AI基礎設施競賽新護城河!？美綠色資料中心業者砸5,300萬美元買下風電設施擁自主綠電來源

來源：https://www.ithome.com.tw/news/174955

美國專門開發及營運綠能資料中心的Soluna Holdings近期宣布以5,300萬美元收購位於德州、裝置容量150MW的風電業者Briscoe Wind Farm。從資料中心的單純用電者，轉型為能源生產者，突顯在全球AI算力基礎設施加速擴張下，能源與數位基礎設施整合的趨勢。

Soluna藉此完成Dorothy專案的園區垂直整合，從土地、再生能源到資料中心算力基礎設施皆由該公司掌握，強化成本控制與供電穩定性。

在永續IT架構下，能源供應已成為全球AI與高效能運算（HPC）擴張的主要瓶頸。過去仰賴電力採購協議（PPA）的模式，藉此取得再生能源，一方面降低碳排，也能避免自行建置風機或太陽能設施的成本與風險。

然而，在全球能源價格波動加劇、供電不穩與用電需求攀升下，單純購電模式開始受到檢視。業者逐漸意識到，能源不只是永續議題，也是影響AI基礎設施競爭力的關鍵資產。

透過持有風電資產，降低對外部電力市場的依賴，在電價波動劇烈的環境中建立長期競爭優勢。Soluna執行長John Belizaire直言，「能源主權將成為AI基礎設施競賽中最關鍵的護城河」。

隨著電力來源到位，該公司下一階段擴張計畫「Dorothy 3」，預計在既有園區旁新增300英畝土地，打造最高可達300MW規模的再生能源AI運算園區，鎖定生成式AI與高效能運算應用。該擴建計畫將結合電網擴容與在地發電，進一步提升算力與能源配置效率。

隨著AI帶動資料中心投資持續升溫，從「購電」走向「自發自用」的垂直整合模式，正逐漸成為永續IT發展的新主軸，也預示能源將成為下一波數位競爭的資源。

'

AWS推出S3 Files，S3儲存桶現可掛載為檔案系統

來源：https://www.ithome.com.tw/news/174949

AWS發表Amazon S3 Files，讓通用S3儲存桶可掛載為檔案系統，供EC2執行個體、EKS工作負載與Lambda函式存取，並可用於部分ECS部署。該服務底層是Amazon EFS，活躍資料延遲約1毫秒，檔案系統與S3儲存桶之間可自動雙向同步，目前已在所有AWS商用地區上線。

物件儲存與檔案系統長期以來是兩種不同的儲存架構，前者擅長大規模低成本儲存，後者提供應用程式熟悉的目錄結構與隨機讀寫能力。過去使用者必須根據工作負載特性擇一，或自行搭建資料搬移工作管線串接兩端。S3 Files的設計是降低物件儲存與檔案系統之間切換與同步的成本，讓支援的AWS運算資源可用標準檔案操作直接存取S3資料。

S3 Files支援NFS v4.1以上版本的所有操作，包括檔案與目錄的建立、讀取、更新及刪除。系統採用智慧分層存取策略，經常使用的檔案會自動放置在高效能儲存層，提供低延遲存取，而大型循序讀取的檔案則直接從S3讀取以最大化吞吐量。

透過檔案系統介面寫入的變更，會先彙整短時間內的連續寫入，再同步成S3儲存桶中的新物件或新版本。從S3端對物件所做的變更通常在數秒內更新到檔案系統，但要是檔案資料已從高效能儲存層過期，則要等到下次存取時才會從S3抓取最新版本。S3 Files支援多運算資源同時掛載存取，採用NFS的close-to-open一致性模型，適合需要多節點協作讀寫的場景。

S3 Files整合IAM進行存取控管，支援身分與資源政策。檔案系統使用POSIX權限模型，依據UID與GID檢查檔案層級的存取權限，相關權限資訊儲存為S3物件的中繼資料，傳輸中資料一律以TLS 1.3加密，靜態資料則支援SSE-S3或透過AWS KMS使用客戶自管金鑰加密。

AWS強調，S3 Files與Amazon FSx系列服務的定位不同。S3 Files適合資料本身就存放在S3，但需要透過檔案系統介面進行互動式共享存取的場景，AWS特別點名AI代理系統、ML訓練工作管線及多運算資源協作等工作負載。Amazon FSx則適用從地端NAS環境搬遷、HPC與GPU叢集儲存，或需要Lustre、NetApp ONTAP、OpenZFS、Windows File Server等特定檔案系統功能的需求。

'

行政院通過廢清法、循環法修法草案，將接軌歐盟相關法規趨勢鼓勵以綠色產品設計、維修或再利用鼓勵資源循環經濟

來源：https://www.ithome.com.tw/news/174945

行政院今天（4/9）通過環境部研擬的「資源回收再利用法」修正草案及「廢棄物清理法」(簡稱廢清法)部分條文修正草案，接下來將送立法院審議。其中立法已超過20年的「資源回收再利用法」改名為「資源循環推動法」(簡稱循環法)，接軌歐洲等國際相關資源循環利用的立法趨勢，鼓勵產品綠色設計、以回收及維修取代廢棄，鼓勵資源循環利用產業發展。

行政院長卓榮泰表示，面對全球資源有限性及環境永續挑戰，我國正推動雙軸轉型，建構循環治理的綠色成長模式。環境部推動環境雙法修正，一方面透過廢清法遏止廢棄物的非法棄置，另一方面透過循環法促進循環經濟發展，從產業、環境及社會等多面向整體推動。

政府推動雙法修正的目的是，「最大化資源循環效益、最小化廢棄物最終處理」。透過修法將立法20多年的「資源回收再利用法」向國際趨勢的「資源循環推動法」修正，趕上國際環保趨勢。其中包括增訂由中央有關機關來推動資源循環及其權責事項，包括由環境部設立國家整體資源循環計畫，並邀專家設立資源循環推動會，地方政府擬訂資源循環行動計畫。

其次由環境境規劃產品及營建工程的綠色設計原則，打造綠色臺灣品牌「Green Made in Taiwan」（gMIT）。依綠色設計原則訂定綠色設計準則，並公告一定種類、規模之產品或營建工程遵行綠色設計準則及使用再生粒（材)，以資源循環推動環境與完善法制，加速建立循環經濟。

依照環境部公開的「循環法」修正草案說明，業者應遵行的綠色設計準則指定項目， 例如產品使用單一或易於資源循環之材質、使用一定比率再生材料或採行易維修、可升級等提升耐 用性設計等。

另外，循環法修正草案還增訂中央主管機關可指定公告物品或其包裝、容器重複使用目標及方式，其製造、輸入或販賣業者應提報包裝容器重複使用計畫及執行成果。

資源使用到最後一刻才是廢棄物

環境部長彭啟明解釋，資源循環推動法歷經5年時間，終於在行政院通過，「這是個進步的法案」，他說。該法案迎合國際上相關法案趨勢，特別是符合歐洲相關法規，讓國內接軌國際法規方向，可使我國產品輸出至國際會更具競爭力。

彭啟明進一步指出，推動循環利用的背後一定要有經濟誘因才能達到永續，因此循環法的目的是推動循環經濟，環境部統計國內循環經濟的產值約有1,688億年產值，約10萬的人力投入該產業，該產業過去被忽視，循環法修正草案通過後，將加大力道促使循環產業升級，可解決廢清物處理量能的問題，過去設立回收基金是因為我們將它當成廢棄物，「現在應該將所有廢棄物當成資源，將每個資源用到最後一刻才是廢棄物」，如何將廢棄物循環利用做的好，是循環法修法的重要目的。

彭啟明以生活上常見的保溫杯為例，過去保溫杯破了就廢棄，保溫瓶透過綠色設計，未來透過產品的數位護照可以知道它的材質，過去產品壞了多以廢棄來取代維修，未來鼓勵要有維修權。另外，保溫杯的生產者也應有回收的責任，當生產者符合種種要求，就會要求公部門及企業綠色採購這類產品。過去將廢棄物當成垃圾處理，「我們應該把廢棄物當成資源看待，廢棄物就是錯置的資源」。

除了以「循環法」作為蘿蔔之外，另方面以「廢清法」作為棍子，以此厄止違法處理廢棄物，包括運用科技來監控廢棄物動向，加重環境損害刑責到7年。

環境部表示，透過雙法修法，目的在聯合中央、地方、產業推動相關子法訂定。另外，保留關鍵的資源在經濟體內循環利用，達成零廢棄的願景，打造臺灣的韌性供應鏈；引導我國從廢棄物管理轉型為資源管理。

'

Google與美國航空用AI調整航線，減少飛機凝結尾帶來的暖化影響

來源：https://www.ithome.com.tw/news/174946

Google公布一項結合AI與航空營運的實地研究成果，顯示透過AI預測並調整飛行路徑，可降低飛機凝結尾（contrails）對氣候的影響。這項研究由Google Research與美國航空（American Airlines）、航班規畫軟體業者Flightkeys等單位合作，並於2025年1月中旬至5月中旬進行為期17週的隨機對照試驗，將凝結尾預測整合至既有航班規畫流程中。

凝結尾是飛機在高空飛行時，排放的水氣與微粒所形成的雲狀軌跡，被認為是航空業非CO2氣候影響中最大單一來源之一。由於其存在時間從數分鐘到數小時不等，若能避開特定大氣條件，有機會在短時間內降低相關氣候影響。

在技術上，Google開發機器學習模型，結合衛星觀測資料與歐洲中期天氣預報中心（ECMWF）的氣象預測，推估飛行過程中形成凝結尾的機率，並轉換為以二氧化碳當量（CO2-equivalent，CO2e）表示的氣候影響指標，納入航班規畫系統的成本計算。當系統判定某航班的凝結尾影響較高時，會產生替代飛行路徑，例如調整飛行高度或繞行特定區域，以避開容易形成凝結尾的冰過飽和區域（Ice Supersaturated Regions，ISSRs）。

研究團隊以美國飛往歐洲的跨大西洋航線為測試範圍，將航班隨機分為實驗組與對照組，並透過衛星影像與自動化演算法驗證凝結尾生成情況。結果顯示，在所有納入試驗的航班中，凝結尾生成率平均降低11.6%；而在實際採用並依計畫執行AI建議航線的航班中，凝結尾生成率降低幅度達62%。此外，研究亦指出燃料使用量未出現統計上顯著差異。

不過，研究同時指出實際應用仍受營運流程與人員決策影響。在試驗期間，約有15.4%的航班調度員選擇採用凝結尾優化航線，而最終實際依計畫執行的航班比例為7.8%。研究指出，相關差異與調度員工作負荷、飛行安全考量及既有航路限制等因素有關。

'

美上訴法院挺國防部，Anthropic兩案出現判決分歧

來源：https://www.ithome.com.tw/news/174943

AI公司Anthropic近期針對美國政府提出兩項訴訟，分別挑戰五角大廈將其列為「供應鏈風險」（Supply Chain Risk，SCR），以及要求聯邦機構全面停止使用其Claude模型的行政命令。隨著案件進入不同法院審理，目前已出現判決分歧。

針對「全面停用Claude模型」的措施，加州聯邦法院於3月底裁定，暫時禁止政府執行該命令，認為此舉可能涉及違憲，特別是對企業AI安全立場的報復，以及未提供充分申辯機會，因而發出初步禁制令，使Anthropic得以在案件審理期間維持既有業務與部分政府合作。

不過，在另一項針對SCR認定的訴訟中，美國華盛頓特區聯邦上訴法院週三（4/8）裁定，駁回Anthropic提出的暫時禁制令申請，拒絕在訴訟期間暫停該認定，使其仍被排除於國防部相關合約之外。

SCR認定由美國國防部於3月初作出，要求國防承包商不得在軍事項目中使用Claude模型，並可能透過跨部門審查機制，進一步擴大至整個聯邦政府採購體系。

Anthropic主張，政府此舉並非單純國安決策，而是對其AI安全立場的報復。該公司拒絕讓Claude用於大規模境內監控及完全自主武器，並指控相關措施違反美國憲法第一修正案的言論自由，以及第五修正案的正當程序保障。

上訴法院則認為，雖然Anthropic可能面臨財務損失，但在軍事衝突背景下，政府確保AI技術供應與控制的利益更為重要，因此拒絕暫停該項認定，並要求案件加速審理。

外界分析指出，兩案之所以出現不同結果，關鍵在於所挑戰的行政措施與法律基礎不同。加州法院審理的是政府「全面禁用Anthropic技術」的命令，涉及對企業權利的廣泛限制，因此傾向從憲法角度審查並予以暫停；而上訴法院處理的則是國防部將其列為供應鏈風險（SCR）的決策，屬於國安與軍事採購範疇，法院通常給予行政機關較大裁量空間，因而未同意暫停。

在此情況下，目前形成「部分限制被擋、部分仍有效」的局面。具體而言，Anthropic技術並未被全面禁止使用，但仍無法進入國防採購體系，呈現「可用但受限」的過渡狀態。

此案被視為AI產業與國安政策交會的重要案例，核心爭議在於政府是否可透過供應鏈風險機制對企業施加廣泛限制，以及企業能否以安全與倫理為由拒絕特定軍事用途。後續判決結果，將對AI治理與政府採購制度帶來長遠影響。

'

【資安日報】4月9日，Anthropic全新模型漏洞挖掘能力超群，直逼人類頂尖駭客

來源：https://www.ithome.com.tw/news/174940

Anthropic發布預覽版Claude Mythos，AI資安能力直逼頂尖人類駭客，該公司宣布啟動全球資安防禦計畫

Anthropic發表全新通用語言模型Claude Mythos預覽版，該模型已自主發現數千個橫跨作業系統、瀏覽器，以及開源軟體的零時差漏洞，並同步啟動全球資安防禦計畫Project Glasswing，集結十多家科技與金融公司，納入逾40個關鍵基礎設施組織，優先提供模型存取以加速漏洞修補。

在Claude Mythos發現的數千個高風險漏洞裡，絕大部分是零時差漏洞，其中一個是存在於OpenBSD長達27年的問題，允許駭客癱瘓任何連線中的主機；另一個在FFmpeg找到的漏洞也存在16年，Anthropic強調，就算經過500萬次自動化測試，也無法發現這個弱點。Claude Mythos能根據使用者下達的指示，從常見的作業系統與瀏覽器找到零時差漏洞，甚至還能打造概念驗證程式碼，其中包含能串連4個瀏覽器漏洞的攻擊程式。

臺灣非政府組織、大學遭到Lua惡意軟體LucidRook攻擊

思科旗下威脅情報團隊Talos近日揭露名為UAT-10362的駭客團體，疑似針對臺灣的非政府組織（NGO）與大學從事網釣活動，散布名為LucidRook的惡意軟體，藉此進一步下載Lua有效酬載並執行。值得留意的是，駭客部署LucidRook的工具LucidPawn，會特別檢查受害電腦使用的語言及地理位置，只有在與臺灣有關，且使用正體中文的電腦環境，才會啟動LucidRook，上述跡象顯示這起活動極具針對性。

針對感染LucidRook的途徑，Talos指出大致可歸納成兩種方法，分別是使用惡意LNK檔案與EXE檔，不過，這些手法存在共通點，駭客都濫用外部應用程式安全測試（OAST）服務，並滲透FTP伺服器充當C2基礎設施。

APT28針對烏克蘭與北約國家從事網路攻擊，疑串連兩個零時差漏洞散布惡意軟體Prismex

今年2月，烏克蘭電腦緊急應變團隊（CERT-UA）與資安公司Zscaler先後提出警告，俄羅斯駭客APT28（Sofacy Group、Forest Blizzard、Fancy Bear）在最新一波攻擊行動Operation Neusploit裡，將微軟1月底修補的Office零時差漏洞CVE-2026-21509用於實際攻擊，現在有最新的調查結果指出，這些駭客疑似串接另一個零時差漏洞從事相關活動。

趨勢科技指出，他們在APT28攻擊烏克蘭與北約組織（NATO）會員國的活動當中，看到駭客使用名為Prismex的惡意軟體套件，此工具結合了隱寫術（Steganography）、元件物件模型（COM）挾持，並濫用合法雲端服務充當C2。值得留意的是，這些駭客不僅利用CVE-2026-21509，也試圖串連MSHTML框架安全功能繞過漏洞CVE-2026-21513。而對於這起攻擊行動的目的，駭客不僅從事網路間諜活動，也企圖透過資料抹除的指令進行破壞。

APT28綁架路由器從事DNS挾持，目的是AiTM網釣與情報收集

針對俄羅斯駭客APT28（Sofacy Group、Forest Blizzard、Fancy Bear）滲透路由器的殭屍網路活動，駭客的主要目標是將受害者導向對手中間人攻擊（AiTM）的基礎設施，藉此擷取他們的密碼、OAuth權杖（Token），以及其他憑證資料，英國國家網路安全中心（NCSC）近日公布相關調查結果，指出這些駭客的攻擊大致可分成兩種型態，目的也不盡相同。

駭客滲透的路由器設備，廠牌大部分是TP-Link，NCSC確認至少有23款成為APT28下手的目標。其中一款型號為WR841N的設備，攻擊者疑似利用已知漏洞CVE-2023-50224，而能在未經身分驗證的情況下，透過特製的HTTP GET請求得到密碼與憑證資訊。

駭客組織UNC6783滲透業務流程外包公司，已有數十家高價值企業組織成為目標

軟體大廠Adobe近日傳出資料外洩，自稱是Mr. Raccoon駭客疑似從該公司印度業務流程外包商（BPO）著手，在其中一名員工的電腦植入遠端存取工具啟動攻擊流程，從而竊得Adobe內部機敏資料。如今類似的攻擊行動再度傳出，上述事故很有可能是供應鏈攻擊的一部分。

Google威脅情報團隊（GTIG）主要威脅分析師Austin Larsen於社群網站LinkedIn指出，他們近期追蹤名為UNC6783的駭客團體，該組人馬犯案的動機是為了經濟利益，正在進行針對性的社交工程與網釣活動，GTIG已掌握有多個產業、數十家高價值企業組織成為目標。值得留意的是，Google提及UNC6783很可能與稱為Raccoon的人士有關。

電商平臺Magento遭鎖定，駭客利用SVG圖檔挾帶交易資料側錄工具

4月7日Sansec發現，有99個Magento電商網站出現Magecart大規模感染的跡象，駭客使用一種雙連擊（Double-tap）的交易資料側錄工具，他們將竊取信用卡資料的竊資軟體埋藏在SVG圖檔，並藉此將竊得的交易資料傳送到6個網域，而駭客可能的入侵途徑是PolyShell漏洞，該漏洞仍在持續影響未受保護的Magento商店。

Sansec提到，金融卡側錄惡意程式（skimmer）會向消費者顯示幾可亂真的安全結帳畫面，其中包含卡片資料驗證與帳單資料的欄位，在擷取付款資料後，此側錄程式將消費者導向真正的結帳網頁，因此一般使用者難以察覺有異。

美國麻州醫療體系Signature Healthcare遭網路攻擊，化療與救護車調度受影響

美國麻州的主要醫療體系Signature Healthcare，公布本週稍早發生的網路攻擊事件，導致化療、救護車派送、及藥局運作受到影響。他們於4月6日首度透露此事，部分醫療系統遭網路攻擊，院方已啟動安全回應措施，暫停重要性較低的醫療服務因應。

在發生網路攻擊事故後，院方被迫分散救護車派送任務，並取消4月7日癌症病患化療輸液服務，直到8日仍未恢復運作。有兩個地區的藥局一度被迫關閉，目前已恢復營運，不過僅提供諮詢服務，暫時無法提供病人使用處方箋領藥。

駭客聲稱入侵洛杉磯警局，竊得7.7 TB官司資料並公開文件

研究人員Emma Best於4月8日發現，有勒索軟體組織透過World Leaks網站，公開關於洛杉磯警局（LAPD）警官司法案件的資料，並得以下載檢視，隨後由洛杉磯時報跟進報導。此事發生的原因，可能出於外界對洛杉磯警局調查內部風紀紀錄未能向大眾公開，而感到不滿。

這批外洩資料包含337,000份檔案，其中主要是洛杉磯警官因風紀問題遭控告文件，包含證人名字與訪談記錄、警方醫療資訊、未經遮蔽的犯罪控告與洛杉磯政府調查文件，檔案大小接近7.7 TB。值得留意的是，在一般情形下，相關調查記錄會經部分塗改才公開。

CISA警告Ivanti EPMM重大漏洞已被用於攻擊，要求盡速修補

美國網路安全與基礎設施安全局（CISA）近日警告，1月底揭露的重大漏洞CVE-2026-1340已被實際利用，未修補此弱點的行動裝置管理平臺Ivanti Endpoint Manager Mobile（EPMM）風險大增，CISA將其納入已知遭利用漏洞清單（KEV），要求各機構儘速修補。

CVE-2026-1340屬於程式碼注入型（Code Injection）弱點，CVSS嚴重性評分達9.8分，攻擊者可在未經驗證情況下，對EPMM裝置發動遠端執行任意程式碼攻擊，Ivanti已在1月底發布修補程式，建議用戶盡速修補。

Google修補Android作業系統重大漏洞，未更新可能導致拒絕服務攻擊

Google近日發布2026年4月Android作業系統安全公告，修補多項漏洞，涵蓋框架層級（Framework），以及Google與恩智浦（NXP）、意法半導體（STMicroelectronics）、Thales等廠商的StrongBox元件，建議用戶盡速更新。

在這次修補的Android漏洞中，Google認定最嚴重的是零互動（zero‑interaction）漏洞CVE‑2026‑0049，存在於核心框架元件，攻擊者可利用這個漏洞，在無需與使用者互動或額外權限的情況下，導致本機系統發生拒絕服務（DoS）的狀況。

量子威脅時程大幅提前，Cloudflare加速後量子搬遷鎖定2029年

Cloudflare宣布，目標在2029年全面達成涵蓋加密與身分驗證的後量子（Post-Quantum）安全。這項決定的背景，是近期量子運算領域接連出現重大突破，使得量子電腦可破解現行密碼機制的時間點（Q-Day），從業界原先普遍預估的2035年後，大幅提前至最快2029到2030年。

促使Cloudflare加速行動的關鍵，是上周發表的兩項研究：其一是Google宣布大幅改進了破解橢圓曲線密碼學P-256的量子演算法，另一個是量子運算新創Oratomic發表的資源估算報告，指出以中性原子（Neutral Atom）量子電腦破解P-256僅需約1萬個量子位元，遠低於先前預期，其關鍵在於中性原子架構的量子位元連接性優於超導架構，每個邏輯量子位元僅需約3到4個物理量子位元，大幅降低硬體門檻。

其他資安威脅

◆新一波ClickFix網釣鎖定macOS用戶，駭客濫用指令碼編輯器於電腦植入竊資軟體

◆惡意軟體Chaos鎖定組態配置不當的雲端環境，加入SOCKS代理伺服器功能隱匿行蹤

◆殭屍網路Masjesu綁架物聯網裝置，提供受僱型DDoS服務

◆駭客冒充政府機關發送的飛彈空襲警報，意圖騙取使用者的M365帳號

◆針對臺灣子公司頻光半導體遭到勒索軟體攻擊，母公司九州電子說明影響範圍與處理過程

近期資安日報

【4月8日】APT28綁架SOHO路由器設備，將受害者導向AiTM基礎設施

【4月7日】Claude Code資料外洩事故成駭客散布惡意軟體的新誘餌

【4月2日】手機門號語音信箱預設密碼成Line帳號盜用新破口

'

3月多起供應鏈攻擊揭露CI/CD管線風險，GitLab提出防護建議

來源：https://www.ithome.com.tw/news/174939

近期多起軟體供應鏈攻擊事件接連曝光，顯示攻擊手法已延伸至開發流程，對企業軟體供應鏈安全帶來風險。

3月19日至31日期間，名為TeamPCP的攻擊行動先後入侵開源漏洞掃描工具Trivy、基礎架構即程式碼（Infrastructure as Code，IaC）安全掃描工具Checkmarx KICS、AI模型閘道LiteLLM，以及JavaScript HTTP用戶端函式庫Axios，顯示攻擊目標涵蓋多類型開發工具。

針對此次與TeamPCP攻擊行動相關的供應鏈事件，原始碼代管與DevOps平臺業者GitLab指出，攻擊者透過竄改套件版本或標籤，濫用既有信任機制，將惡意程式碼導入CI/CD管線，並在建置流程中存取環境變數與敏感憑證。GitLab指出，在AI輔助攻擊工具增加的情況下，針對CI/CD管線的攻擊已更為常見，單一憑證遭竊即可能在多個開發工具間擴散。

GitLab建議，若企業曾使用受影響元件，應假設管線憑證已暴露，立即進行憑證輪替並檢查是否存在後門程式，同時透過定期輪替與短期存取權杖降低風險。

在管線流程安全控管方面，應落實最小權限原則（Principle of Least Privilege），並依建置、測試與部署階段劃分權限；同時強化執行環境隔離，避免共用資源，以降低橫向移動風險。GitLab同時建議導入完整性驗證機制，包括以雜湊值（checksum）鎖定套件版本、避免使用可變動標籤（tag），並在CI/CD執行前驗證工具與相依元件未遭竄改。

此外，企業應提升CI/CD管線的可視性與監控能力，記錄建置行為、追蹤憑證使用情況並建立異常警示，同時持續監控相依套件變化，並將安全檢查集中於管線政策層級管理，以降低被繞過風險。GitLab強調，漏洞掃描工具、應用程式安全測試（Static Application Security Testing，SAST）工具與AI閘道等資安工具本身也可能成為攻擊目標，應限制其權限範圍，避免存取不必要資源。

'

APT28綁架路由器從事DNS挾持，目的是AiTM網釣與情報收集

來源：https://www.ithome.com.tw/news/174938

針對俄羅斯駭客APT28（Sofacy Group、Forest Blizzard、Fancy Bear）滲透路由器的殭屍網路活動，駭客的主要目標是將受害者導向對手中間人攻擊（AiTM）的基礎設施，藉此擷取他們的密碼、OAuth權杖（Token），以及其他憑證資料，英國國家網路安全中心（NCSC）近日公布相關調查結果，指出這些駭客的攻擊大致可分成兩種型態，目的也不盡相同。

NCSC指出，他們掌握APT28從2024年開始，就將虛擬專屬伺服器（VPS）設置為惡意DNS伺服器的情況，這些VPS主機通常會接收大量來自路由器的DNS請求。

其中第一種活動裡，APT28入侵SOHO路由器，竄改DHCP與DNS的組態設定，加入駭客控制的IP位址，使得相關的組態被下游的電腦與行動裝置繼承。惡意DNS伺服器會查調含有特定服務相關的網域名稱，這些服務大部分是電子郵件系統的登入網頁，若是攻擊者鎖定的目標，他們就會被導向駭客的IP位址，從事對手中間人攻擊。

駭客滲透的路由器設備，廠牌大部分是TP-Link，NCSC確認至少有23款成為APT28下手的目標。其中一款型號為WR841N的設備，攻擊者疑似利用已知漏洞CVE-2023-50224，而能在未經身分驗證的情況下，透過特製的HTTP GET請求得到密碼與憑證資訊。

一旦成功取得路由器的憑證，APT28就會發送第二個HTTP GET請求，竄改路由器的DHCP與DNS設定。通常駭客會竄改主要DNS伺服器的IP位址，但也有次要DNS伺服器設定被更換的情況，代表有些路由器可能遭到多次攻擊。

另一種活動當中的VPS主機，則同時會收到TP-Link與MikroTik路由器的DNS請求，但不同的是，這些請求會轉送給攻擊者其他的遠端伺服器。NCSC提及其中占少數的MikroTik路由器，主要位於烏克蘭，因此他們推測，這些設備對APT28具有情報價值。

'

臺灣非政府組織、大學遭到Lua惡意軟體LucidRook攻擊

來源：https://www.ithome.com.tw/news/174935

思科旗下威脅情報團隊Talos近日揭露名為UAT-10362的駭客團體，疑似針對臺灣的非政府組織（NGO）與大學從事網釣活動，散布名為LucidRook的惡意軟體，藉此進一步下載Lua有效酬載並執行。值得留意的是，駭客部署LucidRook的工具LucidPawn，會特別檢查受害電腦使用的語言及地理位置，只有在與臺灣有關，且使用正體中文的電腦環境，才會啟動LucidRook，上述跡象顯示這起活動極具針對性。

針對感染LucidRook的途徑，Talos指出大致可歸納成兩種方法，分別是使用惡意LNK檔案與EXE檔，不過，這些手法存在共通點，駭客都濫用外部應用程式安全測試（OAST）服務，並滲透FTP伺服器充當C2基礎設施。

在調查LucidRook的過程裡，Talos還找到另一個惡意程式LucidKnight，此為偵察工具，能透過Gmail竊取受害電腦的系統資訊。因此Talos研判，UAT-10362可能事先使用LucidKnight分析攻擊目標，然後再進行完整的LucidRook感染鏈。

在其中一起發生在2025年10月的網釣活動裡，駭客鎖定臺灣的非政府組織，根據此信件的中繼資料內容，駭客疑似從經過授權的郵件基礎設施寄出，這代表攻擊者事先可能掌握合法的管道。釣魚信內含短網址，一旦點選，便會下載受到密碼保護的壓縮檔，駭客在信件內文提供解壓縮的密碼。

若是使用LNK檔的感染行動，駭客將此檔案以PDF圖示引誘收信人上當，一旦收信人點選執行，電腦就會執行PowerShell測試框架指令碼，濫用部署映像服務與管理（DISM）公用程式側載LucidPawn，此惡意程式會執行LucidRook，並將原本的LNK檔案刪除，置換PDF、Word或Excel檔案，然後開啟Edge，以分散受害者的注意。

另一種感染鏈是透過EXE檔觸發，攻擊者使用.NET打造的可執行檔，其中一個具備趨勢科技防毒軟體的圖示，根據檔名，Talos認為可能是模仿Worry-Free Business Security Services的清理工具。值得留意的是，若是使用者執行，駭客同樣透過DISM工具啟動LucidRook，後續還會顯示清理完成的訊息，讓使用者以為此工具確實執行了相關清理工作。

'

Docker修補重大漏洞，未更新可能導致攻擊者繞過授權機制

來源：https://www.ithome.com.tw/news/174933

【加速生成式AI發展的下一個關鍵力量】向量資料庫與儲存系統的崛起

'

CISA警告Ivanti EPMM重大漏洞已被用於攻擊，要求盡速修補

來源：https://www.ithome.com.tw/news/174929

美國網路安全與基礎設施安全局（CISA）近日警告，1月底揭露的重大漏洞CVE-2026-1340已被實際利用，未修補此弱點Ivanti EPMM（Endpoint Manager Mobile）行動裝置管理平臺風險大增，CISA將其納入已知遭利用漏洞清單（KEV），要求各機構儘速修補。

CVE-2026-1340屬於程式碼注入型（Code Injection）弱點，CVSS嚴重性評分達9.8分，攻擊者可在未經驗證情況下，對EPMM裝置發動遠端執行任意程式碼攻擊，Ivanti已在1月底發布修補程式，建議用戶盡速修補。

值得留意的是，CVE-2026-1340是Ivanti在1月底修補EPMM行動裝置管理平臺兩個重大漏洞之一，另一個漏洞CVE-2026-1281在揭露當時就已被CISA納入KEV清單，現在CVE-2026-1340也被納入，此舉也反映攻擊者嘗試利用升溫的可能性。依據資安監測組織Shadowserver基金會的追蹤，目前有將近950臺EPMM裝置暴露於公共網路上，但無法確認其中有多少裝置已經完成修補，存在潛在風險。

'