iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 21篇
近 24 小時: 21篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/6 21:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

HTTP/2伺服器存在流量控制漏洞恐引發DoS攻擊，影響Apache Traffic Server、Citrix、F5
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://kb.cert.org/vuls/id/885548" target="_blank">美國電腦緊急應變小組協調中心（CERT/CC）揭露</a>，部分HTTP/2伺服器實作存在流量控制漏洞，未經身分驗證的遠端攻擊者可傳送特製HTTP請求，可能造成記憶體資源耗盡及阻斷服務（Denial of Service，DoS）。受影響對象包括Apache Traffic Server專案、Citrix、F5、Meta、Red Hat、SUSE Linux及Yahoo，多家業者已發布更新或緩解措施。</p> <p>這項漏洞出在伺服器端回應用戶端呼叫傳送資料時，未有效限制緩衝記憶體資源損耗。這讓未經身分驗證的遠端攻擊者一方面發送多道同時請求，下載大檔案，另一方面使用標準的用戶端流量控制參數，像是SETTINGS_INITIAL_WINDOW_SIZE = 0迫使伺服器輸出資料停滯。</p> <p>HTTP/2是支援Multiplexing（多工處理）、標頭壓縮和流量控制機制，常用來規範瀏覽器和伺服器間傳輸的應用層協定。流量控制旨在避免送出接收者承受不了的資料量，它是依據用戶端宣告的流量控制視窗大小來決定傳送的最大資料量。用戶端可故意宣告SETTINGS_INITIAL_WINDOW_SIZE = 0或控制WINDOW_UPDATE訊框（frame）。在某些（如有本漏洞的）HTTP/2實作下，伺服器會持續處理請求，並生成完整的回應，即使它無法傳送出去。結果造成回應資料停留在緩衝記憶體內，每道停滯的資料流（stream）都佔用緩衝，直到連線關閉或發生連線逾時。</p> <p>要濫用這項漏洞時，攻擊者可以開啟多道同時資料流，呼叫大型檔案，促使伺服器緩衝內累積大量回應資料。在一些流量限制較少的環境下，這可能導致記憶體耗盡（OOM）、嚴重分頁置換抖動（swap thrashing）、服務不穩，嚴重時可能導致整臺系統崩潰、無法回應。即使在設定較保守環境下，此類攻擊也會耗盡工作處理程序或連線資源，影響服務可用性。</p> <p>降低此類攻擊風險的措施包括啟動記憶體上限、限制同時資料流，並主動終止連線，可大幅降低阻斷服務風險。</p> <p>這項漏洞由Okta紅隊發現並通報。各家受影響產品、HTTP/2實作及處理方式有所不同，其中Apache Traffic Server對應CVE-2026-59173，F5 BIG-IP對應CVE-2026-59762，Meta則對應CVE-2026-44909。CERT/CC於7月16日發布漏洞公告，使用者應依各廠商公告確認受影響版本、修補程式及必要設定。</p> </div></div></div>
7/20 10:37作者林妍溱https://www.ithome.com.tw/news/177430
中國籌組全球AI治理組織，29國加入
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.mfa.gov.cn/wjbzhd/202607/t20260716_11984399.shtml" target="_blank">中國外交部上周四（7/16）宣布</a>，包括中國、哈薩克、寮國、巴基斯坦、俄羅斯及印尼在內的29國代表在上海簽署協定，成立世界人工智慧合作組織（World Artificial Intelligence Cooperation Organisation，WAICO）。WAICO為獨立的政府間國際組織，總部設於上海，旨在促進AI國際合作及全球治理。</p> <p>中國國家主席習近平隔天在<a href="https://hk.ocmfa.gov.cn/xjpzxzywshd/202607/t20260717_11984704.htm" target="_blank">世界人工智慧大會（WAIC）開幕式上表示</a>，各國應鼓勵AI開源、合作及共享，同時建立法律規範、技術監測、風險預警與緊急應變機制，確保AI處於人類控制之下。他也反對在AI領域泛化國家安全概念，主張發揮聯合國的重要作用，加強各國AI發展策略、治理規則及技術標準的協調，並避免技術落差造成新的不公平。</p> <p>習近平並宣布，未來5年將向開發中國家提供5,000個AI研修名額，面向東協、阿拉伯國家聯盟、非洲聯盟、拉丁美洲和加勒比國家共同體、上海合作組織及金磚國家建立AI應用合作中心，另將把中國的AI氣象預警方案「媽祖」推廣至30國。</p> <p>根據<a href="https://hk.ocmfa.gov.cn/xjpzxzywshd/202607/t20260717_11984707.htm" target="_blank">大會發布的聲明</a>，WAICO是全球首個由多國政府共同成立、專門處理AI合作與治理議題的國際組織，主要協助全球南方國家提升AI創新、應用及治理能力。該組織向所有國家開放，並將與其他國際組織討論合作方式。</p> <p>同一份聲明另提出15項AI發展與治理主張，涵蓋開源生態、資料治理、能源消耗、就業衝擊、模型安全、AI代理人行為邊界，以及安全、產業與倫理標準等議題，並呼籲各國維護AI供應鏈穩定、促進標準互認，以及建立危機管理與緊急應變機制。</p> <p>中國官方並未公布29個創始成員國的完整名單，僅點名哈薩克、寮國、巴基斯坦、俄羅斯及印尼。<a href="https://www.reuters.com/world/asia-pacific/chinas-xi-promotes-chinas-commitment-ai-access-speech-shanghai-conference-2026-07-17/" target="_blank">路透社（Reuters）</a>則補充，白俄羅斯、塞爾維亞、古巴、巴西及委內瑞拉也在創始成員之列。</p> <p>相較之下，美國國務院今年6月在第二屆Pax Silica峰會上推動「AI機會聯合聲明」（<a href="https://www.state.gov/releases/office-of-the-spokesperson/2026/06/outcomes-of-the-second-pax-silica-summit" target="_blank">Joint Statement on AI Opportunity</a>），獲得35國支持，簽署國包括美國、英國、德國、日本、南韓、印度、澳洲、新加坡、以色列、阿拉伯聯合大公國、卡達及哈薩克等國。該聲明主張採取有利AI成長與創新的監管方式，動員民間投資，擴大能源、晶片、算力及人才等AI基礎能力，以及建立可信賴且具韌性的科技供應鏈。</p> <p>路透社分析，WAICO反映中國試圖擴大全球AI治理影響力，並與美國主導的Pax Silica及AI機會聯合聲明形成競爭。報導引用消息來源指出，雙方參與國目前僅有哈薩克重疊，顯示出中美正在提出不同的全球AI發展與治理路線。</p> </div></div></div>
7/20 11:13作者陳曉莉https://www.ithome.com.tw/news/177431
Windows 11 24H2將在10月技術支援到期
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://learn.microsoft.com/en-us/windows/release-health/windows-message-center#4901" target="_blank">微軟上周提醒</a>，Windows 11 24H2及Windows 10 LTSB 2016、Windows 10 IoT Enterprise LTSB 2016的技術支援將在今年10月13日終止，呼籲用戶升級。而Windows Server 2022則將結束主流支援。</p> <p>根據微軟技術支援前90天到期提醒，Windows 11 24H2 Home及Pro版，以及Windows 10 Enterprise LTSB 2016、Windows 10 IoT Enterprise LTSB 2016將在2026年10月13日結束更新。從10月14日起，執行上述版本的Windows裝置將再也無法接獲每月安全及非安全預覽更新。微軟建議執行Windows 11 24H2 Home和Pro版Windows PC的用戶升級到25H2。Windows 11 Enterprise及Education版的裝置，則會享有多一年支援，直到2027年10月12日。</p> <p>針對Windows 10 Enterprise LTSB 2016的用戶，微軟建議升級到Windows 11 LTSC 2024。這些企業PC也可以透過購買延伸安全更新（Extended Security Updates，ESU）的付費服務來延長安全更新。每臺企業Windows PC最多可購買3年ESU，但所費不貲。3年依序收費為61、122及244美元。</p> <p>微軟並提醒，Windows Server 2022將在同一天結束主流支援，並在今年10月接獲最後一次主流支援更新。之後，Server 2022會進入延伸支援，並持續獲得5年安全更新，直到2031年10月14日。</p> </div></div></div>
7/20 09:36作者林妍溱https://www.ithome.com.tw/news/177426
WordPress核心存在遠端程式碼執行漏洞wp2shell
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>7月17日WordPress開發團隊<strong><a href="https://wordpress.org/news/2026/07/wordpress-7-0-2-release/">發布安全更新</a></strong>7.0.2、6.9.5、6.8.6版，以及測試版本7.1 beta2，一共修補兩個漏洞CVE-2026-63030與CVE-2026-60137，並呼籲網站管理員要立即套用因應。其中<strong><a href="https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-ff9f-jf42-662q">被評為重大等級</a></strong>的CVE-2026-63030特別值得留意，此問題存在於REST API，結合了Batch-route混淆，以及SQL注入的弱點，攻擊者能用於遠端程式碼執行（RCE）。</p> <p>CVE-2026-63030影響6.9.0以上版本WordPress，<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-63030">CVSS風險評分達到9.8分</a></strong>。<strong><a href="https://slcyber.io/research-center/wp2shell-pre-authentication-rce-in-wordpress-core/">通報此事的資安公司Searchlight Cyber指出</a></strong>，該弱點存在於WordPress的核心，為預先身分驗證的RCE漏洞，攻擊者利用不需搭配其他條件，只需透過WordPress的匿名使用者進行利用，由於全球有超過5億的網站採用WordPress架設，加上該問題相當嚴重，影響將可能極為廣泛，為了讓防守方有時間修補，Searchlight Cyber表明暫時不會公布細節，並建立網站（<strong><a href="https://wp2shell.com/">https://wp2shell.com/</a></strong>）讓管理員確認自己的網站是否受到影響，該公司將此漏洞命名為wp2shell。</p> <p>若是管理員暫時無法更新網站，Searchlight Cyber也提出替代緩解措施，藉由封鎖匿名用戶存取批次API來達到目的，不過該公司提醒，這些方法有可能會影響網站的正常運作。對此，其他資安公司也提出看法與因應對策：<strong><a href="https://www.rapid7.com/blog/post/etr-cve-2026-63030-wp2shell-a-critical-remote-code-execution-vulnerability-in-wordpress-core">Rapid7認為</a></strong>，由於AI加速漏洞公布的速度，加上WordPress的原始碼公開，wp2shell的概念驗證程式碼（PoC）很快就會出現；<strong><a href="https://blog.cloudflare.com/wordpress-vulnerabilities/">Cloudflare宣布</a></strong>，他們的網頁應用程式防火牆（WAF）已加入相關規則，為免費和付費用戶提供保護。</p> </div></div></div>
7/20 09:38作者周峻佑https://www.ithome.com.tw/news/177424
NotebookLM改名Gemini Notebook，整合進Gemini App和Google搜尋中
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://blog.google/innovation-and-ai/products/gemini-notebook/notebooklm-gemini-notebook/" target="_blank">Google宣布</a>受歡迎的NotebookLM將更名為Gemini Notebook，除了作為獨立應用程式，也將整合進Gemini App和Google搜尋中，方便跨App同步和存取筆記。</p> <p>NotebookLM自Google I/O 2023年以Project Tailwind公布，迄今已有3,000萬人及60多萬企業組織用戶，以文字筆記生成podcast或簡報影片。</p> <p>上周NotebookLM改名為Gemini Notebook後仍然提供獨立App，但也將整合進Google服務，如Gemini App及Google Search作為研究工具，並提供新的研究功能。<a href="https://www.ithome.com.tw/news/176474" target="_blank">Google本月稍早為NotebookLM加入</a>代理人研究及進階推理能力。每個筆記本都配備「雲端電腦」，使NotebookLM可撰寫和執行程式碼，可進行深度研究和複雜分析，系統還提供100多項軟體技能，能更深入理解筆記本來源，而且新增多項輸出格式，涵蓋PDF、docx、Markdown和文字檔。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0720-gemini%20notebook-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源/Google</span></span></p> <p>即日起，這些功能將提供給付費用戶。其中，Google AI Ultra用戶以及具備AI Ultra Access及AI Expanded Access的Workspace企業用戶將可獲得Gemini Notebook。未來幾周這些功能將透過Web部署到所有Pro用戶。</p> <p>而隨著Gemini Notebook進一步整合進Google服務，使用者現在可以直接在Gemini App中存取或建立筆記，跨Gemini App和Gemini Notebook獨立App同步筆記。Google並預告，很快也會將Gemini Notebook功能整合進Google搜尋的AI Mode中。</p> </div></div></div>
7/20 09:52作者林妍溱https://www.ithome.com.tw/news/177428
OpenSSL存在DDoS漏洞HollowByte，攻擊者可利用11位元組酬載癱瘓運作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>6月9日OpenSSL開發團隊<strong><a href="https://www.ithome.com.tw/news/176538">發布4.0.1版</a></strong>，修補並公布18個資安漏洞，其中的高風險漏洞CVE-2026-45447研究人員借助AI工具Anthropic Claude發現，而成為本次OpenSSL更新的一大亮點，不過最近有資安公司指出，開發團隊實際上在這次更新當中，默默地改版修補了一個未登記CVE編號的漏洞，若不處理，攻擊者可讓OpenSSL停止運作。</p> <p>身分驗證解決方案廠商Okta於7月16日<strong><a href="https://sec.okta.com/articles/2026/06/openssl-hollowbtye-a-dos-hiding-in-11-bytes/">揭露名為HollowByte的漏洞</a></strong>，未經身分驗證的攻擊者只需遠端傳送11個位元組的惡意封包，可迫使OpenSSL伺服器在完成任何安全交握前，配置遠超乎比例的記憶體空間，最終有可能耗盡記憶體造成阻斷服務的現象。由於OpenSSL被廣泛內嵌於各類軟體，涵蓋網頁伺服器、程式語言執行環境與資料庫系統，此漏洞的影響範圍將會極為廣泛。儘管OpenSSL開發團隊將此弱點視為臭蟲（bug）處理，並未登記CVE編號，也沒有公布CVSS風險評分，然而他們不僅在4.0.1版進行修補，也將相關程式碼移植到3.6.3、3.5.7、3.4.6，以及3.0.21等版本。對此，Okta呼籲用戶應儘速升級新版OpenSSL因應。</p> <p>針對HollowByte能占用大量記憶體的情況，Okta也進行測試，他們使用尚未修補的OpenSSL執行個體並執行Nginx，結果發現，在配置1 GB記憶體的伺服器上，觸發漏洞可導致547 MB碎片化的記憶體被凍結，然後造成主機出現記憶體不足（OOM）及服務終止；若是在配置16 GB記憶體的伺服器上，漏洞攻擊竟能將其中25%記憶體鎖住，由於過程裡連線數並未達到上限，使得一般防禦DDoS的措施無法阻擋HollowByte。</p> </div></div></div>
7/20 10:00作者周峻佑https://www.ithome.com.tw/news/177425
勒索軟體Inc利用SonicWall設備零時差漏洞入侵受害組織
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>7月14日SonicWall<strong><a href="https://www.ithome.com.tw/news/177329">發布資安公告</a></strong>，SMA1000防火牆設備存在資安漏洞CVE-2026-15409、CVE-2026-15410，其中CVE-2026-15409的CVSS風險達到滿分10分特別危險，而且兩個漏洞都被用於實際的攻擊活動。<strong><a href="https://www.rapid7.com/blog/post/etr-rapid7-mdr-team-discovers-new-sonicwall-sma1000-zero-days-being-actively-exploited-cve-2026-15409-cve-2026-15410/">隔天資安公司Rapid7表示</a></strong>，他們在SonicWall揭露上述資訊之前，就偵測到相關活動。</p> <p>Rapid7觀察到攻擊者將SonicWall防火牆設備當作隱匿的初期入侵管道，先繞過輸入驗證機制在作業系統層級執行指令，取得立足點後便系統性地竊取高價值憑證、活躍的連線階段及多因素驗證設定，以確保即使受害組織進行一般網路層級的補救措施，仍能維持長期存取。</p> <p>隨後，攻擊者利用竊得的資源展開橫向移動，直接從受駭設備的內部IP位址，對核心網域控制器發起異常AD身分驗證活動，使用不在公司資產清冊的主機名稱，並在設備內建的LDAP服務帳號身分執行後續活動。雖然Rapid7並未直接透露攻擊者身分，不過<strong><a href="https://www.darkreading.com/vulnerabilities-threats/inc-ransomware-exploits-sonicwall-sma-zero-days">根據資安新聞網站DarkReading指出</a></strong>，上述調查報告發布兩天後，Rapid7認定攻擊者的身分與勒索軟體Inc有關。Rapid7事件應變主管Brett Deroche透露，該公司已成功阻止大部分的檔案加密與資料外洩，但他們確認有一家受害組織被成功部署勒索軟體。</p> <p>針對CVE-2026-15409、CVE-2026-15410兩個漏洞，Rapid7也說明更多細節。該公司指出，問題主要出現在SMA1000特定的Websocket代理伺服器功能，兩項漏洞可串連使用，攻擊者可先利用CVE-2026-15409建立通道，再利用CVE-2026-15410提升為root權限。</p> </div></div></div>
7/20 08:46作者周峻佑https://www.ithome.com.tw/news/177422
彙整、強化與擴展旗下多種資安產品線，Sophos打造AI原生網路安全防禦系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p style="margin-left:.05pt;">AI帶來更多商機，也大幅驅動網路威脅與防護領域的發展，針對強化AI安全（Security for AI）與AI強化資安（AI for Security）這兩大應用趨勢，以及具備強大資安攻防能力的頂尖AI模型快速崛起，為了滿足熱烈的市場期待與需求，當前的資安廠商必須設法發展更專業的產品或服務，這幾年以來，紛紛推出主打AI防禦的解決方案。</p> <p style="margin-left:.05pt;">例如，前年3月登場的<a href="https://blog.cloudflare.com/firewall-for-ai/"><strong>Cloudflare Firewall for AI</strong></a>、4月推出的<strong><a href="https://www.sentinelone.com/blog/transforming-the-soc-with-purple-ai/">SentinelOne Purple AI</a></strong>；去年1月中發表的<a href="https://newsroom.cisco.com/c/r/newsroom/en/us/a/y2025/m01/cisco-unveils-ai-defense-to-secure-the-ai-transformation-of-enterprises.html"><strong>Cisco AI Defense</strong></a>，4月<a href="https://www.fortinet.com/tw/corporate/about-us/newsroom/press-releases/2025/fortinet-expands-fortiai-across-its-security-fabric-platform"><strong>Fortinet</strong><strong>宣布的</strong><strong>FortiAI-Protect</strong><strong>與</strong><strong>FortiAI-SecureAI</strong></a>，以及IBM發表的<strong><a href="https://newsroom.ibm.com/2025-04-28-ibm-delivers-autonomous-security-operations-with-cutting-edge-agentic-ai">Autonomous Threat Operations Machine</a></strong>，年底正式上線的<a href="https://www.crowdstrike.com/en-us/press-releases/crowdstrike-announces-general-availability-of-falcon-ai-detection-and-response/"><strong>CrowdStrike Falcon AI Detection and Response</strong></a>；今年3月推出的<a href="https://blog.cloudflare.com/zh-tw/ai-security-for-apps-ga/"><strong>Cloudflare AI Security for Apps</strong></a>、<a href="https://www.checkpoint.com/press-releases/check-point-launches-ai-defense-plane-to-secure-the-agentic-enterprise-at-scale/"><strong>Check Point AI Defense Plan</strong>e</a>，4月中揭露的<a href="https://www.paloaltonetworks.com/blog/2026/04/introducing-unit-42-frontier-ai-defense/"><strong>Palo Alto Networks Unit 42 Frontier AI Defense</strong></a>，5月底登場的<a href="https://cloud.google.com/blog/products/identity-security/introducing-google-ai-threat-defense"><strong>Google AI Threat Defense</strong></a>。</p> <p style="margin-left:.05pt;">7月中，旗下擁有多種資安產品與服務的Sophos終於也跟進這樣的解決方案供應策略，發表名為Sophos Fusion的AI原生網路安全防禦系統（AI-native Cybersecurity Defense System），主要目的在於針對AI時代的資安威脅而設計，提供協同一致的防禦與回應能力。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/Sophos AI Native Defensive System2.jpg"><img alt="" src="/sites/default/files/images/Sophos%20AI%20Native%20Defensive%20System2.jpg" style="width: 600px;" /></a></p> <h3 style="margin-left: 0.05pt;"><span style="color:#0000FF;"><strong>奠基於既有資安產品與服務的防護功能長期演進，以代理式AI資安防護系統迎戰AI驅動的資安威脅</strong></span></h3> <p style="margin-left:.05pt;">首先，Sophos在此所強調的網路安全防禦系統，是指提供單一、開放的系統，促使Sophos與第三方的控制點（control point）、代理式AI、人類專家攜手協作，能如同單一個體般運行。</p> <p style="margin-left:.05pt;">這套系統架構包含Sophos原生建立的核心控制點，納入超過500種橫跨Sophos與第三方系統的整合支援，提供強大的串聯、狀態透視與統一調度指揮能力。而且，來自每個控制點的所有訊號，都會即時匯入同一個資料層。因此，整個系統能掌握任何單一組件所感知的狀況。</p> <p style="margin-left:.05pt;">舉凡端點裝置、防火牆、電子郵件、雲端服務、網路、身分工具，均能即時將來自所有控制點的每一項訊號（遙測資料）送入共享資料層，如此可避免不同資安防護系統產生多個資料孤島，也不會因為各種資料的匯聚而導致處理延遲的狀況，Sophos將此項特色稱為統一的脈絡湖（unified context lake），依此建立完整且一致的資安脈絡，使整個系統都能掌握個別系統識別的狀況。</p> <p style="margin-left:.05pt;">同時，Sophos Fusion也搭配Sophos發展已久的<strong><a href="https://www.sophos.com/en-us/blog/synchronized-security-and-security-heartbeat-elevating-cyber-defenses-automatically">「同步安全（Synchronized Security）」</a></strong>負責協調各層級的應變措施，由於資安資料已實現共享，可透過這個連接多方的樞紐，將共享的洞察分析資訊轉化為協調、一致的應變機制，當其中一個控制點偵測到異常或資安威脅時，其他控制點可在同一瞬間觸發協調行動，同步採取協同防禦，即時共同應對攻擊，例如，端點防護系統如果偵測到網路威脅活動，可觸發防火牆的協同因應；遭冒用的身分一旦被系統察覺，其對於整個環境的存取將會鎖定；若接收到可疑的電子郵件，所有其他區域的詳細檢查層級將會提升。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/Sophos AI Native Defensive System4.jpg"><img alt="" src="/sites/default/files/images/Sophos%20AI%20Native%20Defensive%20System4.jpg" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">基於上述組成架構，Sophos Fusion不再只是個別平臺或產品套裝，而是一套防禦系統，可針對代理式AI時代的資安防護需求，提供統一而全面涵蓋不同層面的網路韌性。Sophos表示，企業只需購買一或多款Sophos產品或服務，便已融入Sophos Fusion，而且每新增一款產品，都會進一步啟用更多功能。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/Sophos AI Native Defensive System1.jpg"><img alt="" src="/sites/default/files/images/Sophos%20AI%20Native%20Defensive%20System1.jpg" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">至於AI原生，是指AI內建於Sophos Fusion，融合代理式AI的快速處理與人類專家的專業判斷力，這並非只是在既有工具附加功能，而是運用嵌入Sophos Fusion的原生代理式AI功能Fusion AI，在人類專家設定與持續校準的邊界條件內，以機器等級的速度執行偵測、調查、應變等工作，並且由對結果負責的人員進行監督。此外，廣泛的AI模型已整合至Sophos長期發展的各式資安方案，能透過即時彙整的威脅情報持續提升防護能力。基於這樣的搭配，對於動作比防禦者反應速度更快的AI驅動威脅，Sophos Fusion能夠為企業提供強大的防護能力。</p> <p style="margin-left:.05pt;">具體而言，Sophos Fusion整合哪些資安解決方案？當中預計將涵蓋端點防護系統、端點偵測與應變系統（EDR）、擴展式偵測與應變系統（XDR）、新世代安全資訊與事件管理系統（Next-Gen SIEM）、身分識別威脅偵測與回應（ITDR）、代管式偵測與應變服務（MDR）、網路安全系統、電子郵件安全系統、雲端安全服務，以及資安顧問服務，而成為單一資安防禦系統。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/Sophos Fusion Porfolio.png"><img alt="" src="/sites/default/files/images/Sophos%20Fusion%20Porfolio.png" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">根據該公司展示的資安防護處理流程，Sophos Fusion協調的資安解決方案，不僅納入自家的郵件防護系統Sophos Email、端點防護系統Sophos Endpoint、網路防火牆系統Sophos Firewall，也包括雲端資安服務<strong><a href="https://docs.sophos.com/central/customer/help/en-us/ManageYourProducts/ThreatAnalysisCenter/Integrations/Microsoft365/MSGraphSecurityV2/MSGraphV2Setup/index.html">Microsoft Graph Security API</a></strong>與<strong><a href="https://docs.sophos.com/central/customer/help/en-us/ManageYourProducts/MDR/MDRBestPractices/BestPracticeEntra/index.html">Microsoft Entra ID</a></strong>，以及網路防火牆系統<strong><a href="https://docs.sophos.com/central/customer/help/en-us/ManageYourProducts/ThreatAnalysisCenter/Integrations/Fortinet/index.html">Fortinet Firewall</a></strong>。而在<strong><a href="https://www.sophos.com/en-us/products/sophos-fusion">Sophos Fusion說明網頁的常見問答集</a></strong>，也提到Sophos Fusion能深度整合Microsoft 365各種授權方案，無論企業採用商務基本版、商務標準版或企業級的E5，也能提升其防禦能力。</p> <p style="margin-left:.05pt;"> </p><div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/UrokOw38HAg?si=T0uQ6Vuw19-92PVz" title="YouTube video player" width="560px"></iframe></div> <p style="margin-left:.05pt;">在推出Sophos Fusion之前，Sophos已向外界證明自家資安系統充分具備高效率與高擴充性。Sophos產品與行銷總裁<a href="https://www.sophos.com/en-us/blog/sophos-fusion"><strong>Raja Patel</strong><strong>表示</strong></a>，以代管式偵測與應變系統<a href="https://www.sophos.com/en-us/services/managed-detection-and-response"><strong>Sophos MDR</strong></a>為例，目前提供全球最大規模的代理式AI資安維運中心，<strong><a href="https://www.sophos.com/en-us/press/press-releases/2026/05/sophos-agentic-soc-compresses-threat-response-to-89-seconds">服務超過4萬家客戶</a>，</strong>已擴展至持續運作的AI驅動威脅獵捕，並且由威脅研究團隊Sophos X-Ops提供支援，也能在端點、防火牆、電子郵件及身分識別等領域，實施更廣泛的雙向應變機制，從而在資安威脅擾亂業務之前，能夠將其消除，同時，企業也不需要為此自行建置資安維運中心。</p> <p style="margin-left:.05pt;">在這樣的代管服務之下，Sophos表示，企業發生的資安事件當中，有52%可完全交由AI解決，代理式AI能驅動這些案件的工作流程，從警示發布到啟動完全自動化應變處理，僅需要89秒，由AI執行自動阻止異常存取，負責處理大量資安事件的工作；至於剩下的48%，則交由人類資安分析專家負責判斷，由他們確認是否存在攻擊意圖。</p> <p style="margin-left:.05pt;">另一個例子是<a href="https://www.sophos.com/en-us/products/endpoint-security"><strong>Sophos Endpoint</strong></a>，Raja Patel表示，這套端點防護系統採用<strong><a href="https://www.sophos.com/en-us/blog/ai-zero-days-sophos-endpoint">根據行為判斷的設計方式</a></strong>，能阻擋所有類型的攻擊，像是記憶體濫用、資料加密、資料外洩或其他由人類或<strong><a href="https://www.sophos.com/en-us/blog/sophos-endpoint-mythos-ai">AI使用的攻擊手法</a></strong>。</p> <p style="margin-left:.05pt;">關於Sophos Fusion本身的發展脈絡，Sophos執行長Joe Levy透露，這套系統的起步，是<a href="https://www.sophos.com/en-us/blog/sophos-central-turns-ten"><strong>2013</strong><strong>年推出的</strong></a>雲端統一管理主控臺Sophos Cloud，為一小群客戶提供端點防護，後續於<a href="https://www.globenewswire.com/news-release/2016/08/23/1052350/0/en/Sophos-Expands-Sophos-Central-Cloud-Based-Management-Platform-With-Sophos-Email.html"><strong>2016</strong><strong>年發展</strong></a>成Sophos Central，成為數十萬家企業每天使用與依賴的資安管理介面；<a href="https://www.sophos.com/en-us/press/press-releases/2025/02/sophos-completes-secureworks-acquisition"><strong>2025</strong><strong>年</strong></a>Sophos完成Secureworks併購後，採用單一、開放架構重新打造，並整合MDR平臺採用的<a href="https://docs.taegis.secureworks.com/at_a_glance/"><strong>Secureworks Taegis XDR</strong></a>的安全分析能力，同時將介面與工作流程進行徹底改良，新增數千個偵測器與嶄新的分析人員協作體驗，而且，也內建<a href="https://www.sophos.com/en-us/press/press-releases/2021/08/sophos-acquires-refactr"><strong>資安調度自動化與應變（</strong><strong>SOAR</strong><strong>）處理機制</strong></a>，以更少的人工操作，實現更快速、更精確的威脅偵測與應變能力，使Sophos Fusion能以十年前幾乎無法想像的方式，實現融合AI與人類並肩合作的優勢。</p> <p style="margin-left:.05pt;">Sophos Fusion的推出，也標誌著Sophos對Secureworks整合工作的完成，將併購的全部價值帶給合作夥伴與客戶。Joe Levy強調，併購Secureworks並非為了在產品線再添一項產品，而是為了將兩家廠商與各自架構融合為一體，將Secureworks對於不同階段的深度分析能力，與Sophos Central的廣泛覆蓋範圍融合成一個系統，而非單純拼湊兩款產品。</p> <h3 style="margin-left: 0.05pt;"><span style="color:#0000FF;"><strong>預告Sophos Fusion推出多種新功能，陸續於8月15日與10月上市</strong></span></h3> <p style="margin-left:.05pt;">Sophos Fusion這套防禦系統雖然於7月中發表，但實際推出時程區分為兩個階段，第一個時間點落在8月15日，他們將強化與擴展兩個既有的資安解決方案，分別是Sophos MDR，以及Secureworks Taegis資料分析技術支援的Sophos XDR，並發布新的產品<a href="https://www.sophos.com/en-us/products/next-gen-siem"><strong>Sophos Next-Gen SIEM</strong></a>。</p> <p style="margin-left:.05pt;"> </p><div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/X8zihuGMrSs?si=wlLccQJZFERVybpq" title="YouTube video player" width="560px"></iframe></div> <p style="margin-left:.05pt;">針對這套新世代SIEM系統，Sophos預告將基於統一的資料脈絡湖，提供長期資料保存、法規遵循報告產生及分析等功能，重點在於計價方式簡化，根據使用者數量與伺服器數量而非資料量，因此，企業可將所有遙測資料送入SIEM，不需顧慮資料量增加而導致帳單金額難以預測（成本失控），或因資料保存不足而產生管理盲點。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/Sophos AI Native Defensive System3.jpg"><img alt="" src="/sites/default/files/images/Sophos%20AI%20Native%20Defensive%20System3.jpg" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">第二個時間點落在10月，Sophos將推出兩個產品：<a href="https://assets.sophos.com/X24WTUEQ/at/9xz6wbw7m8bmp638mt6/sophos-ai-defense-sb.pdf"><strong>Sophos AI Defense</strong></a>、<a href="https://assets.sophos.com/X24WTUEQ/at/3htx4bbb7swncfwww52cx6/sophos-ciso-advantage-sb.pdf"><strong>Sophos CISO Advantage</strong></a>。</p> <p style="margin-left:.05pt;">基本上，Sophos AI Defense可協助企業全面透視、控制與保護環境中的所有AI工具（包含影子AI），以及這些AI工具能夠存取的資料，8月將開放早期試用。至於Sophos CISO Advantage能為每一家企業提供資安長等級的指引，涵蓋持續地控制驗證、法規遵循的對應、同業基準比較（peer benchmarking），以及符合高階主管要求的風險評估。它將整合Sophos Fusion提供的技術、代理式AI和主動威脅情報，並透過Sophos遍布全球的代管服務業者（MSP）提供值得信賴的人類專家支援。</p> <p><a href="https://www.sophos.com/en-us/blog/from-security-operations-to-security-leadership-sophos-ciso-advantage"><strong>Sophos CISO Advantage的推出</strong></a>，其實源自<strong><a href="https://www.sophos.com/en-us/press/press-releases/2026/02/sophos-acquires-arco-cyber">今年2月併購</a></strong>的英國資安風險保障公司<strong><a href="https://arcocyber.com/">Arco Cyber</a></strong>，Sophos表示，透過專為 MSP 模式設計的Sophos CISO Advantage，能將合作夥伴轉為策略資安顧問，對於設置資安長的企業，可藉此提供更有效率、整合的方式，以便管理風險、驗證控制措施，並向董事會彙報進度與清楚呈現資安治理成果；而對於沒有資安長的企業，能提供符合實際環境需求的專業資安領導能力。</p> <p><a href="/sites/default/files/images/Arco Cyber Linked_20In_20Ads-7-Compliance_20Findings_20UI-1.png"><img alt="" src="/sites/default/files/images/Arco%20Cyber%20Linked_20In_20Ads-7-Compliance_20Findings_20UI-1.png" style="width: 298px;" /></a> <a href="/sites/default/files/images/Arco Cyber Findings_20UI_20mockup-4-Targets-1.png"><img alt="" src="/sites/default/files/images/Arco%20Cyber%20Findings_20UI_20mockup-4-Targets-1.png" style="width: 298px;" /></a></p> </div></div></div>
7/19 23:49作者李宗翰https://www.ithome.com.tw/news/177421
1Password替Claude加上受控登入功能，AI代理能登入網站卻看不到密碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>1Password與Anthropic合作推出<strong><a href="https://1password.com/blog/1password-for-claude">1Password for Claude</a></strong>，讓Claude執行瀏覽器任務時，可在使用者授權下登入網站，但密碼與一次性驗證碼不會提供給模型，也不會進入Claude的上下文、記憶或Anthropic系統。憑證仍由1Password保管，只在任務需要時使用。</p> <p>當Claude需要登入網站時，會向1Password提出憑證請求，1Password桌面程式則顯示要求使用的登入項目及用途。使用者核准後，瀏覽器擴充功能會將使用者名稱、密碼或一次性驗證碼直接填入網站。Claude只會取得已核准項目的標題、使用者名稱或電子郵件、項目所記錄的網站等基本資訊，以及操作成功或失敗的狀態，不會取得密碼或一次性驗證碼本身。</p> <p>Claude每次提出憑證請求，都需由使用者核准，核准範圍只限指定的代理工作階段，而開始新的工作階段時，也必須重新授權。憑證只能填入與1Password項目所存網址相符的頁面，而自動填寫及送出期間，Claude會暫停讀取頁面。若送出失敗，1Password會先清除已填入資料，再將結果交回Claude。</p> <p>1Password瀏覽器擴充功能也新增Agentic Mode。當相容的AI代理控制瀏覽器分頁時，1Password擴充功能會隱藏自動填入建議、儲存密碼提示及通知，代理只能使用目前任務已核准的登入資料，不能透過擴充功能接觸密碼庫其他內容。即使未設定Claude整合，這項模式仍會在相容代理接管瀏覽器時啟用。</p> <p>1Password表示，該機制保護的是憑證的儲存、授權、傳送與填入，成功登入後，Claude如何操作網站，仍由代理本身的安全措施負責。</p> <p>1Password for Claude目前已在Mac推出，適用商務、家庭及個人方案，現階段支援使用者名稱、密碼及一次性驗證碼，尚不支援通行密鑰（Passkey）。1Password今年5月也以不同方式支援OpenAI Codex，透過1Password Environments MCP Server，在執行階段將所需機密資料直接提供給執行中的應用程式，內容只在記憶體中短暫存在，不會寫入提示、程式碼、本機檔案、儲存庫或模型上下文。</p> </div></div></div>
7/18 10:51作者李建興https://www.ithome.com.tw/news/177407
針對NPM套件供應鏈攻擊事故，Jscrambler開發團隊公布調查結果
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>7月11日JavaScript程式碼保護工具Jscrambler的NPM套件<strong><a href="https://www.ithome.com.tw/news/177419">遭入侵</a></strong>，本週Jscrambler開發團隊公布這起事故發生的過程，以及他們處理的情形，並透露可能受影響的範圍。</p> <p>Jscrambler於7月16日<a href="https://jscrambler.com/blog/security-incident-postmortem-jscrambler">發布事故檢討報告</a>，指出攻擊者取得了NPM套件的GitHub儲存庫的寫入權限，並透過GitHub Actions工作流程洩露了開發團隊用於發布NPM套件的權杖（token），後續攻擊者濫用此權杖，直接在NPM儲存庫發布竄改後的套件版本。這起事故發生的源頭，是開發團隊其中一臺電腦遭到入侵，該電腦存放了開發者的GitHub SSH金鑰，以及NPM發布憑證。</p> <p>雖然Jscrambler在第一個有問題的套件發布數秒內就偵測到，並立即展開事件回應，但為何他們發布了正常的版本後，卻又出現更多的惡意版本？原因是開發團隊起初是撤銷了可能是攻擊者使用的NPM開發者憑證，但實際上攻擊者使用的卻是從GitHub Actions工作流程取得的憑證，因此在開發團隊發布新版套件之後，攻擊者也發布了新的惡意套件。後續開發團隊確認攻擊者實際使用的權杖並進行註銷，同時採取了額外的控制措施，才讓攻擊者再也無法取得發布新憑證所需的存取權限。</p> <p>針對這起事故影響範圍，Jscrambler表示他們旗下的產品未受影響，客戶資料未受影響。儘管有問題的套件共下載了1,614次，不過Jscrambler認為，大部分可能是資安研究員為了調查本次事件而下載，Jscrambler表示，他們尚未收到客戶受到影響的通報。</p> </div></div></div>
7/17 23:04作者周峻佑https://www.ithome.com.tw/news/177420
NPM套件Jscrambler被入侵，駭客用於散布Rust竊資軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>GitHub在7月8日<strong><a href="https://www.ithome.com.tw/news/177304">正式發布NPM 12大改版</a></strong>，將多項安裝過程過去自動執行的高風險行為改為預設關閉、需明確授權才會執行，目前就是防範近期不斷發生的供應鏈攻擊，然而就在3天後出現新的攻擊活動，若是開發人員尚未升級NPM，就很可能會中招。</p> <p>JavaScript程式碼保護工具Jscrambler的NPM套件<strong><a href="http://socket.dev/blog/jscrambler-supply-chain-attack">於7月11日遭入侵</a></strong>，一旦開發者安裝惡意套件，攻擊者加入的掛鉤（hook）就會引入新的檔案，然後根據受害電腦的作業系統平臺，透過經混淆處理的CSI容器載入Windows、macOS，或Linux專屬的二進位檔案，最終植入Rust竊資軟體。資安公司Socket察覺此事並進行通報，Jscrambler開發團隊<strong><a href="https://jscrambler.com/blog/security-advisory-malicious-npm-package">確認</a></strong>出現未經授權發布的套件。</p> <p>Socket表示，他們在攻擊者首度上傳有問題的8.14.0版的6分鐘後偵測到攻擊，然而對方後續在3小時裡發布4個惡意版本：8.16.0、8.17.0、8.18.0和8.20.0。雖然過程裡Jscrambler開發團隊上傳了沒有問題的8.15.0版，不過Socket建議，開發人員應更新到最新的8.22.0版，並將版本固定因應。假若有開發環境不慎安裝有問題的版本，應進行相關的檢查來防止災害擴大。</p> </div></div></div>
7/17 22:56作者周峻佑https://www.ithome.com.tw/news/177419
Harness工程實戰！Taboola如何打造LLM廣告審查系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>跨國廣告科技業者Taboola專攻廣告投放，每天觸及6億多名使用者。但每則廣告正式投放前，都得先經過內容審查。可是廣告量、語言和投放市場不斷增加，人工審查越來越跟不上，遇到灰色地帶時不只判斷不一致，傳統機器學習（ML）方法也難以因應多模態廣告審查需求。</p> <p>為解決這些痛點，Taboola資料科學團隊採用Harness工程，以5層架構打造出大型語言模型（LLM）廣告審查系統Argus。該系統上線後，不只能審查所有英文廣告，還將原本人工審查的12小時縮短至數分鐘、減少人工審查員75%的工作量；審查一致性也比人工高出13個百分點。「模型是引擎，Harness才是整輛車，」Taboola內容品質資料科學團隊主管Eagle Chen強調。</p> <h2><strong>人工審查耗時又不一致，傳統ML也難以擴展</strong></h2> <p>Eagle Chen解釋，廣告審查雖然可以簡化為分類問題，也就是通過與否。但其實，廣告審核涉及多種模態和元素，比如文字、圖片、連結、投放市場和當地法規等。</p> <p>以減肥廣告為例，該廣告可能包含前後對比照片、寫著「FDA核准」和宣稱效果等文字，也可能包含網站連結。這時，廣告審查員就得判斷內容是否誇大、查證「FDA核准」是否屬實，以及圖片是否涉及名人肖像、是否為真，還有連結點擊後會導向哪個網站等。</p> <p><img alt="" src="/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202026-07-17%20183848.png" /></p> <p>但人工審查有著3大痛點，首先，不同審查員對灰色地帶的判斷可能不同，甚至同一人在不同時間，也可能給出不同答案。再來，廣告主有時要等超過一天才能知道結果，這些等待時間無形中損失了自身利益。最後，不同語言和市場需要不同背景知識，政策每次更新，Taboola就得重新訓練審查人員。</p> <p>Taboola曾用傳統機器學習方法，來解決廣告審查的挑戰。由於一支廣告包含多種模態，團隊得維護好幾套模型，來分別處理文字、影像、語言、廣告類型、地區規則等不同類別的內容判斷，久而久之形成龐大的Model Zoo。</p> <p>再加上審查員的人工標註資料不一致，Taboola沒有乾淨的資料來訓練ML模型。而且，廣告審查政策時常變動，Taboola得花功夫反覆重新訓練模型。這就造成，Model Zoo的模型最後只能審查少部分廣告，難以因應大量廣告審查。</p> <h2><strong>看好LLM，用Harness工程打造廣告審查系統Argus</strong></h2> <p>後來，LLM興起，Taboola決定用來解決廣告審查痛點。</p> <p>這是因為，LLM同一支模型，就可以同時理解文字和圖片等多種模態，也能依需求呼叫工具、動態載入額外背景資訊，團隊不必再為不同任務，各自建立模型。</p> <p>再來，Taboola不一定要先微調模型。就算人工標註資料不夠乾淨，團隊還是可以透過指令（Prompt），要求LLM按照Taboola內容政策進行判斷。當政策變更時，內容政策人員可以直接更新規則和指令，不必等工程團隊重新訓練模型。</p> <p>看上這些好處，Taboola團隊決定用Harness工程方法，來打造這套LLM廣告審查系統Argus。Eagle Chen形容，LLM就像是引擎，Harness是整輛車，是圍繞LLM展開的一切工程架構。在這個概念下，他們將Argus拆分為5大層，包括控制流程（Control Flow）層、上下文層、工具層、記憶層和CI/CD自動化流程層。</p> <h2><strong>參考人工審查分9大階段，還採動態組合式指令</strong></h2> <p>首先，在<strong>控制流程層</strong>，Taboola希望Argus能像人類一樣審查廣告，因此他們對照既有的人工審查流程，為Argus設計一套相對應的9大階段審查流程。</p> <p><img alt="" src="/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202026-07-17%20183041.png" /></p> <p>舉例來說，人工審核第一步是判斷廣告類型和領域，Argus在第一階段（Master）也是先判斷廣告類型、內容領域和適用政策，接著才檢查帳號紀錄、第三階段查證廣告宣稱，再分別審查廣告內容和點擊連結後的登錄頁面（Landing page），最後決定是否通過審查，並產生說明。</p> <p>Eagle Chen強調，這9大階段的每個階段，都會留下紀錄，也能獨立測試、稽核和更換各自的模型，要是出問題，團隊也能追蹤。</p> <p>有了控制流程層，接著是Argus的<strong>上下文層</strong>。這層專門處理Argus接收的指令，這些指令並非寫死，而是根據第一層產出的Master標註，動態組合出每支廣告的專屬指令。</p> <p><img alt="" src="/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202026-07-17%20183254.png" /></p> <p>也就是說，第一層Argus分析廣告類型、內容領域、適用政策和投放市場後，系統會根據各自的標註，從既有的政策資料庫中，挑出真正相關的規則，組成這支廣告專用的指令。這種做法不只更省Token，還能減少無關規則的干擾，提高判斷準確度。</p> <p>再來，在第三層的<strong>工具層</strong>，Argus可以調用工具來查證廣告宣稱的內容，比如減肥藥產品宣稱獲得FDA核准、名人代言或臨床數據等，Argus可以呼叫網頁和圖片搜尋工具來確認真偽。</p> <p><img alt="" src="/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202026-07-17%20183329.png" /></p> <p>Eagle Chen強調，Argus所使用的工具，都是Taboola自行打造，避免被特定LLM廠商捆綁，也保留換模型的彈性。</p> <p>到了第四層的<strong>記憶層</strong>，Taboola希望Argus不只是照政策內容審查廣告，也要會參考過去的審查經驗。所以，他們建立一個簡單的RAG流程，先讓系統擷取待審查的廣告圖片和文字向量，再從歷史資料中找出類似的通過和拒絕案例，放進指令、作為Few-shot範例。</p> <p><img alt="" src="/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202026-07-17%20183408.png" /></p> <p>這就像是每次審查時，把Taboola累積的經驗也交給模型，供模型參考、判斷。尤其遇到灰色地帶時，類似案例可以當做判斷基準，降低LLM這次過於寬鬆、下次又過度嚴格的情況，維持一致性。</p> <h2><strong>指令也是程式碼，也要走CI/CD</strong></h2> <p>Argus的Harness工程架構最後一層是<strong>CI/CD層</strong>，也就是用來評估、維護Argus這套系統的機制。</p> <p>CI/CD層包含2大核心概念，首先是把指令當作程式碼，意思是，指令也要有版本控制，也要經過測試。無論是修改指令、調整流程，還是更換底層模型，都必須經過一系列評測；尤其是控制流程層的9個階段，每個階段都得進行回歸測試，通過Release Gate才能上線。</p> <p><img alt="" src="/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202026-07-17%20183446.png" /></p> <p>這個Release Gate主要檢查3件事：品質、成本和延遲。Eagle Chen特別強調後兩者，因為，指令可能因某次調整而提高整體準確率，但Token使用量卻暴增，導致模型費用和處理時間跟著增加，無法在時間內完成廣告審查。</p> <p>對Taboola來說，CI/CD層還有另一大意義，也就是不再只由工程師負責，而是由內容政策專家主導。他們可以在測試庫中，自行修改指令和政策，調到滿意後再進行一系列評測，必要時也能在Taboola提供的標註平臺，自行建立新的標註資料。</p> <p>同時，Taboola也導入一款LLM-as-a-Judge，讓專家不必標註完所有資料，就能先判斷更動可能帶來的影響，節省標註時間。</p> <h2><strong>Harness工程的好處：可以邊開車邊換引擎</strong></h2> <p>Eagle Chen還分享這套Harness工程設計的好處。就在今年2月，Argus原本使用GPT-4o模型，但當時已有不少新模型問世，於是，Taboola用自己的評測流程來測試OpenAI、Google和其他開源模型，最後決定換成Gemini 3 Flash。</p> <p>換模型後，首月成本雖然降低30%，但領域專家發現，模型在兩個IAB廣告分類時出現過度拒絕的現象。</p> <p>為解決這個問題，團隊將處理IAB分類的模型，改回原本的舊模型，其他階段則繼續使用新模型。接著，他們再請內容政策專家調整規則和指令，重新測試後再上線新模型。</p> <p>Eagle Chen形容，這種換模型作業，就像在F1比賽中替賽車換輪胎。模型更換原本是高風險的更動，但透過Harness架構和CI/CD設計，也能變成可監控、可回退的例行流程。</p> <p>Argus上線後，廣告審查的平均時間不只從12小時縮短到幾分鐘、能處理所有英文廣告，還減少人工審查員75%的工作量。甚至，審查一致性也提高了13個百分點。</p> <p>Taboola還發現一項意料外的效果。Argus審查廣告不通過時，不只會指出哪裡違反政策，還會給出詳細的修改建議給廣告主。Taboola統計發現，與人工審查相比，被Argus拒絕的廣告，重新修改送審的比例高出一倍；最終修改後通過的比例，也提高至1.5倍。</p> <h2><strong>從Harness工程學到的3件事</strong></h2> <p>打造Argus的過程，也讓Taboola學到不少寶貴經驗。</p> <p>Eagle Chen指出，首先，企業可直接參考現有的人工作業流程，來設計LLM系統。這麼做，AI的每個判斷步驟更透明，也更容易追蹤，業務使用者也更願意信任這套系統。</p> <p>第二，Harness架構不該只由工程團隊決定，還要交給領域專家驅動。以Taboola為例，部分資深審查員如今轉為AI導師，負責教Argus如何理解政策、判斷廣告內容。他們的工作，從親自審查每則廣告，轉為協助調整和改善AI系統。</p> <p>最後則是CI/CD的設計，因為它是LLM系統持續迭代和運作的關鍵。無論是修改指令、調整流程，還是更換模型，都要先經過版本控制和測試，確認品質、成本與處理速度沒有問題，才能正式上線。這也是Argus能持續更新，又不至於因為一次改動就影響整套系統的關鍵。</p> <p></p> </div></div></div>
7/17 18:34作者王若樸https://www.ithome.com.tw/news/177409
【資安週報】0713~0717，微軟7月修補逾千個CVE，SharePoint零時差漏洞遭積極利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>本週漏洞攻防持續成為焦點，像是微軟在7月例行更新大舉修補漏洞之外，攻擊者發動零時差漏洞、鎖定近期已知漏洞攻擊的消息不斷傳出，均反映攻防對抗節奏變快；在資安事故方面，日本冷鏈龍頭Nichirei遭駭導致出貨中斷，釀成當地供應鏈風暴，以及Lidl、Accenture等IT供應鏈事故，帶來的影響均不容小覷。</p> <p>網路邊界與身分安全議題同樣不容忽視，多國聯合針對俄羅斯駭客攻擊路由器祭出防禦指引，以及眾多科技大廠正著手布局，因應未來AI代理驗證與代理商務的新興需求。<br /> </p> <h1><strong style="color: rgb(255, 140, 0);">網路安全</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>網路安全本週聚焦俄羅斯駭客鎖定路由器攻擊關鍵基礎設施的威脅，13國資安機構聯手發布防禦指南。在漏洞威脅方面，Fortinet沙箱與SonicWall防火牆的漏洞攻擊活動需優先留意，值得關注的是，思科18年前舊漏洞，也因跨國指南所揭露的威脅而被列入CISA KEV清單。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/177300">英歐聯手制裁俄羅斯駭客組織，13國同步發布路由器防禦指南</a></strong></p> <p><a href="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/0714-ncsc-960.jpg?itok=4zE_VHbD"><img alt="" src="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/0714-ncsc-960.jpg?itok=4zE_VHbD" style="width: 400px; float: right;" /></a></p> <p>去年波蘭能源電網傳遭俄羅斯國家級駭客發動網路攻擊，如今英國NCSC指出該攻擊是俄羅斯聯邦安全局（FSB）旗下Centre 16發動，並聯合12國18個資安機構發布防禦指南，協助關鍵CI營運單位防範俄羅斯情報機構的網路攻擊。英國NCSC表示，FSB Centre 16會持續利用設定不當或具已知漏洞的路由器，鎖定全球能源、金融、政府及醫療等關鍵基礎設施（CI）進行攻擊，呼籲相關單位應立即改用SNMPv3、停用舊版SNMP，並為網路設備設定高強度且唯一的密碼，以及限制管理介面的存取權限，以降低入侵風險。這些執法機關也提及駭客針對思科IOS與IOS XE的平臺，利用的弱點確定有兩個，<a href="https://www.ithome.com.tw/news/177289">分別是CVE-2008-4128與CVE-2018-0171。</a></p> <p><strong><a href="https://www.ithome.com.tw/news/177387">CISA警告Fortinet沙箱平臺重大漏洞遭到利用</a><span style="color: rgb(255, 0, 0);">【CVE-2026-39808、CVE-2026-25089】</span></strong></p> <p>Fortinet先後於4月及6月修補的9.1分漏洞CVE-2026-39808與CVE-2026-25089，影響的產品是Fortinet沙箱系統FortiSandbox，7月16日美國網路安全與基礎設施安全局（CISA）指出，他們已掌握這兩個漏洞遭積極利用的證據，要求聯邦機構必須在7月19日前完成修補。</p> <p><strong><a href="https://www.ithome.com.tw/news/177329">SonicWall修補防火牆已遭利用的滿分漏洞</a><span style="color: rgb(255, 0, 0);">【CVE-2026-15409、CVE-2026-15410】</span></strong></p> <p>SonicWall揭露SMA1000設備部分機種存在兩項漏洞，影響12.4.3-03245至12.5.0-02800等多個版本，CVSS評分達到滿分10分，而且已出現積極利用的漏洞攻擊活動，由於無其他替代緩解措施，該公司呼籲用戶應儘速升級至12.4.3-03453或12.5.0-02835以上版本因應。美國網路安全與基礎設施安全局（CISA）<a href="http://www.ithome.com.tw/news/177332">已將這兩個漏洞列入KEV清單</a>。</p> <p><strong><a href="https://www.ithome.com.tw/news/177281">CISA要求聯邦機構修補思科IOS平臺跨站偽造請求弱點</a><span style="color: rgb(255, 0, 0);">【</span><span style="color: rgb(255, 0, 0);">CVE-2008-4128】</span></strong></p> <p>本週CISA新列入KEV的一項弱點相當特別，因為它是已公布18年的中度風險漏洞。7月13日CISA將思科網路設備作業系統IOS的資安漏洞CVE-2008-4128列入KEV。此弱點存在於12.4版IOS平臺，為跨網站偽造請求（CSRF）類型的漏洞，CVSS風險評為4.3分，為中度風險等級。</p> <p><strong><a href="https://www.ithome.com.tw/news/177279">別等更好的後量子簽章演算法，Cloudflare主張先採用ML-DSA展開PQC轉型</a></strong></p> <p>雖然美國國家標準暨技術研究院（NIST）仍在評估其他後量子數位簽章候選演算法，但網路基礎設施與資安服務業者Cloudflare認為，不應等待更成熟的方案，應先採用目前已完成標準化的模組格基式數位簽章演算法（ML-DSA），展開後量子密碼學（PQC）第一階段部署，待未來其他標準成熟後，再逐步升級。</p> <p><strong><a href="https://www.ithome.com.tw/news/177284">OWASP ModSecurity修補高風險漏洞，未更新可能導致攻擊者藉此繞過防火牆防護</a></strong></p> <p>開源Web應用程式防火牆（WAF）ModSecurity發布3.0.16版，修補兩項安全漏洞，可能導致攻擊者利用特製請求繞過防護規則，削弱網站對惡意流量的攔截能力。其中較嚴重漏洞CVE-2026-52747，CVSS評分達8.6分，影響3.0.15及更早版本，用戶儘速升級至已修補版本，以降低網站遭攻擊風險。</p> <p><strong>■<a href="https://www.ithome.com.tw/news/177204">Ubiquiti修補UniFi OS與多款應用程式漏洞，含7項重大漏洞</a></strong></p> <p><strong>■<a href="https://www.ithome.com.tw/news/177263">Palo Alto修補13項漏洞，含防火牆作業系統的高風險緩衝區溢位問題</a></strong></p> <p><strong>■<a href="https://www.ithome.com.tw/news/177349">博通修補VMware Avi負載平衡系統7個高風險漏洞</a></strong></p> <p><strong>■<a href="https://www.ithome.com.tw/news/177340">Fortinet修補9個產品漏洞，包含可能導致未授權存取的FortiSandbox高風險漏洞</a></strong><br /> </p> <h1><strong style="color: rgb(255, 140, 0);">身分安全</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>身分安全領域正迎向AI代理與無密碼新局勢，首要焦點是AI代理驗證與代理商務的產業標準制定，其次是微軟Entra ID將預設啟用Passkey並淘汰簡訊與語音驗證，以及GPT-5.6要求高權限用戶使用FIDO硬體安全金鑰。威脅方面，需留意濫用OAuth與裝置驗證碼繞過MFA，並結合語音網釣接管帳號的攻擊。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/177321">迎接AI代理商務新局勢！FIDO聯盟啟動Agentic Commerce標準制定，OpenAI亦加入理事會推動AI代理驗證</a></strong></p> <p><a href="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/zhu_tu_fidolian_meng_qi_dong_aidai_li_yan_zheng_yu_shang_wu_shou_quan_biao_zhun_zhi_ding_fidolian_meng_tai_wan_fen_hui_hui_chang_zhang_xin_ling_.jpg?itok=50rV9cpj"><img alt="" src="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/zhu_tu_fidolian_meng_qi_dong_aidai_li_yan_zheng_yu_shang_wu_shou_quan_biao_zhun_zhi_ding_fidolian_meng_tai_wan_fen_hui_hui_chang_zhang_xin_ling_.jpg?itok=50rV9cpj" style="width: 400px; float: right;" /></a></p> <p>隨著市場預期2030年AI代理商務（Agentic Commerce）規模將上看5兆美元，多家科技巨頭正加速相關布局，業界正凝聚這方面的產業共識。FIDO聯盟臺灣分會會長張心玲近日公布最新發展，指出聯盟近期已成立Agentic Authentication技術工作小組與Agentic Payments子工作組，討論AI作為第四方介入交易時的責任歸屬問題，並啟動Agentic Commerce的規格制定。另也提及生成式AI巨頭OpenAI也在今年4月加入FIDO聯盟並取得理事會席次，聚焦推動AI代理驗證。</p> <p><strong><a href="https://www.ithome.com.tw/news/177295">OpenAI的GPT-5.6模型具備更強大的網路安全能力，9月將要求個人用戶啟用硬體安全金鑰</a></strong></p> <p>上週OpenAI最新版GPT-5.6模型開放上線，並要求如欲使用高風險、高權限網路安全功能的個人用戶，應以硬體安全金鑰啟用進階帳戶安全防護（Advanced Account Security）。進階帳號安全用於ChatGPT及Codex服務，在這二項服務下，OpenAI帳號支援以YubiKey等符合FIDO規範的實體安全金鑰產品登入。</p> <p><strong><a href="https://www.ithome.com.tw/news/177362">微軟Entra ID今年9月起預設使用通行金鑰，2027年停止傳送簡訊與語音驗證訊息</a></strong></p> <p>7月13日微軟宣布，身分及存取管理服務Microsoft Entra ID將通行金鑰（Passkey）設為預設驗證方式，自2026年9月1日起，微軟將分階段為各組織啟用這項調整，原本已啟用簡訊或語音驗證的使用者，也會自動啟用通行金鑰功能，並在下次進行多因素驗證時收到註冊提示。</p> <p><strong><a href="https://www.ithome.com.tw/news/177252">語音網釣鎖定Microsoft 365使用者，攻擊者企圖註冊自行控制的通行金鑰</a></strong></p> <p>身分與存取管理業者Okta警告，自2026年4月起，代號O-UNC-066的威脅行為者以語音網釣（vishing）手法鎖定多個產業的企業與組織，致電目標企業員工，謊稱對方需要為Microsoft 365帳號註冊新的通行金鑰（passkey），誘騙受害者交出帳號密碼，並配合完成登入所需的多因素驗證（MFA）。研究人員研判，攻擊者企圖藉此接管帳號，並註冊自行控制的通行金鑰。</p> <p><strong><a href="https://www.ithome.com.tw/news/177213">惡意工具DEBULL濫用Microsoft裝置驗證碼流程，攻擊者可藉此接管受害者Microsoft 365帳號</a></strong></p> <p>資安業者ZeroBEC揭露惡意工具DEBULL濫用Microsoft Device Code裝置授權流程，透過釣魚郵件誘導使用者完成合法登入驗證，藉此取得OAuth權杖並接管Microsoft 365帳號。研究人員認為，這類攻擊已逐漸發展為可重複使用的PhaaS工具鏈，後續可用於商業郵件詐騙與資料竊取。</p> <p><strong><a href="https://www.ithome.com.tw/news/177305">微軟警告ShinyHunters濫用OAuth攻擊SaaS應用程式</a></strong></p> <p>2025年中到2026年中ShinyHunters犯下多波重大攻擊，微軟分析近一年來的攻擊活動，歸納出三項不同於以往的入侵途徑：使用語音釣魚（Vishing）、攻擊受信賴的Salesforce第三方整合應用、濫用未授權的訪客權限（Guest Access）與GraphQL整合。</p> <p><strong><a href="https://www.ithome.com.tw/news/177267">駭客組織Helix透過多種網釣手法鎖定SharePoint竊取資料，以此向企業索討贖金</a></strong></p> <p>上週威脅情報公司ReliaQuest揭露資料勒索團體Helix的攻擊，駭客結合語音網釣（vishing）、裝置驗證碼釣魚（device code phishing），以及自動化SharePoint資料竊取等手法。Helix可能是4月勒索集團BlackFile（UNC6671）分裂後的團體，手法與勒索集團ShinyHunters也有交集。</p> <p><strong><a href="https://www.ithome.com.tw/news/177269">新型釣魚平臺Forg365結合AI技術，鎖定Microsoft 365帳號發動攻擊</a></strong></p> <p>資安業者ZeroBEC揭露新型釣魚即服務（PhaaS）平臺Forg365，透過Telegram平臺提供訂閱服務，鎖定Microsoft 365帳號發動攻擊。Forg365整合AI生成釣魚郵件、Microsoft Device Code裝置驗證碼攻擊及AiTM中間人攻擊等功能，協助攻擊者繞過多因素驗證並接管帳號，顯示釣魚攻擊工具正在加速發展。<br /> </p> <h1><strong style="color: rgb(255, 140, 0);">AI資安</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>用AI加速漏洞發現與修補，微軟與CISA近期動向突顯相關應用正持續深化，而AI風險亦持續受關注，包括Grok Build被揭露私自上傳用戶程式庫，以及將攻擊文字提示藏於圖片的GhostCommit攻擊手法揭露，還有臺灣資安業者強調Agent安全即Runtime安全，提醒代理式AI的防護關鍵。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/177264">微軟坦承AI將讓未來Patch Tuesday的修補數量變多</a></strong></p> <p><a href="/sites/default/files/images/2026-07-17_104221.jpg"><img alt="" src="/sites/default/files/images/2026-07-17_104221.jpg" style="width: 400px; float: right;" /></a></p> <p>自微軟於5月發表MDASH多模型代理式AI安全系統後，微軟在7月9日宣布Windows正擴大利用AI提早找出漏洞，並將AI導入後續修補流程，協助分析錯誤原因、提出候選修補方式、找出其他相似問題及挑選回歸測試，同時預告未來每月例行更新將有更多修補項目。</p> <p><strong><a href="https://www.ithome.com.tw/news/177280">OpenJS公布Node.js資安進展，以AI協助處理暴增的漏洞通報</a></strong></p> <p>OpenJS基金會（OpenJS Foundation）公布2026年第二季資安進展，重點包括Node.js安全更新流程自動化，以及因應AI代理輔助掃描工具帶來的漏洞通報量激增。基金會旗下CVE編號授權機構（CNA）發布的CVE數量，也從2025年下半年的3個增至2026年上半年的49個。</p> <p><strong><a href="https://www.ithome.com.tw/news/177195">CISA據傳使用Mythos掃描政府程式碼庫，找出可能遭濫用的漏洞</a></strong></p> <p>路透社引述3名知情人士報導，美國網路安全與基礎設施安全局（CISA）正在使用AI業者Anthropic的Mythos模型，掃描美國政府程式碼儲存庫，找出可能遭外國情報機構或網路犯罪分子利用的資安漏洞。由CISA攻擊面評估團隊負責這項掃描作業，該團隊主要替美國政府機關執行數位安全評估與模擬駭侵演練，目前正利用Mythos檢查政府程式碼儲存庫。</p> <p><strong><a href="https://www.ithome.com.tw/news/177331">Grok Build被發現偷偷把用戶整個程式庫上傳到雲端，馬斯克承諾將刪除</a></strong></p> <p>根據代號cereblab的研究人員對Grok 0.2.93版Build CLI進行通訊協定（wire-level）的分析，AI程式撰寫工具Grok Build會偷偷將用戶Git程式庫及其他紀錄，甚至是開發中的專案上傳到SpaceXAI公司的雲端平臺。對此SpaceXAI表示將提供零資料保留（ZDR）選項，該公司執行長馬斯克也說，之前上傳的SpaceXAI資料將全數刪除。</p> <p><strong><a href="https://www.ithome.com.tw/news/177360">F5以單輪越獄評測26款頂尖AI模型，平均攻擊成功率達71.3%</a></strong></p> <p>資安業者F5旗下研究團隊公布7月AI模型安全評測結果，共納入55款模型。這項評測採用綜合AI安全指數（CASI），衡量模型抵禦常見提示注入及越獄攻擊的能力，Anthropic模型包辦7月CASI排行榜前三名，Claude Sonnet 5居首。</p> <p><strong><a href="https://www.ithome.com.tw/news/177212">中國政府將Claude Code反蒸餾機制定性為安全後門</a></strong></p> <p>今年2月Anthropic曾公開指控DeepSeek、Moonshot與MiniMax等中國3大AI實驗室針對Claude發動大規模的蒸餾攻擊，以2.4萬個虛假的帳號來利用Anthropic模型訓練中國AI模型，後續也提出反制措施。到了前陣子Anthropic則表示，已移除的實驗性反蒸餾（Distillation）措施，如今中國NVDB指稱Anthropic舊版的反蒸餾存在安全後門隱患，建議單位升級至已移除相關程式碼的最新版。</p> <p><strong><a href="https://www.ithome.com.tw/news/177247">AI降低程式撰寫門檻，FT警告開源生態面臨維護斷層</a></strong></p> <p>開源專案維護者正面對AI產生漏洞報告暴增的局勢，最大挑戰在於有過高比例的低品質程式碼與漏洞回報，今年以來已有多起相關狀況傳出，包括知名開源工具curl終止漏洞獎勵計畫，開源白板工具tldraw停止接受外部程式碼貢獻，這些情形正突顯開源生態面臨維護斷層。</p> <p><strong><a href="https://www.ithome.com.tw/news/177271">新型攻擊GhostCommit將提示注入指令藏進圖片，誘使AI代理外洩機密</a></strong></p> <p>近日有資安研究組織ASSET Research Group的研究人員發表GhostCommit的概念驗證攻擊，指出攻擊者可把竊取.env機密的文字指令寫進PNG圖片。不同於過去以隱寫術（Steganography）將惡意內容藏入圖片的手法，GhostCommit是把可讀的文字攻擊指令直接寫在圖片內。研究團隊測試了Cursor、Antigravity、Codex CLI及Claude Code等工具，結果顯示，當包含惡意指令的圖片合併至儲存庫後，多數工具與模型組合會依照圖片指令，將完整.env檔的內容編碼為整數序列，再寫入程式碼中。</p> <p><strong><a href="https://www.ithome.com.tw/news/177369">Agent安全即Runtime安全！奧義智慧揭露代理式AI的關鍵風險</a></strong></p> <p><a href="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/zhu_tu_ao_yi_zhi_hui_jie_lu_agentic_workflowde_12zhong_guan_jian_feng_xian_.jpg?itok=cxF_Itq6"><img alt="" src="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/zhu_tu_ao_yi_zhi_hui_jie_lu_agentic_workflowde_12zhong_guan_jian_feng_xian_.jpg?itok=cxF_Itq6" style="width: 400px; float: right;" /></a></p> <p>現在許多企業積極導入Agentic AI以優化業務流程，但Agent的資安防禦思維必須同步升級，在CraftCon Taiwan 2026資安技術研討會上，奧義智慧資料科學研發處長楊政霖直言，Agent Security就是Runtime Security，同時介紹最新一篇TraceSafe論文，闡釋Agent工具呼叫威脅面的風險，共畫分4大領域、12個細項類別，並整理出企業評估AI護欄時可思考的四個關鍵問題。</p> <p><strong><a href="https://www.ithome.com.tw/news/177320">OpenAI GPT-5.6旗艦模型擅自刪除用戶檔案、資料庫</a></strong></p> <p>上個星期正式推出的GPT-5.6 Sol模型，傳出會自作主張刪除用戶檔案的消息，多名用戶相繼受害，甚至有人整個資料庫被刪掉，目前有眾多GPT-5.6 Sol用戶透過Reddit及X描述其遭遇，也有其他Reddit用戶認為使用者也有責任，因為他們給予GPT-5.6 Sol完整存取權限，也可能未在沙箱中執行控制損害範圍。</p> <p><strong><a href="https://www.ithome.com.tw/news/177223">研究人員展示workflow層級的提示注入手法，繞過護欄讓GitHub Copilot撰寫惡意程式</a></strong></p> <p>研究人員Abhishek Kumar與Carsten Maple發展出新提示注入手法，將一個惡意攻擊指令切成看似一般軟體開發流程的多個階段，讓GitHub Copilot依研究人員的提示寫出惡意程式碼，將其稱為工作流程層級越獄建構（workflow-level jailbreak construction）。</p> <p><strong><a href="https://www.ithome.com.tw/news/177226">GuardFall攻擊鎖定開源AI程式開發代理，可繞過Shell命令防護</a></strong></p> <p>AI安全業者Adversa AI揭露名為GuardFall的攻擊手法。研究指出，攻擊者可利用Bash等命令列直譯器（Shell）的特性，在實際執行命令前，先展開變數、移除引號並重新解析命令，避開代理程式檢查，讓惡意命令以開發者帳號權限，在開發者主機或CI環境執行。</p> <p><strong><a href="https://www.ithome.com.tw/news/177230">研究揭LLM攻擊新手法HalluSquatting，可誘使AI程式開發助理安裝惡意程式</a></strong></p> <p>以色列特拉維夫大學（Tel Aviv University）等研究人員揭露一種名為HalluSquatting的新型大型語言模型（LLM）攻擊手法。攻擊者可先找出LLM在查找儲存庫、AI代理技能（skill）等外部資源時容易編造出的錯誤名稱，搶先註冊這些名稱，藉此建立假資源，並植入對抗性提示內容；一旦AI程式開發助理拉取這些假資源，就可能執行攻擊者控制的指令。</p> <p><strong><a href="https://www.ithome.com.tw/news/177359">Tracebit公布情境炸彈防禦研究，以提示注入干擾惡意AI代理</a></strong></p> <p>提供金絲雀誘餌（decoy canary）服務的資安業者Tracebit提出情境炸彈（Context Bombs）防禦機制，在誘餌資料中加入可觸發模型安全限制的內容，藉此中斷或干擾惡意AI代理的後續攻擊行動。</p> <p><strong><a href="https://www.ithome.com.tw/news/177325">Cloudflare推出Precursor，以網站工作階段行為辨識AI代理與機器人流量</a></strong></p> <p>網路與應用程式安全服務業者Cloudflare推出機器人防護功能Precursor，透過持續分析訪客在整個網站工作階段的操作行為，辨識流量來自真人、自動化機器人或AI代理。Cloudflare表示，Precursor只記錄鍵盤操作的時間點與輸入節奏，不會記錄使用者實際按下的按鍵；至於其他行為訊號，則由Cloudflare的機器人偵測系統以整體行為模式進行分析，不會直接顯示個別操作紀錄。</p> <p><strong>■<a href="https://www.ithome.com.tw/news/177241">OpenClaw存在高風險弱點，攻擊者可透過WhatsApp外部訊息觸發</a></strong></p> <p><strong>■<a href="https://www.ithome.com.tw/news/177318">AWS開源企業AI代理平臺Loom，整合身分委派、權限控管與人工核准</a></strong></p> <p><strong>■<a href="https://www.ithome.com.tw/news/177265">駭客利用Vibe Coding開發惡意工具，入侵Active Directory環境收集用戶資訊</a></strong><br /> </p> <h1><strong style="color: rgb(255, 140, 0);">應用程式安全</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>應用程式安全本週面臨空前修補壓力，微軟7月例行更新修補逾千個漏洞創紀錄，從威脅焦點來看，鎖定ADFS與SharePoint，以及Joolma兩款延伸套件的零時差漏洞攻擊成主要焦點，還有不少是針對近期已知漏洞的攻勢。供應鏈安全方面，IBM與紅帽正式推出Lightwell服務提供驗證套件。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/177319">微軟7月例行更新修補自家產品622個漏洞，連同Chromium總計超過1千個</a><span style="color: rgb(255, 0, 0);">【CVE-2026-56155、CVE-2026-56164】</span></strong></p> <p>7月15日微軟發布本月例行更新，公開622個由該公司登記編號的資安漏洞，數量是上個月206個的3倍。若是加上該公司修補428個與Chromium有關的資安漏洞，總數將達到1,050個，無論是微軟登記CVE的漏洞，還是修補第三方漏洞的數量，都再度創下史上最多的紀錄，其中<strong><a href="http://www.ithome.com.tw/news/177347">Exchange Server修補多項高風險漏洞</a></strong>值得留意。另一值得關注的是，<a href="http://www.ithome.com.tw/news/177324"><strong>這次修補包括三個零時差漏洞</strong></a>，其中兩起是零時差漏洞攻擊相當嚴重，因為修補公開同時就表示已遭利用，分別是影響ADFS與SharePoint的CVE-2026-56155與CVE-2026-56164，美國CISA也已將這兩項漏洞<strong><a href="http://www.ithome.com.tw/news/177332">加入KEV名單</a></strong>。</p> <p><strong><a href="https://www.ithome.com.tw/news/177336">CISA警告新一波鎖定SharePoint資安漏洞的攻擊活動，呼籲用戶儘速強化防護</a></strong></p> <p>微軟今年陸續揭露SharePoint的3個漏洞CVE-2026-32201、CVE-2026-45659、CVE-2026-56164，用戶是否都已完成修補？美國網路安全與基礎設施安全局（CISA）本週發出警告，駭客正積極利用這3個漏洞，鎖定企業內部建置的伺服器發動攻擊。</p> <p><strong><a href="https://www.ithome.com.tw/news/177188">CISA下令聯邦機構於3天內修補ColdFusion滿分漏洞</a><span style="color: rgb(255, 0, 0);">【CVE-2026-48282】</span></strong></p> <p>7月7日美國網路安全與基礎設施安全局（CISA）宣布，將6月底Adobe修補的ColdFusion漏洞CVE-2026-48282加入已遭利用的漏洞名單（KEV），要求聯邦機構必須在7月10日前完成修補。CVE-2026-48282的CVSS嚴重度評為10分滿分，屬於重大漏洞，同日還有其他3個漏洞被列入KEV。</p> <p><strong><a href="https://www.ithome.com.tw/news/177379">CISA要求聯邦機構緊急修補Oracle EBS重大漏洞</a><span style="color: rgb(255, 0, 0);">【CVE-2026-46817】</span></strong></p> <p>7月15日美國CISA表示，他們已掌握兩個漏洞被積極利用的證據，將其加入已遭利用的漏洞名單（KEV），其中一個CVE-2026-46817是5月Oracle修補的重大資安漏洞，影響的產品是E-Business Suite（EBS）系統，聯邦機構必須在7月18日修補這個資安漏洞。</p> <p><a href="https://www.ithome.com.tw/news/177382"><strong>微軟甫修補的SharePoint重大漏洞已被用於實際攻擊</strong></a><strong><span style="color: rgb(255, 0, 0);">【CVE-2026-58644</span></strong><strong><span style="color: rgb(255, 0, 0);">】</span></strong></p> <p>微軟本週揭露的SharePoint漏洞CVE-2026-58644，7月16日美國CISA將其加入已遭利用的漏洞名單（KEV），並要求聯邦機構必須在7月19日前完成修補。CVE-2026-58644為未受信任資料反序列化產生的問題，CVSS風險評分為9.8，同一天微軟也更新公告，確認已偵測到漏洞利用活動。</p> <p><strong><a href="https://www.ithome.com.tw/news/177238">CISA將兩款Joomla兩款延伸套件列入KEV，要求聯邦機構7月13日完成修補</a><span style="color: rgb(255, 0, 0);">【CVE-2026-48939、CVE-2026-56291】</span></strong></p> <p>Joomla外掛套件iCagenda與Balbooa Forms近期揭露的漏洞，被美國CISA列入已遭利用漏洞清單（KEV），這兩個漏洞分別是CVE-2026-48939與CVE-2026-56291，CVSS嚴重度評分均為10分，而且又出現遭到積極利用的活動，聯邦機構需在3天內完成漏洞修補。</p> <p><strong><a href="https://www.ithome.com.tw/news/177345">Progress日前要求ShareFile用戶關閉Storage Zone Controller，本週揭露原因是零時差漏洞</a></strong></p> <p>上週軟體與資安廠商Progress通知ShareFile用戶，<strong><a href="http://www.ithome.com.tw/news/177255">要求暫時關閉Storage Zone Controller（SZC）伺服器</a></strong>，以因應外部資安威脅，根據資安新聞網站Bleeping Computer報導，Progress本週通知用戶，表示經調查發現一個高風險漏洞，影響SZC 5.x版與6.x版，發布5.12.5與6.0.2版修補，同時指出該漏洞CVE編號在兩週後才會轉為公開狀態。</p> <p><strong><a href="https://www.ithome.com.tw/news/177248">澳洲警告多種內容管理平臺遭鎖定，駭客企圖在網站植入Webshell</a></strong></p> <p>7月9日澳洲網路安全中心（ACSC）警告鎖定多種內容管理平臺（CMS）資安漏洞的全球大規模攻擊，已有許多澳洲中小型企業受影響。駭客利用影響CMS與外掛程式的已知弱點，試圖尋找部署Webshell的機會。這波攻擊行動被鎖定的弱點，大部分存在WordPress外掛程式，Craft CMS、MaxSite CMS、MetInfo CMS漏洞也是目標。</p> <p><strong><a href="https://www.ithome.com.tw/news/177245">OpenMandriva Linux專案傳出遭惡意貢獻者蓄意破壞</a></strong></p> <p>對編譯技術與效能最佳化感興趣的工程人員關注的OpenMandriva Linux，近期發生專案貢獻者爭議。近期加入團隊的開發人員Davide Beatrici上週濫用管理員權限，刪除專案在GitHub的部分儲存庫，毀掉專案超過10年的心血，他將空白套件發布到cooker儲存庫，破壞所有GNOME和COSMIC套件，可能損壞這些套件使用者的系統。</p> <p><strong><a href="https://www.ithome.com.tw/news/177285">IBM與紅帽正式推出Lightwell，首波提供逾6,500個完成安全修補與驗證的相依套件</a></strong></p> <p><a href="/sites/default/files/images/2026-07-17_144429.jpg"><img alt="" src="/sites/default/files/images/2026-07-17_144429.jpg" style="width: 400px; float: right;" /></a></p> <p>IBM與紅帽（Red Hat）於7月8日宣布，正式推出企業開放原始碼軟體供應鏈安全服務Lightwell，延續兩家公司先前公布的Project Lightwell計畫，將紅帽長期累積的企業開放原始碼工程與漏洞修補能力，擴大應用於第三方開放原始碼軟體。</p> <p><strong><a href="https://www.ithome.com.tw/news/177326">惡意Go模組牽出GitHub誘餌網路，涉及222個儲存庫</a></strong></p> <p>軟體供應鏈安全業者Socket揭露代號Muck and Load的惡意程式散布行動。攻擊者將惡意Go模組github[.]com/kaleidora/dnsub-scanning-tool偽裝成DNS與子網域掃描工具，並仿冒合法開放原始碼專案dnsub，誘使開發者誤信其為可信套件。該模組自2026年1月24日發布首個版本以來，已累積超過1,200個版本，其中逾700個含有惡意程式碼。</p> <p><strong><a href="https://www.ithome.com.tw/news/177304">NPM 12預設停用套件安裝的自動執行指令碼功能</a></strong></p> <p>7月8日套件管理器NPM第12版大改版正式推出，如同一個月前預告的重大變更，將多項安裝過程過去自動執行的高風險行為改為預設關閉、需明確授權才會執行。例如allowScripts預設改為關閉，Git與遠端URL相依性參數--allow-git、--allow-remote，預設值皆調整為無（none）。</p> <p><strong><a href="https://www.ithome.com.tw/news/177364">292個假GitHub儲存庫冒充知名品牌散布BoryptGrab竊資程式</a></strong></p> <p>有駭客從今年6月26日開始建立冒名的假GitHub儲存庫，至少涉及冒充292個知名軟體及資安品牌，Arctic Wolf指出，駭客利用假GitHub儲存庫冒充知名品牌的目的是，透過偽造的README與下載頁面散布Windows竊資程式BoryptGrab，企圖竊取瀏覽器憑證、加密貨幣錢包、通訊軟體帳號及Windows憑證等敏感資料。Arctic Wolf在通報後，GitHub已移除大部分惡意儲存庫，但仍有數十個GitHub Pages轉址頁面持續運作。</p> <p><strong><a href="https://www.ithome.com.tw/news/177307">下載逾160萬次的瀏覽器擴充套件ModHeader遭下架，暗藏資料收集功能引發資安疑慮</a></strong></p> <p>資安業者Stripe OLT揭露，下載逾160萬次的Chrome與Edge瀏覽器擴充套件ModHeader內含隱藏的瀏覽資料收集引擎，可收集使用者瀏覽紀錄，並具備將資料上傳至外部伺服器的功能。Google與Microsoft已將該擴充套件自網路商店下架，研究人員建議用戶移除受影響版本並清除相關瀏覽器資料。</p> <p><strong><a href="https://www.ithome.com.tw/news/177198">中國駭客利用郵件伺服器Roundcube已知漏洞，攻擊美國大學物理與工程學系</a></strong></p> <p>美國與加拿大多所大學物理與工程學系的Roundcube郵件伺服器，傳出遭駭客鎖定攻擊的消息，根據資安公司Proofpoint揭露，相關活動2026年5月起出現，並研判其為疑似與中國有關聯的網路間諜活動集團。此波攻擊特別針對具有國安相關背景，或從事天文物理與粒子物理研究的部門管理員與教授，部署Webshell或後門程式VShell。</p> <p><strong><a href="https://www.ithome.com.tw/news/177365">資安業者揭露RabbitMQ重大漏洞，可能導致OAuth金鑰外洩與訊息佇列伺服器遭接管</a></strong></p> <p>資安業者Miggo揭露開源訊息中介軟體RabbitMQ存在兩項漏洞CVE-2026-57219與CVE-2026-57221，可能導致OAuth用戶端金鑰外洩，以及授權檢查遭繞過，影響3.13、4.0、4.1與4.2等版本，建議用戶儘速升級，並限制管理埠存取，以降低敏感資訊外洩及遭攻擊風險。</p> <p><strong><a href="https://www.ithome.com.tw/news/177367">GNU Wget存在SSRF漏洞，恐遭濫用存取內部網路資源</a></strong></p> <p>美國CERT/CC警示，廣泛應用於Linux與Unix環境的開源命令列下載工具GNU Wget存在SSRF漏洞CVE-2026-15146。攻擊者可利用FTP被動連線模式（PASV）的驗證缺陷，將Wget連線導向任意IP位址與連接埠，存取內部網路資源。GNU Project已提供修補程式。</p> <p><strong>■<a href="https://www.ithome.com.tw/news/177357">Notepad++發布8.9.7版，修補5個漏洞並強化安裝程式安全性</a></strong></p> <p><strong>■<a href="https://www.ithome.com.tw/news/177335">SAP NetWeaver ABAP存在近滿分重大漏洞，可導致資料洩露與竄改</a></strong></p> <p><strong>■<a href="https://www.ithome.com.tw/news/177242">Zimbra爆發嚴重漏洞，攻擊者可透過發送特製郵件在收件者Webmail介面執行惡意程式碼</a></strong></p> <p><strong>■<a href="https://www.ithome.com.tw/news/177334">Adobe修補12款產品漏洞，ColdFusion與Commerce更新優先度最高</a></strong></p> <p><strong>■<a href="https://www.ithome.com.tw/news/177199">Google更新Chrome 150穩定版，修補27項漏洞，兩項屬於重大等級</a></strong></p> <p><strong>■<a href="https://www.ithome.com.tw/news/177350">Mozilla發布Firefox 152.0.6，修補兩個重大等級弱點</a></strong><br /> </p> <h1><strong style="color: rgb(255, 140, 0);">資安維運</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>一場冷鏈物流遭駭事故帶來民生供應鏈危機，最近日本冷鏈巨頭Nichirei遭駭事件反映出這樣的風險，造成當地多家餐飲業者與品牌面臨食材斷料情形</strong></span><span style="color: rgb(105, 105, 105);"><strong>。有情資顯示中國駭客鎖定百萬WordPress網站植入Webshell，調查局亦破獲網軍冒充記者發送惡意郵件。此外，推動持續性威脅暴露管理（CTEM）資安概念也成本週新聞焦點。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/177253">駭客利用後門程式WP-ShellStorm入侵WordPress網站並兜售存取權限，來自臺灣的IP位址存取基礎設施次數居冠引起關注</a></strong></p> <p>威脅情報公司SOCRadar揭露後門程式WP-ShellStorm的大規模攻擊，中國駭客鎖定超過140萬個網域、利用27個CVE漏洞，企圖在WordPress網站植入Webshell，並將受害網站的存取權限轉賣其他駭客。不過，存取攻擊者所使用SimpleHTTPServer主機次數最多的竟然是一個臺灣IP位址，總共發出超過4.2萬次請求，目的是下載攻擊工具。</p> <p><strong><a href="https://www.ithome.com.tw/news/177219">調查局破獲中國網軍冒充國際記者，對臺政學界進行社交工程攻擊</a></strong></p> <p>針對中國網軍對臺灣政治界、學術界人士進行社交工程攻擊，7月7日法務部調查局宣布破案，網軍偽冒國際記者刺探及收集機敏資訊，並寄送夾帶惡意程式的電子郵件，意圖入侵及操控受害者的電腦設備。調查局呼籲，民眾不應將所申請、註冊之手機門號、LINE帳號等提供他人使用，避免涉入幫助犯罪而觸法。</p> <p><strong><a href="https://www.ithome.com.tw/news/177343">日本冷鏈龍頭Nichirei遭駭引發供應鏈風暴，KFC恐因食材短缺被迫停業，藏壽司與Aeon也受影響</a></strong></p> <p><a href="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/zhu_tu_ri_ben_leng_lian_long_tou_nichireizao_hai_yin_fa_gong_ying_lian_wei_ji_kfckong_bei_po_ting_ye_cang_shou_si_yu_aeonye_shou_ying_xiang_.jpg?itok=j3Im-eda"><img alt="" src="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/zhu_tu_ri_ben_leng_lian_long_tou_nichireizao_hai_yin_fa_gong_ying_lian_wei_ji_kfckong_bei_po_ting_ye_cang_shou_si_yu_aeonye_shou_ying_xiang_.jpg?itok=j3Im-eda" style="width: 400px; float: right;" /></a></p> <p>日本冷鏈巨頭Nichirei（日冷）集團<strong><a href="http://www.ithome.com.tw/news/177341">遭駭導致冷凍倉庫與冷凍食品出貨作業中斷</a></strong>，隨著該公司系統復原進度延宕，最初市場憂心的供應鏈衝擊已經發生，日本肯德基（KFC）14日於官網宣布受此事件影響，部分門市可能被迫暫停營業或提早打烊。目前事態擴大，還傳出包括藏壽司、永旺（Aeon）旗下超市，以及知名餐飲集團Plenus旗下彌生軒、Hotto Motto，Skylark集團旗下Flo japon等眾多業者與品牌，皆陸續傳出供貨受阻與營運受波及的狀況。</p> <p><strong><a href="https://www.ithome.com.tw/news/177301">日本最大計程車業者遭網路攻擊，電話派車與預約系統暫時停擺</a></strong></p> <p>日本最大計程車業者日本交通（Nihon Kotsu）證實遭遇網路攻擊，內部系統遭外部未經授權存取並感染惡意程式，導致電話派車、企業包車預約管理等系統暫時停擺。公司已隔離受影響系統並展開調查，目前尚未發現客戶資料外洩跡象，民眾仍可透過叫車App或其他方式搭車。</p> <p><strong><a href="https://www.ithome.com.tw/news/177257">拉脫維亞林業公司遭勒索軟體攻擊，系統恢復恐將耗時數週</a></strong></p> <p>拉脫維亞國有林業公司（LVM）6月22日遭到勒索軟體攻擊，公司至今仍在修復受影響的資訊系統。LVM技術長Maris Kuzmins近日向當地媒體透露，目前情況已趨於穩定，仍有約三分之二簽有服務合約的客戶，尚無法使用受影響的系統。</p> <p><strong><a href="https://www.ithome.com.tw/news/177201">中國駭客假借提供印度稅務申報工具，散布木馬程式DcRAT</a></strong></p> <p>中國駭客組織Silver Fox近期於印度發動相關攻擊，根據資安公司Seqrite調查，攻擊目標涵蓋印度各地的企業組織、個人納稅人、稅務會計師（CA）、政府承包商、稅務代理人，以及企業財會團隊等，冒充印度財政部所得稅局寄送釣魚信，並引誘收信人開啟附件，一旦中招，受害電腦就會被植入惡意程式DcRAT。</p> <p><strong><a href="https://www.ithome.com.tw/news/177205">中國駭客Mustang Panda鎖定印度政府，濫用Zoho WorkDrive從事網路間諜活動</a></strong></p> <p>Mustang Panda最近攻擊與臺灣政府簽署MOU的印度政府機構，以及印度的水力發電機構，根據資安廠商Acronis調查，駭客濫用印度政府廣泛採用的雲端檔案共享平臺Zoho WorkDrive建立C2通訊，然後傳遞惡意程式ZohoMurk與MiniRecon。該公司推測，本次攻擊目的在收集印度對臺灣在國防領域的合作情報，以及印度的水力發電計畫。</p> <p><strong><a href="https://www.ithome.com.tw/news/177210">Elastic修補Kibana高風險漏洞，影響7.x與8.x分支版本</a></strong></p> <p>Elastic發布Kibana安全更新，修補高風險漏洞CVE-2026-49091，影響7.x與8.x版本。該漏洞屬於日誌注入問題，攻擊者可透過特製輸入內容干擾日誌紀錄，影響事件分析與稽核判斷。使用Kibana進行日誌搜尋、監控分析與資安事件調查的用戶，應儘速升級至修補版本。</p> <p><strong><a href="https://www.ithome.com.tw/news/177268">資安桌遊融合CTEM與團隊合作，奧義智慧揭Cybercrete設計概念</a></strong></p> <p>奧義智慧科技去年推出新款資安桌遊Cybercrete，近日該公司揭露其幕後設計概念，指出這款策略合作類桌遊的設計核心，緊扣2022年Gartner提出的「持續性威脅暴露管理」（CTEM）方法論。該框架強調，企業在識別攻擊面時不應視為一次性任務，而需透過持續性的行動，達成動態且具適應性的主動式攻擊面管理。</p> <p><strong><a href="https://www.ithome.com.tw/news/177290">中國、印度背景駭客分別鎖定巴基斯坦同一警察機關，陳情系統遭植入惡意程式</a></strong></p> <p>端點資安業者SentinelOne旗下威脅研究團隊SentinelLABS指出，疑似中國相關的威脅行為者與印度相關的威脅行為者，在2024年2月至2026年4月間，分別對巴基斯坦多個執法機關發動網路間諜攻擊，兩方攻擊行動都曾波及俾路支省（Balochistan）警察機關。</p> <p><strong><a href="https://www.ithome.com.tw/news/177227">金融詐欺攻擊利用ClickFix手法散布SCMBANKER工具包</a></strong></p> <p>資安業者Elastic旗下威脅研究團隊揭露代號REF6045的攻擊行動，攻擊者利用ClickFix社交工程手法，鎖定墨西哥金融服務使用者，散布名為SCMBANKER的PowerShell惡意工具包，會監看受害者是否開啟網銀或金融服務網站；一旦發現相關活動，攻擊者即可啟用螢幕擷取、剪貼簿竄改與瀏覽器重新導向等功能，將受害者帶往釣魚網站，或替換交易帳號資訊，藉此攔截金融交易。</p> <p><strong>■<a href="https://www.ithome.com.tw/news/177292">網路流量分析工具Wireshark發布4.6.7版，修補12項漏洞</a></strong></p> <p><strong>■<a href="https://www.ithome.com.tw/news/177193">駭客冒充IT支援人員，透過微軟Teams散布惡意軟體EtherRAT</a></strong><br /> </p> <h1><strong style="color: rgb(255, 140, 0);">資料安全</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>以保鮮盒聞名的樂扣樂扣因基礎防護缺失遭韓國重罰，歐洲超市Lidl則因IT服務商事故導致德、荷、比三國客戶個資外洩，突顯合規與委外管理層面的資安議題。此外，Kakao Pay跨境傳輸案引發警方突擊搜查，阿根廷足協亦傳出資料庫外洩並遭駭客盜用郵件系統發信。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/177323">IT服務廠商遭駭，超市連鎖業者Lidl被竊走德、比、荷線上商店客戶資料</a></strong></p> <p>總部位於德國的歐洲平價超市連鎖業者Lidl（利多）本週通知德國、荷蘭和比利時客戶，表明受到一家IT服務供應商發生資安事件影響，使三國的線上商店客戶資料外洩，已知遭駭客竊取的線上商店客戶資訊，包括顧客姓名、稱謂、電話號碼、電子郵件地址、出生日期和客戶編號。</p> <p><strong><a href="https://www.ithome.com.tw/news/177246">樂扣樂扣等3企業遭韓國個資委員會重罰7億韓元，基礎防護形同虛設</a></strong></p> <p>以保鮮盒聞名的樂扣樂扣（LocknLock），以及Ubase及Sunphoto等三家企業，近日被韓國個資保護委員會（PIPC）依違反《個人資訊保護法》資安防護義務開罰，其中樂扣樂扣情節最嚴重，被指出疏於漏洞修補、帳號管理、高敏感個資未加密保護等5項重大基礎防護缺失。</p> <p><strong><a href="https://www.ithome.com.tw/news/177283">韓國Kakao Pay違法跨境傳輸個資案延燒，警方發動突擊搜查</a></strong></p> <p><a href="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/zhu_tu_kakao_pay.jpg?itok=xLtvRhtR"><img alt="" src="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/zhu_tu_kakao_pay.jpg?itok=xLtvRhtR" style="width: 400px; float: right;" /></a></p> <p>韓國最大行動支付平臺Kakao Pay於2024年被爆出違法傳送個資的事件，如今此案持續延燒，韓國個資保護委員會（PIPC）今年1月宣布，針對違反個資法跨境傳輸規定的Kakao Pay，處以59億6,800萬韓元行政罰鍰，最近首爾行政法院於6月判決該公司敗訴，認定其未取得用戶明確授權即傳輸資料，近日韓國警方更是於7月6日對KakaoPay總部發動為期兩天的突擊搜索。</p> <p><strong><a href="https://www.ithome.com.tw/news/177296">韓國友利銀行爆發1.7萬名客戶個資外洩，起因為再委外業者員工擅自保存資料並上傳至開發者平臺</a></strong></p> <p>任何產業的供應鏈資安事故皆受關注，金融業亦然，近日韓國友利銀行（Woori Bank）於7月3日向客戶發布資安事故公告，說明其兩年前的NFT平臺建置專案，由於委外廠商員工違規私存資料並將個資連結上傳至開發者平臺，導致約1.7萬名客戶個資外洩，同日，負責處理該行NFT平臺使用者個資的再委外業者（재수탁사）Blocko對此事件說明，坦承員工於去年9月不慎流出檔案連結，直至今年6月底公司察覺才採取應對。</p> <p><strong><a href="https://www.ithome.com.tw/news/177352">阿根廷足協系統被駭客冒名發送信件、外洩資料庫，疑員工電腦感染竊資軟體肇禍</a></strong></p> <p>上週二阿根廷以3:2擊敗埃及，晉級世足盃8強，週末阿根廷媒體記者接到阿根廷足協網域送出信件，稱未贏得比賽及比賽結果是「腐敗判決的結果」，阿根廷足協（AFA）後續表示有人利用該協會帳號冒名發送信件，呼籲勿理會阿根廷足協的異常信件。以埃及國家隊教練Hossam Hassan為代號的駭客也在暗網宣稱此事是其所為，還公開兜售阿根廷足協資料庫。</p> <p><strong><a href="https://www.ithome.com.tw/news/177351">新加坡土地管理局委外雲端系統的開發測試環境遭非法存取，供應商IBM測試資料未去識別化致7萬人個資外洩</a></strong></p> <p>新加坡土地管理局（SLA）於7月3日發布資安事故公告，指出IBM通報該公司為SLA兩套系統進行開發與測試環境的資料庫遭未經授權存取，調查後進一步發現，該測試資料原應僅含去識別化的模擬資料，卻被發現留存約7萬人的真實姓名、身分證號碼（NRIC）與地址，進而釀成這起個資外洩事件。</p> <p><strong><a href="https://www.ithome.com.tw/news/177194">Accenture證實遭駭，攻擊者聲稱竊得35GB資料</a></strong></p> <p>IT服務與顧問業者Accenture向Bleeping Computer證實發生資安事故，並表示這是一起個別情況，已修復問題來源，未影響公司營運與服務交付。這起事件是因有威脅行為者聲稱竊得Accenture資料，並在網路犯罪論壇兜售而曝光。自稱888的威脅行為者宣稱，Accenture在2026年7月發生資料外洩事件，遭竊資料超過35GB。</p> <p><strong><a href="https://www.ithome.com.tw/news/177200">有鑑於IT服務公司Accenture資料外洩，SOCRadar建議從4大方向因應相關威脅</a></strong></p> <p>針對近期Accenture發生資料外洩，資安廠商SOCRadar認為企業應從4個面向進行應變。首先，輪換並撤銷可能揭露的機密；其次，檢視Azure等雲端環境事件記錄，協助判斷暴露的憑證輪換前是否遭利用；若懷疑原始碼外洩，應驗證儲存庫與CI/CD完整性，檢視儲存庫與管線活動，尋找未授權存取或竄改跡象；最後，是將身分、儲存庫及雲端活動的記錄關連。</p> <p><strong>■<a href="https://www.ithome.com.tw/news/177244">荷蘭警方揭露2月電信公司Odido事故調查結果，指出有當地人士冒充IT人員打給客服中心，此案導致620萬客戶帳號資料外流</a></strong></p> <p><strong>■<a href="https://www.ithome.com.tw/news/177260">針對5月資料外洩事故，CISA公布後續處理及調查結果，指出外曝的儲存庫是承包商所建立</a></strong><br /> </p> <h1><strong style="color: rgb(255, 140, 0);">端點安全</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>在端點安全領域，Windows又被揭露新的零時差漏洞LegacyHive，企業還要留意GigaWiper與LabubaRAT對Windows主機的威脅，多款鎖定macOS用戶而來的竊資軟體，以及日本陸上自衛隊遭USB感染事件所引發對端點實體安全控管的重視。</strong></span><strong style="color: rgb(105, 105, 105);">針對ClickFix社交工程。</strong><strong style="color: rgb(105, 105, 105);">首見Opera瀏覽器以強化剪貼簿安全來防範。</strong></p> <p><strong><a href="https://www.ithome.com.tw/news/177353">研究人員公布新的Windows零時差漏洞LegacyHive</a><span style="color: rgb(255, 0, 0);">【LegacyHive】</span></strong></p> <p><a href="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/621635361-49deeaef-aadf-4a13-9006-a7c95eb2531e-156.jpg?itok=hPQECOU8"><img alt="" src="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/621635361-49deeaef-aadf-4a13-9006-a7c95eb2531e-156.jpg?itok=hPQECOU8" style="width: 400px; float: right;" /></a></p> <p>在本月微軟例行更新發布不久後，Chaotic Eclipse再度揭露名為LegacyHive的Windows零時差漏洞，並指出這是存在於Windows User Profile Service服務的問題，能讓攻擊者載入任何的登入區（hive）並進行權限提升，並且公開概念驗證程式碼（PoC）。</p> <p><strong><a href="https://www.ithome.com.tw/news/177344">偽裝Nvidia軟體的新型遠端木馬現蹤，LabubaRAT可控制Windows主機</a></strong></p> <p>資安業者Blackpoint Cyber揭露新型遠端存取木馬LabubaRAT，攻擊者將其偽裝成Nvidia相關程式，藉此在Windows主機建立長期存取。該惡意程式以Rust開發，具備多重命令控制通訊機制，可執行遠端指令、檔案傳輸、螢幕擷取及SOCKS5代理等功能，研究人員並認為其可能採惡意軟體即服務（MaaS）模式運作。</p> <p><strong><a href="https://www.ithome.com.tw/news/177191">Linux核心7.1修補存在長達15年的漏洞GhostLock</a></strong></p> <p>本週資安研究團隊Nebula Security揭露Linux核心漏洞GhostLock（CVE-2026-43499），CVSS評為7.8分高風險漏洞，自2011年的2.6.39版引入Linux核心，存在長達15年，影響所有Linux發行版，無需任何特權或特殊核心組態，僅需一般執行緒相關的系統呼叫即可觸發漏洞，已於Linux核心7.1版完成修補。</p> <p><strong><a href="https://www.ithome.com.tw/news/177250">Debian 13.6發布安全更新，修補逾百項軟體元件，並因應UEFI Secure Boot憑證到期問題</a></strong></p> <p>主要Linux發行版Debian發布13.6版更新，整合逾百項安全修補與錯誤修正。其中最受關注的是更新fwupd程式，以因應UEFI Secure Boot憑證授權到期問題，並整合Linux核心、curl、Apache HTTP Server、QEMU及OpenSSL等多項套件更新，提升系統安全性與穩定性。</p> <p><strong><a href="https://www.ithome.com.tw/news/177207">中國惡意軟體驚傳透過USB裝置感染日本陸上自衛隊近一年</a></strong></p> <p>日本陸上自衛隊2024年3月起使用中國製USB隨身碟，直到2025年2月才發現異狀。該惡意程式被發現的原因，是陸上自衛隊位於大阪近郊伊丹市的成員，留意到一臺電腦運作速度異常緩慢。後續調查發現，送檢的8支USB隨身碟中，有6支含有相同的惡意程式碼，這些惡意隨身碟曾與超過50臺電腦連接，其中近半數電腦用於處理機密資料，包括部隊調動等敏感軍事資訊。</p> <p><strong><a href="https://www.ithome.com.tw/news/177249">微軟揭GigaWiper破壞型後門，整合磁碟抹除、檔案加密與遠端控制功能</a></strong></p> <p>微軟威脅情報團隊揭露針對Windows平臺破壞型後門程式GigaWiper，整合至少3個原本各自獨立的惡意程式家族，攻擊者可遠端控制受害電腦，並啟用磁碟抹除、檔案加密及系統破壞功能。</p> <p><strong><a href="https://www.ithome.com.tw/news/177237">Microsoft Defender零時差漏洞RoguePlanet修補出爐</a></strong></p> <p>6月上半揭露的Microsoft Defender漏洞RoguePlanet，微軟7月8日正式提供修補機制，用戶可確認Microsoft Defender的惡意軟體防護引擎版本是否已升級到1.1.26060.3008或更高版本，若為1.1.26050.11或更老舊的版本，則是受此漏洞影響的版本，須儘快執行Windows更新。</p> <p><strong><a href="https://www.ithome.com.tw/news/177370">ESET警示經微軟簽章的舊版Linux UEFI Shim仍存在漏洞，可能繞過安全開機機制</a></strong></p> <p>資安業者ESET揭露11款經微軟簽章的舊版Linux UEFI Shim開機載入程式，因存在已知漏洞且長期留在UEFI信任清單中，可能遭攻擊者利用繞過Secure Boot安全開機機制部署惡意程式。微軟已將相關Shim程式簽章雜湊加入UEFI撤銷清單（DBX），建議Linux用戶儘速更新。</p> <p><strong><a href="https://www.ithome.com.tw/news/177218">竊資軟體PamStealer偽裝剪貼簿工具散布，利用macOS管理者驗證程序部署惡意程式</a></strong></p> <p>資安業者Jamf揭露新型macOS竊資軟體PamStealer，攻擊者假冒Maccy剪貼簿工具網站散布惡意程式，並利用AppleScript呼叫macOS的PAM驗證程序，誘使使用者完成管理員驗證，再部署第二階段竊資程式，竊取瀏覽器、Keychain及加密貨幣錢包等敏感資料。</p> <p><strong><a href="https://www.ithome.com.tw/news/177303">竊資軟體CrashStealer鎖定macOS用戶，偽裝Apple當機回報工具偷取資料</a></strong></p> <p>資安業者Jamf另揭露macOS竊資軟體CrashStealer，攻擊者假冒Apple當機回報工具Crash Reporter，並利用具有Apple有效程式碼簽章的安裝程式散布，誘騙使用者輸入系統密碼，以竊取Keychain、瀏覽器憑證、加密貨幣錢包及文件等敏感資料，顯示macOS環境同樣面臨日益增加的竊資威脅。</p> <p><strong><a href="https://www.ithome.com.tw/news/177196">Opera瀏覽器推出Paste Protect功能，防範ClickFix社交工程攻擊</a></strong></p> <p>瀏覽器業者Opera推出新防護功能Paste Protect，可防範剪貼簿內容遭惡意竄改，以及ClickFix類型的社交工程攻擊。這項功能已內建於桌面版Opera瀏覽器，並預設為開啟。Paste Protect整合兩項剪貼簿防護機制，包括Opera既有的Hijack Protection，以及新增的Injection Protection。</p> <p><strong><a href="https://www.ithome.com.tw/news/177282">Android木馬RedHook出現新變種，濫用ADB無線偵錯取得Shell層級權限</a></strong></p> <p>2025年7月現身的Android遠端存取木馬（RAT）RedHook，近期擴大活動範圍並推出新版本。資安業者Group-IB指出，攻擊者濫用Android偵錯橋接器（Android Debug Bridge，ADB）的無線偵錯功能，讓RedHook取得Shell層級權限，進一步安裝或移除應用程式、修改安全設定，並為自身授予敏感權限。</p> <p><strong>■</strong><strong><a href="https://www.ithome.com.tw/news/177087">惡意軟體Amadey用於散布超過1萬種惡意程式</a></strong></p> <p><strong>■</strong><strong><a href="https://www.ithome.com.tw/news/177192">下載破解軟體恐遭Vidar竊資，載入器膨脹至數百MB規避沙箱分析</a></strong></p> <p><strong>■</strong><strong><a href="https://www.ithome.com.tw/news/177221">Android惡意軟體RedWing以租賃模式提供買家，協助發動金融詐騙</a></strong><br /> </p> <h1><strong style="color: rgb(255, 140, 0);">政策法規</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>英國啟動的Cyber Shield計畫讓人為之側目，這將是國家級紅藍隊AI代理人的關鍵應用發展，勢必促使各國重新審視AI時代的防禦布局。美國NIST針對網路安全供應鏈風險管理有更細緻的推動，發布盡職調查評估快速入門指南；此外，成立AI標準組織、建立先進AI模型的測試與安全評估制度的倡議也持續受到關注。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/177272">英國雙管齊下對抗網路威脅，啟動企業承諾並打造國家級AI盾牌</a></strong></p> <p>面對AI加劇的網路威脅，英國將發展國家級紅藍隊AI代理人！英國國家網路安全中心NCSC公布國家級AI網路防禦藍圖Cyber Shield，這是由NCSC及科學、創新與技術部共同開發，核心目標是利用最先進的代理人AI，打造一個可大規模、以機器速度自動化運作的國家網路防禦體系，規畫以紅、藍隊AI代理人協同發現漏洞、偵測威脅，並逐步朝自動修復發展。</p> <p><strong><a href="https://www.ithome.com.tw/news/177333">NIST發布ICT供應商盡職調查指南，提出5類調查項目</a></strong></p> <p><a href="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/0715-nist-960.jpg?itok=qsH7y9Sv"><img alt="" src="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/0715-nist-960.jpg?itok=qsH7y9Sv" style="width: 400px; float: right;" /></a></p> <p>美國國家標準暨技術研究院（NIST）於7月8日發布《網路安全供應鏈風險管理：盡職調查評估快速入門指南》，文件編號為NIST SP 1326，主要內容是針對組織在採購資訊與通訊科技（ICT）產品與服務，或管理既有系統時，應如何做好評估供應商與產品的供應鏈風險。</p> <p><strong><a href="https://www.ithome.com.tw/news/177338">Google DeepMind執行長Demis Hassabis提議建立AI標準組織</a></strong></p> <p>AI帶來的影響可能達到工業革命的10倍，建立先進AI模型的測試與安全評估制度持續成焦點，近日Google DeepMind共同創辦人兼執行長Demis Hassabis警告，目前沒有人能確定未來走向，不論是網路安全、核子與生物風險也可能隨模型能力提升而加劇，因此他主張美國應成立由聯邦政府監督、採公私協力或自律模式運作的AI標準組織，並持續遊說更多人響應這項倡議。</p> <p><strong><a href="https://www.ithome.com.tw/news/177225">歐盟推AI資安行動計畫，強化模型安全評估與網路韌性</a></strong></p> <p>歐盟執委會發布「AI與資安行動計畫」（EU Action Plan on Cybersecurity and Artificial Intelligence），希望提升歐洲整體網路防護能力，同時降低AI遭攻擊者濫用的風險。這項行動計畫列出3大方向，包括安全且負責任地使用先進AI、提升歐盟網路防護與復原能力，以及擴大AI在漏洞分析、威脅偵測與事件應變等資安工作的應用。</p> <p><strong>■<a href="https://www.ithome.com.tw/news/177373">國際刑警組織跨國掃蕩網路詐騙，在First Light行動下逮捕逾5,800名嫌犯</a></strong></p> <p><strong>■<a href="https://www.ithome.com.tw/news/177251">前勒索軟體談判人員勾結BlackCat，遭判70個月徒刑</a></strong><br /> </p> <h1><strong style="color: rgb(255, 140, 0);">IoT/OT安全</strong></h1> <p><span style="color:#696969;"><strong>印度核電廠承包商的資料外洩事件無疑是本週最大焦點，其外洩工程文件恐波及關鍵核能設施安全；而駭客藉AI開發IoT殭屍網路TuxBot的新興威脅也首度曝光。此外，開源開機載入程式U-Boot被揭露6個資安漏洞，由於影響大量伺服器與物聯網設備，相關業者應儘速確認是否使用受影響版本並完成修補。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/177358">印度核電廠承包商Reliance Group資料外洩，工程文件曝光</a></strong></p> <p>印度核電廠承包商Reliance Group傳出資料外洩事件，可能波及印度最大核能發電設施庫丹庫拉姆核電廠（Kudankulam Nuclear Power Plant，KKNPP）的工程資料。勒索軟體組織World Leaks已公布大批聲稱來自Reliance Group的檔案。獨立資安研究人員Rakesh Krishnan表示共找到近1.9萬個疑似與庫丹庫拉姆核電廠相關的檔案，總計約14.3GB。</p> <p><strong><a href="https://www.ithome.com.tw/news/177366">駭客藉AI開發IoT殭屍網路TuxBot，多項功能錯誤但攻擊流程仍可運作</a></strong></p> <p><a href="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/capture_887_-_tuxbot_v3_inside_an_iot_botnet_framework_with_llm-assisted_development_-_unit42.paloaltonetworks.com_.jpg?itok=HP0fiMeh"><img alt="" src="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/capture_887_-_tuxbot_v3_inside_an_iot_botnet_framework_with_llm-assisted_development_-_unit42.paloaltonetworks.com_.jpg?itok=HP0fiMeh" style="width: 400px; float: right;" /></a></p> <p>新IoT殭屍網路TuxBot v3 Evolution威脅浮現，Palo Alto Networks旗下Unit 42指出這是駭客透過移植程式碼與利用大型語言模型協助開發的產物，該框架建立後可支援17種處理器架構的惡意程式，以及C2伺服器、加密通訊機制、DDoS攻擊出租介面。研究人員表示自2026年1月起陸續發現TuxBot樣本與C2伺服器，雖然分析的版本中有多項進階功能因LLM產生的程式錯誤而失效，但認為駭客可能已經修正，後續威脅不容小覷，值得持續關注。</p> <p><strong><a href="https://www.ithome.com.tw/news/177222">HP Deskjet 2800印表機韌體漏洞可讓駭客竊取憑證及配置資訊，HP尚未修補</a></strong></p> <p>CERT/CC協調中心警告，HP家用多功能事務機Deskjet 2800系列韌體存在缺少授權的漏洞CVE-2026-13753，嚴重度為7.5分，影響韌體版本TBP1CN2612AR及之前版本，可讓攻擊者取得Wi-Fi憑證、管理配置及其他敏感資訊，目前HP尚未修補此漏洞，CERT/CC表示，他們也無法聯繫到HP處理此漏洞，這表示尚無韌體修補程式。</p> <p><strong><a href="https://www.ithome.com.tw/news/177240">Binarly研究人員揭露開源開機載入程式U-Boot存在6個資安漏洞，大量伺服器、網路設備、物聯網設備均可能受到影響</a></strong></p> <p>全球最廣泛使用的開機載入程式U-Boot被研究人員揭露存在6個資安漏洞，其中兩個可能導致任意程式碼執行，其餘4個漏洞則可能引發服務中斷（DoS）。由於U-Boot運行於家用路由器、網路攝影機、伺服器基板管理控制器（BMC）等硬體設備，因此，相關產品的安全性都可能面臨風險。</p> <p> </p> </div></div></div>
7/17 18:54作者羅正漢https://www.ithome.com.tw/news/177408
Amazon揭示AI代理購物新模式：從搜尋商品到理解需求，Agent協助完成交易
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>過去電商競爭的核心，是如何上架更多的商品，以滿足消費者各式各樣的購物需求，但是隨著電商提供的商品數量增加，消費者只能仰賴搜尋引擎查找關鍵字，推薦系統負責排序商品，再由消費者自行比較規格、價格與評論，再做出最後的購買決策。</p> <p>這個傳統電商消費模式，將隨著生成式AI與Agent AI快速發展開始改變。未來消費者可能不再需要花時間搜尋商品，而是直接告訴AI「想完成什麼事情」，由AI理解需求、整理資訊，甚至協助完成交易。</p> <p>AWS資深方案架構師Ray Wang近期在AWS Summit Taipei 2026上分享，Amazon正透過AI Shopping Agent探索新的購物模式，希望讓AI從單純提供資訊的助手，進一步成為能協助消費者完成購物任務的代理人。</p> <h2><span style="color:#B22222;"><span style="font-size:20px;"><strong>AI購物助理改變流程，從找商品轉向完成任務</strong></span></span></h2> <p>Ray Wang表示，傳統電商流程存在一個根本問題：消費者往往知道自己想要什麼，但不知道該如何描述成搜尋關鍵字。</p> <p>例如消費者可能想找「適合雨天使用、白色、日常搭配的鞋子」，但未必知道符合需求的品牌或產品名稱。過去使用者要試著使用不同的關鍵字，再從大量的商品搜尋結果中篩選。</p> <p>Amazon正在探索AI Shopping Agent，目的是希望改變這種模式，讓消費者可以直接透過自然語言描述需求，AI根據對話內容理解條件，進一步搜尋商品、分析資訊，並提供推薦。</p> <p>這代表電商的消費流程從「搜尋商品→比較商品→決定購買」，逐漸轉變為「描述需求→AI理解意圖→推薦商品→協助完成交易」。</p> <p>Amazon在2024年開始推出生成式AI購物助理Rufus，探索以對話方式改變消費者搜尋與購買流程。Rufus的能力也成為Amazon發展AI購物體驗的重要基礎，2026年推出新的「Alexa for Shopping」，將Rufus原有的購物助理能力與Alexa+整合，逐步取代Rufus。</p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>靠Rufus降低消費者在電商購物流程中的摩擦</strong></span></span></p> <p>Ray Wang表示，Amazon導入Rufus AI購物助理的核心目的，是降低消費者在購物流程中的摩擦。過去電商雖然提供搜尋與推薦功能，但消費者仍需要自行整理需求、比較商品、閱讀大量評論，整個流程越複雜，越可能在購買前流失。</p> <p>Amazon希望透過Rufus將購物流程由「搜尋商品」轉變為「與AI對話完成需求探索」。消費者可以直接描述需求，例如希望尋找適合特定對象的禮物，或需要符合特定情境的商品，Rufus會根據對話內容理解需求，協助篩選商品。</p> <p><img alt="" src="/sites/default/files/images/Rufus600.jpg" style="width: 600px; height: 405px;" /></p> <p>Ray Wang指出，Rufus也透過AI整理商品評論、分析價格變化，以及協助判斷尺寸適配性等方式，降低消費者做購買決策時的不確定性。例從大量的使用者評論中，Rufus可以歸納商品優缺點。例如不同地區市場的服飾尺寸差異，AI可根據評論與消費者背景提供消費者更適合的建議。</p> <p>這些能力帶來的改變，不只是增加一個新的搜尋入口，而是縮短消費者從需求產生、商品探索到完成購買的流程。Ray Wang提到，Amazon過去推出一鍵購買功能，也是為了降低結帳流程造成的流失；如今Rufus則進一步將這個概念延伸到購買前階段，降低搜尋與決策過程的摩擦，提升購物效率與成交機會。</p> <h2><strong><span style="font-size:20px;"><span style="color:#B22222;">Agent AI的關鍵，不只是回答問題，而是能採取行動</span></span></strong></h2> <p>Ray Wang指出，企業打造Agent AI時，重要的不只是導入大型語言模型，而是讓Agent具備完成任務所需的資料、工具與執行能力。</p> <p>以購物Agent為例，背後需要整合：</p> <ul> <li role="presentation">商品資料</li> <li role="presentation">價格資訊</li> <li role="presentation">使用者偏好</li> <li role="presentation">評論內容</li> <li role="presentation">交易流程</li> </ul> <p>AI必須先理解使用者需求，再根據資料做判斷，最後透過工具完成動作。</p> <p>這也是AWS近年推動Agent AI平臺的重要方向。包括Amazon Bedrock AgentCore提供企業建立Agent所需的基礎能力，包括Agent管理、工具調用、身分驗證與執行環境管理，協助企業將AI從聊天介面導入實際業務流程。</p> <p>換言之，企業導入Agent AI，不只是建立一個會回答問題的聊天機器人，而是打造一個能夠蒐集資訊、分析判斷並執行任務的數位代理人。</p> <h1><span style="font-size:20px;"><span style="color:#B22222;"><strong>從知道「買什麼」到理解「為什麼買」，AI代理購物改變電商經營</strong></span></span></h1> <p>當AI成為消費代理人，提供企業及電商金流支付服務Tap Pay的喬睿科技副總經理Joseph Liao，分享從電商經營角度來看AI代理購物（Agentic Commerce）可能帶來的產業影響。</p> <p>Joseph指出，過去電商掌握的是消費者「買了什麼」，但是並不能理解消費者「為什麼買這些東西」。</p> <p>以同樣購買香氛蠟燭為例，一位消費者可能是為了生日送禮，另一位則可能是希望改善睡眠品質。傳統電商看到的是相同商品交易，但背後的消費情境與需求卻完全不同。</p> <p>AI代理購物的價值，在於它能透過對話理解消費者的意圖（Intent），掌握購買背後的情境，讓商家不只是推薦商品，而是提供更符合需求的服務。</p> <p>未來消費者可能不是先進入購物網站搜尋商品，而是在需求產生時，就先與AI Agent互動。例如：「我要參加重要場合，需要一套適合的服裝。」</p> <p>AI可以進一步理解，使用的場合、購物預算範圍、個人風格，再協助消費者推薦參考方案，而不是只列出商品清單。</p> <p>Joseph認為，這將讓電商競爭從過去的「商品搜尋能力」，轉向「理解消費者需求的能力」。</p> <h2><span style="color:#B22222;"><span style="font-size:20px;"><strong>AI自主購物帶來新挑戰，交易治理成企業必修課</strong></span></span></h2> <p>過去仰賴生成式AI為我們提供資訊時，當我們發現AI回覆的是錯誤的訊息，AI就會表達道歉並承認出錯，但是當AI Agent開始從推薦商品，甚至進一步執行交易，將帶來新的治理問題。</p> <p>Joseph指出，當AI代替消費者購物時，必須避免發生買錯、濫買或超越授權範圍的情況。一個有趣的例子是，當消費者要求AI幫忙購買電競滑鼠，但AI搜尋資訊後，可能自行下單購買完整的電競設備更符合需求，因為購買整套設備會送電競滑鼠，導致消費的金額遠遠高出原始預期的支出。</p> <p>因此，企業必須為代理購物建立控制機制，包括交易額度限制、支付權限管理，以及高風險交易的再次確認。</p> <p>由此可見，未來Agent AI不只是能力競賽，也是場治理能力競賽。企業需要思考以下問題：</p> <ul> <li role="presentation">Agent可以存取哪些資料？</li> <li role="presentation">可以執行哪些動作？</li> <li role="presentation">什麼情況需要人工確認？</li> </ul> <p>才能讓AI在提高效率的同時，避免它們失控。</p> <h2><strong><span style="color:#B22222;"><span style="font-size:20px;">AI店長將成下一階段電商入口</span></span></strong></h2> <p>Joseph認為，下一階段AI代理購物可能進一步發展為「AI店長」。</p> <p>過去消費者進入實體商店時，店員會透過詢問了解需求，再提供建議。未來品牌網站上的AI Agent，也可能扮演類似角色。</p> <p>它不只是回答「哪個商品最好」，而是先理解「你為什麼需要這項商品？」，再提供完整服務。</p> <p>未來電商向Agentic Commerce概念發展，顯示AI重新定義電商流程。未來企業導入Agent AI的關鍵，不只是讓AI具備知識，而是讓AI能夠理解目標、串接資料、採取行動，並在治理框架下完成任務。</p> </div></div></div>
7/17 18:15作者蘇文彬https://www.ithome.com.tw/news/177406
OpenShift 4.22讓AI代理受控存取叢集資源，MCP伺服器與閘道進入技術預覽
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Red Hat在<strong><a href="https://www.redhat.com/en/blog/navigate-ai-and-scale-red-hat-openshift-422">OpenShift 4.22</a></strong>中，以技術預覽形式推出OpenShift MCP伺服器與MCP閘道，讓AI代理可在權限控管下存取叢集資源與維運資訊。JobSet Operator則進入正式可用階段，支援分散式AI訓練及大型語言模型微調。新版也強化機密運算與叢集自動擴充功能。</p> <p>OpenShift MCP伺服器透過角色型存取控制（RBAC），讓AI代理存取Kubernetes資源、Helm部署項目、Prometheus指標及OpenShift Virtualization工作負載。MCP閘道則在單一端點後方整合多個MCP伺服器，集中處理身分驗證、授權及水平擴充，讓代理不必分別連接各項服務。</p> <p>這兩項功能目前皆屬技術預覽，尚未進入正式可用階段。搭配Red Hat OpenShift AI後，企業可建立核准使用的MCP伺服器目錄，並追蹤AI代理的端對端操作流程，將代理存取基礎架構的行為納入既有治理機制。AI代理對叢集資源的存取，仍受OpenShift既有RBAC、身分驗證與授權機制約束。</p> <p>在AI訓練領域，JobSet Operator已進入正式可用階段。JobSet可將多個彼此關聯的Kubernetes Job視為同一組工作，協調分散式訓練或模型微調所需程序，並讓相關工作共同成功或失敗。該設計適合需要多個節點及GPU協同運作的訓練作業，也可減少部分程序中斷後，其餘程序仍持續占用運算資源的情況。</p> <p>就安全機制而言，OpenShift核心元件逐步改用精簡版Red Hat Universal Base Image，移除非必要套件，以縮小基礎映像檔的攻擊面。平臺元件也改採專用且符合最低權限原則的身分，而SPIRE與OpenShift Service Mesh則以動態密碼學方式驗證工作負載身分，降低對靜態密鑰的依賴。OpenShift sandboxed containers 1.12已正式支援裸機機密容器，機密AI（Confidential AI）則為技術預覽，可將敏感資料與AI演算法置於硬體隔離的執行環境。</p> <p>OpenShift 4.22也擴充Red Hat OpenShift Service on AWS（ROSA）託管控制平面（HCP）的叢集自動擴充功能。Red Hat版Karpenter現已正式可用，可依工作負載需求動態啟用合適規格的EC2執行個體，減少長期維持固定且可能過度配置機器集區的情況。ROSA HCP叢集也可將EC2 Spot執行個體納入擴充策略，供可容錯工作負載使用，而無法取得Spot容量時，則改用隨需執行個體。</p> </div></div></div>
7/17 18:17作者李建興https://www.ithome.com.tw/news/177401
【資安日報】7月17日，臺灣製造業遭中國惡意軟體Daxin攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><h3><strong>本日新聞焦點</strong></h3> <p>● <a href="https://www.ithome.com.tw/news/177397#Daxin">臺灣製造公司恐遭中國後門Daxin埋伏長達13年</a><br /> ● <a href="https://www.ithome.com.tw/news/177397#BoryptGrab">近300個GitHub儲存庫冒充各式知名品牌散布竊資軟體</a><br /> ● <a href="https://www.ithome.com.tw/news/177397#SharePoint">微軟修補的SharePoint重大漏洞兩天後傳出被用於攻擊</a><br /> ● <a href="https://www.ithome.com.tw/news/177397#UEFI">舊版Linux UEFI Shim存在漏洞可被用於繞過安全開機</a> <br /> ● <a href="https://www.ithome.com.tw/news/177397#FirstLight">近100國從事大規模執法行動First Light打擊網路詐騙</a> <a id="Daxin" name="Daxin"></a></p> <h3> </h3> <h3><b>資安新聞總覽</b></h3> <p><a href="https://www.ithome.com.tw/news/177390"><span style="font-size: 22px;"><strong>高階後門Daxin、Stupig鎖定臺灣製造業發動攻擊</strong></span></a></p> <p><a href="/sites/default/files/images/daxin-dark-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/daxin-dark-63.jpg" style="width: 300px; float: right;" /></a></p> <p>4年前資安公司賽門鐵克揭露中國高階後門程式Daxin，並指出相關活動可追溯至2013年，攻擊目標多半為各國政府或是與中國利益有關的企業組織，如今傳出駭客將其用於臺灣企業。博通旗下的Symantec and Carbon Black威脅獵捕團隊於今年5月，在一家跨國高科技製造公司旗下的臺灣子公司當中，發現了Daxin的活動，該團隊針對受害電腦進一步調查，找到另一個後門程式Stupig，值得留意的是，這兩支惡意程式的編譯時戳都在2013年初，代表它們可能已潛伏在該公司長達13年。<a href="https://www.ithome.com.tw/news/177390">詳全文</a> <a id="BoryptGrab" name="BoryptGrab"></a></p> <p><a href="https://www.ithome.com.tw/news/177364"><span style="font-size: 22px;"><strong>近300個假GitHub儲存庫冒充Arctic Wolf與知名品牌，散布竊資軟體BoryptGrab</strong></span></a></p> <p><a href="/sites/default/files/images/malicious-github-fig01-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/malicious-github-fig01-63.jpg" style="width: 300px; float: right;" /></a></p> <p>7月13日資安公司Arctic Wolf揭露，自今年6月26日起，有人建立至少292個冒充知名軟體及資安品牌的GitHub儲存庫，透過偽造的說明文件（README）與下載頁面，散布Windows竊資程式BoryptGrab，企圖竊取瀏覽器憑證、加密貨幣錢包、通訊軟體帳號及Windows憑證等敏感資料。遭冒充的對象相當廣泛，橫跨資安工具、金融科技與個人理財服務、加密貨幣錢包與交易所、開發及生產力工具、安全電子郵件服務、macOS工具與遊戲軟體等類別，其中包括Arctic Wolf本身。<a href="https://www.ithome.com.tw/news/177364">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177366"><span style="font-size: 22px;"><strong>駭客借助AI開發物聯網殭屍網路TuxBot，多項功能錯誤但攻擊流程仍可運作</strong></span></a></p> <p><a href="/sites/default/files/images/word-image-913057-183516-1-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/word-image-913057-183516-1-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安公司Palo Alto Networks揭露物聯網殭屍網路框架TuxBot v3 Evolution。駭客利用大型語言模型協助產生及移植程式碼，建立支援17種處理器架構的惡意程式、C2伺服器、加密通訊機制及DDoS攻擊出租介面。儘管多項進階功能因程式錯誤而失效，掃描、帳號密碼暴力破解、常駐、主要C2通訊及DDoS攻擊等核心流程仍可運作。研究人員取得TuxBot v3 Evolution完整原始碼、編譯後執行檔及254份自動化DDoS效能測試報告，估計整套框架約有70%功能可用。<a href="https://www.ithome.com.tw/news/177366">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177351"><span style="font-size: 22px;"><strong>新加坡土地管理局委外雲端系統的開發測試環境遭非法存取，供應商IBM測試資料未去識別化致7萬人個資外洩</strong></span></a></p> <p>新加坡土地管理局（SLA）於7月3日發布個資外洩事件公告，指出IBM通報該公司為SLA兩套系統進行的開發與測試環境發生資安事件，目前確認此事件導致約7萬人的個資外洩。初步調查發現，遭非法存取的資料集自1998年起建立並定期更新，原應僅含去識別化的模擬資料，卻被發現留存約7萬人的真實姓名、身分證號碼（NRIC）與地址。SLA坦言該資料未按程序落實去識別化，目前正進一步調查導致此情況發生的原因。<a href="https://www.ithome.com.tw/news/177351">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177358"><span style="font-size: 22px;"><strong>印度核電廠承包商Reliance Group資料外洩，工程文件曝光</strong></span></a></p> <p>印度核電廠承包商Reliance Group傳出資料外洩事件，可能波及印度最大核能發電設施庫丹庫拉姆核電廠（Kudankulam Nuclear Power Plant，KKNPP）的工程資料。勒索軟體組織World Leaks已公布大批聲稱來自Reliance Group的檔案。最先向路透社通報此事的獨立資安研究人員Rakesh Krishnan表示，他以KKNP為關鍵字搜尋外洩資料，共找到近1.9萬個疑似與該核電廠相關的檔案，總計約14.3 GB，印度電腦緊急應變小組（CERT-In）正在調查此事。<a href="https://www.ithome.com.tw/news/177358">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177375"><span style="font-size: 22px;"><strong>可口可樂旗下乳品公司Fairlife遭勒索軟體攻擊，美國生產停擺</strong></span></a></p> <p>飲料巨擘可口可樂旗下乳品公司Fairlife遭到勒索軟體攻擊，迫使全美工廠暫停運作。根據可口可樂向美國證管會（SEC）提交的報告，Fairlife於7月16日發現與勒索軟體有關的事件中，第三方人士未授權存取了公司部分系統，包括和生產相關的系統。雖然公司產品品質和安全未受影響，然而此事件仍造成Fairlife美國生產作業中止，加拿大生產目前未受影響。Fairlife未透露是否有資料被竊、或是收到勒索訊息，目前也沒有勒索軟體組織出面聲稱犯案。<a href="https://www.ithome.com.tw/news/177375">詳全文</a> <a id="SharePoint" name="SharePoint"></a></p> <p><a href="https://www.ithome.com.tw/news/177382"><span style="font-size: 22px;"><strong>微軟甫修補的SharePoint重大漏洞已被用於實際攻擊</strong></span></a></p> <p>兩天前美國網路安全與基礎設施安全局（CISA）提出警告，他們掌握利用3個已知漏洞攻擊SharePoint的活動，其中一個是同一天微軟於7月例行更新公告及修補的CVE-2026-56164，如今傳出有另一個漏洞也遭到利用。7月16日CISA將CVE-2026-58644加入已遭利用的漏洞列表（KEV），聯邦機構必須在7月19日前完成修補。CVE-2026-58644為未受信任資料反序列化產生的問題，CVSS風險評分為9.8，同一天微軟也更新公告，確認已偵測到漏洞利用活動。<a href="https://www.ithome.com.tw/news/177382">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177387"><span style="font-size: 22px;"><strong>Fortinet沙箱平臺重大漏洞遭到利用</strong></span></a></p> <p>7月16日美國網路安全與基礎設施安全局（CISA）指出，他們已掌握3個漏洞遭積極利用的證據，因此把這批弱點加入已遭利用漏洞名單（KEV），要求聯邦機構必須在7月19日前完成修補。值得留意的是，其中有兩個是Fortinet沙箱系統FortiSandbox的已知漏洞。這些漏洞是CVE-2026-39808、CVE-2026-25089，都是作業系統命令注入漏洞，CVSS風險評分皆為9.1分，Fortinet先後於4月及6月修補，一個月前威脅情報公司Defused Cyber警告出現攻擊活動。<a href="https://www.ithome.com.tw/news/177387">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177379"><span style="font-size: 22px;"><strong>CISA要求聯邦機構緊急修補Oracle EBS重大漏洞</strong></span></a></p> <p>今年5月Oracle發布關鍵安全修補更新（CSPU），修補E-Business Suite（EBS）重大等級的資安漏洞CVE-2026-46817，一個月後威脅情報公司Defused Cyber首度偵測到漏洞利用活動，如今美國政府也證實該弱點被用於實際攻擊的現象，並要求聯邦機構趕緊採取行動因應。7月15日美國網路安全與基礎設施安全局（CISA）表示，他們將兩個漏洞加入已遭利用漏洞名單（KEV），其中一個就是CVE-2026-46817，聯邦機構必須在7月18日修補這個資安漏洞。<a href="https://www.ithome.com.tw/news/177379">詳全文</a> <a id="UEFI" name="UEFI"></a></p> <p><a href="https://www.ithome.com.tw/news/177370"><span style="font-size: 22px;"><strong>ESET警示經微軟簽章的舊版Linux UEFI Shim仍存在漏洞，可能繞過安全開機機制</strong></span></a></p> <p><a href="/sites/default/files/images/Linux-UEFI-3-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/Linux-UEFI-3-63.jpg" style="width: 300px; float: right;" /></a></p> <p>微軟2011年版UEFI安全開機（Secure Boot）憑證到期的消息，曾在稍早喧騰一時，這不僅影響Windows平臺，也影響Linux應用環境，Red Hat便在6月時提醒用戶更新韌體中的開機信任設定，為Secure Boot資料庫（db）納入2023年版憑證，同時也更新Shim開機載入程式的數位簽章。時隔一個月後，資安公司ESET於7月14日發布的報告中，揭露這一連串憑證與簽章更新的背後，其實也牽涉到Linux的UEFI Shim開機載入程式的重大安全性問題。<a href="https://www.ithome.com.tw/news/177370">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177365"><span style="font-size: 22px;"><strong>RabbitMQ存在重大漏洞，可能導致OAuth金鑰外洩與訊息佇列伺服器遭接管</strong></span></a></p> <p><a href="/sites/default/files/images/6a4f6b8cbdca5ab834ee105b__Infographic_RabbitMQ_1-6-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/6a4f6b8cbdca5ab834ee105b__Infographic_RabbitMQ_1-6-63.jpg" style="width: 300px; float: right;" /></a></p> <p>廣泛應用於微服務及雲端架構的開源訊息佇列軟體RabbitMQ，近日由資安公司Miggo揭露存在兩個漏洞，可能導致OAuth驗證資訊外洩，讓未經身分認證的攻擊者取得管理權限，較嚴重的是CVE-2026-57219，CVSS評分達8.7，Miggo指出問題存在於RabbitMQ的OAuth 2.0驗證機制，攻擊者只要能存取管理埠，就有可能藉由特製請求取得OAuth用戶端密鑰等敏感資訊，進而冒用身分取得管理者權杖，用戶除了安裝修補程式，Miggo建議也應限制管理埠的存取，以降低遭攻擊風險。<a href="https://www.ithome.com.tw/news/177365">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177374"><span style="font-size: 22px;"><strong>Google發布Chrome 150更新，修補3個重大等級漏洞</strong></span></a></p> <p>7月16日Google發布電腦版與Android版更新150.0.7871.128、150.0.7871.129，總共修補7個資安漏洞，全部都是與記憶體有關的問題，大部分屬於記憶體釋放後再存取使用（UAF）型態的弱點。從危險程度來看，有3個是重大等級，其餘為高風險等級。這些重大等級漏洞登記為CVE-2026-15899、CVE-2026-15900、CVE-2026-15901，皆由Google自行發現，存在於CameraCapture、GPU、Network元件，都是記憶體釋放後再存取使用類型的弱點。<a href="https://www.ithome.com.tw/news/177374">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177357"><span style="font-size: 22px;"><strong>Notepad++發布8.9.7版，修補5個漏洞並強化安裝程式安全性</strong></span></a></p> <p>Windows平臺廣受開發與系統管理人員使用的開源文字編輯器Notepad++，近日發布8.9.7版，修補5個漏洞，已有3個獲得CVE編號，其中兩個已有CVSS嚴重性評分，其一是8.1分的CVE-2026-57233，為系統更新程式WinGUp處理壓縮檔時的Zip Slip路徑穿越漏洞，可能導致攻擊者覆寫重要檔案；另一個是7.8分的CVE-2026-54758，屬於堆疊緩衝區溢位漏洞，可能導致遠端執行程式碼。另外還有一個尚未獲得CVE編號的漏洞，也值得注意。<a href="https://www.ithome.com.tw/news/177357">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177367"><span style="font-size: 22px;"><strong>GNU Wget存在SSRF漏洞，恐遭濫用存取內部網路資源</strong></span></a></p> <p>美國CERT/CC近日發布警示，開源命令列下載工具GNU Wget存在伺服器端請求偽造（SSRF）漏洞CVE-2026-15146，雖然此漏洞僅為中度風險，CVSS嚴重性評分為5.9。CERT/CC指出問題源自GNU Wget連線至惡意FTP伺服器時，若使用FTP被動連線模式（PASV），將不會驗證FTP伺服器回應中提供的IP位址，攻擊者可藉此將GNU Wget的FTP連線導向至任意IP位址與連接埠，進而透過SSRF攻擊存取GNU Wget主機與內部網路資源。<a href="https://www.ithome.com.tw/news/177367">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177325"><span style="font-size: 22px;"><strong>Cloudflare推出Precursor，以網站工作階段行為辨識AI代理與機器人流量</strong></span></a></p> <p>網路與應用程式安全服務業者Cloudflare推出機器人防護功能Precursor，透過持續分析訪客在整個網站工作階段的操作行為，辨識流量來自真人、自動化機器人或AI代理。使用Cloudflare Enterprise Bot Management的網站管理人員將能啟用，此功能會在網站傳送給訪客的HTML回應中，自動加入輕量化JavaScript指令碼，蒐集滑鼠指標移動、鍵盤活動、網頁元素焦點變化及頁面顯示狀態等訊號，再由邊緣伺服器交叉比對各項行為訊號是否一致。<a href="https://www.ithome.com.tw/news/177325">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177196"><span style="font-size: 22px;"><strong>為防範ClickFix社交工程攻擊，Opera推出可疑操作偵測機制Paste Protect</strong></span></a></p> <p><a href="/sites/default/files/images/Heres-how-Operas-Paste-Protect-guards-you-natively-against-clipboard-attacks-Paste-Protect-Popup-UI-3-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/Heres-how-Operas-Paste-Protect-guards-you-natively-against-clipboard-attacks-Paste-Protect-Popup-UI-3-63.jpg" style="width: 300px; float: right;" /></a></p> <p>瀏覽器業者Opera推出新防護功能Paste Protect，可防範剪貼簿內容遭惡意竄改，以及ClickFix類型的社交工程攻擊。這項功能已內建於電腦版Opera，並預設為開啟。Paste Protect整合兩項剪貼簿防護機制，其中，Hijack Protection可防止外部應用程式竄改剪貼簿內容，例如將網址、銀行帳號或其他敏感資訊替換成攻擊者指定內容；Injection Protection則針對ClickFix攻擊手法，一旦偵測使用者複製可疑命令到剪貼簿，或網站試圖放入剪貼簿的可疑命令，就會顯示警示訊息。<a href="https://www.ithome.com.tw/news/177196">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177212"><span style="font-size: 22px;"><strong>針對Claude Code用於防範中國AI公司的反蒸餾機制，中國政府定調為後門</strong></span></a></p> <p>中國工業和信息化部旗下網絡安全威脅和漏洞信息共享平臺（NVDB）近期發布警告，指稱AI程式開發工具Claude Code存在安全後門隱患，要求相關單位全面清查，此「隱患」實際上是Anthropic為了因應中國三大AI實驗室的大規模蒸餾攻擊曾經導入的實驗性反蒸餾（Distillation）措施，當時這些實驗室非法榨取Claude的核心能力來訓練自己的模型。Anthropic未在中國提供服務，本公告間接反映當地公部門與民眾透過代理或海外帳號使用的現象。<a href="https://www.ithome.com.tw/news/177212">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177272"><span style="font-size: 22px;"><strong>英國雙管齊下對抗網路威脅，啟動企業承諾並打造國家級AI盾牌</strong></span></a></p> <p>面對因AI而加劇的網路安全威脅，英國政府與國家網路安全中心（NCSC）近日宣布，將啟動企業的網路韌性承諾（Cyber Resilience Pledge）機制，並公布國家級AI網路防禦藍圖Cyber Shield。英國政府宣布已有超過60家企業簽署該承諾，涵蓋零售、金融、媒體與科技等產業，如百貨業者Marks & Spencer、金融機構Nationwide、電視臺ITV及英國電信業者Vodafone等。至於Cyber Shield，核心目標是利用AI打造以機器速度自動化運作的國家網路防禦體系。<a href="https://www.ithome.com.tw/news/177272">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177225"><span style="font-size: 22px;"><strong>歐盟推AI資安行動計畫，強化模型安全評估與網路韌性</strong></span></a></p> <p>隨著AI加速導入各產業與公共服務，歐盟執委會發布AI與資安行動計畫（EU Action Plan on Cybersecurity and Artificial Intelligence），希望提升歐洲整體網路防護能力，同時降低AI遭攻擊者濫用的風險。這項行動計畫列出3大方向，包括安全且負責任地使用先進AI、提升歐盟網路防護與復原能力，以及擴大AI在漏洞分析、威脅偵測與事件應變等資安工作的應用。歐盟將依據AI法案（AI Act），強化AI模型進入歐盟市場前的安全評估機制。<a href="https://www.ithome.com.tw/news/177225">詳全文</a> <a id="FirstLight" name="FirstLight"></a></p> <p><a href="https://www.ithome.com.tw/news/177373"><span style="font-size: 22px;"><strong>國際刑警組織跨國掃蕩網路詐騙，在First Light 2026行動下逮捕逾5,800名嫌犯</strong></span></a></p> <p>國際刑警組織（Interpol）近日公布代號Operation First Light 2026的全球聯合執法成果，自2026年1月15日至4月30日期間，橫跨97個國家展開打擊社交工程詐騙與洗錢的行動，共逮捕5,800名嫌犯、攔截約2.93億美元非法資金，並凍結超過3.1萬個涉案銀行帳戶。此次行動分析了15.2萬起商業電子郵件詐騙（BEC）、投資詐騙、網路釣魚、戀愛詐騙、身分冒用等社交工程犯罪案件，共確認14.2萬名受害者，偵破其中2.4萬起案件。<a href="https://www.ithome.com.tw/news/177373">詳全文</a></p> </div></div></div>
7/17 16:17作者周峻佑https://www.ithome.com.tw/news/177397
淮南寰宇股份有限公司榮獲 Amazon Web Services 2026 Consulting Rising St…
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在 2026 年 Amazon Web Services（AWS）台灣合作夥伴高峰會（AWS Partner Summit）上，淮南寰宇獲得2026年度「年度成長之星合作夥伴（諮詢類）」獎項殊榮。作為 Advanced 級別的合作夥伴，淮南寰宇因在雲端和網路及資安方面的優勢，獲得AWS認可，再次證明淮南寰宇在雲端及AI應用方面的卓越成就。合作夥伴高峰會是 AWS 一年一度專屬於 AWS 合作夥伴的重要活動，除了分享最新合作夥伴策略藍圖、生成式 AI 與 AI 代理技術應用及發展現況，也頒發在地合作夥伴獎項，彰顯 AWS 攜手合作夥伴深耕台灣重點產業的決心。</p> <p><strong>Why-Not Universal淮南寰宇</strong></p> <p>淮南寰宇是一家致力於提供頂尖資訊科技、雲端服務與企業網路及資安解決方案的專業團隊。團隊具備深的產業經驗，專注於融合最新技術（如Agentic AI、雲端架構建置與企業級網路資安防禦）來解決複雜的IT痛點。淮南寰宇始終以客戶為中心，致力於將先進的科技轉化為實用的商業工具，協助各行業客戶在瞬息萬變的商業環境與嚴峻的資安挑戰中，保持堅韌的營運優勢與競爭力。</p> <p><strong>此次獲獎關鍵創新成果</strong></p> <p>淮南寰宇藉助AWS強大的雲端服務與Amazon Bedrock生成式AI服務，協助客戶將企業內部的經驗知識轉化為數位大腦，將核心專業知識轉化為可執行、可擴展的數位資產。在數位轉型趨勢下，現代企業面臨著龐大且複雜的內部運作數據與流程挑戰。淮南寰宇透過AWS具備高可用性與高度擴展性的雲端基礎架構（如利用AWS Lambda驅動無伺服器自動化處理），為企業打造出一套「智慧AI代理解決方案」。該架構具備快速吸收、理解與解析企業內部複雜業務規則與專業知識的能力，透過真實數據統計證實，此舉能大幅優化企業人力佔比結構，並帶來以下具體成果： </p> <ul> <li><span style="font-size:18px;">營運處理成本降低40%：透過AWS雲端服務的彈性調度與自動化事件處理機制，系統能自動識別複雜的業務流程瓶頸並主動介入（例如自動串接跨平台溝通與工單開立），顯著減輕人力負荷，讓專業人才得以專注於更高價值的決策。 </span></li> <li><span style="font-size:18px;">跨系統資訊檢索效率提升50%：深度整合Amazon Bedrock託管的高效能基礎模型，賦能系統精準且即時的回應能力，確保企業在面對大規模業務成長與海量技術文件時，依然能保持高回應效率，重塑數據驅動的運作模式。</span></li> </ul> <p><strong>展望未來: 持續深化與AWS的戰略合作</strong></p> <p>透過運用AWS前瞻的AI工具與彈性雲端服務，進一步擴大AI 代理技術的應用藍圖。我們將致力於推動AI技術在企業營運場景的深度落地，從單一流程的自動化邁向複雜決策的智慧化支援。透過持續整合AWS提供的先進模型服務與高效運算資源，我們期望賦能AI具備更強大的業務洞察與主動式執行能力，協助企業在多元環境中，將專業知識轉化為即時的商業價值與精準決策。淮南寰宇將運用AWS不斷突破創新邊界，為企業客戶打造更具前瞻性、靈活度與持續成長動能的數位服務。</p> <p>淮南寰宇總經理莊志民表示：「數位轉型並非一蹴可及，而是需要依據系統關鍵性與業務優先級，分階段、分層次進行的策略佈局，我們除了深度整合AWS高可用且彈性的雲端服務，更進一步結合AWS先進的生成式AI服務，讓AI真正落地於企業核心，以更靈活、高效的姿態迎接未來的商業挑戰。」</p> <p>AWS台灣董事總經理王定愷表示：「AWS在台灣已與各領域合作夥伴攜手加速AI應用落地，助力客戶上雲出海、布局全球。我們很高興看到淮南寰宇深耕各行各業，幫助客戶技術創新與加速成長。隨著Agentic AI時代來臨，以及AWS亞太（台北）區域啟用屆滿一年，我們期待與在地夥伴更緊密合作，協助更多客戶把握數位轉型的關鍵契機。」</p> <p>AWS合作夥伴網路包括了來自全球200多個國家和地區、140,000多個合作夥伴，這些夥伴運用AWS技術、專案、專業知識和工具為客戶提供解決方案和服務。隨著去年AWS亞太（台北）區域正式啟用，也反映亞馬遜在基礎設施的持續投資和推動在地創新的承諾，不僅為台灣用戶提供更低延遲的服務，也滿足客戶資料在地儲存的需求與監管規定。</p> <p>【商標及法律聲明】Amazon Web Services、AWS、Amazon Bedrock、Amazon SageMaker AI 以及本新聞稿中提及之其他AWS商標及標誌，均為 Amazon.com, Inc. 或其附屬公司之商標。</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/960-whynot.png?itok=LhsdGn5c" width="960" height="420" alt="" /></div></div></div>
7/17 16:12機構署名廠商新聞稿https://www.ithome.com.tw/pr/177396
詐騙廣告侵蝕市場信任，數發部與三大公協會聯手推動可信任的數位廣告生態系
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>「打擊詐騙是好人與壞人之間不斷攻防的戰役」，數發部長林宜敬在今天一場活動中說。他認為面對日益複雜的網路詐騙，只靠政府單方面防堵是不夠的，還需要結合民眾、企業及產業力量，共同建立數位安全防護網。數發部今天將防詐工作延伸到數位廣告產業，透過產業自律機制，重建數位廣告市場信任。</p> <p>在數發部數位產業署輔導下，台灣數位媒體應用暨行銷協會（DMA）、台北市廣告代理商業同業公會（TAAA）及台北市媒體服務代理商協會（MAA）在今天共同成立「數位廣告信任聯盟」，串聯將近300家數位廣告相關業者，打造可信任的數位廣告生態系。</p> <p>「數位廣告信任聯盟」未來將建置聯防平臺，作為產業交換防詐情資的管道，協助業者掌握最新詐騙手法、高風險廣告樣態及相關風險資訊。同時，聯盟也將發布產業自律規範，鼓勵業者建立內部防詐管理機制，將防詐流程納入廣告刊登、審核及營運管理。</p> <p>除了情資共享與自律規範，聯盟也規畫推動「信任標章」制度，讓廣告主及消費者能辨識具備防詐能力與社會責任的數位廣告業者。數產署指出，希望透過標章制度建立市場識別機制，使防詐能力成為數位廣告產業的重要信任基礎。</p> <p>林宜敬表示，從熱心網友、企業夥伴到各領域人士，大家共同組成臺灣的「防詐好人隊」，每一筆通報背後，都是願意投入時間守護數位環境的力量。他期望未來有更多產業加入，讓防詐從個別的行動轉變為整體生態系的共同責任。</p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>詐騙樣態分析奏效，金融投資及冒充名人詐騙廣告下降</strong></span></span></p> <p>除了推動數位廣告產業建立信任機制，數發部近幾年在防詐工作上推動公私協力，透過「網路詐騙通報查詢網」強化民眾、政府與網路平臺之間的防詐協作。</p> <p>根據統計，從2024年9月30日上線到2026年7月13日止，「網路詐騙通報查詢網」累計接獲約110.5萬件疑似詐騙訊息通報，其中的54萬2,082件確認為詐騙訊息，並通知相關平臺下架，平均每月下架超過2萬件詐騙內容。目前已有超過62萬人次瀏覽網站，近7萬位民眾下載App。</p> <p>此外，數產署也從2023年12月運用「詐騙樣態分析」，針對網路廣告平臺掃描高風險詐騙案件，並將分析結果應用於防詐機制。</p> <p>統計至2026年6月底，高風險金融投資詐騙廣告掃獲案件，已從2024年單週最高約7.7萬件，下降到2026年6月平均每週388件，降幅達99%；身分冒充詐騙廣告則由單週最高約3.8萬件，下降至平均每週670件，降幅達98%。</p> <p>數產署表示，未來將持續結合網路平臺、資安、防詐服務及電信業者等力量，擴大數位信任防護量能，透過政府與產業合作，打造更安全、可信任的數位廣告環境。</p> </div></div></div>
7/17 14:45作者蘇文彬https://www.ithome.com.tw/news/177392
Uber收購德國外送龍頭Delivery Hero，版圖擴至99個市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://investor.uber.com/news-events/news/press-release-details/2026/Uber-Announces-Acquisition-Offer-for-Delivery-Hero/default.aspx" target="_blank">Uber周四（7/16）宣布</a>，將以每股41.5歐元向德國外送龍頭Delivery Hero股東提出現金收購要約，交易完成後，Uber的叫車與外送業務將擴及全球99個市場。Delivery Hero管理董事會與監事會均支持這項交易，雙方預計2027年下半年完成交易。</p> <p>總部位於德國柏林的Delivery Hero成立於2011年，業務遍及歐洲、亞洲、拉丁美洲、中東及非洲約65個市場。旗下品牌包括foodpanda、Glovo、talabat、PedidosYa及韓國Baedal Minjok等，除餐飲外送外，也發展生鮮雜貨與日用品快速配送服務。Delivery Hero除了在德國上市之外，也是德國MDAX指數成分股。</p> <p>Uber表示，收購Delivery Hero可快速擴大其在亞洲、中東、拉丁美洲及歐洲的外送版圖，並將更多市場納入叫車與外送並行的跨平臺模式。Delivery Hero則說，外送產業競爭激烈且高度仰賴規模，以歐洲為基地發展全球業務並不容易，因此現階段與實力雄厚的Uber結合，是維持未來競爭力的適當選擇。</p> <p>根據交易條件，Uber將以每股41.5歐元收購Delivery Hero股份，對其全部股權的估值約為148億美元。Uber在宣布交易前已直接持有Delivery Hero約24.77%股份，南非網路與投資集團Prosus另承諾出售所持約17%股份。</p> <p>為處理Uber Eats與Delivery Hero在部分市場的業務重疊，Delivery Hero另與紐約投資公司SSW Partners簽約，將14個市場的業務以約16億美元出售給SSW，這筆交易須待Uber完成收購Delivery Hero後才能交割。至於Uber則會接手Delivery Hero在50個市場的業務，涵蓋韓國、中東、東南亞、拉丁美洲及部分歐洲、非洲市場。</p> <p>Uber表示，交易完成後，全球叫車與外送服務版圖將擴及99個市場，同時提供叫車與外送服務的市場，也將由目前的34個增加至58個。若合併計算Uber與其將接手的Delivery Hero業務，2025年交易總額將達2,360億美元。其中，Uber去年交易總額約1,935億美元，而此次收購的50個市場交易總額約420億美元。</p> </div></div></div>
7/17 15:08作者陳曉莉https://www.ithome.com.tw/news/177394
VS Code代理工作階段脫離單一視窗，多視窗可接手同一任務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟發布<strong><a href="https://code.visualstudio.com/updates/v1_129">VS Code 1.129</a></strong>，開始導入以獨立程序執行AI代理的代理主機（agent host）。該架構採用代理主機協定（Agent Host Protocol，AHP），可承載Copilot、Claude與Codex等代理執行框架，並允許多個VS Code視窗連線至同一個代理工作階段。</p> <p>過去代理工作階段主要依附於個別編輯器視窗，新架構則將代理的執行與顯示介面分離。工作階段存續於代理主機程序後，使用者可以從不同VS Code視窗開啟並查看同一段代理對話及其產生的變更，不必將代理工作限制在最初啟動的視窗。</p> <p>代理主機上的Copilot代理由Copilot SDK驅動，使其行為與功能更接近Copilot CLI、獨立版GitHub Copilot應用程式及其他Copilot產品。VS Code目前正逐步向編輯器視窗與Agents視窗使用者開放代理主機，使用者須啟用chat.agentHost.enabled設定。若該設定由組織統一管理，則須由管理員調整。</p> <p>在工作階段管理方面，執行於代理主機上的Copilot、Claude及Codex可以列出其他工作階段，查看其狀態、工作區與程式碼變更，也能讀取另一個工作階段近期的對話。代理還可建立新的工作階段或在現有工作階段中新增聊天，將不同子任務分開處理。</p> <p>代理可以向自己建立的工作階段或聊天傳送訊息，以啟動或調整其中的工作，但每次傳送前仍須取得使用者確認，也不能向自身所在的聊天傳送訊息。VS Code另限制短時間內可傳送的訊息數量，避免單一要求衍生出未受控制的大量代理工作階段。</p> <p>VS Code 1.129也在Agents視窗加入實驗性的整合編輯面板，將檔案編輯器與變更詳細資料整合至聊天旁的同一個停駐面板，並共用分頁列。使用者可以直接檢查代理修改的檔案，切換行內或並排差異檢視。切換工作階段或重新載入視窗後，系統也會保留面板寬度、已開啟與作用中的編輯器，以及各檔案的摺疊狀態。代理主機目前正逐步開放，整合編輯面板與提示詞遷移功能則仍處於實驗階段。</p> </div></div></div>
7/17 15:14作者李建興https://www.ithome.com.tw/news/177393
美國戰爭部暫停CMMC第二階段，檢討國防承包商資安認證制度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://business.defense.gov/Engage/News/Article/4542563/forging-the-arsenal-of-freedom-department-of-war-suspends-cmmc-phase-ii-require/">7月13日美國戰爭部宣布</a>，立即暫停網路安全成熟度模型認證（Cybersecurity Maturity Model Certification，CMMC）第二階段要求。第二階段原定今年11月10日實施，部分處理受控非機密資訊（Controlled Unclassified Information，CUI）的國防承包商，屆時必須通過CMMC第2級第三方評估，才能參與適用這項要求的國防採購案。如今戰爭部將重新檢討第三方評估方式及制度實施安排，以減輕中小型與非傳統承包商的法規遵循負擔，進階指引將於為期<a href="https://dodcio.defense.gov/Portals/0/Documents/Library/ImplementingSuspensionCMMC-PhaseII.pdf">60天</a>的審查結束後頒布。</p> <p>戰爭部強調，此次暫停並不代表取消CMMC制度，第一階段的自我評估要求仍維持實施。<a href="https://dodcio.defense.gov/Portals/0/Documents/Library/ImplementingSuspensionCMMC-PhaseII.pdf" target="_blank">處理聯邦合約資訊（Federal Contract Information，FCI）的承包商</a>，仍須遵守《聯邦採購條例》FAR 52.204-21；處理CUI的承包商，仍須符合NIST SP 800-171第2版，以及DFARS 252.204-7012有關保護國防資訊與資安事件通報的要求。暫停期間，國防採購案只能列入CMMC第1級或第2級自我評估要求，不得要求承包商接受第2級第三方評估或第3級政府評估。</p> <p>根據近期資料與業界回饋，包括美國小型企業署的報告，現行制度的法規遵循成本偏高，加上合格第三方評估機構的量能不足、等待時間過長，已導致部分新進業者與小型企業退出國防合約市場。<a href="https://www.reuters.com/technology/pentagon-pauses-cyber-audit-rule-blamed-supplier-exits-2026-07-13/" target="_blank">路透社</a>訪問多家中小型航太與國防供應商，部分業者表示，為符合CMMC要求，可能須負擔數十萬美元的法規遵循成本，也有供應商因等待CMMC第2級第三方評估的時間過長，重新考慮是否繼續承接國防合約。</p> </div></div></div>
7/17 12:22作者王珮瑤https://www.ithome.com.tw/news/177389
高階後門Daxin、Stupig鎖定臺灣製造業發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>4年前資安公司賽門鐵克揭露<strong><a href="https://www.ithome.com.tw/news/149629">中國高階後門程式Daxin</a></strong>，並指出相關活動可追溯至2013年，攻擊目標多半為各國政府或是與中國利益有關的企業組織，當時賽門鐵克指出是他們看過最先進中國的惡意程式，因而引起高度關注，如今傳出駭客將其用於臺灣企業。</p> <p>博通旗下的<strong><a href="https://www.security.com/threat-intelligence/daxin-returns-stupig">Symantec and Carbon Black威脅獵補團隊指出</a></strong>，他們今年5月，在一家跨國高科技製造公司旗下的臺灣子公司當中，發現了Daxin的活動，該團隊針對受害電腦進一步調查，找到另一個後門程式Stupig，值得留意的是，這兩支惡意程式的編譯時戳都在2013年初，代表它們可能已潛伏在該公司長達13年。研究團隊表示，兩款惡意程式在同一主機上\部署、功能上相輔相成，且開發手法具有相似性，顯示背後的攻擊者很可能是同一批人馬。</p> <p>Daxin為Windows核心層級的rootkit，最大的特徵在於C2連線機制，該程式不會主動對外建立連線，而是監控傳入的TCP流量，然後挾持既有的合法連線，來傳出經加密處理的C2指令，使其極難透過傳統網路監控方式被識別。此外，該惡意程式還能透過被感染的主機進行多次跳躍的通訊（Multi-hop Communication），從而接觸隔離網路環境的系統。而在這起攻擊行動裡，駭客疑似利用舊版鼎捷數智（Digiwin）單一簽入（SSO）入口網站作為初期的入侵管道，此入口網站約於2009至2011年之間建置，並採用老舊的Java Development Kit（JDK）1.5與1.6版元件。</p> <p>對於這次新發現的Stupig，駭客設置與Windows鍵盤配置程式庫相似的名稱kbdus1.dll掩人耳目，並使用機碼將其向系統註冊為鍵盤配置的提供者，使得每次電腦開機的過程裡，win32k.sys會將其載入winlogon.exe。此後門進入winlogon.exe之後，就會監控Windows登入畫面，是否出現以Stupig開頭的使用者名稱，一旦有人輸入相關名稱，電腦就會在安全模式以SYSTEM執行特定的字串內容。</p> </div></div></div>
7/17 12:38作者周峻佑https://www.ithome.com.tw/news/177390
Cloudflare以eBPF整合DDoS防護、流量分流與系統觀測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>提供網路安全、效能與可靠性服務的Cloudflare，將Linux核心可程式化技術eBPF導入全球邊緣網路，用於DDoS防護、流量分流、服務不中斷的重新啟動，以及系統運作狀態觀測，<a href="https://ebpf.foundation/case-study-how-cloudflare-uses-ebpf-to-power-security-networking-and-observability-at-global-scale/">根據Linux基金會旗下eBPF基金會</a>本週公布的Cloudflare eBPF部署案例，這套架構可因應Anycast網路及數百萬個IP位址的管理需求，並減少Cloudflare對客製化Linux核心修補及特定硬體的依賴。</p> <p>在DDoS防護方面，Cloudflare結合eBPF與Linux高速封包處理框架eXpress Data Path（XDP），打造第四層DDoS防護機制L4Drop，可在惡意封包進入Linux核心網路堆疊前加以過濾，單一CPU核心每秒可處理逾1,000萬個封包。設於邊緣節點的dosd偵測系統，可在數秒內套用DDoS緩解規則。eBPF基金會指出，Cloudflare曾於2025年11月透過這套防護機制，自動緩解流量規模達31.4 Tbps的DDoS攻擊。</p> <p>在連線分流方面，Cloudflare自行開發流量分派系統Tubular，在socket層級分配流量，讓多項服務共用相同IP位址與通訊埠。Cloudflare另以eBPF開發udpgrm，讓使用者資料包協定（User Datagram Protocol，UDP）服務在重新啟動期間持續處理流量。</p> <p>Cloudflare也結合ebpf_exporter與追蹤工具，掌握Linux核心延遲分布情形及封包處理流程，協助工程人員找出傳統工具不易察覺的Linux核心競爭條件與延遲尖峰。</p> </div></div></div>
7/17 12:55作者王珮瑤https://www.ithome.com.tw/news/177391
微軟甫修補的SharePoint重大漏洞已被用於實際攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>兩天前<strong><a href="https://www.ithome.com.tw/news/177336">美國網路安全與基礎設施安全局（CISA）提出警告</a></strong>，他們掌握利用3個已知漏洞攻擊SharePoint的活動，其中一個是<strong><a href="https://www.ithome.com.tw/news/177319">同一天微軟於7月例行更新公告及修補</a></strong>的CVE-2026-56164，如今傳出有另一個漏洞也遭到利用。</p> <p>7月16日CISA將CVE-2026-58644<strong><a href="https://www.cisa.gov/news-events/alerts/2026/07/16/cisa-adds-three-known-exploited-vulnerabilities-catalog">加入已遭利用的漏洞列表（KEV）</a></strong>，並要求聯邦機構必須在<strong><a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-58644">7月19日前</a></strong>完成修補。CVE-2026-58644為未受信任資料反序列化產生的問題，具有網站擁有者身分的攻擊者可遠端寫入並執行任意程式碼，CVSS風險評分為9.8，同一天<strong><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-58644">微軟也更新公告</a></strong>，確認已偵測到漏洞利用活動。</p> </div></div></div>
7/17 11:24作者周峻佑https://www.ithome.com.tw/news/177382
近8成組織將AI用於資安，但僅36%建立正式AI風險管理計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.sans.org/white-papers/2026-sans-ai-survey-insights" target="_blank">資安教育與研究機構SANS Institute於7月發布調查報告指出</a>，企業在資安工作中採用AI的比例大幅上升，但AI治理機制尚未同步成熟。</p> <p>調查顯示，將AI納入資安策略的組織比例，從2025年的50%升至2026年的78%；建立正式AI風險管理與法規遵循計畫的組織比例，則僅從2025年的35%微幅增至2026年的36%。在已採用AI的組織中，僅27%的受訪者表示，AI部署已進入成熟階段，並融入日常作業。</p> <p>隨著AI應用擴大，76%的IT與資安從業人員表示，資安團隊已承擔企業AI治理職責。不過，63%的受訪者表示，組織仍無法掌握AI模型的使用位置及可能暴露的資料；另有54%的受訪者表示，組織尚未建立AI稽核框架。</p> <p>AI在攻防兩端的應用，也持續擴大。78%的IT與資安從業人員表示，所屬組織過去一年曾確認或懷疑遭到AI輔助攻擊；將AI導入紅隊作業的比例，也從2025年的33%升至2026年的61%。另有63%的受訪者表示，AI執行威脅偵測與回應時，仍會出現明顯問題，認可這類狀況的受訪者比例高於2025年的45%。報告分析指出，這不一定代表AI表現惡化，而可能是組織擴大部署後，更容易在實際作業中發現誤判、幻覺，以及無法辨識新型威脅等問題。</p> <p>SANS建議企業持續檢驗AI系統表現，盤點使用中的AI工具、模型用途及資料存取情形，並將審查、核准及稽核機制納入日常作業，同時強化人員檢查AI輸出及必要時介入處理的能力。</p> </div></div></div>
7/17 11:32作者王珮瑤https://www.ithome.com.tw/news/177383
CISA警告Fortinet沙箱平臺重大漏洞遭到利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>7月16日<strong><a href="https://www.cisa.gov/news-events/alerts/2026/07/16/cisa-adds-three-known-exploited-vulnerabilities-catalog">美國網路安全與基礎設施安全局（CISA）指出</a></strong>，他們已掌握3個漏洞遭積極利用的證據，因此把這批弱點加入已遭利用漏洞名單（KEV），要求聯邦機構必須在7月19日前完成修補。值得留意的是，其中有兩個是Fortinet沙箱系統FortiSandbox的已知漏洞。</p> <p>這些漏洞是CVE-2026-39808、CVE-2026-25089，都是作業系統命令注入漏洞，CVSS風險評分皆為9.1分，Fortinet先後於<strong><a href="https://www.fortiguard.com/psirt/FG-IR-26-100">4月</a></strong>及<strong><a href="https://www.ithome.com.tw/news/176532">6月</a></strong>修補。一個月前威脅情報公司Defused Cyber警告出現漏洞利用活動，當時駭客除利用這些弱點，還運用<strong><a href="https://fortiguard.fortinet.com/psirt/FG-IR-26-112">CVE-2026-39813</a></strong>，以繞過身分驗證與權限提升。</p> </div></div></div>
7/17 11:42作者周峻佑https://www.ithome.com.tw/news/177387
歐盟要求Google開放Android AI功能並共享搜尋資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_26_1634" target="_blank">歐盟執委會（European Commission）周四（7/16）</a>依據《數位市場法》（Digital Markets Act，DMA）發布兩項具法律約束力的實施規範，要求Google開放Android作業系統的AI互通功能，並向符合資格的第三方搜尋服務分享匿名化搜尋資料，以促進AI助理及搜尋市場的公平競爭。<a href="https://blog.google/company-news/inside-google/around-the-globe/google-europe/the-dma-should-not-undercut-security-privacy-for-europeans/" target="_blank">Google則批評</a>，相關措施恐削弱歐洲使用者的隱私與裝置安全。</p> <p>歐盟表示，Google同時經營Android、Google Search等多項核心平臺服務，DMA要求被認定為「守門人」（Gatekeeper）的業者，不得利用平臺優勢偏袒自家服務或阻礙競爭對手發展。此次發布的實施規範，主要是進一步釐清Google應如何履行DMA義務，而非認定Google已違反DMA，因此不涉及罰款。</p> <p>第一項規範聚焦Android的AI互通性。歐盟指出，目前第三方AI助理只能有限度存取Android的重要功能，相較之下，Google自家的Gemini可完整存取相關功能，不利市場競爭。為此，Google必須讓第三方AI助理平等存取Android功能，使用者未來可透過類似「Hey Google」的語音指令啟用偏好的AI助理，也能要求其跨App執行任務，例如預約計程車、建議聊天訊息的回覆內容，或回答與近期造訪地點有關的問題。歐盟使用者預計自2027年7月起受惠於相關變更。</p> <p>另一項規範要求Google向符合資格的第三方搜尋服務提供匿名化搜尋資料，讓競爭對手可利用這些資料改善搜尋結果與服務品質。具備搜尋功能的AI聊天機器人也可申請取得資料，而Google原則上必須提供其用來優化Google Search的同類資料。Google須自2027年1月起向符合資格的搜尋服務供應商分享資料。</p> <p>Google全球事務總裁Kent Walker表示，要求第三方AI助理取得更多Android權限，可能削弱既有的裝置安全機制。Google認為，目前手機製造商在審核相關AI服務時扮演重要角色，若外部App在缺乏同等防護下取得敏感系統權限，恐增加資安風險。至於在搜尋資料共享上，Google擔心使用者的私人搜尋內容可能在匿名化不足，且未經本人知情或同意的情況下流向第三方，進而危及個人隱私、企業機密甚或國家安全。</p> </div></div></div>
7/17 11:47作者陳曉莉https://www.ithome.com.tw/news/177388
Linus Torvalds談Linux核心對AI的立場，不排斥並以技術價值為主要考量
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Linux核心創始人Linus Torvalds<strong><a href="https://lore.kernel.org/linux-media/CAHk-=wi4zC+Ze8e+p3tMv8TtG_80KzsZ1syL9anBtmEh5Z40vg@mail.gmail.com/">在linux-media郵件清單表明</a></strong>，Linux核心不會成為全面排斥AI工具的專案。他表示，AI和其他開發工具一樣，開發者可自行決定是否採用，但核心社群不會因為有人反對，就禁止其他人使用大型語言模型協助開發。現行規範同時要求，人類提交者仍須審查程式碼、確認授權並承擔全部責任。</p> <p>該討論起因於Linux核心開發者討論Sashiko的使用方式。Sashiko是Linux基金會的開放原始碼AI代理式程式碼審查系統，會監看Linux核心郵件清單上的新修補程式，透過多階段審查流程檢查架構、安全、資源管理與並行處理等問題。Linux核心開發者Laurent Pinchart認為，維護者若打算依據Sashiko的審查結果要求作者處理，應先自行分類並驗證，避免將未經確認的AI回報直接轉交貢獻者。</p> <p>Laurent Pinchart引用Software Freedom Conservancy發布的生成式AI使用建議。該組織主張，自由及開放原始碼軟體社群應支持選擇拒絕使用AI系統的貢獻者，也不應強迫開發者採用相關工具。提交AI協助產生的內容前，貢獻者應充分審查並理解內容，也應揭露使用的系統、版本與協助方式。Sashiko開發者Roman Gushchin則表示，若要求維護者先分類並驗證Sashiko的審查結果，將使這套工具協助維護者的目標難以達成。</p> <p>Linus Torvalds回應，全面排斥AI並非Linux核心的立場。他認為AI和其他開發工具一樣，已證明具有實際用途，但也不完美，並可能增加維護者的工作量。Linux核心應設法讓大型語言模型工具真正協助維護者，而不是製造額外負擔。核心專案仍會以技術價值作為主要判斷依據，不會因為對新工具的疑慮而排除AI，也不會強迫任何開發者使用。</p> <p>Linux核心現行AI輔助開發文件規定，AI代理不得加入Signed-off-by標籤，因為只有人類能依開發者來源證明（Developer Certificate of Origin，DCO）對貢獻作出法律認證。人類提交者必須審查AI產生的程式碼、確認程式碼與GPL-2.0-only授權相容，並以自己的Signed-off-by標籤承擔全部責任。文件也指出，使用AI工具協助開發時，應加入Assisted-by標籤，註明工具或代理名稱及模型版本。</p> </div></div></div>
7/17 11:51作者李建興https://www.ithome.com.tw/news/177381
Moonshot AI發表Kimi K3，效能逼近Claude與GPT最新模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>中國AI業者<a href="https://www.kimi.com/blog/kimi-k3" target="_blank">Moonshot AI周四（7/16）發表最新模型Kimi K3</a>。該模型採用混合專家架構，總參數量達2.8兆，號稱是目前全球參數規模最大的開放模型，支援100萬token脈絡長度，並在多項程式開發、代理人、推理及視覺測試中達到Claude Fable 5與GPT 5.6 Sol等頂尖模型水準。Kimi K3已透過Kimi、Kimi Work、Kimi Code及API提供，完整模型權重預計於7月27日釋出。</p> <p>Moonshot AI將Kimi K3定位為「前沿智慧」（Frontier Intelligence）基礎模型，主要能力涵蓋程式開發、代理人、知識工作、推理及多模態理解，並強調可在較少人工介入下持續執行長時間、多步驟任務。</p> <p>在技術架構上，Kimi K3採用Kimi Delta Attention（KDA）、Attention Residuals（AttnRes）及Stable LatentMoE等新架構，並進一步提高混合專家的稀疏程度，在896個專家中每次僅啟用16個。Moonshot AI表示，相較於前一代Kimi K2，新架構可將整體擴展效率提升約2.5倍，更有效率地將運算資源轉化為模型能力。</p> <p>Moonshot AI展示多項Kimi K3的實際應用案例，包括自主最佳化GPU核心、從頭打造GPU編譯器、設計執行AI模型的晶片，以及完成互動式產業研究報告、重力波分析與影片剪輯等任務。其中，Kimi K3僅花約2小時便重現一項原本需資深研究人員花費1至2周完成的計算天文物理研究，展現其長時間自主執行複雜任務的能力。</p> <p>在基準測試方面，Kimi K3在程式開發、代理人、推理及視覺四大類評測皆躋身第一梯隊。其中，程式開發能力與Claude Fable 5、GPT 5.6 Sol互有領先；代理人能力雖整體仍略遜於兩者，但在部分搜尋與自動化任務已取得領先表現；推理與視覺能力則與Claude及GPT最新模型維持相近水準。</p> <p>在代表性測試中，Kimi K3於評估終端工程任務能力的Terminal Bench 2.1取得88.3分，僅次於GPT 5.6 Sol的88.8分，並高於Claude Fable 5與Claude Opus 4.8的84.6分；在衡量AI代理人完成一般知識工作能力的GDPval-AA v2中則取得1668分，落後Claude Fable 5與GPT 5.6 Sol，但領先Claude Opus 4.8、GPT 5.5及GLM-5.2。</p> <p>Kimi K3現已整合至Moonshot AI旗下聊天服務Kimi、知識工作平臺Kimi Work、AI程式開發工具Kimi Code及Kimi API。Kimi API的快取命中輸入、一般輸入與輸出價格，分別為每百萬token 0.3美元、3美元及15美元；Moonshot AI表示，程式開發工作負載的快取命中率可超過90%。</p> <p><a href="https://www.ft.com/content/c6ecd8ce-c441-4d7c-aea6-fae3e28fb6ff" target="_blank">英國金融時報（Financial Times，FT）則分析</a>，Kimi K3的推出可能動搖中國前沿AI模型在效能上落後美國8至12個月的業界共識，此外，隨著美國模型服務價格上升，已有愈來愈多美國及歐洲企業為降低AI使用成本，轉向價格較低的中國模型。</p> </div></div></div>
7/17 10:22作者陳曉莉https://www.ithome.com.tw/news/177376
Google為ChromeOS修補逾300個第三方元件與瀏覽器漏洞，其中21個為重大等級
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google於7月16日<strong><a href="https://www.ithome.com.tw/news/177374">發布電腦版與Android版瀏覽器更新</a></strong>，與前一次修補相隔僅兩天受到關注。值得留意的是，同一天他們<strong><a href="https://chromereleases.googleblog.com/2026/07/stable-channel-update-for-chromeos_01375142362.html">也對作業系統ChromeOS與ChromeOS Flex進行修補</a></strong>，發布16700.46.0穩定版更新，並升級瀏覽器為150.0.7871.150版，總共解決346個漏洞，這些問題存在瀏覽器與於第三方元件，其中有309個為瀏覽器弱點。</p> <p>從漏洞的危險程度來看，有21個是重大等級、98個為高風險等級。根據漏洞的類型來看，記憶體使用後再存取利用（UAF）比例最高，有76個，元件不當實作居次，有63個。再者，不受信任的輸入未經充分驗證，以及政策未充分執行型態的弱點，分跑有44與42個。</p> </div></div></div>
7/17 10:28作者周峻佑https://www.ithome.com.tw/news/177377
德國開源主權AI模型Soofi S，主打高效率、長文本推理能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://arxiv.org/abs/2607.09424" target="_blank">德國研究聯盟Soofi-Team本周公布</a>開源Mamba–Transformer混合專家（mixture-of-experts，MoE）模型Soofi S 30B-A3B，為歐洲推動主權AI的最新專案。</p> <p>SOOFI（Sovereign Open Source Foundation Models）是德國聯邦經濟和氣候保護部（BMWK）資助、在德國聯邦AI協會（KI Bundesverband）協調下，由歐洲知名的弗勞恩霍夫（Fraunhofer）研究所、DFKI等德國產學界多個機構組成的「Soofi-Team」開發的開源基礎大語言模型。它全程在德國電信慕尼黑營運的主權HPC AI基礎架構German Industrial AI Cloud上訓練開發。旨在提供一個在美國和中國模型之外由歐洲主導的開源模型給業界使用，主打強大推理和AI代理能力。</p> <p>Soofi S採用Mamba–Transformer混合的混合專家（MoE）架構，類似Nvidia Nemotron，提供英文和德文版本。其混合設計下，每個token運算時僅啟動300億參數中的30億個，在脈絡增長時推論快取幾近保持不變（near-constant），這使它具備長文本的推論效率，在長脈絡、高併發（high-concurrency）環境下處理效能優於稠密模型。例如，Soofi S的每秒解碼token數（TPS）是傳統稠密模型（如14B到24B模型）的8到9倍，且在4K到256K的上下文長度下，吞吐量依然能保持平穩。</p> <p>另一方面，Soofi S主打英、德語能力。Soofi S預訓練階段刻意為德文語料加權，以約27兆token進行訓練。開發團隊綜合英、德文的標竿測試中，Soofi S效能可比擬140億至270億參數的稠密模型（如Gemma 3 27B），而在混合英、德文的程式撰寫測試中，是17個開源模型（如EuroLLM、Apertus、Salamandra等）最佳，在英、德文中，Soofi S也取得全開源模型最高評分，超越Olmo 3 32B和Apertus 70B。甚至和知名模型如Nemotron 3 Nano （30B-A3B）及Mistral 3 14B、Qwen 3.5 （35B-A3B）及Gemma 3 27B相比，Soofi S在程式撰寫（英／德文）及數學（英／德文）項目拿下第一，而在MMLU、GPQA測試也拿下第二，僅落後Qwen 3.5。</p> <p>Soofi S以高度寬鬆的授權開源，除了權重，訓練中間檢查點（Intermediate Checkpoints）、訓練與評測程式碼、超參數、特定過渡檢查點也都開源。此外，Soofi-Team也公開完整的預訓練語料庫統計數據與數據構建腳本，詳細列出各語言和數據源的比例，方便社群進行稽核與重現研究結果（reproduce）。</p> <p>英文版Soofi-S可<a href="https://huggingface.co/Soofi-Project/Soofi-S-Base" target="_blank">在Hugging Face上</a>取得。</p> </div></div></div>
7/17 10:43作者林妍溱https://www.ithome.com.tw/news/177378
CISA要求聯邦機構緊急修補Oracle EBS重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>今年5月Oracle<strong><a href="https://www.ithome.com.tw/news/176313">發布關鍵安全修補更新（CSPU）</a></strong>，修補E-Business Suite（EBS）重大等級的資安漏洞<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-46817">CVE-2026-46817</a></strong>，一個月後<strong><a href="https://www.ithome.com.tw/news/176956">威脅情報公司Defused Cyber首度偵測到漏洞利用活動</a></strong>，如今美國政府也證實該弱點被用於實際攻擊的現象，並要求聯邦機構趕緊採取行動因應。</p> <p>7月15日美國網路安全與基礎設施安全局（CISA）表示，<strong><a href="https://www.cisa.gov/news-events/alerts/2026/07/15/cisa-adds-two-known-exploited-vulnerabilities-catalog">他們已掌握兩個漏洞被積極利用的證據</a></strong>，將其加入已遭利用漏洞名單（KEV），其中一個就是CVE-2026-46817，聯邦機構必須在7月18日修補這個資安漏洞。</p> </div></div></div>
7/17 10:47作者周峻佑https://www.ithome.com.tw/news/177379
G7提出金融業PQC轉型路線，以2035年為整體參考目標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.forescout.com/blog/g7s-post%e2%80%91quantum-cryptography-roadmap-in-plain-english/" target="_blank">網路資安業者Forescout解析</a>G7網路專家小組（Cyber Expert Group）今年1月發布的《金融業量子整備路線圖》（Quantum Readiness Roadmap for the Financial Sector）。這份發展藍圖的推出，可供金融機構、主管機關，以及支援關鍵金融服務的技術供應商與基礎設施營運商參考，用來規畫後量子密碼學（PQC）轉型。</p> <p><a href="https://home.treasury.gov/system/files/136/G7-CEG-Quantum-Roadmap.pdf" target="_blank">G7將後量子密碼轉型分為6個階段</a>，包括風險認知與準備、探查與資產盤點、風險評估與規畫、執行PQC轉型、轉型測試，以及驗證與持續監控。組織應先取得高階主管支持，盤點關鍵系統與敏感資料、各系統採用的密碼演算法與通訊協定，以及對第三方產品與服務的相依關係，再依系統重要性與曝險程度決定轉型的優先次序。</p> <p>在時程方面，G7指出，各國主管機關、國際標準組織，以及國際清算銀行、世界經濟論壇等國際機構的現行規畫，多以2035年作為整體PQC轉型的參考目標，最關鍵系統則可優先在2030年至2032年間推動PQC遷移。<a href="https://www.ithome.com.tw/news/176824" target="_blank">金管會今年6月發布</a>《金融業後量子密碼遷移參考指引》，同樣建議金融機構以2035年作為完成高風險系統PQC遷移的長期目標。</p> <p>Forescout指出，G7強調採用量子安全技術並非一勞永逸，密碼演算法與標準仍會持續演進，也可能出現新的安全漏洞。組織應讓系統具備密碼學敏捷性（Crypto-Agility），避免將特定密碼學演算法寫死在基礎設施中，使系統日後不必重新設計整體架構，就能更換演算法，並在轉型期間支援混合式密碼學技術。</p> </div></div></div>
7/17 11:03作者王珮瑤https://www.ithome.com.tw/news/177380
Agent安全即Runtime安全！奧義智慧揭露代理式AI的關鍵風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>迎向Agentic Workflow時代，企業在追求自動化效能的同時，伴隨而來的資安風險已成轉型首要挑戰。在CraftCon Taiwan 2026資安技術研討會上，奧義智慧資料科學研發處長楊政霖直言：「Agent Security本質上就是Runtime Security。」他並闡釋公司團隊研究人員歸納出的12種關鍵風險，以及Agent工具呼叫軌跡的評測基準TraceSafe-Bench，協助企業釐清Agent時代面對的挑戰。</p> <h2><strong>Agent風險存在於執行的每一秒，追蹤執行軌跡至關重要</strong></h2> <p>現在許多企業已經積極編列預算，投入大量運算資源，致力導入Agentic AI以優化業務流程。然而，在追求生產力紅利的同時，Agent的資安防禦思維必須同步升級。</p> <p>楊政霖強調，大家對於Agent的資安風險要有清楚的認識，因為Agent風險存在於執行的「每一秒」，並非只有檢查AI最後給出的答案是否正確。在執行過程中，Agent可能早已觸發惡意工具呼叫或導致機密外洩。因此，追蹤執行軌跡比檢視最終答案更為重要。</p> <p><a href="/sites/default/files/images/（圖5）奧義智慧揭露Agentic workflow的12種關鍵風險.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89%E5%A5%A7%E7%BE%A9%E6%99%BA%E6%85%A7%E6%8F%AD%E9%9C%B2Agentic%20workflow%E7%9A%8412%E7%A8%AE%E9%97%9C%E9%8D%B5%E9%A2%A8%E9%9A%AA.jpg" style="width: 600px;" /></a></p> <p>針對這類難以偵測的中途執行軌跡（mid-trajectory）風險，楊政霖在演說中特別介紹今年4月出爐的一篇論文《TraceSafe: A Systematic Assessment of LLM Guardrails on Multi-Step Tool-Calling Trajectories》，指出這是由奧義智慧AI Lab與臺灣大學的研究人員共同發表。當中針對Agent工具呼叫（Tool-Calling）的威脅面，系統化歸納為4大領域、12個細項類別，並提出相應的評測基準TraceSafe-Bench，讓大眾能更瞭解Agent在複雜任務中的安全現況。</p> <p>簡單來說，TraceSafe研究將Agent執行的風險畫分為4大領域：提示注入、隱私外洩、幻覺以及介面不一致。</p> <p>首先是提示注入，可分為兩種風險類型：「輸入注入」是指有惡意或錯誤指令隱藏在工具描述（tool definition）中，誘導Agent執行非預期動作；「輸出注入」則是當Agent接收到工具回傳值（tool response）後，受其內容誤導而產生如重設系統等具破壞性的後續指令。</p> <p><a href="/sites/default/files/images/（圖1）奧義智慧揭露Agentic workflow的12種關鍵風險.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E5%A5%A7%E7%BE%A9%E6%99%BA%E6%85%A7%E6%8F%AD%E9%9C%B2Agentic%20workflow%E7%9A%8412%E7%A8%AE%E9%97%9C%E9%8D%B5%E9%A2%A8%E9%9A%AA.jpg" style="width: 600px;" /></a></p> <p>第二個領域是隱私外洩，可分為3種風險類型，其中「資料外洩」、「使用者資訊外洩」一直是企業相當重視的核心資安議題，還有「API Key外洩」的潛在威脅同樣不容忽視。楊政霖以API hijacking案例說明，攻擊者可能表面上發起get_weather函式的呼叫請求，實則在指令中暗藏陷阱，誘導Agent將私密的API Key填入參數欄位。</p> <p><a href="/sites/default/files/images/（圖2）奧義智慧揭露Agentic workflow的12種關鍵風險.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E5%A5%A7%E7%BE%A9%E6%99%BA%E6%85%A7%E6%8F%AD%E9%9C%B2Agentic%20workflow%E7%9A%8412%E7%A8%AE%E9%97%9C%E9%8D%B5%E9%A2%A8%E9%9A%AA.jpg" style="width: 600px;" /></a></p> <p>第三個領域是幻覺，共畫分5種語義模糊或幻覺相關的風險，當中常見的類型包含：「參數定義模糊」、「工具名稱幻覺」與「參數值幻覺」，其餘則為「冗餘參數」與「缺少型別提示」。楊政霖特別以「參數定義模糊」為例指出，若是工具定義（schema）不夠嚴謹，像是醫療場景中要求派發「1顆500mg退燒藥」時，Agent可能因無法精確區分數量與劑量參數，誤將500mg的劑量數值填入數量欄位，導致發放藥量從1顆暴增至500顆。</p> <p><a href="/sites/default/files/images/（圖3）奧義智慧揭露Agentic workflow的12種關鍵風險.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E5%A5%A7%E7%BE%A9%E6%99%BA%E6%85%A7%E6%8F%AD%E9%9C%B2Agentic%20workflow%E7%9A%8412%E7%A8%AE%E9%97%9C%E9%8D%B5%E9%A2%A8%E9%9A%AA.jpg" style="width: 600px;" /></a></p> <p>第四個領域是介面不一致，其中「版本衝突」是大家最容易忽略的部分，例如，當同時存在payment V1、V2兩個API，Agent可能呼叫到錯誤的API；「功能描述不符」也是此場景常發生的問題，楊政霖指出，若開發端在撰寫工具描述（function description）時過於簡略，將導致不同功能的語義特徵在語言模型中顯得過於接近，使其難以精確辨識差異而引發錯誤呼叫。</p> <p><a href="/sites/default/files/images/（圖4）奧義智慧揭露Agentic workflow的12種關鍵風險.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89%E5%A5%A7%E7%BE%A9%E6%99%BA%E6%85%A7%E6%8F%AD%E9%9C%B2Agentic%20workflow%E7%9A%8412%E7%A8%AE%E9%97%9C%E9%8D%B5%E9%A2%A8%E9%9A%AA.jpg" style="width: 600px;" /></a></p> <h2><strong>針對企業評估AI護欄提出四個核心思維</strong></h2> <p>在建立這套風險框架後，研究團隊進一步建置TraceSafe-Bench評測基準，把12類風險轉成可逐步驟檢驗的測試案例，並測試市面上20種主流模型與AI護欄（Guardrail）方案。測試結果顯示，現有方案對多步驟工具呼叫的防護仍明顯不足。相較於單純的語意過濾，結構化軌跡的異常判定難度更高，且部分風險類別極難被有效阻擋。</p> <p>面對這樣的現況，楊政霖整理出企業評估AI護欄時可思考的四個關鍵問題：</p> <p>首先，能否看見Agent完整脈絡？AI護欄必須掌握工具清單、當下呼叫內容、先前輸出與整體流程，而非只看最後答案。</p> <p>其次，Agent能否理解JSON與工具schema？許多方案擅長過濾聊天內容中的有害文字，卻難以從JSON格式的工具呼叫紀錄中，辨識參數錯誤、描述矛盾等細微異常。</p> <p>第三，能否在工具被呼叫之前就攔截惡意？楊政霖強調，Agentic Security的關鍵在於執行時期防護；若只在工具執行後才審查，惡意呼叫或資料外洩可能早已發生。</p> <p>第四，能否涵蓋四大風險領域？在審視AI護欄能力時，防護範圍應同時覆蓋提示注入、隱私外洩、幻覺與介面不一致。</p> <p><a href="/sites/default/files/images/（圖6）奧義智慧揭露Agentic workflow的12種關鍵風險.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89%E5%A5%A7%E7%BE%A9%E6%99%BA%E6%85%A7%E6%8F%AD%E9%9C%B2Agentic%20workflow%E7%9A%8412%E7%A8%AE%E9%97%9C%E9%8D%B5%E9%A2%A8%E9%9A%AA.jpg" style="width: 600px;" /></a></p> <p>最後，楊政霖也建議企業可進一步參考論文TraceSafe中的實驗數據。這項研究中有幾項值得留意的發現，例如，AI護欄的成效與其理解JSON、工具schema的結構化能力高度相關，未必與模型參數規模成正比；部分風險在執行步驟較長的軌跡中反而較易被察覺；而介面不一致這類開發端常忽略的問題，仍是現有方案最薄弱的環節。</p> <p> </p> </div></div></div>
7/17 09:31作者羅正漢https://www.ithome.com.tw/news/177369
Google發布Chrome 150更新，修補3個重大等級漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>自6月底Google發表<strong><a href="https://www.ithome.com.tw/news/177003">Chrome 150大改版</a></strong>之後，已經進行兩次修補，值得留意的是，在<strong><a href="https://www.ithome.com.tw/news/177328">本週二</a></strong>發布更新之後，短短兩天該公司又再修補一批新漏洞。</p> <p>7月16日Google發布<strong><a href="https://chromereleases.googleblog.com/2026/07/stable-channel-update-for-desktop_049796704.html">電腦版</a></strong>與<strong><a href="https://chromereleases.googleblog.com/2026/07/chrome-for-android-update_01639733530.html">Android</a></strong>版更新150.0.7871.128、150.0.7871.129，總共修補7個資安漏洞，全部都是與記憶體有關的問題，大部分屬於記憶體釋放後再存取使用（UAF）型態的弱點。從危險程度來看，有3個是重大等級，其餘為高風險等級。這些重大等級漏洞皆由Google自行發現，存在於CameraCapture、GPU、Network元件，都是記憶體釋放後再存取使用類型的弱點，登記為CVE-2026-15899、CVE-2026-15900、CVE-2026-15901。</p> </div></div></div>
7/17 09:37作者周峻佑https://www.ithome.com.tw/news/177374
可口可樂旗下乳品公司遭勒索軟體攻擊，美國生產作業停擺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>飲料巨擘可口可樂旗下乳品公司fairlife本周遭到勒索軟體攻擊，迫使全美工廠暫停運作。</p> <p>fairlife是可口可樂旗下乳品生產子公司，主打以極濾技術提供比普通牛奶更多蛋白質、少50%糖分的強化乳品。根據維基百科，fairlife在美國製造商分別位於密西根、亞利桑納州及紐約州，另有一座位於加拿大安大略省。</p> <p><a href="https://www.sec.gov/ix?doc=/Archives/edgar/data/0000021344/000162828026048466/ko-20260716.htm&7194ef805fa2d04b0f7e8c9521f97343" target="_blank">根據可口可樂向美國證管會（SEC）提交的報告</a>，fairlife於7月16日發現在一次和勒索軟體有關的事件中，第三方行為者未授權存取了公司部分系統，包括和生產相關的系統。該公司立即啟動事件回應措施及業務永續程序，並在外部顧問及資安專家協助下展開調查，也通知了執法單位。</p> <p>雖然公司產品品質和安全未受影響，但勒索軟體事件導致fairlife美國生產運作暫時中止。加拿大生產目前未受影響。該公司目前正著手調查並致力於恢復系統和產線運作。fairlife表示目前還在調查事件屬性及整體後果，因而尚未能判斷事件對公司業務的影響。</p> <p>fairlife並未對媒體透露是否有任何資料被竊、或是公司是否遭到勒索。目前也沒有勒索軟體組織出面聲稱是其所為。<a href="http://www.bleepingcomputer.com/news/security/coca-cola-says-fairlife-ransomware-attack-halts-us-dairy-production/" target="_blank">Bleeping Computer分析</a>，若勒索軟體竊得資料，很快就會公開並要求聯繫，除非受害者支付贖金。</p> </div></div></div>
7/17 10:06作者林妍溱https://www.ithome.com.tw/news/177375
不只賣電腦，華碩推ExpertHub企業數位轉型服務平臺，要當中小企業轉型的「陪跑者」
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>一家鋼鐵切割加工廠想導入AI分析設備能耗，卻因為使用20、30年的老舊設備，資料無法從機台擷取，成為其數位轉型的絆腳石。另一家在地方上知名的羊肉店，老闆每天忙著備料、出餐，根本沒有餘力經營數位行銷；另一家酒商希望利用AI分析會員消費行為，但客戶資料卻散落在店面的POS、官網與會員App等不同系統，連資料整合都做不到。</p> <p>這些痛點是台灣170多萬家中小企業的日常，也是他們數位轉型的第一線真實困境。</p> <p>看準中小企業的轉型需求，華碩從自身多年經營商業用戶的基礎，推出中小企業數位轉型平臺ExpertHub，希望串聯軟體供應商(ISV)、通路、系統整合、顧問等供給面資源，媒合中小企業的轉型需求，包括軟體採購入口的Market Place市集，以及單一的EIP入口網，宣示以「陪跑者」角色，協助中小型企業從盤點需求、方案媒合到實際導入，降低AI與數位轉型門檻。</p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>中小企業轉型不缺工具，而是不知道怎麼用對工具</strong></span></span></p> <p>華碩聯合科技系統事業總經理廖逸翔表示，過去30多年華碩主要提供商用硬體產品，如今則希望跨入企業解決方案市場。他指出，AI快速發展後，各式軟體工具大量出現，中小企業反而面臨另一個問題。</p> <p>「以前企業數位轉型，可能Google搜尋一下就找到很多軟體，但是好不好用、適不適合自己，其實他們並不一定知道，也不知道該怎麼選。」</p> <p>根據官方統計資料，臺灣約有171萬家中小企業，占全體企業98%以上，許多中小企業主沒有IT部門，也沒有專業顧問，往往是看到什麼工具就買什麼，最後卻因不符合需求而無法發揮效益。</p> <p>因此，華碩推出ExpertHub的目的，除了因應ISV運用AI軟體開發，降低軟體開發成本，針對中小企業的需求建立解決方案Solution市集，希望扮演「數位轉型陪跑者」角色，協助企業找到真正符合需求的解決方案。</p> <p>「我們希望長期扮演陪跑夥伴，而不是一次性的銷售」，廖逸翔說。</p> <p><span style="font-size:20px;"><span style="color:#B22222;"><strong>串連軟體、系統整合、顧問服務建立中小企業轉型方案生態圈</strong></span></span></p> <p>華碩指出，過去企業採購商用軟體，大多仰賴同業推薦或業務介紹，軟體供應商知名度有限，中小企業往往只能「靠打聽」。</p> <p>ExpertHub希望建立一個生態系，串聯軟體ISV、經銷商、國際雲端業者及政府數位轉型資源，透過華碩品牌與通路優勢，讓更多企業找到合適方案，也讓台灣本土軟體商更容易接觸市場。</p> <p>華碩表示，目前政府投入大量資源推動AI及中小企業數位轉型，但若只是依賴補助，往往容易在補助結束後停止使用，因此更希望建立可持續運作的商業生態，讓企業、軟體供應商及服務商形成正向循環。</p> <p>ExpertHub提供Solution解決方案的市集，強調從營運、資安各方面華碩嚴選出的解決方案，目前市集中已有超過100個解決方案，年底希望擴大至200個解決方案。此外，ExpertHub也提供EIP，讓中小企業可以單一登入（Single Sign-On）機制，先提出希望解決的痛點，再由華碩的產業顧問團隊評估痛點，建議採用SaaS服務、硬體、系統整合的解決方案，讓企業降低管理多套帳號與系統的麻煩。</p> <p>目前華碩的顧問團隊約有15人，另外也與外部的顧問服務建立合作關係，聚焦的產業如製造業、零售業、服務業、教育業等等。</p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>導入</strong><strong>AI</strong><strong>之前，先解決資料問題</strong></span></span></p> <p>華碩的顧問的角色，如同中醫的望聞問切，強調先診斷，再提供解方。</p> <p>例如前面提到的酒類代理商為，企業希望利用AI分析會員消費行為，但客戶資料分散於POS、電商網站及會員App等不同平臺，且資料格式彼此不一致。</p> <p>華碩顧問團隊評估後，並未直接推薦AI產品，而是先協助建置資料整合與清洗平臺，再規畫後續的AI應用。</p> <p>華碩表示，很多企業都說想做AI，但真正的第一步其實是做好資料治理。「做AI之前，要先解決資料標準化與資料清洗的問題。」</p> <p>另一在位於桃園的知名羊肉店，老闆每天忙於備料、出餐及門市營運，沒有能力再聘請專職行銷人員。華碩因此協助導入KOL媒合平臺，讓店家能自行尋找合作網紅、完成合作與結算流程，以較低成本推動數位行銷。</p> <p>還有一家位於中部的鋼鐵切割加工廠則希望建立設備監控及能耗分析能力，但面臨新舊設備並存，老舊機台缺乏資料介面，無法即時蒐集生產資訊，往往仰賴老師傅多年下來累積的經驗，靠「聽機器聲音」判斷設備是否異常，這些經驗沒有建立系統化的平臺，難以傳承給新進人員。</p> <p>顧問團隊實地盤點設備狀況後，建議通過建置感測器來讀取設備水溫等資料，並建立知識平臺，設法將中小企業第一線的經驗資料化、數位化，才能讓後續的數位化有更大的發展空間。</p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>華碩從硬體走向解決方案顧問服務</strong></span></span></p> <p>廖逸翔表示，ExpertHub也是華碩自身商業模式的重要轉型。</p> <p>他指出，過去華碩業務為販售硬體產品，如今則需要理解各產業營運流程，能與企業討論製造、零售、教育等不同產業的場域需求，再整合AI、SaaS及顧問服務提出完整方案。</p> <p>「華碩不是只做硬體，而是希望從硬體延伸到解決方案。」他表示，未來希望透過ExpertHub串聯更多解決方案夥伴，協助中小企業在AI時代，以更低門檻、更適合自身需求的方式完成數位轉型，而華碩也將從設備供應商，進一步成為企業數位轉型的長期陪跑者。</p> </div></div></div>
7/16 17:30作者蘇文彬https://www.ithome.com.tw/news/177368
內部紅隊模型GPT-Red自動找漏洞，GPT-5.6 Sol提示注入攻擊成功率降至0.05%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>OpenAI運用<strong><a href="https://openai.com/index/unlocking-self-improvement-gpt-red/">內部安全紅隊模型GPT-Red</a></strong>，提升產品模型對提示注入的防禦能力。GPT-Red透過自我對戰強化學習，自動產生提示注入攻擊，找出產品模型與AI代理系統的弱點，再將這些攻擊納入後續模型訓練。OpenAI表示，GPT-5.6 Sol面對GPT-Red直接提示注入時，攻擊成功率僅0.05%，是該公司目前抵抗提示注入能力最強的產品模型。</p> <p>提示注入是AI代理面臨的主要安全風險之一，當模型讀取電子郵件、網頁、本機檔案、程式碼儲存庫或工具回傳內容時，攻擊者可能在資料中藏入惡意指令，誘使模型偏離使用者原本交付的任務，執行上傳憑證、外洩內部資料或未經授權的操作。</p> <p>GPT-Red會先接收攻擊目標，向受測模型送出提示，觀察其回應後再反覆調整攻擊方式。訓練過程中，GPT-Red與多個防禦模型同步進行自我對戰，當攻擊模型成功觸發安全失誤可獲得獎勵，防禦模型則必須抵抗攻擊，同時完成原本任務。隨著防禦能力提升，GPT-Red也必須找出更複雜的攻擊手法。</p> <p>OpenAI表示，在一套未納入GPT-Red訓練的間接提示注入測試中，GPT-Red在84%的測試情境中成功攻破GPT-5.1，人類紅隊人員的成功率則為13%。GPT-Red早期版本還發現一種稱為偽造思考鏈的攻擊手法，在GPT-5.1上的成功率超過95%，到了GPT-5.6 Sol已降至10%以下。在最困難的直接提示注入測試中，GPT-5.6 Sol的失敗次數也降至四個月前最佳產品模型的六分之一。</p> <p>GPT-Red也被用於測試實際運作的代理系統，OpenAI指出，該模型曾攻破辦公室內管理自動販賣機的AI代理，使系統將高價庫存商品的售價降至系統允許的最低價0.5美元，另訂購價值超過100美元的新商品並以0.5美元出售，還取消其他顧客的訂單。另一項測試則讓GPT-Red攻擊以GPT-5.4 mini為基礎的Codex CLI代理，測試GPT-Red能否在10種未用於訓練的資料外洩情境中，誘使代理外洩敏感資料。</p> <p>OpenAI將GPT-Red限於內部使用，並與對外部署的模型分開，避免專門訓練出的攻擊能力落入惡意人士手中。</p> </div></div></div>
7/16 18:44作者李建興https://www.ithome.com.tw/news/177372
駭客藉AI開發IoT殭屍網路TuxBot，多項功能錯誤但攻擊流程仍可運作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Palo Alto Networks旗下威脅研究團隊Unit 42揭露一套先前未公開過的<strong><a href="http://unit42.paloaltonetworks.com/tuxbot-v3-evolution-iot-botnet/">物聯網殭屍網路框架</a><a href="https://unit42.paloaltonetworks.com/tuxbot-v3-evolution-iot-botnet/">TuxBot v3 Evolution</a></strong>。駭客利用大型語言模型協助產生及移植程式碼，建立支援17種處理器架構的惡意程式、C2伺服器、加密通訊機制及DDoS攻擊出租介面。儘管多項進階功能因程式錯誤而失效，掃描、帳號密碼暴力破解、常駐、主要C2通訊及DDoS攻擊等核心流程仍可運作。</p> <p>研究人員取得TuxBot v3 Evolution完整原始碼、編譯後執行檔及254份自動化DDoS效能測試報告，估計整套框架約有70%功能可用。其惡意程式以C語言開發，可交叉編譯成Arm、MIPS、x86_64、PowerPC及RISC-V等架構的版本，C2伺服器則以Go語言建置，並提供多用戶管理、攻擊配額及紀錄功能。</p> <p>TuxBot會使用1,496組帳號密碼嘗試登入開放Telnet服務的裝置，也具備SSH、HTTP及Android Debug Bridge掃描功能。感染裝置後，程式會透過systemd、cron及Shell設定檔等機制維持常駐，並以加密TCP通道接收攻擊命令。主要C2失效時，還能嘗試透過網域產生演算法、P2P節點及DNS TXT查詢恢復聯繫。</p> <p>研究人員在原始碼中發現大量大型語言模型產生內容的痕跡，包括自我修正、工作步驟及提及用戶的註解，約60個C語言檔案還留有相同的安全警語，宣稱程式僅供教育與授權研究使用，也就是說，駭客未完整檢查或清理模型輸出。</p> <p>未經審查的程式碼也造成多項實作錯誤，部分字串使用不同XOR金鑰加密，使IRC及HTTP備援C2無法使用，而自訂漏洞虛擬機器的套件格式與執行端不相容，且多個已完成的漏洞利用函式從未被程式呼叫。此外，程式宣稱使用Argon2id雜湊密碼，實際上卻只是執行多輪SHA-256運算，再將結果包裝成Argon2id格式。</p> <p>研究人員自2026年1月起陸續發現TuxBot樣本、C2伺服器及涵蓋多種處理器架構的正式編譯版本，並認為駭客可能已修正部分程式錯誤。</p> </div></div></div>
7/16 14:28作者李建興https://www.ithome.com.tw/news/177366
【資安日報】7月16日，日本食品與低溫物流龍頭Nichirei驚傳遭網路攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><h3><strong>本日新聞焦點</strong></h3> <p>● <a href="https://www.ithome.com.tw/news/177361#Nichirei">日食品大廠Nichirei遭駭，恐導致多家餐飲業者食材短缺</a><br /> ● <a href="https://www.ithome.com.tw/news/177361#AFA">駭客冒名阿根廷足協向記者寄送不實訊息</a><br /> ● <a href="https://www.ithome.com.tw/news/177361#SZC">Progress傳出修補ShareFile SZC元件高風險漏洞</a><br /> ● <a href="https://www.ithome.com.tw/news/177361#LegacyHive">研究人員公布Windows零時差漏洞LegacyHive</a> <br /> ● <a href="https://www.ithome.com.tw/news/177361#Dell">部分Dell電腦安裝7月例行更新修補發生當機與過熱現象</a> <a id="Nichirei" name="Nichirei"></a></p> <h3> </h3> <h3><b>資安新聞總覽</b></h3> <p><a href="https://www.ithome.com.tw/news/177341"><span style="font-size: 22px;"><strong>日本知名食品大廠Nichirei遭駭，冷凍倉庫與冷凍食品出貨作業中斷</strong></span></a></p> <p>日本大型食品與低溫物流業者Nichirei（日冷）集團13日遭駭，已證實造成食品出貨及冷藏物流倉儲作業停擺，此事件恐衝擊當地多家餐飲及零售商品的供應。該公司在2026年7月13日發布資安事故公告，說明凌晨偵測到系統異常，經調查確認，是由於遭受外部第三方未經授權存取所致，已經直接衝擊該集團的兩大核心業務，包括：日冷物流集團（Nichirei Logistics Group）旗下各公司的冷藏倉庫進出貨作業，以及Nichirei Foods的冷凍食品出貨作業。<a href="https://www.ithome.com.tw/news/177341">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177343"><span style="font-size: 22px;"><strong>日本冷鏈龍頭Nichirei遭駭引發供應鏈風暴，KFC恐因食材短缺被迫暫停營業，藏壽司與Aeon也受影響</strong></span></a></p> <p>日本知名食品與低溫物流巨頭Nichirei（日冷）集團13日因遭受網路攻擊，導致冷藏倉庫與冷凍出貨作業中斷，這起針對物流中樞的網路攻擊事件已引發嚴重的連鎖反應，根據路透社、共同通信（Kyodo News）、ITmedia等多家媒體報導，受波及的業者包括日本肯德基（KFC）、藏壽司（くら寿司）、餐飲集團Plenus、日本東北地區的大型超市York Benimaru，以及零售巨頭永旺（Aeon）等，業者正面臨食材斷料危機，最嚴重是被迫暫時停止營業。<a href="https://www.ithome.com.tw/news/177343">詳全文</a> <a id="AFA" name="AFA"></a></p> <p><a href="https://www.ithome.com.tw/news/177352"><span style="font-size: 22px;"><strong>阿根廷足協系統被駭客冒名發送信件、外洩資料庫，疑員工電腦感染竊資軟體肇禍</strong></span></a></p> <p><a href="/sites/default/files/images/atlantic-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/atlantic-63.jpg" style="width: 300px; float: right;" /></a></p> <p>世足盃已進入最後階段，阿根廷足協（AFA）系統傳出遭駭，駭客用以發送抗議信件，並欲出售足協資料庫。7月7日阿根廷以3:2擊敗埃及晉級8強，然而阿根廷媒體後續竟收到來自阿根廷足協的信件，稱阿根廷並未贏得比賽，以及比賽結果是「腐敗判決的結果」。資安業者Hudson Rock指出，這起事故發生的原因，在於擁有AFA多個系統管理權限的人士遭駭，導致電腦去年9月感染竊資軟體，駭客竊得相關的系統存取憑證。由於AFA資安管理鬆散，導致這起事故造成的危害更加嚴重。<a href="https://www.ithome.com.tw/news/177352">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177331"><span style="font-size: 22px;"><strong>Grok Build驚傳暗中把用戶程式碼儲存庫上傳到雲端，馬斯克承諾將刪除</strong></span></a></p> <p>代號cereblab的研究人員發現，SpaceXAI的AI程式撰寫工具Grok Build會偷偷將用戶Git程式庫及其他紀錄，甚至是開發中的專案上傳到雲端平臺。報告公開後，SpaceXAI迅速作出回應，該公司表示關心用戶隱私也尊重客戶選擇。針對Grok Build程式庫上傳，SpaceXAI表示提供零資料保留（ZDR）選項。啟動該選項的專案，公司將不再儲存程式碼和執行環境（runtime）。而未啟動ZDR的專案，則可在CLI輸入entering/privacy來關閉資料保留。<a href="https://www.ithome.com.tw/news/177331">詳全文</a> <a id="SZC" name="SZC"></a></p> <p><a href="https://www.ithome.com.tw/news/177345"><span style="font-size: 22px;"><strong>Progress日前要求ShareFile用戶關閉Storage Zone Controller，本週揭露原因是零時差漏洞</strong></span></a></p> <p>7月10日IT廠商Progress傳出緊急通知ShareFile用戶，要求暫時關閉Storage Zone Controller（SZC）伺服器，以因應外部資安威脅，該公司已暫停受影響帳號的存取權限。根據資安新聞網站Bleeping Computer報導，Progress於7月14日向用戶發送更新通知，先前他們接獲可靠的消息來源，通報有關於SZC的潛在威脅，經調查發現一個高風險等級的路徑遍歷漏洞，影響SZC 5.x與6.x所有版本，該公司發布5.12.5與6.0.2版修補。<a href="https://www.ithome.com.tw/news/177345">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177349"><span style="font-size: 22px;"><strong>博通修補VMware Avi負載平衡系統7個高風險漏洞</strong></span></a></p> <p>7月14日博通發布資安公告，指出旗下的VMware Avi Load Balancer存在7個高風險弱點，影響22.1.1至32.1.1版所有版本，該公司發布30.2.7、31.2.2-2-p3、32.1.2版修補，由於沒有其他緩解措施，他們呼籲用戶儘速套用更新因應。根據CVSS風險評分，最危險的是CVE-2026-47865，此為身分驗證繞過漏洞，攻擊者可用於繞過身分驗證機制，進而存取Avi控制介面，風險評分達到9.8（滿分10分），屬重大等級風險。<a href="https://www.ithome.com.tw/news/177349">詳全文</a> <a id="LegacyHive" name="LegacyHive"></a></p> <p><a href="https://www.ithome.com.tw/news/177353"><span style="font-size: 22px;"><strong>研究人員公布新的Windows零時差漏洞LegacyHive</strong></span></a></p> <p><a href="/sites/default/files/images/621635361-49deeaef-aadf-4a13-9006-a7c95eb2531e-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/621635361-49deeaef-aadf-4a13-9006-a7c95eb2531e-63.jpg" style="width: 300px; float: right;" /></a></p> <p>因不滿微軟漏洞通報處理作法的研究人員Chaotic Eclipse（Nightmare-Eclipse），本月在微軟例行更新（Patch Tuesday）發布不久公開新漏洞LegacyHive，並指出這是存在於Windows User Profile Service服務的問題，能讓攻擊者載入任何的登入區（hive）並進行權限提升。他提供了概念驗證程式碼（PoC），說明利用此弱點必須搭配另一個使用者的憑證，以及第三個帳號的名稱，若是成功觸發漏洞，攻擊者將能把特定的使用者登入區掛載到目前使用者類別的根目錄。<a href="https://www.ithome.com.tw/news/177353">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177347"><span style="font-size: 22px;"><strong>微軟7月例行更新修補Exchange多項高風險漏洞，涉及偽冒、權限提升與遠端執行程式碼</strong></span></a></p> <p>微軟在7月分例行性更新（Patch Tuesday）中，修補622個自身產品的漏洞，其中包括多個Exchange Server相關重大漏洞，可能導致偽冒（spoofing）、提升權限，以及遠端執行程式碼等攻擊，最嚴重的是重大等級漏洞CVE-2026-55008，CVSS評分達9.6分，源自未能正確處理輸入，可能導致攻擊者藉由跨站指令碼進行偽冒攻擊；嚴重性次之的是CVE-2026-55005，CVSS評分8.8分，屬於可能導致遠端執行程式碼的堆積緩衝區溢位問題。<a href="https://www.ithome.com.tw/news/177347">詳全文</a> <a id="Dell" name="Dell"></a></p> <p><a href="https://www.ithome.com.tw/news/177356"><span style="font-size: 22px;"><strong>微軟證實7月例行更新造成部分Dell電腦關機、發燙</strong></span></a></p> <p>7月15日微軟更新KB5101650公告內容，指出將暫停對部分搭載英特爾處理器的Dell電腦派送更新，原因是他們接獲Dell通報，安裝該累積安全更新套件後發生不相容的情況，可能造成電腦不預期關閉、效能低落、發燙及耗電加速，微軟與Dell合作解決此事。Windows Central報導指出，此次事件的根源，可能是Windows USB-C連線管理員（Connection Manager）和Intel Innovation Platform Framework Processor Participant驅動程式的相容性問題。<a href="https://www.ithome.com.tw/news/177356">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177340"><span style="font-size: 22px;"><strong>Fortinet修補9個產品漏洞，包含可能導致未授權存取的FortiSandbox高風險漏洞</strong></span></a></p> <p>Fortinet於7月14日發布資安公告，修補旗下FortiSandbox、FortiOS、FortiProxy、FortiPAM、FortiSASE及FortiAuthenticator等產品共9個漏洞，涵蓋防火牆、代理伺服器、特權帳號管理、惡意程式分析及身分認證等產品線，就影響的產品範圍來看，這次更新以涉及FortiOS與FortiProxy的漏洞數量最多，一共有7個。但就漏洞的嚴重性來看，則以FortiSandbox的漏洞CVE-2026-59835最高，CVSS評分達7.7分，未經驗證的攻擊者可遠端存取系統資源。<a href="https://www.ithome.com.tw/news/177340">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177350"><span style="font-size: 22px;"><strong>Mozilla發布Firefox 152.0.6，修補兩個重大等級弱點</strong></span></a></p> <p>7月14日Mozilla基金會發布Firefox 152.0.6更新，修補兩個重大等級的漏洞CVE-2026-15718、CVE-2026-15719，並指出已有公開的概念驗證程式碼（PoC），但尚未出現被用於實際攻擊的跡象，呼籲用戶儘速更新。CVE-2026-15718存在於WebAssembly元件，為JavaScript無效指向器（pointer）造成的問題；另一個弱點CVE-2026-15719出現在Navigation元件，起因是DOM的網站隔離機制出錯。<a href="https://www.ithome.com.tw/news/177350">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177303"><span style="font-size: 22px;"><strong>竊資軟體CrashStealer鎖定macOS用戶，偽裝Apple當機回報工具偷取資料</strong></span></a></p> <p><a href="/sites/default/files/images/jtl-werkbit-site-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/jtl-werkbit-site-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安公司Jamf揭露新型macOS竊資軟體CrashStealer，藉由偽裝成作業系統內建當機回報工具Crash Reporter，誘騙使用者執行惡意程式並輸入系統密碼，進而竊取敏感資料。研究人員從五月開始追蹤這款惡意軟體，當時似乎仍在開發階段，但在七月初觀察到該軟體已被實際用於攻擊。CrashStealer的特點是盡可能模仿蘋果的合法工具，駭客將其打包為當機回報工具元件CrashReporter.app，並透過內含蘋果有效程式碼簽章的安裝程式Werkbit Setup來散播，藉此繞過反惡意軟體Gatekeeper偵測。<a href="https://www.ithome.com.tw/news/177303">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177218"><span style="font-size: 22px;"><strong>偽裝成macOS剪貼簿工具Maccy，竊資軟體PamStealer誘騙受害者下載安裝</strong></span></a></p> <p><a href="/sites/default/files/images/jtl-download-maccy-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/jtl-download-maccy-63.jpg" style="width: 300px; float: right;" /></a></p> <p>在macOS使用者社群具有一定知名度的開源剪貼簿管理工具Maccy，提供剪貼簿歷史搜尋與快速貼上功能。由於此類工具本身需要處理使用者複製內容，使用者通常會接受其要求的系統權限，因此成為攻擊者偽裝散布惡意程式的目標。資安業者Jamf近日揭露macOS竊資軟體PamStealer，攻擊者透過偽造剪貼簿管理工具Maccy原廠網站散布惡意程式，誘騙使用者下載安裝，並結合AppleScript與macOS可插拔驗證模組（PAM）機制，誘騙使用者輸入系統登入密碼，從而部署後續的惡意程式。<a href="https://www.ithome.com.tw/news/177218">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177192"><span style="font-size: 22px;"><strong>下載破解軟體恐遭Vidar竊資，載入器膨脹至數百MB規避沙箱分析</strong></span></a></p> <p><a href="/sites/default/files/images/Vidar-Samples-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/Vidar-Samples-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安公司Palo Alto Networks旗下威脅情報團隊Unit 42近日揭露以經濟利益為動機的惡意程式攻擊活動，駭客透過惡意廣告吸引搜尋盜版或破解軟體的使用者，再將他們導向仿冒下載頁，藉此散布Vidar竊資軟體與XMRig加密貨幣挖礦程式。這波攻擊以加上密碼保護且含有.bin副檔名的壓縮檔投遞惡意程式，企圖繞過電子郵件閘道掃描，也讓自動化沙箱難以解壓縮並分析樣本。部分載入器樣本會以null位元組填充至最高491MB，藉此避開有檔案大小限制的沙箱分析環境。<a href="https://www.ithome.com.tw/news/177192">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177344"><span style="font-size: 22px;"><strong>偽裝Nvidia軟體散布的新型遠端木馬現蹤，LabubaRAT可控制Windows主機</strong></span></a></p> <p>隨著AI應用普及，Nvidia驅動程式及相關軟體已成為企業與開發者常見的安裝項目，以致Nvidia的名義也開始為惡意軟體利用。近日資安公司Blackpoint Cyber便揭露遠端存取木馬（RAT）軟體LabubaRAT，以Nvidia名稱在受害者主機上執行，藉此在Windows系統建立長期存取，並擁有多種遠端控制功能。研究人員認為，一些跡象顯示這款RAT軟體可能以惡意軟體即服務（MaaS）模式提供，未來威脅可能會進一步擴大。<a href="https://www.ithome.com.tw/news/177344">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177304"><span style="font-size: 22px;"><strong>NPM 12預設停用套件安裝的自動執行指令碼功能</strong></span></a></p> <p>7月8日套件管理器NPM第12版大改版正式推出，如同一個月前預告的重大變更，將npm install安裝過程當中，allowScripts、--allow-git、--allow-remote過去自動執行的高風險行為改為預設關閉、需明確授權才會執行。同時，GitHub也宣布將分階段淘汰雙因素驗證（2FA）繞過型細粒度存取權杖（2FA-bypass Granular Access Tokens）中最敏感的使用情境，以降低帳號與套件發布流程遭濫用的風險。<a href="https://www.ithome.com.tw/news/177304">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177295"><span style="font-size: 22px;"><strong>OpenAI的GPT-5.6模型具備更強大的網路安全能力，9月將要求個人用戶啟用硬體安全金鑰</strong></span></a></p> <p>上周OpenAI最新版GPT-5.6模型正式開放上線，並要求如欲使用高風險、高權限網路安全功能的個人用戶，應以硬體安全金鑰啟用進階帳戶安全防護（Advanced Account Security）。欲使用這些功能的個人用戶，需驗證身分並申請可信賴存取權限，企業或組織則可以為團隊提出申請。個人用戶必須在9月1日前使用硬體金鑰啟用進階帳戶安全防護，才能存取能力最強的GPT模型。屆時未啟用者將恢復為較低的預設存取權。<a href="https://www.ithome.com.tw/news/177295">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177176"><span style="font-size: 22px;"><strong>思科要把零信任存取延伸到AI代理，在臺展示新版AI代理身分管理產品Duo IAM</strong></span></a></p> <p><a href="/sites/default/files/images/Cisco-Duo-IAM-MCP-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/Cisco-Duo-IAM-MCP-63.jpg" style="width: 300px; float: right;" /></a>思科近日首度在臺展示新版Duo IAM，可以零信任存取機制擴大到AI代理應用。思科在今年3月RSA大會發表了旗下零信任存取產品線對AI代理的多項新功能。Duo IAM是其中之一，目前仍是Beta版，思科臺灣資安事業部總監朱育民表示，下半年就會發布正式版。新版 Duo IAM 提供五項代理式IAM功能，包括代理與工具探索（Discovery）、Agent 目錄、Agent 存取政策、人為權責歸屬，以及生命週期管理。Duo IAM整合了多家主流AI代理供應商或服務商，也支援主流公雲業者的AI代理身分機制（如Microsoft Entra ID）。企業所用的AI代理須先到Duo IAM註冊，再依據不同行為來獲得授權。<a href="https://www.ithome.com.tw/news/177176">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177279"><span style="font-size: 22px;"><strong>別等更好的後量子簽章演算法，Cloudflare主張先採用ML-DSA展開PQC轉型</strong></span></a></p> <p>雖然美國國家標準暨技術研究院（NIST）仍在評估其他後量子數位簽章演算法，但網路基礎設施與資安服務業者Cloudflare認為，不該等待更成熟的方案，應先採用目前已完成標準化的模組格基式數位簽章演算法（ML-DSA），展開後量子密碼學（PQC）第一階段部署。ML-DSA雖然公開金鑰與簽章尺寸較大，在簽章及驗證效能方面也未全面占優勢，但仍是目前已由NIST完成標準化、整體取捨較均衡的通用型後量子數位簽章方案，可作為現階段的部署基礎。<a href="https://www.ithome.com.tw/news/177279">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177293"><span style="font-size: 22px;"><strong>從一場虛擬紅隊演練，解構紅隊與藍隊的攻防作為</strong></span></a></p> <p>【臺灣資安大會直擊】攜手走過臺灣資安圈二十年的戴夫寇爾（DEVCORE）行長翁浩正（Allen Own），以及現任美商企業臺灣資安長的陳浩維（HW Chen），在CYBERSEC 2026同臺對談，透過一場虛擬紅隊演練，逐週拆解攻防兩端的認知落差，並指出心態、資源、組織與演練四大企業盲點，呼籲產業攜手邁向主動防禦的資安文化。兩人不約而同認為，資安不該只是個人或單一企業的責任，而是必須仰賴整個產業與政府協力，才能真正墊高臺灣的整體防禦韌性。<a href="https://www.ithome.com.tw/news/177293">詳全文</a></p> </div></div></div>
7/16 12:01作者周峻佑https://www.ithome.com.tw/news/177361
傳蘋果計畫收購AI晶片新創公司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.theinformation.com/articles/apple-hunts-ai-chip-acquisitions" target="_blank">The Information報導</a>，為了支持AI應用及模型訓練需求，蘋果正在洽談收購AI晶片新創公司。</p> <p>報導指出，蘋果近幾個月來都在和銀行洽談資金事宜並且詢問晶片新創業者的意願。原因是該公司自行研發的AI晶片速度趕不上需求，新設計的晶片卻進度落後。</p> <p>根據報導，蘋果AI伺服器採用自家的M2 Ultra晶片，但速度不夠快。這迫使新版Siri必須轉而使用Google Cloud，底層則是Nvidia晶片。另一方面，消息人士透露，蘋果自行設計、代號Baltra的AI伺服器晶片原本預計今年出貨，但該晶片進度落後。彭博報導，Baltra出貨時程可能要延後到2029年。</p> <p>收購AI晶片新創公司可能會讓蘋果打破多年小型收購為主的方針。蘋果迄今最大宗收購是2014年以30億美元買下消費電子業者Beats。連其自研晶片都是以一家2.8億美元收購的PA Semi為基礎發展起來。</p> <p>目前檯面上的AI新創公司都有天價市值。例如Cerebras市值高達416億美元、SambaNova有110億美元、（已被Nvidia收購的）Groq市值曾為69億美元。較小的業者如Tenstorrent和微軟支持的d-Matrix各為26億及20億美元。Nvidia競爭者Etched則來到50億美元。</p> <p>其中Tenstorrent執行長為前蘋果晶片主管Jim Keller，他曾主導A4、A5晶片的開發，和蘋果有很深的淵源。</p> <p>蘋果官方未對此評論。</p> <p><a href="https://www.ithome.com.tw/news/174453" target="_blank">根據華爾街分析師報告</a>，Amazon、Google、微軟與Meta合計投入約6500億美元建設AI資料中心，Meta預計今年要投資1450億到1650億美元。相較之下，蘋果卻只維持約140億美元資本支出。</p> </div></div></div>
7/16 12:30作者林妍溱https://www.ithome.com.tw/news/177363
292個假GitHub儲存庫冒充知名品牌散布BoryptGrab竊資程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://arcticwolf.com/resources/blog/fake-github-repositories-deliver-boryptgrab-lineage-infostealer/" target="_blank">資安業者Arctic Wolf周一（7/13）揭露</a>，自今年6月26日起，有駭客建立至少292個冒充知名軟體及資安品牌的GitHub儲存庫，透過偽造的README與下載頁面散布Windows竊資程式BoryptGrab，企圖竊取瀏覽器憑證、加密貨幣錢包、通訊軟體帳號及Windows憑證等敏感資料。</p> <p>遭冒充的對象橫跨資安工具、金融科技與個人理財服務、加密貨幣錢包與交易所、開發及生產力工具、安全電子郵件服務、macOS工具與遊戲軟體等類別。Arctic Wolf並未公開292個遭仿冒品牌的完整名單，只明確揭露其中包括Arctic Wolf本身。</p> <p>駭客在偽造儲存庫中的README文件中嵌入了惡意連結，將使用者導向偽造的「安全下載」頁面，以散布BoryptGrab家族竊資程式。該程式主要用來大規模蒐集具有金錢價值的憑證資訊，並將竊得資料打包成ZIP檔，再傳送到位於俄羅斯的命令暨控制（C2）伺服器。</p> <p>該款BoryptGrab內建11個竊資模組，可大規模蒐集瀏覽器帳號、密碼、Cookie及加密貨幣錢包資料，也會竊取Telegram、Discord、Steam及Meta Max等通訊或遊戲平臺的帳號資訊，並擷取桌面與文件資料夾中的檔案、螢幕畫面，以及Windows Credential Manager中的憑證。</p> <p>Arctic Wolf表示，截至報告發布時，GitHub已移除大部分惡意儲存庫，但仍有數十個GitHub Pages轉址頁面持續運作，部分惡意下載基礎設施也還在線，顯示這波攻擊尚未完全遭到瓦解。</p> </div></div></div>
7/16 12:42作者陳曉莉https://www.ithome.com.tw/news/177364
印度核電廠承包商Reliance Group資料外洩，工程文件曝光
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>印度核電廠承包商Reliance Group傳出資料外洩事件，可能波及印度最大核能發電設施庫丹庫拉姆核電廠（Kudankulam Nuclear Power Plant，KKNPP）的工程資料。勒索軟體組織World Leaks已公布大批聲稱來自Reliance Group的檔案。最先向路透社通報此事的獨立資安研究人員<a href="https://www.linkedin.com/pulse/reliance-hit-worldleaks-ransomware-12tb-data-breached-rakesh-krishnan-bapfc/" target="_blank">Rakesh Krishnan表</a>示，他以「KKNP」為關鍵字搜尋外洩資料，共找到近1.9萬個疑似與庫丹庫拉姆核電廠相關的檔案，總計約14.3GB。</p> <p><a data-saferedirecturl="https://www.google.com/url?q=https://www.reuters.com/world/india/files-relating-indias-largest-nuclear-power-plant-kudankulam-exposed-data-breach-2026-07-15/&source=gmail&ust=1784253104145000&usg=AOvVaw3-bEYOea8Fzg7_7B5sVkYd" href="https://www.reuters.com/world/india/files-relating-indias-largest-nuclear-power-plant-kudankulam-exposed-data-breach-2026-07-15/" target="_blank">路透社引述知情人士報導</a>，印度電腦緊急應變小組（CERT-In<wbr></wbr>）正在調查此事。Reliance Group向路透社證實，旗下Reliance Infrastructure存放在第三方資料中心服務業者Yo<wbr></wbr>tta代管伺服器的部分資料外洩，但未說明外洩內容。</p> <p>路透社檢視的文件涉及庫丹庫拉姆核電廠仍在興建的3號及4號機組<wbr></wbr>，包括通風與冷卻系統設計圖、共同控制室配置及供應商資料，<wbr></wbr>但無法獨立驗證文件真實性。核安全研究機構核威脅倡議組織（Nu<wbr></wbr>clear Threat Initiative）資深主管Nickolas Roth指出，<wbr></wbr>攻擊者可能利用這些資訊掌握核電廠支援系統及供應商，<wbr></wbr>進而找出安全防護弱點。</p> </div></div></div>
7/16 11:25作者王珮瑤https://www.ithome.com.tw/news/177358
新加坡土地管理局委外雲端系統的開發測試環境遭非法存取，供應商IBM測試資料未去識別化致7萬人個資外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>新加坡土地管理局（SLA）於<strong><a href="http://www.sla.gov.sg/news/press-release/security-incident-involving-an-ibm-managed-cloud-environment-/">7月3日發布個資外洩事件公告</a></strong>，指出IBM通報該公司為SLA兩套系統進行的開發與測試環境發生資安事件，目前確認此事件導致約7萬人的個資外洩。</p> <p>根據SLA的說明，IBM負責支援與維護「新加坡土地權利自動登記系統」（STARS）及「電子送件系統」（ELS），而這次遭遇未經存取的是該廠商用於開發與測試資料庫。初步調查發現，遭非法存取的資料集自1998年起建立並定期更新，原應僅含去識別化的模擬資料，卻被發現留存約7萬人的真實姓名、身分證號碼（NRIC）與地址。SLA坦言該資料未按程序落實去識別化，目前正進一步調查導致此情況發生的原因。</p> <p>關於後續處理情形，SLA表示，IBM已撤銷受影響開發及測試環境的存取權限，以防止其他未經授權的存取。目前SLA正陸續通知受影響人士並提供相關建議，同時與IBM及相關政府單位合作以釐清事件全貌，且已向警方報案並通報個人資料保護委員會（PDPC）。</p> <p>SLA另也表示，受影響的環境由供應商管理，與SLA的營運系統完全獨立。 STARS、ELS或任何其他SLA系統運作所使用的即時系統不存在任何連線或風險。 STARS和ELS中的房產所有權和登記記錄保持安全，不受影響。</p> </div></div></div>
7/16 11:30作者羅正漢https://www.ithome.com.tw/news/177351
Tracebit公布情境炸彈防禦研究，以提示注入干擾惡意AI代理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>隨著AI代理已能用於偵察雲端環境、提升權限及竊取資料，提供金絲雀誘餌（decoy canary）服務的<a href="https://agentic.tracebit.com/context-bombs/?is=d108d928bf3dc5877f986c73a3cd90f89af9168dfb9fe293bba24c76211ae7ae" target="_blank">資安業者Tracebit提出情境炸彈（Context Bombs）防禦機制</a>，在誘餌資料中加入可觸發模型安全限制的內容，藉此中斷或干擾惡意AI代理的後續攻擊行動。</p> <p>Tracebit於7月公布工作論文，說明Context Bombs的測試結果。研究團隊以5款模型驅動AI代理，讓這些代理使用低權限的AWS存取金鑰進入模擬環境，嘗試偵察雲端資源、提升權限、竊取資料及建立持久性存取。研究團隊比較未放置誘餌的基準環境與加入Context Bombs後的測試結果，合計進行152次攻擊測試。</p> <p>綜合5款模型的測試結果顯示，加入Context Bombs後，AI代理取得完整管理員權限的比率由57%降至5%，同時取得管理員權限並建立持久性存取的比率，也由36%降至1%；成功完成至少一條攻擊路徑的比率，則由91%降至15%。</p> <p>Tracebit已將Context Bombs整合至金絲雀誘餌產品，不過，目前研究結果來自模擬環境，這項機制在實際企業環境中的防禦成效仍待驗證。</p> <p><a href="https://arstechnica.com/security/2026/07/now-defenders-are-embracing-the-prompt-injection-too/?is=d108d928bf3dc5877f986c73a3cd90f89af9168dfb9fe293bba24c76211ae7ae" target="_blank">Ars Technica指出</a>，目前仍沒有已知方法能從根本解決提示注入（Prompt Injection）攻擊。Context Bombs則將提示注入手法轉用於防禦，透過誘餌內容觸發模型安全限制，干擾惡意AI代理的後續操作。</p> </div></div></div>
7/16 11:51作者王珮瑤https://www.ithome.com.tw/news/177359
F5以單輪越獄評測26款頂尖AI模型，平均攻擊成功率達71.3%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.f5.com/labs/articles/adversarial-tales" target="_blank">資安業者F5旗下研究團隊公布7月AI模型安全評測結果</a>，共納入55款模型。這項評測採用綜合AI安全指數（Comprehensive AI Security Index，CASI），衡量模型抵禦常見提示注入及越獄攻擊的能力，分數越高代表防護表現越好。</p> <p>Anthropic模型包辦7月<a href="https://www.f5.com/labs/casi" target="_blank">CASI排行榜</a>前三名，Claude Sonnet 5以93.08分居首，Claude Haiku 4.5以92.54分排名第二，Claude Opus 4.8則以89.67分排名第三。CASI超過90分的兩款模型中，Claude Sonnet 5的AI能力表現測試成績為53.4%，Claude Haiku 4.5則為23.7%。</p> <p>在開放權重模型方面，Nvidia旗下Nemotron-3-Ultra-550B-A55B的CASI達83.68分，排名第四，但AI能力測試成績僅37.8%；AI業者Zai的GLM-5.2能力測試成績較高，達51.1%，CASI則為46.58分。</p> <p>研究團隊這次將名為Adversarial Tales的單輪越獄手法納入測試，編寫40篇包含有害操作程序的賽博龐克短篇故事，要求模型分析敘事結構。測試涵蓋9家業者的26款頂尖AI模型，平均攻擊成功率達71.3%。其中，Qwen3 Max的攻擊成功率最高，達94%；Claude Haiku 4.5最低，仍有35%，F5認為這樣的抵抗攻擊能力表現仍然不足以作為建構安全架構的依據。</p> </div></div></div>
7/16 11:57作者王珮瑤https://www.ithome.com.tw/news/177360
微軟Entra ID今年9月起預設使用通行金鑰，2027年停止傳送簡訊與語音驗證訊息
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.microsoft.com/en-us/security/blog/2026/07/13/microsoft-entra-id-security-updates-passkeys-are-the-default-authentication-method-in-entra-id/" target="_blank">7月13日微軟宣布</a>，身分及存取管理服務Microsoft Entra ID將通行金鑰（Passkey）設為預設驗證方式，自2026年9月1日起，微軟將分階段為各組織啟用這項調整，原本已啟用簡訊或語音驗證的使用者，也會自動啟用通行金鑰功能，並在下次進行多因素驗證時收到註冊提示。</p> <p>企業若仍需使用簡訊或語音驗證，微軟預計於9月18日公布支援的第三方電信業者名單、部署指引、技術文件、定價及商業條款。自10月30日起，企業可透過Microsoft Security Store選定支援的電信業者，並完成服務設定。</p> <p>自2027年2月1日起，微軟將停止自行傳送簡訊與語音驗證訊息。此後，仍使用這兩種方式進行多因素驗證的使用者，必須先註冊通行金鑰才能登入；企業若要繼續採用簡訊或語音驗證，則須改用第三方電信業者的傳送服務。</p> <p>微軟表示，多數組織改用通行金鑰不必支付額外費用；若繼續採用簡訊或語音驗證，則須支付第三方電信業者的服務費用。這項調整時程僅適用於公有雲服務中的Microsoft Entra ID，其他雲端環境的支援將安排其他時程進行，具體時間和使用指引將提前公布。</p> </div></div></div>
7/16 12:08作者王珮瑤https://www.ithome.com.tw/news/177362
阿根廷足協系統被駭客冒名發送信件、外洩資料庫，疑員工電腦感染竊資軟體肇禍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>世足盃已進入最後階段。阿根廷足協（Argentine Football Association，AFA）系統上周遭駭並用以發送抗議信件，並欲出售足協資料庫。研究人員相信，原因可能和員工電腦一年前遭竊資軟體竊走憑證有關。</p> <p>上周二（7/7）在世足盃16強中，阿根廷以3:2擊敗埃及，晉級8強。<a href="https://www.bbc.com/sport/football/articles/cx2j3dglq5jo" target="_blank">周末阿根廷媒體報導</a>，媒體記者接到一批來自阿根廷足協網域發送出來的信件，稱阿根廷並未贏得比賽，以及比賽結果是「腐敗判決的結果」。該場賽事中，埃及上半場一名球員進球後被判犯規取消，以及下半場埃及球員在阿根廷禁區被犯規但裁判未做出裁罰，引發判決不公爭議。</p> <p><a href="https://www.bbc.com/sport/football/articles/cx2j3dglq5jo" target="_blank">BBC報導</a>引述阿根廷足協（AFA）聲明，他們偵測到有人利用該協會帳號冒名發送信件，呼籲大家不要理會近日寄自阿根廷足協帳號的異常信件。此外，一名以埃及國家隊教練Hossam Hassan之名為代號的駭客在暗網貼出公告，宣稱此事是其所為，還公開兜售阿根廷足協資料庫資料。</p> <p><a href="https://www.hudsonrock.com/blog/infostealer-malware-triggers-major-database-breach-at-the-argentine-football-association" target="_blank">資安業者Hudson Rock</a>則是將重點放在攻擊者如何成功駭入阿根廷足協（AFA）系統。業者調查後判斷，這次入侵並非起於零時差漏洞攻擊，或複雜的多層次國家駭客活動，原因可能是一名擁有AFA多個系統管理權限的個人電腦感染竊資軟體，被竊走系統存取憑證。而阿根廷足協資安管理鬆散則讓事件更嚴重</p> <p>研究人員循線追蹤出這臺電腦主人大約十年前於AFA擔任軟體開發人員。他的電腦是在2025年9月8日感染。研究人員指出，這突顯現代攻擊者一個常見手法：資料囤積（data hoarding）。攻擊者竊得的憑證並未立即使用，而是在暗網上買賣、或由駭客收藏俟時機成熟再用以存取AFA系統。研究人員說，如果AFA有透過威脅情報監控員工憑證外流，就能強制重設密碼，避免入侵事件。</p> <p>該員工憑證具備管理員權限，讓駭客輕鬆通過整個Web App介面。分析日誌（log），該員工瀏覽器還儲存了多個AFA重要子網域的憑證，可能引發更廣泛系統入侵事件。這些憑證包括阿根廷足協國家訓練總部的足球管理入口網站、AFA媒體入口網站及競爭管理系統。</p> <p>研究人員發現，這些系統多個網站重覆使用非常弱、很好猜的密碼。攻擊者甚至不需使用SQL注入漏洞或繞過網頁密碼。只要以管理員身份登入就能讀取資料庫並且匯出任何想要的資料，包括憑證、使用者資料和認證資料。</p> <p>研究人員相信駭客可能就是藉此取得並公佈AFA資料庫樣本。外洩的AFA資料庫內含AFA員工、球會、外部媒體夥伴、知名國際運動電視網及本地媒體。外洩資料包括個人電子郵件、電話、職責角色、註冊時間、密碼資料等。雖然有些密碼經過雜湊，但也包含明文儲存的密碼。</p> <p><a href="https://derechadiario.com.ar/us/argentina/Egyptian-hackers-broke-into-AFA-to-report-alleged-theft-after-humiliating-defeat" target="_blank">有些媒體報導</a>，這次行動是由埃及駭客所為，但目前未獲得證實。</p> </div></div></div>
7/16 10:34作者林妍溱https://www.ithome.com.tw/news/177352
研究人員公布新的Windows零時差漏洞LegacyHive
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>因不滿微軟漏洞通報處理作法的研究人員Chaotic Eclipse（Nightmare-Eclipse），自4月開始陸續公布一系列零時差漏洞，繼6月在微軟發布例行更新（Patch Tuesday）之後揭露新漏洞<strong><a href="https://www.ithome.com.tw/news/176503">RoguePlanet</a></strong>、<strong><a href="https://www.ithome.com.tw/news/176566">GreatXML</a></strong>，本月該名研究員同樣在微軟例行更新發布不久公開新漏洞。</p> <p>根據<strong><a href="https://thehackernews.com/2026/07/researcher-drops-new-windows-zero-day.html">資安新聞網站The Hacker News的報導</a></strong>，Chaotic Eclipse近日揭露名為<strong><a href="https://github.com/MSNightmare/LegacyHive">LegacyHive</a></strong>的Windows零時差漏洞，並指出這是存在於Windows User Profile Service服務的問題，能讓攻擊者載入任何的<strong><a href="https://learn.microsoft.com/zh-tw/windows/win32/sysinfo/registry-hives">登入區</a></strong>（hive）並進行權限提升。他提供了概念驗證程式碼（PoC），說明利用此弱點必須搭配另一個使用者的憑證，以及第三個帳號的名稱，若是成功觸發漏洞，攻擊者將能把特定的使用者登入區掛載到目前使用者類別的根目錄。為防止概念驗證程式碼遭到實際利用，研究人員簡化其內容，並強調利用LegacyHive不需要其他使用者的憑證，而且任何的登入區都能載入。</p> </div></div></div>
7/16 10:36作者周峻佑https://www.ithome.com.tw/news/177353
Thinking Machines Lab釋出首款開放權重AI模型Inkling
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://thinkingmachines.ai/news/introducing-inkling/" target="_blank">Thinking Machines Lab周三（7/15）推出首款開放權重AI模型Inkling</a>，這是個混合專家（Mixture of Experts，MoE）模型，總參數量達9,750億、推論時啟用410億參數，支援100萬個token的脈絡長度。Inkling定位為適合企業及開發者客製化的基礎模型，即日起可透過旗下模型微調平臺Tinker進行微調，另有較輕量的Inkling-Small預覽版。</p> <p>Thinking Machines Lab為OpenAI前技術長Mira Murati於2025年創立的AI新創，主打開放模型與模型客製化，希望讓企業與開發者能自行微調AI模型，而非只能使用封閉模型服務。該公司首個產品為<a href="https://www.ithome.com.tw/news/171481" target="_blank">模型微調平臺Tinker</a>，如今再發表首款開放權重模型Inkling，正式跨入基礎模型市場。</p> <p>根據史丹佛基礎模型研究中心（CRFM）的定義，基礎模型是以廣泛資料進行訓練、通常採大規模自監督學習，並可調整或微調至廣泛下游任務的模型。</p> <p>Inkling以45兆token的文字、圖片、音訊及影片資料進行預訓練，後訓練則涵蓋數學、程式、工具使用、多模態及安全等領域。該模型具備推理、代理人、程式開發、指令遵循、事實性、視覺及音訊等能力，並支援多種代理人與工具框架。它也提供可調整的Thinking Effort，讓開發者依需求在推理能力、成本與延遲之間取得平衡。Inkling支援文字、圖片與音訊推理，具備語音轉錄、圖片分析及圖表推理能力。</p> <p>此外，Thinking Machines Lab表示，Inkling特別強化信心校準、指令遵循及抵抗審查的能力，並接受涵蓋化學、生物、放射性及核武（CBRN）、資安、失控風險、操控、諂媚及易受傷害使用者等議題的安全測試。</p> <p>Thinking Machines Lab公布多項基準測試結果，以圖表比較Inkling與GPT-5.6 Sol、Claude Fable 5、Gemini 3.1 Pro、Grok 4.5、GLM 5.2、Kimi K2.6及Nemotron 3 Ultra等模型，在推理、程式開發、代理人、多模態、事實性及安全等能力的表現差異。</p> <p>同一天該公司也預覽了Inkling-Small，它採用相同的MoE架構，總參數量為2,760億、推論時啟用120億參數，適合重視成本與延遲的應用，例如程式開發、AI評分及合成資料生成，目前仍在測試中，之後才會釋出完整權重。</p> <p>Inkling即日起可於Tinker進行微調，支援64K及256K脈絡長度，並限時提供五折優惠。Thinking Machines Lab也與Together AI、Fireworks、Databricks及Baseten等平臺合作，提供模型部署與推論支援，同時於Hugging Face開放完整模型權重下載。</p> </div></div></div>
7/16 10:39作者陳曉莉https://www.ithome.com.tw/news/177354
蘋果Apple Intelligence取得中國生成式AI服務備案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.reuters.com/technology/apple-intelligence-ai-service-registered-with-chinas-cyberspace-regulator-2026-07-15/" target="_blank">路透社（Reuters）本周報導</a>，蘋果的個人化生成式AI系統Apple Intelligence已完成於中國提供服務所需的備案程序，為這項AI服務正式進入中國市場鋪路。中國版Apple Intelligence將整合百度及阿里巴巴所開發的AI模型能力，不過目前尚未公布上線時間。</p> <p>根據中國國家網際網路信息辦公室（網信辦）<a href="https://www.cac.gov.cn/2026-07/15/c_1785861480767004.htm" target="_blank">本周三（7/15）所公布的消息</a>，總計有7款手機完成生成式AI服務備案，其中之一為蘋果iPhone上的Apple Intelligence。</p> <p>Apple Intelligence是蘋果於2024年6月發表的個人化AI系統，整合於iPhone、iPad及Mac上。它可協助改寫、校對及摘要文字，也能整理通知與郵件、生成圖片、搜尋照片，並強化Siri理解使用者要求與個人脈絡的能力。Apple Intelligence採用混合式AI架構，以Apple自研的裝置端模型及Private Cloud Compute上的伺服器模型為核心，必要時也可調用OpenAI的ChatGPT。</p> <p>另一方面，中國在2023年發布《生成式人工智慧服務管理暫行辦法》，要求提供生成式AI服務的業者必須在上線前完成備案、使用合法來源的訓練資料、保護個資、建立內容審核機制，以及遵守中國內容管理規範。</p> <p>OpenAI ChatGPT及Anthropic Claude等美國大型語言模型服務目前皆未在中國提供服務。路透社報導，中國版Apple Intelligence將採用百度及阿里巴巴所開發的模型。阿里巴巴表示，旗下Qwen模型將整合至中國市場的Apple Intelligence，支援iPhone、iPad、Mac及Vision Pro；百度亦證實，正與Apple合作開發供中國iPhone使用者使用的Apple Intelligence功能。</p> </div></div></div>
7/16 10:47作者陳曉莉https://www.ithome.com.tw/news/177355
微軟證實Patch Tuesday造成部份Dell電腦關機、發燙
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://learn.microsoft.com/en-us/windows/release-health/status-windows-11-25h2#4906msgdesc" target="_blank">微軟本周三（7/15）表示</a>，7月份安全更新造成部份Dell電腦無預警關機、發燙等問題，已暫停對這些系統部署安全更新。</p> <p>本周微軟在Patch Tuesday中，針對Windows 11 24H2及25H2電腦發布KB5101650累積安全更新，修補622項漏洞。不過在隨後的更新中，微軟說明將暫時中止對部份Intel-based Dell裝置發布更新。原因是Dell通報，安裝更新版本發生不相容，可能造成電腦不預期關閉、效能低落、發燙及耗電加速。</p> <p>微軟表示正在與Dell合作解決此事，預計未來幾天可對受影響的裝置重新發布更新。</p> <p><a href="https://www.windowscentral.com/microsoft/windows-11/microsoft-blocks-windows-11-kb5101650-update-for-dell-pcs-after-reports-of-unexpected-shutdowns-and-overheating" target="_blank">Windows Central報導指出</a>，此次事件根源可能是Windows USB-C連線管理員（Connection Manager）和Intel Innovation Platform Framework Processor Participant驅動程式相容性問題。</p> <p>這些情形也發生在6月釋出的選擇性預覽更新KB5095093，但微軟並未對該版本暫停部署。安裝這二個版本的Dell機器最好都移除新版退回舊版。</p> </div></div></div>
7/16 10:59作者林妍溱https://www.ithome.com.tw/news/177356
博通修補VMware Avi負載平衡系統7個高風險漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>7月14日博通發布資安公告，指出<strong><a href="https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/37926">旗下的VMware Avi Load Balancer存在7個高風險弱點</a></strong>，影響22.1.1至32.1.1版所有版本，該公司發布30.2.7、31.2.2-2-p3、32.1.2版修補，由於沒有其他緩解措施，他們呼籲用戶儘速套用更新因應。</p> <p>根據CVSS風險評分，最危險的是CVE-2026-47865，此為身分驗證繞過漏洞，攻擊者可用於繞過身分驗證機制，進而存取Avi控制介面，風險評分達到9.8（滿分10分），屬重大等級風險。另外6個資安漏洞編號為CVE-2026-47866、CVE-2026-47867、CVE-2026-47868、CVE-2026-47869、CVE-2026-47870，以及 CVE-2026-47871，涉及授權繞過、遠端程式碼、權限提升、路徑遍歷等問題，風險值介於7.1至8.8。</p> </div></div></div>
7/16 08:52作者周峻佑https://www.ithome.com.tw/news/177349
Mozilla發布Firefox 152.0.6，修補兩個重大等級弱點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>7月14日Mozilla基金會發布<strong><a href="https://www.mozilla.org/en-US/security/advisories/mfsa2026-67/">Firefox 152.0.6更新</a></strong>，修補兩個重大等級的漏洞CVE-2026-15718、CVE-2026-15719，並指出已有公開的概念驗證程式碼（PoC），但尚未出現被用於實際攻擊的跡象，呼籲用戶儘速更新。</p> <p>針對本次修補的弱點，CVE-2026-15718存在於WebAssembly元件，為JavaScript無效指向器（pointer）造成的問題；另一個弱點CVE-2026-15719出現在Navigation元件，起因是DOM的網站隔離機制出錯。雖然Mozilla警告這些弱點為重大風險，不過美國政府認定有明顯落差，根據美國國家漏洞資料庫（NVD）登記的資料，美國網路安全與基礎設施安全局授權資料發布單位（CISA-ADP）評估兩者的CVSS評分為<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-15718">4.3</a></strong>與<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-15719">5.4</a></strong>。</p> </div></div></div>
7/16 09:50作者周峻佑https://www.ithome.com.tw/news/177350
AWS宣布2026進入Agent AI元年，打造從開發、資安到知識管理的企業AI代理平台
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>生成式AI快速發展兩年後，AWS認為，企業AI競爭已逐漸從大型語言模型（LLM）本身，轉向如何讓AI真正走進企業流程、完成工作。在今年AWS Summit Taipei大會首日的主題演說中，AWS正式宣告2026將是「Agent AI元年」，並一口氣推出涵蓋AI代理開發、執行、知識管理、軟體維運與資安治理等多項新能力，希望打造企業部署AI Agent的完整平臺。</p> <p>AWS臺灣董事總經理王定愷表示，隨著基礎模型能力跨越臨界點，以及雲端基礎設施日趨成熟，AI Agent已開始具備執行複雜企業工作的能力。他認為，企業現階段最大的課題已不是「要不要導入AI」，而是如何制定AI策略。他建議企業「先找到金礦，再買鏟子」，應先找出最具價值的應用場景，再透過快速實驗與持續迭代推動AI落地，而不是急著追逐最新模型或工具。</p> <h2 dir="ltr" style="line-height:1.38;margin-top:18pt;margin-bottom:4pt;"><span style="font-size:20px;"><span style="color:#B22222;"><span id="docs-internal-guid-e7a14c8f-7fff-ad35-d945-deabec1ea54b"><span style="font-family: Arial, sans-serif; background-color: transparent; font-weight: 700; font-variant: normal; vertical-align: baseline; white-space: pre-wrap;">從模型走向Agent平臺，AWS補齊企業部署AI代理最後一塊拼圖</span></span></span></span></h2> <p>不過，AWS認為，阻礙企業導入AI Agent的已不是模型能力，而是如何讓Agent能夠安全、可靠且大規模投入企業營運。</p> <p>AWS GenAI GTM下世代開發者體驗總監Rory Richardson指出，去年AWS開始談論Agent，今年則進一步聚焦如何讓Agent真正進入生產環境（Production）。她表示，企業要的不只是能回答問題的聊天機器人，而是能規畫任務、調用工具、分析企業資料，並自主完成工作的AI代理。</p> <p>她指出，AWS的工作，就是「移除想像力與真正打造能力之間的障礙」（remove the barriers between imagination and what you can build），因此今年AWS不再聚焦於推出新的大型語言模型，而是將焦點放在建構企業AI Agent平臺，補齊Agent從開發到正式上線所需的各項能力。</p> <h2 dir="ltr" style="line-height:1.38;margin-top:18pt;margin-bottom:4pt;"><span style="font-size:20px;"><span style="color:#B22222;"><span id="docs-internal-guid-e7a14c8f-7fff-ad35-d945-deabec1ea54b"><span style="font-family: Arial, sans-serif; background-color: transparent; font-weight: 700; font-variant: normal; vertical-align: baseline; white-space: pre-wrap;">AI不只是寫程式，更參與整個軟體開發生命週期</span></span></span></span></h2> <p>首先是在軟體開發方面。Rory Richardson提出「Write it right. Ship it fast. Keep it modern」（正確打造、快速交付、持續現代化）的快速開發模式。</p> <p>Rory Richardson指出，若AI只協助撰寫程式碼，測試、部署、維運仍採人工方式，整體開發速度並不會真正提升。因此，AWS希望讓AI參與整個軟體開發生命週期（Software Development Lifecycle，SDLC），而不只是扮演Coding Assistant。</p> <p>AWS今年以Kiro作為AI開發Agent核心，可將自然語言需求轉換為開發規格，自動拆解任務、撰寫程式、建立測試並完成驗證，希望讓AI成為開發團隊中的協作者。</p> <p>另一方面，AWS也推出Transform Continuous Modernization，可持續檢查老舊程式碼、相依套件及系統架構，自動完成現代化；DevOps Agent則可協助分析事件、排除故障及提升系統可靠性，讓AI進一步參與部署與維運工作。</p> <p>換言之，AWS希望企業未來部署的不只是AI程式助理，而是一群共同參與需求分析、開發、測試、部署到維運工作的AI Agent。</p> <h2 dir="ltr" style="line-height:1.38;margin-top:18pt;margin-bottom:4pt;"><span style="color:#B22222;"><span style="font-size:20px;"><span id="docs-internal-guid-e7a14c8f-7fff-ad35-d945-deabec1ea54b"><span style="font-family: Arial, sans-serif; background-color: transparent; font-weight: 700; font-variant: normal; vertical-align: baseline; white-space: pre-wrap;">AWS攜手OpenAI推企業級AI Agent落地</span></span></span></span></h2> <p>AWS也分享與OpenAI的合作進展。OpenAI企業產品Codex主管Rohan Varma表示，企業導入AI時，不應該在模型能力與安全要求之間做選擇，AWS提供的雲端基礎架構，包括身分驗證、私有網路、資料加密與日誌管理等能力，可協助企業更安全地部署AI應用。</p> <p>AWS表示，雙方合作已從模型供應延伸至企業級AI工作負載部署，OpenAI模型可透過Amazon Bedrock與SageMaker JumpStart等服務提供給開發者使用，讓企業能在AWS環境中選擇適合需求的模型，並結合自身資料與應用系統。</p> <p>Rohan Varma指出，OpenAI的Codex也正從協助開發者產生程式碼，演進為可執行複雜任務的AI Agent，能參與軟體開發、測試、文件整理與分析等工作。OpenAI內部導入Codex後，工程師提交Pull Request數量提升一倍，顯示AI Agent正逐步改變企業軟體開發流程。</p> <h2 dir="ltr" style="line-height:1.38;margin-top:18pt;margin-bottom:4pt;"><span style="color:#B22222;"><span style="font-size:20px;"><span id="docs-internal-guid-e7a14c8f-7fff-ad35-d945-deabec1ea54b"><span style="font-family: Arial, sans-serif; background-color: transparent; font-weight: 700; font-variant: normal; vertical-align: baseline; white-space: pre-wrap;">日本電商遭勒索攻擊後，以AIDLC重建韌性系統</span></span></span></span></h2> <p>在今天的Keynote中還分享一個AIDLC的案例，一家日本電商公司ASKUL在遭到勒索軟體攻擊後，如何透過AI驅動開發模式重新打造IT架構的案例。日本B2B電商平臺ASKUL總裁吉岡晃表示，該公司是在2025年10月遭遇勒索軟體攻擊，造成核心系統受到影響，攻擊後一個月內營收一度減少約 95%，為公司成立以來最大的危機。</p> <p>面對系統受創，ASCO並未選擇單純恢復原有環境，而是決定「從零開始重建事業與系統」，打造新的營運模式。吉岡晃表示，公司的目標不是回到攻擊前的狀態，而是建立更理想、更具韌性的系統架構。</p> <p>ASCO採用AI驅動開發生命週期（AIDLC）模式，將AI應用從單純的程式開發延伸到問題發現、需求定義、決策與系統建置等完整流程。透過讓業務人員與工程師共同與AI協作，該公司也趁此機會重新檢視工作流程，降低跨部門溝通與協調成本。</p> <p>其中一項應用是改善電商平臺商品上架流程。過去商品負責人需要花費大量時間在跨部門溝通、工具切換與流程協調，無法投入更多精力在商品策略與客戶需求分析。他們透過AIDLC 重新設計流程，讓業務與工程團隊共同利用AI完成需求拆解、開發與驗證，使開發時間縮短一半，商品上架速度則提升一倍。</p> <p>ASCO也將AI應用延伸至經營決策層。面對供應鏈不穩定問題，他們利用Kiro協助進行需求預測與備料策略分析，將過去需要兩週完成的分析與提案流程縮短至約3小時，協助管理階層更快速做出決策。</p> <p>吉岡晃指出，AIDLC成功的關鍵包括企業必須下定決心推動AI、讓業務與工程團隊共同參與、將權限下放至第一線，以及建立讓員工安心使用AI的安全環境。</p> <h2 dir="ltr" style="line-height:1.38;margin-top:18pt;margin-bottom:4pt;"><span style="font-size:20px;"><span style="color:#B22222;"><span id="docs-internal-guid-e7a14c8f-7fff-ad35-d945-deabec1ea54b"><span style="font-family: Arial, sans-serif; background-color: transparent; font-weight: 700; font-variant: normal; vertical-align: baseline; white-space: pre-wrap;">建立企業知識脈絡，讓Agent理解企業而不是只理解模型</span></span></span></span></h2> <p>除了開發能力，AWS認為，企業AI Agent真正能否落地，關鍵還在於是否理解企業自己的知識。</p> <p>Rory Richardson表示，再聰明的模型，也不了解企業如何運作，不知道企業有哪些客戶、流程與資料，因此若缺乏企業脈絡，Agent很可能「非常有自信地給出錯誤答案」。</p> <p>因此，AWS也推出新的Context能力，協助Agent建立企業知識脈絡，自動整合企業內部結構化與非結構化資料，建立跨資料來源的知識脈絡（Context）；新版Amazon Bedrock Managed Knowledge Base則可整合文件、圖片、影片及資料庫等不同資料來源，並支援跨知識庫搜尋與權限控管，讓Agent取得最新且可信任的企業知識。</p> <p>AWS希望，未來Agent回答問題時，不只是根據模型訓練資料，而是能理解企業自己的知識網絡與商業脈絡。</p> <h2 dir="ltr" style="line-height:1.38;margin-top:18pt;margin-bottom:4pt;"><span style="font-size:20px;"><span style="color:#B22222;"><span id="docs-internal-guid-e7a14c8f-7fff-ad35-d945-deabec1ea54b"><span style="font-family: Arial, sans-serif; background-color: transparent; font-weight: 700; font-variant: normal; vertical-align: baseline; white-space: pre-wrap;">從治理到資安，讓企業能安心部署AI Agent</span></span></span></span></h2> <p>當AI Agent開始自主執行工作，AI Agent被賦予「自主行動」和「自動寫Code部署」權限時，企業擔心它會產生安全性漏洞或引發資料外洩。因此AWS將安全治理視為企業導入的重要門檻。</p> <p>Rory Richardson表示，企業不應在速度與安全之間二選一，而是讓安全成為Agent平臺的一部分。因此，今年AWS推出Continuum產品家族，整合威脅建模（Threat Modeling）、程式碼審查（Code Review）、滲透測試（Pen Testing）及漏洞分析等能力。</p> <p>Continuum可分析企業環境中的攻擊路徑、自動判斷漏洞優先順序、提出修補建議，並在建立足夠信任後，自動完成漏洞修補，希望將企業資安從事後修補，轉向持續監控與主動預防。</p> <p>AWS認為，隨著越來越多AI Agent開始操作企業系統，資安能力也必須同步AI化，才能降低企業部署風險。</p> <h2 dir="ltr" style="line-height:1.38;margin-top:18pt;margin-bottom:4pt;"><span style="font-size:20px;"><span style="color:#B22222;"><span id="docs-internal-guid-e7a14c8f-7fff-ad35-d945-deabec1ea54b"><span style="font-family: Arial, sans-serif; background-color: transparent; font-weight: 700; font-variant: normal; vertical-align: baseline; white-space: pre-wrap;">AgentCore扮演平臺中樞，串起Agent、工具與企業資料</span></span></span></span></h2> <p>除了開發、知識與安全，AWS也推出Amazon Bedrock AgentCore，作為企業AI Agent的執行平臺。</p> <p>AgentCore負責管理Agent的記憶、工具呼叫、API存取及身分驗證，並支援不同模型與Agent框架；搭配AWS Context、Knowledge Base及Continuum等能力，可讓企業建立能夠整合模型、工具、企業知識與治理機制的AI代理平臺，而非各自獨立運作的AI工具。</p> <h2 dir="ltr" style="line-height:1.38;margin-top:18pt;margin-bottom:4pt;"><span style="color:#B22222;"><span style="font-size:20px;"><span id="docs-internal-guid-e7a14c8f-7fff-ad35-d945-deabec1ea54b"><span style="font-family: Arial, sans-serif; background-color: transparent; font-weight: 700; font-variant: normal; vertical-align: baseline; white-space: pre-wrap;">企業AI下一階段競爭，在於能否讓Agent真正落地</span></span></span></span></h2> <p>王定愷表示，AI導入不應追求一次到位，而應透過「小步快跑」方式，持續累積成功經驗，同時建立企業AI治理與安全護欄，才能讓AI真正成為企業的重要生產力。</p> <p>今年AWS Summit Taipei大會焦點可看出，AWS的策略重心已從過去聚焦模型與生成式AI，逐步轉向建構企業AI Agent平臺。除了持續提供模型選擇，更希望補齊AI代理從開發、執行、知識管理到資安治理所需的技術能力，降低企業大規模部署AI Agent的門檻。</p> </div></div></div>
7/15 23:57作者蘇文彬https://www.ithome.com.tw/news/177348
日本知名食品大廠Nichirei遭駭，冷凍倉庫與冷凍食品出貨作業中斷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>日本大型食品與低溫物流業者Nichirei（日冷）集團13日遭駭，已證實造成食品出貨及冷藏物流倉儲作業停擺，此事件恐衝擊當地多家餐飲及零售商品的供應。</p> <p>Nichirei在日本冷凍食品界是家喻戶曉的品牌，更擁有極具規模的低溫物流體系，該公司在2026年7月13日發布資安事故公告，說明凌晨偵測到系統異常，經調查確認，是由於遭受外部第三方未經授權存取所致，為防止損害擴大，集團已啟動緊急應變機制，並針對受影響的系統採取斷網隔離等保護措施。</p> <p>這起事件，已經直接衝擊該集團的兩大核心業務，包括：日冷物流集團（Nichirei Logistics Group）旗下各公司的冷藏倉庫進出貨作業，以及Nichirei Foods的冷凍食品出貨作業。</p> </div></div></div>
7/15 17:01作者羅正漢https://www.ithome.com.tw/news/177341
GitHub相依套件管理工具Dependabot版本更新預設等待3天
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><strong><a href="https://github.blog/changelog/2026-07-14-dependabot-version-updates-introduce-default-package-cooldown/">GitHub調整Dependabot的一般版本更新機制</a></strong>，套件新版本發布至套件登錄服務後，Dependabot現在預設至少等待3天，才會提出版本更新拉取請求（Pull Request，PR）。該設定不需另外啟用，僅適用於一般版本更新，要是專案使用的套件含有已知漏洞，Dependabot仍會即時提出安全性更新PR，不受等待期影響。</p> <p>Dependabot是GitHub內建的相依套件管理工具。由於不少軟體大量使用第三方套件，避免從頭開發每項功能，但這些套件也會持續推出新版本或修補漏洞。Dependabot可定期檢查專案使用的套件，發現可用更新時自動提出PR，列出需要修改的版本，交由開發人員檢查、測試及合併。</p> <p>GitHub將3天等待期設為預設值，主要是為了降低新版本剛發布時的供應鏈風險。若新版本遭到竄改或本身有問題，維護者與使用者社群可能尚未發現。延後提出更新PR，可讓相關異常有時間被發現與回報，降低開發團隊在版本發布後立即合併問題版本的機率。</p> <p>3天等待期並非安全審查，也無法保證版本沒有問題。開發團隊仍須透過自動化測試、程式碼審查及部署流程，確認更新是否適合現有系統。這項機制只能降低團隊在版本剛發布時就合併更新的機率，不能取代既有的軟體安全與品質管理措施。</p> <p>一般更新與安全修補採取不同處理方式，是為了避免延誤已知漏洞的修正。當專案使用的套件出現Dependabot漏洞警示，且已有可用修補版本時，Dependabot仍會立即提出安全性更新PR，讓團隊儘快處理風險。</p> <p>開發團隊也可在.github/dependabot.yml設定檔中使用Cooldown選項，調整等待時間或停用預設等待期。這項預設機制適用於GitHub.com上Dependabot支援的所有套件生態系統，並將自GitHub Enterprise Server 3.23起生效。</p> </div></div></div>
7/15 17:39作者李建興https://www.ithome.com.tw/news/177342
針對日前要求用戶關閉Storage Zone Controller，Progress坦承原因是ShareFile存在零…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>7月10日IT廠商Progress<strong><a href="https://www.ithome.com.tw/news/177255">傳出緊急通知ShareFile用戶</a></strong>，要求暫時關閉Storage Zone Controller（SZC）伺服器，以因應外部資安威脅，該公司已暫停受影響帳號的存取權限，並著手調查。本週Progress向媒體透露，起因與零時差漏洞有關。</p> <p>根據<strong><a href="https://www.bleepingcomputer.com/news/security/progress-confirms-sharefile-zero-day-flaw-behind-storage-zone-shutdown/">資安新聞網站Bleeping Computer報導</a></strong>，Progress於7月14日向用戶發送更新通知，先前他們接獲可靠的消息來源，通報有關於SZC的潛在威脅，經調查發現一個高風險等級的路徑遍歷漏洞，影響SZC 5.x與6.x所有版本，該公司發布5.12.5與6.0.2版修補。攻擊者可利用通過身分驗證的管理員觸發弱點，可讀取應用程式的服務帳號，藉此存取任意檔案、寫入惡意內容到任何資料夾，或是列出伺服器檔案系統的配置。Progress已為該漏洞登記CVE編號，但預計在兩週後才會公布，並強調ShareFile用戶帳號或資料尚未遭到未經授權存取的跡象。</p> <p>針對延遲公布漏洞資訊的原因，Progress表示是為了讓客戶有時間著手修補，並避免細節被潛在攻擊者取得，該公司強調，這是他們的標準作法。我們也實際存取SZC公開的<strong><a href="https://docs.sharefile.com/en-us/storage-zones-controller/5-0/about">5.x</a></strong>與<strong><a href="https://docs.sharefile.com/en-us/storage-zones-controller/6-0/whats-new.html">6.x版</a></strong>說明文件，發現Progress並未列出上述提及的新版。</p> <p><a href="/sites/default/files/images/SZC5_VpmvmSvihg.jpg" target="_blank"><img alt="" src="/sites/default/files/images/SZC5_VpmvmSvihg.jpg" style="width: 580px;" /></a></p> </div></div></div>
7/15 17:51作者周峻佑https://www.ithome.com.tw/news/177345
日本冷鏈龍頭Nichirei遭駭引發供應鏈風暴，KFC恐因食材短缺被迫停業，藏壽司與Aeon也受影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>日本知名食品與低溫物流巨頭Nichirei（日冷）集團13日因<a href="https://www.ithome.com.tw/news/177341">遭受網路攻擊，導致冷藏倉庫與冷凍出貨作業中斷</a>，這起針對物流中樞的網路攻擊事件已引發嚴重的連鎖反應，根據日本多家媒體報導，受波及的業者包括日本肯德基（KFC）、藏壽司（くら寿司）及零售巨頭永旺（Aeon）等，業者正面臨食材斷料危機，最嚴重是被迫暫時停止營業。</p> <p>例如，<strong><a href="https://japan.kfc.co.jp/news_release/8160">日本肯德基於14日在公司官網宣布</a></strong>，受到供應商Nichirei系統故障導致核心食材配送延遲的影響，旗下部分門市可能被迫暫時停業，部分門市可能因食材耗盡而讓菜單選擇變少或縮短營業時間，目前日本肯德基已全面暫停官方App與網站的訂餐服務。</p> <p>根據<strong><a href="https://news.yahoo.co.jp/articles/bf0b89f392767c0abeff5a55f26a85e62d7c101e">路透社報導</a></strong>，Nichirei事故的衝擊範圍正持續擴大，連鎖迴轉壽司業者藏壽司（Kura Sushi）於15日宣布，因合作廠商遭網路攻擊導致服務中斷，受此影響，公司門市的食材、冷凍食品及部分商品出現配送延遲與未能送達的情況。此外，還有消息指出，Skylark Holdings集團旗下的Flo japon也受到影響。</p> <p>而<a href="https://news.yahoo.co.jp/articles/39a1dc1fef70d04326f8bae092dee83ebb8529da"><strong>共同通信（Kyodo News）的報導</strong></a>則指出，災情已深入零售通路與上游製造端。例如，永旺（Aeon）集團旗下的超市於15日出現部分商品缺貨；東北地區的大型超市York Benimaru也因部分物流中心委託Nichirei營運，導致便當與烘焙區品項供貨中斷。此外，衝擊範圍也延伸至上游供應商，冷凍食品大廠TableMark目前也無法正常運送家用及商用冷凍產品。。</p> <p>在此同時，在<strong><a href="https://www.itmedia.co.jp/news/articles/2607/15/news111.html">ITmedia報導</a></strong>也提到，日本知名餐飲集團Plenus同樣宣布受Nichirei遭駭事故波及，旗下著名的外帶便當連鎖店Hotto Motto，以及日式定食連鎖餐廳彌生軒的部分店面，也面臨食材配送與出貨延誤的狀況。</p> <p>綜觀這起事件的廣泛影響，已體現一旦食品冷鏈物流中樞遭駭停擺，實體民生與消費市場也將隨之受波及的嚴重供應鏈危機。</p> </div></div></div>
7/15 17:54作者羅正漢https://www.ithome.com.tw/news/177343
【資安日報】7月15日，微軟公布自家產品逾600個資安漏洞，再創單月揭露漏洞數量新紀錄
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><h3><strong>本日新聞焦點</strong></h3> <p>● <a href="https://www.ithome.com.tw/news/177339#PatchTue">微軟7月公布逾600個自家產品的資安漏洞</a><br /> ● <a href="https://www.ithome.com.tw/news/177339#SharePoint">美國警告鎖定多項SharePoint已知漏洞的大規模攻擊活動</a><br /> ● <a href="https://www.ithome.com.tw/news/177339#SonicWall">SonicWall警告兩個零時差漏洞已被用於實際攻擊</a><br /> ● <a href="https://www.ithome.com.tw/news/177339#ShinyHunters">駭客團體ShinyHunters濫用OAuth權杖滲透SaaS應用</a> <br /> ● <a href="https://www.ithome.com.tw/news/177339#OpenJS">OpenJS公布Node.js資安進展</a> <a id="PatchTue" name="PatchTue"></a></p> <h3> </h3> <h3><b>資安新聞總覽</b></h3> <p><a href="https://www.ithome.com.tw/news/177319"><span style="font-size: 22px;"><strong>微軟7月例行更新修補自家產品622個漏洞，連同Chromium總計超過1千個</strong></span></a></p> <p><a href="/sites/default/files/images/Jul_V9VCTLalUu-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/Jul_V9VCTLalUu-63.jpg" style="width: 300px; float: right;" /></a></p> <p>一週前微軟透露，隨著AI加速漏洞發現的速度，該公司已利用相關技術提早找出Windows弱點，預告未來的每月例行更新（Patch Tuesday）將會納入更多修補內容，繼6月修補漏洞總數突破500，本次修補弱點數量近乎翻倍。7月15日微軟公開622個由該公司登記編號的資安漏洞，數量是上個月206個的3倍。若是加上該公司修補428個與Chromium有關的資安漏洞，總數將達到1,050個，無論是微軟登記CVE的漏洞，還是修補第三方漏洞的數量，都再度創下史上最多的紀錄。<a href="https://www.ithome.com.tw/news/177319">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177324"><span style="font-size: 22px;"><strong>微軟7月例行更新揭露3個零時差漏洞</strong></span></a></p> <p>今天（7月15日）微軟發布本月例行更新（Patch Tuesday），總共修補1,050個漏洞，有622個是微軟產品漏洞，其餘為Chromium弱點。微軟提及其中有3個漏洞特別值得留意，因為這些漏洞已在修補前遭到利用或被公開。其中，已被用於實際攻擊的漏洞是CVE-2026-56155與CVE-2026-56164，分別影響AD聯合身分驗證服務（ADFS）與SharePoint，都屬於權限提升弱點，微軟列出的CVSS評分為7.8、5.3，歸納為重要（Important）與中度風險等級。<a href="https://www.ithome.com.tw/news/177324">詳全文</a> <a id="SharePoint" name="SharePoint"></a></p> <p><a href="https://www.ithome.com.tw/news/177336"><span style="font-size: 22px;"><strong>CISA警告新一波鎖定SharePoint資安漏洞的攻擊活動，呼籲用戶儘速強化防護</strong></span></a></p> <p>美國網路安全與基礎設施安全局（CISA）於7月14日發布最新警報，駭客正積極利用3項微軟SharePoint漏洞CVE-2026-32201、CVE-2026-45659、CVE-2026-56164，鎖定企業內部建置的伺服器發動攻擊。攻擊者可藉由這些漏洞取得遠端程式碼執行（RCE）能力，並進一步竊取IIS主機上的機器金鑰（machine key）。CISA呼籲所有SharePoint用戶，立即加強修補與資安監控，確認SharePoint是否啟用反惡意軟體掃描介面（AMSI）整合功能。<a href="https://www.ithome.com.tw/news/177336">詳全文</a> <a id="SonicWall" name="SonicWall"></a></p> <p><a href="https://www.ithome.com.tw/news/177329"><span style="font-size: 22px;"><strong>SonicWall修補防火牆已遭利用的滿分漏洞</strong></span></a></p> <p>7月14日SonicWall針對SMA1000設備發布資安公告，指出6210、7210、8200v等部分機種當中，存在CVE-2026-15409、CVE-2026-15410兩個漏洞，已出現積極利用的漏洞攻擊活動，由於沒有其他替代緩解措施，該公司呼籲用戶應儘速升級至12.4.3-03453或12.5.0-02835以上版本因應。其中又以CVSS評分達到10分的CVE-2026-15409特別危險，此弱點存在於Work Place介面，未經驗證的攻擊者有機會讓防火牆向非預期的位置發出請求。<a href="https://www.ithome.com.tw/news/177329">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177332"><span style="font-size: 22px;"><strong>CISA將SonicWall防火牆、微軟ADFS與SharePoint資安漏洞列KEV</strong></span></a></p> <p>7月14日美國網路安全與基礎設施安全局（CISA）發布公告，表示他們已掌握微軟及SonicWall本週修補的部分資安漏洞被積極利用的跡象，將這些弱點列入已遭利用的漏洞名單（KEV），包含存在於SonicWall SMA100設備的CVE-2026-15409與CVE-2026-15410，以及AD聯合身分驗證服務（ADFS）漏洞CVE-2026-56155、SharePoint漏洞CVE-2026-56164，大部分漏洞CISA要求聯邦機構必須在7月17日前完成修補。<a href="https://www.ithome.com.tw/news/177332">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177335"><span style="font-size: 22px;"><strong>SAP NetWeaver ABAP存在近滿分重大漏洞，可導致資料洩露與竄改</strong></span></a></p> <p>SAP發布7月例行更新（Security Patch Day），公布16項更新內容，其中修補3項重大等級的資安漏洞，根據CVSS風險評分，最危險的漏洞存在於SAP NetWeaver Application Server ABAP，編號登記為CVE-2026-44747，CVSS評分達到9.9（滿分10分），通過身分驗證的攻擊者可藉由記憶體管理邏輯錯誤，造成記憶體損毀，而能夠在未經授權的情況下，存取、竄改資料，或是導致系統無法使用。<a href="https://www.ithome.com.tw/news/177335">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177334"><span style="font-size: 22px;"><strong>Adobe修補12款產品漏洞，ColdFusion與Commerce更新優先度最高</strong></span></a></p> <p>Adobe於7月14日發布資安公告，修補12款產品的漏洞，修補優先順序最高的是網頁應用程式開發平臺ColdFusion，一共有13個漏洞，含11個重大等級漏洞，其中包括CVSS嚴重性評分達9.9分的CVE-2026-48318，另有7個漏洞的CVSS評分也都超過9.0分，用戶應立即更新。修補優先順序次之的是電子商務平臺Adobe Commerce，一共修補14個漏洞，是此次12款產品更新中修補漏洞最多者，其中含8個重大漏洞。<a href="https://www.ithome.com.tw/news/177334">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177328"><span style="font-size: 22px;"><strong>Google更新Chrome 150穩定版，修補15個漏洞，兩個屬重大等級</strong></span></a></p> <p>Google發布Chrome瀏覽器新版，將Windows、macOS、Linux、Android平臺更新至150.0.7871.124與150.0.7871.125，納入15個漏洞的修補。本次修補的重大漏洞有兩項，分別為CVE-2026-15764與CVE-2026-15765，均屬於平臺抽象層元件Ozone的記憶體已釋放卻仍被使用（UAF）問題。綜觀這次修補的漏洞，依舊以記憶體安全類型居多，UAF問題占5項，加上緩衝區溢位、未初始化記憶體使用（Uninitialized Use）等共8項，占修補漏洞總數將近60%。<a href="https://www.ithome.com.tw/news/177328">詳全文</a> <a id="ShinyHunters" name="ShinyHunters"></a></p> <p><a href="https://www.ithome.com.tw/news/177305"><span style="font-size: 22px;"><strong>ShinyHunters濫用OAuth權杖攻擊SaaS應用程式</strong></span></a></p> <p><a href="/sites/default/files/images/ShinyHunters-5-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/ShinyHunters-5-63.jpg" style="width: 300px; float: right;" /></a></p> <p>微軟警告，ShinyHunters近來手法出現變化，由以往運用惡意程式或暴力破解，轉向濫用OAuth身分驗證功能來攻擊Salesforce等合法SaaS應用程式，象徵其入侵手法的轉變。微軟分析近一年來的攻擊活動，歸納出兩種新的入侵途徑。其一是使用語音釣魚（Vishing），冒充IT技術支援人士，誘騙企業員工授權其惡意OAuth應用程式；另一種是濫用未授權的訪客權限（Guest Access），利用未驗證的Salesforce Aura端點，使用GraphQL格式的Aura請求，系統性查詢並檢索資料，然後將其外流。<a href="https://www.ithome.com.tw/news/177305">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177323"><span style="font-size: 22px;"><strong>IT服務廠商遭駭，超市連鎖業者Lidl被竊走德、比、荷線上商店客戶資料</strong></span></a></p> <p>歐洲平價超市連鎖業者Lidl（利多）本周通知德國、荷蘭和比利時客戶，受到一家IT服務供應商發生資安事件影響，使三國的線上商店客戶資料外洩。遭駭客竊取的線上商店客戶資訊包括顧客姓名、稱謂、電話號碼、電子郵件地址、出生日期和客戶編號。Lidl強調，客戶密碼、帳單地址、送貨地址、銀行帳號或其他支付資訊都沒外洩，顧客個人帳號也未受實質影響。Lidl強調，他們的線上商店系統本身未受波及。<a href="https://www.ithome.com.tw/news/177323">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177301"><span style="font-size: 22px;"><strong>日本最大計程車業者遭網路攻擊，電話派車與預約系統暫時停擺</strong></span></a></p> <p>旗下擁有超過一萬部出租車的日本最大計程車業者日本交通（Nihon Kotsu），於7月13日證實內部系統遭外部未授權存取並感染惡意程式，為防止影響擴大，已立即關閉與隔離受影響系統，目前受影響的系統主要為電話派車、租車網路預約管理及部分內部系統，一般民眾仍可透過計程車叫車App「GO」預約乘車，或直接於計程車站及路邊攔車搭乘。日本交通於7月11日凌晨發現系統異常，立即採取系統隔離等緊急措施因應，尚未發現客戶資料外洩跡象。<a href="https://www.ithome.com.tw/news/177301">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177296"><span style="font-size: 22px;"><strong>韓國友利銀行爆發1.7萬名客戶個資外洩，起因為再委外業者員工擅自保存資料並上傳至開發者平臺</strong></span></a></p> <p>近日韓國友利銀行（Woori Bank）於2026年7月3日向客戶發布公告說明，由於外部開發商員工的作業疏失，導致該行約1.7萬名客戶的個人資訊發生外洩。曾處理該行NFT平臺使用者個資的再委外業者（재수탁사）Blocko，隨後也承認因內部員工管理不當才引發此次事件。根據韓聯社報導，友利銀行於6月30日晚間得知外洩事故後，立即展開調查行動，確認這批外洩資料源於兩年前執行的非同質化代幣（NFT）平臺建置專案，受影響人數為17,551人。<a href="https://www.ithome.com.tw/news/177296">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177326"><span style="font-size: 22px;"><strong>惡意Go模組牽出GitHub誘餌網路，涉及222個儲存庫</strong></span></a></p> <p><a href="/sites/default/files/images/4a94a4a453edd719368d0a0e2dace5cd71323210-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/4a94a4a453edd719368d0a0e2dace5cd71323210-63.jpg" style="width: 300px; float: right;" /></a></p> <p>軟體供應鏈安全業者Socket揭露代號Muck and Load的惡意程式散布行動。攻擊者將惡意Go模組github[.]com/kaleidora/dnsub-scanning-tool偽裝成DNS與子網域掃描工具，並仿冒合法開放原始碼專案dnsub，誘使開發者誤信其為可信套件。該模組自1月24日發布首個版本以來，已累積超過1,200個版本，其中逾700個含有惡意程式碼。開發者執行該模組後，載入器會透過Pastebin、Telegram及Google Docs等公開服務取得惡意程式下載網址，再從GitHub下載加上密碼保護的7-Zip壓縮檔。<a href="https://www.ithome.com.tw/news/177326">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177307"><span style="font-size: 22px;"><strong>下載逾160萬次的瀏覽器擴充套件ModHeader遭下架，暗藏資料收集功能引發資安疑慮</strong></span></a></p> <p>資安業者Stripe OLT於7月13日揭露，擁有超過160萬次下載量的瀏覽器擴充套件ModHeader，內含隱藏的瀏覽記錄收集引擎，可收集並外傳用戶的瀏覽資料，以致引發資安疑慮，先後遭Google與微軟下架。這款擴充套件可讓用戶直接修改HTTP請求與回應標頭，方便測試網站與線上服務，因而廣獲網站開發測試人員使用。研究人員追蹤資料上傳指向的網域與其後端服務，還找到源自中國的軟體套件、簡體中文地區設定與中文標記等可疑蹤跡。<a href="https://www.ithome.com.tw/news/177307">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177223"><span style="font-size: 22px;"><strong>研究人員展示工作流程層級的提示注入手法，繞過護欄讓GitHub Copilot撰寫惡意程式</strong></span></a></p> <p><a href="/sites/default/files/images/my_metho_final-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/my_metho_final-63.jpg" style="width: 300px; float: right;" /></a></p> <p>隨著AI模型加入安全護欄，已減少提示注入攻擊的可能性，有研究人員發展出新提示注入手法，將攻擊行為拆成一組工作流程（workflow），成功讓GitHub Copilot撰寫出惡意程式碼。研究人員Abhishek Kumar與Carsten Maple將其手法稱為工作流程層級越獄建構（workflow-level jailbreak construction）。這種攻擊法是將一個惡意攻擊指令，切成看似一般軟體開發流程的多個階段，這些階段一旦組合起來，就能對GitHub Copilot起作用，依照研究人員指示撰寫攻擊程式碼。<a href="https://www.ithome.com.tw/news/177223">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177292"><span style="font-size: 22px;"><strong>網路流量分析工具Wireshark發布4.6.7版，修補12個漏洞</strong></span></a></p> <p>開源網路流量分析工具Wireshark近日發布4.6.7版更新，修補12個漏洞，涵蓋多個網路協定解析器（Protocol Dissector）與封包擷取檔案解析元件（file parser）。Wireshark能解析數百種網路協定，廣泛應用於網路故障排除、封包分析及資安鑑識，因此若處理惡意封包或封包擷取檔案時存在漏洞，可能影響分析工作的安全性。就CVSS評分來看，最嚴重的是DBS Etherwatch封包檔案解析元件漏洞CVE-2026-15167，CVSS評分為7.5分。<a href="https://www.ithome.com.tw/news/177292">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177250"><span style="font-size: 22px;"><strong>Debian 13.6發布安全更新，修補逾百個軟體元件，並因應UEFI Secure Boot憑證到期問題</strong></span></a></p> <p>主要Linux發行版之一的Debian發布13.6版更新，整合近期的元件漏洞修補與重要錯誤修正，其中最受關注的，是將更新韌體用的fwupd程式升級至2.0.20版，以因應UEFI Secure Boot開機載入程式的憑證授權到期問題，讓系統可更新Secure Boot憑證。Debian這次更新也整合逾百個涉及Linux核心、管理工具與應用程式套件的漏洞修補，其中涵蓋項目較多的元件，包括網路資料傳輸工具curl的十多個漏洞修補，涵蓋憑證驗證、記憶體安全等問題。<a href="https://www.ithome.com.tw/news/177250">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177284"><span style="font-size: 22px;"><strong>OWASP ModSecurity修補高風險漏洞，未更新可能導致攻擊者藉此繞過防火牆防護</strong></span></a></p> <p>開源Web應用程式防火牆ModSecurity近日發布資安公告，修補兩個可能導致攻擊者繞過防火牆規則的漏洞CVE-2026-52747、CVE-2026-52761，影響3.0.15版以前版本。ModSecurity由開源Web應用程式安全專案OWASP維護，廣泛部署於Apache HTTP Server、Nginx等Web伺服器前端，用於攔截SQL注入、跨網站指令碼（XSS）等常見Web攻擊，因此相關漏洞可能影響網站阻擋攻擊的能力，用戶應儘速升級至已修補的3.0.16版。<a href="https://www.ithome.com.tw/news/177284">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177222"><span style="font-size: 22px;"><strong>HP Deskjet 2800印表機韌體漏洞可讓駭客竊取憑證及配置資訊</strong></span></a></p> <p>CERT/CC協調中心警告，HP家用多功能事務機Deskjet 2800系列傳出韌體存在缺少授權檢查的漏洞CVE-2026-13753，可讓攻擊者取得Wi-Fi憑證、管理配置及其他敏感資訊，但HP尚未修補。此弱點讓遠端攻擊者得以繞過Web介面的驗證要求，並從後端API直接擷取敏感的配置資料，進而非法存取Wi-Fi網路、執行網路或雲端整合的偵察、冒充合法裝置或協助列印環境的進一步攻擊。這個漏洞CVSS評分為7.5，影響韌體版本TBP1CN2612AR及之前版本。<a href="https://www.ithome.com.tw/news/177222">詳全文</a> <a id="OpenJS" name="OpenJS"></a></p> <p><a href="https://www.ithome.com.tw/news/177280"><span style="font-size: 22px;"><strong>OpenJS公布Node.js資安進展，以AI協助處理暴增的漏洞通報</strong></span></a></p> <p><a href="/sites/default/files/images/wacdI2idGbGbZ9ju_image4-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/wacdI2idGbGbZ9ju_image4-63.jpg" style="width: 300px; float: right;" /></a></p> <p>OpenJS基金會（OpenJS Foundation）公布2026年第二季資安進展，重點包括Node.js安全更新流程自動化，以及因應AI代理輔助掃描工具帶來的漏洞通報量激增。基金會旗下CVE編號授權機構（CNA）發布的CVE數量，也從2025年下半的3個增至2026年上半的49個。其中Node.js推出重大改版，這個開源軟體專案的安全團隊利用自動化工具，將原本涉及36個步驟的安全更新發布流程縮減至7個，並建立網頁管理介面，集中呈現納入更新的漏洞報告、尚缺少的資料，以及各版本分支檢查清單完成情形。<a href="https://www.ithome.com.tw/news/177280">詳全文</a></p> </div></div></div>
7/15 15:09作者周峻佑https://www.ithome.com.tw/news/177339