Google翻譯滿20年，Android版新增AI發音練習

來源：https://www.ithome.com.tw/news/175462

Google在Google翻譯推出20周年之際，替Android版Google翻譯App加入AI發音練習功能。Google翻譯最早可追溯至2006年的AI與機器學習實驗，目前支援約250種語言，新功能可分析使用者語音，並提供即時發音回饋，協助使用者在實際對話前練習發音。

新的發音練習工具目前先在美國與印度推出，支援英語、西班牙語與印地語（Hindi）。使用者可在Android版Google翻譯中練習發音，系統會以AI分析語音表現並提供回饋。該新功能使Google翻譯從查詢單字、句子翻譯，延伸到語言練習情境。

Google翻譯早期採用統計式機器學習，2016年Google將其大規模轉向神經網路翻譯，改善逐字翻譯造成的生硬結果。Google翻譯目前也使用Gemini模型與TPU硬體，處理語境、語氣與口語表達等翻譯問題，包括成語、地方用語與較難直接對應的語句。

Google表示，Google翻譯目前支援超過6萬種語言配對，每月有超過10億使用者使用Google相關翻譯功能。若合併Google翻譯、搜尋、Lens與圈選搜尋（Circle to Search）等產品，Google稱每月翻譯文字量約達1兆個字詞。

Google也提到即時語音翻譯（Live Translate）的進展，透過新的音訊對音訊Gemini模型，Live Translate可用於即時對話翻譯，並嘗試保留說話者原有的語氣與節奏。根據Google公布的使用情況，超過三分之一的Live Translate工作階段持續超過5分鐘，顯示部分使用情境已從短句查詢，延伸到較長時間的對話。

'

將安全措施納入開發與建置流程

來源：https://www.ithome.com.tw/article/175461

建置流程中的主要元素自動化，可大幅縮短開發團隊從設計到正式上線的時間。亦即更快完成功能開發、正式上線，會是相當好的成果。然而，這些自動化流程雖能免除大量手動處理程序，卻可能增加解決方案的弱點，也容易將不安全的程式碼導入正式上線環境。

本章將探討將安全措施納入開發與建置流程的方式，以克服這些挑戰。

設計

在設計階段，會由商業分析師、IT 與安全架構師，共同建立功能性與非功能性需求的待辦清單。這也是開發團隊為待辦事項與缺失之處排列優先順序的階段，這是遭遇的第一個摩擦。開發團隊面臨部署功能性的壓力，往往會調降預防作業與待辦事項中安全性功能或缺陷的優先權。

除了功能性與非功能性需求的定義外，識別濫用案例亦有助於後續測試期間檢測應用程式的商業邏輯漏洞。OWASP SAMM 專案將誤用與濫用的案例定義為：誤用與濫用案例乃描述意外與惡意的應用程式使用場景，說明攻擊者的做法。

濫用案例定義功能的濫用，亦稱商業邏輯攻擊（business logic attacks）。我們透過定義重要商業規則的功能性需求，來定義濫用案例，驗證應用程式是否正確施行商業規則。

電子商務購物車的濫用案例 試想以下電子商務購物車場景，攻擊者試圖不當利用電子商務網站的商業邏輯獲得折扣。可以找出的濫用案例如下： 限時優惠濫用（Abuse of time-limited offers） 若網站提供限時促銷或折扣，攻擊者可以操控系統時鐘或利用其他技術延長促銷期間，在限時促銷優惠之外的時間繼續獲得較低費用。 操控品項價格（Manipulation of item prices） 試想電子商務網站消費者將商品放進購物籃、計算總價再結帳的過程。系統的商業邏輯是正確計算品項價格、套用折扣，再處理購物車。攻擊者會試圖從另一個角度操控定義，不當利用程式的缺陷，例如試圖截取並操控客戶端與伺服器間的通訊，改變購物車裡的商品價格，或者變更商品數量或單價，以利支付比實際價格更低的款項。 濫用有弱點的折扣程式碼（Abuse of weak discount codes） 許多網站為顧客提供折扣碼。有些網站僅驗證程式碼語法，而不是實際程式碼本身，等於說攻擊者只需要了解底層語法就能獲得折扣。 這是三個可能的濫用案例，但其實還有更多。對商業邏輯的理解越深入，就越能發掘可以濫用的方式。

理想流程是由商業分析師確立功能性需求，再以此為基礎與安全架構師協同開發濫用案例，這些案例會觸發定義因應措施的需求。

開發

在開發階段，開發人員負責發展實際的程式碼，同時培訓實際撰寫安全程式碼。針對使用的程式語言建立安全程式碼撰寫實作指南，是不錯的作法，開發人員可以將許多靜態應用程式安全測試（SAST）的工具整合到 IDE 裡，在開發階段找出潛在弱點，手動撰寫安全程式碼或同儕審核，都是此階段找出潛在安全問題的有效手段，卡片支付產業資料安全標準（PCI DSS）v4這類標準，就要求審核自訂與客製化的程式碼。OWASP Code Review Guide概述開發安全程式碼的審核流程必須考量的要素如下：

風險（Risk）

完整審核來源程式碼是不切實際的做法，團隊應以風險為基礎考量，選擇必須手動審核的元件與方法。

目的與背景環境（Purpose and context）

從風險管理的角度來看，理解應用程式的目的與背景環境也是一大重要考量。例如，支付服務所需的安全等級，顯然高於員工餐廳菜單網站。

程式碼行數（Lines of code）

程式碼行數定義所需工作量，也代表可能出錯的數量，因為程式碼行數越多，出錯的可能性也越高。

程式語言（Programming language）

有別於 C 或 C++ 這類語言，部分程式語言例如 Java、C# 由於其語言特性，較不易受到特定安全問題的影響。

資源、時間與時限（Resources, time, and deadlines）

時間當然是關鍵考量，因為手動審核所需的時間與程式碼的規模直接相關。

除了安全程式撰寫的實作，開發階段建立程式碼變更的可追溯性也很重要。開發團隊無論規模大小，常見做法是採用如 Git 等程式碼儲存庫工具，這不僅能確保程式碼變更的可追溯性，也能讓所有開發人員都能協同合作。

建置與包裝

在建置與包裝階段，開發人員會使用各種 script 與工具，自動化軟體的編譯、測試與包裝。我們運用技術，在 CI／CD 管道裡自動化安全測試。針對原始程式碼、容器組態與映像檔的測試表列如下：

靜態應用程式安全測試（SAST）

分析應用程式原始程式碼找出潛在安全弱點。這類測試有助於在應用程式部署前，檢測出常見程式碼的撰寫錯誤，例如緩衝區溢載或 SQL 注入等弱點。SAST 工具逐行掃描來源程式碼，尋找能指出安全性問題的模式或程式碼片段；找出弱點後，開發人員就能採取相應措施來修復。

軟體組成分析（SCA）

軟體開發生命週期中，採用開放原始碼的元件已是常態，開發團隊必須掌握這些元件在應用程式中的部署狀況，以及整合的元件是否含有安全漏洞。軟體組成分析（SCA）有助於識別軟體中可能暴露安全風險的漏洞或過時元件，還能偵測載用特定軟體引發的授權問題，或合規性違規議題。

軟體物料清單 SCA 工具協助建立並維護軟體物料清單（SBOMs），包括使用到的所有第三方元件的版本與許可權等資訊。美國政府發布促進國家網路安全的執行命令後，SBOM 成為焦點，它要求想與美國政府做生意的公司，全面盤點組成應用程式的所有元件，以提高安全性等級；歐盟也在 EU Cyber Resilience Act裡列入 SBOM 要求。另一例是 2021年，在普遍使用的日誌記錄模組 Log4j 發現的重大漏洞「Log4Shell」，由於Log4j 在企業級產品與開放源碼軟體中的應用過於廣泛，導致許多企業組織難以追蹤其部署位置。想更了解 SBOM，請參閱 CISA SBOM。

機密掃描（Secrets scan）

開發人員經常把密碼或 API 金鑰這類機密直接寫在來源程式碼裡，這會產生遭對手不當利用的弱點。機密掃描旨在掃描程式碼的儲存庫、密碼及存取金鑰這類機敏資訊的其他資料來源，有各種工具與處理方式可以完成，例如可找出符合特定機敏資訊種類模式的正規表示式。一般而言，原始程式碼、容器映像檔、組態與基礎結構即服務裡，都會有機密資訊。

安全組態檢查（Secure configuration check）

程式碼編譯完成，通常就能部署在容器裡。容器映像檔與其組態會接受弱點掃描、驗證映像檔完整性，與確保遵循企業組織的資安政策與強化指南。許多企業組織以CIS Benchmarks作為強化指南的依據。

這個階段建置的人為產物，最終會儲存在人為產物儲存庫，以便後續處理時自動化部署至測試、預演與正式上線環境。

書名 混合雲安全架構｜零信任原則的安全設計方法與實作（Security Architecture for Hybrid Cloud）

Mark Buckwell, Stefaan Van daele, Carsten Horst／著

歐萊禮、碁峯資訊出版

定價：780元

作者簡介

Mark Buckwell 是擁有30年架構與交付安全解決方案經驗的雲端安全架構師、思想領袖、演說家與訓練師。

Stefaan Van daele 是IBM網路安全服務的區域CTO與安全架構師。

Carsten Horst 是安全架構師，也是具有25年經驗的IBM副合夥人。

'

2025年API資安事故頻傳，遭遇危機的企業比例高達87％

來源：https://www.ithome.com.tw/news/175459

數位化、雲端服務普及與AI採用率節節高升，伴隨而來的是API使用激增，也導致企業攻擊面的擴展速度快於各種應對威脅的防護手段的強化，像是API的測試、監控、快速復原等機制。根據資安廠商Akamai最新發布的2026 年 API 安全影響調查報告，全球大型企業正在管理數量龐大且不斷擴張的API資產，每家企業掌管的API數量中位數達到5,900個，單就前四分之一的企業而言，甚至達到29,400個。對此，Akamai警示，隨著API使用數量增長，對於API風險與安全防護範圍的掌控，卻未能同步跟上，導致通報的API資安事故過去4年持續攀升。

根據該公司針對全球 1,840 位資安專業人士的調查，高達87%的組織表示曾遭遇 API 資安事故，相較於2022 年的76%，呈現大幅上升的趨勢。單就亞太地區而言，過去一年遭遇API資安事故的比例為81％。

在財務成本方面，包含系統維修、服務停擺、法律費用、罰金與其他相關開支，2025年每個組織API事故的平均損失為70 萬美元（約新台幣 2,200 萬元），而在平均年度成本最高的前四分之一企業中，每個組織每年API 事故的損失超過180萬美元。相較之下，2024年每個組織API 事故的平均損失為59萬美元。

在API資安事故當中，受創最深的產業包含：能源與公用事業（86萬美元）、製造業（73萬美元），以及金融服務業（96%的受訪者曾遭攻擊）。若以國家地區來看API資安事故導致的財務成本，負擔最大的三個國家，分別是日本（159萬美元）、新加坡（132萬美元）、巴西（112萬美元）。

若以API資安事故的原因來看，Akamai這份調查顯示，有42％的事故涉及AI技術相關的 API，例如大型語言模型（LLM）和自主代理（autonomous agents）。

'

【資安日報】4月30日，NPM供應鏈攻擊Mini Shai-Hulud鎖定多款SAP套件

來源：https://www.ithome.com.tw/news/175458

SAP的NPM套件遭Mini Shai-Hulud攻擊

資安公司Aikido、SafeDep、Socket、StepSecurity、Wiz提出警告，最新一波NPM套件供應鏈攻擊活動Mini Shai-Hulud針對SAP而來，該公司多個套件受到影響。關於攻擊者的身分，Socket、Wiz推測很有可能就是3月發動大規模攻擊的駭客團體TeamPCP。這些遭到竄改的SAP生態系統套件，駭客植入了預先安裝的指令碼，在NPM套件安裝過程中，自動執行setup.mjs，該指令碼下載Bun執行環境，並啟動經混淆處理的酬載execution.js，攻擊者可藉此在NPM套件安裝完成之前，得以趁機執行特定程式碼。

北韓駭客Famous Chollima透過AI生成惡意NPM套件，藉此洗劫開發人員加密貨幣資產

資安公司ReversingLabs在某個加密貨幣交易專案發現惡意程式碼，經調查發現，AI程式碼助理將惡意的@validate-sdk/v2判定為相依套件，但實際上，該套件是駭客偽造的常見資料驗證工具，會從受害電腦抽取敏感資料。該公司將此攻擊活動命名為PromptMink，被汙染的套件於2月28日引入，攻擊者透過大型語言模型Anthropic Claude Opus提交，藉此洗劫使用者的加密貨幣錢包及資產。該公司指出，這起事故是Famous Chollima廣泛攻擊行動的一部分。

CISA警告ConnectWise ScreenConnect、Windows Shell漏洞已出現攻擊行動

4月28日美國網路安全暨基礎設施安全局（CISA）指出，ConnectWise ScreenConnect路徑遍歷漏洞CVE-2024-1708、Windows防護機制失效漏洞CVE-2026-32202已遭到積極利用，並將這些漏洞列入已遭利用漏洞名冊（KEV），要求聯邦機構於5月12日前完成修補。從漏洞的CVSS評分來看，較嚴重的是CVE-2024-1708，此漏洞於2024年2月揭露，影響23.9.7以前版本的ScreenConnect，CVSS風險評分為8.4分（滿分10分），屬高風險等級，ConnectWise發布23.9.8版予以修補。

APT28將Windows Shell欺騙漏洞用於實際攻擊

本週微軟、美國網路安全暨基礎設施安全局（CISA）證實，CVSS風險僅有4.3分的Windows Shell資安漏洞CVE-2026-32202被用於實際攻擊，但他們並未進一步說明如何被利用。資安公司Akamai透露，此漏洞已遭俄羅斯駭客APT28（Fancy Bear、UAC-0001）利用。此漏洞與微軟2月修補的Windows Shell安全功能繞過漏洞CVE-2026-21510有關，由於修補不完整而導致有弱點。

委內瑞拉能源及公用事業部門遭資料破壞軟體Lotus Wiper攻擊

資安公司卡巴斯基指出，名為Lotus Wiper的資料破壞軟體（Wiper）去年12月針對委內瑞拉能源與公營事業部門而來，而且攻擊的目的很明顯，駭客並未留下勒索訊息，並積極抹除資料，使檔案無法恢復。雖然卡巴斯基並未透露攻擊者的身分，不過資安新聞網站Dark Reading指出，很有可能與委內瑞拉石油公司（PDVSA）的事故有關，該公司去年12月13日傳出疑似遭勒索軟體攻擊，PDVSA認為，攻擊可能來自美國。

勒索軟體VECT 2.0加密檔案出錯，受害者付錢也無法完全復原檔案

為了縮短加密檔案的時間，勒索軟體駭客會採用部分加密的手法，然而若是相關機制存在缺陷，就有可能導致經加密處理的檔案無法復原，而成為變相的資料破壞軟體（Wiper）。例如，從去年12月在俄語網路犯罪論壇出現的勒索軟體VECT。根據資安公司Check Point的調查，近期發布的VECT 2.0大改版，因為對於容量超過128 KB檔案的加密處理機制實作存在弱點，導致用於解密的nonce資料每4組就有3組會被清除，即使是散播惡意軟體的攻擊者也無法將檔案還原。

勒索軟體Gentlemen透過代理伺服器工具SystemBC滲透企業組織

資安公司Check Point揭露勒索軟體Gentlemen，該駭客團體約從2025年中旬開始活動，宣稱迄今已有320家企業或組織受害，其中有240家企業或組織的事故發生在今年1月。這些駭客以租用模式（RaaS）尋找打手，並廣泛提供不同型態的檔案加密工具，包括能在Windows、Linux、BSD等作業系統與NAS運作的版本，以及專為虛擬化平臺VMware ESXi打造的版本。值得留意的是，在其中一起事故裡，Gentlemen部署了代理伺服器工具SystemBC，此類工具通常被用於建立秘密隧道，並傳遞惡意酬載。

美國NASA傳出遭中國駭客網釣，意圖竊取美國國防軟體

美國太空總署（NASA）監察長辦公室（OIG）近日揭露，中國籍人士Song Wu於2017年1月至2021年12月，佯稱自己是知名且與NASA頻繁合作的航太教授，透過Gmail向NASA員工傳送訊息，要求提供受美國政府出口管制的軟體與原始碼，其中包括由NASA開發的航太工程軟體。此人對目標進行大量研究，成功假扮成目標人士的朋友或同事，以需要重新組建或修改應用系統為由，要求受害者提供軟體檔案或原始碼。

臺馬三號海纜部分蕊線受損不到一個月發生全斷，中華電信緊急以微波備援東引通訊

今年3月30日才發生部分蕊線受損的臺馬三號海纜，在不到一個月的時間再次發生海纜異常事件，臺馬三號海纜於馬祖東引外海約2.64公里處發生芯線斷裂，導致北竿至東引段全斷。此次事故影響連江縣東引鄉共約1,500位居民的對外通訊，突顯離島對單一海纜依賴所帶來的網路韌性風險。數發部初步研判原因與海象不佳有關，可能是先前擱淺船隻殘骸因海況變動移動，進而破壞海纜結構。

數位控制器製造商新代科技遭勒索軟體攻擊

4月29日製造數位控制器的新代科技（7750）晚間於股市公開觀測站發布資安重訊，表示該公司遭遇勒索軟體攻擊，該公司已進行全面性檢測與防護處理，經初步確認，該公司內部資訊系統及網站運作正常，未受實質影響，亦未發現有機密資料或重要文件外洩之情事。根據初步評估，對公司營運無重大影響。

Mythos模型問世，臺灣兩大資安廠商警示AI將使攻擊門檻大幅降低

Mythos模型引發熱議，臺灣資安專家提出警告，AI將會讓攻擊門檻大幅降低。戴夫寇爾（DEVCORE）紅隊總監許復凱指出，前一代Opus 4.6模型就已經讓漏洞挖掘門檻顯著下降，如今真正的隱憂在於路由器、醫療與金融設備等IoT元件，因資源匱乏，難以像科技巨頭般應對新興威脅。奧義智慧資安研究員陳兆閔與研究處長陳仲寬指出，這波技術進化的關鍵在於能與Debugger等外部工具互動協作，打破過去漏洞開發高成本、低涵蓋的限制，將為漏洞相關產業帶來顛覆性衝擊。

2025年API資安事故頻傳，遭遇危機的企業比例高達87％

根據資安廠商Akamai最新發布的2026年API安全影響調查報告，全球大型企業正在管理數量龐大且不斷擴張的API資產，每家企業掌管的API數量中位數達到5,900個，單就前四分之一的企業而言，甚至達到29,400個。對此，Akamai警示，隨著API使用數量增長，對於API風險與安全防護範圍的掌控，卻未能同步跟上，導致通報的API資安事故過去4年持續攀升。該公司針對全球1,840位資安專業人士調查，高達87%的組織表示曾遭遇API資安事故，相較於2022年的76%，呈現大幅上升的趨勢。

2025企業面臨勒索軟體攻擊的衝擊，Veeam警示能完全復原資料的比例不到3成

備份與資料保護廠商Veeam發布《2026資料信任與韌性》報告，其中呈現2025年企業遭遇勒索軟體攻擊的情況。過去一年近三成受訪企業曾發生資安事件，這比例看似不高，但若是遭遇勒索軟體攻擊，則後果便十分嚴重。過去一年遭遇勒索軟體攻擊的企業中，56%受害企業表示遭到攻擊者加密或竊取資料，這意味著，僅有不到4成的企業，能在遭遇攻擊時成功防禦，防止資料遭到加密或竊取。

Google發布Chrome瀏覽器更新，修補30個安全性問題，含4個重大漏洞

Google發布Chrome瀏覽器新版本，將Windows與macOS平臺穩定版更新至147.0.7727.137與147.0.7727.138，Linux版本更新至147.0.7727.137，此次改版一共修補30個安全性問題，最受矚目的是4個重大漏洞，皆屬於記憶體釋放後再存取使用（Use After Free）的問題，其中最嚴重的是瀏覽器介面元件View的漏洞CVE-2026-7343，CVSS嚴重性評分達9.8分。

cPanel修補重大身分驗證漏洞，未更新可能導致攻擊者接管主機

網站主機管理平臺廠商cPanel近日發布資安公告，揭露旗下管理軟體cPanel及WHM（WebHost Manager）存在重大漏洞CVE-2026-41940，CVSS嚴重性評分達9.8，攻擊者能在不需通過身分驗證的狀況下，即可取得管理介面存取權限，進而控制主機，由於這兩款軟體是網站主機環境常用的Linux伺服器管理與控制面板工具，因此這項漏洞的影響範圍格外廣泛，用戶必須立即更新至已修補版本。

一次盤點OpenClaw近期嚴重漏洞，關注AI代理框架安全風險

AI應用新創公司Skywork近日發布報告，彙整2026年第1季發現的OpenClaw重大漏洞與修補建議，供使用者參考。對於打算自行建置OpenClaw的用戶，Skywork建議必須使用2026.3.28以上版本，確保已修補CVE-2026-25253、CVE-2026-33579等漏洞，此外還須清理HOME、ZDOTDIR等環境變數，以緩解CVE-2026-32056漏洞，並透過config.patch參數，強制LLM代理執行前必須獲得用戶許可，藉此緩解CVE-2026-41349漏洞。

【2026 企業資安大調查】一張圖看2026年整體臺灣企業資安風險

在2026年iThome CIO&CISO大調查中，企業最常見的資安風險前三名，分別是勒索軟體資安事故（32%）、資安漏洞濫用（28%）和DDoS攻擊（26%）。這三類系統風險都有近三成企業，列為今年必須警戒的威脅項目之一，這幾項也是過去三年來，大型企業最常見的資安事故。

【2026 企業資安大調查】一張圖看2026年金融業企業資安風險

臺灣金融業2026年得優先警戒的資安威脅，包括了8項系統類風險，5項人員類風險，以及1項AI類風險，其中，金融業未來一年兩大首要資安威脅是「網路釣魚/社交工程手段」和「勒索軟體資安事故」，三項次要風險則包括了資安漏洞濫用、商業郵件詐騙和機敏資料外洩，AI風險最需要留意的是LLM應用洩露敏感資料的威脅。

【2026 企業資安大調查】一張圖看2026年高科技製造業企業資安風險

2026年臺灣高科技製造業認為未來一年的首要資安威脅是「網路釣魚/社交工程手段」，另有兩項次要風險也得防備，包括了「商業郵件詐騙」和「勒索軟體資安事故」，值得關注的是「深偽技術冒用」今年也開始進入高衝擊高風險的威脅範疇。

儲域網路進入128G FC時代，博科第8代產品結合AI與量子安全

去年11月博科（Brocade）正式宣布推出首批支援128 Gb FC的第8代交換器設備，機型包括採用模組化機箱的X8 Director系列，以及機箱配置固定網路埠的G820。就整體功能特色而言，博科表示，第8代FC網路設備的推出，不僅憑藉更高的網路傳輸速度（128Gb FC），繼續鎖定企業關鍵業務應用的工作負載，以及AI應用系統的執行需求，也具有量子安全（quantum-safe）的特色，可預防量子運算時代即將來臨而導致加密資料遭解密的威脅。

近期資安日報

【4月29日】LiteLLM重大漏洞公布一天半出現攻擊活動

【4月28日】資安院宣布第二屆漏洞獵捕活動，為公務機關最常使用的軟體抓漏

【4月27日】後門程式FireStarter鎖定思科防火牆發動攻擊

'

美國NASA傳出遭中國駭客網釣，意圖竊取美國國防軟體

來源：https://www.ithome.com.tw/news/175457

美國太空總署（NASA）監察長辦公室（OIG）近日揭露，中國籍人士Song Wu於2017年1月至2021年12月，佯稱自己是知名且與NASA頻繁合作的航太教授，透過Gmail向NASA員工傳送訊息，要求提供受美國政府出口管制的軟體與原始碼，其中包括由NASA開發的航太工程軟體。

數年前OIG旗下的網路犯罪部門（CCD）接獲通報，得知此事並著手調查，結果發現此人已針對數十名教授、研究人員、工程師進行社交工程攻擊，部分受害者來自政府機關，包含NASA、空軍、海軍、陸軍及聯邦航空管理局，也有來自大學與企業組織的人士受害。

Song Wu是中國國營航太與國防企業工程師，所屬公司生產民用與軍用飛機，此人與同夥試圖取得航太設計與武器開發的建模軟體，他們對目標進行大量研究，成功假扮成目標人士的朋友或同事，以需要重新組建或修改應用系統為由，要求受害者提供軟體檔案或原始碼。

經NASA監察長辦公室與聯邦調查局的攜手合作，Song Wu於2024年9月被控涉嫌14項電信詐欺罪，以及14項加重身分盜用罪，每項電信詐欺罪最高可判20年有期徒刑，FBI已對此人發布通緝令。

'

研究人員揭露AI程式碼開發工具Cursor設計缺陷，可能導致開發者API金鑰外洩

來源：https://www.ithome.com.tw/news/175456

資安研究機構LayerX近日發布報告，揭露廣獲使用的AI程式碼開發工具Cursor存在設計缺陷，攻擊者可透過擴充套件存取用戶的API金鑰與連線權杖（Session Token），他們已於2月通報此問題，但直到4月底仍未見修補，提醒用戶安裝第三方擴充套件時須提高警覺。

LayerX將這項攻擊手法命名為「CursorJacking」，評估其CVSS嚴重性為8.2分，問題根源在於Cursor將API金鑰、連線權杖等敏感資訊存放於本機SQLite資料庫，但並未在擴充套件與資料庫之間設定存取隔離，任何已安裝的擴充套件皆能存取資料庫，因而攻擊者可在未經授權的情況下，利用擴充套件取得用戶敏感資料。

LayerX指出前述問題會影響所有Cursor用戶，並可能波及與其整合的第三方服務。他們於2月1日透過漏洞懸賞平臺HakerOne向Cursor的開發者Anysphere通報，並在2月5日獲得回覆，確認此問題存在 ，但目前仍未修補，呼籲應強化擴充套件與敏感資料存放區之間的隔離機制，並建議使用者謹慎使用第三方擴充套件。

'

臺馬三號海纜部分蕊線受損不到一個月發生全斷，中華電信緊急以微波備援東引通訊

來源：https://www.ithome.com.tw/news/175455

今年3月30日才發生部分蕊線受損的臺馬三號海纜，在不到一個月的時間再次發生海纜異常事件，臺馬三號海纜於馬祖東引外海約2.64公里處發生芯線斷裂，導致北竿至東引段全斷。此次事故影響連江縣東引鄉共約1,500位居民的對外通訊，突顯離島對單一海纜依賴所帶來的網路韌性風險。

海纜再受損，由「部分故障」演變為「全斷」

早在3月30日，臺馬三號海纜同一區段發生部分芯線受損，不到一個月的時間進一步惡化為全斷。數發部初步研判原因與海象不佳有關，可能是先前擱淺船隻殘骸因海況變動移動，進而破壞海纜結構。

這類非人為、不確定性的外力干擾，反映出海纜基礎設施在面對自然環境時的脆弱性，也顯示既有海纜保護與監測機制仍有強化空間。

在海纜中斷後，中華電信已依標準作業程序啟動微波通訊備援，將原本經由海纜傳輸的語音與網際網路服務切換至微波鏈路。目前東引地區行動通信、語音及數據服務仍可正常運作，但受限於微波頻寬與易受天候影響，部分上網服務可能出現延遲。

此外，有線電視服務因缺乏相應轉換設備，無法透過微波系統提供服務，顯示不同通訊服務在備援設計上的落差，也突顯多層次備援架構的重要性。

離島通訊高度依賴單一海纜，韌性建設待強化

此次事件再度暴露東引對單一海纜路徑的高度依賴。儘管微波通訊可作為緊急備援，但是在頻寬容量與穩定性上仍難以完全取代海纜，對於日益依賴數位服務的離島地區而言，長時間透過微波支援當地通訊服務，也會影響民生與行政的日常運作。

近年來，海纜已被視為關鍵基礎設施，其韌性不僅關乎通訊穩定，更涉及國安與區域發展。此次臺馬三號海纜前後受損，除強化海纜實體防護外，建立多路徑傳輸（如新增海纜、衛星或高容量微波鏈路）與提升即時監測能力，已成為提升整體網路韌性的關鍵。

數發部目前已要求中華電信協調海纜船進行修復，但受限於海象條件，例最快須至今年7月底方能完成修復。這代表東引地區在未來數月內仍須仰賴微波備援系統維持對外通訊。

長時間依賴備援機制，不僅考驗通訊服務品質，也對既有網路架構的穩定運作提出挑戰。此次事件再次提醒，面對頻繁發生的海纜事故，如何從「事後備援」進一步提升至「事前韌性設計」，是我國離島數位基礎建設的重要課題。

數發部先前發布的我國海纜報告指出，去年因天災人禍導致7起近岸海纜故障事件，另有25起遠海海纜故障事件，為確保海纜斷纜不斷網，一方面建置多路由備援，鼓勵業者投資新建海纜，也加強對海纜的物理防護，例如深埋設計，並且提升對海纜的監測與預警能力，以及建立跨國維修與調度機制。另外，也要引進衛星通訊星系，以新世代的衛星通訊作為備援通訊手段。

'

委內瑞拉能源及公用事業部門遭資料破壞軟體Lotus Wiper攻擊

來源：https://www.ithome.com.tw/news/175454

隨自2025年底開始，加勒比海地區地緣政治局勢變得更加緊張，傳出有駭客組織專門以破壞為目的發動網路攻擊。資安公司卡巴斯基指出，名為Lotus Wiper的資料破壞軟體（Wiper）針對委內瑞拉能源與公營事業部門而來，而且攻擊的目的很明顯，駭客並未留下勒索訊息，並積極抹除資料，使檔案無法恢復。

駭客利用兩個批次檔啟動攻擊鏈，並準備惡意程式所需的執行環境，並啟動惡意酬載。這些批次檔先透過網路進行滲透操作，降低受害電腦系統防禦層級，中斷系統正常作業，然後接收Lotus Wiper並解密執行。此資料破壞軟體會移除復原機制，覆寫磁碟上的內容，有系統地刪除受影響磁區的檔案，最終使得受害電腦系統無法復原。

關於攻擊流程的進行，駭客第一個使用的批次檔是OhSyncNow.bat，目的是識別本機資料夾，然後停用系統服務、檢查網域資源，並檢查特定的Netlogon共享機制，從遠端取得特定檔案。

接著駭客執行另一個批次檔notesreg.bat，找出所有的本機使用者帳號並竄改密碼、停用網路介面、執行磁碟清除指令，並嘗試填滿磁碟空間，最終部署Lotus Wiper。

雖然卡巴斯基並未透露攻擊者的身分，不過資安新聞網站Dark Reading指出，很有可能與委內瑞拉石油公司（PDVSA）的事故有關，該公司去年12月13日傳出疑似遭勒索軟體攻擊，PDVSA認為，攻擊可能來自美國。

'

Amazon財報出爐，AWS成長28%，創15季新高

來源：https://www.ithome.com.tw/news/175453

Amazon週三（4/29）公布截至3月31日的2026年第一季財報，該季營收達1,815億美元，年增17%，營業利潤為239億美元，高於去年同期的184億美元。受AI投資與業務擴張帶動，淨利達303億美元，每股盈餘為2.78美元。

在1,815億美元營收中，北美市場為1,041億美元，成長12%；國際市場為398億美元，成長19%；AWS為376億美元，成長28%。其中AWS成長速度為近15季以來最快，顯示企業對雲端與AI運算需求持續攀升。

在營業利潤上，AWS貢獻141億美元，仍為主要獲利來源；北美市場為83億美元，國際市場則為14億美元。整體營業利潤年增30%，反映規模經濟與高毛利雲端業務的帶動。

Amazon指出，過去12個月自由現金流降至12億美元，主要因AI基礎設施投資大幅增加，包括資料中心與自研晶片。公司透露，其Trainium、Graviton與Nitro晶片業務年化營收已突破200億美元，且呈現3位數成長。

在AI布局上，Amazon持續強化Amazon Bedrock與代理人能力，推出Managed Agents與AgentCore等服務，並與OpenAI、Anthropic、Meta等業者合作，擴大AI模型供應與雲端運算基礎設施布局。

Amazon過去12個月資本支出達1,510億美元，較前一年增加約593億美元，主要投入AI基礎設施。

'

終端模擬器Warp開源客戶端導入代理優先貢獻流程，OpenAI為創始贊助方

來源：https://www.ithome.com.tw/news/175451

終端模擬器與代理式開發工具Warp開源客戶端，並把社群貢獻流程導入代理優先模式。Warp表示，社群成員可透過Oz雲端代理調度平臺參與開發，由人類提出想法、確認方向與驗證成果，代理程式則處理規畫、撰寫程式碼與測試等工作。OpenAI是新開源Warp儲存庫的創始贊助方，新的代理管理工作流程由GPT模型支援。

Warp最初是一款現代化終端模擬器，官方表示已有近百萬名活躍開發者使用，近年則逐步加入AI代理與程式開發工作流程，用途延伸至代理式開發環境（Agentic Development Environment，ADE），並支援Claude Code、OpenAI Codex CLI與Gemini CLI等第三方命令列代理工具。本次開源重點是讓外部開發者以公開方式參與Warp產品開發，並在實際專案中使用代理程式協助完成開源貢獻。

Warp客戶端原始碼已放上GitHub，採AGPL授權，目前獲得超過4.5萬顆星。社群可參考CONTRIBUTING.md了解貢獻流程，Warp團隊仍會協助引導哪些功能要開發、何時開發，以及如何實作，但希望把過去較封閉的產品開發流程，逐步改成以公開GitHub issue作為功能追蹤依據，並公開ADE相關路線圖與技術討論。

Warp共同創辦人暨執行長Zach Lloyd表示，開源的主要原因是希望更快改善產品。他認為，目前開發瓶頸已不再只是寫程式，而是產品規格制定、方向判斷與行為驗證等需要人類參與的工作。

配合這次開源，Warp更新產品能力，支援更廣泛的開源模型，包括Kimi、MiniMax與Qwen，並新增Auto (open)模型路由選項，可依任務選用合適的開放模型。Warp也強化客製化能力，使用者可把Warp調整成接近傳統終端機、加入差異檢視與檔案樹等輔助功能，或使用具備內建代理程式的完整ADE模式。Warp還推出設定檔，讓使用者與代理程式能以程式化方式控制設定，並在不同裝置之間搬移設定。

'

微軟財報出爐，AI年化營收成長123%

來源：https://www.ithome.com.tw/news/175452

微軟週三（4/29）公布截至3月31日的2026財年第三季營收，該季微軟締造829億美元的營收，成長18%，其中，跟AI有關的年化營收超過了370億美元，成長123%。不過，當天盤後微軟股價微幅下滑，跌至417.8美元。

在829億美元的營收中，有350億美元來自生產力與業務流程（Productivity and Business Processes），成長17%；347億美元來自智慧雲端（Intelligent Cloud），成長30%；132億美元來自更多個人運算（More Personal Computing），下滑1%。

至於所有以雲端、訂閱或用量計費方式交付的Microsoft Cloud在該季締造545億美元的營收，占微軟整體營收的66%，成長29%。

從關鍵營運指標來看，商用剩餘履約義務（Commercial Remaining Performance Obligation，已簽約但尚未認列收入）的金額高達6,270億美元，成長99%，顯示企業雲端訂單持續累積；Azure與其它雲端服務的營收成長40%；Microsoft 365 Consumer雲端營收成長33%。

'

【2026 企業資安大調查】一張圖看2026年高科技製造業企業資安風險

來源：https://www.ithome.com.tw/article/175433

高科技製造業2026年得優先警戒的資安威脅，包括了3項系統類風險，6項人員類風險

「網路釣魚/社交工程手段」是高科技製造業未來一年的首要資安威脅，另有兩項次要風險也得防備，包括了「商業郵件詐騙」和「勒索軟體資安事故」，值得關注的是「深偽技術冒用」今年也開始進入高衝擊高風險的威脅範疇。

另外DDoS攻擊雖然對高科技製造業的衝擊較低，但是2026年發生的可能性很高，也得留意相關對外網站或服務的可用性。

立即下載完整報告【iThome 2026 CIO & CISO大調查】資安策略篇完整報告

企業資安風險圖製作說明 在iThome 2026年CIO暨CISO大調查中，由企業CIO和CISO自評各威脅項目的兩項指標，一項是該項目對企業帶來的衝擊程度（衝擊極高和衝擊極低），另一項是這個項目未來1年的發生風險（極可能發生與極不可能發生），再換算成不同程度的量化數據來製圖。垂直軸是該威脅項目對企業的衝擊，位置越往上代表衝擊越大，水平軸是企業未來1 年發生該項目的風險，位置越右，代表發生可能性越大。威脅項目的位置圓點，區分成三類，紅點代表系統類風險，綠點代表人員風險，黑點則為AI風險。

問卷執行 自2026年1月1日至1月29日，對臺灣大型企業、iThome歷屆CIO大調查企業、政府機關及大學院校的資訊主管進行線上問卷調查，有效問卷數396份，其中57%填答者為企業資安最高主管。

資料來源：2026年iThome CIO & CISO大調查，2026年3月

'

【2026 企業資安大調查】一張圖看2026年金融業企業資安風險

來源：https://www.ithome.com.tw/article/175432

在這張金融業企業資安風險圖中，第一象限是最值得企業留意的資安威脅，對金融業而言，包括了8項系統類風險，5項人員類風險，以及1項AI類風險。

金融業未來一年兩大首要資安威脅是「網路釣魚/社交工程手段」和「勒索軟體資安事故」，三項次要風險則包括了資安漏洞濫用、商業郵件詐騙和機敏資料外洩，AI風險最需要留意的是LLM應用洩露敏感資料的威脅。

特別在AI威脅項目上，LLM幻覺導致真人誤判的衝擊雖然相對較低，但是，隨著金融業今年積極要落地各種生成式AI應用，不少金融資安長認為未來一年發生這類AI資安事件的風險也很高，因此也列入了第四象限「衝擊低但發生風險高」的項目之一。

立即下載完整報告【iThome 2026 CIO & CISO大調查】資安策略篇完整報告

企業資安風險圖製作說明 在iThome 2026年CIO暨CISO大調查中，由企業CIO和CISO自評各威脅項目的兩項指標，一項是該項目對企業帶來的衝擊程度（衝擊極高和衝擊極低），另一項是這個項目未來1年的發生風險（極可能發生與極不可能發生），再換算成不同程度的量化數據來製圖。垂直軸是該威脅項目對企業的衝擊，位置越往上代表衝擊越大，水平軸是企業未來1 年發生該項目的風險，位置越右，代表發生可能性越大。威脅項目的位置圓點，區分成三類，紅點代表系統類風險，綠點代表人員風險，黑點則為AI風險。

問卷執行 自2026年1月1日至1月29日，對臺灣大型企業、iThome歷屆CIO大調查企業、政府機關及大學院校的資訊主管進行線上問卷調查，有效問卷數396份，其中57%填答者為企業資安最高主管。

資料來源：2026年iThome CIO & CISO大調查，2026年3月

'

【企業資安大調查｜一張圖揭露2026企業資安風險】從系統風險、人員風險到AI風險，2026企業得優先防備哪些資安威脅？

來源：https://www.ithome.com.tw/article/175420

傳統資安威脅依舊在，但企業今年更加留意這幾年爆紅的GenAI浪潮風險。尤其有多項LLM資安風險威脅，今年開始升溫，也成為企業資訊長和資安長特別警戒的項目。

在2026年iThome CIO&CISO大調查中，我們再一次製作這份企業資安風險圖，可以作為企業分配有限IT資源的參考。這項調查由396位企業CIO和CISO參與填答，針對29項資安威脅進行自評，衡量每一項資安威脅，在未來一年的發生可能性和衝擊高低。我們彙整所有填答結果後，才製作出這份2026年企業資安風險圖。

立即下載完整報告【iThome 2026 CIO & CISO大調查】資安策略篇完整報告

我們將這些資安威脅分成三大類，系統風險類，人員風險類和今年新增的AI風險類資安威脅等。

根據這次調查結果發現，2026年企業最常見的資安風險前三名，分別是勒索軟體資安事故（32%）、資安漏洞濫用（28%）和DDoS攻擊（26%）。這三類系統風險都有近三成企業，列為今年必須警戒的威脅項目之一，這幾項也是過去三年來，大型企業最常見的資安事故。

在人員風險類型上，名列第一個威脅是社交工程手段的網路釣魚（52%），半數CIO自認未來一年非常有可能遭遇這類威脅。其次是商業郵件詐騙（31％）、瀏覽惡意網站（27%）。

在AI風險類威脅上，今年企業最警戒的兩項威脅是「LLM應用洩漏敏感資料」、「Deepfake深偽技術冒用」。

代理式AI今年崛起，不分產業，都有不少企業今年開始大力擁抱代理式AI，但是企業對於代理式AI風險的戒心還是偏低。只有少數企業約1～2%開始將AI代理供應鏈弱點和AI代理自主操作失當視為年度高風險資安威脅來防範。企業資源有限時，可優先防範常見威脅。

一張圖看2026年整體企業資安風險

企業未來一年兩大首要資安威脅是「網路釣魚/社交工程手段」和「勒索軟體資安事故」，三項次要風險則包括了「資安漏洞濫用」、「商業郵件詐騙」和「機敏資料外洩」，AI風險最需要留意的是「LLM應用洩漏敏感資料」的威脅。

企業資安風險圖製作說明 在iThome 2026年CIO暨CISO大調查中，由企業CIO和CISO自評各威脅項目的兩項指標，一項是該項目對企業帶來的衝擊程度（衝擊極高和衝擊極低），另一項是這個項目未來1年的發生風險（極可能發生與極不可能發生），再換算成不同程度的量化數據來製圖。垂直軸是該威脅項目對企業的衝擊，位置越往上代表衝擊越大，水平軸是企業未來1 年發生該項目的風險，位置越右，代表發生可能性越大。威脅項目的位置圓點，區分成三類，紅點代表系統類風險，綠點代表人員風險，黑點則為AI風險。

問卷執行 自2026年1月1日至1月29日，對臺灣大型企業、iThome歷屆CIO大調查企業、政府機關及大學院校的資訊主管進行線上問卷調查，有效問卷數396份，其中57%填答者為企業資安最高主管。

資料來源：2026年iThome CIO & CISO大調查，2026年3月

'

北韓駭客Famous Chollima透過AI生成惡意NPM套件，藉此洗劫開發人員加密貨幣資產

來源：https://www.ithome.com.tw/news/175450

過去外界對於北韓駭客Famous Chollima的印象，在於他們長期以IT工作者到歐美企業應徵遠距工作的方式，藉此獲取資金以支援國家核武發展，並對受僱企業從事破壞，近期有資安公司指出，這些駭客採取新一波的攻擊行動，上架惡意NPM套件讓大型語言模型（LLM）採用，然後執行惡意程式。

資安公司ReversingLabs在某個加密貨幣交易專案發現惡意程式碼，經調查發現，AI程式碼助理將惡意的@validate-sdk/v2判定為相依套件，但實際上，該套件是駭客偽造的常見資料驗證工具，會從受害電腦抽取敏感資料。該公司將此攻擊活動命名為PromptMink，被汙染的套件於2月28日引入，攻擊者透過大型語言模型Anthropic Claude Opus提交，藉此洗劫使用者的加密貨幣錢包及資產。

該公司指出，這起事故是Famous Chollima廣泛攻擊行動的一部分。上述的惡意套件最早在去年10月出現在NPM儲存庫，不過，相關的惡意功能直到今年2月才被加入。由於這些駭客擅長使用大型語言模型生成惡意套件，但他們究竟如何避開大型語言模型的防護機制？ReversingLabs認為，很可能與Famous Chollima採取多層次策略將誘餌與惡意套件區分開來有關。

在上述事故發生之前，Famous Chollima在過去半年陸續發布多個看似無害的惡意套件，目的就是引誘開發人員或AI程式碼助理在專案導入這些套件。駭客的套件大致分兩層，第一層的套件不含惡意程式碼，其功能是匯入具備惡意功能的第二層套件。一旦這些第二層套件被發現有問題，駭客可輕易從NPM移除並進行更換。

'