微軟修補Entra ID權限漏洞，防止AI代理管理角色遭到濫用

來源：https://www.ithome.com.tw/news/175399

資安廠商Silverfort研究人員近日發布報告，揭露微軟身分管理服務Entra ID存在角色權限設計缺陷，可能導致權限提升與身分接管風險，微軟已於4月完成修補。

這項問題出現在Entra ID中的「Agent ID Administrator」角色，原用於管理租戶環境中的AI代理身分操作，讓AI代理能進行身分驗證並存取必要的資源，該角色原本應該只能管理AI代理相關的服務主體（Service Principal），但因權限範圍設定不當，導致該角色實際上可以存取任意服務主體，還能修改服務主體的擁有者，並可新增憑證、以該服務主體身分進行驗證，等同於取得該服務主體的控制權。若該服務主體擁有較高權限，例如目錄角色或關鍵應用程式存取權限，攻擊者還可藉此擴大控制範圍，甚至橫向移動至整個租戶環境。

Silverfort於3月1日向微軟通報前述問題，微軟已於4月9日為所有雲端環境完成修補，限制Agent ID Administrator角色不得再管理非AI代理相關的服務主體。

'

UNC6692冒充IT服務臺，透過Teams散布惡意軟體套件Snow

來源：https://www.ithome.com.tw/news/175394

Google威脅情報團隊（GTIG）揭露駭客組織UNC6692的多階段攻擊活動，駭客運用持續性社交工程與模組化的惡意軟體套件，試圖潛入受害企業的環境，目的是進行深度的網路環境滲透。這些駭客主要依賴冒充IT或客服人員，說服使用者接受企業外部的Teams群組邀請，最終使用Snow惡意程式工具包，洩露受害企業機敏資訊。UNC6692的活動展現駭客社交工程攻擊策略的改變，利用使用者對多家軟體廠商的信任，而成功引誘他們上當。

這波攻擊行動約從2025年12月底出現，UNC6692先大規模寄送垃圾信轟炸使用者，然後再冒充IT或客服人員，透過Teams向使用者發送釣魚訊息，聲稱可以協助處理爆量信件。駭客提供連結，號稱只要在本機電腦安裝修補程式，就能防堵電子郵件信箱被轟炸的情況。

一旦使用者照做，瀏覽器就會開啟特定的HTML網頁，從駭客控制的AWS S3儲存桶下載命名為AutoHotKey的二進位檔，以及AutoHotkey指令碼，然後執行指令碼進行偵察，並下載惡意Chrome延伸套件SnowBelt安裝，並透過啟動資料夾與工作排程讓SnowBelt在受害電腦持續運作。

UNC6692利用此延伸套件於受害電腦下載其他檔案，包括隧道工具SnowGlaze、Bindshell程式SnowBasin、AutoHotkey指令碼，以及其他執行作案工具所需的執行環境元件。駭客利用Python指令碼掃描區域網路的135、445、3389埠，並使用SnowGlaze建立隧道通訊，並找出本機管理員帳號，然後建立遠端桌面連線（RDP）將資料外傳至駭客的伺服器。

這些駭客也利用本機管理員帳號，從Windows工作管理員擷取LSASS處理程序的記憶體內容，再透過LimeWire外傳，接著，UNC6692利用Pass-The-Hash手法橫向移動到網域控制器（DC），並竊取AD資料庫檔案NTDS.dit、Windows安全帳號管理員（SAM）資料庫，以及SECURITY和SYSTEM的機碼資料，並使用LimeWire傳送至外部。

'

駭客組織BlackFile鎖定零售與餐旅業竊取資料，並索討7位數的高價贖金

來源：https://www.ithome.com.tw/news/175383

資安公司Palo Alto Networks透過零售及餐旅情資共享暨分析中心（RH-ISAC）網站發布警告，他們發現駭客團體BlackFile從事資料竊取與勒索的活動，這些事故最早於今年1月出現，其攻擊手法相當特別，有別於許多駭客組織打造自己的惡意軟體與作案工具，該組織專門濫用受害組織的API與其他內部資源，來進行寄生攻擊（LoL）。

關於BlackFile的來歷，Palo Alto Networks表示，這群攻擊者別名為UNC6671或Cordial Spider、CL-CRI-1116，而且似乎與The Com有關，該組織是由ShinyHunters與Scattered Spider成員另組的子團隊。值得留意的是，研究人員向資安新聞網站Cyberscoop透露，這波攻擊活動仍在持續進行。究竟有多少企業受害，Palo Alto Networks並未透露。

對於攻擊事故發生的過程，駭客通常會事先建置類似合法企業網站的釣魚網頁，這些網頁多半與單一登入（SSO）有關，目的是在員工輸入相關資料的過程截取憑證。接著，他們透過偽造的網路語音電話（VoIP）號碼與來電顯示名稱（Caller ID Names，CNAM），冒充IT客服從事社交工程攻擊，藉此騙取動態密碼（OTP）。為了能在受害組織內部環境持續活動，他們會綁定自己的裝置，藉此繞過多因素驗證（MFA）。

一旦駭客成功滲透員工的帳號，他們就會試圖橫向移動到高權限帳號，並透過員工名冊找出高階主管，以便進一步對這些主管的帳號進行社交工程攻擊。

這些駭客的主要目的，在於雲端的SaaS服務與內部資料庫的檔案，他們通常會濫用Microsoft Graph API抓取SharePoint網站內容，並透過Salesforce或其他SaaS系統的搜尋功能，尋找具有高價值的機密資料。得逞後透過SharePoint下載功能與Salesforce的API，將含有員工電話號碼的CSV檔案與商業機密資料，大量傳送到攻擊者控制的基礎設施，過程中會使用合法的SSO身分驗證連線進行，以免觸發資安系統警示訊息。最終利用外流的員工電子郵件信箱發送勒索訊息，這些駭客通常會索討高達數百萬美元的贖金，另一方面，他們還會鎖定高階主管進行假報警（Swatting）藉此施加更大的壓力。

'

研究人員揭露比Stuxnet還要早被利用的工控惡意軟體Fast16

來源：https://www.ithome.com.tw/news/175389

於2010年被發現的電腦蠕蟲Stuxnet，是全球第一個專門針對關鍵基礎設施工業控制系統的惡意程式，當時用來攻擊伊朗位於納坦茲（Natanz）的核能設施，滲透廠內的西門子SCADA系統，導致大量離心機損壞，重挫伊朗相關計畫，然而，近期有資安公司找到比Stuxnet早出現的工控惡意程式。

資安公司SentinelOne揭露網路攻擊框架Fast16，並指出其核心元件最早在2005年出現，其中的fast16.sys會選擇性攻擊高精度計算軟體，於記憶體裡竄改程式碼，以影響計算結果。值得留意的是，Fast16的有效酬載同樣具備蠕蟲機制，可自我散播，駭客的目標是讓整個設施產生不正確的計算結果，削弱科學研究與工程成果，從而影響工控系統的運作。該公司強調，Fast16比Stuxnet早5年出現，該惡意程式嵌入自製的Lua虛擬機器，比另一個採用這種手法的惡意軟體Flame早了3年，而且，迄今VirusTotal的防毒引擎僅有1個將其視為有害。

針對這項調查的動機，SentinelOne留意到某些駭客團體持續依賴嵌入式指令碼引擎打造模組化工具，並採用嵌入式的Lua虛擬機器打造具延展性的模組化平臺，其中包含Flame、Animal Farm’s Bunny、PlexingEagle、Flame 2.0，以及Project Sauron，因此該公司懷疑有可能有共同的來源基礎，著手進行相關調查。於是，他們找到了Fast16的元件svcmgmt.exe。

此執行檔看起來是Windows 2000與XP時期的通用控制臺服務包裝函式（Wrapper），並內嵌了Lua 5.0虛擬機器，其中包含多個模組，可直接綁定Windows NTFS檔案系統、登錄檔、服務控制，以及網路API。其用途就是載入fast16.sys，此為核心系統層級的驅動程式，儘管已無法在Windows 7以上版本的作業系統運作，然而，此元件具備可套用規則的程式碼修補功能，以及超越檔案系統I/O的控制能力，SentinelOne認為，Fast16已經不只是一般的Rootkit。

駭客鎖定的目標為何？該公司推測，很可能是2000年代中期的高精度工程模擬工具，它們是：LS-DYNA 970、PKPM及MOHID，這些軟體的用途涵蓋碰撞測試、結構分析，以及環境建模。

另一方面，SentinelOne在二進位檔案內部發現早期Unix系統開發文化的痕跡，其中包含了1970至1980年代的Unix原始碼控制系統（Source Code Control System，SCCS）與修訂控制系統（Revision Control System，RCS），由於這在2000年中期的Windows程式碼極為罕見，代表相關工具的作者並非典型的Windows開發人員。由於這些作法源自當時安全性較高的Unix環境，因此該公司推測，Fast16可能與政府機關或軍事單位的計畫有關。

'

Hugging Face機器人平臺LeRobot存在重大漏洞，未經身分驗證的攻擊者可執行任意程式碼

來源：https://www.ithome.com.tw/news/175397

由AI開發資源平臺Hugging Face打造的開源機器人平臺LeRobot，近期揭露重大等級的資安漏洞CVE-2026-25874，此為不安全的反序列化漏洞，未通過身分驗證的攻擊者可透過 SendPolicyInstructions、SendObservations或GetActions gRPC呼叫，傳送特製的Pickle有效酬載，在伺服器或用戶端執行任意程式碼，CVSS v4.0風險評為9.3分、CVSS v3.1達到9.8分，屬重大等級的弱點，相當危險。

有資安公司透露該漏洞更多細節。資安公司Resecurity指出，此漏洞的問題源自非同步推論元件PolicyServer，此元件允許攻擊者在未經身分驗證的情況下存取相關連接埠，發送經過序列化處理的惡意酬載，從而在LeRobot的主機執行任何作業系統層級的指令。由於該漏洞目前尚未有修補程式，Resecurity建議用戶立即採取行動因應。

對於此漏洞帶來的危險，Resecurity指出，由於該平臺是為AI推論系統而設計，通常具備高權限，而且需存取內部網路環境、資料集，以及運算資源，一旦遭利利用，攻擊者不只是能完全滲透PolicyServer或執行任意程式碼，還有機會竊取敏感資料與進行跨網路的橫向移動，甚至能影響連線的機器人，或是破壞模型、造成系統當機，且有可能造成實體安全風險。

VulnCheck資安研究員Valentin Lobstein透過部落格文章指出，此漏洞最早是有人於去年12月通報，今年1月LeRobot開發團隊承認有這個漏洞，並表示相關的程式碼幾乎全部都需要重新建構，才能修復。

'

FIDO聯盟推動AI代理互動與驗證標準，降低AI代理線上交易風險

來源：https://www.ithome.com.tw/news/175396

隨著AI代理逐步進入購物與線上服務應用環境，可在用戶幾乎無須直接操作的情況下完成交易，雖然大幅簡化購物程序，但也帶來失控的風險，為了降低風險，專注身分驗證標準制定的FIDO聯盟4月28日宣布，啟動AI代理身分驗證與自動支付安全的標準制定工作，目標是建立跨平臺、可互通的AI代理互動與交易機制，從而為基於AI代理的線上交易環境，建立安全、可信任的基礎架構。

這項標準的制定將聚焦三大面向，包括「可驗證的使用者意圖」（Verifiable Intent）、「AI代理身分驗證」與「AI代理發起交易的驗證機制」，以確保AI代理執行交易操作時，能確實反映使用者授權，且不洩露敏感憑證。

在具體的標準制定工作方面，FIDO成立兩個工作小組，一為AI代理身分驗證工作小組（Agentic Authentication Technical Working Group），負責處理用戶與AI代理之間的授權關係，由來自CVS Health、Google與OpenAI的成員擔任主席，並由來自Amazon、Google與Okta的成員擔任副主席。

另一為支付技術工作小組（Payments Technical Working Group），負責制定AI代理發起交易的標準流程，由Visa、Mastercard等金融交易業者擔任主席，將基於Google與Mastercard的既有技術進一步發展，包括Google的Agent Payments Protocol（AP2）協定，Mastercard的Verifiable Intent框架。

'

OpenAI模型、Codex在AWS上架

來源：https://www.ithome.com.tw/news/175395

OpenAI與Amazon Web Services（AWS）週二（4/28）宣布擴大合作，OpenAI的頂級AI模型及AI開發助理Codex，將登上AWS成為服務陣容之一。

其中，OpenAI最新模型將首次在Amazon Bedrock模型平臺提供，供用戶存取、微調和協同，成為繼Anthropic、Meta、Mistral、Cohere、Amazon等後，最新的模型供應商。OpenAI程式撰寫代理人Codex也同樣在Amazon Bedrock上架。

此外，AWS推出了以OpenAI模型為基礎的Amazon Bedrock Managed Agents及Bedrock AgentCore。Amazon Bedrock Managed Agents是以OpenAI模型及OpenAI harness代理人功能為核心，以AWS為基礎架構，幫助企業更快開發代理人，可執行、推理或長期運行的任務。Bedrock AgentCore則是輔助性的代理人開發管理平臺，提供智慧記憶體、閘道加速、授權政策執行、工具發現、觀察評估等工具，協助建置、部署和監控Bedrock Managed Agent。

包括OpenAI模型、OpenAI Codex到Bedrock Managed Agents等目前皆以限量預覽版形式上線。

最新宣布是繼二月間AWS和OpenAI合作的最新成果。在兩者合作下，Amazon將投資OpenAI 500億美元，OpenAI將使用AWS Trainium運算容量執行Stateful Runtime Environment、Frontier等AI工作負載。兩家公司也將合作開發自訂模型，支援AWS的AI應用。

上週OpenAI與微軟宣布調整合作協議，微軟不再是OpenAI智財的獨家授權對象，讓OpenAI得以自由和其他業者合作，免除對OpenAI的官司威脅。

'

Anthropic讓Claude連接Adobe、Autodesk與Blender，切入創作軟體操作層

來源：https://www.ithome.com.tw/news/175393

Anthropic週二（4/28）推出一系列創意連接器（Connectors），讓其AI模型Claude可直接連接Adobe、Autodesk與Blender等專業創作工具，從對話延伸至實際操作，切入創作軟體流程。

此次發布是Anthropic將Claude定位為跨工具操作層的延伸佈局。Anthropic在2024年11月發布Model Context Protocol（MCP）開放標準，讓AI模型可連結外部資料與工具；2025年7月推出基於MCP的Connectors，允許Claude用戶一鍵連結常用工具，迄今已支援超過200種，涵蓋協作、專案管理、資料、金融與生活服務等類別，本週新增的則屬創意類別。

Anthropic表示，Claude無法取代品味與想像力，但可開啟新的工作方式，包括更快速的構想發展、更廣泛的技能，以及承接更大規模專案的能力；同時也能透過處理重複性任務，減少創作流程中的人工負擔。該公司指出，關鍵在於將Claude整合進創意產業已熟悉且信任的工具中。

此次推出的連接器涵蓋多款主流創作軟體，包括音樂製作軟體Ableton Live、影像與影音設計工具Adobe Creative Cloud（涵蓋Photoshop、Premiere等50餘款應用）、由Canva旗下Affinity提供的專業設計工具、用於3D建模與工程設計的Autodesk Fusion、開源3D創作軟體Blender、即時視覺演出工具Resolume，以及3D建模軟體SketchUp；此外也支援音樂素材平臺Splice，讓使用者可直接在Claude中搜尋免版稅音訊素材。

在應用場景上，Claude可作為複雜軟體的即時教學工具，也能自動撰寫腳本與外掛以擴展創作工具功能；透過串接不同應用，自動完成格式轉換與資料整理，讓設計、3D與音訊工具之間的銜接更為順暢；新推出的Claude Design則可讓使用者快速探索設計構想並反覆調整，並將結果匯出至Canva等工具進一步製作；也可自動處理批次與重複性工作，減少人工操作負擔。圖片來源/Anthropic

'

駭客冒充IT與客服人員，透過跨租戶Teams通訊進行社交工程攻擊

來源：https://www.ithome.com.tw/news/175392

駭客冒充企業IT人員或客服，向員工從事社交工程攻擊的活動，最近兩年層出不窮，其中最常見的做法是利用IT服務臺的名義來達到目的。如今有人透過協作平臺接觸員工，從而竊取企業內部機密資料。

微軟近日提出警告，他們發現駭客冒充IT人員或客服人員建立跨租戶的Teams通訊，並透過社交工程手法誘騙員工授予遠端桌面存取權限，得逞後他們透過快速助手（Quick Assist）或其他遠端監控與管理（RMM）工具建立存取管道，並執行經受信任廠商簽章的應用程式，搭配攻擊者自己的模組執行惡意程式碼。

上述的存取途徑，微軟強調攻擊者能藉由Windows遠端管理（WinRM）等原生的管理通訊協定橫向移動，進一步滲透至網域控制器（DC）等高價值資產。在該公司看到的活動中，駭客利用遠端管理工具及資料傳輸工具（如Rclone）擴大對企業環境的存取，並將業務資料分階段傳送到外部的雲端儲存空間。這種攻擊流程高度仰賴合法應用程式與通訊協定，使得駭客的攻擊行動融入企業的正常活動裡。

有別於大部分社交工程攻擊透過釣魚信接觸受害者，這波攻擊鎖定企業的協作工作流程，其中一種應用系統就是Teams。微軟也看到駭客濫用外部Teams協作，假借IT人員或客服發動攻擊的情形。

一般來說，Teams在首度與外部聯繫時，已具備多種警示機制，提醒用戶提高警覺，而駭客會試圖說服使用者忽略相關警告，然後改用其他的支援工具進行遠端存取。另一方面，在部分攻擊活動裡，駭客在成功建立初期存取管道後，有可能會將後續攻擊流程移交給其他人馬執行。

'

AI代理人9秒刪掉新創公司的資料庫及備份

來源：https://www.ithome.com.tw/news/175391

AI代理人雖然能提升工作效率，前提是運作正常時。一家新創公司近日遭到以Anthropic Claude為基礎的代理人刪除資料庫及備份，全程只花了9秒鐘。

提供租車SaaS服務的新創公司PocketOS創辦人Jeremy Crane於上週發生慘劇後，將此事在X上公開警告大家。上週五，執行Anthropic旗艦模型Opus 4.6的Cursor刪掉其營運用的資料庫，之後透過一個API呼叫，將在其雲端基礎架構服務Railway上的備份也刪掉。整個過程花了9秒鐘。

這個Cursor代理人原本是要解決PocketOS模擬（staging）環境的某個憑證不一致的問題，這通常是例行性事務。它碰到問題後，自行決定要刪除一個Railway volume，並未詢問開發人員而鑄成大錯。

事後Crane問這個代理人何以出此決策，該代理人竟也坦承犯了錯。它說它在試圖解決問題時「猜想」透過API刪除staging的volume，只會刪除staging環境的東西。」它坦承自己沒有進一步確認volume ID是所有環境共享，也沒有查閱Railway相關文件就下達毀滅性指令。代理人事後「懺悔」說它應該先問人或尋找較安全的解決方案。它說，自己違反了被授予的原則，包括行動前應詢問、驗證、閱讀Railway文件、確實理解行動後果。

除了AI代理人出包，Crane也批評雲端平臺Railway一方面鼓勵客戶使用AI代理人，另方面卻缺乏適當安全機制，其API未經驗證就允許代理人執行此一毀滅性動作。而且CLI token竟擁有全環境的地毯式權限（blanket permissions）。

PocketOS花了數小時協助客戶從Stripe支付紀錄、行事曆或電子郵件確認信中重建預約資訊。所幸PocketOS自己有一份3個月前做的完整備份可以回復，因此事件損失的是一小部份資訊。

在Crane發出貼文後，Railway已經聯繫PocketOS，協助回復資料。Railway並對The Register說明，這次事件是「不受控的客戶AI」被給予完整權限的API token，AI呼叫了的是缺少「延遲刪除」邏輯的舊式端點所致。Railway表示已經修補此一問題、回復用戶資料並和PocketOS合作改進其平臺。

相關報導 【OWASP揭露Agentic十大風險】快速認識AI代理常見資安挑戰

'

Google與美國國防部簽AI協議，逾600名員工連署反對

來源：https://www.ithome.com.tw/news/175390

Google近日被揭露已與美國國防部達成一項機密AI合作，允許其人工智慧模型用於政府「任何合法用途」，引發公司內部強烈反彈，逾600名員工聯名致信執行長Sundar Pichai，要求公司不要推動相關合作。

根據The Information與華爾街日報（WSJ）的報導，該協議允許國防部在機密環境中使用Google的AI技術，涵蓋任務規畫等應用，並要求Google配合政府需求，調整AI的安全設定與過濾機制。

Google已向The Information證實了此事，表示很榮幸成為支持國家安全之AI聯盟的一員，同時強調AI不應在缺乏適當人類監督的情況下，用於國內大規模監控或自主武器。

逾600名Google員工於本週一（4/27）聯名致信Pichai，這些員工擔心自身開發的技術可能被應用於不人道或具高度風險的用途，並要求公司拒絕將AI系統用於機密任務。

在另一AI新創Anthropic拒絕放寬Claude模型的使用限制，以納入更廣泛的軍事用途之後，美國總統川普（Donald Trump）於今年2月底指示聯邦機構全面停止使用Anthropic技術，國防部更在3月初將Anthropic列為「供應鏈風險」（Supply Chain Risk，SCR），禁止承包商與相關合作夥伴採用Claude，等於將其排除於政府採購體系之外。

隨後Anthropic提告國防部，而國防部則接連與xAI、OpenAI及現在的Google達成了機密部署協議。

'

GitHub Copilot將於6月改採用量計費制，依Token消耗量收費

來源：https://www.ithome.com.tw/news/175387

GitHub再度調整AI程式開發工具Copilot方案與用量限制，Copilot全系列方案將於2026年6月1日起改為按用量計費，以AI點數（Credits）取代現行的進階請求（Premium Request）制度。新制以Token消耗量為計算基準，依各模型已公告的API費率扣抵Credits，付費方案月費維持不變，但用量超出內含AI Credits後，須依各模型公告費率額外付費。

官方表示，Credits扣抵將同時計入輸入、輸出與快取Tokens三類用量。月費方案中Copilot Pro、Pro+，以及商用方案Copilot Business、Copilot Enterprise，四個方案均含等值AI Credits。內建於IDE的程式碼自動完成（Code Completions）與下一步編輯建議仍免費包含於所有方案，不消耗AI Credits，但Copilot程式碼審查除扣抵AI Credits外，還會額外消耗GitHub Actions執行分鐘數。

另外，現行的模型降級機制將同步取消。目前用戶用完Premium Request額度後，可改用較低成本的模型繼續工作，6月1日後使用範圍將由AI Credits餘額與管理員預算控管決定，若未允許額外付費或預算用罄，相關用量將被封鎖，直到下一個計費周期重設。

針對企業客戶，GitHub推出兩項新治理工具。一是內含用量共用機制，將組織內各使用者未用完的內含額度匯整為共用池，避免額度閒置，二是新增企業、成本中心與使用者三個層級的預算控管，當共用池用盡，管理員可選擇允許以API費率持續使用，或將支出上限直接封頂。

GitHub將於5月初推出預覽帳單機制，使用者與管理員可於github.com的帳務總覽頁面預覽新制下的預估費用。商用客戶另獲三個月過渡優惠，Copilot Pro與Pro+年繳用戶則沿用現行進階請求制度直至訂閱到期，但6月1日起部分模型的扣抵倍率將上調，到期後將轉為Copilot Free，用戶可再選擇升級為付費月繳方案。

官方提到，Copilot已從IDE內的輔助工具，演進為可執行多步驟自主程式開發任務的代理式平臺，現行制度下一次快速問答與一場長時間的自主任務所消耗的額度相同，已不符實際運算成本。

'