聯發科啟用PUE1.1的高能效AI研發資料中心，以浸沒式冷卻與再生能源打造永續算力

來源：https://www.ithome.com.tw/news/175617

隨著生成式AI與高效能運算需求快速攀升，AI資料中心的能源消耗與散熱問題，已成為企業邁向永續發展的重要挑戰。聯發科今天(5/7)宣布啟用位於銅鑼科學園區的研發資料中心，不僅導入以Nvidia DGX B200平台打造的Nvidia DGX SuperPOD運算叢集，大規模採用單相浸沒式冷卻技術，以提升能源效率與降低冷卻耗能，強化AI研發基礎設施的永續能力。

聯發科表示，該研發資料中心自2023年起依循綠建築的鑽石級標準規畫建置，並採模組化三期設計，第一期已於2026年正式啟用，未來將視AI業務成長需求逐步擴充。

導入浸沒式冷卻技術，PUE降至1.1

面對AI模型訓練所帶來的大量算力與散熱需求，聯發科此次在銅鑼研發資料中心，大規模導入「單相浸沒式冷卻技術」。該技術將伺服器直接浸泡於非導電絕緣液中運作，透過液體快速帶走熱能，相較傳統氣冷方式，可顯著降低冷卻系統耗電。

這項技術使資料中心能源使用效率（PUE）最佳化至1.1，冷卻效率則提升達2.6倍。除了降低能源消耗，也能減少伺服器風扇運轉所帶來的噪音、震動，以及灰塵問題，進一步提升設備穩定性與使用壽命。

在AI運算能力方面，該資料中心以Nvidia DGX SuperPOD為核心，支援大規模AI模型訓練與推論需求，每月最高可處理1,380億個Token，可完成超過2.4萬次模型訓練迭代。聯發科也導入Nvidia NIM、TensorRT-LLM等軟體架構，將推論速度提升40%、Token傳輸量提升60%，作為邊緣AI與雲端AI產品研發後盾。

聯發科總經理暨營運長陳冠州表示，AI產業正帶來新的成長機會，聯發科持續投資高效能運算平台、Wi-Fi 7/8、5G衛星通訊、6G、先進製程與先進封裝等關鍵技術，新資料中心將是支撐未來AI研發的重要基礎建設。

結合太陽能、再生水與綠建築設計

除了提升算力效率，聯發科也將節能減碳與資源循環納入資料中心設計。

在能源管理上，聯發科於資料中心屋頂建置235kW太陽能發電系統，年發電量可達28萬度電，約相當於67個家庭年用電量。供電系統則比照晶圓廠等級設計，全區採2N雙備援電力架構與全載備援發電機組，以維持高穩定性的AI研發環境。

水資源管理方面，導入銅鑼科學園區再生水，供應廠區空調與冷卻系統使用，並透過循環設計將再生水作為主要冷卻介質，降低對天然水資源的依賴。

聯發科承諾2050年淨零排放目標後，持續在全球營運據點推動節能減碳措施，新的研發資料中心啟用，代表其永續AI算力的推策略，也是資料中心從單純追求算力規模化，向兼顧能源效率、資源循環與永續的轉型發展。

'

資安研究機構揭露針對cPanel重大漏洞的攻擊激增，用戶需立即修補

來源：https://www.ithome.com.tw/news/175616

資安研究機構Censys近日發布報告，指出Linux主機管理平臺cPanel/WHM重大漏洞CVE-2026-41940公開後，大量cPanel主機已成為攻擊目標，自5月1日起，網際網路上相關惡意活動明顯增加，用戶需立即採取修補措施。

CVE-2026-41940是影響cPanel與WHM的繞過驗證漏洞，Censys表示，該漏洞於4月28日公開後不到24小時，便觀察到大量攻擊行動，他們與資安威脅情報廠商GreyNoise合作，透過後者的掃描資料發現，5月1日是攻擊活動的分水嶺，在此之前，GreyNoise每日標記的近8萬臺惡意主機中，cPanel所占比例僅有幾十到上百臺。但5月1日單日一舉新增約1.9萬臺惡意主機，其中cPanel主機有1.5萬臺，占新增惡意主機近80%，顯示這次惡意主機數量激增並非尋常現象，而是針對cPanel的攻擊活動所導致。

Censys的分析指出，攻擊者主要透過兩種手段來攻擊cPanel主機，一為在入侵系統後，部署Mirai變種惡意軟體，另一為使用變種的Sorry勒索軟體。而依照Censys自身的資料，他們目前偵測到大約9,500臺cPanel主機涉及惡意活動，多集中於虛擬私人伺服器（VPS）與雲端服務供應商，包括DigitalOcean、OVH與Contabo等，而且他們還觀察到，大約7,000臺cPanel主機已出現遭Sorry勒索軟體感染的跡象。相對於總數超過105萬臺的cPanel主機，目前受影響主機數量雖然有限，但Censys警告攻擊活動仍在持續擴大，cPanel用戶應立即更新修補程式，以降低風險。

'

【資安日報】5月7日，駭客聲稱提供OpenClaw用戶擴充功能散布惡意軟體

來源：https://www.ithome.com.tw/news/175615

惡意OpenClaw技能套件被用於散布Remcos與GhostLoader

資安廠商Zscaler發現，有人從3月開始透過惡意OpenClaw技能套件DeepSeek-Claw，針對Windows、macOS、Linux用戶散布惡意程式，藉此竊取憑證、瀏覽器Cookie、加密貨幣錢包，以及API金鑰等機敏資料。根據作業系統的不同，此套件將會透過MSI安裝檔，在Windows電腦植入Remcos RAT，駭客使用具備合法簽章的GoToMeeting執行檔側載Shellcode，並動態關閉事件追蹤（ETW）與防惡意程式掃描介面（AMSI）功能，然後下載最終的有效酬載並執行。

北韓駭客ScarCruft利用安卓惡意軟體BirdCall攻擊中國境內的脫北者

資安廠商ESET揭露北韓駭客ScarCruft（APT37）鎖定中國延邊地區的攻擊行動，他們透過供應鏈攻擊滲透當地的遊戲平臺，於Windows與Android版遊戲植入後門程式BirdCall。ESET指出，BirdCall以往只有針對Windows用戶，Android版本是這次首度發現，駭客實作Windows版的部分指令與功能，收集聯絡人、簡訊、通話記錄、檔案與金鑰。除此之外，該惡意程式還能進行螢幕截圖，並錄製週遭的聲音。Android版BirdCall是駭客最近幾個月才積極開發，ESET一共找到7個版本，最早出現於2024年10月。

為掩護網路間諜活動，伊朗駭客MuddyWater利用勒索軟體Chaos製造混亂

資安公司Rapid7揭露今年初發生的勒索軟體Chaos活動，表面上看起來是勒索軟體租用服務（RaaS）旗下打手的活動，但根據鑑識的結果，發現這其實是用來混淆真正攻擊的假旗行動（False Flag），Rapid7根據程式碼簽章、C2基礎設施等證據，認為背後的攻擊者身分，是隸屬伊朗情報與國家安全部（MOIS）的國家級駭客組織MuddyWater（Seedworm）。

微軟Phone Link應用程式被濫用，惡意軟體CloudZ竊取手機簡訊與OTP

思科威脅情報團隊Talos揭露惡意程式CloudZ RAT的攻擊行動，駭客從今年1月開始，使用CloudZ RAT及其外掛程式Pheno，企圖竊取受害者的憑證與動態密碼（OTP）。此惡意程式特別的地方，在於濫用Windows作業系統內建的「手機連結（Phone Link）」應用程式，挾持電腦與手機之間的橋接機制，從而在無須於手機植入惡意程式的情況下，攔截手機上的簡訊或動態密碼等敏感資料。為了迴避偵測，CloudZ RAT還會在系統記憶體執行特定的功能函式，檢查是否在沙箱或是除錯環境。

惡意軟體Quasar Linux結合後門與Rootkit功能，鎖定開發人員而來

趨勢科技揭露Linux惡意軟體Quasar Linux（QLNX），此為功能非常複雜的惡意程式，同時具備遠端存取木馬（RAT）與進階迴避偵測的能力、鍵盤側錄、挖掘憑證，同時還嵌入了PAM後門與LD_PRELOAD機制的Rootkit的原始碼。特別的是，此惡意程式還會動態編譯Rootkit的共用物件與PAM後門模組，這樣的做法並不常見。值得留意的是，此惡意程式特別針對軟體供應鏈當中，開發者與DevOps相關的憑證，能讓攻擊者以受害者的名義，於NPM或PyPI上架惡意套件、存取雲端基礎設施，或是透過CI/CD管線尋找其他目標。

為深度學習框架PyTorch打造的PyPI程式庫Lightning遭供應鏈攻擊

資安公司Aikido、OX Security、Socket、StepSecurity提出警告，熱門PyPI套件Lightning遭遇供應鏈攻擊，駭客於4月30日上架惡意版本2.6.2與2.6.3。值得留意的是，這些資安公司不約而同指出，這起事故是Mini Shai-Hulud的延伸。對此，Lightning開發團隊證實此事，並表示他們的帳號疑似遭到蠕蟲程式完全入侵，後續發布完整的資安公告指出，若是用戶不慎安裝有問題的套件，應認定開發環境已遭入侵，立即輪換可能被洩露的憑證與機密資料，並採取相關應變措施。

Intercom遭到供應鏈攻擊Mini Shai-Hulud波及

資安公司OX Security、Socket、StepSecurity發現，NPM套件intercom-client近期發布的7.0.4版遭到滲透，此為Intercom用戶端訊息平臺的Node.js軟體開發套件（SDK），一旦開發人員不慎安裝，就會從GitHub下載未經驗證的Bun二進位檔案；另一個駭客使用的惡意檔案大小達到11.7 MB，此檔案為高度混淆處理的JavaScript檔案，用途是從環境變數與本機檔案收集Kubernetes與Vault的憑證，然後經加密處理並經由GitHub API流出。

研究人員警示駭客濫用Amazon SES發動釣魚攻擊，合法雲端郵件服務成為繞過防護手段

資安業者卡巴斯基近日發布報告指出，駭客正在濫用Amazon旗下雲端郵件服務Simple Email Service（SES）發動釣魚攻擊，利用受信任的雲端基礎設施繞過傳統郵件過濾機制，較過去的釣魚攻擊更難以防範。攻擊者是透過用戶洩露的AWS IAM金鑰，來取得用戶的SES帳戶存取權限，然後利用合法帳戶發送釣魚郵件。問題源自開發人員經常將這些金鑰錯誤上傳到公共GitHub程式碼庫、環境設定檔、Docker映像、或是公開的S3儲存桶中，而導致外洩，攻擊者可使用自動化工具掃描這些洩露的金鑰，一旦藉此權限，便可大規模發送釣魚郵件。

中國內容管理系統MetInfo存在重大漏洞，已出現積極利用的攻擊活動

一個月前，中國網站管理公司米拓信息的內容管理平臺（CMS）米拓（MetInfo）近期修補資安漏洞CVE-2026-29014，有資安公司發現，實際攻擊活動數週後出現、5月初顯著增加。威脅情報公司VulnCheck資安研究副總裁Caitlin Condon提出警告，因為他們4月25日開始察覺漏洞利用活動，當時攻擊者針對少量美國與新加坡主機下手，先確認目標伺服器是否存在漏洞並進行利用。但到了5月1日，該公司看到位於新加坡的密罐陷阱出現漏洞利用活動大幅增加的現象，攻擊來源大多位於中國與香港。

Telegram Mini Apps被用於假冒服務詐騙

資安業者CTM360發布資安研究報告，揭露名為FEMITBOT的詐騙基礎架構。攻擊者濫用Telegram Mini Apps與Telegram Bot，在Telegram內建立假冒加密貨幣、金融、AI、串流媒體與加密貨幣挖礦池的互動頁面，誘導使用者投入資金，部分網站還會提供Android APK檔案散布惡意程式。攻擊者透過機器人（Bot）誘導使用者啟動Mini App，再於Telegram內建WebView載入攻擊者控制的網站，使假冒服務看起來像是在Telegram內正常執行。

Braintrust遭未授權存取，要求用戶輪換AI供應商的API金鑰

AI可觀測性平臺Braintrust確認內部AWS帳號發生未授權存取事件，受影響環境存有客戶在Braintrust設定的AI模型供應商API金鑰。Braintrust表示事件目前已受控制，並要求客戶撤銷及重新產生儲存在平臺上的相關金鑰，以降低後續被濫用的風險。這起事故的發現，源自該公司在5月4日接獲有AWS帳號出現可疑行為的通報，調查後確認發生未授權存取。Braintrust並未說明是否有客戶金鑰實際外流，僅表示已與部分受影響客戶溝通，至今尚未發現更廣泛暴露的證據。

思科網路管理平臺存在阻斷服務漏洞，IT人員需手動重開機才能恢復運作

5月6日思科發布資安公告，指出旗下的Crosswork Network Controller（CNC）與Network Services Orchestrator（NSO）平臺存在資安漏洞CVE-2026-20188，一旦遭到利用，攻擊者可在未經身分驗證的情況下，造成CNC與NSO出現服務中斷（DoS）的現象，CVSS風險評為7.5分，危險程度屬高風險等級。值得留意的是，IT人員必須手動重新啟動系統，才能從服務中斷的狀態中恢復。

Google發布Chrome 148，修補127個資安漏洞

5月5日Google針對電腦版與Android版用戶，推出148版Chrome更新，總共修補127個資安漏洞，數量比前一次Chrome 147安全更新修補的30個漏洞多出不少。其中，這次有3個漏洞CVE-2026-7896、CVE-2026-7897、CVE-2026-7898被評為重大等級而成為本次更新的焦點。用戶應儘速將電腦版瀏覽器更新為148.0.7778.96或148.0.7778.97、Android版升級為148.0.7778.120修補。

Java網路應用程式框架Apache MINA修補兩項重大漏洞，未更新可能導致遠端執行程式碼攻擊

Java網路應用程式框架Apache MINA專案近日發布資安公告，揭露兩項重大漏洞，可能導致攻擊者在未經驗證的情況下執行任意程式碼，建議用戶儘速更新到修補版本，以降低風險。這次修補的兩項Apache MINA漏洞中，第1項是CVE-2026-42778，CVSS嚴重性評分達9.8分，源自先前對CVE-2024-52046漏洞的修補不完全，由於類別名稱允許清單（classname allowlist）在驗證程序中過晚執行，攻擊者可發送特製的惡意序列化資料，透過反序列化處理程序觸發漏洞，進而從遠端執行任意程式碼。

Infoblox完成併購Axur，強化外部威脅防護能力

DDI與DNS安全解決方案廠商Infoblox近日宣布完成併購Axur，藉此擴展因應外部威脅的防護能力，並結合後者的技術，推出數位風險防護服務（Digital Risk Protection Services，DRPS），作為其風險暴露管理（Exposure Management）框架的首個元件。Infoblox表示，這次併購將能整合雙方互補的能力，Axur公司專攻基於AI技術的外部威脅偵測與防護，可為主要針對DNS偵測與威脅攔截的Infoblox產品線，增強抵禦外部網路威脅的能力。

【臺灣資安大會直擊】衛福部推SBOM填補AI供應鏈漏洞、醫療主權雲八大方針正式版近期將出爐

衛福部資訊處處長李建璋5月6日在臺灣資安大會醫療資安論壇揭露，衛福部下一步將在負責任AI中心推動導入軟體物料清單（SBOM）機制，降低醫療AI軟體供應鏈漏洞風險。同時，衛福部延續今年初與微軟、Google雲端和AWS等三大公有雲業者的醫療主權雲八大方針溝通，近期將公布正式版本，醫院未來選擇公有雲服務時雖會多出5%至15%的成本費用，但可享有更完善的保障，如加密金鑰由醫院掌握、資料未經醫院授權不得二次利用等。

【臺灣資安大會直擊】2026年底9成資訊都是AI撰寫？趨勢科技揭示AI演進下的4大內外部風險

今年臺灣資安大會上，趨勢科技企業資安事業群（TrendAI）威脅研究總監Ryan Flores特別針對AI浪潮，剖析企業正處於進退維谷的內憂與外患之間。Ryan Flores的說明可歸納為4大要點。在內部風險方面有1項重要態勢：AI系統本身也會存在需要修補的漏洞，近兩年來的AI漏洞暴增，2024年有1,583個，2025年有2,130個；而在外部威脅上則有3項重要態勢，包括內容生成成本大幅降低、身分冒充變得可規模化，以及攻擊邏輯從傳統惡意程式轉為更難防範的惡意提示詞。

【臺灣資安大會直擊】合勤資安長游政卿：歐盟CRA上路倒數，產品安全成供應鏈生死線

歐盟網路韌性法案（Cyber Resilience Act，CRA）進入實施倒數，企業的產品資安合規正從「法遵議題」轉變為「供應鏈存亡關鍵」。在臺灣資安大會上，合勤投控資安長游政卿指出，CRA將在未來兩年內引發全球供應鏈重整，產品安全不再只是加分項，而是企業能否持續參與國際市場競爭的基本門檻。游政卿強調，與AI等快速變動的技術趨勢不同，CRA是具體且時程明確的法規要求，預計在2027年12月將會全面生效，企業在2026年就進入關鍵準備階段。這不是未來的問題，而是未來兩年內就會發生的供應鏈洗牌。

【臺灣資安大會直擊】沒弄清楚DevSecOps流程反模式，靠AI也解不了四大根本問題

不少企業看上GAI強大的資料處理能力，想要用來處理繁雜的資安作業。針對這波企業想用AI來強化資安的浪潮，靖本行策執行長盧建成認為，AI只是讓問題變快，不代表責任或決策變得更清楚。過去幾年企業最夯的DevSecOps，已成企業開發的主流方法，不少企業開始想用AI解決DevSecOps成效不彰的困境。但是，威力強大的AI工具，雖然可以彌補IT人員的能力不足，不過並不代表能承接責任。盧建成歸納，責任定義、風險接受標準、例外與特簽機制、治理與追蹤，這四件事，AI解決不了。

微軟新款機密虛擬機器上陣，首度導入開源VM內部隔離技術

去年9月，微軟Azure針對一般用途與記憶體最佳化等兩大雲端運算服務，推出基於AMD第四代EPYC處理器的機密虛擬機器：DCasv6系列與ECasv6系列。時隔5個月，基於英特爾第五代Xeon Scalable處理器的另一批機密虛擬機器：DCesv6系列與ECesv6系列，今年2月也宣告進入正式上線階段。受益於英特爾Xeon處理器標榜的Intel Trust Domain Extensions（TDX）技術，它們也藉此支援微軟與兩大處理器業者合作的Guest虛擬機器遠端見證（Remote Attestation）架構，成為率先響應英特爾信任驗證技術（Intel Trust Authority）的雲端服務業者。

近期資安日報

【5月6日】Apache修補網頁伺服器高風險漏洞

【5月5日】2026臺灣資安大會正式登場

【5月4日】Linux系統核心存在長達9年的高風險漏洞Copy Fail

'

Intercom遭到供應鏈攻擊Mini Shai-Hulud波及

來源：https://www.ithome.com.tw/news/175614

有多家資安公司發現，Intercom用戶端訊息平臺的Node.js軟體開發套件（SDK）intercom-client、PHP套件intercom/intercom-php遭遇Mini Shai-Hulud供應鏈蠕蟲攻擊，Intercom表示是因為引入惡意Lightning套件所致

'

駭客發動長達5小時慢而低調的DDoS攻擊以規避偵測

來源：https://www.ithome.com.tw/news/175613

資安業者DataDome發現近來駭客發動分散式阻斷服務（DDoS）攻擊手法有所演進，從短時大規模流量攻擊轉向慢而低調的長時間活動。

DataDome的Galileo團隊在2026年4月緩解了一波針對一家使用者生成內容平臺客戶的網頁機器人（bot）DDoS流量攻擊，以時間換取空間，在5小時內發出24.5億次請求，但未曾觸發傳統防護方案流量限制的機制。

發動這波攻擊的殭屍網路橫跨16,402個自主系統（autonomous system，AS）遍及120萬個不重複IP位址，是DataDome觀察到最繁複的DDoS基礎架構。研究人員發現，和多數DDoS在短時間以極大流量癱瘓目標主機的暴力作法不同，在5小時的攻擊期間，尖峰流量是每秒20.5萬次請求（RPS），平均約13.6萬次，每個來源IP位址每9秒才發出一次請求，遠低於多數安全方案的流量上限，這意謂著所有IP都不會觸發偵測機制。

研究人員還發現，攻擊流量呈現週期性起伏的波浪形態、中間夾雜停頓，意在使防護工具的限速計（rate-limit counter）重置、防禦系統誤判為流量恢復正常，讓操作者有時間輪換IP、user-agent、攻擊酬載，他們相信操作者藉此保持低調穩定攻擊，又不超過偵測閾值。

另外，這波攻擊的基礎設施多樣化，流量來源混合了AWS、Google Cloud、DigitalOcean、Cloudflare等大型雲端服務，但也包含不少匿名化、隱私導向的ASN（Autonomous System Number，自主系統編號）。這可能反映攻擊者把惡意流量混進大量正常雲端流量，讓封鎖ASN不可行。攻擊者還試圖模仿正常瀏覽器行為，例如偽造HTTP headers、cookies、URL parameters、browser profile。

安全研究人員相信，這次攻擊代表攻擊思維的演進，DDoS攻擊正從單純依靠大流量，轉向模仿正常使用模式，藉此繞過傳統基於閾值與IP的防禦方法。

'

Google發布Chrome 148，修補127個資安漏洞

來源：https://www.ithome.com.tw/news/175612

5月5日Google針對電腦版與Android版用戶，推出148版Chrome更新，總共修補127個資安漏洞，數量比前一次Chrome 147安全更新修補的30個漏洞多出不少。其中，這次有3個被評為重大等級而成為本次更新的焦點。用戶應儘速將電腦版瀏覽器更新為148.0.7778.96或148.0.7778.97、Android版升級為148.0.7778.120修補。

這些漏洞是CVE-2026-7896、CVE-2026-7897、CVE-2026-7898，其中的CVE-2026-7896為存在於排版引擎Blink的整數溢位弱點，攻擊者可透過特製HTML網頁遠端觸發漏洞，導致記憶體堆疊可能損毀。美國網路安全暨基礎設施安全局（CISA）對此漏洞進行風險評估，CVSS風險值為8.8，Google頒發通報的研究人員4.3萬美元獎金。

另外兩個漏洞皆為記憶體使用後釋放再存取利用（User After Free）類型的弱點，CVE-2026-7897最早在iOS版Chrome發現，攻擊者可說服使用者操作特定的介面手勢，從而利用特製HTML網頁執行任意程式碼，風險值為7.5分；CVE-2026-7898存在於Chromoting元件，攻擊者可透過惡意網路流量執行程式碼，風險值為8.8。

'

【臺灣資安大會直擊】沒弄清楚DevSecOps流程反模式，靠AI也解不了四大根本問題

來源：https://www.ithome.com.tw/news/175611

不少企業看上GAI強大的資料處理能力，想要用來處理繁雜的資安作業，像是分析龐大的Log，篩選複雜的告警等，根據iThome今年CIO&CISO大調查，30%的資訊主管認為AI可以緩解資安人力不足的問題，每三家企業也就有一家今年要導入資安流程的AI Agent來輔助。

針對這波企業想用AI來強化資安的浪潮，靖本行策執行長盧建成認為，AI只是讓問題變快，不代表責任或決策變得更清楚。

早在AI資安爆紅之前，過去幾年，企業最夯的話題是DevSecOps，因為DevOps在臺發展十年，逐漸成了企業開發的主流方法論，但是速度變化了，安全的壓力也隨之而來，企業開始積極在開發流程的不同階段，採用各種DevSecOps資安工具或機制。

但是，有些企業推動資安左移時，雖然將資安責任左移，也提供資安培訓，但是，人員的能力不見得足以因應不斷變化的資安問題，像是新型態風險的判斷、最新漏洞的修補等，開發團隊接手了資安責任，卻沒有足夠的能力採取行動。

也有企業積極導入各式各樣的工具，從SAST、SCA、IaC Scan、容器映像檔Scan到SBOM監測工具，串接到不同的開發流程中，蒐集了大量Log，企業IT人員卻無法進行有效的分析，最後只是將資料儲存起來，沒有真正發揮作用。

測試到部署中間的資安把關，也是DevSecOps重要的卡關點，但常見有些IT團隊只同意小幅變更，而將重大變更交給主管的特簽，或視為特例來放行，而不是從風險角度來拒絕。這類例外、特簽不只讓資安責任邊界更加模糊，也讓資安控管決策在日後難以追蹤。

企業上雲後，IaC基礎架構程式化的做法，雖然可以透過自動化來簡化維運，但是，遇到開發團隊、維運團隊和資安團隊三者負責範圍交會的安全問題，不同團隊從不同立場各自解釋，往往沒有人對整體安全性負責。

上述這些都是臺灣企業推動DevSecOps時的反模式，長年擔任企業IT顧問的盧建成認為，DevSecOps在台灣沒有一條像DevOps那樣清楚的成長曲線，而是隨著DevOps成熟、雲端複雜度上升與安全風險壓力的增加，被動地演化出來的一種補救性整合。

「補救性整合的做法，帶來影響是補得越多、越麻，開發系統也越遲重。」他強調。

生成式AI技術和工具更加成熟之後，不少企業開始想用AI解決DevSecOps成效不彰的困境。但是，威力強大的AI工具，雖然可以彌補IT人員的能力不足，像是用AI來解釋資安告警、幫忙分析根因、提供修補建議，但不代表AI可以承接責任。或有企業用AI來強化龐大資安資料的整理，彙整SBOM、SAST報告，製作摘要報告，協助找出系統和漏洞的關聯，但不等於AI能夠理解了企業所面對的風險。

生成式AI助手可以加速IT工作的執行，像是自動產生PR或IaC的修正，提供自動化修補的建議，但是無法建立一套治理實踐。或是用AI來整理風險資訊，要求AI列出風險處理優先順序，提供建議方案，但是AI只能提出建議，而無法負責最後的決策，還得由企業IT自己做出決定。

盧建成歸納，責任定義、風險接受標準、例外與特簽機制、治理與追蹤，這四件事，AI解決不了。

他上述提到的DevSecOps反模式的共通點是，責任被往前推，能力沒有一起建立，規則也無法支撐決策，資源更不足以消化風險。「誰能承接風險的責任，如何判斷風險、資安決策有何基準？決策執行或放行後如何追蹤等。」這四大問題，不會因為AI而獲得解決。

像是誰要承擔後果、對企業來說可以接受什麼後果？什麼情況可以例外，誰可以批准例外、決策是否被執行、例外是否遭到濫用等，這些問題都用AI解答，得由企業自己面對才能找到自己的答案。

盧建成建議，人員要能承接責任，而不是被指派，風險也能被理解而不是一昧分類，資安控管也不是分辨紅綠燈來篩選，而要將控管視決策的過程，並讓這些決策的結果可以追蹤，而非一次性的處理。

「DevSecOps不是將各種安全機制放進流程，而要讓安全成為日常運作的一環。」盧建成建議。

'

Braintrust遭未授權存取，要求用戶輪換AI供應商API金鑰

來源：https://www.ithome.com.tw/news/175609

AI可觀測性平臺Braintrust確認內部AWS帳號發生未授權存取事件，受影響環境存有客戶在Braintrust設定的AI模型供應商API金鑰。Braintrust表示事件目前已受控制，並要求客戶撤銷及重新產生儲存在平臺上的相關金鑰，以降低後續被濫用的風險。

根據Braintrust公告，該公司是在5月4日接獲其中一個AWS帳號出現可疑行為的通報，調查後確認發生未授權存取。官方提到，可能受影響的是組織層級儲存在Braintrust的AI模型供應商機密憑證，也就是客戶用於連接外部AI模型服務的憑證。Braintrust稱，目前已鎖定遭入侵帳號，稽核並限制相關系統存取，同時輪換內部機密資訊，事故原因仍由事件回應專家調查中。

Braintrust並未說明是否有客戶金鑰實際外流，僅表示已與一名受影響客戶溝通，至今尚未發現更廣泛暴露的證據，但調查仍在進行。Braintrust發言人向外媒TechCrunch表示，出於謹慎考量通知所有客戶。

Braintrust主要提供AI應用的觀測、評測與改善工具，協助團隊追蹤生產環境中的模型輸出、提示詞、評測結果與品質變化。其官方文件顯示，Braintrust Gateway可透過統一API存取OpenAI、Anthropic、Google與AWS等模型供應商，使用者也可將AI供應商金鑰加入Braintrust，讓Gateway代為呼叫不同模型服務。

從Braintrust這次通報來看，未授權存取發生在Braintrust管理的AWS帳號，而受影響環境存放客戶設定的組織層級AI供應商機密憑證。Braintrust已要求客戶到組織層級AI模型供應商金鑰設定頁面，逐一輪換每個機密憑證，並到對應AI供應商管理頁面刪除或撤銷舊金鑰。Braintrust也要求客戶在完成輪換後，確認組織層級AI供應商設定頁面顯示相關金鑰已重新設定。

'

美國CISA推動CI Fortify計畫強化美國基礎設施韌性

來源：https://www.ithome.com.tw/news/175610

美國網路安全暨基礎架構管理署（CISA）本週宣佈啟動關鍵基礎設施（critical infrastructure，CI）強化（CI Fortify）計畫，要求能源、國防等基礎設施機構增加投資以強化隔離作業及回復運作的能力，因應地緣政治中的網路安全威脅。

CI Fortify是因應美國關鍵基礎設施面臨他國國家網路攻擊者帶來的威脅，包括擾亂和破壞美國境內營運科技（operational technology，OT），如能源和設施控制系統，存取電信基礎設施以癱瘓電話和網路服務。這最新計畫是在美國能源或軍事設施傳遭到中國、伊朗、俄羅斯等國家駭客發動攻擊事件，美國政府提出的國家韌性強化計畫。

CI Fortify為一確保美國國家安全及公眾健康的聯合計畫，CISA要求關鍵設施的擁有和營運者增加隔離（isolation）及回復（recovery）能力的投資，以便在未來可能的地緣政治衝突中持續必要運作。

隔離能力是指主動和第三方及企業網路隔離，以確保OT即使在通訊服務惡化下仍能持續作業。其工作包括辨識出關鍵客戶，如軍事基礎設施或救援服務，設定服務目標，決定需要的OT和基礎設施，更新業務永續（business continuity）方案和隔離期間的工程流程。

回復能力是指對系統完備記錄、備份關鍵檔案、演習一旦隔離策略失敗時的替代系統或轉為人工作業。也包括回復所需的工作，包括授權伺服器或企業網路連線。基礎設施運作者需和託管服務供應商、系統整合商（SI）等廠商討論相關必備作業。

CISA及特定風險管理署（Sector Risk Management Agency）也提供何時該隔離及如何回復的指引，CISA也將執行特定檢核評估，並提供基礎設施能力強化的協助。同時CISA也呼籲所有網路安全專家一起參與防護美國基礎設施。

'

AMD第一季營收成長38%，資料中心業務成主要成長動能

來源：https://www.ithome.com.tw/news/175608

半導體業者AMD週二（5/5）公布截至3月28日的2026財年第一季財報，該季AMD創下102.5億美元的營收，成長38%，其中，在AI需求的帶動下，其資料中心部門營收成長幅度更達57%。

從部門來看，AMD資料中心部門營收為57.8億美元，比去年同期成長57%，主要來自EPYC處理器需求強勁，以及Instinct GPU出貨持續增加；客戶端與遊戲部門營收為36.1億美元，成長23%；嵌入式部門營收為8.73億美元，成長6%。

AMD董事長暨執行長蘇姿丰表示，第一季業績主要受AI基礎架構需求加速帶動，資料中心已成為AMD營收與獲利成長的主要動力。AMD資料中心產品主要包括EPYC伺服器處理器與Instinct AI加速器，隨著推論與代理式AI推升相關需求，AMD預期伺服器業務將在供應擴大後明顯加速成長。

AMD該季營業利潤為14.8億美元，成長83%，淨利為13.8億美元，成長95%，每股盈餘為0.84美元，高於去年同期的0.44美元。

'

為深度學習框架PyTorch打造的PyPI程式庫Lightning遭供應鏈攻擊

來源：https://www.ithome.com.tw/news/175606

4月底NPM套件供應鏈攻擊活動Mini Shai-Hulud針對SAP而來，該公司4款套件受到影響，如今傳出相關攻擊延燒到其他開源生態圈的情況。

資安公司Aikido、OX Security、Socket、StepSecurity提出警告，熱門PyPI套件Lightning遭遇供應鏈攻擊，駭客於4月30日上架惡意版本2.6.2與2.6.3。值得留意的是，這些資安公司不約而同指出，這起事故是Mini Shai-Hulud的延伸。

對此，Lightning開發團隊證實此事，並表示他們的帳號疑似遭到蠕蟲程式完全入侵，後續發布完整的資安公告指出，若是用戶不慎安裝有問題的套件，應認定開發環境已遭入侵，立即輪換可能被洩露的憑證與機密資料、重建系統、將套件固定為2.6.1版，並檢查事件記錄檔案是否出現可疑或未經授權的活動，該事故被登記為CVE-2026-44484列管。

'

臺灣有74%企業為了轉型而用AI，卻有半數難辨威脅

來源：https://www.ithome.com.tw/news/175596

針對臺灣企業導入AI的現況，資安業者趨勢科技示警，指出國內有相當多企業在追求導入AI速度之際，已經呈現出容易忽略風險控管的現況。

該公司表示，根據旗下企業資安事業群（TrendAI）調查報告TrendAI 2026 global AI study顯示，有74%的臺灣企業迫於高層或市場壓力，核准了可能帶來資安風險的AI方案，這當中卻只有不到一半的企業認為，其內部團隊能辨識惡意或異常的AI行為。

此狀況突顯一種內部風險，臺灣企業在提升競爭力與AI轉型的同時，儘管部分企業試圖建立安全配套，但有半數以上的風險控管能力已成為被忽略的一環。

趨勢科技台灣暨香港區總經理洪偉淦亦表示，在AI時代，誰能最快理解風險並做出決策相當重要，這才是AI轉型時代的競爭關鍵。

對此議題，該份報告也顯示，超過6成臺灣企業決策者擔憂AI發展過於迅速，導致資安難以跟上，至於安全採用AI的最大阻礙，則是企業內部對於資安專業能力有限與現行針對AI工具的法規不明確。

不過對於採用AI的國內企業而言，也開始正視AI的副作用，在這次調查中該公司也觀察到，已有超過半數臺灣企業正著手起草AI治理框架。顯現企業正加速因應這項挑戰。

'