iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 32篇
近 24 小時: 32篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/10 22:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Binarly研究人員揭露開源開機載入程式U-Boot存在6個資安漏洞，大量伺服器、網路設備、物聯網設備均可能受到影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p style="margin-left:.05pt;">專精韌體與軟體供應鏈安全的資安研究機構Binarly，7月初揭露開放原始碼開機載入程式（bootloader）U-Boot存在6個漏洞，當中兩個（<strong><a href="https://www.binarly.io/advisories/brly-2026-037">BRLY-2026-037</a></strong>、<strong><a href="https://www.binarly.io/advisories/brly-2026-038">BRLY-2026-038</a></strong>）可能導致任意程式碼執行，其餘4個漏洞（<strong><a href="https://www.binarly.io/advisories/brly-2026-039">BRLY-2026-039</a></strong>、<strong><a href="https://www.binarly.io/advisories/brly-2026-040">BRLY-2026-040</a></strong>、<strong><a href="https://www.binarly.io/advisories/brly-2026-041">BRLY-2026-041</a></strong>、<strong><a href="https://www.binarly.io/advisories/brly-2026-042">BRLY-2026-042</a></strong>）則可能引發服務中斷（DoS）。</p> <p style="margin-left:.05pt;">Binarly警告，U-Boot自2013年7月推出以來，近60個版本都受到影響，若再計入眾多下游廠商的分支版本，這些漏洞對產業的影響將更為廣泛。由於U-Boot是全球最廣泛使用的開機載入程式之一，運行於家用路由器、網路攝影機、伺服器基板管理控制器（BMC）等硬體設備，因此，相關產品的安全性都可能面臨風險。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/U-Boot Releases.png"><img alt="" src="/sites/default/files/images/U-Boot%20Releases.png" style="width: 198px;" /></a></p> <p style="margin-left:.05pt;">Binarly已向維護U-Boot的社群通報這些漏洞，並由該公司團隊為所有這些漏洞準備修補程式，經過數輪審查後，這些修補程式最終已套用至U-Boot專案的主分支（main branch），Binarly建議所有受影響的使用者，盡快將這些修補程式套用至產品。</p> <p style="margin-left:.05pt;">根據資安新聞媒體<strong><a href="https://thehackernews.com/2026/07/six-new-u-boot-flaws-could-let.html">The Hacker News</a></strong>的報導，U-Boot雖已於6月合併6個修補程式，但7月的發行版（v2026.07）早在4月便已凍結，因此最終未將這些修補程式納入，下一個發行版v2026.10預計10月才會推出。</p> </div></div></div>
7/12 01:33作者李宗翰https://www.ithome.com.tw/news/177240
CISA將兩款Joolma兩款延伸套件列入KEV，要求聯邦機構7月13日完成修補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p style="margin-left:.05pt;">本週美國網路與基礎設施安全局（CISA）再度更新已遭利用漏洞清單（KEV），加入開放原始碼內容管理系統Joomla!兩款外掛套件的漏洞，分別是：iCagenda的<strong><a href="https://www.cve.org/CVERecord?id=CVE-2026-48939">CVE-2026-48939</a></strong>，以及Balbooa Forms的<strong><a href="https://www.cve.org/CVERecord?id=CVE-2026-56291">CVE-2026-56291</a></strong>，皆因CVSS嚴重度評分為10分漏洞出現遭到積極利用的活動，所以被列入KEV，聯邦機構需在3天內完成漏洞修補。</p> <p style="margin-left:.05pt;">根據NVD與MITRE的CVE網站所示，這兩個漏洞均是使用者可透過檔案附件功能上傳任何檔案，而被歸類為CWE-434：未限制上傳危險類型的檔案，差別在於CVE-2026-48939允許上傳與執行PHP程式碼，CVE-2026-56291允許上傳可執行的檔案，進而導致可藉此發動遠端程式碼執行（RCE）攻擊。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/iCagenda-JED.png"><img alt="" src="/sites/default/files/images/iCagenda-JED.png" style="width: 198px; float: right;" /></a></p> <p style="margin-left:.05pt;">其中的<strong><a href="https://extensions.joomla.org/extension/icagenda/">iCagenda</a></strong>是JoomliC公司開發的事件管理軟體，能在Joomla!網站新增、管理與共用行事曆事件，6月15日該公司偵測到鎖定iCagenda安裝的自動化攻擊，專攻WordPress和Joomla網站管理的平臺業者<strong><a href="https://mysites.guru/blog/icagenda-zero-day-file-upload-rce/">mySites.guru</a></strong>透過審核iCagenda 4.0.7版程式碼，確認漏洞的存在，並在新安裝Joomla 6環境上，以安全的概念驗證方式重現此漏洞，隨即通報JoomliC，當天JoomliC發布已完成修補的<strong><a href="https://www.icagenda.com/docs/changelog/icagenda-4-0-8">iCagenda 4.0.8</a></strong>，隔日推出適用於3.x分支的<strong><a href="https://www.icagenda.com/docs/changelog/icagenda-3-9-15">iCagenda 3.9.15</a></strong>，6月20日正式公開漏洞。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/iCagenda 4_0_8 (Security Release).png"><img alt="" src="/sites/default/files/images/iCagenda%204_0_8%20(Security%20Release).png" style="width: 298px;" /></a> <a href="/sites/default/files/images/iCagenda 3_9_15 (Security Release Joomla 3).png"><img alt="" src="/sites/default/files/images/iCagenda%203_9_15%20(Security%20Release%20Joomla%203).png" style="width: 298px;" /></a></p> <p style="margin-left:.05pt;">mySites.guru提醒，將iCagenda更新到4.0.8版可阻止下一次攻擊嘗試，但此舉對先前上傳的惡意shell無效，因為在修補程式發布之前，漏洞已被積極利用，因此，用戶必須假設其管理的Joomla 6網站已經遭到攻擊並進行檢查，用戶的網站系統如果採用Joomla 5及更早版本，雖然攻擊者無法透過此途徑置入PHP shell，因為網站系統的核心程式會阻止上傳，但還是要檢查，例如確認用戶網站系統當中的images/icagenda/frontend/attachments/資料夾，當中應只存放行事曆事件的附加檔案。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/Balbooa Joomla Forms-JED.png"><img alt="" src="/sites/default/files/images/Balbooa%20Joomla%20Forms-JED.png" style="width: 198px; float: right;" /></a></p> <p style="margin-left:.05pt;">另一套<strong><a href="https://extensions.joomla.org/extension/forms/">Balbooa Forms</a></strong>是Balbooa開發、用於Joomla網站的表單建立外掛程式，用戶可透過滑鼠拖放的方式設計網站表單，根據<strong><a href="https://mysites.guru/blog/balbooa-forms-unauthenticated-file-upload-flaw/">mySites.guru對此漏洞的調查報告</a></strong>，之所以發現問題源自mySites.guru的一名客戶收到主機代管業者Hetzner的通知，表示其Joomla網站存在可疑的濫用活動，後續向mySites.guru提供原始的網站伺服器存取紀錄，7月8日mySites.guru確認漏洞存在與重現漏洞利用流程，並通報Balbooa與獲得回覆，隔天Balbooa發布Balbooa Forms 2.4.1版，也公開漏洞編號為CVE-2026-56291，可惜Balbooa在網站的軟體更新記錄僅在標題下方簡單標示此次改版是「已修正」，未提及修補資安漏洞，該公司部落格也沒有相關文章，而在外掛套件網站Joomla! Extensions Directory網站列出的最新版2.4.0，仍是受到CVE-2026-56291影響的版本，用戶若沒注意此次資安漏洞的警示資訊，可能會安裝存在漏洞的版本。</p> <p>值得注意的是，Balbooa Forms即使更新到不受漏洞影響的版本，仍有可能因為先前存在漏洞而遭到滲透，mySites.guru建議用戶檢查上傳資料夾、是否存在可疑的系統管理員帳號，以及尋找網站上的已修改與陌生檔案。</p> <p><a href="/sites/default/files/images/Balbooa Joomla Forms Change Log.png"><img alt="" src="/sites/default/files/images/Balbooa%20Joomla%20Forms%20Change%20Log.png" style="width: 298px;" /></a></p> </div></div></div>
7/11 18:14作者李宗翰https://www.ithome.com.tw/news/177238
微軟打造AI視覺化中介語言Flint，以語意規格簡化圖表生成
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><strong><a href="https://www.microsoft.com/en-us/research/blog/flint-a-visualization-language-for-the-ai-era/">微軟研究院發布開源視覺化中介語言Flint</a></strong>，讓AI代理程式以可由人員直接修改的規格描述圖表，再由編譯器自動補齊日期解析、座標軸、色階、標籤與版面配置等細節。Flint目前能將同一份規格轉換為Vega-Lite、Apache ECharts或Chart.js格式，降低AI直接產生完整圖表規格時容易出錯及難以維護的問題。</p> <p>現有視覺化函式庫提供大量控制選項，可調整比例尺、基準線、數值格式、間距與圖例等設定。不過，精簡規格通常會依賴系統預設值，成品未必適合資料內容，若要求大型語言模型直接產生完整規格，又可能因參數繁多而出現衝突或遺漏。Flint因此將圖表意圖與特定繪圖函式庫的實作細節分開。</p> <p>Flint規格分為資料與圖表兩部分。資料規格可標示年月、價格、百分比、利潤、國家或排名等語意型別，圖表規格則指定圖表種類，以及欄位對應至x軸、y軸、色彩、大小或用來把資料拆成多個小圖表（facet）等位置與樣式。編譯器再依據資料語意、圖表類型與欄位配置，推導解析規則、聚合方式、數值格式、色彩配置及版面安排，例如利潤欄位可採用呈現正負差異的色階，年月欄位則可套用相應的時間解析與座標軸格式。</p> <p>微軟也釋出flint-chart-mcp伺服器，讓支援MCP的AI工具可在聊天或程式開發環境中建立、驗證及渲染圖表，並可嵌入資料或讀取已設定允許存取的本機檔案。產生後的圖表可開啟互動檢視，供使用者檢查與調整。</p> <p>微軟在資料測試中，將Flint與直接產生完整Vega-Lite規格的DirectVL比較，依大型語言模型評分，Flint在GPT-5.1、GPT-5-mini及GPT-4.1三組測試均取得較高總分。Flint目前已用於微軟研究院的Data Formulator，專案網站、flint-chart函式庫及MCP伺服器設定說明也已公開。</p> </div></div></div>
7/11 07:07作者李建興https://www.ithome.com.tw/news/177236
Microsoft Defender零時差漏洞RoguePlanet修補出爐
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p style="margin-left:.05pt;">從4月開始，外號為Nightmare Eclipse的研究人員Chaotic Eclipse陸續披露多個針對Microsoft Defender與Windows內建功能的零時差漏洞，而且是以漏洞利用的概念驗證程式發表，震撼整個資安領域，這些漏洞後續大多都已獲得修補，最近於6月上半揭露的<strong><a href="https://www.ithome.com.tw/tags/rogueplanet">RoguePlanet</a></strong>漏洞<strong><a href="https://www.cve.org/CVERecord?id=CVE-2026-50656">CVE-2026-50656</a></strong>，微軟本週（7月8日）也正式提供<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-50656"><strong>修補機制</strong></a>，用戶可確認Microsoft Defender的惡意軟體防護引擎版本是否已升級到1.1.26060.3008 或更高版本，若為1.1.26050.11或更老舊的版本，則是受此漏洞影響的版本，須儘快執行Windows更新。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/CVE-2026-50656-2026-07-10-2.png"><img alt="" src="/sites/default/files/images/CVE-2026-50656-2026-07-10-2.png" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/SOCRadar-Nightmare Eclipse.png"><img alt="" src="/sites/default/files/images/SOCRadar-Nightmare%20Eclipse.png" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">根據微軟針對此漏洞的安全性更新公告，CVE-2026-50656存在Microsoft Defender惡意軟體防護引擎，是關於權限提升的重要等級漏洞，在通用弱點列表（CWE）中，它被歸納在編號為CWE-59的類型，屬於檔案存取前連結解析不當（連結追蹤）的漏洞，CVSS 3.1嚴重度評分為7.8分，屬於高風險漏洞。雖然目前微軟在更新的公告表示，他們尚未發現CVE-2026-50656被利用的跡象，但仍持續警告這個漏洞的利用可能性高，因為用於攻擊的複雜度低、權限要求低且不需要與使用者互動。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/CVE-2026-50656-2026-07-10-1.png"><img alt="" src="/sites/default/files/images/CVE-2026-50656-2026-07-10-1.png" style="width: 400px;" /></a></p> </div></div></div>
7/10 23:18作者李宗翰https://www.ithome.com.tw/news/177237
Meta升級Muse Spark 1.1，強化代理人能力並首度開放Model API
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://ai.meta.com/blog/introducing-muse-spark-meta-model-api/" target="_blank">Meta周四（7/9）發表Muse Spark 1.1</a>，升級旗下由超級實驗室（Meta Superintelligence Labs，MSL）開發的首款模型Muse Spark，提升模型在代理人任務中的規畫、協調與執行能力，並強化工具使用、程式開發、電腦操作及多模態理解。目前Muse Spark 1.1已登上Meta AI App及meta.ai的Thinking模式，Meta亦首度釋出Meta Model API預覽版供開發者存取。</p> <p>Meta表示，Muse Spark 1.1是一款專為代理人任務打造的多模態推理模型，可跨多個外部應用程式與服務規畫及執行任務。該版本強化多代理人協作，可由主代理人蒐集資訊、制定計畫，再將工作分派給多個子代理人平行執行，以縮短複雜專案的處理時間；同時支援100萬個token的脈絡長度，可在長時間工作流程中保留重要資訊，並擷取較早之前的內容。</p> <p>在電腦操作上，Muse Spark 1.1可跨多個應用程式維持長流程任務，並依情況自行判斷要直接點擊介面、撰寫腳本自動化，或一次執行多個操作步驟，以減少人工介入並提升執行效率。</p> <p>在程式開發上，新版本可診斷及修復複雜程式錯誤、開發新功能及執行大規模程式碼遷移，並能先行規畫開發步驟、分派子任務，且於長時間開發流程中保留重要資訊。Meta說，公司內部開發人員及研究人員已每天使用Muse Spark 1.1協助開發與模型評測。</p> <p>多模態的Muse Spark 1.1可理解圖片、影片、PDF及音訊內容，並將感知結果用於後續操作，例如從商品影片中擷取適合的照片、分析商品資訊，再操作瀏覽器完成Facebook Marketplace刊登。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0710-Muse%20Spark%201_1_2(1).png" style="width: 600px;" /></p> <p>Meta也強調Muse Spark 1.1的安全性，指出已依照內部使用的安全框架《Advanced AI Scaling Framework》完成部署前的安全評估，在化學與生物、網路安全及失控風險等前沿風險領域均維持安全範圍，並提升對提示詞注入、越獄攻擊等攻擊手法的抵抗能力，同時降低幻覺及迎合使用者傾向。</p> <p>依據Meta內部AI安全治理框架<a href="https://ai.meta.com/static-resource/muse-spark-1-1-evaluation-report" target="_blank">《Advanced AI Scaling Framework》</a>，Muse Spark 1.1在代理人、程式開發及一般推理上較前代顯著提升，同時大幅改善信心校準、風險辨識與欺騙傾向，但在部分電腦操作、長脈絡及程式開發評測中仍落後GPT-5.5或Claude Opus 4.8。</p> <p>這次Meta首度開放Meta Model API預覽版，允許一般開發者透過該API存取Muse Spark 1.1，並將模型整合至自有應用程式。過去Muse Spark API屬於封閉預覽，僅供少數開發者使用。</p> </div></div></div>
7/10 14:01作者陳曉莉https://www.ithome.com.tw/news/177231
OpenAI傳應用部門主管Fidji Simo下臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.wsj.com/tech/openai-top-executive-fidji-simo-to-step-down-c3daca47" target="_blank">華爾街日報報導</a>，OpenAI應用部門執行長Fidji Simo將下臺，公司或將重新尋找繼任者。</p> <p>報導指出，Simo在內部公開信中說明，其病假超出原先預期，情況也更嚴重，因此她將辭去現任應用事業群執行長一職，轉為兼任顧問。她是於4月首度披露自己罹患神經免疫方面的疾病而必須請長假。</p> <p><a href="https://www.ithome.com.tw/news/168850" target="_blank">OpenAI於2025年延攬I</a>nstacart執行長Simo擔任應用事業群執行長，在Instacart之前她是臉書廣告部門副總裁。她加入OpenAI的職責是開發消費應用，讓Sam Altman能專注於研究及網路安全工作。Simo上任時，原有OpenAI高層也出現變動。包括長年的營運長Brad Lightcap轉任「特別專案」，財務長Sarah Friar和產品長Kevin Weil相繼離職。</p> <p>這可能迫使OpenAI必須儘速尋找Simo的接替人選。目前OpenAI面臨Anthropic的正面挑戰，根據市調機構<a href="https://www.forbes.com/sites/siladityaray/2026/06/16/claude-makes-more-money-per-user-than-market-leader-chatgpt-report-finds/" target="_blank">SensorTower數據</a>，OpenAI ChatGPT雖然每月用戶市佔仍居第一，但比例已從2024年的81%首度下滑到2025年僅約五成。而在商務用戶市場，Anthropic Claude的程式開發及多步驟代理人能力獲得開發人員及白領工作者喜愛，帶進的每用戶營收為2.76美元是ChatGPT（1.74美元）的1.5倍。Claude App的iOS付費訂閱比例也高於ChatGPT（13%比8%）。</p> <p>OpenAI本周也推出了鎖定一般知識工作者的代理人應用<a href="https://www.ithome.com.tw/news/177224" target="_blank">ChatGPT Work</a>藉此和Anthropic在商務市場競爭。</p> </div></div></div>
7/10 14:12作者林妍溱https://www.ithome.com.tw/news/177233
OpenAI獲准全面推出GPT-5.6系列，登上GitHub Copilot、M365 Copilot
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在預覽最新GPT-5.6模型系列近二周後，OpenAI獲得美國政府許可，<a href="https://openai.com/index/gpt-5-6/" target="_blank">周五（7/10）宣布</a>將GPT-5.6旗艦模型Sol及Terra、Luna模型全面推上線，包括合作的GitHub與Microsoft 365 Copilot助理。</p> <p>GPT-5.6號稱能兼顧智能和運作效率，在程式撰寫、知識工作、生命科學及網路安全領域都達到領先（state-of-the-art）等級，在不同領域超越前代模型，或Google Gemini與Anthropic Claude Mythos。OpenAI還新增ultra模式，可運用多個子代理人加速複雜任務的進行。</p> <p><strong>超越Claude Fable 5</strong></p> <p>OpenAI說，Sol具備強大電腦使用及設計判斷能力，是最精良的協同者，可監控代理人執行成果、加以改善、並提供給使用者。根據OpenAI提供的數據，在長程專業工作流程標竿測試Agent's Last Exam適應性推論項目中，Sol以53.6%超越Anthropic最強的Claude Fable 5 13.1%。此外OpenAI強調GPT-5.6眾模型推理成本也都低於Fable 5。而在涵括工作、程式、科學推理及一般能力上，Sol最強推理差對手不到1分，但時間及成本分別少了61%及一半。</p> <p><strong>部署</strong></p> <p>GPT-5.6將在24小時內陸續部署給免費及付費用戶，但享有不同等級功能。免費層級用戶可在ChatGPT新推的Work與Codex存取GPT-5.6 Terra，也可以手動開啟「max」選項，提升Terra的推理能力。但這二方案皆無法在ChatGPT的標準對話中使用最高階的Sol系列旗艦模型。</p> <p>對付費方案Plus、Pro方案用戶而言，新模型即日起隨全球陸續上線。標準ChatGPT對話方面，Plus與Pro用戶可以透過調整推理投入（Effort）設定調用Sol。模型選擇器中會顯示為Medium（標準）、High（延伸）和Extra High（最高）。系統預設日常回覆仍會使用GPT-5.5 Instant，但若遇到複雜任務，ChatGPT的智慧切換功能會自動切換至GPT-5.6 Sol (Medium)來進行深度思考。</p> <p>ChatGPT Work與Codex工作區方面，Plus與Pro用戶擁有完整選擇權，可任意在Sol、Terra、Luna三個模型之間切換、自由調整推理Effort等級，並可開啟max推理設定。付費用戶（Plus/Pro）於Codex程式開發環境可直接開啟ultra推理等級進行高階自動化編碼。</p> <p>最高階的Pro方案及Enterprise用戶享有直接選用GPT-5.6 Sol Pro模型的權利，可用於處理極度困難的跨領域任務、高難度程式編碼、資安弱點分析及長時間運行的自動化工作流（Longer-running workflows）。Pro/Enterprise用戶除了在Codex中，也可於ChatGPT Work額外解鎖ultra推理等級，進一步存取模型的思考能力。（其餘Plus等個人方案在Work中僅能使用max）</p> <p><strong>GitHub Copilot、M365 Copilot</strong></p> <p>GPT-5.6同時也在<a href="https://github.blog/changelog/2026-07-09-openais-gpt-5-6-sol-terra-and-luna-are-now-available-in-github-copilot/" target="_blank">GitHub Copilot</a>及<a href="https://openai.com/index/gpt-5-6-preferred-model-microsoft-365-copilot/" target="_blank">Microsoft 365 (M365)Copilot</a>上線。GitHub開發者用戶可在Visual Studio Code、Visual Studio、Copilot CLI、GitHub Copilot cloud agent、GitHub Copilot App、github.com、GitHub iOS與Android App、JetBrains、Xcode、Eclipse的模型選擇器中選用新模型。GPT-5.6也成為M365應用包括Word、Excel、PowerPoint、Chat和Cowork的優先使用模型。</p> </div></div></div>
7/10 12:43作者林妍溱https://www.ithome.com.tw/news/177229
研究揭LLM攻擊新手法HalluSquatting，可誘使AI程式開發助理安裝惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://sites.google.com/view/agentic-botnets/home" target="_blank">以色列特拉維夫大學（Tel Aviv University）等研究人員揭露一種名為HalluSquatting的新型大型語言模型（LLM）攻擊手法</a>。攻擊者可先找出LLM在查找儲存庫、AI代理技能（skill）等外部資源時容易編造出的錯誤名稱，搶先註冊這些名稱，藉此建立假資源，並植入對抗性提示內容；一旦AI程式開發助理拉取這些假資源，就可能執行攻擊者控制的指令。</p> <p>HalluSquatting攻擊結合LLM幻覺與間接提示注入。當使用者要求AI程式開發助理複製熱門儲存庫或安裝AI代理技能時，若LLM找不到正確資源位置，就可能拉取攻擊者搶註的假資源。由於許多代理式AI應用與AI程式開發助理內建終端機，可在使用者環境執行指令，假資源中的對抗性提示內容可能被AI工具納入後續執行流程，觸發工具呼叫，使AI助理執行攻擊者指定的動作，例如在受害裝置上安裝殭屍網路惡意程式。</p> <p>研究人員測試多款代理式LLM應用程式，驗證這項攻擊可導致遠端工具執行與遠端程式碼執行（RCE）。受測工具包括Cursor、Cursor CLI、Windsurf、GitHub Copilot、Cline、Gemini CLI，以及OpenClaw、ZeroClaw、NanoClaw等AI助理。研究團隊指出，在複製（clone）儲存庫的情境中，模型產生錯誤資源名稱的比例最高可達85%；在安裝AI代理技能資源的情境中，最高可達100%。</p> <p>研究人員認為，這類手法不需要仰賴弱密碼或蠕蟲式擴散，也可能被用於建立大規模殭屍網路，建議開發者要求AI代理在複製、拉取或安裝外部資源前，先執行明確的搜尋與驗證步驟，並檢查代理產生的執行計畫。企業與開發者也應避免讓AI代理在缺乏人工確認的情況下自動執行指令；導入外部儲存庫、套件或技能資源前，也應確認名稱是否對應到原始專案與可信維護者。</p> </div></div></div>
7/10 12:59作者王珮瑤https://www.ithome.com.tw/news/177230
OpenAI升級ChatGPT桌面程式，ChatGPT Atlas瀏覽器將退場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>OpenAI周四（7/9）宣布升級ChatGPT桌面程式，新版整合原本獨立的Codex程式開發工具，也內建了瀏覽器與電腦操作等功能，並將逐步淘汰去年10月推出的瀏覽器<a href="https://www.ithome.com.tw/news/171807" target="_blank">ChatGPT Atlas</a>。根據<a href="https://www.theverge.com/ai-artificial-intelligence/963654/openai-chatgpt-atlas-ai-browser-shut-down-sunset" target="_blank">The Verge</a>的報導，ChatGPT Atlas預計會在8月9日停止運作。</p> <p>ChatGPT桌面程式最早是在2024年5月隨著GPT-4o的發表<a href="https://www.ithome.com.tw/news/162866" target="_blank">推出macOS版</a>，同年10月再推出Windows版。初期ChatGPT桌面版主要讓使用者可快速叫出ChatGPT，支援文字與語音對話、上傳檔案、擷取螢幕畫面，以及直接針對截圖內容提問，之後也陸續強化與桌面應用程式及外部工具整合的能力。</p> <p>新版ChatGPT桌面程式首先整合原本獨立的Codex App，讓使用者可在同一個程式中使用一般ChatGPT、Codex，以及新發表的<a href="https://www.ithome.com.tw/news/177224" target="_blank">AI代理人ChatGPT Work</a>，不必再分別開啟不同應用程式。</p> <p>它還新增內建瀏覽器，可直接開啟網站、使用網頁工具，並處理Google Workspace與Microsoft 365等線上文件。</p> <p>此外，新版加入更完整的電腦操作能力，可在背景跨應用程式、工具與瀏覽器執行點擊、輸入及搬移檔案等動作。舊版雖已能讀取部分桌面應用程式內容，但新版進一步讓ChatGPT實際操作電腦並完成跨應用程式的工作流程。</p> <p>當初OpenAI推出ChatGPT Atlas，希望以ChatGPT為核心重新設計瀏覽器，讓AI能理解使用者正在瀏覽的網頁內容，並直接摘要資訊、填寫表單或代為執行網路任務。如今OpenAI決定將瀏覽器及網頁操作能力整合至桌面版ChatGPT，獨立的ChatGPT Atlas也將隨之退場。</p> </div></div></div>
7/10 12:13作者陳曉莉https://www.ithome.com.tw/news/177228
金融詐欺攻擊利用ClickFix手法散布SCMBANKER工具包
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>社交工程手法ClickFix過去常被用於散布<a href="https://www.ithome.com.tw/news/173653" target="_blank">竊資軟體</a>與<a href="https://www.ithome.com.tw/news/172319" target="_blank">遠端存取木馬</a>，如今也被攻擊者用於金融詐欺。</p> <p><a href="https://www.elastic.co/security-labs/mexican-banking-fraud-scmbanker-ref6045" target="_blank">資安業者Elastic旗下威脅研究團隊揭露代號REF6045的攻擊行動</a>，指出這波攻擊鎖定墨西哥金融服務使用者。攻擊者架設假CAPTCHA驗證頁面，要求使用者完成額外步驟，藉此引導對方將惡意命令貼到Windows的「執行」對話方塊。命令執行後，批次指令碼會開啟假Windows更新畫面作為掩護，並透過Windows內建命令列工具bitsadmin下載SCMBANKER相關元件，再利用Windows登錄機碼Run Key與啟動資料夾（Startup Folder）建立開機自動執行機制，使惡意程式在系統重開機後繼續運作。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0710-clickfix-REF6045-Elastic%20Security%20Labs-600-2.png" style="width: 598px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源/Elastic</span></span></p> <p>SCMBANKER植入後，會監看受害者是否開啟網銀或金融服務網站；一旦發現相關活動，攻擊者即可啟用螢幕擷取、剪貼簿竄改與瀏覽器重新導向等功能，將受害者帶往釣魚網站，或替換交易帳號資訊，藉此攔截金融交易。</p> <p>在偵測與防護方面，研究人員建議企業留意端點是否出現可疑PowerShell命令執行、bitsadmin下載行為、異常處理程序啟動，或登錄機碼遭寫入可疑字串等跡象。企業也應加強員工警覺，提醒使用者避免依照網站指示，在Windows執行對話方塊貼上並執行不明PowerShell或cmd命令。</p> </div></div></div>
7/10 12:19作者王珮瑤https://www.ithome.com.tw/news/177227
OpenAI推出ChatGPT Work，AI代理人可跨應用程式自主完成多步驟工作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://openai.com/zh-Hant/index/chatgpt-for-your-most-ambitious-work/" target="_blank">OpenAI周四（7/9）推出ChatGPT Work</a>，將ChatGPT從對話工具擴展為可執行多步驟任務的AI代理人。ChatGPT Work可跨應用程式與檔案蒐集資訊，自主規畫並執行工作流程，定位類似Anthropic的Claude Cowork，主要鎖定企業與知識工作者市場。</p> <p>當使用者交付任務後，ChatGPT Work會尋找所需資料、讀取已連接的企業工具與檔案、拆解執行步驟，並產出文件、簡報或試算表等成果，必要時可持續執行數小時。相較於一般聊天模式，ChatGPT Work可自行規畫並執行完整工作流程，使用者則可查看進度、補充資訊、調整方向及核准重要動作。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0710-chatgpt%20work-600-1.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0710-chatgpt%20work-600-2.png" style="width: 600px;" /></p> <p>ChatGPT Work可透過Connectors連接Slack、Microsoft Teams、Google Drive、SharePoint、Salesforce、電子郵件及行事曆等工具，自動擷取並整合企業資料。使用者也可利用排程任務，要求ChatGPT定期監控網站更新、整理Slack訊息、彙整客戶回饋或更新簡報，讓工作在背景持續進行。</p> <p>ChatGPT Work採用最新的GPT-5.6模型，同時支援ChatGPT網頁版、行動版與桌面版，率先向Pro、Enterprise及Edu方案用戶開放，並將於未來幾天擴及Plus及Business方案。其中，桌面版可結合本機檔案、應用程式及內建瀏覽器，提供更完整的工作能力。<span style="font-size:14px;"><span style="color:#696969;">圖片來源/OpenAI</span></span></p> </div></div></div>
7/10 10:42作者陳曉莉https://www.ithome.com.tw/news/177224
歐盟推AI資安行動計畫，強化模型安全評估與網路韌性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>隨著AI加速導入各產業與公共服務，<a data-saferedirecturl="https://www.google.com/url?q=https://digital-strategy.ec.europa.eu/en/library/eu-action-plan-cybersecurity-and-artificial-intelligence&source=gmail&ust=1783733725435000&usg=AOvVaw0xGay8e6hMr_SwodVXBD8m" href="https://digital-strategy.ec.europa.eu/en/library/eu-action-plan-cybersecurity-and-artificial-intelligence" target="_blank">歐盟執委會（Europea<wbr></wbr>n Commission）發布「AI與資安行動計畫」（EU Action Plan on Cybersecurity and Artificial Intelligence）</a>，希望提升歐洲整體網路防護能力，<wbr></wbr>同時降低AI遭攻擊者濫用的風險。</p> <p>這項行動計畫列出3大方向，包括安全且負責任地使用先進AI、<wbr></wbr>提升歐盟網路防護與復原能力，以及擴大AI在漏洞分析、<wbr></wbr>威脅偵測與事件應變等資安工作的應用。</p> <p>歐盟將依據《AI法案》（AI Act）強化AI模型進入歐盟市場前的安全評估機制，<wbr></wbr>並與歐盟網路安全局（European Union Agency for Cybersecurity，ENISA）合作，建立先進AI系<wbr></wbr>統用於資安目的之安全存取應用藍圖，並設置安全測試平臺，<wbr></wbr>協助能源、交通、衛生醫療、金融與公共行政等關鍵領域組織，<wbr></wbr>在安全測試環境中驗證並導入AI資安方案。</p> </div></div></div>
7/10 10:56作者王珮瑤https://www.ithome.com.tw/news/177225
GuardFall攻擊鎖定開源AI程式開發代理，可繞過Shell命令防護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://adversa.ai/blog/opensource-ai-coding-agents-shell-injection-vulnerability/" target="_blank">AI安全業者Adversa AI於6月30日揭露名為GuardFall的攻擊手法</a>。研究指出，多款開源AI程式開發代理與電腦操作型AI代理在執行Shell命令前，安全檢查主要仰賴原始命令字串比對或阻擋清單，攻擊者可利用Bash等命令列直譯器（Shell）的特性，在實際執行命令前，先展開變數、移除引號並重新解析命令，避開代理程式檢查，讓惡意命令以開發者帳號權限，在開發者主機或CI環境執行。</p> <p>這項研究測試opencode、Goose、Cline等11款熱門開源AI程式開發代理與電腦操作型代理。結果顯示，除Continue外，有10款工具在代理程式將命令交由Bash等命令列直譯器執行的流程中，分別存在防護可被繞過、缺乏靜態命令檢查機制，或切換本機模式後失去容器沙箱保護等問題；僅Continue在預設IDE模式下採用較完整的命令解析與安全檢查機制。</p> <p>不過，GuardFall攻擊並非在所有情境下都會成立，攻擊鏈仍取決於AI模型是否會將惡意內容視為一般開發任務並產生Shell命令，以及代理程式是否允許在缺乏人工確認的情況下自動執行命令。若攻擊成功，可能危及開發者主機上的SSH金鑰、雲端憑證，以及CI環境中的部署金鑰、套件登錄平臺的憑證等敏感資料。</p> <p>對此，Adversa AI建議開發團隊可先關閉--auto-exec、--auto-run、--auto-test等自動執行旗標或功能，避免AI代理在自動執行模式下處理拉取請求（pull request）中的未受信任內容。長期而言，AI代理不應只依賴阻擋清單，而應在命令交給Shell執行前，完成完整的命令解析與安全檢查。</p> </div></div></div>
7/10 11:17作者王珮瑤https://www.ithome.com.tw/news/177226
HP Deskjet 2800印表機韌體漏洞可讓駭客竊取憑證及配置資訊，HP尚未修補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://kb.cert.org/vuls/id/828543" target="_blank">CERT/CC協調中心警告</a>，HP家用多功能事務機Deskjet 2800系列傳出韌體存在缺少授權的漏洞CVE-2026-13753，可讓攻擊者可能取得Wi-Fi憑證、管理配置及其他敏感資訊。目前HP尚未修補。</p> <p>HP現代化的印表機都提供Web管理介面，可讓使用者遠端存取以設定Wi-Fi Direct設定、SNMP管理、及裝置安全選項。正常情況下，存取Web管理頁面需要輸入管理員憑證，才會顯示敏感資訊。但在Deskjet 2800系列的問題版本韌體中，攻擊者可以對多個後端API端點直接傳送非經驗證的GET請求，這些端點並未檢查執行階段的狀態或驗證，就回傳了配置資料如Wi-Fi Direct SSID和明文密碼短語（passphrase）、印表機專有序號或服務ID、裝置管理員密碼狀態等。CERT/CC指出，這些資訊甚至在已執行驗證的Web介面都被曝露出來，顯示是API層的授權漏洞。</p> <p>CVE-2026-13753讓遠端攻擊者得以繞過Web介面的驗證要求，並從後端API直接擷取敏感的配置資料。外洩的資料包括Wi-Fi憑證、SNMP配置資訊、裝置身份資訊、雲端服務註冊metadata、及其他和裝置管理安全狀態相關的資料。攻擊者可利用這些資訊，非法存取Wi-Fi網路、執行網路或雲端整合的偵察、冒充合法裝置或協助列印環境的進一步攻擊。</p> <p>這項漏洞風險值7.5，影響韌體版本TBP1CN2612AR及之前版本。</p> <p>CERT/CC尚無法聯繫到HP解決漏洞，這表示尚無韌體修補程式。研究人員建議用戶將印表機放在受信賴或隔離的網路區段，關閉不必要的Wi-Fi Direct，僅允許受信賴網路的SNMP存取，或是完全關閉。並且使用防火牆或存取控制表（access-control list）規則防範非信任主機存取印表機的管理通訊埠，不必要的發現或雲端服務功能應加以關閉。</p> </div></div></div>
7/10 08:31作者林妍溱https://www.ithome.com.tw/news/177222
研究人員展示workflow層級的提示注入手法，繞過護欄讓GitHub Copilot撰寫惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>隨著AI模型加入安全護欄，已減少提示注入攻擊的可能性。<a href="https://arxiv.org/abs/2607.03968" target="_blank">但研究人員發展出新提示注入手法</a>，將攻擊行為拆成一組工作流（workflow），成功讓GitHub Copilot撰寫出惡意程式碼。</p> <p>研究人員Abhishek Kumar與Carsten Maple將其手法稱為工作流層級越獄建構（workflow-level jailbreak construction）。這種攻擊法是將一個惡意攻擊指令，切成看似一般軟體開發流程的多個階段，這些階段一旦組合起來，就能對GitHub Copilot起作用，按研究人員意思撰寫攻擊程式碼。</p> <p>在測試對象方面，研究人員以Visual Studio Code的GitHub Copilot為代理人，後端模型使用4個閉源模型，包括Claude Sonnet 4、Claude Haiku 4.5、Gemini 3.1 Pro和Gemini 3.5 Flash。在聊天介面、CSV讀取及一步程式修補（single-step code-fix）三種情境下輸入204個惡意提示，直接要求Copilot寫有害程式碼，4個模型產生的816個回應幾乎（8/816）都予以拒絕。</p> <p>研究人員的工作流階層越獄建構中，則是以多個步驟要求GitHub Copilot建立「評估其他模型被惡意提示突破」的標竿測試管線程式（benchmark pipeline）專案。GitHub Copilot首先載入自動化紅隊演練的標準評估框架HarmBench，建立名為ASR的程式。接著，研究人員稱ASR得分太低，要求Copilot自動編寫包含提示／回應的「教學範例」（Teaching Shots），以便改善評估程式。Copilot以為自己正在執行軟工專案任務，於是當它寫出了「範例」的同時，也寫出了能突破其他模型的有害程式，落入研究人員圈套。以新方法，GitHub Copilot搭配4個模型輸出的816個回應中，全部都提供了不安全的程式碼。</p> <p>研究人員結論道，測試結果顯示，對話式拒絕標竿測試（conversational refusal benchmark）可能高估了程式開發代理人的安全性，程式開發代理人的安全必須在工作流層級來評估和執行。因此，未來防護也不能只監控提示和聊天回應，還必須監控IDE開發流程中，生成的檔案、腳本程式、範例、日誌、和當中生成的過渡性物件。</p> </div></div></div>
7/10 08:45作者林妍溱https://www.ithome.com.tw/news/177223
GitHub前執行長創辦Entire，推分散式Git託管網路分流AI代理讀取負載
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>GitHub前執行長Thomas Dohmke的新創公司Entire，<strong><a href="https://entire.io/blog/an-entirely-new-git-hosting-network">推出分散式Git託管網路</a></strong>，讓使用者可將GitHub上的公開或私有程式碼儲存庫，鏡像到Entire位於不同區域的節點。AI程式代理不必都向原本的GitHub儲存庫大量讀取資料，而可從較近的Entire節點下載程式碼與拉取更新，降低原始儲存庫在高並行存取下的負載。</p> <p>Entire指出，Git原本就是分散式版本控制系統，每一份完整下載的儲存庫，都包含程式碼與歷史紀錄。不過，多數開發團隊仍集中使用GitHub這類託管平臺，過去由人類開發者操作時，通常是下載一次儲存庫、在本機工作一段時間後，再偶爾推送變更，但AI代理加入開發流程後，可能在短時間內同時發出大量請求，使原始儲存庫碰到流量限制，也暴露集中式服務的失效風險。</p> <p>因此Entire透過在GitHub儲存庫之外建立區域鏡像，讓開發者仍可維持原本的GitHub工作流程，AI代理則可改從Entire節點讀取資料。不過，Entire鏡像主要處理的是大量讀取流量，當開發者或AI代理要把變更推送到會同步回GitHub的分支，速度仍受GitHub端處理能力限制。Entire也支援Entire原生分支，可讓特定分支留在區域節點內處理，用來承接較大量的自動化寫入工作。</p> <p>在架構上，Entire以全域控制層處理身分、存取權限與資料放置位置，實際程式碼內容則存放在各區域資料層。使用者或組織可以指定儲存庫鏡像所在區域，讓程式碼讀取更接近實際運算位置，也避免所有代理請求都集中回到同一個原始儲存庫。</p> <p>Entire分散式Git託管網路首波開放給既有Entire使用者，初期區域為美國、歐洲與澳洲。新使用者目前採等待名單，Entire表示會依流量與系統負載逐步放行。使用者需安裝Entire GitHub App並授權儲存庫，再透過Entire命令列工具建立鏡像，之後即可從指定區域節點下載儲存庫。</p> <p>Entire也釋出開源工具ForgeMark，用來測試Git服務在大量AI代理操作模式下，處理並行git-push的吞吐量與延遲。Entire後續計畫支援在其網路上直接託管公開與私有儲存庫，並將Git後端開源，支援使用者自架節點。</p> </div></div></div>
7/10 08:12作者李建興https://www.ithome.com.tw/news/177220
調查局破獲中國網軍冒充國際記者，對臺政學界進行社交工程攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>針對中國網軍對臺灣政治界、學術界人士進行社交工程攻擊，7月7日<strong><a href="https://www.mjib.gov.tw/news/Details/1/1196">法務部調查局宣布破案</a></strong>，網軍偽冒國際記者犯案，藉此刺探及收集機敏資訊，並寄送夾帶惡意程式的電子郵件，意圖入侵及操控受害者的電腦設備。辦案人員搜索約談協助網軍蒐集LINE帳號的愛彼蓋爾公司，士林地檢署今依違反個資法對該公司前後負責人李華倫、陳孟森處分緩起訴。調查局呼籲，民眾除對不明人士加LINE傳訊攀談，或接獲不明郵件、簡訊要提高警覺，也不應將所申請、註冊之手機門號、LINE帳號等提供他人使用，避免涉入幫助犯罪而觸法。</p> <p>調查局自去年4月開始接獲相關通報，經過調查發現，愛彼蓋爾公司負責人接受中國網軍「廈門市女帝信息科技有限公司」指使，收集臺灣民眾手機門號註冊的LINE帳號，再以每個帳號人民幣1,100元的代價，租給中國網軍運用。</p> <p>一旦中國網軍取得這些帳號，他們就會盜用圖像並設定LINE帳號名稱，假冒國際記者身分，取得臺灣政學界人士的行動電話號碼，加為LINE好友開始攀談，藉新聞採訪為由邀請撰寫稿件，刺探、收集相關機敏資訊。再者，由於記者為了保護消息來源往往會採用加密通訊的管道進行採訪，這些網軍也投其所好，假借提供加密通訊軟體為由寄送電子郵件，藉此誘騙收信人開啟附件檔案，於受害裝置植入惡意軟體並竊取資料。</p> </div></div></div>
7/9 17:42作者周峻佑https://www.ithome.com.tw/news/177219
【資安日報】7月9日，數發部公布人工智慧風險分類框架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><h3><strong>本日新聞焦點</strong></h3> <p>● <a href="https://www.ithome.com.tw/news/177214#AI-Risk">數發部人工智慧風險框架歸納3大類風險</a><br /> ● <a href="https://www.ithome.com.tw/news/177214#F5">F5宣布例行安全性更新週期從每季改成每月</a><br /> ● <a href="https://www.ithome.com.tw/news/177214#Accenture">IT服務公司Accenture傳出資料外洩事故</a><br /> ● <a href="https://www.ithome.com.tw/news/177214#ZohoMurk">與臺灣進行合作的印度政府機關遭到中國駭客滲透</a> <br /> ● <a href="https://www.ithome.com.tw/news/177214#GhostLock">Linux核心7.1修補高風險資安漏洞GhostLock</a> <a id="AI-Risk" name="AI-Risk"></a></p> <h3> </h3> <h3><b>資安新聞總覽</b></h3> <p><a href="https://www.ithome.com.tw/news/177184"><span style="font-size: 22px;"><strong>數發部正式公布人工智慧風險分類框架，畫分3大類20項子類別，並提供4大建議步驟</strong></span></a></p> <p>隨著《人工智慧基本法》於今年1月正式上路，各目的事業主管機關近期陸續發布AI應用指引，例如衛福部、NCC均已率先展開行動，先前數位發展部預告將制定相關框架，以便各部會參考，如今這套「人工智慧風險分類框架」正式於7月7日發布，預計將帶動更多部會加速推出AI應用指引。此框架是依據《人工智慧基本法》第16條訂定，供目的事業主管機關訂定AI風險管理規範之用，同時作為產業界及社會大眾理解我國AI風險治理體系之參考文件。<a href="https://www.ithome.com.tw/news/177184">詳全文</a> <a id="F5" name="F5"></a></p> <p><a href="https://www.ithome.com.tw/news/177197"><span style="font-size: 22px;"><strong>F5資安公告發布週期將從每季改為每月，理由是頂尖AI模型大幅提高低中風險漏洞串連利用的能力</strong></span></a></p> <p>繼4月底Oracle宣布將例行安全性更新週期從每季改為每月，網路應用程式交付與資安廠商F5本週也宣布採用類似的做法，該公司產品長Kunal Anand表示，從7月起，將於每個月的第三個星期三定期發布強化安全性的軟體版本（Hardened Software Releases），首發日期為7月15日，並搭配每月發布一次的安全通知（Monthly Security Notification，MSN），當中將說明前一個月發布的強化版本所修補的漏洞，首發日期為8月19日，涵蓋7月15日發布的版本。<a href="https://www.ithome.com.tw/news/177197">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177195"><span style="font-size: 22px;"><strong>CISA據傳使用Mythos掃描政府程式碼庫，找出可能遭濫用的漏洞</strong></span></a></p> <p>美國政府運用AI模型協助發現軟體漏洞的情況，再度受到關注。路透社引述3名知情人士報導，美國網路安全與基礎設施安全局（CISA）正在使用Anthropic Claude Mythos模型，掃描美國政府程式碼儲存庫，找出可能遭外國情報機構或網路犯罪分子利用的資安漏洞。知情人士指出，相關稽核已找出大量潛在漏洞，但未說明漏洞類型與嚴重程度。Anthropic未回應路透社提問；CISA代表先前曾表示會確認能否分享相關資訊，但後續未再回覆。<a href="https://www.ithome.com.tw/news/177195">詳全文</a> <a id="Accenture" name="Accenture"></a></p> <p><a href="https://www.ithome.com.tw/news/177194"><span style="font-size: 22px;"><strong>Accenture證實遭駭，攻擊者聲稱竊得35 GB資料</strong></span></a></p> <p>自稱888的駭客宣稱，IT服務與顧問公司Accenture在2026年7月發生資料外洩事件，遭竊資料超過35 GB，內容包括原始碼、RSA金鑰、SSH金鑰、Azure個人存取權杖（PAT）、Azure Storage存取金鑰，以及組態檔。Accenture向Bleeping Computer證實發生資安事故，並表示這是一起個別情況，已修復問題來源，未影響公司營運與服務交付。這起事件是因有威脅行為者聲稱竊得Accenture資料，並在網路犯罪論壇兜售而曝光。<a href="https://www.ithome.com.tw/news/177194">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177200"><span style="font-size: 22px;"><strong>有鑑於IT服務公司Accenture資料外洩，SOCRadar建議要從4大方向因應相關威脅</strong></span></a></p> <p><a href="/sites/default/files/images/888-forum-listing-accenture-data-breach-socradar-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/888-forum-listing-accenture-data-breach-socradar-63.jpg" style="width: 300px; float: right;" /></a></p> <p>針對IT服務與顧問公司Accenture近日發生的資安事故，威脅情報公司SOCRadar指出，儘管Accenture只承認部分資料外流，然而根據暴露的資料類型，代表企業應平時必須對於開發環境進行防禦性檢查，而對於Accenture此次事故可能會衍生儲存庫或機密資料外洩的情況，應從4個面向降低憑證風險並驗證開發環境的完整性。首先，企業應輪換並撤銷可能被揭露的機密；再者，要檢視Azure等雲端環境的事件記錄，協助判斷暴露的憑證在輪換之前是否遭到利用。<a href="https://www.ithome.com.tw/news/177200">詳全文</a> <a id="ZohoMurk" name="ZohoMurk"></a></p> <p><a href="https://www.ithome.com.tw/news/177205"><span style="font-size: 22px;"><strong>中國駭客Mustang Panda鎖定印度政府，濫用Zoho WorkDrive從事網路間諜活動</strong></span></a></p> <p><a href="/sites/default/files/images/ae59c2f1525abed5a6ef97f666d17da8-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/ae59c2f1525abed5a6ef97f666d17da8-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安公司Acronis揭露Mustang Panda最新一波的攻擊行動，他們攻擊與臺灣政府簽署MOU的印度政府機構，以及印度的水力發電機構，過程裡濫用印度政府廣泛採用的雲端檔案共享平臺Zoho WorkDrive建立C2通訊，然後傳遞惡意程式ZohoMurk與MiniRecon。該公司推測，本次攻擊活動具備間諜性質，目的在收集印度對臺灣在國防領域的合作情報，以及印度的水力發電計畫。Acronis確認印度政府多個系統遭到入侵，並與印度電腦緊急應變團隊（CERT-In）合作來因應此事。<a href="https://www.ithome.com.tw/news/177205">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177201"><span style="font-size: 22px;"><strong>假借提供印度稅務申報工具，中國駭客Silver Fox散布木馬程式DcRAT</strong></span></a></p> <p><a href="/sites/default/files/images/Operation-DragonReturn-1-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/Operation-DragonReturn-1-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安公司Seqrite揭露網路間諜活動Operation DragonReturn，駭客的活動從5月18日首度出現，截至6月17日仍在持續進行，主要目標涵蓋印度各地的企業組織、個人納稅人、稅務會計師（CA）、政府承包商、稅務代理人，以及企業財會團隊等，冒充印度財政部所得稅局寄送釣魚信，並引誘收信人開啟附件，一旦中招，受害電腦就會被植入惡意程式DcRAT。根據駭客使用簡體中文，並比對基礎設施與戰術、手法，以及流程（TTP），Seqrite認為攻擊者很可能就是中國駭客Silver Fox。<a href="https://www.ithome.com.tw/news/177201">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177198"><span style="font-size: 22px;"><strong>郵件伺服器Roundcube已知漏洞遭利用，中國駭客攻擊美國大學物理與工程學系</strong></span></a></p> <p><a href="/sites/default/files/images/Figure 1_ UNK_MassTraction infection chain-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/Figure%201_%20UNK_MassTraction%20infection%20chain-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安公司Proofpoint揭露2026年5月起出現的攻擊行動，駭客鎖定美國與加拿大多所大學物理與工程學系的Roundcube郵件伺服器。該公司將此攻擊集團命名為UNK_MassTraction，並研判其為疑似與中國有關聯的網路間諜集團。此波攻擊鎖定美加主要大學中的物理與工程學系，特別針對具有國安相關背景，或從事天文物理與粒子物理研究的部門管理員與教授，部署Webshell或後門程式VShell。此活動與Trellix先前揭露的事故有相似之處，不過，Proofpoint無法確認是否都是UNK_MassTraction所為。<a href="https://www.ithome.com.tw/news/177198">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177207"><span style="font-size: 22px;"><strong>中國惡意軟體驚傳透過USB裝置感染日本陸上自衛隊近一年</strong></span></a></p> <p>根據外流的內部文件顯示，日本陸上自衛隊（JGSDF）在連接敏感軍事網路的電腦上使用遭植入惡意程式的USB隨身碟，且持續接近一年，該惡意程式已被指與中國駭客行動有關。最早揭露此事的是日經亞洲（Nikkei Asia），他們指出日本陸上自衛隊自2024年3月起使用中國製USB隨身碟，直到2025年2月才發現異狀。大紀元時報（The Epoch Times）取得知情人士說法，這起事故現在曝光，很可能與中日政治局勢緊張有關。<a href="https://www.ithome.com.tw/news/177207">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177193"><span style="font-size: 22px;"><strong>駭客冒充IT支援人員，透過微軟Teams散布惡意軟體EtherRAT</strong></span></a></p> <p>資安公司Palo Alto Networks旗下的威脅情報團隊Unit 42指出，他們近日觀察到結合電子郵件釣魚與假冒IT支援的社交工程攻擊活動，攻擊者濫用Microsoft Teams通話，向受害者投遞惡意程式EtherRAT。此攻擊活動以偽造的員工調查郵件為誘餌，隨後由冒充系統管理員的攻擊者透過Teams通話介入，取得受害者電腦的遠端控制權，進而誘騙受害者安裝遠端管理工具（RMM）以建立持久通道，最終部署透過乙太坊智慧合約解析C2位址的區塊鏈後門程式。<a href="https://www.ithome.com.tw/news/177193">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177165"><span style="font-size: 22px;"><strong>ClickFix成2026年3月至5月主要惡意程式投遞手法，已逐步擴及macOS平臺</strong></span></a></p> <p>資安公司ReliaQuest於6月30日發布威脅情勢報告指出，ClickFix已成為2026年3月至5月期間主要的惡意程式投遞手法。ClickFix也是企業初始入侵的重要途徑之一，在魚叉式網路釣魚連結攻擊中占比達14.9%。此外，攻擊者經常搭配命令列混淆、隱藏檔案或指令碼真實用途等規避偵測技巧，使相關防禦規避活動占比接近28%。值得注意的是，ReliaQuest首次觀察到ClickFix攻擊手法延伸至macOS環境，誘使使用者於內建指令碼編輯工具執行惡意指令。<a href="https://www.ithome.com.tw/news/177165">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177188"><span style="font-size: 22px;"><strong>CISA下令聯邦機構於3天內修補ColdFusion滿分漏洞</strong></span></a></p> <p>6月底Adobe修補CVSS嚴重程度評為10分滿分的ColdFusion漏洞CVE-2026-48282，一週後美國政府確認已被用於實際攻擊，並要求聯邦機構緊急修補。7月7日美國網路安全與基礎設施安全局（CISA）表示，他們已掌握該漏洞被積極利用的證據，將其加入已遭利用的漏洞名單（KEV），聯邦機構必須在7月10日前完成修補。值得留意的是，同一天還有其他3個漏洞CVE-2026-48908、CVE-2026-56290、CVE-2026-55255，也被列入KEV。<a href="https://www.ithome.com.tw/news/177188">詳全文</a> <a id="GhostLock" name="GhostLock"></a></p> <p><a href="https://www.ithome.com.tw/news/177191"><span style="font-size: 22px;"><strong>Linux核心7.1修補長達15年的漏洞GhostLock</strong></span></a></p> <p><a href="/sites/default/files/images/race-timeline_light_BdOWiamE-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/race-timeline_light_BdOWiamE-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安研究團隊Nebula Security揭露Linux核心漏洞GhostLock，此弱點自2011年的2.6.39版引入，潛伏在Linux核心長達15年，為堆疊型記憶體釋放後再存取利用（Stack-UAF）弱點，登記為CVE-2026-43499，CVSS嚴重程度評為7.8分。此漏洞影響所有Linux發行版，攻擊者無需任何特權或特殊核心組態，僅需標準執行緒的系統呼叫即可觸發。Linux開發團隊獲報後，已於Linux核心7.1版完成修補。Nebula Security測試用於權限提升與容器逃逸，結果成功率高達97%。<a href="https://www.ithome.com.tw/news/177191">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177199"><span style="font-size: 22px;"><strong>Google更新Chrome 150穩定版，修補27項漏洞，兩項屬於重大等級</strong></span></a></p> <p>Google針對電腦版與安卓版用戶，發布Chrome瀏覽器新版150.0.7871.114與150.0.7871.115，此次改版共納入27項資安漏洞的修補。本次修補的重大漏洞有兩項，分別是影響平臺抽象層元件Ozone的CVE-2026-15112，以及影響GUI框架元件Views的CVE-2026-15129，都屬於記憶體已釋放卻仍被使用（UAF）問題。綜觀這次修補的漏洞，依舊以記憶體安全類型有17項居多，其中大部分為UAF問題，占13項。<a href="https://www.ithome.com.tw/news/177199">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177204"><span style="font-size: 22px;"><strong>Ubiquiti修補UniFi OS與多款應用程式漏洞，含7項重大漏洞</strong></span></a></p> <p>網通設備商Ubiquiti近日修補旗下UniFi OS管理平臺的25項漏洞，7項為重大等級，最嚴重的是IoT與數位看板管理平臺UniFi Connect漏洞CVE-2026-50746，CVSS評分達10分滿分，為存取控制不當問題。其次是四項9.9分的漏洞，包括影響IP電話管理應用程式UniFi Talk的CVE-2026-50747，門禁管理應用程式UniFi Access的CVE-2026-50748，視訊監控應用程式UniFi Protect的CVE-2026-55115，以及UniFi OS平臺本身的CVE-2026-54402。<a href="https://www.ithome.com.tw/news/177204">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177177"><span style="font-size: 22px;"><strong>BeyondTrust修補遠端支援與特權存取產品重大漏洞，攻擊者可藉此繞過存取控制與權限提升</strong></span></a></p> <p>身分存取安全公司BeyondTrust發布資安公告，修補四項重大漏洞，影響遠端支援及特權存取產品Remote Support（RS）與Privileged Remote Access（PRA），這些漏洞可能導致繞過存取控制、權限提升與服務阻斷等問題，其中最嚴重的是CVSS評分同為9.2分的CVE-2026-40138與CVE-2026-40139，兩者皆源於身分驗證子系統對驗證資料處理不當，可能導致攻擊者繞過存取控制與提升權限，自建版本用戶應儘速升級至25.3.3版以後版本因應。<a href="https://www.ithome.com.tw/news/177177">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177181"><span style="font-size: 22px;"><strong>Google Dialogflow CX曝重大缺陷，攻擊者可透過惡意AI代理竊取AI對話與共享資料</strong></span></a></p> <p><a href="/sites/default/files/images/Dialogflow-diagram-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/Dialogflow-diagram-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安公司Varonis近日揭露針對Google對話式AI平臺Dialogflow CX的「Rogue Agent」攻擊手法，具備一定權限的攻擊者，可建立惡意Dialogflow代理，再利用Google Cloud Run共用執行環境的架構缺陷，存取同一專案內其他代理的資訊。Google已修補此問題，目前未發現遭實際利用的跡象。Varonis指出，問題源自同一個GCP專案中，所有使用Playbook Code Block來執行程式的Dialogflow代理，實際上共用同一個Cloud Run執行環境，該環境由Google管理，不受使用者控制。<a href="https://www.ithome.com.tw/news/177181">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177162"><span style="font-size: 22px;"><strong>IBM修補WebSphere Application Server兩項重大漏洞</strong></span></a></p> <p>IBM於6月30日發布Java應用程式伺服器WebSphere Application Server資安公告，修補三項漏洞CVE-2026-11712、CVE-2026-11595與CVE-2026-11708，均存在於管理控制臺的整合輔助說明系統（Integrated Help System），最嚴重的是CVSS評分均為9.3分的CVE-2026-11712與CVE-2026-11708這兩項，均屬於跨網站指令碼問題（Cross-site Scripting，XSS），這兩項漏洞除編號不同外，IBM公告中的描述完全相同，目前無法判斷兩者的區別何在。<a href="https://www.ithome.com.tw/news/177162">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177155"><span style="font-size: 22px;"><strong>記憶體安全需求推升Rust人氣，首進TIOBE指標前十</strong></span></a></p> <p>TIOBE公布2026年7月程式語言人氣指標，Rust首次進入前十名，排名第10，評分為1.34%，高於去年同期的第18名。Rust受到關注的原因，與近年軟體開發對記憶體安全的要求提高有關，此程式語言重視記憶體安全，同時仍能產生高效能程式碼，使其成為C與C++之外受到關注的系統程式語言選項。不過，TIOBE也指出，C與C++社群仍在推動提高程式語言安全性的工作，這些努力能否及時見效，仍有待觀察。<a href="https://www.ithome.com.tw/news/177155">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177153"><span style="font-size: 22px;"><strong>Gartner將主權AI、AI代理風險與AI治理列入未來兩年資料與分析重點趨勢</strong></span></a></p> <p>6月中旬在雪梨舉行的Gartner資料與分析高峰會期間，市場調查機構Gartner研究副總裁Carlie Idoine針對企業兩年內的策略規畫，建議將六大資料與分析趨勢納入考量，其中有三項與資安有關，分別是：主權AI發展速度加快、藉助決策治理平臺降低AI代理風險、利用AI治理平臺建立信任。關於主權AI，資料與分析的控制權能夠以本地需求為主，是推動此過程的重要環節，成為許多組織在邁向AI優先企業的發展規畫中，必須設法妥善因應的外部地緣政治現實。<a href="https://www.ithome.com.tw/news/177153">詳全文</a> </p> </div></div></div>
7/9 15:58作者周峻佑https://www.ithome.com.tw/news/177214
法務部以三層平臺架構串聯算力、法務LLM與AI Agent推動法務主權AI發展，首波應用年底前成形
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在政府推動主權AI政策下，法務部6月甫宣布啟動法務部專屬大型語言模型計畫，目的在打造司法AI平臺。不過，法務部此次並非自行打造一套大型語言模型（LLM），而是希望建立可持續擴充的AI共用平臺，讓未來各個業務單位都能在共同基礎上發展司法AI應用，而不必各自重複建置算力與模型。</p> <p>法務部計畫打造法務領域LLM，與金管會先前聯手16家金融業者啟動金融LLM專案，為少數由政府部會或產業帶頭打造的適用我國法規、價值觀的特定領域專用大語言模型應用案例。</p> <p>具有檢察官經歷的法務部綜合規畫司副司長古慧珍接受iThome採訪時表示，這項為期三年的計畫採取「底層資源共享、應用服務分流」架構，底層算力、模型與資料環境由平台統一提供，上層則依檢察、觀護、行政等不同業務需求，發展各式AI應用，未來也可持續擴充更多司法場景。</p> <h2 dir="ltr" style="line-height:1.38;margin-top:18pt;margin-bottom:4pt;"><span style="color:#B22222;"><span style="font-size:20px;"><strong><span id="docs-internal-guid-26a3f185-7fff-70cf-0b7f-11f1849eec3b"><span style="font-family: Arial, sans-serif; background-color: transparent; font-weight: 700; font-variant: normal; vertical-align: baseline; white-space: pre-wrap;">三層架構同步推進</span></span></strong></span></span></h2> <p>法務部規畫的法務部專屬大型語言模型計畫共分為三層。第一層為AI基礎設施，包括GPU算力、資料湖（Data Lake）及推論環境；第二層為法務專屬大型語言模型；第三層則是建置各項司法AI Agent及應用服務。計畫分3年推動，2026年為試驗期，申請科發基金支應，經費約9千餘萬元，2027年為推廣期，2028年為優化期。</p> <p><img alt="" src="/sites/default/files/images/%E6%B3%95%E5%8B%99%E5%B0%88%E5%B1%AC%E5%A4%A7%E5%9E%8B%E8%AA%9E%E8%A8%80%E6%A8%A1%E5%9E%8B%E8%A8%88%E7%95%AB%E4%B9%8B%E4%B8%89%E5%B1%A4%E6%9E%B6%E6%A7%8B.jpeg" style="width: 600px; height: 338px;" /></p> <p>和傳統資訊系統的瀑布式開發不同，法務部並非等待第一層全部完成後才展開第二、三層，而是三層同步推進。</p> <p>古慧珍表示，今年試驗期最重要的目標，是先完成整個三層架構的雛形，希望年底前建立可運作的平臺框架，後續2年再持續擴充各層能力，包括增加算力、導入更新的大型語言模型，以及發展更多司法AI應用。</p> <p>她形容，整體架構更像是一個可持續成長的平臺，未來算力可以擴充、模型可以更換，應用也能持續增加，而不是一次建置完成後便固定不變。</p> <p>目前第一層的算力及資料湖等基礎設施仍在建置中。</p> <p>古慧珍表示，算力將會採取混合模式，第一階段將部分自建、部分租用，同時也評估未來與國家高速網路與計算中心合作，並保留依AI技術演進調整部署策略的彈性。</p> <p>至於資料湖方面，今年才取得科發基金補助，目前仍在採購與建置階段，未來將儲存結構化與非結構化資料，作為模型訓練及知識檢索的重要基礎。</p> <p>儘管第一層尚未完成建置，但第二、三層已同步啟動。</p> <p>古慧珍指出，目前第二層的廠商已開始進行模型選型、建立法務語料、評測方法及模型微調規畫；第三層則同步和各個業務單位合作盤點需求，開發工作流程（Workflow）、AI Agent及系統整合。</p> <p>她也特別說明，資料蒐集與資料湖建置是兩件不同的工作。資料湖只是資料存放平臺，不會自動蒐集資料，因此目前第二、三層團隊已與各業務單位同步整理判決書、卷證、法規及行政文件等資料，待資料湖建置完成後即可逐步匯入。</p> <h2 dir="ltr" style="line-height:1.38;margin-top:18pt;margin-bottom:4pt;"><span style="font-size:20px;"><span style="color:#B22222;"><span id="docs-internal-guid-26a3f185-7fff-70cf-0b7f-11f1849eec3b"><span style="font-family: Arial, sans-serif; background-color: transparent; font-weight: 700; font-variant: normal; vertical-align: baseline; white-space: pre-wrap;">採多模型策略，兼顧效能與成本</span></span></span></span></h2> <p>第二層的模型方面，法務部並非從零訓練大型語言模型，而是採用開源模型，再結合法務專屬知識持續微調。</p> <p>古慧珍表示，目前模型仍在選型階段，除了評估不同開源模型，也會持續關注新模型推出情況，由於目前AI語言模型技術的發展相當快，因此希望保留更換模型的彈性，而非綁定單一模型。未來可能採用多模型（Multi-LLM）架構，由一個或多個模型共同支援第三層AI應用。</p> <p>法務部排除中國的開源模型，也不採用封閉式的商業模型，以兼顧資料安全與主權AI需求。至於國科會主導的主權AI模型TAIDE，她認為若未來Gemma-3-TAIDE等模型推出符合需求，也會考慮將其納入評估。</p> <p>法務部規畫採用大型語言模型搭配小型語言模型（SLM）的方式，透過模型蒸餾（Distillation）等技術，兼顧模型推論品質與運算成本，讓不同司法場景能依需求選擇合適模型。</p> <h3><span style="font-size:20px;"><span style="color:#B22222;"><strong>法務部模型評測不追求「最強模型」，而是驗證是否符合業務需求</strong></span></span></h3> <p class="isselectedend">在大型語言模型選型上，法務部的目標並非以打造一個各項能力都最強的通用模型為主，而是希望建立符合司法業務需求的評測方式。古慧珍表示，目前不同大型語言模型各有優勢，有的模型擅長推理、有的擅長程式或文件處理，因此評估重點不在於模型整體能力排名，而是「看語言模型有沒有符合我的需求」。<span lang="EN-US" xml:lang="EN-US"><p></p></span></p> <p class="isselectedend">古慧珍指出，每一種應用場景都有不同的評測標準，例如檢察業務需要模型協助處理案件文件、整理卷宗或抽取關鍵資訊，所需能力與其他行政應用並不相同。因此，法務部規劃以實際業務需求建立評測資料與方法，並非是要追求一個涵蓋所有能力的模型。<span lang="EN-US" xml:lang="EN-US"><p></p></span></p> <p class="isselectedend">「我不需要一個全能的，我只需要說我的落地應用哪一塊需要它」，她說。未來法務部將依據不同業務情境，持續評估模型表現，若有新的開源模型推出，也會透過既有的評測資料與方法重新驗證，選擇更符合第一線需求的模型。<span lang="EN-US" xml:lang="EN-US"><p></p></span></p> <p>古慧珍強調，目前法律領域專屬的大型語言模型評測仍在發展階段，因此法務部會逐步累積自身的資料與案例，建立適用於法務場景的評測基準，讓模型能力能真正支援司法工作的實際需求。<span lang="EN-US" xml:lang="EN-US"><p></p></span></p> <h2 dir="ltr" style="line-height:1.38;margin-top:18pt;margin-bottom:4pt;"><span style="color:#B22222;"><span style="font-size:20px;"><span id="docs-internal-guid-26a3f185-7fff-70cf-0b7f-11f1849eec3b"><span style="font-family: Arial, sans-serif; background-color: transparent; font-weight: 700; font-variant: normal; vertical-align: baseline; white-space: pre-wrap;">第三層聚焦AI Agent</span></span></span></span></h2> <p>第三層應用則聚焦AI Agent。</p> <p>古慧珍表示，AI應用廠商不需要重新訓練大型語言模型，而是負責設計工作流程、整合模型能力，並利用RAG知識檢索、Agent Skills等技術，來完成各項司法業務單位的工作任務。換言之，第二層負責讓模型「變得更聰明」，第三層則負責讓AI「完成工作」。</p> <p>目前規畫中的應用包括AI檢察助理、AI觀護助理及行政AI工具，協助卷證標註、判決書整理、前案資料整理、行政文書及報告草稿生成等等，希望減少第一線法務工作人員的大量重複性文書工作。</p> <p>法務部初步估算，AI導入後可望節省約3成文書作業時間，不過目前仍屬推估值，後續仍需透過實際應用驗證。</p> <h2 dir="ltr" style="line-height:1.38;margin-top:18pt;margin-bottom:4pt;"><span style="color:#B22222;"><span id="docs-internal-guid-26a3f185-7fff-70cf-0b7f-11f1849eec3b"><span style="font-size: 17pt; font-family: Arial, sans-serif; background-color: transparent; font-weight: 700; font-variant: normal; vertical-align: baseline; white-space: pre-wrap;">全程落地部署，年底完成AI治理規範</span></span></span></h2> <p>由於司法資料涉及高度敏感資訊，法務部此次AI平臺採落地部署（On-premises）架構，不使用公有AI服務處理敏感資料。</p> <p>為降低AI幻覺風險，法務部也規畫透過RAG限制模型引用法務資料庫內容，同時導入Human in the Loop機制，由檢察官、觀護人保留最終決策權，AI僅負責文書整理及輔助分析，不直接取代司法判斷。</p> <p>配合《人工智慧基本法》要求各部會建立AI治理制度，法務部目前已成立AI資料治理諮詢會，討論資料治理、人員管理及內控制度，預計今年10月前完成法務部AI使用規範及內控管理機制，作為未來司法AI落地的重要治理基礎。</p> <p> </p> </div></div></div>
7/9 17:11作者蘇文彬https://www.ithome.com.tw/news/177202
法務部導入AI的背後，從百萬案海到過載的觀護防線，AI Agent 如何拯救燃燒殆盡的司法第一線？
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>當社會大眾關注司法正義的落實、關心社會治安的防線是否穩固時，很少人注意到，司法與法務行政第一線人員正面臨一場「過載」的隱形危機。在法務部最新揭露的數據中，數字的背後是基層人員長年投入大量時間與海量公文、卷宗貼身肉搏的真實困境。</p> <p><span style="font-size:20px;"><span style="color:#B22222;"><strong>第一線人員工作過載日常</strong></span></span></p> <p>地方檢察署每天需處理大量案件與司法文書。根據法務部統計，2025年地方檢察署新收案件約265萬件，也是法務部規畫導入AI檢察助理的重要背景。許多案件屬高度類型化案件，但卷證往往動輒數百頁、甚至上千頁，第一線檢察人員仍需逐一判讀卷證、比對裁判書與前科資料，以作為定應執行刑等司法作業的依據。檢察相關人員投入大量心力及時間，處理大量重複性的文書整理與資料比對工作，使得相關人員工作量過載，也造成相關人力流失的問題。</p> <p>同樣處於過載風暴中心的，還有身負「防堵再犯」重任的觀護人。2025年全國總受理的觀護案件高達12.5萬件以上，換算下來，平均每位觀護人每年必須面對超過500名受保護管束人。</p> <p>觀護人的核心價值，本應是透過深度晤談建立信任，引導迷途者重返社會，但是在現實中，他們卻被長達數小時的訪談錄音整理、逐字稿打字，還有報告撰寫等「行政庶務」緊緊綁死，導致真正能與個案深度對話的時間，被壓縮得所剩無幾。</p> <p>不只是司法的第一線人員，法務行政與國會聯絡端也同樣面臨考驗。基層人員每天被例行性書狀的生成佔據工時，稽核文件耗費大量精力；另外，每當立法院開議，國會聯絡人員還必須在極短的時間內應對立法委員的質詢。在缺乏智慧化工具的過去，跨單位的資訊落差與繁瑣的會議紀錄追蹤，往往讓備詢準備變成一場極其消耗的疲憊戰。</p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>以</strong><strong>AI Agent減輕</strong><strong>第一線人員困境</strong></span></span></p> <p>為了將第一線人員從庶務的泥潭中解放，法務部全面導入第三層「司法實務應用服務」，透過結合檢索增強生成（RAG）、Agent 技能與智慧工作流技術，為基層打造專屬的 AI 助理，試圖從三大核心面向徹底打破僵局。</p> <p>首先是透過「自動化」重塑工時價值。以法務部在計畫中規畫的「AI 檢察助理」為例，結合OCR與智慧卷證標籤技術，能自動產製卷證摘要、智慧擷取裁判書資訊並串接系統，將過往耗時數日的繁瑣工作，自動產出的應執行刑表，大幅縮短書類初稿、應執行刑表的製作時間。</p> <p>而「AI 觀護助理」則引進語音轉文字（STT）技術，讓訪談錄音內容自動生成逐字稿與摘要初稿，將觀護人從鍵盤打字的繁瑣的行政作業中釋放出來。同樣地，行政執行與文件審閱助理也透過「行政執行AI知識庫」自動生成例行書狀，直接釋放大量行政工時。</p> <p>其次是落實「決策輔助」。司法與觀護工作需要極高的準確度，AI助理提供智慧防禦的角色。</p> <p>例如「AI 觀護助理」能降低重複作業，讓觀護人可以更深度的面談，並且綜合分析刑案紀錄與獄政系統的跨界資料，提供即時的風險評估，協助觀護人快速精準地掌握高風險案件，達成精準的社會資源媒合，以有效降低再犯風險。</p> <p><img alt="" src="/sites/default/files/images/AI%E8%A7%80%E8%AD%B7%E5%8A%A9%E7%90%86.png" style="width: 600px; height: 338px;" /></p> <p>在檢察端，「AI檢察助理」能夠自動產製證據清單，大幅提升檢索效率的同時，並且降低人工登打錯誤率，確保案件資料的絕對完整。</p> <p><img alt="" src="/sites/default/files/images/AI%E6%AA%A2%E5%AF%9F%E5%8A%A9%E7%90%86.jpg" style="width: 600px; height: 338px;" /></p> <p>針對法務行政工作，透過行政執行AI小幫手，根據知識庫生成例行性書狀，提升行政執行的效率；AI文件審閱助手，可透過AI分析稽核文件，產生報告初稿；至於時效要求極高的國會業務，「立法院資訊AI分析」助理建立了國會知識庫，將複雜的國會議程與會議紀錄自動化彙整，在面對質詢時能顯著提升備詢的準備速度，徹底打破跨單位之間的資訊壁壘，將資訊落差降到最低。</p> <p><img alt="" src="/sites/default/files/images/%E8%A1%8C%E6%94%BF%E5%B9%AB%E6%89%8B600.jpg" style="width: 600px; height: 338px;" /></p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>讓科技輔助處理繁瑣業務，讓人類專注專業判斷</strong></span></span></p> <p>法務部這一波AI轉型的核心，並不是為了取代人類的專業判斷，而是透過AI Agent承擔那些例行性、高度繁瑣且海量資料處理工作。運用科技幫忙人員扛下繁重庶務，檢察官才能將目光重新專注於案情偵查，觀護人才能投入更具溫度的深度面談，行政人員也能免於公文轟炸。把時間還給專業，讓司法與行政體系回歸「以人為本」的初衷，實踐更具韌性與社會正義的法治社會。</p> </div></div></div>
7/9 17:13作者蘇文彬https://www.ithome.com.tw/news/177208
中國政府將Claude Code反蒸餾機制定性為安全後門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>中國工業和信息化部旗下網絡安全威脅和漏洞信息共享平臺（NVDB）<a href="https://www.nvdb.org.cn/publicAnnouncement/2074681830578630657?utm_source=chatgpt.com" target="_blank">周三（7/8）發布風險提示</a>，指稱美國AI新創Anthropic的AI程式開發工具Claude Code存在「安全後門隱患」，要求相關單位全面排查，並立即卸載受影響版本或升級至已移除相關程式碼的最新版。</p> <p>公告指出，Claude Code內建監控機制，未經用戶同意即向遠端伺服器傳送地域及身分識別等敏感資訊，受影響版本為Claude Code 2.1.91至2.1.196。</p> <p>NVDB因此建議相關單位及用戶全面排查，立即卸載或升級至已清除後門的最新安全版本；同時加強核心業務網段內開發工具的對外連線權限管理與流量監控，以防止敏感資料違規外傳。</p> <p>不過，此一被中國官方認定為安全後門的機制，正是Anthropic日前承認、<a href="https://www.ithome.com.tw/news/177034" target="_blank">並已移除的實驗性反蒸餾（Distillation）措施</a>。Anthropic今年2月曾公開指控DeepSeek、Moonshot與MiniMax等中國3大AI實驗室針對Claude發動大規模的蒸餾攻擊，總計利用約2.4萬個虛假的帳號，產生超過1,600萬次的對話，繞過區域限制，以非法榨取Claude的核心能力來訓練自己的模型。</p> <p>一名Reddit用戶LegitMichel777上周指出，他逆向分析Claude Code後發現，程式碼中暗藏可偵測環境資訊的隱碼，偵測目標包括改用Proxy/Gateway連線的對象、中國時區、特定網域與中國AI實驗室，並會透過隱寫術將偵測結果藏入系統提示詞。Claude Code技術主管Thariq Shihipar隨後承認此事，說明這是Anthropic於今年3月啟動的一項實驗性防禦機制，本來就打算移除。Anthropic在7月1日釋出的Claude Code 2.1.198已移除該機制，而目前最新版本為2.1.204。</p> <p>其實Anthropic並未在中國市場提供Claude及Claude Code服務，且境外生成式AI服務必須符合中國監管要求才能向境內提供，只是相關工具仍透過代理或海外帳號在中國開發者間流通。中國官方此次公告，等於是針對已安裝Claude Code的單位與使用者提出資安處置建議。</p> </div></div></div>
7/9 15:49作者陳曉莉https://www.ithome.com.tw/news/177212
蘋果與博通達成逾300億美元的晶片合作協議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.apple.com/newsroom/2026/07/apple-to-increase-spend-with-broadcom-to-produce-billions-more-us-chips/" target="_blank">蘋果周三（7/8）宣布</a>，已與博通（Broadcom）簽署新的多年合作協議，雙方將共同設計及生產應用於多項蘋果產品的客製化矽元件及先進無線連接技術，合作規模預計超過300億美元。</p> <p>博通與蘋果合作已數十年，長期供應蘋果無線通訊相關晶片，也是蘋果去年啟動的<a href="https://www.ithome.com.tw/news/170472" target="_blank">美國製造計畫</a>（American Manufacturing Program，AMP）合作夥伴之一。根據新協議，博通將在美國生產客製化矽元件、先進射頻元件及無線連接技術，供應多項蘋果產品使用；蘋果預期，這項合作將帶動超過150億顆美國製晶片的產出，並支援數百個美國就業機會。</p> <p>博通也將擴建並升級位於美國科羅拉多州柯林斯堡（Fort Collins）的生產基地，於當地製造先進射頻元件，包括FBAR濾波器，以及先進無線連接技術。</p> <p>蘋果執行長庫克（Tim Cook）表示，此次合作將進一步加速雙方對美國製造與創新的承諾。博通總裁暨執行長Hock Tan則說，很高興透過蘋果最新承諾，擴大柯林斯堡的製造布局，持續開發可連結全球使用者的關鍵技術。</p> </div></div></div>
7/9 13:56作者陳曉莉https://www.ithome.com.tw/news/177206
中國惡意軟體驚傳透過USB裝置感染日本陸上自衛隊近一年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>根據外流的內部文件顯示，日本陸上自衛隊（JGSDF）在連接敏感軍事網路的電腦上使用遭植入惡意程式的USB隨身碟，且持續接近一年，該惡意程式已被指與中國駭客行動有關。</p> <p>最早揭露此事的是<strong><a href="https://asia.nikkei.com/spotlight/cybersecurity/japan-defense-forces-used-usb-drives-with-china-linked-virus-nikkei-probe">日經亞洲（Nikkei Asia）</a></strong>，他們指出本陸上自衛隊自2024年3月起使用中國製USB隨身碟，直到2025年2月才發現。在此之前，日本軍方為防止此類網路安全漏洞所採取的多項安全措施，均未能偵測到病毒。該惡意程式被發現的原因，是陸上自衛隊位於大阪近郊伊丹市的成員，留意到一臺電腦運作速度異常緩慢。後續調查發現，送檢的8支USB隨身碟中，有6支含有相同的惡意程式碼，這些惡意隨身碼曾與超過50臺電腦連接，其中近半數電腦用於處理機密資料，包括部隊調動等敏感軍事資訊。</p> <p>調查人員將此惡意程式進行比對，發現與美國資安公司先前記錄的惡意程式家族相符，該惡意軟體由中國駭客組織使用，不過，目前報告中均未公開該惡意程式的名稱，以及駭客組織身分。<strong><a href="https://www.theepochtimes.com/china/japanese-military-used-usb-drives-with-china-linked-virus-report-6054017">大紀元時報（The Epoch Times）</a></strong>取得知情人士說法，這起事故現在曝光，很可能與中日政治局勢緊張有關。他們引述王毅的說法，日本媒體報導此事，代表對於中國利用惡意USB隨身碟入侵日本軍方系統竊取機密情報的情況，日本當局已掌握相關證據。</p> </div></div></div>
7/9 14:11作者周峻佑https://www.ithome.com.tw/news/177207
中國駭客Mustang Panda鎖定印度政府，濫用Zoho WorkDrive從事網路間諜活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>被稱為Mustang Panda、Earth Preta、RedDelta、TA416的中國駭客組織，多次為了中國政府的戰略利益從事網路間諜活動，如今有資安公司發現，這些駭客針對與臺灣有簽訂合作協議（MOU）的政府機構下手。</p> <p>資安公司Acronis揭露<strong><a href="https://www.acronis.com/en/tru/posts/mustang-panda-targets-indias-government-and-energy-sectors/">Mustang Panda最新一波的攻擊行動</a></strong>，他們攻擊與臺灣政府簽署MOU的印度政府機構，以及印度的水力發電機構，過程裡濫用印度政府廣泛採用的雲端檔案共享平臺Zoho WorkDrive建立C2通訊，然後傳遞惡意程式ZohoMurk與MiniRecon。該公司推測，本次攻擊活動具備間諜性質，目的在收集印度對臺灣在國防領域的合作情報，以及印度的水力發電計畫。Acronis確認印度政府多個系統遭到入侵，並與印度電腦緊急應變團隊（CERT-In）合作來因應此事。</p> <p>針對這起事故的攻擊流程，駭客最初使用的作案工具是惡意程式載入工具ShardLoader，然後透過DLL側載手法執行其他酬載。其中在針對與臺灣有合作關係的印度政府機關的事故裡，駭客以臺灣MOU資料為誘餌，試圖於受害電腦植入ZohoMurk，此惡意程式濫用Zoho WorkDrive打造通訊基礎設施，使用Zoho OAuth API及指定的OAuth憑證進行身分驗證，並設定使用者代理字串（User Agent）以融入一般的上網流量。另一起事故裡，駭客使用了MiniRecon，經比對是後門程式ToneShell8的變種，最顯著的差異在於C2通訊機制，新惡意程式透過WinHTTP API以HTTPS建立WebSocket連線。</p> </div></div></div>
7/9 12:44作者周峻佑https://www.ithome.com.tw/news/177205
F5資安公告發布週期將從每季改為每月，理由是頂尖AI模型大幅提高低中風險漏洞串連利用的能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p style="margin-left:.05pt;">繼4月底<a href="https://www.ithome.com.tw/news/175582"><strong>Oracle</strong><strong>宣布</strong></a>將例行安全性更新週期從每季改為每月，網路應用程式交付與資安廠商<strong><a href="https://www.f5.com/company/blog/release-cadence-security-notifications-frontier-ai">F5</a></strong>本週也宣布採用類似的做法，該公司產品長Kunal Anand表示，從7月起，將於每個月的第三個星期三定期發布強化安全性的軟體版本（Hardened Software Releases），首發日期為7月15日，並搭配每月公布一次的安全通知（Monthly Security Notification，MSN），當中將說明前一個月強化版本修補的漏洞，<a href="https://my.f5.com/manage/s/article/K12201527#currentyear"><strong>首發日期為</strong><strong>8</strong><strong>月</strong><strong>19</strong><strong>日</strong></a>，涵蓋7月15日發布的版本。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/F5 2026 security notifications.jpg"><img alt="" src="/sites/default/files/images/F5%202026%20security%20notifications.jpg" style="width: 500px;" /></a></p> <p style="margin-left:.05pt;">所謂強化安全性的軟體版本，F5表示，每個版本都將包含一系列廣泛的修正，基本上，這些機制的開發，源自F5執行的AI 掃描、在追蹤漏洞的發現過程中浮現的問題、內部團隊與外部研究人員的回報，以及F5本身對於產品安全性與穩定性的強化措施。而隨著頂尖AI模型持續改進，資安漏洞的發現速度將不斷加快，而這些版本所涵蓋的漏洞數量也將日益增加。</p> <p style="margin-left:.05pt;">對於各版本具體修補措施，F5承諾不會披露細節。由於頂尖AI模型的能力強大，F5表示，不會在用戶完成修補之前，就將漏洞定位與涉及攻擊工具開發的路線圖交到攻擊者手中。</p> <p style="margin-left:.05pt;">F5也預告每月發布的強化安全性軟體版本將有4大類型，分別是：</p> <ul> <li>維護版本（Maintenance releases），涵蓋的產品線為BIG-IP、BIG-IQ、F5OS、Nginx，F5將藉此提供漏洞修補，其中涵蓋近期CVE修補的彙整、一些小型功能，以及著重穩定性與缺陷修復的改進。</li> <li>主要版本（Major releases）：涵蓋的產品線為BIG-IP、BIG-IQ、F5OS，F5將藉此提供與產品發展路線圖的里程碑相銜接的多種強化機制，包含新功能、模組、能力及核心安全架構的改良。</li> <li>年度長期穩定版本（Annual long-term stability releases）：涵蓋的產品線為Nginx，F5可藉此針對重視一致性與延長支援週期的組織，提供穩固的運作基礎。</li> <li>工程熱修補（Engineering hotfixes，EHF）：F5並未特別指明適用的產品線，僅表示可用於處理需要立即修復的緊急問題，將根據影響用戶的程度而發布。</li> </ul> <p style="margin-left:-.1pt;">至於為何每月安全通知說明的內容，是關於前一個月的強化安全性軟體版本，F5表示，這樣的延遲是刻意的，目的是希望用戶在更多資訊公開前，能有時間執行更新，若有緊急漏洞資訊需要立即傳達給用戶，除了每月例行安全性通知，他們也將持續發布安全警示公告。</p> <h3 style="margin-left: -0.1pt;"><span style="color:#0000FF;"><strong>頂尖AI模型的出現，大幅改變資安漏洞利用態勢！現在企業需有能力處理所有漏洞，而非僅關注嚴重度高的漏洞</strong></span></h3> <p style="margin-left:.05pt;">之所以推動這樣的漏洞發布週期變革，Kunal Anand透過職場社群平臺<strong><a href="https://www.linkedin.com/feed/update/urn:li:activity:7479962579889655810/">LinkedIn</a></strong>提出簡要說明。</p> <p style="margin-left:.05pt;">他認為，有鑑於最新推出的AI模型發現軟體安全性問題的表現絕佳，而且不僅能找到重大漏洞，也快速地呈現所有問題，對於攻擊者而言，同樣能沿用這種方式發現漏洞，同時並不在意漏洞評分高低，因為不論是被評為中度風險而被延後處理，或經常遭用戶忽略的低風險漏洞，攻擊者都會將任何能接觸到的漏洞轉為侵害目標的武器，所以，過去依據嚴重程度決定處理優先順序的方式，往往導致部分漏洞被忽略，然而，現在我們已無法承擔輕忽任何漏洞的後果。</p> <p style="margin-left:.05pt;">透過上述論點的表達，也呼應他們建議用戶盡快部署強化安全性版本的理由。F5表示，這麼做不僅是為了針對嚴重性評為「關鍵」的漏洞，因為攻擊者越來越擅長串聯低風險和中度風險的漏洞，形成新的入侵手段，使得單一修補程式的嚴重性已不再是判斷其重要性的可靠指標，所以他們強調，須將每個強化安全性版本都視為彌補一個關鍵漏洞。</p> </div></div></div>
7/9 11:22作者李宗翰https://www.ithome.com.tw/news/177197
針對IT服務公司Accenture資料外洩事故，有資安公司認為要從4大方向因應相關威脅
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>使用888為ID的人士近日於網路犯罪論壇聲稱，他們從IT服務公司Accenture竊得35 GB內部資料，並有意出售，當中包含原始碼、雲端存取憑證、組態配置檔案等，隨後<strong><a href="https://www.ithome.com.tw/news/177194">Accenture證實有資料外洩的情況</a></strong>，並表示已修復問題的源頭。有資安廠商指出，假若駭客確實如宣稱的偷到該公司開發環境最新的機密資料，這批資料的曝光，將有可能超過一般資料外洩造成的危險，企業應採取4種作法進行因應。</p> <p><strong><a href="https://socradar.io/blog/accenture-breach-claim-35gb-data-stolen/">威脅情報公司SOCRadar指出</a></strong>，儘管Accenture只有承認部分資料外流，然而根據暴露的資料類型，代表企業應平時必須對於開發環境進行防禦性檢查，而對於Accenture此次事故可能會衍生儲存庫或機密資料外洩的情況，應從4個面向降低憑證風險並驗證開發環境的完整性。首先，企業應輪換並撤銷可能被揭露的機密；再者，要檢視Azure等雲端環境的事件記錄，協助判斷暴露的憑證在輪換之前是否遭到利用。</p> <p>另一方面，企業若是懷疑原始碼外洩，應驗證儲存庫與CI/CD完整性，檢視儲存庫與管線活動，尋找未授權存取或竄改的跡象。最後一個環節，是將身分、儲存庫，以及雲端活動的事件記錄進行互相關連，原因是光靠儲存庫的事件記錄資料，難以呈現完整的攻擊活動樣貌。</p> </div></div></div>
7/9 11:37作者周峻佑https://www.ithome.com.tw/news/177200
中國駭客假借提供印度稅務申報工具，散布木馬程式DcRAT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>近年來多次針對臺灣，以稅務問題為幌子發動攻擊的中國駭客組織Silver Fox，近期疑似故技重施，於印度發動相關攻擊。</p> <p>資安公司Seqrite揭露<strong><a href="https://www.seqrite.com/blog/operation-dragonreturn-china-nexus-cyber-espionage-campaign-targeting-govt-of-india-mof-tax-infrastructure-via-multi-stage-dcrat-deployment/">網路間諜活動Operation DragonReturn</a></strong>，駭客的活動從5月18日首度出現，截至6月17日仍在持續進行，主要目標涵蓋印度各地的企業組織、個人納稅人、稅務會計師（CA）、政府承包商、稅務代理人，以及企業財會團隊等，冒充印度財政部所得稅局（Income Tax Department, Government of India）寄送釣魚信，並引誘收信人開啟附件，一旦中招，受害電腦就會被植入惡意程式DcRAT。根據駭客使用簡體中文，並比對基礎設施與戰術、手法，以及流程（TTP），Seqrite認為攻擊者很可能就是Silver Fox。</p> <p>值得留意的是，駭客使用的誘餌文件相當精緻，並引用實際法令，採用印度語與英文並列的內容，使得當地用戶容易上當。由於駭客平均每7至10日就輪換惡意酬載以迴避偵測，Seqrite指出這並非隨機尋找目標犯案的攻擊行動，而是有計畫的長期活動。</p> </div></div></div>
7/9 12:02作者周峻佑https://www.ithome.com.tw/news/177201
ChatGPT Voice導入GPT-Live，AI語音互動邁向同步對話
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://openai.com/zh-Hant/index/introducing-gpt-live/" target="_blank">OpenAI周三（7/8）宣布</a>，旗下ChatGPT Voice語音對話服務導入新一代底層語音模型GPT-Live，採用可同時聆聽與說話的全雙工（Full-Duplex）架構，讓ChatGPT Voice從過去的輪流對話模式，轉向可同步聆聽與回應的即時語音互動。</p> <p>過去AI語音系統大多採用輪流對話模式，使用者必須先說完一句話，模型才能判斷輸入結束並開始回應；若只是短暫停頓、換氣或思考，也可能被誤判為已經講完，導致AI在不自然的時機插話。OpenAI此次導入全雙工架構，讓模型可在產生語音回應的同時持續聆聽使用者輸入，並持續判斷是否該繼續聽、保持沉默、插話或開始回答。</p> <p>ChatGPT Voice是ChatGPT提供的語音對話服務，其底層語音模型歷經多次演進。最初採用串接式架構，由語音辨識、語言模型及語音合成三個模型依序處理，但資訊可能在不同模型之間流失，回應也較慢且生硬；之後升級為Advanced Voice Mode，以單一模型直接處理語音輸入與輸出，但仍須等待使用者停止說話才能回應。此次則改由GPT-Live支援，成為ChatGPT Voice的新一代底層語音模型。</p> <p>GPT-Live則把「即時語音對話」與「複雜問題處理」拆成兩層，由GPT-Live負責同步聆聽與回應；當遇到需要網路搜尋、深入推理或代理人能力的問題時，則交由背景的GPT-5.5模型處理，再將結果帶回語音對話中。</p> <p>這令ChatGPT Voice能更貼近真人對話節奏。OpenAI表示，GPT-Live可在使用者說話時持續聆聽，判斷對方是否仍在思考、是否希望AI保持安靜，或是否需要即時回應；因此它能在對話中以「嗯嗯（mhmm）」、「對（yeah）」等短語表示正在聆聽，也能在使用者停頓時等待，而非立即插話。此外，GPT-Live也支援即時翻譯，並改善背景噪音下的聆聽能力。</p> <p>OpenAI已於全球陸續開放GPT-Live，同時支援iOS、Android及ChatGPT.com。其中，Go、Plus及Pro用戶的ChatGPT Voice預設採用GPT-Live-1，免費版用戶則使用GPT-Live-1 mini。</p> </div></div></div>
7/9 12:19作者陳曉莉https://www.ithome.com.tw/news/177203
Linux核心存在長達15年的漏洞GhostLock
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安研究團隊Nebula Security揭露<strong><a href="https://nebusec.ai/research/ionstack-part-2/">Linux核心漏洞GhostLock</a></strong>，此弱點自2011年引入，潛伏在Linux核心長達15年，為堆疊型記憶體釋放後再存取利用（Stack-UAF）弱點，登記為CVE-2026-43499。此漏洞影響所有Linux發行版，攻擊者無需任何特權或特殊核心組態，僅需一般執行緒相關的系統呼叫即可觸發。Linux開發團隊獲報後，已於Linux核心7.1版完成修補。</p> <p>Nebula Security向Google的漏洞懸賞專案kernelCTF通報此事，獲得92,337美元獎金。該研究團隊指出，他們測試利用GhostLock進行權限提升與容器逃逸，結果成功率高達97%。</p> </div></div></div>
7/9 10:22作者周峻佑https://www.ithome.com.tw/news/177191
下載破解軟體恐遭Vidar竊資，載入器膨脹至數百MB規避沙箱分析
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://unit42.paloaltonetworks.com/vidar-stealer-xmrig-miner-campaign-analysis/" target="_blank">資安業者Palo Alto Networks旗下威脅情報團隊Unit 42揭露</a>一起以經濟利益為動機的惡意程式攻擊活動，駭客透過惡意廣告吸引搜尋盜版或破解軟體的使用者，再將他們導向仿冒下載頁，藉此散布Vidar竊資軟體與XMRig加密貨幣挖礦程式。</p> <p>這波攻擊以加上密碼保護且含有.bin副檔名的壓縮檔投遞惡意程式，企圖繞過電子郵件閘道掃描，也讓自動化沙箱難以解壓縮並分析樣本。部分載入器樣本會以null位元組填充至最高491MB，藉此避開有檔案大小限制的沙箱分析環境。</p> <p>研究人員分析惡意程式載入器樣本後發現，攻擊者偽造Authenticode簽章，讓憑證主體顯示為justwatch[.]com，藉此假冒德國串流內容搜尋服務業者JustWatch GmbH，營造檔案來自合法線上服務的假象。</p> <p>此外，部分以DLL形式出現的載入器變體會製作假冒Windows Defender元件MpClient.dll副本，透過DLL搜尋順序劫持（DLL search-order hijacking）手法，讓系統可能優先載入惡意副本；惡意程式也會建立登錄檔Run機碼、排程工作與啟動資料夾批次指令碼，並將惡意檔案命名為NisSrv.exe，企圖偽裝成Windows Defender的Network Inspection Service元件。</p> <p>研究人員建議，企業應嚴格檢查Authenticode憑證鏈，且資安工具不應只因檔案異常龐大就略過分析，以免遭檔案大小膨脹手法規避；企業也應監控MpClient.dll元件的載入來源，留意是否出現非標準路徑。</p> </div></div></div>
7/9 10:28作者王珮瑤https://www.ithome.com.tw/news/177192
駭客冒充IT支援人員，透過微軟Teams散布惡意軟體EtherRAT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安公司Palo Alto Networks旗下的威脅情報團隊Unit 42指出，<strong><a href="https://github.com/PaloAltoNetworks/Unit42-timely-threat-intel/blob/main/2026-06-28-Fake-IT-support-abuses-Teams-to-deliver-EtherRAT.txt">他們近日觀察到結合電子郵件釣魚與假冒IT支援的社交工程攻擊活動</a></strong>，攻擊者濫用Microsoft Teams通話，向受害者投遞惡意程式EtherRAT。此攻擊活動以偽造的員工調查郵件為誘餌，隨後由冒充系統管理員的攻擊者透過Teams通話介入，取得受害者電腦的遠端控制權，進而誘騙受害者安裝多款遠端管理工具（RMM）以建立持久化管道，最終部署透過乙太坊智慧合約解析C2位址的區塊鏈後門程式。</p> <p>攻擊者首先寄送釣魚信接觸受害者，隨後攻擊者再冒充系統管理員，與受害者進行Microsoft Teams通話，引誘受害者授予控制電腦的權限，攻擊者並誘導受害者開啟瀏覽器，下載安裝HopToDesk與AnyDesk，以此建立長期存取管道。接著攻擊者接著利用命令提示字元，透過curl.exe指令下載惡意安裝檔。值得留意的是，攻擊者在掌控受害者電腦期間，還登入了受害公司的ServiceNow入口網站並建立一張新的支援工單，內容疑似要求存取特定應用程式與相關資訊。</p> </div></div></div>
7/9 10:39作者周峻佑https://www.ithome.com.tw/news/177193
Accenture證實遭駭，攻擊者聲稱竊得35GB資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.bleepingcomputer.com/news/security/accenture-confirms-breach-after-hacker-offers-stolen-data-for-sale/" target="_blank">IT服務與顧問業者Accenture向Bleeping Computer證實</a>發生資安事故，並表示這是一起個別情況，已修復問題來源，未影響公司營運與服務交付。這起事件是因有威脅行為者聲稱竊得Accenture資料，並在網路犯罪論壇兜售而曝光。</p> <p>自稱888的威脅行為者宣稱，Accenture在2026年7月發生資料外洩事件，遭竊資料超過35GB，內容包括原始碼、RSA金鑰、SSH金鑰、Azure個人存取權杖（PAT）、Azure Storage存取金鑰，以及組態檔。</p> <p>不過，Bleeping Computer表示，尚無法獨立驗證實際遭竊資料範圍。Accenture雖已證實發生資安事件，但尚未說明攻擊者如何取得系統存取權，也未回應駭客聲稱的外洩資料數量、類型，以及是否涉及客戶資料。</p> </div></div></div>
7/9 10:40作者王珮瑤https://www.ithome.com.tw/news/177194
CISA據傳使用Mythos掃描政府程式碼庫，找出可能遭濫用的漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國政府運用AI模型協助發現軟體漏洞的情況，再度受到關注。<a href="https://www.reuters.com/world/us-cyber-agency-is-using-anthropics-mythos-audit-government-code-sources-say-2026-07-06/" target="_blank">路透社引述3名知情人士報導</a>，美國網路安全暨基礎設施安全局（CISA）正在使用AI業者Anthropic的Mythos模型，掃描美國政府程式碼儲存庫，找出可能遭外國情報機構或網路犯罪分子利用的資安漏洞。</p> <p>該份報導提到，CISA攻擊面評估團隊（Attack Surface Evaluation team）負責這項掃描作業。該團隊主要替美國政府機關執行數位安全評估與模擬駭侵演練，目前利用Mythos檢查政府程式碼儲存庫。消息人士指出，相關稽核已找出大量潛在漏洞，但未說明漏洞類型與嚴重程度。Anthropic未回應路透社提問；CISA代表先前曾表示會確認能否分享相關資訊，但後續未再回覆。</p> <p>除了CISA，<a href="https://www.ithome.com.tw/news/176823" target="_blank">外媒先前也報導</a>，Mythos曾用於美國國家安全局（NSA）內部紅隊演練，並在數小時內完成受控安全評估執行的多項模擬攻擊任務。</p> <p>這些消息顯示，美國政府正嘗試將頂尖AI模型應用於資安檢測與漏洞研究。不過，目前外界仍無法得知CISA實際掃描的政府程式碼規模，也不清楚已發現漏洞的類型、嚴重程度，以及受影響的政府機關範圍。</p> </div></div></div>
7/9 10:48作者王珮瑤https://www.ithome.com.tw/news/177195
Opera瀏覽器推出Paste Protect功能，防範ClickFix社交工程攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://blogs.opera.com/security/2026/07/how-opera-paste-protect-guards-against-clipboard-attacks/" target="_blank">瀏覽器業者Opera推出新防護功能Paste Protect</a>，可防範剪貼簿內容遭惡意竄改，以及ClickFix類型的社交工程攻擊。<a href="https://press.opera.com/2026/07/02/opera-launches-paste-protect-the-first-native-defense-against-clipboard-based-attacks-in-a-major-browser/" target="_blank">這項功能</a>已內建於桌面版Opera瀏覽器，並預設為開啟。</p> <p>ClickFix攻擊通常會假借瀏覽器錯誤、安全檢查失敗、影片無法播放，或CAPTCHA驗證需完成額外步驟等理由，引導使用者複製特定指令並貼入系統工具執行。Opera引述資安業者Huntress報告指出，ClickFix在2025年已占惡意程式載入器相關活動逾53%。</p> <p>根據Opera說明，Paste Protect整合兩項剪貼簿防護機制，包括Opera既有的Hijack Protection，以及新增的Injection Protection。前者可防止外部應用程式竄改剪貼簿內容，例如將網址、銀行帳號或其他敏感資訊替換成攻擊者指定內容；後者則針對ClickFix攻擊手法，偵測使用者複製到剪貼簿，或網站試圖放入剪貼簿的可疑命令。</p> <p>Injection Protection會依Windows、macOS與Linux環境採用不同的偵測方式，判斷剪貼簿內容是否含有惡意指令碼常見特徵。一旦發現潛在威脅，系統會封鎖複製動作、跳出警示視窗，並在網址列顯示紅色警告圖示。使用者可查看遭封鎖內容的前120個字元；若確認內容安全，可手動解除封鎖，或將特定網站加入信任清單。</p> </div></div></div>
7/9 10:53作者王珮瑤https://www.ithome.com.tw/news/177196
中國駭客利用郵件伺服器Roundcube已知漏洞，攻擊美國大學物理與工程學系
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>鎖定尚未修補的郵件伺服器Roundcube，並利用已知漏洞從事攻擊活動，過往大多是俄羅斯駭客所為，如今傳出中國駭客也針對這種郵件伺服器下手。</p> <p>資安公司Proofpoint揭露<strong><a href="https://www.proofpoint.com/us/blog/threat-insight/one-email-closer-edge-unkmasstraction-physics-exploitation">2026年5月起出現的攻擊行動</a></strong>，駭客鎖定美國與加拿大多所大學物理與工程學系的Roundcube郵件伺服器。該研究團隊將此攻擊集團命名為UNK_MassTraction，並研判其為疑似與中國有關聯的網路間諜活動集團。此波攻擊鎖定美加主要大學中的物理與工程學系，特別針對具有國安相關背景，或從事天文物理與粒子物理研究的部門管理員與教授，部署Webshell或後門程式VShell。</p> <p>該公司指出，這些受害系所之所以被鎖定，很可能是因為Roundcube存在特定的已知漏洞（其中一個是CVE-2024-42009），顯示UNK_MassTraction在發動攻擊前已針對目標進行過偵察。此活動與另一家資安廠商Trellix先前揭露的事故有相似之處，當時駭客利用檔名解析漏洞CVE-2023-2868來部署後門程式VShell，不過，Proofpoint目前尚無法兩起事故是否都是UNK_MassTraction所為。</p> </div></div></div>
7/9 11:00作者周峻佑https://www.ithome.com.tw/news/177198
微軟釋出Agent Skills for .NET支援企業技能封裝與治理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><strong><a href="https://devblogs.microsoft.com/agent-framework/agent-skills-for-net-is-now-released/">微軟正式釋出Microsoft Agent Framework的Agent Skills for .NET</a></strong>，讓開發團隊將政策、文件與腳本封裝成可重複使用的技能，供.NET代理程式按需載入，並提供人工核准、篩選、快取與腳本執行控管機制</p> <p>微軟正式釋出Microsoft Agent Framework中的Agent Skills for .NET，讓開發團隊能將特定領域知識、作業規則、參考文件與腳本封裝成可重複使用的技能套件，供.NET代理程式在任務需要時載入使用。</p> <p>Agent Skills是一種開放格式，目的在於讓代理程式取得特定任務所需的專業內容，而不必把所有政策、文件或流程長期放在主要提示與脈絡視窗中。微軟說明，每個技能包含後設資料與指示內容，檔案式技能以SKILL.md作為主要說明，也可以搭配參考文件、腳本與其他資源。代理程式會先看到技能名稱，任務需要時才載入指示、讀取資源，必要時再執行腳本，以降低不必要的脈絡負擔。</p> <p>Agent Skills for .NET支援三種撰寫方式。檔案式技能適合放在共享儲存庫中，由跨部門團隊維護，而類別式技能可用C#類別封裝，並透過.NET既有流程或內部NuGet套件散布，程式碼定義技能則可直接在應用程式內建立，適合需要動態產生技能，或讓技能貼近應用程式狀態的情境。</p> <p>微軟舉例，企業可將人資政策、費用規則、IT安全規範或客服疑難排解流程整理成技能。當員工詢問能否報銷某項支出，或客戶提出特定問題時，代理程式可載入對應政策或作業手冊，依照既有內容回應，降低不同代理程式各自解讀流程的風險。</p> <p>代理程式載入技能、讀取技能資源或執行技能腳本時，預設都需要人工核准，企業也可針對可信任作業放寬核准條件。管理者還能透過篩選機制，限制特定代理程式或租戶只能看到被允許使用的技能。</p> <p>腳本執行也是管控重點，類別式與程式碼定義技能的腳本會在應用程式程序內執行，檔案式技能的腳本則交由部署端提供的執行器處理，因此沙箱隔離、資源限制與稽核記錄可由部署端自行控管。微軟也提供快取與可擴充的來源管線，讓同一套技能提供機制可服務不同代理程式或租戶。</p> <p>微軟建議，企業在部署前仍應檢查技能內容，對檔案式腳本建立沙箱，並記錄代理程式使用過的技能、資源與腳本。</p> </div></div></div>
7/9 09:51作者李建興https://www.ithome.com.tw/news/177187
CISA下令聯邦機構於3天內修補ColdFusion滿分漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>6月底<strong><a href="https://www.ithome.com.tw/news/177028">Adobe修補</a></strong>CVSS風險評為10分滿分的ColdFusion漏洞CVE-2026-48282，一週後美國政府確認已被用於實際攻擊，並要求聯邦機構緊急修補。7月7日美國網路安全與基礎設施安全局（CISA）表示，<strong><a href="https://www.cisa.gov/news-events/alerts/2026/07/07/cisa-adds-one-known-exploited-vulnerability-catalog">他們已掌握該漏洞被積極利用的證據</a></strong>，將其加入已遭利用的漏洞名單（KEV），<strong><a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-48282">聯邦機構必須在7月10日前完成修補</a></strong>。</p> <p>值得留意的是，同一天還有其他3個漏洞被列入KEV，這些弱點是：Joomla的外掛程式JoomShaper SP Page Builder、Joomlack Page Builder的<strong><a href="https://www.ithome.com.tw/news/177158">資安漏洞CVE-2026-48908、CVE-2026-56290</a></strong>，以及<strong><a href="https://www.ithome.com.tw/news/177157">圖像化大型語言模型開發工具Langflow重大漏洞CVE-2026-55255</a></strong>。其中，兩個Joomla的外掛程式弱點的危險程度，CVSS評分也同樣達到10分。</p> </div></div></div>
7/9 09:59作者周峻佑https://www.ithome.com.tw/news/177188
Anthropic公布Claude Code Web、手機版App從Max方案開始部署
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://claude.com/blog/cowork-web-mobile/" target="_blank">Anthropic本周宣布</a>AI商務自主代理人工具Claude Cowork推出手機及Web版App，可幫助企業員工跨檔案、應用程式執行寫信、建立檔案等商務作業。</p> <p>Claude Cowork為Anthropic的可自主執行多步驟任務的代理人服務，旨在扮演企業的數位員工。Cowork今年1月、2月分別公布Mac、Windows版本，未來幾周內手機及Web版的Claude Cowork Beta提供給用戶，從最高等級付費方案Max用戶開始，之後推向其他方案。</p> <p>Claude Cowork是員工交付任務的介面，一旦使用者允許它存取電腦特定資料夾的讀寫權限，它就能讀取、編輯或新增檔案、彙整近日動態、聽寫會議、摘要重點、草擬郵件。而且它能橫跨檔案、行事曆、電子郵件、訊息App、網頁和用戶連結的其他工具來運作，直到完成交辦任務。Claude Cowork可以在背景運作，使用者可以關上電腦做別的事，讓Claude持續作業，它完成任務後再來檢查。Anthropic並強調只有經過用戶核准的成果，才會成為正式行動，例如寄出郵件。</p> <p>Anthropic說，雖然AI代理人以程式撰寫知名，但從Claude Cowork推出以來，90%的使用情境都不是軟體開發，而是日常知識工作。最大比例是商務運作和內容生成，包括整理當季支出、草擬備忘錄，將一個資料夾的合約轉成合約更新追蹤並標註風險所在、並將會議電話的紀錄和業務資料於隔日轉換成客戶資料檔案。透過新推的手機版和Web版Claude Cowork，用戶啟動一項任務後，就能隨時以手機檢查，或檢視其他平臺完成的任務。</p> <p>Web版讓無法安裝桌機App的用戶現在也能使用Cowork。在Web版和桌機版，對話和Cowork可共用一個主頁，用戶專案和程式物件可同時在二個平臺操作。只要做出提示就能輕鬆委派任務。</p> <p>Max方案用戶獲得部署後，可從claude.ai主頁直接啟用Web版Cowork。手機版Cowork則可從iOS和Android版Claude App啟用。</p> </div></div></div>
7/9 10:02作者林妍溱https://www.ithome.com.tw/news/177189
SpaceXAI推出Grok 4.5，首款與Cursor共同訓練的AI模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>SpaceXAI周三（7/8）<a href="https://x.ai/news/grok-4-5" target="_blank">發表新一代大型語言模型Grok 4.5</a>，定位為該公司迄今最強大的AI模型，主打程式開發、代理人（Agentic）任務及知識工作。它是首款與AI程式編輯器Cursor共同訓練的模型，已開始支援Grok Build、Cursor及SpaceXAI API。</p> <p>SpaceX在2026年2月宣布<a href="https://www.ithome.com.tw/news/173722" target="_blank">買下xAI</a>，整合太空及AI業務，繼之於6月12日以SPCX為代號<a href="https://www.ithome.com.tw/news/176588" target="_blank">登上那斯達克股市</a>，6月17日即宣布要以600億美元<a href="https://www.ithome.com.tw/news/176675" target="_blank">收購AI程式編輯器Cursor</a>，並在7月7日正式<a href="https://x.com/SpaceXAI/status/2074214064746832060" target="_blank">更名為SpaceXAI</a>。SpaceXAI與Cursor的收購案仍在進行中，雙方預計於第三季完成交易。</p> <p>Grok 4.5以數萬張Nvidia GB300 GPU完成訓練，除提升訓練規模外，也強化訓練資料品質與篩選機制，並透過涵蓋數十萬項任務的強化學習，提升處理多步驟軟體工程及代理人任務的能力。SpaceXAI表示，Grok 4.5專為程式開發、代理人任務及知識工作設計，可協助撰寫程式、建立完整應用程式，也能完成Excel模型、PowerPoint簡報及Word文件等辦公室工作。</p> <p>官方所公布的DeepSWE、Terminal Bench及SWE Bench Pro等軟體工程基準測試顯示，Grok 4.5整體已躋身第一梯隊模型，在部分測試的表現與OpenAI GPT 5.5及Anthropic Claude Opus 4.8相近，但整體仍略低於Claude Fable。</p> <p>SpaceXAI亦強調Grok 4.5兼具推論效率與成本優勢，指出Grok 4.5的推論速度最高可達每秒80個token，完成相同軟體工程任務所需的輸出token數比其它領先模型減少超過一半。此外，其API定價是每100萬個輸入token為2美元、輸出6美元，低於多款旗艦模型。相較之下，OpenAI GPT 5.5每100萬個輸入token及輸出token分別為5美元及30美元，Claude Opus 4.8則分別為5美元及25美元。</p> </div></div></div>
7/9 10:14作者陳曉莉https://www.ithome.com.tw/news/177190
經濟部發表國產四足機器人研發平臺，整合AI、LiDAR與控制系統等技術，可客製開發消防、巡檢等用途的機器狗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>經濟部今天(7/8)發表國產四足機器人(機器狗)研發平臺。這套由工研院整合建立的開放式技術平臺，涵蓋關節驅動、運動控制、AI感知、自主導航到模擬訓練等底層能力，希望讓國內業者不必從零開發機器人本體，就能打造巡檢、消防、物流等應用領域的四足機器人。</p> <p>研發平臺是由經濟部科技專案支持、花費一年半所建置，串聯工研院與所羅門、仁寶、英業達、東元電機、創博、來達科技等業者，共同建立從零組件、控制模組、AI軟體到整機系統的自主技術能力，今天發表首度亮相2款國產四足機器人原型機，以及地下涵洞巡檢、自主導航巡檢、群體協作搬運及消防救災等場域驗證。</p> <p><span style="color:#B22222;"><span style="font-size:22px;"><strong>打造國產四足機器人的技術底座</strong></span></span></p> <p>工研院指出，目前國際上主流的四足機器人多採封閉式架構，開發者通常只能使用既有功能，難以取得底層控制技術，不容易依照不同產業需求修改控制演算法或整合新的感測設備。</p> <p>而這次發表的國產四足機器人研發平臺，其目的並非打造一款固定規格的「機器狗」，而是建立一套可重複利用的開放式研發架構。</p> <p><img alt="" src="/sites/default/files/images/%E6%93%B7%E5%8F%96600(10).jpg" style="width: 600px; height: 247px;" /></p> <p>該平臺整合了關節馬達、控制器、LiDAR光達、慣性量測元件（IMU）、電池管理、AI感知、運動控制與系統整合等核心技術，並提供共同的軟硬體架構。未來業者可依應用需求，加裝熱顯像儀、氣體感測器、機械手臂、3D相機等任務模組，開發不同應用版本的四足機器人，而不必重新設計整套控制系統。</p> <p>對經濟部而言，這代表臺灣將四足機器人的研發重點，從單一產品開發提升至可支援不同產業需求的共通技術平臺。</p> <p><span style="font-size:22px;"><span style="color:#B22222;"><strong>整合</strong><strong>AI</strong><strong>、</strong><strong>LiDAR</strong><strong>與運動控制，提升未知環境自主作業能力</strong></span></span></p> <p>經濟部技術司表示，四足機器人具備的地形適應能力，也是實體AI的重要應用載具，將可協助第一線人員在高風險場域執行偵察、基礎設施巡檢及物資運補等任務，降低執勤風險，提升公共安全與國家韌性。</p> <p>此次平臺整合LiDAR建圖、自主定位、同步定位與地圖建構（SLAM）、自主導航、自主避障與自主平衡等技術，搭配AI決策系統，讓機器人在陌生的環境中完成環境建模、路徑規畫及自主巡檢。</p> <p>另外，運動控制演算法則結合關節控制與動態平衡技術，使機器狗能依據不同地形即時調整步態，在地下涵洞、樓梯、碎石路面或狹窄空間維持穩定移動。</p> <p>今天展示地下涵洞巡檢應用(下圖)，例如模擬台電公司的地下涵洞場域，機器狗可完成上下樓梯、匍匐前進、低角度觀測及長距離巡檢，並執行設備巡查與儀表判讀；另外，自主導航巡檢則是結合LiDAR建圖、自主定位、自主避障及自主平衡等技術，讓機器狗可在陌生環境自主完成巡查任務。</p> <p><img alt="" src="/sites/default/files/images/dogdemo1.jpg" style="width: 600px; height: 400px;" /></p> <p>另一項展示則是群體協作，展示3臺機器狗共同協作一起搬運物資，驗證多機協同及任務分工能力。</p> <p><img alt="" src="/sites/default/files/images/dogdemo2.jpg" style="width: 600px; height: 400px;" /></p> <p><span style="font-size:22px;"><span style="color:#B22222;"><strong>用</strong><strong>4</strong><strong>千隻虛擬機器狗在模擬環境訓練</strong><strong>AI</strong></span></span></p> <p>除了硬體平臺外，工研院也建立四足機器人的AI訓練環境。</p> <p>這個環境主要採用經濟部技術司支持的Nvidia Taipei-1超級電腦與Nvidia Omniverse 模擬平臺，建立超過4,000隻虛擬四足機器人同步訓練AI模型。</p> <p>透過數位孿生（Digital Twin）的「先模擬、後部署」流程，可先在虛擬環境大量驗證導航、避障及步態控制等AI模型，再部署至實體機器人，降低實機測試成本，也縮短模型訓練與產品開發時間。</p> <p><span style="color:#B22222;"><span style="font-size:22px;"><strong>完成消防驗證，驗證高溫環境作業能力</strong></span></span></p> <p>目前已完成國內首款國產消防機器狗的功能驗證。機器狗通過消防署認可的第三方測試，在距離火源2公尺、天花板溫度100℃的模擬火場中完成火場偵察，在高溫、高風險的環境執行作業，例如攜帶感測設備進入消防人員不易立即進入的高風險環境，協助回傳影像及環境資訊，提升救災安全。</p> <p>經濟部表示，未來將持續透過法人科專及A+企業創新研發淬鍊計畫，擴充四足機器人研發平臺，讓國內業者可在共同技術底座上開發巡檢、公共安全、消防救災、物流及其他垂直應用，擴大臺灣自主智慧機器人技術與產業生態系。</p> <div> </div> </div></div></div>
7/8 18:40作者蘇文彬https://www.ithome.com.tw/news/177183
【資安日報】7月8日，逾6千臺Gitea系統恐曝露在重大漏洞攻擊的資安風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><h3><strong>本日新聞焦點</strong></h3> <p>● <a href="https://www.ithome.com.tw/news/177178#Gitea">Gitea重大漏洞已出現實際攻擊行動</a></p> <p>● <a href="https://www.ithome.com.tw/news/177178#ORB">UAT-7810經營ORB網路協助其他網路罪犯匿蹤</a></p> <p>● <a href="https://www.ithome.com.tw/news/177178#Tenda">騰達路由器韌體存在隱藏後門</a> <a id="Gitea" name="Gitea"></a></p> <p> </p> <p><a href="https://www.ithome.com.tw/news/177163"><span style="font-size: 22px;"><strong>開源版本控制系統Gitea重大漏洞遭到利用，逾6千臺執行個體恐曝險</strong></span></a></p> <p>Sysdig威脅研究資深總監Michael Clark於職場社群網站LinkedIn警告，他們偵測到首度利用開源版本控制系統Gitea重大漏洞CVE-2026-20896的攻擊行動，距離Gitea開發團隊發布公告不到兩週，Sysdig偵測到有人透過VPN連線嘗試掃描上述弱點，成功利用並取得Gitea的存取權限，Clark強調，攻擊者只需使用特定的HTTP標頭，就能嘗試存取網際網路上的Gitea執行個體，根據Shadan搜尋引擎的查詢結果，全球可能有近6,200臺Gitea伺服器暴露於公開網路，已完成修補的數量仍不得而知。<a href="https://www.ithome.com.tw/news/177163">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177157"><span style="font-size: 22px;"><strong>CISA要求聯邦機構3天內修補Langflow重大漏洞</strong></span></a></p> <p>7月7日美國網路安全與基礎設施安全局（CISA）發布公告，將CVE-2026-55255加入已遭利用的漏洞名單（KEV），原因是他們已掌握漏洞遭到積極利用的證據。此弱點存在於圖像化大型語言模型開發工具Langflow，由於近期該工具資安漏洞被用於攻擊活動的情況相當頻繁，用戶應特別提高警覺。CISA要求聯邦機構，必須在7月10日前完成修補。值得留意的是，資安公司Sysdig於6月26日提出警告，他們在6月25日看到該漏洞首度遭到利用的跡象。<a href="https://www.ithome.com.tw/news/177157">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177158"><span style="font-size: 22px;"><strong>Joomla外掛滿分漏洞已遭積極利用</strong></span></a></p> <p>本週美國網路安全與基礎設施安全局（CISA）表示，他們已掌握3個漏洞遭積極利用的情形，因此將這些弱點列入已遭利用的漏洞名單（KEV），並要求聯邦機構於7月10日前完成修補。值得留意的是，有兩項漏洞CVE-2026-48908、CVE-2026-56290，都是CVSS v4.0風險值達到10分滿分的危險弱點，影響內容管理平臺Joomla的外掛程式JoomShaper SP Page Builder、Joomlack Page Builder，用戶應儘速採取行動因應。<a href="https://www.ithome.com.tw/news/177158">詳全文</a> <a id="ORB" name="ORB"></a></p> <p><a href="https://www.ithome.com.tw/news/177172"><span style="font-size: 22px;"><strong>駭客團體UAT-7810打造新的惡意軟體，用於架設ORB網路</strong></span></a></p> <p>一年前資安公司SecurityScorecard揭露Operational Relay Box（ORB）網路LapDogs，並指出其中一組用戶，就是專門對臺灣關鍵基礎設施下手的駭客團體UAT-5918，使得此ORB網路受到外界關注，本週思科威脅情報團隊Talos指出，LapDogs由名為UAT-7810的APT駭客團體負責經營，這些駭客主要透過多項已知漏洞，入侵Ruckus無線路由器建立據點，他們持續開發名為ShortLeash的惡意程式，其最新版本研究人員稱為LongLeash，加入了大量新功能。<a href="https://www.ithome.com.tw/news/177172">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177146"><span style="font-size: 22px;"><strong>惡意軟體框架Avalon以AI打造而成，結合竊資軟體與勒索軟體能力</strong></span></a></p> <p><a href="/sites/default/files/images/crown-ransomware-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/crown-ransomware-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安公司Blackpoint發現名為Avalon的模組化惡意程式框架，攻擊者主要透過多階段網路釣魚攻擊鏈接觸受害者，然後利用該框架竊取憑證、橫向移動、破壞備份資料，並以CrownX的勒索軟體元件加密檔案。Avalon引起Blackpoint注意的地方，在於他們找到AI輔助開發的證據，因為駭客並未具備營運安全的知識，卻能把多種複雜的惡意程式整合在一起，顯示過去需要高度專業技能才能打造的多功能框架，如今能被快速產出，大幅降低了攻擊者開發高階工具的門檻。<a href="https://www.ithome.com.tw/news/177139">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177145"><span style="font-size: 22px;"><strong>駭客鎖定歐亞旅館展開網釣攻擊，濫用Calendly與Google轉址植入TonRAT後門</strong></span></a></p> <p><a href="/sites/default/files/images/photozip-53-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/photozip-53-63.jpg" style="width: 300px; float: right;" /></a></p> <p>微軟威脅情報（Microsoft Threat Intelligence）團隊揭露，駭客自今年4月起，持續針對歐洲及亞洲飯店業者發動網釣攻擊行動，目標是在受害電腦上部署以Node.js執行的TonRAT後門，以建立持久化的遠端控制能力。駭客主要濫用知名預約平臺Calendly的郵件通知系統及Google的網址轉址功能，發送大量偽裝成客人投訴、床蝨通報、住宿評價請求等主題的釣魚郵件。寄件者顯示名稱為Booking Manager (via Calendly)，刻意營造與訂房、預約流程相關的日常情境，以降低飯店從業人員的警覺心。<a href="https://www.ithome.com.tw/news/177145">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177160"><span style="font-size: 22px;"><strong>俄羅斯網路戰鎖定烏克蘭媒體，對電視臺發動DDoS攻擊</strong></span></a></p> <p>自俄烏戰爭爆發以來，烏克蘭國家安全局（SBU）已阻止超過1.6萬起與俄羅斯有關的網路攻擊與重大資安事件，值得留意的是，除了政府、金融及國防單位，新聞媒體也成為俄羅斯駭客的優先攻擊目標。烏克蘭國家特殊通訊與資訊保護局（SSSCIP）指出，俄羅斯駭客對烏克蘭媒體發動超過200起實際造成影響的網路攻擊，手法包括網路釣魚、DDoS攻擊、網站竄改、破壞型惡意程式，以及入侵媒體平臺進而未經授權發布不實資訊。<a href="https://www.ithome.com.tw/news/177160">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177169"><span style="font-size: 22px;"><strong>調查商業間諜軟體濫用，歐洲議會PEGA委員會成員反遭Pegasus入侵</strong></span></a></p> <p>歐洲議會曾設立PEGA委員會，調查Pegasus及同類商業間諜軟體在歐洲遭濫用的情況，如今卻傳出該委員會成員也成為商業間諜軟體攻擊目標。加拿大多倫多大學公民實驗室（Citizen Lab）指出，曾於2022年至2023年擔任過希臘調查記者的前歐洲議會議員Stelios Kouloglou，他的iPhone曾遭以色列商業間諜軟體業者NSO Group開發的Pegasus入侵。研究人員研判，攻擊者可能因此取得PEGA委員會內部文件與審議內容。<a href="https://www.ithome.com.tw/news/177169">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177171"><span style="font-size: 22px;"><strong>美國政府機關支付100萬美元平息資料勒索</strong></span></a></p> <p>專門追蹤勒索軟體與資料勒索活動的威脅情報組織Ransom-ISAC揭露，美國小型郡政府在遭資料勒索集團Kairos竊取資料後，最終選擇向駭客低頭，支付100萬美元贖金，以避免敏感資料遭公開。Ransom-ISAC並未公布受害組織，然而，資安新聞網站SecurityWeek根據線索，推測是俄亥俄州的Union郡（Union County）。Kairos是在2025年5月透過暴力破解方式入侵，竊得超過2 TB資料、約160萬個檔案，並勒索300萬美元贖金。<a href="https://www.ithome.com.tw/news/177171">詳全文</a></p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=181457&SPOKE_DATE=20260707&COMPANY_ID=4121"><span style="font-size: 22px;"><strong>優盛醫學科技網站遭駭客攻擊 </strong></span></a></p> <p>生技廠商優盛醫學科技（4121）於7月7日晚間透過股市資訊公開資訊觀測站發布重大訊息，證實公司網站於當日下午遭受網路駭客攻擊，目前已將受影響網站進行隔離處理，並委由外部資安技術團隊協助調查與復原。目前該網站已暫時停止對外服務，優盛並未透露網站預計復原的時間。根據初步的調查結果，優盛評估此事件對整體營運、資訊系統安全，以及客戶個資等層面，均無重大影響。<a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=181457&SPOKE_DATE=20260707&COMPANY_ID=4121">詳全文</a> <a id="Tenda" name="Tenda"></a></p> <p><a href="https://www.ithome.com.tw/news/177173"><span style="font-size: 22px;"><strong>騰達路由器韌體存在隱藏後門，可繞過驗證取得管理員權限</strong></span></a></p> <p>美國CERT/CC於7月6日發布警示，中國網通設備廠商騰達（Tenda）多款路由器韌體存在隱藏後門漏洞CVE-2026-11405，攻擊者可繞過正常密碼驗證流程，直接取得網頁管理介面的管理者權限，騰達的FH1201、W15E、AC10、AC5及AC6 等路由器產品均受影響。目前該漏洞尚無修補程式，CERT/CC建議受影響用戶停用遠端網頁管理介面，降低遭攻擊風險。由於騰達的路由器產品也在臺灣市場流通，臺灣用戶也須注意前述漏洞帶來的風險。<a href="https://www.ithome.com.tw/news/177173">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177143"><span style="font-size: 22px;"><strong>curl發布8.21.0版，修補18項漏洞，包括潛藏25年的安全缺陷</strong></span></a></p> <p>開源命令列網路資料傳輸工具curl發布8.21.0版，修補18項安全漏洞，包含4個中度風險與14個低風險漏洞，其中包括自2001年便存在的漏洞CVE-2026-8932，這項潛藏25年的漏洞存在於libcurl應用程式處理雙向TLS驗證（mTLS）的程序，可能導致繞過身分驗證。值得留意的是，curl維護團隊與政府資安管理單位、其他資安廠商之間，對於部分漏洞的嚴重性判斷存在顯著落差，以CVE-2026-8932為例，curl認定為低風險，CISA評為高風險弱點。<a href="https://www.ithome.com.tw/news/177143">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177147"><span style="font-size: 22px;"><strong>Apple的Hide My Email存在隱私漏洞，可能暴露用戶真實信箱地址</strong></span></a></p> <p>資安研究人員Tyler Murphy揭露Apple的「Hide My Email」功能存在隱私保護漏洞，攻擊者可能透過這項功能產生的匿名信箱別名（alias），找到原本應被隱藏的用戶真實信箱地址。發現這項問題的資安研究人員向Apple通報後，Apple曾於2026年3月與6月兩度通知研究人員已完成修補，但Murphy發現問題仍然存在，因而決定公開揭露，科技媒體404 Media也表示，透過實測驗證這項漏洞確實存在。對此，Murphy與404 Media提醒用戶應注意相關風險。<a href="https://www.ithome.com.tw/news/177147">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177154"><span style="font-size: 22px;"><strong>微軟發布Edge瀏覽器150版更新，修補43項漏洞</strong></span></a></p> <p>微軟近日陸續發布Edge瀏覽器更新，將桌面穩定版更新至150.0.4078.48版，Android與iOS版則更新至150.0.4078.50版，並修補43項漏洞，其中39項列為重要等級（Important）。就CVSS嚴重性評分來看，這次Edge瀏覽器修補的漏洞中，最嚴重的是CVE-2026-58289，屬於類型混淆問題（Type Confusion），CVSS評分達9.0分。其次是CVSS評分同為8.8分的CVE-2026-56645、CVE-2026-57974與CVE-2026-57981。<a href="https://www.ithome.com.tw/news/177154">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177159"><span style="font-size: 22px;"><strong>英國推網路韌性承諾計畫，促企業強化董事會治理與供應鏈資安</strong></span></a></p> <p>英國政府7月7日正式啟動企業網路韌性承諾計畫（Cyber Resilience Pledge），盼藉由大型企業帶頭，推動整體產業供應鏈強化資安防護。首批已有超過60家企業與組織加入，包括微軟英國（Microsoft UK）、Cloudflare、馬莎百貨（M&S）、金融機構Nationwide Building Society，以及商業電視業者ITV。本計畫由英國科學、創新暨技術部（DSIT）與英國國家網路安全中心（NCSC）共同推動，採取自願簽署的參與機制。<a href="https://www.ithome.com.tw/news/177159">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177133"><span style="font-size: 22px;"><strong>NIST更新系統規畫指引，強化安全、隱私與供應鏈風險治理</strong></span></a></p> <p>美國國家標準暨技術研究院（NIST）針對組織建立與維護系統規畫文件的指引NIST SP 800-18，6月30日發布更新版本為Rev. 2，文件全名為《Developing Security, Privacy, and Cybersecurity Supply Chain Risk Management Plans for Systems》。NIST指出，新版指引不再只聚焦傳統的系統安全計畫，而是把系統安全計畫、系統隱私計畫，以及網路安全供應鏈風險管理（C-SCRM）計畫，整合為同一套系統計畫架構。<a href="https://www.ithome.com.tw/news/177133">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177144"><span style="font-size: 22px;"><strong>伊利諾州跟進紐約與加州，要求頂尖AI模型接受第三方安全稽核</strong></span></a></p> <p>美國伊利諾州（Illinois）州長JB Pritzker於7月6日正式簽署SB 315《人工智慧安全措施法》（Artificial Intelligence Safety Measures Act），要求大型頂尖AI系統開發商揭露安全措施、通報重大安全事件，並定期接受獨立第三方安全稽核。該法將於2027年1月1日生效，使伊利諾州成為繼加州（2026年1月生效）、紐約州（2027年1月生效）之後，美國又一個針對頂尖AI模型建立安全與透明規範的州。<a href="https://www.ithome.com.tw/news/177144">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177054"><span style="font-size: 22px;"><strong>AI加速軟體交付，僅有兩成雲原生組織每次發布變更都執行安全驗證</strong></span></a></p> <p><a href="/sites/default/files/images/2hFg3dDb8k-63.jpg\" target="_blank"><img alt="" src="/sites/default/files/images/2hFg3dDb8k-63.jpg" style="width: 300px; float: right;" /></a></p> <p>應用程式安全平臺業者Aikido發布《State of AI in Pentesting 2026》報告，指出AI輔助開發正在加快企業軟體變更與發布速度，但固定週期執行的滲透測試結果，可能無法完整反映生產環境的最新狀態與風險。76%組織在過去12個月曾因資安或安全性疑慮，停止、限制或撤回（roll back）AI驅動的行為；另有71%組織表示，AI與自動化技術讓安全事件更難偵測、調查與修復。在軟體交付節奏方面，76%的組織至少每週部署一次重大的生產環境變更，但每次發布都會執行安全驗證的組織僅占21%。<a href="https://www.ithome.com.tw/news/177054">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177150"><span style="font-size: 22px;"><strong>IBM擴大z17、LinuxONE 5產品線，強化資安與後量子密碼學支援</strong></span></a></p> <p>IBM宣布擴大新一代大型主機產品布局，推出IBM z17與LinuxONE 5系列新機型，新增的機架式（rack-mount）及單櫃（single-frame）機型，並具備大型主機的AI、安全與高可用性。新機型預計8月中旬上市，IBM也同步強化大型主機AI管理與資安能力，包括強化Infrastructure Management for IBM Z與LinuxONE的管理能力，讓企業可透過Terraform和Infrastructure-as-Code（IaC）進行自動化部署，降低管理的複雜度。<a href="https://www.ithome.com.tw/news/177150">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177134"><span style="font-size: 22px;"><strong>AWS Certificate Manager支援ACME，自動化公開TLS憑證管理</strong></span></a></p> <p>隨著公開TLS憑證有效期限持續縮短，企業若仍以人工方式追蹤與續約憑證，將更容易因憑證過期、遺漏或設定錯誤影響服務運作。Let's Encrypt等憑證機構採用的自動化協定ACME，可將TLS憑證申請、網域驗證、續約與撤銷流程自動化與標準化，降低人工管理憑證生命週期的負擔。雲端服務供應商AWS於6月30日宣布，旗下憑證管理服務AWS Certificate Manager（ACM）將正式支援ACME，用戶可建立伺服器端點並取得Amazon核發的TLS憑證。<a href="https://www.ithome.com.tw/news/177134">詳全文</a> </p> </div></div></div>
7/8 16:26作者周峻佑https://www.ithome.com.tw/news/177178
思科要把零信任存取延伸到AI代理，在台展示新版AI代理身分管理產品Duo IAM
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>思科昨天首度在臺展示新版Duo IAM，可以零信任存取機制擴大到AI代理應用。思科在今年3月RSA大會發表了旗下零信任存取產品線對AI代理的多項新功能。Duo IAM是其中之一，目前仍是Beta版，思科台灣資安事業部總監朱育民表示，下半年就會發布正式版。</p> <p>思科 Duo 是一款零信任安全身分管理平臺。新版 Duo IAM 支援 AI 代理身分管理，可作為 AI 代理存取企業工具與資料的統一管控機制，提供對應的授權管理。新版 Duo IAM 提供五項代理式 IAM 功能，包括代理與工具探索（Discovery）、Agent 目錄、Agent 存取政策、人為權責歸屬，以及生命週期管理。</p> <p>思科表示，Duo IAM 會在 AI 代理每一次提出請求、實際需要存取資源時，即時產生授權權杖，且只授予該 AI 代理執行特定行為、存取特定資源所需的權限，並將權杖可用時間限制在剛好足夠完成任務的幾分鐘內。這與過去提供給 API 使用的永久、萬用、靜態金鑰不同。</p> <p>Duo IAM整合了多家主流AI代理供應商或服務商，也支援主流公雲業者的AI代理身份機制，例如Microsoft Entra ID的AI代理身份識別。企業所用的AI代理須先到Duo IAM註冊，再依據不同行為來獲得授權。</p> <p><strong>Duo IAM搭配MCP Gateway安全控管架構圖。圖片提供/思科</strong></p> <p><img alt="" src="/sites/default/files/images/%E6%80%9D%E7%A7%91Duo%20IAM%E6%90%AD%E9%85%8DMCP.png" /></p> <p>朱育民表示，AI 代理的行為可能無法完全預期，不像 API 多半是事前可控的固定行為。因此，Duo IAM 增加了風險即時應對功能，搭配精細授權政策（FGA Policy）機制，即使 AI 代理已取得授權，Duo 仍會持續監控 AI 代理的每一項行為；若偵測到高風險行為，例如刪除資料庫，就會提出告警或禁止執行。</p> <p>Duo IAM需搭配Secure Access MCP Gateway，來把關所有Agent的工具和資源存取行為，可以MCP閘道器上提供威脅檢測、資料外洩防護（DLP）和AI護欄功能。</p> <p>除了 AI Agent 存取控管，Cisco 的身分控管平臺 Identity Intelligence 也同步增加 AI 代理身分管理功能，可識別 AI 代理及其他非人類身分，提供 AI 代理身分管理的可視度。企業可用來查看已註冊的 Agent、狀態與存取紀錄，尤其是每一個代理背後的實際管理人。</p> </div></div></div>
7/8 15:45作者王宏仁https://www.ithome.com.tw/news/177176
颱風來襲前先了解「災害漫遊」機制，基地臺受損仍可借用他網維持基本通訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>隨著巴威颱風逼近臺灣，民眾及政府進入防颱整備階段。除了準備防災物資、檢查住家環境外，民眾也可先瞭解去年政府建立的「災害漫遊」機制，確保當災害發生導致部分地區的行動基地臺受損，致手機無法通訊時，仍能使用他網維持基本的通訊服務。</p> <p>NCC表示，災害漫遊並非一般的付費國際漫遊服務，而是在政府宣布啟動的特定災區及期間內實施。當用戶所屬電信業者的網路因災害受損無法正常提供服務時，在啟動災害漫遊的地區及期間，可暫時使用其他業者仍正常運作的行動網路，維持語音通話、簡訊及基本數據服務。</p> <h3 dir="ltr" style="line-height:1.38;margin-top:14pt;margin-bottom:4pt;"><strong><span style="color:#B22222;"><span style="font-size:22px;"><span id="docs-internal-guid-181a3f34-7fff-23a4-91aa-1811b5855a06"><span style="font-family: Arial, sans-serif; background-color: transparent; font-variant: normal; vertical-align: baseline; white-space: pre-wrap;">災害漫遊期間才需開啟，不會額外收費</span></span></span></span></strong></h3> <p>NCC表示，民眾平時不須預先開啟相關功能，只有等待政府正式宣布啟動災害漫遊後，再依指引開啟手機的「數據漫遊」功能即可使用。</p> <p>由於災害漫遊屬於國內緊急應變的機制，使用期間仍依原有電信資費方案提供服務，不會因連接其他業者網路而產生額外漫遊費用。</p> <p>iPhone用戶可在「設定」中的「行動服務」，在「行動數據選項」開啟「數據漫遊」；至於Android手機用戶則可在「設定」、「連接」、「行動網路」中開啟「數據漫遊」，實際選單名稱可能因品牌及型號略有差異。</p> <h3 dir="ltr" style="line-height:1.38;margin-top:14pt;margin-bottom:4pt;"><span style="font-size:22px;"><span style="color:#B22222;"><strong><span id="docs-internal-guid-181a3f34-7fff-23a4-91aa-1811b5855a06"><span style="font-family: Arial, sans-serif; background-color: transparent; font-variant: normal; vertical-align: baseline; white-space: pre-wrap;">丹娜絲颱風後首次啟動先導機制</span></span></strong></span></span></h3> <p>由於極端氣候造成重大災害，國內在去年建立災害漫遊制度。NCC於2025年10月訂定「啟動行動通訊災害漫遊機制作業要點」，作為未來災時跨電信業者網路支援的依據。</p> <p>例如去年8月，因丹娜絲颱風影響，嘉義及臺南地區共有1,293座行動基地臺因停電或強風毀損，部分地區通訊品質遲未完全恢復。NCC協調內政部、數位發展部及三大電信業者，於去年8月在臺南七股區、嘉義布袋鎮及部分周邊區域啟動災害漫遊先導機制，藉此驗證跨業者網路支援的可行性。</p> <p>當時電信業者已透過臨時基地臺、行動基地臺及天線調整等方式進行搶修，但NCC認為仍有必要透過實際演練，累積災害漫遊運作經驗，作為未來全面推動的重要參考。</p> <p>NCC表示，災害漫遊涉及緊急電話處理、反詐騙機制及跨業者網路管理等技術議題，仍需持續測試與優化。不過，在極端氣候事件日益頻繁的情況下，災害漫遊已成為提升國內通訊韌性的重要工具之一。</p> <p>隨著巴克颱風逼近，相關單位也提醒民眾，除了準備手電筒、行動電源及備用電池外，也可先熟悉手機開啟數據漫遊的方式。當未來災區啟動災害漫遊機制，才能第一時間完成設定，透過其他網路接收防災資訊、避難通知，並和家人保持聯繫。</p> </div></div></div>
7/8 15:58作者蘇文彬https://www.ithome.com.tw/news/177175
報告揭露美國政府機關支付100萬美元平息資料勒索
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>專門追蹤勒索軟體與資料勒索活動的威脅情報組織<a href="https://ransom-isac.org/blog/kairos-ransomware-data-extortion-case-study/" target="_blank">Ransom-ISAC上周揭露</a>，一個自稱資源有限的美國小型郡政府在遭資料勒索集團Kairos竊取資料後，最終支付100萬美元贖金，以避免敏感資料遭公開。Ransom-ISAC並未公布受害組織，然而，<a href="https://www.securityweek.com/county-government-reportedly-paid-1-million-to-cyber-extortion-group/" target="_blank">SecurityWeek</a>根據線索推測是俄亥俄州的Union郡（Union County）。</p> <p>Ransom-ISAC表示，該報告是依據外洩的談判紀錄、攻擊者提供的相關證明資料、截圖，以及可觀察的區塊鏈金流所撰寫。</p> <p>資料顯示，Kairos是在2025年5月透過暴力破解方式入侵受害機關系統，並竊取超過2TB資料、約160萬個檔案，並向受害者勒索300萬美元贖金，否則將公開所有竊得資料。經過大約3周的談判，駭客最終將贖金降至100萬美元，受害機關則於2025年6月13日以比特幣完成付款。</p> <p>Ransom-ISAC指出，這起事件並未發現檔案加密行為，也未取得與Kairos相關的加密程式或勒索軟體樣本，看起來比較像是近年愈來愈常見的資料勒索事件；此外，駭客提供的資料刪除證明無法獨立驗證，可能只是刪除部分資料或其中一份副本；換言之，即使受害機關支付贖金，也無法確認遭竊資料是否真的已被刪除。</p> <p>SecurityWeek根據Ransom-ISAC的描述，再比對攻擊時間、外洩規模與個資外洩公告等線索，推測受害者可能是俄亥俄州Union County政府。</p> <p><a href="https://www.unioncountyohio.gov/media/Officials/Auditor/IT/Union_County_CyberIncident_Notice_092425.pdf" target="_blank">Union郡是在2025年9月發布公告</a>，表示於同年5月發現勒索軟體攻擊，駭客入侵其網路並盜走了資料，影響45,487名民眾，外洩資訊包括姓名、出生日期、社會安全碼、駕照或州政府身分證號碼、金融帳戶、醫療資訊、支付卡及護照號碼等敏感資訊。</p> <p>Union County僅說遭勒索軟體攻擊及資料外洩，並未提及是否曾被勒索或支付贖金。而不管是Ransom-ISAC或Union County都未證實SecurityWeek的推測。</p> <p>美國聯邦調查局（FBI）及網路安全暨基礎設施安全局（CISA）長期<a href="https://www.ic3.gov/CrimeInfo/Ransomware" target="_blank">不鼓勵受害組織支付贖金</a>，理由是付款並不保證資料能夠取回或刪除，還可能鼓勵駭客鎖定更多受害者。不過，該報告顯示，即使未發現檔案加密行為，資料公開壓力仍可能迫使資源有限的地方政府支付高額贖金。</p> </div></div></div>
7/8 12:31作者陳曉莉https://www.ithome.com.tw/news/177171
駭客團體UAT-7810打造新的惡意軟體架設ORB網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>一年前資安公司SecurityScorecard揭露<strong><a href="https://www.ithome.com.tw/news/169697">Operational Relay Box（ORB）網路LapDogs</a></strong>，並指出其中一組用戶，就是專門對臺灣關鍵基礎設施下手的駭客團體UAT-5918，使得此ORB網路受到外界關注，本週有威脅情報團隊揭露更多細節，並指出經營者持續開發惡意軟體來建置此ORB網路。</p> <p>思科威脅情報團隊Talos指出，<strong><a href="https://blog.talosintelligence.com/uat-7810/">LapDogs由名為UAT-7810的APT駭客團體負責經營</a></strong>，這些駭客主要透過CVE-2020-22653、CVE-2020-22658、CVE-2023-25717等已知漏洞，入侵Ruckus無線路由器建立據點，他們持續開發名為ShortLeash的惡意程式，其最新版本研究人員稱為LongLeash，加入了大量新功能，因此Talos研判，UAT-7810正積極擴充ShortLeash / LongLeash的攻擊能力。此外，Talos亦發現駭客分別以C語言與Java，打造被動式後門DogLeash，以及具有管理功能的後門程式JarLeash。</p> <p>值得留意的是，UAT-7810專為MIPS嵌入式裝置開發名為LeashTest的工具，此為ELF二進位檔案，功能為測試MIPS平臺的基本功能，本身未具備攻擊能力，不過Talos指出，該工具出現於MIPS物聯網裝置上，代表這些裝置很可能已經被入侵。</p> </div></div></div>
7/8 12:43作者周峻佑https://www.ithome.com.tw/news/177172
開源版本控制系統Gitea重大漏洞遭到利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>6月21日開源版本控制系統Gitea<strong><a href="https://blog.gitea.com/release-of-1.26.3-and-1.26.4/">發布1.26.3與1.26.4版</a></strong>，修補多項資安漏洞，現在有資安公司提出警告，他們發現其中一個漏洞<strong><a href="https://github.com/go-gitea/gitea/security/advisories/GHSA-f75j-4cw6-rmx4">CVE-2026-20896</a></strong>遭到利用，此弱點存在於Gitea的Docker映像檔，允許攻擊者利用單一標頭模擬使用者，CVSS風險評為9.8分，相當危險，呼籲用戶應儘速修補。</p> <p>Sysdig威脅研究資深總監Michael Clark於<strong><a href="https://www.linkedin.com/feed/update/urn:li:share:7479652556885954560/">職場社群網站LinkedIn警告</a></strong>，他們在上述公告發布的13天後偵測到首度利用的攻擊行動，有人透過VPN連線嘗試掃描上述弱點，成功利用並取得Gitea的存取權限。Clark強調，利用CVE-2026-20896不需事先取得密碼或權杖（Token），只需使用特定的HTTP標頭，就能嘗試存取網際網路上的Gitea執行個體，全球可能有近6,200臺Gitea伺服器暴露於公開網路，已完成修補的數量仍不得而知。</p> </div></div></div>
7/8 11:51作者周峻佑https://www.ithome.com.tw/news/177163
ClickFix成2026年3月至5月主要惡意程式投遞手法，首度擴及macOS平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>駭客以圖靈驗證、瀏覽器當機假象或假修復指令為誘餌，引導使用者複製特定指令，並貼入Windows執行視窗（Win + R）、macOS終端機等系統工具執行。這類被稱為ClickFix的社交工程手法，近年常被用於散布惡意程式，<a href="https://www.ithome.com.tw/news/174007" target="_blank">攻擊者也持續結合指令混淆與濫用合法系統工具等手法</a>，提高規避偵測能力。</p> <p><a href="https://reliaquest.com/blog/threat-spotlight-whats-trending-top-cyber-attacker-techniques-march-may-2026" target="_blank">資安業者ReliaQuest於6月30日發布威脅情勢報告指出</a>，ClickFix已成為2026年3月至5月期間主要的惡意程式投遞手法。若依MITRE ATT&CK攻擊技術分類統計，ClickFix也是企業初始入侵的重要途徑之一，在魚叉式網路釣魚連結攻擊中占比達14.9%。此外，攻擊者經常搭配命令列混淆、隱藏檔案或腳本真實用途等規避偵測技巧，使相關防禦規避活動占比接近28%。另一方面，ClickFix攻擊情境也出現變化，從過去常見的經由遭入侵網站散播，轉向透過電子郵件連結接觸受害者。</p> <p>值得注意的是，ReliaQuest首次觀察到ClickFix攻擊手法延伸至macOS環境。攻擊者透過applescript://連結開啟macOS內建的指令碼編輯工具Script Editor，誘使使用者執行惡意指令，並投遞Atomic macOS Stealer（AMOS）竊資軟體。</p> <p>因應這類攻擊，研究人員建議資安團隊從端點遙測資料與系統事件記錄著手，偵測上述異常跡象，包括瀏覽器引導系統工具執行可疑命令列、未經核準的遠端存取工具安裝，以及macOS環境中非預期的鑰匙圈讀取、憑證資料的傾印（credential dumping），或透過macOS提供的命令列工具security執行憑證資料的存取等活動。</p> </div></div></div>
7/8 11:55作者王珮瑤https://www.ithome.com.tw/news/177165
調查商業間諜軟體濫用，歐洲議會PEGA委員會成員反遭Pegasus入侵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>歐洲議會曾設立PEGA委員會，調查Pegasus及同類商業間諜軟體在歐洲遭濫用的情況，如今卻傳出該委員會成員也成為商業間諜軟體攻擊目標。</p> <p><a href="https://citizenlab.ca/research/member-of-committee-investigating-spyware-hacked-with-pegasus/" target="_blank">加拿大多倫多大學跨領域研究單位Citizen Lab發布報告指出</a>，擔任過希臘調查記者的前歐洲議會議員Stelios Kouloglou，其iPhone曾遭以色列商業間諜軟體業者NSO Group開發的Pegasus入侵。研究人員研判，攻擊者可能因此取得PEGA委員會內部文件與審議內容。</p> <p>Kouloglou於2022年3月24日至2023年7月18日擔任PEGA委員會替補成員。他於2026年5月聯繫Citizen Lab，請求協助對其iPhone進行鑑識分析。結果顯示，這支手機約在2022年10月21日遭Pegasus入侵，並於2023年3月6日至7日再度感染Pegasus。此外，Kouloglou的手機也在2023年至2024年期間，三度收到蘋果的威脅通知，警告其可能遭商業間諜軟體鎖定。</p> <p>雖然鑑識結果無法將攻擊行動歸因於特定政府，但Citizen Lab指出，這起事件凸顯商業間諜軟體對民主程序與議會監督機制構成的威脅，並呼籲歐盟機構展開調查。</p> </div></div></div>
7/8 12:03作者王珮瑤https://www.ithome.com.tw/news/177169
CISA要求聯邦機構3天內修補Langflow重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>7月7日美國網路安全與基礎設施安全局（CISA）發布公告，<a href="https://www.cisa.gov/news-events/alerts/2026/07/07/cisa-adds-three-known-exploited-vulnerabilities-catalog">將3個資安漏洞加入已遭利用的漏洞名單（KEV）</a>，原因是他們已掌握漏洞遭到積極利用的證據。其中一個弱點是CVE-2026-55255，存在於圖像化大型語言模型開發工具Langflow，由於近期該工具資安漏洞被用於攻擊活動的情況相當頻繁，用戶應特別提高警覺。CISA要求聯邦機構，必須<strong><a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-55255">在7月10日前</a></strong>完成修補。</p> <p>CVE-2026-55255為身分驗證繞過漏洞，通過身分驗的攻擊者可藉由特定受害者的工作流程ID，發出請求以執行其他用戶的工作流程，<strong><a href="https://github.com/langflow-ai/langflow/security/advisories/GHSA-qrpv-q767-xqq2">CVSS風險評為9.9分</a></strong>，開發團隊於6月下旬發布1.9.1版Langflow修補。值得留意的是，<strong><a href="https://webflow.sysdig.com/blog/understanding-langflow-cve-2026-55255-and-why-higher-cvss-vulnerabilities-arent-always-the-most-exploited">資安公司Sysdig於6月26日提出警告</a></strong>，他們在6月25日看到該漏洞首度遭到利用的跡象。</p> </div></div></div>
7/8 10:23作者周峻佑https://www.ithome.com.tw/news/177157
美國警告Joomla外掛滿分漏洞已遭積極利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>7月7日<strong><a href="https://www.cisa.gov/news-events/alerts/2026/07/07/cisa-adds-three-known-exploited-vulnerabilities-catalog">美國網路安全與基礎設施安全局（CISA）表示</a></strong>，他們已掌握3個漏洞遭積極利用的情形，因此將這些弱點列入已遭利用的漏洞名單（KEV），並要求聯邦機構於7月10日前完成修補。值得留意的是，有兩項漏洞<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-48908">CVE-2026-48908</a></strong>、<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-56290">CVE-2026-56290</a></strong>，都是CVSS v4.0風險值達到10分滿分的危險弱點，影響內容管理平臺Joomla的外掛程式JoomShaper SP Page Builder、Joomlack Page Builder，用戶應儘速採取行動因應。</p> <p>在CISA確認這些漏洞遭到利用之前，有網站管理平臺提出警告。WordPress與Joomla網站集中管理平臺mySites.guru<strong><a href="https://mysites.guru/blog/sp-page-builder-zero-day-uploadcustomicon-rce/">先針對CVE-2026-48908示警</a></strong>，駭客在開發團隊尚未修補前就開始用於發動攻擊，並建立名稱看似正常的惡意管理員帳號；另一個漏洞CVE-2026-56290，則是6月27日開發團隊發布更新修補之後，<strong><a href="https://mysites.guru/blog/pagebuilderck-unauthenticated-file-upload-rce/">有人在數小時內用於實際攻擊</a></strong>。mySites.guru呼籲用戶應立即更新外掛程式，並檢查網站是否遭到入侵。</p> </div></div></div>
7/8 10:39作者周峻佑https://www.ithome.com.tw/news/177158
英國推網路韌性承諾計畫，促企業強化董事會治理與供應鏈資安
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.gov.uk/government/news/businesses-across-britain-sign-up-to-cyber-resilience-pledge-as-ministers-urge-firms-to-strengthen-cyber-defences" target="_blank">英國政府7月7日正式啟動企業網路韌性承諾計畫（Cyber Resilience Pledge）</a>，盼藉由大型企業帶頭，推動整體產業供應鏈強化資安防護。首批已有超過60家企業與組織加入，包括微軟英國（Microsoft UK）、Cloudflare、馬莎百貨（M&S）、金融機構Nationwide Building Society，以及商業電視業者ITV。</p> <p>Cyber Resilience Pledge由英國科學、創新暨技術部（DSIT）與英國國家網路安全中心（NCSC）共同推動，採取自願簽署的參與機制。<a href="https://www.gov.uk/government/publications/cyber-resilience-pledge/cyber-resilience-pledge-declaration" target="_blank">加入該計畫的企業需在規定期限內落實3項措施</a>，包括將資安列為董事會責任，依循並落實NCSC《網路安全治理實務準則》（Cyber Governance Code of Practice）所列行動，並安排所有董事定期接受NCSC提供的資安治理訓練；註冊NCSC免費威脅預警服務Early Warning，接收潛在威脅通知；以及使用Cyber Essentials Supplier Check Tool，盤點供應鏈取得Cyber Essentials認證的涵蓋情況。</p> <p class="rtecenter"><a href="http://www.gov.uk/government/publications/cyber-resilience-pledge/cyber-resilience-pledge-declaration" target="_blank"><img alt="" src="/sites/default/files/images/0708-UK-Cyber%20Resilience%20Pledge.png" style="width: 600px;" /></a></p> <p>英國政府表示，重大網路攻擊每年對英國組織造成約147億英鎊損失，因此希望透過這項倡議，促使企業將資安納入經營治理，並藉由供應鏈管理擴大防護範圍。</p> <p>不過，這項承諾的實際約束力仍有待觀察。<a href="https://therecord.media/uk-cyber-pledge-draws-limited-partners-despite-ministerial-appeal" target="_blank">資安媒體The Record</a>引述英國智庫皇家三軍研究所（Royal United Services Institute，RUSI）資深研究員Jamie MacColl的看法指出，英國網路政策常見做法是先透過諮詢、研究、實務準則與自願承諾推動產業改變；若企業參與情況不如預期，後續可能成為政府強化監管的理由。</p> </div></div></div>
7/8 10:50作者王珮瑤https://www.ithome.com.tw/news/177159
俄羅斯網路戰鎖定烏克蘭媒體，對電視臺發動DDoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>自俄烏戰爭爆發以來，烏克蘭國家安全局（Security Service of Ukraine，SBU）已阻止超過1.6萬起與俄羅斯有關的網路攻擊與重大資安事件。除了政府、金融及國防單位，新聞媒體也成為俄羅斯駭客的優先攻擊目標。</p> <p><a href="https://ssu.gov.ua/novyny/z-pochatku-povnomasshtabnoi-viiny-sbu-neitralizuvala-ponad-16-tysiach-rosiiskykh-kiberatak-ta-kiberintsydentiv" target="_blank">烏克蘭SBU網路安全部門負責人Volodymyr Karastelyov表示</a>，俄羅斯駭客曾對烏克蘭一家全國性電視臺的網站發動大規模分散式阻斷服務（DDoS）攻擊，歷時約3小時。攻擊者透過分布於亞洲、歐洲與美國的殭屍網路節點，每分鐘對網站應用層發出最高20萬次連線請求，並模擬真實使用者行為，企圖藉由大量複雜請求使伺服器過載，造成網站無法存取。在SBU網路安全人員即時介入後，網站恢復正常運作，攻擊未能得逞。</p> <p><a href="https://therecord.media/ukraine-media-organizations-priority-hacking-targets-russia" target="_blank">The Record也引述烏克蘭國家特殊通訊與資訊保護局（SSSCIP）報告指出</a>，俄羅斯駭客對烏克蘭媒體發動超過200起實際造成影響的網路攻擊，手法包括網路釣魚、DDoS攻擊、網站竄改、破壞型惡意程式，以及入侵媒體平臺進而未經授權發布不實資訊。</p> <p>為提升地方與區域媒體的資安韌性，SBU也與烏克蘭國家電視廣播委員會合作，針對媒體從業人員、數位資源管理者與技術人員舉辦實務訓練。</p> </div></div></div>
7/8 11:01作者王珮瑤https://www.ithome.com.tw/news/177160
Google搜尋控制臺新增平臺屬性，首度可分析社交帳號的搜尋流量
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://developers.google.com/search/blog/2026/07/search-console-social-video-platforms" target="_blank">Google周二（7/7）宣布</a>，旗下Google搜尋控制臺（Search Console）新增平臺屬性（Platform Properties），首度支援分析Instagram、TikTok、X及YouTube等社交帳號的搜尋流量。創作者及內容發布者可將各社交帳號新增為獨立的平臺屬性，查看Google搜尋及Discover帶來的流量表現；新功能預計於未來幾周逐步開放。</p> <p>Google搜尋控制臺是Google提供網站經營者免費使用的搜尋分析工具，可用於監控網站於Google搜尋中的曝光、點擊、搜尋關鍵字及索引狀態，也是搜尋引擎最佳化（SEO）最常用的官方工具之一。過去Google搜尋控制臺主要提供網域屬性（Domain Property）及網址前綴屬性（URL-prefix Property）兩種屬性，前者涵蓋整個網站網域，後者則僅分析特定網址範圍，分析對象皆為網站。</p> <p>此次新增的平臺屬性（Platform Property）首度將社交帳號納入分析範圍，擴大Google搜尋控制臺的分析對象，但目前僅支援Instagram、TikTok、X及YouTube四大平臺，Google尚未公布是否將擴大支援其他社交平臺。</p> <p>Google表示，隨著創作者及內容發布者愈來愈常透過社交媒體及影音平臺接觸受眾，而使用者也愈來愈偏好第一手觀點與多元內容形式，因此希望讓網站經營者及創作者，即使沒有自有網站，也能集中查看各類內容在Google搜尋中的曝光及流量表現。</p> <p>建立平臺屬性後，創作者可透過Google搜尋控制臺查看Google搜尋及Discover帶來的流量表現。同時它沿用了網站版的分析指標，提供點擊數、曝光數、點閱率（CTR）、平均搜尋排名、熱門貼文、搜尋關鍵字及流量趨勢等資訊。</p> </div></div></div>
7/8 11:14作者陳曉莉https://www.ithome.com.tw/news/177161
Meta推出Muse Image，整合Instagram與WhatsApp圖片生成功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://about.fb.com/news/2026/07/introducing-muse-image-meta-ai/" target="_blank">Meta周二（7/7）發表</a>由超級智慧實驗室（Meta Superintelligence Labs，MSL）開發的AI圖片生成模型Muse Image，並將其整合至Meta AI，已開始支援Instagram Stories及WhatsApp。這是MSL繼今年4月的<a href="https://www.ithome.com.tw/news/174932" target="_blank">Muse Spark</a>之後所推出的第二款模型。Meta亦預告MSL正在開發影片生成模型Muse Video，但推出時程未定。</p> <p>根據Meta的說明，Muse Image可理解較複雜的提示詞，先規畫畫面內容，再結合即時網路資訊與多個視覺素材生成圖片。除了文字生圖外，也支援融合多張照片、移除背景中的路人、修改圖片內容，以及生成可正常掃描的QR Code。它也能在圖片中生成清晰且易於辨識的文字，可用於製作資訊圖表、活動邀請函等視覺內容。</p> <p>使用者亦可透過預設提示詞，快速套用創作風格，或直接在圖片上圈選、塗鴉及標註欲修改區域，由AI完成局部編修。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0708-Muse%20Image-meta.png" style="width: 550px;" /></p> <p>Muse Image將整合至Meta旗下多項產品。目前Instagram Stories已支援30多種由Muse Image驅動的AI特效，WhatsApp亦能在與Meta AI對話時生成圖片；未來計畫擴展至Facebook及Messenger，並讓廣告主及代理商透過Meta Advantage+ Creative建立AI廣告素材。</p> <p>此外，使用者拍攝房間照片後，可要求Meta AI重新設計室內空間，系統會結合Facebook Marketplace及網路上的實際商品，生成採用真實家具的裝潢示意圖。</p> <p>值得注意的是，Muse Image支援在Meta AI中以「@Instagram帳號」作為提示詞，引用公開Instagram帳號的照片生成AI圖片。Meta的用意是讓使用者用它來製作活動邀請函、共同創作或個人化圖片，結果<a href="https://www.cnet.com/tech/services-and-software/meta-muse-ai-image-content-reuse-deepfake-news/" target="_blank">CNET實測</a>發現，只要在提示詞中輸入公開Instagram帳號，就能在未取得帳號本人同意的情況下，生成含有該人物樣貌的AI圖片。</p> <p>對此，Meta則說，公開Instagram帳號用戶可在Instagram設定中，關閉「允許他人在Instagram及Meta AI功能中重複使用內容」（Sharing and reuse）選項，避免自己的公開照片被他人用於AI圖片生成；私人帳號則預設不開放。</p> </div></div></div>
7/8 10:19作者陳曉莉https://www.ithome.com.tw/news/177156
記憶體安全需求推升Rust人氣，首進TIOBE指標前十
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><strong><a href="https://www.tiobe.com/tiobe-index/">TIOBE公布2026年7月程式語言人氣指標</a></strong>，Rust首次進入前十名，排名第10，評分為1.34%，高於去年同期的第18名。TIOBE指出，Rust近年人氣增加，主要與其重視記憶體安全，同時仍能產生高效能程式碼有關，使其成為C與C++之外受到關注的系統程式語言選項。</p> <p>在7月榜單中，Python仍排名第1，評分18.94%，但比去年同期下滑8.03個百分點。C排名第2，C++排名第3，Java與C#分居第4與第5。前十名後段變化較明顯，SQL從去年同期第13名升至第8名，R語言從第15名升至第9名，Rust則從第18名升至第10名。</p> <p>Rust受到關注的原因，與近年軟體開發對記憶體安全的要求提高有關。傳統系統程式語言C與C++可用於作業系統、底層元件與高效能應用，但由開發者明確管理記憶體，也可能帶來越界存取、釋放記憶體後仍繼續使用等安全風險。Rust透過語言設計在編譯階段降低部分記憶體錯誤，同時維持接近底層語言的效能，因此常被拿來與C、C++比較。</p> <p>不過，TIOBE也指出，C與C++社群仍在推動提高語言安全性的工作，這些努力能否及時見效，仍有待觀察。Rust進入前十，也反映記憶體安全已成為程式語言選擇中更受重視的條件之一。</p> <p>TIOBE程式語言人氣指標每月更新一次，用來觀察不同程式語言的受歡迎程度，評比依據包括全球熟練工程師、課程與第三方供應商數量，並參考Google、Amazon、Wikipedia與Bing等20多個網站的搜尋結果。</p> </div></div></div>
7/8 08:25作者李建興https://www.ithome.com.tw/news/177155
Gartner將主權AI、AI代理風險與AI治理列入未來兩年資料與分析重點趨勢
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p style="margin-left:.05pt;">6月中旬在雪梨舉行的Gartner資料與分析高峰會期間，市場調查機構Gartner研究副總裁Carlie Idoine針對企業兩年內的策略規畫，建議將<strong><a href="https://www.gartner.com/en/newsroom/press-releases/2026-06-16-gartner-identifies-the-top-trends-for-data-and-analytics">六大資料與分析趨勢納入考量</a></strong>，其中有三項與資安有關，分別是：主權AI發展速度加快、藉助決策治理平臺降低AI代理風險、利用AI治理平臺建立信任。</p> <p style="margin-left:.05pt;">首先，關於主權AI，隨著AI成為經濟實力的關鍵，各國正將掌控自身AI能力列為優先事項，並盡可能減少對其他國家的依賴，以便進一步達到可獨立自主使用AI的目標。因此，資料與分析的控制權能夠以本地需求為主，是此過程的重要環節，也成為許多組織在邁向「AI優先企業」的發展規畫中，必須設法妥善因應的外部地緣政治現實。</p> <p style="margin-left:.05pt;">由於組織在AI策略當中，對於控制、創新與韌性的思考方式，正因主權AI的發展而發生徹底的改變，Carlie Idoine表示，為了有效因應主權AI帶來的機遇與威脅，組織必須將資料與分析的路線圖進行現代化的轉型，將AI的應用案例從單純的利用，提升至創造更多競爭優勢。</p> <p style="margin-left:.05pt;">第二個趨勢是關於AI代理的風險降低，根據Gartner的觀察，由於組織將越來越多的策略、戰術與營運等層面的政策，交由AI代理執行，相對而言，缺乏治理（未受到監管）的決策制定，也將導致組織在法律、營運與聲譽等面向，遭遇更多的風險，因此，組織必須將各項治理原則套用在決策制定的智慧型系統當中，使自動化的決策系統運作方式能夠被理解、受到稽核，並與結果保持一致。</p> <p style="margin-left:.05pt;">基於上述分析，Gartner預測，到了2029年，比起未受治理的決策，因為決策智慧平臺的採用，經由明確建模而產生的商業決策將獲得5倍的信任度，而且，完成任務的速度也將快上80%。</p> <p style="margin-left:.05pt;">以AI治理平臺的運用而言，Gartner認為標準確保信任的作法不足以落實有效的AI治理，可設置專屬平臺協助組織因應不斷浮現的AI風險，以及自主AI代理的採用速度加快等變局，遵守大型企業的政策、全球日益複雜的AI法規，以及產業標準要求，實踐負責任AI的原則。對此，Gartner 建議資料與分析領導者採用AI治理平臺來落實治理措施，藉此提供集中式監督、應用風險管理框架，並執行必要的控制措施。</p> </div></div></div>
7/7 19:06作者李宗翰https://www.ithome.com.tw/news/177153
IBM擴大z17、LinuxONE 5產品線，增機架式與單櫃機型，瞄準AI與資料中心彈性部署需求
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>IBM今天（7/7）宣布擴大新一代大型主機產品布局，推出IBM z17與LinuxONE 5系列新機型，新增的機架式（rack-mount）及單櫃（single-frame）機型，可針對企業的資料中心空間、工作負載及成本需求提供彈性部署，並具備大型主機的AI、安全與高可用性。新機型預計8月中旬上市。</p> <p>新機型最大的變化，在於將過去以大型frame部署為主的企業級主機，延伸至更適合現代資料中心環境的單櫃與機架式部署環境。</p> <p>IBM指出，隨著AI工作負載快速成長，加上全球資料中心空間成本持續攀升，企業需要更具彈性的基礎設施。z17與LinuxONE 5採用相同世代的Telum II處理器架構，並可搭配Spyre AI Accelerator提供企業AI推論能力。雙處理器機型最高有82個核心、18TB記憶體，比前一代有更高的核心數與記憶體容量，並可與既有標準機架及其他設備混合部署，提升資料中心空間利用率。</p> <p>z17：</p> <p><img alt="" src="/sites/default/files/images/%E6%88%AA%E5%9C%96%202026-07-07%20%E6%99%9A%E4%B8%8A7_08_39.jpeg" style="width: 600px; height: 346px;" /></p> <p> </p> <p>LinuxONE Rockhopper 5：</p> <p><img alt="" src="/sites/default/files/images/%E6%88%AA%E5%9C%96%202026-07-07%20%E6%99%9A%E4%B8%8A7_11_09.jpeg" style="width: 600px; height: 336px;" /></p> <p>新品發表也同步強化大型主機AI管理與資安能力，包括強化Infrastructure Management for IBM Z與LinuxONE的管理能力，讓企業可以Terraform和Infrastructure-as-Code, IaC來進行自動化部署，降低管理的複雜度。</p> <p>IBM預計9月推出COBOL Elevate for z/OS，協助企業在不需重寫程式的情況下，利用AI提升既有COBOL應用程式效能。</p> <p>另一個值得注意的是，政府與民間開始為後量子密碼（PQC）遷移作準備，後量子密碼也成為z17與LinuxONE Rockhopper 5的標準功能，搭配新推出的Crypto Discovery & Inventory，可盤點企業整體加密資產，以協助金融、政府及大型企業提前因應後量子資安挑戰。</p> <p>另外，LinuxONE產品線延伸至18U的LinuxONE 5 Express，該機型主要瞄準中小型企業與邊緣部署市場，提供具備機密運算、晶片內建AI加速及高韌性的入門大型主機方案。</p> <h3 dir="ltr" style="line-height:1.38;margin-top:14pt;margin-bottom:4pt;"><span style="color:#B22222;"><span id="docs-internal-guid-88afce3b-7fff-e1fc-31e0-398a08610426"><span style="font-size: 13pt; font-family: Arial, sans-serif; background-color: transparent; font-weight: 700; font-variant: normal; vertical-align: baseline; white-space: pre-wrap;">臺灣市場需求以單櫃與Express機型，降低企業導入門檻</span></span></span></h3> <p>IBM大中華區大型主機業務總經理張寶文表示，過去推出的多櫃型大型主機主要以歐美大型金融機構為主，這類客戶通常一次採購多櫃設備部署於資料中心；但對於臺灣市場而言，企業需求多集中在單櫃型主機，新推出的Z17與LinuxONE 5單櫃版本，更貼近國內客戶需求的產品。</p> <p>目前台灣既有主機客戶仍以金融業為主，主要應用於核心交易、資料處理等關鍵系統。相較大型多櫃機型，單櫃版本更符合臺灣企業資料中心空間與部署規模，也能延續企業對主機平臺的高可靠性、安全性與穩定性的需求。</p> <p>此外，新發表的LinuxONE 5 Express機型，相較於完整機櫃部署的傳統大型主機，Express版本可直接部署於企業既有的機櫃環境中，若資料中心仍有可用空間，即可導入LinuxONE能力，降低企業初期導入門檻。</p> <p>不過，目前LinuxONE Express仍在臺灣進口法規審查階段，IBM希望能於2026年第3季有機會導入臺灣市場。</p> <h3 dir="ltr" style="line-height:1.38;margin-top:14pt;margin-bottom:4pt;"><span style="color:#B22222;"><strong><span id="docs-internal-guid-88afce3b-7fff-e1fc-31e0-398a08610426"><span style="font-size: 13pt; font-family: Arial, sans-serif; background-color: transparent; font-weight: 700; font-variant: normal; vertical-align: baseline; white-space: pre-wrap;">LinuxONE成為拓展非金融產業的重要平臺</span></span></strong></span></h3> <p>IBM指出，目前大型主機與LinuxONE客戶仍以金融業為主，但LinuxONE相較傳統主機更強調開放性，可支援API整合、容器架構，以及 Red Hat OpenShift 等雲原生環境，透過LinuxONE Express希望能拓展製造業與其他產業應用。</p> <p>IBM認為，企業目前面臨AI應用落地需求，但同時也受資料中心空間、電力與管理成本限制。LinuxONE的高密度運算能力，單一系統可支援大量虛擬化環境，有機會成為企業部署AI推論、資料分析與關鍵應用的新選擇。</p> <p>IBM強調，企業AI應用下一階段挑戰將從模型訓練轉向大規模推論，大型主機具有的高記憶體容量、高可用性與低功耗特性，適合支援企業部署AI模型。</p> <h3 dir="ltr" style="line-height:1.38;margin-top:14pt;margin-bottom:4pt;"><span style="color:#B22222;"><span style="font-size:20px;"><span id="docs-internal-guid-88afce3b-7fff-e1fc-31e0-398a08610426"><span style="font-family: Arial, sans-serif; background-color: transparent; font-weight: 700; font-variant: normal; vertical-align: baseline; white-space: pre-wrap;">瞄準金融業AI推論應用場景</span></span></span></span></h3> <p>IBM指出，金融業現今仍是最有潛力的AI推論應用市場之一，例如反詐欺、風險分析、交易監控等場景，過去銀行多採取抽樣方式進行風險檢測，但隨著AI推論能力提升，未來可望針對更多交易資料進行即時分析。</p> <p>特別是Z17與LinuxONE 5搭配Spyre AI 加速器後，可將訓練完成的AI模型部署於高可靠性的企業環境中，適合需要大量資料存取與高可用性的金融應用。</p> <p>另外，近期臺灣的金融業也開始關注數位資產管理需求，LinuxONE支援硬體安全能力與加密功能，搭配相關數位資產解決方案，也有機會成為金融機構建置數位資產平臺的基礎架構。</p> </div></div></div>
7/7 19:13作者蘇文彬https://www.ithome.com.tw/news/177150
【資安日報】7月7日，揭露兩小時後ColdFusion滿分漏洞就遭到利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><h3><strong>本日新聞焦點</strong></h3> <p>● <a href="https://www.ithome.com.tw/news/177142#ColdFusion">ColdFusion滿分漏洞傳出公布不久就出現實際攻擊活動</a></p> <p>● <a href="https://www.ithome.com.tw/news/177142#Rollup">北韓駭客Lazarus於NPM發動新一波供應鏈攻擊</a></p> <p>● <a href="https://www.ithome.com.tw/news/177142#KVM">Linux KVM資安漏洞潛藏長達16年</a> <a id="ColdFusion" name="ColdFusion"></a></p> <p> </p> <p><a href="https://www.ithome.com.tw/news/177132"><span style="font-size: 22px;"><strong>Adobe揭露的滿分ColdFusion漏洞傳出兩小時後就出現實際攻擊</strong></span></a></p> <p><a href="/sites/default/files/images/HMPhK0RWUAA8TdJ-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/HMPhK0RWUAA8TdJ-63.jpg" style="width: 300px; float: right;" /></a></p> <p>6月底Adobe發布網頁應用開發平臺ColdFusion、行銷自動化平臺Campaign Classic更新，修補多達7個10分滿分漏洞成為焦點，威脅情資平臺KEVIntel創辦人Ryan Dewhurst於社群網站X提出警告，在漏洞細節公布後兩小時內，其中一個ColdFusion滿分漏洞CVE-2026-48282就遭到實際利用。該平臺在設置的蜜罐陷阱偵測到相關活動，其攻擊來源的IP位址來自印度。加拿大網路安全中心（CCCS）也指出該漏洞遭到利用，他們根據開源的威脅情報掌握此事，用戶應儘速套用必要的更新。<a href="https://www.ithome.com.tw/news/177132">詳全文</a> <a id="Rollup" name="Rollup"></a></p> <p><a href="https://www.ithome.com.tw/news/177138"><span style="font-size: 22px;"><strong>北韓駭客Lazarus發動NPM供應鏈攻擊，偽裝Rollup建置工具以竊取機密資料與加密貨幣資產</strong></span></a></p> <p><a href="/sites/default/files/images/polyfill-masquerading-flow-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/polyfill-masquerading-flow-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安廠商JFrog近日發現北韓駭客團體Lazarus於NPM發起攻擊活動，他們上架一組偽裝成Rollup Polyfill建置工具的惡意套件，而所謂的Rollup Polyfill建置工具，是指用於Rollup打包流程當中處理相容性修補（Polyfill）的外掛工具，此次攻擊採用多層次酬載的部署架構，最終將開發者導向遠端存取木馬（RAT），竊取瀏覽器與加密貨幣錢包資料，以及監控剪貼簿，對開發與CI/CD環境構成嚴重威脅。由於駭客模仿的合法套件rollup-plugin-polyfill-node相當熱門，因此這波攻擊活動的影響恐怕非常廣泛。<a href="https://www.ithome.com.tw/news/177138">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177137"><span style="font-size: 22px;"><strong>北韓駭客發動PolinRider攻擊活動，於NPM、Packagist、Go、Chrome Web Store上架惡意套件</strong></span></a></p> <p>資安公司Socket揭露北韓駭客團體供應鏈攻擊活動PolinRider，這些駭客的活動範圍，涵蓋NPM、Packagist、Go模組、Chrome Web Store，滲透108個套件、並發布162個惡意版本。其中受害的套件以Go模組最多，有80個，另有10個Packagist套件與1個Chrome延伸套件。這波攻擊活動仍持續進行，因此可能還會有新的惡意套件發布。這些駭客入侵套件維護者的帳號、竄改合法的儲存庫，然後發布有問題的套件版本，並保留儲存庫的存取權限。<a href="https://www.ithome.com.tw/news/177137">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177135"><span style="font-size: 22px;"><strong>Java遠端存取木馬QuimaRAT現身，以MaaS模式販售並鎖定Windows、Linux與macOS</strong></span></a></p> <p>資安業者LevelBlue近日揭露新型Java遠端存取木馬（RAT）QuimaRAT，以惡意程式即服務（MaaS）模式在暗網論壇販售，顯示跨平臺RAT正朝模組化、商業化方向發展。QuimaRAT具備遠端命令執行、檔案傳輸、憑證資料竊取、剪貼簿操作、遠端酬載投遞、外掛模組載入，以及攝影機監控等能力；Windows版本另具備無檔案Shellcode執行能力，可直接在記憶體執行攻擊程式碼，減少惡意檔案落地留下跡證的機會，增加端點偵測難度。<a href="https://www.ithome.com.tw/news/177135">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177131"><span style="font-size: 22px;"><strong>Akira勒索軟體攻擊者以搜尋引擎最佳化中毒手法，誘導IT管理員下載惡意安裝程式</strong></span></a></p> <p>一起涉及Akira勒索軟體的攻擊案例顯示，駭客透過針對Bing搜尋結果的搜尋引擎最佳化中毒（SEO Poisoning）手法，假冒企業IT維運工具下載頁，鎖定正在搜尋相關工具的IT管理人員，藉此接觸可能具備高權限的企業帳號。資安事件分析團隊The DFIR Report指出，攻擊者透過仿冒網路監控工具ManageEngine OpManager的下載頁，誘使受害者下載並執行木馬化MSI安裝程式，但看似正常的安裝流程，實際上會植入惡意程式載入器Bumblebee，並部署惡意程式框架AdaptixC2。<a href="https://www.ithome.com.tw/news/177131">詳全文</a> <a id="KVM" name="KVM"></a></p> <p><a href="https://www.ithome.com.tw/news/177139"><span style="font-size: 22px;"><strong>Linux KVM潛藏16年漏洞，恐導致虛擬機逃逸存取底層實體主機</strong></span></a></p> <p><a href="/sites/default/files/images/linux_kvm_escape-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/linux_kvm_escape-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安研究人員Hyunwoo Kim（@v4bel）近日揭露代號Januscape的Linux KVM重大漏洞CVE-2026-53359。該漏洞自2010年Linux kernel 2.6.36版導入相關程式碼後便已存在，潛伏約16年才被發現，問題源自x86處理器版KVM的影子記憶體管理單元（Shadow MMU）程式碼，可能導致虛擬機（Guest）突破隔離，而得以存取底層實體主機（Host），目前尚無CVSS嚴重性評分。Linux kernel的5.x、6.x與7.x等穩定分支版本均已於7月4日完成修補，用戶應儘速更新，或暫時停用巢狀虛擬化功能以降低風險。<a href="https://www.ithome.com.tw/news/177139">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177113"><span style="font-size: 22px;"><strong>研究人員公開Control Web Panel重大漏洞PoC程式，若未及時修補恐遭攻擊者遠端接管伺服器</strong></span></a></p> <p>資安業者Karma近日揭露網站主機管理平臺Control Web Panel（CWP）重大漏洞CVE-2026-57517，並公開概念驗證（PoC）利用程式，0.9.8.1224以前版本均受影響。CVE-2026-57517的CVSS嚴重性評分達9.8分，源自用戶端點（user endpoint）的輸入驗證不足，可能導致未經身分驗證的攻擊者執行任意SQL查詢，進而利用Control Web Panel以MySQL root權限執行資料庫操作的特性，取得遠端程式碼執行能力。<a href="https://www.ithome.com.tw/news/177113">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177136"><span style="font-size: 22px;"><strong>OpenSSH 10.4正式發布，修補多項漏洞並導入混合式PQC簽章</strong></span></a></p> <p>Linux與Unix常用的開源遠端存取工具OpenSSH，於7月6日發布10.4版，提供一系列安全性功能更新，包括修補8項漏洞，同時引進混合式的後量子密碼學（PQC）演算法。本次修補的8項漏洞，涵蓋sshd伺服器，以及ssh、scp、sftp等通訊協定的用戶端元件。在sshd伺服器方面，修補sftp、GSSAPI身分驗證、轉送控制與登入防護等方面的5項漏洞，例如啟用GSSAPI驗證時可能遭預先驗證（Pre-authentication）服務阻斷攻擊，最小登入延遲設定未能生效等。<a href="https://www.ithome.com.tw/news/177136">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177106"><span style="font-size: 22px;"><strong>Apache修補HttpComponents Core兩項高風險漏洞，未更新可能導致服務阻斷攻擊</strong></span></a></p> <p>Apache軟體基金會於7月1日發布兩份資安公告，修補Java HTTP元件Apache HttpComponents Core的兩項高風險漏洞，分別為CVE-2026-54428與CVE-2026-54399，影響5.4.2以前與5.5-beta1等版本。HttpComponents Core為Apache提供的底層HTTP通訊函式庫，廣泛應用於Java應用程式與企業後端服務，用於處理HTTP請求與回應，一旦遭到濫用，可能影響依賴該函式庫的應用程式穩定性，用戶應儘速升級到已修補的5.4.3與5.5-beta2以上版本。<a href="https://www.ithome.com.tw/news/177106">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177104"><span style="font-size: 22px;"><strong>WatchGuard修補Firebox防火牆17項漏洞，包含可能導致遠端執行任意程式碼的重大漏洞</strong></span></a></p> <p>資安業者WatchGuard於7月2日發布資安公告，修補其防火牆設備Firebox共17項漏洞，影響Fireware OS作業系統11.x、12.x、12.5.x與2025.1.x等版本。其中包含CVSS v4嚴重性評分達9.2分的重大漏洞CVE-2026-13368，問題源自防火牆的Fireware OS作業系統使用外部LDAP驗證伺服器時，可能觸發競態條件漏洞（Race Condition），進一步導致記憶體已釋放卻仍被使用（Use After Free）問題，攻擊者可在未經身分驗證情況下藉此執行任意程式碼。<a href="https://www.ithome.com.tw/news/177104">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177127"><span style="font-size: 22px;"><strong>提示注入可繞過ChatGPT防護機制漏洞，OpenAI已完成修補</strong></span></a></p> <p>資安研究人員zer0dac近日揭露ChatGPT一項安全防護機制繞過漏洞，攻擊者可透過提示注入（Prompt Injection）手法，以誤刪上傳檔案為由，誘使AI模型暴露資料存取路徑，再結合透過路徑遍歷（Path Traversal）方式，繞過存取路徑限制，取得額外資料，目前OpenAI已修補此問題。zer0dac指出在沙箱限制下，前述手法無法直接獲得敏感資料，但可構成更大規模攻擊鏈的一部分。OpenAI也已透過更改URL下載流程修補此問題。<a href="https://www.ithome.com.tw/news/177127">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177116"><span style="font-size: 22px;"><strong>Claude Cowork遭指可被濫用取得VM root權限</strong></span></a></p> <p>資安研究團隊Armadin揭露，Anthropic的Claude Desktop for Windows中，Claude Cowork使用的沙箱隔離機制，可能在攻擊者已能於Windows主機執行程式的情況下遭濫用。研究人員指出，攻擊者可借用Claude Desktop元件與本機服務溝通，在Claude Cowork使用的Ubuntu虛擬機器內取得root權限，並放寬原本限制對外連線的管制。不過，Anthropic認為，該攻擊鏈需要攻擊者先在Windows主機上取得本機程式執行能力，因此不列為安全問題。<a href="https://www.ithome.com.tw/news/177116">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177115"><span style="font-size: 22px;"><strong>AI重塑紅隊演練執行模式，DEVCORE指出未來轉變路線</strong></span></a></p> <p>隨著AI技術重塑資安攻防格局，紅隊演練（Red Team Assessment）也正邁向全新的發展階段。臺灣該領域指標性廠商戴夫寇爾（DEVCORE）近日對此提出最新觀察，指出人機協作將打破過往紅隊演練難以規模化的限制，實現更具持續性與深度的防禦體系缺口評估。DEVCORE執行長翁浩正強調，紅隊演練的執行方式正迎來一場深刻的典範轉移，隨著AI技術的介入，紅隊演練的執行方式正在發生根本性的質變。<a href="https://www.ithome.com.tw/news/177115">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177040"><span style="font-size: 22px;"><strong>Meta首設資料長，強化AI時代資料分析治理</strong></span></a></p> <p>隨著AI時代的資料分析與治理日益重要，有科技公司任命專職的主管受到關注。根據科技媒體Axios報導，Meta已任命現任行銷長Alex Schultz為該公司首任資料長（Chief Data Officer，CDO）。Schultz隨後也在LinkedIn證實，未來將負責協助Meta建立適合AI時代的資料分析與決策架構，隨著AI快速發展，他愈來愈確信資料、研究與實驗已成為企業最重要的策略能力。這項人事調整，反映資料分析與資料基礎設施已成為Meta推動AI策略的關鍵能力。<a href="https://www.ithome.com.tw/news/177040">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177105"><span style="font-size: 22px;"><strong>為維護程式碼品質與開源治理，開源遊戲引擎Godot禁止AI代理提交程式碼</strong></span></a></p> <p>開源遊戲引擎Godot近日更新程式碼的貢獻規範，開始禁止使用自主AI代理（Autonomous AI Agent）提交程式碼，並禁止利用AI產生大段程式碼投稿，同時要求開發者若使用AI輔助撰寫程式碼必須主動揭露。這項要求源自生成式AI與AI代理工具的廣泛運用，造成了開源專案收到愈來愈多AI生成的程式碼拉取請求（Pull Request，PR），導致維護者審查負擔增加，也引發程式碼品質、責任歸屬及開源治理等問題。<a href="https://www.ithome.com.tw/news/177105">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177095"><span style="font-size: 22px;"><strong>Microsoft Teams加強控管外部機器人，經會議組織者確認後才放行</strong></span></a></p> <p>隨著AI會議助理、轉錄與筆記工具普及，企業線上會議也開始面臨「非人類與會者」的控管問題。微軟於6月29日宣布，Microsoft Teams推出新的外部機器人管理政策，當外部機器人嘗試加入會議時，須由會議組織者批准加入。微軟在Teams系統管理中心新增名為「Manage external bots and their access to meetings」的政策，這項功能預設為開啟；當Teams偵測到外部機器人嘗試加入會議時，會先將其留在會議大廳，經會議組織者核准後才能加入。<a href="https://www.ithome.com.tw/news/177095">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177099"><span style="font-size: 22px;"><strong>因應企業資安監控資料量持續成長，AWS為Amazon OpenSearch Service新增日誌分析引擎</strong></span></a></p> <p>7月1日AWS宣布，旗下託管式搜尋與分析服務Amazon OpenSearch Service新增專為日誌分析設計的最佳化引擎，協助企業降低大量日誌資料的分析與儲存成本。這項新功能的目標，是為了因應企業可觀測性需求，以及安全監控資料量持續成長所帶來的壓力，改善大量日誌資料的攝取、查詢與儲存效率，新引擎的價格效能比最高可提升4倍，資料攝取吞吐量與分析查詢速度最高可提升2倍；透過欄式儲存，企業最多可降低70%的儲存空間需求。<a href="https://www.ithome.com.tw/news/177099">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176989"><span style="font-size: 22px;"><strong>Nakivo發布Backup & Replication 11，新增支援VMware vSphere 9與Proxmox VE 9平臺</strong></span></a></p> <p>資料保護軟體廠商Nakivo於上半年接連發布Backup & Replication 11.2版與11.2.1版，擴展對於最新虛擬化平臺的備份保護支援，並提升管理與通知機制的安全性。其中11.2版最重要的改進，便是新增完整支援VMware vSphere 9.0、Proxmox VE 9.0等兩款虛擬化平臺，在6月初發布的11.2.1版中，又提供完整支援Proxmox VE 9.1的能力。本次改版亦大幅擴展其Oracle RMAN備份機制的支援環境，以及增加基礎設施部署環境的裝置支援。<a href="https://www.ithome.com.tw/news/176989">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/176997"><span style="font-size: 22px;"><strong>新版MCP導入無狀態核心等重大更新，Akamai提醒留意實作層面的安全影響</strong></span></a></p> <p>用於連接AI代理、外部工具與資料來源的開放協定Model Context Protocol（MCP），預計於7月28日正式發布2026-07-28版規格。根據MCP官方於5月21日公布的Release Candidate，新版導入無狀態核心（Stateless Core）、Tasks擴充功能、MCP Apps及新版授權要求，以支援長時間工作、跨系統整合及雲端原生部署情境。改採無狀態核心後，協定層不再維護連線階段（Session），讓MCP更容易部署於負載平衡、代理伺服器與雲端原生環境。<a href="https://www.ithome.com.tw/news/176997">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/176971"><span style="font-size: 22px;"><strong>美國FCC強化海底電纜管理，新規納入終端設備並加速安全審查</strong></span></a></p> <p>美國聯邦通訊委員會（FCC）於6月25日通過新版海底通訊電纜管理規則，新增海底線路終端設備（SLTE）掌管者與營運者許可要求，並調整海底電纜申請案審查機制。FCC表示，新措施目的在於為符合高安全標準的業者提供快速審理流程，同時強化國家安全，簡化並加速海底電纜基礎設施的部署，以因應AI運算與連網需求成長。FCC也更新海底電纜安全防護要求，將關鍵設備與第三方服務供應商等可能影響系統安全的環節納入管理。<a href="https://www.ithome.com.tw/news/176971">詳全文</a> </p> </div></div></div>
7/7 15:07作者周峻佑https://www.ithome.com.tw/news/177142
駭客鎖定歐亞飯店展開網釣攻擊，濫用Calendly與Google轉址植入TonRAT後門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.microsoft.com/en-us/security/blog/2026/06/25/photo-zip-campaign-targeting-hospitality-industry-delivers-node-js-implant-persistent-access/" target="_blank">微軟威脅情報（Microsoft Threat Intelligence）團隊近日揭露</a>，駭客自今年4月起，持續針對歐洲及亞洲飯店業者發動網釣攻擊行動，目標是在受害電腦上部署以Node.js執行的TonRAT後門，以建立持久化的遠端控制權限。</p> <p>根據微軟的調查，駭客主要濫用知名預約平臺Calendly的郵件通知系統及Google的網址轉址功能，發送大量偽裝成「客人投訴」、「床蝨通報」、「住宿評價請求」等主題的釣魚郵件。寄件者顯示名稱為「Booking Manager (via Calendly)」，刻意營造與訂房、預約流程相關的日常情境，以降低飯店從業人員的警覺心。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0707-Photo%20ZIP%20campaign%20targeting%20hospitality%20industry.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源/微軟</span></span></p> <p>這些郵件通過了SPF、DKIM及DMARC等郵件身分驗證機制，內含一個顯示可說明詳細內容的連結。然而，該連結實際上並非導向投訴或評價表單，而是經由Calendly的「連結安全檢查」功能所包裝的跳板，點擊後會依序經過Calendly、Google轉址服務等多層跳轉，最終將使用者引導至駭客架設的釣魚頁面，下載偽裝成照片檔案的惡意壓縮檔。</p> <p>一旦使用者下載並執行壓縮檔中的惡意捷徑，攻擊鏈便正式啟動。該捷徑會觸發經過高度混淆的PowerShell程式碼，解碼後從遠端下載更多惡意元件，最終在受害者電腦中植入TonRAT後門程式，建立長期的遠端控制權限。</p> <p>這套後門具備高度韌性，駭客透過雙重登錄檔開機啟動機制，確保惡意程式即使遭防毒軟體刪除，仍能自動復活。微軟實際驗證發現，即便防毒軟體成功阻擋了其中一個惡意元件，殘存的後門約兩天後就會重新啟動，並恢復與駭客伺服器的通訊。受感染電腦除了會持續連結駭客伺服器，部分裝置還出現強制關機等異常行為，推測駭客可能正為下一階段的攻擊預作準備。</p> <p>微軟表示，這波攻擊的目標非常明確，鎖定的是飯店與旅宿業，受害範圍集中在歐洲與亞洲地區。從微軟揭露的資料來看，駭客所瞄準的受害者的電腦名稱經常出現 Reception（接待）、Frontdesk（前臺）、Reservations（訂房）等與飯店營運直接相關的關鍵字，且這些詞彙橫跨法文、波蘭文及捷克文等多種語言，顯示攻擊者鎖定不同國家的飯店前臺、訂房與接待人員，而非單一市場或特定飯店。</p> <p>目前微軟尚未將這波攻擊歸因於任何已知駭客組織，也尚未確認攻擊者的最終目的。不過，從攻擊者持續強化混淆技術、建立雙重持久化機制，並讓受害裝置持續與C2伺服器通訊來看，微軟研判，攻擊者可能正為後續行動預作準備。</p> <p>微軟提醒，飯店與旅宿業者應提高對客訴、訂房詢問等電子郵件的警覺，避免開啟來源不明的附件或連結，並加強前臺電腦的安全監控。</p> </div></div></div>
7/7 16:33作者陳曉莉https://www.ithome.com.tw/news/177145
惡意軟體框架Avalon以AI打造而成，結合竊資軟體與勒索軟體能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>駭客借助AI開發惡意程式的情況越來越常見，不過，多半是生成後門、勒索軟體、竊資軟體等特定型態的惡意程式，如今有資安公司發現，有人開始用來打造功能複雜、多元的惡意程式框架，並用於實際攻擊活動。</p> <p>資安公司Blackpoint發現<strong><a href="https://blackpointcyber.com/blog/avalons-path-from-legal-lure-to-crownx-ransom-capabilities/">名為Avalon的模組化惡意程式框架</a></strong>，攻擊者主要透過多階段網路釣魚攻擊鏈接觸受害者，然後利用該框架竊取憑證、橫向移動、破壞備份資料，並以CrownX的勒索軟體元件加密檔案。Avalon引起Blackpoint注意的地方，在於他們找到AI輔助開發的證據，因為駭客並未具備營運安全的知識，卻能把多種複雜的惡意程式整合在一起，顯示過去需要高度專業技能才能打造的多功能框架，如今能被快速產出，大幅降低了攻擊者開發高階工具的門檻。</p> </div></div></div>
7/7 17:09作者周峻佑https://www.ithome.com.tw/news/177146