【資安日報】6月2日，捷克參議院率團訪臺前夕，傳出中國駭客從事網路間諜活動

來源：https://www.ithome.com.tw/news/176297

網路間諜行動Dragon Weave鎖定捷克與臺灣，疑中國有關駭客所為

資安公司Seqrite於5月29日揭露代號為Operation Dragon Weave的網路間諜攻擊活動，攻擊者鎖定捷克與臺灣的官員與民眾，透過魚叉式網釣郵件投遞Adaptix C2代理程式，藉此進行資料外洩與遠端控制。這波攻擊鎖定政府、研究、學術、科技與金融服務等領域，攻擊者會寄送內含ZIP附件的電子郵件，壓縮檔解開後包含多個看似正常的檔案，但實際上是感染鏈的一部分。

日本象印揭露臺灣子公司遭駭！客戶與員工個資外洩

日本知名家電用品大廠象印（Zojirushi Corporation）近日發布資安公告，揭露其臺灣子公司「台象」遭到第三方發動的網路攻擊入侵。在經歷為期約一個月的數位鑑識與事故調查後，證實已發生臺灣客戶個資外洩事件，惟目前尚未公布受影響的具體數量與規模。根據日本象印說明，這起網路攻擊事件始於4月13日，受影響的伺服器於5月4日完成系統重建與資料復原。另在外部資安專業機構協助調查下，鑑識結果於5月11日出爐，確認台象存在資料外洩風險。

工業控制解決方案供應商巨路資訊系統遭網路攻擊

跨足工業流程控制（Process Control）與電子通訊領域的巨路國際（6192），於今日（6月2日）上午於股市公開觀測站發布資安重訊，指出部分資訊系統遭到網路攻擊，該公司在偵測到異狀時，已啟動資安防禦及通報機制因應。目前對相關系統進行全面性掃描與檢測，確認安全無虞後，再利用日常備份資料恢復運作。針對這起事故可能帶來的影響，巨路表示根據初步評估，對營運無重大影響，尚未發現個資或機密資料外洩的情形。

仿英國ETA簽證申請的代辦網站外洩10萬護照！AWS儲存桶配置錯誤，通報後業者派律師而非先釐清

科技媒體TechCrunch近日揭露，名為「UK Visa Portal」的第三方簽證代辦網站發生嚴重資安疏漏，導致至少10萬份申請人的護照掃描檔與自拍照，被暴露在可公開存取的Amazon S3儲存桶中，且至今業者應對態度仍相當消極。這是典型的雲端儲存配置錯誤案例，只要知道個別檔案的網址，任何人都能直接存取並讀取內容。通報者進一步指出，該網站後端存在弱點，攻擊者能藉此獲取儲存桶內的檔案清單，進而導致大規模的資料外流。後續該媒體聯繫業者，但業者並未積極修復漏洞，反而委託律師與公關公司交涉。

Meta的AI客服驚傳遭到濫用，駭客用於接管用戶IG帳號

近日傳出有駭客濫用了Meta的AI客服服務，謊稱自己的Instagram（IG）帳號遭竊，以啟動帳號復原程序，成功取得各種獨特的IG帳號，並透過Telegram銷售。Meta向衛報證實此事，表示該漏洞已被解決，且正在保護受影響的帳號，不過，該公司未透露遭到波及的帳號規模與細節。加密貨幣圈匿名的鏈上調查員ZachXBT直言，Meta AI擁有過多的權限，而讓駭客能夠重設任何未設定2FA的帳號密碼，而且它根本不會驗證申請者的身分。

Python資料分析工具Marimo重大漏洞持續成攻擊目標，駭客透過AI代理滲透內部資料庫

開發Python互動式運算環境Marimo的團隊於4月上旬，揭露重大漏洞CVE-2026-39987，當時公告不到半天就出現嘗試利用的跡象，後續有多組人馬加入漏洞利用的行列，如今資安公司Sysdig指出，他們在5月10日發現最新一波攻擊，駭客利用CVE-2026-39987成功入侵Marimo主機，並截取兩個雲端憑證，突破下游的SSH防禦主機，並在2分鐘內擷取內部PostgreSQL資料庫的結構與全部內容。整個攻擊流程在一個小時內完成，並出現駭客濫用大型語言模型（LLM）的多種跡象。

Windows Netlogon服務RCE漏洞傳出遭到積極利用

微軟於5月例行更新（Patch Tuesday）當中，一口氣修補137個由該公司登記CVE編號的漏洞，當時沒有已遭揭露或利用的零時差漏洞，這樣的情況相當罕見。比利時網路安全中心（Centre for Cybersecurity Belgium，CCB）於5月29日，更新13日對微軟5月例行更新的資安警示內容，指出重大等級的資安漏洞CVE-2026-41089遭到積極利用。對於攻擊者如何利用漏洞，CCB並未進一步說明，微軟也沒有更新CVE-2026-41089公告內容，說明該漏洞是否已遭利用。

俄羅斯駭客組織Secret Blizzard將Kazuar後門程式擴展成殭屍網路，提升隱匿性與持續運作能力

與俄羅斯政府有關的駭客組織Secret Blizzard，正持續擴展後門程式Kazuar的能力，微軟資安威脅研究團隊（Microsoft Threat Intelligence）近日發布報告指出，Secret Blizzard已將原本主要作為遠端控制工具的Kazuar，已從單體框架（single monolithic framework），升級為具備殭屍網路特性的分散式架構，藉此提升隱匿性，並適用於更廣泛的攻擊任務。新版Kazuar將任務分散到3種不同的模組——核心（Kernel）、橋接（Bridge）與工作模組（Worker），彼此明確分工，藉此降低可觀測性。

駭客利用假冒Gemini與Claude安裝網站散布惡意軟體，竊取開發者帳號與開發環境資料

隨著AI輔助程式開發的風行，Gemini CLI與Claude Code成為炙手可熱的開發工具，駭客也開始利用開發者對這類新工具的需求發動攻擊。資安廠商EclecticIQ日前發布報告，揭露駭客偽造Gemini CLI與Claude Code安裝網站，並透過操縱搜尋引擎排名的SEO Poisoning手法，引誘開發者從偽造網站下載木馬化安裝程式，進一步執行惡意PowerShell指令。這波攻擊最初是由獨立資安研究者@g0njxa揭露，而後EclecticIQ跟進調查發現，相關網路威脅活動自今年3月開始出現。

ChatGPT存在資安弱點ChatGPhish，恐使網頁摘要被用於釣魚活動

為了加速理解網路上的內容，使用者透過AI整理摘要的作法非常普遍，然而，攻擊者若是利用系統的弱點，就有可能從事網路釣魚活動，誘騙使用者上當。資安公司Permiso Security揭露資安弱點ChatGPhish，此問題源自ChatGPT的回應渲染器信任AI助理摘要的網頁內容裡，取得第三方網頁裡的Markdown連結與圖片URL。攻擊者只要在網頁當中，附加小型的惡意酬載，就有機會進行跨來源資訊洩露、網路釣魚、顯示偽造的系統警示訊息。

新型惡意軟體VoidStealer可繞過Chrome瀏覽器安全機制，竊取Cookie與帳號資訊

資安業者卡巴斯基發布報告，揭露新出現的資訊竊取惡意軟體VoidStealer，可繞過Google在Chrome瀏覽器引進的應用程式綁定加密（Application-Bound Encryption，ABE）安全機制，直接取得瀏覽器儲存的Cookie、登入資訊與其他敏感資料。該惡意程式直接以除錯器模式附加至Chrome處理程序，並利用中斷點（Breakpoint）監控其解密流程。當Chrome將解密所需的金鑰載入記憶體時，該惡意程式便會強制暫停瀏覽器執行，並直接擷取記憶體中的金鑰。

Samba修補列印與身分驗證功能重大漏洞，未更新可能導致攻擊者執行任意程式碼

開源檔案與列印服務軟體Samba近日發布資安公告，修補列印子系統（printing subsystem）與檔案伺服器功能中，可能導致遠端執行程式碼的2項重大漏洞CVE-2026-4480、CVE-2026-4408，雖然兩者都需滿足特定設定條件，但可能遭未授權攻擊者遠端利用， Samba專案團隊給予這2項漏洞的CVSS嚴重性評分，都是最嚴重的10分滿分，並於4.22.10、4.23.8與4.24.3版完成修補，由於Samba廣泛用於Linux檔案共享與列印環境，用戶應儘速更新。

電商平臺Magento快取外掛存在重大漏洞，攻擊者可用於遠端程式碼執行攻擊

鎖定電商平臺Adobe Commerce與Magento的攻擊活動接連傳出，一旦這種平臺的外掛程式出現嚴重漏洞，很有可能成為駭客下手的目標。例如，最近資安公司Sansec揭露的CVE-2026-45247，此漏洞出現在網頁快取外掛程式Mirasvit Cache Warmer，為未通過身分驗證的PHP物件注入漏洞，攻擊者只要發送特製的cookie進行storefront請求，就能觸及攻擊者控制的資料，過程無需任何身分驗證，也無須管理員權限或特殊設定，即有機會遠端執行任意程式碼。

荷蘭瓦解由1,700萬臺裝置組成的殭屍網路

荷蘭國家網路安全中心（NCSC）宣布，已與警方聯手瓦解由逾1,700萬臺裝置組成的殭屍網路，並找出200臺C&C伺服器，駭客利用這些裝置來發動網路攻擊。當地媒體NL Times則報導，該殭屍網路疑似與住宅代理服務Asocks有關。NCSC表示，當初他們是先收到研究人員的通報，接著通知警方共同展開偵辦，才發現該殭屍網路至少包含1,700萬臺裝置，且用來支援其運作的200臺C2伺服器，皆位於荷蘭境內。

北約網路衝突國際會議CyCon登場，臺灣官員首度登臺分享城市韌性與通訊備援實務

北約網路衝突國際會議（CyCon）是國際資安與國防領域的年度指標性會議，今年第18屆活動於5月26日至29日舉行，吸引全球50國、近800名與會者參與，議程涵蓋AI驅動的網路衝突、關鍵基礎設施韌性與公私協作等面向，特別的是，這項活動首度有臺灣官員獲邀於CyCon登臺分享，象徵臺灣與國際在網路防衛議題上的交流更趨緊密。數位發展部資通安全署表示，此次最受矚目的進展，在於國家安全會議諮詢委員李育杰受邀於大會專題工作坊擔任共同與談人。

工控資安廠商Dragos併購xOT安全業者Phosphorus

營運科技（OT）資安業者Dragos本週宣布，他們買下Extended IoT（xOT）安全方案供應商Phosphorus，以擴大防護關鍵基礎設施及其他網路中的嵌入式連網裝置。Dragos表示，併購Phosphorus後，可使該公司聯網裝置防護能力擴大到整個xOT環境，提供客戶更深層的資產可視度、自動化修補及持續降低風險。該公司並承諾會持續支援Phosphorus客戶，其方案也更能整合Dragos方案。Dragos估計，其潛在市場機會來到500億美元。

Google將裝置綁定連線階段憑證防護措施提供給所有Chrome用戶

繼4月份Google公布裝置綁定連線階段憑證（Device Bound Session Credentials，DBSC）技術，並整合到Windows版Chrome 146，上週Google宣布全面提供給所有Chrome用戶，包括Windows版及下一版macOS版Chrome。由於DBSC需要生態體系夥伴的支援，Google從一開始就計畫和微軟聯手設計DBSC，並推動標準化程序。兩家公司執行的測試計畫，現在已有多家網頁應用程式平臺業者參與，其中一家是身分驗證解決方案廠商Okta。

台積電營運韌性再進化，2025年報揭BCM與危機管理整合框架

營運持續與資安韌性，已成為當前企業不容忽視的核心議題。作為全球半導體龍頭，台積電（TSMC）在這些領域的推動，具備指標意義。在該公司最新發布的2025年年報中，進一步揭露其營運持續管理（BCM）與危機管理（CM）的最新架構，不僅彰顯其對韌性經營的重視，更為國內企業提供了具體的實踐借鏡。綜觀此項新變化，顯然已調整為營運持續與危機管理政策整合的架構，同時讓其涵蓋構面能夠更廣泛。

【關鍵資安議題｜AI代理安全】數位代理人的崛起與危機：API、AI Agent與你看不見的資安威脅

企業花了大量資源守護人類帳號——多因素驗證、密碼政策、特權存取管理，一道道關卡設得滴水不漏。然而，有一類身分正在企業環境中以數十倍的數量悄然增生，它具有行使各種任務的權限，卻幾乎沒有人在管；它叫做非人類身分（Non-Human Identity，NHI）。根據最新研究，企業環境中NHI與人類身分的比例已達45:1至82:1，在雲端原生環境中甚至高達40,000:1。但超過六成的組織坦承，這些身分處於監控不足的狀態。

【2026臺灣資安年鑑｜數位發展部資通安全署署長蔡福隆】從制度革新到全民覺醒，守住數位國土的最後一道防線

在臺灣邁入全面數位化與AI時代的關鍵節點，資通安全早已不再只是工程師或資訊部門的專業領域，而是攸關國家安全、產業發展與社會信任的核心基礎。數位發展部資通安全署署長蔡福隆表示：「資安就是一個務實、落實的事情。你說的東西再好聽，沒有把它落實下去，都是假的。」若要說過去一年資安署最具里程碑意義的成果，修正《資通安全管理法》絕對名列前茅，蔡福隆坦言，這次修法不只是條文調整，而是涉及政策、產業與國際接軌的全面工程。

近期資安日報

【6月1日】偽冒FIFA世足的詐騙網域激增

【5月29日】Linux傳出新的本機權限提升漏洞CIFSwitch

【5月28日】數發部資安署揭露實測高德地圖等四款中國App結果

'

ChatGPT存在資安弱點ChatGPhish，恐使網頁摘要被用於釣魚活動

來源：https://www.ithome.com.tw/news/176292

為了加速理解網路上的內容，使用者透過AI整理摘要的作法非常普遍，然而，攻擊者若是利用系統的弱點，就有可能從事網路釣魚活動，誘騙使用者上當。

資安公司Permiso Security揭露資安弱點ChatGPhish，此問題源自ChatGPT的回應渲染器信任AI助理摘要的網頁內容裡，取得第三方網頁裡的Markdown連結與圖片URL。該渲染器會自動擷取圖片，並在AI助理的介面顯示即時、可點選的元素。攻擊者只要在使用者想要利用ChatGPT整理摘要的網頁當中，附加小型的惡意酬載，就有機會進行跨來源資訊洩露、網路釣魚、顯示偽造的系統警示訊息，若是攻擊者搭配QR Code，還能將攻擊轉移到行動裝置，繞過電腦上各式的URL防禦機制。該公司強調，這並非瀏覽器的問題，而是攻擊者控制的內容，可在大型語言模型（LLM）裡被渲染成受到信任的元素。

Permiso Security透過Firefox進行概念驗證，使用者存取攻擊者控制的網頁，並使用ChatGPT摘要內容，相關資料傳入AI助理，使得攻擊者能透過網頁內容控制最終呈現的摘要結果，並引誘使用者點選摘要內容中埋入的釣魚連結，或是用行動裝置掃描QR Code。該公司自4月底多次向OpenAI通報ChatGPhish，OpenAI以資料不足無法重現漏洞、重複通報漏洞說法回覆。

'

MedTech醫療科技雙周報第49期：衛福部發布醫療GenAI指引，聚焦6大風險與供應鏈透明度

來源：https://www.ithome.com.tw/news/176294

重點新聞（0516～0531 ）

衛福部 生成式AI 供應鏈

衛福部發布醫療GenAI指引，聚焦6大風險與供應鏈透明度

衛福部在5月29日發布首份《醫療機構應用生成式人工智慧指引》，針對醫院與診所導入生成式AI提出風險治理框架，涵蓋風險盤點、資料保護、系統驗證、供應商管理與持續監測等面向。這份指引雖屬行政指導性質，不具強制力，但可視為臺灣醫療AI治理的重要參考。

值得注意的是，衛福部除了聚焦模型偏差、資料品質、AI幻覺、資安攻擊、使用者過度依賴及服務中斷等6類常見生成式AI風險，也首度要求醫療機構建立AI產品與系統清冊，掌握院內生成式AI系統的用途、應用場景、風險等級及管理措施，並依臨床影響程度進行分級管理。此外，指引也特別強調供應商資訊揭露的重要性。衛福部指出，醫療機構在進行風險評估時，可要求廠商提供模型版本資訊、資料流向與保存政策、效能指標、已知風險、資安防護措施、事件通報機制，以及變更管理與技術支援承諾等資訊。若產品使用大型語言模型服務，也應揭露模型服務商、模型版本、部署型態及更新通知機制。

這代表未來醫療機構評估AI產品時，不再僅著重功能與準確率，也須進一步了解模型來源、資料流向、更新機制及供應商管理措施。從治理角度來看，這項要求與近年國際推動的AI供應鏈透明化趨勢方向一致，將模型來源、資料治理和系統變更管理，也納入醫療AI評估範圍。另一方面，衛福部也明確指出，具備自主決策與執行能力的AI Agent，因可能直接影響病人健康結果，目前仍涉及病人安全、醫療責任與法規適用等議題，因此暫未納入本次指引適用範圍。

在責任歸屬方面，衛福部再次強調，生成式AI在現階段只能作為輔助工具，而非獨立決策者。凡涉及臨床判斷、診療建議、病人溝通或醫療紀錄等情境，還是得由相應資格的醫事人員進行最終確認並負責，避免AI生成內容直接成為診療依據，以確保醫療決策品質與病人安全。（詳全文）

醫療AI 電子病歷 AI治理

明尼蘇達兒童醫院CIO：AI對醫療的影響將超越電子病歷

美國明尼蘇達兒童醫院（Children's Minnesota）資訊長Dave Lundal日前接受HIMSS媒體採訪時表示，醫療資訊發展正邁入第三個重要階段，也就是AI時代，其影響力甚至可能超越過去20多年來電子病歷（EHR）對醫療產業帶來的改變。

Lundal指出，醫療IT發展大致可分為三個階段，分別是早期的醫院資訊系統（HIS）時代、電子病歷時代，以及現在逐漸成形的AI時代。他認為，AI不只會改變臨床照護模式，也將重塑醫院營運與管理方式，其影響範圍可能超越過去歷次醫療IT創新。

不過，相較於已有成熟導入模式的電子病歷專案，AI發展速度更快，也更難預測。Lundal表示，醫療機構目前面臨的最大挑戰，不只是如何導入AI工具，而是如何建立可持續適應新技術的基礎架構與治理機制。例如，Children's Minnesota目前正將資料倉儲遷移至雲端，以提高未來導入AI應用的彈性與擴充能力。

他也強調，醫院高階主管不應只將AI視為技術議題，而是要親自使用AI工具，了解其能力與限制，才能制定正確的發展策略。同時，醫療機構也應及早建立AI願景與治理框架，而非等待技術成熟後再開始規畫。

在治理方面，Lundal認為，負責任AI將成為未來醫療AI發展的重要基礎，其核心包括安全、倫理、公平、包容性及法規遵循等原則。他提醒，在AI快速發展的環境下，醫療機構必須及早建立治理機制，確保技術發展方向與實際產出符合預期。（詳全文）

AZ AI病理分析 精準醫療

AZ、羅氏將在臺推廣AI病理分析工具，要加速癌症精準診斷

AZ與羅氏診斷5月18日宣布，將在臺灣、新加坡、韓國、泰國、馬來西亞、印度、印尼、越南及菲律賓等9個市場展開為期3年的合作計畫，推動AI輔助數位病理與計算病理（Computational Pathology）應用，要提升乳癌和肺癌生物標記檢測能力，加速精準醫療落地。

兩家公司指出，目前亞洲約占全球近半數乳癌病例，且全球每年新增的肺癌患者中，超過60%發生在亞洲。隨著標靶治療與抗體藥物複合體（ADC）快速發展，HER2、TROP2等生物標記檢測結果，也成為治療決策的重要依據。因此，雙方合作聚焦AI病理分析教育訓練與臨床推廣，要加速AI輔助計算病理導入實際診斷流程。根據兩家公司引用的調查，目前僅17%的臨床醫師自認非常了解進階病理技術，相關病理檢測工具在臨床上的採用率仍偏低。

AZ與羅氏指出，AI病理分析可協助標準化病理診斷流程，降低人工判讀差異與疲勞造成的誤差。這類工具也開始納入HER2、TROP2等生物標記分析流程，協助醫療團隊評估病人是否適合特定標靶治療或ADC療法。雙方將透過教育訓練和技能培養計畫，推動AI病理分析在亞太市場的應用。（詳全文）

日本 AI Health Agent 醫療資料平臺

日本打造國產醫療AI平臺，瞄準6,000萬用戶和4,000家醫療院所

日本三井住友金融集團（SMBC）、富士通與軟銀5月宣布成立醫療健康領域策略聯盟，將共同打造日本自主開發的醫療健康平臺，透過整合醫療資料、個人健康資料與AI技術，來提升國民健康管理能力、改善醫療機構營運效率，並協助控制醫療支出成長。

根據規畫，三家公司將建立一套以個人同意為基礎的資料平臺，串接醫院資訊系統中的醫療資料，以及個人自行管理的健康資料，並進一步開發個人化AI健康代理（AI Health Agent）應用，提供從日常健康管理、就醫到治療追蹤等服務。

這套平臺將部署於日本境內資料中心，並採用日本自主開發的雲端與大型語言模型技術。三家公司指出，此舉除了因應高齡化社會帶來的醫療壓力，也希望解決醫療資料標準化不足、資料分散，以及敏感健康資料跨境流動等資料主權與經濟安全議題。

該平臺也規畫與日本政府推動的全國醫療資訊平臺（Nationwide Healthcare Information Platform）及My Number Portal串接。前者為日本推動中的全國醫療資料交換基礎設施，後者則是整合醫療、稅務與社會保險等服務的數位政府入口平臺，要進一步整合民眾健康資料與醫療服務。

三家公司預計將平臺推廣至6,000萬名用戶和4,000家醫療院所，要打造以AI與健康資料驅動的新一代醫療基礎設施。尤其，這項計畫不只聚焦AI健康代理，也想將健康資料平臺、醫療資料互通、主權雲與生成式AI整合為單一架構，反映日本正加速推動醫療數位轉型與健康資料治理布局。（詳全文）

AI新藥開發 胰臟癌 登革熱

AI新藥開發再添實例，瞄準胰臟癌與登革熱藥物研發

AI正逐漸從聊天機器人走向新藥研發。日前，中研院研究員胡春美團隊與元樟生技，分別聯手訊聯基因AI暨數據應用中心，利用AI輔助藥物設計技術，投入胰臟癌與登革熱等新藥開發，希望加速候選藥物篩選與早期研發流程。

其中，胡春美團隊運用AI平臺篩選胰臟癌候選藥物，將原本可能耗時2至3年的早期藥物設計流程，縮短至約3個月，預計今年完成候選藥物合成。團隊指出，AI不只能加速篩選候選化合物，也有助於優化藥物與標靶蛋白的結合能力，並降低毒性風險。

另一方面，元樟生技則瞄準目前仍缺乏特效抗病毒藥物的登革熱，希望開發可同時作用於4種登革熱病毒血清型的廣效口服藥。相較傳統研究人員需逐一測試大量化合物，AI可先從龐大的分子資料庫中找出較有機會成功的候選藥物，縮小實驗範圍並降低研發成本。目前相關候選化合物已完成初步篩選，接下來將進入化學合成階段，後續也將進行藥效與安全性評估。（詳全文）

醫療AI 資料平臺 AI治理

亞洲大型醫療集團：醫療AI規模化關鍵在於共通資料平臺和治理

根據美國醫療資訊與管理系統學會（HIMSS）最新的亞太醫療AI調查，醫療機構目前最常導入AI的場景，仍集中在工作流程優化、醫療文件處理和改善行政效率等領域，而非直接投入臨床決策應用。

營運190家醫療機構的亞太大型醫療集團IHH Healthcare，其業務科技長Kwok Quek Sin接受HIMSS旗下媒體採訪時表示，下一階段的醫療AI重點，不在於增加更多AI工具，而是建立可支撐大規模應用的共用基礎設施。IHH觀察，許多醫院仍將AI部署於個別部門，進而形成新的資訊孤島。對此，Kwok Quek Sin認為，與其建立彼此獨立的AI解決方案，更重要的是打造統一的資料平臺與共用的Agentic AI層，作為跨部門AI應用的共同基礎。

他強調，AI要真正發揮價值，關鍵在於直接整合至電子病歷系統（EMR）、醫療資訊系統（HIS）等既有工作流程，而非作為額外工具存在。AI越貼近臨床和營運決策發生的場景，實際採用率就越高。目前，IHH已在護理排班優化、營收循環管理等場景部署AI工具，每年可節省約80萬小時工作時間。此外，生成式AI也開始應用於臨床語音紀錄、AI出院摘要，以及醫療編碼和保險理賠審查等工作流程。

不過，IHH認為，醫療AI規模化最大的挑戰並非模型能力，而是治理與信任。為此，IHH建立了資料與AI治理框架，將治理要求納入AI設計、驗證、部署與持續監測等全生命周期管理流程，以支撐醫療AI的大規模導入與長期運作。（詳全文）

護理 系統整合 工作流程

減輕護理負擔的關鍵是整合系統，而非新增工具

美國University Health Kansas City醫院護理長Amy McTaggart接受HIMSS旗下媒體採訪時指出，醫療機構持續導入病人監測、護理文書輔助等數位工具，希望減輕護理人員負擔，但當這些系統彼此無法互通時，反而可能增加護理工作負擔。

她表示，護理人員經常需要在不同系統間切換、重複輸入資料，甚至從多個畫面拼湊病人資訊。以該院過去的心電圖監測流程為例，護理人員需將心律波形列印後貼在紙本文件上判讀，同時還得處理大量不需要採取行動的警報通知，導致警報疲勞（Alarm Fatigue）。

為此，該院導入整合式集中監測系統，將病人監測資訊集中管理，並過濾非必要警報。結果顯示，不需處理的警報數量減少22%，心律波形文件作業時間則下降69.6%。McTaggart強調，醫療科技的價值不在於增加更多工具，而在於是否能貼近護理工作流程，減少不必要的行政與系統操作負擔。

她認為，護理人員應從系統設計階段就參與規畫，協助廠商理解臨床現場需求，避免新系統反而成為額外負擔。她也指出，醫院與供應商的合作不應停留在產品展示或採購階段，而應深入臨床場域共同設計工作流程。

以該院導入集中監測系統為例，院方不僅整合監測資料，也重新調整工作流程、溝通機制與人員分工，預計每年可節省超過1萬小時的護理工時。除了監測系統整合外，該院近年也導入虛擬陪護（Virtual Sitter）系統，以及可在床邊完成護理紀錄、醫囑接收與條碼掃描的行動裝置，減少護理人員往返護理站的時間。McTaggart認為，當技術能自然融入臨床工作流程、減少干擾，護理人員才能將更多時間投入病人照護，而非花在系統操作上。（詳全文）

AI新藥 藥品監管 新加坡

AI新藥沒有快速通關！新加坡：仍須符合既有藥品審查流程

隨著AI新藥研發越來越常見，新加坡衛生部5月表示，利用AI加速開發的藥物，仍須符合既有藥品監管要求，包括品質、安全性與有效性等標準，不會因使用AI技術而採取較寬鬆的審查機制。換言之，AI新藥研發並沒有快速通道，政府也不會為AI新藥建立獨立的監管框架。

新加坡衛生部指出，當地藥品監管機關（HSA）採取的作法，與美國FDA及歐洲藥品管理局（EMA）等國際監管機構一致，將AI視為藥物研發工具，而非新的藥品類別。因此，即使AI可加速候選藥物篩選、分子設計等早期研發流程，最終仍須通過既有的臨床試驗與藥品審查程序，才能取得上市許可。

除了藥品監管外，新加坡政府也強調病人資料保護的重要性。衛生部表示，用於AI模型開發的醫療資料，仍須遵守個人資料保護法及相關資安規範，以確保病人隱私與資料安全。這也顯示，新加坡現階段對AI新藥的管理重點，仍是沿用既有藥品監管與資料治理框架，而非建立專屬的AI藥品監管制度。（詳全文）

圖片來源／Children's Minnesota、AZ、富士通

MedTech醫療科技近期新聞

1. 衛福部揭FHIR Box醫療作業系統，目標2027年底完成全臺醫院病歷互通

資料來源：iThome整理，2026年6月

'

佛州控告OpenAI隱瞞ChatGPT風險，指其助長暴力與自傷行為

來源：https://www.ithome.com.tw/news/176293

美國佛羅里達州檢察長James Uthmeier周一（6/1）宣布對OpenAI及其共同創辦人兼執行長Sam Altman提起訴訟，指控OpenAI在明知ChatGPT存在安全風險的情況下，仍持續向大眾與未成年人推廣產品，並淡化或隱瞞可能造成的傷害。佛州政府表示，這是全美首宗由州政府主導、直接針對OpenAI及Altman提出的訴訟。

根據提交至佛州第十司法巡迴法院的83頁訴狀，OpenAI長期將ChatGPT宣傳為安全、可靠且值得信任的工具，可協助使用者處理健康照護、財務管理、教育學習及日常決策等事務。然而佛州認為，ChatGPT實際上經常產生錯誤資訊、虛構內容與危險建議，卻未在宣傳中充分揭露相關風險。

訴狀指控OpenAI將產品上市速度與商業利益置於使用者安全之上，無視來自公司內外部專家的警告，並透過記憶功能與擬人化互動設計，鼓勵使用者與ChatGPT建立情感依賴關係。佛州認為，這些設計可能導致未成年人產生成癮、認知能力下降與心理健康問題。

佛州並引用多起與ChatGPT相關的案件作為證據。其中包括2025年佛羅里達州立大學（FSU）槍擊案。訴狀指出，槍手Phoenix Ikner犯案前曾向ChatGPT詢問校園人流、槍枝與彈藥等問題，ChatGPT還曾提供學生中心熱門時段等資訊。另一案例則是南佛羅里達大學（USF）兩名研究生遭殺害事件，訴狀稱嫌犯曾利用ChatGPT詢問棄屍、變更車輛識別碼（VIN）等相關問題。

此外，訴狀也提及多起自殺相關案件。包括德州青少年Sam Nelson死亡案，以及16歲少年Adam Raine自殺案。佛州引用家屬訴訟內容主張，ChatGPT曾提供危險藥物建議，甚至協助討論遺書與自殺計畫。

OpenAI則否認相關指控，強調公司已建立未成年人保護措施、安全防護機制與家長工具，並持續改善模型對心理危機、自傷傾向及敏感議題的處理方式。OpenAI表示，ChatGPT並非醫療或心理健康服務的替代品，公司也將持續加強安全措施。

佛州此次訴訟尋求賠償、禁制令及其他法律救濟，同時要求追究Altman個人責任。此案也可能成為美國首批直接檢驗AI公司是否應對使用者傷害承擔法律責任的重要案件之一。

'

仿英國ETA簽證申請的代辦網站外洩10萬護照！AWS儲存桶配置錯誤，通報後業者派律師而非先釐清

來源：https://www.ithome.com.tw/news/176290

近期赴英旅客注意，科技媒體TechCrunch近日揭露，一個名為「UK Visa Portal」的第三方簽證代辦網站發生嚴重資安疏漏，導致至少10萬份申請人的護照掃描檔與自拍照，被暴露在可公開存取的Amazon S3儲存桶中，且至今業者應對態度仍相當消極。

TechCrunch指出，這起事件是由一名匿名消息人士主動通報，媒體隨後透過外流資訊聯繫部分當事人進行核對，證實外洩資料內容屬實。在技術細節上，這是一起典型的雲端儲存配置錯誤案例。雖然該Amazon S3儲存桶並未公開列出其內容清單，意即一般人無法直接瀏覽儲存桶內的檔案目錄；然而，只要知道個別檔案的網址，任何人都能直接存取並讀取內容。通報者進一步指出，UK Visa Portal網站後端存在一個弱點，讓攻擊者能藉此獲取儲存桶內的檔案清單，進而導致大規模的資料外流。

除了敏感的身分證件外流問題，另一資安媒體SecurityAffairs也點出相關風險，指出這些證件照片的中繼資料（Metadata）含有嵌入式GPS座標資訊，導致部分案例中甚至能直接識別出申請人的住家地址。

在事件發生後，TechCrunch已嘗試多次聯繫營運UK Visa Portal業者。然而，該業者的處理方式令人失望。業者並未在第一時間積極修復漏洞，反而指派BakerHostetler律師事務所與公關公司FTI Consulting出面交涉。

綜觀這起事件，突顯第三方代辦服務的亂象正隨之升溫。隨著英國政府自2026年起全面擴大電子旅行授權（ETA）實施範圍，各國旅客對線上申請需求激增，雖然英國政府多次呼籲，旅客應優先使用英國政府GOV.UK的ETA線上申請系統，或下載「UK ETA」App進行辦理，但網路搜尋結果中仍充斥名稱、視覺設計與政府官網極其相似的第三方付費代辦網站，而這類網站只是幫旅客將資料填進官網並收取額外服務費用，其資安防護水準往往也參差不齊。

'

北約網路衝突國際會議CyCon登場，臺灣官員首度登臺分享城市韌性與通訊備援實務

來源：https://www.ithome.com.tw/news/176281

北約網路衝突國際會議（CyCon）是國際資安與國防領域的年度指標性會議，今年第18屆活動於5月26日至29日舉行，吸引全球50國、近800名與會者參與，議程涵蓋AI驅動的網路衝突、關鍵基礎設施韌性與公私協作等面向，特別的是，這項活動首度有臺灣官員獲邀於CyCon登臺分享，象徵臺灣與國際在網路防衛議題上的交流更趨緊密。

數位發展部資通安全署表示，今年是資安署第三度組團與會，而此次最受矚目的進展，在於國家安全會議諮詢委員李育杰受邀於大會專題工作坊擔任共同與談人，向國際社會分享臺灣在城市韌性（Municipal Resilience）與危機治理方面的實務經驗。

針對地緣政治下的灰色地帶威脅，李育杰強調臺灣已將「通訊韌性」提升至國家戰略高度，並以多元化（Diversity）、備援性（Redundancy）與去中心化（Decentralization）為核心，推動海、陸、空整合的異質通訊架構。畢竟，臺灣面對超過99％國際流量仰賴海纜的高度風險，因此數發部正積極整合高軌（GEO）、中軌（MEO）與低軌（LEO）等多軌道衛星系統，搭配地面微波與行動網路，建構多層次防禦體系，以降低單一通訊系統失效風險，提升整體國家關鍵通訊存續能力。

此外，為確保重大危機下的任務存續，李育杰談及臺灣的作法是導入PACE通訊管理機制，藉由主要（Primary）、替代（Alternate）、應變（Contingency）與緊急（Emergency）的架構，並依據國家安全與救災需求建立通訊優先順序，以確保軍事指管、政府治理及關鍵基礎設施（CI）等核心功能，在衝突環境下仍能穩定運作。綜觀這次CyCon活動，臺灣在汲取各國經驗之餘，同時也向國際社會展現了在地緣政治前線磨練出的數位韌性實力。

'

新型惡意軟體VoidStealer可繞過Chrome瀏覽器安全機制，竊取Cookie與帳號資訊

來源：https://www.ithome.com.tw/news/176291

惡意軟體與資安防護機制之間的攻防可說永無止歇，近日資安業者卡巴斯基發布報告，揭露新出現的資訊竊取惡意軟體VoidStealer，可繞過Google在Chrome瀏覽器引進的應用程式綁定加密（Application-Bound Encryption，ABE）安全機制，直接取得瀏覽器儲存的Cookie、登入資訊與其他敏感資料。

Google於2024年中，隨著Chrome 127版導入ABE機制，目的是避免資訊竊取程式直接存取瀏覽器儲存的敏感資料，攻擊者必須提升權限，或是直接注入惡意程式碼，才能繞過ABE機制。然而，VoidStealer採取更具威脅性的繞過策略：該惡意程式直接以除錯器模式附加至Chrome處理程序，並利用中斷點（Breakpoint）監控其解密流程。當Chrome將解密所需的金鑰載入記憶體時，該惡意程式便會強制暫停瀏覽器執行，並直接擷取記憶體中的金鑰。

卡巴斯基指出，VoidStealer亦透過惡意軟體即服務（Malware-as-a-Service，MaaS）模式提供給其他攻擊者使用，將進一步擴大相關威脅，建議用戶避免安裝來源可疑的軟體，定期更新作業系統與瀏覽器，並注意偽造軟體更新的ClickFix等新興攻擊技術，以及避免在瀏覽器中保存敏感的密碼，而應使用專用的密碼管理器，以降低這類攻擊的風險。

'

Samba修補列印與身分驗證功能重大漏洞，未更新可能導致攻擊者執行任意程式碼

來源：https://www.ithome.com.tw/news/176287

開源檔案與列印服務軟體Samba近日發布資安公告，修補列印子系統（printing subsystem）與檔案伺服器功能中，可能導致遠端執行程式碼的2項重大漏洞，雖然兩者都需滿足特定設定條件，但可能遭未授權攻擊者遠端利用， Samba專案團隊給予這2項漏洞的CVSS嚴重性評分，都是10.0滿分，並於4.22.10、4.23.8與4.24.3版完成修補，由於Samba廣泛用於Linux檔案共享與列印環境，用戶應儘速更新。

其中第1項漏洞編號是CVE-2026-4480，存在於Samba的列印子系統，若管理者採用包含「%J」參數的自訂print command，且允許訪客列印功能，可能導致攻擊者藉此觸發指令注入問題，進而在伺服器上執行任意程式碼。

第2項漏洞是CVE-2026-4408，存在於Samba 檔案伺服器與傳統網域控制器中，用於帳號驗證與遠端管理的samba-dcerpcd程式，若管理者將samba-dcerpcd以系統服務執行，並於check password script中使用「%u」參數，可能導致攻擊者藉由使用者名稱內容注入Shell指令，進而執行任意程式碼。

'