Windows存在零時差漏洞MiniPlasma，攻擊者可取得SYSTEM權限

來源：https://www.ithome.com.tw/news/175888

日前因對微軟漏洞通報流程不滿的研究人員Chaotic Eclipse（Nightmare-Eclipse），最近兩個月於微軟發布例行更新（Patch Tuesday）前後公開一系列零時差漏洞，其中於4月公開的多項Microsoft Defender漏洞後續傳出攻擊行動，上週末該研究員揭露新的漏洞，但與過往不同的是，此次揭露的漏洞早在多年前就已通報，卻未得到修補。

上週末Chaotic Eclipse公布資安漏洞MiniPlasma，並強調該漏洞並非他首度發現，而是Google Project Zero團隊於2020年9月向微軟通報，該漏洞被登記為CVE-2020-17103，微軟在2020年12月例行安全性更新已發布更新軟體。然而，Chaotic Eclipse在調查零時差漏洞GreenPlasma的過程發現，當時理應被修補的雲端過濾器驅動程式功能HsmOsBlockPlaceholderAccess，仍存在漏洞——而且該弱點實際上在6年前就被通報，而且微軟也表明已完成修補。不過，根據調查，他發現這項問題迄今依然存在，而且Google當時提供的概念驗證程式碼（PoC），在無須修改的情況下竟能正常運作。對於MiniPlasma的出現，Chaotic Eclipse推測有可能是修補程式碼在某個時間點被撤回或覆蓋（rollback），但也不排除是微軟根本沒有進行修補，不過實際原因為何，有待微軟進一步說明。

針對MiniPlasma造成的影響，Chaotic Eclipse調整原本Google公布的概念驗證程式碼，並指出一旦成功利用，就能得到SYSTEM層級的Shell。根據原始的微軟公告內容，此漏洞存在於Cloud Files Mini Filter Driver的元件，為權限提升漏洞，CVSS風險為7.0分，嚴重程度被評估為重要（Important）等級。Tharros首席漏洞分析師Will Dormann、資安新聞網站Bleeping Computer都確認MiniPlasma確實存在，Dormann測試多個版本的Windows 11，並指出他在套用今年5月更新程式的25H2及26H1成功取得SYSTEM權限。不過，Dormann也提及，測試版Windows 11 Insider Preview Canary（Build 28020.2075）似乎已經進行修補。

'

Yarbo割草機器人傳出重大安全漏洞，可能遭攻擊者遠端控制，用戶需立即升級新版韌體

來源：https://www.ithome.com.tw/news/175831

受氣候變遷影響，草木生長較以往更為茂密，透過割草機器人協助清理庭院，一些擁有大型庭院或戶外空間的用戶已開始採用。當前的割草機器人已不僅是自動化割草機械，還進化為IoT裝置，能透過GPS、攝影機與網路進行遠端操作與管理，還能多臺機器人組成群組同時作業，但也和其他IoT裝置一樣，無法避免漏洞與網路威脅的影響。近日德國資安研究員Andreas Makris便在GitHub上發表報告， 揭露割草機器人廠商Yarbo，其機器人韌體存在重大安全問題，可能遭到遠端控制，甚至可能危及人身安全。Yarbo是中國漢陽科技旗下品牌，主打北美市場。

Andreas Makris揭露的問題包括：系統寫死root密碼（hardcoded root password），內建長期開放的遠端維護通道，以及權限控管不足的MQTT通訊機制等，攻擊者可能藉此從遠端接管設備、存取攝影機畫面，竊取用戶Wi-Fi密碼與GPS位置資訊，甚至只要入侵單一設備後，就可能進一步橫向控制整個機器人群組，亦即同時控制多臺機器人。Andreas Makris同時提報3項Yarbo機器人韌體的CVE漏洞，包括：CVE-2026-7413持久性後門漏洞、CVE-2026-7414管理員預設憑證漏洞，以及CVE-2026-7415未授權MQTT存取漏洞，後兩項漏洞的CVSS嚴重性評分都達到9.8。

Andreas Makris還向科技媒體The Verge實際展示，即便用戶按下緊急停止按鈕，攻擊者仍能從遠端重啟Yarbo機器人的割草刀片，凸顯其危險性。相較於重量只有10到20公斤、採用小型旋轉刀片的一般割草機器人，Yarbo割草機器人是重達90公斤、配備大型刀具的履帶式重型機具，原本這是該公司產品的主要賣點，可提供更強大的作業能力，但若遭攻擊者入侵而失控，造成的危險也高出許多。

在Andreas Makris發布報告後次日，Yarbo原廠也發布公開聲明，承認研究人員揭露的問題屬實，將問題歸因於歷史遺留（legacy）的遠端支援與維護架構，並已在新版韌體上暫時停用遠端維護通道、重設root密碼，限制後端服務權限，建議用戶立即更新韌體。該公司承諾後續將為每臺設備導入專屬憑證，建立可稽核且需用戶授權的遠端診斷機制，成立安全應變中心，還規畫建立漏洞懸賞計畫。

'

Raindrop AI推出開放原始碼工具Workshop，支援AI代理本機除錯與評估

來源：https://www.ithome.com.tw/news/175887

代理式AI逐漸進入程式開發流程，也讓AI代理的除錯、追蹤與評估成為新的開發課題。可觀測性新創業者Raindrop AI推出開放原始碼工具Workshop，定位為AI代理本機除錯與評估工具，可將AI代理執行過程中的追蹤記錄，即時串流到瀏覽器介面，協助開發者檢查AI代理執行過程中的大型語言模型呼叫、工具呼叫、決策過程，以及發生錯誤的原因。

Workshop採MIT授權釋出，官方提供macOS與Linux的一鍵安裝方式，GitHub Releases頁面也提供Windows x64可執行檔。根據VentureBeat報導，Workshop以本機常駐服務程式搭配使用者介面運作，預設可在localhost:5899開啟介面，並將每個權杖、工具呼叫與決策寫入單一SQLite資料庫檔案，讓開發者可在本機檢查AI代理在哪個步驟出錯、何時出錯，以及可能的失敗原因。

Raindrop在官方部落格指出，AI代理除錯的困難在於，失敗原因經常藏在多層巢狀的span（追蹤區段）記錄。開發者只能查看終端機輸出，或必須仰賴延遲呈現的SaaS儀表板，最後仍要手動閱讀大量追蹤記錄並撰寫評估測試。Workshop則提供兩種介面，一是本機即時追蹤記錄檢視器，二是透過模型上下文協定（MCP）連接Claude Code，讓AI程式開發代理讀取同一批追蹤記錄。

這套工具另一項重點，是Raindrop稱為「自我修復評估循環」的機制。當AI代理執行失敗，Workshop會保留完整執行軌跡，Claude Code可讀取這些記錄，依據實際失敗案例產生評估測試，找出提示詞或程式碼中的邏輯問題，再重新執行代理，直到測試條件通過。Raindrop強調，這種做法讓開發者可根據實際發生過的故障進行測試，而不是自行推測可能情境。

在相容性方面，Raindrop說明Workshop支援TypeScript、Python、Go與Rust，並可整合Vercel AI SDK、OpenAI Agents SDK、Anthropic SDK、Claude Agent SDK、LangChain、LangGraph與CrewAI等SDK與框架，也能搭配Claude Code、Codex、Devin、Cursor與OpenCode等程式開發代理使用。Raindrop另指出，Workshop沿用與其正式環境除錯體系相同的追蹤架構。

'

xAI推出Grok Build，加入AI程式代理工具戰局

來源：https://www.ithome.com.tw/news/175886

xAI週四（5/14）宣布推出Grok Build早期測試版，這是一款專為專業開發者設計的AI程式代理工具，可於終端機中操作，協助處理複雜的程式開發工作。目前Grok Build率先開放給SuperGrok Heavy訂閱者使用，使用者可透過單一指令安裝，並以SuperGrok Heavy帳號登入。

Grok Build採用命令列介面（Command Line Interface，CLI），讓開發者可在既有程式碼庫中直接啟動AI代理人，要求它撰寫或修改程式、更新文件、排查效能問題，也可用於其他工程任務。xAI表示，這項產品仍處於早期測試階段，將依照使用者回饋持續改善。

為避免AI直接修改程式造成風險，Grok Build提供Plan Mode。面對較複雜的任務時，它會先產生執行計畫，讓使用者在正式執行前核准、留言或重寫計畫；計畫通過後，所有變更也會清楚列出，方便開發者審查與控管。

Grok Build也強調可融入既有開發流程，支援開發者原本使用的外掛、專案規範、MCP伺服器與自動化流程。面對大型任務時，它還可啟動多個子代理人平行處理不同工作，以加速程式碼檢查、問題排查或其他工程作業。

近來主要AI公司相繼將AI代理人導入程式開發場景，包括OpenAI的Codex、Anthropic的Claude Code、Google的Gemini CLI，以及微軟旗下GitHub的Copilot Coding Agent。如今xAI亦藉由Grok Build加入AI程式代理工具戰局。

'

新駭客基礎架構出現，加速裝置碼釣魚、竊取Microsoft 365權杖

來源：https://www.ithome.com.tw/news/175885

資安業者Proofpoint發現近日出現新的攻擊基礎架構，可讓駭客更容易發動裝置碼釣魚（device code phishing）攻擊，進而竊取Microsoft 365或其他雲端帳號的存取權杖（Access Tokens）。

裝置碼釣魚目的在誘騙使用者授權惡意應用程式存取企業郵件帳號。其原理是濫用OAuth 2.0裝置授權；攻擊者先發送電子郵件、檔案或QR code給受害者，利用社交工程誘使受害者點擊連結或掃描QR Code。當使用者點擊並造訪攻擊者設立的網頁，會觸發攻擊過程：該流程會發送一組裝置代碼要求使用者在手機介面輸入，這個動作完成了微軟伺服器端的驗證，表面上讓用戶得以存取微軟服務，如Microsoft 365，但同時間暗中將微軟服務的token傳給了攻擊者伺服器。待使用者取得微軟的token，之後攻擊者就可以直接存取使用者的微軟服務，即Microsoft 365或Outlook信箱，而無需再經過一次多因素驗證。成功的裝置碼釣魚可導致完整帳號接管、竊取敏感資訊、詐欺和商業電子郵件詐騙（business email compromise）、橫向移動。

2025年秋天，研究人員觀察到一起裝置碼釣魚攻擊使用和過去不一樣的實作方式，相較於過去由攻擊者產出裝置碼，新一波攻擊則是隨需（on-demand）產生。由攻擊者產出裝置碼傳給用戶，用戶若未在15分鐘內輸入微軟的驗證手機介面，驗證碼就會過期。而新式手法則是在使用者點擊連結或QR code後才會動態產生裝置碼。而這新型態實作可以在釣魚即服務（Phishing-as-a-service，PhaaS）平臺如EvilTokens或Tycoon購買，或是由攻擊者持有的基礎架構建立。

其中，研究人員判斷，EvilTokens是以vibe coding的AI生成技術建立和維護。EvilTokens首先是在2026年2月在Telegram上宣傳，目的是蒐集驗證token，再用以存取目標帳號，取得資料或其他服務。該平臺為「客戶」提供多種登入頁及主題，如微軟、Adobe、DocuSign，建立從誘餌到基礎架構整個攻擊鏈。它的同夥（affiliate）還可購買入口網站瀏覽器（Portal Browser），使其存取和管理多個被駭的Microsoft 365（M365）帳號，用於自動化和擴大變臉攻擊。

研究人員發現到多種類似EvilTokens的變種，可用來進行裝置碼釣魚。在今年4月Proofpoint研究人員觀察到7個不同變種，但不確定其間關係或先後。3月研究人員觀察到TA4903組織利用裝置碼釣魚竊取M365憑證進行變臉攻擊。此外，雖然大部份此類攻擊竊取的是M365憑證，但也有少部份以Google憑證為目標。

研究人員建議，要防範裝置碼釣魚，最好的方式是利用驗證流（Authentication Flows）條件建立「條件式存取政策」（Conditional Access policy）防堵所有使用者的裝置碼流。如果無法防堵所有人存取，也可以用「條件式存取」依據可接受的使用情境建立白名單，例如只允許特定使用者、OS或特定範圍IP啟用裝置碼驗證。

'

TeamPCP兜售近450個Mistral AI程式碼儲存庫

來源：https://www.ithome.com.tw/news/175876

之前傳出AI公司Mistral AI的PyPI套件遭到入侵，駭客發布含有惡意程式碼的2.4.6版，此為蠕蟲Mini Shai-Hulud供應鏈攻擊的一部分，Mistral AI也發布資安公告，證實NPM與PyPI套件先後遭到入侵，指出該公司是TanStack供應鏈攻擊事故而受到波及，如今傳出駭客已開始兜售竊得的資料。

根據資安新聞網站Bleeping Computer的報導，駭客團體TeamPCP於網路犯罪論壇宣稱，他們竊得Mistral AI近5 GB的內部儲存庫與原始碼資料，這些是用於訓練、微調、基準測試、模型交付、實驗推論，以及未來專案的檔案，總計涉及450個儲存庫的內容，他們開價2.5萬美元求售，聲稱這些資料只會賣給1個買家，或是Mistral AI支付贖金後，駭客便會永久銷毀這些資料。假若一週內找不到買家，駭客打算在論壇洩漏這批資料。

值得留意的是，雖然Mistral AI在公告裡強調該公司基礎設施未遭到入侵，僅影響一臺開發人員使用的裝置，然而他們向Bleeping Computer透露，TeamPCP成功汙染了部分的軟體開發套件（SDK），上述事故帶來的影響，有待進一步觀察。

'

Nginx重大漏洞已被用於攻擊

來源：https://www.ithome.com.tw/news/175882

5月13日F5修補網頁伺服器Nginx資安漏洞CVE-2026-42945，此漏洞是在18年前引入，有可能造成伺服器服務中斷（DoS），在特定情況下攻擊者還能用於執行任意程式碼，CVSS v4.0風險為9.2分（滿分10分），如今有研究人員提出警告，他們已偵測到積極利用的現象。

VulnCheck漏洞研究員Patrick Garrity於職場社群網站LinkedIn提出警告，他們在5月16日於蜜罐陷阱首度偵測到CVE-2026-42945被積極利用的跡象。雖然Nginx伺服器必須導入特定的重新寫入組態設定才會受到影響，但由於攻擊者無須通過身分驗證就能利用，再加上全球約有570萬臺伺服器尚未套用新版程式，儘管實際上真正存在風險的伺服器數量有限，VulnCheck也並未說明遭到利用的其他細節，但用戶仍應儘速採取防範措施。

'

AWS強化Amazon EMR on EC2可觀測性，新增近即時日誌串流與YARN Application ID對應功能

來源：https://www.ithome.com.tw/news/175884

隨著企業持續擴大在雲端大數據處理服務Amazon EMR on EC2上的資料處理與分析工作負載，AWS於5月12日公布這項服務的可觀測性功能更新，強化日誌蒐集、監控介面與指標管理。

這波更新的重點之一，是自Amazon EMR 7.11.0版起，支援將叢集日誌近即時串流到雲端日誌服務Amazon CloudWatch Logs。使用者啟用CloudWatch日誌功能後，不需要另外透過叢集啟動自動化指令Bootstrap Actions或手動設定代理程式，Amazon EMR即可擷取並串流EMR步驟執行日誌、分散式運算引擎Spark的驅動程式與執行器日誌。AWS也新增步驟層級的Amazon S3日誌控制，企業可針對個別步驟指定專屬的S3日誌路徑與金鑰管理服務AWS KMS金鑰，以因應多租戶環境或不同資料分級需求。

另一項更新則是擴充Amazon EMR主控臺功能，新增叢集資源管理介面YARN ResourceManager UI與查詢執行監控介面Tez UI的直接存取能力，讓使用者不必建立加密遠端連線SSH通道、透過代理連線，或直接連線至叢集節點，就能檢視執行中工作的資源配置、查詢執行計畫與容器日誌。AWS也在步驟細節面板中加入應用程式識別碼YARN Application ID顯示，方便使用者直接比對EMR步驟與底層YARN應用程式，加快問題追查流程。

在指標監控方面，AWS也補強自訂指標相關文件與設定說明。Amazon EMR預設會每5分鐘將叢集層級指標傳送到CloudWatch；自Amazon EMR 7.0版起，啟用CloudWatch代理程式（CloudWatch Agent）後，可收集1分鐘間隔的詳細指標；Amazon EMR 7.1版則導入自訂指標分類，讓用戶可更細緻地定義分散式資料處理框架Hadoop、資源管理系統YARN與分散式資料庫HBase等元件的監控項目。不過，若啟用CloudWatch Logs與自訂指標功能，仍會依日誌擷取量與指標發布頻率產生額外CloudWatch費用。

'

Dell SupportAssist服務引發Windows BSOD災情

來源：https://www.ithome.com.tw/news/175883

近日Dell電腦新版的SupportAssist引發部份用戶裝置的藍色死亡螢幕（Blue Screen of Death，BSOD）災情，並使電腦陷入無限重開機循環。

上週有用戶Sygent在Dell用戶論壇反映，在5月8日安裝Dell Update 5.5.16.0及其內建的SupportAssist Remediation 5.5.16.0和Dell SupportAssist OS Recovery外掛後，系統每30分鐘出現藍色死亡螢幕（BSOD）後無預警自動重啟的狀態。欲暫時緩解，移除SupportAssist Remediation就能排除問題，Sygent即為按下Win + R鍵，輸入services.msc，找到名為Dell SupportAssist Remediation的服務，再從「啟動類型」改為「停用（Disabled）」。

SupportAssist Remediation是安裝在Dell電腦的背景工具，主要是在作業系統或開機發生嚴重錯誤時，提供自動修復環境，協助使用者排除開機障礙或緊急復原系統。Dell SupportAssist OS Recovery外掛則可協助作業系統復原。可移除病毒、偵測問題、最佳化設定，或通知更新。

目前用戶通報受影響機種包括XPS 15 9530、Dell Pro Plus 14/16、XPS 15、Precision 3571、Pro Max Tower T2及Alienware 16 Area-51、Alienware M16 R2等機種。引發Alienware機種BSOD的是Alienware SupportAssist Remediation服務。

Dell官方表示已經獲知狀況，正在解決問題。Dell指出，Dell SupportAssist Remediation service或Alienware SupportAssist Remediation service，與主要Dell SupportAssist應用程式分開運作，目前最佳解決方式正是移除Dell/Alienware SupportAssist Remediation service 5.5.16.0。用戶可以透過Windows「設定」>「應用程式」>「已安裝應用程式」中找到這兩項服務來移除之。

Dell也提醒，移除後，經由Dell OS SupportAssist Recovery 建立修復點也會移除。但用戶後續可以再透過SupportAssist App或Dell Command Update來安裝最新版Dell SupportAssist Remediation service。

'

Mozilla推出Firefox 150.0.3，修補多項JavaScript高風險漏洞

來源：https://www.ithome.com.tw/news/175874

iThome資安新聞編輯團隊溫馨提醒

擔心錯過重要的資安新聞嗎？資安日報與資安週報即日起推出免費電子報訂閱，每天每週直送資安要聞，提供專業、易懂、便於轉述的最佳中文資安情報，助你掌握全球與臺灣最新資安脈動。

'

Akamai將斥資2.05億美元收購LayerX，強化AI與瀏覽器安全

來源：https://www.ithome.com.tw/news/175881

美國資安與雲端運算業者Akamai Technologies週四（5/14）宣布，已簽署最終協議，將以約2.05億美元收購以色列瀏覽器安全新創LayerX Security，交易預計於今年第三季完成。Akamai表示，此舉將強化其零信任（Zero Trust）與AI使用控制（AI Usage Control）產品線，以因應企業員工大量使用生成式AI、SaaS AI服務與AI代理人所帶來的新資安風險。

LayerX成立於2021年，總部位於以色列臺拉維夫，由Or Eshed與David Vaisbrud共同創辦，主打瀏覽器安全與AI使用控管技術。LayerX的方案可直接部署在既有主流瀏覽器上，不要求企業改用專有企業瀏覽器，也不必調整基礎設施，即可監控與控管員工在瀏覽器中的AI互動行為。

Akamai指出，瀏覽器如今已成為多數企業工作的主要介面，也是員工使用生成式AI應用、SaaS AI服務與AI代理人的入口。LayerX可讓資安團隊即時掌握使用者與網頁內容、Prompt、檔案上傳及SaaS應用程式的互動情境，在不增加員工使用摩擦的情況下提供安全控制。

Akamai執行副總裁兼總經理Mani Sundaram表示，企業客戶正以前所未有的速度導入AI，但既有安全控制工具無法看見員工如何與AI工具互動，也難以掌握他們向大型語言模型分享了哪些內容。收購LayerX後，Akamai將能在AI實際使用的當下建立控制層，協助企業兼顧AI導入速度、安全與合規。

交易完成後，LayerX團隊將加入Akamai的零信任組織。LayerX將補上瀏覽器端的AI使用控制能力，與Akamai既有的零信任網路存取（Zero Trust Network Access，ZTNA）、AI應用程式執行期保護，以及AI推論工作負載分段等技術互補，形成從使用者、應用程式到基礎設施的防護架構。LayerX也是Akamai過去5年內第4起位於以色列臺拉維夫的資安併購案

LayerX共同創辦人暨執行長Or Eshed表示，保護人類與代理式AI的使用行為，已成為企業安全領域的關鍵挑戰之一。透過結合LayerX技術、Akamai零信任產品組合與其全球邊緣平臺，企業將能更安全地在全球規模部署AI。

'

OpenAI在美預覽ChatGPT連結個人金融帳戶

來源：https://www.ithome.com.tw/news/175880

上週OpenAI宣布預覽一項個人金融新功能，讓ChatGPT連結其金融帳戶，協助快速了解個人全面的財務狀況。

OpenAI表示，現在每個月全球有超過2億人使用ChatGPT執行預算、詢問投資、比較不同路徑、或為未來目標進行規劃。而底層的GPT-5.5也為ChatGPT賦予更強的推理能力來回答複雜的個人金融問題。

最新服務透過金融科技（FinTech）公司Plaid實現ChatGPT和用戶個人金融機構帳戶的連結。Plaid提供連結銀行與支付App（如Venmo）的API基礎架構，支援美國及加拿大9,600多家金融機構。新服務很快就會整合Intuit，使連結的機構達到12,000多家。

最新服務目前以預覽版提供給美國的ChatGPT Pro方案iOS App及Web版用戶，OpenAI下一步是將之部署到Plus用戶方案，最終目的是推向所有人。

要使用這項服務，使用者需先驗證並串聯金融機構帳戶。第一步是開啟ChatGPT側邊欄的Finances功能，或是在ChatGPT中輸入「@Finances，連結我的帳號」ChatGPT就會導引用戶安全連結其支援的金融機構，例如Charles Schwab、Bank of America或American Express等。完成連結及同步後用戶就能透過ChatGPT顯示的儀表板，看到投資組合表現、支出、訂閱、即將支付的款項等。

用戶除了連結帳戶，還可以告訴ChatGPT其他背景資訊，像是有房貸、存錢目標，或想買什麼，例如「我想明年買車」或「我還欠父母助學貸款」，ChatGPT即會將之儲存在Financial memories中，它會根據帳號資訊、個人目標及其他資料，未來提供更完整而個人化的建議或回應。

對於ChatGPT處理財務資訊，許多用戶不免感到顧忌。為此OpenAI表示，用戶連結ChatGPT和金融帳戶後，也可以隨時中止。同步的帳戶資料會在30天內從OpenAI系統刪除，這個動作不會影響ChatGPT對話紀錄中的財務資訊，但用戶可刪除特定資訊。用戶也可以刪除ChatGPT記憶中用戶輸入的上下文資訊，如個人目標、債務等等。用戶若選擇使用暫時對話，ChatGPT就不會存取用戶連結的財務帳戶，這些對話亦不會顯示在對話紀錄中。最後，OpenAI也允許用戶啟用多因素驗證（multi-factor authentication，MFA）強化帳戶安全。

不確定這項服務未來是否會推向其他市場。

這是OpenAI強化ChatGPT財務功能的最新功能。為了實現財務精算能力，OpenAI上個月才收購個人金融App新創公司Hiro。

'

SAP Business Data Cloud新增Snowflake整合，HANA Cloud加入知識圖譜與MCP支援

來源：https://www.ithome.com.tw/news/175872

企業應用軟體業者SAP宣布擴充商業資料雲SAP Business Data Cloud（SAP BDC）與資料庫服務SAP HANA Cloud，更新重點放在多雲資料整合、資料治理，以及代理式AI應用開發。

在資料整合方面，SAP在SAP BDC加入資料雲端平臺Snowflake解決方案的整合，讓客戶可直接透過SAP使用Snowflake的資料與AI能力，並依不同資料與AI工作負載選擇合適的運算與儲存資源。同時，SAP將資料連接功能SAP BDC Connect延伸到Snowflake，讓原本已支援Databricks與Google Cloud的雙向、零複製資料與中繼資料分享能力，進一步擴及Snowflake平臺。

在資料治理方面，SAP新增資料資產開發功能Data product studio，讓使用者可在單一工作區中，透過視覺化工具與以SQL為基礎的轉換流程，整理、建模及管理可重複使用的資料資產，並支援資料綱要、資料血緣、版本控制與生命週期管理。

SAP同時擴大SAP BDC可提供的資料範圍，新增SAP Cloud ERP、SAP SuccessFactors、永續發展與客戶體驗等領域資料。另一方面，SAP表示，SAP BDC與SAP HANA Cloud之間已可進行雙向資料分享，讓既有SAP HANA Calculation Views等物件，可直接延伸到SAP BDC中使用。

另一波更新則集中在資料庫服務SAP HANA Cloud。SAP將這項產品定位為支援代理式AI與智慧應用程式的AI資料庫，新增自動根據中繼資料產生知識圖譜的功能，並加入模型上下文協定（Model Context Protocol，MCP）支援，讓SAP的AI代理Joule Agents可存取SAP HANA Cloud的多模型處理引擎，不再局限於資料表，還能理解非結構化資料、空間資料、圖學資料與向量嵌入等不同類型資料之間的關係與語意。

'

Grafana Labs存取權杖外洩導致其GitHub程式碼庫遭竊與勒索

來源：https://www.ithome.com.tw/news/175878

開放原始碼IT系統監控與分析平臺業者Grafana Labs最近發生資料外洩事故，起因在於攻擊者非法取得GitHub的存取權杖，以此登入GitHub下載其程式碼庫，並向其勒索。

週日（5月17日）Grafana Labs在社群平臺X和LinkedIn發文，坦承近期發現有個未經授權的團體獲得該公司GitHub環境的存取權杖，使攻擊者得以下載該公司的程式碼庫，根據內部調查指出，這起事故期間並無客戶資料或個人資訊被存取，也查無影響客戶系統或營運的相關證據。

Grafana Labs即刻展開初步鑑識分析，目前已找出身分憑證外洩的源頭、停用遭外洩的憑證，並部署額外的資安措施，進一步保護他們的環境，以防止未經授權的存取。

至於攻擊者，Grafana Labs表示，公司遭到對方的勒索，要求支付贖金以阻止其程式碼庫被公開，對此，Grafana Labs依據自身實務營運經驗與美國聯邦調查局的建議，決定不支付贖金。

Grafana Labs預告，待調查工作完成後，將揭露更多關於事後檢討報告的資訊。

關於攻擊者身分，資安媒體The Hacker News引用Hackmanac與 Ransomware.live這兩個威脅情資平臺的警示，認為可能是勒索軟體組織CoinbaseCartel。

'