iThome

台灣·近期無新文章

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 0篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 18:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

PChome旗下拍付國際傳遭竊取個資，數發部將進行行政檢查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Settra勒索軟體團體<strong><a href="https://www.ithome.com.tw/news/177000">聲稱竊取PChome旗下拍付國際的內部資料</a></strong>，其中包含350萬名Pi錢包用戶個資，引起臺灣社會高度關注。對此，數位發展部數位產業署表示，為維護民眾權益，<strong><a href="https://moda.gov.tw/ADI/news/latest-news/20010">他們將在7月1日辦理實地行政檢查</a></strong>，以釐清案情，並檢視業者對於個人資料保護的落實作為。</p> <p>數產署表示，他們將持續追蹤這起事故個資外洩的情形，嚴格督導拍付國際後續資安與管理作為，並表示經調查如發現有違反個資法情事，將會依法裁處。</p> </div></div></div>
7/1 11:52作者周峻佑https://www.ithome.com.tw/news/177001
Anthropic發表Claude Sonnet 5，成為免費與Pro版預設模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.anthropic.com/news/claude-sonnet-5" target="_blank">Anthropic周二（6/30）發表Claude Sonnet 5</a>，強調這是歷來代理能力（Agentic AI）最強的Sonnet模型，已成為Claude免費版與Pro版的預設模型，也同步開放Max、Team及Enterprise方案使用。</p> <p>Claude模型分為Haiku、Sonnet及Opus三個系列，其中Sonnet介於輕量的Haiku與高階的Opus之間，為一般Claude服務的預設主力模型。</p> <p>標榜代理能力的Sonnet 5可自主規畫工作流程，並使用瀏覽器、終端機等工具完成多步驟任務，適用於程式開發、研究、自動化及文件處理等工作。官方表示，Sonnet 5在推理、工具使用、程式撰寫及知識工作等能力皆優於Sonnet 4.6，整體表現接近高階的Opus 4.8，但價格較低。</p> <p>Anthropic表示，Sonnet 5除了提升能力，也改善了安全性，更能拒絕惡意請求及抵抗提示注入（Prompt Injection）攻擊；幻覺（Hallucination）及迎合使用者（Sycophancy）的發生率亦低於前一代模型。由於未特別針對網路攻擊能力進行訓練，其在高風險資安任務上的能力仍低於Opus系列，因此預設啟用資安防護機制，以降低遭到濫用的風險。</p> <p>Claude Sonnet 5已開放所有Claude方案使用，開發者也可透過Claude API、Claude Code及Claude Platform存取。Anthropic同步推出API上市優惠，8月31日前每百萬輸入token收費2美元、每百萬輸出token收費10美元；9月1日起將分別調整為3美元及15美元，但仍低於Opus 4.8的5美元與25美元。</p> </div></div></div>
7/1 11:54作者陳曉莉https://www.ithome.com.tw/news/177002
Jaguar Land Rover傳出遭俄羅斯駭客從事網路破壞攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>隸於印度塔塔（Tata）集團英國車廠Jaguar Land Rover（JLR）<strong><a href="https://www.ithome.com.tw/news/170991">於去年9月遭遇網路攻擊</a></strong>，導致<strong><a href="https://www.ithome.com.tw/news/171354">工廠停工長達1個月</a></strong>，<strong><a href="https://www.ithome.com.tw/news/171829">損失估計達到19億英鎊</a></strong>（約25億美元），駭客組織Scattered Lapsus$ Hunters聲稱是他們所為，然而這起事故的調查出現新的發展，傳出很可能是國家級駭客從事的破壞行動。</p> <p>6月26日紐約時報<strong><a href="https://www.nytimes.com/2026/06/26/world/europe/jaguar-russia-hack.html">引述知情人士的說法指出</a></strong>，這起事故的兇手可能是俄羅斯駭客，根據4名知情人士透露，微軟一直在追蹤犯案的俄羅斯駭客組織，並向JLR通報了入侵其系統的人員身分。駭客部署了新型勒索軟體，採用了資安專家前所未見的加密演算法，有人形容它「令人震撼」。參與調查的此事的執法機關與企業，還包括：英國國家犯罪局（NCA）、國家網路安全中心（NCSC）、資安公司Palo Alto Networks、Google旗下的Mandiant，以及美國聯邦調查局（FBI）。</p> <p>但為何認定這並非單純的勒索軟體攻擊？紐約時報引述前聯邦調查局網路安全副局長Cynthia Kaiser的說法，首先，這起事故駭客並未向JLR索討贖金，顯然經濟利益並非犯案動機。再者，這起事故正好發生在JLR新車系即將上市的前夕，時間點非常敏感；另一方面，JLR旗下的Land Rover車隊與英國皇室及軍方關係密切，上述種種跡象，她認為有可能是俄羅斯國家級的攻擊活動。</p> <p>Kaiser指出，國家級駭客進行破壞性攻擊有其戰略考量，原因是攻擊速度快、可規模化、可重複執行，且能利用幾乎所有關鍵基礎設施環境中都存在的共通弱點，更重要的是能製造歸因上的複雜性，讓攻擊者得以在傳統的應對門檻之下行動。她認為，國家級駭客很可能將攻擊行動偽裝成一般的網路犯罪，藉由製造充足的疑點，避免其他國家的政府以政治手段進行報復。</p> <p>不過，對於是否為俄羅斯國家級駭客犯案，紐約時報指出，也有資安專家持保留態度，他們認為，目前缺乏確鑿證據能證明就是國家介入。</p> </div></div></div>
7/1 09:35作者周峻佑https://www.ithome.com.tw/news/176994
Open Standard集結逾140家企業，推出共同治理美元穩定幣Open USD
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>由Visa、Mastercard、Stripe、Google、Shopify、BlackRock及Coinbase等逾140家支付、銀行、科技及加密貨幣企業共同成立的<a href="https://joinopenstandard.com/blog/introducing-open-usd" target="_blank">Open Standard周二（6/30）宣布推出美元穩定幣Open USD</a>，預計今年稍晚上線，希望打造企業可大規模採用的全球資金流通基礎設施。</p> <p>Open Standard表示，Open USD將由獨立公司營運，董事會由合作夥伴共同組成，而非由單一企業控制。企業可免費將美元鑄造成Open USD，或將Open USD兌回美元，且不設交易量限制；合作夥伴也可分享Open USD儲備資產所產生的收益，僅扣除營運管理費。</p> <p><a href="http://coinmarketcap.com/" target="_blank">目前美元穩定幣市場仍由Tether發行的USDT及Circle發行的USDC主導</a>，兩者合計占全球穩定幣市場逾8成比例。Open Standard認為，現有穩定幣雖已廣泛應用於跨境支付，但企業仍面臨大額鑄造與贖回成本高、無法分享儲備資產收益，以及產品發展方向受制於單一發行商等問題，因此推出Open USD，希望提供更符合企業需求的選擇。</p> <p>Open USD獲得多家支付與金融業者支持，包括Visa、Mastercard、Stripe、American Express、Adyen、Western Union、BlackRock、BBVA、Standard Chartered、DBS，以及Google、Shopify等科技企業；加密貨幣產業則有Coinbase、Ripple、Solana、Crypto.com、MetaMask等業者參與。</p> <p>Open Standard創辦人兼執行長Zach Abrams表示，企業若要大規模採用穩定幣，需要的是開放、低成本、高吞吐量且符合企業利益的基礎設施，而非由單一發行商主導的產品。他表示，Open USD是由參與企業共同打造、面向網際網路經濟的新一代穩定幣，希望成為全球企業資金流通的共同標準。</p> </div></div></div>
7/1 10:24作者陳曉莉https://www.ithome.com.tw/news/176995
macOS權限提升攻擊鏈可暗中停用EDR、MDM代理程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://xmcyber.com/blog/faind-my-xpc-breaks-a-key-trust-boundary/" target="_blank">資安業者XM Cyber揭露一項macOS權限提升攻擊鏈</a>，指出攻擊者不需管理員權限，也不必利用記憶體破壞或核心漏洞，就可能讓企業端點偵測與回應（EDR）、行動裝置管理（MDM）等代理程式停止運作。</p> <p>研究人員指出，許多macOS應用程式會透過XPC通訊機制，讓前端元件呼叫具備系統權限的背景程式；這些背景程式通常會檢查連線來源的程式碼目錄雜湊（Code Directory Hash，CDHash），確認對方是否為合法元件。這項攻擊濫用了這段信任驗證流程：合法應用程式首次執行後，macOS核心會將其CDHash保留在快取中，攻擊者接著修改應用程式封裝，植入惡意Interface Builder（NIB）檔案，使惡意程式得以冒充合法元件，向具有系統權限的背景程式發送指令。Interface Builder是蘋果整合開發環境Xcode的一部分，NIB是Interface Builder儲存UI設計內容的檔案格式，名稱來自NeXT Interface Builder。</p> <p>XM Cyber已驗證這項攻擊手法可影響多款企業安全產品，包括端點防護與雲端資安平臺廠商CrowdStrike的Falcon Sensor，以及端點管理與安全業者Iru的Kandji Agent。XM Cyber已將相關問題通報CrowdStrike與Iru；CrowdStrike已在所有支援中的macOS版Falcon Sensor加入偵測與防護機制，防止一般使用者卸載感測器。<a href="https://www.iru.com/updates/2026/03/agent-4-7-5-5374" target="_blank">Iru也已發布Kandji Agent macOS版4.7.5（5374）</a>，透過強化驗證機制，修正一般權限本機攻擊者可能呼叫Kandji Agent受限功能的存取控制問題，漏洞編號為CVE-2026-39118。</p> <p>研究人員建議，採用XPC架構並以CDHash驗證用戶端身分的macOS應用程式，應在建立XPC連線時，確認連線來源是否符合程式碼簽章需求（Code Signing Requirement），或透過SecCodeCheckValidity()檢查應用程式簽章狀態，避免惡意程式冒充合法元件。</p> </div></div></div>
7/1 10:43作者王珮瑤https://www.ithome.com.tw/news/176996
新版MCP導入無狀態核心等重大更新，Akamai提醒留意實作層面的安全影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>用於連接AI代理、外部工具與資料來源的開放協定Model Context Protocol（MCP），預計於7月28日正式發布2026-07-28版規格。<a href="https://blog.modelcontextprotocol.io/posts/2026-07-28-release-candidate/" target="_blank">根據MCP官方於5月21日公布的Release Candidate</a>，新版導入無狀態核心（Stateless Core）、Tasks擴充功能、MCP Apps及新版授權要求，以支援長時間工作、跨系統整合及雲端原生部署情境。</p> <p>MCP官方說明，改採無狀態核心後，協定層不再維護連線階段（Session），讓MCP更容易部署於負載平衡、代理伺服器與雲端原生環境。Tasks擴充功能可支援長時間執行的非同步工作流程；MCP Apps則讓伺服器提供互動式HTML介面，並由主機端透過沙箱iframe呈現。新版也強化授權規格，使其更貼近OAuth 2.0與OpenID Connect的實務部署要求，並提供約12個月過渡期，協助既有實作逐步完成遷移。</p> <p><a href="https://www.akamai.com/blog/security-research/new-mcp-specification-security-teams-must-prepare" target="_blank">雲端與資安服務業者Akamai分析指出</a>，新版MCP移除由協定層管理的Session，可降低連線階段劫持等既有風險；新版授權要求也有助於改善舊版OAuth流程可能衍生的安全問題。不過，當工作流程狀態、中繼資料與部分安全控制改由MCP伺服器和應用程式管理，企業導入新版MCP時，不能只確認協定是否相容，也要檢視相關實作是否符合新的安全要求。</p> <p>該公司進一步說明，實作層面的安全影響主要集中在長時間工作流程的狀態管理、用戶端中繼資料（Metadata）驗證、HTTP標頭與JSON-RPC內容一致性，以及MCP Apps引入互動式介面後可能面臨的網頁安全問題，例如跨站指令碼攻擊（Cross-site Scripting，XSS）。此外，Tasks支援長時間背景工作，開發者也需要建立資源限制與工作管理機制，避免背景工作遭濫用，造成服務資源耗盡，形成阻斷服務風險。</p> <p>Akamai建議，企業升級新版MCP時，除了確認協定相容性，也應同步檢查狀態管理、授權、中繼資料驗證、HTTP標頭處理，以及長時間工作流程等實作機制。</p> </div></div></div>
7/1 10:58作者王珮瑤https://www.ithome.com.tw/news/176997
雅婷智慧推FedGPT主權AI平臺，瞄準72%企業地端部署需求
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>臺灣人工智慧實驗室與其策略合作夥伴雅婷智慧今日（6/30）揭露今年度臺灣企業AI轉型洞察報告，發現只有15%的受試企業在不同部門使用AI，其餘85%仍在小規模試行或在評估中。調查也發現，高達72%的企業需要地端部署的AI。看準這股需求，雅婷智慧力推FedGPT主權AI平臺，符合資料自主、系統自主等主權AI需求，提供會議記錄和萬能秘書等2大亮點應用。</p> <h2><strong>只有15%企業實際運用AI、72%企業需要地端部署</strong></h2> <p>雅婷智慧董事長廖群揭露在會中《2026台灣企業AI轉型洞察報告》，該報告分析了562份問卷，涵蓋10多個產業，如教育、媒體、醫療、政府、製造、金融等。</p> <p>調查發現，臺灣僅有15%的受試企業廣泛運用AI於多個部門，其餘44%仍在小規模試行，更有41%還沒導入或在評估中。可以說，85%的受試企業還沒有明確的AI應用與治理架構。</p> <p><img alt="" src="/sites/default/files/images/15%25.JPG" /></p> <p>這些企業，最希望將AI用來自動化重複的性行政流程（56%）、數據分析與決策輔助（44%），以及內部知識查詢與文件問答（42%）。但是，超過半數的受試企業（51%）擔憂資料外洩風險。</p> <p><img alt="" src="/sites/default/files/images/51%25.JPG" /></p> <p>有趣的是，調查進一步發現，大多數企業需要地端部署的AI。尤其，高達77%的受訪者認為，現行公有雲AI服務對企業使用仍有限制，72%則對地端部署有明確的需求。</p> <p>另一大發現是，現有公有雲AI工具難以深度融入企業營運流程，包括34%的企業認為，公有雲AI無法根據業務需求調整判斷邏輯；39%認為AI無法理解產業術語；還有24%的企業擔心公有雲AI停止服務，導致既有應用無法繼續運作，另有19%擔心模型更新後，會影響原本的使用效果。</p> <h2><strong>瞄準痛點，臺灣人工智慧實驗室力推主權AI</strong></h2> <p>臺灣人工智慧實驗室（Taiwan AI Labs）創辦人杜奕瑾指出，臺灣人工智慧實驗室從2017年成立至今，輔導不少企業導入AI，如今企業對AI的疑慮，已經不是有沒有效，而是企業能否握有「自主權」，也就是主權AI。</p> <p>杜奕瑾進一步解釋，不論是企業還是國家層級，主權AI都涵蓋5大要點：</p> <ol> <li>資料主權：確保資料留在組織內或在地，且敏感資料受保護。</li> <li>模型主權：即便是開源模型，也要能根據需求微調，或使用在地模型，不受特定跨國企業限制。</li> <li>運算主權：使用在地算力，避免算力掌握在少數巨頭、影響服務持續性。</li> <li>系統主權：自家系統可以與AI服務或平臺整合，不受單一或少數人控制，重視自主框架能力和生態系建立。</li> <li>治理主權：對齊國際先進AI治理，打造可驗證、可稽核、可信任的AI倫理和法治體系。</li> </ol> <p><img alt="" src="/sites/default/files/images/%E4%B8%BB%E6%AC%8Aai%20-%20%E8%A4%87%E8%A3%BD.JPG" /></p> <p>瞄準企業痛點，雅婷智慧也力推符合主權AI的雅婷FedGPT服務。雅婷智慧企業解決方案總經理杜長城現場指出，FedGPT可全地端部署，屬於企業級主權AI平臺，能串接既有系統、資料可全數保留在組織內。</p> <p>而FedGPT所搭載的AI模型，也都由臺灣團隊研發，且模型對臺灣知識、語境的理解能力，比國際大模型還要優秀。</p> <p><img alt="" src="/sites/default/files/images/%E8%83%BD%E5%8A%9B1.JPG" /></p> <p><img alt="" src="/sites/default/files/images/%E8%83%BD%E5%8A%9B2.JPG" /></p> <p>他也揭露FedGPT的2大亮點應用，包括會議助理、萬能秘書及其全落地的語音對話功能。以會議助理來說，已在臺灣人工智慧實驗室內部使用，它能串接所有公開的職員行事曆，並自動加入會議。在會議過程中，會議助理會記錄內容、摘要，包括標題、摘要、待辦事項、誰該執行哪些任務等等，並在會議結束後自動發送給與會職員，還會在系統中標註，方便追蹤。</p> <p>再來是萬能秘書，它可以串接公司行政流程和所需資料，就能協助員工查詢報帳、請假、出差、物資申請等流程，還能自動送件。</p> <p><img alt="" src="/sites/default/files/images/%E8%90%AC%E8%83%BD%E7%A7%98%E6%9B%B8%E6%87%89%E7%94%A8%E5%A0%B4%E6%99%AF.png" /></p> <p>另一方面，FedGPT也能根據產業特性，打造符合需求的自動化應用，比如串接醫院資訊系統和醫療資料，來自動生成臨床摘要、提供衛教問答、整理醫護人員月報等。或是串接人臉辨識門禁系統，可供人資即時查詢同仁出席狀況、預約會議等。</p> <p><img alt="" src="/sites/default/files/images/%E6%99%BA%E6%85%A7%E5%B0%8E%E8%A8%BA%E6%87%89%E7%94%A8%E5%A0%B4%E6%99%AF.png" /></p> <p>除了這些應用，FedGPT也提供不少Flow流程範本，來供企業使用，比如Bug回報與修復追蹤流程、每月營運報告彙整流程等。</p> <p></p> </div></div></div>
6/30 19:49作者王若樸https://www.ithome.com.tw/news/176993
資安界如何優化漏洞修補優先順序？HackerCat教你快速搞懂CVSS、EPSS、KEV這三項指標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>漏洞修補策略該如何制定？對許多資安老手而言，CVSS、EPSS與KEV已是耳熟能詳的名詞，但對於第一線的開發人員或資安新手來說，這些指標背後的意義可能仍顯模糊。在今年的DevOpsDays活動上，以HackerCat外號活躍於資安社群，擔任DevSecOps Taiwan社群顧問，同時任職於力麗科技首席資安技術顧問的高于凱，他便以此為題，由淺入深地解構這些核心指標。</p> <p>回顧近期漏洞新聞報導，通用漏洞評分系統（CVSS）最常被提及。實務上，我們不僅能參考美國國家漏洞資料庫（NVD）給出的風險評分，有時也會看到軟體原廠自己評估的分數，甚至不同資安組織也會提供各自的CVSS觀點。此外，國際資安事件應變組織<strong><a href="https://www.ithome.com.tw/news/160961#CVSS4.0">FIRST在2023年發布CVSS 4.0版</a></strong>，在基本評分之外，進一步正式提出CVSS-BT（威脅情資）、CVSS-BE（環境因素）與CVSS-BTE（綜合評估）等不同評分項目。</p> <p>除了CVSS的演進，漏洞風險的檢視維度在2021年變得更趨多元。例如，美國CISA發布<strong><a href="https://www.ithome.com.tw/news/154595">「已知被利用漏洞清單」（KEV）</a></strong>，要求聯邦機構限期修補，突顯漏洞已被實際利用的緊迫風險；同年，FIRST組織發布另一關鍵指標EPSS，聚焦於預測漏洞在未來被駭客利用的機率，我們先前也曾報導<strong><a href="https://www.ithome.com.tw/news/169767">國內企業運用EPSS</a></strong>的實務經驗。</p> <p>關於這三項指標背後的意義，目前在許多資安報導中雖已有相關介紹，這次高于凱透過綜整方式，讓更多人也能快速理解，並強調藉由這三項指標的過濾視角，將能找出最迫切需要修補的漏洞。他強調：「CVSS是起點但不是終點，EPSS告訴你機率，而KEV則代表緊急性，同時企業也必須考量自身環境。」</p> <p><a href="/sites/default/files/images/（主圖）何謂CVSS、EPSS、KEV.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E4%BD%95%E8%AC%82CVSS%E3%80%81EPSS%E3%80%81KEV.jpg" style="width: 600px;" /></a></p> <h2><strong>CVSS：常見漏洞評分標準，指標多元但實務多僅參考基礎分數</strong></h2> <p>以CVE編號而言，高于凱指出，這就如同每個漏洞的身分證字號，方便業界溝通。例如知名的Log4Shell是研究人員給它的暱稱，其正式稱呼為CVE-2021-44228；只要提及此編號，多方溝通時便能確認探討的是同一個漏洞。</p> <p>在MITRE公布CVE編號後，美國NVD會將其納入資料庫並進行CVSS風險評分。高于凱進一步解釋，當開發者使用軟體組成分析工具（SCA）或映像檔掃描工具後，通常會看到每個CVE都附帶一個漏洞評分，這就是根據CVSS（通用弱點評分系統）的國際標準所計算出來的。</p> <p>CVSS由FIRST國際組織制定，全名是通用漏洞評分系統（Common Vulnerability Scoring System），將風險等級區分為：低（0.1~3.9分）、中（4.0～6.9分）、高（7.0～8.9分）、重大（9.0~10.0分）。</p> <p>常見的CVSS版本已有3.0、3.1與4.0版。雖然其評估維度已涵蓋基礎（Base）、時間（Temporal）或威脅（Threat）、環境（Environmental）等多重項目，但NVD公布的CVSS基礎評分通常是大家最常引用的評分，這也是大眾最常看到的數值。高于凱指出，儘管理論上企業應根據自身環境進行「時間或威脅」與「環境」的加權計算，但實務上資安人員鮮少有此餘裕。導致現狀往往是：NVD給出幾分，企業就照單全收。</p> <p><a href="/sites/default/files/images/（圖2）何謂CVSS.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E4%BD%95%E8%AC%82CVSS.jpg" style="width: 600px;" /></a></p> <p><a href="/sites/default/files/images/（圖5）CVSS盲點.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89CVSS%E7%9B%B2%E9%BB%9E.jpg" style="width: 600px;" /></a></p> <p>儘管CVSS廣受運用，但也容易被誤用，而且資安界也意識到其存在盲點。例如缺乏時間動態與企業環境脈絡（如伺服器位於內網或外網、是否為核心系統等）。此外，所有遠端代碼執行（RCE）類型的漏洞幾乎都會被歸類為「重大」，還有並非所有漏洞都有公開的利用程式碼。因此，資安界早已意識到，不僅需要參考CVSS，還會搭配EPSS與KEV進行風險評估。</p> <div style="background-color: #FFF5F5; border: 1px solid #FFD2D2; padding: 20px; border-radius: 8px; line-height: 1.8; color: #333333;"> <p style="margin-top: 0; margin-bottom: 16px;"><strong>認識CVE揭露時間差：從通報、緩衝到正式公開</strong></p> <p style="margin-top: 0; margin-bottom: 16px;">高于凱另外提醒，大眾普遍以為通報漏洞後CVE會立即公開，但實務上通常需等待半年之久，主因在於MITRE負責審核的人力極為有限，可能僅有兩到三人，但有些廠商態度較積極，或部分本身已取得CNA資格的廠商則能更快發布。</p> <p style="margin-bottom: 0;">具體而言，這涉及所謂的協調式漏洞揭露（CVD），過去<span style="background-color: rgb(255, 245, 245);">我們</span>在許多漏洞新聞報導中都有提到。例如，以往漏洞通報會有不成文規定的90天的修補緩衝期（現在AI時代可能要再縮短）。因此，當漏洞確認指派CVE編號後，會先進入已保留（Reserved）狀態，通常會等修補完成或緩衝期過後才正式公開，將CVE編號轉為已公開（Published）狀態。若漏洞影響層面過於嚴重，過去也發生啟動暫緩揭露的機制，直到生態系準備好才解除封鎖。此外，<a href="https://www.ithome.com.tw/tags/mitre-cna"><strong>MITRE早已推動CNA計畫</strong></a>，授權資安業者與機構能自主指派並發布 CVE，這也是部分積極原廠能快速發布漏洞的主因。</p> </div> <p> </p> <h2><strong>EPSS：可預測未來30天被攻擊機率，其價值仍未被廣泛察覺</strong></h2> <p>以EPSS而言，全名是漏洞利用機率預測評分系統（Exploit Prediction Scoring System），同樣是由FIRST國際組織維護並發布。</p> <p>簡單來說，EPSS是基於真實威脅情資的資料驅動機器學習模型，用於估計已發布的CVE在未來30天內被實際利用的機率。在該模型的輸入特徵之中，不僅包含CVSS基礎分數，也會納入是否已有公開PoC（概念驗證）或Exploit（漏洞利用）程式碼、歷史漏洞利用率校準等多種維度。儘管此指標已推出三、四年之久，但在業界的普及度仍有提升空間。</p> <h2><a href="/sites/default/files/images/（圖3）何謂EPSS.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E4%BD%95%E8%AC%82EPSS.jpg" style="width: 600px;" /></a></h2> <p><a href="/sites/default/files/images/（圖6）風險矩陣.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89%E9%A2%A8%E9%9A%AA%E7%9F%A9%E9%99%A3.jpg" style="width: 600px;" /></a></p> <p>高于凱分享他在企業端（甲方）時深刻體會到EPSS的重要性。由於掃描工具產出的漏洞數量極為龐大，若缺乏有效過濾機制，修補工作將難以推行，因此他會運用EPSS來協助團隊排出優先順序。</p> <p>在實務應用上，EPSS的機率分數介於0.07％到99％之間。高于凱指出，EPSS大於1％的漏洞對他而言就已屬於高風險範疇，會被優先排入修補清單，因此EPSS是比CVSS更實用的指標。但要注意的是，EPSS是一項動態數據，每天都會變動更新。</p> <p>至於如何查詢EPSS？除了透過FISRT釋出的API連結獲取即時數據外（<a href="https://api.first.org/data/v1/epss?cve=cve-YYYY-XXXX">https://api.first.org/data/v1/epss?cve=cve-YYYY-XXXX</a>，可自行替換網址後方的CVE編號），目前許多商業與開源工具也已開始整合此指標，例如部分軟體組成分析工具（SCA）已內建整合EPSS分數，讓開發與資安團隊能更直觀地進行風險決策。還有CVE Details.com網站上，大家也能快速檢視各CVE漏洞的CVSS、EPSS等資訊。</p> <h2><strong>KEV：證實漏洞已有鎖定利用情形，其修補緊迫性不言而喻</strong></h2> <p>第三個關鍵指標是已知被利用漏洞清單（KEV），全名是Known Exploited Vulnerabilities Catalog。若CVSS代表漏洞理論上的危害程度、EPSS代表未來30天內被攻擊的機率，KEV則直接證實該漏洞已在現實世界中被攻擊者鎖定並實際利用，不再僅是推測。</p> <p>為了讓開發者更理解漏洞從發現到被利用的過程，高于凱進一步拆解PoC與Exploit等核心名詞的差異。</p> <p>他指出，雖然CVE漏洞通報很多，但要成功利用漏洞往往存在技術門檻。通常CVE揭露初期僅有漏洞描述與初步評分，技術細節的釋出往往較晚。而在漏洞公開後，通常會伴隨PoC（概念驗證程式）或Exploit（漏洞利用程式）的出現。</p> <p>簡單來說，PoC是初步的驗證腳本，用於證實漏洞確實存在；Exploit則是更具威脅性、能直接執行攻擊的程式碼。高于凱特別提醒，資安人員在尋找公開PoC與Exploit時必須極為謹慎，因為攻擊者常會釋出偽造的程式碼，將其作為散布惡意程式的陷阱。</p> <p><a href="/sites/default/files/images/（圖4）何謂KEV.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89%E4%BD%95%E8%AC%82KEV.jpg" style="width: 600px;" /></a></p> <p><a href="/sites/default/files/images/（圖7）從PoC到Exploit.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%967%EF%BC%89%E5%BE%9EPoC%E5%88%B0Exploit.jpg" style="width: 600px;" /></a></p> <p>換言之，在漏洞生命週期中，在CVE公開之後，PoC的公開意味技術門檻開始下降，Exploit的出現則代表攻擊成本大幅降低，而進入Exploited（或稱Exploited in the wild）狀態時，則代表攻擊者已在真實環境中利用該漏洞發動攻擊。高于凱亦提醒，這些已被利用的漏洞並不代表皆已有修補程式釋出，KEV也可能包含尚無修補程式、僅有緩解措施的漏洞。</p> <div style="background-color: #FFF5F5; border: 1px solid #FFD2D2; padding: 20px; border-radius: 8px; line-height: 1.8; color: #333333;"> <p style="margin-top: 0; margin-bottom: 16px;"><strong>KEV實務觀察：存在即時性落差與回溯補登記現象</strong></p> <p style="margin-top: 0; margin-bottom: 16px;">儘管KEV清單代表漏洞修補的緊迫性，但我們也要補充幾點需留意的實際現況。首先是即時性的落差，從過往報導可以發現，有時是資安業者先揭露漏洞已被利用，數日後CISA KEV才正式列入，甚至部分漏洞最終未被納入清單。畢竟CISA KEV作為美國聯邦政府的官方清單，有其嚴謹的審核流程，在情報更新的速度上未必能超越民間情資；其次是地域性問題，CISA KEV主要反映與美國利益相關的威脅情資，雖然實際上有其他國家的產品漏洞也會被列入，但在情資的全面性與及時性上仍可能存在缺口。</p> <p style="margin-bottom: 0;">最後一個需留意的是「補登記」狀況。由於KEV清單於2021年底才正式推出，之後新增的漏洞通常具有高度緊迫性，但清單有時也會回溯列入2021年之前的舊漏洞，這些漏洞是否具備當下的緊急性則需視情況而定。以華碩為例，該公司在<strong><a href="https://www.ithome.com.tw/news/172914">2025年提交CVE-2025-59374漏洞</a></strong>，CVE公開後隨即被列入KEV清單，但根據華碩針對該漏洞的說明，本質上應為2019年ASUS Live Update供應鏈攻擊事件的歷史漏洞，非當下爆發的攻擊事件。</p> </div> <p> </p> <p><a href="/sites/default/files/images/（圖1）何謂CVSS、EPSS、KEV，漏斗式漏洞篩選與優先排序.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E4%BD%95%E8%AC%82CVSS%E3%80%81EPSS%E3%80%81KEV%EF%BC%8C%E6%BC%8F%E6%96%97%E5%BC%8F%E6%BC%8F%E6%B4%9E%E7%AF%A9%E9%81%B8%E8%88%87%E5%84%AA%E5%85%88%E6%8E%92%E5%BA%8F.jpg" style="width: 600px;" /></a></p> <h2><strong>可運用三維決策框架找出優先修補順序</strong></h2> <p>在建立CVSS、EPSS與KEV的基本概念後，高于凱針對DevOps實務中的漏洞決策提出了一套從「僅參考CVSS」轉向「CVSS+EPSS+KEV」的三維決策框架。</p> <p>他強調，漏洞管理的核心在於「漏斗式篩選」，透過層層過濾找出真正具備威脅的目標。</p> <p>高于凱舉例說明，若透過掃描工具初步產出的CVE漏洞共有1,575個，數量龐大到開發團隊難以負荷；此時若先以CVSS高風險與重大風險進行初步篩選，漏洞數會降至718個，接著，若進一步引入EPSS指標，篩選出被利用率大於0.95％（即30天內極可能被攻擊）的漏洞，數量將大幅縮減至33個。最後，再比對CISA KEV清單進行強制優先過濾，最終僅剩11個需最優先處理的關鍵漏洞，可將候選清單縮減95％以上。</p> <p>上述只是一個概念呈現，高于凱強調，漏洞永遠修不完，正確的目標應是「優先修對的」，不是立即全部修完，並在有餘力時處理低風險漏洞，而非將其視為豁免修補。此外，還有VEX（Vulnerability Exploitability eXchange）指標也可留意，這是另一種標注套件是否受影響的補充方式。</p> <p>綜上所述，這種篩選邏輯與全球資安倡導的「以風險為導向的漏洞管理」不謀而合。近期FIRST國際組織在<strong><a href="https://www.ithome.com.tw/news/176666">公布2026年CVE漏洞預測數量上調的消息</a></strong>時，亦同步強調企業應持續採用EPSS與CISA KEV作為優先順序篩選的標準，這是目前仍然有效的應對策略。</p> <h2><strong>調整漏洞溝通方式，降低修補摩擦</strong></h2> <p>除了技術指標，高于凱也深入探討資安與開發團隊間的溝通挑戰。他認為安全文化的本質應是降低摩擦，而非單純增加管制措施。在實務溝通上，他建議資安人員應學會使用開發者能理解的語言，例如，與其僵化地告知「此漏洞CVSS評分為9.8，非常危險」，不如改以具體威脅描述：「這個漏洞能讓攻擊者僅用5行Python程式碼就取得資料庫帳密」，透過具體情境提升開發者的安全意識。</p> <p>還有幾項溝通上的實務建議，例如，應將工具自動化，與其讓工程師手動查詢漏洞、手動修改package.json，資安團隊應盡可能提供「一鍵升版」的PR（Pull Request）；應展現修補成效，別只給工程師看待修清單，應展示平均修復時間（MTTR）的下降趨勢與漏洞總數的變化，讓開發團隊看到自己的進步。</p> <p>最後，高于凱指出，資安不該只是中央資安團隊的責任，可透過在每個開發團隊培養1至2名安全種子的方式，從內部降低溝通成本。</p> </div></div></div>
6/30 18:38作者羅正漢https://www.ithome.com.tw/news/176987
Meta用AI從打字腦訊號重建語句，推進非侵入式腦機介面研究
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Meta發表<strong><a href="https://ai.meta.com/blog/brain2qwerty-brain-ai-human-communication/">Brain2Qwerty v2研究</a></strong>，嘗試用AI從受試者打字時的腦部活動重建自然語句。研究人員使用腦磁波儀（MEG）記錄大腦活動產生的微弱磁場，不需手術植入電極，希望藉由免手術的非侵入式文字溝通方式，讓因腦部損傷而難以說話或動作的人，未來有機會透過腦機介面表達內容。</p> <p>Meta解釋，Brain2Qwerty v2以9名志願受試者的資料訓練，研究團隊蒐集約22,000個句子，每名受試者各接受10小時記錄。實驗過程中，受試者在腦磁波儀中主動打字，模型再從腦部訊號推測對應文字，因此這套系統解碼的是打字任務中的腦部活動，並不能解讀人腦中任意浮現的想法。</p> <p>新版系統採用深度學習直接處理原始腦訊號，不再先由人工設計流程判斷神經事件。Meta也微調大型語言模型，使系統可利用語意脈絡，協助把雜訊較高的腦部記錄整理成較連貫的句子，並使用AI代理探索解碼流程的最佳化方向，但最終訓練設定仍由工程師人工選定。</p> <p>根據Meta公開的實驗資料，Meta指出，Brain2Qwerty v2的單字正確率約為61%，換算平均單字錯誤率約為39%。在最佳受試者上，單字正確率達78%，且超過半數句子只出現一個單字錯誤以內。Meta將這項結果視為非侵入式腦訊號文字解碼的一項進展。不過，目前成果仍建立在受試者主動打字與腦磁波儀記錄的受控實驗中，後續若要用於輔助溝通，仍需面對設備、使用情境與解碼準確率等限制。</p> <p>從Brain2Qwerty v1的結果來看，非侵入式腦訊號技術也面臨訊號品質與設備可用性的取捨。先前刊登於Nature Neuroscience的Brain2Qwerty v1研究指出，使用腦磁波儀時，平均字元錯誤率為29%，優於使用腦電圖（EEG）時的65%。腦磁波儀訊號品質較好，但設備仍屬實驗室等級，距離可攜式、臨床或日常使用仍有落差。</p> <p>Meta已在GitHub釋出Brain2Qwerty v1與v2訓練程式碼，合作單位巴斯克認知、大腦與語言中心也釋出v1資料集，v2資料集則待論文獲接受後公開。</p> </div></div></div>
6/30 18:48作者李建興https://www.ithome.com.tw/news/176990
美超微AI伺服器出口案調查擴大，青雲、是方電訊遭搜索，是方澄清僅提供機房服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>基隆地檢署偵辦高階AI伺服器涉嫌違法出口中國案件持續擴大，繼5月發動首波搜索後，周一(6/29)展開第二波偵辦行動，搜索美超微（Supermicro）台灣分公司、青雲科技及是方電訊等地，並約談多名主管及相關人員到案，調查是否有人涉嫌利用不實報關文件或虛報最終目的地等方式，將搭載Nvidia高階GPU的AI伺服器違法出口至中國、香港及澳門等受美國出口管制地區。</p> <p>根據檢調調查方向，涉案設備為搭載高階AI晶片的伺服器，疑似透過第三地轉運、虛報貨品流向等方式規避出口管制，目前朝偽造文書、背信及違反貿易相關法令等方向持續偵辦。</p> <h2 dir="ltr" style="line-height:1.38;margin-top:18pt;margin-bottom:4pt;"><span style="color:#B22222;"><span style="font-size:20px;"><span id="docs-internal-guid-18b089ca-7fff-f083-fd34-678acf020adb"><span style="font-family: Arial, sans-serif; background-color: transparent; font-weight: 700; font-variant: normal; vertical-align: baseline; white-space: pre-wrap;">基隆地檢署5月立案後擴大追查供應鏈</span></span></span></span></h2> <p>基隆地檢署是在今年5月展開首波搜索行動，當時檢調鎖定疑似協助高階AI伺服器非法出口的3名相關人士的居住所與公司12處進行搜索，並展開扣押與約談。</p> <p>進入6月底後，檢調展開第二波搜索行動，將調查範圍擴大到供應鏈上游與周邊服務業者，包括美超微台灣分公司、青雲科技及是方電訊等單位。</p> <p>相較於首波調查主要聚焦於涉案個人與直接出口鏈條，第二波搜索擴大至AI伺服器供應鏈全流程，包括系統製造、通路銷售、物流運輸與資料中心代管等環節，顯示檢調正追查設備從採購、存放、出貨到最終流向的完整鏈結。</p> <p>遭搜索的青雲科技發布重大訊息表示，公司全力配合檢調調查，目前營運、財務及業務均維持正常，不受本案影響。不過事件曝光後，市場擔憂案件後續發展，該公司股價跌停鎖住。</p> <h2 dir="ltr" style="line-height:1.38;margin-top:18pt;margin-bottom:4pt;"><span style="color:#B22222;"><span id="docs-internal-guid-18b089ca-7fff-f083-fd34-678acf020adb"><span style="font-size: 17pt; font-family: Arial, sans-serif; background-color: transparent; font-weight: 700; font-variant: normal; vertical-align: baseline; white-space: pre-wrap;">是方：僅提供機房代管服務，未參與設備交易</span></span></span></h2> <p>國內知名IDC機房業者是方電訊也被列為搜索對象，是方今天先後發布重大訊息及聲明澄清，公司此次是配合檢調調查機房客戶涉及AI設備非法輸出案件，本身並非設備所有人，也未參與設備交易。</p> <p>是方表示，該公司提供IDC資料中心及機房代管服務，依法無權介入客戶放置於機房內設備的內容、用途及流向，也無法自行檢視或處分客戶設備，該公司依政府要求配合調查，全力協助釐清案件。</p> <p>是方也表示，目前公司營運、財務及業務均維持正常，事件對營運沒有重大影響，並將依既有資料中心管理機制，若發現客戶涉及違法情形，將依契約及法令規定配合主管機關辦理。</p> <h2 dir="ltr" style="line-height:1.38;margin-top:18pt;margin-bottom:4pt;"><span style="color:#B22222;"><span id="docs-internal-guid-18b089ca-7fff-f083-fd34-678acf020adb"><span style="font-size: 17pt; font-family: Arial, sans-serif; background-color: transparent; font-weight: 700; font-variant: normal; vertical-align: baseline; white-space: pre-wrap;">美司法部3月已調查AI伺服器違反出口禁令</span></span></span></h2> <p>除了臺灣檢調的偵辦外，今年3月美國司法部針對相似違反出口管制的案件提出刑事起訴，起訴美超微共同創辦人廖益賢（Wally Liaw）等3人，指控其涉嫌自2022年起透過第三地公司與不實交易安排，規避美國出口管制，將搭載Nvidia高階GPU的AI伺服器轉運至中國，涉案金額約25億美元。</p> <p>美國司法部指出，相關行為涉及偽造最終用戶資訊、利用境外公司下單及變更設備流向等手法，以規避出口限制，該案件成為美國近年針對AI晶片與高階運算設備出口管制的重要案件之一。</p> <h2 dir="ltr" style="line-height:1.38;margin-top:18pt;margin-bottom:4pt;"> </h2> </div></div></div>
6/30 18:57作者蘇文彬https://www.ithome.com.tw/news/176991
【資安日報】6月30日，網路曬票存在風險，資安署呼籲民眾應有效遮蔽條碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><h3><strong>本日新聞焦點</strong></h3> <p>● <a href="https://www.ithome.com.tw/news/176976#BarCode">網路曬票存在風險，應有效遮蔽票券條碼資訊</a></p> <p>● <a href="https://www.ithome.com.tw/news/176976#TinyRCT">中國駭客於東南亞政府及能源設施散布後門TinyRCT</a></p> <p>● <a href="https://www.ithome.com.tw/news/176976#SimpleHelp">SimpleHelp滿分重大漏洞被用於散布惡意軟體</a> <a id="BarCode" name="BarCode"></a></p> <p> </p> <p><a href="https://www.ithome.com.tw/news/176968"><span style="font-size: 22px;"><strong>資安署解析網路曬票風險，呼籲民眾有效遮蔽儲存許多資訊的票券條碼</strong></span></a></p> <p><a href="/sites/default/files/images/show-ticket-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/show-ticket-63.jpg" style="width: 300px; float: right;" /></a></p> <p>為了提高民眾的防範意識，數位發展部資通安全署召開記者會，提醒民眾在社群媒體上習以為常的「曬票打卡」行為，看似無害地分享喜悅，實則可能在瞬間讓個人旅遊行程、訂位資訊、乃至入場資格拱手讓人。資安署署長蔡福隆表示，機票與演唱會門票上的條碼，並非只是供驗票閘門識別的符號，而是包含大量個人敏感資訊的微型資料庫。一旦這些照片在未經妥善處理的情況下流出，任何人都可能在幾秒內取得關鍵個資，進而對票券擁有者造成難以估量的損害。<a href="https://www.ithome.com.tw/news/176968">詳全文</a> <a id="TinyRCT" name="TinyRCT"></a></p> <p><a href="https://www.ithome.com.tw/news/176945"><span style="font-size: 22px;"><strong>中國駭客UAT-7237鎖定東南亞政府及能源關鍵基礎設施，散布後門TinyRCT</strong></span></a></p> <p><a href="/sites/default/files/images/word-image-766082-182868-9-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/word-image-766082-182868-9-63.jpg" style="width: 300px; float: right;" /></a></p> <p>Palo Alto Networks威脅研究團隊Unit 42追蹤中國駭客CL-STA-1062攻擊行動，近期攻擊範圍延伸至東南亞政府機關與能源關鍵基礎設施。Unit 42認為，這與思科威脅情報團隊Talos稱為UAT-7237的駭客團體是同一批人馬，當時傳出曾攻擊臺灣網站的代管基礎設施。駭客至少自2022年3月開始活動，2025年則鎖定東南亞政府、能源產業與國營企業。CL-STA-1062於2025年9月入侵東南亞政府機關，部署可遠端下指令的後門程式，同年10月至12月，至少有10個組織疑似遭入侵。<a href="https://www.ithome.com.tw/news/176945">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176972"><span style="font-size: 22px;"><strong>俄羅斯駭客Turla使用後門StockStay於烏克蘭從事間諜活動</strong></span></a></p> <p><a href="/sites/default/files/images/stockstay-fig1-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/stockstay-fig1-63.jpg" style="width: 300px; float: right;" /></a></p> <p>俄羅斯自2022年2月入侵烏克蘭，戰爭持續超過4年尚未結束，而這段期間，俄羅斯駭客配合軍事行動從事網路間諜活動的情形陸續傳出，最近Google威脅情報團隊（GTIG）揭露的後門程式StockStay，就是被稱為Turla、UAC-0194、Secret Blizzard俄羅斯駭客團體用於間諜活動的工具。相關攻擊行動可追溯至2022年12月，Turla曾對烏克蘭政府機關與軍事組織，以及對義大利外交政策感興趣的組織使用StockStay。此後門程式由數個不同的元件組成，起初被偽裝成股市資料檢視工具而得名。<a href="https://www.ithome.com.tw/news/176972">詳全文</a> <a id="SimpleHelp" name="SimpleHelp"></a></p> <p><a href="https://www.ithome.com.tw/news/176957"><span style="font-size: 22px;"><strong>遠端監控與管理軟體SimpleHelp滿分重大漏洞已遭利用</strong></span></a></p> <p>上個月遠端監控與管理軟體SimpleHelp發布5.5.16與6.0 RC2更新，修補CVSS風險評分達到滿分10分的重大漏洞CVE-2026-48558，如今此漏洞已出現實際攻擊。資安公司Blackpoint提出警告，他們在一家偵測與回應代管（MDR）廠商的資安事故裡，發現攻擊者利用了CVE-2026-48558，於SimpleHelp伺服器建立技術人員（Technician）連線，隨後部署惡意程式載入工具TaskWeaver，以及竊資軟體Djinn Stealer，竊取AI開發工具及開發環境的憑證資料。<a href="https://www.ithome.com.tw/news/176957">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176961"><span style="font-size: 22px;"><strong>美國警示SimpleHelp滿分漏洞被用於實際攻擊</strong></span></a></p> <p>資安公司Blackpoint近日指出，他們發現有人利用SimpleHelp滿分重大漏洞CVE-2026-48558，對一家偵測與回應代管（MDR）廠商散布惡意程式TaskWeaver與Djinn Stealer，6月29日美國網路安全與基礎設施安全局（CISA）表示，他們將CVE-2026-48558列入已遭利用漏洞清單（KEV），並要求聯邦機構在7月2日前完成修補，原因是已掌握該漏洞遭到積極利用的證據。至於該漏洞是否被用於勒索軟體活動？CISA表示不清楚。<a href="https://www.ithome.com.tw/news/176961">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/176963"><span style="font-size: 22px;"><strong>Lantronix漏洞疑遭逆向分析修補內容後利用，OpenWrt裝置也遭暴力破解</strong></span></a></p> <p><a href="/sites/default/files/images/Lantronix-blog-Brute-Force-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/Lantronix-blog-Brute-Force-63.jpg" style="width: 300px; float: right;" /></a></p> <p>物聯網與遠端連線設備業者Lantronix旗下序列埠轉IP設備EDS5000存在重大漏洞CVE-2025-67038，美國網路安全與基礎設施安全局（CISA）於6月23日將其列入已遭利用漏洞（KEV）名單。網路資產管理與資安業者Forescout隨後於6月25日發布研究，揭露這項漏洞的實際濫用跡象。攻擊者在4月5日開始利用CVE-2025-67038，時間點在Lantronix發布修補程式之後、完整技術細節公開之前。Forescout因此研判，攻擊者可能是透過逆向分析修補內容，自行開發漏洞利用程式。<a href="https://www.ithome.com.tw/news/176963">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176938"><span style="font-size: 22px;"><strong>駭客利用Joomla JCE漏洞攻擊政府網站，馬來西亞NC4示警</strong></span></a></p> <p>馬來西亞國家網路安全局（NACSA）旗下國家網路協調與指揮中心NC4於6月26日示警，觀察到多起涉及CVE-2026-48907已知漏洞的攻擊事件，造成多個政府部門網站受到影響，包括：衛生部、合作社委員會、手工藝發展局、婦女發展局等。由於美國網路安全與基礎設施安全局（CISA）已在6月16日，將此漏洞列入已遭利用漏洞清單（KEV），但當時具體受害者身分未公開，而本次事件則是首批有明確受害單位浮上檯面的案例。<a href="https://www.ithome.com.tw/news/176938">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176956"><span style="font-size: 22px;"><strong>Oracle E-Business Suite重大漏洞被用於實際攻擊</strong></span></a></p> <p><a href="/sites/default/files/images/HL-kDIfWQAADCkx-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/HL-kDIfWQAADCkx-63.jpg" style="width: 300px; float: right;" /></a></p> <p>6月29日威脅情報公司Defused Cyber於社群網站X提出警告，他們首度偵測到有人試圖利用Oracle E-Business Suite（EBS）漏洞CVE-2026-46817，由於該漏洞目前尚未有公開的概念驗證程式碼（PoC），因此後續情形相當值得繼續追蹤。CVE-2026-46817存在於EBS子系統Oracle Payments當中的檔案傳輸元件，未通過身分驗證的攻擊者只要透過HTTP存取就能輕易利用，一旦成功利用該漏洞，就能接管Oracle Payments，CVSS風險評為9.8分，Oracle於今年5月關鍵安全修補更新（CSPU）修補。<a href="https://www.ithome.com.tw/news/176956">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176959"><span style="font-size: 22px;"><strong>FIFA 2026足球賽詐欺生態圈存在近4千個冒牌網域</strong></span></a></p> <p><a href="/sites/default/files/images/FIFA-world-cup-attack-ecosystem-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/FIFA-world-cup-attack-ecosystem-63.jpg" style="width: 300px; float: right;" /></a></p> <p>2026年世界盃足球賽（FIFA World Cup）於6月11日展開，相關的網路詐騙呈現爆炸性增長，繼資安公司CTM360提出警告後，威脅情報公司Cyble揭露Operation FanTrap活動，駭客利用詐騙網域、社群媒體、即時通訊平臺、盜版球賽轉播，以及暗網活動等管道，建立經過協調的生態系統，該公司從今年5月開始，已確認近4千個冒充FIFA相關品牌、票務平臺、球賽串流服務，以及面向球迷資源的網域，藉由假的門票優惠、VIP優先入場計畫、接待服務、未經授權的串流平臺等誘餌，意圖引誘球迷上當。<a href="https://www.ithome.com.tw/news/176959">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176962"><span style="font-size: 22px;"><strong>美國查封近400個用於非法直播FIFA 2026賽事的網域</strong></span></a></p> <p>6月26日美國司法部（DOJ）宣布，他們發現近400個被用於未經授權轉播世界盃足球賽（FIFA World Cup）的網域，根據該國的版權法將其查封。這些被查封的網域被用來非法向用戶提供受版權保護的內容，以即時串流播放2026年世界盃足球賽。值得留意的是，這些盜版轉播網站不光涉及版權侵害，還有可能讓球迷暴露於潛在資安威脅，像是惡意軟體與不安全連線，而有可能洩露個資或財務資料。<a href="https://www.ithome.com.tw/news/176962">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176939"><span style="font-size: 22px;"><strong>波蘭破獲SIM卡挾持犯罪集團，透過接管門號竊取數位資產</strong></span></a></p> <p>波蘭中央網路犯罪局（CBZC）於6月25日宣布，在美國聯邦調查局（FBI）及國土安全調查局（HSI）協助下，逮捕4名涉嫌從事SIM卡置換（SIM Swapping）攻擊的犯罪集團成員。嫌犯利用專業軟體及社交工程，入侵與電信業者合作企業的資訊基礎設施及員工電子郵件，取得攻擊所需資料及受害者的門號控制權，接著犯罪集團便可攔截受害者的SMS簡訊及電子郵件驗證訊息，進而接管帳號並竊取數位資產，總金額超過500萬美元。<a href="https://www.ithome.com.tw/news/176939">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176943"><span style="font-size: 22px;"><strong>Amadey與StealC共用基礎設施，兩週內感染逾14萬臺電腦</strong></span></a></p> <p><a href="/sites/default/files/images/Amadey-StealC-20-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/Amadey-StealC-20-63.jpg" style="width: 300px; float: right;" /></a></p> <p>上週歐洲刑警組織（Europol）發表執法行動Operation Endgame最新一波成果，多國執法單位與微軟等多家企業組織聯手，成功破壞惡意程式SocGholish（FakeUpdates）、Amadey和StealC背後的犯罪基礎設施。參與此次執法的微軟，也透露本次打擊網路犯罪與過往的最大不同，他們針對的是網路攻擊供應鏈。僅五月前兩週，微軟就看到全球有14萬臺電腦感染這兩款惡意程式。這次該公司借助AI的力量進行分析，並指出雖然Amadey與StealC由兩組駭客團體在經營，卻仰賴相同的基礎設施。<a href="https://www.ithome.com.tw/news/176943">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176942"><span style="font-size: 22px;"><strong>攻擊者濫用OpenAI組織邀請，偽冒企業租戶誘騙員工加入</strong></span></a></p> <p>資安公司Push Security近期遭遇一起OpenAI組織邀請功能濫用事件。攻擊者建立名為「Push Security Inc」的OpenAI組織，透過OpenAI合法通知信邀請該公司特定員工加入，試圖讓受害者誤認這是公司正式租戶，進而在攻擊者控制的AI工作環境中使用ChatGPT或API。由於攻擊者並非偽造OpenAI郵件，而是濫用平臺本身提供的合法邀請機制，若員工誤以為公司已建立正式OpenAI組織，並開始在其中輸入機密資料，攻擊者就能掌握相關內容。<a href="https://www.ithome.com.tw/news/176942">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176966"><span style="font-size: 22px;"><strong>大規模Edge惡意延伸套件活動StegoAd超過2年，微軟移除119個惡意套件</strong></span></a></p> <p><a href="/sites/default/files/images/StegoAd-attack_modules-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/StegoAd-attack_modules-63.jpg" style="width: 300px; float: right;" /></a></p> <p>微軟揭露大規模攻擊行動StegoAd，有人於2024年初至2026年4月，於Microsoft Edge Add-ons Store使用超過90個帳號，上架119個惡意套件，這些套件標榜擋廣告、VPN服務、翻譯工具，以及下載影片等用途，且確實具備駭客描述的功能，然而實際上駭客利用隱寫術（steganography）將惡意程式碼埋藏在圖檔，藉此從事廣告詐欺，這些套件迄今已被下載260萬次，影響範圍可能相當廣泛。由於駭客採取的迴避偵測手法，使得惡意套件並非每次安裝後都會觸發惡意酬載，因此相關活動難以察覺。<a href="https://www.ithome.com.tw/news/176966">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176973"><span style="font-size: 22px;"><strong>美國聯邦保險監管機構遭Oracle PeopleSoft漏洞入侵導致資料外洩</strong></span></a></p> <p>美國聯邦保險監管機構National Association of Insurance Commissioners（NAIC）於6月26日指出，他們於6月11日遭遇Oracle PeopleSoft漏洞攻擊，導致駭客能在未取得授權的情況下，存取部分NAIC環境，該機構已封鎖駭客入侵的管道並進行修復。這起事故源自一起大規模攻擊活動，攻擊者利用PeopleSoft當時未公開的零時差漏洞，NAIC聘請律師與資安專家協助處理，美國聯邦調查局（FBI）也介入調查，NAIC亦掌握攻擊者公布竊得資料的情形。<a href="https://www.ithome.com.tw/news/176973">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176960"><span style="font-size: 22px;"><strong>libssh2 SSH函式庫重大漏洞公開PoC問世，利用風險升高</strong></span></a></p> <p>上週揭露的開源SSH函式庫libssh2重大漏洞CVE-2026-55200，如今已有研究人員公開概念驗證（PoC）程式碼，使漏洞遭利用的風險進一步升高。據資安媒體The Hacker News報導，已有研究人員在GitHub發布PoC程式，驗證漏洞可被觸發，雖然尚非可直接用於實際攻擊的完整利用程式，但已大幅降低後續開發攻擊工具的門檻。由於目前尚無正式的libssh2修補版本，The Hacker News建議採用英國國民保健署（NHS England）提出的緩解措施因應。<a href="https://www.ithome.com.tw/news/176960">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176964"><span style="font-size: 22px;"><strong>Dell修補Wyse管理平臺重大漏洞，未更新可能導致遠端程式碼執行</strong></span></a></p> <p>Dell近日發布資安公告，修補精簡型電腦（Thin Client）集中管理平臺Wyse Management Suite（WMS）的兩項漏洞。其中最嚴重的CVE-2026-41120，CVSS嚴重性評分達9.8分，問題源自WMS未能妥善區分可信任與非可信任資料，攻擊者僅需具備低權限遠端存取能力，即可利用漏洞在WMS伺服器執行任意程式碼，Dell已於WMS 5.5 HF1版完成修補。Dell這次修補的另一個漏洞是CVE-2026-49506，屬於路徑遍歷（Path Traversal）問題。<a href="https://www.ithome.com.tw/news/176964">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/176958"><span style="font-size: 22px;"><strong>Linux基金會旗下FINOS規畫成立開源企業韌性聯盟OSERA，協助金融業修補開源套件</strong></span></a></p> <p>AI加快漏洞發現與利用速度，也大幅壓縮企業部署修補的防禦空窗期。Linux基金會旗下金融服務開源組織FINOS於Open Source in Finance Forum宣布，計畫成立開源企業韌性聯盟（Open Source Enterprise Resiliency Alliance，OSERA），協助金融機構與其他受監管企業共同處理開源軟體供應鏈風險。OSERA定位為全球性、廠商中立且由會員共同治理的聯盟，目標是針對金融機構採用的共通開源套件版本，建立聯合修補、驗證與採用機制。<a href="https://www.ithome.com.tw/news/176958">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/176967"><span style="font-size: 22px;"><strong>微軟延長Windows Server 2022熱修補支援至2027年10月</strong></span></a></p> <p>6月26日微軟宣布，Windows Server 2022 Datacenter: Azure Edition的熱修補（Hotpatch）支援期限，將從原本的2026年10月延長至2027年10月。這項調整即日起生效，已啟用此功能的伺服器不需要額外採取行動，仍會依照既有的每月更新週期，接收以熱修補形式發布的安全更新。這次的調整代表，Windows Server 2022 Datacenter: Azure Edition的熱修補機制將再提供1年，不會因主流支援於2026年10月結束而停止。<a href="https://www.ithome.com.tw/news/176967">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176935"><span style="font-size: 22px;"><strong>從DevSecOps走向信任設計，酷澎指出資安更大的目標是消除使用者不確定感</strong></span></a></p> <p>【臺灣資安大會直擊】酷澎全球資安總監Stanley Chou（周彥儒）指出，資安不僅是技術防護，更要延伸為「信任設計」，核心目標是消除使用者的不確定感。他提出三步驟：定義關鍵場景、找出信任失效模式、建立信任承諾，並透過邊界、保證與韌性三維度驗證。酷澎以FIDO2 Passkey免密碼登入為例，降低「秘密共享」的不安，提升使用者信賴。此設計已累積逾50萬金鑰，採用率與使用率均高，展現信任設計的成效與持續優化方向。<a href="https://www.ithome.com.tw/news/176935">詳全文</a></p> </div></div></div>
6/30 14:53作者周峻佑https://www.ithome.com.tw/news/176976
CI/CD供應鏈存在Cordyceps風險，GitHub Actions流程恐遭挾持
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>AI滲透測試平臺業者Novee Labs公開一類名為<a href="https://novee.security/blog/cordyceps/" target="_blank"><strong>Cordyceps的CI/CD供應鏈風險</strong></a>，指出許多開源專案使用GitHub Actions建立自動化工作流程時，若未妥善處理外部輸入與執行權限，攻擊者可能藉由留言、拉取請求（Pull Request，PR）、分支名稱，或流程產生的檔案與輸出資料，讓自動化流程執行非預期指令，進而竊取憑證、操控儲存庫，甚至影響後續軟體發布。</p> <p>Cordyceps並非GitHub平臺本身的漏洞，而是自動化流程設計與維護上的安全缺陷。GitHub Actions常被用來執行測試、建置、發布套件與部署雲端資源，也可能握有簽署金鑰、權杖或雲端存取權限，因此相關設定雖然看似只是專案設定檔，實際上卻可能接觸程式碼、金鑰與雲端服務。當流程把外部使用者可控制的內容視為可信資料，就可能讓攻擊者借用專案原本授予自動化系統的權限。</p> <p>研究團隊掃描約3萬個高影響力儲存庫，初步標記654個儲存庫，其中超過300個被確認可被利用，影響包括讓流程執行攻擊者控制的程式碼、偽造CI檢查並繞過合併門檻、污染建置或發布流程、竊取雲端憑證或自動化權杖，以及透過自動化機器人帳號影響專案操作。該公司也列舉微軟、Google、Apache、Cloudflare與Python Software Foundation等組織相關開源專案案例。</p> <p>Cordyceps風險不一定會出現在單一設定檔中，而是常發生在多個流程串接之後，例如低權限流程先接收外部貢獻者提交的內容，再透過流程產生的檔案、輸出資料或環境檔，把資料交給高權限流程處理。當高權限流程同時能存取寫入權限或雲端憑證，攻擊者就可能把不可信資料帶進受信任環境。以單一工作流程檔做規則比對的工具，便較難發現此類問題。</p> <p>AI程式碼代理工具可能放大這類風險，因為這些工具能快速產生或修改CI/CD設定，要是缺少安全審查，同一種錯誤可能被複製到更多專案。研究人員提醒，開發者應把CI/CD流程視為安全關鍵程式碼，重新檢查外部輸入、流程權限、憑證使用方式，以及自動化步驟能觸及的發布管線與雲端部署權限。</p> </div></div></div>
6/30 16:27作者李建興https://www.ithome.com.tw/news/176978
Arena將AI模型評測變現，年化收入達1億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://arena.ai/blog/arena-100m-revenue/" target="_blank">AI模型評測平臺Arena周一（6/29）宣布</a>，旗下企業版AI模型評測服務AI Evaluations推出8個月，年化收入（Annualized Run-Rate Revenue）已達1億美元。</p> <p>Arena源自加州大學柏克萊分校2023年的AI模型評測研究專案，最初名為LMArena，以<a href="https://arena.ai/" target="_blank">免費AI模型評測平臺</a>打開知名度，使用者只要輸入同一個Prompt，系統便會將其分別交由兩個匿名AI模型回答，再由使用者投票選出較佳答案，藉此蒐集大量真人偏好資料，建立AI模型排行榜，之後於2025年4月正式成立公司。該平臺目前已累積逾7億筆對話、8,200萬次投票及每月超過1,000萬名訪客，成為AI業界觀察模型表現的重要指標之一。</p> <p>2025年9月，Arena推出企業版AI模型評測服務<a href="https://arena.ai/blog/ai-evaluations/" target="_blank">AI Evaluations</a>，向企業、AI模型實驗室及開發者提供基於真人回饋的模型評測與分析服務，協助客戶了解模型在實際應用中的表現、優勢、弱點及取捨。Arena表示，AI Evaluations也提供可追溯的評測資料樣本及服務水準協議（SLA），協助客戶更有效率地評估及改善AI模型。</p> <p>Arena表示，年化收入突破1億美元，代表公司已建立可持續的商業模式，未來將持續投資Arena平臺，推出更多功能、工具及AI協作方式。其中，Agent Mode可評估AI代理執行長時間、多步驟任務時的完成率及幻覺率，以補足傳統靜態基準測試的不足；該功能推出僅1個月，每月已處理逾500萬次互動，且每周成長約10%。</p> <p>此外，Arena也感謝使用者貢獻數億筆對話及數千萬次投票，強調使用者投票不僅支撐免費且獨立的評測平臺，也有助於引導AI模型朝更符合使用者偏好與價值的方向發展。</p> <p>同樣成立於2024年的<a href="https://www.ithome.com.tw/news/169673" target="_blank">AI模型評測平臺Yupp</a>則已於今年3月31日宣布停止營運。<a href="https://blog.yupp.ai/winddown/" target="_blank">當時Yupp表示</a>，該公司原本希望打造AI模型評測的雙邊市場，讓使用者免費使用多個AI模型，再利用真實使用資料協助AI實驗室評估模型，儘管累積逾130萬名使用者，也曾有多家AI實驗室付費使用，但仍未找到足以支撐營運的產品市場契合，因此決定關閉服務。</p> </div></div></div>
6/30 15:20作者陳曉莉https://www.ithome.com.tw/news/176979
日產汽車證實Oracle PeopleSoft系統被駭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>日本汽車大廠日產（Nissan）證實，近日公司使用的Oracle PeopleSoft系統遭駭，導致美洲分公司資料外洩，內容包括員工薪資、稅務與人事檔案。</p> <p>根據北美日產（Nissan North America Inc.）上周<a href="https://oag.ca.gov/privacy/databreach/list" target="_blank">向加州總檢察長辦公室（OAG）提交的資料外洩通知</a>，事件發生在2026年5月27日到6月9日之間，影響範圍涵括美國、加拿大、墨西哥和巴西等分公司。</p> <p>日產在通知信件中，說明攻擊者利用該公司的HRM系統Oracle PeopleSoft的漏洞，存取了屬於前任和現任員工的資訊。外洩資料包括員工姓名、地址等基本資料，銀行帳號、薪資、稅務資料等財務資訊，以及政府身分證件資訊包括社會安全號碼、社會保險號碼、國民身分證字號等。此外還有員工的受扶養人以及受益人的個人資訊。</p> <p>日產已通知受影響的人員，並表示已與外部資安專家合作切斷未授權存取並強化系統安全、通報司法與監管機關。為了防止薪資盜領等非法行為，該公司也針對處理薪資變更與請求的流程，強制實施多因素身分驗證（MFA），並對受影響的員工提供信用監測或暗網監控服務。</p> <p>這家日本汽車大廠可能是6月以來最新曝光的Oracle PeopleSoft被駭的受害者。Google及旗下Mandiant研究人員<a href="https://cloud.google.com/blog/topics/threat-intelligence/shinyhunters-targets-education-sector-oracle-exploit" target="_blank">推斷</a>，駭客組織ShinyHunters從5月底到6月初濫用了PeopleSoft的CVE-2026-35273漏洞。<a href="https://www.ithome.com.tw/news/176529" target="_blank">ShinyHunters聲稱</a>成功駭入了上百家組織，包括已經證實資料外洩的英國諾丁漢大學。</p> <p>今年4月日產還有另一起資料外洩事件。<a href="https://cybernews.com/security/everest-nissan-data-breach-ultimatum/" target="_blank">媒體報導指出</a>，北美日產（Nissan & Infiniti）經銷商體系所使用的第三方IT外包商GCSSD於今年1月遭到入侵。後者存取該業者處理與傳輸日產經銷商資料的FTP伺服器。勒索軟體組織Everest聲稱，成功竊取高達900GB的資料庫檔案，包含客戶、經銷商、財務和原始程式碼資料，涵括2013年到2026年1月的資料。由於Nissan拒絕支付贖金，Everest組織選在2026年4月1日正式對外公開此事件，並在4月中旬將所有資料在暗網與駭客論壇上全面流出。</p> </div></div></div>
6/30 15:42作者林妍溱https://www.ithome.com.tw/news/176980
美國聯邦保險監管機構遭Oracle PeopleSoft漏洞入侵導致資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>6月上旬駭客組織ShinyHunters傳出利用零時差漏洞CVE-2026-35273發動大規模攻擊，<strong><a href="https://www.ithome.com.tw/news/176529">號稱駭入上百家企業組織的Oracle PeopleSoft伺服器</a></strong>，如今傳出美國監管機構受害。</p> <p>根據<strong><a href="https://www.infosecurity-magazine.com/news/us-insurance-regulator-confirms/">資安新聞網站Infosecurity Magazine報導</a></strong>，美國聯邦保險監管機構National Association of Insurance Commissioners（NAIC）於6月26日指出，他們於6月11日遭遇Oracle PeopleSoft漏洞攻擊，導致駭客能在未取得授權的情況下，存取部分NAIC環境，該機構已封鎖駭客入侵的管道並進行修復。NAIC強調，這起事故源自一起大規模攻擊活動，攻擊者利用PeopleSoft當時未公開的零時差漏洞犯案而得逞，NAIC聘請律師與資安專家協助處理，美國聯邦調查局（FBI）也介入調查，NAIC亦掌握攻擊者公布竊得資料的情形。</p> <p>針對事故曝險的範圍，NAIC表示他們在PeopleSoft存放了內部的財務報告資料，攻擊者可能取得公開的法定財務報告、信用評等機構的資料等，但不含個人可識別資訊（PII）、付款及財務資訊遭存取。不過，NAIC並未透露的CVE編號，也沒有說明攻擊者的身分。</p> </div></div></div>
6/30 13:21作者周峻佑https://www.ithome.com.tw/news/176973
立院三讀通過「虛擬資產服務法」，服務商採許可制，金融業可申請兼營
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>立法院今天(6/30)三讀通過「虛擬資產服務法」，象徵臺灣虛擬資產產業正式由過去以「洗錢防制法」為核心的登記管理模式，進一步邁向涵蓋業務監理、投資人保護與金融穩定的專法治理階段。</p> <p>在此之前，金管會即以4階段逐步強化對虛擬資產服務的管理。第一階段在2021年修改現有的洗錢防治法，先將VASP納入管理，第二階段於2024年促成「虛擬資產服務商」（Virtual Asset Service Provider, VASP）成立公會，以訂定產業自律規範，第三階段為在洗防法中建立VASP登記制度，第四階段是推動「虛擬資產服務法」立法，以更完整規範VASP業者。</p> <p><span style="font-size:20px;"><span style="color:#B22222;"><strong>VASP</strong><strong>從登記制到許可制，涵蓋交易、保管與借貸等業務</strong></span></span></p> <p>依據新法，未來VASP業者將全面改採「事前許可制」，業者須符合最低資本額、營業保證金、內部控制與內部稽核等要求，並向金管會申請執照後方可經營。已完成洗錢防制登記的業者，未來需於新法施行後一年內提出申請，並在最長2年的緩衝期內取得許可。</p> <p>新法所規範的執照類型涵蓋虛擬資產交換、交易平台、移轉、保管、承銷、借貸及其他相關業務。因不同業務涉及的風險程度與監理強度不同，金管會後續將會公布相關子法與管理辦法。</p> <p>在新法三讀通過後，資誠聯合會計師事務所金融產業服務營運長郭柏如表示，「虛擬資產服務法」三讀通過，代表臺灣的虛擬資產監理已從單一的洗錢防制要求，升級為「業務監理＋投資人保護＋金融穩定」的完整框架，有助於推動亞洲資產管理中心政策及區域數位金融發展。</p> <p><span style="font-size:20px;"><span style="color:#B22222;"><strong>金融業可申請兼營，數位金融生態系開始整合</strong></span></span></p> <p>此次專法另一項重要變革，是明文開放傳統金融業者得申請兼營虛擬資產相關業務。</p> <p>除既有VASP業者外，銀行、證券及其他金融機構未來可在符合金管會資格條件下申請兼營，或透過旗下子公司取得相關執照。這意味著虛擬資產業務將逐步與既有金融體系整合，形成更完整的數位金融供應鏈。</p> <p>不過，金融機構若投入相關業務，仍須考量基礎設施建置成本、洗錢防制與資安要求，以及巴塞爾銀行監理委員會（BCBS）加密資產分類框架所涉及的額外資本計提要求。</p> <p><span style="font-size:20px;"><span style="color:#B22222;"><strong>穩定幣納入專章管理，準備資產須存放境內</strong></span></span></p> <p>「虛擬資產服務法」也首度以專章方式規範穩定幣發行。</p> <p>依規定，未來穩定幣發行人必須取得金管會許可，並將足額準備資產存放於境內金融機構，且須與自有財產分別保管、定期查核並對外揭露。此外，穩定幣須以面額發行與贖回，且不得支付任何形式的利息或收益。</p> <p>這項設計被視為兼顧創新與金融穩定的重要機制，有助於降低穩定幣挪用準備金或流動性不足的風險。</p> <p><span style="font-size:20px;"><span style="color:#B22222;"><strong>強化投資人保護與反詐機制</strong></span></span></p> <p>在投資人保護方面，專法也要求VASP必須將客戶資產分離保管，建立商品上下架審查與資訊揭露機制，並禁止誇大不實或誤導性廣告，同時強制業者加入同業公會。</p> <p>作為政府與產業的溝通管導及產業自律組織，VASP公會表示，專法通過後，後續將協助主管機關制定相關的子法，例如設置辦法、人員管理規則、管理辦法、內部控制制度處理準則、異常交易管理辦法、委外作業辦法、財報編製準則等等，同時也將透過「上、下架審查」、「紀律」及「防範金融詐騙、洗錢暨法遵」等委員會，協助業者平穩過渡至新制度。該公會也將串聯檢警調、金融機構與合規VASP業者，建立情資共享、可疑交易通報、鏈上交易分析與風險地址辨識等聯防機制，以提升詐騙與金融犯罪防制能力。</p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>未經許可最高可罰1</strong><strong>億元，涉操縱市場可重判</strong><strong>10年</strong></span></span></p> <p>相較於先前的「洗錢防制法」，對於未登記經營只處2年以下有期徒刑或500萬元以下罰金，新法大幅提高罰則。</p> <p>未經許可經營虛擬資產服務業務者，最重可處7年以下有期徒刑，並得併科1億元以下罰金；若涉及操縱虛擬資產交易價格或供需，則可處3年以上、10年以下有期徒刑，併科1,000萬元以上、2億元以下罰金。</p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>從自律走向專法治理</strong></span></span></p> <p>這次專法通過，VASP公會認為，象徵臺灣虛擬資產產業正式由產業自律邁向專法治理，未來將以「納管與創新並行」為核心，在保障投資人權益的同時，推動虛擬資產與主流金融體系融合發展。</p> <p>未來隨專法建立VASP許可制、穩定幣管理、金融業兼營、反詐聯防機制、投資人保護等制度上路，國內數位金融監理架構從早期的洗錢防制管理，進一步發展為涵蓋市場秩序、資產安全與金融穩定的完整制度，對於虛擬資產產業將可提供明確的發展路徑。</p> </div></div></div>
6/30 15:15作者蘇文彬https://www.ithome.com.tw/news/176977
大規模Edge惡意延伸套件活動StegoAd超過2年，微軟移除119個惡意套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>一般而言，駭客針對瀏覽器用戶發動攻擊，多半會針對用戶比例最高的Chrome而來，其中一種是在Chrome Web Store上架惡意延伸套件，如今有專門針對Edge用戶的攻擊行動。</p> <p>微軟揭露<strong><a href="https://microsoftedge.github.io/edgevr/posts/Inside-StegoAd-How-We-Disrupted-a-Massive-Malicious-Extension-Campaign/">大規模攻擊行動StegoAd</a></strong>，有人於2024年初至2026年4月，於Microsoft Edge Add-ons Store使用超過90個帳號，上架119個惡意套件，這些套件標榜擋廣告、VPN服務、翻譯工具，以及下載影片等用途，且確實具備駭客描述的功能，然而實際上駭客利用隱寫術（steganography）將惡意程式碼埋藏在圖檔，藉此從事廣告詐欺，這些套件迄今已被下載260萬次，影響範圍可能相當廣泛。</p> <p>值得留意的是，由於駭客採取的迴避偵測手法，並非每次惡意套件安裝後都會觸發惡意酬載執行，因此相關活動難以察覺。然而駭客使用了相同的基礎設施、程式碼存在相同特徵、並使用相同的AdSense發布ID與Google Analytics等證據，因此微軟認為，這些套件都是由同一個駭客團體上架，該公司已清除攻擊者使用的帳號，並下架所有惡意套件。</p> <p>這些惡意套件模仿熱門延伸套件，並具備對應的功能，然而它們內含的惡意元件會在使用者電腦休眠3至5天，目的是確保在沙箱環境不會被觸發，再者，惡意套件也內建偵測瀏覽器開發工具是否運作，以免用戶以此察覺攻擊活動。後續這些套件會從C2伺服器擷取PNG圖片，並透過Base64、XOR演算法，以及字元交換等機制解出惡意酬載並執行。</p> <p>微軟指出，儘管攻擊者的目標是廣告詐欺，惡意酬載會在網頁注入未經授權的廣告，挾持亞馬遜、eBay和AliExpress等購物網站的聯盟佣金，並重新導向搜尋結果，然而根據他們的分析，該酬載還能竊取Google與WordPress帳號的憑證、收集Cookie，甚至提供攻擊者遠端執行程式碼的後門能力，其帶來的威脅遠超過廣告詐欺。</p> </div></div></div>
6/30 12:21作者周峻佑https://www.ithome.com.tw/news/176966
微軟延長Windows Server 2022熱修補支援至2027年10月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://learn.microsoft.com/en-us/windows/release-health/status-windows-server-2022">6月26日微軟（Microsoft）宣布</a>，Windows Server 2022 Datacenter: Azure Edition的熱修補（Hotpatch）支援期限，將從原本的2026年10月延長至2027年10月。這項調整即日起生效，已啟用此功能的伺服器不需要額外採取行動，仍會依照既有的每月更新週期，接收以熱修補形式發布的安全更新。</p> <p><a href="https://learn.microsoft.com/zh-tw/windows-server/get-started/hotpatch">熱修補是微軟提供的作業系統安全性更新機制</a>，目前於Windows Server 2022與Windows Server 2025的Datacenter: Azure Edition提供，可將安全修補套用到正在記憶體執行的處理程序，讓系統無須在每次安裝更新後重新啟動，協助企業減少停機時間，並加速完成漏洞修補作業。不過，這項機制並不適用於所有更新；若伺服器安裝非安全性更新或.NET修補等非Windows更新，仍可能需要重新啟動系統。</p> <p><a href="https://learn.microsoft.com/en-us/lifecycle/products/windows-server-2022" target="_blank">根據微軟產品生命週期資料</a>，Windows Server 2022適用固定生命週期政策，涵蓋Datacenter、Datacenter: Azure Edition、Essentials與Standard等版本，主流支援將於2026年10月13日結束，延伸支援則到2031年10月14日。這次調整代表，Windows Server 2022 Datacenter: Azure Edition的熱修補機制將持續提供至2027年10月，不會因主流支援於2026年10月結束而停止。</p> </div></div></div>
6/30 12:30作者王珮瑤https://www.ithome.com.tw/news/176967
一張打卡照，讓你的假期與演唱會門票落入他人之手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>許多人習慣在社群軟體上分享自己的動態，不論旅遊或參加演唱會，都會手拿票券開心地拍照。只不過，手中拿到的票券，若未妥善遮蔽將儲存許多票券和個人訊息的QR Code（二維條碼），就有可能會被黃牛或有心人士利用，導致旅遊行程被取消或惡意更動，甚至演唱會的票券被黃牛一票多賣並讓他人先入場後，還被檢舉而成為黃牛，必須應付許多後續的問題。</p> <p>為了提高民眾的防範意識，數位發展部資通安全署於日前（6月26日）召開記者會，資安署署長蔡福隆表示，社群媒體上習以為常的「曬票打卡」行為，看似無害地分享喜悅，實則可能在瞬間讓個人旅遊行程、訂位資訊、乃至入場資格拱手讓人。</p> <h1><span style="color:#B22222;">社群媒體發文，只分享喜悅而不分享風險</span></h1> <p>蔡福隆指出，每逢演唱會開票或出國旅遊旺季，民眾在社群平臺分享機票登機證或演唱會門票的照片，早已蔚然成風，「終於要飛了」、「等了二十年的神席」等發文屢見不鮮。然而，在駭客眼中，這些充滿期待的打卡照片，並不只是分享喜悅，而是「主動交出鑰匙」。</p> <p>蔡福隆強調，機票與演唱會門票上的條碼，並非只是供驗票閘門識別的符號，而是包含大量個人敏感資訊的微型資料庫。一旦這些照片在未經妥善處理的情況下流出，任何人都可能在幾秒內取得關鍵個資，進而對票券擁有者造成難以估量的損害。</p> <p>他表示，資安署此次召開記者會，正是希望以具體的案例與數據，讓民眾認識條碼的真正風險，建立「分享喜悅、不分享風險」的資安意識。</p> <p>他也特別指出，許多民眾以為只要稍微遮蔽或模糊條碼就能高枕無憂，但事實上這樣的防護措施遠遠不夠。資安署希望透過此次活動，讓每一位民眾在拍照發文前，都能先問自己：「我的條碼遮好了嗎？」</p> <h1><span style="color:#B22222;">一維條碼與二維條碼的天壤之別</span></h1> <p>資安署綜合規劃組組長李東宜特別從條碼的基礎知識切入，系統性拆解機票與演唱會門票的條碼風險。他首先說明，許多民眾將條碼（一維條碼）與QR Code（二維條碼）混為一談，事實上，兩者在資料儲存能力與風險程度上，有著天壤之別，必須分開理解。</p> <p>李東宜表示，一維條碼（Bar Code）又稱線性條碼，是日常生活中最常見的條碼型態，外觀為一系列平行排列、粗細不一的黑色線條與白色空白交替組成，用以代表特定的英文字母或數字序列。以機票上的一維條碼為例，其中往往已內藏旅客姓名全名拼音、訂位代號（PNR）、航班號碼、出發地與目的地、座位號碼，乃至航空公司的會員編號等關鍵資訊。一般人看著那一排黑白線條，只覺得是進出閘門的門票，卻不知道這張小小的條碼，早已將自己的完整旅程資訊悉數收錄其中。</p> <p>至於二維條碼（QR Code），其危險性又更高出一個層級。李東宜指出，QR Code通常呈現方塊狀，或由許多小點與幾何圖形組成，是一個真正的「微型攜帶式資料庫」，相較於一維條碼只能單方向儲存有限資料，二維條碼的資料容量大幅提升，能夠在遠比一維條碼更小的面積內存放更複雜、更龐大的資訊。</p> <p>他直言，更令人警惕的是，QR Code具備極高的「容錯率」，即使拍照時角度歪斜、畫面反光，甚至只露出條碼的一部分，現代掃描設備依然能在0.1秒內，完美讀取整張票券的底層資料，無一遺漏。</p> <p>「這就是為什麼很多民眾以為遮住一半就沒問題，其實那完全是誤解。」李東宜說。他特別指出三種常見的錯誤遮蔽方式，這些遮蔽方式其實並不具有遮蔽的效果。第一種是用iPhone的螢光筆塗抹功能，由於螢光筆塗抹具有透明度，條碼線條依然可辨識，有心人士仍可還原。</p> <p>第二種是低強度模糊化或馬賽克處理，QR Code的矩陣結構形狀依然存在，甚至可被機器學習（AI）演算法還原解碼。</p> <p>第三種則是在PDF電子文件中疊加色塊遮擋，但這樣的色塊往往只是一個可自由移動的獨立圖層，只要在PDF編輯軟體中輕易拖移，條碼便重見天日。</p> <h1><span style="color:#B22222;">案例一：機票條碼資訊外洩的殺傷力</span></h1> <p>李東宜以機票條碼為例，說明其危害路徑。他指出，一張機票登機證上的一維條碼，至少包含以下幾個高風險個人資訊：訂位代號（PNR）為六碼英數組合，是掌控行程的核心鑰匙；旅客完整姓名拼音則是核對身分、登入航空公司系統的憑據；此外還有航班號碼、座位號碼及出發地目的地等行程細節。</p> <p>駭客的攻擊路徑分為三步，首先，擷取社群媒體上旅客發布的機票照片，掃描其上的一維條碼，取得訂位代號與旅客姓名拼音；其次，持上述資訊登入各大航空公司官網「管理我的行程」頁面，由於大多數航空公司僅以PNR加上旅客英文姓名作為登入驗證，門檻極低。</p> <p>第三步，登入成功後，駭客可任意竄改旅客的座位號碼、飛機餐點，乃至整段行程，讓票券主人的出行計畫完全落入他人掌控。他提醒，更嚴峻的現實是，一旦行蹤遭到掌握，旅客也可能成為惡意騷擾或跟蹤者鎖定的目標。</p> <h1><span style="color:#B22222;">案例二：演唱會門票一票多賣的QR Code陷阱</span></h1> <p>演唱會門票的風險，則集中在QR Code的可複製性上。李東宜指出，演唱會電子門票上的QR Code內含入場授權碼、票號及座位號碼，是進場的唯一憑證；電子閘門的運作邏輯只認條碼、不認人，只要成功掃描二維條碼，不論持票者是誰，閘門一律放行。</p> <p>駭客的手法是：先存下目標民眾在社群媒體分享的門票照片或截圖，擷取QR Code，複製出一張在系統中完全等效的電子假票，再以高價轉售給不知情的買家。</p> <p>當受騙買家搶先一步持假票在閘門掃碼入場後，系統即將該票券標記為「已入場」；等到原購票民眾興高采烈抵達會場，掏出手中的真票掃描，閘門亮起紅燈，顯示「此票券已入場」，當事人卻對整個過程一無所知。</p> <p>李東宜表示，更令人意外的副作用是，原購票民眾可能反被誤認為黃牛。他解釋，有受騙買家在發現門票遭偽造後，會依法向文化局提出檢舉；而系統在追溯票券源頭時，查出的「原購票者」正是那位無辜在社群媒體上曬票的票券主人。</p> <p>屆時，票券主人不只無緣入場，還可能收到文化局稽察黃牛的公文，更需自行提出書面陳述，也得檢附佐證資料進行澄清，費時費力，徒增困擾。</p> <h1><span style="color:#B22222;">「守護條碼就是守護權益」的四大防護原則</span></h1> <p>針對上述風險，李東宜也提出資安署建議的四大防護原則。首要原則是「不上傳有條碼的票券」，這是最簡單也最有效的防禦，他表示，最根本的防護就是讓鏡頭拍不到條碼，就不存在外洩風險；若確定要分享，就拍演唱會的現場氛圍照或旅途風景照，而非票券本身。</p> <p>第二項原則是「若要分享，務必完全遮蔽」，且必須採用「物理性」遮蔽法，例如用手、書本或其他不透明物品，在拍照時擋住票券上的「所有條碼與QR Code」，確保鏡頭完全拍不到條碼的任何部分。</p> <p>李東宜特別警告，像是螢光筆塗抹、數位馬賽克、PDF色塊等數位遮蔽手段均不可靠，唯有物理性的完整阻斷，才能真正有效遮蔽條碼資訊。</p> <p>第三項原則是「PDF遮蔽須存為不可編輯圖片」，若不得不以電子檔形式分享票券，應在遮蔽條碼後，將檔案另存為圖片格式，確保色塊與底圖合併為單一不可分離的圖層，而非保留可隨意移除的獨立圖層狀態。</p> <p>第四項原則是「用畢票券徹底撕毀再丟棄」，確保使用完的實體機票票根或演唱會入場票根，徹底撕碎或銷毀後再丟棄，以防被有心人士撿拾後，再次掃碼利用。</p> <p>面對這類票券遭到盜用，民眾該如何自力救濟？蔡福隆表示，就民事層面而言，若能舉證他人確有擅自登入航空系統竄改個人行程的行為，可依民法侵權行為相關規定請求損害賠償；就刑事層面，無故入侵他人帳號系統的行為亦涉及妨害電腦使用罪章的相關條文。</p> <p>但他也坦言，這類案件的舉證困難度相當高，因為航空公司登入系統，本身並不會留下充分的第三方入侵紀錄，追訴往往耗時費力。「不要對外分享任何與票券有關的資訊，才是最關鍵的自保之道。」蔡福隆說道。</p> </div></div></div>
6/30 12:55作者黃彥棻https://www.ithome.com.tw/news/176968
Google在美免費開放Nano Banana為基礎的個人化AI圖像生成工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://blog.google/innovation-and-ai/products/gemini-app/personal-intelligence-nano-banana-us-expansion/" target="_blank">Google本周宣布</a>將免費個人化AI圖像生成功能部署到Gemini App，不過首先提供給美國用戶。</p> <p><a href="https://www.ithome.com.tw/news/174478" target="_blank">今年3月Google宣布</a>Personal Intelligence。它是Google為其AI生態系（主要圍繞在Gemini）推出的核心個人化升級功能，透過串聯用戶所有Google服務，跨應用程式讀取並理解用戶個人資料，以提供AI個人化助理服務。Personal Intelligence除了Gemini、AI Mode搜尋，長期而言也將推廣到YouTube、Google Photos或Chrome。3月份美國用戶已可使用個人化AI Mode搜尋。Personal Intelligence已在4月推向日本及印度。</p> <p>4月份Google將Nano Banana提供給付費方案（Plus、Pro和Ultra）用戶後，從即日起，所有美國Gemini App用戶也可以免費使用個人化圖像生成功能。這項功能是整合了Nano Banana和Google Photos，讓Gemini能根據使用者連結的Google App，生成反映使用者個人品味和風格的圖像，或是按用戶意思修圖。</p> <p>要啟用這項服務，使用者必須同意Gemini App存取或整合Google應用包括Gmail、Google Photos、YouTube和搜尋紀錄，以便提供個人化回應。一經同意整合後，用戶只要在Gemini App下簡單提示如「設計我夢想的房子」，它就會從Photos App擷取相片生成相片，不需上傳相片或費力描述。</p> <p><a href="https://support.google.com/gemini/answer/14286560" target="_blank">根據Google網頁說明</a>，免費Gemini用戶可以獲得Nano Banana 2生成的圖片。而付費用戶則可使用Nano Banana Pro模型。</p> <p>Google強調Gemini App和其他Google App的整合是同意加入（opt-in）的，用戶之後也可以隨時再退出。不過Google也提醒，需滿13歲的用戶才能使用圖片生成圖片，若想編輯圖片，用戶更需年滿18歲。</p> </div></div></div>
6/30 12:55作者林妍溱https://www.ithome.com.tw/news/176969
WhatsApp告別純手機號碼時代，將推出Username
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://about.fb.com/news/2026/06/its-time-to-reserve-your-whatsapp-username/" target="_blank">Meta周一（6/29）宣布</a>，旗下通訊軟體WhatsApp將於今年稍後推出使用者名稱（Username）功能，讓使用者不必公開電話號碼，也能透過Username與陌生人、企業或群組建立聯繫，並自本周起開放全球使用者搶先預約Username，未來將分階段於各國推出。</p> <p>WhatsApp為全球用戶數最多的通訊服務。Meta表示，目前WhatsApp在180多個國家擁有超過30億名使用者。不過，WhatsApp長期以電話號碼作為主要身分識別，與Telegram、Signal及臺灣常用的LINE等早已支援Username或LINE ID的通訊服務不同；這次導入Username，代表WhatsApp開始補上主流通訊服務常見的隱私設計，逐步告別純手機號碼時代。</p> <p>Meta表示，使用者可將WhatsApp更新至最新版本，前往「設定→帳號→Username」預約使用者名稱。由於WhatsApp用戶眾多，許多名稱可能重複，因此決定在功能正式推出前提前開放預約，讓使用者有機會搶先保留想要的Username。</p> <p>Username功能預計於未來數個月分階段在各國推出。待開放後，使用者若啟用Username，首次聯繫未儲存其電話號碼的個人或商家時，對方將只看到Username，而非電話號碼。</p> </div></div></div>
6/30 13:03作者陳曉莉https://www.ithome.com.tw/news/176970
美國FCC強化海底電纜管理，新規納入終端設備並加速安全審查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>海底電纜承載全球絕大多數國際網際網路流量，也是支撐民生、商業及國防通訊的重要基礎設施。<a href="https://docs.fcc.gov/public/attachments/DOC-422585A1.pdf" target="_blank">美國聯邦通訊委員會（FCC）於6月25日通過新版海底通訊電纜管理規則</a>，新增海底線路終端設備（SLTE）掌管者與營運者許可要求，並調整海底電纜申請案審查機制。FCC表示，新措施目的在於為符合高安全標準的業者提供快速審理流程，同時強化國家安全，簡化並加速海底電纜基礎設施的部署，以因應AI運算與連網需求成長。</p> <p>根據FCC說明，符合高安全標準且具備良好營運紀錄的海底電纜業者，可望在符合條件下，免除美國行政部門跨機關審查小組Team Telecom的完整審查，加速取得營運許可。不過，業者仍須同意接受FCC後續監督與合規監測，並確保海底電纜系統符合相關國家安全要求。</p> <p>新版規則另一項重大變革，是將海底線路終端設備（SLTE）掌管者與營運者納入許可管理。SLTE負責連接海底電纜與美國陸地通訊設施，是海底電纜系統中執行關鍵功能的設備。FCC認為，此舉有助於監管與補強海底電纜網路最脆弱的其中一個環節，提升整體安全性。此外，FCC也更新海底電纜安全防護要求，將關鍵設備與第三方服務供應商等可能影響系統安全的環節納入管理。</p> <p><a href="https://www.reuters.com/business/media-telecom/us-fcc-toughens-submarine-communication-cable-rules-2026-06-25/" target="_blank">路透社指出</a>，美國政府近年多次警告，海底電纜基礎設施面臨來自中國及俄羅斯等國家的國家安全風險，因此持續強化審查與管理。FCC新規也預期擴大限制來自中國或其他被美國認定為外國敵對勢力國家的設備，用於美國海底電纜系統。另一方面，隨著AI資料中心及雲端服務快速成長，Meta與Google等美國大型科技業者可望受惠於快速審查機制，更快取得新海底電纜系統的部署許可。</p> </div></div></div>
6/30 13:14作者王珮瑤https://www.ithome.com.tw/news/176971
俄羅斯駭客Turla使用後門StockStay於烏克蘭從事間諜活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>俄羅斯自2022年2月入侵烏克蘭，戰爭持續超過4年尚未結束，而這段期間，俄羅斯駭客配合軍事行動從事網路間諜活動的情形陸續傳出，最近Google威脅情報團隊（GTIG）<strong><a href="https://cloud.google.com/blog/topics/threat-intelligence/stockstay-turla-intelligence-gathering">揭露的後門程式StockStay</a></strong>，就是被稱為Turla、UAC-0194、Secret Blizzard俄羅斯駭客團體用於間諜活動的工具。</p> <p>相關攻擊行動可追溯至2022年12月，Turla曾對烏克蘭政府機關與軍事組織，以及對義大利外交政策感興趣的組織使用StockStay。StockStay為.NET開發的後門程式，採用Windows Forms框架為基礎打造而成，駭客採用開源程式庫websocket-sharp建置安全的WebSocket通訊，以便與C2連線。此後門程式由數個不同的元件組成，起初被偽裝成股市資料檢視工具，但GTIG指出，2025年駭客也將其偽裝成PDF檢視工具、計算機等應用程式散布。</p> <p>針對部署StockStay的過程，駭客通常會從伺服器下載StockStay.MarketMaker的下載工具，然後傳輸及安裝其他模組，其中包含了隧道元件StockStay.StockBroker、控制器元件StockStay.StockMarket，以及後門元件StockStay.StockTrader。</p> </div></div></div>
6/30 13:15作者周峻佑https://www.ithome.com.tw/news/176972
Lantronix漏洞疑遭逆向分析修補內容後利用，OpenWrt裝置也遭暴力破解
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>物聯網與遠端連線設備業者Lantronix旗下序列埠轉IP設備EDS5000存在重大漏洞CVE-2025-67038，屬於身分驗證失敗竟可透過root權限執行的命令注入弱點，CVSS分數達9.8。<a href="https://www.ithome.com.tw/news/176864" target="_blank">美國網路安全暨基礎設施安全局（CISA）於6月23日</a>將其列入已遭利用漏洞（KEV）名單。<a href="https://www.forescout.com/blog/analyzing-active-exploitation-of-lantronix-and-openwrt-luci/" target="_blank">網路資產管理與資安業者Forescout</a>旗下研究團隊Vedere Labs隨後於6月25日發布研究，揭露這項漏洞的實際濫用跡象。</p> <p><a href="http://www.lantronix.com/technical-support/security-updates/vulnerability-disclosure-policy/vulnerability-library/cve-2025-67038-eds-5000-eds-3000/" target="_blank">Lantronix已於2月20日發布EDS5000系列2.2.0.0R1韌體更新</a>。不過，Forescout檢視蜜罐環境紀錄後發現，攻擊者早在4月5日就已利用CVE-2025-67038，時間點介於Lantronix發布修補程式之後、完整技術細節公開之前。研究人員因此研判，攻擊者可能是透過逆向分析修補內容，自行開發漏洞利用程式。</p> <p>Forescout也在1月28日至6月6日期間，觀測到超過4,100次針對OpenWrt網頁管理介面LuCI的暴力破解攻擊，活動主要集中在3月底至6月初的數個波段。研究團隊利用物聯網搜尋引擎Shodan查詢發現，目前約有3.2萬臺執行OpenWrt並啟用LuCI的裝置暴露於網際網路，其中約5,000臺被識別為蜜罐；不過，並非所有採用LuCI的設備都會在HTML標題顯示LuCI字樣，因此實際暴露於網際網路的設備數量，可能高於Shodan查詢結果。</p> <p>Forescout建議，企業應立即更新Lantronix及其他採用OpenWrt的設備韌體，停用預設帳號並禁止使用弱密碼，同時避免將管理介面直接暴露於網際網路。針對序列埠轉IP設備，企業可透過網路分區或VLAN控管可連線來源，並持續監控這類邊緣設備是否出現異常通訊或遭濫用的跡象。</p> </div></div></div>
6/30 11:30作者王珮瑤https://www.ithome.com.tw/news/176963
美最高法院裁定地理圍欄搜索令受第四修正案規範
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.supremecourt.gov/opinions/25pdf/25-112_0am4.pdf" target="_blank">美國最高法院周一（6/29）裁定</a>，警方透過地理圍欄搜索令（Geofence Warrant）向Google調取特定時間及地點範圍內的手機位置資料，屬於《美國憲法第四修正案》所稱的「搜索」（Search），須受憲法隱私保障規範。</p> <p>這是美國最高法院首次將地理圍欄搜索令納入第四修正案的搜索範圍，也使這類搜索令日後須接受更完整的憲法審查；至於法院將如何認定其適用範圍、時間長度及相當理由，仍有待後續判例進一步釐清。</p> <p>本案源於2019年維吉尼亞州Midlothian一宗信用合作社搶案。警方當時沒有嫌犯，只知道歹徒疑似持手機接近現場，因此向法院申請地理圍欄搜索令，要求Google提供案發前後、信用合作社150公尺範圍內的手機位置資料。</p> <p>Google先提供案發前後各30分鐘、位於現場150公尺範圍內的19個匿名帳號；警方再要求其中9個帳號案發前後各1小時的位置紀錄；接著才要求Google揭露3名使用者姓名與電話，其中之一為Okello Chatrie，並據此搜索其住處，查獲贓款、槍枝及搶劫紙條。</p> <p>Chatrie雖然認罪，但主張警方利用地理圍欄搜索令取得位置資料違反第四修正案，要求排除相關證據。地方法院認為該搜索令違反第四修正案，但因警方是依據法院核發的搜索令執行，適用「善意例外」（good-faith exception），仍允許檢方使用相關證據。</p> <p>第四巡迴上訴法院則認為，Chatrie自願讓Google蒐集位置資料，因此警方調取這些資料不構成第四修正案所稱的「搜索」。</p> <p>美國《憲法第四修正案》中的「搜索」（search），是指政府侵入人民受憲法保障的隱私或財產利益以取得資訊，因此通常須有法官核發搜索令，並具備相當理由（probable cause）及明確搜索範圍。</p> <p>最高法院此次推翻第四巡迴上訴法院見解，認定警方調取Google位置資料屬於第四修正案的搜索，並將案件發回第四巡迴上訴法院，重新審查該搜索令是否符合相當理由及特定性等憲法要求。</p> <p>撰寫多數意見的美國最高法院大法官Elena Kagan認為，個人對手機位置紀錄仍享有合理隱私期待，即使警方只是向第三方科技公司要求提供短時間的位置資料，也侵害第四修正案保障的隱私利益。</p> </div></div></div>
6/30 12:02作者陳曉莉https://www.ithome.com.tw/news/176965
Linux基金會旗下FINOS規畫成立開源企業韌性聯盟OSERA，協助金融業修補開源套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>AI加快漏洞發現與利用速度，也大幅壓縮企業部署修補的防禦空窗期。Linux基金會旗下金融服務開源組織<a href="https://www.linuxfoundation.org/press/finos-announces-intent-to-form-osera-a-global-financial-services-led-alliance-for-open-source-supply-chain-resiliency-in-the-era-of-ai" target="_blank">FINOS（Fintech Open Source Foundation）於6月25日在Open Source in Finance Forum宣布</a>，計畫成立開源企業韌性聯盟（Open Source Enterprise Resiliency Alliance，OSERA），協助金融機構與其他受監管企業共同處理開源軟體供應鏈風險。</p> <p><a href="https://osera.finos.org/" target="_blank">OSERA定位為全球性、廠商中立且由會員共同治理的聯盟</a>，目標是針對金融機構採用的共通開源套件版本，建立聯合修補、驗證與採用機制。FINOS指出，金融機構經常依賴相同的開源相依性套件與版本，一旦其中某個元件出現漏洞，可能同時影響多家機構。若各企業各自修補同一套件，不僅成本較高，也容易造成修補流程與證據格式不一致。</p> <p>這項計畫由軟體修補自動化業者Moderne推動，德意志銀行（Deutsche Bank）、高盛（Goldman Sachs）、摩根士丹利（Morgan Stanley）、加拿大皇家銀行（Royal Bank of Canada）與道明銀行集團（TD Bank Group）等FINOS會員已參與試行。試行期間，團隊針對Apache Camel、Bouncy Castle、Netty與Spring Framework等Java專案既有版本的已知漏洞，建立回溯修補維護線（Maintained backpatch lines），並透過參與銀行既有的代理（proxy）與CI流程完成全面驗證，無須變更既有開發工具鏈。</p> <p>為了協助企業判斷開源套件中漏洞的修補優先順序，OSERA也提供Risk Navigator等工具，可依通用漏洞評分系統（CVSS）、美國網路安全暨基礎設施安全局（CISA）已遭利用漏洞目錄（KEV）、漏洞利用機率評分系統（EPSS）、專案影響範圍與升級路徑，評估哪些漏洞應優先修補。FINOS表示，後續將推動開源套件修補治理機制、制定受監管環境的修補採用標準，並建立機器可讀證據套件，協助企業符合歐盟數位營運韌性法（DORA）、網路與資訊安全指令（NIS2），以及網路韌性法（CRA）等法規要求。</p> <p>OSERA計畫也與<a href="https://www.ithome.com.tw/news/176934" target="_blank">Linux基金會日前宣布的開源安全計畫Akrites</a>形成互補。Akrites著重於開源套件漏洞通報、協調揭露與上游修補；OSERA則著重於協助金融機構與其他受監管企業導入開源套件修補，並保留可供稽核的修補、測試與部署證據。</p> </div></div></div>
6/30 10:35作者王珮瑤https://www.ithome.com.tw/news/176958
FIFA 2026足球賽詐欺生態圈存在近4千個冒牌網域
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>2026年世界盃足球賽（FIFA World Cup）於6月11日展開，在此之前，相關的網路詐騙呈現爆炸性增長，繼<strong><a href="https://www.ithome.com.tw/news/176264">外部數位風險防護業者CTM360提出警告</a></strong>後，有資安公司提出警告，駭客已透過網路詐騙生態系統，藉此牟取不法利益。</p> <p>上週威脅情報公司Cyble揭露<strong><a href="https://cyble.com/blog/operation-fantrap-fifa-2026-fraud-ecosystem/">Operation FanTrap</a></strong>活動，駭客利用詐騙網域、社群媒體、即時通訊平臺、盜版球賽轉播，以及暗網活動等管道，建立經過協調的生態系統，該公司從今年5月開始，已確認近4千個冒充FIFA相關品牌、票務平臺、球賽串流服務，以及面向球迷資源的網域，藉由假的門票優惠、VIP優先入場計畫、接待服務、未經授權的串流平臺等誘餌，意圖引誘球迷上當，然後將他們導向Telegram、WhatsApp等即時通訊管道，進行付款詐騙，帳密竊取，以及身分資料收集的行為。Cyble提及，許多假網域名稱刻意針對中文使用者，開頭不少是zh-或cn-，並設定世界杯、盤口、買球等中文關鍵字，顯示該犯罪集團針對龐大的中國球迷而來。</p> <p>值得留意的是，駭客標榜免費觀賽的盜版串流網站，Cyble發現許多並非單純的版權侵權，而是被用作帳密竊取與資安詐騙的工具，駭客透過假影片播放器、誘導下載、瀏覽器推播通知及虛假免費試用等手法，蒐集用戶的電子郵件、密碼、付款資訊及裝置資料。部分非官方串流平臺的應用程式，更要求過多權限、夾帶惡意廣告，甚至成為惡意程式入侵的管道。</p> </div></div></div>
6/30 10:37作者周峻佑https://www.ithome.com.tw/news/176959
美國證實SimpleHelp滿分漏洞被用於實際攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安公司Blackpoint<strong><a href="https://www.ithome.com.tw/news/176957">近日指出</a></strong>，他們發現有人利用SimpleHelp滿分重大漏洞CVE-2026-48558，對一家偵測與回應代管（MDR）廠商散布惡意程式TaskWeaver與Djinn Stealer，現在美國政府也確認該漏洞遭到利用的現象。</p> <p>6月29日美國網路安全與基礎設施安全局（CISA）表示，<strong><a href="https://www.cisa.gov/news-events/alerts/2026/06/29/cisa-adds-one-known-exploited-vulnerability-catalog">他們將CVE-2026-48558列入已遭利用的漏洞列表（KEV）</a></strong>，並要求聯邦機構<strong><a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-48558">在7月2日前</a></strong>完成修補，原因是已掌握該漏洞遭到積極利用的證據。至於該漏洞是否被用於勒索軟體活動？CISA表示不清楚。</p> </div></div></div>
6/30 11:11作者周峻佑https://www.ithome.com.tw/news/176961
美國查封近400個用於非法直播FIFA 2026賽事的網域
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>6月26日<strong><a href="https://www.justice.gov/opa/pr/united-states-seizes-hundreds-internet-domains-used-illegally-stream-world-cup-matches">美國司法部（DOJ）宣布</a></strong>，他們發現近400個被用於未經授權轉播世界盃足球賽（FIFA World Cup）的網域，根據該國的版權法將其查封。這些被查封的網域被用來非法向用戶提供受版權保護的內容，以即時串流播放2026年世界盃足球賽。為了支持查封權限的申請，美國國土安全局（HSI）證實，被查封的網域確實在未經授權的情況下，積極轉播比賽內容。這些被查封的網域在FIFA協助下被確認，並由beIN、NBC環球、電影協會創意與娛樂聯盟（ACE）、終極格鬥錦標賽（UFC），以及華納兄弟提供相關支援資訊。</p> <p>值得留意的是，這些盜版轉播網站不光涉及版權侵害，還有可能讓球迷暴露於潛在資安威脅，像是惡意軟體與不安全連線，而有可能洩露個資或財務資料。先前威脅情報公司Cyble<strong><a href="https://www.ithome.com.tw/news/176959">也提出類似的警告</a></strong>，許多盜版轉播網站被用於竊取用戶帳密與資安詐騙，甚至向用戶散布惡意軟體。</p> </div></div></div>
6/30 11:17作者周峻佑https://www.ithome.com.tw/news/176962
遠端監控與管理軟體SimpleHelp滿分重大漏洞已遭利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>上個月遠端監控與管理軟體SimpleHelp<strong><a href="https://www.ithome.com.tw/news/176601">發布5.5.16與6.0 RC2更新</a></strong>，修補CVSS風險評分達到滿分10分的重大漏洞CVE-2026-48558，該漏洞源自OpenID Connect（OIDC）身分驗證流程未正確驗證身分權杖（Identity Token）的加密簽章。如今此漏洞已出現實際攻擊。</p> <p>根據<strong><a href="https://www.bleepingcomputer.com/news/security/hackers-exploit-critical-simplehelp-flaw-deploy-new-djinn-infostealer-taskweaver-malware/">資安新聞網站Bleeping Computer報導</a></strong>，資安公司Blackpoint<strong><a href="https://blackpointcyber.com/blog/a-djinn-in-the-machine-taskweavers-node-js-intrusion-chain">提出警告</a></strong>，他們在一家偵測與回應代管（MDR）廠商的資安事故裡，發現攻擊者利用了CVE-2026-48558，於SimpleHelp伺服器建立技術人員（Technician）連線，隨後部署惡意程式載入工具TaskWeaver，以及竊資軟體Djinn Stealer。特別的是，Djinn Stealer廣泛針對開發者與基礎設施的憑證，尤其是AI開發工具，包括：Claude、Gemini、Codex、Cline、OpenCode、Kilo，再者，駭客也會搜刮MCP伺服器的組態設定。一旦竊得這些資料，攻擊者就有可能因此繼承AI助理對資料庫、雲端資源、資料庫，以及API的存取權限。</p> <p>附帶一提，Blackpoint提及TaskWeaver是通用型的惡意程式載入工具，因此未來攻擊者無須修改，就能用於投放後門、勒索軟體、偵察工具，以及其他惡意軟體。，此外，TaskWeaver還會為受害電腦建立指紋進行追蹤，並從C2基礎設施接收JavaScript模組然後執行。</p> </div></div></div>
6/30 09:57作者周峻佑https://www.ithome.com.tw/news/176957
Oracle E-Business重大漏洞被用於實際攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>去年勒索軟體駭客組織Clop<strong><a href="https://www.ithome.com.tw/news/171527">曾大規模攻擊企業組織與大學</a></strong>，利用零時差漏洞<strong><a href="https://www.ithome.com.tw/news/171553">CVE-2025-61882</a></strong>，該弱點存在於Oracle的ERP系統E-Business Suite（EBS），因此，一旦出現利用EBS漏洞的情況，格外受到研究人員的注意。</p> <p>6月29日威脅情報公司Defused Cyber<strong><a href="https://x.com/DefusedCyber/status/2071555353733394618">於社群網站X提出警告</a></strong>，他們首度偵測到有人試圖利用另一個EBS漏洞CVE-2026-46817的情況，由於該漏洞目前尚未有公開的概念驗證程式碼（PoC），因此後續情形相當值得繼續追蹤。CVE-2026-46817存在於EBS子系統Oracle Payments當中的檔案傳輸元件，未經授權攻擊者只要透過HTTP存取就能輕易利用，一旦成功利用該漏洞，就能挾持Oracle Payments，CVSS風險評為9.8分（滿分10分），影響12.2.3至12.2.15版EBS，Oracle於<strong><a href="https://www.ithome.com.tw/news/176313">今年5月的關鍵安全修補更新（CSPU）</a></strong>修補。</p> </div></div></div>
6/30 09:05作者周峻佑https://www.ithome.com.tw/news/176956
中國駭客UAT-7237鎖定東南亞政府及能源關鍵基礎設施，散布後門TinyRCT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Palo Alto Networks威脅研究團隊Unit 42<a href="https://unit42.paloaltonetworks.com/cl-sta-1062-tinyrct-backdoor/">追蹤編號為CL-STA-1062的中國駭客攻擊行動</a>，近期攻擊範圍延伸至東南亞政府機關與能源關鍵基礎設施。Unit 42認為，這與<a href="https://www.ithome.com.tw/news/170681">思科威脅情報團隊Talos先前揭露代號UAT-7237</a>，並曾攻擊臺灣網站代管基礎設施的是同一批攻擊者。研究人員指出，該攻擊行動至少自2022年3月開始活動，2025年則鎖定東南亞政府、能源產業與國營企業。</p> <p>該批攻擊者在2025年9月入侵一個東南亞政府機關，部署可遠端下指令的網頁後門程式，並竊取資料庫資訊。UAT-7237也對同一國家的另一個政府機關進行網路偵察，研判是在尋找進一步橫向移動的機會。到了2025年10月至12月，Unit 42觀察到東南亞至少10個組織疑似遭入侵。</p> <p>Unit 42在能源關鍵基礎設施受害案例中觀察到，攻擊者會先掃描目標環境漏洞，接著受害網路出現連往攻擊者伺服器的連線，並下載SoftEther VPN元件與包含攻擊工具的RAR壓縮檔，以維持連線、在內部網路移動，或整理準備竊取的資料。</p> <p>攻擊者通常先利用網頁應用程式弱點植入ASPX網頁後門，藉此執行系統命令、投放工具與蒐集主機資訊，之後再視目標環境搭配開源工具與客製化惡意程式。研究人員從攻擊者基礎設施重建TinyRCT感染鏈，發現攻擊者會以惡意壓縮檔chrome_setup.zip夾帶合法簽章執行檔、惡意設定檔與惡意程式庫。</p> <p>在使用者解壓縮並執行其中合法簽章的chrome_setup.exe後，.NET執行環境會讀取旁邊的惡意設定檔，載入惡意DLL。該載入器接著下載TinyRCT，將其存為本機應用程式資料夾%LOCALAPPDATA%路徑下的PerfWatson2.exe，並建立仿冒Google Updater名稱的排程任務維持執行。TinyRCT是以C#撰寫的Windows遠端控制木馬，可讓攻擊者執行系統命令、列出檔案、讀取文字檔、下載檔案、外傳檔案、擷取螢幕畫面，並在需要時刪除自身痕跡。</p> <p>TinyRCT具備反分析設計，執行時會檢查自己是否位於%LOCALAPPDATA%路徑，若不是，就會立即結束，降低在沙箱或研究人員分析環境中暴露行為的機會。</p> </div></div></div>
6/29 19:08作者李建興https://www.ithome.com.tw/news/176945
Amadey與StealC共用基礎設施，兩週內感染逾14萬臺電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>上週歐洲刑警組織（Europol）發表<strong><a href="http://www.ithome.com.tw/news/176899">執法行動Operation Endgame最新一波成果</a></strong>，多國執法單位與微軟等多家企業組織聯手，成功破壞惡意程式SocGholish（FakeUpdates）、Amadey和StealC背後的犯罪基礎設施。參與此次執法的微軟，<strong><a href="https://blogs.microsoft.com/on-the-issues/2026/06/24/scaling-cybercrime-disruption-through-innovation-and-ai/">也透露本次打擊網路犯罪與過往的最大不同</a></strong>，他們針對的是網路攻擊供應鏈，而非單一惡意程式服務。</p> <p>微軟指出，這次的執法行動是針對網路犯罪的組裝線（assembly line），Amadey和StealC經常被攻擊者同時使用，他們透過Amadey取得裝置存取權，然後利用StealC竊取密碼和敏感資訊，它們構成了攻擊鏈裡的關鍵環節。僅五月前兩週，微軟就看到全球有14萬臺電腦感染這兩款惡意程式。</p> <p>值得一提的是，這次該公司借助AI的力量進行分析，將原本需要數小時甚至是數天的調查流程，縮短至幾分鐘，並指出雖然Amadey與StealC由兩組駭客團體在經營，卻仰賴相同的基礎設施。微軟癱瘓逾200臺C2伺服器，讓駭客無法控制受害電腦、竊取資料，或執行其他攻擊行動。</p> </div></div></div>
6/29 17:16作者周峻佑https://www.ithome.com.tw/news/176943
攻擊者濫用OpenAI組織邀請，偽冒企業租戶誘員工加入
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安公司Push Security近期<strong><a href="https://pushsecurity.com/blog/openai-poisoned-tenant-attack">遭遇一起OpenAI組織邀請功能濫用事件</a></strong>。攻擊者建立名為「Push Security Inc」的OpenAI組織，透過OpenAI合法通知信邀請該公司特定員工加入，試圖讓受害者誤認這是公司正式租戶，進而在攻擊者控制的AI工作環境中使用ChatGPT或API。</p> <p>Push Security表示，相關邀請信來自OpenAI正式通知地址[email protected]，通過標準電子郵件驗證，內容也使用OpenAI品牌與組織邀請格式。OpenAI信件中雖然顯示提醒，指出邀請者的gmail.com網域與收件者所屬的pushsecurity.com不相符，但該提醒只出現在信件中的一行文字，容易被使用者忽略。</p> <p>該公司調查後發現，攻擊者使用與Push Security無關的電子郵件帳號建立組織，並在組織中使用Push Security執行長姓名。受邀員工被設定為Owner角色，具有組織管理權限，帳務設定中也已綁定Visa信用卡。Push Security認為，這顯示攻擊者投入一定準備，包括偵察特定員工、建立看似可信的企業租戶，以及移除使用過程中可能引起懷疑的付費障礙。</p> <p>Push Security基於調查事件目的，接受其中一封邀請後發現，只要點擊電子郵件中的連結即可加入該組織，不需要額外輸入帳密或完成其他驗證。研究人員進入組織後，確認其他受邀員工仍處於邀請待回應狀態，未加入也未使用該租戶，因此沒有發現資料外洩跡象。該公司隨後建立郵件規則，封鎖類似邀請信再次送達員工信箱。</p> <p>由於攻擊者並非偽造OpenAI郵件，而是濫用平臺本身提供的合法邀請機制，若員工誤以為公司已建立正式OpenAI組織，並開始在其中輸入程式碼、內部文件、客戶資料、資安研究或策略資訊，攻擊者作為組織管理員，可能掌握相關使用紀錄、API互動，以及員工在提示或請求中輸入的資料。</p> <p>Push Security將此事件視為毒化租戶攻擊（poisoned tenant attack）案例，也就是攻擊者先在SaaS平臺建立偽冒目標企業的租戶，再引導員工加入。該公司指出，隨著AI服務成為企業日常工作入口，組織邀請、共享專案與平臺通知等功能，也可能成為社交工程與資料蒐集的新管道。</p> </div></div></div>
6/29 17:35作者李建興https://www.ithome.com.tw/news/176942
【資安日報】6月29日，美國將以政府採購帶動PQC產業升級
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><h3><strong>本日新聞焦點</strong></h3> <p>● <a href="https://www.ithome.com.tw/news/176936#WhiteHouse">白宮發布行政命令，將以政府採購推動美國PQC產業</a></p> <p>● <a href="https://www.ithome.com.tw/news/176936#Anthropic">美國傳出部分解除Anthropic Claude Mythos出口禁令</a></p> <p>● <a href="https://www.ithome.com.tw/news/176936#StrikeShark">大規模攻擊行動StrikeShark臺灣有政府機關遭到入侵</a> <a id="WhiteHouse" name="WhiteHouse"></a></p> <p> </p> <p><a href="https://www.ithome.com.tw/news/176928"><span style="font-size: 22px;"><strong>美國PQC行政命令將以政府採購推動產業升級</strong></span></a></p> <p>美國總統川普於6月22日簽署行政命令，要求聯邦政府加速推動後量子密碼學（PQC）遷移，並設定2030年為重要里程碑。該行政命令要求各聯邦機關盤點高價值資產及高影響系統使用的公開金鑰密碼，建立密碼學的資產盤點機制，並規畫遷移時程。其中，高價值資產及高影響系統須在2030年底前完成後量子金鑰建立機制（Key Establishment）的部署，並於2031年底前完成後量子數位簽章遷移；國家安全系統由美國國家安全局（NSA）另行推動。<a href="https://www.ithome.com.tw/news/176928">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/176933"><span style="font-size: 22px;"><strong>澳洲通訊局ASD規畫新版企業資安指引，將取代Essential Eight框架</strong></span></a></p> <p>澳洲通訊局（ASD）正推動新版企業資安指引架構。ASD旗下澳洲網路安全中心（ACSC）於6月15日發布公告，宣布針對Essential Eight資安框架的演進展開公開諮詢，第一階段將推出Essentials系列的企業IT指引Essentials for enterprise IT。根據澳洲科技媒體iTnews報導，ACSC網路安全韌性主管Chris Horlyck表示，ASD規畫在未來的約兩年內，將澳洲政府與企業長期採用的資安基準Essential Eight框架進行汰換。<a href="https://www.ithome.com.tw/news/176933">詳全文</a> <a id="Anthropic" name="Anthropic"></a></p> <p><a href="https://www.ithome.com.tw/news/176921"><span style="font-size: 22px;"><strong>美國政府傳部分解除Anthropic Claude最強大模型的出口管制</strong></span></a></p> <p>美國商務部傳出於6月26日收回部分禁止Anthropic Claude最新模型技術出口的命令，允許其向約100多家政府及企業組織提供Mythos模型。美國商務部長Howard Lutnick致函Anthropic共同創辦人Tom Brown說明其決定，表示商務部認為已有適當安全防護，已允許特定信賴合作夥伴存取Claude Mythos 5模型，包括美國政府核准的公司和聯邦機關，不過，美國政府仍未解除Claude Fable 5向外國輸出的禁令。美國政府與Anthropic未對此消息評論。<a href="https://www.ithome.com.tw/news/176921">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176923"><span style="font-size: 22px;"><strong>OpenAI預覽GPT-5.6新增代理人協同、max推理等級，先對部分合作夥伴釋出</strong></span></a></p> <p>6月26日OpenAI發表最新模型GPT-5.6系列的預覽，包含旗艦模型Sol、適用日常業務的標準模型Terra及低價版本Luna。美國政府要求下，最新GPT-5.6模型僅提供給少部份合作夥伴。OpenAI強調新模型的網路安全能力。例如在漏洞研究和漏洞濫用標竿測試（ExploitBench）上，和Anthropic Mythos Preview相比，GPT-5.6 Sol只需三分之一的權杖（token）達到相同效能。在另一測試（ExploitGym）表現上，三個新模型全部超越GPT-5.5及GPT-5.4版。<a href="https://www.ithome.com.tw/news/176923">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176934"><span style="font-size: 22px;"><strong>Linux基金會成立Akrites計畫，因應AI加速開源漏洞攻擊風險</strong></span></a></p> <p>6月25日Linux基金會宣布，攜手AWS、Anthropic、Chainguard、Cisco、Google、IBM、微軟、GitHub、Nvidia、OpenAI、Red Hat、Rust基金會、Sonatype、Zscaler等業者或機構，成立開源安全協調計畫Akrites，建立跨產業的開源軟體漏洞協調機制，因應AI加速漏洞發現所帶來的修補壓力。此計畫將建立共享的安全事件應變團隊（SIRT），並提供標準化的漏洞揭露流程（CVD），協助開源專案在漏洞公開前完成驗證、修補與揭露協調。<a href="https://www.ithome.com.tw/news/176934">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/176914"><span style="font-size: 22px;"><strong>Palo Alto Networks參與企業開源軟體供應鏈安全服務Project Lightwell</strong></span></a></p> <p>5月底IBM與紅帽（Red Hat）宣布，推出企業開放原始碼軟體供應鏈安全服務Project Lightwell，兩年前買下IBM QRadar SaaS業務的資安公司Palo Alto Networks，近日也加入Project Lightwell，以擴大該服務的防禦範圍。Palo Alto Networks將會提供虛擬修補能力，以達到提供快速的網路防護與軟體修補能力，協助企業降低新興威脅帶來的風險曝露，並將防守的範圍，從開源軟體、商業應用程式，延伸到操作科技（OT）與醫療保健技術等領域。<a href="https://www.ithome.com.tw/news/176914">詳全文</a> <a id="StrikeShark" name="StrikeShark"></a></p> <p><a href="https://www.ithome.com.tw/news/176924"><span style="font-size: 22px;"><strong>中國駭客從事攻擊行動StrikeShark，臺灣有政府機構名列受害範圍</strong></span></a></p> <p><a href="/sites/default/files/images/strikeshark-campaign-5-scaled-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/strikeshark-campaign-5-scaled-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安公司卡巴斯基近日揭露中國駭客的攻擊行動StrikeShark，這些駭客利用名為SharkLoader的惡意程式，企圖於受害組織植入Cobalt Strike的Beacon，受害範圍包含臺灣政府機構、印尼外交機構，以及多個國家的軟體開發公司，此外，卡巴斯基也在香港、黎巴嫩、敘利亞、哥倫比亞、北馬其頓、尼泊爾、塞爾維亞等其他國家發現相關攻擊行動。其中，在針對臺灣政府機構的資安事故裡，他們利用了即時通訊伺服器Openfire的身分驗證繞過漏洞CVE-2023-32315。<a href="https://www.ithome.com.tw/news/176924">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176929"><span style="font-size: 22px;"><strong>FBI與CISA更新Signal通訊軟體釣魚攻擊警示，備份金鑰成為俄羅斯駭客最新攻擊目標</strong></span></a></p> <p>針對3月下旬發布的Signal通訊軟體釣魚攻擊警示，美國聯邦調查局（FBI）與網路安全與基礎設施安全局（CISA）於6月26日更新警示內容，指出與俄羅斯情報機構有關的駭客組織已調整攻擊方式，新增誘導受害者提供Signal備份復原金鑰（Backup Recovery Key）的手法，藉此存取受害者訊息紀錄並接管帳號。攻擊者會偽裝為Signal客服帳號，向受害者發送啟用備份功能的訊息，並要求受害者提供備份復原金鑰。<a href="https://www.ithome.com.tw/news/176929">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176917"><span style="font-size: 22px;"><strong>緬甸AYA Bank證實舊系統遭駭，駭客組織LAPSUS$宣稱竊取120 GB資料</strong></span></a></p> <p>銀行舊版應用程式安全成焦點，在6月25日，緬甸伊洛瓦底銀行（AYA Bank）透過公司網站及臉書粉絲專頁發布資安公告，證實其舊版應用程式入口網站遭到未經授權存取，導致部分非財務性質的申請紀錄外洩。AYA Bank在聲明中強調，銀行的核心金融系統、AYA Pay支付系統及信用卡與金融卡管理系統，均未與受此事件影響的舊版入口網站直接連線，因此核心業務未受波及。銀行表示目前所有財務資料安全無虞，各項金融服務均維持正常運作。<a href="https://www.ithome.com.tw/news/176917">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176903"><span style="font-size: 22px;"><strong>南非殯葬與保險巨頭遭駭導致服務中斷，改人工作業並證實個資外洩</strong></span></a></p> <p>南非知名殯葬服務與保險機構AVBOB傳出遭網路攻擊，導致服務中斷與資料外洩。當地ITWeb等商業科技媒體於6月8日報導指出，AVBOB已確認該網路攻擊事件導致其部分服務中斷，並強調各單位仍維持營運，在這段受影響的期間，可透過人工方式辦理付款、理賠登記和喪葬安排等事項。隨後AVBOB進一步揭露事故細節，目前民眾進入該公司官方網站，即可看見資料外洩公告的彈出視窗，當中說明這起事故的發現是在5月30日。<a href="https://www.ithome.com.tw/news/176903">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176905"><span style="font-size: 22px;"><strong>23個OpenClaw技能外掛利用搶註手法上架ClawHub官方市集</strong></span></a></p> <p><a href="/sites/default/files/images/8x0zbtuT3uqoN0ylk9uozFMzM4-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/8x0zbtuT3uqoN0ylk9uozFMzM4-63.jpg" style="width: 300px; float: right;" /></a></p> <p>AI代理安全業者Manifold Security檢查ClawHub技能延伸套件市集時，發現有疑似冒用知名開發商品牌的外掛。他們發現OpenClaw外掛目錄中的1,508個外掛裡，有557個的開發者並未經過驗證，其中有23個假借OpenClaw與ClawHub的名義發行。Manifold Security指出，這些外掛未必是惡意程式，但透過命名空間搶註（scope squatting），這些第三方外掛可以冒充官方外掛藉此引發供應鏈風險，使不知情的開發商或將之加入自己的App流程，ClawHub於6月17日獲報後已強化管制措施。<a href="https://www.ithome.com.tw/news/176905">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176927"><span style="font-size: 22px;"><strong>Open VSX出現GlassWorm蠕蟲變種GlassWASM</strong></span></a></p> <p><a href="/sites/default/files/images/strikeshark-campaign-5-scaled-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/strikeshark-campaign-5-scaled-63.jpg" style="width: 300px; float: right;" /></a></p> <p>具自我散布能力的蠕蟲GlassWorm從去年10月開始活動，並在Visual Studio Code（VS Code）、Open VSX延伸套件市集橫行，然而就在上個月資安公司CrowdStrike與Google合作，破壞此蠕蟲程式的基礎設施後，近期已出現變種版本。資安公司Socket於6月16日指出，他們在Open VSX發現兩個有問題的VS Code延伸套件exargd/[email protected]、noellee-doc/[email protected]，駭客在套件裡嵌入WebAssembly惡意軟體GlassWASM。<a href="https://www.ithome.com.tw/news/176927">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176913"><span style="font-size: 22px;"><strong>Linux被揭露新的本機權限提升漏洞DirtyClone，CVSS嚴重度評分高達8.8分</strong></span></a></p> <p>6月尾聲又有兩個Linux本機權限漏洞研究結果揭露，其中一個是6月25日浮出檯面的DirtyClone，這個漏洞由近年積極布局DevSecOps領域的軟體供應鏈平臺業者JFrog發現，5月19日通報Linux核心的維護人員，到了5月21日之後，此漏洞修補程式已合併至Linux核心的主線版本v7.1-rc5，並為其指派漏洞編號為CVE-2026-43503，CVSS 3.1嚴重性評分為8.8分，屬於高風險漏洞，任何無特權的本機使用者均可藉此操弄Linux頁面快取，進而獲取root存取權限。<a href="https://www.ithome.com.tw/news/176913">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176912"><span style="font-size: 22px;"><strong>Linux存在新的本機權限提升漏洞pedit COW，搭配5.18版至 7.1-rc6版核心的系統均可能受影響</strong></span></a></p> <p>今年5月爆發一連串Linux本機權限提升漏洞，例如，Copy Fail、DirtyFrag、Fragnesia，6月底又出現這類型漏洞的揭露，威脅情報平臺廠商Threat Landscape最新發表的漏洞研究，代號為pedit COW，編號是CVE-2026-46331，CVSS嚴重度評分為7.3分，被評為高風險漏洞，Threat Landscape發現當中的問題存在Linux核心的流量控制（traffic control，tc）子系統，一旦此漏洞遭到成功利用，本機使用者即可繞過多種安全控制，獲得完整的root權限。<a href="https://www.ithome.com.tw/news/176912">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176911"><span style="font-size: 22px;"><strong>Google一週內二度發布Chrome 149穩定版更新，修補3項高風險漏洞</strong></span></a></p> <p>6月23日Google發布Chrome瀏覽器更新，不料短短兩天後，突然又釋出新版本，電腦版更新至149.0.7827.200與149.0.7827.201，Android版本更新至149.0.7827.200，總共納入3項資安漏洞的修補。其中，CVE-2026-13281的問題出在Chrome核心的跨處理程序通訊框架Mojo，存在整數溢位的缺陷，CVE-2026-13282與CVE-2026-13283皆為記憶體已釋放卻仍被使用（UAF）類型的問題，分別發生在Chrome Android版的Payments元件與AdFilter元件。<a href="https://www.ithome.com.tw/news/176911">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176925"><span style="font-size: 22px;"><strong>Google發布ChromeOS長期支援版更新，修補5項記憶體相關重大漏洞</strong></span></a></p> <p>ChromeOS作業系統長期支援版LTS-144的更新144.0.7559.256於6月25日上線，並修補24項漏洞，當中分別有5項漏洞被評為有重大風險，18項有高風險，1項有中度風險。前述漏洞中，CVE-2026-12440的CVSS嚴重性評分最高，達到9.6分，存在於數位身分憑證元件Digital Credentials，屬於記憶體已釋放卻仍被使用（UAF）問題。其次是CVE-2026-13033、CVE-2026-12439與CVE-2026-12441等3項，CVSS嚴重性評分都達到8.8。<a href="https://www.ithome.com.tw/news/176925">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176824"><span style="font-size: 22px;"><strong>金管會公布後量子密碼遷移指引，要求建立CBOM與加密敏捷性</strong></span></a></p> <p>金管會近期發布「金融業後量子密碼（PQC）遷移參考指引」，提出金融機構規畫後量子密碼遷移的整備方向，並提出治理機制、密碼技術盤點、加密敏捷性、生態系協作、供應鏈管理等7大策略，建議從2026年至2035年分階段遷移。金管會指出，金融服務高度依賴身分驗證、交易簽章、跨機構介接及資料保護機制，隨著量子運算能力提升，現行公鑰密碼未來可能遭破解，金融機構若未及早規畫，將面臨交易安全、資料機密性及營運穩定性的風險。<a href="https://www.ithome.com.tw/news/176824">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/176804"><span style="font-size: 22px;"><strong>北市以OpenClaw打造公務AI助理CiviClaw</strong></span></a></p> <p>臺北市政府積極推動AI導入政府治理，資訊局近期對外發表公務AI助理專案「CiviClaw」，以代理AI協助公務員處理行政工作，更採用開源Agent框架、私有化部署及人類最終決策，在提升行政效率的同時，兼顧資安、治理與可課責性。基於資安優先的原則，資訊局將系統置於沙盒（Sandbox）環境運作，並且嚴格控管工具權限。為了因應AI常見的「幻覺」問題，北市府嚴格限制AI讀取市府的JSON資料，確保基於事實產生內容。<a href="https://www.ithome.com.tw/news/176804">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/176890"><span style="font-size: 22px;"><strong>AI治理勢在必行！Gartner警告2028年企業AI程式開發成本將超越開發者平均薪資</strong></span></a></p> <p>隨著企業擴大採用大型語言模型（LLM）驅動的AI程式開發代理（AI coding agents），相關工具的token消耗量也會持續增加。若供應商的收費模式持續從席次授權制轉為依用量計算，到了2028年，企業的AI程式開發成本將超過開發者平均薪資。Gartner建議，企業應界定AI程式開發代理的適用範圍，並依任務複雜度選擇模型，將高階模型保留給複雜且高價值的開發工作。企業應落實脈絡工程（context engineering），並建立token使用門檻與自動監控機制。<a href="https://www.ithome.com.tw/news/176890">詳全文</a></p> <p><a href="https://www.ithome.com.tw/review/176745"><span style="font-size: 22px;"><strong>Intel新網卡支援更完善的SPDM裝置見證</strong></span></a></p> <p>英特爾於2026台北國際電腦展期間，推出E835系列伺服器網路控制器與網路卡，最高支援200 Gb/s傳輸速度，內建已簽署的韌體（安全韌體更新）、安全開機，以及遵循NIST SP 800-193平臺韌性指南的矽信任根（Root of Trust，RoT），並採用遵循Commercial National Security Algorithm（CNSA）1.0規格的 RSA3K/SHA2-384加密演算法（韌體映像採用RSA3K的數位簽章進行簽署與驗證），以及符合FIPS 140-3 level 1的標準。<a href="https://www.ithome.com.tw/review/176745">詳全文</a></p> </div></div></div>
6/29 14:39作者周峻佑https://www.ithome.com.tw/news/176936
波蘭破獲SIM Swap犯罪集團，透過接管門號竊取數位資產
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://cbzc.policja.gov.pl/bzc/aktualnosci/975%2CCzlonkowie-grupy-przestepczej-w-rekach-CBZC-wsparcie-agentow-FBI-oraz-HSI.html" target="_blank">波蘭中央網路犯罪局（CBZC）上周四（6/25）宣布</a>，在美國聯邦調查局（FBI）及國土安全調查局（HSI）協助下，逮捕4名涉嫌從事SIM Swap（SIM卡置換）攻擊的犯罪集團成員。</p> <p>警方表示，嫌犯利用專業軟體及社交工程，入侵與電信業者合作企業的資訊基礎設施及員工電子郵件，取得發動SIM Swap攻擊所需資料。SIM Swap是指非法將受害者手機門號轉移至攻擊者控制的SIM卡或eSIM，藉此接管受害者門號。</p> <p>取得門號控制權後，犯罪集團便可攔截受害者的SMS簡訊及電子郵件驗證訊息，進而登入或接管其加密貨幣交易所等帳號，並大量竊取其中的數位資產。警方估計，相關贓款經由多個銀行帳戶、國際支付平臺及多幣別數位錢包轉移，金額超過數千萬波蘭幣（約500萬美元）。</p> <p>4名嫌犯目前皆已遭法院裁定羈押，面臨參與有組織犯罪集團、非法入侵資訊系統竊盜及洗錢等罪名，最高可判處25年有期徒刑。</p> </div></div></div>
6/29 15:30作者陳曉莉https://www.ithome.com.tw/news/176939
Swift編譯器核心元件現可用Swift實作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Apple主導開發的Swift程式語言編譯器開發規則出現調整，更多核心元件將可直接用Swift實作。<strong><a href="https://forums.swift.org/t/dropping-the-requirement-for-c-only-bootstrapping/87739">Swift編譯器開發者Erik Eckstein於Swift論壇宣布</a></strong>，從現在起，Swift編譯器主分支中被列為必要的部分，也可改以Swift撰寫，包括語法解析器、抽象語法樹、型別檢查器，以及必要的SIL處理流程。該變更主要影響Swift編譯器本身的開發方式，並非一般開發者可直接使用的新語法或新功能。</p> <p>編譯器是把程式碼轉成電腦可執行內容的工具，Swift過去雖然已在部分編譯器元件使用Swift，但範圍主要限於較不會影響標準函式庫正確產生程式碼的部分，例如部分最佳化流程。在本次放寬後，Swift可用於更核心的編譯流程，讓Swift專案能夠用自己的語言來開發更多編譯器功能。</p> <p>而這項調整也改變了Swift編譯器的建置條件，Swift專案過去要求，在沒有Swift主機端編譯器的情況下，也能只靠C++主機端工具鏈完成自我編譯（bootstrapping），也就是先建置出可用的Swift編譯器，再用來建置後續版本。按照新的方向，往後要建置Swift編譯器，系統上必須已有Swift工具鏈。</p> <p>Erik Eckstein說明，若新平臺還沒有可用的Swift主機端工具鏈，仍可先用Swift 6.4編譯器完成自我編譯。Swift 6.4會是最後一個不需要Swift主機端編譯器也能完成初始建置的版本，在新平臺上建出Swift 6.4編譯器後，該編譯器就能作為後續版本建置所需的Swift工具鏈。</p> <p>論壇中有開發者詢問C++語法解析器是否很快會被淘汰，Erik Eckstein回應，變更僅代表部分元件可以被取代，不代表現有C++實作會立刻消失。至於未來Swift編譯器支援哪些舊版Swift主機端編譯器來建置，Erik Eckstein也表示目前尚未有明確政策。</p> </div></div></div>
6/29 15:32作者李建興https://www.ithome.com.tw/news/176937
研究人員揭露WARP攻擊，可透過Reddit等內容誤導AI研究代理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://arxiv.org/abs/2605.24245" target="_blank">美國康乃爾大學研究團隊近日發布研究報告</a>，提出了名為WARP（Web Agent Retrieval Poisoning）的新型攻擊手法，指出駭客可透過在Reddit及Wikipedia等使用者生成內容（User-Generated Content，UGC）平臺加入少量惡意內容，誤導AI研究代理（Deep Research Agent）的搜尋與分析結果，使AI將虛構產品、服務或投資標的納入最終報告或推薦內容。</p> <p>研究團隊指出，AI研究代理正逐漸取代傳統搜尋，使用者不再只是取得網頁連結，而是期待AI直接整合多個來源並產出完整報告。然而，這類系統高度依賴開放網路內容，經常引用Reddit、Wikipedia及社群論壇等使用者生成內容，一旦來源被惡意修改，AI便可能把玩笑、假資訊或惡意內容納入答案，例如Google AI Overview曾因引用Reddit上的舊玩笑，建議使用者於披薩醬中加入膠水。</p> <p>研究團隊以176個真實查詢情境進行測試，主題涵蓋帳號取消、餐廳推薦、投資建議及交友服務等，並選用STORM、Co-STORM及OmniThink等開源AI研究代理作為實驗對象。研究人員發現，這些系統在搜尋與整理資料時，有17%至23%的網址來自Reddit、YouTube、Facebook、Wikipedia、Medium、Quora等使用者生成內容，其中Reddit占UGC來源的比例最高，約54%至71%。</p> <p>此外，這類AI研究代理在處理相近問題時，常會反覆查詢到同一批Reddit討論串或UGC頁面。這代表駭客不必大規模污染網路內容，只要在少數經常被AI查到的頁面加入惡意文字，就可能影響多個相近問題的研究結果。</p> <p>研究團隊為此建立GeoStorm模擬框架，用來攔截開源AI研究代理的檢索流程。當STORM、Co-STORM或OmniThink自然查到研究人員設定的目標Reddit或UGC頁面時，GeoStorm會在回傳內容中附加投毒文字，模擬駭客於公開討論串留言或修改內容的情境；若代理沒有查到該頁面，GeoStorm則不會介入，因此實驗並未強迫AI引用特定來源，也沒有實際污染公開網路內容。</p> <p>結果顯示，一旦AI研究代理讀到遭投毒的UGC內容，惡意文字就可能被納入最終報告。研究團隊在實驗中使用虛構的加密貨幣BananaCoin、交友App SilverPath及取消訂閱服務CancelEase作為投毒目標，並將約80至120字的投毒內容加入完整Reddit討論串；即使投毒內容占整體頁面不到4%，STORM、Co-STORM及OmniThink仍在30%至53%的測試中提及這些虛構產品或服務。</p> <p>研究團隊指出，WARP不需入侵AI模型或服務供應商，而是利用AI研究代理對公開網路內容的信任。對於ChatGPT Deep Research及Gemini Deep Research等已大量整合網路資料的服務而言，如何判斷來源可信度，將是AI代理安全的重要課題。</p> </div></div></div>
6/29 15:43作者陳曉莉https://www.ithome.com.tw/news/176940
從DevSecOps走向信任設計，酷澎：資安更大的目標是消除使用者不確定感
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>「資安是我們以前的工作，現在則延伸到使用者信任。」酷澎數位信任部門全球資安總監Stanley Chou表示。酷澎去年將資安部門的名稱，直接改成數位信任部，「我們資安長希望擴大『資安』的內涵，不只局限於安全，而是要打造出一個足以讓人信任的數位環境。」Stanley談的不只是個人職務的變化，更反映了資安角色定位的轉變。</p> <p>過往酷澎的資安部門花了很多力氣導入DevSecOps，盡可能將安全思維左移到開發生命週期的上游需求端，來提高系統開發的安全。「DevSecOps是確保系統能在安全的基礎上開發，」Stanley話鋒一轉，「但光談資安，不能消除使用者的不確定感（Uncertainty），不確定性才是使用者感到無法信任的原因。」資安部門經常被使用單位詢問，這套系統夠不夠安全？這就是使用者無法感到信任的典型例子。</p> <p>「信任可以被設計，也就是Trust Design的概念。」Stanley解釋，以確保系統安全的DevSecOps為基礎，信任設計進一步延伸到三件事，一方面能確保資安變得可以理解（Understandable），也能驗證使用者的不確定感確實消除了，更關鍵的是要建立信任體驗的閉環，可以不斷改善。尤其隨著AI大量出現在各種資訊系統後，AI的特性是機率，也就是一種不確定性，信任的概念也越來越重要。</p> <p>Stanley指出，信任不是要求使用者盲目地相信你，而是要減少使用者的不確定感。「為了讓信任持續維持，需要建立量測方法，才能優化，這是信任設計的起點，將不確定性，轉化成一個清楚、可量測，且可以維持一致的信任承諾（trust commitment）。」</p> <h3><span style="color:#B22222;"><strong>信任設計三大步驟：先找出關鍵場景，挖掘信任失效模式，再建立信任承諾</strong></span></h3> <p><img alt="" src="/sites/default/files/images/%E4%BF%A1%E4%BB%BB%E8%A8%AD%E8%A8%88-%E6%94%9D%E5%BD%B1-%E7%8E%8B%E5%AE%8F%E4%BB%81.jpeg" /></p> <p>他建議從3個步驟展開信任的設計，第一步要先定義關鍵場景，再找出信任失效的模式，最後是建立信任承諾。</p> <p>如何找出關鍵場景，他以酷澎所在的電商產業為例，從顧客與系統互動行為的分析，找出不確定性特別高的場景，尤其是顧客會遲疑、猶豫的環節，特別是涉及敏感資料的場景，例如，建立帳號要輸入密碼時，填寫個資時，輸入信用卡卡號時。這些都是B2C服務的關鍵場景，可能讓使用者產生高度的不確定感。</p> <p>另外一種關鍵場景是重大決定的行為，像是電商顧客旅程中，最大的決策就是最終的付款。顧客常把商品留在購物車中，遲遲不結帳，因為結帳代表訂單成立這是關鍵決定，當顧客不確定感特別高時，就不會輕易做決定。</p> <p>找出關鍵場景後，接著要找出這些場景中的信任失效模式。</p> <p>信任失效不只是系統弱點或漏洞，需要透過多輪問答或訪談，來了解隱藏在使用者背後的真正原因。不只是知道「使用者覺得你不安全」，更要找出使用者從事這個行為時，為何覺得不安全？</p> <p>例如使用者為何覺得填寫密碼不安全，可能因為他在其他關鍵服務用了同一組密碼，因將自己的秘密分享給你，才感到不安。「必須不斷了解，找出使用者心中深層的不安感。」他強調。</p> <p>另外一個技巧是，借重DevSecOps慣用的威脅建模方式，從攻擊場景出發，思考哪些攻擊可能造成使用者的不安感，進而找出信任失效模式。盤點出各個關鍵場景的信任失效模式後，第三步，就是建立明確的信任承諾。Stanley建議，可借重常見的使用者故事來描述承諾的內容。<br /> 他舉例，「作為一個使用者，我不相信這個系統，因為它在某些關鍵場景中，可能有信任失效的可能性，導致我產生不安感。因此，我們的系統一定要設計出對應能力，讓使用者可以產生信賴感。」</p> <p>建立信任承諾就完成初步的信任設計，下一步要驗證這樣的設計，Stanley分成三個維度來取得驗證所需的證據。第一是邊界（Boundary）。不能無限制地擴大信任圈，必須設立邊界，定義出信任能力想要涵蓋的範圍，防護的起點和終點，才能驗證這個範圍的信任有效性。</p> <p>第二個維度是保證（Assurance），確定系統可以做到信任承諾中所描述的運作行為。可以透過量化指標或質化紀錄，來證明系統的有效性。最後一個驗證維度是韌性（Resilience），要確信這樣的信任承諾，可以維持一定的功效。</p> <p>確定信任設計的功效後，就能持續優化。尤其是運用指標偵測信任是否產生偏移，不要等到信任崩解後才發現，一旦指標呈現和原本想要解決的不確定性不一致，就要找出信任承諾偏移的原因，重新校準你的信任設計。</p> <p>像是使用者擔心的不確定性，已不在原先所定義的邊界中，或是某個安全機制遭遇新流行的攻擊而失效，導致使用者失去信心，都可能導致使用者信任的偏移。Stanley提醒，校準不是增加更多安全控制機制，而是重新對齊想要達成的信任承諾，是否需要重建或調整。</p> <p>從找出信任承諾，驗證信任到維持信任的韌性，這是酷澎設計新系統的信任設計心法。Stanley更以酷澎和數發部合作，導入FIDO2的Passkey（免密碼登入）應用為例，來介紹如何實作信任設計思維。</p> <h3><span style="color:#B22222;"><strong>用信任設計打造FIDO2的Passkey應用</strong></span></h3> <p>去年，酷澎資安團隊和產品團隊協作，完成平臺對Passkey功能的支援。這項功能的關鍵場景是，使用者登入系統時需證明身分，最常見做法是輸入帳號密碼，但這也是使用者容易遲疑的場景，不少人會使用和其他網站相同的帳密，就算系統方搭配雙因素驗證或簡訊OTP，使用者仍會擔心自己的密碼遭到中間人攔截。</p> <p><img alt="" src="/sites/default/files/images/%E4%BF%A1%E4%BB%BB%E8%A8%AD%E8%A8%88%E6%A1%88%E4%BE%8B-Passkey-%E6%94%9D%E5%BD%B1-%E7%8E%8B%E5%AE%8F%E4%BB%81.jpeg" /></p> <p>在登入階段輸入密碼的關鍵場景中，信任失效模式是什麼，酷澎透過多次腦力激盪活動，歸納出真正讓使用者產生不安感的是「秘密共享」，密碼可能遭到暴力破解，或近年常見的撞庫（Credential Stuffing）攻擊。攻擊者拿到一家公司的帳密，會用來嘗試其他家的服務。就算採用2FA防護，攻擊者也可能透過釣魚來取得OTP驗證碼，或透過中間人攻擊假冒使用者身分。這些信任失效的模式，造成了使用者對登入行為的不安感。</p> <p>如果所有請求都能做到來源驗證，就不怕中間人假冒，再加上採用非對稱式驗證，使用者不需提供私鑰，就不會將秘密分享給系統端。只要用公開金鑰來驗證，就能確定是不是使用者本人。這正是酷澎採用FIDO2來驗證身分的原因。</p> <p>FIDO2可以將使用者私鑰儲存在個人手機中，大幅降低了採用門檻，再加上酷澎會對使用者用手機所簽署的回傳內容進行驗證，等於做到雙向驗證的效果，來避免中間人假冒。</p> <p>追蹤Passkey最重要的指標，Stanley認為主要有兩個，使用者採用率和實際使用率。酷澎導入Passkey機制至今，已經產生超過50萬把Passkey金鑰，還在持續成長中，尤其是新顧客採用比例很高。顧客實際使用Passkey的數據也很高，代表身分驗證機制運作順利。</p> <p>如何持續優化這樣的信任設計，Stanley下一步想要強化Passkey 建立階段的安全，像是補強 Passkey 建立之前的身分驗證，來確保真的是本人所建立的有效金鑰。</p> <p>Stanley總結，信任是可以被設計的，從關鍵場景展開，辨識出使用者不信任的根本原因，建立清楚的信任承諾。接著善用指標來驗證信任承諾的有效性，考量邊界、保證和韌性角度來蒐集證據，證明信任承諾的有效性。最後是透過量測指標來監測信任的偏移程度，才能及時補救與校準。</p> <p> </p> </div></div></div>
6/29 14:31作者王宏仁https://www.ithome.com.tw/news/176935
馬來西亞NC4示警，攻擊者利用Joomla JCE漏洞攻擊政府網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>馬來西亞國家網路安全局（NACSA）旗下國家網路協調與指揮中心NC4於6月26日<strong><a href="https://www.nc4.gov.my/alertAdvisory-detail/NC4-ALR-2026-000004">示警</a></strong>，觀察到多起涉及CVE-2026-48907已知漏洞的攻擊事件，造成多個政府部門網站受到影響。由於<a href="https://www.ithome.com.tw/news/176670"><strong>美國網路安全與基礎設施安全局（CISA）已在6月16日，將此漏洞列入已知漏洞利用清單（KEV）</strong></a>，但當時具體受害者身分未公開，而本次事件則是首批有明確受害單位浮上檯面的案例。</p> <p>馬來西亞的新聞媒體<strong><a href="http://www.thestar.com.my/news/nation/2026/06/28/govt-websites-hacked-says-nacsa#goog_rewarded">星報</a></strong>指出，馬來西亞國家網路安全局（NACSA）表示有多個機關的網站受影響，包括：衛生部、合作社委員會、手工藝發展局、婦女發展局等。為此，該局已經要求被列為國家關鍵資訊基礎設施（NCII）的實體，若發現任何受攻擊跡象，必須依據馬來西亞網路安全法2024（Act 854）向NC4通報，以利國家級的情報共享與協調應變。</p> <p>事實上，上述CVE-2026-48907早在6月5日公開揭露，是Joomla內容編輯器（JCE）擴充功能中的存取控制漏洞。而且該漏洞已在6月3日釋出的JCE Pro 2.9.99.5版修補，後續於6月18日釋出的<a href="https://www.joomlacontenteditor.net/news/jce-pro-2-9-99-7-released">2.9.99.7版</a>，更進一步對此漏洞實施額外的安全強化措施。</p> <p>值得注意的是，專門針對CMS網站提供多站管理與資安鑑識掃描服務平臺的業者mysites.guru<strong><a href="https://mysites.guru/jce-hack/">表示</a></strong>，他們在監測網路上Joomla網站的運行狀態時，於6月9日前已發現此漏洞造成數百個網站受害，隨著此漏洞的概念驗證程式（PoC）被公開，預計會有更多未修補的網站成為目標，同時提醒受害用戶除修補漏洞外，更須完整清查並移除殘留的Webshell與惡意後門。</p> </div></div></div>
6/29 15:18作者羅正漢https://www.ithome.com.tw/news/176938
Google Play新收費制6月30日開跑，美英歐開放第三方支付
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://android-developers.googleblog.com/2026/06/play-expanded-billing.html" target="_blank">Google上周宣布</a>，將自6月30日起率先於美國、英國及歐洲經濟區（European Economic Area，EEA）實施新收費制度，允許開發者除了使用Google Play Billing外，也可採用第三方支付系統或引導使用者前往自家網站完成交易，同時將原本的抽成拆分為平臺服務費與支付服務費兩部分。</p> <p>Google近年在美國、歐盟及英國等市場面臨反壟斷訴訟與監管壓力，外界長期批評Google Play強制使用自家計費系統並收取高額抽成，限制開發者選擇。<a href="https://android-developers.googleblog.com/2026/03/a-new-era-for-choice-and-openness.html" target="_blank">Google今年3月宣布調整商業模式</a>，並表示已與Epic Games就全球爭議達成和解，6月則進一步公布首波實施細節。</p> <p>Google Play過去對一般App內購買最高抽成30%，年營收前100萬美元及自動續訂訂閱則最低為15%。新制度下，Google將原本合併收取的抽成拆分為平臺服務費（Service Fee）與支付服務費（Billing Fee）。其中，平臺服務費涵蓋Google Play商店、內容審查、安全防護及開發工具等服務；支付服務費則適用於使用Google Play Billing的交易，在美國、英國及EEA為5%，若開發者採用第三方支付或導向自家網站交易，則無須支付這筆費用。</p> <p>除了6月30日率先上路的美國、英國及EEA之外，澳洲預計於9月30日前導入，日本與韓國則預計於今年底前上路，其餘市場預計於2027年9月底前完成部署。</p> <p>此外，Google也同步更新Games Level Up及推出Apps Experience計畫，符合品質與使用體驗要求的App及遊戲，可適用更低的平臺服務費，藉此鼓勵開發者提升Android應用品質。</p> </div></div></div>
6/29 13:20作者陳曉莉https://www.ithome.com.tw/news/176932
澳洲通訊局ASD規畫新版企業資安指引，將取代Essential Eight框架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>澳洲通訊局（Australian Signals Directorate，ASD）正推動新版企業資安指引架構。<a href="https://www.cyber.gov.au/about-us/view-all-content/news/consultation-on-evolution-of-essential-eight" target="_blank">ASD旗下澳洲網路安全中心（Australian Cyber Security Centre，ACSC）於6月15日發布公告</a>，宣布針對Essential Eight資安框架的演進展開公開諮詢，第一階段將推出Essentials系列的企業IT指引Essentials for enterprise IT。<a href="https://www.itnews.com.au/news/asd-to-retire-essential-eight-cyber-security-framework-within-next-two-years-626851" target="_blank">根據澳洲科技媒體iTnews報導</a>，ACSC網路安全韌性主管Chris Horlyck表示，ASD規畫在未來約兩年內逐步退役現行Essential Eight框架。</p> <p>Essential Eight最早於2017年發布，源自ASD在2012年提出的Top Four安全控制措施，長期作為澳洲政府與企業採用的資安基準。Chris Horlyck指出，Essential Eight的局限主要來自其設計背景，這套框架原本面向本地部署的企業IT環境；隨著企業大量採用雲端服務與軟體即服務（SaaS），許多控制措施已難以直接套用至共同責任模型（Shared Responsibility Model）等部署模式，因此ASD需要建立能適用於不同運作環境的新架構。</p> <p>新版Essentials系列將改採以安全成果（security outcomes）為導向的設計，不再侷限於特定技術控制，而是讓企業依據自身環境選擇適當的防護措施。首波將涵蓋企業IT、營運技術（OT）及雲端環境，未來也可能新增代理型AI（Agentic AI）專屬指引。</p> <p>Chris Horlyck表示，代理型AI帶來新的資安治理需求，例如非人類實體（non-person entities）的存取管理，以及提示注入（Prompt Injection）等攻擊手法，都與傳統企業IT環境有所不同，因此ASD正評估是否將AI納入獨立章節。</p> <p>此外，Chris Horlyck指出，過去Essential Eight成熟度模型會隨新威脅持續調整控制要求，導致部分組織即使實際防護能力未降低，在重新評估時仍可能出現成熟度下降的結果。新版Essentials系列將把防護控制與成熟度模型分開規畫，以提高未來更新與調整的彈性。</p> </div></div></div>
6/29 13:36作者王珮瑤https://www.ithome.com.tw/news/176933
Linux基金會成立Akrites計畫，因應AI加速開源漏洞攻擊風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.linuxfoundation.org/press/linux-foundation-and-industry-leaders-launch-akrites-to-defend-critical-open-source-software-against-ai-enabled-cyber-threats">6月25日Linux基金會（The Linux Foundation）宣布</a>，攜手AWS、Anthropic、Chainguard、Cisco、Google、IBM、微軟，以及GitHub、Nvidia、OpenAI、Red Hat、Rust Foundation、Sonatype、Zscaler等業者，成立開源安全協調計畫Akrites，建立跨產業的開源軟體漏洞協調機制，因應AI加速漏洞發現而造成關鍵開源專案日益沉重的修補壓力。</p> <p>Akrites將建立共享的安全事件應變團隊（Security Incident Response Team，SIRT），並提供單一、標準化的協調式漏洞揭露流程（Coordinated Vulnerability Disclosure，CVD），協助開源專案在漏洞公開前完成驗證、修補與揭露協調。Linux基金會指出，頂尖AI模型（frontier AI models）已能在數分鐘內掃描大型開源專案並找出漏洞，降低攻擊者發現與利用漏洞所需的技術門檻。</p> <p>在重大漏洞資訊的處理上，Akrites主張採取保密優先（confidentiality-first）原則，避免尚未修補的漏洞在公開前外洩，或遭攻擊者利用；相關修補仍會回到原始上游專案，由維護者掌握修補方向。若重大的軟體套件已無對其積極進行維護的人員，Akrites也將扮演最後接手維護者（maintainer of last resort），協助維持必要修補作業，讓關鍵開源專案不致因維護人力中斷而停止更新。</p> <p>資安媒體<a href="https://www.securityweek.com/linux-foundation-unveils-new-open-source-security-project-akrites/" target="_blank">SecurityWeek報導</a>指出，Akrites與<a href="https://www.ithome.com.tw/news/176714" target="_blank">Chainguard日前公布的Athena計畫</a>方向相近，後者同樣聚焦於開源漏洞公開前的協調修補。Linux基金會也強調，Akrites的成效不在於修補是否發布，而是修補是否真正部署到實際系統，避免攻擊者在修補公開後，利用AI快速逆向分析漏洞、製作漏洞利用程式並發動攻擊。</p> </div></div></div>
6/29 13:43作者王珮瑤https://www.ithome.com.tw/news/176934
美國PQC行政命令將以政府採購推動產業升級
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國總統川普於6月22日<a href="https://www.whitehouse.gov/fact-sheets/2026/06/fact-sheet-president-donald-j-trump-secures-the-nation-against-advanced-cryptographic-attacks/" target="_blank">簽署行政命令</a>，要求聯邦政府加速推動後量子密碼學（Post-Quantum Cryptography，PQC）遷移，並設定2030年為重要里程碑。網路基礎設施與雲端服務業者Cloudflare認為，這項政策背後目的之一，是藉由聯邦採購帶動供應商與整體產業升級。</p> <p><a href="https://www.whitehouse.gov/presidential-actions/2026/06/securing-the-nation-against-advanced-cryptographic-attacks/" target="_blank">該行政命令要求</a>各聯邦機關盤點高價值資產（high value asset）及高影響系統（high impact system）使用的公開金鑰密碼，建立密碼學的資產盤點（cryptographic inventory）機制，並規畫遷移時程。其中，高價值資產及高影響系統須在2030年底前完成後量子金鑰建立機制（Key Establishment）的部署，並於2031年底前完成後量子數位簽章（Digital Signatures）遷移；國家安全系統不適用這組公開期限，由美國國家安全局（NSA）依既有機制另行推動。</p> <p>除此之外，這項行政命令也針對不同期限訂定多項工作時程。例如：命令發布後30天內，各聯邦機關負責人須指定PQC遷移負責人（PQC migration lead），並將其姓名及聯絡資訊提交美國行政管理及預算局（OMB）總監及國家網路安全總監。</p> <p>在命令發布後的90天內，行政管理及預算局總監須透過網路安全暨基礎設施安全局（CISA）局長及國家網路安全總監，與國土安全部長協商後發布指引，要求各機關盤點資產與系統，並提出執行計畫，確保高價值資產及高影響系統在2030年底前完成後量子金鑰建立部署、2031年底前完成後量子數位簽章遷移。</p> <p>而在命令發布後的180天內，以及此後每年直至PQC遷移完成，國家安全局（NSA）局長須透過國家安全系統委員會向總統提交國家安全系統PQC遷移進度報告；商務部長則須經由國家標準暨技術研究院（NIST）總監，推動修訂密碼學模組驗證計畫流程，加快密碼學模組驗證作業。聯邦採購法規委員會（FAR Council）也須透過CISA局長及NIST總監，與國土安全部長協商，提出修訂聯邦採購法規（FAR）的擬議規則，要求適用規定的聯邦承包商在2030年底前符合NIST制定的聯邦資訊處理標準（FIPS），包括將NIST核准的後量子密碼演算法納入相關FIPS標準。</p> <p>到了命令發布後的270天內，國土安全部長須透過CISA局長及NIST總監協調，發布公開指引，說明各機關認為密碼學物料清單（Cryptographic Bill of Materials，CBOM）應包含的最低要素，使其能支援硬體及軟體元件密碼學資產的自動盤點與評估。另在同一期限內，聯邦採購法規委員會也須提出另一項修訂FAR的擬議規則，納入承包商漏洞揭露政策（VDP）要求及相關合約條款，確保承包商依據NIST指引實施漏洞揭露政策，並涵蓋密碼學相關漏洞的揭露與通報，包括未採用加密機制，以及使用未經FIPS核准演算法等情形。</p> <p><a href="https://blog.cloudflare.com/post-quantum-eo-2026/" target="_blank">根據Cloudflare分析</a>，美國政府過去曾透過採購政策推動IPv6、DNSSEC以及資源公開金鑰基礎設施（Resource Public Key Infrastructure，RPKI）等技術普及，如今也希望以相同模式，要求聯邦政府新採購的產品與服務，能夠逐步支援符合NIST標準的PQC演算法。行政命令將PQC遷移分為後量子加密與後量子身分驗證兩條路徑，分別對應金鑰建立與數位簽章，反映目前網際網路加密通訊的後量子化進展較多，身分驗證相關機制則仍處於早期部署階段。</p> <p>資安媒體<a href="https://thehackernews.com/2026/06/trump-order-sets-2030-deadline-for.html" target="_blank">The Hacker News則指出</a>，這項行政命令將美國聯邦政府PQC遷移時程推向2030年底，使原本較長期的遷移規畫更具有明確的執行期限。</p> </div></div></div>
6/29 12:23作者王珮瑤https://www.ithome.com.tw/news/176928
SpaceX傳出準備在美國推出Starlink Mobile衛星通訊服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ft.com/content/42af0f15-3aa9-49b7-b429-4a39540af03e?syn-25a6b1a6=1">根據金融時報（Financial Times）的報導</a>，SpaceX正規畫在美國推出供消費者使用的Starlink Mobile衛星行動通訊服務。</p> <p>Starlink Mobile原名Direct to Cell，是SpaceX讓一般LTE手機直接連上Starlink低軌衛星的行動通訊服務，主要用來補足地面基地臺無法涵蓋的偏遠地區。SpaceX今年3月在MWC 2026期間將Direct to Cell更名為Starlink Mobile，目前主要透過T-Mobile等電信業者提供服務。</p> <p>金融時報引述4名消息來源指出，SpaceX總裁暨營運長Gwynne Shotwell是在公司首次公開發行股票（IPO）的路演期間，向投資人說明Starlink Mobile零售服務構想。該報也取得SpaceX債券發行說明書，文件顯示，Starlink Mobile初期主要用於補足偏遠地區的行動網路覆蓋，但隨著衛星星座規模擴大、服務效能提升，SpaceX希望未來不只服務偏遠地區，也能進一步延伸至郊區與城市市場。</p> <p>該報指出，若SpaceX進一步推出Starlink Mobile零售服務，將代表其商業模式從與電信業者合作，轉向直接向消費者提供行動通訊服務，與Verizon、AT&T及T-Mobile等業者展開競爭。不過，分析師對此抱持保留態度，認為SpaceX若要在美國自行建立行動網路，不僅需要投入龐大建置成本，也面臨頻譜資源有限及市場高度飽和等挑戰。</p> <p>SpaceX已於6月12日以SPCX為代號登上那斯達克，以135美元的發行價募集750億美元，創下全球IPO募資新紀錄。當天SpaceX的開盤價為150美元，經歷過一周的蜜月期之後，上周五（6/26）收在153.23美元。</p> <p>Starlink也持續強化其在緊急通訊中的角色。委內瑞拉在6月24日發生規模7.2及7.5雙震，造成嚴重傷亡與通訊中斷，<a href="https://starlink.com/support/article/28779c02-f1cb-4d77-1f75-b947ae179c91" target="_blank">Starlink隨後宣布</a>向災區用戶提供免費衛星通訊服務至7月25日。Starlink過去也曾在2022年俄烏戰爭、2023年夏威夷茂宜島野火，以及2024年美國颶風海倫與米爾頓災後，向受影響地區提供衛星網路支援。</p> </div></div></div>
6/29 12:54作者陳曉莉https://www.ithome.com.tw/news/176931
OpenAI預覽GPT-5.6新增代理人協同、max推理等級，先對部份合作夥伴釋出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://openai.com/index/previewing-gpt-5-6-sol/" target="_blank">OpenAI上周五（6/26）預覽最新模型GPT-5.6系列</a>，包含旗艦模型Sol、適用日常業務的標準模型Terra及低價版本Luna。美國政府要求下，最新GPT-5.6模型僅提供給一小部份合作夥伴，OpenAI預計未來幾個星期進一步擴大提供給更多組織。</p> <p>GPT-5.6家族中，Sol號稱是OpenAI歷來最強模型，它在程式碼撰寫、生物與網路安全方面的代理能力尤為優越。Terra效能與前代GPT-5.5相當，價格卻便宜2倍，Luna則是成本歷來最低的模型。</p> <p>技術層面上，GPT-5.6加入新的max推理等級，賦予Sol更多時間深度推理。此外OpenAI還新增ultra模式，可運用多個子代理人加速複雜任務的進行。根據OpenAI提供的數據，Sol在程式開發規畫、迭代和工具協同的工作流程測試（Terminal-Bench 2.1）超越Anthropic Mythos 5/Fable 5及Gemini 3.1 Pro，而在長程基因和量化生物分析測試（GeneBench v1）超越前代模型GPT-5.5。OpenAI並強調新模型的網路安全能力。例如在漏洞研究和漏洞濫用標竿測試（ExploitBench）上，和Anthropic Mythos Preview相比，GPT-5.6 Sol可以1/3 token達到相同效能。在另一測試（ExploitGym）表現上，三個新模型全部超越GPT-5.5及GPT-5.4版。</p> <p>OpenAI說明，Sol特別強化高風險活動、敏感網路請求及重複性誤用行為的防護，也花了好幾個星期找漏洞、壓力測試。在內部評估中，Sol找出了Chromium和Firefox的漏洞和濫用原語（exploit primitives），並未自主產生完整攻擊鏈行動。不過為安全起見，公司持續強化Sol的安全防護並採取階段性推出策略。</p> <p>OpenAI在正式推出GPT-5.6 Sol前，已先向美國政府預覽模型計畫與能力，在其要求下，OpenAI僅對一小群信賴合作夥伴提供限定預覽測試，而且合作內容也需向美國政府報告。但OpenAI說這種美國政府介入的情形應該不會維持長久。接下來幾周他們準備擴大模型推出，同時和美國政府合作開發網路安全行政命令（cyber Executive Order）框架，以及適用未來模型發表的可重覆流程。</p> <p> </p> </div></div></div>
6/29 11:23作者林妍溱https://www.ithome.com.tw/news/176923
中國駭客從事攻擊行動StrikeShark，臺灣有政府機構名列受害範圍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>曝露於網際網路的應用程式伺服器，往往是駭客偏好下手的目標，若是廠商推出修補程式或更新軟體來防堵資安漏洞，企業組織尚未套用，攻擊者就能用來滲透這些應用程式伺服器並建立初期的入侵管道。</p> <p>資安公司卡巴斯基近日揭露<strong><a href="https://securelist.com/strikeshark-campaign/120326/">中國駭客的攻擊行動StrikeShark</a></strong>，這些駭客利用名為SharkLoader的惡意程式，企圖於受害組織植入Cobalt Strike的Beacon，受害範圍包含臺灣政府機構、印尼外交機構，以及多個國家的軟體開發公司，此外，卡巴斯基也在香港、黎巴嫩、敘利亞、哥倫比亞、北馬其頓、尼泊爾、塞爾維亞等其他國家發現相關攻擊行動。</p> <p>攻擊者取得受害組織初期存取管道的管道有兩種，其中一種就是利用網路應用程式的已知漏洞，另一種則是透過網路釣魚的手法，聲稱提供合法軟體來散布SharkLoader。值得留意的是，駭客利用的資安漏洞相當多元，在針對臺灣政府機構的資安事故裡，他們利用了即時通訊伺服器Openfire的身分驗證繞過漏洞CVE-2023-32315；而在印尼外交機構的事故裡，駭客運用了包含ProxyLogon（CVE-2021-26855）在內的多項Exchange弱點。</p> <p>在駭客使用的已知漏洞當中，又以遠端程式碼執行（RCE）漏洞最多，包括：SharePoint漏洞CVE-2021-27076、Zimbra漏洞CVE-2022-27925、F5 BIG-IP漏洞CVE-2023-46747、Fortinet防火牆作業系統漏洞CVE-2024-21762，以及React Server Components（RSC）漏洞React2Shell（CVE-2025-55182），不過，這些駭客也有利用身分驗證繞過類型的漏洞，例如：Fortinet防火牆作業系統漏洞CVE-2022-40684、思科IOS XE漏洞CVE-2023-20198。</p> </div></div></div>
6/29 11:25作者周峻佑https://www.ithome.com.tw/news/176924
禁令擋不住青少年上社交媒體，澳洲將平臺罰款提高一倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.pm.gov.au/media/stronger-powers-and-double-penalties-world-leading-social-media-law" target="_blank">澳洲政府周日（6/28）宣布</a>，將修法強化全球首創的社交媒體最低年齡制度，把平臺違反未滿16歲禁用規定的最高罰款，從4,950萬澳元提高至9,900萬澳元（約新臺幣19億元），並賦予澳洲網路安全監管機關（eSafety Commissioner）更大的調查權限，以要求平臺提出阻止未成年人開設帳號的證據。</p> <p><a href="https://www.ithome.com.tw/news/166276" target="_blank">澳洲於2024年通過《線上安全修正（社交媒體最低年齡）法》</a>（Online Safety Amendment (Social Media Minimum Age) Act 2024），成為全球第一個立法並實施社交媒體最低年齡制度的國家。該法要求受規範的社交媒體平臺採取合理措施，防止澳洲境內未滿16歲使用者持有帳號，並於2025年12月10日正式上路。目前eSafety正在調查Facebook、Instagram、Snapchat、TikTok及YouTube等5個平臺的潛在違規情況。</p> <p>澳洲政府表示，雖然禁令上路後已有超過500萬個未滿16歲的帳號遭到移除、停用或限制，但仍有太多兒童繼續使用社交媒體，顯示大型科技業者並未充分履行法律責任。通訊部長Anika Wells批評，部分社交媒體平臺只採取最低限度的合規措施，並未真正盡力阻止未成年人使用其服務。</p> <p><a href="https://www.theguardian.com/media/2026/jun/24/australia-under-16-social-media-ban-no-substantial-effects-study" target="_blank">英國《衛報》（The Guardian）引述</a>刊登於《BMJ》的澳洲紐卡索大學（University of Newcastle）研究指出，禁令實施3個月後，仍有超過85%的未滿16歲青少年持續使用受限制的社交媒體平臺，顯示該制度初期執行成效有限。</p> <p><a href="https://www.bmj.com/content/393/bmj-2026-363695" target="_blank">研究認為</a>，平臺年齡驗證機制不足是主要原因。雖然約2/3受訪者曾接受年齡驗證，但多數僅需自行填寫年齡或上傳自拍，只有少數人被要求出示政府核發的身分證件；另有部分青少年透過假帳號或VPN繞過限制。</p> <p>因此，澳洲政府將最高罰款提高至9,900萬澳元，並擴大eSafety Commissioner的取證權限，使其可要求平臺提供合規證據，也可向年齡驗證業者或應用商店等第三方索取資料，以驗證平臺說法。政府希望藉此提高違規成本，讓罰則與澳洲競爭及消費者法規的處罰水準一致。</p> <p>澳洲社交媒體年齡限制之所以受到關注，是因為澳洲為全球第一個立法並實施此類制度的國家，後續已有多國研議跟進。英國已規畫於2027年推動類似禁令，其他國家也陸續討論限制未成年人使用社交媒體，因此澳洲禁令的執行成效與後續修法，將成為各國制定兒少網路安全政策的重要參考。</p> </div></div></div>
6/29 11:44作者陳曉莉https://www.ithome.com.tw/news/176920
緬甸AYA Bank證實舊系統遭駭，駭客組織LAPSUS$宣稱竊取120 GB資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>銀行舊版應用程式安全成焦點，在6月25日，緬甸主要私人銀行之一的伊洛瓦底銀行（AYA Bank）透過<strong><a href="https://www.ayabank.com/about-aya/news-room/announcements/AYA_bank_statement_Regarding_a_Data_Security_Incident">公司網站</a></strong>及<strong><a href="https://www.facebook.com/ayabank/posts/pfbid02R8tACKtdQYhwi5x9sCXTUds5dNQVPhCPizvziLGAWxy763L87cMPEYh3cuwRrp2Vl">臉書粉絲專頁</a></strong>發布資安公告，證實其舊版應用程式入口網站遭到未經授權存取，導致部分非財務性質的申請紀錄外洩。</p> <p>AYA Bank在聲明中強調，銀行的核心金融系統、AYA Pay支付系統及信用卡與金融卡管理系統，均未與受此事件影響的舊版入口網站直接連線，因此核心業務未受波及。銀行表示目前所有財務資料安全無虞，各項金融服務均維持正常運作，並提醒客戶提高警覺，防範可能的詐騙電話或釣魚郵件。</p> <p>至於外界關注的攻擊者身分方面，隔日<strong><a href="https://www.bnionline.net/en/news/myanmars-aya-bank-acknowledges-cyberattack-after-hacking-group-claims-data-breach">緬甸新聞通訊社（BNI）報導</a></strong>指出，早在6月23日，駭客組織LAPSUS$便聲稱已從該銀行竊取超過120 GB的資料，其中包含大量客戶個資。駭客以此威脅銀行支付贖金，否則將在7月8日前將竊取資訊公開至暗網。包括<strong><a href="https://www.ransomware.live/id/QVlBIEJBTktAbGFwc3VzJA">Ransomware.live</a></strong>、<strong><a href="https://x.com/DarkWebInformer/status/2069509122844725473">Dark Web Informer</a></strong>等暗網情資追蹤平臺均已轉載這起勒索消息。</p> </div></div></div>
6/29 12:05作者羅正漢https://www.ithome.com.tw/news/176917
Open VSX出現GlassWorm蠕蟲變種GlassWASM
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>具自我散布能力的蠕蟲GlassWorm<strong><a href="https://www.ithome.com.tw/news/171854">從去年10月開始活動</a></strong>，並在Visual Studio Code（VS Code）、Open VSX延伸套件市集橫行，然而就在上個月資安公司CrowdStrike與Google合作，<strong><a href="https://www.ithome.com.tw/news/176195">破壞此蠕蟲程式的基礎設施</a></strong>後，近期已出現變種版本。</p> <p>資安公司Socket<strong><a href="https://socket.dev/blog/glasswasm-malware-open-vsx-extensions">於6月16日指出</a></strong>，他們在Open VSX發現兩個有問題的VS Code延伸套件exargd/[email protected]、noellee-doc/[email protected]，駭客在套件裡嵌入WebAssembly惡意軟體，並透過Solana區塊鏈作為C2通道，藉此於受害的開發環境執行遠端命令。值得留意的是，這些惡意套件的名稱、版本，以及說明資料，全數從VS Code延伸套件市集的正牌套件完整複製，使得一般的開發人員更難察覺異狀。Socket向Open VSX通報後，上述套件已全數下架。</p> <p>對於此蠕蟲程式的迴避偵測機制，也引起研究人員注意。首先，這兩個惡意套件內含以TinyGo編譯的WASM模組，所有 URL、錢包地址與指令皆以演算法ChaCha20處理，使得靜態掃描無法偵測任何入侵指標，再者，惡意程式會輪詢Solana特定的JSON-RPC API，讀取攻擊者控制的錢包地址上的SPL Memo欄位，從中解析C2主機網域名稱。攻擊者只需發送新交易即可輪換基礎設施，因此防守方無法封鎖特定的伺服器，或將其下線因應。</p> <p>Socket指出，根據本次活動的策略與鎖定的目標，以及部分工具與GlassWorm共用，因此他們推測攻擊者的身分就是開發GlassWorm的駭客團體。</p> </div></div></div>
6/29 12:07作者周峻佑https://www.ithome.com.tw/news/176927
Palo Alto Networks參與企業開源軟體供應鏈安全服務Project Lightwell
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>5月底<strong><a href="https://www.ithome.com.tw/news/176206">IBM與紅帽（Red Hat）宣布</a></strong>，推出企業開放原始碼軟體供應鏈安全服務Project Lightwell，此服務延伸兩家公司在Red Hat Enterprise Linux（RHEL）、OpenShift等企業開源平臺上的維護模式，將原本針對平臺內開放原始碼元件提供的生命週期管理、漏洞修補驗證與發布工程（release engineering），擴大到企業應用程式常用的第三方開放原始碼函式庫、程式語言工具鏈、AI框架與資料串流平臺。兩年前<strong><a href="https://www.ithome.com.tw/news/164893">買下IBM QRadar SaaS業務</a></strong>的資安公司Palo Alto Networks，近日也加入Project Lightwell，以擴大該服務的防禦範圍。</p> <p>上週Palo Alto Networks<strong><a href="https://www.paloaltonetworks.com/company/press/2026/ibm-red-hat-and-palo-alto-networks-expand-project-lightwell-to-help-organizations-respond-to-software-vulnerabilities">發布新聞稿</a></strong>說明此事，表示該公司將會提供虛擬修補（Virtual Patching）能力，與Project Lightwell整合，整合快速的網路防護與軟體修補能力，協助企業降低新興威脅帶來的風險曝露，並將防守的範圍，從開源軟體、商業應用程式，延伸到操作科技（OT）與醫療保健技術等領域。導入虛擬修補的原因在於，AI爆發性的發展使得資安漏洞被發現的速度大幅增加，使得攻擊者透過AI能比防守方更快找到程式碼基礎（codebase）裡的弱點，而對企業組織造成系統性的供應鏈風險，藉由虛擬修補，他們將攻防的優勢重新轉回防守方，Project Lightwell的強大組合不僅能消除網路威脅，並為客戶提供不間斷的業務營運。</p> </div></div></div>
6/29 10:00作者周峻佑https://www.ithome.com.tw/news/176914
PQC準備度研究顯示近9成SSH伺服器尚未具備後量子安全能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>網路資產管理與資安廠商<a href="https://www.forescout.com/blog/pqc-adoption-gaps-90-percent-of-systems-are-still-not-quantum-safe/" target="_blank">Forescout旗下研究團隊Vedere Labs於6月24日發布後量子密碼學（Post-Quantum Cryptography，PQC）採用研究</a>，指出隨著量子運算可能在未來數年威脅現行公開金鑰密碼系統，企業需要及早盤點加密資產，規畫PQC遷移的工作。<a href="https://www.ithome.com.tw/news/174910" target="_blank">部分專家預期Q-Day最快可能在2029年到來</a>，留給企業準備的時間已越來越有限。</p> <p>Forescout分析超過1.6億臺網際網路SSH主機發現，2026年5月支援PQC金鑰交換（Key Exchange，KEX）演算法的SSH伺服器，已由一年前的1,150萬臺增加至逾1,900萬臺，占比由6.2%提高至約11.9%，但仍有近90%的SSH伺服器尚未具備PQC能力。這波成長主要來自OpenSSH版本升級，採用支援PQC的OpenSSH 9.x與10.x版本比例，由21%增加至37%；相較之下，嵌入式設備常用的輕量化SSH實作Dropbear，雖已於2025年加入PQC支援，但目前支援PQC版本的部署比例仍僅約3%。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0629-pqc-sshserver.png" style="width: 425px;" /></p> <p>從企業網路設備來看，採用支援PQC的OpenSSH版本比例方面，IT設備已達50%，IoT設備為28%，OT設備為16%，醫療物聯網（IoMT）設備則僅6%。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0629-pqc-2.png" style="width: 600px;" /></p> <p>Forescout同時以TLS 1.3支援情況，作為評估網際網路TLS伺服器是否具備PQC遷移基礎的觀察指標；在企業網路中，則分析TLS連線採用的金鑰封裝機制（Key Encapsulation Mechanism，KEM）演算法。研究顯示，網際網路伺服器的TLS 1.3部署率已由一年前的19%提升至30%；在企業網路中，IT設備具備PQC能力的比例約8%，IoT與IoMT設備為5.6%，OT設備則僅0.8%。</p> <p><a href="https://www.cisa.gov/resources-tools/resources/quantum-readiness-migration-post-quantum-cryptography" target="_blank">美國網路安全暨基礎設施安全局（CISA）則建議</a>，組織應及早建立量子就緒路線圖（Quantum-Readiness Roadmap），盤點目前使用的加密技術、評估風險與業務衝擊，並與技術供應商協調產品升級規劃，以降低未來量子運算技術成熟後對現行加密機制帶來的風險。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Forescout</span></span></p> </div></div></div>
6/29 10:30作者王珮瑤https://www.ithome.com.tw/news/176915
美國政府傳部份解除Anthropic Claude最強大模型的出口管制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國媒體<a href="https://www.politico.com/news/2026/06/26/white-house-makes-peace-with-anthropic-for-now-00965675" target="_blank">Politico</a>、<a href="https://www.cnbc.com/2026/06/26/us-government-anthropic-claude-mythos5-ai.html" target="_blank">CNBC</a>等報導，美國商務部上周五收回部份禁止Anthropic Claude最新模型技術出口的命令，允許其向約100多家政府及企業組織提供Mythos模型。</p> <p>CNBC報導指出，美國商務部致函Anthropic共同創辦人Tom Brown說明其決定。美國商務部長Howard Lutnick在信中說，他認為已經有適當安全防護，已允許特定信賴合作夥伴存取Claude Mythos 5模型。</p> <p>報導引述據消息來源人士，這些受信賴合作夥伴包括美國政府核准的公司和聯邦機關。不過美國政府仍然未開放Claude Fable 5向外國輸出。</p> <p>這是兩個星期前，美國政府以國家安全為由，<a href="https://www.google.com/url?sa=t&source=web&rct=j&opi=89978449&url=https://www.ithome.com.tw/news/176598" target="_blank">祭出技術出口管制命令</a>，要求這家AI新創公司封鎖他國用戶存取Claude Fable 5和Mythos 5模型後的一大進展。Anthropic當時一方面為了遵守美國政府命令全面暫停兩大模型的客戶存取，一方面派員和美國政府協商。Brown則是Anthropic方面的談判首席代表。</p> <p>不過官方及業者尚未對此評論。</p> <p>Anthropic 6月中釋出最強大的旗艦模型Fable 5時，曾短暫提供給Pro、Max、Team和席次計價Enterprise方案客戶。但才上線三天，就遭到美國政府阻止。</p> <p><a href="https://www.ithome.com.tw/news/176653" target="_blank">美國媒體報導</a>，美國政府的依據可能來自英國資安研究機構AI SI（AI Security Institute）紅隊測試開發出越獄手法，或是Amazon執行長Andy Jassy告知美國官員，Amazon研究人員曾利用一系列提示，讓Fable 5提供可用於網路攻擊的方法。也有一說是<a href="https://www.ithome.com.tw/news/176823" target="_blank">美國國安局的測試結論所</a>致。</p> <p>但美國政府此舉引發資安界專家連署公開信反對，呼籲政府解除禁令。他們指出，在中國AI快速提升之際，禁止存取Fable 5和Mythos 5模型，將阻礙企業組織尋找漏洞，使其陷於網路攻擊風險中。</p> <p>Anthropic競爭者OpenAI上周五宣佈預覽最新GPT-5.6版。該公司也在美國政府介入管制下，僅提供給特定受信賴的合作夥伴，且OpenAI和這些夥伴的合作內容也需分享給美國政府。</p> </div></div></div>
6/29 11:14作者林妍溱https://www.ithome.com.tw/news/176921
Linux被揭露新的本機權限提升漏洞DirtyClone，CVSS嚴重度評分高達8.8分
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p style="margin-left:.05pt;">6月尾聲又有兩個Linux本機權限漏洞研究結果揭露，前幾天我們先介紹6月26日公開的<strong><a href="https://www.ithome.com.tw/news/176912">pedit COW</a></strong>，現在一起看看6月25日浮出檯面的<strong><a href="https://research.jfrog.com/post/dissecting-and-exploiting-linux-lpe-variant-dirtyclone-cve-2026-43503/">DirtyClone</a></strong>，這個漏洞由近年積極布局DevSecOps領域的軟體供應鏈平臺業者JFrog發現，5月19日通報Linux核心的維護人員，到了5月21日之後，此漏洞已修補與合併至Linux核心的主線版本v7.1-rc5，並為其指派漏洞編號為<strong><a href="https://www.cve.org/CVERecord?id=CVE-2026-43503">CVE-2026-43503</a></strong>，CVSS 3.1嚴重性評分為8.8分，屬於高風險漏洞，任何無特權的本機使用者均可藉此操弄Linux頁面快取，進而獲取root存取權限。</p> <p style="margin-left:.05pt;">之所以察覺這個漏洞，是因為JFrog資安研究團隊稽核近期Linux核心的修補狀況，他們發現<strong><a href="https://www.ithome.com.tw/tags/dirty-frag">DirtyFrag</a></strong>系列漏洞雖然已經得到修補，但仍存在一個未解決的問題，這會導致同類型漏洞持續存在，因為攻擊者可經由XFRM/IPsec子系統中的另一條封包處理路徑，進行漏洞利用的行為。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/2026-JFrog-DirtyClone Timeline.png"><img alt="" src="/sites/default/files/images/2026-JFrog-DirtyClone%20Timeline.png" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">JFrog也率先對此開發出這項漏洞的概念驗證程式，並將其命名為DirtyClone，之所以發表這項研究，該公司表明目的在於當中展示更廣泛的利用模式，可影響多個通訊端點的緩衝區（socket buffer，skb），並表明底層的攻擊能力不限於單一脆弱的程式碼路徑。</p> <p style="margin-left:.05pt;">目前CVE-2026-43503會影響哪些Linux系統？就常見Linux發行版而言，像是<strong><a href="https://security-tracker.debian.org/tracker/CVE-2026-43503">Debian</a></strong>、<strong><a href="https://ubuntu.com/security/CVE-2026-43503">Ubuntu</a></strong>及<strong><a href="https://bugzilla.redhat.com/show_bug.cgi?id=2480902">Fedora</a></strong>，此項漏洞利用攻擊活動是有效的。</p> <p style="margin-left:.05pt;">若無法取得或立即套用修補程式，JFrog建議Linux用戶可將kernel.unprivileged_userns_clone的數值設定為0，藉此阻止攻擊者取得系統的CAP_NET_ADMIN權限，或將esp4、esp6、rxrpc這些Linux核心模組加入黑名單，藉此阻擋就地執行的底層解密機制（in-place decryption），避免這項處理修改共享的頁面快取內容。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/JFrog DirtyClone-in-place Decryption Path.png"><img alt="" src="/sites/default/files/images/JFrog%20DirtyClone-in-place%20Decryption%20Path.png" style="width: 600px;" /></a></p> <p>JFrog警告，任何未完整套用DirtyFrag漏洞系列（CVE-2026-43284 和 CVE-2026-43500）修補程式鏈的Linux核心，均面臨風險。因為用戶Linux系統搭配的核心，若是已套用這些漏洞的初期緩解措施、但未安裝後續修補程式的主線、穩定版或長期支援核心分支，仍可能受到特定繞過攻擊的影響，唯有在套用完整系列修補程式後，系統才能獲得完整因應這個攻擊模式的保護。</p> <p><a href="/sites/default/files/images/DirectFrag-research_jfrog.jpg"><img alt="" src="/sites/default/files/images/DirectFrag-research_jfrog.jpg" style="width: 600px;" /></a></p> </div></div></div>
6/29 01:19作者李宗翰https://www.ithome.com.tw/news/176913
Linux存在新的本機權限提升漏洞pedit COW，搭配5.18版至 7.1-rc6版核心的系統均可能受影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p style="margin-left:.05pt;">今年5月爆發一連串Linux本機權限提升漏洞，例如，<a href="https://www.ithome.com.tw/tags/copy-fail"><strong>Copy Fai</strong></a><strong>l</strong>、<a href="https://www.ithome.com.tw/tags/dirty-frag"><strong>DirtyFrag</strong></a>、<a href="https://www.ithome.com.tw/tags/fragnesia"><strong>Fragnesia</strong></a>，6月底又出現這類型漏洞的揭露，我們先看看威脅情報平臺廠商<a href="https://threatlandscape.io/blog/cve-2026-46331-pedit-cow-linux-privilege-escalation"><strong>Threat Landscape</strong></a>最新發表的漏洞研究，代號為pedit COW，編號是CVE-2026-46331，問題存在Linux核心的流量控制（traffic control，tc）子系統，一旦此漏洞遭到成功利用，本機使用者即可繞過多種安全控制，並獲得完整的root權限。</p> <p style="margin-left:.05pt;">值得注意的是，在這個CVE編號公開後不久，漏洞利用概念驗證（PoC）程式<strong><a href="https://github.com/sgkdev/packet_edit_meme">packet_edit_meme</a></strong>也隨之發布，因此，亟需修復這個漏洞的程度也提高。至於受此漏洞影響的Linux發行版，Threat Landscape指出，包括<strong><a href="https://access.redhat.com/security/vulnerabilities/RHSB-2026-008">Red Hat Enterprise Linux</a></strong>的8至10版，以及搭配5.18版至7.1-rc6版Linux核心的<strong><a href="https://ubuntu.com/security/CVE-2026-46331">Ubuntu</a></strong>與<strong><a href="https://security-tracker.debian.org/tracker/CVE-2026-46331">Debian</a></strong>，此外，<strong><a href="https://www.suse.com/pt-br/security/cve/CVE-2026-46331.html">SUSE</a></strong>、<strong><a href="https://linux.oracle.com/errata/ELSA-2026-27353.html">Oracle Linux</a></strong>、<strong><a href="https://explore.alas.aws.amazon.com/CVE-2026-46331.html">Amazon Linux</a></strong>、<strong><a href="https://blog.cloudlinux.com/pedit-cow-mitigation-and-kernel-update">CloudLinux</a></strong>都發布相關公告與列出受影響的版本。</p> <p style="margin-left:.05pt;">分析CVE-2026-46331漏洞的根本原因在於，Threat Landscape認為，Linux核心的流量控制基礎架構（net/sched）當中，act_pedit這個動作內部的寫入時複製（copy-on-write，COW）機制有不當的實作，而且，子系統act_pedit主要負責封包標頭的編輯與重寫。</p> <p style="margin-left:.05pt;">細究當中的問題成因，Threat Landscape表示，由於tcf_pedit_act()函式具有資安漏洞，Linux核心會在反覆執行編輯金鑰的工作之前，嘗試對skb_ensure_writable()函式計算安全的寫入時複製範圍，為了完成這項工作，當中會運用稱為tcfp_off_max_hint的數值，然而，該項計算作業本身存在一個致命缺陷：無法考量到因多個分類金鑰而新增的標頭偏移量，由於這些偏移量是在執行時計算，所以，Linux核心會將資料寫入安全且已配置邊界之外的位置，此舉將導致越界寫入，進而毀損共享的頁面快取記憶體。</p> <p style="margin-left:.05pt;">目前有哪些Linux核心版本受到上述問題影響？Threat Landscape指出，範圍涵蓋5.18版至7.1-rc6版，到了7.1-rc7版才正式解決該項問題，而且，修補程式能回溯移植到仍在積極維護的企業級Linux核心。</p> <p style="margin-left:.05pt;">關於利用CVE-2026-46331漏洞的概念驗證程式packet_edit_meme，Threat Landscape表示，這當中依賴巧妙設計的執行鏈，能將記憶體越界的寫入轉化為root shell的取得。若要偵測上述行為，無法單靠掃描靜態檔案的傳統檔案完整性監控（FIM）系統，例如進階入侵偵測環境（AIDE）或 Tripwire這類工具，因為攻擊完全發生在切換使用者身分指令（/bin/su）的記憶體快取副本，電腦或伺服器磁碟存放的/bin/su並未遭到修改，所以FIM無法偵測出異狀，而且，只要遭損毀的頁面仍以保留在記憶體快取，系統就會持續處於遭入侵狀態。</p> </div></div></div>
6/28 01:53作者李宗翰https://www.ithome.com.tw/news/176912
本週Google二度發布Chrome 149穩定版更新，修補3項高風險漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p style="margin-left:.05pt;">6月23日<a href="https://www.ithome.com.tw/news/176876"><strong>Google</strong><strong>發布</strong><strong>Chrome</strong><strong>瀏覽器更新</strong></a>，不料短短兩天後，<strong><a href="https://chromereleases.googleblog.com/2026/06/stable-channel-update-for-desktop_01245939337.html">突然又釋出新版本</a></strong>，Windows與Mac平臺更新至149.0.7827.200與149.0.7827.201，Linux版本與<strong><a href="https://chromereleases.googleblog.com/2026/06/chrome-for-android-update_0266309606.html">Android版本更新至149.0.7827.200</a></strong>，總共納入3項資安漏洞的修補。</p> <p style="margin-left:.05pt;">其中，<a href="https://www.cve.org/CVERecord?id=CVE-2026-13281"><strong>CVE-2026-13281</strong></a>的問題出在Chrome核心的跨處理程序通訊框架Mojo，存在整數溢位（Integer Overflow）的缺陷，<strong><a href="https://www.cve.org/CVERecord?id=CVE-2026-13282">CVE-2026-13282</a></strong>與<a href="https://www.cve.org/CVERecord?id=CVE-2026-13283"><strong>CVE-2026-13283</strong></a>皆為記憶體已釋放卻仍被使用（UAF）類型的問題，分別發生在Chrome Android版的Payments元件與AdFilter元件。若連同前一波安全性更新，本週Google總共揭露Chrome存在21項資安漏洞。</p> <p style="margin-left:.05pt;">關於嚴重程度的認定，Google最新公布的Chrome漏洞皆列為高風險等級，然而，MITRE維護的CVE.org網站對上述漏洞資安風險程度的認定略有出入，例如<a href="https://www.cve.org/CVERecord?id=CVE-2026-13281"><strong>CVE-2026-13281</strong></a>與<a href="https://www.cve.org/CVERecord?id=CVE-2026-13283"><strong>CVE-2026-13283</strong></a>被列為高風險漏洞，CVSS 3.1嚴重度評分各為8.3分與7.5分，<strong><a href="https://www.cve.org/CVERecord?id=CVE-2026-13282">CVE-2026-13282</a></strong>被列為中風險漏洞，CVSS 3.1評分為6.8分。</p> <p>CVE.org網站也進一步揭露這些漏洞的可能利用方式，例如CVE-2026-13281可讓已侵入著色器處理程序的遠端攻擊者，得以透過惡意檔案執行沙箱跳脫的動作；CVE-2026-13282能讓本機攻擊者透過實體存取裝置的方式，執行毀損記憶體堆積的手法；CVE-2026-13283的存在，遠端攻擊者可透過說服使用者操作特定的使用者介面手勢，後續即能利用特製的HTML頁面執行任意程式碼。</p> </div></div></div>
6/27 12:30作者李宗翰https://www.ithome.com.tw/news/176911
台水揭露智慧水務轉型最新進展，導入AI從精準加藥到預測維護，提升供水韌性與減碳效益
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>肩負全臺（大臺北部分地區除外）超過700萬戶、約1,800萬人用水的台灣自來水公司(簡稱台水)，旗下管理龐大的供水基礎設施，包括476座淨水場、140個供水系統及逾6萬公里供水管線，每天供應約1,400萬噸自來水，面臨龐大供水設施的複雜管理挑戰、人力不足，加上能源成本上升，以及2050淨零排放目標，加上極端氣候的旱澇不均，讓水資源調度複雜且緊張，台水公司加速導入AI推動數位轉型，發展智慧水務提升供水韌性及滿足永續減碳的目的。</p> <p>台水近期在股東會上揭露其智慧水務最新進展，顯示AI應用已從單一個別場域試辦，逐步擴展至淨水操作、設備維護、水質監測、客服與工安管理等核心業務，並開始與能源管理及減碳策略整合，期望以此提升供水韌性、營運效率與永續績效。</p> <h2 dir="ltr" style="line-height:1.38;margin-top:18pt;margin-bottom:4pt;"><span style="color:#B22222;"><span id="docs-internal-guid-8779d73c-7fff-02c6-f1a8-e9cbb35c02be"><span style="font-size: 17pt; font-family: Arial, sans-serif; background-color: transparent; font-weight: 700; font-variant: normal; vertical-align: baseline; white-space: pre-wrap;">AI從改善單一設備，走向智慧水務平臺</span></span></span></h2> <p>台水的水源主要來自水庫，超過一半的水源來自水庫，其次是地面水也有3成，地下水約占1成，由於水源不同，原水品質差異巨大，原水需經過層層淨化處理，才能提供穩定的自來水品質，因此台水公司的AI轉型聚焦於「精準加藥」、「能源監控」及「設備預測維護」三項核心能力。</p> <p>在淨水操作方面，宜蘭清洲淨水場導入AI精準加藥系統後，每年約能省下超過15%的藥劑使用量；另方面，台水也在新竹第二淨水場透過能源監控系統與變頻控制，來降低抽水機耗能約9.6%，每年約可省下113萬元電費。</p> <p>在設備維護上，台水也導入智慧抽水機三維特徵診斷技術，能夠提前數週預測設備異常，將平均修復時間縮短40%以上，降低突發故障造成供水中斷停水的風險。</p> <p>除了淨水場營運，他們也將AI逐步延伸到其他業務，在水質管理方面，該公司建置AI大數據警示平臺，並結合去年啟用的「台水1號」智能水質採樣監測船，提高水質異常事件的偵測與應變效率。他們也將AI用於工安管理，運用AI影像辨識來協助工地安全管理。</p> <p>用戶服務方面也不落後，今年4月台水推出AI客服「水寶」，為24小時的AI客服，讓用戶能以地址或相關資訊，透過官網或App查詢用水資訊，例如停復水查詢、無水或漏水通報等等。</p> <p>上述作為顯示，台水正將AI從改善單一設備效率，逐步發展為串聯淨水、水質監測、設備管理至民眾服務的智慧水務平臺。</p> <h2 dir="ltr" style="line-height:1.38;margin-top:18pt;margin-bottom:4pt;"><span style="color:#B22222;"><span id="docs-internal-guid-8779d73c-7fff-02c6-f1a8-e9cbb35c02be"><span style="font-size: 17pt; font-family: Arial, sans-serif; background-color: transparent; font-weight: 700; font-variant: normal; vertical-align: baseline; white-space: pre-wrap;">曾文淨水場打造智慧淨水與低碳示範場域</span></span></span></h2> <p>在台水數位轉型過程中，肩負大臺南供水、日出水量13萬噸的曾文淨水場為相當重要的示範場域，為智慧淨水、低碳淨水的重要示範場域。</p> <p>台水規畫在曾文淨水場全面導入智慧整合控制系統，將AI結合淨水製程控制、抽水機智慧排程及能源管理，預估可降低15%電力消耗、減少10%至12%碳排放，同時降低約15%的加藥量。</p> <p>台水公司將分三階段驗證，目前處於人工模擬階段，今年8月將進入系統輔助控制，預訂2027年1月邁向全面自動控制。未來也將依循「試點、評估、擴展」模式，逐步推廣至寶山、鯉魚潭及湖山等大型淨水場。</p> <h2 dir="ltr" style="line-height:1.38;margin-top:18pt;margin-bottom:4pt;"><span style="color:#B22222;"><span id="docs-internal-guid-8779d73c-7fff-02c6-f1a8-e9cbb35c02be"><span style="font-size: 17pt; font-family: Arial, sans-serif; background-color: transparent; font-weight: 700; font-variant: normal; vertical-align: baseline; white-space: pre-wrap;">AI成為台水淨零轉型的利器</span></span></span></h2> <p>相較於過去著重提升營運效率，台水的智慧水務布局將AI與淨零轉型相結合。</p> <p>例如透過AI精準加藥、能源監控及智慧抽水機排程，以降低電力與藥劑的使用，同時藉此減少碳排放。預期可為曾文淨水場帶來減少10%至12%碳排放的效益，成為智慧淨水結合低碳營運的重要示範。</p> <p>目前台水也同步擴大再生能源布局。全臺已建置134處太陽光電設施，預估年減碳約4.1萬噸，規畫2026年至2028年先後新增加230處，年減碳量估計可提升至7.6萬噸。另外，台水也將小水力發電用於台東利嘉、雲林湖山淨水場、台中沙鹿配水中心等場域建置，未來將持續擴大應用。</p> <p>從近期台水揭露的智慧水務成果，顯示AI支撐大型公共基礎設施營運的重要能力。面對氣候變遷、供水韌性及淨零排放等多重挑戰，台水透過AI與數位轉型，建立效率、韌性與永續性的供水系統。</p> </div></div></div>
6/26 17:26作者蘇文彬https://www.ithome.com.tw/news/176908
Linux基金會擬推代理名稱系統，替AI代理建立可信身分基礎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Linux基金會宣布計畫推出<strong><a href="https://www.linuxfoundation.org/press/linux-foundation-announces-intent-to-launch-agent-name-service-to-establish-trusted-identity-infrastructure-for-ai-agents">代理名稱系統（Agent Name Service，ANS）</a></strong>，以既有網域名稱系統（Domain Name System，DNS）為基礎，為在網際網路上運作的AI代理建立開放式身分驗證與探索機制。該計畫鎖定AI代理進入企業生產環境後，跨組織、跨平臺執行任務時可能面臨的身分確認、權限管理、治理與互通性問題。</p> <p>Linux基金會解釋，ANS是把AI代理身分連結到既有DNS基礎設施，不另建一套專有查詢網路，也不由單一業者維護集中式登錄系統。其目標是讓系統管理者、開發者與使用者確認代理所代表的組織、已取得的權限，以及其程式碼與操作紀錄是否真實且未遭竄改。</p> <p>過去AI系統多半在單一服務內回應使用者請求，但企業開始評估讓AI代理呼叫外部工具、與其他代理互動，甚至代表組織執行部分流程。當代理橫跨不同服務運作，單靠平臺內部帳號或一般API憑證，未必足以處理代理來源、版本與信任邊界等問題。</p> <p>ANS是一種代理名稱解析、登錄與透明度日誌機制。DNS可將網域名稱解析為網路位址，ANS則希望將代理名稱解析為可驗證、帶有版本資訊的身分資料，並搭配憑證與只附加不覆寫的透明度日誌。</p> <p>Linux基金會表示，ANS框架也支援去中心化識別符（DID）與法律實體識別碼（LEI），讓組織能把既有身分系統納入同套驗證模型。</p> <p>目前ANS為正在推動中的開放標準工作，<strong><a href="https://www.ietf.org/archive/id/draft-narajala-ans-00.html">相關技術文件已出現在IETF Internet-Draft</a></strong>，但該狀態代表工作草案，尚未取得IETF正式標準地位。Linux基金會也表示，專案正在尋求企業、AI開發者、基礎設施業者與安全研究人員參與，後續技術儲存庫與貢獻方式將透過<strong><a href="https://github.com/agentnameservice">Agent Name Service的GitHub組織</a></strong>公布。</p> </div></div></div>
6/26 18:17作者李建興https://www.ithome.com.tw/news/176909
【資安日報】6月26日，執法行動瓦解惡意軟體Amadey、StealC、SocGholish活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><h3><strong>本日新聞焦點</strong></h3> <p>● <a href="https://www.ithome.com.tw/news/176902#Endgame">Operation Endgame圍剿惡意軟體Amadey、StealC、SocGholish</a></p> <p>● <a href="https://www.ithome.com.tw/news/176902#CUCM">思科整合通訊管理平臺Unified CM重大漏洞遭到利用</a></p> <p>● <a href="https://www.ithome.com.tw/news/176902#Klue">AI營收情資平臺Gong的用戶也受到Klue事故波及</a> <a id="Endgame" name="Endgame"></a> </p> <p> </p> <p><a href="https://www.ithome.com.tw/news/176899"><span style="font-size: 22px;"><strong>執法行動Operation Endgame瓦解惡意軟體Amadey、StealC、SocGholish的犯罪網路</strong></span></a></p> <p>掃蕩駭客從事勒索軟體攻擊、金融詐欺、攻擊關鍵基礎設施的執法行動Operation Endgame，最近出現新的斬獲。6月24日歐洲刑警組織（Europol）宣布，在6國執法機關與民間企業組織聯手，由歐洲刑警組織與歐盟刑事司法合作署（Eurojust）居間協調之下，成功在兩週的時間裡，破壞惡意程式SocGholish（FakeUpdates）、Amadey和StealC背後的犯罪基礎設施，癱瘓326臺伺服器、封鎖142個網域，查獲逾4,100萬歐元加密貨幣不法所得。<a href="https://www.ithome.com.tw/news/176899">詳全文</a> <a id="CUCM" name="CUCM"></a></p> <p><a href="https://www.ithome.com.tw/news/176885"><span style="font-size: 22px;"><strong>思科整合通訊管理平臺Unified CM重大SSRF漏洞出現攻擊活動</strong></span></a></p> <p><a href="/sites/default/files/images/HLbTxHNaUAA613r-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/HLbTxHNaUAA613r-63.jpg" style="width: 300px; float: right;" /></a></p> <p>本月初思科修補重大等級的伺服器請求偽造（SSRF）漏洞CVE-2026-20230，此漏洞存在於整合通訊管理平臺Unified CM與Unified CM SME，攻擊者可透過特製的HTTP請求利用，將檔案寫入底層作業系統，之後將權限提升為root。6月22日威脅情報公司Defused Cyber於社群網站X提出警告，他們觀察到有人利用這項資安漏洞，攻擊者利用概念驗證程式碼（PoC）試圖觸發弱點，該公司在誘捕系統當中，看到經過完整格式化（genuinely-formatted）的file://檔案寫入酬載。<a href="https://www.ithome.com.tw/news/176885">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176886"><span style="font-size: 22px;"><strong>CISA將思科整合通訊管理平臺Unified CM重大漏洞列KEV</strong></span></a></p> <p>日本電信業者KDDI於6月23日發布資安公告，表示該公司提供給網際網路服務商（ISP）的電子郵件系統遭到入侵，攻擊者利用該系統的第三方軟體漏洞得逞，波及6家ISP業者，可能有多達1,422萬筆用戶電子郵件帳號與密碼外洩。受此事件影響的ISP業者包括：BIGLOBE、Nifty、JCOM、STNet、Chubu Telecommunications，以及KDDI Web Communications，外洩資料可能包含電子郵件地址與密碼，甚至涵蓋已停用或長期未使用的用戶帳號。<a href="https://www.ithome.com.tw/news/176886">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176889"><span style="font-size: 22px;"><strong>PTC產品生命週期管理系統重大漏洞已出現攻擊行動</strong></span></a></p> <p>6月25日美國網路安全與基礎設施安全局（CISA）表示，他們已掌握CVE-2026-12569、CVE-2026-20230兩個漏洞遭到利用的情形，並要求聯邦機構於28日前完成修補。其中存在於PTC產品生命週期管理系統Windchill、FlexPLM的重大漏洞CVE-2026-12569，PTC於美東時間6月18日下午2時首度提出警告，要客戶根據他們提供的入侵指標（IoC）檢查環境，因為攻擊者可能會在Windchill登入資料夾裡，部署了可持續活動的JSP Webshell。<a href="https://www.ithome.com.tw/news/176889">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176878"><span style="font-size: 22px;"><strong>資安公司BeyondTrust遭到Klue事故波及，導致其Salesforce資料遭外洩</strong></span></a></p> <p>根據資安新聞網站SecurityWeek報導，資安公司BeyondTrust發布公告，表示他們在6月12日接獲Klue的通報後著手調查，確認攻擊者從他們的Salesforce系統當中，取得該公司的商業用戶的聯絡人，以及一般銷售相關的客戶資訊。由於遭到未經授權存取的資料涵蓋了企業聯絡資訊，BeyondTrust呼籲用戶應防範可能會衍生的網路釣魚及社交工程活動。BeyondTrust強調，員工帳號未遭到入侵，該公司的基礎設施、網路、產品及雲端環境也未被存取。<a href="https://www.ithome.com.tw/news/176878">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/176896"><span style="font-size: 22px;"><strong>產品體驗平臺公司Pendo、雲端通訊服務廠商8×8受Klue供應鏈攻擊影響，並引起資料外洩</strong></span></a></p> <p>本週產品體驗平臺公司Pendo與雲端通訊服務廠商8×8皆傳出受到Klue事故影響，Pendo於6月22日發布部落格文章表示，他們於6月14日接獲通報，未經授權的攻擊者入侵Pendo使用的Klue，並疑似取得存放於Salesforce平臺的資料。8×8則是向美國證交所提交8-K表單通報此事，他們於6月13日得知未經授權的攻擊者駭入與Salesforce整合的第三方應用程式Klue，從而得到存取權限，並從8×8的Salesforce系統竊得部分資料，相關的活動發生在6月11日至12日。<a href="https://www.ithome.com.tw/news/176896">詳全文</a> <a id="Klue" name="Klue"></a></p> <p><a href="https://www.ithome.com.tw/news/176898"><span style="font-size: 22px;"><strong>Klue供應鏈攻擊影響範圍擴大，AI營收情資平臺Gong的用戶也受到波及</strong></span></a></p> <p>上週Salesforce揭露Klue供應鏈攻擊，並宣布切斷Klue Battlecards應用程式與用戶的Salesforce系統連結因應。然而就在有許多受害公司證實他們的Salesforce因此出現未經授權存取的情形之際，6月19日AI營收情資平臺Gong表示，同時使用Klue進行整合的用戶，有可能受到這起事故波及。對此，Gong已撤銷所有與Klue整合的相關存取權限，停用與整合相關的權杖（token），封鎖Klue入侵指標（IoC）提及的4個攻擊來源IP位址。<a href="https://www.ithome.com.tw/news/176898">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176888"><span style="font-size: 22px;"><strong>Grafana Labs證實受TanStack供應鏈攻擊波及，GitHub儲存庫遭未授權存取</strong></span></a></p> <p>可觀測性平臺業者Grafana Labs於5月16日確認，該公司GitHub儲存庫遭未授權存取，攻擊者下載程式碼並提出勒索要求。後續調查指出，事件源自TanStack供應鏈攻擊中的Mini Shai-Hulud活動。Grafana Labs於5月27日完成內部調查，6月23日進一步發布事後檢討報告，說明事件限於GitHub環境，客戶正式環境與Grafana Cloud未受影響。該公司起初發現攻擊者在內部建置的GitHub Runner執行惡意程式碼，立即輪替憑證但有所遺漏而釀禍。<a href="https://www.ithome.com.tw/news/176888">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176891"><span style="font-size: 22px;"><strong>韓國全民創業計畫爆資安事故，5,000名晉級首輪的參賽者個資與創意外洩</strong></span></a></p> <p>由韓國政府主導的大規模創業海選計畫「全民創業」（모두의 창업），共吸引6.3萬人參與，但在6月17日傳出嚴重的個資外洩事件，根據韓國創業媒體《Unicorn Factory》報導，共有5,000名第一階段入選者的個資遭到外洩。這次資料外洩事故之所以曝光，是因為多名合格參賽者反映，他們突然收到來自特定顧問公司的行銷郵件，內容宣稱能協助獲取政府補助金，且郵件中精準掌握了參賽者的暱稱、合格狀態等非公開資訊。<a href="https://www.ithome.com.tw/news/176891">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/176858"><span style="font-size: 22px;"><strong>刑事局破獲跨境詐騙案，竄改來電顯示手法再受關注</strong></span></a></p> <p><a href="/sites/default/files/files/176858-63.jpg" target="_blank"><img alt="" src="/sites/default/files/files/176858-63.jpg" style="width: 300px; float: right;" /></a></p> <p>近日刑事警察局南部打擊犯罪中心宣布破獲跨境電信詐欺案，使電信安全議題再受關注。該集團利用特定科技設備與網路系統竄改來電顯示，鎖定海外華人行騙。全案經報請臺南、臺中地方檢察署指揮偵辦後，於去年底至今年初調查並攻堅，逮捕包含蔡姓系統商、陳姓及洪姓主嫌在內共11名嫌犯，目前已有5人裁定羈押禁見，其餘6人裁定高額交保。初步清查被害者逾30人，涉詐金額高達3千萬元。從技術層面來看，此案之所以得逞，關鍵是詐團在電信話務機房內利用網路系統進行「來電顯示竄改」。<a href="https://www.ithome.com.tw/news/176858">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176897"><span style="font-size: 22px;"><strong>微軟悄悄展延Windows 10個人版ESU到2027年10月</strong></span></a></p> <p>微軟本週低調透過官方部落格公告，針對個人用戶提供的Windows 10延伸安全更新（ESU），將免費展延一年到2027年10月12日。原先個人版ESU微軟只規畫一年，讓用戶能有更多時間轉移到Windows 11。但依據Windows 10的市佔，一旦無法獲得安全更新，這些電腦將成為為數龐大的駭客攻擊目標。根據StatCounter的統計，在所有搭載Windows作業系統的電腦上，仍有超過四分之一（26.4%）執行Windows 10。<a href="https://www.ithome.com.tw/news/176825">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176876"><span style="font-size: 22px;"><strong>Google發布Chrome 149穩定版更新，修補18項漏洞，4項屬於重大等級</strong></span></a></p> <p>Google發布Chrome電腦版瀏覽器新版本149.0.7827.196與149.0.7827.197，共納入18項資安漏洞的修補。本次發布的重大漏洞有4項，以CVSS嚴重性評分來看，最嚴重的是涉及3D圖形元件WebGL的兩項漏洞：CVE-2026-13028與CVE-2026-13032，CVSS評分都達到9.6分，且都屬於沙箱逃逸問題。次之是Blink的CVE-2026-13033，以及Autofill的CVE-2026-13038，CVSS評分都達到8.8分，為越界讀取與記憶體已釋放卻仍被使用（UAF）問題。<a href="https://www.ithome.com.tw/news/176876">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176867"><span style="font-size: 22px;"><strong>Linux網頁式管理工具Webmin修補XSS漏洞</strong></span></a></p> <p>開源伺服器管理工具Webmin近日發布更新，修補儲存型跨網站指令碼（Stored XSS）漏洞CVE-2026-22678。Webmin是廣泛使用的Linux伺服器網頁式管理工具，可透過瀏覽器管理帳號、服務、網路與系統設定，目前在全球大約維持100萬臺伺服器的安裝規模，因此相關漏洞可能影響眾多自行架設的伺服器環境，導致攻擊者藉此竊取工作階段資訊、憑證或其他敏感資料，冒用管理者帳號執行操作。2.640版之前的Webmin都受影響，用戶應更新至2.641版。<a href="https://www.ithome.com.tw/news/176867">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176749"><span style="font-size: 22px;"><strong>蘋果修補可讓駭客竊聽Beats藍牙耳機的漏洞</strong></span></a></p> <p>蘋果上週針對Beats無線耳機發布韌體更新，以修補可讓駭客竊聽音訊的漏洞CVE-2025-20701，本項漏洞讓位於藍牙傳輸範圍的攻擊者得以在還沒有配對、正在尋求配對指令的Beats耳機進行攻擊，得以從麥克風進行竊聽。該漏洞最早由德國資安業者ERNW去年揭露、位於聯發科子公司達發科技（Airoha）設計的藍牙音訊系統單晶片（SoC），攻擊者未經用戶同意即可配對藍牙音訊裝置，導致提升權限，過程中無需額外執行權限，也無需使用者互動。<a href="https://www.ithome.com.tw/news/176749">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176895"><span style="font-size: 22px;"><strong>Deno 2.9推出，針對軟體供應鏈安全的改進是特色之一</strong></span></a></p> <p>JavaScript與TypeScript執行環境Deno發布2.9版，新增實驗性的deno desktop工具，讓開發者可將JavaScript與TypeScript網頁專案封裝成桌面應用程式，開發者可用既有網頁技術建立Windows、macOS與Linux應用。供應鏈安全也是本次改版的重點，Deno 2.9預設啟用NPM套件最短發布時間限制，預設不安裝發布未滿24小時的NPM套件版本，降低開發者立即取得遭竄改套件的風險。<a href="https://www.ithome.com.tw/news/176895">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176883"><span style="font-size: 22px;"><strong>Uber Eats揭Agent購物助手技術架構，當中也說明護欄和安全執行方式</strong></span></a></p> <p>Uber Eats日前揭露Agent購物助手Cart Assistant背後的技術設計，談到當中採用的多種安全與品質控管，亦即AI護欄（Guardrails）。他們表示，這些防護機制，有助於購物助手區分雜貨購物請求與不受支援的意圖，抵禦提示注入及指令劫持的嘗試，並確保購物車決策與生成的文字皆以商品目錄資料、購物車狀態及受支援的產品功能為依據，目的是避免Agent產生看似合理、但實際上不適合的購物結果。<a href="https://www.ithome.com.tw/news/176883">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176755"><span style="font-size: 22px;"><strong>Cloudflare用AI代理輔助漏洞探索，以跨模型驗證過濾無效發現</strong></span></a></p> <p><a href="/sites/default/files/images/BLOG-3344_2-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/BLOG-3344_2-63.jpg" style="width: 300px; float: right;" /></a>資安業者Cloudflare近日公開其內部AI輔助漏洞探索架構，說明該公司如何將AI代理用於大規模程式碼安全檢查。Cloudflare的架構將AI代理視為執行特定任務的工作單元，底層模型可依階段替換。Cloudflare將整體流程分成兩部分，前段是負責掃描程式碼庫並產生候選漏洞的漏洞探索框架（VDH），後段則是負責去除重複項目、判斷風險與協助修補的漏洞驗證系統（VVS）。Cloudflare採用跨模型方式執行VDH與VVS，讓後段模型以獨立邏輯驗證前段模型提出的漏洞假設，避免由同一模型驗證自身推論。<a href="https://www.ithome.com.tw/news/176755">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/176879"><span style="font-size: 22px;"><strong>AI代理進入企業IT營運核心，Gartner指出AI治理將成為企業IT營運的新挑戰</strong></span></a></p> <p>Gartner預測未來IT營運將逐步朝向由AI代理（AI Agent）協助執行監控、分析與修復工作的模式發展，形成AI代理驅動的IT營運（Agentic IT Ops），但同時也帶來新的治理挑戰，必須結合人機協作（Human-in-the-loop）的治理機制。同時，企業可透過標準化的AI工廠架構，支援大規模「AI即服務」（AIaaS）的安全交付，為此，企業也必須從最初的架構設計階段開始，就考量主權資料合規性、大型模型的多樣性，以及多代理系統的可擴展性。<a href="https://www.ithome.com.tw/news/176879">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/176893"><span style="font-size: 22px;"><strong>F5併購SurePath AI，延續與擴張公司長期發展的網路層資安防護策略，強化AI治理能見度與安全性</strong></span></a></p> <p>從傳統應用遞送（ADC）轉型、如今專注發展多雲應用安全與多雲網路（MCN）的 F5，本週發表AI資安平臺F5 AI Security Platform（AISP），為企業提供持續保護使用AI的能力，涵蓋探查、安全性測試、治理、AI執行階段防護，以及可觀測性，也宣布併購資安新創公司SurePath AI。F5強調，由於SurePath的加入，F5 AISP能夠在不需直接整合應用程式的狀態下，透過網路即可探查現行企業環境採用的AI服務，識別包含影子AI在內的企業AI使用情況。<a href="https://www.ithome.com.tw/news/176893">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176877"><span style="font-size: 22px;"><strong>駭客平均4.32天就能入侵企業內網，臺灣企業資安防線為何一再被打穿？</strong></span></a></p> <p>【臺灣資安大會直擊】入侵一間公司需要多少時間？戴夫寇爾（DEVCORE）共同創辦人暨資深副總徐念恩指出，該公司自2017年推出紅隊演練服務以來，累計服務逾75間企業、執行超過150次演練，得到的結論是平均只需要4.32天就可能被打進內網，七成八專案核心系統遭控制、逾八成員工密碼可被破解。徐念恩認為，問題不只在漏洞，而是企業對風險的理解，仍停留在產品部署與合規稽核，與攻擊者真正的入侵邏輯存在明顯落差。<a href="https://www.ithome.com.tw/news/176877">詳全文</a></p> </div></div></div>
6/26 14:22作者周峻佑https://www.ithome.com.tw/news/176902
南非殯葬與保險巨頭遭駭導致服務中斷，改人工作業並證實個資外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>南非知名殯葬服務與保險機構AVBOB傳出遭網路攻擊，導致服務中斷與資料外洩。當地ITWeb等商業科技媒體於6月8日報導<strong><a href="https://www.itweb.co.za/article/malicious-actors-take-down-avbobs-digital-platforms/5yONP7Erd6QMXWrb">指出</a></strong>，AVBOB已確認該網路攻擊事件導致其部分服務中斷，並強調各單位仍維持營運，在這段受影響的期間，可透過人工方式辦理付款、理賠登記和喪葬安排等事項。</p> <p>隨後AVBOB進一步揭露事故細節，目前民眾進入<strong><a href="https://avbob.zero-data.co.za/">該公司官方網站</a></strong>，即可看見資料外洩公告的彈出視窗，當中說明這起事故的發現是在5月30日，公司隨即展開事件應變計畫，同時依據當地<strong>個資法（POPIA）</strong>規定，通報資訊監管局及所有受影響者。</p> <p>另外，該公司也發布<strong><a href="https://www.avbob.co.za/media/pdf/digital-systems-questions-and-answers.pdf">個資外洩事件問與答</a></strong>，當中提醒民眾留意要求提供密碼或OTP驗證碼的可疑通訊，定期更改密碼，並仔細核對銀行帳戶明細。同時進一步揭露外洩資訊可能包含姓名、聯絡方式、帳戶或保單資料。不過，目前尚未提及受影響人數，而根據該公司網站公告，該公司擁有近300萬名保戶、超過900萬名被保人。<br /> <a href="https://www.avbob.co.za/media/pdf/digital-systems-questions-and-answers.pdf"><img alt="" src="/sites/default/files/images/%E5%8D%97%E9%9D%9EAVBOB%E5%80%8B%E8%B3%87%E5%A4%96%E6%B4%A9Q%26A.jpg" style="width: 600px;" /></a></p> </div></div></div>
6/26 16:40作者羅正漢https://www.ithome.com.tw/news/176903