Computex首設開源臺灣館，向國際展現臺灣開源社群實力

來源：https://www.ithome.com.tw/news/176374

臺灣開源社群長期活躍於Linux、Kubernetes、Apache等國際專案，卻鮮少以臺灣整體生態系的名義出現在大型科技展。今年Computex電腦展中首度設立「開源臺灣館」，集結臺灣在地的開源社群能量組成臺灣隊，向國際來訪的參觀者展現臺灣開源社群的活力，而在AI時代下，開源技術與開源治理也逐漸成為產業關注焦點。

當今年Computex展場充滿AI伺服器、資料中心基礎設施、大型語言模型、商業軟體解決方案相關展示時，在南港展覽2館中出現了一個與硬體產品截然不同的展區，首次設立的「開源臺灣館」（Open Source Team Taiwan）。

相較於各家廠商展示新一代GPU、AI伺服器或企業AI平臺，這個展區展示的並非單一產品，匯聚長年參與國際開源專案的開發者、社群組織與企業技術團隊。對許多臺灣開源社群成員而言，這是很不一樣的地方，Computex提供了國際舞臺，集合臺灣的開源社群，對外展現臺灣的軟實力。

臺灣擁有相當活躍的開源文化。從2000年代初期Linux社群興起，到2006年COSCUP開源人年會創立，臺灣逐漸形成完整的開源生態圈。多年來，不少臺灣工程師持續參與Linux Kernel、Apache、Kubernetes、OpenStack等國際專案，也有人擔任專案維護者（Maintainer）或核心貢獻者。

但是相較於臺灣半導體產業在全球供應鏈中的高能見度，國內開源社群的貢獻往往分散在不同專案之中，外界較少意識到許多全球開源技術背後其實有臺灣開發者參與其中。

因此，今年Computex首次出現開源臺灣館，某種程度上也象徵臺灣開源社群從幕後走向前臺。

值得注意的是，這樣的轉變與近年AI發展趨勢密切相關。

過去開源軟體經常被視為開發者文化的一部分，但是當雲端原生（Cloud Native）、Kubernetes、生成功能AI模型與AI開發框架快速普及，開源已經成為現代IT的重要基礎。從PyTorch、TensorFlow到近年的Llama、Mistral等開放模型，許多AI創新的基礎都建立在開源生態之上。

也因此，企業關注的焦點不再只是是否使用開源軟體，而是如何參與開源專案、建立開源治理能力，以及在供應鏈中維持軟體安全。

除了開源臺灣館，今年活動也邀請Apache Sofeware Foudation與Open SSF的開源社群領袖來臺演說、交流，涵蓋開源治理（Open Source Governance）、開源安全（Open Source Security）、軟硬體整合以及社群協作等議題。這些主題近年已逐漸成為企業IT部門關注的重點，尤其在《歐盟網路韌性法》（Cyber Resilience Act，CRA）等法規陸續上路後，企業對開源元件管理與軟體供應鏈安全的重視程度明顯提高。

開源臺灣館展示了幾個在地開源社群參與開源專案的成果，或是由在地社群主導的開源專案，例如在地化AI發展成果，雲端及私有雲平臺、資料處理。

熟悉臺灣在地文化、語境的AI

目前國際上開源的大語言模型，雖然理解中文語意內容，但是多採用中文簡體內容訓練而成，因此對於臺灣使用的正體中文、臺灣的觀點並不完成理解，因此由國科會主導，中研院推動的臺灣在地大語言模型TAIDE，在今年2月釋出Gemma-3-TAIDE-12b-Chat-2602模型，TAIDE模型累積下載已達到24萬次，除了展示教育、醫療等應用，還包括政府公部門專用的G-TAIDE。TAIDE未來將朝多模態發展。

另外，國內的資訊經理人協會(IMA)也展示Taiwan Tongues臺灣通用語料庫，目的在建立臺灣文化內容的資料集，目的在邀請文學作家提供作品內容授權，以建立可供國內外大型語言模型訓練使用的臺灣文學內容語料，提升國際大語言模型對臺灣用語文化的理解。

另外，致力於推廣正體中文開源語言模型的社群Twinkle AI，目標為打造適合臺灣語境的大型語言模型（LLM），並讓模型可在手機、桌機甚至各種終端設備上執行。Twinkle AI現場還展示將AI接上政府開放資料，讓AI代理人可協助查詢政府標案、房價登錄等資料。

社群成員Bobson Lin指出，過去一年團隊持續驗證大型語言模型能否在iPhone、Android等行動裝置執行，並推Littlestar的開源應用程式，作為模型部署與推論平臺。該專案已開源釋出，未來將會持續強化推論效能、多模型支援以及跨裝置運作能力。

Twinkle AI目前採用GGUF格式模型與llama.cpp等開源推論框架，透過模型量化、記憶體優化與推論加速技術，使模型能在資源有限的終端設備運作。該團隊也正在開發新的推論架構與加速機制，希望能提升手機端的推論速度與使用體驗。

有鑑於AI向邊緣裝置發展的趨勢，Bobson Lin表示，許多個人資料原本就儲存在手機等終端設備中，若能直接在本地端完成推論，不僅可降低對雲端的依賴，也有助於提升隱私保護能力。

此外，Twinkle AI也持續投入臺灣本地化模型訓練，希望模型能更理解臺灣的用語、文化與使用情境。未來除文字模型外，也將朝向語音、多模態模型發展，並以Ambient Intelligence環境智慧為其長期願景，希望AI能更自然地融入使用者周遭環境與日常生活。

打造企業級雲原生基礎架構平臺

除了推動AI的在地化發展，擴展臺灣在AI時代的能見度，企業級工具也是展出的另一項重點。

例如Bigstack展示旗下開源專案CubeCOS，CubeCOS定位為企業級的雲原生基礎架構平臺，以協助企業簡化私有雲、邊緣運算與AI工作負載的部署與管理。

Bigstack表示，許多企業雖然希望採用Kubernetes等雲原生技術，但實際導入時往往需要處理身分管理、儲存、網路、監控、維運等大量整合工作，門檻相當高。因此，CubeCOS希望將這些基礎能力整合成標準化平臺，讓企業能更容易建置自己的雲端環境。

在技術架構上，CubeCOS建立於Kubernetes生態系上，扮演類似基礎作業平臺的角色，向上承載虛擬機、容器及各類應用服務，向下則整合不同硬體與基礎設施資源。

該公司對於CubeCOS採取開源模式開發，相關功能會優先回饋至上游開源專案，因此維持開源社群與商業服務並行模式。商業版本與開源版本差異在於企業維運管理、整合工具與技術支援服務。

該公司也提到，近年邊緣運算需求增加，加上企業對自主可控基礎架構的需求提升，使得開源雲原生平臺獲得更多關注。部分客戶已將CubeCOS應用於AI推論、醫療影像等需要在地部署的場景。

OpenSource4You把臺灣工程師帶進全球開源資料平臺生態系

而本地知名開源社群opensource4you也展示參與Apache Kafka、Airflow、Flyte、Ray等開源專案的成果，其中的分散式串流資料分析的Kafka為知名的開源專案，IBM曾以110億美元買下資料串流平臺台巨頭Confluent，Confluent創辦人即為Kafka開源專案原始共同創造者，該公司員工也是Kafka專案的核心與最大貢獻者，而opensource4you社群貢獻度約為Confluent的三分之一，為Kafka專案的主要工獻社群之一。

在BI商業智慧洞察分析方面，為突破AI通用語義缺乏對企業的商業情境上下文理解限制，易開科技開發商業情境AI的WrenAI。

易開科技軟體工程師、開源專案核心維護者陳品旭指出，企業導入AI Agent後，最大挑戰已不再是讓 AI 能夠存取資料庫，而是如何讓 AI 理解企業內部的商業語意與資料定義。他舉例，當使用者詢問「本季活躍客戶成長率」時，AI 雖然可以從資料表取得數據，卻未必知道企業如何定義活躍客戶、是否需排除試用帳號或內部帳號，以及季度計算方式等商業規則，因此容易產生看似合理卻不符合企業實際定義的答案。

為解決這類問題，WrenAI提出Context Layer，希望在AI Agent與資料庫間建立可供機器理解的企業知識層，將商業術語、指標定義、資料使用規範、團隊慣例與歷史分析經驗等資訊結構化管理，讓AI不僅能查詢資料，還能理解資料背後的商業情境。他認為，過去企業建立的Semantic Layer要解決資料模型與指標定義問題，而在Agent時代，還需要進一步納入企業知識與商業脈絡，才能提升AI回答商業問題的準確度與可信度。

陳品旭認為，隨著越來越多企業開始導入AI Agent查詢資料與產生分析結果，資料治理也從資料表管理延伸到知識治理（Knowledge Governance）。WrenAI透過開源方式發展 Context Layer 架構，讓企業能將原本散落在文件、會議紀錄、SQL腳本與員工經驗中的知識，轉換成可供AI存取與重複利用的上下文資訊，降低因AI錯誤理解的判斷風險。

中研院長期投入YOLO物件偵測技術研發

另外，中研院長期投入電腦視覺與深度學習應用領域長期，其中在YOLO物件偵測架構專案上，中研院是YOLOv4、v7、v9 的核心研發團隊之一。目前著重於模型輕量化、推論效率優化，以及在邊緣裝置上的部署可行性。

中研院現場展示即時影像分析場景，例如監控、交通辨識等智慧城市應用，或是在室內物件偵測的成果。中研院持續將YOLO相關技術與本地產業及開源生態接軌，推動從研究模型走向實際應用系統的轉譯，例如結合嵌入式運算平台與AI推論加速框架，使即時物件偵測能在低功耗設備上穩定運行。

全球首個5G核網開源專案free5GC

陽明交大資工系教授陳健介紹全球第一套開源的5G核網專案free5GC，其原本的核心目標是建立一套開源5G核心網路實驗平臺，讓研究與產業不再只能依賴昂貴且封閉的商用系統。free5GC是以3GPP Release 15標準為基礎，提供完整的5G Core（5GC核網）實作，讓研究人員能直接在平台上進行網路功能驗證、協定測試與PoC開發，縮短從學術研究到實際應用的距離。

在產業與應用驗證方面，free5GC成為企業建立5G專網或進行PoC測試的重要工具。企業可利用開源架構來模擬真實電信網路環境，進行如智慧工廠、車聯網、邊緣運算等應用測試，以降低導入前的試錯成本。同時，由於其開放特性，也便於與SDN、雲原生平臺整合，加速網路功能虛擬化（NFV）與雲端化部署。

在生態系價值上，free5GC透過開源社群，累積大量來自學界與產業的修補與功能擴充，使其不只是單一研究成果，而逐漸成為5G核心網路開源基礎設施。這也讓使用者能在一致的平台上進行標準對齊、互通性測試與創新實驗，提升整體5G技術發展的協作效率與速度。

陳健強調free5GC的價值不僅在於可用的開源核心網路，更是打造一個可持續演進的研究與產業協作基礎。透過開放原始碼與社群共創，目前free5GC已被用於智慧工廠、智慧醫療、車聯網與專網（private 5G）等場景驗證，並且也朝向下一代行網路6G研究的重要基礎設施之一，使臺灣在核心網路技術上從過去較少著力的領域，轉向具全球影響力的開源平臺貢獻者。

Ai輔助IC設計，縮短迭代設計時間

台大團隊的陳祈介紹SiliconMind-V1，主軸聚焦於將AI導入IC設計流程中的自動化與推理能力，特別針對晶片設計週期長、驗證成本高的痛點提出解法。他指出，傳統 IC 設計流程有高達6至7成時間耗費在設計驗證與除錯，而SiliconMind-V1透過多代理蒸餾（multi-agent distillation）與debug推理流程，讓模型能同時具備「生成設計」與「自我測試與修正」能力，縮短設計迭代時間。

SiliconMind-V1採取開源策略，強調可在本地端或企業內部環境部署，降低對雲端AI與敏感設計資料外流的依賴。在實測結果上，該模型在使用更少訓練資料與顯著較低的算力情況下，仍能在特定IC設計任務上超越部分的既有模型表現，並透過與多模態工具鏈整合，進一步強化從規格理解到RTL生成的完整流程，展現AI在半導體設計自動化上的潛力。

相較於過去電腦展展示產品，今年Computex電腦展中設立開源臺灣館，集合15件臺灣的開源社群參與及主導的開源專案成果，透過電腦展的國際舞臺，讓外界也能看到默默付出的臺灣開源社群活力及貢獻，此外，也在AI時代基礎技術建設，從模型、資料內容到雲原生基礎架構，都能看到臺灣開發者的身影。

'

惡意軟體租用服務WeedHack提供買家免費試用，已成為青少年對Minecraft玩家竊取財務、霸凌的工具

來源：https://www.ithome.com.tw/news/176370

資安公司McAfee揭露針對Minecraft玩家的惡意軟體WeedHack，網路罪犯採用租用模式（Malware-as-a-Service）經營，不過有別於其他提供惡意軟體租用的服務，每個月費用需要數百美元，McAfee指出，任何人只要有Discord帳號與網路連線，就能免費使用WeedHack，竊取玩家的帳密資料及挾持帳號，若是一個月支付5美元（24.99美元可取得進階功能的終身使用權）的買家，還能進一步即時存取受害者的電腦螢幕畫面、視訊鏡頭，以及檔案。這種極低的門檻，吸引年輕族群上門，McAfee發現，買家不僅利用WeedHack獲得經濟利益，還進一步騷擾和霸凌同儕。

從功能上來看，免費版本的WeedHack偏向竊資軟體（Infostealer），而付費版本具備後門程式的能力。McAfee監控駭客經營的Telegram頻道發現，該頻道有超過850名成員，且大部分是青少年或是剛成年的年輕人，值得留意的是，其中有不少人的目的並非經濟利益，而是為了騷擾和恐嚇其他Minecraft玩家。該公司看到攻擊者透過電腦的網路攝影機錄製受害者的影片，並在Telegram頻道分享，也有人利用受害者的IP位址與系統存取權限，威脅受害者。

針對這項發現，McAfee提醒家長，假若有人聲稱入侵小孩的電腦、擁有網路攝影機畫面，或是掌握電腦的IP位址，請務必認真看待；而對於玩家的部分，McAfee呼籲要立刻告訴家長、監護人、或學校輔導人員等值得信賴的大人，並聯絡當地執法機關，切勿與攻擊者互動，或是聽從攻擊者的指示。

'

【資安日報】6月4日，HTTP/2 Bomb影響多款主流網頁伺服器系統

來源：https://www.ithome.com.tw/news/176372

HTTP/2 Bomb攻擊手法影響主流網頁伺服器，恐遭用於DoS攻擊

研究人員於6月3日揭露名為HTTP/2 Bomb的遠端阻斷服務（DoS）攻擊手法，影響多款主流網頁伺服器與代理伺服器，包括Nginx、Apache httpd、Microsoft IIS、Envoy與Cloudflare Pingora。資安研究發布平臺Calif指出，這項攻擊手法的成形，源於研究人員使用OpenAI程式開發代理Codex，嘗試將兩種已知手法進行串連而得到，這些被發現至今長達10年的手法，分別是：HTTP/2標頭壓縮機制HPACK的壓縮炸彈，以及類似Slowloris的連線占用手法。

Minecraft玩家遭惡意軟體WeedHack鎖定，逾11萬臺設備被感染

近年來遊戲玩家不斷成為駭客鎖定的目標，如今出現攻擊特定遊戲族群的惡意軟體租用服務（Malware-as-a-Service），提供買家對特定遊戲的玩家發動攻擊。資安公司McAfee揭露惡意軟體租用服務WeedHack，該平臺從今年1月開始出現，專門針對Minecraft玩家，迄今已確認有116,464臺電腦受害，而且遭感染的電腦數量每天會增加2千至3千臺。一旦遭到感染，攻擊者可竊取帳密資料並挾持Discord與Minecraft帳號，洗劫加密貨幣資產，甚至即時存取受害者的視訊鏡頭、螢幕畫面，以及電腦檔案。

惡意軟體租用服務WeedHack提供免費試用，已成為青少年竊取Minecraft玩家財務、霸凌同儕的工具

資安公司McAfee揭露針對Minecraft玩家的惡意軟體WeedHack，網路罪犯採用租用模式（Malware-as-a-Service）經營，不過有別於其他提供惡意軟體租用的服務，每個月費用需要數百美元，McAfee指出，任何人只要有Discord帳號與網路連線，就能免費使用WeedHack，竊取玩家的帳密資料及挾持帳號，若是一個月支付5美元的買家，還能進一步即時存取受害者的電腦螢幕畫面、視訊鏡頭，以及檔案。McAfee發現，買家不僅利用WeedHack獲得經濟利益，還進一步騷擾和霸凌同儕。

WordPress惡意軟體感染近2,000個網站，駭客濫用Steam平臺建立C2通訊管道

為了隱匿攻擊活動，駭客濫用合法雲端服務建立C2通訊的情況極為氾濫，然而最近有一起相當不尋常的活動引起資安研究人員的注意，因為遊戲平臺提供的功能也遭到利用。網站代管平臺GoDaddy資安團隊上週公布鎖定WordPress網站的惡意軟體活動，駭客利用Steam社群的個人資料（profile）留言區嵌入C2資料，將惡意基礎設施隱藏在Valve合法的平臺之中。該公司最早於2025年7月偵測到相關活動，迄今約有1,980個WordPress網站被植入惡意軟體。

新興勒索軟體The Gentlemen濫用Windows排程工作提升權限，具備自我擴散能力加速大規模感染

微軟資安威脅情報團隊近日揭露新興勒索軟體The Gentlemen，指出相較於傳統勒索軟體，The Gentlemen有兩項特點。首先，具備濫用Windows排程工作（Scheduled Task）功能，建立SYSTEM權限的排程工作，藉此再次以SYSTEM的權限層級執行惡意軟體本身，還會透過排程工作與修改登錄檔，建立持久運作機制，在系統重啟後仍能運作；其次，擁有強大的自我散播能力，會嘗試使用WMI、PsExec與PowerShell多種遠端執行方式，在網路中橫向移動。

駭客Storm-2949接管雲端帳號，濫用Azure權限滲透正式環境竊取資料

微軟揭露濫用雲端身分入侵事件，駭客組織Storm-2949先透過社交工程接管Microsoft Entra ID帳號，再濫用受害者原本就具有的Azure角色型存取控制（Azure RBAC）權限，存取Microsoft 365應用程式、雲端檔案服務，以及Azure託管正式環境中的資料與雲端資源。該攻擊疑似與自助密碼重設流程遭濫用有關，攻擊者可能假冒內部IT支援人員，鎖定IT人員與高階主管，要求目標使用者核准看似正常的多因素驗證（MFA）提示而得逞。

4年前的Linux核心漏洞已遭利用，恐被用於供應鏈攻擊

6月2日美國網路安全與基礎設施安全局（CISA）警告，幾年前揭露的Linux核心權限提升漏洞CVE-2022-0492已遭到積極利用，他們將其納入已遭利用漏洞名單（KEV），要求聯邦機構於6月5日前完成修補。巧合的是，在CISA將此漏洞納入KEV之前，在卡巴斯基本週揭露的容器用於供應鏈攻擊初期管道研究，CVE-2022-0492剛好是其中一個被提到遭利用的漏洞，攻擊者將其用於容器逃逸。

美國政府證實Magento快取外掛Mirasvit Cache Warmer重大漏洞已遭利用

上週資安公司Sansec提出警告，Magento網頁快取外掛程式Mirasvit Cache Warmer存在重大漏洞CVE-2026-45247，攻擊者在未經身分驗證的情況下，可在PHP物件進行注入，CVSS風險評為9.8分，用戶應儘速更新因應。本週美國網路安全與基礎設施安全局（CISA）指出，他們已掌握漏洞遭積極利用的證據。6月3日CISA將上述漏洞加入已遭利用的漏洞名單（KEV），要求聯邦機構必須在6月6日前完成修補。

CISA將Android框架零時差漏洞列入已遭利用漏洞名單

Google發布6月Android例行更新（Android Security Bulletin），修補的對象包含存在於Android框架的權限提升漏洞CVE-2025-48595，公告指出該漏洞已被鎖定目標的局部活動所利用，隨後美國網路安全與基礎設施安全局（CISA）也證實CVE-2025-48595被用於實際攻擊的情況。6月2日CISA發布公告，他們掌握兩個漏洞遭到積極利用的證據，將它們加入已遭利用漏洞列表（KEV），其中一個就是CVE-2025-48595，聯邦機構必須在6月5日前完成修補。

老舊系統威脅持續惡化，歐洲逾半數工業組織的資安事件涉及舊版Windows系統

工業環境中的老舊系統（Legacy Systems）風險持續成焦點，TXOne Networks近期針對歐洲揭露其2026年度OT資安報告研究細節，解析當地工業領域面臨的挑戰。報告指出，過去一年有超過半數（51%）的歐洲工業組織，曾經歷涉及老舊Windows系統的資安事件，這項數據相較於2025年的43%有明顯增長。值得注意的是，約25%受訪者表示相關資安事故在一年內發生不只一次，反映出舊系統漏洞已成為駭客眼中持續且活躍的攻擊面。

歐盟網路安全局發布NIS360報告，太空與鐵路關鍵性攀升

歐盟網路安全局（ENISA）發布NIS360報告，針對歐盟NIS2指令所涵蓋的高關鍵性部門，建立年度評估架構。報告指出，隨著組織積極應對演進中的政策要求與網路威脅，歐盟關鍵領域部門的資安成熟度正穩步提升；然而，受地緣政治與數位化影響，太空與鐵路部門的關鍵性（Criticality）顯著攀升，被列入資安防禦的重點關注區域。鐵路、飲用水及廢水處理這三個部門，先前僅處於風險區邊緣，今年則正式進入風險區內，顯示其防護成熟度需要積極提升。

逾9成資安長重視網路威脅情資，但不到3成將其列入決策依據

資安教育與研究機構SANS Institute於5月發布調查報告指出，企業已普遍將網路威脅情資（Cyber Threat Intelligence，CTI）納入資安計畫，但許多組織仍未把情資分析結果，轉化為預算分配、風險排序與高層決策依據。91%的資安長認為CTI具備價值，但僅26%表示CTI會明顯影響高層決策。SANS認為，這反映CTI目前面臨的主要挑戰，不是情資可信度不足，而是對於分析結果的認知尚未反映至對於決策制定的影響。

Veeam 13.0.2解決備份伺服器高可用性與跨平臺支援問題

備份與資料保護廠商Veeam近日推出Veeam Backup & Replication 13.0.2版，這次更新聚焦於備份基礎設施高可用性、跨平臺支援，以及復原能力的修正。在跨平臺支援方面，13.0.2版也修正搭配不同平臺時的作業問題，例如Hyper-V環境的複本VM無法啟動，以及Linux平臺的代理程式，無法安裝在RHEL 9.8、RHEL 10.2與Ubuntu 26.04 LTS等Linux發行版。上述狀況改善後，能使這些系統的資料受到保護。

WordPress熱門外掛Kirki爆權限提升漏洞，未登入攻擊者可劫持管理員帳號

資安業者Wordfence揭露，WordPress外掛Kirki含有未經身分驗證即可利用的權限提升漏洞CVE-2026-8206，CVSS分數為9.8，影響6.0.0至6.0.6版，開發團隊已在Kirki 6.0.7修補。攻擊者不必登入網站，就可透過外掛的密碼重設功能，讓任意已註冊使用者帳號的密碼重設連結，寄到攻擊者控制的電子郵件信箱，進而接管管理員帳號。由於該漏洞是在Kirki 6.0主要版本引入，Wordfence在6月1日估計約15萬個網站使用受影響版本。

Google Workspace擴大網域外檔案警示，降低敏感資料外洩與釣魚攻擊風險

Google宣布強化Google Workspace安全功能，擴大既有的網域外檔案警示（Out-of-Domain file-level warnings）適用範圍，新增支援行動裝置App、檔案共享通知等情境。Google表示，這項預設啟動的功能，可協助用戶更清楚辨識所處理的檔案，並降低外洩敏感資料及遭遇網路釣魚攻擊的風險。現在擴大支援範圍，涵蓋Android版與iOS版的Google雲端硬碟、Google文件、Google試算表與Google簡報，也延伸至電子郵件的評論通知與檔案共享的郵件通知。

Anthropic提出AI代理人零信任框架，因應AI加速攻擊風險

Anthropic發布AI代理人零信任安全框架，主張企業部署具自主操作能力的AI代理人時，應從一開始就以「預想遭駭」為前提，規畫整體系統與安全架構。Anthropic提出的AI代理人零信任安全框架依組織成熟度與風險承受能力分為3層，分別是基礎、企業與進階。基礎層級涵蓋短效存取權杖、具備密碼學驗證機制的代理人身分識別、以身分為核心的工作負載隔離，以及可自動執行初步事件分流的安全機制。

思科打造AI代理時代IT營運平臺，內建身分、政策與零信任防護

思科（Cisco）推出統一營運平臺Cisco Cloud Control，將旗下網路、資安、AI基礎架構、可觀測性與協作等產品能力，整合到單一操作介面。這項平臺也透過Cloud Control Studio串接第三方工具與既有IT環境，讓企業可在同一套介面中管理跨產品組合的維運工作。該平臺提供標準化API與MCP介面，並整合身分識別、政策控管、遙測資料與執行期間控管點；同時促使每項AI代理的行為透明、可被稽核（auditable）、能受到限制（bounded）、可被追溯（reversible），並且必須經過人類批准，降低AI代理直接操作企業環境可能帶來的風險。

川普簽署AI資安行政命令，要求業者自願提供前沿模型供政府測試

美國總統川普於6月2日簽署AI資安行政命令，要求聯邦政府建立前沿AI模型自願測試機制，最終版本已較白宮原先考慮的方案大幅縮減。這項行政命令正式名稱為《促進先進人工智慧創新與安全》（Promoting Advanced Artificial Intelligence Innovation and Security），重點包括成立AI資安資訊交換中心（AI Cybersecurity Clearinghouse），要求美國網路安全與基礎設施安全局（CISA）擴大AI資安工具與服務，建立「列管前沿模型」（Covered Frontier Model）認定標準。

微軟9月強化Entra ID自助式密碼重設，僅允許已註冊驗證方法

微軟預告，身分識別與存取管理服務Microsoft Entra ID的自助式密碼重設（Self-Service Password Reset，SSPR）流程，將自2026年9月7日起調整。企業使用者透過SSPR重設密碼並驗證身分時，僅能使用事先完成註冊的驗證方法。若手機號碼、公司電話或備用電子郵件僅存在於目錄屬性中，未正式註冊為驗證方法，政策生效後將無法再用於密碼重設。2026年7月6日起，系統將提醒受影響使用者與系統管理員註冊驗證方法；9月7日起正式強制執行。

【2026臺灣資安年鑑｜數位發展部部長林宜敬】從「資安蜜罐」到「民主供應鏈」，臺灣是自由民主世界資安前哨站

在2026年4月初，數位發展部部長林宜敬甫自美國舊金山RSA Conference（RSAC）資安會議返臺，帶回一股強烈的信念：臺灣資安產業的黃金時代，就在當下。「Taiwan is a honey pot of free world.（臺灣是自由世界的蜜罐）」。首創這句話的林宜敬表示，這是他對臺灣資安現況觀察的真實寫照。此次RSAC之旅臺灣的角色已悄然翻轉──在擁擠的展覽館裡，臺灣廠商告訴國際訪客「We are the expert of Chinese APT」，令現場人群立刻停下腳步關注。

近期資安日報

【6月3日】紅帽NPM套件遭遇蠕蟲Miasma供應鏈攻擊

【6月2日】捷克參議院率團訪臺前夕，傳出中國駭客從事網路間諜活動

【6月1日】偽冒FIFA世足的詐騙網域激增

'

Meta升級AI客服機器人為Business Agent，擴大支援Instagram商家

來源：https://www.ithome.com.tw/news/176371

Meta週三（6/3）在倫敦舉行的Conversations 2026大會上宣布，將原本用於WhatsApp與Messenger的AI客服機器人Business AI升級為Meta Business Agent，並進一步擴大支援Instagram商家。這是Meta專為企業打造的人工智慧（AI）代理人（Agent）服務，可在WhatsApp、Instagram及Messenger上自動回覆顧客訊息，並協助企業處理客服、商品推薦、預約安排、潛在客戶篩選與銷售等工作。

Business Agent的前身可追溯至Meta於2024年10月推出的Business AI免費測試版，當時先在印度、墨西哥等部分市場開放測試。Meta表示，目前已有超過100萬家企業透過WhatsApp與Messenger使用這項企業AI客服服務，全天候回應顧客需求。該服務可協助商家回覆顧客詢問、推薦商品、安排預約、篩選銷售線索，並在必要時轉交真人客服。

相較於原本偏重客服回覆的Business AI，Business Agent此次除了擴大支援Instagram商家之外，也進一步強化銷售與營運能力。除了回答顧客問題、推薦商品及安排預約外，還可協助篩選銷售線索、完成交易，並將對話內容整理成晨間簡報，協助商家掌握夜間錯過的訊息與顧客需求。Meta表示，未來還將加入市場研究、商品洞察、行事曆管理及競爭情報分析等功能。

CNBC引用Meta執行長Mark Zuckerberg的說法指出，Business Agent可讓各種規模的企業都擁有AI代理人，協助與顧客對話並處理營運工作。不管是伯明翰的服裝店還是聖保羅的麵包店，都能藉此提供大型品牌才有能力負擔的全天候個人化服務。隨著模型不斷進步，AI代理人將承擔更多工作，最終甚至協助企業經營整個業務。

Meta也同步推出Meta Business Agent Platform，讓企業能建立、客製化及大規模部署AI代理人。該平臺可連接Shopify、Zendesk及Shopee等外部系統，使Business Agent能存取企業資料並執行更多任務。Meta表示，平臺內建企業級管理與安全機制，讓大型企業可依需求設定規則及管理AI代理人的運作方式。

Business Agent目前正擴大開放給全球各種規模的企業使用，可支援WhatsApp、Instagram，以及透過Messenger與顧客互動的企業，初期使用無須付費，但Meta預計會在未來數個月推出付費訂閱方案。

'

Let's Encrypt規畫2027年建立後量子憑證架構

來源：https://www.ithome.com.tw/news/176364

免費憑證簽發機構Let's Encrypt規畫以MTC（Merkle Tree Certificates），作為Web PKI導入後量子身分驗證的主要方案，目標是在2026年稍晚建立可簽發MTC的測試環境，並在2027年建立可供生產使用的環境。該計畫不會立即改變現有Let's Encrypt憑證的申請與續期流程，但顯示Web PKI後量子憑證開始進入具體工程規畫階段。

官方說明，後量子密碼強化近年多半先著重加密與金鑰交換，因為攻擊者可能先蒐集今日加密流量，等量子電腦足以破解既有演算法後再解密。不過，TLS中的身分驗證也需要提早準備，尤其是根憑證機構金鑰、程式碼簽章金鑰與身分系統使用的長期金鑰，一旦之後面臨量子電腦威脅，影響範圍將比一般短期憑證更大。

Let's Encrypt並非單純把既有X.509憑證改用後量子簽章，因為後量子簽章與公開金鑰體積明顯較大，直接替換目前Web PKI常用的RSA或ECDSA簽章，TLS交握需要傳送的驗證資料會大幅增加。Let's Encrypt指出，以ML-DSA-44為例，簽章約2,420位元組，公開金鑰約1,312位元組，高於RSA-2048與ECDSA-P256。典型Web PKI交握要是全面替換為ML-DSA，單次TLS交握資料量可能超過10KB，將影響連線成功率與延遲。

MTC的作法是把憑證批次放進雜湊樹（Merkle Tree），由單一簽章涵蓋整批憑證。瀏覽器會在TLS交握之外另外維持稱為Landmarks的批次簽章資訊，在一般情況下，MTC交握中的身分驗證路徑只需要一個簽章、一個公開金鑰與一個納入證明。Let's Encrypt認為，該設計可在使用後量子演算法的同時，降低憑證驗證資料對TLS交握的負擔。

MTC也會改變憑證透明度的實作方式，現行Certificate Transparency是在憑證簽發流程之外，另行將憑證或預憑證送交透明度紀錄，並透過額外簽章證明讓瀏覽器確認憑證已被記錄。MTC則讓每張憑證本身成為Merkle Tree的一部分，憑證透明度會被納入簽發流程。Let's Encrypt表示，這與該組織多年營運Certificate Transparency紀錄服務的經驗有關，因為CT紀錄服務本身也使用附加式Merkle Tree。

導入MTC需要調整簽發基礎架構、ACME協定、撤銷與營運工具，以及原本由透明度紀錄承擔的相關基礎設施。Let's Encrypt提到，現有憑證目前不受影響，仍會照常簽發與續期，但ACME客戶端維護者，以及仰賴ACME建立憑證自動化工作管線的團隊，應開始關注PLANTS工作小組與MTC相關討論，因為後續部分變更將需要客戶端支援。

'

歐盟發表科技主權方案，強化數位自主能力

來源：https://www.ithome.com.tw/news/176368

歐盟執委會（European Commission，EC）週三（6/3）公布「歐洲科技主權方案」（European Technological Sovereignty Package），提出涵蓋半導體、人工智慧（AI）、雲端運算與開源軟體的多項政策與法案，希望提升歐洲數位自主能力，降低關鍵技術受制於外部供應商的風險。外界普遍認為，這項方案也反映歐盟試圖強化本土科技產業競爭力，並爭取更大的數位政策主導權。

歐盟執委會主席Ursula von der Leyen表示，歐洲不能依賴他國提供維持醫院運作、電網穩定與公共服務安全所需的關鍵技術。她強調，科技主權不只是產業政策，更關係到歐洲保護公民、維護利益及自主決策的能力。

此次方案包含《晶片法案2.0》（Chips Act 2.0）、《雲端與AI發展法案》（Cloud and AI Development Act）、《開源策略》（Open Source Strategy）以及《能源領域數位化與AI戰略路線圖》（Strategic Roadmap for Digitalisation and AI in Energy）等措施。

其中，《雲端與AI發展法案》為整體方案核心。歐盟希望在未來5至7年間將資料中心容量提升至目前的3倍，並建立統一的雲端與AI主權評估框架，以保護敏感資料與關鍵應用，同時推動AI技術在各會員國的部署與採用。

在半導體方面，歐盟將透過《晶片法案2.0》強化先進晶片製造能力、加速投資與審批流程，並推動與資料中心、雲端服務及AI Gigafactory等產業的合作。歐盟指出，AI相關元件預計到2030年將占全球半導體市場超過7成，因此建立自主供應能力已成為重要戰略目標。

根據Politico的報導，歐盟國家每年在美國科技產品與服務上的支出高達2,640億歐元，而雲端市場主要由微軟、Google及Amazon主導。雖然歐盟官方並未將新方案描述為針對美國企業，但相關措施反映出歐洲希望降低對美國科技基礎設施依賴的長期趨勢。

相關法案後續仍須由歐洲議會（European Parliament）及歐盟理事會（Council of the European Union）審議。歐盟也預計於7月啟動AI超級工廠（AI Gigafactory）徵案計畫，並研究建立新的投資機制，以支援歐洲科技產業發展。

'

Perplexity AI發表混合式本地伺服器推論技術

來源：https://www.ithome.com.tw/news/176367

Perplexity AI本週在Computex 2026展示混合式本地伺服器推論協調器（hybrid local-server inference orchestrator），能視AI運算需求及資源考量，自動將推論任務分配到雲端或本地端執行，預計7月將整合到Personal Computer方案。

Perplexity執行長Aravind Srinivas於6月2日在臺北舉行的Computex 2026大會上與英特爾執行長陳立武一同登臺，宣布首款「混合本地-伺服器推論協調器」概念。

這項技術是Perplexity AI所謂的混合式代理推論（hybrid agentic inference）的實作。該公司表示，部署AI系統需在準確性、隱私、成本三種要求間取得平衡。準確性需要最強大的模型，但這類模型往往在雲端平臺。對用戶而言，對雲端模型發送呼叫費用高昂，還有隱私疑慮。此外，有的任務較簡單，基於成本和節能考量，在本地機器上執行小型模型就能解決。

圖片來源/英特爾

本功能預計將於7月加入Perplexity Computer，本週已在Intel Core Ultra Series 3處理器平臺上展示，目前僅在Windows PC應用程式提供。

Perplexity AI指出，這項方案相當適合執行敏感資訊，但需要龐大AI分析的應用，包括財務紀錄、健康資訊和個人資料。由於大部份真實世界任務都是混合型，Personal Computer能將單一任務切分成數個部份，並思考哪些工作應執行在本地機器上，哪些工作應該交由雲端代理人處理，然後自動把各部份分別送到對的地方。而且Perplexity強調，不像其他AI工具要使用者決定放在雲端或本機，Personal Computer會自行決定，而且每個任務都不相同。

雖然Perplexity本週和英特爾公布混合推理方案，但Perplexity表示，Personal Computer同一款硬體中立的軟體框架也可在其他本地晶片平臺上運行，包括Nvidia的RTX Spark。

'

Minecraft玩家遭惡意軟體WeedHack鎖定，逾11萬臺設備被感染

來源：https://www.ithome.com.tw/news/176362

近年來遊戲玩家不斷成為駭客鎖定的目標，如今出現攻擊特定遊戲族群的惡意軟體租用服務（Malware-as-a-Service），提供買家對特定遊戲的玩家發動攻擊。

資安公司McAfee揭露惡意軟體租用服務WeedHack，該平臺從今年1月開始出現，專門針對Minecraft玩家，迄今已確認有116,464臺電腦受害，而且遭感染的電腦數量每天會增加2千至3千臺。一旦遭到感染，攻擊者可竊取帳密資料並挾持Discord與Minecraft帳號，洗劫加密貨幣資產，甚至進一步即時存取受害者的視訊鏡頭、螢幕畫面，以及電腦存放的檔案。（在受害規模的部分，McAfee在另一篇較為詳細的分析調查用了完全不同的單位「hits」。）

駭客主要透過兩種管道接觸受害者，一種是假的YouTube影片，另一個是使用仿造Minecraft模組的網頁，並透過搜尋引擎最佳化中毒（SEO Poisoning）來引誘玩家上當。

'

WordPress熱門外掛Kirki爆權限提升漏洞，未登入攻擊者可劫持管理員帳號

來源：https://www.ithome.com.tw/news/176358

資安業者Wordfence揭露，WordPress外掛Kirki含有一項未經身分驗證即可利用的權限提升漏洞CVE-2026-8206，CVSS分數為9.8，影響6.0.0至6.0.6版。攻擊者不必登入網站，就可能透過外掛的密碼重設功能，讓任意已註冊使用者帳號的密碼重設連結，寄到攻擊者控制的電子郵件信箱，進而接管管理員帳號。

Kirki是一款用於頁面、網站建置與WordPress自訂器功能強化的外掛。WordPress.org外掛頁面顯示，Kirki活躍安裝數超過50萬。由於該漏洞是在Kirki 6.0主要版本引入，Wordfence在6月1日估計約15萬個網站使用受影響版本。

CVE-2026-8206漏洞出現在Kirki前端帳號管理功能中的忘記密碼流程。該外掛透過自訂REST API端點處理密碼重設請求，相關函式會接收使用者名稱與電子郵件參數。正常情況下，系統應依使用者名稱找到對應帳號，再將重設連結寄到該帳號原本登錄的電子郵件信箱。

但在受影響版本中，要是請求提供使用者名稱，外掛會先找到目標帳號並產生有效的密碼重設金鑰，卻仍將含有重設連結的郵件寄到請求中提供的電子郵件地址。攻擊者因此可指定高權限帳號名稱，同時填入自己控制的信箱，以取得該帳號的密碼重設連結。

攻擊者一旦重設管理員帳號密碼，就可能取得網站後臺控制權。研究人員指出，管理員帳號遭接管後，攻擊者可能修改網站內容、安裝惡意外掛、建立新的管理員帳號，或植入Web shell以維持後續存取。

Wordfence指出，CVE-2026-8206已在Kirki 6.0.7修補。截至6月4日，WordPress.org外掛頁面顯示Kirki最新版為6.0.9，受影響網站應升級至6.0.7或更新版本。

'

WordPress惡意軟體感染近2,000個網站，駭客濫用Steam平臺建立C2通訊管道

來源：https://www.ithome.com.tw/news/176357

為了隱匿攻擊活動，駭客濫用合法雲端服務建立C2通訊的情況極為氾濫，然而最近有一起相當不尋常的活動引起資安研究人員的注意，因為遊戲平臺提供的功能也遭到利用。

網站代管平臺GoDaddy資安團隊上週公布鎖定WordPress網站的惡意軟體活動，駭客利用Steam社群的個人資料（profile）留言區嵌入C2資料，將惡意基礎設施隱藏在Valve合法的平臺之中。該公司最早於2025年7月偵測到相關活動，迄今約有1,980個WordPress網站被植入惡意軟體。

此惡意程式具備兩個主要功能，其中一個是從Steam個人資料的留言區擷取經編碼處理的URL，將其解開並把外部的JavaScript指令碼注入WordPress網頁；另一個是利用網頁存取POST請求中的身分驗證cookie內容，形成後門，藉此得以遠端修改網頁程式碼，讓攻擊者能藉由外掛程式與佈景主題竄改PHP檔案。值得留意的是，駭客為了避免他人察覺異狀，利用6個人眼無法看見的Unicode字元來隱藏留言區的酬載，使得傳統的文字偵測方法無法察覺。

'

Google公布可在筆電執行的AI模型Gemma 4 12B

來源：https://www.ithome.com.tw/news/176366

Google週三（6/2）公布整合式無編碼器（encoder-free）多模態模型Gemma 4 12B，主打能在筆電上執行，具有多模態及推理能力不輸26B版本，但記憶體不到一半。

Gemma 4 12B是4月公布的Gemma 4家族的最新成員。之前模型Effective 2B（E2B）、Effective 4B（E4B）、26B Mixture of Experts（MoE）及31B Dense版本分別適合執行在邊緣裝置及工作站上，最新模型則為120億參數，專門設計跑在普通筆記型電腦（Everyday Laptops）上，填補了之前模型運算平臺的空缺，實現本機端代理人（Agent）及多模態推理工作流程。12B比E2B/E4B更聰明、推理與寫程式能力更強，又比26B/31B更輕量，不需要高規格桌機顯卡或雲端伺服器。

Google說明，Gemma 4 12B技術上最大的創新是「無編碼器」統一架構（Encoder-Free Architecture）。Google移除了多模態編碼器，改用極輕量化的嵌入模組，視覺與音訊輸入可直接進入LLM骨幹。由於架構極度精簡，大幅降低記憶體佔用。此外它加入MTP（multi-token prediction）drafter來降低延遲性。

綜合這些新功能，12B得以在輕量模型中具備多模態、及多步驟推理及自主修正能力。在標竿測試中12B表現接近Gemma 4 26B MoE模型，但總記憶體大小不到一半。這也使得它夠輕巧，足以執行在16GB RAM的消費者筆電上，支援複雜的代理式工作流程。

在標竿測試中，12B的推理、數學（AIME）和程式碼能力，皆超越參數大一倍以上的上一代Gemma 3 27B。而在考驗邏輯思考的GPQA和AIME測試中，Gemma 4 12B不僅超越同量級的Llama 3 8B，甚至超越了體積大6倍的Llama 3 70B。

現在Gemma 4 12B已經以對開發人員最友善的Apache 2.0授權公開。開發人員可以透過Google AI Edge Gallery App（macOS版）、Google AI Edge Eloquent（macOS版）及LiteRT-LM CLI，以及LM Studio和Ollama等開源工具搭配測試Gemma 4 12B，或是從Hugging Face和Kaggle下載預訓練及指令微調過的版本。

'

SpaceX敲定每股135美元IPO價格，預計下週登上那斯達克

來源：https://www.ithome.com.tw/news/176365

根據SpaceX週三（6/3）公開的招股文件，該公司已將首次公開募股（IPO）發行價格定為每股135美元，預計最快6月12日於那斯達克（Nasdaq）掛牌，股票代號為SPCX。SpaceX本次將發行約5.56億股A類普通股，募資規模約750億美元，以發行價計算，公司估值約達1.75兆美元。

SpaceX成立於2002年，總部位於美國德州，由共同創辦人兼執行長Elon Musk創立，主要業務涵蓋火箭發射、衛星通訊與太空運輸服務。近年來，Starlink衛星網路已成為公司最主要營收來源，而Starship重型火箭計畫則持續投入大量研發資金。

招股文件顯示，SpaceX去年營收達186.7億美元，較前一年成長33%，但仍淨虧損49.4億美元。公司表示，本次IPO募集資金將用於支持火箭、衛星網路及人工智慧（AI）等業務發展。

此次IPO採全數增資發行（All-primary Offering），募集資金將全數流入公司，而非由現有股東出售持股套現。市場分析認為，此舉反映SpaceX仍處於積極擴張階段，需要持續投入資金以支應基礎設施建設與新產品開發。

由於SpaceX採雙重股權架構，A類股每股擁有1票表決權，B類股則擁有10票表決權。IPO完成後，共同創辦人Elon Musk仍將掌握約82.4%的公司表決權，可控制股東表決結果及董事會多數席次。

市場普遍認為，SpaceX上市將成為近年全球最具指標性的科技IPO之一，也反映投資人對太空產業及衛星網路市場的高度期待。隨著Starlink持續擴大全球服務規模，以及Starship推進商業化部署，未來營收成長與獲利能力將成為市場關注焦點。

'

駭客利用美國愛國者形象經營社群頻道，掩護詐騙活動，結合生成式AI擴大攻擊行動

來源：https://www.ithome.com.tw/news/176363

透過生成式AI的協助，以往需要一組團隊才能完成的複雜網路攻擊行動，現在單一攻擊者便能執行。趨勢科技（Trend Micro）研究團隊近日揭露一起以「美國愛國者」形象的Telegram社群頻道為掩護，長達5年的社群操作與網路詐欺活動，近期攻擊者還進一步利用遭越獄（Jailbreak）的Google Gemini AI模型與遭竊API金鑰，將生成式AI用於社群頻道內容生成、憑證竊取、帳號入侵等工作，在Gemini協助下完成大規模的自動化攻擊活動。

根據調查，有位代號bandcampro的俄語系攻擊者，自2021年起經營Telegram社群頻道@americanpatriotus，塑造美國正統保守派形象，並以 「讓美國再次偉大」（MAGA） 為主題吸引認同者，迄今累積大約1.7萬名訂閱者，實則以此為掩護從事詐欺與網路入侵，將受眾作為詐騙對象。趨勢科技追蹤發現，攻擊者從2025年9月起導入AI自動化流程，使用73組疑似遭竊的Gemini API金鑰，同時利用提示工程、以及保存與載入記憶檔案（GEMINI.md）等方式 ，讓Gemini在多個工作階段（session）持續維持越獄狀態。

趨勢科技指出，攻擊者利用Gemini協助自動執行社群頻道營運，包括貼文生成、API金鑰輪替與腳本除錯等工作，同時利用社群頻道散佈資訊竊取惡意程式，還利用Gemini協助產生密碼變體（password mutation）並執行網站帳號攻擊，成功入侵29個WordPress網站管理員帳號， 至少侵入一個企業環境與一個加密貨幣錢包。趨勢科技認為，此案例更像是犯罪者在經濟利益驅動下的詐欺，而非國家主導的活動，顯示生成式AI已能進一步降低網路犯罪的技術門檻，並讓攻擊活動更容易擴大規模。

而要防範此類AI濫用行為，趨勢科技指出必須從兩方面採取管制，一方面要加強AI供應鏈，強化AI模型跨語言防護機制，以及抗越獄的記憶體檔案。另一方面則要強化AI接觸的人類目標，例如企業應監控被盜API金鑰的重複使用、命令列介面（CLI）驅動的異常基礎設施變更等。

'

Google發布ChromeOS長期支援版更新，修補多項重大記憶體安全漏洞

來源：https://www.ithome.com.tw/news/176356

Google推出ChromeOS作業系統長期支援版LTS-144的更新版144.0.7559.254，當中修補了15項漏洞，當中分別有3項漏洞被評為有重大風險，11項有高風險，1項有中度風險。

這3項重大漏洞皆為記憶體已釋放卻仍被使用（Use After Free，UAF）問題，嚴重性最高的是CVSS評分達9.0的是CVE-2026-9891，問題出在擴充功能（Extensions），其次是CVSS嚴重性評分同為8.8的CVE-2026-9887與CVE-2026-9873，分別存在於代理伺服器（Proxy），後者則存在於網路元件（Network）。

綜觀這次ChromeOS修補的漏洞，絕大多數都與記憶體安全有關，單是UAF的問題就占了9項（高風險漏洞也有6項是UAF）。

'