【資安新聞週報】AI 自動挖漏洞、串聯攻擊鏈 /MFA 不再安全，身份系統成主戰場

OpenAI 近日宣佈推出全新網路安全平台「Daybreak」，旨在與 Anthropic 的 Project Glasswing 展開正面對抗。Daybreak 核心在於將 AI 的防禦能力直接植入軟體開發生命週期，利用 GPT-5.5 的推理能力與 Codex 的代碼工具，幫助企業在原始碼階段就發現並修復潛在的資安威脅。

<回到新聞條列重點>

Anthropic鬆綁Mythos限制　允合作夥伴共享資安威脅資訊　　緯來新聞網

Anthropic宣布調整旗下高風險AI安全評估模型Mythos的存取政策，特定合作夥伴（包括資安廠商及政府機關）在符合嚴格保密協議的前提下，可共享透過Mythos分析所得的資安威脅情報，此舉被視為Anthropic在平衡AI安全研究效益與防止技術外洩之間尋求新的政策平衡點。

<回到新聞條列重點>

Cloudflare測試Claude Mythos，能串聯多個低風險漏洞形成攻擊鏈　　iThome

Cloudflare資安研究團隊在Anthropic授權下完成對Claude Mythos模型的實戰評估，報告指出Mythos能有效將多個表面上獨立且低風險的程式漏洞串聯分析，識別出可被組合成完整攻擊鏈的漏洞組合，此能力遠超現有主流自動化漏洞掃描工具的分析深度。

<回到新聞條列重點>

【科技早餐】ChatGPT 開始讀取銀行帳戶，OpenAI 把 AI 助理推進個人理財　　科技報橘

OpenAI宣布ChatGPT正式整合銀行帳戶連結功能，用戶授權後AI助理可讀取交易記錄、分析消費模式並提供個人化財務建議，此功能目前以美國用戶為主要試行對象，金融監管機構已表示將密切關注其資料安全與隱私合規問題。

<回到新聞條列重點>

Android手機爆新資安漏洞！Google卻說不會修復、原因曝光　　自由時報電子報

安全研究人員在Android底層Bluetooth通訊協定堆疊中發現可被遠端利用的漏洞，但Google官方表示由於此漏洞的實際利用難度極高，且影響的裝置已超出軟體支援期限，因此不在計畫修補範圍之內。

<回到新聞條列重點>

Gemini 3.5曝光 Google全時AI Agent「Spark」引爆市場關注　　鉅亨網

科技媒體獨家曝光Google正在內部測試全新AI代理系統「Spark」，底層採用Gemini 3.5多模態模型驅動，主打7×24小時自主執行複雜跨應用程式任務的能力，被視為Google挑戰OpenAI Operator的正面回應。

<回到新聞條列重點>

Google首度證實：駭客已開始用AI發動真實網路攻擊！　　鉅亨網

Google威脅情報小組正式公開確認，已觀察到至少三個國家支持的駭客組織將生成式AI工具整合至實際攻擊流程，包括利用AI自動化撰寫針對特定目標的魚叉式釣魚信件，以及使用AI協助分析漏洞並生成概念驗證攻擊程式碼。

<回到新聞條列重點>

Google I/O 十大重點懶人包！Gemini變AI代理人、Ask YouTube登場　　今日新聞

Google年度開發者大會Google I/O 2026登場，Google執行長Sundar Pichai以「agentic Gemini era」為主軸，宣布Gemini將從AI聊天助理，進一步變成可協助使用者執行任務的個人AI代理人。

<回到新聞條列重點>

Google Cloud推出Cloud Storage Rapid，強化AI訓練與分析工作負載的儲存效能　　iThome

Google Cloud指出，GPU與TPU雖然是AI運算核心，但一旦資料供應或檢查點寫入跟不上運算節奏，運算資源可能無法充分發揮效益。Cloud Storage Rapid即是針對這類需求而設計，主打在保留物件儲存易用性與擴充性的同時，提升AI工作負載所需的資料存取效能。

<回到新聞條列重點>

Google更新Android安全與隱私功能，攔截假冒銀行來電並升級AI惡意App偵測　　iThome

Google週二（5/12）公布Android安全與隱私功能更新，將導入假冒銀行來電攔截、惡意App即時行為偵測、APK下載前掃描、手機竊盜防護，以及更細緻的位置與聯絡人權限控制，主軸是以AI與可驗證機制強化Android裝置安全。

<回到新聞條列重點>

Google發布電腦版Chrome 148更新，修補79個資安漏洞　　iThome

從漏洞的類型來看，記憶體相關的弱點占大多數，其中又以記憶體釋放後再次存取利用（Use After Free）的漏洞最多，有24個，整數溢位漏洞8個居次、記憶體堆積緩衝區溢位漏洞有6個，記憶體越界讀取與越界寫入的漏洞各有5個。此外，安全政策未充分落實漏洞有8個，對於未獲信任的輸入的驗證不足漏洞，以及實作不當類型的弱點，皆為6個。

<回到新聞條列重點>

為Google I/O暖身！AI功能正名「Gemini Intelligence」迎主動智慧新時代　　udn科技玩家

Google宣布在即將召開的Google I/O大會前，正式將旗下AI功能品牌統一命名為「Gemini Intelligence」，此舉不僅是品牌整合，更標誌著Google將AI定位從「被動問答工具」全面升級為「主動執行智慧體」，涵蓋從消費者產品到企業雲端服務的全線AI體驗重塑。

<回到新聞條列重點>

微軟修補Android版Teams漏洞，未更新可能導致偽造攻擊　　iThome

微軟發布Android版Teams緊急安全更新，修補一個可被遠端利用的嚴重漏洞，未更新的裝置上攻擊者可偽造Teams會議通知或訊息，誘騙用戶點擊惡意連結，進而竊取企業帳號憑證，所有用戶應立即透過Google Play Store更新。

<回到新聞條列重點>

Tycoon 2FA被用於裝置驗證碼網釣，駭客搭配Trustifi追蹤器挾持M365帳號　　iThome

資安研究人員揭露新型攻擊組合：攻擊者利用中間人釣魚工具Tycoon 2FA發送含有裝置驗證碼的偽冒網頁，同時嵌入合法電子郵件行銷平台Trustifi的追蹤像素記錄受害者行為，成功繞過微軟M365多因素驗證機制並劫持帳號。

<回到新聞條列重點>

Windows存在零時差漏洞MiniPlasma，攻擊者可取得SYSTEM權限　　iThome

資安研究人員在Windows核心的記憶體池管理機制中發現全新零時差漏洞MiniPlasma，攻擊者僅需取得一般用戶帳號即可利用此漏洞提升至SYSTEM最高系統權限，目前尚無官方修補程式，微軟已確認問題並列為高優先處理。

<回到新聞條列重點>

微軟5月Patch Tuesday修補138個漏洞，AI系統挖出16個漏洞　　資安人

微軟5月份例行安全更新破紀錄修補138個安全漏洞，其中最引人注目的是有16個漏洞係由微軟自家MDASH多模型AI安全分析系統自動發現，開創AI主動挖掘並修補自身產品漏洞的里程碑，AI挖漏洞的效率已超越人工審計。

<回到新聞條列重點>

微軟揭露Exchange Server存在8.1分重大漏洞，並已偵測到漏洞利用活動　　iThome

微軟安全研究人員揭露Exchange Server存在CVSS評分高達8.1分的重大遠端程式碼執行漏洞，更嚴重的是已偵測到此漏洞遭到真實攻擊活動利用的確切跡象，強烈建議所有Exchange Server管理員立即套用緊急安全更新。

<回到新聞條列重點>

新駭客基礎架構出現，加速裝置碼釣魚、竊取Microsoft 365權杖　　iThome

資安研究人員發現一套全新的駭客即服務（HaaS）基礎架構，專門針對Microsoft 365的裝置授權碼驗證流程設計，能在短短數分鐘內自動完成從釣魚郵件發送、誘騙用戶授權，到竊取長效存取權杖的完整攻擊流程。

<回到新聞條列重點>

微軟砸重金投資 AI 卻成效不彰前高層痛批重蹈行動時代覆轍　　癮科技

擔任微軟執行長技術顧問長達四年的前副總裁Matt Veloso近日公開開砲，直指微軟雖然在AI基礎設施砸下高額經費，卻遲遲無法將其轉化為實質的用戶價值與預期利潤，甚至正重蹈過去錯失網際網路與行動裝置時代的覆轍。

<回到新聞條列重點>

Microsoft Edge 停止以明文形式儲存密碼，回應資安質疑　　科技新報網

針對近期廣受批評的「密碼以明文格式載入RAM」問題，微軟宣布Edge瀏覽器最新版本已正式調整密碼儲存機制，改採系統層級加密保護記憶體中的密碼資料，此更新被視為微軟正面回應外界持續施壓的重大安全改進。

<回到新聞條列重點>

微軟 Exchange Server 零時差漏洞CVE-2026-42897遭實際利用　　資安人

資安研究機構確認，微軟Exchange Server遠端程式碼執行零時差漏洞CVE-2026-42897已遭多個駭客組織在野外積極利用，攻擊者無需通過身分驗證即可在目標伺服器執行任意程式碼，微軟已緊急釋出帶外安全更新，要求所有Exchange管理員立即部署。

<回到新聞條列重點>

Windows BitLocker與CTFMON存在零時差漏洞YellowKey、GreenPlasma　　iThome

微軟確認Windows系統存在兩個新發現的零時差漏洞：BitLocker磁碟加密機制的YellowKey漏洞允許攻擊者透過USB裝置繞過加密保護直接讀取加密磁碟資料；CTFMON文字輸入框架的GreenPlasma漏洞則可被用於取得SYSTEM最高系統權限，兩個漏洞均已納入本月Patch Tuesday修補範圍。

<回到新聞條列重點>

微軟公開自家MDASH多模型代理式AI安全系統，發現Windows軟體16個漏洞　　iThome

微軟正式公開其內部研發的MDASH（Multi-model Distributed AI Security Hub）多模型代理式AI安全系統，此系統透過多個AI模型協同分析的方式進行軟體安全審計，已在微軟自家Windows及Office軟體中自動發現16個先前未知的安全漏洞，展示AI主動防禦的實際能力。

<回到新聞條列重點>

微軟將透過Windows Update遠端復原問題驅動程式，減少手動排除故障負擔　　iThome

微軟宣布Windows Update將新增「驅動程式自動復原」功能，當系統偵測到某個驅動程式更新導致裝置不穩定或藍螢幕（BSOD）時，可遠端自動將該驅動程式回滾至上一個穩定版本，無需IT人員親赴現場手動操作，大幅降低企業維運成本。

<回到新聞條列重點>

資安院示警：駭客藉 EvilTokens 平台濫用裝置代碼機制，MFA 防護成虛設　　資安人

台灣資安院發布緊急示警，發現新型駭客即服務平台EvilTokens專門針對OAuth裝置授權碼流程設計，攻擊者只需誘騙用戶在看似合法的頁面上輸入驗證碼，即可在用戶完全不知情的情況下取得Microsoft 365、Google Workspace等企業雲端服務的長效存取權杖，使多因素驗證形同虛設。

<回到新聞條列重點>

Meta「青少年帳號」來了！18歲以下須設私帳由家長管　AI揪13歲以下停帳　　三立新聞網

Meta宣布推出「青少年帳號」保護機制，規定18歲以下用戶必須將帳號設為私人模式並由家長監管，同時導入AI年齡辨識系統，若偵測到13歲以下用戶即自動停用帳號，此政策將陸續在全球各地上線。

<回到新聞條列重點>

危機管理/趨勢科技執行長陳怡樺 AI 織網防杜資安漏洞　　經濟日報網

趨勢科技執行長陳怡樺接受媒體專訪時表示，公司正加速將AI技術深度融合至所有資安產品線，打造能自動偵測、分析並在人工介入前主動封鎖威脅的AI防護網，同時強調AI本身帶來的新型攻擊面也是趨勢科技重點布局的防禦領域。

<回到新聞條列重點>

台灣人用AI處理人生大事比例高達75%！趨勢科技示警：深偽、假投資詐騙更難辨識，僅26%民眾有信心識破　　雅虎奇摩

趨勢科技發布「TrendLife 2026台灣消費者AI使用調查」，顯示高達75%的台灣受訪者曾使用AI處理理財規劃、感情諮詢等重大人生決策，但面對日趨逼真的AI深偽詐騙與假投資廣告，僅26%受訪者表示有信心識破。

<回到新聞條列重點>

xAI推出Grok Build，加入AI程式代理工具戰局　　iThome

馬斯克旗下xAI正式推出程式開發代理工具Grok Build，整合Grok 3模型的程式碼理解與生成能力，可自主執行跨檔案的程式碼重構、自動化測試撰寫及漏洞修補等任務，直接挑戰GitHub Copilot與Anthropic Claude Code。

<回到新聞條列重點>

【臺灣資安大會直擊】元智大學王仁甫：AI代理與開源模型正重塑資安風險，企業需建立制度化、自動化的漏洞治理與AI責任機制　　iThome

元智大學資訊工程系教授王仁甫在臺灣資安大會發表主題演講，警示AI代理系統與開源大型語言模型的快速普及，正為企業帶來難以預測的新型資安風險，呼籲企業應盡速建立包含AI系統盤點、漏洞治理流程自動化及明確AI責任歸屬機制的制度性防護框架。

<回到新聞條列重點>

OpenClaw存在漏洞攻擊鏈Claw Chain，攻擊者可用於竄改組態並植入後門　　iThome

資安研究人員在中國開源AI代理框架OpenClaw中發現可被串聯利用的漏洞攻擊鏈，命名為Claw Chain，攻擊者藉此可遠端竄改OpenClaw的運行組態、繞過授權驗證，並在部署環境中植入持久性後門程式。

<回到新聞條列重點>

中國駭客組織FamousSparrow鎖定亞塞拜然能源業　　資安人

疑似受中國政府支持的駭客組織FamousSparrow（別名Earth Estries）近期大幅擴張攻擊版圖，最新攻擊目標鎖定亞塞拜然的石油天然氣能源基礎設施，利用VPN設備漏洞取得初始立足點後，部署SparrowDoor後門程式從事長期潛伏諜報活動。

<回到新聞條列重點>

Linux高危漏洞Dirty Frag拉警報！OpenAI搶進AI資安防線新戰場　　商傳媒

在Linux核心Dirty Frag漏洞持續延燒之際，OpenAI宣布將其AI安全分析工具正式導入企業資安防禦應用場景，提供自動化漏洞影響評估與修補優先順序建議服務，正式跨入與傳統資安廠商競爭的領域。

<回到新聞條列重點>

Linux核心再傳新的權限提升漏洞DirtyDecrypt　　iThome

繼Dirty Frag之後，Linux核心在短短兩週內又爆出第三個本機提權漏洞DirtyDecrypt，攻擊者可藉此在無特殊條件下將一般用戶帳號提升至Root最高權限，各主流發行版的修補程式正緊急開發中。

<回到新聞條列重點>

Linux再爆本機提權漏洞，兩週內已經找到第三個　　iThome

兩週內Linux核心第三度曝出本機提權零時差漏洞，此次漏洞存在於核心的inotify檔案系統事件通知機制，不同於前兩個漏洞的記憶體損毀類型，此漏洞屬於競爭條件（Race Condition）缺陷，在多核心高負載環境下的觸發成功率相對更高。

<回到新聞條列重點>

Nginx重大漏洞已被用於攻擊　　iThome

資安研究人員確認，Nginx網頁伺服器存在一個已遭積極利用的重大漏洞，攻擊者可藉此發送特製的HTTP請求造成記憶體損毀，進而在伺服器上執行任意程式碼，受影響的版本涵蓋大多數企業部署的穩定版本。

<回到新聞條列重點>

針對RubyGems遭遇大規模垃圾套件攻擊事故，傳出駭客的目的是洩露英國政府機關網站資料　　iThome

RubyGems套件管理平台遭受大規模垃圾套件攻擊，攻擊者上傳數千個偽裝成常用Ruby程式庫的惡意套件，資安研究人員分析其攻擊邏輯後發現，目標係鎖定使用Ruby技術棧的英國政府機關網站，企圖竊取政府資料庫存取憑證。

<回到新聞條列重點>

DNSSEC簽章錯誤導致德國.de網域大規模故障，數百萬網站斷線數小時　　iThome

德國國家頂級域名.de的DNSSEC金鑰簽章程序發生嚴重人為操作失誤，導致德國境內數百萬個網站及電子郵件服務出現長達數小時的解析故障，受影響範圍涵蓋政府機關、銀行及大型電商平台，此事件再度凸顯DNSSEC人工金鑰管理程序的高風險性。

<回到新聞條列重點>

F5修補存在18年的Nginx重大漏洞　　iThome

F5旗下的Nginx網頁伺服器修補了一個埋藏長達18年的重大安全漏洞，此漏洞存在於Nginx最初期的程式碼基礎中，影響HTTP請求處理的核心模組，儘管實際利用需要特定條件，但考量到Nginx在全球網際網路基礎設施的廣泛部署，此次修補的影響範圍極為深遠。

<回到新聞條列重點>

郵件傳輸代理伺服器Exim存在重大漏洞，影響採用程式庫GnuTLS進行通訊的環境　　iThome

廣泛用於Unix/Linux系統的郵件傳輸代理程式Exim被發現存在重大遠端程式碼執行漏洞，漏洞存在於Exim與TLS加密程式庫GnuTLS的交握協議實作中，成功利用此漏洞的攻擊者可在郵件伺服器上以root權限執行任意指令，全球預估有數十萬台Exim伺服器受影響。

<回到新聞條列重點>

OpenAI遭受TanStack供應鏈攻擊波及　　iThome

OpenAI的部分開發工具鏈確認受到Mini Shai-Hulud供應鏈攻擊波及，攻擊者透過入侵TanStack旗下的NPM套件植入惡意程式碼，OpenAI已緊急通知相關開發人員稽核受影響的依賴套件並強制輪換API金鑰。

<回到新聞條列重點>

TeamPCP兜售近450個Mistral AI程式碼儲存庫　　iThome

駭客組織TeamPCP在地下論壇公開兜售聲稱來自Mistral AI的近450個程式碼儲存庫，內容據稱涵蓋模型訓練腳本、API服務架構及內部工具程式碼，Mistral AI已啟動緊急調查並通知監管機關。

<回到新聞條列重點>

Mistral AI的PyPI套件遭遇供應鏈攻擊　　iThome

法國AI新創Mistral AI的官方Python套件管理庫（PyPI）套件遭到供應鏈攻擊，攻擊者成功將惡意版本上傳至PyPI並通過初步審查，惡意版本內含程式碼會竊取開發環境中的API金鑰及雲端服務憑證，Mistral AI已通知所有開發者立即更新並重新生成所有相關憑證。

<回到新聞條列重點>

CISA下令聯邦機構3天內修補思科Catalyst SD-WAN控制器重大漏洞　　iThome

美國CISA發出緊急指令，要求所有聯邦機構必須在72小時內完成修補思科Catalyst SD-WAN Manager控制器中的重大漏洞，此漏洞允許未經身分驗證的攻擊者遠端存取SD-WAN管理介面，可能危及整個企業廣域網路的組態完整性。

<回到新聞條列重點>

美國最大公立醫院醫療資訊、指紋、信用卡資料被竊走，影響180萬人　　iThome

美國規模最大的公立醫院系統遭遇重大資安事件，駭客成功竊取逾180萬名病患的完整個人資料，外洩內容涵蓋病歷摘要、生物特徵指紋資料及信用卡付款記錄等高度敏感資訊，是美國近年來最嚴重的醫療機構資料外洩事件之一。

<回到新聞條列重點>

英國國民保健署因AI資安疑慮，將部分GitHub公開儲存庫改設私有　　iThome

英國國民保健署（NHS）宣布，基於對AI系統可能系統化分析公開程式碼庫以尋找可利用漏洞的疑慮，決定將原本公開的部分醫療IT系統GitHub儲存庫改設為私有模式，此舉引發開源醫療軟體社群對透明度與安全性取捨的廣泛討論。

<回到新聞條列重點>

5月報稅季　資安院示警駭客以稅務郵件發動攻擊　　中央通訊社

台灣資安院發出緊急示警，5月報稅高峰期間駭客大量寄送偽裝成財政部或記帳師事務所的惡意郵件，內含假冒報稅軟體的下載連結或附件，開啟後將植入竊資木馬程式，呼籲民眾務必透過官方管道取得報稅工具。

<回到新聞條列重點>

5月報稅季成詐團突破口　這類關鍵字全都有詭　　壹蘋新聞網

資安專家指出，詐騙集團在報稅季刻意製作含有「退稅」、「補稅通知」、「稅務稽查」等關鍵字的釣魚連結與簡訊，這些訊息在社群媒體廣泛流傳，誘導民眾點擊後進入偽冒的政府網站，騙取個資及銀行帳號。

<回到新聞條列重點>

eSIM爆資安疑慮！中華電信：出國買「這產品」較安全　　民視新聞網

針對近期持續發酵的旅遊eSIM資安疑慮，中華電信建議出國民眾優先選購電信業者官方提供的實體漫遊SIM卡，而非透過來源不明的第三方平台下載eSIM設定檔，以降低個人行動裝置遭到追蹤或資料側錄的風險。

<回到新聞條列重點>

教育平臺Canvas背後的母公司宣稱已與駭客達成協議，取回遭竊資料　　iThome

Canvas學習管理系統背後的母公司Instructure宣稱，已與本月初攻擊其基礎設施的駭客（疑為ShinyHunters成員）秘密達成和解協議，取回所有遭竊的用戶資料並要求對方刪除副本，但拒絕透露支付金額或協議細節。

<回到新聞條列重點>

獨家／鴻海被駭驚人內幕！勒索軟體有瑕疵資安專家憂「加密檔案恐毀損」　　雅虎奇摩

獨家調查報導揭露，駭客用來攻擊鴻海威斯康辛廠的勒索軟體版本存在嚴重程式缺陷，加密過程中可能導致部分檔案結構損毀而無法解密還原，資安專家警告即使鴻海支付贖金，受加密的生產資料與機密文件也可能因此永久損毀。

<回到新聞條列重點>

熊貓易手遇阻力1／Grab併購3大爭議竟藏國安危機　公平會投審司組團嚴陣以待　　鏡傳媒

鏡傳媒深度調查揭露，Grab意圖收購在台灣深耕多年的外送平台「熊貓」（foodpanda）台灣業務，引發公平會及外資審查機制高度警覺，三大核心爭議包括東南亞資本結構的透明度疑慮、用戶移動數據的國安風險，以及市場獨占導致議價能力喪失等問題。

<回到新聞條列重點>

資安署修訂關鍵資訊基礎設施資安防護建議聚焦3核心　　中央通訊社

台灣行政院資安處發布最新版「關鍵資訊基礎設施資安防護建議指引」，聚焦三大核心面向：一、AI系統的安全導入規範；二、強化跨機關威脅情資即時共享機制；三、針對OT/ICS工業控制系統的隔離與監控要求，要求各關鍵基礎設施業者於六個月內完成差距評估與改善計畫。

<回到新聞條列重點>

多家軟體供應商2026年以來CVE揭露量攀升，Chrome大增563.2%，AI輔助漏洞發掘影響浮現　　iThome

最新統計數據顯示，2026年上半年多家主要軟體廠商的CVE漏洞揭露數量大幅攀升，其中Chrome瀏覽器更暴增563.2%，資安分析師指出此現象主要歸因於AI輔助漏洞挖掘工具的普及，大幅提升了安全研究人員發現漏洞的速度與規模。

<回到新聞條列重點>

AI 助資安研究員揭蘋果 M5 晶片漏洞 Mac 安全防線受考驗　　商傳媒

資安研究人員近日傳出，成功利用 Anthropic 尚未發布的 Mythos Preview AI 模型，在搭載蘋果 M5 硬體的 Mac 電腦上發現嚴重的 macOS 作業系統漏洞。

<回到新聞條列重點>

近 40% 員工把敏感資訊丟進未授權 AI：Shadow AI 如何讓企業失去資料、權限與 Agent 行為掌控？　　科技報橘網

《Business Insider》報導，Microsoft 對英國工作者的調查顯示，高達 71% 的受訪者曾在工作中使用未經核准的消費級 AI 工具，其中一半的人甚至每週都會使用。AI 資安平台 Reco 的資料也進一步印證了這個趨勢：在中型企業中，每 1,000 名員工通常約會出現 200 個未授權 AI 工具。

<回到新聞條列重點>

【2026 CIO&CISO大調查】AI原生架構快速崛起，32%企業要用AI增強軟體工程　　iThome

iThome 2026年CIO與CISO大調查結果出爐，有32%的受訪企業表示計畫在未來一年內將AI工具深度整合進軟體開發生命週期，以AI輔助程式碼審查、自動化測試及漏洞偵測；AI原生應用架構已成為超過四成大型企業的主要數位轉型方向。

<回到新聞條列重點>

AI自主網攻能力加速，資安任務長度每4.7個月翻倍　　iThome

AI安全研究機構最新報告指出，AI系統自主執行網路攻擊任務的能力正以驚人速度增長，能夠獨立完成的網路攻擊任務複雜度每4.7個月翻倍一次，意味著僅需一至兩年時間，AI系統可能已具備自主發動複雜APT攻擊的潛力，引發資安界高度警惕。

<回到新聞條列重點>

AI裁員潮席捲美企！從軟體、零售到車廠都在重洗人力牌　　商傳媒

AI導入正在全面重塑美國就業市場結構，包括微軟、Amazon、GM等跨產業巨頭相繼宣布以AI自動化工具取代部分人力職位，裁員涉及客服、倉儲物流、程式開發及行政等多個職能，2026年上半年美國AI相關裁員人數已突破10萬人大關。

<回到新聞條列重點>

IBM於Think2026揭示AI策略聚焦高規監管產業轉型　　商傳媒

IBM在年度Think 2026技術大會上正式揭示其AI企業化策略，重點聚焦金融、醫療及政府等高度受監管產業的AI轉型，主打可解釋性AI、資料主權保護及符合法規遵循要求的混合雲AI部署方案，以差異化定位對抗Google Cloud與微軟Azure的市場競爭。

<回到新聞條列重點>

Red Hat AI 全面升級，與建置人員及營運人員邁向 AI 代理未來　　iThome

世界領先開放原始碼軟體解決方案供應商 Red Hat 今（13）日宣布 Red Hat AI 產品組合的重大進展，旨在弭平 AI 實驗階段與生產級營運控制之間的落差。透過提供統一的硬體底層至智慧代理（metal-to-agent）平台，Red Hat AI 3.4 簡化代理工作流程的開發與部署，賦能企業從試驗階段邁向在整個基礎架構中實現可擴展的 AI。

<回到新聞條列重點>

SaaS 生存戰開打：SAP 推 Autonomous Enterprise，要把自己變成 AI 時代的企業營運中樞　　科技報橘網

SAP 在近日舉行的 Sapphire 2026 大會上宣布推出「Autonomous Enterprise」，被視為 SAP 成立 53 年以來最大規模的 AI 產品發布。這也展現出 SAP 的生存新策略：因為在 AI 代理（AI Agents）時代，市場正在重新評估傳統企業軟體的價值與前景。

<回到新聞條列重點>

【科技早餐】黃仁勳臨時登上空軍一號，NVIDIA H200 可能重回美中談判桌　　科技報橘網

據報導，NVIDIA執行長黃仁勳應邀登上美國總統空軍一號，就NVIDIA H200 GPU出口限制問題與美國政府高層進行非正式會談，消息人士透露H200可能成為美中貿易談判的籌碼，科技業正密切關注後續政策走向。

<回到新聞條列重點>

【科技早餐】黃仁勳、戴爾押代理式 AI，記憶體瓶頸牽動中國市場開放與台灣製造　　科技報橘

NVIDIA執行長黃仁勳與戴爾科技執行長Michael Dell在聯合媒體活動上共同表態，認為代理式AI（Agentic AI）將是未來三年最重要的運算典範轉移，但兩人也共同指出，AI代理快速發展正面臨記憶體頻寬瓶頸，台灣HBM供應鏈的產能攸關全球AI基礎設施擴張速度。

<回到新聞條列重點>

Akamai將斥資2.05億美元收購LayerX，強化AI與瀏覽器安全　　iThome

CDN及網路安全巨頭Akamai宣布以2.05億美元現金收購企業瀏覽器安全新創LayerX，整合LayerX在瀏覽器擴充套件管理、AI應用程式存取控制及員工敏感資料外洩防護方面的核心技術，大幅強化Akamai在零信任及SASE市場的競爭地位。

<回到新聞條列重點>

Ollama重大漏洞影響自架LLM部署，特製GGUF模型檔恐外洩提示詞與API金鑰　　iThome

廣受開發者和企業歡迎的本地LLM部署工具Ollama被發現存在重大安全漏洞，攻擊者可透過構造特製的GGUF格式模型檔案觸發路徑遍歷漏洞，進而讀取Ollama伺服器上儲存的系統提示詞、API金鑰及其他敏感設定檔，所有自架Ollama服務的機構應立即更新至修補版本。

<回到新聞條列重點>

歐盟《網路韌性法案》今年9月施行，產品安全通報時限成法遵門檻，僅四分之一企業將SBOM驗證納入自動化　　iThome

歐盟《網路韌性法案》（Cyber Resilience Act）將於今年9月正式生效，要求所有在歐盟市場銷售的含數位元件產品必須在發現重大安全漏洞後24小時內通報主管機關，但調查顯示目前僅有四分之一的企業已將軟體物料清單（SBOM）驗證流程自動化，大多數企業面臨嚴峻合規挑戰。

<回到新聞條列重點>

Reaper竊資程式混合冒充蘋果、微軟、Google，攻擊macOS用戶並建立後門　　iThome

資安研究人員發現新型跨平台竊資程式Reaper，其最大特色是同時偽裝成蘋果軟體更新、微軟Office啟動工具及Google Drive同步程式三種不同形態散布，成功感染macOS後會竊取密鑰鏈憑證並建立持久性後門，目前已確認超過2,000台Mac受感染。

<回到新聞條列重點>

Gmail用戶注意！下載檔案看到「這幾字」別信　恐一鍵中毒　　tvbs新聞網

資安專家示警，近期出現大量偽裝成Gmail官方安全通知的釣魚郵件，信件要求用戶下載「安全掃描工具」或「郵件客戶端更新程式」，檔案名稱中含有特定字樣，一旦執行即觸發惡意軟體安裝程序，建議用戶對任何要求下載額外程式的郵件保持高度警覺。

<回到新聞條列重點>

Yarbo割草機器人傳出重大安全漏洞，可能遭攻擊者遠端控制，用戶需立即升級新版韌體　　iThome

智慧家庭設備廠商Yarbo確認旗下割草機器人韌體存在重大安全漏洞，攻擊者可透過網路遠端接管裝置控制權，不僅可操控機器人非正常移動，甚至可能造成人身安全威脅，廠商已緊急釋出修補韌體並強烈建議用戶立即更新。

<回到新聞條列重點>

工業測試設備製造商Fluke資料外洩波及1.85萬人，駭客竊取身分與身障等敏感資訊　　iThome

知名工業測試與量測設備製造商Fluke Corporation確認遭遇資料外洩事件，波及1.85萬名員工及客戶，洩露資料涵蓋姓名、社會安全號碼、身障狀態及財務資訊等高度敏感個人資料，Fluke已提供受影響者免費信用監控服務。

<回到新聞條列重點>

駭客濫用Langflow漏洞與NATS訊息中介系統，竊取AI與雲端環境存取金鑰　　iThome

資安研究人員揭露，駭客正積極利用AI應用開發平台Langflow的遠端程式碼執行漏洞，並同時濫用企業廣泛部署的NATS訊息中介系統作為橫向移動管道，竊取目標環境中的雲端服務存取金鑰及AI平台API憑證。

<回到新聞條列重點>

Steam 免費遊戲《Beyond The Dark》遭資安 Youtuber 踢爆暗藏惡意程式已被官方緊急下架　　巴哈姆特

以研究網路安全為主題的 Youtuber Eric Parker 昨日發表影片揭露，在 Steam 平台提供免費下載的遊戲《Beyond The Dark》內含惡意軟體，目前遊戲已經被 Steam 緊急下架。

<回到新聞條列重點>

AI開始進入漏洞研究與通報生態，Mozilla、微軟、GitHub與Curl案例受關注 iThome

Mozilla、微軟與Palo Alto Networks將AI導入漏洞研究與程式碼掃描，GitHub觀察到開源漏洞通報量攀升，Curl維護者提醒AI仍可能出現誤判，都顯示AI正逐步進入漏洞發掘、驗證與通報生態

<回到新聞條列重點>

CISA於GitHub曝露AWS GovCloud金鑰、內部系統憑證 iThome

資安部落格Krebs On Security指出，美國網路安全暨基礎設施安全局（CISA）有公開的GitHub儲存庫暴露大量機敏資料，其中包含AWS GovCloud政府雲端服務高權限帳號、CISA內部系統憑證

<回到新聞條列重點>

Claude Mythos實力嚇壞開發者憂駭客利用新模型抓漏洞能力太強雙面刃引發開放論爭今周刊

人工智慧模型Claude開發公司Anthropic，4月時宣布最新模型 Mythos因風險考量僅提供給少數組織，引發科技業界討論。

<回到新聞條列重點>

Gartner預估2026年全球AI支出達2.6兆美元，AI基礎架構為最大支出類別 iThome
研究機構Gartner預估，2026年全球AI支出將達2.6兆美元，年增47%。從市場分類來看，AI基礎架構將是最大支出項目，2026年規模預估達1.4兆美元，約占整體AI支出55%，顯示科技公司與超大規模雲端業者仍是現階段AI支出的主要推力

<回到新聞條列重點>

GitLab發布安全更新，修補可能導致執行任意JavaScript程式碼、拒絕服務攻擊的多項重大漏洞 iThome

GitLab修補25項漏洞，多數漏洞涉及跨網站指令碼、授權與存取控制問題，建議用戶儘速升級至已修補版本

<回到新聞條列重點>

IBM擴大AI資安工具布局，參與廣泛使用軟體漏洞識別與修補 iThome

BM宣布擴大企業資安工具與服務，以因應攻擊者利用先進AI加快偵察、漏洞發現利用等攻擊流程的趨勢

<回到新聞條列重點>

Ivanti修補裝置管理平臺EPM高風險漏洞 iThome

Ivanti為裝置管理平臺Ivanti Endpoint Manager（EPM）發布5月例行更新2024 SU6版，總共修補3個漏洞，通過身分驗證的攻擊者可用於洩露資訊、提升權限，或是遠端執行任意程式碼（RCE）

<回到新聞條列重點>

Pwn2Own Berlin 2026 揭露 47 個零時差漏洞，TrendAI 與 ZDI 推動廠商加速修補次標題三嘻行動哇

趨勢科技旗下 AI 資安品牌 TrendAI 宣布，Pwn2Own Berlin 2026 漏洞研究競賽已完成本屆賽事，全球資安研究人員共揭露 47 個獨特零時差漏洞，涵蓋 AI 資料庫、程式碼代理工具、網路瀏覽器、企業應用程式與伺服器等多個類別。

<回到新聞條列重點>

Pwn2Own Berlin 2026爆滿，傳出無法報名的研究員報復性揭露漏洞 iThome
因AI大幅增加找出漏洞的數量，竟影響漏洞挖掘競賽的舉行！Pwn2Own Berlin 2026傳出因參賽隊伍過多，主辦單位被迫在賽事一週前就停止報名，導致許多無法參賽的研究人員決定直接通報廠商並公布漏洞，這種情況在19年的Pwn2Own賽事首度出現

<回到新聞條列重點>

沙箱函式庫SandboxJS修補CVSS滿分重大漏洞，未更新可能導致執行任意程式碼 iThome
SandboxJS隔離機制存在缺陷，攻擊者可突破沙箱限制於主機端執行任意程式碼，用戶需儘速更新至已修補版本

<回到新聞條列重點>

面對AI漏洞風暴！資安署籲企業重視基本功，並強調從「預防被打」轉向「迅速復原」 iThome

面對Anthropic Claude Mythos與OpenAI GPT-5.5等新興AI模型展現的強大漏洞挖掘與攻擊能力，數位發展部資安署提出三項應對作為：掌握新興AI防禦工具、研商國家級因應策略，以及強化對中小微企業的防護支持，同時期盼引導政府與企業從策略、管理及技術面穩紮資安基本功，全面提升臺灣數位安全韌性

<回到新聞條列重點>

執法行動Operation Ramz查封53個惡意軟體及網釣伺服器 iThome

國際刑警組織（Interpol）自去年10月於中東及北非地區進行大規模跨國執法行動Operation Ramz，逮捕逾200名從事網釣及散布惡意軟體人士、確認另有約380人犯案，總共查扣53臺伺服器

<回到新聞條列重點>

博通修補VMware Fusion高風險漏洞 iThome

博通（Broadcom）近日發布VMware Fusion 26H1版更新，修補高風險權限提升漏洞CVE-2026-41702，若不處理，攻擊者有機會藉此得到root權限

<回到新聞條列重點>

微軟修改Edge瀏覽器密碼管理機制，避免開機即載入明文密碼 iThome

研究人員揭露Edge會在啟動時將所有儲存密碼載入記憶體，微軟已修改設計，未來僅在需要時才解密與載入密碼

<回到新聞條列重點>

微軟破獲惡意軟體簽章服務平臺Fox Tempest iThome

微軟本週宣布成功中斷駭客團體Fox Tempest經營的惡意軟體簽署服務（Malware-Signing-as-a-Service，MSaaS），該服務受到多個勒索軟體駭客採用，藉此讓惡意程式具備看似合法的簽章，從而躲過資安系統的偵測