3兩種。微軟表示，企業可選擇隨用隨付的PayGo，以保留使用彈性，每個Copilot Credit價格為0.01美元；也可選擇P3，事先承諾一定用量以換取折扣，適合已有明確使用規模，或希望預先控管成本的企業。</p> <p>Copilot Cowork預設為停用，IT管理員可決定何時啟用，以及哪些員工能夠存取。微軟指出，管理員也能在租用戶、群組與使用者層級設定支出上限，並在支出達到指定門檻時收到通知，以降低企業導入變動計費服務時的預算風險。</p> <p>模型選擇也是Copilot Cowork正式版的重點更新。微軟表示，Copilot Cowork客戶目前可使用Anthropic Opus 4.8與Sonnet 4.6；參與Frontier計畫的客戶可使用OpenAI GPT 5.5，微軟自有Cowork 1模型則預計未來數週推出。</p> </div></div></div>
6/22 11:49作者王珮瑤https://www.ithome.com.tw/news/176761
挪威小學原則禁用AI，政府推動紙本教材回歸
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.regjeringen.no/no/aktuelt/slik-vil-regjeringen-endre-skolehverdagen/id3167032/" target="_blank">挪威首相Jonas Gahr Støre上週五（6/19）宣布多項教育改革措施</a>，將要求小學1至7年級學生原則上不得使用生成式AI工具，同時把紙本教科書供應納入法規保障，並持續修改課程綱要，希望扭轉近年學生閱讀、寫作與數學能力下滑的趨勢。</p> <p>挪威政府指出，近年國際學生能力評量PISA及國際閱讀素養評比PIRLS等調查顯示，挪威學生在閱讀、寫作與數學等基礎能力上大幅下滑；若未經引導地使用生成式AI，可能讓學生跳過學習中的重要環節。</p> <p>挪威教育部長Kari Nessa Nordtun表示，兒童必須學會自己尋找答案，而不是從AI獲得現成答案。小學生需要先具備學科基礎、批判思考能力與自我管理能力，才能有效地運用AI；因此應先學會自己閱讀、寫作、計算、獨立思考，以及與同伴的合作。</p> <p>根據挪威政府的規畫，1至7年級學生原則上不得接觸AI工具；8至10年級學生則可在教師具備相關能力後，逐步且謹慎地使用AI；高中階段則應學習如何有效運用AI，為未來升學及就業做好準備。挪威教育署（Utdanningsdirektoratet）也將研究是否針對特定情況設置例外規定。</p> <p>除了限制AI的使用外，挪威政府也計畫立法保障學生取得紙本教材的權利。這是因為許多教師反映紙本教材不足，無法真正依照教學需求在紙本與數位教材間做選擇，因此希望透過立法確保各地學校都能提供紙本教科書，不再受到地方財政或個別學校政策影響。</p> </div></div></div>
6/22 12:11作者陳曉莉https://www.ithome.com.tw/news/176762
因應FortiBleed外洩大量Fortinet設備登入憑證，英國NCSC建議企業可先用兩款工具自行檢測是否名列其中
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>針對<strong><a href="http://www.ithome.com.tw/news/176718">FortiBleed大規模系統登入憑證外洩事件</a></strong>，英國國家網路安全中心（NCSC）<strong>近日<a href="https://www.ncsc.gov.uk/news/advice-following-global-targeting-of-fortinet-firewalls-and-vpn-gateways">發布緊急安全建議</a></strong>，指出全球針對Fortinet防火牆與VPN設備的攻擊行動正顯著增加，呼籲用戶應盡速採取因應行動，並介紹兩款FortiBleed檢查工具，協助企業確認網域是否名列外洩清單。</p> <p>根據NCSC的說明，這類攻擊並非隨機，而是具有高度針對性的全球行動。攻擊者主要鎖定暴露在網際網路上的FortiGate與VPN系統，利用暴力破解、字典攻擊，以及帳密填充（Credential stuffing）手法入侵。</p> <p>在因應方式上，英國NCSC建議用戶可以先用兩款檢測工具來確認是否受影響，包括威脅情資業者<strong><a href="https://socradar.io/free-tools/fortibleed">SOCRadar提供的FortiBleed Checker</a></strong>，或是另一威脅情資業者<strong><a href="https://www.hudsonrock.com/fortinet">Hudson Rock提供的FortiBleed Checker</a></strong>，檢查組織的FortiGate防火牆或Fortinet VPN登入帳號與密碼是否出現在FortiBleed外洩資料集中。</p> <p>若有遭入侵的跡象，應立即清查入侵指標（IoC）。NCSC強調，僅更換密碼並不足以根除潛伏威脅，建議備份後執行「恢復出廠設定」，並確保管理介面不會暴露於網際網路，以及強制啟用MFA等防禦作為。</p> <p>此外，美國網路安全暨基礎設施安全局（CISA）亦<strong><a href="https://www.cisa.gov/news-events/alerts/2026/06/18/cisa-urges-hardening-fortinet-devices-after-reports-credential-exposure">公布應對此威脅的五項因應措施</a></strong>：（一）停用所有SSL VPN與管理連線，並重設所有Fortinet設備帳密與強化密碼策略；（二）確保憑證存取安全，強制管理員帳戶改用PBKDF2雜湊機制儲存密碼，並依循Fortinet指引移除安全性較弱的舊版雜湊值；（三）全面審查防火牆與VPN日誌；（四）針對遠端存取與管理帳戶強制啟用抗網釣MFA；（五）縮減攻擊面並限制存取權限。</p> <p><a href="/sites/default/files/images/（圖1）SOCRadar提供的FortiBleed Checker.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89SOCRadar%E6%8F%90%E4%BE%9B%E7%9A%84FortiBleed%20Checker.jpg" style="width: 600px;" /></a></p> <p><strong><span style="color:#696969;">威脅情資業者SOCRadar提供FortiBleed檢查工具</span><a href="https://socradar.io/free-tools/fortibleed"><span style="color:#696969;">FortiBleed Checker</span></a><span style="color:#696969;">，用戶只要輸入網域、IP位址，即可查詢組織的Fortinet憑證是否名列外洩資料集中。</span></strong></p> <p><a href="/sites/default/files/images/（圖2）Hudson Rock提供的FortiBleed Checker.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89Hudson%20Rock%E6%8F%90%E4%BE%9B%E7%9A%84FortiBleed%20Checker.jpg" style="width: 600px;" /></a></p> <p><strong><span style="color:#696969;">威脅情資業者Hudson Rock提供</span><a href="https://www.hudsonrock.com/fortinet"><span style="color:#696969;">FortiBleed Checker</span></a><span style="color:#696969;">。</span>該介面揭露全球受影響設備的全球區域分布與受影響的網域，指出全球7.3萬多臺設備受影響，並列出大量具體受影響網域如spotify.com與samsung.com等，亦提供搜尋功能供企業自行檢查。</strong><br /> </p> </div></div></div>
6/22 12:12作者羅正漢https://www.ithome.com.tw/news/176757
微軟著手修補Microsoft Defender零時差漏洞RoguePlanet
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>研究人員Chaotic Eclipse（Nightmare-Eclipse）於微軟發布6月例行更新（Patch Tuesday）不久，<strong><a href="https://www.ithome.com.tw/news/176503">公布Microsoft Defender零時差漏洞RoguePlanet</a></strong>，並指出可在已套用今年6月修補程式的Windows 11與Windows 10利用，且伺服器版本作業系統也可能存在相同弱點，如今微軟發布公告，承認這項弱點的存在。</p> <p>根據<strong><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-working-on-defender-patch-for-rogueplanet-zero-day/">資安新聞網站Bleeping Computer的報導</a></strong>，6月16日微軟公布新的漏洞<strong><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-50656">CVE-2026-50656</a></strong>，此為Microsoft Defender權限提升漏洞，屬於檔案存取之前的連結解析不當造成的弱點（CWE-59），CVSS風險評為7.8分，該公司指出，此漏洞就是已被公開的RoguePlanet，影響Microsoft Malware Protection Engine元件，他們正在著手打造資安更新因應。不過，微軟並未在資安公告裡提及通報漏洞的研究人員身分，僅表示他們肯定透過協調的漏洞揭露機制，幫助該公司保護客戶的資安社群。</p> </div></div></div>
6/22 09:56作者周峻佑https://www.ithome.com.tw/news/176751
印度最大電信商Jio啟動IPO
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>印度最大電信商Reliance Jio的母公司<a href="https://www.sebi.gov.in/filings/public-issues/jun-2026/jio-platforms-ltd-drhp_102248.html" target="_blank">Jio Platforms周五（6/19）向印度證券交易委員會（SEBI）申請首次公開發行股票（IPO）</a>，計畫於孟買證券交易所（Bombay Stock Exchange，BSE）及印度國家證券交易所（National Stock Exchange，NSE）上市，最多將發行2.7億股新股，可望成為印度史上最大IPO。</p> <p>Jio Platforms是印度富豪Mukesh Ambani所掌控的Reliance Industries設立的子公司。Reliance Industries涉足電信市場始於2010年，當時它收購唯一取得全印度4G頻譜的新創公司Infotel Broadband，繼之於2013年將Infotel更名為Reliance Jio Infocomm，並持續投入電信基礎建設，一直到2016年才正式推出Jio電信服務，以免費語音及低價行動數據方案引爆印度數位革命。</p> <p>Reliance Industries於2019年成立Jio Platforms，將Reliance Jio Infocomm及相關數位服務整合至同一家公司，作為集團發展電信、寬頻、雲端、影音串流、支付與電商等數位業務的控股平臺。Reliance Industries目前持有Jio Platforms逾66%股權，Meta與Google則分別持有近10%及7.7%股權。</p> <p>Reliance Jio現為印度最大電信商，擁有逾5.2億用戶，約占印度有線及無線網路近半市場；若以用戶數計算，它也是全球第二大電信營運商，僅次於中國移動。Jio Platforms表示，IPO所募資金將用來償還子公司Reliance Jio Infocomm的特定借款。</p> <p>根據申請文件，Jio Platforms在2026財年的營收為1.47兆盧比（約155.8億美元），成長14.6%，獲利3,005億盧比（約31.9億美元）。</p> <p><a href="https://www.reuters.com/world/china/ambanis-jio-platforms-files-38-billion-ipo-that-could-be-indias-biggest-sources-2026-06-19/" target="_blank">路透社（Reuters）指出</a>，Jio Platforms這次IPO規模可能上看38億美元，若順利完成，將超越現代汽車印度公司在2024年的33億美元上市案，成為印度史上最大IPO。</p> </div></div></div>
6/22 10:28作者陳曉莉https://www.ithome.com.tw/news/176753
跨國執法行動中斷SocGholish感染鏈，清理近1.5萬個WordPress網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.politie.nl/en/news/2026/june/18/international-law-enforcement-initiate-hunt-on-malware-group-socgholish.html" target="_blank">荷蘭警方於6月18日宣布</a>，跨國執法行動Operation Endgame近日針對惡意軟體SocGholish展開聯合行動，關閉或接管106個與其犯罪基礎設施有關的伺服器與網域，並清理14,971個遭感染WordPress網站，中斷網路犯罪分子散布惡意軟體的關鍵感染鏈。</p> <p>這次行動由荷蘭、加拿大、美國與德國合作執行，並獲歐洲刑警組織（Europol）與歐盟刑事司法合作署（Eurojust）支援。執法單位除了移除受感染WordPress網站上的惡意軟體與後門，也透過Have I Been Pwned、資安研究機構Shadowserver基金會等多個通報與資安協作管道，通知受害網站管理者更新網站並更換登入憑證。</p> <p>SocGholish又名FakeUpdates，是自2017年起活躍的惡意軟體框架，與俄羅斯網路犯罪組織Evil Corp有關。這項惡意軟體主要濫用遭入侵的合法WordPress網站，向訪客推送假冒瀏覽器或軟體更新的通知；一旦受害者安裝假更新，攻擊者即可取得初始存取權限，並進一步部署竊資程式、勒索軟體或其他惡意軟體。</p> <p>警方也發現約140萬組WordPress網站登入憑證外洩，相關網站可能面臨遭感染或侵入風險。荷蘭警方呼籲WordPress網站管理者立即檢查網站安全狀態，更換登入憑證、啟用多因素驗證（MFA）、移除可疑或未授權帳號，並確保網站與外掛維持最新版本，以降低再次遭植入惡意程式的風險。</p> </div></div></div>
6/22 10:38作者王珮瑤https://www.ithome.com.tw/news/176754
Cloudflare用AI代理輔助漏洞探索，以跨模型驗證過濾無效發現
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>網路服務與資安業者Cloudflare於6月18日公開其內部AI輔助漏洞探索架構，<a href="https://blog.cloudflare.com/build-your-own-vulnerability-harness/" target="_blank">說明該公司如何將AI代理用於大規模程式碼安全檢查</a>。</p> <p>Cloudflare指出，企業若要把AI導入漏洞探索，關鍵不只是選用哪一個模型，而是建立可替換不同模型、可保留執行狀態、可驗證結果，並能串接修補流程的工程架構。該公司將大型漏洞探索任務拆解為多個階段，讓每個代理只處理特定範圍的工作，並將執行狀態寫入資料庫，以便中斷後重新執行或接續分析。</p> <p>Cloudflare的架構將AI代理視為執行特定任務的工作單元，底層模型則可依階段替換。Cloudflare將整體流程分成兩部分，前段是負責掃描程式碼庫並產生候選漏洞的漏洞探索框架（Vulnerability Discovery Harness，VDH），後段則是負責去除重複項目、判斷風險與協助修補的漏洞驗證系統（Vulnerability Validation System，VVS）。Cloudflare採用跨模型方式執行VDH與VVS，讓後段模型以獨立邏輯驗證前段模型提出的漏洞假設，避免由同一模型驗證自身推論。</p> <p>在驗證流程方面，Cloudflare表示，每項確認後的漏洞發現，都必須附上可在未修改原始程式碼情況下執行的概念驗證（PoC）測試案例，以及對應的建議修補程式。進入VVS後，系統還會結合部署環境、組態與程式碼路徑等脈絡，評估相關漏洞在正式環境中是否可觸及，或是否具備可由實際攻擊者觸發的條件。若進入修補階段，修補代理可產生修補內容並執行測試，但不會自行合併程式碼，最終仍須由工程人員審查。</p> <p>Cloudflare也揭露內部處理結果，從逾2萬筆的候選漏洞發現中，最終留下7,245項可交由工程團隊處理的發現。不過Cloudflare強調，這些發現來自隔離研究實驗，用於壓力測試內部程式碼，不代表正式環境仍存在尚未修補且可被攻擊者實際觸發的漏洞。</p> </div></div></div>
6/22 10:50作者王珮瑤https://www.ithome.com.tw/news/176755
Cloudflare推出臨時帳號加速AI代理人部署作業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>AI代理人大量自動化開發工作，卻常在部署時卡住，<a href="https://blog.cloudflare.com/temporary-accounts/" target="_blank">為此Cloudflare上周公佈臨時Cloudflare帳號（Temporary Cloudflare Account）的服務</a>，不必註冊Cloudflare帳號就能直接部署應用程式。</p> <p>隨著企業大量於營運流程使用AI，現今許多開發團隊都以AI代理人撰寫程式。但是在部署App時，就會遇到很多關卡，包括瀏覽器為基礎的OAuth流程、要點入儀表板、要複製貼上API token、多因素驗證提示要求輸入驗證碼等，需要建立並且登入帳號。這些原本為人類建立的流程卻成為代理人的障礙；互動式代理人會需要麻煩人類點擊，背景運作的代理人則被迫停止。</p> <p>現在Cloudflare推出代理人專用的臨時帳號（Temporary Cloudflare Account for Agent）。讓代理人可在不需先登入帳號，部署網站、API或其他代理人，加速專案部署作業。</p> <p>臨時帳號是建立在Cloudflare的開發平臺命令列工具（CLI）Wrangler上。當用戶要求代理人執行某項開發任務，代理人即可執行wrangler deploy --temporary指令。這時Cloudflare自動建立一個臨時帳號、自動配置API Token、將Cloudflare Workers（無伺服器環境）部署上去，最後回傳一個網址，引領使用者領取（Claim）帳號。臨時帳號預設效期為60分鐘，這段時間內開發團隊可反覆部署更新、建立Worker、Database、API金鑰/Key-value等資源。若使用者在期限內領取，帳號及相關專案（如Worker、資料庫等Bindings）就會轉成正式Cloudflare帳號。若沒領取，60分鐘後自動刪除。</p> <p>透過這項臨時帳號服務，Cloudflare將傳統「先註冊帳號再部署」的流程，改為「先部署應用程式、再認領帳號與資產」的模式，以配合AI Agent自主開發與部署的工作流程。</p> <p>要啟用這項臨時Cloudflare帳號，開發團隊須使用最新版Wrangler（<a href="https://github.com/cloudflare/workers-sdk/releases" target="_blank">目前是4.103.0</a>）。</p> </div></div></div>
6/22 10:59作者林妍溱https://www.ithome.com.tw/news/176756
蘋果修補可讓駭客竊聽Beats藍牙耳機的資安漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://support.apple.com/en-us/127557" target="_blank">蘋果上週針對Beats無線耳機發布韌體更新</a>，以修補一個可讓駭客竊聽音訊的漏洞。</p> <p>這個修補的漏洞是CVE-2025-20701。對蘋果用戶而言，本項漏洞讓位於藍牙傳輸範圍的攻擊者得以在還沒有配對、正在尋求配對指令的Beats耳機進行攻擊，得以從麥克風進行竊聽。</p> <p>CVE-2025-20701並非新漏洞，而是<a href="https://www.ithome.com.tw/news/169873" target="_blank">德國資安業者ERNW去年揭露</a>、位於聯發科子公司達發科技（Airoha）設計的藍牙音訊系統單晶片（SoC）中的3個安全漏洞之一。<a href="https://nvd.nist.gov/vuln/detail/cve-2025-20701" target="_blank">該漏洞位於Airoha藍牙音訊SDK</a>，可讓攻擊者未經用戶同意配對藍牙音訊裝置，導致遠端提升權限，無需額外執行權限。攻擊行動也無需使用者互動。</p> <p>CVE-2025-20701允許駭客控制採用該晶片的裝置，包括耳機、喇叭或無線麥克風等，受影響的產品涵括Bose、Sony、Jabra、JBL與Marshall等知名品牌的音訊裝置。CVE-2025-20701風險值達到8.8。Airoha已於2025年6月初釋出更新SDK修補漏洞。</p> </div></div></div>
6/22 09:38作者林妍溱https://www.ithome.com.tw/news/176749
微軟對Insiders發布首個Windows 11 26H2預覽版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://techcommunity.microsoft.com/blog/windows-itpro-blog/get-ready-for-windows-11-version-26h2/4529367" target="_blank">微軟上周五透過Experimental頻道及Beta版釋出</a>首個Windows 11 26H2預覽版給Insider方案用戶，預告下一重大更新即將在不久後部署給所有用戶。</p> <p>Windows 11 26H2沒有重大新功能，著重於對企業組織和IT專業人員提供可預測、低干擾的更新。26H2使用的是和24H2和25H2相同的共享服務模式，這主要是因為他們具有相同的程式碼核心、安全與功能更新及相容驗證方式。在支援的硬體上，會以小的啟用套件（enablement package）獲得這版功能更新，而非完整作業系統升級。因此若企業已經安裝了Windows 11 24H2或25H2，大部份環境更新會有如安裝每月更新一樣平順，無需安裝映像檔或複雜的部署作業。</p> <p>透過Experimental和Beta版釋出的Windows 11版號各為<a href="https://learn.microsoft.com/en-us/windows-insider/release-notes/experimental/preview-build-26300-8697" target="_blank">Build 26300.8697</a>及<a href="https://learn.microsoft.com/en-us/windows-insider/release-notes/beta/preview-build-26220-8690" target="_blank">Build 26220.8690</a>。在功能更新方面，兩者皆修正了在虛擬機器操作、系統重啟或執行特定遊戲時導致Bugcheck當機狀態並顯示HYPERVISOR_ERROR (0x20001)與KMODE_EXCEPTION_NOT_HANDLED (0x1E)錯誤訊息的問題。兩者也提升「開始功能表」的可靠度，新安裝或移除的應用程式能即時反映在選單上，不需登出或重啟系統。此外也提升了「設定」頁面的穩定度。Experimental則另外優化了深色模式（Dark mode）下「複製」對話框的啟動視覺設計和可靠度。</p> <p>不同版本Windows升級到26H2後將享有長短不同的技術支援期間。Home、Pro、Pro EDU和Pro for Workstations用戶可獲得24個月技術支援，Enterprise、Education、IoT Enterprise和Enterprise Multi-session版則有36個月。</p> <p>微軟提醒安裝Windows 11 26H1的機器無法更新到26H2，這是因為其核心不同於24H2/25H2/26H2，必須循完整更新路徑來安裝新版Windows。</p> </div></div></div>
6/22 09:45作者林妍溱https://www.ithome.com.tw/news/176750
美國德州政府系統資安事故，外洩300萬人駕照資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國德州的公園及野生動物部門（Texas Parks and Wildlife Department）的系統供應商近日發生資料外洩事故，導致超過300萬人駕照或護照資料遭竊取。</p> <p>德州網戰司令部（Texas Cyber Command）偵測到，這起事件和處理TPWD打獵與釣魚執照銷售的執照管理系統廠商有關，未授權人士可能已取得執照持有者的駕照、護照（非所有人）、電子郵件信箱、電話號碼和住家地址。</p> <p><a href="https://oag.my.site.com/datasecuritybreachreport/apex/DataSecurityReportsPage" target="_blank">根據德州檢察長辦公室的資料</a>，受影響人數高達3,087,721人，但沒有當地居民。當局表示，執照持有人的社會安全號碼、出生日期、財務資訊包括信用卡號都未外洩。目前也沒有證據這起事件是特別鎖定18歲以下或特定族群用戶</p> <p>至於駭客是如何存取廠商系統資訊，包括是否為漏洞濫用，或是憑證外洩，德州官方並未說明。</p> <p>TPWD已和執照系統廠商密切合作，強化資料存取控制。他們也正在研議未來導入新的防護措施及監控服務。而預定於8月或2027年舉行的執照銷售將不受影響。</p> </div></div></div>
6/22 09:57作者林妍溱https://www.ithome.com.tw/news/176752
網頁快取與代理伺服器軟體 Squid被找出存在29年的漏洞，HTTP存取的密碼與金鑰可能全都被看光光！
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p style="margin-left:.05pt;">不久前因<a href="https://www.ithome.com.tw/news/176351"><strong>揭露攻擊手法</strong><strong>HTTP/2 Bomb</strong></a>而聲名大噪的資安研究公司Calif，本週公開代號為<a href="https://blog.calif.io/p/squidbleed-cve-2026-47729"><strong>Squidbleed</strong></a>的資安漏洞CVE-2026-47729，顧名思義，這個漏洞存在於知名的開源網頁代理伺服器（Proxy）與網路快取軟體Squid，而且是類似<a href="https://www.ithome.com.tw/tags/heartbleed"><strong>Heartbleed</strong></a>類似的記憶體洩漏漏洞，原因主要是過去到近期版本Squid的預設配置皆可能導致內部記憶體的內容洩漏，影響範圍相當廣泛。例如，網站伺服器的HTTP存取，以及透過官方套件庫提供 Squid套件的多個Linux發行版，都可能受到影響。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/Squidbleed-Demo-web.jpg"><img alt="" src="/sites/default/files/images/Squidbleed-Demo-web.jpg" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">值得注意的是，Squidbleed同樣是透過先進AI模型所發現的漏洞，該公司表示，他們運用Anthropic Claude Mythos探索Squid的內部結構，因此發現這個已存在29年之久的漏洞，而且，也在<strong><a href="https://github.com/califio/publications/tree/main/MADBugs/squidbleed">MADBugs（Month of AI-Discovered Bugs）的GitHub帳號</a></strong>公布利用此漏洞的概念驗證程式碼。Calif表示，這項報告與修正方式在今年4月17日提出，兩天後修正方式納入Squid master/v8分支，5月17日修正方式納入Squid master/v7分支，6月8日發布的<strong><a href="https://www.openwall.com/lists/oss-security/2026/06/12/1">Squid v7.6已包含此項修正</a></strong>，目前多個Linux發行版均已公告此項漏洞與列出受影響的版本，像是<a href="https://www.suse.com/security/cve/CVE-2026-47729.html"><strong>SUSE</strong></a>、<strong><a href="https://explore.alas.aws.amazon.com/CVE-2026-47729.html">Amazon Linux</a></strong>、<strong><a href="https://security-tracker.debian.org/tracker/CVE-2026-47729">Debian</a></strong>。至於CVSS嚴重度評分，出現多家廠商意見不同的現象，例如<a href="https://www.rapid7.com/db/vulnerabilities/ubuntu-cve-2026-47729/"><strong>Rapid7</strong><strong>評為</strong><strong> 10</strong><strong>分</strong></a>，SUSE評為6.5分，<strong><a href="https://www.tenable.com/cve/CVE-2026-47729">Tenable評為9.1分</a></strong>。</p> <p style="margin-left:.05pt;">簡而言之，Squidbleed的問題涉及FTP與NetWare——Squid預設也支援FTP協定，Claude Mythos在Squid找到FTP目錄列表（directory listing）解析器的漏洞；NetWare是80年代晚期與90年代相當普及的網路作業系統，可供企業用於檔案與列印伺服器，上面也附帶提供FTP服務，用於電腦的檔案傳輸，NetWare FTP伺服器產生目錄列表時，會在檔案修改時戳與名稱之間額外輸出4個空格，但一般FTP伺服器目錄列表的這兩個欄位之間，只間隔1個空格。</p> <p style="margin-left:.05pt;">當這樣的狀況遇上後續FTP目錄列表擷取檔案名稱的程式碼實作，一旦處理到在字串中尋找字元的函式strchr(w_space, '\0')，在 C 語言中會回傳非 NULL，導致程式把字串結尾誤當成可繼續跳過的空白字元，進而讓字元指標變數copyFrom越界掃描後續記憶體，導致堆緩衝區越界讀取（out-of-bounds read），因此可能隨機洩露用戶的HTTP請求，而這些HTTP請求可能包含密碼或 API金鑰。</p> <p style="margin-left:.05pt;"><img alt="" src="https://substackcdn.com/image/fetch/$s_!x29z!,f_auto,q_auto:good,fl_progressive:steep/https%3A%2F%2Fsubstack-post-media.s3.amazonaws.com%2Fpublic%2Fimages%2F170dcb41-24f0-46ae-b0f5-df4f28ba1ced_580x96.gif" style="width: 580px;" /></p> <p style="margin-left:.05pt;"><img alt="" src="https://substackcdn.com/image/fetch/$s_!EFJI!,w_1456,c_limit,f_webp,q_auto:good,fl_lossy/https%3A%2F%2Fsubstack-post-media.s3.amazonaws.com%2Fpublic%2Fimages%2Fc30c95e3-3380-4340-94e2-bd673abd7702_580x96.gif" style="width: 580px;" /></p> <p style="margin-left:.05pt;">Calif建議，在if條件式與while迴圈條件式的前半段加上*copyFrom &&，先計算前面的條件式，如果結果為假（false），後面的條件式就不會被計算。因此，程式會先檢查 *copyFrom 是否為非零值。若 *copyFrom 已是字串結尾字元 '\0'，條件判斷立即結束，不會再呼叫 strchr()。</p> <p style="margin-left:.05pt;"> </p> </div></div></div>
6/21 12:05作者李宗翰https://www.ithome.com.tw/news/176744
Node.js揭露與修補12個漏洞，當中涵蓋兩個高風險漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p style="margin-left:.05pt;">開放原始碼JavaScript執行環境Node.js這幾天<strong><a href="https://nodejs.org/en/blog/vulnerability/june-2026-security-releases">發布安全性更新公告</a></strong>，揭露與修補12個漏洞（CVSS評分尚未公布），其中兩個為高風險漏洞，6個為中風險漏洞，4個為低風險漏洞，Node.js 22、Node.js 24、Node.js 26均受到影響，目前開發團隊已釋出修補漏洞的更新版本——Node.js 22.23.0、Node.js 24.17.0、Node.js 26.3.1。</p> <p style="margin-left:.05pt;">值得注意的是，這些Node.js版本為了解決公開漏洞，也囊括多個元件的更新版本，像是解析HTTP 協定資料的程式庫llhttp的9.4.2版、HTTP/2 協定實作的程式庫nghttp2的1.69.0版、密碼學程式庫與TLS/SSL通訊協定實作套件OpenSSL的3.5.7版，以及專為Node.js開發的HTTP/1.1 用戶端程式庫undici的8.5.0版、7.28.0版、6.27.0版</p> <p style="margin-left:.05pt;">就此次Node.js揭露的高風險漏洞而言，當中的CVE-2026-48933，問題出在Node.js的 WebCrypto實作存在缺陷，因為AES加解密實作過程發生整數溢位錯誤，進而導致緩衝區溢位，使得subtle.encrypt()的輸入容量若是2 GiB 的倍數，可能導致處理程序停擺。</p> <p style="margin-left:.05pt;">另一個高風險漏洞CVE-2026-48618，問題出在Node.js的TLS主機名稱處理，可能導致Node.js處理Unicode間隔符號（·）時，由於解析器與驗證器對主機名稱的正規化處理不一致，可能導致TLS萬用字元對於多層子網域的驗證遭到繞過，進而造成機密性受損，或使預期的安全邊界遭到突破。</p> </div></div></div>
6/20 01:57作者李宗翰https://www.ithome.com.tw/news/176743
Google支持的全球首座AI藝術博物館於洛杉磯開幕
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://blog.google/company-news/outreach-and-initiatives/arts-culture/dataland-ai-art-museum/" target="_blank">Google宣布</a>以其Google雲端與AI技術及資金支持的全球首座AI藝術博物館Dataland，將於6月20日在洛杉磯開幕。</p> <p>這座博物館位於洛杉磯市中心由知名建築師Frank Gehry設計的綜合商業區The Grand LA，佔地2.5萬平方英呎。博物館大量運用了Google Cloud的AI及運算基礎架構。Dataland首個展覽Machine Dreams: Rainforest使用了多媒體藝術家Refik Anadol工作室的「大自然模型（Large Nature Model，LNM）」。Google Cloud則提供多感官體驗及與觀者的互動，包括生成音訊地景（soundlandscape）、即時感測觀者情緒、並放大氣味，提供觀者沉浸式體驗。利用Google Cloud的Gemini Enterprise代理人平臺及Compute Engine協同複雜的AI模型包括生成對抗網路（GAN）、擴散模型和Gemini，Google Cloud得以處理環境資料而生成Dataland 12億像素的超生成實境（hyper-generative reality）。Google並強調博物館資訊系統皆由Google Cloud支援，其運算基礎設施標榜使用87%無碳再生能源。</p> <p>配合博物館開幕Google藝術與文化（Arts & Culture）部門也贊助了Dataland AI藝術家駐村計畫，提供4位藝術家每人2.5萬美元經費、及Refik Anadol Studio的專家指導，以及Google Cloud工具及機器學習模型的存取權，以協助其創作。完成的作品也會在Dataland展區及Google藝術與文化網站展出。</p> </div></div></div>
6/19 20:40作者林妍溱https://www.ithome.com.tw/news/176742
Alphabet分拆公司SandboxAQ獲美政府5億資助以AI尋找新半導體材料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.prnewswire.com/news-releases/sandboxaq-signs-definitive-agreement-with-the-us-department-of-commerce-for-500-million-chips-rd-award-302802508.html" target="_blank">由Alphabet分拆出來的新創公司SandboxAQ本周三宣佈</a>獲得美國商務部晶片研發辦公室5億美元合約，將開發半導體製造所需的新型分子與材料配方，確保美國在晶片產製自主權，免受制於其他國家。</p> <p><a href="https://www.cnbc.com/2022/03/22/alphabets-quantum-tech-group-sandbox-spins-off-into-an-independent-company.html" target="_blank">SandboxAQ是Alphabet於2022年分拆出來的量子技術業者</a>。這家公司投資者包括Google、Eric Schmidt、Salesforce創辦人Marc Benioff等法人。SandboxAQ的方案結合AI和量子技術，其大型量化模型（Large Quantitative Models，LQMs）以推進生命科學、金融服務、導航等領域的研發。之前這家新創公司曾於2024年發表取代全球定位系統（GPS）的AI方案。</p> <p>美國商務部的合約是美國川普政府以國家及經濟安全為目標，依據CHIPS Act資助本地業者晶片研發計畫的一環。該計畫之前撥發了1.5億美元的晶片製造設備研發基金，以及20億美元的量子運算研發基金。商務部表示這項合約將有助於解決美國半導體製造的關鍵材料和化學物質受制於外國的挑戰。</p> <p>利用這筆資助，SandboxAQ將投入4項半導體製造的相關研發計畫。首先是開發多氟烷基物質（PFAS）的替代物質。PFAS廣泛用於晶片微影製程中的冷卻液與潤滑劑，但因環境污染問題面臨嚴格監管。SandboxAQ將運用其AI模擬平臺ReAQT與LQMs來篩選可取代PFAS、且效能更佳的替代化學配方，以便能在美國國內取得材料。</p> <p>第二是開發半導體製程的催化劑設計。催化劑用於產生超高純度氣體（以實現精準到單個原子層的材料沉積），以及減少製程中產生的有害氟化廢氣。SandboxAQ之前與Nvidia合作一套名為AQCat的工作流程，可以近量子化學的準確度篩選催化劑候選材料，速度比傳統方法快2萬倍。和商務部的合作將在此基礎上推進，以大幅縮短商業化部署的時程。</p> <p>第三項計畫是尋找無稀土永久磁鐵的配方。目前半導體製程設備，如曝光機、真空幫浦和精密致動器內的永久磁鐵原料釹（neodymium）90%為中國掌控。SandboxAQ將利用ReAQT平臺和LQM篩選能完全去除或大幅減少釹的磁鐵化學成份，且找出能利用美國現有設備能製造的配方，降低商業化成本。</p> <p>第四項是開發晶片工廠現有備用電源的替代電池材料。目前大部份晶圓廠備用電源關鍵礦物如鋰、鈷主要也是來自中國。SandboxAQ的任務是以電池化學尖端AI模型AQVolt為基礎，開發使用美國國內礦物的新型電池化學成份，以減少對外國材料的依賴及晶片廠停機風險。</p> <p><a href="https://www.reuters.com/technology/us-awards-500-million-nvidia-backed-sandboxaq-finding-new-chipmaking-materials-2026-06-17/" target="_blank">路透社引述SandboxAQ高層人士報導</a>，透過這項合約，美國商務部將在SandboxAQ取得部份股權，但SandboxAQ CEO Jack Hidary拒絕透露美國政府實際持有股權的比例，但表示並不會有投票權或董事會席次。</p> </div></div></div>
6/19 19:10作者林妍溱https://www.ithome.com.tw/news/176741
Splunk近期9.8分重大漏洞被CISA列入KEV，6月21日須完成修補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p style="margin-left:.05pt;">上週思科旗下<strong><a href="https://www.ithome.com.tw/news/176577">Splunk揭露與修補12個漏洞</a></strong>，其中的CVSS評分9.8分重大漏洞CVE-2026-20253，因後續有很高機會遭攻擊者利用而受到關注，6月18日美國網路安全與基礎設施安全局（CISA）因掌握此漏洞已遭積極利用的證據，因此，<strong><a href="https://www.cisa.gov/news-events/alerts/2026/06/18/cisa-adds-one-known-exploited-vulnerability-catalog">宣布將其列入已遭利用的漏洞清單（KEV）</a></strong>，並下令要求聯邦機構72小時內完成修復與緩解措施（期限為6月21日）。</p> <p style="margin-left:.05pt;">同一天，Splunk也更新<strong><a href="https://advisory.splunk.com/advisories/SVD-2026-0603">CVE-2026-20253的安全性公告</a></strong>，上面提到Splunk的產品安全事故應變團隊（PSIRT）察覺少量利用此漏洞的行為，強烈建議用戶更新至已修補此漏洞的版本。基本上，CVE-2026-20253影響的產品主要是Splunk Enterprise的10.0版與10.2版，因此，用戶可升級至10.2.4、10.2.7，或不受此漏洞影響的10.4版。</p> <p style="margin-left:.05pt;">若短期內無法升級至這些版本，Splunk的建議是停用PostgreSQL sidecar系統服務，做法是在設定檔$SPLUNK_HOME/etc/system/local/server.conf的PostgreSQL段落，加入組態描述「disabled = true」，重新啟動Splunk Enterprise後即可生效。</p> <p style="margin-left:.05pt;">該公司也提醒，上述設定方式不會影響核心搜尋、索引與儀表板功能，但若Splunk執行個體需用到Edge Processor、OpAmp或SPL2資料管線流程功能，就不適用此方法。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/SVD-2026-0603-2026-06-19.jpg"><img alt="" src="/sites/default/files/images/SVD-2026-0603-2026-06-19.jpg" style="width: 600px;" /></a></p> </div></div></div>
6/19 16:45作者李宗翰https://www.ithome.com.tw/news/176740
F5針對Nginx發布緊急安全更新，揭露與修補兩個重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p style="margin-left:.05pt;">前兩天F5發布Nginx<strong><a href="https://my.f5.com/manage/s/article/K000161614">非例行的安全性更新公告</a></strong>，總共揭露6個漏洞，以CVSS 3.1評分而言，區分為4個高風險漏洞與2個中風險漏洞，若以CVSS 4.0評分而言，區分為2個重大漏洞、3個高風險漏洞，以及1個中風險漏洞。</p> <p style="margin-left:.05pt;">從嚴重程度來看，<strong><a href="https://www.cve.org/CVERecord?id=CVE-2026-42530">CVE-2026-42530</a></strong>與<strong><a href="https://www.cve.org/CVERecord?id=CVE-2026-42055">CVE-2026-42055</a></strong>最高，CVSS 3.1評分均為8.1，CVSS 4.0評分均為9.2，問題分別出在<a href="https://nginx.org/en/security_advisories.html"><strong>Nginx</strong></a> Open Source的ngx_http_v3_module，以及Nginx Plus與Nginx Open Source的ngx_http_proxy_v2_module與ngx_http_grpc_module，兩個漏洞皆是資料層（data plane）處理的議題，而非控制層（control plane）暴露的狀況。</p> <p style="margin-left:.05pt;"><a href="https://nginx.org/en/security_advisories.html"><img alt="" src="/sites/default/files/images/nginx%20security%20advisories-2026-06-19.jpg" style="width: 298px;" /></a> <a href="/sites/default/files/images/nginx news-2026-06-19.jpg"><img alt="" src="/sites/default/files/images/nginx%20news-2026-06-19.jpg" style="width: 298px;" /></a></p> <p style="margin-left:.05pt;"><a href="https://nginx.org/news.html">這兩個漏洞</a>還有其他共通點，包括攻擊者可造成記憶體存取不良的問題，促成 Nginx重新啟動，攻擊者也能在停用或繞過「記憶體位址空間隨機配置（ASLR）」的系統，藉此發動遠端程式碼執行的活動。</p> <p style="margin-left:.05pt;">用戶若不修補這兩個漏洞，F5警告遠端攻擊者可能藉此造成Nginx系統面臨服務遭阻斷（DoS），或觸發程式碼執行等狀況（若要利用CVE-2026-42055，需搭配Nginx已修改預設組態的狀況才能成立）。</p> <p style="margin-left:.05pt;">單就<a href="https://my.f5.com/manage/s/article/K000161616"><strong>CVE-2026-42530</strong></a>而言，屬於記憶體釋放後卻仍遭存取（UAF）類型的漏洞，可能面臨攻擊的狀況在於，當Nginx Open Source設定使用HTTP/3 QUIC模組時，遠端攻擊者不需通過身分驗證，可使用特製的HTTP/2連線階段重新開啟QPACK編碼器的資料串流，此舉將導致Nginx的工作者處理程序發生UAF，進而促使系統重新啟動。</p> <p style="margin-left:.05pt;">CVE-2026-42530目前影響的產品，主要是Nginx Open Source的1.31.0與1.31.1版，F5最新釋出的1.31.2版已修補此漏洞。CVE-2026-42530也影響Nginx Instance Manager、Nginx Gateway Fabric、Nginx Ingress Controller，因為這三個產品皆基於Nginx Open Source而成，目前F5已針對Nginx Gateway Fabric 2.x版提供修補CVE-2026-42530的版本2.6.4，但對於Nginx Instance Manager 2.x、Nginx Gateway Fabric 1.x、Nginx Ingress Controller 3.x至5.x，F5尚未釋出修補的版本。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/CVE-2026-42530 affected.png"><img alt="" src="/sites/default/files/images/CVE-2026-42530%20affected.png" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">關於<strong><a href="https://my.f5.com/manage/s/article/K000161584">CVE-2026-42055</a></strong>，屬於堆積型緩衝區溢位（Heap-based Buffer Overflow）類型的漏洞，可能遭致攻擊的狀況在於，Nginx Plus與Nginx Open Source的proxy_http_version參數設定為2，或grpc_pass指令用於HTTP/2 傳輸流量的代理，且ignore_invalid_headers指令設為停用，以及large_client_header_buffers指令的容量大於2 MB，此時，遠端攻擊者可在建立上游請求時，傳送多個大型HTTP標頭，如此一來，將促使Nginx的工作者處理程序發生堆積型緩衝區溢位的狀況，進而導致系統重新啟動。</p> <p style="margin-left:.05pt;">細部檢視CVE-2026-42055目前影響的產品，F5表示，主要是Nginx Plus 37.0.0至37.0.1版與R33至R36版，以及Nginx Open Source 1.31.1版與1.30.0至1.30.2版，而在最新釋出的Nginx Plus 37.0.2.1版與R36 P6版，以及Nginx Open Source 1.31.2至1.30.3版，已修補此漏洞。</p> <p style="margin-left:.05pt;">CVE-2026-42055也影響其他產品，像是基於Nginx Open Source而成的產品，包括Nginx Instance Manager、Nginx Gateway Fabric、Nginx Ingress Controller，以及基於Nginx Plus而成的產品，包括F5 WAF for Nginx、F5 DoS for Nginx、Nginx App Protect WAF、Nginx App Protect DoS。目前F5僅針對Nginx Gateway Fabric與Nginx Ingress Controller的新世代版本提供修補，分別是2.6.4版與5.5.1版。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/CVE-2026-42055 affected.png"><img alt="" src="/sites/default/files/images/CVE-2026-42055%20affected.png" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">用戶若不方便將Nginx更新至已修補的版本，或目前所用的Nginx相關產品尚未釋出這類更新版，F5也在公告中列出緩解方法，以CVE-2026-42530為例，用戶可先停用HTTP/3，將quic模組從所有listen指令中移除；若要緩解CVE-2026-42055，F5建議用戶從組態設定移除ignore_invalid_headers off的指令，並且將large_client_header_buffers指令的容量減少至2 MB以下。</p> </div></div></div>
6/19 14:42作者李宗翰https://www.ithome.com.tw/news/176739
Waymo自駕計程車誤闖高速施工路段，近3,900輛遭召回修正
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Waymo周三（6/17）向美國國家公路交通安全管理局（NHTSA）<a href="https://static.nhtsa.gov/odi/rcl/2026/RCLRPT-26E035-7637.pdf" target="_blank">提交自願性軟體召回文件</a>，召回3,871輛搭載第5代自動駕駛系統的自駕計程車，原因是其自動駕駛系統可能無法正確辨識高速公路施工區的封閉標誌與交通錐，導致今年4月至5月間共13起誤闖施工路段事件。Waymo已暫停高速公路載客服務，並正開發相關修正程式。</p> <p>根據文件內容，Waymo自駕車在今年4月於亞利桑那州鳳凰城發生6起事件，它們未能辨識匝道封閉標誌，駛入預先規畫封閉的高速公路施工區；繼之5月於舊金山灣區又發生7起相關事件，Waymo自駕車穿越了用來標示車道封閉的交通錐，進入正在施工的高速公路車道。</p> <p>Waymo認為，原因可能是自動駕駛系統過度優先避開其他高速公路危險，或未能正確辨識施工區域。Waymo安全委員會因此於5月19日決定暫停所有高速公路行駛。</p> <p>此次召回範圍限於具備高速公路自駕功能的車輛，不具備該功能的則未受影響，Waymo自駕車依然可在一般平面道路上行駛及營運。</p> <p><a href="https://techcrunch.com/2026/06/18/waymo-recalls-nearly-4000-robotaxis-to-stop-them-driving-into-highway-construction-zones/" target="_blank">根據TechCrunch的報導</a>，這是Waymo第6次召回其自駕計程車，先前曾分別因車輛駛入積水道路、在校車周邊出現違規行為、低速碰撞鐵鍊、柵欄與電線桿，以及未能正確判斷被拖吊車輛等問題發起召回。</p> <p>目前Waymo自駕計程車於美國約10個城市/地區提供載客服務，原本在邁阿密、鳳凰城、洛杉磯與舊金山灣區有限開放高速公路行程，但此次召回後已暫停高速公路服務。</p> </div></div></div>
6/19 13:15作者陳曉莉https://www.ithome.com.tw/news/176738
蘋果在巴西開放第三方App市集與外部付款
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.apple.com/newsroom/2026/06/apple-announces-changes-to-ios-in-brazil/" target="_blank">蘋果週四（6/18）宣布</a>，根據與巴西競爭監管機關CADE（Conselho Administrativo de Defesa Econômica）所達成的協議，自iOS 26.5起開放開發者透過第三方應用程式商店散布App，並允許在App Store上架的應用程式導入Apple In-App Purchase以外的付款方式。這是蘋果繼歐盟《數位市場法》（DMA）後，再度因監管要求調整iOS生態系規則。</p> <p>根據蘋果公布的新規定，巴西開發者未來可選擇藉由第三方應用程式商店發行iOS App，也可自行經營第三方商店。此外，App Store上架的應用程式除了Apple In-App Purchase外，也能整合第三方支付機制，或將使用者導向外部網站完成數位商品與服務交易。</p> <p>蘋果表示，這些新選項雖然增加開發者的彈性，但同時也擴大惡意程式、詐騙、隱私外洩與安全風險。因此，公司與CADE合作導入一系列保護措施，包括所有iOS App均須通過名為Notarization的公證程序、第三方商店必須取得Apple授權，以及針對兒童用戶設置額外防護機制。</p> <p>Notarization將成為所有iOS App的基本安全檢查機制，透過自動化工具與人工審查確認應用程式不含已知惡意軟體、病毒或其他重大安全威脅。不過蘋果也強調，Notarization的審查範圍仍低於App Store現行的App Review，因此無法提供相同程度的內容與品質把關。</p> <p>除了技術與安全調整外，<a href="https://developer.apple.com/news/?id=dhwadr2x" target="_blank">蘋果也同步更新巴西市場的開發者條款</a>。所有現有Apple Developer Program成員都必須在7月6日前同意新版授權協議，當中納入了第三方商店與替代支付相關規定。</p> <p>蘋果是在2024年1月在歐盟宣布開放第三方商店與替代支付措施，並於同年3月隨iOS 17.4正式上線；巴西則是在2025年12月與蘋果達成協議，相關調整於2026年6月隨著iOS 26.5開放，顯示各地監管機關正逐步迫使蘋果鬆動iOS封閉生態系。</p> </div></div></div>
6/19 10:37作者陳曉莉https://www.ithome.com.tw/news/176737
【資安週報】0615~0618，發現中國駭客入侵關鍵基礎設施，潛伏隔離網路環境近十年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>這一星期漏洞攻擊威脅不斷，不僅多起零時差漏洞攻擊受矚目，還有許多是6月上旬剛修補，數天後即傳出攻擊者鎖定利用的情形，反映駭客鎖定已知漏洞的速度正大幅加快，企業修補節奏面臨嚴峻考驗。同時，美國政府對先進AI模型的出口限制亦引發爭議，反映AI模型已成為國家安全與地緣政治監管的核心。</p> <p>此外，關鍵基礎設施與供應鏈安全亦面臨挑戰，包括德國多家醫院因委外服務商遭駭導致大規模資料外洩，越南股市投資軟體更新伺服器遭入侵，澳洲製糖廠遭襲導致營運停擺，還有丹麥製藥巨擘、巴西最大外送平臺等資安事故，以及中國駭客組織Velvet Ant滲透關鍵CI，潛伏隔離網路環境近十年的揭露，這些事件均為相關產業帶來警惕。</p> <p>在資安防禦新進展上，Anthropic發布原始碼漏洞掃描參考實作，AWS推出PQC就緒度掃描工具以檢視TLS端點抗量子準備狀態，反映業界正積極透過自動化與新技術協助強化防線的態勢。</p> <h1><strong style="color: rgb(255, 140, 0);">AI資安</strong></h1> <p><span style="color:#696969;"><strong>強化AI開發流程安全持續成焦點，近期再有兩項重要消息，包括Anthropic發布程式原始碼安全實務指南，OpenAI擴展AI代理管理的態勢，還有多項新聞涉及濫用偵測、資料隱私、版權歸因與治理架構議題，突顯AI資安的多層面進展。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/176595">Anthropic發布原始碼漏洞掃描參考實作，示範以Claude驗證與修補漏洞</a></strong></p> <p><a href="https://www.ithome.com.tw/sites/default/files/images/2026-06-18_102145.jpg"><img alt="" src="https://www.ithome.com.tw/sites/default/files/images/2026-06-18_102145.jpg" style="width: 400px; float: right;" /></a></p> <p>AI模型業者Anthropic發布程式原始碼安全實務指南，說明企業與開放原始碼的軟體專案如何運用Claude建立威脅模型、找出漏洞，並進一步驗證、分級處理與修補，同時提供開放原始碼參考實作defending-code-reference-harness，以降低AI代理程式執行未受信任程式碼時的風險。</p> <p><strong><a href="https://www.ithome.com.tw/news/176545">Anthropic調整Mythos級模型資料留存政策，提示詞與輸出將保留30天</a></strong></p> <p>為了強化偵測越獄、間諜活動與資料勒索等濫用行為，Anthropic自2026年6月9日起調整Claude Mythos 5與Claude Fable 5資料留存政策，保留使用者提交給這類模型的提示詞與模型輸出30天，此舉將影響原本採零資料留存的企業與雲端客戶。Anthropic指出，這次資料留存政策的改變，原因是部分濫用行為無法只從單次請求判斷，必須跨多次提示詞與輸出觀察模式。</p> <p><strong><a href="https://www.ithome.com.tw/news/176564">OpenAI收購Ona，打造企業AI代理人雲端執行環境</a></strong></p> <p>提供AI代理的管理與沙箱隔離執行環境，成為AI廠商擴展市場的新賣點，OpenAI宣布收購AI資安業者Ona，準備將其技術整合進Codex。OpenAI指出，Ona提供由客戶控制的AI代理人雲端執行環境，讓企業可在自有或受其控管的雲端基礎設施中建立工作區，供AI代理人執行開發、測試與自動化任務，而且企業也可自行管理代理人的執行位置、存取權限、憑證範圍、活動紀錄及審查流程，以符合安全與治理需求。</p> <p><strong><a href="https://www.ithome.com.tw/news/176569">LiteLLM高風險已知漏洞可與另一個漏洞串連，形成CVSS風險10分的漏洞利用鏈</a><span style="color: rgb(255, 0, 0);">【CVE-2026-42271】</span></strong></p> <p>Python開發套件LiteLLM，其高風險漏洞CVE-2026-42271被美國CISA列入KEV清單，威脅情報公司Horizon3.ai指出，發現在依賴自架Gitea的開發環境裡，若搭配存在Python框架Starlette的中風險漏洞CVE-2026-48710，可能形成重大弱點，導致遠端程式碼執行，讓攻擊者以LiteLLM代理程式執行指令。</p> <p><strong><a href="https://www.ithome.com.tw/news/176593">AI開發平臺Langflow路徑遍歷漏洞已被用於實際攻擊</a><span style="color: rgb(255, 0, 0);">【CVE-2026-5027】</span></strong></p> <p>在3月底，大型語言模型開發工具Langflow被揭露8.8分重大漏洞CVE-2026-5027，幾天後，Langflow開發團隊發布0.8.3版langflow-base元件處理該問題，後續開發團隊已在Langflow 1.9.0完成修正。然而，資安公司VulnCheck警告於6月8日發現有人嘗試利用CVE-2026-5027的跡象。</p> <p><strong><a href="https://www.ithome.com.tw/news/176544">華納音樂買下Sureel，強化AI時代音樂版權追蹤</a></strong></p> <p>音樂領域的DRM版權防護技術，隨AI時代迎來新動向，華納音樂買下專注於內容歸因與版權追蹤技術的新創業者Sureel，期望強化AI時代的音樂版權管理。華納音樂執行長Robert Kyncl表示，AI歸因目前仍是業界高度爭議的技術領域。支持者認為，若能準確追蹤AI模型使用哪些作品進行訓練或生成內容，未來有機會建立依使用量分配收益的授權機制，但也有研究人員質疑，在數千萬部作品共同訓練下，是否真能精確判定單一作品的實際貢獻。</p> <p><strong><a href="https://www.ithome.com.tw/news/176644">90天完成AI治理起手式，Check Point資安長教你用5個步驟搞定</a></strong></p> <p>企業積極推動AI應用勢不可擋，該如何持續確保AI的有效管理、安全性與資安防護？企業需要建立AI治理的制度與組織，統籌考量這些議題，然而該從何處開始著手？Check Point亞太及日本區資安長Jayant Dave最近來臺參加活動，向大家介紹一套以5個步驟構成、90天內可執行的方案，教你踏出推動AI治理的第一步。</p> <p><a href="https://www.ithome.com.tw/news/176562"><strong>當Physical AI走進現實，一張傳單就可讓機器人出拳攻擊</strong></a></p> <p>【臺灣資安大會直擊】當AI開始掌控有手有腳的機器，資安就不再只是IT部門的事。VicOne執行長鄭奕立指出，一張印有指令的傳單就能讓友善的機器狗瞬間出拳攻擊。AI機器人的攻擊面橫跨感測器欺騙、AI模型劫持、無線通訊滲透及軟體供應鏈等五大層次，其後果已超越資料外洩，將直接造成實體的人身傷害。因此，臺灣機器人服務要落地，必須同步先做好資安，同時闡釋與兩家臺灣機器人業者合作的最新發展現況。</p> <p><strong><a href="https://www.ithome.com.tw/news/176695">Google Vertex AI SDK模型上傳流程漏洞，恐遭攻擊者跨租戶執行任意程式碼</a></strong></p> <p>Google前兩個月修補Vertex AI SDK for Python的漏洞，通報的Palo Alto Networks旗下Unit 42團隊如今公開相關細節，指出問題出在模型註冊前的暫存流程，由於舊版SDK未檢查預設儲存桶的所有權，加上Google Cloud儲存桶名稱不可重複的限制，導致攻擊者只要得知受害者的專案編號，就能預先建立同名儲存桶。當受害者依預設流程上傳時，模型構件便會流向攻擊者控制的儲存空間，甚至進而在模型部署後執行任意程式碼的風險。</p> <p><strong><a href="https://www.ithome.com.tw/news/176689">惡意瀏覽器擴充套件竊取AI對話內容再現新案例，近9萬名用戶受影響</a></strong></p> <p>惡意瀏覽器擴充套件竊取AI對話資料案例再現！MalExt Sentry揭露PromptSnatcher活動，發現偽裝成廣告攔截工具的Chrome擴充套件，會攔截ChatGPT、Gemini、Claude等多個生成式AI平台的提示詞與回應內容，並傳送至遠端伺服器，相關擴充套件累積安裝量約9萬次，提醒使用者注意瀏覽器擴充套件可能帶來的AI資料外洩風險。</p> <h1><strong style="color: rgb(255, 140, 0);">資料安全</strong></h1> <p><span style="color:#696969;"><strong>本週資料安全焦點在於藥廠、醫院及外送平臺的個資外洩，其中德國大規模病患資料外洩事故反映委外供應鏈危機，導致多家醫院同時受害。此外，ShinyHunters威脅不斷，本週再傳鎖定國際組織與教育機構，受害範圍持續擴大。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/176585">製藥巨擘諾和諾德遭駭，外洩臨床試驗病患資料</a></strong></p> <p>丹麥製藥業巨擘諾和諾德（Novo Nordisk）公告內部IT系統遭未授權存取，導致參加臨床試驗的病患資料外洩，但該公司強調，這些資訊並未直接連結這些病患的姓名或其他可辨識身分的屬性，這是因為可辨識身分的資訊需要其他存取管道，所以他們認為這次事件不會造成受測者身分曝光。</p> <p><strong><a href="https://www.ithome.com.tw/news/176679">德國多家醫院病患資料外洩，起因於醫療帳務委外服務商Unimed遭駭</a></strong></p> <p>醫院資料外洩議題、第三方供應鏈攻擊風險再受矚目。近期德國發生大規模病患資料外洩事件，多家醫院發布資安事故公告，包括弗萊堡大學附設醫院、海德堡大學附設醫院、科隆大學附設醫院、烏姆大學附設醫院等，指出事故起因於醫療帳務委外服務商Unimed遭駭，後續該業者亦發布資安事故公告，說明是在4月中旬遭受網路攻擊，此事件亦突顯第三方供應鏈資安風險對醫療產業構成的嚴峻挑戰。</p> <p><strong><a href="https://www.ithome.com.tw/news/176700">巴西外送龍頭iFood個資外洩，業者證實120萬用戶受影響</a></strong></p> <p><a href="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/zhu_tu_ba_xi_wai_song_long_tou_ifoodge_zi_wai_xie_.jpg?itok=G2EZ2urL"><img alt="" src="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/zhu_tu_ba_xi_wai_song_long_tou_ifoodge_zi_wai_xie_.jpg?itok=G2EZ2urL" style="width: 400px; float: right;" /></a></p> <p>外送服務普及已成常態，由於平臺掌握龐大民眾個資，一旦遭駭往往引發嚴重社會影響。近期巴西發生這類涉及民生服務的資安事件，當地龍頭業者iFood在6月4日傳出遭駭消息，該公司後續在6月10日發布資料外洩公告公開說明此事，指出其資料庫曾於2025年12月遭非法存取，導致約120萬名用戶個資外洩。不過，資安媒體Hackread指出駭客在BreachForums論壇上發文聲稱竊取其4,380萬筆客戶記錄，目前iFood否認此數量。</p> <p><strong><a href="https://www.ithome.com.tw/news/176673">駭客宣稱駭入任天堂竊走員工及公司資訊，勒索200萬美元</a></strong></p> <p>代號SHADOWBYT3$的駭客6月13日在地下論壇張貼勒索訊息，他宣稱從任天堂的員工關係管理平臺TINYpulse竊得近859MB的資料，喊價200萬美元作為贖金。這名駭客宣稱從TINYpulse取得員工姓名、電子郵件、分析報告、銀行對帳單PDF檔、以及職場問卷，涵括從2016年到2026年的資料。不過，任天堂尚未證實此消息。</p> <p><a href="http://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=162813&SPOKE_DATE=20260616&COMPANY_ID=6128"><strong>上福全球科技子公司Katun遭網路攻擊</strong></a></p> <p>耗材與影像輸出解決方案業者上福全球科技（6128）於6月16日，於股市公開觀測站代重要子公司Katun Corporation發布重大訊息，指出該公司發生網路資安事件，目前已啟動相關應變與調查程序，並評估事件對營運的影響。針對這起事故造成的影響，上福根據初步調查結果指出，尚未對公司整體營運、財務狀況或客戶服務造成重大影響。</p> <p><strong><a href="https://www.ithome.com.tw/news/176559">ServiceNow公布安全事件初步調查，稱資料查詢活動可能來自研究人員</a></strong></p> <p>企業雲端工作流程平臺業者ServiceNow於6月上旬傳出安全事件，ServiceNow於6月10日發布安全公告說明，多名客戶於6月3日至4日轉交漏洞獎勵計畫通報，內容涉及一項可能讓未經身分驗證使用者存取ServiceNow執行個體資訊的安全問題，且與4月22日提交至ServiceNow漏洞獎勵計畫的保密通報相似。該公司調查後發現，部分客戶執行個體自6月2日起出現不明的活動，且曾遭成功查詢；ServiceNow已通知觀察到相關活動的客戶，並部署安全更新協助保護客戶環境。</p> <p><strong><a href="https://www.ithome.com.tw/news/176587">駭客宣稱竊走Dynatrace數百GitHub儲存庫，外洩原始程式碼、公司資料</a></strong></p> <p>代號xpI0itrs駭客在駭客論壇兜售基礎架構效能監控及安全供應商Dynatrace的GitHub資料，宣稱利用廠商個人存取令牌（PAT）外洩的內容，包含內部基礎架構、CI/CD管線、敏感基礎架構細節、組織架構特定專案的員工資訊，共246個儲存庫，總量8.46GB，並喊價1.2萬美元，Dynatrace目前尚未公開證實此事故是否發生。</p> <p><strong><a href="https://www.ithome.com.tw/news/176563">英國諾丁漢大學資料外洩，可能影響45萬學生</a></strong></p> <p>英國諾丁漢大學6月11日證實發生網路攻擊事件，造成大量學生資訊外流。諾丁漢大學為知名學府，根據全球學校評等網站，該校排名為英國前20大，全球前一百大。根據報導，勒索軟體駭客組織ShinyHunters點名竊取了諾丁漢大學40GB資料，包含學生、校友及職員個資及財務資料，並已公開部分學生資訊，該校後續已證實此事故的發生。</p> <p><strong><a href="https://www.ithome.com.tw/news/176671">歐洲理事會傳資料外洩，駭客組織ShinyHunters聲稱竊得43萬份資料</a></strong></p> <p>歐洲理事會是具有國際法地位的國際組織，其宗旨為維護歐洲的人權、民主和法治，目前有46國參與，本週ShinyHunters在其資料公開網站貼文宣稱成功竊得歐洲理事會的訊息，涉及多個歐洲理事會分部的人事及薪資檔案，包括上萬名員工2011到2026年間的薪資條約40.9萬份、內部人事檔案3,700多份、1.4萬份履歷表等檔案。</p> <p><strong><a href="https://www.ithome.com.tw/news/176672">駭客組織ShinyHunters鎖定教育科技公司Infinite Campus，竊取13.7萬名師生個資</a></strong></p> <p>為美國逾3,200個學區提供學生資訊系統的教育科技公司Infinite Campus，3月傳出遭勒索軟體駭客ShinyHunters入侵，駭客聲稱從該公司的Salesforce平臺竊得1.2 GB的檔案。後續密碼外洩查詢網站Have I Been Pwned（HIBP）將這起事故納入資料庫，並指出約有137,100個帳號的資料外洩。</p> <h1><strong style="color: rgb(255, 140, 0);">端點安全</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>近一個多月來，有研究人員持續揭露微軟Windows的零時差漏洞，最新是可被用於繞過BitLocker磁碟加密機制、名為GreatXML的漏洞。還有微軟Secure Boot舊版憑證即將到期的消息，紅帽提醒用戶應儘速更新韌體信任資料庫，以確保開機安全與系統元件的後續更新。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/176566">研究人員揭露BitLocker零時差漏洞GreatXML</a><span style="color: rgb(255, 0, 0);">【GreatXML】</span></strong></p> <p><a href="/sites/default/files/images/研究人員揭露BitLocker零時差漏洞GreatXML.jpg"><img alt="" src="/sites/default/files/images/%E7%A0%94%E7%A9%B6%E4%BA%BA%E5%93%A1%E6%8F%AD%E9%9C%B2BitLocker%E9%9B%B6%E6%99%82%E5%B7%AE%E6%BC%8F%E6%B4%9EGreatXML.jpg" style="width: 400px; float: right;" /></a></p> <p>與微軟僵持不下的Chaotic Eclipse（Nightmare-Eclipse），本週公開另一個零時差漏洞GreatXML，並指出該弱點可被用於繞過BitLocker磁碟加密機制。根據他的研究，電腦在防毒軟體Microsoft Defender執行離線掃描期間，攻擊者無須登入Windows作業系統就有機會利用GreatXML。</p> <p><strong><a href="https://www.ithome.com.tw/news/176561">微軟Secure Boot舊版憑證2026年陸續到期，紅帽提醒RHEL用戶更新韌體信任資料庫</a></strong></p> <p>紅帽6月10日提醒，微軟安全開機（Secure Boot）機制使用的多張2011年版簽章憑證，將於2026年陸續到期，企業應確認UEFI韌體中的Secure Boot資料庫是否已納入2023年版憑證，以確保後續可取得開機安全相關更新。若系統韌體的Secure Boot 資料庫（db）沒有包含2023年版憑證，未來可能無法啟動新的開機元件。</p> <p><strong><a href="https://www.ithome.com.tw/news/176680">Google發布ChromeOS長期支援版更新，修補17項記憶體相關重大漏洞</a></strong></p> <p>Google發布ChromeOS LTS-144更新版144.0.7559.255，修補40項安全漏洞，其中17項屬重大等級。此次修補以記憶體安全問題為主，包含29項記憶體已釋放卻仍被使用（UAF）漏洞及5項記憶體溢位漏洞，占全部漏洞達85%。值得注意的是，這次修補的漏洞中，有5項重大漏洞都涉及ChromeOS圖形架構核心元件Ozone，其他漏洞則涵蓋GPU、Chromoting、Printing與FileSystem等元件。</p> <p><strong><a href="https://www.ithome.com.tw/news/176692">Android 17正式登上Pixel裝置，安全能力亦再提升</a></strong></p> <p>Google推出Android 17，內建安全能力強化亦是重點之一，新版本不僅升級即時威脅偵測與進階保護模式，也導入更多隱私微調，例如延長 PIN 碼連續輸入錯誤的等待時間以防範暴力破解。此外，用戶現在能更細緻地管理個資權限，像是僅暫時允許 App 取得精確位置，或只分享部分聯絡人。同時，系統也增強「標記為遺失」功能，讓使用者能用生物辨識鎖定遺失的手機，在這樣的保護機制下，竊賊即使知道PIN碼，也無法存取資訊或關閉追蹤功能。</p> <h1><strong style="color: rgb(255, 140, 0);">網路安全</strong></h1> <p><span style="color:#696969;"><strong>近期攻擊者積極鎖定邊緣裝置已知漏洞，針對修補動作慢的企業發動攻擊，包括Ivanti Sentry與Fortinet沙箱平臺近期修補的弱點均成為攻擊新目標。此外，AWS推出PQC就緒度掃描工具，以及德國核發首張5G核心網路組件安全證書，亦顯現PQC遷移與通訊供應鏈安全正加速進入實質落實階段。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/176572">Ivanti甫修補的滿分重大漏洞已出現實際攻擊</a><span style="color:#FF0000;">【CVE-2026-10520】</span></strong></p> <p>6月上旬Ivanti<a href="https://www.ithome.com.tw/news/176531">修補</a>Sentry安全閘道兩項重大漏洞，後續已有攻擊者鎖定其中一項已知漏洞CVE-2026-10520發動大規模利用嘗試行為！Shadowserver基金會11日提出警告，他們總共找到19臺存在弱點的Ivanti Sentry實體（instance），這些系統疑似都遭到入侵，其中有兩臺已被植入後門。另一方面，美國網路安全與基礎設施安全局（CISA）也將此漏洞<a href="http://www.ithome.com.tw/news/176612">納入KEV清單</a>，Ivanti則另說明是在蜜罐環境偵測到攻擊嘗試。</p> <p><strong><a href="https://www.ithome.com.tw/news/176694">Fortinet沙箱平臺3個已知漏洞傳出遭到嘗試利用</a><span style="color: rgb(255, 0, 0);">【CVE-2026-39813、CVE-2026-39808】</span></strong></p> <p>威脅情報公司Defused Cyber在社群網站X發文警告，有人試圖利用6月初修補的CVE-2026-25089、4月中修補的CVE-2026-39813、CVE-2026-39808等已知漏洞攻擊FortiSandbox。根據駭客利用CVE-2026-25089的手法，該公司研判是借助AI的力量來達到目的，不過駭客似乎並未成功利用CVE-2026-25089。另也強調CVE-2026-39813是首次發現有攻擊者成功利用。</p> <p><strong><a href="https://www.ithome.com.tw/news/176632">思科修補SD-WAN系統已遭利用的漏洞</a><span style="color: rgb(255, 0, 0);">【CVE-2026-20245】</span></strong></p> <p>思科在6月4日揭露Catalyst SD-WAN Manager的漏洞CVE-2026-20245成為零時差漏洞攻擊目標，先行提醒用戶注意，後續該公司於6月15日釋出補修程式，呼籲用戶儘速套用新版軟體修補。同日美國CISA也將之<a href="http://www.ithome.com.tw/news/176635">納入KEV</a>清單。</p> <p><strong><a href="https://www.ithome.com.tw/news/176682">AWS推出PQC就緒度掃描工具，檢視TLS端點抗量子準備狀態</a></strong></p> <p><a href="https://www.ithome.com.tw/sites/default/files/images/2026-06-18_102316.jpg"><img alt="" src="https://www.ithome.com.tw/sites/default/files/images/2026-06-18_102316.jpg" style="width: 400px; float: right;" /></a></p> <p>公有雲業者AWS宣布推出後量子密碼學就緒度掃描工具PQC Readiness Scanner，這是以AWS Config合規套件建置的解決方案，可協助企業盤點由AWS服務終止TLS連線的應用程式負載平衡器（ALB）、網路負載平衡器（NLB），以及API Gateway端點，持續檢查其TLS組態是否符合PQC就緒要求，並依三級架構排定遷移優先順序。</p> <p><strong><a href="https://www.ithome.com.tw/news/176685">德國BSI核發首張5G核心網路組件NESAS安全證書，Mavenir率先通過驗證</a></strong></p> <p>推動5G供應鏈安全，近年德國針對5G關鍵組件祭出強制性安全認證要求，德國聯邦資訊安全局（BSI）在6月15公布首款通過BSI NESAS驗證的產品，此舉突顯德國在強化行動通訊供應鏈安全已有全新進展。首家獲證廠商為美國雲端原生網路軟體商 Mavenir，獲證產品為其5G匯流封包核心網路的核心組件——網路儲存功能（NRF，版本為CC 24.4.2 p4 SW）。</p> <p><strong><a href="https://www.ithome.com.tw/news/176678">都柏林大學將主導歐盟6G安全專案，開發6G原生網路威脅情資平臺</a></strong></p> <p>愛爾蘭都柏林大學在6月11日宣布，將主導歐盟Horizon Europe架構下、智慧網路與服務聯合事業（SSNS JU）支持的SHIELD-6G專案，總經費達800萬歐元。這項專案將集結19個國際合作夥伴，目標是開發面向6G網路的AI驅動威脅情資平臺，為6G網路建立安全、可靠性與韌性的基礎指引。</p> <p><strong><a href="https://www.ithome.com.tw/news/176647">Palo Alto Networks警告VPN高風險漏洞遭積極利用</a></strong></p> <p>5月中Palo Alto Networks公告PAN-OS軟體存在驗證繞過漏洞CVE-2026-0257，6月1日<a href="https://www.ithome.com.tw/news/176250">該公司</a>與其他資安業者均警告有攻擊者試圖利用的跡象，指出其風險在於可能讓未經授權的攻擊者繞過安全控制而啟動VPN連線。6月9日該公司再度示警，指出該公司威脅情報團隊Unit 42觀測到一個身分未明的攻擊組織加入濫用該漏洞的行列，並存取其VPN系統GlobalProtect。</p> <h1><strong style="color: rgb(255, 140, 0);">資安維運</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>面對AI引發的漏洞激增現況，FIRST國際資安應變組織指出今年CVE預估量雖上修至6.6萬個，但真正被利用或具備高度威脅的漏洞增長相對平緩，建議企業應依循四項策略精準應對。此外，供應鏈韌性、AI治理與數位信任治理議題亦成專家不斷提醒的焦點，呼籲企業應在這些領域積極採取行動。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/176652">2026年CVE數量恐破6.6萬個，FIRST國際資安應變組織提四項應對建議</a></strong></p> <p>每年CVE數量持續創新高，但增幅更是各界觀察的重點。FIRST國際資安應變組織於6月15日舉行第38屆年會，同時發布「2026年年中漏洞預測報告」，指出2026年1至4月的實際披露量已較原先預估比例高出46.3%，這使得全年總量從2月份預估的59,427個，現在上修至約66,000個。FIRST解析推動數量增長三大原因，並針對企業組織提出因應行動上的四項建議。</p> <p><strong><a href="https://www.ithome.com.tw/news/176666">CVE漏洞數量大增，FIRST進一步說明致災風險並未隨總量而增加的理由</a></strong></p> <p><a href="/sites/default/files/images/CVE漏洞數量大增，FIRST進一步說明致災風險並未隨總量而增加的理由.jpg"><img alt="" src="/sites/default/files/images/CVE%E6%BC%8F%E6%B4%9E%E6%95%B8%E9%87%8F%E5%A4%A7%E5%A2%9E%EF%BC%8CFIRST%E9%80%B2%E4%B8%80%E6%AD%A5%E8%AA%AA%E6%98%8E%E8%87%B4%E7%81%BD%E9%A2%A8%E9%9A%AA%E4%B8%A6%E6%9C%AA%E9%9A%A8%E7%B8%BD%E9%87%8F%E8%80%8C%E5%A2%9E%E5%8A%A0%E7%9A%84%E7%90%86%E7%94%B1.jpg" style="width: 400px; float: right;" /></a></p> <p>面對今年這股由AI引發的大規模漏洞挑戰，FIRST國際資安應變組織提出一項重要觀察，並以「降雨與洪水」為喻指出：雖然漏洞總量（降雨）持續攀升，但真正被積極利用或具備高度威脅的漏洞（洪水），其增長速度並未同步上升。具體而言，儘管今年1至4月的CVE漏洞呈激增態勢，但被列入CISA KEV或EPSS分數超過10%的高風險漏洞，其增長曲線相當平緩。</p> <p><a href="https://www.ithome.com.tw/news/176614"><strong>資安不再是IT部門的事，供應鏈韌性與AI治理成企業存續的核心命題</strong></a></p> <p>在多重危機交錯的今天，資誠智能風險管理諮詢公司董事長張晉瑞指出，網路安全早已不再隸屬資訊部門的防護範疇，而是直接決定企業能否維持供應鏈韌性、落實AI治理的核心樞紐。他表示，在這個供應鏈韌性正被重新定義的時代，有許多議題需要重視，例如他提出一個許多臺灣企業尚未普遍運用的財務工具：總中斷成本（TCOD），另也提及歐盟CRA、影子AI風險，以及半導體資安等重要議題，他強調企業董事會必須正視「數位信任」的戰略缺口，否則將在跨國採購談判中失去准入資格。</p> <p><strong><a href="https://www.ithome.com.tw/news/176548">當數位信任躍升企業戰略核心，國際電腦稽核協會推動以DTEF框架落實韌性與企業治理</a></strong></p> <p>【臺灣資安大會直擊】數位信任議題對於很多企業來說還是很抽象，國際電腦稽核協會（ISACA）臺灣分會副會長陳政龍<strong><a href="https://www.ithome.com.tw/news/176552">點出</a></strong>為何數位信任企業治理熱門焦點，並針對管理階層如何促進數位信任進行深度剖析，並介紹ISACA近年推動的DTEF數位信任生態系框架。他並強調，韌性是DTEF框架中的核心原則之一，在遭遇資安攻擊、資料外洩、系統故障等重大干擾時，組織必須具備快速恢復與持續運作的能力，甚至在危機中強化自身競爭力。</p> <p><strong><a href="https://www.ithome.com.tw/news/176594">MITRE ATT&CK第19版刪除防禦規避戰略，拆分為隱匿與防禦削弱</a></strong></p> <p>MITRE ATT&CK框架月前更新至第19版，此次調整有一項重大變化在於，將防禦規避（原TA0005）戰術拆分為隱匿（TA0005）與防禦削弱（TA0112），協助防禦者透過區分攻擊意圖擬定不同應對策略。MITRE表示，隱匿與破壞其實是完全不同的行為，對於防禦者而言，隱匿與防禦削弱拆分後的最大價值，在於協助釐清核心問題：攻擊者究竟是在躲藏還是在破壞防禦能力？這是兩種完全不同的威脅模型，需要不同的應對策略。</p> <p><strong><a href="https://www.ithome.com.tw/news/176570">越南駭客OceanLotus發動供應鏈攻擊，鎖定投資人散布SpectralViper後門</a></strong></p> <p>越南金融科技公司FireAnt所推出的股市投資軟體FireAnt Metakit更新伺服器遭入侵，資安業者ESET指出，攻擊者是越南駭客組織OceanLotus（APT32），藉由入侵更新伺服器向股票投資人散布SpectralViper後門程式，受駭時間點為2025年10月至2026年3月。ESET表示，FireAnt Metakit雖為熱門投資工具，但僅極少數用戶最終被植入後門，因此判斷並非無差別攻擊，而是利用供應鏈入侵後，再精準篩選目標。</p> <p><strong><a href="https://www.ithome.com.tw/news/176648">中國駭客組織UNC6508鎖定美國醫療與國防研究機構竊取機密</a></strong></p> <p>新興中國駭客組織UNC6508發起大規模網路間諜行動，鎖定北美學術、醫療與軍事研究社群的機構，早在2023年9月，他們利用可透過網際網路存取的Research Electronic Data Capture（REDCap）伺服器，入侵與美軍有關的醫學大學，後續部署惡意程式Infinitered，企圖竊取REDCap登入憑證，相關活動持續到2025年11月。</p> <p><strong><a href="https://www.ithome.com.tw/news/176684">中國駭客Earth Lusca打造惡意軟體SprySOCKS變種，於政府機關從事攻擊活動</a></strong></p> <p>資安公司ESET揭露中國駭客組織Earth Lusca將原本針對Linux的後門程式SprySOCKS，開發成Windows版本，他們起初在VirusTotal發現惡意檔案，比對遙測資料後，發現駭客在2023至2024年將此程式用於攻擊。ESET看到兩種Windows版變種，均支援UDP、WebSocket協定，攻擊者可下達超過30種命令，涵蓋系統資訊收集。</p> <p><strong><a href="https://www.ithome.com.tw/news/176677">開源資安平臺Wazuh修補重大漏洞，攻擊者可竄改警示並刪除日誌</a></strong></p> <p>開源XDR與SIEM平臺Wazuh修補Wazuh Manager一項重大（Critical）風險漏洞，攻擊者可利用此漏洞在特定組態下註冊惡意代理程式，進而竄改警示、刪除鑑識日誌，甚至影響弱點與資產清查資料，影響wazuh-manager 5.0.0-beta1與後續推出的5.x版本，CVSS分數達滿分10.0分；Wazuh 4.x分支則不受影響。</p> <p><strong><a href="https://www.ithome.com.tw/news/176568">Palo Alto發佈6月安全更新修補11項漏洞</a></strong></p> <p>資安業者Palo Alto Networks發布六月份安全更新，修補11項漏洞，其中包含兩項高風險安全更新，廠商呼籲管理員儘速更新到最新版本。其中的CVE-2026-0274，影響SOAR平臺Cortex XSOAR，CVSS風險值8.1，影響Cortex XSIAM/XSOAR Commvault Security IQ Marketplace。</p> <p><strong><a href="https://www.ithome.com.tw/news/176577">Splunk 6月安全更新修補一項讓攻擊者清空檔案的重大漏洞</a></strong></p> <p>6月10日思科旗下Splunk發布安全更新公告，總共揭露與修補12項漏洞資訊，以主系統而言，重大漏洞有風險值達到9.8的CVE-2026-20253，未經驗證的攻擊者可藉此建立或清空檔案，高風險漏洞則有三項，分別是CVE-2026-20251、CVE-2026-20252及CVE-2026-20258。</p> <p><strong><a href="https://www.ithome.com.tw/news/176681">勒索軟體Anubis攻擊亞得里亞海港務局，索討千萬美元贖金</a></strong></p> <p>義大利亞得里亞海港務局年初證實遭遇勒索軟體Anubis攻擊，資安公司Resecurity上週揭露調查結果指出，駭客向員工寄送帶有惡意附件的釣魚信，成功入侵後便進行權限提升，在內網橫向移動，然後利用港務局IT基礎設施未修補的漏洞，逐步取得重要系統控制權。值得注意的是，本次攻擊駭客並未直接針對OT環境的基礎設施，而是入侵M365與Azure等IT系統達到目的。</p> <p><strong><a href="https://www.ithome.com.tw/news/176627">NightSpire勒索軟體濫用合法管理工具發動攻擊，已入侵包括臺灣在內33個國家</a></strong></p> <p>勒索軟體NightSpire自2025年初出現以來，已影響包括臺灣在內的33個國家、至少64個組織，資安業者Picus近日分析其攻擊手法指出，這款勒索軟體主要透過暴露的RDP服務取得初始存取權限，再結合濫用Chrome Remote Desktop、AnyDesk、Everything、7-Zip與MEGAsync等合法工具執行資料搜尋、外洩作業，並採用雙重勒索手法，威脅公開竊得的敏感資料以迫使受害者支付贖金。</p> <h1><strong style="color: rgb(255, 140, 0);">政策法規</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>今年1月《人工智慧基本法》上路，我國各目的事業主管機關針對各產業的指引也相繼出爐，繼衛福部後NCC也發布相關指引；針對中小企業提供資安強化方面的協助也持續成為政策焦點。國際間，則有美國政府對Anthropic高階模型祭出出口限制的政策與爭議，反映AI模型在國家安全與地緣政治監管層面的挑戰。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/176549">NCC發布新聞AI應用指引，要求全程標示AI內容並建立人工查核機制</a></strong></p> <p>NCC針對媒體應用AI提出指引規範，呼籲業者應用AI技術製播新聞，應建立AI內容查證機制，落實人工審核，對於第三方素材或AI產生的素材，善盡事實查證責任，並要求業者保留AI使用與審核紀錄，供事後的追蹤及查驗。NCC強調，AI可輔助新聞產製，但最終責任仍在人，廣電媒體在導入AI技術前應建立內控機制，應成立專案小組進行風險評估與監督管理。</p> <p><strong><a href="https://www.ithome.com.tw/news/176613">資安署開辦「資安專家會客室」，中小企業可免費申請預約</a></strong></p> <p>協助中小企業強化資安防護力，數位發展部資通安全署於6月11日正式啟動「資安專家會客室」，提供免費一對一客製化諮詢服務。過去一年來，數發部資安署、資安院、經濟部中企署已有針對中小企業資安防護的推動作為，包括資安健檢團與資安服務團，資安推廣工具資安星際指南，還有中小企業基本資安指引釋出。而在諮詢管道上，先前已設置「馬上辦服務中心」，如今再推出「資安專家會客室」，期望引導更多國內中小企業跨出資安防護的第一步。</p> <p><a href="https://www.ithome.com.tw/article/175015"><strong>從防禦前線到規則制定者，臺灣資安產業的質變與雄心</strong></a></p> <p>【2026臺灣資安年鑑】美軍在對伊朗的軍事行動中，曾滲透伊朗境內的監視器網路，透過分析IP Camera的影像與流量數據，精準定位目標人物的日常行蹤、開會地點與行動路線。這不是電影情節，而是發生在現實世界的情報操作。數位發展部數位產業署署長林俊秀面對這一系列國際局勢時，有著深刻的體悟。他表示，這場戰爭徹底驗證了資安產業的戰略價值，因為資安防護失守的代價，已經從單純的「資料外洩」，升級為對「人的資產」的直接威脅。</p> <p><a href="https://www.ithome.com.tw/article/175016"><strong>從制度革新到全民覺醒，守住數位國土的最後一道防線</strong></a></p> <p>【2026臺灣資安年鑑】在臺灣邁入全面數位化與AI時代的關鍵節點，資通安全早已不再只是工程師或資訊部門的專業領域，而是攸關國家安全、產業發展與社會信任的核心基礎。數位發展部資通安全署署長蔡福隆表示：「資安就是一個務實、落實的事情。你說的東西再好聽，沒有把它落實下去，都是假的。」若要說過去一年資安署最具里程碑意義的成果，修正《資通安全管理法》絕對名列前茅，蔡福隆坦言，這次修法不只是條文調整，而是涉及政策、產業與國際接軌的全面工程。</p> <p><a href="https://www.ithome.com.tw/news/175244"><strong>揭露資安院2.0轉型願景，林盈達以AI築數位長城</strong></a></p> <p>【2026臺灣資安年鑑】臺灣更需要一個能串聯營運與研發的核心節點，資通安全研究院長林盈達推動「資安院2.0」的轉型，他指出，透過將營運流程AI化，實踐「看得到才治得到」的治理核心；並透過資安治理平臺、CI場域抓鬼與「Team Taiwan」生態系評鑑，將維運轉為背景基礎，讓AI與可視化成為國防防禦的前景與動能。更重要是，資安院不僅要推動技術進步，也促進跨部會與產業間的協作。當不同體系能夠有效連動，整體防禦能力將不再是零散拼圖，而是一個有機整體。</p> <p><strong><a href="https://www.ithome.com.tw/news/176598">美政府要求封鎖他國用戶存取Claude Fable與Mythos，Anthropic全面暫停提供</a></strong></p> <p>Anthropic推出威力最強大的模型Claude 5及Mythos 5後，12日宣布全面暫停提供全球用戶。該公司是在6月12日下午5點獲美國政府出口管制命令信件，要求中止任何外國人存取Fable 5及Mythos 5，不論他們位於美國境內或境外，包括Anthropic的外籍員工。這紙命令迫使該公司必須突然對所有客戶關閉Fable 5和Mythos 5。</p> <p><strong><a href="https://www.ithome.com.tw/news/176653">美國政府要求Anthropic停止對外國用戶提供Claude Fable 5，原因是傳出有人能成功越獄</a></strong></p> <p>Anthropic發表Claude Fable 5與Mythos 5幾天後，突然因美國政府禁令被迫宣布停止提供外國用戶，原因應是有人發現「越獄」使用的方法。關於這項說法，有兩個傳聞，一是英國資安研究機構AI Security Institute（AISI），一是Amazon總裁Andy Jassy和美國官員的對話內容。</p> <p><strong><a href="https://www.ithome.com.tw/news/176644">資安專家聯署反對Anthropic Claude Fable/Mythos禁令</a></strong></p> <p><a href="/sites/default/files/images/資安專家聯署反對Anthropic Claude Fable Mythos禁令.jpg"><img alt="" src="/sites/default/files/images/%E8%B3%87%E5%AE%89%E5%B0%88%E5%AE%B6%E8%81%AF%E7%BD%B2%E5%8F%8D%E5%B0%8DAnthropic%20Claude%20Fable%20Mythos%E7%A6%81%E4%BB%A4.jpg" style="width: 400px; float: right;" /></a></p> <p>美國商務部對Anthropic發布出口管制命令，要求中止任何外國人存取Fable 5及Mythos 5，上百名資安專家連署發表公開信，說明AI對資安的重要性，要求政府官員解除禁令。連署人包括Facebook前資安長Alex Stamos、抓漏獎勵平臺Bugcrowd創辦人Casey Ellis、蘋果前安全架構師Jon Callas。</p> <p><strong><a href="https://www.ithome.com.tw/news/176567">Coupang個資外洩案波及3,755萬人，遭韓國重罰逾6,246億韓元</a></strong></p> <p>針對電商平臺酷澎（Coupang）於2025年11月揭露的大規模個資外洩事故，韓國個資保護委員會（PIPC）於6月11日公告，對酷澎處以6,246億8,100萬韓元（約4.09億美元）罰鍰。PIPC調查認定，酷澎因身分驗證簽章金鑰管理、存取控制等基本安全管理措施不足，導致約3,755萬人個資外洩。PIPC進一步指出，酷澎在事件應變與後續處置過程中，也出現未履行外洩通知義務、未依規定銷毀資料、未充分確保個資保護長（CPO）職務獨立性，以及妨礙調查等多項問題，另對酷澎處以1,680萬韓元罰款。</p> <h1><strong style="color: rgb(255, 140, 0);">應用程式安全</strong></h1> <p><span style="color:#696969;"><strong>Oracle PeopleSoft零時差漏洞攻擊持續成為焦點，「剛修補即遭利用」的嚴峻態勢也值得重視。本週相關案例數量之多遠超以往，包括WordPress外掛UpdraftPlus、Jenkins及Joomla等軟體在發布更新後，隨即傳出大規模攻擊；顯見駭客鎖定漏洞的速度正大幅縮短，企業的更新修補的節奏與效率必須更加及時。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/176558">Oracle PeopleSoft零時差漏洞遭駭客組織ShinyHunters積極利用</a><span style="color:#FF0000;">【CVE-2026-35273】</span></strong></p> <p><a href="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/peoplesoft-shinyhunters.max-156.jpg?itok=nlRY0QGn"><img alt="" src="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/peoplesoft-shinyhunters.max-156.jpg?itok=nlRY0QGn" style="width: 400px; float: right;" /></a></p> <p>先前ShinyHunters<a href="https://www.ithome.com.tw/news/176529">宣稱</a>駭入一百多家組織的Oracle PeopleSoft伺服器，引發各界高度重視，當時<a href="http://www.ithome.com.tw/news/176556">Oracle發布資安公告</a>修補企業應用系統平臺PeopleSoft PeopleTools重大漏洞CVE-2026-35273，但未說明該漏洞是否已遭到利用，後續Mandiant與Google威脅情報團隊（GTIG）公布調查結果，他們於5月27日至6月9日，看到ShinyHunters（UNC6240）積極針對Oracle PeopleSoft應用系統基礎設施入侵及勒索的活動，過程中利用了CVE-2026-35273。這顯然是一起零時差漏洞攻擊事件。此外，美國CISA也已經將此漏洞<a href="http://www.ithome.com.tw/news/176590">列入已知遭利用漏洞（KEV）</a>名單。</p> <p><strong><a href="https://www.ithome.com.tw/news/176656">Awesome Motive旗下外掛遭供應鏈攻擊，120萬個WordPress網站受影響</a><span style="color: rgb(255, 0, 0);">【CVE-2026-10795】</span></strong></p> <p>Awesome Motive旗下三款熱門WordPress外掛遭供應鏈攻擊，資安業者Sansec指出逾120萬個網站受影響，攻擊者主要利用日前UpdraftPlus才剛修補的已知重大漏洞（CVE-2026-10795）入侵其行銷伺服器，奪取CDN API金鑰後，隨即竄改提供給客戶網站載入的JavaScript檔案。這導致受害網站會在不知情下，直接從CDN自動下載並執行遭植入惡意程式的版本。由於UpdraftPlus已在6月5日釋出1.26.5版修補該漏洞，因此，尚未更新修補的開發人員必須留意攻擊者快速利用漏洞的態勢。後續<a href="https://www.ithome.com.tw/news/176660">Wordfence更警告單日攔截逾7萬次攻擊嘗試</a><strong>，</strong>尚未更新的網站持續成為攻擊者積極鎖定的目標<strong>。</strong></p> <p><strong><a href="https://www.ithome.com.tw/news/176670">美國警告Joomla外掛JCE的滿分重大漏洞已被用於實際攻擊活動</a><span style="color: rgb(255, 0, 0);">【CVE-2026-48907】</span></strong></p> <p>由軟體廠商Widget Factory開發的Joomla外掛程式Joomla Content Editor（JCE），於6月初揭露並修補重大漏洞CVE-2026-48907，6月16日美國CISA表示已掌握積極利用該弱點的攻擊跡象，並將其列入KEV清單。</p> <p><strong><a href="https://www.ithome.com.tw/news/176645">LiteSpeed修補cPanel外掛程式已遭利用的權限提升重大漏洞</a></strong><strong><span style="color: rgb(255, 0, 0);">【CVE-2026-54420】</span></strong></p> <p>LiteSpeed在6月初揭露cPanel外掛程式重大權限提升漏洞CVE-2026-54420，並於2.4.8版外掛程式與WHM Plugin 5.3.2.1版完成修補，後續發現該已知漏洞遭攻擊者鎖定，美國CISA於6月15日將之列入KEV清單，指出該漏洞已遭實際利用。</p> <p><strong><a href="https://www.ithome.com.tw/news/176663">Jenkins修補重大遠端執行程式碼漏洞，攻擊者已開始利用漏洞試圖入侵企業CI/CD環境</a><span style="color: rgb(255, 0, 0);">【CVE-2026-53435】</span></strong></p> <p>資安業者Defused Cyber警告，Jenkins重大遠端程式碼執行漏洞CVE-2026-53435已遭攻擊者實際利用。漏洞源自config.xml檔案處理過程中的反序列化缺陷，可能導致攻擊者在Jenkins主機上執行任意程式碼，進而危及企業CI/CD環境安全。Defused Cyber已觀察到針對暴露於網際網路的Jenkins主機進行掃描與攻擊的行為，建議用戶儘速升級至已修補版本。</p> <p><strong><a href="https://www.ithome.com.tw/news/176592">Arch Linux AUR爆供應鏈攻擊，孤兒套件遭接手散布惡意程式</a></strong></p> <p>Arch Linux社群套件庫AUR（Arch User Repository）傳出供應鏈攻擊事件。軟體供應鏈安全業者Sonatype於6月11日揭露，攻擊者鎖定存放在AUR的無人維護套件，在接手合法套件後修改PKGBUILD或安裝指令，使使用者在建置或安裝套件時，透過NPM下載惡意套件atomic-lockfile，進而執行Linux惡意酬載。</p> <p><strong><a href="https://www.ithome.com.tw/news/176691">FIFA平臺後端漏洞能讓駭客免費播放世界盃賽事、置換影像、修改比分</a></strong></p> <p>國際足球協會（FIFA）後端平臺被一名研究人員發現API有漏洞，攻擊者可藉此劫持世界盃足球賽轉播攝影機及賽事影像，或是變更賽事比分等紀錄。FIFA在接獲通報後已修補漏洞。研究人員BobDaHacker表示，這個資安問題出在FIFA後臺的身分與授權機制設計錯誤，使未經授權的人員得以登入內部系統，存取賽事串流影像管理介面。</p> <p><strong><a href="https://www.ithome.com.tw/news/176596">供應鏈安全框架SLSA解析Mini Shai-Hulud事件，驗證NPM套件安全不能只看簽章</a></strong></p> <p>軟體供應鏈安全框架SLSA專案於5月15日發布文章，針對Mini Shai-Hulud NPM供應鏈攻擊，說明SLSA能扮演的角色。開源軟體安全基金會OpenSSF也於6月10日轉載這篇文章，提醒開源社群，即使NPM套件附有可驗證的來源證明，也不能因此認定其建置與發布流程未曾遭到攻擊者介入或濫用。</p> <p><a href="https://www.ithome.com.tw/news/176453"><strong>微軟修補Edge三項漏洞，涵蓋遠端程式碼執行與偽冒風險</strong></a></p> <p>微軟修補Edge三項漏洞，這3項漏洞皆由臺灣資安公司戴夫寇爾（DEVCORE）首席資安研究員Orange Tsai在5月中Pwn2Own Berlin漏洞挖掘競賽發現，透過TrendAI的Zero Day Initiative協助通報。其中CVE-2026-45495風險最高，CVSS分數達8.8，另外兩項漏洞涉及安全功能繞過與偽冒風險，可能影響Windows VBS防護或造成釣魚攻擊。</p> <p><strong><a href="https://www.ithome.com.tw/news/176554">Google發布Chrome 149更新，修補近30個弱點</a></strong></p> <p>Google本週內第二次發布Chrome瀏覽器更新，共修補28個漏洞，其中5個為重大等級，用戶應儘速升級至149.0.7827.114或149.0.7827.115版。雖然Google不常在瀏覽器更新公告當下透露漏洞評分，但根據漏洞管理解決方案公司Tenable的資料庫，僅有CVE-2026-12007的評分為8.8，其餘4個都是9.6分的漏洞。</p> <p><strong><a href="https://www.ithome.com.tw/news/176575">GitLab修補12個漏洞，最高風險可能導致帳號接管</a></strong></p> <p>GitLab釋出社群版與企業版安全更新，共修補12個安全漏洞，有4個被列為高風險，皆影響GitLab企業版，其中CVE-2026-7250也波及GitLab社群版。在這次修補的12個漏洞中，最嚴重的有兩項漏洞CVSS風險評分達8.7分，可能導致帳號遭接管或在受害者瀏覽器中執行惡意程式碼。</p> <p><strong><a href="https://www.ithome.com.tw/news/176597">phpBB修補重大身分驗證繞過漏洞，攻擊者可冒充任意論壇用戶</a></strong></p> <p>開源論壇軟體phpBB發布更新，修補重大身分驗證繞過漏洞，攻擊者僅需發送特製HTTP請求，即可登入任意論壇帳號，包括管理員帳號在內。由於phpBB預設會公開會員名單，攻擊者很容易取得目標帳號名稱，進而讀取私人訊息或濫用管理權限。phpBB已於3.3.17版完成修補，建議用戶儘速更新。</p> <p><strong><a href="https://www.ithome.com.tw/news/176601">遠端管理工具SimpleHelp修補重大身分驗證繞過漏洞，未更新可能導致攻擊者取得管理權限</a></strong></p> <p>遠端管理工具平臺SimpleHelp修補重大身分驗證繞過漏洞CVE-2026-48558，CVSS嚴重性評分達滿分10分。漏洞源自OpenID Connect（OIDC）身分驗證流程未正確驗證權杖簽章，攻擊者可偽造身分資訊建立技術人員帳號，甚至繞過多因素驗證機制。受影響版本包括5.5.15與更早版本，以及6.0系列預覽版本，用戶應儘速更新至已修補的5.5.16與6.0 RC2版本。</p> <p><strong><a href="https://www.ithome.com.tw/news/176654">300萬個WordPress網站暴露於UpdraftPlus外掛程式漏洞風險</a></strong></p> <p>資安業者Wordfence揭露WordPress備份外掛程式UpdraftPlus，存在身分驗證繞過漏洞CVE-2026-10795，CVSS評分8.1分，影響逾300萬個網站。攻擊者可在未經驗證情況下冒充管理員，進而接管網站並執行管理操作，影響與UpdraftCentral控制臺連接的UpdraftPlus，建議用戶儘速更新至已修補的1.26.5版，以降低風險。</p> <p><strong><a href="https://www.ithome.com.tw/news/176703">Google發布Chrome 149穩定版更新，修補33項安全問題</a></strong></p> <p>Google發布Chrome 149穩定版更新，修補33項漏洞，其中7項被列為重大風險。這些重大漏洞涵蓋WebShare、WebView、Digital Credentials、File Input、Passwords及Web Authentication等元件，多數屬於記憶體已釋放後仍遭使用（UAF）問題。突顯記憶體安全問題仍是此次修補重點，占全部漏洞超過一半。</p> <p><strong><a href="https://www.ithome.com.tw/news/176609">152個Chrome動態桌布擴充套件暗藏用戶行為追蹤功能，累計安裝量逾10萬次</a></strong></p> <p>資安業者Socket揭露152個Chrome動態桌布擴充套件暗藏追蹤功能，累計安裝量超過10萬次。研究人員發現，這些擴充套件雖在Chrome Web Store宣稱不會收集用戶資料，實際上卻會記錄瀏覽活動、點擊資訊等數據，並用於廣告追蹤與流量分析。此外，部分套件還涉及操縱搜尋流量。Socket建議用戶移除相關擴充套件，以降低隱私風險。</p> <p><strong><a href="https://www.ithome.com.tw/news/176661">Apple以Swift改寫TrueType微調直譯器，降低記憶體安全風險</a></strong></p> <p>降低記憶體安全風險持續受關注。Apple公開以Swift改寫TrueType字型微調直譯器的實務案例，並釋出原始碼供社群借鏡。Apple指出，此舉目標是要降低字型解析的資安風險，而最大挑戰在於新版直譯器必須確保既有程式免修改無痛銜接，且字型顯示結果須與原C版本完全一致。</p> <h1><strong style="color: rgb(255, 140, 0);">身分安全</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>行政體系與企業高層面臨的身分冒用風險受矚目，包括法國政府通訊平臺Tchap帳號遭冒用，以及波蘭官員遭冒名鎖定企業CEO進行社交工程攻擊，均顯現這類身分防禦的挑戰需要全社會重視與防範。此外，憑證管理由人員延伸至機器工作負載的發展趨勢，更反映身分治理範疇的擴張已成業界發展重點。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/176589">法國政府通訊平臺Tchap發生帳號冒用事件，逾7.3萬名公部門人員受影響</a></strong></p> <p>法國政府加密即時通訊平臺Tchap發生安全事件，6月7日有一個Tchap使用者帳號遭冒用，攻擊者藉此查看該帳號可存取的公開對話內容。DINUM表示，已與法國國家資訊系統安全局（ANSSI）協調分析此事，並封鎖涉案帳號，逾7.3萬名公部門人員可能受影響，私人加密對話歷史紀錄未遭存取，但公開聊天室內容可能被查看。</p> <p><strong><a href="https://www.ithome.com.tw/news/176662">冒充官員鎖定CEO！波蘭政府警告大型企業當心社交工程威脅</a></strong></p> <p>偽冒政府官員帳號鎖定企業高層攻擊再添一案，波蘭數位事務部於6月12日發布警訊，有駭客利用WhatsApp與Signal等通訊軟體冒充政府高層，該國境內已發現這類攻擊事件，攻擊者會向國營及私人企業的高階管理者發送訊息。一旦雙方建立聯繫，攻擊者便伺機竊取敏感資料、植入惡意軟體或詐取金錢。由於先前美國、義大利均有傳出這類攻擊活動，此社交工程陷阱已成為全球企業高層不容忽視的資安風險。</p> <p><strong><a href="https://www.ithome.com.tw/news/176664">1Password推執行時憑證派發機制，減少工作負載長期持有權杖</a></strong></p> <p>面對非人類身分管理（NHI）趨勢，1Password發表1Password Credential Broker私有測試版，把憑證管理從人員使用情境延伸到機器工作負載。初期支援GitHub Actions，讓自動建置、測試與部署流程在執行時，依照身分與政策取得所需憑證，減少長期權杖留在環境變數、設定檔或自動化流程中的情況，年底還將延伸到AI代理憑證管理。</p> <p><strong><a href="https://www.ithome.com.tw/news/176605">瘋世足除了防範假門票，也要防範假FIFA與贊助商徵才的網釣活動</a></strong></p> <p><a href="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/zhu_tu_fifa_2026_phishing_fortinet_job_posting_scams.jpg?itok=2B9DPiT1"><img alt="" src="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/zhu_tu_fifa_2026_phishing_fortinet_job_posting_scams.jpg?itok=2B9DPiT1" style="width: 400px; float: right;" /></a></p> <p>網路攻擊者正趁著2026年世界盃足球賽熱潮發動大規模網釣，資安業者FortiGuard警告，駭客不僅註冊大量名稱相近的釣魚網站，利用假門票、假直播及博弈名義誘騙民眾，還會看準賽事的人力需求，假冒FIFA官方職缺與企業贊助商名義發布虛假招募資訊，向求職者發送惡意的行事曆邀請並導向偽造的Google登入頁面，騙取個人網路服務帳密。</p> <p><strong><a href="https://www.ithome.com.tw/news/176641">網路釣魚即服務平臺SniperDz遭瓦解，主要開發者與管理員在阿爾及利亞落網</a></strong></p> <p>資安調查與威脅情報業者Group-IB於6月11日揭露，他們協助國際刑警組織（INTERPOL）與阿爾及利亞警方，瓦解運作近10年的網路釣魚即服務（PhaaS）平臺SniperDz。這起行動是國際刑警組織主導的Operation Ramz的一部分，該行動於2025年10月至2026年2月28日在中東與北非地區13國展開，總計逮捕201名嫌犯，而使用Guedz名號的SniperDz主要開發者與管理員也在阿爾及利亞落網。</p> <h1><strong style="color: rgb(255, 140, 0);">IoT/OT安全</strong></h1> <p><span style="color:#696969;"><strong>關鍵基礎設施面臨的OT安全威脅受矚目，歐盟ENISA今年舉辦的網路安全演習對象鎖定「鐵路」與「海運」兩大交通運輸領域，指出這類產業風險加劇、資安成熟度亟待提升。還有</strong></span><strong style="color: rgb(105, 105, 105);">中國駭客Velvet Ant潛伏隔離網路十年的揭露，加上</strong><span style="color:#696969;"><strong>澳洲Mackay Sugar遭襲導致停擺的事件，更讓相關產業提高警覺。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/176603">中國駭客組織Velvet Ant滲透關鍵基礎設施，潛伏於隔離網路環境近十年</a></strong></p> <p>資安公司Sygnia在11日公布中國駭客組織Velvet Ant發動的Operation Highland攻擊行動，根據他們的調查，Velvet Ant至少從2016年開始，在完全與網際網路隔離的關鍵基礎設施網路潛伏將近十年而未被察覺。Sygnia認為，這是迄今Velvet Ant最為複雜精密的攻擊活動。</p> <p><strong><a href="https://www.ithome.com.tw/news/176600">澳洲第二大製糖業者Mackay Sugar遭網路攻擊，兩糖廠營運停擺並迫使農戶暫停收割</a></strong></p> <p>澳洲第二大製糖公司Mackay Sugar近日遭遇嚴重資安事故，導致昆士蘭麥凱地區其中兩座糖廠營運中斷，製糖與甘蔗運輸作業全面停擺，甚至被迫向麥凱地區的種植者發出「停止收割」的通知。該公司已在官方網站發布資安事故公告，說明正在處理影響部分營運的網路安全事件，證實其農工業OT營運受阻的現況。</p> <p><strong><a href="https://www.ithome.com.tw/news/176636">ENISA歐盟網路演習邁入第八屆，2026聚焦鐵路與海運領域</a></strong></p> <p><a href="/sites/default/files/images/ENISA歐盟網路演習邁入第八屆，2026聚焦鐵路與海運領域.jpg"><img alt="" src="/sites/default/files/images/ENISA%E6%AD%90%E7%9B%9F%E7%B6%B2%E8%B7%AF%E6%BC%94%E7%BF%92%E9%82%81%E5%85%A5%E7%AC%AC%E5%85%AB%E5%B1%86%EF%BC%8C2026%E8%81%9A%E7%84%A6%E9%90%B5%E8%B7%AF%E8%88%87%E6%B5%B7%E9%81%8B%E9%A0%98%E5%9F%9F.jpg" style="width: 400px; float: right;" /></a></p> <p>為了幫助歐盟提升關鍵基礎設施防護水準，歐盟ENISA舉辦第八屆Cyber Europe 2026網路安全演習，特別的是，這次演練對象是「鐵路」與「海運」兩大交通運輸領域，不同於前兩屆聚焦醫療與能源領域。ENISA報告指出，交通部門已連續兩年位居網路攻擊目標前五名，鐵路與海運子部門均屬於利害關係人眾多的複雜生態系，並面臨OT與現代數位系統整合的挑戰，加上涉及軍事物流功能，使其成為更具吸引力的攻擊目標，因此期盼透過這項演習計畫，提升其資安成熟度，強化該領域的應變能力、協作機制與復原韌性。</p> <p><strong><a href="https://www.ithome.com.tw/news/176643">伊朗駭客Handala傳出入侵加州水務公司，洩露GPS基礎設施憑證、客戶個資</a></strong></p> <p>伊朗駭客組織Handala聲稱成功入侵加州水務公司，並公布5 GB資料供買家驗證。該公司是美國投資人持有的大型水利設施，服務約兩百萬名用戶，威脅情報公司Dataminr研究人員認為，入侵管道可能是透過RTKBase平臺，通常僅搭配樹莓派等級的硬體設備架設，該系統的網頁管理介面會直接在內部網路暴露，且缺乏經過強化的身分驗證機制，而被用於建立初期存取管道。</p> <p><strong><a href="https://www.ithome.com.tw/news/176659">MagicAd廣告木馬藏身小米、三星官方商店App</a></strong></p> <p>資安業者Doctor Web揭露一款名為「Android.MagicAd.1」的Android廣告木馬，近期曾潛藏於小米及三星的官方應用程式商店。該木馬的隱匿手法相當特殊，攻擊者將其偽裝成遊戲或工具程式上架後，會在數週內主動下架，隨即以全新的應用程式取而代之，其主要目的很可能是為了規避行動應用商店的審核機制，並降低被資安防護軟體偵測的機率。</p> <p><strong><a href="https://www.ithome.com.tw/news/176565">施耐德電機修補多項高風險漏洞，影響EcoStruxure與PowerLogic等產品</a></strong></p> <p>工業自動化與能源管理業者施耐德電機（Schneider Electric）於6月9日發布3份安全公告，揭露資料中心監控軟體EcoStruxure IT Data Center Expert、遠端終端裝置與控制器EasyLogic T150／Saitel DP RTU，以及電力保護與控制平臺PowerLogic P7的多項漏洞，並針對受影響產品提供已修補的版本。</p> <p> </p> </div></div></div>
6/18 18:29作者羅正漢https://www.ithome.com.tw/news/176729
經濟部發布2025全國電力資源供需報告，AI資料中心首度被單獨納入用電預測，並示警將推升夜尖峰負載
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>經濟部能源署今天(6/18)發布「114年度全國電力資源供需報告」，首度將「AI資料中心用電」單獨列為未來幾年的電力需求預測的重要變數之一，並進一步指出AI科技與雲端資料服務需求增加，將推升未來夜間尖峰負載。這顯示在生成式AI快速發展帶動下，政府已將AI資料中心視為獨立且長期存在的電力需求來源，而非僅是半導體產業擴產所衍生的附屬用電。</p> <p>報告指出，在評估未來10年電力需求時，已納入主計總處經濟成長預測、半導體產業擴廠、AI資料中心用電、氣溫變化及深度節能推動等因素，以推估未來10年(2026年到2035年)的電力需求年均成長率預估為2.5%，為歷年預測中第二高的成長水準，且高於日本、韓國等亞鄰國家。</p> <p><strong><span style="font-size:22px;"><span style="color:#B22222;">AI資料中心用電獨立為未來用電成長預估變數之一</span></span></strong></p> <p>相較於前一年度的報告主要以AI科技發展、高效能運算（HPC）及半導體產業需求作為用電成長驅動因素，此次報告直接點名AI資料中心，顯示能源署已將AI算力基礎設施納入國家電力規畫的重要考量之一。</p> <p>值得注意的是，該報告除了將AI資料中心納入需求模型，也將AI發展與夜間供電壓力直接連結。報告指出，隨著新興AI科技發展及雲端資料服務需求攀升，將帶動半導體與電子資通訊產業用電持續成長。其中，2026年夜尖峰負載預估將達38,840MW，較2025年的36,888MW增加約1,952MW，預估2035年達到47,948MW。</p> <p><img alt="" src="/sites/default/files/images/%E6%93%B7%E5%8F%96(41).JPG" style="width: 706px; height: 654px;" /></p> <p>相較於傳統製造業多集中於白天生產，AI資料中心及大型算力叢集通常採24小時不間斷運作模式，即使夜間仍需維持大量GPU與伺服器運轉，因此其對夜間電力系統造成的影響遠高於一般工業負載。這也是近年美國、歐洲及亞洲多國在規畫AI資料中心時，開始將電網容量、儲能設備與穩定電源供應視為關鍵投資條件的原因。</p> <p>為因應AI與新興科技等變數帶來用電需求可能增加，規畫至2035年前新增約2萬5,980MW燃氣機組，並保留部分原本規畫除役機組作為備用電源，以增加電力系統調度彈性。報告也提到，政府將持續擴大再生能源、儲能系統及需求面管理措施，以因應AI科技發展帶來的新型態負載需求。</p> <p>從報告內容可以看出，政府對AI帶動用電成長的觀察已出現轉變。過去討論焦點多集中在AI帶動半導體產業擴產，現在進一步將AI資料中心本身視為重要電力需求來源之一。隨著生成式AI應用普及及算力需求持續攀升，AI基礎設施對電網、能源供應與電力調度的影響，已逐漸成為國家能源政策的重要課題。</p> </div></div></div>
6/18 19:07作者蘇文彬https://www.ithome.com.tw/news/176734