iThome

台灣·近期無新文章

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 0篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 18:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

23個OpenClaw技能外掛利用搶註手法上架ClawHub官方市集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.manifold.security/blog/scope-squatting-clawhub-plugins" target="_blank">研究人員發現</a>OpenClaw的官方外掛（plugin）市集系統被人濫用，導致有23個看似為官方出品的外掛，其實是來自不相干的開發組織。</p> <p>AI代理安全業者Manifold Security檢查ClawHub（OpenClaw外掛的官方註冊目錄或市集）時，發現有近似冒用知名開發商品牌的外掛。他們發現OpenClaw外掛目錄中的1,508個外掛裡，有557個採用了「@某個owner/套件」名稱這種命名方式。但若研究發佈帳號，他們發現不是每個外掛命名空間（Scope）都是屬於經驗證的開發持有人（Owner），例如Microsoft、Google。</p> <p>研究人員發現，23個發布於@OpenClaw/或@ClawHub/命名空間（namespace）下技能外掛，屬於和OpenClaw或ClawHub不相關的組織。</p> <p>ClawHub對上傳的技能外掛有一條「外掛的命名空間應與其持有人相符」，但是並沒有全面強制實施。而且OpenClaw專案組織的命名空間，也接納所有外掛。由於ClawHub自己推出的正牌外掛是使用@openclaw，如@openclaw/whatsapp或@openclaw/codex，大部份使用者對@openclaw/security-gate、@openclaw/fiat-wallet、@clawhub/aisa-twitter-api下的外掛的真實性不疑有它。</p> <p>研究人員找到的23個外掛不一定為惡意程式，也沒有證據顯示它們已經攻擊使用者，但透過命名空間搶註（scope squatting），這些第三方外掛可以冒充官方外掛藉此引發供應鏈風險，使不知情的開發商或將之加入自己的App流程中。</p> <p>ClawHub在6月17日接獲通報後強化了管制。ClawHub自己的FAQ頁聲明，只有具有@openclaw存取權的出版商才可以發佈openclaw或clawhub下的外掛。6月19日，ClawHub已將名稱誤導的23個外掛從公開目錄移除。他們並在專屬命名空間加入了命名空間宣告申訴流程，讓那些被搶註命名空間的品牌或知名開發商可免除被冒用命名空間。</p> </div></div></div>
6/26 15:29作者林妍溱https://www.ithome.com.tw/news/176905
生成式AI年化營收突破1,750億美元，報告指AI需求已獲營收驗證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>英國科技研究平臺<a href="https://www.exponentialview.co/p/the-state-of-the-ai-economy" target="_blank">Exponential View周四（6/25）發布首份《AI經濟報告》</a>（The State of the AI Economy）報告，試圖衡量生成式AI的真實市場需求。報告指出，若排除重複計算並不含中國市場，生成式AI過去12個月創造1,100億美元營收，最新年化營收規模更突破1,750億美元，顯示AI需求已獲實際支出驗證。</p> <p>Exponential View的模型採用由下而上的方式，逐項追蹤企業與消費者實際支付的AI支出，資料來自公司財報、公開說法、可信媒體報導與外洩資訊，並依可信度加權；若同一筆收入在App、模型供應商與雲端業者之間流動，則只計算終端客戶支出，以避免重複計算。</p> <p>報告指出，AI經濟營收主要來自AI應用、基礎模型與AI基礎設施3個層次，目前仍集中於AI基礎設施與代管服務，也就是模型供應商與AI應用業者為執行推論而支付的雲端算力費用；不過，AI應用與模型供應商的營收占比正在提高。</p> <p>事實上，生成式AI需求正以遠快於歷次IT浪潮的速度成長，其營收成長速度約為網際網路、行動裝置及雲端等技術浪潮的3倍。</p> <p>此外，AI需求快速擴大，也帶動整體AI基礎建設同步升溫。報告指出，AI資料中心用電規模快速放大，最大型AI運算中心已從數十MW等級提升至數百MW、甚至GW等級；美國發電量在2008年至2024年間幾乎沒有成長，但自2024年起年增幅已由歷史平均的6TWh提高至9TWh，增速提升約50%；Nvidia AI晶片供貨承諾金額一年內也由310億美元增至950億美元，反映AI運算、資料中心及能源投資正持續加速。</p> <p>即便如此，AI對整體經濟的影響仍處於早期階段。若以美國GDP作為比較基準，全球不含中國的AI營收僅相當於美國GDP的0.42%，遠低於IT產業占GDP的9.4%；而企業目前回報的AI效益，也多集中在降低成本、節省時間與提高產出等效率面，直接帶動營收成長的案例仍相對有限。</p> <p>報告認為，AI經濟接下來最大的考驗在於能否支撐龐大的基礎建設支出。Exponential View估算，超大規模雲端業者與新興AI雲端業者到2026年累計資本支出將達2兆美元，其中AI相關支出較原本趨勢多出約5,350億美元，意味著生成式AI營收必須持續成長，才能消化資料中心、GPU與能源建設帶來的成本壓力。</p> </div></div></div>
6/26 15:42作者陳曉莉https://www.ithome.com.tw/news/176907
加州推出AI失業追蹤器，監測AI對勞動市場衝擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.gov.ca.gov/2026/06/25/california-becomes-the-first-state-to-launch-a-tool-to-monitor-and-track-artificial-intelligences-impacts-on-the-workforce/" target="_blank">美國加州州長Gavin Newsom周四（6/25）宣布推出</a>全美首個AI失業追蹤器（California AI-Unemployment Tracker，CAIT），透過分析失業保險申請資料與各職業受AI影響程度。首份報告顯示，AI尚未在加州引發大規模失業，但灣區與部分高AI暴露職業已出現失業申請增加跡象。</p> <p>AI失業追蹤器由加州就業發展部（EDD）與加州大學旗下California Policy Lab合作開發，每月更新一次，以失業保險申請資料為基礎，並結合各職業受AI影響程度進行分析，作為監測AI是否衝擊勞動市場的早期預警工具。</p> <p>加州政府表示，推出這項工具並非認定AI已造成失業潮，而是希望在勞動市場出現明顯變化前，先掌握可能率先受到衝擊的族群，進而提前提供求職協助、職業訓練、技能提升及醫療保險諮詢等支援。</p> <p>根據首份報告，截至今年5月，加州並未出現高AI曝露職業失業保險申請大幅增加的現象，顯示AI尚未引發大規模失業。不過，自ChatGPT-3.5於2022年底推出後，具大學以上學歷且從事高AI曝露職業的勞工，失業保險申請數量已有增加趨勢；灣區高AI曝露職業的失業申請也持續高於生成式AI普及前的水準。研究則未發現不同種族、性別或年齡族群出現明顯不成比例的AI失業現象。</p> <p>此外，專業服務業及資訊業等科技相關產業的高AI暴露職業失業保險申請較為突出。其中專業服務業在ChatGPT-3.5推出後短暫激增後仍維持偏高，資訊業則在2025年底回到生成式AI普及前的水準。</p> <p>California Policy Lab是依據各職業工作任務可被AI縮短工時的程度，以及相關任務實際被AI工具處理的頻率，計算職業AI曝露分數，並將前25%的職業歸類為高AI曝露職業，包括數學家、校對人員、通信文書、媒體與傳播工作者、電腦程式設計師、資料庫管理員、資料輸入人員、統計助理，以及口筆譯人員等。</p> <p><a href="https://capolicylab.org/news/california-launches-first-in-the-nation-tool-linking-ai-exposure-to-unemployment-insurance-trends/" target="_blank">California Policy Lab強調</a>，CAIT不能判定個別裁員是否由AI直接造成，疫情後科技業調整及整體經濟環境也可能影響結果。因此，這套追蹤器應被視為早期預警系統，而非AI造成失業的直接證據。</p> <p>美國媒體則指出，這項追蹤器的意義不在於證明AI已造成失業，而是讓政府首度以官方數據持續驗證AI對就業市場的實際影響，將過去對AI取代工作的推測，轉化為可長期追蹤的量化指標，也為其他州政府未來因應AI勞動衝擊提供參考。</p> </div></div></div>
6/26 15:05作者陳曉莉https://www.ithome.com.tw/news/176904
執法行動Operation Endgame瓦解惡意軟體Amadey、StealC、SocGholish的犯罪網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>掃蕩駭客從事勒索軟體攻擊、金融詐欺、攻擊關鍵基礎設施的執法行動Operation Endgame，最近出現新的斬獲。6月24日歐洲刑警組織（Europol）宣布，在加拿大、丹麥、德國、荷蘭、英國、美國的執法機關與民間企業組織聯手，由歐洲刑警組織與歐盟刑事司法合作署（Eurojust）居間協調之下，成功在兩週的時間裡，破壞惡意程式SocGholish（FakeUpdates）、Amadey和StealC背後的犯罪基礎設施。</p> <p>此次行動共癱瘓326臺伺服器、封鎖142個網域，查獲逾4,100萬歐元（約4,700萬美元）與犯罪活動相關的加密貨幣，並追回約2,700萬筆被竊的登入憑證。執法人員亦清理14,971個遭到感染的WordPress網站，這些網站被用於散布SocGholish。執法單位透過接管網域名稱並讓伺服器離線，來癱瘓SocGholish殭屍網路，然後藉由Have I Been Pwned、DIVD、Spamhaus、Check je Hack、No More Leaks，以及Shadowserver基金會與NL-NCSC等管道，通知網站管理員憑證外洩。</p> </div></div></div>
6/26 13:57作者周峻佑https://www.ithome.com.tw/news/176899
Deno 2.9新增桌面應用工具，網頁專案可封裝成跨平臺應用程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><strong><a href="https://deno.com/blog/v2.9#deno-desktop">JavaScript與TypeScript執行環境Deno發布2.9版</a></strong>，新增實驗性的deno desktop工具，讓開發者可將JavaScript與TypeScript網頁專案封裝成桌面應用程式。該功能讓Deno從伺服器端與命令列執行環境，擴大到桌面程式開發，開發者可用既有網頁技術建立Windows、macOS與Linux應用。</p> <p>deno desktop可指定一支指令碼作為進入點，也可用於既有網頁框架專案。Deno說明，應用介面會在桌面視窗中的網頁檢視元件執行，應用邏輯則由Deno處理，最後產生可發布的執行檔。開發者在專案目錄執行指令時，Deno也可運用既有框架偵測能力，自動辨識Next.js等網頁框架，將專案建置後包裝成桌面應用。</p> <p>在顯示引擎選擇上，deno desktop預設使用作業系統內建元件。Windows使用WebView2，macOS與Linux使用WebKit，因此應用程式不必額外包入完整瀏覽器引擎，封裝體積可相對縮小。若開發者需要各平臺呈現結果更一致，也可選擇內含Chromium Embedded Framework，但檔案體積會增加數十MB，建置時也需要下載相關元件。</p> <p>Deno 2.9也補強既有Node專案導入Deno的流程，新版deno install可讀取npm、pnpm、Yarn與Bun使用的套件版本鎖定檔，在沒有Deno鎖定檔時建立新的deno.lock，並沿用原本相依套件版本與完整性資訊。對使用pnpm工作區的專案，Deno也會讀取pnpm-workspace.yaml設定，降低工作區專案轉換到Deno時的相依套件解析問題。</p> <p>本次更新還包括效能與供應鏈安全改進，依Deno官方在專用x86_64 Linux機器上的測試，2.9版Hello World程式冷啟動時間從2.8版的34.2毫秒降至17.3毫秒，Deno.serve在多項測試工作負載下也提高吞吐量並降低記憶體使用。供應鏈安全方面，Deno 2.9預設啟用NPM套件最短發布時間限制，預設不安裝發布未滿24小時的NPM套件版本，降低開發者立即取得遭竄改套件的風險。</p> <p>Deno 2.9已可透過deno upgrade更新，官方也提醒deno desktop在此版本仍屬實驗性功能，部分平臺功能仍待補齊。</p> </div></div></div>
6/26 12:27作者李建興https://www.ithome.com.tw/news/176895
微軟悄悄展延Windows 10 ESU到2027年10月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://blogs.windows.com/windowsexperience/2025/06/24/stay-secure-with-windows-11-copilot-pcs-and-windows-365-before-support-ends-for-windows-10/" target="_blank">微軟本周低調透過官方部落格公告</a>，針對個人用Windows 10 PC提供的延伸安全更新（Extended Security Update,ESU）將再免費展延一年到2027年10月。</p> <p>微軟指出Windows 10 ESU的涵蓋時期將可擴展到2027年10月12日，這次展延可提供客戶更多時間轉移到新的Windows 11 PC，同時持續獲得關鍵的安全更新。</p> <p>微軟在2025年10月14日終止Windows 10技術支援，並且提供了ESU讓Windows 10 PC能獲得安全更新。除了支付1年30美元這項方案外，<a href="https://www.ithome.com.tw/news/169709" target="_blank">微軟還提供二種免費路徑</a>。一是以Microsoft Rewards 1000點兌換ESU。二是登入Microsoft帳戶後，使用Windows備份Backup功能將Windows設定同步到雲端。歐盟地區用戶則可不需登入Microsoft帳戶或啟用Windows備份即可享用ESU。</p> <p>原先ESU只設定為一年，但依據Windows 10的市佔，一旦無法獲得安全更新，這些PC將成為為數龐大的駭客攻擊目標。<a href="https://gs.statcounter.com/os-version-market-share/windows/desktop/worldwide" target="_blank">根據StatCounter的統計</a>，在所有Windows PC上，Windows 11市佔率為71.7%，Windows 10佔比仍然還有26.4%。</p> <p><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-quietly-extends-free-windows-10-esu-support-to-october-2027/" target="_blank">Bleeping Computer說明</a>，這次宣佈是消費版ESU的更新。必須注意的是，<a href="https://www.microsoft.com/zh-tw/windows/extended-security-updates?r=1" target="_blank">微軟官網說明</a>，消費版ESU適用個人使用的Windows 10裝置，包括家用及個人用PC，不適用企業中加入Active Directory網域、Microsoft Entra或由Mobile Device Management管理的商務電腦。不過僅在Microsoft Entra註冊的裝置則可適用。</p> <p>今天起，註冊精靈選項可在Windows Insider方案中使用，微軟預告7月會提供給Windows 10用戶，並預計8月中全面上線。</p> </div></div></div>
6/26 12:45作者林妍溱https://www.ithome.com.tw/news/176897
Klue供應鏈攻擊影響範圍擴大，AI營收情資平臺Gong的用戶也受到波及
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>上週Salesforce揭露Klue供應鏈攻擊，並<strong><a href="https://www.ithome.com.tw/news/176798">宣布切斷Klue Battlecards應用程式與用戶的Salesforce系統連結</a></strong>因應。然而就在有許多受害公司證實他們的Salesforce因此出現未經授權存取的情形之際，有另一家公司指出，他們的用戶也可能遭到這波供應鏈事故波及。</p> <p>6月19日<strong><a href="https://www.gong.io/blog/klue-security-incident">AI營收情資平臺Gong表示</a></strong>，同時使用Klue進行整合的用戶，有可能受到這起事故波及。對此，Gong已撤銷所有與Klue整合的相關存取權限，停用與整合相關的權杖（token），封鎖Klue入侵指標（IoC）提及的4個攻擊來源IP位址。所有Klue用戶端對Gong的API請求都將會被封鎖，Gong也主動聯繫客戶通知此事，並對於客戶進行的調查工作提供協助。Gong強調，該公司產品或系統，以及客戶存放的電話錄音與逐字稿，皆未受到影響。</p> </div></div></div>
6/26 12:49作者周峻佑https://www.ithome.com.tw/news/176898
蘋果調漲Mac及iPad等硬體裝置價格，漲幅15%起
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>蘋果周四（6/25）調漲了旗下從HomePod、iPad、MacBook到iMac的價格，漲幅從15%到25%不等，臺灣蘋果線上商店的價格也已同步調漲，<a href="https://www.apple.com/tw/shop/buy-mac/macbook-air" target="_blank">13吋MacBook Air的新售價為42,900元新臺幣</a>，上周還只有35,900元新臺幣，一口氣漲了7,000元。此波蘋果硬體產品調漲並未波及iPhone。微軟亦於同一天宣布自8月1日起於全球調漲Xbox遊戲主機售價。</p> <p>其實<a href="https://www.wsj.com/tech/apple-price-increases-memory-supply-199845b1" target="_blank">蘋果執行長庫克（Tim Cook）上周就曾向華爾街日報（The Wall Street Journal，WSJ）透露</a>，蘋果已無力負擔記憶體與儲存的上漲成本，不得不調漲產品售價。</p> <p>過去蘋果一向是利用新產品發表時機來調整售價，此次蘋果一口氣調漲眾多產品價格，雖未發布新聞稿，但在媒體詢問下發表了聲明，指出消費性電子產業正面臨前所未有的挑戰，AI資料中心快速擴張，使得記憶體與儲存元件需求暴增，蘋果表示，從未見過零組件價格在這麼短時間內如此大幅上漲。</p> <p>這次總計有十多項蘋果產品調漲價格，如HomePod mini從99美元漲至129美元，Apple TV從129美元漲至199美元，iPad從349美元漲至449美元，MacBook Air從1,099美元漲至1,299美元，MacBook Pro從1,699美元漲至1,999美元，iMac從1,299漲至1,499美元，入門款的MacBook Neo也從599美元漲至699美元。</p> <p>市場調查機構指出，AI資料中心需求自2025年下半年起快速排擠消費性電子用記憶體供應，推升DRAM與NAND價格連續數季大漲。<a href="https://counterpointresearch.com/en/insights/Memory-Prices-Surge-Up-to-90-From-Q4-2025" target="_blank">Counterpoint表示</a>，2026年第1季記憶體價格已較2025年第4季上漲80%～90%，包括DRAM、NAND與HBM。</p> <p><a href="https://www.trendforce.com/presscenter/news/20260202-12911.html" target="_blank">TrendForce則說</a>，由於2025年第4季的PC出貨量優於預期，導致PC DRAM全面短缺，就算是一線PC品牌廠已取得記憶體供應商配額，庫存水位仍持續下滑。預估2026年第2季傳統DRAM合約價將再季增58%～63%，NAND Flash合約價也將季增70%～75%，顯示AI需求帶動的記憶體漲勢仍未趨緩。</p> <p>除了蘋果外，<a href="https://news.xbox.com/en-us/2026/06/25/xbox-console-price-update/" target="_blank">微軟也趁機宣布</a>，將自8月1日全面調漲Xbox遊戲主機售價，512GB機型調漲100美元，1TB機型調漲150美元，並將停產2TB機型。</p> <p>微軟表示，遊戲主機所使用的儲存及記憶體價格已漲逾2.5倍，預計到2027年秋季前還會再翻倍；有別於手機、電腦或喇叭等消費性電子產品，遊戲主機通常是以低於製造成本的價格出售，而非依靠硬體本身獲利，因此更難吸收零組件成本上漲帶來的衝擊。</p> </div></div></div>
6/26 11:58作者陳曉莉https://www.ithome.com.tw/news/176894
【資安週報】0622-0626，FortiBleed憑證外洩事件受矚目，Klue供應鏈攻擊風暴更延燒至多家資安業者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>本週爆發兩起重大資安事故，包括FortiBleed大規模系統登入憑證外洩，以及Klue供應鏈攻擊導致多家資安業者的Salesforce資料外洩，相關消息不斷傳出引發業界高度關注。</p> <p>在漏洞修補態勢上，OpenAI發起Patch the Planet計畫，還有Chainguard成立Athena聯盟，顯現產業界有多方陣營正協助強化開源軟體安全；PQC遷移動向亦受關注，特別是金管會已發布金融業後量子密碼遷移參考指引，美國政府也命令聯邦指定遷移負責人。</p> <p>在技術焦點方面，資安新創Ent憑藉AI意圖感知技術重塑端點防護並獲億美元募資，其是否帶動端點安全的新變革備受期待；此外，身分安全領域的併購案同樣受矚目，反映出在非人類身分（NHI）管理趨勢下，身分生命週期安全與即時存取治理技術，正成為市場高度看好的核心需求。</p> <h1><strong style="color: rgb(255, 140, 0);">AI資安</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>在AI資安領域，協助開源安全再有新進展，OpenAI聯手業界發起Patch the Planet計畫協助修補漏洞，同時，AWS在資安治理強化上新推出兩款資安代理亦受關注，還有前沿AI模型議題持續成為新聞焦點。另外，AI應用程式框架Mastra內部開發團隊成為攻擊目標，駭客入侵後發動供應鏈攻擊並散布140個惡意NPM套件，此事故的後續發展亦備受關注。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/176787">OpenAI擴大Daybreak資安計畫，發表Patch the Planet協助開源專案修補漏洞</a></strong></p> <p>OpenAI在5月中旬發表資安防禦計畫Daybreak，一個月後該公司宣布擴大計畫，不僅推出專為資安打造的完整版GPT-5.5-Cyber模型與升級版Codex Security工具，並聯手業界發起「Patch the Planet」計畫以拯救人力吃緊的開源專案，協助開源專案維護者驗證漏洞、排除重複通報並提交修補程式，首批已有超過30個開源專案參與，此舉再次突顯資安瓶頸已從尋找漏洞轉向修補漏洞。</p> <p><strong><a href="https://www.ithome.com.tw/news/176725">AWS推出Context知識圖譜與Continuum資安代理服務，強化企業AI代理部署</a></strong></p> <p>AWS不僅發表可自動建立企業知識圖譜的新AI代理服務AWS Context，還有另一大重點是全新的AI-native資安產品線Continuum，前者強化AI代理人的資料理解能力，後者強化AI代理人的安全治理能力，協助企業加速部署AI代理人應用。AWS表示，企業面臨的漏洞數量正快速增加，因此AWS推出Continuum，希望透過結合脈絡資訊、推理及自動化行動的AI代理人架構，協助企業以接近機器速度處理安全問題。</p> <p><strong><a href="https://www.ithome.com.tw/news/176823">美國限制Anthropic Fable與Mythos模型存取，疑與NSA相關紅隊測試結果有關</a></strong></p> <p>美國政府於6月12日以國安疑慮為由，促使Anthropic宣布暫停向所有客戶提供Fable 5與Mythos 5模型存取。後續外媒報導指出，這項限制可能與Mythos參與美國國安單位內部紅隊測試的結果有關。在一場受控安全評估中，Mythos於數小時內突破多項與美國國家安全局（NSA）相關的模擬評估目標。</p> <p><strong><a href="https://www.ithome.com.tw/news/176789">五眼聯盟示警前沿AI將改變網路攻防，籲企業加速強化資安韌性</a></strong></p> <p><a href="/sites/default/files/images/2026-06-25_114603.jpg"><img alt="" src="/sites/default/files/images/2026-06-25_114603.jpg" style="width: 400px; float: right;" /></a></p> <p>由美國、英國、加拿大、澳洲與紐西蘭組成的情報共享組織五眼聯盟，於6月22日發布聯合聲明，警告前沿AI模型（frontier AI model）可能在數個月內改變網路攻防能力，AI一方面可強化防禦能力，但同時也會降低惡意行為者攻擊門檻，進一步壓縮漏洞從被發現到遭到利用的防禦空窗期，企業與公部門必須加速強化網路韌性。</p> <p><strong><a href="https://www.ithome.com.tw/news/176764">AI應用程式框架Mastra遭遇北韓駭客供應鏈攻擊，逾140個NPM套件被植入後門</a></strong></p> <p>微軟揭露針對AI應用程式框架Mastra的攻擊，駭客先奪取開發成員的NPM維護帳號，得到整個@mastra的發布權限，採用名稱冒充手法發布惡意套件，將其偽裝成每週下載超過5,700萬次的程式庫dayjs。接著，駭客再利用竊得帳號，於@mastra旗下NPM套件，發布有問題的新版本，一旦使用者安裝，攻擊者就會透過掛鉤（hook）執行經混淆處理的惡意程式。</p> <p><strong><a href="https://www.ithome.com.tw/news/176825">逾6成LLM iOS App暴露AI服務存取資訊</a></strong></p> <p>維克森林大學（Wake Forest University）研究人員公布一項實證研究，指出許多導入大型語言模型（LLM）功能的iOS應用程式，沒有妥善保護AI服務存取資訊，在執行期間的網路流量中暴露可遭利用的驗證權杖、未要求驗證即可存取的後端代理機制，或其他可用來呼叫LLM服務的憑證資訊。</p> <p><strong><a href="https://www.ithome.com.tw/news/176801">Cloudflare加入支援微軟、Google及Mozilla合推的網頁安全協定PACT</a></strong></p> <p>瀏覽器業者微軟、Google、Mozilla與Shopify推動PACT協定（Private Access Control Tokens）的採用，近日Cloudflare宣布加入採用的行列，以確保AI代理人自動化網頁作業的安全性及效率。PACT的宗旨是讓使用者網站提供匿名化令牌（token）給要登入的網站，證明行為者是真人，藉此取代困難的CAPTCHA同時防範網頁爬蟲，並不會辨識使用者個人身分或追蹤其上網活動。</p> <p><strong><a href="https://www.ithome.com.tw/news/176755">Cloudflare用AI代理輔助漏洞探索，以跨模型驗證過濾無效發現</a></strong></p> <p>網路服務與資安業者Cloudflare於6月18日公開其內部AI輔助漏洞探索架構，說明該公司如何將AI代理用於大規模程式碼安全檢查。Cloudflare將大型漏洞探索任務拆解為多個階段，讓每個代理只處理特定範圍的工作，並將執行狀態寫入資料庫，以便中斷後重新執行或接續分析。</p> <p><strong><a href="https://www.ithome.com.tw/news/176730">資安業者揭露M365 Copilot資訊外洩攻擊手法，透過點擊連結即可誘導AI助理洩漏敏感資料</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/176799">熱門Chrome瀏覽器AI擴充套件存在重大漏洞，逾千萬用戶面臨敏感資料遭竊風險</a></strong></p> <h1><strong style="color: rgb(255, 140, 0);">資料安全</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>近期Klue供應鏈攻擊引發的大規模資料外洩成為焦點，由於去年已發生Salesloft Drift、Gainsight兩起事故，此事故再次突顯Salesforce第三方應用程式依然被駭客鎖定的目標，而且類似的滲透手法再次奏效。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/176798">Salesforce停用Klue Battlecards應用程式整合，起因是第三方應用程式供應商遭到攻擊</a></strong></p> <p><a href="/sites/default/files/images/2026-06-25_115037.jpg"><img alt="" src="/sites/default/files/images/2026-06-25_115037.jpg" style="width: 400px; float: right;" /></a></p> <p>近日CRM雲端服務大廠Salesforce宣布停用Klue Battlecards應用程式與Salesforce之間的連接，起因是偵測Klue Battlecards異常活動，導致部分用戶資料遭非法存取。AI競爭情報公司Klue說明攻擊者透過與整合服務相關的外流憑證得到存取權，竊取Klue連接第三方平臺所用的OAuth權杖，存取第三方平臺資料。另根據威脅情報公司<strong><a href="http://www.ithome.com.tw/news/176833">ReliaQuest指出，此犯案過程僅不到一天</a></strong>，攻擊者透過遭入侵的整合服務，利用OAuth權杖及自動化REST API查詢，大規模竊取Salesforce用戶的資料。值得關注的是，這起供應鏈攻擊事件已演變大規模資料外洩事件，<strong><a href="https://www.ithome.com.tw/news/176822">ShinyHunters聲稱Klue供應鏈攻擊是他們發動的</a>，</strong>並以外洩資料要脅該公司與勒索團體Icarus聯繫。</p> <p><a href="https://www.ithome.com.tw/news/176827"><strong>多家資安公司確認Salesforce系統發生資料外洩，起因是Klue供應鏈攻擊</strong></a></p> <p>Klue供應鏈攻擊事故持續延燒，已導致多家知名資安業者的Salesforce客戶資料外洩，<strong><a href="https://www.ithome.com.tw/news/176820">威脅情報公司Huntress首先表示他們受到影響</a></strong>，並公布相關調查結果，後續有多家資安公司也公告證實受害，包括<strong><a href="https://www.hackerone.com/security-updates/klue-2026-06">HackerOne</a></strong>、Huntress、<strong><a href="https://status.insurity.com/incidents/vhhrc014kn85">Insurity</a></strong>、<strong><a href="https://www.jamf.com/blog/klue-incident/">Jamf</a></strong>、<strong><a href="https://www.onetrust.com/blog/update-from-onetrust-on-klue-salesforce-security-incident/">OneTrust</a></strong>、<strong><a href="https://www.recordedfuture.com/blog/klue-security-incident">Recorded Future</a></strong>、<strong><a href="https://status.snyk.io/incidents/3gw3m2ppwbp3">Snyk</a></strong>、<a href="https://support.sproutsocial.com/hc/en-us/articles/46754555170701-Klue-Security-Incident-June-2026" style="font-weight: bold;">Sprout Social</a>、<strong><a href="https://www.tanium.com/blog/security-update-taniums-response-to-the-klue-breach-that-allowed-data-exfiltration-from-salesforce/">Tanium</a></strong>。後續，還有<a href="http://www.ithome.com.tw/news/176821"><strong>LastPass</strong></a>、<a href="https://www.ithome.com.tw/news/176878">BeyondTrust</a>也同樣證實遭到波及。</p> <p><strong><a href="https://www.ithome.com.tw/news/176760">醫療業勒索軟體風險升高，臺灣列受害案例增幅明顯地區</a></strong></p> <p>臺灣醫療產業注意！資安威脅情報業者Cyfirma近日發布醫療產業威脅報告。在勒索軟體方面，過去90天全球共有2,388個組織受害，其中醫療業占216個（約10％），在14個產業中居於第3，且受害數量較前期的199個持續攀升。從區域來看，受害組織分布已從33國擴散至42國，雖然美國仍是最大受害者，但臺灣、印度、德國與中國的遭襲案例增幅相當顯著。</p> <p><strong><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=191133&SPOKE_DATE=20260622&COMPANY_ID=6230">散熱解決方案廠商尼得科超眾遭勒索軟體攻擊</a></strong></p> <p>替筆電、伺服器、顯示卡、網通設備及資料中心提供散熱產品與熱管理技術的尼得科超眾（6230），於昨日晚間7時11分發布資安重訊，表示部分伺服器遭勒索軟體攻擊，導致部分資訊系統無法正常運作，其中包括了ERP。尼得科超眾在察覺異狀後，立即啟動防禦機制與斷網隔離措施因應，而對於這起事故帶來的影響，該公司表示其對於整體營運及財務的影響尚在評估中，並強調將視系統復原進度，調整生產及出貨排程。</p> <p><strong><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=180740&SPOKE_DATE=20260622&COMPANY_ID=6425">自動化設備與智慧製造商易發旗下子公司東野精機、日福精工遭網路攻擊</a></strong></p> <p>專門設計、製造及銷售高科技自動化設備的上櫃公司易發精機（6425），於6月22日傍晚發布資安重訊，指出旗下的子公司東野精機與日福精工，遭不明人士入侵，將伺服器的資料加密，導致部分系統無法使用。兩家子公司在偵測到資訊系統遭到攻擊時，資安部門立即啟動相關防禦措施並進行系統復原，目前已陸續恢復。對於這起事故可能會帶來的衝擊，易發表示，根據他們的初步評估，對於兩家子公司運作無重大影響。</p> <p><strong><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=3&SPOKE_TIME=181259&SPOKE_DATE=20260622&COMPANY_ID=6146">耕興資訊系統遭遇資安事件，啟動復原機制並報警處理</a></strong></p> <p>國內無線通訊與射頻測試驗證廠商耕興（6146）於6月22日發布重大訊息，揭露部分資訊系統於6月13日發生網路資安事件。耕興表示，發現異常後已立即啟動資安防禦與系統復原機制，並委由外部資安公司協助調查，同時依程序向警方報案。耕興強調，由於遭受影響的資料檔案均留有備份，因此事件未對公司營運及業務執行造成影響。耕興目前正持續進行事件調查與後續處置，以確認影響範圍及事件原因。</p> <p><strong><a href="https://www.ithome.com.tw/news/176786">印度Tata Electronics證實遭駭，疑似外洩蘋果、特斯拉資料</a></strong></p> <p>勒索軟體組織World Leaks上週在暗網宣稱駭入印度半導體暨電子製造巨擘Tata Electronics，公布了20萬份檔案，以及疑為蘋果、特斯拉的硬體元件設計及規格文件的螢幕擷圖。本週Tata Electronics證實發生資安事故，該公司在幾個星期前發現部分系統發生資安事件，公司立即啟動回應措施，強調此事對其各業務營運未造成影響。</p> <p><a href="https://www.ithome.com.tw/news/176871"><strong>日本電信業者KDDI</strong><strong>遭駭客入侵，6</strong><strong>家ISP</strong><strong>逾1,422</strong><strong>萬筆電子郵件帳號密碼可能外洩</strong></a></p> <p>日本電信業者KDDI公布資安事故，攻擊者利用第三方軟體漏洞入侵其郵件系統，導致提供給6家ISP的郵件平臺遭未授權存取，可能影響超過1,422萬筆電子郵件認證資料。受影響業者包括 BIGLOBE、@nifty、J:COM 等。KDDI 已完成系統修補並通報主管機關，同時呼籲用戶儘速變更郵件密碼，以降低帳號遭濫用風險。</p> <p><strong><a href="https://www.ithome.com.tw/news/176710">柯達證實遭駭外洩公司資料，疑兩百多萬筆資料被竊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/176752">美國德州政府狩獵與釣魚執照管理系統發生資安事故，外洩300萬人駕照資訊</a></strong></p> <p><a href="https://www.ithome.com.tw/news/176866"><strong>曾於2024年入侵倫敦交通局網路的Scattered Spider兩成員認罪，當時導致該局Oyster退費系統資料外洩</strong></a></p> <p><a href="https://www.ithome.com.tw/news/176869"><strong>印度大型車輛製造商Bajaj Auto遭勒索軟體攻擊</strong></a></p> <p><strong><a href="https://www.ithome.com.tw/news/176702">Azure第6代AMD雲端機密虛擬機器供應全球57個區域，臺灣也入列</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/176814">Dell同步發布旗下多款主力儲存、備份與資料保護產品安全更新，主要涉及第三方元件漏洞修補</a></strong></p> <h1><strong style="color: rgb(255, 140, 0);">端點安全</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>端點防禦有新變革，主張運用AI的意圖感知特性將端點防護重新拉回事前預防的資安新創Ent，獲得資安業界少見的1億美元種子輪募資，以及多家全球二千大企業與國防單位導入，此態勢是否帶動日後端點安全市場的技術轉型並引領防禦模式翻轉，已成為業界高度關注的焦點。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/176805">訴求AI時代端點防禦革新，資安新創Ent首獲1億美元種子輪募資</a></strong></p> <p>近期浮出檯面的資安新創Ent，以種子輪即獲得1億美元挹注而備受矚目。Ent創辦人Elias Manousos指出，傳統偵測應變模式在過去有其價值，但在生成式AI的時代卻會逐漸失效，因此Ent主張運用AI的意圖感知特性，可以將端點防護重新拉回事前預防，在災害發生前防患未然，具體作法是端點的工作空間需要一個防護層，負責蒐集行為遙測、推斷使用者與AI Agent的意圖、區分正常與高風險行為，並建立完整紀錄以在決策瞬間介入，也就是在行為發生的當下即時阻斷風險。</p> <p><strong><a href="https://www.ithome.com.tw/news/176855">勒索軟體團體Gentlemen向加盟者提供EDR Killer工具，用於癱瘓受害者端點防護</a></strong></p> <p>ESET研究人員發現，勒索軟體即服務（RaaS）團體Gentlemen已建立多元的 EDR Killer工具生態系，並將其提供給加盟攻擊者使用。這些工具可利用存在弱點或惡意驅動程式提升權限，進而停用受害者的EDR與安全防護產品，協助後續部署勒索軟體。</p> <p><strong><a href="https://www.ithome.com.tw/news/176808">蘋果自研晶片存在BootROM漏洞usbliter8，可破壞應用處理器開機鏈</a></strong></p> <p>資安研究公司Paradigm Shift公開蘋果晶片硬體漏洞usbliter8的研究，揭露Apple A12、A13以及S4/S5等晶片存在BootROM層級漏洞。研究指出，該漏洞涉及晶片內不可變的SecureROM以及USB控制器的資料寫入行為，由於受影響裝置難以透過一般軟體更新根治，換用較新硬體是目前較有效的緩解方式。</p> <p><strong><a href="https://www.ithome.com.tw/news/176751">微軟著手修補Microsoft Defender零時差漏洞RoguePlanet</a></strong></p> <p>根據資安新聞網站Bleeping Computer報導，16日微軟公布Microsoft Defender權限提升漏洞CVE-2026-50656，也是研究人員Chaotic Eclipse（Nightmare-Eclipse）公開的RoguePlanet，影響Microsoft Malware Protection Engine元件，正著手打造資安更新。</p> <div> <p><strong><a href="https://www.ithome.com.tw/news/176791">Windows剪貼簿功能遭濫用，駭客散布USB蠕蟲竊取加密貨幣資產</a></strong></p> <p><a href="/sites/default/files/images/2026-06-25_115328.jpg"><img alt="" src="/sites/default/files/images/2026-06-25_115328.jpg" style="width: 400px; float: right;" /></a></p> <p>微軟揭露專門鎖定Windows電腦的加密貨幣剪貼簿惡意程式（Crypto Clipper），結合剪貼簿竊取、加密錢包地址替換、Tor匿名通訊與蠕蟲式自我擴散等多重手法。攻擊者透過USB隨身碟散布惡意程式，過程中會掃描USB裝置的常見文件，隱藏原始檔案，並建立同名的LNK捷徑檔，導致使用者點開後實際執行的是惡意程式。</p> </div> <p><strong><a href="https://www.ithome.com.tw/news/176781">資安研究人員揭露新型惡意軟體載入工具OXLoader，用於部署竊資軟體CastleStealer</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/176724">駭客鎖定遊戲玩家社群，濫用Steam Workshop平臺散布夾帶惡意程式的動態桌布軟體</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/176830">QNAP修補旗下NAS與網路視訊監控產品漏洞，包含兩項可能導致服務中斷的重大漏洞</a></strong></p> <h1><strong style="color: rgb(255, 140, 0);">網路安全</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>FortiBleed大規模系統登入憑證外洩事件為本週最受關注的資安消息，不只臺灣受影響設備數高居全球第三引發關注，還有因應策略特別指出強制管理員帳戶改用PBKDF2雜湊機制的重要性。Fortinet表示，企業若已落實資安最佳實務，則此事件風險極小，顯見協助組織補齊防禦缺口仍是未來重要挑戰。另有威脅情報業者指出，其有如工業自動化般的高效攻擊流程，是此次事件中資安界關注的核心焦點。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/176718">FortiBleed曝光逾7萬臺Fortinet設備憑證資料，臺灣受影響數量居全球第三</a></strong></p> <p><a href="/sites/default/files/images/2026-06-25_115440.jpg"><img alt="" src="/sites/default/files/images/2026-06-25_115440.jpg" style="width: 400px; float: right;" /></a></p> <p>FortiBleed大規模憑證外洩事件！威脅情報平臺InfoStealers示警，指出全球有超過7萬臺Fortinet FortiGate防火牆與SSL VPN設備的登入憑證遭駭客竊取並外洩，受影響設備數量最多的國家，依序是印度、美國、臺灣、墨西哥及土耳其，臺灣名列第三（3,637臺）。這起事件最早由資安研究人員Volodymyr Bob Diachenko於2026年6月中旬發現，調查出攻擊是由多名俄語系操作者組成的威脅組織所主導。後續威脅情資公司SOCRadar揭露<a href="https://www.ithome.com.tw/news/176813">FortiBleed攻擊活動的技術細節，指出駭客利用FortigateSniffer發動攻擊</a>，且攻擊行動自2026年2月即開始，整體攻擊過程主要透過自動化掃描、離線密碼破解技術，以及過往外洩資料來完成。</p> <p><strong><a href="http://www.ithome.com.tw/news/176757">針對FortiBleed事件，多國網路安全機構與Fortinet相繼發布事件應變對策</a></strong></p> <p>針對FortiBleed大規模系統登入憑證外洩事件，<a href="https://www.ithome.com.tw/news/176765">美CISA公布因應FortiBleed的五大措施</a>，其中確保憑證儲存安全，強制管理員帳戶改用PBKDF2雜湊機制儲存密碼受關注，此議題在一年半前臺灣資安專家解析國際電信資安指引時即已強調；<a href="https://www.ithome.com.tw/news/176757">英國NCSC也建議企業可先用兩款工具自行檢測是否名列其中</a>，包括威脅情資業者SOCRadar與Hudson Rock提供的FortiBleed檢查工具；Fortinet研判FortiBleed為舊資料再散布，並公布六大因應對策，其中一項是呼籲用戶儘速將FortiOS升級至7.4、7.6或8.0最新版本，因為這些版本支援使用PBKDF2演算法對管理員密碼進行雜湊處理，另也表示，企業先前若已落實資安最佳實務、此事件風險極小。</p> <p><strong><a href="https://www.ithome.com.tw/news/176739">F5針對Nginx發布緊急安全更新，揭露與修補兩個重大漏洞</a></strong></p> <p>6月17日F5突然針對Nginx發布非例行的安全性更新公告，總共揭露6個漏洞，從嚴重程度來看，CVE-2026-42530與CVE-2026-42055最高，CVSS 4.0評分均為9.2，用戶若不修補這兩個漏洞，F5警告遠端攻擊者可能藉此造成Nginx系統面臨服務遭阻斷（DoS），或觸發程式碼執行等狀況。</p> <p><strong><a href="https://www.ithome.com.tw/news/176744">網頁快取與代理伺服器軟體Squid被找出存在29年的漏洞，HTTP存取的密碼與金鑰可能全都被看光光！</a></strong></p> <p>資安研究公司Calif公開代號為Squidbleed的資安漏洞CVE-2026-47729，此漏洞存在於知名的開源網頁代理伺服器（Proxy）與網路快取軟體Squid，過去到近期版本Squid的預設配置皆可能導致內部記憶體的內容洩漏，網站伺服器的HTTP存取，以及透過官方套件庫提供Squid套件的多個Linux發行版，都可能受到影響。</p> <p><a href="https://www.ithome.com.tw/news/176858"><strong>刑事局破獲跨境詐騙案，竄改來電顯示手法再受關注</strong></a></p> <p>近日刑事警察局南部打擊犯罪中心宣布破獲跨境電信詐欺案，使電信安全議題再受關注。警方指出，此案之所以得逞，關鍵是詐團在電信話務機房內利用網路系統進行「來電顯示竄改」，雖然警方未公開具體手法，但結合過往這類事件來分析，此案再次暴露全球通訊架構在身分識別技術上的系統性弱點，導致發話端資訊在VoIP與PSTN介接過程可能遭到非法竄改。此外，警方在攻堅行動時還發現，這些犯嫌設備普遍安裝「快速滅證程式」。</p> <p><strong><a href="https://www.ithome.com.tw/news/176796">PCPJack活動攻擊230臺AWS、GCP、Azure伺服器，企圖架設SMTP中繼網路</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/176754">跨國執法行動中斷SocGholish感染鏈，清理近1.5萬個WordPress網站</a></strong></p> <h1><strong style="color: rgb(255, 140, 0);">資安維運</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>在資安維運領域，Gartner點名CISO應優先應對包含深度偽造、AI應用入侵、軟體供應鏈與提示注入在內的4大關鍵威脅，突顯企業面臨從新興AI技術到供應鏈環節的多元風險管理挑戰。此外，Databricks併購AI SOC平臺Panther的消息，亦顯現自動化與AI驅動的安全營運持續成為重要發展趨勢。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/176778">Gartner點名CISO須優先應對的4大關鍵威脅</a></strong></p> <p>研究調查機構Gartner於6月初舉行資安與風險管理高峰會，該公司副總裁兼分析師John Watts點名CISO須優先應對的4大關鍵威脅，分別是：深度偽造（Deepfakes）、AI應用程式入侵、軟體供應鏈漏洞，以及提示注入，並針對這些威脅提出具體因應策略，供企業參考與執行，當中有3項直接屬於AI安全範疇。</p> <p><strong><a href="https://www.ithome.com.tw/news/176740">Splunk近期9.8分重大漏洞被CISA列入KEV</a><span style="color: rgb(255, 0, 0);">【CVE-2026-20253】</span></strong></p> <p><a href="/sites/default/files/images/2026-06-25_115612.jpg"><img alt="" src="/sites/default/files/images/2026-06-25_115612.jpg" style="width: 400px; float: right;" /></a></p> <p>因掌握Splunk漏洞CVE-2026-20253已遭積極利用的證據，美國網路安全與基礎設施安全局（CISA）將其列入已遭利用的漏洞清單（KEV），並下令要求聯邦機構6月21日完成修復與緩解。Splunk的安全性公告恰巧也補充說明後續狀況，當中提到產品安全事故應變團隊（PSIRT）察覺少量利用此漏洞的行為，強烈建議用戶更新至已修補此漏洞的版本。</p> <p><strong><a href="https://www.ithome.com.tw/news/176736">Databricks宣布併購AI SOC平臺廠商Panther，持續擴大資安應用版圖</a></strong></p> <p>Databricks宣布併購AI驅動安全營運中心（AI SOC）平臺業者Panther，持續擴大其資安版圖。這也是Databricks近期收購的第3家資安相關公司，顯示其正積極強化安全產品與服務能力。未來Panther將與Databricks的Lakewatch及Security Lakehouse策略整合，結合AI代理、自動化SOC流程與大規模安全資料分析能力，協助企業以AI對抗AI驅動的資安威脅。</p> <p><strong><a href="https://www.ithome.com.tw/news/176715">勒索軟體DragonForce濫用Microsoft Teams轉送伺服器隱匿C&C流量</a></strong></p> <p>Broadcom旗下Symantec與Carbon Black團隊近日揭露，勒索軟體組織DragonForce攻擊一家大型美國服務業公司時，使用以Go語言開發的自製遠端存取木馬Backdoor.Turn，將命令與控制（C&C）流量隱藏在Microsoft Teams使用的TURN轉送基礎設施之中。對企業防禦人員而言，相關流量看似連往合法Microsoft Teams伺服器，因此更難察覺背後的惡意通訊。</p> <h1><strong style="color: rgb(255, 140, 0);">政策法規</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>PQC遷移持續成為關鍵策略，國內有金管會公布金融業指引，美國也簽署行政命令要求政府機關於30天內指派遷移負責人。此外，沙烏地PDPL施行與企業主動揭露事故，也反映個資法與事故揭露持續成為國際間都在積極落實的法遵趨勢。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/176824">金融業動起來！金管會公布後量子密碼遷移指引，要求建立CBOM與加密敏捷性</a></strong></p> <p><img alt="" src="/sites/default/files/images/2026-06-25_115808.jpg" style="width: 400px; float: right;" /></p> <p>因應量子破密，金管會發布「金融業後量子密碼遷移參考指引」，促進國內金融業加速PQC遷移。金管會強調，此議題應提升至董事會層級的企業營運治理架構；指引除了將加密敏捷性（Crypto-Agility）列為遷移核心能力，更規畫出至2035年的階段性目標：短期（2026～2027年）著重建立治理架構、盤點方法、CBOM及加密敏捷性基礎；中期（2027～2029年）進行試辦驗證、基礎升級並建立共同測試機制；中長期（至2035年）則要高風險與高關鍵系統優先完成遷移，逐步擴大至全金融場景。</p> <p><strong><a href="https://www.ithome.com.tw/news/176792">川普簽署行政命令，加速量子電腦發展與後量子資安部署</a></strong></p> <p>為了在擴大國家量子優勢的同時抵禦未來資安風險，美國總統川普於6月22日簽署兩項行政命令，同步推進量子技術發展與聯邦政府的後量子密碼（PQC）部署。在PQC的具體推動上，最重要是，各機關除須在30天內指定遷移負責人外，同時也賦予明確的時間表：必須在2030年底前完成高價值資產與高衝擊系統的金鑰交換機制部署，並於2031年底前全面升級數位簽章系統。對此，NIST也將展開示範計畫，預計2027年底前即可完成首批PQC遷移驗證。</p> <p><strong><a href="https://www.ithome.com.tw/news/176802">沙國零售商BinDawood揭露資料外洩，該國政府年初已針對48起違反個資法PDPL案件開罰</a></strong></p> <p>沙烏地阿拉伯前三大連鎖零售集團之一的BinDawood Holding，5月底於該國證交所揭露旗下電商App因系統漏洞導致客戶資料外洩，成為沙國個人資料保護法（PDPL）實施後，主動揭露資安事故的大型企業之一。值得關注的是，該國SDAIA於2026年1月曾公告，已針對48起違反PDPL個資法的案件開罰，突顯國際間對於企業合規的要求正持續加大，尤其是在個資與上市公司資安事故揭露方面。</p> <p><strong><a href="https://www.ithome.com.tw/news/176831">巴西民防警報系統疑遭入侵，里約熱內盧等地民眾收到假警報</a></strong></p> <p>在6月19日晚間至20日凌晨有人濫用巴西民防警報系統Defesa Civil Alerta的細胞廣播機制，透過公共警報發送介面（IDAP）向多個地區民眾的手機發送假冒的緊急警報。巴西整合與區域發展部表示Defesa Civil Alerta平臺已暫停運作，巴西國家保護與民防祕書處（SEDEC）也已封鎖IDAP所有外部存取，停用涉及事件的使用者帳號，並保存系統日誌與登入紀錄，以利後續數位鑑識分析。</p> <p><strong><a href="https://www.ithome.com.tw/news/176714">思科、Cloudflare等逾24個組織參與Athena聯盟，合作修補開源漏洞</a></strong></p> <p>因應開源安全問題，產業正透過聯防機制以強化韌性，軟體供應鏈安全業者Chainguard宣布成立產業聯盟Athena，協助成員在開源軟體漏洞公開前，先取得可用的緩解措施與修補程式或版本，降低攻擊風險。Athena目前已有超過24個組織加入，包括紐約梅隆銀行（BNY）、思科、Cloudflare、Docker、摩根大通、Kyndryl與PwC等。該聯盟已處理逾2萬筆漏洞發現資料，並針對500個開放原始碼專案產生逾2,000項修補程式或版本。</p> <p><strong><a href="https://www.ithome.com.tw/news/176800">加拿大情報機構首度獲准遠端清除殭屍網路</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/176713">歐盟對烏克蘭提供緊急網路安全支援</a></strong></p> <h1><strong style="color: rgb(255, 140, 0);">應用程式安全</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>在應用程式安全領域，WordPress外掛程式的漏洞與供應鏈風險成主要焦點，不論是Gravity SMTP漏洞正遭駭客大規模利用，抑或是ShapedPlugin遭遇供應鏈攻擊造成的影響，持續突顯外掛程式已成攻擊者滲透網站的關鍵管道。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/176775">駭客積極利用WordPress外掛Gravity SMTP漏洞，影響10萬安裝用戶，Wordfence已攔截逾1,700萬次攻擊嘗試</a><span style="color: rgb(255, 0, 0);">【CVE-2026-4020】</span></strong></p> <p>資安業者Wordfence警告，駭客已開始大規模利用WordPress郵件外掛Gravity SMTP的漏洞CVE-2026-4020，試圖竊取郵件服務認證資料、API金鑰與OAuth權杖等敏感資訊。Wordfence表示，自6月初以來已攔截超過1,700萬次攻擊嘗試，單日最高達400萬次。2.1.4版以前的Gravity SMTP都會受此漏洞影響，用戶應儘速升級至已修補的2.1.5版，以降低遭攻擊風險。</p> <p><strong><a href="https://www.ithome.com.tw/news/176859">ShapedPlugin多款WordPress外掛程式遭供應鏈攻擊，40萬下載用戶須提高警覺</a><span style="color: rgb(255, 0, 0);">【</span><span style="color: rgb(255, 0, 0);">CVE-2026-10735】</span></strong></p> <p><a href="/sites/default/files/images/2026-06-25_115951.jpg"><img alt="" src="/sites/default/files/images/2026-06-25_115951.jpg" style="width: 400px; float: right;" /></a></p> <p>資安業者Wordfence揭露，WordPress外掛程式開發商ShapedPlugin遭遇供應鏈攻擊，攻擊者入侵其基礎設施後，將惡意程式植入多款付費版外掛程式，並透過原廠下載與更新管道散布。受感染外掛程式可下載後門程式、竊取網站憑證與雙重認證金鑰，並建立長期存取通道。ShapedPlugin已陸續發布修補版本，建議用戶儘速更新。目前這起供應鏈攻擊事件已被指派CVE-2026-10735的漏洞編號。</p> <p><strong><a href="https://www.ithome.com.tw/news/176803">沙烏地阿拉伯租車龍頭Budget Saudi資料外洩，當地資安業者針對行動應用程式安全示警</a></strong></p> <p>沙國租車龍頭Budget Saudi在沙烏地證券交易所揭露資安事故，說明行動應用程式遭未經授權存取，值得注意的是，中東資安業者點出這起事故帶來的啟示是：行動App安全的防護並未跟上內網防護，並進一步解析這類事故的原因，特別是後端API在設計時並未考慮到編號列舉（Enumeration），以及企業建置SIEM卻缺乏API相關日誌監控等問題。</p> <p><strong><a href="https://www.ithome.com.tw/news/176795">Oracle發布2026年6月關鍵安全修補更新，共修補243項漏洞，含多項CVSS滿分重大漏洞</a></strong></p> <p>Oracle發布2026年6月Critical Security Patch Update（CSPU），共推出245項更新程式，修補243項漏洞，其中122項為重大漏洞，影響Fusion Middleware、E-Business Suite、JD Edwards等11個產品家族。Tenable指出，約40%的漏洞可在無須身分驗證的情況下透過網路遠端利用。此外，Oracle也提醒用戶儘速修補已遭實際利用的PeopleSoft PeopleTools漏洞CVE-2026-35273，以降低風險。</p> <p><strong><a href="https://www.ithome.com.tw/news/176794">FFmpeg修補遠端程式碼執行漏洞PixelSmash</a></strong></p> <p>資安業者JFrog揭露FFmpeg存在稱為PixelSmash的漏洞CVE-2026-8461，風險值為8.8，能引發阻斷服務、有時甚至可讓攻擊者遠端執行程式碼，最新版FFmpeg 8.1.2已包含修補程式。PixelSmash之所以嚴重，是出於軟體供應鏈效應。FFmpeg是最受歡迎的媒體處理框架之一，數百個影音播放專案依賴其元件來解碼影音資料。</p> <p><strong><a href="https://www.ithome.com.tw/news/176834">SSH函式庫libssh2揭露重大漏洞，可能導致攻擊者透過特製SSH封包執行任意程式碼</a></strong></p> <p>開源SSH函式庫libssh2揭露重大漏洞CVE-2026-55200，CVSS v4嚴重性評分達9.2分，由於處理SSH封包長度時存在邊界檢查缺陷，攻擊者可藉由特製封包觸發記憶體損毀，進而遠端執行任意程式碼。漏洞影響 libssh2 1.11.1 及更早版本，相關檔案傳輸、備份與 SSH 應用程式可能受到波及。</p> <p><strong><a href="https://www.ithome.com.tw/news/176743">Node.js揭露與修補12個漏洞，其中涵蓋兩個高風險漏洞</a></strong></p> <p><strong><a href="http://https://www.ithome.com.tw/news/176867">Linux網頁式管理工具Webmin修補儲存型XSS漏洞CVE-2026-22678</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/176876">Google發布Chrome 149穩定版更新，修補18項漏洞，4項屬於重大等級</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/176716">Mozilla發布Firefox 152版更新，修補40項資安漏洞</a></strong></p> <h1><strong style="color: rgb(255, 140, 0);">身分安全</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>非人類身分（NHI）與AI代理治理持續成為資安市場焦點，繼先前多起併購案後，近期再傳出三起收購消息，顯見市場熱度持續升溫。特別的是，從思科與1Password的併購案來看，在非人類身分（NHI）管理趨勢下，現在似乎更延伸到登入之後的身分安全治理。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/176766">思科買下身分安全新創WideField Security</a></strong></p> <p>思科在併購主打NHI安全的新創Astrix Security之後，又宣布將併購身分安全新創WideField Security，該公司主打身分生命週期安全，並特別著重登入後工作階段（Session）、Token、權限使用與異常行為偵測。思科表示，這項收購將強化旗下Splunk資安營運中心對人類、機器與AI代理身分的工作階段與權限風險分析能力。</p> <p><strong><a href="https://www.ithome.com.tw/news/176826">1Password併購身分安全新創Apono，強化AI代理與非人類身分即時存取治理</a></strong></p> <p>1Password宣布併購以色列資安新創公司Apono，看重其即時存取治理技術，以解決AI時代身分管理碎片化的難題，預計將其技術整合進今年3月推出的統一存取平臺（Unified Access Platform），以加速實現將各類身分管理整合至單一平臺的願景。</p> <p><strong><a href="https://www.ithome.com.tw/news/176735">Sailpoint有意併購Entro，整合企業AI三大身分安全管理技術</a></strong></p> <p>以身分安全與治理著稱的資安廠商SailPoint，宣布併購以色列資安新創公司Entro Security，目的是鞏固SailPoint在人類、機器和AI代理等類型身分的治理，預計2027會計年度第三季完成。SailPoint預告Agentic Fabric將整合Entro三大技術：身分與憑證探查能力、脈絡與人員所有權的歸屬、即時偵測與主動防護。</p> <p><a href="https://www.ithome.com.tw/news/176865"><strong>攻擊者濫用AWS無伺服器運算服務，隱匿HazyBeacon後門程式C2流量</strong></a></p> <p>Windows後門程式HazyBeacon（CL-STA-1020）鎖定東南亞政府網路，攻擊者濫用AWS的無伺服器運算服務AWS Lambda，將Lambda Function URL端點作為命令與控制（C2）中繼站，藉此讓惡意流量混入一般雲端服務通訊。雲端安全業者Qualys分析指出，這類攻擊並非利用AWS服務漏洞，而是建立在竊得的AWS身分識別與存取管理（IAM）憑證，以及過度寬鬆的雲端權限設定之上。</p> <p><strong><a href="https://www.ithome.com.tw/news/176852">刑事局揭露濫用LINE螢幕共享、竊取TWQR付款碼的社交工程陷阱</a></strong></p> <p><a href="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/zhu_tu_xing_shi_ju_po_huo_twqrma_xin_xing_zha_pian_shou_fa_.jpg?itok=FCflZgyF"><img alt="" src="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/zhu_tu_xing_shi_ju_po_huo_twqrma_xin_xing_zha_pian_shou_fa_.jpg?itok=FCflZgyF" style="width: 400px; float: right;" /></a></p> <p>有網路犯罪集團針對不清楚「螢幕共享」風險、不知道會因此導致TWQR付款碼遭截取的民眾，開發出複合式社交工程詐騙手法。刑事警察局指出，今年3月起利用電子支付詐欺洗錢的案件量暴增，4月即向大眾示警，如今公布掃蕩有成並揭露其假網拍手段。嫌犯會要求受害者開啟LINE「派對功能」（螢幕共享）進行線上指導，誘騙被害人打開電子支付App產生TWQR付款碼，進而暗中擷取畫面，傳給待命的「掃碼車手」前往超商列印遊戲點數單並付款。</p> <p><strong><a href="https://www.ithome.com.tw/news/176758">思科修補ISE身分識別與存取控制平臺重大漏洞CVE-2026-20181，未更新可能導致攻擊者取得系統Root權限</a></strong></p> <h1><strong style="color: rgb(255, 140, 0);">IoT/OT安全</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>近期不僅MITRE透露兩項強化太空系統網路安全防禦體系的計畫，上月歐盟ENISA報告也提及太空領域處於高度關鍵、網路安全成熟度中等偏低的現況。這些消息均突顯太空系統網路安全的重要性與迫切性。成熟度落差亦預示著巨大的太空網路安全商機。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/176776">推動太空系統網路安全，MITRE透露鋼鐵城與Project 60計畫</a></strong></p> <p>近日美國非營利研究機構MITRE在一篇人物專文中，介紹首席應用資安工程師Robert Sumner投入太空系統資安的工作，當中透露由他領導的兩項計畫，一是聚焦端到端威脅列舉的鋼鐵城計畫（Project STEEL TOWN），一是涉及情資驅動架構設計的Project 60，目的是強化太空系統的網路安全防禦體系。</p> <p><strong><a href="https://www.ithome.com.tw/news/176759">殭屍網路AryStinger感染約4千臺D-Link路由器</a></strong></p> <p><a href="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/massprod_scanip-156.jpg?itok=YL2gV_5t"><img alt="" src="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/massprod_scanip-156.jpg?itok=YL2gV_5t" style="width: 400px; float: right;" /></a></p> <p>中國資安公司奇安信揭露殭屍網路AryStinger，遭綁架的裝置多為搭配RTL819X系列晶片的網路設備，由於許多2012年至2015年推出的設備採用RTL819X晶片，因此引起了奇安信的注意。奇安信一共偵測到4,371臺受害路由器設備，其中有75%是D-Link DIR-850L、13%為DIR-818LW，但也有同廠牌的DIR-816L、DIR-818L、DWR-118、DIR-817LW被感染的情況。從地理分布來看，感染集中於韓國（48.45%），其次為中國（31.82%）、瑞典（6.40%）、馬來西亞（3.50%），以及新加坡（2.50%）。</p> <p><strong><a href="https://www.ithome.com.tw/news/176749">蘋果修補可讓駭客竊聽Beats藍牙耳機的資安漏洞</a></strong></p> <p>蘋果修補可讓駭客竊聽Beats無線耳機音訊的漏洞CVE-2025-20701，位於藍牙傳輸範圍的攻擊者，得以對尚未配對、正處於尋求配對狀態的Beats耳機發動攻擊並透過麥克風竊聽。事實上，CVE-2025-20701是達發科技（Airoha）藍牙音訊系統單晶片（SoC）的3個安全漏洞之一，攻擊者可未經用戶同意配對藍牙音訊裝置，導致遠端提升權限。</p> <p><strong><a href="https://www.ithome.com.tw/news/176829">LG與三星智慧電視逾三成App讓用戶電視慘變代理伺服器節點</a></strong></p> <p>資安業者Spur分析6,038個三星和LG智慧電視的App套件，發現有2,058款內含將用戶住家IP位址提供作為代理伺服器（proxy）的SDK。在用戶住家IP位址被出售或出借後，一旦代理伺服器供應商同意提供其他組織，或其過濾機制破防，電視可能成為外部流量存取家中其他連網裝置，包括路由器管理介面、NAS系統、印表機、攝影機、或其他App。</p> <p> </p> </div></div></div>
6/26 12:09作者羅正漢https://www.ithome.com.tw/news/176892
F5併購SurePath AI，延續與擴張公司長期發展的網路層資安防護策略，強化AI治理能見度與安全性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p style="margin-left:.05pt;">從傳統應用遞送（ADC）轉型、如今專注發展多雲應用安全與多雲網路（MCN）的 F5，本週發表AI資安平臺F5 AI Security Platform（AISP），為企業提供持續保護使用AI的能力，涵蓋探查（discovery）、安全性測試（security testing）、治理（governance）、AI執行階段防護（runtime protection），以及可觀測性（observability），<a href="https://www.f5.com/company/news/press-releases/f5-ai-security-platform-control-enterprise-risk"><strong>也宣布併購</strong></a>2023年成立的資安新創公司SurePath AI的消息，並強調這家廠商的技術是組成F5 AISP的重要元件，能以此防護企業AI的部署。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/F5 AISP arch.png"><img alt="" src="/sites/default/files/images/F5%20AISP%20arch.png" style="width: 400px;" /></a></p> <p style="margin-left:.05pt;">SurePath的特色是針對員工生成式AI的使用，提供網路層級（network-level）的治理平臺，可<a href="https://aws.amazon.com/blogs/apn/securing-generative-ai-how-enterprises-can-govern-workforce-use-of-generative-ai-with-surepath-ai/"><strong>基於網路（network-based）</strong></a>執行AI探查、意圖分類與影子AI偵測，當中將會針對ChatGPT、Microsoft Copilot這類公眾AI服務的互動，進行攔截與監控，藉此防護企業對於公眾與內部AI的使用，而且能橫跨所有生成式AI工具套用管理政策，確保AI能以負責任的方式使用，而不會影響生產力。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/2025-11-SurePathAI-GenAIGovernance-4-1.png"><img alt="" src="/sites/default/files/images/2025-11-SurePathAI-GenAIGovernance-4-1.png" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/SurePath-Policy.jpg"><img alt="" src="/sites/default/files/images/SurePath-Policy.jpg" style="width: 298px;" /></a> <a href="/sites/default/files/images/SurePath-Policy2.jpg"><img alt="" src="/sites/default/files/images/SurePath-Policy2.jpg" style="width: 298px;" /></a></p> <p style="margin-left:.05pt;">F5強調，由於SurePath的加入，F5 AISP能夠在不需直接整合應用程式的狀態下，透過網路即可探查現行企業環境採用的AI服務，識別包含影子AI在內的企業AI使用情況。</p> <p style="margin-left:.05pt;">該如何達到這樣的成效？F5表示，透過網路重新導向與頻外分析（out-of-band analysis）實現廣泛涵蓋整個企業環境的部署方式，SurePath能為資安團隊提供統一的狀態透視層（visibility layer），當中可偵測未經授權的AI活動，針對每個工作流程背後的意圖進行分類，並持續追蹤AI代理的工具呼叫及MCP伺服器的連線，而且，這個AI狀態透視層會直接整合到F5 AI Security Platform，並通知F5 AI Red Team進行風險的測試，後續交由F5 AI Guardrails進行風險緩解。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/SurePath-User Act.jpg"><img alt="" src="/sites/default/files/images/SurePath-User%20Act.jpg" style="width: 298px;" /></a> <a href="/sites/default/files/images/SurePath-MCP1.jpg"><img alt="" src="/sites/default/files/images/SurePath-MCP1.jpg" style="width: 298px;" /></a></p> <p style="margin-left:.05pt;">F5產品長Kunal Anand表示，併購SurePath之後，協助F5得以持續偵測並分類整個員工群體的 AI活動，包括已知與未知的AI部署情形，在運作架構上，SurePath會以線上模式（inline）直接部署於企業網路流量中，並整合企業現有的 SASE、DLP、SIEM及身分識別系統，因此無需在端點設備安裝代理程式，即可監控列管裝置上的 AI 使用狀況。</p> <p style="margin-left:.05pt;">關於SurePath也能根據意圖對員工使用AI的行為進行分類，Kunal Anand也提出說明。他表示，了解「誰在使用什麼」固然重要，但光是這麼做仍不夠，資安主管需要同時掌握使用行為背後的意圖，因為即使採用的AI模型與使用者身分完全相同，但意圖不同所導致的結果可能有很大差異，例如，一名業務人員調取敏感紀錄以草擬客戶電子郵件，與一名助理撰寫內部備忘錄，這兩種意圖帶來的風險截然不同。</p> <p style="margin-left:.05pt;">除此之外，SurePath還能稽核業務人員的活動，監督AI工具濫用及權限提升情形，並偵測MCP工具呼叫，藉此引導業務人員前往企業核准的目標，而非直接封鎖其操作。Kunal Anand表示，MCP工具呼叫正是AI代理停止推理並開始向外展開行動的關鍵位置，因此，自然成為代理型AI的出口（egress）控制點，這意味著，若能掌握這個節點，即可真正決定AI代理被允許執行的動作，而非只是控管它們所能表達的內容。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/SurePath-MCP.jpg"><img alt="" src="/sites/default/files/images/SurePath-MCP.jpg" style="width: 600px;" /><img alt="" src="/sites/default/files/images/SurePath-MCP.jpg" style="width: 600px;" /></a><a href="/sites/default/files/images/SurePath-MCP2.jpg"><img alt="" src="/sites/default/files/images/SurePath-MCP2.jpg" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">基於上述論點，Kunal Anand也談到此次併購SurePath與F5本身發展策略的最主要關聯。他強調，過去三十年來，F5在網路環境的使用上，正是佔據著這樣的關鍵位置，隨著代理式AI時代來臨，並非創造新的需求，而是將最重要的控制點轉移到我們早已身處的位置。</p> <p style="margin-left:.05pt;">而對於SurePath協同合作的F5旗下兩種AI資安解決方案：F5 AI Red Team與F5 AI Guardrails，Kunal Anand透露它們均來自<strong><a href="https://www.f5.com/company/blog/what-are-ai-guardrails">F5先前併購的CalypsoAI</a></strong>，並表示SurePath目前可針對這兩種解決方案，提供執行封閉式循環處理相關工作所需的資訊，像是目前正在企業內部使用的AI模型、AI代理的工具呼叫，以及使用模式，進而針對真實而非通用的攻擊面，執行安全性測試與強制套用政策。</p> <p>Kunal Anand警告，若非如此，單靠零散破碎的洞察分析、長達數週的修復週期，以及靜態政策，都無法跟上攻擊者的步調，因為他們在數小時內便能調整策略。</p> </div></div></div>
6/26 12:10作者李宗翰https://www.ithome.com.tw/news/176893
韓國全民創業計畫爆資安事故，5,000名晉級首輪的參賽者個資與創意外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>由韓國政府主導的大規模創業海選計畫「全民創業」（<a href="https://www.modoo.or.kr/">모두의 창업</a>），共吸引6.3萬人參與，但在6月17日傳出嚴重的個資外洩事件，根據韓國創業媒體<strong><a href="https://www.unicornfactory.co.kr/article/2026061713382194585">《Unicorn Factory》報導</a></strong>，第一階段入選參賽者5,000人的個資與其創意構想外洩。</p> <p>這次資料外洩事故之所以曝光，是因為多名合格參賽者反映，他們突然收到來自特定顧問公司的行銷郵件，內容宣稱能協助獲取政府補助金，且郵件中精準掌握了參賽者的暱稱、合格狀態等非公開資訊，進而引發參賽者懷疑個資遭到非法販售或外洩。外界一度懷疑是內部合作廠商所為。</p> <p>後續狀況仍待釐清。根據<strong><a href="https://www.yna.co.kr/view/AKR20260622101151030">韓聯社報導</a></strong>，韓國中小企業暨新創事業部已於6月22日說明，該單位正聯合韓國網路振興院（KISA）與國家警察廳，針對已確認存取敏感資訊的9個IP位址展開深入調查。不過<strong><a href="https://www.donga.com/news/It/article/all/20260625/134180644/1">東亞日報</a></strong>則指出，中小企業暨新創事業部表示這次事件是一家AI解決方案供應商遭駭客攻擊，目前查明駭客是在系統後臺規避權限審查下，並透過非正常的API呼叫，進而竊取已被加密的資料。最終調查結果仍有待進一步釐清。</p> </div></div></div>
6/26 12:13作者羅正漢https://www.ithome.com.tw/news/176891
產品體驗平臺公司Pendo、雲端通訊服務廠商8×8受Klue供應鏈攻擊影響，Salesforce資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>上週爆發的<strong><a href="https://www.ithome.com.tw/news/176820">Klue供應鏈攻擊事故</a></strong>，已有超過<strong><a href="https://www.ithome.com.tw/news/176827">10家公司</a></strong>證實受到影響，導致他們存放在Salesforce平臺的資料出現未經授權存取的現象，其中大部分是資安公司。如今有SaaS服務公司也受害。</p> <p>根據<strong><a href="https://www.securityweek.com/beyondtrust-lastpass-impacted-by-klue-salesforce-incident/">資安新聞網站SecurityWeek報導</a></strong>，本週產品體驗平臺公司Pendo與雲端通訊服務廠商8×8皆傳出受害，Pendo於6月22日<strong><a href="https://www.pendo.io/pendo-blog/security-update-klue-breach-and-impact-on-pendo/">發布部落格文章</a></strong>表示，他們於6月14日接獲通報，未經授權的攻擊者入侵Pendo使用的Klue，並疑似取得存放於Salesforce平臺的資料。根據他們的調查結果顯示，遭竊內容並非敏感資料，Pendo的產品平臺未受影響，尚無客戶產品資料、身分驗證憑證或技術資料遭未經授權存取或外洩的跡象。該公司已採取行因應，包括停用與撤銷Klue對Pendo所有系統的存取權限，以及與Salesforce合作取得更多事件記錄以進一步調查，並稽查所有與Salesforce整合的第三方應用程式等。</p> <p>另一家公司8×8則是向美國證交所<strong><a href="https://www.sec.gov/Archives/edgar/data/1023731/000102373126000084/eght-20260617.htm">提交8-K表單</a></strong>通報此事，他們於6月13日得知未經授權的攻擊者與Salesforce整合的第三方應用程式Klue，從而得到存取權限，並從8×8的Salesforce系統竊得部分資料，相關的活動發生在6月11日至12日。駭客竊取公司現有、過去，以及潛在客戶的敏感資訊，包括合約與機會資訊、銷售團體的筆記，以及客戶聯絡資訊等。</p> </div></div></div>
6/26 12:18作者周峻佑https://www.ithome.com.tw/news/176896
Grafana Labs證實受TanStack NPM供應鏈攻擊波及，GitHub儲存庫遭未授權存取
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>可觀測性平臺業者Grafana Labs於5月16日確認，該公司GitHub儲存庫遭未授權存取，攻擊者下載程式碼並提出勒索要求。後續調查指出，事件源自TanStack NPM供應鏈攻擊中的Mini Shai-Hulud活動。Grafana Labs於5月27日完成內部調查，<a href="https://grafana.com/blog/post-incident-review-for-tanstack-npm-supply-chain-ransom-incident/?pg=blog&plcmt=featured" target="_blank">6月23日進一步發布事後檢討報告</a>，說明事件限於GitHub環境，客戶正式環境與Grafana Cloud平臺並未受影響。</p> <p>Grafana Labs指出，攻擊者在該公司的自架GitHub runner執行惡意程式碼，造成部分憑證外洩。該公司雖然立即輪替相關憑證，但後續發現仍漏掉一組權杖，使攻擊者得以在5月14日開始複製GitHub儲存庫。遭下載內容包括公開與私有原始碼，以及部分團隊存放內部營運資訊的GitHub儲存庫，可能包含商務往來聯絡人的姓名與電子郵件地址，以及過去行銷活動使用的電子郵件地址。Grafana Labs強調，這些資料並非來自客戶正式系統，也不是透過Grafana Cloud平臺處理或擷取的資料。</p> <p>事件發生後，Grafana Labs決定停用所有GitHub應用程式、啟動全域程式碼凍結，並同時針對Vault、GitHub、Okta、Kubernetes、AWS、GCP與主機日誌進行稽核。該公司也完成1,500件聚焦資安的拉取請求審查，以及稽核280個GitHub應用程式，並掃描1,200個儲存庫，確認程式碼雖遭下載但未被竄改。</p> <p>針對這起資安事故，Grafana Labs也委託資安事件應變業者Mandiant進行獨立稽核，Mandiant於6月18日完成調查，確認Grafana Labs的GitHub公開組織帳號（public organizations）與交付給終端使用者的正式版儲存庫，皆未發現程式碼遭竄改或儲存庫投毒跡象。</p> <p>Grafana Labs表示，後續已針對GitHub與CI/CD環境導入權杖代理（token broker）、短效權杖、細緻化存取控制、額外警示與靜態分析，並將GitHub組織分區管理，以降低類似事件再次發生的風險。</p> </div></div></div>
6/26 10:28作者王珮瑤https://www.ithome.com.tw/news/176888
PTC產品生命週期管理系統重大漏洞已出現攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>6月25日美國網路安全與基礎設施安全局（CISA）表示，<strong><a href="https://www.cisa.gov/news-events/alerts/2026/06/25/cisa-adds-two-known-exploited-vulnerabilities-catalog">他們已掌握CVE-2026-12569、CVE-2026-20230兩個漏洞遭到利用的情形</a></strong>，並要求聯邦機構於28日前完成修補。其中存在於PTC產品生命週期管理（Product Lifecycle Management，PLM）系統Windchill、FlexPLM的重大漏洞CVE-2026-12569，相當值得留意，因為PTC已在一週前警告疑似出現可疑活動。</p> <p>CVE-2026-12569為遠端程式碼執行（RCE）漏洞，<a href="https://nvd.nist.gov/vuln/detail/CVE-2026-12569" style="font-weight: bold;">CVSS v4.0風險評為9.3分</a>。針對該漏洞的嚴重性，<strong><a href="https://www.ptc.com/en/about/trust-center/advisory-center/active-advisories/windchill-flexplm-rce-vulnerability">PTC特別設置專屬公告網頁提出警告</a></strong>，並公布發布修補程式的進度。該公司於美東時間6月18日下午2時首度提出警告，要客戶根據他們提供的入侵指標（IoC）檢查環境，因為攻擊者可能會在Windchill登入資料夾裡，部署了可持續活動的JSP Webshell，其用途是讓攻擊者遠端執行任意程式碼，或是進行資料外洩。後續PTC於6月25日下午1時再度更新公告內容，表示他們持續收到攻擊活動加劇的通報，要用戶立即套用所有的修補程式與緩解措施因應。</p> </div></div></div>
6/26 10:41作者周峻佑https://www.ithome.com.tw/news/176889
Gartner預期2028年企業AI程式開發成本將超越開發者平均薪資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.gartner.com/en/newsroom/press-releases/2026-06-24-gartner-predicts-ai-coding-costs-will-surpass-average-developer-salary-by-2028-as-token-consumption-surges" target="_blank">市場研究與顧問公司Gartner於6月24日發布預測報告指出</a>，隨著企業擴大採用大型語言模型（LLM）驅動的AI程式開發代理（AI coding agents），相關工具的token消耗量也會持續增加。若供應商的收費模式持續從席次授權制轉為依用量計算，到了2028年，企業的AI程式開發成本將超過開發者平均薪資。</p> <p><a href="https://www.computerweekly.com/news/366645054/Gartner-AI-coding-agents-will-cost-more-than-real-developers">根據Computer Weekly引述Gartner Peer Insights研究的資料</a>，23%的科技主管表示，組織內部使用Claude Code、Cursor與OpenAI Codex等AI程式開發代理的token費用，每名開發者每月約為200至500美元。</p> <p>Gartner建議，企業應依使用情境界定AI程式開發代理的適用範圍，區分為：由開發者主導、由開發者搭配代理，以及完全由代理主導的任務，並依任務複雜度選擇模型，將高階模型保留給複雜且高價值的開發工作。同時，企業也應落實脈絡工程（context engineering），並建立token使用門檻與自動監控機制。</p> </div></div></div>
6/26 10:42作者王珮瑤https://www.ithome.com.tw/news/176890
思科整合通訊管理平臺Unified CM重大SSRF漏洞出現攻擊活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>本月初思科修補重大等級的<strong><a href="https://www.ithome.com.tw/news/176411">伺服器請求偽造（SSRF）漏洞CVE-2026-20230</a></strong>，此漏洞存在於整合通訊管理平臺Unified Communications Manager（Unified CM）與Unified Communications Manager Session Management Edition（Unified CM SME），攻擊者可透過特製的HTTP請求利用，將檔案寫入底層作業系統，之後將權限提升為root。兩週後首度傳出有人用於實際攻擊。</p> <p>6月22日威脅情報公司Defused Cyber<strong><a href="https://x.com/DefusedCyber/status/2069074520057557244">於社群網站X提出警告</a></strong>，他們觀察到有人利用這項資安漏洞，攻擊者利用未經驗證的概念驗證程式碼（PoC）試圖觸發弱點，該公司在誘捕系統當中，看到經過完整格式化（genuinely-formatted）的file://檔案寫入酬載。值得留意的是，由於當時美國網路安全與基礎設施安全局（CISA）尚未將其列入已遭利用的漏洞名單（KEV），先前也尚未出現此漏洞遭到利用的情形，Defused Cyber呼籲用戶要儘速採取行動因應。</p> <p> </p> </div></div></div>
6/26 09:42作者周峻佑https://www.ithome.com.tw/news/176885
CISA將思科整合通訊管理平臺Unified CM重大漏洞列KEV
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>6月22日威脅情報公司Defused Cyber警告，<strong><a href="https://www.ithome.com.tw/news/176885">他們偵測到有人首度利用伺服器請求偽造（SSRF）漏洞CVE-2026-20230的跡象</a></strong>，此弱點存在於思科整合通訊管理平臺Unified Communications Manager（Unified CM）與Unified Communications Manager Session Management Edition（Unified CM SME），CVSS風險評為8.6分，不過由於該漏洞能讓攻擊者得到root權限，思科認定其嚴重程度為重大等級。如今美國政府也證實，該漏洞已被用於實際攻擊活動。</p> <p>美國網路安全暨基礎設施安全局（CISA）<strong><a href="https://www.cisa.gov/news-events/alerts/2026/06/25/cisa-adds-two-known-exploited-vulnerabilities-catalog">於6月25日發布資安公告</a></strong>，指出他們已掌握兩個資安漏洞遭到積極利用的證據，將其加入已遭利用的漏洞名單（KEV），其中一個就是CVE-2026-20230。CISA要求聯邦機構，<strong><a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-20230">必須在6月28日之前完成修補</a></strong>。</p> </div></div></div>
6/26 09:56作者周峻佑https://www.ithome.com.tw/news/176886
前端建置工具Vite 8.1導入打包式開發模式，改善大型前端專案啟動效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><strong><a href="https://vite.dev/blog/announcing-vite8-1#vite-8-1-is-out">前端建置工具Vite發布8.1版</a></strong>，更新導入實驗性打包式開發模式（Bundled Dev Mode），以改善大型前端專案在開發階段的啟動與完整重新載入效能。Vite 8在今年3月導入以Rolldown為基礎的單一統一打包器後，8.1版進一步把重點放在大型應用常見的開發效能瓶頸，讓模組數量龐大的專案在開發伺服器中，也能透過打包方式減少瀏覽器端載入壓力。</p> <p>Vite過去的開發模式，是讓瀏覽器直接載入各個程式模組，省去傳統打包流程的等待時間。不過，當應用規模擴大，頁面背後可能牽涉大量模組，瀏覽器就需要發出大量請求並逐一處理檔案，在大型企業應用或複雜前端產品中，可能拉長首次啟動與重新整理頁面的時間。</p> <p>Vite團隊表示，Vite 8.1新增的打包式開發模式，在一個載入10,000個React元件的測試應用中，相較未打包的開發伺服器，啟動約快15倍，完整頁面重新載入約快10倍，且仍可維持熱模組替換（HMR）的即時性。</p> <p>打包式開發模式目前仍是實驗性質，並非所有專案都適合立即採用，官方提到，現階段支援重點放在瀏覽器端、基本外掛與主要功能，若專案使用第三方外掛，或依賴較少見的功能，可能還無法完整相容。</p> <p>除了開發效能，Vite 8.1也加入實驗性區塊匯入對照表，用來減少建置輸出中，因相依區塊雜湊變動而連帶使其他區塊重新產生雜湊的情況，改善建置輸出檔案的快取效率。新版也支援Wasm與ESM整合，讓開發者可更直接使用Wasm檔案提供的函式。</p> <p>CSS處理也是這次更新的重點之一，Vite團隊補強Lightning CSS相關能力，包括允許在CSS檔案中匯入外部CSS檔案，以及讓外掛登錄檔案相依關係，官方表示，正在考慮於下一個主要版本將預設CSS處理器改為Lightning CSS。</p> </div></div></div>
6/25 19:43作者李建興https://www.ithome.com.tw/news/176881
IBM發表0.7奈米晶片，靠3D堆疊架構讓電晶體密度翻倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p class="isSelectedEnd">半導體產業逐漸逼近製程微縮的物理極限，但IBM今日揭露一項新技術方向，<a href="https://newsroom.ibm.com/2026-06-25-ibm-debuts-worlds-first-sub-1-nanometer-chip-technology">宣布開發出全球首款0.7奈米晶片技術</a>，還提出名為Nanostack的3D奈米堆疊電晶體架構，要透過立體堆疊與異質材料整合，繼續提高晶片效能與能效。IBM預估，這項技術最快可在5年內導入1奈米以下節點製程。</p> <h2><strong>IBM展示0.7奈米技術，電晶體密度接近2奈米兩倍</strong></h2> <p class="isSelectedEnd">IBM表示，這款研究中的0.7奈米晶片，可在約指甲大小的面積內整合近1,000億顆電晶體，密度接近IBM於2021年發表的2奈米研究晶片兩倍。</p> <p class="isSelectedEnd"><img alt="" src="https://newsroom.ibm.com/image/IBM-Research_Newsroom_Thumbnail_2%20(1).jpg" /></p> <p class="isSelectedEnd">根據IBM公布的研究數據，在模擬條件下，這項技術可望在相同功耗下提供約50%的性能提升；若維持相同性能，則可比2奈米技術降低約70%的能耗。</p> <p class="isSelectedEnd">不過，IBM強調，這次發表的重點，並不只是將製程節點推進至0.7奈米，而是一套全新的電晶體架構。</p> <p class="isSelectedEnd">因為，近年來，先進製程已從FinFET進步到GAA奈米片（Nanosheet）電晶體架構，台積電、三星及英特爾都將其視為2奈米世代的重要技術基礎。然而，隨著電晶體尺寸越來越接近原子尺度，持續微縮所帶來的效益正在下降，業界也開始尋找新的架構設計方式。</p> <h2><strong>Nanostack架構：把電晶體從平面排列變成立體堆疊</strong></h2> <p class="isSelectedEnd">IBM這次提出的Nanostack架構，正是奈米片技術的進一步延伸。</p> <p class="isSelectedEnd">如果把傳統晶片比喻為平面城市，大多數電晶體都排列在同一層；Nanostack則像是把城市改建成摩天大樓，透過多層電晶體垂直堆疊，在相同面積內容納更多元件。IBM研究團隊用3D序列整合技術，將不同層的電晶體以交錯方式堆疊。這種設計除了提高電晶體密度，也能縮短訊號傳輸距離，進而降低功耗與延遲。</p> <p class="isSelectedEnd">另一項特色是，每個堆疊層可採用不同材料組合。IBM表示，未來設計人員可根據不同用途，分別優化各層電晶體的性能與能源效率，不必讓所有元件都共用相同設計條件。</p> <p class="isSelectedEnd">為驗證這項架構的可行性，IBM已完成超薄介電層鍵結、雙通道工程以及CMOS反相器等實驗驗證。研究結果顯示，Nanostack不只是概念設計，而已具備實際運作能力的電晶體架構。</p> <h2><strong>SRAM面積可縮小40%，瞄準AI運算需求</strong></h2> <p class="isSelectedEnd">除了邏輯電路，IBM也在今年VLSI Symposium大會上發表另一項與Nanostack相關的研究成果。</p> <p class="isSelectedEnd">研究團隊利用交錯通道設計，將SRAM記憶體單元面積縮小約40%。由於SRAM是處理器快取記憶體的重要組成，面積縮小意味著可在相同晶片空間內放入更多快取容量。</p> <p class="isSelectedEnd">這項能力對AI工作負載尤其重要。</p> <p class="isSelectedEnd">隨著生成式AI、大型語言模型（LLM）與高效能運算系統快速發展，晶片不只需要更多運算核心，也需要更高頻寬與更大的快取記憶體。IBM認為，Nanostack技術有機會同時提高運算密度與記憶體效率，滿足未來AI資料中心和雲端基礎設施需求。</p> <h2><strong>高NA EUV將成1奈米以下製程關鍵技術</strong></h2> <p class="isSelectedEnd">不過，要將Nanostack推向量產，仍需要下一代微影技術配合。</p> <p class="isSelectedEnd">IBM指出，其中最關鍵的是高數值孔徑極紫外光（High-NA EUV）曝光設備。相較於現行的EUV設備，高數值孔徑極紫外光有更高解析度，可在晶圓上刻畫更細微的電路結構，是1奈米以下製程的重要關鍵技術。</p> <p class="isSelectedEnd">IBM目前正與ASML、Lam Research、Tokyo Electron（TEL）及SCREEN Semiconductor Solutions等多家設備廠商合作，來開發相關製程與設備能力。相關研究則由IBM與位於美國紐約州奧爾巴尼的半導體研發中心共同完成，該中心未來也會導入高NA EUV設備，作為下一世代晶片技術研發的重要基地。</p> <p class="isSelectedEnd">此外，IBM最近也揭露Anderon計畫，也就是IBM旗下的獨立公司，專門打造量子晶片的代工廠。</p> </div></div></div>
6/25 18:35作者王若樸https://www.ithome.com.tw/news/176880
Uber Eats揭Agent購物助手技術架構：從搜尋商品關鍵字，轉為AI規畫購物車清單
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Uber Eats<a href="https://www.uber.com/us/en/blog/uber-cart-assistant/?uclick_id=84e628d2-af90-42fe-a5c1-3f180338a861">日前揭露Agent購物助手Cart Assistant背後的技術設計</a>，說明他們如何用大型語言模型（LLM）和多階段Agent工作流程，讓使用者用自然語言描述需求，系統就能協助規畫購物清單、挑選商品，甚至給出可直接加入購物車的商品組合。</p> <p class="isSelectedEnd">這項設計，反映電商AI應用的重要轉變：AI不再只是幫使用者搜尋商品或回答問題，而是可以協助完成一項具體購物任務。對Uber Eats來說，生鮮雜貨購物特別適合這種Agent模式，因為使用者往往不是只想買單一商品，而是想完成一個情境，例如準備一餐、補齊家用品，或為某個活動採買食材。</p> <h2><strong>從搜尋優先走向購物車清單優先</strong></h2> <p class="isSelectedEnd">進一步來說，傳統電商購物流程，多半是搜尋導向。使用者輸入關鍵字後，系統列出商品結果，再由使用者自行比較品牌、規格、價格與庫存，最後逐一加入購物車。</p> <p class="isSelectedEnd">但Uber Eats認為，雜貨採買的真實需求，常常不是「我要搜尋某個商品」，而是「我要完成某件事」。例如，使用者可能輸入「幫我準備4人份的Taco食材」。在傳統搜尋模式下，使用者可能要分別搜尋玉米餅皮、牛絞肉、起司、生菜、番茄與莎莎醬等商品。但在Cart Assistant的設計中，系統會先理解這是一個餐食準備任務，再推理出需要哪些商品類別，最後才到商品目錄中尋找對應的品項。</p> <p class="isSelectedEnd">換句話說，Uber Eats想把購物流程，從搜尋優先（Search-first）轉向購物車清單優先（Cart-first）。使用者不必從搜尋結果開始慢慢挑，而是先由AI產生一個接近可用的購物車清單，再讓使用者確認、調整。</p> <h2><strong>採多階段Agent工作流程，而不是一次生成答案</strong></h2> <p class="isSelectedEnd">Cart Assistant並不是把使用者需求丟給LLM，然後一次產生最終購物車。Uber Eats採用的是多指令狀態圖學（Multi-Prompt State Graph），也就是多提示、多狀態的工作流程架構。</p> <p class="isSelectedEnd"><img alt="" src="https://cn-geo1.uber.com/image-proc/resize/udam/format=auto/srcb64=aHR0cHM6Ly90Yi1zdGF0aWMudWJlci5jb20vcHJvZC91ZGFtLWFzc2V0cy9lNGU1NmZlNC0wZDExLTQ0OWQtOTRhNS1jMjJiN2I1ZTcwYWIucG5n" /></p> <p class="isSelectedEnd">用白話來說，這套系統會把購物任務拆成多個步驟，每個步驟處理不同問題，而不是期待模型一次把所有事情做好。</p> <p class="isSelectedEnd">整體流程大致包括：先理解使用者需求，再產生購物計畫，接著搜尋候選商品，檢查商品是否符合需求與限制條件，最後再整理成購物車清單。</p> <p class="isSelectedEnd">這樣做的好處是，每個階段都能檢查與修正。若直接讓模型一次產生結果，可能很難追蹤錯誤；但拆成工作流程後，系統可以知道問題出在哪裡，比如需求理解、商品搜尋、數量規畫，還是限制條件驗證。</p> <h2><strong>購物車規畫是關鍵中介層</strong></h2> <p class="isSelectedEnd">這篇文章中最重要的技術概念之一，是購物車規畫（Cart Plan）。它可以理解為，AI在真正挑商品前，先產生的一份購物計畫。它不是最終購物車，而是介於使用者需求與實際商品間的中介層。</p> <p class="isSelectedEnd"><img alt="" src="https://cn-geo1.uber.com/image-proc/resize/udam/format=auto/srcb64=aHR0cHM6Ly90Yi1zdGF0aWMudWJlci5jb20vcHJvZC91ZGFtLWFzc2V0cy9hOTA4YjIxOC03YzQxLTRmZjktYmUyNi0wYWEzMWVkMDA5NDMucG5n" /></p> <p class="isSelectedEnd">例如，使用者說「準備Taco晚餐」，系統不會立刻搜尋商品，而是先建立一份計畫，判斷這個任務可能需要哪些食材類別，以及每一類食材在購物車中扮演什麼角色。</p> <p class="isSelectedEnd">這層設計很重要，因為LLM雖然擅長理解自然語言，但若直接把抽象需求對應到商品目錄，很容易出現漏項、誤選或商品組合不完整的問題。購物車規畫可讓系統先拆解需求，分為比較明確的購物結構，再進入商品搜尋階段。</p> <p class="isSelectedEnd">也就是說，這套系統不是從「使用者輸入」直接跳到「商品結果」，而是多了一層「購物規畫」。</p> <h2><strong>商品選擇不只看語意相關，還要檢查限制條件</strong></h2> <p class="isSelectedEnd">在商品搜尋階段，Cart Assistant會根據Cart Plan尋找相關商品。不過，Uber Eats也強調，商品是否語意相關，並不代表就一定適合加入購物車。</p> <p class="isSelectedEnd">例如，某個商品可能和使用者需求很接近，但它可能不符合飲食限制、過敏原條件、預算，或當下商店庫存不足。這些都是Agent必須處理的現實問題。</p> <p class="isSelectedEnd">因此，系統除了判斷商品與需求的語意相關性，也會進一步檢查多種限制條件，包括使用者偏好、商品可得性、庫存狀態與其他購物條件。</p> <p class="isSelectedEnd">這也是購物Agent和一般聊天機器人的差異。聊天機器人只要回答得合理即可，但購物Agent一旦把商品加入購物車，就會影響實際交易，因此必須更嚴格地確認商品是否真的適合。</p> <h2><strong>數量規畫是雜貨Agent的一大難題</strong></h2> <p class="isSelectedEnd">相較於推薦商品，Uber Eats也提到，決定商品數量是更困難的挑戰。</p> <p class="isSelectedEnd">例如，使用者要求準備4人份餐點時，系統不只要知道要買哪些品項，還要判斷每個品項該買多少。比如牛肉要買多少？醬料需要幾罐？蔬菜是一包就夠，還是需要兩包？這些問題，不像一般商品搜尋那麼單純。</p> <p class="isSelectedEnd">數量規畫若做不好，使用者仍然需要大量手動調整，Cart Assistant就很難真正節省時間。因此，系統必須在商品搜尋後，進一步處理商品規格、份量與購物車組合的合理性。</p> <p class="isSelectedEnd">這也讓Cart Assistant更接近任務規畫型Agent，而不是單純的推薦系統。</p> <h2><strong>防護護欄是Agent能否落地的關鍵</strong></h2> <p class="isSelectedEnd">Uber Eats在文章中也提到多種安全與品質控管機制，也就是常說的防護護欄（Guardrails）。</p> <p class="isSelectedEnd">這些機制的目的，是避免Agent產生看似合理、但實際上不適合的購物結果。例如，商品名稱相似但類別不同、替代商品不合理、購物車缺少關鍵品項，或推薦了目前無法購買的商品。</p> <p class="isSelectedEnd">因此，Cart Assistant會在不同階段檢查商品類別、商品可用性、購物車完整性與限制條件，避免AI直接把錯誤結果送到使用者面前。</p> <p class="isSelectedEnd">這點也反映出Agent產品化的核心挑戰：真正困難的不是讓AI生成一份清單，而是讓這份清單在真實商業環境中可用、可買，而且符合使用者期待。</p> <h2><strong>延遲也是工程挑戰</strong></h2> <p class="isSelectedEnd">多階段Agent工作流程雖然能提高品質，但也會帶來新的問題：系統反應時間可能變長。</p> <p class="isSelectedEnd">因為Cart Assistant需要理解需求、產生購物計畫、搜尋商品、限制條件驗證與購物車生成等多個步驟，如果每一步都花太久，使用體驗就會下降。</p> <p class="isSelectedEnd">因此，Uber Eats也必須在準確率、回應速度與系統成本之間取得平衡。這是許多Agent應用走向產品化時，都會遇到的共同問題：流程越完整，品質越可控，但也可能讓系統變慢、成本變高。</p> <h2><strong>評測重點從回答正確，轉向任務是否完成</strong></h2> <p class="isSelectedEnd">Uber Eats也用評估驅動開發（Evaluation-Driven Development）的方式來開發Cart Assistant。意思是，團隊不只看模型回答是否流暢，而是更重視整個購物任務是否真的完成。</p> <p class="isSelectedEnd">以購物Agent來說，評測標準包括商品是否正確、購物車是否完整、是否符合限制條件、數量是否合理，以及整體結果是否能滿足使用者需求。</p> <p class="isSelectedEnd">這與傳統LLM評測很不一樣。一般聊天機器人評估回答是否正確、是否自然即可，但Agent更重要的是執行結果。使用者最後在意的不是AI說得好不好，而是購物車能不能用。</p> <p>從Uber Eats公開的技術架構來看，Agent應用已經從模型能力本身，轉向工作流程設計、商品資料整合、限制條件驗證和任務執行品質。對電商來說，新一代的AI購物體驗，可能不只是讓使用者更快找到商品，而是讓AI真正參與購物決策，協助使用者更快完成整個採買流程。</p> </div></div></div>
6/25 19:06作者王若樸https://www.ithome.com.tw/news/176883
資安公司BeyondTrust遭到Klue事故波及，Salesforce資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>自威脅情報公司Huntress於6月18日首先表示<strong><a href="https://www.ithome.com.tw/news/176820">他們受到Klue供應鏈攻擊事故影響</a></strong>，導致存放在Salesforce的資料外洩，<strong><a href="https://www.ithome.com.tw/news/176827">陸續有其他資安公司針對Klue事故發出相關公告</a></strong>，並強調受影響範圍僅有Salesforce執行個體，如今再傳有新的受害企業出現。</p> <p>根據<strong><a href="https://www.securityweek.com/beyondtrust-lastpass-impacted-by-klue-salesforce-incident/">資安新聞網站SecurityWeek報導</a></strong>，資安公司BeyondTrust也發布公告，表示他們在6月12日接獲Klue的通報後，著手調查，確認攻擊者從他們的Salesforce系統當中，取得該公司的商業用戶的聯絡人，以及一般銷售相關的客戶資訊。由於遭到未經授權存取的資料涵蓋了企業聯絡資訊，BeyondTrust呼籲用戶應防範可能會衍生的網路釣魚及社交工程活動。</p> <p>BeyondTrust強調，員工帳號未遭到入侵，該公司的基礎設施、網路、產品或產品雲端環境也未被存取；軟體程式碼、客戶實例，以及產品與服務的交付與運作均未受影響。</p> </div></div></div>
6/25 17:26作者周峻佑https://www.ithome.com.tw/news/176878
【資安日報】6月25日，思科SD-WAN權限提升漏洞於3個月前遭到利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><h3><strong>本日新聞焦點</strong></h3> <p>● <a href="https://www.ithome.com.tw/news/176875#Mandiant">Mandiant揭露思科SD-WAN零時差漏洞攻擊事故</a></p> <p>● <a href="https://www.ithome.com.tw/news/176875#KDDI">日本電信公司KDDI遭駭，6家ISP電子郵件帳密曝險</a></p> <p>● <a href="https://www.ithome.com.tw/news/176875#TWQR">刑事局揭露新型態社交工程陷阱</a> <a id="Mandiant" name="Mandiant"></a></p> <p> </p> <p><a href="https://www.ithome.com.tw/news/176870"><span style="font-size: 22px;"><strong>思科SD-WAN零時差漏洞CVE-2026-20245遭到利用，最早可追溯到今年3月</strong></span></a></p> <p>6月初思科公布SD-WAN零時差漏洞CVE-2026-20245，此弱點存在於Catalyst SD-WAN Manager的命令列（CLI），通報此事的Mandiant揭露鎖定一家服務供應商SD-WAN基礎設施的攻擊行動，駭客透過未經授權的對等連線（Peering Connection）建立初始存取管道，並透過SSH連線存取受害企業，並利用相關權限操控預設帳號的密碼，以迴避偵測。接著，上傳惡意CSV檔案利用CVE-2026-20245，從遭到入侵的管理員帳號，將權限提升為root層級。<a href="https://www.ithome.com.tw/news/176870">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/176863"><span style="font-size: 22px;"><strong>CISA警告Ubiquiti網路設備管理平臺3項滿分漏洞已被用於實際攻擊行動</strong></span></a></p> <p>6月23日美國網路安全與基礎設施安全局（CISA）提出警告，他們發現有4個漏洞遭到積極利用的證據，將其加入已遭利用的漏洞列表（KEV），其中最受到關注的部分，在於這次有3個是CVSS風險評分達到10分的危險漏洞，分別是CVE-2026-34908、CVE-2026-34909與CVE-2026-34910，存在UniFi管理平臺軟體UniFi OS Server，資安公司Bishop Fox警告，這些漏洞能串連成完整的攻擊鏈，攻擊者只要發出單一請求，就能取得完整root權限的反向Shell。<a href="https://www.ithome.com.tw/news/176863">詳全文</a> <a id="KDDI" name="KDDI"></a></p> <p><a href="https://www.ithome.com.tw/news/176871"><span style="font-size: 22px;"><strong>日本電信業者KDDI遭駭客入侵，6家ISP逾1,422萬筆電子郵件帳號密碼可能外洩</strong></span></a></p> <p>日本電信業者KDDI於6月23日發布資安公告，表示該公司提供給網際網路服務商（ISP）的電子郵件系統遭到入侵，攻擊者利用該系統的第三方軟體漏洞得逞，波及6家ISP業者，可能有多達1,422萬筆用戶電子郵件帳號與密碼外洩。受此事件影響的ISP業者包括：BIGLOBE、Nifty、JCOM、STNet、Chubu Telecommunications，以及KDDI Web Communications，外洩資料可能包含電子郵件地址與密碼，甚至涵蓋已停用或長期未使用的用戶帳號。<a href="https://www.ithome.com.tw/news/176871">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176869"><span style="font-size: 22px;"><strong>印度大型車輛製造商Bajaj Auto遭勒索軟體攻擊</strong></span></a></p> <p>印度孟買證券交易所（BSE）與印度國家證券交易所（NSE）於6月23日，接獲印度大型車輛製造商Bajaj Auto的通報，表明該公司與技術研發子公司Bajaj Auto Technology Limited（BATL）的系統遭勒索軟體攻擊。事件發生於印度標準時間6月23日上午，技術團隊、資安專家與管理階層已啟動必要的預警措施與應變程序，以降低影響。Bajaj Auto已依規定通報印度電腦緊急應變小組（CERT-In），但並未揭露攻擊者身分、是否有資料遭竊，或遭到勒索。<a href="https://www.ithome.com.tw/news/176869">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176803"><span style="font-size: 22px;"><strong>沙烏地阿拉伯租車龍頭Budget Saudi資料外洩，當地資安業者針對行動應用程式安全示警</strong></span></a></p> <p>沙烏地阿拉伯租車龍頭Budget Saudi於6月9日在沙烏地證券交易所（Tadawul）揭露行動應用程式遭未經授權存取的資安事故。關於事故原因，Budget Saudi說明該事件源於外部未經授權的非法存取行為，發現後已立即啟動防護措施並阻斷連線。雖然該公司未說明具體技術細節，但中東資安業者iConnect ITBS於6月14日針對Budget Saudi事件示警，指出雖然波斯灣地區（Gulf enterprises）企業內網防禦逐年提升，但行動App安全的防護並未跟上。<a href="https://www.ithome.com.tw/news/176803">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/176865"><span style="font-size: 22px;"><strong>攻擊者濫用AWS無伺服器運算服務，隱匿HazyBeacon後門程式C2流量</strong></span></a></p> <p><a href="/sites/default/files/images/Sgil4RArnL-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/Sgil4RArnL-63.jpg" style="width: 300px; float: right;" /></a></p> <p>Windows後門程式HazyBeacon（CL-STA-1020）鎖定東南亞政府網路，攻擊者濫用AWS的無伺服器運算服務AWS Lambda，將Lambda Function URL端點作為C2中繼站，藉此讓惡意流量混入一般雲端服務通訊。雲端安全業者Qualys分析指出，這類攻擊並非利用AWS服務漏洞，而是建立在竊得的AWS身分識別與存取管理（IAM）憑證，以及過度寬鬆的雲端權限設定之上。攻擊者取得AWS帳號後，會透過合法AWS API部署Lambda函式等方式，使其成為不需身分驗證即可公開存取的HTTPS端點。<a href="https://www.ithome.com.tw/news/176865">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176855"><span style="font-size: 22px;"><strong>勒索軟體團體Gentlemen向加盟者提供EDR Killer工具，用於癱瘓受害者端點防護</strong></span></a></p> <p><a href="/sites/default/files/images/GentleKiller-1-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/GentleKiller-1-63.jpg" style="width: 300px; float: right;" /></a></p> <p>勒索軟體即服務（RaaS）團體正從單純地提供加密軟體，轉向建立更完整的攻擊手段，包括用於關閉受害者EDR防護產品的EDR Killer工具。資安公司ESET旗下研究團隊近日便揭露這類案例，他們發現RaaS團體Gentlemen將其開發的EDR Killer工具，提供給加盟的攻擊者，作為勒索軟體部署前的防禦規避工具，降低受害者的防禦能力，以利後續部署勒索軟體，其中最引人注目的攻擊工具是GentleKiller，這套工具至少有8個變種，能夠偽裝成各種合法軟體，提升權限並停用受害者的EDR防護引擎。<a href="https://www.ithome.com.tw/news/176855">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176859"><span style="font-size: 22px;"><strong>ShapedPlugin多款WordPress外掛程式遭供應鏈攻擊，40萬下載用戶須提高警覺</strong></span></a></p> <p>資安業者Wordfence於6月16日揭露，擁有近40萬個系統安裝量的WordPress外掛程式開發商ShapedPlugin，發生供應鏈攻擊事件，攻擊者入侵其基礎設施，將惡意程式碼植入付費版外掛程式，透過原廠網站與更新機制散布給用戶，使安裝外掛程式的網站曝險。目前這起事件已被指派為CVE-2026-10735，CVSS嚴重性評為9.8分，遭植入惡意程式碼的產品包括：Product Slider Pro for WooCommerce、Smart Post Show Pro，以及Real Testimonials Pro。<a href="https://www.ithome.com.tw/news/176859">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176864"><span style="font-size: 22px;"><strong>Lantronix工控設備已知重大漏洞被列入KEV</strong></span></a></p> <p>美國網路安全與基礎設施安全局（CISA）提出警告，CVE-2025-67038遭到積極利用，他們將其加入已遭利用的漏洞名單（KEV），要求聯邦機構在6月26日前完成修補。此漏洞出現在Lantronix序列埠設備集中管理主機EDS5000，為命令注入弱點，CVSS風險評分為9.8，Lantronix於今年2月推出2.2.0.0R1版韌體修補。CISA曾在今年3月對這項漏洞發布警告，並指出該設備在全球各地都有用戶，可能會部署在通訊、IT、關鍵製造業等關鍵基礎設施。<a href="https://www.ithome.com.tw/news/176864">詳全文</a> <a id="TWQR" name="TWQR"></a></p> <p><a href="https://www.ithome.com.tw/news/176852"><span style="font-size: 22px;"><strong>刑事局揭露濫用LINE螢幕共享、竊取TWQR付款碼的社交工程陷阱</strong></span></a></p> <p><a href="/sites/default/files/images/TWQR-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/TWQR-63.jpg" style="width: 300px; float: right;" /></a></p> <p>隨著行動支付日益普及，標榜跨平臺整合的「TWQR」掃碼支付竟成為網路犯罪集團詐財新管道。刑事警察局今年4月首度針對此威脅向大眾示警，並促請相關業者強化風險警示與異常交易監測。刑事局詐欺犯罪防制中心指出，自今年3月起，國內利用電子支付進行的「新型態詐欺洗錢模式」案件量出現異常暴增趨勢，分析後發現網路犯罪集團採用新手法，針對不清楚「螢幕共享」風險、不知道會因此導致TWQR付款碼遭截取的民眾，開發出複合式詐騙手法。<a href="https://www.ithome.com.tw/news/176852">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176825"><span style="font-size: 22px;"><strong>逾6成搭載LLM的iOS應用程式暴露AI服務存取資訊</strong></span></a></p> <p><a href="/sites/default/files/images/iOS-App-x1-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/iOS-App-x1-63.jpg" style="width: 300px; float: right;" /></a></p> <p>維克森林大學（Wake Forest University）公布一項研究，指出許多導入大型語言模型（LLM）功能的iOS應用程式，在執行期間的網路流量中暴露可遭利用的驗證權杖、未要求驗證即可存取的後端代理機制，或其他可用來呼叫LLM服務的憑證資訊。研究團隊於2025年10月從美國App Store蒐集5,619款不重複的iOS應用程式，經抽樣與人工評估後，對其中444款測試，結果發現282款應用程式暴露可遭利用的LLM API憑證或未要求驗證的後端代理，比例達64%。<a href="https://www.ithome.com.tw/news/176825">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176829"><span style="font-size: 22px;"><strong>LG與三星智慧電視逾三成App讓用戶電視慘變代理伺服器節點</strong></span></a></p> <p><a href="/sites/default/files/images/0ceac5d8357cf40913662358828f2394426e67ff-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/0ceac5d8357cf40913662358828f2394426e67ff-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安業者Spur發現，專為三星、LG智慧電視打造的應用程式，有約三分之一會利用或出售用戶住家IP位址，讓用戶電視淪為導引流量的代理伺服器（proxy），而產生資安隱憂。該公司分析6,038個應用程式的安裝套件，結果發現，有2,058款內含將用戶住家IP位址提供作為代理伺服器的SDK。研究人員指出，對於第三方代理伺服器SDK服務，Amazon與美國串流媒體平臺Roku皆明文禁止或封鎖，不過兩家韓國電視大廠並未建立同等的審核標準，使得應用程式市集存在大量此種灰色地帶的App。<a href="https://www.ithome.com.tw/news/176829">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176830"><span style="font-size: 22px;"><strong>QNAP修補旗下NAS與網路視訊監控產品漏洞，包含兩項可能導致服務中斷的重大漏洞</strong></span></a></p> <p>儲存設備廠商威聯通（QNAP）於6月17日發布資安公告，修補旗下NAS與視訊監控平臺共14項漏洞，影響QTS、QuTS hero、QuTS cloud等NAS作業系統，以及QVP視訊監控平臺。就CVSS嚴重性來看，這次QNAP修補的漏洞中，最嚴重的是CVE-2026-26240與CVE-2026-26241，兩者的CVSS評分都達到9.1分，兩者皆與上傳檔案名稱處理機制有關，可能造成堆疊緩衝區溢位（Stack-based buffer overflow），進而可能導致系統服務中斷。<a href="https://www.ithome.com.tw/news/176830">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176814"><span style="font-size: 22px;"><strong>Dell同步發布旗下多款主力儲存、備份與資料保護產品安全更新，主要涉及第三方元件漏洞修補</strong></span></a></p> <p>當前的企業級儲存與資料保護設備的底層，是Linux作業系統、開源軟體與第三方元件組成的應用平臺，因此也會受到軟體供應鏈漏洞影響，廠商需要同步追蹤上游元件漏洞，並透過版本更新方式進行修補，Dell近期發布的一系列儲存、備份與超融合產品線資安公告便是典型，涵蓋PowerStore、PowerProtect DP（IDPA）、VxFlex/PowerFlex，以及VxRail等產品線的漏洞修補，問題來源包括Linux元件、開源套件、虛擬化軟體與伺服器韌體等。<a href="https://www.ithome.com.tw/news/176814">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176777"><span style="font-size: 22px;"><strong>GitLab 19.1強化AI工作流程治理，可局限未經審核的AI代理存取範圍</strong></span></a></p> <p>GitLab在19.1版更新AI代理與流程目錄AI Catalog，加入多項治理設定，管理員可限制AI代理、流程與模型在組織內的使用範圍，降低未經審核的AI自動化內容進入企業環境的風險。新版GitLab增加的設定，可讓執行個體管理員與頂層群組擁有者限制AI Catalog的使用範圍。管理員可停用自訂AI代理與流程，讓使用者僅能使用GitLab提供的基礎內容，也可限制使用者只能啟用同一群組階層內的AI Catalog項目，避免未經審核的社群或第三方內容進入企業環境。<a href="https://www.ithome.com.tw/news/176777">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176823"><span style="font-size: 22px;"><strong>美國限制Anthropic Fable與Mythos模型存取，可能與NSA相關紅隊測試結果有關</strong></span></a></p> <p>美國政府於6月12日以國安疑慮為由，對AI業者Anthropic發布出口管制禁令，促使Anthropic宣布暫停向所有客戶提供Fable 5與Mythos 5模型存取。後續外媒報導指出，這項限制可能與Mythos參與美國國安單位內部紅隊測試的結果有關。根據科技網站Tom's Hardware引述經濟學人於6月14日的報導，在一場經授權的內部紅隊演練當中，Mythos在搭配其他防禦工具的情況下接受測試，結果於數小時內突破多項與美國國家安全局（NSA）相關的模擬評估目標。<a href="https://www.ithome.com.tw/news/176823">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176866"><span style="font-size: 22px;"><strong>Scattered Spider兩成員認罪，曾於2024年入侵倫敦交通局網路</strong></span></a></p> <p>根據英國國家打擊犯罪調查局（NCA）於6月22日發布的新聞稿，兩名網路犯罪組織Scattered Spider成員承認，曾於2024年入侵倫敦交通局的電腦網路。涉案者分別是20歲的Thalha Jubair與18歲的Owen Flowers。執法人員在調查這起網路攻擊案件時，還發現Owen Flowers入侵並破壞美國醫療機構SSM Health Care Corporation與Sutter Health網路。另一方面，Thalha Jubair也在美國面臨起訴，檢方指控他涉及多起企業網路入侵與勒索行動。<a href="https://www.ithome.com.tw/news/176866">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/176862"><span style="font-size: 22px;"><strong>AWS Lambda新增MicroVMs隔離環境，可用於程式碼的弱點掃描與安全性測試</strong></span></a></p> <p>AWS在AWS Lambda服務加入新的隔離運算資源MicroVMs，該服務特別針對執行AI產生程式碼的沙箱、互動式開發環境、資料分析平臺、弱點掃描，以及執行使用者腳本的遊戲伺服器等情境設計。Lambda MicroVMs採用Firecracker輕量虛擬化技術，可提供虛擬機器層級隔離。AWS表示，每個使用者或工作階段可取得專屬MicroVM，不與其他環境共享核心、記憶體空間與磁碟狀態，因此較適合用來處理來源不一定可信的程式碼。<a href="https://www.ithome.com.tw/news/176862">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176860"><span style="font-size: 22px;"><strong>Swift Package Index加入蘋果，著重強化套件簽章與身分識別機制</strong></span></a></p> <p>Swift Package Index團隊宣布加入蘋果，雙方將在既有套件索引、相容性測試與文件服務基礎上，建立更完整的Swift套件儲存庫。這項合作短期不會改變開發者與套件作者的使用方式，不過，蘋果後續將投入資源，強化Swift套件的發現、評估、簽章與身分識別能力。Swift Package Index後續也將發展安全與信任機制，未來計畫在套件簽章與套件身分識別等領域加入新能力，強化Swift套件生態系的安全性與信任基礎。<a href="https://www.ithome.com.tw/news/176860">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176815"><span style="font-size: 22px;"><strong>行政院國家人工智慧戰略特別委員會召開首次會議，主權AI與資料治理制度化成新核心</strong></span></a></p> <p>行政院依據AI基本法設立「國家人工智慧戰略特別委員會」6月23日召開首次會議，確立我國的AI發展戰略目標為積極建構「主權AI」，讓臺灣從支撐全球創新的製造優勢國家，成為立基於自由民主價值的AI良善應用典範。為推動主權AI的願景，臺灣將積極推動「新基礎建設」，涵蓋算力、能源、網路資訊安全、資料安全、AI運用與服務的安全，以及以民主價值為主的評測機制及法規調適等。行政院院長卓榮泰要求各部會依照綱領的戰略目標作資源規畫，並以「AI新十大建設推動方案」作為綱領的具體推動方案。<a href="https://www.ithome.com.tw/news/176815">詳全文</a></p> </div></div></div>
6/25 14:25作者周峻佑https://www.ithome.com.tw/news/176875
【臺灣資安大會直擊】駭客平均4.32天就能打進企業內網，臺灣企業資安防線為何一再被打穿？
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>入侵一間公司需要多少時間？根據戴夫寇爾（DEVCORE）共同創辦人暨資深副總徐念恩在臺灣資安大會（CYBERSEC 2026）的經驗，該公司自2017年推出紅隊演練服務以來，累計服務逾75間企業、執行超過150次演練，得到的結論是「平均只需要4.32天。」</p> <p>徐念恩指出，傳統防禦者與攻擊者的視角落差，正是企業資安最危險的地方。許多企業仍停留在「買了多少資安產品、完成多少合規項目」的思維，認為部署WAF、EDR、MFA、SIEM等工具，或通過稽核、完成弱點掃描與教育訓練，就代表防線已經到位；但對攻擊者而言，這些從來不是無法突破的高牆，而只是能否繞過、利用，甚至反過來當成跳板的障礙。</p> <p>因此，真正決定企業是否會被打進內網的，往往不是資安產品買得夠不夠多，而是攻擊面是否有效收斂、漏洞是否持續修補、內網與核心系統是否做好分區隔離，以及高權限帳號是否受到足夠保護。</p> <p>徐念恩認為，若從攻擊者視角來看，入侵路徑其實相當務實：先尋找外網弱點或外洩憑證，成功落地後再提升權限、橫向移動，接著控制AD、vCenter等關鍵基礎設施，最後再觸及核心系統與機敏資料。</p> <p>他指出，企業真正應該在意的，不是表面上的「有沒有做」，而是「做了之後，能不能實際擋住攻擊者一路往內打」。</p> <h1><span style="color:#B22222;">傳統防禦者常見兩種資安盲點：產品堆砌與合規迷思</span></h1> <p>許多企業資安的思維，長期停留在「我買了哪些產品」的層次，不管是IPS、WAF、SIEM、EDR、MFA、PAM、DLP、VPN等，每一樣都是業界熟悉的縮寫，每一樣也都代表著資安預算的投入。</p> <p>徐念恩把這種思維稱為「傳統防禦者視角」，這意味著，企業相信只要把這些產品全數配備，就能打造一座固若金湯的數位城堡。他認為，這是許多企業最常見的資安盲點之一。</p> <p>現實卻往往事與願違。問題不在於買了哪些產品，而在於這些產品有沒有被正確部署、有效串聯。徐念恩以WAF（網站應用程式防火牆）為例，某個客戶為了系統維護方便，把WAF設定成旁路模式（bypass mode），結果原本應被擋下的漏洞全部失去防護；另一個案例中，客戶的WAF防護設定只涵蓋IPv4，駭客只要改用IPv6連線，便可長驅直入。</p> <p>還有EDR（端點偵測與回應）也面臨部署率過低的問題，徐念恩表示，許多企業只把EDR安裝在A機器，若攻擊者瞄準B機器，既有的資安監控等於形同虛設。更荒謬的是，有些企業為了控管內部流量而部署的WAF或Proxy伺服器，反而被攻擊者拿來作為連外的後門出口。</p> <p>徐念恩發現，許多企業的問題在於，資安產品越買越多，結果反而讓藍隊疲於奔命地應付調整設定的需求，核心安全問題卻始終沒有解決。</p> <p>第二個常見盲點是「合規即安全」的錯誤等號。徐念恩觀察，從董事會到管理階層，許多人關心的核心問題是「我有沒有符合這條法規？」而非「我到底有沒有安全？」。</p> <p>事實上，企業的弱點掃描完成率達到百分之百，並不代表漏洞已經修補完畢；教育訓練出席率完美，不代表員工真的學到了任何東西。他見過不少受訓員工從頭到尾低頭處理自己的事，只為了湊滿年度的受訓時數。</p> <p>他也提到，企業過度追求合規，最終只會造就一個荒謬景象：「最安全的時刻，恰好就在稽核前一週。」稽核一結束，那層緊繃就立刻鬆弛。</p> <h1><span style="color:#B22222;">從攻擊者的視角，看五步驟的入侵路徑</span></h1> <p>攻擊者的思維截然不同，對他們而言，資安產品從來都是「有機會繞過」的變數之一，法規是「別人」的底線，所有防禦機制的意義只在於提高入侵難度，而不是讓入侵變成不可能。</p> <p>徐念恩梳理出攻擊者最常見的五步驟入侵路徑。第一步，評估能否從外部突破：網站有沒有已知漏洞？有沒有外流的帳號密碼可以利用？第二步，突破後嘗試提升權限、建立內網據點，以低調的方式向橫向擴展。</p> <p>第三步，控制關鍵基礎設施，Active Directory（AD，目錄服務）一旦落入攻擊者手中，企業內部九成以上的伺服器便形同失守；vCenter如果遭到攻擊者控制，所有在虛擬機上運作的重要系統全數暴露。</p> <p>第四步，存取核心系統與機敏資料，鎖定對業務影響最深的資產。第五步，將機敏資料外滲，用於勒索、二次利用或倒賣。徐念恩表示，這五個步驟，不是理論上的攻擊腳本，而是紅隊演練中一再被實證的真實流程。</p> <h1><span style="color:#B22222;">指標一：從外網打進內網，平均只需4.32天</span></h1> <p>不過，徐念恩坦言，只知道攻擊路線圖對企業而言還不夠，企業需要的是一套可以觀測、自我評分的防禦指標。「大家都以為入侵一間公司要很久，幾個月？幾年？」徐念恩說，「現實是，平均不到五天。」</p> <p>根據戴夫寇爾過去超過150次紅隊演練的統計顯示，紅隊從外網突破進入內網的平均天數為4.32天；金融業因為金管會等監管機制的持續督促，防線稍強，平均為5.33天；政府單位平均3.86天；高科技業平均3.7天，反而是最快被攻破的產業之一。</p> <p>更令人心驚的數據顯示，紅隊曾在26次的演練過程當中，第一天就已經成功打進內網，占所有演練案例約18%；在所有演練專案中，被成功打進內網的比例更高達75%。</p> <p>為什麼這麼快？徐念恩用籃球與乒乓球的比喻說明原因，如果要射擊這兩顆球，任何人都會瞄準那顆更大的目標（籃球）。</p> <p>攻擊者的邏輯完全相同，因為他們不會刻意挑戰看起來就很難打的目標，而會鎖定那些攻擊表面積（Attack Surface）最大的系統，例如：忘記下線的測試環境、設計停在1990年代的介面、明顯沒有定期更新的框架。他表示，攻擊表面積越大，被入侵的機率就越高；而許多企業的攻擊面，其實比他們自己以為的還要大得多。</p> <p>他特別指出一個常被忽略的死角。許多自行開發的系統，企業通常做足資安健診、弱點掃描、滲透測試，極盡所能加強防護；但外部採購的系統或設備，無論線上交易平臺、會計軟體、印表機、IP Camera還是NAS等，往往完全缺乏資安驗證，採購時從未確認過廠商是否做過弱點掃描或滲透測試。</p> <p>他直言，一樣都是有機會被存取的系統，資安待遇卻天差地遠，攻擊者當然知道要往哪裡下手。</p> <p>關於資安的改善方向該從何處著手？徐念恩建議，企業應該優先關閉不必要的對外服務；讓測試環境立即下線，積極縮小攻擊面積；其他無法下線的服務，則需落實連線最小化與角色權限最小化；對於供應鏈廠商，應主動要求提交高強度滲透測試報告，並將過去漏洞歷史與修補速度納入選商標準。</p> <h1><span style="color:#B22222;">指標二：六成企業，有已知漏洞超過半年仍未修補</span></h1> <p>至於第二個指標，徐念恩表示，衡量的是超過180天未修補的已知漏洞數量。這個數字的殺傷力在於，「攻擊者不需要研發全新的零日漏洞，只要找到一個公開的 CVE漏洞並確認目標尚未修補，就可以直接利用現成的攻擊工具打進去。」他說。</p> <p>徐念恩根據過去超過150次演練數據顯示，全產業有60%的專案（也就是超過90個案例），紅隊可以透過已知CVE漏洞，直接存取機敏資料或控制伺服器，完全不需要社交工程或複雜的攻擊鏈攻擊。</p> <p>他進一步說明，半年內未修補漏洞的製造業，比例高達75%，顯示製造業在漏洞管理方面的落差尤為顯著。相比之下，有強力監管介入的金融業（53%）與政府單位（57%）表現相對較好。像是金管會《金融資安行動方案2.0》以及政府導入資通安全弱點通報系統（Vulnerability Analysis and Notice System，VANS）並強制限期修補的政策，確實發揮了作用。</p> <p>企業不願做弱點掃描的理由往往如出一轍，例如：掃描出來的漏洞數量太多、誤報率太高、不確定哪個漏洞真的可被利用、怕修補方式有誤、更怕進行修補程式（patch）後系統停擺。</p> <p>徐念恩理解這些顧慮，但也直接點出問題癥結：這些不是弱點掃描沒意義的理由，而是企業缺乏一套有效的風險評鑑機制。他說，就連美國國家標準暨技術研究院（NIST）都在2025年宣布，因CVE漏洞數量在五年間暴增263%，已無力逐一分析，被迫改採「風險優先」策略，僅對已知被利用或關鍵系統相關漏洞進行重點處理。</p> <p>他建議企業應建立自己的風險評鑑策略，從三個維度判斷修補優先順序：該漏洞的可利用程度（是否有公開exploit）、伺服器所在網段位置（外網還是核心內網），以及資產本身的業務重要性。「弱點掃描不是沒意義，是看誰做得有效率。」他說。</p> <h1><span style="color:#B22222;">指標三：核心系統遭控制，平均只需10.14天</span></h1> <p>第三個指標，是衡量專案在第幾天被控制核⼼系統（含基礎設施）。徐念恩指出，根據該公司的演練數據顯示，許多演練企業核心系統（含關鍵基礎設施）被全面控制所需的天數：平均10.14天；被控制核心系統的專案比例高達78%，其中更有56%的案例，紅隊在10天內就完成從外網突破到核心系統淪陷的完整路徑。</p> <p>他表示，這個數字背後，隱藏著兩個結構性問題。首先，是網段切割不確實，企業內部任意端點皆可直連核心系統，因此，攻擊者只要踏入內網，就等同站在核心機房門口。</p> <p>其次，是權限畫分過於鬆散，許多高權限帳號與高權限群組數量氾濫，攻擊者在列舉帳號時，幾乎隨手就能抓到一個具有關鍵存取能力的帳戶。他說，AD長年累積的歷史包袱與信任關係從未被清理，也讓企業內部的橫向移動變得輕而易舉。</p> <p>除了技術架構的缺陷，徐念恩更點出另一個常被忽視的問題，那就是：藍隊缺乏真實演練的機會，導致面對真實攻擊時無從辨識。</p> <p>他也以外型相似的蔥、蒜苗與韭菜來比喻。他表示，資安事件中常見的問題在於：明明在看同一份log，每個人判讀出的結論卻完全不同的困境；真正的問題並不在於沒有工具，而在於沒有練習辨識的機會。「很多事情只要做過一次，你就會了，缺乏的只是練習的機會。」他如此說道。</p> <p>改善方向包含：移除不必要的角色與群組、精簡AD信任關係、強化管理員認證機制，並定期透過紅隊演練或其他模擬攻防機制，讓藍隊有機會在受控環境中練習辨識攻擊行為與應變流程。</p> <h1><span style="color:#B22222;">指標四：八成員工密碼可被破解，九成六含系統管理員帳號</span></h1> <p>第四個指標，直指最古老也最難根治的問題：員工密碼強度。演練數據顯示，平均每間企業被破解的密碼比例高達81.24%，政府單位更高達90.45%，金融業79.37%，高科技業77.32%。</p> <p>這個數字雖讓人觸目驚心，但更嚴峻的是另一項延伸數據，徐念恩指出，在被破解的帳號中，有高達96%的企業存在系統管理員帳號。「一旦管理員帳號的密碼被破解，攻擊者幾乎等同取得了整個組織的鑰匙。」他說。</p> <p>至於密碼破解速度的現實，也遠比多數人想像的快。徐念恩以使用四張Nvidia RTX 5090顯示卡進行Windows密碼破解為例，8碼且使用95個可視字元的密碼，僅需約1小時22分鐘便可破解；只要密碼長度不足12碼，幾乎都在數天之內有被破解的風險。</p> <p>他指出，企業中最常見的密碼形態包括：鍵盤排列組合（如1qaz2wsx）、生日、手機號碼、公司縮寫加上個人姓名等，已經不需要暴力破解，僅靠字典檔即可快速命中。</p> <p>徐念恩並不期待所有企業一夕之間讓全體員工改用12碼以上的強密碼，「你無法改變所有人的習慣，」但他建議，至少要優先保護高權限帳號。</p> <p>具體措施包含：針對存放密碼的系統，改用Argon2、scrypt、bcrypt和PBKDF2等較難破解的雜湊函數；在身分識別的環節當中，導入MFA多因素驗證；為企業的IT與資安人員，配發密碼管理器，如1Password或Bitwarden；建置特權帳號管理系統，如CyberArk、ANCHOR；乃至於導入WebAuthn / FIDO2，建置Passkey新型態身分驗證機制。</p> <h1><span style="color:#B22222;">AI讓駭客變強了嗎？從歷史找答案</span></h1> <p>面對各界對於AI威脅的焦慮，「Claude、GPT這麼強，當攻擊者有了AI，企業是不是馬上就完蛋了？」徐念恩選擇從歷史找答案。</p> <p>第二次工業革命催生了內燃機，但人手一顆引擎了嗎？15世紀出現了單手火繩手槍，到今天2026年，我們有人手一支手槍嗎？從1938年德國科學家發現核分裂現象，到1945年美國試爆核彈，現在全世界擁有核武的國家也不超過十個。他的結論是，越是超強大的武器，往往伴隨著極高的生產門檻與使用限制。像是，研發核彈需要科學家、管制原料與試爆場地；超強的AI同樣需要土地、機房、電力與大量算力。這些條件，一般企業或個人根本無從具備。</p> <p>他進一步提出兩條未來可能的發展路線，若AI真的成為挖掘漏洞的致命武器，各國政府將比企業更早感到威脅，勢必祭出管制，就像核武管控一樣，能夠使用的對象將被嚴格限縮。</p> <p>事實上，Anthropic旗下最先進的模型Claude Mythos Preview，目前就僅開放少數受信任組織在嚴格框架下使用，而非對一般用戶開放；被管制的AI，只會優先被用在強化產品安全，而非大規模攻擊。反之，若AI的威脅被過度渲染，只是行銷語言，那更沒有恐慌的必要。</p> <p>以目前實測的經驗來看，AI在資安領域最突出的優勢，在於處理重複性的苦工：逆向工程分析、原始碼掃描（尤其擅長找出OWASP Top 10的常見漏洞類型，如 SQL Injection與RCE）。</p> <p>但他認為，在串聯多個漏洞進行組合利用方面，目前的AI仍有相當距離；在黑箱測試中，AI也難以有效控管攻擊範圍與頻率，貿然使用反而可能造成預料之外的影響。</p> <p>「現在對AI恐慌可能還太早，但再不擁抱AI就太慢了。」徐念恩指出，面對覺得AI很可怕的企業客戶，他常反問：「你們公司現在有導入AI嗎？開發流程有導入AI嗎？防禦機制有用AI嗎？」而答案往往是否定的。他說，與其擔心AI讓攻擊者變強，不如先思考如何讓AI成為防禦方的助力。</p> <h1><span style="color:#B22222;">150場演練的共同答案，每個企業犯的錯都很像</span></h1> <p>面對各界詢問：「不同產業之間，有什麼特別不一樣的趨勢嗎？」徐念恩直言：「幾乎沒有差異。每個企業會犯的錯，都很像。」</p> <p>他以金融業、政府機關、高科技製造業為例，攻破的時間頂多相差兩三天；密碼破解率最多差到15個百分點，但核心問題如出一轍。</p> <p>他也指出，不少企業高層至今仍認為「只要外網沒有弱點就等於安全」，甚至要求資安部門減少外網弱點回報數量；然而，這些企業往往同時存在外網暴露面過大、供應鏈管理空白、內網未分區隔離、AD與核心系統權限問題積重難返，以及藍隊從未進行真實情境應變演練等結構性風險，也是許多企業容易踩到的資安地雷。</p> <p>面對這些共同的地雷，徐念恩提出六項行動建議。首先，積極縮小攻擊表面積，讓入侵難度與防禦難度同步降低；其次，建立漏洞風險評鑑機制與修補政策，讓已知漏洞不再是攻擊者的免費入場券。</p> <p>第三，優先規畫核心系統的角色、權限與網段切割，讓橫向移動的路徑無處延伸；第四，優先投入資源保護高權限帳號，在人性無法完全改變的前提下，先從最關鍵的節點築起防線。</p> <p>第五，透過高強度的紅隊演練，讓藍隊真正有機會練習辨識攻擊行為與應變流程——就像認識蔥、蒜苗、韭菜，做過一次就不會再搞錯；最後，不要對AI過度恐慌，而要積極擁抱 AI，把它化為強化防禦能力的工具。</p> <p>在經歷超過150場紅隊演練後，徐念恩特別強調：「攻擊表面積縮得越小，企業就越難被入侵。」然而，即使這是資安最基本的常識，仍有75%的企業在紅隊演練中被打進內網。這意味著，對許多臺灣企業而言，縮小攻擊面、做好基礎防護，至今仍不是已經落實的日常，而是尚未跨越的資安門檻。</p> </div></div></div>
6/25 16:31作者黃彥棻https://www.ithome.com.tw/news/176877
Green500：60GFlops/W以上高能效超級電腦增加，CPU與GPU整合的超級晶片、高速記憶體、互連及液冷漸成…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>最新的TOP500榜單顯示全球已有多套超級電腦跨越Exascale效能門檻，算力競賽持續升溫之際，新出爐的Green500榜單顯示，高效能運算（HPC）的能源效率競爭，正從追求單一系統突破，轉向少數成熟架構的大規模擴散。</p> <p>從2026年6月公布的Green500排名來看，前3名系統的能源效率均落在69至73 GFlops/W之間，且連續兩期維持相同排名。第1名為KAIROS（73.2GFlops/W）、第2名為ROMEO-2025（70.9GFlops/W），第3名為Levante GPU Extension（69.4GFlops/W），前3名系統均採用相同的技術架構，包括Nvidia GH200 Grace Hopper Superchip、BullSequana XH3000平臺以及直接液冷（Direct Liquid Cooling）設計。</p> <p><img alt="" src="/sites/default/files/images/%E6%93%B7%E5%8F%96-600(22).jpg" style="width: 600px; height: 432px;" /></p> <p>值得注意的是，前3名採用同一架構，系統的運算效率往往會隨系統規模增加而略有下降，這使得規模較小的系統在能源效率的表現上更有優勢。</p> <p>這顯示高能效超級電腦的競爭焦點，已不再只是追求更高的峰值效率，而是圍繞同一套成熟架構展開系統整合與工程優化競賽。</p> <h2><strong><span style="color:#B22222;">60 GFlops/W以上系統增加，高能效設計開始從少數領先者擴散</span></strong></h2> <p>雖然Green500前三名與上一期相比變化不大，但若觀察榜單分布，則可發現高能效的系統變多了。</p> <p>在最新Green 500排名中，約排名前30名的系統能源效率達到60 GFlops/W以上。相較之下，2025年11月的Green500，當時僅有前24名突破60GFlops/W。</p> <p>這代表Green500的重點已不再只是榜首系統刷新紀錄，高效率運算能力正向更多的系統擴散。換言之，能源效率的提升不再侷限於少數研究機構或國家實驗室的頂尖超級電腦所專有，而是更多新一代HPC平臺的設計目標。從永續的角度來看，雖然全球加速AI基礎建設，但也關注能源使用效率的設計，有利於永續發展。 </p> <h2><span style="font-size:20px;"><span style="color:#B22222;"><strong>GH200、HBM與液冷成高能效系統共同特徵</strong></span></span></h2> <p>若進一步分析達到60 GFlops/W以上的系統，可以發現它們雖然來自不同國家與超算中心，但大多具備相似的架構特徵。</p> <p>首先是採用CPU與GPU高度整合的異質運算架構。</p> <p>以GH200為例，由Grace CPU與Hopper GPU透過NVLink-C2C高速互連整合而成的超級晶片（Superchip）。相較於傳統CPU與GPU透過PCIe連接的架構，GH200能顯著降低資料搬移所需的能耗，並提升高頻寬記憶體（HBM）的使用效率。</p> <p>其次，液冷已成為高能效系統的共同特徵。</p> <p>隨著AI訓練與科學模擬工作負載推升機櫃功率密度，傳統氣冷系統已難以兼顧散熱與能源效率。Green500前段班系統普遍採用直接液冷技術，以降低冷卻耗能並提高整體電力使用效率。</p> <p>此外，高速互連技術也成為關鍵組件。包括Nvidia InfiniBand NDR等新一代網路架構，能減少節點間資料傳輸延遲與能源損耗，使大型GPU叢集在擴充規模時仍維持較高效率。</p> <h2><span style="font-size:20px;"><span style="color:#B22222;"><strong>Green500競爭從晶片性能轉向系統工程能力</strong></span></span></h2> <p>這也反映出高效能運算產業競爭模式的轉變。</p> <p>過去提升能源效率的主要手段，多半來自處理器世代更新或製程進步；但從最新榜單來看，高能效系統之間的差距已大幅縮小，前3名僅相差數個GFlops/W，且多數前段系統採用相似的硬體組合。</p> <p>這意味著能源效率競爭正逐漸從晶片層級轉向系統層級。</p> <p>未來影響排名的因素，除了GPU與CPU本身性能外，更包括機櫃設計、電力分配架構、液冷系統、網路拓撲，以及軟體調校等整體工程能力。</p> <p>當CPU與GPU緊密整合、HBM記憶體、高速互連與液冷設計逐漸成為標準，超級電腦的能源效率進入平臺化與工程化的新競爭。</p> <p>至於臺灣的超級電腦表現方面，進入Green500前100名者，以Ubilink的系統排名72最佳，能效為42.9GFlops/W，其次是國網中心的Nano 4排名第86名，能效為36.8GFlops/W，以及國網中心另一系統Nano 4-b為91名，能效為31.4GFlops/W，至於國網較新的Nano-5主機排名92名，能效為30.7GFlops/W。</p> </div></div></div>
6/25 17:03作者蘇文彬https://www.ithome.com.tw/news/176861
刑事局破獲跨境詐騙案，竄改來電顯示手法再受關注
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>近日刑事警察局南部打擊犯罪中心宣布破獲跨境電信詐欺案，使電信安全議題再受關注。該集團利用特定科技設備與網路系統竄改來電顯示，鎖定海外華人行騙。全案經報請臺南、臺中地方檢察署指揮偵辦後，於去年底至今年初調查並攻堅，逮捕包含蔡姓系統商、陳姓及洪姓主嫌在內共11名嫌犯（出生年次介於70至84年次），目前已有5人裁定羈押禁見，其餘6人裁定高額交保。初步清查被害者逾30人，涉詐金額高達3千萬元。</p> <p>根據警方調查，此案由蔡嫌擔任話務系統供應商，為臺南與臺中兩地的機房提供技術支援，同時詐團還承租7處大樓與民宅作為犯罪據點，並架設電信話務機房。該集團假冒澳洲、紐西蘭、日本及馬來西亞等地的銀行人員，或假借中國公安與檢察官名義，以涉入重大刑案為由撥打電話給受害者，再以監管資金為由誘騙匯款。承辦此案的偵查第八大隊警員表示，由於許多國家不一定具備境外來電的語音警示機制，當地民眾看到顯示為本地的號碼時，極易降低戒心而受騙。</p> <p>從技術層面來看，此案之所以得逞，關鍵是詐團在電信話務機房內利用網路系統進行「來電顯示竄改」。雖然警方未公開具體手法，但結合過往這類事件來分析，此案再次暴露全球通訊架構在身分識別技術上的系統性弱點，導致發話端資訊在網路電話（VoIP）與公眾交換網路（PSTN）介接過程可能遭到非法竄改，進而破壞通訊網路的信任基礎。</p> <p>此外，警方在攻堅行動時還發現，這些犯嫌設備普遍安裝「快速滅證程式」，意圖在檢警查緝時即時銷毀數位證據，所幸警方於最短時間內強攻入機房內，成功取得犯罪事證。</p> </div></div></div>
6/25 14:34作者羅正漢https://www.ithome.com.tw/news/176858
Nokia與Databricks驗證自主網路資料平臺，鎖定電信即時分析需求
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.nokia.com/newsroom/nokia-databricks-demonstrate-unified-data-platform-for-autonomous-networks/" target="_blank">通訊與網路技術業者Nokia於6月24日宣布</a>，聯手資料與AI平臺業者Databricks完成共同概念驗證（Proof of Concept，PoC），展示一套支援AI驅動自主網路的統一資料平臺。這項PoC的推動與合作目標，是讓電信業者得以跨越不同雲端環境或地端基礎架構，具備部署即時分析能力，無須因部署環境不同而重寫程式碼。</p> <p>Nokia指出，電信網路通常仰賴數百套營運支援系統與商業支援系統，各系統資料架構不同，導致AI應用難以跨越不同的網路領域，以一致的方式部署、管理與運作。這次PoC以即時效能管理為測試情境，模擬電信網路分析資料匯入，驗證這套資料處理架構能否在雲端環境中擴展，支援大型一線電信業者所需的資料處理規模。</p> <p>測試結果顯示，同一套資料處理流程可部署在Databricks平臺，也可執行於由Apache Flink、Apache Kafka與Apache Iceberg組成的開源技術堆疊，支援即時串流、批次處理，以及查詢階段動態產生的資料產品（query-time data products）——在資料讀取當下，即刻對資料執行計算衍生指標（derived metrics）、套用條件過濾器、彙整（aggregating）、充實（enriching）、連接（joining）等處理。Nokia也以Python設計抽象化且不依賴特定平臺的資料轉換邏輯，再透過自定的編譯器，依目標環境轉換為Databricks用於建置資料管線的Delta Live Tables，或是開源串流資料處理常用的Flink SQL。</p> <p>這項PoC也展示智慧資料織構代理（intelligent data fabric agent），可透過自然語言提示產生資料產品、人工驗證的請求，以及資料管線的自動部署。</p> </div></div></div>
6/25 13:37作者王珮瑤https://www.ithome.com.tw/news/176873
高通發表Dragonfly資料中心平臺，2029年手機營收比重將降至1/3
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="http://www.qualcomm.com/news/releases/2026/06/qualcomm-unveils-comprehensive-data-center-roadmap-for-the-agent" target="_blank">高通（Qualcomm）周三（6/24）宣布推出Dragonfly資料中心平臺</a>，並<a href="https://www.qualcomm.com/news/releases/2026/06/qualcomm-and-meta-announce-strategic-multi-generation-agreement-" target="_blank">與Meta簽署多</a>世代合作協議，進一步擴大AI資料中心布局。<a href="https://investor.qualcomm.com/news-events/press-releases/news-details/2026/Qualcomm-Accelerates-Diversification-with-Comprehensive-Strategy-for-Data-Center-and-Sees-Multiple-Inflection-Points-Over-the-Next-3-to-5-Years/default.aspx" target="_blank">高通也表示</a>，未來將從手機晶片供應商轉型為AI運算平臺，預估至2029年手機業務所占的晶片營收比重將從現有的2/3降至1/3。</p> <p>高通是全球主要行動晶片與通訊技術供應商，長期以Snapdragon手機處理器、5G數據機與通訊專利授權為主要業務。<a href="https://s204.q4cdn.com/645488518/files/doc_financials/2026/q2/FY2026-2nd-Quarter-Earnings-Release.pdf" target="_blank">根據該公司今年第二季財報</a>，在該季106億美元的營收中，有90億美元來自晶片營收，其中，手機占了60億美元，汽車占了13億美元，IoT為17億美元，顯示手機仍占晶片事業營收的2/3。</p> <p>高通在周三舉行的投資人日表示，將把握AI代理人（Agentic AI）帶動的新一波運算需求，布局從邊緣裝置到雲端的完整AI運算平臺，涵蓋資料中心、汽車、IoT、工業、網通、機器人及Personal AI等領域。高通預估，到了2029年，非手機業務營收將達400億美元，其中資料中心營收將超過150億美元，汽車營收將達100億美元，IoT營收則超過140億美元，屆時手機業務將僅占晶片事業營收約1/3。</p> <p>至於同一天發表的Dragonfly則是高通全新的AI資料中心產品線，涵蓋資料中心CPU、AI推論加速器、高頻寬運算（High Bandwidth Compute，HBC）、高速連網及客製化晶片等產品，目標是打造完整的AI資料中心基礎設施。高通表示，隨著AI代理人興起，資料中心對推論運算的需求將持續增加，Dragonfly將以高效能、低功耗及降低整體持有成本（TCO）為主要訴求，協助企業部署大規模AI推論應用。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0625-Dragonfly%20C1000.png" style="width: 500px;" /></p> <p>圖片來源／高通</p> <p>Dragonfly產品線的首款資料中心CPU為Dragonfly C1000，這是高通專為AI代理人、通用運算及AI主節點（AI head node）等工作負載設計，採用高通自研Oryon CPU核心，預計於2028年上市，並將應用於Meta下一代伺服器。雙方將建立多世代合作路線圖，由高通擔任Meta資料中心CPU供應商，支援Meta持續擴大的運算基礎設施。</p> <p>這也是Meta近日第二項AI晶片合作案。今年4月<a href="https://www.ithome.com.tw/news/175069" target="_blank">Meta才宣布與博通（Broadcom）共同開發</a>下一代MTIA AI加速器，如今再導入高通的Dragonfly C1000資料中心CPU，顯示Meta正同步強化AI加速器與CPU兩大運算架構。</p> </div></div></div>
6/25 14:03作者陳曉莉https://www.ithome.com.tw/news/176874
高通收購Modular，打造跨晶片AI運算平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.qualcomm.com/news/releases/2026/06/qualcomm-to-acquire-modular" target="_blank">高通（Qualcomm）周三（6/24）宣布</a>，將收購AI軟體新創Modular。Modular開發的AI運算平臺可讓AI模型跨CPU、GPU、NPU及客製化ASIC等不同硬體執行，而無須針對各種晶片重新修改程式碼，降低AI應用跨不同運算平臺的部署門檻。</p> <p>高通過去以手機晶片聞名，近年則將AI布局延伸至PC、汽車、邊緣運算及資料中心，主打低功耗與AI推論。Modular成立於2022年，主要開發跨硬體AI軟體平臺，讓開發者能在不同晶片架構上部署AI模型，正好補足高通AI布局中的軟體層。</p> <p>Modular的核心產品包括MAX平臺與Mojo程式語言。MAX負責AI模型服務、推論執行及硬體最佳化，協助企業將模型部署到不同硬體環境；Mojo則結合Python語法與低階系統程式語言效能，讓開發者能以較熟悉的方式撰寫高效能AI程式。</p> <p>高通表示，Modular將補強其AI軟體層，讓AI模型能更有效率地部署至不同硬體架構，同時縮短新一代AI晶片上市後的軟體支援時間，進一步強化資料中心與邊緣AI布局。</p> <p>高通並未公布交易金額。不過，根據<a href="https://www.sec.gov/Archives/edgar/data/804328/000110465926077071/tm2618522d1_8k.htm" target="_blank">提交給美國證券交易委員會（SEC）的文件</a>，高通將發行最多1,920萬股普通股作為收購對價；以高通前一交易日收盤價估算，交易價值約39.2億美元。這筆交易預計於2026年下半年完成，仍須取得主管機關核准及符合一般交割條件。</p> </div></div></div>
6/25 13:08作者陳曉莉https://www.ithome.com.tw/news/176872
OpenAI聯手博通發表首款自研推論晶片Jalapeño
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://openai.com/index/openai-broadcom-jalapeno-inference-chip/" target="_blank">OpenAI與博通（Broadcom）周三（6/24）共同發表首款自研AI推論晶片Jalapeño</a>，加入Google、AWS及微軟等科技業者自研AI晶片布局。OpenAI預計於2026年底開始部署Jalapeño。</p> <p>Jalapeño是OpenAI首款自研AI推論晶片，也是其Intelligence Processor產品線的第一代產品，名稱取自墨西哥辣椒。不同於Nvidia的GPU同時支援AI訓練與推論，Jalapeño專為大型語言模型推論設計。由於AI模型完成訓練後，每次回應使用者都需執行推論，使得業者近年紛紛投入自研推論晶片，以降低對Nvidia的依賴。</p> <p>OpenAI表示，Jalapeño是依據其模型、核心運算（Kernel）、推論服務系統（Serving System）及產品需求，從零開始設計，並由博通負責晶片實作、高速網路及量產，Celestica負責電路板、機櫃與系統整合。目前工程樣品已可執行GPT-5.3-Codex-Spark等工作負載。</p> <p>此外，Jalapeño從初步設計到完成晶片定版（tape-out）僅歷時9個月，除了博通協助完成晶片實作外，也利用OpenAI模型協助部分晶片設計與最佳化流程，這可能是高效能ASIC迄今最快的開發周期。初步測試顯示，Jalapeño的每瓦效能優於目前最先進產品，其架構藉由降低資料搬移、平衡運算、記憶體與網路資源，提高硬體使用效率，完整效能測試結果將在數月後公布。</p> <p>OpenAI指出，Jalapeño是該公司完整技術堆疊（full-stack）策略的一環，除了開發AI模型與產品外，也開始自行設計晶片、記憶體、網路及部署系統等底層基礎設施，希望藉由整合各層技術，提高模型執行效率。</p> </div></div></div>
6/25 11:26作者陳曉莉https://www.ithome.com.tw/news/176868
印度大型車輛製造商Bajaj Auto遭勒索軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.bajajauto.com/-/media/images/bajajauto/media-kit/press-release/disclosures/disclosures-_-exchange-intimations/2026-2027/se-intimation-cybersecurity-23-june-26-signed.pdf">6月23日印度孟買證券交易所（BSE）與印度國家證券交易所（NSE）接獲Bajaj Auto公司的通報</a>，表明該公司與技術研發子公司Bajaj Auto Technology Limited（BATL）的系統遭勒索軟體攻擊。</p> <p>Bajaj Auto是印度大型車輛製造商之一，產品涵蓋機車、商用車，以及印度常見的機動三輪載客車輛（auto-rickshaw）。</p> <p>Bajaj Auto指出，攻擊事件發生於印度標準時間6月23日上午，技術團隊、資安專家與管理階層已啟動必要的預警措施與應變程序，以降低影響。Bajaj Auto已依規定通報印度電腦緊急應變小組（CERT-In），但並未對外揭露攻擊者身分、是否有資料遭竊，或是否收到勒索要求。</p> <p>本週印度半導體暨電子製造商<a href="https://www.ithome.com.tw/news/176786">Tata Electronics也證實發生資安事件</a>，勒索軟體組織聲稱取得該公司資料，其中涉及疑似蘋果、特斯拉的零件設計與規格文件。</p> </div></div></div>
6/25 11:50作者王珮瑤https://www.ithome.com.tw/news/176869
思科SD-WAN零時差漏洞CVE-2026-20245遭到利用，最早可追溯到今年3月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>6月初思科公布<strong><a href="https://www.ithome.com.tw/news/176419">今年第7個SD-WAN零時差漏洞CVE-2026-20245</a></strong>，此弱點存在於Catalyst SD-WAN Manager（原SD-WAN vManage）的命令列（CLI），該公司特別提及利用該漏洞必須搭配其他條件，事先取得netadmin權限，其中一種方法是利用另外兩個資安漏洞CVE-2026-20182或CVE-2026-20127，但為何會特別提及這些弱點？很有可能與實際攻擊活動有關。</p> <p>通報此事的Mandiant本週揭露<strong><a href="https://cloud.google.com/blog/topics/threat-intelligence/zero-day-exploitation-cisco-catalyst-sd-wan-manager">鎖定一家服務供應商SD-WAN基礎設施的攻擊行動</a></strong>，駭客透過未經授權的對等連線（Peering Connection）建立初始存取管道，並透過SSH連線存取受害企業，並利用相關權限操控預設帳號的密碼，以迴避偵測。接著，上傳惡意CSV檔案利用CVE-2026-20245，從遭到入侵的管理員帳號，將權限提升為root層級。值得留意的是，在活動的過程裡，駭客藉由刪除惡意檔案、復原組態設定的變更，以及執行通過驗證的指令碼，將作案的證據清除。</p> <p>究竟這些駭客如何建立上述初始存取管道？Mandiant指出很可能與利用CVE-2026-20182或CVE-2026-20127的活動有關，該資安團隊於去年底至今年1月，察覺利用這兩種漏洞建立的未經授權對等連線，而這些弱點當時皆尚未公開及修補。不過，Mandiant於今年3月，看到一臺已修補CVE-2026-20127的Catalyst SD-WAN Manager設備出現更多的惡意對等連線，而且駭客也並未利用CVE-2026-20182，因此他們推測，攻擊者疑似透過先前的漏洞利用活動竊得憑證，而在這臺已套用修補程式的SD-WAN系統持續活動。</p> </div></div></div>
6/25 12:12作者周峻佑https://www.ithome.com.tw/news/176870
Lantronix工控設備已知重大漏洞被列入KEV
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>隨著國際局勢日趨緊張，工業控制系統環境的網路基礎設施也成為駭客鎖定的目標，而現在傳出已修補數個月的重大漏洞，出現實際利用的活動。</p> <p>美國網路安全與基礎設施安全局（CISA）提出警告，<strong><a href="https://www.cisa.gov/news-events/alerts/2026/06/23/cisa-adds-four-known-exploited-vulnerabilities-catalog">重大層級的資安漏洞CVE-2025-67038被遭到積極利用</a></strong>，他們將其加入已遭利用的漏洞名單（KEV），要求聯邦機構在6月26日前完成修補。此漏洞出現在Lantronix旗下的序列埠設備集中管理主機（Serial-to-Ethernet Device Server）EDS5000，為命令注入弱點，CVSS風險評分為9.8，Lantronix於今年2月推出<strong><a href="https://ts.lantronix.com/ftp/EDS5000/2.2.0.0R1/EDS5000_2_2_0_0R1_User_Release_notes.txt">2.2.0.0R1版</a></strong>韌體修補。由於這類設備的主要用途，是把RS232、RS422、RS485等序列埠設備透過乙太網路連接並集中管理，被用控管醫療儀器、保全監控設備、POS終端機等環境，影響可能相當廣泛。<strong><a href="https://www.cisa.gov/news-events/ics-advisories/icsa-26-069-02">CISA曾在今年3月對這項漏洞發布警告</a></strong>，並指出該設備在全球各地都有用戶，可能會部署在通訊、IT、關鍵製造業等關鍵基礎設施。</p> </div></div></div>
6/25 10:39作者周峻佑https://www.ithome.com.tw/news/176864
Scattered Spider兩成員認罪，曾於2024年入侵倫敦交通局網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>根據<a href="https://www.nationalcrimeagency.gov.uk/news/cyber-criminals-who-hacked-into-transport-for-londons-computer-network-are-convicted" target="_blank">英國國家打擊犯罪調查局（National Crime Agency，NCA）於6月22日發布的新聞稿</a>，兩名網路犯罪組織Scattered Spider成員承認，曾於2024年入侵倫敦交通局（Transport for London，TfL）電腦網路。涉案者分別是20歲的Thalha Jubair與18歲的Owen Flowers。</p> <p>NCA指出，倫敦交通局網路在2024年8月31日至9月3日期間遭入侵，損失與復原成本達2,900萬英鎊，並影響數千名客戶。這起攻擊迫使倫敦交通局2.8萬名員工前往辦公室重設密碼，該局Oyster退費系統資料也遭非法存取，導致客戶退費流程受到影響。</p> <p>執法人員在調查這起網路攻擊案件時，還發現Owen Flowers入侵並破壞美國醫療機構SSM Health Care Corporation與Sutter Health網路，因為他們找到相關證據。另一方面，<a href="https://www.ithome.com.tw/news/171291" target="_blank">Thalha Jubair也在美國面臨起訴</a>，檢方指控他涉及多起企業網路入侵與勒索行動。</p> <p>Scattered Spider是近年受到美國<a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-320a" target="_blank">CISA</a>及多國政府資安與執法單位追蹤、以營利為目的的網路犯罪組織。該組織常以社交工程手法入侵企業，冒充員工、IT人員或服務臺人員，誘使受害者重設密碼、註冊新的多因素驗證裝置，或交出一次性密碼，後續再進行資料竊取或部署勒索軟體。</p> </div></div></div>
6/25 10:58作者王珮瑤https://www.ithome.com.tw/news/176866
攻擊者濫用AWS無伺服器運算服務，隱匿HazyBeacon後門程式C2流量
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Windows後門程式HazyBeacon（CL-STA-1020）鎖定東南亞政府網路，攻擊者濫用AWS的無伺服器運算服務AWS Lambda，將Lambda Function URL端點作為命令與控制（C2）中繼站，藉此讓惡意流量混入一般雲端服務通訊。</p> <p><a href="https://blog.qualys.com/qualys-insights/2026/06/02/hazybeacon-aws-lambda-function-url-command-control-abuse" target="_blank">雲端安全業者Qualys</a><a href="https://blog.qualys.com/qualys-insights/2026/06/02/hazybeacon-aws-lambda-function-url-command-control-abuse" target="_blank">分析指出</a>，這類攻擊並非利用AWS服務漏洞，而是建立在竊得的AWS身分識別與存取管理（IAM）憑證，以及過度寬鬆的雲端權限設定之上。攻擊者取得AWS帳號後，會透過合法AWS API部署Lambda函式，並建立設定為AuthType: NONE的Lambda Function URL，使其成為不需身分驗證即可公開存取的HTTPS端點。</p> <p>HazyBeacon可蒐集受害系統的主機名稱、IP位址、使用者權限與作業系統版本，也能接收加密命令，以便下載後續酬載、執行Shell指令，並上傳遭竊文件與鍵盤側錄資料。由於Lambda Function URL端點使用on.aws網域，資安營運中心（SOC）人員檢視網路遙測資料時，相關流量可能看似一般AWS通訊，增加偵測與歸因難度。</p> <p>研究人員建議，AWS用戶應停用未使用的IAM存取金鑰、定期輪替金鑰並啟用多因素驗證（MFA），同時在所有區域啟用AWS CloudTrail記錄。企業也可透過服務控制政策（Service Control Policies，SCP）限制建立AuthType: NONE的公開Lambda Function URL，並監控Lambda呼叫量與成本異常，降低雲端基礎設施遭濫用為C2中繼站的風險。</p> </div></div></div>
6/25 11:02作者王珮瑤https://www.ithome.com.tw/news/176865
CISA警告Ubiquiti網路設備管理平臺3項滿分漏洞已被用於實際攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>6月23日<strong><a href="https://www.cisa.gov/news-events/alerts/2026/06/23/cisa-adds-four-known-exploited-vulnerabilities-catalog">美國網路安全與基礎設施安全局（CISA）提出警告</a></strong>，他們發現有4個漏洞遭到積極利用的證據，將其加入已遭利用的漏洞列表（KEV），其中最受到關注的部分，在於這次新增的漏洞裡，有3個是CVSS風險評分達到滿分10分的危險漏洞。</p> <p>這些漏洞是CVE-2026-34908、CVE-2026-34909與CVE-2026-34910，存在UniFi管理平臺軟體UniFi OS Server，網通設備廠商Ubiquiti於5月推出5.0.8版修補相關問題。<strong><a href="https://www.ithome.com.tw/news/176466">資安公司Bishop Fox警告</a></strong>，這些漏洞威力相當驚人，因為能串連成完整的攻擊鏈，攻擊者只要發出單一請求，就能取得完整root權限的反向Shell。CISA給予聯邦機構3天修補漏洞，期限是6月26日。</p> </div></div></div>
6/25 09:55作者周峻佑https://www.ithome.com.tw/news/176863
AWS Lambda新增MicroVMs隔離環境，讓AI生成的程式碼可在獨立沙箱執行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>AWS在AWS Lambda服務加入新的<strong><a href="http://aws.amazon.com/blogs/aws/run-isolated-sandboxes-with-full-lifecycle-control-aws-lambda-introduces-microvms/">隔離</a><a href="https://aws.amazon.com/blogs/aws/run-isolated-sandboxes-with-full-lifecycle-control-aws-lambda-introduces-microvms/">運算資源MicroVMs</a></strong>，讓開發者可替使用者或工作階段建立獨立、可保留狀態的執行環境，用來執行使用者或AI產生的程式碼。該服務特別針對執行AI產生程式碼的沙箱、互動式開發環境、資料分析平臺、弱點掃描，以及執行使用者腳本的遊戲伺服器等情境設計。</p> <p>Lambda MicroVMs採用Firecracker輕量虛擬化技術，可提供虛擬機器層級隔離。AWS表示，每個使用者或工作階段可取得專屬MicroVM，不與其他環境共享核心、記憶體空間與磁碟狀態，因此較適合用來處理來源不一定可信的程式碼。對需要執行AI產生程式碼的服務來說，MicroVM隔離邊界可避免程式碼直接在代理本身的執行環境中運作，降低其接觸其他環境或底層系統的風險。</p> <p>Lambda MicroVM新資源與既有Lambda Functions功能不同。Lambda Functions主要用於事件驅動與請求回應工作負載，Lambda MicroVMs則能用於需要長時間互動、保留狀態與控制生命週期的多租戶應用。AWS說明，應用程式仍可使用Lambda Functions處理事件驅動骨幹，再於需要隔離執行不受信任程式碼時呼叫Lambda MicroVMs。</p> <p>開發者需先將應用程式碼與Dockerfile打包成zip構件，並上傳到Amazon S3，再建立MicroVM映像檔。Lambda會執行Dockerfile、初始化應用程式，並建立包含記憶體與磁碟狀態的Firecracker快照。後續啟動MicroVM時，環境可從預先初始化的快照恢復，而非重新冷啟動。執行中的MicroVM可保留記憶體、磁碟與執行中處理程序狀態，閒置時也能依生命週期政策自動暫停，等待流量進入後再恢復。</p> <p>MicroVM可透過專屬HTTPS端點連線，不需要自行配置負載平衡器或入口基礎設施，並支援HTTP/2、gRPC與WebSockets等流量型態。開發者可透過API或政策控制啟動、暫停、恢復與終止。</p> <p>Lambda MicroVMs首波在美東維吉尼亞北部、美東俄亥俄、美西奧勒岡、歐洲愛爾蘭與亞太東京地區推出，支援ARM64架構。單一MicroVM最高可配置16 vCPUs、32 GB記憶體與32 GB磁碟，總執行時間最長8小時。</p> </div></div></div>
6/25 08:59作者李建興https://www.ithome.com.tw/news/176862
沙烏地阿拉伯租車龍頭Budget Saudi資料外洩，當地資安業者針對行動應用程式安全示警
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>沙烏地阿拉伯租車龍頭Budget Saudi於6月9日在沙烏地證券交易所（Tadawul）<strong><a href="https://www.saudiexchange.sa/wps/portal/saudiexchange/newsandreports/issuer-news/issuer-announcements/issuer-announcements-details/?anId=95974&anCat=1&cs=4260&locale=en">揭露行動應用程式遭未經授權存取的資安事故</a></strong>。關於事故原因，Budget Saudi說明該事件源於外部未經授權的非法存取行為。發現後已立即啟動防護措施並阻斷連線。該公司強調未涉及金融或銀行資料，營運與財務均未受影響，並已依法向主管機關通報，採取措施強化資安防禦。</p> <p>雖然該公司未說明具體技術細節，但中東資安業者<strong><a href="https://www.iconnectitbs.com/what-the-budget-saudi-breach-tells-gulf-businesses-about-mobile-app-security/">iConnect ITBS於6月14日針對Budget Saudi事件示警</a></strong>，指出雖然波斯灣地區（Gulf enterprises）企業內網防禦逐年提升，但行動App安全的防護並未跟上。</p> <p>iConnect進一步解析這類事件發生的原因：首先，平臺業者提供的行動App擁有一套獨立的驗證機制、連線邏輯與API端點，並能直接串接存放客戶個資、訂單紀錄等敏感資料的後端系統。換言之，這導致原有資安防線無法對行動端的存取行為，進行有效的監控與攔阻。</p> <p>其次，曝險最先出現在身分驗證階段。雖然平臺具備多因素驗證的登入選項，但未強制執行，導致多數用戶並未啟用，這使得帳密填充攻擊（Credential Stuffing）的可行性大增。因此App開發的思維必須調整，應預設用戶帳密資訊早已在黑市流竄。</p> <p>第三，API回傳資訊缺乏權限控管與過濾。當用戶查詢訂單時，開發者因趕著上線而忽略防範列舉攻擊（Enumeration）。例如，攻擊者只要登入一個合法帳號，原本應該只能獲得訂單資訊，但如果增減物件識別碼（booking IDs），即可取得該客戶的其他資訊。這也反映相關系統在開發過程中，可能未充分落實最小揭露（least disclosure）原則，因此未將API回應限縮於必要欄位。</p> <p>另外在偵測方面，雖然多數企業已建置SIEM或SOC系統，但在蒐集各類日誌時，可能缺乏API閘道的相關日誌，導致形成監控盲點，直到事件爆發或被揭露之後才發現問題，錯失在攻擊發生期間進行攔阻的時機。</p> <p><a href="/sites/default/files/images/2026-06-23_165944.jpg"><img alt="" src="/sites/default/files/images/2026-06-23_165944.jpg" style="width: 600px;" /></a></p> </div></div></div>
6/24 21:22作者羅正漢https://www.ithome.com.tw/news/176803
Swift Package Index加入Apple，著重強化套件簽章與身分識別機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><strong><a href="https://swiftpackageindex.com/blog/swift-package-index-joins-apple">Swift Package Index團隊宣布加入Apple</a></strong>，雙方將在既有套件索引、相容性測試與文件服務基礎上，建立更完整的Swift套件註冊庫。該變化短期不會改變開發者與套件作者的使用方式，但Apple後續將投入資源，強化Swift套件的發現、評估、簽章與身分識別能力。</p> <p>Swift Package Index已索引超過1萬個Swift套件，是Swift開發者常用的套件搜尋與評估服務，開發者可透過該服務查找Swift套件、檢視平臺與Swift版本相容性，並瀏覽套件文件。官方提到，Swift生態系持續成長後，需要更穩健且完整的套件登錄機制，讓開發者在導入依賴套件前，能更清楚判斷套件是否適合採用。</p> <p>該服務也會自動測試Swift套件在不同支援平臺與Swift版本下的相容性，協助開發者在加入相依項目前確認套件能否採用。Swift Package Index最初支援macOS、iOS、tvOS、watchOS與Linux測試，後來增加visionOS、WebAssembly與Android，去年處理超過350萬次相容性建置。</p> <p>目前Swift Package Index依然會照常運作，既有的套件探索、相容性檢查與文件瀏覽功能仍可繼續使用。對套件作者來說，套件被索引、呈現與文件代管的方式也沒有立即改變。官方表示，後續目標是在這個基礎上加速開發，推出更多協助開發者評估套件的功能。</p> <p>後續發展也包括安全與信任機制，Swift Package Index團隊提到，未來計畫在套件簽章與套件身分識別等領域加入新能力，強化Swift套件生態系的安全性與信任基礎。Swift Package Index加入Apple後，後續工作將不只維持套件搜尋與相容性資訊，也會延伸到開發者導入相依項目前所需的驗證機制。</p> <p>Swift Package Index仍會維持開源，社群也可繼續參與程式碼貢獻。官方指出，Apple工程師將與社群共同投入新功能與改進，接下來幾個月會逐步分享Swift Package Index演進計畫。</p> </div></div></div>
6/24 21:04作者李建興https://www.ithome.com.tw/news/176860
研究團隊揭Rex框架，降低生成式AI回推失真率、可用來提高AI藥物設計和科學模擬精準度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>生成式AI已經很會創造內容了，但要精準修改或回推生成過程，仍是一大挑戰。美國克拉克森大學（Clarkson University）研究團隊<a href="https://rex-solver.github.io/">開發一套新數學框架Rex</a>，主打提高擴散模型和流匹配模型（Flow Matching Model）的可逆性，讓AI在生成圖片、設計分子或進行科學模擬時，可以更準確「倒帶」回原本狀態，減少重新生成時的失真。這項研究論文〈Rex: A Family of Reversible Exponential (Stochastic) Runge-Kutta Solvers〉也獲選在機器學習頂級會議ICML 2026中發表。</p> <h2><strong>生成式AI不只要會生成，也要能精準回推</strong></h2> <p>目前許多生成式AI模型，包括AI繪圖工具、分子設計模型和科學模擬工具，背後都採用擴散模型或流匹配模型。這類模型的基本概念，是從隨機雜訊出發，一步步生成有意義的結果，例如一張圖片、一個候選藥物分子，或一段科學模擬結果。</p> <p>不過，真正的困難往往不是生成，而是「回推」。比如，研究者用AI產生一個分子結構後，可能想要修改其中某個化學特性，再觀察這個改動對藥效、穩定性或毒性的影響。影像編輯也有類似需求，使用者可能只想修改髮型、背景或服裝，但希望人物臉部特徵、光影和其他細節都能保留下來。</p> <p>這時，AI得先把已經生成的結果，反向推回模型內部的原始表示，再重新生成修改後的內容。問題是，現有方法在反向推算過程中，常會累積數值誤差，導致模型回不到原本的位置。最後產生的結果，可能不只是局部被修改，而是整體結構或細節都跟著跑掉。</p> <h2><strong>Rex要解決生成模型「倒帶失真」問題</strong></h2> <p>Rex的目標，就是要讓AI模型的正向生成與反向回推過程更一致。</p> <p>如果把生成過程想像成一條路線，模型原本從A點出發，經過多個步驟走到D點；現有方法在從D點倒退回A點時，可能會偏到另一個相近，但不完全相同的位置。Rex則希望讓模型更準確地沿著原路回去，降低每一步倒退時累積的誤差。</p> <p>研究人員表示，Rex雖然無法完全消除數值誤差，但相較於現有可逆方法，其反向推算誤差可降低數個數量級。換句話說，它不是讓模型變成絕對完美的「時光機」，但可以讓模型倒帶時，少偏離很多。</p> <p>這對生成式AI很重要，因為只要反向推算更準，模型就更容易做到可控修改，而不是每次修改都像重新抽一次籤。</p> <h2><strong>可用於AI藥物設計與分子模擬</strong></h2> <p>研究團隊指出，Rex的應用不只限於影像生成，更可能影響藥物設計和科學模擬。</p> <p>近年AI藥物研發快速發展，許多研究機構和藥廠開始用生成式AI探索候選分子。這類應用通常不是一次生成就結束，而是需要反覆調整分子結構，觀察不同設計對分子性質的影響。</p> <p>在這樣的工作流程中，模型能不能準確回到原始分子表示，就會影響後續分析的可信度。如果反向推算誤差太大，研究人員可能難以判斷某個結果，究竟來自真正的分子調整，還是模型回推過程中的偏差。</p> <p>Rex若能降低這類誤差，就有機會提高分子設計、化學模擬和藥物探索流程的精準度。對藥物研發來說，這類底層求解器的改進雖然不像新模型發布那麼吸睛，但卻能影響AI模型在高精度科研場景中的可靠性。</p> <p>除了藥物設計，材料科學、流體力學、氣候模擬等領域，也同樣需要在正向模擬與反向分析間切換。只要模型需要回推系統如何演變到目前狀態，反向求解精度就會是重要的課題。</p> <h2><strong>影像編輯是最直觀應用</strong></h2> <p>Rex最容易應用的一大領域，就是AI影像編輯。</p> <p>Rex作者Zander Blasingame指出，精確反向求解器的一項重要應用，就是round-trip image editing，也就是讓AI生成圖片後，再回到原始表示進行修改，接著重新生成圖片。</p> <p>他表示，所有可逆方法都會累積一定程度的數值誤差，但Rex的反向誤差比同類方法低了很多。也就是說，當AI能更準確回到原始潛在表示後，使用者就能修改特定內容，例如髮型、背景或服裝，同時保留人物臉部特徵和其他重要細節，而不會因為重新生成，導致整體畫面出現明顯變化。這也是目前許多AI修圖工具有待改善的問題。</p> <h2><strong>可整合既有生成模型，不必重建系統</strong></h2> <p>Rex另一個亮點是，它不是一個全新的AI大模型，而是一套底層數值求解框架。</p> <p>研究團隊表示，Rex可整合到既有擴散模型和流匹配模型中，不需要開發者重新設計整套AI系統。對已採用生成式AI技術的研究團隊或企業來說，導入門檻相對低。</p> <p>從產業角度來看，過去幾年，各界大多關心模型能不能生成更逼真的圖片、更合理的分子，或更快速完成模擬。但當生成式AI開始深入藥物設計、工程設計和科學研究等場景後，光是「能生成」已經不夠，模型還要能被精準控制，且能清楚回溯生成過程。而Rex這類方法，就是要補上生成式AI在可逆性與可控性的缺口。</p> </div></div></div>
6/24 18:09作者王若樸https://www.ithome.com.tw/news/176857
【資安日報】6月24日，Klue供應鏈攻擊事故延燒，10家資安公司受波及
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><h3><strong>本日新聞焦點</strong></h3> <p>● <a href="https://www.ithome.com.tw/news/176854#Klue">Huntress、LastPass等10家資安公司因Klue事故受害</a></p> <p>● <a href="https://www.ithome.com.tw/news/176854#FortiBleed">駭客利用FortigateSniffer搜刮防火牆設備的憑證資料</a></p> <p>● <a href="https://www.ithome.com.tw/news/176854#Defesa">巴西民防警報系統被駭客用來發送假警報</a> <a id="Klue" name="Klue"></a></p> <p> </p> <p><a href="https://www.ithome.com.tw/news/176833"><span style="font-size: 22px;"><strong>駭客滲透Klue Battlecards整合服務竊取用戶Salesforce資料，犯案過程僅不到一天</strong></span></a></p> <p>Salesforce近日透露偵測到應用程式Klue Battlecards出現異常活動，可能有部分用戶資料遭到未經授權存取，宣布暫時切斷該應用程式與Salesforce平臺之間的連結。然而在該公司發出公告之前，有資安公司要Klue用戶提高警覺。6月17日威脅情報公司ReliaQuest提出警告，他們觀察到攻擊者透過遭入侵的Klue Battlecards整合服務，利用OAuth權杖（token）及自動化REST API查詢，大規模竊取Salesforce平臺的用戶資料，過程歷時約24小時。<a href="https://www.ithome.com.tw/news/176833">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/176820"><span style="font-size: 22px;"><strong>威脅情報公司Huntress證實遭到Klue供應鏈攻擊事故影響</strong></span></a></p> <p><a href="/sites/default/files/images/assets_3eb6f92aedf74f109c7b4b0897ec39a8_e9bb33095bd14ccba8b9fbb2d1640ff0-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/assets_3eb6f92aedf74f109c7b4b0897ec39a8_e9bb33095bd14ccba8b9fbb2d1640ff0-63.jpg" style="width: 300px; float: right;" /></a></p> <p>針對近期發生的Klue供應鏈攻擊事故，威脅情報公司Huntress於6月18日發布部落格文章表示，該公司受到這起事故影響，該公司暴露的檔案為存放在Salesforce的資料，包括企業聯絡資訊、企業名稱、試用或使用的產品、訂閱資訊，以及銷售溝通資訊與備註資料。與Huntress產品或基礎設施相關的資料，遙測、密碼、付款資訊均未受到影響。這起事故最早發生在6月11日，攻擊者在Klue後端系統中植入惡意程式碼；6月16日，Huntress員工收到勒索信，要脅48小時內進行聯繫。<a href="https://www.ithome.com.tw/news/176820">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176821"><span style="font-size: 22px;"><strong>受Klue被駭影響，密碼管理服務廠商LastPass外洩客戶聯絡、支援資料</strong></span></a></p> <p>受到AI市場情報分析平臺Klue引發的Salesforce系統未經授權存取影響，密碼管理服務LastPass於6月23日公告，部分客戶的聯絡和客戶支援資料因而外洩。該公司於6月12日得知其使用的第三方平臺Klue發生被駭事故，Klue也整合了LastPass使用的Salesforce和Gong系統。調查後得知，駭入Klue的駭客取得了Klue儲存的用戶端OAuth權杖，之後這個駭客就用於存取Salesforce環境下的LastPass客戶資料。<a href="https://www.ithome.com.tw/news/176821">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176827"><span style="font-size: 22px;"><strong>多家資安公司確認Salesforce系統發生資料外洩，起因是Klue供應鏈攻擊</strong></span></a></p> <p>威脅情報公司ReliaQuest、雲端CRM廠商Salesforce揭露應用程式Klue Battlecards遭到入侵的事故，駭客企圖藉此竊取用戶在Salesforce存放的資料，威脅情報公司Huntress首先表示他們受到影響，後續有多家資安公司也公告證實受害。根據6月22日資安新聞網站SecurityWeek的報導，有9家資安公司針對Klue事故發出相關公告，這些公司是：HackerOne、Huntress、Insurity、Jamf、OneTrust、Recorded Future、Snyk、Sprout Social，以及Tanium。<a href="https://www.ithome.com.tw/news/176827">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176822"><span style="font-size: 22px;"><strong>ShinyHunters聲稱Klue供應鏈攻擊是他們發動的</strong></span></a></p> <p>上週Salesforce宣布暫時切斷應用程式Klue Battlecards與Salesforce平臺之間的連結，並透露可能有部分用戶資料遭到未經授權存取。威脅情報公司ReliaQuest於6月22日更新部落格文章內容，有自稱是ShinyHunters的團體在Telegram頻道宣稱犯案，多家公司Salesforce執行個體遭到外洩，這些受害公司都是Klue的合作夥伴，向Klue喊話要求談判，並留下勒索團體Lcarus的即時通訊軟體Session的ID，這代表ShinyHunters可能與Icarus有所關聯。<a href="https://www.ithome.com.tw/news/176822">詳全文</a> <a id="FortiBleed" name="FortiBleed"></a></p> <p><a href="https://www.ithome.com.tw/news/176813"><span style="font-size: 22px;"><strong>FortiBleed技術細節曝光，駭客利用FortigateSniffer發動攻擊</strong></span></a></p> <p>針對近日揭露的FortiBleed大規模憑證竊取攻擊活動，威脅情資公司SOCRadar發布深度報告，指出這場俄羅斯駭客組織發起的攻擊行動自2026年2月即開始，目標鎖定全球超過43萬臺FortiGate防火牆設備，並使用基於Golang的FortigateSniffer來濫用系統內建的診斷指令。研究人員強調，攻擊者透過自動化掃描、離線密碼破解技術，以及過往外洩資料，發展出一套有如工業自動化、具高度效率的攻擊流程，是這起事件最受資安社群關注的核心焦點。<a href="https://www.ithome.com.tw/news/176813">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176805"><span style="font-size: 22px;"><strong>訴求AI時代端點防禦革新，資安新創Ent首獲1億美元種子輪募資</strong></span></a></p> <p>隨著生成式AI與AI Agent進入企業工作流程，端點安全的防護邏輯也正被重新檢視。近期浮出檯面的資安新創Ent，主張過去十多年資安產業過度依賴偵測與回應，但在AI加快工作與攻擊速度的情況下，單靠事後調查已不足因應。該公司試圖將端點防護重新拉回預防，並已獲得資安業界少見的1億美元種子輪募資，以及多家全球二千大企業與國防單位導入。Ent的投資者包括由美國中情局協助創立的創投公司In-Q-Tel，代表美國政府對AI資安的高度重視。<a href="https://www.ithome.com.tw/news/176805">詳全文</a> <a id="Defesa" name="Defesa"></a></p> <p><a href="https://www.ithome.com.tw/news/176831"><span style="font-size: 22px;"><strong>巴西民防警報系統疑遭入侵，里約熱內盧等地民眾收到假警報</strong></span></a></p> <p>巴西民防警報系統Defesa Civil Alerta在6月19日晚間至20日凌晨遭未經授權使用，有人透過公共警報發送介面（IDAP）向多個地區民眾的手機發送假冒的緊急警報，影響範圍包括聖保羅州、南馬托格羅索州、里約熱內盧州、巴拉那州與聯邦區。巴西整合與區域發展部（MIDR）指出，初步調查顯示，在6月19日晚上11點至6月20日凌晨1點之間，共發生10次未授權發送行為，其中9次是透過Defesa Civil Alerta採用的細胞廣播技術發送的極端等級警報。<a href="https://www.ithome.com.tw/news/176831">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176802"><span style="font-size: 22px;"><strong>沙國零售商BinDawood揭露資料外洩，該國政府年初已針對48起違反個資法PDPL案件開罰</strong></span></a></p> <p>5月31日沙烏地阿拉伯大型零售集團BinDawood Holding在該國證券交易所（Tadawul）發布重大訊息公告，揭露旗下子公司BinDawood Superstores遭遇資安事故。該集團本身是沙國知名的超市與量販店營運商，他們表示已成功控制一起資安事件，由於電商平臺應用系統存在資安漏洞，導致部分客戶的訂單資料外洩。BinDawood表示資安團隊已針對導致外洩的漏洞進行修補，並委請經沙烏地國家資安局（NCA）認證的專業資安機構協助處理。<a href="https://www.ithome.com.tw/news/176802">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176794"><span style="font-size: 22px;"><strong>FFmpeg修補遠端程式碼執行漏洞PixelSmash</strong></span></a></p> <p>開源多媒體處理軟體FFmpeg修補名為PixelSmash的漏洞，若不處理可導致遠端程式碼執行，該漏洞已被登記為CVE-2026-8461，問題出現在程式庫libavcodec，其中的解碼器MagicYUV存在越界寫入弱點，攻擊者可造成服務中斷，甚至有機會用來執行任意程式碼，CVSS風險評為8.8分。揭露此事的資安公司JFrog指出，濫用PixelSmash輕而易舉，攻擊者只需上傳50 KB的惡意影音檔案，就能在無須通過身分驗證或提升權限的情況下利用。<a href="https://www.ithome.com.tw/news/176794">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176808"><span style="font-size: 22px;"><strong>蘋果自研晶片存在BootROM漏洞usbliter8，可破壞應用處理器開機鏈</strong></span></a></p> <p>資安研究公司Paradigm Shift公開usbliter8漏洞研究，揭露Apple A12、A13、S4、S5等晶片存在BootROM層級漏洞，並釋出概念驗證程式。研究團隊指出，usbliter8漏洞涉及晶片內不可變的SecureROM，以及USB控制器的資料寫入行為，因此受影響裝置難以靠一般軟體更新根治，換用較新硬體是較有效的緩解方式。<a href="https://www.ithome.com.tw/news/176808">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176775"><span style="font-size: 22px;"><strong>駭客積極利用WordPress外掛Gravity SMTP漏洞，影響10萬網站，Wordfence已攔截逾1,700萬次攻擊嘗試</strong></span></a></p> <p><a href="/sites/default/files/images/Blocked-attacks-WAF-911-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/Blocked-attacks-WAF-911-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安業者Wordfence於6月17日發布警示，駭客已開始積極利用WordPress電子郵件外掛Gravity SMTP的高風險漏洞CVE-2026-4020，自6月初起，Wordfence開始觀察到利用此漏洞的攻擊迅速增加，在6月7日至11日期間，他們的防火牆服務每日都攔截到數百萬次攻擊嘗試，最高峰達到單日400萬次，迄今已累積阻擋超過1,700萬次攻擊。前述漏洞於3月底修補，未經授權的攻擊者只需向Gravity SMTP的REST API端點，發送含有特定查詢參數的GET請求，就能觸發漏洞，獲得外掛程式儲存的敏感資訊。<a href="https://www.ithome.com.tw/news/176775">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176772"><span style="font-size: 22px;"><strong>新攻擊手法AutoJack可讓惡意網頁透過AI代理觸發本機程式執行</strong></span></a></p> <p><a href="/sites/default/files/images/AutoJack-47-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/AutoJack-47-63.jpg" style="width: 300px; float: right;" /></a></p> <p>微軟研究團隊揭露新攻擊手法AutoJack，指出AutoGen多代理系統框架上的開發介面AutoGen Studio，其開發版本曾存在可被串連利用的一系列弱點。攻擊者只要讓具備網頁瀏覽能力的AI代理程式開啟惡意網頁，就可能藉由本機MCP WebSocket介面，讓主機執行攻擊者指定的程式。目前相關問題已在AutoGen主分支修補，且受影響介面未進入Python套件庫正式發行版。AutoJack攻擊鏈結合了三個設計缺陷，其中一個是利用本機AI代理載入惡意內容，可繞過原本阻擋惡意網站的防護機制。<a href="https://www.ithome.com.tw/news/176772">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176730"><span style="font-size: 22px;"><strong>M365 Copilot存在資訊外洩攻擊手法，透過點擊連結即可誘導AI助理洩漏敏感資料</strong></span></a></p> <p><a href="/sites/default/files/images/Blog_VTL-SearchLeak_Diagram_202606_FNL-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/Blog_VTL-SearchLeak_Diagram_202606_FNL-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安業者Varonis近日揭露新型攻擊手法SearchLeak，攻擊者可利用Microsoft 365 Copilot Enterprise Search功能中的漏洞，在受害者僅點擊一次連結的情況下，濫用Copilot的存取權限取得敏感資訊。微軟將其編號為CVE-2026-42824，並於6月份例行更新中完成修補。SearchLeak利用生成式AI時代出現的新型攻擊手法——參數轉換為提示詞注入（Parameter-to-Prompt Injection），將URL連結中的參數內容，轉為誘導AI助理執行的指令，再結合兩種既有手法，達到搜尋與外洩用戶敏感資料的目的。<a href="https://www.ithome.com.tw/news/176730">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176795"><span style="font-size: 22px;"><strong>Oracle發布2026年6月關鍵安全修補更新，共修補243項漏洞，含多項CVSS滿分重大漏洞</strong></span></a></p> <p>Oracle於6月16日發布2026年6月份關鍵安全修補更新（CSPU），共發布245項更新程式，修補243項漏洞，包括122項重大漏洞，影響範圍包括中介軟體、身分識別、企業應用、虛擬化等11個產品家族。資安業者Tenable進一步分析指出，大約40%（共100項）都無需身分驗證即可透過網路發動攻擊。而在這次Oracle修補的漏洞中，最嚴重的是CVSS嚴重性評分達10.0分的11項重大漏洞，其中Oracle Fusion Middleware產品線就占10項。<a href="https://www.ithome.com.tw/news/176795">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176787"><span style="font-size: 22px;"><strong>OpenAI擴大Daybreak資安計畫，發表Patch the Planet協助開源專案修補漏洞</strong></span></a></p> <p>OpenAI於6月22日宣布擴大其資安防禦計畫Daybreak，推出專為資安工作打造的AI模型GPT-5.5-Cyber完整版、更新程式碼資安工具Codex Security，並發表協助開源專案修補漏洞的Patch the Planet計畫。OpenAI在發布完整版GPT-5.5-Cyber的同時，首度公布其性能測試成績，GPT-5.5-Cyber在CyberGym測試中取得85.6%成績，高於GPT-5.5的81.8%，在ExploitGym及SEC-bench Pro等資安測試中的表現，也優於一般版GPT-5.5。<a href="https://www.ithome.com.tw/news/176787">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176801"><span style="font-size: 22px;"><strong>Cloudflare加入支援微軟、Google及Mozilla推動的網頁安全協定PACT</strong></span></a></p> <p>資安公司Cloudflare於6月22日宣布，將參與Private Access Control Tokens（PACT）通訊協定的標準化工作，目的是確保AI代理人自動化網頁作業的安全性及效率。PACT由微軟、Google、Mozilla、Shopify推動，主要是為了防堵自動化網頁爬蟲未經同意擷取網頁內容，或增加網頁點擊率、搶購票券等濫用行為。PACT的宗旨是讓使用者的瀏覽器提供匿名化權杖（token）給要登入的網站，證明行為者是真人，藉此取代CAPTCHA。<a href="https://www.ithome.com.tw/news/176801">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/176826"><span style="font-size: 22px;"><strong>1Password併購身分安全新創Apono，強化AI代理與非人類身分即時存取治理</strong></span></a></p> <p>非人類身分（NHI）與AI代理持續成為資安市場關注的焦點，知名身分識別與安全廠商1Password於6月15日宣布併購以色列資安新創公司Apono。1Password強調，Apono是即時（Just-In-Time）存取治理領域的創新者，此次併購將加速實現將各類身分管理整合至單一平臺的願景。1Password計畫將Apono的技術整合進今年3月推出的統一存取平臺。具體的整合方向，包括透過Apono的「意圖存取控制」即時監測其行為是否偏離預期意圖。<a href="https://www.ithome.com.tw/news/176826">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176789"><span style="font-size: 22px;"><strong>五眼聯盟示警前沿AI將改變網路攻防，籲企業加速強化資安韌性</strong></span></a></p> <p>由美國、英國、加拿大、澳洲與紐西蘭組成的情報共享組織五眼聯盟（Five Eyes），於6月22日發布聯合聲明，警告前沿AI模型（frontier AI model）可能在數個月內改變網路攻防能力，企業與公部門必須加速強化網路韌性。在實務建議上，五眼聯盟提出5項優先行動，包括降低網路攻擊面、加速漏洞修補流程、處理不再受支援的老舊系統、強化身分安全管理與存取控制，以及在資安事件發生前完成應變準備。<a href="https://www.ithome.com.tw/news/176789">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176792"><span style="font-size: 22px;"><strong>川普簽署行政命令，加速量子電腦發展與後量子資安部署</strong></span></a></p> <p>美國總統川普於6月22日簽署兩項行政命令，一方面加速量子電腦、量子感測與量子網路等技術發展，另一方面推動聯邦政府加速導入後量子密碼（PQC），希望在擴大美國量子競爭力的同時，降低量子運算未來對現行加密系統造成的資安風險。在量子技術發展方面，川普要求白宮科技政策辦公室（OSTP）更新國家量子戰略，並成立國家計畫QC-ADDS，目標是打造可用於科學研究與商業應用開發的大型量子電腦。<a href="https://www.ithome.com.tw/news/176792">詳全文</a></p> </div></div></div>
6/24 16:18作者周峻佑https://www.ithome.com.tw/news/176854
要將藥物篩選時間從幾天縮短到幾分鐘！Nvidia推BioNeMo Agent Toolkit
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p data-end="53" data-section-id="1apmig5" data-start="0">Nvidia日前<a href="https://nvidianews.nvidia.com/news/nvidia-launches-bionemo-agent-toolkit-giving-ai-agents-the-tools-to-accelerate-scientific-discovery">推出</a>生命科學專用AI代理開發工具BioNeMo Agent Toolkit，將蛋白質設計、分子模擬、基因組分析和醫學影像等生命科學工具封裝成AI代理（AI Agent）可直接呼叫的能力（Skills），讓研究人員能打造具專業科學知識和運算能力的AI代理，加速藥物探索、生命科學研究。</p> <p data-end="557" data-start="200">目前已有50多家企業與研究機構採用這套工具，包括<span data-state="closed">OpenAI</span>、<span data-state="closed">Anthropic</span>、<span data-state="closed">Databricks</span>、<span data-state="closed">Snowflake</span>、禮來製藥（<span data-state="closed">Eli Lilly）</span>、<span data-state="closed">Schrödinger</span>、達梭，以及華盛頓大學蛋白質設計研究所等。Nvidia表示，BioNeMo Agent Toolkit已於<a href="https://github.com/NVIDIA-BioNeMo/bionemo-agent-toolkit">GitHub上開放使用</a>。</p> <h2 data-end="581" data-section-id="beoxja" data-start="559"><strong>把生命科學工具變成Agent可呼叫的能力</strong></h2> <p data-end="745" data-start="583">AI代理這2年遍地開花，但大多數應用還是在辦公室助理、客服或軟體開發等場景。相較之下，生命科學研究需要大量專業模型、分析工具和獨特的工作流程，例如蛋白質結構預測、分子對接（Molecular Docking）、基因定序分析和醫學影像處理等，即使大型語言模型（LLM）具備推理能力，也未必知道該使用哪些工具、如何設定參數，以及如何解讀分析結果。</p> <p data-end="814" data-start="747">因此，Nvidia打造BioNeMo Agent Toolkit，就是要將這些原本分散的生命科學模型、函式庫和分析工具，轉換成AI代理可直接調用的能力。</p> <p data-end="946" data-start="816">這套工具包整合多項Nvidia技術，包括作為推理核心的Nemotron模型、負責工具調用與工作流程控制的NemoClaw、用來部署模型的NIM微服務，以及提供受控執行環境的OpenShell。AI代理可透過自然語言理解研究目標，再依序呼叫不同模型和工具，來完成任務。</p> <p data-end="1035" data-start="948">Nvidia表示，開發者不必自行整合各種生命科學軟體、模型，透過BioNeMo Agent Toolkit就能快速打造具備生物學、化學、基因組學及藥物研發知識的AI代理。</p> <h2 data-end="1057" data-section-id="gq2jsg" data-start="1037"><strong>支援藥物篩選、基因分析與蛋白質設計</strong></h2> <p data-end="1096" data-start="1059">BioNeMo Agent Toolkit目前已支援多項生命科學研究場景。</p> <p data-end="1211" data-start="1098">比如，在藥物探索方面，AI代理可自動生成候選化合物、執行虛擬篩選、進行分子對接，並預測藥物與目標蛋白質的結合能力，再從大量候選分子中篩選出值得優先投入實驗的對象。Nvidia甚至直言，部分藥物篩選工作，可從原本的數天縮短到只要幾分鐘。</p> <p data-end="1303" data-start="1213">在基因組分析領域，AI代理則可結合Nvidia Parabricks，來分析DNA定序資料、辨識基因變異，再透過基因組基礎模型評估疾病相關性，協助研究人員找出可進一步研究的潛在生物標靶。</p> <p data-end="1388" data-start="1305">此外，BioNeMo Agent Toolkit也支援蛋白質結合體（Protein Binder）設計、醫學影像分析、文獻回顧、臨床試驗規畫及藥物安全監測等工作流程。</p> <p data-end="1458" data-start="1390">Nvidia指出，目前已有超過50家企業，運用這些能力來進行蛋白質結構預測、分子對接、生成式化學、基因組分析、蛋白質設計及生物標記發現等應用。</p> <h2 data-end="1486" data-section-id="1rf2nk2" data-start="1460"><strong>OpenAI、Anthropic和藥廠都採用這套工具</strong></h2> <p data-end="1537" data-start="1488">除了研究機構，多家AI與生技企業也正將BioNeMo Agent Toolkit整合到自家平臺。</p> <p data-end="1673" data-start="1539">例如OpenAI與Anthropic，正用BioNeMo建立生命科學代理工作流程；Databricks、Snowflake和Benchling等資料平臺業者，則利用BioNeMo串接生物化學資料集、分析模型輸出結果，並將研究洞察回傳至科學家日常使用的工作平臺。</p> <p data-end="1752" data-start="1675">製藥與診斷公司方面，包括禮來製藥和基因檢測大廠Natera，也都正用BioNeMo建立可重複使用的代理工作流程，應用於藥物探索、轉譯醫學研究和臨床洞察分析。</p> <p data-end="1886" data-start="1754">華盛頓大學蛋白質設計研究所也運用這套工具，來優化蛋白質設計模型RosettaFold3，執行效能比前一代模型高出2倍。同時，他們也持續用這套工具，開發更多加速蛋白質設計的應用。</p> </div></div></div>
6/24 16:47作者王若樸https://www.ithome.com.tw/news/176856
刑事局揭露濫用LINE螢幕共享、竊取TWQR付款碼的社交工程陷阱
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>隨著行動支付日益普及，標榜跨平臺整合的「TWQR」掃碼支付竟成為網路犯罪集團詐財新管道。刑事警察局今年4月首度針對此威脅向大眾示警，並促請相關業者強化風險警示與異常交易監測。近日刑事局進一步公布打擊行動成果，並詳細揭露這起新興社交工程手法。</p> <p>刑事局詐欺犯罪防制中心指出，自今年3月起，國內利用電子支付進行的「新型態詐欺洗錢模式」案件量出現異常暴增趨勢，分析後發現網路犯罪集團採用新手法，針對不清楚「螢幕共享」風險、不知道會因此導致TWQR付款碼遭截取的民眾，開發出複合式詐騙手法。</p> <p><a href="/sites/default/files/images/TWQR掃碼詐欺手法解析＿圖片擷取自刑事局詐欺犯罪防治中心.jpg"><img alt="" src="/sites/default/files/images/TWQR%E6%8E%83%E7%A2%BC%E8%A9%90%E6%AC%BA%E6%89%8B%E6%B3%95%E8%A7%A3%E6%9E%90%EF%BC%BF%E5%9C%96%E7%89%87%E6%93%B7%E5%8F%96%E8%87%AA%E5%88%91%E4%BA%8B%E5%B1%80%E8%A9%90%E6%AC%BA%E7%8A%AF%E7%BD%AA%E9%98%B2%E6%B2%BB%E4%B8%AD%E5%BF%83.jpg" style="width: 360px; float: right;" /></a></p> <p>根據刑事局公布的手法解析，這項網路犯罪手法有4大關鍵階段：首先，詐團透過社群貼文引誘民眾注意，如「小農疏果優惠」、「限量門票」或「結緣免費送」，以優惠、限量與免費為號召，吸引民眾主動洽詢。建立聯繫之後，再以支付運費、確認收件資訊為由，引誘被害人前往釣魚網站，像是偽冒「7-ELEVEN賣貨便」等電商連結頁面輸入個資。</p> <p>接著，詐團會假冒銀行或電商客服致電被害人，聲稱其帳戶「未完成實名認證」或「帳戶異常」，要求加入LINE客服進行金流驗證。此階段的關鍵手法在於，對方會要求被害人開啟LINE的「派對功能」（即螢幕共享），宣稱是為了線上指導操作。</p> <p>最後，在螢幕共享狀態下，誘騙被害人打開電子支付App產生TWQR付款碼，便能即時監看受害者手機畫面與擷取該付款碼，並傳給待命的「掃碼車手」。</p> <p>刑事局表示，在近日發動的全國同步掃蕩行動中，彙整相關異常交易及車手具體情資，成功緝獲117名涉案嫌犯。這些「掃碼車手」會前往超商列印遊戲點數單，並以上述收到的他人付款碼完成付款。經初步清查，受害人數高達1,341人，總財損金額高達1.3億元。</p> </div></div></div>
6/24 17:11作者羅正漢https://www.ithome.com.tw/news/176852
紅帽Project Navigator協助OpenShift AI最佳化模型選擇與部署
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.redhat.com/en/blog/introducing-project-navigator-ai-intent-optimized-deployment-red-hat-openshift-ai" target="_blank">開源解決方案與混合雲平臺供應商紅帽（Red Hat）於6月22日發表Project Navigator</a>，這是建置在企業AI與機器學習平臺Red Hat OpenShift AI的功能，目前已隨OpenShift AI 3.4推出開發者預覽版。這項工具支援以自然語言描述AI應用需求，協助企業依據叢集資源與效能條件，找出合適的模型與部署設定，縮短AI應用從模型評估到正式部署的流程。</p> <p>Project Navigator目前包含兩項能力。首先是智慧模型選擇，系統會將使用者描述的需求，比對MMLU、HumanEval等評估大型語言模型能力的基準測試資料，並從使用者的模型目錄中，推薦偏重成本、效能或兼顧兩者的模型。</p> <p>另一項能力是最佳化模型部署。使用者選定模型後，Project Navigator可產生符合叢集狀態的Kubernetes部署清單（manifest），包括KServe的InferenceService推論服務規格、設定擴縮規則的水平Pod自動擴縮器（HorizontalPodAutoscaler），以及用於Prometheus這類系統狀態觀測系統的ServiceMonitor。</p> <p>Project Navigator建立在模型脈絡協定（MCP）之上，可嵌入團隊既有AI開發流程，讓使用Claude Code、Cursor或Gemini CLI等工具的工程師，不必切換工作環境就能存取Navigator功能。</p> <p>紅帽表示，Project Navigator採開源方式發展，<a href="http://github.com/opendatahub-io/rhoai-mcp" target="_blank">並於Open Data Hub社群中</a>，以RHOAI MCP Server專案進行上游開發</p> </div></div></div>
6/24 15:12作者王珮瑤https://www.ithome.com.tw/news/176853
Meta發表Meta Glasses AI眼鏡，首搭Muse Spark模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.meta.com/zh-tw/blog/introducing-meta-glasses-a-range-of-new-styles-from-meta-and-essilorluxottica-starting-at-299/" target="_blank">Meta周二（6/23）宣布推出全新AI眼鏡Meta Glasses</a>，成為繼Ray-Ban Meta與Oakley Meta之後的第三條AI眼鏡產品線，也是Meta首度以自有品牌推出AI眼鏡產品。Meta Glasses售價299美元，並首度搭載由Meta Superintelligence Labs開發的<a href="https://www.ithome.com.tw/news/174932" target="_blank">Muse Spark模型</a>。</p> <p>Meta Glasses提供Meta Adventurer、Meta Fury，以及與美妝網紅Kylie Jenner合作設計的Meta Glasses by Kylie等3種鏡框款式，並可搭配處方鏡片、太陽眼鏡、偏光及變色鏡片，總計有26種組合。至於Muse Spark，則是Meta Superintelligence Labs推出的首款模型，負責驅動新版Meta AI，而Meta Glasses是首款上市時即內建Muse Spark版Meta AI的AI眼鏡。</p> <p>Meta Glasses內建開放式喇叭、多麥克風陣列及拍照錄影功能，電池續航力超過8小時。</p> <p>新一代Meta AI強化了多模態理解能力，可提供更自然的語音互動體驗，讓Meta Glasses可更理解使用者看到的內容，並提供更即時的AI回應，從回答問題、查詢運動賽事資訊、推薦附近餐廳，一直到協助管理行事曆、建立健康習慣及處理日常事務等。</p> <p>除了Meta Glasses之外，美國及加拿大的Ray-Ban Meta與Oakley Meta用戶，也已可透過更新使用新版Meta AI。</p> <p>Meta也預告將陸續推出動態拍照與步行導航等功能，並將即時翻譯支援語言從原本的6種擴大至20種，新增中文、日文、韓文及印地語等14種語言。</p> <p>Meta Glasses即日起於北美、歐洲及澳洲等市場上市，可透過Meta官網、LensCrafters、Sunglass Hut、Best Buy及Amazon等通路購買。值得注意的是，Meta此次雖將即時翻譯功能擴大支援中文、日文、韓文及印地語等亞洲語言，但首波上市市場並未涵蓋亞洲國家。</p> </div></div></div>
6/24 13:29作者陳曉莉https://www.ithome.com.tw/news/176835
甲骨文過去12個月裁員2.1萬人，預告可能還有重組計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>面臨AI投資壓力，<a href="https://d18rn0p25nwr6d.cloudfront.net/CIK-0001341439/0723dfa7-be5f-4227-9da6-eff3cce376a8.pdf" target="_blank">甲骨文（Oracle）本周發布2026年會計年度年報</a>，顯示在過去12個月中，公司已裁員2.1萬人。該公司報告預告也不排除會有新的重組計畫。</p> <p>根據甲骨文向美國證管會提交的10-K文件，截至2026年5月31日，其全職員工接近14.1萬人，其中美國和全球各約4.9萬及9.2萬。<a href="https://www.beckershospitalreview.com/healthcare-information-technology/ehrs/oracle-cut-21k-jobs-in-fy-2026/" target="_blank">醫療分析媒體報導</a>，這個數字和2025年會計年度的162,000人相比減少了21,000人，員工人數減少約13%。</p> <p>此外，甲骨文年報列出公司重組（restructuring）費用達18.4億美元，相較於前一年的3.74億美元大幅上揚。該公司說明，2025年重組費用較低是因為2024年已很完整。但甲骨文解釋2026年公司重組計畫是基於公司轉型推動的新雲端服務投資，包括第二代雲端基礎架構。</p> <p>甲骨文預告，新的會計年度公司可能還會啟動新的重組計畫，而衍生額外的重組支出。</p> <p><strong>AI資料中心帶來的資金壓力</strong></p> <p>2025年甲骨文與OpenAI、軟銀（SoftBank）等夥伴簽訂合作的大型AI基礎設施（包含Stargate計畫在內），總投資額上看數千億美元的AI資料中心網路，在財務面上帶來了空前的資金消耗與槓桿壓力。</p> <p>甲骨文會計年度2026年第4季營收為191.8億美元，超過其發布指引（guidance）的191億美元。由於基礎設施建置的現金流出過於龐大，甲骨文甚至罕見地出現負237億美元的自由現金流（free cash flow）。對於過去一直維持高獲利、穩定現金流的甲骨文來說是前所未有的現象。</p> <p><a href="https://thenextweb.com/news/oracle-q4-fy2026-capex-55-billion-ai-data-center-openai" target="_blank">媒體報導</a>，2027財年該公司還預估投入950億美元AI資料中心，比2026年的557億還要增加，這迫使甲骨文需再透過發債或尋求融資籌資400億美元。</p> <p><a href="https://www.beckershospitalreview.com/healthcare-information-technology/ehrs/which-jobs-were-cut-at-oracle-health/" target="_blank">市場傳言</a>華爾街分析師推測，資金壓力可能迫使甲骨文出售2022年買下的Cerner業務、現改名為Oracle Health。</p> </div></div></div>
6/24 13:37作者林妍溱https://www.ithome.com.tw/news/176836
Anthropic推Claude Tag，讓Claude化身Slack團隊成員接受交辦任務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.anthropic.com/news/introducing-claude-tag" target="_blank">Anthropic周二（6/23）發表全新企業協作功能Claude Tag</a>，讓Claude以團隊成員身分加入Slack頻道。企業可授權Claude存取指定工具、資料來源及程式碼庫，之後頻道成員只需標註@Claude，即可將任務交辦給它處理，而無須開啟獨立對話視窗。</p> <p>Anthropic表示，Claude Tag是Claude Code演進的開端，目標是讓AI從個人助理轉變為團隊共享的協作者。目前Anthropic內部已廣泛使用該功能，產品團隊約65%的程式碼是由內部版本的Claude Tag產生，員工也利用它分析產品數據、處理客服工單，以及協助追查程式錯誤。</p> <p>與一般將AI助理整合至Slack的作法不同，Claude Tag強調「共享AI同事」概念。在同一個Slack頻道中，所有成員都是與同一個Claude互動，因此能共享工作脈絡與討論歷史。Claude也會持續累積頻道中的背景知識，減少使用者重複提供資訊的需求。若獲得授權，它還能從其他資料來源取得相關資訊，以建立更完整的工作背景。</p> <p>Claude Tag也具備主動與非同步工作能力。企業可啟用Ambient（環境感知）模式，讓Claude主動整理重要資訊、追蹤尚未解決的討論串，或提醒團隊需要注意的事項。使用者交辦任務後，也可離開處理其他工作，Claude則持續執行任務，甚至可自行安排後續工作，在數小時或數天內持續推進專案。</p> <p>為降低企業資料外洩風險，Anthropic允許管理員針對不同Slack頻道設定獨立權限與工具存取範圍。例如負責銷售的Claude不會與工程團隊共用記憶，也無法存取工程相關資料。管理員也能設定Token使用上限，並檢視Claude執行過的所有操作紀錄與任務來源。</p> <p>Claude Tag目前以測試版形式提供給Claude Enterprise及Team方案客戶使用，並將取代現有的Claude in Slack應用程式。Anthropic表示，未來將擴大支援更多團隊協作平臺。</p> </div></div></div>
6/24 13:41作者陳曉莉https://www.ithome.com.tw/news/176837
多家資安公司確認Salesforce系統發生資料外洩，起因是Klue供應鏈攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><strong><a href="https://www.ithome.com.tw/news/176833">威脅情報公司ReliaQuest</a></strong>、<strong><a href="https://www.ithome.com.tw/news/176798">雲端CRM廠商Salesforce</a></strong>揭露應用程式Klue Battlecards遭到入侵的事故，駭客企圖藉此竊取用戶在Salesforce存放的資料，<strong><a href="https://www.ithome.com.tw/news/176820">威脅情報公司Huntress首先表示他們受到影響</a></strong>，並公布相關調查結果，後續有多家資安公司也公告證實受害。</p> <p>根據6月22日<strong><a href="https://www.securityweek.com/more-cybersecurity-firms-disclose-impact-from-klue-hack/">資安新聞網站SecurityWeek的報導</a></strong>，有9家資安公司針對Klue事故發出相關公告，這些公司是：<strong><a href="https://www.hackerone.com/security-updates/klue-2026-06">HackerOne</a></strong>、Huntress、<strong><a href="https://status.insurity.com/incidents/vhhrc014kn85">Insurity</a></strong>、<strong><a href="https://www.jamf.com/blog/klue-incident/">Jamf</a></strong>、<strong><a href="https://www.onetrust.com/blog/update-from-onetrust-on-klue-salesforce-security-incident/">OneTrust</a></strong>、<strong><a href="https://www.recordedfuture.com/blog/klue-security-incident">Recorded Future</a></strong>、<strong><a href="https://status.snyk.io/incidents/3gw3m2ppwbp3">Snyk</a></strong>、<strong><a href="https://support.sproutsocial.com/hc/en-us/articles/46754555170701-Klue-Security-Incident-June-2026">Sprout Social</a></strong>，以及<strong><a href="https://www.tanium.com/blog/security-update-taniums-response-to-the-klue-breach-that-allowed-data-exfiltration-from-salesforce/">Tanium</a></strong>。這些受害公司的公告內容都提到，受影響的範圍僅有Salesforce執行個體，並未涉及其他的系統，旗下產品與應用系統正常運作。這些公司已切斷與Klue的整合，並著手調查及確認受影響的資料範圍。</p> <p>值得留意的是，後續密碼管理服務廠商LastPass也於6月23日，<strong><a href="https://www.ithome.com.tw/news/176821">證實部分客戶的聯絡和客戶支援資料外洩</a>，</strong>目前累計證實受害的資安廠商達到10家。</p> </div></div></div>
6/24 11:22作者周峻佑https://www.ithome.com.tw/news/176827
中國超級電腦LineShine奪冠，TOP500睽違9年再由中國稱王
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://top500.org/news/lineshine-debuts-no-1-top500-enters-new-global-exascale-era/" target="_blank">全球超級電腦排行榜TOP500周二（6/23）公布最新榜單</a>，中國深圳國家超級計算中心的LineShine（靈晟）以2.198 Exaflop/s效能超越美國El Capitan，成為全球首套突破2 Exaflop/s的超級電腦，也是中國自2017年神威太湖之光（Sunway TaihuLight）之後，睽違9年再度登上TOP500榜首。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0624-TOP500-600.png" style="width: 600px;" /></p> <p>第一次入榜即奪冠的LineShine是由深圳超算中心所建置，採用中國自主研發的LX2處理器、LingQi高速互連網路及麒麟作業系統（Kylin OS）。LineShine總計配置4萬960顆304核心LX2處理器、約1,379萬個運算核心，並未使用目前AI超級電腦常見的GPU加速器，而是以純CPU架構達到2.198 Exaflop/s效能。</p> <p>LineShine雖然在運算效能上登上全球第一，但其能源效率並不突出。TOP500資料顯示，LineShine運作功耗約42.2 MW，能源效率為52.07 Gigaflops/Watt，是前十大超級電腦中耗電最高的系統，在Green500能源效率排行榜則僅名列第50名。</p> <p>中國是在今年4月於境內發表LineShine，其<a href="https://www.nsccsz.cn/nsccsz2024/zxdt2024/202604/0c5dbb95-e6ca-496a-abba-1148cf586640.shtml" target="_blank">中文名稱為靈晟</a>。當時中國國家計算深圳中心主任盧宇彤即表示，靈晟採用了國產的CPU、高頻寬記憶體、高速互連網路、儲存、全液冷散熱等技術，軟硬體全棧自主可控。靈晟主要用來支援科學運算、工程運算，以及AI運算，涵蓋遙感、材料、生物資訊、氣象、藥物研發、石油勘探、AI、生命科學與電磁模擬等9大領域。</p> <p>除了LineShine之外，排名第二至第五的系統分別為美國勞倫斯利佛摩國家實驗室的El Capitan（1.809 Exaflop/s）、橡樹嶺國家實驗室的Frontier（1.353 Exaflop/s）、阿貢國家實驗室的Aurora（1.012 Exaflop/s），以及德國于利希超級計算中心的JUPITER Booster（1.000 Exaflop/s）。這也是Exascale超級電腦首度同時分布於亞洲、北美與歐洲三大洲。</p> <p>LineShine另一個特色是並未採用GPU加速器，而是以純CPU架構登上TOP500榜首。一般而言，CPU較適合處理通用科學運算、複雜邏輯與控制流程，GPU則擅長AI常見的大量平行與低精度運算。TOP500資料顯示，LineShine在HPL-MxP混合精度測試中以7.92 Exaflop/s排名第四，落後於El Capitan、Aurora及Frontier，顯示它雖在傳統HPL效能測試稱王，但在AI相關工作負載上並未領先。</p> <p>儘管純CPU的LineShine奪下榜首，GPU仍是目前超級電腦的主流架構。全球GPU龍頭<a href="https://blogs.nvidia.com/blog/top500-green500-supercomputers-isc-2026/" target="_blank">Nvidia表示</a>，最新TOP500榜單中有超過400套系統採用其技術，占整體81%；目前共有238套系統搭載Nvidia GPU、376套採用Nvidia網路技術。</p> <p>擁有最多TOP500超級電腦的前五大國家依序是美國（32.2%）、日本（8.8%）、德國（8.2%）、中國（6.2%）及法國，臺灣排名第十，總計有11臺超級電腦進榜，效能最高的是去年就進榜、效能為81.55 PFlop/s的<a href="https://www.ithome.com.tw/news/172397" target="_blank">Nano4</a>，只是它的名次從29名掉到了33名。</p> </div></div></div>
6/24 11:28作者陳曉莉https://www.ithome.com.tw/news/176828
金融業動起來！金管會公布後量子密碼遷移指引，要求建立CBOM與加密敏捷性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>量子運算技術快速發展，為協助國內金融業提前因應可能產生的風險，金管會近期發布<a href="https://www.fsc.gov.tw/ch/home.jsp?id=96&parentpath=0,2&mcustomize=news_view.jsp&dataserno=202606180001&aplistdn=ou=news,ou=multisite,ou=chinese,ou=ap_root,o=fsc,c=tw&dtable=News" target="_blank">「金融業後量子密碼（Post-Quantum Cryptography，PQC）遷移參考指引」</a>，提出金融機構規畫後量子密碼遷移的整備方向，並提出治理機制、密碼技術盤點、加密敏捷性、生態系協作、供應鏈管理等7大策略，建議從2026年至2035年分階段推動遷移作業。</p> <p>金管會指出，金融服務高度依賴身分驗證、交易簽章、跨機構介接及資料保護機制，隨著量子運算能力提升，現行公鑰密碼未來可能遭破解，金融機構若未及早規畫，將面臨交易安全、資料機密性及營運穩定性的風險。</p> <p><span style="color:#B22222;"><strong>點名</strong><strong>HNDL</strong><strong>與</strong><strong>TNFL</strong><strong>兩大新型量子威脅</strong></span></p> <p>指引特別點出量子時代可能面臨的兩類攻擊模式。（下圖，來源：金管會）</p> <p><img alt="" src="/sites/default/files/images/%E6%93%B7%E5%8F%961-600(7).jpg" style="width: 600px; height: 330px;" /></p> <p>第一類是「先攔截、日後解密」（Harvest Now, Decrypt Later，HNDL），攻擊者現在便可攔截並保存加密資料，待量子運算成熟後再進行解密，換言之，目前看似安全的敏感資料在未來可能面臨遭破解的風險。</p> <p>另一類是「現在信任、稍後偽造」（Trust Now, Forge Later，TNFL），也就是目前可信任的數位簽章、憑證或身分驗證機制，未來可能因量子運算能力而遭偽造，進一步影響金融交易與數位信任機制。</p> <p>為此，金管會認為，金融業必須提前展開長期的PQC遷移整備，而非等量子電腦成熟後才開始因應。該指引提出金融業因應PQC的七大策略方向。</p> <p><span style="color:#B22222;"><strong>將量子風險提高至董事會層級，</strong><strong>PQC</strong><strong>成為企業治理議題</strong></span></p> <p>其中，金管會並未將後量子密碼遷移視為單純的資訊系統升級，而是要求金融機構將密碼技術風險納入企業風險管理架構，提升至董事會層級討論，並成立跨部門的「後量子遷移工作小組」，由資安長（CISO）、資訊長（CIO）或相當層級主管統籌推動。</p> <p>PQC遷移將不再只是資訊部門的工作，而涉及資訊、資安、風險管理、法遵、採購及業務等多個部門的長期治理工程。金管會認為，金融機構應透過明確的治理架構、權責分工及資源配置，將量子風險納入企業策略與營運決策，並以跨年度方式持續推動遷移工作，而非等到量子運算技術成熟後再被動因應。</p> <p><span style="color:#B22222;"><strong>要求建立</strong><strong>CBOM</strong><strong>清單，可以</strong><strong>AI</strong><strong>輔助盤點密碼技術</strong></span></p> <p>另外，金管會要求金融機構盤點現有密碼技術，建立密碼技術清單（Cryptography Bill of Materials，CBOM），將密碼演算法、金鑰、憑證及其應用情境形成可持續維護的資產清冊。</p> <p>指引中建議可採取「先風險、後全面」的盤點方式，逐步擴大覆蓋範圍，並建立制度化管理流程。同時，也建議評估運用AI等自動化工具協助密碼技術盤點與CBOM維護，以降低人工管理負擔。</p> <p>相較於傳統僅盤點IT資產，指引進一步聚焦密碼技術治理，反映金融業必須先掌握加密元件在整個業務系統中的使用情況。</p> <p><span style="color:#B22222;"><strong>加密敏捷性列為核心能力</strong></span></p> <p>指引也將「加密敏捷性（Crypto-Agility）」列為PQC遷移的重要能力。</p> <p><img alt="" src="/sites/default/files/images/%E6%93%B7%E5%8F%963-600(8).jpg" style="width: 600px; height: 317px;" /></p> <p>根據指引，由於PQC標準及產品仍持續演進，建議遷移策略不宜以一次性替換演算法為目標，而是建立能快速調整演算法與參數的能力，使未來更新可成為例行維護，而不致成為大型系統改版。</p> <p>金管會建議金融機構採取模組化加密設計，並搭配憑證自動化管理，同時優先改善手動管理TLS憑證、使用弱加密套件及金鑰硬編碼等「密碼反模式」，提升整體加密架構的彈性。</p> <p><span style="color:#B22222;"><strong>PQC</strong><strong>納入供應鏈治理，規畫</strong><strong>2035</strong><strong>年前完成高風險系統遷移</strong></span></p> <p>除了金融機構自身，金管會也要求將PQC準備度與加密敏捷性納入採購、委外及供應鏈管理，推動關鍵供應商調查、更新採購規格及驗收要求，並建立共同驗證機制，以降低供應鏈成為遷移瓶頸的風險。</p> <p><img alt="" src="/sites/default/files/images/%E6%93%B7%E5%8F%962-600(7).jpg" style="width: 600px; height: 318px;" /></p> <p>此外，由於金融產業高度互聯，指引規畫由財金機構等樞紐單位建立共同遷移路線圖，協助金融生態系採一致方式推動PQC，避免跨機構介接出現相容性問題。</p> <p>在推動時程上，金管會建議短、中、長期的準備：</p> <p><img alt="" src="/sites/default/files/images/%E6%93%B7%E5%8F%96(42).JPG" style="width: 817px; height: 197px;" /></p> <p>金管會頒布指引顯示，金融業因應量子運算的重點已不再只是更換演算法，而是從密碼治理、供應鏈管理到跨機構協作，建立長期且可持續演進的資安治理能力，為未來量子時代的金融基礎設施提前做好準備。</p> </div></div></div>
6/24 11:31作者蘇文彬https://www.ithome.com.tw/news/176824
LG與三星智慧電視逾三成App讓用戶電視慘變代理伺服器節點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://spur.us/blog/smart-tv-apps-residential-proxy-sdks" target="_blank">研究人員發現</a>，三星、LG智慧電視的App，有將1/3會利用或出售用戶住家IP位址，讓用戶電視淪為導引流量的代理伺服器的安全隱憂。</p> <p>資安業者Spur分析6,038個三星和LG智慧電視的App套件分析，發現有2,058款內含將用戶住家IP位址提供作為代理伺服器（proxy）的SDK。</p> <p>這些App是透過在用戶電視OS上安裝代理伺服器（proxy）SDK達成其目的。有的是詢問過且獲得用戶同意，例如要求小精靈（Pac-Man）App執行一次性的詢問，讓用戶選擇觀看廣告或是成為其網路的一部份。另一批程式則是「掛羊頭賣狗肉｣，以遊戲、螢幕保護程式或工具應用程式當幌子誘使用戶下載SDK。有些代理伺服器業者（或其子品牌）也是App發行商。例如Bright Data集團和Honeygain分別發行了數百個和十多個這類App，因此這些App品質低落、功能陽春。此外，同意條款隱藏在安裝過程中，藉多數用戶會快速按「下一步」來取得其同意。</p> <p>研究人員分析，Amazon（Fire TV）與Roku已經有明確的政策禁止或封鎖第三方代理伺服器SDK服務，但LG(webOS)和三星(Tizen)當時尚未建立同等嚴格的公開審查標準，而在這兩大電視平臺應用商店中大規模上架含有Proxy SDK的灰色App。</p> <p>研究人員警告，在用戶住家IP位址被出售或出借後，一旦代理伺服器供應商同意提供其他組織，或是其過濾機制破防，則電視可能成為外部流量存取家中其他連網裝置，包括路由器管理介面、NAS系統、印表機、攝影機、或其他App。2026初爆發的Kimwolf殭屍程式網路就是濫用住家代理伺服器網路而成。</p> <p>研究人員也提供代理伺服器網路供應商的回應說法，Bright Data、Honeygain等公司都表示具有稽核框架，強調只有經過嚴格審查、驗證身分的合法企業、研究人員和新聞工作者，才能獲准使用這個Proxy網路。對於研究人員提到「用戶無法得知背景運作詳情」，另一家業者Massive解釋這是簡化用戶使用麻煩而設計，但其網路客戶必須通過KYC（know your customer）實名認證，確保有正當的商業使用目的。此外其伺服器端實施控制，不會去解密或監控用戶的流量。</p> <p>面對研究人員擔憂電視可能變成駭客入侵家裡其他裝置（如路由器、NAS、攝影機）的跳板，Oxylabs強調他們不論在基礎設施端還是SDK本地端，都設有嚴格的過濾、流量檢驗以及私有IP網段黑名單。</p> </div></div></div>
6/24 11:37作者林妍溱https://www.ithome.com.tw/news/176829
巴西民防警報系統疑遭入侵，里約熱內盧等地民眾收到假警報
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>巴西民防警報系統Defesa Civil Alerta在6月19日晚間至20日凌晨遭未經授權使用，有人透過公共警報發送介面（Interface de Divulgação de Alertas Públicos，IDAP）向多個地區民眾的手機發送假冒的緊急警報，影響範圍包括聖保羅州、南馬托格羅索州、里約熱內盧州、巴拉那州與聯邦區。</p> <p>Defesa Civil Alerta採用細胞廣播（Cell Broadcast）技術，透過行動基地臺向指定區域內連上4G或5G行動網路的手機推送警報，這類機制常用於災害與公共安全告警，優點是可在短時間內觸及大量特定區域民眾。</p> <p><a href="https://www.gov.br/mdr/pt-br/noticias/midr-apura-incidente-cibernetico-que-acionou-indevidamente-o-defesa-civil-alerta?is=d108d928bf3dc5877f986c73a3cd90f89af9168dfb9fe293bba24c76211ae7ae" target="_blank">巴西整合與區域發展部（MIDR）指出</a>，初步技術調查顯示，在6月19日晚上11點至6月20日凌晨1點之間，共發生10次未授權發送行為。其中9次透過Defesa Civil Alerta採用的細胞廣播技術發送，並觸發會發出警示音的「極端」等級警報，另1次則透過SMS簡訊發送。<a href="https://www.theregister.com/security/2026/06/22/brazil-begins-investigating-emergency-alert-system-breach/5259421?is=d108d928bf3dc5877f986c73a3cd90f89af9168dfb9fe293bba24c76211ae7ae" target="_blank">The Register報導指出</a>，其中一則假警報內容出現「misantropi4」字樣，近似葡萄牙文「misantropia」，意為厭惡或憎恨人類。</p> <p>事件發生後，巴西整合與區域發展部表示Defesa Civil Alerta平臺已暫停運作，巴西國家保護與民防祕書處（SEDEC）也封鎖IDAP所有外部存取，停用涉及事件的使用者帳號，並保存系統日誌與登入紀錄，以利後續數位鑑識分析。</p> <p>巴西整合與區域發展部並說明，目前沒有證據顯示Defesa Civil Alerta系統出現結構性損害，巴西聯邦警察（Polícia Federal）已展開調查，但仍無法確認收到假警報的手機數量與所有受影響的地區。</p> </div></div></div>
6/24 11:51作者王珮瑤https://www.ithome.com.tw/news/176831
1Password併購身分安全新創Apono，強化AI代理與非人類身分即時存取治理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>非人類身分（NHI）與AI代理持續成為資安市場關注的焦點，知名身分識別與安全廠商1Password於6月15日宣布併購以色列資安新創公司Apono。1Password強調，Apono是即時（Just-In-Time）存取治理領域的創新者，此次併購將加速實現將各類身分管理整合至單一平臺的願景。</p> <p>該公司指出，隨著AI代理的演進，突顯人類身分管理與機器身分管理往往屬於不同系統。如今AI代理開始介入企業關鍵系統，這種碎片化架構已成為安全治理的阻礙。更嚴峻的是，現有的身分識別系統多半僅聚焦於「准許進入」的驗證關卡，一旦身分通過驗證進入系統，後續行為監控就不在其管轄範圍。</p> <p>因此，1Password計畫將Apono的技術整合進今年3月推出的統一存取平臺（Unified Access Platform）。具體的整合方向，包括透過Apono的「意圖存取控制」（Intent-Based Access Control），並即時監測其行為是否偏離預期意圖。</p> <p>對於身分安全技術的發展，Apono執行長Rom Carmel表示，創立Apono的初衷，就是為了在任務完成的瞬間移除存取權，根據任務需求精準縮減權限範圍。1Password亦強調，憑證安全與存取治理實為一體兩面：核心目標在於確保無論是人類、機器或AI代理，都僅在必要時刻獲得任務所需的最小權限，並具備完整的稽核記錄與當責機制。</p> </div></div></div>
6/24 11:57作者羅正漢https://www.ithome.com.tw/news/176826
駭客滲透Klue Battlecards整合服務竊取用戶Salesforce資料，犯案過程僅不到一天
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Salesforce近日透露偵測到應用程式Klue Battlecards出現異常活動，可能有部分用戶資料遭到未經授權存取，宣布<strong><a href="https://www.ithome.com.tw/news/176798">暫時切斷該應用程式與Salesforce平臺之間的連結</a></strong>。然而在該公司發出公告之前，有資安公司要Klue用戶提高警覺。</p> <p>6月17日<strong><a href="https://reliaquest.com/blog/threat-spotlight-integration-abused-in-crm-data-theft">威脅情報公司ReliaQuest提出警告</a></strong>，他們觀察到攻擊者透過遭入侵的Klue Battlecards整合服務，利用OAuth權杖（token）及自動化REST API查詢，大規模竊取Salesforce平臺的用戶資料，過程歷時約24小時。</p> <p>針對攻擊活動發生的過程，攻擊者先對遭入侵的Klue整合服務帳號進行身分驗證並產生OAuth權杖，透過自動化的Python指令碼識別企業組織的Salesforce物件目錄，接著對查詢端點發起循環REST API請求，並透過QueryMore游標分頁擷取大量資料。值得留意的是，攻擊者在部分受害組織的Salesforce環境裡，於15分鐘內發送近千筆的查詢請求，也有連續超過6小時不間斷竊取資料的情況。</p> <p>特別的是，這次ReliaQuest特別提及他們不是Klue的用戶，並未採用該公司的應用程式而沒有受到影響，這樣的聲明在ReliaQuest的調查報告裡相當罕見，很有可能代表受害的企業組織有不少是資安廠商。</p> </div></div></div>
6/24 12:11作者周峻佑https://www.ithome.com.tw/news/176833
針對Klue供應鏈攻擊，ShinyHunters聲稱是他們所為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>上週Salesforce宣布<strong><a href="https://www.ithome.com.tw/news/176798">暫時切斷應用程式Klue Battlecards與Salesforce平臺之間的連結</a></strong>，並透露他們偵測到該應用程式出現異常活動，可能有部分用戶資料遭到未經授權存取。然而在該公司發出公告之前，有資安公司就提出警告，懷疑是駭客團體ShinyHunters再度犯案。</p> <p>6月17日<strong><a href="https://reliaquest.com/blog/threat-spotlight-integration-abused-in-crm-data-theft">威脅情報公司ReliaQuest提出警告</a></strong>，他們觀察到攻擊者透過遭入侵的Klue Battlecards整合服務，利用OAuth權杖（token）及自動化REST API查詢，大規模竊取Salesforce平臺的用戶資料，過程歷時約24小時。由於這起活動與之前利用Salesloft Drift、Gainsight應用程式，竊取用戶的Salesforce平臺存放資料的手段有所交集，他們懷疑Klue事故也有可能是駭客團體ShinyHunters或UNC6395所為。不過，當時ReliaQuest尚未取得相關證據，無法確認這些駭客是否涉案。</p> <p>對於攻擊者的身分，後續有自稱是ShinyHunters的團體於21日在Telegram頻道宣稱，此事是他們所為，有多家公司的Salesforce執行個體遭到外洩，這些受害公司都是Klue的合作夥伴，向Klue喊話要求談判，並留下勒索團體Lcarus的即時通訊軟體Session的ID，這代表ShinyHunters可能與Lcarus有所關聯。不過，ReliaQuest無法確認此Telegram帳號是否為ShinyHunters所有，不排除是其他人士冒用ShinyHunters的名號來對Klue施壓。</p> <p>針對攻擊活動發生的過程，攻擊者先對遭入侵的Klue整合服務帳號進行身分驗證並產生OAuth權杖，透過自動化的Python指令碼找出企業組織的Salesforce物件目錄，接著對查詢端點發起循環REST API請求，並透過QueryMore游標分頁擷取大量資料。值得留意的是，攻擊者在部分受害組織的Salesforce環境裡，於15分鐘內發送近千筆的查詢請求，也有連續超過6小時不間斷竊取資料的情況。</p> </div></div></div>
6/24 10:10作者周峻佑https://www.ithome.com.tw/news/176822
美國限制Anthropic Fable與Mythos模型存取，可能與NSA相關紅隊測試結果有關
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國政府於6月12日以國安疑慮為由，對AI業者Anthropic發布出口管制指令，<a href="https://www.anthropic.com/news/fable-mythos-access" target="_blank">促使Anthropic宣布</a>暫停向所有客戶提供Fable 5與Mythos 5模型存取。後續外媒報導指出，這項限制可能與Mythos參與美國國安單位內部紅隊測試的結果有關。</p> <p><a href="https://www.tomshardware.com/tech-industry/artificial-intelligence/anthropics-powerful-mythos-ai-reportedly-breached-almost-all-nsa-classified-systems-within-a-few-hours-during-red-team-test-report-sheds-more-light-on-the-u-s-governments-sudden-ban-on-the-flagship-models" target="_blank">根據Tom's Hardware</a>引述經濟學人（The Economist）於6月14日的報導，在一場受控安全評估中，Mythos於數小時內突破多項與美國國家安全局（National Security Agency，NSA）相關的模擬評估目標。這項說法來自美國參議院情報委員會副主席Mark Warner，美國國家安全局局長暨美國網路司令部（U.S. Cyber Command）司令Joshua M. Rudd曾向Warner簡報該模型的能力。</p> <p>不過，Tom's Hardware也指出，經濟學人後續澄清，外界將此解讀為AI實際駭入NSA並不正確。這場測試是在經授權的內部紅隊演練中進行，Mythos是在搭配其他防禦工具的情況下接受測試，並處於特定模擬環境條件下，因此不應被視為Mythos曾在真實攻擊情境中入侵NSA系統。</p> <p>至於美國政府提出的國安疑慮，<a href="https://www.anthropic.com/news/fable-mythos-access" target="_blank">Anthropic則表示</a>，相關疑慮涉及一種非普遍性的越獄手法，可讓Fable 5讀取特定程式碼庫，並嘗試找出與修正軟體缺陷。Anthropic主張，相關示範只找出少數先前已知且輕微的漏洞，並不等同於模型自主發動攻擊或實際入侵系統。</p> </div></div></div>
6/24 10:53作者王珮瑤https://www.ithome.com.tw/news/176823
逾6成LLM iOS App暴露AI服務存取資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://arxiv.org/html/2606.12212v1" target="_blank">維克森林大學（Wake Forest University）研究人員公布一項實證研究</a>，指出許多導入大型語言模型（LLM）功能的iOS應用程式，在執行期間的網路流量中暴露可遭利用的驗證權杖、未要求驗證即可存取的後端代理機制，或其他可用來呼叫LLM服務的憑證資訊。</p> <p>研究團隊於2025年10月從美國App Store蒐集5,619款不重複的LLM相關iOS App，經抽樣與人工評估後，取得444款具備可測試LLM功能的樣本，並開發動態分析框架LLMKeyLens，透過攔截App執行期間的網路流量，分析其中是否存在可遭濫用的LLM API憑證或代理端點。</p> <p>結果顯示，當中有282款的App樣本，暴露可遭利用的LLM API憑證或未要求驗證的後端代理，比例達64%。外洩型態以JSON Web Token（JWT）驗證權杖為主，其次是未要求身分驗證的後端代理，另有部分App在請求中以明文傳送API金鑰。</p> <p>研究團隊已向受影響App開發者通報上述問題，並於90天後重新進行測試，結果顯示，僅28%的App透過撤銷憑證或強化存取控制完成修正。研究人員認為，這代表LLM API憑證外洩與後端代理存取風險在iOS生態系中不僅普遍，而且持續存在，也反映實際開發做法與安全整合原則之間存在系統性落差。</p> </div></div></div>
6/24 11:17作者王珮瑤https://www.ithome.com.tw/news/176825
威脅情報公司Huntress證實遭到Klue供應鏈攻擊事故影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>6月18日Salesforce發布資安公告，<strong><a href="https://www.ithome.com.tw/news/176798">表示他們近期偵測到Klue Battlecards應用程式出現異常活動</a></strong>，部分用戶資料疑似遭未經授權存取，因此暫停該應用程式與Salesforce之間的連結。後續AI競爭情報公司Klue也證實發生事故，攻擊者透過與整合服務相關的外流憑證得到存取權限，進而竊取多個用戶的Salesforce等第三方平臺資料。相關消息一出，很快有資安公司證實受害。</p> <p>威脅情報公司Huntress在Salesforce發布公告的同一天<strong><a href="https://www.huntress.com/blog/klue-breach-investigation">發布部落格文章</a></strong>，表示他們也受到這起事故影響，該公司暴露的檔案僅限於存放在Salesforce的資料，包括企業聯絡資訊、企業名稱、試用或使用的產品、訂閱資訊，以及銷售溝通資訊與備註資料。與Huntress產品或基礎設施相關的資料，遙測、密碼、付款資訊均未受到影響。</p> <p>Huntress也透露資安事故發生的經過。這起事故最早發生在6月11日，攻擊者在Klue後端系統中植入惡意程式碼，能夠竊取客戶用來連接第三方平臺的OAuth權杖（token）。Klue於隔日發現異常行為，並注意到來源不明的網路連線。6月13日，Klue向客戶發出通知，但未透露有哪些客戶受到影響。直到6月16日，Huntress員工收到主旨為「top secret email」的勒索信，駭客聲稱Huntress的資料已被下載，並要脅48小時內進行聯繫。</p> <p>針對攻擊者入侵Klue的手段，疑似利用一組長期未用但仍有效的憑證，此為Klue測試第三方整合所建立，後來未實際運用。駭客以此取得初始存取權限，滲透Klue基礎設施，竊取客戶用於連接CRM工具的OAuth權杖，最終直接查詢並匯出受害客戶的CRM資料。駭客自稱mr bean，並提供加密通訊平臺Session的聯絡ID，根據暗網的資訊比對，Huntress認為攻擊者的身分應為新興勒索組織Lcarus。</p> </div></div></div>
6/24 09:36作者周峻佑https://www.ithome.com.tw/news/176820
受Klue被駭影響，LastPass外洩客戶聯絡、支援資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>受到AI市場情報分析平臺Klue引發的Salesforce系統存取影響，<a href="https://blog.lastpass.com/posts/klue-supply-chain-incident-and-lastpass-response" target="_blank">密碼管理服務LastPass週二（6/23）公告</a>，部分客戶的聯絡和客戶支援資料因而外洩。</p> <p>LastPass週二向部分用戶發信通知資料外洩一事，同時在公司網站上說明。該公司於6月12日得知其使用的第三方平臺業者Klue發生被駭事故，Klue也整合了LastPass使用的Salesforce和Gong系統。調查後得知，駭入Klue的駭客取得了Klue所儲存的客戶端OAuth令牌。之後這個駭客就利用該令牌存取Salesforce環境下的LastPass客戶資料。</p> <p>LastPass表示，遭駭客存取客戶資料是標準的CRM客戶聯絡資訊，包括客戶姓名、電話號碼、電子郵件和實體住址，以及客服支援工單及銷售相關資料。</p> <p>但這家密碼管理工具業者強調，此事件只影響和Klue應用整合的系統，而且該公司的產品、服務、基礎架構，以及客戶密碼保存庫（vault）仍然安好不受影響。</p> <p>得知此事後，LastPass已切斷所有員工對Klue的存取、輪換外洩的API存取權杖、並和Klue與Salesforce合作展開調查，以及通報執法機關等。業者也呼籲用戶對可能的釣魚攻擊和社交工程提高警覺。</p> <p><a href="https://www.ithome.com.tw/news/176798" target="_blank">AI市場情報分析平臺Klue說明其資安事故是</a>，攻擊者利用一個外流的舊憑證存取其整合服務，使其得以存取Klue後端儲存的客戶（如LastPass）憑證。但Klue並未說明受影響客戶數量。</p> </div></div></div>
6/24 09:56作者林妍溱https://www.ithome.com.tw/news/176821
FortiBleed技術細節曝光，駭客利用FortigateSniffer發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>針對近日揭露的FortiBleed大規模憑證竊取攻擊活動，威脅情資公司<strong><a href="https://socradar.io/wp-content/uploads/2026/06/Dismantling-FortiBleed.pdf">SOCRadar發布深度報告</a></strong>，指出這場俄羅斯駭客組織發起的攻擊行動自2026年2月即開始，目標鎖定全球超過43萬臺FortiGate防火牆設備，並使用基於Golang的FortigateSniffer來濫用系統內建的診斷指令。研究人員強調，攻擊者透過自動化掃描、離線密碼破解技術，以及過往外洩資料，發展出一套有如工業自動化、具高度效率的攻擊流程，是這起事件最受資安社群關注的核心焦點。</p> <p>根據SOCRadar與資安研究員Bob Diachenko的調查，這場攻擊最關鍵的手法之一，是攻擊者透過系統性蒐集設備組態檔案（Configuration Files）來取得存取權限。</p> <p>攻擊者首先透過憑證填充（Credential Stuffing）或暴力破解取得管理權限，隨後在受害設備部署名為FortigateSniffer的憑證竊取工具，該工具會透過SSH連接設備，並啟動FortiOS內建的diagnose sniffer packet指令（此指令原本用於網路流量診斷與封包障礙排除，卻被攻擊者濫用為監聽工具）。</p> <p>具體而言，該惡意工具的主要目的，在於監控包含RADIUS、NTLM、Kerberos和LDAP等協定的憑證，以及密碼雜湊與驗證金鑰。擷取到的資料包會經由SNIFTRAN元件處理並重構成PCAP檔案，隨後利用基於Python的深度分析工具包解析，從中提取明文憑證、電子郵件、資料庫憑證或Hashcat可直接匯入的雜湊檔案。最後，攻擊者利用分散式GPU叢集進行大規模離線破解。</p> <p>值得注意的是，對於這起攻擊活動的觀察，Fortinet與SOCRadar的解讀略有差異。先前<strong><a href="https://www.ithome.com.tw/news/176784">Fortinet表示</a></strong>，這起事件主要是已洩漏憑證的重複利用，而非因為找到與利用新的零時差漏洞所致；SOCRadar則在此技術報告中指出，根據其觀測結果，相關攻擊活動可能仍在持續，威脅行為者仍試圖嘗試入侵FortiGate VPN設備，並部署惡意工具FortigateSniffer。</p> <p><a href="/sites/default/files/images/2026-06-23_181457.jpg"><img alt="" src="/sites/default/files/images/2026-06-23_181457.jpg" style="width: 600px;" /></a></p> <p><a href="/sites/default/files/images/2026-06-23_182608.jpg"><img alt="" src="/sites/default/files/images/2026-06-23_182608.jpg" style="width: 600px;" /></a></p> <p><span style="color:#696969;"><strong>威脅情資公司SOCRadar指出，駭客在這場攻擊活動中會部署名為FortigateSniffer的惡意工具。</strong></span></p> <p><a href="/sites/default/files/images/（圖1）SOCRadar揭露Fortibleed早在2月就有攻擊活動出現.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89SOCRadar%E6%8F%AD%E9%9C%B2Fortibleed%E6%97%A9%E5%9C%A82%E6%9C%88%E5%B0%B1%E6%9C%89%E6%94%BB%E6%93%8A%E6%B4%BB%E5%8B%95%E5%87%BA%E7%8F%BE.jpg" style="width: 600px;" /></a></p> <p><strong>根據威脅情資公司SOCRadar調查，這場FortiBleed攻擊活動最早可追溯自2026年2月已經開始，5月31日至6月中旬更是發動大規模行動，短短半個月執行659次的資料竊取活動。</strong></p> </div></div></div>
6/23 22:00作者羅正漢https://www.ithome.com.tw/news/176813
GitHub讓JetBrains IDEs可選用Claude代理，並改善Copilot CLI長任務控制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>GitHub<strong><a href="https://github.blog/changelog/2026-06-22-new-features-and-claude-as-agent-provider-preview-in-jetbrains-ides/">更新</a></strong>GitHub Copilot for JetBrains IDEs，新增Claude作為代理提供者公開預覽版，並改善Copilot CLI長時間任務的互動方式。該更新也讓GitHub組織與企業層級的自訂代理可直接出現在JetBrains IDEs的Copilot Chat中，企業管理者能先在GitHub端發布代理設定，再由開發者於IDE內選用，讓代理能力來源、適用工作與管理範圍更明確。</p> <p>要使用Claude代理提供者功能，開發者需先安裝Claude Code CLI，再於JetBrains IDEs中設定Claude Code CLI路徑，之後即可從Copilot Chat的代理選擇器選用Claude。若使用者採用Copilot Business或Copilot Enterprise方案，管理員還必須先啟用Editor預覽功能（preview features）政策，組織成員才能使用這項預覽功能。</p> <p>GitHub說明，Claude代理現階段以略過權限確認模式運作，檔案編輯與工具呼叫會自動核准，權限設定會在之後版本加入。</p> <p>GitHub Copilot for JetBrains IDEs的另一項更新，是支援GitHub組織與企業層級的自訂代理。管理員可在GitHub端建立並發布代理，讓組織或企業成員直接在JetBrains IDEs的Copilot Chat中選用。</p> <p>Copilot CLI這次則強化長任務期間的互動方式，當CLI工作階段仍在處理請求時，使用者可從送出按鈕的下拉選單選擇Add to Queue，將後續訊息排入佇列。Steer with Message可在不中斷目前工具執行的情況下補充新指令，讓代理在目前工具工作結束後改依新指令處理，而Stop and Send則會停止目前回合，立即送出新的訊息。</p> <p>此外，GitHub新增Agent除錯面板的日誌摘要檢視，彙整代理活動概況。模型挑選器也有強化，並加入每回合AI點數（AI credits）用量指示。</p> </div></div></div>
6/23 19:26作者李建興https://www.ithome.com.tw/news/176812