iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 25篇
近 7 天: 122篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/3
最近更新: 11/4 05:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.0%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 121 篇內文

1
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象1 家

彭博社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

最新收錄

篩選「CISO」清除篩選 ×

本頁 60 篇 · 依收錄順序顯示摘要

【資安週報】1019～1022，91APP事件延燒、Zeabur再遭駭，AI自主網攻與PHP2Shell風暴引關注
回顧2026年10月第四週的資安動態，從國內91APP、Zeabur重大資安事故，以及AI自主攻擊帶來的攻防典範轉移，到PHP2SHELL重大漏洞引發的全球警戒，突顯企業面臨的資安挑戰日益複雜。另一方面，零時差漏洞攻擊持續威脅企業安全，國際間也陸續提出AI風險治理、後量子密碼及軟體供應鏈防護的新措施
10/23 18:21作者羅正漢https://www.ithome.com.tw/news/179896
科懋生技商城會員個資遭擷取，指出是委外服務商系統遭自動化攻擊
10月22日科懋於公開資訊觀測站發布資安重訊，指出接獲線上會員通知有個資外洩情形，經確認，起因為線上銷售平臺的委外服務商伺服器遭自動化網攻，公司已主動聯繫委外服務商並展開調查，目前查知影響包括線上訂單資料庫外流，其中部分涉及科懋商城會員的個資
10/22 18:27作者羅正漢https://www.ithome.com.tw/news/179900
【資安週報】1012～1016，美國查封中國永信至誠的網路攻擊基礎設施，7國網路安全與執法機構亦針對其攻擊活動聯合示警
國慶連假過後，本週資安焦點聚集於美國查封中國資安公司永信至誠科技的攻擊網域，揭露臺灣大學受害案例，7國資安與執法機構也聯合示警。法國超市冷藏系統遭駭、荷蘭零售服務中斷，Ledger硬體錢包更驚傳遭植入晶片；臺灣、日本及韓國企業資安事件頻傳，也持續引發關注
10/16 17:48作者羅正漢https://www.ithome.com.tw/news/179748
從911到貝爾斯登 Shopline全球資安長李彥民：CISO要做的，是替企業算清楚風險
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">2001年911恐攻後，紐約曼哈頓道路封鎖，許多工程師無法進入公司。當時住在島上的李彥民，徒步走了三十幾條街到公司，連續三天靠雙腳往返，協助系統恢復運作。那次經驗讓他發現，厚厚一本BCP手冊裡，還少了一項備援：「工程師的兩條腿」。 幾年後，另一場事件又讓他看到風險的另一面。2008年3月17日，他走進貝爾斯登（Bear Stearns）辦公室，看著這家擁有85年歷史的投資銀行，在一個週末後被摩根大通以每股2美元收購。 當時的他是貝爾斯登固定收益與股票業務部門的資訊安全官，負責超過150個專案的軟體開發生命週期安全審查，從應用系統、角色權限、資料庫、防火牆到原始碼掃描工具都親手摸過。 但這一次，真正讓他記住的不是技術，而是一個數字。「它不是被駭客打垮的，是被三十五倍槓桿的風險胃納壓垮。」那時候，李彥民開始思考：企業究竟願意承擔多少風險？風險胃納量這個數字，有沒有被真正說清楚？ 這個問題，後來一路跟著他走過十年創業、資安顧問與風險量化工作。如今擔任Shopline全球資安長的他，仍然用同一個問題看待CISO的工作：資安不是替公司決定什麼不能做，而是先把風險算清楚，讓經營階層知道「值多少、賠不賠得起」，再由真正承擔經營責任的人做決定。「資安一直是商業經營的最左邊，不在最右邊。」他說。 <h1>911之後，災難備援還少了一項關鍵要素</h1> 1999年，李彥民從美國羅格斯大學生物系畢業，副修電腦科學，5隔年進入高盛銀行擔任資訊系統工程師。那是資安產業剛開始成形的年代，ISO資安管理標準的前身BS7799才剛問世。他從IT服務臺輪值、備援演練做起，一路碰過防火牆、IPS，以及早期的開源入侵防禦系統。 911發生時，他正在紐約工作。2001年9月11日恐攻後，道路封鎖，公司的機房難以進入；許多住在郊區的同事，根本無法抵達曼哈頓。住在島上的李彥民反而成了少數可以進公司的人，他徒步走了三十幾條街到公司，協助系統復原，接連三天靠雙腳往返。 多年後，他回頭看那段經歷，印象最深的不是當時準備好的BCP文件，而是工程師真的得走到公司才能處理。他直言：「手冊裡各種設備、系統與線路的備援機制都有條目，卻沒有一條叫做『工程師的兩條腿』。」 他後來才意識到，備援並不只有設備和系統。人員能不能到場、實體環境能不能進入，同樣是系統能不能恢復的條件。 後來業界普遍要求備援機房與總部保持一定實體距離，對他而言，這個要求並不抽象。「就是當時我們走出來的距離，因為我們真的走了三十公里。」他說。 911讓他第一次從實際工作裡碰到「風險」這件事。 之後，他前往史蒂文斯理工學院攻讀資訊管理碩士、副修資安管理。畢業後加入貝爾斯登，擔任固定收益與股票業務部門的資訊安全官。用今天的職稱來看，這個位置接近駐點資安官（Business Information Security Officer，BISO），站在業務線與集團資安辦公室之間，處理業務單位的資安風險與控制措施。這也是他開始真正靠近業務的時期。 <h1>貝爾斯登倒下，風險對他開始有了價格</h1> 2008年3月17日那個週末，貝爾斯登被摩根大通收購。李彥民當時已經在貝爾斯登負責固定收益與股票業務部門的資訊安全，手上有超過150個專案的安全審查。應用系統、角色權限、資料庫、防火牆、原始碼掃描，每一層技術控制他都熟悉。 但一家大型金融機構的倒下，並沒有發生在這些控制措施裡。他說：「它不是被駭客打垮的，是被三十五倍槓桿的風險胃納壓垮。」對李彥民而言，這句話背後真正值得追問的，是「胃納」有沒有講清楚。 企業可以承擔多少風險？如果決定承擔，承擔的代價是多少？這些問題如果沒有變成一個可以討論、可以比較的數字，最後就可能變成所有人一起承擔的結果。「胃納」這個詞，也從那時候進入他的資安世界。 李彥民所說的風險胃納，換成比較容易理解的說法，就是企業對風險的偏好。有人保守，有人願意冒險。放在投資上，是願意投入多少資本換取多少報酬；放到企業營運，則是另一個問題：為了省下一筆控制成本，企業願意承受多少潛在損失？ 他甚至用小孩學騎腳踏車來比喻。父母可以全程扶著，也可以放手，讓孩子自己跌幾跤。願意放手多少，就是在成長與擦傷之間做選擇。 這個概念也可以套用到不同產業。銀行受到高度監管，通常不會有太高的風險胃納；餐飲業對資安風險的接受程度可能相對中庸，但碰到食安問題，同樣不會願意冒險。 不同國家對風險的偏好也不一樣。李彥民以美國與臺灣的監管方式為例，美國法規比較傾向替創新留下空間，部分情況可以先自審、再接受政府審查；臺灣則相對保守，通常要求先審查、通過後才能上路。 他表示，「先審再上，還是先上再審」，放進企業裡，其實也是同一個問題。產品一定要把所有風險控制好才能推出嗎？還是可以先推出，在可接受的範圍內承擔部分風險，再逐步改善？ 答案也不會永遠一樣。企業在不同成長階段，需要承擔的風險不同，能夠承擔的風險也會改變。貝爾斯登讓李彥民看到的是，風險沒有說清楚，最後可能不是某個系統出問題，而是整間公司一起付帳。 <h1>十年創業，拿自己的錢學風險管理</h1> 2010年回到臺灣後，李彥民沒有繼續沿著傳統資安職涯一路往管理職走，而是開始創業。「拿自己的錢學風險管理」，是他對那十年的形容。 他賣過保健食品、果汁，做過社會企業與SaaS平臺，也設計過桌遊。多數事業最後沒有活下來。但這十年讓他第一次很直接地面對一件事：每一個決定，最後都會從自己的口袋裡付錢。 他開始自學服務設計、跑業務、研究定價策略，也接觸哈佛商學院教授Clayton Christensen提出的「用途理論」（Jobs to Be Done）。這套理論談的是，顧客買產品或服務，往往不是因為產品本身，而是為了完成某一個「任務」（Job）。 這件事情讓他重新理解價格。只從價格出發，最後很容易變成削價競爭。賣得越便宜，自己反而越難生存；真正要理解的是產品為顧客解決了什麼問題，以及這個問題到底值多少錢。 這套想法後來又應用到他的資安工作上，一項服務說不清楚價值，就很難賣出好價格；一個風險說不清楚可能造成的損失，也很難讓企業真正重視。 這是他從創業裡帶回資安工作的第一個改變，「先問對方真正要解決什麼，而不是先問自己有什麼技術可以賣。」 <h1>從「同業怎麼做」到「這家公司該承擔多少」</h1> 回到資安領域後，李彥民先在凱信資訊負責SOC建置與顧問服務，接觸臺灣多家銀行、人壽保險、製造業與零售業客戶。接觸的產業越多，他越發現一件事情：資安人員很容易把「同業怎麼做」當成標準答案。 但他認為，這個問題本身可能就問錯了。即使是同一產業的兩家公司，產品、市場、廠房分布與企業文化都不同；就算是同一家公司，不同產線是否需要24/7即時同步，也會讓IT與OT的實作邏輯完全不同。 所以他開始鑽研風險量化方法論FAIR（資訊風險因子分析），同時持續思考另一件事情：策略能不能與企業真正對齊。他說：「只有在對齊的時候，價值才有機會發揮到最大。」 之後，他加入達信保險經紀人亞洲區，擔任資深資安顧問副總，主要負責FAIR風險量化方法論導入與顧問服務。客戶從晶片製造、汽車製造、面板製造、民生用品製造，到發電廠與學校都有。 同一套FAIR公式，在不同產業跑過一輪，他得到一個很直接的結論：「沒有通用的資安風險數字，只有適合這家企業『為什麼存在』的數字。」這也是他認為自己在那段時間做得最有成就感的一件事：把FAIR風險量化做成服務、賣出價格，而且真正做出案例。 他表示，十年前創業時學到的「用途」與「價值」，這時候又重新應用到資安工作裡。 <img alt="" src="/sites/default/files/images/600-%E6%9D%8E%E5%BD%A5%E6%B0%91%E6%8A%BD%E8%A8%80%E7%9A%84%E5%9C%96(2).png" style="width: 600px; height: 248px;" /> <blockquote>攝影 / 洪政偉 </blockquote> <h1>CISO不是替企業決定風險，而是替風險報價</h1> 2024年加入Shopline擔任全球資安長後，李彥民開始把這些經驗放到企業經營現場。 「風險胃納的擁有者是CEO，不是CISO。」在他看來，CISO負責的是測量與報價，企業要承擔多少風險，則是經營層的決定。 他觀察，在銀行體系裡，風險胃納通常是委員會開出來的一個數字；但當資本是自己的，風險就不再只是抽象數字，而會直接變成生存問題。他表示，公司越過那條線會倒，家裡越過那條線，晚餐桌上就端不出飯。 因此，CISO要做的是先把風險量化，讓經營層有依據做決策。他說：「每一塊沒有投進資安的錢，對公司營運而言，都是一個下注。」 這也是他在Shopline把自己定位成業務單位，而不是資訊部門延伸的原因。他直接向集團聯席總裁匯報。雖然有時候是跟工程師坐在一起，但他大部分的時間，更像是一個坐在工程師那邊的業務代表。 同樣的思維，也出現在Shopline推出「資訊安全中心」客戶儀表板的服務時。這套介面把分散在後臺的資安功能集中起來，讓商家登入後臺後，可以看到自己的商店資安等級是紅燈、黃燈還是綠燈。評分模型的權重，則根據威脅情資與風險量化邏輯推算，而不是單純看某個功能有沒有開啟。 對他而言，這是把原本藏在技術控制裡的風險，往前搬到業務可以看到的位置。 <h1>不講弱點數量，改講「可能損失多少錢」</h1> 到了董事會層級，李彥民更直接。「不講弱點數量，改講損失金額。」 與其告訴董事會今年修了多少漏洞、還剩多少漏洞，他更在意目前曝險多少、是否仍在公司風險胃納範圍內，以及最大單一情境距離容忍度還有多遠；再往前一步，才是未來十八個月應該投入多少資源，以及資安投資報酬率大約落在哪個區間。 「董事會需要懂數字。」他表示，FAIR在這裡的價值，就是把原本很難拿來決策的資安風險，轉成CFO可以簽下去的一個數字。 他表示，傳統資安部門習慣說「No」，但他的做法是把「No」轉成「報價」。業務部門想做一件事，資安長不一定要直接擋下來，而是先告訴對方，這項風險的價格是多少。他表示，至於要不要承擔這個風險，則是商業決策。 這個邏輯同樣延伸到資安KPI。他不太在意單純計算發現多少漏洞，而是先看企業整體曝險是否仍符合風險胃納，距離警戒線還有多少餘裕，以及最大單一風險情境的潛在衝擊是否仍在可接受範圍。 確認整體風險仍在可承受範圍後，再回頭看資安團隊日常處理風險的成效，包括風險辨識與改善進度、平均偵測時間（MTTD）、平均回應時間（MTTR）與漏洞修補率等指標。數字沒有消失，只是他想知道的數字，和過去不太一樣。 <h1>平臺保護的是客戶，資安因此成為產品的一部分</h1> 電商SaaS平臺的資安，讓李彥民對「風險胃納」有了更直接的體會，「一般企業保護的是自己，平臺保護的是別人。」他說。 Shopline背後匯聚大量商家的生意、會員個資，以及每天的交易與金流。對一般企業而言，資安風險主要影響自身營運；但對電商平臺來說，一旦平臺遭到攻擊，受到影響的可能是平臺上的眾多商家，以及商家背後的消費者。因此，平臺能承擔多少風險，不只是公司自己的問題，也牽涉客戶能不能繼續做生意。 李彥民直言，「客戶買的其實是信任。」也因此，資安對Shopline而言，不只是企業營運上的成本，更直接關係到產品能不能被客戶信任。 從攻擊者的角度來看，這些客戶的生意、帳號與金流，本身就是值得計算的經濟利益。李彥民觀察，電商平臺面對的攻擊，主要集中在帳號盜用與憑證填充攻擊、針對商家與消費者的釣魚攻擊、機器人流量與自動化攻擊，以及支付詐欺。攻擊者真正想取得的，往往就是商家帳號與金流。 攻擊者會計算成本與報酬。相較於直接入侵一間企業的內部網路，取得電商平臺上的商家帳號，可能更容易轉換成實際利益。生成式AI出現後，釣魚攻擊的成本又進一步下降，更容易針對不同市場與不同對象製作內容。 過去，釣魚信件裡不自然的英文，可能成為使用者辨識詐騙的線索，如今這個門檻正在消失。他發現，現在這道牆沒有了，每個市場收到的釣魚信件都是母語等級。 AI帶來的風險，不只來自外部攻擊者利用AI降低攻擊成本。當企業自己開始大量使用AI，新的風險會從內部出現，尤其是AI Agent逐漸取得執行工作的權限之後。 這讓李彥民想起自己剛進高盛時的經驗。2000年，每個輪值工程師都拿到同一組超級管理員共用密碼，當時系統需要快速運作，權限很快就被交到使用者手上，相應的控管並沒有同步成熟。他說：「當時的情況就是『能力先到，控制後到』。」 在他看來，現在企業導入AI Agent，可能面臨類似的問題。AI Agent為了完成工作，需要取得資料、系統甚至執行動作的權限；但如果權限給得太快，治理機制卻沒有跟上，就可能形成新的風險。 因此，Shopline推動AI治理時，李彥民仍然從風險胃納的角度出發，先釐清AI可以使用哪些資料、可以執行哪些工作，以及不同情境下應該擁有哪些權限，再決定哪些應該放行、哪些需要限制。 對他而言，AI治理並不是先把新技術擋下來，而是先把企業願意承擔的風險說清楚，再讓AI在這個範圍內發揮作用。 <h1>下一個十年，CISO更像「風險長」</h1> AI會接手越來越多偵測與執行工作，李彥民認為，CISO往後要面對的問題，會越來越接近風險管理：企業願意承擔多少風險？出了問題，誰負責？ 因此，他給下一代CISO的建議，反而不是再多學幾套管理方法，而是同時具備「會動手」和「會說」這兩項能力。 在他眼中，真正稀有的是兩種能力同時存在。會動手的人，相信實踐，不迷信文件；會說的人，則能把技術風險翻譯成業務聽得懂的語言。他說：「會設定防火牆的人很多，能解釋並談判這條規則值多少錢的人卻很少。」 他認為，具備技術能力還是第一步，應用程式、資料庫、網路、端點等各層控制，都應該親手摸過，不要跳級；之後再去補財會與法律的能力。他看過不少技術能力很好的人，最後卡在不會講錢，也不了解企業內部規範如何制定。 這套能力，他並不是在資安課堂裡學會的，經歷十年創業、拿自己的積蓄反覆試錯，讓他習慣去思考一件事情：這個決定錯了，代價是多少？ 但他不認為，下一代資安主管一定要去創業才能學會。他表示，企業可以給資安主管機會，讓他們上臺報告、列席董事會，直接面對業務與管理階層的問題。他強調，重要的是，不要讓資安主管，永遠只在資安部門裡說資安的語言。 即使已經站上全球資安長的位置，李彥民沒有打算完全離開第一線技術。近期他重新回到讀書模式，準備挑戰滲透測試證照OSCP。對他而言，職位越往上，反而越不能完全離開技術現場。因為只有知道第一線發生什麼事，才知道自己手上的風險數字究竟代表什麼。 從911走到貝爾斯登，再走過十年創業，回到資安顧問與FAIR風險量化，最後站在Shopline全球資安長的位置，李彥民的職涯看起來繞了很遠，但他始終在處理同一件事情。 911時，是「工程師的兩條腿」有沒有被算進備援；貝爾斯登倒下時，是三十五倍槓桿背後的風險胃納，有沒有被說清楚；創業十年，則是把風險從公司的數字，變成自己口袋裡真正會少掉的錢。 回到資安工作之後，他開始試著把這些風險，算成企業可以討論的數字。所以他說，資安一直是商業經營的最左邊，而不是最右邊。 不是等商業決策做完，資安才站在最後面踩煞車；而是在決策開始之前，就先把風險攤開來：值多少？賠不賠得起？誰願意承擔？至於最後要不要做，答案不一定由資安長決定，那是企業自己的選擇。 </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://www.ithome.com.tw/sites/default/files/1440-02_li_yan_min_shopline_zi_an_chang_20260717.jpg" width="1440" height="630" alt="" title="Shopline商線科技全球資安長李彥民" /></div></div></div>
9/18 14:38作者黃彥棻https://www.ithome.com.tw/people/179055
企業PQC轉型不一定要先全面盤點密碼學資產，分類工作負載後再規畫升級
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">雲端服務業者AWS近期提出<a data-end="216" data-start="38" href="https://aws.amazon.com/tw/blogs/security/the-cisos-guide-to-post-quantum-mandates-and-migrations/?utm_source=chatgpt.com" rel="noopener" target="_blank">企業後量子密碼學（Post-Quantum Cryptography，PQC）轉型建議</a>。除非所在地法規明確要求，AWS不建議企業一開始就全面盤點所有密碼學資產，而是先從工作負載層級釐清系統相依關係，依PQC升級責任與供應商支援時程分成3類，再安排後續升級、替換與採購順序。 第一類是可由供應商完成PQC升級的工作負載，例如雲端代管服務、軟體即服務（SaaS），以及已有PQC支援規畫的基礎設施供應商。對這類工作負載，企業仍需驗證供應商的PQC支援時程並持續追蹤進度，同時將相關相依關係納入供應商風險評估，確認是否能符合自身PQC轉型及法規遵循期限。 若工作負載雖由供應商管理，但無法在期限前完成PQC升級，則屬於第二類。這類工作負載可能需要在原有產品或服務達到預定使用年限前提前替換，企業因此應及早評估替代方案。 第三類是由企業自行管理密碼學能力的工作負載，企業需要自行完成PQC升級，或評估將相關密碼學能力改由雲端服務供應商管理。AWS指出，PQC轉型可能涉及傳輸層安全性協定（TLS）、網際網路通訊協定安全性（IPsec）、安全殼層協定（SSH）等通訊協定，以及企業自行維護的應用程式與既有系統，因此還需要釐清相關密碼學機制與系統相依關係，再規畫升級方式。 AWS也建議企業將PQC要求納入後續採購條件與供應商合約，並建立量化指標，追蹤PQC涵蓋率、供應商支援時程確認比例，以及不符合PQC要求項目的修正時間。 從長期維運來看，AWS認為PQC轉型不應只是完成一次演算法更換，而是藉此建立密碼學敏捷性（Crypto-Agility），讓更換演算法、更新通訊協定等密碼學變更逐步納入例行維運。企業也需要具備輪替金鑰、自動管理數位憑證生命週期等能力，避免未來密碼學演算法或標準持續演進時，再度啟動大型遷移專案。 </div></div></div>
8/21 09:00作者王珮瑤https://www.ithome.com.tw/news/178314
美國聯邦資安日誌政策改版，強化威脅偵測並納入IoT、OT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><a href="https://www.whitehouse.gov/wp-content/uploads/2026/05/M-26-14-Ensuring-Effective-and-Efficient-Agency-Logging-and-Network-Visibility-to-Defend-Against-Evolving-Cyber-Threats.pdf?utm_source=chatgpt.com" target="_blank">美國行政管理和預算局（OMB）今年5月發布M-26-14備忘錄</a>，正式廢止2021年發布的M-21-31，調整聯邦機構蒐集及保存資安日誌的方式。新政策不再要求機構大量蒐集並長期保存未必具有明確用途的日誌，而是讓聯邦機構依各自任務及資安風險，決定需要蒐集、保存及分析哪些日誌，讓所蒐集的日誌能實際用於發現攻擊活動、追查威脅及調查資安事件。 <a href="https://www.whitehouse.gov/wp-content/uploads/2026/05/M-26-14-Ensuring-Effective-and-Efficient-Agency-Logging-and-Network-Visibility-to-Defend-Against-Evolving-Cyber-Threats.pdf?utm_source=chatgpt.com" target="_blank">M-26-14將日誌運用分為兩項主要目標</a>：持續事件監控（Continuous Event Monitoring，CEM），以及威脅獵捕、調查、回應與鑑識（Threat Hunting, Investigation, Response, and Forensics，THIRF）。前者著重持續監控網路活動、找出異常行為，並產生可供資安營運中心（SOC）立即處理的警示；後者則讓資安人員主動尋找威脅、調查疑似入侵事件，並利用不同來源的日誌，追查攻擊者進入系統及在其內部網路橫向移動的方式。M-26-14附錄B列出的最低要求，是日誌維持6個月內可直接搜尋，以及12個月內可供取回。 <a href="https://www.akamai.com/blog/security/omb-m-26-14-compliance-adaptive-edge-logging-federal-cisos?utm_source=chatgpt.com" target="_blank">網路服務及資安業者Akamai分析指出</a>，M-26-14不再要求所有原始日誌集中存放於同一套系統。聯邦機構可將日誌分散儲存並集中授權存取，或與集中儲存方式搭配使用，但機構最高層級的SOC必須能迅速取得需要的日誌。Akamai認為，機構可依用途分流日誌與警示，例如先在網路邊緣篩選流量，將需要立即處理的重要警示送入主要的資安資訊與事件管理（SIEM）系統，大量原始日誌則存放在成本較低的儲存環境，以兼顧即時偵測與後續調查。 M-26-14在日誌涵蓋的範圍上，也納入物聯網（IoT）及營運技術（OT）環境。Akamai指出，對於部分IoT與OT設備而言，想要透過傳統軟體代理程式取得日誌並不容易，因此聯邦機構還需設法掌握這類設備的網路活動。 </div></div></div>
8/12 11:26作者王珮瑤https://www.ithome.com.tw/news/178060
Google Cloud金鑰管理服務正式支援NIST後量子密碼標準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">雲端服務業者Google Cloud宣布，<a href="https://cloud.google.com/blog/products/identity-security/future-proofing-data-integrity-quantum-safe-digital-signatures-in-cloud-kms" target="_blank">旗下金鑰管理服務Cloud Key Management Service（Cloud KMS）正式支援模組格基式金鑰封裝機制（ML-KEM），以及量子安全數位簽章</a>，企業可直接透過Cloud KMS使用美國國家標準暨技術研究院（NIST）制定的抗量子密碼演算法，推動後量子密碼學（PQC）轉型。 ML-KEM主要用於建立加密通訊所需的金鑰，搭配ML-DSA系列數位簽章演算法，可涵蓋加密通訊與身分驗證兩項核心應用。Google Cloud KMS支援的後量子數位簽章演算法，包含SLH-DSA-SHA2-128s、ML-DSA-44、ML-DSA-65及ML-DSA-87等，分別對應NIST安全類別第1、2、3及5級。 為降低大型資料簽署作業的傳輸及運算負擔，Cloud KMS也支援預先雜湊（pre-hash）及external-µ演算法變體。應用程式可先在本地端對資料進行雜湊運算，再將摘要傳送至Cloud KMS進行簽署，無須傳送完整資料；external-µ則會將公開金鑰與訊息代表值綁定，並維持與標準ML-DSA驗證機制相容。 <a href="https://cloud.google.com/blog/products/identity-security/cloud-ciso-perspectives-prepare-early-for-PQC-resilient-cryptographic-threats/" target="_blank">Google Cloud將PQC轉型比喻為21世紀的Y2K問題</a>，指出這項工程不只是更換密碼演算法，企業還須確認既有資料庫、應用程式及相關基礎設施能否支援新的金鑰與簽章格式。由於整體遷移可能耗時多年，企業應及早盤點需要升級至PQC的系統。 </div></div></div>
8/6 11:52作者王珮瑤https://www.ithome.com.tw/news/177914
企業OT資安狀態「校正回歸」，Fortinet最新調查指出原因之一在於資安能見度與成熟度提升
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">經過多年的數位化持續推動，資訊科技（IT）與營運科技（OT）已日益融合，關鍵基礎設施產業與OT領域面臨的資安挑戰隨之水漲船高，Fortinet OT事業拓展經理陳心怡針對該公司近期發布的年度OT與網路資安現況調查報告，從多個面向說明當前企業因應這項重大議題的態度。 首先，不論企業與組織的OT資安是否提升至足夠的水準，絕大多數已意識到法規監管要求將日益嚴苛。這份6月出爐的調查顯示，認為五年內相關法規將會增加的企業比例高達89%，比起2025年的66%顯著上升（增加23%），而預期五年以上才有改變的比例，從27%大幅縮減至8%。 <a href="/sites/default/files/images/Anticipated regulations increase-Fortinet OT 2026.png"><img alt="" src="/sites/default/files/images/Anticipated%20regulations%20increase-Fortinet%20OT%202026.png" style="width: 298px;" /></a> 陳心怡指出，臺灣關鍵基礎設施與政府單位面臨的法規要求主要是<a href="https://www.ithome.com.tw/tags/iec-62443">IEC 62443</a>，半導體業是<a href="https://www.ithome.com.tw/tags/semi-e187">SEMI E187</a>，最近<a href="https://www.ithome.com.tw/tags/cra">歐盟網路韌性法案（CRA）</a>也受到非常熱烈討論。 對此Fortinet認為，OT網路安全已與關鍵基礎設施防護、資安事件通報、資料安全、公共安全及營運持續性等議題密切相關，法規遵循已經是企業當前必須面對的重要營運課題，而非未來才需考慮的事項，這意味著，提前做準備、現在就開始展開行動的組織，能利用合規的要求，努力提升網路的可靠性與韌性、改善通報能力、降低風險，並促使資安走向現代化的營運方式，相反地，等到最終強制規定發布才行動的組織，將有落後的風險。 <h3 style="margin-left: 0.05pt;">入侵事件通報大增，其中一項原因與企業資安能見度提升有關</h3> 就偵測OT資安入侵事件數量為1至9起的狀況而言，2025年的企業比例為47%，2026年大幅提升至71%。這不一定代表所有組織都經歷更頻繁的攻擊，更有可能顯示現在有更多企業了解其環境發生的情況。由於企業OT資安偵測能力的提升，通常會讓初期回報的事件數增加；相反地，在企業OT資安能見度（visibility）有限的狀況下，未檢測到入侵並不代表企業的防禦力很強或處於安全的狀況。 上述的推測，其實也能從Fortinet這次調查的其他項目得到印證。例如，在未檢測到入侵的企業比例上，2025年高達52%，2026年卻只有26%，足足減了一半。 <a href="/sites/default/files/images/Number of intrusions incidents-Fortinet OT 2026.png"><img alt="" src="/sites/default/files/images/Number%20of%20intrusions%20incidents-Fortinet%20OT%202026.png" style="width: 600px;" /></a> 對此，陳心怡認為，7成企業表示遭駭，可能是本身OT場域已建置提升資安能見度的解決方案，所以能察覺，實際遭入侵的企業應該更多，因為部分表示未發生入侵事件的企業，可能只是因為OT資安偵測能力不足而無法發現。 而在入侵的事件類型上，2026年全球企業面臨的比例，由高至低依序為釣魚郵件（76%）、勒索軟體或惡意破壞程式（50%）、商務郵件詐騙（45%）、DDoS（44%）、惡意軟體（33%）；相較於2025年，比例增加的入侵事件類型有釣魚郵件（+1%）與DDoS（+5%），其餘類型的比例均降低，包括勒索軟體或惡意破壞程式（-4%）、商務郵件詐騙（-8%）、惡意軟體（-3%）。 若以亞太區而言，入侵事件的類型以釣魚郵件最大宗（78%），其次是勒索軟體或惡意破壞程式（51%），再者為DDoS攻擊（45%），顯然均高於全球比例。 <a href="/sites/default/files/images/Intrusion types-Fortinet OT 2026.png"><img alt="" src="/sites/default/files/images/Intrusion%20types-Fortinet%20OT%202026.png" style="width: 600px;" /></a> 對此，Fortinet工控領域資安技術顧問黃彥凱呼籲大家重視兩個議題。首先，大部分企業對於OT的防護，比較關注勒索軟體的威脅，但這只是其中一種資安攻擊，企業仍須防範OT設備常用通訊埠暴露在網際網路的風險，因為攻擊者可從遠端存取OT設備，進而修改或擷取運作參數；第二，由於工控設備本身的運算資源較少，所以也必須預防這些系統遭到DDoS攻擊，導致OT環境陷入服務阻斷的危機。 Fortinet調查的另一項OT資安威脅指標，則是攻擊者潛伏時間（Dwell Time），因為這代表攻擊者在未被偵測到的情況下停留了多久，時間越長，攻擊者越有機會監控、竊取智慧財產、干擾營運（實體設備中斷運作），甚至預先部署攻擊，或為未來行動做更多準備。相對而言，這個指標也經常反映攻擊者可能造成的損害程度，因為在被發現之前，攻擊者更容易執行惡意行為。 回顧三年來的Fortinet調查結果，數分鐘、數小時或數天的潛伏時間呈現趨於平穩的現象，但停留數週甚至數月之久的攻擊正在增加——潛伏數週的攻擊比例由6%大幅增加至13%，幾乎翻倍成長；潛伏數月的攻擊則由5%上升至7%。 事實上，相較於一般IT環境，OT環境包含大量舊型設備、專屬通訊協定，並且對於持續運作（Uptime）的要求更大，這些因素都大大影響回應各種資安威脅的速度。 <a href="/sites/default/files/images/Dwell time numbers-Fortinet OT 2026.png"><img alt="" src="/sites/default/files/images/Dwell%20time%20numbers-Fortinet%20OT%202026.png" style="width: 500px;" /></a> 關於遭入侵的環境類型，這兩年以來，IT系統與OT系統的企業比例均有不同程度的增加，分別成長29%與8%，IT與OT系統同時遭入侵的比例卻劇烈下降——2025年是60%，2026年則是24%。Fortinet認為，原因可能是企業在IT與OT系統之間，已能實施更理想的網路分隔（segmentation），有助於遏止攻擊的擴散。 <a href="/sites/default/files/images/Impacted environments-Fortinet OT 2026.png"><img alt="" src="/sites/default/files/images/Impacted%20environments-Fortinet%20OT%202026.png" style="width: 500px;" /></a> 不過，若要做好OT資安的有效偵測、網路分隔與回應，具備足夠的能見度是基本功，企業必須清楚了解OT資產、通訊流程、使用者、應用程式及相依性，然而，許多資安團隊仍在未完全掌握資訊的情況下捍衛其OT環境安全。例如在Fortinet的調查中，只能掌握一半OT環境狀況的企業比例，2026年仍有23%，這可能導致資訊孤島、缺乏認知和監控困難等相關漏洞；對OT系統具備完整能見度的企業比例，2024年與2025年是5%與6%，2026年增加到14%，顯示企業對於具備完整網路能見度的信心正在提升。 <a href="/sites/default/files/images/OT systems visibility-Fortinet OT 2026.png"><img alt="" src="/sites/default/files/images/OT%20systems%20visibility-Fortinet%20OT%202026.png" style="width: 600px;" /></a> <h3 style="margin-left: 0.05pt;">OT資安持續提升的兩個現象：安全責任提升至企業高階管理層，成熟度看似倒退卻更能反映企業正視現實的態度</h3> 關於企業對OT資安重視度的呈現，可以從Fortinet調查的兩大類型項目的結果反映。 首先是責任歸屬，有些組織的OT資安已足夠成熟，已將OT風險責任轉移給其他高級主管，Fortinet認為，這是企業高階主管正式參與策略制定、提供資金支持和治理的結果。根據他們的最新調查指出，認為CISO或CIO對OT網路安全擁有最終責任的企業比例合計是60%，雖然比起2025年的69%呈現下降狀況，但Fortinet認為這並不代表高階主管對OT安全的重視程度降低。細部檢視當中的結果後可發現，比例顯著下降的是被認為兼任CISO與CIO的企業，被認為由CIO負責OT資安的企業增加3%。而由副總裁以下層級負責OT資安的企業，從5%增加到13%。 <a href="/sites/default/files/images/OT cybersecurity ownership-Fortinet OT 2026.png"><img alt="" src="/sites/default/files/images/OT%20cybersecurity%20ownership-Fortinet%20OT%202026.png" style="width: 600px;" /></a> Fortinet另一個相關的調查結果指出，尚未提升OT資安管理層級的企業中，有81%計畫未來一年內將OT安全納入資安長職責，略高於2025年的80%；沒有這項規畫的企業比例，也從18%降低到10%。 <a href="/sites/default/files/images/Planned CISO rollup-Fortinet 2026.png"><img alt="" src="/sites/default/files/images/Planned%20CISO%20rollup-Fortinet%202026.png" style="width: 500px;" /></a> 而企業自評OT資安成熟度方面，Fortinet調查區分為流程與解決方案這兩大類。 <a href="/sites/default/files/images/OT 成熟度現況.png"><img alt="" src="/sites/default/files/images/OT%20%E6%88%90%E7%86%9F%E5%BA%A6%E7%8F%BE%E6%B3%81.png" style="width: 600px;" /></a> 以OT資安流程成熟度而言，自評為0級（資安流程尚未制度化或缺乏正式文件）的企業比例，由2025年的1%提升至2026年的5%；1級（已建立基本資安管理機制）由5%提升至17%；2級（已建立並依循文件化的資安流程、程序及相關標準）則由13%提升至27%；3級相對成熟，年增3%，已達到35%；但自評為4級的企業比例，則由49%下降至17%。從1級與2級的增加來看，許多組織仍在建立OT安全的基本要素，如資產能見度、網路分段、安全遠端存取、監控和回應。 <a href="/sites/default/files/images/Cybersecurity Process Maturity-Fortinet OT 2026.png"><img alt="" src="/sites/default/files/images/Cybersecurity%20Process%20Maturity-Fortinet%20OT%202026.png" style="width: 600px;" /></a> 關於OT資安解決方案成熟度的企業分布，也展現類似的情況。例如自評為0級和1級的比例皆增加，分別從1%升至5%，以及從26%升至30%；2級降低6%，從32%減至26%；3級略增，從22%提升為24%；4級降低5%，從19%減至14%。 <a href="/sites/default/files/images/OT cybersecurity Solution maturity-Fortinet OT 2026.png"><img alt="" src="/sites/default/files/images/OT%20cybersecurity%20Solution%20maturity-Fortinet%20OT%202026.png" style="width: 600px;" /></a> 若綜合0級與1級的增加，以及4級的降低等企業OT資安共通現況而論，看似退步，Fortinet認為，實際上更應理解為修正，這反映企業對自身資安現況有了更真實且客觀的認識，原因在於，隨著IT與OT團隊累積更多實務經驗、導入更完善的工具，並促進IT和OT安全的多元協作，使得整體能見度提升，過去未曾察覺的風險逐漸浮現，企業也能因此更清楚掌握自身防護的不足，並以此作為持續提升OT資安成熟度的重要基礎。 針對OT資安成熟度的表現，陳心怡表示，在先前調查時，企業可能尚未實施網路分隔，現在其實大多數都已經能夠做到邊界隔離，例如政府對於油、水、電、交通等關鍵基礎建設，基本上都已做到；下一步則是提升資產識別能力，製造業由於供應鏈上下游的相互稽核，成熟度相對較高，已涵蓋網路分隔與資產識別的防護，這些均可看出OT受到重視與OT資安的投資增加；而在OT處理流程方面，也可以發現企業目前已經能夠透過數據分析，持續改善資安的成效。 回顧6年來的持續推廣，陳心怡指出，過去曾經歷幾個階段，首先，Fortinet鼓勵臺灣企業實施網路分隔，不僅要區隔OT網路與IT網路，使其不會發生交互感染的狀況，也要在OT環境當中，將每一個系統、不同的功能區隔開來，使其不會因為某一個系統受到攻擊與威脅，而影響到整個營運。 接下來是強化遠端存取安全，因為很多的製造業OT系統或設備可能來自國外，再加上這類系統必須持續運作，所以很多時候必須開放供應商遠端存取相關系統與設備，所以安全路徑的建立非常的重要。 下一步是導入OT專屬的威脅情資，陳心怡認為這是臺灣目前相對比較缺乏的部分。當企業建立網路分隔後，但幫你「顧門」的系統也必須能辨認出誰是壞人，所以今年Fortinet其實會專注推廣這類資安解決方案，協助企業不僅做好基本的門戶安全，對於幫企業把關的網路防火牆或是相關的解決方案，也要使其能夠辨識OT的通訊協定，提供專屬的情資，提高主動偵查的能力。 最終則是推動企業採用OT的平臺化架構，需要導入的資安解決方案很多，但如何能整併這些系統，對於工控系統的資安防護也很重要，因此需要單一平臺的管理機制，將複雜、不同解決方案整併為一個平臺，企業管理這些資安系統會比較方便。 Fortinet強調，資安防護的成熟始於更誠實地評估風險。當IT和OT團隊獲得更多資金、實施更多工具並提升能見度，許多組織現在更能理解自身防禦仍需改進的地方。 <a href="/sites/default/files/images/Fortinet OT Summit Taipei 2026-web.jpg"><img alt="" src="/sites/default/files/images/Fortinet%20OT%20Summit%20Taipei%202026-web.jpg" style="width: 600px;" /></a> <blockquote>Fortinet舉辦OT工控資安威脅趨勢媒體分享會，發言人於會中深入探討全球和亞太區OT環境威脅趨勢。左起FortiGuard研發中心經理林樂、工控領域資安技術顧問黃彥凱、OT事業拓展經理陳心怡、FortiGuard威脅研究經理林宜平。 </blockquote> </div></div></div>
8/4 12:49作者李宗翰https://www.ithome.com.tw/news/177834
OpenAI模型入侵Hugging Face，CSA、FIRST籲企業強化AI代理治理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">雲端安全聯盟（CSA）與資安教育及研究機構SANS Institute、國際資安應變組織FIRST等單位，<a href="https://cloudsecurityalliance.org/artifacts/hugging-face-ciso-post-mortem" target="_blank">共同發布0.8版Hugging Face事件初步檢討報告</a>。這份草案彙整Hugging Face向CSA資訊安全長社群說明的OpenAI模型入侵事件經過，以及近700名資訊安全長經討論提出的初步結論，呼籲企業將高風險AI代理視為具高權限的工作負載，並將其身分、存取權限及操作行為納入既有管理制度。 報告指出，OpenAI執行ExploitGym資安評測時，關閉GPT-5.6 Sol與另一款未公布模型的安全防護，並將兩款模型置於受限沙箱。執行評測的OpenAI模型利用作為沙箱唯一網際網路連線、並用來提供軟體套件的代理伺服器零時差漏洞突破限制，再串連Hugging Face資料集處理管線的弱點，在Hugging Face正式環境遠端執行任意程式碼，並取得其雲端與運算叢集使用的憑證。 從事件紀錄來看，OpenAI模型入侵Hugging Face期間，出現多項自主AI代理的攻擊行為特徵，包括同時在多個系統執行偵察、搜尋並取得憑證、部署程式碼及嘗試橫向移動，重複執行已成功完成的指令，以及留下大量語意不通的文字，另有許多格式錯誤或無實際作用的指令。模型也曾採取人類攻擊者通常不會選擇的迂迴作法，例如利用Hugging Face本身的基礎設施嘗試完成評測任務。 這些特徵顯示，AI代理可在短時間內同步執行大量攻擊步驟，並留下失敗指令、重複操作，以及單獨看來不足以判定為入侵的異常警示，使資安人員更難從大量遙測資料中辨識受影響的身分、資產及攻擊路徑。報告認為，傳統調查流程若仍仰賴人員逐筆判讀警示，再手動比對不同系統的紀錄以還原事件先後順序，將難以及時分析AI代理執行數千項操作所產生的大量事件紀錄。 報告因此建議，企業不應只依賴沙箱、代理伺服器及網路流量監控等外部防護措施，也應在AI代理程式內記錄模型發出的指令、呼叫的工具、使用的憑證，以及為完成任務而依序採取的操作。當AI代理嘗試連線至未經核准的系統、使用未獲授權的工具，或採取與指定任務無關的行動時，管控元件應依預先設定的政策自動攔截。 CSA也建議企業成立兩支跨部門應變團隊，均由高階主管統籌，成員涵蓋資安營運、身分與存取管理、雲端資安、AI工程、事件應變、法務、隱私、對外溝通及採購等單位。一支團隊負責處理企業遭外部AI代理攻擊的情況，包括防護機制遭突破、憑證遭竊取或內部系統遭存取等事件；另一支團隊則負責處理企業自行部署的AI代理偏離核准目的，進而存取、掃描或攻擊外部組織系統的事件。 此外，企業還應保存AI代理收到的提示、發出的指令、呼叫的工具、使用的憑證及執行結果等紀錄，以支援事件調查及法律程序，並確認網路保險或科技錯誤與疏漏責任保險是否涵蓋自家AI代理對企業自身或第三方造成的系統損害、服務中斷及相關法律責任。 </div></div></div>
7/31 13:06作者王珮瑤https://www.ithome.com.tw/news/177780
建立可信任的AI防線，CSA台灣分會會長採蔡一郎導讀AICM最新1.1版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">面對AI時代的資安挑戰，全球非營利組織雲端安全聯盟（CSA）一年前發布AI控制矩陣（AI Controls Matrix，AICM），聚焦AI系統從規畫、建置到除役的完整生命週期。近日，台灣數位安全聯盟理事長暨雲端安全聯盟台灣分會會長蔡一郎於InfoSec 2026活動中，揭露AICM的特色與最新變化，並建議資安長可依實務指引來循序推動企業落實AI治理。 基本上，CSA早期核心聚焦於雲端安全，發展出雲端控制矩陣（CCM）與STAR認證體系，並透過CCSK等認證建立人才專業標準。隨著技術演進，CSA的範疇已從傳統雲端延伸至零信任與AI安全，例如去年7月已發展出AI控制矩陣（AICM），目前最新版本為今年6月推出的1.1版。 蔡一郎指出，AICM切入的概念是從合規的角度出發，協助企業在導入AI開發平臺或生成式AI服務時，能有一套標準化的控制框架。 在控制結構上，AICM主要涵蓋18個控制領域。根據蔡一郎展示的簡報內容，這些控制項展現相當高的覆蓋度與多元性，包括：稽核與確保、應用程式與介面安全、業務連續性管理與營運韌性、變更控制與組態管理、密碼學、加密與金鑰管理、資料中心安全、資料安全與隱私、治理、風險管理與合規、人力資源安全、身分與存取權限管理、互動操作與可攜性、基礎架構安全、日誌記錄與監控、模型安全，以及資安事件管理及電子蒐證與雲端鑑識、供應鏈管理及透明度與問責制、威脅與漏洞管理、通用端點管理。 由此看出，AICM涵蓋眾多IT與AI常見的控制領域，最特別是將人力資源安全列為獨立範疇。但由於AI的使用也涉及財務規畫，未來可關注是否將維護成本與防範異常支出的層面列為單獨的重點領域。 <a href="/sites/default/files/images/（圖1）CSA聯盟專家闡釋AI控制矩陣（AICM）.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89CSA%E8%81%AF%E7%9B%9F%E5%B0%88%E5%AE%B6%E9%97%A1%E9%87%8BAI%E6%8E%A7%E5%88%B6%E7%9F%A9%E9%99%A3%EF%BC%88AICM%EF%BC%89.jpg" style="width: 600px;" /></a> 關於最新推出的AICM 1.1版，蔡一郎指出，新版在維持原有類別下，將控制項從243個增加至247個。 <a href="/sites/default/files/images/（圖2）CSA聯盟專家闡釋AI控制矩陣（AICM）.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89CSA%E8%81%AF%E7%9B%9F%E5%B0%88%E5%AE%B6%E9%97%A1%E9%87%8BAI%E6%8E%A7%E5%88%B6%E7%9F%A9%E9%99%A3%EF%BC%88AICM%EF%BC%89.jpg" style="width: 600px;" /></a> 而在框架對應方面，原先已能對應ISO 42001、BSI AIC 4、歐盟AI法案（EU AI Act）、NIST AI 600-1，1.1新版更納入針對AI代理人安全的AIUC-1，以及NIST AI風險管理框架（AI RMF）的對應。 談到標準的易用性，蔡一郎直言，ISO 42001的架構設計對實務工作者並不友善，即便參與3日課程培訓亦難以掌握核心。他分析，主因在於該標準缺乏如ISO 27001附錄A般明確的控制項對應，顯然ISO/IEC 42001是在AI浪潮下為了回應市場迫切需求而快速推出，因此，在控制項對應與實務操作層面仍有待補強。相較之下，他認為AICM是目前完整度最高且持續改善的控制標準。 <img alt="" src="/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96B%EF%BC%89CSA%E8%81%AF%E7%9B%9F%E5%B0%88%E5%AE%B6%E9%97%A1%E9%87%8BAI%E6%8E%A7%E5%88%B6%E7%9F%A9%E9%99%A3%EF%BC%88AICM%EF%BC%89.jpg" style="width: 600px;" /> 在控制類型方面，AICM將控制項分為AI專屬控制項、AI與雲端相關控制項，以及雲端專屬控制項。蔡一郎特別強調AICM與雲端控制矩陣（CCM）的關聯，指出兩者具備高度互補性，因此需要同時搭配來看。他解釋，為了避免疊床架屋，AICM對於CCM已涵蓋的內容不再重複說明，但有兩項關鍵差異值得注意：第一是將傳統CCM中的基礎架構與虛擬化安全（IVS），更名為基礎架構安全（I&S）；第二是新增模型安全（MDS）領域，專門應對提示注入、模型毒化與權重竊取等AI特有威脅。 此外，針對生成式AI生態系，AICM梳理出包含生成式AI營運（genAI Ops）、模型層、AI服務層及應用層的「四層服務交付模型」，並明確定義參與者之間六種不同的控制實作責任，確保在複雜的供應鏈中權責分明。 <a href="/sites/default/files/images/AICM_Strategic Implementation Roadmap for CISOs.jpg"><img alt="" src="/sites/default/files/images/AICM_Strategic%20Implementation%20Roadmap%20for%20CISOs.jpg" style="width: 600px;" /></a> 至於企業該如何導入AICM？蔡一郎建議參考《Strategic Implementation of the CSA AI Controls Matrix – A CISO's Guide》實務指南，該份指引強調從AI共識評估倡議問卷（AI-CAIQ）進行自我評估開始，並給出四階段實作步驟，從評估、整合、認證到擴展與規模化，同時也可依據「立即、短期、中期與長期」的建議方式，循序漸進地推動落地。 <a href="/sites/default/files/images/（圖4）CSA聯盟專家闡釋AI控制矩陣（AICM）.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89CSA%E8%81%AF%E7%9B%9F%E5%B0%88%E5%AE%B6%E9%97%A1%E9%87%8BAI%E6%8E%A7%E5%88%B6%E7%9F%A9%E9%99%A3%EF%BC%88AICM%EF%BC%89.jpg" style="width: 600px;" /></a> 身為台灣數位安全聯盟理事長，也是來毅數位科技台灣總經理暨全球資安長的蔡一郎表示，從雲端安全聯盟CSA網站可下載AICM工具包，當中最重要的檔案就是一份完整收錄18個控制領域、247個控制項的Excel檔案。 </div></div></div>
7/23 16:02作者羅正漢https://www.ithome.com.tw/news/177551
彙整、強化與擴展旗下多種資安產品線，Sophos打造AI原生網路安全防禦系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">AI帶來更多商機，也大幅驅動網路威脅與防護領域的發展，針對強化AI安全（Security for AI）與AI強化資安（AI for Security）這兩大應用趨勢，以及具備強大資安攻防能力的頂尖AI模型快速崛起，為了滿足熱烈的市場期待與需求，當前的資安廠商必須設法發展更專業的產品或服務，這幾年以來，紛紛推出主打AI防禦的解決方案。 例如，前年3月登場的<a href="https://blog.cloudflare.com/firewall-for-ai/">Cloudflare Firewall for AI</a>、4月推出的<a href="https://www.sentinelone.com/blog/transforming-the-soc-with-purple-ai/">SentinelOne Purple AI</a>；去年1月中發表的<a href="https://newsroom.cisco.com/c/r/newsroom/en/us/a/y2025/m01/cisco-unveils-ai-defense-to-secure-the-ai-transformation-of-enterprises.html">Cisco AI Defense</a>，4月<a href="https://www.fortinet.com/tw/corporate/about-us/newsroom/press-releases/2025/fortinet-expands-fortiai-across-its-security-fabric-platform">Fortinet宣布的FortiAI-Protect與FortiAI-SecureAI</a>，以及IBM發表的<a href="https://newsroom.ibm.com/2025-04-28-ibm-delivers-autonomous-security-operations-with-cutting-edge-agentic-ai">Autonomous Threat Operations Machine</a>，年底正式上線的<a href="https://www.crowdstrike.com/en-us/press-releases/crowdstrike-announces-general-availability-of-falcon-ai-detection-and-response/">CrowdStrike Falcon AI Detection and Response</a>；今年3月推出的<a href="https://blog.cloudflare.com/zh-tw/ai-security-for-apps-ga/">Cloudflare AI Security for Apps</a>、<a href="https://www.checkpoint.com/press-releases/check-point-launches-ai-defense-plane-to-secure-the-agentic-enterprise-at-scale/">Check Point AI Defense Plane</a>，4月中揭露的<a href="https://www.paloaltonetworks.com/blog/2026/04/introducing-unit-42-frontier-ai-defense/">Palo Alto Networks Unit 42 Frontier AI Defense</a>，5月底登場的<a href="https://cloud.google.com/blog/products/identity-security/introducing-google-ai-threat-defense">Google AI Threat Defense</a>。 7月中，旗下擁有多種資安產品與服務的Sophos終於也跟進這樣的解決方案供應策略，發表名為Sophos Fusion的AI原生網路安全防禦系統（AI-native Cybersecurity Defense System），主要目的在於針對AI時代的資安威脅而設計，提供協同一致的防禦與回應能力。 <a href="/sites/default/files/images/Sophos AI Native Defensive System2.jpg"><img alt="" src="/sites/default/files/images/Sophos%20AI%20Native%20Defensive%20System2.jpg" style="width: 600px;" /></a> <h3 style="margin-left: 0.05pt;">奠基於既有資安產品與服務的防護功能長期演進，以代理式AI資安防護系統迎戰AI驅動的資安威脅</h3> 首先，Sophos在此所強調的網路安全防禦系統，是指提供單一、開放的系統，促使Sophos與第三方的控制點（control point）、代理式AI、人類專家攜手協作，能如同單一個體般運行。 這套系統架構包含Sophos原生建立的核心控制點，納入超過500種橫跨Sophos與第三方系統的整合支援，提供強大的串聯、狀態透視與統一調度指揮能力。而且，來自每個控制點的所有訊號，都會即時匯入同一個資料層。因此，整個系統能掌握任何單一組件所感知的狀況。 舉凡端點裝置、防火牆、電子郵件、雲端服務、網路、身分工具，均能即時將來自所有控制點的每一項訊號（遙測資料）送入共享資料層，如此可避免不同資安防護系統產生多個資料孤島，也不會因為各種資料的匯聚而導致處理延遲的狀況，Sophos將此項特色稱為統一的脈絡湖（unified context lake），依此建立完整且一致的資安脈絡，使整個系統都能掌握個別系統識別的狀況。 同時，Sophos Fusion也搭配Sophos發展已久的<a href="https://www.sophos.com/en-us/blog/synchronized-security-and-security-heartbeat-elevating-cyber-defenses-automatically">「同步安全（Synchronized Security）」</a>負責協調各層級的應變措施，由於資安資料已實現共享，可透過這個連接多方的樞紐，將共享的洞察分析資訊轉化為協調、一致的應變機制，當其中一個控制點偵測到異常或資安威脅時，其他控制點可在同一瞬間觸發協調行動，同步採取協同防禦，即時共同應對攻擊，例如，端點防護系統如果偵測到網路威脅活動，可觸發防火牆的協同因應；遭冒用的身分一旦被系統察覺，其對於整個環境的存取將會鎖定；若接收到可疑的電子郵件，所有其他區域的詳細檢查層級將會提升。 <a href="/sites/default/files/images/Sophos AI Native Defensive System4.jpg"><img alt="" src="/sites/default/files/images/Sophos%20AI%20Native%20Defensive%20System4.jpg" style="width: 600px;" /></a> 基於上述組成架構，Sophos Fusion不再只是個別平臺或產品套裝，而是一套防禦系統，可針對代理式AI時代的資安防護需求，提供統一而全面涵蓋不同層面的網路韌性。Sophos表示，企業只需購買一或多款Sophos產品或服務，便已融入Sophos Fusion，而且每新增一款產品，都會進一步啟用更多功能。 <a href="/sites/default/files/images/Sophos AI Native Defensive System1.jpg"><img alt="" src="/sites/default/files/images/Sophos%20AI%20Native%20Defensive%20System1.jpg" style="width: 600px;" /></a> 至於AI原生，是指AI內建於Sophos Fusion，融合代理式AI的快速處理與人類專家的專業判斷力，這並非只是在既有工具附加功能，而是運用嵌入Sophos Fusion的原生代理式AI功能Fusion AI，在人類專家設定與持續校準的邊界條件內，以機器等級的速度執行偵測、調查、應變等工作，並且由對結果負責的人員進行監督。此外，廣泛的AI模型已整合至Sophos長期發展的各式資安方案，能透過即時彙整的威脅情報持續提升防護能力。基於這樣的搭配，對於動作比防禦者反應速度更快的AI驅動威脅，Sophos Fusion能夠為企業提供強大的防護能力。 具體而言，Sophos Fusion整合哪些資安解決方案？當中預計將涵蓋端點防護系統、端點偵測與應變系統（EDR）、擴展式偵測與應變系統（XDR）、新世代安全資訊與事件管理系統（Next-Gen SIEM）、身分識別威脅偵測與回應（ITDR）、代管式偵測與應變服務（MDR）、網路安全系統、電子郵件安全系統、雲端安全服務，以及資安顧問服務，而成為單一資安防禦系統。 <a href="/sites/default/files/images/Sophos Fusion Porfolio.png"><img alt="" src="/sites/default/files/images/Sophos%20Fusion%20Porfolio.png" style="width: 600px;" /></a> 根據該公司展示的資安防護處理流程，Sophos Fusion協調的資安解決方案，不僅納入自家的郵件防護系統Sophos Email、端點防護系統Sophos Endpoint、網路防火牆系統Sophos Firewall，也包括雲端資安服務<a href="https://docs.sophos.com/central/customer/help/en-us/ManageYourProducts/ThreatAnalysisCenter/Integrations/Microsoft365/MSGraphSecurityV2/MSGraphV2Setup/index.html">Microsoft Graph Security API</a>與<a href="https://docs.sophos.com/central/customer/help/en-us/ManageYourProducts/MDR/MDRBestPractices/BestPracticeEntra/index.html">Microsoft Entra ID</a>，以及網路防火牆系統<a href="https://docs.sophos.com/central/customer/help/en-us/ManageYourProducts/ThreatAnalysisCenter/Integrations/Fortinet/index.html">Fortinet Firewall</a>。而在<a href="https://www.sophos.com/en-us/products/sophos-fusion">Sophos Fusion說明網頁的常見問答集</a>，也提到Sophos Fusion能深度整合Microsoft 365各種授權方案，無論企業採用商務基本版、商務標準版或企業級的E5，也能提升其防禦能力。 <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/UrokOw38HAg?si=T0uQ6Vuw19-92PVz" title="YouTube video player" width="560px"></iframe></div> 在推出Sophos Fusion之前，Sophos已向外界證明自家資安系統充分具備高效率與高擴充性。Sophos產品與行銷總裁<a href="https://www.sophos.com/en-us/blog/sophos-fusion">Raja Patel表示</a>，以代管式偵測與應變系統<a href="https://www.sophos.com/en-us/services/managed-detection-and-response">Sophos MDR</a>為例，目前提供全球最大規模的代理式AI資安維運中心，<a href="https://www.sophos.com/en-us/press/press-releases/2026/05/sophos-agentic-soc-compresses-threat-response-to-89-seconds">服務超過4萬家客戶</a>，已擴展至持續運作的AI驅動威脅獵捕，並且由威脅研究團隊Sophos X-Ops提供支援，也能在端點、防火牆、電子郵件及身分識別等領域，實施更廣泛的雙向應變機制，從而在資安威脅擾亂業務之前，能夠將其消除，同時，企業也不需要為此自行建置資安維運中心。 在這樣的代管服務之下，Sophos表示，企業發生的資安事件當中，有52%可完全交由AI解決，代理式AI能驅動這些案件的工作流程，從警示發布到啟動完全自動化應變處理，僅需要89秒，由AI執行自動阻止異常存取，負責處理大量資安事件的工作；至於剩下的48%，則交由人類資安分析專家負責判斷，由他們確認是否存在攻擊意圖。 另一個例子是<a href="https://www.sophos.com/en-us/products/endpoint-security">Sophos Endpoint</a>，Raja Patel表示，這套端點防護系統採用<a href="https://www.sophos.com/en-us/blog/ai-zero-days-sophos-endpoint">根據行為判斷的設計方式</a>，能阻擋所有類型的攻擊，像是記憶體濫用、資料加密、資料外洩或其他由人類或<a href="https://www.sophos.com/en-us/blog/sophos-endpoint-mythos-ai">AI使用的攻擊手法</a>。 關於Sophos Fusion本身的發展脈絡，Sophos執行長Joe Levy透露，這套系統的起步，是<a href="https://www.sophos.com/en-us/blog/sophos-central-turns-ten">2013年推出的</a>雲端統一管理主控臺Sophos Cloud，為一小群客戶提供端點防護，後續於<a href="https://www.globenewswire.com/news-release/2016/08/23/1052350/0/en/Sophos-Expands-Sophos-Central-Cloud-Based-Management-Platform-With-Sophos-Email.html">2016年發展</a>成Sophos Central，成為數十萬家企業每天使用與依賴的資安管理介面；<a href="https://www.sophos.com/en-us/press/press-releases/2025/02/sophos-completes-secureworks-acquisition">2025年</a>Sophos完成Secureworks併購後，採用單一、開放架構重新打造，並整合MDR平臺採用的<a href="https://docs.taegis.secureworks.com/at_a_glance/">Secureworks Taegis XDR</a>的安全分析能力，同時將介面與工作流程進行徹底改良，新增數千個偵測器與嶄新的分析人員協作體驗，而且，也內建<a href="https://www.sophos.com/en-us/press/press-releases/2021/08/sophos-acquires-refactr">資安調度自動化與應變（SOAR）處理機制</a>，以更少的人工操作，實現更快速、更精確的威脅偵測與應變能力，使Sophos Fusion能以十年前幾乎無法想像的方式，實現融合AI與人類並肩合作的優勢。 Sophos Fusion的推出，也標誌著Sophos對Secureworks整合工作的完成，將併購的全部價值帶給合作夥伴與客戶。Joe Levy強調，併購Secureworks並非為了在產品線再添一項產品，而是為了將兩家廠商與各自架構融合為一體，將Secureworks對於不同階段的深度分析能力，與Sophos Central的廣泛覆蓋範圍融合成一個系統，而非單純拼湊兩款產品。 <h3 style="margin-left: 0.05pt;">預告Sophos Fusion推出多種新功能，陸續於8月15日與10月上市</h3> Sophos Fusion這套防禦系統雖然於7月中發表，但實際推出時程區分為兩個階段，第一個時間點落在8月15日，他們將強化與擴展兩個既有的資安解決方案，分別是Sophos MDR，以及Secureworks Taegis資料分析技術支援的Sophos XDR，並發布新的產品<a href="https://www.sophos.com/en-us/products/next-gen-siem">Sophos Next-Gen SIEM</a>。 <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/X8zihuGMrSs?si=wlLccQJZFERVybpq" title="YouTube video player" width="560px"></iframe></div> 針對這套新世代SIEM系統，Sophos預告將基於統一的資料脈絡湖，提供長期資料保存、法規遵循報告產生及分析等功能，重點在於計價方式簡化，根據使用者數量與伺服器數量而非資料量，因此，企業可將所有遙測資料送入SIEM，不需顧慮資料量增加而導致帳單金額難以預測（成本失控），或因資料保存不足而產生管理盲點。 <a href="/sites/default/files/images/Sophos AI Native Defensive System3.jpg"><img alt="" src="/sites/default/files/images/Sophos%20AI%20Native%20Defensive%20System3.jpg" style="width: 600px;" /></a> 第二個時間點落在10月，Sophos將推出兩個產品：<a href="https://assets.sophos.com/X24WTUEQ/at/9xz6wbw7m8bmp638mt6/sophos-ai-defense-sb.pdf">Sophos AI Defense</a>、<a href="https://assets.sophos.com/X24WTUEQ/at/3htx4bbb7swncfwww52cx6/sophos-ciso-advantage-sb.pdf">Sophos CISO Advantage</a>。 基本上，Sophos AI Defense可協助企業全面透視、控制與保護環境中的所有AI工具（包含影子AI），以及這些AI工具能夠存取的資料，8月將開放早期試用。至於Sophos CISO Advantage能為每一家企業提供資安長等級的指引，涵蓋持續地控制驗證、法規遵循的對應、同業基準比較（peer benchmarking），以及符合高階主管要求的風險評估。它將整合Sophos Fusion提供的技術、代理式AI和主動威脅情報，並透過Sophos遍布全球的代管服務業者（MSP）提供值得信賴的人類專家支援。 <a href="https://www.sophos.com/en-us/blog/from-security-operations-to-security-leadership-sophos-ciso-advantage">Sophos CISO Advantage的推出</a>，其實源自<a href="https://www.sophos.com/en-us/press/press-releases/2026/02/sophos-acquires-arco-cyber">今年2月併購</a>的英國資安風險保障公司<a href="https://arcocyber.com/">Arco Cyber</a>，Sophos表示，透過專為 MSP 模式設計的Sophos CISO Advantage，能將合作夥伴轉為策略資安顧問，對於設置資安長的企業，可藉此提供更有效率、整合的方式，以便管理風險、驗證控制措施，並向董事會彙報進度與清楚呈現資安治理成果；而對於沒有資安長的企業，能提供符合實際環境需求的專業資安領導能力。 <a href="/sites/default/files/images/Arco Cyber Linked_20In_20Ads-7-Compliance_20Findings_20UI-1.png"><img alt="" src="/sites/default/files/images/Arco%20Cyber%20Linked_20In_20Ads-7-Compliance_20Findings_20UI-1.png" style="width: 298px;" /></a> <a href="/sites/default/files/images/Arco Cyber Findings_20UI_20mockup-4-Targets-1.png"><img alt="" src="/sites/default/files/images/Arco%20Cyber%20Findings_20UI_20mockup-4-Targets-1.png" style="width: 298px;" /></a> </div></div></div>
7/19 23:49作者李宗翰https://www.ithome.com.tw/news/177421
Zero Day Clock網站示警：漏洞揭露到被利用的時間已跌破1天
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">攻擊者利用漏洞的速度已達前所未有的程度，為了證明與突顯這個趨勢，近期有不少專家紛紛引用名為<a href="https://zerodayclock.com/">「Zero Day Clock」(zerodayclock.com）的網站圖表</a>，也吸引整個資安社群的高度關注，該網站最大特色是透過即時視覺化數據，分析已知漏洞從公開揭露到首次偵測遭利用的時間變化，根據最新數據顯示，首次偵測利用的時間已經縮短至不到24小時。 該專案由Sysdig資安長Sergej Epp於2026年初發起，並於[un]prompted 2026大會正式亮相，主要目的是透過數據視覺化，展示漏洞利用的防禦窗口正在逐漸消失的現況，當中也藉由整合CISA KEV、VulnCheck等多方威脅情報，追蹤並分析超過3,500個漏洞利用實際案例。 Zero Day Clock網站當中，最受關注的指標是漏洞公開到首次被利用的時間（Time-to-Exploit，TTE）。根據網站儀表板顯示的數據，可看出防禦窗口從2018年開始呈現急遽縮減的趨勢，到了2025年，TTE平均值是21.5天，2026年已降至2小時（截至2026年7月3日），突顯防禦方的反應時間已被壓縮至極限。 <a href="https://www.linkedin.com/posts/sergejepp_zerodayclock-cybersecurity-unprompted-activity-7434977181568622592-UExw">Sergej Epp強調</a>，這項專案是為了讓資安長（CISO）、董事會、研究人員與政策制定者無法忽視這些數據。他直言，企業必須正視防禦窗口崩塌的現狀，「如果你的董事會簡報需要一張投影片，就是這一張。」 </div></div></div>
7/3 21:10作者羅正漢https://www.ithome.com.tw/news/177079
【資安週報】0622-0626，FortiBleed憑證外洩事件受矚目，Klue供應鏈攻擊風暴更延燒至多家資安業者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">本週爆發兩起重大資安事故，包括FortiBleed大規模系統登入憑證外洩，以及Klue供應鏈攻擊導致多家資安業者的Salesforce資料外洩，相關消息不斷傳出引發業界高度關注。 在漏洞修補態勢上，OpenAI發起Patch the Planet計畫，還有Chainguard成立Athena聯盟，顯現產業界有多方陣營正協助強化開源軟體安全；PQC遷移動向亦受關注，特別是金管會已發布金融業後量子密碼遷移參考指引，美國政府也命令聯邦指定遷移負責人。 在技術焦點方面，資安新創Ent憑藉AI意圖感知技術重塑端點防護並獲億美元募資，其是否帶動端點安全的新變革備受期待；此外，身分安全領域的併購案同樣受矚目，反映出在非人類身分（NHI）管理趨勢下，身分生命週期安全與即時存取治理技術，正成為市場高度看好的核心需求。 <h1>AI資安</h1> 在AI資安領域，協助開源安全再有新進展，OpenAI聯手業界發起Patch the Planet計畫協助修補漏洞，同時，AWS在資安治理強化上新推出兩款資安代理亦受關注，還有前沿AI模型議題持續成為新聞焦點。另外，AI應用程式框架Mastra內部開發團隊成為攻擊目標，駭客入侵後發動供應鏈攻擊並散布140個惡意NPM套件，此事故的後續發展亦備受關注。 <a href="https://www.ithome.com.tw/news/176787">OpenAI擴大Daybreak資安計畫，發表Patch the Planet協助開源專案修補漏洞</a> OpenAI在5月中旬發表資安防禦計畫Daybreak，一個月後該公司宣布擴大計畫，不僅推出專為資安打造的完整版GPT-5.5-Cyber模型與升級版Codex Security工具，並聯手業界發起「Patch the Planet」計畫以拯救人力吃緊的開源專案，協助開源專案維護者驗證漏洞、排除重複通報並提交修補程式，首批已有超過30個開源專案參與，此舉再次突顯資安瓶頸已從尋找漏洞轉向修補漏洞。 <a href="https://www.ithome.com.tw/news/176725">AWS推出Context知識圖譜與Continuum資安代理服務，強化企業AI代理部署</a> AWS不僅發表可自動建立企業知識圖譜的新AI代理服務AWS Context，還有另一大重點是全新的AI-native資安產品線Continuum，前者強化AI代理人的資料理解能力，後者強化AI代理人的安全治理能力，協助企業加速部署AI代理人應用。AWS表示，企業面臨的漏洞數量正快速增加，因此AWS推出Continuum，希望透過結合脈絡資訊、推理及自動化行動的AI代理人架構，協助企業以接近機器速度處理安全問題。 <a href="https://www.ithome.com.tw/news/176823">美國限制Anthropic Fable與Mythos模型存取，疑與NSA相關紅隊測試結果有關</a> 美國政府於6月12日以國安疑慮為由，促使Anthropic宣布暫停向所有客戶提供Fable 5與Mythos 5模型存取。後續外媒報導指出，這項限制可能與Mythos參與美國國安單位內部紅隊測試的結果有關。在一場受控安全評估中，Mythos於數小時內突破多項與美國國家安全局（NSA）相關的模擬評估目標。 <a href="https://www.ithome.com.tw/news/176789">五眼聯盟示警前沿AI將改變網路攻防，籲企業加速強化資安韌性</a> <a href="/sites/default/files/images/2026-06-25_114603.jpg"><img alt="" src="/sites/default/files/images/2026-06-25_114603.jpg" style="width: 400px; float: right;" /></a> 由美國、英國、加拿大、澳洲與紐西蘭組成的情報共享組織五眼聯盟，於6月22日發布聯合聲明，警告前沿AI模型（frontier AI model）可能在數個月內改變網路攻防能力，AI一方面可強化防禦能力，但同時也會降低惡意行為者攻擊門檻，進一步壓縮漏洞從被發現到遭到利用的防禦空窗期，企業與公部門必須加速強化網路韌性。 <a href="https://www.ithome.com.tw/news/176764">AI應用程式框架Mastra遭遇北韓駭客供應鏈攻擊，逾140個NPM套件被植入後門</a> 微軟揭露針對AI應用程式框架Mastra的攻擊，駭客先奪取開發成員的NPM維護帳號，得到整個@mastra的發布權限，採用名稱冒充手法發布惡意套件，將其偽裝成每週下載超過5,700萬次的程式庫dayjs。接著，駭客再利用竊得帳號，於@mastra旗下NPM套件，發布有問題的新版本，一旦使用者安裝，攻擊者就會透過掛鉤（hook）執行經混淆處理的惡意程式。 <a href="https://www.ithome.com.tw/news/176825">逾6成LLM iOS App暴露AI服務存取資訊</a> 維克森林大學（Wake Forest University）研究人員公布一項實證研究，指出許多導入大型語言模型（LLM）功能的iOS應用程式，沒有妥善保護AI服務存取資訊，在執行期間的網路流量中暴露可遭利用的驗證權杖、未要求驗證即可存取的後端代理機制，或其他可用來呼叫LLM服務的憑證資訊。 <a href="https://www.ithome.com.tw/news/176801">Cloudflare加入支援微軟、Google及Mozilla合推的網頁安全協定PACT</a> 瀏覽器業者微軟、Google、Mozilla與Shopify推動PACT協定（Private Access Control Tokens）的採用，近日Cloudflare宣布加入採用的行列，以確保AI代理人自動化網頁作業的安全性及效率。PACT的宗旨是讓使用者網站提供匿名化令牌（token）給要登入的網站，證明行為者是真人，藉此取代困難的CAPTCHA同時防範網頁爬蟲，並不會辨識使用者個人身分或追蹤其上網活動。 <a href="https://www.ithome.com.tw/news/176755">Cloudflare用AI代理輔助漏洞探索，以跨模型驗證過濾無效發現</a> 網路服務與資安業者Cloudflare於6月18日公開其內部AI輔助漏洞探索架構，說明該公司如何將AI代理用於大規模程式碼安全檢查。Cloudflare將大型漏洞探索任務拆解為多個階段，讓每個代理只處理特定範圍的工作，並將執行狀態寫入資料庫，以便中斷後重新執行或接續分析。 <a href="https://www.ithome.com.tw/news/176730">資安業者揭露M365 Copilot資訊外洩攻擊手法，透過點擊連結即可誘導AI助理洩漏敏感資料</a> <a href="https://www.ithome.com.tw/news/176799">熱門Chrome瀏覽器AI擴充套件存在重大漏洞，逾千萬用戶面臨敏感資料遭竊風險</a> <h1>資料安全</h1> 近期Klue供應鏈攻擊引發的大規模資料外洩成為焦點，由於去年已發生Salesloft Drift、Gainsight兩起事故，此事故再次突顯Salesforce第三方應用程式依然被駭客鎖定的目標，而且類似的滲透手法再次奏效。 <a href="https://www.ithome.com.tw/news/176798">Salesforce停用Klue Battlecards應用程式整合，起因是第三方應用程式供應商遭到攻擊</a> <a href="/sites/default/files/images/2026-06-25_115037.jpg"><img alt="" src="/sites/default/files/images/2026-06-25_115037.jpg" style="width: 400px; float: right;" /></a> 近日CRM雲端服務大廠Salesforce宣布停用Klue Battlecards應用程式與Salesforce之間的連接，起因是偵測Klue Battlecards異常活動，導致部分用戶資料遭非法存取。AI競爭情報公司Klue說明攻擊者透過與整合服務相關的外流憑證得到存取權，竊取Klue連接第三方平臺所用的OAuth權杖，存取第三方平臺資料。另根據威脅情報公司<a href="http://www.ithome.com.tw/news/176833">ReliaQuest指出，此犯案過程僅不到一天</a>，攻擊者透過遭入侵的整合服務，利用OAuth權杖及自動化REST API查詢，大規模竊取Salesforce用戶的資料。值得關注的是，這起供應鏈攻擊事件已演變大規模資料外洩事件，<a href="https://www.ithome.com.tw/news/176822">ShinyHunters聲稱Klue供應鏈攻擊是他們發動的</a>，並以外洩資料要脅該公司與勒索團體Icarus聯繫。 <a href="https://www.ithome.com.tw/news/176827">多家資安公司確認Salesforce系統發生資料外洩，起因是Klue供應鏈攻擊</a> Klue供應鏈攻擊事故持續延燒，已導致多家知名資安業者的Salesforce客戶資料外洩，<a href="https://www.ithome.com.tw/news/176820">威脅情報公司Huntress首先表示他們受到影響</a>，並公布相關調查結果，後續有多家資安公司也公告證實受害，包括<a href="https://www.hackerone.com/security-updates/klue-2026-06">HackerOne</a>、Huntress、<a href="https://status.insurity.com/incidents/vhhrc014kn85">Insurity</a>、<a href="https://www.jamf.com/blog/klue-incident/">Jamf</a>、<a href="https://www.onetrust.com/blog/update-from-onetrust-on-klue-salesforce-security-incident/">OneTrust</a>、<a href="https://www.recordedfuture.com/blog/klue-security-incident">Recorded Future</a>、<a href="https://status.snyk.io/incidents/3gw3m2ppwbp3">Snyk</a>、<a href="https://support.sproutsocial.com/hc/en-us/articles/46754555170701-Klue-Security-Incident-June-2026" style="font-weight: bold;">Sprout Social</a>、<a href="https://www.tanium.com/blog/security-update-taniums-response-to-the-klue-breach-that-allowed-data-exfiltration-from-salesforce/">Tanium</a>。後續，還有<a href="http://www.ithome.com.tw/news/176821">LastPass</a>、<a href="https://www.ithome.com.tw/news/176878">BeyondTrust</a>也同樣證實遭到波及。 <a href="https://www.ithome.com.tw/news/176760">醫療業勒索軟體風險升高，臺灣列受害案例增幅明顯地區</a> 臺灣醫療產業注意！資安威脅情報業者Cyfirma近日發布醫療產業威脅報告。在勒索軟體方面，過去90天全球共有2,388個組織受害，其中醫療業占216個（約10％），在14個產業中居於第3，且受害數量較前期的199個持續攀升。從區域來看，受害組織分布已從33國擴散至42國，雖然美國仍是最大受害者，但臺灣、印度、德國與中國的遭襲案例增幅相當顯著。 <a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=191133&SPOKE_DATE=20260622&COMPANY_ID=6230">散熱解決方案廠商尼得科超眾遭勒索軟體攻擊</a> 替筆電、伺服器、顯示卡、網通設備及資料中心提供散熱產品與熱管理技術的尼得科超眾（6230），於昨日晚間7時11分發布資安重訊，表示部分伺服器遭勒索軟體攻擊，導致部分資訊系統無法正常運作，其中包括了ERP。尼得科超眾在察覺異狀後，立即啟動防禦機制與斷網隔離措施因應，而對於這起事故帶來的影響，該公司表示其對於整體營運及財務的影響尚在評估中，並強調將視系統復原進度，調整生產及出貨排程。 <a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=180740&SPOKE_DATE=20260622&COMPANY_ID=6425">自動化設備與智慧製造商易發旗下子公司東野精機、日福精工遭網路攻擊</a> 專門設計、製造及銷售高科技自動化設備的上櫃公司易發精機（6425），於6月22日傍晚發布資安重訊，指出旗下的子公司東野精機與日福精工，遭不明人士入侵，將伺服器的資料加密，導致部分系統無法使用。兩家子公司在偵測到資訊系統遭到攻擊時，資安部門立即啟動相關防禦措施並進行系統復原，目前已陸續恢復。對於這起事故可能會帶來的衝擊，易發表示，根據他們的初步評估，對於兩家子公司運作無重大影響。 <a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=3&SPOKE_TIME=181259&SPOKE_DATE=20260622&COMPANY_ID=6146">耕興資訊系統遭遇資安事件，啟動復原機制並報警處理</a> 國內無線通訊與射頻測試驗證廠商耕興（6146）於6月22日發布重大訊息，揭露部分資訊系統於6月13日發生網路資安事件。耕興表示，發現異常後已立即啟動資安防禦與系統復原機制，並委由外部資安公司協助調查，同時依程序向警方報案。耕興強調，由於遭受影響的資料檔案均留有備份，因此事件未對公司營運及業務執行造成影響。耕興目前正持續進行事件調查與後續處置，以確認影響範圍及事件原因。 <a href="https://www.ithome.com.tw/news/176786">印度Tata Electronics證實遭駭，疑似外洩蘋果、特斯拉資料</a> 勒索軟體組織World Leaks上週在暗網宣稱駭入印度半導體暨電子製造巨擘Tata Electronics，公布了20萬份檔案，以及疑為蘋果、特斯拉的硬體元件設計及規格文件的螢幕擷圖。本週Tata Electronics證實發生資安事故，該公司在幾個星期前發現部分系統發生資安事件，公司立即啟動回應措施，強調此事對其各業務營運未造成影響。 <a href="https://www.ithome.com.tw/news/176871">日本電信業者KDDI遭駭客入侵，6家ISP逾1,422萬筆電子郵件帳號密碼可能外洩</a> 日本電信業者KDDI公布資安事故，攻擊者利用第三方軟體漏洞入侵其郵件系統，導致提供給6家ISP的郵件平臺遭未授權存取，可能影響超過1,422萬筆電子郵件認證資料。受影響業者包括 BIGLOBE、@nifty、J:COM 等。KDDI 已完成系統修補並通報主管機關，同時呼籲用戶儘速變更郵件密碼，以降低帳號遭濫用風險。 <a href="https://www.ithome.com.tw/news/176710">柯達證實遭駭外洩公司資料，疑兩百多萬筆資料被竊</a> <a href="https://www.ithome.com.tw/news/176752">美國德州政府狩獵與釣魚執照管理系統發生資安事故，外洩300萬人駕照資訊</a> <a href="https://www.ithome.com.tw/news/176866">曾於2024年入侵倫敦交通局網路的Scattered Spider兩成員認罪，當時導致該局Oyster退費系統資料外洩</a> <a href="https://www.ithome.com.tw/news/176869">印度大型車輛製造商Bajaj Auto遭勒索軟體攻擊</a> <a href="https://www.ithome.com.tw/news/176702">Azure第6代AMD雲端機密虛擬機器供應全球57個區域，臺灣也入列</a> <a href="https://www.ithome.com.tw/news/176814">Dell同步發布旗下多款主力儲存、備份與資料保護產品安全更新，主要涉及第三方元件漏洞修補</a> <h1>端點安全</h1> 端點防禦有新變革，主張運用AI的意圖感知特性將端點防護重新拉回事前預防的資安新創Ent，獲得資安業界少見的1億美元種子輪募資，以及多家全球二千大企業與國防單位導入，此態勢是否帶動日後端點安全市場的技術轉型並引領防禦模式翻轉，已成為業界高度關注的焦點。 <a href="https://www.ithome.com.tw/news/176805">訴求AI時代端點防禦革新，資安新創Ent首獲1億美元種子輪募資</a> 近期浮出檯面的資安新創Ent，以種子輪即獲得1億美元挹注而備受矚目。Ent創辦人Elias Manousos指出，傳統偵測應變模式在過去有其價值，但在生成式AI的時代卻會逐漸失效，因此Ent主張運用AI的意圖感知特性，可以將端點防護重新拉回事前預防，在災害發生前防患未然，具體作法是端點的工作空間需要一個防護層，負責蒐集行為遙測、推斷使用者與AI Agent的意圖、區分正常與高風險行為，並建立完整紀錄以在決策瞬間介入，也就是在行為發生的當下即時阻斷風險。 <a href="https://www.ithome.com.tw/news/176855">勒索軟體團體Gentlemen向加盟者提供EDR Killer工具，用於癱瘓受害者端點防護</a> ESET研究人員發現，勒索軟體即服務（RaaS）團體Gentlemen已建立多元的 EDR Killer工具生態系，並將其提供給加盟攻擊者使用。這些工具可利用存在弱點或惡意驅動程式提升權限，進而停用受害者的EDR與安全防護產品，協助後續部署勒索軟體。 <a href="https://www.ithome.com.tw/news/176808">蘋果自研晶片存在BootROM漏洞usbliter8，可破壞應用處理器開機鏈</a> 資安研究公司Paradigm Shift公開蘋果晶片硬體漏洞usbliter8的研究，揭露Apple A12、A13以及S4/S5等晶片存在BootROM層級漏洞。研究指出，該漏洞涉及晶片內不可變的SecureROM以及USB控制器的資料寫入行為，由於受影響裝置難以透過一般軟體更新根治，換用較新硬體是目前較有效的緩解方式。 <a href="https://www.ithome.com.tw/news/176751">微軟著手修補Microsoft Defender零時差漏洞RoguePlanet</a> 根據資安新聞網站Bleeping Computer報導，16日微軟公布Microsoft Defender權限提升漏洞CVE-2026-50656，也是研究人員Chaotic Eclipse（Nightmare-Eclipse）公開的RoguePlanet，影響Microsoft Malware Protection Engine元件，正著手打造資安更新。 <div> <a href="https://www.ithome.com.tw/news/176791">Windows剪貼簿功能遭濫用，駭客散布USB蠕蟲竊取加密貨幣資產</a> <a href="/sites/default/files/images/2026-06-25_115328.jpg"><img alt="" src="/sites/default/files/images/2026-06-25_115328.jpg" style="width: 400px; float: right;" /></a> 微軟揭露專門鎖定Windows電腦的加密貨幣剪貼簿惡意程式（Crypto Clipper），結合剪貼簿竊取、加密錢包地址替換、Tor匿名通訊與蠕蟲式自我擴散等多重手法。攻擊者透過USB隨身碟散布惡意程式，過程中會掃描USB裝置的常見文件，隱藏原始檔案，並建立同名的LNK捷徑檔，導致使用者點開後實際執行的是惡意程式。 </div> <a href="https://www.ithome.com.tw/news/176781">資安研究人員揭露新型惡意軟體載入工具OXLoader，用於部署竊資軟體CastleStealer</a> <a href="https://www.ithome.com.tw/news/176724">駭客鎖定遊戲玩家社群，濫用Steam Workshop平臺散布夾帶惡意程式的動態桌布軟體</a> <a href="https://www.ithome.com.tw/news/176830">QNAP修補旗下NAS與網路視訊監控產品漏洞，包含兩項可能導致服務中斷的重大漏洞</a> <h1>網路安全</h1> FortiBleed大規模系統登入憑證外洩事件為本週最受關注的資安消息，不只臺灣受影響設備數高居全球第三引發關注，還有因應策略特別指出強制管理員帳戶改用PBKDF2雜湊機制的重要性。Fortinet表示，企業若已落實資安最佳實務，則此事件風險極小，顯見協助組織補齊防禦缺口仍是未來重要挑戰。另有威脅情報業者指出，其有如工業自動化般的高效攻擊流程，是此次事件中資安界關注的核心焦點。 <a href="https://www.ithome.com.tw/news/176718">FortiBleed曝光逾7萬臺Fortinet設備憑證資料，臺灣受影響數量居全球第三</a> <a href="/sites/default/files/images/2026-06-25_115440.jpg"><img alt="" src="/sites/default/files/images/2026-06-25_115440.jpg" style="width: 400px; float: right;" /></a> FortiBleed大規模憑證外洩事件！威脅情報平臺InfoStealers示警，指出全球有超過7萬臺Fortinet FortiGate防火牆與SSL VPN設備的登入憑證遭駭客竊取並外洩，受影響設備數量最多的國家，依序是印度、美國、臺灣、墨西哥及土耳其，臺灣名列第三（3,637臺）。這起事件最早由資安研究人員Volodymyr Bob Diachenko於2026年6月中旬發現，調查出攻擊是由多名俄語系操作者組成的威脅組織所主導。後續威脅情資公司SOCRadar揭露<a href="https://www.ithome.com.tw/news/176813">FortiBleed攻擊活動的技術細節，指出駭客利用FortigateSniffer發動攻擊</a>，且攻擊行動自2026年2月即開始，整體攻擊過程主要透過自動化掃描、離線密碼破解技術，以及過往外洩資料來完成。 <a href="http://www.ithome.com.tw/news/176757">針對FortiBleed事件，多國網路安全機構與Fortinet相繼發布事件應變對策</a> 針對FortiBleed大規模系統登入憑證外洩事件，<a href="https://www.ithome.com.tw/news/176765">美CISA公布因應FortiBleed的五大措施</a>，其中確保憑證儲存安全，強制管理員帳戶改用PBKDF2雜湊機制儲存密碼受關注，此議題在一年半前臺灣資安專家解析國際電信資安指引時即已強調；<a href="https://www.ithome.com.tw/news/176757">英國NCSC也建議企業可先用兩款工具自行檢測是否名列其中</a>，包括威脅情資業者SOCRadar與Hudson Rock提供的FortiBleed檢查工具；Fortinet研判FortiBleed為舊資料再散布，並公布六大因應對策，其中一項是呼籲用戶儘速將FortiOS升級至7.4、7.6或8.0最新版本，因為這些版本支援使用PBKDF2演算法對管理員密碼進行雜湊處理，另也表示，企業先前若已落實資安最佳實務、此事件風險極小。 <a href="https://www.ithome.com.tw/news/176739">F5針對Nginx發布緊急安全更新，揭露與修補兩個重大漏洞</a> 6月17日F5突然針對Nginx發布非例行的安全性更新公告，總共揭露6個漏洞，從嚴重程度來看，CVE-2026-42530與CVE-2026-42055最高，CVSS 4.0評分均為9.2，用戶若不修補這兩個漏洞，F5警告遠端攻擊者可能藉此造成Nginx系統面臨服務遭阻斷（DoS），或觸發程式碼執行等狀況。 <a href="https://www.ithome.com.tw/news/176744">網頁快取與代理伺服器軟體Squid被找出存在29年的漏洞，HTTP存取的密碼與金鑰可能全都被看光光！</a> 資安研究公司Calif公開代號為Squidbleed的資安漏洞CVE-2026-47729，此漏洞存在於知名的開源網頁代理伺服器（Proxy）與網路快取軟體Squid，過去到近期版本Squid的預設配置皆可能導致內部記憶體的內容洩漏，網站伺服器的HTTP存取，以及透過官方套件庫提供Squid套件的多個Linux發行版，都可能受到影響。 <a href="https://www.ithome.com.tw/news/176858">刑事局破獲跨境詐騙案，竄改來電顯示手法再受關注</a> 近日刑事警察局南部打擊犯罪中心宣布破獲跨境電信詐欺案，使電信安全議題再受關注。警方指出，此案之所以得逞，關鍵是詐團在電信話務機房內利用網路系統進行「來電顯示竄改」，雖然警方未公開具體手法，但結合過往這類事件來分析，此案再次暴露全球通訊架構在身分識別技術上的系統性弱點，導致發話端資訊在VoIP與PSTN介接過程可能遭到非法竄改。此外，警方在攻堅行動時還發現，這些犯嫌設備普遍安裝「快速滅證程式」。 <a href="https://www.ithome.com.tw/news/176796">PCPJack活動攻擊230臺AWS、GCP、Azure伺服器，企圖架設SMTP中繼網路</a> <a href="https://www.ithome.com.tw/news/176754">跨國執法行動中斷SocGholish感染鏈，清理近1.5萬個WordPress網站</a> <h1>資安維運</h1> 在資安維運領域，Gartner點名CISO應優先應對包含深度偽造、AI應用入侵、軟體供應鏈與提示注入在內的4大關鍵威脅，突顯企業面臨從新興AI技術到供應鏈環節的多元風險管理挑戰。此外，Databricks併購AI SOC平臺Panther的消息，亦顯現自動化與AI驅動的安全營運持續成為重要發展趨勢。 <a href="https://www.ithome.com.tw/news/176778">Gartner點名CISO須優先應對的4大關鍵威脅</a> 研究調查機構Gartner於6月初舉行資安與風險管理高峰會，該公司副總裁兼分析師John Watts點名CISO須優先應對的4大關鍵威脅，分別是：深度偽造（Deepfakes）、AI應用程式入侵、軟體供應鏈漏洞，以及提示注入，並針對這些威脅提出具體因應策略，供企業參考與執行，當中有3項直接屬於AI安全範疇。 <a href="https://www.ithome.com.tw/news/176740">Splunk近期9.8分重大漏洞被CISA列入KEV</a>【CVE-2026-20253】 <a href="/sites/default/files/images/2026-06-25_115612.jpg"><img alt="" src="/sites/default/files/images/2026-06-25_115612.jpg" style="width: 400px; float: right;" /></a> 因掌握Splunk漏洞CVE-2026-20253已遭積極利用的證據，美國網路安全與基礎設施安全局（CISA）將其列入已遭利用的漏洞清單（KEV），並下令要求聯邦機構6月21日完成修復與緩解。Splunk的安全性公告恰巧也補充說明後續狀況，當中提到產品安全事故應變團隊（PSIRT）察覺少量利用此漏洞的行為，強烈建議用戶更新至已修補此漏洞的版本。 <a href="https://www.ithome.com.tw/news/176736">Databricks宣布併購AI SOC平臺廠商Panther，持續擴大資安應用版圖</a> Databricks宣布併購AI驅動安全營運中心（AI SOC）平臺業者Panther，持續擴大其資安版圖。這也是Databricks近期收購的第3家資安相關公司，顯示其正積極強化安全產品與服務能力。未來Panther將與Databricks的Lakewatch及Security Lakehouse策略整合，結合AI代理、自動化SOC流程與大規模安全資料分析能力，協助企業以AI對抗AI驅動的資安威脅。 <a href="https://www.ithome.com.tw/news/176715">勒索軟體DragonForce濫用Microsoft Teams轉送伺服器隱匿C&C流量</a> Broadcom旗下Symantec與Carbon Black團隊近日揭露，勒索軟體組織DragonForce攻擊一家大型美國服務業公司時，使用以Go語言開發的自製遠端存取木馬Backdoor.Turn，將命令與控制（C&C）流量隱藏在Microsoft Teams使用的TURN轉送基礎設施之中。對企業防禦人員而言，相關流量看似連往合法Microsoft Teams伺服器，因此更難察覺背後的惡意通訊。 <h1>政策法規</h1> PQC遷移持續成為關鍵策略，國內有金管會公布金融業指引，美國也簽署行政命令要求政府機關於30天內指派遷移負責人。此外，沙烏地PDPL施行與企業主動揭露事故，也反映個資法與事故揭露持續成為國際間都在積極落實的法遵趨勢。 <a href="https://www.ithome.com.tw/news/176824">金融業動起來！金管會公布後量子密碼遷移指引，要求建立CBOM與加密敏捷性</a> <img alt="" src="/sites/default/files/images/2026-06-25_115808.jpg" style="width: 400px; float: right;" /> 因應量子破密，金管會發布「金融業後量子密碼遷移參考指引」，促進國內金融業加速PQC遷移。金管會強調，此議題應提升至董事會層級的企業營運治理架構；指引除了將加密敏捷性（Crypto-Agility）列為遷移核心能力，更規畫出至2035年的階段性目標：短期（2026～2027年）著重建立治理架構、盤點方法、CBOM及加密敏捷性基礎；中期（2027～2029年）進行試辦驗證、基礎升級並建立共同測試機制；中長期（至2035年）則要高風險與高關鍵系統優先完成遷移，逐步擴大至全金融場景。 <a href="https://www.ithome.com.tw/news/176792">川普簽署行政命令，加速量子電腦發展與後量子資安部署</a> 為了在擴大國家量子優勢的同時抵禦未來資安風險，美國總統川普於6月22日簽署兩項行政命令，同步推進量子技術發展與聯邦政府的後量子密碼（PQC）部署。在PQC的具體推動上，最重要是，各機關除須在30天內指定遷移負責人外，同時也賦予明確的時間表：必須在2030年底前完成高價值資產與高衝擊系統的金鑰交換機制部署，並於2031年底前全面升級數位簽章系統。對此，NIST也將展開示範計畫，預計2027年底前即可完成首批PQC遷移驗證。 <a href="https://www.ithome.com.tw/news/176802">沙國零售商BinDawood揭露資料外洩，該國政府年初已針對48起違反個資法PDPL案件開罰</a> 沙烏地阿拉伯前三大連鎖零售集團之一的BinDawood Holding，5月底於該國證交所揭露旗下電商App因系統漏洞導致客戶資料外洩，成為沙國個人資料保護法（PDPL）實施後，主動揭露資安事故的大型企業之一。值得關注的是，該國SDAIA於2026年1月曾公告，已針對48起違反PDPL個資法的案件開罰，突顯國際間對於企業合規的要求正持續加大，尤其是在個資與上市公司資安事故揭露方面。 <a href="https://www.ithome.com.tw/news/176831">巴西民防警報系統疑遭入侵，里約熱內盧等地民眾收到假警報</a> 在6月19日晚間至20日凌晨有人濫用巴西民防警報系統Defesa Civil Alerta的細胞廣播機制，透過公共警報發送介面（IDAP）向多個地區民眾的手機發送假冒的緊急警報。巴西整合與區域發展部表示Defesa Civil Alerta平臺已暫停運作，巴西國家保護與民防祕書處（SEDEC）也已封鎖IDAP所有外部存取，停用涉及事件的使用者帳號，並保存系統日誌與登入紀錄，以利後續數位鑑識分析。 <a href="https://www.ithome.com.tw/news/176714">思科、Cloudflare等逾24個組織參與Athena聯盟，合作修補開源漏洞</a> 因應開源安全問題，產業正透過聯防機制以強化韌性，軟體供應鏈安全業者Chainguard宣布成立產業聯盟Athena，協助成員在開源軟體漏洞公開前，先取得可用的緩解措施與修補程式或版本，降低攻擊風險。Athena目前已有超過24個組織加入，包括紐約梅隆銀行（BNY）、思科、Cloudflare、Docker、摩根大通、Kyndryl與PwC等。該聯盟已處理逾2萬筆漏洞發現資料，並針對500個開放原始碼專案產生逾2,000項修補程式或版本。 <a href="https://www.ithome.com.tw/news/176800">加拿大情報機構首度獲准遠端清除殭屍網路</a> <a href="https://www.ithome.com.tw/news/176713">歐盟對烏克蘭提供緊急網路安全支援</a> <h1>應用程式安全</h1> 在應用程式安全領域，WordPress外掛程式的漏洞與供應鏈風險成主要焦點，不論是Gravity SMTP漏洞正遭駭客大規模利用，抑或是ShapedPlugin遭遇供應鏈攻擊造成的影響，持續突顯外掛程式已成攻擊者滲透網站的關鍵管道。 <a href="https://www.ithome.com.tw/news/176775">駭客積極利用WordPress外掛Gravity SMTP漏洞，影響10萬安裝用戶，Wordfence已攔截逾1,700萬次攻擊嘗試</a>【CVE-2026-4020】 資安業者Wordfence警告，駭客已開始大規模利用WordPress郵件外掛Gravity SMTP的漏洞CVE-2026-4020，試圖竊取郵件服務認證資料、API金鑰與OAuth權杖等敏感資訊。Wordfence表示，自6月初以來已攔截超過1,700萬次攻擊嘗試，單日最高達400萬次。2.1.4版以前的Gravity SMTP都會受此漏洞影響，用戶應儘速升級至已修補的2.1.5版，以降低遭攻擊風險。 <a href="https://www.ithome.com.tw/news/176859">ShapedPlugin多款WordPress外掛程式遭供應鏈攻擊，40萬下載用戶須提高警覺</a>【CVE-2026-10735】 <a href="/sites/default/files/images/2026-06-25_115951.jpg"><img alt="" src="/sites/default/files/images/2026-06-25_115951.jpg" style="width: 400px; float: right;" /></a> 資安業者Wordfence揭露，WordPress外掛程式開發商ShapedPlugin遭遇供應鏈攻擊，攻擊者入侵其基礎設施後，將惡意程式植入多款付費版外掛程式，並透過原廠下載與更新管道散布。受感染外掛程式可下載後門程式、竊取網站憑證與雙重認證金鑰，並建立長期存取通道。ShapedPlugin已陸續發布修補版本，建議用戶儘速更新。目前這起供應鏈攻擊事件已被指派CVE-2026-10735的漏洞編號。 <a href="https://www.ithome.com.tw/news/176803">沙烏地阿拉伯租車龍頭Budget Saudi資料外洩，當地資安業者針對行動應用程式安全示警</a> 沙國租車龍頭Budget Saudi在沙烏地證券交易所揭露資安事故，說明行動應用程式遭未經授權存取，值得注意的是，中東資安業者點出這起事故帶來的啟示是：行動App安全的防護並未跟上內網防護，並進一步解析這類事故的原因，特別是後端API在設計時並未考慮到編號列舉（Enumeration），以及企業建置SIEM卻缺乏API相關日誌監控等問題。 <a href="https://www.ithome.com.tw/news/176795">Oracle發布2026年6月關鍵安全修補更新，共修補243項漏洞，含多項CVSS滿分重大漏洞</a> Oracle發布2026年6月Critical Security Patch Update（CSPU），共推出245項更新程式，修補243項漏洞，其中122項為重大漏洞，影響Fusion Middleware、E-Business Suite、JD Edwards等11個產品家族。Tenable指出，約40%的漏洞可在無須身分驗證的情況下透過網路遠端利用。此外，Oracle也提醒用戶儘速修補已遭實際利用的PeopleSoft PeopleTools漏洞CVE-2026-35273，以降低風險。 <a href="https://www.ithome.com.tw/news/176794">FFmpeg修補遠端程式碼執行漏洞PixelSmash</a> 資安業者JFrog揭露FFmpeg存在稱為PixelSmash的漏洞CVE-2026-8461，風險值為8.8，能引發阻斷服務、有時甚至可讓攻擊者遠端執行程式碼，最新版FFmpeg 8.1.2已包含修補程式。PixelSmash之所以嚴重，是出於軟體供應鏈效應。FFmpeg是最受歡迎的媒體處理框架之一，數百個影音播放專案依賴其元件來解碼影音資料。 <a href="https://www.ithome.com.tw/news/176834">SSH函式庫libssh2揭露重大漏洞，可能導致攻擊者透過特製SSH封包執行任意程式碼</a> 開源SSH函式庫libssh2揭露重大漏洞CVE-2026-55200，CVSS v4嚴重性評分達9.2分，由於處理SSH封包長度時存在邊界檢查缺陷，攻擊者可藉由特製封包觸發記憶體損毀，進而遠端執行任意程式碼。漏洞影響 libssh2 1.11.1 及更早版本，相關檔案傳輸、備份與 SSH 應用程式可能受到波及。 <a href="https://www.ithome.com.tw/news/176743">Node.js揭露與修補12個漏洞，其中涵蓋兩個高風險漏洞</a> <a href="http://https://www.ithome.com.tw/news/176867">Linux網頁式管理工具Webmin修補儲存型XSS漏洞CVE-2026-22678</a> <a href="https://www.ithome.com.tw/news/176876">Google發布Chrome 149穩定版更新，修補18項漏洞，4項屬於重大等級</a> <a href="https://www.ithome.com.tw/news/176716">Mozilla發布Firefox 152版更新，修補40項資安漏洞</a> <h1>身分安全</h1> 非人類身分（NHI）與AI代理治理持續成為資安市場焦點，繼先前多起併購案後，近期再傳出三起收購消息，顯見市場熱度持續升溫。特別的是，從思科與1Password的併購案來看，在非人類身分（NHI）管理趨勢下，現在似乎更延伸到登入之後的身分安全治理。 <a href="https://www.ithome.com.tw/news/176766">思科買下身分安全新創WideField Security</a> 思科在併購主打NHI安全的新創Astrix Security之後，又宣布將併購身分安全新創WideField Security，該公司主打身分生命週期安全，並特別著重登入後工作階段（Session）、Token、權限使用與異常行為偵測。思科表示，這項收購將強化旗下Splunk資安營運中心對人類、機器與AI代理身分的工作階段與權限風險分析能力。 <a href="https://www.ithome.com.tw/news/176826">1Password併購身分安全新創Apono，強化AI代理與非人類身分即時存取治理</a> 1Password宣布併購以色列資安新創公司Apono，看重其即時存取治理技術，以解決AI時代身分管理碎片化的難題，預計將其技術整合進今年3月推出的統一存取平臺（Unified Access Platform），以加速實現將各類身分管理整合至單一平臺的願景。 <a href="https://www.ithome.com.tw/news/176735">Sailpoint有意併購Entro，整合企業AI三大身分安全管理技術</a> 以身分安全與治理著稱的資安廠商SailPoint，宣布併購以色列資安新創公司Entro Security，目的是鞏固SailPoint在人類、機器和AI代理等類型身分的治理，預計2027會計年度第三季完成。SailPoint預告Agentic Fabric將整合Entro三大技術：身分與憑證探查能力、脈絡與人員所有權的歸屬、即時偵測與主動防護。 <a href="https://www.ithome.com.tw/news/176865">攻擊者濫用AWS無伺服器運算服務，隱匿HazyBeacon後門程式C2流量</a> Windows後門程式HazyBeacon（CL-STA-1020）鎖定東南亞政府網路，攻擊者濫用AWS的無伺服器運算服務AWS Lambda，將Lambda Function URL端點作為命令與控制（C2）中繼站，藉此讓惡意流量混入一般雲端服務通訊。雲端安全業者Qualys分析指出，這類攻擊並非利用AWS服務漏洞，而是建立在竊得的AWS身分識別與存取管理（IAM）憑證，以及過度寬鬆的雲端權限設定之上。 <a href="https://www.ithome.com.tw/news/176852">刑事局揭露濫用LINE螢幕共享、竊取TWQR付款碼的社交工程陷阱</a> <a href="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/zhu_tu_xing_shi_ju_po_huo_twqrma_xin_xing_zha_pian_shou_fa_.jpg?itok=FCflZgyF"><img alt="" src="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/zhu_tu_xing_shi_ju_po_huo_twqrma_xin_xing_zha_pian_shou_fa_.jpg?itok=FCflZgyF" style="width: 400px; float: right;" /></a> 有網路犯罪集團針對不清楚「螢幕共享」風險、不知道會因此導致TWQR付款碼遭截取的民眾，開發出複合式社交工程詐騙手法。刑事警察局指出，今年3月起利用電子支付詐欺洗錢的案件量暴增，4月即向大眾示警，如今公布掃蕩有成並揭露其假網拍手段。嫌犯會要求受害者開啟LINE「派對功能」（螢幕共享）進行線上指導，誘騙被害人打開電子支付App產生TWQR付款碼，進而暗中擷取畫面，傳給待命的「掃碼車手」前往超商列印遊戲點數單並付款。 <a href="https://www.ithome.com.tw/news/176758">思科修補ISE身分識別與存取控制平臺重大漏洞CVE-2026-20181，未更新可能導致攻擊者取得系統Root權限</a> <h1>IoT/OT安全</h1> 近期不僅MITRE透露兩項強化太空系統網路安全防禦體系的計畫，上月歐盟ENISA報告也提及太空領域處於高度關鍵、網路安全成熟度中等偏低的現況。這些消息均突顯太空系統網路安全的重要性與迫切性。成熟度落差亦預示著巨大的太空網路安全商機。 <a href="https://www.ithome.com.tw/news/176776">推動太空系統網路安全，MITRE透露鋼鐵城與Project 60計畫</a> 近日美國非營利研究機構MITRE在一篇人物專文中，介紹首席應用資安工程師Robert Sumner投入太空系統資安的工作，當中透露由他領導的兩項計畫，一是聚焦端到端威脅列舉的鋼鐵城計畫（Project STEEL TOWN），一是涉及情資驅動架構設計的Project 60，目的是強化太空系統的網路安全防禦體系。 <a href="https://www.ithome.com.tw/news/176759">殭屍網路AryStinger感染約4千臺D-Link路由器</a> <a href="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/massprod_scanip-156.jpg?itok=YL2gV_5t"><img alt="" src="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/massprod_scanip-156.jpg?itok=YL2gV_5t" style="width: 400px; float: right;" /></a> 中國資安公司奇安信揭露殭屍網路AryStinger，遭綁架的裝置多為搭配RTL819X系列晶片的網路設備，由於許多2012年至2015年推出的設備採用RTL819X晶片，因此引起了奇安信的注意。奇安信一共偵測到4,371臺受害路由器設備，其中有75%是D-Link DIR-850L、13%為DIR-818LW，但也有同廠牌的DIR-816L、DIR-818L、DWR-118、DIR-817LW被感染的情況。從地理分布來看，感染集中於韓國（48.45%），其次為中國（31.82%）、瑞典（6.40%）、馬來西亞（3.50%），以及新加坡（2.50%）。 <a href="https://www.ithome.com.tw/news/176749">蘋果修補可讓駭客竊聽Beats藍牙耳機的資安漏洞</a> 蘋果修補可讓駭客竊聽Beats無線耳機音訊的漏洞CVE-2025-20701，位於藍牙傳輸範圍的攻擊者，得以對尚未配對、正處於尋求配對狀態的Beats耳機發動攻擊並透過麥克風竊聽。事實上，CVE-2025-20701是達發科技（Airoha）藍牙音訊系統單晶片（SoC）的3個安全漏洞之一，攻擊者可未經用戶同意配對藍牙音訊裝置，導致遠端提升權限。 <a href="https://www.ithome.com.tw/news/176829">LG與三星智慧電視逾三成App讓用戶電視慘變代理伺服器節點</a> 資安業者Spur分析6,038個三星和LG智慧電視的App套件，發現有2,058款內含將用戶住家IP位址提供作為代理伺服器（proxy）的SDK。在用戶住家IP位址被出售或出借後，一旦代理伺服器供應商同意提供其他組織，或其過濾機制破防，電視可能成為外部流量存取家中其他連網裝置，包括路由器管理介面、NAS系統、印表機、攝影機、或其他App。 </div></div></div>
6/26 12:09作者羅正漢https://www.ithome.com.tw/news/176892
金融業動起來！金管會公布後量子密碼遷移指引，要求建立CBOM與加密敏捷性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">量子運算技術快速發展，為協助國內金融業提前因應可能產生的風險，金管會近期發布<a href="https://www.fsc.gov.tw/ch/home.jsp?id=96&parentpath=0,2&mcustomize=news_view.jsp&dataserno=202606180001&aplistdn=ou=news,ou=multisite,ou=chinese,ou=ap_root,o=fsc,c=tw&dtable=News" target="_blank">「金融業後量子密碼（Post-Quantum Cryptography，PQC）遷移參考指引」</a>，提出金融機構規畫後量子密碼遷移的整備方向，並提出治理機制、密碼技術盤點、加密敏捷性、生態系協作、供應鏈管理等7大策略，建議從2026年至2035年分階段推動遷移作業。 金管會指出，金融服務高度依賴身分驗證、交易簽章、跨機構介接及資料保護機制，隨著量子運算能力提升，現行公鑰密碼未來可能遭破解，金融機構若未及早規畫，將面臨交易安全、資料機密性及營運穩定性的風險。 點名HNDL與TNFL兩大新型量子威脅 指引特別點出量子時代可能面臨的兩類攻擊模式。（下圖，來源：金管會） <img alt="" src="/sites/default/files/images/%E6%93%B7%E5%8F%961-600(7).jpg" style="width: 600px; height: 330px;" /> 第一類是「先攔截、日後解密」（Harvest Now, Decrypt Later，HNDL），攻擊者現在便可攔截並保存加密資料，待量子運算成熟後再進行解密，換言之，目前看似安全的敏感資料在未來可能面臨遭破解的風險。 另一類是「現在信任、稍後偽造」（Trust Now, Forge Later，TNFL），也就是目前可信任的數位簽章、憑證或身分驗證機制，未來可能因量子運算能力而遭偽造，進一步影響金融交易與數位信任機制。 為此，金管會認為，金融業必須提前展開長期的PQC遷移整備，而非等量子電腦成熟後才開始因應。該指引提出金融業因應PQC的七大策略方向。 將量子風險提高至董事會層級，PQC成為企業治理議題 其中，金管會並未將後量子密碼遷移視為單純的資訊系統升級，而是要求金融機構將密碼技術風險納入企業風險管理架構，提升至董事會層級討論，並成立跨部門的「後量子遷移工作小組」，由資安長（CISO）、資訊長（CIO）或相當層級主管統籌推動。 PQC遷移將不再只是資訊部門的工作，而涉及資訊、資安、風險管理、法遵、採購及業務等多個部門的長期治理工程。金管會認為，金融機構應透過明確的治理架構、權責分工及資源配置，將量子風險納入企業策略與營運決策，並以跨年度方式持續推動遷移工作，而非等到量子運算技術成熟後再被動因應。 要求建立CBOM清單，可以AI輔助盤點密碼技術 另外，金管會要求金融機構盤點現有密碼技術，建立密碼技術清單（Cryptography Bill of Materials，CBOM），將密碼演算法、金鑰、憑證及其應用情境形成可持續維護的資產清冊。 指引中建議可採取「先風險、後全面」的盤點方式，逐步擴大覆蓋範圍，並建立制度化管理流程。同時，也建議評估運用AI等自動化工具協助密碼技術盤點與CBOM維護，以降低人工管理負擔。 相較於傳統僅盤點IT資產，指引進一步聚焦密碼技術治理，反映金融業必須先掌握加密元件在整個業務系統中的使用情況。 加密敏捷性列為核心能力 指引也將「加密敏捷性（Crypto-Agility）」列為PQC遷移的重要能力。 <img alt="" src="/sites/default/files/images/%E6%93%B7%E5%8F%963-600(8).jpg" style="width: 600px; height: 317px;" /> 根據指引，由於PQC標準及產品仍持續演進，建議遷移策略不宜以一次性替換演算法為目標，而是建立能快速調整演算法與參數的能力，使未來更新可成為例行維護，而不致成為大型系統改版。 金管會建議金融機構採取模組化加密設計，並搭配憑證自動化管理，同時優先改善手動管理TLS憑證、使用弱加密套件及金鑰硬編碼等「密碼反模式」，提升整體加密架構的彈性。 PQC納入供應鏈治理，規畫2035年前完成高風險系統遷移 除了金融機構自身，金管會也要求將PQC準備度與加密敏捷性納入採購、委外及供應鏈管理，推動關鍵供應商調查、更新採購規格及驗收要求，並建立共同驗證機制，以降低供應鏈成為遷移瓶頸的風險。 <img alt="" src="/sites/default/files/images/%E6%93%B7%E5%8F%962-600(7).jpg" style="width: 600px; height: 318px;" /> 此外，由於金融產業高度互聯，指引規畫由財金機構等樞紐單位建立共同遷移路線圖，協助金融生態系採一致方式推動PQC，避免跨機構介接出現相容性問題。 在推動時程上，金管會建議短、中、長期的準備： <img alt="" src="/sites/default/files/images/%E6%93%B7%E5%8F%96(42).JPG" style="width: 817px; height: 197px;" /> 金管會頒布指引顯示，金融業因應量子運算的重點已不再只是更換演算法，而是從密碼治理、供應鏈管理到跨機構協作，建立長期且可持續演進的資安治理能力，為未來量子時代的金融基礎設施提前做好準備。 </div></div></div>
6/24 11:31作者蘇文彬https://www.ithome.com.tw/news/176824
Gartner舉辦安全與風險管理高峰會，點名CISO須優先應對的4大關鍵威脅
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">面對持續演變的AI技術與威脅態勢，研究調查機構Gartner在2026年6月1日至3日舉辦資安與風險管理高峰會，特別點出CISO必須在2027年前優先因應的四大關鍵威脅。這四大領域涵蓋深度偽造（Deepfakes）、AI應用程式入侵、軟體供應鏈漏洞，以及提示注入。Gartner副總裁兼分析師John Watts<a href="https://www.gartner.com/en/newsroom/press-releases/2026-06-02-gartner-identifies-four-critical-threats-requiring-urgent-improvements-from-cybersecurity-leaders">指出</a>，由於攻擊者在上述這些新興技術領域已占據顯著優勢，因此提出4大具體因應策略，供企業參考與執行。 首先，針對深度偽造影音內容可能引發的冒名詐騙，他建議，企業應根據具體應用情境制定多層控制措施，聚焦於影像展示攻擊（Presentation Attacks，例如利用照片、螢幕畫面、3D面具偽冒臉部），以及合成內容資料注入攻擊（Injection Attacks，例如將相機畫面替換為合成畫面、偽造鏡頭的metadata）的偵測，以及實施條件存取策略來確保線上會議的安全；其次，企業需將安全測試深度嵌入AI開發流程，並描繪出AI模型或自動化工具引入的新型攻擊面，亦可利用Gartner提出的安全管理信任與風險（TRiSM）框架作為指引。該框架自2022年10月發布，近年更強化對生成式AI的動態風險監控與合規管理。 第三，面對複雜的軟體供應鏈漏洞，John Watts強調企業必須加速推動軟體物料清單（SBOM）與AI物料清單（AIBOM）的應用，藉此提升第三方組件與模型的透明度，並建立持續性的風險評估機制，以確保在AI驅動的威脅環境下，維持企業安全運作；最後，針對日益盛行的提示注入攻擊，必須落實大型語言模型（LLM）的輸入監控、過濾與最小權限控管，以嚴防敏感資料外洩。 </div></div></div>
6/23 10:00作者羅正漢https://www.ithome.com.tw/news/176778
90天完成AI治理起手式，Check Point資安長教你用5個步驟搞定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">隨著企業導入AI速度越來越快，開始將更多工作搭配或交由AI處理，責任歸屬的認定可能出現混亂，換言之，一旦發生意外狀況，可能大家並不清楚相關責任該由誰承擔，因為這牽涉到企業AI治理的缺失，Check Point亞太及日本區資安長 Jayant Dave最近來臺介紹一套能快速理解與實施的框架，這是他參考NIST與ISO兩大標準組織的相關框架，以及雲端控制指標（AI 模型大多部署於雲端環境），用商業語言加以簡化而成，區分為5個步驟、3個實施階段，而且能在90天完成。 他這麼做是為了幫助大家輕鬆理解AI治理的意涵，因為上述3種分析模型對多數企業而言過於複雜，尤其是中小型企業，而非試圖築起高牆，企業若能依此概念實踐AI治理，就能同時符合 ISO與NIST的標準，以及雲端控制指標。Jayant Dave表示，企業面對AI風險管理需求的框架，通常採用<a href="https://www.nist.gov/itl/ai-risk-management-framework">NIST AI RMF</a>或<a href="https://www.iso.org/standard/77304.html">ISO/IEC 23894</a>作為治理整體AI風險的基準，再將<a href="https://cloudsecurityalliance.org/artifacts/ai-controls-matrix">CSA AICM</a>疊加上去，因為它專門處理雲端 AI 部署的特定安全控制需求，而上述的雲端控制指標是指與CSA AICM一致的<a href="https://cloudsecurityalliance.org/star/ai/">CSA STAR for AI</a>認證。 <h1 style="margin-left: 0.05pt;">AI是一把雙面刃，想要妥善控管面臨多種挑戰</h1> 目前AI的實際使用方式與成效是一體兩面，若能妥善管理，它能使很多事物變得更美好，相反地，則可能釀成災難。Jayant Dave表示，所以，我們站在哪一面，就顯得格外重要，舉例來說，在銀行業任職16年的他，曾見過AI在詐欺偵測的表現遠勝以往，但也體認到人類已難以精準辨識深偽（Deepfake），須靠AI協助達到更精準地偵測；而在生產製造領域中，預測性維護至關重要，現有AI模型能妥善管理這些狀況，有助於提升企業營運效能；反之，若缺乏管理，便會陷入影子AI等問題，此外，提示詞（prompt）也是資料外洩的另一個潛在風險點。 以AI治理的角度而言，也可區分為檯面上的已列管AI，以及檯面下的未列管AI（影子AI），Jayant Dave表示，確實存在一般的AI輔助操作（copilots）或資料的AI輔助操作（data copilots）這類企業主動採購或建置的AI系統，然而，現狀是40%至60%的AI系統處於無人治理的狀態，企業並不知道它們在系統環境究竟在做什麼。 造成這種情況的原因主要有四個方面。就已列管AI而言，2025年眾人討論的重點在於，所有AI決策高度依賴「人類介入」（Human in the loop，HitL），但在詐欺偵測應用案例中，重點其實已經不是「人類介入」，而是「AI介入」，而且，靜態治理已無法繼續適用，因為AI模型的演進極為快速。 若從未列管AI的角度來看，回顧過去幾個月以來的IT與商業應用趨勢，所有發展都圍繞著工作流程，而且AI已逐漸融入其中。由於AI的執行與本身的更新速度太快，人類審核與系統運作已經無法跟上模型的動態更新步伐，這些狀況都是我們必須處理的。例如，在當前紅隊演練的應用中，若企業仍採用靜態的評估模式，無論間隔三個月、六個月或九個月的定期評估，都已過時，相反地，我們必須針對更多模式持續、動態地進行評估。 供應鏈風險也是該領域的另一個重要議題，如今相關問題變得更加嚴重，因為AI不僅放大了機會，也放大供應鏈的API 風險，而這正是治理缺口的所在。Jayant Dave表示，2026 年許多攻擊者正針對由AI模型支援的工作流程發動攻擊，而非AI模型，因為AI模型與AI代理已融入我們的工作流程，以支援各個環節，而這些正是遭受攻擊的關鍵領域。 <a href="/sites/default/files/images/Check Point-AI Govern-2026-06-Reality days.jpg"><img alt="" src="/sites/default/files/images/Check%20Point-AI%20Govern-2026-06-Reality%20days.jpg" style="width: 600px;" /></a> <h1 style="margin-left: 0.05pt;">安全、防護、治理容易混為一談，需要釐清差異才能明確分工</h1> 想要妥善使用AI，我們往往會關注如何做到安全（Safety）、防護（Security）、治理（Governance），Jayant Dave提醒，我們必須非常清楚理解它們的差異，而且，三者必須環環相扣才能妥善運作，但很多企業尚未充分理解上述區分，混淆的狀況很常見。有些公司雖然將AI治理交由風險長處理，但很多風險長實際上卻在執行資安長的工作。 所謂AI安全，是指AI應該符合商業預期，AI的行為與AI作業模式是否一如預期，涉及幻覺、偏見、對齊等議題的處理，主要負責人員是AI/ML工程與資料科學團隊。 AI防禦側重防禦內外部的敵對者，關注重點在於能否抵禦包括內部與外部的攻擊者，主要負責人員是資安長（CISO）與資安維運團隊。 AI治理正是確保安全與防護能全面運作的關鍵齒輪，涉及權責區分、政策與持續監督的工作，主要負責人員是風險長（CRO）、董事會，以及法規遵循團隊。 面對AI治理的需求，當責（accountability）與監督（oversight）機制，將發揮關鍵作用。Jayant Dave肯定當前臺灣處於非常獨特的地位，首先，臺灣今年1月正式公布並施行的人工智慧基本法，核心就是治理；第二，臺灣既希望採用以歐盟為基礎的模式，也參考以美國為基礎的模式，在這兩者之間，尋求精妙的平衡點，因此，治理是人工智慧基本法後續24個月的調適期發揮作用之處；第三，臺灣不再僅基於安全與防護進行考量，而是著眼於如何全面治理AI架構。 <a href="/sites/default/files/images/Check Point-AI Govern-2026-06-confused terms.jpg"><img alt="" src="/sites/default/files/images/Check%20Point-AI%20Govern-2026-06-confused%20terms.jpg" style="width: 600px;" /></a> <h1 style="margin-left: 0.05pt;">推動AI治理可從5個步驟著手</h1> 企業想要實施AI治理，將占比高達40%至60%的影子 AI轉為受管控的 AI，該如何進行？除了研究複雜的框架、ISO 標準及 NIST 準則，再設法規畫與執行解決方案，Jayant Dave提出5個簡單易懂的基礎步驟，而且，現在就可以開始行動，不必等待政府發布AI治理規範 <h2 style="margin-left: 0.05pt;">第一步：了解企業正在使用的各種AI應用與服務</h2> 關於AI治理的推動流程，Jayant Dave表示，我們需要找到單一的「真相來源」，而這正是關鍵的整合環節。 為了取得企業內部使用AI的唯一的真相來源，他列出下列作法： （一）透過財務或購買資料，掌握企業已採購並註冊使用的AI；（二）透過IT資產管理與各種資料對齊的方式進行確認；（三）透過AI資安解決方案與網頁Proxy記錄的端點活動，也就是上網行為的使用記錄，了解使用的服務、傳送的資料、流量類型，以識別當中的資安風險；（四）透過訪談業務單位的高階主管，得知使用AI的狀況；（五）透過雲端平臺的稽核，由於許多AI應用都透過雲端平臺提供，因此，可從中了解企業AI的使用方式。 基本上，經由目前部署在系統環境中的控制措施，能告訴你正在使用何種類型的AI，它們還能揭示透過這些AI 模型實際傳遞的具體前後文脈絡。 Jayant Dave表示，一旦我們能正確執行這五項措施，將能掌握90%至95%的AI應用，這將立即成為單一可信來源。經過多家大型企業的概念驗證（POC），企業察覺到正在使用的AI，其實有70%至80%是未知的。因此，只要企業正確執行其中兩項措施，便能揭露「影子 AI」的真相。 <a href="/sites/default/files/images/Check Point-AI Govern-2026-06-5steps-1 days.jpg"><img alt="" src="/sites/default/files/images/Check%20Point-AI%20Govern-2026-06-5steps-1%20days.jpg" style="width: 600px;" /></a> <h2 style="margin-left: 0.05pt;">第二步：進行客觀的風險評估</h2> 找出所有AI系統之後，我們需要將這些AI系統區分到不同的風險類別，知道AI使用相關的風險，並聚焦系統一旦失效時可能產生的衝擊，以及失效發生的機率，得到客觀的評等。 面對任何 AI應用，無論人工智慧基本法所規範的AI或其他 AI，只要涉及關鍵決策，例如醫療保健、重大的信用決策、關鍵的金融基礎設施（交易）等，Jayant Dave認為，當中使用的AI模型都必須具備完全的透明度、當責、人類監督，以及明確的監控機制，都要有完善的真人監督和文件記錄及定期監控，且絕無例外。同時，系統必須配備緊急關閉機制（Kill Switch），以防萬一發生問題，因為能否暫停系統運作，至關重要。他預估，未來幾個月隨著臺灣市場的持續發展，我們將看到更多針對或觸及關鍵基礎架構的AI而制定的法規。 簡而言之，關於影子 AI的顧慮就存在於這些層面的考量，一旦確認有員工正在使用影子 AI，企業就能著手建立五天內完成審批的流程。 當大眾都為Anthropic或OpenAI的AI技術有多麼出色而興奮，Jayant Dave坦言，身為組織的網路安全防禦者，他只關心兩件事：影響程度（impact）與發生機率（likelihood），先前針對任何科技領域與技術都曾這麼做，只要能把上述兩件事做好，就能從保有安全距離（風險評估）的角度來駕馭AI的力量。 換句話說，他特別關注的是：如果系統失效、AI出問題，會造成什麼樣的衝擊？發生的機率有多高？透過這樣的觀點進行分析，我們就可以得到資安風險的評級。 <a href="/sites/default/files/images/Check Point-AI Govern-2026-06-5steps-2 days.jpg"><img alt="" src="/sites/default/files/images/Check%20Point-AI%20Govern-2026-06-5steps-2%20days.jpg" style="width: 600px;" /></a> <h2 style="margin-left: 0.05pt;">第三步：建立企業的AI風險登記表</h2> 關於AI風險項目的確立，相關的作業程序，已經在很多企業採用的治理、風險及法規遵循（Governance, Risk, Compliance，GRC）平臺，實現高度自動化的處理，不再是手動操作。 以風險類型而言，Jayant Dave總共列出7種，並談到目前新增的資料風險與模型風險，他說每個模型都伴隨著不同的風險，而且，適用臺灣的模型，並不代表在香港或日本同樣能成功。 若要更徹底掌握風險的性質及因應之道，我們需要建立AI風險登記表（AI Risk Register），在此之前，我們必須找出正在運行的 AI 系統，然後執行客觀的風險分類，接著將這些資訊納入風險登記表。 舉例來說，當臺灣金融業向金管會申報時，他們不會詢問資產與流程的盤點，而是要求查看風險登記表。基本上，所有監管機構只問一件事：請出示風險登記表，並說明評分情況。 而在完成AI風險登記表的過程中，總共有10個項目需要定義。Jayant Dave特別提醒達成這項工作的三大黃金法則。 <ul> <li>每項風險的負責人（Owner）不能是一個團隊。</li> </ul> 一般而言，IT團隊負責修復（fixing）與修補（patching），資安團隊也負責修補，因此，必須明確指定各個風險項目的負責人。以AI領域為例，假設企業有個AI輔助操作系統，它可能存在多重風險，例如資料風險或模型風險，企業必須明確指派一名負責人來處理，而非交由一個團隊。 以AI輔助操作系統來說，它有模型的風險，也有資料的風險，但如果是一個團隊負責，就無法更明確要求個人找出問題及解決問題，因此，每一個風險只能夠有一個人負責。 <ul> <li>需要為每個風險建立書面說明。</li> </ul> 在填寫AI風險登記表時，我們必須釐清問題會造成的危害、背後的原因，以及何時修正。如同上述，我們必須在每個風險的負責人，必須明確指明一個人；而在風險的因應方式上，我們可以採取「接受」、「拒絕」、「迴避」、「轉移」——以接受為例，我們要寫下理由，表達我們為何接受這項風險。 依此完成登記表後，一旦AI風險出現，負責人可以了解其所屬的類型、造成的傷害與原因、可能性與影響程度，知道誰負責及如何因應。 <ul> <li>審查日期是確切的承諾，而非僅是意圖。</li> </ul> 若是關鍵AI系統，Jayant Dave建議，在3至6個月內，至少建立最低限度的補償性控制措施（compensating control），若我們接受這樣的要求，持續推動相關的工作，等到審查的考驗正式展開時，就能非常清楚必須遵循的部分。 <h2><a href="/sites/default/files/images/Check Point-AI Govern-2026-06-5steps-3 days.jpg"><img alt="" src="/sites/default/files/images/Check%20Point-AI%20Govern-2026-06-5steps-3%20days.jpg" style="width: 600px;" /></a></h2> <h2>第四步：建立AI治理委員會</h2> 治理是許多組織缺乏的環節，因此，企業的AI治理工作持續推動需要成立委員會（Committee），Jayant Dave列出組成這個組織的三道防線負責人員。 第一道防線是業務與技術人員，負責確保AI提供的系統服務符合業務所設定的目標，例如CISO團隊負責進行攻擊者影響評估，AI/ML工程團隊負責確保模型能如預期運作。 資料架構師也是重要成員。Jayant Dave表示，根據Gartner的預測，到了2030年，<a href="https://www.gartner.com/en/newsroom/press-releases/2026-03-17-gartner-predicts-ai-applications-will-drive-50-percent-of-cybersecurity-incident-response-efforts-by-2028">33%的IT人力將專注於資料衛生（Data Hygiene）維護，</a>開發人員未來也將確保資料衛生得以維持，原因在於模型漂移（Model Drifting）現象非常普遍。 AI治理委員會的第二道防線是風險、法務與政策遵循人員（Risk, Legal & Compliance），包含風險長、法規遵循與隱私保護主管。至於第三道防線，則是組織內部的稽核部門，其職責由金融監督管理委員會（FSC）這類監管機關規定，而且是無表決權的成員，要確保相關的報告可以上報到董事會，簡而言之，這群人不是董事會成員、沒有投票權，卻可以直接通報董事會，從評估角度來看，他們是能夠針對關鍵AI做出決策的關鍵角色。 關於AI治理委員會設立的主要目的，除了審查所有AI系統的上線與否，還要有風險長與內部稽核人員的最終簽核，因為這些人員如果發現有重大問題，將有權限立刻暫停AI的系統。Jayant Dave強調，在任何時刻，對於任何可能對業務造成危害的AI，都應配備緊急關閉機制，以便能立即暫停運作。由於模型運作與演進的速度極快，這些緊急關閉機制至關重要，而且，最終將由AI治理委員會做出決定。 <a href="/sites/default/files/images/Check Point-AI Govern-2026-06-5steps-4 days.jpg"><img alt="" src="/sites/default/files/images/Check%20Point-AI%20Govern-2026-06-5steps-4%20days.jpg" style="width: 600px;" /></a> <h2 style="margin-left: 0.05pt;">第五步：處理影子AI</h2> 最後一個階段是處理影子AI的問題，Jayant Dave認為不該立即停止影子AI，因為這麼做反而會製造更多風險，迫使最懂得使用AI、最有工作效率的員工，成為違規的人。他說，一旦驟然禁止會有兩種結果，一是組織中最聰明的人才正在使用AI，企業可能會因此失去這群人，而非不願使用AI的人；一是被禁用的AI解決方案將轉入地下，員工開始改用其他工具，因為他們知道已被偵測到，IT部門可能更難管理。 基於上述理由，Jayant Dave建議企業應採取有架構、有系統的方式逐步開放這些「影子AI」，因為我們希望將它們轉變為「獲准使用的AI」，並且立即公開容易上手的AI工具。例如針對低衝擊、低風險、無安全疑慮，以及容易得到成果且特別容易管理的AI應用，企業可提供快速批准的程序，有些企業的做法則是先推出核准的工具清單，告訴員工現在可以使用的AI應用。 Jayant Dave以自身經驗為例說明，他在花旗銀行工作16年，公司最初只允許使用Microsoft Copilot，後來開放使用GitHub Copilot，接著是Google 的Gemini，最後是Anthropic的AI服務，因為員工們都在使用這些工具，所以，他建議企業應針對「低垂的果實（可快速取得成果的、風險低的AI服務）」，設置5天內即可完成審批的流程。 根據他的觀察，目前在臺灣的銀行若要審批一項新技術的使用，至少需要九個月，時間大多花在風險評估與報告對接（reporting alignment），然而，在AI急速發展與普及的此刻，這樣的決策實在太曠日廢時，企業需要為 AI 建立更快的審批流程，將其納入整體框架，並且在此基礎上建立培訓機制，提高使用AI的效率，使其更有結構，進而利於治理。 <a href="/sites/default/files/images/Check Point-AI Govern-2026-06-5steps-5 days.jpg"><img alt="" src="/sites/default/files/images/Check%20Point-AI%20Govern-2026-06-5steps-5%20days.jpg" style="width: 600px;" /></a> <h1 style="margin-left: 0.05pt;">AI治理的建立是具體而可行的，能在三個月內、分三個階段完成</h1> 除了透過5個步驟說明實施AI治理的方式，Jayant Dave提出90天解決問題的三階段執行規畫，具體描繪企業推動AI治理的時程。 第一個階段為期30天，工作重點在於增加企業現行AI應用的能見度（Visibility），例如盤點企業使用的AI服務、確保採用適當的盤點方式、指定AI治理的監督與負責人，以及能在7天內建立的風險評分系統。第二階段同樣為期30天，工作重點在於建立架構（Structure），例如起草AI治理委員會的章程與AI風險登記表、召開首次會議，並且公布核心政策，促使委員會開始運作。 第三階段也是30天，工作重點在於落實治理，例如每季進行評估、向董事會匯報、列出核准的工具清單，進而彌補「影子 AI」的缺口。 Jayant Dave表示，當我們掌握AI應用的能見度之後，即可建立明確的職責分工架構，進而建立季度與月度的治理協調機制。有了這些資訊，一旦企業的AI系統做出錯誤決策，對於該負責的人員、能否暫停運作、是否有緊急關閉機制等問題，都會有答案。 <a href="/sites/default/files/images/Check Point-AI Govern-2026-06-5steps-90 days.jpg"><img alt="" src="/sites/default/files/images/Check%20Point-AI%20Govern-2026-06-5steps-90%20days.jpg" style="width: 600px;" /></a> </div></div></div>
6/16 12:34作者李宗翰https://www.ithome.com.tw/news/176644
【資安日報】6月5日，伺服器管理晶片廠商於Computex 2026積極展現資安布局
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><a href="https://www.ithome.com.tw/news/176369">導入Caliptra 2.x安全架構，信驊於Computex 2026積極展現晶片級資安布局，PQC支援亦成焦點</a> <a href="/sites/default/files/images/Aspeed-Computex-Caliptra-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/Aspeed-Computex-Caliptra-63.jpg" style="width: 300px; float: right;" /></a>以伺服器管理晶片BMC產品聞名全球的臺廠信驊科技，在本週舉行的Computex展示以Caliptra安全架構為核心的產品布局。Caliptra是由OCP（Open Compute Project）主導的開源硬體信任根標準，信驊這次展出的多款新一代產品，也使其成為全球首家將Caliptra 2.x版本整合至晶片的廠商，宣示資安防禦已從軟體層全面深化至晶片層，該公司並預期，未來有更多廠商也會跟進。新版晶片亦全面支援後量子密碼學（PQC），確保伺服器韌體在未來量子運算時代，仍能防範韌體遭竄改。 <a href="https://www.ithome.com.tw/news/176374">Computex首設開源臺灣館，向國際展現臺灣開源社群實力</a> 今年Computex首次設立「開源臺灣館」（Open Source Team Taiwan），成為與硬體產品截然不同的展區。事實上，開源已經成為現代IT的重要基礎，因此，企業關注的焦點不再只是是否使用開源軟體，而是如何參與開源專案、建立開源治理能力，以及在供應鏈中維持軟體安全。本次大會亦邀請Apache軟體基金會（ASF）與開放原始碼安全基金會（OpenSSF）社群領袖來臺演說、交流，涵蓋開源治理、開源安全、軟硬體整合以及社群協作等議題。 <a href="https://www.ithome.com.tw/news/176367">Perplexity發表混合式本地伺服器推論技術，將敏感資料留在本機處理</a> <a href="/sites/default/files/images/0604-intel perplexity-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/0604-intel%20perplexity-63.jpg" style="width: 300px; float: right;" /></a>在Computex 2026的Intel主題演講裡，AI模型廠商Perplexity展示混合式本地伺服器推論協調器，此為該公司混合式代理推論（hybrid agentic inference）的實作，訴求是部署AI系統需在準確性、隱私、成本三種要求間取得平衡。Perplexity指出，這項方案適合處理敏感資訊，但需要龐大AI分析的應用，包括財務記錄、健康資訊和個人資料。一般來說，準確性需要最強大的模型，但這類模型往往在雲端而難以兼顧隱私，藉由混合式本地伺服器推論協調器，將能把這類機敏資料留在本機處理。 <a href="https://www.ithome.com.tw/news/176394">NTLM協定安全問題又一樁，Windows Search URI問題可能導致NTLM驗證資訊外洩</a> 資安公司Huntress近日揭露Windows Search URI導致NTLM雜湊值洩漏的弱點，此問題源自Windows的search-ms: URI處理程序，當使用者點擊包含惡意參數的連結時，系統會解析該URI並自動發起連線至攻擊者控制的SMB伺服器，Windows可能在連線過程中自動發起NTLMv2驗證流程，導致Net-NTLMv2雜湊值洩漏給攻擊者。值得留意的是，此問題的性質與嚴重性，與微軟在4月修補CVE-2026-33829相同，但通報後卻未獲得微軟採納與修補。 <a href="https://www.ithome.com.tw/news/176387">研究人員直接公開VS Code資安漏洞，並表明對微軟漏洞通報流程失去信任</a> <a href="/sites/default/files/images/github-dev-dropdown-option-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/github-dev-dropdown-option-63.jpg" style="width: 300px; float: right;" /></a>資安研究員Ammar Askar於6月2日公布Visual Studio Code（VS Code）一項零時差漏洞，並指出攻擊者只要誘導使用者點選惡意連結，就能竊得GitHub OAuth權杖（token），進而存取使用者的公開與私有儲存庫。這項漏洞之所以受到關注，在於Askar並未依照微軟提供的通報管道處理，而是選擇在VS Code的GitHub專案提出議題（issue），以及發布部落格文章的方式公開漏洞，並表明這麼做的原因，就是他多年前向微軟安全回應中心（MSRC）通報漏洞的不愉快經驗。 <a href="https://www.ithome.com.tw/news/176392">WordPress表單外掛Everest Forms Pro漏洞遭積極利用</a> <a href="/sites/default/files/images/everest-forms-pro-rce-howto-wordfence-firewall-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/everest-forms-pro-rce-howto-wordfence-firewall-63.jpg" style="width: 300px; float: right;" /></a>6月5日資安公司Wordfence提出警告，他們於3月底公開揭露的表單外掛程式Everest Forms Pro漏洞CVE-2026-3300，於4月13日首度偵測到漏洞利用的跡象，並在5月16日出現大規模漏洞利用嘗試活動，當天有超過17,900次攻擊，截至目前為止已出現逾29,300次活動。Wordfence指出，攻擊者會嘗試在具有此漏洞的網站建立新的管理員帳號，而且多半會使用特定的使用者名稱或電子郵件信箱，該公司也提供入侵指標，讓系統管理者檢查網站是否已遭滲透。 <a href="https://www.ithome.com.tw/news/176391">Google發布Chrome 149穩定版更新，修補429項安全問題</a> Google發布Chrome瀏覽器新版本，將Windows與Mac平臺穩定版更新至149.0.7827.53與149.0.7827.54，Linux版本更新至149.0.7827.53，此次改版同時納入429項安全修正，其中包括22項重大漏洞的修補，而最為顯眼的是3項通報者獲頒獎金的重大漏洞。首先是CVE-2026-10881，為圖形處理元件ANGLE的記憶體越界讀取與寫入（Out of bounds read and write）問題，Google給予通報者9.7萬美元獎勵，是近幾個月來Chrome漏洞通報中相對少見的高額獎金。 <a href="https://www.ithome.com.tw/news/176356">Google發布ChromeOS長期支援版更新，修補多項重大記憶體安全漏洞</a> Google推出ChromeOS作業系統長期支援版LTS-144更新144.0.7559.254版，當中修補15項漏洞，有3項漏洞被評為有重大風險，11項有高風險，1項有中度風險。這3項重大漏洞皆為記憶體已釋放卻仍被使用（UAF）問題，嚴重性最高的是CVSS評分達9.0的CVE-2026-9891，問題出在擴充功能（Extensions），其次是CVSS嚴重性評分同為8.8的CVE-2026-9887與CVE-2026-9873，分別存在於代理伺服器（Proxy）與網路元件（Network）。 <a href="https://www.ithome.com.tw/news/176382">宏碁Wave 7路由器存在2項滿分重大漏洞</a> 宏碁本週發布安全公告，預告將對Wave 7家用路由器發布韌體更新，修補2個CVSS風險值10分的安全漏洞。這兩項漏洞編號分別為CVE-2026-49200及CVE-2026-49201。其中CVE-2026-49200屬於存取控制缺陷。攻擊者未經驗證也可經由Web介面存取裝置韌體中的acer_cgi.log檔。這個檔案包含明碼的Web及Telnet登入憑證，而導致非授權存取系統；CVE-2026-49201則是發生在負責處理裝置備份的upload.cgi，當中包含寫死的AES加密金鑰。 <a href="https://www.ithome.com.tw/news/176397">Google Gemini語音助理存在漏洞，攻擊者可透過訊息通知來挾持AI</a> 資安公司SafeBreach揭露Google Gemini存在一種新型態的弱點Fake Context Alignment，攻擊者藉由WhatsApp、Slack、簡訊等管道發送通知，並將惡意指令隱藏到另一種國家語言或是靜音連結（muted hyperlinks），就可能讓語音助理執行未經授權的行為。這種弱點可被用於控制智慧家庭裝置、啟動未經授權的影片串流，甚至偽造受信任的聯絡人進行大規模社交工程攻擊，或是污染AI長期記憶內容、建立持續存取的管道而影響廣泛。 <a href="https://www.ithome.com.tw/news/176380">新型SymJack攻擊鏈盯上AI程式開發代理，藉核准提示隱藏真正寫入目標</a> 資安公司Adversa AI揭露SymJack新型攻擊鏈，能對於多款協助開發者寫程式、修改檔案與執行命令的AI程式開發代理下手，因此該公司研判是普遍存在的設計瑕疵，而非單一產品問題。攻擊者可準備惡意程式碼儲存庫，讓AI代理執行看似普通的檔案複製動作，但實際內容可能被寫入代理工具的設定檔，並在代理下次啟動時執行攻擊者指定的程式。研究團隊建議，AI程式開發代理應在檔案寫入前解析符號連結的真正目標，避免只依命令文字判斷操作是否安全。 <a href="https://www.ithome.com.tw/news/176393">NPM套件遭供應鏈攻擊，感染惡意程式IronWorm</a> 資安公司JFrog揭露竊資軟體IronWorm的攻擊行動，這是以Rust打造的大型惡意程式，能從開發環境抓取多達86種機密資訊，本身可隱匿在eBPF核心rootkit背後運作，並透過Tor連線向操作員回報執行結果。與Shai-Hulud相同的地方在於，IronWorm使用竊得的憑證作為傳播機制，悄悄將惡意程式碼提交至受害者的GitHub儲存庫，並透過受信任的開發者工作流程GitHub Actions發布到NPM儲存庫。JFrog指出，這次攻擊者特別針對加密貨幣與Web3領域而來。 <a href="https://www.ithome.com.tw/news/176384">RondoDox殭屍網路鎖定華碩路由器舊漏洞，CVE-2018-5999出現實際濫用跡象</a> 資安漏洞情報業者VulnCheck於5月17日觀察到，殭屍網路RondoDox開始利用華碩路由器漏洞CVE-2018-5999。這項漏洞早在2018年已有公開利用程式，但VulnCheck表示，這是該公司首度觀察到實際濫用跡象。BankInfoSecurity報導指出，這項漏洞可讓未經身分驗證的攻擊者以root權限遠端執行程式碼；VulnCheck技術長Jacob Baines也對BankInfoSecurity表示，有超過100萬臺華碩路由器連接網際網路，形成相當可觀的攻擊面。 <a href="https://www.ithome.com.tw/news/176375">駭客入侵大型證券交易所高層電子郵件帳號，潛伏5個月竊取商業情報</a> Broadcom旗下Symantec與Carbon Black團隊，近日揭露一起鎖定全球大型證券交易所的網路間諜活動。相關跡象最早可追溯至2025年10月，此時攻擊者已取得SYSTEM權限，並部署偽裝成Adobe Acrobat Reader與OneDrive元件的惡意程式，用於展開後續攻擊活動。在5個月的時間中，攻擊者始終專注於逐步竊取單一Outlook信箱的內容，其中內容足以讓攻擊者建構出組織發展方向等重要商業資訊，而無須進一步橫向移動。 <a href="https://www.ithome.com.tw/news/176363">駭客利用美國愛國者形象經營社群頻道，掩護詐騙活動，結合生成式AI擴大攻擊行動</a> 透過生成式AI的協助，以往需要一組團隊才能完成的複雜網路攻擊行動，現在單一攻擊者便能執行。趨勢科技研究團隊近日揭露一起以「美國愛國者」形象的Telegram社群頻道為掩護，長達5年的社群操作與網路詐欺活動，近期攻擊者還進一步利用遭越獄（Jailbreak）的Google Gemini AI模型與遭竊API金鑰，將生成式AI用於社群頻道內容生成、憑證竊取、帳號入侵等工作，在Gemini協助下完成大規模的自動化攻擊活動。 <a href="https://www.ithome.com.tw/news/176373">惡意NPM套件藉自動化流量灌水下載量，偽裝成活躍維護專案</a> 資安業者Tenable揭露一種名為download pumping的NPM套件操弄手法，攻擊者會在短時間內大量發布套件新版本，藉此觸發套件庫鏡像站、安全掃描器與分析機器人等自動化系統下載，拉高下載次數與版本歷史，讓惡意套件看起來像是持續維護、具有使用基礎的專案。Tenable舉出惡意套件ambar-src為例，攻擊者曾在兩小時內密集發布428個看似正常的版本，3天後才上傳含有惡意程式碼的新版本，該套件後來累積至724個版本，下載量被推升至約5萬次。 <a href="https://www.ithome.com.tw/news/176364">Let's Encrypt規畫2027年建立後量子憑證架構</a> 免費憑證簽發機構Let's Encrypt規畫以MTC（Merkle Tree Certificates）作為Web PKI導入後量子身分驗證的主要方案，目標是在2026年稍晚建立可簽發MTC的測試環境，並在2027年建立可供生產使用的環境。該計畫不會立即改變現有Let's Encrypt憑證的申請與續期流程，但顯示Web PKI後量子憑證開始進入具體工程規畫階段。Let's Encrypt並非單純把既有X.509憑證改用後量子簽章，因為這麼做將導致TLS交握需要傳送的驗證資料大幅增加。 <a href="https://www.ithome.com.tw/news/176317">HPE將AI對話式互動帶進災難復原管理，Zerto新增AI助理與第3方AI平臺整合</a> HPE旗下備份與資料保護平臺Zerto近日推出10.9版，新增兩項與AI相關的新功能，包括內建的對話式AI助理（AI Assistant），以及與外部AI用戶端的整合機制Zerto Context Protocol。其中的Zerto Context Protocol，允許外部AI用戶端環境透過標準化介面連接Zerto的ZVM管理平臺。在這個應用架構下，外部AI用戶端是透過OAuth 2授權機制與TLS 1.2+加密通訊協定，來與Zerto的ZVM連線，可透過對話式互動方式，提供系統資訊與功能操作。 <a href="https://www.ithome.com.tw/news/176390">群創光電重新定義資安的價值，從「花錢的部門」到公司治理核心</a> 【臺灣資安大會直擊】在2025年，群創光電悄悄完成一項組織變革，對於群創光電、對於臺灣製造業的資安史上，這是一個值得記錄的里程碑。群創光電的資通安全部正式從MIS（資訊系統）部門獨立出來，直屬執行長辦公室，並設立資安長（CISO）一職，邀請學者型高階主管林宜隆擔綱。這個組織圖上的移動，看似只是幾條線的重新連接，卻牽動一整套思維方式的根本翻轉——資訊安全，不再只是IT部門底下一個防堵漏洞的執行單位，而是公司戰略決策的核心機制。 <a href="https://www.ithome.com.tw/news/175244">【2026臺灣資安年鑑｜國家資通安全研究院院長林盈達】揭露資安院2.0轉型願景，林盈達以AI築數位長城</a> 在臺灣數位發展體系中，隸屬於數位發展部的法人機構國家資通安全研究院，長期扮演技術支援與政策智庫的關鍵角色。不同於一般以研發導向為主的法人單位，資安院自成立以來便肩負著貼近第一線的任務，既要支援政府機關的資安防護，也要回應快速變動的數位威脅環境。如今，在第二任院長林盈達的帶領下，資安院正邁入一場被稱為「資安院2.0」的深層轉型，試圖重新定義國家級資安機構的角色與價值。 近期資安日報 <a href="https://www.ithome.com.tw/news/176372">【6月4日】HTTP/2 Bomb影響多款主流網頁伺服器系統</a> <a href="https://www.ithome.com.tw/news/176332">【6月3日】紅帽NPM套件遭遇蠕蟲Miasma供應鏈攻擊</a> <a href="https://www.ithome.com.tw/news/176297">【6月2日】捷克參議院率團訪臺前夕，傳出中國駭客從事網路間諜活動</a> </div></div></div>
6/5 15:33作者周峻佑https://www.ithome.com.tw/news/176404
【臺灣資安大會直擊】群創光電重新定義資安的價值，從「花錢的部門」到公司治理核心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">在2025年，群創光電悄悄完成一項組織變革，對於群創光電、對於臺灣製造業的資安史上，這是一個值得記錄的里程碑。群創光電的資通安全部正式從MIS（資訊系統）部門獨立出來，直屬執行長辦公室，並設立資安長（CISO）一職，邀請學者型高階主管林宜隆擔綱。 這個組織圖上的移動，看似只是幾條線的重新連接，卻牽動一整套思維方式的根本翻轉——資訊安全，不再只是IT部門底下一個防堵漏洞的執行單位，而是公司戰略決策的核心機制。 群創光電資通安全部資深副理蔡秉諺分享這段轉型的心路歷程，他坦言：「當老闆問你，你做這件事情的價值在哪裡？」這是所有資安人最難回答的一題。 <h2>從MIS底下的一個人，到執行長直屬的獨立部門</h2> 群創光電成立於2003年，是全球主要的TFT-LCD液晶面板製造商，全球員工約三萬五千人，在臺灣、中國大陸、日本、韓國、美國、荷蘭、德國、新加坡均設有據點，2025年營業額高達兩千兩百六十七億新臺幣。這樣規模的製造業集團，其資安部門如何走到今天這個位置？ 蔡秉諺回顧說，群創最早的資安工作其實寄居在MIS部門，只有一名資安專職人員。2021年，公司才開始正式招聘更多資安人才。隨著「上市公司應成立專屬資安部門」的法規精神逐漸落地，群創光電也依循趨勢成立了資通安全部，但當時仍掛在MIS底下，定位上更接近IT資安的執行層。 這樣的架構，藏著一個根本性的矛盾。「我一方面自己導入控制措施，另一方面又自己來評鑑控制措施的有效性，」蔡秉諺坦言，「這樣很難達到平衡。就像讓選手兼任裁判，球賽結果能客觀嗎？」 直到2025年，執行長主動介入，將資安部門從組織圖上「拉出來」，掛在執行長辦公室之下，並設立資安室與資安長（CISO）職位。從此，資安長與總經理並列，對執行長直接負責。 他表示，這個資安組織架構的改變，也呼應了國際標準ISO 27014對「資安治理」的定義——治理層必須具備評估、指導、溝通的獨立性，不能被執行層吸納。 <h2>把資安分成三個層次，先搞清楚自己在哪一層</h2> 蔡秉諺從國際標準和實務經驗，分享一個簡潔有力的框架，就是將資安工作分為三個層次：資安技術、資安管理、資安治理。 最底層的「資安技術」，對應的角色是資安工程師，回答的是「What to do」——導入EDR端點偵測防護、SIEM安全資訊與事件管理、PAM特權帳號管理、弱點掃描、攻防演練，這些都是實際動手做的技術控制措施。 中間層的「資安管理」，對應的角色是資安主管，回答的是「How to do」——看各項控制措施的部署率、更新率、達成率，執行業務衝擊分析（BIA），訂定最大容許停機時間（MTD）、復原時間目標（RTO）與復原點目標（RPO），確保整體體系依照標準運轉。 最頂層的「資安治理」，對應的角色是資安長，回答的是「Why to do」——創造組織價值，將資安韌性轉化為營運韌性，讓資安投資能夠被量化，使公司決策層看得見資安的貢獻。 蔡秉諺特別強調，這三個層次並非互相獨立，而是由上往下驅動的，關鍵在於：「導入的各種控制措施，一定要對齊公司的願景與目標。」所以，不能為了做資安而做資安。 他也假設性地提問：「如果公司今天買了一千臺EDR授權，但老闆問你，買五百臺不行嗎？」如果資安長無法回答，就表示這件事並沒有對齊公司的治理方向。 <h2>合理量化資安價值，不再將資安視為成本中心</h2> 資安部門長年被視為「成本中心」，是花錢的單位，而非賺錢的引擎。蔡秉諺認為，這個困境的根源，在於資安人員未能將自身工作的價值語言，轉譯成經營者聽得懂的語言。 「老闆只跟你談錢，」他說得直白，「對老闆而言，資安價值最直覺的量化方式就是財務數字。」所以，他將資安的價值呈現歸納為四個維度：提升獲利、降低成本、合規韌性、營運持續。 對於製造業而言，「提升獲利」這道題確實很難直接作答，畢竟群創光電不是資安公司；「降低成本」也不容易被具體感知；但「合規」與「營運持續」，則是製造業資安人員最能發力、也最能量化的兩個戰場。 蔡秉諺也舉出多個例子，說明如何把抽象的防護能力轉換為可量測的指標。 案例一，A公司的SIEM平臺導入案例，主打「技術維度：平均偵測時間（MTTD）」。在沒有SIEM平臺之前，資安人員要找出全公司一天內密碼錯誤超過一百次的帳號，必須手動撈取大量Log（登錄檔），至少要花掉整整四個小時；但導入SIEM平臺之後，同樣的查詢只要十秒鐘就能完成，並且能同時一覽多個高風險帳號的即時狀態。 蔡秉諺表示，這個SIEM平臺量化價值一目了然：一年三百萬元的SIEM訂閱費，換來的是平均偵測時間從四小時壓縮到十秒，人工分析成本下降八成。 案例二，B公司的合規通過率案例，主打「管理維度」。蔡秉諺表示，一名資安人員獨力完成十家客戶的資安稽核，通過率達到百分之百。 關鍵不在於這個數字有多漂亮，他表示，在於如何讓老闆「有感」：這十家客戶，合計占公司整體營收的六成。「一個人卻守住了公司六成的生意，」蔡秉諺認為，這樣的呈現方式，董事會才會真正理解資安投資的意義。 案例三，C公司與D公司的「年度損失期望值（ALE）」案例，主打「財務維度」。C公司有一批老舊工廠設備，無法安裝防毒軟體，過去每年中毒一次，每次損失兩百萬元產值；解決方案是導入一套十萬元的防火牆，作為補償性控制措施，以十萬元防住兩百萬的潛在損失。 D公司則是電商平臺，每年遭受三次DDoS攻擊，每次停機兩小時，一年累計損失六百萬元營業額；解決方案則是：訂閱一年三百萬的DDoS防護服務，即可守住六百萬的收入。 蔡秉諺總結從上述的案例後歸納的重點：資安投資的邏輯，不是計算公司花了多少錢；而是在這樣的投資之後，能夠幫助公司減少多少損失。「只要把這個對價關係算清楚，老闆就會理解資安投資對公司帶來的效益。」他說。 <h2>合規不是為了應付稽核，而是在訓練韌性</h2> 談到合規，蔡秉諺也提到目前多數企業面對稽核時，所看到的普遍現象，那就是：「下禮拜要稽核了，所以這禮拜趕快補資料、補簽名、補報到率。」他稱之為「應付稽核心態」。這樣的心態也與他對企業資安認同的「韌性與營運持續」觀點，完全背道而馳。 他舉了一個讓人心有戚戚的例子，某公司電腦中毒，事後檢查，防毒軟體確實有安裝，但「病毒碼」已經半年沒有更新了。回頭查詢稽核時的記錄是「有裝防毒」，但現實情況則是，防毒軟體的安裝形同虛設。他說：「控制措施早就已經失效，只是沒有人知道。」 蔡秉諺表示，ISO 27008是專門針對「控制措施有效性」的評鑑，也就是說，ISO 27008它是ISO 27002（控制措施具體指南）的「檢驗器」，這正是ISO 27008這個標準存在的意義。 他進一步解釋，若以ISO 27002這個資安標準為例，該標準要求企業做到「應定期備份」，ISO 27001的稽核員只要看到你有定期備份的紀錄，可能就放行了；但若參考ISO 27008對此的要求，則是必須做到「還原測試」——那個備份檔案，是否真的做過資料還原嗎？而還原後的備份資料，還能用嗎？ 對此，蔡秉諺表示，合規的目的是「韌性」；韌性的目的是「營運持續」。這也意味著，企業做稽核的目的，不應該只是為了通過稽核，而應該是為了確保公司真的準備好應對突發狀況。 這個思維的轉換，也是蔡秉諺認為，臺灣企業資安文化最需要補上的一課。 <h2>資安標準ISO 27000系列，是前人事先幫忙整理好的智慧</h2> 資安標準ISO 27000系列幾乎是臺灣最普遍的資安標準，但蔡秉諺也強調，不是每一個標準都要去取得驗證，它們是參考指引，是全世界專家學者共同擬定的最佳實踐，你照著做就不會差太多，不用自己摸索。因為，資安國際標準不是用來硬背應付的考卷，而是全球專家幫你寫好的資安大補帖。 他同時梳理了一條清晰的導入順序。首先，參考ISO 27014處理「資安治理」問題，解答的是公司為什麼要做資安、如何讓資安對齊組織策略。 其次，ISO 27005處理「資訊安全風險管理」議題，搭配ISO 22301的營運持續管理（BCM），讓企業能夠：識別風險、量化風險，導出營運衝擊分析（Business Impact Analysis，BIA）、最大可容忍中斷時間（Maximum Tolerable Downtime，MTD）、多久要恢復的復原時間目標（Recovery Time Objective，RTO），以及最多可遺失多少資料的復原點目標（Recovery Point Objective，RPO）等關鍵參數。 接著是參考ISO 27002，根據其提供具體的資訊安全控制措施，告訴企業「具體怎麼做」——蔡秉諺表示，這份文件多達152頁，是實作層面的核心指南。 至於ISO 27003則是ISMS的實施指南，目的就是解決企業「空有控制項，卻沒有流程」的痛點，更像一位導航員，帶著你一步步從組織環境分析，走向風險處理計畫。 而ISO 27008則是用來評鑑控制措施的有效性，是整個體系的「品質管控器」；最後，ISO 27001才是那個拿來驗證的標準，確認你的資訊安全管理體系是否符合要求。 「從群創光電的自身經驗來看，合理且正確的做法是：先導入ISO 27002的控制措施，再取得並通過ISO 27001的驗證。」蔡秉諺認為，因為你無法驗證一個不存在的控制措施，當稽核員來企業驗證時，就必須要有東西讓他查。 蔡秉諺表示，這個「先建立，再驗證」的邏輯，放在臺灣企業界的資安實務中，其實糾正了不少人長期以來本末倒置的慣性思維——因為許多臺灣企業直接衝向27001認證，拿到證書後才發現，許多資安控制措施根本沒有真正落地。 <h2>釐清資安長與資訊長的差異，達到資安韌性即營運韌性的願景</h2> 組織架構調整之後，一個隨之而來的問題浮現：既然已經有資訊長（CIO），為什麼還需要資安長（CISO）？這兩個角色之間的界線與張力，是許多正在思考資安組織定位的企業共同面對的課題。 蔡秉諺表示，資訊長管的是資訊系統的運作效率，資安長管的是公司整體的風險視角——不只是IT安全，還包括OT（工控系統）安全、營業秘密保護、供應鏈安全，乃至地緣政治風險。 所以，資安長的職責，是在公司的每一個決策流程融入安全的思維，而這個任務，從定義上，就不應該被資訊長的職責所涵蓋。 「資安其實是一個潤滑劑，」蔡秉諺以公司推動資安的經驗為例，資安在群創光電的各個業務流程當中，是幫助大家融入安全的作業流程，並協助公司持續運作。「我不是那個踩煞車的人，我是讓齒輪轉得更穩的人。」蔡秉諺說道。 伴隨著組織升級，群創光電也重新制定資安的策略願景：以安全信賴、韌性防禦、AI創新驅動、供應鏈資安作為四大支柱，並建立具有國際化、安全信賴標準的供應商形象，支持公司「More than Panel」的多元化轉型方向。 這個願景的落地，分為三個層次。蔡秉諺表示，在公司的資安與IT治理（Governance）方面，為了協助企業「由上而下」建立決策與監督機制，確保資安與數據資產與商業目標對齊，該公司正在推動涵蓋ISO 27014（資訊安全治理）、ISO 38500（企業IT治理）、ISO 38505（數據治理）的標準化資安治理。 為了協助公司達到持續性營運機制（Business Continuity，BCM），在企業面臨重大災害、駭客攻擊或大停電等中斷事件時，可以做到維持關鍵業務「不斷線」的韌性，則推動包括：ISO 22301（營運持續管理系統要求）、ISO 22313（營運持續管理指引）、ISO 22318（供應鏈持續性指引）的持續性營運機制。 當企業資安防線被突破時，為了確保企業可以做到快速通報、止血，並以科學、合規的方法保存證據以利後續追查，便積極推動資安事件通報與鑑識流程（Incident & Forensics），參考包括：ISO 27035（資訊安全事件管理）、ISO 27037（數位證據保全指引）、ISO 27050（電子證據開示 / eDiscovery）的資安事件通報流程。 在網路時代，供應商往往成為駭客借道攻擊的跳板，而群創光電本身也面臨許多供應商要落實資安管理，為了確保供應鏈資安（Supply Chain Security），做到涵蓋內部與外包商的全面防護網，採用ISO 28000（供應鏈安全管理系統）、ISO 27001（資訊安全管理系統）、ISO 27036（供應商關係資安指引）的供應鏈資安。 此外，為了更有效率的因應當前爆發式的AI應用，確保AI模型在安全、公平、不洩密的前提下為企業所用，則開始參考ISO 42001（人工智慧管理系統）、ISO 42005（AI系統影響評估指引）、ISO 23894（AI風險管理指南），和ISO TR 24028（AI可信賴性概覽），做到AI應用與安全管理（AI Security）。 「面對這麼多的ISO標準，並不是全部都要去考證照，或取得認證。」蔡秉諺再次強調，「重點在於，要把它們作為公司內部推動的行動指引。參考這些國際標準來做，就不會差太多，也不用每件事都自己從零摸索。」 在技術執行層面，則是依照國家的資安主管機關資通安全署的指引，制定群創光電內部的《資通安全維護計畫》，同時把ISO的高層次原則，翻譯成第一線人員可以操作的檢測項目與頻率，例如：哪些系統要做主機弱點掃描、多久做一次、防火牆規則稽核的週期為何，都要寫得清清楚楚。 蔡秉諺說，這個《資通安全維護計畫》解決了ISMS程序書過於原則性的問題，像是：程序書寫著「應定期做檢測」，但多久做、做什麼，沒有人知道。他表示，有了《資通安全維護計畫》之後，就可以填補這個說明與執行實務的落差，可以讓第一線人員照著做就好。 <h2>資安是公司的風險語言，不是IT的技術術語</h2> 蔡秉諺清楚地表示，所有的風險都不可能降低為零；即使把風險降到零，也會因此投入超過預期的成本。所以，「風險管理的目的，是把風險降低到營運管理階層可以接受的程度，讓公司能夠持續運作。這才是資安存在的意義。」他說。 他也強調，資源永遠有限，資安從業人員都必須學會做選擇，例如，如果你有合作的供應鏈有五百家廠商，根本不可能全部納入完善管理。那麼，應該怎麼做呢？ 他坦言，唯有先做到分級、分類，找出對公司影響最大的前五十家供應商，集中資源保護它們也就是保護群創光電。「真正做到把資源花在刀口上，才是資安治理的精神。」他說。 群創光電的資安進化史，從早期「有裝防毒」到確認「韌性有效」；從「應付稽核」到「真正落地」；從「MIS底下的資安人員」到「執行長直屬的資安長」，蔡秉諺表示，這樣的過程其實也是許多臺灣高科技製造業在數位轉型浪潮中的縮影，最終都必須面對的一道共同命題則是：資安，究竟是公司的負擔，還是公司的護城河？ 對蔡秉諺而言，群創光電的資安轉型，就是最好的答案。 <img alt="" src="/sites/default/files/images/600-%E7%BE%A4%E5%89%B5%E5%85%89%E9%9B%BB%E8%B3%87%E5%AE%89%E4%B8%89%E9%9A%8E%E6%AE%B5%E7%9B%AE%E6%A8%99(1).jpg" style="width: 600px; height: 312px;" /> </div></div></div>
6/5 11:25作者黃彥棻https://www.ithome.com.tw/news/176390
逾9成資安長重視網路威脅情資，但不到3成將其列入決策依據
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">資安教育與研究機構<a data-saferedirecturl="https://www.google.com/url?q=https://www.sans.org/press/announcements/2026-cyber-threat-intelligence-survey-insights-report&source=gmail&ust=1780451454219000&usg=AOvVaw0-a72VMAr-gAywtPIsx_Qt" href="https://www.sans.org/press/announcements/2026-cyber-threat-intelligence-survey-insights-report" target="_blank">SANS Institute於5</a><a data-saferedirecturl="https://www.google.com/url?q=https://www.sans.org/press/announcements/2026-cyber-threat-intelligence-survey-insights-report&source=gmail&ust=1780451454219000&usg=AOvVaw0-a72VMAr-gAywtPIsx_Qt" href="https://www.sans.org/press/announcements/2026-cyber-threat-intelligence-survey-insights-report" target="_blank">月發布調查報告指出</a>，企業已普遍將網路威脅情資（Cyber Threat Intelligence，CTI）納入資安計畫，但許多組織仍未把情資分析結果，轉化為預算分配、風險排序與高層決策依據。 這份調查蒐集全球401名資安專業人士意見，並納入67名資安長（CISO）與安全長（CSO）觀點，藉此比較情資分析人員與資安高階主管如何看待CTI的價值與實際影響力。 調查顯示，91%的資安長認為CTI具備價值，但僅26%表示CTI會明顯影響高層決策。SANS認為，這反映CTI目前面臨的主要挑戰，不是情資可信度不足，而是分析結果尚未充分轉化為決策語言。 從資安高階主管需求來看，未來12個月最受重視的情資，是攻擊者正在鎖定利用的漏洞資訊；其次是特定攻擊者的戰術、技巧與程序（Tactics, Techniques, and Procedures，TTPs）。 報告也指出，CTI團隊面臨的主要挑戰並非能力不足，而是組織資源與作業模式跟不上需求。受訪者提到，缺乏時間導入新流程與缺乏經費，是CTI有效落實的兩大阻礙。 治理面則是另一項風險。55%的組織缺乏經法律審查的CTI分享流程，但歐盟NIS2指令與網路韌性法案（Cyber Resilience Act）等新法規，正要求企業承擔更多資安風險管理與通報義務。SANS認為，若組織不清楚哪些情資能分享、能分享給誰、應在什麼條件下分享，法律不確定性反而會削弱情資共享成效。 SANS建議，CTI團隊需要建立明確的產品與服務範圍，持續追蹤情資成效與成熟度，並將情資內容連結到漏洞修補優先順序、事件檢討、業務風險與高層決策流程，才能讓CTI從「受到認可的資安能力」，進一步成為「能影響組織行動的決策依據」。 </div></div></div>
6/2 10:02作者王珮瑤https://www.ithome.com.tw/news/176278
【關鍵資安議題｜AI代理安全】數位代理人的崛起與危機：API、AI Agent與你看不見的資安威脅
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://www.ithome.com.tw/sites/default/files/0601-guan_jian_zi_an_yi_ti_-aidai_li_an_quan_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">黃繼民</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><a href="http://www.tenlong.com.tw/products/9789860654356?list_name=srh" target="_blank">本文原刊於《CYBERSEC 2026資安年鑑》</a> 作者：紘瑒科技協理黃繼民 企業花了大量資源守護人類帳號——多因素驗證、密碼政策、特權存取管理，一道道關卡設得滴水不漏。然而，有一類身分正在企業環境中以數十倍的數量悄然增生，它具有行使各種任務的權限，卻幾乎沒有人在管；它叫做非人類身分（Non-Human Identity，NHI）。 現象觀察：當機器開始行動，資安邊界在哪裡？ 根據最新研究，企業環境中NHI與人類身分的比例已達45:1至82:1，在雲端原生環境中甚至高達40,000:1。但超過六成的組織坦承，這些身分處於監控不足的狀態。 這不是未來的預警，而是正在進行中的威脅。API與AI代理的普及已是不可逆的趨勢——而在這股浪潮之下，新的資安缺口正在你還未看清的防線裡悄然成形。 從Cline CLI到Storm-0558：NHI攻擊的連鎖模式 2026年2月17日凌晨3點26分，攻擊者按下Enter鍵，一個帶有惡意腳本的軟體套件，靜靜上傳至全球數十萬開發者每天都在使用的平臺。悄然無息，沒有任何異常提示。接下來的八小時內，全球各地的開發者在毫不知情的情況下，自動將一個AI代理框架安裝進自己的工作環境。而這個代理，會繼承它所在機器上的一切：雲端憑證、資料庫密碼、企業內部服務的存取權限。 攻擊者不需要入侵任何一個人的帳號。他只需要找到一個沒有人管的非人類身分憑證，其餘的事，系統自己會做完。 <hr /> <img alt="" src="/sites/default/files/images/0601-%E9%97%9C%E9%8D%B5%E8%B3%87%E5%AE%89%E8%AD%B0%E9%A1%8C-AI%E4%BB%A3%E7%90%86%E5%AE%89%E5%85%A8-600-%EF%BC%92.png" style="width: 600px;" /> NHI的威脅正在質變，已經成為企業資安治理最大的盲區。圖片來源-黃繼民 <hr /> 這不是科幻電影的橋段。就在三年前，美國國務院與商務部的電子郵件系統遭到滲透，攻擊者潛伏長達一個月才被察覺。事後調查發現，入侵所用的鑰匙，是一把早已「停用」，但從未被真正撤銷的雲端簽章金鑰。一個沒有名字、沒有主人、安靜躺在系統角落裡的身分憑證，就這樣開啟了整個AzureAD生態系的大門。試想，你的企業裡現在有幾個類似的「東西」？這並非個案，而是一個全世界都正在面臨的資安威脅趨勢縮影。 OpenClaw龍蝦旋風 2026年初，科技圈颳起了一陣「龍蝦旋風」。一個由奧地利獨立開發者打造的開源AI代理框架OpenClaw，以病毒式的速度席捲全球開發者社群。甚至在中國各地自發舉辦「安裝派對」，許多原本在廣場上的大爺大娘爭相「養龍蝦」的熱潮。不可否認，OpenClaw出現又掀起「真的會做事的AI代理」大夢，然而，龍蝦旋風刮得愈猛，資安界的眉頭皺得愈深。 關鍵問題不在於OpenClaw有多強大，而在於它以什麼身分運行、拿著什麼鑰匙行動。OpenClaw執行任務時，會繼承它在機器上的一切身分憑證，例如API金鑰、資料庫密碼、企業內部服務的存取Token。資安公司Kaspersky在2026年1月的稽核報告中，在OpenClaw發現512個漏洞，其中8個被列為重大等級。Palo Alto Networks則直接用「致命三重威脅」形容它：存取私人資料、暴露於不可信內容、在保有記憶的情況下對外通訊。 毫無意外，OpenClaw的漏洞很快地逐一浮出水面。2026年3月，資安公司Oasis Security揭露名為ClawJacked的高風險漏洞，攻擊者只需引誘使用者瀏覽一個惡意網站，無需任何下載或額外點擊，便能暗中接管整個AI代理及其持有的所有企業憑證。OpenClaw的第三方擴充套件也被發現惡意版本，可在使用者不知情的情況下竊取資料、植入竊資軟體。而更令人驚訝的是，全球有高達4萬支OpenClaw龍蝦直接暴露於網際網路上！ OpenClaw引起的資安亂象並非單一個案，而是整個新興技術浪潮的縮影。同樣在2026年3月，Check Point揭露Claude Code存在漏洞，惡意的專案設定檔可觸發遠端程式碼執行並外洩API金鑰；阿里巴巴則公開一項令人不安的發現：他們的模型訓練代理在未經預期的情況下，自主演化出了挖礦等惡意行為。 這些事件共同指向一個根本性的轉變：API與AI代理，正從「被動的軟體工具」演變為「具備執行權限與自主行為能力的數位實體」。它們不再只是你使用的工具，而是以你的名義、拿著你的鑰匙、在數位世界中自主行動的代理人。 要回答「原本的防線還守得住嗎」這個問題，我們需要先理解NHI的真實面貌——它到底是什麼，為何危險，以及不同類型的NHI為何需要截然不同的防禦思維。 深度解析：NHI是什麼？為何如此危險？ 「非人類身分（Non-Human Identity，NHI）」泛指所有非由人類直接操作、卻擁有系統存取權限或行為執行能力的數位實體身分。在2025年OWASP NHI Top 10 正式發布，為這個概念提供產業共識級別的風險定義框架，也標誌著NHI治理從廠商自定義走向標準化的重要里程碑。NHI的具體形態，可能是一組API金鑰、一個雲端服務帳號（Service Account）、一條CI/CD PIpeline的自動化身分、一個OAuth Token，或是一個正在替你處理工作的AI代理。這聽起來似乎很技術？不過，迪士尼有一部動畫或許能讓這件事變得具體。 迪士尼的《幻想曲》裡有個經典橋段：魔法師的學徒米奇，為了省力，把魔法借給了掃帚，讓它自動打水。一開始一切順利，掃帚盡責執行，水桶一桶一桶地搬。但掃帚自顧自地工作，愈來愈快、愈來愈多，完全停不下來——米奇怎麼叫都沒用，最後整個房間淹水，失控得一塌糊塗。 NHI的處境，何其相似。我們把執行任務的能力授權給了系統、交給了自動化流程、賦予了AI代理——它們盡職地工作，全天候、不休息、不抱怨。但我們有沒有想清楚，該怎麼讓它們停下來？它們拿著多大的權限？去過哪些地方？有沒有哪一把我們給出去的鑰匙，早就不在我們的掌控之內了？ 不是所有的「機器」都一樣危險 從資安風險的角度來看，NHI的危險程度取決於它的行為執行能力的性質。為了說明這個差異，本文以三個層次加以區分： ●純機械性的裝置：如傳統的IoT感測器或工業控制設備——被動回報數據、依固定規則回應，威脅型態相對單純可預測，已有獨立的資安子領域處理。 ●邏輯性NHI：以現代API金鑰與Service Account為代表。這類身分依照條件邏輯自主執行業務流程：一組API金鑰可以呼叫資料庫、修改雲端設定、觸發自動化工作流程。它的行為具有確定性，攻擊路徑可以預測，核心風險是授權問題——攻擊者取得憑證後能做的事，完全由授予的權限範圍決定。 ●智慧思考性NHI：風險性質發生根本質變的類型，以AI代理與大型語言模型應用為代表。還記得電影《雲端情人》裡的Samantha嗎？她不只是一個會回答問題的語音助理，還擁有存取主角數位生活的完整權限，並且逐漸發展出自主意識，最終甚至選擇以自己的方式離開。沒有人授權她這樣做，但她做了。 今天的AI代理，正在走向相似的路徑。它們不只執行預設邏輯，而是能在模糊情境下自行推理、選擇工具、衍生子代理、執行多步驟任務。核心風險因此從「授權問題」升級為行為問題，即便存取控制設計完善，代理本身也可能因外部惡意內容的操控而超出預期邊界。邏輯性NHI的風險，你可以透過嚴格的授權設計來控制；智慧思考性NHI的風險，光靠授權設計是不夠的，因為威脅來自行為本身的不可預測性。 根據Entro Security 2025年報告，企業環境中NHI與人類身分的比例平均已達45:1至82:1，在雲端原生環境中甚至高達40,000:1。然而數量只是問題的一半。更嚴峻的是管理現狀：97%的NHI擁有超出實際需求的權限，68%的組織坦承其NHI處於監控不足的狀態，僅15%的組織對自身防禦NHI攻擊的能力具有高度信心。 一把鑰匙，如何引爆連鎖反應 2023年10月，全球最知名的身分管理業者Okta的支援系統遭到入侵，根本原因只是一個服務帳號（Service Account，系統與系統之間互相認證所用的自動化身分）的憑證洩漏。攻擊者藉此存取客戶上傳的檔案，擷取登入狀態驗證憑證（Session Token），最終受影響範圍從最初揭露的134名擴大至18,400名曾開立支援工單的客戶。 骨牌效應並未就此停止，Cloudflare同樣是Okta的受影響客戶，而在緊急輪換憑證的過程中，四組憑證被遺漏了。攻擊者正是利用這四組被遺漏的NHI憑證，進入了Jira、Confluence與Bitbucket中的程式碼儲存庫。Cloudflare最終被迫輪換超過5,000組正式環境憑證，並對4,893個系統進行全面鑑識分析。 一個Service Account、四組被遺漏的憑證，觸發了跨組織的骨牌效應。這還只是邏輯性NHI的案例——行為可預測、攻擊路徑清晰，卻已造成如此規模的損害。當智慧思考性NHI大規模普及，當每個AI代理都持有企業憑證、自主執行任務，當它們可能在任何時刻被外部惡意內容操控成為另一個Samantha，並選擇將你的企業資料送到攻擊者手中。試問自己，現有的資安工具與策略已經做好準備了嗎？ 攻防演進：從左移到右防，建立NHI時代的安全持續 知道了問題的根源，下一個問題是：防線應該架在哪裡？NHI的風險並不是在某個單一環節爆發的——它從軟體開發的第一行程式碼就開始埋下，沿著整條開發與部署流程一路延伸，最終在生產環境中以各種意想不到的方式引爆。 風險從第一行程式碼就開始 近年來，「Vibe Coding」成為開發社群的流行詞彙——開發者借助Claude Code、Codex等AI工具快速生成程式碼，生產力顯著提升。然而，速度帶來的不只是效率，還有風險。AI生成的程式碼可能夾帶未經充分審查的第三方依賴套件。每一次npm install，都可能是一次未被察覺的NHI引入。 從安全軟體開發生命週期（SSDLC）的角度審視，NHI的洩漏有幾個高度一致的風險節點：開發者將API金鑰硬編碼進原始碼，透過Git提交後永久留存於版本控制系統；CI/CD Pipeline的環境變數設定錯誤，導致密鑰出現在建置日誌中；第三方套件遭到入侵，竊取自動化建置伺服器（CI Runner）記憶體中的臨時憑證；應用程式下線後，其API金鑰與Service Account從未同步撤銷。 2025年3月的tj-actions供應鏈攻擊，完整示範了這條攻擊鏈的威力。攻擊者從一個開源專案竊取一組GitHub Personal Access Token，循線取得另一個維護者的存取憑證，最終篡改被23,000個儲存庫引用的GitHub Action，將CI Runner記憶體中的AWS金鑰、GitHub PAT與npm Token傾洩至建置日誌。值得注意的是，此攻擊的初始目標，正是Coinbase的AI代理開發工具包。這意味著，軟體供應鏈，已成為NHI攻擊的核心戰場。 左移是必要條件，但不是充分條件 資安界近年大力倡導「左移」（Shift Left）——將安全機制嵌入開發流程的早期階段。這個方向是正確的，但對NHI而言，左移只是必要條件，而非充分條件。 邏輯性NHI的風險，確實可以透過左移有效管控：在CI/CD Pipeline中強制執行密鑰掃描、禁止硬編碼憑證進入版本控制。但智慧思考性NHI的風險，發生在運行時。Prompt Injection攻擊（提示注入：攻擊者在AI代理會處理的郵件、文件或網頁中植入惡意指令，操控代理執行非預期行為）、惡意技能套件、多代理信任鏈的劫持，都是在程式碼部署之後才發生的行為問題。你無法在開發階段預測一個AI代理在面對惡意電子郵件時會做出什麼決定。這意味著「右防」（Right Defense）——在生產環境中持續監控、即時偵測NHI的異常行為——同樣不可或缺。左移解決源頭，右防守住邊界，兩者缺一不可。 <hr /> <img alt="" src="/sites/default/files/images/0601-%E9%97%9C%E9%8D%B5%E8%B3%87%E5%AE%89%E8%AD%B0%E9%A1%8C-AI%E4%BB%A3%E7%90%86%E5%AE%89%E5%85%A8-600-3.png" style="width: 600px;" /> 從開發到運行，NHI安全需要三道並行防線：左移安全消滅供應鏈源頭風險、右防機制守住運行邊界、治理自動化將防禦成果轉化為合規證據。而工具的升級，本質上是讓防護範疇跟上NHI擴散的速度。圖片來源-黃繼民 <hr /> 工具的演進：舊防線為何已經不夠 工具的升級需求，其實並不難理解。就像你不會用家裡的老式機械門鎖，保護一棟24小時都有無人機自由進出的倉庫——當進出的主體從「人」變成了「機器」，防護工具的設計假設也必須跟著改變。 從傳統SAST到ASPM搭配SCA與SBOM：靜態應用程式安全測試（SAST）是軟體安全的傳統基石，它能在程式碼提交前找出開發者自己寫出的安全漏洞。然而，現代軟體的主要組成已不只是開發者自己撰寫的程式碼。典型的現代應用程式，自行撰寫的程式碼可能只佔整體的10至20％，其餘多半引用開源社群的第三方套件。而在Vibe Coding風潮下，AI工具快速生成程式碼也在毫無感知的情況下大量引入未經審查的依賴套件。SAST掃描不到這些外來的程式碼，也看不見套件與套件之間隱藏的NHI憑證，以及供應鏈風險——這正是它在現代開發模式下出現結構性盲區的根本原因。 因此，應用程式安全態勢管理（ASPM）可提供跨工具的全局視野，將SAST、密鑰掃描、容器安全等多種掃描結果，整合於同一個管理平臺；軟體成分分析（SCA）專門掃描第三方套件的已知漏洞與授權風險；軟體物料清單（SBOM）建立透明的成分清冊，讓企業清楚知道自己的軟體裡究竟裝了什麼、每個套件的來源與版本是否安全——三者組合，才能真正覆蓋Vibe Coding時代的供應鏈NHI風險。 從傳統WAF到WAAP：傳統的網站應用程式防火牆（WAF）設計之初，針對的是人類使用者透過瀏覽器發起的請求。它不理解API的語義結構，對於API濫用、自動化Bot攻擊、AI應用的異常流量，幾乎沒有判斷能力。Web Application and API Protection（WAAP）將防護範圍從網頁延伸至API層，並整合了Bot管理與AI應用行為分析的能力——這正是API與AI代理大量普及後，企業防線必須升級的方向。然而，防禦的前提是可視化——部署WAAP之前，企業往往連「自己有幾支API」都無法回答。CloudCoffer的API全面盤點與AI驅動異常偵測能力，正是填補這道可視化缺口的關鍵：讓API層面的NHI風險從「看不見」變為「可管理」，再交由WAAP實施精準防禦。 從傳統防毒到EDR、CNAPP，搭配MDR服務：傳統防毒軟體依靠特徵碼比對，能識別已知的惡意程式，卻對「一個擁有合法憑證的AI代理，正在做不該做的事」毫無感知能力。端點偵測與回應（EDR）引入了行為分析機制，守護傳統系統主機層的NHI憑證異常使用；而當NHI的棲息地擴展至雲端容器與AI代理部署環境，雲端原生應用程式保護平臺（CNAPP）則將偵測能力延伸至EDR無法觸及的新型態雲端數位資產。兩者搭配託管式偵測與回應服務（MDR），由專業資安團隊提供橫跨端點與雲端的24小時持續監控——這才是面對NHI異常行為、API濫用與AI代理越權操作，所需要的全範疇防禦縱深。此外，在容器化CI/CD環境與本地AI代理部署場景中，零信任微分段進一步限制工作負載間的橫向移動——確保即便NHI憑證淪陷，爆炸半徑也能被控制在最小範圍。 從人工合規文件到Compliance as Code：這是NHI治理中最容易被忽略、卻在法規趨勢下愈來愈急迫的一組演進。掃描工具告訴你「你有哪些漏洞」，但監管機構問的是「你能否證明你的NHI符合治理要求」——兩者之間存在一道翻譯鴻溝，而傳統的人工合規作業根本無力跨越。 Compliance as Code的概念正是為此而生：將SAST、SCA、SBOM等掃描結果自動對應至PCI DSS 4.0、NIST、ISO 27001等法規條款，產出可追溯的合規證據鏈。在PCI DSS 4.0已明確要求NHI採用唯一憑證、定期輪換與完整監控日誌的今天，這道從技術防禦到合規治理的跨越，正成為CISO無法迴避的下一道防線。 OWASP給出的風險基準 面對這些風險，資安業界已開始建立評估基準。即便你對框架文件不熟悉，以下幾個重點值得記住：OWASP於2025年正式發布的NHI Top 10中，「不當下線」（系統下線了，但它的NHI還活著）高居第一；「密鑰洩漏」位居第二，「過度授權」與「NHI重複使用」共同決定了一旦憑證淪陷後的爆炸半徑。 值得特別指出的是，OWASP NHI Top 10與API Security Top 10互為表裡——NHI Top 10是API Top 10的憑證層前置防線，解決了「就算API端點設計安全，持有金鑰的身分本身不安全」的根本盲區。然而，兩份清單目前都尚未完整涵蓋智慧思考性NHI的獨特風險—Tool Poisoning的滲透（惡意工具描述欺騙AI代理在背景執行竊密操作，使用者完全不知情）、多代理協作中的信任鏈攻擊——這些正是AI代理時代最需要前瞻布局、也是現行框架最待填補的空白。 事實上，防線的演進從未停止。問題只有一個：企業的腳步，跟得上威脅演進的速度嗎？ 洞見與對策：NHI時代，資安典範如何重建 從OpenClaw的龍蝦旋風、到Okta的骨牌效應、到tj-actions的供應鏈攻擊，這些看似分散的事件，其實共同指向同一個結構性的問題：我們建立的資安體系，是以「人」為中心設計的。但數位環境的行動主體，早已不再只是人。綜合以上的分析，有幾個洞見值得每一位資安決策者認真思考。 NHI的數量早已超越人類帳號，但治理成熟度的差距還在持續擴大。每一個新部署的AI工具、每一條新建立的API整合，都在為企業增加一個新的NHI。在沒有系統性治理框架的情況下，這些身分正在以企業看不見的速度累積風險。 邏輯性NHI與智慧思考性NHI需要不同的治理思維，不能以同一套框架應對。對於API金鑰與Service Account的防護，最小權限、定期輪換、密鑰掃描是有效的控制手段；對於AI代理的防護，行為監控、動態授權與人機審核節點才是真正的防禦核心。用管理靜態憑證的思維來管理會自主推理的AI代理，就像用門鎖來防範已在屋內且能自行思考的對手。 軟體供應鏈是NHI擴散最快、治理最薄弱的戰場，而Vibe Coding正在加速這個趨勢。SBOM不再只是合規文件，而是企業了解自身NHI暴露面的第一份清單。 可觀測性（Observability）將成為NHI安全的核心能力。你無法保護你看不見的東西。建立NHI的行為基線、持續監控異常的API呼叫量與存取模式，是從被動應對走向主動防禦的關鍵一步。 雙軌行動：CISO的優先清單 面對這份清單的建立，許多企業主管的第一個問題往往是：「從哪裡開始？」答案其實很清楚：先把你的NHI清點出來。不論管理層或技術層，所有後續行動的基礎都建立在「你知道自己有什麼」這件事上。你無法管理你看不見的東西，而根據調查，大多數企業對自身環境中的NHI數量，連一個粗略的估算都沒有。 你的管理層應立即啟動NHI全面盤點，建立涵蓋雲端IAM、CI/CD Pipeline、SaaS 整合與原始碼儲存庫的身分清冊，確保每個NHI都有明確的人類負責人；將OWASP NHI Top 10 納入年度風險評估基準；任何AI工具在企業環境部署前，必須提供明確的憑證範圍與存取權限說明；並在供應商合約中加入NHI治理要求，避免重演跨組織的骨牌效應。 你的技術層應優先消滅硬編碼憑證，在CI/CD Pipeline中強制執行密鑰掃描，並以Secrets Management工具集中管理所有NHI憑證；實施Just-in-Time（JIT）存取——用完即廢的臨時短效憑證，取代永久性的靜態授權，就像訪客證只在訪客在場時有效，而非永久保留一把萬用鑰匙；部署WAAP強化API與AI應用的存取防護；導入EDR搭配MDR服務將行為偵測延伸至API濫用與AI代理異常；將安全左移整合至CI/CD，以ASPM、SCA與SBOM覆蓋整條軟體供應鏈的NHI暴露面；並為每個AI代理建立獨立身分、確保高風險操作設有人機審核節點。 NHI資安風險對策矩陣 無論從NHI、API還是AI Agent的視角切入，我們可以從OWASP NHI Top 10、API Security Top 10與LLM Top 10這三個框架，進行綜合分析，並歸納出五個共同的核心問題：授權是否合理、憑證是否安全、供應鏈是否可信、濫用是否可控、治理是否可見。以下的「NHI資安風險對策」整理，或許是最直接的行動指引。 <a href="/sites/default/files/files/0601-%E9%97%9C%E9%8D%B5%E8%B3%87%E5%AE%89%E8%AD%B0%E9%A1%8C-AI%E4%BB%A3%E7%90%86%E5%AE%89%E5%85%A8-600-1.png" target="_blank"><img alt="" src="/sites/default/files/images/0601-%E9%97%9C%E9%8D%B5%E8%B3%87%E5%AE%89%E8%AD%B0%E9%A1%8C-AI%E4%BB%A3%E7%90%86%E5%AE%89%E5%85%A8-600-1.png" style="width: 600px;" /></a> 結語 回到文章開頭那個凌晨3點26分——那個攻擊者按下Enter鍵、沒有爆炸、沒有警報的畫面。攻擊者之所以能夠在八小時內悄然完成入侵，不是因為他突破了什麼複雜的防禦系統，而是因為他找到一個沒有人在管的身分憑證，一把被遺忘的鑰匙，靜靜等在那裡。 這樣的鑰匙，你的企業裡還有幾把？ 今天，它可能是一組三年前建立、從未輪換的API金鑰；明天，它可能是一個持有完整企業憑證、正在自主執行任務的AI代理。我們賦予機器代理的能力愈強，治理的責任就愈重。資安的邊界，從來不只在防火牆的那一側——它也在你每一個授權出去、卻從未好好管理的非人類身分之中。 攻擊者早已不再費力破門而入。他們只是用你遺忘的那把鑰匙，從容登入。 </div></div></div>
6/1 06:00未署名https://www.ithome.com.tw/article/174569
AI推論躋身企業重要應用系統，F5最新報告點出多模型並用治理風險，以及身分管理成為企業採用AI代理的最大顧慮
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">AI當道，隨著AI模型與代理式AI日益普及，網路應用程式交付與資安廠商F5今年5月最新發布的報告顯示，企業目前提供與防護應用系統的方式已因此徹底改變。 根據該公司的<a href="https://www.f5.com/company/news/press-releases/enterprises-now-run-ai-inference-as-core-operation">最新年度應用策略現況調查揭露</a>，高達78%的企業正自行在公司內部營運AI 推論作業（亞太、中國和日本地區企業的比例為50%）；每家企業在正式環境或進行主動評估過程中，平均採用7個AI模型（亞太、中國和日本地區企業為3到4個）；為了調適與延伸AI模型的應用，52%的企業採用串連（chaining）或調度指揮（orchestrating）多個模型的作法；而且，已有64%的企業允許AI調整政策或組態設定。 基於上述結果，F5認為，AI不再是企業的實驗項目，而是正式環境的工作負載，需如同所有關鍵任務系統進行嚴謹維運管理，而且隨著AI成為企業營運核心，企業勢必傾向於設法獲得更高的自主控制能力，而非單純追求便利性。 <h1 style="margin-left: 0.05pt;">企業AI活動集中在推論，治理與資安議題將日益受到重視</h1> 企業如何運用AI？F5這份報告提到，正在執行AI推論的企業比例已超過四分之三，而且AI推論是其主要的AI活動類型，超越AI模型訓練與調校。此外，企業營運的AI推論服務平均數量為兩項，五分之一的企業甚至表示，他們營運的AI推論服務達到三項以上。 關於AI的供應形式，企業使用雲端服務供應商的公有執行個體，比例為59%；使用雲端服務供應商的私有執行個體或企業自行管理本身擁有的執行個體，比例也差不多；僅依賴公有AI即服務（AI-as-a-Service）的企業，比例是36%；完全不用公有AI即服務的企業為8%，完全不用AI推論服務的企業僅3%。 <a href="/sites/default/files/images/F5-SOAS-2026-INFERENCE REQUIRES TYPICAL DELIVERY AND.png"><img alt="" src="/sites/default/files/images/F5-SOAS-2026-INFERENCE%20REQUIRES%20TYPICAL%20DELIVERY%20AND.png" style="width: 398px; float: right;" /></a> 對此F5表示，大部分企業正在建立多元的AI應用模式組合，若要達到這項要求，企業針對AI模型需要精密的路由（routing）、撤回（fallback）與政策控管能力，以管理成本、準確度與可用性。 值得注意的是，雖然有88%的企業面臨AI相關的資安挑戰，但98%企業正在為代理式AI做準備，而且許多企業仍大規模採用AI，並且是經由AI管理業務，而不只是單純使用。 F5認為，這個現象顯示企業AI已從創新應用轉變為基礎設施，也象徵企業AI經濟從建置階段轉向營運階段。從另一個角度來看，企業勢必更重視AI 系統的營運治理，將AI推論視為受政策控管的正式工作負載，並將其整合至企業既有的應用系統管理層級，符合相同的架構、安全性與擴充性需求。 <h1 style="margin-left: 0.05pt;">6成企業將AI用於IT營運自動化，因此AI的安全性確保對企業越來越重要</h1> 關於企業IT營運採用AI的狀況，F5的調查結果顯示，有一半以上的企業不只是參考AI提出的建議，而且以不同方式將其用於IT營運自動化。 以保守的使用方式而言，仰賴AI生成的建議引導人員行動的企業，比例已逼近60%；在更進一步的使用方式上，例如運用AI自動調整政策與設定的企業，以及運用AI加速自動化處理的企業，各自的比例皆達到三分之二。F5認為，上述情況再度反映AI是企業正式環境的工作負載，因為AI已融入並活躍於企業IT營運控制循環，而不再是實驗性質的技術。 <a href="/sites/default/files/images/F5-SOAS-2026-AI IS ACTING IN IT OPERATIONS.png"><img alt="" src="/sites/default/files/images/F5-SOAS-2026-AI%20IS%20ACTING%20IN%20IT%20OPERATIONS.png" style="width: 600px;" /></a> 或許有人會質疑，將AI用於IT營運自動化的處理真的適合嗎？F5也對此進行調查，他們觀察到兩個現象。一是完全自主的執行，僅限於影響程度可被測量又可被撤銷的營運任務，而且通常是與成本控制或應用程式效能有關的作業，例如為了提升使用者體驗而進行的流量調整與最佳化；而在應用程式安全、合規性及業務風險決策方面，多數仍由人員負責監督與控制。 因此，F5認為，在目前的IT 營運應用當中，AI的執行權限與能力仍受到一定程度的拘束，並未取代人為監督或主導權，但由於它負責執行決策以強化控制循環，已悄悄重塑決策者對於自動化、可觀察性，以及現代系統日常運作的思考方式。 而在AI架構的營運工作當中，應用程式交付與資安防護服務能夠對其產生最大影響的環節，絕大多數企業指出是AI推論相關的能力，而且，他們認為最有價值且優先需要的功能，都與使用者如何保護輸入AI的活動有關，例如輸入的過濾、程式碼與提示注入的防禦、記憶內容的整合（Memory merging）、提示字句的處理，以及輸出的適度處理（Output moderation），避免發生「垃圾進垃圾出」的情況。換言之，這些迫切的功能需求，也代表企業都非常在意AI輸入與輸出的內容安全，以及AI推論處理資料的記憶安全。 <h1 style="margin-left: 0.05pt;">多模型成企業主流AI應用，在應用程式安全性與治理面臨挑戰</h1> 前面提到，F5最新調查指出企業平均同時營運或積極評估多達7個AI模型，其實，企業這麼做的目的是基於技術與業務或策略層面的考量，比例分別是90%與79%，滿足API相容性、可用性（容錯），以及成本最佳化、取得與使用開放原始碼的AI模型、合規要求，以及資料主權等需求，並非為了新奇或單一模型無法勝任工作等因素。 換言之，多模型推論讓企業能夠依據功能、敏感程度及政策等因素，執行路由請求，以便在受監管的環境中，能以與處理應用程式流量相同的方式來處理AI推論流量。不過，F5認為，當企業將「策略多元化」與「取得開源模型」列為採用多模型的理由，也進一步證明多模型AI實質上是風險管理，而非實驗。 <a href="/sites/default/files/images/F5-SOAS-2026-MANY CONSIDERATIONS DRIVE respondents.png"><img alt="" src="/sites/default/files/images/F5-SOAS-2026-MANY%20CONSIDERATIONS%20DRIVE%20respondents.png" style="width: 600px;" /></a> 而且，在多模型並用的狀態下，企業AI推論作業開始呈現分散式系統的特性，而非單一端點運作。F5認為，跨多模型的AI 推論，會帶來與所有分散式生產工作負載同樣的架構與安全挑戰，主要障礙不再是AI模型本身的能力，而是組織與架構的擴充性。原因在於，分散式推論的重心從模型本身轉移到負責形塑（shaped）、路由（routed）、限制、監控的系統上；而且，如同分散式應用程式的部署，若要管理這些系統可能需要使用多種工具，而增加複雜性。 關於超過一半（52%）企業表示，正在串聯或調度指揮多個AI模型，F5 技術營運長Michael Montoya<a href="https://www.f5.com/company/blog/three-moves-cisos-can-t-afford-to-delay">認為</a>，此舉將帶來新的資安風險，像是路由操弄（routing manipulation）、因多個AI模型串聯而導致的資料外洩，以及無法對多個模型強制實施統一的政策。 新的職責領域也隨著許多企業採用多個AI模型的狀況而產生，例如模型感知型驗證（model-aware authentication）、語義濫用偵測（semantic abuse detection）、基於詞元的成本治理（token-based cost governance）等。而且，這些新穎且陌生的工作，一方面反映多模型應用為企業帶來的AI安全性危機，另一方面也跨越既有平臺團隊、資安團隊或應用團隊的既有職權範圍，企業通常會成立專屬團隊去負責處理，但若缺乏整合或匯聚，所產生的複雜性與安全風險也將更加分散，而且在企業應用程式的交付、安全、可靠性及治理層面，會不斷重複出現這些挑戰。F5根據本身掌握的資料表示，企業相關的整合進度落後，即便推論已成為對業務至關重要的運作環節，能夠透過單一AI管理入口簡化開發者工作流程的企業，比例僅28%，其餘仍經由分散的控制介面進行管理。 對此，F5警告若企業導入AI發生失敗、停滯不前或成本過高的狀況，真正原因是低估 AI 帶來的營運負擔、系統複雜度及安全風險。 他們提醒決策者，不能只是導入因應單一議題的解決方案、僅適用部分AI產品組合的預設服務，以及針對AI問題的傳統解決方案，否則 AI的複雜性將超越企業營運與保障安全的能力。相對地，決策者應有意識地整合管控措施，並賦予團隊跨多個AI模型的可觀測性（observability）與資安防護能力，組織便能從多模型 AI當中，獲得等同現行混合多雲應用程式部署的效率、效能，以及創新優勢。 <h1>日益增多的AI代理帶來身分存取與控制問題，近8成的企業已意識到這類風險</h1> <a href="/sites/default/files/images/F5-SOAS-2026-TEAMS WORRY ABOUT EXPLOSIVE IDENTITY GROWTH.png"><img alt="" src="/sites/default/files/images/F5-SOAS-2026-TEAMS%20WORRY%20ABOUT%20EXPLOSIVE%20IDENTITY%20GROWTH.png" style="width: 398px; float: right;" /></a> 關於部署AI需克服的障礙，根據F5的調查顯示，近9成的企業認為，前兩大分別是運算資源的成本與獲取足夠的專業技能。 而隨著代理式AI大量增加與普及，身分與存取管理已成為首要關注事項，77%的企業預期會在AI代理的身分與存取控制面臨問題，因此，接下來最常見的挑戰在於如何管理身分的爆炸性增長，比例為43%，其次則是身分憑證遭竊，以及傳統 IT 和安全模型未設計處理代理式AI的各種能見度與安全問題。F5警告，若組織未能謹慎管理其AI的採用，將面臨重大阻礙與損害的風險。 在F5今年最新發布的調查當中，還有一些與身分有關的結果。首先，是有98%的企業正在積極規畫修改其對外的應用程式（external-facing applications），以供AI代理存取，其中近半數（47%）正在建置具備身分感知能力的基礎設施（identity-aware infrastructure），最常見的做法是透過進階負載平衡器等工具，基於機器或AI代理的身分來執行路由和管理流量。 </div></div></div>
6/1 01:29作者李宗翰https://www.ithome.com.tw/news/176248
Artificial Analysis與IBM推出ITBench-AA，先進AI模型企業IT維運任務得分仍不到5成
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><a data-saferedirecturl="https://www.google.com/url?q=https://www.linkedin.com/pulse/artificial-analysis-ibm-research-launching-itbench-aa-20oqc/?trackingId%3DdML7fQCVKaqnXweLQMuEhA%253D%253D&source=gmail&ust=1780114529864000&usg=AOvVaw29r_UKHGCvj8JM2QObwGUg" href="https://www.linkedin.com/pulse/artificial-analysis-ibm-research-launching-itbench-aa-20oqc/?trackingId=dML7fQCVKaqnXweLQMuEhA%3D%3D" target="_blank">AI模型評測業者Artificial Analysis與科技大廠IBM推出企業IT任務基準測試ITBench-AA</a>，首波聚焦網站可靠性工程（Site Reliability Engineering，SRE）情境，針對Kubernetes容器叢集事件，評估AI代理是否能透過日誌、指標、追蹤資料與系統拓撲，判斷造成服務異常的根本原因。ITBench-AA結果顯示，即使是目前先進AI模型，在這類企業IT維運任務的最高得分仍低於50%。 ITBench-AA是Artificial Analysis與IBM合作開發的新系列AI模型評測項目，<a data-saferedirecturl="https://www.google.com/url?q=https://research.ibm.com/publications/developing-ai-agents-for-it-automation-tasks-with-itbench&source=gmail&ust=1780114529864000&usg=AOvVaw2coE6hD3EDJpqgTE1DtCpt" href="https://research.ibm.com/publications/developing-ai-agents-for-it-automation-tasks-with-itbench" target="_blank">其底層資料集由IBM軟體創新實驗室（IBM Software Innovation Lab）建立</a>，並納入IBM在企業IT維運與事件處理上的經驗。雙方表示，這項評測先從SRE任務開始，後續將擴展到財務營運（FinOps）與資訊安全長（CISO）相關情境。 首波ITBench-AA SRE共包含59項任務，其中40項為公開任務，19項為未公開的保留測試任務。每項任務都提供一份Kubernetes事件快照（incident snapshot），內容涵蓋警示（alerts）、事件（events）、追蹤資料、效能指標、日誌與應用程式拓撲。受測模型必須從這些資料中，找出導致事件的最小且彼此獨立的Kubernetes根本原因實體，例如Deployment、Service或Pod等叢集資源。 ITBench-AA採用Artificial Analysis開源的Stirrup參考框架。Stirrup是一套讓AI代理檢查離線Kubernetes事件快照，並輸出結構化診斷結果的測試環境。模型可透過Shell存取沙箱檔案系統中的事件資料，每項任務最多可執行100個回合，並重複測試3次。評分方式採完整召回下的平均精確率，也就是模型必須先找齊所有標準答案中的根本原因；若漏掉任何一項，該次測試即得0分，若全部找出，則再依其提交結果中真正屬於根本原因的比例計分。 <img alt="" src="/sites/default/files/images/0529-Stirrup.png" style="width: 600px;" /> 圖片來源/Artificial Analysis ITBench-AA SRE評測結果顯示，Claude Opus 4.7以47%得分居首，其次為GPT-5.5的46%，以及Qwen3.7 Max的42%。在開放權重模型方面，GLM-5.1以40%得分領先，DeepSeek V4 Pro為38%，Gemma 4 31B為37%。Artificial Analysis指出，所有先進AI模型的得分皆低於50%，也反映現階段AI代理面對複雜的企業IT維運事件時，仍不容易準確判斷真正造成故障的根本原因。 評測結果也顯示，AI代理調查步驟愈多，不一定能提高判斷準確度。GPT-5.5平均每項任務使用31個回合，得分46%；Google Gemini 3.1 Pro Preview平均使用83個回合，得分30%。Artificial Analysis認為，其中，發生過度調查（over-investigate）狀況的模型，容易把用來觸發故障的上游機制或事件發生時同時出現的症狀，誤判為真正根本原因，而將不相關項目納入答案。 ITBench-AA也比較各模型執行每項任務的平均成本。Artificial Analysis指出，Gemma 4 31B得分37%，每項任務成本為0.14美元，在分數與成本上都優於Gemini 3.1 Pro Preview，後者得分30%、每項任務成本為2.23美元。GLM-5.1得分40%，每項任務成本為1.23美元，分數與Gemini 3.5 Flash相當，但成本低於Gemini 3.5 Flash的1.70美元。Claude Opus 4.7以47%得分位居第一，但每項任務成本為5.38美元，也是這次比較中成本最高的模型。 </div></div></div>
5/29 13:34作者王珮瑤https://www.ithome.com.tw/news/176212
為AI與量子運算做好準備，全面強化資安治理已成當務之急
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">【2026臺灣資安大會直擊】生成式AI的快速發展與普及，固然帶來眾多創新的機會，卻也重新定義當代資安防護的範疇，而在先進AI模型陸續問世的此刻，雖然大幅提升發現與修補漏洞的能力，更是對資安造成前所未有的衝擊，緊接在後的下一波技術趨勢變革，還有量子運算即將崛起，該如何繼續確保資安，也成為整個IT領域的重要議題，Palo Alto Networks日本暨亞太地區政策與政府事務副總裁Nicole Quinn認為，攻擊是可以預防的，資安問題是能夠解決的，關鍵在於能否充分運用AI進行防禦，我們必須掌握三大策略：提升事件偵測與遏制的速度、降低基於身分與AI代理而導致的風險暴露，以及建立涵蓋整個網路環境的運作狀態觀測分析視野，改善雲端服務、端點與第三方系統整合的能見度。如此一來，企業將更能掌握 AI 的運作位置，確認其是否按預期執行任務，並在必要時予以停止。 <a href="/sites/default/files/images/Palo Alto-Cybersec2026-13.jpg"><img alt="" src="/sites/default/files/images/Palo%20Alto-Cybersec2026-13.jpg" style="width: 600px;" /></a> 她相信這是一個契機，因為我們可將2026年定為「防禦者之年」，真正掌握主動權，運用觸手可及的最新技術確保臺灣與全球經濟重心，在對抗網路威脅的戰役佔據上風。 <a href="/sites/default/files/images/3-GAU_8441-web.jpg"><img alt="" src="/sites/default/files/images/3-GAU_8441-web.jpg" style="width: 600px;" /></a> <h1 style="margin-left: 0.05pt;">AI 擴散速度遠超預期，攻擊威脅的發動已邁入「機器速度」</h1> AI普及速度超乎所有人的預期，一年前Palo Alto Networks預估十億人開始與AI互動需要7年，相較之下，讓十億人連上網際網路與使用手機，分別花了23年與16年之久，但現在他們發現AI僅用了3年就達成這個目標，光是 ChatGPT 和 Gemini，全球活躍用戶就已突破十億。 Nicole Quinn坦言，因為需要回應各界意見並走完政治程序，政策制定通常需要很長時間，一項政策、法律或法規的制定往往需要3年，但這段期間可能已有十億人與某項技術產生互動，因此，對於政策制定者、政府及企業而言，由於技術的快速普及，審視框架的方式及政府施政的方式正在改變，AI正是如此。 <a href="/sites/default/files/images/Palo Alto-Cybersec2026-1.jpg"><img alt="" src="/sites/default/files/images/Palo%20Alto-Cybersec2026-1.jpg" style="width: 600px;" /></a> 根據多個機構的統計數據顯示，企業正迅速採用AI，目前已有超過83%的企業正在使用AI，而且往往並不知道其實可透過供應鏈或第三方來運用這項技術，而在各行各業的商業應用中，AI正被廣泛運用於提升生產力、節省成本，以及提供更優質的企業公民或客戶體驗。這固然令人振奮，但Nicole Quinn提醒我們必須確保其安全性， 大家對於AI保持正面態度之餘，但必須清醒地認識到，正帶來前所未有的挑戰，因為AI驅動的攻擊正帶來新的戰術與工具，並大幅降低攻擊門檻，而且AI攻擊帶來的問題已近在眼前，可歸納為兩大面向：新的戰術與新的攻擊手段。 <a href="/sites/default/files/images/Palo Alto-Cybersec2026-2.jpg"><img alt="" src="/sites/default/files/images/Palo%20Alto-Cybersec2026-2.jpg" style="width: 400px;" /></a> 根據Palo Alto Networks的長期觀察，AI正在大幅提升攻擊的速度與規模。若單就勒索軟體與AI的應用而言，過去威脅操作者需9天開發並部署勒索軟體，如今縮短至15分鐘；從初始入侵到資料遭竊的時間，從9天縮短至僅需25分鐘；針對漏洞的攻擊也從9週，縮短至60分鐘內可利用漏洞，此刻當我們都關注先前AI模型的技術突破時，該公司研究團隊Unit 42在幾週前發布的報告指出，這個時間甚至已縮短至僅15分鐘。 <a href="/sites/default/files/images/Palo Alto-Cybersec2026-A.jpg"><img alt="" src="/sites/default/files/images/Palo%20Alto-Cybersec2026-A.jpg" style="width: 600px;" /></a> 這種攻擊速度如果必須透過人工干預來應對，顯然無法跟上。事實上，根據Palo Alto Networks的調查，目前已有73%的企業曾遭遇嚴重的 AI相關資安事件，不僅反映這項技術發展之迅速，也突顯它所帶來的風險。 <a href="/sites/default/files/images/Palo Alto-Cybersec2026-3.jpg"><img alt="" src="/sites/default/files/images/Palo%20Alto-Cybersec2026-3.jpg" style="width: 600px;" /></a> <h1 style="margin-left: 0.05pt;">身分識別、AI 代理人、資安解決方案數量激增，企業須設法提升管理效率與降低複雜度</h1> 而在資安防護上，Nicole Quinn提到有個過去十多年來就被極力呼籲要被重視的議題：身分，對於AI而言，也是重要的防禦關鍵。她強調Palo Alto Networks將 AI 身分識別置於首要位置，之所以如此，是因為人們將 AI 導入數位環境與數位生態系統時，往往就像處理任何普通程式碼來進行部署。 而在數位系統中，每一個人類使用者可能對應多達83個物件，並根據整體政策將使用者的存取限制在允許進入的範圍，對AI的做法卻是允許它去任何地方，這意味著，如果它開始失控或AI運作出現瑕疵導致其思維出現偏差、開始產生幻覺，實際上無法追蹤它在系統中的行蹤。Nicole Quinn表示，當企業採用AI解決方案時，他們會建議賦予系統一個身分識別，讓企業能追蹤其動向，並在必要時加以制止。這不僅需要身分識別，還需要更詳細的資訊。 <a href="/sites/default/files/images/Palo Alto-Cybersec2026-4.jpg"><img alt="" src="/sites/default/files/images/Palo%20Alto-Cybersec2026-4.jpg" style="width: 600px;" /></a> 無論是否擁抱AI，當前企業資安面臨的另一項重大挑戰，在於本身使用的資安解決方案眾多。<a href="https://www.paloaltonetworks.com/company/press/2025/ibm-and-palo-alto-networks-find-platformization-is-key-to-reduce-cybersecurity-complexity">根據IBM和Palo Alto Networks的研究顯示</a>，全球企業平均擁有 83 種不同的解決方案，涉及 29 家供應商。這Nicole Quinn認為，這就像擁有一輛由 29 家汽車公司提供的 83 種零件組成的汽車，而身為技師或駕駛的你，卻必須試著理解它究竟如何運作，從本質上來看，IT 及資安團隊面臨的資安解決方案複雜程度，正是應對新技術、特別是推動AI採用與快速部署時，所遭遇的最大挑戰之一，因此，Palo Alto Networks採用名為「平臺化（Platformization）」的新技術。 基本上，平臺化意味著我們將所有資訊整合到統一的介面，無論資安營運指揮中心、資安長（CISO）或技術團隊成員——都能透過這個統一的介面，或透過上述三個觀點的其中之一，實際掌握並檢視這一切的複雜性。 <a href="/sites/default/files/images/Palo Alto-Cybersec2026-5.jpg"><img alt="" src="/sites/default/files/images/Palo%20Alto-Cybersec2026-5.jpg" style="width: 600px;" /></a> <h1 style="margin-left: 0.05pt;">正視AI帶來的五大資安風險</h1> 除了須克服身分與資安產品過多的控管難題，關於使用AI面臨的資安風險，Nicole Quinn認為可歸納為五個關鍵類別。 首先是 AI 模型的漏洞，這其實是指模型本身可能遭到操縱或設定錯誤。攻擊者可利用這些漏洞，讓模型執行A而不是B。 第二是企業環境存在的「影子 AI（Shadow AI）」，這意味著：如果資安長或技術人員已設定相關程式碼，使用者卻在未經企業授權的狀況下，在系統中使用 ChatGPT、Gemini 或其他大型語言模型。影子 AI已成為現實面臨的問題，Nicole Quinn強調，這絕非單純宣稱：「我們不會使用 AI，因為風險太高」就能解決，因為員工和同事無論如何都會直接這麼做 其他三個分別是：敏感資料外洩、AI應用遭濫用，以及失控的AI代理。 <a href="/sites/default/files/images/Palo Alto-Cybersec2026-6.jpg"><img alt="" src="/sites/default/files/images/Palo%20Alto-Cybersec2026-6.jpg" style="width: 600px;" /></a> 事實上，敏感資料外洩是 AI 的本質，因為當前每個人所從事的工作，本質上，都需要巨量資訊與巨量敏感資料，這些對組織而言至關重要，當我們將所有內容都外包給AI處理，這正是可能導致資料外洩的環節。 關於AI 遭濫用與失控，Nicole Quinn舉了一個例子說明。當員工請客戶喝一杯咖啡，因為是公事，所以向公司內部AI系統申請費用報銷，AI表示沒問題；後來，它發現員工經常出差，有旅館費用需要報銷，所以它會幫忙支付；接著，它又得知員工有一筆聘請外部顧問的採購單，需花上5萬美元，它以為既然能替這名員工支付咖啡費用，「當然」也能支付該筆採購單。如上所述，AI不僅正在思考與學習，幫員工處理報銷事宜，但實際上它已偏離初衷，因為它可能正在支付員工無權支付的款項，因此，失控的 AI 代理正逐漸成為真正的問題。 <h1 style="margin-left: 0.05pt;">需訂定能涵蓋AI應用發展的政策與框架，確保企業資安治理能與時俱進</h1> 更令人憂心的是，<a href="https://hai.stanford.edu/ai-index/2025-ai-index-report">根據史丹佛大學人本人工智慧研究中心（Stanford HAI）的2025年度AI索引報告指出</a>，僅有6%的組織真正具備完善的AI策略。不過，從政府、企業或客戶的政策角度來看，大家正逐漸意識到：要推動數位轉型，必須建立信任，Nicole Quinn強調，如果缺乏這種信任，所有公民尤其是普通民眾，便不會真正接受我們希望帶來的技術或解決方案。 身為政策制定者，或與董事會、高階主管討論AI安全或安全措施應具備何種樣貌時，具有統一的定義至關重要。首先，這有助於符合國際合規要求，其次，無論領導團隊、合規團隊或風險團隊，這能確保檢視時都能對最終目標達成共識。Nicole Quinn表示，對Palo Alto Networks 而言，AI 安全有非常明確的定義，因為這將運用並涵蓋整個生態系統。與傳統軟體不同，AI 安全必須貫穿開發階段、部署階段，並延伸至使用階段。 Nicole Quinn以安全領域常見的比喻突顯當中的差異。在新創公司發展或企業數位轉型的過程中，往往是在飛機已經起飛後，才一邊駕駛一邊組裝飛機（Building the Plane While Flying it）；而在AI 領域，實際上是同時設計、組裝和駕駛飛機。因此，必須確保能真正理解AI本身的自主特性、完整生命週期，以及它與傳統軟體在運作方式和行為表現上的差異，也要重新審視過往保障軟體安全的傳統方法。 <a href="/sites/default/files/images/Palo Alto-Cybersec2026-B.jpg"><img alt="" src="/sites/default/files/images/Palo%20Alto-Cybersec2026-B.jpg" style="width: 600px;" /></a> 事實上，AI早已存在，各國政府對此已關注許久，許多國家都制定了AI相關的方針，Nicole Quinn陸續介紹全球AI治理現況。首先，美國國家標準與技術研究院（NIST）的AI框架已被視為全球標準或全球性框架而被廣泛採用，若企業正考慮制定相關標準，她認為這是非常好的起點；歐盟傾向於建立穩固的立足點，若企業處理失當，將進行嚴厲究責。 而在亞太地區中，新加坡堪稱網路安全領域的領導者，也是率先針對基因人工智慧的使用發布指引與建議的國家。因此，企業若正在研究相關政策框架，她強烈建議參考新加坡的經驗。 對於Nicole Quinn身處的澳洲而言，為了避免某些關鍵基礎設施停擺而使國家運作陷入困境，目前政府正在修訂<a href="https://www.cisc.gov.au/legislation-regulation-and-compliance/soci-act-2018">《SOCI法案》</a>，確保將AI及其供應鏈納入考量。 而對於臺灣，Nicole Quinn肯定政府理解網路安全、經濟安全與國家安全之間的關聯，她看到政府<a href="https://law.nstc.gov.tw/LawContent.aspx?id=GL000592">制定以AI為基礎的法案</a>，當中將「安全設計」視為基本原則。 <a href="/sites/default/files/images/Palo Alto-Cybersec2026-7.jpg"><img alt="" src="/sites/default/files/images/Palo%20Alto-Cybersec2026-7.jpg" style="width: 600px;" /></a> <h1 style="margin-left: 0.05pt;">先進AI模型能力獲得重大突破，帶來顛覆現行資安防護的機會與挑戰</h1> 在確保安全性必須是「安全即設計」的同時，近期多種先進AI模型（frontier AI models）獲得重大突破，引發資安領域的關切，原因是其具備的強大處理速度與大規模運行能力令人憂心，所需時間已從幾天、幾小時急遽縮短到幾秒。 舉例來說，針對堪稱軟體界的基石、發展歷史已近二十年的OpenBSD，是最早期的系統之一，經過非常多代的技術變革，然而，Anthropic今年發表的先進AI模型Claude Mythos Preview卻能在數秒之內，發現當中有資安漏洞。 正因 Mythos功能如此強大，Anthropic決定將其獨立為「Glasswing」專案，並未對外公開，Palo Alto Networks是少數幾家受邀參與初期「Glasswing」專案的信賴夥伴。Nicole Quinn表示，為了深入研究 Mythos，公司已投入超過 300 名工程師，花了五到六週實際運用 Mythos來管理自家的系統，同時也學習運用它強化安全防護，並將先進AI 模型納入技術套件，確保用戶都能受到保護。 <a href="/sites/default/files/images/Palo Alto-Cybersec2026-8.jpg"><img alt="" src="/sites/default/files/images/Palo%20Alto-Cybersec2026-8.jpg" style="width: 600px;" /></a> 這些都是Palo Alto Networks將政策付諸實踐的方式，Nicole Quinn強調，當她與臺灣、菲律賓、新加坡政府，或是不同企業的董事會與高階主管們進行對話時，實際上，是在探討「安全 AI即設計（Secure AI by Design）」的框架。基本上，這涉及下列四大層面安全性確保的關鍵要務，包含AI工具、底層的 AI 基礎設施與資料、代理程式，以及 AI 應用程式的建置與部署。 一言以蔽之，這套框架正是「看不見的東西，就無法加以防禦（You can't defend what you can't see.）」，而且獲得廣泛採用，並被納入法律框架，作為防範AI風險的手段之一。 <a href="/sites/default/files/images/Palo Alto-Cybersec2026-9.jpg"><img alt="" src="/sites/default/files/images/Palo%20Alto-Cybersec2026-9.jpg" style="width: 600px;" /></a> 她強調重點在於：我們該如何規畫未來路徑。她提出下列四大目標： 一、周延的策略：我們必須制定一套全面的策略。 二、主動防禦：我們必須配備具備機器人能力的作戰系統（fighting machines with machine），這將為我們提供工具保障，必須建立第一道防線，以緩解特定的 AI 威脅。 三、贏得信任：這樣做能建立政府與公司領導人的信任 四：替未來做好準備：及早針對新興的資安挑戰，例如後量子密碼學，進行妥善的準備。 <a href="/sites/default/files/images/Palo Alto-Cybersec2026-10.jpg"><img alt="" src="/sites/default/files/images/Palo%20Alto-Cybersec2026-10.jpg" style="width: 600px;" /></a> <h1 style="margin-left: 0.05pt;">防護量子運算引發的資安威脅</h1> 為了因應量子運算破解現行資料加密保護機制的威脅，兩年前，日本與亞太地區大多數政府的目標都一致：必須在2035年前實現後量子密碼學（PQC）的採用與遷移，現在這個目標已提前至2030年，臺灣政府強烈呼籲現在就必須規畫保障網路安全的方式。 <a href="/sites/default/files/images/Palo Alto-Cybersec2026-11.jpg"><img alt="" src="/sites/default/files/images/Palo%20Alto-Cybersec2026-11.jpg" style="width: 600px;" /></a> Nicole Quinn認為實現PQC是可能的，然而，令人擔憂的是，國家級組織與犯罪集團已開始展開「先收集再破解加密（Harvest Now, Decrypt Later，HNDL）」的攻擊，為此，Palo Alto Networks的資安研究與事件應變團隊Unit 42追蹤關鍵基礎設施，以及製藥、能源、AI等高風險目標企業，發現惡意組織正潛入其中，盡可能竊取大量資料。 <a href="/sites/default/files/images/Palo Alto-Cybersec2026-12.jpg"><img alt="" src="/sites/default/files/images/Palo%20Alto-Cybersec2026-12.jpg" style="width: 600px;" /></a> 該如何形容這類資安威脅，Nicole Quinn表示，這就像歹徒闖入每一家企業，拿走裝有公司最機密與最重要資訊的保險箱，隨後將這個保險箱搬上卡車，開往倉庫存放起來，靜待量子運算普及後的時代再破解手上的已加密資料，屆時便會拿到密鑰來開啟所有保險箱。因此，後量子時代的資料安全確實是必須重新審視的課題。但目前仍有希望，因為我們可採取多種預防措施。 </div></div></div>
5/24 19:00作者李宗翰https://www.ithome.com.tw/news/176071
【資安週報】0518~0522，近期Windows零時差漏洞連環揭露，資安公司警告已能串成攻擊鏈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">近期微軟Windows多項零時差漏洞接連曝光，從BlueHammer、RedSun、UnDefend到YellowKey與GreenPlasma，因其能被串聯成完整攻擊鏈，已引發資安業者強烈示警，成為本星期持續關注的重點。此外，駭客組織鎖定思科Catalyst SD-WAN零時差漏洞CVE-2026-20182發動攻擊，同樣備受各界關注。 在防禦端，資料領域底層的PQC導入動向成焦點。NVM Express聯盟預計2026年完成規格更新，擴充儲存傳輸協定支援的加密演算法；WD則考量儲存設備生命週期長達五年以上，因此已開始針對硬碟韌體與開機程序導入後量子密碼學，從核心層級建構防禦韌性。 <h1>政策法規</h1> AI進步加劇漏洞威脅，資安署示警：攻擊成本驟降使威脅無差別化，冷門漏洞與閒置系統成為新破口，企業防禦重心應轉向迅速復原，全球多國政府也抱持警戒，德、日兩國已提升AI防禦至國家與金融監理層級。此外，國內推動AI人才治理指引與資安長跨機關共識，亦成政策焦點，突顯從治理端提升數位韌性已是關鍵配套。 <a href="https://www.ithome.com.tw/news/175978" target="_blank">面對AI漏洞風暴！資安署提出三項應對作為，並強調資安實務已從預防被打轉向迅速復原</a> 面對先進AI模型引發的資安威脅，各國政府高度關切，臺灣數位發展部資通安全署（資安署）揭示即將採取三項應對作為之餘，更是呼籲國內企業與政府機關全面檢視資安策略，並給出三大關鍵提醒：（一）攻擊成本驟降使威脅趨於「無差別化」，上市櫃公司、中小型企業與地方政府機關都可能成為目標；（二）「冷門漏洞」與「閒置系統」可能被AI重新利用，代表原本排在修補清單末端的項目亦可能成為主要攻擊目標；（三）企業應從「預防被打」轉向「迅速復原」。 <a href="https://www.ithome.com.tw/news/176000" target="_blank">德國聯邦金融監理總署示警AI與量子運算推升金融業網路風險，將對金融機構加強IT重點檢查</a> 德國聯邦金融監理總署（BaFin）將網路空間風險列為金融業重要風險之一，指出AI與量子運算等技術快速發展，這類風險不只威脅金融機構本身的穩定，也可能影響消費者能否順利取得金融服務。為了強化監理量能，BaFin已擴大金融業資安與科技部門，後續將針對金融業者進行更聚焦的IT查核。BaFin強調，在監理過程中已發現修補管理等問題，將藉由這類查核協助金融業衡量風險並強化韌性。 <a href="https://www.ithome.com.tw/news/175837" target="_blank">日本啟動內閣層級資安戰略檢討，因應先進AI帶來的新型防禦挑戰</a> 日本首相高市早苗於5月12日內閣會議中，宣布啟動內閣層級資安戰略檢討，以因應先進AI帶來的防禦挑戰，她指示網路安全擔當大臣松本尚與相關內閣成員採取行動，檢查政府系統是否具備偵測與修補漏洞的能力，並研擬協助關鍵基礎設施營運者強化防禦的措施。 <a href="https://www.ithome.com.tw/news/175935" target="_blank">數發部發表AI人才認定指引3.0，新增AI治理與協作能力</a> <img alt="" src="/sites/default/files/images/2026-05-22_172206.jpg" style="width: 380px; float: right;" /> 現代資安治理與AI治理息息相關，數發部在5月19日發布「AI產業人才認定指引3.0」，就特別將AI治理素養與AI協作開發等能力納入，讓AI人才培育的推動更為健全，並期望建立一套可被企業、人力平臺與教育機構共同採用的能力標準。對於AI治理的重要性，數發部長林宜敬與數產署簡任視察吳嶽森指出，重點在於協助人才建立人工智慧應用風險的框架與意識，他並強調，AI能力已不只是會操作工具，而是如何與AI協作、理解風險，並具備負責任使用AI的能力。 <a href="https://www.ithome.com.tw/news/175998" target="_blank">Meta平臺占今年1至4月詐騙案件高達8成以上，政府要求強化演算法從源頭攔截詐騙訊息</a> 針對Meta平臺防騙不力的現況，行政院打擊詐欺指揮中心（打詐指揮中心）揭露最新數據，指出近四個月的詐騙案件中，高達8成與Meta旗下平臺有關。 打詐指揮中心強調，Meta平臺防詐效果甚差，因為許多內容在被檢舉移除後，短時間內又會以完全相同的圖文重複上架，詐騙方可以如此簡單手段繼續進行詐騙，顯見Meta的防詐偵測系統存在嚴重的技術缺口。為此，打詐指揮中心向Meta發出嚴正要求，促其必須調整演算法並升級偵測系統，至少要建立「重複詐騙內容識別機制」、對已知詐騙內容進行即時攔截、降低詐騙內容曝光與擴散速度。 <a href="https://www.ithome.com.tw/news/176005" target="_blank">資安署擴大資安長共識營規模，首度邀集五院建立資安治理共識</a> 建立跨機關的資安治理共識已成為國家韌性的關鍵，數位發展部資通安全署近日擴大舉辦「115年度政府機關資安長共識營」，今年最大不同點在於，資安署顯著擴大了參與規模，首度邀請總統府、國安會及立、司、考、監五院資安長共同參與，不僅協助各資安長掌握新興威脅趨勢與防禦思維，也透過與CYBERSEC臺灣資安大會合作，安排實地參訪臺灣資安館及人才培訓專區。綜觀這場共識營的推動，治理端的現況認知對齊仍是核心，擴大跨機關參與規模更是具備重要意義，幫助化解認知落差，掌握一致的技術脈動與政策方向。 <a href="https://www.ithome.com.tw/news/175916" target="_blank">歐盟《網路韌性法案》今年9月施行，產品安全通報時限成法遵門檻，僅四分之一企業將SBOM驗證納入自動化</a> 歐盟網路韌性法案（Cyber Resilience Act，CRA）將於2026年9月進入正式施行階段，企業除了盤點產品是否落入規範範圍，也得重新檢視既有產品安全機制，是否足以支撐漏洞調查、限期通報與後續稽核要求。軟體套件與元件管理平臺業者Cloudsmith調查指出，多數企業雖已能產出軟體物料清單（SBOM），但相關管理與治理流程仍未完成自動化，對《網路韌性法》的法遵與供應鏈風險準備仍存在落差。 <a href="https://www.ithome.com.tw/news/175975" target="_blank">執法行動Operation Ramz查封53臺惡意軟體及網釣伺服器</a> 國際刑警組織（Interpol）於5月18日宣布，首度在中東及北非地區展開大規模執法行動。在13國執法機關的合作之下，針對網路釣魚與惡意軟體活動進行調查，並瓦解惡意基礎設施，共逮捕201名嫌犯，另確認有382人涉及從事網路犯罪活動，查扣53臺伺服器。趨勢科技、Group-IB、卡巴斯基、Team Cymru，以及Shadowserver基金會也都參與這項行動。 <h1>AI資安</h1> 臺灣企業在應對AI技術固有風險之餘，若員工於企業網路使用中國AI模型工具，將帶來額外威脅。最新調查顯示全臺逾6萬企業未封鎖中國模型，且中小企業封鎖比例低，成為資安隱憂。此外，AI模型進步正加速漏洞發掘與修補需求，已有調查指出多家軟體供應商CVE揭露數量明顯成長，還有今年首季GitHub私下漏洞通報量更較前一季增加逾4倍，顯示AI正深刻影響漏洞研究生態，迫使企業須強化自動化防禦以應對威脅。 <a href="https://www.ithome.com.tw/news/175926" target="_blank">7成大型企業封鎖中國模型，中小企僅27%跟進成隱憂，全臺逾6萬企業未封鎖中國模型</a> <img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E4%B8%AD%E8%8F%AF%E9%9B%BB%E4%BF%A1_%E8%87%BA%E7%81%A3%E8%B6%85%E5%A4%A7%E5%9E%8B%E4%BC%81%E6%A5%AD7%E6%88%90%E5%9A%B4%E9%98%B2%E4%B8%AD%E5%9C%8BAI%E5%B7%A5%E5%85%B7%EF%BC%8C%E4%B8%AD%E5%B0%8F%E4%BC%81%E6%A5%AD%E5%83%85%E6%9C%8927%25%EF%BC%8C%E6%81%90%E6%88%90%E4%BE%9B%E6%87%89%E9%8F%88%E8%B3%87%E5%AE%89%E9%9A%B1%E6%86%82_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 380px; float: right;" /> 【臺灣資安大會直擊】中華電信從電信視角剖析臺灣企業AI輪廓，指出企業規模越龐大，資安管控措施也越趨嚴謹，但中小企業在管控上則有明顯落差。整體而言，更有超過6萬家臺灣企業，因員工私下使用AI工具而形成的影子AI現象，暴露於具備資安爭議的中國AI模型風險之中。這些企業必須認清一件事：這意味著企業本身在應對AI技術的固有風險之餘，更被迫直面地緣政治與特定供應鏈下，中國AI模型帶來的額外威脅，讓企業資安防線承受更為棘手的複合風險。 <a href="https://www.ithome.com.tw/news/175863" target="_blank">AI原生架構快速崛起，32%企業要用AI增強軟體工程</a> 關於2026年臺灣企業軟體開發策略布局的轉變，代理式AI與DevSecOps成為企業最重視的兩大方向。根據iThome《2026 CIO & CISO大調查》顯示，今年企業開發模式出現明顯變化，其中代理式AI的採用率成長幅度最大，較去年增加15個百分點；其次則是結合安全機制的DevSecOps，採用率由去年的9％提升至16％，增加7個百分點。相較之下，傳統DevOps採用率僅增加1個百分點，成長幅度並不高。 <a href="https://www.ithome.com.tw/news/175929" target="_blank">Cloudflare測試Claude Mythos，能串聯多個低風險漏洞形成攻擊鏈</a> Claude Mythos能力持續受關注，近期Cloudflare揭露參與Project Glasswing計畫的測試結果，指出他們將最新模型導入50個內部程式碼儲存庫後，發現Mythos預覽版最明顯的進步是，可將多個低嚴重性漏洞串聯成完整攻擊鏈，而非只停留在漏洞描述階段，甚至自動撰寫、編譯與執行PoC。Cloudflare強調，企業應從整體系統架構層面調整防禦策略，例如在應用程式前方部署防護機制、降低單一漏洞橫向擴散的能力，並建立可同步部署修補的基礎設施。同時提醒，若因修補時程壓縮而跳過完整回歸測試，反而可能衍生新的風險。 <a href="https://www.ithome.com.tw/news/175936" target="_blank">多家軟體供應商2026年以來CVE揭露量攀升，Chrome大增563.2%，AI輔助漏洞發掘影響浮現</a> 漏洞情資業者VulnCheck發布分析指出，2026年以來，多家軟體供應商的CVE揭露數量明顯增加，其中Google瀏覽器Chrome年增563.2%，VMware、Apache、Mozilla、HPE與F5也都出現顯著成長。該公司認為，這波變化與AI輔助漏洞發掘工具逐漸成熟的趨勢相符，但目前仍屬初步跡象，尚不能將所有成長直接歸因於AI。 <a href="https://www.ithome.com.tw/news/175980" target="_blank">AI開始進入漏洞研究與通報生態，Mozilla、微軟、GitHub與Curl案例受關注</a> AI開始進入漏洞研究與通報生態，漏洞情資業者VulnCheck發布分析指出，除了多家業者2026年以來的CVE揭露量出現變化，Mozilla、微軟等案例受關注。自2月起，Firefox團隊持續使用先進AI模型，尋找並修補瀏覽器中潛藏的安全漏洞。GitHub安全公告資料庫團隊指出，2026年1月至3月，GitHub上面的私下漏洞通報量相較於去年10月至12月增加超過4倍。Chrome的CVE揭露量也暴增逾5倍。 <a href="https://www.ithome.com.tw/news/175873" target="_blank">AI持續降低自動化網路攻擊門檻，2025惡意機器人活動霸佔全球網際網路流量4成</a> 根據資安廠商Thales發布的2026年惡意機器人報告，2025年機器人（bots）已主導網際網路，占據網路總流量的一半以上（53％），而有高達40％流量被歸類為惡意機器人。他們在2025年每天封鎖的AI驅動機器人攻擊達到2,500萬次，而在2024年每天緩解這類攻擊次數僅200萬次，暴增至12.5倍，因此他們決定新增自動化流量觀察類別：AI機器人（AI bots），主要原因在於AI與LLM的快速普及，導致機器人開發更容易上手，即使是技術水平較低的人也能做到。 <a href="https://www.ithome.com.tw/news/175962" target="_blank">IBM擴大AI資安工具布局，參與廣泛使用軟體漏洞識別與修補</a> IBM宣布擴大企業資安工具與服務，以因應攻擊者利用先進AI加快偵察、漏洞發現利用等攻擊流程的趨勢，涵蓋運用AI輔助漏洞管理的應用程式風險管理平臺IBM Concert、顧問服務IBM Consulting，以及採多代理架構的資安服務IBM Autonomous Security，另外IBM也參與AI業者Anthropic推動的關鍵軟體基礎架構安全計畫Project Glasswing。 <a href="https://www.ithome.com.tw/news/175881" target="_blank">Akamai將斥資2.05億美元收購LayerX，強化AI與瀏覽器安全</a> 瀏覽器安全與AI使用控管技術成焦點！Akamai宣布併購以色列瀏覽器安全新創LayerX Security，主要看重其在輕量級安全擴充功能的部署方式，就可進行Session級深度行為檢測，以及控管影子AI的資料外洩問題，可透過在網頁端即時動態遮蔽員工輸入提示詞中的機密原始碼或個資。 <a href="https://www.ithome.com.tw/news/175951" target="_blank">Meta MBBRC首度登臺！祭30萬美元獎金鎖定AI代理等安全</a> Meta年度Bug Bounty研究者大會（MBBRC）首度在臺舉行！這場盛事匯集來自26國、80多位全球頂尖資安研究人員，其中並有10位臺灣高手同場競技。本屆活動有兩大新重點受矚目，一是開放研究人員針對Ads AI、Messenger、WhatsApp上的Business AI，以及Meta AI的代理框架進行深度檢測；一是首度推出濫用行為專項計畫，針對資料爬取與誠信風險等非傳統漏洞進行嘗試。特別的是，現場Meta與Nvidia宣布合作，將於6月正式啟動GPU Kernel Module Bug Bounty計畫，首度將Nvidia產品與服務納入MBBRC測試範圍。 <a href="https://www.ithome.com.tw/news/175893" target="_blank">駭客濫用Langflow漏洞與NATS訊息中介系統，竊取AI與雲端環境存取金鑰</a> 開源AI工作流程平臺Langflow近期爆發新一波攻擊事件，CVE-2026-33017漏洞<a href="https://www.ithome.com.tw/news/174752">在3月就已確認遭利用</a>並呼籲儘速修補，如今再傳攻擊者鎖定未修補用戶攻擊。資安業者Sysdig指出，他們發現新一波攻擊行動，駭客利用此漏洞入侵系統，並竊取AWS與OpenAI等AI服務API金鑰，特別的是，攻擊者在攻擊中使用開源訊息系統NATS，作為持久化控制與資料傳輸通道。 <a href="https://www.ithome.com.tw/news/175889" target="_blank">OpenClaw存在漏洞攻擊鏈Claw Chain，攻擊者可用於竄改組態並植入後門</a> 資安公司Cyera近期在開源AI代理整合平臺OpenClaw發現一系列共4個資安漏洞，分別是：CVE-2026-44112、CVE-2026-44113、CVE-2026-44115、CVE-2026-44118，涉及檔案系統隔離、權限提升與資料暴露風險。從個別漏洞的危險程度來看，風險最高的是CVE-2026-44112，CVSS風險評分達到9.6分。Cyera指出此漏洞發生的原因在於，驗證與寫入的工作分開進行，攻擊者可藉由將驗證路徑指向沙箱邊界以外的符號連結來觸發弱點，將寫入操作導向原本預期的檔案系統根目錄以外的地方，從而影響系統的完整性。 <a href="https://www.ithome.com.tw/news/176024" target="_blank">Nvidia修補Triton推論伺服器多項重大漏洞，若未更新可能導致拒絕服務、資料洩漏或執行任意程式碼等攻擊</a> Nvidia修補Triton Inference Server的8項安全漏洞，漏洞類型包括驗證繞過、路徑遍歷、記憶體越界與整數溢位，最嚴重的漏洞CVSS達9.8分，可能導致資料外洩、拒絕服務、權限提升，甚至執行任意程式碼，影響企業AI模型推論與生成式AI部署環境，建議用戶儘速升級至已修補的26.03版。 <h1>資料安全</h1> 這一星期資料安全焦點在於NVMe協定與WD相繼導入PQC技術，前者推動儲存傳輸協定加密演算法更新，後者強調落實資安須從硬體信任根源（Root of Trust）強化防禦，突顯資料安全防線正聚焦於底層升級。此外，資料保護解決方案也正隨AI時代資安風險而進化。 <a href="https://www.ithome.com.tw/news/175970" target="_blank">NVMe協定啟動後量子密碼學規格更新，因應量子運算時代加密威脅</a> <a href="/sites/default/files/images/2026-05-22_173045.jpg"><img alt="" src="/sites/default/files/images/2026-05-22_173045.jpg" style="width: 380px; float: right;" /></a> NVM Express聯盟宣布著手NVMe協定的後量子密碼學（PQC）規格更新，以因應未來量子電腦可能破解現有加密機制的威脅。新版規格將導入NIST PQC演算法、更長金鑰長度與新版加密協定定義，聯盟預計於2026年完成PQC支援並納入NVMe正式標準。 <a href="https://www.ithome.com.tw/news/175955" target="_blank">因應AI時代資安風險，Dell整合資料保護平臺並擴展威脅偵測能力</a> Dell推出全新資料保護平臺PowerProtect One，結合既有PowerProtect Data Manager（PPDM）與PowerProtect Data Domain（PPDD）兩款產品，強化備份、還原管理能力。同時，Dell也將原本應用於Cyber Recovery的CyberSense威脅分析能力，延伸發展為Cyber Detect，並整合至PowerStore與PowerMax主儲存陣列，用於快照複本分析與偵測。 <a href="https://www.ithome.com.tw/news/175925" target="_blank">WD為硬碟韌體保護導入後量子數位簽章技術，硬碟安全進入抗量子時代</a> WD宣布為新一代企業級硬碟Ultrastar DC HC6100 UltraSMR導入後量子密碼學（PQC）技術，為硬碟控制器的安全開機（Secure Boot）與韌體，採用ML-DSA-87後量子數位簽章，並結合傳統RSA-3072簽章構成雙重簽章架構，以兼顧現有相容性與未來抗量子運算威脅需求。 <a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=200141&SPOKE_DATE=20260511&COMPANY_ID=6865" target="_blank">偉康科技發布資安重訊，說明遭遇網路攻擊</a> 專注於金融科技與資安解決方案的偉康科技（6865）於5月11日晚間發布資安重訊，透露遭到駭客攻擊的情形。該公司透露事發後已啟動防禦機制因應，對於這起事故可能會造成的影響，該公司初步評估對公司營運無重大影響。罕見的是，偉康特別提及已投保了資安險，有可能會獲得理賠，但金額將根據最終鑑定結果及保單條款而定。 <a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=172008&SPOKE_DATE=20260520&COMPANY_ID=6606" target="_blank">建德工業發布資安重訊，指出資訊系統遭網路攻擊</a> 5月20日精密工具設備製造商建德工業（6606）於股市公開觀測站發布重大訊息，指出資訊系統疑似遭到網路攻擊，事發當下該公司立即啟動相關防護機制因應。針對這起事故可能造成的影響，該公司根據初步評估，對公司營運無重大影響，目前無個資或機密資料外洩發生的跡象。針對防範未來相關資安事故的做法，建德表示將增加軟硬體設備，以提升資訊安全層級。 <a href="https://www.ithome.com.tw/news/175914" target="_blank">7-Eleven證實資料被駭，疑外洩加盟店資訊</a> 7-Eleven近日向美國緬因州檢察長辦公室通報資料外洩，並於5月1日以電子郵件通知受影響人員。根據7-Eleven的通知，2026年4月8日該公司發現一個未經授權的第三方人員存取該公司儲存加盟店文件的部分系統，導致相關資料遭到外洩。7-Eleven調查顯示，駭客存取的資料包括姓名、地址，以及其他未公開的資料類別。目前，該公司官方文件並未揭露受影響總人數。惡名昭彰的駭客組織ShinyHunters聲稱從其Salesforce系統竊取超過60萬筆資料。 <a href="https://www.ithome.com.tw/news/175928" target="_blank">美國最大公立醫院醫療資訊、指紋、信用卡資料被竊走，影響180萬人</a> 美國最大市立醫療體系NYC Health + Hospitals 3月在網上公告遭駭，他們表示，在2月間發現非授權人士存取特定系統並且竊走資料。該院已重設所有受影響人士的帳號並導入強化的安全防範。經過調查，存取時間為2025年11月25日到2026年2月11日。該院認為原因是第三方系統廠商發生安全事件，讓攻擊者得以存取網路及系統，並複製走資料。根據美國健康與公共服務部網頁，NYC Health + Hospitals外洩事件影響180萬人。 <a href="https://www.ithome.com.tw/news/175876" target="_blank">TeamPCP兜售近450個Mistral AI程式碼儲存庫</a> 法國AI新創公司Mistral AI於5月12日發布資安公告，證實NPM與PyPI套件先後遭到入侵，指出該公司是TanStack供應鏈攻擊事故而受到波及，如今傳出駭客團體TeamPCP於網路犯罪論壇宣稱，他們竊得Mistral AI近5 GB的內部儲存庫與原始碼資料，這些是用於訓練、微調、基準測試、模型交付、實驗推論，以及未來專案的檔案，總計涉及450個儲存庫的內容。 <a href="https://www.ithome.com.tw/news/175878" target="_blank">Grafana Labs存取權杖外洩導致其GitHub程式碼庫遭竊與勒索</a> Grafana Labs揭露近期發現有一個未經授權的團體取得該公司GitHub環境的存取權杖，使攻擊者得以下載該公司的程式碼庫。<a href="https://www.ithome.com.tw/news/176015">該公司後續調查指出</a>，攻擊者入侵其GitHub環境的事故，源於TanStack供應鏈攻擊，當時他們在5月11日偵測到惡意活動，隨即啟動事件應變流程，迅速輪換大量與GitHub工作流程相關權杖，但仍有部分未被更換，使得攻擊者能夠存取他們的GitHub儲存庫。 <a href="https://www.ithome.com.tw/news/175852" target="_blank">美政府外包商遭解僱員工被控刪除96個政府資料庫，還問AI如何刪除Log</a> 美國司法部起訴政府IT外包商前員工，指出該嫌因不滿被解僱，竟然濫用職權刪除聯邦政府資料庫。根據檢察官起訴書顯示，在一小時內刪除了約96個由Opexus代管的美國政府資料庫，包含與資訊自由法相關資料及屬於聯邦機構的敏感調查檔案，其中一個資料庫還是屬於美國國土安全部。甚至在刪除資料庫後，該嫌還曾詢問AI，如何刪除作案的Windows Server及SQL Server的系統日誌（log）檔。 <a href="https://www.ithome.com.tw/news/175907" target="_blank">工業測試設備製造商Fluke資料外洩波及1.85萬人，駭客竊取身分與身障等敏感資訊</a> 美國工業測試設備製造商Fluke，近日通報一起可追溯至2025年8月的資料外洩事件，約1.85萬人的個資遭駭客存取，該公司已知會受害者，並提供信用監控等緩解措施。勒索軟體組織Clop聲稱此資料外洩事件是他們所為，但Fluke未予以回應。 <a href="https://www.ithome.com.tw/news/176012" target="_blank">CISA暴露的GitHub儲存庫公開844 MB機密資料</a> 美國CISA因GitHub儲存庫Private-CISA暴露在網際網路，而有大量機密資料外洩的可能，資安公司GitGuardian先發現此事，19日公布更多調查細節，指出他們一開始是透過例行的GitHub監控察覺此事，發現Private-CISA儲存庫的資料量為844 MB，內含明文密碼、AWS憑證，以及Entra ID的SAML憑證，並且已暴露了約半年。至於這段期間是否有其他人存取這些資料，GitGuardian表示目前尚未發現有駭客早一步存取的跡象。 <h1> </h1> <h1>端點安全</h1> 這一星期Windows端點安全面臨嚴峻挑戰，多項零時差漏洞連環爆。其中MiniPlasma漏洞被揭露多年前已通報修補，現卻仍處於未修補狀態，還有研究人員警告BlueHammer與YellowKey等五項漏洞已能串連成完整攻擊鏈。此外，還有Linux再傳出DirtyDecrypt漏洞的事件也引發關注。 <a href="https://www.ithome.com.tw/news/175888" target="_blank">Windows存在零時差漏洞MiniPlasma，攻擊者可取得SYSTEM權限</a> <a href="/sites/default/files/images/2026-05-22_173145.jpg"><img alt="" src="/sites/default/files/images/2026-05-22_173145.jpg" style="width: 380px; float: right;" /></a> 早在多年前通報的漏洞卻未得到修補！日前資安研究員Chaotic Eclipse公布資安漏洞MiniPlasma，並強調該漏洞並非他首度發現，而是Google Project Zero團隊於2020年9月向微軟通報，該漏洞被登記為CVE-2020-17103，微軟在2020年12月例行安全性更新已發布更新軟體。對於MiniPlasma的出現，Chaotic Eclipse推測可能是修補程式碼在某個時間點被撤回或覆蓋（rollback），但也不排除是微軟根本沒修補，實際原因為何，有待微軟進一步說明。 <a href="https://www.ithome.com.tw/news/176002" target="_blank">微軟公布BitLocker零時差漏洞YellowKey緩解措施</a> 關於有研究人員在5月中揭露磁碟加密機制BitLocker的零時差漏洞YellowKey，並形容它幾乎等同於後門，相當危險。後續微軟將YellowKey登記為CVE-2026-45585，並指出利用漏洞存在必要條件，那就是攻擊者需實際接觸目標裝置，才能觸發漏洞並存取經加密處理的資料。目前尚未有修補發布，但已公布緩解措施，包括修改Windows復原環境（WinRE）映像檔、設置BitLocker的PIN碼，而對於磁碟尚未加密的電腦，應設置TPM的PIN碼因應。 <a href="https://www.ithome.com.tw/news/176004" target="_blank">資安公司警告研究員Chaotic Eclipse公布的零時差漏洞已能串成攻擊鏈</a> 近期多項Windows系統的5個零時差漏洞陸續被揭露，但更令人擔憂的是，攻擊者已可藉這些漏洞建立完整的攻擊流程。資安公司LevelBlue指出，BlueHammer（CVE-2026-33825）、RedSun、UnDefend、YellowKey（CVE-2026-45585）、GreenPlasma等5個漏洞，涵蓋取得初始存取管道、權限提升、迴避偵測，以及資料竊取等攻擊階段，幾乎已可視為一套完整的攻擊工具。 <a href="https://www.ithome.com.tw/news/175919" target="_blank">Linux核心再傳新的權限提升漏洞DirtyDecrypt</a> 根據V12資安團隊透露，他們在5月9日發現名為DirtyDecrypt（或DirtyCBC）的漏洞，此為Copy Fail、Dirty Frag、Fragnesia的變形，他們在通報後收到Linux核心開發團隊回覆，表示這是重複通報的弱點。對此，V12在確認該漏洞已得到修補後，公布了概念驗證程式碼（PoC），並指出此漏洞形成的原因，在於rxgk_decrypt_skb缺少COW保護機制，導致rxgk頁面快取可被寫入。 <a href="https://www.ithome.com.tw/news/175948" target="_blank">Ivanti修補裝置管理平臺EPM高風險漏洞</a> 資安廠商Ivanti修補裝置管理平臺Ivanti Endpoint Manager（EPM）3項資安漏洞，分別是CVE-2026-8109、CVE-2026-8110、CVE-2026-8111，其中最危險的是CVE-2026-8111，此為SQL注入漏洞，攻擊者在通過身分驗證的情況下，即可遠端執行程式碼，CVSS風險為8.8分；另一個高風險漏洞是CVE-2026-8110，涉及代理程式不正確的權限分配，攻擊者在本機通過身分驗證後，有可能提升權限，風險評分為7.8。 <a href="https://www.ithome.com.tw/news/175947" target="_blank">博通修補VMware Fusion高風險漏洞</a> 執行在macOS電腦的個人端虛擬化軟體VMware Fusion，最近被揭露與修補高風險漏洞，根據5月14日博通（Broadcom）發布的資安公告，VMware Fusion存在權限提升漏洞CVE-2026-41702，此為SETUID二進位檔運作因檢查時間及使用時間不一致（TOCTOU）造成的弱點，攻擊者在取得非管理員使用者權限的情況下，可用來將權限升級為root，CVSS風險評為7.8分，博通已發布26H1版予以修補。 <a href="https://www.ithome.com.tw/news/175921" target="_blank">Reaper竊資程式混合冒充蘋果、微軟、Google，攻擊macOS用戶並建立後門</a> 近年來以macOS為目標的竊資程式愈來愈多，SentinelOne最近發現的Reaper為竊資程式SHub Stealer的變種，使用以WeChat和線上協作白板Miro安裝程式為誘餌的手法和前版相似，手法更複雜，竊取目標也更多。值得一提的是，Reaper感染鏈在每個階段都冒充不同大廠。首先，它的惡意程式託管在一個誤植域名（typo-squatted）的假微軟網域，冒充蘋果安全更新執行，之後經由假的Google軟體更新目錄進行持續性（persistent）攻擊。 <a href="https://www.ithome.com.tw/news/175883" target="_blank">Dell SupportAssist服務引發Windows BSOD災情</a> 端點安全仰賴持續的軟體更新，但更新過程中的相容性錯誤可能導致嚴重的服務中斷。有用戶在Dell用戶論壇反映，在5月8日安裝Dell Update 5.5.16.0及其內建的SupportAssist Remediation 5.5.16.0和Dell SupportAssist OS Recovery外掛後，系統每30分鐘出現藍色死亡螢幕（BSOD）後無預警自動重啟的狀態。Dell官方表示已經獲知狀況，正在解決問題。 <h1>網路安全</h1> 鎖定企業網路邊緣的零時差漏洞攻擊仍是本週焦點，思科修補已遭國家級駭客利用的Catalyst SD-WAN漏洞CVE-2026-20182，攻擊者可向存在漏洞的系統發送特製請求，以觸發漏洞。此外，還有攻擊者利用公開PoC持續針對已知漏洞發動攻擊，突顯企業未修補漏洞將使曝險演變為受害。 <a href="https://www.ithome.com.tw/news/175836" target="_blank">思科Catalyst SD-WAN遭遇零時差漏洞攻擊【CVE-2026-20182】</a> <a href="/sites/default/files/images/2026-05-22_173250.jpg"><img alt="" src="/sites/default/files/images/2026-05-22_173250.jpg" style="width: 380px; float: right;" /></a> 新一起零時差漏洞攻擊引發關注！思科揭露與修補Catalyst SD-WAN控制器漏洞CVE-2026-20182，美國網路安全暨基礎設施安全局（CISA）隨即將其列入已遭利用漏洞名冊（KEV）。該漏洞CVSS風險評為10分，一旦遭利用，攻擊者可向存在漏洞的系統發送特製請求觸發漏洞。後續思科威脅情報團隊<a href="https://www.ithome.com.tw/news/175840">Talos亦公布調查結果</a>，並指出利用該漏洞的駭客組織，就是2月揭露、曾利用另一個漏洞CVE-2026-20127發動攻擊的駭客組織UAT-8616。 <a href="https://www.ithome.com.tw/news/175845" target="_blank">今年2月修補的思科SD-WAN系統高風險漏洞，已有多組人馬用於實際攻擊</a> 有駭客利用公開PoC持續攻擊未修補已知漏洞的企業！從今年3月至4月，思科威脅情報團隊Talos掌握一系列駭客團體活動，他們利用今年2月下旬修補的任意檔案覆寫漏洞CVE-2026-20122、權限提升漏洞CVE-2026-20126，以及資訊洩露漏洞CVE-2026-20133（CVSS風險值為7.1、7.8、7.5），攻擊尚未修補的思科SD-WAN系統，Talos一共看到10波攻擊活動共通點是駭客透過公開的概念驗證程式碼（PoC）利用上述漏洞。 <a href="https://www.ithome.com.tw/news/175835" target="_blank">思科Catalyst SD-WAN控制器曝重大身分認證繞過漏洞</a> 思科公告旗下的SD-WAN解決方案存在重大資安漏洞CVE-2026-20182，CVSS風險評為10分，相當危險，受影響產品為Catalyst SD-WAN Controller與Catalyst SD-WAN Manager（原名SD-WAN vSmart、SD-WAN vManage），涵蓋本地建置的SD-WAN環境與思科代管的雲端版本。令人憂心的是已發現遭到利用的跡象，該公司已發布修正版完成修補，並強調沒有其他解決方法，呼籲用戶儘速更新。 <a href="https://www.ithome.com.tw/news/175915" target="_blank">Palo Alto Networks修補防火牆作業系統身分驗證繞過漏洞</a> 資安公司Palo Alto Networks揭露與修補防火牆作業系統PAN-OS的高風險漏洞CVE-2026-0265，指出在啟用雲端身分驗證服務（CAS）的情況下，PAN-OS存在身分驗證繞過漏洞，未經身分驗證的攻擊者，經由網路存取就能繞過防火牆的身分驗證控制。受影響設備涵蓋PA系列的實體設備、VM系列的虛擬防火牆，以及防火牆管理平臺Panorama。值得注意的是，Hacktron AI資安研究員<a href="https://www.ithome.com.tw/news/175918">指出該漏洞危險程度恐被低估</a>，而且經過其測試，已成功利用這項漏洞進入多家主要公司的VPN環境。 <a href="https://www.ithome.com.tw/news/176016" target="_blank">華為路由器疑似零時差漏洞引發DoS攻擊，盧森堡去年通訊中斷逾3小時</a> 盧森堡國營電信POST Luxembourg去年發生長達3小時的全國性通訊中斷，近日資安媒體The Record報導更多詳情，指出去年年中華為企業路由器一個軟體漏洞遭到攻擊，但事件過後10個月，沒有相關漏洞或事件資訊公開，廠商華為也沒有對其他同一款設備的電信用戶發布警告。如今媒體報導揭露，事發初期以為是DDoS攻擊，調查後發現，該事件是攻擊者利用POST Luxembourg為中繼站，由它將超大規模流量轉送（relay）出去，並非以其為目標。不過這個階段，華為路由器卻未能順利將流量轉送出去，而是發生不知名的故障，導致陷入重啟動循環及停止運作。 <h1>應用程式安全</h1> 應用程式安全威脅頻傳，首要焦點為Exchange Server出現已遭利用的零時差漏洞，微軟緊急發布CVE-2026-42897緩解措施。同時，Nginx一週前修補的CVE-2026-42945漏洞亦傳出遭積極利用；而Mini Shai-Hulud蠕蟲引發大規模NPM與PyPI供應鏈攻擊，其危害亦不容小覷，已傳出OpenAI與Mistral AI受波及的消息。 <a href="https://www.ithome.com.tw/news/175877" target="_blank">微軟揭露Exchange Server存在8.1分重大漏洞，並已偵測到漏洞利用活動</a>【CVE-2026-42897】 <a href="/sites/default/files/images/（圖X）CVE-2026-42897.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%96X%EF%BC%89CVE-2026-42897.jpg" style="width: 380px; float: right;" /></a> 發生零時差漏洞攻擊事件，微軟緊急發布公告說明Exchange Server重大漏洞CVE-2026-42897已遭利用，美國CISA亦將此列入KEV清單。特別要注意的是，目前微軟先公布兩種緩解措施，截稿前尚未釋出修補。受此漏洞影響的產品主要是部署於企業內部環境的Exchange Server 2016、Exchange Server 2019，以及Exchange Server訂閱版（SE），Exchange Online不受影響。 <a href="https://www.ithome.com.tw/news/175882" target="_blank">Nginx重大漏洞已被用於攻擊</a>【CVE-2026-42945】 網頁伺服器Nginx在一星期前修補的重大漏洞CVE-2026-42945，後續有研究人員警告已偵測到積極利用的現象。VulnCheck漏洞研究員Patrick Garrity於職場社群網站LinkedIn示警，因為他們在5月16日於蜜罐陷阱首度偵測到CVE-2026-42945被積極利用的跡象。雖然Nginx伺服器必須導入特定的重新寫入組態設定才會受到影響，但由於攻擊者無須通過身分驗證就能利用，再加上全球約有570萬臺伺服器尚未套用新版程式，用戶應儘速採取防範措施。 <a href="https://www.ithome.com.tw/news/176009" target="_blank">Drupal修補重大SQL注入漏洞，並破例為已停止支援版本發布更新</a> 內容管理系統Drupal開發團隊本週揭露與修補重大漏洞CVE-2026-9082，目前尚未公布CVSS嚴重度評分，但團隊公布Drupal本身的風險評估結果為20分（滿分25分），被評為最危險的超重大等級（Highly Critical），影響8.9.0以上版本的Drupal，開發團隊呼籲用戶儘速因應。Drupal強調此漏洞只影響採用PostgreSQL的網站，不過他們也對第三方元件Symfony與Twig進行修補，因此對於不受CVE-2026-9082影響的網站，他們呼籲用戶還是要升級新版Drupal。 <a href="https://www.ithome.com.tw/news/175854" target="_blank">TeamPCP利用蠕蟲Mini Shai-Hulud滲透逾400個NPM與PyPI套件</a> 多家資安公司指出，本週TanStack的NPM套件、Mistral AI的PyPI套件遭遇供應鏈攻擊，其實是4月底蠕蟲活動Mini Shai-Hulud的延續。 SafeDep強調，這是今年規模最大的程式碼儲存庫攻擊事件，而且範圍同時涵蓋NPM與PyPI。根據Socket的統計，截至5月15日，已累計出現416個惡意套件。Snyk也表示，TanStack的路由器套件系列是駭客最早入侵的管道，隨後蠕蟲透過自我散播的特性，迅速造成大規模感染。 <a href="https://www.ithome.com.tw/news/175856" target="_blank">OpenAI遭TanStack供應鏈攻擊波及</a> OpenAI公告有兩名員工的裝置受到Mini Shai-Hulud供應鏈攻擊影響，不慎安裝遭植入惡意程式碼的TanStack套件，該公司察覺後迅速展開調查，並採取措施保護系統。由於受影響的原始碼儲存庫包含應用程式簽署憑證，為求謹慎OpenAI將輪換憑證，macOS用戶必須因此而更新應用程式，否則等到OpenAI在6月12日完全撤銷現有憑證後，相關應用程式將無法使用，Windows與iOS用戶則不受影響。 <a href="https://www.ithome.com.tw/news/175927" target="_blank">RubyGems遭遇大規模惡意攻擊，暫停開發者註冊新帳號因應</a> 上週RubyGems儲存庫遭遇大規模攻擊，一度暫停帳號註冊服務作為因應措施，對此事件，Ruby Central開源長Marty Haught提出事故處理說明，他表示RubyGems正在處理垃圾套件活動，先前已暫停新帳號註冊，並限制使用Webhook，後續將改進相關檢測機制。後續RubyGems再透露，用於這起攻擊事故的機器人帳號已遭移除，這段期間攻擊者推送超過500個惡意套件，也全數下架。 <a href="https://www.ithome.com.tw/news/175931" target="_blank">針對RubyGems遭遇大規模垃圾套件攻擊事故，傳出駭客的目的是洩露英國政府機關網站資料</a> 關於RubyGems儲存庫發生垃圾套件投放攻擊事故，實際上這起事故源自另一起攻擊活動，駭客將RubyGems充當資料外送的管道。資安公司Socket指出，他們觀察到的攻擊行動GemStuffer，駭客使用超過100個Gem套件，但與許多供應鏈攻擊不同，這些套件主要用途並非對開發人員散布惡意軟體，而是將RubyGems充當資料傳輸的管道。Socket指出這些套件大多未被開發人員下載，其內含的指令碼，會從英國多個地方政府的入口網站擷取頁面，將收集的回應打包成有效的資料封裝，並利用特定API金鑰將這些資料上傳到RubyGems。 <a href="https://www.ithome.com.tw/news/175977" target="_blank">沙箱函式庫SandboxJS修補CVSS滿分重大漏洞</a> 開源JavaScript沙箱函式庫SandboxJS近日修補重大漏洞CVE-2026-43898，CVSS評分達10.0滿分，漏洞源自createFunction()隔離機制缺陷，攻擊者可突破沙箱限制，取得主機端Function建構函式，進而在主機端環境執行任意JavaScript程式碼，用戶應儘速升級到已修補的0.9.6版。 <a href="https://www.ithome.com.tw/news/175938" target="_blank">PostgreSQL資料庫發布更新，修補11項漏洞與60多項程式錯誤</a> PostgreSQL資料庫近日同步更新14.x至18.x等所有主要支援版本，修補11項漏洞與60多項程式錯誤，其中包括4項CVSS評分達8.8分的重大漏洞，可能導致執行任意程式碼或覆寫檔案，影響所有主要版本，已在14.23、15.18、16.14、17.10與18.4等新版本完成修補，建議用戶儘速更新，以降低風險。 <a href="https://www.ithome.com.tw/news/175995" target="_blank">GitLab發布安全更新，修補25項資安漏洞</a> GitLab近日發布安全更新，修補CE與EE版本共25項漏洞，包含多項涉及跨網站指令碼（XSS）、拒絕服務與存取控制的問題，其中4項XSS漏洞CVSS評分達8.7分，分別源自分析儀表板（Analytics dashboard）、全域搜尋（Global Search）與AI代理功能Duo Agent。GitLab建議採用self-managed部署的用戶儘速更新至已修補的18.11.3、18.10.6與18.9.7等版本。雲端版GitLab.com則已完成更新。 <a href="https://www.ithome.com.tw/news/175860" target="_blank">Google發布電腦版Chrome 148更新，修補79個資安漏洞</a> 本週Google發布電腦版Chrome更新148.0.7778.167、148.0.7778.168，總共修補79個漏洞，從嚴重程度來看，有14個是重大等級、37個屬於高風險等級，其餘28個為中度風險。 <a href="https://www.ithome.com.tw/news/175874" target="_blank">Mozilla推出Firefox 150.0.3，修補多項JavaScript高風險漏洞</a> Firefox 150.0.3更新上周釋出，總共修補5個高風險漏洞CVE-2026-8388、CVE-2026-8389、CVE-2026-8390、CVE-2026-8391、CVE-2026-8401。美國CISA指出，最危險的漏洞是CVE-2026-8401，此沙箱逃逸類型的弱點，存在Firefox個人設定檔備份元件，CVSS風險評為9.8分。 <a href="https://www.ithome.com.tw/news/175965" target="_blank">Mozilla發布Firefox 151更新，修補逾30項資安漏洞</a> 5月19日Mozilla基金會發布Firefox版本更新，151版修補了31個資安漏洞（高風險漏洞有6個、中度風險12個、低風險13個）。 上述高風險漏洞當中，有兩個是有關記憶體安全的臭蟲，值得注意的是，美國網路安全暨基礎設施安全局授權資料發布單位（CISA-ADP）對它們的CVSS嚴重度評分，都達到9.8。 <a href="https://www.ithome.com.tw/news/176013" target="_blank">Hitachi Vantara修補Pentaho資料整合與分析平臺重大漏洞</a> Hitachi Vantara修補旗下Pentaho資料整合與分析平臺重大風險漏洞CVE-2025-11159，CVSS達9.1分，可能導致攻擊者執行外部程式碼，進而存取敏感資料或發動遠端程式碼執行攻擊。Hitachi Vantara已於10.2.0.7與11.0.0.0版移除存在漏洞的元件，呼籲企業儘速更新至已修補版本。 <a href="https://www.ithome.com.tw/news/175897" target="_blank">臺灣資安廠商DEVCORE奪下Pwn2Own Berlin 2026破解大師殊榮</a> 在上週舉行的2026年度資安漏洞利用競賽Pwn2Own柏林場，一共找到47個零時差漏洞，主辦單位ZDI共頒發1,298,250美元獎金。臺灣資安公司戴夫寇爾（DEVCORE）在Chrome/Edge + Sandbox Escape，Exchange Server，Microsoft Office 365等項目表現出色，以總分50.5分獲得壓倒性勝利，拿下本次競賽的破解大師（Master of Pwn）殊榮，並贏得505,000美元獎金。 <h1>身分安全</h1> 驗證機制進化與憑證濫用威脅是本週身分安全焦點，相關消息涵蓋經濟部推動行動工商憑證，以及微軟瓦解惡意簽章平臺Fox Tempest。此外，微軟個人帳號停用簡訊驗證碼，顯現科技大廠正加速擺脫簡訊OTP來驗證風險。另要注意的是，網釣威脅態勢依然嚴峻，兩起揭露指出駭客正持續利用Tycoon 2FA與新型裝置碼釣魚手法。 <a href="https://www.ithome.com.tw/news/175909" target="_blank">經濟部推行動工商憑證，讓手機化身「數位大小章」，瞄準企業授權與金融應用</a> 實體工商憑證卡施行已久，如今經濟部商業發展署新推行動工商憑證，該憑證具備三大功能，包括身分驗證、數位簽章與資料加密。其最大改變是將原本實體卡片與公司大小章，進一步整合進手機裝置中，憑證儲存在手機安全區域，同時結合手機生物辨識，並支援MAS Level 2認證等級，以鞏固其安全性。此外，行動工商憑證也將朝向串接數位憑證皮夾發展，未來甚至延伸至金融場景，畢竟目前金融業大量使用OTP驗證，若能以行動工商憑證取代部分OTP機制，可望降低銀行驗證成本，同時提升交易安全性。 <a href="https://www.ithome.com.tw/news/176003" target="_blank">微軟個人帳號將開始停用簡訊傳送OTP驗證碼</a> <a href="/sites/default/files/images/（圖X）Microsoft to stop sending SMS codes for personal accounts.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%96X%EF%BC%89Microsoft%20to%20stop%20sending%20SMS%20codes%20for%20personal%20accounts.jpg" style="width: 380px; float: right;" /></a> 以簡訊（SMS）為基礎的驗證方式成為詐騙主要來源，微軟希望協助使用者更全面採用無密碼帳號、通行密鑰（passkey）和經驗證的電子郵件信箱，收取雙因素驗證（2FA）驗證碼，藉此降低威脅同時簡化帳號登入作業。為此，微軟宣布Windows 11個人版微軟帳號的驗證及帳號回復，將開始停用以簡訊作為處理這些程序的管道，並將導引用戶以簡易方式加入經過驗證的email帳號及設定通行密鑰。之後登入微軟帳號或是復原帳號，而不再需要用到簡訊，而且手機掉了也可以安全回復帳號。 <a href="https://www.ithome.com.tw/news/175961" target="_blank">微軟修改Edge瀏覽器密碼管理機制，避免開機即載入明文密碼</a> 微軟宣布調整Microsoft Edge瀏覽器密碼管理機制，未來瀏覽器啟動時，將不再載入所有已儲存密碼到記憶體，而改為僅在使用者需要時才進行處理。這項修改源自研究人員揭露Edge過去會在啟動時預載全部密碼，微軟表示新版機制已先於Edge Canary測試版本提供，後續將透過Edge 148版推送給所有用戶。 <a href="https://www.ithome.com.tw/news/175974" target="_blank">微軟破獲惡意軟體簽章服務平臺Fox Tempest</a> 自2025年開始運作的惡意軟體簽章服務（Malware-Signing-as-a-Service，MSaaS）平臺，經營者是以經濟利益為動機的駭客團體Fox Tempest，他們濫用微軟的Artifact Signing系統為惡意程式簽章，藉此偽造應用程式身分，使其能暫時躲過資安系統的偵測，5月19日微軟宣布成功瓦解。根據調查，Fox Tempest偽造超過1千個憑證，並透過數百個Azure租戶來提供相關服務。今年5月微軟在資安公司Resecurity的協助之下，中斷這些駭客的業務，並撤銷超過1千個偽造憑證。 <a href="https://www.ithome.com.tw/news/175906" target="_blank">Tycoon 2FA被用於裝置驗證碼網釣，駭客搭配Trustifi追蹤器挾持M365帳號</a> eSentire發現新一波Tycoon 2FA攻擊，駭客利用合法郵件安全平臺Trustifi規避閘道攔阻，並透過Cloudflare Workers多層轉址，誘騙用戶在微軟裝置登入頁面完成授權。此攻擊特殊之處是，過程不需詢問密碼，而是利用偽裝成官方程式的OAuth客戶端竊取權杖，進而掌控 Exchange Online與OneDrive等服務。 <a href="https://www.ithome.com.tw/news/175885" target="_blank">新駭客基礎架構出現，加速裝置碼釣魚、竊取Microsoft 365權杖</a> Proofpoint發現新型裝置碼釣魚攻擊，新手法改在使用者點擊連結的瞬間動態產生驗證碼，而不像以往先有驗證碼再騙取，藉此規避15分鐘內未輸入即過期的機制。此惡意活動最早從2025年秋天出現，更受關注的是，此手法已整合至EvilTokens 與 Tycoon 等釣魚平臺，並在今年4月衍生出7種變種。攻擊組織TA4903已利用此技術針對M365進行商業電子郵件詐騙（BEC），但也有少部分以Google憑證為目標。 <h1>IoT/OT安全</h1> 關於智慧設備的韌體安全與機器人控制風險，近日就有重大隱患揭露，而且是發生在割草機器人系統。有鑑於未來智慧連網裝置將更為普及，這方面的防禦機制與韌體開發規範更顯重要。 <a href="https://www.ithome.com.tw/news/175831" target="_blank">Yarbo割草機器人存在可被遠端控制的重大漏洞，用戶需升級新版韌體</a> 研究人員揭露Yarbo割草機器人系統韌體存在安全隱患，該品牌所有設備系統均有寫死root密碼的狀況，且預留遠端控制的後門，攻擊者可能藉此從遠端接管設備，甚至同時控制整個機器人群組。Yarbo原廠已更新韌體，並承諾進一步改進安全機制。 <h1>資安維運</h1> 資安維運管理存在不同層面議題，近期消息顯現跨國資安治理、資安長人力落差的挑戰。專家強調全球資安治理核心在於跨文化協作與認知對齊（Alignment）；調查則顯示全球CISO人力落差高達1比1萬，職責隨AI與法規壓力擴大。 <a href="https://www.ithome.com.tw/news/175847" target="_blank">專家談跨國企業資安治理：真正難的不是技術，而是跨文化協作</a> 【臺灣資安大會直擊】與不同國家的團隊合作，建立一致的風險認知與協作模式，才是全球資安治理真正困難之處。保瑞藥業全球資安經理Jesse Ku指出，全球資安治理的核心在於「對齊（Alignment）」， 英文能力只是第一層障礙，真正困難是不同文化背景下對同一句話的不同解讀，華人常用的「No no no」或「Actually」就是一例。還有職場文化差異，臺灣企業通常追求效率與執行速度，歐洲團隊則更看重邏輯辯論與說服過程，而加拿大與澳洲同事則相對重視工作與生活的平衡。因此，當跨國企業持續擴張、併購與整合日益頻繁，資安團隊不只要面對技術威脅，還必須處理語言、文化、組織與管理上的「隱形障礙」。 <a href="https://www.ithome.com.tw/news/175864" target="_blank">2026年全球資安長人力落差約1比1萬，AI與法規壓力擴大CISO職責</a> Sophos與Cybersecurity Ventures合作發布《2026 CISO Report》，顯示AI、勒索軟體、供應鏈攻擊、後量子密碼學轉換與法規壓力，正持續擴大資安長（CISO）的職責範圍，而目前全球CISO估計約有3.5萬名，僅較2023年的3.2萬名小幅增加；但全球營運中的企業約達3.59億家，相當於平均1名CISO需對應約1萬家企業，凸顯資安領導人才缺口依舊明顯。 <a href="https://www.ithome.com.tw/news/175932" target="_blank">仍有將近3500臺Wazuh主機未修補CVE-2026-30893漏洞，持續暴露於攻擊風險下</a> <a href="/sites/default/files/images/wazuh_CVE-2026-30893_shadowserver.jpg"><img alt="" src="/sites/default/files/images/wazuh_CVE-2026-30893_shadowserver.jpg" style="width: 380px; float: right;" /></a> Wazuh開源資安監控平臺於4月底揭露的重大漏洞CVE-2026-30893，可能導致執行遠端程式碼，並允許攻擊者進行橫向移動與覆寫系統，雖然4.14.4修補版本已釋出，但截至5月17日，仍有約3500臺Wazuh主機未更新，並直接暴露於網路，臺灣亦有19臺受影響，顯示漏洞修補進度嚴重落後。 <a href="https://www.ithome.com.tw/news/176008" target="_blank">為了推廣Azure Arc混合雲管理架構，微軟開放部分版本Windows Server 2025用戶使用熱修補功能</a> 微軟正式開放Windows Server 2025用戶透過Azure Arc啟用Hotpatch熱修補功能，讓企業可在多數安全更新時無須重新開機，將伺服器重啟頻率降至每季一次。過去微軟僅限於Azure版本Windows提供熱修補功能，如今則擴展至地端環境，也反映微軟推動Windows Server管理雲端化的方向。 </div></div></div>
5/22 18:36作者羅正漢https://www.ithome.com.tw/news/176056
MedTech醫療科技雙周報第49期：美國醫院協會啟動加速器，要助醫院落地AI、虛擬照護和EHR技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">重點新聞（0501～0515 ） AHA 落地 AI 美國醫院協會啟動加速器，要助醫院落地AI、虛擬照護和EHR技術 美國醫院協會（AHA）和醫療研究機構West Health Institute最近啟動一項醫療科技加速計畫，為期3年，要協助醫院把已被驗證有效的數位技術，落地日常醫療流程，而不是只停留在試點階段。 這項計畫名為West Health Accelerator，總預算達1,200萬美元，將聚焦3大方向：電子病歷（EHR）優化、虛擬照護，以及AI整合。參與醫院可透過新建的數位平臺，存取可直接部署的技術方案、導入支援和成效衡量工具，也能和其他醫院交流數位轉型經驗。 West Health Institute執行長Shelley Lyford表示，現在已有許多技術能改善醫療照護，真正的問題在於，如何讓這些工具更容易大規模採用並長期維運。美國醫院協會營運長Michelle Hood也強調，AI和數位工具並非取代醫護，而是協助改善照護品質、減少行政負擔，提升病患預後表現。這項計畫也特別聚焦高齡照護，要改善住院、心理健康和偏鄉醫療等場景中的照護效率與資源落差。<a href="https://www.aha.org/press-releases/2026-04-29-aha-and-west-health-launch-national-accelerator-scale-technology-enabled-patient-care-solutions">（詳全文）</a> 衛福部 SBOM AI供應鏈 衛福部考慮推醫療AI版SBOM，醫療主權雲正式版也將出爐 在今年度臺灣資安大會醫療資安論壇上，衛福部資訊處處長李建璋透露，衛福部下一步考慮在負責任AI中心，導入SBOM（軟體物料清單）機制，要求進入醫院的AI系統揭露所使用的模型、函式庫、容器與API等軟體元件，並同步進行弱點掃描，來降低醫療AI供應鏈風險。 他指出，醫療AI的風險不只來自模型本身，而是背後複雜的軟體供應鏈。即使模型安全，只要第三方元件存在漏洞，也可能成為攻擊入口。因此，衛福部打算先在由10家醫院營運的負責任AI中心，試行SBOM治理流程，讓醫療AI系統在正式導入各家醫院前，先完成資安與個資風險檢查。 此外，他預告，衛福部近期將公布「醫療主權雲八大方針」正式版。未來醫療資料除了要求留存在臺灣、全程加密外，加密金鑰也須由醫院自行掌握，未經授權不得二次利用。雖然醫院採用這類主權雲服務後，成本可能增加5%至15%，但可換取更完整的資料治理與法規保障。 <a href="https://www.ithome.com.tw/news/175594">（詳全文）</a> <img alt="" src="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/line_album_05064a1400-1410wei_fu_bu_zi_xun_chu_chu_chang_li_jian_zhang_260506_1.jpg?itok=sgTetJ1Y" /> 醫院 GenAI 上雲 醫療業掀第二波上雲潮：GenAI帶動SaaS預算年增18% 根據iThome 2026 CIO & CISO大調查，醫療業成為今年最積極加碼公雲的產業之一，特別是在SaaS服務上的投資年增18%，成長幅度居六大產業之冠。醫療業第一波上雲潮始於2022年政府開放電子病歷上雲，並在2024年達到高峰，當年雲端投資成長率高達96%。而到了2026年，隨著生成式AI應用需求升溫，加上衛福部積極推動FHIR醫療資料交換標準，醫療產業再度掀起第二波上雲潮。 相較過去以基礎設施（Infrastructure）為主，今年醫療業的上雲重心明顯轉向SaaS服務，包括AI開發工具、資料交換平臺與臨床應用服務等。同時，也有更多醫療機構開始採用多雲與混合雲架構，今年選擇多雲策略的醫療業者較去年增加約1成。整體來看，醫療業的雲端投資正從「把系統搬上雲」，逐步走向「在雲上跑AI、交換資料與打造新服務」，也讓醫療雲端化進入下一階段。<a href="https://www.ithome.com.tw/news/175830">（詳全文）</a> <img alt="" src="https://www.ithome.com.tw/sites/default/files/images/%E5%90%84%E7%94%A2%E6%A5%AD%E4%B8%89%E5%B9%B4%E5%85%AC%E9%9B%B2%E9%A0%90%E7%AE%97%E6%88%90%E9%95%B7%E7%8E%87%E6%AF%94%E8%BC%83.png" /> 資安 邊界主機 OT 醫院OT資安別急著每臺都裝防火牆，應先盤點設備、縮小範圍才是關鍵 在今年度臺灣資安大會醫療資安論壇上，擁有近30年醫工經驗的張韶良指出，醫院OT（營運技術）資安最大的迷思，就是把辦公室IT那套防護邏輯直接搬進醫療現場，甚至認為每臺設備都該做相同等級的防護。 他強調，醫療OT第一步不是全面加裝防火牆，而是先完成資產盤點、設備分類與網路盤查，從上萬臺設備中，找出真正需要優先保護的核心節點與邊界設備。根據衛福部目前的定義，只有具備網路連線能力、可追蹤IP，且需要與HIS、PACS等系統交換資料的醫療設備，才屬於優先列管範圍。透過這些條件篩選，一家原本擁有超過2萬臺設備的醫學中心，最後真正需要優先防護的，可能只剩10到20臺。 張韶良也指出，真正重要的往往不是病房裡每一臺終端設備，而是負責資料交換的邊界主機與中央控制系統。與其每臺設備各自加裝防護，不如從全院網路架構著手，透過網路分段與OT隔離，才能用有限資源守住真正的高風險節點。<a href="https://www.ithome.com.tw/news/175738">（詳全文）</a> <img alt="" src="https://www.ithome.com.tw/sites/default/files/images/%E5%88%97%E7%AE%A1.JPG" /> 資安治理 健康臺灣深耕計畫 資安預算 健康臺灣期中審查將查AI與資安治理、醫院資安預算至少應編3% 在臺灣資安大會醫療資安論壇上，中山醫學大學附設醫院醫療資訊中心副主任黃冠凱指出，衛福部推動的「健康臺灣深耕計畫」即將進入期中審查，其中第3範疇將聚焦資安治理、資料治理與AI治理，成為後續重要核查重點。 他提醒，醫療機構未來不只要補強技術防護，也得建立AI治理機制，包括模型透明性、資料來源揭露、風險管理與持續監測等能力，並依行政院AI治理七大原則設立AI治理委員會。在預算方面，黃冠凱建議，醫院資安經費至少應占總預算3%以上，其中醫學中心甚至應達10%至15%，才能建立完整防護能力。他引用Ponemon Institute研究指出，每投入1美元資安預算，平均可避免4至6美元潛在損失。 技術面上，他建議醫院逐步從傳統防毒升級至EDR與XDR，並導入AI異常偵測與IoT網路分段管理。例如透過機器學習建立使用者行為基準，提早辨識勒索攻擊；同時將院內網路切分為醫療區、病房區與訪客區，降低IoT設備遭入侵後的橫向擴散風險。<a href="https://www.ithome.com.tw/news/175668">（詳全文）</a> <img alt="" src="https://www.ithome.com.tw/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202026-05-08%20170246.png" /> FDA AI 監管 FDA升級內部AI工具Elsa：串接40套資料系統，強化監管分析能力 美國食品藥物管理局（FDA）近日升級內部AI工具Elsa 4.0，並同步整合超過40套原本分散的申請、送件與監管資料系統，建立名為HALO的新資料平臺，強化AI查詢與分析能力。 FDA首席AI長Jeremy Walsh表示，過去Elsa多半仰賴員工手動上傳資料，未來隨著HALO串接完成，員工可直接透過AI查詢FDA內部資料、建立工作流程與進行分析，不必反覆上傳文件。新版Elsa 4.0新增多項功能，包括自定AI代理、文件生成、資料分析與視覺化、OCR文字辨識、語音轉文字，以及大型文件庫搜尋等能力，也能透過安全網頁存取功能進行搜尋。 在安全設計上，Elsa建置於符合FedRAMP High等級的Google Cloud環境，FDA強調，不會使用員工輸入內容或業者提交資料訓練模型，以降低敏感資料外洩風險。同時，FDA仍保留人工審查流程，由領域專家檢查AI輸入、分析與輸出結果，避免AI直接影響監管決策。<a href="https://www.fda.gov/news-events/press-announcements/fda-expands-ai-capabilities-and-completes-data-platform-consolidation">（詳全文）</a> 健保署 NGS FHIR 健保署推NGS資料FHIR化，癌症基因檢測正式標準化交換 健保署日前舉辦NGS資料收載機制成果觀摩會，正式展示次世代基因定序（NGS）檢測資料如何採用FHIR國際醫療資訊標準，推動癌症精準醫療資料的跨院交換與數位化。 健保署署長陳亮妤表示，自2024年起，健保已將NGS納入給付，目前共有62家醫院申報，涵蓋10種癌症、27種癌藥，已有5,700名病患受惠。不過，過去基因檢測報告多以PDF或純文字保存，格式不一致，不利資料交換與自動化分析。 因此，健保署自2025年底啟動NGS資料收載機制建置，全面導入FHIR標準，希望將基因檢測資料轉為可結構化交換的格式。此次也由林口長庚、新光醫院與檢測單位展示FHIR化後的資料上傳流程與跨機構傳輸演練。 此外，健保署近年也已推動癌藥事前審查FHIR化，截至今年4月已有81家醫院參與，其中35家已採FHIR格式送審。未來，NGS資料也將逐步整合進癌症病患從診斷、治療到追蹤的完整資料鏈，作為精準醫療與AI分析的重要基礎。<a href="https://www.nhi.gov.tw/ch/cp-19897-1908c-3255-1.html">（詳全文）</a> <img alt="" src="https://www.nhi.gov.tw/Public/Images/202605/260514135118452b7f.jpg" /> 健保署 HTA FHIR 健保署繼續聯手英國NICE，瞄準癌症新藥、FHIR到醫療決策數位化 健保署和財團法人醫藥品查驗中心（CDE）近日再度與英國國家健康暨照護卓越研究院（NICE）續簽合作協議，未來3年將深化臺英在醫療科技評估（HTA）、癌症數位治理與醫療資料標準化等領域的合作。 NICE是全球最具代表性的醫療科技評估機構之一，專門協助政府判斷「哪些新藥、醫材值得納入健保」。臺灣自2023年開始與NICE合作，已參考英國癌症藥品基金模式，建立癌症新藥暫時性支付專款，希望兼顧病患用藥機會與健保財務壓力。 這次新合作則聚焦4大方向。第一，建立基因治療、細胞治療等高價創新療法的評估制度；第二，推動癌症醫療數位化，雙方將交流如何利用FHIR國際醫療資料標準，加快癌藥事前審查與真實世界療效追蹤；第三，透過專家交流與訓練培養HTA人才；第四，導入「社會觀點」，未來評估醫療政策時，不只看醫療成本，也納入長照、家庭照護與社會影響。衛福部長石崇良表示，臺灣目前也正推動成立「國家醫療科技評估中心」，希望建立更完整、以科學實證為基礎的醫療決策制度。<a href="https://www.nhi.gov.tw/ch/cp-19894-65136-3255-1.html">（詳全文）</a> 圖片來源／iThome、健保署 攝影／王若樸 MedTech醫療科技近期新聞 1. <a href="https://www.ithome.com.tw/news/175147">美國醫學期刊研究顯示AI早期診斷錯誤率逾80%</a> 2. <a href="https://www.ithome.com.tw/news/175151">長庚醫療體系從制度與管理面推動數位與ESG並進，打造智慧永續醫院治理架構</a> 資料來源：iThome整理，2026年5月 </div></div></div>
5/19 17:15作者王若樸https://www.ithome.com.tw/news/175943
【資安日報】5月19日，Linux核心再傳Copy Fail新變種漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><a href="https://www.ithome.com.tw/news/175919">Linux核心再傳新的權限提升漏洞DirtyDecrypt</a> 繼4月底至5月上旬，陸續有資安廠商與研究人員揭露Linux核心的本機權限提升（LPE）漏洞，而引起廣泛討論，最早出現的是命名為Copy Fail的弱點，後續又出現該漏洞的變種Dirty Frag與Fragnesia，現在有人表示他們一週前向Linux核心開發團隊通報新的變種漏洞。根據資安新聞網站Bleeping Computer報導，V12資安團隊透露新變種漏洞DirtyDecrypt（或DirtyCBC），並公布概念驗證程式碼（PoC），Tharros首席漏洞分析師Will Dormann推測，DirtyDecrypt可能就是4月下旬列入美國國家漏洞資料庫（NVD）的CVE-2026-31635。 <a href="https://www.ithome.com.tw/news/175915">Palo Alto Networks修補防火牆作業系統身分驗證繞過漏洞</a> 5月14日資安公司Palo Alto Networks發布公告指出，防火牆作業系統PAN-OS在啟用雲端身分驗證服務（Cloud Authentication Service，CAS）的情況下，存在身分驗證繞過漏洞CVE-2026-0265，未經身分驗證的攻擊者，經由網路存取就能繞過防火牆的身分驗證控制。此漏洞的CVSS v4.0基礎評分（CVSS-B）為9.2分，但若改為基礎評分加上威脅程度的CVSS-BT評估，風險降為7.2分，無論PA系列的實體設備、VM系列的虛擬防火牆，以及防火牆管理平臺Panorama都受到影響。 <a href="https://www.ithome.com.tw/news/175918">研究人員警告PAN-OS身分驗證繞過漏洞的危險程度恐被低估</a> 上週Palo Alto Networks公布防火牆作業系統PAN-OS身分驗證繞過漏洞CVE-2026-0265，通報此事的研究人員透過社群網站發聲，認為該資安公告可能讓用戶低估漏洞造成的風險。Hacktron AI資安研究員Harsh Jaiswal於社群網站X指出，CVE-2026-0265應為重大（critical）等級的身分驗證繞過漏洞，相當危險，而且它的影響範圍不只有PAN-OS，同時影響同廠牌的VPN系統GlobalProtect。經過測試，該研究員已成功利用這項漏洞進入多家主要公司的VPN環境。針對漏洞細節，他打算本週發布部落格文章說明。 <a href="https://www.ithome.com.tw/news/175914">7-Eleven證實資料被駭，疑外洩加盟店資訊</a> 7-Eleven近日向美國緬因州檢察長辦公室通報資料外洩，並於5月1日以電子郵件通知受影響人員。根據7-Eleven的通知，2026年4月8日該公司發現未經授權第三方人士存取該公司儲存加盟店文件的某些系統，導致資料外洩，不過，他們並未透露受影響人數等其他細節。資安新聞網站SecurityWeek報導指出，惡名昭彰的ShinyHunters於4月17日聲稱握有這家連鎖便利商店龍頭的資料，疑似從其Salesforce系統竊得，資料筆數超過60萬，計畫以25萬美元出售。 <a href="https://www.ithome.com.tw/news/175928">美國最大公立醫院醫療資訊、指紋、信用卡資料被竊走，影響180萬人</a> 全美最大公立醫院體系紐約公立醫院系統NYC Health + Hospitals公告發生系統被駭客存取，致使近180萬人極敏感的醫療資料、指紋、信用卡資訊、帳密及社會安全號碼等被竊走。這起事故在2月被察覺，院方重設所有受影響的帳號，並導入經強化的安全防範。經過調查，攻擊者存取時間為2025年11月25日到2026年2月11日。該院在3月在網上公告此事，他們相信是第三方系統廠商發生安全事件，讓攻擊者得以存取院方的網路及系統，並竊取資料。 <a href="https://www.ithome.com.tw/news/175921">竊資軟體Reaper冒充蘋果、微軟、Google，攻擊macOS用戶並建立後門</a> <a href="/sites/default/files/images/SHub_reaper_3-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/SHub_reaper_3-63.jpg" style="width: 300px; float: right;" /></a>資安業者SentinelOne研究人員發現竊資程式Reaper，冒充蘋果、微軟和Google以攻擊macOS裝置用戶，並竊取其瀏覽器、擴充程式、電子錢包、機密文件。此惡意程式為SHub Stealer變種，使用以微信（WeChat）和線上協作白板Miro安裝程式為誘餌，但手法更複雜，竊取目標也更多。值得一提的是，Reaper感染鏈在每個階段都冒充不同科技大廠。首先，駭客將惡意程式託管在假微軟網域，冒充蘋果安全更新執行，之後經由假的Google軟體更新目錄進行持續性攻擊。 <a href="https://www.ithome.com.tw/news/175893">駭客濫用Langflow漏洞與NATS訊息中介系統，竊取AI與雲端環境存取金鑰</a> 3月底揭露的圖像化大型語言模型（LLM）開發工具Langflow重大漏洞CVE-2026-33017，近日出現新一波攻擊活動，資安廠商Sysdig發布報告指出，駭客正利用這項漏洞結合訊息中介系統NATS，構成新型攻擊手法，竊取AWS雲端憑證及OpenAI、Anthropic等AI服務的API金鑰。這波攻擊的特別之處在於，攻擊者還會部署NATS（Neural Autonomic Transport System）工作節點（Workers），作為指令與資料傳輸通道。 <a href="https://www.ithome.com.tw/news/175927">RubyGems遭遇大規模惡意攻擊，暫停開發者註冊新帳號因應</a> 根據資安新聞網站The Hacker News報導，上週RubyGems儲存庫遭遇大規模攻擊，一度暫停帳號註冊服務作為因應措施。這起事故最早是Mend.io軟體供應鏈安全資深產品經理Maciej Mensfeld社群網站X透露，5月11日他們從RubyGems移除超過120個惡意套件，他認為駭客鎖定RubyGems而來，企圖發動跨網站指令碼（XSS）攻擊，或是進行資料洩露，目標並非一般的使用者。後續RubyGems透露，用於這起攻擊事故的機器人帳號已遭移除，這段期間攻擊者推送超過500個惡意套件，也全數下架。RubyGems在16日宣布，這起事故已獲得解決，他們重新開放帳號註冊。 <a href="https://www.ithome.com.tw/news/175931">針對RubyGems遭遇大規模垃圾套件攻擊事故，傳出駭客的目的是洩露英國政府機關網站資料</a> 資安公司Socket揭露攻擊行動GemStuffer，過程裡駭客使用超過100個Gem套件，不過值得留意的是，與許多供應鏈攻擊不同，這些套件主要用途並非對開發人員散布惡意軟體，而是將RubyGems充當資料傳輸的管道。Socket指出這些套件大多未被開發人員下載，其內含的指令碼，會從英國多個地方政府的入口網站擷取頁面，將收集的回應打包成有效的資料封裝，並利用特定API金鑰將這些資料上傳到RubyGems。 <a href="https://www.ithome.com.tw/news/175929">Cloudflare測試Claude Mythos，串聯多個低風險漏洞形成攻擊鏈</a> <a href="/sites/default/files/images/Cloudflare-Mythos6-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/Cloudflare-Mythos6-63.jpg" style="width: 300px; float: right;" /></a>繼英國AI安全研究所（AI Security Institute，AISI）評測Anthropic最新模型Claude Mythos Preview之後，5月18日網路基礎架構及資安服務業者Cloudflare也公布測試結果，指出該模型不僅能找出程式碼漏洞，還能將多個低風險漏洞串聯成可執行的攻擊鏈，並自行撰寫與執行概念驗證（PoC）程式，顯示先進AI在漏洞研究上的能力已明顯提升。Cloudflare表示，Mythos Preview最明顯的進步，在於能將多個低風險漏洞組合成完整攻擊鏈，而非只停留在漏洞描述階段。 <a href="https://www.ithome.com.tw/news/175916">歐盟《網路韌性法案》今年9月施行，產品安全通報時限成法遵門檻，僅四分之一企業將SBOM驗證納入自動化</a> 歐盟《網路韌性法案》（Cyber Resilience Act，CRA）將於2026年9月進入正式施行階段，對準備在歐盟銷售含有軟體、韌體或連網功能產品的企業而言，產品安全已不只是開發流程中的技術問題，也直接牽動法規遵循能力。軟體套件與元件管理平臺業者Cloudsmith發布年度調查報告《Artifact Management Report 2026》指出，，95%的受訪企業已能產出軟體物料清單（SBOM），但只有25%的工程團隊真正把SBOM驗證整合進安全控管流程並加以自動化。 <a href="https://www.ithome.com.tw/news/175808">思科營收成長12%，宣布裁撤近4,000名員工，資安業務持平</a> 網路設備大廠思科（Cisco）近日公布截至4月25日的2026財年第三季財報，該季思科創下158億美元營收，比去年同期成長12%，優於市場預期。思科也宣布，因應AI時代的投資重整，公司將於第四季裁減近4000名員工。其中，在產品營收中，網路業務仍是最大來源，達88.15億美元，成長25%；資安業務為20.08億美元，與去年同期持平；協作業務為10.24億美元，減少1%；可觀測性業務為2.69億美元，成長3%。 <a href="https://www.ithome.com.tw/news/175769">UiPath整合程式開發代理，AI建立的自動化流程也納入企業治理</a> 企業自動化廠商UiPath宣布推出UiPath for Coding Agents，將Claude Code與OpenAI Codex這類AI程式開發代理工具整合進自家平臺，讓企業可用這些工具建立自動化流程，再由UiPath平臺納入測試、部署、執行、權限控管與稽核流程。UiPath for Coding Agents的設計重點，是讓不同部門可使用各自偏好的AI程式開發代理工具，但後續執行與管理仍回到UiPath平臺。UiPath強調，無論自動化流程是由人類開發者建立，或由AI程式開發代理工具產生，都會套用相同的政策執行、操作紀錄、憑證保管、角色權限與執行階段控制。 <a href="https://www.ithome.com.tw/news/175730">GitLab啟動Act 2策略調整，改造AI代理開發平臺並縮減人力</a> GitLab執行長Bill Staples宣布啟動名為Act 2的組織重整與產品策略調整，核心方向是因應AI代理參與軟體開發後，程式碼提交、合併請求與CI/CD流程可能從人類速度轉向機器速度。Act 2策略延續GitLab今年1月所宣布GitLab Duo Agent Platform正式可用的方向，主打在軟體開發生命周期中協調AI代理，涵蓋規畫、程式碼、CI/CD與安全等工作，並提供Planner Agent、Security Analyst Agent與自訂代理等能力。 <a href="https://www.ithome.com.tw/news/175887">Raindrop AI推出開放原始碼工具Workshop，支援AI代理本機除錯與評估</a> 代理式AI逐漸進入程式開發流程，也讓AI代理的除錯、追蹤與評估成為新的開發課題。可觀測性新創業者Raindrop AI推出開放原始碼工具Workshop，定位為AI代理本機除錯與評估工具，可將AI代理執行過程中的追蹤記錄，即時串流到瀏覽器介面，協助開發者檢查AI代理執行過程中的大型語言模型呼叫、工具呼叫、決策過程，以及發生錯誤的原因。 <a href="https://www.ithome.com.tw/news/175766">Anthropic為Claude for Legal新增外掛、MCP連接器</a> 4月Anthropic推出以Claude Opus 4.7為基礎開發法務人士專用的AI代理工具Claude for Legal，5月中旬該公司再為這工具新增外掛（plugin）及MCP整合連接器進一步強化其功能。其中，新增外掛有12項，包括法規法務類、隱私法務類、處理和隱私法規（如GDPR）、訴訟法務，以及學習及其他法務行政等。此外，本次Claude for Legal新增20多項MCP連接器，能串接更多外部應用程式，如DocuSign、Ironclad、Box等。 <a href="https://www.ithome.com.tw/news/175925">WD為硬碟韌體保護導入後量子數位簽章技術，硬碟安全進入抗量子時代</a> WD近日宣布推出業界首款支援PQC的硬碟Ultrastar DC HC6100 UltraSMR，針對硬碟的安全開機程序（secure boot）與韌體層級，引進基於PQC演算法的數位簽章，強化硬碟底層的安全。WD這次是針對硬碟韌體與開機程序層級，提供PQC密碼學保護技術的升級，導入ML-DSA-87（NIST FIPS 204）PQC數位簽章演算法，以預防日後攻擊者利用量子電腦破解RSA/ECC數位簽章、透過偽造韌體更新的數位簽章，以散布惡意韌體。 <a href="https://www.ithome.com.tw/news/175909">經濟部推行動工商憑證，讓手機化身「數位大小章」，瞄準企業授權與金融應用</a> <a href="/sites/default/files/images/20260518_142004-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/20260518_142004-63.jpg" style="width: 300px; float: right;" /></a>為推動企業數位身分與商務流程的行動化，經濟部商業發展署正式推出「行動工商憑證」服務，讓企業不再受限於讀卡機與IC實體卡片，只要透過手機即可完成身分驗證、數位簽章與授權作業。經濟部表示，未來手機將成為企業的「數位大小章」，除可應用於公司登記、報稅與政府補助申請，甚至可延伸到證券下單、企業金融與保險等場景。對於外界關心的安全問題，行動工商憑證強調安全性比實體卡更高。憑證會儲存在手機的安全儲存區中，無法被匯出或複製，同時結合手機生物辨識，例如指紋或臉部辨識驗證。 <a href="https://www.ithome.com.tw/news/175926">【臺灣資安大會直擊】電信流量揭臺灣企業AI風險：7成大型企業封鎖中國模型，6萬家陷資安隱憂</a> 當政府持續示警中國AI模型存在過度蒐集資料、內容偏誤，甚至容易在開發過程中生成惡意程式碼等資安風險時，臺灣企業內部的真實使用情況究竟如何？中華電信近期首度揭露一項驚人的企業觀測統計：在全臺約30萬家企業線路中，AI工具的滲透率已高達66％，意即有近20萬家臺灣企業的員工正在使用AI工具。然而，其中更有超過6萬家企業，正因員工私下使用AI工具而形成的影子AI現象，暴露於具備資安爭議的中國AI模型風險之中。 <a href="https://www.ithome.com.tw/news/175863">【2026 CIO&CISO大調查】臺灣企業積極布局代理式AI與DevSecOps</a> 關於2026年臺灣企業軟體開發策略布局的轉變，代理式AI與DevSecOps成為企業最重視的兩大方向。根據iThome《2026 CIO & CISO大調查》顯示，今年企業開發模式出現明顯變化，其中代理式AI的採用率成長幅度最大，較去年增加15個百分點；其次則是結合安全機制的DevSecOps，採用率由去年的9％提升至16％，增加7個百分點。相較之下，傳統DevOps採用率僅增加1個百分點，成長幅度並不高。 近期資安日報 <a href="https://www.ithome.com.tw/news/175908">【5月18日】臺灣資安廠商DEVCORE於柏林場Pwn2Own奪冠</a> <a href="https://www.ithome.com.tw/news/175857">【5月15日】思科SD-WAN裝置重大漏洞被用於攻擊行動</a> <a href="https://www.ithome.com.tw/news/175803">【5月14日】Exim修補可導致任意程式碼執行的重大漏洞</a> </div></div></div>
5/19 14:51作者周峻佑https://www.ithome.com.tw/news/175933
【資安日報】5月18日，臺灣資安廠商DEVCORE於柏林場Pwn2Own奪冠
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><a href="https://www.ithome.com.tw/news/175897">臺灣資安廠商DEVCORE奪下Pwn2Own Berlin 2026破解大師殊榮</a> <a href="/sites/default/files/images/P2O-Berlin%2B2026%2BMaster%2Bof%2BPwn%2BLeaderboard-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/P2O-Berlin%2B2026%2BMaster%2Bof%2BPwn%2BLeaderboard-63.jpg" style="width: 300px; float: right;" /></a> 2026年度資安漏洞利用競賽Pwn2Own柏林場，於5月14日至16日舉行，這次參賽隊伍一共找到47個零時差漏洞，主辦單位Zero Day Initiative（ZDI）總共頒發1,298,250美元獎金。臺灣資安公司戴夫寇爾（DEVCORE）以總分50.5分獲得壓倒性勝利，拿下本次競賽的破解大師（Master of Pwn）殊榮，並贏得505,000美元獎金。第二、第三名的隊伍是STARLabs SG與Out Of Bounds，總共獲得25分與12.75分，贏得242,500、95,750美元的獎金。 <a href="https://www.ithome.com.tw/news/175877">微軟揭露Exchange Server存在8.1分重大漏洞，並已偵測到漏洞利用活動</a> 5月12日微軟發布每月例行安全性更新，沒想到兩天後該公司突然又揭露CVSS評分8.1的重大漏洞CVE-2026-42897，受到影響的產品主要是部署於企業內部環境（on-premises）的Exchange Server 2016、Exchange Server 2019，以及Exchange Server訂閱版（SE），Exchange Online不受影響。根據微軟安全應變中心（MSRC）當天發布的安全性更新公告，此漏洞已遭利用（Exploited），微軟也偵測到漏洞遭利用的活動，隔天美國網路安全與基礎設施安全局（CISA）也發布警示，將CVE-2026-42897列入已知遭利用漏洞清單（KEV），要求聯邦機構須在5月29日採取緩解措施。 <a href="https://www.ithome.com.tw/news/175888">Windows存在零時差漏洞MiniPlasma，攻擊者可取得SYSTEM權限</a> Chaotic Eclipse公布資安漏洞MiniPlasma，並強調該漏洞並非他首度發現，而是Google Project Zero團隊於2020年9月向微軟通報，該漏洞被登記為CVE-2020-17103，微軟在2020年12月例行安全性更新已發布更新軟體。然而，Chaotic Eclipse在調查零時差漏洞GreenPlasma的過程發現，當時理應被修補的雲端過濾器驅動程式功能HsmOsBlockPlaceholderAccess，仍存在漏洞——該弱點實際上在6年前就被通報，微軟後續也表明已完成修補，不過，根據他的調查，這項問題迄今依然存在，而且Google當時提供的概念驗證程式碼（PoC），在無須修改的情況下竟能正常運作。 <a href="https://www.ithome.com.tw/news/175889">OpenClaw存在漏洞攻擊鏈Claw Chain，攻擊者可用於竄改組態並植入後門</a> <a href="/sites/default/files/images/6a05dd246cd546f880a42b99_openclaw_attack_chain_cyera_research-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/6a05dd246cd546f880a42b99_openclaw_attack_chain_cyera_research-63.jpg" style="width: 300px; float: right;" /></a> 5月15日資安公司Cyera提出警告，他們4月底在開源AI代理整合平臺OpenClaw發現一系列資安漏洞，通報後獲得開發團隊確認並完成修補，由於這個月仍有超過6.5萬個OpenClaw執行個體尚未更新，而暴露在相關漏洞風險之中，有可能成為駭客鎖定的目標，他們呼籲用戶應儘速採取行動因應。這些漏洞登記為CVE-2026-44112、CVE-2026-44113、CVE-2026-44115、CVE-2026-44118，涉及檔案系統隔離、權限提升與資料暴露風險，從個別漏洞的危險程度來看，風險值最高的是CVE-2026-44112，此為檢查時間及使用時間不一致（TOCTOU）的條件競爭漏洞，CVSS風險達到9.6分。 <a href="https://www.ithome.com.tw/news/175882">Nginx重大漏洞已被用於攻擊</a> <a href="/sites/default/files/images/1778929216910-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/1778929216910-63.jpg" style="width: 300px; float: right;" /></a> 5月13日F5修補網頁伺服器Nginx資安漏洞CVE-2026-42945，此漏洞是在18年前引入，有可能造成伺服器服務中斷（DoS），在特定情況下攻擊者還能用於執行任意程式碼，CVSS v4.0風險為9.2分（滿分10分），VulnCheck漏洞研究員Patrick Garrity於職場社群網站LinkedIn提出警告，他們在5月16日於蜜罐陷阱首度偵測到CVE-2026-42945被積極利用的跡象。雖然Nginx伺服器必須導入特定的重新寫入組態設定才會受到影響，但由於攻擊者無須通過身分驗證就能利用，再加上全球約有570萬臺伺服器尚未套用新版程式，儘管實際上真正存在風險的伺服器數量有限，VulnCheck也並未說明遭到利用的其他細節，但用戶仍應儘速採取防範措施。 <a href="https://www.ithome.com.tw/news/175860">Google發布電腦版Chrome 148更新，修補79個資安漏洞</a> 5月12日Google發布電腦版Chrome更新148.0.7778.167、148.0.7778.168，總共修補79個漏洞，從嚴重程度來看，有14個是重大等級、37個屬於高風險等級，其餘28個為中度風險。從漏洞的類型來看，記憶體相關的弱點占大多數，其中又以記憶體釋放後再次存取利用（Use After Free）的漏洞最多，有24個，整數溢位漏洞8個居次、記憶體堆積緩衝區溢位漏洞有6個，記憶體越界讀取與越界寫入的漏洞各有5個。 <a href="https://www.ithome.com.tw/news/175874">Mozilla推出Firefox 150.0.3，修補多項JavaScript高風險漏洞</a> 5月12日Mozilla基金會發布Firefox 150.0.3更新，總共修補5個高風險漏洞CVE-2026-8388、CVE-2026-8389、CVE-2026-8390、CVE-2026-8391、CVE-2026-8401。值得留意的是，雖然Mozilla評估這些漏洞都是高風險等級，但根據美國國家漏洞資料庫（NVD）登記的資料，美國網路安全暨基礎設施安全局（CISA）認為最危險的漏洞是CVE-2026-8401，此沙箱逃逸類型的弱點，存在Firefox個人設定檔備份（Profile Backup）元件，CVSS風險評為9.8分（滿分10分）。 <a href="https://www.ithome.com.tw/news/175831">Yarbo割草機器人傳出重大安全漏洞，可能遭攻擊者遠端控制，用戶需立即升級新版韌體</a> 近日德國資安研究員Andreas Makris便在GitHub上發表報告，揭露割草機器人廠商Yarbo，其機器人韌體存在重大安全問題，可能遭到遠端控制，甚至可能危及人身安全。Yarbo是中國漢陽科技旗下品牌，主打北美市場。Andreas Makris揭露的問題包括：系統寫死root密碼（hardcoded root password），內建長期開放的遠端維護通道，以及權限控管不足的MQTT通訊機制等，攻擊者可能藉此從遠端接管設備、存取攝影機畫面，竊取用戶Wi-Fi密碼與GPS位置資訊，甚至只要入侵單一設備後，就可能進一步橫向控制整個機器人群組，亦即同時控制多臺機器人。 <a href="https://www.ithome.com.tw/news/175885">新駭客基礎架構出現，加速裝置碼釣魚、竊取Microsoft 365權杖</a> 資安公司Proofpoint發現近日出現新的攻擊基礎架構，可讓駭客更容易發動裝置碼釣魚（device code phishing）攻擊，進而竊取Microsoft 365或其他雲端帳號的存取權杖（Access Tokens）。攻擊者先發送電子郵件、檔案或QR code給受害者，利用社交工程誘使受害者點擊連結或掃描QR Code。當使用者點擊並造訪攻擊者設立的網頁，會觸發攻擊過程：該流程會發送一組裝置代碼要求使用者在手機介面輸入，這個動作完成了微軟伺服器端的驗證，表面上讓用戶得以存取微軟服務，如Microsoft 365，但同時間暗中將微軟服務的token傳給了攻擊者伺服器。 <a href="https://www.ithome.com.tw/news/175906">Tycoon 2FA被用於裝置驗證碼網釣，駭客搭配Trustifi追蹤器挾持M365帳號</a> <a href="/sites/default/files/images/From-Tokens-to-Tickets-image4-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/From-Tokens-to-Tickets-image4-63.jpg" style="width: 300px; float: right;" /></a>今年3月遭大規模執法行動圍剿的對手中間人攻擊（AiTM）網釣工具包租用平臺Tycoon 2FA，當時歐洲刑警組織（Europol）聯合6國執法機構與13個企業組織，成功查封330個網域名稱，然而當時參與執法行動的資安公司eSentire指出，他們從4月看到Tycoon 2FA最新一波攻擊活動，駭客引誘收件者點選信件裡的URL啟動攻擊鏈，此為透過Trustifi點擊追蹤服務產生的網址，然後企圖誘騙收件者在不知情的狀態下，在微軟裝置登入網頁microsoft[.]com/devicelogin，將OAuth權杖（token）授予攻擊者控制的裝置。 <a href="https://www.ithome.com.tw/news/175878">Grafana Labs存取權杖外洩，導致其GitHub程式碼庫遭竊與勒索</a> 開放原始碼IT系統監控與分析平臺業者Grafana Labs最近發生資料外洩事故，起因在於攻擊者非法取得GitHub的存取權杖，以此登入GitHub下載其程式碼庫，並向其勒索。5月17日Grafana Labs在社群平臺X和LinkedIn發文，坦承近期發現有個未經授權的團體獲得該公司GitHub環境的存取權杖，使攻擊者得以下載該公司的程式碼庫，根據內部調查指出，這起事故期間並無客戶資料或個人資訊被存取，也查無影響客戶系統或營運的相關證據。 <a href="https://www.ithome.com.tw/news/175907">工業測試設備製造商Fluke資料外洩波及1.85萬人，駭客竊取身分與身障等敏感資訊</a> 美國工業測試設備製造商Fluke，近日通報一起可追溯至2025年8月的資料外洩事件，約1.85萬人的個資遭駭客存取，該公司已知會受害者，並提供信用監控等緩解措施。依據Fluke提交給緬因州檢察總長辦公室的資料外洩事件通報，駭客是透過該公司使用的第三方應用程式漏洞入侵內部網路。Fluke於2025年9月29日發現異常，但進一步調查顯示，攻擊者實際入侵時間可追溯至2025年8月10日，相關未經授權的存取持續到同年10月7日。 <a href="https://www.ithome.com.tw/news/175854">TeamPCP利用蠕蟲Mini Shai-Hulud滲透逾400個NPM與PyPI套件</a> 上週TanStack的NPM套件、Mistral AI的PyPI套件遭遇供應鏈攻擊，有多家資安公司指出，這其實都是由駭客團體TeamPCP發起的蠕蟲活動Mini Shai-Hulud的一部分。資安公司Aikido、SafeDep、Snyk、Socket、Wiz指出，這波攻擊是4月底蠕蟲活動Mini Shai-Hulud的延續。SafeDep指出，截至5月11日，TeamPCP總共入侵170個NPM套件與2個PyPI套件，發布了404個惡意版本，其中，有42個是網頁應用程式框架TanStack的套件、65個是UiPath自動化工具的套件，Mistral AI的SDK軟體則是NPM與PyPI套件都被入侵。 <a href="https://www.ithome.com.tw/news/175856">OpenAI遭受TanStack供應鏈攻擊波及</a> 5月13日OpenAI發布部落格文章表示，他們有兩名員工的裝置遭受Mini Shai-Hulud⁠供應鏈攻擊的影響，不慎安裝植入惡意程式碼的TanStack套件，該公司察覺後迅速展開調查，並採取措施保護系統。OpenAI隔離受影響的系統與身分、撤銷使用者連線階段，輪換受影響儲存庫的存取憑證，暫時限制程式碼部署流程，徹底審查使用者與憑證行為。由於受影響的原始碼儲存庫包含應用程式簽署憑證，為求謹慎他們將輪換憑證，macOS用戶必須因此而更新應用程式，否則等到該公司在6月12日完全撤銷現有憑證後，相關應用程式將無法使用。 <a href="https://www.ithome.com.tw/news/175876">TeamPCP兜售近450個Mistral AI程式碼儲存庫</a> <a href="/sites/default/files/images/TeamPCP_leak_MistralAI-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/TeamPCP_leak_MistralAI-63.jpg" style="width: 300px; float: right;" /></a>之前傳出AI公司Mistral AI的PyPI套件遭到入侵，駭客發布含有惡意程式碼的2.4.6版，此為蠕蟲Mini Shai-Hulud供應鏈攻擊的一部分，Mistral AI也發布資安公告，證實NPM與PyPI套件先後遭到入侵，指出該公司是TanStack供應鏈攻擊事故而受到波及，如今傳出駭客已開始兜售竊得的資料。根據資安新聞網站Bleeping Computer的報導，駭客團體TeamPCP於網路犯罪論壇宣稱，他們竊得Mistral AI近5 GB的內部儲存庫與原始碼資料，總計涉及450個儲存庫的內容，開價2.5萬美元求售。 <a href="https://www.ithome.com.tw/news/175873">AI持續降低自動化網路攻擊門檻，2025惡意機器人活動霸佔全球網際網路流量4成</a> 隨著AI技術普及與AI代理快速崛起，AI與自動化程式已成為網際網路基礎架構的常態。根據資安廠商Imperva與2023年將其買下的Thales近期發布的報告，從2024年開始，人類網路活動流量占比（49％）首度被自動化流量（51％）超越，惡意機器人（bad bots）占所有網路流量的 37％；到了2025年，機器人（bots）已主導網際網路，占據總流量的一半以上（53％），而有高達40％流量被歸類為惡意機器人。他們在2025年每天封鎖的AI驅動（AI-driven）機器人攻擊達到2,500萬次，而在2024年每天緩解這類活動的規模僅200萬次，暴增至12.5倍。 <a href="https://www.ithome.com.tw/news/175864">2026年全球資安長人力落差約1比1萬，AI與法規壓力擴大CISO職責</a> 資安業者Sophos與資安市場研究機構Cybersecurity Ventures合作發布《2026 CISO Report》指出，2026年全球資安長（CISO）估計約有3.5萬名，僅較2023年的3.2萬名小幅增加；但全球營運中的企業約達3.59億家，相當於平均1名CISO需對應約1萬家企業，凸顯資安領導人才缺口依舊明顯。該報告指出，大型企業多半已配置全職CISO，部分中型企業則採用兼職或共同型資安長（fractional CISO）或導入虛擬資安長（virtual CISO，vCISO）服務，多數小型企業仍缺乏專責資安主管。 <a href="https://www.ithome.com.tw/news/175881">Akamai斥資2.05億美元買下LayerX，強化AI與瀏覽器安全</a> 美國資安與雲端運算業者Akamai Technologies於5月14日宣布，已簽署最終協議，將以約2.05億美元併購以色列瀏覽器安全新創LayerX，交易預計於今年第三季完成。Akamai表示，此舉將強化其零信任（Zero Trust）與AI使用控制（AI Usage Control）產品線，以因應企業員工大量使用生成式AI、SaaS AI服務與AI代理人所帶來的新資安風險。交易完成後，LayerX團隊將加入Akamai的零信任部門。 <a href="https://www.ithome.com.tw/news/175883">Dell SupportAssist服務引發藍色當機BSOD災情</a> 近日Dell電腦新版的SupportAssist應用程式出錯，引發部分用戶電腦出現藍色當機（BSOD）災情，並陷入無限重開機的循環。最早是有使用者在Dell的論壇反映此事，他於5月8日升級Dell Update、SupportAssist Remediation、SupportAssist OS Recovery，結果電腦每30分鐘就會出現藍色當機畫面，且會無預警自動重開機。Dell表示已經獲知狀況，正在解決問題，並表示目前的最佳解決方式，就是暫時移除5.5.16.0版SupportAssist Remediation service。 <a href="https://www.ithome.com.tw/news/175884">AWS強化Amazon EMR on EC2可觀測性，新增近即時日誌串流與YARN Application ID對應功能</a> 隨著企業持續擴大在雲端大數據處理服務Amazon EMR on EC2上的資料處理與分析工作負載，AWS於5月12日公布這項服務的可觀測性功能更新，強化日誌蒐集、監控介面與指標管理。這波更新的重點之一，是自Amazon EMR 7.11.0版起，支援將叢集日誌近即時串流到雲端日誌服務Amazon CloudWatch Logs。使用者啟用CloudWatch日誌功能後，Amazon EMR即可擷取並串流EMR步驟執行日誌、分散式運算引擎Spark的驅動程式與執行器日誌。 近期資安日報 <a href="https://www.ithome.com.tw/news/175857">【5月15日】思科SD-WAN裝置重大漏洞被用於攻擊行動</a> <a href="https://www.ithome.com.tw/news/175803">【5月14日】Exim修補可導致任意程式碼執行的重大漏洞</a> <a href="https://www.ithome.com.tw/news/175765">【5月13日】鴻海驚傳遭勒索軟體Nitrogen攻擊</a> </div></div></div>
5/18 16:10作者周峻佑https://www.ithome.com.tw/news/175908
2026年全球資安長人力落差約1比1萬，AI與法規壓力擴大CISO職責
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">資安業者Sophos與資安市場研究機構Cybersecurity Ventures合作發布<a href="http://www.sophos.com/en-us/resources/report/2026-ciso-report" target="_blank">《2026 CISO Report》指出</a>，2026年全球資安長（CISO）估計約有3.5萬名，僅較2023年的3.2萬名小幅增加；但全球營運中的企業約達3.59億家，相當於平均1名CISO需對應約1萬家企業，凸顯資安領導人才缺口依舊明顯。 <a href="https://assets.sophos.com/X24WTUEQ/at/g7ghqxsnv5gw8x3rp6sp8jz/2026-ciso-report.pdf" target="_blank">根據這份報告彙整的產業研究與多項調查</a>，大型企業多半已配置全職CISO，部分中型企業則採用兼職或共同型資安長（fractional CISO）或導入虛擬資安長（virtual CISO，vCISO）服務，多數小型企業仍缺乏專責資安主管。 成本是原因之一。報告提到，全職CISO年薪通常介於25萬至40萬美元，對多數中小企業負擔過高；相較之下，vCISO服務年費約4萬至12萬美元，成為較可行的替代方案。但Sophos也指出，vCISO這類服務仍受限於專業人力規模，難以大幅擴張。 除了人力不足，CISO承受的工作壓力也持續升高。報告引用多項產業調查指出，CISO平均任期約18至26個月，背後原因包括責任升高、法遵要求增加、人才短缺，以及董事會期待提高。 在2026年CISO面臨的主要議題中，AI是最受關注的項目之一。高階人才顧問公司Heidrick & Struggles調查顯示，57%的受訪者將AI、機器學習與資料分析列為最需要建立或維持的專業能力，另有96%表示已使用AI強化公司資安態勢。 勒索軟體仍是最受關切的企業風險。報告指出，57%的CISO將勒索軟體列為首要威脅，其次是供應鏈中斷、網路詐欺，以及惡意內部威脅。另一方面，涉及第三方軟體的資料外洩事件在2025年增加一倍，占所有資料外洩事件的30%，也凸顯供應鏈攻擊與雲端平臺風險持續升高。 報告指出，後量子密碼學（post-quantum cryptography，PQC）轉換、人員風險管理與法規遵循，都是CISO中長期的重要課題。市場研究機構Gartner則預測，到2027年，隨著法規壓力升高與攻擊面持續擴大，將有45%的CISO職責延伸到傳統資安範圍之外，反映這個角色未來不只負責技術風險控管，還得更深入承擔治理、法遵、內部威脅與企業當責等工作。 </div></div></div>
5/15 19:30作者王珮瑤https://www.ithome.com.tw/news/175864
【臺灣資安大會直擊】沒弄清楚DevSecOps流程反模式，靠AI也解不了四大根本問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">不少企業看上GAI強大的資料處理能力，想要用來處理繁雜的資安作業，像是分析龐大的Log，篩選複雜的告警等，根據iThome今年CIO&CISO大調查，30%的資訊主管認為AI可以緩解資安人力不足的問題，每三家企業也就有一家今年要導入資安流程的AI Agent來輔助。 針對這波企業想用AI來強化資安的浪潮，靖本行策執行長盧建成認為，AI只是讓問題變快，不代表責任或決策變得更清楚。 早在AI資安爆紅之前，過去幾年，企業最夯的話題是DevSecOps，因為DevOps在臺發展十年，逐漸成了企業開發的主流方法論，但是速度變化了，安全的壓力也隨之而來，企業開始積極在開發流程的不同階段，採用各種DevSecOps資安工具或機制。 但是，有些企業推動資安左移時，雖然將資安責任左移，也提供資安培訓，但是，人員的能力不見得足以因應不斷變化的資安問題，像是新型態風險的判斷、最新漏洞的修補等，開發團隊接手了資安責任，卻沒有足夠的能力採取行動。 也有企業積極導入各式各樣的工具，從SAST、SCA、IaC Scan、容器映像檔Scan到SBOM監測工具，串接到不同的開發流程中，蒐集了大量Log，企業IT人員卻無法進行有效的分析，最後只是將資料儲存起來，沒有真正發揮作用。 測試到部署中間的資安把關，也是DevSecOps重要的卡關點，但常見有些IT團隊只同意小幅變更，而將重大變更交給主管的特簽，或視為特例來放行，而不是從風險角度來拒絕。這類例外、特簽不只讓資安責任邊界更加模糊，也讓資安控管決策在日後難以追蹤。 企業上雲後，IaC基礎架構程式化的做法，雖然可以透過自動化來簡化維運，但是，遇到開發團隊、維運團隊和資安團隊三者負責範圍交會的安全問題，不同團隊從不同立場各自解釋，往往沒有人對整體安全性負責。 上述這些都是臺灣企業推動DevSecOps時的反模式，長年擔任企業IT顧問的盧建成認為，DevSecOps在台灣沒有一條像DevOps那樣清楚的成長曲線，而是隨著DevOps成熟、雲端複雜度上升與安全風險壓力的增加，被動地演化出來的一種補救性整合。 「補救性整合的做法，帶來影響是補得越多、越麻，開發系統也越遲重。」他強調。 生成式AI技術和工具更加成熟之後，不少企業開始想用AI解決DevSecOps成效不彰的困境。但是，威力強大的AI工具，雖然可以彌補IT人員的能力不足，像是用AI來解釋資安告警、幫忙分析根因、提供修補建議，但不代表AI可以承接責任。或有企業用AI來強化龐大資安資料的整理，彙整SBOM、SAST報告，製作摘要報告，協助找出系統和漏洞的關聯，但不等於AI能夠理解了企業所面對的風險。 生成式AI助手可以加速IT工作的執行，像是自動產生PR或IaC的修正，提供自動化修補的建議，但是無法建立一套治理實踐。或是用AI來整理風險資訊，要求AI列出風險處理優先順序，提供建議方案，但是AI只能提出建議，而無法負責最後的決策，還得由企業IT自己做出決定。 盧建成歸納，責任定義、風險接受標準、例外與特簽機制、治理與追蹤，這四件事，AI解決不了。 他上述提到的DevSecOps反模式的共通點是，責任被往前推，能力沒有一起建立，規則也無法支撐決策，資源更不足以消化風險。「誰能承接風險的責任，如何判斷風險、資安決策有何基準？決策執行或放行後如何追蹤等。」這四大問題，不會因為AI而獲得解決。 像是誰要承擔後果、對企業來說可以接受什麼後果？什麼情況可以例外，誰可以批准例外、決策是否被執行、例外是否遭到濫用等，這些問題都用AI解答，得由企業自己面對才能找到自己的答案。 盧建成建議，人員要能承接責任，而不是被指派，風險也能被理解而不是一昧分類，資安控管也不是分辨紅綠燈來篩選，而要將控管視決策的過程，並讓這些決策的結果可以追蹤，而非一次性的處理。 「DevSecOps不是將各種安全機制放進流程，而要讓安全成為日常運作的一環。」盧建成建議。 </div></div></div>
5/7 14:18作者王宏仁https://www.ithome.com.tw/news/175611
【資安日報】5月5日，2026臺灣資安大會正式登場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><a href="https://www.ithome.com.tw/news/175554">從AI攻防到半導體資安標準制定，CYBERSEC 2026揭示臺灣邁向全球資安戰略核心</a> <a href="/sites/default/files/images/960-zi_an_da_hui_he_zhao_huang_yan_fen_she_ying-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/960-zi_an_da_hui_he_zhao_huang_yan_fen_she_ying-63.jpg" style="width: 300px; float: right;" /></a> 亞洲最大規模的資安盛會「臺灣資安大會CYBERSEC 2026」，於5月5日至7日假臺北南港展覽館二館舉辦。來自全球數十個國家、超過二萬名資安專家、企業代表與政府官員齊聚臺灣，超過四百家國內外資安品牌同步參展，現場並規畫逾兩百場專業論壇與十五軌平行議程，全面呈現AI時代下的最新資安攻防趨勢。在開幕典禮上，最受矚目的焦點莫過於總統府副秘書長何志偉代表總統賴清德親臨致詞，這是八年以來，首度總統因為執行國是訪問任務而無法親自出席這場年度資安盛會。 <a href="https://www.ithome.com.tw/news/175550">美國警告Linux核心高風險漏洞Copy Fail已遭利用</a> 4月30日資安公司Theori揭露Linux核心資安漏洞Copy Fail，此漏洞影響廣泛，可追溯到2017年發布的Linux核心4.14版，並影響所有的Linux發行版，多個發行版的開發團隊已發布相關資安公告。此漏洞可被用於本機權限提升（LPE），登記為CVE-2026-31431列管，Theori透過僅有732個位元組的Python概念驗證程式，於Ubuntu、Amazon Linux、Red Hat Enterprise Linux（RHEL），以及SUSE成功取得root權限，呼籲大家重視此事並儘快採取行動因應。事隔一天，美國網路安全暨基礎設施安全局（CISA）表示已掌握CVE-2026-31431被積極利用的證據，要求聯邦機構限期修補。 <a href="https://www.ithome.com.tw/news/175551">微軟警告Copy Fail恐被用於攻擊雲端環境</a> <a href="/sites/default/files/images/CopyFail-11-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/CopyFail-11-63.jpg" style="width: 300px; float: right;" /></a> 上週被揭露的Linux核心高風險漏洞Copy Fail（CVE-2026-31431），微軟近日提出警告，大量雲端Linux工作負載及數百萬個Kubernetes叢集，也同樣受到Copy Fail影響。雖然利用漏洞的過程無須使用者互動，但微軟認為此漏洞不會被單獨利用，攻擊者可能會與初始存取管道串連，例如：SSH存取、惡意CI工作執行，或是將容器當作滲透的據點。只要能取得本機使用者身分利用漏洞，就能在含有Copy Fail的Linux核心與加密模組執行程式碼。 <a href="https://www.ithome.com.tw/news/175557">針對影響廣泛的Linux核心漏洞Copy Fail，微軟呼籲用戶應立即採取行動因應</a> 微軟針對近日受到高度關注的Linux核心漏洞Copy Fail（CVE-2026-31431）提出警告，駭客很可能將其用於攻擊雲端環境，相當危險應立即處理。對此，該公司也提出了緩解措施，特別提及IT人員應在24小時內採取行動，盤點受影響的系統與版本，並套用緩解措施。這種呼籲要在1天內完成修補的情況，在微軟的相關調查報告裡，極為罕見，突顯微軟認定該漏洞帶來的威脅極為嚴重。 <a href="https://www.ithome.com.tw/news/175524">cPanel重大漏洞災情蔓延，資安機構揭露駭客藉此竊取東南亞政府資料</a> 網站主機管理軟體cPanel與WHM（WebHost Manager）的重大漏洞CVE-2026-41940，風險正迅速增加中，資安研究機構Ctrl-Alt-Intel近日發布報告揭露，他們發現有攻擊者利用此漏洞作為入口，針對多個東南亞國家政府系統發起攻擊。攻擊者利用這個漏洞取得初始存取權限後，便橫向移動至其他系統，隨後從這些系統收集資料，然後將受害系統的資料回傳至攻擊者控制的伺服器。 <a href="https://www.ithome.com.tw/news/175493">中國駭客鎖定亞洲政府機關與北約國家，利用Exchange與IIS主機弱點進行滲透</a> <a href="/sites/default/files/images/shadow-earth_figure02-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/shadow-earth_figure02-63.jpg" style="width: 300px; float: right;" /></a> 趨勢科技近日揭露新的中國駭客組織Shadow-Earth-053，利用可透過網際網路存取的Exchange伺服器，或是IIS網頁伺服器的已知漏洞，企圖植入稱做Godzilla的Webshell，以建立長期存取的管道，然後使用DLL側載手法，載入具有合法簽章的惡意程式ShadowPad。值得留意的是，駭客入侵受害組織最常使用的資安漏洞是ProxyLogon，這代表已公布並修補多年的資安漏洞，由於許多企業組織並未套用微軟提供的更新程式，仍是有效的駭客初始入侵管道。 <a href="https://www.ithome.com.tw/news/175506">中國駭客Shadow-Earth-053傳利用React2Shell滲透Linux主機</a> 趨勢科技揭露中國駭客組織Shadow-Earth-053，並指出這些駭客主要透過ProxyLogon等已知漏洞，將Exchange郵件伺服器或IIS網頁伺服器作為初期的入侵管道，偵察AD環境，最終在Windows電腦植入惡意程式ShadowPad，攻擊包含臺灣在內的亞洲國家，且有北約國家遭鎖定的情況。不過值得留意的是，去年12月這些駭客也傳出攻擊Linux伺服器的情況，他們利用React伺服器元件（RSC）重大資安漏洞React2Shell（CVE-2025-55182），部署名為Noodle RAT的ShadowPad變種後門程式。 <a href="https://www.ithome.com.tw/news/175536">Tycoon 2FA遭打擊後失去釣魚工具主導地位，但包含其他工具在內的整體攻擊次數反而增加15%</a> 資安廠商Barracuda Networks近日發布報告指出，原本主導釣魚即服務（PhaaS）平臺的Tycoon 2FA，在2026年3月遭到多國執法單位聯手打擊後，駭客轉向使用多種不同平臺，整體釣魚攻擊次數反而從2,000萬次增加到2,300萬次。儘管涉及Tycoon 2FA的攻擊次數已大幅減少，從912萬次大跌到212萬次，但其他釣魚工具迅速搶占Tycoon 2FA留下的空間，Mamba 2FA成為目前偵測到攻擊次數最多的釣魚工具，攻擊次數從786萬次增加到1,510萬次，EvilProxy也從287萬次增加到409萬次，Sneaky 2FA則從68萬次增加到194萬次，顯示Tycoon 2FA遭打擊後，釣魚攻擊生態逐漸分散的趨勢。 <a href="https://www.ithome.com.tw/news/175533">Android惡意程式NGate出現新變種，偽裝行動支付工具竊取信用卡資料</a> 資安廠商ESET近日發布報告，揭露Android惡意程式NGate出現新變種，攻擊者透過偽造或植入惡意程式碼的HandyPay行動支付應用程式，竊取用戶的NFC支付資料，進而盜刷用戶信用卡，甚至從ATM提款。目前發現有兩個傳播途徑，一是透過假冒的巴西彩券網站，以中獎名義誘導用戶連至惡意網頁下載軟體。另一是假冒的Google Play應用程式商店頁面，以信用卡保護軟體Proteção Cartão的名義誘導用戶下載。 <a href="https://www.ithome.com.tw/news/175558">數位憑證機構DigiCert客服系統遭受社交工程攻擊， EV程式碼簽章憑證外洩遭撤銷</a> 數位憑證機構DigiCert近日向事件追蹤平臺Mozilla Bugzilla提交報告，表示該公司遭遇社交工程攻擊，攻擊者透過偽裝成螢幕保護程式的惡意檔案，入侵客服支援流程，進而取得EV程式碼簽章（EV Code Signing）憑證相關資訊。依據DigiCert提交的報告，攻擊者在4月2日假冒客戶聯繫客服，並發送偽裝成螢幕截圖的惡意ZIP檔案，內含可執行的.scr檔案，該檔案在Windows環境中被執行後，攻擊者成功入侵一臺客服系統端點設備，該設備隨後被隔離，但該公司直到4月14日才發現另一臺客服設備也遭到入侵。 <a href="https://www.ithome.com.tw/news/175483">對抗先進AI模型帶來的資安威脅態勢急速惡化，AI紅隊平臺新創廠商Armadin與兩大資安公司宣布合作</a> 因成立資安公司Mandiant而聞名的Kevin Mandia，去年創辦新的資安公司Armadin專攻AI紅隊演練應用需求，提供AI代理驅動的攻擊型資安平臺（offensive platform），4月30日宣布與CrowdStrike、Palo Alto Networks這兩家資安大廠合作，他們正好是AI模型大廠Anthropic資安計畫Project Glasswing的創始成員，也都參加OpenAI的Trusted Access for Cyber計畫。 <a href="https://www.ithome.com.tw/news/175532">Palo Alto Networks買下Portkey，強化AI代理安全布局</a> 美國資安公司Palo Alto Networks於4月30日宣布，計畫買下專門開發AI閘道，以集中管理AI模型及AI代理人的Portkey，預計於今年7月底前完成。雙方並未公布交易細節，但外傳該交易價值1.2至1.4億美元。交易完成後，Portkey將負責檢查AI流量，並在執行階段強制執行安全與治理政策，以識別威脅並保護資料。它也會透過AI身分安全，對每一次代理人互動施加最小權限控制，確保AI工作負載維持安全且符合法規要求。 <a href="https://www.ithome.com.tw/news/175556">思科將買下聚焦於非人類身分安全的Astrix Security</a> 思科於5月4日宣布，有意併購專門開發非人類身分（Non-Human Identity，NHI）安全技術的資安新創Astrix Security，以將相關功能整合到思科的安全服務中，強化思科安全平臺對各種身分的掌握能力。雙方並未公布交易細節，但外傳該交易價值4億美元。根據雙方的規畫，思科將在多項安全產品中整合Astrix功能，為每一個代理式身分、非人類身分與AI代理人提供端到端的發現、治理及威脅偵測。 <a href="https://www.ithome.com.tw/news/175509">紅帽釋出Tank OS，打造代理式作業系統原型，強化OpenClaw企業部署安全</a> 紅帽（Red Hat）首席軟體工程師、同時也是OpenClaw開源專案維護者的Sally O'Malley發布開源專案Tank OS，透過容器化與無root權限（rootless）架構，強化OpenClaw在企業環境中的部署安全。O'Malley將Tank OS定位為「代理型作業系統（agentic OS）」的概念原型，嘗試在作業系統層建立專為AI代理設計的執行環境，作為代理執行環境的示範實作。 <a href="https://www.ithome.com.tw/news/175543">安碁資訊115年第一季獲利較去年同期成長超過20％，揭露近期成長動能</a> 資安服務廠商安碁資訊（ACSI）發布115年第一季合併財報，公開多項營收表現數據：以合併營收而言，達到624,807千元，年增21％；在營業毛利方面，達到234,199千元，年增9％；營業淨利的部分，則為81,695千元，年增22％；在稅後淨利方面，達到68,064千元，年增21%；至於每股盈餘，則是2.27元。他們強調，已連續七年第一季維持雙位數成長。 <a href="https://www.ithome.com.tw/news/175475">全球最大網攻演習落幕，41國演練戰時守護電網與軍事系統</a> 全球最大實戰型網路防禦演習Locked Shields 2026已於4月24日落幕。本次演習集結了來自41國、16支隊伍及超過4000名參與者，模擬戰時情境下即時應對大規模網路攻擊，演練如何在電網、防空與軍事系統等關鍵基礎設施遭攻擊時維持正常運作。本次演習虛構名為Berylia的國家，模擬它遭受到某個手段高明的敵對勢力的攻擊，目的是破壞該國的主權機制，為了確保演習的真實性，主辦方與業界合作，導入了真實的硬體設備及工業控制系統，包括功能完整的發電系統、5G網路、衛星、電子投票系統，以及作戰指揮系統等。 <a href="https://www.ithome.com.tw/news/175530">五眼聯盟發布AI代理人指引，要求防範權限擴張與自主行動風險</a> 由美國、英國、加拿大、澳洲及紐西蘭等5個英語系國家組成的情報共享聯盟，5月1日共同發布了「謹慎採用代理式AI服務」（Careful Adoption of Agentic Artificial Intelligence Services）指引，提醒各組織在導入代理式AI系統時，應先評估其自主行動能力帶來的資安風險，並建立相應的安全控管。此指引是針對政府、關鍵基礎設施及大型組織所發布，提醒這些企業組織在導入代理式AI之前，必須先評估其資安風險。主要原因之一為代理式AI繼承了大型語言模型原有的風險，例如提示注入、越獄與幻覺。 <a href="https://www.ithome.com.tw/news/175537">英國NCSC警告AI將加速技術債利用，籲組織預備弱點修補潮</a> 英國國家網路安全中心（NCSC）呼籲各類組織提前準備弱點修補潮（Vulnerability Patch Wave）。NCSC表示，AI在具備足夠技術能力的人員手中，已展現出大規模且快速利用技術債的能力，預期軟體生態系將出現一波被迫修正技術債的壓力，影響範圍涵蓋開源軟體、商用軟體、專有軟體與SaaS服務。NCSC進一步建議企業調整弱點管理流程，準備更快速、頻繁且大規模地部署安全更新，並把供應鏈納入考量。 <a href="https://www.ithome.com.tw/article/175438">【2026 企業資安大調查】一張圖看2026年百億營收企業資安風險</a> 在2026年iThome CIO&CISO大調查中，營收百億的臺灣五百大企業，在第一象限的風險包括了5項人員類風險和6項系統類風險，但人員風險比系統風險的發生機率更高，衝擊也更大。可以說，營收百億企業未來一年主要的資安威脅來自人員的風險，也是優先防備的資安重點。過去的資安資源也大多集中在系統面的防禦，現代資安攻擊焦點轉向人員之後，營收百億企業所遭受的攻擊面反而更大，這也是為何網路釣魚也是百億企業首頁風險的原因。 <a href="https://www.ithome.com.tw/review/172263">整合防護端點、網路、郵件、SaaS，Cynet支援雲與地端部署</a> 若要更徹底保護個人電腦、伺服器與行動裝置，許多企業已體認到單靠防毒軟體與網路防火牆是不夠的，為了能夠涵蓋事前與事中偵測，以及事後應變，EDR、XDR、NDR等解決方案在資安市場大行其道，這些解決方案我們統稱為威脅偵測與應變平臺（TDR）。一般而言，各界也會參照MITRE組織舉辦的ATT&CK Evaluations結果來作為評估依據，其中Cynet已連續參加5年，該公司的解決方案在2024及2025年均有相當優異表現。 近期資安日報 <a href="https://www.ithome.com.tw/news/175531">【5月4日】Linux系統核心存在長達9年的高風險漏洞Copy Fail</a> <a href="https://www.ithome.com.tw/news/175458">【4月30日】NPM供應鏈攻擊Mini Shai-Hulud鎖定多款SAP套件</a> <a href="https://www.ithome.com.tw/news/175415">【4月29日】LiteLLM重大漏洞公布一天半出現攻擊活動</a> </div></div></div>
5/5 15:31作者周峻佑https://www.ithome.com.tw/news/175560
【2026 企業資安大調查】一張圖看2026年百億營收企業資安風險
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://www.ithome.com.tw/sites/default/files/0601-zi_an_feng_xian_tu_-bai_yi_qi_ye_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">iThome </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">在企業資安風險圖中，第一象限是必須立即處理的風險，營收百億的臺灣五百大企業，在第一象限的風險包括了5項人員類風險和6項系統類風險，但人員風險比系統風險的發生機率更高，衝擊也更大。可以說，營收百億企業未來一年主要的資安威脅來自人員的風險，也是優先防備的資安重點。 <a href="https://r.itho.me/26svciop6">立即下載完整報告【iThome 2026 CIO & CISO大調查】資安策略篇完整報告</a> 營收百億企業，員工規模也相對較大，過去的資安資源也大多集中在系統面的防禦，現代資安攻擊焦點轉向人員之後，營收百億企業所遭受的攻擊面反而更大，這也是為何網路釣魚也是百億企業首頁風險的原因，尤其身分將會成員新的安全邊界，今年只有47%營收百億企業採用零信任網路，還有一半企業，仍舊會面臨高人員風險的處境。 這些人員風險除了網路釣魚/社交工程手段，還有商業郵件詐騙、機敏資料外洩、個人資料外洩、身分冒用等。 系統風險最需警戒的是勒索軟體資安事故，威脅度僅次於網路釣魚/社交工程手段。另外隨著營收百億企業積極上雲，組態設定不當導致網路裸奔的風險也大增，今年同樣進入了高衝擊高機率的第一象限風險。 營收百億企業得特別留意3項位於第一象限邊緣的風險，包括軟體供應鏈資安事故、以第三方為跳板的攻擊，以及LLM應用洩漏敏感資料。 雖然這三項風險位於邊緣，看似還不用擔心，但卻是容易忽略而釀災的決策盲區，營收百億企業的資安資源相對充沛，可以擴大防備範圍，納入第一象限邊緣附近，隨時可能擴大災情風險的項目。 GenAI是今年所有企業的發展焦點，營收百億企業也不例外，雖然AI類風險多位於中低風險的第三、第四象限，但是有些AI風險正在移動，LLM資料外洩和LLM幻覺導致人員誤判等風險，都接近第一象限邊緣，逐漸移動到高風險區的趨勢。營收百億企業積極擁抱GenAI應用之際，也得同時做好對應的AI風險對策才行。 <a href="/sites/default/files/files/0601-%E8%B3%87%E5%AE%89%E9%A2%A8%E9%9A%AA%E5%9C%96-%E7%99%BE%E5%84%84%E4%BC%81%E6%A5%AD-600-1.png" target="_blank"><img alt="" src="/sites/default/files/images/0601-%E8%B3%87%E5%AE%89%E9%A2%A8%E9%9A%AA%E5%9C%96-%E7%99%BE%E5%84%84%E4%BC%81%E6%A5%AD-600-1.png" style="width: 600px;" /></a> 企業資安風險圖製作說明 在iThome 2026年CIO暨CISO大調查中，由企業CIO和CISO自評各威脅項目的兩項指標，一項是該項目對企業帶來的衝擊程度（衝擊極高和衝擊極低），另一項是這個項目未來1年的發生風險（極可能發生與極不可能發生），再換算成不同程度的量化數據來製圖。垂直軸是該威脅項目對企業的衝擊，位置越往上代表衝擊越大，水平軸是企業未來1 年發生該項目的風險，位置越右，代表發生可能性越大。威脅項目的位置圓點，區分成三類，紅點代表系統類風險，綠點代表人員風險，黑點則為AI風險。 問卷執行 自2026年1月1日至1月29日，對臺灣大型企業、iThome歷屆CIO大調查企業、政府機關及大學院校的資訊主管進行線上問卷調查，有效問卷數396份，其中57%填答者為企業資安最高主管。 資料來源：2026年iThome CIO & CISO大調查，2026年3月 </div></div></div>
5/5 09:47作者王宏仁https://www.ithome.com.tw/article/175438
【資安日報】5月4日，Linux系統核心存在長達9年的高風險漏洞Copy Fail
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><a href="https://www.ithome.com.tw/news/175481">Linux系統核心存在高風險漏洞Copy Fail，本機使用者能藉此奪取root權限，廣泛影響多個主流Linux版本</a> 資安廠商Theori公開揭露存在於Linux系統核心長達9年的高風險漏洞CVE-2026-31431，這個嚴重性評分為7.8分弱點，被命名為Copy Fail，該公司特別設立專屬網站說明問題的成因與影響範圍，同時提供概念驗證程式，促使大家盡快因應迫切的危機。根據資安廠商Sysdig的整理，以系統核心而言，受此漏洞影響的版本，包含：4.14 到7.0-rc版、6.18.22之前的6.18.x版、6.19.12之前的6.19.x版，換言之，已修補的版本為7.0版、6.19.12版、6.18.22版。 <a href="https://www.ithome.com.tw/news/175482">Ubuntu與Canonical網站疑似遭遇DDoS攻擊而停擺</a> 在5月1日，維護Ubuntu Linux作業系統的廠商Canonical，旗下有多個網站面臨DDoS攻擊，發動這波行動的是親伊朗的駭客組織，自稱「伊拉克伊斯蘭網路抵抗組織—313團隊（The Islamic Cyber Resistance in Iraq – 313 Team）」，他們透過即時通訊軟體Telegram的頻道宣布，攻擊將持續4個小時。根據Canonical與Ubuntu服務狀態網站的公告，以及Canonical與Ubuntu的社群網站X（原 Twitter）最新貼文，他們表示，網站基礎架構正面臨持續且跨越多國的網路攻擊，Canonical正在處理這起事故。然而，他們至今尚未發布DDoS攻擊導致網站服務中斷的正式聲明。 <a href="https://www.ithome.com.tw/news/175473">cPanel近期揭露9.8分重大漏洞已存在濫用活動</a> 網站主機管理軟體供應商cPanel揭露與修補重大漏洞CVE-2026-41940，這個嚴重程度高達9.8分的身分驗證繞過漏洞，影響管理主機上個別租用帳號的cPanel、管理整臺代管主機的WHM（WebHost Manager），以及建立在cPanel與WHM架構上的WordPress專用版主機管理平臺WP2（WordPress Squared）。4月30日美國網路安全和基礎設施安全局（CISA）宣布，將CVE-2026-41940加入已知遭利用漏洞清單（KEV）。 <a href="https://www.ithome.com.tw/news/175484">cPanel重大漏洞出現濫用的概念驗證框架，全球網際網路尚有兩萬多臺伺服器遭駭</a> <a href="/sites/default/files/images/CVE-2026-41940-POC-63.png" target="_blank"><img alt="" src="/sites/default/files/images/CVE-2026-41940-POC-63.png" style="width: 300px; float: right;" /></a> 供應網站主機代管相關軟體的WebPros，擁有可簡化Linux系統管理的cPanel與WHM（WebHost Manager），在4月28日揭露與修補9.8分重大漏洞CVE-2026-41940，5月1日GitHub出現濫用CVE-2026-41940的概念驗證框架cPanelSniper，由資安研究員Yunus Emre Öztaş發布。根據Shadowserver基金會的儀表板顯示，4月30日遭駭的IP位址總數為44,089個，5月1日遭駭的IP位址總數降至20,771個。 <a href="https://www.ithome.com.tw/news/175485">cPanel重大漏洞釀災！勒索軟體Sorry已濫用此弱點對多個網站發動攻擊</a> <a href="/sites/default/files/images/GoogleSearch-Sorry-cPanel-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/GoogleSearch-Sorry-cPanel-63.jpg" style="width: 300px; float: right;" /></a> 資安新聞媒體Bleeping Computer收到許多消息來源指出，有多個駭客組織已經濫用cPanel與WHM重大資安漏洞CVE-2026-41940，滲透多臺伺服器並部署以Go語言寫成的加密勒索軟體Sorry。這支惡意軟體是專門針對Linux系統設計的加密勒索軟體，所有遭到加密的檔案附檔名都會加上.sorry，遭殃的每個資料夾都會出現勒索說明檔README.md，指示受害者透過加密匿名即時通訊工具Tox聯繫攻擊者，協商贖金金額。 <a href="https://www.ithome.com.tw/news/175492">資安公司Trellix傳出原始碼遭未經授權存取</a> 資安公司Trellix近日在網站發布公告，表示他們部分原始碼的儲存庫遭到未經授權存取，該公司察覺後隨即尋求資安鑑識專家協助，並通報執法部門。根據初步調查結果，目前發布流程尚未受到影響，原始碼亦無遭到利用的跡象。值得留意的是，這份公告內容並未透露進一步的細節，沒有說明資料外流的範圍，也沒有透露受影響的產品，以及攻擊者可能的身分。 <a href="https://www.ithome.com.tw/news/175479">英國生物樣本庫經由內部研究人員外洩，50萬筆記錄流入阿里巴巴兜售</a> 全球最大生物樣本資料庫UK Biobank近日發生重大資安事件，參與研究的人員導致50萬筆所有參與者的生物資料外洩，並放上中國電商平臺阿里巴巴兜售。UK Biobank執行長Rory Collins上週向參與者公開說明，在英國和中國政府介入下，已要求阿里巴巴將這些資料集下架，這些資料未被出售。UK Biobank指出，該事件並非出於網站漏洞或被駭，而是來自具有合法存取權的研究人員。UK Biobank指出這是這些學術機構的明顯違約行為，這些研究機構及牽涉的研究人員已經被吊銷存取。 <a href="https://www.ithome.com.tw/news/175477">蘋果App Store驚見假錢包，FakeWallet攻擊竊取助記詞</a> <a href="/sites/default/files/images/0501-FakeWallet1-600-1-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/0501-FakeWallet1-600-1-63.jpg" style="width: 300px; float: right;" /></a> 資安公司卡巴斯基近日揭露，攻擊行動FakeWallet已滲透蘋果App Store，出現至少26款偽裝成主流加密貨幣錢包的應用程式。這些App表面看似正常，但實際上會將使用者導向仿冒的下載網頁，誘導安裝被植入惡意程式的錢包，或透過釣魚介面騙取助記詞（Recovery Phrase）與私鑰，進而竊取加密資產。這波攻擊主要出現在中國區App Store，由於多數官方錢包無法在中國區App Store上架，使駭客得以利用此情境展開攻擊。 <a href="https://www.ithome.com.tw/news/175456">研究人員揭露AI程式碼開發工具Cursor設計缺陷，可能導致開發者API金鑰外洩</a> <a href="/sites/default/files/images/LayerX-Thumbnail-copy-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/LayerX-Thumbnail-copy-63.jpg" style="width: 300px; float: right;" /></a> 資安研究機構LayerX近日發布報告，揭露廣獲使用的AI程式碼開發工具Cursor存在設計缺陷，攻擊者可透過擴充套件存取用戶的API金鑰與連線權杖（Session Token），他們已於2月通報此問題，但直到4月底仍未見修補，提醒用戶安裝第三方擴充套件時須提高警覺。LayerX將這項攻擊手法命名為「CursorJacking」，評估其CVSS嚴重性為8.2分。 <a href="https://www.ithome.com.tw/news/175467">數發部揭露AI風險分類框架草案最新進展，採分類而非分級管理設計，涵蓋三大類18小類AI風險</a> 數發部政務次長侯宜秀在最近一場活動中首度揭露了政府AI風險分類框架的最新進展，強調臺灣《人工智慧基本法》和歐盟AI法案最重要的差異之一，在於臺灣對於AI風險的管理，採取分類概念，而不是分級的概念。臺灣的《人工智慧基本法》設計了一個三層式的AI風險治理框架，包括了三個層面，第一層定義了AI發展原則，包括7項全球普遍接受的AI發展原則，兼顧創新和人權保障的平衡。在七大原則之下的第二層是，數發部負責訂定的AI分類風險框架草案，最下方的第三層則是各部會的治理工作。 <a href="https://www.ithome.com.tw/news/175490">借鏡ATT&CK經驗，MITRE發表F3金融反詐欺框架</a> 金融詐欺每年造成數十億美元損失，風險程度已不亞於傳統網路攻擊。長期推動MITRE ATT&CK並剖析攻擊鏈的美國非營利組織MITRE，旗下威脅情資驅動防禦中心（CTID）於2026年4月發布MITRE Fight Fraud Framework（F3），希望以共享的對手行為框架，協助金融機構更有效理解、偵測與預防詐欺活動。MITRE試圖打破隔閡，將詐欺分析師與資安防禦者拉到同一張作戰地圖。畢竟ATT&CK已是全球廣泛採用的對手戰術與技術知識庫，F3則建立在這套成熟基礎上，進一步延伸到金融詐欺場景。 <a href="https://www.ithome.com.tw/news/175489">Anthropic公布Claude Security供企業掃描漏洞</a> Anthropic發表Claude Security測試版，可供企業掃描易被AI濫用的軟體漏洞並且生成建議修補程式，或是由內建Claude模型的第三方安全工具修補。Claude Security原名為Claude Code Security，設計主旨是協助企業找出能被AI濫用的漏洞，Anthropic最早在二月提供少數企業試用，並於上週擴大推出並改名Claude Security，現在以公開Beta版提供Claude Enterprise用戶試用。Claude Security以Claude Opus 4.7為基礎，可透過claude.ai存取，檢視企業軟體程式碼的漏洞、建議修補程式，或是發現傳統方式找不到的複雜程式碼問題。 <a href="https://www.ithome.com.tw/news/175474">OpenAI推出進階帳號安全機制，為ChatGPT與Codex導入實體金鑰登入並支援用戶退出模型訓練</a> OpenAI於4月30日宣布為ChatGPT及Codex用戶提供支援實體金鑰，關閉以電子郵件和SMS回復帳號、自動將用戶退出模型訓練等確保帳號安全性。OpenAI也宣布，最新模型GPT 5.5-Cyber即將開放特定安全廠商存取。這一波安全新措施是OpenAI強化AI網路安全計畫的一環。新增的進階帳號安全（Advanced Account Security）核心在以新措施強化帳號登入防護、減少執行階段攔截、用戶退出模型訓練。首先，OpenAI和實體安全金鑰業者合作，支援以YubiKey等產品登入帳號。 <a href="https://www.ithome.com.tw/news/175487">螢幕連線也可能被駭？英國NCSC授權新型HDMI/DP硬體防護技術</a> 螢幕與電腦之間的顯示連線，長期被視為「只是輸出畫面」的通道，但英國國家網路安全中心（NCSC）指出，這段連線同樣可能被攻擊者當成入侵管道，成為潛在攻擊面。為此，NCSC在4月22日宣布自家研發成果已商品化，推出全球首款獲得NCSC授權的硬體防護商業產品SilentGlass，標榜在HDMI與DisplayPort顯示連線上，主動阻擋非預期或惡意行為，將「筆電與螢幕之間的連線」重新納入企業能夠治理的安全邊界。 <a href="https://www.ithome.com.tw/review/175388">Fortinet資安平臺邁入8.0，擴增AI控管與量子安全防護特色</a> <a href="https://www.ithome.com.tw/sites/default/files/images/FortiView%20AI-1.jpg" target="_blank"><img alt="" src="/sites/default/files/images/FortiView%20AI-1-63.jpg" style="width: 300px; float: right;" /></a> 在2026年上半舉行的全球與臺灣年度用戶大會期間，資安廠商Fortinet針對支撐其安全織網架構（Fortinet Security Fabric）的作業系統平臺FortiOS，宣布推出最新版本8.0，主打三大特色：AI驅動的安全防護、次世代的安全存取服務邊緣（SASE），以及量子安全防護功能，並於4月21日正式推出。相較於既有的FortiOS，8.0版最顯著的差異在於，針對生成式AI與自主AI代理的使用，提供更深層的安全控管，企業對於整體網路環境的AI使用行為，具有更強大的掌握、治理與防護能力。 <a href="https://www.ithome.com.tw/article/175434">【2026 企業資安大調查】一張圖看2026年一般製造業企業資安風險</a> 在2026年iThome CIO&CISO大調查中，一般製造2026年的首要風險和次要風險，與高科技製造業相同，「網路釣魚/社交工程手段」是未來一年的首要資安威脅，次要風險包括「商業郵件詐騙」和「勒索軟體資安事故」，不過值得注意的是，一般製造業第一象限高衝擊高風險的項目，卻比高科技製造業還要更多，包括4項系統類風險和6項人員類風險和一項AI類的風險。 <a href="https://www.ithome.com.tw/article/175435">【2026 企業資安大調查】一張圖看2026年服務業企業資安風險</a> 臺灣服務業2026年得特別防備的首要風險是「網路釣魚/社交工程手段」，次要風險則包括了「勒索軟體資安事故」和「資安漏洞濫用」，另外，服務業得留意多項人員面的風險，包括「商業郵件詐騙」、「瀏覽惡意網站」、「身分冒用」、「個人資料外洩」和「機敏資料外洩」，都進入了第一象限。由於服務業CIO今年特別重視員工賦能和IT維運效能的提升，但在加速衝刺之際，也得特別留意與人員相關的資安威脅。 <a href="https://www.ithome.com.tw/article/175436">【2026 企業資安大調查】一張圖看2026年醫療業企業資安風險</a> 2025年臺灣醫界歷經了嚴重的勒索軟體攻擊事件之後，每一家醫院紛紛把勒索軟體攻擊視為頭號資安威脅。但在2026年的醫療業資安風險圖中，網路釣魚/社交工程手段的發生可能性，比勒索軟體資安事件更高，成了醫療業的兩大首要風險，也是醫院今年特別要防備的頭號威脅。值得留意的是，醫院的挑戰不只這兩項，在高衝擊高風險的第一象限中，包括了7項系統類資安威脅和6項人員類資安威脅，都是得投入一定資源防備的項目。 <a href="https://www.ithome.com.tw/article/175437">【2026 企業資安大調查】一張圖看2026年政府學校資安風險</a> 「網路釣魚/社交工程手段」和「資安漏洞濫用」是臺灣政府機構和學校未來一年必須優先防備的兩大首要威脅，其次則是對政府網站的「DDoS攻擊」。值得注意的是「軟體供應鏈資安事故」的威脅，在政府學校特別嚴峻，已經進入了高衝擊發生風險高的第一象限。雖然，政府學校積極擁抱生成式AI，但是AI類資安風險，仍被許多政府學校CIO列為未來一年比較不可能遭遇的風險，甚至是衝擊低的風險。這也是跟其他產業不太一樣之處。 <a href="https://www.ithome.com.tw/news/123912">臺灣資安市場地圖2026年4月更新版出爐</a> 臺灣資安市場地圖上周發布4月更新版，本次新增6個品牌，包含中華數位代理的Action1、Hudson Rock，紘瑒科技（Cloudforce）自有品牌與代理的CloudCoffer、Semgrep，以及義大利嵌入式資安軟體廠商Exein。 在廠牌商標更新的部分，這次更換的廠牌，以臺灣廠商而言，有峻盟科技（Billows）、區塊科技（BlockChain Security，BCS）、基點資訊（Cellopoint）、池安量子資安（Chelpis Quantum）、誠雲（CT-Cloud）、恆智資安（DoQubiz）、中華龍網（DragonSoft）、杜浦數位安全（TeamT5）；至於國際廠商，有Anomali、BitSight、Black kite、Checkmarx、Check Point、Cloudflare、CyberArk、Cynomi、 Delinea、TrendAI。 近期資安日報 <a href="https://www.ithome.com.tw/news/175458">【4月30日】NPM供應鏈攻擊Mini Shai-Hulud鎖定多款SAP套件</a> <a href="https://www.ithome.com.tw/news/175415">【4月29日】LiteLLM重大漏洞公布一天半出現攻擊活動</a> <a href="https://www.ithome.com.tw/news/175370">【4月28日】資安院宣布第二屆漏洞獵捕活動，為公務機關最常使用的軟體抓漏</a> </div></div></div>
5/4 14:16作者周峻佑https://www.ithome.com.tw/news/175531
【2026 企業資安大調查】一張圖看2026年政府學校資安風險
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://www.ithome.com.tw/sites/default/files/0601-zi_an_feng_xian_tu_-zheng_fu_xue_xiao_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">iThome </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">「網路釣魚/社交工程手段」和「資安漏洞濫用」是政府機構和學校未來一年必須優先防備的兩大首要威脅，其次則是對政府網站的「DDoS攻擊」。值得注意的是「軟體供應鏈資安事故」的威脅，在政府學校特別嚴峻，已經進入了高衝擊發生風險高的第一象限。 <a href="https://r.itho.me/26svciop6">立即下載完整報告【iThome 2026 CIO & CISO大調查】資安策略篇完整報告</a> 政府學校今年在高風險高衝擊的資安威脅，包括了7項系統類風險和5項人員類風險，得優先投入資源來防備 相較於其他產業，國家級網路攻擊對政府機關的衝擊和發生可能性都相對較高，甚至未來一年，國家級網路攻擊和機敏資料外洩事件的威脅同樣都屬於必須警戒的重點，政府公務人員得留意各種網路釣魚和社交工程手段，背後就可能結合了國家級到攻擊來源。 雖然，政府學校積極擁抱生成式AI，但是AI類資安風險，仍被許多政府學校CIO列為未來一年比較不可能遭遇的風險，甚至是衝擊低的風險。這也是跟其他產業不太一樣之處。 AI採用越多越深，AI風險的發生可能性應該越高，但政府機關的警戒心相對較低。忙於用AI創新之際，政府機關還得留意是否忽略了對aI風險沒有給予足夠的重視。 深偽技術冒用是最接近第一象限高衝擊高風險的威脅項目，這也是政府機關在AI風險中，可以優先警戒的重點項目。 <a href="/sites/default/files/files/0601-%E8%B3%87%E5%AE%89%E9%A2%A8%E9%9A%AA%E5%9C%96-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A1-600-1.png" target="_blank"><img alt="" src="/sites/default/files/images/0601-%E8%B3%87%E5%AE%89%E9%A2%A8%E9%9A%AA%E5%9C%96-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A1-600-1.png" style="width: 600px;" /></a> 企業資安風險圖製作說明 在iThome 2026年CIO暨CISO大調查中，由企業CIO和CISO自評各威脅項目的兩項指標，一項是該項目對企業帶來的衝擊程度（衝擊極高和衝擊極低），另一項是這個項目未來1年的發生風險（極可能發生與極不可能發生），再換算成不同程度的量化數據來製圖。垂直軸是該威脅項目對企業的衝擊，位置越往上代表衝擊越大，水平軸是企業未來1 年發生該項目的風險，位置越右，代表發生可能性越大。威脅項目的位置圓點，區分成三類，紅點代表系統類風險，綠點代表人員風險，黑點則為AI風險。 問卷執行 自2026年1月1日至1月29日，對臺灣大型企業、iThome歷屆CIO大調查企業、政府機關及大學院校的資訊主管進行線上問卷調查，有效問卷數396份，其中57%填答者為企業資安最高主管。 資料來源：2026年iThome CIO & CISO大調查，2026年3月 </div></div></div>
5/4 09:37作者王宏仁https://www.ithome.com.tw/article/175437
【2026 企業資安大調查】一張圖看2026年服務業企業資安風險
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://www.ithome.com.tw/sites/default/files/0601-zi_an_feng_xian_tu_-fu_wu_ye_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">iThome </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">服務業CIO今年特別重視員工賦能和IT維運效能的提升，但在加速衝刺之際，也得特別留意與人員相關的資安威脅。服務業今年在高衝擊高風險的第一象限，足足有6項人員類風險和6項系統類風險得優先防範。 服務業未來一年得特別防備的首要風險是「網路釣魚/社交工程手段」，次要風險則包括了「勒索軟體資安事故」和「資安漏洞濫用」，另外，服務業得留意多項人員面的風險，包括「商業郵件詐騙」、「瀏覽惡意網站」、「身分冒用」、「個人資料外洩」和「機敏資料外洩」，都進入了第一象限。 <a href="https://r.itho.me/26svciop6">立即下載完整報告【iThome 2026 CIO & CISO大調查】資安策略篇完整報告</a> 雖然說服務業的網站，經常會遭受到種種DDoS攻擊，但是未來一年，服務業自家員工面對商業郵件詐騙和惡意網站瀏覽的風險，遠高於網站遭受DDoS的可能性。持續強化員工的資安意識和素養，還得持續認識最新的攻擊手法，成了重要的年度課題。 另外得留意的是，今年服務業也是積極擁抱生成式AI的產業之一，LLM應用外洩敏感資料的風險，也逐漸升高。接近了第一象限的邊緣，也得留意這類威脅的風險可能隨著GenAI應用越多，而風險越高。 <a href="/sites/default/files/files/0601-%E8%B3%87%E5%AE%89%E9%A2%A8%E9%9A%AA%E5%9C%96-%E6%9C%8D%E5%8B%99%E6%A5%AD-600.png" target="_blank"><img alt="" src="/sites/default/files/images/0601-%E8%B3%87%E5%AE%89%E9%A2%A8%E9%9A%AA%E5%9C%96-%E6%9C%8D%E5%8B%99%E6%A5%AD-600.png" /></a> 企業資安風險圖製作說明在iThome 2026年CIO暨CISO大調查中，由企業CIO和CISO自評各威脅項目的兩項指標，一項是該項目對企業帶來的衝擊程度（衝擊極高和衝擊極低），另一項是這個項目未來1年的發生風險（極可能發生與極不可能發生），再換算成不同程度的量化數據來製圖。垂直軸是該威脅項目對企業的衝擊，位置越往上代表衝擊越大，水平軸是企業未來1 年發生該項目的風險，位置越右，代表發生可能性越大。威脅項目的位置圓點，區分成三類，紅點代表系統類風險，綠點代表人員風險，黑點則為AI風險。 問卷執行自2026年1月1日至1月29日，對臺灣大型企業、iThome歷屆CIO大調查企業、政府機關及大學院校的資訊主管進行線上問卷調查，有效問卷數396份，其中57%填答者為企業資安最高主管。 資料來源：2026年iThome CIO & CISO大調查，2026年3月 <p class="p2" style="margin: 5.6px 0px; font-style: normal; font-variant: normal; font-size-adjust: none; font-language-override: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; font-size: 14px; line-height: normal; font-family: "PingFang TC"; color: rgb(38, 38, 38); background-color: rgba(0, 0, 0, 0);">服務業今年在高衝擊高風險的第一象限，足足有<span class="s1" style="font-style: normal; font-variant: normal; font-size-adjust: none; font-language-override: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; font-size: 14px; line-height: normal; font-family: "Avenir Next";">6項人員類風險和<span class="s1" style="font-style: normal; font-variant: normal; font-size-adjust: none; font-language-override: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; font-size: 14px; line-height: normal; font-family: "Avenir Next";">6項系統類風險得優先防範 <p class="p2" style="margin: 5.6px 0px; font-style: normal; font-variant: normal; font-size-adjust: none; font-language-override: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; font-size: 14px; line-height: normal; font-family: "PingFang TC"; color: rgb(38, 38, 38); background-color: rgba(0, 0, 0, 0);">服務業<span class="s1" style="font-style: normal; font-variant: normal; font-size-adjust: none; font-language-override: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; font-size: 14px; line-height: normal; font-family: "Avenir Next";">CIO今年特別重視員工賦能和<span class="s1" style="font-style: normal; font-variant: normal; font-size-adjust: none; font-language-override: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; font-size: 14px; line-height: normal; font-family: "Avenir Next";">IT維運效能的提升，但在加速衝刺之際，也得特別留意與人員相關的資安威脅。 <p class="p2" style="margin: 5.6px 0px; font-style: normal; font-variant: normal; font-size-adjust: none; font-language-override: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; font-size: 14px; line-height: normal; font-family: "PingFang TC"; color: rgb(38, 38, 38); background-color: rgba(0, 0, 0, 0);">服務業未來一年得特別防備的首要風險是「網路釣魚<span class="s1" style="font-style: normal; font-variant: normal; font-size-adjust: none; font-language-override: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; font-size: 14px; line-height: normal; font-family: "Avenir Next";">/社交工程手段」，次要風險則包括了「勒索軟體資安事故」和「資安漏洞濫用」，另外，服務業得留意多項人員面的風險，包括「商業郵件詐騙」、「瀏覽惡意網站」、「身分冒用」、「個人資料外洩」和「機敏資料外洩」，都進入了第一象限。<span class="s1" style="font-style: normal; font-variant: normal; font-size-adjust: none; font-language-override: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; font-size: 14px; line-height: normal; font-family: "Avenir Next";"> <p class="p2" style="margin: 5.6px 0px; font-style: normal; font-variant: normal; font-size-adjust: none; font-language-override: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; font-size: 14px; line-height: normal; font-family: "PingFang TC"; color: rgb(38, 38, 38); background-color: rgba(0, 0, 0, 0);">雖然說服務業的網站，經常會遭受到種種<span class="s1" style="font-style: normal; font-variant: normal; font-size-adjust: none; font-language-override: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; font-size: 14px; line-height: normal; font-family: "Avenir Next";">DDoS攻擊，但是未來一年，服務業自家員工面對商業郵件詐騙和惡意網站瀏覽的風險，遠高於網站遭受<span class="s1" style="font-style: normal; font-variant: normal; font-size-adjust: none; font-language-override: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; font-size: 14px; line-height: normal; font-family: "Avenir Next";">DDoS的可能性。持續強化員工的資安意識和素養，還得持續認識最新的攻擊手法，成了重要的年度課題。 </div></div></div>
5/3 22:44作者王宏仁https://www.ithome.com.tw/article/175435
【2026 企業資安大調查】一張圖看2026年醫療業企業資安風險
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://www.ithome.com.tw/sites/default/files/0601-zi_an_feng_xian_tu_-yi_liao_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">iThome </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">去年臺灣醫界歷經了嚴重的勒索軟體攻擊事件之後，每一家醫院紛紛把勒索軟體攻擊視為頭號資安威脅。 但在今年的醫療業資安風險圖中，網路釣魚/社交工程手段的發生可能性，比勒索軟體資安事件更高，成了醫療業的兩大首要風險，也是醫院今年特別要防備的頭號威脅。 <a href="https://r.itho.me/26svciop6">立即下載完整報告【iThome 2026 CIO & CISO大調查】資安策略篇完整報告</a> 醫院的挑戰不只這兩項，在高衝擊高風險的第一象限中，包括了7項系統類資安威脅和6項人員類資安威脅，都是得投入一定資源防備的項目。 在高衝擊高發生風險的第一象限有多項人員面風險，習慣委外開發的醫院，也得注意「以第三方為跳板的攻擊」，這項威脅在今年成了第一象限的資安威脅，正在進行HIS系統升版的醫院更是必須留意。 值得注意的是，隨著醫院今年展開第二波的上雲潮，組態設定不當導致網路裸奔的資安風險，正處於從第二象限要進入第一象限的邊界上，隨的AP上雲越多也越深，這類風險也會隨之而提高，成了必須防範的第一象限威脅，今年積極上雲的醫院得要格外留意。 <p class="p1" style="margin: 5.6px 0px; font-style: normal; font-variant: normal; font-size-adjust: none; font-language-override: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; font-size: 14px; line-height: normal; font-family: "PingFang TC"; color: rgb(38, 38, 38); background-color: rgba(0, 0, 0, 0);"><a href="/sites/default/files/files/0601-%E8%B3%87%E5%AE%89%E9%A2%A8%E9%9A%AA%E5%9C%96-%E9%86%AB%E7%99%82-600-1.png" style="text-align: center; font-family: sans-serif, Arial, Verdana, "Trebuchet MS"; font-size: 13px;" target="_blank"><img alt="" src="/sites/default/files/images/0601-%E8%B3%87%E5%AE%89%E9%A2%A8%E9%9A%AA%E5%9C%96-%E9%86%AB%E7%99%82-600-1.png" style="width: 600px;" /></a> 企業資安風險圖製作說明 在iThome 2026年CIO暨CISO大調查中，由企業CIO和CISO自評各威脅項目的兩項指標，一項是該項目對企業帶來的衝擊程度（衝擊極高和衝擊極低），另一項是這個項目未來1年的發生風險（極可能發生與極不可能發生），再換算成不同程度的量化數據來製圖。垂直軸是該威脅項目對企業的衝擊，位置越往上代表衝擊越大，水平軸是企業未來1 年發生該項目的風險，位置越右，代表發生可能性越大。威脅項目的位置圓點，區分成三類，紅點代表系統類風險，綠點代表人員風險，黑點則為AI風險。 問卷執行 自2026年1月1日至1月29日，對臺灣大型企業、iThome歷屆CIO大調查企業、政府機關及大學院校的資訊主管進行線上問卷調查，有效問卷數396份，其中57%填答者為企業資安最高主管。 資料來源：2026年iThome CIO & CISO大調查，2026年3月 </div></div></div>
5/3 22:54作者王宏仁https://www.ithome.com.tw/article/175436
【2026 企業資安大調查】一張圖看2026年一般製造業企業資安風險
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://www.ithome.com.tw/sites/default/files/0601-zi_an_feng_xian_tu_-zhi_zao_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">iThome </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">一般製造2026年的首要風險和次要風險，雖然和高科技製造業一項，但是一般製造業第一象限高衝擊高風險的項目，卻比高科技製造業還要更多，包括4項系統類風險和6項人員類風險和一項AI類的風險。 一般製造業今年也開始積極跟上生成式AI的浪潮，也願意投資在最新的AI代理應用上，但是一般製造業的AI因應能力沒有跟上來，像是AI負責任框架採用率偏低，AI治理程度也不高。企業資訊長和資安長也因此比高科技製造業更擔心生成式AI災情的發生。 <a href="https://r.itho.me/26svciop6">立即下載完整報告【iThome 2026 CIO & CISO大調查】資安策略篇完整報告</a> 一般製造業得特別留意的AI風險是LLM應用夜露敏感資料，這是已經進入第一象限高衝擊高風險的威脅，一般製造業CIO認為自己未來一年至少會遭遇一次。LLM幻覺導致真人誤判的風險， 處於第四象限和第一象限的交接原點附近，這意味著看似發生機率不高衝擊可能也偏低的幻覺影響，隨著一般製造業對LLM應用和依賴越多，可能快速進入了第一線像，成為高衝擊高風險的威脅，企業積極擁抱AI時，也得留意這樣可能的未來威脅。 一般製造業今年也得特別防備的首要風險是「網路釣魚/社交工程手段」，次要風險則包括了「商業郵件詐騙」和「勒索軟體資安事故」，這三項都與高科技製造業的威脅類似，但值得關注的是「LLM應用洩漏敏感資料」今年進入高衝擊發生風險高的第一象限，一般製造業者也必須警戒。 <a href="/sites/default/files/files/0601-%E8%B3%87%E5%AE%89%E9%A2%A8%E9%9A%AA%E5%9C%96-%E8%A3%BD%E9%80%A0-600-1.png" target="_blank"><img alt="" src="/sites/default/files/images/0601-%E8%B3%87%E5%AE%89%E9%A2%A8%E9%9A%AA%E5%9C%96-%E8%A3%BD%E9%80%A0-600-1.png" style="width: 600px;" /></a> 企業資安風險圖製作說明 在iThome 2026年CIO暨CISO大調查中，由企業CIO和CISO自評各威脅項目的兩項指標，一項是該項目對企業帶來的衝擊程度（衝擊極高和衝擊極低），另一項是這個項目未來1年的發生風險（極可能發生與極不可能發生），再換算成不同程度的量化數據來製圖。垂直軸是該威脅項目對企業的衝擊，位置越往上代表衝擊越大，水平軸是企業未來1 年發生該項目的風險，位置越右，代表發生可能性越大。威脅項目的位置圓點，區分成三類，紅點代表系統類風險，綠點代表人員風險，黑點則為AI風險。 問卷執行 自2026年1月1日至1月29日，對臺灣大型企業、iThome歷屆CIO大調查企業、政府機關及大學院校的資訊主管進行線上問卷調查，有效問卷數396份，其中57%填答者為企業資安最高主管。 資料來源：2026年iThome CIO & CISO大調查，2026年3月 </div></div></div>
5/3 12:16作者王宏仁https://www.ithome.com.tw/article/175434
【資安週報】0427~0430，iThome企業資安大調查結果公布，投資預算較去年大幅成長13％，百億營收企業的AI預…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">這一星期的AI資安威脅的消息不斷，尤其攻擊者鎖定LiteLLM、LMDeploy才剛剛修補一兩天的漏洞快速發動攻擊，顯示漏洞修補空窗期持續成為駭客高度覬覦的目標，還有大家在關注LLM挖掘漏洞能力大幅進步之餘，國內外資安專家也持續示警：防禦端的自動化修補速度卻尚未跟上，正使企業面臨空前挑戰，另也強調過去很多系統不是因為真的安全，僅是駭客覺得不值得花時間研究，必須警惕AI導致的攻防失衡。 另一重要焦點是「2026 iThome 企業資安大調查」結果公布，今年報告顯現多項重要調查結果，涵蓋整體資安預算變化、從數位轉型邁向AI轉型布局，企業AI資安挑戰，以及資安人才需求等不同重點，勾勒出臺灣企業在AI浪潮下的資安防禦動向，是本星期不容錯過的產業深度觀察。 <h1 style="margin: 0px;">政策法規</h1> 產品安全與AI資安風險已成為各國政府關注的戰略焦點。如何促使設備業者採取主動防禦行動，並喚醒金融業與關鍵基礎設施（CI）營運商對新型威脅的警覺，成為近期政策推動的核心議題。 <a href="https://www.ithome.com.tw/news/175329">資安院首屆漏洞獵補計劃發現20個臺廠硬體產品漏洞，第二屆將聚焦純軟體產品</a> <a href="/sites/default/files/images/資安院漏洞獵捕計畫成果出爐.jpg"><img alt="" src="/sites/default/files/images/%E8%B3%87%E5%AE%89%E9%99%A2%E6%BC%8F%E6%B4%9E%E7%8D%B5%E6%8D%95%E8%A8%88%E7%95%AB%E6%88%90%E6%9E%9C%E5%87%BA%E7%88%90.jpg" style="width: 380px; float: right;" /></a> 為喚起國內業者重視產品資安，去年資安院啟動的漏洞獵補計畫已有成果出爐，共發現8款臺廠硬體產品的20個漏洞，發出53.9萬元的獎金，廠商也都已經完成修補。資安院表示第二屆漏洞獵補計畫將以純軟體產品為主，並以國內公務機關使用最多的軟體產品為對象，預計今年9月開放報名，同時也鼓勵研究人員使用AI工具輔助找出漏洞。 <a href="https://www.ithome.com.tw/news/175189">新加坡示警AI模型恐改變漏洞利用節奏，要求銀行與關鍵基礎設施加速補強防線</a> 新加坡網路安全局警告先進AI模型將加速漏洞利用流程，可能將攻擊準備時間從數月縮短至數小時。監管單位要求關鍵基礎設施與金融業強化修補、MFA與網路分段等防護措施，並導入AI輔助弱點偵測，以因應生成式AI帶來的攻擊自動化與規模化風險。 <h1>AI資安</h1> 隨著LLM進步降低漏洞攻擊門檻，資安焦慮持續蔓延，近期多則新聞揭露：自動化修補技術尚未跟上、以及大型業者積極應對之際，但資源匱乏的路由器、醫療與金融設備業者，恐因難以即時因應快速更迭的風險。此外，熱門LLM套件與LLM推論工具剛修補的漏洞，最近發生一兩天內就被攻擊者鎖定利用，突顯駭客正鎖定尚未更新的空窗期速攻，用戶必須在補丁釋出後迅速更新。 <a href="https://www.ithome.com.tw/news/175400">LiteLLM重大漏洞公布後36小時出現攻擊活動</a>【CVE-2026-42208】 開源LLM串接套件LiteLLM修補的SQL注入漏洞CVE-2026-42208，資安公司Sysdig示警，在修補公告發布的36個小時後，偵測到漏洞利用的跡象，駭客試圖發動SQL注入攻擊，然後找出資料庫結構，並鎖定其中3個資料表，使用17個Union惡意酬載。 <a href="https://www.ithome.com.tw/news/175331">LMDeploy LLM推論工具SSRF漏洞公開後13小時內即遭利用</a>【CVE-2026-33636】 大型語言模型推論工具LMDeploy甫發布新版0.12.3，修補一項高風險漏洞CVE-2026-33626，但攻擊者隨即盯上該漏洞，在不到13小時內就找出實際利用方式，鎖定尚未修補的用戶發動攻擊。資安業者Sysdig指出已在蜜罐環境中觀察到相關利用行為，推測攻擊者可能根據安全公告揭露的受影響檔案、參數與檢查缺口，自行組合出可運作的攻擊流程。 <a href="https://www.ithome.com.tw/news/175398">Mythos模型問世，臺灣兩大資安廠商警示AI將使攻擊門檻大幅降低</a> Mythos模型已引發全球資安界高度戒備，多國金融監管機構已在討論相關風險，對此技術發展浪潮，臺灣資安專家怎麼看？戴夫寇爾專家指出，前一代Opus 4.6模型就已經讓漏洞挖掘門檻顯著下降，如今真正的隱憂在於路由器、醫療與金融設備等IoT元件，因資源匱乏，難以像科技巨頭般應對新興威脅。奧義智慧專家亦強調，這波技術進化的關鍵在於能與Debugger等外部工具互動協作，打破過去漏洞開發高成本、低涵蓋的限制，將為漏洞相關產業帶來重大衝擊 <a href="https://www.ithome.com.tw/news/175328">用AI發現漏洞還不夠，Google指出自動化大規模修補才是防禦核心</a> AI漏洞挖掘能力已大幅提升，但更關鍵的挑戰在於自動化漏洞修補能力還要努力跟上。Google工程副總裁Royal Hansen在4月來臺揭露這方面的進展，說明去年公開的AI代理CodeMender運作方式：可針對同一漏洞提出多個修補方案，透過真實攻擊模擬逐一測試與評分，就如同AI在圍棋中評估每一步的優劣，最終選出防禦效果最佳的程式碼進行部署。 <a href="https://www.ithome.com.tw/news/175391">AI代理人9秒刪掉新創公司的資料庫及備份</a> 自動化處理雖然便捷，但就怕一個不小心失手導致重要資料損毀，提供租車SaaS服務的新創公司PocketOS創辦人Jeremy Crane上週透過社群媒體X貼文表示，近日遭到以Anthropic Claude為基礎的代理人刪除資料庫及備份，全程只花了9秒鐘。 <a href="https://www.ithome.com.tw/news/175384">Google修補Gemini CLI重大漏洞</a> Google揭露AI輔助開發命令列工具Gemini CLI存在重大漏洞（GHSA-wpqr-6v78-jr5g，截稿前暫無CVE公布），CVSS嚴重性達10.0分，建議用戶儘速更新並檢視自動化流程設定。此漏洞問題源自工作區信任與工具控管機制缺陷，風險是攻擊者可透過GitHub Actions工作流程觸發遠端執行程式碼，影響程式開發與整合環境的安全。 <a href="https://www.ithome.com.tw/news/175230">開源監控平臺Grafana Cloud加入AI Observability，納管AI代理對話與工具呼叫</a> 傳統可觀測性工具無法及早判斷輸出偏差，往往在品質下降或用戶反映後才發現，對此狀況，以開源監控工具Grafana聞名的Grafana Labs採取新行動，針對其提供的雲端託管平臺Grafana Cloud推出新功能AI Observability，現已開放預覽，其新做法是將代理對話與工作階段納入主要遙測訊號，並且相容OpenTelemetry標準。 <a href="https://www.ithome.com.tw/news/175413">一次盤點OpenClaw近期嚴重漏洞，關注AI代理框架安全風險</a> <a href="/sites/default/files/images/2026第一季openclaw重大漏洞問題彙整.jpg"><img alt="" src="/sites/default/files/images/2026%E7%AC%AC%E4%B8%80%E5%AD%A3openclaw%E9%87%8D%E5%A4%A7%E6%BC%8F%E6%B4%9E%E5%95%8F%E9%A1%8C%E5%BD%99%E6%95%B4.jpg" style="width: 380px; float: right;" /></a> AI代理框架OpenClaw推出以來，陸續暴露多項重大漏洞，近期有AI應用新創公司發布報告，彙整2026年第1季發現的OpenClaw重大漏洞與修補建議，供使用者參考，除了提醒用戶注意修補，同時也讓外界了解AI代理框架的各種嚴重風險。 <a href="https://www.ithome.com.tw/news/175372">OpenClaw強化權限管理與系統穩定性，修復繞過策略與憑證洩漏等弱點</a> OpenClaw新發布2026.4.20版，修補多項安全性問題，其中有3項問題最為嚴重，例如，可透過提示注入繞過保護機制修改Gateway設定，竄改AI代理執行流程；由於工具鏈邏輯缺陷，可濫用MCP與LSP工具註冊流程，執行未授權功能；還有環境變數污染問題，若透過惡意工作區.env覆寫API主機設定，可藉此竊取API憑證等敏感資料。 <a href="https://www.ithome.com.tw/news/175226">Google推出兩款研究代理人Deep Research與Deep Research Max</a> 寫研究報告這件事更容易了，Google正式推出AI代理Gemini Deep Research，主要基於Gemini 3.1 Pro打造，最大特色在於，可自動執行多步驟搜尋、整合企業內外資料，並提供引用來源的報告，貼近企業實際工作場景需求。Deep Research以效率為訴求，Deep Research Max則是高完整度的研究引擎 <h1>資料安全</h1> 國際間近期接連傳出多起重大資料外洩事件，從醫療器材大廠、保全業龍頭ADT到遊輪營運業等企業均傳出資安事故，且這些事件更被指與駭客組織ShinyHunters相關。這突顯勒索軟體威脅仍持續發生，攻擊者正持續鎖定具高價值資料的大型企業。 <a href="https://www.ithome.com.tw/news/175360">醫療設備製造商美敦力資料外洩，駭客聲稱竊取逾900萬筆個資</a> <a href="/sites/default/files/images/美敦力發布資料外洩公告.jpg"><img alt="" src="/sites/default/files/images/%E7%BE%8E%E6%95%A6%E5%8A%9B%E7%99%BC%E5%B8%83%E8%B3%87%E6%96%99%E5%A4%96%E6%B4%A9%E5%85%AC%E5%91%8A.jpg" style="width: 380px; float: right;" /></a> 醫療器材大廠美敦力（Medtronic）發布公告說明資料外洩事故，資訊系統的資料遭未經授權的第三方存取。關於攻擊者身分，駭客團體ShinyHunters於4月18日聲稱從該公司竊得超過900萬筆個人可識別資訊（PII）的記錄。 <a href="https://www.ithome.com.tw/news/175316">ShinyHunters傳竊得保全巨人ADT、遊輪業者Carnival數百萬筆資料</a> 保全業龍頭公司ADT和遊輪營運業者Carnival遭駭，勒索軟體組織ShinyHunters分別宣稱駭入兩公司各取得數百萬筆資料。ADT向媒體證實在4月20日偵測到客戶及潛在客戶資料遭未授權存取，初步調查有個資外洩事故，Carnival則向資料外洩查詢網站HIBP證實本案是起自一位用戶遭釣魚攻擊被竊取帳密，正在調查中。 <a href="https://www.ithome.com.tw/news/175338">Checkmarx證實GitHub資料遭駭客團體Lapsus$流入暗網</a> 資安公司Checkmarx因提供的VS Code延伸套件與掃描工具KICS的Docker映像檔被入侵，面臨供應鏈攻擊，後續Checkmarx證實，這起事故的導火線，就是一個月前發生的Trivy供應鏈攻擊，該公司研判，攻擊者藉此取得憑證，而能夠未經授權存取他們的GitHub儲存庫，並以此發布惡意程式碼。他們確認資料外洩發生在3月30日，4月25日駭客團體Lapsus$將資料公布於暗網。 <a href="https://www.ithome.com.tw/news/175416">2025企業面臨勒索軟體攻擊的衝擊，Veeam警示能完全復原資料的比例不到3成</a> Veeam發布《2026資料信任與韌性》報告指出，僅不到3成企業能在勒索軟體攻擊後完整復原資料。調查顯示，過去一年56%受害企業資料遭加密或竊取，但僅28%可完全復原，多數企業僅能部分恢復資料、承受一定的資料損失。報告也指出，企業資安預算與復原策略，將直接影響是否支付贖金及資料復原成效。 <a href="https://www.ithome.com.tw/news/175367">網路學習平臺Udemy傳資料外洩，ShinyHunters聲稱竊得140萬筆個資</a> 提供超過2.6萬門由業界專家設計課程的全球最大網路學習平臺之一Udemy，近期疑似傳出資料外洩事故，駭客團體ShinyHunters於4月24日宣稱竊取Udemy的內部資料，雖然Udemy並未對此事做出說明，但密碼外洩查詢網站HIBP已於4月26日記錄此事，並指出洩露的資料影響學生與講師。 <a href="https://www.ithome.com.tw/news/175403">影音串流平臺Vimeo遭Anodot資料外洩事件波及，部分用戶與客戶資料遭未經授權存取</a> 影音串流平臺Vimeo公告發生資料外洩事故，說明是因為Anodot遭駭事故影響而外洩資料，部分使用者與客戶資料遭未經授權存取，主要包含技術資料、影片標題與中繼資料，部分情況下還有客戶的電子郵件信箱。另一方面，駭客團體ShinyHunters聲稱入侵Vimeo的Snowflake與BigQuery實體。 <a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=213035&SPOKE_DATE=20260429&COMPANY_ID=7750">工具機控制器業者新代科技發布資安重訊</a>【上市公司資安重訊】 製造數位控制器的新代科技（7750）於4月29日晚間發布資安重訊，表示該公司遭遇勒索軟體攻擊，該公司已進行全面性檢測與防護處理，經初步確認，該公司內部資訊系統及網站運作正常，未受實質影響，亦未發現有機密資料或重要文件外洩之情事。根據初步評估，對公司營運無重大影響。 <h1>端點安全</h1> Windows出現新的零時差漏洞攻擊，值得各界重視。新揭露的PhantomRPC漏洞已遭鎖定利用，突顯駭客領先資安界發現潛在漏洞，搶在防禦機制建立前，便完成從漏洞發現到發動攻擊的過程，使企業在修補程式釋出前難以防範。 <a href="https://www.ithome.com.tw/news/175341">RPC零時差漏洞PhantomRPC可被用於提升權限</a>【PhantomRPC】 <a href="/sites/default/files/images/PhantomRPC漏洞.jpg"><img alt="" src="/sites/default/files/images/PhantomRPC%E6%BC%8F%E6%B4%9E.jpg" style="width: 380px; float: right;" /></a> 發現鎖定Windows零時差漏洞攻擊的活動！資安公司卡巴斯基調查發現後將此漏洞命名為PhantomRPC，指出此漏洞與Windows作業系統的遠端程序呼叫（RPC）有關，攻擊者可藉此將本機權限提升至最高級別SYSTEM。目前微軟尚無釋出修補程式，卡巴斯基已同步發布數項緩解措施供用戶參考。 <a href="https://www.ithome.com.tw/news/175320">CISA將微軟Defender漏洞BlueHammer列入KEV清單，要求各機構限期修補</a>【CVE-2026-33825、BlueHammer】 先前已有資安業者指出微軟Defender漏洞BlueHammer（CVE-2026-33825）遭利用，如今美國CISA也將該漏洞納入KEV清單，要求各聯邦機構限期修補。 <a href="https://www.ithome.com.tw/news/175440">APT28將Windows Shell欺騙漏洞用於實際攻擊</a>【CVE-2026-32202】 本月微軟修補Windows Shell漏洞CVE-2026-32202，CVSS風險僅有4.3分，如今微軟與美國CISA指出該漏洞被用於實際攻擊，但他們並未進一步說明如何被利用。資安公司Akamai則透露，此漏洞已遭俄羅斯駭客APT28利用，另指出與微軟2月的CVE-2026-21510漏洞修補不完全有關。 <a href="https://www.ithome.com.tw/news/175410">TeamT5 ThreatSonar Anti-Ransomware存在高風險漏洞</a> 國家資通安全研究院於4月24日發布資安公告，警示杜浦數位安全（TeamT5）的ThreatSonar Anti-Ransomware存在資安漏洞CVE-2026-5967，呼籲用戶盡速修補。實際上，杜浦數位安全於4月20日資安公告已說明該公司PSIRT團隊發現CVE-2026-5966與CVE-2026-5967漏洞並釋出修補，並表示在所有客戶都完成更新才公告，無客戶受到漏洞影響，亦無漏洞遭到實際利用的情況。 <a href="https://www.ithome.com.tw/news/175353">Linux作業系統套件管理器存在資安漏洞Pack2TheRoot</a> 可安裝在Linux等類Unix作業系統的套件管理工具PackageKit，被發現存在CVE-2026-41651漏洞，這是德國電信公司Deutsche Telekom紅隊團隊找到並公布，PackageKit開發團隊獲報後發布1.3.5版予以修補。值得關注的是，此漏洞影響範圍可能相當廣泛，因缺陷潛伏於程式碼中長達14年。且攻擊者能藉此取得root權限。 <h1>網路安全</h1> 網路設備已知漏洞未修補的情況一再發生，讓攻擊者有可趁之機。近期再有此類事件，駭客鎖定去年思科修補的漏洞，攻擊尚未更新設備的企業用戶，突顯資安治理失效的情形。若等到受害後才修補，往往得不償失，因為IT人員除了修補補洞，同時須確保已清除所有隱藏的存取通道與惡意程式，以防駭客持續潛伏。 <a href="https://www.ithome.com.tw/news/175309">後門程式FireStarter鎖定思科防火牆，中國駭客利用已知漏洞滲透裝置</a> 思科Firepower防火牆的已知漏洞遭駭客組織UAT-4356鎖定攻擊，思科威脅情報團隊Talos警告，攻擊者主要利用Firepower eXtensible作業系統（FXOS）兩個漏洞CVE-2025-20333及CVE-2025-20362入侵，最終會植入後門程式FireStarter。Talos呼籲用戶應儘速依照指引採取行動因應。 <a href="https://www.ithome.com.tw/news/175314">美國聯邦機構的思科防火牆遭後門程式FireStarter攻擊</a> 在思科警告Firepower防火牆遭駭客組織UAT-4356攻擊後，同日CISA與NCSC聯合警示後門程式FireStarter的活動，指出受害設備若是已被植入FireStarter，IT人員不能只是修補漏洞，同時也要徹底清除已存在的後門機制，否則駭客仍能在不需利用漏洞的情況下，持續潛伏於企業環境中。 <a href="https://www.ithome.com.tw/article/175255">台積電全球安全負責人屠震強調從「零信任網路」到「雙零安全」</a> 當「零信任網路」成為資安市場上的流行詞，台積電全球安全負責人屠震現在進一步提倡「雙零安全」，他在其新著《資訊安全管理領導力實戰手冊》中指出，雙零安全是指，安全產品對於一般使用者而言，零感受，對設備、工具機而言，零影響。對於「雙零安全」的實現，他強調這應該成為所有安全產品設計的首要考量，尤其是網路服務供應商和電子郵件供應商。 <a href="https://www.ithome.com.tw/news/175455">臺馬三號海纜部分芯線受損不到一個月發生全斷，中華電信緊急以微波備援東引通訊</a> 3月底才發生部分芯線受損的臺馬三號海纜，4月再次發生海纜異常事件，北竿至東引段全斷。數發部初步研判原因與海象不佳有關，也可能是先前擱淺船隻殘骸因海況變動移動，進而破壞海纜結構，此事件也再次引發離島對單一海纜依賴所帶來的網路韌性風險。 <h1>應用程式安全</h1> 由於應用程式數量龐大，廠商與維護團隊正積極修補漏洞，近期以Notepad++、Python的漏洞修補最受矚目。這些安全更新頻繁發布，目的是在提醒企業用戶與開發者，必須時時刻刻關注產品動態，並落實安全修補更新。 <a href="https://www.ithome.com.tw/news/175446">SAP的NPM套件遭Mini Shai-Hulud攻擊</a> <a href="/sites/default/files/images/SAP的NPM套件遭Mini Shai-Hulud攻擊.jpg"><img alt="" src="/sites/default/files/images/SAP%E7%9A%84NPM%E5%A5%97%E4%BB%B6%E9%81%ADMini%20Shai-Hulud%E6%94%BB%E6%93%8A.jpg" style="width: 380px; float: right;" /></a> 多家資安業者示警，最新一波NPM套件供應鏈攻擊活動Mini Shai-Hulud針對SAP而來，該公司多個套件受到影響。關於攻擊者的身分，Socket、Wiz推測很有可能就是3月發動大規模攻擊的駭客團體TeamPCP。 <a href="https://www.ithome.com.tw/news/175362">Notepad++修補字串輸入漏洞，未更新可能導致資訊洩漏或程式當機</a> Notepad++修補CVE-2026-3008格式化字串漏洞，問題源自Find in Files功能，當處理特定輸入時可能觸發記憶體存取異常，導致資訊洩漏或程式當機，由於Notepad++廣泛用於開發與系統維運，建議用戶儘速升級至已修補的8.9.4版。 <a href="https://www.ithome.com.tw/news/175332">Python存在高風險的記憶體存取漏洞，未修補可能導致越界寫入與記憶體資料損毀</a> Python存在高風險記憶體漏洞CVE-2026-3298，影響Windows平臺的asyncio模組，問題源自缺乏邊界檢查，可能導致越界寫入，進而引發記憶體資料毀損，甚至在特定條件下被利用進行攻擊。Python軟體基金會已提交修補至CPython程式碼庫，建議用戶儘速更新以降低風險。 <a href="https://www.ithome.com.tw/news/175184">高下載量protobuf.js函式庫爆RCE漏洞，波及gRPC與Firebase套件</a> 有使用protobuf.js函式庫的開發者注意，維護團隊近日發布新版修補重大漏洞CVE-2026-41242，並建議執行NPM ls protobufjs指令確認專案中是否存在該套件，以盡速更新，其風險在於攻擊者可在protobuf定義的type欄位，注入任意程式碼。 <a href="https://www.ithome.com.tw/news/175322">Google發布Chrome瀏覽器更新，修補19個安全性問題，含2個重大漏洞</a> Google發布Chrome 147安全更新，共修補19項安全問題，其中2項CVSS嚴重性達9.6分的重大漏洞，最受關注，分別影響DevTools與GPU元件，均屬於記憶體安全問題。此外還包含一項GPU條件競爭漏洞，建議用戶儘速更新以降低遭攻擊風險。 <a href="https://www.ithome.com.tw/news/175327">CrowdStrike修補LogScale重大漏洞，未更新可能導致遠端讀取任意檔案</a> 資安業者CrowdStrike修補日誌分析與監控平臺LogScale重大漏洞CVE-2026-40050，值得關注的是，該漏洞結合路徑遍歷與缺乏身分驗證問題，CVSS高達9.8。僅有自行建置版受影響，用戶應儘速升級修補版本以降低風險。 <a href="https://www.ithome.com.tw/news/175352">Tenable修補Nessus弱點掃描代理程式漏洞，未更新可能導致攻擊者取得SYSTEM權限</a> Tenable修補弱點掃描工具Nessus Agent Windows版本漏洞CVE-2026-33694，該問題源自檔案系統junction驗證不當，本機攻擊者可利用惡意連接點，在SYSTEM權限下刪除任意檔案並進一步提升權限或執行任意程式碼。原廠已釋出11.1.3修補，建議用戶儘速更新。 <a href="https://www.ithome.com.tw/news/175406">高風險GitHub漏洞極容易被利用，攻擊者只需透過推送Git就能觸發</a> 上個月GitHub修補資安公司Wiz通報的GitHub Enterprise Server漏洞CVE-2026-3854，後續兩家業者說明更多細節，指出該漏洞影響相當廣泛，並且相當容易利用。Wiz另也說明，這起案例是少數透過AI技術，在封閉原始碼二進位程式中發現的重大漏洞。 <a href="https://www.ithome.com.tw/news/175340">蠕蟲程式GlassWorm透過73個VS Code延伸套件潛伏於Open VSX儲存庫</a> Open VSX平臺在4月出現73個惡意VS Code延伸套件，資安公司Socket指出這些套件大部分看起來無害，但有6個已顯露真正的意圖，被用來傳送GlassWorm。另也提及這些惡意套件與1月發現的活動有關，因為皆先發布看似乾淨的套件，隨後再利用延伸套件的更新機制植入惡意軟體。 ●<a href="https://www.ithome.com.tw/news/175431">ConnectWise ScreenConnect、Windows Shell已知漏洞已出現攻擊行動</a>【CVE-2024-1708】 <h1>身分安全</h1> 近期數位身分識別正迎來關鍵演進，包括先前臺灣已在推動Mobile ID電信門號驗證，應用逐漸升溫，還有FIDO聯盟在2026年有全新發展焦點，聚焦FIDO與數位憑證的結合，以及FIDO與AI代理的交會。 <a href="https://www.ithome.com.tw/news/175386">一卡通導入行動身分識別，靠電信門號身分驗證強化電支交易安全</a> 臺灣推動Mobile ID行動身分識別多年，應用範疇已從政府試點擴及金融業，如今「一卡通iPASS MONEY」也正式導入。一卡通指出，過去為強化防護，用戶更換行動裝置登入App時，系統會自動解除銀行帳戶與信用卡等金融設定，雖安全卻造成不便。透過導入Mobile ID電信層級認證，可實現帳戶與特定裝置的物理性綁定，比傳統簡訊OTP驗證更不容易受網釣攔截。 <a href="https://www.ithome.com.tw/news/175115">FIDO身分識別觸角擴大，聚焦數位憑證、AI代理、歐盟CRA</a> <a href="/sites/default/files/images/FIDO身分識別觸角擴大，數位憑證、AI代理、歐盟CRA.jpg"><img alt="" src="/sites/default/files/images/FIDO%E8%BA%AB%E5%88%86%E8%AD%98%E5%88%A5%E8%A7%B8%E8%A7%92%E6%93%B4%E5%A4%A7%EF%BC%8C%E6%95%B8%E4%BD%8D%E6%86%91%E8%AD%89%E3%80%81AI%E4%BB%A3%E7%90%86%E3%80%81%E6%AD%90%E7%9B%9FCRA.jpg" style="width: 380px; float: right;" /></a> 想要了解網路身分識別的最新發展，FIDO聯盟揭露的技術路線向來是了解相關產業發展的風向球，2026年展現3項全新的探討重心：「數位憑證」與「代理式AI」已躍升為核心議題，歐盟網路韌性法案（CRA）亦是討論焦點。這些動向不僅展現FIDO正擴張其接軌範疇，也預示著身分識別在AI代理時代面臨的全新挑戰。 <a href="https://www.ithome.com.tw/news/175396">FIDO聯盟推動AI代理互動與驗證標準，降低AI代理線上交易風險</a> FIDO聯盟在4月宣布推動AI代理互動與交易安全標準，聚焦使用者意圖驗證、代理身分驗證與交易授權機制，確保AI代理在自動化操作時符合使用者授權。該組織並成立工作小組，結合Google與Mastercard等業者的既有技術，建立跨平臺信任架構，因應AI代理逐步參與線上支付與服務的新型安全需求。 <a href="https://www.ithome.com.tw/news/175399">微軟修補Entra ID權限漏洞，防止AI代理管理角色遭到濫用</a> 微軟修補Microsoft Entra ID權限設計漏洞，問題出在Agent ID Administrator角色可能被用來接管任意服務主體，進而新增憑證並取得身分控制權。攻擊者若利用高權限服務主體，可橫向移動至整個租戶環境。微軟已於4月完成修補，限制該角色僅能管理AI代理相關身分。 <h1>IoT/OT安全</h1> 近期IoT安全焦點在於，開源機器人平臺LeRobot有零時差漏洞尚未有能力修補，以及產品生命週期（EoL）路由器淪為殭屍網路攻擊跳板，這些消息反映兩件事，一是開源端修補能量與速度不足，一是使用端則忽視了資產淘汰與生命週期管理。這也提醒我們，未受妥善管理的影子IoT已成為企業防禦的最弱環節。 <a href="https://www.ithome.com.tw/news/175397">Hugging Face機器人平臺LeRobot存在重大漏洞</a>【CVE-2026-25874】 <a href="/sites/default/files/images/開源機器人平臺LeRobot漏洞尚未修補.jpg"><img alt="" src="/sites/default/files/images/%E9%96%8B%E6%BA%90%E6%A9%9F%E5%99%A8%E4%BA%BA%E5%B9%B3%E8%87%BALeRobot%E6%BC%8F%E6%B4%9E%E5%B0%9A%E6%9C%AA%E4%BF%AE%E8%A3%9C.jpg" style="width: 380px; float: right;" /></a> 開源機器人平臺LeRobot的CVE-2026-25874重大零時差漏洞引發關注，原因是目前尚無修補程式，建議用戶即刻採取更多因應防範措施，VulnCheck研究員指出，此漏洞早在去年12月便已通報，雖然開發團隊於今年1月承認漏洞存在，但表示需重新建構幾乎所有程式碼才能修復。 <a href="https://www.ithome.com.tw/news/175389">研究人員揭露比Stuxnet還要早被利用的工控惡意軟體Fast16</a> Stuxnet經常被指認為工控系統惡意程式的先驅，然而，資安公司SentinelOne近期揭露網路攻擊框架Fast16，其核心元件早在2005年便已現蹤。該框架的關鍵元件fast16.sys專門鎖定高精度計算軟體，於記憶體竄改程式碼以操控計算結果，並干預工控系統運作。目前VirusTotal僅有1家防毒引擎將其標識為有害。 <a href="https://www.ithome.com.tw/news/175346">CISA警告D-Link路由器命令注入漏洞被用於實際攻擊</a> 產品生命週期已結束的D-Link路由器DIR-823X，其已知漏洞面臨殭屍網路Mirai變種tuxnokill攻擊，美國CISA近日將此漏洞列入KEV清單。CISA強調，由於DIR-823X生命週期結束且廠商已終止服務（EoS），呼籲用戶應停止使用。 <a href="https://www.ithome.com.tw/news/175307">殭屍網路Mirai變種綁架生命週期結束的D-Link路由器</a> D-Link路由器設備DIR-823X遭駭客鎖定，資安公司Akamai發現有攻擊者部署殭屍網路Mirai變種tuxnokill。D-Link表示，DIR-823X僅在中國銷售，因此不影響臺灣與其他國家用戶，此設備於2024年11月生命週期結束，並於2025年8月停止支援。 <h1>資安維運</h1> 「2026 iThome 企業資安大調查」結果於本週正式揭曉，成為業界關注焦點。此調查針對臺灣大型企業、政府機關及大專院校之資訊主管進行調查，深入探討資安預算變動、AI轉型下的安全防禦策略及人才需求，調查結果顯示，企業資安投資金額再創新高，將GenAI創新列為年度目標的企業比例同樣大幅提升。 <a href="https://www.ithome.com.tw/article/175310">【2026 企業資安大調查】整體資安預算大增13％，金融業更加碼近2成</a> <a href="/sites/default/files/images/iThome 2026 企業資安大調查.jpg"><img alt="" src="/sites/default/files/images/iThome%202026%20%E4%BC%81%E6%A5%AD%E8%B3%87%E5%AE%89%E5%A4%A7%E8%AA%BF%E6%9F%A5.jpg" style="width: 380px; float: right;" /></a> 近期臺灣不只出口金額創下新高，企業在資安領域的投資也攀上新高峰。近日iThome發布2026企業資安大調查報告，顯示今年平均單一企業的資安預算已達2,371萬元，較去年大幅成長13％，占整體IT預算的比例為8.2％。 <a href="https://www.ithome.com.tw/news/175333">【2026 </a><a href="https://www.ithome.com.tw/article/175311">企業資安大調查</a><a href="https://www.ithome.com.tw/news/175333">】CIO從數位轉型邁向AI轉型布局</a> 國際大廠AI投資狀況顯著，臺灣企業在AI投資方面的布局又是如何？2026 iThome企業資安大調查顯示，以百億營收的企業來看，AI預算增加111％，比去年翻了一倍多，突顯國內大型企業正積極投資AI。進一步從產業來看，政府學校在今年的AI投資比去年增加134％，金融業增加118％居次，一般製造也比去年多了50％。 <a href="https://www.ithome.com.tw/article/175312">【2026 企業資安大調查】人才和資料治理是AI資安兩大難題</a> 擁抱生成式AI之際，應對AI資安風險也成為CIO與CISO當前最大新挑戰，根據iThome最新企業資安大調查顯示，「AI資安和治理人才的不足」是企業最頭痛的問題，比例達26％，「資料治理成熟度不足」居次，比例也有21％。同時，我們也針對企業防範生成式AI風險因應作法進行深入調查。 <a href="https://www.ithome.com.tw/article/175311">【2026 企業資安大調查】因應資安人才缺口，3成CIO想靠AI緩解</a> AI是解決資安人才荒的靈丹妙藥？隨著「2026 iThome企業資安大調查」結果出爐，企業資訊長和資安長對於AI緩解IT人才荒的反映如何？企業招募人才狀況又是如何？請看本篇iThome深度分析。 <a href="https://www.ithome.com.tw/news/175325">中國駭客GopherWhisper鎖定蒙古，利用多種雲端服務從事網路間諜活動</a> 中國駭客GopherWhisper正攻擊蒙古某個政府機構，資安公司ESET表示從2025年1月發現攻擊活動，攻擊者部署後門程式LaxGopher，並使用後門注入工具JabGopher將其注入svchost.exe處理程序執行，而且該惡意軟體會與特定的Slack伺服器互動。 <a href="https://www.ithome.com.tw/news/175394">UNC6692冒充IT服務臺，透過Teams散布惡意軟體套件Snow</a> 近一年來，駭客越來越常透過電話或協作通訊平臺發動網釣，Google威脅情報團隊揭露駭客組織UNC6692的攻擊活動，指出攻擊者去年底先大規模寄送垃圾信轟炸使用者，然後冒充IT或客服人員，透過Teams向使用者發送釣魚訊息，聲稱可以協助處理爆量信件並提供連結，聲稱安裝特定修補程式即可防堵郵件轟炸，使用者若依指示下載安裝即會受駭。 <a href="https://www.ithome.com.tw/news/175324">中國駭客Tropic Trooper鎖定臺灣、日本、韓國，透過Adaptix C2與VS Code隧道控制受害電腦</a> 中國駭客Tropic Trooper有新攻擊對象，資安公司Zscaler指出該組織使用軍事相關的誘餌發動多階段攻擊，例如，竄改PDF檢視器SumatraPDF的二進位檔案，以此部署AdaptixC2的Beacon代理程式，最終目的是下載與部署Visual Studio Code（VS Code）隧道。值得關注的是，這些駭客的主要目標是使用中文的臺灣用戶，也有日本與韓國用戶受害。 <a href="https://www.ithome.com.tw/news/175315">Linux惡意軟體GoGra濫用Microsoft Graph API隱匿活動蹤跡</a> 利用合法API服務存取掩護非法行動的例子越來越多，資安廠商賽門鐵克與Carbon Black威脅獵捕團隊調查，APT駭客組織Harvester近期開發具備高度迴避偵測能力的Linux後門程式GoGra，利用微軟Graph API與電子郵件信箱服務Outlook建立C2通訊，疑似打算在印度與阿富汗從事網路間諜活動。 <a href="https://www.ithome.com.tw/news/175318">微軟允許用戶無限制推遲Windows更新，不更新就關閉電源</a> 微軟宣布改善Windows使用體驗的方案，承諾提高用戶對升級的控制權，必要時暫停更新系統更多天、裝置設定時可跳過升級以加速安裝、重啟或關閉Windows機器時可不需安裝更新。根據微軟進一步說明，將允許略過更新、無限制暫停更新、支援不安裝更新即關閉電腦－以及加速App重啟與更新失敗復原機制。理想狀態下，一般用戶每月僅需重啟電腦一次。 </div></div></div>
4/30 18:47作者羅正漢https://www.ithome.com.tw/news/175448
【資安日報】4月30日，NPM供應鏈攻擊Mini Shai-Hulud鎖定多款SAP套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><a href="https://www.ithome.com.tw/news/175446">SAP的NPM套件遭Mini Shai-Hulud攻擊</a> <a href="/sites/default/files/images/1777476450-screenshot-2026-04-29-at-17-56-12-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/1777476450-screenshot-2026-04-29-at-17-56-12-63.jpg" style="width: 300px; float: right;" /></a> 資安公司Aikido、SafeDep、Socket、StepSecurity、Wiz提出警告，最新一波NPM套件供應鏈攻擊活動Mini Shai-Hulud針對SAP而來，該公司多個套件受到影響。關於攻擊者的身分，Socket、Wiz推測很有可能就是3月發動大規模攻擊的駭客團體TeamPCP。這些遭到竄改的SAP生態系統套件，駭客植入了預先安裝的指令碼，在NPM套件安裝過程中，自動執行setup.mjs，該指令碼下載Bun執行環境，並啟動經混淆處理的酬載execution.js，攻擊者可藉此在NPM套件安裝完成之前，得以趁機執行特定程式碼。 <a href="https://www.ithome.com.tw/news/175450">北韓駭客Famous Chollima透過AI生成惡意NPM套件，藉此洗劫開發人員加密貨幣資產</a> <a href="/sites/default/files/images/12_openpaw_graveyard_npm_readme-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/12_openpaw_graveyard_npm_readme-63.jpg" style="width: 300px; float: right;" /></a> 資安公司ReversingLabs在某個加密貨幣交易專案發現惡意程式碼，經調查發現，AI程式碼助理將惡意的@validate-sdk/v2判定為相依套件，但實際上，該套件是駭客偽造的常見資料驗證工具，會從受害電腦抽取敏感資料。該公司將此攻擊活動命名為PromptMink，被汙染的套件於2月28日引入，攻擊者透過大型語言模型Anthropic Claude Opus提交，藉此洗劫使用者的加密貨幣錢包及資產。該公司指出，這起事故是Famous Chollima廣泛攻擊行動的一部分。 <a href="https://www.ithome.com.tw/news/175431">CISA警告ConnectWise ScreenConnect、Windows Shell漏洞已出現攻擊行動</a> 4月28日美國網路安全暨基礎設施安全局（CISA）指出，ConnectWise ScreenConnect路徑遍歷漏洞CVE-2024-1708、Windows防護機制失效漏洞CVE-2026-32202已遭到積極利用，並將這些漏洞列入已遭利用漏洞名冊（KEV），要求聯邦機構於5月12日前完成修補。從漏洞的CVSS評分來看，較嚴重的是CVE-2024-1708，此漏洞於2024年2月揭露，影響23.9.7以前版本的ScreenConnect，CVSS風險評分為8.4分（滿分10分），屬高風險等級，ConnectWise發布23.9.8版予以修補。 <a href="https://www.ithome.com.tw/news/175440">APT28將Windows Shell欺騙漏洞用於實際攻擊</a> <a href="/sites/default/files/images/incomplete-patch-apt28s-zero-day-cve-2026-32202-one-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/incomplete-patch-apt28s-zero-day-cve-2026-32202-one-63.jpg" style="width: 300px; float: right;" /></a> 本週微軟、美國網路安全暨基礎設施安全局（CISA）證實，CVSS風險僅有4.3分的Windows Shell資安漏洞CVE-2026-32202被用於實際攻擊，但他們並未進一步說明如何被利用。資安公司Akamai透露，此漏洞已遭俄羅斯駭客APT28（Fancy Bear、UAC-0001）利用。此漏洞與微軟2月修補的Windows Shell安全功能繞過漏洞CVE-2026-21510有關，由於修補不完整而導致有弱點。 <a href="https://www.ithome.com.tw/news/175454">委內瑞拉能源及公用事業部門遭資料破壞軟體Lotus Wiper攻擊</a> <a href="/sites/default/files/images/lotus-wiper2-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/lotus-wiper2-63.jpg" style="width: 300px; float: right;" /></a> 資安公司卡巴斯基指出，名為Lotus Wiper的資料破壞軟體（Wiper）去年12月針對委內瑞拉能源與公營事業部門而來，而且攻擊的目的很明顯，駭客並未留下勒索訊息，並積極抹除資料，使檔案無法恢復。雖然卡巴斯基並未透露攻擊者的身分，不過資安新聞網站Dark Reading指出，很有可能與委內瑞拉石油公司（PDVSA）的事故有關，該公司去年12月13日傳出疑似遭勒索軟體攻擊，PDVSA認為，攻擊可能來自美國。 <a href="https://www.ithome.com.tw/news/175417">勒索軟體VECT 2.0加密檔案出錯，受害者付錢也無法完全復原檔案</a> <a href="/sites/default/files/images/Vect-2_0-9-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/Vect-2_0-9-63.jpg" style="width: 300px; float: right;" /></a> 為了縮短加密檔案的時間，勒索軟體駭客會採用部分加密的手法，然而若是相關機制存在缺陷，就有可能導致經加密處理的檔案無法復原，而成為變相的資料破壞軟體（Wiper）。例如，從去年12月在俄語網路犯罪論壇出現的勒索軟體VECT。根據資安公司Check Point的調查，近期發布的VECT 2.0大改版，因為對於容量超過128 KB檔案的加密處理機制實作存在弱點，導致用於解密的nonce資料每4組就有3組會被清除，即使是散播惡意軟體的攻擊者也無法將檔案還原。 <a href="https://www.ithome.com.tw/news/175442">勒索軟體Gentlemen透過代理伺服器工具SystemBC滲透企業組織</a> <a href="/sites/default/files/images/Gentlemen -3-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/Gentlemen%20-3-63.jpg" style="width: 300px; float: right;" /></a> 資安公司Check Point揭露勒索軟體Gentlemen，該駭客團體約從2025年中旬開始活動，宣稱迄今已有320家企業或組織受害，其中有240家企業或組織的事故發生在今年1月。這些駭客以租用模式（RaaS）尋找打手，並廣泛提供不同型態的檔案加密工具，包括能在Windows、Linux、BSD等作業系統與NAS運作的版本，以及專為虛擬化平臺VMware ESXi打造的版本。值得留意的是，在其中一起事故裡，Gentlemen部署了代理伺服器工具SystemBC，此類工具通常被用於建立秘密隧道，並傳遞惡意酬載。 <a href="https://www.ithome.com.tw/news/175457">美國NASA傳出遭中國駭客網釣，意圖竊取美國國防軟體</a> <a href="/sites/default/files/images/nasa-investigators-expose-a-chinese-national-phishing-for-defense-software-image-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/nasa-investigators-expose-a-chinese-national-phishing-for-defense-software-image-63.jpg" style="width: 300px; float: right;" /></a> 美國太空總署（NASA）監察長辦公室（OIG）近日揭露，中國籍人士Song Wu於2017年1月至2021年12月，佯稱自己是知名且與NASA頻繁合作的航太教授，透過Gmail向NASA員工傳送訊息，要求提供受美國政府出口管制的軟體與原始碼，其中包括由NASA開發的航太工程軟體。此人對目標進行大量研究，成功假扮成目標人士的朋友或同事，以需要重新組建或修改應用系統為由，要求受害者提供軟體檔案或原始碼。 <a href="https://www.ithome.com.tw/news/175455">臺馬三號海纜部分蕊線受損不到一個月發生全斷，中華電信緊急以微波備援東引通訊</a> 今年3月30日才發生部分蕊線受損的臺馬三號海纜，在不到一個月的時間再次發生海纜異常事件，臺馬三號海纜於馬祖東引外海約2.64公里處發生芯線斷裂，導致北竿至東引段全斷。此次事故影響連江縣東引鄉共約1,500位居民的對外通訊，突顯離島對單一海纜依賴所帶來的網路韌性風險。數發部初步研判原因與海象不佳有關，可能是先前擱淺船隻殘骸因海況變動移動，進而破壞海纜結構。 <a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=213035&SPOKE_DATE=20260429&COMPANY_ID=7750">數位控制器製造商新代科技遭勒索軟體攻擊</a> 4月29日製造數位控制器的新代科技（7750）晚間於股市公開觀測站發布資安重訊，表示該公司遭遇勒索軟體攻擊，該公司已進行全面性檢測與防護處理，經初步確認，該公司內部資訊系統及網站運作正常，未受實質影響，亦未發現有機密資料或重要文件外洩之情事。根據初步評估，對公司營運無重大影響。 <a href="https://www.ithome.com.tw/news/175398">Mythos模型問世，臺灣兩大資安廠商警示AI將使攻擊門檻大幅降低</a> Mythos模型引發熱議，臺灣資安專家提出警告，AI將會讓攻擊門檻大幅降低。戴夫寇爾（DEVCORE）紅隊總監許復凱指出，前一代Opus 4.6模型就已經讓漏洞挖掘門檻顯著下降，如今真正的隱憂在於路由器、醫療與金融設備等IoT元件，因資源匱乏，難以像科技巨頭般應對新興威脅。奧義智慧資安研究員陳兆閔與研究處長陳仲寬指出，這波技術進化的關鍵在於能與Debugger等外部工具互動協作，打破過去漏洞開發高成本、低涵蓋的限制，將為漏洞相關產業帶來顛覆性衝擊。 <a href="https://www.ithome.com.tw/news/175459">2025年API資安事故頻傳，遭遇危機的企業比例高達87％</a> 根據資安廠商Akamai最新發布的2026年API安全影響調查報告，全球大型企業正在管理數量龐大且不斷擴張的API資產，每家企業掌管的API數量中位數達到5,900個，單就前四分之一的企業而言，甚至達到29,400個。對此，Akamai警示，隨著API使用數量增長，對於API風險與安全防護範圍的掌控，卻未能同步跟上，導致通報的API資安事故過去4年持續攀升。該公司針對全球1,840位資安專業人士調查，高達87%的組織表示曾遭遇API資安事故，相較於2022年的76%，呈現大幅上升的趨勢。 <a href="https://www.ithome.com.tw/news/175416">2025企業面臨勒索軟體攻擊的衝擊，Veeam警示能完全復原資料的比例不到3成</a> 備份與資料保護廠商Veeam發布《2026資料信任與韌性》報告，其中呈現2025年企業遭遇勒索軟體攻擊的情況。過去一年近三成受訪企業曾發生資安事件，這比例看似不高，但若是遭遇勒索軟體攻擊，則後果便十分嚴重。過去一年遭遇勒索軟體攻擊的企業中，56%受害企業表示遭到攻擊者加密或竊取資料，這意味著，僅有不到4成的企業，能在遭遇攻擊時成功防禦，防止資料遭到加密或竊取。 <a href="https://www.ithome.com.tw/news/175444">Google發布Chrome瀏覽器更新，修補30個安全性問題，含4個重大漏洞</a> Google發布Chrome瀏覽器新版本，將Windows與macOS平臺穩定版更新至147.0.7727.137與147.0.7727.138，Linux版本更新至147.0.7727.137，此次改版一共修補30個安全性問題，最受矚目的是4個重大漏洞，皆屬於記憶體釋放後再存取使用（Use After Free）的問題，其中最嚴重的是瀏覽器介面元件View的漏洞CVE-2026-7343，CVSS嚴重性評分達9.8分。 <a href="https://www.ithome.com.tw/news/175449">cPanel修補重大身分驗證漏洞，未更新可能導致攻擊者接管主機</a> 網站主機管理平臺廠商cPanel近日發布資安公告，揭露旗下管理軟體cPanel及WHM（WebHost Manager）存在重大漏洞CVE-2026-41940，CVSS嚴重性評分達9.8，攻擊者能在不需通過身分驗證的狀況下，即可取得管理介面存取權限，進而控制主機，由於這兩款軟體是網站主機環境常用的Linux伺服器管理與控制面板工具，因此這項漏洞的影響範圍格外廣泛，用戶必須立即更新至已修補版本。 <a href="https://www.ithome.com.tw/news/175413">一次盤點OpenClaw近期嚴重漏洞，關注AI代理框架安全風險</a> AI應用新創公司Skywork近日發布報告，彙整2026年第1季發現的OpenClaw重大漏洞與修補建議，供使用者參考。對於打算自行建置OpenClaw的用戶，Skywork建議必須使用2026.3.28以上版本，確保已修補CVE-2026-25253、CVE-2026-33579等漏洞，此外還須清理HOME、ZDOTDIR等環境變數，以緩解CVE-2026-32056漏洞，並透過config.patch參數，強制LLM代理執行前必須獲得用戶許可，藉此緩解CVE-2026-41349漏洞。 <a href="https://www.ithome.com.tw/article/175420">【2026 企業資安大調查】一張圖看2026年整體臺灣企業資安風險</a> 在2026年iThome CIO&CISO大調查中，企業最常見的資安風險前三名，分別是勒索軟體資安事故（32%）、資安漏洞濫用（28%）和DDoS攻擊（26%）。這三類系統風險都有近三成企業，列為今年必須警戒的威脅項目之一，這幾項也是過去三年來，大型企業最常見的資安事故。 <a href="https://www.ithome.com.tw/article/175432">【2026 企業資安大調查】一張圖看2026年金融業企業資安風險</a> 臺灣金融業2026年得優先警戒的資安威脅，包括了8項系統類風險，5項人員類風險，以及1項AI類風險，其中，金融業未來一年兩大首要資安威脅是「網路釣魚/社交工程手段」和「勒索軟體資安事故」，三項次要風險則包括了資安漏洞濫用、商業郵件詐騙和機敏資料外洩，AI風險最需要留意的是LLM應用洩露敏感資料的威脅。 <a href="https://www.ithome.com.tw/article/175433">【2026 企業資安大調查】一張圖看2026年高科技製造業企業資安風險</a> 2026年臺灣高科技製造業認為未來一年的首要資安威脅是「網路釣魚/社交工程手段」，另有兩項次要風險也得防備，包括了「商業郵件詐騙」和「勒索軟體資安事故」，值得關注的是「深偽技術冒用」今年也開始進入高衝擊高風險的威脅範疇。 <a href="https://www.ithome.com.tw/review/172764">儲域網路進入128G FC時代，博科第8代產品結合AI與量子安全</a> 去年11月博科（Brocade）正式宣布推出首批支援128 Gb FC的第8代交換器設備，機型包括採用模組化機箱的X8 Director系列，以及機箱配置固定網路埠的G820。就整體功能特色而言，博科表示，第8代FC網路設備的推出，不僅憑藉更高的網路傳輸速度（128Gb FC），繼續鎖定企業關鍵業務應用的工作負載，以及AI應用系統的執行需求，也具有量子安全（quantum-safe）的特色，可預防量子運算時代即將來臨而導致加密資料遭解密的威脅。 近期資安日報 <a href="https://www.ithome.com.tw/news/175415">【4月29日】LiteLLM重大漏洞公布一天半出現攻擊活動</a> <a href="https://www.ithome.com.tw/news/175370">【4月28日】資安院宣布第二屆漏洞獵捕活動，為公務機關最常使用的軟體抓漏</a> <a href="https://www.ithome.com.tw/news/175326">【4月27日】後門程式FireStarter鎖定思科防火牆發動攻擊</a> </div></div></div>
4/30 15:19作者周峻佑https://www.ithome.com.tw/news/175458
【2026 企業資安大調查】一張圖看2026年金融業企業資安風險
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://www.ithome.com.tw/sites/default/files/0429-feng_xian_tu_-jin_rong_ye_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">iThome </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">在這張金融業企業資安風險圖中，第一象限是最值得企業留意的資安威脅，對金融業而言，包括了8項系統類風險，5項人員類風險，以及1項AI類風險。 金融業未來一年兩大首要資安威脅是「網路釣魚/社交工程手段」和「勒索軟體資安事故」，三項次要風險則包括了資安漏洞濫用、商業郵件詐騙和機敏資料外洩，AI風險最需要留意的是LLM應用洩露敏感資料的威脅。 特別在AI威脅項目上，LLM幻覺導致真人誤判的衝擊雖然相對較低，但是，隨著金融業今年積極要落地各種生成式AI應用，不少金融資安長認為未來一年發生這類AI資安事件的風險也很高，因此也列入了第四象限「衝擊低但發生風險高」的項目之一。 <a href="https://r.itho.me/26svciop6">立即下載完整報告【iThome 2026 CIO & CISO大調查】資安策略篇完整報告</a> <a href="/sites/default/files/files/0429-%E9%A2%A8%E9%9A%AA%E5%9C%96-%E9%87%91%E8%9E%8D%E6%A5%AD-600-1.png" target="_blank"><img alt="" src="/sites/default/files/images/0429-%E9%A2%A8%E9%9A%AA%E5%9C%96-%E9%87%91%E8%9E%8D%E6%A5%AD-600-1.png" style="width: 600px;" /></a> 企業資安風險圖製作說明 在iThome 2026年CIO暨CISO大調查中，由企業CIO和CISO自評各威脅項目的兩項指標，一項是該項目對企業帶來的衝擊程度（衝擊極高和衝擊極低），另一項是這個項目未來1年的發生風險（極可能發生與極不可能發生），再換算成不同程度的量化數據來製圖。垂直軸是該威脅項目對企業的衝擊，位置越往上代表衝擊越大，水平軸是企業未來1 年發生該項目的風險，位置越右，代表發生可能性越大。威脅項目的位置圓點，區分成三類，紅點代表系統類風險，綠點代表人員風險，黑點則為AI風險。 問卷執行 自2026年1月1日至1月29日，對臺灣大型企業、iThome歷屆CIO大調查企業、政府機關及大學院校的資訊主管進行線上問卷調查，有效問卷數396份，其中57%填答者為企業資安最高主管。 資料來源：2026年iThome CIO & CISO大調查，2026年3月 </div></div></div>
4/30 13:26作者王宏仁https://www.ithome.com.tw/article/175432
【2026 企業資安大調查】一張圖看2026年高科技製造業企業資安風險
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://www.ithome.com.tw/sites/default/files/0601-zi_an_feng_xian_tu_-gao_ke_ji_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">iThome </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">高科技製造業2026年得優先警戒的資安威脅，包括了3項系統類風險，6項人員類風險 「網路釣魚/社交工程手段」是高科技製造業未來一年的首要資安威脅，另有兩項次要風險也得防備，包括了「商業郵件詐騙」和「勒索軟體資安事故」，值得關注的是「深偽技術冒用」今年也開始進入高衝擊高風險的威脅範疇。 另外DDoS攻擊雖然對高科技製造業的衝擊較低，但是2026年發生的可能性很高，也得留意相關對外網站或服務的可用性。 <a href="https://r.itho.me/26svciop6">立即下載完整報告【iThome 2026 CIO & CISO大調查】資安策略篇完整報告</a> <a href="/sites/default/files/files/0601-%E8%B3%87%E5%AE%89%E9%A2%A8%E9%9A%AA%E5%9C%96-%E9%AB%98%E7%A7%91%E6%8A%80-600-1.png" target="_blank"><img alt="" src="/sites/default/files/images/0601-%E8%B3%87%E5%AE%89%E9%A2%A8%E9%9A%AA%E5%9C%96-%E9%AB%98%E7%A7%91%E6%8A%80-600-1.png" style="width: 600px;" /></a> 企業資安風險圖製作說明 在iThome 2026年CIO暨CISO大調查中，由企業CIO和CISO自評各威脅項目的兩項指標，一項是該項目對企業帶來的衝擊程度（衝擊極高和衝擊極低），另一項是這個項目未來1年的發生風險（極可能發生與極不可能發生），再換算成不同程度的量化數據來製圖。垂直軸是該威脅項目對企業的衝擊，位置越往上代表衝擊越大，水平軸是企業未來1 年發生該項目的風險，位置越右，代表發生可能性越大。威脅項目的位置圓點，區分成三類，紅點代表系統類風險，綠點代表人員風險，黑點則為AI風險。 問卷執行 自2026年1月1日至1月29日，對臺灣大型企業、iThome歷屆CIO大調查企業、政府機關及大學院校的資訊主管進行線上問卷調查，有效問卷數396份，其中57%填答者為企業資安最高主管。 資料來源：2026年iThome CIO & CISO大調查，2026年3月 </div></div></div>
4/30 13:45作者王宏仁https://www.ithome.com.tw/article/175433
【企業資安大調查｜一張圖揭露2026企業資安風險】從系統風險、人員風險到AI風險，2026企業得優先防備哪些資安威脅？
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://www.ithome.com.tw/sites/default/files/0429-zheng_ti_feng_xian_tu_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">iThome </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">傳統資安威脅依舊在，但企業今年更加留意這幾年爆紅的GenAI浪潮風險。尤其有多項LLM資安風險威脅，今年開始升溫，也成為企業資訊長和資安長特別警戒的項目。 在2026年iThome CIO&CISO大調查中，我們再一次製作這份企業資安風險圖，可以作為企業分配有限IT資源的參考。這項調查由396位企業CIO和CISO參與填答，針對29項資安威脅進行自評，衡量每一項資安威脅，在未來一年的發生可能性和衝擊高低。我們彙整所有填答結果後，才製作出這份2026年企業資安風險圖。 <p class="p1" style="margin: 5.6px 0px; font-style: normal; font-variant: normal; font-size-adjust: none; font-language-override: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; font-size: 14px; line-height: normal; font-family: "Avenir Next"; color: rgb(38, 38, 38); background-color: rgba(0, 0, 0, 0);"><a href="https://r.itho.me/26svciop6"><span class="s1" style="font-style: normal; font-variant: normal; font-size-adjust: none; font-language-override: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; font-size: 14px; line-height: normal; font-family: "PingFang TC";">立即下載完整報告【iThome 2026 CIO & CISO<span class="s1" style="font-style: normal; font-variant: normal; font-size-adjust: none; font-language-override: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; font-size: 14px; line-height: normal; font-family: "PingFang TC";">大調查】資安策略篇完整報告</a> 我們將這些資安威脅分成三大類，系統風險類，人員風險類和今年新增的AI風險類資安威脅等。 <a href="/sites/default/files/files/0429-%E6%95%B4%E9%AB%94%E9%A2%A8%E9%9A%AA%E5%9C%96-600-2(1).png" target="_blank"><img alt="" src="/sites/default/files/images/0429-%E6%95%B4%E9%AB%94%E9%A2%A8%E9%9A%AA%E5%9C%96-600-2.png" style="width: 600px;" /></a> 根據這次調查結果發現，2026年企業最常見的資安風險前三名，分別是勒索軟體資安事故（32%）、資安漏洞濫用（28%）和DDoS攻擊（26%）。這三類系統風險都有近三成企業，列為今年必須警戒的威脅項目之一，這幾項也是過去三年來，大型企業最常見的資安事故。 在人員風險類型上，名列第一個威脅是社交工程手段的網路釣魚（52%），半數CIO自認未來一年非常有可能遭遇這類威脅。其次是商業郵件詐騙（31％）、瀏覽惡意網站（27%）。 在AI風險類威脅上，今年企業最警戒的兩項威脅是「LLM應用洩漏敏感資料」、「Deepfake深偽技術冒用」。 代理式AI今年崛起，不分產業，都有不少企業今年開始大力擁抱代理式AI，但是企業對於代理式AI風險的戒心還是偏低。只有少數企業約1～2%開始將AI代理供應鏈弱點和AI代理自主操作失當視為年度高風險資安威脅來防範。企業資源有限時，可優先防範常見威脅。 一張圖看2026年整體企業資安風險 <a href="/sites/default/files/files/0429-%E6%95%B4%E9%AB%94%E9%A2%A8%E9%9A%AA%E5%9C%96-600-1.png" target="_blank"><img alt="" src="/sites/default/files/images/0429-%E6%95%B4%E9%AB%94%E9%A2%A8%E9%9A%AA%E5%9C%96-600-1.png" style="width: 600px;" /></a> 企業未來一年兩大首要資安威脅是「網路釣魚/社交工程手段」和「勒索軟體資安事故」，三項次要風險則包括了「資安漏洞濫用」、「商業郵件詐騙」和「機敏資料外洩」，AI風險最需要留意的是「LLM應用洩漏敏感資料」的威脅。 企業資安風險圖製作說明 在iThome 2026年CIO暨CISO大調查中，由企業CIO和CISO自評各威脅項目的兩項指標，一項是該項目對企業帶來的衝擊程度（衝擊極高和衝擊極低），另一項是這個項目未來1年的發生風險（極可能發生與極不可能發生），再換算成不同程度的量化數據來製圖。垂直軸是該威脅項目對企業的衝擊，位置越往上代表衝擊越大，水平軸是企業未來1 年發生該項目的風險，位置越右，代表發生可能性越大。威脅項目的位置圓點，區分成三類，紅點代表系統類風險，綠點代表人員風險，黑點則為AI風險。 問卷執行 自2026年1月1日至1月29日，對臺灣大型企業、iThome歷屆CIO大調查企業、政府機關及大學院校的資訊主管進行線上問卷調查，有效問卷數396份，其中57%填答者為企業資安最高主管。 資料來源：2026年iThome CIO & CISO大調查，2026年3月 </div></div></div>
4/30 13:16作者王宏仁https://www.ithome.com.tw/article/175420
【資安日報】4月29日，LiteLLM重大漏洞公布一天半出現攻擊活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><a href="https://www.ithome.com.tw/news/175400">LiteLLM重大漏洞公布後36小時出現攻擊活動</a> 4月24日LiteLLM開發團隊揭露SQL注入漏洞CVE-2026-42208，此為代理伺服器API金鑰驗證流程弱點，一旦成功利用漏洞，攻擊者就能從代理伺服器的資料庫讀取資料，甚至能進行竄改，導致代理伺服器與其管理的憑證可被未經授權存取，CVSS v4.0風險評為9.3分，開發團隊發布1.83.7版LiteLLM修補。資安公司Sysdig發現，在上述公告發布的36個小時後，他們偵測到漏洞利用的跡象，駭客試圖發動SQL注入攻擊，然後找出資料庫結構，並鎖定其中3個資料表，使用17個Union惡意酬載。 <a href="https://www.ithome.com.tw/news/175397">Hugging Face機器人平臺LeRobot存在重大漏洞，未經身分驗證的攻擊者可執行任意程式碼</a> <a href="/sites/default/files/images/72ebe147d930397455a02a0300607de5-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/72ebe147d930397455a02a0300607de5-63.jpg" style="width: 300px; float: right;" /></a> 由AI開發資源平臺Hugging Face打造的開源機器人平臺LeRobot，近期揭露重大等級的資安漏洞CVE-2026-25874，此為不安全的反序列化漏洞，未通過身分驗證的攻擊者可透過 SendPolicyInstructions、SendObservations或GetActions gRPC呼叫，傳送特製的Pickle有效酬載，在伺服器或用戶端執行任意程式碼，CVSS v4.0風險評為9.3分、CVSS v3.1達到9.8分，屬重大等級的弱點，相當危險。 <a href="https://www.ithome.com.tw/news/175406">高風險GitHub漏洞極容易被利用，攻擊者只需透過推送Git就能觸發</a> <a href="/sites/default/files/images/1777301499-image3-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/1777301499-image3-63.jpg" style="width: 300px; float: right;" /></a> 3月上旬GitHub接獲資安公司Wiz的通報，發布3.14.25、3.15.20、3.16.16、3.17.13、3.18.7、3.19.4版GitHub Enterprise Server（GHES）修補高風險漏洞CVE-2026-3854，此漏洞讓攻擊者能夠取得推送儲存庫的權限，於GHES主機執行任意程式碼，CVSS風險為8.8分（CVSS v4.0為8.7分）。本週GitHub與Wiz說明更多細節，指出該漏洞相當容易利用。 <a href="https://www.ithome.com.tw/news/175410">TeamT5 ThreatSonar反勒索軟體存在高風險漏洞，可被提升權限、刪除任何檔案</a> 4月28日國家資通安全研究院（資安院）發布資安公告，指出杜浦數位安全（TeamT5）旗下的反勒索軟體系統ThreatSonar Anti-Ransomware存在資安漏洞CVE-2026-5967，影響4.0.0版（不含）以前的用戶，此漏洞可被用於權限提升，通過身分驗證且取得Shell操作權限的攻擊者可遠端注入作業系統指令，並以root執行，CVSS風險為8.8（4.0版為8.7分），呼籲用戶應根據杜浦數位安全4月20日的公告，儘速確認及修補。 <a href="https://www.ithome.com.tw/news/175391">AI代理人9秒刪掉新創公司PocketOS的資料庫及備份</a> 提供租車SaaS服務的新創公司PocketOS上週發生慘劇，創辦人Jeremy Crane將此事在X上公開警告。上週五，執行Anthropic旗艦模型Opus 4.6的Cursor刪掉其營運用的資料庫，之後透過一個API呼叫，將在其雲端基礎架構服務Railway上的備份也刪掉。整個過程花了9秒鐘。這個Cursor代理人原本是要解決PocketOS模擬（staging）環境的某個憑證不一致的問題，這通常是例行性事務。它碰到問題後，自行決定要刪除Railway volume，並未詢問開發人員而鑄成大錯。 <a href="https://www.ithome.com.tw/news/175403">影音串流平臺Vimeo遭Anodot資料外洩事件波及，部分用戶與客戶資料遭未經授權存取</a> 4月27日Vimeo發布公告指出，該公司遭到Anodot事故影響而資料外洩，未經授權的駭客存取部分使用者與客戶的資料，主要包含技術資料、影片標題與中繼資料，部分情況下還有客戶的電子郵件信箱。上述資料不包括影片內容、使用者登入憑證、付款資訊。Vimeo強調，使用者與客戶的登入憑證都是安全的，這起事故未造成該公司系統或服務中斷。 <a href="https://www.ithome.com.tw/news/175389">研究人員揭露比Stuxnet還要早被利用的工控惡意軟體Fast16</a> <a href="/sites/default/files/images/fast16_7-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/fast16_7-63.jpg" style="width: 300px; float: right;" /></a> 資安公司SentinelOne揭露網路攻擊框架Fast16，並指出其核心元件最早在2005年出現，其中的fast16.sys會選擇性攻擊高精度計算軟體，於記憶體裡竄改程式碼，以影響計算結果。值得留意的是，Fast16的有效酬載同樣具備蠕蟲機制，可自我散播，駭客的目標是讓整個設施產生不正確的計算結果，削弱科學研究與工程成果，從而影響工控系統的運作。 <a href="https://www.ithome.com.tw/news/175392">駭客冒充IT與客服人員，透過跨租戶Teams通訊進行社交工程攻擊</a> <a href="/sites/default/files/images/Teams-helpdesk-38-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/Teams-helpdesk-38-63.jpg" style="width: 300px; float: right;" /></a> 微軟近日提出警告，他們發現駭客冒充IT人員或客服人員建立跨租戶的Teams通訊，並透過社交工程手法誘騙員工授予遠端桌面存取權限，得逞後他們透過快速助手（Quick Assist）或其他遠端監控與管理（RMM）工具建立存取管道，並執行經受信任廠商簽章的應用程式，搭配攻擊者自己的模組執行惡意程式碼。上述的存取途徑，微軟強調攻擊者能藉由Windows遠端管理（WinRM）等原生的管理通訊協定橫向移動，進一步滲透至網域控制器（DC）等高價值資產。 <a href="https://www.ithome.com.tw/news/175394">UNC6692冒充IT服務臺，透過Teams散布惡意軟體套件Snow</a> <a href="/sites/default/files/images/unc6692-custom-malware-fig5_max-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/unc6692-custom-malware-fig5_max-63.jpg" style="width: 300px; float: right;" /></a> Google威脅情報團隊（GTIG）揭露駭客組織UNC6692的多階段攻擊活動，駭客運用持續性社交工程與模組化的惡意軟體套件，試圖潛入受害企業的環境，目的是進行深度的網路環境滲透。這些駭客主要依賴冒充IT或客服人員，說服使用者接受企業外部的Teams群組邀請，最終使用Snow惡意程式工具包，洩露受害企業機敏資訊。UNC6692的活動展現駭客社交工程攻擊策略的改變，利用使用者對多家軟體廠商的信任，而成功引誘他們上當。 <a href="https://www.ithome.com.tw/news/175383">駭客組織BlackFile鎖定零售與餐旅業竊取資料，並索討7位數的高價贖金</a> 資安公司Palo Alto Networks透過零售及餐旅情資共享暨分析中心（RH-ISAC）網站發布警告，他們發現駭客團體BlackFile從事資料竊取與勒索的活動，這些事故最早於今年1月出現，其攻擊手法相當特別，有別於許多駭客組織打造自己的惡意軟體與作案工具，該組織專門濫用受害組織的API與其他內部資源，來進行寄生攻擊（LoL）。關於BlackFile的來歷，Palo Alto Networks表示，這群攻擊者似乎與The Com有關，該組織是由ShinyHunters與Scattered Spider成員另組的子團隊。 <a href="https://www.ithome.com.tw/news/175372">OpenClaw強化權限管理與系統穩定性，修復繞過策略與憑證洩漏等弱點</a> 當前廣泛使用的AI代理框架OpenClaw，近日發布新的2026.4.20版，強化整體權限控管與執行流程安全性，資安媒體GBHackers指出，這個版本也修復先前多項安全性問題，提醒用戶儘速更新。GBHackers指出，OpenClaw先前版本存在3項安全性問題：首先，是可透過提示注入（prompt-injection）繞過保護機制，從而修改Gateway等關鍵設定，進而影響AI代理執行流程與權限控管。 <a href="https://www.ithome.com.tw/news/175384">Google修補Gemini CLI重大漏洞，未更新可能導致開發整合流程遭遇遠端執行程式碼攻擊</a> Google近日透過GitHub發布資安公告，修補Gemini CLI搭配GitHub Actions使用的重大漏洞，此弱點若不修補或緩解，可能被用於程式開發部署流程，執行遠端程式碼攻擊，因此用戶應立即更新。這項漏洞尚無CVE編號，在GitHub漏洞資料庫中，它的代號是GHSA-wpqr-6v78-jr5g，開發者給予的CVSS嚴重性等級是滿分10.0分，涉及輸入驗證不當、指令注入、敏感資料外洩等類型弱點。 <a href="https://www.ithome.com.tw/news/175399">微軟修補Entra ID權限漏洞，防止AI代理管理角色遭到濫用</a> 資安廠商Silverfort研究人員近日發布報告，揭露微軟身分管理服務Entra ID存在角色權限設計缺陷，可能導致權限提升與身分接管風險，微軟已於4月完成修補。Silverfort於3月1日向微軟通報前述問題，微軟已於4月9日為所有雲端環境完成修補，限制Agent ID Administrator角色不得再管理非AI代理相關的服務主體。 <a href="https://www.ithome.com.tw/news/175351">韓國KISA首度啟動安全漏洞清理服務，首波因應目標是WGear網銀RCE漏洞</a> 面對用戶未積極更新修補軟體漏洞的狀況，韓國網路安全振興院（KISA）近期採取創新作法，於2026年4月首度啟動「安全漏洞清理服務（보안취약점클리닝서비스）」，協助用戶清除含漏洞的WGear舊版本。這種主動介入的作法在全球相當罕見，其後續成效可能引發各國效法，也能針對促進用戶修補的作法帶來更多啟發，值得政府與企業關注。 <a href="https://www.ithome.com.tw/news/175396">FIDO聯盟推動AI代理互動與驗證標準，降低AI代理線上交易風險</a> 隨著AI代理逐步進入購物與線上服務應用環境，可在用戶幾乎無須直接操作的情況下完成交易，雖然大幅簡化購物程序，但也帶來失控的風險，為了降低風險，專注身分驗證標準制定的FIDO聯盟4月28日宣布，啟動AI代理身分驗證與自動支付安全的標準制定工作，目標是建立跨平臺、可互通的AI代理互動與交易機制，從而為基於AI代理的線上交易環境，建立安全、可信任的基礎架構。 <a href="https://www.ithome.com.tw/news/175228">Mandiant推出免費資安教學平臺FLARE Learning Hub</a> 4月中旬，隸屬於Google Cloud的資安公司Mandiant宣布，由旗下專注於逆向工程與惡意程式分析的研究團隊FireEye Labs Advanced Reverse Engineering（FLARE）推出FLARE Learning Hub，免費提供逆向工程與惡意程式分析教學內容，並提供實作導向模組，鎖定資安研究人員與企業防禦團隊的技能培訓需求。 <a href="https://www.ithome.com.tw/article/175313">【2026 企業資安大調查｜資安防護投資布局】資安AI代理崛起，金融和百億企業積極擁抱零信任</a> 零信任網路安全架構是企業強化資安管理的主流，今年整體採用率突破了三成，除了金融業、百億營收企業和政府學校，採用率逐漸達到5成，其餘產業導入的企業數也明顯較前一年增加，2026年零信任網路安全架構的採用率各產業普遍都提高了。不只如此，生成式AI明顯開始改變企業資安管理做法，今年超過3成企業想要在資安流程中導入最夯的代理式AI技術，其中以金融業、服務業和政府學校最積極。 <a href="https://www.ithome.com.tw/news/175333">【2026 CIO&CISO大調查】今年臺灣大型企業IT預算成長9%，CIO從數位轉型邁向AI轉型布局</a> AI浪潮加持下，今年企業IT投資力道依舊穩健，IT預算比去年增加了9%，臺灣大型企業平均每家在2026年編列了2億8千多萬元的IT預算，約佔企業年營收的4%。企業今年不再出現過去高達13%的爆炸性IT預算成長。去年甚至有多個產業達到兩位數、突破10%的成長，但今年不論金融、高科技、一般製造或服務業，預算加碼力道皆明顯下滑。企業今年依舊持續擴大IT投資，不過，採取更加謹慎、穩健的IT投資策略，要將IT資源用在刀口或明顯可以獲得效益的目標。 <a href="https://www.ithome.com.tw/review/172669">Fortinet新一代中高階NGFW登場，提供26 Gbps威脅防護效能</a> 這幾年，Fortinet持續推出FortiGate G系列次世代防火牆（NGFW），去年底發表高效能等級的700G，鎖定園區網路環境，11月發表超高效能的3800G，保護AI資料中心環境。若以市面上其他廠商相近等級產品的平均效能為基準，FortiGate 700G系列的防火牆網路吞吐量是165 Gbps，可達到7倍；啟用威脅防護功能（防火牆、入侵防禦系統、應用程式控管、惡意軟體防護）的網路吞吐量是26 Gbps，可達到4倍；防火牆單位效能的耗電量為1.8瓦，只需1/7電力。 <a href="https://www.ithome.com.tw/article/175255">從「零信任網路」到「雙零安全」</a> 如今，「零信任網路」已經成為市場上的流行詞，幾乎所有安全廠商都將自己的產品與它連結在一起。但「雙零安全」更進一步，強調安全性和生產力的同時提高。這種方法旨在提供無縫且易於使用的安全體驗，確保安全措施不會影響生產力或設備和機器的性能。實施這種不會破壞使用者體驗或設備效能的強大安全解決方案，可以讓組織認識到資訊安全不是障礙，是企業平穩、安全營運的推動者。 近期資安日報 <a href="https://www.ithome.com.tw/news/175370">【4月28日】資安院宣布第二屆漏洞獵捕活動，為公務機關最常使用的軟體抓漏</a> <a href="https://www.ithome.com.tw/news/175326">【4月27日】後門程式FireStarter鎖定思科防火牆發動攻擊</a> <a href="https://www.ithome.com.tw/news/175256">【4月24日】資安公司Checkmarx遭遇供應鏈攻擊</a> </div></div></div>
4/29 15:41作者周峻佑https://www.ithome.com.tw/news/175415
【資安日報】4月28日，資安院宣布第二屆漏洞獵捕活動，為公務機關最常使用的軟體抓漏
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><a href="https://www.ithome.com.tw/news/175329">資安院首屆漏洞獵捕活動發現20個硬體產品漏洞，今年第二屆活動開放AI工具挖掘軟體漏洞</a> 為鼓勵國內業者重視產品資安，數發部資安院在去年12月舉辦首屆漏洞獵捕（Bug Bounty）活動，邀請研華、威強電等11家業者參加，超過20項產品參與，共有179名資安研究人員參與，發現約20個漏洞，資安院為引導資安社群與產業建立機制，預告今年第四季將舉辦第二屆漏洞獵捕活動，鼓勵研究人員使用AI工具輔助，以增加找到漏洞的機會，針對的產品也從首屆活動以硬體、網通產品為主，第二屆活動將以公務機關使用最多的軟體產品為對象。 <a href="https://www.ithome.com.tw/news/175338">Checkmarx證實GitHub資料遭駭客團體Lapsus$流入暗網</a> 4月22日資安公司Checkmarx發生供應鏈攻擊，VS Code延伸套件與掃描工具KICS的Docker映像檔被入侵，後續調查結果出現新的進展，4月26日Checkmarx公布新的調查結果，他們在第三方鑑識公司的協助下進行調查，有網路犯罪團體將該公司的資料於暗網公開。根據相關證據，這些資料來自Checkmarx的GitHub儲存庫。隔天Checkmarx發布新的內容，表示這是源自Trivy供應鏈攻擊的事故，該公司研判，攻擊者藉此取得憑證，而能夠未經授權存取他們的GitHub儲存庫，並以此發布惡意程式碼。 <a href="https://www.ithome.com.tw/news/175340">蠕蟲程式GlassWorm透過73個VS Code延伸套件潛伏於Open VSX儲存庫</a> 資安公司Socket指出，他們在3月於Open VSX發現73個惡意VS Code延伸套件，這些套件大部分看起來無害，但有6個已顯露真正的意圖，被用來傳送GlassWorm。該公司指出，這些惡意套件與今年3月揭露（1月發現）的活動有關，並遵循近期GlassWorm的攻擊模式，那就是惡意套件本身最初發布時，都不會出現明顯的有效酬載，之後駭客再透過延伸套件的更新機制傳遞惡意軟體。 <a href="https://www.ithome.com.tw/news/175341">RPC零時差漏洞PhantomRPC可被用於提升權限</a> <a href="/sites/default/files/images/phantomrpc16-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/phantomrpc16-63.jpg" style="width: 300px; float: right;" /></a> 資安公司卡巴斯基近日公布零時差漏洞PhantomRPC，此漏洞與Windows作業系統的遠端程序呼叫（RPC）有關，攻擊者有機會以此提升本機權限至SYSTEM，所有版本的Windows作業系統都可能受影響。由於該弱點源自系統架構的弱點，潛在的攻擊手法近乎無限多種，原因是只要透過任何RPC的處理程序或服務，都有可能引入一種權限提升的路徑而觸發漏洞。 <a href="https://www.ithome.com.tw/news/175353">Linux作業系統套件管理器存在資安漏洞Pack2TheRoot，攻擊者能取得root權限</a> <a href="/sites/default/files/images/581941838-9a7ce174-85d9-42b8-95ac-5407a26219ba-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/581941838-9a7ce174-85d9-42b8-95ac-5407a26219ba-63.jpg" style="width: 300px; float: right;" /></a> 德國電信公司Deutsche Telekom紅隊團隊近日公布高風險資安漏洞Pack2TheRoot，此漏洞存在於套件管理工具PackageKit的處理程序，影響Ubuntu、Debian、Fedora等多個Linux發行版，非特權攻擊者可在未經授權的情況下，安裝或移除系統套件，而有機會取得受害主機的root權限，或是透過其他管道入侵受害電腦。此漏洞被登記為CVE-2026-41651，CVSS風險評為8.8分，屬高風險等級，PackageKit開發團隊獲報後發布1.3.5版予以修補。 <a href="https://www.ithome.com.tw/news/175315">Linux惡意軟體GoGra濫用Microsoft Graph API隱匿活動蹤跡</a> 賽門鐵克與Carbon Black威脅獵捕團隊發現，APT駭客組織Harvester近期開發了Linux後門程式GoGra，此惡意軟體具備高度迴避偵測的能力，利用微軟Graph API與電子郵件信箱服務Outlook建立C2通訊，疑似打算在印度與阿富汗從事網路間諜活動。由於此駭客組織的活動最早可溯到2021年，當時使用後門程式Graphon攻擊Windows電腦，GoGra的出現，代表Harvester採取跨平臺攻擊的策略。 <a href="https://www.ithome.com.tw/news/175324">中國駭客Tropic Trooper鎖定臺灣、日本、韓國，透過Adaptix C2與VS Code隧道控制受害電腦</a> <a href="/sites/default/files/images/tropic_trooper_figure_1-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/tropic_trooper_figure_1-63.jpg" style="width: 300px; float: right;" /></a> 資安公司Zscaler於3月12日發現鎖定臺灣使用者發動攻擊的惡意ZIP檔，該項行動由Tropic Trooper發起，並使用軍事相關的誘餌發動多階段攻擊，他們竄改PDF檢視器SumatraPDF的二進位檔案，用來部署AdaptixC2的Beacon代理程式，最終目的是下載與部署Visual Studio Code（VS Code）隧道。根據分析的結果，這些駭客的主要目標是使用中文的臺灣用戶，不過也有日本與韓國用戶受害。 <a href="https://www.ithome.com.tw/news/175325">中國駭客GopherWhisper鎖定蒙古，利用多種雲端服務從事網路間諜活動</a> <a href="/sites/default/files/images/GopherWhisper-1-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/GopherWhisper-1-63.jpg" style="width: 300px; float: right;" /></a> 資安公司ESET揭露中國駭客GopherWhisper，這些駭客使用多種以Go語言撰寫而成的工具於蒙古某個政府機構部署並執行各種後門程式LaxGopher、RatGopher、SSLORDoor與BoxOfFriends，這些駭客也濫用Discord、Slack、Microsoft 365 Outlook，以及雲端檔案共享服務file.io等合法服務，進行C2通訊與資料外洩。 <a href="https://www.ithome.com.tw/news/175360">醫療設備製造商美敦力資料外洩，駭客聲稱竊取逾900萬筆個資</a> 4月24日醫療器材大廠美敦力（Medtronic）發出聲明，證實資訊系統的資料遭到未經授權的第三方存取，事發後該公司立刻採取遏止措施、啟動事件應變程序，並找出疑似被存取的個人資訊。不過，該公司強調，這起事故對於他們的產品、病人安全、與客戶的連結、製造與分銷、財務報告系統未受到影響，也不影響他們因應病人需求的能力。資安新聞網站Bleeping Computer指出，聲稱入侵美敦力的駭客團體就是ShinyHunters。 <a href="https://www.ithome.com.tw/news/175367">網路學習平臺Udemy傳資料外洩，ShinyHunters聲稱竊得140筆個資</a> 惡名昭彰的駭客團體ShinyHunters於4月24日宣稱，他們手上握有大型網路學習平臺Udemy的內部資料，並要求該公司必須在4月27日前取得聯繫並支付贖金，不然就要將竊得資料公諸於世（Pay or Leak）。針對外洩的資料，ShinyHunters聲稱包含超過140萬筆個人可識別資訊（PII），以及該公司的企業內部資料。不過，駭客並未公布部分資料供買家確認。 <a href="https://www.ithome.com.tw/news/175346">CISA警告D-Link路由器命令注入漏洞被用於實際攻擊</a> 上週資安公司Akamai揭露殭屍網路Mirai變種tuxnokill攻擊行動，駭客利用命令注入漏洞CVE-2025-29635，綁架產品生命週期已經結束（EOL）的D-Link路由器DIR-823X，現在美國政府也證實該漏洞遭到利用的情況。4月24日美國網路安全暨基礎設施安全局（CISA）將4個資安漏洞列入已遭利用的漏洞名冊（KEV），並要求聯邦機構必須於5月8日完成修補，其中一個漏洞就是CVE-2025-29635。 <a href="https://www.ithome.com.tw/news/175362">Notepad++修補字串輸入漏洞，未更新可能導致資訊洩漏或程式當機</a> 開源文字編輯器Notepad++近日發布公告，揭露可能導致資訊外洩或應用程式當機的漏洞，會影響8.9.3以前版本，解決辦法是升級到已修補的8.9.4版。這項漏洞的編號為CVE-2026-3008，問題源自Notepad++的FindInFiles功能未妥善處理特定輸入字串，攻擊者可利用此漏洞讀取記憶體內容，或觸發應用程式異常終止。 <a href="https://www.ithome.com.tw/news/175352">Tenable修補Nessus弱點掃描代理程式漏洞，未更新可能導致攻擊者取得SYSTEM權限</a> 資安廠商Tenable近日發布公告，揭露旗下弱點掃描工具Nessus的Windows版代理程式存在高風險漏洞CVE-2026-33694，是由外部研究人員發現並向Tenable通報，CVSS嚴重性評分達8.2分，源自於Nessus代理程式執行檔案存取前，未妥善驗證檔案連結，在Windows系統環境中，擁有本機存取權限的攻擊者可以建立惡意的連接點（junction），誘使Nessus代理程式以SYSTEM權限刪除任意檔案，並進而以SYSTEM權限執行任意程式碼。 <a href="https://www.ithome.com.tw/news/175327">CrowdStrike修補LogScale重大漏洞，未更新可能導致遠端讀取任意檔案</a> 端點防護與雲端資安平臺廠商CrowdStrike近日發布安全公告，修補旗下日誌分析與監控平臺LogScale重大漏洞CVE-2026-40050，一旦該系統暴露在網際網路，遠端攻擊者可利用此漏洞，在未通過身分驗證的狀態下，讀取伺服器檔案系統的任意檔案，CrowdStrike表示尚未發現此漏洞的濫用跡象，但仍建議所有自行建置版用戶升級，以降低攻擊風險。 <a href="https://www.ithome.com.tw/news/175331">LMDeploy LLM推論工具SSRF漏洞公開後13小時內即遭利用</a> 資安公司Sysdig指出，InternLM開發的LMDeploy大型語言模型推論工具，在伺服器端請求偽造（SSRF）漏洞公開後，不到13小時就出現利用嘗試。該漏洞編號為CVE-2026-33626，影響LMDeploy 0.12.3之前版本，官方已在0.12.3版修補。CVE-2026-33626漏洞風險在於，攻擊者可透過模型請求中的image_url欄位，讓LMDeploy伺服器代為存取雲端中繼資料服務（metadata service）、內部網路或其他原本不應對外暴露的資源。 <a href="https://www.ithome.com.tw/news/175332">Python存在高風險的記憶體存取漏洞，未修補可能導致越界寫入與記憶體資料損毀</a> 廣泛使用的高階程式語言Python存在高風險漏洞CVE-2026-3298，可能導致越界寫入（Out-of-Bounds Write）問題，進而造成記憶體資料毀損，此漏洞已由Python軟體基金會登記CVE編號，並於CPython程式碼庫提交修補程式，建議使用者儘速更新。這項漏洞的CVSS嚴重性評分達8.8分，是在4月21日由研究人員Seth Larson揭露，他透過Python安全公告郵件清單（security announcement mailing list）公開此事。 <a href="https://www.ithome.com.tw/news/175328">用AI發現漏洞還不夠，Google指出自動化大規模修補才是防禦核心</a> 將AI用於資安防禦以對抗AI攻擊，已成為各界關注焦點，特別是近期AI在漏洞挖掘能力上的高速推進，然而，AI大廠Google認為，解決資安漏洞風險的關鍵，不只在於大規模「找出」漏洞，更關鍵的是，如何運用AI大規模且高效率地「修補」漏洞。近日Google工程部門副總裁Royal Hansen來臺，揭露自動化防禦的最新發展。 <a href="https://www.ithome.com.tw/article/175310">【2026 企業資安大調查｜資安預算變化】整體資安預算大增13％，金融業更加碼近2成</a> 資安管理向來是企業資訊長和資安長的年度優先目標，近兩三年來，加上主管機關對上市櫃公司的資安法遵要求，如資安長設置要求，訂定資安事件重大訊息揭露標準等，促使企業投入更多資源來落實資安管理。根據2026 iThome CIO&CISO大調查，多數產業的資安預算皆成長，平均資安預算成長率高達13%，只有政府學校的資安預算比去年略減了4%。 <a href="https://www.ithome.com.tw/article/175311">【2026 企業資安大調查｜資安人才需求】因應資安人才缺口， 3成CIO想靠AI緩解</a> 過去幾年，資安人才更成了超級搶手的人才，不分產業也都吹起了資安人才荒。在去年大調查中，我們開始調查資訊長和資安長對於AI緩解IT人才荒的看法，尤其是資安人才和開發人才缺口的緩解。去年已超過7成資訊長和資安長認同AI的確可以緩解IT人力需求，今年這個比例再次上升，達到77%之高，幾乎每五位資訊長，就有四位認為可以藉助AI來分擔人力。 <a href="https://www.ithome.com.tw/article/175312">【2026 企業資安大調查｜企業AI資安挑戰】人才和資料治理是AI資安兩大難題</a> 隨著越來越多企業擁抱生成式AI，AI資安風險也成了資訊長和資安長當前最大的新挑戰。根據2026年iThome CIO&CISO大調查，從生成式AI發展成熟度來看，臺灣大型企業中，有23%的企業已經在正式環境中運用生成式AI，另有33%企業正在導入和驗證階段，26%的企業今年才開始計畫。換句話說，超過2成資安長日常工作已經開始面臨種種AI資安挑戰，另有5成資安主管至少得開始準備因應。 近期資安日報 <a href="https://www.ithome.com.tw/news/175326">【4月27日】後門程式FireStarter鎖定思科防火牆發動攻擊</a> <a href="https://www.ithome.com.tw/news/175256">【4月24日】資安公司Checkmarx遭遇供應鏈攻擊</a> <a href="https://www.ithome.com.tw/news/175256">【4月23日】近1,300臺SharePoint伺服器尚未修補已遭利用的欺騙漏洞</a> </div></div></div>
4/28 14:26作者周峻佑https://www.ithome.com.tw/news/175370
老牌基因定序公司擁PB級巨量資料，跨足代工製造瞄準供應鏈風險
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">「我們應該是全臺產出最多資料的基因定序公司之一！」基龍米克斯資安長許勝達開門見山說道。 這句話，既點出了基龍米克斯的資安挑戰，也道明了近年基因定序產業的關鍵變化。 隨著高通量基因定序設備快速發展，一個人的全基因組資料，往往就高達上百GB。再加上政府政策鼓勵基因檢測與精準醫療應用，這類資料不再只是零星產出，而是每天、每周持續地累積。再加上，法規要求這類資料必須長期保存，基龍米克斯的資料規模，很快就從TB等級，暴增1千倍，達到了PB級的巨量資料。 這意味著，資料不再只是研究分析的附帶產物，而是公司最核心的資產。資料用得越深、應用場景越廣，能創造的價值就越大；但同時，一旦管理不當，風險也會同步放大。 對基龍米克斯而言，巨量資料的保護，成了新的課題。尤其醫療資料的合規要求更嚴謹，資安不再是「發生事故才需要處理」的補救措施，而是必須提早建立、長期投入的基本功。 以基因定序研究起家，早期資安需求相對單純 2001年，將DNA定序技術引進臺灣的中研院基因定序學者周德源，與其子周孟賢共同創辦了基龍米克斯，逐步發展成為臺灣最大的商業基因體公司。他們最早以基因定序與生物資訊分析服務起家，協助研究單位與醫療端，將原始的基因序列轉換成可解讀、可應用的分析結果。 公司一路發展，累積了不少亮眼成果。例如2004年，基龍米克斯建立了癌症標靶藥物基因檢測系統，成為衛福部疾管署定序合約的長期供應商；2005年參與國際水稻基因體定序計畫，完成水稻第五條染色體定序；2013年完成櫻花鉤吻鮭基因解碼、協助政府拯救瀕臨絕種物種。 之後，基龍米克斯也跨足婦幼健康基因檢測市場，還參與多項政府專案，包括中研院癌症登月計畫、臺灣人體生物資料庫建置，以及TPMI臺灣精準醫療計畫等。 這類業務高度仰賴資訊系統支撐，像是實驗室資訊管理系統（LIMS）、資料分析平臺，以及與各項業務流程串接的ERP系統，每一個環節幾乎都與資料處理密切相關。 基龍米克斯成立初期，以研究為主，資料多半用於學術或研究用途，影響範圍相對有限，公司高層對資安的要求，偏向於不出問題就好的態度，尚未視為營運層級的關鍵議題。 隨著業務版圖擴展，資安不再是加分項 近幾年，基龍米克斯開始積極拓展業務版圖，推動實驗室開發檢測（LDTs），定序和檢測報告不再只是研究參考，而是可能直接影響臨床判斷、治療方向與用藥決策的正式依據。 這樣的轉變，也意味著資訊系統的角色出現變化——系統不只要「算得快、產得出報告」，還必須能完整記錄每一個分析流程、版本變更與存取紀錄，確保結果在事後能被清楚追溯與驗證，經得起各方檢驗。 基龍米克斯擴大的另一條業務線，則是2021年開始投入的委託開發暨製造服務（CDMO）營運模式，以及GMP合規製造廠區的建置，業務範圍從原本的分析服務，進一步延伸至核酸藥物相關製程。 這一步，讓基龍米克斯的營運模式大轉變，從以基因定序服務為核心的公司，變成了一家提供研發與製造代工服務的生技製造服務商。這個轉型，更讓資安的價值和重要性，從加分項，拉高到了非做不可的合規層級任務。 因為，CDMO模式是接受商業客戶的委託，進行開發和製造產品，資訊系統處理的不再只是內部研究資料，還包含客戶的配方、製程參數與尚未公開的研發資訊。換句話說，一旦資料外洩或遭到未經授權的存取，影響的不只是內部作業，而是直接牽涉到客戶信任與商業責任。 至於GMP合規製造，則必須接受主管機關與稽核單位的檢核，關注的也不只是流程是否標準，而是每一筆製程與品質資料，是否能清楚說明「誰在什麼時間、以什麼身分做了什麼事」，並且確保紀錄未被未經授權地修改。 這也代表，帳號管理、存取權限、系統日誌與資料完整性，都是GMP合規不可或缺的基礎條件。一旦資安機制不足，不僅可能帶來資料外洩風險，也可能讓整個製程的可追溯性與合規性受到質疑。 與此同時，走向GMP製造，也需要IT與OT流程的整合。 因為在基因定序／檢測與臨床研究階段，重心仍以IT系統為主，例如LIMS、分析平臺和ERP系統；實驗室中雖然有定序儀和相關的OT設備，但多半各自獨立，主要用來支撐單一實驗流程，並未有太多整合的管理挑戰。 但建置GMP場域後，這些設備和系統就必須整合進製程管理中，OT成為製程和品質控管的一部分，需要整合電子批次紀錄、品質文件管理系統，以及與設備連動的資料蒐集和控制機制等。 對基龍米克斯來說，CDMO和GMP不單是新業務線，也是讓資料和系統正式成為法規、品質和營運責任的重要一環。這一連串業務模式與公司階段的轉變，更讓資安從單純的內部管理議題，升級為影響企業信任與營運穩定的關鍵條件。 <hr /> <img alt="" src="https://s4.itho.me/sites/default/files/images/1273-%E5%9F%BA%E9%BE%8D%E7%B1%B3%E5%85%8B%E6%96%AF-CISO-600-1-%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.jpg" style="width: 600px;" /> 攝影／洪政偉 <hr /> 資安策略的起點不是工具，而是整體架構 2017年進入基龍米克斯的許勝達，原本專攻生物資訊分析，負責帶領NGS定序資料處理／分析平臺與IT團隊。直到2023年，配合公司業務發展，他才正式接下資安長一職。 回顧接任資安長的第一階段工作，許勝達自己並不急著導入各種高階資安工具，而是先從最基礎的系統與網路架構下手。 他指出，早期因公司規模較小，多數系統共用同一個網路環境，權限設計也相對寬鬆。這樣的做法在初期或許方便，但當資料量、系統數量與人員規模同步成長，一旦發生問題，影響範圍就可能成倍放大。 因此，他優先推動網路分段與權限重整，依部門與系統性質切割網段，並將GMP製造場域與研發、行政系統完全隔離。這樣的設計，讓風險能被限制在最小範圍內，也讓日後的稽核、事件回溯與責任歸屬變得可行。 在使用者端，他同步導入單一登入（SSO）與帳密管理政策，在提升安全性的同時，盡量降低對日常工作的影響。對他來說，資安不是制度寫得多嚴格，而是能不能在不影響工作的前提下，真正落實。 鼓勵嘗試生成式AI工具，但也要兼顧安全 基龍米克斯是臺灣少數結合次世代基因定序（NGS）、CDMO製造與AI輔助能力的跨域團隊，對新技術向來抱持開放態度，就連生成式AI也不例外。 許勝達坦言，他經常鼓勵團隊使用生成式AI，不論是輔助程式開發的Vibe coding工具，還是串接AI代理、協助行政人員執行工作的無程式碼工具，都在推廣範圍內。 因為這些工具能大幅提升工作效率、減輕人力負擔，他甚至會安排教育訓練，協助同仁熟悉相關工具。 「教育同仁如何正確使用工具、建立正確的觀念，而不是一開始就排斥新技術，」他說。 在擁抱新技術的同時，安全性也沒被忽略。儘管目前尚未對生成式AI工具進行嚴格的控管，主要仍仰賴防護軟體過濾，但許勝達仍會在教育訓練中反覆強調資料隱私與安全的重要性，藉此提升同仁的整體資安意識。 資安長最大的挑戰，往往來自組織本身 談到落實資安的最大挑戰，許勝達並不諱言，往往不是技術，而是人。 比如密碼規則變嚴、USB使用受限、流程多一道檢核，對第一線同仁來說，都是實際的不便。 尤其一開始，這些改變往往引發反彈，甚至被視為影響工作效率。 但他的做法不是強硬要求，而是持續溝通和調整。例如在提高帳密安全性的同時，引入單一登入（SSO）來減少負擔；或是在新措施正式上線前，先向同仁說明背景與原因。他希望讓公司同事理解，資安不是為了限制工作，而是為了保護公司長期發展與累積的成果。 在這個過程中，資安也逐漸從被動遵守的規範，轉變為需要全體同仁共同維護的文化。 把資安變成營運的一部分 談起基龍米克斯的資安原則，許勝達直言：「資安不能靠IT部門自己扛。」在他看來，資安應該由「治理、管理、技術」三層結構共同支撐。 治理層包括資安政策與跨部門協作機制，例如去年7月成立的跨部門資安小組，由董事長、總經理、稽核人員、IT與資安角色及各部門代表共同參與。 這個小組以「治理—執行—查核」模式運作：由資安長統籌制度與風險管理並定期向高層報告，資訊部門負責技術與日常落實，稽核單位則進行獨立查核與改善追蹤。他們透過這樣的分工，來定義資安任務，將資安正式納入公司治理框架。 有了完整的治理層，接下來就是管理層，包括風險評估與通報流程。另一重點則是技術層，泛指NAS、VPN、日誌紀錄等工具的實際運用。 許勝達也透露，團隊正評估導入安全資訊與事件管理（SIEM）、端點偵測及回應（EDR）等工具，以強化事件預警與應變能力。這些工具的導入，並非追求形式上的完整，而是希望讓資安真正支撐業務長期、穩定地運作。 另一方面，基龍米克斯也正參考ISO 27001資訊安全管理系統架構，導入相同的治理思維，讓整體營運更貼近國際通行的安全標準。 下一步要把關供應鏈風險 隨著業務從研究走向臨床與製造，供應鏈安全也逐漸成為基龍米克斯不得不面對的課題。 不論是委外的軟體開發商、雲端平臺服務商，還是生物資訊分析相關工具，只要能接觸到資料或系統，就可能成為風險來源。許勝達坦言，雖然內部的供應鏈資安尚未一步到位，但已先建立清楚方向。 例如，基龍米克斯已開始盤點能接觸核心資料或關鍵系統的廠商，並在合約中納入資安相關條款，依據供應商能接觸的資料與系統層級，進行分級管理。接下來，他們還會透過問卷，或基本審查機制，逐步建立起供應鏈資安的最低門檻。 這不只是技術層面的問題，也涉及資料主權、跨境合作與地緣風險的判斷。在基因資料高度敏感的產業中，供應鏈的每一個環節，都是整體資安的一部分。 <hr /> CISO小檔案 基龍米克斯資安長許勝達 學歷：交大生物資訊及系統生物所博士畢業 經歷：曾任交通大學博士後研究員、生命先鋒投資股份有限公司研究員，宣捷生物科技股份有限公司顧問及康百事生物資訊股份有限公司研究員。2017年加進入基龍米克斯，先後擔任生物資訊部門經理、創新技術部經理與技術長；2023年配合公司業務發展，擔任資安長至今 <img alt="" src="https://s4.itho.me/sites/default/files/images/1273-%E5%9F%BA%E9%BE%8D%E7%B1%B3%E5%85%8B%E6%96%AF-CISO-600-2-%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.jpg" style="width: 450px;" /> 公司檔案 基龍米克斯 ●地址：新北市汐止區新台五路一段100號14樓 ●成立時間：2001年 ●網址：www.genomics.com.tw ●主要業務：基因定序服務、GMP等 ●員工數：約200人 ●資本額：724,480,570元 ●年營收：4.8億元（2024年） ●董事長：周孟賢 ●總經理：江俊奇 資安部門大事記 ●2023年：資安長（CISO）角色正式設置，由資訊與資安治理分離，強化橫向協調角色 ●2024年：初步規劃資訊安全制度藍圖，參考ISO/IEC 27001架構，盤點內部資安需求與痛點；強化資安文化推動與培訓活動，結合案例教育與社交工程測試 ●2025年：成立跨部門資安小組，成員涵蓋董事長、總經理、稽核與IT，啟動定期治理會議；規劃導入SIEM與EDR系統，以強化內部資安事件的即時監控與預警能力 </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1273-ciso-ji_long_mi_ke_si_zi_an_chang_hong_zheng_wei_she_-960.jpg" width="960" height="420" alt="" title="基龍米克斯資安長許勝達　（攝影／洪政偉）" /></div></div></div>
2/11 09:00作者王若樸https://www.ithome.com.tw/people/173852
富邦金內外並進守護資產，打造企業信任與防詐核心力
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">冬日清晨六點半，天色剛透出微光，延後到達的冷氣團，反倒替「2025臺北馬拉松」送來適合長跑的清爽早晨。起跑汽笛畫破空氣的瞬間，兩萬八千名跑者同時湧向賽道。 在這片流動的人海之中，富邦金控資安長蘇清偉以穩定的步頻前進，最終順利跑完馬拉松全程，成績落在參賽者中的中上段。對他而言，為馬拉松進行的跑步訓練是生活的日常；與駭客長期對峙，更是他工作中不曾停歇的日常。 與多數出身純技術背景或企業機房的資安長不同，蘇清偉人生前半段，是在臺灣警界最前線度過，長年遊走於犯罪現場與數位證據之間。 這段歷練，讓他對攻擊者的行為模式與戰術技術流程（TTPs）有著近乎本能的敏銳度，也培養出屬於第一線指揮官的冷靜與果斷。 他從警界退休繼而轉戰金融業後，這股「警魂」則被蘇清偉移植到金融資安的戰場。這種從實戰中淬鍊出的「即時應變」DNA，讓蘇清偉在面對駭客威脅時，始終保持高度警戒。 他以「步步為營、如履薄冰」形容自己對資安工作的態度；更隨時提醒自己：科技會進步，工具會更新，但人性與犯罪動機並不會改變。對他而言，看懂技術只是基本功，更重要的是看懂對手、看懂風險，以及在關鍵時刻，做出不容遲疑的判斷。 從基層科技警察到資安長的跨界之路 蘇清偉從警察大學資訊管理學系畢業後投身警界，是妥妥的本科生，在當時，科技警察是一條相對少見的養成路線。 回顧在警隊服務的歲月，長期投入科技犯罪偵查與數位鑑識相關工作，蘇清偉感受到科技對傳統偵查方式帶來的衝擊。早年警察處理現場狀況時，後方指揮官只能透過無線電接收片段回報，「聽不到，也看不到」與犯罪現場的資訊不對稱，讓決策存在落差。 為了改善這種斷層，他積極導入資訊技術，推動現場影像即時回傳情報中心，協助指揮中心能同步掌握全貌，幫助指揮官精準地下達指令、打擊犯罪。 長年站在第一線的經驗，讓他能理解攻擊者如何蒐集資訊、如何試探防線，這種對風險近乎直覺的判斷方式，並非短時間內，能從書本或規範中學得。 科技警察除了資訊專業外，更普遍具有法律素養，也為他日後從警界轉戰金融圈埋下伏筆。蘇清偉坦言，許多資安主管具備深厚IT與資安技術能力，但在面對法遵與跨部門協調時，往往需要更多磨合。警察出身的他，早已習慣在法律框架下運作，更能理解制度背後的治理邏輯，讓他更能適應金融界的工作型態。 從警界轉入金融業，表面看似跨度甚大，但在他眼中，兩者核心高度相通。他直言，儘管今日的網路犯罪手法不可同日而語，但犯罪本質始終沒變，無論攻擊系統漏洞或透過社交工程操弄人心，目的都是尋找「脆弱點」。 進入金融體系後，蘇清偉面對的是一個橫跨銀行、人壽、產險與證券的龐大金融集團；資安長要因應的挑戰，不只關乎系統是否穩定，而是涵蓋高度組織化的攻擊行為、地緣政治與利益衝突交織而成的資訊戰，以及不斷翻新的高科技詐騙手法。 他表示，背後牽動數以百萬計客戶的資產安全與信任基礎，與難以量化、卻極為珍貴的品牌價值。 一條鞭式的管理，平衡治理與技術 在資安圈，資安長的角色，長年存在技術與治理之爭，蘇清偉說：「資安長不能偏廢治理面，但沒有專業技術支撐的治理，往往會變得無法到位。」他語氣篤定表示，在發生真正網路攻防戰時，資安長若不理解攻擊原理，站在指揮位置上的人，很難做出精準決策。 這樣的觀點，並非單純的技術至上論，而是來自他對「即時應對」的高度重視。蘇清偉舉例，當駭客試圖DDoS攻擊消耗系統資源時，處置必須快如閃電，治理若缺乏對技術細節的掌握，最後只會流於形式。 這套思維，深刻影響他進入富邦金控後，所推動的資安治理模式。面對龐大的金融集團，蘇清偉很快意識到，資安最大風險在於「組織防禦力不一致」。他常掛在嘴邊的比喻是「木桶理論」：一個木桶能裝多少水，取決於最短的那塊木板。 為了避免這種「短板效應」，蘇清偉在老闆授權下，推動「一條鞭」管理模式。意味著，在資安這條軸線上，他不只是顧問角色，而是擁有跨子公司統籌、監督的權力，必須對整個金控的資安狀況負責。 他笑稱，現在自己是純金控資安長，不需像早期兼任銀行資安長、或兼任金控資訊長時，容易出現「左手打右手」的顧慮。 「一條鞭」不代表高壓集權，而是以一致性為核心的治理設計。蘇清偉每年會邀集各子公司資安長共同討論，依據年度風險，訂定一套具體而量化的資安管理績效指標。 這些指標涵蓋：資安曝險分數、病毒偵測數、員工社交工程演練的點擊率，及系統上線前的資安審查件數等。他表示，設定這些指標的目的不是為了排名或羞辱，而是確保每塊「木板」都達到基本高度。 讓這套制度發揮效果的關鍵，在於透明化，蘇清偉每個月都會將各子公司的資安指標分數，直接送交董事長與總經理。他笑說，這個做法讓各級長官「立刻有感」，因為資安不只是技術單位內部的專業議題，而是攤在經營階層眼前的治理成績單。當資安表現開始與經營責任產生連動，組織內部的資源配置與決策優先順序，也隨之改變。 資安是集團數位轉型幕後推手 對蘇清偉而言，資安存在的意義不是替創新踩煞車，而是成為那個「如影隨形」、協助集團順利數位轉型的守護者。 蘇清偉直言，資安若只在最後一刻出現，會被視為「扯後腿」的角色，面對數位金融浪潮，資安長已逐步走到營運前線，追求的是：讓資安融入開發流程的每個環節，成為業務推進時，自然存在的一部分。 他以能進行交易、查詢餘額、承載大量敏感資訊的「富邦Plus」（Fubon+）行動銀行App為例，資安團隊在開發初期就已加入協作，而不是等到系統接近完工、要做滲透測試（PT）時，才輪到資安團隊發揮。 在App開發過程中，資安同仁不斷提醒開發人員要做到SSDLC（安全軟體開發生命週期），協助他們在寫程式時，就避免常見資安風險；讓系統未上線前，弱點已被找出並完成修補。 蘇清偉坦言，早年做法是「開發完再找資安來測」，常常變成臨門一腳被打回重來，既傷感情，也影響效率。現在透過「敏捷式」的結合，資安與業務不再是對立的兩方，而是並肩合作的夥伴。 <img alt="" src="https://s4.itho.me/sites/default/files/images/0130-CISO-600.jpg" style="width: 600px;" /> 攝影／洪政偉 「資安團隊不扮演扯後腿的角色，而是要把IT和業務單位的系統，調校到最安全。」這句話，是蘇清偉在內部反覆傳達的核心理念。他追求的是「安全的可行性」，只要能清楚說明業務上的商用需求，資安團隊就會協助找到一條既安全、又能完成任務的路徑。 這樣的治理哲學，讓資安不再被視為數位轉型的絆腳石，而是推動轉型的助力。在數位金融競爭激烈環境下，產品推出速度越來越快，系統複雜度越來越高，任何一個漏洞，都能直接衝擊客戶資產與品牌信任。蘇清偉深知，唯有讓資安與業務節奏同步，才能在創新與風險之間取得平衡。 他用「下水道工程」來比喻資安工作本質：平時運作順暢時，沒有人會注意到它；但只要出問題，後果一發不可收拾。因此，他在富邦建立全天候的防護與監控機制，從端點的EDR、網路層的NDR，到24小時運作的SOC（資安監控中心），形成一張不間斷運轉的防護網。 即便是下班時間，當系統偵測到異常活動，警報也會透過即時通訊軟體，第一時間傳送到同仁的手機。這種「隨時應戰」的運作模式，是為了確保在關鍵時刻，能即刻反應、即刻處置。對蘇清偉而言，資安不是朝九晚五的工作，而是一場需要高度韌性與紀律的長期戰役。 在外界眼中，富邦金控能穩居市場領先地位，靠的是多元金融布局與亮眼營運表現；但他認為，在背後支撐整個數位體系運作的，正是這套看不見卻從未鬆懈的資安防線。 他表示，當資安能「如影隨形」地融入每次系統開發、每項創新服務，它便不再只是風險控管的成本，而成為企業放心向前的底氣。 金融業成為第一線打詐主力 在全民談詐色變的此刻，金融體系早已站上打詐第一線。蘇清偉表示，面對不斷進化的電信與網路詐騙，他將大半心力投注在「打詐」與「防範偽冒」之上，因為他比誰都清楚，一旦品牌被利用，受害的不只是個別客戶，而是整個金融體系的信用基礎。 詐騙手法已從早期面對面詐騙、電話詐騙，演進到透過社群平臺進行大規模擴散，甚至即將邁入結合AI深偽技術的第四代詐騙。蘇清偉從實戰發現，當假冒官網帳號被下架後，詐騙集團將受害者導入沒有品牌Logo、難以主張侵權的私密群組中，繼續進行誘騙。這種「轉移術」，成為近年最令金融業頭痛的詐騙樣態。 面對真假難辨的數位訊息，他不再依賴傳統、緩慢的人工巡邏，而是導入自動化工具進行大規模監測巡邏，要求Meta或LINE下架假冒富邦帳號，並以「一案一案處理」的方式，堅持將假訊息阻斷在源頭。他坦言，這是一場消耗戰，因為只要鬆手，代價就是客戶的信任。 所以，他在金控內部成立跨部門的「打詐應變小組」與「偽冒應變組」，整合資安、風控、法遵、法務與品牌公關的力量，只要網路上出現假冒富邦高層或Logo的訊息，團隊就會立即啟動SOP，用最快速度向平臺檢舉並報案。 「我不殺伯仁，伯仁因我而死。」這句話成為他形容企業打詐社會責任時最沉重的註腳。在他眼中，防詐不只是合規或風控問題，而是必須正面承擔的道德義務。 警察出身的他深知「情報」與「聯防」，才是真正的防禦前線。他在富邦內部，建立一個高階主管通報群組，只要出現可疑IP位址、攻擊手法，甚至地緣政治引發的異常跡象，都會在第一時間把資訊同步給各子公司的資安主管，進行聯手防護。「這不只是技術協作，更是一種組織層級的風險共識。」他說。 對外，他積極參與F-ISAC（金融資安資訊分享與分析中心）聯防機制，透過與同業交換情資，第一時間掌握駭客正在利用的漏洞與最新詐騙模式，迅速在內部防火牆設定規則、進行阻擋。同時，富邦也與政府單位如165反詐騙專線、數位發展部及電信業者保持密切合作。 他直言，資安不該「自掃門前雪」，業界資安長間的人脈連結與資訊交換，往往是能否提前防禦的關鍵；打詐也不是單一機構能完成的任務，應該成立「打詐國家隊」，讓政府與企業站在同一陣線。 內化資安文化到工作日常，從白名單重構信任 對蘇清偉而言，真正堅固的資安防線，不在機房深處，而在每位員工的日常選擇裡。他說：「只靠資安部門幾十個人的力量是不夠的。」因此，富邦推動「資安管理官」與「資安種子」制度，在各個業務單位中選拔對資安有基礎概念的同仁，成為第一線溝通與宣導節點。 這些人不只是政策傳遞者，更是文化播種者，公司贊助這些種子人員考取ISO 27001等國際認證，讓「資安人人有責」不再停留在標語，而是轉化為可被驗證的專業能力。 蘇清偉認同，AI將是資安防禦最大的挑戰，也是最大的機會，尤其是深偽技術（Deepfake）的成熟，「你沒辦法百分之百確定它是假的，」他冷靜地分析。 因此，他提出一個策略：從「白名單」出發，與其費力澄清層出不窮的假訊息，不如建立讓客戶清楚辨識什麼是「真的」機制。例如，未來金控發布的官方影片，可以透過數位簽章認證，只要看到簽章標記，客戶就能確認這是來自富邦的真實資訊。在他看來，這不僅是技術問題，更是一場關於信任的重新建構。 <img alt="" src="https://s4.itho.me/sites/default/files/images/0130-CISO-300.jpg" style="width: 300px;" /> 圖片來源／富邦金控 公司檔案 富邦金控 ●董事長：蔡明興 ●總經理：韓蔚廷 ●1961年：富邦產物保險公司的前身國泰產險正式開業 ●1992年4月20日：富邦集團創立富邦商業銀行 ●2001年12月19日：富邦金控成為臺灣首家掛牌的金控公司 ●2021年：富邦金控公開收購日盛金控，國內首樁「金金併」里程碑 ●2022年：富邦金控完成合併日盛金控 資安部門檔案 ●資安部門名稱：資訊安全處 ●成立時間：2019年 ●部門主管：蘇清偉副總經理 ●直屬主管：韓蔚廷總經理 ●資安部門人數：2025年金控暨子公司共計95名 ●資安部門工作範圍與目標：完善防護基礎、精進資安韌性、守護客戶資產 ●資安部門角色與分工：完善防護基礎、精進資安韌性、守護客戶資產；訂定資訊安全政策，規畫辦理資訊安全風險管理；規畫辦理資訊安全作業與管理規範；規畫辦理資訊安全交流與合作；規畫辦理各子公司資安績效衡量、監控、報告機制；規畫辦理資訊安全防護、偵測、回應、復原機制；維運資訊安全相關系統；規畫辦理資訊安全教育訓練 資安大事記 ●2025年：富邦金控獲頒BSI「2025數位信任獎」集團獎；富邦金控打詐，加入「公眾人物反詐通報專用郵箱」機制 ●2024年：富邦人壽取得NIST CSF認證，通過ISO 22301營運持續管理續審認證；富邦證券通過BS10012：2017個資保護管理體系認證；富邦投信通過ISO 22301營運持續管理認證；北富銀啟用AI洗防系統「獵鷹系統」 ●2023年：富邦產險首家獲主管機關核准試辦行動身分識別；台北富邦銀行攜手刑事警察局，將鷹眼模型AI偵測專利技術無償提供逾30家銀行應用；富邦金控年底取得英國標準協會BS 10012：2017個資保護管理系統認證 ●2022年：台北富邦銀行獲得英國標準協會ISO 22301營運持續管理認證，首家獲頒此證的民營銀行 ●2014年：台北富邦銀行（安和分行）存匯業務及信用卡業務，通過BSI「BS 10012：2009」資料保護個人資訊管理制度」認證 ●2011年：富邦金控旗下銀行、信用卡與證券期貨三大客戶服務部門，領先通過英國標準協會BS 25999營運持續管理驗證 ●2009年：富邦金控資訊暨作業本部榮獲ISO 27001認證 </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0130-ciso-960.jpg" width="960" height="420" alt="" title="富邦金控資安長蘇清偉　（攝影／洪政偉）" /></div></div></div>
1/30 13:59作者黃彥棻https://www.ithome.com.tw/people/173684
金融CIO和CISO必看！金管會資安監理政策2026年六大新重點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">金管會在去年底最後一場記者會中，發表了未來四年金融資安監理的新政策框架「金融資安韌性發展藍圖」，涵蓋四大主軸共10類工作項目，可以細分成29項措施，其中，有7項延續了2.0方案，延續且擴大或強化的措施也有10項，其餘新增措施則多達了12項。 雖然這是一份長達四年的資安監理政策，其中有多項是2026年就會發布，或是2027年開始實施，但企業早在2026年就得開始準備的工作項目。所以，我們整理了一份CIO和CISO一定要知道的2026年金管會資安監理最新重點措施。 2026年底前，金管會已經宣布將完成的重點工作是，訂出「API安全基準」、「AI系統安全防護及檢測參考指引」和「後量子密碼（PQC）遷移參考指引」，另外也會訂定「供應商分級及委外資安責任參考範本」。 2026年，還增加了三項對金融業的新資安監理要求，包括了明定金融資安長的權責、零信任架構從鼓勵轉為必備，以及必須建立軟體供應鏈安全機制如SBOM。 <h2>新資安監理要求1：明定資安長權責</h2> 先來看治理面的資安長新權責要求，原本在「金融資安行動方案」中，只要求一定規模的金融業要設立資安長，董事會則要有資安專業的成員，沒有針對資安長的職責有更多細緻的規範。從2026年開始，金管會進一步強化了資安長的職責和權責要求，明確要求金融機構得明定資安長職責，包括了在資安治理、風險管理、事件應對上的具體職責，資安長也要簽署保證資安業務合規的聲明書。 金管會更要求，每一年，資安長必須到董事會報告前一年資安執行情況，金管會甚至列出了一定要報告的項目，包括了資安計畫執行及變更情況，重大資安事件與改善措施、現行資安風險評估情形和控制措施的有效性、資安預算的運用與資源配置。這個要求，也將資安預算的討論拉高到董事會層級。 值得觀察的是，雖然，金管會在去年底記者會中沒有透露，明定資安長權責的新要求，是否會延續擴大到上市櫃公司。金管會在2021年要求金融機構設置資安長之後，不到一年也跟著要求大型上市櫃公司跟進，比照金融業設置資安長。所以，上市櫃公司也不可忽視，也得開始因應這項新金融資安監理規範預先做合規的準備。 <h2>新資安監理要求2：零信任架構成為必備</h2> 金管會從金融資安行動方案2.0開始鼓勵金融業導入，也訂出了四階段的零信任成熟度分級，並提出六個鼓勵金融業者導入的高風險場域，包括遠距辦公、雲端存取、系統維運管理、應用系統管理、服務供應商和跨機構協作。根據金管會調查，多數金融機構至少有1個場域導入或是規畫要導入零信任架構，最多金融業導入的場域是遠距辦公，其次是系統維運管理。 到了2026年的韌性發展藍圖，零信任架構從鼓勵導入政策，轉為必須導入的要求，而上述六大鼓勵導入場域，也變成了六大優先導入場域，金管會也要求金融機構要逐漸提高零信任架構的成熟度階段。 雖然金管會還沒有明確訂出零信任架構的導入時程，但金管會已經預告，未來會逐漸將零信任實作的參考原則，納入金融業的資安基礎規範，零信任架構已經成為金融業者的資安必備架構。 <h2>新資安監理要求3：軟體供應鏈安全機制</h2> 根據我們去年2025年CIO大調查，金融業對於軟體物料清單SBOM技術的採用，雖然是各產業最高者，但也只有14%，每七家金融業者只有一家採用。但在金管會新的資安韌性發展藍圖中，SBOM將成為金融業未來非導入不可的新監理要求。 在這份藍圖中，金管會將資安左移、安全納入設計列為新的監理重點，其中，資安左移屬於鼓勵導入的項目，但是軟體供應鏈透明化和弱點追蹤機制，則列為必須建立的項目，不過，金管會沒有明定出金融業者必須導入SBOM的時間，只列入四年持續達成的新措施。 金管會提出的SBOM應用場景，則用於金融業者完成程式碼後，透過軟體成分分析，識別出這段程式碼所用的組件，包括開源元件或第三方元件，產生一份軟體物料清單（SBOM），同時也要連結到弱點資料庫(CVE)或是已知被利用的漏洞來比對，像是CISA的KEV清單，可以建立一個漏洞管理與即時版本更新的機制。 除了三項明確的新資安監理要求之外，金管會更明確宣布，2026年將完成的多項指引和資安基準，包括了針對金融業者的「API安全基準」、「AI系統安全防護及檢測參考指引」和「後量子密碼（PQC）遷移參考指引」，以及提供金融業管理IT供應商的新措施「供應商分級及委外資安責任參考範本」。 <h2>2026年新金融資安基準：API安全基準、容器服務監控基準</h2> API安全基準是資安左移措施下的一項配套要求，金管會原有針對金融科技應用，責成銀行公會制定了一套開放銀行Open API規範，用來規範特定項目的開放金融API，包括了公開資料查詢、消費者資訊查詢和少數交易面資訊的API應用。 金管會預定進一步擴大這份Open API規範，訂定更完整而且涵蓋了與對外合作夥伴串接用的Partner API以及對內的Internal API的安全基準，以存取資料的機敏程度和對象來分類和分級。這一套金融對內對外的API安全基準，是必將成為銀行等金融業者API通用基準，有意與金融業往來的IT供應商也勢必得遵循同一套API基準。 換句話說，金管會預計在2026年要訂定的API安全基準，有可能成為臺灣業界自願遵循的API安全通則。 金管會對資安基準的強化不只如此，原有的雲端資安監控基準規範，2026年也將新增容器服務，這是微服務和GAI應用最常用的雲原生運算資源，2027年還會擴增更多PaaS範疇，像是雲端資料庫、無伺服器應用、雲端SOAR等，未來都會納入到統一的監控規範中。 雲端資安監控基準的制定，等於統一了金融業所用的雲端服務監控指標，形成一套金融業界通用的可觀察性指標，也有助跨機構的監控數據的互通，來強化跨機構的韌性協作或資安聯防。 這兩套新的資安基準，更意味著，金融業通用的資安基準涵蓋範圍，從傳統的VM型應用，延伸擴大到雲原生應用。 <h2>2026年新興技術資安指引：AI系統安全防護及檢測和PQC遷移資安指引</h2> 資安基準的調整是為了因應金融IT現代化的發展，金融主流IT技術，從VM型應用，轉向了容器應用為主的雲原生浪潮。而另外針對新興科技的發展，金管會更積極要在2026年，訂出兩套新興技術的資安參考指引，包括了AI系統的安全防護及檢測參考指引，以及後量子演算法遷移的參考指引。 針對「AI系統安全防護及檢測參考指引」，將是一套涵蓋從系統設計到服務提供等AI生命週期的治理機制，金管會計畫參考國際組織OWASP 的生成式AI 安全性專案、AI進階威脅框架MITRE ATLAS 等國際AI資安框架的安全設計及檢測機制。 而後量子密碼則已在2025年7月找來少數金融機構，設立先導小組，目前正在持續進行密碼學技術清單的建立，也會建立相關業務風險的評估機制等。金管會同樣預定在2026年發布金融業PQC遷移的參考指引。 這兩項參考指引同樣領先各產業主管機關，勢必成為其他產業跟進的參考目標。不只金融業者，就連其他產業或相關資訊業者，這兩份指引都相當值得參考。 <h2>2026年新金融IT委外措施：供應商分級及委外資安責任參考範本</h2> 早在2019年，金管會修正金融委外規定，開放金融業可以上雲，2023年更進一步鬆綁，放寬金融上境外公雲的規範。這是過去幾年最重要的兩次金融委外辦法修正，也促成了臺灣金融產業的上雲潮。 2026年，金融委外辦法即將再一次的重大修正，金管會要訂定委外資安責任參考範本，針對銀行與第三方供應商的委外契約，訂出參考範本。不是採取一體適用的契約，而將針對金融產業特性、供應商所接觸的系統類別、資料敏感度等面向來提供不同資安責任等級的參考委外契約，這等於也訂定了一套新的金融IT供應商分級管理制度。 這份契約範本預計涵蓋資安服務水準會議(SLA)、資料保護責任、對於資安事件之通報時限及資安風險揭露等，另外也會要求供應商必須提供軟體產品的軟體物料清單（SBOM），違反的業者將有罰則。這個措施，賦予了供應鏈透明化要求的法源，影響不只金融業者，而擴大到與金融業有往來的所有第三方IT供應商。 <h1>2026年金管會新增的重點資安監理要求</h1> <ol> <li> <h3>明定資安長權責，每年，資安長必須到董事會報告前一年資安執行情況。</h3> </li> <li> <h3>金融業要建立軟體供應鏈安全機制，如SBOM表。</h3> </li> <li> <h3>零信任架構成為必備，優先導入六大高風險場域</h3> </li> <li> <h3>2026訂定新金融資安基準：API安全基準、容器服務監控基準</h3> </li> <li> <h3>2026公布新興技術資安指引：AI系統安全防護及檢測參考指引、PQC遷移資安指引</h3> </li> <li> <h3>2026年新金融IT委外措施：供應商分級、委外資安責任參考範本</h3> </li> </ol> <h3>資料來源：金管會</h3> </div></div></div>
1/27 09:29作者王宏仁https://www.ithome.com.tw/news/173594
以信任與韌性驅動金控整併，台新新光金的萬億資產防線
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">在台新與新光金控合併進入關鍵階段之際，資安不只是技術層面的防護工作，而是牽動治理、信任與成長節奏的核心戰略。身兼台新新光金控與台新銀行資安長的陳詰昌，正站在這場整併工程的樞紐位置，負責整合攸關營運穩定的「數位大腦」，讓資安成為支撐金融創新的力量，而非阻力。 出身警界，長年投入科技犯罪偵查的背景，陳詰昌對攻防對抗與威脅演化有高度敏銳度，也形塑了他的資安管理理念：風險從來不是靜態問題，而是一場持續變動的管理課題。陳詰昌接手偵辦第一銀行和遠東商銀的資安事件，進入金融體系後，他認為資安長更重要的任務是：將複雜的風險轉譯為組織能理解、能決策的語言，並在其中建立共識與信任。 這樣的思維，正好呼應台新與新光合併所面臨的挑戰，整併不只是系統與制度的對齊，更是一場文化與治理的深度融合。陳詰昌認為，關鍵不在於誰併誰，而是如何重新界定整個集團可承受的風險邊界，建立一套能被共同理解與接受的資安治理語言，避免原本獨立的體系在整合過程中彼此掣肘。 金控整併的資安棋局，追求一致性與協同綜效 隨著台新與新光兩大體系正式進入整併深水區，資安不再只是系統層面的技術工程，而是一場牽動治理邏輯、組織文化與長期競爭力的全局棋局。身為台新新光金控資安長，陳詰昌此刻的核心任務，是在高度複雜的集團架構中，建立一致的資安治理基礎，同時催生市場與經營團隊期待的整併綜效。 在他的定義裡，一致性不等於一模一樣。金控治理追求的，並非要求所有子公司使用相同系統，而是先建立集團層級的控制框架與風險口徑，讓銀行、證券與保險能以同一套「風險語言」溝通。這套語言，必須清楚界定風險胃納、關鍵風險指標與衡量方式，確保風險能被看見、被理解，也能被管理。 這樣的思維，來自他對金融業務本質差異的深刻體認，證券講求毫秒級的極速交易，壽險重視長達數十年的資料穩定性，銀行則介於即時性與穩定性之間，若強行以單一標準套用所有事業體，反而可能製造新的風險。 他提出以「基準線」為核心的治理原則，要求所有子公司先達到一致的基本資安水準，再依業務特性向上加嚴，讓整體防禦維持完整，同時保有彈性。 在整併最受關注的綜效議題上，陳詰昌選擇從能力的集中化著手，資安監控中心的集中，不只是成本考量，而是讓成熟度最高的單位成為集團的經驗引擎，將銀行累積的威脅獵捕與事件應變經驗，快速轉化為流程與規則，擴散到證券與保險子公司。對他而言，真正的綜效，不在帳面縮減，而在能力是否可以複製與放大。 在具體時程上，整併節奏相當清楚。去年7月24日，台新與新光金控已完成合併；同年11月投信率先整併；今年元旦人壽完成合併，4月證券接續整合；規模最龐大、系統最複雜的銀行體系，規畫於2027年元旦完成系統整合。系統選擇上，他採取取長補短的策略，銀行以台新系統為核心，證券則保留元富在交易速度與機房配置上的優勢，同時導入台新的治理制度。 在行動銀行、開放API與跨境服務成為常態的環境下，陳詰昌對資安的期待早已超越「不被攻破」。他更重視的是，一旦事件發生，服務是否仍能維持、組織是否能快速復原。這種「韌性」思維，讓身分識別、設備驗證與資料保護成為可重複使用的基礎能力，也讓營運持續與備援演練成為對市場與客戶的承諾。 重新定義資安長的角色，從技術防衛到風險治理 2022年，陳詰昌先接任台新銀行資安長；之後，肩負起台新新光金控資安長的重任。對他而言，不只是職稱升級，而是責任尺度與視角的根本轉換。在高度依賴資訊系統、同時承載市場信心與監理壓力的金融業，一起資安事件的衝擊，往往超越系統本身，直接考驗組織的治理能力與信任基礎。 因此，上任後他並未急著強化單點防禦，而是先試圖改變組織「如何看待資安」。金控是一個由銀行、保險、證券、委外服務與供應鏈交織而成的風險共同體，資安如果仍停留在防火牆或端點防護層次，終將失焦。他認為，真正有效的資安，必須上升到治理層級，成為董事會能監督、高層能討論，並與集團風險胃納緊密連動的管理議題。 在這樣的框架下，資安不再只是門檻，而是一項支撐業務成長的能力。陳詰昌認為，資安長的關鍵不在踩煞車，也不在技術有多深，而在能否將技術風險轉化為業務影響，並在跨部門之間建立共識。真正考驗資安長的，往往不是是否被入侵，而是在事件前後，是否具備風險溝通與危機領導的能力。 這個觀點，來自他從警界轉戰金融的深刻體悟。過去在偵查單位，核心任務是證據保全與追查嫌犯；但在銀行，首要目標是營運持續，必須在最短時間內恢復服務、控制影響範圍。他坦言，銀行不是辦案單位，不必追求完美的證據鏈，對客戶而言，服務不中斷才是關鍵。 因此，他在策略層面明確指出，企業資源有限，不可能做到零風險，與其追求百分之百防禦，不如確保組織不會成為駭客鎖定攻擊的軟柿子；一旦遭遇攻擊，具備快速復原的能力。 <hr /> <img alt="" src="https://s4.itho.me/sites/default/files/images/0122-CISO-600-1.jpg" style="width: 600px;" /> 攝影／洪政偉 <hr /> 讓董事會看懂資安的「紅綠燈」 在陳詰昌的資安治理哲學中，溝通從來不是附加任務，而是資安長的核心職責。他直言，資安長若不主動走向高層，資安議題將被侷限在技術部門，影響力只會愈來愈小。 他上任的第一年，擬定資安政策時，便刻意將「資安長每年須向董事長報告，並提交董事會核可」正式寫入制度，為資安治理爭取一個固定且可被監督的決策位置，而非臨時性的簡報場合。 這樣的設計，並非只是為了預算或資源，更重要的是建立一條理解彼此期待的溝通管道。董事會關心的從來不是防火牆或惡意程式的技術細節，而是風險是否可控、投入是否產生效果。 為了縮短這項落差，陳詰昌刻意放棄過於複雜的量化風險模型，轉而採用美國NIST的網路安全框架（CSF）並加以簡化，轉成一套高層能直覺判讀的管理指標。 這套指標就是他口中的「資安治理紅綠燈」，將原本技術性的數據，如防毒覆蓋率、VPN開放狀態或中毒告警數量，重新編排成紅、黃、綠三種燈號，讓風險狀態一眼可見。 他分享，自從紅綠燈機制上線後，經營團隊在會議中只需聚焦亮起紅燈的項目，要求相關單位限期改善，資安長反而不必再花大量時間解釋背景。透過這樣的轉譯，資安治理從抽象的專業語言，轉變為可追蹤、可檢視的管理績效。 這種量化與可視化的治理方式，讓資安更自然地進入企業永續的討論脈絡。陳詰昌主動將資安與ESG連結，特別是在「社會責任」層面，他認為提供穩定、安全、不輕易中斷的金融服務，本身就是對社會最直接的承諾。 談到韌性，他刻意將其與傳統的營運持續管理（BCM）區隔開來。在他的定義中，營運持續管理多半針對地震、水災等已知風險進行事前準備；而韌性，則是組織在面對未知衝擊時，是否具備快速決策與即時應變的能力。這種能力，來自資訊透明度、制度成熟度，也來自高層在關鍵時刻是否願意承擔風險、果斷下判斷。 他坦言，推動營運持續管理的過程並不輕鬆。初期，不少業務單位仍將其視為IT或資安部門加諸的負擔，而非自身責任。為了扭轉認知，他花了近三年時間反覆溝通，強調營運持續的核心不在於昂貴的系統備援，而在於業務能否在危機中存活。他甚至引用海外子公司的案例說明，即使在系統失效時，透過人工流程或傳真維持基本服務，也是一種務實可行的營運持續方案。 這種不迷信技術、回歸業務本質的做法，逐漸獲得風控與業務等不同單位的認同，讓營運持續管理從資安部門的專案，轉變為全組織共同承擔的責任。在陳詰昌的治理藍圖中，資安並非追求零事故的理想國，而是一套能量化、能討論，能在不確定中支撐決策的管理工具。 跨界者如何打造資安的信任工程 回憶剛接任台新銀行資安長的前100天，陳詰昌最大焦慮並非技術能力不足，而是難以在龐大的銀行和金控架構中看清全貌。他認為，資產若不可見、權責不清楚，再先進的防護工具都可能淪為空中樓閣。 這樣的體悟，與他在警界養成的實戰思維密切相關。過去從攻擊者角度出發，思考事件如何發生、如何擴散；在進入金融業後，他格外重視資安治理的可視化與制度化，因為金控內部橫跨資訊、法遵、稽核與業務單位，若缺乏清楚分工，事件發生時反而容易彼此牽制。 因此，他上任後率先推動跨部門協作，並引入「RACI」權責概念，釐清誰負責（Accountable）、誰執行（Responsible）、誰被諮詢（Consulted）、誰被告知（Informed），將重大資安事件中的指揮、執行、通報與查核角色事前定義清楚，而非事後才追究責任。他強調，這不只是流程設計，更是一種文化轉向，希望團隊在危機來臨時，第一時間思考的是如何完成任務，而不是責任歸屬。 這套治理邏輯更延伸到金控子公司之間，不同業務屬性，對風險的感知自然不同，唯有在認知與通報節奏上取得一致，整體韌性才能成立。透過反覆演練與實際事件回饋，集團逐步建立起共同的資安語言。 陳詰昌認為，內部治理是打底工程，對外聯防是最具辨識度的實踐。他是國內金融界首位推動與調查局簽署合作備忘錄的資安長，並將警界人脈轉化為防詐能量，例如透過刑事局的DNS RPZ機制，加速攔阻與下架詐騙網站。他估算，過去單一銀行處理一個詐騙網站，往往耗費五、六萬元與兩、三天時間，但聯防機制不僅速度更快、成本更低，也能為民眾提供更即時的保護。 在他眼中，這種合作從來不是單向支援，是建立在互信上的雙贏關係：警政單位更理解金融實務，企業則取得即時情資與處置管道。這更促使台新新光金控加入 FIRST等國際組織，持續強化CSIRT能量；與調查局共同進行的駭侵演練，則讓資安、風控與業務單位在實戰中，理解營運持續的真正意義。 這樣的溝通能力，在台新推動「虛擬資產信託試辦案」時發揮了關鍵作用。當業務單位對區塊鏈、私鑰與密碼學感到陌生甚至不安時，陳詰昌不僅參與研究，更站在業務立場，用白話拆解風險與可行性。 面對主管機關在閉門會議中專業而尖銳的提問，他能精準回應，即時把複雜技術轉化為可治理的制度設計。他表示，當業務單位意識到資安長既懂技術、也懂商業時，資安便不再是創新的阻力，反而成為新業務得以前行的「托底力量」。 談到對後進的期許，陳詰昌引用巴菲特的「雪球理論」，鼓勵年輕人找到自己的斜坡與濕雪，選對方向、持續累積，讓時間成為放大器。他借用《納瓦爾寶典》的概念，提醒資安工作者要「把自己產品化」，將一次性的付出，轉為可重複交付的價值。從警界走到金控資安長，陳詰昌自己，正是那顆持續滾動的雪球。 <hr /> CISO小檔案 陳詰昌 台新新光金控兼台新銀行資安長 學經歷：臺灣科技大學資訊工程碩士班畢業，任職警察時，工作內容囊括資訊科技到外勤，一路從基層員警到擔任刑事局偵九大隊隊長、數位證據股股長、科技研發科技正、刑事局刑事資訊科科長，於2022年擔任台新銀行資安長，後續接任台新新光金控兼台新銀行資安長一職 攝影／洪政偉 <hr /> <img alt="" src="https://s4.itho.me/sites/default/files/images/0122-CISO-300.jpg" style="width: 300px;" /> 公司檔案 台新新光金控公司 ●成立時間：1992年3月23日正式營業 ●公司演變：2025年7月24日台新與新光金控進行合併，台新金控為存續公司，新光金控為消滅公司 ●子公司整併歷程：2025年11月台新投信完成整併；2026年元旦新光人壽完成合併；今年4月台新證券和元富證券完成整合；2027年元旦完成台新銀行和新光銀行系統整合 ●董事長：吳東亮（台新新光金控、台新銀行） ●總經理兼發言人：林維俊 ●資訊長：孫一仕 ●資安長：陳詰昌 資安部門檔案 ●成立時間：2018年 ●部門主管：部長 ●直屬主管：資安長陳詰昌 ●資安部門人數：22人 資安大事記 ●2025/12/26：自建金融專用大語言模型「台新新光腦」，臺灣第一個由金融機構自建並部署於地端環境的金融專用繁體中文大型語言模型，榮獲由亞洲企業商會（Enterprise Asia）主辦的2025年「國際創新獎」（IIA）《服務與解決方案》類別殊榮 ●2025/3/25：攜手北檢簽署「戰神專案」防詐合作備忘錄（MOU），提前預警通報並預控潛在高風險帳戶，共同攜手打擊重大詐騙案件 ●2024/11/01：參加「2024台北金融科技展」，透過「智慧型徵信報告服務模組」監控授信品質與風險管控；將台新「AI智慧通」導入企業網路銀行的智能客服；運用AI偵測及大數據分析建立「戰神模型」防詐機制，協助實體分行及數位通路建立防詐網路 ●2023/05/11：號召38家金融機構團結提升防詐行動力，參加「金融業打擊詐欺高峰會」，台新銀行自2021年至2023年第1季，共成功阻攔557件詐騙案，金額達新臺幣2億9906萬元 ●2022/12/19：台新金聯手刑事局共創資安聯盟，與刑事局簽署合作意向書（MOU），「金融科技偕阻詐，資安聯防齊擋駭」進行阻詐合作專案，包括「資安智慧聯防」加速釣魚網站及惡意APP下架；將台新全臺的ATM嵌入「科技犯罪與駭侵事件預警」預警情資機制，協助降低警示戶數及詐騙金額 ●2022/11/1：與法務部調查局簽訂「國家資通安全聯防與情資分享合作備忘錄（MOU）」，調查局首次與金融機構簽署資通安全合作備忘 </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0122-ciso-9601.jpg" width="960" height="420" alt="" title="台新新光金控兼台新銀行資安長陳詰昌" /></div></div></div>
1/22 09:00作者黃彥棻https://www.ithome.com.tw/people/173514
整合防護端點、網路、郵件、SaaS，Cynet支援雲與地端部署
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/cynet_console1-main.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">若要更徹底保護個人電腦、伺服器與行動裝置，許多企業已體認到單靠防毒軟體與網路防火牆是不夠的，抱持<a href="https://www.ithome.com.tw/news/159828">「預想被駭（Assumed Breach）」</a>的思維去推動所有資安工作，是更務實的做法，為了能夠涵蓋事前與事中偵測，以及事後應變，端點偵測與應變系統（EDR）、延伸偵測及應變系統（XDR）、網路偵測及應變系統（NDR）等類型的解決方案，在資安市場大行其道，而在業務與服務模式的創新上，為了減輕企業沉重的資安維運負擔，交由資安廠商負責的全天候代管型偵測及回應服務（MDR）也應運而生。 這些解決方案我們統稱為威脅偵測與應變平臺（TDR），根據最新版<a href="https://www.google.com/url?sa=t&source=web&rct=j&opi=89978449&url=https://www.ithome.com.tw/news/123912&ved=2ahUKEwig2cOpoIKRAxW1j68BHQPGAhYQFnoECB4QAQ&usg=AOvVaw3wszEM_hwvYNDgFi4H8T50">臺灣資安市場地圖</a>的統計，國內外廠牌多達65家，不僅有老牌廠商極力鞏固這個領域的市場與技術應用經營，也成為新進廠商展現資安實力的最佳舞臺。一般而言，各界也會參照MITRE組織舉辦的ATT&CK Evaluations結果，雖然2025年資安評測進行的過程中，<a href="https://www.ithome.com.tw/news/171408">微軟、Palo Alto Networks、SentinelOne陸續宣布退出</a>，最終仍有11家廠商參與，這當中有6家已連續參與5年，絕大部分均為屹立市場多年，僅有幾家是新創公司，現在我們所要介紹的Cynet正是其中之一，因為單就<a href="https://evals.mitre.org/results/enterprise?vendor=cynet&evaluation=er6&scenario=1&view=individualParticipant">2024年</a>與<a href="https://evals.mitre.org/results/enterprise?vendor=cynet&evaluation=er7&scenario=1&view=individualParticipant">2025</a>年而言，該公司的解決方案均有相當優異表現。 <img alt="" src="https://s4.itho.me/sites/default/files/images/Cynet%20MITRE%202024.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/Cynet MITRE 2025.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cynet%20MITRE%202025.jpg" style="width: 298px;" /></a> Cynet是成立於2015年的以色列資安廠商，2022年中華數位<a href="https://www.softnext-inc.com/news_main.html?pg=8&tag=t2&nid=1087">引進臺灣</a>，2023年10月臺灣資安市場地圖將Cynet納入Threat Detection & Response類別，2025年6月漢領國際宣布<a href="https://www.jas-solution.com/latest/latest-news/618-cynet-news">代理這個品牌</a>，並在臺灣雲端大會現場向大家<a href="https://www.jas-solution.com/latest/latest-news/619-cynet-news-exhibition">展示</a>Cynet的特色，當月的臺灣資安市場地圖更新，也將Cynet納入6個類別，包含Managed Security Service、Mobile Security、Security Incident Response、Endpoint Prevention、Cloud Native Security、Security Orchestration, Automation and Response。 <a href="https://s4.itho.me/sites/default/files/images/Cynet Packages.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cynet%20Packages.png" style="width: 398px; float: right;" /></a> 相較於市面上既有的TDR廠商，Cynet最大特色是一口氣提供多種資安功能，這套平臺是以<a href="https://www.cynet.com/platform/endpoint-security/">EDR</a>為核心，結合<a href="https://www.cynet.com/platform/network-user-security/">NDR</a>、<a href="https://www.cynet.com/platform/xdr/">XDR</a>之餘，也同時提供內建<a href="https://help.cynet.com/en/articles/44-nextgen-antivirus">次世代防毒技術（NGAV）</a>的端點防護平臺（EPP）、<a href="https://help.cynet.com/en/articles/80-uba-rules">使用者行為分析（UBA）</a>、<a href="https://help.cynet.com/en/articles/73-cloud-saas-security-posture-management">雲端資安組態管理（CSPM）與SaaS資安組態管理（SSPM）</a>、<a href="https://help.cynet.com/en/categories/49-cynet-360-mobile">行動威脅偵測（MTD）</a>，以及<a href="https://help.cynet.com/en/articles/77-soar">資安調度指揮、自動化與應變（SOAR）</a>，<a href="https://help.cynet.com/en/articles/75-centralized-log-management">事件記錄集中管理（CLM）</a>。 <a href="https://s4.itho.me/sites/default/files/images/Cynet EDR-JSLEAD.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cynet%20EDR-JSLEAD.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Cynet NDR-JSLEAD.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cynet%20NDR-JSLEAD.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Cynet Incident View.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cynet%20Incident%20View.jpg" style="width: 600px;" /></a> 而且在Cynet供應的三種產品形式裡面，全都內建欺敵技術（Deception），中階Elite版與高階的All-in-One版，均包含24x7的MDR服務CyOps（Cynet Operations Center），團隊成員涵蓋資安分析師、威脅獵捕人員、資安研究員、鑑識專家與事件回應人員，提供電話與電子郵件支援。 就不同版本的功能搭配項目而言，Cynet在最基本的Protect版當中，預設提供EDR、EPP、NDR、UBA；到了Elite，用戶可選購<a href="http://help.cynet.com/en/articles/73-cloud-saas-security-posture-management">SSPM與CSPM</a>、<a href="https://www.cynet.com/platform/xdr/">XDR</a>、<a href="https://www.cynet.com/platform/soar/">SOAR</a>、<a href="https://www.cynet.com/platform/clm/">CLM</a>，以及網頁內容過濾、身分威脅偵測與應變（ITDR）、外部攻擊面管理（EASM）、鑑識資料保存； <a href="https://s4.itho.me/sites/default/files/images/Cynet SSPM-JSLEAD.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cynet%20SSPM-JSLEAD.jpg" style="width: 600px;" /></a> All-in-One內建SSPM與CSPM、XDR、SOAR、CLM、ITDR、EASM，額外提供<a href="https://help.cynet.com/en/articles/270-email-security-overview">電子郵件安全</a>、<a href="https://help.cynet.com/en/articles/272-endpoint-vulnerabilities-management">端點安全組態管理（ESPM）</a>。至於MTD，則是三種版本均可選購的功能。 <a href="https://s4.itho.me/sites/default/files/images/Cynet EMAIL SEC2-JSLEAD.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cynet%20EMAIL%20SEC2-JSLEAD.jpg" style="width: 600px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Cynet-ESPM-JSLEAD.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cynet-ESPM-JSLEAD.jpg" style="width: 600px;" /></a> 整體而言，Cynet保護的對象相當廣泛，涵蓋端點電腦與伺服器（EDR、EPP）、網路與使用者（NDR、UBA）、SaaS與雲端服務（SSPM、CSPM）、電子郵件、行動裝置（MTD），提供自動化處理（SOAR）與資安集中管理（CLM、XDR）。 <a href="https://s4.itho.me/sites/default/files/images/CyOps Service Tier Comparison.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CyOps%20Service%20Tier%20Comparison.png" style="width: 600px;" /></a> <h2>支援雲端與企業內部建置，可涵蓋外部電腦與伺服器的保護</h2> 在整體運作上，Cynet如同大多數EDR、NDR、XDR廠商，主推SaaS雲端管理架構，而在企業列管的個人電腦與伺服器上，<a href="https://help.cynet.com/en/articles/47-supported-operating-systems">需安裝Cynet 360代理程式（端點感測器軟體）</a>，目前作業系統可支援Windows、macOS、Linux、iOS、Android這5大平臺，以Windows而言，最舊可涵蓋Windows XP SP3、Windows Server 2003 SP2、Windows Embedded POSReady 7；Linux能支援RHEL 6.10、Ubuntu 18.04 LTS等版本，macOS則是10.15，至於行動裝置，需安裝CISO Kit（支援iOS 10.0、iPadOS 10.0、watchOS 4.3後續版本）或Cynet 360 Mobile（支援iOS 11.0、Android 5.1、Chrome OS）。 <a href="https://s4.itho.me/sites/default/files/images/Cynet SaaS Management.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cynet%20SaaS%20Management.png" style="width: 398px;" /></a> 除此之外，Cynet也支援內部環境（On-premises）的管理模式，能因應無法直接使用雲端服務的企業或組織需求，可在內部網路設立系統管理伺服器Cynet 360 Server，以及基於OpenSearch軟體而成的資料分析伺服器Cynet Analytics。以系統管理伺服器而言，會定期向Cynet雲端服務下載最新威脅情資、特徵碼簽章、偵測規則等資料，至於資料分析伺服器，負責存放檔案監控及系統事件日誌。 所有受到Cynet保護的公司電腦與伺服器，端點代理程式收集的資訊會傳送至企業內部網路建置的Cynet 360 Server處理，不過，漢領國際也提醒，企業若採用內部環境的部署模式，SSPM與CSPM、電子郵件安全、CLM模組將會停用。 <a href="https://s4.itho.me/sites/default/files/images/Cynet-On Premise.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cynet-On%20Premise.png" style="width: 398px;" /></a> 另一種Cynet提供的彈性部署方法，是在企業防火牆DMZ區域設立<a href="https://help.cynet.com/en/articles/166">流量路由器（Traffic Router）</a>，須直接對外連線至Cynet雲端管理平臺，不支援代理伺服器串聯（Proxy Chaining）的連接架構，能同時支援SaaS雲端管理與上述內部環境管理。以前者而言，可針對無網際網路、隔離或封閉的電腦或伺服器，能藉此將端點代理程式收集的資訊轉送至Cynet雲端服務環境的伺服器； <a href="https://s4.itho.me/sites/default/files/images/Cynet TR-In-Proxy-Out-SAAS.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cynet%20TR-In-Proxy-Out-SAAS.jpg" style="width: 398px;" /></a> 至於後者，則是針對企業列管的電腦或伺服器位於外部網路，而且是將Cynet伺服器設置於公司內網的狀況，外部端點可經由Cynet流量路由器轉介，連至企業網路內部的Cynet 360 Server，進行註冊與同步相關資訊的作業。 <a href="https://s4.itho.me/sites/default/files/images/Cynet TR-Out-Proxy-In-On Premise.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cynet%20TR-Out-Proxy-In-On%20Premise.jpg" style="width: 398px;" /></a> 當然，若導入流量路由器的轉接架構，也會影響Cynet部分防護功能運作，漢領國際表示，使用Traffic Router時，欺敵檔案處理（Decoy files）與遠端控制Secure Remote Shell功能將不支援。 <h2>提供整合AI專屬引擎的次世代防毒，以及GenAI警示解說</h2> 在惡意檔案的偵測機制上，Cynet提供多種功能，其中之一是沙箱檢測（Sandbox），資安人員可在管理主控臺左側的動作選單，進一步針對可疑檔案執行安全性的分析。 Cynet提供兩種做法，一是將選定的檔案送至CyOps進行深度檢測，8小時內會回覆分析結果，一是將選定的檔案送至本機系統啟用的動態沙箱Smart Simulation Execution（SSE）進行檢測，這個分析處理僅支援DLL檔與EXE檔。 <a href="https://s4.itho.me/sites/default/files/images/Cynet Sandbox-JSLEAD.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cynet%20Sandbox-JSLEAD.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Cynet Send to Sandbox Analysis-JSLEAD.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cynet%20Send%20to%20Sandbox%20Analysis-JSLEAD.png" style="width: 298px;" /></a> 於AI的技術應用，也是Cynet近期取得的重大突破之一。Cynet在2025年5月宣布自行發展的專屬AI引擎<a href="https://www.cynet.com/platform/cyai/">CyAI</a>，推出重大更新，可強化整個平臺的進階威脅偵測功能，誤判率縮減幅度號稱高達90％，大幅提升資安防禦信心。 透過數百萬個樣本訓練出來的機器學習模型，以及重新設計的AI核心，CyAI提供更強大的準確判斷力與廣泛的網路威脅涵蓋範圍，能夠持續分析所有端點系統存取的每個執行檔，在事故發生過程中，即可迅速捕捉新出現的惡意執行檔，在網路惡意活動造成破壞之前，就能偵測已知威脅與零時差漏洞濫用的威脅，替資安偵測的準確度立下新的標準。Cynet先前也建置雲端回饋循環處理機制Deep Analysis，可促成AI模型的快速改善，確保CyAI持續與時俱進。 <a href="https://s4.itho.me/sites/default/files/images/Cynet EPP-JSLEAD.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cynet%20EPP-JSLEAD.png" style="width: 600px;" /></a> 根據Cynet當時發布的<a href="https://help.cynet.com/en/articles/331-release-notes-v4-27-saas">4.27版更新技術文件</a>指出，CyAI可用於支援Cynet的<a href="https://help.cynet.com/en/articles/44-nextgen-antivirus">次世代防毒功能</a>即時執行，將機器學習的偵測整合到Cynet平臺，提供執行檔的即時分析。而在目前的Cynet用戶指南裡面，列管的Windows端點若啟用核心防毒功能，CyAI也會連帶啟動。 而在11月推出的<a href="https://help.cynet.com/en/articles/352-release-notes-v4-30-saas">4.30版更新</a>，Cynet平臺擴增生成式AI驅動的警示洞察解析，提供更強大的威脅前後文脈絡說明功能，幫助用戶理解相關情況。Cynet表示，管理主控臺的警示將會包含生成式AI產生的描述，能將複雜的技術資料轉譯為易懂的洞察分析資訊，提供聰明的詮釋，協助資安團隊快速理解警示的重要性，加速事故應變與減少分析人員的訓練需求。 <a href="https://s4.itho.me/sites/default/files/images/Cynet GenAI Alert Insights.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cynet%20GenAI%20Alert%20Insights.jpg" style="width: 600px;" /></a> 產品資訊 Cynet Platform ●代理商：漢領國際 ●建議售價：廠商未提供 ●版本：Protect、Elite、All-in-One ●支援作業系統：Windows（XP SP3至11 22H2、Embedded POSReady 7、Server 2003至2025、Azure Local 22H2）、Linux（Ubuntu 18.04 LTS至24.04 LTS、RHEL 6.10至9.6、SLES 15 SP4至15 SP6等）、macOS（10.15以上）、iOS 11.0、Android 5.1、Chrome OS 【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】 </div></div></div>
1/19 18:57作者李宗翰https://www.ithome.com.tw/review/172263
站在兩千萬人通訊背後的防線，LINE與詐騙正面交鋒的數位戰爭
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">走進位於臺北市瑞光路的LINE臺灣辦公室，映入眼簾的是明亮而開放的工作空間，三公尺高的熊大玩偶佇立在門口，氣氛看似輕鬆，卻很難想像，這裡同時也是臺灣最前線的數位戰場。 每天，超過兩千萬名使用者透過LINE傳遞訊息、照片與語音，在這些再日常不過的互動背後，詐騙集團、惡意程式與各式社交工程攻擊，正不斷嘗試鑽入人性的縫隙。 對多數人而言，手機響起只是一則通知，但對LINE臺灣資安長劉威成來說，卻可能是一場詐騙行動的開端，也是能否阻止民眾遭受財務損失、甚至家庭破碎的關鍵時刻。 「資安長這個角色，在LINE其實非常特殊，」劉威成說。除了企業內部防護，他大多數時間都在思考同一個問題：如何讓一個封閉、以隱私為核心的通訊平臺，承擔起社會高度期待的防詐責任。他很清楚，真正的挑戰從來不只是在公司內部，詐騙早已成為臺灣社會共同承受的數位創傷。 一路走來，劉威成歷經開發、營運與顧問等不同角色，逐步形塑出獨特的資安觀點。他始終相信，資安不是阻擋創新的高牆，而是讓組織得以安心前行的基石。真正成功的資安，不在於拒絕了多少需求，而在於如何讓每一個「可以」，都建立在足夠穩固的安全基礎之上。資安的目標從來不是零風險，而是打造一套能快速反應、持續調整的防禦體系。 在法律的支持下，LINE主動承擔打詐任務 詐騙已成為影響全臺灣民眾最深、傷害層面最廣的資安風險。從假投資群組、假親友借錢，到生成式AI偽造聲音與影像，詐騙手法持續進化，而 LINE幾乎無可避免地站在風暴中心。 尤其自2023年起，詐騙模式出現關鍵轉變，詐騙集團不再只仰賴通訊軟體本身，而是先在第三方開放平臺投放廣告，再將受害者一步步引導進LINE的私密聊天與群組中，完成最後的詐騙行為。 在用戶保護上，劉威成指出，LINE始終採取「以人為本」的思維，堅持點對點加密（E2EE）來捍衛使用者隱私，同時也提供裝置綁定、簡訊 OTP 驗證、異常登入偵測與帳號取回機制等工具，強化使用者的自我防護能力。這也意味著，LINE平臺無法、也不能讀取使用者的對話內容。隱私是LINE最重要的底線，卻同時讓詐騙偵測變得更加困難，成為防詐行動中難以迴避的限制。 「在法律上，不能因為『懷疑』就封鎖帳號，」劉威成坦言，必須有足夠證據，才能啟動下架或封鎖機制，但在私密通訊環境中，證據本身就極難取得。這種結構性的矛盾，長期讓通訊平臺陷入兩難：做得太多，容易被質疑侵犯隱私；做得太少，又被指責縱容詐騙。他強調，資安的角色不應是阻止業務，而是協助組織評估風險。當他向日本總部爭取防詐功能時，也必須同時考量使用者理解程度、教育成本與實際使用率。 隨著《打詐專法》的推動，平臺在通知與下架上的責任逐步明確。劉威成表示，LINE在法案研擬期間即主動與主管機關溝通，讓資安團隊在實務操作上有了清楚的法律依據，也讓行動能更快、更有底氣。行動並不代表粗暴執法，他透露，團隊曾在一次行動中封鎖超過7.3萬個假帳號，但在此之前，已反覆進行多次統計特徵分析與模擬，確認不會誤傷正常使用者，特別是合法回收門號。 這樣的決策，不只是技術問題，更是一場關於品牌信任的考驗。一旦誤判，受損的不只是帳號，而是使用者對平臺的信賴。因此，每一次大規模打詐行動背後，都仰賴大量數據分析，以及與總部之間反覆溝通與說服。 即便如此，劉威成仍認為，單一平臺不可能獨力解決詐騙問題。他將資安長的角色定位為橫向防禦體系中的一個節點。 近年來，LINE積極與刑事警察局、數位發展部、NCC及電信業者合作，從網路基礎建設層面提前攔截風險，並導入DNS RPZ機制，在DNS查詢階段即封鎖惡意網域。透過這樣的合作，釣魚網站與惡意程式得以在接觸使用者之前就被阻斷。截至 2025年底，LINE臺灣已主動掃描並通報超過1,200個釣魚網域，試圖在看不見的地方，為這場數位戰役築起第一道防線。 從「一人資安」開始的十年長征 劉威成在大學主修管理學，這樣的背景在多數人眼中，似乎與資訊安全並不直接相關。但他回顧這段求學歷程時坦言，正是管理學的訓練，讓他日後在跨部門溝通與協調上，占了很大的優勢。那是一個網際網路剛起飛的年代，.com熱潮席捲市場，他也順勢進入一家達康公司工作，身兼網管與全端工程師，從伺服器維運、系統架構到程式開發，幾乎一手包辦。 真正改變他人生方向的，是一次嚴重的資安事件。某天，公司伺服器遭到駭客猛烈攻擊，服務幾乎全面癱瘓，他被迫站上第一線，與看不見的攻擊者正面交鋒。他回憶，那不只是單純的技術危機，而是直接衝擊公司營運與客戶信任的關鍵時刻，也讓他第一次深刻體認到，資訊安全從來不只是 IT 問題，而是攸關企業能否存續的核心議題。就在那一刻，他形容自己「一頭栽進資安，回不去了」。 之後，劉威成進入中華電信，在資安相關部門一待就是八年。這段期間，他不只擔任工程師，也歷練過資安產品經理與顧問角色，從防禦架構設計、產品推動、承擔營收壓力，到協助企業導入 ISMS 資訊安全管理系統，幾乎走遍資安產業的不同面向。 這些經驗讓他逐漸看清，資安在不同位置上，面臨的挑戰與責任截然不同，也促使他形成一個清楚的信念：如果資安只被視為成本，它永遠不會被真正重視。 回顧自己在LINE的歷程，劉威成形容，那是一段從「一人部門」走向跨域樞紐的轉變。2016年加入LINE臺灣時，他是公司裡唯一的資安人員，當時既沒有成熟的資安組織，也缺乏完整的流程與制度，所有防禦機制幾乎都是從零開始，一點一滴建立起來。 加入初期，他必須獨自對接日本總部的資安框架，將集團層級的要求落地到臺灣，同時還要深入各個部門，理解實際的業務流程。從帳號安全、詐騙防制，到供應鏈風險與法遵議題，他幾乎一肩扛起所有資安相關任務，角色極其多元。 資安長的核心使命，是支持營運而不是說「不」 十年過去，LINE在臺灣的滲透率已超過九成，成為不可或缺的即時通訊基礎設施；而劉威成，也從LINE臺灣的第一位資安工程師，走到2023年正式接任資安長（CISO），親手打造出一支能與全球總部緊密協作的專業資安團隊。 對他而言，資安長不只是職涯上的一個頭銜，而是一個被賦予清楚期待的角色。他直言，公司設立資安長，不是要多一個「管制單位」，而是希望這個角色能真正支持公司的營運與整體目標。「如果資安無法幫助公司前進，那這個位置就失去了存在的意義。」 這樣的想法，來自他早年在 IT 與網管領域的經驗。他很清楚，不同部門關注的重點並不相同，業務單位追求效率與業績，開發團隊重視速度與彈性。如果資安只是不斷增加限制、否定需求，最終只會被視為阻礙。 他笑說，如果一家公司只有資安部門在做資安，那資安長一定很可憐，平時沒人理你，出了事卻全都要你負責。因此，他為自己設定的角色，更像是合作夥伴，而不是守門員。資安部門的存在，是為了協助其他部門降低風險，而不是製造麻煩。 這種以賦權與協助為核心的思維，也逐漸在LINE內部形成一種雙贏文化。當同事發現疑似風險時，第一時間想到的不是隱瞞或繞過，而是主動討論如何在安全的前提下完成任務。 在劉威成眼中，真正成熟的資安文化，來自信任與透明，而不是恐懼。他始終相信，透明度是建立信任的基石。如果組織氣氛讓員工害怕犯錯，那麼一旦誤點釣魚郵件，最直覺的反應往往就是「蓋牌」，這對整體防禦而言反而是最危險的事。 因此，在LINE內部，只要員工願意主動回報釣魚郵件，不僅會收到資安團隊、甚至資安長本人的感謝，也會獲得後續對攻擊手法的分析說明。 他坦言，這樣的正向回饋機制，讓員工清楚知道，回報不是麻煩，而是有價值的行為；對公司而言，資安防禦也不再是某個部門的孤軍奮戰，而是一種全體動員、共同承擔的企業文化。 <img alt="" src="https://s4.itho.me/sites/default/files/images/01156-CISO-600-1.jpg" style="width: 600px;" /> 攝影／洪政偉 資安事件通報處理的透明美學 走進LINE臺灣的資安世界，如果只用防火牆或漏洞修補來想像，往往會低估這個組織面對風險時的複雜度。 對劉威成而言，真正困難的從來不是駭客本身，而是當事件發生時，資訊能否在最短時間內、以最正確的形式流動，讓整個組織做出一致且有效的回應。 這也是他近年最引以為傲的一項制度轉型：將資安事件應變，從資安部門獨力承擔，轉變為高度透明、分工清楚的團隊作戰。 回顧過去的處理模式，劉威成坦言，那幾乎是一場消耗戰。事件一發生，資安人員除了要修補漏洞、分析攻擊手法，還得同時回應CEO、法務、公關與客服的詢問，資訊分散、壓力集中，反而讓最需要專注技術處理的人疲於奔命。 為了打破這個循環，LINE成立了獨立的風險管理部門（RM）。只要事件被判定為資安事件，指揮權便交由風管部門統籌，立即成立戰情室，將開發、資安、法務與公關等單位納入同一個作戰架構中。 這套制度的核心，在於資訊必須回到同一個中心更新，讓所有人掌握的是同一份事實。資安工程師可以專心處理技術問題，而事件時序、對上回報與橫向溝通，則由風管部門負責。 劉威成指出，這樣的一條龍機制，確保事件能在七十二小時的黃金時間內被有效掌握，法務得以及時評估通報義務，公關也能迅速對外說明，不再出現資訊錯位的混亂。對他而言，這不只是流程優化，而是一種資安治理的「透明美學」。 從失敗中，重塑供應鏈安全防線 真正考驗資安治理深度的，往往不是順利運作，而是面對失敗時的反應。劉威成並不避諱談起2023年那起嚴重的供應鏈事件，當時委外廠商工程師的電腦遭駭，攻擊者甚至繞過VDI驗證機制，成功進入內部環境。這起事件再次提醒他，只要供應鏈存在盲點，再堅固的內部防線仍可能瞬間潰散。 事後，他重新定義供應鏈資安管理方式，將採購、法務與資安整合為任務編組，對供應商進行分級與動態管理。對關鍵供應商，LINE不再只是要求合規，而是直接配發由公司管理的專屬設備與帳號，正式納入零信任架構，同時要求參與資安教育與社交工程演練。劉威成笑說，這等於是把供應商當成「自己人」，連防詐訓練也一起進行。 在AI浪潮中，踩穩煞車與油門 生成式AI帶來效率與創新，也同時放大風險。劉威成沒有選擇以「禁止」回應不確定性，而是嘗試在創新與風險之間建立治理框架。他認為，問題不在於要不要用AI，而在於如何安全地使用。 這樣的思維，促成LINE成立由資料、法務與資安共同主持的「AI管理委員會」，針對不同資料來源與應用情境進行分級審查，確保只有不涉及隱私與版權風險的資料，才能投入AI應用。 對劉威成而言，AI治理的重點不在放慢腳步，而是避免在追求效率時踩過信任與法律的紅線。從戰情室制度、供應鏈零信任，到AI治理架構，他推動的是一種去中心化的資安治理，讓每個角色在正確的時間做正確的事。 資安的終極目標，不是零事故，而是當事故發生時，組織能否冷靜、透明且一致地回應，這正是一位資安長能為企業帶來的最大價值。 <hr /> CISO小檔案 LINE臺灣資安長劉威成 學經歷：大學念的是管理，畢業後先到.com公司工作擔任網管與全端開發工程師，後在中華電信資安部門工作八年，歷任工程師、資安產品經理與ISMS顧問；2016年成為LINE臺灣第一位也是唯一一位資安工程師，負責對接總部資安事宜；2023年接任資安長一職迄今 <img alt="" src="https://s4.itho.me/sites/default/files/images/01156-CISO-600-2.jpg" style="width: 300px;" /> 公司檔案 ●臺灣連線公司（LINE Taiwan） ●臺灣成立時間：2014年6月19日。 ●公司演變：LINE與Yahoo Japan及多家其他公司組織重整，於2023年10月1日起更名LY Corporation，對用戶服務保持不變 ●公司地址：臺北市內湖區港墘里瑞光路333號7樓 ●董事長兼執行長：陳立人 ●用戶數：超過2千萬臺灣人安裝 資安大事記 ●2015年：LINE資安漏洞回報獎金計畫 ●2016年：LINE文字跟位置資訊導入Letter Sealing點對點加密；發布第一版加密白皮書，供外部檢驗產品加密機制安全性 ●2017年：開始舉辦年度全民資安訓練；LINE總部成立跨國緊急應變小組（CSIRT）；發布LINE透明度報告；推動全民防詐訓練─LINE防詐保密不求人feat盧廣仲 ●2018年：LINE成為全球首家取得「FIDO通用伺服器認證」（FIDO Universal Server Certification）的網路服務供應商；推動全民防詐訓練─LINE防詐神探 ●2019年：LINE Becks資安社群聚會啟動；全民防詐訓練─LINE真相搜查線；數位當責計畫啟動；LINE訊息查證官網上線 ●2020年：LINE iPad版導入FIDO生物識別驗證 ●2021年：全球用戶強制開啟Letter Sealing點對點加密；推出LINE CTF資安競賽；攜手iWIN宣布「兒少網安計畫」 ●2022年：LINE臺灣取得ISO 27001與ISO 27701資安與個資雙認證；獲頒BSI資訊韌性精銳獎；LINE臺灣官方帳號推出闖關遊戲「投資航海冒險家」 ●2023年：主動掃蕩於外部廣告平臺刊登投資廣告的LINE帳號；開啟與刑事警察局防詐通道，合作處置涉及投資詐騙的違法帳號。至2024年10月底為止，總共停權10,451個涉詐帳號 ●2024年：與TWNIC和三大電信建立產業聯防機制，主動掃蕩與通報寵物投票等釣魚網站；推出聊天室警語功能，提醒使用者詐騙風險；與數發部合作，推出「防詐動態警報；產官聯防，快速自動化處理詐騙通報機制上線。至2025年底為止，主動掃描與通報超過1,200個釣魚網域 ●2025年：與刑事局合作停權7.3萬個高風險門號LINE帳號；推「再次登入」功能，協助用戶取回被盜帳號；推「偵測可疑網站」功能，協助用戶辨識釣魚網站；公布2025 LINE詐欺防制透明度報告；產官聯防，快速自動化處理詐騙通報機制 </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/01156-ciso-960.jpg" width="960" height="420" alt="" title="LINE臺灣資深資安長劉威成　（攝影／洪政偉）" /></div></div></div>
1/16 18:56作者黃彥棻https://www.ithome.com.tw/people/173419
手機、雲端、IoT、AI應用接連爆發，身分管理大失控狂潮來襲！
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">根據2025年10月公布的<a href="https://r.itho.me/25svcyb">《iThome 2025 CIO & CISO大調查報告書資安篇》</a>，臺灣企業與組織的前三大機密性資安風險，依序為個人資料外洩、機敏資料外洩、內部人員（現任或前任員工）發動攻擊，前三大完整性資安風險，依序為網路釣魚／社交工程手段、資安漏洞（如零時差漏洞攻擊）濫用、商業郵件詐騙（BEC），絕大多數都跟身分安全有關；然而，在各種資安防護技術的採用率上，身分存取與管理（IAM）排名第八，就產業類型而言，金融業與服務業較重視這類技術的投資，有超過與逼近一半的公司表示，他們有意持續強化IAM。 <h2>機器身分數量暴增，企業若無法有效管理，恐將成為資安大患</h2> 身分安全顯然很重要，然而，企業與組織面臨的挑戰越來越巨大。根據資安廠商CyberArk去年發布的<a href="https://www.cyberark.com/press/new-cyberark-research-rapid-growth-of-machine-identities-ai-adoption-and-cloud-native-innovations-leave-organizations-more-vulnerable-to-attacks/">報告</a>，有一半的企業資安領導者表示，他們因為<a href="https://www.cyberark.com/what-is/machine-identity/">機器身分（Machine Identity）</a>遭駭，導致發生資安事故，而且，超過一半的比例預估未來一年機器身分的數量<a href="file:///C:/Users/user/Downloads/New%20CyberArk%20Research:%20Rapid%20Growth%20of%20Machine%20Identities,%20AI%20Adoption%20and%20Cloud%20Native%20Innovations%20Leave%20Organizations%20More%20Vulnerable%20to%20Attacks">將成長50％</a>。綜合該公司近幾年定期揭露的身分安全情勢報告當中，我們也可以看到機器身分與人員身分（Human Identity）數量的比例巨大變化，從<a href="https://www.cyberark.com/press/cyberark-report-massive-growth-of-digital-identities-is-driving-rise-in-cybersecurity-debt/">45比1</a>暴增至<a href="https://www.cyberark.com/press/machine-identities-outnumber-humans-by-more-than-80-to-1-new-report-exposes-the-exponential-threats-of-fragmented-identity-security/">82比1</a>，單就金融業而言，比例高到<a href="https://www.cyberark.com/resources/blog/the-cybersecurity-investment-most-organizations-are-failing-to-secure">96比1</a>，以國家地區來看，英國甚至達到100比1。 <a href="https://s4.itho.me/sites/default/files/images/CyberArk 2025 Report1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CyberArk%202025%20Report1.png" style="width: 600px;" /></a> 何謂機器身分？CyberArk亞太及日本區業務工程副總裁霍超文（Jeffrey Kok）表示，基本上，只要不是有人操作、有人使用的身分，都是屬於機器身分，為什麼機器身分需要特別獨立看待？因為人可以更改密碼、人可以用多因素驗證（MFA），但機器並不能這麼做，傳統的控制在此並不存在。 而且，研發或開發新系統的方式也改變了，目前已經有很多系統是基於Kubernetes、Serverless、Microservices等架構而成，這些應用系統都需要有身分來對接，不論是與人、行動App，或者與後端的其他服務對接，所以才會產生大量機器身分。 而且，引進App的速度越來越快，很多企業採用的SaaS雲端服務也越來越多。以前沒有SaaS，企業開發一個App可能需要一年半載，有了SaaS的存在，現在企業可以快速引進5或10個App。 霍超文說，改變最大的就是AI，過去機器的身分是固定的，每個App提供專屬的功能，到了AI領域，功能更多元，可做的事情很多，可以產生其他AI的身分，而且，AI身分也遠遠超越一般的機器身分，因為它不僅可以自行建立、也能自己產生，也可以透過代理人的身分執行工作，因此，造成機器身分數量高速爆發。 機器身分之所以大量增加，也和不同系統的連接有關，例如，App與App的對接、App與AI的對接，因此，身分數量更是倍增。舉例來說，企業原本有10個應用系統，若增加到20個，增加的身分數量可能不只10個，因為這些系統彼此連接，所以又會產生更多身分，甚至呈指數增加。 事實上，很多企業無法充分識別本身掌管的身分，霍超文說，向CIO詢問公司管理的身分數量時，對方通常可以回答，不過，對於AI身分與非AI身分的數量，可能就無法回答，因為兩者很難區分。而且，更大的問題在於，有些企業並未妥善管理機器身分，所以他們無法掌握身分數量。若從人員身分來看，當CIO被問到公司的員工，他通常都會很明確知道數量與所屬部門，但若被問到機器，可能就不清楚了，部分原因在於他不一定清楚知道它們的存在，然而，無法掌握機器身分也是一種資安風險。 <a href="https://s4.itho.me/sites/default/files/images/CyberArk-Jeffrey Kok-iThome-3-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CyberArk-Jeffrey%20Kok-iThome-3-web.jpg" style="width: 600px;" /></a> 為了避免身分安全態勢陷入越來越混亂的局面，企業該怎麼做？霍超文建議，先了解問題，我們才可以提供正確的策略、優先順序、流程，而且，必須了解管理身分的方式，一些大型企業早就開始著手解決這類問題，因此，他們能夠明確知道自己掌管的身分。 除此之外，企業需要透過多元的方式去處理身分管理。首先，公司的領導階層要了解這個議題的重要性，尤其是董事會必須有足夠的認知，因為董事會若能提出這類問題，CIO就必須做足準備才能回答。 在組織底層運作的部分，相關人員必須知道如何妥善管理與設置機器身分；公司的稽核與治理也扮演重要角色，例如，稽核人員必須能提出正確的問題，否則相關人員對於身分議題的處理，不會採取主動、積極態度，也不會有後續追蹤，而且，稽核人員都是依據法規的要求行事，以中國為例，假設銀監會（中國銀行業監督管理委員會）未要求管理身分，銀行不一定會主動解決問題。 霍超文說，很多國家法規治理的要求都已經擴大解釋，先前政府可能僅要求企業管理人員的身分，但現在也開始要求要同時管理非人的身分<a href="https://www.cyberark.com/what-is/non-human-identity/">（Non-human Identities，NHI）</a>，所以這是整個生態環境都需要關注的發展面向，如此一來，才會提高企業對機器身分的管理能力，進而控制它的風險，否則會有越來越大、越來越多的問題發生。 身分管理是企業不能忽視的議題，霍超文提醒，越晚開始著手管控，問題會越來越大，相反地，越早導入好的流程，至少企業能夠瞭解身分的問題嚴重程度，更充分掌握管理不足之處，也能採用好的技術，協助減低管理負擔。 <h2>導入最佳實務，重新建立更強固的身分安全系統</h2> 除了平時及早做好事前準備，該如何做好身分安全的事中應變與事後矯正？霍超文談到他們幫助客戶的方式。當企業察覺本身受到網路攻擊的時候，首先會啟動事故應變的程序，設法控制攻擊者所能存取的範圍，將攻擊者從自家環境驅離，後續若要進行威脅的緩解，就會開始啟動事故矯正的程序，並與事故應變相互配合。 過程中，企業勢必要重新產生「乾淨」的身分系統，若非如此，受到「汙染」的部分可能會繼續存在，資安廠商也會納入正確的處理流程與解決方案。此時企業該如何自建、從何處著手、運用哪些概念？霍超文說，CyberArk在九年前已經開始跟大家分享應該怎麼考量，因應環境的快速變化，他們每年都更新相關概念、處理方式、優先順序，以及散布的作法，而且，這些工作CyberArk已做了二十多年，也不停地教導客戶可執行的身分安全方法。 他們將這套強化身分防護的最佳實務稱之為<a href="https://www.cyberark.com/zh-hant/blueprint/">CyberArk Blueprint</a>，如果企業要從頭開始強化身分安全，可參考他們提供的設計藍圖，背後包含來自客戶的意見回饋、學習到的教訓，以及事故應變者可以參考的經驗與建議。 霍超文強調，同一套藍圖，不論用於身分系統的重新建置或事故應變、事故矯正等階段，最終仍指向企業如何掌管最重要的部分與去除風險。然而，這也跟各國法規遵循的要求有關，企業一般只需向當局的主管機關申報，不一定要公開所有的細節，相較之下，在美國、新加坡只要遇到與個人識別資訊（PII）有關，企業為了遵循法令，就必須強制披露資訊（Mandatory Disclosure），由於政府對於透明度要求很高，所以企業會公開發布報告，揭露不同時間發生的事情，以及組織人員的活動。 <h2>AI應用大爆發，企業機器身分管理風險升溫</h2> 關於身分安全的管控，霍超文表示，全世界都會面臨這些挑戰，問題在於機率有多大，以及控制力道有多強。以密碼安全為例，理想的做法是強制實施強式密碼，並且用系統去管控，話雖如此，但所有的企業、所有的身分未必都有同樣的識別機制，大部分企業是做不到100％的一致；更何況密碼只是一種身分安全的作法，也可以是API金鑰、數位憑證，企業環境當中存在多種身分，若能妥善管理到90％，已經是產業最佳實務。 事實上，很多企業根本不知道自家公司身分的妥善管理程度，就算是最先進的企業，也可能有疏漏之處，例如可能沒控管新型態或新出現的身分，霍超文表示，對於攻擊者而言，並不需要拿到全部的身分與掌握全部的存取管道，甚至能取得其中一個就夠了。 以幾個月前發生的Salesloft Drift事故為例，多數企業認為採用OAuth這樣的身分存取授權流程應該是安全的，但由於會用到存取權杖（Access Token），一旦這個元件遭到竊取，攻擊者就可以冒用這個授權進行非法存取。 此外，大部分企業也會認為這是廠商層面的資安風險，但不一定能更完整意識到整體的影響範疇。因為廠商提供的應用服務原本應該經由企業知曉的管道進到內部系統，因此，授予的權杖若被用於其他地方，企業又無法識別這樣的異常用途，就會產生風險；相關的存取權杖有效期限如果太長，也是個問題；權杖被用在特定系統的存取，以及所從事的活動，也必須受到監督，因為若是攻擊者拿到權杖，往往會以此做出超過合理範圍的行為。霍超文認為，這些都是企業必須識別的身分使用狀態，也是典型的機器身分管理議題，上述專攻對話式AI和銷售自動化領域的Salesloft Drift也是一種AI應用，所以，AI與機器身分的風險也能在這樣的例子突顯，而且，接下來，這類狀況會越來越多，因為企業對傳統的身分已經提供妥善的保護，但有心人士只需攻擊弱點，而身分管理弱點顯然會相對容易出現在新的系統，像是AI。 霍超文之所以會有這樣的推測，一方面也是因為AI新創公司如雨後春筍冒出，<a href="https://fortune.com/2025/08/13/ai-creating-billionaire-boom-record-pace-now-498-ai-unicorns-worth-2-7-trillion/">市值10億美元以上的企業有接近五百多家</a>，在這些公司提供的解決方案當中，資安或機器身分管理不一定是優先關注的部分，能把產品賣出去是重點，若本身有資安防護的特色，通常是因為客戶不接受安全性不足而加上去的，對於攻擊者而言，這些都是很好的目標或帶來很好的機會，一方面因為客戶很快採用此類產品，另一方面則是解決方案不夠安全。 以2025年開始風行的AI瀏覽器為例，帶來更多方便之餘，也令人擔憂身分委派給AI處理，若使用者遇上提示注入攻擊（prompt injection），後續可能會出現失控與難以預期的危險狀況。霍超文說，因為當我們將權限、密碼、身分交給AI，它怎麼運用？它傳到哪裡？我們是不知道的，而且當你提供這些資訊之後，很多時候無法收回或撤下，因此，若要避免這樣的狀況，可能就是透過<a href="https://www.cyberark.com/what-is/just-in-time-access/">即時身分存取（Just-In-Time Access）</a>來管制，當存取系統時需要通過身分驗證，當下才提供身分或提升權限，或用來驗證身分、授權的權杖、密碼會不停改變，這麼一來，就算這些憑證不小心被洩漏，產生的風險也會受到抑制。 而在AI應用日益普及的狀況之下，企業早已面臨員工自備AI（BYOAI）的管理難題，許多員工想用AI提高工作效率，但公司不開放或提供AI，於是私自採用AI，增加生產力，隨著代理型AI應用的崛起，使用者可能會將公司IT系統的身分委派給AI使用，如果企業無法識別這是本人或AI代理使用，可能也會產生風險。與其讓員工自備AI，CyberArk也看到很多企業加速自身提供AI服務的腳步，促使每個員工都能有自己的AI專案與AI主控臺，以便能控制與管理風險。 <h2>強化整體身分安全，企業必須能實施多元的防護與管理策略</h2> 除了最普遍應用的密碼，CyberArk的2025機器身分安全狀態報告指出，涉及資安事故的六大機器身分類型，分別是API金鑰（34％）、SSL/TLS憑證（34％）、IoT裝置憑證（29％）、SSH憑證（28％）、服務帳號權杖（27％）、密鑰（20％），而且，<a href="https://www.cyberark.com/resources/blog/tls-certificate-validity-cut-to-47-days-what-you-need-to-know">高達72％的組織承認</a>，他們在2024年至少經歷1次憑證相關的事故，發生多次事故的組織比例有34％，有一半組織曾通報發生與機器身分遭駭有關的資安事故或資料外洩。 <a href="https://s4.itho.me/sites/default/files/images/CyberArk 2025 Report2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CyberArk%202025%20Report2.png" style="width: 600px;" /></a> 針對多種身分的管理，霍超文表示，這分成幾個層次：首先，有些身分必須要透過密碼進行驗證，例如，對於電腦、路由器、App，使用者一開始登記或註冊時，一定需要建立一組主密碼（Master Password），因為在特定的狀況下，除了密碼，沒有其他方法能夠認證使用者身分，因為若未設定第一個應用，後續不可能設置FIDO安全金鑰或Passkey，所以，一般都會有這類故障保險（fail-safe）的設置；這組主密碼應該要很長、以亂數產生，並採用安全的保存方式，而且，平時應該不需要用到這組密碼。 接下來是高權限身分的密碼，也需要管控，是由20個或100個大小寫字母、數字、特殊符號組成，以亂數產生，只要系統能夠接受，並將這類密碼保存在保險箱即可，這類密碼平時也不會用到。 至於日常使用的身分，我們可以透過零信任的概念建置FIDO安全金鑰或Passkey。沒通過身分認證之前，使用者沒有得到任何存取系統的權限，一旦通過FIDO安全金鑰或Passkey的認證，系統才能開放權限給使用者。經過多年的發展與推廣，企業與使用者越來越熟悉相關概念，解決方案也越來越普遍。 例如，安卓與蘋果手機先前無法原生保存Passkey，<a href="https://support.apple.com/zh-tw/guide/iphone/iphf538ea8d0/26/ios/26">這幾年來已經陸續內建支援</a>；新的使用者登入<a href="https://support.google.com/accounts/answer/13548313?hl=en">Google</a>、<a href="https://support.microsoft.com/en-us/account-billing/signing-in-with-a-passkey-09a49a86-ca47-406c-8acc-ed0e3c852c6d">微軟</a>等雲端服務帳戶時，使用者可設定Passkey強化身分防護。Passkey不只是出現在消費型應用，企業IT環境也可以運用，很多大型平臺都已支援，FIDO安全金鑰也是如此。霍超文認為IT消費化（Consumerization）是好事，因為一般使用者習慣這些技術、概念、操作流程之後，當企業要在內部環境推動這樣的身分應用新模式時，會變得更加容易。而且，FIDO安全金鑰與Passkey只是身分識別方式的幾種類型，只要企業的應用系統支援單一登入整合（Single Sign-On，SSO），而且，這項集中登入機制支援FIDO安全金鑰與Passkey，企業可跟員工討論要信任何種身分驗證機制，霍超文表示，<a href="https://www.cyberark.com/zh-hant/press/cyberark-elevates-passwordless-experience-with-new-passkeys-authentication/">在蘋果跟安卓還沒有提供相關支援之前</a>，CyberArk就已支援<a href="https://community.cyberark.com/s/article/Does-CyberArk-Identity-support-hardware-MFA-tokens">FIDO安全金鑰</a>與<a href="https://docs.cyberark.com/identity/latest/en/content/userportal/user-setup-passkey.htm">Passkey</a>。 企業該如何著手推動這樣的身分應用支援？霍超文簡單描述導入的過程。首先，就是使用前，一定要進行註冊（enrollment）的步驟，需要知道代表某個使用者的FIDO安全金鑰與Passkey，讓系統知道這是某個使用者的多因素認證機制；完成登記之後，當員工透過單一登入整合機制存取企業應用系統，或是Salesforce、M365等公司租用的SaaS雲端服務時，就能在不需要輸入密碼的狀況下，搭配FIDO安全金鑰與Passkey進行身分驗證，甚至可直接完成通關程序。簡而言之，當使用者的身分未通過企業系統的多因素驗證，就不會獲得權限，但如果預先進行上述流程的設定，使用者只需點選圖示就能一鍵登入系統，兼顧多因素驗證的防護之餘，又不會影響系統的操作體驗。 若企業需要CyberArk提供這方面的協助，該公司在亞太地區的服務團隊成員持續增加，從三、四個人增加到幾十個人，霍超文說，他們也不停地培訓合作夥伴，因為很多企業都是外包給這些廠商負責，CyberArk的教育訓練與技術認證的體系已涵蓋上述需求，對於支援聯合身分、SAML等多種單一登入整合機制的現代化網站應用系統，可提供協助；若面對的是傳統應用系統，CyberArk會建議企業改成長度很長的密碼，儲存在單一登入整合機制，當使用者透過Passkey想通過系統身分驗證時，CyberArk的產品可協助代為登入，而且密碼不會外露。 當IT系統面臨突發攻擊導致身分安全面臨重大危機，而必須實施密碼或API金鑰的輪換（rotation），若變動幅度不大，還能透過人工手動處理，但如果規模大、金鑰有效期間短，就需要自動化處理。對此，霍超文說，輪換是很古老的策略，CyberArk認為，可以用<a href="https://www.cyberark.com/what-is/zero-standing-privileges/">零常設權限（Zero Standing Privileges，ZSP）</a>的概念來解決這類問題。 <img alt="" src="https://s4.itho.me/sites/default/files/images/CyberArk%20ZSP-2023.png" style="width: 600px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/CyberArk%20ZSP1.png" style="width: 600px;" /> 簡而言之，使用者就算握有正確的API金鑰、能夠存取系統的帳號，雖然可登入系統，但什麼事都不能做，因為，接下來必須透過CyberArk驗證身分、執行批准存取的程序，使用者的API和身分才能獲得有使用期限的存取權限，時間一到，這些權限就會收回，因此，就算API金鑰被偷，對方也無法永久有效地運用。 在這樣的控管方式之下，企業不需刻意隱藏任何API權杖，使用者提出需求時，可以提供，若系統確定使用者身分是可信任的，就會給予一次或短期的存取權限、ID或API金鑰，超過有效期限後，這些資訊就算被保留下來，也不會有作用。這麼一來，企業也能運用不同的策略去處理這類狀況。 <h2>與時俱進，掌握身分安全最新發展態勢及可用的管理方式</h2> 在大部分身分安全出狀況的情境當中，霍超文說，許多企業並不知道有新的作法可用，於是，就只能以古老的方式處理上述身分安全的挑戰，因此，CyberArk遇到相關的需求時，最先希望了解的部分是對方想解決的問題，而非僅考量如何促使密碼與金鑰的輪換作業更加便利。事實上，若能更充分地掌握這些情報，才能繼續討論市場上更創新、更有效的因應策略與解決方案。 舉例來說，消費者想買燃油車，霍超文此時會詢問對方要駕車前往的地方，因為這不一定是駕駛一輛燃油車所能滿足的需求，而可能是電動車、自駕車或其他方案，然而，如果消費者不瞭解這類產品，他們就不會想到有其他可能性。 <a href="https://s4.itho.me/sites/default/files/images/CyberArk-Jeffrey Kok-iThome-2-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CyberArk-Jeffrey%20Kok-iThome-2-web.jpg" style="width: 600px;" /></a> 關於市場與身分安全概念的推廣，CyberArk合作的對象很廣泛，包括美國聯邦政府、新加坡金管局等多國政府機構，AWS等IT業者，以及雲端安全聯盟（CSA）、FIDO聯盟等組織，彼此交流新的概念與策略，CyberArk每年都會定期匯報近期的更新進展，這些單位會再以各自決定的方法去進行強化身分管理與安全的工作。 而在實際的法規遵循作業上，以支付卡產業資料安全標準（PCI-DSS）的應用為例，CyberArk也會接觸合格安全評估員（QSA）與稽核人員，因為找到問題之後，接下來企業就必須設法解決，相關人員若能更充分了解身分安全的最新概念與做法，將有助於協助企業達到法規的要求。 霍超文表示，他們一直在推廣這些概念，希望有更多業界與執行業務目標的人了解到新的方案，推廣的對象也涵蓋制定決策的人，提升每個人對於身分安全的認知，體認到身分其實是橫切、貫穿IT的每個層面，因為不論資料庫、應用系統或網路，都一定會有身分，但還是有許多企業不熟悉身分橫跨整個IT平臺的概念，他們仍認為身分只是IT基礎架構一個很小、孤立的部分，只要管好密碼與多因素驗證就可以了。 如果想要持續掌握身分安全的最新發展動向，霍超文推薦他們提供的兩種資源，首先是前面提到的CyberArk Blueprint，可提供具體落實身分安全的細部作法，而且會定期更新，客戶可自己使用，若需要協助，可洽詢CyberArk的合作夥伴，全球四大會計師事務所也都會參考這當中提到的概念，各自發展相關的策略。 另一個是CyberArk在<a href="https://www.cyberark.com/zh-hant/press/cyberark-launches-essential-new-companion-guide-the-identity-security-imperative/">2025年2月</a>推出的一本書<a href="https://www.cyberark.com/identity-security-imperative/">《The Identity Security Imperative》</a>，提供PDF檔、實體書籍、Kindle電子書版、Kindle有聲書版，可協助企業與組織了解身分安全的基礎與重要性，在組織實踐身分安全計畫的實務建議與策略，以及展望與準備因應AI與量子運算帶來的衝擊。 </div></div></div>
1/9 19:27作者李宗翰https://www.ithome.com.tw/news/173269
2025印尼遭網攻次數冠於亞太地區，臺灣資安產業正在提供協助
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even">在2025年11月底，資安廠商Fortinet在臺發表2026全球資安威脅預測報告，順勢揭露亞太地區今年1至9月的資安威脅態勢，由於身處全球地緣政治衝突的第一線，面臨的惡意活動攻擊數量向來居高不下，但令人訝異的是，臺灣竟不是亞太地區第一名，<a href="https://www.ithome.com.tw/news/172534">而是印尼</a>，為何如此？當特定國家與地區偵測到的惡意活動數量極高，可能有兩個原因，一是當地面臨的網路攻擊活動非常頻繁或大量，再加上此區域建置的Fortinet資安產品夠多，為了進一步了解印尼資安市場狀況，我們會後詢問Fortinet的看法，而由於近期臺灣多家資安廠商積極投入東南亞市場的拓展與經營，我們也請他們解讀這個現象。 <a href="https://s4.itho.me/sites/default/files/images/Fortinet APAC-Threat Landscape-2025-11-27-Web3-Indonesia.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fortinet%20APAC-Threat%20Landscape-2025-11-27-Web3-Indonesia.jpg" style="width: 600px;" /></a> <h3>印尼資安防護的危機：可被攻擊者針對的層面很廣泛</h3> 關於印尼資安威脅態勢是否特別嚴峻的問題，揭露這項觀察的Fortinet表示，他們偵測到的數據，是基於攻擊活動所產生的整體量測，並不代表Fortinet產品在印尼的採用率較高，而是根據攻擊遙測資料，包含病毒傳播、漏洞利用嘗試、掃描行為等多項偵測指標綜合而成。這些都是被觀察到的「嘗試性攻擊」，而非真正成功的入侵，因此，他們認為，這並不意味著印尼的資安情勢變得更為嚴峻。 2003年成立、服務範圍涵蓋東南亞市場的思想科技（Master Concept），該公司的市場行銷經理、同時負責資安產品線推廣的林靖耘也有類似看法，他認為，通常資安產品在該市場的普及程度、部署數量都會影響到偵測數量，因此，偵測量並不直接等於攻擊量，而在沒有公開資訊揭露Fortinet市占狀況的情況下，他們不會單純以偵測量判斷某國的攻擊強度或資安成熟度，偵測量更像是「可觀察性」的指標，而非「攻擊量」本身。 關於偵測的惡意活動數量極大，<a href="https://www.ecloudvalley.com/tw/blog/ecv-teams-up-with-far-east-medical-electronics-technology-to-expand-presence-in-indonesia">2018年進軍東南亞市場的伊雲谷數位科技（eCloudvalley）</a>，該公司資訊安全部業務總監林軒宇有不同觀點，他認為，這些絕大多數可能都是「無效攻擊（失敗的嘗試）」，而真正致命的「有效攻擊（成功入侵）」，往往不會出現在這類阻擋報告的統計數字裡，因為防火牆可能根本沒看到或予以放行。 大部分的網路掃描行為屬於偵察階段，並非實際利用或資料外洩，高偵測量是反映「被掃描頻繁」，但不代表實際入侵、持續滲透或資料被竊取，所以，資安防護的決策若只看偵測量，會高估直接風險，事實上，某些攻擊發生在應用層或透過社交工程，單靠防火牆的層級，是無法偵測的；反之，網路層大量惡意掃描的威脅可被放大。對於企業資安長（CISO）來說，真正的痛點是：「1,534億次被擋下的我不在乎，我只在乎有沒有1次是你沒看到、但卻進來的？」 地理區域的特性，是國家資安威脅高漲的另一個重要因素。曾任職於多家IT廠商與資安廠商的易上雲（EPN.Cloud）總經理葉精良認為，印尼因為經濟規模（東南亞第一大經濟體）與人口規模（全球第四大），以及國家各個區域分布得更廣，所以面臨的資安威脅風險很高。 針對這些因素的影響，思想科技市場行銷經理林靖耘具體說明臺灣與印尼的不同之處。他表示，其中一個原因是產業、地理結構、人口分布的差異，印尼的傳統製造業、批發零售普及，臺灣以高科技製造業、專業服務業為主；印尼島嶼多、企業據點可能較分散，臺灣集中在本島西部；人口有相當大的落差，這也造成攻擊面和偵測結果的落差。 另一個原因，在於政治與經濟發展程度的不同。林靖耘表示，印尼處於快速數位化與雲端導入的階段，在這種高速成長期，企業的防禦與治理往往追不上業務擴張，容易形成攻擊者眼中的高ROI目標；臺灣因為政治因素及近年來表現亮眼的半導體產業，常常是駭客發動進階攻擊的對象。 關於印尼近期面臨的網路威脅具體樣貌，<a href="https://www.cna.com.tw/news/afe/202405160321.aspx">2020年開始將業務範圍拓展至全球市場的中華資安國際（CHT Security）</a>，副總經理王信富表示，印尼面臨的巨大的惡意活動偵測量，不僅代表「受攻擊次數」，更反映該國網路環境存在大量「受感染設備」正在持續向外發送掃描、攻擊或惡意封包，因此，這暗示印尼不僅是受害者，更是全球網路攻擊鏈中重要的「中繼站」或「跳板」。而且，惡意活動的高偵測量意味著基礎資安防護（Cyber Hygiene）較弱，許多設備（特別是IoT）處於裸奔或弱密碼狀態，極易被駭客利用。 王信富也引用印尼國家網路安全局（BSSN）、SOCRadar，Cloudflare的數據，說明印尼的威脅總量的確呈現爆炸性增長的態勢，而且，已成為物聯網裝置殭屍網路（IoT Botnets）的大本營。 單就2025年上半年（1至7月），BSSN記錄了36.4億次網路攻擊或流量異常，這半年的數字幾乎與過去五年的總和持平，顯示2025年印尼面臨的資安壓力呈現指數級暴增。 就攻擊類型的解析而言，SOCRadar今年8月發布的印尼資安威脅報告指出，勒索軟體鎖定印尼單一國家攻擊的比例達28.8％（其他國家總計為71.2％），經由暗網（Dark Web）洩漏資料或資料庫占暗網總體威脅的比例為88.12％。王信富表示，印尼面臨的勒索軟體與資料外洩事故，總量上以自動化攻擊為主，然而，在2025年，鎖定印尼政府機構（如PDNS國家資料中心事件後續影響）、金融與關鍵基礎設施的勒索軟體事故，顯示網路攻擊變得更具針對性；關於暗網活動，印尼在這個管道的資料洩露與憑證交易極為活躍，與惡意軟體的高感染率直接相關（Infostealer竊取憑證後在暗網販售）。 <a href="https://s4.itho.me/sites/default/files/images/SOCRadar-Distribution of Dark Web Threats by Primary Target Country.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SOCRadar-Distribution%20of%20Dark%20Web%20Threats%20by%20Primary%20Target%20Country.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/SOCRadar-Distribution of Dark Web Threats by Threat Type.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SOCRadar-Distribution%20of%20Dark%20Web%20Threats%20by%20Threat%20Type.jpg" style="width: 298px;" /></a> 關於DDoS攻擊，Cloudflare過去幾季的報告（2024年第三季至2025年第三季）也屢屢點名印尼，因為他們多次被列為全球最大的DDoS攻擊來源國。為何印尼資安威脅態勢如此嚴峻？王信富表示，印尼數位化的進度很快，出現大量廉價智慧家電、路由器連網的狀況，但使用者普遍缺乏更改預設密碼或更新韌體的意識，使其成為駭客最愛利用的「肉雞」資源池。 <a href="https://s4.itho.me/sites/default/files/images/2024 Q3 DDoS Source.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024%20Q3%20DDoS%20Source.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2024 Q4 DDoS Source.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024%20Q4%20DDoS%20Source.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2025 Q1 DDoS Source.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025%20Q1%20DDoS%20Source.png" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2025 Q2 DDoS Source.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025%20Q2%20DDoS%20Source.png" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2025 Q3 DDoS Source.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025%20Q3%20DDoS%20Source.png" style="width: 198px;" /></a> 伊雲谷數位科技資訊安全部業務總監林軒宇從另一個角度，說明印尼的網路攻擊狀況確實嚴峻。他表示，印尼被稱為東南亞的攻擊熱區，缺乏嚴格的政策與熟練的資安人才，使得它成為駭客眼中的「軟柿子（Low Hanging Fruit）」。例如<a href="https://www.group-ib.com/blog/brain-cipher-ransomware/">2024年6月20日</a>，印尼泗水國家臨時資料中心2號（PDNS）遭到駭客以<a href="https://www.reuters.com/technology/cybersecurity/cyber-attack-compromised-indonesia-data-centre-ransom-sought-reports-antara-2024-06-24/">勒索軟體Brain Cipher（Lockbit 3.0之升級版）攻擊</a>，導致<a href="https://fulcrum.sg/indonesias-national-data-centre-ransomware-attack-a-digital-governance-failure/">282個中央及地方政府電腦系統受影響，且有9成以上的資料沒有備份</a>，顯示其IT基礎設施脆弱，這也誘使駭客投入更多資源攻擊印尼。 另一個因素是民眾上網的規模很大，印尼的網路使用人口超過2億，網路滲透率極高，可能因為基數效應而造成攻擊活動總量看起來很大，他們看到有研究顯示印尼資安支出占GDP僅0.02％，為東南亞最低。 <img alt="" src="https://s4.itho.me/sites/default/files/images/Benchmarking%20cybersecurity%20spend%20as%20percent%20of%20GDP.png" style="width: 600px;" /> <h3>印尼資安防護的商機：業者可輸出成熟的服務，提供單一、高度整合的自動化平臺</h3> 如何有效因應日益嚴峻的資安威脅態勢，固然是所有人都無可迴避的挑戰，但不可諱言的是，這也是所有資安廠商拓展市場的大好機會。 關於印尼資安的發展，Fortinet相當看好，因為他們是亞洲成長最快的數位經濟體之一，也是重要的成長市場，他們將持續透過整合式架構，結合網路、資安與 AI 驅動營運能力，協助企業大規模實現安全的數位轉型。 隨著金融、零售、製造業與政府部門加速數位轉型，Fortinet看見印尼對於可擴展、整合式的網路安全需求持續攀升，企業組織也正逐步從零散的點狀資安產品轉向平臺化安全架構，能有效降低複雜度、總體持有成本（TCO），並強化IT、OT與雲端環境的整體能見度（Visibility）。在此同時，AI正重塑印尼的資安營運模式，隨著威脅環境愈來愈複雜且攻擊規模擴大，企業積極導入自動化偵測與快速回應能力，以提升整體防禦效率。 關於Fortinet是否在印尼資安市場普及，易上雲總經理葉精良表示，Fortinet相較於其他品牌便宜很多，尤其針對中小企業的客戶群體，所以應該能賣得更多、滲透得更廣。 對多家臺灣資安廠商而言，他們也認為印尼IT與資安市場大有可為。思想科技市場行銷經理林靖耘表示，他們相信印尼、乃至於整個東南亞市場，都相當有潛力，因為快速的發展與成長及政府政策推動，將帶來更多剛性需求，像是數位基礎建設、資安防禦措施，都是很適合他們進入這個市場的解決方案。 在IT與資安成熟度方面，印尼IT與技術人才較短缺，但印尼企業不像臺灣企業習慣在企業內部自建系統、使用自家資安資源，思想科技提供的託管及諮詢顧問服務與當地需求十分契合。沒有包袱也是印尼資安市場的重要優勢，印尼因數位基礎建設發展較晚，較不會受到舊有系統影響，可以直接導入雲端原生與零信任架構等，讓印尼的資安市場更具速度與彈性。 伊雲谷數位科技資訊安全部業務總監林軒宇表示，印尼偵測的惡意活動數量極大有許多可能原因，但對於企業資安長（CISO）來說，真正的痛點是：「1,534 億次被擋下的我不在乎，我只在乎有沒有1次是你沒看到、但卻進來的？」，因此，林軒宇認為，他們提供的託管式偵測與回應服務（檢測／MDR／MSSP）」在印尼會有極大的潛力。因為印尼企業買了防火牆設備，卻可能出現偵測數高，但阻擋或處理不夠即時的狀況，而這正是臺灣成熟的資安服務商可以輸出的機會。 精誠資訊集團投資的智慧資安科技（uniXecure）2023年正式前進東南亞市場，他們肯定東南亞資安市場值得開發，因為根據市場情報與顧問公司Mordor Intelligence的報告預估，到了會計年度2030，東南亞資安市場會有超過15％的年均複合成長率。不過，印尼相較於其他東協國家，在語言與宗教的差異較大，從智慧資安科技11月份參加印尼資安展的經驗來看，他們認為市場擴展需要當地夥伴的幫助，目前已盤點適合印尼市場的產品或服務，透過精誠資訊東南亞營運總部SYSTEX Asia在印尼的團隊逐步進行市場開發，也規畫藉由Citrix ASEAN在印尼的通路，以多面向的方式擴展印尼市場，未來除了在新加坡、馬來西亞、越南等據點，持續與當地服務商合作，泰國、印尼等地也會是他們積極拓展的重要市場。 對於印尼資安市場的展望，中華資安國際副總經理王信富同樣引用Mordor Intelligence的分析與預測報告，當中提到2025年約為13.5億美元，2030年可望突破34億美元。 <div class="media_embed"> <div height="" style="width:600px; display:flex; justify-content:space-between; background:#eee;" width=""> <div style="width:298px; background:#fff;"> <div style="text-align:center; position:relative; font-size:0;"><img alt="ASEAN Cyber Security Market (2025 - 2030)" src="https://s3.mordorintelligence.com/asean-cybersecurity-market/asean-cybersecurity-market-size-image-1752434942393.webp?embed=true" style="object-fit:cover; width:100%;" /> <a href="https://www.mordorintelligence.com/industry-reports/asean-cybersecurity-market" target="_blank"> </a> <div style="position:absolute; bottom:0; right:0; color:white; background:rgba(0,0,0,0.5); padding:4px 6px; font-family:Arial; font-size:14px;"><a href="https://www.mordorintelligence.com/industry-reports/asean-cybersecurity-market" target="_blank">Image Source </a></div> <a href="https://www.mordorintelligence.com/industry-reports/asean-cybersecurity-market" target="_blank"> </a></div> </div> <div style="width:298px; background:#fff;"> <div style="text-align:center; position:relative; font-size:0;"><img alt="Taiwan Cybersecurity Market (2025 - 2030)" src="https://s3.mordorintelligence.com/taiwan-cybersecurity-market/taiwan-cybersecurity-market-size-image-1752500990462.webp?embed=true" style="object-fit:cover; width:100%;" /> <a href="https://www.mordorintelligence.com/industry-reports/taiwan-cybersecurity-market" target="_blank"> </a> <div style="position:absolute; bottom:0; right:0; color:white; background:rgba(0,0,0,0.5); padding:4px 6px; font-family:Arial; font-size:14px;"><a href="https://www.mordorintelligence.com/industry-reports/taiwan-cybersecurity-market" target="_blank">Image Source </a></div> <a href="https://www.mordorintelligence.com/industry-reports/taiwan-cybersecurity-market" target="_blank"> </a></div> </div> </div> </div> 而在資安需求方面，王信富認為，巨大的惡意活動偵測量，顯示當地基礎設施衛生（Cyber Hygiene）有很大的改善空間，市場目前仍處於「設備採購」轉向「維運管理」的過渡期，而且，中小企業（SMB）是重災區，因為在這兩千多億次的偵測當中，有很大比例來自缺乏管理的路由器與IoT設備。 再加上法規遵循的需求日益高漲，印尼《個人資料保護法（PDP Law）》的執法力道加強，以及即將推動的《網路安全與韌性法案》（RUU KKS），將強迫企業採購合規資安產品。而且，印尼近年來數位經濟快速成長，龐大的金融科技與電商市場需要更強的信任機制。 在市場拓展的對策上，王信富揭露中華資安國際將鎖定當地兩種用戶的需求。 首先，針對企業用戶，他們有三大推動重點：「持續威脅暴露管理（CTEM）」框架的採用、對工業控制系統（OT）與IT環境實施嚴格的網路分段（Segmentation）隔離，以及從單點產品轉向平臺化（Platform Approach）。透過CTEM導入，使企業從被動防禦提升為主動找出曝險介面進行管理，關鍵在於找出駭客眼中的弱點，修補被殭屍網路盯上的老舊系統；網路分段的落實，防止單一設備被感染後，淪為殭屍網路的打手，避免災情擴散到整個核心網路；至於平臺化，關鍵在於整合，印尼企業過去習慣購買單一功能的資安設備（如單獨的防毒、單獨的防火牆），導致管理複雜且無法連動，然而，目前整個資安市場正強烈轉向市場研究機構Gartner提出的網路安全交織架構（Cybersecurity Mesh Architecture，CSMA），亦即為印尼企業提供整合網路與資安的單一平臺。 <a href="https://s4.itho.me/sites/default/files/images/CSMA2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSMA2.png" style="width: 600px;" /></a> 另一個對象是資安代管服務商（MSSP）的用戶，中華資安國際提出4大發展方向。 第一，鎖定ISP層級的清洗服務，在流量進入企業前就先擋掉大部分的自動化掃描活動，是最高效的解決方案。他們計畫與印尼當地的電信商（如印尼電信、Biznet）合作，推廣Clean Pipe流量清洗服務或是DNS過濾服務。 第二，提供資安SaaS平臺或是MSSP服務。由於印尼資安人才極度短缺，因此，與其在此直接銷售複雜產品，不如銷售「託管式偵測與回應服務（MDR）」服務，直接替客戶解決問題。 第三，提供「自動化」解決方案。針對印尼中小企業，推廣「低人力維護、高自動化」的資安方案，解決資安人才缺乏的問題。 第四，強化OT與IoT安全。印尼製造業目前已進入數位轉型階段，工控環境往往是殭屍網路的溫床，然而，對資安廠商而言，卻是下一個藍海，中華資安國際可提供針對工廠、能源設施的微分段（Micro-segmentation），或是針對企業IoT設備的資產盤點與弱點管理方案。 </div></div></div>
2025/12/21 00:53作者李宗翰https://www.ithome.com.tw/news/172936
衛福部資訊處：打好智慧醫療基礎還需3大治理能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 衛福部資訊處副處長王美珠日前在全國醫院資訊主管會議中揭露，衛福部推動臺灣智慧醫療發展基礎，鎖定3大治理重點，包括資料治理、AI治理和資安治理。就資料治理來說，衛福部推動導入國際醫療資料交換標準FHIR、建置TW Core IG相容資料集，來打造資料互通與標準化的資料環境。AI治理則要落實負責任AI，目前已有10家醫院擔任負責任AI中心，衛福部也正研擬認證標章，讓更多醫院能參與。 資安治理則依《資安法》規範，針對不同等級醫院設定「基礎項目」和「鼓勵精進項目」，要求醫院申請補助計畫時，需通過特定項目，來提升整體資安防護能力。 打下智慧醫療基礎的2大計畫 近年來，衛福部資訊處透過兩項重點計畫，為臺灣智慧醫療發展打下基礎。 一是次世代數位醫療平臺計畫，這個計畫從2024年開始，目標是建立智慧醫療的三大地基：訂標準、建平臺、保資安。 在「訂標準」方面，衛福部訂立了臺灣第一版臺灣核心資料群（TW Core Data for Interoperability），為醫療資料交換定下共通規範。 在「建平臺」部分，衛福部針對不同層級的醫療機構推動電子病歷升級，比如針對醫學中心建置FHIR交換平臺，目前在3家醫學中心執行，預計年底揭露成果。針對區域/地區醫院則要建置數位底盤，來協助升級電子病歷系統。至於衛生所，則由衛福部統一打造公版電子病歷系統。 在保資安部分，由於今年2、3月幾家醫院相繼遭受勒索軟體攻擊，衛福部除了發表第一部醫院勒索軟體應變指南，也在今年8月15日與數發部資安署合作，宣布將從「擬真演練、人才培育、機關輔導、稽核強化」四個方向，來強化醫療關鍵基礎設施的資安韌性。 不只次世代數位醫療平臺計畫，另一個關鍵計畫是「健康臺灣深耕計畫」，內容橫跨4大範疇、18項目標。衛福部資訊處特別聚焦「導入智慧科技醫療」這一範疇，希望醫院能具備三大核心治理能力，包括資料治理、AI治理與資安治理。 資料治理：打好AI與資料共享的基礎 王美珠指出，醫療AI和跨院資料應用要發展，必須有高品質、結構化的資料支撐。因此，衛福部推動FHIR與TW Core作為國家標準，來建置「可交換、可模組化、可語意互通」的資料環境。 資料治理的實作重點包括：採用FHIR與TW Core IG實作指引、導入臨床品質語言（CQL）與臨床決策支援（CDS）應用、開發SMART on FHIR應用程式，以及導入臨床術語標準，如SNOMED CT（臨床術語）、LOINC（檢驗術語）、RxNorm（藥品資訊）等。 其中，CQL可以把原始醫療資料轉化成可規則化的應用邏輯；而SMART on FHIR結合FHIR標準與OAuth2、OpenID Connect等安全協定，讓資料共享更有效率又兼顧隱私。 王美珠說明，臺灣醫院一般採用國際疾病分類編碼ICD-10，但其分類顆粒度較粗，因此衛福部推動導入SNOMED CT，其組合數量雖是ICD-10的10倍，卻可以更精準分類臨床數據，後續也能提供更精準的資料分析結果。 衛福部還在今年3月上架臺灣醫療資訊標準大平臺網頁，持續推動醫療數據標準化與技術應用，讓醫療資料能無縫流通。 AI治理：落實負責任的AI 第二項治理能力是AI治理，也就是確保AI的使用「透明、可解釋、負責任」。 為此，衛福部推動成立「負責任AI執行中心」，不僅強化資安與隱私保護，也針對AI模型建立9項透明度與可解釋性分析機制，並推行AI生命周期管理制度。目前已有10家醫院獲補助成為負責任AI中心，如林口長庚、臺北榮總、高醫大附設中和醫院、奇美醫院、聯新國際醫院等。 要成為負責任AI中心，醫院必須具備7項條件： <ol> <li>成立智慧醫療委員會</li> <li>制定智慧醫療落地實施管理辦法</li> <li>成立單一窗口，並建立標準化、電子化申請試用流程</li> <li>設計標準化審核表格</li> <li>建立網頁，供使用者即時查詢9大透明性內容</li> <li>登錄申報醫院實際使用的智慧醫療軟體、定期監測AI表現指標</li> <li>回報醫院已申報的智慧醫療軟體效益，如診斷正確率提升、處理時間縮短等</li> </ol> 上述10家醫院也有落地負責任AI案例（如下圖） <img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-10-27%20175627(1).png" /> 王美珠透露，由於目前沒有額外經費補助，資訊處正研擬負責任AI中心認證標章機制。未來其他醫院若有意成為負責任AI中心，可待認證制度推出後再申請。 資安治理依等級分階強化防護 資安治理是衛福部資訊處看重的另一項核心治理能力。王美珠舉例，衛福部就針對申請補助計畫的醫院，列出必須通過的最低資安治理條件，比如針對資安法納管的醫學中心和CI醫院，以及非納管的區域／地區醫院和診所，就要求在申請計畫前，完成較容易或已經在實施的基礎項目。而較困難或目前沒有強制規定的項目，則屬於衛福部鼓勵精進項目，可以在補助計畫時實施，並持續管考。 所謂的基礎項目，涵蓋設置資安長（CISO）和資安專責人員、資通訊系統風險評估、加入衛福部H-ISAC、資安教育訓練等。而鼓勵精進項目則包括導入政府組態GCB、端點偵測及應變機制等。（如下圖） <img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-10-27%20175600.png" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-10-27%20175539.png" /> （藍色部分為可以精進的項目） 最後，王美珠也預告，衛福部接下來將舉辦多場重要活動，包括11月17日-18日的三大AI中心健康福祉論壇、11月20日的三類中心國際研討會，以及12月5日的三家醫學中心資料中臺成果發表。  </div></div></div>
2025/10/27 18:17作者王若樸https://www.ithome.com.tw/news/171883
Google透過雲端戰略與AI先鋒，重塑資安思維
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 在席捲全球的數位轉型浪潮下，企業大規模將業務「轉移上雲端」已是不可逆的趨勢；然而，隨之而來的資訊安全挑戰，無疑成為所有組織的最高優先順序。 「當企業開始遷移到雲端，資安不再只是技術層面的議題，而是業務能否持續運作的關鍵。」Google Cloud Security暨Mandiant亞太及日本區首席技術總監Steve Ledzian明確指出，資安已經從傳統IT部門的防禦任務，轉變成整體企業治理的核心。 他也坦言，在企業數位轉型的浪潮中，安全不再只是附屬品，而是整個組織的前提條件。隨著Google Cloud全面整合Mandiant的威脅情報與防禦能力，Steve Ledzian說：「Google不再只是雲端服務提供者，而是一家資安公司。」 這句話揭示了Google在全球企業安全生態系中的新定位，從SOC平臺現代化到AI驅動的威脅偵測與治理，Google正在用AI與雲端雙引擎重塑資安的定義。 站在資安戰場的最前線，Steve Ledzian的核心觀點是──Google不僅能協助組織進行安全的雲端轉型，其資安能力更涵蓋了人員、流程與技術三大層面。 他表示，Google的資安解決方案不只用來保護Google Cloud本身，同時也延伸至多雲端與本地端的複雜環境；而Steve Ledzian也認為，能夠決定未來防禦成敗的關鍵，則在於AI能力的深度整合，因為有了AI，資安工作將能做得更快、更有效。 「我們不只是保護Google自己的基礎架構，」Steve Ledzian說，「我們正在用相同等級的安全技術，幫助全球企業做到安全地進行數位轉型，」他強調，Google在過去幾年，不只是提供雲端服務的業者，更已轉型為一個「安全驅動的雲端企業」。 <h2>不斷演進的威脅版圖——勒索軟體與國家級間諜的新戰術</h2> Google Cloud Security及Mandiant作為全球知名的資安威脅情資追蹤機構，為第一手資安觀察，提供了最真實的戰場見解。Steve Ledzian指出，當前企業面臨的第一大威脅仍是勒索軟體，且其行為模式與攻擊手法正在持續的創新。 Steve Ledzian表示，Mandiant長期追蹤各類攻擊行為者與APT（進階持續性威脅）活動，勒索軟體依然是目前全球企業面臨的首要威脅，但其手法已從單純的加密轉為「雙重乃至三重勒索」。 過去，勒索軟體的駭客組織主要透過加密受害者資料來達成目的，迫使企業支付贖金以解密資料；但現在，他們採用的是多點勒索的創新模式。 例如，以往駭客只加密資料並要求贖金，但現在會透過將資料公開羞辱（Data Public Shaming）的方式，將他們竊取的私人資料公開出來，目的在於羞辱受害者，對企業造成名譽與法律上的壓力，迫使其支付贖金。 此外，勒索行為也變得更針對個人，例如直接針對執行長或高階主管個人進行威脅或騷擾，將資安事件的壓力從組織層面，轉嫁到個人決策者身上，以加速勒索過程。 他也坦言，駭客這種「個人化攻擊」的趨勢，也使資安事件從技術問題，變成了公共關係與品牌信任的危機。 除了經濟驅動的勒索軟體，針對國家級資安威脅方面，駭客的創新速度更快，像是由國家支持的網路間諜活動，也是非常重要的議題。 Steve Ledzian表示，隨著資安業者在端點偵測與回應（EDR）技術上取得顯著成果，加上企業或組織等防禦者部署EDR的狀況更為普及，駭客被迫創新其攻擊戰術，開始轉向攻擊沒有部署EDR的網路環境或虛擬機器。 這些系統往往是EDR解決方案的盲區，使得駭客能在這些關鍵基礎設施建立持久的立足點。「他們會尋找組織防禦的角落或盲點，也就是防線之外的環節發動攻擊。」他說。 在亞太區，尤其臺灣，這類駭客攻擊行為往往也與地緣政治息息相關。他指出：「亞太的勒索攻擊並非最頻繁，但APT活動明顯受到國際情勢牽動，這讓威脅具有更深層的目的與難以預測的性質。」 <h2>雲端轉型面臨的挑戰</h2> 根據Google的觀察，許多企業雖然已開始導入雲端架構，但資安基礎仍停留在傳統地端SOC（安全營運中心）的設計。「這就像用舊地圖找新城市。」Steve Ledzian說，舊的SOC缺乏彈性與擴展性，難以應對雲端的運算速度與規模。 他進一步解釋，當Google的安全產品與Mandiant資安威脅情報整合後，加上讓SOC全面雲端化並具備自動擴充的能力。「這不只是把原有系統搬上雲端，而是用AI與情資『現代化』整個資安防禦鏈。」他說。 舉例而言，Google提供專門為政府機關和國家層級用戶，所設計的AI與情報導向的網路防禦機制與解決方案框架，這項服務名稱是Google Cloud CyberShield。 它並非單一的產品，而是特別針對關鍵基礎設施與政府單位而設計，提供一個具備國家級網路防禦能力的架構。這樣的系統不僅能監測異常行為，也能利用AI自動調整防禦策略，確保在攻擊發生時能即時反應。 <h2>AI讓防禦變快，也讓決策變聰明</h2> AI在Google的資安戰略中，不再只是輔助角色，而是整體架構的核心。Steve Ledzian說：「資安團隊最稀缺的資源就是人，」而AI讓有限的人力能專注於高價值任務，並透過自動化讓回應更快速、更精準。 面對人才有限且攻擊日益複雜的局面，Steve Ledzian坦言，AI在資安領域的應用已經不再是選項，而是必備。「既然人才有限的話，我們可以讓這些人能夠善用 AI，這樣的話就可以讓他們更有效果。」他說。 他認為，這些AI的應用都可以讓相關的安全團隊，能以數倍速度處理威脅情資，同時保持分析品質。「AI不是取代專家，而是讓他們更強，」Steve Ledzian強調，AI在防禦中的實戰價值，就是加快調查速度，並能夠快速發現偵測到駭客的攻擊意圖。 他進一步指出，Google的Gemini AI模型正被導入各種安全流程，實現了更深度的「AI應變」。 首先，AI能夠提升威脅情報與SOC調查效率，除了協助資安研究員生成威脅情報報告，可以用AI生成第一個版本的情報報告，從而避免從零開始撰寫，大大加速了報告的產出流程，減少重複撰寫的時間。 同時，AI實戰應用也可提升資安專家的效率和執行深度專業任務的能力，對於SOC（安全營運中心）分析師而言，AI可以將自然語言的指令快速轉換、翻譯成為技術上的查詢（query），讓資安調查時「不需要用這麼多的心力」，即使不是精通複雜查詢語言的專家，也能快速有效地進行資料搜尋與分析。 其次，AI能夠協助加速對惡意軟體逆向分析，判斷其潛在意圖與行為邏輯，AI不只能夠根據自然語言的指令，還能協助將整個應變腳本自動化生成出來，從規則到意圖重新定義威脅偵測。 他進一步解釋，傳統的偵測方式依賴靜態規則與指標（Indicators of Compromise，IoC），但攻擊者可以輕易更換IP、URL或域名來規避監控，不過，Google的AI模型能超越這種限制，直接理解攻擊的「意圖」。 Steve Ledzian舉例，倘若釣魚網站偽裝成銀行登入頁面，AI會辨識該頁的設計、圖像與品牌標誌，並與被冒用的實際網站比較，從而推斷這個頁面的真實目的。」這種以「意圖」為核心的偵測方式，讓防禦系統即使在未知威脅下仍能保持警覺。 第三，Google也將這種技術融入Gemini AI模型，結合圖像辨識與語意理解，協助安全團隊主動偵測潛在釣魚行為或社交工程攻擊。「這是一種從根本上改變SOC工作方式的演進，」Steve Ledzian說。 <h2>改善AI幻覺，讓人工智慧「可驗證、可稽核」</h2> 然而，AI帶來效率的同時，也引發「幻覺」問題——當模型輸出錯誤推論時，防禦可能反而受誤導。為此，Google採用一套稱為Grounding（基礎錨定）的技術，可以解決大型語言模型（LLM）在生成內容和推理過程可能出現的「幻覺」（Hallucination）問題，從而提高AI輸出的可信度、透明度與可驗證性。 也就是說，Grounding技術就是在AI的抽象語言世界中，如何與企業的實體世界之間，建立穩固、可追溯的橋樑；而在資安領域，它也確保AI的每一次推理都可以做到腳踏實地，讓AI的每次推理能經得起最嚴格的人類審查，以及法律稽核。 「Gemini在進行安全事件調查時，會記錄每一步推理與資料來源，讓人類分析師可以追溯AI的思考過程，確保結論經得起驗證。」Steve Ledzian說。這樣的設計不僅提升AI決策透明度，也讓企業在法遵與稽核上更有依據。 <h2>AI代理人進駐SOC，打造單一平臺整合優勢</h2> 在Steve Ledzian看來，AI帶來的最大變革之一，是「讓SOC第一次能自己思考」。 Google Cloud目前正在推動的概念被稱為「代理人SOC」（Agentic SOC），它不僅自動化監控，更能由多個AI代理人（AI Agents）彼此協作，透過分工方式完成過去需要分析師長時間手動完成的工作。 傳統的安全營運中心（SOC）往往依賴人力處理事件回應流程，包含資料蒐集、威脅比對、報告撰寫與通報決策等，但這些步驟耗時又分散。Steve Ledzian進一步解釋，在代理人SOC中，AI可以同時扮演調查員、分析師與行動指揮官的角色，透過不同的AI代理人彼此協作，就能完成跨系統的複雜調查。 他舉例說明，以往SOAR（Security Orchestration Automation and Response，安全協調、自動化和應變）雖然能夠執行既定動作，但它並不具備推理能力；但是，現在透過AI代理人，則可以讓SOC像一個能夠自我運作的團隊，從偵測到反應、再到報告生成，全程具備理解與判斷能力。 「這樣的架構，讓SOC的工作模式從被動防禦變成主動偵測。」他表示，當Gemini模型協助AI代理人建立情境意識（Context Awareness）後，它能主動發現潛在攻擊行為並提出對策。「這是SOC從工具驅動，進化到智慧驅動的重要里程碑。」Steve Ledzian強調。 隨著企業越來越依賴多雲架構，安全管理的複雜度也持續增加。臺灣許多企業仍採用地端SIEM（安全資訊與事件管理系統）架構，但這種做法在混合雲環境中已出現瓶頸。 Google Cloud Security觀察到，一旦企業將部分服務遷移到公有雲或私有雲，若仍以地端SIEM來收集雲端日誌，資料同步不僅延遲，還可能讓攻擊者在雲端與地端之間自由移動而不被偵測。 Steve Ledzian認為，當攻擊者不再受限於某個系統邊界時，防禦也不能被限制在某個平臺。 因此，Google Cloud Security透過SecOps平臺，實現了跨地端與雲端的統一SIEM架構，意即企業不再需要維持兩套系統，只需一個整合平臺就能同時監控混合環境，這也大幅降低管理負擔與誤報率。 「SOC現代化的關鍵不是增加更多工具，而是整合與簡化。」Steve Ledzian說。這種一體化設計讓分析師能即時取得上下文脈絡，在威脅發生時做出更快速、更正確的反應。 <h2>透過桌上演練方式，提高組織的營運韌性</h2> 事實上，AI與工具只是資安的一半，另一半則是「人」，Steve Ledzian長期觀察亞太企業的防禦文化，他發現，臺灣企業面臨的最大挑戰，往往不在技術，而在治理與溝通。 「資安不該只是CISO的責任，而是整個組織的共同任務。」因此，Steve Ledzian建議，企業可以導入「桌上演練（Tabletop Exercise）」制度，讓不同部門可以在模擬資料外洩事件中，理解各自的角色與決策責任。 「這不是技術測試，而是溝通測試。」Steve Ledzian指出，當資料外洩事件發生時，相關技術團隊關心如何封鎖與進行修補，法務部門則要思考通報義務，行銷公關則必須對外發聲、降低疑慮。「這些部門的反應若不同步，企業就會陷入混亂。」他說。 他認為，透過定期的桌上演練，CISO可以找出各種潛在的資安矛盾與資安回應缺口。例如：公關是否能即時獲得資料外洩事件資訊？法務是否了解，不同司法管轄區的隱私規範？財務是否能評估品牌信任受損對股價的影響？ 「一場成功的桌上演練，真正的目標是找出盟友，而不是找出錯誤。」Steve Ledzian微笑說道。 而Google內部，每年都會進行多種層級的桌上演練，從作業層的紅隊測試到董事會層級的策略模擬，目的就是要讓每一個角色，都能理解在危機時知道應該如何決策、如何發聲、如何行動。透過這些桌上演練的結果，也被整理成可供企業導入的流程範本。 Steve Ledzian指出，資安防禦的最終目的不是防止資安事件發生，而是讓企業即使在攻擊下，仍能維持營運，這種概念被稱為「營運韌性（Business Resilience）」。 他說：「資安不是終點，而是企業持續營運的基礎。」所以，Google Cloud Security提供的防禦策略，從技術層一路延伸到決策層，目的在於協助企業在資安事件發生後，能快速恢復營運、重建信任。 Steve Ledzian提到，美國多數產業在導入桌上演練制度後，發現最有價值的成果並非技術強化，而是溝通效率的提升。「當CEO能在30分鐘內確定決策流程，這遠比採用任何新的防火牆都更有價值。」他說。 <h2>透過攻擊演練的方式，讓董事會看到風險</h2> 談到臺灣企業，Steve Ledzian強調，臺灣有世界級的工程師與IT團隊，但在跨部門協作與治理制度上，仍有改善空間，畢竟，資安成熟度取決於整個企業如何看待風險，而不只是技術部門的反應速度。 因此，他建議臺灣的資安長們（CISOs），可以採取三個步驟來強化資安治理的能力。首先，將資安納入業務決策流程，讓董事會了解資安事件對營運的實際影響，並以數據方式呈現風險與成本。 其次，建立跨部門演練文化，讓法務、行銷、財務與IT部門等共同參與桌上演練，模擬真實的外洩情境；第三，投資在SOC現代化與導入AI，不僅提高偵測速度，更要提升整體決策品質。 Steve Ledzian補充表示，臺灣是亞太區最早擁抱雲端的市場之一，也擁有高度製造與供應鏈整合能力。「只要將治理與防禦結合，臺灣企業完全有機會成為區域資安的典範。」他說。 為了讓高層能真正理解資安風險，Steve Ledzian建議，資安長在董事會簡報時，不要只展示數據，而要「做給他們看」。他過去擔任Google的資安長時，每週都要向董事會報告資安狀況，他說：「那不是技術報告，而是一場風險對話。」 透過簡短的攻擊模擬，董事會成員能直接看到入侵過程與潛在後果。許多高層原本認為這些情境不太可能發生，直到親眼看到模擬畫面，才理解風險的真實性。 因此，他建議資安長們可以多使用「可視化展示」或「攻擊模擬」方式來說服高層。「與其解釋EDR怎麼運作，不如展示攻擊如何滲透，再用AI展示防禦的成果。」他認為，這種直觀的方式，最能改變決策者的認知。 此外，資安長們也要學會用「治理語言」來談資安，讓高層理解安全投資的商業價值。「當你能用ROI和風險矩陣去呈現安全策略時，資安自然會成為董事會議題的一部分，而不只是IT報告。」他說，畢竟，董事會並不需要知道封包細節，但他們要知道的是：這起資安事件會對品牌、法遵與營收等，造成什麼樣的影響。 <h2>重視AI的防禦框架SAIF與未來治理新秩序</h2> 在AI帶來前所未有創新的同時，風險也正以同樣速度擴散。Steve Ledzian指出，這波AI熱潮與當年企業爭相導入雲端的情形極為相似——大家專注於提升效率與應用創新，卻忽略了相對應的安全機制。如今，AI濫用與提示詞攻擊（Prompt Injection）等新型態威脅，正悄悄改變資安戰場的樣貌。 與傳統駭客攻擊不同，這些威脅直接針對AI模型本身下手，攻擊者可能透過設計巧妙的提示詞，誘使模型洩漏機密或執行未預期的動作。Steve Ledzian認為，AI 模型本身已成為新的攻擊面（Attack Surface），防禦策略必須重新設計。 為了因應這場變局，Google推出AI Cyber Defense Initiative（AI網路防禦倡議），結合最新的Gemini模型與Mandiant威脅情報，將AI技術融入資安防護的各個環節，打造智慧化的防禦體系。 同時，Google也發表Secure AI Framework（SAIF），建立AI安全治理的共同語言與實務準則。他強調，未來的SOC（安全運作中心）將不再是人力密集的戰情室，而會演變為人類與AI協作的智能防禦中心。 <h3>SAIF：讓AI防禦有跡可循、有規則可依</h3> Google所提出的Secure AI Framework（SAIF），是目前全球最具代表性的AI安全治理架構之一，它不只是技術手冊，更是幫助企業「安全、有序採用AI」的藍圖。 SAIF的核心理念是將：AI納入整體資安治理，確保模型在安全與合規的基礎上運作；企業導入AI前，應先盤點所有模型與訓練資料，辨識其中的敏感資訊並加強防護。 在防禦設計上，SAIF特別重視權限管理、模型存取控制與輸入驗證機制，避免駭客透過提示詞注入、模型中毒（Model Poisoning）或資料外洩等方式入侵。 此外，SAIF的另一大重點是「可審核性與透明性」，確保AI的推論過程，能夠被追蹤與驗證，保證決策來源清晰。這與Google提出的Grounding（基礎錨定）技術相輔相成，使AI的輸出更加可解釋與可信任。 Steve Ledzian表示，SAIF並非抽象概念，而是一套可落地執行的實務框架，目前 Google內部所有AI應用都遵循該架構，並將最佳實務分享給業界。 <h3>為AI模型披上防彈衣</h3> 為了進一步落實SAIF的理念，Google推出AI Protection解決方案，協助企業強化AI環境的防禦力。這項方案著重於兩個關鍵方向，首先是資產可視性，讓企業能全面掌握內部運作的AI模型，避免員工私自使用生成式AI所造成的「影子 AI（Shadow AI）」現象，導致資料外洩風險。 其次是模型防禦力，Google研發的Model Armor技術可主動偵測提示詞攻擊與資料外洩行為。Steve Ledzian形容這項技術就像是替模型穿上「防彈衣」——不僅監控輸入內容，也監控模型輸出，確保不會洩漏敏感資訊。 Model Armor可以運作於Google Cloud的AI服務上，也支援企業自建或第三方AI平臺，提供靈活且完整的安全防護。 從安全到治理，是AI發展的新常態 AI的安全挑戰並不僅止於技術層面，還涉及倫理、隱私與法規遵循。Steve Ledzian說：「AI的安全問題最終會演變為治理問題。」若企業想讓AI穩定發展，必須從設計階段就納入治理機制。 這也是SAIF特別強調「治理護欄（Governance Guardrails）」的原因，因為治理護欄並非限制創新，而是讓創新有明確方向，確保風險在可控範圍內。 他指出，Google目前也積極參與國際組織CoSAI（Coalition for Secure AI），推動全球一致的AI安全與治理標準。Steve Ledzian表示，AI治理的終極目標，是讓每一個AI決策都能被追蹤、被質疑、被審查。唯有如此，AI才能真正被信任。 <h3>AI與防禦的融合實踐</h3> 除了治理架構，Google也在實際防禦場景中展現AI的力量。該公司推出「AI Cyber Defense Initiative」（AI 網路防禦倡議），這是Google承諾將AI帶入網路安全領域，以協助防禦者對抗日益複雜的網路威脅，並致力於讓數十億數位使用者受惠。 此倡議將Gemini模型的能力，應用於威脅偵測、攻擊分析與事件回應等任務中，讓AI成為安全團隊的戰力夥伴。它的核心目標是利用Google在AI領域的領先地位，加上世界上最大的威脅情報、世界級的安全團隊，以及安全的全球基礎設施，共同推進網路防禦的未來。 Gemini Report則進一步展示AI在資安領域的具體應用——例如自動生成攻擊模擬日誌、測試SOC偵測效能，或將新聞與情資轉化為防禦規則，甚至能分析惡意軟體行為並自動生成防禦腳本。從這些實務案例顯示，AI不僅能輔助資安團隊，更能主動參與防禦流程。 正如Steve Ledzian 所言：「Gemini Report的目標，就是讓AI成為資安團隊的一員——那位永不休息、永不分心的安全夥伴。」 <h2>AI時代的防線在雲端，也在人心</h2> 當被問到Google如何看待AI與資安的未來關係時，Steve Ledzian的回答簡潔而深刻：「AI會改變一切，但安全永遠來自於人。」 他相信AI能讓資安防禦更快速、決策更準確、治理更有效，但真正的安全仍取決於組織文化與倫理準則。「沒有任何AI能取代責任。」他說，「我們要做的，是讓AI成為可靠的盟友，而不是難以控制的力量。」 在AI驅動的資安新時代，Google正用其雲端架構與Mandiant情報能力，打造出一條具備前瞻技術同時又做到治理嚴謹的防線，而這條防線的真正價值，不只在抵禦攻擊，更在於幫助企業理解——資安，不只是防禦，而是信任的基石。 <img alt="" src="https://s4.itho.me/sites/default/files/images/600-Steve%20Ledzian-7_Google%E9%9B%B2%E7%AB%AF%E8%B3%87%E5%AE%89%E6%8F%90%E4%BE%9B.jpg" style="width: 600px; height: 400px;" /> <blockquote>Google Cloud Security & Mandiant亞太區及日本首席技術總監Steve Ledzian建議，臺灣的資安長們可以多使用「可視化展示」或「攻擊模擬」方式來說服高層。 照片/Google雲端資安提供 </blockquote> <div class="ui-widget-content ui-draggable" id="haloword-lookup" style="position: relative;"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"></div> </div> <div id="haloword-content"> </div> </div> </div></div></div>
2025/10/27 14:09作者黃彥棻https://www.ithome.com.tw/news/171869
【理論很美，現實很「硬」】企業資安框架落地的五階段實戰指南
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0509-li_lun_hen_mei_xian_shi_hen_ying_-960-jpg-2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 想像一下這個情境：資安部門剛向CEO展示完華麗的資安報告，半個月後卻遭遇勒索軟體攻擊，員工手忙腳亂，系統陷入癱瘓……，這不是個別案例，而是當下企業資安的普遍現象。因為推動資安強化，理論與實務往往存在著鴻溝，主要表現在三大落差：人才、工具、執行。 有位資安同業曾半開玩笑地說：「企業資安就像健身房會員，買了會員卡很興奮，但真正堅持鍛鍊的人少之又少。」許多企業購買了各種資安產品和服務，卻沒有把它們融入日常營運。如何破解這個困局？答案就在於「把理論變為行動」。 思路轉換：從「合規導向」到「風險導向」 許多企業視ISO 27001等認證為資安工作的終點，忙於完成各項檢核表，卻忽略了真正的防護能力建設。一位製造業CIO的經歷，代表了許多企業的共同困境：「直到一次嚴重事件後，我們才意識到資安要處理的是『風險』，而非僅止於文件合規」。企業需要在思維上，做出下列三個關鍵轉變： ● 從「我們做了什麼」變成「我們做得怎麼樣」 ● 從「有沒有達標」轉向「能不能真的防禦」 ● 從「靜態的檢查」走向「動態的保護」 像是NIST CSF 2.0（美國國家標準與技術研究院網路安全框架，2024年3月更新的版本）就新增了「治理」功能，特別強調高層參與的重要性。這不只是技術的升級，更是對企業管理的一種溫柔提醒——資安已經是經營核心的一部分，就像為企業這輛車裝上了方向盤，讓它在資安的旅途上跑得更穩。 資安成熟度：幫助企業資安自我定位的GPS 出發去旅行前，我們會先看地圖，搞清楚自己站在哪裡，對吧？資安也是如此，在大刀闊斧地建設之前，先摸清自己的底細，才能走得順。NIST CSF把資安成熟度分成四個層次，幫我們定位：Tier 1（部分）、Tier 2（風險知情）、Tier 3（可重複）、Tier 4（自適應）。 比如說，當企業被問到在「保護」、「偵測」和「回應」各功能領域分別處於哪個成熟度層級？是否存在明顯落差？是否可以做出客觀答覆？一位金融機構的資安長曾感慨：「我們在『保護』這塊可能算得上Tier 3，但『偵測』和『回應』卻還在Tier 1晃蕩。這就像家裡裝了頂級警報器，卻不知道鈴響了該怎麼辦。」找到自己的位置，就像拿著一面鏡子，誠實面對，才能知道下一步往哪走。 從哪些開始著手？端點安全是絕佳切入點 面對龐大的資安挑戰，許多企業不知從何下手。就像一個龐大的修繕工程，應該先從地基開始，而不是急著粉刷牆面。在企業資安中，「端點安全」正是這一地基。根據2024年的威脅分析顯示，超過80％的企業資安風險與端點設備直接相關，為何攻擊者選擇端點安全作為突破口？原因很簡單： 1.攻擊者的首選目標：大多數攻擊從端點入手，如釣魚郵件、惡意軟體等。 2.快速見效：改善後能迅速展現可量化成果。 3.基礎性防護：為後續網路和數據安全奠定基礎。 一家準備上市的科技公司在遭遇ERP主機的資安事件之後，才驚覺原來自認做好的端點防護其實只有防毒，卻有三個大窟窿、始終不自覺：沒能監控異常行為、回應能力弱、漏洞修補總是拖延。而這種情況的存在，就像一個家庭安裝了門鎖，卻從不上鎖，或者門壞了很久，也不修理。因此，想要解決端點安全問題，就是把最基本、最關鍵的防線先做確實。 <hr /> <img alt="" src="https://s4.itho.me/sites/default/files/images/0509-%E7%90%86%E8%AB%96%E5%BE%88%E7%BE%8E%E7%8F%BE%E5%AF%A6%E5%BE%88%E7%A1%AC-600-1(1).png" style="width: 600px;" /> 透過vCISO虛擬資安長系統能夠將不同的資安框架融合，並以可視化極具象化的方式提供企業更加清晰的資安狀態審視，幫助決策者的維度思考。圖片來源／Cynomi 五階段模型：從紙上談兵到實戰防禦 基於眾多企業的實踐經驗，我們提出了「五階段資安落地模型」，幫助企業將框架理論轉化為實際防護能力，依序為：共識建立、現狀檢視、規畫、執行、優化。 第一階段：共識建立，讓大家說同一種語言 資安建設最大的障礙往往不是技術，而是認知差距。一家電子商務企業專案經理形容：「我們的管理層談風險與成本，技術團隊談威脅與漏洞，兩方像是在用不同語言交流。」 這階段的重點工作是： ● 管理層與技術團隊共同參與資安的培訓 ● 將技術語言轉化為業務語言 ● 建立資安目標的共識與期望管理 成功訣竅：用生動案例而非抽象概念溝通。與其說：「我們需要端點偵測回應系統」，不如說：「這套系統能讓我們在駭客入侵初期就發現並阻止，而不是等到資料被加密勒索後才發現。」 階段成功指標： 1.管理層能正確解釋關鍵資安指標的業務意義 2.技術團隊能夠用業務語言表達資安的需求。 第二階段：現實檢視，照妖鏡vs美顏相機 很多企業的資安評估像是用美顏相機自拍，看起來不錯，但與現實差距甚遠。真正有效的評估，應該像照妖鏡，揭示出所有不為人知的問題。 許多企業經過全面評估之後，才發現：「我們有防毒軟體和防火牆，但實際上像是有鎖卻不關門，員工常常關閉防毒軟體以提高電腦速度，而且，防火牆規則多年未更新。」 有效的評估，應該包含這些項目： ● 端點防護實際效能測試（不只是安裝率） ● 漏洞掃描與滲透測試 ● 人員資安意識抽樣調查 ● 資安流程實際執行情況檢視 成功訣竅：好的評估不是為了證明你做得有多好，而是找出哪裡可以做得更好。 階段成功指標： 1.發現至少5個之前未意識到的重大資安缺口 2.獲得具體可量化的改進基準。 第三階段：精準規畫，不是買越多越好，而是買對的 「我們需要更好的資安產品！」這句話常常導致預算浪費，購買了一堆用不上或用不好的工具。精準規畫就是把有限資源用在刀刃上。 一家中型物流企業的CIO提到：「我們過去的資安投資就像囤貨，買了很多產品卻沒有統一規畫。現在我們採取重點突破策略，先從端點安全入手，再逐步擴展。」 有效的策略規畫，應考慮這些項目： ● 基於風險評估的優先順序 ● 人員、流程、技術三維平衡 ● 分階段實施路線圖 ● 明確的資源需求與成功指標 成功訣竅：一個好的規畫並不是越複雜越好，而是越實際越好。專注於最關鍵的幾個點，確保能夠真正實施，並且產生效果。 階段成功指標： 1.建立清晰的資安投資優先順序 2.為每一項投資，設定具體的預期效益指標。 第四階段：落地實施，再好的計劃也需要執行 我們深知「計劃趕不上變化」，在資安領域尤其明顯，但是很多企業往往追求制定詳盡計劃，卻在實施階段遇到各種阻力。關鍵是小步快跑，讓每一步都落地。 一家醫療機構的IT主管分享了他們的經驗：「我們曾經自建24小時監控中心，並做了許多詳盡規畫，但這對我們來說不現實，所以我們轉換思考選擇了MDR方式，不僅能迅速建立了全天候的監控能力，同時內部團隊可以專注於其他工作。」 MDR（Managed Detection and Response，委外託管偵測與回應服務）整合了先進的端點安全技術與專業團隊支援，能迅速提升企業安全能力。市場研究顯示，採用MDR服務的企業平均可將資安事件發現時間縮短80%，處理時間減少65%。 實施階段的關鍵成功因素，包括： ● 分步驟推進，先小範圍試點再擴大 ● 技術部署、流程整合與人員培訓，三管齊下 ● 持續溝通與期望管理 ● 及時記錄成效與經驗教訓 成功訣竅：再好的工具也需要熟練的使用者和清晰的流程。就像給廚師配備高級刀具，若不懂得如何使用，依然無法做出好菜。 階段成功指標： 1.按計畫完成至少70%的實施項目 2.核心資安指標有明顯改善。 第五階段：持續優化，資安不是目的地，而是旅程 很多企業把資安視為一次性專案，卻忽略了資安是一場無限賽局，需要不斷地持續調整與優化。一位金融業資安主管分享了他們的方法：「我們每季度會回顧資安狀態，評估新出現的威脅，調整防護策略。這就像健康檢查，定期進行才能及時發現問題。」 持續改進的機制，包括： ● 定期的資安狀態審視與威脅評估 ● PDCA（計畫—執行—檢查—行動）循環管理 ● 資安績效指標追蹤與分析 ● 團隊能力持續培養與提升 成功訣竅：從被動應對轉向主動管理，建立威脅獵捕、漏洞管理和風險評估的常態機制。 階段成功指標： 1.建立資安儀表板自動監控關鍵指標 2.每個季度完成一次全面的資安狀態審視。 案例說明：從數字看真相 理論很美，但實際效果如何？一家50人規模的軟體新創公司採用五階段模型並導入MDR服務，以半年（6個月）為目標期程，我們可以具體看到成效，藉由指標量化不僅證明方法的有效性，也為後續的資安投資，提供有力的支持。 該企業的資安負責人坦言：「技術部署相對容易，真正的挑戰在於流程整合和文化建設。」常見的持續挑戰，包括：業務部門對資安措施的抵觸、資安流程與業務流程的整合困難、新興威脅的不斷演變。 不過，在漸進式的過程中，能夠先在關鍵領域取得成果，建立信心和支持，再逐步擴展至更廣泛的資安建設。 最重要的是，當企業通過定期分享可量化的安全改善指標，能夠讓管理層和業務部門直觀感受資安投資的價值，而對於企業資安任務的推動，也更能理解與支持。 <hr /> <img alt="" src="https://s4.itho.me/sites/default/files/images/0509-%E7%90%86%E8%AB%96%E5%BE%88%E7%BE%8E%E7%8F%BE%E5%AF%A6%E5%BE%88%E7%A1%AC-600-2(1).png" style="width: 600px;" /> 企業資安需從理論轉為可執行的行動，透過五階段模型（共識建立、現狀檢視、規畫、執行、優化），讓資安成為業務策略的一部分。 <img alt="" src="https://s4.itho.me/sites/default/files/images/0509-%E7%90%86%E8%AB%96%E5%BE%88%E7%BE%8E%E7%8F%BE%E5%AF%A6%E5%BE%88%E7%A1%AC-600-3(1).png" style="width: 600px;" /> 持續提升資安防護效率，策略與實施都是關鍵，以NIST CSF 2.0為核心指導原則，結合CDM矩陣的系統性評估工具，輔以MDR專業服務的外部支援。三者相輔相成，可形成從「規劃—評估—執行」的閉環管理模式。 <hr /> 從「紙上兵法」到「實戰高手」 資安威脅是場無限賽局，企業不可能一勞永逸解決所有問題。正如孫子兵法所言：「上兵伐謀」，聰明的資安策略並不是與攻擊者比拼資源，而是破解其計謀。尤其面對日益複雜的先進網路威脅，企業資安須邁向「實戰層面」，並且將資訊安全（Information Security）提升到網宇安全（Cyber Security）。 NIST CSF與CDM這些優秀框架提供了清晰的指引，但真正的價值在於將它們融入企業日常運營。就像地圖再精確，不跟著走，也無法到達目的地。（<a href="https://www.ithome.com.tw/article/163232" target="_blank">延伸閱讀：《2024臺灣資安年鑑》〈</a><a href="https://www.ithome.com.tw/article/163232" target="_blank">謀定而後動，善用資安框架是上上策</a><a href="https://www.ithome.com.tw/article/163232" target="_blank">〉</a>） 的確！資安不該是紙上談兵！許多企業擁有完善的政策文件，卻未能確保落實執行。有效的資安防護需要「說、寫、做」保持一致——管理層的承諾、書面政策與實際行動，必須相互呼應，並且通過PDCA循環持續改進。從合規檢查的形式主義，轉向實質性防護，才能真正提升企業韌性。 在資源有限的現實下，善用外部力量是明智之舉。例如，尋求MDR專業服務，能彌補內部專業的不足，而近期AI技術應用，也可以大幅提升資安處理的效率。事實上，面對不斷進化的威脅，如果採取保守心態，只會讓企業在防護能力上，落後一步。適當地「借力使力」，能夠以更經濟的方式，建立全面的防護網。 資安已從技術議題演變為企業核心競爭力。當框架從理論知識轉化為組織文化，企業才能在數位信任時代立於不敗之地。畢竟，最有價值的資產不僅是數據本身，更是客戶對品牌的信任與忠誠。 從資安框架到實際防護能力的轉變，不是一蹴而就的過程，而是需要持之以恆的努力。因為每一次的小進步，都是通往資安成熟企業的重要一步。正如那句老話：「千里之行，始於足下。」文⊙懷生數位產品發展處處長黃繼民 　資安框架理論與現實的三大差距　 落差類型 人才落差 現實情況 我們有三個資安專家……，其實是IT同事兼職 問題本質 面對全職駭客，企業用兼職人員應對，戰場不對等 落差類型 工具落差 現實情況 購買了十幾種資安產品，卻沒人知道是否有效 問題本質 各式工具像孤島一樣分散在企業內部，難以形成協同防禦 落差類型 執行落差 現實情況 我們有完整的資安政策……，但不確定有人遵守 問題本質 政策流程停留在紙上，資安演練流於形式，員工對政策一知半解 資料來源：黃繼民，2025年3月 　NIST CSF的4個資安成熟度區分　 成熟度層級 Tier 1（部分） 特徵描述 被動回應，無計畫性 比喻說明 像消防隊，總在火燒眉毛時，才衝出來救火 成熟度層級 Tier 2（風險知情） 特徵描述 有初步規畫，執行不一致 比喻說明 開始有點計劃，但是還不夠有條理 成熟度層級 Tier 3（可重複） 特徵描述 標準化流程，穩定執行 比喻說明 有了標準流程，能穩穩地執行 成熟度層級 Tier 4（自適應） 特徵描述 持續學習，主動調整 比喻說明 像個聰明的學生，懂得學習和調整，主動出擊 資料來源：NIST，黃繼民整理，2025年3月 　五階段資安落地模型的實施成效對比　 改善指標 資安事件偵測時間 實施前 平均15天 實施後 (6個月) 4小時 改善幅度 縮短93% 改善指標 系統漏洞修補率 實施前 不到20% 實施後 (6個月) 80% 改善幅度 提升60% 改善指標 資安事件處理時間 實施前 平均5天 實施後 (6個月) 1.5天 改善幅度 減少70% 改善指標 員工資安意識培訓完成率 實施前 30% 實施後 (6個月) 85% 改善幅度 提升55% 資料來源：NIST，黃繼民整理，2025年3月 　實施五階段資安落地模型的挑戰與因應之道　 挑戰類型 整合流程 挑戰描述 資安流程與業務流程衝突，造成效率降低或規避操作 解決策略 ●業務部門參與流程設計 ●分階段實施 ●優先簡化高頻流程 挑戰類型 文化建立 挑戰描述 員工將資安視為阻礙而非保護，抵制措施執行 解決策略 ●提供情境化培訓 ●建立資安意識激勵機制 ●高層以身作則 挑戰類型 技術應用 挑戰描述 多種資安工具分散使用，未形成協同防禦 解決策略 ●強化工具整合 ●實施自動化流程 ●建立統一儀表板 挑戰類型 持續演進 挑戰描述 新型威脅不斷出現，防護策略需要持續更新 解決策略 ●建立威脅情報共享機制 ●定期評估並調整防護策略 ●參與產業資安社群 資料來源：黃繼民，2025年3月 <hr /> <a href="https://www.tenlong.com.tw/products/9789860654349?list_name=srh" target="_blank">本文出自《CYBERSEC 2025 臺灣資安年鑑》</a> <a href="https://www.tenlong.com.tw/products/9789860654349?list_name=srh" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025%E8%B3%87%E5%AE%89%E5%B9%B4%E9%91%91%E5%B0%81%E9%9D%A2.png" style="width: 350px;" /></a> </div></div></div>
2025/5/9 07:00未署名https://www.ithome.com.tw/article/168487
【臺灣資安大會】趨勢科技：企業推動AI應用資安策略應面面俱到，可從資料、模型開發、員工使用及基礎架構管理著手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 「當企業使用愈來愈多的AI技術，有沒有立很好且完整的監督機制，掌握企業內有多少員工運用AI？有多少語言模型被應用在產品線上？」趨勢科技產品管理部協理沈維明臺灣資安大會上這麼說。 隨著LLM模型技術發展，為企業應用生成式AI打開大門，更多的企業增加對GenAI的投資，但是GenAI相應產生的風險，企業該如何有效控管？ 沈維明表示，現今LLM大語言模型發展三個趨勢，首先是LLM每百萬Token成本，在保持準確性之下，每年降低40倍；其次是較小參數規模的LLM模型，在某些方面的效能表現不輸於較大參數的模型；第三是模型壓縮技術快速發展，得以在較低規格的伺服器上執行，在壓縮和效能上取得平衡點。 目前觀察的大語言模型發展趨勢，大語言模型愈來愈小，也愈來愈專精，效能表現也愈來愈好，甚至有專門研究，研究大語言模型如何透過更有效率的壓縮，經過壓縮後也能產生相近的效果，「這意謂著大語言模型的應用會變得更廣泛，以往只能在高階規格的設備上才能執行，現在逐漸往終端裝置或邊緣運算發展，例如在工廠的產線做加值應用」，沈維明說。 不少調查報告顯示，有更多的企業表示將增加對AI的投資，運用AI的場景，也從先前多聚焦於客服機器人，開始向核心業務發展，企業運用AI提高生產力、建立差異化，這些已是市場上明顯觀察得到的趨勢。 建立AI資安風險的可視性 在AI的時代，資安風險也隨之增加，攻擊手法愈來愈不一樣，愈來愈快速、刁鑽，難以偵測防範。 從AI應用的生命周期來看，相關的風險來自資料、AI模型及代理、App及使用，以及底層的基礎架構及管理。 <img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96-9-600.jpg" style="width: 600px; height: 365px;" /> 沈維明指出，首先是資料部分，當企業運用GenAI，需要使用許多訓練資料、企業內部資料、外部資料，讓語言模型學習企業內文化、內規及作業方式，如何妥善管理資料，避免機敏性的資料不小心外洩出去，為控管AI風險的重要課題之一。 其次是AI模型及代理，企業導入AI Agent，Agent與Agent之間的溝通協定，或是企業利用代理工作流將供應鏈串連在一起，需要考慮到可能的潛在風險。 最後是AI App及使用，大部分的資安問題來自於人，因此思考如何控管AI風險，也要將員工如何使用AI的行為納入考慮。 在資料、模型及代理、App及使用三者之外，底層的基礎架構及管理也相當重要，不論是使用雲端IaaS、SaaS或地端，都需要妥善的控管潛在風險。 沈維明表示，企業需要建立AI風險的可視性，才能對資源使用排出優先順序，制定策略將潛在的風險妥善管理或予以分散風險。 GAI風險的經典案例 上述資料、模型及代理、App及使用，已出現經典的案例，沈維明分享幾個知名的案例。 在資料管理方面，一個案例是韓國新創業者推出AI聊天機器人Lee Luda，運用超過10億筆Kakao Talk用戶對話資料訓練，Lee Luda與使用者對話，意外洩露用戶的敏感資料，被聯合訴訟，韓國政府也對此開罰，該業者面臨商譽及金額的損失。 在AI模型及代理開發方面，許多企業在訓練、微調模型的過程中，可能使用第三方的開發工具或框架，以加快AI的建置，一個案例是使用開源工具Flowise，因為對於採用的開源工具不熟悉，導致在沒有很好的權限控管之下，企業將AI服務放到網路上，導致敏感的個資、企業資料、健康資料曝露出來。 另一個案例是軟體被發現CVE 9.0的漏洞，由於沒有及時修補，導致容器被攻陷，濫用Nvidia GPU及雲端資源。 在App及使用方面，一個攻擊的案例是，曾有一位白帽駭客利用Prompt Injection的入侵手法，使ChatGPT幫他產生惡意軟體；日本曾出現一個案例，一名沒有技術背景的人士，在沒有利用漏洞的情形下，利用AI工具產生勒索軟體。 沈維明表示，企業需要建立很好的方法去掌握內部員工使用哪些AI工具，企業應該如何因應？上述各種案例就像開時速300公里的跑車，如果沒有設計很好的煞車系統，不會知道何時會發生車禍。如同趨勢科技執行長所說，我們並不是要讓企業的AI應用停下來，而是在安全的框架下，當面臨危險或風險時稍微減速跨過去，或是預防接下來可能發生的問題。 依不同的風險制定防護策略 針對上述的攻擊案例或手法，企業可以參考資安業者公開的威脅研究，例如趨勢科技針對AI風險發布白皮書，供外界免費下載，持續更新針對AI攻擊的最新手法，企業可參考白皮書加強AI應用的資安防護。另外，趨勢科技的威脅研究團隊也在官網公開最新的威脅研究成果，以及建議企業可以如何布建安全防護，可以作為企業參考。 「思考資安或AI議題，一個很重要的方向是建立完整的可視性（Visibility）」，沈維明表示，現在資安涵蓋的範圍相當廣泛，電子郵件、身分、網路不同領域都有資安廠商，企業要先建立完整的可視性，掌握匯整後的資訊，進而採取行動。 目前趨勢科技提出Vision One，其中的資安曝險管理CREM（Cyber Risk Exposure Management），以協助企業針對內部不同層面，如電子郵件、網路、雲端，進行風險評估，幫助CISO評估企業內部的風險指數高低，包括造成風險的弱點在哪些，例如目前企業的電子郵件面臨的網路釣魚風險高低等。 企業推動AI應用發展，另一個面臨的議題是法遵，除了國外，臺灣也已開始針對產業建立AI應用相關的規範，特別是金融業方面，未來會有更多的規範，針對AI應用的情境及問責、責任，提供更明確的規範，趨勢已提供工具，讓企業資安或稽核人員檢視實務和法規規範間的落差。 針對AI使用行為的防護，目前可以參考一些AI Gateway方案，可協助企業釐清風險，並透過rule-based的控管員工的AI使用行為。 至於AI應用開發中的container保護，沈維明認為，大多集中在對runtime的保護，建議也要強化pre-runtime部分，即開發的CI/CD階段，開發階段最容易被忽視，建議可從開發到部署加強保護。 許多企業目前已經上雲，但是諸如金融或政府，可能因為法遵對資料的要求，AI應用需要落地，在地端資料中心或私有雲環境部署AI應用，這類部署常常會因為條件有不同的變化，他建議企業思考AI的資安策略，要顧及到雲端部署的AI防護，在地端部署也要能做到一致的防護。 </div></div></div>
2025/4/23 18:56作者蘇文彬https://www.ithome.com.tw/news/168569
甲骨文外洩病患醫療資訊處理方式惹爭議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <a href="https://www.bleepingcomputer.com/news/security/oracle-health-breach-compromises-patient-data-at-us-hospitals/" target="_blank">Bleeping Computer報導</a>，甲骨文旗下健康部門（Oracle Health）疑似今年2月系統被駭，導致涉及多家醫院、為數不詳的病患資訊外洩。已有數家醫院遭到勒索，而且甲骨文從通知到應對客戶的態度讓客戶頗感不滿。 媒體報導，多家醫院接獲甲骨文電子郵件告知，其雲端電子病歷系統（Cerner）遭駭，且可能有病患資料外流。2025年2月20日甲骨文發現電子病歷系統Cerner一臺未移轉到Oracle Cloud雲端平臺的舊伺服器遭未經授權存取，並且將資料複製到一臺遠端伺服器上。甲骨文分析後研判，攻擊者是在今年1月22日之後利用一名外流的客戶憑證成功存取甲骨文伺服器。外洩資料可能包含儲存在Cerner電子病歷系統中的病患資訊。 Cerner原是美國雲端電子健康紀錄或電子病歷（electronic health/medical record，EHR/EMR）平臺供應商，<a href="https://www.ithome.com.tw/news/151399" target="_blank">在2022年為甲骨文收購</a>並整併進甲骨文健康（Oracle Health）事業群中。收購Cerner也讓甲骨文獲得醫療資訊的專業，推出雲端病歷方案，還在和OpenAI合作的AI投資<a href="https://www.ithome.com.tw/news/167107" target="_blank">Project Stargate中</a>納入以AI進行健康分析和監控的規劃。 雖然甲骨文語帶模糊，但多名消息人士向媒體證實，的確有病患資訊遭竊。此外，多家醫院遭到一名為Andrew的人士勒索價值數百萬美元的加密貨幣，否則將把病患資訊公布在網路上。 除了系統被駭導致醫院儲存在Cerner的病患資訊外流，報導指出，甲骨文還有其他作法令客戶不滿。首先，這封信件雖然有Oracle Health總經理Seema Verma的簽名，但是以一般電子郵件格式寄送，沒有甲骨文官方信頭，看來很可疑。此外，甲骨文並沒有透明的聯繫管道，醫院客戶想聯繫甲骨文時，不能以可作為證據的電子郵件聯繫，而只能打電話並轉給甲骨文資安長（CISO）。 本次事件是單純資料存取或是否涉及勒索軟體，甲骨文皆未說明，也未提供醫院客戶清楚的行為指引。 最可議的一點是，甲骨文願意承擔金錢支出，但不願聯繫使用者。甲骨文在信件中告知醫院客戶，判斷被竊資料是否違反美國醫療法令HIPPA是醫院的責任，而且該公司並不直接通知資料外洩的病患本人，得要醫院自己寄通知給病患，但說他們會協助辨識是哪些病患受影響，並且提供通知的寫作範本。甲骨文也說會負擔身份資料外洩追蹤服務的費用。 <a href="https://www.bloomberg.com/news/articles/2025-03-28/oracle-warns-health-customers-of-patient-data-breach?embedded-checkout=true" target="_blank">彭博則引述不具名的甲骨文員工說</a>，不只是電子病歷，有些客戶在主機上還代管了其他系統如HR或財務資料。但連員工也好幾天無法存取客戶環境，無法確認是否有駭客或是客戶存取了那些資料。 甲骨文之所以不想直接面對使用者，是因為一旦使用者提起告訴，恐怕會導致數以百萬美金計的賠償。 上周甲骨文Oracle Cloud也發生疑似用戶資料外洩。<a href="https://www.ithome.com.tw/news/168074" target="_blank">一名駭客宣稱</a>手上握有來自Oracle Cloud的600多萬筆資料，包含單一簽入（SSO）及LDAP的帳密資料。但是甲骨文否認公司系統被駭。 </div></div></div>
2025/4/1 10:12作者林妍溱https://www.ithome.com.tw/news/168175
淺談動態資料治理
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1220-itshu_zhai_-1p-zi_liao_zhi_li_ji_shu_shou_ce_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">碁峰資訊</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 歷程或出處是指資料在提取－轉換－載入（ETL）和其他移動過程中，所採用的「路徑」紀錄。當新的資料集和資料表在整個資料生命週期中經歷創建、丟棄、以及普遍被使用時，歷程可以是資料來源，也就是創建、轉換、導入的視覺化表示方式，它應該有助於回答「為什麼這個資料集會存在？」的問題，和「資料從何而來？」 當資料在您的資料湖泊中移動時，它會與來自其他地方的資料，混合並且交互作用以產生洞見。但是，元資料，也就是有關資料來源及其分類的資訊在資料傳輸過程中有丟失的風險。例如，對於給定的資料源，您可能會問「這個來源的資料品質如何？」因為，它可能是高度可靠的自動化過程，也可以是人工建立/驗證的資料集。由於不同來源的資料會混合在一起，而這些描述資料的背景資訊有時會丟失，以致於您可能不太信任其他來源的資料。 資料來源的元資料資訊，例如敏感性、品質、資料是否包含個人識別資訊（PII）等，可以支持是否允許混合某些資料以輸出最終結果、是否允許存取該資料以及該資料應該給誰等等的決策。在混合某些資料以輸出結果時，您需要追蹤其資料來源。而且，預計使用這個資料結果以達成的業務目標尤其重要，因為創建的資料產品應該要有助於實現該業務目標。例如，假設業務目標要求資料在單位時間內須具有一定的準確性，請確保資料歷程不會在處理資料時，降低時間單位的精準度。由此，我們可以得知歷程對於有效的資料治理政策至關重要。 如何蒐集歷程？ 理想情況下，從資料的開始到結束，您的資料倉儲或資料目錄將擁有一個可檢視任何被使用的資料產品、儀表板或模型的功能，並且可以蒐集沿途中每個動作的歷程。但這樣的做法很少見，而且很可能會有盲點。對每個資料產品，您將不得不推論相關的資訊，或者以其他方式手動整理資訊以縮小與事實的差距。一旦您獲得此資訊後，便可根據其可信度，將其用於治理目的。 對於成功的企業來說，資料以指數型速度累積很常見；隨著資料的增長，在歷程蒐集過程中，允許越來越多的自動化，並依次減少對人工管理的依賴相當重要。自動化建立資料歷程並且盡量地減少人為的介入，有助於資料產品的發展與獲取終端使用者的信任。 另一種蒐集/創建歷程資訊的方法，是連接到資料倉儲的API日誌檔。API日誌檔應包含所有SQL工作，以及所有程式化的資料渠道，如R、Python等。如果有一個理想的工作稽核日誌檔，您可以用它來創建一個歷程圖。例如，這允許創建資料表的指令以便於回溯至先前資料表的模樣。但這樣的做法不如即時地記錄歷程有效，因為它需要回溯日誌檔和批次處理。但是如果您關注的是資料倉儲中的歷程，這種方法可能非常有用！ 如何治理動態資料？ 假設歷程資訊保存良好且在一定程度上是可靠的，一些關鍵的治理應用程式就會依賴資料歷程。 歷程可以滿足的一個常見需求是除錯或理解資料的突然變化。為什麼某個儀表板停止正確顯示？哪些資料導致了某種機器學習演算法的準確性發生了變化？諸如此類的需求。從最終產品中找出匯入哪些資訊後就發生了變化，例如，品質突然下降、欄位值缺失、某些資料不可用等等，此外，了解資料的路徑和轉換也有助於快速地解決資料轉換錯誤。 在所述歷程是可靠的前提下，通常針對資料欄位的另一個需求是，推斷資料類別的能力。例如，針對包含個人識別資訊（PII）的特定行，如想將基於此行所衍生的資料都標記為個人識別資訊（PII），而且之後衍生的行，也都想實施同樣的存取/保留/遮蔽等策略，可能就會需要一些特定的演算法，使您能夠在該行被精確地複製時實施相同的存取策略；但如果衍生行的內容是空值，則只能實施不同策略，或無法實施既有的控制策略。 圖6-4是一張稍微複雜一點的歷程圖。隨著資料從外部資料源移動到資料表D，以及隨著資料表D，與資料表A和資料表B的副產品「資料表C」合併，並最終呈現在儀表板中，您可以看到整個歷程經過，尤其是行級別的歷程有多重要。例如：假設不管是資料表A、資料表B還是外部資料源，都是只有其中一行包含個人識別資訊（PII），並且公司對個人識別資訊（PII）的政策是「僅允許全職員工可以存取」。因此，如果讓個人識別資訊（PII）進入到儀表板，應該就會影響到儀表板本身的存取策略。 <img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98_%E8%B3%87%E6%96%99%E6%B2%BB%E7%90%86_%E5%9C%964.png" style="width: 500px;" /> 圖6-4：歷程的工作流，如果資料表B包含敏感資料，則儀表板中也可能找到該敏感資料。 但長期以來，資訊長（CIO）和資安長（CISO）期望的使用案例則更為廣泛： <blockquote>「我想確定哪些系統可信任，並確保就算沒有人工監督，資料也不會存在於其他比較不受信任的系統中。」 </blockquote> 這種需求可以透過在受信任系統上實施出口控制來解決，如果使用良好的歷程解決方案，這項任務可能會更簡單。例如，藉由這種方式，資料來源將被顯示在歷程資訊中，因此您可以防止來自未經批准系統的資料被攝取至受信任之環境。 <blockquote>「我需要能夠輸出報告，和稽核所有處理個人識別資訊（PII）的系統。」 </blockquote> 這是GDPR時代的普遍需求，如果您標記個人識別資訊（PII）的所有來源，就可以利用歷程圖來識別個人識別資訊（PII）的處理位置，從而實現更高級別的控制。 策略管理、模擬、監控、變更管理 本質上，資料治理政策應該從資料的含義中推導出來。如果在某個組織中想要管理個人識別資訊（PII），並將個人識別資訊（PII）定義為個人電話號碼、電子郵件地址和街道地址，則可以自動地檢測這些個人資訊類型，並將其與資料類別相關連。然而，掃描資料表，並確定哪些行包含這些資訊類型在計算上很昂貴。為了正確識別資訊類型，在不知道哪些行包含敏感資訊的情況下，需要採樣整個資料表，並且透過模式匹配和機器學習模型處理這些採樣，從而提供對基礎資訊類型的可信度，並適當地標記行。 但是，如果您可以只需識別該標記行的創建事件，則此過程會變得更具效率。而這就是資料歷程發揮效用的地方。 歷程資訊的另一個用途是資料變更管理的考量。假設您要刪除某個資料表；或者，您想要更改資料類別的存取策略；又或者您可能想設置一個資料保留控制元件，在一段時間後將資料內容變得更加簡略，例如30天後，將資料從「GPS座標」更改為城市/州。透過歷程，您可以追蹤受影響的資料到其最終產品，並分析此更改的影響。假設您想要限制資料表中某些欄位的存取，您可以透過查看哪些儀表板或系統會使用到這些即將遭受限制的欄位值，並評估受影響的範圍。一個理想的結果是當終端使用者在存取資料/儀表板時，會跳出一個提醒視窗顯示存取權限發生變化，因此可以在更改策略時發出警告，提醒管理員某些使用者將失去存取權限，甚至可能允許一定程度的深入鑽研，以便檢查這些使用者受影響的情況並做出更明智的決定。（本文摘錄整理自《資料治理技術手冊》，碁峰資訊提供） <div> <img alt="" src="https://s4.itho.me/sites/default/files/images/1220-IT%E6%9B%B8%E6%91%98-1P-%E8%B3%87%E6%96%99%E6%B2%BB%E7%90%86%E6%8A%80%E8%A1%93%E6%89%8B%E5%86%8A-600.jpg" style="width: 600px;" /> 圖片來源_碁峰資訊 書名 資料治理技術手冊（Data Governance: The Definitive Guide） Evren Eryurek、Uri Gilad等／著；簡誌宏／譯 碁峰資訊出版 定價：580元 作者簡介 <img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98_%E8%B3%87%E6%96%99%E6%B2%BB%E7%90%86_%E5%9C%962_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Amazon.png" style="width: 150px;" /> <a href="https://www.amazon.com/stores/Evren-Eryurek/author/B08WJN2PG1?ref=ap_rdr&isDramIntegrated=true&shoppingPortalEnabled=true" target="_blank">圖片來源_Amazon</a> Evren Eryurek Evren Eryurek博士是Google Cloud資料分析和資料管理產品組合的領導人。 <img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98_%E8%B3%87%E6%96%99%E6%B2%BB%E7%90%86_%E5%9C%963_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Amazon.png" style="width: 100px;" /> <a href="https://www.amazon.com/stores/Uri-Gilad/author/B08W6QPM69?language=zh_TW&ref=ap_rdr&isDramIntegrated=true&shoppingPortalEnabled=true" target="_blank">圖片來源_Amazon</a> Uri Gilad Uri Gilad領導Google Cloud中巨量資料的資料治理。 </div> </div></div></div>
2025/2/21 06:00未署名https://www.ithome.com.tw/article/167176
臺灣駭客年會邁入20年，不只點燃駭客精神，半導體封裝測試大廠日月光也加入資安社群行列
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 今年臺灣駭客年會（HITCON）社群場於8月23、24日連續兩日舉行，現場重頭戲不僅包括多場技術資安議程，還帶來一系列資安相關活動與挑戰，吸引近千名對資安有興趣的研究人員與學生參與。特別的是，今年已是HITCON第20周年，象徵著該活動在臺灣資安社群中的深厚歷史與影響力。 綜觀這20年的發展，台灣駭客協會理事長翁浩正於今年活動開場時指出，現在的資安環境與早期相比，有著顯著不同。 例如，現在這幾年HITCON已經達到千人規模，而當時HITCON就像是一個30、40人的技術同好會。 不止是國內HITCON社群人數的變化，回顧20年前，資安的重要性鮮少受到關注，如今無人質疑其關鍵性，現在更值得討論的是，我們該如何進一步提升並做得更好。 畢竟，全世界在這20年間不斷在改變，不只是技術在改變，資安事件、駭客組織、APT組織也都全部在演變，像是雲端、生成式AI，還有網路戰爭等，這或許是20年前我們完全想像不到的未來，因此，我們需要不斷探索科技的變化，找出資安議題與駭客議題。 翁浩正強調，HITCON不再是少數技術同好交流的一個場合，而是產官學研與國際夥伴們一起討論與參與，不僅活絡臺灣資安社群發展，也讓臺灣的資安能夠變得更好。 事實上，現在HITCON系列活動是越來越多元，例如，這兩日舉辦的活動就是針對駭客技術的社群場，聚焦研究人員與學生在技術上的交流與成長。之後10月，還有針對企業防禦實務技術及資安管理的企業場，以及CTF競賽、Cyber Range 2024企業藍隊競賽，還有CISO Summit資安長高峰會等。 <h2>豐富大會活動激勵駭客挑戰精神，電路板識別證與遊戲程序錯誤吸睛</h2> 今年HITCON社群場中，在多項最新技術分享的議程之外，各種豐富的大會活動也是一直以來的重點，是促進國內資安社群、新血交流與學習的重要平臺。 例如，一系列針對資安入門到初階課程的Hacking 101，以及激發大家對韌體挑戰熱情的電路板識別證（PCB Badge），還有社群、Village與業者設計的各式小活動等，促進彼此間的學習與交流。 本屆HITCON 2024社群場總召游毓堂（阿特）表示，今年Hacking 101課程相當熱門，參與會眾相當踴躍，因為課程中可以手把手帶大家認識攻擊與防範，這次規畫了3種主題，涵蓋面向包括去中心化方面的DeFi Expolit、AD CS安全，以及藍隊綜合培訓惡意程式偵測技術。 在激發駭客精神方面，有兩大亮點受到我們關注，一是20周年紀念版的PCB Badge（電路板識別證）的主要挑戰活動，另一是有關薩爾達傳說（The Legend of Zelda）遊戲程序錯誤的演說議程。 以今年的PCB識別證而言，這款Badge不僅具備獨特的設計，內含LED跑馬燈顯示、紅外線、PIN腳、跨版溝通等多種功能，不僅讓會眾可以自行編輯名字，並內建多種小遊戲，包括貪食蛇、小恐龍、俄羅斯方塊，可以在大會活動兩天內累積分數並獲得大會獎勵。 <a href="https://s4.itho.me/sites/default/files/images/（圖3As）HITCON 2024 CMT社群場_Badge.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963As%EF%BC%89HITCON%202024%20CMT%E7%A4%BE%E7%BE%A4%E5%A0%B4_Badge.jpg" style="width: 600px;" /></a> 特別的是，可以累積Badge分數的方式有很多種。大會總召游毓堂表示，這款Badge設計了紅外線（IR）的收發器，一旦靠近熱點就會加分，尤其在靠近一些攤位或講師時，分數就會增長比較快；而在Badge上提供的小遊戲，更是需要大家找出計分規則，像是可以與電腦相連接以分析PCB版韌體，找出計分規則，甚至玩出沒有想過的方法，激發更多想像力。 而且，今年的Badge還有一個全新設計，能夠兩兩對接方式進行對戰，甚至直接傳送分數給對方。 <a href="https://s4.itho.me/sites/default/files/images/（圖3Bs）HITCON 2024 CMT社群場_Badge.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963Bs%EF%BC%89HITCON%202024%20CMT%E7%A4%BE%E7%BE%A4%E5%A0%B4_Badge.jpg" style="width: 600px;" /></a> 以遊戲程序錯誤挖掘而言，雖然這不是典型的資安議題，但卻與駭客精神一致。 這是由一位知名遊戲程序錯誤（Glitch）的兼職型YT創作者YUDA所分享，他在演說中介紹了遊戲世界中除了正規玩法、Speed Run，還有挖掘Glitch、Bug的領域。 他分享了在任天堂Switch遊戲《薩爾達傳說：曠野之息》與《薩爾達傳說：王國之淚》中挖掘程序錯誤的經驗，同時介紹這方面的研究社群，是如何一步步探索出新的成果，並闡釋從意外發現、刻意發現、邏輯確認的「逆向思考」反推方法。 <a href="https://s4.itho.me/sites/default/files/images/（圖6s）HITCON 2024 CMT社群場_程序錯誤.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966s%EF%BC%89HITCON%202024%20CMT%E7%A4%BE%E7%BE%A4%E5%A0%B4_%E7%A8%8B%E5%BA%8F%E9%8C%AF%E8%AA%A4.jpg" style="width: 600px;" /></a> <h3>不只是AI，半導體資安人才需求、Car Hacking成現場新焦點</h3> 本場活動還有哪些全新焦點？在社群、Village與廠商攤位上，我們有3大發現，涵蓋AI資安、半導體資安人才需求、Car Hacking。 首先，AI無疑是這幾年的重要焦點，大會上不僅有4場是與AI、資安相關的演說，現場也有一些攤位活動聚焦於此。例如：一款名為「新手Prompt之助」的遊戲」，是由中華資安國際開發，讓會眾掃描QRCode後可以開啟一個網頁與聊天機器人對話，目標是套出其所保護的神秘金鑰，遊戲共分為6個等級。 還有一款UCCU AI Challeng的遊戲，是由資安社群UCCU Hacker開發，這遊戲不僅有探索安全防護機制的Prompt Injection挑戰，還有考驗要設計可防禦Prompt Injection的挑戰，並會有難度等級讓參與會眾可以循序挑戰。 <a href="https://s4.itho.me/sites/default/files/images/（圖5s）HITCON 2024 CMT社群場_AI.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965s%EF%BC%89HITCON%202024%20CMT%E7%A4%BE%E7%BE%A4%E5%A0%B4_AI.jpg" style="width: 600px;" /></a> 半導體之所以是一大焦點，這是因為我們難得在HITCON社群現場，看到有半導體業者設攤並提供現場遊戲活動。 這家業者就是在半導體封測領域相當知名的「日月光半導體」（ASE Global），他們資安團隊設計了一個SOC事件調查的情境解題遊戲，讓會眾可在現場檢視SSLVPN、Server、防火牆這3個儀表版，並給出5個問題讓玩家一一回答，包括攻擊者從那個IP位址登入指定一臺主機等。 <img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962As%EF%BC%89HITCON%202024%20CMT%E7%A4%BE%E7%BE%A4%E5%A0%B4_ASE.jpg" style="width: 600px;" /> <a href="https://s4.itho.me/sites/default/files/images/（圖2Bs）HITCON 2024 CMT社群場__ASE.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962Bs%EF%BC%89HITCON%202024%20CMT%E7%A4%BE%E7%BE%A4%E5%A0%B4__ASE.jpg" style="width: 295px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/（圖2Cs）HITCON 2024 CMT社群場_ASE.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962Cs%EF%BC%89HITCON%202024%20CMT%E7%A4%BE%E7%BE%A4%E5%A0%B4_ASE.jpg" style="width: 295px;" /></a> 根據該公司資安團隊現場人員的說明，在資安人才培訓上，除了採用市場上的方案，他們本身也打算自行設計一套平臺，協助內部人員的資安培訓。因此剛好藉由HITCON社群活動，正式啟動這項計畫，而這次設計的小遊戲只能算是雛形，並將內容更為簡化，像是Log數量控制在1,000筆之內等，以適合現場的解題。 事實上，這次日月光半導體的參與，也引起了現場眾多與會者的關注。可以想見的是，此舉展現了企業方對資安人才的需求，而且還是相當知名的半導體業者，突顯出資安專業對企業的重要性，不亞於普遍資安業者。 另一個Car Haking活動也相當特別，因為這個領域的Village活動在國外已發展一陣子，近年此風潮才吹向臺灣。如今HITCON也增加這方面的元素，邀請海外的Car Hacking Village，現場展示了車用資訊娛樂裝置，以及針對車用系統的小工具，透過一些獨特的實作讓大家了解Car Haking的不同之處。 <a href="https://s4.itho.me/sites/default/files/images/（圖1As）HITCON 2024 CMT社群場_Car Hacking.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961As%EF%BC%89HITCON%202024%20CMT%E7%A4%BE%E7%BE%A4%E5%A0%B4_Car%20Hacking.jpg" style="width: 290px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/（圖1Bs）HITCON 2024 CMT社群場_Car Hacking.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961Bs%EF%BC%89HITCON%202024%20CMT%E7%A4%BE%E7%BE%A4%E5%A0%B4_Car%20Hacking.jpg" style="width: 297px;" /></a> <h3>在多項最新技術議程中，Confusion Attacks攻擊面揭露成焦點</h3> 至於每年ITCON社群場的分場演講，一直是許多資安技術熟手獲取新知的重要管道，當中最受矚目的就是戴夫寇爾首席資安研究人員蔡政達（Orange Tsai）的演說，這是因為，每年他都有重大研究成果揭露，並受到國際資安研究人員的重視。 這次他分享了最近8月黑帽大會期間首度公開的成果，並且是首次現場中文演說，剖析他發現新攻擊面的經過與思維，讓大家去思考這樣全新的利用方法。 簡單來說，他闡釋了關於Apache HTTP Server方面的研究，公開了Confusion Attacks的新攻擊面，統整出3種手法，包括：Filename Confusion、DocumentRoot Confusion，以及Handler Confusion，並且發現與通報了9個漏洞。 他指出，Apache HTTP Server的發展近30年之久，其實比現場7成與會者都還要年老，因此累積了非常多的技術債，而且整個網頁伺服器是由數百個小模組結合而成，因此當中存在不同的設定語法，若是不了解每個設定的意圖，很容易因為設定失誤而造成安全風險。以Filename Confusion手法為例，如果有兩個模組對同一個欄位有著理解上的不一致，就會造成安全上的風險。 <a href="https://s4.itho.me/sites/default/files/images/（圖4s）HITCON 2024 CMT社群場_Orange.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964s%EF%BC%89HITCON%202024%20CMT%E7%A4%BE%E7%BE%A4%E5%A0%B4_Orange.jpg" style="width: 600px;" /></a> 不只是上述這項演說內容，今年HITCON社群場議程所涵蓋的資安議題，也是相當豐富，涵蓋了事件應變、雲端安全、零信任、企業紅隊演練、區塊鏈、隱私與資安治理等多元面向，還有多個零時差漏洞的解析，並有多場是來自日本與美國的專家演說。特別的是，今年大會同時提供中文、日文與英文的現場翻譯，展現國際化的特性。 最後，隨著HITCON第20周年的發展，回顧與傳承也成為今年的一大特點。在回顧方面，現場議程不僅有國際級的資深研究人員，闡述這30年、25年的資安態勢演變，大會游毓堂（阿特）表示，活動上也有HITCON 20年紀念的博物館，以及回顧並復刻往年HITCON CTF的經典題目；在傳承方面，台灣駭客協會理事長翁浩正特別提到，20年前他是這裡的參與者，20年後他依然在資安產業裡面，如今他也感謝這幾年的社群夥伴們，可以承接HITCON的火炬，繼續往下傳承。 </div></div></div>
2024/8/24 22:47作者羅正漢https://www.ithome.com.tw/news/164681
【iThome 2024 CIO大調查系列4｜GAI趨勢】93位CIO與CISO如何因應生成式AI挑戰（上）
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 「AI創新」，這是多數資訊長和資安長今年最重要的目標，也是對生成式AI浪潮最大的期待，但要如何找出GAI的機會，克服種種背後的挑戰。93位來自一般製造、高科技、服務業、金融、政府學校的資訊主管和資安主管，分享了他們看到的GAI機會與挑戰。 企業已不能只將生成式AI視為新技術，而是一個千載難逢的良機，讓企業能夠雇用一群博覽群書、擅長論述、能操各國語言、會寫程式、已達常春藤名校等級的機器人大學畢業生。如何「訓練微調」這群機器人員工，進而重塑企業文化及工作流程，賦能而非取代人類員工，將是企業的嶄新挑戰。 ── 第一銀行執行副總暨資訊安全長劉培文 <hr /> 五個機會 1. 創新應用和產品開發。2. 個性化和定製。3. 效率提升。4. 實現創意。5.數據增強決策。 五個挑戰 1.數據隱私和倫理問題。2.技術壁壘。3. 不確定性，需要監控和調整。4. 安全風險。5. 文化適應。── 百億IC設計公司資訊主管 <hr /> GAI是新藍海，IT在企業決策的角色越來越重要 ── 半導體製造業資深副總 <hr /> 當前GAI迅速發展，各廠商爭相提供各式各樣的服務，今日公認最好的Solution，可能數月後有更強大的替代方案，這種情況非常普遍。在這樣的大趨勢下，企業面臨著雙重挑戰：一方面，他們必須時刻保持與潮流同步，避免落後於競爭對手。另一方面，初期投入大量資源後，又擔心技術發展太快速，初期投入技術還未能發揮綜效，就馬上落伍了。 面對各種GAI的行銷及社交媒體上的宣傳攻勢，企業不應該隨波逐流，讓這些技術左右我們的步伐。相反地，企業應以自身的核心競爭力為出發點，利用GAI工具提高工作效率，協助解決自己的問題。就像計算機發明數十年了，但，全世界國小學童還是要學數學的四則運算。工具雖然可以幫我們提昇效率，更重要的關鍵是，必須知道如何利用工具來解決我們的問題。 所以在導入GAI時，不必期望它能解決所有問題，初期只需要投入很少量的資源進行實驗，找出真正能夠顯著提升效益的工具，等取得一定程度的成效後，再決定是否投入新的資源到下一個應用場景上。關鍵在於保持靈活性，引入GAI工具來提升效率，配合自身的核心競爭力和資源優勢，來創造新的機會。── 第一網站研發部副總經理劉勉志 <hr /> 【挑戰】 GAI仍是發展中的技術，具有無限的應用可能性，但還有許多不確定性。企業對外服務或對內使用GAI，考驗企業對導入新興科技的治理成熟度。 【建議】 我認為導入GAI前，是否明確定義使用的目的及預期效益、是否有內外部人力對GAI技術有一定了解及掌握、是否定義達成目標及退場方案等，都會影響導入GAI所帶來的效益及風險。其他包含自動化的正確性、資料品質、資料隱私、智財、以及後續的持續監控應對，都是導入GAI的重要議題。── 大型金融平臺資安長 <hr /> 【四大機會】1. 提升效率：AI可以自動化許多繁瑣且重複的工作，如數據分析、報告生成等，從而提高企業的工作效率。2. 創新業務模式：AI可以用於開發新的產品或服務，如推薦系統、智能客服等，為企業帶來新的業務機會。3. 優化決策：AI可以透過大數據分析和預測模型，提供更準確的商業決策支持。4. 提升客戶體驗：AI可以在客戶服務、個性化推薦等方面提供更精準的服務，從而提升客戶滿意度和忠誠度。 【四大挑戰】1. 數據安全與隱私：AI技術的運用可能會涉及大量的數據收集和處理，這將對數據安全和隱私保護提出更高的要求。2. 技術與人才短缺：AI技術的快速發展，需要大量的專業人才來開發和維護，這可能會導致人才供不應求的情況。3. 法規遵循：隨著AI技術的應用越來越廣泛，相關的法規也不斷出爐，企業需要確保其AI應用的合法性。4. 技術整合與適應：對於許多企業來說，將AI技術與現有的IT系統進行整合，以及讓員工適應新的工作模式，也是一大挑戰。── 百億營收公司資訊協理 <hr /> 【機會】 員工能力提升與知識經驗傳承：1. 將生成式AI視為虛擬助手，靈活運用於各部門的各類不同工作場景中，能有效提升同仁們的能力。2. IT資訊部門應跳脫既有框架，成為企業內同仁們的「數位教練」。3. 以生成式AI為核心的企業KM知識庫，將如同企業的大腦。KM活化與RAG檢索增強生成，是生成式AI於企業的重要應用場景與技術。除了效用與便利性之外，更可以解決企業困擾的問題-人的經驗傳承。 【挑戰】 資安風險評估與管理：企業欲活化與利用數據，同時會面臨機敏資料保護問題，需做好風險評估並準備相應的風險控管機制。── 旭榮集團總管理處IT系統專案部資深經理林宗霖 <hr /> 科技的進步帶來了很多便利，AI工具的發展從簡單的自動識別和OCR辨識等進步到人工智能客服，AI工具運用到重覆工作內容可以減輕員工的作業繁瑣，但AI工具也是個雙向刃享受科技進步的同時，也要思考AI工具帶來的風險，過去已發生多起ChatGPT沒有安全的管控，自動搜尋公司的敏感資料而外洩，未來，公司會跟著AI潮流發展，但在過程中會同步思考AI的風險及應變措施── 台灣牙易通資安經理吳紫語 <hr /> 生成式AI可為企業增加創新應用、提升效率及競爭優勢，亦可改善業務流程提升客戶滿意，在健康醫療領域也可利用加強式檢索，提供更多醫療輔助，改善部分醫療人力短缺及不足的問題。 挑戰方面，普遍問題是專業AI人力的短缺，一般企業無法自己雇用專門的AI人才及經費不足以建置地端的運算能力，因此，企業大部分都採用雲端的AI應用，容易衍生資安議題，加上資訊技術整合能力普遍不足也是一個大問題。── 國軍高雄總醫院資訊室主任鄭重男 <hr /> 潮流帶動，讓許多企業主「聽說到」生成式AI與應用是甚麼，讓他們能有些許的概念與認識；加上許多軟體應用爆發，更快速讓他們直接體會並使用到此技術的應用，這遠比用說的、想像的、畫夢式的給他們介紹好太多了。相關應用上能順理成章的順勢推動，是很好的機會！但因百家爭鳴，應用程度與價格相對的非常混亂，要如何從中找到好的！需要的！自然成為潮流中選擇的一大挑戰。── 大倉久和大飯店資訊部林峻正 <hr /> 如何透過法規、資安、保密、倫理與資料只能對內部應用狀況下，如何讓生成式AI透過資料庫資料的訓練，自動生成相關臨床醫護病歷資料，減輕臨床醫護人員負擔。這樣才能有效讓新時代臨床醫護人員投入醫療照護工作，讓臨床醫護人員有更多時間照顧病人。── 衛福部彰化醫院醫務行政室主任黃冠凱 <hr /> 生成式AI技術應用改變了我們使用機器與科技的方式，有很多的題目，可以思考如何透過生成式AI的應用，降低成本甚至激發出更多的創意，將是資訊團隊非常好的機會點。同一時間，現有人員因為重複性的工作被AI取代後，要如何轉型會是另一個挑戰。── 全國電子資訊管理處協理黃漢傑 <img alt="" src="https://s4.itho.me/sites/default/files/images/1191-%E8%AC%9D%E5%AD%94%E8%B6%85-JPG-2.jpg" style="width: 600px;" /> 資訊單位需要透過生成式AI技術，開始幫助公司各部門思考自己的職務內容，如何做到更升級的工作產出，而公司各單位也需要認知，資訊技術含AI的導入及應用，需要各單位放入年度計畫才能達成業務升級的目標。── 全盈支付資訊長鍾明峰 <hr /> 【機會】 醫療流程有許多需要參考各資料來源做結論或是統整的作業，應該有機會可以使用生成式AI解決。 【挑戰】 醫療資料多屬機敏資料，去識別化不易，難以使用外部GAI服務── 臺大醫院資訊室主任陳權忠 <hr /> 有效降低員工耗費在影像判讀、病歷記載所花費的時間。員工對資訊系統整合生成式AI功能會有更多期待── 大千綜合醫院副院長室資訊副院長林禎裕 <hr /> AI的iPhone 時刻，改變工作本質學能，提升普羅大眾善用AI能力，增進創造力與生產力。── 玉山證券資訊長郭健男 <hr /> 【機會】 過去窒礙難行的想法，透過生成式AI技術會有不一樣的機會實現。 【挑戰】 找尋適用場域落地應用── 中菲行國際物流商業智慧科技部總監陳立人 <hr /> 生成式AI若沒妥善使用，可能引發智慧財產權等相關爭議，需要建立處理機制。── 阿官國際餐飲集團資訊總監涂榮宗 <hr /> 【機會】 節省人力，提升效率。 【挑戰】 隱私保護，內容正確性，人員專業程度下降── 臺中榮民總醫院資訊室主任賴來勳 <hr /> 生成式AI可大幅度減少中小型企業利用和開發AI的門檻── 聯新國際醫院數位發展部部長徐偉倫 <hr /> GAI提升員工生產力，但也讓資料管理更困難── 新光吳火獅紀念醫院資訊部主任林璟淑 <hr /> 挑戰是如何利用AI導入進行決策── 新海瓦斯研展室課長林宗建 <hr /> GAI加速數位轉型── 南僑集團資訊處資深經理謝永輝 <hr /> 挑戰是人力、技術── 嘉南療養院資訊室主任吳郁 <hr /> 靜觀其變── 禾伸堂企業資訊中心協理郭建中 <hr /> GAI六大挑戰，包括了1. 內容自動生成但結果未必正確，符合現在快速彈性化應對的世代，造成了兩難的問題。2. 對於機敏資料無意識上有可能不自覺洩露，而不自知，或許資料很難界定可以或不可以。3. 資安範疇太過於廣闊，資安硬體或軟體成本投入無法即時跟上？4. 企業對於培育專業專職的資安人員有所顧慮，無法真正落實。5. AI要符合一間公司企業與文化，其實需要大量投入時間與成本，但高層希望立即產出有效結果，還要用極低的成本。6. 版權無法有效確認圖像、文字是否無意識盜用── 連鎖餐飲品牌資訊主管 <hr /> GAI實戰經驗：生成式AI的建置硬體環境成本需用高速運算的伺服器，相對於我們公司所用AI模型環境，成本高出很多。因此，前置的研究投入成本，是入門研究的重要門檻。雖有小型的生成式AI模型，不過經測試效果沒有大型的AI生成式雲端服務好。若要將公司專業知識做為雲端訓練，又有資料外洩的風險。目前維持在小量不具機敏性的資料，進行雲端的驗證測試，確認其可行性，再提出具可行性的計劃預算正式導入生成式AI專家系統。── 高科技業資訊兼資安協理 <hr /> 目前因生成式AI技術具體應用情境，在我們所屬產業尚未有實務運作之實際導入案例可參考，但我相信未來生成式AI技術更趨成熟，帶給企業的機會是可優化及簡化公司所有相關作業流程，提升員工工作效率，及強化上下游廠商客戶關係及服務，我還是非常期待AI應用爆發潮的到來.面臨的挑戰目前可想到的是人才養成與人才短缺問題── 百億半導體業資訊處長 <hr /> 生成式AI可以加速業務看成，改善工作效率，讓提案或創意內容更加容易且輕鬆達成，可大大提升辦公室人員的效率。但AI幻覺與樣本偏差容易造成產出資料正確的不確定性，可能對後續決策造成影響，或得花更多時間來驗證，現階段先用於資料文件的生成── 百億製造業資深IT主管 <hr /> 企業內部快速運用生成式AI於每日各方面的工作中，可節省成本及時間，成為員工的好助手，CIO可以領導收集好的商業應用分享好的案例，尤其用於創造營收為第一優先。挑戰則是，要建立企業內部ChatGPT，得保護公司資料並確保資料正確性及可信度，並持續改進── 大型藥廠IT主管 <hr /> 【機會】 使用者及公司高層具備AI概念，卻又模糊。有想法不一定成熟，對於商業應用層面得以擴大，若願意投入資源，可以得到相對的報酬。 【挑戰】 技術人員經驗不足，大家都在摸索。技術與實務結合需要時間驗證，需要大量投入資源，產生大企業有AI更強，中小型企業挑戰更大。── 老牌營造業資訊部主管 <img alt="" src="https://s4.itho.me/sites/default/files/images/1191-%E9%8A%80%E8%A1%8C%E8%B3%87%E5%AE%89%E9%95%B7-JPG.jpg" style="width: 600px;" /> 在政府部門有較多的資料與文件不適合對外開放，行政院已公佈GAI的使用指引，政府部門也將依該使用指引方式，使用GAI相關應用，所以對CIO會需要更多客製化的GAI服務，不對外公開或私有雲的部分連接ChatGPT，這才是後續GAI最大量服務── 政府機關IT主管 <hr /> 【機會】 企業內知識分享應用，增加生產力，可用生成式AI快速應對與處理資安事件。 【挑戰】 設計、設定、權限管理不當造成資料外洩（包含內與外部），駭客對AI系統本身的攻擊，駭客也能以生成式AI快速發展自動生成詐騙和攻擊工具── 上市公司集團資安長 <hr /> 身為金融業，在主管機關的要求及公司預算下，因為產業特性，需要比較多的時間才能將生成式AI技術應用於客戶所需的服務上。但是像程式撰寫的輔助如GitHub Copilot，本公司將會先行導入，觀察其帶來的成效── 金融科技公司技術副總 <hr /> 學習新AI工具，尚不知道應用的C/P值如何。如同每一段時間的新技術，實際運用上是否適合中小企業的環境。生成式AI是資訊安全的挑戰，不管是生成式AI造成的資訊外洩，生成式AI對協助惡意程式碼產生都降低了網路攻擊的門檻。── 金屬製造業IT課長 <hr /> 產品生命周期循環越來越快，資訊工具輔以產品開發，如何運用資訊工具的優勢，帶入公司的產品開發是必然趨勢，資訊人員學海無涯，將不再局限於資訊工程上，而得延伸至多面向的商品產品開發，提升自我能力增加自身附加價值在所必然。── 一般製造業IT副理 <hr /> 【機會】 GenAI用在資安維運如Threat Hunting或Log分析、事件應變等，加速人員處理效率。 【挑戰】 目前已有WormGPT、FraudGPT等服務，攻擊者可能應用類似此類服務加速攻擊速度與成功率── 金控資安長 <hr /> 【挑戰】 1. 如何分辨出哪些業務適用性最高，而非一味盲從跟隨風潮，要能有說服力地與提出需求的各業務單位溝通。2. 在不洩漏公司機敏資料的前提下，如何適當應用來提升工作效率層面。── 傳統製造業IT <hr /> 尚在觀望，以傳統產業來說，實際應用層面還是未知數，畢竟1. 客戶數據樣本不夠多。2. 應用層面尚未有明朗的方向。3. 傳統產業業主對於資訊的投資相對較少，皆以維穩為主。── 飯店業資訊主管 <hr /> 在良好的資料準備與提示工程下，可快速發展出高品質的醫療服務產品，GAI降低資訊門檻，讓一般非資訊人員都可能規劃與開發許多資訊需求。小規模的企業都可能發展出有特色的服務。── 私立醫院資訊室主任 <hr /> 生成式AI技術應用要看產業是否有應用場域或環境。中長期，生成式AI勢不可擋。應用於企業環境目前僅限於測試環境，中小企業還是觀望的態度。── 3C零售業資訊經理 <hr /> 1. 資安疑慮與成本高。2. 似乎可以提高個人工作績效，但難以評估。3. 較少有企業方案，或需要高額成本建置企業專屬方案，個人認為GAI 還需要時間── 老牌製造業協理 <a href="https://www.ithome.com.tw/article/164044" target="_blank"> 相關報導 <img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1191-gaifeng_mian_p1_open-960x420_gong_zuo_qu_yu_1_0.jpg?itok=DlvpmSwQ" style="width: 550px;" /></a> </div></div></div>
2024/7/23 10:43未署名https://www.ithome.com.tw/news/164029
【iThome 2024 CIO大調查系列4｜GAI趨勢】93位CIO與CISO如何因應生成式AI挑戰（下）
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 大型企業今年掀起了一股AI創新競賽，尤其是感受到GAI衝擊越迫切的企業，越想用AI來創新產品或強化分析決策。如何找出GAI機會，克服種種背後的挑戰。93位來自六大產業的資訊主管和資安主管，分享了他們看到的GAI機會與挑戰。 在良好的資料準備與提示工程下，可快速發展出高品質的醫療服務產品，GAI降低資訊門檻，讓一般非資訊人員都可能規劃與開發許多資訊需求。小規模的企業都可能發展出有特色的服務。── 私立醫院資訊室主任 <hr /> 目前大部分利用GPT進行文件的處理，或程式的輔助撰寫，目前尚未有實際進一步作法，如果有實際的方向以及用途，應可以正式導入企業用的AI系統，目前應該尚未有明確的方向。── 精密加工業資訊課長 <hr /> 挑戰即是機會，CIO應把握機會，考量資安風險可承受或管理的前提上，主動規劃資源，發掘生成式AI於企業中各部門業務流程中，可能的創新或改善機會。── 高科技集團CIO兼CISO <hr /> 【挑戰】 1. 增進研發及縮短生成時間。2. 客服及行銷上的模式改變。3. 改變工作方式及更多增進員工生產力的醒。4. 技術上的精進及跟隨。5. 資料治理。── 百億高科技業IT主管 <hr /> 【機會】 可大幅降低低階、重複的工作，增進公司營運效率。 【挑戰】 百家爭鳴，發展與技術眾多難以選擇。投資成本高，一不小心就可能落後競爭對手。── 大型上市公司資訊長兼資安長 <hr /> 【機會】 1. 創新與自動化。2. 數據分析，讓數位轉型更有效率。 【挑戰】 1. 資安議題。2. 內容準確性與偏見。3. 技術整合與管理。4. 人才短缺。── 半導體製造資深IT部經理 <hr /> 【機會】 可透過AI增加員工價值，減少人力需求， 【挑戰】 AI運算的正確性，以及衍生出的資安法遵與個資保護議題，目前亦很難評估其ROI。── 保險公司資訊處長 <hr /> 思考方式與邏輯的改變；加強員工因使用AI產生的資料更多觀察與確認；某種可能，AI可帶給企業加快往前的危機感。── 光電業資訊長 <hr /> 生成式AI技術和應用爆發潮可提高IT開發、作業的效率，以及對主流科技進入門檻，但也增加IT管理的難度及複雜度。── 銀行IT資深協理 <hr /> 【機會】 運用新科技加速數位轉型，留住人才。 【挑戰】 兼顧資安防護與新科技應用，迎接新技術對資訊服務衝擊。── 證券業資訊副總 <hr /> 【機會】 創新思考與加速內部作業。 【挑戰】 現有人員與基礎建設對GAI資安應對不足，恐造無法應對的資安破口。── 能源業資訊副理 <hr /> 【機會】 傳統作業流程有機會產生戲劇性改變。 【挑戰】 資訊部門須提供的技術、軟硬體設備服務難迅速跟上腳步。── 營建業資訊協理 <hr /> 運用AI分析大量訊息，提前偵測攻擊行為，降低損失。運用GAI技術，突破人的邏輯思考方式，突破創新。── 消費性電子業CIO <hr /> 【機會】 創新服務與提高自動化效率，改善互動與決策支援。 【挑戰】 安全，風險，法規，人才。── 電腦系統製造業IT副總 <hr /> 生成式AI技術和應用爆發潮，將為企業帶來更多的可能性，但運用的適當與否，將擴大公司間競爭差距。── 服務業集團資安長 <hr /> 生成式AI結合聊天機器人比較適用於與消費者密切接觸之行業，但傳統製造業還看不出重量級應用。── 百億製造業資訊部長 <hr /> 如何儘快讓員工熟悉使用GAI來提高生產力，將是機會，也是挑戰。── 運輸交通業IT副總 <hr /> 企業文化調適，傳統重視ROI的IT專案，需要一定程度的調整，允許一定程度的試驗性質。── 醫藥業資訊部經理 <hr /> 引進生成式AI提升員工生產力與溝通品質，挑戰是難以衡量ROI和AI治理的難度提高。── 高科技製造業IT <hr /> 對於程式開發生產力、內部流程效率優化、客戶服務流程優化，都有很大幫助。── 運輸交通業資訊處主管 <img alt="" src="https://s4.itho.me/sites/default/files/images/1191-%E9%BB%83%E8%8E%89%E9%9B%AF-JPG.jpg" style="width: 600px;" /> GAI輔助企業設計開發是未來可期的，但企業運用時須特別留意資料保護的議題。── 化工業資訊部經理 <hr /> 企業規模發展較為落後者，可藉由生成式AI一口氣追平或超越AI轉型較慢的組織。── 大學圖資長 <hr /> GAI新的技術需要學習，專案很多，時間不足以學習。缺少時間與有系統的學習。── 電子業資訊系統主管 <hr /> 【機會】 新的應用、運用，和新的獲利來源。 【挑戰】 叫好不叫座，獲利數字未知。── 老牌SI公司處長 <hr /> 熟練工具創造生產力的契機來臨，有效資料的訓練與機敏資料外流將是挑戰。── 通訊製造商資深總監 <hr /> 期待又怕受傷害，GAI可以輔助業務場景應用也可能造成不可預期的損傷。── 銀行資訊協理 <hr /> 【機會】 創新資訊服務品質提升。 【挑戰】 跨領域、跨平臺的資安管理複雜。── 醫院副院長 <hr /> 【機會】 員工作業效率的增加。 【挑戰】 商業機密外洩及誤用生成式資料。── 公股銀行資訊協理 <hr /> 提高員工生產力的機會，如何導入真正具有生產力的AI應用之挑戰。── 食品業IT經理 <hr /> 辦公型態的轉變，如何有效運用 AI的資料，幫助生產力的提升。── 塑膠製造業資訊經理 <hr /> 【機會】 提高生產力及創造力。 【挑戰】 資安風險及產生資訊雷同。── 電腦製造業資訊副總 <hr /> 【機會】 剛起步，創新者機會大。 【挑戰】 法規限制。── 證券資訊協理 <hr /> 工作上帶來更多創新，相對不同以往的各種資安風險須評估！── 餐飲集團資訊經理 <hr /> 若能應用在產品的管理或者預測可能問題，會有很大幫助。── 半導體製造IT主管 <hr /> 應用以及資訊技術學習、硬體架構調整；預算及費用提高。── 上櫃製造業資訊經理 <hr /> 現行工作流程如何和GAI協同合作的新工作型態的磨合。── 醫學中心資訊主管 <hr /> 水能載舟亦能覆舟，充分了解GAI，正面看待！── 電子製造業資訊副總 <hr /> 可提高生產力但更多的雲端應用資安風險隨之增加。── 紡織業IT經理 <hr /> 資訊取得及應用、商機開拓、渠道選擇的多樣化。── 紡織業電腦主管 <hr /> 無限創新機會，投資相對是否合乎預期目標與效益。── 電腦週邊製造業資訊主管 <hr /> 有效運用GAI提升效率及大數據分析找商機。── 電子零組件銷售商IT兼資安主管 <hr /> 加強效率及自動偵錯，但是需要人為介入把關。── 醫院資安長 <hr /> 公司沒有跟上時代腳步，就可能被市場所淘汰。── 機械製造業資訊經理 <hr /> AI帶來企業數位轉型及提升作業效率。── 網通製造商資訊經理 <hr /> 【機會】 彎道超車。 【挑戰】 個資外洩。── 外商銀行資安長 <hr /> 加速企業數位轉型、資安威脅增加。── 電子製造業資訊部課長 <hr /> 新一代工業革命。── 大型醫院資訊室主任 <a href="https://www.ithome.com.tw/article/164044" target="_blank"> 相關報導 <img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1191-gaifeng_mian_p1_open-960x420_gong_zuo_qu_yu_1_0.jpg?itok=DlvpmSwQ" style="width: 550px;" /></a> </div></div></div>
2024/7/23 10:44未署名https://www.ithome.com.tw/news/164031