【資安週報】0413~0417，美英加監管機構警戒LLM模型能力提升恐威脅金融舊系統

來源：https://www.ithome.com.tw/news/175154

【資安新聞編輯室報告】這一星期最受產業矚目的消息之一，莫過於LLM模型在資安攻防兩端展現的深遠影響力，繼Anthropic Claude Mythos預覽版發布，OpenAI亦擴大GPT-5.4-Cyber的申請範圍，由於Mythos已展現強大的跨系統分析能力，此態勢已引起美、英、加三國監理機關的高度警戒，憂心這類先進模型若早一步被攻擊方利用，將用於金融業者。

此外，這星期我們也看到因應簡訊OTP難題的最新探討與推動，包括電話號碼認證（PNV）與基於eSIM去電話號碼識別的方案，這些進展均顯示：若要解決這類問題科技業，需與電信業者合作來應對。

政策法規、技術趨勢、產業脈動

OpenAI擴大提供GPT-5.4-Cyber

繼Anthropic於本月初公布Claude Mythos預覽版後，OpenAI則宣布擴大其GPT-5.4-Cyber專用模型的申請使用範圍。這款專為網路安全分析優化的模型，現在將開放給更多資安人員申請使用，同時加入進階防護工作的新功能，支援惡意程式分析與逆向工程，協助理解軟體漏洞。

Claude Mythos能力引發多國監理機關關注風險

隨著Claude Mythos預覽版發布，美國、英國與加拿大主管機關近期已與銀行高層討論相關風險，主因是Claude Mythos這類先進模型能跨系統分析複雜架構，對於企業內部長期累積的舊系統環境而言，過去未被發現的弱點與系統複雜性，現在都可能轉化為可被利用的攻擊面。此外，銀行業大量採用相似的KYC與交易軟體，一旦出現規模化AI攻擊，高度連結的金融體系受到的影響可能迅速擴散。

數發部資安署發布中小企業基本資安指引

繼金管會於2021年底發布「上市上櫃公司資通安全管控指引」後，為進一步帶動全臺企業重視資安，去年資通安全研究院（資安院）建立實地資安健檢服務，引進美國加州柏克萊大學Cybersecurity Clinic課程課綱，就是聚焦輔導中小企業而來，近期數發部資安署再發布「中小企業基本資安防護指引」及自我檢核表，將專業資安要求轉化為易懂清單，涵蓋帳號管理、設備管理、落實資料備份等實務建議。

解決簡訊OTP難題需與電信業者整合

前陣子大量LINE帳號遭盜用的事件受到廣泛關注，更深層問題是OTP認證碼（一次性密碼）仍普遍應用，目前相關對策仍在持續發展中，但焦點就是要探討如何與電信業者深度結合，目前已有兩大技術趨勢備受矚目，一是仰賴電話號碼的電話號碼驗證（Phone Number Verification，PNV）機制，另一則是去電話號碼識別，基於eSIM Passkey的技術方案。

OpenSSL 4.0發布

作為全球應用最廣泛的開源加密函式庫，OpenSSL發布4.0重大版本更新。本次改版聚焦於架構現代化與清理技術債，包括正式移除SSLv3協定與SSLv2 Client Hello支援，並全面廢除Engine機制；此外，部分資料結構與X509相關公開API也調整得更為嚴謹。在安全性強化方面，則新增支援ECH（Encrypted Client Hello）技術及後量子密碼學（PQC）相關功能。

最新漏洞威脅

在漏洞利用消息方面，多家IT大廠發布每月例行安全更新的公告，揭露與修補近期掌握的弱點，其中微軟本月例行安全更新就修補自家產品165個漏洞（包含兩個零時差漏洞，其中一個已遭利用），並修補第三方元件漏洞82個。進一步從整體來看，本星期有5項漏洞發現遭駭客鎖定利用，須優先關注！

微軟 CVE-2026-32201

●零時差漏洞攻擊事件發生，目標是微軟SharePoint Server的漏洞CVE-2026-32201，微軟發現有鎖定利用情形後於每月例行更新修補，攻擊者身分尚未揭露。已被美國CISA列入KEV。

Apache CVE-2026-34197

●Apache基金會4月初修補ActiveMQ的漏洞CVE-2026-34197，美國CISA在漏洞公開後一星期將之列入KEV，目前尚未有更多攻擊狀況揭露的消息。

Marimo CVE-2026-39987

Python資料分析工具Marimo揭露CVE-2026-39987的漏洞，資安公司Sysdig指出在Marimo發布公告約10小時後，已經發現漏洞利用嘗試的跡象。截稿前尚未被美國CISA列入KEV。

Nginx UI CVE-2026-33032

網頁伺服器Nginx的第三方網頁管理介面Nginx UI在3月底揭露的漏洞CVE-2026-33032，資安公司Recorded Future於兩週後示警，指出Nginx UI團隊已於3月中釋出修補程式，但後續亦在3月發現漏洞利用情形。截稿前尚未被美國CISA列入KEV。

ShowDoc CVE-2025-0520

中國技術文件協作平臺ShowDoc在去年4月修補的漏洞CVE-2025-0520，資安公司VulnCheck揭露有鎖定利用的攻擊活動，近期於蜜罐陷阱看到有攻擊者試圖部署Webshell的情形。中國將此漏洞登記為CNVD-2020-26585列管。截稿前尚未被美國CISA列入KEV。

RedSun

有研究人員提前揭露Microsoft Defender存在名為RedSun的零時差漏洞，已有攻擊概念驗證（PoC）公開，突顯該漏洞的可利用性。目前微軟尚未揭露相關CVE編號。

其他重要修補動向：

包括Apache Tomcat、開源監控平臺Grafana、DNS伺服器軟體BIND 9、SSL通訊函式庫wolfSSL、OpenSSH、PHP套件管理器Composer的漏洞修補消息。特別的是，工控軟體大廠PTC揭露旗下產品生命週期管理系統滿分重大漏洞，目前尚無修補程式，用戶須立即採取緩解措施

重要威脅態勢

中國駭客網釣範圍擴大至南亞多國

之前針對臺灣企業以稅務稽核、雲端電子發票為誘餌從事攻擊的中國駭客組織Silver Fox（亦稱Void Arachne），攻擊範圍已擴散至南亞多國。資安公司Sekoia指出，該組織自2024年起從早期的經濟利益驅動，轉型為APT偵察活動。在工具使用上，Silver Fox去年放棄慣用的Winos 4.0，改採合法的遠端監控管理工具（RMM）以規避偵測，後續更進一步換裝自研的Python竊資軟體。

Axios供應鏈攻擊事故影響持續擴大

Open AI表示經調查確認受Axios供應鏈攻擊影響，已輪換macOS App簽章憑證、並以新憑證更新App再上架到蘋果App Store，呼籲macOS用戶更新到最新版。

數字情報

60%組織認技能落差更勝人力不足，AI重塑74%資安團隊結構

專門研究與教育的SANS Institute組織發布《2026 Cybersecurity Workforce Research Report》，指出資安人力危機已從人數不足（Headcount Gap）轉為技能落差（Skills Gap），今年有60%組織認為「技能落差」是更大挑戰，比例比去年52%更提升。此外，AI正重塑團隊結構：74%資安團隊因AI調整人員規模與角色。更值得關注的是，雖然39%的組織表示職位並未減少，但以SOC與資安分析師的裁減比例最高（32%），其次為威脅情資分析師（26%）、事件應變人員（22%）及開發人員或 DevSecOps（19%）。這些職位的共通點在於，其工作內容包含大量重複性分析與模式識別。但同時新增AI安全專家（34%）、AI安全工程師（32%）等新職位。

Claude Mythos預覽版在CTF專家級任務的成功率達73%

英國AI安全研究所（AISI）公布Claude Mythos預覽版最新評測結果，指出該模型在資安搶旗賽（CTF）測試中，專家級任務的成功率達73%；而在企業攻擊模擬部分，10次測試中有3次能完成從初始偵察到全面控制系統的32個攻擊流程步驟；至於在OT環境測試中，則未能成功完成攻擊流程。

AI暗中違規行為數量暴增，半年出現近700起事件，暴增近5倍

英國非營利研究機構長期韌性中心最新研究指出，AI系統在真實環境中違反指示、規避限制的「scheming」行為正快速增加。研究統計，自2025年10月起的5個月內，共辨識出698起相關事件，單月案例數激增4.9倍，報告指出這是AI系統失控風險的早期徵兆。

專家觀點

研究人員揭露用Claude模型找出存在13年漏洞的實際經驗

Apache在4月初修補ActiveMQ的漏洞CVE-2026-34197，在一星期後被攻擊者鎖定利用。於3月下旬通報此漏洞的Horizon3.ai研究人員指出，該弱點其實已存在長達13年，這次成功找出漏洞的關鍵在於Claude模型的進步。他表示，這陣子都會先用Claude來掃描原始碼找漏洞，但大多數時候僅能發現一些有趣的線索，但這一次他只用幾個基本提示就有出色的表現，整體大約有80%是Claude貢獻，僅有20%是人工來綜整。這還是在尚未使用Mythos模型的情況下。

Fortinet談AI與資安如何打造低碳、可信任的數位轉型

面對AI、資安、ESG交會的時代，Fortinet工控資安產業發展總監陳心怡在2026數位永續高峰會分享實踐經驗，指出「沒有資安就沒有真正的轉型」。她強調推動平台化資安架構的重要性，將不同安全功能整合於單一平臺，此模式也是契合ESG潮流，能有效減少設備與人力成本、降低整體能耗與碳排，進而提升管理效率與營運韌性。

AI輔助攻擊最快只要25分鐘，這半年新模型推出將更顯嚴峻

在Mythos模型還沒公布之際，Palo Alto Networks執行長Nikesh Arora執行長已示警，指出傳統企業偵測入侵可能需要數天，但AI輔助攻擊從進入系統到竊取資料，最快僅需25分鐘。他強調Anthropic、OpenAI等公司即將推出的模型，具備大規模自動化尋找系統漏洞的能力，預期半年內，發動複雜攻擊的門檻將持續降低。他並認為感測器、AI驅動數據湖（AI-enabled data lakes）與消除零散化（Consolidation）將是防禦體系的重要關鍵。

重大資安事件

上市櫃資安重訊：

知名餐飲業Q Burger指出部分內部資訊系統發生異常，初步研判為網路攻擊事件。

散熱模組廠力致表示部分資訊系統遭受駭客網路攻擊

旅遊業五福因違反個資法被交通部裁罰100萬元，原因是今年1月遭駭事故導致客戶資料外洩

國際重要資安事件

線上旅遊訂房平臺Booking.com部分訂房資料遭未授權存取，導致用戶個資外洩

'

長庚醫療體系從制度與管理面推動數位與ESG並進，打造智慧永續醫院治理架構

來源：https://www.ithome.com.tw/news/175151

國內醫療產業加速數位轉型與淨零壓力並行的趨勢下，國內成立將近50年的長庚醫療體系也不例外，長庚醫療財團法人行政中心總執行長潘延健近期在數位永續高峰會分享，長庚醫療體系50年來推動資訊化與永續發展的心得，強調資訊化與永續「從來不是分開的兩條路」，而是共同建立在管理與制度基礎上的雙軸演進。

他強調，長庚的資訊化發展核心，始終圍繞在管理與合理化之上，「如果資訊化沒有管理跟合理化，其實它是什麼都達不到」，同樣地，推動節能與ESG需要隨著公司整體的運作發展。

長庚醫療體系很早便投入資訊化發展，從1976年台北長庚醫院成立，當時使用大型電腦就安置於台塑大樓，並有一群工程師為長庚醫院寫程式。創辦人王永慶在當時將台塑企業的管理精神帶到醫院。

然而從長庚醫療體系發展至今，底下已有11個院區，營運管理日趨複雜之下，儘管體系內醫院共同使用一套資訊系統，但是在不同院區的應用發展還是存在落差。

潘延健指出，長庚在推動數位轉型過程中，重點並不僅是系統建置，而是建立可跨院區運作的數據架構，支撐醫療、教學與研究需求。

其資訊架構涵蓋電子病歷、資訊系統基礎設施、數據分析與影像系統等多個層面，並進一步朝向「數據中台」發展，以整合不同院區與場景的資料應用。他表示，透過統一架構可以支撐內部治理與多元應用需求。

導入國際評估體系，提升智慧醫療成熟度

為了帶動各個院區的資訊發展成熟度，長庚體系導入國際醫療資訊成熟度評估架構，例如HIMSS與DHI數位健康指標，逐步檢視並提升數位化程度。

潘延健提到，這些評估不僅關注系統是否導入，更重視「落地執行」，包括醫療流程數位化、數據治理一致性，以及跨院區的標準化能力。他指出，真正的挑戰在於，即使系統相同，「不同院區在執行與數據運用上仍可能存在落差」。

為此，長庚和HIMSS合作，透過白皮書機制來盤點各個院區的數位成熟度差異，檢視評估同一套系統在不同院區間的存在落差，持續不斷優化精進，後來在EMRAM電子病歷方面取得不錯的評級成果。

ESG從制度出發，節能不是單一部門責任

在透過資訊化建立長庚體系的數位治理基礎後，在ESG方面，將ESG視為和數位轉型同一治理架構的不同面向。潘延健強調，節能減碳並非單一單位的責任，而是整體制度的一部分，「節能應該是人人有責」。

如同推動數位轉型一樣，長庚也透過制度與全員參與，讓ESG能長期落地執行。節能不只是能源或工務單位的責任，透過制度設計，讓各單位在日常運作中自主管理、持續改善。長庚透過目標設定、日常稽核與跨單位比較機制等等，將節能、數位化與流程優化內化為組織運作的一部分，形成一種強調紀律、標準化與長期累積的治理文化，也讓相關措施能在多院區體系中持續推進而不流於形式。

潘延健舉例說明，長庚從早期從從管理制度面逐步導入能源管理與節能措施，例如醫院內的照明系統從傳統燈具逐步升級至LED與感應式控制、空調與冷卻系統優化，以及用水回收與電力系統改善等。

同時，體系也導入ISO 14064碳盤查制度，並進一步推動綠建築與既有建築改善，強調永續並非新專案，而是長期管理機制的延伸。

在技術應用上，長庚也將AI導入能源管理與營運優化，例如用電預測、契約容量管理，以及空調負載與能耗的優化，中央監控系統智慧調節等，以提升整體能源效率。

長庚也從醫療服務流程進行碳足跡盤查，涵蓋門診、住院、手術、檢驗與影像等流程，擴大延伸至上游(採購)、營運服務與下游(廢棄物處理)，以建立完整碳排放模型。他指出，這些工作高度依賴資訊系統整合，而非人工盤查，「必須透過系統才能持續、正確地進行盤查與計算」。

建立數位與永續雙軸轉型的醫療治理模式

整體而言，長庚醫療體系的發展路徑顯示，數位轉型與ESG並非兩個獨立議題，而是透過同一套治理邏輯推動的雙軸轉型。

從資訊系統建置、數據中台整合，到能源管理與碳盤查機制，核心始終圍繞在制度落實與持續改善。潘延健總結指出，醫療體系的長期發展，最終仍回到管理本質與執行力，而數位工具與ESG框架，正是讓制度得以規模化落實的關鍵支撐。

'