iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 24篇
近 7 天: 112篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/5
最近更新: 11/6 07:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 112 篇內文

1
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象1 家

彭博社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

研究人員在DEF CON揭露波蘭公部門網站暴露的資安風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>波蘭研究人員Robert Kruczek與Kamil Szczurowski檢視該國公部門網站的安全狀況，並於8月舉行的資安大會<a href="https://defcon.org/html/defcon-34/dc-34-speakers.html#content_66584:~:text=Back%20to%20top-,Hacking%20the%20Government%3A%20How%20Two%20Researchers%20Turned%20Late%2DNight%20Boredom%20Into%20a%20National%20Audit,-Friday%20at%2012">DEF CON 34公布研究</a>結果。<a href="https://techcrunch.com/2026/08/07/security-researchers-scanned-the-polish-web-and-found-courts-hospitals-and-airports-at-risk-of-hacks/" target="_blank">根據TechCrunch報導</a>，相關問題涉及超過1萬個公部門單位、約25萬個網站，涵蓋機場、醫院與政府機關。兩人也將發現的問題透過多個官方管道通報波蘭政府。</p> <p>其中，波蘭部分公部門網站使用的內容管理系統PAD CMS存在兩項重大（Critical）漏洞<a href="https://www.cve.org/CVERecord?id=CVE-2025-7063" target="_blank">CVE-2025-7063</a>與<a href="https://www.cve.org/CVERecord?id=CVE-2025-7065" target="_blank">CVE-2025-7065</a>。波蘭電腦緊急應變團隊CERT Polska給予這兩項漏洞的CVSS 4.0評分皆為10.0。這兩項漏洞皆因權限檢查參數可由用戶端控制所致，未經身分驗證的遠端攻擊者可藉此上傳任意檔案（不限類型與副檔名），進而執行任意程式碼。</p> <p>研究人員利用PAD CMS的重大漏洞，在無須輸入密碼的情況下存取逾300個波蘭公部門網站。由於PAD CMS已停止維護、不再提供支援，開發商不打算提供相關漏洞的修補程式。此外，研究人員還找到另一項安全漏洞，可藉此存取約245個波蘭法院的網站。</p> </div></div></div>
8/10 11:46作者王珮瑤https://www.ithome.com.tw/news/177991
美國多地供水系統遭網攻，研究發現全球逾4千臺Rockwell OT控制器暴露於公開網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>日前美國多州供水系統接連遭到網路攻擊，<a href="https://www.forescout.com/blog/ot-security-analysis-exposed-devices-attacked-in-us-water-systems/" target="_blank">網路安全業者Forescout進一步調查發現</a>，全球至少有4,407臺Rockwell Automation／Allen-Bradley控制器直接連上網際網路，其中有2,844臺、約65%位於美國。</p> <p>Forescout旗下資安研究團隊Vedere Labs透過Shodan搜尋引擎，查找直接暴露於網際網路的Rockwell Automation／Allen-Bradley控制器。這些設備均對外開放EtherNet/IP使用的TCP 44818埠。依產品型號來看，MicroLogix 1400占50%，CompactLogix 1769占22%，MicroLogix 1100與ControlLogix 5590則各占8%。</p> <p>Vedere Labs是在<a href="https://www.ithome.com.tw/news/177799" target="_blank">美國多州水務設施接連遭網路攻擊</a>後展開這項研究，攻擊者鎖定直接暴露於網際網路的可程式化邏輯控制器（Programmable Logic Controller，PLC），部分受害設施因此出現水壓下降及淹水等營運異常。</p> <p>根據Vedere Labs的觀察，目前尚無法確認這波針對美國供水與廢水處理設施的攻擊是否利用特定CVE漏洞。鄰近美國網路安全暨基礎設施安全局的警示與Forescout公布調查報告的時間點，<a href="https://www.rockwellautomation.com/en-nl/trust-center/security-advisories/advisory.SD1790.html">洛克威爾自動化（Rockwell Automation）發布安全公告</a>，針對這波涉及MicroLogix控制器的未授權變更事件，提出說明，當中指出攻擊者曾在原本未啟用密碼保護的MicroLogix控制器上，啟用並設定密碼保護，洛克威爾自動化也在安全公告中提供MicroLogix控制器遭未授權變更後的復原方式，並建議供水與廢水處理業者不要讓控制器直接連上網際網路，移除公開IP位址或連接埠轉送（port-forwarding）規則，再將控制器置於防火牆後方的隔離OT網路。</p> </div></div></div>
8/10 12:01作者王珮瑤https://www.ithome.com.tw/news/177992
Linux核心SCTPhantom漏洞隱身18年，可取得最高權限並突破容器隔離
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>騰訊OS安全團隊（Tencent Zhuque Lab）<strong><a href="https://matrix.tencent.com/en/2026/08/06/sctphantom-CVE-2026-64564">揭露</a></strong>Linux核心漏洞SCTPhantom，編號CVE-2026-64564。該漏洞存在於SCTP網路通訊功能，問題可追溯至約18年前，研究人員已在多個Linux環境驗證，並示範低權限本機程式可藉此取得最高系統權限，在特定條件下也能從容器進一步控制主機。Linux核心已發布修補程式。</p> <p>SCTP是一種支援多個網路位址的傳輸協定，搭配動態位址重新設定功能後，可在連線期間新增、刪除或調整使用的位址。SCTPhantom出現在Linux處理SCTP位址變更時，核心在檢查刪除要求與後續操作時，使用了不同的位址資訊。攻擊者要是依特定順序送出操作要求，可能讓某個網路連線物件的記憶體已被釋放後，核心仍繼續使用指向該物件的記憶體位置，形成記憶體釋放後仍遭使用的漏洞。</p> <p>研究團隊進一步把該記憶體釋放後使用發展成完整的權限提升攻擊，先取得核心記憶體位址資訊，再讀取核心資料，最後控制與使用者權限相關的核心資料，讓攻擊程式取得最高系統權限。團隊已在Linux 7.2-rc2，以及採用5.14、6.6、6.8與6.12核心的多個Linux發行版完成驗證。</p> <p>SCTPhantom也可能突破容器隔離，由於Linux容器與主機共用同一個核心，一旦漏洞能直接影響核心，就可能越過原本的容器隔離。在維持預設seccomp系統呼叫限制、也未額外授予容器CAP_NET_ADMIN或CAP_SYS_ADMIN權限的測試中，8次攻擊有6次成功取得主機最高權限。</p> <p>不過研究團隊強調，實際是否能利用仍取決於系統是否啟用SCTP、容器可使用的網路功能，以及Linux安全政策與權限設定。</p> <p>SCTPhantom漏洞的相關程式邏輯可追溯到2007年12月、Linux 2.6.25時期。Linux核心CVE團隊於2026年8月4日公布CVE-2026-64564，官方CVE紀錄採CVSS v3.1評分，基本分數為9.8。已知首批修補版本包括Linux 6.6.148、6.12.101、6.18.42、7.1.6，以及主線核心7.2-rc5。</p> <p>由於各Linux發行版可能自行將修補程式套用到較舊核心，判斷系統是否已修補仍應以發行版安全公告或實際套用的修補程式為準。</p> </div></div></div>
8/10 12:05作者李建興https://www.ithome.com.tw/news/177988
Cloudflare公布代理人優先的AI瀏覽器Kitesurf，強調更省運算資源、記憶體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://blog.cloudflare.com/kitesurf/" target="_blank">Cloudflare上周公布</a>專為AI代理人執行而設計的無狀態（stateless）瀏覽器Kitesurf，將搭配隔離環境V8 Worker執行，強調比Chromium更節省CPU資源與記憶體。</p> <p>4月Cloudflare公布Browser Run，這是一個雲端無頭瀏覽器（Headless Browser）自動化API服務，特別適合支援AI代理人進行大規模網頁互動與自動化操作。Cloudflare說這項服務大受歡迎。代理人需要瀏覽器執行多項任務，但現有瀏覽器引擎像是Chromium是為人類設計，並不適合代理人，包括耗用過多記憶體和CPU，讓具有較高參數知識的昂貴AI模型得佔用Web資源，限制其他代理人應用。</p> <p>為此Cloudflare開發出Kitesurf。該公司表示，這是專為AI代理人設計的瀏覽器，簡省一般瀏覽器的特色，像是分頁、主題、外掛或裝置同步。它不需要完美的視覺顯示像是60 FPS播放功能，反而更注意結構化、機器可讀取內容的呈現。代理人優先瀏覽器的威脅模型也不同，更重視提示注入和工具安全。</p> <p>Cloudflare強調Kitesurf在執行常見代理人任務，比Chromium還省CPU和記憶體。例如在螢幕擷圖和擷取HTML時，比Chromium省3.1倍和3.8倍CPU運算資源、各省了4.7倍及7倍的記憶體資源。另一方面，由於Kitesurf的設計架構極度省記憶體與省算力，代價是執行這些任務實際花費時間（wall time）各比Chromium慢了1.8和1.7倍。但Cloudflare表示，更少的記憶體和算力花費意謂省下支出，估計Kitesurf比Chromium成本少3到7倍。</p> <p>Kitesurf完全執行在Cloudflare的代理人運行隔離環境Worker上，現在在Browser Run以beta版免費提供試用。</p> <p>Browser Run CDP端點支援使用Kitesurf，因此企業現有客戶端控制瀏覽器的技術如Puppeteer、Playwright、chrome-remote-interface，或是任何支援MCP（model context protocol）和CDP（Chrome DevTools Protocol）的AI代理人都可以持續使用，只要在端點加入browser=kitesurf參數即可。</p> <p>或是在<a href="https://kitesurf.cloudflare.app/" target="_blank">Cloudflare Playground</a>測試。該平臺UI注入了Chrome DevTools，提供檢視DOM元件、讀取console訊息、瀏覽網路活動。Cloudflare還內建記憶體管理必要的CDP指令，以回報每個任務使用的WebAssembly大小，以了解每頁耗用的資源。</p> <p>到目前為止Kitesurf已能正確渲染TodoMVC（vanilla, React, Vue, Angular, Preact)、Wikipedia、Hacker News及Cloudflare部落格及多個Cloudflare儀表板網頁。</p> <p>但該公司也說明目前Kitesurf還無法支援播放影片、渲染WebGL、利用真實的TLS指紋進行機器人驗證（bot-challenge）握手，或是啟動需要持久狀態（persistent state）且長達10分鐘的驗證工作階段（authenticated session）。要使用的話最好先在Browser Run測試，Cloudflare說會持續改進Kitesurf。</p> </div></div></div>
8/10 10:31作者林妍溱https://www.ithome.com.tw/news/177982
生技公司逸達遭網路攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>生技公司逸達（6576）<strong><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=171441&SPOKE_DATE=20260807&COMPANY_ID=6576">於8月7日傍晚</a></strong>，在股市公開資訊觀測站發布重大訊息指出，資訊系統於8月4日遭受駭客攻擊，事件發生後立即啟動資訊安全防禦機制，並委請外部資安技術公司及專家協助處理。</p> <p>根據逸達的初步評估，本起事故對於公司營運未造成重大影響，並表示將依照相關程序，向主管機關進行通報。</p> </div></div></div>
8/10 10:47作者周峻佑https://www.ithome.com.tw/news/177983
OpenAI併購AI簡報生成平臺新創業者NextSlide
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>AI簡報生成平臺業者NextSlide近日<a href="https://nextslide.ai/" target="_blank">透過官網宣布</a>，已被OpenAI收購，將把其功能整合進ChatGPT。</p> <p>NextSlide是一間總部位於美國亞利桑那州的新創公司，成立僅一年多。這家公司旨在讓商業簡報及視覺溝通變更容易，協助使用者更清楚表達想法。NextSlide的方案可讓使用者下提示或上傳研究、筆記、文件就能生成一份精美、可編輯的簡報檔。</p> <p><a href="https://techcrunch.com/2026/08/08/openai-acquires-presentation-startup-nextslide/" target="_blank">TechCrunch報導</a>，NextSlide創辦Ahmed Beshry之前共同創辦智慧購物車及無人結帳櫃臺開發商Caper AI，後者於2021年為電商平臺Instacart收購。</p> <p>Beshry指出，NextSlide團隊將加入OpenAI，協助打造ChatGPT功能，持續打造幫助使用者「建立、溝通想法並將之轉化為有意義工作」的AI產品。</p> <p>這項收購和OpenAI去年為上市而改以商務應用及開發人員工具為目標的發展方向一致。為了集中資源開發這些企業工具，OpenAI今年3月不惜關閉大受歡迎的<a href="https://www.ithome.com.tw/news/174651" target="_blank">影片生成模型Sora</a>。</p> <p>這幾個月來OpenAI陸續收購了多家公司以強化其商務及開發工具。包括AI代理人雲端執行平臺<a href="https://www.ithome.com.tw/news/176564" target="_blank">Ona</a>、AI個人金融App新創公司<a href="https://www.ithome.com.tw/news/175060" target="_blank">Hiro</a>、AI安全測試平臺<a href="https://www.ithome.com.tw/news/174301" target="_blank">Promptfoo</a>、Python開發工具公司<a href="https://www.ithome.com.tw/news/174558" target="_blank">Astral</a>及AI介面設計新創<a href="https://www.ithome.com.tw/news/171863" target="_blank">Software Applications</a>等。</p> </div></div></div>
8/10 10:53作者林妍溱https://www.ithome.com.tw/news/177984
土耳其擴大總統府網路管制權，可要求平臺2小時內執行封鎖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>土耳其在7月31日正式<a href="https://www.tbmm.gov.tr/Yasama/Kanun/DA9978B9-5655-4725-8FFA-019F273B6DB5" target="_blank">實施第7590號法律</a>，將部分網路管制權集中至總統府。遇到緊急情況時，政府可下令電信業者、網路服務商、資料中心及內容平臺採取封鎖等管制措施，業者最遲須在收到命令後2小時內執行，之後才由法院審查。</p> <p><a href="https://cdn.tbmm.gov.tr/KKBSPublicFile/D28/Y4/KanunMetni/152a9101-15fe-4138-aceb-99a304bb9ec3.htm" target="_blank">第7590號法律</a>是一項涵蓋交通、稅務、社會保險、教育、能源及網路安全等領域的綜合修法。其中與網路管制有關的條文修訂《電子通訊法》及2025年通過的《網路安全法》，將原本由資訊與通訊技術管理局（BTK）掌握的部分職權，移交給直屬總統Recep Tayyip Erdoğan辦公室的網路安全局，包括網域名稱、社群媒體、線上遊戲平臺及部分數位基礎設施的管理權。</p> <p>因此，網路安全局可自行或應安全及情報機關要求，以國家安全、公共秩序等理由決定採取緊急措施。命令不必事先取得法院批准，但須在24小時內送交法官審查，法官則須於48小時內裁定，否則命令自動失效。</p> <p><a href="https://www.ft.com/content/0a6249a2-e28b-4e58-ab2d-2b8615b832dc" target="_blank">金融時報</a>（Financial Times）引用無國界記者組織（Reporters Without Borders，RSF）的估計指出，土耳其約90%的全國性媒體已受政府控制，X、YouTube及Instagram因而成為少數仍相對容許批評報導及異議言論的空間。這意謂著新法將進一步擴大總統府對這些平臺的管制權，可能壓縮土耳其僅存的網路言論空間。</p> <p><a href="https://rsf.org/en/country-t%C3%BCrkiye" target="_blank">根據RSF今年所公布</a>世界新聞自由指數，土耳其在180個國家及地區中排名第163，比2025年的第159名下降4名。RSF指出，土耳其政府經常利用散布假訊息、侮辱總統及貶損國家機關等罪名打壓記者。</p> <p>除了土耳其之外，俄羅斯、印度及巴基斯坦等國家也允許行政機關在未事先取得法院批准的情況下，下令封鎖網路內容或服務。</p> </div></div></div>
8/10 11:15作者陳曉莉https://www.ithome.com.tw/news/177986
微軟開源跨語言單元測試代理，內部評測完成率92.1%高於原生Copilot
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟.NET團隊開源一套<strong><a href="https://devblogs.microsoft.com/dotnet/polyglot-unit-testing-agent/">跨語言單元測試代理</a></strong>，可先了解專案使用的程式語言、測試工具及既有測試方式，再自動產生並檢查單元測試。微軟內部以152項任務測試，該代理完成140項，完成率92.1%，高於使用相同AI模型與提示內容的原生GitHub Copilot，其完成率為78.9%。</p> <p>單元測試主要用來檢查個別程式功能是否按照預期運作。代理收到測試要求後，會先檢視程式碼儲存庫，找出需要測試的程式、專案使用的測試工具，以及既有測試的存放位置與執行方式，再據此產生測試程式。完成後，系統還會確認新增測試是否已納入專案原有的自動化測試流程，避免測試只能單獨執行，卻沒有真正成為專案檢查的一部分。</p> <p>代理產生測試後，還會檢查指定情境的涵蓋情形、測試判定條件的有效性，以及完整專案的建置與測試結果。系統也會模擬小幅修改待測程式，確認測試能在程式行為改變時找出問題，減少測試雖然通過，實際上卻沒有發揮檢查作用的情況。</p> <p>微軟公布的結果顯示，專用代理的差距主要出現在指示不夠明確的任務。89項較模糊的要求中，專用代理完成79項，完成率88.8%，原生Copilot完成59項，為66.3%，但在63項指示詳細的任務中，雙方都完成61項。另有15項要求針對特定程式碼修改補上測試的任務，專用代理全數完成，原生Copilot則沒有完成任何一項。</p> <p>該代理支援.NET、Python、TypeScript、JavaScript、Java、Go、Ruby、Rust、Swift、Kotlin、PowerShell及C++等語言，會依各專案既有做法產生測試。不過微軟的結果並非所有語言都有改善，例如10項PowerShell任務中，專用代理完成7項，原生Copilot完成8項。微軟也提醒部分語言的測試樣本不大，其提供的測試資料無法直接代表所有專案的實際表現。</p> <p>目前這套代理可透過GitHub Copilot命令列工具使用，也能在VS Code與VS Code Insiders透過仍在預覽階段的外掛功能使用，微軟也正在準備Visual Studio支援。</p> </div></div></div>
8/10 09:59作者李建興https://www.ithome.com.tw/news/177978
Levi's遭駭入員工電腦，竊走公司資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>知名服飾品牌業者Levi Strauss & Co（Levi's）近日發生員工電腦被駭，遭駭客存取公司檔案。但該公司說未影響消費者個資。</p> <p><a href="https://www.sec.gov/Archives/edgar/data/94845/000199937126017264/levi-8k_080726.htm" target="_blank">根據Levi's向</a>美國證券交易管理委員會（Securities and Exchange Commission，SEC）提交報告，攻擊者利用社交工程手法，而得以存取三名員工的公司電腦，進而藉此存取公司檔案。</p> <p>Levi's一偵測到異常活動就立即啟動事件應變程序，導入事件控制措施，也偕同第三方資安專家啟動調查。Levi's相信其快速回應成功控制和終止非授權存取行為。經過初步調查，Levi's相信駭客入侵存取並因此竊走部份公司資訊，但是沒有消費者資訊受影響。公司業務營運也並未發生任何中斷。</p> <p>目前調查仍在進行中，Levi's表示將會通知受影響人士，以及相關主管機關。</p> <p><a href="https://cloud.google.com/blog/topics/threat-intelligence/unc6671-targets-financial-services-and-enterprise-cloud-environments" target="_blank">Google威脅情報小組</a>近日一份研究顯示，一個駭客組織UNC6671上個月利用語音釣魚鎖定多家知名企業員工以騙取憑證。這個組織可能已改名為Redact、Pink、Helix或Falcon。<a href="https://www.reuters.com/legal/government/levi-strauss-reveals-cybersecurity-breach-amid-wider-wave-attacks-2026-08-07/" target="_blank">路透社報導</a>，Google的分析資料顯示，過去5個星期來有200多家企業受害，包括Levi's。</p> </div></div></div>
8/10 10:14作者林妍溱https://www.ithome.com.tw/news/177981
新增多重管理員驗證，NetApp物件儲存系統近期推出改版
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://www.ithome.com.tw/sites/default/files/grid_manager_dashboard_and_menu-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>發展超過25年的企業級物件儲存系統StorageGRID，NetApp今年6月底推出12.1版。我們最近一次介紹這套產品的改版是<strong><a href="https://www.ithome.com.tw/review/166029">2024年11月發表的11.9版</a></strong>，同時，硬體機型SGF6112也開始支援60 TB容量的QLC固態硬碟；隔年StorageGRID<strong><a href="https://investors.netapp.com/news/news-details/2025/NetApp-Modernizes-Object-Storage-with-Enhanced-Speed-Scalability-and-Security/default.aspx">12.0版</a></strong>發表，著重在AI內容儲存庫與高速AI工作負載這兩種應用，新增進階快取機制，能以此提升AI訓練與其他高效能運算工作負載的效率與規模擴展能力，吞吐量最高可提升20倍，</p> <p><a href="/sites/default/files/images/StorageGRID-AI Caching1s.jpg"><img alt="" src="/sites/default/files/images/StorageGRID-AI%20Caching1s.jpg" style="width: 600px;" /></a></p> <p><a href="/sites/default/files/images/StorageGRID-AI Caching2.jpg"><img alt="" src="/sites/default/files/images/StorageGRID-AI%20Caching2.jpg" style="width: 600px;" /></a></p> <p>StorageGRID 12.0版也支援儲存桶分支處理（bucket branches），可經由建立物件儲存桶的時間點資料副本（point-in-time copies），並將其用於工作流程，進而提供AI資料集的版本控制，用戶能藉此更輕鬆地大規模反覆執行AI專案，便於執行測試與開發流程，並在發生儲存服務中斷時，實現更快的資料復原，促使資料儲存環境具備更高的使用彈性與韌性。</p> <p><a href="/sites/default/files/images/StorageGRID-S3 Bucker Branches.jpg"><img alt="" src="/sites/default/files/images/StorageGRID-S3%20Bucker%20Branches.jpg" style="width: 600px;" /></a></p> <p><a href="/sites/default/files/images/StorageGRID-S3 Bucker Branches2.jpg"><img alt="" src="/sites/default/files/images/StorageGRID-S3%20Bucker%20Branches2.jpg" style="width: 600px;" /></a></p> <p>而在安全性方面，StorageGRID 12.0支援多種強化加密標準，例如AES GCM（Advanced Encryption Standard Galois/Counter Mode）的加密處理，當中也增加完整性檢查、更強大的磁碟加密，以及預設封鎖經由所有通訊埠進行的SSH存取；用戶也能透過跨網格遠端複製功能（cross-grid replication）新增的物件鎖定機制，更輕鬆支援AI資料集的防竄改應用需求。</p> <p><a href="/sites/default/files/images/StorageGRID-Sec.jpg"><img alt="" src="/sites/default/files/images/StorageGRID-Sec.jpg" style="width: 600px;" /></a></p> <p>而在最新推出的<strong><a href="https://investors.netapp.com/news/news-details/2026/NetApp-Enhances-Support-for-AI-Workloads-at-Massive-Scale/default.aspx">StorageGRID 12.1</a></strong>，NetApp大幅提升存取效能、資料管理便利性與擴充性。</p> <p>若以12.0版為基準，StorageGRID新版吞吐量增加幅度可達到4倍，針對AI工廠的應用需求，吞吐量可達到12 TB/s；透過批次操作功能S3 Batch Operations，用戶可輕鬆對數億個物件執行各種處理；針對物件儲存桶上一次掃描後的異動，StorageGRID現在可透過S3 Bucket Change Tracking協助AI代理更容易追蹤，提升廣泛建置AI資料管線流程的能力；StorageGRID加入<strong><a href="https://docs.netapp.com/us-en/storagegrid/admin/learn-about-global-namespace.html#what-is-a-global-namespace">全域聯合命名空間（Global Federated Namespace）的機制</a></strong>，用戶可在無需重新調整應用系統架構或工作流程的狀況下，就能進行大規模操作，NetApp表示，在單一命名空間中，可管理多個分散部署在全球各地的StorageGRID系統，最高可擴展至10 EB儲存空間。</p> <p>關於資安與治理方面，StorageGrid針對受監管環境的需求，提供更強大的控制能力，用戶可經由多<a href="https://docs.netapp.com/us-en/storagegrid/admin/about-multi-admin-verify.html"><strong>重管理員驗證（Multi-Admin Verification，MAV）機制</strong></a>，同時加速推動業務創新與保護系統儲存的資料。NetApp表示，對於受到嚴格監管且需兼顧IT營運速度要求的環境，此項新功能至關重要，因為在重大操作生效前，會要求取得其他指定的管理員批准，不僅可防護意外的資料刪除與未經授權的政策變更，以及不符合法規的情況，也能確保IT團隊持續運作，而不會影響IT創新的速度。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;">NetApp StorageGRID 12.0與12.1</span><br /> ●原廠：NetApp<br /> ●建議售價：廠商未提供<br /> ●硬體類型節點（整合應用設備機型）：SG100與SG1000、SG110與SG1100、SG120與SG1200、SG5700、SG5800、SG6000、SG6100、SG6200<br /> ●擴充節點的方式：部署appliance Storage Node、部署services appliance node（primary Admin Node、non-primary Admin Node、Gateway Node）<br /> ●軟體類型節點系統需求：8個CPU核心、24 GB記憶體，單一儲存區最大100 TiB（容器引擎儲存共用區、/var/local儲存區、Storage Node、Storage Node（僅儲存metadata）、Admin Node稽核記錄、Admin Node資料表）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
8/8 22:23作者李宗翰https://www.ithome.com.tw/review/177980
Gitea修補CVSS 9.8重大漏洞，攻擊者無須登入即可遠端執行程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>開源Git服務平臺Gitea揭露重大漏洞<strong><a href="https://github.com/go-gitea/gitea/security/advisories/GHSA-6v53-hr58-556r">CVE-2026-59774</a></strong>，遠端攻擊者不需要登入帳號，只要伺服器上存在可公開存取的儲存庫，就可能藉由文件處理功能讀取伺服器內的檔案，取得內部存取權杖後，甚至可以在系統上執行程式碼。漏洞CVSS 3.1風險評分達9.8分，官方已在Gitea 1.27.1修補。</p> <p>CVE-2026-59774漏洞發生在Gitea處理Org-mode文件的方式。Gitea提供文件預覽功能，讓使用者查看特定格式內容，但Org-mode本身支援從指定路徑載入其他檔案，原本的處理流程沒有阻止該功能存取伺服器本機檔案，因此攻擊者可以送出特製內容，要求Gitea替他讀取原本不該對外公開的檔案。</p> <p>攻擊者也不需要先將惡意檔案上傳到儲存庫，或取得儲存庫的修改權限。只要Gitea服務中存在未登入使用者也能公開讀取程式碼的儲存庫，就可能成為漏洞利用入口，而可被讀取的範圍則取決於Gitea服務帳號本身擁有的檔案存取權限。</p> <p>該漏洞風險也並非只有資料外洩，Gitea安全公告指出，攻擊者若取得系統主要設定檔中的內部存取權杖，可再利用Gitea內部功能寫入Git hook，也就是讓Git在特定操作發生時自動執行指定指令。之後有人在未登入狀態下複製儲存庫時，便可能觸發攻擊者設定的命令，使其以Gitea服務帳號權限在伺服器上執行程式碼。</p> <p>受影響版本涵蓋Gitea 1.22.1至1.27.0，1.27.1已完成修補，官方並於7月27日發布1.27.1，當時版本說明將相關修改列為一般錯誤修正，而直到8月2日發布安全公告，才進一步公開漏洞影響範圍與完整攻擊方式。</p> <p>目前Gitea安全公告沒有提到CVE-2026-59774已遭實際攻擊利用。使用受影響版本的管理者可升級至1.27.1或更新版本，以套用相關修補。</p> </div></div></div>
8/8 08:25作者李建興https://www.ithome.com.tw/news/177977
研究人員揭露駭客入侵Oracle資料庫，並以Oracle為跳板在Windows執行惡意指令的手法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安業者<a href="https://www.huntress.com/blog/khunt-malware-sql-injection-oracle" target="_blank">Huntress近日發現</a>甲骨文資料庫遭到駭客入侵後被用以當成跳板，對Windows發動攻擊、竊取用戶密碼。</p> <p>Huntress本周揭露了一起利用傳統SQL注入（SQL injection）漏洞結合Oracle資料庫內建Java功能，成功將攻擊工具包khunt寫入資料庫內部，最終取得Windows作業系統SYSTEM權限的進階攻擊案例。</p> <p>在這起案例中，一家企業對外服務App因為未能檢查輸入內容安全性，導致攻擊者得以發動SQL注入，取得系統控制權。在執行SQL注入時，攻擊者上傳名為khunt的後滲透工具包，使用了迄今十分少見的手法繼續其攻擊。研究人員說，這是2024年<a href="https://medium.com/@0x3adly/from-sql-injection-to-rce-leveraging-vulnerability-for-maximum-impact-2fb356907eed" target="_blank">研究人員Anas Eladly</a>曾經討論過，但較少文獻記錄的oraexec手法。</p> <p>這個工具利用Oracle資料庫內建的Java虛擬機器（OJVM），將Java原始碼CREATE JAVA SOURCE陳述句(statement)直接寫入並編譯在資料庫引擎中，編譯成內部物件的特色。這物件之後就能透過SQL指令來執行。</p> <p>Khunt本身包含數個元件，可執行不同指令。例如KhuntCmd可利用Java呼叫作業系統的cmd.exe，讓攻擊者傳送特定SQL陳述句執行任意OS指令。KhuntHash可直接讀取Oracle內部使用者表（User table），導出帳號與密碼雜湊(Hash)並寫入檔案。KhuntT能確認工具包已安裝、運作並能用於攻擊。KhuntUnzip能解壓縮檔案。數個PL/SQL wrapper可用於呼叫底層Java方法。</p> <p>在這次事件中，攻擊者就實際運用KhuntCmd模組，開啟Windows command shell，執行cmd.exe指令使其得以取得SYSTEM層級權限，並從資料庫在OS執行RCE(remote code execution)。他還使用Windows內建工具（如reg.exe、esentutl.exe及PowerShell）呼叫Windows Registry工具(reg.exe)，並將包括SECURITY和SYSTEM等敏感的Registry Hives複製出去。最後，攻擊者又複製SAM及SECURITY registry hive，複製來的Registry Hive可用於擷取和解碼本機帳號的密碼雜湊。</p> <p>研究人員指出，這次攻擊是將惡意工具包儲存為資料庫物件，而非檔案或記憶體。但傳統端點偵測與回應（EDR）及防毒產品只著重在OS流程、函式和檔案，較不會掃描Oracle資料庫內的Java class和PL/SQL wrapper。因此要防範此類攻擊，管理員必須執行適當的輸入淨化（Input Sanitization）與查詢參數化（Query parameterization），也必須確保不能給予過大的查詢權限，以免攻擊者透過SQL注入手法，從使用者帳號撰寫Java原始碼、執行儲存程序。</p> </div></div></div>
8/8 08:35作者林妍溱https://www.ithome.com.tw/news/177979
Cloudflare讓網站免改程式啟用WebMCP，AI代理可直接使用網站功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Cloudflare<strong><a href="https://blog.cloudflare.com/webmcp/?utm_campaign=cf_blog&utm_content=20260806">推出WebMCP開發者預覽</a></strong>，啟用後，Cloudflare會在網頁送到瀏覽器前自動加入一段橋接程式，讓支援WebMCP的AI代理發現網站提供的功能，並直接呼叫對應工具。網站管理者可直接在Cloudflare控制臺開啟功能，不必修改原有網站程式。</p> <p>WebMCP是一項仍在實驗階段的瀏覽器技術，可讓網站以結構化方式向AI代理公開可呼叫的功能。以購物網站為例，網站可以提供商品搜尋等工具，AI代理不必像人一樣尋找搜尋框、按鈕或表單，再模擬滑鼠與鍵盤操作，而是直接呼叫網站公開的工具完成工作。</p> <p>過去網站若要支援WebMCP，需要自行規畫工具並加入相關程式。Cloudflare這次把橋接程式的加入工作移到邊緣網路處理。網站開啟功能後，Cloudflare利用HTMLRewriter，在送出的HTML網頁中自動加入橋接程式，而要是訪客使用的瀏覽器不支援WebMCP，橋接程式便直接結束，不再進一步處理，原有網頁不受影響。</p> <p>Cloudflare首波提供兩組工具包，分別處理內容憑證與既有MCP伺服器。網站管理者可直接選擇啟用，不必為新增工具包重新部署網站。</p> <p>其中，內容憑證工具可讀取網頁圖片中的C2PA內容來源資訊，包括作者、編輯歷程及簽署者等資料。不過目前功能僅讀取憑證內容，未以密碼學方式驗證數位簽章，因此不能把取得的憑證資訊視為已經通過簽章驗證。</p> <p>另一組工具則供已經建置MCP伺服器的網站使用，頁面中的橋接程式會先取得網站原有的MCP工具清單，再把這些工具提供給瀏覽器中的AI代理。代理實際使用功能時，仍會直接連回該網站的MCP伺服器，並使用訪客既有的登入狀態，不必先把操作送到Cloudflare的伺服器處理。</p> <p>Cloudflare表示，目前這些工具主要在訪客瀏覽器內執行，之後計畫加入需要雲端處理的工具，例如摘要網站地圖或查詢AI搜尋索引。開發者目前可從Cloudflare控制臺的Agent Readiness實驗功能啟用WebMCP，也可透過Cloudflare的Browser Run測試網站公開給AI代理的工具。</p> </div></div></div>
8/7 18:17作者李建興https://www.ithome.com.tw/news/177965
交通部運研所以AI、無人機蒐集高速公路出入口匝道車流數據，以新數據改善國內公路容量分析及設計規範
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>過去政府進行道路交通規劃與設計，高度仰賴人工調查或固定地點的交通觀測來取得數據，但這類人工調查方式容易因人力有限、觀測時間不足及樣本數限制，難以掌握不同時段、不同道路環境下的實際車流狀況。</p> <p>交通部運輸研究所(簡稱運研所)為期3年的研究，利用成熟的無人機空拍影像來拍擴大道路觀測範圍，再利用成熟的AI影像辨識技術來分析車流，將過去需要人工觀測、記錄的交通資訊轉為大量、細緻化的數據。運研所今天(8/7)公布完成修訂《臺灣公路容量手冊》第5章「高速公路出口匝道分流區」、第6章「高速公路進口匝道匯流區」，以新修訂的公路容量手冊作為國內交通規劃、道路設計及交通影響評估依據。</p> <p>高速公路的匯流區、分流區為車流頻繁變換車道，最容易形成壅塞的瓶頸路段之一，運研所利用無人機空拍影像，擴大對影響路段範圍的拍攝，再利用AI影像辨識來掌握影響區域內的車流交通數據：</p> <p><img alt="" src="/sites/default/files/images/image(1).jpeg" style="width: 515px; height: 161px;" /></p> <h3 dir="ltr" style="line-height:1.38;margin-top:14pt;margin-bottom:4pt;"><span style="font-size:20px;"><span style="color:#B22222;"><strong><span id="docs-internal-guid-60794c4c-7fff-7fee-1725-904d7f80c634"><span style="font-family: Arial, sans-serif; background-color: transparent; font-weight: 700; font-variant: normal; vertical-align: baseline; white-space: pre-wrap;">新數據導入THCS，建立更貼近車流特性的分析模式</span></span></strong></span></span></h3> <p>交通數據取得方式改變後，下一步就是將新的觀測資料轉化為交通規劃與管理工具。</p> <p>運研所也更新臺灣公路容量分析軟體（THCS），除了更新相關資料與分析方法，也重新建立高速公路分流區及匯流區服務水準分析模式，評估目前道路的運轉情形，還有未來規劃設計方案可能造成的交通影響。</p> <p>無人機空拍影像再透過AI分析示意圖：</p> <p><img alt="" src="/sites/default/files/images/image%20(2)(1).jpeg" style="width: 600px; height: 116px;" /></p> <p>透過新的分析模式，交通單位可更細緻掌握高速公路不同路段的車流運作特性。例如，分流區外側車道若出現壅塞，分析是否能透過調整減速車道長度，提高外側車道使用效率。</p> <p>另外，對於匯流區進一步評估是否能搭配匝道儀控等交通管理措施，來改善車流交匯造成的影響。協助政府判斷壅塞發生的原因，以及如何改善。</p> <p>通過同步更新的臺灣公路容量分析軟體，交通規畫單位只要需輸入交通調查及道路幾何資料，系統就能自動判斷匝道型態，根據型態來套用相應的分析模式，並完成服務水準分析。</p> <p>這個方法透過軟體工具整合，可降低人工判斷錯誤風險，提高分析效率與一致性，讓交通工程相關單位能更快速利用數據支援道路規劃與改善決策。</p> <h3 dir="ltr" style="line-height:1.38;margin-top:14pt;margin-bottom:4pt;"><strong><span style="font-size:20px;"><span style="color:#B22222;"><span id="docs-internal-guid-60794c4c-7fff-7fee-1725-904d7f80c634"><span style="font-family: Arial, sans-serif; background-color: transparent; font-weight: 700; font-variant: normal; vertical-align: baseline; white-space: pre-wrap;">讓道路規劃更貼近真實需求</span></span></span></span></strong></h3> <p>這項變化最終反映在未來的道路規劃與設計上。</p> <p>交通部運研所指出，道路容量不是一個固定不變的數字，常因車流組成、道路型態、交通行為等受到影響。政府如能取得更大量且更貼近實際道路狀況的資料，就能讓容量分析不只建立於傳統調查方式及數據，與時俱進的透過新科技運用，納入新數據在交通規畫。公路容量手冊的修訂及分析軟體更新，有助於提升國內高速公路容量分析及服務水準評估品質，提供交通規劃、道路設計、交通工程改善及交通影響評估更精確的分析工具。</p> <p>AI與無人機在交通領域的應用有相當大的潛力，除了讓調查蒐集數據更有效率之外，也讓交通治理可以建立在更完整、科學化的數據基礎。當數據更完整，交通容量分析更貼近現況，讓道路設計、交通改善與整體運輸規劃更貼近實際需求。</p> </div></div></div>
8/7 18:19作者蘇文彬https://www.ithome.com.tw/news/177964
【資安日報】8月7日，微軟剖析NPM套件keyv供應鏈攻擊事件ChainDrop，揭露惡意程式完整運作流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><h3><strong>本日新聞焦點</strong></h3> <p>● <a href="https://www.ithome.com.tw/node/177958#Keyv">微軟剖析NPM套件keyv供應鏈攻擊事件ChainDrop流程</a><br /> ● <a href="https://www.ithome.com.tw/node/177958#CSA">雲端安全聯盟推動AI重大風險控制措施，規劃實際稽核驗證</a><br /> ● <a href="https://www.ithome.com.tw/node/177958#CIS">CIS更新安全設計指引，以開發活動紀錄評估軟體安全</a><br /> ● <a href="https://www.ithome.com.tw/node/177958#IOS">思科發布網路作業系統IOS XE更新，修補7個高風險漏洞</a> <br /> ● <a href="https://www.ithome.com.tw/node/177958#Police">從零信任到數位免疫，刑事局教你拆解AI詐騙心理陷阱</a> <a id="Keyv" name="Keyv"></a></p> <h3> </h3> <h3><b>資安新聞總覽</b></h3> <p><a href="https://www.ithome.com.tw/news/177929"><span style="font-size: 22px;"><strong>剖析NPM套件keyv遭供應鏈攻擊ChainDrop，微軟揭露惡意程式完整運作流程</strong></span></a></p> <p><a href="/sites/default/files/images/chaindrop-chain-156.jpg" target="_blank"><img alt="" src="/sites/default/files/images/chaindrop-chain-156.jpg" style="width: 300px; float: right;" /></a>8月4日熱門JavaScript套件keyv遭遇供應鏈攻擊的ChainDrop事件，駭客取得開發人員所有專案的修改與發布權限，最終污染套件總數達444個、攻擊者發布多達2,212個惡意版本，微軟威脅情報團隊近日揭露這些惡意套件於受害電腦運作的流程，一旦開發人員不慎下載及安裝惡意套件，其中的惡意程式首先會判斷受害電腦的用途，若是開發者的工作站，它就會自行分離執行，以便在套件安裝後繼續運作；若是在CI/CD環境，則會從正在執行的工作當中，竊取工作流程機密、runner憑證，以及OIDC發布權限，一旦找到合適的憑證，惡意程式就會進一步感染其他套件或是儲存庫。<a href="https://www.ithome.com.tw/news/177929" id="CSA">詳全文</a> <a id="CSA" name="CSA"></a></p> <p><a href="https://www.ithome.com.tw/news/177937"><span style="font-size: 22px;"><strong>NPM套件Keyv供應鏈攻擊活動ChainDrop傳出源自於Shai-Hulud</strong></span></a></p> <p><a href="/sites/default/files/images/chaindrop-8-156.jpg" target="_blank"><img alt="" src="/sites/default/files/images/chaindrop-8-156.jpg" style="width: 300px; float: right;" /></a> NPM套件keyv於8月4日遭入侵，導致4小時內有444個套件被污染、攻擊者上架2,212個惡意版本，多家資安公司指出，這次攻擊者所使用的蠕蟲程式ChainDrop，研判這起資安事故是大規模供應鏈攻擊Shai-Hulud的一部分，依據是ChainDrop與Shai-Hulud使用的技術非常相似，其中包含利用TruffleHog型態的正規表達式掃描收集憑證，找出維護者經營的所有套件，並透過竊得的NPM權杖和OIDC重新發布套件，最終兩款惡意程式都會將竊得資料分階段傳送到攻擊者控制的GitHub儲存庫。<a href="https://www.ithome.com.tw/news/177937">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177951"><span style="font-size: 22px;"><strong>雲端安全聯盟推動AI重大風險控制措施，規劃實際稽核驗證</strong></span></a></p> <p>隨著AI系統的自主程度與能力持續提升，企業如何將AI治理原則轉化為可驗證、可稽核的控制措施，也成為新的資安治理課題。非營利資安組織雲端安全聯盟（Cloud Security Alliance，CSA）於8月5日公布Catastrophic Risk Annex（災難性風險附錄）計畫，將以既有AI控制措施矩陣（AICM）為基礎，針對AI系統重大失效情境，增訂企業可落實、稽核單位可查核的控制措施，並成立Frontier-Ready Cybersecurity資源中心。<a href="https://www.ithome.com.tw/news/177951">詳全文</a> <a id="CIS" name="CIS"></a></p> <p><a href="https://www.ithome.com.tw/news/177505"><span style="font-size: 22px;"><strong>CIS更新安全設計指引，以開發活動紀錄評估軟體安全</strong></span></a></p> <p><a href="/sites/default/files/images/CIS Guide.png" target="_blank"><img alt="" src="/sites/default/files/images/CIS%20Guide.png" style="width: 300px; float: right;" /></a>非營利資安組織網際網路安全中心（CIS）與安全軟體開發倡議組織SAFECode於7月9日發布《安全設計：軟體安全實務評估指引》1.1版（Secure by Design Version 1.1），協助開發組織及軟體使用者查核開發過程留下的佐證資料，評估安全設計與安全開發措施是否落實。這份指引以美國國家標準暨技術研究院（NIST）的安全軟體開發框架（SSDF）為基礎，涵蓋軟體安全設計、安全開發、安全預設組態、供應鏈安全、程式碼完整性及漏洞修補等6項核心考量，並將各項要求對應至具體開發工作、應負責執行各項工作的組織角色與職責，以及可供查核的佐證資料。<a href="https://www.ithome.com.tw/news/177505">詳全文</a> <a id="IOS" name="IOS"></a></p> <p><a href="https://www.ithome.com.tw/news/177949"><span style="font-size: 22px;"><strong>思科發布網路作業系統IOS XE 8月份更新，修補7個高風險漏洞</strong></span></a></p> <p><a href="/sites/default/files/images/cisco_ios_xe.png" target="_blank"><img alt="" src="/sites/default/files/images/cisco_ios_xe.png" style="width: 300px; float: right;" /></a>思科（Cisco）發布網路作業系統IOS XE 8月份安全強化更新，修補7個漏洞，思科表示這些漏洞皆是IOS XE工程團隊進行內部安全檢查時所察覺的漏洞，目前尚未出現遭到實際利用的跡象，受影響範圍包括IOS XE 17.9、17.12、17.15、17.18及26.1等版本，且無論設備採用獨立模式（autonomous mode）或控制器模式（controller mode）均可能受影響，建議用戶儘速更新至已修補的17.9.10、17.12.8、17.15.6、17.18.4與17.18.4a，以及26.1.2等版本。<a href="https://www.ithome.com.tw/news/177949">詳全文</a> <a id="Police" name="Police"></a></p> <p><a href="https://www.ithome.com.tw/news/177936"><span style="font-size: 22px;"><strong>從零信任到數位免疫，刑事局教你拆解AI詐騙心理陷阱 </strong></span></a></p> <p><a href="/sites/default/files/images/960-xing_shi_ju_yu_fang_ke_ke_chang_zhuang_ming_xiong_huang_yan_fen_she_.jpg" target="_blank"><img alt="" src="/sites/default/files/images/960-xing_shi_ju_yu_fang_ke_ke_chang_zhuang_ming_xiong_huang_yan_fen_she_.jpg" style="width: 300px; float: right;" /></a> 警政署刑事警察局預防科科長莊明雄指出，詐騙集團正藉助生成式AI技術，從人力密集的產業轉型為全自動化攻擊矩陣；唯有理解人腦弱點、養成主動查證的習慣，才能在深偽技術當道的時代守住荷包與信任。莊明雄警告：過去詐騙集團需要僱用大批話務人員，如今由大型語言模型扮演的機器人客服可全天候應答；過去客服話術仰賴人工查證與訓練，如今深偽技術能即時複製名人或親屬的聲音與影像，達到「以假亂真」的效果。過去詐騙產能受限於話務臺的人力與介面操作，如今AI能依對話內容即時掌握被害人情緒，動態調整話術策略。<a href="https://www.ithome.com.tw/news/177936">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177776"><span style="font-size: 22px;"><strong>英國教育部、警方資料庫遭駭，被竊超過70萬筆個資</strong></span></a></p> <p>英國教育部（DfE）及英國警方資料庫分別傳出被駭客入侵，竊取超過60萬筆及13.5萬筆個資。自稱ExfilSquad的勒索組織在資料外洩網站宣稱竊得兩批資料。駭客宣稱取得DfE逾60.7萬筆資料，DfE對媒體證實被駭消息，表示已控制事件，並已與英國國家網路安全中心（NCSC）和國家犯罪管理署（NCA）合作調查，遭到入侵的是該部會兩個入口網站，包括DfE服務臺的自助服務網站，以及資助英國學生海外學習或工作的圖靈計畫（Turing Scheme）入口網站。在英國警方資料庫部分，ExfilSquad則宣稱竊得英國警察國家法律資料庫（Police National Legal Database，PNLD）達13.5萬筆紀錄。<a href="https://www.ithome.com.tw/news/177776">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177762"><span style="font-size: 22px;"><strong>北韓駭客疑先從冷門NPM套件試水溫，再攻向axios等熱門函式庫</strong></span></a></p> <p>Amazon威脅情報團隊指出，2025年3月至2026年3月間發生的typo-crypto、debug、chalk及axios軟體套件攻擊，可能出自同一北韓關聯駭客組織。攻擊者使用的部分伺服器相同，程式碼與入侵手法也有多處相似，因此Amazon研判這幾起事件可能彼此相關。Amazon追查axios攻擊使用的網路基礎設施時發現，攻擊者早在2025年3月便於typo-crypto植入惡意程式。由於Amazon觀察到的下載量有限，因此研判這起小規模行動可能是後續供應鏈攻擊的測試場。<a href="https://www.ithome.com.tw/news/177762">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177954"><span style="font-size: 22px;"><strong>思科發布Catalyst SD-WAN安全更新，修補3個CVSS 9.9分重大漏洞</strong></span></a></p> <p><a href="/sites/default/files/images/cisco_sd-wan.png" target="_blank"><img alt="" src="/sites/default/files/images/cisco_sd-wan.png" style="width: 300px; float: right;" /></a>思科（Cisco）發布Catalyst SD-WAN網路管理平臺8月份安全強化更新，修補5個漏洞，思科表示目前尚未發現這些漏洞遭到實際利用的跡象，所有部署型態的Catalyst SD-WAN平臺都受影響，包括企業自建環境、Cisco SD-WAN Cloud-Pro、Cisco代管雲端服務版，以及政府版FedRAMP環境，涵蓋20.x與26.1等版本，思科已為雲端代管版本完成修補，其餘用戶則可依公告指示，儘速更新到已修補的20.9.10、20.12.8.1、20.15.6、20.18.4及26.1.2等版本。<a href="https://www.ithome.com.tw/news/177954">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177945"><span style="font-size: 22px;"><strong>Google發布Chrome 151穩定版，修補41個漏洞</strong></span></a></p> <p>Google發布Chrome 151穩定版，將Windows與Mac平臺穩定版更新至151.0.7922.108與151.0.7922.109，Linux版本更新至151.0.7922.108，修補41個資安漏洞，包含6個重大漏洞與35個高風險漏洞。此次修補重點集中於圖形處理相關元件，包括GPU、ANGLE、Skia與WebGL等共12個漏洞；漏洞類型則仍以記憶體安全問題為主，其中記憶體已釋放卻仍被使用（UAF）漏洞多達19個，占全部漏洞接近一半。<a href="https://www.ithome.com.tw/news/177945">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177885"><span style="font-size: 22px;"><strong>TP-Link修補Omada設備7項軟體漏洞，用戶若置之不理，可能造成通訊、憑證曝險</strong></span></a></p> <p>TP-Link本週發布安全更新，修補中小企業網路交換器設備Omada系列的7項漏洞，這些漏洞若遭利用，可讓攻擊者存取通訊內容、憑證或裝置環境。這些漏洞是由資安業者Forescout Vedere Labs研究人員發現，並預定在本週舉行的Black Hat USA 2026資安大會發表研究成果。Omada則是TP-Link企業網路產品系列，涵蓋Wi-Fi AP、乙太網路和PoE交換器、網路閘道及VPN路由器等。<a href="https://www.ithome.com.tw/news/177885">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177860"><span style="font-size: 22px;"><strong>歐盟AI內容透明化規定生效，深偽與AI客服未揭露最高罰全球營收3%</strong></span></a></p> <p>歐盟《人工智慧法》（AI Act）關於AI系統及生成內容的透明化規定於週日（8/2）正式生效。企業若未依規定揭露AI客服、聊天機器人、深偽（Deepfake）內容及特定AI生成文字，最高可處1,500萬歐元或全球年度營收3%的罰款。AI Act於2024年8月1日正式生效，但各項規定採分階段適用。禁止特定AI用途的規定已於2025年2月生效，通用型AI模型與治理規定則自同年8月適用；此次生效的是AI系統與生成內容透明化規定，部分高風險AI系統規定則要到2027年至2028年才會陸續實施。<a href="https://www.ithome.com.tw/news/177860">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177759"><span style="font-size: 22px;"><strong>ChatGPT首度進入前十大網釣冒充品牌</strong></span></a></p> <p><a href="/sites/default/files/images/top-10-2026q2-156.jpg" target="_blank"><img alt="" src="/sites/default/files/images/top-10-2026q2-156.jpg" style="width: 300px; float: right;" /></a> 為了讓使用者降低警覺，攻擊者往往會冒用知名品牌從事網路釣魚活動，其中最常被冒用的大多是科技龍頭，但隨著AI融入生活，許多駭客也開始選擇冒充知名AI工具從事網路犯罪。資安公司Check Point公布的2026年第二季網釣冒充品牌研究，就突顯了這樣的態勢。微軟是最常見被冒充的品牌，加上其他4個經常被冒充的科技品牌：LinkedIn、Google、蘋果，以及Amazon，占所有品牌冒用網釣活動半數以上。但Check Point特別提及，OpenAI旗下的ChatGPT首度被列入前十大榜單，顯示攻擊者的目標已出現明顯變化，預期未來幾季將會有更多AI平臺入榜。<a href="https://www.ithome.com.tw/news/177759">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177935"><span style="font-size: 22px;"><strong>越來越多OT用戶擁抱進階資安技術，SOAR、威脅情資、SOC採用需求穩定成長</strong></span></a></p> <p>前幾週Fortinet在臺簡介年度OT與網路資安現況調查報告時，揭露工控領域的法規遵循壓力、面臨的入侵威脅態勢、企業重視程度，以及資安成熟度，也提及企業採用多種OT資安解決方案的趨勢。Fortinet表示，在2024年，企業部署的網路安全方法和技術數量均大幅增加，2025年後，企業對於多個領域的安全功能採用比例開始降低。以2026年而言，企業相對減少導入的OT資安方案類型，主要是基礎的網路安全控制、部署技術，以及關於有效防禦的功能。然而，資安營運中心（SOC）和安全協作、自動化與應變系統（SOAR）等進階控制技術，則呈上升趨勢，顯示企業仍持續投資進階資安技術，這項趨勢與企業的網路安全成熟度發展路徑是一致的。<a href="https://www.ithome.com.tw/news/177935">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177551"><span style="font-size: 22px;"><strong>建立可信任的AI防線，CSA台灣分會會長蔡一郎導讀AICM最新1.1版</strong></span></a></p> <p><a href="/sites/default/files/images/zhu_tu_csalian_meng_zhuan_jia_chan_shi_aikong_zhi_ju_zhen_aicm.jpg" target="_blank"><img alt="" src="/sites/default/files/images/zhu_tu_csalian_meng_zhuan_jia_chan_shi_aikong_zhi_ju_zhen_aicm.jpg" style="width: 300px; float: right;" /></a> 面對AI時代的資安挑戰，全球非營利組織雲端安全聯盟（CSA）一年前發布AI控制矩陣（AI Controls Matrix，AICM），聚焦AI系統從規畫、建置到除役的完整生命週期。近日，台灣數位安全聯盟理事長暨雲端安全聯盟台灣分會會長蔡一郎於InfoSec 2026活動中，揭露AICM的特色與最新變化，並建議資安長可依實務指引來循序推動企業落實AI治理。蔡一郎指出，AICM是從合規角度切入，協助企業在導入AI開發平臺或生成式AI服務時，能有一套標準化的控制框架。 <a href="https://www.ithome.com.tw/news/177551">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177421"><span style="font-size: 22px;"><strong>彙整、強化與擴展旗下多種資安產品線，Sophos打造AI原生網路安全防禦系統</strong></span></a></p> <p><a href="/sites/default/files/images/sophos_fusion-main.png" target="_blank"><img alt="" src="/sites/default/files/images/sophos_fusion-main.png" style="width: 300px; float: right;" /></a>資安廠商這幾年來紛紛推出主打AI防禦的解決方案，旗下擁有多種資安產品與服務的Sophos也跟進這樣的解決方案供應策略，發表名為Sophos Fusion的AI原生網路安全防禦系統（AI-native Cybersecurity Defense System），主要目的在於針對AI時代的資安威脅而設計，提供協同一致的防禦與回應能力，將涵蓋端點防護系統、端點偵測與應變系統、擴展式偵測與應變系統、安全資訊與事件管理系統、電子郵件安全系統、雲端安全服務，以及資安顧問服務。<a href="https://www.ithome.com.tw/news/177421">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177944"><span style="font-size: 22px;"><strong>ServiceNow整合Armis、Veza技術，推出六大資安方案</strong></span></a></p> <p><a href="/sites/default/files/images/0807-servicenowliu_da_zi_an_fang_an_-960.jpg" target="_blank"><img alt="" src="/sites/default/files/images/0807-servicenowliu_da_zi_an_fang_an_-960.jpg" style="width: 300px; float: right;" /></a> 企業工作流程與IT服務管理平臺業者ServiceNow於8月4日公布Autonomous Security產品組合，涵蓋曝險管理、持續漏洞偵測、網實整合系統安全（Cyber-Physical Security）、身分與存取安全、事件應變，以及資安風險與法規遵循共六大領域。Autonomous Security建立在ServiceNow既有的AI平臺之上，可彙整企業環境中的連網資產資訊、身分與存取權限、漏洞資料及資安事件紀錄，並透過既有工作流程進行風險分析與後續處置。<a href="https://www.ithome.com.tw/news/177944">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177941"><span style="font-size: 22px;"><strong>2026城鎮韌性演習首度導入30分鐘行動網路降速，驗證災害應變的能力</strong></span></a></p> <p>隨著地緣政治與極端情境威脅加劇，數位韌性已成為企業維運（BCP）的必修課題。政府將於今年8月展開「2026 城鎮韌性（防空）演習」，這次演習首度加入30分鐘的「行動網路降速演練」，被視為全民數位韌性防護的「系統性壓力測試」，儘管只是短暫的行動網路降速演練，卻考驗民眾與企業的緊急應變能力。中部地區的苗栗縣、臺中市、南投縣、彰化縣、雲林縣、嘉義市及嘉義縣將於8月10日進行演練；北部地區的基隆市、臺北市、新北市、桃園市、新竹縣、新竹市及宜蘭縣則於8月13日進行，兩地演練時間均為下午2時30分至3時。<a href="https://www.ithome.com.tw/news/177941">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177948"><span style="font-size: 22px;"><strong>Rubrik併購Strata，強化身分系統備援能力</strong></span></a></p> <p>資料安全及網路韌性業者Rubrik於6月9日宣布，已併購美國身分協調技術業者Strata Identity，並以Strata技術強化旗下Identity Resilience產品組合。Strata既有的Maverics平臺可串接企業採用的多套身分提供者（IdP），包括Microsoft Entra ID、Okta、Oracle Identity Cloud Service及CyberArk Identity等，也能與內部部署的Active Directory整合，協助企業整合分散於不同環境的身分系統。<a href="https://www.ithome.com.tw/news/177948">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177946"><span style="font-size: 22px;"><strong>Francisco Partners併購法國DNS安全業者EfficientIP</strong></span></a></p> <p>科技投資機構Francisco Partners宣布，已併購法國DNS安全與網路基礎架構管理業者EfficientIP，交易金額未揭露。EfficientIP成立於2004年，總部位於巴黎，主要提供整合DDI（DNS、DHCP及IP位址管理）與DNS安全的平臺，協助企業自動化網路管理、提升網路基礎架構可視性，並保護DNS服務。<a href="https://www.ithome.com.tw/news/177946">詳全文</a></p> </div></div></div>
8/7 15:02作者張明德https://www.ithome.com.tw/news/177958
Google開源WeatherNext天氣模型，熱帶氣旋預報平均提前一天
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google DeepMind開源<strong><a href="https://deepmind.google/blog/weathernext-ai-model-achieves-breakthrough-in-forecasting-cyclones/">WeatherNext 2與WeatherNext Cyclones天氣AI模型</a></strong>，公開程式碼與模型權重。同步刊登於《Nature》的研究顯示，WeatherNext Cyclones預測熱帶氣旋路徑、強度及風圈範圍時，在相同準確度下，平均可比現行主要氣象預報模型多取得超過24小時的預報時間。換句話說，WeatherNext提前3天做出的預測，準確度約可達到過去模型提前2天預測的水準。</p> <p>熱帶氣旋預報的難處之一，在於移動路徑和強度受到不同尺度的天氣現象影響。氣旋的移動路徑主要受到大範圍大氣環流影響，全球氣象模型較容易掌握，而氣旋強度則受到核心附近細尺度的熱力學及對流活動影響，過去通常需要解析度更高的區域模型預測。</p> <p>WeatherNext Cyclones嘗試以同一套AI模型處理兩類問題，可預測氣旋路徑、強度及風圈變化，最長提供15天天氣預測。研究團隊以全球大氣資料搭配近5,000個歷史熱帶氣旋資料訓練模型，使模型在學習全球天氣變化的同時，也能辨識氣旋發展特徵。</p> <p>研究結果還顯示，WeatherNext Cyclones使用約28公里網格解析度的輸入資料，仍能取得不錯的氣旋強度預測結果。傳統做法通常認為，要掌握氣旋核心附近的細微變化，需要解析度更高的資料。Google表示，目前仍無法完全解釋模型為何能從較粗略的資料中取得足夠資訊，這也是後續研究方向之一。</p> <p>WeatherNext不是只計算單一結果，而是一次產生大量可能的天氣發展情境，再估算各種情況發生的機率。Google在2025年颶風季一次產生50種預測，目前已提高到1,000種，可用來觀察發生機率較低，卻可能造成重大影響的情況，例如熱帶氣旋在短時間內快速增強。</p> <p>WeatherNext在2025年颶風季已提供美國國家颶風中心（NHC）作為預報參考。Google此次公開WeatherNext 2與WeatherNext Cyclones的程式碼及模型權重，讓氣象機構與研究人員可自行測試或建立衍生模型。一般使用者也可透過Google Weather Lab查看WeatherNext產生的溫度、降雨、風速及熱帶氣旋預測。</p> </div></div></div>
8/7 16:56作者李建興https://www.ithome.com.tw/news/177963
Nvidia Dynamo修補重大程式碼執行漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://nvidia.custhelp.com/app/answers/detail/a_id/5842" target="_blank">Nvidia本週發布軟體更新</a>以修補分散式AI推論服務框架Dynamo多項漏洞，包含一個重大的越界寫入漏洞。</p> <p>這批更新修補Nvidia Dynamo for Linux。最重要的是CVSS 9.8的CVE-2026-24254，並有2項CVSS 8.2漏洞CVE-2026-24253及CVE-2026-47623。</p> <p>CVE-2026-24254位於Nvidia Dynamo for Linux的多模態服務拓撲（serving topology）中可允許攻擊者越界寫入。成功利用本漏洞可導致程式碼執行、權限提升、資料竄改、阻斷服務及資料洩露。</p> <p>CVE-2026-24253也可讓攻擊者越界寫入，導致阻斷服務及資料竄改。CVE-2026-47623可為攻擊者利用，對外來不受信任資料反序列化（Deserialization of Untrusted Data），意指在過程中被攻擊者輸入惡意內容，讓系統執行惡意指令，導致資料竄改和阻斷服務。</p> <p>其他高風險漏洞還包括CVE-2026-24255、以及CVE-2026-47612到CVE-2026-47618，皆為風險值7.5的資料洩露漏洞。其餘還包含CVE-2026-47619到CVE-2026-47622的中度風險漏洞，後果包含資料洩露、阻斷服務、資料竄改及程式碼執行。</p> <p>Nvidia發布了Dynamo for Linux v1.3.0以修補上述漏洞。</p> </div></div></div>
8/7 15:40作者林妍溱https://www.ithome.com.tw/news/177960
中國Zbtlink路由器內建後門，可遭遠端接管
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>根據<a href="https://www.vulncheck.com/blog/zbt-endlessdoors" target="_blank">資安業者VulnCheck週三（8/5）發布的</a><a href="http://www.vulncheck.com/blog/zbt-endlessdoors">研究</a>，中國路由器品牌Zbtlink有至少20款產品的原廠韌體內建後門，路由器開機後會主動連上遠端伺服器，並以系統最高權限執行對方傳回的任何指令。由於連線過程並未驗證伺服器身分，使得駭客只要劫持此一連線，便能冒充原廠伺服器並接管路由器。</p> <p>Zbtlink為中國深圳市智博通電子的旗下品牌，主要提供路由器OEM及ODM代工服務，同一款產品可能換上其他品牌銷售。VulnCheck指出，Wiflyer WG3526便是Zbtlink WG3526的貼牌版本，因此實際受影響的品牌及裝置數量可能更多。</p> <p>VulnCheck檢查智博通官網所提供的21個韌體映像檔，發現全都內建了這個名為ENDLESSDOORS的後門，涵蓋超過2年的版本，相關漏洞編號為CVE-2026-66747。受影響型號包括CPE2801、WE1326、WG1602、WG3526及Z8102AX-2DSIM等。</p> <p>ENDLESSDOORS是由一款公開的Linux遠端控制工具改造而成，會偽裝成正常的系統程序，最短每35秒嘗試連上一次遠端伺服器。連線成功後，對方便能要求路由器執行指令，甚至開啟遠端控制介面。由於連線是由路由器主動向外建立，即使裝置受到防火牆保護、無法從網際網路直接連入，也可能透過這個後門遭到控制。</p> <p>VulnCheck認為這是原廠主動加入的功能，因此未在公布前通知智博通。智博通則向<a href="https://thehackernews.com/2026/08/chinese-made-zbtlink-routers-ship-with.html" target="_blank">The Hacker News證實</a>該功能的存在，同時表示這項功能僅供售後維護及樣品機除錯，其OEM及ODM客戶通常會安裝自行開發的韌體，而非使用ZBT預設韌體。不過，智博通目前已下架受影響的韌體，並正在開發修正版。</p> </div></div></div>
8/7 15:48作者陳曉莉https://www.ithome.com.tw/news/177962
Meta AI模型在安全測試入侵其他公司系統，起因也是配置錯誤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.theinformation.com/articles/meta-ai-model-hacked-another-company-cybersecurity-testing" target="_blank">The Information</a>本周引述消息人士報導，Meta的AI模型在近日的測試中入侵了其他公司的系統並修改設定。</p> <p>這是OpenAI、Anthropic之後，最新一家AI大廠傳出AI模型逾越原有限制入侵其他公司系統。</p> <p>Meta對<a href="https://www.reuters.com/technology/metas-ai-model-hacked-another-company-during-testing-information-reports-2026-08-05/" target="_blank">路透社</a>證實此事。和Anthropic之前自我揭露的案例類似，Meta表示，這是因為合作廠商Irregular的測試環境配置錯誤，使模型意外得以連上網際網路而連上其他公司網域。後者存在已知漏洞，讓模型得以存取其系統。</p> <p>Meta並未說明發生問題的是哪個模型，不過The Information報導，Meta是在測試Muse Spark 1.1時，模型入侵一家不知名公司的系統，並且修改了內部環境設定。</p> <p>Irregular也對路透社表示，Meta模型事件並未有模型逃逸出沙箱，或是濫用零時差漏洞等嚴重行為。Meta和Irregular表示正在調查此事。Irregular說正在準備關於事件解決和安全網路測試的白皮書。</p> <p>OpenAI和Anthropic都在近日模型測試時發生令人不安的行為。除了更早之前OpenAI模型入侵Hugging Face一事外，<a href="https://www.ithome.com.tw/news/177880" target="_blank">在英國政府評估</a>AI模型能力與風險的研究組織AI安全研究所（UK AI Security Institute，AISI）測試中，Anthropic Claude Mythos對GitHub進行供應鏈攻擊、並對專案維護者發動社交工程及精準釣魚、還會上傳有惡意程式碼的臭蟲報告，還有欺騙行為。OpenAI GPT-5.6 Sol則在進行Irregular提供的CTF（Capture the Flag）評估中，也誤擊了真實公司的網域。</p> </div></div></div>
8/7 15:01作者林妍溱https://www.ithome.com.tw/news/177957
macOS ClickFix攻擊加入瀏覽器指紋篩選，逾250個網域藉此躲避自動化掃描
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟<strong><a href="https://www.microsoft.com/en-us/security/blog/2026/08/05/macos-clickfix-campaign-learned-hide/">揭露</a></strong>一波鎖定macOS的ClickFix攻擊活動，攻擊者在惡意網站加入伺服器端的瀏覽器指紋閘道，先辨識訪客使用的裝置與瀏覽環境，再決定是否顯示惡意內容。微軟追蹤期間確認超過250個相關網域，自動化掃描工具及資安分析環境造訪這些網站時，可能只會看到空白或看似正常的網頁，因此較難直接發現攻擊。</p> <p>微軟指出，這波攻擊較早階段會直接把惡意指令放在網頁原始碼中，即使掃描工具不執行JavaScript，也能辨識其中的ClickFix內容。攻擊者後來改變作法，先讓網頁執行一小段JavaScript程式，蒐集訪客的瀏覽器、硬體及執行環境資訊，再送回伺服器判斷符合攻擊條件與否。</p> <p>攻擊者檢查作業系統、瀏覽器識別資訊、螢幕尺寸等資料，也會透過網頁圖形技術WebGL取得顯示卡資訊，協助判斷裝置是否接近真實的Mac環境。此外，攻擊者還會檢查時區、觸控功能，以及是否存在自動化分析工具常見的特徵。</p> <p>通過篩選的Mac使用者才會看到假冒「Download for macOS」的下載頁面，並被要求複製指令到終端機執行。不符合條件的Windows使用者、自動化掃描程式或隔離分析環境，可能只會看到空白頁面、假的VPN擴充套件下載頁，或其他看似正常的網站。</p> <p>由於判斷是在伺服器端進行，同一個網址會依訪客環境顯示不同內容。一般Mac使用者可能看到惡意頁面，資安業者的掃描系統卻只取得無害內容，增加自動化偵測與分析的困難。</p> <p>ClickFix是一種社交工程手法，攻擊者通常假借下載軟體、完成驗證或處理下載錯誤等理由，誘導使用者自行把指令貼到終端機執行。受害者執行指令後，系統會從遠端取得多階段程式。在微軟分析的完整感染鏈中，攻擊最終下載並執行Atomic Stealer（AMOS）竊資軟體，可竊取帳號密碼、瀏覽器資料、加密貨幣錢包及其他敏感檔案。</p> </div></div></div>
8/7 15:15作者李建興https://www.ithome.com.tw/news/177959
SpaceX斥資168億美元在德州興建AI晶片廠Terafab
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://gov.texas.gov/news/post/governor-abbott-announces-spacex-expansion-in-grimes-county" target="_blank">德州州長Greg Abbott周四（8/6）宣布</a>，SpaceX將在德州格萊姆斯郡（Grimes County）興建垂直整合式AI晶片廠Terafab，第一階段投資超過168億美元，預計創造3,000個工作機會。德州政府將提供3,000萬美元補助，並給予大型投資案租稅優惠。</p> <p>Terafab是馬斯克今年3月公布、由SpaceX與Tesla共同推動的AI晶片製造計畫，<a href="https://www.ithome.com.tw/news/174906" target="_blank">Intel亦參與製程合作</a>。該計畫將晶片設計、光罩製作、邏輯晶片與記憶體生產、測試及先進封裝集中於同一廠區，以縮短晶片改良周期。產品將供應Tesla的自駕系統與Optimus人形機器人，以及SpaceX規畫中的太空AI資料中心。</p> <p>Terafab占地達1億平方英尺，約930萬平方公尺。馬斯克表示，新廠將大規模生產供地面及太空使用的AI晶片。SpaceX與Tesla預估，旗下AI應用未來所需運算能力將超過1太瓦，但目前全球晶片產能難以滿足需求，因此決定建立自有供應鏈。</p> <p><a href="https://www.reuters.com/business/media-telecom/spacex-says-terafab-be-built-texas-with-initial-investment-168-billion-2026-08-06/" target="_blank">路透社報導</a>，SpaceX今年5月提交的文件原規畫第一階段投資550億美元，若完成後續擴建，總投資可能達1,190億美元；這次公布的168億美元則是目前確定的首期投資。</p> <p>SpaceX總部、Starbase發射基地及Starlink終端設備工廠均位於德州。Terafab將使其在當地的製造布局由火箭、衛星及通訊設備，進一步延伸至AI晶片。</p> </div></div></div>
8/7 12:40作者陳曉莉https://www.ithome.com.tw/news/177953
AMD宣布併購加拿大AI晶片新創Taalas
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://ir.amd.com/news-events/press-releases/detail/1296/amd-acquires-taalas-to-advance-compute-solutions-for-rapidly-growing-ai-inference-market" target="_blank">AMD周四（8/6）宣布</a>，已簽署最終協議，將收購加拿大AI晶片新創Taalas，以強化AI推論技術及產品布局。雙方未公布交易金額，收購案仍須取得監管機關批准。</p> <p>Taalas成立於2023年，總部位於多倫多，由AI晶片業者Tenstorrent前執行長Ljubisa Bajic等人創辦，迄今已募得約2.19億美元。有別於使用通用GPU執行各種模型，Taalas依照特定AI模型打造專用晶片，把模型的運算架構直接轉化為晶片電路，減少處理器與記憶體之間頻繁搬移資料造成的瓶頸，進而降低推論成本及耗電量。</p> <p>AI推論是指已完成訓練的模型實際產生文字、影像或預測結果。隨著生成式AI走向即時、大規模應用，推論晶片的效能及成本日益重要。Taalas表示，其平臺能分析已完成訓練的AI模型，約兩個月內將其轉換成針對該模型最佳化的專用晶片設計；技術展示晶片HC1便是為Meta的Llama 3.1 8B模型打造。</p> <p>AMD收購Taalas後，將把相關技術應用於未來的AI加速器，並與現有Instinct GPU搭配，以提升整套AI系統執行推論工作的效能及效率。</p> <p>AMD近年持續藉由收購擴充AI能力，2025年11月<a href="https://www.amd.com/en/blogs/2025/amd-acquires-mk1-to-advance-ai-inference-performance.html" target="_blank">收購AI推論軟體新創MK1</a>，今年6月再<a href="https://www.amd.com/en/blogs/2026/amd-acquires-mext-for-memory-optimization.html" target="_blank">收購記憶體最佳化技術業者MEXT</a>；7月則將裝置端AI推論軟體開發團隊<a href="https://www.amd.com/en/blogs/2026/fastflowlm-joins-amd-to-advance-ai-inference.html" target="_blank">FastFlowLM納入旗下</a>。此次收購Taalas，進一步將布局由AI軟體及記憶體最佳化延伸至專用推論晶片。</p> </div></div></div>
8/7 12:59作者陳曉莉https://www.ithome.com.tw/news/177955
Rubrik併購Strata，強化身分系統備援能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資料安全及網路韌性業者<a href="https://www.rubrik.com/company/newsroom/press-releases/26/rubrik-advances-identity-resilience-through-strata-acquisition-and-identity-roll-forward-innovation" target="_blank">Rubrik於6月9日宣布</a>，已併購美國身分協調技術業者Strata Identity，並以Strata技術強化旗下Identity Resilience產品組合。</p> <p>Strata既有的<a href="https://www.strata.io/maverics-platform/" target="_blank">Maverics平臺</a>可串接企業採用的多套身分提供者（Identity Provider，IdP），包括Microsoft Entra ID、Okta、Oracle Identity Cloud Service及CyberArk Identity等，也能與內部部署的Active Directory整合，協助企業整合分散於不同環境的身分系統，而不必全面改寫既有應用程式。Strata也將Maverics的身分治理能力<a href="https://www.strata.io/resources/news/introduce-maverics-ai-agents/" target="_blank">延伸至AI代理</a>，可管理AI代理身分及存取權限。</p> <p>在Identity Resilience產品組合中，Rubrik將Strata技術用於Identity Continuity功能。當主要IdP因故障或遭入侵而停止服務時，這項功能可自動將驗證服務切換至備援IdP，讓使用者繼續存取關鍵應用程式。根據Rubrik公告，Identity Continuity仍處於封閉預覽階段。</p> </div></div></div>
8/7 11:51作者王珮瑤https://www.ithome.com.tw/news/177948
雲端安全聯盟推動AI重大風險控制措施，規劃實際稽核驗證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>隨著AI系統的自主程度與能力持續提升，企業如何將AI治理原則轉化為可驗證、可稽核的控制措施，也成為新的資安治理課題。非營利資安組織雲端安全聯盟（Cloud Security Alliance，CSA）於8月5日<a href="https://cloudsecurityalliance.org/press-releases/2026/08/05/cloud-security-alliance-launches-catastrophic-risk-annex-initiative-and-frontier-ready-cybersecurity-research" target="_blank">公布Catastrophic Risk Annex（災難性風險附錄）計畫</a>，並成立Frontier-Ready Cybersecurity資源中心。</p> <p>災難性風險附錄由CSA旗下、專注AI資安與安全議題的非營利基金會<a href="https://cloudsecurityalliance.org/csai-foundation/catastrophic-risk-annex" target="_blank">CSAI Foundation推動</a>，將以既有AI控制措施矩陣（AI Controls Matrix，AICM）為基礎，針對可能造成災難性後果或威脅人類存續的AI系統失效情境，制定企業可落實、稽核單位可查核的控制措施。</p> <p>災難性風險附錄專案已於2026年6月啟動，CSA預計2027年針對實際AI系統及組織進行試行稽核，再依驗證結果修正內容，目標於同年12月發布完成驗證的附錄版本。</p> <p><a href="https://cloudsecurityalliance.org/csai-foundation/frontier-ready-cybersecurity" target="_blank">Frontier-Ready Cybersecurity</a>資源中心則承接CSA先前Mythos計畫的研究成果，彙整頂尖AI對漏洞發掘、漏洞管理、資安營運及組織架構帶來的影響，協助企業因應頂尖AI加快漏洞發掘速度後，在漏洞驗證、處理順序排定、修補及修補成效確認等工作面臨的營運壓力。</p> </div></div></div>
8/7 12:18作者王珮瑤https://www.ithome.com.tw/news/177951
VS Code 1.132加入本機多語言聽寫與網頁元素註解
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟發布<strong><a href="https://code.visualstudio.com/updates/v1_132">VS Code 1.132</a></strong>，開發者現在可直接標記網頁元素，將修改意見交給AI代理，而內建聽寫也改採支援多種語言的本機模型。新版另加入不中斷現有工作的側邊對話與實驗性Markdown差異檢視，目前正分批提供給使用者。</p> <p>整合式瀏覽器過去已能在VS Code內開啟及操作網頁，1.132版進一步支援選取特定網頁元素，並替每個元素加入個別註解。開發者可一次標記多個位置，讓協助修改程式與介面的AI代理準確掌握需要調整的元素，減少僅靠文字描述畫面位置可能造成的誤解。</p> <p>內建聽寫功能則改用多語言Nemotron 3.5本機模型，語音資料不必傳送到雲端。使用者可指定聽寫語言，也能交由系統依電腦或瀏覽器的語系選擇。若該語系不受支援，模型會自動辨識說話語言。</p> <p>開發者還可加入專案常用術語及格式規則，讓轉錄內容較符合團隊的名稱、縮寫與書寫習慣。終端機的語音輸入也會依命令列語法整理內容，例如自動補上參數符號和引號，避免把口述的符號名稱直接當成文字輸入。</p> <p>新版另加入/btw側邊對話，當AI代理仍在處理檔案或執行其他工作時，使用者可另開對話詢問相關問題，不必停止原本的工作。側邊對話會沿用目前聊天內容，也能引用其他對話作為補充資料。</p> <p>實驗性的混合式Markdown編輯器現在也能顯示文件差異，以側邊標記呈現新增、修改與刪除內容，同時保留直接編輯文件的能力。</p> </div></div></div>
8/7 10:28作者李建興https://www.ithome.com.tw/news/177942
ChatGPT免費版文字聊天吃到飽，預設模型升級GPT-5.6 Luna
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://openai.com/index/improving-gpt-5-6-sol-in-chatgpt/" target="_blank">OpenAI周四（8/6）宣布</a>，本周將把ChatGPT免費版及Go方案的預設模型，由GPT-5.5 Instant升級為GPT-5.6 Luna，並從下周起取消一般文字聊天的訊息次數限制；同時加入Think按鈕，讓使用者遇到複雜問題時，可要求模型投入更多時間推理。</p> <p>不過，文字聊天吃到飽仍受防濫用機制約束，檔案上傳、圖像及其他工具也繼續設有使用額度。這次調整僅適用於一般Chat模式，不包括ChatGPT Work及Codex，後兩者使用的GPT-5.6 Sol版本與額度均未改變。</p> <p>OpenAI表示，目前全球每周已有10億人使用ChatGPT。<a href="https://www.ithome.com.tw/news/177229" target="_blank">GPT-5.6 Luna</a>是該公司今年7月推出的GPT-5.6系列中速度最快、價格最低的模型，定位為大量日常工作及輕量任務。<a href="https://www.ithome.com.tw/news/177789" target="_blank">OpenAI上周才將其API價格調降80%</a>，如今再將它設為免費版預設模型，並開放不限次數的文字聊天。</p> <p>OpenAI也更新Plus及Pro付費用戶在Chat模式使用的GPT-5.6 Sol，使回答更直接，並改善日期、數字、來源及規則等事實準確度。付費用戶還可透過新的滑桿調整模型的思考程度。OpenAI內部測試顯示，GPT-5.6 Luna及Sol回答出現至少一項事實錯誤的比例，分別比GPT-5.5 Instant減少約62%及68%。</p> <p>同一天市場也傳出OpenAI消費性硬體消息。<a href="https://www.bloomberg.com/news/articles/2026-08-06/what-is-openai-s-device-a-doughnut-shaped-speaker-that-costs-over-300" target="_blank">彭博社引述消息來源報導</a>，OpenAI與蘋果前設計主管Jony Ive正開發一款無螢幕、電池供電的可攜式智慧音箱，大小接近曲棍球，主要透過語音與使用者互動，預計於2027年上市，售價將超過300美元。</p> </div></div></div>
8/7 10:53作者陳曉莉https://www.ithome.com.tw/news/177943
ServiceNow整合Armis、Veza技術，推出六大資安方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>企業工作流程與IT服務管理平臺業者ServiceNow於8月4日<a href="https://newsroom.servicenow.com/press-releases/details/2026/ServiceNow-delivers-Autonomous-Security-the-industrys-most-complete-security-offering/default.aspx" target="_blank">公布Autonomous Security產品組合</a>，涵蓋曝險管理、持續漏洞偵測、網實整合系統安全（Cyber-Physical Security）、身分與存取安全、事件應變，以及資安風險與法規遵循共六大領域。</p> <p>這項產品組合整合ServiceNow於2026年上半年完成的兩起資安併購成果。<a href="https://newsroom.servicenow.com/press-releases/details/2026/ServiceNow-launches-Autonomous-Security--Risk-integrating-Armis-and-Veza-to-govern-every-AI-agent-identity-and-connected-asset/default.aspx" target="_blank">該公司先後併購</a>身分安全業者Veza與資安曝險管理業者Armis，其中<a href="https://newsroom.servicenow.com/press-releases/details/2026/ServiceNow-completes-Armis-acquisition-closing-the-gap-between-asset-visibility-and-cyber-risk/default.aspx" target="_blank">Armis交易金額</a>約77.5億美元。</p> <p>Autonomous Security建立在ServiceNow既有的AI平臺之上，可彙整企業環境中的連網資產資訊、身分與存取權限、漏洞資料及資安事件紀錄，並透過既有工作流程進行風險分析與後續處置。</p> <p>在網實整合系統安全方面，ServiceNow將Armis的資產探索技術整合至Agentic AI for Cyber Physical Security產品，鎖定營運技術（OT）與醫療網路。這項產品可在不安裝代理程式的情況下盤點連網設備、建立設備正常行為基準，並持續檢查法規遵循狀態。</p> <p>在身分安全方面，Veza提供的身分與權限分析能力，可協助企業掌握人員、機器身分及AI代理可存取的系統與資源。針對機器身分與AI代理等非人類身分，系統也可輪替金鑰、停用帳號或撤銷存取權限。</p> <p>ServiceNow預計於2026年12月推出Vulnerability Resolution AI Specialist及Tier 2 SOC AI Specialist兩項AI功能。前者可進行漏洞分類、協調後續修補作業，並執行低風險修補；後者則可針對複雜資安事件建立並執行多階段應變計畫，包括隔離與封鎖等處置。</p> </div></div></div>
8/7 10:57作者王珮瑤https://www.ithome.com.tw/news/177944
Francisco Partners併購法國DNS安全業者EfficientIP
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>科技投資機構<a data-saferedirecturl="https://www.google.com/url?q=https://www.franciscopartners.com/media/francisco-partners-acquires-efficientip&source=gmail&ust=1786152883678000&usg=AOvVaw3CuSQfI6CU9pXd9mNr1bjh" href="https://www.franciscopartners.com/media/francisco-partners-acquires-efficientip" target="_blank">Francisco Partners宣布</a>，<wbr></wbr>已併購法國DNS安全與網路基礎架構管理業者Efficient<wbr></wbr>IP，交易金額未揭露。</p> <p>EfficientIP成立於2004年，總部位於巴黎，<wbr></wbr>主要提供整合DDI（DNS、DHCP及IP位址管理）<wbr></wbr>與DNS安全的平臺，協助企業自動化網路管理、<wbr></wbr>提升網路基礎架構可視性，並保護DNS服務。<wbr></wbr>該公司約有220名員工，全球客戶超過1,500家，涵蓋金融、<wbr></wbr>電信、能源、零售、教育及公部門。</p> <p>Francisco Partners<a data-saferedirecturl="https://www.google.com/url?q=https://www.franciscopartners.com/investments&source=gmail&ust=1786152883678000&usg=AOvVaw3BFcMVSznotnVZQJbIg5e8" href="https://www.franciscopartners.com/investments" target="_blank">累計投資</a>超過500家科技公司，<wbr></wbr>投資範圍涵蓋企業軟體及資安業者，<wbr></wbr>包括身分安全業者BeyondTrust、<wbr></wbr>資安業者Forcepoint、<wbr></wbr>網路安全業者SonicWall及密碼管理業者LastPass<wbr></wbr>。</p> <p>雙方表示，企業採用混合雲、多雲端及AI環境後，<wbr></wbr>網路架構與管理工作日益複雜，帶動DNS安全、<wbr></wbr>網路自動化及IP位址管理需求。Francisco Partners將運用軟體產業投資與營運經驗，<wbr></wbr>協助EfficientIP擴大營運規模、<wbr></wbr>拓展全球市場及強化產品組合。</p> </div></div></div>
8/7 11:13作者王珮瑤https://www.ithome.com.tw/news/177946
Excel Copilot串接企業資料，可直接分析Power BI與企業系統資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟<strong><a href="https://techcommunity.microsoft.com/blog/excelblog/whats-new-in-excel-july-2026/4523403">更新Excel</a></strong>，擴充Copilot存取企業資料的能力。使用者可在Excel中加入Power BI報表作為分析依據，也可透過同步Copilot連接器查詢企業已連接的系統與文件，並利用內嵌引用查看回答來源。Power BI整合適用於Windows、Mac及網頁版，目前正分階段推出。</p> <p>使用者可從Excel的工作內容選擇器加入Power BI報表，再要求Copilot分析營運表現、找出資料趨勢，或製作摘要及相關計算。分析時會沿用Power BI報表既有的列層級安全性，使用者仍只能看到原本獲准查看的資料，不必先匯出資料，再手動複製到Excel整理及核對。</p> <p>同步Copilot連接器也已正式上線。企業完成連接設定後，使用者可在Excel中查詢工作項目、工單、資料庫資料列、客戶關係管理系統紀錄及文件，並直接將結果帶入工作表，再使用Excel既有的分析功能處理。完成一次連接後，這些內容也可供Microsoft 365其他應用程式使用。</p> <p>新版Copilot也加強來源引用，系統會在回答中標示參考資料，並提供連至相關內容的連結，讓使用者回查分析依據，有助於確認資料出處，但微軟仍提醒，使用者在採用AI產生的分析或計算結果前，應自行檢查內容是否正確。</p> <p>Windows與Mac版Excel另開始支援在關閉AutoSave的雲端活頁簿中使用Copilot，檔案要是有尚未儲存的修改，Excel會先提醒使用者開啟自動儲存，但仍可選擇繼續操作。</p> </div></div></div>
8/6 17:36作者李建興https://www.ithome.com.tw/news/177940
2026城鎮韌性演習首度導入30分鐘行動網路降速，災害應變的壓力測試
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>隨著地緣政治與極端情境威脅加劇，數位韌性已成為企業維運（BCP）的必修課題。政府將於今年8月展開「2026 城鎮韌性（防空）演習」，這次演習首度加入30分鐘的「行動網路降速演練」，被視為全民數位韌性防護的「系統性壓力測試」，儘管只是短暫的行動網路降速演練，卻考驗民眾與企業的緊急應變能力。</p> <p>根據演習規劃，中部地區的苗栗縣、臺中市、南投縣、彰化縣、雲林縣、嘉義市、嘉義縣將會在8月10日(周三)，而北部地區的基隆市、臺北市、新北市、桃園市、新竹縣、新竹市、宜蘭縣在8月13日(周四)的下午14:30至15:00進行半小時的行動網路降速演練。</p> <p>此次演練，政府選擇基地台通訊流量大、人口密集的北部、中部地區實施系統壓力測試，並且在股市收盤後演練，降低對股市交易的影響。至於南部及離島地區則未納入此次行動網路降速演練。</p> <p>在行動網路降速的30分鐘內，NCC並沒有說明行動網路降速的具體數字，但是強調為降速演練，而非模擬完全斷網，減少非必要行動上網，至於110、119報案專線、基本語音通話及簡訊(含細胞廣播簡訊CBS)仍可維持暢通，仰賴高頻寬行動網路的影音串流、大檔案下載、雲端備份及視訊通話等應用則會受阻。固網方面則不受影響。</p> <p>政府期望透過30分鐘演練的「可控不便」，讓民眾與企業藉此機會提升數位韌性的應變能力。為降低對民眾的影響，政府建議在金融交易與股匯市下單方面，建議在演習前完成委託作業，或是改用固網或是以固網連線提供的Wi-Fi，電話語音人工下單。</p> <p>交通通勤方面<strong>，</strong>大眾運輸雖維持正常營運，但行動網路降速可能影響手機行動支付或電子支付的正常使用，建議民眾改用悠遊卡、一卡通等實體卡片及紙本發票。在店家購物消費，建議使用現金、信用卡，並使用店家提供的Wi-Fi連線。</p> <p><img alt="" src="/sites/default/files/images/%E6%93%B7%E5%8F%962-600(9).jpg" style="width: 600px; height: 323px;" /></p> <p>醫療與看診方面，建議使用醫院提供的Wi-Fi連線，院方啟動市話、紙本紀錄及人工作業備援。</p> <p><img alt="" src="/sites/default/files/images/%E6%93%B7%E5%8F%963-600(9).jpg" style="width: 600px; height: 312px;" /></p> <p>鑑於行動網路降速，政府也建議在演練降速前的相關準備工作，演練中的測試體驗，以及演練後的恢復工作。</p> <p><img alt="" src="/sites/default/files/images/%E6%93%B7%E5%8F%96600(11).jpg" style="width: 600px; height: 328px;" /></p> <p>由於行動網路降速，僅以少數頻寬來維持基本通訊服務，固網不受影響，因此政府多建議民眾使用固網及Wi-Fi連線，在這降速演練的30分鐘期間，短時間內可能湧入顧客的Wi-Fi 連線，企業或商家應該注意網路的暢通及備援；對於仰賴行動網路連線的IoT或分支營運據點，也應及早應變，以減輕對於IoT或日常營運的影響。</p> <p>另外，企業營運據點若是使用行動網路提供室內Wi-Fi分享，則會受到此次行動網路降速的影響。</p> </div></div></div>
8/6 17:49作者蘇文彬https://www.ithome.com.tw/news/177941
【資安日報】8月6日，趨勢科技攜手Anthropic、Nvidia、AWS於黑帽大會強調AI代理時代聯防的重要性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><h3><strong>本日新聞焦點</strong></h3> <p>● <a href="https://www.ithome.com.tw/node/177926#Trend">趨勢、Anthropic、Nvidia、AWS於黑帽大會AI Summit強調聯防</a><br /> ● <a href="https://www.ithome.com.tw/node/177926#CISA">CISA警告IBM Langflow、N-central、Apache Tomcat漏洞遭利用</a><br /> ● <a href="https://www.ithome.com.tw/node/177926#GCP">Google Cloud金鑰管理服務正式支援NIST後量子密碼學標準</a><br /> ● <a href="https://www.ithome.com.tw/node/177926#Euro">歐洲刑警組織與9國聯手清除逾4,300個極端主義與犯罪內容網址</a> <br /> ● <a href="https://www.ithome.com.tw/node/177926#iOS">中國駭客藉由iOS漏洞利用工具包散布惡意軟體GhostBlade</a> <a id="Trend" name="Trend"></a></p> <h3> </h3> <h3><b>資安新聞總覽</b></h3> <p><a href="https://www.ithome.com.tw/news/177897"><span style="font-size: 22px;"><strong>邁向機器速度防禦！趨勢科技攜手Anthropic、Nvidia、AWS於黑帽大會AI Summit直指核心挑戰，聯防重要性更勝於以往</strong></span></a></p> <p><a href="/sites/default/files/images/zhu_tu_qu_shi_ke_ji_black_hat_2026_ai_summit_anthropicnvidiayu_aws.jpg" target="_blank"><img alt="" src="/sites/default/files/images/zhu_tu_qu_shi_ke_ji_black_hat_2026_ai_summit_anthropicnvidiayu_aws.jpg" style="width: 300px; float: right;" /></a>隨著AI代理（AI Agent）時代到來，與Mythos等先進AI模型相繼問世，傳統資安架構已難以為繼，各國政府與企業組織皆高度關注資安局勢演變。如何邁向「機器速度防禦」，已成為當前最核心的資安議題。趨勢科技於8月4日黑帽大會AI Summit現場邀請Anthropic、Nvidia與AWS共同闡述最新資安觀點，同時揭示AI平臺、雲端基礎設施與威脅情資融合的必要性，點出以機器速度回應威脅的產業聯防核心關鍵。<a href="https://www.ithome.com.tw/news/177897">詳全文</a> <a id="CISA" name="CISA"></a></p> <p><a href="https://www.ithome.com.tw/news/177908"><span style="font-size: 22px;"><strong>CISA警告IBM Langflow、N-central、Apache Tomcat漏洞遭到利用</strong></span></a></p> <p>美國網路安全與基礎設施安全局（CISA）於8月4日發布警告，表示他們已掌握有3個資安漏洞遭積極利用的證據，將其列入已遭利用漏洞名單（KEV），其中最受到關注的部分，是N-able幾天前緊急修補的遠端監控與管理（RMM）平臺N-central高風險漏洞CVE-2026-18577，不過另外兩個資安漏洞也相當值得留意，因為它們都是重大等級的弱點，非常危險。<a href="https://www.ithome.com.tw/news/177908">詳全文</a> <a id="GCP" name="GCP"></a></p> <p><a href="https://www.ithome.com.tw/news/177914"><span style="font-size: 22px;"><strong>Google Cloud金鑰管理服務正式支援NIST後量子密碼標準</strong></span></a></p> <p><a href="/sites/default/files/images/GCP PQC KMS.png" target="_blank"><img alt="" src="/sites/default/files/images/GCP%20PQC%20KMS.png" style="width: 300px; float: right;" /></a>雲端服務業者Google Cloud宣布，旗下金鑰管理服務Cloud Key Management Service（Cloud KMS）正式支援模組格基式金鑰封裝機制（ML-KEM），以及量子安全數位簽章，企業可直接透過Cloud KMS使用美國國家標準暨技術研究院（NIST）制定的抗量子密碼演算法，推動後量子密碼學（PQC）轉型。Google Cloud KMS支援的後量子數位簽章演算法，包含SLH-DSA-SHA2-128s、ML-DSA-44、ML-DSA-65及ML-DSA-87等，分別對應NIST安全類別第1、2、3及5級。<a href="https://www.ithome.com.tw/news/177914">詳全文</a> <a id="Euro" name="Euro"></a></p> <p><a href="https://www.ithome.com.tw/news/177900"><span style="font-size: 22px;"><strong>歐洲刑警組織聯手9國執法單位，要求清除逾4,300個涉及極端主義與犯罪內容的網址</strong></span></a></p> <p>歐洲刑警組織（Europol）近日聯手比利時、芬蘭、匈牙利、愛爾蘭、盧森堡、荷蘭、葡萄牙、西班牙與瑞典等9國執法單位，展開針對暴力極端網路The Com的Referral Action Days行動，於6月至7月間標記4,340個涉及The Com內容的網址，要求相關網路服務業者移除，以限制該網路的暴力與犯罪內容傳播。這次行動是歐洲刑警組織針對The Com的Compass計畫進一步延伸，該計畫自2025年啟動以來，迄今已逮捕30名相關成員、確認179名嫌疑人及62名受害者。<a href="https://www.ithome.com.tw/news/177900">詳全文</a> <a id="iOS" name="iOS"></a></p> <p><a href="https://www.ithome.com.tw/news/177848"><span style="font-size: 22px;"><strong>中國駭客藉由iOS漏洞利用工具包DarkSword，散布惡意軟體GhostBlade</strong></span></a></p> <p><a href="/sites/default/files/images/darksword-202-156.jpg" target="_blank"><img alt="" src="/sites/default/files/images/darksword-202-156.jpg" style="width: 300px; float: right;" /></a>今年3月Google、Lookout、iVerify聯手揭露iOS漏洞利用工具包DarkSword，後續有人將其上傳到GitHub，讓所有人都能下載，並傳出俄羅斯國家級駭客加入利用的行列，如今中國駭客將其用於發動最新一波攻擊。威脅情報公司Censys指出，根據他們的追蹤，目前至少有7至8組駭客運用DarkSword從事攻擊活動，其中最新加入的是使用簡體中文的團體，他們在全球架設超過100個網站，引誘使用者存取偽裝成iOS主題或Apple ID登入頁面的釣魚網站，然後釣魚網站中的iframe會載入DarkSword漏洞利用鏈，藉此對iPhone用戶散布惡意軟體GhostBlade。<a href="https://www.ithome.com.tw/news/177848">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177895"><span style="font-size: 22px;"><strong>77個惡意套件出現在Open VSX，企圖竊取開發者資訊</strong></span></a></p> <p><a href="/sites/default/files/images/gjohqrjnvx4kdfs6txvc6znwaww-156.jpg" target="_blank"><img alt="" src="/sites/default/files/images/gjohqrjnvx4kdfs6txvc6znwaww-156.jpg" style="width: 300px; float: right;" /></a>資安公司Manifold指出，他們在7月26日至8月1日，偵測到77個有問題的Open VSX套件，這些冒牌套件的手法一致，複製真實擴充功能的名稱、命名空間（namespace）與說明文字，並設置極低的版本號（0.0.1），以與正牌套件作者無關的帳號上架，其共通點是都會連回一個全新註冊的網域mangorbit[.]com，因此研判是相同的攻擊者發布。由於這些套件大致可分成兩種類型，Manifold將本次攻擊命名為Evil Twin，經通報後這些套件在8月3日已全數下架。<a href="https://www.ithome.com.tw/news/177895">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177896"><span style="font-size: 22px;"><strong>瑞士聯邦資訊技術與通訊辦公室遭駭，疑因SharePoint漏洞所致</strong></span></a></p> <p>8月4日瑞士聯邦資訊技術與通訊辦公室（BIT）發布新聞稿，表示7月28日偵測到SharePoint伺服器出現異常，當時他們立即封鎖網際網路的存取權限，並修補相關弱點。事隔數日，7月31日調查人員進一步確認有多個帳號的登入憑證被入侵，其中包含一般使用者帳號及技術帳號，估計約有200個帳號受影響，BIT已重設密碼。BIT指出，這次攻擊者使用的資安漏洞，很有可能就是微軟於7月例行更新公布及修補的弱點，但究竟攻擊者使用哪些漏洞，BIT並未進一步說明。<a href="https://www.ithome.com.tw/news/177896">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177904"><span style="font-size: 22px;"><strong>金屬機構件廠州巧及3家子公司遭駭，部分資訊系統停擺</strong></span></a></p> <p>8月5日下午上市公司金屬機構件廠州巧（3543）於股市公開資訊觀測站發布重大訊息，該公司與旗下子公司蘇州州巧、廈門州巧，以及越南州巧，部分資訊系統遭駭客入侵，導致相關系統無法使用。州巧已啟動資安應變機制，並與外部資安專家合作處理事件，根據初步評估，對整體營運並無重大影響。針對本起事故處理的情況，州巧表示正對相關系統進行全面性資安掃描與檢測，待確認資訊安全無虞，就會利用日常備份資料陸續恢復系統運作。<a href="https://www.ithome.com.tw/news/177904">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177890"><span style="font-size: 22px;"><strong>針對6月發生的資安事故，尼得科超眾表示尚未發現資料外流的跡象</strong></span></a></p> <p>6月下旬散熱模組廠尼得科超眾（6230）表示部分伺服器遭勒索軟體攻擊，導致ERP等部分資訊系統無法正常運作，日本母公司尼得科（原日本電產）也證實此事，並表示尼得科超眾的網路系統建置並獨立於集團之外，母公司與集團其他公司未受波及，6月底勒索軟體Blackfield聲稱這起事故是他們所為，竊得2 TB內部資料。8月4日尼得科超眾於股市公開資訊觀測站發布重大訊息指出，他們針對宣稱實施攻擊的犯罪集團，於暗網公開的部分資料夾及檔案名稱清單截圖資料，委託外部專業機構進行數位鑑識，根據系統事件記錄（Log）等資料，未能發現相關資料已流向外部的明確證據。<a href="https://www.ithome.com.tw/news/177890">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177916"><span style="font-size: 22px;"><strong>美國警告TeamCity重大漏洞遭積極利用</strong></span></a></p> <p>在證實IBM Langflow、N-central、Apache Tomcat資安漏洞遭到積極利用後，8月5日美國網路安全與基礎設施安全局（CISA）再度提出警告，有另一個公布不久的資安漏洞也出現遭到積極利用的現象，聯邦機構必須限期採取行動因應。這個漏洞是CVE-2026-63077，存在於CI/CD平臺TeamCity，為不受信任資料反序列化形成的弱點，CVSS風險評為9.8分（滿分10分），為重大等級，JetBrains於一週前發布更新修補。CISA將其列入已遭利用的漏洞名單（KEV），並給予聯邦機構3天的時間進行修補。<a href="https://www.ithome.com.tw/news/177916">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177909"><span style="font-size: 22px;"><strong>JetBrains修補CI/CD平臺TeamCity重大漏洞</strong></span></a></p> <p>7月27日開發工具供應商JetBrains發布資安公告，他們在CI/CD平臺TeamCity發現重大等級的資安漏洞CVE-2026-63077，一旦遭到利用，攻擊者可在未經身分驗證的情況下，透過HTTP或HTTPS連線存取TeamCity伺服器，繞過身分驗證檢查並執行任意作業系統指令，影響所有本地建置（On-Premises）版TeamCity執行個體，雲端版TeamCity Cloud已由該公司實作必要措施。JetBrains已為本地建置用戶發布2025.11.7與2026.1.3版進行修補，若無法及時升級，用戶也可以套用安全修補程式外掛，以便在不需重新啟動TeamCity伺服器的情況下修補。<a href="https://www.ithome.com.tw/news/177909">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177913"><span style="font-size: 22px;"><strong>iCloud私密轉送恐暴露DNS查詢路徑或真實IP位址，WebKit三功能可繞過代理設定</strong></span></a></p> <p>隱私研究團隊Mysk揭露，開源瀏覽器引擎WebKit的DNS預先解析、WebAuthn關聯來源請求及WebTransport功能，可能繞過瀏覽器設定的代理伺服器，直接從裝置發出網路請求。網站因此可能得知使用者採用的DNS服務，甚至取得真實IP位址。使用WebKit代理設定介面的iOS與macOS瀏覽器可能受影響，Apple的iCloud私密轉送也有相同問題，Mysk指出，DNS預先解析、WebAuthn關聯來源請求及WebTransport，分別自iOS 26.0、iOS 18.0及iOS 26.4開始支援。<a href="https://www.ithome.com.tw/news/177913">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177910"><span style="font-size: 22px;"><strong>Veeam修補Veeam ONE監控平臺滿分重大漏洞，若未更新可能導致遠端執行程式碼攻擊</strong></span></a></p> <p>備份與資料保護軟體廠商Veeam於8月4日發布資安公告，揭露旗下產品Veeam ONE的6個漏洞，所有13.0.2.6723以前的13.0版都受影響，由於Veeam ONE是用於監控、分析及管理虛擬化與備份環境的平臺，一旦遭到入侵，可能危及企業備份與虛擬化管理環境，建議用戶儘速更新至已修補的13.1.0.7034版。這次Veeam ONE修補的漏洞中，最嚴重的是CVSS評分達10.0分的CVE-2026-64633，可能導致攻擊者在部署代理程式（Agent）的主機上執行任意程式碼。<a href="https://www.ithome.com.tw/news/177910">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177918"><span style="font-size: 22px;"><strong>Veeam修補多租戶管理平臺Service Provider Console多個重大漏洞</strong></span></a></p> <p>備份與資料保護軟體廠商Veeam近日除了修補Veeam ONE監控管理平臺外，也同步發布Veeam Service Provider Console（VSPC）9.3版，修補9.x版的4個漏洞，所有9.2.1.33875以前版本都受影響，由於VSPC主要供託管服務供應商（MSP）集中管理多租戶的Veeam備份環境、代理程式及客戶端部署，一旦遭到入侵，可能影響受管理的備份基礎架構，建議用戶儘速更新至已修補的9.3.0.35057版。<a href="https://www.ithome.com.tw/news/177918">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177884"><span style="font-size: 22px;"><strong>Mistral開放Shieldstral 3B多模態安全分類模型，審核政策可隨使用情境調整</strong></span></a></p> <p><a href="/sites/default/files/images/capture_931_-_introducing_shieldstral__-_mistral_ai_-_mistral_ai_.jpg" target="_blank"><img alt="" src="/sites/default/files/images/capture_931_-_introducing_shieldstral__-_mistral_ai_-_mistral_ai_.jpg" style="width: 300px; float: right;" /></a>法國AI業者Mistral發布約30億參數的Shieldstral多模態安全分類模型，能同時檢查文字、圖片及圖文混合內容。開發者可在模型執行判斷時，以自然語言指定審核規則，不必替不同產品或使用情境重新訓練模型。傳統安全分類模型通常在訓練時，就固定暴力、仇恨或色情等風險類別，Shieldstral則讓使用者在每次送出內容時，說明審核情境與嚴格程度，再提出是非題，例如某張圖片是否適合未成年人觀看，或某段文字是否鼓吹針對特定群體的暴力。模型會比較「是」與「否」兩個答案的評分，再換算成連續的判斷分數。應用程式可依分數設定攔阻門檻，或將不確定的案例交由人工檢查。<a href="https://www.ithome.com.tw/news/177884">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177903"><span style="font-size: 22px;"><strong>開放安全AI聯盟提出AI事件共享指引SAFE草案</strong></span></a></p> <p><a href="/sites/default/files/images/NV Deve.png" target="_blank"><img alt="" src="/sites/default/files/images/NV%20Deve.png" style="width: 300px; float: right;" /></a>由Nvidia領軍的開放安全AI聯盟（Open Secure AI Alliance）於8月4日Black Hat USA大會開幕之際宣布，已提出共享AI發現交換（Shared AI Findings Exchange，SAFE）草案，希望建立AI代理系統資安事件與調查發現的共享機制。本指引草案由聯盟工作小組主要成員共同貢獻，包括Nvidia、思科、CrowdStrike、Hugging Face和Red Hat等貢獻。SAFE指引包含關於確實蒐集和分析AI事件與差點發生的事件、通知受影響對象、辨識重複出現的控制失敗原因的相關方法，並且公布有證據支持的作業建議，以降低未來的系統性風險。<a href="https://www.ithome.com.tw/news/177903">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177906"><span style="font-size: 22px;"><strong>Red Hat攜手微軟、Nvidia成立asago開源專案，協助AI治理政策落實至正式環境</strong></span></a></p> <p><a href="/sites/default/files/images/asago.png" target="_blank"><img alt="" src="/sites/default/files/images/asago.png" style="width: 300px; float: right;" /></a> IBM旗下企業開源軟體業者Red Hat（紅帽）宣布成立AI安全與治理協調（AI Safety And Governance Orchestration）開源社群專案asago，協助企業將AI治理政策落實到正式環境。依Red Hat公布的規畫，企業匯入AI治理政策後，asago將運用IBM Research建立的AI風險知識庫IBM AI Risk Atlas，將政策要求對應至既有AI風險框架、標準與法規，作為後續產生安全測試與防護措施的依據。確認需要處理的風險後，asago將依照AI系統的實際用途產生並執行安全測試，檢查系統是否出現有害行為，再根據測試結果建議安全護欄或其他防護措施。<a href="https://www.ithome.com.tw/news/177906">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177915"><span style="font-size: 22px;"><strong>AI已至，戴夫寇爾執行長翁浩正剖析資安須正視的機會與挑戰 </strong></span></a></p> <p><a href="/sites/default/files/images/960-weng_hao_zheng_huang_yan_fen_she_.jpg" target="_blank"><img alt="" src="/sites/default/files/images/960-weng_hao_zheng_huang_yan_fen_she_.jpg" style="width: 300px; float: right;" /></a> 美國AI模型業者Anthropic先前推出新版的AI模型Fable 5，因能力被形容超越該公司過往公開推出的任何模型，尤其擅長辨識軟體漏洞，一度引發外界高度關注；美國政府甚至宣稱，在該模型中找到可繞過安全限制的漏洞；並以國家安全為由，禁止任何非美國國民使用這個模型。對此，戴夫寇爾（DEVCORE）執行長翁浩正則在一場媒體記者會中坦言，「AI發展迄今，早已不是資安的未來，而是資安的現在進行式。」翁浩正認為對AI模型的恐慌多半源自於「未知」，恐懼往往來自二手的報告與傳言，而非第一手的理解，企業真正該做的，是先把核心資安策略穩固好，並建立起漏洞出現後的優先排序機制，而不是急著另闢一支專門應付AI的作戰小組。<a href="https://www.ithome.com.tw/news/177915">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177917"><span style="font-size: 22px;"><strong>A10併購TrojAI，布局AI紅隊測試與執行階段防護</strong></span></a></p> <p><a href="/sites/default/files/images/0806-trojai_by_a10_networks-960.jpg" target="_blank"><img alt="" src="/sites/default/files/images/0806-trojai_by_a10_networks-960.jpg" style="width: 300px; float: right;" /></a>應用交付與網路安全業者A10 Networks今年6月完成併購AI安全業者TrojAI，藉此補強AI系統上線前的紅隊測試，以及正式運作後的執行階段防護能力。相關技術已納入TrojAI by A10 Networks產品線，用於保護企業環境中的AI模型、AI應用程式與AI代理，以及採用模型上下文協定（MCP）的工作流程。A10後續將把TrojAI的技術整合至既有資安產品組合，並搭配硬體式AI防火牆。整合後的AI安全方案可部署於企業內部、雲端及混合雲環境。<a href="https://www.ithome.com.tw/news/177917">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177907"><span style="font-size: 22px;"><strong>應用程式安全業者Aikido併購Root，強化開源軟體與容器漏洞修復能力</strong></span></a></p> <p>應用程式安全業者Aikido於6月30日宣布併購開源軟體及容器漏洞修復業者Root，並將其技術整合至自家安全平臺。雙方自2025年起便已展開產品合作，此次交易則進一步納入Root的技術與團隊。Aikido自2025年以來，已先後併購AI程式碼審查新創Trag，以及自主滲透測試業者Allseek與Haicker，連同此次併購Root，該公司持續透過併購，擴充應用程式安全平臺，以涵蓋從漏洞偵測、驗證到修復的技術能力。<a href="https://www.ithome.com.tw/news/177907">詳全文</a></p> </div></div></div>
8/6 14:36作者張明德https://www.ithome.com.tw/news/177926
OT用戶擁抱進階資安技術，SOAR、威脅情資、SOC採用需求穩定成長
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p style="margin-left:.05pt;">前幾週Fortinet在臺簡介<strong><a href="https://www.ithome.com.tw/news/177834">年度OT與網路資安現況調查報告</a></strong>時，揭露工控領域的法規遵循壓力、面臨的入侵威脅態勢、企業重視程度，以及資安成熟度，也提及多種OT資安解決方案的企業採用趨勢。</p> <p style="margin-left:.05pt;">Fortinet表示，在2024年，部署的網路安全方法和技術數量均大幅增加，2025年後，多個領域的安全功能採用比例開始降低。以2026年而言，企業相對減少導入的OT資安方案類型，主要是基礎的網路安全控制、部署技術，以及關於有效防禦的功能。然而，資安營運中心（SOC）和安全協作、自動化與應變系統（SOAR）等進階控制技術，則呈上升趨勢，顯示企業仍持續投資進階資安技術，這項趨勢與企業的網路安全成熟度發展路徑是一致的。</p> <p style="margin-left:.05pt;">以網路分段（Segmentation）為例，Fortinet將該項技術的建置視為企業達到OT資安解決方案成熟度第一級的指標，而在該公司的調查中，企業藉此將IT網路與OT網路區隔的比例，相較於往年呈現下降狀況。Fortinet OT事業拓展經理陳心怡表示，這代表企業已在這方面進行較多投資，所以採用比例下降其實是可預期的。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/Existing cybersecurity features3-Fortinet OT 2026-Seg.jpg"><img alt="" src="/sites/default/files/images/Existing%20cybersecurity%20features3-Fortinet%20OT%202026-Seg.jpg" style="width: 298px;" /></a></p> <p style="margin-left:.05pt;">令人意外的是，企業目前積極採用的OT資安解決方案，分別是SOAR與威脅情資（Threat Intelligence）。而這些類型的資安產品與服務，過往通常被視為進階的解決方案，資安成熟度需發展到一定程度的環境才會更有意願導入。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/OT資安關鍵觀察2-solutions.png"><img alt="" src="/sites/default/files/images/OT%E8%B3%87%E5%AE%89%E9%97%9C%E9%8D%B5%E8%A7%80%E5%AF%9F2-solutions.png" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">根據陳心怡的觀察，臺灣今年的確有大型客戶將資安與IT整併在SOAR的平臺，而且在關鍵基礎建設的標案或標書上，SOAR已經列入某些單位工控資安解決方案的標配，而調查結果呈現的採用比例成長，也反映出許多企業傾向透過平臺化方式整併相關資訊，並進行統一監控與回應。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/Existing cybersecurity features1-Fortinet OT 2026-SOAR.jpg"><img alt="" src="/sites/default/files/images/Existing%20cybersecurity%20features1-Fortinet%20OT%202026-SOAR.jpg" style="width: 298px;" /></a> <a href="/sites/default/files/images/Existing cybersecurity features2-Fortinet OT 2026-TI.jpg"><img alt="" src="/sites/default/files/images/Existing%20cybersecurity%20features2-Fortinet%20OT%202026-TI.jpg" style="width: 298px;" /></a></p> </div></div></div>
8/6 16:34作者李宗翰https://www.ithome.com.tw/news/177935
Meta推出Muse Code程式代理人，以低價挑戰Claude Code與Codex
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://research.meta.ai/blog/introducing-muse-code-and-muse-spark-1-2" target="_blank">Meta周三（8/5）推出</a>新版AI模型Muse Spark 1.2及由其驅動的Muse Code測試版。Muse Spark 1.2強化程式碼生成、複雜除錯及程式碼庫理解能力；Muse Code則是在終端機中運作的AI程式代理人，可處理大型程式碼儲存庫中的完整軟體工程任務，包括規畫修改、撰寫程式碼及驗證結果。</p> <p>Muse Spark是Meta超級智慧實驗室（Meta Superintelligence Labs）今年4月推出的首款模型，7月升級至Muse Spark 1.1，成為Meta AI及Meta Model API的基礎模型。Muse Spark 1.2進一步增加程式任務的訓練運算資源及環境多樣性，並強化長時間程式開發能力。</p> <p>Muse Code目前支援macOS及Linux，使用者可透過一行指令安裝，尚未支援Windows。它會在整個工作階段維持多個背景代理人，使其持續累積專案脈絡並自行執行後續步驟。面對規模較大的任務時，系統能將工作分派給多個子代理人，在彼此隔離的工作樹中平行處理，避免修改使用者正在使用的程式碼副本。</p> <p>系統也會在本機記錄每次模型呼叫、工具執行、使用者核准及程式修改，即使途中當機也能從中斷處繼續。Meta曾讓Muse Spark 1.2針對Nvidia Hopper GPU執行核心最佳化任務，在最長24小時內進行逾1000次工具呼叫，持續改善核心效能。</p> <p>Meta目前以Muse Spark 1.1驅動Meta AI，服務涵蓋獨立App、網站、Facebook、Instagram、WhatsApp、Messenger、Threads及AI眼鏡；另提供Muse Image圖像生成模型及供開發者使用的Meta Model API。Muse Spark 1.2即日起也透過Muse Code及Meta Model API提供。</p> <p>Muse Code標準方案每100萬輸入及輸出token分別收費1.25美元與4.25美元；若使用者同意Meta利用其使用活動改善產品，貢獻者方案則降至0.1美元與0.2美元。相較之下，Anthropic Claude Sonnet 5分別收費3美元與15美元。</p> <p><a href="https://www.wsj.com/tech/ai/meta-releases-coding-agent-to-compete-with-openai-and-anthropic-af87b517" target="_blank">華爾街日報分析</a>，面對將鉅額AI投資轉化為營收的壓力，Meta將Muse Code定位為Claude Code及OpenAI Codex的低價替代方案，現階段主要以價格而非領先性能爭取開發者。</p> </div></div></div>
8/6 15:50作者陳曉莉https://www.ithome.com.tw/news/177934
多代理工具Kiro Crew開源，Amazon內部已有逾3.9萬人採用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>AWS宣布，將內部專案MeshClaw改名為<strong><a href="https://kiro.dev/blog/introducing-kiro-crew/">Kiro Crew</a></strong>並開源。Kiro Crew可讓多個AI代理跨不同工作階段持續處理開發任務，並保存任務狀態、排程、專案脈絡與修正紀錄，即使開發者暫時離開，工作也能依設定繼續進行。</p> <p>Kiro Crew最初由3名Amazon工程人員自行開發，目的是減少人員必須持續盯著AI執行工作的情況。官方表示，專案在不到6個月內已獲逾39,000名Amazon內部人員採用，近500名貢獻者共完成597項更新，促使團隊決定對外開源。</p> <p>使用者可把待處理的問題單交給Kiro Crew，由系統分類並分派工作、找出負責人，也會標出需要人工處理的項目。遇到需要跨多個程式碼儲存庫調查的異常事件時，系統可同時調查各個儲存庫。執行時間較長的系統搬遷工作，則可依檢查點持續推進，失敗後重新嘗試。</p> <p>需要同時處理多項工作時，Kiro Crew可同時啟動多個工作階段，每個工作階段都保有獨立脈絡。系統也可把研究與程式實作等獨立工作交給子代理，再將結果交回主要工作階段彙整。系統會保存使用偏好、目前專案脈絡與相關紀錄，並把修正內容轉為後續可沿用的經驗。經常重複的操作則可整理成能夠檢視、修改或移除的技能。</p> <p>排程功能可定期整理待辦事項、追蹤程式碼合併請求或部署狀態，也能在外部系統傳來事件通知時啟動工作，並可透過檢查點、驗證及重試機制持續執行，使用者回到系統後可直接檢查進度，不必從頭重新下達指令。</p> <p>由於Kiro Crew可存取程式碼及持續整合系統，官方加入作業系統層級的隔離執行環境、預設拒絕未允許的指令、敏感路徑限制、登入憑證資訊遮蔽，以及帶有簽章的稽核紀錄。使用者可即時查看每個代理的工作規畫、工具操作與執行結果，重要動作也可設定為必須先取得人工核准。</p> <p>Kiro Crew提供桌面程式、網頁管理介面及純文字操作介面，可在本機或使用者控制的遠端電腦執行，也能透過Slack、Telegram及Discord繼續同一項工作。</p> </div></div></div>
8/6 15:54作者李建興https://www.ithome.com.tw/news/177933
Uptime調查：AI重新定義資料中心永續，能源、散熱與供電成新挑戰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>生成式<span lang="EN-US" xml:lang="EN-US">AI</span>快速普及，正在改變資料中心的設計與營運模式，也重新定義資料中心的永續課題。<a href=" https://uptimeinstitute.com/resources/research-and-reports/uptime-institute-global-data-center-survey-results-2026" target="_blank"> Uptime Institute近期發表「Global Data Center Survey 2026」顯示</a>，隨著<span lang="EN-US" xml:lang="EN-US">AI</span>模型訓練與推論需求增加，高密度運算環境快速增加，資料中心業者除了持續改善能源效率，還必須面對電力供應、冷卻能力與營運韌性等新挑戰。<span lang="EN-US" xml:lang="EN-US"><p></p></span></p> <p data-end="516" data-start="385"><span lang="EN-US" xml:lang="EN-US">Uptime Institute</span>每年都會對全球資料中心業者、企業<span lang="EN-US" xml:lang="EN-US">IT</span>部門及雲端服務供應商進行調查，今年調查涵蓋超過<span lang="EN-US" xml:lang="EN-US">800</span>名受訪者。報告指出，<span lang="EN-US" xml:lang="EN-US">AI</span>已成為影響資料中心基礎設施規畫的重要因素，而能源管理也從單純降低耗電，逐漸轉向如何在<span lang="EN-US" xml:lang="EN-US">AI</span>算力成長與永續目標之間取得平衡。<span lang="EN-US" xml:lang="EN-US"><p></p></span></p> <h2 data-end="545" data-section-id="1e8gouf" data-start="518"><span style="font-size:20px;"><span style="color:#B22222;"><strong><span lang="EN-US" xml:lang="EN-US">AI</span>推升機櫃功率密度，散熱與供電成為資料中心新壓力</strong></span></span><span lang="EN-US" xml:lang="EN-US"><p></p></span></h2> <p data-end="666" data-start="547">調查顯示，資料中心機櫃功率密度持續提升，今年平均機櫃功率首次突破<span lang="EN-US" xml:lang="EN-US">11kW</span>。其中，<span lang="EN-US" xml:lang="EN-US">30kW</span>以上高密度機櫃比例持續增加，從去年的<span lang="EN-US" xml:lang="EN-US">19%</span>增加至<span lang="EN-US" xml:lang="EN-US">24%</span>，<span lang="EN-US" xml:lang="EN-US">50kW</span>以上機櫃成為成長最快的類型，一部分專為<span lang="EN-US" xml:lang="EN-US">AI</span>運算設計的<span lang="EN-US" xml:lang="EN-US">GPU</span>機櫃甚至已突破<span lang="EN-US" xml:lang="EN-US">100kW</span>。<span lang="EN-US" xml:lang="EN-US"><p></p></span></p> <p data-end="772" data-start="668">相較於傳統企業應用，<span lang="EN-US" xml:lang="EN-US">AI</span>工作負載通常需要大量<span lang="EN-US" xml:lang="EN-US">GPU</span>加速器協同運算，不僅增加電力需求，也帶來更高散熱挑戰。當單一機櫃功率持續提高，傳統氣冷方式可能難以滿足需求，必須重新評估液冷、電力配送及機房布局。<span lang="EN-US" xml:lang="EN-US"><p></p></span></p> <p data-end="855" data-start="774"><span lang="EN-US" xml:lang="EN-US">Uptime Institute</span>也指出，高密度<span lang="EN-US" xml:lang="EN-US">AI</span>基礎設施正在改變資料中心設計邏輯，未來資料中心建置不只是追求更多運算容量，也必須考量是否具備足夠的電力與冷卻能力。<span lang="EN-US" xml:lang="EN-US"><p></p></span></p> <h2 data-end="879" data-section-id="s1as0t" data-start="857"><span style="color:#B22222;"><span style="font-size:20px;"><strong>永續焦點從能源效率，延伸至能源供應能力</strong></span></span><span lang="EN-US" xml:lang="EN-US"><p></p></span></h2> <p data-end="1006" data-start="881">過去資料中心永續發展多以提升能源效率為主要方向，其中<span lang="EN-US" xml:lang="EN-US">PUE</span>（<span lang="EN-US" xml:lang="EN-US">Power Usage Effectiveness</span>）是衡量資料中心能源使用效率的重要指標。但是在今年的調查指出，雖然資料中心能源效率仍持續改善，但改善速度正在放緩。<span lang="EN-US" xml:lang="EN-US"><p></p></span></p> <p data-end="1091" data-start="1008">原因之一，是新建資料中心已採用較高效率的能源與冷卻設計，改善空間相對有限；另一方面，<span lang="EN-US" xml:lang="EN-US">AI</span>帶來的高密度運算需求，也增加整體能源消耗，使資料中心必須面對新的能源管理問題。<span lang="EN-US" xml:lang="EN-US"><p></p></span></p> <p data-end="1186" data-start="1093">此外，電力取得能力也逐漸成為資料中心擴建的重要限制。調查報告指出，資料中心業者目前面臨包括電網容量、電力供應穩定性、建置成本，以及基礎設施部署速度等挑戰。<span lang="EN-US" xml:lang="EN-US"><p></p></span></p> <h2><strong><span style="font-size:20px;"><span style="color:#B22222;"><span lang="EN-US" xml:lang="EN-US">AI</span>時代考驗資料中心韌性</span></span></strong><span lang="EN-US" xml:lang="EN-US"><p></p></span></h2> <p data-end="1300" data-start="1257">除了能源與散熱，資料中心的可靠性也是今年調查關注的議題。<span lang="EN-US" xml:lang="EN-US"><p></p></span></p> <p data-end="1374" data-start="1302">調查顯示，重大停機事件比例持續下降，發生重大停機事故的比例已連續第六年下降，但是停機所造成的損失提高，約7成受訪者表示，停機造成的損失超過10萬美元。隨著企業愈來愈依賴雲端服務、<span lang="EN-US" xml:lang="EN-US">AI</span>應用及數位服務，資料中心可用性的重要性也同步提升。<span lang="EN-US" xml:lang="EN-US"><p></p></span></p> <p data-end="1438" data-start="1376"><span lang="EN-US" xml:lang="EN-US">Uptime Institute</span>認為，資料中心營運商除了提升設備可靠度，也需要強化面對電力中斷、極端氣候及供應鏈問題的韌性。<span lang="EN-US" xml:lang="EN-US"><p></p></span></p> <p data-end="1546" data-start="1440">另一方面，企業<span lang="EN-US" xml:lang="EN-US">IT</span>工作負載部署模式也正在改變。企業部署於第三方資料中心（Colocation、託管、雲端等）的工作負載比例已達<span lang="EN-US" xml:lang="EN-US">46%</span>，高於自建企業機房的<span lang="EN-US" xml:lang="EN-US">44%</span>。在<span lang="EN-US" xml:lang="EN-US">AI</span>需求快速增加下，企業傾向利用專業資料中心業者提供的電力、散熱與維運能力。<span lang="EN-US" xml:lang="EN-US"><p></p></span></p> </div></div></div>
8/6 15:56作者蘇文彬https://www.ithome.com.tw/news/177932
刑事局：拆解AI詐騙心理陷阱，從「零信任」到「數位免疫」
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>今年稍早，新北市三峽一名員警於執勤中不幸殉職，社群平臺隨即出現一則呼籲外界捐款慰問家屬的貼文，附上員警本人的銀行帳戶。警政署刑事警察局預防科科長莊明雄看到消息，第一時間便準備匯款，甚至動用了連妻子都不知情的私房錢。</p> <p>妻子得知後質問他：「你當過科長，怎麼會蠢到看到臉書貼帳號就匯錢？」這句話讓莊明雄整整緊張了兩個小時。一直到新聞證實，那則募款貼文其實是殉職員警的妻子用先生帳號發布，並非詐騙，他才鬆一口氣。</p> <p>莊明雄坦言，那兩小時裡，他一直在想：「我是不是真的被騙了」。連執法者都可能在情緒衝動下失去戒心，一般民眾面對設計精密的話術，處境可想而知。</p> <p>莊明雄是中央警察大學行政警察學系畢業、犯罪防治研究所出身，並取得逢甲大學資訊工程博士學位，長年鑽研犯罪資料分析、數位鑑識與詐騙趨勢統計，也在銘傳大學、逢甲大學金融科技學系兼任教職。</p> <p>因為具備跨領域背景和專業，對於莊明雄解讀詐騙集團的技術演進時，多了一分工程師的冷靜與同理心。他坦言，自己從詐騙集團身上「學到很多」，因為對方的話術設計與應變速度，往往比公部門的防詐宣導更快一步。</p> <h1><span style="color:#B22222;">詐騙如流感，防詐治理思維應轉向</span></h1> <p>莊明雄指出，觀察近三、四年、尤其是疫情之後的詐騙生態，他發現詐騙集團的「創意」令人咋舌，每當警方堵住一條路，對方很快就會開出另一條路，如同流感病毒不斷變異，讓疫苗永遠慢半拍。</p> <p>以內政部警政署「165打詐儀表板」為例，光是今年6月27日單日，全臺受理詐騙案件即達309件，財產損失金額高達1億2,880萬元，等於平均每天有上億元，透過各種詐騙話術從民眾口袋流出。</p> <p>他主張，比起追求「完全消滅詐騙」的零風險迷思，更務實的做法是仿效「流感治理學」：不再期待有特效藥能一次根除，而是設法壓低感染規模、降低介入成本，把衝擊控制在可承受的範圍內。</p> <p>莊明雄也提到，根據警方觀察，農曆春節期間詐騙案件量往往降到全年最低點，原因正是家人團聚、彼此有更多互動與提醒，「只要你身邊的人多一點警覺，他其實不容易被騙」。</p> <h1><span style="color:#B22222;">從網購到虛擬遊戲的五大詐騙態樣</span></h1> <p>根據「165打詐儀表板」統計資料，網路購物詐騙以單日96件、財損約889萬3千元居首，顯示電商發達的臺灣仍是詐騙集團鎖定的溫床；其次是假交友（投資）詐騙，單日34件，財損逼近2,602萬元。</p> <p>假投資詐騙雖然件數略低、為32件，財損金額卻高達4,601萬4千元，顯示投資詐騙單一被害人的損失金額往往驚人。</p> <p>值得注意的是，色情應召詐騙與虛擬遊戲詐騙近來竄升至第四、第五名，單日分別為25件、財損411萬6千元，以及15件、財損73萬4千元。</p> <p>莊明雄解釋，假交友投資詐騙又可依被害人年齡層細分為三種樣態：年輕族群多是單純迷戀網路上的知名人物；步入社會的青壯年則常因交友需求，在網路上尋找情感寄託。</p> <p>至於年齡較長、可能喪偶或離婚的長者，則容易陷入跨國黃昏戀，例如：誤信自己與一名「正在前線作戰的以色列軍人」相戀，警方攔阻時，追問對方說什麼語言，被害人才驚覺對方說得一口標準中文，但是「以色列士兵不可能跟你講中文」，而此時對方早已匯出兩三百萬元。</p> <h1><span style="color:#B22222;">大腦因為恐懼、孤獨與貪婪等原因被操弄</span></h1> <p>莊明雄以親身經手的案例說明，詐騙集團最擅長利用人在緊張時「失去理智」的生理反應：一句「你兒子涉及洗錢」、「你的健保卡遭冒用領藥」，就足以讓大腦進入急迫狀態，喪失判斷力。</p> <p>他分享一起內湖退休老師的案例，被害人畢生積蓄約兩千多萬元，最終卻被詐騙集團騙走近四千萬元，多出的二千多萬資金，來自被害人變賣父母遺留房產、向地下錢莊借貸而來。</p> <p>深入了解後才知道，這名獨居老師的子女都在國外，唯一每天噓寒問暖的，是透過通訊軟體聊了三個月的「臺灣女生」，實際上卻是AI生成的虛擬人格。</p> <p>莊明雄也提到一名42歲、母胎單身的公務員，因誤信網路戀情遭詐騙5百萬元，一度萌生輕生念頭；他以自身經驗開導對方，強調被騙金額並非人生終點，「好好工作到60歲，一樣賺得回來」，最終協助對方走出低潮。</p> <p>他歸納，詐騙得逞的關鍵往往是「情感缺口」，當事人正好處於孤單、渴望被理解，或急於證明自己判斷正確的心理狀態，詐騙集團便伺機切入，「就像看電影一樣，只要你還沒走出戲院，就很難自拔。」他說。</p> <h1><span style="color:#B22222;">生成式AI重塑詐騙產業鏈</span></h1> <p>莊明雄警告，2026年最令執法單位憂心的變化，是生成式AI正把過去人力密集的詐騙產業，改造為近乎全自動化的攻擊矩陣。</p> <p>他表示，過去詐騙集團需要僱用大批話務人員，如今由大型語言模型扮演的機器人客服可全天候應答；過去客服話術仰賴人工查證與訓練，如今深偽技術能即時複製名人或親屬的聲音與影像，達到「以假亂真」的效果。</p> <p>過去詐騙產能受限於話務臺的人力與介面操作，如今AI能依對話內容即時感染被害人情緒、動態調整話術策略；過去偽冒官網每日僅能限量部署，如今程式碼撰寫與詐騙App外殼的複製及置換，幾乎能在一秒之間快速生成。他表示，整條詐騙產業鏈因此從「勞力密集」躍升為「技術密集」。</p> <p>他也直言指出，輝達執行長黃仁勳日前在臺北盛讚臺灣是全球發展AI的最佳基地，「但我們現在看到的是，詐騙集團同樣把這些技術用得淋漓盡致，拿來對付臺灣人」。</p> <p>他舉例，詐騙集團甚至懂得利用銀行ATM每日轉帳限額的機制：深夜十一點先以「公司周轉」為由借走三到五萬元，午夜十二點一過額度重置，再追加一筆，一個晚上就能從熟人帳戶詐得六到十萬元。</p> <p><img alt="" src="/sites/default/files/images/%E8%8E%8A%E6%98%8E%E9%9B%84%E7%B0%A1%E5%A0%B1.jpg" style="width: 600px; height: 1014px;" /></p> <p> </p> <blockquote><p>資料來源：莊明雄提供，2026年8月</p> </blockquote> <h1><span style="color:#B22222;">深偽技術來襲，「眼見為憑」這句話已經不可信</span></h1> <p>莊明雄表示，深偽技術的成熟，讓許多人幾乎很難判斷看到的照片或影片，到底是真的還是假的。他以一起中國微博用戶遭盜用照片為例，詐騙集團盜取真實存在的網紅照片，甚至合成聲音，佯裝與被害女子交往，直到本人出面澄清：「照片是我的，但我從未跟這個人說過話」，才揭穿騙局。</p> <p>他提醒，過去民眾判斷詐騙多仰賴常識與經驗，例如查看網址是否為偽冒的相似網域、購物平臺是否要求先行「線上驗證」等細節。但他說，在深偽技術普及後，聲音、影像甚至互動對話都可能是偽造的，「眼見不再為憑」，民眾必須養成主動查證來源的習慣，而非單憑直覺信任畫面。</p> <h1><span style="color:#B22222;">跨部門合作，從堵詐到防詐</span></h1> <p>莊明雄也分享警方近期偵辦的一起案例：詐騙集團鎖定電子支付使用者，佯稱協助交易，誘導被害人出示臺灣Pay或LINE Pay的付款QR Code，再持該條碼至超商購買點數或商品套現。</p> <p>警方發現後與金融監理機關協調，將條碼有效時間由五分鐘縮短為三分鐘，大幅壓縮詐騙集團異地變現的操作空間，該專案最終偵破逾四百起案件。</p> <p>他也提到與銀行合作攔阻可疑匯款的實際案例。曾有行員憑經驗識破一筆百萬元異常轉帳，堅持勸阻近一小時，最終成功保住被害人畢生積蓄，他建議，銀行端應該設立一個「金菩薩獎」，鼓勵這些第一線識詐、阻詐的行員。</p> <p>談及外界質疑警示帳戶凍結太浮濫，莊明雄坦言誤判在所難免，連他自己的帳戶都曾因操作模式異常遭銀行暫時列管，但他認為這是保護財產的必要之惡，「請大家支持這些銀行單位，他們在保護大家的財產。」他說。</p> <h1><span style="color:#B22222;">165接線員的溫度，是AI無法取代的最後防線</span></h1> <p>莊明雄也特別提到165第一線接線同仁的辛苦。他觀察，許多受害民眾打進165反詐騙專線，其實已經有一定機率相信接線人員的判斷，但真正困難的往往不是說服，而是陪伴，像是有不少長者被害後，最需要的不是道理，而是有人願意花時間聽他們說話，「他們的兒女不在身邊，需要有人聊天。」他說。</p> <p>莊明雄指出，未來雖然會導入AI輔助分流與初步研判，但AI終究「沒有溫度」，無法真正取代人與人之間的信任建立，這也是165同仁即便工作壓力沉重，仍必須堅守的價值所在。</p> <p>「相信你的直覺，但驗證每一個來源。」莊明雄強調，AI可以偽造一切，除了你主動查證的動作。他也說，防詐不能只靠警政或金融單位單打獨鬥，執法單位往往只是最後一道防線，真正能阻止悲劇發生的，經常是身邊多一分留意的家人與朋友。</p> <p>他呼籲，當民眾遇到疑似詐騙時，第一時間撥打165反詐騙專線查證，「哪怕只是一通電話、一個提醒的動作，都可能救回一個家庭一輩子的積蓄。」他說。</p> <p> </p> <p> </p> <div id="gtx-trans" style="position: absolute; left: 270px; top: 517.055px;"> <div class="gtx-trans-icon"> </div> </div> </div></div></div>
8/6 15:58作者黃彥棻https://www.ithome.com.tw/news/177936
NPM套件Keyv供應鏈攻擊活動ChainDrop傳出源自於Shai-Hulud
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>NPM套件keyv於8月4日遭入侵，導致4小時內有444個套件被污染、攻擊者上架2,212個惡意版本，多家資安公司指出，這次攻擊者使用的蠕蟲程式ChainDrop，證明這起資安事故是大規模供應鏈攻擊Shai-Hulud的一部分。</p> <p>資安公司<strong><a href="https://www.aikido.dev/blog/keyv-and-friends-compromised-in-npm-supply-chain-attack">Aikido</a></strong>、<strong><a href="https://www.ox.security/blog/a-new-infostealer-worm-hits-npm-affecting-keyv-and-cacheable">OX Security</a></strong>、<strong><a href="https://semgrep.dev/blog/2026/malicious-dependency-in-pytorch-lightning-used-for-ai-training/">Semgrep</a></strong>、<strong><a href="https://socket.dev/blog/popular-npm-packages-in-the-keyv-and-cacheable-namespaces-compromised-in-active-supply-chain">Socket</a></strong>、<strong><a href="https://www.stepsecurity.io/blog/chaindrop-npm-worm">StepSecurity</a></strong>、<strong><a href="https://www.wiz.io/blog/keyv-and-cacheable-npm-supply-chain-attack">Wiz</a></strong>不約而同指出，ChainDrop活動是Shai-Hulud的一部分，原因是ChainDrop與Shai-Hulud使用的技術非常相似，其中包含利用TruffleHog型態的正規表達式掃描收集憑證，找出維護者的所有經營的套件，並透過竊得的NPM權杖和OIDC，重新發布被盜資料，最終兩款惡意程式都會將竊得資料分階段傳送到攻擊者控制的GitHub儲存庫。其中，駭客用於外洩資料的GitHub儲存庫，同樣也是用遭竊的身分建立，並採用相同的說明字串Shai-Hulud: Here We Go Again。</p> <p>不過，研究人員也指出與過往Shai-Hulud活動有所不同的地方。Socket指出，ChainDrop酬載的字串經多態basE91演算法處理，相關元件命名情報交換點（Dead-drop）的儲存庫名稱並提交，疑似在執行環境進行。再者，ChainDrop會下載Bun執行環境，以便第二階段能順利執行，採用模組化調度工具並區分GitHub及以網域為基礎的頻道，在開發環境與AI程式碼助理植入自動執行的掛鉤，這些都是Shai-Hulud活動首度出現的手法。</p> <p>Wiz發現，在ChainDrop首度提交時，會出現新的恐嚇字串IfYouBlockThisAPIKeyItWillCrashTheLiveProductionServersOfAllThirdPartyClients，要脅開發者若是封鎖相關API金鑰，將會使所有第三方用戶端的生產伺服器當機，再者，這次攻擊者使用新的RSA金鑰加密竊得資料。值得留意的是，ChainDrop從以太坊智慧合約取得C2網域，這代表攻擊者無須修改惡意程式本身就能更新C2通訊。</p> </div></div></div>
8/6 16:12作者周峻佑https://www.ithome.com.tw/news/177937
針對NPM套件Keyv遭供應鏈攻擊ChainDrop，微軟揭露惡意程式完整運作流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>8月4日<strong><a href="https://www.ithome.com.tw/news/177871">熱門JavaScript套件keyv遭遇供應鏈攻擊</a></strong>，駭客入侵維護者Jared Wray的GitHub帳號，取得此開發人員所有專案的修改與發布權限，並將蠕蟲植入多個NPM套件並導致橫向感染，最終污染套件總數達444個、攻擊者發布多達2,212個版本惡意套件，此事引起許多資安公司與研究團隊關注及提出警告，並命名為ChainDrop，其中，<strong><a href="https://www.microsoft.com/en-us/security/blog/2026/08/04/chaindrop-supply-chain-compromise-anatomy-self-propagating-worm/">微軟威脅情報團隊揭露這些惡意套件於受害電腦運作的流程</a></strong>。</p> <p>一旦開發人員不慎下載及安裝惡意套件，其中的惡意程式首先會判斷受害電腦的用途，若是開發者的工作站電腦，它就會自行分離執行，以便在套件安裝後繼續運作；若是在CI/CD環境，則會從正在運作狀態的工作當中，竊取工作流程機密、runner憑證，以及OIDC發布權限，一旦找到合適的憑證，惡意程式就會進一步感染其他套件或是儲存庫。</p> <p>接著，惡意程式會從受害電腦的本機檔案、環境變數、命令列工具，以及GitHub Actions的runner記憶體內容，搜刮其他憑證資料，然後試圖通過NPM、GitHub、AWS、Kubernetes、HashiCorp Vault的身分驗證，以找出更多能夠存取的資源與機密。</p> <p>在上述活動成功後，惡意程式就會透過HTTPS通道外傳竊得資料，並以GitHub儲存庫充當備援，再利用竊得資料重新取得NPM發布權限，竄改並發布套件，最終利用GitHub憑證將特定檔案注入Claude與Visual Studio Code的組態設定，使得惡意程式能橫跨多個儲存庫分叉持續活動。</p> </div></div></div>
8/6 15:02作者周峻佑https://www.ithome.com.tw/news/177929
Deno開源celld專案，將Durable Objects有狀態運算帶到自有伺服器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Deno在GitHub開源分散式執行環境<strong><a href="https://github.com/denoland/celld">celld</a></strong>，讓開發者可在自行架設的伺服器上執行落在celld相容範圍內的Cloudflare Workers與Durable Objects應用程式。celld試圖把原本只能在Cloudflare平臺使用的有狀態運算架構帶到自有環境，提供企業與開發者額外部署選擇。</p> <p>Durable Objects是Cloudflare提供的有狀態運算技術，可將聊天室、文件、使用者帳號或AI代理等物件，分別交給獨立的執行單元管理。每個執行單元擁有自己的持久化儲存空間，讓相關請求與資料集中處理，可降低多個請求同時修改資料而產生衝突的風險。</p> <p>celld續用該設計，讓企業或開發者可在自有設備上運作Durable Objects。在celld中，每個執行單元使用獨立的SQLite資料庫，每臺celld伺服器也內建V8 JavaScript執行引擎，負責執行依Wrangler專案格式建置的程式，叢集內所有伺服器則共用同一個S3相容儲存空間。</p> <p>該儲存空間除了保存SQLite資料副本，也會保存各單元的擁有權紀錄。伺服器接手工作前，必須透過物件儲存的比較交換（compare-and-swap）機制取得擁有權租約，確保同一時間只有一臺伺服器可處理該單元，避免兩臺伺服器同時修改同一份資料。當原有伺服器故障、重新啟動或移轉工作時，新伺服器可從儲存空間還原資料並繼續執行。</p> <p>celld預設會等到資料完成持久化複寫至物件儲存後，才送出HTTP回應、對外送出的WebSocket訊息或廣播。官方說明，只要應用程式已向使用者確認寫入成功，即使執行中的伺服器隨後故障，已確認的資料仍可從物件儲存還原。不過，官方目前提出的依據仍是專案本身的設計與測試結果。</p> <p>celld目前仍處於Alpha早期測試階段，一個叢集只能執行一套應用程式，也未提供多租戶排程、使用者帳號服務或代管的公開網路入口。節點間請求具備HMAC驗證、內容簽章、請求時效檢查與防重播機制，但通訊不含TLS加密。官方提醒使用者應部署在可信任的私有網路，或搭配WireGuard、Tailscale等加密網路使用。存取S3相容物件儲存的憑證可控制整個叢集，須以系統管理員權限保護。</p> </div></div></div>
8/6 13:33作者李建興https://www.ithome.com.tw/news/177925
Google DeepMind執行長Hassabis轉任Alphabet首席科學家
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google暨Alphabet執行長<a href="https://blog.google/company-news/inside-google/message-ceo/next-chapter-ai-momentum/" target="_blank">Sundar Pichai周三（8/5）宣布</a>，Google DeepMind執行長Demis Hassabis將卸下日常營運職責，轉任Google DeepMind董事長及Alphabet首席科學家，專注於人工通用智慧（AGI）與科學研究的長期戰略。Google未任命新執行長，日常營運將由升任資深副總裁的Koray Kavukcuoglu接掌。</p> <p>這項調整也正值Google首席科學家Jeff Dean離職之際。Dean原本負責協助制定Google Research與Google DeepMind的AI研究方向，現已與3名Google資深技術人員<a href="https://www.ithome.com.tw/news/177911" target="_blank">成立AI新創Discovery Loop</a>。不過，Hassabis的新職稱是Alphabet首席科學家，涵蓋範圍比Dean原本的Google首席科學家更廣，Google也未稱他接替Dean。</p> <p>Hassabis表示，他一生都在朝AGI努力，如今感覺AGI已近在眼前，因此決定交出日常營運職責，騰出時間處理整體戰略。未來他將與Pichai合作處理全球AGI議題，繼續為Google DeepMind的模型與研究提供建議，並加強投入Alphabet旗下AI藥物研發公司Isomorphic Labs。</p> <p>Hassabis於2010年共同創立DeepMind，Google於2014年收購該公司；2023年，DeepMind與Google Brain合併為Google DeepMind，由Hassabis擔任執行長。他與研究人員John Jumper因開發蛋白質結構預測系統AlphaFold，<a href="https://www.ithome.com.tw/news/165422" target="_blank">於2024年共同獲得諾貝爾化學獎</a>。</p> <p>Kavukcuoglu目前是Google DeepMind技術長兼Google首席AI架構師，在DeepMind任職已有13年，曾成立深度學習團隊並參與WaveNet及深度Q網路（DQN）等研究。升任後，他將直接向Pichai報告，負責Gemini模型開發、前沿AI研究、Gemini應用程式及開發者團隊，包括正在開發的Gemini 4。</p> </div></div></div>
8/6 12:20作者陳曉莉https://www.ithome.com.tw/news/177919
iCloud私密轉送恐暴露DNS查詢路徑或真實IP，WebKit三功能可繞過代理設定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>隱私研究團隊Mysk<a href="https://mysk.blog/2026/08/04/webkit-proxy-icloud-private-relay-ip-leak/">揭露</a>，開源瀏覽器引擎WebKit的DNS預先解析、WebAuthn關聯來源請求及WebTransport功能，可能繞過瀏覽器設定的代理伺服器，直接從裝置發出網路請求。網站因此可能得知使用者採用的DNS服務，甚至取得真實IP位址。</p> <p>使用WebKit代理設定介面的iOS與macOS瀏覽器可能受影響，Apple的iCloud私密轉送也有相同問題，Mysk指出，DNS預先解析、WebAuthn關聯來源請求及WebTransport，分別自iOS 26.0、iOS 18.0及iOS 26.4開始支援。</p> <p>WebKit提供的代理設定介面，可讓瀏覽器將網頁流量先送往代理伺服器，再連至目標網站，使網站只能看到代理伺服器的IP位址。不過研究人員測試發現，這三項功能採用不同於一般網頁載入的連線方式，並沒有使用瀏覽器原本的代理設定。</p> <p>DNS預先解析是瀏覽器在網站實際連線至特定網域前，先解析網域名稱的加速機制。研究人員發現，WebKit執行這類查詢時，會使用裝置原本的DNS路徑，而非交由代理伺服器處理。網站可對每名訪客安排不同的網域名稱，再根據DNS查詢的實際來源，推知使用者採用的DNS服務。此問題主要暴露DNS查詢路徑，不一定會直接洩漏裝置IP位址。</p> <p>第二項問題與WebAuthn通行密鑰有關。當網站允許同一組通行密鑰跨多個關聯網域使用時，作業系統會向指定網域下載驗證檔案。研究人員發現，該連線由系統的憑證服務直接發出，不會經過瀏覽器代理，因此接收檔案請求的伺服器可能看見裝置真實IP位址。部分情況下，網站不必顯示登入畫面或要求使用者操作，就能觸發請求。</p> <p>WebTransport則是供網站建立低延遲連線的傳輸功能，可使用HTTP/3與QUIC技術交換資料。Mysk表示，WebKit建立這類連線時同樣沒有套用瀏覽器代理設定，遠端伺服器可直接取得使用者IP位址。</p> <p>Apple的iCloud私密轉送會透過兩段轉送機制處理Safari的瀏覽流量與DNS查詢，避免單一服務同時掌握使用者身分及造訪網站。研究人員認為，上述三項請求不經過一般網頁流量路徑，因此可能避開私密轉送。VPN是在作業系統層級處理整部裝置的網路流量，不受這三項代理繞過問題影響。</p> <p>研究人員也表示，已將問題通知Tor Project及iOS版Onion Browser開發者。</p> </div></div></div>
8/6 12:26作者李建興https://www.ithome.com.tw/news/177913
StatCounter統計顯示Linux北美桌機使用占比突破10%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>北美有愈來愈多PC執行Linux作業系統，市調公司<a href="https://gs.statcounter.com/os-market-share/desktop/north-america" target="_blank">StatCounter一項研究顯示</a>，Linux在桌機作業系統市場市占率突破10%。</p> <p>根據業者統計造訪全球網站的瀏覽器User-Agent統計存取裝置作業系統的數據，北美市場中，執行Linux作業系統的桌機比例在2026年7月來到10.61%，相較之下，Linux平臺長期市占約在5%以下。</p> <p>其他作業系統方面，蘋果的OS X和macOS平臺加總起來為30%，ChromeOS為2.06%。而Windows則從一年前的將近68%，掉到57.6%。</p> <p>這些數數據可能讓一些Linux鐵粉相當振奮，解讀為Windows市占下滑來自於Linux用戶數成長之故。</p> <p>不過根據<a href="https://www.windowslatest.com/2026/07/12/no-windows-did-not-fall-below-60-market-share-or-lose-15-points-to-linux/" target="_blank">Windows Latest</a>報導，StatCounter對媒體坦承是資料處理「出錯了」所致，該公司後續更新Windows市占數據為72%，媒體報導可能之後幾個星期會「校正回歸」到78%。</p> <p>至於市調公司的問題何在，Windows Latest分析市調公司的資料顯示，有個標示為「未知」（Unknown）的OS值突然大增為21.45%。此類別可能包括一開始無法統計或確認的裝置作業系統。媒體相信，這些資料可能可以解釋Windows突然跌破60%或甚至Linux成長。</p> <p>事實上，Windows即使有變化，也只出現在Windows 10和Windows 11的消長。<a href="https://www.windowslatest.com/2026/07/31/windows-10-users-were-right-microsoft-admits-its-end-of-support-was-the-real-windows-11-sales-driver/" target="_blank">報導引述</a>微軟財報電話會議上說明，受到零組件成本上漲，消費者購買退縮，新機成長力道疲弱，Windows OEM與裝置營收下降。Windows 11成長的確受惠於Windows 10停止支援。</p> <p>不過Linux的確使用族群更大。Steam Deck（SteamOS）帶動的Linux電競熱潮，以及越來越多開發者轉向原生Linux桌面（如Fedora/Ubuntu）。這也促使微軟從反對轉而支持，例如WSL（Windows Subsystem for Linux）的推出，讓用戶可以在Windows機器上透過安裝WSL來執行Linux。</p> </div></div></div>
8/6 13:17作者林妍溱https://www.ithome.com.tw/news/177924
JetBrains修補CI/CD平臺TeamCity重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>7月27日開發工具供應商JetBrains<strong><a href="https://blog.jetbrains.com/teamcity/2026/07/cve-2026-63077/">發布資安公告</a></strong>，他們在CI/CD平臺TeamCity發現重大等級的資安漏洞CVE-2026-63077，一旦遭到利用，攻擊者可在未經身分驗證的情況下，透過HTTP或HTTPS連線存取TeamCity伺服器，繞過身分驗證檢查並執行任意作業系統指令，影響所有本地建置（On-Premises）版TeamCity執行個體，雲端版TeamCity Cloud該公司已實作必要措施。JetBrains已為本地建置用戶發布2025.11.7與2026.1.3版進行修補，若無法及時升級，用戶也可以套用安全修補程式外掛，以便在不需重新啟動TeamCity伺服器的情況下修補。</p> <p>針對這個弱點造成的影響，JetBrains表示，只要能透過HTTP或HTTPS存取的TeamCity伺服器，都會曝險，該公司強調利用漏洞無需通過身分驗證，具體而言是透過TeamCity的代理程式輪詢（polling）協定觸發，使得攻擊者能透過TeamCity伺服器的處理程序權限執行作業系統命令，一旦成功利用，就有可能導致TeamCity存放的組態設定、憑證、伺服器更動的狀態等資料暴露，並危及下游CI/CD管線的完整性。JetBrains強調，此漏洞目前尚未出現遭積極利用的情形。</p> </div></div></div>
8/6 11:08作者周峻佑https://www.ithome.com.tw/news/177909
Google首席科學家Jeff Dean離職，攜手技術元老成立AI新創Discovery Loop
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google首席科學家<a href="https://x.com/jeffdean/status/2085034604172603724" target="_blank">Jeff Dean周三（8/5）宣布</a>，將離開任職27年的Google，與Sanjay Ghemawat、Oriol Vinyals及Quoc Le共同創立AI新創Discovery Loop。新公司採用公益公司（Public Benefit Corporation，PBC）架構，將利用AI自動進行科學與工程實驗。Google母公司Alphabet也是Discovery Loop的創始投資人，Google則將擔任雲端合作夥伴。</p> <p class="rtecenter"><a href="https://x.com/JeffDean/status/2085034604172603724" target="_blank"><img alt="" src="/sites/default/files/images/0806-discoveryloop.png" style="width: 600px;" /></a></p> <p>現年58歲的Dean擁有華盛頓大學電腦科學博士學位，1999年加入Google，是公司第30名員工。他於2011年共同成立Google Brain，2018年起領導Google的AI研究業務；Google Brain與DeepMind於2023年合併後，Dean轉任Google首席科學家，協助制定Google Research與Google DeepMind的AI研究方向，並參與Gemini模型開發。</p> <p>印度裔的Ghemawat年約60歲，於1999年底加入Google，與Dean長期合作，共同開發Google檔案系統、MapReduce及Bigtable等核心技術，協助Google早期搜尋服務擴充至全球規模，後來也參與Spanner分散式資料庫、TensorFlow及Protocol Buffers等系統，離職前為Google資深研究員。</p> <p>Quoc Le於2011年加入Google並參與創立Google Brain，離職前為Google DeepMind傑出科學家。他曾以1.6萬個處理器訓練神經網路，讓系統在未經人工標記的情況下，從YouTube影片自行學會辨識貓。2013年加入Google Brain的Vinyals則參與序列到序列學習（sequence-to-sequence，seq2seq）研究，也曾領導星海爭霸AI系統AlphaStar的開發。</p> <p>與市場上常見的聊天機器人不同，<a href="https://www.discoveryloop.com/" target="_blank">Discovery Loop</a>希望打造能夠自動解決機器學習、科學及工程問題的AI系統，將提出實驗、執行、分析結果及調整方法等反覆流程自動化，同時進行數千項實驗，以縮短研發時間。</p> <p>Discovery Loop初期將先把這套技術用於機器學習研究，讓AI協助設計、測試及改進新的AI模型；技術成熟後，再擴展至藥物、晶片、材料、太陽能、潔淨水及網路安全等領域。該公司採用PBC架構，既可像一般公司募資及營利，也必須兼顧加速科學發現等公共利益，而非只追求股東報酬；OpenAI與Anthropic也採用這類公司形式。</p> <p><a href="https://www.wired.com/story/jeff-dean-google-discovery-loop-startup/" target="_blank">根據Wired報導</a>，4人不僅長期合作，也是經常共同出遊的好友。他們雖在Google從事不同工作，卻都注意到AI已可能自動執行科學與工程的實驗循環，因而在數周前形成創業構想。Discovery Loop尚未公布募資金額及估值，Alphabet除參與投資外，也承諾在第一年提供公司所需的運算資源。</p> </div></div></div>
8/6 11:22作者陳曉莉https://www.ithome.com.tw/news/177911
Cloudflare開源企業AI代理人工作平臺Cloudflare OS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://blog.cloudflare.com/cloudflare-os/" target="_blank">Cloudflare本週公布</a>並開源企業AI代理人工作平臺Cloudflare OS，讓非技術背景的員工也能開發與部署代理人，加速完成簡報、研究或報表等商務工作。</p> <p>Cloudflare OS是以該公司內部執行的第一個版本為基礎改進後開源。今年5月Cloudflare讓各種職能的數千名員工使用第一版，工作包含製作文件、投影片、自動化高重複性任務、以及開發資料視覺化等小程式。Cloudflare團隊依此改進了某些問題，像是當員工分享其工作空間、App或生成產出結果時，必須確定這些產出及工作空間不得向無權限者曝露資料源。重新打造的Cloudflare OS加入新的基礎層以強化安全性。</p> <p>Cloudflare OS包含三個部分。在代理人工作空間（Agent Workspace）中，Cloudflare OS提供開發工具，允許企業在獨立且隔離的運行runtime撰寫和執行代理人，並整合公司安排的技能及上下文脈絡（例如資安政策）、連結允許的工具。其次，Cloudflare提供個人化工具，允許用戶自建和共享小程式，並且記錄變更。最後，這個平臺整合新打造的安全和治理框架，包含名為Gatekeepers的安全層與權限控管機制，確保安全存取內部資料和服務。</p> <p>如同OpenAI和Anthropic的生產力方案，Cloudflare OS可整合企業資源，讓非技術背景的用戶也能透過自然語言提問和進行研究、建立文件、投影片和試算表，產出的文件可以匯出到Google Drive；Cloudflare OS透過MCP Server Portals支援現有MCP Server，允許企業打造協作應用程式以及執行工作流程，所有操作都能直接透過瀏覽器操作。</p> <p><a href="https://os.cloudflare.app/" target="_blank">Cloudflare OS已經開源</a>，企業可將其部署至自有Cloudflare帳號，並套用自有存取政策、AI Gateway設定、資料和整合。</p> </div></div></div>
8/6 11:32作者林妍溱https://www.ithome.com.tw/news/177912
Google Cloud金鑰管理服務正式支援NIST後量子密碼標準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>雲端服務業者Google Cloud宣布，<a href="https://cloud.google.com/blog/products/identity-security/future-proofing-data-integrity-quantum-safe-digital-signatures-in-cloud-kms" target="_blank">旗下金鑰管理服務Cloud Key Management Service（Cloud KMS）正式支援模組格基式金鑰封裝機制（ML-KEM），以及量子安全數位簽章</a>，企業可直接透過Cloud KMS使用美國國家標準暨技術研究院（NIST）制定的抗量子密碼演算法，推動後量子密碼學（PQC）轉型。</p> <p>ML-KEM主要用於建立加密通訊所需的金鑰，搭配ML-DSA系列數位簽章演算法，可涵蓋加密通訊與身分驗證兩項核心應用。Google Cloud KMS支援的後量子數位簽章演算法，包含SLH-DSA-SHA2-128s、ML-DSA-44、ML-DSA-65及ML-DSA-87等，分別對應NIST安全類別第1、2、3及5級。</p> <p>為降低大型資料簽署作業的傳輸及運算負擔，Cloud KMS也支援預先雜湊（pre-hash）及external-µ演算法變體。應用程式可先在本地端對資料進行雜湊運算，再將摘要傳送至Cloud KMS進行簽署，無須傳送完整資料；external-µ則會將公開金鑰與訊息代表值綁定，並維持與標準ML-DSA驗證機制相容。</p> <p><a href="https://cloud.google.com/blog/products/identity-security/cloud-ciso-perspectives-prepare-early-for-PQC-resilient-cryptographic-threats/" target="_blank">Google Cloud將PQC轉型比喻為21世紀的Y2K問題</a>，指出這項工程不只是更換密碼演算法，企業還須確認既有資料庫、應用程式及相關基礎設施能否支援新的金鑰與簽章格式。由於整體遷移可能耗時多年，企業應及早盤點需要升級至PQC的系統。</p> </div></div></div>
8/6 11:52作者王珮瑤https://www.ithome.com.tw/news/177914
AI不是資安的未來，是資安的進行式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國AI模型業者Anthropic先前推出新版的AI模型Fable 5，因能力被形容超越該公司過往公開推出的任何模型，尤其擅長辨識軟體漏洞，一度引發外界高度關注；美國政府甚至宣稱，在該模型中找到可繞過安全限制的漏洞；並以國家安全為由，禁止任何非美國國民使用這個模型，範圍甚至涵蓋 Anthropic本身的非美籍員工。對此，戴夫寇爾（DEVCORE）執行長翁浩在一場媒體記者會中坦言，「AI發展迄今，早已不是資安的未來，而是資安的現在進行式。」</p> <p>翁浩正以一則親身經歷的小故事作為回應。他有一位在國外擔任資安主管的朋友，因整個公司上下，包含老闆與董事會，對這類新一代模型的能力感到高度恐慌，甚至提議成立專責小組，要求在數小時內針對模型可能自動挖掘出的漏洞做出回應。</p> <p>翁浩正認為，這種恐慌多半源自於「未知」，因為多數企業其實並未真正使用過這些模型，恐懼往往來自二手的報告與傳言，而非第一手的理解。</p> <p>他直言，AI 不是神，沒辦法把「沒有漏洞」變成「有漏洞」，企業真正該做的，是先把核心資安策略穩固好，並建立起漏洞出現後的優先排序機制，而不是急著另闢一支專門應付 AI 的作戰小組。</p> <h1><span style="color:#B22222;">資安檢測專案因Vibe Coding亂象，頻繁出現資安風險</span></h1> <p>因為Vibe Coding的盛行，翁浩正表示，這也成為他們近期資安檢測專案中，頻繁出現的亂象之一。</p> <p>他進一步解釋，Vibe Coding高度依賴 AI 自動生成程式碼、開發者僅憑感覺確認「看起來沒問題」便直接部署上線的開發模式。翁浩正指出，使用 AI 開發程式確實能大幅加快速度，但是否真的能夠兼顧安全性則是一大問號，即便企業進一步透過 AI 做黑箱、白箱檢測，也不代表就能高枕無憂。</p> <p>他以親身接觸的案例說明Vibe Coding帶來的亂象，例如：有企業因為 AI 開發速度飛快，索性請同仁直接用 AI 打造專案管理系統，三天到一週就能完成、且完全符合需求。</p> <p>但當他追問：「未來由誰維護這套AI開發的專案系統？」，得到的答案往往是「員工會維護」。但實際上，所謂的維護多半是：AI 判斷先前的寫法不夠好，又重新用AI寫一次。「這樣的專案開發循環，讓開發成本不減反增，卻鮮少被意識到。」他說。</p> <p>翁浩正表示，他們的團隊也觀察到，這類Vibe Coding資安檢測專案普遍存在安全觀念不足、不安全的程式碼、缺乏驗證與測試、過度信任與部署、以及敏感資訊洩漏等資安風險。</p> <h1><span style="color:#B22222;">AI從攻擊傳統系統，到 AI 系統本身成為攻擊目標</span></h1> <p>翁浩正將 AI 對資安產業的衝擊，拆解為兩個層次。第一層，是駭客利用 AI 反過來攻擊傳統資訊系統，像是自動化漏洞挖掘則讓原本需要數週苦工分析的流程，壓縮至數天內完成；高度客製化的社交工程郵件，能夠抓取公開資訊生成幾可亂真的攻擊信件；多型態惡意程式每次執行特徵略有不同，得以逃脫傳統防毒軟體的特徵碼偵測；甚至聲音與臉孔都能被即時偽裝，讓社交工程攻擊鏈全面自動化。</p> <p>他也分享自己曾收到一封「精準到可疑」的業務開發信，對方顯然掌握了該公司近期發布的新聞稿內容，且在他回信婉拒後三十秒內立即回覆——讓他確認對方其實是全自動化運作的 AI。</p> <p>第二層威脅，則是 AI 系統本身淪為攻擊目標，像是提示詞注入攻擊（Prompt Injection ）就是藉由操控輸入提示詞，以誘導 AI 執行未經授權的動作或洩露資訊；其他像是Agent記憶污染影響 AI 代理人後續決策的判斷依據；訓練資料污染可能在模型訓練前就被植入後門，影響模型的行為模式；而 LLM 越獄則是繞過企業建立的 AI 安全控制，藉此提取敏感指引或資料。</p> <p>翁浩正特別提醒，企業自建的本地 AI 模型同樣存在風險，例如：訓練資料是否乾淨、是否涉及主權爭議，都是難以掌握的黑盒子，這也是為什麼包括戴夫寇爾在內的多數企業，目前都選擇禁用特定國家開發的模型。</p> <h1><span style="color:#B22222;">從紅隊演練的行動中，發現的未加密聊天紀錄</span></h1> <p>戴夫寇爾團隊在一次紅隊演練專案中，透過K8s管理介面一路取得Chatbot主機的存取權限，意外在主機中找到名為「chat_history」的資料夾，裡面存放每位員工與內部AI聊天機器人的完整對話紀錄，且全數未經加密。</p> <p>翁浩正形容，這樣的發現如果放到一般人熟悉的情境會更有感：想像自己平時使用的AI聊天工具，如果所有對話紀錄都能被外人完整讀取，將會是一場災難。</p> <p>他透露，團隊在紀錄中確實看到員工詢問其他同事薪資、要求協助產生更安全密碼，甚至直接貼上程式碼請AI協助除錯等高度敏感的對話內容。</p> <p>翁浩正指出，許多企業導入的Chatbot方案，為了實作搜尋功能，往往在架構設計上就犧牲了加密這一環，這是企業導入AI應用系統時，最容易被忽略、卻可能造成重大災難的風險缺口。</p> <h1><span style="color:#B22222;">從Pwn2Own賽事軌跡，看AI在資安攻防的份量</span></h1> <p>翁浩正也以公司同仁長年參與的國際指標賽事Pwn2Own為例，說明AI在資安攻防中的角色演變速度。</p> <p>他回顧，2024年的賽事攻擊項目僅涵蓋AI攝影機、NAS、智慧音箱等「AI 裝置」；到了2025年，賽事設立AI專屬類別，目標擴大涵蓋機器學習系統，包括 Chroma、Nvidia Triton Inference Server等框架皆被納入攻擊範疇。</p> <p>今年，AI已正式成為競賽核心，擴展為四大分類，AI資料庫、程式碼協作代理人（Coding Agents）、OpenAI Codex、LM Studio等均遭到成功攻破。這樣的演進軌跡，某種程度反映了整個資安產業對「下一年攻擊者會瞄準什麼」的集體共識。</p> <p>在今年五月落幕的「Pwn2Own Berlin」賽事中，戴夫寇爾（DEVCORE）研究團隊由首席資安研究員蔡政達（Orange Tsai）領軍，以總積分50.5分，比第二名高出兩倍之多的成績，第二度奪下「Master of Pwn」全球冠軍頭銜，並抱回逾五十萬美元獎金。</p> <p>團隊在賽事中接連攻破微軟旗下Edge、Exchange、Windows 11與SharePoint四項主力產品，不僅是瀏覽器類別唯一成功攻破目標的隊伍，也是自2021年以來，唯一兩度成功挖掘Exchange伺服器嚴重漏洞的團隊。</p> <p>值得注意的是，拿下單項最高獎金的Exchange漏洞，是團隊基於長期研究洞察並搭配AI輔助，短短一週內成功挖掘出的遠端程式碼執行（RCE）漏洞。</p> <p>而拿下17.5高分的 Edge瀏覽器漏洞，則完全仰賴人工研究，在不借助AI的情況下，靠人力串連四個邏輯錯誤達成沙箱逃逸，這項漏洞更被主辦方ZDI形容為前所未見的攻擊型態，促使微軟在揭露後二十四小時內完成修補。</p> <p>翁浩正認為，這樣的成績正好回應了外界最常拋出的疑問：「AI會不會取代資安研究員？」他的答案是「不會」。</p> <p>他解釋，即便是已經透過企業自有團隊、外部資安公司反覆檢測，甚至用AI完成黑箱、白箱測試的成熟專案，該公司團隊依舊能在短時間內找到最嚴重的高風險漏洞，並成功進入客戶主機。這並不代表AI沒有用，而是說明：AI目前的邏輯判斷能力仍有明顯侷限，還無法取代資深資安專家的價值。</p> <p>至於Pwn2Own二度封王的意義，翁浩正認為，優秀的白帽駭客總能創造出全新的獨創思路，令眾人驚豔，而這正是AI目前高度依賴既有知識、卻仍難以企及的創造力領域。AI是很先進的輔助工具，能讓真正的人類專家，更快達到研究的本質目的，但它終究應該是資安研究員的助力，而不是阻力，更不會是主力。</p> <h1><span style="color:#B22222;">AI 能力的邊界，懂程式碼但未必懂程式邏輯</span></h1> <p>翁浩正指出，目前AI能力不足之處，主要在於：AI 對於「使用情境」的理解能力仍然不佳，面對大範圍的白箱檢測，當程式碼與上下文資訊量過大時，AI 難以真正深入理解程式邏輯，也難以判斷參數的合理性，因此經常出現誤報與漏報。</p> <p>更值得留意的是，程式碼中的註解反而可能干擾AI的邏輯判斷，例如：如果程式碼中寫著「這裡是Feature，不是 Bug」，即便實際上確實存在漏洞，AI也很有可能因為參考這段誤導性註解，而將明顯的異常行為誤判為刻意設計、進而略過不報。</p> <p>至於邏輯漏洞的判讀，翁浩正認為AI可以協助追蹤與提出疑點，但邏輯意圖、攻擊可行性及最終風險，仍高度仰賴人類專家確認。他將這個落差總結為一句話：「AI能理解程式碼，但未必理解系統為什麼要這樣運作。」</p> <h1><span style="color:#B22222;">AI接手重複工作，資安專家專注高價值攻防</span></h1> <p>展望紅隊演練（Red Team Exercise）的未來發展，翁浩正認為，AI與資安專家的角色將愈來愈明確分工。</p> <p>其中，AI主要負責大量且重複性的工作，包括自動化大規模偵察、動態產生與變換Payload（攻擊酬載）、模擬攻擊路徑、預測風險、快速比對已知漏洞模式，以及初步整理、分類與排序演練報告。</p> <p>相較之下，資安專家則會將重心放在更需要經驗與判斷的工作，例如設計攻擊策略、決定攻擊優先順序、分析業務邏輯漏洞、研究零時差（Zero-Day）漏洞與開發創新的攻擊手法、確認進階持續性威脅（Advanced Persistent Threat，APT）的真實攻擊行為，以及完成最終報告與修補建議。</p> <p>翁浩正也將紅隊演練的發展分為三個階段。在過去的傳統模式下，企業通常一年僅進行一至兩次滲透測試（Penetration Test）及一次紅隊演練，演練範圍固定、攻擊目標容易預測，且高度依賴人工作業，難以大規模推展。</p> <p>到了現階段，AI已開始協助自動化偵察、Payload生成，以及白箱源碼檢測，人機協作也讓演練更貼近真實攻擊情境；同時，隨著企業大量導入AI應用，如何驗證AI系統本身的安全性，也逐漸成為紅隊演練的重要項目。</p> <p>展望下一階段，翁浩正預期，攻擊預判、威脅情報（Threat Intelligence）與AI將形成三位一體的協作模式，推動資安從被動應變，進一步走向持續性韌性強化與預防性防禦，最終目標是在攻擊者發動攻擊之前，就能提前發現風險並採取行動。</p> <h1><span style="color:#B22222;">企業使用AI檢測時，應該更謹慎</span></h1> <p>儘管AI帶來效率提升，翁浩正仍多次提醒，企業使用AI進行資安檢測時應更加謹慎。他指出，AI的輸出具有非確定性，可能出現推理錯誤、情境誤判與漏報，這樣的不確定性對企業而言往往難以承受；而紅隊行動的容錯空間又極低，AI一次錯誤判斷，就可能破壞目標系統、觸發防禦機制，甚至讓整場演練行動意外曝光。</p> <p>此外，AI平臺本身及其背後的模型、套件、外掛與資料來源，也正在形成一種全新的供應鏈風險，而這類風險目前多數企業尚未完整盤點，若缺乏高強度檢測，也可能潛藏漏洞外洩的隱憂。</p> <p>翁浩正也再度重申說明：「未經企業授權，絕不應將原始碼、憑證或未公開的漏洞情資傳送至外部 AI 服務，這是資安公司在導入 AI 工具時必須嚴守的紅線。」</p> <h1><span style="color:#B22222;">把 Pwn2Own 等級的研究能量注入企業</span></h1> <p>因應這些變化，戴夫寇爾已於今年六月，正式對外宣布推出全新服務「主動式產品安全研究」（Offensive Product Security Research，簡稱 OPSR），並將其定位為企業專屬的「閉門版 Pwn2Own」。</p> <p>這項服務強調研究級深度與私有化成果，由具備Pwn2Own等級能量的研究員操刀，成果全程保密、優先提供企業修補；服務內容涵蓋完全客製化的威脅情境設計，並從硬體、韌體到軟體進行全方位安全評估，包括第三方軟體風險評估、閉源軟體韌體逆向工程與硬體攻擊檢測，具體項目則包括物聯網（IoT）產品資安檢測、加密儲存裝置資安分析、軟硬體安全檢測與原始碼安全檢測。</p> <p>戴夫寇爾（DEVCORE）共同創辦人暨資深副總徐念恩表示，AI雖然能大幅提升漏洞研究與資訊分析效率，但面對商業邏輯缺陷、或需要創造全新攻擊思路的情境，研究員的經驗與攻擊思維，仍是無法取代的核心價值。</p> <p>他認為，未來資安攻防將更強調人機協作，由工具負責規模化與快速驗證工作；研究員則專注於攻擊策略設計與高價值漏洞研究。相較於Pwn2Own由主辦方指定目標、研究成果最終公開揭露的模式，OPSR鎖定客戶指定的任意系統資產，提供保密報告並直接通知客戶，服務型態也從年度競賽轉為持續性、週期性的合作關係，讓漏洞發現、修補建議與修補後驗證形成完整閉環。</p> <h1><span style="color:#B22222;">AI重塑資安產業，也重塑資安人的價值</span></h1> <p>翁浩正強調，AI是攻擊與防守兩端都能運用的武器，它不會專屬攻擊、也不會專屬防禦，而是全面性地強化任何資訊的使用效率，其影響力堪比工業革命之於製造業。</p> <p>攻擊者將持續運用AI加速漏洞挖掘與攻擊行為，防禦方也必須同步以AI輔助紅隊與藍隊的工作，才能讓資源用在真正的核心戰場上。他建議企業不必過度恐慌，但確實需要更加謹慎，像是做好包括：核心系統盤點、優先強化最關鍵資產的韌性，而非急於成立專責小組應對每一則聳動的AI新聞。</p> <p>至於資安產業本身，翁浩正認為，傳統資安公司過去仰賴大量初階人力，執行基礎掃描與例行檢測的模式，勢必面臨轉型壓力，苦工型工作將逐漸交由AI承擔，而人類的價值則應更聚焦於邏輯推理、業務脈絡判讀與創意攻擊路徑等更深層的問題。他說：「這樣才能真正做到：AI重塑資安產業，也重塑資安人的價值。」</p> </div></div></div>
8/6 11:58作者黃彥棻https://www.ithome.com.tw/news/177915
美國警告TeamCity重大漏洞遭積極利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在<strong><a href="https://www.ithome.com.tw/news/177908">證實IBM Langflow、N-central、Apache Tomcat資安漏洞遭到積極利用</a></strong>後，8月5日美國網路安全與基礎設施安全局（CISA）再度提出警告，有另一個公布不久的資安漏洞也出現遭到積極利用的現象，聯邦機構必須限期採取行動因應。</p> <p>這個漏洞是<strong><a href="https://www.ithome.com.tw/news/177909">CVE-2026-63077</a></strong>，存在於CI/CD平臺TeamCity，為不受信任資料反序列化形成的弱點，<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-63077">CVSS風險評為9.8分</a></strong>（滿分10分），為重大等級，JetBrains於一週前發布更新修補。CISA將其列入已遭利用的漏洞名單（KEV），並給予聯邦機構3天的時間進行修補，<strong><a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-63077">期限是8月8日</a></strong>。</p> </div></div></div>
8/6 12:11作者周峻佑https://www.ithome.com.tw/news/177916
A10併購TrojAI，布局AI紅隊測試與執行階段防護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>應用交付與網路安全業者<a href="https://www.a10networks.com/news/press-releases/a10-networks-acquires-trojai-inc-expanding-ai-roadmap/" target="_blank">A10 Networks今年6月完成併購AI安全業者TrojAI</a>，藉此補強AI系統上線前的紅隊測試，以及正式運作後的執行階段防護能力。相關技術已納入<a href="https://www.a10networks.com/products/trojai-by-a10/" target="_blank">TrojAI by A10 Networks</a>產品線，用於保護企業環境中的AI模型、AI應用程式與AI代理，以及採用模型上下文協定（MCP）的工作流程。</p> <p>TrojAI by A10 Networks目前由3項產品組成。TrojAI Detect透過AI代理持續執行紅隊測試，模擬單輪與多輪互動（single-turn, multi-turn），以及代理型攻擊情境，協助企業找出提示詞注入、越獄攻擊及資料外洩等風險。<a href="https://www.a10networks.com/blog/a10-acquires-trojai-ai-security/" target="_blank">A10表示</a>，紅隊測試結果能以近乎即時的速度，回饋至該公司的AI護欄模型，並用於更新模型與改善AI護欄的智慧，提升執行階段的防護能力。</p> <p>TrojAI Defend會檢查傳送至AI應用程式與AI代理的提示詞，以及AI系統產生的回應，藉此阻擋提示詞注入、越獄攻擊及有害內容，並防止資料外洩。</p> <p>針對MCP環境，TrojAI Defend for MCP可盤點MCP伺服器、工具及AI代理，監控AI代理、AI模型與MCP伺服器之間的通訊，偵測未經授權或設定不當的MCP伺服器與工具，並即時阻擋惡意或可疑的MCP流量。</p> <p>A10後續將把TrojAI的技術整合至既有資安產品組合，並搭配硬體式AI防火牆。整合後的AI安全方案可部署於企業內部、雲端及混合雲環境。</p> </div></div></div>
8/6 12:13作者王珮瑤https://www.ithome.com.tw/news/177917
Red Hat攜手微軟、Nvidia成立asago開源專案，協助AI治理政策落實至正式環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>IBM旗下企業開源軟體業者<a href="https://www.redhat.com/en/about/press-releases/red-hat-launches-asago-community-automate-ai-safety-and-governance-policy-production" target="_blank">Red Hat（紅帽）宣布成立AI安全與治理協調（AI Safety And Governance Orchestration）開源社群專案asago</a>，協助企業將AI治理政策落實到正式環境。</p> <p>依Red Hat公布的規畫，企業匯入AI治理政策後，asago將運用IBM Research建立的AI風險知識庫IBM AI Risk Atlas，將政策要求對應至既有AI風險框架、標準與法規，作為後續產生安全測試與防護措施的依據。</p> <p>確認需要處理的風險後，asago將依照AI系統的實際用途產生並執行安全測試，檢查系統是否出現有害行為，再根據測試結果建議安全護欄或其他防護措施。asago最後會把選定的措施轉換成可供Kubernetes、Terraform及Ansible使用的部署設定，支援企業內部、多雲及混合雲環境。</p> <p>上述流程也會持續保留稽核紀錄，讓企業與稽核人員查明每項防護措施所對應的政策要求、風險項目、測試結果及採用理由。Red Hat指出，asago延續該公司與Nvidia身為<a href="https://www.ithome.com.tw/news/177677" target="_blank">開放安全AI聯盟</a>（Open Secure AI Alliance）成員所推動的相關工作，並將整合既有開源工具，不另行開發已有的AI安全功能。</p> <p><a href="https://github.com/asago-ai" target="_blank">asago目前仍處於專案成立階段</a>，完整自動化流程仍待後續開發。參與單位包括微軟、Nvidia、麻省理工學院林肯實驗室（MIT Lincoln Laboratory）及艾倫圖靈研究院（The Alan Turing Institute）等企業與研究機構。專案採用Apache License 2.0授權。</p> </div></div></div>
8/6 10:42作者王珮瑤https://www.ithome.com.tw/news/177906
應用程式安全業者Aikido併購Root，強化開源軟體與容器漏洞修復能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>應用程式安全業者<a href="https://www.aikido.dev/blog/aikido-acquires-root" target="_blank">Aikido於6月30日宣布併購</a>開源軟體及容器漏洞修復業者Root，並將其技術整合至自家安全平臺。雙方自2025年起便已展開產品合作，此次交易則進一步納入Root的技術與團隊。</p> <p>Aikido指出，開源軟體已廣泛用於各類應用程式，但企業發現套件漏洞後，通常只能升級至新版本、改用受特定廠商限制的替代方案，或持續使用存在漏洞的軟體。版本升級不僅可能造成相依套件衝突，也可能導入其他變更或新的漏洞，甚至影響正式環境。</p> <p>因應上述需求，Root的技術特色在於可利用AI代理，針對企業目前使用的軟體版本產生修補程式，將特定漏洞的修補內容向後移植（backport），再經建置及測試後，提供可直接取代原有版本的函式庫與容器映像檔。Aikido並推出Aikido Libraries與Aikido Images兩項產品，前者提供已修補漏洞的替代函式庫，後者則提供經安全強化的容器映像檔。</p> <p>Aikido宣稱，Root的AI代理系統每天可產生數百項經過驗證的漏洞修補程式，讓企業不必全面升級或遷移既有環境。針對已確認遭利用的重大開源軟體漏洞，該公司也會將相關修補程式提交給上游開源專案，使修補成果能提供更多非Aikido的客戶使用。</p> <p><a href="https://www.aikido.dev/blog/aikido-funding-series-b" target="_blank">Aikido今年1月完成</a>6,000萬美元B輪募資後，公司估值達10億美元。<a href="https://siliconangle.com/2026/06/30/aikido-acquires-root-patch-open-source-without-forced-upgrades/" target="_blank">SiliconANGLE指出</a>，Aikido於2025年已先後併購AI程式碼審查新創Trag，以及自主滲透測試業者Allseek與Haicker。連同此次併購Root，該公司持續透過併購，擴充應用程式安全平臺，以涵蓋漏洞偵測、驗證到修復的技術能力。</p> </div></div></div>
8/6 10:53作者王珮瑤https://www.ithome.com.tw/news/177907
CISA警告IBM Langflow、N-central、Apache Tomcat漏洞遭到利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國網路安全與基礎設施安全局（CISA）<strong><a href="https://www.cisa.gov/news-events/alerts/2026/08/04/cisa-adds-three-known-exploited-vulnerabilities-catalog">於8月4日發布警告</a></strong>，表示他們已掌握有3個資安漏洞遭積極利用的證據，將其列入已遭利用漏洞名單（KEV），其中最受到關注的部分，是N-able<strong><a href="https://www.ithome.com.tw/news/177854">幾天前緊急修補</a></strong>的遠端監控與管理（RMM）平臺N-central高風險漏洞CVE-2026-18577，不過，另外兩個資安漏洞也相當值得留意，因為它們都是重大等級的弱點，非常危險。</p> <p>這些漏洞是CVE-2026-34486與CVE-2026-9198，兩者的CVSS風險評分皆達到9.8，分別存在於網頁應用程式伺服器Apache Tomcat與IBM維護的Langflow開源版本（OSS），CISA要求聯邦機構皆必須在8月7日前完成修補。其中CVE-2026-34486是Apache基金會<strong><a href="https://www.ithome.com.tw/news/175079">在今年4月修補</a></strong>的弱點，起因是敏感資料缺乏加密保護，當時紅帽評估其危險程度為7.5分，<strong><a href="https://nvd.nist.gov/vuln/detail/cve-2026-34486">後來CISA-ADP將其評分上修為9.8</a></strong>。</p> <p>另一個漏洞CVE-2026-9198為程式碼注入弱點，未經身分驗證的攻擊者可在預設組態的IBM Langflow OSS上，遠端執行任意程式碼（RCE），該公司發布1.10.1版修補。</p> </div></div></div>
8/6 10:59作者周峻佑https://www.ithome.com.tw/news/177908
Anthropic成立自研晶片團隊，為Claude設計AI晶片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>AI新創Anthropic周三（8/5）向<a href="https://www.businessinsider.com/anthropic-in-house-silicon-chip-team-claude-2026-8" target="_blank">Business Insider</a>及<a href="https://www.reuters.com/business/anthropic-build-in-house-chip-design-team-claude-hire-engineers-2026-08-05/" target="_blank">路透社</a>證實，正在成立內部客製化晶片團隊，將為Claude設計AI晶片，這也是該公司首度公開確認自研晶片計畫。</p> <p>Anthropic成立於2021年，由多名前OpenAI成員創辦，旗下Claude是OpenAI ChatGPT與Google Gemini的主要競爭對手。隨著模型訓練及推論需求快速增加，Anthropic目前採取多晶片策略，同時使用AWS Trainium、Google TPU、Nvidia GPU及AMD晶片。該公司強調，成立自研晶片團隊並不代表放棄現有供應商，這些外部晶片仍將是其擴充AI運算能力的核心。</p> <p><a href="https://job-boards.greenhouse.io/anthropic/jobs/5286348008" target="_blank">Anthropic官網</a>的晶片工程師職缺顯示，新團隊將由少數成員負責廣泛業務，涵蓋晶片前端與實體設計、製造前驗證、晶圓代工、封裝及測試等領域。工程師將參與晶片策略、規格與架構設計，並決定哪些技術與矽智財（IP）自行開發、外購或授權，以及哪些部分由Anthropic主導或交由外部夥伴執行。</p> <p>新團隊也將與Anthropic的推論、效能、核心運算程式及基礎設施團隊合作，共同設計軟硬體，並參與首版晶片的啟動與除錯。Anthropic要求應徵者曾直接參與完成流片及正式出貨的晶片，且具有和ASIC業者、矽智財供應商、晶圓代工廠或測試業者合作的經驗，年薪介於32萬至48.5萬美元。</p> <p>隨著AI運算需求及成本快速攀升，科技與AI業者紛紛投入客製化晶片。Google已開發多代TPU，Amazon有Trainium與Inferentia系列，微軟則推出Maia AI加速器，Meta也在開發自有MTIA晶片。OpenAI今年6月已發表與博通共同開發的首款AI推論晶片Jalapeño，法國Mistral則正在評估自行設計晶片。Anthropic目前尚未公布晶片規格、完成時間或製造夥伴，也未說明是否自行生產。</p> </div></div></div>
8/6 09:27作者陳曉莉https://www.ithome.com.tw/news/177902
開放安全AI聯盟提出AI事件共享指引SAFE草案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>由Nvidia領軍的開放安全AI聯盟（Open Secure AI Alliance）<a href="https://blogs.nvidia.com/blog/open-secure-ai-alliance-contributions/" target="_blank">於8月4日Black Hat USA大會開幕之際宣布</a>，已提出共享AI發現交換（Shared AI Findings Exchange，SAFE）草案，希望建立AI代理系統資安事件與調查發現的共同共享機制。</p> <p>SAFE草案昨日也由開放安全AI聯盟成員之一的Linux基金會公布<a href="https://github.com/OpenSecureAIAlliance/RFCs" target="_blank">意見請求書（Request for Comments）</a>，旨在促成企業組織如何共同合作提升AI安全性的討論。RFC是以Creative Commons Attribution 4.0（CC-BY-4.0）授權開放，也開放社群檢視、討論和貢獻。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0806-linux-safe.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源/Linux基金會</span></span></p> <p>本指引草案是由聯盟工作小組主要成員包括Nvidia、思科、CrowdStrike、Hugging Face和Red Hat等貢獻。SAFE指引包含關於確實蒐集和分析AI事件與差點發生的事件、通知受影響對象、辨識重複出現的控制失敗原因的相關方法，並且公布有證據支持的作業建議，以降低未來的系統性風險。</p> <p>開放安全AI聯盟由Nvidia、Hugging Face、微軟等大廠及Linux基金會於上個月<a href="https://www.ithome.com.tw/news/177677" target="_blank">宣布成立</a>。聯盟新聞稿指出，AI代理人不只是一個模型，而是一個系統，確保代理人系統不能只有漏洞掃描，還必須做到身分控制、執行框架、護欄、日誌和評估。該聯盟將打造AI安全的完整堆疊，包括身分、權限、模型、執行框架（Harness）到評估工具。目前成員已超過120家企業及組織。</p> <p>SAFE框架是繼聯盟成員現有貢獻後的最新進展。聯盟成員中，Nvidia已貢獻了Nvidia Labs Object-Oriented Agent（NOOA）研究框架、OpenShell執行環境、開放模型家族，包括代理人用的Nvidia Nemotron、實體AI用的Cosmos、機器人用的Nvidia Isaac GR00T、醫療生技用的BioNeMo、以及自駕車用的Alpamayo等包括模型、權重、資料集和訓練方法。此外也開源了驗證過的代理人技能及其指令集、NeMo Guardrails、NeMo Anonymizer和NeMo Safe Synthesizer與LLM漏洞掃描工具Garak。</p> <p>其他成員包括Okta、Palo Alto Networks、Red Hat、Amazon、Wiz及微軟，也分別貢獻身分管理、代理執行框架、授權控制及漏洞研究工具。</p> </div></div></div>
8/6 09:51作者林妍溱https://www.ithome.com.tw/news/177903
金屬機構件廠州巧及3家子公司遭駭，部分資訊系統停擺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>8月5日下午上市公司金屬機構件廠州巧（3543）<strong><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=165133&SPOKE_DATE=20260805&COMPANY_ID=3543">於股市公開資訊觀測站發布重大訊息</a></strong>．該公司與旗下子公司蘇州州巧、廈門州巧，以及越南州巧，部分資訊系統遭駭客入侵，導致相關系統無法使用。州巧已啟動資安應變機制，並與外部資安專家合作處理事件，根據初步評估，對整體營運並無重大影響。</p> <p>針對本起事故處理的情況，州巧表示正對相關系統進行全面性資安掃描與檢測，待確認資訊安全無虞，就會利用日常備份資料陸續恢復系統運作。</p> </div></div></div>
8/6 10:10作者周峻佑https://www.ithome.com.tw/news/177904
Nvidia自駕模型家族Alpamayo全面開放商用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Nvidia正式<strong><a href="http://blogs.nvidia.com/blog/alpamayo-2-super-open-model-now-available/">開放Alpamayo 2 Super自駕模型商用</a></strong>，並將OpenMDW-1.1授權擴大至整個Alpamayo模型家族。自駕車開發商、車廠及零組件供應商可使用自有資料調整模型、建立衍生版本，並將修改後的模型用於商業產品。</p> <p>OpenMDW最初由Linux Foundation與旗下PyTorch Foundation於2025年推出，OpenMDW-1.1則由Linux Foundation於2026年5月發布，是專為機器學習模型及相關材料設計的寬鬆型開源授權。授權範圍可涵蓋模型架構、參數、資料集、文件及相關程式碼，但只適用於發布者實際以OpenMDW-1.1釋出的內容，不要求必須公開模型的所有組成。</p> <p>Alpamayo模型使用者可免費使用、修改、微調及重新散布這些材料，也可用於商業用途，不必另外向Nvidia申請許可。重新發布原始或修改後的模型材料時，則須附上授權文件，並保留適用的原始著作權與來源聲明。</p> <p>Alpamayo 2 Super以Nvidia Cosmos 3 Super推理模型為基礎，再以強化學習進行後訓練。模型可同時分析車輛前方、兩側及後方的攝影機畫面，用來理解變換車道、匯入車流、沒有專用號誌保護的轉彎、複雜路口及多個道路使用者互動等較複雜的駕駛情境。</p> <p>面對一段行車影像，模型除了規畫車輛接下來的行駛路線，也能說明判斷原因，並輸出讓行、停車或變換車道等駕駛意圖。模型也能把視覺問答結果連結至影像中的特定區域，協助開發人員檢查模型看到了什麼，再比對這些資訊如何對應到推理結果與駕駛動作。</p> <p>Alpamayo 2 Super模型也可用來自動整理行車影像，為資料補上場景說明、判斷理由及影像位置等標記，減少人工逐段標註所需的時間。Nvidia表示，開發團隊可利用Alpamayo 2 Super產生訓練資料，再把大型模型的能力轉移到較小的模型，使其能在車載電腦上進行即時運算。</p> <p>Alpamayo 2 Super本身主要用於雲端開發，並不是可直接安裝到自駕車上的完整駕駛系統。模型投入實際車輛前，仍須配合特定車型、感測器配置及道路環境進行調整與安全驗證。</p> </div></div></div>
8/6 08:52作者李建興https://www.ithome.com.tw/news/177901
邁向機器速度防禦！趨勢科技攜手Anthropic、Nvidia、AWS於黑帽大會AI Summit直指核心挑戰，聯防重…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>【拉斯維加斯直擊】當AI代理（AI Agent）時代到來與Mythos等先進AI模型相繼問世，各國政府與企業組織皆高度關注資安局勢演變。如何邁向「機器速度防禦」，已成為當前最核心的資安議題。</p> <p>在黑帽大會（Black Hat）主題演說前一日的AI Summit現場，近年積極推動AI資安的趨勢科技（Trend Micro）成為焦點。該公司不僅在媒體專訪闡釋企業推動AI-Native（AI原生）組織重構的重要性，更在大會專題演說邀請Anthropic、Nvidia與AWS等科技巨頭的專家同臺，揭露跨領域生態圈聯防的必要，共同剖析2026年邁向機器速度防禦的最新趨勢。</p> <h3><strong>擺脫舊架構束縛，趨勢科技強調企業邁向AI原生關鍵在於組織重構</strong></h3> <p>面對日益嚴峻的資安威脅，成立近38年的趨勢科技展現出高度轉型韌性，持續調整戰略布局。趨勢科技旗下TrendAI全球資訊安全長Johnny Hand指出，公司早在數年前便開始推動AI原生轉型，這也是現在許多企業相繼看重的議題，但他強調：「真正的AI原生，是透過組織重構將AI能力深度融入企業核心，而非只是將AI套用於既有架構之上。」</p> <p>Johnny Hand進一步解釋，對於多數企業而言，AI正逼著大家以傳統資安計畫難以適應的「機器速度」邁進。然而，傳統資安轉型的瓶頸在於：舊有資安計畫雖具備完善的治理框架，卻因嚴格的結構化流程與資訊孤島問題，根本無法應對AI時代的機器速度。若企業強行將AI技術套用在舊架構上，不僅無法達成規模化防護，甚至可能阻礙業務創新。</p> <p>趨勢科技很早就意識到這項痛點，因而強調必須從安全基礎出發，全面轉型為AI原生企業。隨著這一年來AI代理的高速演進，趨勢科技內部正持續聚焦於Agentic SOC的發展，今年更是將重點放在Agentic治理閘道；與此同時，內部也相當重視建立跨團隊的Agent管理機制，以期在追求機器速度防禦的同時，保有嚴謹的管控能力。</p> <h3><strong>要跟上機器速度，Anthropic直言不能再配合研討會行程而拖延漏洞修復與揭露</strong></h3> <p>隨著AI讓攻防遊戲規則徹底改變，不僅資安業者需要隨威脅態勢布局新防禦技術，跨產業共同應對的必要性也變得更勝以往。</p> <p>在AI Summit活動現場，趨勢科技特別邀請Anthropic網路與國家安全政策主管Rob Bair、Nvidia副資安長Julien Soriano，以及AWS搜尋、資安與可觀測性副總裁Chet Kapoor同臺對談，並由趨勢科技TrendAI全球資訊安全長Johnny Hand親自主持與提問，共同針對2026年最棘手的資安防禦速度挑戰進行深度剖析。</p> <p>這是一場採站立形式、節奏極為明快的座談，現場提出的多項資安防禦新觀點，相當值得臺灣企業與資安從業人員深思與借鏡。</p> <p>針對先進AI模型已能以「機器速度」自動尋找漏洞與攻擊利用路徑的現狀與問題，Anthropic網路與國家安全政策主管Rob Bair拋出兩個犀利且務實的見解。</p> <p>首先，產業已進入「後Mythos時代」，許多資安團隊都在持續掃描程式碼庫尋找漏洞，卻常常重複發現相同的漏洞並提交給同一個開源專案或供應商。被通報的廠商往往不知道這些報告重複，且多數缺乏足夠資源處理。因此他主張，防禦社群未來不應只共享漏洞揭露資訊，更應該主動共享「正在掃描哪些程式碼庫」，才能避免資安防守方的資源浪費與重複勞動。</p> <p>第二，以Black Hat等大型研討會為例，往年常有研究人員在此發表重要漏洞研究成果，過去這種作法尚可被接受，因為漏洞從發現到被攻擊利用尚有數個月的間隔，但在攻擊自動化的今天，資安社群必須停止為了配合研討會的行銷排程而拖延漏洞修復與揭露，才能真正跟上現今機器的速度。</p> <p>針對如何確保防守方持續保有技術優勢，Rob Bair補充道，大家都知道先進AI模型具備雙面刃性質，相同的能力可用於10分鐘內發現漏洞，也能被對手用於10分鐘內發動攻擊。因此讓先前模型領先開源模型一段時間、限制攻擊者取得高階模型，能有效拉長攻擊者的運作時間窗口。同時他提醒：現在我們所使用的模型，其實是未來最弱的版本。</p> <p>此外，他也指出資安產業當前面臨的新挑戰：許多企業已將資源從單純尋找漏洞轉向修補與應變，這雖是好事，但這些努力往往是零散且僅集中於高危漏洞。對於中低風險漏洞或缺乏維護的舊程式碼庫，產業仍需建立機制避免程式碼修補衝突，並確保每個修補都有明確的負責人。</p> <h3><strong>面對AI滲透每個傳統技術堆疊，Nvidia強調須建立跨層級預防與偵測的協同作業</strong></h3> <p>趨勢科技也與Nvidia針對保護AI基礎架構的安全展開深度合作。由於AI已經滲透到傳統技術堆疊的每一個層級，從GPU、模型、應用程式到底層基礎設施，引發安全治理面的熱烈討論。</p> <p>針對上述狀況，Nvidia副資安長Julien Soriano說明傳統基礎設施安全在AI時代的不足之處。他認為，我們不只是要談漏洞揭露，更要關注整個資安防護堆疊的每個層級，了解在預防與偵測機制如何協同運作。</p> <p>他甚至直言，過去整個產業在這方面做得非常不足。例如，有太多不同的廠商生態系，資安從業人員面對堆積如山的工具也常常不知所措，如何在不同廠商之間攜手合作，讓整體生態系互相補足，這點至關重要。因為我們必須確保這些工具能順暢連動，才能以機器速度進行自動化運作。</p> <p> </p> <p>資安的確需要務實的運作，這是在快速變動的業務環境所得到的教訓，Julien Soriano為此提出三個關鍵作法：首先，我們需要了解各個層級如何互補，找到建立控制措施的最佳位置。在這些層級中，貫徹零信任（Zero Trust）、機密運算（Confidential Computing）、持續修補與硬體信任根（Root of Trust）等核心原則；其次，要在所有層級建立縱深防禦機制；最後，聚焦於偵測能力。密切關注正確的訊號，監控AI Agent與硬體層級的行為模式。安全護欄發出的訊號必須能即時傳送到SIEM系統進行自動化回應。他強調，面對機器速度的攻擊，使用人類速度的回應注定會失敗，所以防守端必須整合AI速度的自動化防禦。</p> <p>此外，Julien Soriano補充指出，開放技術與專有技術是互補的。正如雲端時代各大企業攜手確立Linux與Kubernetes等開源標準，Nvidia亦發起擁有超過120個成員的開放聯盟，在身分驗證、執行期修補等領域進行開源貢獻，透過公開檢討報告與經驗分享，帶動整個產業提升防衛能力。</p> <h3><strong>儀表板與分析師不會消失，AWS強調新資安典範轉移已浮現</strong></h3> <p>雲端業者在整體資安生態系中扮演極為關鍵的角色。有鑑於全球基礎設施極為龐大，沒有任何單一企業能獨自掌控所有的威脅情資與防護能力，針對如何聯合防守方在AI時代保持優勢，AWS分享結合基礎設施、威脅情資來源與合作夥伴生態圈來改善資安的最新架構。</p> <p>AWS搜尋、資安與可觀測性副總裁Chet Kapoor指出，AWS在自身資安防禦上累積相當扎實的防禦經驗，並希望將這些實作經驗與技術帶給全球客戶。此外，面對自動化攻擊的威脅，AWS的目標非常明確：與Anthropic等戰略夥伴深度合作，以「機器速度」推進自動化自主資安。</p> <p>Chet Kapoor透露，AWS正以企業最頭痛的「程式碼漏洞」作為切入點，建立一套涵蓋發現、優先順序化、驗證與修補的自動化四步驟。他指出，普遍企業雖然可運用Anthropic模型或開源模型來完成漏洞發現，但如何從排山倒海的待辦清單中精準「決定優先順序」，是現在企業最大的挑戰。</p> <p>對此，AWS透過建立企業整體資產的情境圖，結合內部實際情境提供精準的優先級建議。接著在規模化驗證階段，利用AWS大規模基礎設施的處理經驗，於沙盒環境中測試緩解措施、評估影響範疇並驗證修補方案。最後則結合夥伴進行自動化修補，該系統會先以學習模式進行，由專業人員監督運作，建立信任後再切換至執行模式，未來更將從程式碼防護逐步擴展至整個資安堆疊。</p> <p>他進一步強調，過去的資安高度依賴遙測資料，以及依賴供人類查看的儀表板；如今資安典範正轉變為：結合豐富情境的遙測資料、自動化推理以及由人類指導的行動。雖然儀表板與分析師不會消失，但自動化Agent必須承擔更多常態營運工作，防守方才能跟上自動化攻擊的步調。</p> <p>談到AWS與Anthropic的合作效益，Chet Kapoor指出，將先進AI模型疊加在AWS龐大的遙測資料與基礎設施之上，能在海量數據中顯著提升信噪比，這無疑是未來資安防禦邁向自動化與自主化的關鍵趨勢。</p> <h3><strong>AI攻防不只拚技術，負責任揭露、情資共享與聯防也是關鍵</strong></h3> <p>針對近期AI模型能力突破既有控制邊界的現象，趨勢科技Johnny Hand指出，包含Anthropic等業者選擇在第一時間進行負責任的揭露，加上美國白宮於7月中推出Gold Eagle平臺建立AI網路威脅情資共享機制，對防守方而言皆是非常積極且正面的訊號。</p> <p>對此議題，Anthropic的Rob Bair分享另外一個案例，是他們在利用先進AI模型進行弱點評估時，該模型成功識別出自己已脫離模擬環境並自動停止執行，這證實嵌入模型中的安全護欄確實發揮效用；至於政府合作層面，他關注的爭議在於「2015年網路安全資訊共享法案（CISA 2015）」的重授權問題，若缺乏法案提供的免責保護，企業法務團隊將難以允許漏洞情資共享。</p> <p>Nvidia的Julien Soriano提醒，關注漏洞揭露之餘，主動貢獻同樣重要，Nvidia已協助發起集結超過120個成員的開放聯盟，並在身分驗證、執行期修補與持續緩解技術上持續作出開源的貢獻。當資安事件發生時，整個產業已從過去的各自為政，轉變為公開透明地合作分享經驗與檢討報告，這證明產業正朝著正確方向邁進。</p> <p>到了對談尾聲，AWS的Chet Kapoor再次強調：AI是近年變革力最強的技術浪潮，需要政府更早參與並確保負責任的執行。他指出，「透明合作」與「負責任執行」是未來防護的兩大核心，要讓防守方贏過攻擊者，必須要將安全機制自動化融入系統中，才能在快速變化的AI攻防戰中立於不敗之地。</p> <p> </p> <p></p> </div></div></div>
8/5 20:52作者羅正漢https://www.ithome.com.tw/news/177897
瑞士聯邦資訊技術與通訊辦公室遭駭，疑因SharePoint漏洞所致
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國網路安全與基礎設施安全局（CISA）於微軟發布7月例行更新（Patch Tuesday）的同一天，<strong><a href="https://www.ithome.com.tw/news/177336">警告新一波鎖定SharePoint資安漏洞的攻擊活動</a></strong>，當天微軟修補的漏洞，CISA證實已有<strong><a href="https://www.ithome.com.tw/news/177324">CVE-2026-56164</a></strong>、<strong><a href="https://www.ithome.com.tw/news/177382">CVE-2026-58644</a></strong>、<strong><a href="https://www.ithome.com.tw/news/177543">CVE-2026-50522</a></strong>遭到利用，如今傳出有人利用微軟7月修補的資安漏洞，攻擊政府機關的SharePoint伺服器。</p> <p>8月4日瑞士聯邦資訊技術與通訊辦公室（BIT）<strong><a href="https://www.bit.admin.ch/de/newnsb/1CjmpBBHQaMV82PjKEpcL">發布新聞稿</a></strong>，表示7月28日偵測到SharePoint伺服器出現異常，當時他們立即封鎖網際網路的存取權限，並修補相關弱點。事隔數日，7月31日調查人員進一步確認有多個帳號的登入憑證被入侵，其中包含一般使用者帳號及技術帳號，估計約有200個帳號受影響，BIT已重設密碼。</p> <p>BIT指出，這次攻擊者使用的資安漏洞，很有可能就是微軟於7月例行更新公布及修補的弱點，但究竟攻擊者使用那些漏洞，BIT並未進一步說明。相關調查BIT在得到聯邦網路安全辦公室（BACS）與微軟的支援下進行，根據最新的調查結果顯示，除前述200個帳號存取資料遭駭，尚無其他資料外洩的跡象。BIT強調，依規定用戶不得在SharePoint存放機密資訊，或是個人敏感資料。</p> <p>針對本次事故的後續處理，BIT以預防措施重設受害的SharePoint伺服器，調查期間他們也會維持封鎖外部網路存取SharePoint服務，聯邦機構的行政人員可透過替代管道存取所需文件，並與相關人員進行交換，影響相對有限。但對於這次外流的資料類型與數量，BIT沒有說明。</p> </div></div></div>
8/5 16:47作者周峻佑https://www.ithome.com.tw/news/177896
AWS基礎模型服務Bedrock內建網路搜尋，模型可查詢近期資料並附來源
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>AWS基礎模型服務Amazon Bedrock正式<strong><a href="https://aws.amazon.com/blogs/machine-learning/introducing-web-search-on-amazon-bedrock-for-foundation-model-grounding/">提供</a></strong>Web Search網路搜尋功能。開發者可透過Amazon Bedrock提供、與OpenAI相容的Responses API介面，由Bedrock替模型查詢Amazon維護的網頁索引與知識圖譜，再根據取得的資料產生附有來源的答案，不必另外串接第三方搜尋服務。</p> <p>應用程式向模型提出需要近期資訊的問題時，Bedrock會判斷是否需要搜尋，自動產生查詢條件，找出相關網頁並擷取與問題有關的段落。模型會把這些內容當成回答問題的參考資料，最後回傳答案、來源網址、頁面標題，以及各段文字所對應的引用位置。</p> <p>AWS表示，Web Search使用涵蓋數十億份文件、持續更新的網頁索引，並搭配整理實體及其關係的知識圖譜。遇到書籍作者或事件發生年份等事實型問題時，系統可利用知識圖譜提供較明確的答案，而非只讓模型從擷取的網頁段落推論。</p> <p>搜尋系統也不會把整個網頁直接交給模型，而是先挑出與問題相關的段落，減少網頁樣板文字及其他無關內容占用模型可讀取的資料空間，讓模型把處理能力集中在與問題有關的資訊。</p> <p>開發者可在原有的OpenAI Responses API請求中開啟網路搜尋，不必自行建立搜尋、讀取網頁與整理結果的多段處理程序。服務採用AWS帳號的身分驗證及存取權限，搜尋與網頁讀取紀錄也會納入AWS CloudTrail稽核服務。不過，稽核紀錄不會保存使用者的查詢文字、搜尋結果網址或取得的頁面內容。</p> <p>目前Web Search只會查詢Amazon預先建立並持續更新的網頁索引，尚未開放直接連線外部網站取得最新頁面。首波支援Amazon Bedrock新一代推論系統提供的OpenAI模型，服務區域包括美東維吉尼亞北部、美東俄亥俄及美西奧勒岡。</p> </div></div></div>
8/5 18:17作者李建興https://www.ithome.com.tw/news/177898
【資安日報】8月5日，熱門NPM套件keyv遭植入竊密蠕蟲，至少400個套件受感染
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><h3><strong>本日新聞焦點</strong></h3> <p>● <a href="https://www.ithome.com.tw/node/177888#NPM">熱門NPM套件keyv遭植入竊密蠕蟲，至少400個套件遭感染</a><br /> ● <a href="https://www.ithome.com.tw/node/177888#FACE">Hugging Face程式庫Diffusers存在執行任意程式碼漏洞</a><br /> ● <a href="https://www.ithome.com.tw/node/177888#CP">網站主機管理平臺cPanel存在允許攻擊者執行SQL指令的重大漏洞</a><br /> ● <a href="https://www.ithome.com.tw/node/177888#Word">研究人員揭露透過Word隱藏提示誘導微軟Copilot的AI蠕蟲攻擊</a> <br /> ● <a href="https://www.ithome.com.tw/node/177888#UDN">詐騙網站防線前移！數發部開放詐騙情資給民間業者</a> <a id="NPM" name="NPM"></a></p> <h3> </h3> <h3><b>資安新聞總覽</b></h3> <p><a href="https://www.ithome.com.tw/news/177871"><span style="font-size: 22px;"><strong>熱門NPM套件keyv遭植入竊密蠕蟲，至少400個套件受感染</strong></span></a></p> <p><a href="/sites/default/files/images/NPM keyv.png" target="_blank"><img alt="" src="/sites/default/files/images/NPM%20keyv.png" style="width: 300px; float: right;" /></a>資安業者StepSecurity週二（8/4）揭露，熱門JavaScript套件keyv維護者Jared Wray的GitHub帳號遭到入侵，駭客因而取得他所管理專案的修改及發布權限，將竊密蠕蟲植入11個NPM套件。惡意程式隨後竊取其他開發者的發布憑證，不到4小時便進一步擴大感染規模，使受污染套件總數增加到444個，涉及2,212個惡意版本，波及超過14個組織。截至臺灣時間週三（8/5）凌晨2時10分，由Wray管理的首批11個惡意套件皆已恢復至安全版本，但部分後續感染套件仍列為最新版，清理工作尚未完成。<a href="https://www.ithome.com.tw/news/177871">詳全文</a> <a id="FACE" name="FACE"></a></p> <p><a href="https://www.ithome.com.tw/news/177863"><span style="font-size: 22px;"><strong>Hugging Face程式庫Diffusers存在漏洞FaceHugger，恐允許模型儲存庫執行任意程式碼</strong></span></a></p> <p><a href="/sites/default/files/images/6a664085ac3bf3667993921c_12899a07-156.jpg" target="_blank"><img alt="" src="/sites/default/files/images/6a664085ac3bf3667993921c_12899a07-156.jpg" style="width: 300px; float: right;" /></a>持續威脅暴露管理平臺Zafran指出，他們在Hugging Face的程式庫diffusers找到一系列漏洞，統稱為FaceHugger，攻擊者只要發布惡意AI模型儲存庫，就能在載入模型的電腦執行任意程式碼，繞過Hugging Face阻擋未經審查程式碼執行的防護機制trust_remote_code，Zafran於今年3月通報，Hugging Face於4月底發布0.38.0版Diffusers修補，後續登記漏洞的編號為CVE-2026-44827、CVE-2026-45804，CVSS風險為8.8與7.5。Zafran指出，FaceHugger的根本原因，都是源自時間檢查及時間利用不一致（TOCTOU）的條件競爭缺陷。<a href="https://www.ithome.com.tw/news/177863">詳全文</a> <a id="CP" name="CP"></a></p> <p><a href="https://www.ithome.com.tw/news/177881"><span style="font-size: 22px;"><strong>網站主機管理平臺cPanel存在重大漏洞，攻擊者可透過資料庫root權限執行SQL指令</strong></span></a></p> <p><a href="/sites/default/files/images/_78xxilvdml.jpg" target="_blank"><img alt="" src="/sites/default/files/images/_78xxilvdml.jpg" style="width: 300px; float: right;" /></a>7月31日cPanel發布資安公告，指出該平臺存在資料庫權限提升漏洞CVE-2026-58048，通過身分驗證、且能夠存取MySQL、MariaDB的攻擊者有機會以管理員的權限，執行任何資料庫命令，根據作業系統與資料庫引擎的組態，有可能演變成作業系統層級的入侵，CVSS v4.0風險評為9.4，該公司已釋出11.110.0.137、11.118.0.71、11.126.0.78、11.134.0.48、11.136.0.32，以及138.1.6（WP2）等6個版本修補。若網站管理者無法及時修補，cPanel建議暫時撤銷使用者的MySQL功能因應。<a href="https://www.ithome.com.tw/news/177881">詳全文</a> <a id="Word" name="Word"></a></p> <p><a href="https://www.ithome.com.tw/news/177882"><span style="font-size: 22px;"><strong>研究人員揭露AI蠕蟲攻擊新手法，透過Word中的隱藏提示可誘導Microsoft Copilot自我傳播</strong></span></a></p> <p><a href="/sites/default/files/images/word_copilot_ai_worm.png" target="_blank"><img alt="" src="/sites/default/files/images/word_copilot_ai_worm.png" style="width: 300px; float: right;" /></a>研究人員Håkon Måløy近日揭露針對Microsoft Copilot for Word的AI蠕蟲攻擊方式，攻擊者可將惡意提示隱藏在Word檔案中，誘使Copilot執行指令並將相同提示寫入新產生的檔案，使惡意提示隨著檔案分享流程持續傳播，而不需要使用傳統惡意程式或巨集。研究人員表示，他們在今年3月將前述問題通報Microsoft後，Microsoft雖已多次發布緩解措施，但研究人員仍成功重現攻擊，目前仍無徹底解決前述問題的辦法，建議用戶將外部檔案視為不可信來源，並在分享或重新使用Copilot產生或編輯的檔案前，仔細檢查內容。<a href="https://www.ithome.com.tw/news/177882">詳全文</a> <a id="UDN" name="UDN"></a></p> <p><a href="https://www.ithome.com.tw/news/177861"><span style="font-size: 22px;"><strong>詐騙網站防線前移！數發部開放詐騙情資給民間業者，從「網域封鎖」提前到「即時警示」</strong></span></a></p> <p><a href="/sites/default/files/images/xie_qu_1_3.jpg" target="_blank"><img alt="" src="/sites/default/files/images/xie_qu_1_3.jpg" style="width: 300px; float: right;" /></a> 面對網路詐騙網站快速增加，政府防詐機制開始從「事後處置」轉向「事前攔阻」。數發部今天（8/4）宣布中華電信、台灣大哥大、遠傳電信、趨勢科技及走著瞧等業者共同推動「詐騙網站即時警示機制」，將政府掌握的詐騙網站情資提供給民間業者運用，在詐騙網站完成行政程序封鎖之前，民間業者先一步向民眾發出警示。過去數發部處理詐騙網站流程主要為「發現、通報確認、行政處分、封鎖」。而為解決詐騙網站從被發現到完成封鎖之間的時間差，數發部將防護流程提前，改為「發現、通報確認、行政處分同步警示、封鎖」。<a href="https://www.ithome.com.tw/news/177861">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177872"><span style="font-size: 22px;"><strong>柬埔寨詐騙集團濫用ChatGPT從事多種網路犯罪活動</strong></span></a></p> <p><a href="/sites/default/files/images/_qp3fgfo5du.jpg" target="_blank"><img alt="" src="/sites/default/files/images/_qp3fgfo5du.jpg" style="width: 300px; float: right;" /></a>7月31日OpenAI宣布，該公司破獲柬埔寨詐騙集團濫用ChatGPT的案件，該集團極可能發跡自柬埔寨，並在以詐騙園區聞名的邊境城市班達棉吉省（Banteay Meanchey Province）波別市（Poipet）活動，利用ChatGPT從事投資詐騙、感情詐騙、線上博弈詐騙，以及假冒執法人員詐騙等多種網路犯罪行為，其中部分使用者留下的內容，顯示該集團與人口販運及強迫勞動有關。OpenAI封鎖相關帳號，並將威脅指標分享給產業夥伴與執法機關。<a href="https://www.ithome.com.tw/news/177872">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177874"><span style="font-size: 22px;"><strong>韓國電信業者KT內控疏失釀個資外洩，遭罰近540億韓元</strong></span></a></p> <p>韓國三大電信業者之一KT於2025年9月接連傳出用戶手機門號遭冒用進行小額付款。韓國個人資料保護委員會（PIPC）根據受害案例及媒體報導，察覺可能發生個人資料外洩，並於9月10日主動展開調查。PIPC於2026年7月30日公布調查結果，認定KT未落實必要的個人資料安全防護措施，導致16,647名用戶資料外洩，因此對該公司處以539億7,900萬韓元罰款，約新臺幣13.2億元。PIPC指出，KT對微型基地臺及內部網路的存取控制管理不完善，包括將基地臺憑證有效期限設為10年、未限制連線來源IP位址、存在可繞過微型基地臺管理伺服器的連線路徑等。<a href="https://www.ithome.com.tw/news/177874">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177883"><span style="font-size: 22px;"><strong>波蘭連鎖便利商店Żabka遭駭，攻擊者透過第三方帳號入侵</strong></span></a></p> <p>8月4日波蘭大型連鎖便利商店Żabka發布資安公告，表示他們於上週末偵測到未經授權的活動，攻擊者存取了用於加盟總部與加盟商之間資訊交換的技術資源，事件起因於攻擊者透過外部服務供應商的帳號入侵，該公司在事件揭露的48小時內向當地的個人資料保護辦公室通報，後續他們也通知執法機關，並與CERT Polska合作。Żabka強調，交易資料、消費者服務、Żabka應用程式、營運活動資料未受影響。上述事故之所以曝光，源自當地資安公司Niebezpiecznik透露，有人於網路犯罪論壇號稱從Żabka伺服器竊得大批資料，但僅開價5千歐元兜售。<a href="https://www.ithome.com.tw/news/177883">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177869"><span style="font-size: 22px;"><strong>網路廣告公司Adform遭駭，廣告指令碼被用於竊取加密貨幣資產</strong></span></a></p> <p><a href="/sites/default/files/images/1_vmsswv2woy4v6tqz2od8qq-156.jpg" target="_blank"><img alt="" src="/sites/default/files/images/1_vmsswv2woy4v6tqz2od8qq-156.jpg" style="width: 300px; float: right;" /></a>資安專家Kevin Beaumont於7月31日發布部落格文章提出警告，總部位於丹麥哥本哈根的廣告科技公司Adform遭到駭客入侵，超過1萬家客戶網站廣泛使用的追蹤指令碼trackpoint-async.js，被植入惡意程式碼，導致存取這些網站的使用者，其加密貨幣資產有可能遭竊。Beaumont文中特別提到Adform並未透露這起事故，但他注意到相關惡意活動已持續了一週。Adform隔天發布聲明，表示他們在7月27日偵測到可疑活動，然後依照事件應變程序展開調查，經確認資安威脅，該公司就進行控制並移除惡意程式碼，採取額外措施保護存取網站的使用者、客戶，以及Adform平臺。<a href="https://www.ithome.com.tw/news/177869">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177866"><span style="font-size: 22px;"><strong>中國駭客針對中亞政府散布後門程式OctLurk、SilkLurk</strong></span></a></p> <p>資安公司卡巴斯基揭露後門程式OctLurk、SilkLurk，他們自2025年1月看到相關活動，鎖定中亞多個國家的政府機關從事網路間諜活動，受害企業與組織分布於阿富汗、吉爾吉斯、塔吉克、烏茲別克、哈薩克，以及敘利亞，涉及產業涵蓋醫療保健、研究機構、政府部門、外交部、物流、執法機關、城市規畫與設施管理，以及公立教育機構。根據該公司的調查，駭客使用簡體中文，兩個後門程式背後的駭客組織被認為是同一組人馬，依據是部分感染SilkLurk的組織也感染OctLurk。不過，卡巴斯基無法將相關活動與已知團體建立關連。<a href="https://www.ithome.com.tw/news/177866">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177868"><span style="font-size: 22px;"><strong>巴基斯坦駭客組織APT36冒充印度政府徵才，鎖定求職者散布木馬程式</strong></span></a></p> <p>資安業者Seqrite近日揭露代號Operation ShadowRecruit的攻擊活動，指出與巴基斯坦政府有關聯的駭客組織APT36，近期冒充印度政府機關發布徵才資訊，鎖定印度求職者散布惡意程式。APT36以虛假的印度政府招募公告檔案作為誘餌，誘導受害者下載內含惡意PowerShell指令的壓縮檔，從而在受害者電腦上安裝遠端管理工具ControlR的代理程式，以及遠端存取木馬SheetAgent RAT；在部署前述程式的同時，也會開啟偽裝的印度官方招募公告PDF以掩人耳目。<a href="https://www.ithome.com.tw/news/177868">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177877"><span style="font-size: 22px;"><strong>pgAdmin 4新版本修補7個漏洞，含3個重大漏洞</strong></span></a></p> <p>開源PostgreSQL資料庫管理工具pgAdmin 4於7月31日發布9.17版，修補7個漏洞，其中最嚴重的是CVE-2026-17349、CVE-2026-17351與CVE-2026-17566，這3個都是CVSS評分超過9.0的重大漏洞。從CVSS評分來看，最高的是CVE-2026-17566，CVSS v3.1評分達9.9分，存在於資料匯入/匯出工具（Import/Export Data），源自未妥善處理SQL查詢，可能導致指令注入並造成任意指令執行。<a href="https://www.ithome.com.tw/news/177877">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177862"><span style="font-size: 22px;"><strong>勒索軟體Inc利用SonicWall防火牆弱點取得root權限，藉此在受害組織加密檔案</strong></span></a></p> <p>7月14日資安公司SonicWall提出警告，他們修補兩個已遭利用的資安漏洞CVE-2026-15409、CVE-2026-15410，後續資安公司Rapid7與Volexity指出，勒索軟體Inc、駭客組織UTA0533從事零時差漏洞攻擊活動，現在新的調查指出，Inc已取得主導權，並積極將漏洞用於攻擊活動。資安公司Resecurity指出，雖然最早開發出漏洞利用鏈的是UTA0533，不過現在勒索軟體集團Inc已成為最積極使用這些漏洞的人馬，從7月17日至8月1日，該組織的資料外洩網站（DLS）新增不少受害的企業與政府機關，分布於澳洲、美國、阿拉伯聯合大公國、哥倫比亞、瑞士，以及其他國家。<a href="https://www.ithome.com.tw/news/177862">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177880"><span style="font-size: 22px;"><strong>英國AISI測試AI代理人，模型自行鎖定真人並企圖植入惡意程式碼</strong></span></a></p> <p>英國AI安全研究所（AISI）週二（8/4）公布資安事件報告，表示該機構測試7款AI模型的網路攻擊能力時，Anthropic的Mythos 5與OpenAI的GPT-5.6 Sol曾超出授權範圍，自行在真實網路上鎖定個人及組織，其中一個代理人更企圖將惡意程式碼植入開源專案。AISI發現異常資料傳輸後，在約1小時內終止相關測試並隔離機器；另一方面，遭鎖定的開源專案維護者也發現異常，並拒絕惡意程式碼。AISI的調查未發現事件造成實際損害。<a href="https://www.ithome.com.tw/news/177880">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177864"><span style="font-size: 22px;"><strong>DOUBLECUP將ClickFix攻擊打包成租用服務，散布CountLoader與新型RAT</strong></span></a></p> <p><a href="/sites/default/files/images/capture_926_-_introducing_doublecup_a_clickfix_loader_delivering_countloader_and_devicema_-_socradar_io_.jpg" target="_blank"><img alt="" src="/sites/default/files/images/capture_926_-_introducing_doublecup_a_clickfix_loader_delivering_countloader_and_devicema_-_socradar_io_.jpg" style="width: 300px; float: right;" /></a>資安業者SOCRadar揭露新的DOUBLECUP惡意程式載入器即服務（Loader-as-a-Service，LaaS），攻擊者可利用該服務發動ClickFix攻擊。租用者可將DOUBLECUP程式碼嵌入自行架設的惡意網站，以偽造驗證畫面誘使使用者執行剪貼簿中的指令，植入具有Windows與macOS版本的CountLoader，以及Windows遠端存取木馬DeviceManager。DOUBLECUP採用服務供應商與租用者分工的模式，服務開發者負責代管藏有惡意程式碼的PNG圖片，以及管理受害裝置連線及加密金鑰，租用者則可設定攻擊網站、執行方式及要安裝的惡意程式。<a href="https://www.ithome.com.tw/news/177864">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177593"><span style="font-size: 22px;"><strong>2026上半年漏洞揭露量增51%，供應鏈攻擊擴及軟體開發生態系</strong></span></a></p> <p><a href="/sites/default/files/images/2026 HF KEV.png" target="_blank"><img alt="" src="/sites/default/files/images/2026%20HF%20KEV.png" style="width: 300px; float: right;" /></a>網路安全業者Forescout近期回顧2026上半年威脅，根據他們的分析，今年上半年全球共揭露37,137項漏洞，較去年同期增加51%，平均每天新增205項，其中55%被列為高風險（High）或重大風險（Critical），另有54項曾作為零時差漏洞遭到利用。Forescout的報告也指出，軟體供應鏈攻擊已從套件儲存庫擴及CI/CD管線等軟體開發環節，並列舉多起相關事件，受影響的專案與工具，包括Trivy、Checkmarx KICS、LiteLLM、Telnyx Python SDK、TanStack的CI/CD管線，以及Nx Console的VS Code延伸套件等，顯示攻擊者正將目標擴大至整個軟體開發生態系。<a href="https://www.ithome.com.tw/news/177593">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177878"><span style="font-size: 22px;"><strong>NuGet將API金鑰效期縮至30天，11月起既有金鑰全面失效</strong></span></a></p> <p>微軟套件管理平臺NuGet團隊宣布，自2026年8月17日起，NuGet.org新建立的API金鑰最長效期將由365天縮短為30天，所有在此日期前建立的既有金鑰則會於11月1日失效。使用API金鑰透過CI/CD流程發布NuGet套件的維護者，應提前檢查自動化設定，以免金鑰到期造成套件發布中斷。NuGet團隊指出，縮短效期無法消除金鑰遭竊風險，但可縮短外洩憑證遭利用的時間，降低單次洩漏可能造成的影響。<a href="https://www.ithome.com.tw/news/177878">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177876"><span style="font-size: 22px;"><strong>Cyera擬以10億美元併購Oasis Security，擴大AI代理與非人類身分治理</strong></span></a></p> <p>非人類身分（Non-Human Identity，NHI）數量快速增加，促使傳統以員工帳號為核心的管理方式面臨挑戰，相關治理需求也成為資安市場的新焦點。資料安全業者Cyera宣布計畫併購NHI安全業者Oasis Security，目前已簽署併購意向書。雙方規畫將資料安全與非人類身分治理能力整合至單一平臺，協助企業控管AI代理及其他非人類身分可存取的資料、系統及可執行的操作，降低資料外洩及權限使用不當的風險。<a href="https://www.ithome.com.tw/news/177876">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177875"><span style="font-size: 22px;"><strong>Accenture逾41億美元布局OT資安，從顧問服務跨入軟體市場</strong></span></a></p> <p><a href="/sites/default/files/images/0805-ot-accenture.jpg" target="_blank"><img alt="" src="/sites/default/files/images/0805-ot-accenture.jpg" style="width: 300px; float: right;" /></a>全球管理顧問與科技服務業者Accenture正擴大其資安業務的布局，並將業務版圖延伸至營運技術（OT）資安軟體市場。該公司今年6月宣布，計畫取得OT資安業者Dragos多數股權，並併購資產情報與曝險管理平臺業者runZero，以及裝置與軟體供應鏈安全業者NetRise的全部股權，相關協議均已簽署，三項交易合計企業價值約41.75億美元。<a href="https://www.ithome.com.tw/news/177875">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177879"><span style="font-size: 22px;"><strong>美國銀行擬併購英國資安業者MDSec，強化網路防禦</strong></span></a></p> <p>全球大型金融機構美國銀行（Bank of America）於7月30日宣布，計畫併購英國資訊安全顧問業者MDSec，藉此強化其在英國及全球的網路安全能力。交易預計於2026年第4季完成。MDSec總部位於英格蘭，主要提供對手模擬與紅隊演練、應用程式安全、滲透測試、資安事件應變、資安研究及教育訓練等服務，前述併購完成後，MDSec團隊將加入美國銀行，美國銀行目前在英格蘭設有一座網路威脅營運中心。<a href="https://www.ithome.com.tw/news/177879">詳全文</a></p> </div></div></div>
8/5 14:56作者張明德https://www.ithome.com.tw/news/177888