以資安打造企業永續基石，Fortinet談AI與資安如何打造低碳、可信任的數位轉型

來源：https://www.ithome.com.tw/news/174995

在企業加速數位轉型與淨零壓力同步升溫的當下，資安不再只是防禦工具，而逐漸成為支撐永續發展的關鍵基礎。Fortinet工控資安產業發展總監陳心怡在2026數位永續高峰中指出，在AI與ESG交會時代，沒有資安，就沒有真正的轉型，企業如果忽略資安，數位與永續轉型發展都可能失去根基。

資安成為永續轉型的「必要條件」

隨著企業將資料、系統與營運全面上雲，或是將數據提供給AI，資料的流動與系統連結大幅擴張，也使得攻擊面同步放大。陳心怡強調，數位化與AI發展仰賴大量資料交換、交握，這些資料若缺乏安全保護，不僅影響企業營運的穩定，更可能破壞企業在永續治理（ESG）積累的信任基礎。

企業若沒有建立完善資安機制，她直言，數位轉型只會停留在表面的優化，難以真正達到長期永續。以能源、電網、交通等關鍵基礎設施為例，資安關係到關鍵基礎設施的營運韌性與社會穩定，為永續治理中不可或缺的一環。

AI x資安，從被動防禦走向主動治理

面對日益複雜的威脅環境，AI正快速成為資安核心能力。陳心怡(下圖)指出，導入AI後，資安系統可大幅提升偵測與回應效率，例如提升攻擊偵測與回應速度、提升威脅分析效率達數倍、即時處理海量的資安事件。

這些是傳統上仰賴人力難以做到的，從實務經驗來看，AI能在極短時間內分析大量資料並給出判斷，使資安從過去仰賴人工判讀，轉為即時、自動化決策機制。以Fortinet的威脅情報體系為例，每天需處理數以億計的攻擊數據，若沒有AI輔助幾乎無法運作。

同時，AI也帶來雙面刃效應，駭客同樣利用AI強化攻擊能力，使威脅自動化、擴大規模與精準度，進一步突顯企業導入AI資安的必要性。

平臺化與整合架構，兼顧資安與低碳

Fortinet也分享自己怎麼實踐永續, 例如設定2030年達成碳中和的目標，建築透過綠建築認證、推動科學基礎減碳目標（SBTi）及培育百萬資安人才等等。

Fortinet這幾年推動平臺化的資安架構，將不同安全功能整合於單一平臺，降低系統複雜度與能源消耗。

陳心怡指出，這種整合模式帶來三大效益，減少設備與人力成本、降低整體能耗與碳排、提升管理效率與營運韌性。她強調，平臺化不只是技術選擇，也是實現「可持續數位轉型」的重要手段。

從產品設計到碳管理，資安導入ESG

在產品層面，Fortinet透過自研ASIC晶片，提升效能的同時降低能耗與延遲，打破高效能和高耗能間的傳統既定印象。

此外，產品從原料、生產到使用階段皆進行碳足跡盤查，讓企業在採購設備時，即可掌握相關碳排數據，作為碳管理與申報依據。陳心怡透露，已有企業因導入相關解決方案，在永續評比中獲得加分。

Fortinet也將AI導入其資安架構（Security Fabric），讓AI不只是外掛工具，更內建於整體系統中。這種設計讓企業在面對海量資料與威脅時，能同時兼顧效率、安全與永續。

她認為，有資料才有AI，但沒有資安，就沒有有效的AI。如果企業遭到入侵，資料遭竄改或外洩，AI分析結果將會失去可信度，對企業的決策產生影響。

最後，她認為在AI與淨零浪潮下，企業考量資安不應該只是成本議題，也應該視其為永續競爭力的一部分。未來的數位轉型須建立在安全、可信且低碳的基礎上，才能真正實現長期價值。

'

Node.js宣布不再提供抓漏獎金

來源：https://www.ithome.com.tw/news/174996

知名漏洞懸賞平臺HackerOne近日宣布，由於AI輔助漏洞挖掘提升覆蓋範圍與發現的速度，使得開源生態圈出現改變：漏洞發現與漏洞修復的平衡被打破了，自3月27日開始，網際網路漏洞懸賞專案（Internet Bug Bounty，IBB）將不再受理新漏洞提交，這樣的情況很快影響到開源專案。

Node.js發布公告指出，由於IBB暫停，他們向通報漏洞的人士發出獎賞的資金來源因此中斷，由於Node.js是由自願參與的人士發起的專案，未有專屬預算能供應漏洞懸賞使用，因此在沒有其他外部經濟援助的情況下，他們將不會為漏洞通報者提供獎勵。

雖然不再提供獎金，不過Node.js開發工程團隊強調現有的漏洞通報流程並未改變，他們還是歡迎研究人員通過HackerOne通報漏洞，並承諾仍以相同程度的重視維護Node.js安全，他們仍會優先處理，漏洞揭露政策、回應時間，以及發布修補程式的流程並未調整。

IBB自2012年開始運作，背後由多家軟體公司提供漏洞懸賞獎金，目前已發出超過150萬美元獎勵通報者。IBB有80%的資金用於發現新漏洞，其餘20%用於支援漏洞修補工作。

Node.js對於IBB的金援依賴，在開源資安領域相當普遍，許多重要專案未有專門的漏洞懸賞預算，而是像Node.js一樣依賴外部資金。

針對HackerOne與Node.js近日的公告，資安公司Socket指出，在IBB停止金援之前，Node.js已經不斷調整漏洞懸賞專案的運作方式，導入更嚴格的通報要求，原因是提供獎金的做法會出現大量無效的通報內容，開發工程團隊必須花費大量心力過濾，對該專案的志工造成了嚴重的負擔。

值得留意的是，Node.js並非唯一因為AI抓漏而受到衝擊的開源專案。例如，今年1月Curl宣布終止漏洞懸賞專案，原因是AI生成的漏洞通報過於浮濫。

'

數發部規畫推動國內綠色軟體標章制度，助攻企業實賤永續，也助台廠打入國際綠色供應鏈

來源：https://www.ithome.com.tw/news/174994

「未來的系統設計不只是看效能，也必須看碳排。」數發部數位國際司長莊盈志在今天(4/10)舉行數位永續高峰會上說。他表示，隨著數位科技與淨零轉型交錯發展，軟體本身的碳排放正受到更多的關注，逐漸成為企業與政府無法忽視的新課題。

他表示，過去企業在評估資訊系統時，多半聚焦於「功能好不好用、效率高不高」，但現在還必須進一步思考：「這套系統是否低碳、是否具備環境友善特性」。

這樣的轉變來自於國際上的數位發展逐漸重視「綠色軟體」。

從國際趨勢看綠色軟體制度化

綠色軟體逐漸受到重視，莊盈志歸納出和當前全球的四大趨勢有關，即政策化、標準化、平臺化與產業化。其中在政策化方面，COP會議將數位科技的環境衝擊納入議程，使得數位基礎設施從過去被視為減碳的工具，自身的碳排也成為法規和治理的對象。

另一個關鍵的原因是標準的建立。

他提到，2024年國際已發布相關標準，如ISO/IEC 21031，這是一項針對軟體碳強度（Software Carbon Intensity, SCI）的國際標準規範，讓軟體的碳排放「開始變得可量測、可比較，也能被納入決策」。這意味著，未來企業在採購或導入系統時，「碳排將與成本、效能並列為重要指標」。

同時，國際大型科技企業也已積極投入，包括主要的雲端平臺提供碳排分析工具，產業化方面，企業及政府將綠色軟體納入企業採購規範，或對供應鏈提出要求。

軟體成為減碳新戰場

莊盈志指出，隨著AI與雲端運算快速成長，資料中心耗電量正大幅攀升，軟體帶來的碳排問題愈發顯著。

根據IEA在2024年預測，到2030年的時候全球資料中心的用電會成長大概1倍左右。在AI增加資料中心用電成長的趨勢下，軟體運算已成為企業成本與碳管理的新熱點，軟體本身也應被納入碳管理範疇。

綠色軟體涵蓋：用更少的能源完成同樣的服務、用更少的資源支撐同樣的需求，在更低碳的時間與地點進行運算。

臺灣推動標章制度：從自願到採購誘因

面對國際壓力與趨勢，國內也開始規劃制度化推動。莊盈志透露，數發部正研議建立「綠色軟體標章制度」，搭配分級機制，引導產業逐步導入。

數發部去年舉辦2次座談會，提出「綠色數位服務藍圖」初步構想，包括建立綠色軟體國家標準與驗證能量、推動自願性綠色軟體標章，同時納入綠色採購、推動自願性綠色軟體與數位服務憑證、完善綠色數位服務人才培育機制，以及接軌國際最新技術。

他說明，標章制度的核心目的是，讓企業投入綠色軟體後「被看見」，並進一步轉化為市場競爭力。當企業投入綠色軟體或是綠色軟體做得更好時，不只會被大家看見，也會讓企業有更大的誘因因此被納入採購裡，影響企業的商機與在供應鏈的地位。

該制度在設計上將採「由自願走向制度化」的策略，初期以鼓勵參與為主，逐步建立在地化的碳盤查、驗證與查核機制，最終與國際標準接軌。

讓綠色軟體可被衡量

他進一步說明，企業應如何評估軟體碳排，應從三個步驟開始，首先盤查基準線，找出高耗能或高運算的系統，其次是建立管理指標，將碳排與成本、效能一起納入決策，最後是優化熱點場景，從低風險、高可見度的應用先行改善

而分級制度的目的，正是讓企業能從初階逐步提升，從單一場景優化，走向全面性的綠色軟體治理。

臺灣從制度、產業與工具三軌並進

展望下一步，莊盈志指出，臺灣推動綠色軟體將從三大面向著手：制度面，建立標章與分級制度，並接軌國際標準；產業面，發揮ICT與軟體優勢，切入全球供應鏈；工具面，發展在地化盤查與管理工具，降低導入門檻。

數發部目前已公開綠色軟體參考手冊(草案)，供企業參考，從綠色軟體的核心原則、綠色軟體與AI應用、碳排評估方法到應用情境，協助企業逐步導入綠色軟體。

'

【資安日報】4月10日，伊朗駭客鎖定美國關鍵基礎設施發動攻擊

來源：https://www.ithome.com.tw/news/174990

伊朗駭客CyberAv3ngers鎖定曝露在網路上的可程式化邏輯控制器，滲透美國關鍵基礎設施

美國的FBI、CISA、NSA、環境保護署（EPA）、能源部（DOE），以及網路作戰司令部的網路國家任務部隊（CNMF）等6大機構發布聯合警告，指出伊朗駭客組織CyberAv3ngers（Storm-0784、Hydro Kitten、UNC5691）正在對美國的關鍵基礎設施（CI）發動攻擊，他們尋找能透過網際網路存取的可程式化邏輯控制器（PLC），這些設備的廠牌包括Rockwell與Allen-Bradley。遭到攻擊的組織，涵蓋政府服務、水資源與廢水處理系統，以及能源產業，自今年3月開始，已有部分受害組織出現營運中斷或財務損失。

針對CyberAv3ngers滲透受害組織OT環境的過程，他們通常會利用多個外國IP位址犯案，從網際網路尋找Rockwell與Allen-Bradley製造的PLC設備。這些駭客租用第三方代管基礎設施，部署組態管理軟體，而且，這些設備使用的其中一種組態管理軟體，是Rockwell的Studio 5000 Logix Designer。至於被鎖定的PLC設備，包含CompactLogix與Micro850

Rockwell未修補的重大漏洞遭鎖定，伊朗駭客CyberAv3ngers用於攻擊可程式化邏輯控制器

弱點管理解決方案公司Tenable指出，伊朗駭客組織CyberAv3ngers在近期鎖定美國關鍵基礎設施攻擊行動裡，使用已知漏洞CVE-2021-22681滲透Rockwell的PLC裝置，此為憑證保護不夠周延造成的弱點（CWE-522），CISA將其CVSS風險評為滿分10分，非常危險，影響Rockwell旗下多種系統與設備，包括PLC管理軟體RSLogix 5000與Studio 5000 Logix Designer，以及CompactLogix、ControlLogix、GuardLogix、DriveLogix、SoftLogix等控制器設備。CISA於今年3月5日將CVE-2021-22681加入已遭利用的漏洞名冊（KEV），時間點相當吻合。

值得留意的是，駭客鎖定此漏洞的原因，很有可能就是Rockwell並未發布修補程式。Tenable提及，Rockwell在公告裡強調，CVE-2021-22681無法直接透過安裝修補程式解決，呼籲用戶應導入國防等級的縱深防禦措施因應。換言之，若是企業組織缺乏相關的資安管控機制，這樣的弱點將會持續存在。

Acrobat Reader驚傳零時差漏洞，駭客自去年11月就用於針對俄羅斯能源產業

研究員Haifei Li於4月7日提出警告，他建置的資安威脅監控系統ExpMon偵測到有問題的PDF檔案，經進一步分析後，判定此漏洞具備收集資料與洩露的能力，攻擊者還能遠端執行任何程式碼（RCE），並進行沙箱逃逸（SBX），當中利用了Acrobat Reader零時差漏洞，此弱點允許攻擊者執行特殊權限的API，影響最新版本的Acrobat Reader。隔天他更新部落格文章內容，指出有人發現新的漏洞利用檔案的變種，值得留意的是，此檔案於去年11月28日就上傳到VirusTotal，代表此零時差漏洞的利用活動已持續長達近半年。

另一名資安研究員Giuseppe Massaro（N3mes1s）於4月8日發布完整調查報告，指出他針對兩個利用零時差漏洞的PDF檔案進行分析，結果發現駭客藉此採集受害電腦的系統指紋，將電腦裡的資料傳送到C2伺服器，並下載經AES演算法處理的JavaScript有效酬載並執行。

Windows零時差漏洞BlueHammer涉及內建防毒軟體更新流程

資安研究員Chaotic Eclipse於GitHub公布零時差漏洞BlueHammer引起外界高度關注，此弱點可被用於本機權限提升（LPE），原因疑為微軟要求通報者必須提供影片，造成該名研究員不滿而選擇直接公布。有資安公司循線調查，公布更多細節。

資安公司Cyderes指出，BlueHammer主要與內建防毒Microsoft Defender的更新機制有關，攻擊者搭配磁碟區陰影複製服務（VSS）使用後，就有機會從低權限提升至NT AUTHORITY\SYSTEM。該公司強調，此漏洞無須利用系統核心錯誤、記憶體損毀等缺陷，攻擊者也不需在Microsoft Defender內部執行程式碼。一旦成功利用BlueHammer，攻擊者可讀取安全帳號管理員（Security Account Manager，SAM）資料庫、解開NTLM密碼雜湊值、接管本機管理員帳號，並啟動系統層級的Shell。若是攻擊者進一步還原密碼雜湊資料，還能避免資安系統的偵測。

Google發布Chrome 147，修補60個漏洞，含多個重大與高風險漏洞

Google於4月7日發布Chrome瀏覽器的147版，將Windows與Mac平臺穩定版更新至147.0.7727.55與147.0.7727.56，Linux版本更新至147.0.7727.55，同時也修補多個重大與高風險漏洞。

其中最嚴重的是CVE-2026-5858與CVE-2026-5859，皆被歸類為重大漏洞，Google分別給予通報者4萬3千美元獎金。這兩個漏洞有個共通點，都與瀏覽器的機器學習API模組WebML有關，CVE-2026-5858會造成WebML堆積緩衝區溢位（Heap buffer overflow），CVE-2026-5859則會造成WebML發生整數溢位（Integer overflow）。

為防範惡意程式竊取Cookie，Google於瀏覽器導入DBSC資安機制

本週Google宣布，他們在近期推出的Windows版本Chrome 146版裡，導入了2024年4月公布的裝置綁定連線階段憑證（Device Bound Session Credentials，DBSC）技術，目的防範惡意程式竊取cookie。該公司表示，他們在即將推出的下個版本（147版）將相關功能提供給macOS用戶。Google並公布推動DBSC標準化的計畫。

DBSC涉及裝置金鑰、瀏覽器、硬體業者與產業標準，Google推動DBSC的策略，是先在Chrome落地並結合自身服務擴散，再試圖標準化。

Nvidia推出OpenShell執行環境，為自主AI代理應用套上安全控制

在先前的GTC大會中，Nvidia除了發表各式各樣嶄新的AI硬體與軟體功能，擴展AI應用能力，也針對自主AI代理風行所帶來的安全風險，推出稱作OpenShell的安全執行環境，為OpenClaw等自主AI代理應用，提供安全控管功能。

OpenShell則藉由結合沙箱（Sandbox）、政策強制執行引擎（Policy Engine），以及隱私路由器（Privacy Router）等功能，提供AI代理的控管能力。藉由沙箱在AI代理與基礎架構之間建立隔離的執行環境，並透過政策引擎與隱私路由器，對AI代理的檔案系統存取、網路連線存取、系統程序控制與API呼叫，執行強制性的權限管制，從而讓AI代理自主運作時，不致踰越管理者預設的安全邊界。

n8n工作流程自動化平臺修補重大漏洞，未更新可能導致遠端執行任意程式碼攻擊

工作流程自動化平臺n8n近日發布安全公告，修補2個可能導致遠端執行程式碼的重大漏洞，影響n8n的2.14.x，2.13.x與1.123.x等版本，解決辦法是更新至2.14.1，2.13.3與1.123.27版。

第一個漏洞的編號為CVE-2026-33660，CVSS嚴重性評分達9.4分。問題是出在n8n用於處理不同來源資料合併的Merge節點，在「Combine by SQL」模式下使用的AlaSQL沙箱，對SQL指令處理存在缺陷，攻擊者可藉此執行任意程式碼或存取主機檔案。

HPE擴展後量子密碼技術應用，為ProLiant伺服器引進PQC加密技術

面對日漸逼近的量子運算威脅，HPE正積極為旗下產品引進後量子密碼學（PQC）技術，近期宣布為ProLiant Compute Gen12伺服器導入PQC技術，以因應量子電腦破解傳統公鑰加密的風險。而在近日的RSA大會上，HPE進一步發表iLO7支援PQC的具體時間，預定於2026年夏季正式推出這項功能。

縱觀市面上的伺服器基礎架構廠商，目前我們只看到HPE發布伺服器產品支援PQC的具體架構，以及正式導入時間的訊息，但僅限於最新的ProLiant Compute Gen12伺服器，以及iLO7管理平臺，但更早世代的ProLiant伺服器與iLO平臺的PQC遷移規畫，目前仍不明朗。

Cloudflare以沙箱外掛架構挑戰WordPress安全痛點，推出CMS開源專案EmDash

Cloudflare開源內容管理系統EmDash，其完全以TypeScript開發，並且重新設計外掛架構。EmDash每個外掛在獨立的沙箱環境中執行，須事先宣告所需權限，從根本改變WordPress外掛與主程式共享執行環境的安全模型。EmDash採MIT授權，底層基於網頁框架Astro，目前釋出v0.1.0開發者預覽版，可部署至Cloudflare帳戶或任何Node.js伺服器。

在部署架構上，EmDash設計為無伺服器優先，可運用Cloudflare Workers的V8 isolate架構，在請求進入時啟動執行環境，無流量時可縮至零，並按CPU運算時間計費。EmDash另內建x402協定支援，讓網站經營者可對內容存取收費，無需額外開發即可向AI代理等自動化客戶端收費。此外也提供MCP伺服器與CLI工具，使AI代理能程式化管理CMS內容，處理搬遷與批次修改等作業。

歐鐵票券營運商去年資料外洩事件影響30萬人

經營歐鐵票券（Eurail Pass）的旅遊業者Eurail B.V.，近日向美國政府通報去年的網路攻擊事件，透露有近30萬人個資及旅遊資料外流。

上述通報源自公司今年傳出的資安事故，Eurail有數個內部系統遭駭客存取，遭竊的資料包含客戶訂單資訊，如個資和聯絡資訊、國外客戶護照資訊如護照號碼、核發國家及到期日等。此外還有透過DiscoverEU方案外洩的青年客戶資料，包含姓名、出生日期、年齡、護照號碼或相片、電子郵件信箱、住宅地址、居住地、電話號碼、國際銀行帳戶號碼、健康資訊等。

其他資安威脅

◆與Bitter有關的駭客團體經營僱傭服務，攻擊中東與北非的新聞記者

◆北韓駭客散布1,700個惡意套件，橫跨NPM、PyPI、Go、Rust生態圈

◆後門程式BPFDoor出現變種，導入無狀態C2與ICMP中繼手法隱匿活動

◆網釣平臺Venom活動升溫，駭客用於對高階主管發動攻擊，意圖竊取M365帳號

◆微軟無預警停用多個高知名度開源專案的開發者帳號，恐導致維護者無法發布新版軟體修補資安漏洞

近期資安日報

【4月9日】Anthropic全新模型漏洞挖掘能力超群，直逼人類頂尖駭客

【4月8日】APT28綁架SOHO路由器設備，將受害者導向AiTM基礎設施

【4月7日】Claude Code資料外洩事故成駭客散布惡意軟體的新誘餌

'