Packagist遭遇供應鏈攻擊，8個套件被感染，駭客意圖透過GitHub散布Linux惡意軟體

來源：https://www.ithome.com.tw/news/176103

過往軟體供應鏈攻擊多半針對NPM或PyPI儲存庫而來，如今有人將目標轉移到Packagist。資安公司Socket揭露針對Packagist的供應鏈攻擊事故，有8個套件受到影響，這些套件上游的儲存庫遭到竄改，被植入相同的惡意指令碼，其功能是從特定的GitHub網址下載Linux二進位檔案，並於系統背景執行。

這些遭到滲透的套件皆屬於透過Composer安裝與管理的套件，不過Socket指出，攻擊者理應惡意程式碼植入composer.json，實際上卻選擇將其植入package.json，顯示攻擊目標鎖定同時採用JavaScript建置工具與PHP程式碼的專案。這種跨生態系統的配置引起他們的注意，原因是開發團隊或資安人員在審核PHP相依性的過程，很可能只留意Composer的中繼資料，忽略套件綁定與生命週期有關的掛鉤（lifecycle hooks）。

值得留意的是，Socket進一步在GitHub搜尋攻擊者控制的帳號，結果在17個小時內找到777個檔案，其中有許多來自Node.js儲存庫，不過，該公司尚未確認有多少來自不同的入侵、分叉或是重複的套件，但上述結果可能顯示整起攻擊活動的規模比預期的更大。

在所有惡意套件的指令碼當中，具備多種高風險的特徵，像是運用curl並停用TLS憑證的驗證機制，從GitHub下載特定的二進位檔案，將其寫入至特定資料夾，並採用偽裝成SSH處理程序的隱藏檔名。此外，該指令碼還會抑制錯誤輸出，執行特定檔案並於背景運作。Socket表示，儘管他們無法取得位於GitHub的第二階段酬載，但根據第一階段的酬載，就足以認定是惡意行為。

'

GitHub出現大規模自動化活動Megalodon，六小時推送近6千筆惡意提交、5,500個儲存庫受害

來源：https://www.ithome.com.tw/news/176093

資安公司OX Security、SafeDep揭露針對GitHub的大規模自動化攻擊Megalodon，攻擊者在5月18日，於5,561個儲存庫提交5,718次惡意內容。這次駭客透過已棄用的帳號與偽造的作者身分，將經Base64編碼處理的bash酬載注入GitHub Actions的工作流程，並將CI機密、雲端憑證、SSH金鑰、OIDC權杖（token），以及原始碼等敏感資料，洩漏到216.126.225[.]129:8443，整個過程僅花了6小時。SafeDep指出，這波攻擊活動使用兩種惡意酬載，一種用於大規模散布，會在每次推送（push）或拉取（pull）請求新增工作流程，目的是將自動化執行的規模擴展到最大；另一種是用於特定攻擊目標，用workflow_dispatch觸發器置換原本的工作流程並重新命名。

OX Security指出，他們確認有超過3,500個儲存庫含有遭植入惡意內容的YAML檔案，且數量仍持續增加。惡意軟體透過偽造的GitHub拉取請求進行散播，每個提交的時間皆完全相同，都是2001年9月17日，並搭配假機器人的身分掩人耳目。

'

老牌數據分析大廠揭AI Coding實戰經驗，要量化AI工具成效與成本

來源：https://www.ithome.com.tw/news/176110

當企業紛紛擁抱AI輔助開發，一定會思考，AI寫程式的成效到底多大。

以大數據分析起家的AI軟體大廠SAS也面臨這個課題，SAS全球研發資深副總裁Jared Peterson在本月SAS Innovate 2026大會上受訪時透露，他們的做法是建立一套衡量機制，來追蹤、比較使用AI輔助開發產生的費用，以及工程師與AI協力產出的程式碼品質和合格數量，再調整投資力道。

不只啟動企業級AI採用計畫，也開始衡量AI輔助開發效益

Jared Peterson帶領SAS全球研發團隊，主導SAS資料與AI平臺的產品開發。他表示，早在生成式AI工具普及前，他的團隊就已採用規格驅動開發（SDD）模式，也就是先定義需求和規格，再由AI產生程式碼，工程師再來調整、迭代。

隨著AI Coding工具快速成熟，SAS也持續擴大內部使用。Jared Peterson指出，SAS內部發起一套橫跨全組織的AI輔助開發計畫，不單單針對研發單位，而是涵蓋所有部門。這項計畫除了鼓勵員工使用AI工具，也特別重視AI投資是否產生效益。

以Jared Peterson帶領的研發團隊為例，大部分開發者主要使用GitHub Copilot這套AI輔助開發工具，而部分被認定為高效使用者（Power users）的工程師，則會進一步取得Claude Enterprise授權版本工具。

其中，SAS會比較不同AI Coding工具的成效，比如，同一批工程師使用GitHub Copilot和Claude Enerprise生成程式碼的品質差異。Jared Peterson透露，目前確實觀察到，部分高效使用者，用Claude生成的程式碼品質更高。但他也點出，主因未必是背後的模型能力差異，有可能是工程師懂如何使用AI工具後，能更有效使用這類工具。

與此同時，SAS也會定期追蹤多項AI Coding指標，例如工具使用率、AI生成程式碼被接受的比例（Accepted lines of code），以及相對應增加的雲端成本，來評估AI是否真的提高開發效率。

如何確保模型選對MCP工具？關鍵是情境工程

除了AI輔助開發，Jared Peterson也進一步說明常見的代理型AI（Agentic AI）架構。

他以生成式AI助手Copilot為例，Copilot就像是使用者互動介面（UI）角色，真正執行邏輯與任務協調的，其實是背後的AI代理（AI Agent），而大語言模型（LLM）則負責理解使用者意圖。這些代理可能單一支執行任務，也可能多支合作，但不論如何，為完成執行任務，代理會透過MCP伺服器來選擇、呼叫適合的工具。

不過，企業建立多代理和MCP架構後，往往會遇到選錯工具的問題，比如代理挑錯工具、Copilot可能誤解使用者需求，或是多代理協作流程不如預期。Jared Peterson指出，這時候，企業需要做的是情境工程（Context Engineering）。

他解釋，情境工程是透過指令、文字描述和上下文限制，不斷縮小LLM可使用的資訊空間，讓模型更容易做出符合預期的選擇。

例如在MCP架構中，每個工具都會附帶文字描述，供AI代理和LLM判斷，哪些工具最適合當下的任務。而情境工程的目的，就是持續優化這些上下文資訊與限制條件，降低模型誤判或選錯工具的機率。

Jared Peterson也坦言，自家幾乎所有Agentic AI的產品背後，都大量使用情境工程技術。

代理型AI要有效好用，得先判斷題目的確定性

至於代理型AI能否解決企業問題，Jared Peterson認為，企業在導入前，必須先理解哪些場景可以接受LLM的不確定性，哪些不能，也就是先判斷這個問題是否需要穩定、可重現的答案，即確定性（Deterministic）與不確定性（Non-deterministic）系統的差異。

尤其，在金融、醫療與政府等高度監管領域，企業往往需要可解釋、可驗證、可重現的決策結果，因此Jared Peterson認為，最理想的做法，不是完全依賴LLM，而是將傳統確定論系統和生成式AI能力，都整合在同一平臺中，再依不同需求選擇適合技術，這也是SAS目前主打的可信任AI服務核心，不是完全取代傳統系統，而是讓生成式AI與既有的決策系統共同運作。

'

AI普及讓詐騙門檻降低！Visa揭示支付威脅新趨勢：犯罪集團轉向攻擊「人」而非破解技術

來源：https://www.ithome.com.tw/news/176108

支付領域的網路威脅出現重大變化，Visa發布2026年春季半年度威脅報告（Spring 2026 Biannual Threats Report），指出網路層面的技術防護雖有成效，但罪犯已將矛頭轉向利用AI與社交工程，誘騙使用者自行授權付款。

報告中指出，隨著支付安全防禦機制的精進，詐欺交易已顯著受到抑制。例如，裝置Token竊取詐欺（Device-token fraud）的相關案件已年減9.6％；而針對卡號資訊進行暴力猜測的列舉攻擊（enumeration），其造成的損失亦下降16％。這反映Visa風險營運中心（Risk Operations Center）主動攔截可疑交易的防護成效，使得傳統的技術性盜刷變得更加困難。

但現今的威脅變化在於，詐騙已成為成長最快的受害類型，在2025年7月至12月間，共偵測到近10億美元的詐騙相關企圖。Visa指出，這代表詐欺不再只是憑證問題，而是行為風險的問題：隨著身分驗證機制的完善，攻擊者轉而說服合法用戶授權非法交易，這也迫使防禦重心必須從「偵測遭竊憑證」，轉向「偵測並瓦解欺騙行為」。

對於威脅重心的轉移，Visa首席風險與客戶服務長Paul Fabara指出，雖然技術層面的保護持續進步，但駭客轉向攻擊「人」這個最脆弱的環節，利用AI生成的欺騙內容和緊迫感來攻破心理防線。而要因應這項轉變，有賴於持續改善各種控制措施，並與銀行、商家、政策制定者及更廣泛的支付生態系密切合作。他並強調，韌性的強弱，取決於所有參與者所處的系統。

'

向量資料庫ChromaDB存在嚴重漏洞，未驗證請求可藉惡意模型觸發RCE

來源：https://www.ithome.com.tw/news/176107

資安業者HiddenLayer揭露，開源向量資料庫ChromaDB的Python FastAPI伺服器存在重大漏洞CVE-2026-45829，攻擊者只要能連到ChromaDB HTTP API，即使未通過身分驗證，也可能透過惡意模型讓伺服器執行攻擊者指定的程式碼。

ChromaDB常用於AI應用，主要功能是把文字轉成可供電腦比對的向量資料，讓系統能找出語意相近的內容。資安人員指出，問題發生在ChromaDB Python伺服器建立資料集合的流程。伺服器會先處理使用者指定的文字轉向量模型設定，下載並載入模型後，才檢查請求者是否具有權限，使模型載入流程早於權限檢查。

攻擊者可送出建立資料集合的請求，指定由自己控制的Hugging Face模型，並將trust_remote_code設為true，讓伺服器允許載入模型倉庫隨附的Python程式碼。伺服器收到請求後，會先連到Hugging Face下載並載入該模型，之後才進行身分驗證。也就是說，這筆請求從外部看起來可能遭到拒絕，但惡意程式碼已經在伺服器上執行。

由於部分模型為了支援特殊架構，會附帶需要執行的程式碼，若伺服器未限制來源，且在驗證前就載入模型，攻擊者便可能把模型倉庫變成入侵入口。研究人員指出，成功利用後，攻擊者可能接觸伺服器程序可讀取的環境變數、應用程式金鑰、掛載的機密資訊以及磁碟上的資料。

HiddenLayer在5月18日公開文章時指出，該漏洞自ChromaDB 1.0.0引入，至1.5.8仍未修補。PyPI頁面顯示，chromadb 1.5.9於2026年5月5日發布，早於HiddenLayer公開研究，其版本說明未明確列出CVE-2026-45829修補內容，因此若使用1.5.9，應先檢查官方後續安全公告或採取研究人員建議的緩解措施。

GitHub相關回報提到，Chroma有Python與Rust兩種伺服器端實作，預設會使用Rust伺服器，而這項遠端程式碼執行問題主要影響Python後端。研究人員建議使用者優先改採Rust實作的部署方式，若仍使用Python FastAPI伺服器，則應限制ChromaDB連接埠，只允許可信任的用戶端存取。

'

數發部今年將與6校合作，結合產業在地問題培養實作型AI人才

來源：https://www.ithome.com.tw/news/176106

在AI快速滲透各行各業之下，國內正加速人才培育，從傳統課堂學習走向以產業場域為核心的實作導向人才培育模式。數發部透過推動產業AI人才計畫，透過產學合作與國際雲端資源導入，強化AI應用落地能力，從「做中學」來培育AI跨域人才。

該計畫為由資策會執行，串連學界與產業界資源，以及國際的AI與雲端技術導入校園與地方產業場域。去年已串聯臺東大學、雲林科技大學、佛光大學3所學校，媒合50家在地產業，帶動超過590名師生投入AI實作與場域驗證，從畜牧、長照到特色餐飲等議題出發，將產業問題轉化為AI應用題目。

今年將進一步擴大至6所學校，包括臺東大學、屏東科技大學、澎湖科技、東華、宜蘭及高雄師範大學，各校鎖定不同的產業領域，包括智慧長者的照護陪伴機器人、智慧農業管理、無人機物流與飛安監測、AI教育助理、智慧檢測、AI校園導覽與模擬面試等場景，推動AI技術進入地方產業與公共服務現場。

在人才培育面向上，數產署與AWS合作規劃舉辦2026生成式AI應用黑客松競賽，透過超過200項AI工具資源與實戰工作坊，導入產業命題與跨域協作機制，預計產出50項AI應用雛型，強化青年解題與實作能力。

數發部次長侯宜秀指出，AI人才培育已不只是知識傳授，而是必須進入真實場域驗證與應用。透過這項人才培育計畫，學生不僅學習AI工具，更能理解產業痛點，培養專案實作與跨領域整合能力，兼具產業知識與AI能力的「π型跨域人才」。

為推動我國的AI發展，數發部先前就提出資金、算力、行銷、人才、資料共五大面向推動計畫，從五大面向建立適合AI產業發展的環境，其中人才方面，透過「AI花園」計畫推動以產業需求為導向的AI人才培育模式，透過校園、企業、國際技術平臺的三方結合，加速AI教育從理論或實驗室向可落地的產業解決方案發展。

'

從IT驅動到AI驅動，南山人壽以Hybrid Workspace重塑數位辦公新常態

來源：https://www.ithome.com.tw/news/176105

當數位轉型進入深水區，企業競爭力已不再只是導入多少新技術，而是能否真正改變員工的工作方式、知識流動與決策效率。對許多企業而言，辦公室依舊是一個固定場域；但對南山人壽來說，「辦公室」正演變為融合實體空間、數位平臺與人工智慧的工作生態系。

南山人壽此次展示的「Hybrid Workspace（混合式工作空間）」策略，不只是內部數位化專案，而是橫跨工作環境、組織文化、流程治理與AI應用的全面重構。從員工走進辦公區域開始，到行動辦公、主管簽核，再到AI輔助知識查詢與專業判斷，數位能力正逐步融入日常工作的每一個環節。

南山人壽副總經理兼數位長呂新科指出，目前企業數位轉型已進入「IT驅動」與「AI驅動」同步推進的新階段。IT驅動著重系統整合、流程數位化與基礎建設升級；AI驅動則是進一步推動知識管理、決策支援與工作效率提升。兩者並非互相取代，而是形成相互支撐的雙引擎。

這套雙軌並進的邏輯，也成為南山人壽Hybrid Workspace的核心，從空間設計改善工作體驗，並以數位工具提升流程效率，再透過AI深化知識應用，逐步為企業建立新的工作常態。

這種新的工作模式，讓科技不再只是支援工具，而逐漸成為組織文化與決策能力的一部分。對南山人壽而言，這場數位轉型帶來的改變，不只是辦公室空間和平臺的變革，更是企業對「工作」本身的重新定義。

從靜音艙到文化標語，展現以人為本的實體辦公空間設計

數位轉型並不只存在於系統介面，實體工作環境本身，同樣是企業文化的重要載體。

南山人壽2025年5月將數位相關團隊遷入「數轉基地」現址後，重新規畫辦公空間，希望讓環境成為激發創意、促進協作的一部分，當員工走進辦公區域，牆面可見鼓勵突破框架與保持創新的標語，這些設計並非裝飾，而是呂新科規畫新的辦公空間時，刻意置入工作動線的「環境語言」，讓創新思維在日常持續被提醒與強化。

靠窗區域設置開放討論空間，白天常成為跨部門同仁聚集進行白板討論與即時腦力激盪的場所；考量午後西曬因素，該區並未規畫為固定工位，而保留彈性使用，反映出企業對工作模式流動性的重新理解。

空間中最具辨識度的設計之一，則是不同尺寸的靜音艙。大型艙以次高峰「次壽山」命名、中型艙取名「七星山」、小型艙則命名為「五指山」，以臺灣山岳呼應「南山」品牌意象，使辦公空間產生文化連結與溫度。

除此之外，站立式的討論桌、升降桌與開放交流區則散布於辦公動線之間，讓員工不需預約會議室，也能快速展開討論；另外，會議室也採用不同AI模型名稱命名，將AI思維融入工作日常，讓每次會議都成為提醒員工持續學習科技變革的場景。

除了效率與創新，南山人壽在空間規畫中，也試圖回應工作者長時間處於數位環境中的需求。

辦公區內配置大量具空氣淨化效果的室內植栽，原因不只是美觀，而是考量IT與數位團隊長時間使用電子設備，可能面臨室內空氣品質與工作疲勞等問題，希望透過環境改善提升舒適度。

座位安排雖仍以部門為單位作為主要區分，但整體傾向共享與流動，不強調固定座位，反映數位工作模式逐漸去中心化的趨勢。

更具象徵性的，是呂新科的辦公室採取開放設計，平時亦作為員工可直接進入討論問題的共享空間。南山人壽表示，當主管辦公室不再是封閉場域，也象徵組織以更扁平的溝通方式，降低部門與階層之間的距離。

不同尺寸的靜音艙，從一人到多人的設計，便利同仁不需要預約會議室，也可以線上會議或小組討論，而靜音艙旁邊也有白板，便利同仁快速站立討論。 照片來源：南山人壽提供

南山人壽新的數轉基地辦公空間，充滿各種植栽和標語的小巧思，從左到右依序：（左）創意跳脫思考框架並有隨處可見的豐富植物；（中）強調OneTeam合作奮鬥無止盡的小標與；（右）將無聊的滅火器畫成潛水夫，增添公共空間的豐富性。 照片來源：南山人壽提供

南山人壽副總經理暨數位長呂新科的辦公室，就是一個用於和同仁開會討論的開放空間，符合他自認工作有八成以上的心力都用於溝通。 攝影 ∕ 黃彥棻

推出myOffice打造行動辦公核心，改善員工與主管工作效率

如果說實體空間改變的是工作文化，那麼數位平臺則重塑了工作流程。

南山人壽自2024年開始建置、並於2025年正式推出「myOffice員工數位辦公室」，核心理念是「One Account、One Portal、One Experience」，希望將分散的內部系統整合至單一入口。

透過同一帳號，員工即可完成差勤、表單申請、公文處理、教育訓練、知識檢索與員工福利等工作，降低系統切換成本，也減少資訊分散造成的效率損耗。

更大的改變在於辦公模式從桌機轉向行動化，過去，許多工作必須回到座位前完成；如今，員工透過手機或平板即可處理日常業務，讓辦公場域從固定工位延伸至任何地點。

例如：員工進入辦公大樓時，可直接透過藍牙Beacon感應完成打卡，不再需要趕著刷門禁卡；系統也會主動推送待簽核表單與未處理公文提醒；會議期間可即時查閱文件，不再依賴紙本列印；各類申請作業亦能隨時送件，讓行政流程更貼近即時協作需求。

行動化最大的效益，則體現在管理流程。南山人壽表示，過去主管若整天參與會議，員工申請事項往往需等到主管回到座位才能簽核，行政流程延宕數小時甚至一天相當常見。

導入myOffice後，表單送出即同步通知主管，主管可隨時透過手機完成核准，大幅縮短等待時間。這項改變看似只是通知方式調整，實際上卻重新定義了企業內部的決策速度。

同時，南山人壽也持續推動無紙化流程，將過往透過Email確認的行政事項轉移至系統內進行，保留完整數位軌跡，提升後續稽核與查詢效率。

對於涉及金流、印鑑或高機密文件，仍保留實體簽署機制，但長期方向仍是逐步擴大電子簽章應用。

南山人壽2025年正式推出「myOffice員工數位辦公室」，將分散的內部系統整合至單一入口，並同步推出行動版，便利員工透過手機或平板即可處理日常業務，讓辦公場域從固定工位延伸至任何地點。

資料來源：南山人壽

探索行動辦公的前瞻應用，確保資安成為隱形基礎建設

在行動辦公持續深化下，南山人壽也開始探索更前瞻的使用情境。目前正進行中的POC（概念驗證）專案，就是將員工識別證整合至Apple Wallet，讓手機直接取代實體識別證，應用於門禁感應與影印設備操作等場景。

這項構想部分來自近年捷運與消費支付全面行動化的趨勢。南山人壽表示，目前該專案雖仍處於測試階段，但也反映出，企業開始將消費科技經驗延伸至內部工作環境，思考辦公體驗的下一步。

當工作邊界消失，資安的重要性反而提高。南山人壽指出，myOffice主要採用MAM（Mobile Application Management）管理模式，而非限制更高的MDM（Mobile Device Management），以兼顧資安與使用者體驗。

南山人壽表示，MAM行動資安防護系統已設置截圖防護、資料傳輸限制等機制，降低資訊外洩風險。同時，南山人壽預計在2026年6月底前完成M365（Microsoft 365）的全面導入，屆時所有公務溝通與協作將移轉至Microsoft Teams進行，進一步強化資安架構的完整性。

推出myGuru，讓每位員工擁有自己的AI知識大師

當數位流程逐漸成熟，下一步便是讓AI成為工作夥伴。建立在myOffice基礎之上，南山人壽推出生成式AI助理「myGuru」，名稱取自梵文中的「大師」，代表希望每位員工都擁有隨時可諮詢的知識顧問。

從架構設計來看，myGuru的運作涵蓋四個核心層次。最前端是員工與系統互動的輸入介面，支援對話式問答與檔案上傳兩種模式，員工可透過myOffice或Microsoft Teams直接開啟。輸入進入系統後，首先經過「TAG護欄」進行意圖分析與內容安全審查，確保每一筆查詢都在合規範圍內被處理，內容安全把關完成後，系統才進入知識庫的檢索與生成環節。

知識庫端整合了南山核心知識與公開資料庫，底層技術架構包含Embedding Model（將知識轉化為可供語意搜尋的向量表示）、LLM（大型語言模型，負責理解問題與生成回覆）、以及文字探勘與關聯演算等功能，這些能力共同支撐起myGuru在理解語意、跨文件關聯與精準回覆上的表現。

知識上稿機制則讓各部門可以持續將最新文件、公告與專業內容補充至知識庫，確保AI取用的資料具有時效性；整個系統運行於雲端Server與API層之上，透過數據中臺統一管理資料流與AI工程資源。

在實際應用場景中，myGuru整合了內部規章、法規、公告、福利資訊與各部門專業知識庫，員工可透過自然語言提問或上傳文件，由AI分析需求、搜尋知識來源並生成回覆。

例如，新進同仁詢問防火牆升級流程時，系統可立即提供完整操作步驟；詢問公司籃球聯賽資訊，也能直接從公告中找出賽程與比賽內容，讓原本需要搜尋文件、翻閱信件的工作，開始轉變為對話式取得答案。

打造領域型AI助理，從通用問答走向專業決策支援

南山人壽並未將AI定位為單一通用工具，而是依據使用族群與應用深度，明確區分出兩種不同層級的AI助理部署策略。

面向全體同仁的「通用型AI助理（Assistant AI Agent）」，以myGuru為代表，目標是提供日常通用作業輔助，功能涵蓋公司通用知識查詢、法規問答與日常辦公協作，資料來源包含公開知識、一般語料與通用知識庫，是每位員工在工作中隨時可用的第一層知識入口。

而針對特定業務場域的「領域型AI助理（Expert AI Agent）」，則服務於有高度專業需求的特定部門或小組。這類助理的目標是解決理賠、核保、法遵、客服等特定領域的應用問題，功能強調特定應用場景的即時檢索、摘要與生成，資料來源嚴格限定於公司內部SOP、公文、合約與案例資料庫，以確保回覆的專業性與準確性。

以法令遵循部門為例，由於日常工作涉及大量法規解釋與案例查詢，南山人壽已建立專屬法遵AI智能助理。這套助理能夠針對監理案件進行跨文件的快速摘要與比對，幫助法遵人員在審查大量案件時，迅速掌握關鍵資訊、識別潛在風險，並生成具參考價值的處理建議，大幅減少人工翻閱文件的時間成本，也讓專業判斷能夠建立在更完整的資訊基礎之上。

這兩種AI助理定位的差異，也反映出南山人壽在AI部署上的一個核心判斷：通用型助理解決的是知識取用的效率問題，領域型助理解決的則是專業決策的品質問題。兩者共同構成南山人壽AI應用的完整光譜，從日常問答延伸至高度專業的業務支援。

不過，南山人壽也強調，AI能力最終取決於知識品質。該公司近年來持續投入知識工程，要求各部門將經驗與流程轉化為結構化文件，作為AI學習基礎。

在生成式AI時代，「Garbage in，garbage out」仍是最核心的原則──輸入的知識若不完整、不可信，AI便無法產出可信答案。這份對知識品質的堅持，以及IT與AI雙軌並進的戰略布局，正是南山人壽在數位轉型道路上有別於其他業者的核心競爭力所在。

'

PHP開發框架Laravel的語言套件遭挾持，駭客植入竊資軟體

來源：https://www.ithome.com.tw/news/176082

5月22日資安公司Aikido發現，PHP開發框架Laravel的第三方語言套件專案Laravel Lang，其GitHub儲存庫遭到入侵，攻擊者針對三個套件，分別是laravel-lang/lang、laravel-lang/attributes、laravel-lang/http-statuses，發布指向帶有惡意程式碼版本的標籤，並在這些程式碼注入可竊取憑證的程式碼，並藉由composer元件的自動載入功能執行。Aikido強調，由於惡意程式碼未曾提交到Laravel的官方儲存庫，而特別難以察覺，攻擊者建立標籤，並指向他們控制的惡意分叉（fork）當中的提交內容。他們一共看到有233個版本的套件遭到入侵，同時該公司也向Packagist進行通報，Packagist立即移除惡意版本，並暫時下架受影響的套件，以防止災情擴大。

資安公司Socket、Step Security也著手調查此事，並指出還有一個專案Laravel-Lang/actions也遭遇攻擊。Socket指出，這起事故在Aikido揭露後，截至23日仍持續存在，總計超過700個套件版本存在惡意程式碼，而且，部分版本標籤出現連續發布的現象，發布間隔只有幾秒，由於這種情況在一般的套件維護流程並不常見，再加上所有受影響的儲存庫都由Laravel Lang經營，因此Socket研判，攻擊者可能已經有辦法存取到組織層級的憑證、儲存庫的自動化流程，或是發布套件的基礎設施。

對於駭客注入的惡意程式碼，Socket指出，當中利用龐大的正規表達式字典來抓取檔案、資料庫，以及環境變數的內容，藉此搜刮各種API金鑰，範圍涵蓋雲端環境、容器、HashiCorp Vault、CI/CD管道、加密貨幣、瀏覽器、密碼管理工具、即時通訊軟體與FTP程式、檔案與本機組態設定，以及系統資訊和處理程序等。

Step Security指出，在上述受影響的套件當中，每個Git標籤都被竄改，目前除了根據2026年5月22日前的提交SHA值來判斷，並無鎖定的安全版本可供使用，換言之，只能根據提交的SHA雜湊值，來確認本機取得的版本是否為惡意版本。該公司指出，即使是幾年前發布的版本，目前也顯示建立時間在不久之前的現象，原因是所有標籤都被攻擊者透過新的提交（commit）強制推送而遭覆蓋籤。其中，laravel-lang/lang是本次攻擊者的主要目標，全部502個標籤都被竄改；laravel-lang/attributes、laravel-lang/actions分別有86個和46個標籤被竄改；最近一個被揭露遭駭的套件laravel-lang/http-statuses，Step Security雖未透露受害版本的數量，但指出從v1.0.0至v3.4.5的所有標籤都受到影響。

'

CIS發布Benchmark安全設定基準更新，涵蓋PostgreSQL、Kubernetes與SQL Server

來源：https://www.ithome.com.tw/news/176104

非營利的資安組織網際網路安全中心（Center for Internet Security，CIS），近日發布CIS Benchmarks更新，新增多項針對雲端、容器與作業系統環境的安全設定基準，涵蓋PostgreSQL、Kubernetes、SQL Server、AWS、微軟Office 365等平臺，協助企業進行系統安全強化（Hardening），降低設定錯誤的風險。

CIS Benchmarks是CIS發布的安全設定與強化基準，涵蓋作業系統、雲端服務、資料庫、網路設備與容器平臺等環境，廣泛被用於資安稽核、法規遵循與系統安全檢查。

在這次更新中，CIS新增多項新版軟體平臺的CIS Benchmark安全基準，包括多款資料庫的新版本，如PostgreSQL 18、微軟SQL Server 2025、IBM Db2 12.1，容器平臺Kubernetes的1.34與1.35版，開源防火牆OPNsense 、行動裝置作業系統Apple iOS與iPadOS 26， 還有符合安全技術實作指南（Secure Technical Implementation Guide，STIG）的Amazon Linux 2023、Mozilla Firefox與Office 365 ProPlus。

另外CIS這次也同步發布多款既有Benchmark的重大更新，涵蓋微軟Azure Foundations、Amazon Linux 2，VMware ESXi 8.0、Oracle Database的19c與26ai版，Apple iOS與iPadOS 17與18，IBM AIX 7，以及Cisco IOS等應用平臺。

除了前述更新，由於CIS不久前才發布針對AI與HPC環境的強化映像檔（Hardened Images），顯示其安全強化基準正逐步擴展到AI應用環境，或許不久後也會推出這方面的CIS Benchmark。

'

關係圖譜技術讓南山人壽的保單聯絡資訊比對，從數小時壓縮至一分鐘內

來源：https://www.ithome.com.tw/news/176102

在金融監理機關的規範要求下，保險公司對於保單聯絡資訊的集中比對一直是風險管控的重要環節；然而，傳統的資料比對方式依賴大量資料表格的逐一掃描，效率低落且耗時費力。

南山人壽於本次數位創新發表會中揭示了「防弊哨兵」專案，以關係圖譜技術為核心，將原本需要數小時才能完成的聯絡資訊比對作業，大幅壓縮至一分鐘以內，同時透過視覺化介面讓異常模式一目了然。

監理規範背景與資料比對的傳統困境

南山人壽說明，在金融保險業的監理框架中，保戶聯絡資訊的高度集中──例如多張保單共用同一地址，或保戶與業務員、理財專員登記相同聯絡資訊──這些都可能是潛在舞弊行為的訊號。

依據主管機關的檢查意見，保險公司需落實相關的檢核管控機制，主動識別這類異常態樣，並在必要時進行進一步的照會調查。

然而，過去的作業模式是以人工或批次掃描散落於各資料庫中的大量資料表，涵蓋通訊處資料、新契約與續期案件、各類聯絡資訊，以及銀行通路合作的理專資料等。

南山人壽指出，這樣的比對流程，不僅作業時間以小時計算，所產出的結果也多為密密麻麻的表格數據，需要有相當資料分析背景的人員才能有效解讀，無形中提高了調查工作的門檻。

透過關係圖譜技術，從碎片化資訊中找出隱形的線

「防弊哨兵」的核心技術是關係圖譜。南山人壽解釋，關係圖譜的基本結構是由節點（代表各類實體，如人、地址、保單）與連線（代表節點之間的關聯）構成的網路，能夠將原本散落在不同資料表中的資訊整合成一張可視化的關係地圖。

這項技術的兩個關鍵特性，第一是打破資料孤島，將過去分散在各資料庫的資訊，透過圖譜節點化後可以快速建立橫向關聯；第二是路徑發現，當有了節點關係之後，系統便有能力辨識出原本隱而不顯的異常連結路徑。

在「防弊哨兵」的應用中，圖譜的節點設計涵蓋：保戶、要保人、被保人、業務員、理專、通訊處、金融機構，以及地址、電話、Email等各類聯絡資訊，節點之間的連線，則反映出這些實體之間的各種關聯。

當一筆新案件進入系統，系統即時將新資訊與既有圖譜進行比對，若比對結果顯示異常的共用聯絡資訊態樣，便自動標記為潛在異常案例，進入後續的照會與調查流程。

圖片來源：Gimini AI產出

從每月批次到每日即時，效率躍升的具體實踐

南山人壽清楚呈現了導入圖譜技術前後的對比，過去是每月執行一次批次比對，以大量資料表掃描方式進行，一次作業可能耗費數小時；而導入圖譜技術之後，比對作業改為每日自動執行，且每次完成所需的時間已縮短至一分鐘以內。

這項效率提升不僅減輕了資訊部門的作業負擔，也讓風控單位能夠以更接近即時的頻率掌握異常動態。

在現場示範環節中，南山人壽以示範資料實際展示了圖譜的操作介面。畫面中呈現出多個由節點群集而成的視覺化圖形，每個群集代表一組共用相同地址的保戶群體。

當點選特定地址節點展開後，系統顯示出有四名保戶共用同一地址，而其中一名保戶同時具有理財專員的身份，形成保戶與理專之間的地址重疊關係。南山人壽說明，這樣的案例需要進一步確認當事人是否具有親屬關係；若無法確認，則將進入正式的調查照會程序。

這種圖形化的呈現方式，讓非IT背景的業務人員也能直觀理解異常關係的結構，大幅降低了調查工作的解讀門檻。

南山人壽透露，「防弊哨兵」系統於2025年12月底正式部署上線，是由科技創研中心與核保部、保護服務部共同合作開發的自主研發成果。

目前系統已進入實際運作（Production）環境，並持續累積運作數據，至於系統迄今已偵測到的具體案例數量，南山人壽表示，相關數據尚需進一步評估後才能對外公布。

圖譜技術的三條延伸應用路徑

南山人壽強調，「防弊哨兵」只是關係圖譜技術在公司內部應用版圖的第一步。隨著圖譜資料的持續擴充，這套基礎架構具備對三個方向延伸的潛力。

第一是「家戶關係經營」，透過地址與聯繫資訊的聚合，系統可以自動識別出隱形的家戶關係，進而定位家戶中保障最完整的關鍵決策者，找出家庭中的保障缺口，並在分派孤兒保單時，改採家戶關聯原則，讓同一家庭的服務關係盡可能集中在同一位業務員身上，提升服務一致性與客戶體驗。

第二是「保險商品推薦」，結合家戶視野與客戶個人的風險評分、健康狀況與消費力等多維度資料，系統可以更精準地推薦符合客戶實際需求的保障商品，從銷售導向轉型為需求導向的服務模式。

第三是「詐欺關聯網絡偵測」，將醫療診斷書、醫師、疾病與醫院資訊納入圖譜節點，系統便有能力識別出涉及醫療詐欺的隱性網絡結構，強化保險業在理賠審核端的風險防線。

南山人壽指出，這些應用方向已在同業（如安聯保險）以及科技平臺（如Facebook的社交圖譜、Amazon的商品推薦）中獲得驗證，都是成熟可行的圖譜技術應用路徑。

'

南山人壽打造「業務員智能對練」系統，AI扮演客戶讓銷售訓練隨時發生

來源：https://www.ithome.com.tw/news/176100

保險業的業務訓練向來高度仰賴人際傳承，資深業務員的經驗難以被系統化複製，新進人員的養成也因此受到時間、地點與主管個人風格的多重限制。

南山人壽在日前的數位創新成果發表會中，推出自主研發的「業務員智能對練」系統，以AI技術打破這道訓練瓶頸，讓每一位業務員都能在任何時間、以任何頻率，與高擬真度的AI虛擬客戶反覆演練銷售情境。

AI Agent時代的訓練革命，從單一工具到自主代理人

南山人壽副總經理兼數位長呂新科表示，南山人壽今年正在積極推進的方向，正是AI代理（AI Agent）的應用——隨著大型語言模型的成熟，AI已不再只是執行單一任務的工具，而是能夠在複雜情境中自主判斷、協調多個資源、完成端到端工作流程的「代理人」。

他認為，這種能力，對於保險業這種充滿複雜業務規則、跨部門協作需求與處理大量文件的產業而言，潛力尤其巨大。

呂新科進一步說明，他將南山人壽今年的數位轉型工作定義為「IT驅動」與「AI驅動」的雙軌交織。傳統IT基礎建設的現代化、資訊系統的流程自動化，這些工作並沒有因為AI的興起而停止，反而成為AI落地的重要前提。

他強調，「雙軌交織」不是分流，而是一種協同──IT自動化奠定基礎，AI智能化在其上疊加，兩者相輔相成，才能讓轉型的效益真正釋放出來。而「業務員智能對練」系統，正是這個理念在業務人才培育場域中最具體的體現。

傳統訓練的三大結構性痛點

南山人壽在說明這套系統的開發背景時，清晰地梳理出現行業務訓練模式的三個核心問題。

第一是時間與地點的限制，傳統的通關演練需要業務新人與主管面對面進行，雙方必須找到共同的空檔與場地，演練的頻率與次數因此大幅受限。

第二是演練標準不一，每位主管的從業經歷、溝通風格與銷售邏輯各有不同，給予新人的建議品質難以標準化，同一套教材在不同主管手中可能產生截然不同的詮釋與傳授方式。

第三是自主演練意願低落，當新人想要主動練習，卻找不到對象陪練，或主管因輔導頻率不足而無法及時支援，新人的自主學習動力便容易在挫折中消磨殆盡。

「我們希望透過系統化的方式，讓業務員隨時都可以練。」南山人壽如此表達這套系統的設計初衷。

圖片來源：Ginmini AI產出

一個核心模型，三個協同運作的AI角色

從系統架構來看，南山人壽採用一個核心語言模型，同時訓練出三個功能不同的AI機器人，協同完成整個演練流程。

第一個AI扮演虛擬客戶，根據預設的人物背景設定──例如一位有特定財務需求、身處三明治族群的科技業主管──與業務員進行情境互動對話，依據業務員的每一句發言，動態生成貼近真實的回應。

第二個AI負責關卡控制，在預設的銷售腳本架構中，引導業務員逐一應對各個對話節點，確保訓練的方向性不被稀釋；第三個AI是獨立的評分教練，全程記錄互動行為，在演練結束後給出逐項評分與具體的改善回饋。

這三個機器人的協同運作，模擬業務員從備戰銷售到實戰接觸客戶、再到復盤改進的完整學習閉環，將傳統需要真人陪練的高時間成本訓練方式，轉化為可隨時隨地進行的低成本AI輔助學習模式。

AI扮虛擬客戶讓演練貼近真實，演練後產出個人化評分報告

在系統的實際運作中，業務員登入後可選擇不同的演練情境，例如：針對不同生命週期族群——包括「三明治族群」或社會新鮮人——介紹人生收支曲線圖，該智能對練系統會為每個情境配置具體的虛擬客戶背景資料，包括姓名、年齡、職業與家庭狀況，讓業務員在開口之前就能建立對話的脈絡感。

在發表現場的實際示範中，業務員以語音與AI虛擬客戶「小山」展開對話，介紹人生三階段的財務規畫概念。AI客戶根據業務員的發言內容即時生成動態回應，對話的流暢度與自然度接近真人互動的水準，幾乎感受不到明顯延遲。南山人壽表示，這套系統採用低延遲的即時語音對話架構，是確保演練體驗真實性的關鍵技術之一。

系統內部採用多代理（multi-agent）架構，除了負責扮演客戶的AI角色，還有獨立的關卡控制模組與評分記錄模組協同運作。

以人身收支曲線圖的演練情境為例，整個流程共設計了七個關卡，每個關卡對應業務員在銷售過程中應傳遞的核心訊息，例如三階段架構的說明、收入中斷風險的提示，以及退休規畫的引導等。

當業務員成功傳達某一關卡的核心內容，系統即時判定通關，並引導對話向下一關卡推進。若業務員在對話中偏離主題，系統會透過燈泡提示業務員回歸正題；若偏題時間過長，系統則會主動中止本次演練，並直接進入結果評分階段。

在示範中，當業務員刻意將話題轉向南山人壽的馬拉松活動，AI客戶仍會自然地回應，但系統同時在畫面角落以提示燈號提醒業務員偏離了演練目標。這種設計保留對話的自然感，也確保訓練的目的不被稀釋。

每次演練結束後，系統自動生成詳細的評分報告，告訴業務員各關卡的通過情況、整體表現的總評，以及下次可以改進的具體建議。

南山人壽在現場展示了一份順利通過七關卡的範例報告，報告中除了確認關鍵銷售要點均已涵蓋，也指出在語氣節奏或話術表達可再精進的方向，讓每次演練都成為有效的學習記錄。

透過「業務員智能對練」系統，新進的保險業務員都可以依照自己的時間進行演練，並透過評分機制強化相關的業務知識和溝通技巧。

攝影 ∕ 黃彥棻

難度分級設計，從建立信心到面對挑戰

也有媒體在發表會現場提出「AI客戶太友善、不夠真實」的質疑，南山人壽說明系統初始設定採用友善的客戶人格，並非技術限制，而是刻意的教學設計選擇。

南山人壽表示，在業務員掌握標準銷售流程、建立基本信心之後，才會逐步引入具反對意見的進階情境，例如「我沒有錢」、「我沒有時間」、「你不要約我」等常見拒絕話術。

這套由易而難的分級設計，是為了讓新人能夠循序漸進地內化銷售知識與應對能力，避免過早挫折而影響後續學習意願。

南山人壽並透露，系統底層採用微軟Azure OpenAI作為語言生成引擎，客戶人格與對話風格均由內部團隊客製化設定，因此可靈活調整客戶的個性特質，包括設定成較強勢或多疑的客戶類型，以因應不同階段的訓練需求。

整套系統從規畫到目前的版本，歷時約半年的自主研發，是南山人壽數位生態中心與商品推廣部、組織發展及訓練部，以及數據賦能中心跨部門協作的成果。

'

南山人壽攜手臺北醫學大學，推出「腦力陪跑員」數位認知評估工具

來源：https://www.ithome.com.tw/news/176098

在超高齡社會浪潮席捲臺灣之際，南山人壽於最新一場數位創新成果發表會中，正式揭示旗下由數位生態中心研發的「腦力陪跑員」平臺。這項兼具科技深度與人文溫度的創新工具，以早期認知提醒為核心，透過遊戲化問卷與AI判讀，協助大眾在問題惡化之前，提早察覺自身認知狀態的變化。

總經理親自站臺，以保險人視角點出工具的真實意義

由於失智人口逐漸增加，已成為社會必須關注的焦點，南山人壽總經理范文偉表示，該公司與臺北醫學大學合作推出「腦力陪跑員」的專案，就是透過AI生成的方式，評估使用者在認知功能上的狀態。

他幽默地表示，假如測試結果不甚理想，不必過度擔憂，因為南山人壽備有失智相關保單可供諮詢。他進一步說明，這正是腦力陪跑員的設計精神所在：讓使用者在評估結果出爐的當下，就能接軌到具體的風險規畫行動，而不只是留下一個數字。

范文偉清楚點出南山人壽推出「腦力陪跑員」的底層邏輯，他說，這個工具並不是一個孤立的健康服務，而是一座橋樑，連接著個人對自身認知狀態的覺察，以及保險作為長期風險規畫工具之間的那段距離。

「在人生的馬拉松裡，沒有人應該獨自奔跑。」這句話，是南山人壽為「腦力陪跑員」確立的精神主軸。南山人壽表示，就像馬拉松比賽中的配速員，腦力陪跑員的角色是陪伴使用者看見自己的節奏與風險，而不是在終點宣判結果。這樣的設計理念，從一開始便刻意拉開與醫療診斷之間的距離，讓工具的屬性更接近「日常關懷」，而非「疾病篩檢」。

南山人壽指出，在第一線服務過程中，不論年長族群或中壯年，都曾反映對記憶力衰退的困惑與不安，卻往往不知道是否需要就醫、該從哪裡開始。這個模糊的灰色地帶，正是「腦力陪跑員」希望填補的需求缺口──提供溫和的、可近用的第一步。

與臺北醫學大學合作，科學化設計五大認知領域題庫

為確保工具的專業性，南山人壽與臺北醫學大學附設醫院展開合作，針對國際早期認知衰退問卷量表進行數位化改良，設計出涵蓋記憶力、注意力、語言能力、運算能力與空間感知共五大認知領域的互動題組。

南山人壽強調，這些題目的設計刻意貼近生活情境，而非學術測驗的格式。使用者在作答過程中不會感受到「考試壓力」，而是透過輕鬆的互動方式，讓認知能力的觀察自然發生。

在現場的實際示範中，題目涵蓋記憶詞彙的延遲回想、動物辨識的語言輸出、倒序與順序數字的工作記憶測試，以及需要即時心算的數學邏輯題，每一題都在日常場景的包裝下完成認知評估。

此外，部分題目還引入繪畫互動形式，例如要求使用者畫出立方體或在時鐘圓盤上標示特定時間，系統再透過AI影像判讀技術進行分析，將圖形資訊轉化為認知狀態的評估依據，大幅提升了評估的多元性與準確性。

免登入設計，降低高齡族群的第一步門檻

「最困難的往往不是測驗本身，而是『開始』。」南山人壽在發表中如此說明。為了降低高齡使用者面對數位工具時常見的心理與操作障礙，「腦力陪跑員」採用無需帳號登入的設計，使用者只需掃描QR Code，或透過官網、社群媒體，甚至在Google直接搜尋「南山腦力陪跑員」，即可立即進入測驗，不限裝置、不設門檻。

這樣的設計同時考量了工具的擴散性。南山人壽表示，「腦力陪跑員」並不只針對保戶，而是希望讓更廣泛的社會大眾──無論是否擁有南山人壽的保單，也無論年齡大小，都能輕鬆接觸到這份關懷。

在業務推展上，業務員也可透過這個工具作為與客戶建立話題、深化互動的橋樑，讓服務從產品銷售延伸至健康陪伴。

透過AI判讀產出個人化建議，溫和提醒而非貼標籤

完成測驗後，系統不會給出數字評分，也不會做出任何醫療診斷。南山人壽明確表示，「腦力陪跑員」的定位是「早期提醒工具」，而非「失智篩檢系統」。

因此，結束測驗後，AI會根據使用者在各認知領域的表現，產出個人化的衛教建議，以藍色標籤的形式呈現，告訴使用者哪些面向值得多加留意，以及在日常生活中可以採取哪些具體方式來強化對應的認知功能。

南山人壽強調，這種「不貼標籤、不下診斷」的設計，是為了讓更多人願意正視自己的狀態，而不是因為恐懼診斷結果而迴避評估。

范文偉認同這樣的設計哲學，並表示：覺察是第一步，規畫才是目的。在超高齡社會中，關懷必須更早發生，而早期發現的前提，是讓人們願意踏出第一步。

永續健康戰略布局，數位工具成關懷基礎建設

南山人壽表示，「腦力陪跑員」的推出，是其「永續健康領航者」戰略的具體實踐之一。

過去，保險業對於客戶的服務往往集中在「事後面對」的理賠端；而范文偉表示，南山人壽希望透過數位工具，將服務的觸角進一步延伸至「早期提醒與長期陪伴」，讓南山的關懷能在風險真正形成前便已到位。

'

資安業者Elastic揭露新型銀行木馬TCLBanker，可透過WhatsApp與Outlook自行擴散

來源：https://www.ithome.com.tw/news/176096

資安業者Elastic近日發布報告，揭露新型銀行木馬程式TCLBanker，該惡意程式不僅能竊取金融帳號密碼，也具備透過WhatsApp與Outlook散播的能力，該公司研判，這是既有Maverick／Sorvepotel惡意軟體家族的大幅升級版本。

Elastic研究人員指出，攻擊者是將TCLBanker偽裝成羅技（Logitech）的Logi AI Prompt Builder MSI安裝程式來散布，感染後，TCLBanker會監控受害者瀏覽器網址列，鎖定59個巴西銀行、金融與加密貨幣網站，當受害者瀏覽這些網站時，TCLBanker會與攻擊者控制的伺服器建立WebSocket連線，接受攻擊者的遠端控制，進行鍵盤側錄、螢幕截圖、剪貼簿劫持、執行Shell指令與存取檔案等操作，並可透過全螢幕的登入覆蓋畫面造成混淆，誘騙使用者輸入帳號密碼與PIN碼。

Elastic表示，TCLBanker還具備WhatsApp與Outlook蠕蟲功能模組，可自動向受害者的聯絡人散播惡意訊息與釣魚郵件。目前該惡意程式主要針對巴西，啟動時，會檢查受害電腦的地理區域、時區、預設語言與鍵盤配置，確認是否為巴西用戶，若不符合則會退出執行， 雖然明顯鎖定巴西使用者發動攻擊，但仍存在跨區域擴散的風險。

'