駭客濫用AI找出零時差漏洞，企圖發動大規模攻擊

來源：https://www.ithome.com.tw/news/175722

近期軟體開發團隊、資安研究員積極使用AI挖掘大量資安漏洞，然後進行修補的態勢已成潮流，希望能趕在駭客之前找出零時差漏洞，讓應用程式或系統變得更難被滲透，然而，駭客也濫用AI找出零時差漏洞，並打算發動大規模攻擊。

Google威脅情報團隊（GTIG）公布網路犯罪圈濫用AI的態勢的最新調查，其中最受到關注的是，他們近日察覺有駭客組織嘗試利用AI找出的零時差漏洞，從事大規模攻擊，但因GTIG及時察覺而加以攔阻，攻擊並未成功。GTIG指出，這是首度發現有人利用AI挖掘零時差漏洞，並企圖用於實際攻擊。對此，GTIG已與受影響的軟體廠商合作，中斷該攻擊活動並通報漏洞細節。

在其中一個漏洞利用嘗試活動裡，GTIG看到多個惡名昭彰的駭客團體聯手策畫大規模漏洞利用活動，他們製作能利用此漏洞的Python指令碼，藉此繞過熱門開源網路系統管理工具的雙因素驗證（2FA）流程，根據漏洞的結構與內容，像是指令碼內含大量註解說明、一般駭客通常不會標註的CVSS風險評分，並採用結構化、教科書式的Python程式撰寫風格，因此GTIG研判，駭客顯然正在利用AI模型找出漏洞，並製作相關攻擊工具。

針對駭客找到的零時差漏洞，GTIG指出，主要可用於繞過雙因素驗證，不過利用漏洞的必要條件是事先取得有效的使用者憑證。此漏洞並非源自記憶體損毀，或是輸入內容清理不完整等實作錯誤，而是高階語意邏輯缺陷造成。GTIG指出，大型語言模型（LLM）擅長識別這類高層次缺陷，以及寫死（Hardcoded）程式碼出現的靜態異常，再加上現在越來越擅長情境推理，使得LLM能發現功能看似正確，但從資安角度而言，卻是具有攻擊風險的邏輯錯誤。

'

iPhone與Android互傳訊息更安全，iOS 26.5支援RCS端到端加密

來源：https://www.ithome.com.tw/news/175719

蘋果與Google週一（5/11）同步宣布，從iOS 26.5版開始，RCS（Rich Communication Services，豐富通訊服務）訊息將陸續支援端到端加密，讓iPhone與Android使用者之間的跨平臺訊息傳輸更安全。

RCS被視為傳統簡訊（SMS）的後繼格式，可支援較豐富的通訊功能，例如高解析度圖片、影片、已讀回條與輸入提示等。蘋果是在iOS 18開始支援RCS，改善iPhone與Android之間長期仰賴SMS/MMS所造成的跨平臺通訊限制。不過，過去iPhone與Android之間的RCS訊息並未具備端到端加密，因此在隱私與安全性上仍不如iMessage或Android裝置間的Google Messages加密訊息。

根據蘋果與Google的說明，雙方合作於RCS標準中導入端到端加密，使此一用來取代傳統SMS的跨平臺訊息格式更加安全與私密。當RCS訊息採用端到端加密時，訊息在裝置之間傳送的過程中無法被讀取，可降低電信商、平臺或其他中間環節接觸訊息內容的風險。

使用者可透過聊天畫面中的鎖頭圖示判斷RCS對話是否已啟用端到端加密，當iPhone或Google Messages使用者在跨平臺RCS對話中看到該圖示時，即代表訊息傳輸已受加密保護。

這項加密功能將預設開啟，並會隨時間自動套用至新的與既有的RCS對話。不過，由於目前仍屬Beta版，實際可用性仍取決於iPhone使用者是否升級至iOS 26.5、所屬電信業者是否支援，以及Android端是否使用最新版Google Messages。

'

針對Checkmarx發布的Jenkins AST外掛遭駭，TeamPCP聲稱是他們所為

來源：https://www.ithome.com.tw/news/175718

5月9日資安公司Checkmarx發出警告，該公司推出的Jenkins AST外掛程式遭供應鏈攻擊，駭客上架有問題的新版本，要用戶採取行動因應，有資安研究員公布更多細節。

資安工程師Adnan Khan、資安公司SOCRadar指出，TeamPCP於Checkmarx的Jenkins AST外掛植入後門程式，但與過往的攻擊活動最大的不同，在於這些駭客這次還竄改了GitHub儲存庫的內容。

他們提及，駭客將儲存庫的標題置換為「Checkmarx-Fully-Hacked-by-TeamPCP-and-Their-Customers-Should-Cancel-Now.」，聲稱他們完全滲透了Checkmarx，要該公司客戶取消使用該公司的產品及服務，駭客也嘲諷該公司憑證輪換不完全。SOCRadar推測，TeamPCP後續能不斷對Checkmarx發布的套件持續發動供應鏈攻擊，原因很有可能就是駭客聲稱的Checkmarx未完全輪換憑證，但他們不排除駭客使用了在今年3月事件調查時未被發現的管道。

'

Google發布ChromeOS長期支援版更新，修補多項高風險記憶體漏洞

來源：https://www.ithome.com.tw/news/175717

Google發布ChromeOS作業系統長期支援版（Long Term Support）新版本，將LTS-144版更新至144.0.7559.250版，同時修補11項漏洞，多數屬於高風險的記憶體類型問題。

這次修補的漏洞中，最嚴重的是CVE-2026-5290，CVSS嚴重性評分達9.6分，為畫面合成元件Compositor的已釋放記憶體仍被使用（Use After Free）問題。另有9項CVSS嚴重性評分8.8的漏洞，同樣屬於記憶體釋放後再存取使用問題，包括CVE-2026-3921、CVE-2026-5280、CVE-2026-3923、CVE-2026-4454、CVE-2026-5866、CVE-2026-6303、CVE-2026-5872、CVE-2026-3922與CVE-2026-7363，分別涉及文字編碼處理元件TextEncoding，多媒體編解碼元件WebCodecs，音樂裝置控制介面WebMIDI、網路通訊模組Network，多媒體處理模組Media，編解碼器Codec，瀏覽器引擎Blink，即時媒體串流介面MediaStream，以及繪圖介面Canvas等。

最後1項漏洞CVE-2026-5276，則是USB存取介面WebUSB的政策執行問題，CVSS嚴重性評分6.5分

'

中國業者公布雙核心量子電腦

來源：https://www.ithome.com.tw/news/175716

中國業者中科酷原科技近日公布其最新量子電腦新進展，宣稱打造出全球首臺雙核量子電腦，具有能協同運作、但低功耗及體積小等優點。

總部位於武漢的中科酷原科技2024年推出中國首座商用中性原子量子電腦，名為漢原1號。漢原2號為升級版。該系統採用中國移動五嶽紀元（WuYueOS）量子計算作業系統，宣稱是全球首次量子運算領域引入「雙核」概念；在單一機箱中同時操作兩套不同的中性原子陣列，包括100個⁸⁷Rb（銣-87）原子和100個⁸⁵Rb（銣-85）原子。藉此實現雙核協作運算。

該公司解釋，這是一種新異構原子協同架構，利用不同原子之間的特性差異，一套核用於運算，另一套可用於資料儲存或輔助糾錯。該設計能有效減少量子位元（qubit）之間的串擾，提高運算穩定性。

此外，本系統另一特色是高整合度；雖然擁有200個量子位元，但整個系統被封裝在標準的機櫃內，具有極高能效比和空間利用率。此外，該系統僅需小型鐳射冷卻系統即可運行，整體功耗低於7kW，無需複雜低溫製冷環境，可在普通室內環境快速部署，大幅降低量子運算技術的應用門檻與成本。

量子電腦要走向實用，必須大幅增加量子位元數。「雙核」架構提供了一種模組化策略，藉由減少串擾問題，能支援擴大量子位元數量，進而促進量子電腦商用性，加速量子運算技術在金融建模、物流優化、量子教育、醫藥研發等多種場景。

酷原科技在湖南省及武漢市專案的支援研發的「漢原1號」，已在2025年已投入商用。

'

汽車大廠Skoda網路商店被駭，疑外洩客戶個資

來源：https://www.ithome.com.tw/news/175715

捷克汽車大廠Skoda公告，其線上商店平臺遭駭，警告客戶姓名、電子郵件信箱等個資可能遭存取。

Skoda的安全監控團隊發現異常活動。在發現後該公司立即將網站下線並修補漏洞。事後Skoda研判，駭客是濫用其運行線上商店的標準商店軟體的漏洞，可能存取線上商店平臺處理的資料。

Skoda保守指出，由於攻擊者曾取得對網路商店系統的未授權存取權限，「原則上可以接觸儲存在系統中的資料，包括客戶姓名、地址、電子郵件信箱、電話、訂單細項及其他帳戶資訊。此外，以密碼雜湊形式儲存的密碼可能也遭存取。不過Skoda告知，信用卡資料僅由支付業者儲存，並未存在平臺上。

雖然技術分析顯示，理論上駭客可以存取系統中儲存的資料。然而，Skoda依據現有技術協定特性，表示無法詳細追蹤或確實資料是否被複製、檢索，也不知影響幅度。該公司亦沒有證據顯示客戶資料被濫用。

Skoda未說明它使用的是什麼線上商店平臺、遭濫用的漏洞、或是有多少用戶受影響。

基於可能的攻擊風險，Skoda呼籲用戶變更密碼，特別是共用密碼的服務帳號。該公司也提醒用戶不要公開個資或點選聲稱是Skoda發送的郵件或訊息連結。

Skoda是近來最新一家外洩資料的汽車大廠。單單2025年就有克萊斯勒、Nissan、現代被外洩客戶資訊。而福斯、Volvo則是因外包商或合作夥伴被駭而遭竊走員工和營運資訊。

'

資安公司Checkmarx再傳遭供應鏈攻擊，Jenkins AST外掛被竄改

來源：https://www.ithome.com.tw/news/175714

自3月下旬駭客團體TeamPCP攻擊資安公司Checkmarx的基礎設施即程式碼（Infrastructure as Code，IaC）掃描工具KICS，且有該公司的Open VSX延伸套件遭駭，一個月後，KICS的Docker映像檔也遭到攻擊，如今再傳新的供應鏈攻擊活動。

5月9日Checkmarx指出，他們察覺發布於Jenkins延伸套件市集的Jenkins AST外掛程式出現遭到竄改的跡象，攻擊者上架了有問題的新版本，呼籲用戶要儘速檢查，確定使用的版本是2025年12月17日發布的2.0.13-829.vc72453fa_1c16，或之前的版本，而非有問題的2026.5.09版，才能避免CI/CD環境被滲透。

雖然Checkmarx並未透露進一步說明，不過該公司認為此事與他們從3月開始遭遇的供應鏈攻擊事故有關，很可能是其中的一部分。

'

OpenAI發表Daybreak資安防禦方案，整合GPT-5.5-Cyber與Codex Security

來源：https://www.ithome.com.tw/news/175713

OpenAI週二（5/12）發表了Daybreak，宣稱這是專替資安防禦者打造的前沿AI，它結合了OpenAI的各種模型、Codex，以及資安合作夥伴，可協助企業掃描漏洞、建立威脅模型、驗證修補結果，以加速資安防禦並持續保護軟體安全。

根據OpenAI所建立的Daybreak首頁，Daybreak基本前提是資安防禦的下一發展階段應從軟體開發的初始階段就開始著手，除了可找出並修復漏洞之外，更應於軟體設計階段就具備抵禦各種漏洞的能力。

此外，其實AI已可協助防禦者處理許多事，從讀取大型程式碼庫、尋找隱晦漏洞、驗證修補、分析不熟悉的系統，一直到加快從發現到修補的速度，問題在於，同樣的能力也可被拿去攻擊。

因此，Daybreak的角色及定位是在將這些能力變成一套可控的資安防禦方案，解決誰可以使用、可用於哪些授權環境、如何驗證修補結果，以及高風險資安能力如何分級開放與稽核等問題。

為此OpenAI在Daybreak中設計了模型分級存取機制，依照使用情境與風險程度開放不同能力。GPT-5.5適用於通用開發與知識工作；GPT-5.5 with Trusted Access for Cyber則面向已驗證的防禦工作，可用於安全程式碼審查、漏洞分級、惡意程式分析、偵測工程與修補驗證；GPT-5.5-Cyber則是更高權限版本，預覽階段將提供給授權紅隊、滲透測試與受控驗證等專業資安場景，並搭配更嚴格的驗證與帳號層級控管。

Daybreak的另一個核心是Codex Security，這是OpenAI把Codex程式代理能力導入資安工作流程的環境，甫於今年3月邁入預覽階段。Codex Security可理解整個系統脈絡並驗證漏洞，以降低誤報並提高漏洞偵測品質，目標是讓AI能協助完成部分原本需要資安工程師進行的程式碼安全審查工作。

OpenAI表示，Daybreak可將安全程式碼審查、威脅建模、修補驗證、相依套件風險分析，以及偵測與修復建議，納入日常軟體開發流程，讓軟體從開發初期就更具安全韌性。

美國媒體多半將Daybreak視為OpenAI對Anthropic Claude Mythos與Project Glasswing的回應，也是OpenAI將高能力資安模型從研究展示推向企業與政府防禦場景的產品化嘗試。

'

cPanel身分驗證漏洞被用於散布RAT木馬Filemanager

來源：https://www.ithome.com.tw/news/175712

網站主機管理平臺廠商cPanel於4月28日，揭露旗下管理軟體cPanel及WHM（WebHost Manager）身分驗證繞過漏洞CVE-2026-41940（CVSS風險評為9.8分），由於該工具有許多網站主機代管公司採用，影響極為廣泛。事隔兩日，美國網路安全和基礎設施安全局（CISA）證實漏洞已遭利用，後續有資安公司揭露勒索軟體Sorry的活動，以及針對東南亞軍事單位的攻擊，如今再傳有人藉此散布惡意程式。

中國資安公司奇安信指出，他們在5月4日發現有人利用CVE-2026-41940散布的新惡意程式，此酬載以Go語言撰寫，嵌入疑為由AI生成的大量土耳其語事件記錄與訊息，主要功能是將SSH公鑰、惡意PHP與JavaScript程式碼植入cPanel系統，竊取登入憑證，並回傳攻擊者控制的Telegram頻道，最終部署RAT遠端存取木馬Filemanager。該公司進一步調查背後的攻擊者，發現該駭客組織的活動最早可追溯至2020年，他們將這組人馬命名為Mr_Rot13進行追蹤。

Filemanager為跨平臺的RAT程式，同時支援Windows、macOS、Linux三大作業系統，具備許多功能，一旦執行，它就會監聽指定的連接埠，並根據特定的參數判斷是來自攻擊者的指令，以便駭客能利用網頁介面遠端控制受害的cPanel系統。

'

微軟正式推出Azure儲存服務Smart Tier，適用於存取模式難以預測的物件資料成本控管

來源：https://www.ithome.com.tw/news/175710

因應企業對於多種儲存服務層級的需求，微軟正式推出Azure全代管自動分層儲存功能Smart Tier，支援Azure Blob Storage與Azure Data Lake Storage，主要用於存取模式持續變動、 難以事先規畫生命週期規則的大型物件資料環境。

根據微軟說明，Smart Tier會持續檢查儲存體帳戶中每個物件的最近一次存取時間。 經常使用的資料會留在熱存取層，以維持查詢與交易效率； 若資料連續30天沒有存取紀f錄，系統會將其移至非經常性存取層（cool tier）， 再經過60天後移至冷存取層。 當系統偵測到資料再次被讀取或寫入，會立即將資料移回熱存取層， 並重新計算分層週期。

微軟指出，自2025年11月推出Smart Tier公開預覽版後， 已有客戶與合作夥伴將其導入不同資料環境。依實際存取情況判斷， 超過50%的Smart Tier管理容量已自動轉移至成本較低的儲存層。微軟並舉例， 一家大型資料分析客戶在數百TiB的遙測與日誌資料啟用Smart Tier後，超過一半受管理資料自動移至較低成本儲存層， 也不再需要反覆調整生命週期政策。

計費方面，Smart Tier管理的物件仍依所在儲存層的標準容量費率計價。 微軟表示，這項功能不另外收取儲存層轉換、 提前刪除或資料擷取費用，但會收取監控費。小於128 KiB的物件會留在熱存取層，不會自動下移，也不會產生監控費； 若物件日後成長至128 KiB以上，才會自動套用Smart Tier政策。

目前，Smart Tier已在幾乎所有支援可用性區域的Azure公有雲區域正式 推出。然而，這項功能不支援Standard general-purpose v1（GPv1）等舊版帳戶類型， 也不適用於分頁Blob或附加Blob。

微軟表示，Smart Tier特別適合分析管線、資料湖、日誌、 遙測資料與應用程式資料等場景， 因為這類資料的存取模式可能混合、持續變動或難以預測， 也可能因查詢、稽核、事件調查或應用需求而重新存取。 對企業而言，若只靠固定生命週期規則判斷儲存層， 可能難以及時反映實際使用情況。

'

日本大型金融機構導入AI代理應用，企業提案書製作可望縮短至數十分鐘到數小時

來源：https://www.ithome.com.tw/news/175709

日本大型金融機構三井住友金融集團（Sumitomo Mitsui Financial Group，SMFG）與AI新創業者Sakana AI合作，開發用於大型企業金融業務（wholesale banking）的提案書自動生成應用系統。SMFG與三井住友銀行（Sumitomo Mitsui Banking Corporation，SMBC）於4月30日宣布，該系統已在三井住友銀行導入實務作業。這是雙方自2025年5月簽署合作協議後，第一項進入實務應用的合作成果。

這套系統鎖定三井住友銀行對大型企業客戶的提案流程。在技術設計上，採用多個AI代理協作架構，讓不同角色的代理分工負責資訊蒐集、分析、假設建構、提案敘事規畫、品質評估與事實查核，並分階段具體化提案內容。

Sakana AI表示，AI會分析目標企業的財務與非財務資訊，不只產生草稿，也能提出人類可能忽略的新視角與客觀論點，讓銀行人員有更多時間處理客戶真正需要解決的經營課題。SMFG與三井住友銀行指出，這項導入不只是提高文件產出效率，也希望降低高階策略規畫與研究工作對個別行員經驗與技能的依賴，讓不同客戶都能更快取得品質一致的提案內容。

根據《日本經濟新聞》報導，過去三井住友銀行製作大型企業提案書需耗時1至2週，導入這套系統後，可望縮短至數十分鐘到數小時。Sakana AI後續也計畫將AI代理技術擴大至三井住友金融集團內其他業務領域。

'

身分驗證管理供應商SailPoint的GitHub儲存庫遭駭

來源：https://www.ithome.com.tw/news/175711

5月初資安公司Trellix透露原始碼儲存庫遭未經授權存取，勒索軟體駭客RansomHouse聲稱犯案，並表示是在4月17日入侵，最近有另一家資安公司也發生類似事故，而且，時間點相當接近。

身分驗證管理供應商SailPoint於5月8日，向美國證券交易委員會（SEC）提交8-K表單，表示該公司於4月20日偵測到部分GitHub儲存庫出現未經授權存取的情況，事件回應團隊隨即迅速阻止未經授權的行為，找出被入侵的原因並予以處理。該公司透露，攻擊者存取的管道，源自第三方應用程式的弱點，目前該漏洞已經修復。

而對於這起事故帶來的影響，根據初步的調查結果，SailPoint未發現客戶資料於生產或臨時環境遭到存取的跡象，亦未出現服務中斷。該公司已通知資料被存放在上述儲存庫的客戶。不過，該文件並未進一步透露受影響人數、曝險的資料類型，也沒有透露攻擊者的身分。

'