企業資安部落格文章精選（隨時更新）
Anthropic 的 Claude Code Security 確實是部署前漏洞偵測的一大躍進，股票市場的拋售 (資安股 ETF 創兩年來新低) 只是範疇錯誤的過度反應。AI 驅動的程式碼掃描無法取代執行時期威脅偵測、身分治理，或端點防護。更重要的是，企業成長最快速的攻擊面其實是 AI 代理本身。模型供應鏈遭到下毒、執行時期的行為偏差、無法觀察自主式代理的行動，這些全都屬於程式碼範疇之外的威脅。Claude Code Security 讓資安人員多了一項工具可用，這確實可喜可賀，但工具並非資安策略。企業仍舊需要治理、執行時期可視性，以及平台整合，而這唯有採用一套涵蓋完整生命週期的方法才能達成。
⟫ 完整文章
Atlassian Jira 遭濫用：偽裝合法通知發動全球垃圾郵件攻擊
重點摘要
- 駭客利用 Atlassian Cloud 受信任的網域來發動一連串的垃圾郵件攻擊行動，這波行動試圖利用這個合法且知名的 SaaS 平台的網域名稱和信譽。
- 其電子郵件會專為特定語言族群而量身打造，包括：英文、法文、德文、義大利文、葡萄牙文和俄文 (包含住在國外的俄羅斯高階專業人才)。
- 這些攻擊行動不僅會散發一般的垃圾郵件，還會特別針對某些產業，如政府機關和企業機構。
- 他們使用 Keitaro Traffic Distribution System (TDS) 流量分配系統來將受害目標導向可疑的投資詐騙與線上賭場，顯示這波行動是以獲利為主要動機。
- 使用 Atlassian Jira 的企業是這波攻擊的主要目標，尤其是那些電子郵件數量龐大、並且高度仰賴協同作業工具的企業，也就是經常收到、且信任 Jira 通知的環境。
- 企業應部署進階電子郵件防護解決方案 (如 TrendAI Vision One™ Email and Collaboration Security) 來提供多層式偵測與身分感應的控管，更有效偵測及封鎖網路釣魚，以及濫用受信任 SaaS 平台的攻擊。
⟫ 完整文章
爆紅 AI 的隱性威脅：OpenClaw 透露了代理式 AI 助理的哪些風險？
- OpenClaw 是一款功能強大且高度自主的 AI 工具。
其設計特性——包括持續性記憶（persistent memory）、廣泛的系統權限，以及由使用者自行控制的設定機制——進一步放大了代理式 AI 所帶來的風險。 - 這些風險源自代理式 AI 本身的架構特性。
非預期行為、資料外洩，以及與未經審核元件互動所產生的暴露風險，都是所有代理式 AI 系統共同面臨的挑戰。OpenClaw 並未創造全新的風險類型，而是加劇並放大既有風險。 - 其快速普及已顯現真實世界的衝擊。
OpenClaw 的爆發式成長已導致實際事件發生，例如因設定錯誤而造成的敏感資料外洩。其受歡迎程度顯示，原本停留在理論層面的風險，能在極短時間內成為現實，而補救與治理措施往往落後於 AI 的採用速度。 - 零信任原則與持續監控至關重要。
即便是在使用者可自行控制的環境中，也不應對任何元件、技能或系統預設信任。
用 AI 守護 AI：ÆSIR 平台實現零日漏洞的高速自動化防禦
rendAI™ 的 ÆSIR 平台結合了 AI 自動化與專家監督來發掘 AI 基礎架構中的零時差漏洞，從 2025 年中以來已經發掘了 NVIDIA、Tencent 與 MLflow 的 21 個漏洞。
繼續閱讀
