iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 24篇
近 24 小時: 29篇
近 7 天: 133篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/10 16:52
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 133 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

偉訓部分資訊系統遭網路安全事件，已隔離受影響系統並啟動調查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>上市電子零組件廠偉訓（3032）於8月30日晚間，<strong><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=193240&SPOKE_DATE=20260830&COMPANY_ID=3032">在股市公開資訊觀測站發布資安重訊</a></strong>，表示已偵測到部分資訊系統遭受網路安全事件，在發現異常後立即啟動資安應變機制，隔離受影響的資訊系統並進行風險控管，同時委請外部專業資安廠商協助系統復原及事件調查。</p> <p>針對本次事故可能會造成的影響，偉訓表示，根據他們的初步調查，此次事件尚未造成個人資料、機密資料或重要文件外洩，對公司營運也沒有重大影響。</p> </div></div></div>
9/2 11:03作者周峻佑https://www.ithome.com.tw/news/178602
Palo Alto Networks併購Console，擴充AI代理資安能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安業者Palo Alto Networks<a href="https://investors.paloaltonetworks.com/news-releases/news-release-details/palo-alto-networks-acquires-console-agentify-security">宣布完成併購AI原生平臺Console</a>，並將進一步擴充旗下Cortex資安營運平臺的AI代理能力，讓安全團隊運用AI代理調查資安訊號、排定工作優先順序並採取行動。</p> <p><a href="http://www.console.com/blog/what-is-console/">Console</a>是一套AI原生IT服務管理（IT Service Management，ITSM）平臺，可讓使用者以自然語言建立AI代理工作流程。AI代理可根據組織相關資訊與脈絡，透過身分管理系統、SaaS應用程式等既有企業系統執行工作。</p> <p>今年以來，Palo Alto Networks已陸續完成<a href="https://www.ithome.com.tw/news/172585" target="_blank">Chronosphere</a>、<a href="https://www.ithome.com.tw/news/170334" target="_blank">CyberArk</a>、<a href="https://www.ithome.com.tw/news/175123" target="_blank">Koi</a>及<a href="https://www.ithome.com.tw/news/175532" target="_blank">Portkey</a>等併購案，涵蓋可觀測性、身分安全、AI代理端點安全及AI閘道等領域；此次併購Console後，Palo Alto Networks則把AI代理應用延伸至資安營運領域。</p> </div></div></div>
9/2 11:17作者王珮瑤https://www.ithome.com.tw/news/178603
24個惡意NPM套件濫用鏡像架釣魚頁，攻擊者可遠端更換轉址目標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安業者OX Security<strong><a href="https://www.ox.security/blog/research-clickfix-phishing-npm-packages/">發現</a></strong>24個惡意NPM套件，攻擊者把仿冒Cloudflare的驗證頁面放進NPM套件，再利用第三方鏡像服務自動同步套件的機制，讓網頁出現在正常的鏡像網站網域下，並將開啟頁面的使用者導向其他網站。後期版本還能從遠端取得轉址網址，攻擊者不必重新發布套件，就能隨時更換使用者最後前往的網站，可進一步用於ClickFix或其他釣魚攻擊。</p> <p>NPM是JavaScript開發常用的套件平臺，部分第三方鏡像服務會自動複製NPM上的套件內容，方便使用者就近下載。研究人員發現，攻擊者反過來利用該機制，在NPM套件中放入網頁檔案。鏡像服務同步套件後，部分網站允許瀏覽器直接開啟其中的網頁，讓仿冒Cloudflare的驗證畫面出現在正常的鏡像網站網域下。</p> <p>攻擊者發布惡意套件的目的並非感染下載或安裝套件的開發者，24個套件本身主要用來存放釣魚網頁，單純安裝不會造成電腦遭入侵。真正的風險出現在使用者透過鏡像網站開啟網頁，並遭轉址到ClickFix或其他釣魚頁面後。</p> <p>仿冒驗證頁面內含經過混淆處理的JavaScript程式碼，會連上外部伺服器並將瀏覽器導向其他網站，早期版本直接使用名稱近似微軟登入網站的惡意網域，該網域遭封鎖後，攻擊者改用合法的KeyVal線上資料服務取得加密後的轉址網址，再由瀏覽器解密並前往指定網站。</p> <p>改用遠端資料後，轉址目的地不再直接寫在NPM套件內，攻擊者只要修改KeyVal存放的內容，就能讓同一個釣魚頁改往另一個網站，不需要更新或重新發布NPM套件。研究人員分析時，後期版本設定的目的地是正常的ChatGPT網站，但轉址目的地仍可被改成ClickFix頁面或其他釣魚網站。</p> <p>鏡像服務也可能讓惡意內容在NPM下架後繼續存在，因為第三方網站不一定會同步刪除已移除套件的檔案。OX Security建議企業把直接存取NPM鏡像中網頁檔案的行為納入釣魚偵測，並檢查代理伺服器與DNS記錄，找出異常的鏡像網站存取活動。</p> </div></div></div>
9/2 09:42作者李建興https://www.ithome.com.tw/news/178596
OpenClaw 2.0擴充跨裝置與雲端代理工作，團隊可直接接手既有任務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>開源AI代理平臺OpenClaw<strong><a href="https://openclaw.ai/blog/openclaw-2-accidentally/">推出</a></strong>2.0版本，重新調整初次安裝與瀏覽器操作介面，並擴充AI代理工作的執行方式。使用者可將正在進行的工作連同相關檔案，移至其他已配對裝置或雲端工作節點繼續執行，團隊成員也能加入既有工作，在保留原有對話脈絡下共同處理或接手任務。</p> <p>OpenClaw 2.0修改範圍涵蓋安裝、訊息、記憶、技能、模型、自動化、瀏覽器與原生App、外掛及安全機制。官方表示，本次版本共有933名貢獻者參與，其中569人首次參與專案，累計整合超過1.6萬個程式碼變更請求。</p> <p>新版首先簡化初次設定，安裝時可利用電腦上既有的ChatGPT或Claude訂閱、API金鑰及本地模型，減少一開始需要完成的設定項目。部分設定可延後到開始使用OpenClaw後，再透過與AI代理對話逐步完成，縮短從安裝到實際使用的流程。</p> <p>瀏覽器版也重新設計，開啟後會直接進入與AI代理的對話畫面，使用者可從網頁繼續設定環境、回到尚未完成的工作，也能查看AI代理目前的處理進度。</p> <p>跨裝置執行則讓AI代理不必一直在同一臺電腦上工作，原本執行OpenClaw的主機仍保存對話與已同步的工作狀態，但實際執行指令、修改檔案及使用工具的工作，可以交由另一臺已配對裝置或雲端工作節點處理。需要的工作檔案會隨執行位置移轉，完成的修改再同步回原本主機。</p> <p>OpenClaw 2.0也加入共享雲端工作階段功能，其他團隊成員可以直接加入正在進行的工作，不需從頭交代背景，也能把工作連同既有脈絡交由另一名成員接手。OpenClaw團隊表示，開發2.0期間已在內部使用相關機制共同處理專案工作。</p> <p>OpenClaw在2.0推出前230天內發布106個版本，多數版本只相隔一至兩天，2.0版則相隔近7周才再次發布版本。團隊原先著手簡化安裝與重建瀏覽器版，後續修改逐步擴及其他元件，最終整合成OpenClaw 2.0。</p> </div></div></div>
9/2 09:47作者李建興https://www.ithome.com.tw/news/178597
NSA發布ASIC安全最佳實務，歸納18類威脅強化晶片供應鏈防禦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>硬體供應鏈安全已成各國政府關注焦點，美國國家安全局（NSA）近年更是強化半導體晶片層面的布局，該單位於8月25日<strong><a href="https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/4582087/nsa-releases-best-practices-to-mitigate-threats-in-development-of-asics/">發布兩份技術報告</a></strong>：ASIC最佳實踐威脅目錄《ASIC Best Practices Threat Catalog》，以及ASIC保證等級1最佳實踐《ASIC LoA1 Best Practices》，主要針對特殊應用積體電路（ASIC）設計與製造流程可能遭遇的蓄意威脅，也提出對應的風險緩解措施。突顯美國政府將供應鏈安全需求，持續延伸到客製化晶片層級。</p> <p>關於《ASIC最佳實踐威脅目錄》的最大特色，是NSA歸納出18項對手破壞ASIC的威脅類別，不僅涵蓋設計需求、IT系統、電子設計自動化（EDA）軟體，以及第三方<span class="font-semibold" data-streamdown="strong">矽智財</span>（3PIP）等領域，也提出對應的降低風險緩解措施。</p> <p>NSA同步規畫一套完整的實務指引，將分三部曲陸續發布。首先推出的是《ASIC LoA1最佳實踐》，聚焦偵測與預防針對ASIC的蓄意威脅。NSA指出，LoA1報告是依據公開使用案例撰寫而成，主要由美國戰爭部（DoW）旗下聯合聯邦保證中心硬體保證實驗室（JFAC HwA）的專家提供意見，涵蓋ASIC設計、硬體安全、晶圓製造與供應鏈保證等領域，同時提供多種緩解選項，讓使用者能依需求調整運用。</p> <p>值得注意的是，NSA在2022年底便曾針對國防系統所用的可程式化邏輯閘陣列（FPGA），<strong><a href="https://www.nsa.gov/Press-Room/News-Highlights/Article/Article/3239938/nsa-releases-series-on-protecting-dod-microelectronics-from-adversary-influence/">發布最佳實踐系列報告</a></strong>；如今則在同一套保證等級架構下，將這套方法論延伸應用到ASIC，這不僅延續NSA過去在硬體保證領域的長期布局，也顯示其逐步擴大客製化微電子硬體的保證涵蓋範圍。</p> </div></div></div>
9/2 10:17作者羅正漢https://www.ithome.com.tw/news/178589
信任運算聯盟訂TPM抗量子密碼就緒門檻，企業採購有查核依據
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>信任運算聯盟（Trusted Computing Group，TCG）近日針對信賴平臺模組（Trusted Platform Module，TPM）是否符合抗量子密碼就緒要求，<a href="https://trustedcomputinggroup.org/new-guidance-sets-benchmark-for-true-quantum-safe-security-readiness/" target="_blank">訂出明確門檻</a>。TPM必須符合PC Client Platform TPM Profile 1.07（PTP 1.07），才能被認定為PQC-ready。企業採購相關設備時，可據此要求供應商提出符合規格的證明，不必只依產品標示或行銷宣稱判斷。</p> <p>TCG<a href="https://trustedcomputinggroup.org/is-your-tpm-truly-pqc-ready/" target="_blank">指出</a>，符合PTP 1.07的產品可稱為「TCG PQC-ready TPM」；尚未符合，但可透過安全升級達到要求的產品，則列為「TCG PQC-upgradable TPM」。後者的升級程序本身也必須具備量子安全防護，避免過程中仍仰賴無法抵禦量子運算威脅的既有密碼演算法。</p> <p>PTP 1.07新增的PQC要求主要聚焦於支援模組格基式金鑰封裝機制（ML-KEM）與ML-DSA數位簽章演算法。不過，TCG強調，即使TPM符合PQC-ready要求，也只代表這項安全模組符合TCG規範，不代表整個運算平臺都已完成PQC轉型。企業判斷TPM是否具備PQC就緒能力，不能只看是否支援特定抗量子密碼演算法，還要評估產品是否具備安全升級機制、裝置身分與證明能力，以及密碼學敏捷性（Cryptographic Agility）。</p> <p>TCG也正在更新TPM認證制度，未來符合PTP 1.07要求的TPM，可依正式的符合性與安全評估標準接受TCG認證評估，相關要求與推出時間尚未公布。</p> </div></div></div>
9/2 08:00作者王珮瑤https://www.ithome.com.tw/news/178561
資安新創Corma種子輪募資6,000萬美元，開發資安防禦AI模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>主打資安防禦AI模型的新創公司Corma<a href="https://www.newswire.com/news/corma-the-first-frontier-defensive-cybersecurity-ai-lab-raises-60m-as-ai" target="_blank">宣布完成6,000萬美元種子輪募資</a>，本輪由紅杉資本（Sequoia Capital）領投，Khosla Ventures與Coatue參與投資。Corma也同步結束隱身階段，公開旗下首款AI基礎模型，讓AI代理與資安團隊共同處理企業環境中的威脅偵測與防禦工作。</p> <p>Corma成立於2025年，在以色列特拉維夫與美國舊金山設有據點。Corma針對資安防禦需求打造這款AI基礎模型，可分析日誌、系統事件、組態與安全遙測資料。部署後則以Corma Workforce形式與資安團隊共同運作，可使用企業既有資安工具，執行不同類型的資安防禦工作。</p> <p>Corma也<a href="https://corma.ai/defensive-gap-research" target="_blank">公布AI攻防能力研究</a>。研究共進行241次攻防測試，受測的頂尖AI模型擔任攻擊者時，有85%的測試成功在目標系統植入重新開機後仍有效的後門；但相同模型用於防禦時，平均僅偵測到19%的攻擊。Corma認為，這項結果顯示目前頂尖AI模型在攻擊與防禦任務上的能力仍有明顯落差。</p> <p>根據<a href="https://fortune.com/2026/08/10/exclusive-corma-raises-60-million-from-sequoia-for-ai-trained-to-defend-against-cyberattacks/" target="_blank">Fortune雜誌報導</a>，Corma第一款模型在公司結束隱身階段前約6週，已部署於多家Fortune 100與Fortune 500企業，涵蓋醫療、金融、能源、關鍵基礎設施及零售等產業。Corma表示，本輪資金將用於擴大模型訓練規模與資料量，並擴充資安防禦、AI及研究團隊。</p> </div></div></div>
9/2 08:00作者王珮瑤https://www.ithome.com.tw/news/178568
德國企業資安調查揭外國情報機構首度成第二大攻擊者類型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>德國資通訊產業協會Bitkom<a href="https://www.bitkom.org/Presse/Presseinformation/Angriffe-auf-deutsche-Wirtschaft-Spur-auslaendische-Geheimdienste" target="_blank">公布最新企業安全調查</a>，外國情報機構對德國企業的威脅快速升高。在曾遭資料竊取、產業間諜或破壞活動影響的企業中，37%表示過去12個月至少有一起事件可歸因於外國情報機構，高於2025年的28%，更較2023年的7%大幅增加，首次成為僅次於組織犯罪集團的第二大攻擊者類型。</p> <p>從攻擊來源國來看，中國與俄羅斯仍居前兩位。在確定遭受相關事件影響的企業中，52%表示至少有一起攻擊可追溯至中國，49%指向俄羅斯，均高於前一年的46%；指向伊朗的比例也從4%升至9%。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0901-bitkom-600-1.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源/Bitkom</span></span></p> <p>攻擊造成的經濟衝擊同樣可觀。Bitkom估計，資料竊取、產業間諜及破壞活動造成德國企業2,110億至2,708億歐元損失，其中網路攻擊占76%，相當於約1,604億至2,058億歐元。另有58%的企業表示過去12個月曾因網路攻擊蒙受實際損失，主要問題包括安全事件偵測不足、IT系統組態錯誤，以及身分與存取管理不足。</p> <p>AI也正在改變攻擊樣貌。82%的受訪企業認為，攻擊者正更頻繁運用AI，判斷依據包括攻擊嘗試會隨情況自動調整，以及偽造影音、文字訊息與電子郵件品質提高。因自動語音電話蒙受損失的企業比例，已從前一年的3%升至14%；因涉及深偽（Deepfake）的事件蒙受損失的企業比例，也從4%增至8%。</p> </div></div></div>
9/2 08:00作者王珮瑤https://www.ithome.com.tw/news/178575
TerminalFix社交工程攻擊將受害主機變成存取企業內網的跳板
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟威脅情報團隊<a href="https://www.microsoft.com/en-us/security/blog/2026/08/28/terminalfix-campaign-deploys-reverse-tunnel-through-multistage-intrusion/" target="_blank">揭露名為TerminalFix的新一波ClickFix社交工程攻擊</a>。攻擊者利用遭入侵網站顯示假的Cloudflare Turnstile驗證畫面，誘導使用者複製惡意命令，再貼到Windows Terminal或PowerShell執行。受害主機遭感染後，攻擊者便可透過這臺主機建立反向通道，把它當成進入企業內部網路的跳板。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0901-TerminalFix-600-2.png" style="width: 450px;" /></p> <p><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源/微軟</span></span></p> <p>與早期ClickFix變形攻擊多半只投遞單一竊資軟體不同，TerminalFix採取多階段感染流程，除了載入後續惡意程式，也會偵察企業Active Directory環境與內部伺服器，尋找可進一步存取的內部系統。</p> <p>研究人員同時公布入侵指標與偵測資訊，供資安人員檢查環境中是否出現TerminalFix活動。</p> </div></div></div>
9/2 08:00作者王珮瑤https://www.ithome.com.tw/news/178577
【資安日報】9月1日，AI生成詐騙內容成新威脅，數發部與Meta、Google等四大平臺聯手建立源頭阻詐防線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><h3><strong>本日新聞焦點</strong></h3> <p>● <a href="https://www.ithome.com.tw/node/178579#AI">AI生成詐騙內容成新威脅，數發部與四大平臺聯手建立源頭阻詐防線</a><br /> ● <a href="https://www.ithome.com.tw/node/178579#TW">臺灣成網攻最頻繁亞洲國家，7月每週遭遇攻擊次數達全球1.84倍</a><br /> ● <a href="https://www.ithome.com.tw/node/178579#MS">Microsoft 365驗證異常擴大，Exchange Online等多項服務受影響</a><br /> ● <a href="https://www.ithome.com.tw/node/178579#CISA">CISA警告PaperCut零時差漏洞遭到積極利用</a><br /> ● <a href="https://www.ithome.com.tw/node/178579#Nvi">研究人員Nightmare Eclipse公開Nvidia記憶體中斷漏洞</a></p> <h3> </h3> <h3><b>資安新聞總覽</b></h3> <p><a href="https://www.ithome.com.tw/news/178546"><span style="font-size: 22px;"><strong>醫材業者Boston Scientific因資安事件導致製造與出貨中斷，新植入心臟節律管理裝置的遠距監測暫無法啟用</strong></span></a></p> <p>醫療器材業者波士頓科學（Boston Scientific）於8月26日在官網發布資安事件公告，這起事件已造成該公司部分內部業務流程中斷，甚至新增心臟節律管理（Cardiac Rhythm Management，CRM）裝置時的遠距監測啟用作業，亦受到波及。Boston Scientific是在8月25日發現影響部分資訊系統的資安事件，波及部分作業系統與企業應用的存取，導致客戶訂單處理與出貨，以及產品製造受影響。根據後續公布的調查進度指出，未經授權活動僅限於部分地端系統，雲端系統與應用未受影響。目前調查工作仍在進行，該公司正恢復受影響功能與系統存取，完整恢復時程目前尚未確定。<a href="https://www.ithome.com.tw/news/178546">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/178569"><span style="font-size: 22px;"><strong>美國槍砲監管機構ATF遭網路入侵，勒索軟體組織Qilin聲稱犯行</strong></span></a></p> <p>美國菸酒槍砲及爆炸物管理局（Bureau of Alcohol, Tobacco, Firearms and Explosives，ATF）8月26日發布公告，證實發生重大資安事件，一套獨立系統遭到入侵，ATF在發現事件後立即終止其與受影響環境的連線，並展開事件應變，同時與美國司法部合作展開調查。ATF指出，遭入侵的系統為獨立運作，目前沒有跡象顯示此次事件波及ATF企業網路、電子槍械申請系統（eForms）或其他系統。在ATF公告遭到入侵的同日，勒索軟體組織Qilin將ATF列入其暗網資料外洩網站，但未說明是否已竊取ATF資料或提出贖金要求，ATF方面也未確認入侵事件與Qilin有關。<a href="https://www.ithome.com.tw/news/178569">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/178550"><span style="font-size: 22px;"><strong>列印管理系統PaperCut遭遇零時差漏洞攻擊，該公司兩度緊急修補</strong></span></a></p> <p>8月27日列印管理系統供應商PaperCut提出警告，該公司正著手調查影響PaperCut NG與PaperCut MF的零時差漏洞遭積極利用的情況，並確認有用戶發生資安事故，對此，該公司發布緊急修補程式，並呼籲將PaperCut NG/MF暴露於網際網路的用戶，應利用防火牆規則或網路存取控制系統（NAC），限縮能夠存取的受信任IP位址。PaperCut也提供入侵指標（IoC），供IT人員確認列印管理系統是否遭到入侵。PaperCut也公布遭利用的漏洞編號CVE-2026-82078、CVE-2026-81578，其CVSS v4.0嚴重程度分別為9.4分與8.8分。<a href="https://www.ithome.com.tw/news/178550">詳全文</a> <a id="CISA" name="CISA"></a></p> <p><a href="https://www.ithome.com.tw/news/178562"><span style="font-size: 22px;"><strong>CISA警告PaperCut零時差漏洞遭到積極利用</strong></span></a></p> <p>上週列印管理系統供應商PaperCut提出警告，旗下的PaperCut NG與PaperCut MF系統存在零時差漏洞CVE-2026-82078、CVE-2026-81578，且已有客戶遭到攻擊，本週美國要求政府機關著手修補。8月31日美國網路安全與基礎設施安全局（CISA）警告，他們已掌握上述漏洞遭積極利用的證據，將其列入已遭利用的漏洞名單（KEV），聯邦機構需在9月14日前完成修補。<a href="https://www.ithome.com.tw/news/178562">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/178566"><span style="font-size: 22px;"><strong>PaperCut零時差漏洞疑似被用於竊取資料</strong></span></a></p> <p>列印管理系統供應商PaperCut於8月27日警告，有人利用零時差漏洞攻擊PaperCut NG與PaperCut MF用戶，這些弱點後來被登記為CVE-2026-82078、CVE-2026-81578，這段期間多家資安公司陸續揭露漏洞遭到利用的情形，較早揭露的是威脅情報公司Huntress，他們在PaperCut提出警告之前，已觀察到兩起漏洞利用活動，其中一起發生在8月26日，另一起事故發生在27日。另一家威脅情報公司watchTowr也偵測到漏洞利用活動，並表示他們不僅完整重現漏洞，並找到額外的身分驗證繞過弱點。威脅情報公司Defused Cyber也跟進此事，表示在8月29日於蜜罐陷阱偵測到漏洞利用活動。<a href="https://www.ithome.com.tw/news/178566">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/178554"><span style="font-size: 22px;"><strong>全球逾8千個Gitea系統仍未修補重大漏洞CVE-2026-60004</strong></span></a></p> <p><a href="/sites/default/files/images/_poikqa05y9.jpg" target="_blank"><img alt="" src="/sites/default/files/images/_poikqa05y9.jpg" style="width: 300px; float: right;" /></a> 美國網路安全與基礎設施安全局（CISA）於8月25日警告，開源版本控制系統Gitea漏洞CVE-2026-60004遭到積極利用，要求聯邦機構必須在3天內完成修補，然而，有資安機構警告，全球仍有逾8,000臺Gitea主機尚未修補，而有可能成為攻擊者的目標。Shadowserver基金會指出，他們在8月27日進行掃描，發現全球有8,393個IP位址暴露於CVE-2026-60004的風險，值得留意的是，雖然到了29日，存在暴露風險的IP位址數量降為8,202個，其中有59個IP位址位於臺灣。<a href="https://www.ithome.com.tw/news/178554">詳全文</a> <a id="MS" name="MS"></a></p> <p><a href="https://www.ithome.com.tw/news/178571"><span style="font-size: 22px;"><strong>Microsoft 365驗證異常擴大，Exchange Online郵件與Teams等多項服務受影響</strong></span></a></p> <p>微軟於臺灣時間9月1日凌晨開始調查Exchange Online異常，隨後確認問題波及多項Microsoft 365服務。Exchange Online受影響最明顯，使用者可能遇到郵件收發延遲或失敗、登入錯誤、信箱搜尋異常及管理功能無法正常操作，微軟初步將問題指向用於處理使用者身分驗證的核心設定，事故也波及Microsoft Teams、OneDrive for Business、SharePoint Online、Microsoft Purview及Microsoft Defender XDR等服務。<a href="https://www.ithome.com.tw/news/178571">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177622"><span style="font-size: 22px;"><strong>研究人員Nightmare Eclipse公布卡巴斯基與Avast防毒軟體的零時差漏洞</strong></span></a></p> <p>屢次槓上微軟的資安研究人員Nightmare Eclipse（Chaotic Eclipse），在8月上旬公布Microsoft Defender零時差漏洞ShieldBreak之後，最近將研究對象轉向其他廠牌的防毒軟體。根據資安新聞網站SecurityWeek報導，上週該名研究員公布卡巴斯基企業版端點防護系統Kaspersky Endpoint Security權限提升漏洞HardBreacher，一旦漏洞利用成功，攻擊者就有機會得到完整的權限。本週該名研究員公布另一個零時差漏洞PrettyPrague，並指出該問題出現在Gen Digital旗下的Avast Antivirus，她提供的概念驗證程式碼可濫用該防毒軟體的沙箱元件，截取SAM資料庫並產生完整的SYSTEM層級Shell。<a href="https://www.ithome.com.tw/news/177622">詳全文</a> <a id="Nvi" name="Nvi"></a></p> <p><a href="https://www.ithome.com.tw/news/178574"><span style="font-size: 22px;"><strong>研究人員Nightmare Eclipse公開Nvidia記憶體中斷漏洞GreenSection</strong></span></a></p> <p>從今年4月開始多次公布微軟零時差漏洞的資安研究人員Nightmare Eclipse（Chaotic Eclipse），近期開始針對其他廠牌的系統挖掘零時差漏洞，並在本週揭露存在於Nvidia元件的零時差漏洞。該漏洞被命名為GreenSection，起因是多個Nvidia使用者模式元件共用特定的全域記憶體區段，而且任何人都能完整地讀取或寫入，同時，由於該區塊存放重要的資料結構，資料可能在應用程式執行過程被重複利用，導致記憶體越界寫入現象，雖然該弱點無法讓攻擊者直接取得系統權限，但可輕易跨使用者利用，甚至破壞dwm.exe處理程序。<a href="https://www.ithome.com.tw/news/178574">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/178559"><span style="font-size: 22px;"><strong>SonicWall修補NetExtender重大漏洞，若未更新可能導致攻擊者以root權限寫入任意檔案</strong></span></a></p> <p>SonicWall於8月26日發布資安公告，修補VPN用戶端軟體NetExtender Linux Client兩個漏洞，包含可能導致攻擊者寫入任意檔案的重大漏洞，10.3.5及以前版本均受影響，用戶應升級至已修補的10.3.6以上版本。前述漏洞中，較嚴重的是CVE-2026-66152，CVSS評分達8.8分，問題源自NetExtender Linux Client處理軟體封裝檔時存在路徑遍歷問題，可能讓攻擊者以root權限寫入任意檔案。<a href="https://www.ithome.com.tw/news/178559">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/178553"><span style="font-size: 22px;"><strong>中國駭客利用ownCloud漏洞竊取菲律賓研究機構的核能資料</strong></span></a></p> <p>上週美國網路安全與基礎設施安全局（CISA）指出，ownCloud資安漏洞CVE-2023-49105遭到積極利用，在此之前有資安公司表示，他們發現該漏洞疑似被用於網路間諜活動。威脅情報公司Hunt.io指出，他們於8月13日發現攻擊者不慎暴露的伺服器，內含自製的漏洞利用指令碼、竊得的檔案、事件記錄資料，以及攻擊工具，從而發現中國駭客至少對兩個菲律賓企業組織發動網路間諜活動，其中一個是當地的核能研究機構，攻擊者鎖定ownCloud伺服器，利用CVE-2023-49105繞過身分驗證，而能直接存取WebDAV資料夾的檔案。<a href="https://www.ithome.com.tw/news/178553">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/178573"><span style="font-size: 22px;"><strong>駭客假冒《俠盜獵車手VI》外流遊戲檔案，散布惡意程式</strong></span></a></p> <p>遊戲《俠盜獵車手VI》（GTA VI）於近期傳出檔案外流消息後，駭客隨即利用玩家期待心理，藉由假冒的遊戲外流檔案散布惡意軟體。這起事件的起因，是一位代號CyberLeek的爆料者於8月中旬陸續外洩該遊戲的影片與地圖，隨後網路上開始流傳號稱GTA VI完整遊戲內容的113GB ISO檔案。據Tom's Hardware於8月23日報導，研究人員分析流傳的GTA VI ISO檔案後，發現檔案內容幾乎全由零值資料填充，另夾帶約50KB的惡意程式。<a href="https://www.ithome.com.tw/news/178573">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/178542"><span style="font-size: 22px;"><strong>CISA揭近兩年CVE數量翻倍，逾4成已知遭利用漏洞涉及長期軟體弱點</strong></span></a></p> <p><a href="/sites/default/files/images/CISA CVE(1).png" target="_blank"><img alt="" src="/sites/default/files/images/CISA%20CVE(1).png" style="width: 300px; float: right;" /></a> 美國網路安全暨基礎設施安全局（CISA）公布2024至2025會計年度漏洞分析結果。近兩年CVE新增數量快速攀升，但實際遭利用的漏洞仍反覆涉及長年存在的軟體弱點，其中41.5%的已知遭利用漏洞（KEV）涉及MITRE長期追蹤的弱點。統計顯示，CVE紀錄從2024年度的14,234筆增至2025年度的30,517筆，數量增加超過一倍。進一步觀察KEV，這兩年度的漏洞主要集中在6種軟體弱點，包括SQL注入、輸入驗證不當、路徑遍歷、命令注入、程式碼注入，以及關鍵功能缺少身分驗證。<a href="https://www.ithome.com.tw/news/178542">詳全文</a> <a id="TW" name="TW"></a></p> <p><a href="https://www.ithome.com.tw/news/178548"><span style="font-size: 22px;"><strong>持續成為遭網攻次數最多的亞洲國家！臺灣7月每週面臨的攻擊次數達到全球的1.84倍</strong></span></a></p> <p><a href="/sites/default/files/images/chect_point_jully-chatgpt_image-main.jpg" target="_blank"><img alt="" src="/sites/default/files/images/chect_point_jully-chatgpt_image-main.jpg" style="width: 300px; float: right;" /></a> 資安廠商Check Point上週發布2026年7月全球資安威脅態勢回顧，指出全球每個組織每週平均遭受2,336次網路攻擊，較6月增加3%，對比去年同期增加16%；就全球各地區而言，拉丁美洲位居第一，平均每週遭受3,561次攻擊，相較去年同期增加19%，第二是亞太地區，平均為3,316次，第三是非洲，平均攻擊次數較去年同期減少5%，以攻擊次數年成長率來看，歐洲為18%，北美則是9%。單就國家而言，7月期間臺灣每個組織每週遭受的攻擊達到4,306次，為全球平均的1.84倍，名列亞太地區第一。<a href="https://www.ithome.com.tw/news/178548">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/178560"><span style="font-size: 22px;"><strong>Gartner估2027年AI安全市場規模達48億美元，年增近7成</strong></span></a></p> <p><a href="/sites/default/files/images/0901-gartner-960-3.jpg" target="_blank"><img alt="" src="/sites/default/files/images/0901-gartner-960-3.jpg" style="width: 300px; float: right;" /></a>研究調查機構Gartner預估，全球AI安全市場規模將從2026年的28.35億美元成長至2027年的47.83億美元，年增68.7%，2028年更將接近77億美元。Gartner指出，企業AI專案除了面臨新興漏洞，第三方與開源軟體的漏洞增加，加上供應鏈攻擊，也使整體安全風險進一步升高。Gartner預測，到2029年，成功攻擊AI代理（AI Agent）的事件中，超過半數將涉及存取控制弱點與提示詞注入（Prompt Injection）。<a href="https://www.ithome.com.tw/news/178560">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/178549"><span style="font-size: 22px;"><strong>Kubernetes 1.37強化工作負載身分安全，Pod憑證升為穩定版</strong></span></a></p> <p>雲端原生運算平臺Kubernetes正式發布Kubernetes 1.37，其中Pod憑證（Pod Certificates）與叢集信任套件（Cluster Trust Bundles）同時升為穩定版（Stable）。新機制讓Pod可透過Kubernetes取得X.509憑證，並由Kubelet處理私密金鑰與憑證生命週期，提供服務帳號JWT（Service Account JWT）之外的工作負載身分驗證方式。Kubernetes 1.37也將Manifest式准入控制（Manifest-based Admission Control）升為Beta，可讓管理者從本機靜態檔案載入准入Webhook與CEL政策。<a href="https://www.ithome.com.tw/news/178549">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/178557"><span style="font-size: 22px;"><strong>Android 17強化網路隱私與2G防護，降低網路追蹤與偽基地臺攻擊風險</strong></span></a></p> <p><a href="/sites/default/files/images/Android 17.png" target="_blank"><img alt="" src="/sites/default/files/images/Android%2017.png" style="width: 300px; float: right;" /></a> Google公布Android 17新一波網路隱私與連線安全措施，重點防範網路追蹤、App未經授權存取區域網路，以及偽基地臺攻擊等風險。新版系統導入ECH（Encrypted Client Hello）支援，當App所使用的網路函式庫與遠端伺服器均支援ECH時，可加密TLS建立連線時可能暴露的伺服器名稱資訊，減少網路業者或其他中介者辨識使用者連線網域的機會。Android 17也進一步限制App存取區域網路。以Android 17為目標版本的App，必須先取得使用者授權，才能掃描或連線同一網路內的智慧電視、攝影機等設備。行動網路方面，Android 17也強化2G防護，參與這項機制的電信業者可替用戶預設關閉2G。<a href="https://www.ithome.com.tw/news/178557">詳全文</a> <a id="AI" name="AI"></a></p> <p><a href="https://www.ithome.com.tw/news/178552"><span style="font-size: 22px;"><strong>AI生成詐騙內容成新威脅，數發部與Meta、Google等四大平臺聯手建立AI源頭阻詐防線</strong></span></a></p> <p><a href="/sites/default/files/images/jie_tu_2026-08-31_xia_wu_3_56_53.png" target="_blank"><img alt="" src="/sites/default/files/images/jie_tu_2026-08-31_xia_wu_3_56_53.png" style="width: 300px; float: right;" /></a>數發部8月31日宣布將深化與Meta 、Google、Line、TikTok等四大平臺業者合作，由政府提供最新詐騙樣態，協助平臺將其轉化為AI模型訓練資料及偵測規則。依據「詐欺犯罪危害防制條例」，四大網路廣告平臺依法須建立詐欺風險評估、防制計畫、廣告主實名制及廣告資訊揭露制度。數發部長林宜敬表示，除依法要求平臺業者落實廣告主實名驗證及資訊揭露外，更建立定期研商與情資交換機制，利用詐騙樣態進行AI模型訓練，把已知的詐騙案例轉化為防禦能量，以AI對抗AI詐騙，讓防護機制從事後處理走向事前預防，在民眾接觸到詐騙前就先主動攔阻。<a href="https://www.ithome.com.tw/news/178552">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/178563"><span style="font-size: 22px;"><strong>應對AI漏洞挑戰，FIRST國際資安應變組織擴大漏洞研討會規模</strong></span></a></p> <p>當AI打破漏洞修補節奏，過往資安團隊尚有餘裕應對的漏洞修補時程，如今正被大幅壓縮，如何在漏洞被發現或遭AI加速利用之前重新調整應對策略，已成為產業界迫切需要解決的課題，最近FIRST國際資安應變組織宣布，將於9月23日至25日召開VulnOptiCON 2026，將原本的Vuln4Cast研討會更名並擴大舉辦，不僅將會期拉長為3日，議程主軸也從原本以漏洞預測技術為核心，擴大納入漏洞追蹤、CVE計畫前景，以及AI如何改變漏洞發現及利用等議題，以涵蓋更廣泛的漏洞生態系統主題。<a href="https://www.ithome.com.tw/news/178563">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/178567"><span style="font-size: 22px;"><strong>ChatGPT、Reddit及Roblox被納入歐盟《數位服務法》規範</strong></span></a></p> <p>歐盟執委會（European Commission，EC）週一（8月31日）宣布，將ChatGPT納入《數位服務法》（Digital Services Act，DSA）超大型線上搜尋引擎（Very Large Online Search Engine，VLOSE）名單，Reddit與Roblox則被列為超大型線上平臺（Very Large Online Platform，VLOP），即日起適用DSA最嚴格規範，須於四個月內、即2027年1月前完成合規。《數位服務法》是歐盟自2024年起逐步生效的網路治理框架，凡在歐盟每月平均活躍用戶達4500萬人（約占總人口一成）的平臺或搜尋引擎，即被列為「Very Large」，必須承擔更高的透明度與風險控管責任，包括系統性風險評估、第三方獨立稽核，及開放研究人員存取資料等。目前DSA規範的對象已達到28個，臉書、Instagram、TikTok、維基百科、蘋果App Store、Amazon及WhatsApp也在其中。<a href="https://www.ithome.com.tw/news/178567">詳全文</a></p> </div></div></div>
9/1 14:52作者張明德https://www.ithome.com.tw/news/178579
Anthropic調整Claude Code每周用量上限，9月14日起較目前減少17%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Anthropic<strong><a href="http://x.com/ClaudeDevs/status/2093742322525810912">調整</a></strong>AI程式開發工具Claude Code的每周用量上限，9月14日起，Pro、Max、Team及按席位計費的Enterprise方案，標準額度將比原本提高25%。不過目前使用者享有50%的臨時加碼，在新制上路後，實際可用額度會比現在減少約17%。</p> <p>若把臨時加碼前的標準額度以100計算，目前提高50%後為150，9月14日起的新標準則為125。因此，新制雖然比原本增加25%，但從現行150降至125，減幅約16.7%。Anthropic也在後續說明中直接表示，相較目前的Claude Code每周額度，新制將減少17%。</p> <p>本次調整的是使用者適用於Claude Code的每周用量上限，不代表每名使用者可執行的操作次數固定減少17%。使用量會受到對話長度與複雜度、選用模型及使用功能等因素影響，因此無法把每周上限直接換算成固定的提問或程式開發次數。</p> <p>現行50%臨時加碼適用Pro、Max、Team，以及按席位計費的Enterprise方案，預計維持至9月13日。新制生效後，符合資格的使用者仍比臨時加碼前擁有更多Claude Code每周額度，只是低於目前加碼期間的水準。</p> <p>Anthropic也預告，後續還會有新的調整，讓使用者更容易掌握及控制Claude使用量，但尚未公布具體內容。新的Claude Code每周用量上限將自9月14日起生效。</p> </div></div></div>
9/1 16:37作者李建興https://www.ithome.com.tw/news/178590
勒索軟體Aurora同時借助Cursor AI與Claude Sonnet的力量，鎖定ESXi環境加密檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>勒索軟體Aurora（Aur0ra）從今年4月開始積極活動，<strong><a href="https://www.ithome.com.tw/news/178583">資安公司CloudSEK透露攻擊者使用AI程式碼助手Cursor規畫攻擊行動</a></strong>，並使用俄語與AI對話，並排除獨立國家國協（CIS）地區與國家，截至7月已有超過20家企業組織受害。有另一家資安公司也發現駭客暴露的基礎設施並著手調查，發現駭客不只濫用Cursor，也借助Claude Sonnet來從事活動。</p> <p><strong><a href="https://gambit.security/blog-posts/aurora-ransomware-targets-esxi-abuses-cursor-agent-for-exploitation">資安公司Gambit Security指出</a></strong>，Aurora從今年4月8日至5月21日，借助上述兩種AI工具，在10家企業組織從事手動操作的攻擊活動。攻擊者先透過自製的NetExec LDAP模組，在受害組織的網路環境尋找VMware ESXi虛擬機監控程式和vCenter伺服器，具體來說，該惡意模組會先向網域控制員查詢並解析物件，然後掃描443與902埠，讀取TLS憑證以取得ESXi簽章，拉取ESXi的系統指紋，擷取精確的系統資訊，從而在這些系統上部署勒索軟體，加密虛擬機器（VM），然後在SSH橫幅（banner）寫入勒索訊息。</p> <p>在部分受害組織的網路環境裡，這些駭客將Cursor與Claude Sonnet搭配使用，並提供AI程式碼助理憑證或是路由器資訊，由Cursor進行多種滲透行為。在部分活動裡，Aurora操作員只是要求Cursor提供資訊，例如，列出某個使用者具備的權限；但有些活動則是由操作員下達指示，利用指定工具進行攻擊流程，或是根據攻擊計畫執行，這些工作包括：植入VPN用戶端程式或代理伺服器工具、利用Nmap或NetExec掃描網路環境，以及試圖利用PetitPotam、Coerce Plus、PrinterBug，以及Impacket等工具從事NTLM中繼攻擊。</p> </div></div></div>
9/1 16:41作者周峻佑https://www.ithome.com.tw/news/178592
OpenAI ChatGPT Ads年化收入突破10億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://openai.com/index/expanding-access-to-ai-with-chatgpt-ads/" target="_blank">OpenAI周一（8/31）宣布</a>，旗下廣告業務ChatGPT Ads上線約200天以來，受到數萬家廣告主的青睞，年化收入已突破10億美元。根據<a href="https://siliconangle.com/2026/08/31/openai-says-its-ad-business-has-already-hit-1b-in-annualized-revenue/" target="_blank">SiliconAngle</a>的報導，OpenAI的目標是在年底前讓廣告的年化收入衝上25億美元，整體年化收入突破400億美元。</p> <p>ChatGPT Ads為OpenAI於ChatGPT對話中置入的廣告投放服務，於今年2月<a href="https://www.ithome.com.tw/news/173873" target="_blank">正式上線</a>。相關廣告只會出現在免費用戶及Go訂閱用戶的對話回答中，付費用戶則不會看到廣告，目前已推廣至逾40個國家；5月推出的自助投放平臺Ads Manager則支援中小企業與新創公司自行上架廣告，即日起亦擴大支援印度、歐洲、中東及北非的廣告主。</p> <p>OpenAI表示，廣告為該公司多元化商業模式的其中一環，與消費者訂閱、企業服務及按用量計費的API並列；這些不同的服務讓一般使用者、開發者與企業能依需求選擇取用產品的方式，其中由廣告支撐的免費層，也讓ChatGPT得以持續服務超過10億的每周活躍用戶。</p> <p>此外，<a href="https://ads.openai.com/zh-TW" target="_blank">ChatGPT Ads平臺</a>日益成熟，多數廣告採用「按點擊付費」與「依成效自動調整出價」的方式，不再單純以曝光次數計價；OpenAI也提供追蹤工具，讓廣告主得以掌握使用者點擊廣告後，是否真的完成購買、註冊等動作，以作為衡量成效、優化投放的依據。</p> <p>OpenAI強調，始終清楚標註ChatGPT中的廣告，並與該聊天機器人的回應完全分開；廣告不會影響ChatGPT所提供的答案，廣告主亦無法存取用戶的私人對話；並允許用戶控制自己廣告的個人化程度。</p> </div></div></div>
9/1 15:51作者陳曉莉https://www.ithome.com.tw/news/178582
勒索軟體Aurora濫用Cursor AI從事攻擊活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安公司<strong><a href="https://www.cloudsek.com/blog/aurora-ransomware-affiliate-ai-attack-planning-crypto-payments">CloudSEK</a>與</strong>TRM Labs聯手，揭露勒索軟體Aurora（Aur0ra）的攻擊活動，他們根據駭客錯誤配置的伺服器，發現攻擊工具、AI輔助的攻擊規畫，以及與受害者對贖金進行談判的介面。該組織從今年4月開始積極活動，截至7月已有超過20家企業組織受害，這些受害組織分布於9個國家，其中17家駭客取得網域層級的互動存取權限，其中4家被列入Aurora的資料外洩網站。該組織最引起研究人員注意的地方，在於他們使用AI程式碼助手Cursor規畫攻擊行動，並使用俄語與AI對話，並排除獨立國家國協（CIS）地區與國家。</p> <p>CloudSEK指出，Aurora經營團隊已打造能重複執行的AD入侵指引，然後由附屬團體自行部署勒索軟體並加密檔案，根據TRM Labs對於區塊鏈的分析，攻擊者可能已收到兩筆贖金。另一個在勒索軟體裡相當特別的地方，是這些駭客使用Zig語言打造加密程式，CloudSEK看到有Windows與Linux/ESXi版本，攻擊者都是從公開的Cloudflare R2儲存桶拉取，透過SCP通訊協定傳送至受害主機。兩種加密程式都是由相同的Zig程式碼編譯而成，其中一個證據，是Windows版二進位檔內含Linux版的使用範例。</p> </div></div></div>
9/1 15:53作者周峻佑https://www.ithome.com.tw/news/178583
FSB警告AI可能會破壞全球金融穩定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>負責制定國際金融監理標準的金融穩定委員會（Financial Stability Board，FSB）主席<a href="https://www.fsb.org/2026/08/fsb-chair-warns-of-risks-arising-from-frontier-artificial-intelligence-ai-models/">Andrew Bailey周一（8/31）警告</a>，指出隨著具備高自主性的「前沿AI模型」崛起，結合市場日益高漲的槓桿，正讓全球金融體系的風險版圖更趨複雜，恐衝擊市場信心與金融穩定。</p> <p>這篇警告的核心聚焦於人工智慧帶來的多重衝擊。<a href="https://www.fsb.org/uploads/P310826.pdf">貝利特別設立專章指出</a>，前沿AI模型展現出日益成熟的自主能力與威脅潛力，其中最急迫的隱患在於網絡安全。由於金融業高度依賴少數集中的第三方科技服務商，AI可能實質改變資安攻擊的速度與規模，一旦爆發漏洞將迅速跨國蔓延。</p> <p>此外，AI企業與超大規模雲端商之間的交叉投資加劇了市場集中度，並正與不斷攀升的槓桿互動，這可能在未來市場修正時大幅放大衝擊。</p> <p>同時擔任英格蘭銀行（Bank of England）總裁的Bailey也平衡納入了其他不容忽視的總體與傳統金融威脅。信中指出，中東衝突加劇了能源通膨與融資成本攀升，同時主權債務市場的發債過剩與期限縮短、私人信貸的流動性錯配，以及整體權益市場中對沖基金與槓桿 ETF 的擴張，都在持續侵蝕市場韌性。</p> <p>這些傳統的市場槓桿與宏觀脆弱性，正與AI相關投資的高估值緊密交織。當市場情緒轉空時，新舊風險將互相放大破壞力，成為跨國無序修正的導火線。FSB 藉此呼籲各界建立安全的AI部署協議，同時全面強化金融機構的資安與資本防線。</p> </div></div></div>
9/1 15:59作者陳曉莉https://www.ithome.com.tw/news/178584
繼Gemini後，OpenAI ChatGPT與Grok進駐美軍AI平臺GenAI.mil
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國戰爭部（Department of War，DoW）周一（8/31）宣布，OpenAI的<a href="https://www.war.gov/News/Releases/Release/Article/4586352/department-of-war-launches-openais-chatgpt-mil-on-genaimil/">ChatGPT Mil</a>與<a href="https://www.war.gov/News/Releases/Release/Article/4586482/department-of-war-launches-starshield-ais-grok-for-government-on-genaimil/">Grok for Government</a>正式登上其企業級生成式AI平臺GenAI.mil，加入去年12月率先進駐的Google Gemini for Government。</p> <p><a href="https://www.war.gov/News/News-Stories/Article/Article/4355797/hegseth-introduces-department-to-new-ai-tool/">GenAI.mil平臺</a>是DoW在2025年12月替300萬名行政人員、軍人及承包商所打造的企業AI入口，以提供文件撰寫、研究、摘要、清單、行政作業等服務，首個AI服務為Google的Gemini for Government。儘管GenAI.mil平臺明確排除機密或作戰用途，但所採用的模型都必須通過戰爭部訂定的管制非機密資訊（Controlled Unclassified Information，CUI）Impact Level 5雲端資安認證標準。</p> <p>而今，ChatGPT Mil也已通過CUI Impact Level 5資安認證，可用於部隊內部涉及規畫、政策、後勤與行政等文書量大的非機密工作。核心功能涵蓋聊天、檔案管理、專案協作與客製化GPT，後續將陸續加入更多功能。</p> <p><a href="https://openai.com/zh-Hant/index/bringing-chatgpt-to-genaimil/">OpenAI也同步發布聲明</a>，說明將在GenAI.mil上部署客製化版本的ChatGPT，運行於經授權的政府雲端基礎設施，並具備內建安全控管機制，延續此前與五角大廈在DARPA網路防禦專案等領域的合作。</p> <p>至於DoW另一篇新聞稿中提到的Grok for Government則是隸屬於Starshield AI。Starshield為SpaceX的政府/國安業務品牌，而Grok則是今年已併入SpaceX的xAI所開發的模型，但文中並未提到SpaceX或xAI。</p> <p>同樣通過CUI Impact Level 5認證的Grok for Government具備深度思考推理能力，支援Auto、Fast及Expert三種推理模式，可自訂工作區，以及可重複使用的Playbook範本功能，應用場景涵蓋採購人員的市場研究分析與後勤人員的供應鏈管理等。</p> <p>戰爭部透露，GenAI.mil上線逾9個月以來，已吸引超過170萬名不重複使用者，占全部門一半以上的人力。</p> </div></div></div>
9/1 13:58作者陳曉莉https://www.ithome.com.tw/news/178576
FTC攜22州控告Amazon廣告拍賣「暗藏加價」逾7年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國聯邦交易委員會（Federal Trade Commission，FTC）本周一（8/31）聯合阿拉斯加、亞利桑那、加州、科羅拉多、佛羅里達、華盛頓州等22州檢察長，<a href="https://www.ftc.gov/news-events/news/press-releases/2026/08/ftc-states-sue-amazon-over-secret-ad-surcharge-scheme" target="_blank">向亞馬遜（Amazon）提起訴訟</a>，指控其電商廣告拍賣機制長期暗藏隱形加價，涉及超過100萬名品牌與賣家，認為Amazon可能因此非法多賺逾200億美元。</p> <p>訴狀指出，Amazon多年來對外宣稱旗下Sponsored Products、Sponsored Brands及Display Ads等廣告採用業界標準的「廣義第二價格拍賣」（Generalized Second-Price Auction，簡稱GSP），得標者只需支付「第二高出價再加一分錢」，而非自己出的最高價，藉此讓廣告主敢於出較高價格競標。</p> <p>然而，Amazon自2019年起在計價環節悄悄加入一項內部稱為「軟保留價」（Soft Reserve Price）的隱藏門檻。與拍賣前就設定的一般保留價不同，這個軟保留價是在拍賣已分出誰得標、算出「理論第二價格」之後才介入計算，若軟保留價高於原本算出的第二價格，Amazon就會改收軟保留價，讓廣告主實際支付的金額，常常等同或接近自己出的最高價，而非規則所稱的「第二高出價再加一分錢」。而且，Amazon並未向廣告主揭露軟保留價的存在。</p> <p><a href="https://www.ftc.gov/system/files/ftc_gov/pdf/AmazonAds-Complaint.pdf" target="_blank">訴狀指控</a>，這7年多以來，Amazon暗中提高了逾100萬個品牌與賣家在其平臺上投放廣告的費用，從不知情的廣告客戶身上非法多榨出逾200億美元的廣告費用。然而，在對外的行銷文件中，Amazon卻都宣稱採用第二價格拍賣的行業標準。</p> <p>FTC調查，此一軟保留價導致廣告主付到自己出價金額的頻率越來越高。以Sponsored Products廣告為例，廣告主付到自己出價金額的比例從2021年的30%至40%，攀升到2022年的70%，再到2024年的約80%，這讓第二價格拍賣實質上變相成了第一價格拍賣。</p> <p><a href="https://www.aboutamazon.com/company-news/amazon-ftc-sponsored-ads-lawsuit-response" target="_blank">Amazon當天即發表聲明</a>，指稱該訴訟誤解了廣告主的實際運作方式。根據Amazon的說法，其廣告拍賣機制會將「廣告與消費者搜尋內容的相關性」納入評比，因此得標者未必是出價最高者，2024年就大概有92%得標廣告並非出價最高者，導致2019至2025年間的平均得標價格下滑了5成。</p> <p>Amazon解釋，隨著相關性權重提高，得標出價明顯下滑，等於黃金廣告版位的實際售價被低估，因此才引入「軟保留價」概念，用即時計算的方式反映版位真正的市場價值，避免版位被賤賣。</p> <p>對於未公開「軟保留價」的存在，Amazon把責任歸咎於教材沒更新或稽核疏漏，<a href="https://advertising.amazon.com/help/GEXGZNBBWPZZK7P8" target="_blank">但其實Amazon</a>一直到今年4月更新Amazon Ads Help的內容時才明確解釋該門檻的使用。</p> </div></div></div>
9/1 12:21作者陳曉莉https://www.ithome.com.tw/news/178572
研究人員Nightmare Eclipse公開Nvidia記憶體中斷漏洞GreenSection
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>從今年4月開始多次公布微軟零時差漏洞的資安研究人員Nightmare Eclipse（Chaotic Eclipse），近期開始針對其他廠牌的系統挖掘零時差漏洞，其中包括存在於卡巴斯基、Avast防毒軟體的<strong><a href="https://www.ithome.com.tw/news/178570">權限提升漏洞HardBreacher、PrettyPrague</a></strong>，該名研究員本週也揭露存在於Nvidia元件的零時差漏洞。</p> <p>該漏洞<strong><a href="https://github.com/MSNightmare/GreenSection">被命名為GreenSection</a></strong>，起因是多個Nvidia使用者模式元件共用特定的全域記憶體區段，而且任何人都能完整地讀取或寫入，由於該區塊存放了重要的資料結構，資料有可能在應用程式執行的過程被重複利用，導致出現記憶體越界寫入的現象。研究人員強調，雖然該弱點無法讓攻擊者直接得到系統權限，但可以輕易跨使用者利用，甚至破壞dwm.exe的處理程序。</p> <p><strong><a href="https://www.linkedin.com/posts/cybersecurity-infosec-zeroday-share-7499696465997455360-Csyd/">紅隊實驗室Ronin66指出</a></strong>，此弱點存在於Nvidia顯示晶片的驅動程式，當任何Vulkan或OpenGL應用程式執行，研究人員的概念驗證程式碼（PoC）都會造成nvoglv64.dll停止運作，由於該漏洞突顯在搭載Nvidia顯示晶片的Windows電腦裡，驅動程式中可全域寫入記憶體共用區塊，該實驗室認為，GreenSection是值得關注的新攻擊面。</p> </div></div></div>
9/1 12:34作者周峻佑https://www.ithome.com.tw/news/178574
Microsoft 365驗證異常擴大，Exchange Online郵件與Teams等多項服務受影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟於臺灣時間9月1日凌晨<strong><a href="https://x.com/MSFT365Status/status/2094455556454920701">開始調查</a></strong>Exchange Online異常，隨後確認問題波及多項Microsoft 365服務。Exchange Online受影響最明顯，使用者可能遇到郵件收發延遲或失敗、登入錯誤、信箱搜尋異常及管理功能無法正常操作，微軟初步將問題指向服務用來處理使用者身分驗證的核心設定，事故也波及Microsoft Teams、OneDrive for Business、SharePoint Online、Microsoft Purview及Microsoft Defender XDR等服務。</p> <p>事故最初從Exchange Online出現異常，微軟以事件編號<strong><a href="https://mailservices.isc.upenn.edu/computing/email/penno365/alerts/ms-incidents.html?q=EX1464935">EX1464935</a></strong>追蹤，除了郵件可能延遲或無法寄送與接收，使用者也可能碰到信箱搜尋結果不完整、登入Exchange Online失敗，以及管理員無法正常使用Exchange管理功能等情況。</p> <p>隨著調查範圍擴大，微軟另以<strong><a href="https://mailservices.isc.upenn.edu/computing/email/penno365/alerts/ms-incidents.html?q=MO1465074">MO1465074</a></strong>追蹤跨Microsoft 365服務的影響。Teams可能出現行事曆與搜尋異常，使用者的上線或忙碌狀態也可能無法正常更新，OneDrive for Business與SharePoint Online同樣受到影響，Purview與Defender XDR則可能發生登入或存取服務失敗。</p> <p>微軟調查後發現，問題與多項Microsoft 365服務使用的核心身分驗證設定有關。由於身分驗證是使用者登入服務及確認存取權限的重要步驟，一旦異常，就可能連帶影響郵件、搜尋及其他需要驗證的功能。</p> <p>工程團隊目前正重新套用受影響環境的核心身分驗證元件，並重啟部分基礎設施，持續檢查服務恢復情況。微軟表示，Exchange Online郵件流量已開始恢復，不過事故期間累積的郵件仍可能延後送達，部分Microsoft 365功能也可能暫時出現異常。</p> <p>微軟目前尚未公布完整受影響地區、實際受影響使用者數及最終事故原因。Microsoft 365管理員可透過Exchange Online事故編號EX1464935，以及跨服務事故編號MO1465074追蹤後續處理進度。</p> </div></div></div>
9/1 12:38作者李建興https://www.ithome.com.tw/news/178571
研究人員Nightmare Eclipse公布卡巴斯基、Avast防毒軟體的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>屢次槓上微軟的資安研究人員Nightmare Eclipse（Chaotic Eclipse），在8月上旬公布<strong><a href="https://www.ithome.com.tw/news/178101">Microsoft Defender零時差漏洞ShieldBreak</a></strong>之後，最近將研究對象轉向其他廠牌的防毒軟體。</p> <p>根據<strong><a href="https://www.securityweek.com/nightmare-eclipse-drops-hardbreacher-kaspersky-product-exploit/">資安新聞網站SecurityWeek報導</a></strong>，上週該名研究員公布卡巴斯基企業版端點防護系統Kaspersky Endpoint Security權限提升漏洞<strong><a href="https://github.com/MSNightmare/HardBreacher">HardBreacher</a></strong>，一旦漏洞利用成功，攻擊者就有機會得到完整的權限。她也提到，假如攻擊者能夠控制UI流程，就可能讓該防毒軟體失去控制，並停止運作，或是授權、封鎖不該存取的檔案。對此，卡巴斯基向SecurityWeek表示，他們已透過自動更新派送相關修補程式。</p> <p>本週該名研究員公布另一個零時差漏洞<strong><a href="https://github.com/MSNightmare/PrettyPrague">PrettyPrague</a></strong>，並指出該問題出現在Gen Digital旗下的Avast Antivirus，她提供的概念驗證程式碼可濫用該防毒軟體的沙箱元件，截取SAM資料庫並產生完整的SYSTEM層級Shell。值得留意的是，雖然研究員採用已完全更新的Windows 11 25H2與Avast Antivirus進行驗證，但她認為有可能會影響AVG、Norton等Gen Digital旗下其他品牌的防毒軟體。</p> </div></div></div>
9/1 11:52作者周峻佑https://www.ithome.com.tw/news/178570
傳蘋果App Store主管Phil Schiller下臺，續任院士
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在庫克（Tim Cook）步下執行長之時，<a href="https://www.bloomberg.com/news/articles/2026-08-31/apple-s-phil-schiller-steps-down-from-running-app-store-and-product-events">彭博報導</a>引述消息人士指出，蘋果App Store主管暨產品發表大會核心人物Phil Schiller將離開現職，續任蘋果院士榮譽職。</p> <p>9月1日，蘋果新任執行長John Ternus正式接掌大位，宣告庫克時代的結束。庫克則轉任Apple Executive Chairman，協助處理公司特定事務，包括與全球各地政策制定者進行交流。</p> <p>Schiller於1987年加入公司，曾經短暫離開。他在賈伯斯（Steve Jobs）1997年重返蘋果時被找回公司成為行銷舵手，並在庫克上任後持續擔任要職。Schiller曾參與蘋果多項產品的誕生。</p> <p>iPod著名的轉輪（Click Wheel）設計即是<a href="https://news.ycombinator.com/item?id=2115104">由Schiller提出</a>，讓使用者能快速滾動瀏覽數千首歌曲。他擔任全球行銷資深副總裁期間，也參與iMac、iPod、iPhone、iPad及MacBook等產品的行銷與產品定位，以及App Store的行銷策略與產品定位，也是賈伯斯和庫克時代產品發表大會的重要講者。Schiller於2020年獲頒蘋果院士頭銜，但仍管理App Store業務，並持續負責產品發表活動。</p> <p>消息人士指出，Schiller卸任後，App Store將移交由服務業務資深副總裁Eddy Cue領導的服務團隊管理；產品發表活動的相關職責也將另行交接。他仍續任蘋果院士，參與部分特定內部專案，但彭博指出，純粹擔任院士榮譽職可能朝退休邁進一大步。</p> <p>Schiller是今年以來異動的蘋果高層之一。在他之前，還有環境、政策與社會倡議副總裁Lisa Jackson、法務長Katherine Adams退休。主導Apple Pay及Apple Wallet的蘋果主管<a href="https://www.ithome.com.tw/news/178053">Jennifer Bailey</a>將在今年10月退休。去年底則有AI負責人John Giannandrea退休、設計團隊領導人Alan Dye離職加入Meta。</p> </div></div></div>
9/1 10:25作者林妍溱https://www.ithome.com.tw/news/178564
新加坡讓公立醫院、診所都能自建AI代理人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.synapxe.sg/media-releases/artificial-intelligence/public-healthcare-agentic-ai-platform" target="_blank">新加坡政府8月底公布</a>一項公立醫療AI平臺Synapxe AgentSea，要讓所有公立醫療機構都能不用寫程式即可自行建立、使用和分享客製化AI代理人。</p> <p>Synapxe AgentSea是由新加坡的Synapxe與AWS（Amazon Web Services）合作開發。Synapxe是新加坡衛生部（MOH）旗下的國家級醫療科技局，前身「綜合保健信息系統公司」（IHiS），於2023年改名為Synapxe，支援46家公立醫療機構營運，以及約1,400個合作夥伴，包括急症醫院、綜合診所。新加坡數位發展及新聞部暨衛生部高級政務部長Tan Kiat How於8月份醫療展會Healthcare Information and Management Systems Society（HIMSS）上發表這個平臺。</p> <p>Synapxe AgentSea讓不具有技術背景的公營醫療機構專業人員可以自然語言建立客製化AI代理人。醫療機構員工自建的AI代理人可自動化多步驟工作流來完成多數日常業務，包括摘要臨床紀錄、檢討採購文件、產生輪班表、或日常生產力作業等。</p> <p><a href="https://www.straitstimes.com/tech/new-platform-to-create-ai-agents-available-to-all-public-healthcare-professionals" target="_blank">《海峽時報》報導</a>，約8萬名公立醫療專業人員可使用AgentSea。這個雲端平臺整合醫療領域專業及進階AI技術，可提供使用者在安全及受控管的環境使用AI，並遵循新加坡國家代理人AI治理標準，提供安全防護技術，確保敏感資訊隱私、不對外分享。此外本平臺也內建治理控制，包括經過允許的工具和連接器，以及稽核日誌、監控工具以防止濫用。</p> <p>AgentSea在兩個月前首度上線，迄今醫療機構人員已在其平臺上建立了超過1.2萬個AI代理人。新加坡政府相信這反映醫療人員對使用AI代理人有濃厚興趣，不僅用於基本生產力作業，也為營運和臨床工作開發專用AI代理人。</p> <p>AgentSea是新加坡為公立醫療部門用戶打造的國家AI平臺基礎上最新的服務。這個平臺之前的平臺元件包括HEALIX、Synapxe Tandem和AimSG。其中HEALIX是供公立醫療體系使用的雲端分析平臺，是新加坡政府與Databricks、Google Cloud等合作開發。Synapxe Tandem為生成式人工智慧（GenAI）應用開發測試平臺。AimSG則是用於輔助診斷的AI醫療影像平臺。</p> <p>此外，Synapxe去年6月<a href="https://www.synapxe.sg/media-releases/artificial-intelligence/ai-accelerate-2025" target="_blank">與OpenAI簽訂合作協議</a>，引進OpenAI Agents SDK技術，以便提供平臺讓醫療部門開發交易型應用程式，如約診應用及回答一般醫療問題。</p> </div></div></div>
9/1 10:34作者林妍溱https://www.ithome.com.tw/news/178565
PaperCut零時差漏洞疑似被用於竊取資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>列印管理系統供應商PaperCut於8月27日警告，<strong><a href="https://www.ithome.com.tw/news/178550">有人利用零時差漏洞攻擊PaperCut NG與PaperCut MF用戶</a></strong>，這些弱點後來被登記為CVE-2026-82078、CVE-2026-81578，這段期間有多家資安公司揭露漏洞遭到利用的情形，</p> <p>較早揭露的是威脅情報公司Huntress，他們在PaperCut提出警告之前，<strong><a href="https://www.huntress.com/blog/papercut-actively-exploited">已觀察到兩起漏洞利用活動</a></strong>，其中一起發生在8月26日，過程只有大約兩分鐘。根據他們對於事件記錄檔案server.log的調查，該檔案出現多個以Base64編碼處理的字串，可被解開組成兩個串接指令，用途是識別受害電腦的使用者帳號，以及Windows作業系統的版本。該公司從事件記錄檔找到十六進位編碼的檔案Java .class，用途是把另一個.class檔案傳送到PaperCut伺服器的特定資料夾，新的檔案可在Linux或Windows執行指令，取得電腦上的資料夾列表。另一起事故發生在27日，攻擊者除收集使用者名稱與作業系統版本，還會偵測正在執行的處理程度。另一家威脅情報公司watchTowr<strong><a href="https://www.linkedin.com/posts/yesterday-watchtowr-rapidly-reacted-to-share-7499107361605722112-b2gE/">也偵測到漏洞利用活動</a></strong>，並表示他們不僅完整重現漏洞，並找到額外的身分驗證繞過弱點。</p> <p>威脅情報公司Defused Cyber也跟進此事，<strong><a href="https://x.com/DefusedCyber/status/2094004924660982073">表示在8月29日於蜜罐陷阱偵測到漏洞利用活動</a></strong>，但與已公開的漏洞利用活動有所不同，這次攻擊者並非將其用於遠端程式碼執行（RCE），而是竊取資料，他們透過Derby截取資料庫的表單內容。</p> </div></div></div>
9/1 10:46作者周峻佑https://www.ithome.com.tw/news/178566
ChatGPT、Reddit及Roblox被納入歐盟《數位服務法》規範
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>歐盟執委會（European Commission，EC）<a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_26_1772" target="_blank">周一（8/31）宣布</a>，將ChatGPT納入《數位服務法》（Digital Services Act，DSA）超大型線上搜尋引擎（Very Large Online Search Engine，VLOSE）名單，Reddit與Roblox則被列為超大型線上平臺（Very Large Online Platform，VLOP），即日起適用DSA最嚴格規範，須於四個月內、即2027年1月前完成合規。</p> <p><a href="https://www.ithome.com.tw/news/151788" target="_blank">《數位服務法》</a>是歐盟自2024年起逐步生效的網路治理框架，凡在歐盟每月平均活躍用戶達4500萬人（約占總人口一成）的平臺或搜尋引擎，即被列為「Very Large」，必須承擔更高的透明度與風險控管責任，包括系統性風險評估、第三方獨立稽核，及開放研究人員存取資料等。新成員讓DSA規範的對象達到28項服務，臉書、Instagram、TikTok、維基百科、蘋果App Store、Amazon及WhatsApp也在其中。</p> <p>EC指出，ChatGPT因能回應使用者提問並具備網路搜尋功能，性質上屬於「混合型服務」，符合DSA中的線上搜尋引擎定義；新聞社交平臺Reddit與遊戲創作平臺Roblox則因允許使用者公開發布並分享第三方內容，而被歸類為線上平臺。</p> <p>負責科技主權、安全與民主事務的執委Henna Virkkunen表示，新認定意味著3家業者將面臨更高標準的監督與課責，反映其對社會與公民的重大影響力，EC將持續密切觀察數位市場，不排除對其他達到門檻業者祭出同樣認定。</p> <p>依照規定，ChatGPT與Reddit由愛爾蘭數位服務協調機關監督，Roblox則由荷蘭消費者與市場管理局負責；一旦違反DSA規範，業者最高恐面臨全球年營收6%的罰款。</p> </div></div></div>
9/1 10:47作者陳曉莉https://www.ithome.com.tw/news/178567
應對AI漏洞挑戰，FIRST國際資安應變組織擴大漏洞研討會規模
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>當AI打破漏洞修補節奏，過往資安團隊尚有餘裕應對的漏洞修補時程，如今正被大幅壓縮，如何在漏洞被發現或遭AI加速利用之前重新調整應對策略，已成為產業界迫切需要解決的課題，最近FIRST國際資安應變組織宣布，將於9月23日至25日<a href="https://www.first.org/newsroom/releases/20260820"><strong>召開VulnOptiCON 2026</strong></a>，將原本的Vuln4Cast研討會更名並擴大舉辦，不僅將會期拉長為3日，議程主軸也從原本以漏洞預測技術為核心，擴大納入漏洞追蹤、CVE計畫前景，以及AI如何改變漏洞發現及利用等議題，以涵蓋更廣泛的漏洞生態系統主題。</p> <p>該組織表示，<strong><a href="https://www.ithome.com.tw/news/176652">今年CVE漏洞數量預計將超過6.6萬個</a></strong>，突破以往紀錄，產業需要了解如何更好管理風險。這場研討會將集結資安實務人員、漏洞研究人員、學界與資料科學家，齊聚分享善用漏洞、組態或攻擊資料的實務技巧，以預先因應危機發生。</p> <p>FIRST漏洞預測團隊負責人Éireann Leverett表示：「在資安領域，我們最大的敵人不是漏洞本身，而是不確定有多少漏洞潛伏在暗處。如今，隨著AI被導入漏洞發現與利用，漏洞研究社群正面臨前所未見的不確定性與變化。」他期望今年的VulnOptiCON能創造更多互動，讓整個資安社群能互相交流、強化彼此的成果，接納並調整新的思考方式，進而發掘新的機會。</p> <p>VulnOptiCON將延續Vuln4Cast每年更換歐洲城市舉辦的傳統，2026年的活動將移師盧森堡，並與盧森堡電腦事件回應中心（CIRCL）合作舉辦。</p> <p> </p> </div></div></div>
9/1 10:50作者羅正漢https://www.ithome.com.tw/news/178563
美國警告PaperCut零時差漏洞遭到積極利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>上週<strong><a href="https://www.ithome.com.tw/news/178550">列印管理系統供應商PaperCut提出警告</a></strong>，旗下的PaperCut NG與PaperCut MF系統存在零時差漏洞CVE-2026-82078、CVE-2026-81578，且已有客戶遭到攻擊，本週美國要求政府機關著手修補。</p> <p>8月31日美國網路安全與基礎設施安全局（CISA）警告，<strong><a href="https://www.cisa.gov/news-events/alerts/2026/08/31/cisa-adds-two-known-exploited-vulnerabilities-catalog">他們已掌握上述漏洞遭積極利用的證據</a></strong>，將其列入已遭利用的漏洞名單（KEV），聯邦機構需在9月14日前完成修補。</p> </div></div></div>
9/1 10:06作者周峻佑https://www.ithome.com.tw/news/178562
CISA揭近兩年CVE數量翻倍，逾4成已知遭利用漏洞涉及長期軟體弱點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國網路安全暨基礎設施安全局<a href="https://www.cisa.gov/resources-tools/resources/cisa-vulnerability-review" target="_blank">（CISA）公布2024至2025會計年度漏洞分析結果</a>。近兩年CVE新增數量快速攀升，但實際遭利用的漏洞仍反覆涉及長年存在的軟體弱點，其中41.5%的已知遭利用漏洞（KEV）涉及MITRE長期追蹤的弱點。</p> <p>統計顯示，CVE紀錄從2024年度的14,234筆增至2025年度的30,517筆，數量增加超過一倍。進一步觀察KEV，這兩年度的漏洞主要集中在6種軟體弱點，包括SQL注入、輸入驗證不當、路徑遍歷、命令注入、程式碼注入，以及關鍵功能缺少身分驗證。這些弱點也都列入MITRE彙整的CWE Top 25最危險軟體弱點清單，並可對應26種MITRE ATT&CK戰術、技術與程序（TTP），顯示攻擊者仍持續利用已知且可避免的軟體缺陷。</p> <p class="rtecenter" data-end="481" data-start="252"><img alt="" src="/sites/default/files/images/0901-CISA-600.png" style="width: 600px;" /></p> <p data-end="481" data-start="252"><span style="color:#696969;"><span style="font-size:14px;">圖片來源/CISA</span></span></p> <p>既有系統維護也暴露出安全缺口。CISA網路衛生漏洞掃描資料顯示，2024至2025年度接受掃描的美國關鍵基礎設施組織中，51%仍使用已終止支援的軟體，91%仍使用已棄用的SSL/TLS協定。</p> <p>在AI帶來的影響方面，CISA指出，AI不只加快漏洞發現，攻擊者也愈來愈常利用AI自動化漏洞利用流程。組織排定漏洞修補順序時，不應只看通用漏洞評分系統（CVSS）分數，而應綜合考量資產是否暴露於公開網路、漏洞是否列入KEV、利用漏洞所需步驟能否自動化，以及遭利用後造成的技術影響。CISA也呼籲軟體業者落實安全設計（Secure by Design）原則，在產品設計與開發階段就減少常見安全缺陷。</p> </div></div></div>
9/1 08:00作者王珮瑤https://www.ithome.com.tw/news/178542
Kubernetes 1.37強化工作負載身分安全，Pod憑證升為穩定版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>雲端原生運算平臺Kubernetes<a href="https://kubernetes.io/blog/2026/08/26/kubernetes-v1-37-release/" target="_blank">正式發布Kubernetes 1.37</a>，其中Pod憑證（Pod Certificates）與叢集信任套件（Cluster Trust Bundles）同時升為穩定版（Stable）。新機制讓Pod可透過Kubernetes取得X.509憑證，並由Kubelet處理私密金鑰與憑證生命週期，提供服務帳號JWT（Service Account JWT）之外的工作負載身分驗證方式。</p> <p>Kubernetes<a href="https://kubernetes.io/blog/2026/08/28/kubernetes-v1-37-pod-certificates-and-cluster-trust-bundles/" target="_blank">說明Pod憑證與叢集信任套件的安全設計</a>，過去內建的工作負載身分主要仰賴服務帳號JWT，但這類持有者權杖（Bearer Token）一旦遭竊，攻擊者可能藉此冒用工作負載身分。Pod憑證改採X.509憑證與非對稱密碼機制，可用於TLS與雙向TLS（mTLS）身分驗證，並支援憑證自動輪替。</p> <p>不過，Kubernetes核心目前尚未提供Pod憑證簽發器。管理者仍需另外部署憑證簽發控制器（Signer Controller），負責簽發與更新憑證，並維護叢集信任套件中的信任錨點資訊，再由Kubelet將所需憑證提供給工作負載使用。</p> <p>Kubernetes 1.37也將Manifest式准入控制（<a href="https://kubernetes.io/docs/reference/access-authn-authz/manifest-admission-control/" target="_blank">Manifest-based Admission Control</a>）升為Beta，可讓管理者從本機靜態檔案載入准入Webhook與CEL政策。這些安全政策可在API伺服器啟動時生效，不依賴etcd，也無法透過Kubernetes API修改，可降低具備API權限者竄改准入政策的風險。</p> </div></div></div>
9/1 08:00作者王珮瑤https://www.ithome.com.tw/news/178549
Android 17強化網路隱私與2G防護，降低網路追蹤與偽基地臺攻擊風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p data-end="597" data-start="340">Google<a data-end="446" data-start="346" href="https://blog.google/security/new-android-network-security-protections/?utm_source=chatgpt.com" rel="noopener" target="_blank">公布Android 17新一波網路隱私與連線安全措施</a>，重點防範網路追蹤、App未經授權存取區域網路，以及偽基地臺攻擊等風險。新版系統導入ECH（Encrypted Client Hello）支援，在App使用的網路函式庫與遠端伺服器均支援ECH時，可加密TLS建立連線時可能暴露的伺服器名稱資訊，減少網路業者或其他中介者辨識使用者連線網域的機會。</p> <p data-end="848" data-start="599">Android 17也進一步限制App存取區域網路。<a data-end="716" data-start="625" href="https://developer.android.com/about/versions/17/behavior-changes-17?utm_source=chatgpt.com" rel="noopener" target="_blank">以Android 17為目標版本的App</a>，必須先取得使用者授權，才能掃描或連線同一網路內的智慧電視、攝影機等設備。這類App也會預設採用憑證透明度（Certificate Transparency，CT）機制，要求相關TLS憑證記錄於公開日誌，以利查驗異常或偽造憑證，降低相關攻擊未被察覺的風險。</p> <p data-end="987" data-start="850">行動網路方面，Android 17也強化2G防護，參與這項機制的電信業者可替用戶預設關閉2G。Google指出，偽基地臺可迫使原本連上LTE或5G的手機改連安全性較低的2G網路，藉此繞過現有垃圾訊息與詐騙過濾機制，再投遞網路釣魚簡訊。預設停用2G有助於防範這類攻擊。</p> </div></div></div>
9/1 08:00作者王珮瑤https://www.ithome.com.tw/news/178557
Gartner估2027年AI安全市場規模達48億美元，年增近7成
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>研究調查機構Gartner<a href="https://www.gartner.com/en/newsroom/press-releases/2026-08-26-gartner-forecasts-the-market-for-securing-ai-will-reach-almost-5-billion-in-2027" target="_blank">預估</a>，全球AI安全市場規模將從2026年的28.35億美元成長至2027年的47.83億美元，年增68.7%，2028年更將接近77億美元。</p> <p>Gartner指出，企業AI專案除了面臨新興漏洞，第三方與開源軟體的漏洞增加，加上供應鏈攻擊，也使整體安全風險進一步升高。Gartner預測，到2029年，成功攻擊AI代理（AI Agent）的事件中，超過半數將涉及存取控制弱點與提示詞注入（Prompt Injection）。</p> <p>從Gartner列出的4個主要AI安全領域來看，AI應用程式安全（AI Application Security）在2027年的市場規模居首，預估達8.51億美元，年增67.5%。其次是AI使用控制（AI Usage Control），市場規模預估達7.49億美元，年增73%，成長速度最快。AI治理平臺（AI Governance Platforms）與AI閘道（AI Gateway）的市場規模則分別預估達4.62億美元與4.29億美元。</p> </div></div></div>
9/1 08:00作者王珮瑤https://www.ithome.com.tw/news/178560
本地AI工具LM Studio Bionic新增Shell指令自動審查，先程式分析再交AI代理判斷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>本地AI模型工具LM Studio推出的AI代理應用Bionic，<strong><a href="http://lmstudio.ai/blog/how-auto-review-works">新增</a></strong>Shell指令自動審查功能Auto Review。Bionic可使用本地或雲端的開放模型處理程式開發、文件等工作，當AI代理準備執行Shell指令時，Auto Review會先以程式分析辨識可安全執行的操作，無法完整判斷時才交由獨立的審查代理處理，減少使用者逐一確認指令的情況。</p> <p>Auto Review採兩階段設計，第一階段由Shell指令安全分析器Shell Judge負責，不使用大型語言模型，而是把Shell指令解析成抽象語法樹（AST），分析指令可能執行的程式、讀寫的檔案及參數，再與預先建立的安全規則比對。目前可分析sh、bash、zsh及PowerShell等命令列環境。</p> <p>Shell Judge不會只依指令名稱判斷安全性，同一個指令可能因參數不同而具有不同效果，因此系統也會檢查參數、變數可能帶入的內容與檔案存取範圍。只有能完整判斷行為的操作才會自動核准，無法確認的指令則進入下一階段。</p> <p>LM Studio開發團隊表示，依自身使用情況觀察，目前Shell Judge最高可直接核准約82%的AI代理指令，不必交由大型語言模型審查。不過官方也強調，82%是開發人員實際使用的觀察結果，並非正式效能測試。</p> <p>無法由Shell Judge確認安全的指令，會交給獨立的Shell Reviewer審查代理。系統會分別評估操作風險與使用者授權狀態，也會檢查指令本身的明顯錯誤。高風險操作需要有使用者明確授權的依據，要是被判定可能造成過度破壞，即使使用者曾允許，也不會自動執行。</p> <p>審查代理也會參考先前的對話內容，以判斷使用者是否曾同意相關操作，但不會讀取工具執行後傳回的內容，降低外部內容夾帶惡意指示、干擾AI判斷的提示注入風險。LM Studio指出，相關設計只能降低風險，無法完全阻止提示注入。</p> <p>Auto Review與沙箱等隔離機制處理的是不同問題。Shell Judge的判斷建立在電腦環境與執行程式本身可信的前提，像是系統中的Git確實是正常程式，相關設定也未遭惡意修改，要是執行檔或軟體設定本身已被竄改，單靠Shell指令分析仍無法辨識相關風險。</p> </div></div></div>
8/31 21:49作者李建興https://www.ithome.com.tw/news/178558
【資安日報】8月31日，臺灣AI新創Zeabur環境變數外洩，使用者API金鑰恐外流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><h3><strong>本日新聞焦點</strong></h3> <p>● <a href="https://www.ithome.com.tw/node/178547#API">臺灣AI新創Zeabur環境變數外洩，使用者API金鑰恐外流</a><br /> ● <a href="https://www.ithome.com.tw/node/178547#Tomcat">Apache發布Tomcat更新，修補11個資安漏洞</a><br /> ● <a href="https://www.ithome.com.tw/node/178547#cPanel">cPanel修補重大漏洞，未更新可能導致攻擊者取得伺服器Root權限</a><br /> ● <a href="https://www.ithome.com.tw/node/178547#Next">開發框架Next.js修補兩項重大RCE漏洞，Windows部署受影響</a> <br /> ● <a href="https://www.ithome.com.tw/node/178547#CISA">CISA公布兩起關鍵基礎設施紅隊演練成果，歸納3大關鍵教訓</a></p> <h3> </h3> <h3><b>資安新聞總覽</b></h3> <p><a href="https://www.ithome.com.tw/news/178539"><span style="font-size: 22px;"><strong>新型惡意軟體GoCaracal現蹤，以太坊智慧合約成C2位址備援</strong></span></a></p> <p><a href="/sites/default/files/images/Dark caracal.png" target="_blank"><img alt="" src="/sites/default/files/images/Dark%20caracal.png" style="width: 300px; float: right;" /></a>資安業者Arctic Wolf揭露以Go語言撰寫的新型惡意軟體GoCaracal，今年6月已被用於攻擊委內瑞拉一家通訊組織。GoCaracal可遠端控制受害電腦、竊取資料，還能在無法連上主要命令與控制（C2）伺服器時，從以太坊智慧合約取得新的C2位址。Arctic Wolf研判相關攻擊與網路間諜組織Dark Caracal有關。在委內瑞拉通訊組織的攻擊中，Arctic Wolf研判駭客使用西班牙文金融與稅務主題誘餌，透過惡意SVG檔案將受害者導向攻擊者控制的網站，再下載內含輕量版GoCaracal的壓縮檔。取得受害系統控制權後，攻擊者還會部署既有遠端控制惡意軟體Bandook，以及功能更完整的GoCaracal。<a href="https://www.ithome.com.tw/news/178539">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/178545"><span style="font-size: 22px;"><strong>俄羅斯駭客濫用合法網路服務躲偵測，新後門HookEdge鎖定歐洲政府外交機構</strong></span></a></p> <p><a href="/sites/default/files/images/0831-hookedge-960.jpg" target="_blank"><img alt="" src="/sites/default/files/images/0831-hookedge-960.jpg" style="width: 300px; float: right;" /></a> 資安業者Recorded Future旗下情報部門Insikt Group上週揭露一起網路間諜行動，駭客自2025年9月底至2026年4月初鎖定羅馬尼亞、西班牙與土耳其的政府、外交及國防製造相關機構發動攻擊。研究人員發現一款先前未被記錄的新型後門HookEdge，其最大特徵是不倚賴駭客自建伺服器，而是借用免費公開的網頁服務webhook.site下達指令與回傳資料；執行時則呼叫使用者電腦內建的Microsoft Edge瀏覽器發送對外連線，在網路層級上，能使惡意流量看似幾乎與員工日常瀏覽網頁無異，不易被傳統防禦機制攔截。<a href="https://www.ithome.com.tw/news/178545">詳全文 </a> <a id="API" name="API"></a></p> <p><a href="https://www.ithome.com.tw/news/178534"><span style="font-size: 22px;"><strong>臺灣AI新創Zeabur環境變數外洩，使用者API金鑰恐外流</strong></span></a></p> <p>臺灣雲端部署平臺Zeabur上週傳出資料外洩事故，導致部分用戶的AI服務額度突然爆增。這起事故最早被該公司承認並引起注意，是Zeabur創辦人林沅霖（Yuanlin）於Threads發布的一篇貼文，表示該公司在8月28日察覺環境變數外洩的資安事故，只要用戶在Zeabur存放了OpenAI、Anthropic、OpenRouter等第三方AI服務的API金鑰，或是已經收到該公司的通知信，應根據Zeabur提供的指引輪替金鑰進行操作，並檢查這些服務的用量與帳單是否出現異狀。林沅霖也表示在完成必要的調查後，將儘快進行後續的賠償處理。<a href="https://www.ithome.com.tw/news/178534">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/178540"><span style="font-size: 22px;"><strong>駭客聲稱竊得臺灣新創Zeabur內部資料，規模為612 GB</strong></span></a></p> <p>有駭客聲稱，從臺灣雲端部署平臺Zeabur竊得原始碼，以及超過600 GB的客戶資料。8月29日暗網威脅情報平臺Dark Web Intelligence指出，有人於駭客論壇聲稱這起資料外洩事故與他們有關，這些駭客表示竊得Zeabur原始碼、憑證與客戶資料庫，包括PostgreSQL和MongoDB資料庫備份、AWS基礎設施秘鑰、GCP服務帳號（且具備專案擁有者權限）、Google Workspace管理者存取權限、GitHub私有存取權杖（PAT）及原始碼檔案、Stripe API金鑰、Kubernetes叢集管理員存取權限、WireGuard VPN存取權限，以及約612 GB的客戶資料庫。<a href="https://www.ithome.com.tw/news/178540">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/178543"><span style="font-size: 22px;"><strong>針對環境變數外洩事故，Zeabur表示攻擊者利用外流的高權限AWS憑證而得逞</strong></span></a></p> <p>上週末臺灣雲端部署平臺Zeabur發生環境變數外洩，有駭客聲稱從該公司竊得原始碼與超過600 GB的客戶資料，後續Zeabur更新公告內容揭露攻擊事故發生的過程，指出攻擊者是取得該公司的AWS管理憑證而得逞。8月30日Zeabur表示，根據調查的結果，攻擊者得到該公司的內部AWS管理憑證後，用於存取位於東京的共享AWS叢集，得逞後再透過VPN存取該公司的控制臺網路環境，並與主要資料庫連線。31日Zeabur補充說明，攻擊者使用了先前外流的高權限憑證，而遭入侵的AWS叢集，是該公司正在逐步淘汰的邊緣服務。Zeabur強調，他們的核心後端服務因建置於另一家雲端平臺，並受裝置層級的VPN存取限制保護，並未直接受到波及。<a href="https://www.ithome.com.tw/news/178543">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/178526"><span style="font-size: 22px;"><strong>英國曼徹斯特機場集團遭駭，約870萬名客戶資料被竊</strong></span></a></p> <p>英國大型機場營運業者曼徹斯特機場集團（Manchester Airports Group，MAG）近日遭到網路攻擊。根據The Register報導，MAG估計約有870萬名客戶受到影響。這起事件未影響旗下機場營運、乘客安全及航空安全。MAG於8月27日公布這起資安事件，未經授權的第三方取得部分客戶資料，包括電子郵件地址、電話號碼、車牌號碼及郵遞區號。<a href="https://www.ithome.com.tw/news/178526">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/178529"><span style="font-size: 22px;"><strong>FulcrumSec宣稱竊取英國曼徹斯特機場集團資料，規模為86GB</strong></span></a></p> <p>是誰導致曼徹斯特機場集團資料外洩？資料勒索團體FulcrumSec向資安媒體Bleeping Computer宣稱，是其發動這起攻擊，並聲稱竊取約86GB資料。Bleeping Computer取得部分疑似遭竊資料後進行檢視，發現這批資料除了包含MAG先前公布的電子郵件、電話、車牌及郵遞區號，還包含旅客預訂、行程與交易相關資訊。FulcrumSec另聲稱，遭竊內容包含近20萬筆尚未成行的旅遊預訂紀錄，並稱攻擊者是利用暴露在用戶端JavaScript程式碼中的機場專用Iterable API憑證取得存取權。<a href="https://www.ithome.com.tw/news/178529">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/178527"><span style="font-size: 22px;"><strong>德國柏林政府遭駭，證實資料外流，Rhysida宣稱取得5.79 TB資料</strong></span></a></p> <p>柏林邦政府先前遭到網路攻擊，官方於8月28日公布最新調查結果，證實攻擊者曾提出勒索要求，但政府表示不會接受。調查也確認，8月7日至12日期間曾有資料流出，目前仍無法排除其中包含個人資料或其他非公開資訊。資安媒體The Hacker News發現，勒索軟體組織Rhysida的資料外洩網站於8月28日新增柏林相關紀錄，並聲稱取得5.79 TB、約144萬個檔案，涉及12,076人的個人資訊。不過，柏林官方目前並未指認攻擊團體，也沒有公布實際外流資料量，因此相關說法仍未獲官方證實。<a href="https://www.ithome.com.tw/news/178527">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/178531"><span style="font-size: 22px;"><strong>醫療廠商McKesson證實資料外洩，ShinyHunters宣稱竊取2.84億筆病患相關資料</strong></span></a></p> <p>勒索軟體組織ShinyHunters上週宣稱駭入知名醫療設備及藥品分銷商McKesson（麥克森）的第三方雲端應用，並竊取約2.84億筆資料。McKesson則於8月28日證實發生資安事件並有資料外洩，但尚未證實ShinyHunters宣稱的資料數量。McKesson透過官方「客戶資訊安全中心」（Customer Cybersecurity Information Center）說明，該公司於8月25日發現其資訊系統遭未經授權存取，導致資料外洩。McKesson隨即啟動事件應變機制，並延請外部資安專家協助調查，也向美國證券交易委員會（SEC）提交報告。<a href="https://www.ithome.com.tw/news/178531">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/178535"><span style="font-size: 22px;"><strong>ShinyHunters公開美國服飾業者Carhartt 1300萬筆資料</strong></span></a></p> <p>ShinyHunters日前公開聲稱從美國服飾業者Carhartt竊得的資料，資料外洩事件警示網站Have I Been Pwned上週將Carhartt加入資料外洩機構名單，確認外洩資料約1,290萬筆，內含電子郵件、姓名、電話和實體住址，外洩資料原本還包含數百萬筆與真實個人無關的合成紀錄，這些資料被排除在外洩筆數之外，不過Carhartt並未證實此消息。<a href="https://www.ithome.com.tw/news/178535">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/178530"><span style="font-size: 22px;"><strong>玩具業巨擘孩之寶遭駭，被竊數百人個資</strong></span></a></p> <p>玩具業巨擘孩之寶（Hasbro）近日通報員工個資外洩事件，目前公開資料顯示，有436名麻州居民受到影響，但整體受影響人數尚未公布。這起事件可能與孩之寶今年3月發現的網路攻擊有關，但公司目前尚未確認兩者是否為同一起事件。孩之寶近日以電子郵件通知受影響人員，外洩資料可能包含電子郵件地址、郵寄地址、電話號碼、國民身分識別號碼及財務資訊等，並提醒受影響人員持續檢查帳戶與信用紀錄，留意可疑活動及釣魚郵件。<a href="https://www.ithome.com.tw/news/178530">詳全文</a> <a id="cPanel" name="cPanel"></a></p> <p><a href="https://www.ithome.com.tw/news/178536"><span style="font-size: 22px;"><strong>cPanel修補重大漏洞，若未更新可能導致攻擊者取得伺服器Root權限</strong></span></a></p> <p>網站主機管理平臺cPanel於8月27日發布資安公告，修補cPanel與WebHost Manager（WHM）的重大漏洞CVE-2026-65643，可能導致攻擊者在伺服器上建立任意檔案，進而以Root權限執行程式碼，取得伺服器完整控制權，目前所有支援版本均受影響，用戶應依使用版本升級至已修補完成的11.110.0.141、11.134.0.53、11.136.0.37、11.138.0.2等版本，而基於cPanel、用於WordPress網站主機代管的WP Squared（WP2），則應升級至11.138.1.7以上版本。<a href="https://www.ithome.com.tw/news/178536">詳全文</a> <a id="Tomcat" name="Tomcat"></a></p> <p><a href="https://www.ithome.com.tw/news/178519"><span style="font-size: 22px;"><strong>Apache發布Tomcat更新，修補11個資安漏洞</strong></span></a></p> <p>8月18日Apache基金會推出Java應用程式伺服器Tomcat更新，提供11.0.25版、10.1.59版、9.0.121版，一共修補11個資安漏洞，其中有4個的嚴重程度評為重要（Important）、1個中等風險，其餘為低風險弱點。評為重要等級的弱點是：CVE-2026-68763、CVE-2026-68569、CVE-2026-65927，以及CVE-2026-65182，可能導致阻斷服務（DoS）、身分驗證異常，以及存取控制和安全限制遭到繞過的問題，用戶應儘速套用更新因應。<a href="https://www.ithome.com.tw/news/178519">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/178541"><span style="font-size: 22px;"><strong>Apache CloudStack修補20個漏洞，包括可能導致跨租戶取得KVM主機Root權限的重大漏洞</strong></span></a></p> <p>開源IaaS雲端平臺專案Apache CloudStack於8月18日發布資安公告，修補20個漏洞，包括可能導致跨租戶在KVM主機執行任意指令，以及OAuth權杖洩露的重大漏洞，受影響版本涵蓋4.0.0至4.20.3.0，以及4.21.0.0至4.22.1.0，用戶應儘速升級至已修補完成的4.20.3.1與4.22.1.1版。<a href="https://www.ithome.com.tw/news/178541">詳全文</a> <a id="Next" name="Next"></a></p> <p><a href="https://www.ithome.com.tw/news/178520"><span style="font-size: 22px;"><strong>開發框架Next.js修補兩項重大RCE漏洞，Windows部署及AVIF影像最佳化受影響</strong></span></a></p> <p>開發框架Next.js團隊釋出15.5.24版與16.3.3版，修補兩項未經身分驗證、可遠端程式碼執行（RCE）的重大漏洞。一項影響特定Windows伺服器部署，另一項則出現在AVIF影像最佳化功能，問題源自底層影像處理函式庫libheif。攻擊者在符合條件的情況下不需登入，就可能在伺服器執行任意程式碼。<a href="https://www.ithome.com.tw/news/178520">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/178525"><span style="font-size: 22px;"><strong>ServiceNow修補3項CVSS滿分漏洞，未經身分驗證可遠端執行程式碼</strong></span></a></p> <p>企業工作流程與雲端平臺業者ServiceNow於8月27日發布安全公告，修補旗下AI平臺ServiceNow AI Platform的3項重大資安漏洞，分別為CVE-2026-18885、CVE-2026-18886及CVE-2026-74820，CVSS v4.0風險分數皆達滿分10.0，攻擊者在特定情況下不須通過身分驗證，就能從遠端發動攻擊。<a href="https://www.ithome.com.tw/news/178525">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/178522"><span style="font-size: 22px;"><strong>Veeam修補Veeam ONE監控平臺重大漏洞，若未更新恐導致攻擊者強制服務帳號發起SMB認證</strong></span></a></p> <p>備份與資料保護業者Veeam於8月25日發布Veeam ONE 13.1 Patch 0，修補虛擬化與備份環境監控平臺Veeam ONE重大漏洞CVE-2026-65641，CVSS嚴重性評分為9.3分，問題源自Veeam ONE服務帳號的SMB認證機制，13.1.0.7034以前的所有13.1版都受影響，用戶應升級至已修補的13.1.0.7233版。<a href="https://www.ithome.com.tw/news/178522">詳全文</a> <a id="CISA" name="CISA"></a></p> <p><a href="https://www.ithome.com.tw/news/178513"><span style="font-size: 22px;"><strong>CISA公布兩起關鍵基礎設施紅隊演練成果，突顯SOC防禦落差並歸納3大關鍵教訓</strong></span></a></p> <p>美國網路安全暨基礎設施安全局（CISA）公布近期針對兩家關鍵基礎設施機構進行的紅隊評估結果，其中一家機構的資安維運中心（SOC）在幾分鐘內便成功隔離受害主機，而另一家機構的SOC卻始終未能偵測到入侵行動。在這兩起演練案例的鮮明對比下，CISA揭露完整演練細節並歸納3大關鍵教訓：首先，組織應建立並持續維護行為基準，再透過調校偵測工具的方式，過濾警示雜訊，讓防禦人員能從日常營運中辨識真正的異常，而不是被大量誤報淹沒；其次，要打破部門壁壘，並釐清權責與授予防禦人員足夠的權限，才能在發現威脅時立即處置；第三，雲端環境往往成為被低估的風險，企業通常缺乏針對雲端的安全控制，也缺少雲端遭入侵時的應變流程。<a href="https://www.ithome.com.tw/news/178513">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/178521"><span style="font-size: 22px;"><strong>Linux基金會接手TRACE治理，建立AI代理跨環境互通驗證方式</strong></span></a></p> <p><a href="/sites/default/files/images/TRACE.png" target="_blank"><img alt="" src="/sites/default/files/images/TRACE.png" style="width: 300px; float: right;" /></a> Linux基金會（The Linux Foundation）於8月25日宣布，將接手TRACE開放規格治理。TRACE可整合AI代理及其他機密工作負載的執行環境、政策及工具使用情況，形成可供查驗的執行紀錄。這項規格由機密運算業者OPAQUE提出，AMD、Intel、微軟及阿布達比技術創新研究院（Technology Innovation Institute，TII）共同參與開發。<a href="https://www.ithome.com.tw/news/178521">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/178501"><span style="font-size: 22px;"><strong>守護原始資料，NetApp活用儲存快照副本技術，助企業因應AI時代下的資料存取風險</strong></span></a></p> <p><a href="/sites/default/files/images/AI Factory.png" target="_blank"><img alt="" src="/sites/default/files/images/AI%20Factory.png" style="width: 300px; float: right;" /></a> AI日益普及帶來許多便利，然而近期陸續傳出幾起AI誤刪資料的事故，引發恐慌，企業該如何預防這類意外的發生？NetApp台灣技術總監許宏俊認為，維持原始資料的完整性與可靠性，提升資料存取行為的分析能力，靈活運用快照副本，可以兼顧確保存取效能與資料持續保護的需求。許宏俊強調，首先企業要確保原始資料的完整性，因為一旦遭到破壞，後續往往要耗費很多時間修復；其次，從原始資料衍生的副本資料，一定會有使用時效的限制，企業須考量維護副本資料所需花費的成本，而資料副本的快速建立、快照產生或API使用，都包含在NetApp儲存作業系統平臺ONTAP中。<a href="https://www.ithome.com.tw/news/178501">詳全文</a></p> </div></div></div>
8/31 14:44作者張明德https://www.ithome.com.tw/news/178547
Check Point警示四種生成式AI可能導致的大量資料外洩現況，印證其已成為企業日常顧慮的資安風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p style="margin-left:.05pt;">回顧2026年7月全球資安威脅發展趨勢，<strong><a href="https://blog.checkpoint.com/security/july-2026-cyber-threats-surge-ransomware-attacks-double-year-over-year-as-genai-data-exposure-widens">資安廠商Check Point對生成式AI資安風險提出警示</a></strong>，以全球地區來看，拉丁美洲與北美的風險暴露程度最高，歐洲與亞太地區略低於全球平均；而在產業方面，商業服務業、健康與醫療業的風險暴露程度最高，其次是資訊科技業與政府。</p> <p style="margin-left:.05pt;">根據該公司的觀察，生成式AI風險逐漸成為企業日常營運的議題，而且企業顧慮的重點，不僅是AI工具的使用方式，更在於員工輸入的資料內容，例如客戶紀錄、內部文件、基礎設施、法律、財務或人力資源資訊。此外，生成式AI同時也是涵蓋治理與安全等層面的議題，尤其是採用速度遠遠快於政策的制定與推動、人員培訓，以及管控措施的建立與實施。</p> <p style="margin-left:.05pt;">對此，Check Point特別點出四大生成式AI風險現況。首先，在企業網路發出的眾多提示詞句中，每36個就有1個存在敏感資料外洩的高風險；第二，在經常使用生成式AI的組織中，受到提示輸入AI高風險活動影響的比例高達88%；第三，在所有提示詞中，有22%包含潛在的敏感資訊；第四，7月期間，每個組織的使用者平均採用8個生成式AI工具，每個使用者平均生成95個提示詞。</p> <p style="margin-left:.05pt;">顯然，企業對於生成式AI風險的擔憂，有很大一部分與資料外洩有關，Check Point提醒，所外洩的資訊類型同樣至關重要。根據該公司的觀察，個人資料仍是最常見的敏感資料，70%的組織均認為此類資料一旦外洩，將造成重大衝擊；緊隨其後的是財務資料，以及網路與IT基礎架構資料，企業可能因此發生資料外洩的比例皆為68%；法律與法規相關內容的外洩為63%，員工與人力資源資料的外洩則為62%。</p> <p style="margin-left:.05pt;">Check Point強調，這項議題影響範圍不限於單一團隊、使用情境或文件類型，而是橫跨組織日常運作所依賴的核心資訊。</p> </div></div></div>
8/31 17:27作者李宗翰https://www.ithome.com.tw/news/178555
電商平臺Shopline花一年半，把看不見的資安做成店家看得到的分數
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>成立於2013年的商線科技（Shopline），是全球成長最快的SaaS服務電商平臺之一，累計已協助全球超過六十萬個商家開店，客戶橫跨品牌電商、社群賣家到跨境零售。</p> <p>作為商家背後的技術地基，Shopline不只要保護自己，更要保護數十萬個商家的生意、會員個資，以及每一筆交易金流。這也是電商詐騙、帳號盜用與供應鏈攻擊在近幾年密集出現時，Shopline積極提升資安的理由，他們選擇把資安從公司內部的治理議題，轉化為商家看得見、摸得到的產品功能：資訊安全中心（Security Center）。</p> <p>有了這項2025年6月正式上線的功能，商家只要登入後臺，就能一眼看見自己商店目前的資安等級：紅燈代表「薄弱」、黃燈代表「尚可」、綠燈代表「穩健」。每開啟一項資安功能，分數就會即時變動，形成一套類似遊戲化的推力機制，引導商家一步步把資安落實到日常經營。</p> <p>而且，這套機制近期交出的成績單相當驚人！Shopline商線科技資安長李彥民（Anthony）表示，2025年7月剛上線時，高達89%的客戶安全等級仍處於「薄弱」（Weak）狀態，僅約11%達到「尚可」（Moderate）。</p> <p>但經過一年的努力，客戶資安呈現「薄弱」的比例大幅降至34%，「尚可」躍升為62%，成為平臺最主要的商家安全狀態。</p> <p>不過，「穩健」（Strong）等級的占比則從0.12%成長到3.6%，成長幅度為原來的30倍；「尚可」安全等級（Moderate）的比例成長近4.8倍。此外，客戶在這段期間積極啟用動態密碼驗證（OTP）、密碼複雜度要求、防毒防護等關鍵資安功能，持續提升後臺帳號安全防護能力，更使得高風險帳號遭未授權存取的風險，較去年同期下降超過九成。</p> <h1><span style="color:#B22222;">從「散落各地」到「一目了然」，用近兩年醞釀一個功能</span></h1> <p>李彥民指出，資訊安全中心並不是憑空生出，而是把原本早已存在、卻散落在後臺各個角落的資安功能，重新集中、可視化。</p> <p>「我們有很多的功能，其實後臺本身就內建，只是因為使用者沒意識到這件事情的重要性。」李彥民形容，資訊安全中心嚴格來說是一個「店家的資安介面」，扮演著店家IT部門的角色：現在把資安狀態攤在陽光下，讓商家知道自己現在究竟站在紅燈、黃燈還是綠燈。</p> <p>這個看似單純的「集中化」構想，執行起來卻遠比想像複雜。Shopline商線科技資深資安經理黃咨詠回憶，原本店家想要啟用某項防護，可能要在後臺選單點擊好幾層後，才能找到入口。</p> <p>更有甚者，還要把這些分散的功能整合進同一個頁面、同一個評分邏輯，都牽涉到使用者介面重新設計、使用習慣調整，乃至於背後工程團隊的架構整合，「懂IT的人就知道，怎麼可能一句話就解決。」他說。</p> <p>這也是為什麼，從最初的調研到正式推出，整個專案花了大約一年半，其中，光是前期研究就投入將近一季，團隊分析過往新聞案例與店家受害過程，歸納出哪些功能對防禦最關鍵，才逐步建立起評分模型，再交由工程團隊落地為可執行的機制。</p> <p>他也指出，這套評分模型並非只看有無開啟功能，而是根據威脅情資判斷各項防護的權重高低，由此推算出每個商家的即時風險等級。</p> <p>黃咨詠特別提到，整個推動過程可分成兩個階段。第一階段是把資安功能整合進資訊安全中心的介面，讓商家一目了然自己有哪些防護「有開」、哪些「還沒開」。</p> <p>第二階段則花了半年多，由業務團隊、客服團隊一起宣導資安的重要性，並且溝通到商家端，尤其是雙因素驗證（2FA）的推廣。黃咨詠表示，目前這項被團隊視為「最重要的一項功能」，如今在Shopline平臺上的啟用率已達99.99%。</p> <p>「安全跟便利是一體兩面」，他也坦言，少數尚未啟用的商家，多半是因為帳號不常使用，或單純認為便利比安全重要，而這些也是所有資安推廣工作永遠要面對的兩難。</p> <h1><span style="color:#B22222;">資安不是成本，是風險管理的核心</span></h1> <p>在許多企業眼中，資安部門長期被視為成本中心，但李彥民對Shopline的資安定位有不同的詮釋，因為他把「資安」視為公司的「風險管理單位」，而非單純的技術支援角色。</p> <p>「我們不像傳統製造業，商業模式跟資安風險綁得沒有那麼緊。」他解釋，Shopline作為一個SaaS平臺，商家後臺幾乎全部仰賴網路存取（Web Access），資安風險幾乎等同於公司大部分的營運風險，「保護產品本身，對公司來說，就是風險管理裡最重要的一塊品牌價值。」他說。</p> <p>這樣的定位轉變，也反映在Shopline治理架構的演進，黃咨詠對此提出進一步說明。Shopline目前已通過ISO 27001資訊安全管理系統認證，範圍聚焦最重要的產品開發流程與產品部門，並由一個跨部門小組共同推動，而這個小組不只是為了通過驗證，更肩負制定資安政策、將其落實到全公司營運的角色。</p> <p>他表示，過去公司雖然也有風險管理的概念，但評鑑方式偏向主觀，亦即由工程師或IT人員憑經驗打出高、中、低分數，這麼做往往缺乏業務單位的觀點，也難以獲得公正、可驗證的結論。</p> <p>「你去看風險分數到底是誰評的，然後他從哪一個面向去評，這才是最重要的。」李彥民認為，評估方式本身就會決定資安策略的優先順序，如果評分機制帶有偏差，整套風險管理策略的本質就會出問題。</p> <p>他直言，這也是Shopline近兩年，積極導入風險量化（Risk Quantification）方法論的原因，因為他們不只從機密性、完整性、可用性（CIA）三個技術構面進行評分，更把品牌商譽、業務衝擊、人力成本等因子一併納入計算。</p> <p>黃咨詠觀察，風險量化機制導入後，資安排序出現明顯變化，也讓雙因素驗證等重要防護措施有了更強的推動力道。他說：「風險經過量化之後，大家可以知道『這件事情沒做好，品牌自己也會受傷』，不是只有單純掉資料這麼簡單。」對業務單位而言，比起純技術語言，「這個風險值多少錢」顯然更容易引起共鳴。</p> <p><img alt="" src="/sites/default/files/images/600-%E8%B3%87%E8%A8%8A%E5%AE%89%E5%85%A8%E4%B8%AD%E5%BF%83%E5%BE%8C%E5%8F%B0%E7%A4%BA%E6%84%8F%E5%9C%96_SHOPLINE%E6%8F%90%E4%BE%9B.png" style="width: 600px; height: 350px;" /></p> <blockquote><p>Shopline商線科技推出的資訊安全中心（Security Center）於2025年6月正式上線，商家只要登入後臺，就能一眼看見自己商店目前的資安等級：紅燈代表「薄弱」、黃燈代表「尚可」、綠燈代表「穩健」。每開啟一項資安功能，分數就會即時變動，形成一套類似遊戲化的推力機制，引導商家一步步把資安落實到日常經營裡。<br /> 資料來源：<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">Shopline商線科技提供</span></p> </blockquote> <h1><span style="color:#B22222;">AI提示詞攻擊與失控的數位員工</span></h1> <p>生成式AI快速普及，也讓Shopline的資安團隊看見全新的攻擊面貌。李彥民坦言，目前最大的問題之一就是「提示詞注入」（Prompt Injection），當企業與個人把愈來愈多機密資訊「餵」給AI模型，資料的控制權也隨之外流。</p> <p>「業界駭客們已經學會怎麼騙AI。」他也提到，近期美國政府一度要求先禁用某款新推出的AI前沿模型，禁用的理由正是：因其相關風險尚未解決。「這也顯示，AI風險早已是全球資安圈共同關注的新戰場。」李彥民說。</p> <p>除了提示詞攻擊，AI Agent的權限失控，也是資安團隊高度警惕的風險。黃咨詠指出，許多企業員工為了方便，會賦予AI代理人愈來愈大的操作權限，一旦沒有謹慎控管，原本設計良好的權限柵欄就可能被跨越，形成所謂的「超級代理人」，資料因此在系統內部橫向流動，難以追蹤究竟是誰在提問、資料又流向哪裡。李彥民將這個現象，比喻為：早期銀行業「帳號共用」的年代，意味著能力先到，但控制卻還在後面追。</p> <p>為了因應這樣的變化，Shopline已成立內部AI發展委員會，由資安團隊核心成員參與，並將每一個AI Agent視為「數位員工」進行管理，包括：清查有哪些AI Agent（AI代理人）存在；逐一檢視其權限範圍與可存取的系統；明確定義誰可以使用、能做什麼事，並同時建立操作與稽核軌跡。</p> <p>而在員工使用ChatGPT、Claude或Gemini等外部AI工具時，Shopline也採取分級管理原則，包括：公開資訊可依規範使用，公司內部資訊須透過核准的工具與環境處理，客戶資料與個資等敏感資訊則一律禁止輸入任何生成式AI平臺，並搭配白名單機制與資料外洩防護（DLP）技術，降低風險。</p> <p>「AI比人快，所以他出事的後果（damage）會相對大，」李彥民表示，「我們就是要記得，當使用AI工具能力跟上去時，相關的管理能力也要跟上。」</p> <h1><span style="color:#B22222;">把資安「種」進日常開發，SSDLC與供應鏈是長期工程</span></h1> <p>在組織治理層面，Shopline建立由上而下推動的資安工作小組機制，各業務單位（BU）與產品端都培養「資安種子」成員，讓資安意識能夠深入每一個開發環節，而不只是集中資安部門內部。</p> <p>李彥民表示，當公司啟動新專案的同時，就會先進行前期評估，若專案涉及個資（PII）相關的資料流，就會強制交由資安專責主管進行審查，並視需要拉入法遵、隱私長等角色共同把關。</p> <p>他指出，以Shopline目前的專案量來看，大約三成的新專案會因為觸及個資或高風險項目，而進入完整的資安審查流程，其餘則會依循既有的DevSecOps框架執行。</p> <p>黃咨詠進一步說明，Shopline的SSDLC（安全軟體開發生命週期）已經涵蓋設計、開發、上線三個關鍵階段：在設計階段就會透過安全設計評估，找出潛在資安問題並在規格上修正，避免問題流入後期；開發階段有既定的程式碼審查（Code Review）機制；上線後，則透過自動化掃描工具與每年一次的外部滲透測試，確保整體安全水準。</p> <p>「這個流程其實已經行之有年，我們現在只是在優化，」黃咨詠表示，尤其AI出現後，更著手加速或強化這幾個階段找出風險的能力。</p> <p>「供應鏈安全」則是Shopline近年另一個重點工程。隨著全球供應鏈攻擊事件頻傳、歐盟網路韌性法案（Cyber Resilience Act，CRA）等新規範上路，越來越多企業開始正視第三方套件與開源元件帶來的風險。</p> <p>黃咨詠指出，Shopline自2025年起導入開源工具，盤點目前使用的所有第三方套件，並針對已知弱點建立優先排序機制：綜合採用CVSS（通用弱點評分系統）與EPSS（漏洞被利用機率預測）等指標，評估哪些弱點需要立即處理、哪些可以視發生機率往後排序。</p> <p>「要不然你掃下去，首先面臨的狀況就是會被開發團隊打掉，覺得你們妨礙公司營運發展。」黃咨詠解釋，透過這套排序邏輯，可讓資安團隊能夠更有說服力，向內部與外部客戶解釋處理優先順序的合理性。</p> <p>在技術能量部署上，Shopline的資安監控採取8x5的監控，加上上班時間則有資安專業人力進行二線分析，同時搭配自動化系統，處理DDoS攻擊、撞庫（Credential Stuffing）等較基礎的攻擊型態，而非傳統銀行的三道防線或三道模型的三線分級架構。</p> <p>李彥民形容，Shopline的資安開發團隊更像一個扁平化的「敏捷小隊」，十幾位工程師身兼多職，大量開發自動化工具來因應資安事件。「我們是軟體公司，我們的人有一半以上都是工程師，嚴格來講，我們就是商家的IT。」他說。</p> <h1><span style="color:#B22222;">攻擊型態如浪潮般更迭，從假冒包裹到DocuSign釣魚</span></h1> <p>資訊安全中心上線帶來的成效，除了帳號防護等級的結構性翻轉，黃咨詠也觀察到，平臺收到的疑似資安事件回報數量明顯下降，攻擊者的手法本身也持續演化。</p> <p>他描述，詐騙集團的操作模式像是有週期性，過往曾流行假冒包裹通知的詐騙簡訊，也出現過偽裝成消費者客訴、內含惡意壓縮檔案的釣魚信件，誘騙店家點擊查看「商品瑕疵照片」。</p> <p>當某種手法成效下滑，詐騙集團便會轉換戰術，例如近期Shopline便觀察到，出現偽裝成需要簽署文件的DocuSign釣魚攻擊（DocuSign phishing），發送看似正式的合約簽署通知給商家，實際連結卻導向惡意網站。</p> <p>面對這類威脅，Shopline除了透過資訊安全中心的評分機制促使商家主動強化防護，也持續透過官方部落格發布資安主題文章，提醒商家留意最新的詐騙手法與應對方式。</p> <p>「他們可能一開始不知道要做什麼事，我們等於提供一個介面，並且告訴他們做這些事，其實就可以保護到自己。」黃咨詠說。這也呼應資安圈常說的「看不到就管不到」，只有當風險被具體呈現，經過可視化、量化處理後，商家才有機會真正將資安落實成日常習慣。</p> <h1><span style="color:#B22222;">下一步就從「看得見」走向「預設安全」</span></h1> <p>談到未來，李彥民表示，Shopline接下來會持續投入AI Security的建設，不只是強化外部防護，更希望藉由AI相關議題，讓內部同仁的資安意識與紀律更加深化，「畢竟我們也是靠文化角度去推動，AI Security會是很好的練習題，讓大家的治理文化更深入。」他說。</p> <p>黃咨詠則點出資訊安全中心下一階段的目標：從目前的「Security by Design」邁向「Security by Default」。</p> <p>他坦言，雖然商家整體防護分數的進步幅度令人振奮，但目前多數功能仍需要商家自行點開，並非系統預設啟用，「我們希望它能直接從綠燈開始，如果可以的話，透過小小的推力，讓平均分數可以再往上一個高度。」他說。</p> <p>經過一年半的醞釀、兩個階段的內部溝通，到近九成商家從「薄弱」翻轉為中高防護等級，李彥民認為，Shopline的資訊安全中心示範了一件事，那就是：要讓資安要真正落地，關鍵往往不是技術本身的深度，而是能否將複雜的風險，轉譯成使用者一眼就能看懂的語言。</p> <p>他指出，當店家打開後臺就能看見自己資安現況的紅綠燈，資安才能真正從一份看不見的治理文件，變成一項每天都會被看見、被使用的產品能力。</p> </div></div></div>
8/31 17:32作者黃彥棻https://www.ithome.com.tw/news/178556
中國駭客利用ownCloud漏洞竊取菲律賓研究機構的核能資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>上週美國網路安全與基礎設施安全局（CISA）指出，<strong><a href="https://www.ithome.com.tw/news/178516">ownCloud資安漏洞CVE-2023-49105遭到積極利用</a></strong>，在此之前有資安公司表示，他們發現該漏洞疑似被用於網路間諜活動。</p> <p>威脅情報公司Hunt.io指出，<strong><a href="https://hunt.io/blog/chinese-speaking-operator-philippine-nuclear-naval-contractor">他們於8月13日發現攻擊者不慎暴露的伺服器</a></strong>，內含自製的漏洞利用指令碼、竊得的檔案、事件記錄資料，以及攻擊工具，從而發現中國駭客至少對兩個菲律賓企業組織發動的網路間諜活動，其中一個是當地的核能研究機構，攻擊者鎖定ownCloud伺服器，利用CVE-2023-49105繞過身分驗證，而能在未通過身分驗證的狀態下挖掘WebDAV資料夾的檔案。Hunt.io在攻擊伺服器上看到5個與該研究機構要關的資料夾，內有176個檔案，容量約372 MB，駭客挖掘的資料包含了核能材料帳號記錄、研究反應爐核心元件資料庫、員工個人識別碼（PII），以及BitLocker金鑰、密碼管理工具KeePass與AxCrypt存放的資料。</p> <p>另一個受害組織是經營海洋工程與造船的菲律賓公司，駭客利用WordPress外掛程式LiteSpeed Cache漏洞CVE-2024-28000，然後利用REST API建立新的網站管理員帳號。</p> </div></div></div>
8/31 16:42作者周峻佑https://www.ithome.com.tw/news/178553
逾8千個Gitea尚未修補重大漏洞CVE-2026-60004
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國網路安全與基礎設施安全局（CISA）於8月25日，<a href="https://www.ithome.com.tw/news/178438">警告開源版本控制系統Gitea漏洞CVE-2026-60004遭到積極利用</a>，要求聯邦機構必須在3天內完成修補，然而，有資安機構警告，全球仍有逾8,000臺Gitea主機尚未修補，而有可能成為攻擊者的目標。</p> <p>Shadowserver基金會指出，<strong><a href="https://bsky.app/profile/shadowserver.bsky.social/post/3mu5chx5eos2l">他們在8月27日進行掃描</a></strong>，發現全球有8,393個IP位址暴露於CVE-2026-60004的風險，其中最嚴重的國家依序為中國、德國，以及美國。值得留意的是，雖然<strong><a href="https://dashboard.shadowserver.org/statistics/combined/time-series/?date_range=other_range&d1=2026-08-26&d2=2026-08-29&source=http_vulnerable&source=http_vulnerable6&tag=cve-2026-60004%2B&dataset=unique_ips&limit=100&group_by=geo&stacking=stacked&auto_update=on">到了29日IP位址數量降為8,202個</a></strong>，<strong><a href="https://dashboard.shadowserver.org/statistics/combined/map/?date_range=other_value&day=2026-08-29&map_type=std&source=http_vulnerable&source=http_vulnerable6&tag=cve-2026-60004%2B&data_set=count&scale=log&auto_update=on">其中有59個IP位址位於臺灣</a></strong>。</p> </div></div></div>
8/31 17:20作者周峻佑https://www.ithome.com.tw/news/178554
列印管理系統PaperCut遭遇零時差漏洞攻擊，該公司兩度緊急修補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>8月27日列印管理系統供應商PaperCut<strong><a href="https://www.papercut.com/kb/Main/security-bulletin-27-aug-2026-urgent-security-advisory/">提出警告</a></strong>，他們正著手調查影響PaperCut NG與PaperCut MF的零時差漏洞遭積極利用的情況，並確認有用戶發生資安事故，對此，該公司發布緊急修補程式，並呼籲將PaperCut NG/MF暴露於網際網路的用戶，應利用防火牆規則或網路存取控制系統（NAC），限縮能夠存取的受信任IP位址。PaperCut也提供入侵指標（IoC），供IT人員確認列印管理系統是否遭到入侵。</p> <p>值得留意的是，PaperCut隔天再度更新公告內容，表示在與威脅情報公司Huntress、watchTowr等外部團隊合作之後，他們發布第二版（Release 2）緊急修補程式，在前一版的基礎上加入額外的強化防護能力。PaperCut也公布遭利用的漏洞編號CVE-2026-82078、CVE-2026-81578，根據CVSS嚴重程度評分，較嚴重的是CVE-2026-82078，為不安全的動態類別載入造成的弱點，存在於PaperCut NG/MF資料庫連線公用程式，攻擊者有機會執行任何Java位元組碼（Bytecode），CVSS v4.0嚴重程度評為9.4分。</p> <p>另一個漏洞CVE-2026-81578為身分驗證繞過漏洞，存在於網頁管理介面，未經身分驗證的攻擊者可遠端竄改特定系統組態，CVSS v4.0評分為8.8。</p> </div></div></div>
8/31 15:13作者周峻佑https://www.ithome.com.tw/news/178550
Anthropic新基準測AI研究判斷力，最佳模型僅60%且多數接近隨機猜測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Anthropic研究團隊<strong><a href="https://alignment.anthropic.com/2026/taste/">公開</a></strong>AI安全研究評測基準TASTE（The AI Safety Taste Evaluation），以研究提案比較評估AI模型的研究判斷能力。結果顯示，表現最佳的Fable 5與基準答案一致率只有60%，低於有經驗研究者的77%，多數受測模型在統計上仍難與隨機猜測明確區分。</p> <p>研究團隊希望藉此評估AI安全研究自動化中較難衡量的研究判斷能力，模型雖已能產生研究構想，但實際研究仍涉及問題重要性、方法可行性與研究優先順序等判斷。AI安全研究尤其常涉及未來系統風險、模型是否具有欺騙行為等問題，缺乏可以直接驗證的標準答案，一開始選錯研究方向，就可能耗費大量時間與資源。</p> <p>TASTE因此改以有經驗AI安全研究者的判斷作為比較基準，最終納入50份AI安全研究提案，組成92組兩兩比較。研究者先評分，再討論意見不同的地方並重新評估，只保留較有把握且評分差距較明顯的結果，最後估計其他研究者與基準判斷的一致率為77%。</p> <p>模型測試則呈現明顯落差，Fable 5以60%居首，Opus 5與GPT-5.6 Sol等模型也接近隨機猜測，即使它們在其他一般AI代理能力評測已屬前沿，研究提案判斷能力並未出現同等水準的表現。Anthropic也發現，模型在比較同一研究問題下的不同提案時，可能過度看重提案是否直接回答題目，即使評分規則已要求不要把該因素放得太重。</p> <p>不過TASTE目前只有92組比較，各模型成績仍有約正負10個百分點的不確定範圍，不適合用來精確排名模型。Anthropic認為，現有結果至少顯示研究判斷仍是AI安全研究自動化需要進一步評估的能力，後續還需要規模更大、類型更多元的測試。</p> </div></div></div>
8/31 15:44作者李建興https://www.ithome.com.tw/news/178551
AI生成詐騙內容成新威脅，數發部與Meta、Google等四大平臺聯手建立AI源頭阻詐防線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>隨著生成式AI普及，詐騙集團可大量生成詐騙文案、快速建立假帳號，甚至利用AI製作更具可信度的內容，使網路平臺成為詐騙資訊擴散的重要管道。數發部今天(8/31)宣布將深化和四大平臺業者合作，定期與平臺業者研商與情資交換機制，由政府提供最新詐騙樣態，協助平臺將其轉化為AI模型訓練資料及偵測規則，提升主動辨識能力，讓防詐機制從事後下架轉向事前預防。</p> <p>「詐欺犯罪危害防制條例」在2024年三讀通過，2025年底立法院三讀通過其修正草案，四大網路廣告平臺依法須建立詐欺風險評估、防制計畫、廣告主實名制及廣告資訊揭露制度，並配合主動或依政府通知下架涉詐廣告，以提升廣告透明度並避免冒用他人身分投放廣告。</p> <p>由於AI降低詐騙內容製作門檻，詐騙集團可快速生成大量假訊息、假活動及冒充名人內容，甚至持續建立新帳號規避停權。數發部表示，政府除了依「詐欺犯罪危害防制條例」要求平臺落實廣告主實名驗證、廣告資訊揭露及涉詐廣告下架外，今年還進一步建立與四大網路廣告平臺的情資交換機制，由政府提供最新詐騙樣態，協助業者轉化為AI模型訓練資料及偵測規則，讓已知詐騙案例成為AI防禦能力的一部分。</p> <p>數發部長林宜敬表示，除依法要求平臺業者落實廣告主實名驗證及資訊揭露外，更建立定期研商與情資交換機制。讓業者將政府通報的詐騙樣態，轉化為AI模型訓練與偵測規則，「把已知的詐騙案例轉化為防禦能量」他說。</p> <p>數發部與平臺業者合作的目的是以AI對抗AI詐騙，防護機制從事後處理走向事前預防，在民眾接觸到詐騙前就先主動攔阻。</p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>AI生成內容成治理新挑戰，平臺防護從廣告擴大至UGC</strong></span></span></p> <p>數發部數位產業署指出，目前詐騙型態已出現新的變化，包括詐騙帳號重複投放相似廣告、大量AI生成的使用者內容（UGC）快速增加，以及透過導外連結引導民眾至LINE或一頁式網站進行詐騙、竊取個資等，已成為目前平臺治理的新挑戰。</p> <p>因此，今年數發部要求業者將防護措施升級至三大方向，包括運用AI辨識詐騙帳號及關聯帳號、強化身分驗證及黑名單管理，防止遭停權帳號重新回流；擴大AI主動偵測詐騙廣告與UGC內容，結合政府「網路詐騙通報查詢網」情資，加強關鍵字巡查及即時下架能力；同時，在導外連結、私訊、好友邀請等高風險接觸點增加警示，協助民眾辨識詐騙風險。</p> <p><img alt="" src="/sites/default/files/images/%E6%88%AA%E5%9C%96%202026-08-31%20%E4%B8%8B%E5%8D%883_39_13.jpeg" style="width: 600px; height: 326px;" /></p> <p>鑑於詐騙的手法層出不窮，打詐已成為現行政府最重要施政方針之一，其中負責網路平臺打詐的數發部強調，政府希望建立的是主動式防護，而非等到詐騙事件發生後才處理，而是透過定期研商與情資交換，持續要求平臺升級防護能力，以科技手段縮短詐騙資訊存續時間。</p> <p><img alt="" src="/sites/default/files/images/%E6%88%AA%E5%9C%96%202026-08-31%20%E4%B8%8B%E5%8D%883_54_05.jpeg" style="width: 600px; height: 318px;" /></p> <p>數發部公布最新成果指出，在政府通報及平臺主動攔阻機制下，金融投資詐騙廣告數量已較2024年高峰下降99%，冒充身分詐騙廣告也下降98%，顯示源頭治理已產生明顯成效。</p> <p><strong style="color: rgb(178, 34, 34); font-size: 20px;">四大平臺公布阻詐成果，金融詐騙廣告較高峰下降99%</strong></p> <p>四大平臺也公布各自的防詐成果。Meta表示，自2024年3月至2026年7月中旬，在臺灣已主動移除1,090萬則詐騙廣告，今年截至7月中旬並停用超過4萬個詐騙廣告帳號；Google則揭露該公司於2025年全球移除或攔截共83億則違規廣告、停權2,490萬個違規帳號，AI攔截率超過99%。</p> <p>Line則自2024年11月至2026年7月已依「詐欺犯罪危害防制條例」處置14萬餘個涉詐帳號，自動化系統處理時間縮短至1小時內，並與TWNIC及三大電信合作，在24小時內下架超過1,500個釣魚網域；TikTok則於2025年第4季至2026年第1季，依主管機關通報移除4萬餘則詐騙廣告，並處分784個廣告主。</p> <p>數發部表示，未來將持續在行政院打擊詐欺指揮中心指導下，督導平臺持續精進AI防詐措施，並透過定期發布透明度報告，公開防詐作為與成果，持續降低詐騙內容觸及率，提升整體數位安全。</p> </div></div></div>
8/31 16:02作者蘇文彬https://www.ithome.com.tw/news/178552
針對環境變數外洩事故，Zeabur表示攻擊者利用外流的高權限AWS憑證而得逞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>上週末臺灣雲端部署平臺Zeabur<strong><a href="https://www.ithome.com.tw/news/178534">發生環境變數外洩</a></strong>，導致用戶串接的AI服務使用量爆增，有駭客聲稱從該公司<strong><a href="https://www.ithome.com.tw/news/178540">竊得原始碼與超過600 GB的客戶資料</a></strong>，後續Zeabur更新公告內容揭露攻擊事故發生的過程，指出攻擊者是取得他們的AWS管理憑證而得逞。</p> <p>8月30日Zeabur表示，根據調查的結果，攻擊者在得到該公司的內部AWS管理憑證後，用於存取位於東京的共享AWS叢集，得逞後再透過VPN存取該公司的控制臺網路環境，並與主要資料庫連線。<strong><a href="https://www.threads.com/@yuaanlin/post/DcrX3YIEl0o">31日Zeabur補充說明</a></strong>，攻擊者使用了先前外流的高權限憑證，而遭入侵的AWS叢集，是該公司正在逐步淘汰的邊緣服務。Zeabur強調，他們的核心後端服務因建置於另一家雲端平臺，並受裝置層級的VPN存取限制保護，並未直接受到波及。</p> <p>根據系統事件記錄、稽核記錄，以及相關證據，攻擊者並未竊得該公司核心系統與其他服務的憑證，攻擊者沒有存取、控制、嘗試入侵這些系統的跡象。</p> <p>值得留意的是，<strong><a href="https://www.threads.com/@yuaanlin/post/DcrX2-tErLo">Zeabur警告已出現疑似針對用戶的社交工程活動</a></strong>。該公司發現在網路論壇與聊天群組裡，出現一些與他們掌握情況矛盾的洩漏情況，部分疑似利用本次資安蜨故進行詐騙或誘導付款，呼籲用戶要提高警覺。</p> </div></div></div>
8/31 13:08作者周峻佑https://www.ithome.com.tw/news/178543
Boston Scientific因資安事件導致製造與出貨中斷，新植入心臟節律管理裝置的遠距監測暫無法啟用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>醫療器材業者波士頓科學（Boston Scientific）於8月26日在<strong><a href="https://news.bostonscientific.com/update-on-recent-cybersecurity-incident">官網發布資安事件公告</a></strong>，備受醫療產業關注，主因在於這起事件已造成該公司部分內部業務流程中斷，甚至，加增心臟節律管理（Cardiac Rhythm Management，CRM）裝置時的遠距監測啟用作業，亦受到波及。</p> <p>Boston Scientific是在8月25日發現影響部分資訊系統的資安事件，波及部分作業系統與企業應用的存取，導致客戶訂單處理與出貨，以及產品製造受影響。根據後續公布的調查進度，未經授權活動僅限於部分地端系統，雲端系統與應用未受影響。目前調查工作仍在進行，該公司正恢復受影響功能與系統存取，完整恢復時程目前尚未確定。</p> <p>特別的是，該公司也進一步揭露心臟節律管理（CRM）裝置受波及的細節，指出既有裝置運作正常，但新增的遠距監測啟用作業則因這起網路中斷而受阻。例如，植入式心臟監測器（ICM）置入體內後，無法與病患遠距監測手機配對，心臟運作狀態的相關事件仍會持續記錄，但資料須手動上傳；新植入的CRM則因遠距監測傳輸器無法啟用，裝置資料暫時無法傳送到遠距病患管理系統。</p> <p>Boston Scientific已向美國證管會提交8-K報告，並持續更新調查進度。</p> <p> </p> </div></div></div>
8/31 14:44作者羅正漢https://www.ithome.com.tw/news/178546
臺灣7月每週面臨的攻擊次數達到全球的1.84倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p style="margin-left:.05pt;">資安廠商Check Point上週發布2026年7月<strong><a href="https://blog.checkpoint.com/security/july-2026-cyber-threats-surge-ransomware-attacks-double-year-over-year-as-genai-data-exposure-widens">全球資安威脅態勢回顧</a></strong>，指出全球每個組織每週平均遭受2,336次網路攻擊，較6月增加3%，對比去年同期增加16%；就全球各地區而言，拉丁美洲位居第一，平均每週遭受3,561次攻擊，相較去年同期增加19%，第二是亞太地區，平均為3,316次，第三是非洲，平均攻擊次數較去年同期減少5%，以攻擊次數年成長率來看，歐洲為18%，北美則是9%。</p> <p style="margin-left:.05pt;">對此Check Point認為，7月的增幅較6月的反彈幅度溫和，但自5月以來，每家組織平均每週遭受的攻擊次數增加13.7%，這顯示壓力是持續存在的，而非暫時激增。</p> <p style="margin-left:.05pt;">單就國家而言，7月期間臺灣每個組織每週遭受的攻擊達到4,306 次，名列亞太地區第一。</p> <p style="margin-left:.05pt;">從不同產業來看，全球教育產業持續成為網路攻擊的主要目標，每家組織每週遭受4,848次攻擊，比去年同期增加14%；第二名與第三名分別是政府與電信業，每週平均攻擊達到3,044次與2,927次，年成長率為11%與6%。能源與公用事業位居第四，每週遭受2,759次攻擊，年成長率為20%；第五名是飯店、旅遊與休閒產業，每週遭受2,614次攻擊，年成長率達 28%，Check Point認為這可能反映夏天旅遊旺季，使該產業暴露在更高的攻擊風險之下。</p> </div></div></div>
8/31 14:52作者李宗翰https://www.ithome.com.tw/news/178548
求職網站研究顯示，X世代更挺職場AI，Z世代最不買單
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>求職網站<a href="https://www.glassdoor.com/blog/how-workers-feel-about-ai-2026/" target="_blank">Glassdoor最新研究顯示</a>，2026年員工對職場AI的評價正快速轉向負面。AI相關評論一年暴增240%，正面比例僅43%，負面已占53%。此外，年紀愈大愈挺AI，年輕人最不買單。</p> <p>近年大型語言模型快速普及，企業爭相把AI導入產品與內部流程，員工對這波變革的真實感受也開始大量出現在Glassdoor評論中。Glassdoor經濟研究團隊分析2025年6月至2026年5月的美國全職與兼職員工評價，發現AI相關提及量一年暴增240%，正面評價比例則從2019年的81%一路下滑至2026年的43%。這份報告從職位、世代、性別、產業等多重角度切入，呈現出員工對AI從早期熱捧，逐漸轉向分化甚至批判的真實樣貌。</p> <p>不同世代對AI的接受度呈現清楚階梯。X世代（Gen X，出生於1965–1980年）正面評價最高，達47%；千禧世代（Millennials，出生於1981–1996年）降至40%；Z世代（Gen Z，出生於1997–2012年）最低，僅33%。年紀愈大，愈傾向把AI視為提升效率或公司優勢的工具；年輕世代則更常感受到被取代的壓力、被強迫使用工具，或認為公司為了追AI而忽略本業。</p> <p>整體來看，男性AI評論正面率為45%，女性僅32%。進一步拆開世代後差距更清楚：X世代男性正面率50%，女性相對較低；千禧世代男性44%、女性33%；到了Z世代，男性仍有42%，女性卻只剩21%。</p> <p>研究發現，X世代男性和女性對AI的態度差異，幾乎都能用「他們從事的職業和產業不同」來解釋。但到了Z世代，即使把職業和產業的影響都排除後，男女差距仍然明顯存在。這表示年輕女性對AI較為保留，並不只是因為工作內容不同，而是有更深層的原因。</p> <p>整體而言，員工對AI的看法已明顯分化。年紀較長的員工相對更能接受這波技術變革，年輕世代——尤其是年輕女性，則抱持更強烈的質疑與不安。</p> </div></div></div>
8/31 13:48作者陳曉莉https://www.ithome.com.tw/news/178544
俄羅斯駭客濫用合法網路服務躲偵測，新後門HookEdge鎖定歐洲政府外交機構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安業者Recorded Future旗下情報部門<a href="https://www.recordedfuture.com/research/bluedelta-targets-with-hookedge" target="_blank">Insikt Group上周揭露一起網路間諜行動</a>，駭客自2025年9月底至2026年4月初鎖定羅馬尼亞、西班牙與土耳其的政府、外交及國防製造相關機構發動攻擊。</p> <p>研究人員發現一款先前未被記錄的新型後門HookEdge，其最大特徵是不倚賴駭客自建伺服器，而是借用免費公開的網頁服務webhook.site下達指令與回傳資料；執行時則呼叫使用者電腦內建的Microsoft Edge瀏覽器發送對外連線，讓惡意流量在網路層級上幾乎與員工日常瀏覽網頁無異，不易被傳統防禦機制攔截。</p> <p>Insikt Group指出，攻擊者以夾帶巨集的Word文件為主要投遞管道，部分文件偽裝成官方會議資料，誘使收件人開啟並允許執行巨集。中招後，文件會在背景寫入檔案並建立排程工作，讓後門定時連上webhook服務、下載並執行指令，再將結果包裝成網頁表單透過瀏覽器送出。</p> <p>報告顯示，這款後門在半年多的行動期間經過多次微調，包括更換誘餌內容、調整瀏覽器執行方式，並拉長回傳指令的間隔時間，以規避自動化偵測。針對評估具較高情報價值的目標，攻擊者還會再植入第二階段同類後門，將回傳間隔縮短至數分鐘一次，取得更即時的操控能力。</p> <p>Insikt Group以中等把握度將此行動歸因於代號BlueDelta的組織，該組織與資安界慣稱的APT28、Fancy Bear重疊。判斷依據主要來自HookEdge與該組織過去使用的HEADLACE後門，在程式碼結構與手法上高度相似，顯示新工具很可能是舊有工具的延伸改版。</p> <p>研究人員建議企業加強Office巨集執行管控，限制非簽章巨集執行權限，並監控排程工作的異常建立行為與瀏覽器隱藏視窗執行情況；此外，針對webhook等第三方網頁服務的對外連線，若非業務所需，建議直接封鎖，以降低類似手法被用於資料外洩或指揮控制的風險。</p> </div></div></div>
8/31 13:58作者陳曉莉https://www.ithome.com.tw/news/178545
加州通過法案，開源作業系統豁免年齡驗證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://leginfo.legislature.ca.gov/faces/billTextClient.xhtml?bill_id=202520260AB1856" target="_blank">美國加州議會上周三（8/26）正式通過</a>《數位年齡保障法》（Digital Age Assurance Act，DAAA）的修正案（AB-1856），明確將開源作業系統排除在適用範圍之外，讓開源社群暫時卸下了沉重的合規壓力。</p> <p>美國加州州長Gavin Newsom在2025年10月簽署《數位年齡保障法》（AB 1043），預計於2027年1月實施，旨在填補兒童網路安全立法的缺口。過去加州多次嘗試直接限制平臺內容或強制驗證使用者身分，屢遭聯邦法院以涉及言論自由為由阻止執行，DAAA因此改採「年齡訊號」機制，要求作業系統在帳號設定時取得使用者年齡資訊，再透過API向App商店及開發商提供年齡訊號，不直接限制內容，以降低違憲疑慮。</p> <p>《數位年齡保障法》的核心邏輯是建立一套「分級年齡訊號」，而非直接審查內容或強制上傳身分證。該法案將使用者劃分為四個年齡區間（未滿13歲、13至15歲、16至17歲、以及18歲以上）。當未成年人下載App時，作業系統會透過即時API向開發商傳遞對應的年齡區間訊號，讓應用程式在不必收集用戶真實生日或隱私個資的情況下，自動觸發相應的保護機制。</p> <p>AB 1043通過後，在開源社群掀起波瀾，因為這代表Ubuntu、Fedora、Debian、Arch等Linux發行版的維護者，都可能被要求建立即時年齡驗證API，並在帳號設定流程中取得使用者年齡資訊。然而，多數開源系統依賴志工社群或非營利組織維護，沒有統一的帳號體系，也不是由單一公司集中管理。若要符合規定，可能得額外建立原本不存在的身分與年齡驗證基礎設施，對開源社群而言將形成沉重的技術與合規負擔。</p> <p>相較之下，Windows已整合Microsoft帳號，macOS則依賴Apple ID，原本就具備集中管理使用者資料的能力。</p> <p>AB 1856修正案重新定義了「作業系統供應商」的範圍，將採用GPL、MIT、BSD、Apache等開源授權條款、允許使用者自由複製、修改與重新散布的軟體排除在外。這項豁免讓主流Linux發行版及其他符合條件的開源作業系統，將不必為遵循DAAA而建立年齡驗證機制。AB 1856目前正等待州長Newsom簽署，預計將與主體法案同樣在2027年1月實施。</p> </div></div></div>
8/31 11:23作者陳曉莉https://www.ithome.com.tw/news/178538
臺灣新創Zeabur資料外洩，駭客聲稱竊得612 GB內部資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>臺灣雲端部署平臺Zeabur上週透露<strong><a href="https://www.ithome.com.tw/news/178534">發生資料外洩事故</a></strong>引發關注，該公司的環境變數外流，導致部分用戶串接的AI服務使用量異常。有駭客聲稱，他們從Zeabur竊得大批內部資料。</p> <p>8月29日暗網威脅情報平臺Dark Web Intelligence指出，<strong><a href="https://x.com/DailyDarkWeb/status/2093714139466064240">有人於駭客論壇聲稱</a></strong>這起資料外洩事故與他們有關，這些駭客竊得Zeabur原始碼與雲端憑證，以及約612 GB的客戶資料庫。對此，Zeabur同日更新<strong><a href="https://status.zeabur.com/incident/1037896">事故調查說明網頁</a></strong>，表示他們已得知此事，根據系統記錄、觀察到的攻擊者活動，以及其他證據，該公司尚未找到攻擊者取得完整資料集的證據。</p> <p>究竟那些資料遭竊？駭客聲稱包括：Zeabur原始碼、PostgreSQL和MongoDB資料庫備份、AWS基礎設施秘鑰、GCP服務帳號（且具備專案擁有者權限）、Google Workspace管理者存取權限、GitHub私有存取權杖（PAT）及原始碼檔案、Stripe API金鑰、Kubernetes叢集管理員存取權限，以及WireGuard VPN存取權限。Dark Web Intelligence指出，若是駭客的說法屬實，那麼這起事故的影響範圍，將會遠超出一般資料庫的外洩，可能會造成嚴重的供應鏈風險。</p> </div></div></div>
8/31 11:29作者周峻佑https://www.ithome.com.tw/news/178540
新型惡意軟體GoCaracal現蹤，以太坊智慧合約成C2位址備援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安業者Arctic Wolf<strong><a href="https://arcticwolf.com/resources/blog/dark-caracal-reloaded-new-malware-same-hunting-grounds/">揭露</a></strong>以Go語言撰寫的新型惡意軟體GoCaracal，今年6月已被用於攻擊委內瑞拉一家通訊組織。GoCaracal可遠端控制受害電腦、竊取資料，還能在無法連上主要命令與控制（C2）伺服器時，從以太坊智慧合約取得新的C2位址。Arctic Wolf研判相關攻擊與網路間諜組織Dark Caracal有關。</p> <p>研究人員分析249個相關樣本後發現，GoCaracal至少從2026年1月持續開發至7月，分成輕量與完整功能兩種版本。輕量版主要用來取得受害電腦的控制權，可蒐集系統資訊、執行遠端命令及下載其他惡意程式，而完整版本則加入檔案管理、竊取瀏覽器資料、鍵盤側錄、遠端桌面控制等能力，也能讓攻擊者把網路流量經由受害電腦轉送，並設法讓惡意程式持續留在系統中。</p> <p>在委內瑞拉通訊組織的攻擊中，Arctic Wolf研判駭客使用西班牙文金融與稅務主題誘餌，透過惡意SVG檔案將受害者導向攻擊者控制的網站，再下載內含輕量版GoCaracal的壓縮檔。取得受害系統控制權後，攻擊者還會部署既有遠端控制惡意軟體Bandook，以及功能更完整的GoCaracal。相關手法與Dark Caracal過去在拉丁美洲發動的攻擊活動相似。</p> <p>完整版本GoCaracal更加入C2備援機制，當惡意程式多次無法連上原本的C2伺服器，便會透過公開的以太坊查詢服務，讀取指定智慧合約中儲存的資料。如果其中包含有效位址，GoCaracal便改連新的C2伺服器，攻擊者因此可以修改智慧合約中的位址，讓已感染的電腦改連其他伺服器，不必重新散布惡意程式。</p> <p>以太坊在整個機制中只負責提供備援C2位址，攻擊者並未透過區塊鏈直接傳送控制指令。研究人員檢查相關智慧合約的交易紀錄，也發現其中儲存的位址曾被改成公開IP位址，顯示這項備援機制並非僅停留在程式碼中。</p> </div></div></div>
8/31 11:42作者李建興https://www.ithome.com.tw/news/178539
醫療廠商McKesson證實資料外洩，ShinyHunters宣稱竊取2.84億筆病患相關資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>勒索軟體組織ShinyHunters上週宣稱駭入知名醫療設備及藥品分銷商McKesson（麥克森）的第三方雲端應用，並竊取約2.84億筆資料。<a href="https://www.mckesson.com/utility/cybersecurity/customer-cybersecurity-information-center/" target="_blank">McKesson則於8月28日證實</a>發生資安事件並有資料外洩，但尚未證實ShinyHunters宣稱的資料數量。</p> <p>McKesson透過官方「客戶資訊安全中心」（Customer Cybersecurity Information Center）說明，公司於8月25日發現其資訊系統遭未經授權存取，並導致資料外洩。McKesson隨即啟動事件應變機制，並延請外部資安專家協助調查，也向美國證券交易委員會（SEC）提交報告。</p> <p>在此之前不久，駭客組織ShinyHunters在其資料公開網站宣稱駭入McKesson。這群駭客聲稱透過對McKesson員工發動語音釣魚（Voice-Phishing），並因此成功入侵McKesson運行的第三方雲端系統（如Salesforce及Snowflake），竊取估計約2.84億筆資料。外洩資料包含患者個人身分資訊（PII）、健康紀錄、處方與帳單資料等。</p> <p>McKesson說調查仍在持續進行中，承諾會在掌握更多確切資訊時提供最新動態。</p> <p>這是近期外洩大量敏感資料的最新一家醫療業者。近期已先後有美國提供醫療財務及營收周期管理（Revenue Cycle Management）軟體業者<a href="https://www.ithome.com.tw/news/178063" target="_blank">Unlimited Technology System</a>、全美最大公立醫院體系紐約公立醫院系統<a href="https://www.ithome.com.tw/news/175928" target="_blank">NYC Health + Hospitals</a>、波蘭電子病歷系統商<a href="https://www.ithome.com.tw/news/178310" target="_blank">MyDr</a>遭網路攻擊，導致數百萬到近2000萬筆資料外洩。另外，專門提供慈善機關的<a href="https://www.securityweek.com/over-1000-charities-hit-by-beacon-crm-data-breach/" target="_blank">Beacon</a> CRM的AWS存取金鑰（Access Key）外洩，導致攻擊者入侵其資料庫，大量捐款人、患者與受助者的個人資料與敏感紀錄遭到下載，共有超過1,000至1,500家使用該平臺的醫療保健機構、臨終關懷醫院（Hospices）、病友協會以及犯罪受害者支援基金會受影響。</p> </div></div></div>
8/31 10:24作者林妍溱https://www.ithome.com.tw/news/178531
OpenAI計畫11月終止向Cursor直接提供AI模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://help.openai.com/zh-hant-hk/articles/20001506-using-openai-models-in-cursor" target="_blank">OpenAI週末宣佈</a>計畫在今年11月12日終止直接向AI輔助程式開發工具Cursor提供OpenAI模型的合約，可能和SpaceX收購Cursor有關。</p> <p>OpenAI計畫結束對Cursor提供AI模型的合約，他們已對Cursor說明2026年11月12日之前為過渡期。在過渡期間，該公司仍然會提供Cursor存取現今正在使用的模型，但對方也可以選擇提早結束存取。OpenAI會在雙方確認後公佈合約終止日期。</p> <p>在此調整後，使用者若想繼續在Cursor內使用OpenAI模型，需透過三種替代方案。一是使用自備OpenAI API金鑰（Bring Your Own Key，BYOK），支付OpenAI API費用以便在Cursor本地端Chat和Agent功能中使用OpenAI模型。其次是支付ChatGPT訂閱費用，即可在Cursor中使用Codex IDE外掛。或是透過相容雲端服務如Amazon Bedrock、Azure或其他OpenAI相容閘道來使用其模型。</p> <p><a href="https://www.ithome.com.tw/news/178218" target="_blank">這是在SpaceX 8月初完成對Cursor</a>的600億美元收購後OpenAI方面的回應。SpaceX合併xAI後，亟欲強化Grok的技術能力，可能引發OpenAI的顧忌。</p> <p>Cursor方面並不樂見OpenAI的決定。Cursor共同創辦人暨執行長<a href="https://x.com/mntruell/status/2093532254006063557" target="_blank">Michael Truell表示</a>很遺憾OpenAI計畫在3個月後封鎖Cursor使用者的計畫。他說Cursor是OpenAI最早的用戶之一，雙方多年來合作密切，也相信OpenAI是其業務的中立基礎架構。Truell說，OpenAI模型存取流量佔到Cursor用戶流量約5%。Cursor現正致力於和OpenAI協商解決此事。</p> <p>OpenAI執行長Sam Altman和SpaceX執行長Elon Musk正是近年撕破臉的昔日合作夥伴。</p> <p>AI模型廠商封鎖被競爭者收購的合作夥伴並非新聞。<a href="https://www.ithome.com.tw/news/169375" target="_blank">Anthropic 2025年也曾經</a>對AI工具商Windsurf大幅縮減Claude 3.x版的使用限額，被外界推測可能和Windsurf與OpenAI收購傳聞有關。不過隨著Windsurf創辦人暨執行長和2位高層員工跳槽Google DeepMind，OpenAI收購一事告吹，<a href="http://www.ithome.com.tw/news/170053" target="_blank">公司戲劇性由Cognition收購</a>，Anthropic就恢復了Cognition/Windsurf的模型存取權。</p> <p>有趣的是，<a href="https://techcrunch.com/2026/08/19/cognition-ceo-denies-report-that-spacex-tried-to-acquire-the-startup/" target="_blank">上週有媒體報導</a>，SpaceX計畫收購Cognition。Cognition的AI工具Devin擁有賓士（Mercedes-Benz）、花旗（Citi）和高盛證券（Goldman Sachs）等客戶，後者執行長Scott Wu否認收購洽談一事，但未說明Cognition可能簽約使用SpaceX的AI運算容量的合作傳聞。</p> </div></div></div>
8/31 10:35作者林妍溱https://www.ithome.com.tw/news/178533
臺灣AI新創Zeabur環境變數外洩，使用者API金鑰恐外流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>臺灣雲端部署平臺Zeabur上週傳出資料外洩事故，導致部分用戶的AI服務的額度突然爆增。Zeabur創辦人林沅霖（Yuanlin）<strong><a href="https://www.threads.com/@yuaanlin/post/DcmVCO7kuG6">於8月27日表示</a></strong>，該公司在26日察覺環境變數外洩的資安事故，假若用戶在Zeabur存放了OpenAI、Anthropic、OpenRouter等第三方AI服務的API金鑰，或是已經收到該公司的通知信，要儘速根據他們提供的指引輪替金鑰，並檢查這些服務的用量與帳單是否出現異狀。林沅霖表示，在發現資料外洩的情況後，Zeabur已第一時間進行控制，持續監控是否出現其他異常，逐一通知可能受影響的用戶，並配合上游廠商與執法機關調查。</p> <p>在資料外洩事故公布後，外界看法兩極，有人認為Zeabur尚未調查清楚原因就請用戶輪替API金鑰，難保新的金鑰不會面臨外洩的問題，也有人指出這次Zeabur洩露的是.env檔案，認為比原始碼外洩還可怕；但也有用戶表示，Zeabur願意公開資安事故並積極著手處理，認為應給予肯定。值得留意的是，有用戶出面表示，他們在Zeabur公布資安事故之前，就察覺AI服務使用量異常，甚至相關額度也出現耗盡的情形。</p> <p>Zeabur自8月28日起，<strong><a href="https://status.zeabur.com/incident/1037896">透過服務狀態公告說明這起事故的調查進展</a></strong>，指出他們察覺此事是因為偵測到某個內部服務憑證遭未經授權存取，該憑證的用途，是取得專案環境的變數記錄，該公司指出，若是用戶的憑證資料符合AWS、GitHub、Anthropic、OpenRouter、OpenAI或Stripe的憑證格式，會暴露在自訂變數名稱下而受到影響。不過，該公司尚未發現Zeabur帳號憑證、個人資訊、伺服器資料、付款資訊或信用卡資訊遭異常存取的跡象。</p> </div></div></div>
8/31 10:38作者周峻佑https://www.ithome.com.tw/news/178534
ShinyHunters公開美國服飾業者Carhartt 1300萬筆資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>ShinyHunters日前公開聲稱從美國服飾業者Carhartt竊得的資料，Have I Been Pwned確認其中約有1,290萬筆有效個人資料，包括姓名、電子郵件信箱等個人資料。</p> <p>資料外洩事件警示網站Have I Been Pwned上週<a href="https://haveibeenpwned.com/Breach/Carhartt" target="_blank">將Carhartt加入資料外洩機構名單</a>。外洩資料約1,290萬筆，內含電子郵件、姓名、電話和實體住址。外洩資料原本還包含數百萬筆和真實個人無關的合成紀錄，被排除在外洩筆數之外。不過Carhartt並未證實消息。</p> <p>ShinyHunters常採取竊取資料後勒索受害組織，若未達成付款協議便公開資料的手法。ShinyHunters先前宣稱入侵Carhartt系統取得公司資訊，勒贖330萬美元，<a href="https://www.ithome.com.tw/news/178161" target="_blank">並在兩週前宣稱</a>，由於交涉失敗，將公開這家服飾品牌業者約50GB資料，包含客戶與員工資訊、客戶忠誠方案及其他公司資訊。這個駭客組織已經公開了多家知名企業的資訊。同時間<a href="https://www.ithome.com.tw/news/178531" target="_blank">ShinyHunters還宣稱從McKesson</a>雲端系統竊得2.8億筆機密資訊。</p> </div></div></div>
8/31 10:49作者林妍溱https://www.ithome.com.tw/news/178535
英國曼徹斯特機場集團資料外洩案，FulcrumSec宣稱竊取86GB資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>英國大型機場營運業者曼徹斯特機場集團（Manchester Airports Group，MAG）<a href="https://www.ithome.com.tw/news/178526" target="_blank">資料外洩事件</a>出現新進展。資料勒索團體FulcrumSec向資安媒體<a href="https://www.bleepingcomputer.com/news/security/fulcrumsec-claims-manchester-airports-hack-theft-of-86-gb-of-data/" target="_blank">Bleeping Computer宣稱</a>發動這起攻擊，並聲稱竊取約86GB資料。Bleeping Computer取得部分疑似遭竊資料後進行檢視，發現這批資料除了包含MAG先前公布的電子郵件、電話、車牌及郵遞區號，還包含旅客預訂、行程與交易相關資訊。</p> <p>Bleeping Computer將其中一筆旅客資料與該名旅客過往在曼徹斯特機場的消費紀錄比對，發現多項預訂與交易資訊相符，顯示遭竊資料樣本包含比MAG先前公布內容更詳細的旅客資訊。FulcrumSec另聲稱，遭竊內容包含近20萬筆尚未成行的旅遊預訂紀錄，並稱攻擊者是利用暴露在用戶端JavaScript程式碼中的機場專用Iterable API憑證取得存取權。</p> <p>不過，Bleeping Computer表示，目前檢視的資料樣本看來具有真實性，但尚無法獨立證實FulcrumSec宣稱的整體資料規模，以及攻擊者取得存取權的方式與範圍。Bleeping Computer向MAG查證時，該公司未就FulcrumSec提出的具體說法予以回應。</p> </div></div></div>
8/31 09:37作者王珮瑤https://www.ithome.com.tw/news/178529
玩具業巨擘孩之寶遭駭，被竊數百人個資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>玩具業巨擘孩之寶（Hasbro）近日通報員工個資外洩事件，目前公開資料顯示，有436名麻州居民受到影響，但整體受影響人數尚未公布。這起事件可能與孩之寶今年3月發現的網路攻擊有關，但公司目前尚未確認兩者是否為同一起事件。</p> <p>孩之寶近日以電子郵件<a href="https://www.mass.gov/doc/2026-1427-hasbro-inc/download" target="_blank">通知</a>受影響人員，外洩資料可能包含電子郵件地址、郵寄地址、電話號碼、國民身分識別號碼及財務資訊等，並提醒受影響人員持續檢查帳戶與信用紀錄，留意可疑活動及釣魚郵件。這批通知也是孩之寶向美國州政府檢察長辦公室提交的資料外洩通報文件之一。</p> <p>通知文件未說明攻擊是否涉及勒索軟體、攻擊者身分，以及整體受影響人數。根據<a href="https://www.mass.gov/doc/data-breach-report-2026/download" target="_blank">麻州政府公布的資料</a>，孩之寶在8月25日通報事件，共有436名麻州居民受到影響。除了基本個資，外洩資料還包含社會安全號碼（SSN）、駕照資訊、金融帳戶資訊，以及信用卡或金融卡號碼。</p> <p>這起資料外洩事件可能與孩之寶今年稍早遭遇的網路攻擊有關。孩之寶先前在<a href="https://newsroom.hasbro.com/news-releases/news-release-details/cybersecurity-incident-updates" target="_blank">官方網站公告</a>，公司於3月28日發現內部網路遭未授權存取，部分內部系統受到影響。為因應事件，孩之寶主動將部分系統離線。</p> <p>孩之寶當時表示，公司仍可接受並出貨全球訂單。不過，根據該公司向美國證券交易委員會（SEC）<a href="https://www.sec.gov/Archives/edgar/data/46080/000004608026000013/has-20260401.htm" target="_blank">提交的文件</a>，為維持營運所採取的暫時措施可能持續數週，期間可能造成部分延遲。</p> <p>孩之寶當時也表示，部分現任及前任員工個資可能遭到存取，目前沒有發現個資遭到誤用，也沒有跡象顯示這些資訊將遭到誤用。</p> </div></div></div>
8/31 09:55作者林妍溱https://www.ithome.com.tw/news/178530
Linux基金會接手TRACE治理，建立AI代理跨環境互通驗證方式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.linuxfoundation.org/press/linux-foundation-welcomes-trace-to-advance-verifiable-runtime-evidence-for-ai-workloads" target="_blank">Linux基金會（The Linux Foundation）於8月25日宣布</a>，將接手TRACE開放規格治理。TRACE可整合AI代理及其他機密工作負載的執行環境、政策及工具使用情況，形成可供查驗的執行紀錄。這項規格由機密運算業者OPAQUE提出，AMD、Intel、微軟、OPAQUE及阿布達比技術創新研究院（Technology Innovation Institute，TII）共同參與開發。</p> <p class="rtecenter"><a href="https://github.com/agentrust-io/trace-spec" target="_blank"><img alt="" src="/sites/default/files/images/0829-TRACE-600.png" style="width: 600px;" /></a></p> <p>隨著AI代理逐步用於實際工作流程，如何確認其操作是否符合既定規範，也成為AI治理的重要課題。<a href="https://github.com/agentrust-io/trace-spec/blob/main/spec/trace-v0.2.md" target="_blank">TRACE官方規格</a>提到，現有系統日誌雖能記錄軟體與系統活動，但內容可能遭到修改，也難以證明AI代理當時使用哪些軟體、在哪種環境執行，以及套用哪些政策。TRACE則把這些資訊與資料分類、工具呼叫等內容整合起來，讓組織及第三方能據此查驗AI代理當時的實際執行狀態。</p> <p>近期<a href="https://www.ithome.com.tw/news/177504" target="_blank">OpenAI</a>、<a href="https://www.ithome.com.tw/news/177777" target="_blank">Anthropic</a>與<a href="https://www.ithome.com.tw/news/177957" target="_blank">Meta</a>都曾發生AI模型在測試期間突破隔離限制或意外連上外部系統的事件，部分案例並波及正式環境，凸顯AI代理與模型執行環境控管的重要性。</p> <p>TRACE透過硬體驗證及密碼學簽章等機制，讓執行紀錄可供獨立查驗，並能隨工作負載在不同主機、雲端及供應商環境之間移轉。TRACE並非另建一套新的驗證框架，而是整合既有標準與規格，包括用於遠端證明的RATS架構、承載證明資訊的EAT格式，以及用於透明度紀錄的SCITT草案，形成共通證據層，支援企業、雲端及主權AI環境互通。</p> <p>TRACE今年6月推出開發者預覽版，目前版本為v0.2，仍處於草案階段。Linux基金會表示，TRACE發布後不到10週，在PyPI累計下載近13.5萬次。納入Linux基金會治理後，TRACE將以廠商中立方式持續發展，建立可供不同AI與機密運算環境互通的驗證方式。</p> </div></div></div>
8/31 08:00作者王珮瑤https://www.ithome.com.tw/news/178521
ServiceNow修補3項CVSS滿分漏洞，未經身分驗證可遠端執行程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>企業工作流程與雲端平臺業者<a href="https://support.servicenow.com/kb?id=kb_article_view&sysparm_article=KB3152242" target="_blank">ServiceNow於8月27日發布安全公告</a>，修補旗下AI平臺ServiceNow AI Platform的3項重大資安漏洞。攻擊者在特定情況下不須通過身分驗證，就能從遠端發動攻擊，3項漏洞的CVSS v4.0風險分數皆達滿分10.0。</p> <p>這3項漏洞分別為CVE-2026-18885、CVE-2026-18886及CVE-2026-74820。其中，CVE-2026-18885出現在GraphQL Composite Data API，可讓攻擊者透過程式碼注入執行任意程式碼，進一步存取或修改執行個體資料。CVE-2026-18886則涉及系統組態圖片上傳處理元件的存取控制不當，可能讓攻擊者建立或修改超出原先允許範圍的資料，並取得更高權限。CVE-2026-74820為SQL注入漏洞，攻擊者可對底層資料庫執行任意SQL陳述式。</p> <p>ServiceNow同時修補影響Now Platform的高風險沙箱逃逸漏洞CVE-2026-6876，CVSS v4.0風險分數為8.7。若成功利用這項漏洞，攻擊者可在Now Platform執行任意程式碼，並取得超出原先允許範圍的平臺存取權限。</p> <p>這批漏洞影響Xanadu、Yokohama、Zurich及Australia等版本系列中的部分版本。ServiceNow已為代管的執行個體部署安全更新，並向合作夥伴及自行代管的客戶提供修補版本。</p> <p>ServiceNow在8月29日更新公告時表示，目前沒有發現這4項漏洞遭到惡意利用，並建議客戶儘速套用對應更新，或升級至已修補版本。</p> </div></div></div>
8/31 08:00作者王珮瑤https://www.ithome.com.tw/news/178525
英國曼徹斯特機場集團（MAG）遭駭，約870萬名客戶資料被竊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>英國大型機場營運業者曼徹斯特機場集團（Manchester Airports Group，MAG）近日遭到網路攻擊。<a href="https://www.theregister.com/security/2026/08/27/cybercrooks-jet-off-with-manchester-airports-group-customer-data/5292943" target="_blank">根據The Register報導</a>，MAG估計約有870萬名客戶受到影響。這起事件未影響旗下機場營運、乘客安全及航空安全。</p> <p><a href="https://www.manchesterairport.co.uk/help/data-security-incident/" target="_blank">MAG於8月27日公布這起資安事件</a>，未經授權的第三方取得部分客戶資料，包括電子郵件地址、電話號碼、車牌號碼及郵遞區號。資料來自Manchester、London Stansted及East Midlands等3座機場的公共Wi-Fi註冊資料，以及停車場、貴賓室與Fast Track快速通關服務的預訂紀錄。MAG表示，公司及遭到存取的系統都未儲存客戶的銀行或付款資料。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0830-Manchester%20Airports%20group-600-1.png" style="width: 600px;" /></p> <p><a href="https://therecord.media/cyberattack-on-manchester-airports-group-exposes-millions-customer-info" target="_blank">資安媒體The Record引述MAG表示</a>，絕大多數受影響客戶僅有電子郵件地址遭到存取；<a href="https://www.theregister.com/security/2026/08/27/cybercrooks-jet-off-with-manchester-airports-group-customer-data/5292943" target="_blank">The Register則進一步提到</a>，這些電子郵件地址多半來自機場公共Wi-Fi註冊資料。</p> <p>在攻擊流程方面，The Register引述MAG說明，攻擊者先入侵MAG一套未具體說明的系統，再從第三方代管的資料庫竊取檔案，之後提出勒索要求。這起事件並未涉及勒索軟體，MAG也沒有支付勒索款項。攻擊團體身分及勒索要求細節目前未公開。</p> </div></div></div>
8/31 08:00作者王珮瑤https://www.ithome.com.tw/news/178526
德國柏林政府遭駭證實資料外流，Rhysida宣稱取得5.79 TB資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>柏林邦政府<a href="https://www.ithome.com.tw/news/178273" target="_blank">先前遭到</a>網路攻擊，<a href="https://www.berlin.de/rbmskzl/aktuelles/pressemitteilungen/2026/pressemitteilung.1708208.php" target="_blank">官方於8月28日公布最新調查結果</a>，證實攻擊者曾提出勒索要求，但政府表示不會接受。調查也確認，8月7日至12日期間曾有資料流出，目前仍無法排除其中包含個人資料或其他非公開資訊。</p> <p>資安媒體<a href="https://thehackernews.com/2026/08/berlin-refuses-to-pay-hackers-who-stole.html" target="_blank">The Hacker News</a>取得的柏林政府回覆顯示，其中一個受影響行政部門8月7日首次通報資料外流，兩個受影響行政部門則在8月14日與邦政府網路隔離。</p> <p>The Hacker News發現，勒索軟體組織Rhysida的資料外洩網站於8月28日新增柏林相關紀錄，並聲稱取得5.79 TB、約144萬個檔案，資料涉及12,076人的個人資訊。不過，柏林官方目前並未指認攻擊團體，也沒有公布實際外流資料量，因此相關說法仍未獲官方證實。</p> <p><a href="https://www.cisa.gov/news-events/alerts/2023/11/15/cisa-fbi-and-ms-isac-release-advisory-rhysida-ransomware" target="_blank">美國網路安全暨基礎設施安全局（CISA）先前示警</a>，Rhysida曾利用遭攻擊者掌握的有效登入憑證、網路釣魚，以及微軟Netlogon遠端協定的重大權限提升漏洞Zerologon（CVE-2020-1472）對受害組織發動攻擊。CISA建議優先修補已知遭利用的漏洞、啟用多因素驗證（MFA），並透過網路分段降低勒索軟體在組織內部擴散的風險。</p> </div></div></div>
8/31 08:00作者王珮瑤https://www.ithome.com.tw/news/178527
開發框架Next.js修補兩項重大RCE漏洞，Windows部署及AVIF影像最佳化受影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>開發框架Next.js團隊釋出15.5.24與16.3.3，修補兩項重大未經身分驗證遠端程式碼執行（RCE）漏洞。一項影響特定Windows伺服器部署，另一項則出現在AVIF影像最佳化功能，問題源自底層影像處理函式庫libheif。攻擊者在符合條件的情況下不需登入，就可能在伺服器執行任意程式碼。</p> <p>第一項<strong><a href="https://github.com/vercel/next.js/security/advisories/GHSA-p293-qw3h-jr36">CVE-2026-75604</a></strong>的CVSS風險評分為9.0分，影響Next.js 13.4以上、15.5.24以前，以及16.0以上、16.3.3以前版本。漏洞只會影響使用Windows檔案系統，並同時採用Pages Router與App Router，且未啟用Cache Components的應用程式。攻擊者可利用檔案路徑處理問題存取原本不該觸及的位置，造成遠端程式碼執行。Next.js目前未提供其他緩解方法，受影響環境需直接升級。</p> <p>另一項<strong><a href="https://github.com/vercel/next.js/security/advisories/GHSA-2xp9-vwfh-vxw4">AVIF影像最佳化RCE漏洞</a></strong>的CVSS風險評分為9.5分，出現在Next.js處理AVIF影像的最佳化功能。Next.js會透過影像處理函式庫sharp處理圖片，而sharp底層使用libheif，因此libheif的安全漏洞也一路影響到Next.js。當Next.js影像最佳化功能處理攻擊者特製的AVIF圖片時，就可能觸發記憶體錯誤並執行惡意程式碼。</p> <p>問題源自sharp底層使用的libheif，其中的影像處理記憶體溢位漏洞CVSS風險評分達9.8分。問題發生在libheif處理特製影像的透明度資料時，程式配置的記憶體空間小於後續實際寫入的資料量，導致資料寫到原本配置範圍外的記憶體。<strong><a href="https://github.com/strukturag/libheif/security/advisories/GHSA-g89c-p67h-r497">libheif公告指出</a></strong>，該漏洞已在多個應用程式上被利用達成RCE，並已在1.23.2版完成修補。</p> <p>Next.js則先在15.5.24與16.3.3停用AVIF影像最佳化，避免底層libheif漏洞遭到利用。符合CVE-2026-75604條件的Windows部署，以及使用Next.js影像最佳化功能處理AVIF的網站，都應升級至修補版本。</p> </div></div></div>
8/30 12:55作者李建興https://www.ithome.com.tw/news/178520
Google影片生成模型Gemini Omni 1.1 Flash，可延伸40秒並指定首尾影格
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google推出生成式影片模型<strong><a href="https://blog.google/innovation-and-ai/technology/developers-tools/build-with-gemini-omni-1-1-flash/">Gemini Omni 1.1 Flash</a></strong>，新增影片延伸、首尾影格控制、360p快速草稿與最高4K解析度輸出等功能，並已透過Gemini API提供。開發者可從既有影片繼續生成後續畫面，也能指定影片開頭與結尾的影格，再由模型產生中間的連續畫面。</p> <p>新版主要改善長影片製作能力，Gemini Omni 1.1 Flash延伸影片時，可參考前面最多10秒的內容，每次向後生成10秒，累計影片長度最高40秒。先前版本只能參考影片最後1秒，Google表示，增加可參考的前段內容後，有助於維持人物、場景與故事前後一致。</p> <p>首尾影格控制則讓使用者指定影片開始與結束的兩個畫面，模型會自動生成兩者之間的連續影像。製作者可以藉此控制鏡頭從哪裡開始、最後停在哪裡，用於製作鏡頭移動、畫面轉場或可重複播放的短片，比單純用文字描述影片內容多一層畫面控制。</p> <p>Gemini Omni 1.1 Flash也新增360p低解析度草稿，Google表示，相較720p影片，360p生成速度最高可快60%，成本約為三分之一，適合先快速測試不同版本，確認內容後再製作較高解析度影片。模型可將影片輸出成1080p或4K，也就是透過後續處理提高解析度，而非直接以4K解析度生成。</p> <p>新版另外可使用最長3秒的影片作為參考素材，模型會依照參考影片中的動作與畫面內容生成新影片，例如提供人物圖片與舞蹈影片後，可要求圖片中的角色模仿參考影片的動作，讓開發者在生成影片時更容易維持人物與動作的一致性。</p> <p>Gemini Omni 1.1 Flash目前已透過Gemini API提供，並可在Google AI Studio使用，Google也在Flow向Google AI Plus、Pro與Ultra訂閱用戶提供新版模型，Gemini應用程式則加入影片場景延伸功能。</p> </div></div></div>
8/30 13:01作者李建興https://www.ithome.com.tw/news/178523
數發部五大AI政策上路一年，林宜敬盤點最新成果
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>數位發展部部長林宜敬近日在2026數位政府高峰會上，說明上任近一年來，如何運用五大政策工具，推動臺灣AI產業生態圈和主權AI的進展。</p> <p>去年9月1日，林宜敬從政務次長，接任數發部部長一職，他在上任媒體茶敘中強調，數位發展部將透過算力、資料、人才、行銷、資金等五大政策工具，積極建構一個健康的軟體產業生態系，確保臺灣能在AI革命中佔據領先地位。</p> <p>林宜敬指出：「科技的創新、突破與發展，必須來自於民間自由而公平的競爭，政府最重要的任務是，創造一個適合 AI 產業發展的生態系。」</p> <h3><strong><span style="color:#B22222;">創造AI產業生態系，五大政策工具一年成果</span></strong></h3> <p>經過一年的推動，在算力上，數位發展部數產署目前已經建置了40片GPU卡的算力池，可供臺灣AI新創團隊免費驗證之用，剛通過的算力擴充預算，約可再添購60片GPU，達到百片的規模。</p> <p>數發部也和不同部會合作，增加更多民間投入算力基礎建設的誘因，像是與金管會合作，在6月時宣布鬆綁保險業的投資限制，將AI新十大建設相關產業列為保險業可投資的策略性產業，例如保險業資金可用於投資算力中心。另外，也和財政部合作，將AI算力設施納入《促進民間參與公共建設法》的重大公共建設範圍，來提供租稅優惠。</p> <p>在「資料」面的施政上，一方面致力於開放政府擁有著作權的資料，讓民間AI團隊可用來訓練AI模型，持續擴充臺灣主權AI訓練語料庫的資料量，統計到今年7月為止，已經累積超過15億Tokens的語料量。另一方面，數發部草擬的《促進資料創新利用發展條例》草案，也在今年3月提報到行政院審議中，希望能促進無涉及個資的結構化與非結構化資料的再利用。林宜敬也在高峰會中呼籲各級政府單位，開放更多資料提供民間AI產業可用。</p> <p>在「人才」方面，數發部訂定了《AI產業人才認定指引》，定義了3大類AI人才和AI能力架構，5月釋出的最新3.0版本指引，從原有五大能力，新增了「AI治理素養」與「AI協作與開發」等兩項能力。</p> <p>這3大類AI人才，包括了研究AI、開發AI和使用AI工具的人才。林宜敬表示，未來社會上，每一個人都要具備運用AI工具的能力來提高生產力。第二類是開發AI模型的人才，能善用現成工具和手邊資料來訓練新模型。第三類則是從事AI基礎研究、發表論文的人才，這類人才培育由國科會和教育部負責，數發部將負責培訓前面兩類的AI人才。</p> <p>在AI能力架構上，例如AI應用人才要具備AI應用素養和AI工具應用能力，而AI開發人才則需具備AI程式語言應用能力、AI模型訓練能力和AI服務開發能力。3.0版則新增了「AI治理素養」與「AI協作與開發」等兩項能力。</p> <p>林宜敬表示，明確定義出每一種AI人才的能力，讓AI人才有共同的衡量基準，不管是求職找工作、企業找人才、學校開課，或是認證機構發證照，都可以有一套明確的指引。「政府不需提供培訓課程，而是善用民間的力量，訂定AI 產業人才認定指引，可以形成AI人才的生態系。」</p> <p>而在「行銷」方面，數發部舉辦了一系列的產業媒合會（Demo Day）。每次找來八家AI軟體供應商，也透過公協會邀請40到60家潛在客戶，由每家軟體供應商進行15分鐘的產品展示。例如去年第一場健康照護媒合會，就找來80家長照機構，來了解8家AI廠商的產品介紹。去年還舉辦了醫療AI和HIS系統、復健科技與智慧醫療、日間照護等不同主題的產業媒合會。後來也針對公務機關舉辦了類似的AI產業媒合會。「政府不提供補助，而是幫新創介紹潛在客戶。」</p> <p>最後一項「資金」面施政，由數發部和國發會匡列了國發基金100億元資金，計畫以10年為期，投資AI新創、數位經濟相關產業。目前已經核定投資10案，投資金額約2.4億元，民間也搭配投資了約5.5億元。</p> <p>除了推動臺灣AI產業生態圈，數發部這一年來也積極發展主權AI。林宜敬指出，主權AI有兩重意義，第一是AI模型必須有臺灣的觀點，像是熟悉臺灣語言、社會環境和臺灣的價值觀。其次是必須在臺灣境內算力中心中運作。「只有當模型在臺灣境內算力中心運行的時候，我們才有司法管轄權，才能監管它。」林宜敬強調。</p> <p>數發部成立了一個AI產品與系統評測中心（AIEC），負責設計臺灣觀點的AI評測指標，主要評測三大重點，用過去5年高中學測國文科題目，測試模型對臺灣繁體中文的了解能力，另外用5年高中學測社會科題目，來測試模型對臺灣社會的了解程度。</p> <p>最後一項是評測模型具備了臺灣的價值觀。數發部蒐集了臺灣不分政黨有共識，但與中國沒有共識的題目。例如二次大戰期間，中國戰場的中國軍隊主力是國軍還是共軍？或是媒體應該監督政府還是幫政府宣傳等。目前AIEC中心已測試全球超過180個LLM模型，臺灣新創的語言模型，在臺灣觀點評測排名上，名列前茅。AIEC目前正在嘗試新的評測題目，用過去五年普考的政治學和地方自治考題，來測試全球通用模型的臺灣價值觀能力。</p> <h3><span style="color:#B22222;"><strong>多款國產LLM計畫發展中，從金融、法務到護理專業領域</strong></span></h3> <p>目前臺灣也有多款國產大語言模型計畫，像是有19家大型金融機構聯合出資，以中信金控為首，要訓練一款臺灣金融大語言模型，可以依照臺灣法規回答金融相關問題，也要能熟悉臺灣的金融用語和慣例，甚至可以依照臺灣不同金融機構的內部規定來回答問題。數發部和金管會合作，設計了一個涵蓋了銀行、保險和證券題目的評測指標，要來建立臺灣金融知識能力的LLM排行榜。</p> <p>不只金融，法務部也正在訓練一款熟悉臺灣法規的大語言模型，要提供給檢察官使用，未來也計畫開放給律師。這款法務大語言模型，不只依據臺灣法律回答，還能遵循臺灣法律體系所採用的大陸法系思維，而非歐美法系的思維邏輯提供解釋。數發部同樣也設計了一款對應的LLM評測指標，由法務部出題。另外，中國醫藥大學附設醫院和長聯科技合作，打造了一款生成式 AI 護理照護機器人「愛寶」，底層也是他們自己訓練的臺灣護理大語言模型。</p> <p>臺灣境內AI算力中心的佈局上，數發部先將AI算力中心的安全等級分為三級，最高等級的是臺灣政府部門專用伺服器，其次是臺灣境內的伺服器，像是數發部提供的AI算力、企業自薦AI算力中心或是三大公雲在臺資料中心。第三級則是境外伺服器。</p> <h3><strong><span style="color:#B22222;">促進民間投資，臺灣境內算力未來一年目標要提供2萬片GPU</span></strong></h3> <p>數發部要建立的主權AI算力中心，主要部署在第一級和第二級的伺服器上。國科會國網中心負責提供第一級伺服器。在第二級算力上，數發部數產署的算力池已有40片H100等級以上的GPU卡，未來一年計畫擴充到上百片。</p> <p>另外，數發部正在推動「AI算力中心BOO案」，將AI算力中心納入數位建設的重大公共建設項目，希望一年之內的投資額達到臺幣1,000億元，可以提供2萬片以上的GPU，也將保留一定比例的GPU算力，提供政府和學研單位免費或優惠使用。林宜敬表示：「目前有兩家廠商申請，年底前動工，最慢明年第一季就可以開始提供算力。」</p> <p>數政司建置了一個讓公務人員先試用再採購的TryAI試用平臺，將在臺灣可以購買的UI型AI產品或API型AI產品，按照算力中心資安等級來分類，上架到平臺上提供給公務人員試用。這些上架到TryAI 試用平臺的AI產品，也會陸續納入政府軟體採購共同契約中，來簡化和加速政府部門採購AI產品的流程。</p> <p> </p> </div></div></div>
8/30 12:00作者王宏仁https://www.ithome.com.tw/news/178528