iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 21篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 05:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Oracle E-Business Suite最新重大漏洞，全球逾900臺執行個體曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://bsky.app/profile/shadowserver.bsky.social/post/3mpldeactwk2n" target="_blank">研究人員估計</a>，近日傳出遭到濫用的Oracle商務套件E-Business Suite（EBS）最新漏洞CVE-2026-46817，目前全球有將近900個Oracle E-Business Suite執行個體曝露於公開網際網路上，包括臺灣的2臺。</p> <p>CVE-2026-46817出現在Oracle EBS中Oracle Payments產品中的檔案傳輸元件，它能讓連網的攻擊者透過HTTP呼叫內部Java函數直接進行未授權的任意檔案讀取，即使他並非經過驗證的使用者。最終駭客可能藉此取得Oracle Paymentss執行個體的控制權。本項漏洞CVSS風險值達9.8，影響12.2.3至12.2.15版EBS。甲骨文公司已於今年5月的關鍵安全修補更新（Critical Patch Update，CPU）修補。</p> <p>威脅情報業者<a href="https://www.ithome.com.tw/news/176956" target="_blank">Defused Cyber本周警告</a>，已首度偵測到CVE-2026-46817的濫用活動。</p> <p>網路安全監控組織<a href="https://dashboard.shadowserver.org/statistics/iot-devices/map/?date_range=1&vendor=oracle&model=oracle+e-business+suite&data_set=count&scale=log&auto_update=on" target="_blank">Shadowserver基金會</a>本周統計全球曝露於網際網路上可被公開存取的Oracle EBS執行個體總計還有950臺，其中北美佔超過半數，亞洲還有超過200臺，其中臺灣還有2臺。但不確定這些機器是否已安裝更新。</p> <p>目前尚未有組織或企業受害的公開報導。但由於Oracle EBS資料重要性，研究人員呼籲用戶應儘速安裝最新版本，或是將伺服器限制僅由VPN或內網存取。</p> <p>這是Oracle商務系統被濫用的最新漏洞。去年Oracle EBS漏洞CVE-2025-61882被勒索軟體組織Clop大規模利用。多家知名組織受害，哈佛大學、賓州大學、達特茅斯學院、鳳凰城大學、《華盛頓郵報》、羅技（Logitech）及日立集團下的GlobalLogic。</p> <p>近日則有駭客組織ShinyHunters攻擊Oracle PeopleSoft 漏洞CVE-2026-35273。這幫駭客宣稱成功駭入超過百家組織。</p> </div></div></div>
7/2 12:32作者林妍溱https://www.ithome.com.tw/news/177037
Meta首設資料長，強化AI時代資料分析治理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.axios.com/2026/07/01/meta-alex-schultz-chief-data-officer" target="_blank">Axios周三（7/1）率先披露</a>，Meta已任命現任行銷長Alex Schultz為該公司首任資料長（Chief Data Officer，CDO）。<a href="https://www.linkedin.com/posts/alexorig_i-have-some-big-news-to-share-today-im-activity-7478103375448989697-ZH7f" target="_blank">Schultz隨後也在LinkedIn證實</a>，未來將負責協助Meta建立適合AI時代的資料分析與決策架構。</p> <p>Schultz表示，過去幾年他同時負責行銷與資料分析業務，隨著AI快速發展，他愈來愈確信資料、研究與實驗已成為企業最重要的策略能力，但傳統產生分析洞察的方法已逐漸逼近極限。未來他將協助Meta改造在AI時代學習與決策的方式。</p> <p>Axios指出，這項人事調整反映資料分析與資料基礎設施已成為Meta推動AI策略的關鍵能力。Schultz未來將持續管理Meta基礎設施分析團隊，並負責使用者研究、競爭情報及董事會分析報告等工作。</p> <p>至於行銷長將由負責消費者行銷與成長業務的Denise Moreno接任。Moreno已在Meta任職17年，長期負責產品成長與行銷，近年也協助Threads用戶數成長至5億以上。</p> </div></div></div>
7/2 12:54作者陳曉莉https://www.ithome.com.tw/news/177040
美國政府PQC遷移時程出爐，微軟規畫2029年完成產品與服務PQC部署
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國政府訂定後量子密碼學（Post-Quantum Cryptography，PQC）轉型時程後，<a href="https://www.microsoft.com/en-us/security/blog/2026/06/30/microsoft-advances-quantum-safe-security-as-the-risk-timeline-shifts/" target="_blank">微軟也在6月30日宣布加速推動旗下量子安全（Quantum Safe）計畫</a>，目標是在2029年前，完成產品與服務的PQC部署。</p> <p>微軟指出，美國與法國政府近期陸續明確提出量子安全政策時程，要求或建議高風險系統與安全產品在2030年前後導入量子安全機制。這反映出量子運算對現有密碼機制構成的風險，已不再只是長期技術議題，而是各國政府與企業未來數年內必須處理的資安與合規問題。</p> <p><a href="https://www.ithome.com.tw/news/176928" target="_blank">美國總統川普已於6月22日簽署行政命令</a>，要求聯邦機關在2030年底前完成後量子金鑰建立機制的部署，並在2031年底前完成數位簽章遷移。另一方面，<a href="https://www.reuters.com/legal/litigation/france-stop-certifying-products-without-quantum-safe-encryption-2026-06-16/" target="_blank">法國國家資訊系統安全局（ANSSI）也規畫自2027年起</a>，不再認證缺乏量子安全加密能力的安全產品，並建議企業自2030年起，只選擇具備量子安全能力的產品。</p> <p>微軟將PQC要求納入該公司安全未來倡議（Secure Future Initiative，SFI），並提出三項推動PQC的技術方向。第一是強化網路傳輸加密。微軟表示，該公司將讓重要端點預設採用TLS 1.3，先建立現代化傳輸加密基礎，待相關標準成熟後，再逐步導入混合式金鑰交換機制（hybrid key exchange）與後量子金鑰交換機制（post-quantum key exchange），作為PQC遷移的前置工作。</p> <p>第二是針對靜態儲存資料建立密碼學演算法的敏捷性（Crypto-Agility），使系統日後更換密碼學演算法時，不必重新設計整體架構。具體作法包括將加密設定移出應用程式、統一金鑰管理與輪替流程，並避免把演算法寫死在程式中。</p> <p>第三是更新軟體、裝置與服務背後的密碼學信任鏈（cryptographic trust chain），涵蓋身分驗證、數位簽章與憑證機制。微軟將從程式碼簽章、憑證簽發、硬體支援的金鑰保護、軟體更新流程，以及可稽核的簽章與簽發程序著手，讓這些關鍵信任環節日後能逐步導入PQC演算法。</p> </div></div></div>
7/2 11:43作者王珮瑤https://www.ithome.com.tw/news/177033
強化金融防詐！臺灣行動實名認證2026升級，三大電信與臺網聯手推動MID Plus，接軌GSMA國際標準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>網路身分安全不斷受到挑戰，金融防詐必須擴大至跨業聯防，使得電信行動身分識別的發展備受關注。<strong><a href="https://www.ithome.com.tw/news/127333">臺灣在2018年已推動Mobile ID</a></strong>（簡稱MID），但面對日益複雜的全球網路詐騙浪潮，國際間的全球行動通訊系統協會GSMA於2023年發展相關標準來因應，今年初我們也曾<strong><a href="https://www.ithome.com.tw/news/174936">報導GSMA Open Gateway</a></strong>的發展態勢，如今臺灣三大電信業者與臺灣網路認證公司（TWCA）聯手於7月1日宣布，啟動新一代MID Plus（MID+）行動身分認證服務，現場並有三家金融業者現身簽約記者會，共同響應推動臺灣科技阻詐。</p> <p>臺灣網路認證TWCA（以下簡稱臺網）指出，新一代MID Plus最重要的進展，即是讓臺灣正式導入國際GSMA Open Gateway標準。</p> <p>回顧過去，行動身分識別服務MID在臺灣已奠定長達8年的深厚基礎，去年身分識別次數更是突破5,000萬次大關，廣泛涵蓋公部門、金融業與一般產業的應用，顯示其已成為數位生活中不可或缺的信任基礎。</p> <p>如今隨著威脅態勢的轉變，相關防護勢必也要與時俱進，MID Plus在既有基礎上進一步引進國際標準GSMA Open Gateway API，在臺網扮演關鍵樞紐之下，由國內三家電信業者首波導入4支關鍵API，將驗證機制從靜態核對跨越至動態防護。</p> <p>具體而言，支撐MID Plus動態防禦機制的這4支關鍵API，包括：可幫助掌握用戶近期是否更換過SIM卡的「<strong>SIM Swap API</strong>」、可用於偵測跨境盜刷的「<strong>Device Roaming Status API</strong>」、可實現無感門號驗證的「<strong>Number Verification API</strong>」，以及用於資料一致性比對的「<strong>KYC Match API</strong>」。</p> <p>為了讓外界更理解這些技術，中華電信網路技術分公司總經理賈仲雍特別針對前兩項舉例說明：當用戶欲進行大額轉帳或綁定電子支付帳戶時，銀行可透過電信業提供的SIM Swap API，查詢該門號近期是否有換卡紀錄，藉此防範人頭戶冒名操作；在海外大額刷卡或提款場景中，則能透過電信業提供的Device Roaming Status API，即時核實用戶是否處於漫遊狀態，以攔阻境外盜刷風險。</p> <p>談及MID Plus的最大效益，遠傳電信資安長朱建國強調，由於這是國內三大電信業者共同提供的統一介接標準，將可廣泛協助需實名制的企業降低整合成本，並強化銀行開戶、交易檢核或其他數位產業的身分防護場景。他並表示，海外如英國、法國與巴西等地已有成功導入電信身分驗證服務的實例，臺灣電信業也將持續與國際接軌，打造更安全的數位環境。</p> <p><a href="/sites/default/files/images/（圖3）MID Plus_GSMA Open Gateway三大電信與金融業_.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89MID%20Plus_GSMA%20Open%20Gateway%E4%B8%89%E5%A4%A7%E9%9B%BB%E4%BF%A1%E8%88%87%E9%87%91%E8%9E%8D%E6%A5%AD_.jpg" style="width: 600px;" /></a></p> <p><a href="/sites/default/files/images/（圖4）MID Plus_GSMA Open Gateway三大電信與金融業_.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89MID%20Plus_GSMA%20Open%20Gateway%E4%B8%89%E5%A4%A7%E9%9B%BB%E4%BF%A1%E8%88%87%E9%87%91%E8%9E%8D%E6%A5%AD_.jpg" style="width: 600px;" /></a></p> <h2><strong>接軌國際技術規格，GSMA Open Gateway生態系成防詐利器</strong></h2> <p>關於國際電信安全的進展，台灣大哥大企業服務事業商務長朱曉幸有更詳細的說明，她指出，Open Gateway的緣起在於統一全球不同電信業者對API的定義，自2023年GSMA攜手Linux旗下CAMARA開源專案推動全球標準化API以來，目前國際間已有超過86個電信集團（涵蓋320多個行動網路）加入，占全球行動連接總數的81％左右。</p> <p><a href="/sites/default/files/images/（圖2）MID Plus_GSMA Open Gateway三大電信與金融業_.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89MID%20Plus_GSMA%20Open%20Gateway%E4%B8%89%E5%A4%A7%E9%9B%BB%E4%BF%A1%E8%88%87%E9%87%91%E8%9E%8D%E6%A5%AD_.jpg" style="width: 600px;" /></a></p> <p>在技術推進上，該生態系目前已提供69個標準化API專案，其中包含38個屬於發展成熟的API，而臺灣首波引進的4支API正是其中最核心的防詐利器。未來還將繼續引入更多關鍵API，例如Scam Signal、QoD Quality on Demand、OTP Validation，以及KYC Tenure等，將讓臺灣企業可以更快速地與國際資安防禦體系接軌。</p> <p><a href="/sites/default/files/images/（圖5）MID Plus_GSMA Open Gateway三大電信與金融業_.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89MID%20Plus_GSMA%20Open%20Gateway%E4%B8%89%E5%A4%A7%E9%9B%BB%E4%BF%A1%E8%88%87%E9%87%91%E8%9E%8D%E6%A5%AD_.jpg" style="width: 600px;" /></a></p> <h2><strong>解決金融防詐三大困境，跨業聯防構築數位信任</strong></h2> <p>MID Plus的推出，將大幅降低金融業與公私部門落實防詐與身分核實的技術門檻，助力各界快速升級數位防護力。</p> <p>過去金融業雖有相關需求，但技術落實往往需歷經艱辛。例如，為了強化身分驗證安全，臺灣中小企業銀行去年7月領先全臺推出SIM卡詐欺防護。臺企銀數位金融部協理蔡育呈表示，這項計畫從發想到上線耗時18個月，實作相當不易。</p> <p>因此，如今臺網能與國內三大電信業者合作顯得至關重要。未來在GSMA標準化的SIM Swap API串接下，銀行僅需向臺網發起查詢請求，即可一次完成三家電信公司的資料查詢，大幅降低銀行的開發與查詢成本。</p> <p>關於銀行防詐上的挑戰，第一銀行數位銀行處副處長戴紹琪分析過去面臨的三大困境。首先是使用者驗證困境，過去無法即時確認門號狀態，難以驗證OTP收取者是否有異動，或門號是否遭盜用、轉接；其次是資料查證困境，銀行無法偵測使用者真實位置且IP位置容易變動；最後則是時空異常困境，當用戶短時間內在多個城市移動時，銀行只知道資金流向、交易行為的「金流」，但電信業才看得到人怎麼移動的「人流」。玉山銀行科技長張智星同樣表示，該公司在防詐發展多年，並指出從單點到聯防生態，以及跨業防詐的重要性。</p> <p>不僅如此，政府對於這項發展展現了高度重視。在國家通訊傳播委員會主任委員陳崇樹、數位發展部政務次長楊佳玲及金融監督管理委員會副主任委員陳彥良的共同見證下，由身分識別產業、電信業與金融業代表共同參與啟動儀式，期望藉由公私協力並促進跨產業合作，從源頭建立起堅實防線，構築讓全民安心的數位信任生態系。</p> <p><a href="/sites/default/files/images/（圖7）MID Plus_GSMA Open Gateway三大電信與金融業_.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%967%EF%BC%89MID%20Plus_GSMA%20Open%20Gateway%E4%B8%89%E5%A4%A7%E9%9B%BB%E4%BF%A1%E8%88%87%E9%87%91%E8%9E%8D%E6%A5%AD_.jpg" style="width: 600px;" /></a></p> <p> </p> </div></div></div>
7/2 11:44作者羅正漢https://www.ithome.com.tw/news/177027
Claude Code被爆利用隱寫術暗中偵測中國用戶，Anthropic遭炎上緊急撤銷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Anthropic的Claude Code技術主管<a href="https://x.com/trq212/status/2072079729331777817" target="_blank">Thariq Shihipar周三（7/1）透露</a>，Anthropic今日（7/2）將自Claude Code移除一項針對中國市場的實驗性防禦機制。該機制近日遭揭露會暗中偵測中國時區、網域及AI實驗室，並透過隱寫術（Steganography）將結果藏在系統提示詞中回傳，以防範未授權轉售與模型蒸餾（Distillation），但因缺乏透明度引發開發者信任危機。</p> <p>根據一名Reddit用戶<a href="https://www.reddit.com/r/ClaudeAI/comments/1ujila1/anthropic_embedded_spyware_in_claude_code_and/" target="_blank">LegitMichel777的描述</a>，他藉由逆向工程在Anthropic於4月2日發布的Claude Code 2.1.91版本中發現，會在使用者改以Proxy或Gateway連線時，透過系統提示詞中的日期格式及Unicode字元差異，暗中傳遞環境資訊。</p> <p>此一內建於Claude Code的機制主要偵測使用者是否改用Proxy或Gateway、主機時區是否為中國，以及Proxy/Gateway網域是否位於特定清單中，包括DeepSeek、Moonshot、MiniMax、智譜、百川、或是零一萬物等中國AI實驗室。倘若符合條件，Claude Code便會秘密修改發送給模型的系統提示（System Prompt），例如將日期格式從2026-06-30改為2026/06/30；或者將"Today's date is"裡的撇號（'）替換成肉眼難察、但機器可識別的特殊Unicode字元（如’、ʼ、ʹ）。</p> <p>LegitMichel777認為，Anthropic在原始碼中針對該機制進行XOR加密混淆，且未於更新日誌中披露，屬於侵犯隱私的間諜軟體行為，也破壞了開發者的信任。</p> <p>這篇兩天前才張貼的Reddit文章旋即引來大量留言，有些人認為這只是常規的遙測及智慧財產權的保護，以預防中國業者蒸餾Claude模型，也有人認同LegitMichel777的看法，覺得Anthropic故意混淆程式碼，利用隱寫術修改提示詞，而且不公開說明的作法的確值得商榷。</p> <p>也有中國開發者抗議，稱他付費訂閱，也對開源社群有所貢獻，亦未執行蒸餾行為，卻因為時區而被當作二等公民防範。</p> <p>事實上，在Anthropic Claude的<a href="https://www.anthropic.com/supported-countries" target="_blank">地區支援頁面</a>上，就沒有中國、香港、澳門、北韓、伊朗及俄羅斯等國家或地區。</p> <p>其實<a href="https://www.anthropic.com/news/detecting-and-preventing-distillation-attacks" target="_blank">Anthropic在今年2月就曾發表文章</a>，指控中國3大AI實驗室針對Claude發動大規模的蒸餾攻擊，包括DeepSeek、Moonshot與MiniMax，總計利用約2.4萬個虛假的帳號，產生超過1,600萬次的對話，繞過區域限制，以非法榨取Claude的核心能力來訓練自己的模型。</p> <p>其中，創立於2021年、甫於2026年1月在香港交易所掛牌上市的MiniMax（名之夢）為中國最受矚目的AI獨角獸之一，它與Claude進行超過1,300萬次對話，鎖定自動化編碼、工具調用及編排功能，而且可在Anthropic推出新模型的24小時內轉移近一半的流量，瘋狂抓取最新模型的能力。</p> <p>Anthropic並未揭露在偵測到這些假帳號之後的作法，但業界的共同作法大抵是封鎖這些違反服務條款的帳號，或是攔截與降級流量。</p> <p>在Anthropic的作法遭到炎上之後，技術主管Shihipar出面坦承，這是一個在今年3月啟動的實驗，以防止帳號遭到未授權轉售商的濫用，以及防範模型被拿去蒸餾；不過之後團隊已經有了更強大、更有效的防禦機制，本來就打算要關閉該作法，已經合併程式碼變更，將會在隔天的改版更新中撤銷該機制。</p> </div></div></div>
7/2 12:13作者陳曉莉https://www.ithome.com.tw/news/177034
ColdFusion與Campaign Classic用戶注意！Adobe緊急修補7項滿分重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>6月30日Adobe為<strong><a href="https://helpx.adobe.com/security/products/coldfusion/apsb26-68.html">網頁應用開發平臺ColdFusion</a></strong>、<a href="https://helpx.adobe.com/security/products/campaign/apsb26-69.html">行銷自動化平臺Campaign Classic</a>發布更新，總共修補了12個漏洞，其中有7個是達到10分滿分的弱點而受到關注。Adobe將這次修補的優先程度列為第一級，認定相關的風險較高，建議用戶應在72小時內完成修補。</p> <p>這次修補的漏洞大部分都出現在ColdFusion，僅有一項影響Campaign Classic。其中有6項滿分漏洞出現在ColdFusion，被登記為CVE-2026-48276、CVE-2026-48277、CVE-2026-48281、CVE-2026-48316、CVE-2026-48282，以及CVE-2026-48283，這些問題涉及危險類型檔案不受限制上傳、輸入驗證不當、路徑遍歷，一旦被成功利用，攻擊者就能執行任意程式碼。</p> <p>最後一項滿分漏洞是CVE-2026-48286，影響Campaign Classic，原因是不正確的授權引起，同樣能被用於執行任意程式碼。</p> </div></div></div>
7/2 10:04作者周峻佑https://www.ithome.com.tw/news/177028
為因應AI加速漏洞挖掘，Adobe宣布將自7月起每個月發布兩次例行更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>軟體大廠Oracle<strong><a href="https://www.ithome.com.tw/news/175582">於4月底宣布</a></strong>，因AI顯著改變挖掘軟體漏洞的方法，他們決定調整發布例行更新的週期因應，如今也有其他公司跟進這樣的策略，採取更高的頻率發布軟體更新。</p> <p>6月25日Adobe<strong><a href="https://blog.adobe.com/security/protecting-customers-faster-how-adobe-is-responding-to-ai-accelerated-vulnerability-discovery">透過部落格文章表示</a></strong>，前沿AI模型與AI代理分析工具現在能以遠超傳統方法的速度，在大型程式碼庫中找出安全缺陷，不僅該公司將AI用於資安修補，攻擊者也同樣能取得這些前沿AI工具，導致漏洞公開揭露到實際利用的時間，正從數天急劇壓縮至數小時。對此，他們決定將例行更新的發布頻率從每月一次變為兩次，自7月14日起，Adobe將會在每月的第二及第四個星期二發布例行更新。該公司強調，未來的漏洞揭露標準、管理標準、公告格式仍然相同，他們也會對已被積極利用的漏洞發布例外更新。</p> <p>對此，該公司呼籲用戶提前因應新的更新週期，安排內部規畫修補的流程，用戶可訂閱資安通知服務，透過電子郵件接收資安公告發布的通知。</p> </div></div></div>
7/2 11:00作者周峻佑https://www.ithome.com.tw/news/177029
Cobalt滲透測試資料顯示，AI應用高風險漏洞占比為整體平均2.7倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>攻擊面安全與滲透測試服務業者<a href="https://www.cobalt.io/blog/the-ai-pentesting-pulse-decoding-the-2.7x-risk-multiplier-in-llm-deployments" target="_blank">Cobalt發布《2026年AI與滲透測試趨勢報告》（AI and Pentesting Pulse Report 2026）</a>，指出企業快速導入大型語言模型（LLM）與AI應用的同時，也導致模型整合、外部資料與工具連接、提示與輸出處理等環節成為新的攻擊入口，使AI應用在滲透測試中呈現較高的漏洞風險。</p> <p>Cobalt分析旗下攻擊性安全平臺的滲透測試資料發現，高風險漏洞平均占比約12%；而在AI與LLM應用的相關測試中，則有32%的漏洞被歸類為高風險，約為整體平均的2.7倍。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0702-cobalt-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源/Cobalt</span></span></p> <p>報告也顯示，過去一年來企業開始重新評估AI在滲透測試中的角色。Cobalt針對455名資安領導者與實務工作者進行調查，認為AI可完全滿足滲透測試需求的受訪者比例，從2025年的29%降至2026年的9%。另有78%的受訪者表示，這類自動化掃描工具曾未能找出重要漏洞。</p> <p>調查同時發現，47%的受訪者偏好採用混合式測試模式（hybrid testing model），將自動化測試用於非關鍵資產，關鍵系統則仍由資安專家執行測試與判讀，以兼顧測試覆蓋率與判斷準確度。研究人員認為，現階段AI可提升滲透測試效率，但仍無法取代專業資安人員的角色。</p> </div></div></div>
7/2 11:01作者王珮瑤https://www.ithome.com.tw/news/177030
Splunk Secure Gateway高風險漏洞可讓低權限使用者遠端執行程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資料分析與安全監控平臺業者<a href="https://www.ithome.com.tw/news/176577">Splunk在6月10日發布</a>修補多個漏洞的資安公告，其中存在Splunk Secure Gateway（SSG）的高風險漏洞CVE-2026-20251，CVSS風險分數為8.8，攻擊者只要取得低權限Splunk帳號，不需要擔任admin或power角色的權限，就可能透過SSG在受影響系統遠端執行任意程式碼。數週之後，資安研究公司ReactiveZero的研究<a href="https://github.com/reactivezero/CVE-2026-20251">員Fady Oueslati公開揭露</a>更詳細的漏洞成因、概念驗證攻擊鏈，以及更詳細說明的修復與緩解措施。</p> <p>Splunk Secure Gateway是Splunk用於連接Splunk平臺與行動應用程式、雲端服務的元件，<a href="https://nvd.nist.gov/vuln/detail/CVE-2026-20251" target="_blank">這項漏洞源自</a>SSG處理App Key Value Store（KV Store）資料的機制。當Python函式庫jsonpickle解析經過特製的JSON資料時，若未充分驗證內容，攻擊者可能藉由不安全反序列化問題執行程式碼。</p> <p>這項漏洞影響Splunk Secure Gateway 3.8.x、3.9.x與3.10.x多個版本，以及部分Splunk Enterprise版本。<a href="https://advisory.splunk.com/advisories/SVD-2026-0601" target="_blank">Splunk建議</a>使用者將Splunk Secure Gateway與Splunk Enterprise分別升級至3.8.67／3.9.20／3.10.6，以及10.0.7／10.2.4／10.4.0或後續版本，以修補這項漏洞；若短期內無法套用上述修補方式，Splunk建議用戶若不使用依賴Splunk Secure Gateway應用的功能，如Splunk Mobile、Spacebridge和Mission Control，可關閉或移除該應用程式，<a href="http://github.com/reactivezero/CVE-2026-20251" target="_blank">研究人員Fady Oueslati的建議</a>是停用非必要的Secure Gateway應用程式，並限制KV Store寫入權限。</p> </div></div></div>
7/2 11:18作者王珮瑤https://www.ithome.com.tw/news/177031
Microsoft Defender漏洞BlueHammer被用於勒索軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>4月初資安研究員Chaotic Eclipse（Nightmare-Eclipse）公布Microsoft Defender漏洞<strong><a href="https://www.ithome.com.tw/news/174902">BlueHammer</a></strong>，攻擊者若是成功利用，就能得到SYSTEM權限。同月微軟在<strong><a href="https://www.ithome.com.tw/news/175055">例行更新（Patch Tuesday）</a></strong>修補，並登記為CVE-2026-33825列管。4月下旬威脅情報公司Huntress<strong><a href="https://www.ithome.com.tw/news/175159">警告已遭利用</a></strong>，美國網路安全與基礎設施安全局（CISA）於4月22日<strong><a href="https://www.cisa.gov/news-events/alerts/2026/04/22/cisa-adds-one-known-exploited-vulnerability-catalog">也證實此事</a></strong>，將其列入已遭利用漏洞名單（KEV），如今該漏洞也被用於勒索軟體活動。</p> <p>根據<strong><a href="https://www.bleepingcomputer.com/news/security/cisa-windows-bluehammer-flaw-now-exploited-by-ransomware-gangs/">資安新聞網站Bleeping Computer報導</a></strong>，CISA於本週<strong><a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search=CVE-2026-33825&field_date_added_wrapper=all&field_cve=&sort_by=field_date_added&items_per_page=20&url=">更新KEV的內容</a></strong>，表示他們已掌握有人在勒索軟體攻擊利用CVE-2026-33825的情況，不過，CISA並未說明勒索軟體、駭客團體的名稱，或其他細節。截至目前為止，KEV已登記有8個遭到利用的Microsoft Defender漏洞，其中有2個被用於勒索軟體活動。</p> </div></div></div>
7/2 09:56作者周峻佑https://www.ithome.com.tw/news/177026
SharePoint高風險遠端程式碼執行漏洞遭到利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>5月下旬微軟公布一項SharePoint資安漏洞<strong><a href="https://www.ithome.com.tw/news/176154">CVE-2026-45659</a></strong>，一個月後出現實際的漏洞利用活動。7月1日美國網路安全與基礎設施安全局（CISA）表示，<strong><a href="https://www.cisa.gov/news-events/alerts/2026/07/01/cisa-adds-one-known-exploited-vulnerability-catalog">他們將此漏洞列入已遭利用漏洞名單（KEV）</a></strong>，聯邦機構<strong><a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-45659">必須在7月4日前</a></strong>完成修補，原因在於，他們已掌握有人積極利用的證據。</p> <p>CVE-2026-45659存在於SharePoint Server Subscription Edition、SharePoint Server 2019，以及SharePoint Enterprise Server 2016，問題源自可允許對不受信任資料的反序列化處理（Deserialization of Untrusted Data），使具備存取權限的攻擊者可透過網路執行任何程式碼，CVSS風險評為8.8分，微軟在5月份例行更新（Patch Tuesday）著手修補。</p> </div></div></div>
7/2 09:16作者周峻佑https://www.ithome.com.tw/news/177025
研究揭露AirDrop與Quick Share安全漏洞，允許駭客癱瘓分享功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://arxiv.org/abs/2606.26967" target="_blank">德國CISPA Helmholtz資訊安全中心上周揭露</a>，蘋果的AirDrop與Android陣營的Quick Share近距離檔案分享功能總計存在6個安全漏洞，駭客只要位於無線訊號範圍內，無需與使用者互動，即可能癱瘓AirDrop分享服務，或者繞過Quick Share的部分安全檢查。</p> <p>AirDrop是蘋果提供Mac、iPhone及iPad等裝置使用的近距離檔案分享功能；Quick Share則是Android陣營的近距離分享功能，由Google與三星分別在Android及Windows平臺上實作。它們的共同特性是，不必事先配對裝置，就能接受附近無線裝置發起的連線。根據統計，兩項功能合計部署於全球超過50億臺裝置，此外，<a href="https://www.ithome.com.tw/news/172391" target="_blank">Quick Share近期已開始支援與AirDrop互通</a>，也使近距離分享協定的安全性更受關注。</p> <p>研究人員藉由逆向工程在AirDrop上發現3個可在配對前觸發的漏洞，皆可能造成服務阻斷（DoS）攻擊。漏洞分別涉及HTTP路徑處理、Foundation框架的XML plist解析器，以及HTTP/1.1解析器，最終都可能導致蘋果負責裝置互通功能的背景服務sharingd崩潰。</p> <p>sharingd一旦崩潰，不只AirDrop會無法使用，也可能連帶影響AirPlay、Handoff、Universal Clipboard、Continuity Camera及NameDrop等依賴該服務的蘋果裝置互通功能。</p> <p>研究人員也在Quick Share上發現3個漏洞。其中兩個存在於Samsung Quick Share協定層，允許駭客在身分驗證前繞過工作階段安全檢查，或使部分控制訊息繞過加密保護；另1項漏洞則存在於Google提供給Windows電腦使用的Quick Share程式，屬於釋放後使用（use-after-free）記憶體漏洞，可能導致程式崩潰，並存在被進一步利用的風險。</p> <p>收到漏洞通報後，Google已完成Windows版Quick Share修補並支付漏洞獎金，蘋果亦已修補其中1項AirDrop漏洞，三星則仍在調查中。</p> </div></div></div>
7/2 05:22作者陳曉莉https://www.ithome.com.tw/news/177024
OpenAI發表基準測試GeneBench-Pro，讓AI模型評測更接近生物學研究任務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>OpenAI推出<strong><a href="https://openai.com/index/introducing-genebench-pro/">研究級基準測試GeneBench-Pro</a></strong>，用來衡量AI模型在計算生物學任務中處理雜亂資料、判斷分析方向，以及評估研究結果能否支持後續決策的能力。相較於測驗模型是否記得知識或能否依照固定流程完成任務，GeneBench-Pro更接近專業研究工作中常見的判斷情境，評估模型在模糊條件下選擇方法、修正假設與完成分析的能力。</p> <p>GeneBench-Pro是在GeneBench基礎上推出的新基準測試，任務涵蓋基因體學、定量生物學與轉譯醫學等範圍。OpenAI說明，GeneBench-Pro共有129個問題，分布在10個領域與21個子領域，包括統計遺傳學、族群遺傳學、功能基因體學、蛋白質體學、臨床與藥物基因體學、癌症基因體學與微生物基因體學等。</p> <p>每一道GeneBench-Pro題目都會提供模型一組接近真實研究情境的資料集、簡短實驗背景，以及和後續決策相關的估算目標。模型必須先探索資料，再選擇適合的分析方法，經過反覆實驗與修正後提出最終答案。OpenAI將這類能力稱為研究判斷力（research taste），指的是研究者在分析過程中判斷資料能支持什麼問題、初步診斷如何影響模型設定，以及何時需要調整原本計畫的能力。</p> <p>GeneBench-Pro試圖避開傳統長流程基準測試常見的問題，OpenAI指出，若題目使用歷史資料，可能會出現多種合理分析路徑，導致評分反映的是出題者偏好，而非模型能力，而若題目對數值結果不敏感，模型即使採用錯誤分析方法也可能通過。因此GeneBench-Pro以合成資料建構題目，由OpenAI掌握完整因果結構並直接模擬資料生成流程，並透過消融測試與解題軌跡分析，檢查題目是否存在捷徑或資訊洩漏。</p> <p>OpenAI也將其中82題交由外部領域專家審查，審查者包括研究生、博士後研究員、產業科學家與教授，檢視題目貼近真實研究情境的程度、目標答案的可判定性，以及方法與估算方式的合理性。OpenAI目前已在Hugging Face開源10道代表性GeneBench-Pro題目，並提供互動式介面供外部查看，並表示，後續將提供50題子集給Artificial Analysis進行第三方獨立評測。</p> </div></div></div>
7/1 19:00作者李建興https://www.ithome.com.tw/news/177023
隱藏來電號碼警示語音防詐奏效，7月起市話、行動隱藏號碼警示語音全面上路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>為提高民眾對於隱藏號碼來電的警覺心，NCC與三大電信聯手在今年3月試行在行動電話端導入隱藏來電號碼警示語音，因試行期間運作順暢、未接獲民眾負面反映，加上成效不錯，7月起將進一步擴大至市話端，以提高民眾對於詐騙電話的警覺心。</p> <p>新制上路後，民眾若是接到隱藏號碼來電時，會先聽到國語「這通是隱藏號碼電話，請注意」及臺語「這通是嘸號碼電話，要小心喔」語音提醒，協助即時提高警覺。若要跳過警示語音播放，可按任一數字鍵快速跳過，降低對民眾正常通話的影響。</p> <p>中華電信宣布從7月1日起率先將「隱藏號碼來話語音警示服務」擴及行動與市話用戶，由系統自動啟用且免費提供。不過部分市話交換機設備仍在調整中，將依後續升級逐步開放。</p> <p>中華電信表示，用戶可透過客服或專線查詢與設定相關功能，語音提示期間並不計費，並支援快速略過機制。</p> <p>NCC指出，根據統計，先前導入「異常話務阻斷」及語音警示等措施後，隱藏號碼詐騙案件已由高峰期每週93件降至近期個位數，顯示這項防詐措施已見成效。未來將持續與電信業者及警政單位合作，強化源頭防詐與通訊安全。</p> </div></div></div>
7/1 17:25作者蘇文彬https://www.ithome.com.tw/news/177021
【資安日報】7月1日，PChome旗下Pi拍錢包傳出資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><h3><strong>本日新聞焦點</strong></h3> <p>● <a href="https://www.ithome.com.tw/news/177011#PiPay">Pi拍錢包350萬用戶資料傳出遭竊</a></p> <p>● <a href="https://www.ithome.com.tw/news/177011#Nidec">勒索軟體Blackfield聲稱從上市公司尼得科超眾竊得內部資料</a></p> <p>● <a href="https://www.ithome.com.tw/news/177011#JLR">英國車廠Jaguar Land Rover事故疑俄羅斯駭客所為</a> <a id="PiPay" name="PiPay"></a></p> <p> </p> <p><a href="https://www.ithome.com.tw/news/177000"><span style="font-size: 22px;"><strong>勒索軟體Settra聲稱竊得PChome旗下Pi拍錢包350萬用戶資料</strong></span></a></p> <p><a href="/sites/default/files/images/35f335e608c89a3efa3c94ecc25a3d7d-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/35f335e608c89a3efa3c94ecc25a3d7d-63.jpg" style="width: 300px; float: right;" /></a></p> <p>近日Settra勒索軟體團體於暗網宣稱，他們在6月10日成功入侵網路家庭PChome，竊得102 GB內部資料，最早報導此事的聯合新聞網指出，這批資料內含350萬名Pi錢包用戶個資、內部系統架構、法遵與稽核文件、人資資料、長達9年的營運記錄，駭客聲稱竊得的資料內容相當詳細，並涵蓋公司內部資料，因此聯合新聞網指出，駭客竊得的資料，很可能並非只是單純的用戶資料庫內容。對此，PChome旗下的拍付國際發出聲明，表示他們確實收到勒索訊息，已啟動資安應變程序並著手調查。<a href="https://www.ithome.com.tw/news/177000">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177001"><span style="font-size: 22px;"><strong>PChome旗下拍付國際傳遭竊取個資，數發部將進行行政檢查</strong></span></a></p> <p>Settra勒索軟體團體聲稱竊取PChome旗下拍付國際的內部資料，其中包含350萬名Pi錢包用戶個資，引起臺灣社會高度關注。對此，數位發展部數位產業署表示，為維護民眾權益，他們將在7月1日辦理實地行政檢查，以釐清案情，並檢視業者對於個人資料保護的落實作為。數產署表示，他們將持續追蹤這起事故個資外洩的情形，嚴格督導拍付國際後續資安與管理作為，並表示經調查如發現有違反個資法情事，將會依法裁處。<a href="https://www.ithome.com.tw/news/177001">詳全文</a> <a id="Nidec" name="Nidec"></a></p> <p><a href="https://www.ithome.com.tw/news/177009"><span style="font-size: 22px;"><strong>勒索軟體Blackfield聲稱攻擊散熱解決方案廠商尼得科超眾，向日本母公司勒索200萬美元</strong></span></a></p> <p><a href="/sites/default/files/images/BlackField-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/BlackField-63.jpg" style="width: 300px; float: right;" /></a></p> <p>6月22日晚間上市公司尼得科超眾於股市公開觀測站發布重大訊息，表示部分伺服器遭勒索軟體攻擊。根據資安新聞網站Bleeping Computer報導，勒索軟體Blackfield近日宣稱這起事故是他們所為，將Nidec Chaun Choung Technology（ccic.com.tw）列於受害者網站，並表示已竊得超過2 TB資料，要求日本母公司尼得科在15天內向他們聯繫，否則他們就會出售或公開竊得資料。駭客在網頁上也開出價碼，任何人想要下載這批資料，需支付40萬美元，若要駭客刪除資料，則要支付200萬美元。<a href="https://www.ithome.com.tw/news/177009">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177004"><span style="font-size: 22px;"><strong>美國保險龍頭Aflac日本分公司遭駭，438萬用戶資料外洩</strong></span></a></p> <p>根據資安新聞網站SecurityWeek報導，美國家庭人壽保險公司（Aflac）於6月30日向美國證券交易委員會（SEC）提交8-K表單，指出日本子公司Aflac Life Insurance Japan（Aflac Japan）於25日察覺部分系統遭到入侵，並暫停部分系統運作等措施因應。駭客滲透該公司的時間點最早在6月15日，並從15日至25日期間多次存取部分系統。同一天Aflac Japan也在網站說明此事，並透露其中一個受影響的系統是Yoroso Net，估計約有438萬名客戶可能受到影響。<a href="https://www.ithome.com.tw/news/177004">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176980"><span style="font-size: 22px;"><strong>日產汽車證實美洲分公司的Oracle PeopleSoft系統被駭</strong></span></a></p> <p>日本汽車大廠日產證實，近日公司使用的Oracle PeopleSoft系統遭駭，導致美洲分公司資料外洩，內容包括員工薪資、稅務與人事檔案。北美日產向加州總檢察長辦公室（OAG）提交的資料外洩通知，事件發生在2026年5月27日到6月9日之間，影響範圍涵括美國、加拿大、墨西哥，以及巴西等分公司。攻擊者利用該公司的Oracle PeopleSoft漏洞，存取了屬於前任和現任員工的資訊，涵蓋員工個資、銀行帳號、薪資、稅務資料等財務資訊。<a href="https://www.ithome.com.tw/news/176980">詳全文</a> <a id="JLR" name="JLR"></a></p> <p><a href="https://www.ithome.com.tw/news/176994"><span style="font-size: 22px;"><strong>Jaguar Land Rover傳出遭俄羅斯駭客從事網路破壞攻擊</strong></span></a></p> <p>英國車廠Jaguar Land Rover（JLR）於去年9月遭遇網路攻擊，導致工廠停工長達1個月，損失估計達到19億英鎊，駭客組織Scattered Lapsus$ Hunters聲稱是他們所為，然而6月26日紐約時報引述知情人士的說法指出，這起事故的兇手可能是俄羅斯駭客，根據4名知情人士透露，微軟一直在追蹤犯案的俄羅斯駭客組織，並向JLR通報了入侵其系統的人員身分。駭客部署了新型勒索軟體，採用了資安專家前所未見的加密演算法，有人形容它「令人震撼」。<a href="https://www.ithome.com.tw/news/176994">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176998"><span style="font-size: 22px;"><strong>新型Mistic後門疑與勒索軟體存取掮客有關，偽裝端點安全工具元件躲避偵測</strong></span></a></p> <p>Broadcom旗下資安部門Symantec與Carbon Black威脅獵捕團隊揭露，新的隱匿型後門程式Mistic自2026年4月起，出現在多起疑似為了財務獲利而發起的攻擊行動，受害組織涵蓋保險、教育、IT與專業服務等產業。研究人員研判，這款後門可能與初始存取掮客（IAB）KongTuke有關，KongTuke並非以直接部署勒索軟體為主要目的，而是先在企業環境建立可長期維持的遠端存取管道，再將存取權轉售給勒索軟體合作夥伴或其他攻擊者。<a href="https://www.ithome.com.tw/news/176998">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177003"><span style="font-size: 22px;"><strong>Google發布Chrome 150，修補382項漏洞，15項屬於重大等級</strong></span></a></p> <p>Google發布Chrome瀏覽器新版本150.0.7871.46與150.0.7871.47，納入382項資安漏洞的修補。本次修補的重大漏洞有15項，影響元件涵蓋Extensions、GPU、WebUSB、Chromoting、ANGLE、Skia等瀏覽器核心與周邊功能。就漏洞類型來說，以記憶體已釋放卻仍被使用（UAF）問題居多，共11項。另外值得注意的是，本次有7項高風險漏洞獲得Google漏洞懸賞計畫的獎金，其中存在於GPU元件的UAF漏洞CVE-2026-13789，獲得的金額達3.6萬美元。<a href="https://www.ithome.com.tw/news/177003">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176999"><span style="font-size: 22px;"><strong>WinRAR發布7.23版，修補可能導致記憶體損毀與路徑遍歷攻擊的漏洞</strong></span></a></p> <p>WinRAR於6月30日發布新的7.23版，修補兩項漏洞，分別涉及記憶體安全問題，以及符號連結（Symbolic Link）處理機制缺陷，影響WinRAR、RAR與UnRAR等工具，用戶應儘速更新。第一項漏洞屬於堆積緩衝區溢位（Heap Overflow）問題，源自用於修復受損壓縮檔的修復磁碟區（Recovery Volume）機制；第二項漏洞與符號連結處理有關。WinRAR在解壓縮特製RAR壓縮檔時，有可能存在路徑遍歷（Path Traversal）攻擊的風險。<a href="https://www.ithome.com.tw/news/176999">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176996"><span style="font-size: 22px;"><strong>macOS權限提升攻擊鏈可暗中停用EDR、MDM代理程式</strong></span></a></p> <p>資安業者XM Cyber揭露macOS權限提升攻擊鏈，指出攻擊者不需管理員權限，也不必利用記憶體破壞或核心漏洞，就可能讓企業端點偵測與回應（EDR）、行動裝置管理（MDM）等代理程式停止運作。該攻擊鏈源於應用程式呼叫具備系統權限的背景程式的機制，背景程式會檢查連線來源的程式碼資料夾雜湊，確認對方是否為合法元件，攻擊者可濫用這段信任驗證流程，使惡意程式得以冒充合法元件，向具有系統權限的背景程式發送指令。<a href="https://www.ithome.com.tw/news/176996">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176981"><span style="font-size: 22px;"><strong>Veeam強化Microsoft 365資料保護與管理能力，提升Exchange與SharePoint備份效能</strong></span></a></p> <p>資料保護軟體業者Veeam近日發布8.5版Veeam Backup for Microsoft 365更新，針對效能與操作管理等兩大面向，提供一系列改進功能，協助企業提升M365環境的資料復原能力。在Exchange方面，透過同步與儲存庫（Repository）寫入的平行處理，可以讓大型Exchange信箱備份作業效率提高26%；在SharePoint方面，則藉由將非同步處理機制擴展到內容檢索和檔案快取操作，提升SharePoint備份與物件儲存庫效能。<a href="https://www.ithome.com.tw/news/176981">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176941"><span style="font-size: 22px;"><strong>SQL Server 2025的AI功能存在濫用風險，攻擊者可藉此竊取敏感資訊</strong></span></a></p> <p>資安公司SpecterOps近日便發布報告指出，微軟新一代資料庫平臺SQL Server 2025導入多項AI功能，存在可能遭攻擊者濫用的問題。存在問題的功能有3項，包括：用於連結外部REST端點的預存程序（stored procedure）sp_invoke_external_rest_endpoint功能，用於引進與建立外部AI模型的CREATE EXTERNAL MODEL指令，以及將文字內容傳送到外部AI模型的AI_GENERATE_EMBEDDINGS。<a href="https://www.ithome.com.tw/news/176941">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176955"><span style="font-size: 22px;"><strong>PostgreSQL資料庫管理工具pgAdmin 4發布更新，修補7項資安漏洞</strong></span></a></p> <p>PostgreSQL資料庫管理工具pgAdmin 4近日發布9.16版，修補可能導致洩漏憑證、遠端執行程式碼的7項資安漏洞，由於pgAdmin具備管理PostgreSQL資料庫的高權限，用戶應儘速更新，以降低風險。這次9.16版修補的7項漏洞中，CVSS嚴重性評分最高的是CVE-2026-12048，風險評為9.3分，為儲存型跨網站指令碼（XSS）問題，可能導致攻擊者藉此竊取憑證並從遠端操作資料庫。其次是評分為9.0的CVE-2026-12045與CVE-2026-12046。<a href="https://www.ithome.com.tw/news/176955">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176975"><span style="font-size: 22px;"><strong>群暉修補MailPlus Server重大漏洞，全球近2,100臺系統暴露於網路，面臨潛在攻擊風險</strong></span></a></p> <p>群暉（Synology）於6月26日發布資安公告，修補郵件伺服器套件MailPlus Server的三項漏洞，可能導致未授權存取檔案、拒絕服務、存取內部服務等問題，影響搭配DSM 7.2.1、7.2.2與7.3版的MailPlus Server套件，啟用此套件的用戶應儘速升級至已修補的4.0.1-21663、4.0.1-31663等版本。根據CVSS風險評分，最嚴重的是達到10分滿分的CVE-2026-13136，問題源自授權驗證機制缺陷，可能導致遠端攻擊者讀取或寫入任意檔案，並發動阻斷服務攻擊。<a href="https://www.ithome.com.tw/news/176975">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176940"><span style="font-size: 22px;"><strong>研究人員揭露WARP攻擊，可透過Reddit等內容誤導AI研究代理</strong></span></a></p> <p><a href="/sites/default/files/images/warp-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/warp-63.jpg" style="width: 300px; float: right;" /></a></p> <p>美國康乃爾大學揭露新型攻擊手法Web Agent Retrieval Poisoning（WARP），駭客可透過在Reddit及Wikipedia等使用者生成內容的平臺加入少量惡意內容，誤導AI研究代理（Deep Research Agent）的搜尋與分析結果，使AI將虛構產品、服務或投資標的，納入最終報告或推薦內容。研究團隊以176個真實查詢情境進行測試，這些系統在搜尋與整理資料時，有17%至23%的網址來自Reddit、YouTube、Facebook、Wikipedia、Medium、Quora等使用者生成內容，而有機會導致被誤導。<a href="https://www.ithome.com.tw/news/176940">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176944"><span style="font-size: 22px;"><strong>知名Chrome廣告攔截擴充套件暗藏遠端執行程式碼後門風險，逾千萬用戶恐受影響</strong></span></a></p> <p><a href="/sites/default/files/images/6a25e56dcfc3dbe221c636a1_blogimage_05-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/6a25e56dcfc3dbe221c636a1_blogimage_05-63.jpg" style="width: 300px; float: right;" /></a></p> <p>用於阻擋廣告的瀏覽器擴充套件，由於具備較一般擴充套件更大的權限，一旦相關功能遭到濫用，也將帶來更嚴重的風險。資安廠商Island近日發布報告，指出Chrome網站商店上安裝量逾1,100 萬次的廣告攔截擴充套件Adblock for YouTube，具備攻擊者透過控制伺服器端，在用戶端執行JavaScript程式碼的風險，可能導致攻擊者藉此存取用戶敏感資料、甚至冒用帳號等惡意行為。攻擊者只要在網站URL網址上加入youtube.com字串，就能讓擴充套件在各類網站上運作。<a href="https://www.ithome.com.tw/news/176944">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176978"><span style="font-size: 22px;"><strong>CI/CD供應鏈存在Cordyceps風險，GitHub Actions流程恐遭挾持</strong></span></a></p> <p>AI滲透測試平臺業者Novee Labs公開一類名為Cordyceps的CI/CD供應鏈風險，指出許多開源專案使用GitHub Actions建立自動化工作流程時，若未妥善處理外部輸入與執行權限，攻擊者可能藉由留言、拉取請求（Pull Request，PR）、分支名稱，或流程產生的檔案與輸出資料，讓自動化流程執行非預期指令，進而竊取憑證、操控儲存庫，甚至影響後續軟體發布。Cordyceps風險不一定會出現在單一設定檔中，而是常在多個流程串接之後出現。<a href="https://www.ithome.com.tw/news/176978">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/176837"><span style="font-size: 22px;"><strong>Anthropic推企業協作功能Claude Tag，並允許管理員配置權限與存取範圍</strong></span></a></p> <p>Anthropic近日發表全新企業協作功能Claude Tag，讓Claude以團隊成員身分加入Slack頻道，頻道成員只需標註@Claude，即可將任務交辦給它處理，而無須開啟獨立對話視窗。為降低企業資料外洩風險，Anthropic允許管理員針對不同Slack頻道設定獨立權限與工具存取範圍。例如，負責銷售的Claude不會與工程團隊共用記憶，也無法存取工程相關資料。管理員也能設定Token使用上限，並檢視Claude執行過的所有操作紀錄與任務來源。<a href="https://www.ithome.com.tw/news/176837">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/176993"><span style="font-size: 22px;"><strong>雅婷智慧推FedGPT主權AI平臺，瞄準企業地端部署需求</strong></span></a></p> <p>臺灣人工智慧實驗室與其策略合作夥伴雅婷智慧於6月30日，揭露今年度臺灣企業AI轉型洞察報告，從十多個產業收集562份問卷並進行分析，結果發現，只有15%的受試企業在不同部門使用AI，其餘85%仍在小規模試行或在評估中。調查也發現，高達72%的企業需要地端部署的AI。看準這股需求，雅婷智慧力推FedGPT主權AI平臺，符合資料自主、系統自主等主權AI需求，提供會議記錄和萬能秘書等2大亮點應用。<a href="https://www.ithome.com.tw/news/176993">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176987"><span style="font-size: 22px;"><strong>資安界如何改進漏洞修補優先順序？HackerCat教你快速搞懂CVSS、EPSS、KEV這三項指標</strong></span></a></p> <p>在今年的DevOpsDays活動上，以HackerCat外號活躍於資安社群的高于凱，針對資安界常見的通用漏洞評分系統（CVSS）、已知被利用漏洞清單（KEV）、漏洞利用機率預測評分系統（EPSS），由淺入深地解構這些核心指標，讓第一線的開發人員或資安新手更快速上手。他強調，CVSS是起點但不是終點，EPSS告訴你機率，而KEV則代表緊急性，同時企業也必須考量自身環境。<a href="https://www.ithome.com.tw/news/176987">詳全文</a></p> </div></div></div>
7/1 15:05作者周峻佑https://www.ithome.com.tw/news/177011
Anthropic公布科學研究專用開發環境Claude Science
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.anthropic.com/news/claude-science-ai-workbench" target="_blank">Anthropic周二宣布推出科學家專用的整合式AI開發環境Claude Science</a>，將研究人員過去最常使用、但分散四處的資料庫及研究工具套件，整合進單一AI協作環境中，並有可代為撰寫報告、檢查研究結果、設定運算資源等AI代理人工具。目前Claude Science已在macOS與Linux平臺開放Beta測試，供Claude Pro、Max、Team及Enterprise方案的用戶使用。</p> <p>研究人員現行必須在十幾種研究資料庫間來回，各有schema、檔案格式各異，需要不同資料處理流程和不同檢視器（viewer），還必須操作PubMed、Jupyter Notebook、R語言、各種終端等工具。Claude Science匯整這些工具於單一開發環境，內建60種專為基因組學（Genomics）、單細胞分析（Single-cell）、蛋白質組學（Proteomics）、結構生物學、化學資訊學（Cheminformatics）配置的專業技能與連接器。</p> <p>Claude Science也原生支援視覺化，可同時顯示程式碼及其圖表和手稿，直接原生顯示3D蛋白質結構、基因組瀏覽器軌跡（Genome Browser Tracks）與化學分子結構。研究人員可以用自然語言直接與AI討論細節，進行圖表或手稿的即時調整與標註，以便代理人加以修改用以發表。當代理人增加的圖表，也會清楚描述脈絡以供研究人員理解、驗證和日後複製。研究人員可要求代理人變更圖表呈現。</p> <p>蛋白質結構預測、基因組等大型數據分析往往需要設定運算環境。Claude Science接收這部份任務。它能自動擬定計畫，取得用戶確認後，透過SSH連結實驗室現有的高效能運算叢集（HPC）或Modal等雲端運算服務。它能在背景寫入並提交作業，自動將運算規模從單顆GPU擴展至數百顆。在跑運算時，Claude Science也會有檢視代理人來檢查輸出、標出錯誤引用來源，無法追溯來源的數字，或和底層程式碼不一致的數字，然後自動修正。研究人員也可以將計畫分叉兩種研究路徑進行比較。</p> <p>Claude Science可支援多種資料庫，包括UniProt、PDB、Ensembl、Reactome、ClinVar、ChEMBL、GEO等。當研究人員問它問題時，Claude Science會由代理人來查詢權威資源並合成答案。例如在生命科學領域，它使用Nvidia的BioNeMo Agent Toolkit來原生串聯Nvidia BioNeMo生命科學模型和函式庫。但研究人員也可以客製化，使Claude Science串聯自有或現有資料集、模型和研究流程管線。</p> <p>已有幾家頂尖研究機構在早期測試中，包括生技公司Manifold Bio、艾倫腦科學研究所（Allen Institute）及加州大學舊金山分校（UCSF）腦瘤中心。</p> <p>Anthropic也同步推出了學術與非營利組織的Team方案優惠，並針對「AI for Science」計畫提供最高3萬美元的點數補助。</p> </div></div></div>
7/1 16:27作者林妍溱https://www.ithome.com.tw/news/177018
愛立信：AI原生6G將更重視能源效率，AI已用於最佳化行動網路降低耗能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>隨著生成式AI、AI代理（AI Agent）、智慧眼鏡及各類智慧裝置快速發展，行動網路正面臨新的流量型態與營運需求。愛立信最新出爐的「行動趨勢報告」指出，AI除了帶動新的連網應用，也逐步成為電信網路最佳化的重要工具，6G網路將進一步採用AI原生架構，將使6G具備提升能源效率的能力。</p> <h2><strong><span style="color:#B22222;"><span style="font-size:20px;">AI開始導入行動網路最佳化</span></span></strong></h2> <p>愛立信表示，目前AI已逐步導入行動網路營運，用於提升網路效能、自動化管理及降低能耗，協助電信業者因應持續增加的資料流量與網路管理需求。</p> <p>台灣愛立信雲事業群協理魏逸國表示，隨著AI驅動型服務持續發展，行動網路對高效能與智慧自動化的需求同步提升，相關網路架構正加速導入AI能力，以提升營運效率、改善網路效能並降低能耗，逐步朝AI原生網路發展。</p> <p>根據愛立信在全球15項以上部署與試點成果，AI可使行動網路下行吞吐量最高提升20%、頻譜效率最高提升10%，高流量用戶承載能力最高增加一倍，覆蓋預測精度可達90%至95%，用戶定位精準度最高提升5倍。</p> <h2><strong><span style="color:#B22222;"><span style="font-size:20px;">AI應用改變網路流量型態</span></span></strong></h2> <p>AI應用正悄悄改變行動網路流量結構。</p> <p>過去行動網路流量是以影音串流等下載應用為主，但智慧眼鏡、自動駕駛及各類穿戴裝置更加依賴影像、感測資料及即時情境資訊的上傳。預估到2031年，全球行動網路的上行流量將比2025年增加3倍，促使行動網路持續提升上行傳輸能力、低延遲及即時處理能力，以支援更多AI應用。</p> <p>報告也指出，現在已有88%的企業預期未來AI解決方案將依賴即時資料，但僅18%的企業採用可提供安全、可靠且即時連線能力的行動網路技術，顯示電信業者仍有機會透過5G SA及5G Advanced提供支援企業AI應用的基礎設施。</p> <h2><span style="color:#B22222;"><span style="font-size:20px;"><strong>5G SA商用應用持續擴大</strong></span></span></h2> <p>報告還指出，目前全球5G用戶數已成長至31億，預期2031年底前將擴大至64億以上。含台灣在內的東北亞區2031年前後5G用戶滲透率將達到9成以上。隨著用戶規模持續增加，5G已成主流行動連取技術，2025年底5G已承載全球近50%的行動數據流量，2031年底將提升至85%。</p> <p>另外，5G獨立組網（5G SA）正從早期部署逐步進入規模化商用。</p> <p>目前全球約390家推出商用5G服務的電信業者中，已有超過90家部署5G SA，預估至2031年，5G SA用戶將達39億，占整體5G用戶約6成。</p> <p>至於建立在5G SA上的差異化連接服務（Differentiated Connectivity）也快速增加，目前全球已有超過80項商用服務，年成長率達58%，應用範圍已從高密度場館擴展至企業專網及公共安全等任務關鍵型通訊場景。</p> <h2><strong><span style="color:#B22222;"><span style="font-size:20px;">AI原生6G將能源效率列為重要能力</span></span></strong></h2> <p>除了5G持續發展，6G標準化工作也已展開。</p> <p>愛立信預估，首批可實施的6G技術規範將於2028年底至2029年初完成制定，2030年前後有機會展開首波商用服務。</p> <p>6G預期將會建立在AI原生架構之上，初期部署將延續AI驅動5G系統的發展成果，並進一步將AI納入網路架構設計。除了整合感測與通訊（ISAC）、地面與衛星網路整合等能力外，能源效率也被列為AI原生6G的重要能力之一。</p> <p>愛立信認為，未來AI將不只是運行於網路上的應用，而是成為行動通訊基礎設施的一部分，在支援更多AI服務的同時，也協助提升網路營運效率與能源使用效率。</p> </div></div></div>
7/1 16:44作者蘇文彬https://www.ithome.com.tw/news/177012
Next.js 16.3大幅改善打包工具Turbopack記憶體用量與建置快取
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Next.js團隊<strong><a href="http://nextjs.org/blog/next-16-3-turbopack">釋出前端框架Next.js 16.3預覽版</a></strong>，開放開發者透過npm套件管理工具測試新版功能。官方特別強調16.3版本的Turbopack相關更新，包括降低開發期間的記憶體占用、讓正式建置流程可透過實驗設定使用檔案系統快取，並加入以Rust移植的React編譯器整合，以減少大型Next.js應用在開發與建置時的系統負擔。</p> <p>Turbopack是Next.js近年開發的新一代打包工具，藉由增量編譯，重用先前完成的處理結果，讓開發期間的編譯時間主要取決於變更範圍，而不是每次都重新處理未變動的檔案與路由內容。雖然這種做法有助於減少處理器負擔，但過去也會把較多編譯結果留在記憶體中。當開發者同時開啟編輯器、型別檢查工具、程式檢查工具，以及近來常見的程式開發代理工具時，記憶體壓力會更明顯。</p> <p>Next.js團隊表示，過去3個月已針對Turbopack記憶體使用進行調整，包括壓縮資料結構、減少不必要的資料保留，並新增記憶體快取淘汰機制。新版預設會搭配檔案系統快取，把部分曾經計算過的結果保存在磁碟，讓Turbopack不必在記憶體中持續保留所有曾開啟路由的快取內容。</p> <p>根據官方測試，在編譯50條路由後，Vercel儀表板的記憶體用量由21.5GB降至2GB，nextjs.org則由4,600MB降至840MB。不過官方也說明，實際改善幅度會受到應用程式規模、開發期間觸及的頁面範圍，以及工作階段執行時間影響，因此不宜直接視為所有專案都能達到相同降幅。</p> <p>新版也讓Turbopack的檔案系統快取可用於正式建置流程。該功能先前已用於開發模式，Next.js 16.3則可透過實驗設定，讓next build重用先前完成的計算結果，縮短後續編譯靜態資源所需時間。官方提到，持續整合環境可保留產生的.next目錄，讓下一次建置啟動時讀取既有快取，再處理新的變更。</p> <p>Next.js 16.3預覽版也加入以Rust實作的React編譯器實驗整合。Next.js 16.0已支援React Compiler，但先前主要仰賴Babel轉換流程。官方表示，在大型React應用的早期測試中，原生編譯器可帶來約20%到50%的編譯時間改善，但這項功能目前仍需透過實驗設定啟用。</p> </div></div></div>
7/1 15:27作者李建興https://www.ithome.com.tw/news/177006
Anthropic稱Fable 5出口管制解除，7月1日恢復全球上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.anthropic.com/news/redeploying-fable-5" target="_blank">Anthropic周二（6/30）宣布</a>，美國政府已解除對Claude Fable 5的出口管制，Claude Fable 5將自7月1日起重新開放全球用戶存取；至於Claude Mythos 5，則已於6月26日獲美國政府核准，先恢復部分美國組織使用，Anthropic仍將與政府協調，逐步擴大Glasswing計畫合作夥伴的存取權限。</p> <p>Claude Mythos為Anthropic針對高階資安防禦任務所開發的模型，最早於今年4月<a href="https://www.ithome.com.tw/news/174898" target="_blank">以Claude Mythos Preview形式</a>推出，透過Glasswing計畫（Project Glasswing）提供少數資安防禦者及關鍵基礎設施供應商使用。Anthropic在6月9日同步發表<a href="https://www.ithome.com.tw/news/176499" target="_blank">Claude Fable 5</a>與Claude Mythos 5，兩者採用相同的底層模型，但Fable 5加入安全防護機制並對外開放；Mythos 5則解除部分安全限制，依舊僅提供參與Glasswing計畫的受信任合作夥伴使用。</p> <p>不過，根據路透社（Reuters）及Axios等美國媒體報導，Amazon研究人員曾向美國政府通報Claude Fable 5的安全疑慮，引發白宮與美國商務部關切。<a href="https://www.ithome.com.tw/news/176598" target="_blank">美國政府隨後於6月12日</a>針對Claude Fable 5與Claude Mythos 5實施出口管制，要求限制外籍人士存取這兩款模型。由於Anthropic當時無法即時驗證所有使用者國籍，因而直接暫停Fable 5與Mythos 5的所有存取權限。</p> <p>Anthropic本周解釋，Amazon研究人員所提出的方法，是透過特定提示繞過Claude Fable 5的資安安全分類器，使模型辨識部分軟體漏洞，並在個別案例中產生漏洞利用方式的示範程式碼。然而，該方法並未取得Claude Mythos 5層級的高階資安能力，而是Claude Fable 5安全分類器的「邊界案例」（Edge Case），亦即僅在特定情境下才能繞過部分安全防護，而非普遍存在的漏洞。</p> <p>Anthropic指出，就算是Claude Opus 4.8、GPT-5.5及Kimi K2.7等模型也能完成類似任務，因此Amazon提出的方法並未讓Fable 5具備Claude Mythos 5等級能力。儘管如此，Anthropic仍已更新Fable 5的安全分類器，以降低相關風險。</p> <p>此次事件也促使Anthropic決定與Amazon、Google、Microsoft及Glasswing計畫合作夥伴共同建立AI越獄評估框架（AI Jailbreak Evaluations），以作為未來評估模型安全事件的共同標準。該公司認為，目前業界對於AI越獄的定義與嚴重程度缺乏一致標準，容易因個別案例而產生不同解讀，因此希望建立更客觀、可重複驗證的評估機制。</p> <p>Anthropic表示，新的評估框架將檢視越獄手法是否真正提升模型能力，而不只是繞過部分安全防護，並評估其攻擊價值、重現穩定性及現實危害，避免模型部署或存取決策僅取決於單一漏洞通報。</p> <p>自7月1日起，Claude Fable 5將重新開放全球用戶透過Claude Platform、Claude.ai、Claude Code及Claude Cowork存取，AWS、Google Cloud及Microsoft Foundry上的服務也會儘快恢復。至於Claude Mythos 5，則仍限Glasswing計畫的受信任合作夥伴使用，Anthropic將持續與美國政府協調擴大存取範圍。</p> </div></div></div>
7/1 15:48作者陳曉莉https://www.ithome.com.tw/news/177013
數發部揭主權AI策略：算力中心必須在臺灣、模型需具備3大理解力，另看好主權AI服務出海
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>數位發展部部長林宜敬昨日（6月30日）出席主權AI峰會時，揭露數發部推動臺灣主權AI的整體策略。首先是建立臺灣境內的AI算力中心；再來，模型必須符合臺灣情境，數發部要透過AI評測中心（AIEC）檢驗模型是否具備臺灣語言、社會與價值觀等3大理解能力；第三，要推動符合臺灣情境的金融、法務等垂直領域大語言模型；第四，將臺灣的硬體、資安、資料治理與模型訓練能力，打包成主權AI解決方案，輸出到東南亞與中東等他國市場。</p> <h2><strong>境內算力成主權AI第一步，數發部用BOO案引導民間投資</strong></h2> <p>林宜敬先是點出，主權AI對臺灣有兩層意義，一是AI模型必須具備臺灣觀點，能熟悉臺灣語言、社會環境與價值觀；二是AI算力中心必須設在臺灣境內，因為「算力中心在哪裡，就受哪個國家的法律管轄。」</p> <p>他說明，過去數發部在打詐時就面臨類似問題，例如Facebook伺服器位於美國或新加坡，Line伺服器位於日本，臺灣政府法律難以直接管轄。他認為，未來AI的重要性將比社群媒體更高，因此臺灣若要發展可信賴、可治理的AI，就不能只仰賴境外算力，而必須建立自己的AI算力中心。</p> <p>然而，臺灣現有政府AI算力仍不足。以Nvidia H100等級以上GPU來看，國科會國網中心目前約有2,000多片GPU，預計2027年6月將增加到4,500多片；數發部目前只有40片GPU，預計將再採購，明年6月可達140片。</p> <p><img alt="" src="/sites/default/files/images/%E7%AE%97%E5%8A%9B%E4%B8%AD%E5%BF%83.JPG" /></p> <p>林宜敬坦言，這樣的算力規模對臺灣來說「絕對不夠」。</p> <p>因此，數發部改用<a href="https://moda.gov.tw/press/press-releases/19508">促參條例推動AI算力中心BOO案</a>，也就是由民間投資興建、擁有並營運算力中心。林宜敬表示，數發部已將AI算力中心納入重大公共建設，與財政部合作，讓參與興建算力中心的業者可享有5年免營利事業所得稅等優惠。</p> <p>他透露，AI算力中心BOO案目前已開始收案審理，數發部預估，到今年底投資金額將超過1,000億元，可提供2萬片以上Nvidia高階GPU算力。相較之下，數發部一年預算約100億元，因此需仰賴民間資金投入，來擴大境內AI算力。</p> <p>不過，這些民間投資的算力並非只供商業使用。林宜敬表示，在BOO案中，數發部會保留一定比例GPU算力，提供政府、官方與學術研究單位免費或優惠使用。這也說明，政府希望透過促參制度，把AI算力建設從單純政府採購，擴大成民間投資的公共基礎設施。</p> <p><img alt="" src="/sites/default/files/images/BOO.JPG" /></p> <h2><strong>主權AI模型要懂臺灣語境，AIEC提出3大測驗範圍、已評測140多種模型</strong></h2> <p>除了算力，林宜敬也強調，臺灣需要具備符合本土價值觀的AI模型。所謂臺灣觀點，包含3個面向：熟悉臺灣語言、熟悉臺灣社會環境，以及具備臺灣價值觀。</p> <p>數發部的做法是，透過近年成立的AI評測中心AIEC，來把關模型品質。目前，AIEC已評測全球140種AI模型，涵蓋來自美國、中國、法國以及臺灣本土的模型，評測內容分成3類。</p> <p>第一類是臺灣語言能力，題目包含過去5年的臺灣高中學測國文科題目。第二類是臺灣社會理解能力，包含過去5年臺灣高中學測社會科題目。第三類則是臺灣價值觀，數發部整理出50題「臺灣藍綠白政黨有共識，但與中國共產黨沒有共識」的題目，來測試模型。</p> <p>林宜敬舉例，像是「二次大戰期間，中國戰場的主力是國軍還是共軍」，在臺灣主流認知中答案是國軍，但中國官方敘事並不同。另一類題目則是民主制度中的制衡機制，例如政治上的check and balance是否是好的制度。林宜敬表示，民主國家普遍認為制衡是好的制度，但中國官方對此有不同詮釋。</p> <p>也就是說，AIEC評測不是只看模型會不會繁體中文，而是要檢驗模型是否理解臺灣社會、歷史敘事與民主價值。這對主權AI很關鍵，因為模型雖能用繁體中文回答，卻套用其他國家的政治敘事、法律制度或社會脈絡，就不一定適合臺灣的政府、教育、金融與法務等場景。</p> <p>林宜敬坦言，在AIEC的測試中，臺灣模型一開始表現並不好。但後來，國內團隊開始針對這些能力改善模型，目前，國科會開發的TAIDE已進入前40名；另一家臺灣新創亞太智能訓練的模型，則名列第五。他補充，後者是以Google Gemma模型為基礎，再透過蒸餾技術訓練而成，表現相當好。</p> <h2><strong>金融與法務模型成第一批主權AI應用場景</strong></h2> <p>除了通用模型評測，數發部也推動垂直領域的本土化大語言模型（LLM）。林宜敬舉例，中信金先前就發起金融大型語言模型計畫，找來16家大型銀行共同集資，並委託臺灣本土AI公司訓練。</p> <p>這項計畫的目標，是要訓練能依照臺灣金融法規回答問題的模型。換句話說，使用者詢問金融相關問題時，模型不能用美國、歐洲或中國法規回答，而是要理解臺灣金融監理制度、臺灣金融用語，以及臺灣金融機構內部實務。</p> <p><img alt="" src="/sites/default/files/images/%E9%87%91%E8%9E%8D(2).JPG" /></p> <p>為確認模型是否達標，金管會將負責出題，題目涵蓋保險與銀行等領域，再由數發部AIEC進行評測並公布報告。林宜敬表示，既然是臺灣自己做的金融AI模型，理論上就應該在臺灣金融題目上做到第一名。</p> <p>另一例是法務大語言模型。林宜敬表示，法務部也有類似計畫，由法務部出資，委託臺灣業者訓練模型，目標是讓模型依照臺灣法律回答問題，而不是用英美法系邏輯回答。</p> <p><img alt="" src="/sites/default/files/images/%E6%B3%95%E5%8B%99.JPG" /></p> <p>這套模型初期將提供給法務部檢察官使用；若效果不錯，接下來會擴大給法務部其他同仁，最終目標則是開放給全臺灣律師使用。林宜敬甚至指出，未來若採訂閱制，一個月收費約1,000元，也具市場潛力。</p> <p>這代表，主權AI不只是政府內部工具，也可能形成專業AI服務市場。</p> <h2><strong>臺灣不只賣AI伺服器，還能輸出主權AI整套方案</strong></h2> <p>林宜敬也指出，主權AI不只是臺灣自己的需求，也可能成為國際商機。因為，世界各國都希望發展自己的主權AI，而主權AI的定義，本來就包含不完全受美國或中國等大型強權控制。</p> <p>在他看來，臺灣是主權AI的理想提供者。這是因為，臺灣本是科技強國，也具備民主、自由與可信賴的形象，對東南亞或中東國家來說更是如此。</p> <p>他舉例，目前已有臺灣大型硬體公司與大型軟體公司合組新公司，在東南亞與中東等部分國家簽署數億美金的MOU，來提供主權AI相關服務。林宜敬表示，過去許多國家向臺灣購買AI伺服器，但現在，這些國家也會進一步詢問，臺灣能否順便協助解決相關的軟體問題。</p> <p>也因此，他看好臺灣主權AI服務出海的潛力。結合硬體的GPU、伺服器，軟體的資料治理、資安、主權AI模型訓練與評測服務，以及資料中心管理能力一起輸出。</p> <p><img alt="" src="/sites/default/files/images/%E4%B8%BB%E6%AC%8AAI%E8%A7%A3%E6%B1%BA%E6%96%B9%E6%A1%88.JPG" /></p> <p>他以馬來西亞為例，若臺灣協助馬來西亞訓練主權AI模型，就不能只提供通用模型，而要理解當地宗教、文化與社會規範。馬來西亞是穆斯林人口占多數的國家，模型可能不應提供豬肉食譜，也不能在言語上冒犯先知穆罕默德。未來，這類模型評測也可由當地政府出題，再交由臺灣AIEC協助評測。</p> <p>林宜敬所談的主權AI商機，並不是單純把臺灣模型賣到國外，而是協助其他國家建立符合其語言、文化、法律與價值觀的AI模型和算力基礎設施。</p> <p></p> </div></div></div>
7/1 15:59作者王若樸https://www.ithome.com.tw/news/177017
勒索軟體Blackfield聲稱攻擊散熱解決方案廠商尼得科超眾，向日本母公司勒索200萬美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>6月22日晚間上市公司尼得科超眾<strong><a href="https://www.ithome.com.tw/news/176807#Nidec">於股市公開觀測站發布重大訊息</a></strong>，表示部分伺服器遭勒索軟體攻擊，導致部分資訊系統無法正常運作，其中包括了ERP。日本母公司尼得科（原日本電產）於24日<strong><a href="https://www.nidec.com/files/user/www-nidec-com/corporate/news/2026/0624-01/260624-01jp.pdf">證實此事</a></strong>，強調尼得科超眾的網路系統建置並獨立於集團之外，母公司與集團其他公司未受波及，亦未有個資或機密資訊外流的情形。如今有駭客組織聲稱犯案，並要求尼得科限期進行談判。</p> <p>根據<strong><a href="https://www.bleepingcomputer.com/news/security/blackfield-ransomware-asks-nidec-corporation-for-2-million-ransom/">資安新聞網站Bleeping Computer報導</a></strong>，勒索軟體Blackfield宣稱這起事故是他們所為，將Nidec Chaun Choung Technology（ccic.com.tw）列於受害者網站，並表示已竊得超過2 TB資料，要求尼得科在15天內向他們聯繫，否則他們就會出售或公開竊得資料。駭客在網頁上也開出價碼，任何人想要下載這批資料，需支付40萬美元，若要駭客刪除資料，則要支付200萬美元。想要駭客將期限延長，一天的代價是5,000美元。駭客上傳了這批資料的目錄結構，以供買家參考。不過，該新聞網站無法確認資料的真實性。</p> <p>值得留意的是，這並非尼得科集團首度遭到勒索軟體攻擊。2024年10月，該集團的越南分公司Nidec Precision資料外洩，勒索軟體8Base和Everest聲稱竊得逾5萬筆敏感資料。</p> </div></div></div>
7/1 14:36作者周峻佑https://www.ithome.com.tw/news/177009
Google關閉Tenor API，第三方GIF搜尋生態重新洗牌
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google周二（6/30）正式關閉Tenor API服務，結束這項已運作多年的第三方GIF搜尋介面。未來Google將僅保留Tenor API供自家產品使用，原本仰賴Tenor API提供GIF搜尋功能的第三方平臺，則被迫改採其他服務。</p> <p>Tenor成立於2014年，原名Riffsy，早期即主打行動裝置上的GIF搜尋與分享，後來改名為Tenor。<a href="https://www.ithome.com.tw/news/122119" target="_top">Google於2018年收購Tenor</a>，將其整合進Gboard、Google Messages等產品，同時也透過免費API讓第三方平臺提供GIF搜尋功能。Google收購時，Tenor每月已有約3億名使用者與120億次GIF搜尋。</p> <p><a href="https://support.google.com/tenor/answer/10455265?hl=en&ref_topic=10316469&sjid=11073426744884175563-NC" target="_blank">Google表示</a>，為了將資源集中於核心產品，決定終止Tenor API服務。該公司已自今年1月13日起停止接受新的API金鑰申請與整合，並於6月30日終止所有Tenor API及廣告分發協議，既有整合也同步停用。</p> <p>簡單地說，Tenor.com網站依然存在，使用者亦可造訪並搜尋GIF檔，只是Google不再供應API予第三方平臺。</p> <p>根據外電報導，X、Discord、WhatsApp及Bluesky等大型社交媒體與通訊平臺，過去都是以Tenor API作為App內建GIF搜尋功能。Tenor API關閉後，相關平臺已陸續改接其他GIF服務；其中<a href="https://x.com/nikitabier/status/2068471759796588688" target="_blank">X產品主管Nikita Bier表示</a>，它們已因Tenor停止對外服務而被迫遷移，Discord也被觀察到正在測試Giphy與Klipy等替代方案。</p> <p>Tenor過去與Giphy並列GIF搜尋與API市場的主要服務，在Google收購Tenor後，<a href="https://www.ithome.com.tw/news/137664" target="_blank">Meta也曾買下Giphy</a>，但隨後遭監管機關以危害市場競爭為由<a href="https://www.ithome.com.tw/news/153702" target="_blank">要求售出</a>，Giphy在2023年花落Shutterstock。除了Tenor與Giphy之外，Klipy則是近年崛起的GIF與迷因API服務，主打免費API及廣告變現模式，Tenor共同創辦人Frank Nawabi亦參與創辦Klipy。</p> </div></div></div>
7/1 13:58作者陳曉莉https://www.ithome.com.tw/news/177008
美國保險龍頭Aflac日本分公司遭駭，438萬用戶資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>根據<strong><a href="https://www.securityweek.com/aflac-japan-data-breach-impacts-4-38-million/">資安新聞網站SecurityWeek報導</a></strong>，美國家庭人壽保險公司（Aflac）於6月30日<strong><a href="https://www.sec.gov/Archives/edgar/data/4977/000162828026046124/afl-20260630.htm">向美國證券交易委員會（SEC）提交8-K表單</a></strong>，指出日本子公司Aflac Life Insurance Japan（Aflac Japan）於25日察覺部分系統遭到入侵，並暫停部分系統運作等措施因應。駭客滲透該公司的時間點最早在6月15日，並從15日至25日期間多次存取部分系統。Aflac指出，已確定遭未經授權存取的資料，涵蓋保單與保單內容、個人資訊，以及銀行帳號資訊。這起事故僅影響Aflac Japan的系統，總公司Aflac美國業務相關的系統不受影響。</p> <p>同一天Aflac Japan也在網站<strong><a href="https://www.aflac.co.jp/info/yorisou_maintenance.html">發布公告</a></strong>說明此事，並透露其中一個受影響的系統是Yoroso Net，其中有5項服務暫停使用。<strong><a href="https://www.aflac.co.jp/static/corp/profile/news/2026/20260630.pdf">根據PDF聲明文件</a></strong>，攻擊者從其保戶入口網站竊取資料，估計約有438萬名客戶可能受到影響。外洩的個人資料包括姓名、地址、電話號碼、出生日期、性別，以及保險帳戶資訊；另約有23萬人保費轉帳帳戶資訊也遭外洩，但沒有信用卡資訊被存取。</p> </div></div></div>
7/1 12:25作者周峻佑https://www.ithome.com.tw/news/177004
AWS成立FDE組織，派遣AI工程師進駐企業部署代理AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.aboutamazon.com/news/aws/aws-1-billion-forward-deployed-ai-engineers" target="_blank">AWS周二（6/30）宣布成立</a>專責前線部署工程（Forward Deployed Engineering，FDE）組織，並將以10億美元內部資源擴大AI部署服務，派遣數千名AI工程師進駐企業客戶，共同開發及部署代理AI系統，加入<a href="https://www.ithome.com.tw/news/175723" target="_blank">OpenAI</a>與<a href="https://www.ithome.com.tw/news/175544" target="_blank">Anthropic</a>布局FDE服務的行列。</p> <p>FDE模式最早始於Palantir，指的是由供應商派遣工程師直接進駐客戶組織，與客戶團隊共同釐清需求、整合資料與調整系統，使技術能真正落地到既有流程與營運場景中。AWS FDE模式有3項特色，包括採用「代理人優先」（Agentic-First）模式、將AI部署時程由數月縮短至數天，以及讓客戶於專案完成後仍能獨立運作AI系統，而非持續依賴AWS。</p> <p>AWS說明，大多數的FDE工程師原本就是AWS AI服務的開發者，將與客戶的業務、工程及資訊安全團隊合作，利用客戶自身的資料、治理架構及流程，共同建置並部署正式上線的AI系統。此外，有別於傳統顧問公司僅提供評估與建議，且將每次專案視為獨立案件，AWS FDE採取長期合作模式，以共同的商業目標及成果為導向，而非以工時計費。</p> <p>AWS FDE採用代理人部署技術（Agentic Deployment Technology），並導入AI驅動開發生命周期（AI-Driven Development Lifecycle），讓AI代理人參與軟體開發各階段，並由人類工程師負責監督、驗證及引導。</p> <p>AWS FDE的最終目標是培養客戶的自主能力，使客戶工程師逐步從旁觀者、共同開發者，最終成為可獨立運作AI系統的管理者；待專案完成，客戶將取得已部署完成的AI系統、知識圖譜（Knowledge Graph）、操作手冊、系統架構文件，以及已完成培訓的內部AI種子人才。</p> <p>目前AWS FDE工程師已進駐多家企業，包括Allen Institute、Cox Automotive、美國職業籃球聯盟（NBA）、美國國家美式足球聯盟（NFL）、日本理光（Ricoh）與西南航空（Southwest Airlines）。</p> </div></div></div>
7/1 12:43作者陳曉莉https://www.ithome.com.tw/news/177005
Google推出成本降價一半的Nano Banana 2 Lite、預覽多模態影片生成模型Gemini Omni Fl…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://blog.google/innovation-and-ai/models-and-research/gemini-models/gemini-omni-flash-nano-banana-2-lite/" target="_blank">Google週二（6/30）公布</a>方便快速生成與編輯圖片的低成本Nano Banana 2 Lite版本模型，並將低成本影片生成與編輯模型Gemini Omni Flash提供給開發人員預覽。</p> <p>Nano Banana 2 Lite是Nano Banana家族最新系列，是本系列最低成本的模型，主打輕巧、高產出量、快速生成。Gemini Omni Flash則是在Google I/O時公布的多模態推理結合影片生成和編輯模型。本週Google已將Nano Banana 2 Lite及Gemini Omni Flash預覽版提供給開發人員及消費者。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0701-Nano%20Banana%202%20Lite-600.png" style="width: 600px;" /></p> <p>Nano Banana 2 Lite，模型版本為gemini-3.1-flash-lite-image，專門用於預算有限及講求快速設計與開發的任務。Google宣稱，Nano Banana 2 Lite 4秒就能由文字輸入生成圖片。而且它也是Nano Banana家族收費最低的，每1K解析度圖片生成費用為0.034美元，API費率為輸入／輸出為百萬token為0.25/1.50美元，是Nano Banana 2的一半。對於開發人員，Google建議可用它來取代第一代Nano Banana（gemini-2.5-flash-image）。</p> <p>Nano Banana 2 Lite即日起已提供給Google AI Studio、Gemini API和Gemini Enterprise Agent平臺。同時也推向消費性Google服務，包括Google搜尋的AI Mode、Gemini App等產品，免費版用戶也可使用。</p> <p><strong>Gemini Omni Flash</strong></p> <p>Gemini Omni Flash模型整合多模態推理及影片生成、編輯功能。它讓使用者自然語言輸入文字、並上傳圖片、影片來生成及編輯影片，目前可生成10秒影片，但未來會再加長。透過簡單的提示，Omni Flash能隨著影片進行同步化文字和圖片，此外Omni還能在生成影片時，援引Gemini對真實世界的知識，包括歷史、生物和敍述邏輯，以便生成合理而逼真的影片。Gemini Omni Flash將用以取代Veo模型。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0701-NGemini%20Omni%20Flash-600.png" style="width: 600px;" /></p> <p>Gemini Omni Flash模型版本為gemini-omni-flash-preview，現已透過Gemini API和Google AI Studio釋出給開發人員。它也可在消費應用如Google Flow和Gemini app付費方案（Google AI Plus/Pro/Ultra）提供。Gemini Omni Flash API存取費用為輸入為每百萬token 1.5美元，涵括文字、圖片和音訊。輸出為百萬token 9/17.5（文字／圖片）美元。Google說，換算起來，Gemini Omni Flash每秒生成的影片約0.10美元，大約僅為Veo 3.1 Fast的水準。免費方案無法使用。<span style="font-size:14px;"><span style="color:#696969;">圖片來源/Google</span></span></p> </div></div></div>
7/1 13:02作者林妍溱https://www.ithome.com.tw/news/177007
勒索軟體Settra聲稱竊得PChome旗下Pi拍錢包350萬用戶資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>去年7月<strong><a href="https://www.ithome.com.tw/news/169877">有資安專家於深網論壇發現駭客販售全支付電支平臺測試環境資料</a></strong>，引起臺灣社會高度關注，近期有駭客團體聲稱竊得另一家電子支付平臺的資料，再度成為全臺焦點。</p> <p>近日Settra勒索軟體團體於暗網宣稱，他們在6月10日成功入侵網路家庭PChome，竊得102 GB內部資料，最早報導此事的<a href="https://udn.com/news/story/7240/9597652">聯合新聞網指出</a>，這批資料內含350萬名Pi錢包用戶個資、內部系統架構、法遵與稽核文件、人資資料、長達9年的營運記錄，由於駭客聲稱竊得的資料內容相當詳細，並涵蓋公司內部資料，因此聯合新聞網指出，駭客竊得的資料，很可能並非只是單純的用戶資料庫內容。對此，PChome旗下的<strong><a href="https://web.piapp.com.tw/2026-06-30/">拍付國際</a></strong>發出聲明，表示他們確實收到勒索訊息，已啟動資安應變程序並依法通報主管機關，聘請第三方資安鑑識機構釐清事件的影響範圍。</p> <p>Settra是今年開始活動的新興勒索軟體組織，採用與許多同類型團體常見的雙重勒索策略，不過他們手法特別的地方，在於傾向將攻擊的成果製作成類似資安檢測的調查報告，詳細描述入侵過程與資料內容，藉此增加受害組織支付贖金的壓力，並對企業形象造成額外的打擊。以這次的事故而言，Settra製作了長達12頁的調查報告，說明他們竊得的資料內容。</p> </div></div></div>
7/1 11:40作者周峻佑https://www.ithome.com.tw/news/177000
新型Mistic後門疑與勒索軟體存取掮客有關，偽裝端點安全工具元件躲避偵測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Broadcom旗下資安部門<a href="https://www.security.com/threat-intelligence/new-mistic-backdoor-modeloRAT" target="_blank">Symantec與Carbon Black威脅獵捕團隊揭露</a>，新的隱匿型後門程式Mistic自2026年4月起，出現在多起疑似為了財務獲利而發起的攻擊行動，受害組織涵蓋保險、教育、IT與專業服務等產業。研究人員研判，這款後門可能與初始存取掮客（Initial Access Broker，IAB）KongTuke有關，該組織也被Symantec追蹤為Woodgnat。</p> <p>KongTuke並非以直接部署勒索軟體為主要目的，而是先在企業環境建立可長期維持的遠端存取管道，再將存取權轉售給勒索軟體合作夥伴或其他攻擊者。該組織先前已被公開連結到Qilin、Interlock、Rhysida、Akira、8Base與Black Basta等勒索軟體攻擊行動。</p> <p><a href="https://www.zscaler.com/blogs/security-research/technical-analysis-mltbackdoor" target="_blank">雲端資安業者Zscaler先前曾以MLTBackdoor之名分析Mistic</a>，並指出這款後門曾透過ClickFix多階段感染鏈散布。攻擊者會偽造錯誤訊息或CAPTCHA驗證畫面，誘使使用者複製、貼上並執行攻擊者提供的命令，以啟動後續感染流程。</p> <p>在Symantec調查的攻擊行動中，Mistic會透過合法檔案MpExtMs.exe側載惡意程式庫EndpointDlp.dll。由於EndpointDlp.dll命名近似微軟端點安全工具元件，Mistic可藉此降低遭各種端點防護產品識別為異常活動的機率。此外，Mistic也會載入.NET DLL，顯示偽造的登入視窗，引誘使用者輸入帳號密碼，藉此竊取登入憑證。</p> <p>Mistic具備檔案操作、調整命令與控制（C2）伺服器通訊頻率，以及接收攻擊者指令等後門功能，並可直接在記憶體中執行C2伺服器傳來的惡意酬載，不必將檔案寫入磁碟。它也能自行終止執行並刪除相關檔案，降低端點防護產品偵測到異常活動的機會，也讓事後鑑識更困難。</p> <p>研究人員認為，這些狀況反映勒索軟體犯罪供應鏈正在發展更多客製化工具，協助攻擊者進入受害環境，並維持能見度低（low-visibility）的長期存取管道，供後續勒索軟體或其他犯罪行動使用。</p> </div></div></div>
7/1 11:40作者王珮瑤https://www.ithome.com.tw/news/176998
PChome旗下拍付國際傳遭竊取個資，數發部將進行行政檢查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Settra勒索軟體團體<strong><a href="https://www.ithome.com.tw/news/177000">聲稱竊取PChome旗下拍付國際的內部資料</a></strong>，其中包含350萬名Pi錢包用戶個資，引起臺灣社會高度關注。對此，數位發展部數位產業署表示，為維護民眾權益，<strong><a href="https://moda.gov.tw/ADI/news/latest-news/20010">他們將在7月1日辦理實地行政檢查</a></strong>，以釐清案情，並檢視業者對於個人資料保護的落實作為。</p> <p>數產署表示，他們將持續追蹤這起事故個資外洩的情形，嚴格督導拍付國際後續資安與管理作為，並表示經調查如發現有違反個資法情事，將會依法裁處。</p> </div></div></div>
7/1 11:52作者周峻佑https://www.ithome.com.tw/news/177001
Anthropic發表Claude Sonnet 5，成為免費與Pro版預設模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.anthropic.com/news/claude-sonnet-5" target="_blank">Anthropic周二（6/30）發表Claude Sonnet 5</a>，強調這是歷來代理能力（Agentic AI）最強的Sonnet模型，已成為Claude免費版與Pro版的預設模型，也同步開放Max、Team及Enterprise方案使用。</p> <p>Claude模型分為Haiku、Sonnet及Opus三個系列，其中Sonnet介於輕量的Haiku與高階的Opus之間，為一般Claude服務的預設主力模型。</p> <p>標榜代理能力的Sonnet 5可自主規畫工作流程，並使用瀏覽器、終端機等工具完成多步驟任務，適用於程式開發、研究、自動化及文件處理等工作。官方表示，Sonnet 5在推理、工具使用、程式撰寫及知識工作等能力皆優於Sonnet 4.6，整體表現接近高階的Opus 4.8，但價格較低。</p> <p>Anthropic表示，Sonnet 5除了提升能力，也改善了安全性，更能拒絕惡意請求及抵抗提示注入（Prompt Injection）攻擊；幻覺（Hallucination）及迎合使用者（Sycophancy）的發生率亦低於前一代模型。由於未特別針對網路攻擊能力進行訓練，其在高風險資安任務上的能力仍低於Opus系列，因此預設啟用資安防護機制，以降低遭到濫用的風險。</p> <p>Claude Sonnet 5已開放所有Claude方案使用，開發者也可透過Claude API、Claude Code及Claude Platform存取。Anthropic同步推出API上市優惠，8月31日前每百萬輸入token收費2美元、每百萬輸出token收費10美元；9月1日起將分別調整為3美元及15美元，但仍低於Opus 4.8的5美元與25美元。</p> </div></div></div>
7/1 11:54作者陳曉莉https://www.ithome.com.tw/news/177002
Jaguar Land Rover傳出遭俄羅斯駭客從事網路破壞攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>隸於印度塔塔（Tata）集團英國車廠Jaguar Land Rover（JLR）<strong><a href="https://www.ithome.com.tw/news/170991">於去年9月遭遇網路攻擊</a></strong>，導致<strong><a href="https://www.ithome.com.tw/news/171354">工廠停工長達1個月</a></strong>，<strong><a href="https://www.ithome.com.tw/news/171829">損失估計達到19億英鎊</a></strong>（約25億美元），駭客組織Scattered Lapsus$ Hunters聲稱是他們所為，然而這起事故的調查出現新的發展，傳出很可能是國家級駭客從事的破壞行動。</p> <p>6月26日紐約時報<strong><a href="https://www.nytimes.com/2026/06/26/world/europe/jaguar-russia-hack.html">引述知情人士的說法指出</a></strong>，這起事故的兇手可能是俄羅斯駭客，根據4名知情人士透露，微軟一直在追蹤犯案的俄羅斯駭客組織，並向JLR通報了入侵其系統的人員身分。駭客部署了新型勒索軟體，採用了資安專家前所未見的加密演算法，有人形容它「令人震撼」。參與調查的此事的執法機關與企業，還包括：英國國家犯罪局（NCA）、國家網路安全中心（NCSC）、資安公司Palo Alto Networks、Google旗下的Mandiant，以及美國聯邦調查局（FBI）。</p> <p>但為何認定這並非單純的勒索軟體攻擊？紐約時報引述前聯邦調查局網路安全副局長Cynthia Kaiser的說法，首先，這起事故駭客並未向JLR索討贖金，顯然經濟利益並非犯案動機。再者，這起事故正好發生在JLR新車系即將上市的前夕，時間點非常敏感；另一方面，JLR旗下的Land Rover車隊與英國皇室及軍方關係密切，上述種種跡象，她認為有可能是俄羅斯國家級的攻擊活動。</p> <p>Kaiser指出，國家級駭客進行破壞性攻擊有其戰略考量，原因是攻擊速度快、可規模化、可重複執行，且能利用幾乎所有關鍵基礎設施環境中都存在的共通弱點，更重要的是能製造歸因上的複雜性，讓攻擊者得以在傳統的應對門檻之下行動。她認為，國家級駭客很可能將攻擊行動偽裝成一般的網路犯罪，藉由製造充足的疑點，避免其他國家的政府以政治手段進行報復。</p> <p>不過，對於是否為俄羅斯國家級駭客犯案，紐約時報指出，也有資安專家持保留態度，他們認為，目前缺乏確鑿證據能證明就是國家介入。</p> </div></div></div>
7/1 09:35作者周峻佑https://www.ithome.com.tw/news/176994
Open Standard集結逾140家企業，推出共同治理美元穩定幣Open USD
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>由Visa、Mastercard、Stripe、Google、Shopify、BlackRock及Coinbase等逾140家支付、銀行、科技及加密貨幣企業共同成立的<a href="https://joinopenstandard.com/blog/introducing-open-usd" target="_blank">Open Standard周二（6/30）宣布推出美元穩定幣Open USD</a>，預計今年稍晚上線，希望打造企業可大規模採用的全球資金流通基礎設施。</p> <p>Open Standard表示，Open USD將由獨立公司營運，董事會由合作夥伴共同組成，而非由單一企業控制。企業可免費將美元鑄造成Open USD，或將Open USD兌回美元，且不設交易量限制；合作夥伴也可分享Open USD儲備資產所產生的收益，僅扣除營運管理費。</p> <p><a href="http://coinmarketcap.com/" target="_blank">目前美元穩定幣市場仍由Tether發行的USDT及Circle發行的USDC主導</a>，兩者合計占全球穩定幣市場逾8成比例。Open Standard認為，現有穩定幣雖已廣泛應用於跨境支付，但企業仍面臨大額鑄造與贖回成本高、無法分享儲備資產收益，以及產品發展方向受制於單一發行商等問題，因此推出Open USD，希望提供更符合企業需求的選擇。</p> <p>Open USD獲得多家支付與金融業者支持，包括Visa、Mastercard、Stripe、American Express、Adyen、Western Union、BlackRock、BBVA、Standard Chartered、DBS，以及Google、Shopify等科技企業；加密貨幣產業則有Coinbase、Ripple、Solana、Crypto.com、MetaMask等業者參與。</p> <p>Open Standard創辦人兼執行長Zach Abrams表示，企業若要大規模採用穩定幣，需要的是開放、低成本、高吞吐量且符合企業利益的基礎設施，而非由單一發行商主導的產品。他表示，Open USD是由參與企業共同打造、面向網際網路經濟的新一代穩定幣，希望成為全球企業資金流通的共同標準。</p> </div></div></div>
7/1 10:24作者陳曉莉https://www.ithome.com.tw/news/176995
macOS權限提升攻擊鏈可暗中停用EDR、MDM代理程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://xmcyber.com/blog/faind-my-xpc-breaks-a-key-trust-boundary/" target="_blank">資安業者XM Cyber揭露一項macOS權限提升攻擊鏈</a>，指出攻擊者不需管理員權限，也不必利用記憶體破壞或核心漏洞，就可能讓企業端點偵測與回應（EDR）、行動裝置管理（MDM）等代理程式停止運作。</p> <p>研究人員指出，許多macOS應用程式會透過XPC通訊機制，讓前端元件呼叫具備系統權限的背景程式；這些背景程式通常會檢查連線來源的程式碼目錄雜湊（Code Directory Hash，CDHash），確認對方是否為合法元件。這項攻擊濫用了這段信任驗證流程：合法應用程式首次執行後，macOS核心會將其CDHash保留在快取中，攻擊者接著修改應用程式封裝，植入惡意Interface Builder（NIB）檔案，使惡意程式得以冒充合法元件，向具有系統權限的背景程式發送指令。Interface Builder是蘋果整合開發環境Xcode的一部分，NIB是Interface Builder儲存UI設計內容的檔案格式，名稱來自NeXT Interface Builder。</p> <p>XM Cyber已驗證這項攻擊手法可影響多款企業安全產品，包括端點防護與雲端資安平臺廠商CrowdStrike的Falcon Sensor，以及端點管理與安全業者Iru的Kandji Agent。XM Cyber已將相關問題通報CrowdStrike與Iru；CrowdStrike已在所有支援中的macOS版Falcon Sensor加入偵測與防護機制，防止一般使用者卸載感測器。<a href="https://www.iru.com/updates/2026/03/agent-4-7-5-5374" target="_blank">Iru也已發布Kandji Agent macOS版4.7.5（5374）</a>，透過強化驗證機制，修正一般權限本機攻擊者可能呼叫Kandji Agent受限功能的存取控制問題，漏洞編號為CVE-2026-39118。</p> <p>研究人員建議，採用XPC架構並以CDHash驗證用戶端身分的macOS應用程式，應在建立XPC連線時，確認連線來源是否符合程式碼簽章需求（Code Signing Requirement），或透過SecCodeCheckValidity()檢查應用程式簽章狀態，避免惡意程式冒充合法元件。</p> </div></div></div>
7/1 10:43作者王珮瑤https://www.ithome.com.tw/news/176996
新版MCP導入無狀態核心等重大更新，Akamai提醒留意實作層面的安全影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>用於連接AI代理、外部工具與資料來源的開放協定Model Context Protocol（MCP），預計於7月28日正式發布2026-07-28版規格。<a href="https://blog.modelcontextprotocol.io/posts/2026-07-28-release-candidate/" target="_blank">根據MCP官方於5月21日公布的Release Candidate</a>，新版導入無狀態核心（Stateless Core）、Tasks擴充功能、MCP Apps及新版授權要求，以支援長時間工作、跨系統整合及雲端原生部署情境。</p> <p>MCP官方說明，改採無狀態核心後，協定層不再維護連線階段（Session），讓MCP更容易部署於負載平衡、代理伺服器與雲端原生環境。Tasks擴充功能可支援長時間執行的非同步工作流程；MCP Apps則讓伺服器提供互動式HTML介面，並由主機端透過沙箱iframe呈現。新版也強化授權規格，使其更貼近OAuth 2.0與OpenID Connect的實務部署要求，並提供約12個月過渡期，協助既有實作逐步完成遷移。</p> <p><a href="https://www.akamai.com/blog/security-research/new-mcp-specification-security-teams-must-prepare" target="_blank">雲端與資安服務業者Akamai分析指出</a>，新版MCP移除由協定層管理的Session，可降低連線階段劫持等既有風險；新版授權要求也有助於改善舊版OAuth流程可能衍生的安全問題。不過，當工作流程狀態、中繼資料與部分安全控制改由MCP伺服器和應用程式管理，企業導入新版MCP時，不能只確認協定是否相容，也要檢視相關實作是否符合新的安全要求。</p> <p>該公司進一步說明，實作層面的安全影響主要集中在長時間工作流程的狀態管理、用戶端中繼資料（Metadata）驗證、HTTP標頭與JSON-RPC內容一致性，以及MCP Apps引入互動式介面後可能面臨的網頁安全問題，例如跨站指令碼攻擊（Cross-site Scripting，XSS）。此外，Tasks支援長時間背景工作，開發者也需要建立資源限制與工作管理機制，避免背景工作遭濫用，造成服務資源耗盡，形成阻斷服務風險。</p> <p>Akamai建議，企業升級新版MCP時，除了確認協定相容性，也應同步檢查狀態管理、授權、中繼資料驗證、HTTP標頭處理，以及長時間工作流程等實作機制。</p> </div></div></div>
7/1 10:58作者王珮瑤https://www.ithome.com.tw/news/176997
雅婷智慧推FedGPT主權AI平臺，瞄準72%企業地端部署需求
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>臺灣人工智慧實驗室與其策略合作夥伴雅婷智慧今日（6/30）揭露今年度臺灣企業AI轉型洞察報告，發現只有15%的受試企業在不同部門使用AI，其餘85%仍在小規模試行或在評估中。調查也發現，高達72%的企業需要地端部署的AI。看準這股需求，雅婷智慧力推FedGPT主權AI平臺，符合資料自主、系統自主等主權AI需求，提供會議記錄和萬能秘書等2大亮點應用。</p> <h2><strong>只有15%企業實際運用AI、72%企業需要地端部署</strong></h2> <p>雅婷智慧董事長廖群揭露在會中《2026台灣企業AI轉型洞察報告》，該報告分析了562份問卷，涵蓋10多個產業，如教育、媒體、醫療、政府、製造、金融等。</p> <p>調查發現，臺灣僅有15%的受試企業廣泛運用AI於多個部門，其餘44%仍在小規模試行，更有41%還沒導入或在評估中。可以說，85%的受試企業還沒有明確的AI應用與治理架構。</p> <p><img alt="" src="/sites/default/files/images/15%25.JPG" /></p> <p>這些企業，最希望將AI用來自動化重複的性行政流程（56%）、數據分析與決策輔助（44%），以及內部知識查詢與文件問答（42%）。但是，超過半數的受試企業（51%）擔憂資料外洩風險。</p> <p><img alt="" src="/sites/default/files/images/51%25.JPG" /></p> <p>有趣的是，調查進一步發現，大多數企業需要地端部署的AI。尤其，高達77%的受訪者認為，現行公有雲AI服務對企業使用仍有限制，72%則對地端部署有明確的需求。</p> <p>另一大發現是，現有公有雲AI工具難以深度融入企業營運流程，包括34%的企業認為，公有雲AI無法根據業務需求調整判斷邏輯；39%認為AI無法理解產業術語；還有24%的企業擔心公有雲AI停止服務，導致既有應用無法繼續運作，另有19%擔心模型更新後，會影響原本的使用效果。</p> <h2><strong>瞄準痛點，臺灣人工智慧實驗室力推主權AI</strong></h2> <p>臺灣人工智慧實驗室（Taiwan AI Labs）創辦人杜奕瑾指出，臺灣人工智慧實驗室從2017年成立至今，輔導不少企業導入AI，如今企業對AI的疑慮，已經不是有沒有效，而是企業能否握有「自主權」，也就是主權AI。</p> <p>杜奕瑾進一步解釋，不論是企業還是國家層級，主權AI都涵蓋5大要點：</p> <ol> <li>資料主權：確保資料留在組織內或在地，且敏感資料受保護。</li> <li>模型主權：即便是開源模型，也要能根據需求微調，或使用在地模型，不受特定跨國企業限制。</li> <li>運算主權：使用在地算力，避免算力掌握在少數巨頭、影響服務持續性。</li> <li>系統主權：自家系統可以與AI服務或平臺整合，不受單一或少數人控制，重視自主框架能力和生態系建立。</li> <li>治理主權：對齊國際先進AI治理，打造可驗證、可稽核、可信任的AI倫理和法治體系。</li> </ol> <p><img alt="" src="/sites/default/files/images/%E4%B8%BB%E6%AC%8Aai%20-%20%E8%A4%87%E8%A3%BD.JPG" /></p> <p>瞄準企業痛點，雅婷智慧也力推符合主權AI的雅婷FedGPT服務。雅婷智慧企業解決方案總經理杜長城現場指出，FedGPT可全地端部署，屬於企業級主權AI平臺，能串接既有系統、資料可全數保留在組織內。</p> <p>而FedGPT所搭載的AI模型，也都由臺灣團隊研發，且模型對臺灣知識、語境的理解能力，比國際大模型還要優秀。</p> <p><img alt="" src="/sites/default/files/images/%E8%83%BD%E5%8A%9B1.JPG" /></p> <p><img alt="" src="/sites/default/files/images/%E8%83%BD%E5%8A%9B2.JPG" /></p> <p>他也揭露FedGPT的2大亮點應用，包括會議助理、萬能秘書及其全落地的語音對話功能。以會議助理來說，已在臺灣人工智慧實驗室內部使用，它能串接所有公開的職員行事曆，並自動加入會議。在會議過程中，會議助理會記錄內容、摘要，包括標題、摘要、待辦事項、誰該執行哪些任務等等，並在會議結束後自動發送給與會職員，還會在系統中標註，方便追蹤。</p> <p>再來是萬能秘書，它可以串接公司行政流程和所需資料，就能協助員工查詢報帳、請假、出差、物資申請等流程，還能自動送件。</p> <p><img alt="" src="/sites/default/files/images/%E8%90%AC%E8%83%BD%E7%A7%98%E6%9B%B8%E6%87%89%E7%94%A8%E5%A0%B4%E6%99%AF.png" /></p> <p>另一方面，FedGPT也能根據產業特性，打造符合需求的自動化應用，比如串接醫院資訊系統和醫療資料，來自動生成臨床摘要、提供衛教問答、整理醫護人員月報等。或是串接人臉辨識門禁系統，可供人資即時查詢同仁出席狀況、預約會議等。</p> <p><img alt="" src="/sites/default/files/images/%E6%99%BA%E6%85%A7%E5%B0%8E%E8%A8%BA%E6%87%89%E7%94%A8%E5%A0%B4%E6%99%AF.png" /></p> <p>除了這些應用，FedGPT也提供不少Flow流程範本，來供企業使用，比如Bug回報與修復追蹤流程、每月營運報告彙整流程等。</p> <p></p> </div></div></div>
6/30 19:49作者王若樸https://www.ithome.com.tw/news/176993
資安界如何優化漏洞修補優先順序？HackerCat教你快速搞懂CVSS、EPSS、KEV這三項指標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>漏洞修補策略該如何制定？對許多資安老手而言，CVSS、EPSS與KEV已是耳熟能詳的名詞，但對於第一線的開發人員或資安新手來說，這些指標背後的意義可能仍顯模糊。在今年的DevOpsDays活動上，以HackerCat外號活躍於資安社群，擔任DevSecOps Taiwan社群顧問，同時任職於力麗科技首席資安技術顧問的高于凱，他便以此為題，由淺入深地解構這些核心指標。</p> <p>回顧近期漏洞新聞報導，通用漏洞評分系統（CVSS）最常被提及。實務上，我們不僅能參考美國國家漏洞資料庫（NVD）給出的風險評分，有時也會看到軟體原廠自己評估的分數，甚至不同資安組織也會提供各自的CVSS觀點。此外，國際資安事件應變組織<strong><a href="https://www.ithome.com.tw/news/160961#CVSS4.0">FIRST在2023年發布CVSS 4.0版</a></strong>，在基本評分之外，進一步正式提出CVSS-BT（威脅情資）、CVSS-BE（環境因素）與CVSS-BTE（綜合評估）等不同評分項目。</p> <p>除了CVSS的演進，漏洞風險的檢視維度在2021年變得更趨多元。例如，美國CISA發布<strong><a href="https://www.ithome.com.tw/news/154595">「已知被利用漏洞清單」（KEV）</a></strong>，要求聯邦機構限期修補，突顯漏洞已被實際利用的緊迫風險；同年，FIRST組織發布另一關鍵指標EPSS，聚焦於預測漏洞在未來被駭客利用的機率，我們先前也曾報導<strong><a href="https://www.ithome.com.tw/news/169767">國內企業運用EPSS</a></strong>的實務經驗。</p> <p>關於這三項指標背後的意義，目前在許多資安報導中雖已有相關介紹，這次高于凱透過綜整方式，讓更多人也能快速理解，並強調藉由這三項指標的過濾視角，將能找出最迫切需要修補的漏洞。他強調：「CVSS是起點但不是終點，EPSS告訴你機率，而KEV則代表緊急性，同時企業也必須考量自身環境。」</p> <p><a href="/sites/default/files/images/（主圖）何謂CVSS、EPSS、KEV.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E4%BD%95%E8%AC%82CVSS%E3%80%81EPSS%E3%80%81KEV.jpg" style="width: 600px;" /></a></p> <h2><strong>CVSS：常見漏洞評分標準，指標多元但實務多僅參考基礎分數</strong></h2> <p>以CVE編號而言，高于凱指出，這就如同每個漏洞的身分證字號，方便業界溝通。例如知名的Log4Shell是研究人員給它的暱稱，其正式稱呼為CVE-2021-44228；只要提及此編號，多方溝通時便能確認探討的是同一個漏洞。</p> <p>在MITRE公布CVE編號後，美國NVD會將其納入資料庫並進行CVSS風險評分。高于凱進一步解釋，當開發者使用軟體組成分析工具（SCA）或映像檔掃描工具後，通常會看到每個CVE都附帶一個漏洞評分，這就是根據CVSS（通用弱點評分系統）的國際標準所計算出來的。</p> <p>CVSS由FIRST國際組織制定，全名是通用漏洞評分系統（Common Vulnerability Scoring System），將風險等級區分為：低（0.1~3.9分）、中（4.0～6.9分）、高（7.0～8.9分）、重大（9.0~10.0分）。</p> <p>常見的CVSS版本已有3.0、3.1與4.0版。雖然其評估維度已涵蓋基礎（Base）、時間（Temporal）或威脅（Threat）、環境（Environmental）等多重項目，但NVD公布的CVSS基礎評分通常是大家最常引用的評分，這也是大眾最常看到的數值。高于凱指出，儘管理論上企業應根據自身環境進行「時間或威脅」與「環境」的加權計算，但實務上資安人員鮮少有此餘裕。導致現狀往往是：NVD給出幾分，企業就照單全收。</p> <p><a href="/sites/default/files/images/（圖2）何謂CVSS.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E4%BD%95%E8%AC%82CVSS.jpg" style="width: 600px;" /></a></p> <p><a href="/sites/default/files/images/（圖5）CVSS盲點.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89CVSS%E7%9B%B2%E9%BB%9E.jpg" style="width: 600px;" /></a></p> <p>儘管CVSS廣受運用，但也容易被誤用，而且資安界也意識到其存在盲點。例如缺乏時間動態與企業環境脈絡（如伺服器位於內網或外網、是否為核心系統等）。此外，所有遠端代碼執行（RCE）類型的漏洞幾乎都會被歸類為「重大」，還有並非所有漏洞都有公開的利用程式碼。因此，資安界早已意識到，不僅需要參考CVSS，還會搭配EPSS與KEV進行風險評估。</p> <div style="background-color: #FFF5F5; border: 1px solid #FFD2D2; padding: 20px; border-radius: 8px; line-height: 1.8; color: #333333;"> <p style="margin-top: 0; margin-bottom: 16px;"><strong>認識CVE揭露時間差：從通報、緩衝到正式公開</strong></p> <p style="margin-top: 0; margin-bottom: 16px;">高于凱另外提醒，大眾普遍以為通報漏洞後CVE會立即公開，但實務上通常需等待半年之久，主因在於MITRE負責審核的人力極為有限，可能僅有兩到三人，但有些廠商態度較積極，或部分本身已取得CNA資格的廠商則能更快發布。</p> <p style="margin-bottom: 0;">具體而言，這涉及所謂的協調式漏洞揭露（CVD），過去<span style="background-color: rgb(255, 245, 245);">我們</span>在許多漏洞新聞報導中都有提到。例如，以往漏洞通報會有不成文規定的90天的修補緩衝期（現在AI時代可能要再縮短）。因此，當漏洞確認指派CVE編號後，會先進入已保留（Reserved）狀態，通常會等修補完成或緩衝期過後才正式公開，將CVE編號轉為已公開（Published）狀態。若漏洞影響層面過於嚴重，過去也發生啟動暫緩揭露的機制，直到生態系準備好才解除封鎖。此外，<a href="https://www.ithome.com.tw/tags/mitre-cna"><strong>MITRE早已推動CNA計畫</strong></a>，授權資安業者與機構能自主指派並發布 CVE，這也是部分積極原廠能快速發布漏洞的主因。</p> </div> <p> </p> <h2><strong>EPSS：可預測未來30天被攻擊機率，其價值仍未被廣泛察覺</strong></h2> <p>以EPSS而言，全名是漏洞利用機率預測評分系統（Exploit Prediction Scoring System），同樣是由FIRST國際組織維護並發布。</p> <p>簡單來說，EPSS是基於真實威脅情資的資料驅動機器學習模型，用於估計已發布的CVE在未來30天內被實際利用的機率。在該模型的輸入特徵之中，不僅包含CVSS基礎分數，也會納入是否已有公開PoC（概念驗證）或Exploit（漏洞利用）程式碼、歷史漏洞利用率校準等多種維度。儘管此指標已推出三、四年之久，但在業界的普及度仍有提升空間。</p> <h2><a href="/sites/default/files/images/（圖3）何謂EPSS.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E4%BD%95%E8%AC%82EPSS.jpg" style="width: 600px;" /></a></h2> <p><a href="/sites/default/files/images/（圖6）風險矩陣.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89%E9%A2%A8%E9%9A%AA%E7%9F%A9%E9%99%A3.jpg" style="width: 600px;" /></a></p> <p>高于凱分享他在企業端（甲方）時深刻體會到EPSS的重要性。由於掃描工具產出的漏洞數量極為龐大，若缺乏有效過濾機制，修補工作將難以推行，因此他會運用EPSS來協助團隊排出優先順序。</p> <p>在實務應用上，EPSS的機率分數介於0.07％到99％之間。高于凱指出，EPSS大於1％的漏洞對他而言就已屬於高風險範疇，會被優先排入修補清單，因此EPSS是比CVSS更實用的指標。但要注意的是，EPSS是一項動態數據，每天都會變動更新。</p> <p>至於如何查詢EPSS？除了透過FISRT釋出的API連結獲取即時數據外（<a href="https://api.first.org/data/v1/epss?cve=cve-YYYY-XXXX">https://api.first.org/data/v1/epss?cve=cve-YYYY-XXXX</a>，可自行替換網址後方的CVE編號），目前許多商業與開源工具也已開始整合此指標，例如部分軟體組成分析工具（SCA）已內建整合EPSS分數，讓開發與資安團隊能更直觀地進行風險決策。還有CVE Details.com網站上，大家也能快速檢視各CVE漏洞的CVSS、EPSS等資訊。</p> <h2><strong>KEV：證實漏洞已有鎖定利用情形，其修補緊迫性不言而喻</strong></h2> <p>第三個關鍵指標是已知被利用漏洞清單（KEV），全名是Known Exploited Vulnerabilities Catalog。若CVSS代表漏洞理論上的危害程度、EPSS代表未來30天內被攻擊的機率，KEV則直接證實該漏洞已在現實世界中被攻擊者鎖定並實際利用，不再僅是推測。</p> <p>為了讓開發者更理解漏洞從發現到被利用的過程，高于凱進一步拆解PoC與Exploit等核心名詞的差異。</p> <p>他指出，雖然CVE漏洞通報很多，但要成功利用漏洞往往存在技術門檻。通常CVE揭露初期僅有漏洞描述與初步評分，技術細節的釋出往往較晚。而在漏洞公開後，通常會伴隨PoC（概念驗證程式）或Exploit（漏洞利用程式）的出現。</p> <p>簡單來說，PoC是初步的驗證腳本，用於證實漏洞確實存在；Exploit則是更具威脅性、能直接執行攻擊的程式碼。高于凱特別提醒，資安人員在尋找公開PoC與Exploit時必須極為謹慎，因為攻擊者常會釋出偽造的程式碼，將其作為散布惡意程式的陷阱。</p> <p><a href="/sites/default/files/images/（圖4）何謂KEV.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89%E4%BD%95%E8%AC%82KEV.jpg" style="width: 600px;" /></a></p> <p><a href="/sites/default/files/images/（圖7）從PoC到Exploit.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%967%EF%BC%89%E5%BE%9EPoC%E5%88%B0Exploit.jpg" style="width: 600px;" /></a></p> <p>換言之，在漏洞生命週期中，在CVE公開之後，PoC的公開意味技術門檻開始下降，Exploit的出現則代表攻擊成本大幅降低，而進入Exploited（或稱Exploited in the wild）狀態時，則代表攻擊者已在真實環境中利用該漏洞發動攻擊。高于凱亦提醒，這些已被利用的漏洞並不代表皆已有修補程式釋出，KEV也可能包含尚無修補程式、僅有緩解措施的漏洞。</p> <div style="background-color: #FFF5F5; border: 1px solid #FFD2D2; padding: 20px; border-radius: 8px; line-height: 1.8; color: #333333;"> <p style="margin-top: 0; margin-bottom: 16px;"><strong>KEV實務觀察：存在即時性落差與回溯補登記現象</strong></p> <p style="margin-top: 0; margin-bottom: 16px;">儘管KEV清單代表漏洞修補的緊迫性，但我們也要補充幾點需留意的實際現況。首先是即時性的落差，從過往報導可以發現，有時是資安業者先揭露漏洞已被利用，數日後CISA KEV才正式列入，甚至部分漏洞最終未被納入清單。畢竟CISA KEV作為美國聯邦政府的官方清單，有其嚴謹的審核流程，在情報更新的速度上未必能超越民間情資；其次是地域性問題，CISA KEV主要反映與美國利益相關的威脅情資，雖然實際上有其他國家的產品漏洞也會被列入，但在情資的全面性與及時性上仍可能存在缺口。</p> <p style="margin-bottom: 0;">最後一個需留意的是「補登記」狀況。由於KEV清單於2021年底才正式推出，之後新增的漏洞通常具有高度緊迫性，但清單有時也會回溯列入2021年之前的舊漏洞，這些漏洞是否具備當下的緊急性則需視情況而定。以華碩為例，該公司在<strong><a href="https://www.ithome.com.tw/news/172914">2025年提交CVE-2025-59374漏洞</a></strong>，CVE公開後隨即被列入KEV清單，但根據華碩針對該漏洞的說明，本質上應為2019年ASUS Live Update供應鏈攻擊事件的歷史漏洞，非當下爆發的攻擊事件。</p> </div> <p> </p> <p><a href="/sites/default/files/images/（圖1）何謂CVSS、EPSS、KEV，漏斗式漏洞篩選與優先排序.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E4%BD%95%E8%AC%82CVSS%E3%80%81EPSS%E3%80%81KEV%EF%BC%8C%E6%BC%8F%E6%96%97%E5%BC%8F%E6%BC%8F%E6%B4%9E%E7%AF%A9%E9%81%B8%E8%88%87%E5%84%AA%E5%85%88%E6%8E%92%E5%BA%8F.jpg" style="width: 600px;" /></a></p> <h2><strong>可運用三維決策框架找出優先修補順序</strong></h2> <p>在建立CVSS、EPSS與KEV的基本概念後，高于凱針對DevOps實務中的漏洞決策提出了一套從「僅參考CVSS」轉向「CVSS+EPSS+KEV」的三維決策框架。</p> <p>他強調，漏洞管理的核心在於「漏斗式篩選」，透過層層過濾找出真正具備威脅的目標。</p> <p>高于凱舉例說明，若透過掃描工具初步產出的CVE漏洞共有1,575個，數量龐大到開發團隊難以負荷；此時若先以CVSS高風險與重大風險進行初步篩選，漏洞數會降至718個，接著，若進一步引入EPSS指標，篩選出被利用率大於0.95％（即30天內極可能被攻擊）的漏洞，數量將大幅縮減至33個。最後，再比對CISA KEV清單進行強制優先過濾，最終僅剩11個需最優先處理的關鍵漏洞，可將候選清單縮減95％以上。</p> <p>上述只是一個概念呈現，高于凱強調，漏洞永遠修不完，正確的目標應是「優先修對的」，不是立即全部修完，並在有餘力時處理低風險漏洞，而非將其視為豁免修補。此外，還有VEX（Vulnerability Exploitability eXchange）指標也可留意，這是另一種標注套件是否受影響的補充方式。</p> <p>綜上所述，這種篩選邏輯與全球資安倡導的「以風險為導向的漏洞管理」不謀而合。近期FIRST國際組織在<strong><a href="https://www.ithome.com.tw/news/176666">公布2026年CVE漏洞預測數量上調的消息</a></strong>時，亦同步強調企業應持續採用EPSS與CISA KEV作為優先順序篩選的標準，這是目前仍然有效的應對策略。</p> <h2><strong>調整漏洞溝通方式，降低修補摩擦</strong></h2> <p>除了技術指標，高于凱也深入探討資安與開發團隊間的溝通挑戰。他認為安全文化的本質應是降低摩擦，而非單純增加管制措施。在實務溝通上，他建議資安人員應學會使用開發者能理解的語言，例如，與其僵化地告知「此漏洞CVSS評分為9.8，非常危險」，不如改以具體威脅描述：「這個漏洞能讓攻擊者僅用5行Python程式碼就取得資料庫帳密」，透過具體情境提升開發者的安全意識。</p> <p>還有幾項溝通上的實務建議，例如，應將工具自動化，與其讓工程師手動查詢漏洞、手動修改package.json，資安團隊應盡可能提供「一鍵升版」的PR（Pull Request）；應展現修補成效，別只給工程師看待修清單，應展示平均修復時間（MTTR）的下降趨勢與漏洞總數的變化，讓開發團隊看到自己的進步。</p> <p>最後，高于凱指出，資安不該只是中央資安團隊的責任，可透過在每個開發團隊培養1至2名安全種子的方式，從內部降低溝通成本。</p> </div></div></div>
6/30 18:38作者羅正漢https://www.ithome.com.tw/news/176987
Meta用AI從打字腦訊號重建語句，推進非侵入式腦機介面研究
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Meta發表<strong><a href="https://ai.meta.com/blog/brain2qwerty-brain-ai-human-communication/">Brain2Qwerty v2研究</a></strong>，嘗試用AI從受試者打字時的腦部活動重建自然語句。研究人員使用腦磁波儀（MEG）記錄大腦活動產生的微弱磁場，不需手術植入電極，希望藉由免手術的非侵入式文字溝通方式，讓因腦部損傷而難以說話或動作的人，未來有機會透過腦機介面表達內容。</p> <p>Meta解釋，Brain2Qwerty v2以9名志願受試者的資料訓練，研究團隊蒐集約22,000個句子，每名受試者各接受10小時記錄。實驗過程中，受試者在腦磁波儀中主動打字，模型再從腦部訊號推測對應文字，因此這套系統解碼的是打字任務中的腦部活動，並不能解讀人腦中任意浮現的想法。</p> <p>新版系統採用深度學習直接處理原始腦訊號，不再先由人工設計流程判斷神經事件。Meta也微調大型語言模型，使系統可利用語意脈絡，協助把雜訊較高的腦部記錄整理成較連貫的句子，並使用AI代理探索解碼流程的最佳化方向，但最終訓練設定仍由工程師人工選定。</p> <p>根據Meta公開的實驗資料，Meta指出，Brain2Qwerty v2的單字正確率約為61%，換算平均單字錯誤率約為39%。在最佳受試者上，單字正確率達78%，且超過半數句子只出現一個單字錯誤以內。Meta將這項結果視為非侵入式腦訊號文字解碼的一項進展。不過，目前成果仍建立在受試者主動打字與腦磁波儀記錄的受控實驗中，後續若要用於輔助溝通，仍需面對設備、使用情境與解碼準確率等限制。</p> <p>從Brain2Qwerty v1的結果來看，非侵入式腦訊號技術也面臨訊號品質與設備可用性的取捨。先前刊登於Nature Neuroscience的Brain2Qwerty v1研究指出，使用腦磁波儀時，平均字元錯誤率為29%，優於使用腦電圖（EEG）時的65%。腦磁波儀訊號品質較好，但設備仍屬實驗室等級，距離可攜式、臨床或日常使用仍有落差。</p> <p>Meta已在GitHub釋出Brain2Qwerty v1與v2訓練程式碼，合作單位巴斯克認知、大腦與語言中心也釋出v1資料集，v2資料集則待論文獲接受後公開。</p> </div></div></div>
6/30 18:48作者李建興https://www.ithome.com.tw/news/176990
美超微AI伺服器出口案調查擴大，青雲、是方電訊遭搜索，是方澄清僅提供機房服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>基隆地檢署偵辦高階AI伺服器涉嫌違法出口中國案件持續擴大，繼5月發動首波搜索後，周一(6/29)展開第二波偵辦行動，搜索美超微（Supermicro）台灣分公司、青雲科技及是方電訊等地，並約談多名主管及相關人員到案，調查是否有人涉嫌利用不實報關文件或虛報最終目的地等方式，將搭載Nvidia高階GPU的AI伺服器違法出口至中國、香港及澳門等受美國出口管制地區。</p> <p>根據檢調調查方向，涉案設備為搭載高階AI晶片的伺服器，疑似透過第三地轉運、虛報貨品流向等方式規避出口管制，目前朝偽造文書、背信及違反貿易相關法令等方向持續偵辦。</p> <h2 dir="ltr" style="line-height:1.38;margin-top:18pt;margin-bottom:4pt;"><span style="color:#B22222;"><span style="font-size:20px;"><span id="docs-internal-guid-18b089ca-7fff-f083-fd34-678acf020adb"><span style="font-family: Arial, sans-serif; background-color: transparent; font-weight: 700; font-variant: normal; vertical-align: baseline; white-space: pre-wrap;">基隆地檢署5月立案後擴大追查供應鏈</span></span></span></span></h2> <p>基隆地檢署是在今年5月展開首波搜索行動，當時檢調鎖定疑似協助高階AI伺服器非法出口的3名相關人士的居住所與公司12處進行搜索，並展開扣押與約談。</p> <p>進入6月底後，檢調展開第二波搜索行動，將調查範圍擴大到供應鏈上游與周邊服務業者，包括美超微台灣分公司、青雲科技及是方電訊等單位。</p> <p>相較於首波調查主要聚焦於涉案個人與直接出口鏈條，第二波搜索擴大至AI伺服器供應鏈全流程，包括系統製造、通路銷售、物流運輸與資料中心代管等環節，顯示檢調正追查設備從採購、存放、出貨到最終流向的完整鏈結。</p> <p>遭搜索的青雲科技發布重大訊息表示，公司全力配合檢調調查，目前營運、財務及業務均維持正常，不受本案影響。不過事件曝光後，市場擔憂案件後續發展，該公司股價跌停鎖住。</p> <h2 dir="ltr" style="line-height:1.38;margin-top:18pt;margin-bottom:4pt;"><span style="color:#B22222;"><span id="docs-internal-guid-18b089ca-7fff-f083-fd34-678acf020adb"><span style="font-size: 17pt; font-family: Arial, sans-serif; background-color: transparent; font-weight: 700; font-variant: normal; vertical-align: baseline; white-space: pre-wrap;">是方：僅提供機房代管服務，未參與設備交易</span></span></span></h2> <p>國內知名IDC機房業者是方電訊也被列為搜索對象，是方今天先後發布重大訊息及聲明澄清，公司此次是配合檢調調查機房客戶涉及AI設備非法輸出案件，本身並非設備所有人，也未參與設備交易。</p> <p>是方表示，該公司提供IDC資料中心及機房代管服務，依法無權介入客戶放置於機房內設備的內容、用途及流向，也無法自行檢視或處分客戶設備，該公司依政府要求配合調查，全力協助釐清案件。</p> <p>是方也表示，目前公司營運、財務及業務均維持正常，事件對營運沒有重大影響，並將依既有資料中心管理機制，若發現客戶涉及違法情形，將依契約及法令規定配合主管機關辦理。</p> <h2 dir="ltr" style="line-height:1.38;margin-top:18pt;margin-bottom:4pt;"><span style="color:#B22222;"><span id="docs-internal-guid-18b089ca-7fff-f083-fd34-678acf020adb"><span style="font-size: 17pt; font-family: Arial, sans-serif; background-color: transparent; font-weight: 700; font-variant: normal; vertical-align: baseline; white-space: pre-wrap;">美司法部3月已調查AI伺服器違反出口禁令</span></span></span></h2> <p>除了臺灣檢調的偵辦外，今年3月美國司法部針對相似違反出口管制的案件提出刑事起訴，起訴美超微共同創辦人廖益賢（Wally Liaw）等3人，指控其涉嫌自2022年起透過第三地公司與不實交易安排，規避美國出口管制，將搭載Nvidia高階GPU的AI伺服器轉運至中國，涉案金額約25億美元。</p> <p>美國司法部指出，相關行為涉及偽造最終用戶資訊、利用境外公司下單及變更設備流向等手法，以規避出口限制，該案件成為美國近年針對AI晶片與高階運算設備出口管制的重要案件之一。</p> <h2 dir="ltr" style="line-height:1.38;margin-top:18pt;margin-bottom:4pt;"> </h2> </div></div></div>
6/30 18:57作者蘇文彬https://www.ithome.com.tw/news/176991
【資安日報】6月30日，網路曬票存在風險，資安署呼籲民眾應有效遮蔽條碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><h3><strong>本日新聞焦點</strong></h3> <p>● <a href="https://www.ithome.com.tw/news/176976#BarCode">網路曬票存在風險，應有效遮蔽票券條碼資訊</a></p> <p>● <a href="https://www.ithome.com.tw/news/176976#TinyRCT">中國駭客於東南亞政府及能源設施散布後門TinyRCT</a></p> <p>● <a href="https://www.ithome.com.tw/news/176976#SimpleHelp">SimpleHelp滿分重大漏洞被用於散布惡意軟體</a> <a id="BarCode" name="BarCode"></a></p> <p> </p> <p><a href="https://www.ithome.com.tw/news/176968"><span style="font-size: 22px;"><strong>資安署解析網路曬票風險，呼籲民眾有效遮蔽儲存許多資訊的票券條碼</strong></span></a></p> <p><a href="/sites/default/files/images/show-ticket-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/show-ticket-63.jpg" style="width: 300px; float: right;" /></a></p> <p>為了提高民眾的防範意識，數位發展部資通安全署召開記者會，提醒民眾在社群媒體上習以為常的「曬票打卡」行為，看似無害地分享喜悅，實則可能在瞬間讓個人旅遊行程、訂位資訊、乃至入場資格拱手讓人。資安署署長蔡福隆表示，機票與演唱會門票上的條碼，並非只是供驗票閘門識別的符號，而是包含大量個人敏感資訊的微型資料庫。一旦這些照片在未經妥善處理的情況下流出，任何人都可能在幾秒內取得關鍵個資，進而對票券擁有者造成難以估量的損害。<a href="https://www.ithome.com.tw/news/176968">詳全文</a> <a id="TinyRCT" name="TinyRCT"></a></p> <p><a href="https://www.ithome.com.tw/news/176945"><span style="font-size: 22px;"><strong>中國駭客UAT-7237鎖定東南亞政府及能源關鍵基礎設施，散布後門TinyRCT</strong></span></a></p> <p><a href="/sites/default/files/images/word-image-766082-182868-9-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/word-image-766082-182868-9-63.jpg" style="width: 300px; float: right;" /></a></p> <p>Palo Alto Networks威脅研究團隊Unit 42追蹤中國駭客CL-STA-1062攻擊行動，近期攻擊範圍延伸至東南亞政府機關與能源關鍵基礎設施。Unit 42認為，這與思科威脅情報團隊Talos稱為UAT-7237的駭客團體是同一批人馬，當時傳出曾攻擊臺灣網站的代管基礎設施。駭客至少自2022年3月開始活動，2025年則鎖定東南亞政府、能源產業與國營企業。CL-STA-1062於2025年9月入侵東南亞政府機關，部署可遠端下指令的後門程式，同年10月至12月，至少有10個組織疑似遭入侵。<a href="https://www.ithome.com.tw/news/176945">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176972"><span style="font-size: 22px;"><strong>俄羅斯駭客Turla使用後門StockStay於烏克蘭從事間諜活動</strong></span></a></p> <p><a href="/sites/default/files/images/stockstay-fig1-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/stockstay-fig1-63.jpg" style="width: 300px; float: right;" /></a></p> <p>俄羅斯自2022年2月入侵烏克蘭，戰爭持續超過4年尚未結束，而這段期間，俄羅斯駭客配合軍事行動從事網路間諜活動的情形陸續傳出，最近Google威脅情報團隊（GTIG）揭露的後門程式StockStay，就是被稱為Turla、UAC-0194、Secret Blizzard俄羅斯駭客團體用於間諜活動的工具。相關攻擊行動可追溯至2022年12月，Turla曾對烏克蘭政府機關與軍事組織，以及對義大利外交政策感興趣的組織使用StockStay。此後門程式由數個不同的元件組成，起初被偽裝成股市資料檢視工具而得名。<a href="https://www.ithome.com.tw/news/176972">詳全文</a> <a id="SimpleHelp" name="SimpleHelp"></a></p> <p><a href="https://www.ithome.com.tw/news/176957"><span style="font-size: 22px;"><strong>遠端監控與管理軟體SimpleHelp滿分重大漏洞已遭利用</strong></span></a></p> <p>上個月遠端監控與管理軟體SimpleHelp發布5.5.16與6.0 RC2更新，修補CVSS風險評分達到滿分10分的重大漏洞CVE-2026-48558，如今此漏洞已出現實際攻擊。資安公司Blackpoint提出警告，他們在一家偵測與回應代管（MDR）廠商的資安事故裡，發現攻擊者利用了CVE-2026-48558，於SimpleHelp伺服器建立技術人員（Technician）連線，隨後部署惡意程式載入工具TaskWeaver，以及竊資軟體Djinn Stealer，竊取AI開發工具及開發環境的憑證資料。<a href="https://www.ithome.com.tw/news/176957">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176961"><span style="font-size: 22px;"><strong>美國警示SimpleHelp滿分漏洞被用於實際攻擊</strong></span></a></p> <p>資安公司Blackpoint近日指出，他們發現有人利用SimpleHelp滿分重大漏洞CVE-2026-48558，對一家偵測與回應代管（MDR）廠商散布惡意程式TaskWeaver與Djinn Stealer，6月29日美國網路安全與基礎設施安全局（CISA）表示，他們將CVE-2026-48558列入已遭利用漏洞清單（KEV），並要求聯邦機構在7月2日前完成修補，原因是已掌握該漏洞遭到積極利用的證據。至於該漏洞是否被用於勒索軟體活動？CISA表示不清楚。<a href="https://www.ithome.com.tw/news/176961">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/176963"><span style="font-size: 22px;"><strong>Lantronix漏洞疑遭逆向分析修補內容後利用，OpenWrt裝置也遭暴力破解</strong></span></a></p> <p><a href="/sites/default/files/images/Lantronix-blog-Brute-Force-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/Lantronix-blog-Brute-Force-63.jpg" style="width: 300px; float: right;" /></a></p> <p>物聯網與遠端連線設備業者Lantronix旗下序列埠轉IP設備EDS5000存在重大漏洞CVE-2025-67038，美國網路安全與基礎設施安全局（CISA）於6月23日將其列入已遭利用漏洞（KEV）名單。網路資產管理與資安業者Forescout隨後於6月25日發布研究，揭露這項漏洞的實際濫用跡象。攻擊者在4月5日開始利用CVE-2025-67038，時間點在Lantronix發布修補程式之後、完整技術細節公開之前。Forescout因此研判，攻擊者可能是透過逆向分析修補內容，自行開發漏洞利用程式。<a href="https://www.ithome.com.tw/news/176963">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176938"><span style="font-size: 22px;"><strong>駭客利用Joomla JCE漏洞攻擊政府網站，馬來西亞NC4示警</strong></span></a></p> <p>馬來西亞國家網路安全局（NACSA）旗下國家網路協調與指揮中心NC4於6月26日示警，觀察到多起涉及CVE-2026-48907已知漏洞的攻擊事件，造成多個政府部門網站受到影響，包括：衛生部、合作社委員會、手工藝發展局、婦女發展局等。由於美國網路安全與基礎設施安全局（CISA）已在6月16日，將此漏洞列入已遭利用漏洞清單（KEV），但當時具體受害者身分未公開，而本次事件則是首批有明確受害單位浮上檯面的案例。<a href="https://www.ithome.com.tw/news/176938">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176956"><span style="font-size: 22px;"><strong>Oracle E-Business Suite重大漏洞被用於實際攻擊</strong></span></a></p> <p><a href="/sites/default/files/images/HL-kDIfWQAADCkx-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/HL-kDIfWQAADCkx-63.jpg" style="width: 300px; float: right;" /></a></p> <p>6月29日威脅情報公司Defused Cyber於社群網站X提出警告，他們首度偵測到有人試圖利用Oracle E-Business Suite（EBS）漏洞CVE-2026-46817，由於該漏洞目前尚未有公開的概念驗證程式碼（PoC），因此後續情形相當值得繼續追蹤。CVE-2026-46817存在於EBS子系統Oracle Payments當中的檔案傳輸元件，未通過身分驗證的攻擊者只要透過HTTP存取就能輕易利用，一旦成功利用該漏洞，就能接管Oracle Payments，CVSS風險評為9.8分，Oracle於今年5月關鍵安全修補更新（CSPU）修補。<a href="https://www.ithome.com.tw/news/176956">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176959"><span style="font-size: 22px;"><strong>FIFA 2026足球賽詐欺生態圈存在近4千個冒牌網域</strong></span></a></p> <p><a href="/sites/default/files/images/FIFA-world-cup-attack-ecosystem-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/FIFA-world-cup-attack-ecosystem-63.jpg" style="width: 300px; float: right;" /></a></p> <p>2026年世界盃足球賽（FIFA World Cup）於6月11日展開，相關的網路詐騙呈現爆炸性增長，繼資安公司CTM360提出警告後，威脅情報公司Cyble揭露Operation FanTrap活動，駭客利用詐騙網域、社群媒體、即時通訊平臺、盜版球賽轉播，以及暗網活動等管道，建立經過協調的生態系統，該公司從今年5月開始，已確認近4千個冒充FIFA相關品牌、票務平臺、球賽串流服務，以及面向球迷資源的網域，藉由假的門票優惠、VIP優先入場計畫、接待服務、未經授權的串流平臺等誘餌，意圖引誘球迷上當。<a href="https://www.ithome.com.tw/news/176959">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176962"><span style="font-size: 22px;"><strong>美國查封近400個用於非法直播FIFA 2026賽事的網域</strong></span></a></p> <p>6月26日美國司法部（DOJ）宣布，他們發現近400個被用於未經授權轉播世界盃足球賽（FIFA World Cup）的網域，根據該國的版權法將其查封。這些被查封的網域被用來非法向用戶提供受版權保護的內容，以即時串流播放2026年世界盃足球賽。值得留意的是，這些盜版轉播網站不光涉及版權侵害，還有可能讓球迷暴露於潛在資安威脅，像是惡意軟體與不安全連線，而有可能洩露個資或財務資料。<a href="https://www.ithome.com.tw/news/176962">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176939"><span style="font-size: 22px;"><strong>波蘭破獲SIM卡挾持犯罪集團，透過接管門號竊取數位資產</strong></span></a></p> <p>波蘭中央網路犯罪局（CBZC）於6月25日宣布，在美國聯邦調查局（FBI）及國土安全調查局（HSI）協助下，逮捕4名涉嫌從事SIM卡置換（SIM Swapping）攻擊的犯罪集團成員。嫌犯利用專業軟體及社交工程，入侵與電信業者合作企業的資訊基礎設施及員工電子郵件，取得攻擊所需資料及受害者的門號控制權，接著犯罪集團便可攔截受害者的SMS簡訊及電子郵件驗證訊息，進而接管帳號並竊取數位資產，總金額超過500萬美元。<a href="https://www.ithome.com.tw/news/176939">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176943"><span style="font-size: 22px;"><strong>Amadey與StealC共用基礎設施，兩週內感染逾14萬臺電腦</strong></span></a></p> <p><a href="/sites/default/files/images/Amadey-StealC-20-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/Amadey-StealC-20-63.jpg" style="width: 300px; float: right;" /></a></p> <p>上週歐洲刑警組織（Europol）發表執法行動Operation Endgame最新一波成果，多國執法單位與微軟等多家企業組織聯手，成功破壞惡意程式SocGholish（FakeUpdates）、Amadey和StealC背後的犯罪基礎設施。參與此次執法的微軟，也透露本次打擊網路犯罪與過往的最大不同，他們針對的是網路攻擊供應鏈。僅五月前兩週，微軟就看到全球有14萬臺電腦感染這兩款惡意程式。這次該公司借助AI的力量進行分析，並指出雖然Amadey與StealC由兩組駭客團體在經營，卻仰賴相同的基礎設施。<a href="https://www.ithome.com.tw/news/176943">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176942"><span style="font-size: 22px;"><strong>攻擊者濫用OpenAI組織邀請，偽冒企業租戶誘騙員工加入</strong></span></a></p> <p>資安公司Push Security近期遭遇一起OpenAI組織邀請功能濫用事件。攻擊者建立名為「Push Security Inc」的OpenAI組織，透過OpenAI合法通知信邀請該公司特定員工加入，試圖讓受害者誤認這是公司正式租戶，進而在攻擊者控制的AI工作環境中使用ChatGPT或API。由於攻擊者並非偽造OpenAI郵件，而是濫用平臺本身提供的合法邀請機制，若員工誤以為公司已建立正式OpenAI組織，並開始在其中輸入機密資料，攻擊者就能掌握相關內容。<a href="https://www.ithome.com.tw/news/176942">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176966"><span style="font-size: 22px;"><strong>大規模Edge惡意延伸套件活動StegoAd超過2年，微軟移除119個惡意套件</strong></span></a></p> <p><a href="/sites/default/files/images/StegoAd-attack_modules-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/StegoAd-attack_modules-63.jpg" style="width: 300px; float: right;" /></a></p> <p>微軟揭露大規模攻擊行動StegoAd，有人於2024年初至2026年4月，於Microsoft Edge Add-ons Store使用超過90個帳號，上架119個惡意套件，這些套件標榜擋廣告、VPN服務、翻譯工具，以及下載影片等用途，且確實具備駭客描述的功能，然而實際上駭客利用隱寫術（steganography）將惡意程式碼埋藏在圖檔，藉此從事廣告詐欺，這些套件迄今已被下載260萬次，影響範圍可能相當廣泛。由於駭客採取的迴避偵測手法，使得惡意套件並非每次安裝後都會觸發惡意酬載，因此相關活動難以察覺。<a href="https://www.ithome.com.tw/news/176966">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176973"><span style="font-size: 22px;"><strong>美國聯邦保險監管機構遭Oracle PeopleSoft漏洞入侵導致資料外洩</strong></span></a></p> <p>美國聯邦保險監管機構National Association of Insurance Commissioners（NAIC）於6月26日指出，他們於6月11日遭遇Oracle PeopleSoft漏洞攻擊，導致駭客能在未取得授權的情況下，存取部分NAIC環境，該機構已封鎖駭客入侵的管道並進行修復。這起事故源自一起大規模攻擊活動，攻擊者利用PeopleSoft當時未公開的零時差漏洞，NAIC聘請律師與資安專家協助處理，美國聯邦調查局（FBI）也介入調查，NAIC亦掌握攻擊者公布竊得資料的情形。<a href="https://www.ithome.com.tw/news/176973">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176960"><span style="font-size: 22px;"><strong>libssh2 SSH函式庫重大漏洞公開PoC問世，利用風險升高</strong></span></a></p> <p>上週揭露的開源SSH函式庫libssh2重大漏洞CVE-2026-55200，如今已有研究人員公開概念驗證（PoC）程式碼，使漏洞遭利用的風險進一步升高。據資安媒體The Hacker News報導，已有研究人員在GitHub發布PoC程式，驗證漏洞可被觸發，雖然尚非可直接用於實際攻擊的完整利用程式，但已大幅降低後續開發攻擊工具的門檻。由於目前尚無正式的libssh2修補版本，The Hacker News建議採用英國國民保健署（NHS England）提出的緩解措施因應。<a href="https://www.ithome.com.tw/news/176960">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176964"><span style="font-size: 22px;"><strong>Dell修補Wyse管理平臺重大漏洞，未更新可能導致遠端程式碼執行</strong></span></a></p> <p>Dell近日發布資安公告，修補精簡型電腦（Thin Client）集中管理平臺Wyse Management Suite（WMS）的兩項漏洞。其中最嚴重的CVE-2026-41120，CVSS嚴重性評分達9.8分，問題源自WMS未能妥善區分可信任與非可信任資料，攻擊者僅需具備低權限遠端存取能力，即可利用漏洞在WMS伺服器執行任意程式碼，Dell已於WMS 5.5 HF1版完成修補。Dell這次修補的另一個漏洞是CVE-2026-49506，屬於路徑遍歷（Path Traversal）問題。<a href="https://www.ithome.com.tw/news/176964">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/176958"><span style="font-size: 22px;"><strong>Linux基金會旗下FINOS規畫成立開源企業韌性聯盟OSERA，協助金融業修補開源套件</strong></span></a></p> <p>AI加快漏洞發現與利用速度，也大幅壓縮企業部署修補的防禦空窗期。Linux基金會旗下金融服務開源組織FINOS於Open Source in Finance Forum宣布，計畫成立開源企業韌性聯盟（Open Source Enterprise Resiliency Alliance，OSERA），協助金融機構與其他受監管企業共同處理開源軟體供應鏈風險。OSERA定位為全球性、廠商中立且由會員共同治理的聯盟，目標是針對金融機構採用的共通開源套件版本，建立聯合修補、驗證與採用機制。<a href="https://www.ithome.com.tw/news/176958">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/176967"><span style="font-size: 22px;"><strong>微軟延長Windows Server 2022熱修補支援至2027年10月</strong></span></a></p> <p>6月26日微軟宣布，Windows Server 2022 Datacenter: Azure Edition的熱修補（Hotpatch）支援期限，將從原本的2026年10月延長至2027年10月。這項調整即日起生效，已啟用此功能的伺服器不需要額外採取行動，仍會依照既有的每月更新週期，接收以熱修補形式發布的安全更新。這次的調整代表，Windows Server 2022 Datacenter: Azure Edition的熱修補機制將再提供1年，不會因主流支援於2026年10月結束而停止。<a href="https://www.ithome.com.tw/news/176967">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176935"><span style="font-size: 22px;"><strong>從DevSecOps走向信任設計，酷澎指出資安更大的目標是消除使用者不確定感</strong></span></a></p> <p>【臺灣資安大會直擊】酷澎全球資安總監Stanley Chou（周彥儒）指出，資安不僅是技術防護，更要延伸為「信任設計」，核心目標是消除使用者的不確定感。他提出三步驟：定義關鍵場景、找出信任失效模式、建立信任承諾，並透過邊界、保證與韌性三維度驗證。酷澎以FIDO2 Passkey免密碼登入為例，降低「秘密共享」的不安，提升使用者信賴。此設計已累積逾50萬金鑰，採用率與使用率均高，展現信任設計的成效與持續優化方向。<a href="https://www.ithome.com.tw/news/176935">詳全文</a></p> </div></div></div>
6/30 14:53作者周峻佑https://www.ithome.com.tw/news/176976
CI/CD供應鏈存在Cordyceps風險，GitHub Actions流程恐遭挾持
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>AI滲透測試平臺業者Novee Labs公開一類名為<a href="https://novee.security/blog/cordyceps/" target="_blank"><strong>Cordyceps的CI/CD供應鏈風險</strong></a>，指出許多開源專案使用GitHub Actions建立自動化工作流程時，若未妥善處理外部輸入與執行權限，攻擊者可能藉由留言、拉取請求（Pull Request，PR）、分支名稱，或流程產生的檔案與輸出資料，讓自動化流程執行非預期指令，進而竊取憑證、操控儲存庫，甚至影響後續軟體發布。</p> <p>Cordyceps並非GitHub平臺本身的漏洞，而是自動化流程設計與維護上的安全缺陷。GitHub Actions常被用來執行測試、建置、發布套件與部署雲端資源，也可能握有簽署金鑰、權杖或雲端存取權限，因此相關設定雖然看似只是專案設定檔，實際上卻可能接觸程式碼、金鑰與雲端服務。當流程把外部使用者可控制的內容視為可信資料，就可能讓攻擊者借用專案原本授予自動化系統的權限。</p> <p>研究團隊掃描約3萬個高影響力儲存庫，初步標記654個儲存庫，其中超過300個被確認可被利用，影響包括讓流程執行攻擊者控制的程式碼、偽造CI檢查並繞過合併門檻、污染建置或發布流程、竊取雲端憑證或自動化權杖，以及透過自動化機器人帳號影響專案操作。該公司也列舉微軟、Google、Apache、Cloudflare與Python Software Foundation等組織相關開源專案案例。</p> <p>Cordyceps風險不一定會出現在單一設定檔中，而是常發生在多個流程串接之後，例如低權限流程先接收外部貢獻者提交的內容，再透過流程產生的檔案、輸出資料或環境檔，把資料交給高權限流程處理。當高權限流程同時能存取寫入權限或雲端憑證，攻擊者就可能把不可信資料帶進受信任環境。以單一工作流程檔做規則比對的工具，便較難發現此類問題。</p> <p>AI程式碼代理工具可能放大這類風險，因為這些工具能快速產生或修改CI/CD設定，要是缺少安全審查，同一種錯誤可能被複製到更多專案。研究人員提醒，開發者應把CI/CD流程視為安全關鍵程式碼，重新檢查外部輸入、流程權限、憑證使用方式，以及自動化步驟能觸及的發布管線與雲端部署權限。</p> </div></div></div>
6/30 16:27作者李建興https://www.ithome.com.tw/news/176978
Arena將AI模型評測變現，年化收入達1億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://arena.ai/blog/arena-100m-revenue/" target="_blank">AI模型評測平臺Arena周一（6/29）宣布</a>，旗下企業版AI模型評測服務AI Evaluations推出8個月，年化收入（Annualized Run-Rate Revenue）已達1億美元。</p> <p>Arena源自加州大學柏克萊分校2023年的AI模型評測研究專案，最初名為LMArena，以<a href="https://arena.ai/" target="_blank">免費AI模型評測平臺</a>打開知名度，使用者只要輸入同一個Prompt，系統便會將其分別交由兩個匿名AI模型回答，再由使用者投票選出較佳答案，藉此蒐集大量真人偏好資料，建立AI模型排行榜，之後於2025年4月正式成立公司。該平臺目前已累積逾7億筆對話、8,200萬次投票及每月超過1,000萬名訪客，成為AI業界觀察模型表現的重要指標之一。</p> <p>2025年9月，Arena推出企業版AI模型評測服務<a href="https://arena.ai/blog/ai-evaluations/" target="_blank">AI Evaluations</a>，向企業、AI模型實驗室及開發者提供基於真人回饋的模型評測與分析服務，協助客戶了解模型在實際應用中的表現、優勢、弱點及取捨。Arena表示，AI Evaluations也提供可追溯的評測資料樣本及服務水準協議（SLA），協助客戶更有效率地評估及改善AI模型。</p> <p>Arena表示，年化收入突破1億美元，代表公司已建立可持續的商業模式，未來將持續投資Arena平臺，推出更多功能、工具及AI協作方式。其中，Agent Mode可評估AI代理執行長時間、多步驟任務時的完成率及幻覺率，以補足傳統靜態基準測試的不足；該功能推出僅1個月，每月已處理逾500萬次互動，且每周成長約10%。</p> <p>此外，Arena也感謝使用者貢獻數億筆對話及數千萬次投票，強調使用者投票不僅支撐免費且獨立的評測平臺，也有助於引導AI模型朝更符合使用者偏好與價值的方向發展。</p> <p>同樣成立於2024年的<a href="https://www.ithome.com.tw/news/169673" target="_blank">AI模型評測平臺Yupp</a>則已於今年3月31日宣布停止營運。<a href="https://blog.yupp.ai/winddown/" target="_blank">當時Yupp表示</a>，該公司原本希望打造AI模型評測的雙邊市場，讓使用者免費使用多個AI模型，再利用真實使用資料協助AI實驗室評估模型，儘管累積逾130萬名使用者，也曾有多家AI實驗室付費使用，但仍未找到足以支撐營運的產品市場契合，因此決定關閉服務。</p> </div></div></div>
6/30 15:20作者陳曉莉https://www.ithome.com.tw/news/176979
日產汽車證實Oracle PeopleSoft系統被駭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>日本汽車大廠日產（Nissan）證實，近日公司使用的Oracle PeopleSoft系統遭駭，導致美洲分公司資料外洩，內容包括員工薪資、稅務與人事檔案。</p> <p>根據北美日產（Nissan North America Inc.）上周<a href="https://oag.ca.gov/privacy/databreach/list" target="_blank">向加州總檢察長辦公室（OAG）提交的資料外洩通知</a>，事件發生在2026年5月27日到6月9日之間，影響範圍涵括美國、加拿大、墨西哥和巴西等分公司。</p> <p>日產在通知信件中，說明攻擊者利用該公司的HRM系統Oracle PeopleSoft的漏洞，存取了屬於前任和現任員工的資訊。外洩資料包括員工姓名、地址等基本資料，銀行帳號、薪資、稅務資料等財務資訊，以及政府身分證件資訊包括社會安全號碼、社會保險號碼、國民身分證字號等。此外還有員工的受扶養人以及受益人的個人資訊。</p> <p>日產已通知受影響的人員，並表示已與外部資安專家合作切斷未授權存取並強化系統安全、通報司法與監管機關。為了防止薪資盜領等非法行為，該公司也針對處理薪資變更與請求的流程，強制實施多因素身分驗證（MFA），並對受影響的員工提供信用監測或暗網監控服務。</p> <p>這家日本汽車大廠可能是6月以來最新曝光的Oracle PeopleSoft被駭的受害者。Google及旗下Mandiant研究人員<a href="https://cloud.google.com/blog/topics/threat-intelligence/shinyhunters-targets-education-sector-oracle-exploit" target="_blank">推斷</a>，駭客組織ShinyHunters從5月底到6月初濫用了PeopleSoft的CVE-2026-35273漏洞。<a href="https://www.ithome.com.tw/news/176529" target="_blank">ShinyHunters聲稱</a>成功駭入了上百家組織，包括已經證實資料外洩的英國諾丁漢大學。</p> <p>今年4月日產還有另一起資料外洩事件。<a href="https://cybernews.com/security/everest-nissan-data-breach-ultimatum/" target="_blank">媒體報導指出</a>，北美日產（Nissan & Infiniti）經銷商體系所使用的第三方IT外包商GCSSD於今年1月遭到入侵。後者存取該業者處理與傳輸日產經銷商資料的FTP伺服器。勒索軟體組織Everest聲稱，成功竊取高達900GB的資料庫檔案，包含客戶、經銷商、財務和原始程式碼資料，涵括2013年到2026年1月的資料。由於Nissan拒絕支付贖金，Everest組織選在2026年4月1日正式對外公開此事件，並在4月中旬將所有資料在暗網與駭客論壇上全面流出。</p> </div></div></div>
6/30 15:42作者林妍溱https://www.ithome.com.tw/news/176980
美國聯邦保險監管機構遭Oracle PeopleSoft漏洞入侵導致資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>6月上旬駭客組織ShinyHunters傳出利用零時差漏洞CVE-2026-35273發動大規模攻擊，<strong><a href="https://www.ithome.com.tw/news/176529">號稱駭入上百家企業組織的Oracle PeopleSoft伺服器</a></strong>，如今傳出美國監管機構受害。</p> <p>根據<strong><a href="https://www.infosecurity-magazine.com/news/us-insurance-regulator-confirms/">資安新聞網站Infosecurity Magazine報導</a></strong>，美國聯邦保險監管機構National Association of Insurance Commissioners（NAIC）於6月26日指出，他們於6月11日遭遇Oracle PeopleSoft漏洞攻擊，導致駭客能在未取得授權的情況下，存取部分NAIC環境，該機構已封鎖駭客入侵的管道並進行修復。NAIC強調，這起事故源自一起大規模攻擊活動，攻擊者利用PeopleSoft當時未公開的零時差漏洞犯案而得逞，NAIC聘請律師與資安專家協助處理，美國聯邦調查局（FBI）也介入調查，NAIC亦掌握攻擊者公布竊得資料的情形。</p> <p>針對事故曝險的範圍，NAIC表示他們在PeopleSoft存放了內部的財務報告資料，攻擊者可能取得公開的法定財務報告、信用評等機構的資料等，但不含個人可識別資訊（PII）、付款及財務資訊遭存取。不過，NAIC並未透露的CVE編號，也沒有說明攻擊者的身分。</p> </div></div></div>
6/30 13:21作者周峻佑https://www.ithome.com.tw/news/176973
立院三讀通過「虛擬資產服務法」，服務商採許可制，金融業可申請兼營
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>立法院今天(6/30)三讀通過「虛擬資產服務法」，象徵臺灣虛擬資產產業正式由過去以「洗錢防制法」為核心的登記管理模式，進一步邁向涵蓋業務監理、投資人保護與金融穩定的專法治理階段。</p> <p>在此之前，金管會即以4階段逐步強化對虛擬資產服務的管理。第一階段在2021年修改現有的洗錢防治法，先將VASP納入管理，第二階段於2024年促成「虛擬資產服務商」（Virtual Asset Service Provider, VASP）成立公會，以訂定產業自律規範，第三階段為在洗防法中建立VASP登記制度，第四階段是推動「虛擬資產服務法」立法，以更完整規範VASP業者。</p> <p><span style="font-size:20px;"><span style="color:#B22222;"><strong>VASP</strong><strong>從登記制到許可制，涵蓋交易、保管與借貸等業務</strong></span></span></p> <p>依據新法，未來VASP業者將全面改採「事前許可制」，業者須符合最低資本額、營業保證金、內部控制與內部稽核等要求，並向金管會申請執照後方可經營。已完成洗錢防制登記的業者，未來需於新法施行後一年內提出申請，並在最長2年的緩衝期內取得許可。</p> <p>新法所規範的執照類型涵蓋虛擬資產交換、交易平台、移轉、保管、承銷、借貸及其他相關業務。因不同業務涉及的風險程度與監理強度不同，金管會後續將會公布相關子法與管理辦法。</p> <p>在新法三讀通過後，資誠聯合會計師事務所金融產業服務營運長郭柏如表示，「虛擬資產服務法」三讀通過，代表臺灣的虛擬資產監理已從單一的洗錢防制要求，升級為「業務監理＋投資人保護＋金融穩定」的完整框架，有助於推動亞洲資產管理中心政策及區域數位金融發展。</p> <p><span style="font-size:20px;"><span style="color:#B22222;"><strong>金融業可申請兼營，數位金融生態系開始整合</strong></span></span></p> <p>此次專法另一項重要變革，是明文開放傳統金融業者得申請兼營虛擬資產相關業務。</p> <p>除既有VASP業者外，銀行、證券及其他金融機構未來可在符合金管會資格條件下申請兼營，或透過旗下子公司取得相關執照。這意味著虛擬資產業務將逐步與既有金融體系整合，形成更完整的數位金融供應鏈。</p> <p>不過，金融機構若投入相關業務，仍須考量基礎設施建置成本、洗錢防制與資安要求，以及巴塞爾銀行監理委員會（BCBS）加密資產分類框架所涉及的額外資本計提要求。</p> <p><span style="font-size:20px;"><span style="color:#B22222;"><strong>穩定幣納入專章管理，準備資產須存放境內</strong></span></span></p> <p>「虛擬資產服務法」也首度以專章方式規範穩定幣發行。</p> <p>依規定，未來穩定幣發行人必須取得金管會許可，並將足額準備資產存放於境內金融機構，且須與自有財產分別保管、定期查核並對外揭露。此外，穩定幣須以面額發行與贖回，且不得支付任何形式的利息或收益。</p> <p>這項設計被視為兼顧創新與金融穩定的重要機制，有助於降低穩定幣挪用準備金或流動性不足的風險。</p> <p><span style="font-size:20px;"><span style="color:#B22222;"><strong>強化投資人保護與反詐機制</strong></span></span></p> <p>在投資人保護方面，專法也要求VASP必須將客戶資產分離保管，建立商品上下架審查與資訊揭露機制，並禁止誇大不實或誤導性廣告，同時強制業者加入同業公會。</p> <p>作為政府與產業的溝通管導及產業自律組織，VASP公會表示，專法通過後，後續將協助主管機關制定相關的子法，例如設置辦法、人員管理規則、管理辦法、內部控制制度處理準則、異常交易管理辦法、委外作業辦法、財報編製準則等等，同時也將透過「上、下架審查」、「紀律」及「防範金融詐騙、洗錢暨法遵」等委員會，協助業者平穩過渡至新制度。該公會也將串聯檢警調、金融機構與合規VASP業者，建立情資共享、可疑交易通報、鏈上交易分析與風險地址辨識等聯防機制，以提升詐騙與金融犯罪防制能力。</p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>未經許可最高可罰1</strong><strong>億元，涉操縱市場可重判</strong><strong>10年</strong></span></span></p> <p>相較於先前的「洗錢防制法」，對於未登記經營只處2年以下有期徒刑或500萬元以下罰金，新法大幅提高罰則。</p> <p>未經許可經營虛擬資產服務業務者，最重可處7年以下有期徒刑，並得併科1億元以下罰金；若涉及操縱虛擬資產交易價格或供需，則可處3年以上、10年以下有期徒刑，併科1,000萬元以上、2億元以下罰金。</p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>從自律走向專法治理</strong></span></span></p> <p>這次專法通過，VASP公會認為，象徵臺灣虛擬資產產業正式由產業自律邁向專法治理，未來將以「納管與創新並行」為核心，在保障投資人權益的同時，推動虛擬資產與主流金融體系融合發展。</p> <p>未來隨專法建立VASP許可制、穩定幣管理、金融業兼營、反詐聯防機制、投資人保護等制度上路，國內數位金融監理架構從早期的洗錢防制管理，進一步發展為涵蓋市場秩序、資產安全與金融穩定的完整制度，對於虛擬資產產業將可提供明確的發展路徑。</p> </div></div></div>
6/30 15:15作者蘇文彬https://www.ithome.com.tw/news/176977
大規模Edge惡意延伸套件活動StegoAd超過2年，微軟移除119個惡意套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>一般而言，駭客針對瀏覽器用戶發動攻擊，多半會針對用戶比例最高的Chrome而來，其中一種是在Chrome Web Store上架惡意延伸套件，如今有專門針對Edge用戶的攻擊行動。</p> <p>微軟揭露<strong><a href="https://microsoftedge.github.io/edgevr/posts/Inside-StegoAd-How-We-Disrupted-a-Massive-Malicious-Extension-Campaign/">大規模攻擊行動StegoAd</a></strong>，有人於2024年初至2026年4月，於Microsoft Edge Add-ons Store使用超過90個帳號，上架119個惡意套件，這些套件標榜擋廣告、VPN服務、翻譯工具，以及下載影片等用途，且確實具備駭客描述的功能，然而實際上駭客利用隱寫術（steganography）將惡意程式碼埋藏在圖檔，藉此從事廣告詐欺，這些套件迄今已被下載260萬次，影響範圍可能相當廣泛。</p> <p>值得留意的是，由於駭客採取的迴避偵測手法，並非每次惡意套件安裝後都會觸發惡意酬載執行，因此相關活動難以察覺。然而駭客使用了相同的基礎設施、程式碼存在相同特徵、並使用相同的AdSense發布ID與Google Analytics等證據，因此微軟認為，這些套件都是由同一個駭客團體上架，該公司已清除攻擊者使用的帳號，並下架所有惡意套件。</p> <p>這些惡意套件模仿熱門延伸套件，並具備對應的功能，然而它們內含的惡意元件會在使用者電腦休眠3至5天，目的是確保在沙箱環境不會被觸發，再者，惡意套件也內建偵測瀏覽器開發工具是否運作，以免用戶以此察覺攻擊活動。後續這些套件會從C2伺服器擷取PNG圖片，並透過Base64、XOR演算法，以及字元交換等機制解出惡意酬載並執行。</p> <p>微軟指出，儘管攻擊者的目標是廣告詐欺，惡意酬載會在網頁注入未經授權的廣告，挾持亞馬遜、eBay和AliExpress等購物網站的聯盟佣金，並重新導向搜尋結果，然而根據他們的分析，該酬載還能竊取Google與WordPress帳號的憑證、收集Cookie，甚至提供攻擊者遠端執行程式碼的後門能力，其帶來的威脅遠超過廣告詐欺。</p> </div></div></div>
6/30 12:21作者周峻佑https://www.ithome.com.tw/news/176966
微軟延長Windows Server 2022熱修補支援至2027年10月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://learn.microsoft.com/en-us/windows/release-health/status-windows-server-2022">6月26日微軟（Microsoft）宣布</a>，Windows Server 2022 Datacenter: Azure Edition的熱修補（Hotpatch）支援期限，將從原本的2026年10月延長至2027年10月。這項調整即日起生效，已啟用此功能的伺服器不需要額外採取行動，仍會依照既有的每月更新週期，接收以熱修補形式發布的安全更新。</p> <p><a href="https://learn.microsoft.com/zh-tw/windows-server/get-started/hotpatch">熱修補是微軟提供的作業系統安全性更新機制</a>，目前於Windows Server 2022與Windows Server 2025的Datacenter: Azure Edition提供，可將安全修補套用到正在記憶體執行的處理程序，讓系統無須在每次安裝更新後重新啟動，協助企業減少停機時間，並加速完成漏洞修補作業。不過，這項機制並不適用於所有更新；若伺服器安裝非安全性更新或.NET修補等非Windows更新，仍可能需要重新啟動系統。</p> <p><a href="https://learn.microsoft.com/en-us/lifecycle/products/windows-server-2022" target="_blank">根據微軟產品生命週期資料</a>，Windows Server 2022適用固定生命週期政策，涵蓋Datacenter、Datacenter: Azure Edition、Essentials與Standard等版本，主流支援將於2026年10月13日結束，延伸支援則到2031年10月14日。這次調整代表，Windows Server 2022 Datacenter: Azure Edition的熱修補機制將持續提供至2027年10月，不會因主流支援於2026年10月結束而停止。</p> </div></div></div>
6/30 12:30作者王珮瑤https://www.ithome.com.tw/news/176967
一張打卡照，讓你的假期與演唱會門票落入他人之手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>許多人習慣在社群軟體上分享自己的動態，不論旅遊或參加演唱會，都會手拿票券開心地拍照。只不過，手中拿到的票券，若未妥善遮蔽將儲存許多票券和個人訊息的QR Code（二維條碼），就有可能會被黃牛或有心人士利用，導致旅遊行程被取消或惡意更動，甚至演唱會的票券被黃牛一票多賣並讓他人先入場後，還被檢舉而成為黃牛，必須應付許多後續的問題。</p> <p>為了提高民眾的防範意識，數位發展部資通安全署於日前（6月26日）召開記者會，資安署署長蔡福隆表示，社群媒體上習以為常的「曬票打卡」行為，看似無害地分享喜悅，實則可能在瞬間讓個人旅遊行程、訂位資訊、乃至入場資格拱手讓人。</p> <h1><span style="color:#B22222;">社群媒體發文，只分享喜悅而不分享風險</span></h1> <p>蔡福隆指出，每逢演唱會開票或出國旅遊旺季，民眾在社群平臺分享機票登機證或演唱會門票的照片，早已蔚然成風，「終於要飛了」、「等了二十年的神席」等發文屢見不鮮。然而，在駭客眼中，這些充滿期待的打卡照片，並不只是分享喜悅，而是「主動交出鑰匙」。</p> <p>蔡福隆強調，機票與演唱會門票上的條碼，並非只是供驗票閘門識別的符號，而是包含大量個人敏感資訊的微型資料庫。一旦這些照片在未經妥善處理的情況下流出，任何人都可能在幾秒內取得關鍵個資，進而對票券擁有者造成難以估量的損害。</p> <p>他表示，資安署此次召開記者會，正是希望以具體的案例與數據，讓民眾認識條碼的真正風險，建立「分享喜悅、不分享風險」的資安意識。</p> <p>他也特別指出，許多民眾以為只要稍微遮蔽或模糊條碼就能高枕無憂，但事實上這樣的防護措施遠遠不夠。資安署希望透過此次活動，讓每一位民眾在拍照發文前，都能先問自己：「我的條碼遮好了嗎？」</p> <h1><span style="color:#B22222;">一維條碼與二維條碼的天壤之別</span></h1> <p>資安署綜合規劃組組長李東宜特別從條碼的基礎知識切入，系統性拆解機票與演唱會門票的條碼風險。他首先說明，許多民眾將條碼（一維條碼）與QR Code（二維條碼）混為一談，事實上，兩者在資料儲存能力與風險程度上，有著天壤之別，必須分開理解。</p> <p>李東宜表示，一維條碼（Bar Code）又稱線性條碼，是日常生活中最常見的條碼型態，外觀為一系列平行排列、粗細不一的黑色線條與白色空白交替組成，用以代表特定的英文字母或數字序列。以機票上的一維條碼為例，其中往往已內藏旅客姓名全名拼音、訂位代號（PNR）、航班號碼、出發地與目的地、座位號碼，乃至航空公司的會員編號等關鍵資訊。一般人看著那一排黑白線條，只覺得是進出閘門的門票，卻不知道這張小小的條碼，早已將自己的完整旅程資訊悉數收錄其中。</p> <p>至於二維條碼（QR Code），其危險性又更高出一個層級。李東宜指出，QR Code通常呈現方塊狀，或由許多小點與幾何圖形組成，是一個真正的「微型攜帶式資料庫」，相較於一維條碼只能單方向儲存有限資料，二維條碼的資料容量大幅提升，能夠在遠比一維條碼更小的面積內存放更複雜、更龐大的資訊。</p> <p>他直言，更令人警惕的是，QR Code具備極高的「容錯率」，即使拍照時角度歪斜、畫面反光，甚至只露出條碼的一部分，現代掃描設備依然能在0.1秒內，完美讀取整張票券的底層資料，無一遺漏。</p> <p>「這就是為什麼很多民眾以為遮住一半就沒問題，其實那完全是誤解。」李東宜說。他特別指出三種常見的錯誤遮蔽方式，這些遮蔽方式其實並不具有遮蔽的效果。第一種是用iPhone的螢光筆塗抹功能，由於螢光筆塗抹具有透明度，條碼線條依然可辨識，有心人士仍可還原。</p> <p>第二種是低強度模糊化或馬賽克處理，QR Code的矩陣結構形狀依然存在，甚至可被機器學習（AI）演算法還原解碼。</p> <p>第三種則是在PDF電子文件中疊加色塊遮擋，但這樣的色塊往往只是一個可自由移動的獨立圖層，只要在PDF編輯軟體中輕易拖移，條碼便重見天日。</p> <h1><span style="color:#B22222;">案例一：機票條碼資訊外洩的殺傷力</span></h1> <p>李東宜以機票條碼為例，說明其危害路徑。他指出，一張機票登機證上的一維條碼，至少包含以下幾個高風險個人資訊：訂位代號（PNR）為六碼英數組合，是掌控行程的核心鑰匙；旅客完整姓名拼音則是核對身分、登入航空公司系統的憑據；此外還有航班號碼、座位號碼及出發地目的地等行程細節。</p> <p>駭客的攻擊路徑分為三步，首先，擷取社群媒體上旅客發布的機票照片，掃描其上的一維條碼，取得訂位代號與旅客姓名拼音；其次，持上述資訊登入各大航空公司官網「管理我的行程」頁面，由於大多數航空公司僅以PNR加上旅客英文姓名作為登入驗證，門檻極低。</p> <p>第三步，登入成功後，駭客可任意竄改旅客的座位號碼、飛機餐點，乃至整段行程，讓票券主人的出行計畫完全落入他人掌控。他提醒，更嚴峻的現實是，一旦行蹤遭到掌握，旅客也可能成為惡意騷擾或跟蹤者鎖定的目標。</p> <h1><span style="color:#B22222;">案例二：演唱會門票一票多賣的QR Code陷阱</span></h1> <p>演唱會門票的風險，則集中在QR Code的可複製性上。李東宜指出，演唱會電子門票上的QR Code內含入場授權碼、票號及座位號碼，是進場的唯一憑證；電子閘門的運作邏輯只認條碼、不認人，只要成功掃描二維條碼，不論持票者是誰，閘門一律放行。</p> <p>駭客的手法是：先存下目標民眾在社群媒體分享的門票照片或截圖，擷取QR Code，複製出一張在系統中完全等效的電子假票，再以高價轉售給不知情的買家。</p> <p>當受騙買家搶先一步持假票在閘門掃碼入場後，系統即將該票券標記為「已入場」；等到原購票民眾興高采烈抵達會場，掏出手中的真票掃描，閘門亮起紅燈，顯示「此票券已入場」，當事人卻對整個過程一無所知。</p> <p>李東宜表示，更令人意外的副作用是，原購票民眾可能反被誤認為黃牛。他解釋，有受騙買家在發現門票遭偽造後，會依法向文化局提出檢舉；而系統在追溯票券源頭時，查出的「原購票者」正是那位無辜在社群媒體上曬票的票券主人。</p> <p>屆時，票券主人不只無緣入場，還可能收到文化局稽察黃牛的公文，更需自行提出書面陳述，也得檢附佐證資料進行澄清，費時費力，徒增困擾。</p> <h1><span style="color:#B22222;">「守護條碼就是守護權益」的四大防護原則</span></h1> <p>針對上述風險，李東宜也提出資安署建議的四大防護原則。首要原則是「不上傳有條碼的票券」，這是最簡單也最有效的防禦，他表示，最根本的防護就是讓鏡頭拍不到條碼，就不存在外洩風險；若確定要分享，就拍演唱會的現場氛圍照或旅途風景照，而非票券本身。</p> <p>第二項原則是「若要分享，務必完全遮蔽」，且必須採用「物理性」遮蔽法，例如用手、書本或其他不透明物品，在拍照時擋住票券上的「所有條碼與QR Code」，確保鏡頭完全拍不到條碼的任何部分。</p> <p>李東宜特別警告，像是螢光筆塗抹、數位馬賽克、PDF色塊等數位遮蔽手段均不可靠，唯有物理性的完整阻斷，才能真正有效遮蔽條碼資訊。</p> <p>第三項原則是「PDF遮蔽須存為不可編輯圖片」，若不得不以電子檔形式分享票券，應在遮蔽條碼後，將檔案另存為圖片格式，確保色塊與底圖合併為單一不可分離的圖層，而非保留可隨意移除的獨立圖層狀態。</p> <p>第四項原則是「用畢票券徹底撕毀再丟棄」，確保使用完的實體機票票根或演唱會入場票根，徹底撕碎或銷毀後再丟棄，以防被有心人士撿拾後，再次掃碼利用。</p> <p>面對這類票券遭到盜用，民眾該如何自力救濟？蔡福隆表示，就民事層面而言，若能舉證他人確有擅自登入航空系統竄改個人行程的行為，可依民法侵權行為相關規定請求損害賠償；就刑事層面，無故入侵他人帳號系統的行為亦涉及妨害電腦使用罪章的相關條文。</p> <p>但他也坦言，這類案件的舉證困難度相當高，因為航空公司登入系統，本身並不會留下充分的第三方入侵紀錄，追訴往往耗時費力。「不要對外分享任何與票券有關的資訊，才是最關鍵的自保之道。」蔡福隆說道。</p> </div></div></div>
6/30 12:55作者黃彥棻https://www.ithome.com.tw/news/176968
Google在美免費開放Nano Banana為基礎的個人化AI圖像生成工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://blog.google/innovation-and-ai/products/gemini-app/personal-intelligence-nano-banana-us-expansion/" target="_blank">Google本周宣布</a>將免費個人化AI圖像生成功能部署到Gemini App，不過首先提供給美國用戶。</p> <p><a href="https://www.ithome.com.tw/news/174478" target="_blank">今年3月Google宣布</a>Personal Intelligence。它是Google為其AI生態系（主要圍繞在Gemini）推出的核心個人化升級功能，透過串聯用戶所有Google服務，跨應用程式讀取並理解用戶個人資料，以提供AI個人化助理服務。Personal Intelligence除了Gemini、AI Mode搜尋，長期而言也將推廣到YouTube、Google Photos或Chrome。3月份美國用戶已可使用個人化AI Mode搜尋。Personal Intelligence已在4月推向日本及印度。</p> <p>4月份Google將Nano Banana提供給付費方案（Plus、Pro和Ultra）用戶後，從即日起，所有美國Gemini App用戶也可以免費使用個人化圖像生成功能。這項功能是整合了Nano Banana和Google Photos，讓Gemini能根據使用者連結的Google App，生成反映使用者個人品味和風格的圖像，或是按用戶意思修圖。</p> <p>要啟用這項服務，使用者必須同意Gemini App存取或整合Google應用包括Gmail、Google Photos、YouTube和搜尋紀錄，以便提供個人化回應。一經同意整合後，用戶只要在Gemini App下簡單提示如「設計我夢想的房子」，它就會從Photos App擷取相片生成相片，不需上傳相片或費力描述。</p> <p><a href="https://support.google.com/gemini/answer/14286560" target="_blank">根據Google網頁說明</a>，免費Gemini用戶可以獲得Nano Banana 2生成的圖片。而付費用戶則可使用Nano Banana Pro模型。</p> <p>Google強調Gemini App和其他Google App的整合是同意加入（opt-in）的，用戶之後也可以隨時再退出。不過Google也提醒，需滿13歲的用戶才能使用圖片生成圖片，若想編輯圖片，用戶更需年滿18歲。</p> </div></div></div>
6/30 12:55作者林妍溱https://www.ithome.com.tw/news/176969
WhatsApp告別純手機號碼時代，將推出Username
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://about.fb.com/news/2026/06/its-time-to-reserve-your-whatsapp-username/" target="_blank">Meta周一（6/29）宣布</a>，旗下通訊軟體WhatsApp將於今年稍後推出使用者名稱（Username）功能，讓使用者不必公開電話號碼，也能透過Username與陌生人、企業或群組建立聯繫，並自本周起開放全球使用者搶先預約Username，未來將分階段於各國推出。</p> <p>WhatsApp為全球用戶數最多的通訊服務。Meta表示，目前WhatsApp在180多個國家擁有超過30億名使用者。不過，WhatsApp長期以電話號碼作為主要身分識別，與Telegram、Signal及臺灣常用的LINE等早已支援Username或LINE ID的通訊服務不同；這次導入Username，代表WhatsApp開始補上主流通訊服務常見的隱私設計，逐步告別純手機號碼時代。</p> <p>Meta表示，使用者可將WhatsApp更新至最新版本，前往「設定→帳號→Username」預約使用者名稱。由於WhatsApp用戶眾多，許多名稱可能重複，因此決定在功能正式推出前提前開放預約，讓使用者有機會搶先保留想要的Username。</p> <p>Username功能預計於未來數個月分階段在各國推出。待開放後，使用者若啟用Username，首次聯繫未儲存其電話號碼的個人或商家時，對方將只看到Username，而非電話號碼。</p> </div></div></div>
6/30 13:03作者陳曉莉https://www.ithome.com.tw/news/176970
美國FCC強化海底電纜管理，新規納入終端設備並加速安全審查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>海底電纜承載全球絕大多數國際網際網路流量，也是支撐民生、商業及國防通訊的重要基礎設施。<a href="https://docs.fcc.gov/public/attachments/DOC-422585A1.pdf" target="_blank">美國聯邦通訊委員會（FCC）於6月25日通過新版海底通訊電纜管理規則</a>，新增海底線路終端設備（SLTE）掌管者與營運者許可要求，並調整海底電纜申請案審查機制。FCC表示，新措施目的在於為符合高安全標準的業者提供快速審理流程，同時強化國家安全，簡化並加速海底電纜基礎設施的部署，以因應AI運算與連網需求成長。</p> <p>根據FCC說明，符合高安全標準且具備良好營運紀錄的海底電纜業者，可望在符合條件下，免除美國行政部門跨機關審查小組Team Telecom的完整審查，加速取得營運許可。不過，業者仍須同意接受FCC後續監督與合規監測，並確保海底電纜系統符合相關國家安全要求。</p> <p>新版規則另一項重大變革，是將海底線路終端設備（SLTE）掌管者與營運者納入許可管理。SLTE負責連接海底電纜與美國陸地通訊設施，是海底電纜系統中執行關鍵功能的設備。FCC認為，此舉有助於監管與補強海底電纜網路最脆弱的其中一個環節，提升整體安全性。此外，FCC也更新海底電纜安全防護要求，將關鍵設備與第三方服務供應商等可能影響系統安全的環節納入管理。</p> <p><a href="https://www.reuters.com/business/media-telecom/us-fcc-toughens-submarine-communication-cable-rules-2026-06-25/" target="_blank">路透社指出</a>，美國政府近年多次警告，海底電纜基礎設施面臨來自中國及俄羅斯等國家的國家安全風險，因此持續強化審查與管理。FCC新規也預期擴大限制來自中國或其他被美國認定為外國敵對勢力國家的設備，用於美國海底電纜系統。另一方面，隨著AI資料中心及雲端服務快速成長，Meta與Google等美國大型科技業者可望受惠於快速審查機制，更快取得新海底電纜系統的部署許可。</p> </div></div></div>
6/30 13:14作者王珮瑤https://www.ithome.com.tw/news/176971
俄羅斯駭客Turla使用後門StockStay於烏克蘭從事間諜活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>俄羅斯自2022年2月入侵烏克蘭，戰爭持續超過4年尚未結束，而這段期間，俄羅斯駭客配合軍事行動從事網路間諜活動的情形陸續傳出，最近Google威脅情報團隊（GTIG）<strong><a href="https://cloud.google.com/blog/topics/threat-intelligence/stockstay-turla-intelligence-gathering">揭露的後門程式StockStay</a></strong>，就是被稱為Turla、UAC-0194、Secret Blizzard俄羅斯駭客團體用於間諜活動的工具。</p> <p>相關攻擊行動可追溯至2022年12月，Turla曾對烏克蘭政府機關與軍事組織，以及對義大利外交政策感興趣的組織使用StockStay。StockStay為.NET開發的後門程式，採用Windows Forms框架為基礎打造而成，駭客採用開源程式庫websocket-sharp建置安全的WebSocket通訊，以便與C2連線。此後門程式由數個不同的元件組成，起初被偽裝成股市資料檢視工具，但GTIG指出，2025年駭客也將其偽裝成PDF檢視工具、計算機等應用程式散布。</p> <p>針對部署StockStay的過程，駭客通常會從伺服器下載StockStay.MarketMaker的下載工具，然後傳輸及安裝其他模組，其中包含了隧道元件StockStay.StockBroker、控制器元件StockStay.StockMarket，以及後門元件StockStay.StockTrader。</p> </div></div></div>
6/30 13:15作者周峻佑https://www.ithome.com.tw/news/176972
Lantronix漏洞疑遭逆向分析修補內容後利用，OpenWrt裝置也遭暴力破解
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>物聯網與遠端連線設備業者Lantronix旗下序列埠轉IP設備EDS5000存在重大漏洞CVE-2025-67038，屬於身分驗證失敗竟可透過root權限執行的命令注入弱點，CVSS分數達9.8。<a href="https://www.ithome.com.tw/news/176864" target="_blank">美國網路安全暨基礎設施安全局（CISA）於6月23日</a>將其列入已遭利用漏洞（KEV）名單。<a href="https://www.forescout.com/blog/analyzing-active-exploitation-of-lantronix-and-openwrt-luci/" target="_blank">網路資產管理與資安業者Forescout</a>旗下研究團隊Vedere Labs隨後於6月25日發布研究，揭露這項漏洞的實際濫用跡象。</p> <p><a href="http://www.lantronix.com/technical-support/security-updates/vulnerability-disclosure-policy/vulnerability-library/cve-2025-67038-eds-5000-eds-3000/" target="_blank">Lantronix已於2月20日發布EDS5000系列2.2.0.0R1韌體更新</a>。不過，Forescout檢視蜜罐環境紀錄後發現，攻擊者早在4月5日就已利用CVE-2025-67038，時間點介於Lantronix發布修補程式之後、完整技術細節公開之前。研究人員因此研判，攻擊者可能是透過逆向分析修補內容，自行開發漏洞利用程式。</p> <p>Forescout也在1月28日至6月6日期間，觀測到超過4,100次針對OpenWrt網頁管理介面LuCI的暴力破解攻擊，活動主要集中在3月底至6月初的數個波段。研究團隊利用物聯網搜尋引擎Shodan查詢發現，目前約有3.2萬臺執行OpenWrt並啟用LuCI的裝置暴露於網際網路，其中約5,000臺被識別為蜜罐；不過，並非所有採用LuCI的設備都會在HTML標題顯示LuCI字樣，因此實際暴露於網際網路的設備數量，可能高於Shodan查詢結果。</p> <p>Forescout建議，企業應立即更新Lantronix及其他採用OpenWrt的設備韌體，停用預設帳號並禁止使用弱密碼，同時避免將管理介面直接暴露於網際網路。針對序列埠轉IP設備，企業可透過網路分區或VLAN控管可連線來源，並持續監控這類邊緣設備是否出現異常通訊或遭濫用的跡象。</p> </div></div></div>
6/30 11:30作者王珮瑤https://www.ithome.com.tw/news/176963
美最高法院裁定地理圍欄搜索令受第四修正案規範
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.supremecourt.gov/opinions/25pdf/25-112_0am4.pdf" target="_blank">美國最高法院周一（6/29）裁定</a>，警方透過地理圍欄搜索令（Geofence Warrant）向Google調取特定時間及地點範圍內的手機位置資料，屬於《美國憲法第四修正案》所稱的「搜索」（Search），須受憲法隱私保障規範。</p> <p>這是美國最高法院首次將地理圍欄搜索令納入第四修正案的搜索範圍，也使這類搜索令日後須接受更完整的憲法審查；至於法院將如何認定其適用範圍、時間長度及相當理由，仍有待後續判例進一步釐清。</p> <p>本案源於2019年維吉尼亞州Midlothian一宗信用合作社搶案。警方當時沒有嫌犯，只知道歹徒疑似持手機接近現場，因此向法院申請地理圍欄搜索令，要求Google提供案發前後、信用合作社150公尺範圍內的手機位置資料。</p> <p>Google先提供案發前後各30分鐘、位於現場150公尺範圍內的19個匿名帳號；警方再要求其中9個帳號案發前後各1小時的位置紀錄；接著才要求Google揭露3名使用者姓名與電話，其中之一為Okello Chatrie，並據此搜索其住處，查獲贓款、槍枝及搶劫紙條。</p> <p>Chatrie雖然認罪，但主張警方利用地理圍欄搜索令取得位置資料違反第四修正案，要求排除相關證據。地方法院認為該搜索令違反第四修正案，但因警方是依據法院核發的搜索令執行，適用「善意例外」（good-faith exception），仍允許檢方使用相關證據。</p> <p>第四巡迴上訴法院則認為，Chatrie自願讓Google蒐集位置資料，因此警方調取這些資料不構成第四修正案所稱的「搜索」。</p> <p>美國《憲法第四修正案》中的「搜索」（search），是指政府侵入人民受憲法保障的隱私或財產利益以取得資訊，因此通常須有法官核發搜索令，並具備相當理由（probable cause）及明確搜索範圍。</p> <p>最高法院此次推翻第四巡迴上訴法院見解，認定警方調取Google位置資料屬於第四修正案的搜索，並將案件發回第四巡迴上訴法院，重新審查該搜索令是否符合相當理由及特定性等憲法要求。</p> <p>撰寫多數意見的美國最高法院大法官Elena Kagan認為，個人對手機位置紀錄仍享有合理隱私期待，即使警方只是向第三方科技公司要求提供短時間的位置資料，也侵害第四修正案保障的隱私利益。</p> </div></div></div>
6/30 12:02作者陳曉莉https://www.ithome.com.tw/news/176965
Linux基金會旗下FINOS規畫成立開源企業韌性聯盟OSERA，協助金融業修補開源套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>AI加快漏洞發現與利用速度，也大幅壓縮企業部署修補的防禦空窗期。Linux基金會旗下金融服務開源組織<a href="https://www.linuxfoundation.org/press/finos-announces-intent-to-form-osera-a-global-financial-services-led-alliance-for-open-source-supply-chain-resiliency-in-the-era-of-ai" target="_blank">FINOS（Fintech Open Source Foundation）於6月25日在Open Source in Finance Forum宣布</a>，計畫成立開源企業韌性聯盟（Open Source Enterprise Resiliency Alliance，OSERA），協助金融機構與其他受監管企業共同處理開源軟體供應鏈風險。</p> <p><a href="https://osera.finos.org/" target="_blank">OSERA定位為全球性、廠商中立且由會員共同治理的聯盟</a>，目標是針對金融機構採用的共通開源套件版本，建立聯合修補、驗證與採用機制。FINOS指出，金融機構經常依賴相同的開源相依性套件與版本，一旦其中某個元件出現漏洞，可能同時影響多家機構。若各企業各自修補同一套件，不僅成本較高，也容易造成修補流程與證據格式不一致。</p> <p>這項計畫由軟體修補自動化業者Moderne推動，德意志銀行（Deutsche Bank）、高盛（Goldman Sachs）、摩根士丹利（Morgan Stanley）、加拿大皇家銀行（Royal Bank of Canada）與道明銀行集團（TD Bank Group）等FINOS會員已參與試行。試行期間，團隊針對Apache Camel、Bouncy Castle、Netty與Spring Framework等Java專案既有版本的已知漏洞，建立回溯修補維護線（Maintained backpatch lines），並透過參與銀行既有的代理（proxy）與CI流程完成全面驗證，無須變更既有開發工具鏈。</p> <p>為了協助企業判斷開源套件中漏洞的修補優先順序，OSERA也提供Risk Navigator等工具，可依通用漏洞評分系統（CVSS）、美國網路安全暨基礎設施安全局（CISA）已遭利用漏洞目錄（KEV）、漏洞利用機率評分系統（EPSS）、專案影響範圍與升級路徑，評估哪些漏洞應優先修補。FINOS表示，後續將推動開源套件修補治理機制、制定受監管環境的修補採用標準，並建立機器可讀證據套件，協助企業符合歐盟數位營運韌性法（DORA）、網路與資訊安全指令（NIS2），以及網路韌性法（CRA）等法規要求。</p> <p>OSERA計畫也與<a href="https://www.ithome.com.tw/news/176934" target="_blank">Linux基金會日前宣布的開源安全計畫Akrites</a>形成互補。Akrites著重於開源套件漏洞通報、協調揭露與上游修補；OSERA則著重於協助金融機構與其他受監管企業導入開源套件修補，並保留可供稽核的修補、測試與部署證據。</p> </div></div></div>
6/30 10:35作者王珮瑤https://www.ithome.com.tw/news/176958
FIFA 2026足球賽詐欺生態圈存在近4千個冒牌網域
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>2026年世界盃足球賽（FIFA World Cup）於6月11日展開，在此之前，相關的網路詐騙呈現爆炸性增長，繼<strong><a href="https://www.ithome.com.tw/news/176264">外部數位風險防護業者CTM360提出警告</a></strong>後，有資安公司提出警告，駭客已透過網路詐騙生態系統，藉此牟取不法利益。</p> <p>上週威脅情報公司Cyble揭露<strong><a href="https://cyble.com/blog/operation-fantrap-fifa-2026-fraud-ecosystem/">Operation FanTrap</a></strong>活動，駭客利用詐騙網域、社群媒體、即時通訊平臺、盜版球賽轉播，以及暗網活動等管道，建立經過協調的生態系統，該公司從今年5月開始，已確認近4千個冒充FIFA相關品牌、票務平臺、球賽串流服務，以及面向球迷資源的網域，藉由假的門票優惠、VIP優先入場計畫、接待服務、未經授權的串流平臺等誘餌，意圖引誘球迷上當，然後將他們導向Telegram、WhatsApp等即時通訊管道，進行付款詐騙，帳密竊取，以及身分資料收集的行為。Cyble提及，許多假網域名稱刻意針對中文使用者，開頭不少是zh-或cn-，並設定世界杯、盤口、買球等中文關鍵字，顯示該犯罪集團針對龐大的中國球迷而來。</p> <p>值得留意的是，駭客標榜免費觀賽的盜版串流網站，Cyble發現許多並非單純的版權侵權，而是被用作帳密竊取與資安詐騙的工具，駭客透過假影片播放器、誘導下載、瀏覽器推播通知及虛假免費試用等手法，蒐集用戶的電子郵件、密碼、付款資訊及裝置資料。部分非官方串流平臺的應用程式，更要求過多權限、夾帶惡意廣告，甚至成為惡意程式入侵的管道。</p> </div></div></div>
6/30 10:37作者周峻佑https://www.ithome.com.tw/news/176959
美國證實SimpleHelp滿分漏洞被用於實際攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安公司Blackpoint<strong><a href="https://www.ithome.com.tw/news/176957">近日指出</a></strong>，他們發現有人利用SimpleHelp滿分重大漏洞CVE-2026-48558，對一家偵測與回應代管（MDR）廠商散布惡意程式TaskWeaver與Djinn Stealer，現在美國政府也確認該漏洞遭到利用的現象。</p> <p>6月29日美國網路安全與基礎設施安全局（CISA）表示，<strong><a href="https://www.cisa.gov/news-events/alerts/2026/06/29/cisa-adds-one-known-exploited-vulnerability-catalog">他們將CVE-2026-48558列入已遭利用的漏洞列表（KEV）</a></strong>，並要求聯邦機構<strong><a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-48558">在7月2日前</a></strong>完成修補，原因是已掌握該漏洞遭到積極利用的證據。至於該漏洞是否被用於勒索軟體活動？CISA表示不清楚。</p> </div></div></div>
6/30 11:11作者周峻佑https://www.ithome.com.tw/news/176961
美國查封近400個用於非法直播FIFA 2026賽事的網域
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>6月26日<strong><a href="https://www.justice.gov/opa/pr/united-states-seizes-hundreds-internet-domains-used-illegally-stream-world-cup-matches">美國司法部（DOJ）宣布</a></strong>，他們發現近400個被用於未經授權轉播世界盃足球賽（FIFA World Cup）的網域，根據該國的版權法將其查封。這些被查封的網域被用來非法向用戶提供受版權保護的內容，以即時串流播放2026年世界盃足球賽。為了支持查封權限的申請，美國國土安全局（HSI）證實，被查封的網域確實在未經授權的情況下，積極轉播比賽內容。這些被查封的網域在FIFA協助下被確認，並由beIN、NBC環球、電影協會創意與娛樂聯盟（ACE）、終極格鬥錦標賽（UFC），以及華納兄弟提供相關支援資訊。</p> <p>值得留意的是，這些盜版轉播網站不光涉及版權侵害，還有可能讓球迷暴露於潛在資安威脅，像是惡意軟體與不安全連線，而有可能洩露個資或財務資料。先前威脅情報公司Cyble<strong><a href="https://www.ithome.com.tw/news/176959">也提出類似的警告</a></strong>，許多盜版轉播網站被用於竊取用戶帳密與資安詐騙，甚至向用戶散布惡意軟體。</p> </div></div></div>
6/30 11:17作者周峻佑https://www.ithome.com.tw/news/176962
遠端監控與管理軟體SimpleHelp滿分重大漏洞已遭利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>上個月遠端監控與管理軟體SimpleHelp<strong><a href="https://www.ithome.com.tw/news/176601">發布5.5.16與6.0 RC2更新</a></strong>，修補CVSS風險評分達到滿分10分的重大漏洞CVE-2026-48558，該漏洞源自OpenID Connect（OIDC）身分驗證流程未正確驗證身分權杖（Identity Token）的加密簽章。如今此漏洞已出現實際攻擊。</p> <p>根據<strong><a href="https://www.bleepingcomputer.com/news/security/hackers-exploit-critical-simplehelp-flaw-deploy-new-djinn-infostealer-taskweaver-malware/">資安新聞網站Bleeping Computer報導</a></strong>，資安公司Blackpoint<strong><a href="https://blackpointcyber.com/blog/a-djinn-in-the-machine-taskweavers-node-js-intrusion-chain">提出警告</a></strong>，他們在一家偵測與回應代管（MDR）廠商的資安事故裡，發現攻擊者利用了CVE-2026-48558，於SimpleHelp伺服器建立技術人員（Technician）連線，隨後部署惡意程式載入工具TaskWeaver，以及竊資軟體Djinn Stealer。特別的是，Djinn Stealer廣泛針對開發者與基礎設施的憑證，尤其是AI開發工具，包括：Claude、Gemini、Codex、Cline、OpenCode、Kilo，再者，駭客也會搜刮MCP伺服器的組態設定。一旦竊得這些資料，攻擊者就有可能因此繼承AI助理對資料庫、雲端資源、資料庫，以及API的存取權限。</p> <p>附帶一提，Blackpoint提及TaskWeaver是通用型的惡意程式載入工具，因此未來攻擊者無須修改，就能用於投放後門、勒索軟體、偵察工具，以及其他惡意軟體。，此外，TaskWeaver還會為受害電腦建立指紋進行追蹤，並從C2基礎設施接收JavaScript模組然後執行。</p> </div></div></div>
6/30 09:57作者周峻佑https://www.ithome.com.tw/news/176957
Oracle E-Business重大漏洞被用於實際攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>去年勒索軟體駭客組織Clop<strong><a href="https://www.ithome.com.tw/news/171527">曾大規模攻擊企業組織與大學</a></strong>，利用零時差漏洞<strong><a href="https://www.ithome.com.tw/news/171553">CVE-2025-61882</a></strong>，該弱點存在於Oracle的ERP系統E-Business Suite（EBS），因此，一旦出現利用EBS漏洞的情況，格外受到研究人員的注意。</p> <p>6月29日威脅情報公司Defused Cyber<strong><a href="https://x.com/DefusedCyber/status/2071555353733394618">於社群網站X提出警告</a></strong>，他們首度偵測到有人試圖利用另一個EBS漏洞CVE-2026-46817的情況，由於該漏洞目前尚未有公開的概念驗證程式碼（PoC），因此後續情形相當值得繼續追蹤。CVE-2026-46817存在於EBS子系統Oracle Payments當中的檔案傳輸元件，未經授權攻擊者只要透過HTTP存取就能輕易利用，一旦成功利用該漏洞，就能挾持Oracle Payments，CVSS風險評為9.8分（滿分10分），影響12.2.3至12.2.15版EBS，Oracle於<strong><a href="https://www.ithome.com.tw/news/176313">今年5月的關鍵安全修補更新（CSPU）</a></strong>修補。</p> </div></div></div>
6/30 09:05作者周峻佑https://www.ithome.com.tw/news/176956
中國駭客UAT-7237鎖定東南亞政府及能源關鍵基礎設施，散布後門TinyRCT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Palo Alto Networks威脅研究團隊Unit 42<a href="https://unit42.paloaltonetworks.com/cl-sta-1062-tinyrct-backdoor/">追蹤編號為CL-STA-1062的中國駭客攻擊行動</a>，近期攻擊範圍延伸至東南亞政府機關與能源關鍵基礎設施。Unit 42認為，這與<a href="https://www.ithome.com.tw/news/170681">思科威脅情報團隊Talos先前揭露代號UAT-7237</a>，並曾攻擊臺灣網站代管基礎設施的是同一批攻擊者。研究人員指出，該攻擊行動至少自2022年3月開始活動，2025年則鎖定東南亞政府、能源產業與國營企業。</p> <p>該批攻擊者在2025年9月入侵一個東南亞政府機關，部署可遠端下指令的網頁後門程式，並竊取資料庫資訊。UAT-7237也對同一國家的另一個政府機關進行網路偵察，研判是在尋找進一步橫向移動的機會。到了2025年10月至12月，Unit 42觀察到東南亞至少10個組織疑似遭入侵。</p> <p>Unit 42在能源關鍵基礎設施受害案例中觀察到，攻擊者會先掃描目標環境漏洞，接著受害網路出現連往攻擊者伺服器的連線，並下載SoftEther VPN元件與包含攻擊工具的RAR壓縮檔，以維持連線、在內部網路移動，或整理準備竊取的資料。</p> <p>攻擊者通常先利用網頁應用程式弱點植入ASPX網頁後門，藉此執行系統命令、投放工具與蒐集主機資訊，之後再視目標環境搭配開源工具與客製化惡意程式。研究人員從攻擊者基礎設施重建TinyRCT感染鏈，發現攻擊者會以惡意壓縮檔chrome_setup.zip夾帶合法簽章執行檔、惡意設定檔與惡意程式庫。</p> <p>在使用者解壓縮並執行其中合法簽章的chrome_setup.exe後，.NET執行環境會讀取旁邊的惡意設定檔，載入惡意DLL。該載入器接著下載TinyRCT，將其存為本機應用程式資料夾%LOCALAPPDATA%路徑下的PerfWatson2.exe，並建立仿冒Google Updater名稱的排程任務維持執行。TinyRCT是以C#撰寫的Windows遠端控制木馬，可讓攻擊者執行系統命令、列出檔案、讀取文字檔、下載檔案、外傳檔案、擷取螢幕畫面，並在需要時刪除自身痕跡。</p> <p>TinyRCT具備反分析設計，執行時會檢查自己是否位於%LOCALAPPDATA%路徑，若不是，就會立即結束，降低在沙箱或研究人員分析環境中暴露行為的機會。</p> </div></div></div>
6/29 19:08作者李建興https://www.ithome.com.tw/news/176945
Amadey與StealC共用基礎設施，兩週內感染逾14萬臺電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>上週歐洲刑警組織（Europol）發表<strong><a href="http://www.ithome.com.tw/news/176899">執法行動Operation Endgame最新一波成果</a></strong>，多國執法單位與微軟等多家企業組織聯手，成功破壞惡意程式SocGholish（FakeUpdates）、Amadey和StealC背後的犯罪基礎設施。參與此次執法的微軟，<strong><a href="https://blogs.microsoft.com/on-the-issues/2026/06/24/scaling-cybercrime-disruption-through-innovation-and-ai/">也透露本次打擊網路犯罪與過往的最大不同</a></strong>，他們針對的是網路攻擊供應鏈，而非單一惡意程式服務。</p> <p>微軟指出，這次的執法行動是針對網路犯罪的組裝線（assembly line），Amadey和StealC經常被攻擊者同時使用，他們透過Amadey取得裝置存取權，然後利用StealC竊取密碼和敏感資訊，它們構成了攻擊鏈裡的關鍵環節。僅五月前兩週，微軟就看到全球有14萬臺電腦感染這兩款惡意程式。</p> <p>值得一提的是，這次該公司借助AI的力量進行分析，將原本需要數小時甚至是數天的調查流程，縮短至幾分鐘，並指出雖然Amadey與StealC由兩組駭客團體在經營，卻仰賴相同的基礎設施。微軟癱瘓逾200臺C2伺服器，讓駭客無法控制受害電腦、竊取資料，或執行其他攻擊行動。</p> </div></div></div>
6/29 17:16作者周峻佑https://www.ithome.com.tw/news/176943