讓世界再次看見臺灣AI資安實力，奧義兩款產品列入OWASP AI 安全地圖

來源：https://www.ithome.com.tw/news/175478

過去曾多次參加MITRE ATT&CK評估，奧義成為臺灣首家站上全球舞臺展現資安廠商偵測實力的新創公司，本週他們宣布在AI資安領域獲得新突破，因為旗下有兩款資安產品列入OWASP最新版AI安全解決方案地圖。

其中一款是去年7月推出的新世代AI防火牆安全模組XecGuard，被OWASP列入該份地圖的企業導入AI階段，分別是：營運（Operate）、部署（Deploy）、測試與評估（Test & Evaluate）、增強與資料微調（Augment, Fine Tune Data）。這項產品可強化大型語言模型（LLM）的安全防禦能力，在AI服務運作過程中，提供即時防止敏感資料外洩的機制，實現自主與量化的資安管理，持續監控與分析對話內容，藉此偵測AI代理是否被引導執行偏離任務的工具呼叫程序，或是產生不安全的工作流程。除此之外，XecGuard可提供API與閘道模式，因應不同產業對於法規遵循、資料主權與部署的需求，也能快速整合既有的AI應用系統、AI代理架構與內部作業流程。

另一款是XecART，被列入OWASP AI安全解決方案地圖的企業導入 AI階段，涵蓋：範圍與規畫（Scope & Plan）、開發與實驗（Develop & Experiment），以及測試與評估。這款產品專攻AI紅隊安全評測（AI Red Teaming），去年奧義陸續在幾篇新聞稿提及，像是6月底針對蘋果裝置端基礎模型的分析，7月發表XecGuard，直到12月接受日本週刊 BCN 報導，XecART這個稱呼才真正浮上檯面，今年2月正式於台灣證券交易所創新板掛牌交易，XecART則以「模型自動化評測」再度被提到。

在4月底奧義宣布入選OWASP AI安全解決方案地圖的消息中，他們更具體描繪XecART的特色，像是精準模擬攻擊路徑，確保AI代理的行為能夠遵循企業與組織的政策，並且針對目標偏移、提示注入、工具濫用等風險，提供多回合的對話循環測試與自動化紅隊演練，藉此協助企業驗證在多AI代理環境下，AI代理是否安全、穩定及遵循規範。

'

英國生物樣本庫經由內部研究人員外洩，50萬筆記錄流入阿里巴巴兜售

來源：https://www.ithome.com.tw/news/175479

全球最大生物樣本資料庫UK Biobank近日發生重大資安事件，參與研究的人員導致50萬筆所有參與者的生物資料外洩，並放上中國電商平臺阿里巴巴兜售。

UK Biobank是全球最大生物樣本資料庫，從2006到2010年間，募集全英國40到69歲共50萬人自願者加入UK Biobank，收集參與者的血液、唾液、尿液和身體檢測數值並經過匿名化（de-identified）處理保存，供國際上研究者申請使用或進行相關的生物醫學測試。至今已有1萬3千個研究人員註冊登記，遍布68個國家1,375個單位，並核准1,200個計畫使用UK Biobank資料。

根據英國媒體報導，4月20日UK Biobank發現有三批資料集被不同賣家放上阿里巴巴持有的消費者電商平臺出售。其中至少有一筆是來自UK Biobank所有50萬自願參與者的資料。

UK Biobank執行長Rory Collins上週向參與者公開說明，在英國和中國政府介入下，已要求阿里巴巴將這些資料集下架，這些資料都未被出售。UK Biobank指出，該事件並非出於網站漏洞或被駭，而是來自具有合法存取權的研究人員。UK Biobank指出這是這些學術機構的明顯違約行為，這些研究機構及牽涉的研究人員已經被吊銷存取。

不確定詳細原因是研究人員刻意外流資訊，或是未妥善保管下載的研究樣本集導致資料被竊。

Biobank告知參與者，所有外洩的資料都是匿名化資料，不包含任何可辨識身份的資訊，如姓名、住址、出生日期和NHS（英國健康記錄帳號）編號。UK Biobank已暫時關閉所有存取，以強化安全控管措施，包括縮小由平臺下載的資料規模。平臺也將對所有輸出的檔案監控所有可疑行為，以減少被誤用及濫用行為。

英國公立醫療機構Barts Health NHS Trust去年才公告遭駭客攻擊Oracle E-Business Suite（EBS），導致數目不詳的個人資料外洩。

'

蘋果App Store驚見假錢包，FakeWallet攻擊竊取助記詞

來源：https://www.ithome.com.tw/news/175477

資安業者Kaspersky近日揭露，一波名為FakeWallet的攻擊行動已滲透蘋果App Store，出現至少26款偽裝成主流加密貨幣錢包的應用程式。這些App表面看似正常，但實際上會將使用者導向仿冒下載頁，誘導安裝被植入惡意程式的錢包，或透過釣魚介面騙取助記詞（Recovery Phrase）與私鑰，進而竊取加密資產。

這波攻擊主要出現在中國區App Store。Kaspersky已發現至少26款釣魚應用偽裝成主流加密貨幣錢包。由於多數官方錢包無法在中國區App Store上架（特別是Apple ID設為中國地區的用戶），使駭客得以利用此情境，上架名稱與圖示與官方錢包高度相似的假App，並宣稱官方版本無法取得，誘導使用者轉往其他管道下載，進而展開後續攻擊。

上述釣魚應用主要模仿多款主流加密貨幣錢包，包括MetaMask、Ledger Live、Trust Wallet、Coinbase旗下錢包，以及TokenPocket、imToken與Bitpie等，透過使用與官方高度相似的圖示、名稱（甚至刻意拼錯字），並搭配看似正常的介面或功能，增加使用者誤信與下載的機率。

這些假錢包App多半只是入口，開啟後會將使用者導向仿冒頁面，誘導下載被植入惡意程式的錢包，或直接要求輸入助記詞。當使用者建立或匯入錢包時，助記詞就會被攔截並傳送給攻擊者，進而取得錢包控制權並竊取資產；部分針對硬體錢包的攻擊，則會偽裝成「安全驗證」畫面，誘騙使用者自行輸入助記詞。

研究發現，這類攻擊並非單一手法，部分樣本是透過植入惡意程式庫或竄改原始碼，在應用執行過程中攔截助記詞，亦有版本會利用iOS描述檔機制，繞過App Store安裝限制，將受感染的錢包直接安裝至裝置中，增加偵測與防範難度。

在攻擊來源方面，Kaspersky指出，FakeWallet行動可能與另一已知惡意程式SparkKitty存在關聯。研究人員在部分樣本中發現同時包含兩者模組，且程式內部出現中文註解與紀錄訊息，顯示開發者可能為中文母語者。不過，目前尚無法確認這些攻擊是否出自同一駭客組織。

值得注意的是，儘管本次攻擊主要以中國市場為目標，但惡意模組本身並未設有地區限制，且部分釣魚介面可依語言自動調整，意味著該手法具備擴散至其他市場的能力。

'

Cloudflare代理人能自主建帳號、註冊網域、部署程式

來源：https://www.ithome.com.tw/news/175476

雲端基礎架構供應商Cloudflare宣布和金融服務商Stripe合作提高代理人服務能力，可代管理員部署Cloudflare應用程式，從建立帳號、註冊網域和搞定API token都能自主解決。

現在程式開發代理人已經能幫忙撰寫程式，但是要將應用程式部署到雲端，仍需要人類來處理後續工作，包括建立帳號和訂購必要的基礎架構服務。Cloudflare強化的代理人功能，讓代理人可以建立Cloudflare帳號、啟用付費訂閱、註冊帳號、取得API token來部署程式碼。這過程中不需人類動手，但人類全程都會被通知以便提供許可，並且必須接受Cloudflare的服務條款。之後管理人就不需在儀表板操控、複製貼上API token，或輸入信用卡帳號。若結合Cloudflare的Code Mode MCP伺服器及Cloudflare的代理人技能，可以進一步提升代理人自動化功能。

這項服務是基於Cloudflare和金融雲端平臺Stripe合作的新協定Stripe Project實作。使用Stripe Atlas的新創公司也可獲得價值10萬美元的Cloudflare點數。不過Cloudflare說，使用其他平臺的用戶若已登入，也可在Cloudflare實作高度自動化的代理人。

Cloudflare和Stripe合作的新協議Stripe Project以現有標準如OAuth、OIDC及支付代幣化（tokenization）技術之上，涵括發現、授權及支付三個階段。發現部份使代理人得以呼叫指令來查詢可用服務的目錄。授權部份，讓平臺驗證使用者身份，允許供應商配置帳戶或連結現有帳戶，並將憑證發回給代理人。支付部份則由支付平臺提供支付token，供應商可用來向客戶收費，讓代理人能開始訂閱、購買並按使用量計費。

Cloudflare也說明了運作方式。以Stripe為例，加入Stripe Project的企業組織必須安裝Stripe CLI及Strike Project外掛、登入Stripe。為了能讓代理人順暢在Stripe和Cloudflare服務間來回，用戶會被要求同意授權OAuth流程，允許代理人登入帳號。

'

全球最大網攻演習落幕，41國演練戰時守護電網與軍事系統

來源：https://www.ithome.com.tw/news/175475

全球最大實戰型網路防禦演習Locked Shields 2026已於4月24日落幕。本次演習集結了來自41國、16支隊伍及超過4000名參與者，模擬戰時情境下即時應對大規模網路攻擊，演練如何在電網、防空與軍事系統等關鍵基礎設施遭攻擊時維持正常運作。

Locked Shields是北大西洋公約組織（North Atlantic Treaty Organization，NATO）合作網路防禦卓越中心（Cooperative Cyber Defence Centre of Excellence，CCDCOE）在2010年起每年舉辦的實戰型網路防禦演習，從最初僅有4國、約60人參與，逐步擴大為全球規模最大的網路攻防演練，採取即時攻防（live-fire）設計，模擬國家在遭受持續網路攻擊甚至戰時情境下的應變能力。

Locked Shields 2026的演習則是虛構了一個名為Berylia的國家，模擬它遭受到某個手段高明的敵對勢力的攻擊，目的是破壞該國的主權機制，為了確保演習的真實性，CCDCOE與業界合作，導入了真實的硬體設備及工業控制系統，包括一個功能完整的發電系統、5G網路、衛星、電子投票系統，以及作戰指揮系統等。

圖片來源／NATO CCDCOE

今年的演習模擬了真實且大規模的網路攻擊行動，由16支隊伍扮演各國的快速反應小組，在兩天內協助Berylia抵禦針對上述系統、約8,000次的即時網路攻擊。

CCDCOE主任Tõnis Saar表示，各隊必須在Locked Shields 2026的演習中充分展現自己的技能，保護那些維持人們日常生活運轉的資訊技術系統，各隊在偵測及應對惡意網路活動中表現出色，如今的重點則是將演習中的整體經驗應用到現實情境中，特別是隨著AI技術的不斷發展，也正在改變網路領域的攻擊與防禦模式。

CCDCOE也公布了在Locked Shields 2026演習中表現最出色的3個隊伍，分別是拉脫維亞+新加坡隊，德國+奧地利+盧森堡+瑞士隊，以及法國+瑞典隊。

負責該演習的Dan Ungureanu指出，Locked Shields的最終目標是促進各國之間的合作，建立彼此的信任，以及共同理解如何強化網路空間的韌性。

'