新着記事

澳洲更新關鍵基礎設施資安指引，強化網路隔離措施並納入AI風險管理建議

澳洲內政部轄下CISC更新關鍵基礎設施風險管理計畫（CIRMP）指引，說明業者如何透過身分驗證、網路隔離及供應鏈管理，降低網路攻擊與關鍵服務中斷的風險。新版指引也納入AI系統可能造成的營運風險。

柏克萊研究推演2027至2029年AI資安威脅，AI代理供應鏈與自動化攻防成焦點

美國加州大學柏克萊分校長期網路安全中心（CLTC）旗下AI Security Initiative提出2027至2029年3種AI資安威脅情境，推演攻擊者如何利用AI擴大社交工程攻擊、自動尋找漏洞並與企業防禦系統交手，甚至利用企業與供應商AI代理之間的信任關係發動攻擊，影響企業營…

俄羅斯駭客入侵羅馬尼亞政府Exchange伺服器，意圖竊取北約及歐盟相關郵件

資安業者ESET近日揭露，與俄羅斯情報機構有關的駭客組織Turla，利用過去未曝光的惡意程式工具組Cereal，入侵哈薩克及羅馬尼亞政府機構的Microsoft Exchange伺服器，藉此蒐集情報。ESET於2025年11月發現哈薩克政府機構遭入侵，後續也在羅馬尼亞政府機構發現…

迪士尼擴大與Adobe的AI合作，從樂園設計延伸至電影與體育內容

Adobe與迪士尼擴大合作，建立多年期策略聯盟，將以AI模型開發服務Firefly Foundry開發符合迪士尼作品需求的生成式AI模型，並把合作範圍延伸至電影後製、視覺特效及體育內容製作。雙方先前已將相關技術用於迪士尼樂園的設計流程，新合作將涵蓋華特迪士尼影業的StudioLA…

微軟WinApp CLI新增WinUI DevTools，AI代理可檢查執行中的介面元件

微軟發布Windows應用程式命令列開發工具WinApp CLI 0.8，新增實驗性預覽功能WinUI DevTools，讓開發者及AI代理檢查執行中的WinUI 3應用程式，查看介面元件屬性、版面配置及對應的XAML原始碼位置，也能即時測試修改結果。新版另加入效能分析及C++專…

英特爾在臺揭露主流PC、邊緣運算到資料中心最新運算架構，加速布局Agent AI

英特爾在今年8月舉行的Hot Chips 2026展示最新架構，反映AI運算競爭正在改變方向。過去幾年，市場焦點多集中於大型模型訓練，需要大量GPU算力與資料中心資源，但隨著生成式AI逐漸進入企業應用，接下來的挑戰將轉向如何讓模型被廣泛使用，也就是大規模推論。

捐款人個資恐外洩！netiCRM服務商遭駭，公督盟、司改會等超過20個非營利組織接連示警

臺灣非營利組織使用的捐款管理系統netiCRM傳出資安事件，服務商網絡行動科技部分伺服器遭外部攻擊者入侵，包括婦女新知基金會、公民監督國會聯盟、民間司法改革基金會及台灣同志諮詢熱線協會等超過20個非營利組織相繼發布公告，提醒捐款人留意可疑來電與詐騙訊息。其中，公督盟已預防性暫停線…

應用程式安全檢測可透過臺灣SaaS平臺執行，叡揚資訊促成Mend臺灣雲端區域上線

因應臺灣企業與組織對於主權IT的重視程度日益提高，越來越多國際資安廠商選擇在臺灣提供在地化的雲端服務。以今年為例，公有雲暨資安服務廠商Google Cloud於8月初宣布，在臺灣雲端區域正式啟用Google Security Operations服務，協助臺灣的企業與組織滿足資料…

涉嫌入侵美國大學進行非法加密貨幣挖礦的加拿大駭客，被引渡至美國受審

美國司法部於11月3日公告，兩名加拿大男子Ryan James Roach（35歲）與Mathiew James Stubbings（41歲），涉嫌在2016年6月至2019年12月間，入侵紐約、田納西、北卡羅來納及麻薩諸塞州教育機構的系統，竊取登入憑證，並植入惡意程式，利用受害…

【資安日報】11月10日，甫揭露的OpenSSH漏洞SSHole出現嘗試利用活動

● 甫揭露的OpenSSH漏洞SSHole出現嘗試利用活動 ● 法國將10月冷凍與冷藏設備網攻歸因於伊朗，波及約700處零售據點 ● SEGA集團因日本Arara資安事件外洩資料近220萬筆 ● 高雄警方破獲民眾透過AI自學架設自動化網路攻擊系統 ● DigiCert資料外洩源自…

WorkOS資料外洩事故出現新進展，AI滲透測試框架突破測試環境釀禍

上週身分驗證服務公司WorkOS發生資料外洩事故，該公司內部銷售應用程式遭未經授權存取，攻擊者疑似使用AI滲透測試框架ARTEX自動化執行。事隔數日此事出現新的變化，有研究人員承認，其實是他們正在透過ARTEX執行資安基準測試的過程當中，該AI代理意外逃脫隔離測試環境造成。Wor…

N-able遭揭露逾30個零時差漏洞，緊急關閉全球N-central雲端服務，要求本地建置客戶停機

IT管理軟體公司N-able旗下的遠端監控與管理（RMM）平臺N-central，近日遭研究人員公布一系列資安漏洞，其中部分漏洞可串聯形成遠端程式碼執行（RCE）攻擊鏈，使攻擊者取得系統管理權限。N-able於11月9日宣布重大資安事件，緊急關閉全球託管版N-central服務，…

iThome健康・医療

醫療AI從內容生成走向自主行動，衛福部下一階段指引瞄準Agent治理

衛福部今年5月發布醫療機構生成式AI應用指引，為醫院導入生成式AI提供風險管理參考，但能自主決策、採取行動的AI Agent，尚未納入適用範圍。

AWS支援以暫時性憑證跨分區存取雲端資源，減少長期金鑰依賴

AWS擴充安全權杖服務（AWS Security Token Service，STS），讓工作負載可以使用原有的身分，在不同AWS分區（AWS Partitions）取得暫時性憑證，存取獲得授權的雲端資源。企業不必再替跨分區作業另外保存長期有效的IAM存取金鑰，可減少金鑰外洩風險…

美國司法部成立AI犯罪專責單位，打擊詐騙及其他非法活動

美國司法部宣布成立超級智慧任務編組（Super Intelligence Task Force，DOJ-SITF），以打擊美國國內外的AI詐騙或駭客行為。

一旦影像模糊或遭竄改，AI機器人恐因視覺判斷失準，嘗試執行可能傷害人的危險動作

AI機器人獨立評測公司Robocurve於11月6日公布一項研究，發現當AI模型控制實體機器人執行任務時，攝影機影像若遭到模糊處理或刻意竄改，可能大幅影響其安全判斷。研究團隊在特定實驗條件下測試5款多模態AI模型，發現在原始影像下，模型嘗試執行危險任務的比例為27%，但畫面模糊後…

CISA警告SSHole等4個資安漏洞已遭積極利用

11月9日美國網路安全與基礎設施安全局（CISA）發布公告指出，他們已掌握4個漏洞遭到積極利用的證據，將其列入已遭利用漏洞名單（KEV），這些漏洞是：GPU資源管理及AI模型服務部署GPUStack身分驗證不當漏洞CVE-2026-102895、軟體定義電信交換平臺FreeSWI…

ShinyHunters兜售宣稱竊自Binance 3.3億用戶的資料

自稱是ShinyHunters成員的駭客近日聲稱駭入加密貨幣交易平臺Binance內部系統，並取得超過3.35億用戶資料並欲兜售，但遭Binance否認。

Ethersphere發布流程遭入侵，惡意版bee-js與Swarm Desktop經官方管道散布

去中心化儲存網路Swarm的開發組織Ethersphere遭軟體供應鏈攻擊，攻擊者利用專案的GitHub發布流程，將含有惡意程式的JavaScript套件bee-js 13.3.0上架NPM，並發布Swarm Desktop 0.56.2。惡意程式可竊取節點錢包金鑰，並在使用者電…

Meta推出輕量級模型Muse Ember，每任務成本是Claude Haiku 5.5的1/3

Meta周一（11月9日）公布輕量級模型Muse Ember，挑戰Claude Haiku 5.5、GPT 6 Luna，宣稱以1/3成本達到Anthropic Claude Haiku 5.5的測試效能。

駭客利用假冒的CWP網頁伺服器程式，散布新型Linux後門程式CWPdoor

中國資安業者奇安信威脅研究團隊XLab於11月5日揭露新型Linux後門程式CWPdoor，利用被竄改的開源Linux網頁伺服器管理工具Control Web Panel（CWP）執行檔散布。研究人員於今年6月29日發現檔名為cwpsrv_update.sh的可疑指令碼，該指令碼…

主機服務商DreamHost遭駭，用戶FTP帳號密碼及網頁郵件工作階段資訊外洩

美國主機代管與網域註冊業者DreamHost近日揭露資安事件，攻擊者利用其網頁版檔案管理工具File Manager的軟體漏洞，入侵執行該服務的伺服器，竊取部分使用者的FTP及SFTP帳號名稱與密碼，此次事件始於今年8月，直到10月23日才為該公司發現。

甫揭露的OpenSSH漏洞SSHole出現嘗試利用活動

11月5日OpenSSH開發團隊發布緊急更新10.6p2，公布及修補能透過長密碼利用的身分驗證繞過漏洞SSHole（CVE-2026-123158），資安公司Previdian透露，他們在前述公告發布的9小時內首度偵測到漏洞利用攻擊，對方在執行Alpine Linux與OpenS…