歐盟要求Google鬆綁Android平臺上的AI服務

來源：https://www.ithome.com.tw/news/175366

歐盟執委會（European Commission，EC）週一（4/27）表示，已依《數位市場法》（Digital Markets Act，DMA）向Google提出初步調查結果，並列出草案措施，要求其鬆綁Android平臺上的AI服務，開放第三方AI能直接與裝置上的App互動並執行任務。EC指出，目前相關系統層能力多由Google自家AI掌控，已對競爭與使用者選擇造成限制。

EC的草案措施主要是確保各競爭對手的AI服務能夠與Android裝置上的各種應用程式互動，並執行相對應的任務，像是利用使用者偏好的電子郵件程式發送信件，叫外送，或者與朋友分享照片等。

目前Google基本上將上述功能保留給自己在Android手機及平板上的AI服務使用，也只能使用「Hey Google」來呼叫Google的AI服務，開放後的系統將允許使用者自訂喚醒詞（wake word）來啟動其它競爭對手的AI服務。

這些措施也將讓其他AI業者能在Android手機與平板上打造更深度整合的AI服務，直接與Google自家AI（如Gemini）競爭。歐盟認為，開放相關能力後，將促進創新，並替歐盟用戶帶來更多AI服務選擇。

EC同步公開徵求各界對上述草案措施的意見，回饋截止日為2026年5月13日；再依據諮詢結果進一步修正內容，並公布最終措施。一旦定案，相關要求將具有法律約束力，Google即須依《數位市場法》規定配合實施，否則可能面臨高額罰款。

'

Google DeepMind分拆公司Isomorphic Labs推動AI藥物設計，新藥將進入臨床測試

來源：https://www.ithome.com.tw/news/175364

由Google DeepMind分拆的AI藥學研究實驗室Isomorphic Labs本週說，以AI設計的新藥已進入關鍵的臨床測試階段。

Isomorphic Labs是2021年由DeepMind分拆的單位，旨在以AI協助發現藥物。DeepMind執行長Demis Hassabis將同時擔任Isomorphic Labs的執行長與創辦人。Isomorphic Labs的技術以DeepMind的AlphaFold系列為基礎，Iso旗艦模型AlphaFold 3可預測所有生命分子的結構及相互作用，並與全球藥廠包括Novartis、Johnson & Johnson及Eli Lilly等合作針對多個目標發現小分子治療藥物、療法或生物製劑。

Isomorphic Labs總裁Max Jaderberg本週在Wired Health醫學大會表示，運用最新AI系統IsoDDE的藥物開發結果將進入臨床測試。不過他未說明明確時間點。

Isomorphic Labs Drug Design Engine（IsoDDE）是該實驗室今年二月公布最新AI系統，為整合運算藥物設計系統，其分子結構預測準確度超越AlphaFold 3。

圖片來源／Isomorphic Labs

根據該公司官網說明，在蛋白質和小分子結構預測泛化的標竿測試中，IsoDDE在小分子親合力（binding-affinity）的預測準確率是AlphaFold 3的二倍，超越作為黃金標準的物理方法，且時間和成本較過去大幅降低，展現僅僅以胺基酸輸入辨識出目標蛋白質的新結合位點（binding pocket）的能力。

簡單而言，IsoDDE將原本分散於多種工具中的功能（如預測蛋白質分子對接、親和力預測與結合位點分析）整合為單一系統，提升了藥物設計流程的效率與一致性。也就是說，和過去AlphaFold系統相較，IsoDDE已從單純的結構預測擴展至更完整的分子設計流程，使研究人員能更準確模擬與設計新藥物。

Google DeepMind建立整合性的藥物設計系統，將直接衝擊利基市場業者，包括提供通用AI藥物設計平臺、以及只設計而沒有自有pipeline的AI公司。而這些業者的挑戰可能會更加嚴峻。OpenAI也在上週公布專精生命科學及藥物開發的GPT-Rosalind。

'

醫療設備製造商美敦力資料外洩，駭客聲稱竊取逾900萬筆個資

來源：https://www.ithome.com.tw/news/175360

駭客組織ShinyHunters橫行，不斷公布受害的企業組織，最近的消息是聲稱竊得保全公司ADT與遊輪營運公司Carnival的內部資料，如今傳出有醫療器材公司受害。

4月24日醫療器材大廠美敦力（Medtronic）發出聲明，證實資訊系統的資料遭到未經授權的第三方存取，事發後該公司立刻採取遏止措施、啟動事件應變程序，並找出疑似被存取的個人資訊。不過，該公司強調，這起事故對於他們的產品、病人安全、與客戶的連結、製造與分銷、財務報告系統未受到影響，也不影響他們因應病人需求的能力。

美敦力強調，醫院客戶的網路環境由客戶的IT團隊管理，與美敦力的IT網路並未連結而不受影響，而且，美敦力的IT系統與該公司產品、製造、分銷的網路系統，均各自獨立運作。

資安新聞網站Bleeping Computer指出，聲稱入侵美敦力的駭客團體就是ShinyHunters，該組織於4月18日聲稱從該公司竊得超過900萬筆個人可識別資訊（PII）的記錄，並要脅美敦力必須在21日前聯繫。

'

Linux作業系統存在資安漏洞Pack2TheRoot，攻擊者能取得root權限

來源：https://www.ithome.com.tw/news/175353

德國電信公司Deutsche Telekom紅隊團隊近日公布高風險資安漏洞Pack2TheRoot，此漏洞存在於套件管理工具PackageKit的處理程序，影響Ubuntu、Debian、Fedora等多個Linux發行版，非特權攻擊者可在未經授權的情況下，安裝或移除系統套件，而有機會取得受害主機的root權限，或是透過其他管道入侵受害電腦。此漏洞被登記為CVE-2026-41651，CVSS風險評為8.8分，屬高風險等級，PackageKit開發團隊獲報後發布1.3.5版予以修補。

值得留意的是，這項漏洞影響範圍有可能相當廣泛，因為Deutsche Telekom起初在部落格文章提到，其中一個分支1.0.2版PackageKit已發布超過12年，只要採用該版本的Linux發行版就會受到影響。不過，他們在資安公告裡提及，該漏洞可能在14年前的0.8.1版就已經引入。

之所以調查PackageKit，原因在於Deutsche Telekom發現竟能透過一個指令於Fedora工作站電腦安裝系統套件，過程中無須輸入密碼，他們後續借助Anthropic Claude Opus成功發現Pack2TheRoot。該公司於Ubuntu Desktop 18.04至26.04、Ubuntu Server 22.04至24.04、Debian Desktop Trixie 13.4、Rocky Linux Desktop 10.1，以及工作站與伺服器版Fedora 43確認存在漏洞。

'

CISA警告D-Link路由器命令注入漏洞被用於實際攻擊

來源：https://www.ithome.com.tw/news/175346

上週資安公司Akamai揭露殭屍網路Mirai變種tuxnokill攻擊行動，駭客利用命令注入漏洞CVE-2025-29635，綁架產品生命週期已經結束（EOL）的D-Link路由器DIR-823X，現在美國政府也證實該漏洞遭到利用的情況。

4月24日美國網路安全暨基礎設施安全局（CISA）將4個資安漏洞列入已遭利用的漏洞名冊（KEV），並要求聯邦機構必須於5月8日完成修補，其中一個漏洞就是CVE-2025-29635。

CVE-2025-29635為命令注入漏洞，取得授權的攻擊者可藉由特定的功能，發送POST請求到/goform/set_prohibiting觸發漏洞，從而觸發遠端命令執行（RCE）。CISA強調，由於DIR-823X生命週期結束且廠商已終止服務（EoS），他們呼籲用戶應停止使用。

同一天列入KEV的資安漏洞，還有遠端管理與監控工具SimpleHelp的缺乏授權漏洞CVE-2024-57726、路徑遍歷漏洞CVE-2024-57728，以及三星MagicINFO 9 Server路徑遍歷漏洞CVE-2024-7399。

'

中國要求撤銷Meta與Manus的併購案

來源：https://www.ithome.com.tw/news/175345

根據金融時報（Financial Times，FT）、CNBC及美聯社（AP）的報導，中國國家發展及改革委員會在本週一（4/25）出手阻止了Meta與AI代理人開發商Manus的併購案。

Manus源自於肖弘在2022年所創辦的蝴蝶效應（Butterfly Effect Technology），蝴蝶效應原本創立於中國，之後將總部遷移到新加坡，所開發的首款產品為Monica AI瀏覽器聊天機器人擴充程式，Manus為第二款產品，定位為通用型AI助理，可將使用者的想法轉化為行動。

Meta是在2025年12月宣布買下Manus（蝴蝶效應），外傳金額為20億美元，但2026年1月就傳出中國政府介入該交易，不過，Manus在2026年2月仍以Meta的名義推出Manus Agents並與Telegram合作。

根據報導，中國國家發展及改革委員會、商務部，以及中國的反壟斷監管機構都針對該交易進行審查，已於本周一要求相關方撤銷此一收購交易，而且禁止外國投資Manus是依法作出的決定。

該委員會並未明確對外說明禁止原因，但FT引述消息來源報導，中國透過各種法令來審查該交易，從出口管制、外國投資法到競爭法令等，調查期間還限制Manus創辦人離境；現在則要求兩家公司撤銷交易，包括退還資金、重新登記公司的所有權，以及禁止Meta使用Manus演算法等。

Meta則說，該交易完全符合規定，相信此事會被妥善解決。

'

【2026 企業資安大調查｜企業AI資安挑戰】人才和資料治理是AI資安兩大難題

來源：https://www.ithome.com.tw/article/175312

隨著越來越多企業擁抱生成式AI，AI資安風險也成了資訊長和資安長當前最大的新挑戰。根據2026年iThome CIO&CISO大調查，從生成式AI發展成熟度來看，臺灣大型企業中，有23%的企業已經在正式環境中運用生成式AI，另有33%企業正在導入和驗證階段，26%的企業今年才開始計畫。換句話說，超過2成資安長日常工作已經開始面臨種種AI資安挑戰，另有5成資安主管至少得開始準備因應。

企業積極擁抱AI，面臨最大的資安挑戰是什麼？根據今年調查結果，26%的企業最頭痛AI資安和治理人才的不足，21%企業則苦於自己的資料治理成熟度不足。我們在去年大調查中，盤點過企業AI準備度，企業自評在資料管理和治理風險上，都只有達到了3成的準備，甚至只有不到一成的企業，有能力做到8成準備度。

換句話說，大多數企業都是在資料管理和治理風險準備度嚴重不足的情況下，就積極地展開了GenAI創新的嘗試，甚至處於右腳踩油門加速，左腳卻同時要踩住煞車，邊創新邊強化管理的處境。AI相關資料和治理面的準備度不足，成了企業擴大成果的絆腳石，也反映在AI資安的制度面和人力面挑戰。

從今年調查可以看到，AI技術面帶來的風險，還不是企業最大的挑戰，像是模型安全測試與AI安全部署流程不足，模型行為和輸出持續監控不足，這兩項只有不到3%的企業視為最大挑戰。但這兩項是國外大型企業探討AI擴大規模時的重要課題，臺灣企業在生成式AI的發展上，多數企業仍落後於國外大企業的腳步，還沒面臨到規模化的AI資安技術挑戰，臺灣企業多數仍苦於剛起步的資料面和人力面的挑戰。

不同生成式AI發展成熟度所面臨的最大AI資安挑戰，更可以看到導入AI的企業，當前和下一階段課題的變化。

從GenAI發展成熟度的計畫階段、導入和驗證階段、正式上線階段到擴大採用階段來看，處於計畫階段和導入驗證階段的企業認為，資料治理成熟度不足的挑戰很大，但是到了後期，正式上線之後，資料治理問題漸漸獲得改善，不再是最大課題。AI安全治理框架的挑戰，則是發展到正式上線階段後，會開始成為導入企業的主要資安挑戰，在計劃階段的企業，就少有企業視為難題。不過，不論處於哪一個發展成熟度階段，都共同面臨了AI資安與治理人才不足的共同課題，至於影子AI工具的挑戰，則呈現Ｍ型變化，處於計畫階段者，得想辦法盤點出企業影子AI，等到正式上線階段，影子AI的問題明顯減少，但要開始擴大規模採用AI時，企業內部員工又會開始想用第三方的AI技術或工具，又會再次浮現影子AI的課題，企業不能輕忽影子AI問題的復發。為了因應各種AI資安風險，企業目前最常見的防範對策仍舊是聚焦在人員AI素養的提升。

'

RPC零時差漏洞PhantomRPC可被用於提升權限

來源：https://www.ithome.com.tw/news/175341

資安公司卡巴斯基近日公布零時差漏洞PhantomRPC，此漏洞與Windows作業系統的遠端程序呼叫（RPC）有關，攻擊者有機會以此提升本機權限至SYSTEM，所有版本的Windows作業系統都可能受影響。由於該弱點源自系統架構的弱點，潛在的攻擊手法近乎無限多種，原因是只要透過任何RPC的處理程序或服務，都有可能引入一種權限提升的路徑而觸發漏洞。卡巴斯基也在部落格文章裡，展示5種PhantomRPC的概念驗證（PoC）攻擊手法，有的透過強制依賴，有些需要使用者互動，也有利用背景服務來觸發漏洞的情況。

值得留意的是，卡巴斯基於去年9月向微軟資安回應中心（MSRC）通報此事，結果微軟認定利用PhantomRPC必須事先取得指定權限SeImpersonatePrivilege，將其評為中度風險並認定無須立即修補，該公司不會登記CVE編號，將直接結案不會繼續追蹤。換言之，該漏洞目前沒有修補程式。

對此，卡巴斯基認為，儘管完全緩解漏洞需要微軟發布修補程式，目前企業組織還是可以採取行動緩解PhantomRPC帶來的影響，其中一種方法，是利用Windows事件記錄追蹤（ETW）進行監控，偵測例外的RPC活動，特別是用戶端試圖連接無法使用的伺服器的可疑事件。另外，在非必要流程減少特殊權限的使用，也能降低此弱點帶來的風險。

'

蠕蟲程式GlassWorm透過73個VS Code延伸套件潛伏於Open VSX儲存庫

來源：https://www.ithome.com.tw/news/175340

出現於VS Code延伸套件市集、Open VSX套件儲存庫的蠕蟲程式GlassWorm，再度出現新的活動，駭客使用新的GitHub帳號上傳熱門套件的複製版本，這些套件最初並無惡意軟體，不過在一段時間後，駭客就會發布有問題的惡意版本，向使用者傳送GlassWorm，藉此躲過Open VSX或微軟的審查機制，並取信使用者。

資安公司Socket指出，他們在3月於Open VSX發現73個惡意VS Code延伸套件，這些套件大部分看起來無害，但有6個已顯露真正的意圖，被用來傳送GlassWorm。該公司指出，這些惡意套件與今年3月揭露（1月發現）的活動有關，並遵循近期GlassWorm的攻擊模式，那就是惡意套件本身最初發布時，都不會出現明顯的有效酬載，之後駭客再透過延伸套件的更新機制傳遞惡意軟體。

Socket也指出發布惡意套件的GitHub帳號存在共通點，它們都是新帳號，通常只有1至2個公開的儲存庫，而且，通常有一個公開儲存庫以8個字元的字串命名，但沒有任何內容。

'

OpenAI可自由接觸雲端客戶，微軟不再享有獨家技術授權，但可分享營收

來源：https://www.ithome.com.tw/news/175339

OpenAI與微軟宣布調整合作協議，微軟不再是OpenAI智財的獨家授權對象，讓OpenAI得以自由和其他業者合作，特別是Amazon。

兩家公司在簡短的聲明中說明，將修改合作協議以簡化夥伴關係及合作方式，以彈性、明確性為基礎，以廣布AI利益為核心。首先，微軟仍然是OpenAI主要雲端合作夥伴。OpenAI產品會優先出貨到Azure平臺，除非微軟無法或不支援必要技術能力。OpenAI的所有產品現在可以服務任何雲端供應商的客戶。

其次微軟將持續擁有OpenAI模型和產品智財的授權直到2032年，現在微軟也不再享有獨家授權。此外不論OpenAI的技術進展為何，微軟可獲得OpenAI相同比例的營收分享直到2030年，惟不超過總金額上限。CNBC引述消息人士報導，這個比例可能達20%。

相對的，微軟不再對OpenAI支付營收分享。最後，雙方說明，微軟仍將以主要股東身份直接參與OpenAI的成長。

2019年微軟投資OpenAI以來，就一直是OpenAI最大投資者。但近年隨著OpenAI擴張業務，與微軟產生競爭及利益衝突。例如OpenAI也推出了瀏覽器，此外，OpenAI也開始和其他平臺業者，包括和蘋果合作Apple Intelligence，以及和Amazon Web Services（AWS）締結合作。CNBC引述OpenAI高層說，和微軟的合約限制了他們取得企業客戶的觸角。

二月間AWS和OpenAI宣布的合作中，AWS將投資OpenAI 500億美元，OpenAI將使用AWS Trainium運算容量執行Stateful Runtime Environment、Frontier以及其他AI工作負載。兩家公司也將作開發自訂模型，支援AWS的AI應用。媒體報導，微軟對此不滿，認為這項合作違反OpenAI和微軟的合作協議，也評估提告。

外界解讀合約修改最重要意義在於OpenAI將可自由和AWS展開合作，拓展企業客戶業務，為其年底IPO準備。

雙方說修改協議可強化彼此打造和營運大規模AI平臺的能力，同時允許雙方追求新機會。不過雙方仍然關係緊密。去年10月OpenAI改組，微軟持有OpenAI Group PBC達27%的股權。同時間OpenAI向微軟採購價值2500億美元的Azure雲端服務，也是首要客戶之一。

'

Checkmarx證實GitHub資料遭駭客團體Lapsus$流入暗網

來源：https://www.ithome.com.tw/news/175338

4月22日資安公司Checkmarx發生供應鏈攻擊，VS Code延伸套件與掃描工具KICS的Docker映像檔被入侵，後續調查結果出現新的進展，Checkmarx證實，這起事故的導火線，就是一個月前的Trivy供應鏈攻擊。

4月26日Checkmarx公布新的調查結果，他們在第三方鑑識公司的協助下進行調查，有網路犯罪團體將該公司的資料於暗網公開。根據相關證據，這些資料來自Checkmarx的GitHub儲存庫。該公司強調，他們未將客戶資料存放於GitHub，用戶資料不受影響，他們已將相關儲存庫的存取權限鎖定。

隔天Checkmarx發布新的內容，表示這是源自Trivy供應鏈攻擊的事故，該公司研判，攻擊者藉此取得憑證，而能夠未經授權存取他們的GitHub儲存庫，並以此發布惡意程式碼。他們確認資料外洩發生在3月30日，4月25日駭客團體Lapsus$將資料公布於暗網。Checkmarx公布事件發生的過程，說明後續的因應措施。

'