Gartner預估2026年全球AI支出達2.6兆美元，AI基礎架構為最大支出類別

來源：https://www.ithome.com.tw/news/175982

市場研究機構Gartner發布最新全球AI支出預測， 2026年全球AI支出將達2.6兆美元，較2025年的1. 8兆美元成長47%。

從Gartner公布的AI支出分類來看， AI基礎架構規模最大，涵蓋AI最佳化IaaS、 AI最佳化伺服器、AI網路架構、 AI處理半導體與相關裝置等項目。這類支出2025年為9, 755.8億美元，2026年預估增至1.4兆美元。

除基礎架構外，AI服務與AI軟體也是主要支出項目。 Gartner預估，AI服務支出將從2025年的4,363. 5億美元，增加至2026年的5,855.3億美元； AI軟體支出則將從2025年的2,829.0億美元， 成長至2026年的4,532.1億美元。

值得注意的是，AI模型支出雖然規模相對較小，但成長速度明顯。 Gartner預估，AI模型支出將從2025年的154. 9億美元，提高至2026年的326.0億美元， 年增幅達110%。Gartner認為， 企業將擴大使用既有軟體應用程式內建的生成式AI模型， 也會在多種工作流程中導入新的AI代理，帶動模型使用量增加。

其他細項也呈現成長，包括AI資安支出從2025年的259. 2億美元，增加至2026年的513.5億美元； 資料科學與機器學習AI平臺支出從212.9億美元增至299. 3億美元；AI應用程式開發平臺則從65.9億美元增至84. 2億美元。AI資料支出規模最小，但也從2025年的8. 3億美元，增加至2026年的31.3億美元。

根據Gartner觀察， 目前全球AI支出主要由科技公司與超大規模雲端業者帶動， 但企業AI支出規模可望從2026年起明顯擴大。 現階段多數企業仍以戰術型AI專案（tactical AI initiatives）為主， 以漸進方式改善效率與生產力，尚未透過AI推動大規模轉型。 在這樣的導入節奏下，CIO面臨的主要挑戰在於如何證明AI投資價值，並提出可衡量的業務成效。

'

面對AI漏洞風暴！資安署籲企業重視基本功，並強調資安實務已從「預防被打」轉向「迅速復原」

來源：https://www.ithome.com.tw/news/175978

面對先進AI模型引發的資安威脅，已成為各國政府高度關切的重點。例如，美、英、加監理機關與銀行高層，陸續傳出對於相關風險的研討，英國國家網路安全中心（NCSC）亦特別提醒企業，必須先完善內部的漏洞管理機制再嘗試使用AI尋找漏洞。如今臺灣數位發展部資通安全署（資安署）亦發布應對作為，強調在AI用於漏洞挖掘與攻擊的能力快速增長態勢下，政府與企業應強化資安基本功，全面強化數位安全韌性。

資安署強調，從目前已公開的多份國際評估與實際攻擊案例可見，新興的AI工具使既有弱點從揭露到遭利用的時間大幅縮短，已超出人力反應速度。

為了因應新興AI模型的快速演進，推動臺灣公私部門進一步強化資安防禦，資安署表示將聚焦三項主要作為：（一）掌握攻防動態：及早掌握新興AI模型應用在資安攻防上的動向，進而引進相關防禦工具與經驗；（二）研討公私部門可行的防護策略：邀集產官學相關利害關係人之決策層共同研商公私部門防護技術及彙集意見，確保政策可行性，以凝聚國家級因應策略；（三）幫助中小企業：強化對中小微企業資安防護的支持、持續推動中小微企業加入TWCERT/CC，不因公司規模較小而錯失資安警訊。

資安署在揭示即將採取的行動之餘，資安署更進一步向國內企業組織呼籲：面臨新興型AI，資安實務正面臨從「預防受駭」轉向「盡快復原、減少傷害」的典範轉移。針對此一思維轉變，企業與政府機關應如何重新檢視自身的資安策略？資安院提出了三大核心觀察與提醒：

首先，攻擊成本驟降使威脅趨於「無差別化」：過去駭客因成本高昂可能只打大目標才划算，如今AI能協助攻擊者自動化掃描整個網際網路，上市櫃公司、中小型企業與地方政府機關都可能成為目標。

其次，「冷門漏洞」與「閒置系統」可能被AI重新利用：Anthropic的技術報告已證實此情形，這代表企業過去在漏洞處理時，因利用難度高或影響範圍有限而排在修補清單末端的項目，現在可能重新成為被攻擊的入口。

最後，企業應從「預防被打」轉向「迅速復原」：企業資安投入的優先順序應轉向關注被攻擊後的恢復時間與損失控制能力，將韌性作為資安投入的優先目標。

另外資安署也針對臺灣中小企業強調建立資安基本功的重要性，並指出AI改變的是攻擊的速度與成本，但並未改變資安的基本原則，因此提醒各界應從策略、管理及技術面穩紮防線。

具體建議如下：在策略面，企業政府高層要將漏洞管理提升為營運級風險；在管理面，強調定期演練復原能力、最小權限原則；在技術面，則是以縱深防禦縮短偵測與反應時間，其具體作法包括優先修補對外系統的CVE漏洞，並在資安管控措施上，全面啟用MFA、採用建立於FIDO2標準的Passkey憑證技術，以及停用非必要的對外服務與測試介面等。

展望更多國際動向，我們其實還看到更多國家的監理體系亦有所行動。例如德國聯邦金融監理局（BaFin）表示成立專門小組負責對金融機構進行專案審計，以因應AI漏洞風暴，還有像是日本金融廳成立「加強金融領域網路安全措施以應對人工智慧相關威脅的公私協調會議」工作小組，這些國際案例不約而同地顯示，全球監理體系對AI漏洞風暴威脅的高度重視。

'

沙箱函式庫SandboxJS修補CVSS滿分重大漏洞，未更新可能導致執行任意程式碼

來源：https://www.ithome.com.tw/news/175977

在5月初，開源JavaScript沙箱函式庫SandboxJS專案發布資安公告，揭露重大漏洞CVE-2026-43898，攻擊者可藉此突破沙箱限制，直接在主機端執行任意JavaScript程式碼。這個漏洞影響0.9.5版以前的SandboxJS，已在0.9.6版中修補，用戶應儘速升級到新版本。

SandboxJS主要用於Node.js與瀏覽器，可在隔離環境執行不受信任的JavaScript程式碼，該元件也常用於外掛程式、線上程式執行平臺與AI代理等環境。這次修補的漏洞CVE-2026-43898，CVSS達到10.0滿分，問題源自SandboxJS提供沙箱內程式使用的createFunction()函式，其隔離機制存在嚴重缺陷 ，攻擊者可藉由偽造上下文（context）與物件參數，呼叫主機端的Function建構函式，進而突破沙箱隔離，而得以在主機端執行任意JavaScript程式碼。

'

微軟預覽伺服器Linux發行版Azure Linux 4.0

來源：https://www.ithome.com.tw/news/175976

微軟本週在北美開源高峰會（Open Source Summit North America）2026上公佈執行於Azure VM上的Azure Linux 4.0預覽版，成為該公司首個執行在雲端伺服器版Linux OS。

微軟同時宣佈為執行於容器最佳化的Linux，名為Azure Container Linux（ACL）全面上線（General Availability，GA），預計6月初擴大部署。微軟指出，Azure Linux 4.0和ACL將提供開發人員為雲端原生和AI應用打造的強化Linux發行版。

微軟在2009年首次將Hyper-V驅動程式2萬多行程式碼開源提供給Linux核心，迄今超過2/3的Azure客戶以Linux為底層執行Kubernetes應用如Microsoft 365、GitHub和OpenAI ChatGPT。

為了讓Azure的主機及容器OS環境得以執行現代化工作負載如AI，微軟公布這兩項作業系統更新。微軟指出，藉由精簡套件、供應鏈透明化強化安全性，並使效能指標從主機到容器一致化。好處是可減少法規限制或敏感性工作負載面臨的攻擊面，且Linux發行版由營運Azure雲端服務的同一團隊維護，也有助於縮小兩個環境的安全空窗。

Azure Linux 4.0由微軟建置與維護，但其核心已由微軟專門的Linux專案改成Fedora、RPM-based Linux發行版，為專為Azure優化的開源免費版。Azure Container Linux則是源自微軟的Flatcar專案，用於執行容器應用。Azure Linux 4.0允許在Azure VM上執行多種應用（如資料庫、網頁伺服器、AI訓練、Web應用）。ZDNet形容它是微軟首個伺服器版Linux發行版。

最後，微軟強調和Linux生態體系的關係。微軟表示「在公開環境開發，並且以上游優先（upstream first）原則貢獻」，強化Azure Linux安全性有助於生態體系的擴大。

微軟前CEO Steve Ballmer曾經稱Linux是癌（Linux is a cancer）。但該公司之後改擁抱開源，並在2016年加入Linux基金會，並開始貢獻程式碼及資金給開源社群。微軟並重申其對開源組織的貢獻，包括對OpenSSF、Alpha-Omega基金會多階段投資，利用AI開源安全方案如代理人技術確保供應鏈安全。微軟也擔任GitHub Secure Open Source Fund基金會的創始夥伴，也是CNCF專案最大公有雲貢獻者及第二大貢獻者，光是上游貢獻就包括Kubernetes、Helm、containerd、Istio和Envoy等專案。而微軟發展並捐出和雲端有關的開源專案還包括Dapr、KAITO、KubeFleet、Radius、Drasi、Copacetic、Dalec、Flatcar、Headlamp、Inspektor等。

'

執法行動Operation Ramz查封53個惡意軟體及網釣伺服器

來源：https://www.ithome.com.tw/news/175975

5月18日國際刑警組織（Interpol）宣布，他們在中東及北非13國執法機關的合作之下，於2025年10月至2026年2月28日展開Operation Ramz行動，針對網路釣魚與惡意軟體活動進行調查，並瓦解惡意基礎設施，共逮捕201名嫌犯，另確認有382人涉及從事網路犯罪活動，查扣53臺伺服器，受害者達到3,867人，這也是國際刑警組織首度在中東及北非地區主導的大規模執法行動。

在這起執法行動中，國際刑警組織也與業界夥伴合作，追蹤非法網路活動並識別惡意伺服器，這些合作的機構，包括趨勢科技、Group-IB、卡巴斯基、Team Cymru，以及Shadowserver基金會。

'

微軟破獲惡意軟體簽章服務平臺Fox Tempest

來源：https://www.ithome.com.tw/news/175974

5月19日微軟宣布成功瓦解自2025年開始運作的惡意軟體簽章服務（Malware-Signing-as-a-Service，MSaaS）平臺，經營者是以經濟利益為動機的駭客團體Fox Tempest，他們濫用微軟的Artifact Signing系統為惡意程式簽章，使其能暫時躲過資安系統的偵測。值得留意的是，由於Rhysida、INC、Qilin、Akira等勒索軟體駭客組織都採用Fox Tempest的服務簽署惡意程式，進而成功入侵全球數以千計的電腦，這項瓦解網路犯罪服務的活動，將重創網路犯罪生態。同日微軟在美國紐約南區聯邦地方法院對Fox Tempest提出訴訟，並指出另一個勒索駭客組織Vanilla Tempest（Vice Society）與其存在合作關係。根據調查，Fox Tempest偽造超過1千個憑證，並透過數百個Azure租戶來提供相關服務。今年5月微軟在資安公司Resecurity的協助之下，中斷這些駭客的業務，並撤銷超過1千個偽造憑證。

除了Vanilla Tempest，Fox Tempest也與Storm-0501、Storm-2561、Storm-0249等勒索軟體駭客團體有合作關係，這些駭客都曾採用Fox Tempest簽署的惡意軟體從事活動，並透過惡意廣告或搜尋引擎最佳化中毒（SEO Poisoning）作為散布惡意軟體的管道。

'

OpenAI與Dell合作讓Codex支援企業混合雲與本地環境

來源：https://www.ithome.com.tw/news/175963

OpenAI與Dell宣布合作，將讓Codex連接Dell AI Data Platform，並探索與Dell AI Factory介接的方式，使企業能在混合雲與本地環境中使用Codex。該合作重點是讓Codex更接近企業既有的資料、系統與工作流程，支援大型組織在所需的控管條件下導入AI代理。

Codex是OpenAI提供的程式開發輔助工具，OpenAI表示，目前每周有超過400萬名開發者使用Codex。企業已將Codex用於程式開發流程中的多項工作，包括協助程式碼審查、提高測試涵蓋率、在服務異常時協助事件應變，以及理解大型程式碼庫中的程式與文件脈絡。

這次合作首先著眼於Dell AI Data Platform，OpenAI指出，許多企業已使用該平臺在本地環境儲存、整理與治理企業資料。Codex連接這類資料環境後，可更接近企業內部工作所需的脈絡，例如程式碼、技術文件、業務系統、營運知識與團隊工作流程。

OpenAI與Dell也將探索Codex、ChatGPT Enterprise與其他API型方案介接Dell AI Factory的方式。相關方向包括準備資料、管理企業核心紀錄系統、執行測試，以及部署可整合企業混合雲或本地Dell基礎架構的AI應用。不過，這部分仍屬雙方探索方向，公告並未說明具體上市時程或完整產品方案。

Codex原本主要被視為程式開發工具，但OpenAI在公告中也提到，部分團隊已開始將Codex驅動的代理用於更廣泛的知識工作，例如跨工具蒐集脈絡、準備報告、分派產品回饋、評估潛在客戶、撰寫後續信件，以及協調不同業務系統中的工作。

'

NVMe協定啟動後量子密碼學規格更新，因應量子運算時代加密威脅

來源：https://www.ithome.com.tw/news/175970

負責NVMe儲存協定標準制定的NVM Express聯盟近日表示，正著手更新NVMe協定規格，導入後量子密碼學（PQC）支援，以因應未來量子運算對於現有加密技術的威脅。

擔任NVMe管理介面工作組主席（NVMe Management Interface Task Group Chair），鎧侠（Kioxia）的SSD標準首席工程師（Principal Engineer, SSD Standards）John Geldman，今年1月便透過公開一段談話的影片，簡述NVMe聯盟已開始著手為NVMe協定引進PQC支援。而在日前發表的部落格文章中，John Geldman進一步說明NVMe協定支援PQC的具體方式與時程，包括採用NIST PQC演算法，還將支援長度更大的金鑰、寬度更大的欄位，以及修訂加密協定的定義，以符合NIST與CNSA 2.0等標準的要求。

NVM Express聯盟目前已啟動PQC技術提案的第一階段，第二階段預計於2026年上半年展開，目標是在2026年下半年，正式將PQC支援納入NVMe協定標準。

'

CISA於GitHub曝露AWS GovCloud金鑰、內部系統憑證

來源：https://www.ithome.com.tw/news/175968

許多企業組織因開發人員不慎於公開GitHub儲存庫暴露機密，這樣的情況不時有事故傳出，如今專責資訊安全的政府機關竟也發生類似問題。

根據資安部落格Krebs On Security報導，資安公司GitGuardian發現美國網路安全暨基礎設施安全局（CISA）的公開GitHub儲存庫，存在多個高權限的AWS GovCloud政府雲端服務帳號，以及大量CISA內部系統憑證，由於儲存庫公開的資料透露CISA如何在內部建置、測試及部署軟體，而可能成為近年來美國政府最為嚴重的資料外洩事故，對此，CISA發言人表示，他們已知悉此事並著手調查。

此儲存庫被命名為Private-CISA，內容為大量內部CISA與國土安全部（DHS）的憑證與檔案，包括雲端金鑰、權杖（token）、明文密碼、事件記錄，以及其他敏感的CISA資產，疑為承包商維護。GitGuardian研究員Guillaume Valadon認為，暴露的CISA憑證是資安衛生不良的典型範例，根據GitHub帳號的事件記錄資料，CISA管理員試圖關閉儲存庫部分預設組態設定，以阻止使用者在公開儲存庫發布SSH金鑰或其他機密資料。Valadon特別提到，密碼明文儲存在CSV檔案，並透過Git備份，還有下達明確指令停用GitHub偵測帳密資料的記錄，並指出這是他職業生涯看過最嚴重的資料外洩事件。

他看到其中一個公開檔案importantAWStokens，含有3臺AWS GovCloud伺服器的管理憑證；另一個曝光的檔案是AWS-Workspace-Firefox-Passwords.csv，列出數十個CISA內部系統的帳號和密碼，其中一個系統是Landing Zone DevSecOps（LZ-DSO），為CISA的程式開發環境。資安顧問公司Seralys創辦人Philippe Caturegli確認暴露的AWS金鑰有效，並研判暴露的儲存庫可能是個別操作員作為暫存或同步資料的管道，並非用於特定專案的儲存庫。

'

國內低軌衛星通訊服務將再添生力軍，遠傳宣布成為Amazon Leo在臺授權經銷商

來源：https://www.ithome.com.tw/news/175966

國內低軌衛星通訊市場將再添新的生力軍。遠傳電信宣布與已和Amazon的旗下低軌衛星網路服務Amazon Leo 簽署合作協議，成為其在臺灣的授權經銷商，將高速低軌衛星服務引進臺灣市場。遠傳表示，未來將鎖定政府及企業客戶，提供高韌性通訊服務，最高下載速度可達 1Gbps。

這代表電信業者在低軌衛星的布局競爭進一步升溫。在此之前，中華電信一直是最積極引進衛星通訊服務的業者，包括引進OneWeb的低軌衛星服務，以及高軌、中軌衛星，並多次對外強調布局海、地、星、空多種異質網路，以強化通訊韌性。遠傳電信引進 Amazon Leo，將使臺灣在通訊韌性上的選擇更加多元。

Amazon Leo的前身為Amazon於2019年啟動的全球低軌衛星網路計畫Project Kuiper，去年才將計畫更名為Amazon Leo，今年4月初Amazon宣布Amazon Leo將在2026年中上線，提供全球高速網路服務，鎖定偏遠地區與基礎設施不足的市場，Amazon Leo實際在軌衛星逾200顆，僅次於Starlink、OneWeb之外，受到外界注目的新興低軌衛星通訊服務。

遠傳總經理井琪表示，低地球軌道（LEO）衛星具備廣覆蓋、低延遲特性，能在山區、海域或極端天候等傳統網路不易涵蓋的環境中提供連線能力，也適合海事、農業與礦業等特殊場域需求。遠傳希望透過導入Amazon Leo，進一步強化臺灣的通訊基礎韌性。

相較傳統同步軌道衛星，低軌衛星距離地球較近，可降低延遲並提升頻寬。Amazon Leo 主打企業級高速連線，其企業級的旗艦終端設備Leo Ultra宣稱下載速度最高可達 1Gbps、上傳速度達400Mbps，可支援高流量與高即時性的應用，例如遠端監控、災害應變、行動指揮或大型IoT場域。

近年臺灣持續推動通訊韌性建設，尤其在海纜中斷、天然災害及地緣政治風險升高下，衛星通訊已被視為重要的備援方案。數發部推動的「應變或戰時應用新興科技強化通訊網路數位韌性」前瞻計畫，即以低軌衛星通訊作為災害及緊急狀況應變的備援通訊，並使用中華電信引進的OneWeb低軌衛星服務。

去年發生的重大災害，例如4月的花蓮大地震或是花蓮堰塞湖潰堤災情，造成災區地面通訊受到影響，主管機關與電信業者即派遺行動通訊應變車，利用中軌、低軌衛星通訊緊急支援災區救災、災民緊急通訊的需求，發揮衛星通訊建立備援通訊的效果。

此次遠傳電信與Amazon Leo合作，成為臺灣的授權經銷商，接下來將按照國內衛星通訊服務引進程序，向主管機關提出申請，根據媒體報導，預計所有程序完成，可能在明年正式引進Amazon Leo服務。

除了政府與企業市場，低軌衛星亡被視為未來 5G、6G 與非地面網路（NTN）整合的重要基礎。目前相關研究指出，LEO 衛星可與地面 5G 網路形成混合架構，補足偏鄉、海域及跨境通訊需求，但仍需克服衛星切換、天候干擾與頻譜管理等挑戰。

'

Mozilla發布Firefox 151更新，修補逾30項資安漏洞

來源：https://www.ithome.com.tw/news/175965

5月19日Mozilla基金會發布Firefox版本更新，151版強化新分頁Firefox Home的內容呈現方式，並支援用戶在無須關閉視窗的狀態下，清除無痕瀏覽模式（Private Browsing Mode）的連線階段（session）資料，並強化Standard Enhanced Tracking Protection的反追蹤機制，限縮裝置與瀏覽器所能提供的資訊，同時也修補了31個資安漏洞。

根據Mozilla的評估，這次高風險漏洞有6個、中度風險12個、低風險13個。其中，高風險漏洞有2個是有關記憶體安全的臭蟲，分別被登記為CVE-2026-8973與CVE-2026-8975，雖然Mozilla認為它們的嚴重程度屬於高風險等級，不過在美國國家漏洞資料庫（NVD）登記的內容裡，美國網路安全暨基礎設施安全局授權資料發布單位（CISA-ADP）對這兩個漏洞的CVSS嚴重度評分，卻都達到9.8（滿分10分）。值得留意的是，這些漏洞同時影響收信軟體Thunderbird 150，CVE-2026-8975也存在於ESR版Firefox，為此，Mozilla也發布Firefox ESR 140.11、115.36，以及Thunderbird 151、140.11等修補版本的更新。

還有一個高風險漏洞CVE-2026-8948，CISA也認定相當嚴重並評為重大等級，此漏洞存在於DOM: Networking元件，可被繞過同源政策，風險值評為9.1。

'

Google更新AI Studio，可直接生成原生Android App

來源：https://www.ithome.com.tw/news/175964

Google週二（5/19）宣布，旗下AI開發平臺Google AI Studio新增原生Android App生成功能，開發者只需輸入文字提示詞，即可在幾分鐘內產生完整Android應用程式，不需額外安裝軟體、下載軟體開發套件（SDK）或設定函式庫，進一步降低行動應用程式開發門檻。

Google AI Studio原本主要作為Gemini模型的開發與測試工具，讓開發者可在瀏覽器中測試模型、設計提示詞，以及將Gemini能力整合至應用程式。Google近年逐步擴大其定位，從單純模型試驗工具，轉向更完整的AI應用開發平臺，而此次則進一步延伸至行動應用程式建立流程。

Google表示，這項功能可直接產生採用Kotlin語言與Jetpack Compose框架打造的原生Android App。相較於AI目前常生成的Web應用程式，原生Android App可進一步整合裝置能力，例如離線支援、背景服務，以及GPS、藍牙（Bluetooth）、近場通訊（Near Field Communication，NFC）等硬體功能。

開發過程也可直接在AI Studio內完成。使用者可藉由瀏覽器中的Android模擬器預覽與操作App，不必下載大型SDK或建立本機環境；完成後可以USB連接Android手機，透過Android Debug Bridge（ADB）安裝至實體裝置測試。若需要更進階的功能，也可將專案下載為ZIP檔或匯出至GitHub，再交由Android Studio進一步開發。

發布測試版時，開發者可使用Google Play開發者帳號，讓AI Studio自動建立App紀錄、封裝應用程式，並上傳至Google Play內部測試軌道（Internal Test Track），方便後續安裝與驗證。

Google表示，初期版本主要聚焦個人工具、簡易社交應用、硬體感測應用，以及整合Gemini API的AI功能。未來還將加入Firebase整合能力，以及直接從AI Studio邀請Google Play測試人員等功能。

'

微軟修改Edge瀏覽器密碼管理機制，避免開機即載入明文密碼

來源：https://www.ithome.com.tw/news/175961

微軟近日宣布修改Microsoft Edge瀏覽器的密碼管理機制，未來瀏覽器啟動時，將不再將所有已儲存密碼以明文（cleartext）載入記憶體，而是改為僅在用戶需要時再進行處理，以降低由此產生的風險。

這項變更源自資安研究人員Tom Jøran Sønstebyseter Rønning早先的揭露，指出Edge啟動時，會將所有儲存密碼以明文形式載入記憶體。相較下，多數 Chromium 架構瀏覽器，通常僅在使用者需要時才解密與載入特定密碼。

微軟在其聲明中表示，原有Edge的設計屬於既有威脅模型的一部分，並不會增加用戶的風險，攻擊者必須先取得用戶裝置控制權才能存取記憶體內容，但微軟最終仍決定修改設計，以此作為瀏覽器縱深防禦（defense-in-depth）的一環，新版密碼管理機制目前已於Edge Canary測試版本提供，預計隨Edge 148版正式推送到全部用戶。

'