Android惡意程式NGate出現新變種，偽裝行動支付工具竊取信用卡資料

來源：https://www.ithome.com.tw/news/175533

資安廠商ESET近日發布報告，揭露Android惡意程式NGate出現新變種，攻擊者透過偽造或植入惡意程式碼的HandyPay行動支付應用程式，竊取用戶的NFC支付資料， 進而盜刷用戶信用卡，甚至從ATM提款。

NGate最早約於2024年被發現，可透過行動裝置的NFC晶片竊取信用卡支付資訊。ESET今年發布警示，因他們察覺2025年11月出現新的NGate變種，利用植入惡意程式碼的HandyPay行動支付應用程式來傳播，目前發現有兩個傳播途徑，一是透過假冒的巴西彩券網站，以中獎名義誘導用戶連至惡意網頁下載軟體。另一是假冒的Google Play應用程式商店頁面，以信用卡保護軟體Proteção Cartão的名義誘導用戶下載。當用戶從假冒網站下載與安裝內含惡意程式的軟體後，該軟體會要求用戶將其設定為預設NFC支付工具，並輸入信用卡PIN碼，然後透過NFC讀取信用卡資料，再將這些資料傳送到攻擊者控制的設備 。

ESET指出，攻擊者透過變種NGate竊取用戶信用卡資料後，將可盜刷信用卡或從ATM提款，目前這一波攻擊主要針對巴西用戶，但NFC相關攻擊正迅速擴散中，因此，用戶應避免安裝來源不明的應用程式，並在不使用時關閉NFC功能，以降低遭攻擊的風險。

'

Palo Alto Networks收購Portkey，強化AI代理人安全布局

來源：https://www.ithome.com.tw/news/175532

美國資安業者Palo Alto Networks上週四（4/30）宣布，計畫買下專門開發AI閘道，以集中管理AI模型及AI代理人的Portkey，預計於今年7月底前完成收購。雙方並未公布交易細節，但外傳該交易價值1.2至1.4億美元。

Portkey是由兩名具印度背景的Rohit Agarwal與Ayush Garg在2023年共同創辦，主要開發AI閘道（AI Gateway）平臺，協助企業在應用程式與大型語言模型之間建立中控層，統一管理模型連接、流量路由、安全政策、成本控管與稽核紀錄，並在AI應用正式上線後，持續監控與保護AI代理人的運作。雖然Portkey的總部設在美國，但工程團隊主要分布於印度。

Portkey甫於2026年2月完成1,500萬美元的A輪融資，當時估值約為6,000~7,000萬美元。

至於Palo Alto Networks則是2005年創立的美國資安公司，早期從防火牆起步，之後逐步擴張至雲端安全、安全存取服務邊緣、資安營運及身分安全等領域，屬於全球一線資安業者，已服務逾7萬家客戶，包括95%的Fortune 100企業。

Palo Alto Networks表示，隨著企業採用AI的方式，從輔助人類工作的AI助理及AI應用程式，進一步擴展到能自主執行任務的AI代理人，AI安全缺口也明顯擴大。這些AI代理人就像擁有高度權限的內部人員，能在企業內外部系統中執行大量自動化決策，為協助組織因應這項挑戰，Portkey將成為Prisma AIRS的AI閘道，扮演可監控、路由並保護企業內每一筆AI交易的中樞系統。

Prisma AIRS（Prisma AI Runtime Security）為Palo Alto Networks用來保護企業AI系統的安全平臺，重點在於管理AI應用、模型與代理人正式上線後的風險。此次收購Portkey，是要把Portkey的AI閘道能力整合進Prisma AIRS，補強企業對AI代理人流量與行為的集中治理能力。

交易完成後，Portkey將負責檢查AI流量，並在執行階段強制執行安全與治理政策，以識別威脅並保護資料。它也會透過AI身分安全，對每一次代理人互動施加最小權限控制，確保AI工作負載維持安全且符合法規要求。

'

GovTech月報第52期：國科會擬於南部規畫建置全光網路串聯南、北AI算力資源；美戰爭部與8科技巨頭聯手，加速軍事AI化

來源：https://www.ithome.com.tw/news/175500

重點新聞(3/31~5/1)

AI 全光網路

國科會推動主權AI發展，規畫在南部建置全光網路串聯AI算力資源

在政府推動AI島政策下，國科會主委吳誠文近期表示，將以臺南沙崙為核心，在南部規畫建置全光網路，串聯南科等產業據點，並整合國網中心雲端算力資源，打造智慧城市與AI應用的示範場域。

國科會進一步說明，南部全光網路將與國家實驗研究院國家高速網路與計算中心的算力基礎設施整合，並與中華電信既有全光網路及AI資料中心互通，逐步串聯臺南、臺中、新竹等節點，形成跨區域的高速運算與傳輸平臺。同時，透過與日本AI資料中心互連，建立跨境算力協作環境，讓分散在不同地區的運算資源能即時整合，降低地理距離對AI應用的影響。

技術上，全光網路以光訊號取代傳統電訊號傳輸，減少多次光電轉換所帶來的延遲與能耗，特別適合AI運算與資料中心互連。實際展示中，透過全光網路串聯臺灣南北與日本算力資源，即使跨越數百至數千公里，AI推論延遲仍維持在相近水準；在備援情境下，也可在數秒內完成大規模資料傳輸，顯著優於傳統網路。

AI 軍事

美國戰爭部與8家科技巨頭聯手導入機密網路運算，加速軍事AI化轉型

美國戰爭部近期和全球8家主要人工智慧與雲端科技企業簽署合作協議，包括SpaceX、OpenAI、Google、Nvidia、微軟、AWS與Oracle等，共同將先進AI能力部署至國防部的機密網路環境中，用於合法軍事任務與作戰支援。此舉被視為美國軍事體系邁向「AI優先戰力」的重要一步。

根據規劃，相關AI能力將導入美國國防部的高安全等級網路環境，包括Impact Level 6（IL6）與Impact Level 7（IL7），用以提升資料整合分析、戰場情勢理解與決策支援能力。在複雜戰場環境中，AI將協助加速資訊處理與情資判讀，強化作戰人員的決策優勢與反應速度。

美國國防部也透過內部AI平台GenAI.mil進行初步規模化應用，目前已有超過130萬名軍事人員、文職人員與承包商使用，累積數千萬次AI互動請求，並部署數十萬個AI代理系統，部分任務處理時間從數月縮短至數天，顯示AI已實際進入軍事作業流程。

官方強調，此次合作著重於避免對單一AI供應商產生依賴，將建立可擴展且多元的AI架構，以確保長期彈性與安全性。透過整合美國科技產業完整AI生態系，將有助於提升軍事韌性與國家安全能力，並強化面對未來複雜威脅的應對能力。

代幣化金融 金融科技

英國推動代幣化金融與數位支付，促傳統金融市場加速數位轉型​

英國政府近期公布新一輪的金融科技政策方向，聚焦支付系統現代化與代幣化金融（tokenised finance）發展，目標是讓傳統金融市場逐步導入數位資產與區塊鏈基礎架構。這項政策由財政部主導，並和金融監管機構協作推動，強調提升市場效率與金融基礎設施競爭力。

這項政策內容涵蓋未來支付技術升級、資產數位化與結算系統創新，特別強調代幣化資產在債券、基金與金融產品中的應用潛力。透過將資產轉換為數位代幣形式，金融交易可望縮短結算時間、降低成本，並提升跨市場流動性與透明度。

英國政府表示，相關措施將建立在既有金融監管框架之上，確保在創新與風險控管之間取得平衡。外界普遍認為，此舉代表英國正積極搶占全球「數位資產金融中心」地位，並與歐盟及美國在金融數位化競爭上持續加速布局。

數位身分 個資

歐盟將提供可避免曝露個資的年齡驗證工具，提升未成年保護機制

歐盟近期宣布已完成開發年齡驗證應用程式，未來用戶可在不揭露個人身分的情況下證明年齡，避免未成年人接觸不適宜內容或服務。歐盟執委會主席Ursula von der Leyen表示，該App將配合Digital Services Act（數位服務法）推動，要求線上平臺限制未成年接觸色情、賭博及酒精等內容，相關應用程式技術已就緒，近期將上架供下載使用。

依規劃，用戶可透過應用程式商店下載該App，並以護照或身分證完成驗證。歐盟指出，其運作方式類似疫情期間的數位疫苗憑證，允許用戶在不暴露實際身分的情況下，向網站或服務證明已達特定年齡門檻，兼顧隱私與合規需求。

該應用程式是基於European Digital Identity Wallet架構開發，支援各會員國依需求客製化導入，並採開放標準與開源技術設計，促進跨國系統互通。歐盟也同步提供技術文件與整合指引，協助服務提供者快速導入相容機制。

科技防災 AI

水利署將結合AI辨識與感測器偵測淹水災情強化應變能力

在抗旱工作的同時，臺灣也面臨颱風季帶來的淹水風險。為強化防災科技量能，行政院已核定經濟部水利署「水災智慧防災計畫（第二期）」，預計5年投入30.9億元，透過大規模感測與影像串聯，提升對極端氣候引發水災的即時應變能力，降低對民眾生命財產與整體經濟的衝擊。

水利署規畫在全臺建置2,068處淹水感測器，並串聯近萬支CCTV監視設備，結合AI進行24小時水情監測。水利署署長林元鵬指出，未來約6成易淹水地點可透過感測器自動偵測，相較過去仰賴民眾通報與人工勘查，大幅提升預警效率。此外，也將與氣象單位合作建置降雨雷達系統，強化降雨監測與預測能力，讓各地水情掌握更即時。

在應用面上，系統將優先導入地下道、涵洞等高風險場域，一旦偵測到積淹水，便可即時啟動管制措施，避免人車誤入釀災。同時，透過AI影像辨識分析監視畫面，減少人力巡查負擔；並與地圖服務整合，提供即時淹水資訊與替代路徑建議，讓用路人可提前避開積水路段，進一步提升整體防災韌性。

臉部辨識 執法

英國警方擴大行動臉部辨識應用，強化即時身分查驗能力

英國警方持續擴大臉部辨識的執法應用，近期導入行動式臉部辨識技術（Operator-Initiated Facial Recognition, OIFR），讓執法人員可透過手機或隨身裝置，即時比對現場影像與警方資料庫身分資訊。該應用使臉部辨識從過去的固定式監視系統，延伸到執法現場。

根據英國警方規劃，相關系統已逐步與隨身攝影機及其他行動設備整合，可在街頭巡邏、大型活動維安或特定風險區域中即時使用，提高對可疑人士的辨識效率與反應速度。一部分的單位已開始測試將即時影像串接至後端資料庫，以縮短查驗流程。

這類應用同時引發對隱私與監控範圍擴張的討論。外界關注在技術提升執法效率的同時，是否會造成過度監控或誤判風險。英國政府強調，相關技術仍在持續調整與規範中，並須符合既有資料保護與人權法規框架。

AI 情報

美國CIA導入AI完成首份自主情報報告，以全面整合分析系統強化情報能力

美國CIA副局長Michael Ellis近期於公開演講中指出，CIA已成功運用人工智慧完成該機構史上首份「自主生成情報報告」。相關消息由Politico與Cointelegraph報導指出，該成果被視為美國情報體系邁向AI化的重要里程碑。

CIA為美國對外情報核心機構，負責蒐集與分析全球政治、軍事與經濟情資，提供白宮與國安決策參考，並在海外執行秘密行動任務。Ellis指出，CIA已將AI應用於約300個內部專案，包括大型資料處理、文件翻譯、情報報告生成，以及協助辨識潛在間諜行為，逐步擴展AI在情報流程中的角色。

Ellis表示，CIA未來數年將把AI全面整合至所有分析平台，協助分析人員草擬情報判斷、驗證結論與發掘資料趨勢，但強調最終關鍵決策仍由人類主導。他同時指出，此一技術推進的核心動機在於維持對中國的技術優勢，因為雙方在AI與資料分析能力上的差距正快速縮小，促使美方加速情報體系現代化轉型。

AI 情報

英國國防部導入AI無人機偵測爆裂物，加速戰場除雷與減少人員風險

英國國防部公布推動的Defence Science and Technology Laboratory（Dstl）計畫旗下一項AI無人機測試計畫成果，成功驗證可利用人工智慧協助偵測地雷與爆裂物。該計畫由英國陸軍協力下進行，目標是透過自動化偵測能力，加速爆裂物清除任務並降低人員進入危險區域的風險。

該測試是在英國陸軍第33工兵團（爆裂物處理與搜索部隊）基地進行，經歷數週的測試，在不同地形環境中布置多種模擬地雷與未爆彈，由小型無人機搭載感測器蒐集資料後，即時回傳至作戰人員，再由AI模型進行辨識與分析，以標記潛在危險物位置，提升現場判讀與處理效率。

這項實驗驗證了AI模型可快速重新訓練，以因應不同類型爆裂物與環境變化，提升戰場適應性。英國國防部指出，相關技術將進一步與自主系統、感測器與人機協作整合，未來將透過後續測試推動可部署版本，加速導入實戰應用，並支援軍方提升作戰效率與人員安全。

圖片來源／國科會、水利署、英國

更多GovTech動態

1.報告：美國多數州政府導入AI，輔助決策、政策資料分析

2.政府主權AI發展，16家金融聯構聯手打造懂在地金融法規、產業知識的金融LLM

資料來源：iThome整理，2026年4月

'

【資安日報】5月4日，Linux系統核心存在長達9年的高風險漏洞Copy Fail

來源：https://www.ithome.com.tw/news/175531

Linux系統核心存在高風險漏洞Copy Fail，本機使用者能藉此奪取root權限，廣泛影響多個主流Linux版本

資安廠商Theori公開揭露存在於Linux系統核心長達9年的高風險漏洞CVE-2026-31431，這個嚴重性評分為7.8分弱點，被命名為Copy Fail，該公司特別設立專屬網站說明問題的成因與影響範圍，同時提供概念驗證程式，促使大家盡快因應迫切的危機。根據資安廠商Sysdig的整理，以系統核心而言，受此漏洞影響的版本，包含：4.14 到7.0-rc版、6.18.22之前的6.18.x版、6.19.12之前的6.19.x版，換言之，已修補的版本為7.0版、6.19.12版、6.18.22版。

Ubuntu與Canonical網站疑似遭遇DDoS攻擊而停擺

在5月1日，維護Ubuntu Linux作業系統的廠商Canonical，旗下有多個網站面臨DDoS攻擊，發動這波行動的是親伊朗的駭客組織，自稱「伊拉克伊斯蘭網路抵抗組織—313團隊（The Islamic Cyber Resistance in Iraq – 313 Team）」，他們透過即時通訊軟體Telegram的頻道宣布，攻擊將持續4個小時。根據Canonical與Ubuntu服務狀態網站的公告，以及Canonical與Ubuntu的社群網站X（原 Twitter）最新貼文，他們表示，網站基礎架構正面臨持續且跨越多國的網路攻擊，Canonical正在處理這起事故。然而，他們至今尚未發布DDoS攻擊導致網站服務中斷的正式聲明。

cPanel近期揭露9.8分重大漏洞已存在濫用活動

網站主機管理軟體供應商cPanel揭露與修補重大漏洞CVE-2026-41940，這個嚴重程度高達9.8分的身分驗證繞過漏洞，影響管理主機上個別租用帳號的cPanel、管理整臺代管主機的WHM（WebHost Manager），以及建立在cPanel與WHM架構上的WordPress專用版主機管理平臺WP2（WordPress Squared）。4月30日美國網路安全和基礎設施安全局（CISA）宣布，將CVE-2026-41940加入已知遭利用漏洞清單（KEV）。

cPanel重大漏洞出現濫用的概念驗證框架，全球網際網路尚有兩萬多臺伺服器遭駭

供應網站主機代管相關軟體的WebPros，擁有可簡化Linux系統管理的cPanel與WHM（WebHost Manager），在4月28日揭露與修補9.8分重大漏洞CVE-2026-41940，5月1日GitHub出現濫用CVE-2026-41940的概念驗證框架cPanelSniper，由資安研究員Yunus Emre Öztaş發布。根據Shadowserver基金會的儀表板顯示，4月30日遭駭的IP位址總數為44,089個，5月1日遭駭的IP位址總數降至20,771個。

cPanel重大漏洞釀災！勒索軟體Sorry已濫用此弱點對多個網站發動攻擊

資安新聞媒體Bleeping Computer收到許多消息來源指出，有多個駭客組織已經濫用cPanel與WHM重大資安漏洞CVE-2026-41940，滲透多臺伺服器並部署以Go語言寫成的加密勒索軟體Sorry。這支惡意軟體是專門針對Linux系統設計的加密勒索軟體，所有遭到加密的檔案附檔名都會加上.sorry，遭殃的每個資料夾都會出現勒索說明檔README.md，指示受害者透過加密匿名即時通訊工具Tox聯繫攻擊者，協商贖金金額。

資安公司Trellix傳出原始碼遭未經授權存取

資安公司Trellix近日在網站發布公告，表示他們部分原始碼的儲存庫遭到未經授權存取，該公司察覺後隨即尋求資安鑑識專家協助，並通報執法部門。根據初步調查結果，目前發布流程尚未受到影響，原始碼亦無遭到利用的跡象。值得留意的是，這份公告內容並未透露進一步的細節，沒有說明資料外流的範圍，也沒有透露受影響的產品，以及攻擊者可能的身分。

英國生物樣本庫經由內部研究人員外洩，50萬筆記錄流入阿里巴巴兜售

全球最大生物樣本資料庫UK Biobank近日發生重大資安事件，參與研究的人員導致50萬筆所有參與者的生物資料外洩，並放上中國電商平臺阿里巴巴兜售。UK Biobank執行長Rory Collins上週向參與者公開說明，在英國和中國政府介入下，已要求阿里巴巴將這些資料集下架，這些資料未被出售。UK Biobank指出，該事件並非出於網站漏洞或被駭，而是來自具有合法存取權的研究人員。UK Biobank指出這是這些學術機構的明顯違約行為，這些研究機構及牽涉的研究人員已經被吊銷存取。

蘋果App Store驚見假錢包，FakeWallet攻擊竊取助記詞

資安公司卡巴斯基近日揭露，攻擊行動FakeWallet已滲透蘋果App Store，出現至少26款偽裝成主流加密貨幣錢包的應用程式。這些App表面看似正常，但實際上會將使用者導向仿冒的下載網頁，誘導安裝被植入惡意程式的錢包，或透過釣魚介面騙取助記詞（Recovery Phrase）與私鑰，進而竊取加密資產。這波攻擊主要出現在中國區App Store，由於多數官方錢包無法在中國區App Store上架，使駭客得以利用此情境展開攻擊。

研究人員揭露AI程式碼開發工具Cursor設計缺陷，可能導致開發者API金鑰外洩

資安研究機構LayerX近日發布報告，揭露廣獲使用的AI程式碼開發工具Cursor存在設計缺陷，攻擊者可透過擴充套件存取用戶的API金鑰與連線權杖（Session Token），他們已於2月通報此問題，但直到4月底仍未見修補，提醒用戶安裝第三方擴充套件時須提高警覺。LayerX將這項攻擊手法命名為「CursorJacking」，評估其CVSS嚴重性為8.2分。

數發部揭露AI風險分類框架草案最新進展，採分類而非分級管理設計，涵蓋三大類18小類AI風險

數發部政務次長侯宜秀在最近一場活動中首度揭露了政府AI風險分類框架的最新進展，強調臺灣《人工智慧基本法》 和歐盟AI法案最重要的差異之一，在於臺灣對於AI風險的管理，採取分類概念，而不是分級的概念。臺灣的《人工智慧基本法》設計了一個三層式的AI風險治理框架，包括了三個層面，第一層定義了AI發展原則，包括7項全球普遍接受的AI發展原則，兼顧創新和人權保障的平衡。在七大原則之下的第二層是，數發部負責訂定的AI分類風險框架草案，最下方的第三層則是各部會的治理工作。

借鏡ATT&CK經驗，MITRE發表F3金融反詐欺框架

金融詐欺每年造成數十億美元損失，風險程度已不亞於傳統網路攻擊。長期推動MITRE ATT&CK並剖析攻擊鏈的美國非營利組織MITRE，旗下威脅情資驅動防禦中心（CTID）於2026年4月發布MITRE Fight Fraud Framework（F3），希望以共享的對手行為框架，協助金融機構更有效理解、偵測與預防詐欺活動。MITRE試圖打破隔閡，將詐欺分析師與資安防禦者拉到同一張作戰地圖。畢竟ATT&CK已是全球廣泛採用的對手戰術與技術知識庫，F3則建立在這套成熟基礎上，進一步延伸到金融詐欺場景。

Anthropic公布Claude Security供企業掃描漏洞

Anthropic發表Claude Security測試版，可供企業掃描易被AI濫用的軟體漏洞並且生成建議修補程式，或是由內建Claude模型的第三方安全工具修補。Claude Security原名為Claude Code Security，設計主旨是協助企業找出能被AI濫用的漏洞，Anthropic最早在二月提供少數企業試用，並於上週擴大推出並改名Claude Security，現在以公開Beta版提供Claude Enterprise用戶試用。Claude Security以Claude Opus 4.7為基礎，可透過claude.ai存取，檢視企業軟體程式碼的漏洞、建議修補程式，或是發現傳統方式找不到的複雜程式碼問題。

OpenAI推出進階帳號安全機制，為ChatGPT與Codex導入實體金鑰登入並支援用戶退出模型訓練

OpenAI於4月30日宣布為ChatGPT及Codex用戶提供支援實體金鑰，關閉以電子郵件和SMS回復帳號、自動將用戶退出模型訓練等確保帳號安全性。OpenAI也宣布，最新模型GPT 5.5-Cyber即將開放特定安全廠商存取。這一波安全新措施是OpenAI強化AI網路安全計畫的一環。新增的進階帳號安全（Advanced Account Security）核心在以新措施強化帳號登入防護、減少執行階段攔截、用戶退出模型訓練。首先，OpenAI和實體安全金鑰業者合作，支援以YubiKey等產品登入帳號。

螢幕連線也可能被駭？英國NCSC授權新型HDMI/DP硬體防護技術

螢幕與電腦之間的顯示連線，長期被視為「只是輸出畫面」的通道，但英國國家網路安全中心（NCSC）指出，這段連線同樣可能被攻擊者當成入侵管道，成為潛在攻擊面。為此，NCSC在4月22日宣布自家研發成果已商品化，推出全球首款獲得NCSC授權的硬體防護商業產品SilentGlass，標榜在HDMI與DisplayPort顯示連線上，主動阻擋非預期或惡意行為，將「筆電與螢幕之間的連線」重新納入企業能夠治理的安全邊界。

Fortinet資安平臺邁入8.0，擴增AI控管與量子安全防護特色

在2026年上半舉行的全球與臺灣年度用戶大會期間，資安廠商Fortinet針對支撐其安全織網架構（Fortinet Security Fabric）的作業系統平臺FortiOS，宣布推出最新版本8.0，主打三大特色：AI驅動的安全防護、次世代的安全存取服務邊緣（SASE），以及量子安全防護功能，並於4月21日正式推出。相較於既有的FortiOS，8.0版最顯著的差異在於，針對生成式AI與自主AI代理的使用，提供更深層的安全控管，企業對於整體網路環境的AI使用行為，具有更強大的掌握、治理與防護能力。

【2026 企業資安大調查】一張圖看2026年一般製造業企業資安風險

在2026年iThome CIO&CISO大調查中，一般製造2026年的首要風險和次要風險，與高科技製造業相同，「網路釣魚/社交工程手段」是未來一年的首要資安威脅，次要風險包括「商業郵件詐騙」和「勒索軟體資安事故」，不過值得注意的是，一般製造業第一象限高衝擊高風險的項目，卻比高科技製造業還要更多，包括4項系統類風險和6項人員類風險和一項AI類的風險。

【2026 企業資安大調查】一張圖看2026年服務業企業資安風險

臺灣服務業2026年得特別防備的首要風險是「網路釣魚/社交工程手段」，次要風險則包括了「勒索軟體資安事故」和「資安漏洞濫用」，另外，服務業得留意多項人員面的風險，包括「商業郵件詐騙」、「瀏覽惡意網站」、「身分冒用」、「個人資料外洩」和「機敏資料外洩」，都進入了第一象限。由於服務業CIO今年特別重視員工賦能和IT維運效能的提升，但在加速衝刺之際，也得特別留意與人員相關的資安威脅。

【2026 企業資安大調查】一張圖看2026年醫療業企業資安風險

2025年臺灣醫界歷經了嚴重的勒索軟體攻擊事件之後，每一家醫院紛紛把勒索軟體攻擊視為頭號資安威脅。但在2026年的醫療業資安風險圖中，網路釣魚/社交工程手段的發生可能性，比勒索軟體資安事件更高，成了醫療業的兩大首要風險，也是醫院今年特別要防備的頭號威脅。值得留意的是，醫院的挑戰不只這兩項，在高衝擊高風險的第一象限中，包括了7項系統類資安威脅和6項人員類資安威脅，都是得投入一定資源防備的項目。

【2026 企業資安大調查】一張圖看2026年政府學校資安風險

「網路釣魚/社交工程手段」和「資安漏洞濫用」是臺灣政府機構和學校未來一年必須優先防備的兩大首要威脅，其次則是對政府網站的「DDoS攻擊」。值得注意的是「軟體供應鏈資安事故」的威脅，在政府學校特別嚴峻，已經進入了高衝擊發生風險高的第一象限。雖然，政府學校積極擁抱生成式AI，但是AI類資安風險，仍被許多政府學校CIO列為未來一年比較不可能遭遇的風險，甚至是衝擊低的風險。這也是跟其他產業不太一樣之處。

臺灣資安市場地圖2026年4月更新版出爐

臺灣資安市場地圖上周發布4月更新版，本次新增6個品牌，包含中華數位代理的Action1、Hudson Rock，紘瑒科技（Cloudforce）自有品牌與代理的CloudCoffer、Semgrep，以及義大利嵌入式資安軟體廠商Exein。

在廠牌商標更新的部分，這次更換的廠牌，以臺灣廠商而言，有峻盟科技（Billows）、區塊科技（BlockChain Security，BCS）、基點資訊（Cellopoint）、池安量子資安（Chelpis Quantum）、誠雲（CT-Cloud）、恆智資安（DoQubiz）、中華龍網（DragonSoft）、杜浦數位安全（TeamT5）；至於國際廠商，有Anomali、BitSight、Black kite、Checkmarx、Check Point、Cloudflare、CyberArk、Cynomi、

Delinea、TrendAI。

近期資安日報

【4月30日】NPM供應鏈攻擊Mini Shai-Hulud鎖定多款SAP套件

【4月29日】LiteLLM重大漏洞公布一天半出現攻擊活動

【4月28日】資安院宣布第二屆漏洞獵捕活動，為公務機關最常使用的軟體抓漏

'

五眼聯盟發布AI代理人指引，要求防範權限擴張與自主行動風險

來源：https://www.ithome.com.tw/news/175530

由美國、英國、加拿大、澳洲及紐西蘭等5個英語系國家組成的情報共享聯盟，上週五（5/1）共同發布了「謹慎採用代理式AI服務」（Careful Adoption of Agentic Artificial Intelligence Services）指引，提醒各組織在導入代理式AI系統時，應先評估其自主行動能力帶來的資安風險，並建立相應的安全控管。

代理式AI系統是由一個或多個代理人組成，通常依賴大型語言模型來理解環境、進行推理、做出決策並採取行動。和傳統生成式AI不同，代理式AI不只是產生文字、圖片或影音，而是能串接工具、外部資料、記憶與工作流程，自主完成目標，甚至建立子代理人執行任務。

此一指引是針對政府、關鍵基礎設施及大型組織所發布，提醒它們在導入代理式AI之前，必須先評估其資安風險。主要原因之一為代理式AI繼承了大型語言模型原有的風險，例如提示注入、越獄與幻覺；同時，因為它會連接工具、資料來源、記憶庫與其他系統，每增加一個元件，就擴大攻擊面。若代理人可執行指令、寄送郵件或存取內部系統，攻擊者便可能利用這些權限發動更複雜的攻擊。

指引將代理式AI風險分為權限風險、行為風險、結構風險與問責風險。其中，權限風險包括過度授權、權限蔓延、身分冒充，以及代理人被劫持；行為風險包括目標錯置、欺瞞行為、不可預期能力與惡意操縱；結構風險來自多代理人、工具與第三方元件的交互依賴；問責風險則是代理人決策過程不透明，事故發生後難以追查責任。

因此，組織在設計階段就應限制代理人可存取的脈絡及資料來源，預先設定行動邊界；亦應建立明確的指令層級，並在執行高風險動作前加入人工監督；每個代理人都應具備獨立身分，以利追蹤、限制或停用；不論是代理人之間，或是代理人與服務之間的API呼叫，都應經過強身分驗證，並採最小權限原則，以避免權限擴張。

在開發階段則應進行對抗測試、紅隊演練、沙盒測試、輸入驗證與第三方元件管理。於部署階段應先進行威脅建模，並分階段導入，從低風險任務開始，逐步提高自主程度，同時設下防護欄與隔離機制。在營運階段也必須持續監控代理人的行為、工具呼叫、權限變更、輸出結果與異常模式。

指引最後指出，代理式AI雖具備強大的自動化效益，但因其可跨工具、資料與環境自主行動，帶來的風險已超越傳統軟體或生成式AI。因此，組織不應只追求效率，而應優先考量韌性、可回復性及風險限制。

'

Anthropic傳計畫採購英國AI新創公司Fractile的晶片

來源：https://www.ithome.com.tw/news/175527

The Information報導，Anthropic計畫向英國AI晶片新創公司Fractile採購晶片，以降低AI推論應用的高昂成本。

Fractile由英國牛津大學博士Walter Goodwin於2022年創立，專注開發推論用的整合型晶片，其團隊成員據稱曾任職於Graphcore、Nvidia及Imagination Technologies等業者。Tom's Hardware報導Fractile 2024年7月完成了1,500萬美元的種子輪融資，並正計畫再募資2億美元，使其市值突破10億美元。

和Nvidia的GPU架構的運算與記憶體元件分開不同，Fractile使用RISC-V晶片及SRAM（靜態隨機存取記憶體），並將運算及記憶體放在同一顆die（裸晶）上，好處是可消除資料在分開的晶片和記憶體上資料搬移造成的延遲性和耗能，前者尤其是現行GPU/DRAM設計執行AI推論的主要痛點。該公司聲稱，其新設計執行LLM推論可望比Nvidia快100倍，而僅需1/10成本。這家業者曾表示，計畫2027年將晶片推向市場。

和OpenAI或xAI等自建資料中心不同，Anthropic都是使用第三方運算平臺，包括Nvidia GPU、Amazon Trainium以及Google TPU。採購Fractile的晶片反映Anthropic在業務衝刺下對運算需求高漲。截至2025年底Anthropic年營收由前一年激增40億美元來到300億美元。報導分析，Anthropic可能希望藉此分散採購來源，以降低對單一產品的依賴。

因應AI推論的技術需求，其他新創晶片業者如Groq及Cerebras，也都發展SRAM或近記憶體架構的晶片技術。

'

cPanel重大漏洞災情蔓延，資安機構揭露駭客藉此竊取東南亞政府資料

來源：https://www.ithome.com.tw/news/175524

網站主機管理軟體cPanel與WHM（WebHost Manager） 的重大漏洞CVE-2026-41940，風險正迅速增加中，資安研究機構Ctrl-Alt-Intel近日發布報告揭露，他們發現有攻擊者利用此漏洞作為入口，針對多個東南亞國家政府系統發起攻擊。

從4月30日開始，我們開始追蹤cPanel與WHM重大漏洞CVE-2026-41940的消息，濫用此漏洞的訊息也陸續傳出。美國網路安全和基礎設施安全局（CISA）於4月30日宣布，將其納入已知遭利用漏洞清單（KEV），Shadowserver基金會也在5月1日表示偵測到大量利用此漏洞的攻擊行為。而Ctrl-Alt-Intel則發現攻擊者利用此漏洞，對東南亞多個政府系統發起攻擊。

Ctrl-Alt-Intel的報告指出，他們觀察到攻擊者利用CVE-2026-41940漏洞，入侵菲律賓、寮國多個政府與軍方系統的跡象，還在印尼國防部門訓練入口網站發現攻擊者的自訂漏洞攻擊程式。攻擊者利用這個漏洞取得初始存取權限後，便橫向移動至其他系統，隨後從這些系統收集資料，然後將受害系統的資料回傳至攻擊者控制的伺服器上。而在外洩資料樣本分析中，Ctrl-Alt-Intel發現其中混合多個來源的資料，包括疑似中國鐵路電氣化委員會的4.37GB資料，其中包括財務、個資等敏感資料，意味著部份中國機構可能也是受害者之一。

'

Wireshark發布4.6.5版修補逾40項漏洞，AI輔助通報加速風險揭露與修補

來源：https://www.ithome.com.tw/news/175494

廣泛用於網路封包擷取、檢視與分析的開源封包分析工具Wireshark，近日釋出4.6.5版本，除改進功能、更新協定外，還修補四十多項漏洞 。Wireshark基金會在公告中特別指出，這次改版所修補的漏洞數量大增，源自近期透過AI輔助通報漏洞的應用。

這次Wireshark修補的漏洞中，最嚴重的是以下這4個。 首先是CVE-2026-5402，CVSS嚴重性評分達8.8分，為TLS協定解析器的堆積溢位問題。CVSS嚴重性7.8分的漏洞有三個，分別是：CVE-2026-5403，是關於SBC音訊編碼解碼器當機的問題；CVE-2026-5405，屬於RDP協定解析器當機的問題；CVE-2026-5656，是關於設定檔匯入功能（Profile Import Function）的路徑遍歷（Path Traversal）弱點。這4個漏洞都可能導致拒絕服務，甚至在特定條件下被用於遠端執行任意程式碼攻擊，只需透過特製封包或惡意檔案，攻擊者就可能觸發這些漏洞 。

由於Wireshark普遍用於監控與分析網路流量問題，許多網管、資安人員與開發者都會採用，通常在高權限下執行，因而相關漏洞可能造成嚴重後果，用戶應儘速更新到新版本，以降低風險。

'