校正工作從2個月變1天！AI加速解碼小鼠全腦，找出嗅覺異常與自閉症關聯

來源：https://www.ithome.com.tw/news/175094

中研院分子生物研究所聯手資訊科學研究所，今日（4/15）揭露一款AI加持的全腦自動腦區校正定量分析（BM-auto）系統，主打運用深度學習技術快速、精準辨識腦區位置，將過往需要人工2個月才能完成的工作，縮短為1天。

這項技術大幅加速神經科學研究，讓團隊更快找出嗅覺皮質與自閉症的重要關聯，成果不只刊登於國際知名期刊《分子精神病學》，也為自閉症療法帶來新契機。而BM-auto技術接下來也將用於更廣泛的領域，比如其他疾病的小鼠腦部模式，或其他神經科學研究。

為何需要深度學習加速全腦校正

主導此次研究的中研院分子生物研究所特聘研究員薛一蘋，長年專攻自閉症研究。她指出，自閉症成因複雜，比如成千上百種基因突變，或後天環境造成，但共同特徵都指向神經迴路異常。

也就是說，每個人出問題的地方可能都不一樣，最後卻呈現很類似的行為表現。也因此，團隊想知道，不論哪些基因突變，最後是不是都影響到大腦中的幾個關鍵腦區，或特定的神經迴路。

為此，他們設立了2個研究目標，一是從與人類基因序列相似度接近100%（意味著功能相似度也極高）的小鼠身上，比較不同自閉症的小鼠全腦影像，從中找出關鍵腦區和異常的神經迴路；另一是加速神經迴路分析，他們要優化既有的全腦螢光影像定量系統，要加上AI功能，來提高小鼠500多個腦區的分析效率。

薛一蘋進一步解釋，AI是要解決過去研究時的痛點，也就是雖然有BM-auto系統，但團隊仍得花大量時間，手動將小鼠腦部影像的螢光位置，一一比對標準腦部圖譜的位置，通常需要2、3個月才能完成一隻小鼠的全腦影像對齊。

於是，他們找上中研院資科所副研究員王建堯團隊，來開發BM-auto系統的AI自動化功能。王建堯團隊以薛一蘋團隊過去5年累積的基準真相（Ground truth）資料來訓練AI模型，克服跨模態對齊的難題，讓模型學會辨識小鼠腦部螢光位置與標準圖譜之間的對應關係，進而能夠自動校正。

王建堯補充，這套模型辨識出的腦區位置，與標準圖譜的對應位置重疊約9成，意味著對齊效果相當準確，而且自動辨識時間只需10幾分鐘。如此一來，研究人員再人工校正幾十個腦區即可，1天就能完成全腦的校正工作。

找出嗅覺缺陷與自閉症關聯

也因為有了AI加速，薛一蘋團隊得以快速、精準分析每隻鼠腦的500多個腦區，完成3種自閉症小鼠全腦螢光影像定量分析。他們還連結、比對美國艾倫腦科學研究所建構的正常小鼠資料庫，發現3種自閉症小鼠的共同病灶：嗅覺皮質的特定投射神經細胞顯著下降。

他們進一步驗證，發現雖然3種自閉症小鼠仍保有嗅覺感應能力，能聞到各種氣味，卻失去「分辨氣味異同」的辨別力，導致嗅覺辨別障礙。團隊也進行後續一系列分析與比對，自閉症小鼠嗅覺皮質的異常不但影響嗅覺功能，連帶影響與其他腦區之間的訊息傳遞與連結，證實嗅覺皮質與自閉症病理機制的重要性。

而這次研究所建立的BM-auto系統，不只突破傳統全腦影像處理的瓶頸，接下來還能應用於其他腦部疾病的分析研究。

'

國泰世華上周五網銀服務延遲近5小時，起因是負載平衡器逼近極限未切換備援

來源：https://www.ithome.com.tw/news/175071

國泰世華銀行於上周五（4/10）發生網路銀行與行動App交易延遲事件，影響時間從當天上午9:31至14:30，影響長達近5小時，導致用戶投訴超過400件。金管會銀行局本周二指出，問題核心並非外部攻擊或突發流量，而是該行內部關鍵設備「負載平衡器」的負載飆高，在流量調度失效下，導致交易請求無法有效分流，而引發大規模延遲。

從架構面來看，此次事件發生在銀行對外服務的「入口層」。根據金管會公布的資料，負責分配流量的F5負載平衡器，在正常情況下CPU使用率維持在70%至90%的高檔區間，顯示系統長期處於高負載運行狀態。事發當天CPU瞬間衝至99%，接近設備處理極限，使得新進交易請求無法被有效轉送至後端系統，形成請求堆積與延遲擴散。由於負載平衡器位於系統前端，一旦失效，將影響所有下游服務，包括轉帳、匯款、換匯及證券交割等核心交易。

值得注意的是，這起突發事件並未導致系統全面中斷，而是部分可用但效能劣化，使得交易成功率從接近100%下滑至70%至90%，反映系統仍具備基本處理能力，但已進入壅塞狀態。

外界關注為何未能即時啟動備援切換，對此，金管會指出，銀行端的考量是，當主設備尚未完全失效時，若直接切換至備援系統，可能將同樣面臨轉移過來的高負載壓力，導致備援節點同步過載。此外，若採取全面重啟策略，將造成約2小時完全中斷，相較之下，銀行選擇維持部分服務運作並逐步調整流量。

從高可用設計角度檢視，此次事件暴露三項關鍵問題。首先，入口層設備可能長期的高負載使用，顯示容量規劃方面未預留足夠餘裕。其次，備援機制雖存在，但未能在性能劣化初期自動介入，可能存在health check與切換門檻設計上的不足。第三，系統缺乏即時流量調節限流機制，無法在異常初期有效降低壓力，避免問題擴大。

在影響層面，此次事件已引發逾400件客訴，部分用戶因交易延遲面臨匯率或交割損失。金管會已要求銀行依公平待客原則處理補償，並限期在4月21日前提出完整事故報告，以釐清是否涉及人為疏失或SOP未落實，後續不排除開罰。

這起事件可供企業在數位轉型過程中借鏡，除了追求核心交易引擎的性能提升之外，「基礎設施」的流量控制也不容忽視。特別是當服務全面線上化、交易即時性要求提高後，負載平衡、流量調節分流與自動化故障切換能力，已是影響服務穩定性的關鍵。

針對這起事件，F5回應，當系統長期處於高壓運行環境下，若流量成長、服務複雜度與架構調整節奏之間出現失衡，整體平台所承受的壓力將大幅上升，進而影響服務穩定性。這類問題已不僅是單一企業的挑戰，而是在數位轉型與AI應用快速深化的背景下，整體產業都必須正視的共通風險。

對此，F5建議企業應從「因應現狀」轉向「預見性規劃」，在系統設計初期即預留充足運算餘裕，以因應高峰負載；同時強化跨部門協作與流量可視化能力，從即時監控進一步走向長期趨勢預測與主動治理。透過建立具彈性且可擴展的基礎架構，企業才能在推動創新的同時，確保未來5至10年的系統穩定與韌性。

'

資安業者揭露Chrome Web Store上共用同一C2基礎設施的108款惡意擴充程式

來源：https://www.ithome.com.tw/news/175087

資安業者Socket週一（4/13）指出，他們在Chrome Web Store上發現了108款共用同一C2基礎設施的惡意擴充程式，這些偽裝成通訊、播放器、遊戲或工具的擴充程式可竊取使用者的Google帳戶、Telegram帳號或瀏覽行為，並將它們傳送到同一個網域cloudapi[.]stream。

此次揭露的擴充程式涵蓋Telegram擴充工具、影音播放器、翻譯服務及各類小遊戲等常見應用，安裝後仍可正常運作，降低使用者警覺。但實際上會在背景透過OAuth機制擷取Google帳戶的電子郵件、名稱與唯一識別碼（sub），並持續蒐集瀏覽行為資料。

還有部分擴充程式更具備帳號接管能力，例如可每15秒竊取Telegram Web登入Session，讓攻擊者在不需密碼或雙重驗證的情況下直接存取帳號內容。此外，部分外掛內建後門機制，會在瀏覽器啟動時連線至遠端伺服器並接收指令，甚至可開啟任意網頁或動態注入內容。

根據統計，有54個擴充程式可透過OAuth2竊取Google帳戶身分；有45個含有通用後門，以於瀏覽器啟動時開啟任意網址；另有1個擴充程式會持續竊取Telegram登入Session。不過，這108個擴充程式總計的下載量大約只有2萬。

研究發現，這些擴充程式雖然是由5個不同的開發者所發行，但它們的C2伺服器都位於同一個IP位址，也都使用同一網域，而且不管是程式碼結構、後門機制與回傳機制都高度一致，可能為同一操作者所控制。

'

微軟將於五月關閉Outlook Lite App for Android

來源：https://www.ithome.com.tw/news/175086

微軟公告Outlook Lite App for Android將在2026年5月25日完全退役，呼籲用戶改用Outlook Mobile App。

Outlook Lite是微軟2022年開發Android裝置專用的精簡App，主打運行更輕巧、更快、更省電，適合當年頻寬較小的電信網路。下載次數約有1000萬次。

伴隨關閉Outlook Lite for Android，微軟將切斷以Outlook Lite存取郵件信箱，但仍允許應用程式開啟。微軟呼籲用戶轉用Outlook Mobile，這App支援所有郵件功能和遵循能力。管理員無需任何行動，但必須通知使用者轉換。

Outlook Lite for Android的關閉將影響使用較平價手機、頻寬較小的用戶。Windows Central分析，這項決定顯示微軟希望統一各平臺上Outlook的使用經驗。

微軟去年9月就宣布退役Outlook Lite的計畫。10月微軟就不再允許下載Outlook Lite。微軟建議想要高效能的用戶改用瀏覽器執行Outlook，或是「購買或管理」手機連網方案。

'

Google在Chrome導入Skills，將AI提示轉為可重複執行的工作流程

來源：https://www.ithome.com.tw/news/175085

Google週二（4/14）宣布在Chrome中導入Skills功能，讓使用者可將常用的AI提示（Prompt）儲存為可重複使用的操作，並透過一次點擊快速執行。該功能整合於Chrome中的Gemini，支援在當前頁面或多個分頁上運行，進一步強化瀏覽器中的AI應用能力。

過去使用者若需重複執行相同AI任務，例如比較產品規格或整理文章內容，往往需要在不同網頁間反覆輸入提示。Skills的推出，將這些提示轉為可儲存的操作單位，用戶可直接從聊天紀錄中建立Skill，並可透過輸入斜線（/）快速調用，顯著降低重複操作成本。

Google列出了Skills的多種應用場景，例如在健康領域中快速計算食譜的營養成分、在購物時跨分頁比較商品規格，或在工作中從長篇文件中擷取重點資訊。此外，Google亦同步推出Skills資料庫，提供一系列預設範本，使用者可直接套用或進一步自訂，建立個人化的AI工作流程。

在安全設計上，Skills不會自動執行涉及外部操作的任務，相關動作需經使用者確認後才會進行，並結合既有瀏覽器防護與持續測試機制，以降低誤操作與濫用風險，例如新增行事曆事件或寄送電子郵件等操作。

Google自2025年9月起將Gemini整合到Chrome瀏覽器中，使其具備AI助理能力，但截至今年3月，此一功能仍只支援美國、加拿大、紐西蘭及印度市場，尚未擴及臺灣，而此次推出的Skills則是Gemini in Chrome的功能之一。

'

【資安日報】4月15日，微軟、SAP、Adobe發布本月例行更新

來源：https://www.ithome.com.tw/news/175084

微軟發布4月例行更新，修補SharePoint、Defender零時差漏洞

一週前Anthropic發布通用語言模型Claude Mythos預覽版本，聲稱該模型已在常見的作業系統、瀏覽器、開源軟體找出數千個零時差漏洞，並設立Project Glasswing專案號召科技、金融公司、關鍵基礎設施加入，使得4月份的各大IT廠商的安全性例行更新格外受到關注，因為外界預期各廠商將會公布大量的資安漏洞，果不其然，單就今天微軟發布的公告而言，就涵蓋超過200個漏洞。

首先，4月微軟例行更新（Patch Tuesday）總共公開165個由微軟登記CVE編號的漏洞，數量較上個月多出一倍，再加上他們修補的第三方元件漏洞，總數將達到247個。

SAP修補商業規畫與合併財務報表系統、企業資料倉儲系統重大漏洞

4月14日SAP發布本月例行更新（Security Patch Day），總共揭露19個資安漏洞，其中有1個重大等級、1個高風險等級，其餘為中低風險等級。

根據CVSS風險評分，最危險的是SQL注入漏洞CVE-2026-27681，影響商業規畫與合併財務報表系統SAP Business Planning and Consolidation（SAP BPC），以及企業資料倉儲系統SAP Business Warehouse（SAP BW），CVSS風險評為9.9分（滿分10分），屬重大等級。此漏洞形成原因在於上述系統的授權檢查不夠充分，通過身分驗證的攻擊者能執行指定的SQL描述指令（SQL Statement），從而讀取、竄改、刪除資料庫內容。

Adobe修補55個漏洞，ColdFusion列為最高優先更新

Adobe於4月14日發布的周二例行性更新中，修補旗下11款產品一共55個漏洞，其中的應用程式伺服器軟體ColdFusion，被列為用戶需要立即更新的等級1（Priority 1），建議用戶在72小時內更新。細部而言，ColdFusion修補7個漏洞，包括CVSS嚴重性評分達9.3分的輸入驗證漏洞CVE-2026-27304，另外還有可能導致路徑遍歷、資源消耗失控等問題的漏洞。

列為等級2（Priority 2）的產品則有Acrobat Reader，修補2個原型汙染（Prototype Pollution）問題，建議用戶在30天內儘速修補。在這波更新之前，Adobe也剛於4月11日發布Acrobat Reader的另一個安全更新，修補已遭到攻擊者利用的重大零時差漏洞CVE-2026-34621。

Python資料分析工具Marimo重大漏洞遭到利用

4月8日，開發Python互動式運算環境Marimo的團隊揭露重大漏洞CVE-2026-39987，有資安公司發現，公布後不到半天，已出現攻擊行動。

資安公司Sysdig指出，在Marimo發布公告約10小時後，他們看到漏洞利用嘗試的跡象，而且駭客在3分鐘之內成功竊得憑證。值得留意的是，當時該漏洞尚無登記CVE編號，也沒有公開的概念驗證程式碼（PoC），攻擊者只有根據資安公告的有限資訊，就成功利用漏洞，並在未經身分驗證的情況下存取終端機端點，然後手動偵察受害環境。

出版商McGraw-Hill傳出Salesforce系統被入侵，駭客聲稱竊得4500萬筆資料

根據資安媒體Bleeping Computer報導，駭客組織ShinyHunters近日聲稱，他們從知名教育出版商麥格羅希爾（McGraw-Hill）的Salesforce平臺竊得一批資料，其中包含超過4,500萬筆可識別身分資訊（PII）記錄。駭客要求該出版商在週二之前聯繫，否則將公開這批資訊連同其網路環境漏洞。

對此，麥格羅希爾證實有未經授權人士從Salesforce代管的網頁存取部分資料，並研判這事件可能是Salesforce系統配置錯誤的造成，受影響並非只有麥格羅希爾，有多家企業組織遭到攻擊。

OpenAI公布GPT 5.4-Cyber，開放更多資安人員使用

OpenAI今年2月公布資安人員合作方案Trusted Access for Cyber（TAC），允許資安廠商及組織使用該公司專為網路安全強化的AI模型。為了不讓Anthropic近期推出的Claude Mythos專美於前，4月14日OpenAI公布專為網路安全分析的模型GPT-5.4-Cyber，此為基於GPT 5.4而成的變形版本，和標準版本相較，GPT-5.4-Cyber降低AI模型的拒絕邊界（refusal boundary）而可用於合法的網路安全任務，並加入進階防護工作的新功能，包括二進位檔逆向工程，這功能允許資安專家分析惡意軟體能力，或是在不需存取原始碼情況下了解系統軟體漏洞及安全性。

OpenAI也提供了加入TAC方案的方法。個人用戶可以透過ChatGPT網站，企業用戶可以向OpenAI業務人員申請。審核通過的用戶就可以使用限制更少的模型，讓他們得以執行安全教育、防禦性程式開發和負責任的漏洞研究。

CISA警告Fortinet FortiClient EMS重大漏洞已被用於攻擊，要求儘速修補

美國網路安全與基礎設施安全局（CISA）近日警告，2月初揭露的重大漏洞CVE-2026-21643已被實際利用，未修補此弱點的端點管理平臺FortiClient EMS風險大增，CISA將其納入已知遭利用漏洞清單（KEV），要求各機構儘速修補。

CVE-2026-21643屬於SQL注入型弱點（SQL Injection），CVSS嚴重性評分達9.1分，問題出在SQL指令使用的特殊元件，未妥善過濾輸入（improper neutralization），使得未經身分驗證的攻擊者能藉由特製的HTTP請求，執行未授權的程式碼或指令，會影響7.4.4版FortiClient EMS，解決辦法是升級到7.4.5以後版本。

NPM套件Axios修補滿分重大漏洞，未更新可能導致遠端執行任意程式碼攻擊

使用廣泛的HTTP用戶端NPM套件Axios，繼日前傳出的供應鏈攻擊事件後，該套件專案的維護者近日又發布安全公告，修補可能導致遠端執行任意程式碼的重大漏洞， 建議用戶儘速更新版本。

Axios這次修補的漏洞編號為CVE-2026-40175，CVSS嚴重性等級達到滿分10.0分，問題源自Axios的HTTP標頭處理缺陷，若結合原型污染（Prototype Pollution）問題，將形成可被利用的攻擊鏈。攻擊者可藉由應用程式其他相依套件污染JavaScript的Object.prototype，Axios會在合併設定時自動載入被汙染的惡意屬性，進而觸發HTTP請求挾帶（HTTP Request Smuggling）或伺服器端請求偽造（SSRF）等問題，可能進一步導致遠端執行任意程式碼。利用這個漏洞還可能讓攻擊鏈延伸到AWS雲端服務，導致攻擊者繞過AWS IMDSv2連線權杖保護機制，進而入侵雲端環境。

開源監控平臺Grafana修補AI助理功能漏洞，防範提示注入攻擊導致資料外洩

資安公司Noma研究人員指出，開源監控與資料視覺化平臺Grafana的AI助理功能存在GrafanaGhost漏洞，可透過間接提示注入（Indirect Prompt Injection）手法，誘使AI助理將企業敏感資料外洩至外部伺服器。

Grafana平臺內含的AI助理功能，可協助使用者以自然語言查詢與分析系統監控資料。研究人員指出，攻擊者可在Grafana平臺讀取的外部網址嵌入惡意指令，當AI助理功能解析這些資料時，可能被誘導繞過安全防護機制，進而執行對外傳輸請求，將用戶資料附帶於URL參數中，傳送至攻擊者控制的伺服器，由於整個過程不會出現任何錯誤訊息，用戶難以察覺異常。

DNS伺服器軟體BIND 9修補多個漏洞，未修補可能導致服務中斷等問題

網際網路系統協會（Internet Systems Consortium，ISC）近日發布安全公告，修補由其開發與維護的BIND 9 DNS伺服器軟體多個漏洞，這些漏洞可能導致服務中斷、記憶體資訊洩漏等問題，使用者須盡速修補。

BIND 9是廣獲使用的開源伺服器軟體，這次修補的漏洞一共有4個，其中最嚴重的是CVE-2026-1519，為CVSS嚴重性評分7.5的高風險漏洞，攻擊者可透過特製DNS驗證資料導致系統資源耗盡，進而形成阻斷服務（DoS）攻擊。另一值得注意的漏洞是CVE-2026-3104，CVSS嚴重性評分同為7.5，攻擊者可透過特製的網域名稱，觸發BIND 9 DNS解析器（resolver）記憶體資訊洩漏。

PTC揭露旗下產品生命週期管理系統滿分重大漏洞，目前尚無修補程式，用戶須立即採取緩解措施

工業應用軟體廠商PTC近日發布安全公告，揭露旗下產品生命週期管理系統Windchill與FlexPLM存在重大漏洞，可能導致攻擊者藉此發動遠端執行任意程式碼攻擊，由於目前尚無修補程式，建議用戶立即採取緩解措施。

PTC揭露的這個漏洞編號是CVE-2026-4681，CVSS 3.1嚴重性等級為滿分10分，屬於CWE-94程式碼注入（Code Injection）弱點，攻擊者可透過不受信任資料反序列化（deserialization of untrusted data），從遠端執行程式碼。

其他資安威脅

◆Adobe修補旗下11款應用程式資安漏洞，呼籲用戶優先處理ColdFusion、Acrobat Reader

◆PHP編輯器存在高風險漏洞，若不處理攻擊者可注入任何命令

◆惡意程式Mirax綁架安卓設備，將受害裝置變成SOCKS5固定型代理伺服器

◆ShinyHunters聲稱從遊戲公司Rockstar Games竊得8.1 GB內部資料

◆伊朗駭客Handala聲稱對阿拉伯聯合大公國3個重要組織發動網路攻擊

◆Python後門程式ViperTunnel鎖定美英企業，被用於勒索軟體DragonForce活動

近期資安日報

【4月14日】OpenAI證實遭遇Axios供應鏈攻擊波及

【4月13日】CPUID網頁被入侵，駭客散布木馬程式STX RAT

【4月10日】伊朗駭客鎖定美國關鍵基礎設施發動攻擊

'

中國駭客APT41使用惡意程式搜刮雲端憑證，範圍涵蓋AWS、GCP、Azure、阿里雲

來源：https://www.ithome.com.tw/news/175083

今年初，國安局點名多組中國國家級駭客組織鎖定臺灣9大關鍵基礎設施發動攻擊，其中一組就是惡名昭彰的APT41（Winnti），近日有資安公司指出，這些駭客滲透雲端環境多年，範圍涵蓋4大公有雲環境。

資安公司Breakglass指出，他們發現APT41近期打造的ELF後門程式，鎖定建置在AWS、GCP、Azure、阿里雲的Linux雲端工作負載，該後門程式使用郵件通訊協定SMTP常用的25埠建立C2通訊，收集雲端服務供應商的憑證與中繼資料，然後將竊得資料傳送到3個冒充阿里巴巴的網域，這些主機架設於阿里雲新加坡的基礎設施。值得留意的是，尚無VirusTotal納入的防毒引擎將後門程式視為有害，再加上駭客導入的C2交握驗證機制，使得Shodan、Censys等物聯網搜尋引擎難以識別受害的工作負載。

究竟此後門會收集哪些資料？首先，駭客會從AWS查詢身分識別與存取管理（IAM）的角色憑證，接著，他們從GCP的中繼資料伺服器挖掘服務帳號的權杖（Token），並讀取應用程式的預設憑證。

針對Azure的部分，駭客會查詢實體中繼資料服務（Instance Metadata Service，IMDS）端點的內容，取得代管的身分識別權杖並讀取設定檔；至於阿里雲，他們會查詢Elastic Compute Service（ECS）的中繼資料，搜刮資源存取管理（Resource Access Management，RAM）的角色憑證，以及命令列介面（CLI）的組態。

上述所有竊得的憑證，後門程式都會搭配寫死的（hardcoded）AES-256金鑰進行加密處理，再外傳到攻擊者控制的網域。

值得留意的是，這次駭客不再使用HTTPS進行C2通訊，而是刻意採用SMTP常見的連接埠。Breakglass指出，原因可能是雲端環境通常會提供電子郵件服務，因此25埠的流量往往會被視為正常，再加上許多資安工具不會深入檢查SMTP流量，以及各家雲端服務廠商對於25埠出口流量過濾做法不一致，使得相關活動難以被察覺。

Breakglass提及C2伺服器實作選擇性交握機制，只有初始的EHLO字串包含來自用戶端提供的有效權杖，才會進行連線，否則就會傳送標準的SMTP橫幅（SMTP Banner）以及表達傳遞成功的狀態訊息220之後關閉連線。這代表物聯網搜尋引擎只會偵測到普通的SMTP伺服器，自動威脅情報平臺不會將IP位址標記為有問題。

APT41打造Linux惡意程式並非首例，最早可追溯到6年前的Pwnlnx，後續他們於2023年打造具雲端識別能力的KeyPlug，隔年又改進迴避偵測的能力，並首度具備雲端中繼資料收集的能力。由此看來，該組織致力讓Linux版後門成為雲端原生的惡意程式，從早期的基本反向Shell，已經發展成具備專屬的雲端憑證收集工具。

'

出版商McGraw-Hill疑被竊取Salesforce系統4500萬筆資料

來源：https://www.ithome.com.tw/news/175082

一個駭客組織宣稱竊取了4,500萬筆紀錄後，知名教育出版商麥格羅希爾（McGraw-Hill）週二證實其使用的Salesforce環境曾遭未授權存取，但強調不是自己帳號被駭，也沒有客戶資料外洩。

麥格羅希爾是美國三大教育出版商之一，總部位於紐約，業務遍布全球28個國家，出版領域涵蓋商管、財經、醫學及自然科學等領域，為教育產品和電子書服務供應商。

資安媒體Bleeping Computer報導，一個駭客組織貼出公告，聲稱竊得這家出版商包含可識別身份資訊（PII）超過4,500萬筆Salesforce紀錄。駭客要求該出版商在週二之前聯繫，否則將公開這批資訊連同其網路環境漏洞。

麥格羅希爾證實，近日發現有人非授權從Salesforce代管的公司某網頁存取了一小部份資料。這事件可能是Salesforce環境配置錯誤的一環，受影響的有多家組織。

但麥格羅希爾出版社說，這起事件並非該公司Salesforce帳號、客戶資料庫、教材系統或內部系統被非授權存取。這公司並說，與外部資安業者合作調查發現，外洩的資訊不包含社會安全碼、財務資訊或教育平臺的學生資料。

另外，製作二大知名電玩遊戲《俠盜獵車手Grand Theft Auto V》及《碧血狂殺II/Red Dead Redemption II》的Rockstar Games也在近日傳出被駭。媒體報導，Rockstar Games和麥格羅希爾資料外洩事故皆由ShinyHunters聲稱所為。其他受害者還包括知名賀卡公司Hallmark Cards、美國國鐵公司Amtrak。

但兩者被存取的系統不同。Rockstar Games是駭客經由其使用的績效AI分析工具Anodot平臺存取了Rockstar Games的Snowflake實例，但該遊戲出版商聲稱，外流的是重要性較低的資訊，也沒有遊戲玩家資料。

'

Anthropic新模型Claude Mythos引發金融業資安疑慮，美英加監理機關關注風險

來源：https://www.ithome.com.tw/news/175081

AI模型開發商Anthropic於4月7日公布Claude Mythos Preview後，因其具備尋找並利用軟體弱點的能力，引起金融業與監理機關注意。路透社與金融時報報導，美國、英國與加拿大主管機關近期已與銀行高層討論相關風險，顯示這類具攻防雙重用途的AI模型，正被視為影響企業資安防禦節奏的重要變數。

目前Claude Mythos Preview被視為Anthropic程式撰寫與代理式任務能 力最強的模型，可依指示找出並利用作業系統與瀏覽器未公開或未廣泛揭露的弱點。對銀行而言，風險特別顯著，主因在於IT環境同時整合最新工具與運行多年的舊系統，潛藏弱點的範圍更廣。

企業AI資安業者Guardrail Technologies執行長TJ Marlin接受路透社採訪時指出，Claude Mythos這類先進模型能夠橫跨複雜系統架構進行分析，包括企業內部長期累積的舊系統環境，使過去未被發現的弱點與系統複雜性，現在都可能轉化為可被利用的攻擊面。此外，銀行業彼此之間高度連結，多數機構採用相似的軟體來進行開戶流程（onboarding）、客戶審查計畫（KYC，Know Your Customer）驗證與交易處理，一旦攻擊手法可規模化運用，影響可能迅速擴散。

在監理動態方面，美國財政部長Scott Bessent與聯準會主席Jerome Powell已召集大型銀行執行長，提醒留意相關風險；英國國家網路安全中心（National Cyber Security Centre，NCSC）已開始討論其對關鍵系統的影響；加拿大財政部與央行也將其列為資安議題。

在產業合作上， Anthropic目前透過Project Glasswing，讓AWS、Google、微軟等合作夥伴，在受控情境下用於防禦測試，並提供資源協助提前發現與修補弱點。Anthropic技術文件指出，Claude Mythos已找出數千個高風險與重大風險漏洞，多數尚未修補，因此未公開細節。

英國AI Security Institute（AISI）評測顯示，Claude Mythos在專家級搶旗競賽任務（CTF）成功率達73%，並可完成32步驟企業攻擊鏈。不過研究人員也指出，測試未納入實際企業防禦機制，因此結果尚不能直接反映真實環境。

另一方面，IBM發布評論指出，Claude Mythos反映AI在攻防兩端的能力正同步提升，企業若僅依賴封閉測試或單一廠商機制，將難以全面掌握風險，應透過開源與跨組織協作強化防禦。

'

Apache Tomcat修補多個高風險漏洞，最嚴重漏洞可能導致加密機制遭到繞過

來源：https://www.ithome.com.tw/news/175079

Apache軟體基金會近日發布安全公告，修補Java應用程式伺服器軟體Apache Tomcat存在的多個漏洞， 建議用戶儘速更新。

這次Apache Tomcat修補的漏洞中，最嚴重的是涉及EncryptInterceptor元件加密機制的2個高風險漏洞，CVSS嚴重性評分均為7.5。 以EncryptInterceptor元件的漏洞為例，資安公司Oligo Security研究人員發現的第1個漏洞CVE-2026-29146，問題出在EncryptInterceptor元件預設使用密碼區塊連結（CBC）模式，可能導致攻擊者在特定條件下解密攔截到的流量，但資安公司striga.ai研究人員發現Apache Tomcat對此漏洞發布的最初修補並不完全，修補機制可能遭到繞過，產生第2個漏洞CVE-2026-34486，必須升級到進一步修補的新版本才能解決問題。

另一個較受矚目的漏洞揭露，是涉及OCSP憑證驗證機制的中度風險漏洞CVE-2026-34500，CVSS嚴重性評分為6.5分，可能導致驗證程序異常，進而影響到存取控制。

前述漏洞會影響Apache Tomcat的9.x、10.x與11.x等分支版本，解決辦法是將9.x版升級到9.0.117以上版本、10.x版升級到10.1.54以上版本，11.x版升級到11.0.21以上版本。

'

Adobe修補55個漏洞，ColdFusion列為最高優先更新

來源：https://www.ithome.com.tw/news/175076

【加速生成式AI發展的下一個關鍵力量】向量資料庫與儲存系統的崛起

'