OpenSSF發布Python安全程式開發指南，可用於開發者培訓、資安研究與AI工具評測

來源：https://www.ithome.com.tw/news/176133

開源軟體安全基金會（Open Source Security Foundation，OpenSSF）於5月12日發布《Py thon安全程式開發指南》（Secure Coding Guide for Python，pyscg）首版，內容涵蓋9大章節、超過50項 規則，並以可執行程式碼範例示範常見弱點與修正方式， 可用於開發者培訓、資安研究， 以及大型語言模型與靜態分析工具評測。

這份指南由OpenSSF最佳實務工作小組（OpenSSF Best Practices Working Group） 建立，聚焦CPython 3.9及之後版本與標準函式庫， 避免依賴特定網頁框架或第三方模組， 讓不同技術堆疊的團隊都能套用當中揭示的原則。OpenSSF表示，整份指南設計為可在40小時內完成自學， 協助開發者建立安全程式開發基本觀念。

雖然這份指南主要面向新進開發者，但OpenSSF也指出， 指南中的程式碼範例與規則整理，可協助資安研究人員觀察與理解Python弱點模式；開發團隊也能利用這些範例，測試大型語言模型、 靜態分析器等AI與自動化分析工具，並檢驗這些工具是否能辨識Python程式碼中的弱點模式， 教育工作者則可將其作為安全程式開發課程的基礎教材。

指南內容分為9個章節，涵蓋信任邊界（Trust Boundaries）、硬編碼憑證（Hardcoded Credentials）、輸入正規化（Input Canonicalization）與數值處理（Numeric Handling）等基礎安全議題，也包括作業系統命令注入（O S Command Injection）、SQL注入（SQL Injection）、反序列化（Deserializatio n）、路徑穿越（Path Traversal）等常見弱點，並延伸至例外處理（Excep tion Handling）、日誌記錄（Logging）、並行處理（C oncurrency）與密碼學（Cryptography）。 每項規則都包含風險說明、不符合規範的程式碼範例、 符合規範的修正範例、自動化偵測結果，並對應非營利研發組織MI TRE維護的常見弱點枚舉（Common Weakness Enumeration，CWE）分類。

OpenSSF也強調，靜態分析工具與AI輔助程式碼審查雖有助 於找出問題，但無法涵蓋所有安全風險。 部分弱點不是單靠程式碼掃描就能發現， 而是與系統流程設計及資料處理方式有關。例如， 程式未清楚區分可信任與不可信任資料、未妥善處理輸入內容， 或因運算子優先順序誤用而產生邏輯錯誤， 這類問題通常需要結合程式情境判斷，難以完全仰賴工具自動辨識。

因此，指南中的程式碼範例採用固定命名規則，例如：noncompliantXX.py用來呈現反模式（an ti-pattern）或漏洞，compliantXX.py示範對應修正方式，exa mpleXX.py則說明特定程式行為。OpenSSF也指出， 範例不只呈現有弱點的程式碼，也會示範這類弱點可能如何被利用， 並以註解區隔兩者內容， 方便檢驗資安分析工具，確認其是否能找出相關弱點。

在風險呈現方式上，這份指南並未採用抽象風險矩陣， 而是在主要總覽表中，將多項規則對應到實際產品中的代表性CVE 案例，並列出CVSS與EPSS（Exploit Prediction Scoring System，漏洞利用機率評分系統）的分數。OpenSSF指出 ，CVSS呈現漏洞遭利用後的嚴重程度， EPSS則反映漏洞在 實際環境遭利用的可能性， 兩者搭配可協助開發者更具體理解不同弱點的真實風險。

'

【資安日報】5月26日，馬偕醫院再傳遭駭客竊取資料，院方表示疑為去年舊案

來源：https://www.ithome.com.tw/news/176130

馬偕醫院再傳遭駭客竊取資料，該院表示疑為2025年舊案

馬偕醫院再傳出遭駭客攻擊事件。今日國內多家媒體報導，有駭客組織宣稱取得馬偕全臺5家醫院1.2TB醫療資料。馬偕醫院今日發布聲明強調，經了解後疑似為2025年舊案，目前並未發現網路流量異常現象，並在得知此事的第一時間向臺北市調查處報案。

秘魯國家級緊急預警系統遭駭，破口是供應商帳號遭入侵

國家級緊急預警系統是政府傳遞警報的工具，若被不肖分子駭入並用於散布社會恐慌，將帶來動盪。近日秘魯的緊急預警訊息系統（SISMATE）便發生嚴重資安事故，因供應商帳號遭未經授權存取，導致大量民眾收到虛假預警。秘魯交通與通訊部（MTC）發布聲明指出，有攻擊者透過系統供應商Consorcio Everbridge的帳號非法存取SISMATE系統，發送虛假地震、海嘯警報，並夾帶與緊急應變無關的內容。

賓士德國、土耳其分公司均傳資安事件，外洩數十萬客戶資料

汽車大廠賓士（Mercedes-Benz）土耳其分公司疑似近日遭到勒索軟體攻擊，資安業者VECERT指出，有駭客組織將賓士土耳其分公司Mercedes-Benz Türk列入勒索外洩名單，研判外洩資訊可能來自賓士公司自行開發的Xentry車輛診斷系統的資料。此外，研究人員亦在4月間也發現涉及德國賓士分公司的資料外洩事件。目前賓士集團尚未證實資料外洩或資安事件一事。

Anthropic公布Project Glasswing實施一個月成果，Claude Mythos已找出超過三萬個資安漏洞

Project Glasswing計畫執行一個月後，Anthropic於5月22日公布成效，指出近50家合作夥伴利用Mythos預覽版找出逾1萬個漏洞，Anthropic亦運用Mythos掃描逾千個開源專案，共找出23,019個漏洞。另一關注焦點在於漏洞挖掘的品質，經6家資安公司與Anthropic審核其中1,752個高風險項目，確認有1,587個（90.6%）為有效弱點，並有1,094個（62.4%）被認定為高風險或重大漏洞。

資安業者Elastic揭露新型銀行木馬TCLBanker

資安業者Elastic揭露新型銀行木馬TCLBanker，研判這是既有Maverick／Sorvepotel惡意軟體家族的大幅升級版本。值得注意的是，該惡意程式會偽裝成Logitech軟體安裝程式，鎖定巴西59個銀行與加密貨幣網站，並能進行鍵盤側錄、螢幕截圖與遠端操控等遠端控制。目前該惡意軟體雖然專門針對巴西用戶，但仍存在跨區域散播的風險。

PHP開發框架Laravel的語言套件遭挾持，駭客植入竊資軟體

PHP開發框架Laravel的第三方語言套件專案Laravel Lang，其GitHub儲存庫近期遭到入侵，攻擊者針對三個套件，分別是laravel-lang/lang、laravel-lang/attributes、laravel-lang/http-statuses，發布指向帶有惡意程式碼版本的標籤，並在這些程式碼注入可竊取憑證的程式碼，並藉由composer元件的自動載入功能執行。根據資安公司Aikido的調查分析，由於惡意程式碼未曾提交到Laravel的官方儲存庫，而特別難以察覺，資安公司Socket、Step Security也著手調查此事，並指出還有一個專案Laravel-Lang/actions也遭遇攻擊。

GitHub出現大規模自動化活動Megalodon，六小時推送近6千筆惡意提交、5,500個儲存庫受害

GitHub面臨大規模自動化攻擊Megalodon，攻擊者在5月18日，於5,561個儲存庫提交5,718次惡意內容。揭露此攻擊活動的資安公司OX Security與SafeDep指出，這次駭客透過已棄用的帳號與偽造的作者身分，將經Base64編碼處理的bash酬載注入GitHub Actions的工作流程，並將CI機密、雲端憑證、SSH金鑰、OIDC權杖（token），以及原始碼等敏感資料偷偷傳出，整個過程僅花了6小時。

TrapDoor供應鏈攻擊透過NPM、PyPI、Crates散布竊資軟體

資安公司Socket揭露一起攻擊行動TrapDoor，目標鎖定加密貨幣、去中心化金融（DeFi）、Solana，以及AI社群開發者，駭客於NPM、PyPI、Crates滲透34個套件，上傳至少384個惡意套件版本，目的是竊取開發者的機密資料，包括加密貨幣錢包、SSH金鑰、雲端憑證、瀏覽器資料，以及環境變數。

Packagist遭遇供應鏈攻擊，8個套件被感染，駭客意圖透過GitHub散布Linux惡意軟體

過往軟體供應鏈攻擊多半針對NPM或PyPI儲存庫而來，如今有人將目標轉移到Packagist。資安公司Socket揭露針對Packagist的供應鏈攻擊事故，有8個套件受到影響，這些套件上游的儲存庫遭到竄改，被植入相同的惡意指令碼，其功能是從特定的GitHub網址下載Linux二進位檔案，並於系統背景執行。進一步追查攻擊者GitHub帳號，在17小時內發現777個惡意檔案，此結果顯示整起攻擊活動的規模比預期的更大。

內容管理系統Ghost的SQL注入漏洞被用於發動ClickFix網釣攻擊

內容管理平臺未及時修補的資安漏洞，有可能讓攻擊者有機可乘。中國資安公司奇安信揭露鎖定Ghost平臺的大規模攻擊活動，駭客利用已知漏洞CVE-2026-26980，取得網站的API金鑰，接著透過API大量竄改文章內容，於頁面植入惡意JavaScript載入工具，目的是建置假的Cloudflare人機驗證網頁（FakeCaptcha），進行ClickFix網釣攻擊，引誘瀏覽網頁的使用者在本機執行惡意命令。

Universal Robots修補工控機器人重大漏洞

全球主要協作機器人（cobot）廠商之一的Universal Robots，近日修補工控機器人作業系統PolyScope 5中的重大漏洞CVE-2026-8153，CVSS評分高達9.8分，漏洞存在於Dashboard Server介面，攻擊者可能透過命令注入遠端控制機器人與周邊設備。CISA也已對此漏洞發布ICS安全公告，呼籲企業儘速更新並強化網段隔離。

網路流量分析工具Wireshark發布新版本

知名開源網路流量分析工具Wireshark近日發布4.6.6版更新，修補ROHC與MACsec協定解析器漏洞，攻擊者可能利用特製封包造成程式當機與阻斷服務，主要問題影響4.6與4.4系列版本，新版本也同步修正Windows相容性與安裝問題，建議用戶儘速升級。

向量資料庫ChromaDB存在重大漏洞引發關注

開源向量資料庫ChromaDB Python FastAPI伺服器存在重大漏洞CVE-2026-45829，在GitHub相關回報中有人特別提到，這項漏洞主要影響Python實作部署方式後端，建議ChromaDB用戶改用不受影響的Rust實作版本。資安業者HiddenLayer更是指出，該漏洞從ChromaDB 1.0.0就存在，至1.5.8仍未修補，最新1.5.9也沒有明確說明是否修補。

Ubiquiti修補UniFi OS平臺三項滿分重大漏洞

網通設備商Ubiquiti修補旗下UniFi OS管理平臺的重大漏洞，這次修補包含3項CVSS嚴重性評分10.0滿分的漏洞，包括CVE-2026-34908、CVE-2026-34909、CVE-2026-34910，未修補可能導致攻擊者執行任意指令、存取系統底層敏感資訊等問題。

FBI警告Kali365釣魚即服務竊取Microsoft 365權杖

美國聯邦調查局（FBI）5月21日警告，Kali365釣魚即服務（PhaaS）正鎖定Microsoft 365環境。FBI強調，這類攻擊活動主要濫用Microsoft身分驗證機制中的合法裝置代碼流程（Device Code Flow），進而冒充可信任的雲端生產力或文件共享服務，郵件內含裝置代碼，並引導使用者前往真正的Microsoft驗證頁面輸入代碼，受害者完成驗證後，實際上是授權攻擊者控制的裝置存取其帳號。

AI是否加速Linux漏洞發現受關注，OpenSSF專家稱約三成漏洞通報為重複案例

近期Linux核心漏洞接連曝光，開源安全社群與Linux核心維護者怎麼看待？OpenSSF首席安全架構師Christopher Robinson即表示，隨著更多人使用AI工具進行漏洞研究，回報的Linux資安漏洞約有30%是重複案例。CloudLinux執行長Igor Seletskiy則指出，過去通常每年只會出現一、兩個影響多個Linux發行版的LPE漏洞，但近期一週內就出現兩個類似漏洞值得企業留意，並認為這類趨勢可能還會持續數月。

臺灣AI治理將從政府擴及產業與資料治理

臺灣《人工智慧基本法》共有20條，其中多項條文涉及全新的AI治理制度設計，國科會前瞻及應用科技處處長蔡妙慈表示，政府正討論建立資料開放、共享與再利用機制，但前提仍須兼顧個資與隱私保護。她強調，AI發展速度極快，政府希望透過《人工智慧基本法》的落實，以及國科會、數發部與各部會的分工協作，建立可信任的AI治理生態系，讓臺灣不只是AI技術供應者，也成為具備治理能力的AI應用國家。

Visa揭示支付威脅新趨勢：犯罪集團轉向攻擊「人」而非破解技術

支付安全新挑戰浮現，Visa於5月20日發布2026年春季半年度威脅報告，指出網路層面的技術防護雖有成效，但罪犯已將矛頭轉向利用AI與社交工程，誘騙使用者自行授權付款。報告中指出，詐騙已成為成長最快的受害類型，在2025年7月至12月間，共偵測到近10億美元的詐騙相關企圖。Visa指出，防禦重心必須從「偵測遭竊憑證」，轉向「偵測並瓦解欺騙行為」。

NIST發布SP 800-172第三版修訂，強化對抗APT韌性

美國國家標準與技術研究院（NIST）更新SP 800-172，於5月13日發布第三版。這套指南是建立在現行的SP 800-171基礎合規框架之上，專為保護關鍵計畫與高價值資產（HVA）所設計的增強型規範，目的是協助建立抵禦進階持續性威脅（APT）的深層防線。無論企業是為了支援CMMC的合規、強化供應鏈韌性、與風險管理框架（RMF）對接，將可參考新版指引來行動。

微軟推.NET版MCP代理治理套件，控管AI代理工具呼叫風險

微軟推出.NET版MCP代理治理擴充套件預覽版，其特色是，讓開發者在建置MCP伺服器時，就能加入治理機制，控管工具是否能被呼叫、呼叫時是否符合政策，以及啟動前掃描、回應內容遮蔽，以及稽核與指標蒐集機制，降低代理誤用工具或接收惡意輸出的風險。

近期資安日報

【5月25日】GitHub內部儲存庫的程式碼外流，確認遭供應鏈攻擊事故波及

【5月22日】微軟修補防毒軟體零時差漏洞

【5月21日】近兩個月研究人員公布的零時差漏洞已能串成攻擊鏈

'

NIST發布製造業資安實務指南草案，聚焦ICS網路攻擊事件應變與復原

來源：https://www.ithome.com.tw/news/176131

為了強化製造業資安，在5月21日，美國國家標準暨技術研究院（ NIST）國家網路安全卓越中心（NCCoE）公開《 製造業網路攻擊回應與復原：資安實務指南》初版草案，文件編號為NIST SP 1800-41，以下簡稱《製造業資安實務指南》。 這份指南聚焦工業控制系統（ICS）環境，說明製造業者如何依據 NIST網路安全框架2.0版（NIST CSF 2.0）建立事件回應與復原流程，以降低停機與營運衝擊。

這份指南也參考NIST另外兩份文件，分別是：《NISTIR 8428》以及《NIST SP 800-61r3》；前者提供營運技術（OT） 環境的數位鑑識與事件回應流程，後者則協助製造業者依循NIST CSF 2.0，將資安事件的通報、分析、處置與復原整合至資安風險管理流程

在實作層面，《製造業資安實務指南》以NIST CSF 2.0為基礎，聚焦該框架中的「回應」（Respond）與「 復原」（Recover）兩項核心功能。NCCoE與11家產業 合作夥伴建立模擬離散製造現場的示範環境， 透過商用資安與工控技術，示範ICS環境遭遇資安事件後的應變流 程，包括事件通報、日誌檢視、事件分析、系統隔離、 清除入侵跡象與受影響項目，以及逐步恢復營運。 參與合作的業者涵蓋AWS、Google Cloud，思科（Cisco）、Dragos、Garland Technology、Tenable等網通與資安業者， 以及洛克威爾自動化（Rockwell Automation）、西門子（Siemens）等工控業者。

具體來看，這份指南列出3種演練情境。首先，模擬攻擊者利用US B隨身碟將惡意檔案植入工程工作站，進而感染監督層人機介面（H uman Machine Interface，HMI），造成操作畫面失效。 第二類情境則模擬攻擊者竊取IT憑證後， 利用設定錯誤的防火牆系統，從企業網路進入ICS網路， 存取資料歷史庫，並將大量歷史資料傳送到外部伺服器； 組織需透過日誌、網路流量分析與端點資訊， 釐清資料外洩路徑與影響範圍。

第三種情境聚焦未經授權控制指令。 攻擊者利用遭竊憑證存取工程工作站， 操作內部軟體變更控制輸送帶的可程式化邏輯控制器（Programmable Logic Controller，PLC）參數， 使產線生產出不符合規格的產品，最後導致生產中斷。

另一方面，NIST也提醒，ICS環境不能直接套用一般IT資安 控制措施。以IT環境常見的入侵防護系統（Intrusion Prevention System，IPS）為例，ICS重視即時反應與可預期運作， 若IPS將安全控制相關通訊誤判為威脅並加以阻擋， 反而可能干擾現場安全機制或產線運作。因此，組織規畫ICS事件 回應架構時，不能只評估資安防護效果，也要同步考量製程需求、 設備運作特性與現場安全風險。

整體而言，NIST這份《製造業資安實務指南》提醒， 組織若能完整蒐集設備、系統與網路日誌，提升監控資料的可視性， 並透過行為分析及早發現設備或網路活動異常， 再搭配不易遭竄改的備份儲存方式， 保存可用於復原的良好組態與備份檔案， 將有助於縮短從發現異常到完成調查處置的時間，提升ICS環境的 復原能力與營運韌性。

'

馬偕醫院再傳遭駭客入侵竊取資料，該院表示疑為2025年舊案

來源：https://www.ithome.com.tw/news/176129

馬偕紀念醫院再度傳出遭駭客攻擊的事件，今日國內多家媒體報導指出，有駭客組織宣稱取得馬偕全臺5家醫院1.2TB醫療資料，馬偕醫院隨即發布聲明，表示經了解後疑似為2025年舊案，目前並未發現網路流量異常現象，並在得知此事的第一時間向臺北市調查處報案。

馬偕醫院去年2月曾遭到勒索軟體攻擊，當時事件曾導致院內600多臺電腦受影響，掛號系統也受波及，後續證實為中國駭客Crazyhunter所為，其幕後主謀已確認為一名中國浙江省籍羅姓男子。

時隔一年多的現在，馬偕醫院又傳出大規模資料外洩事件。根據多家國內媒體報導指出，一個稱為The BlackH4t MD-Ghost的駭客組織，宣稱他們從馬偕全臺5家醫院竊取大量資料，聲稱取得2025至2026年合計高達1.2TB醫療資料，同時在駭客論壇發布多份病患資料與檢驗系統紀錄作為佐證。

馬偕醫院對此發布聲明稿表示：「針對網路疑似有關本院病人個資外洩一事，經內部瞭解後，疑似係為2025年發生之駭客攻擊事件。本院除已進行各項資安聯防外，平日即十分重視資訊安全，在該起事件後，本院更嚴密進行全體系資訊安全維護與定期及不定期內部查核。對於網路流量也持續保持監測，均未發現網路流量異常現象。」

此外，院方也表示已向臺北市調查處報案，全力配合檢調偵辦，並呼籲民眾切勿在網路買賣或下載個資，以免觸法。

'

透過微軟Teams散布惡意程式的攻擊又一樁！駭客假冒IT支援發動ModeloRAT攻擊，誘騙企業員工執行遠端工具

來源：https://www.ithome.com.tw/news/176128

資安業者 Rapid7近日揭露利用ModeloRAT惡意程式的活動，攻擊者透過微軟Teams平臺假冒IT支援人員進行社交工程，誘騙企業員工執行遠端管理工具，進而植入惡意程式並控制受害電腦。

Rapid7指出，這波攻擊的入侵起點，是濫用Teams允許跨租戶直接對話的外部存取（external access）功能，攻擊者藉此假冒IT支援部門與受害者聯繫，誘使受害者執行PowerShell指令，從Dropbox雲端空間下載與執行Python惡意程式 ，從而收集環境資訊、下載額外惡意程式，並與攻擊者控制的伺服器建立通訊連線。接著，攻擊者利用Windows雲端檔案管理驅動程式（Windows Cloud Files Mini Filter Driver）的漏洞CVE-2023-36036，將權限提升至SYSTEM層級，並透過偽造Windows鎖定畫面騙取受害者輸入登入網域的密碼 ，然後便能在受害者內部網路橫向移動。

Rapid7分析攻擊者使用的Python惡意程式後，認為其源自惡意程式ModeloRAT，這意味著，這款惡意程式已從瀏覽器相關攻擊，轉向Teams社交工程。Rapid7也發現攻擊者的Python惡意程式可繞過傳統EDR偵測，另外，兩年半前就已修補的CVE-2023-36036漏洞，如今竟仍然能被攻擊者利用。

Rapid7認為，這次攻擊結合已修補的漏洞（CVE-2023-36036）與廣泛使用的受信任工具（如Python、PowerShell與Dropbox），但關鍵在於Teams的外部存取功能，必須持續受到監控。

'

賓士德國、土耳其分公司發生資安事件，外洩數十萬客戶資料

來源：https://www.ithome.com.tw/news/176127

汽車大廠賓士（Mercedes-Benz）土耳其分公司疑似近日遭到勒索軟體攻擊，駭客聲稱竊得13萬客戶資料，成為全球賓士分公司資料外洩傳聞中的最新一則。

資安業者VECERT本周首先發現駭客在Tor暗網地下論壇貼文宣告此事。根據資安網站Cybernews報導，駭客宣稱持有某個Excel/CSV格式檔案，涉及13萬筆客戶與車輛資料。檔案內部資料包括客戶姓名、城市、電話、電子郵件、車輛編號、賓士車型、領牌日期/車牌號碼、車輛定檢日期、最近服務日期及訂單/報價狀態等。此外，駭客也公佈了10筆樣本資料作為證明，其中包含英國車主的資料，Cybernews已證實資料真實性。

VECERT研究人員分析，外洩資訊可能是來自包含賓士公司資料，以及該公司自行開發的Xentry車輛診斷系統（Xentry diagnosis system）的資料。

目前賓士集團尚未證實資料外洩或資安事件一事。

VECERT研究人員在4月間也發現涉及德國賓士分公司的資料外洩事件。一名駭客宣稱竊走這家德國車廠2.7萬筆資料，還說已經出售了部份資訊，而其買主藉由利用車主名單「打電話」，已獲利2000美元。不過駭客似乎沒有提供樣本證明，無法驗證說法真偽。

事實上，近半年就有多組駭客分別宣稱取得賓士各地分公司的資料謀利。2026年3月DragonForce勒索軟體組織宣稱持有美國Mercedes-Benz of Arlington，要求受害公司付贖金。

而在2025年12月一名為Zestix的歹徒竊走美國賓士48州18.3 GB法務文件。2025年同一時間另有駭客宣稱經由問題Git儲存庫造成的供應鏈攻擊，竊走美國賓士IP程式碼、內部文件、系統憑證如Microsoft Azure權杖和AWS憑證及SSH金鑰、API文件等。

'

華為提出τ縮放定律，尋找製程微縮之外的晶片演進路徑

來源：https://www.ithome.com.tw/news/176126

華為周一（5/25）於IEEE國際電路與系統研討會（International Symposium on Circuits and Systems，ISCAS）上提出新的半導體發展框架「τ縮放定律（Tau Scaling Law）」，主張在傳統製程微縮面臨物理與成本限制之際，透過縮短訊號傳輸與系統執行時間，延續晶片效能與密度提升。

τ（讀作tau，華為中文寫成韜）是希臘字母中的第19個字母，在物理、電子工程與數學領域經常被用來表示時間常數（Time Constant），也就是系統完成變化或訊號傳播所需的特徵時間。與傳統透過縮小電晶體尺寸提升效能不同，τ縮放定律目標是縮短從元件、電路到系統層級的訊號傳輸與執行時間，以提升效能、能源效率及電晶體密度。

華為常務董事、ICT基礎設施業務管理委員會主任何庭波於名為《實踐中的新半導體路徑》的演講中表示，隨著電晶體尺寸持續縮小，傳統摩爾定律正逐漸遭遇物理極限與成本效益遞減等挑戰。全球半導體產業不僅面臨電晶體微縮速度放緩，也面臨單位成本下降效益逐漸消失，因此需要新的技術路徑支撐日益成長的運算需求。

根據華為的說明，τ縮放定律會從元件、電路、晶片到系統層級同步優化。在元件層級上，將透過降低電晶體與互連線的電阻、寄生電容，減少訊號傳遞延遲；電路層級則導入LogicFolding架構，打破傳統平面電路布局限制，縮短關鍵訊號路徑，降低訊號傳播時的負載。

晶片層級則整合軟體、系統架構與矽晶片設計，依照不同工作負載更精細地控制指令與資料流，以提升執行效率。到了系統層級，將以UnifiedBus（靈衢總線）重新設計大型運算系統的互連方式，讓AI叢集可支援統一記憶體定址與原生記憶體語義，進一步降低節點間通訊延遲。

華為表示，過去6年間已設計並量產381款基於τ縮放定律的晶片，預計2026年秋季推出的新一代Kirin晶片將首次採用LogicFolding架構，到了2031年其高階晶片電晶體密度可達相當於14Å（1.4奈米）製程的等效水準。

外媒多將華為的τ縮放定律視為中國在美國出口管制下，尋找先進晶片替代路徑的嘗試，而非真正突破1.4奈米製程。此外，τ縮放定律並非完全從零開始的新物理定律，而是華為將3D整合、縮短互連、軟硬體協同與系統級優化等既有半導體發展方向，重新整合為一套以時間延遲為核心的新框架。

'

AI是否加速Linux漏洞發現受關注，OpenSSF專家稱約三成漏洞通報為重複案例

來源：https://www.ithome.com.tw/news/176125

近期Copy Fail、Dirty Frag與Fragnesia等Linux核心漏洞接連曝光，引發外界關注AI工具是否正在改變漏洞發現與通報速度。

The Register在探討AI增加Linux資安通報壓力的報導中，引述Linux核心維護者、開源安全社群與業界人士的看法。Linux創始人Linus Torvalds在北美開源高峰會（Open Source Summit North America）上指出，Linux核心社群過去發現漏洞時，常會私下通知各發行版更新，但不詳細公開漏洞內容。然而，在AI加速漏洞分析之下，核心社群釋出修補後，外部研究人員可能很快就能寫出分析文章，說明修補涉及的漏洞影響。他認為，透過AI工具發現的漏洞，基本上已難以再視為祕密；若仍以私密郵件清單處理，不僅浪費各方時間，也可能使重複通報問題更加嚴重。

不過，Linux穩定版核心維護者Greg Kroah-Hartman對漏洞數量是否明顯增加，態度較為保留。他表示，近期案例多半屬於很輕微的問題，而且允許不受信任使用者登入或操作的系統已不如過去常見；從實際修補情況來看，他未明顯感受到漏洞修補量增加。他也指出，Linux社群本來每天都在修補這類問題，只是現在更多人傾向替漏洞命名，並公開漏洞利用程式。

開源軟體安全基金會（Open Source Security Foundation，OpenSSF）首席安全架構師Christopher Robinson則從維護者負擔角度提出警訊。他表示，隨著更多人使用AI工具進行漏洞研究，回報的Linux資安漏洞約有30%是重複案例。

Red Hat技術長Chris Wright也提醒，資安漏洞本就存在不同嚴重程度，企業不能將所有通報視為同等風險。有些漏洞需要立即處理，有些則屬於較低嚴重性的長尾問題。

CloudLinux執行長Igor Seletskiy指出，過去通常每年只會出現一、兩個影響多個Linux發行版及其不同版本線的核心層級本機權限提升（local privilege escalation，LPE）漏洞，但近期一週內就出現兩個類似漏洞。他認為，這類趨勢可能還會持續數月；若情況持續，企業可能面臨更頻繁重新啟動伺服器的維運壓力，甚至需要每週安排重啟作業。

從整體漏洞利用趨勢來看，Google Cloud旗下Mandiant在M-Trends 2026報告中指出，2025年平均漏洞利用時間（Time to Exploit，TTE）已降至估計-7天，代表攻擊者利用漏洞的時間點，平均已早於修補程式發布時間。

在漏洞利用速度加快的環境下，系統管理員與開發者不能只仰賴事後修補，也需要強化預設安全設定、修補管理與系統隔離。Red Hat技術長Chris Wright建議，組織可評估將SELinux從寬容模式（permissive）切換到更嚴格的強制執行模式（enforcing）。雖然更嚴格的安全控管會增加維運成本，但若等到攻擊造成系統受損後才重新建置容器與伺服器，代價可能更高；相較之下，提前落實安全設定仍是風險較低的作法。

'

2026世界盃倒數一個月，當心鎖定球迷的偽冒FIFA網站

來源：https://www.ithome.com.tw/news/176124

不到一個月後，2026年世界盃足球賽將於美國、加拿大與墨西哥舉行。資安業者ESET近日發出警示，發現多個偽冒FIFA（國際足總）官方網站的釣魚網站，攻擊者透過註冊與官方名稱相近的網域，鎖定正在尋找門票、住宿或官方商品的球迷，藉此騙取個資與信用卡資訊。

ESET拉丁美洲區資安研究員Mario Micucci指出，這些攻擊活動並非零星個案，而是有組織的運作。攻擊者註冊了多種變體的偽冒網域，即使部分網站因被檢舉而下架，仍能透過其他備用網域維持詐騙活動運作。

例如，攻擊者建立了名為「fifa26.shop」、「26-fifa.com」等網站進行偽裝。此外，ESET也偵測到其他使用「.site」、「.store」與「.shop」等後綴的詐騙網站，這些網址皆刻意包含「fifa」字樣以偽裝其合法性。他們另也提醒民眾，必須留意域名拼寫誤差（typosquatting）的手法，這是攻擊者在許多重大賽事前夕都曾使用過的伎倆。

ESET強調，目前發現的這些偽冒網頁，幾乎完整復刻了FIFA官方網站的所有視覺元素，甚至從選單布局到註冊與購票流程都完全一樣，同時也宣稱提供國家隊球衣等官方促銷商品，其目的在於建立信任感，進而誘騙球迷在攻擊者控制的網站輸入其個資與信用卡資訊。

'