套件管理器Homebrew調整套件來源信任機制，6.0.0強化供應鏈安全與Linux沙箱

來源：https://www.ithome.com.tw/news/176578

套件管理器Homebrew專案發布Homebrew 6.0.0，這次更新開發團隊把重點放在套件來源信任、安全隔離與更新效率。新版增加第三方套件來源信任機制（tap trust），將內部JSON API設為預設，並在Linux導入Bubblewrap沙箱。Homebrew現在會在執行第三方tap程式碼前先確認信任狀態，並透過沙箱限制部分安裝流程，以降低惡意或遭入侵來源帶來的風險。

Homebrew是macOS與Linux常用的套件管理器，開發者可用來安裝命令列工具、函式庫與應用程式。過去使用者若加入第三方套件來源（tap），就可能在安裝套件前，讓來源中的Ruby程式碼先在本機被讀取或執行。Homebrew團隊指出，這類第三方來源可以包含任意且未經沙箱隔離的程式碼，因此6.0.0開始要求使用者在執行相關程式碼前，先明確信任該來源。

該變更主要影響非官方套件來源，新版會在評估套件定義與應用程式安裝項目前檢查來源信任狀態，也停止自動加入未受信任來源。官方維護的Homebrew來源仍預設為受信任。

Homebrew 6.0.0還把內部JSON API改為預設，原本Homebrew 5.0.0可由使用者選用，到了6.0.0則已成為預設設定。該機制會把Homebrew需要的中繼資料整合成單一下載，減少更新時的網路請求，讓套件清單更新與安裝前檢查更快。

Linux支援方面，Homebrew加入Bubblewrap沙箱，讓建置、測試與安裝後處理等階段能在更受限制的環境中執行，接近macOS既有的安全隔離作法。新版也強化安裝階段的沙箱保護，並把應用程式安裝流程中的可執行處理納入隔離範圍。

Homebrew預告macOS Intel支援退場時程。由於macOS 27（Golden Gate）將不支援Intel處理器，Homebrew將在2026年9月把macOS Intel x86_64降為第三支援層級（Tier 3），不再提供自動化測試與建置支援，也不再建立新的預先編譯二進位套件。到2027年9月，Homebrew將完全停止支援macOS Intel x86_64，並移除相關程式碼。

'

【資安週報】0608-0612，全球漏洞治理迎來新變革，美國CISA開始勒令高風險漏洞3天內須修補

來源：https://www.ithome.com.tw/news/176582

繼上週印度CERT-In提出極嚴格的修補時間要求，各國是否將跟進並納入監管規範成為焦點，如今美國網路安全暨基礎設施安全局（CISA）亦祭出行動，調整漏洞管理規則，要求最高風險漏洞須在3天內完成修補。

Anthropic發表威力等同於Mythos的新模型Claude Fable 5受到矚目，其特色在於標榜加入安全防護機制，避免用於惡意網路攻擊。

在威脅態勢方面，近期針對Check Point與思科網路設備的零時差漏洞攻擊消息，反映出攻擊者正持續鎖定邊緣裝置作為突破口，此外，多家網站傳出可疑的Polyfill登入提示，Miasma供應鏈攻擊也持續引發高度關注。

AI資安

Anthropic發表新模型Claude Fable 5備受矚目，針對AI加速漏洞武器化所帶來的危機，業界也頻頻發出示警，包括使N-day風險縮短至N小時等級，以及倡議前沿AI開發者應建立協調暫停機制以防失控，必要時一起放慢或暫停開發。此外，開源社群領袖於臺灣舉行的Computex 2026上，提醒AI也將放大軟體供應鏈問題，呼籲企業應參與開源專案並改善安全。

Anthropic警告AI可在數小時內打造漏洞攻擊程式

Anthropic在6月8日發表最新研究報告《Measuring LLMs' impact on N-day exploits》，指出N-day漏洞問題將變得非常嚴峻，以往修補程式發布到漏洞被利用往往需要數週甚至數月時間，因為駭客通常需要投入大量逆向工程與漏洞研究工作，如今最新模型只要比較修補前後版本差異，知道漏洞元件名稱及相關測試環境，就能建立概念驗證程式，最快案例耗時甚至不到1小時。這也顯示，N-day漏洞問題將變成「N-hour」風險，因為修補資訊公開後數小時內就可能被武器化，傳統以月為單位的修補發布與部署模式將面臨挑戰。

Anthropic發表新模型Claude Fable 5，威力等同於Mythos並加入安全防護

Anthropic正式發布威力等同Claude Mythos的模型Claude Fable 5，但加入安全防護以確保公眾安全，其價格也是Opus 4.8的2倍，該公司也宣布推出少數專家及研究人員專用的最新版模型Mythos 5。Fable 5除了標榜加入防護機制，其能力也是Anthropic現有公開模型最強大的，在所有AI標竿測試項目幾乎皆為最強，在軟體工程、知識工作、視覺、科學研究等領域效能優異，而且任務愈長、愈複雜，Fable 5的領先幅度愈大。

OpenSSF前總經理Brian Behlendorf：AI對開源的依賴愈深，將放大軟體供應鏈問題

AI浪潮讓開源軟體的重要性攀上新高，但也讓軟體供應鏈安全問題變得更加嚴峻。OpenSSF前總經理Brian Behlendorf受邀在Computex 2026的活動論壇中指出，從Log4j漏洞、XZ後門事件到PyTorch供應鏈攻擊，AI並未帶來新的資安威脅，而是將既有的開源供應鏈風險「推上火箭」，放大到前所未有的規模。他呼籲企業除了使用開源軟體，也應投入資源協助改善開源專案安全，共同建立可信任的AI基礎設施。

Anthropic稱內部逾8成正式程式碼由Claude撰寫，倡議先進AI開發者建立協調暫停機制

Anthropic近日發表報告《When AI builds itself》，不僅揭露該公司合併至正式程式碼庫的程式碼已有逾8成由Claude撰寫，同時主張全球應建立可驗證的協調機制，讓主要前沿AI開發者在必要時，具備共同減速或暫停開發的選項。這是因為未來可能出現「遞迴式自我改進」（Recursive Self-Improvement）的情況，也就是AI能夠自行設計與改進自己的後繼模型，若真的發生，可能成為科技史上的重大轉折，一方面可加速科學與醫療等領域進展，另一方面也可能提高人類失去控制的風險。

多倫多大學研究示警，駭客可用免費AI模型提高蠕蟲程式擴散能力

加拿大多倫多大學（University of Toronto）發布研究指出，攻擊者即使未掌握先進AI模型或龐大運算資源，仍可能利用開放權重（open-weight）模型，開發具備自主調整攻擊策略能力的惡意程式，提醒企業與使用者應落實基本資安措施。

美國要求聯邦機構限期修補LiteLLM的命令注入漏洞【CVE-2026-42271】

美國網路安全與基礎設施安全局（CISA）更新已遭利用的漏洞名單（KEV），增列項目之一為開源大型語言模型串接套件LiteLLM於6月8日揭露的漏洞CVE-2026-42271，這是一個命令注入類型的弱點，開發團隊BerriAI發布1.83.7版修補。同日還有另一個Check Point揭露的VPN零時差漏洞CVE-2026-50751也被納入。究竟駭客如何利用漏洞，CISA並未說明，不過在此公告之前，威脅情報公司Horizon3.ai亦針對LiteLLM高風險漏洞CVE-2026-42271提出警告，若攻擊者串連另一個已知漏洞，將形成CVSS風險值10分的漏洞利用鏈。

公開AI代理技能市集掃描機制難擋惡意技能，OpenClaw、Cisco與Vercel相關檢測皆遭繞過

資安廠商Trail of Bits近期揭露了一項研究，針對包括OpenClaw的ClawHub技能市集、思科開源的skill-scanner工具，以及Vercel旗下skills.sh市集整合的Gen Agent Trust Hub、Socket與Snyk掃描服務進行測試後，發現多個惡意技能套件均可通過上述檢測。研究人員分析指出，問題的核心並非單一掃描規則的疏漏，而是AI代理技能套件本質上混合了程式碼、文件與自然語言指令，導致現有掃描工具難以完整判斷其隱藏意圖。

研究人員以1千美元用AI發現FFmpeg 21項零時差漏洞

廣泛用於各類軟體的影音核心FFmpeg，被資安業者Depthfirst以AI代理掃描發現21項零時差漏洞，而且總成本僅約1,000美元（是Anthropic使用Mythos成本的10%）。該團隊主要撰寫代理人系統來深度掃描FFmpeg的程式，並經過測試證實漏洞，目前這21項漏洞中，已有9個獲得派發CVE編號，其餘漏洞尚未獲得編號。

OpenSSL修補高風險漏洞，研究人員在AI協助下發現可導致RCE問題

OpenSSL近日修補18項安全漏洞，近半數由Anthropic公司協助發現，再次凸顯AI工具在發現與修補弱點方面的效益。其中高風險漏洞CVE-2026-45447尤為關鍵，研究人員透過Claude AI識別出可能導致記憶體已釋放卻仍被使用（UAF）問題，除此項外，Anthropic亦參與其餘7項漏洞的通報與修補，顯示AI驅動的分析技術已成為現代漏洞研究不可或缺的核心工具。

AI工具發現Redis重大漏洞，協助修補可能導致遠端程式碼執行的記憶體問題

自主AI工具發現軟體漏洞再添案例。Redis近日修補高風險漏洞CVE-2026-23479，這項潛伏超過2年的遠端程式碼執行漏洞，是由Theori旗下自主式AI工具Xint Code所發現。Theori表示，Xint Code可自行分析大型程式碼庫並輸出結果，顯示AI已逐漸具備發掘複雜漏洞的能力。

OpenAI為ChatGPT引進Lockdown模式，透過限制部分工具存取降低提示注入攻擊風險

OpenAI近日為ChatGPT導入新的Lockdown Mode安全模式，透過限制網頁瀏覽、Deep Research、Agent Mode等高風險功能，降低提示注入（Prompt Injection）造成資料外洩的風險。OpenAI表示，這項功能主要針對處理敏感資料的使用情境，核心目標並非阻止提示注入本身，而是限制AI模型存取連接網站或外部服務，降低提示注入造成的風險。

Google更新NotebookLM，新增代理式研究與多格式輸出

NotebookLM升級，Google表示將改用Gemini 3.5並在Antigravity上運作，更重要是替每個筆記本配置安全雲端運算環境。因此，這次升級不只採用更強的模型能力，也能使NotebookLM能夠撰寫及執行程式碼，幫助使用者進行更深入與複雜的研究分析。

OpenAI、Visa合作共推AI代理安全支付技術

各AI業者及雲端平臺公司都在嘗試推出自有代理支付技術以搶佔關鍵位置，國際支付卡組織Visa在6月10日宣布與OpenAI合作，將把其支付網路及安全、身分驗證技術整合到OpenAI ChatGPT使用體驗中，以實現消費者及企業AI代理式支付的安全及流暢性。雙方也計畫將支付安全機制整合到開發或業務流程中，這項合作讓開發人員或店家得以接受由AI代理啟動的Visa支付。

Anthropic揭露惡意帳號濫用Claude趨勢，中度風險以上AI輔助攻擊者占比已逾五成

AI公司Anthropic於6月3日發布AI輔助網路威脅分析報告，指出攻擊者濫用AI模型發動網路攻擊的情況持續增加，風險也逐步升高。該公司分析2025年3月至2026年3月間，因違反使用政策遭停權、且具備足夠活動細節可供分析的832個帳號，發現濫用Claude輔助網路攻擊的風險升高──中度以上風險行為者占比不到一年從約33%升至約56%，約為前期的1.7倍，顯示AI正在降低攻擊者執行複雜攻擊行動的門檻。

假冒Claude Code安裝網站散布惡意軟體事件又一樁，開發環境憑證遭鎖定

資安公司Cyderes旗下研究團隊Howler Cell揭露，攻擊者透過偽冒Claude Code安裝網站，結合SEO污染與ClickFix社交工程手法，誘導開發者執行惡意命令，進而部署無檔案形式的.NET竊資軟體。研究人員指出，熱門AI開發工具正逐漸成為攻擊者的誘餌，鎖定開發者環境發動攻擊。

惡意Chrome擴充套件鎖定AI平臺互動內容，收集對話與敏感資料

資安業者G DATA研究人員揭露，部分Chrome瀏覽器擴充套件內含惡意元件，會監控使用者與ChatGPT、Claude、Copilot等AI平臺互動內容，收集提示詞、對話紀錄與敏感資訊並外傳。這起案例顯示，攻擊者已開始將AI對話內容視為新的高價值資料來源，利用瀏覽器擴充功能竊取資料。

AI代理同樣存在遭社交工程欺騙風險，研究人員揭露OpenClaw AI代理可遭釣魚郵件誘騙洩漏敏感資料

Varonis研究團隊針對開源AI代理平臺OpenClaw進行安全測試，發現攻擊者可透過冒名郵件等社交工程手法，誘騙AI代理外洩AWS金鑰、資料庫憑證及客戶資料。研究顯示，AI代理雖能有效辨識惡意連結與偽造OAuth頁面，但在驗證人員身分、組織關係及授權範圍等社交層面仍相當脆弱，顯示AI代理同樣面臨社交工程風險。

資料安全

本週資料安全焦點在於Oracle PeopleSoft伺服器漏洞遭駭客鎖定，值得關注的是，這起事件恐有100多家組織遇害，同時也反映勒索軟體駭客組織ShinyHunters持續帶來的資料外洩威脅。此外，隱私強化技術（PETs）的發展亦成焦點，日前Computex活動亦展示與具身機器人結合的應用。

ShinyHunters宣稱駭入上百家Oracle PeopleSoft伺服器

勒索軟體駭客組織ShinyHunters鎖定商用軟體Oracle PeopleSoft伺服器漏洞發動攻擊，該組織宣稱這波行動成功存取一百多家組織、超過300個PeopleSoft執行個體，結合軟體的舊漏洞及先前未知的零時差漏洞展開攻擊，遭駭者大部分是教育機構，其中一家受害學校是英國諾丁罕大學，根據BBC報導，該校已證實遭到網路攻擊，學校的校園方案系統遭遇非授權活動，致使課程系統儲存的「大量」學員包括現任學生、校友個資遭到存取。

ServiceNow安全缺陷遭濫用，攻擊者查詢部分客戶執行個體資料

企業雲端工作流程平臺業者ServiceNow傳出安全事件，攻擊者濫用一項安全漏洞，可讓未經身分驗證的使用者在特定情況下，取得超出範圍的ServiceNow執行個體存取權限，並透過組態不良的API端點，查詢部分客戶執行個體的資料表，ServiceNow已通知受影響客戶。

學校求職網站第三方平臺漏洞遭駭，導致牛津大學學生個資外洩

英國名校爆發資料外洩事件，本週牛津大學發布公告，說明求職平臺CareerConnect供應商GTI於5月28日通知學校遭到第三方人士未授權存取系統，致使用戶的姓名、電子郵件地址，以及未以單一簽入（SSO）登入系統的學生加密密碼遭駭客存取，使用SSO登入CareerConnect系統的學生密碼則不受影響。CareerConnect平臺的攻擊者身分尚未被辨識或公開。校方也提醒學生留意陌生信件或訊息，避免遭釣魚攻擊。

幫助具身機器人巡檢兼顧隱私，帝濶智慧科技展示PriviSphere Robotics平臺

隱私強化技術（PETs）發展持續備受關注，鈺創科技旗下專注於差分隱私技術的帝濶智慧科技（DeCloak），於Computex 2026現場揭示最新隱私防護技術發展，展示可將監控影像中的人物即時模糊化，並整合各類具身機器人協作應用的「PriviSphere Robotics」平臺，建構一套具備隱私感知能力的機器人協作體系。

端點安全

本週適逢每月例行更新發布，其中微軟6月修補數量達568個最受矚目，而Microsoft Defender零時差漏洞RoguePlanet的揭露亦引發熱議。此外，趨勢科技回應Deep Security Agent防護功能失效的消息，以及微軟EDR更新機制的調整，也反映端點安全防護韌性與更新效率正受各界高度重視。

微軟發布6月例行更新，修補逾560個漏洞

本週微軟發布本月例行安全性更新，總共揭露與修補568個漏洞，微軟本身處理的漏洞多達206個，由第三方登記CVE編號的漏洞更是多達362個，相較於過往，單次公告的漏洞數量可說是大爆增。附帶一提的是，第三方元件漏洞有360個皆與Chrome有關，其餘兩個是由Arm與CERT/CC登記的弱點。根據CVSS風險評分來看，最嚴重的是HTTP.sys遠端程式碼執行漏洞CVE-2026-47291，風險值為9.8，而同被歸類於重大漏洞的則有3個，分別是遠端桌面遠端程式碼執行漏洞CVE-2026-42985、Windows圖形元件遠端程式碼執行漏洞CVE-2026-44803與CVE-2026-44812。

微軟修補近期受熱議的三大零時差漏洞

微軟6月例行更新中最受關注的焦點之一，莫過於3個先前已遭公開的零時差漏洞。其中兩個是研究人員Chaotic Eclipse（Nightmare-Eclipse）公布的GreenPlasma與YellowKey，另一個是HTTP/2 Bomb。隨著修補釋出，CVE編號也正式公開，GreenPlasma的正式漏洞編號為CVE-2026-45586，CVSS風險評為7.8分；YellowKey的漏洞編號是CVE-2026-50507，風險值為6.8分；HTTP/2 Bomb則是CVE-2026-49160，CVSS風險評為7.5分。

研究人員揭露新的Microsoft Defender零時差漏洞RoguePlanet

在微軟發布本月例行更新數個小時之後，Chaotic Eclipse公開名為RoguePlanet的Microsoft Defender零時差漏洞，他表示，這屬於遠端程式碼執行漏洞，攻擊者利用的條件是需要引誘使用者在遠端的SMB伺服器開啟VHD或VHDX虛擬磁碟檔，成功利用漏洞後，Microsoft Defender就會覆寫該防毒軟體相關的檔案，導致遠端程式碼執行。另一種觸發RoguePlanet的結果，是造成繞過BitLocker，攻擊者必須在防毒軟體讀取特定檔案的過程裡，推送不同的資料給NTFS.sys。後續有資安公司指出漏洞確實有效，但也有資安公司指出，微軟似乎在研究員公布前已完成修補。

Linux核心再傳nftables本機權限提升漏洞CVE-2026-23111

威脅情報公司Exodus Intelligence近期揭露存在於Linux核心nftables子系統的CVE-2026-23111漏洞細節，指出這項漏洞是在2025年初發現，並在2026年2月獲得修補與分配CVE編號。這項揭露的特殊點在於，漏洞源於nft_map_catchall_activate()函式中多出的一個驚嘆號（!），這個邏輯反轉錯誤導致核心在處理交易終止時，因錯誤跳過必要程序，造成鏈結參考計數異常遞減。一旦計數歸零將會進而引發UAF漏洞。

針對研究人員揭露Deep Security Agent防護功能暫時失效問題，趨勢科技表示重新載入機制屬既有設計，無須修補

資安研究人員0xMatheuZ揭露，趨勢科技Linux版Deep Security Agent存在保護繞過問題，攻擊者可透過大量檔案操作觸發bmhook與tmhook元件重新載入，造成防護功能短暫失效。後續趨勢正式回應，強調相關情形屬於產品既有設計，而非安全漏洞。該公司表示，當系統因大量檔案系統事件超過資源限制時，會自動重新啟動與載入，以維持系統穩定性。趨勢科技同時表示，將持續改善檔案處理效率，降低觸發重新載入機制的機率。

俄羅斯駭客利用WinRAR已知漏洞對烏克蘭發動攻擊

WinRAR已知漏洞CVE-2025-8088持續遭到攻擊者鎖定利用，趨勢科技追查到兩個俄羅斯駭客組織Gamaredon（UAC-0010、Shuckworm、Earth Dahu），以及UAC-0226（Shadow-Earth-066）的漏洞利用活動，至少延續至今年4月。Gamaredon至少從去年9月起，利用此漏洞向使用者傳遞惡意HTA檔，UAC-0226則是自今年2月起，透過此漏洞散布竊資軟體GiftedCrook。

微軟調整Defender for Endpoint EDR更新機制，改由Microsoft Update派送

微軟將調整企業端點安全服務Microsoft Defender for Endpoint在Windows裝置上的端點偵測與回應（EDR）更新機制。未來EDR更新將改採獨立更新機制，並由Microsoft Update提供，不再隨Windows每月例行安全更新一併發布。這項變更已於2026年5月下旬率先部署至Windows 10裝置，接下來會逐步擴及Windows 11，之後再涵蓋其他仍受Microsoft Defender for Endpoint支援的Windows版本。

Proxmox Virtual Environment發布9.2版，修補5項備受關注的Linux核心漏洞

開源虛擬化平臺Proxmox Virtual Environment（Proxmox VE）發布9.2版更新，除了新增動態負載平衡等功能，也整合Linux核心修補程式，修正Copy Fail、Dirty Frag、Fragnesia、PinTheft及ssh-keysign-pwn等5項近期受到關注的漏洞。由於這些漏洞可能導致本機權限提升或敏感資訊外洩，使用Proxmox VE的用戶應儘速更新。

網路安全

網路邊界防禦持續面臨嚴峻考驗，Check Point VPN與思科SD-WAN雙雙遭零時差漏洞攻擊，其中前者已被勒索軟體Qilin用於針對性攻擊，後者的攻擊者身分尚未被揭露，這些狀況的發生，也持續反映攻擊者鎖定網路邊界設備作為發動漏洞攻擊的主要目標。

Check Point VPN遭零時差漏洞攻擊，已被用於勒索軟體Qilin活動【CVE-2026-50751】

6月8日資安公司Check Point示警，最新修補的漏洞CVE-2026-50751已遭廣泛利用，呼籲用戶儘速採取行動因應。Check Point表示是在6月4日察覺可疑活動，調查後認為相關活動最早在5月7日出現，6月初漏洞嘗試利用活動數量增加，而在完成漏洞利用步驟後，駭客下載Linux版勒索軟體Qilin的二進位檔案。值得注意的是，Check Point調查攻擊基礎設施後，透露有人針對全球數十個組織發動攻擊，並預估駭客也打算利用Palo Alto Networks、Fortinet、F5等廠牌的VPN系統弱點。同日該公司發布資安公告修補安全閘道設備Security Gateway與Spark Firewall的兩項資安漏洞，除了前述遭利用的漏洞，還修補CVE-2026-50752。美國CISA將之列入KEV並要求聯邦機構4天內修補。

思科SD-WAN遭零時差漏洞攻擊，今年第7個零時差漏洞【CVE-2026-20245】

6月4日思科發布資安公告，指出Catalyst SD-WAN Manager的漏洞CVE-2026-20245已遭利用，發現少數的漏洞利用活動，此為思科SD-WAN平臺今年公布的第7個零時差漏洞，該漏洞目前尚無修補程式，也沒有其他緩解措施，預計在未來的版本解決此問題，用戶應將Catalyst SD-WAN Manager升級至5月14日發布的最新版本，持續驗證邊緣裝置的組態設定是否有未經授權變更，並密切關注後續修補公告。後續美國CISA將此漏洞列入KEV。

Arista EOS網路作業系統存在已遭利用漏洞，原廠選擇緩解措施而不發布修補程式

Arista Extensible Operating System（EOS）網路作業系統存在已遭實際利用的漏洞CVE-2026-7473，CISA亦已將其列入KEV清單，問題源自隧道流量解封裝機制未驗證協定類型，可能錯誤接受並處理非預期的封裝流量。由於修補可能影響既有部署環境與設定，Arista表示不計畫發布修補程式，而是建議用戶透過ACL限制封裝流量，以降低遭攻擊風險。

Ivanti修補安全閘道Sentry重大漏洞，可讓攻擊者以root權限執行程式碼

企業軟體與資安設備業者Ivanti於6月9日發布安全公告，修補Ivanti Sentry兩項重大（Critical）風險等級漏洞，分別為CVE-2026-10520與CVE-2026-10523，前者是作業系統命令注入漏洞，CVSS風險分數為10.0分，可能導致攻擊者以root權限執行程式碼。後者則是驗證繞過漏洞，CVSS風險分數為9.9分，可能讓未通過身分驗證的遠端攻擊者建立任意管理員帳號，進而取得完整管理員權限。

思科企業通訊管理平臺Unified CM存在重大SSRF漏洞，恐遭用於權限提升攻擊

思科修補企業通訊管理平臺Unified CM的重大漏洞CVE-2026-20230，若未修補，該漏洞可讓未登入攻擊者透過特製HTTP請求寫入檔案，日後可能被濫用於root權限提升。思科PSIRT提醒，雖然此已知漏洞尚未發現惡意利用案例，但已有概念驗證利用程式碼公開。目前Unified CM SME 14版的修補版本為14SU6，15版則為15SU5，預計於2026年9月提供，或可使用版本對應的COP修補程式。

Ubiquiti UniFi管理平臺軟體存在重大漏洞鏈，可讓攻擊者免帳密取得root權限

網通設備業者Ubiquiti的UniFi管理平臺軟體UniFi OS Server存在重大漏洞鏈，涵蓋CVE-2026-34908、CVE-2026-34909與CVE-2026-34910，通報的資安業者Bishop Fox指出，其風險在於攻擊者在可連到管理介面的情況下，可能不需帳密即可繞過驗證，對系統下達指令並取得root權限。Ubiquiti已於5.0.8版修補，建議盡速更新；若更新前已遭入侵，須防範攻擊者恐已複製權杖簽章金鑰而仍可偽造管理員登入。

資安維運

本週資安維運焦點在於群創光電揭露將資安部門提升至執行長直轄的組織轉型，以及趨勢科技推出能將風險即時轉化為損失金額的量化方案，反映資安治理與風險量化管理已成為企業維運的核心。此外，智慧資安與池安量子合作推動國內PQC遷移工程，亦提醒企業需及早啟動相關作業。

將資安風險即時轉化為可能損失金額，趨勢科技首度公開CRQ預覽版

在網路風險治理與AI驅動之下，趨勢科技首度公開CRQ預覽版，用AI幫助即時計算風險損失金額。具體而言，CRQ可透過Trend Vision One平臺XDR偵測到的實際威脅次數、針對性攻擊預測，以及比對威脅者的TTPs，同時也會結合網路風險曝險，即時計算威脅頻率與衝擊，並能細緻針對勒索軟體與資料加密或資料外洩等威脅情境，或是針對帳號管理（AC-02）、邊界保護（SC-07）等NIST CSF防護項目，預估個別項目的風險可能損失金額。

群創光電重新定義資安的價值，從「花錢的部門」到公司治理核心

【臺灣資安大會直擊】群創光電因應資安轉型，在2025年將資安部門從MIS底下獨立，提升為執行長下設的資安室，並設立資安長一職，直接向執行長報告。藉由組織的轉型，也帶動該公司資安作業流程的轉變。群創光電資通安全部資深副理蔡秉諺在臺灣資安大會2026分享這段轉型的心路歷程，他坦言：「當老闆問你，你做這件事情的價值在哪裡？」這是所有資安人最難回答的一題。

智慧資安攜手池安量子，啟動臺灣後量子資安元年

全球各界對於後量子密碼遷移需求大增，在此態勢下，精誠資訊旗下智慧資安科技（uniXecure）與池安量子資安（CHELPIS）日前正式宣布展開策略合作，將共同推動臺灣企業的後量子密碼（PQC）遷移工程。在合作架構上，智慧資安扮演在地通路、維運與服務的角色，提供涵蓋24x7全天候監控、系統整合顧問、以及IT與資安維運的完整支援體系；池安量子則以全球領先的PQC技術堆疊為核心，帶入NIST認證的演算法函式庫、自動化盤點工具PQScan、以及橫跨通訊與儲存的全方位防護產品矩陣。

Fortinet修補沙箱系統指令注入漏洞

Fortinet本週揭露與修補CVE-2026-25089漏洞，影響的產品是該公司提供的沙箱檢測系統FortiSandbox，涵蓋內部與雲端部署的產品形式，廠商已針對問題版本釋出安全更新。CVE-2026-25089為FortiSandbox產品的OS指令注入漏洞，CVSS風險值達9.1。

政策法規

因應AI加速網路攻擊，繼印度CERT-In提出極嚴格的修補要求，現在美國CISA也宣布修改漏洞管理規則，改以實際攻擊風險決定優先順序，要求最高風險漏洞需在3天內修補完成。這反映出企業須調整漏洞管理流程，具備更快速、頻繁且大規模部署更新的能力，以因應資安應變時效的新常態。

美國CISA改漏洞管理規則，最高風險漏洞3天內須修補

面對AI漏洞風暴，美國網路安全暨基礎設施安全局（CISA）也調整漏洞修補政策。具體而言，過去美聯邦漏洞修補期限依兩套規則：對外公開系統按CVSS風險評級設定修補期限，重大30天、高風險60天；KEV已遭利用漏洞則由CISA個別要求，多數為14至21天。如今新版BOD 26-04指令整合兩套規則，改以實際攻擊風險決定優先順序。若漏洞同時涉及多項高風險條件的重大風險，必須在3天內完成修補，且不限工作天。

資安院與微軟建立國家級合作關係，公私協力資安框架邁入新紀元

促進公私協力有新成果，國家資通安全研究院（資安院）與微軟簽署合作備忘錄，建立國家級戰略夥伴關係，合作框架將以試點模式推動，採取階段性、可擴展的方式逐步落地，不追求表面上的快速推進，而是著眼於能夠持續生根的實質成果，這份備忘錄涵蓋的主軸包括「深化情資共享機制」、「零信任架構的規模化落地」、「AI賦能的關鍵基礎設施防護」與「AI代理治理」。林盈達透露，此合作源於微軟北亞區負責人Marcus Bartley Johns與國安會的一次見面，提到微軟在全球幾個國家已有夥伴關係，但跟臺灣還沒有建立。由於微軟以此模式建立合作關係的國家並不多，可說是屈指可數，因此臺灣能夠獲得這樣的合作機會，更顯其重要性。

國家安全會議諮詢委員李育杰：國家資通安全戰略2025的訂定，是臺灣資安體制的轉型

【2026臺灣資安年鑑】「外國人看臺灣，就像我們看臺灣治安一樣，有酒駕、有偷竊，但沒有大暴動，整體印象是正面的。我們的資安也是這樣——有資料外洩、有網路攻擊，可是基本運作看起來OK。」國家安全會議諮詢委員李育杰說，「問題是，我在這個位置，我的擔心是：敵人可能已經布好局了，只是現在還不是他的關鍵時刻。」他強調，全社會防衛韌性為資安首要支柱，資安已提升至國安與民生層次。若能培養基本驗證與查證習慣，將可以阻擋八到九成的一般性攻擊；個資外洩與詐騙問題密切相關，關鍵在全民資安意識，資安是全民責任，需公私協力推動，並警惕科技便利背後的隱私風險以提升警覺，建立國家資安防線。

數位發展部部長林宜敬：從「資安蜜罐」到「民主供應鏈」，臺灣是自由民主世界資安前哨站

【2026臺灣資安年鑑】每天遭受逾260萬次駭客攻擊，臺灣已成「自由民主世界的資安蜜罐」，數位發展部部長林宜敬表示，全球ICT供應鏈已分裂為「民主」與「紅色」兩大體系，而以台積電為核心的民主供應鏈，正成為駭客透過供應商植入病毒的首要目標。為應對此威脅，臺灣主導制定了首個國際資安標準SEMI E187，要求各國加入供應鏈必須通過驗證。此標準不僅提升防禦，更為資安業者創造認證、輔導及軟硬體整合的三重商機，推動「資安廠商賺錢，同時解決國家問題」的良性生態系循環。面對2026年AI劇變，他主張以「速度」與「團隊合作」的棒球哲學帶領公部門，為臺灣留下健全的數位發展資產。

加拿大發布《AI for All》戰略，目標2034年企業AI採用率達6成

加拿大總理Mark Carney在6月4日發布國家AI戰略《AI for All》，希望透過立法、投資與人才培育，加速AI在企業、教育及公共服務領域的應用。這項戰略聚焦3大推動方向，（一）建立信任，加拿大計畫更新消費者隱私與線上安全相關法規，加強保護兒童個資與線上活動，並打擊深偽（Deepfake）等AI濫用行為；（二）推出全國AI素養計畫，提供全民入門AI教育，並讓100萬名大專學生接觸AI訓練課程；（三）強化主權，希望降低對外國AI平臺與雲端服務的依賴，計畫興建公共AI超級電腦、擴充主權運算與雲端基礎設施，並持續投資AI人才與資料基礎建設。

Computex首設開源臺灣館，開源安全亦成焦點

臺灣開源社群長期活躍於Linux、Kubernetes、Apache等國際專案，卻鮮少以臺灣整體生態系的名義出現在大型科技展。今年Computex電腦展中首度設立「開源臺灣館」，集結臺灣在地的開源社群能量組成臺灣隊，向國際來訪的參觀者展現臺灣開源社群的活力。現場不僅集合了15件臺灣開源社群推動的成果，今年活動也邀請Apache Software Foundation與OpenSSF的開源社群領袖來臺演說與交流，涵蓋開源治理（Open Source Governance）、開源安全（Open Source Security）、軟硬體整合以及社群協作等議題。這些主題近年已逐漸成為企業IT部門關注的重點，尤其在《歐盟網路韌性法》（Cyber Resilience Act，CRA）等法規陸續上路後，企業對開源元件管理與軟體供應鏈安全的重視程度明顯提高。

應用程式安全

供應鏈攻擊風暴正席捲軟體開發生態系。首先，Polyfill.io網域遭收購並轉變為惡意腳本來源，除已波及無印良品、東芝等國際品牌，我們另也發現臺灣部分網站亦有同樣狀況，值得留意；其次，是惡意程式Miasma（Shai-Hulud 變種）發動威脅性更高的蠕蟲式攻擊，本週相關攻擊活動與災情揭露不斷，已成為當前軟體供應鏈安全的一大警訊。

無印良品、東芝等多家網站傳出可疑的Polyfill登入提示

在前端網頁開發中，用於補足瀏覽器功能的Polyfill.io，在2024年一家中國公司收購Polyfill.io網域後演變為供應鏈攻擊工具，維護Polyfill專案的原作者提醒大家儘快移除該連結。6月初日本電子電機廠商東芝（Toshiba）、無印良品（Muji）突然發布公告，指出旗下網站出現可疑的跳出式登入提示視窗，要求用戶輸入使用者名稱及密碼，意在蒐集用戶輸入憑證。根據兩家公司的調查，登入頁皆是由已變成惡意網站的polyfill[.]io生成，並經由CDN推送腳本程式。

Miasma蠕蟲原始碼外洩，供應鏈攻擊工具包現身GitHub

惡意程式Shai-Hulud變種Miasma的擴散持續引發關注，如今Miasma蠕蟲原始碼更是出現在GitHub，資安業者SafeDep揭露此狀況並示警指出，Miasma不只是蠕蟲，而是一套完整的供應鏈攻擊工具包，內建多種模組化攻擊能力，更令人訝異的發現是，它完全不依賴傳統的C2伺服器，而是將GitHub的提交搜尋功能當作指揮通道，攻擊者可透過3條獨立的加密頻道下達指令，完全避開網路監控。

WordPress表單外掛Everest Forms Pro漏洞遭積極利用【CVE-2026-3300】

WordPress外掛程式的資安漏洞揭露，最近頻頻受到矚目，專攻此領域的資安公司Wordfence近日對表單外掛程式Everest Forms Pro用戶發布警示，因為3月底公開揭露的漏洞CVE-2026-3300，開發商WPEverest於3月18日發布1.9.13版修補，但在5月16日出現大規模漏洞利用嘗試活動，當天有超過17,900次攻擊，截至目前為止已出現逾29,300次活動。對此，Wordfence呼籲用戶，應儘速升級新版外掛程式因應。

Gogs修補重大零時差漏洞

自建Git程式碼版本管理系統Gogs在上個月底傳出存在重大漏洞的消息，Gogs開發團隊6月7日發布0.14.3版進行修補。但此漏洞尚無CVE編號，開發團隊表示已申請並等待指派。此為參數注入類型的弱點，CVSS v4.0評分達到9.4，通過身分驗證的攻擊者，可藉此在合併前重設程式碼基礎的操作流程中，建立採用惡意分支（branch）名稱的拉取請求，進而發動RCE攻擊。

研究人員直接公開VS Code資安漏洞，並表明對微軟漏洞通報流程失去信任

資安研究人員向IT廠商通報資安漏洞的互動不良狀況，近期引發熱議，尤其是研究人員Chaotic Eclipse（Nightmare-Eclipse）與微軟之間的衝突後，如今另一位資安研究員Ammar Askar公布Visual Studio Code（VS Code）一項零時差漏洞，他同樣並未依照微軟提供的通報管道處理，而是在VS Code的GitHub專案提出議題（issue），以及發布部落格文章的方式公開漏洞。微軟在上述資訊發布後，於6月3日先後兩次進行緊急修補。

NPM套件再傳遭惡意程式Miasma供應鏈攻擊，AI程式碼工具被鎖定

Miasma供應鏈攻擊引發高度關注！6月1日出現惡意程式Shai-Hulud的變種Miasma攻擊行動，駭客鎖定與Red Hat雲端服務相關的NPM套件，於6月3日至5日出現最新一波的Miasma攻擊，有57個套件被入侵，駭客上傳超過286個版本的惡意套件。其中最受到關注的部分，是感染了由社群維護的NPM套件ai-sdk-ollama，用於串接LLM框架Ollama與雲端AI網頁程式開發平臺Vercel AI，每月下載量超過12萬次；另一個Vapi推出的AI語音助理開發套件vapi-ai/server-sdk亦受研究人員關注，根據StepSecurity指出，該套件每月下載量逾40.8萬次，是本次事故受害最嚴重的套件。

惡意程式Miasma透過新型態手法Phantom Gyp發動攻擊

關於惡意程式Shai-Hulud變種Miasma發動的第二波供應鏈攻擊，資安公司StepSecurity指出，這次的攻擊手法與兩天前針對紅帽的事故相當不同，駭客使用了全新攻擊手法Phantom Gyp，他們利用一個僅有157位元組的檔案，而非一般資安工具會掃描的安裝指令碼，藉此逃過大部分生命週期掃描工具的偵測，另也追蹤到資料外洩路徑指向GitHub帳戶liuende501。資安公司Wiz也對這種手法進行分析，指出先前駭客是將惡意程式碼注入package.json，而這次的手段是利用指令延伸機制，藉由名為binding.gyp的檔案，使得惡意套件在進行設定的過程裡，會在背景執行經過處理的混淆安裝程式。

微軟遭遇Miasma蠕蟲供應鏈攻擊，73個儲存庫在2分鐘遭到停用

Miasma蠕蟲供應鏈攻擊危害持續擴大！資安社群平臺OpenSourceMalware指出，GitHub於6月5日停用了微軟73個儲存庫，涵蓋Azure Functions、Durable Task，以及一系列AI範例應用程式，雖然用戶存取這些儲存庫只會看到此儲存庫已被停用的訊息，宣稱儲存庫違反GitHub服務條款，使得該公司停用存取權限，但原因疑似是感染Miasma。

惡意程式Miasma藉由六階段攻擊流程竊取開發環境各式憑證

上週發生惡意程式Miasma攻擊ai-sdk-ollama、vapi-ai/server-sdk等AI工具NPM套件的事件，資安公司OX Security指出，這次的攻擊流程變得更加複雜，駭客利用多達15種惡意酬載來挖掘受害者資料。資安公司OX Security強調，一般的NPM供應鏈攻擊流程多半為3個階段，但這次活動多達6個階段。值得留意的是，駭客在Miasma載入工具進行了混淆與加密兩種手法進行雙重處理。

Miasma蠕蟲攻擊延伸到PyPI儲存庫

Shai-Hulud蠕蟲的變種Miasma肆虐，後續危害範圍延伸到PyPI生態圈！資安公司Socket揭露最新一波活動Hades，駭客至少上傳了37個PyPI惡意套件，這些惡意套件挾帶特定檔案，會在開發環境的Python啟動時自動執行，下載JavaScript執行環境Bun，然後執行經混淆處理的惡意酬載_index.js。

Miasma蠕蟲透過8階段攻擊滲透PyPI開發環境

針對供應鏈蠕蟲Miasma將攻擊範圍延伸到PyPI儲存庫，資安公司StepSecurity指出，這次駭客使用的手法非常複雜，從開發環境不慎植入惡意套件後的攻擊流程，總共可分成8個階段，該攻擊手法不僅會打亂AI資安工具的檢測能力，若是受害者察覺想要轉換金鑰，還會對開發環境進行破壞。

SAP修補NetWeaver與Commerce重大漏洞

SAP本月例行更新共修補15個資安漏洞，其中有4個是重大等級的漏洞CVE-2026-44748、CVE-2026-27671、CVE-2026-22732、CVE-2026-40128，格外引起矚目。其中最嚴重的是CVE-2026-44748，此為SAML身分驗證當中的XML簽章包裝漏洞，影響NetWeaver AS ABAP與ABAP平臺，CVSS風險值為9.9。

相依管理工具Bundler加入冷卻期機制，供Ruby專案避開剛發布的高風險套件版本

為應對供應鏈攻擊的潛在風險，RubyGems專案近期針對套件相依管理工具發布Bundler 4.0.13版，正式引入套件冷卻期（cooldown）機制。此機制的運作原理在於，當Ruby專案安裝或更新相依套件時，預設將暫時避開剛發布、缺乏市場觀察的新版本，優先選用已公開一段時間且較為穩定的版本。這項冷卻期機制的導入，目的是降低套件維護者帳號遭挾持後，惡意套件剛上架即被大量部署的供應鏈資安風險。

ASF董事Justin Mclean：只用開源卻不參與，企業恐承擔更高風險

「開源讓人感覺是免費的，也讓人感覺是安全的，但事實上兩者都不是。」在Computex 2026一場論壇活動，Apache Software Foundation董事Justin Mclean直言，開源最大的風險不是程式碼，而是治理。他強調，當企業將開源視為關鍵基礎設施，卻從未參與相關社群時，不僅無法影響技術發展方向，也難以提前掌握重大變化，反而可能承擔更高的技術與營運風險。他另指出，參與開源社群並不只是出於公益精神，更是一種商業策略，確保自身業務需求能被納入考量，並將成為企業競爭力的一部分。

套件管理器NPM 12收緊安裝預設行為，相依腳本、Git與遠端網址來源將需明確允許

GitHub旗下套件管理器NPM團隊宣布，將調整NPM install預設安全行為，預計在7月推出的下一個主要版本NPM v12推出。這項預設安全的改變，也就是將會預設封鎖未允許的相依套件腳本，並停止預設解析Git與遠端網址套件來源。為了幫助開發團隊用戶提前應對，NPM已在11.16.0以上版本提供升級前的警示機制，可以先檢查警告以掌握受影響的套件，並盤點安裝流程與相依來源。

身分安全

郵件身分冒用新威脅浮現！Ghost-Sender漏洞可導致冒用任意身分發送網釣信件，Exchange Online（含混合部署）用戶若整合第三方過濾機制都要特別留意；先前曝光的Meta AI客服漏洞，如今公布影響2萬用戶，突顯AI自動化有可能成為身分安全隱形破口的挑戰，需要企業重視。

研究人員揭露Exchange Online資安漏洞Ghost-Sender，攻擊者能偽造任意電子郵件地址

隨企業軟體SaaS化，其架構漏洞亦成為資安研究焦點，6月9日資安公司InfoGuard針對Exchange Online（含混合部署）用戶警告，只要其服務整合第三方過濾機制，攻擊者有機會利用MX紀錄漏洞發動欺騙攻擊，冒用任意身分發送網釣信件。必須注意的是，這項問題似乎已出現遭到積極利用的跡象，但微軟目前尚未修補，InfoGuard呼籲用戶儘速確認是否受到影響，另架設專屬網站提供檢測工具。

網路攻擊組織UNC3753鎖定法律與金融業，假冒IT人員竊資勒索

Google Cloud旗下資安團隊Mandiant與GTIG揭露駭客組織UNC3753的語音網釣攻擊活動，指出今年1月至5月間有數十個美國組織成為其目標，影響遍及專業服務、法律與金融服務業，攻擊者初始入侵手法是，冒充企業IT服務臺或資安人員，透過電話社交工程誘使員工開啟視訊會議或螢幕分享軟體，進而安裝遠端管理工具，搜尋並竊取敏感資料。而在冒充致電受害員工之前，攻擊者會以日常業務信件作為開場，例如先以個人email帳號在即時通訊發送簡短訊息，內容沒有惡意檔案，目的是建立後續來電的情境

Meta證實有2萬個Instagram帳號因Meta AI漏洞被盜，時間長達1.5個月

先前傳出攻擊者濫用Meta AI客服支援機制並接管他人IG帳號，Meta本週證實此事源自Meta AI支援工具存在一項漏洞遭濫用，Meta在5月31日發現此事後，立即將該AI支援工具關閉，並將所有密碼重設連結註銷。估計從4月中到5月，超過2萬用戶受害。根據Meta向美國緬因州檢察長辦公室的通報文件，該漏洞影響時間從2026年4月17日到5月31日止，受害者人數為20,225人。

蘋果Safari能自動變更外洩密碼、通知網站新動態、還能生成用戶想要的外掛

本週登場的蘋果開發者大會期間，該公司宣布Safari新增功能，包含能自動變更密碼的代理人Passwords、及告知網頁新資訊的代理人Notify Me，以及讓用戶口說生成外掛的Describe an Extension及依主題組織分頁的新功能。以密碼安全性強化功能而言，Safari原本就能針對弱密碼及外洩密碼發出警告，如今在Apple Intelligence協助之下，新增了代理人功能Passwords，能代替用戶登入網站並更新為強密碼。

NTLM協定安全問題又一樁，Windows Search URI問題可能導致NTLM驗證資訊外洩

微軟已宣布將在未來Windows版本中關閉不安全的NTLM協定，但在NTLM完全退場前，企業仍需持續面對相關威脅。資安公司Huntress研究人員近日便揭露一項新的NTLM相關安全問題，源自Windows Search URI處理程序，攻擊者可利用特製連結，誘使Windows自動對遠端SMB位置發起驗證，導致Net-NTLMv2資訊外洩，此問題再度凸顯NTLM機制帶來的安全風險。

IoT/OT安全

自動儲槽計量系統（ATG）的曝露風險，以及老舊DD-WRT開源路由器韌體遭殭屍網路大規模利用的消息，顯示威脅情勢正持續升溫，成為本週IoT/OT安全關注焦點。此外，無人機產業防禦發展亦受關注，聚焦導入PQC與強化無線通訊在面對干擾與訊號覆蓋攻擊時的抗性。

美國政府示警自動儲槽計量系統遭鎖定，籲ATG用戶移除網際網路曝露介面

當心鎖定ATG系統的惡意網路活動，美國CISA與FBI等機關發布警示，指出常用於能源、化工、食品與農業、運輸等產業的自動儲槽計量系統（Automatic Tank Gauge，ATG），近日發現成為攻擊活動鎖定目標，駭客先找尋曝露在網際網路上的ATG系統，入侵後透過指令執行修改系統，因此這項警報建議相關業者：不要將ATG序列埠或其他Web介面直接曝露於網際網路，若業務上必須遠端存取，業者應透過防火牆、存取控制清單或VPN限制可連線來源。若有預設密碼也務必立刻更換，並在可行情況下導入多因素驗證。

殭屍網路C0XMO利用老舊DD-WRT漏洞，擴散並感染DVR與Android等裝置

發現Gafgyt殭屍網路的最新變種C0XMO有新惡意活動，正在利用DD-WRT開源路由器韌體於2021年揭露的CVE-2021-27137漏洞入侵未更新修補的路由器，並進一步感染缺乏安全更新的DVR與Android等裝置，資安業者Fortinet指出，駭客準備了適用於ARM、MIPS、PowerPC、SuperH、x86與x86_64等多種架構的C0XMO版本，擴大感染的意圖相當顯著，因此建議企業與使用者應更新韌體、關閉不必要服務，避免裝置被用來發動DDoS攻擊。

池安量子資安推PQ-SDN安全無線通訊模組，結合PQC建構無人載具高韌性網路

無人機應用日益蓬勃發展，如何在複雜環境維持網路通訊穩定並確保資安防護，已成為產業關注焦點。池安量子資安首度公開展示專為無人自主系統打造的「PQ-SDN安全無線通訊模組」，其特色在於可導入PQC演算法，並支援Mesh無線網路通訊架構，具有自動建構網路與自動修復能力。特別的是，針對無線通訊常見的干擾與蓋臺問題，該模組還結合PQ-UxV安全功能，並透過軟體定義無線電（SDR）技術，提供1 GHz至6 GHz的頻率設定彈性。

RondoDox殭屍網路鎖定華碩路由器舊漏洞，CVE-2018-5999出現實際濫用跡象【CVE-2018-5999】

資安漏洞情報業者VulnCheck於5月17日觀察到，殭屍網路RondoDox開始利用華碩（Asus）路由器漏洞CVE-2018-5999，這項漏洞可讓未經身分驗證的攻擊者以root權限遠端執行程式碼，早在2018年已有公開利用程式，但VulnCheck表示，這是該公司首度觀察到實際濫用跡象。

部分App內嵌Bright Data SDK，讓手機與智慧電視成為第三方網頁爬蟲代理

住宅代理的爭議再受關注，上月底荷蘭執法單位破獲大型殭屍網路就傳出疑似涉及此類議題的消息，如今資安公司Include Security揭露另一起事件，指出部分App開發者會在應用程式內嵌入SDK，使用者若同意App內與Bright Data相關的說明或選項，其手機或智慧電視會成為住宅代理（Residential Proxy）網路的一部分，協助第三方客戶透過一般家庭IP位址執行網頁資料抓取，成為網頁爬蟲業者避開封鎖的一種方式。研究者質疑，相關說明未必能讓一般使用者理解實際用途與影響。

西門子6月工控安全公告揭露影響多款產品的OpenSSL重大漏洞

工控系統業者西門子（Siemens）於6月9日發布安全公告，說明OpenSSL重大風險漏洞CVE-2025-15467對多款產品的影響，並已針對部分產品提供修補版本。此漏洞CVSS v3.1風險分數為9.8分，可能導致應用程式崩潰進而造成阻斷服務，或在特定情境下造成遠端程式碼執行。

'

環境部推全新的循環標誌，預計7月開放申請，今年還將納入政府綠色採購

來源：https://www.ithome.com.tw/news/176580

環境部即將推動全新的「循環標誌」在今天(6/12)舉辦的循環商品展中正式亮相，適逢立法院於6月剛三讀通過「資源循環推動法」形成政策連動。相較於既有環保標章多涵蓋空氣、水資源與能源管理等廣泛環境指標，新的「循環標誌」則聚焦產品本身的循環設計條件，包括單一或天然材料使用、易拆解設計以及再生材料導入等，核心目標在於提升資源循環利用效率並減少廢棄物產生。

環境部資源循環署長賴瑩瑩表示，循環標誌的核心不只是產品識別工具，也希望從設計端引導減廢與資源再利用，提升產品在生命週期中的循環效率，並降低廢棄物產生。

在制度設計上，循環標誌採申請制，由業者向主管機關提出申請並通過審查後即可使用，標誌將直接標示於產品上，未來並規劃結合QR Code數位資訊系統，提供產品材料來源、循環設計與再利用資訊，類似「產品履歷」的透明機制。

納入綠色採購績效，以公帶私向市場推廣循環商品

政策面部分，循環標誌被納入政府綠色採購與績效評核架構。自今年起，政府機關與學校若採購具循環標誌的產品或服務，將可納入綠色採購績效計算，透過制度誘因引導公部門優先選用循環產品，進一步擴大市場需求。

循環署指出，這項設計目的在於以政府採購作為初期市場支點，逐步帶動企業投入循環設計、維修延壽與再生材料應用。

循環標誌被視為一種可辨識的「永續信任標記」，希望降低消費者與採購端對循環產品資訊不對稱的障礙，並強化綠色採購決策依據。標誌外型設計以蝸牛意象呈現，象徵循環經濟持續推進與資源再生的概念。

今年5月循環署先公布首波「循環產品及循環服務技術規格」，內容涵蓋紡織品、塑膠類、玻璃容器、循環服務及無機材料等五大類別，共計12項技術規格。

從今年7月起，符合相關循環特性技術規格的產品與服務即可提出申請，進入循環標誌審查與認證流程。該制度目標在於建立一致性的循環產品識別體系，讓公私部門在採購時能以明確標準辨識產品循環特性，以引導市場優先選擇具備循環設計與資源再利用能力的產品與服務。

賴瑩瑩指出，目前已有部分業者投入資源循環聯盟相關產品設計，未來將可透過標誌驗證機制進入政府與企業採購體系，形成由政策驅動的需求市場。

值得注意的是，循環標誌涵蓋的首波產品類別僅涵蓋上述的5大類別，目前循環標誌只是剛起步，尚未涵蓋ICT電子產品，未觸及IT設備產品供應鏈，不排除未來循環標誌可能擴大產品類別。

從「資源循環推動法」看循環經濟趨勢

循環標誌作為採購與供應間的識別標誌，其目的在推廣循環產品，從源頭減廢，用意與未來即將上路的「資源循環推動法」不謀而合，循環標誌可以說是「資源循環推動法」及配套子法上路前，循環產品及服務的識別工具，引導民間消費、政府及企業綠色採購的重要工具。

前身為「資源回收再利用法」的「資源循環推動法」，為建立資源循環的法源依據，推廣「循環經濟」的目標下，授權主管機關環境部可以做的事，包含綠色設計制度、再生料使用規範、產品延壽與維修、循環採購制度、以及「產品循環相關標示制度」。

「資源循環推動法」為循環經濟建立法制基礎，而循環產品及循環服務標誌則是其市場化工具，儘管目前仍以民生產品為主，但已透過綠色採購機制逐步導入政府採購體系，為未來電子產品與IT供應鏈納入循環管理預留制度空間。

'

企業需要AI即戰力，但新鮮人只會用AI改履歷

來源：https://www.ithome.com.tw/news/176579

上週落幕的Computex以「AI Together」為主題，輝達（Nvidia）執行長黃仁勳更在演講中宣示「AI is now useful」，意味著AI已從技術展示正式走向產業應用階段，不會使用AI的人，將被「會使用AI的人」所取代。

資策會副執行長兼數位轉型研究所院長林玉凡表示，在這樣的時代背景下，「我們到底是被AI打敗，還是要擁抱它？」她點出關鍵：未來最有競爭力的人才，不只會用AI，更要能將AI轉化為產業價值，而這正是臺灣職場當前最稀缺的能力。

「市場不是沒有人才，而是缺少企業看得懂、用得上的AI能力表現。」資策會教研所主任劉錦芳坦言，人才供給端與需求端之間，缺乏的不是意願，而是一套可以跨越雙方的能力語言。

AI不只是工具，更是重新定義工作的契機

林玉凡走訪製造、文創、醫療等多個產業公協會，並試圖從中抽煉出未來人才的共同輪廓。她以「數位轉型3.0」為題的架構圖作為產業共識，其中所勾勒的並非單一技術能力，而是一座涵蓋五個維度的能力屋。

最頂端的屋脊是「重新想像數位世界的商業策略能力」（Reimagine），支撐其下的三根柱子分別是顧客體驗設計、資料實驗與生態系策略，而整棟建築的地基，則是「可信任的數位裝置與平臺架構能力」。

「如果你對未來沒有想像，你就沒有在數位世界中重新建構場景的能力，」林玉凡說，「因為數位和現實生活會不斷融合，怎麼樣在這個過程中重新想像我們的商業模式，不管是中年的人還是年輕人，都需要面對這個課題。」

她進一步點出，醫療現場的挑戰尤具代表性。當AI能夠協助診斷、整理資料，醫護人員真正的價值，在於理解病人的體驗，設計照護服務，將大量的醫療資料轉化為高品質的服務內容。「這些才是未來高薪工作的定義，」她說，「也是引導我們在校學習與永續學習的方向。」

因此，林玉凡表示，AI不會直接取代所有工作，面對AI浪潮，真正重要的不是與AI競爭，而是學會如何與AI協作，並重新定義自己的專業價值。「但能善用AI的人，將逐漸取代無法運用AI創造價值的人。」她說。

​

人才問題不在於找不到人，而是找不到對的人

觀察當前AI人才市場發展，資策會教研所主任劉錦芳直接點破一個最弔詭的現象：「大家都說找不到人，但其實人都在。問題是，找不到『對的人』。」

劉錦芳強調，所謂「對的人」，指的是企業能夠理解、且能立即上手的AI能力。而這個能力的匱乏，並非出自個人的怠惰，而是整個人才培育體系尚未建立起與產業需求對話的「共同語言」。

她認為，AI時代的人才難題，供需兩端都有問題。在供給端，許多校園已開始導入AI學習、學生也會使用工具，但能力呈現不一致，更根本的問題是懂AI不等於懂工作場景；在需求端，企業持續拉高徵才期待，尤其看重AI的協作、治理與應用能力，以及可立即上手的跨領域人才。

「人才培育不是在教工具，」劉錦芳說，「而是要貼近產業，了解產業的趨勢，工具在實際工作流程裡要怎麼用，才是問題所在。」她以資策會在奇美醫院的合作為例，醫院內的醫師、護理師、行政人員對AI的使用情境各不相同。

像是醫師需要理解AI建議並評估臨床適用性；護理師的重點在於協助流程優化，同時維持照護判斷與病患互動；行政人員則著重資料與流程作業的支援效率。「三種職類的AI學習路徑必須差異化設計，才能真正落地。」她說。

金融業的案例，同樣說明了AI應用的複雜性。資策會與中信商銀的合作重點不只是「會不會用AI」，而是能不能讓AI安全地進入工作流程。

她舉例，從客戶服務的智能客服、市場分析的趨勢預測，到AI Agent在文件摘要與跨系統整合的應用，整個培訓計畫累計完成超過一萬三千份企業內部評測、逾九十人參與實體培訓、三百三十名員工取得認證，更打造出十項AI自動化流程實作案例。

AI職缺需求熱，學用落差仍是痛點

1111人力銀行發言人曾仲葳根據1111人力銀行資料庫，在2023至2025年間，應徵AI相關職缺的人數大幅成長了103%；而光是2026年第一季的應徵人數，就已達2025年全年的九成。

此外，她表示，在需求端，今年第一季開出的AI相關職缺近三萬五千筆，相當於2024年全年的六成至九成。「等於市場對AI人才的需求非常旺盛，求職者的競爭也更趨激烈，」曾仲葳說。

企業端目前最急需的三大AI人才類型，依序為：AI基礎架構與維運人才（37.24%）、AI資安與倫理治理人才（33.15%），以及AI跨領域商業與戰略人才（30.89%）。更有超過四成企業預期，未來兩至三年，AI人才需求將持續明顯增加。

在應屆新鮮人這一端，AI工具確實已成為求職的日常配備。調查顯示，超過七成（73.2%）的受訪者認為，AI工具對求職有實際幫助，最常見的使用場景包括修改自傳（60.5%）、撰寫履歷（56.5%）及模擬面試（28.9%）；近三成受訪者表示，AI工具大幅降低面試前的焦慮感。

不過，學用落差的問題依然顯著。雖然各大學已普遍開設AI相關課程，但僅有11%的新鮮人認為，在校所學能完全滿足職場需求；超過六成認為只有部分符合，甚至超過三成認為，在校學到的AI技能無法充分應用於工作。

為了彌補這個落差，多數人選擇透過線上學習平臺自主進修，或是主動考取AI相關證照。此外，超過八成新鮮人希望未來企業能提供完善的AI培訓資源。

值得注意的是，大約有五成五的新鮮人表示，AI工具出現後，有機會尋找非自己畢業科系的相關工作，曾仲葳表示，這是過去難以想像的求職彈性。與此同時，AI「取代工作」的焦慮也已明顯下降，以往認為AI會取代自身工作的比例，已從AI剛出現時的約九成，降至現在的二成（22%）左右。

從三個案例，看AI如何改變一般工作者的日常

首先，擔任平面設計師張小姐坦言，AI出現之初，曾有過強烈的中年職場危機感。「AI可能只需五秒鐘，就可以解決之前要花五個小時才能完成的任務，」她說。但在實際操作AI工具的過程中，她逐漸發現現實遠比想像複雜。

她解釋，因為沒有任何單一工具可以直接完成所有工作，必須根據不同的輸出需求交錯搭配；輸出的成果有時包含大量用不到的元素，反而要花時間手動刪減。經歷與AI的協作後，她認為，手繪的技術、個人的創作風格，這些還是不會被取代的，因為這真的是你會的東西。

現任職於幼兒園的蘇小姐，從護理師轉職為衛教師，AI則協助她改變衛教內容製作的工作流程。

過去，她需要花費大量時間從網路搜尋適合幼兒閱讀的素材、自行製作簡報，因為要做到適合小朋友看的呈現方式，光是修改就耗時甚久。

有了AI之後，她先透過ChatGPT整理思路、構建初稿，再搭配Notebook LM、Suno、Gamma等工具，將素材轉換成她想要的格式。「相對減少很多從頭做的時間，可以把更多時間省下來，留給小孩子做互動，」蘇小姐說，「我覺得AI不是取代我的工作，而是讓我有更多時間做更重要的事。」

最後則是心理系畢業、從事專案管理工作的Elise，花了約一個半月的時間，以自學方式考取了經濟部i PAS AI應用規畫師證照。

她的學習方法是自己動手建立一個簡易的AI Agent，專門負責將她在備考過程中遇到的專業詞彙與難懂概念，用白話文重新解釋，並協助她反覆練習題目。

對於非本科系出身的她，相關知識都是從自己的背景去理解，Elise表示，這種方式讓她可以用AI共同學習，並在過程中取得這張證照。她也說，這張證照，也成為她爭取加薪的籌碼。

資策會推「數位職能護照，讓你的能力被企業看見

如何讓個人的AI能力被企業「看見」，資策會教研所所長何玲玲表示，為了累積產業端與學校教育端的成果，做到整合、辨識，並轉化為人才發展的共同語言，資策會推出了「數位職能護照」。

這份電子版職能護照的設計邏輯就是，每當持有人完成某項課程訓練、通過某項證照考試，或受企業指派完成特定實作專案，相關記錄都會累積在護照之中。「企業在找人才的時候，其實不只看學經歷，更看重他曾經做過什麼，因為實務經驗才是能幫助工作完成的東西，」何玲玲說。

目前，數位職能護照已累計發放超過兩萬五千本，涵蓋AI應用、辦公室工具、美術設計等類別，並已依不同產業設計出客製化的護照版本，包括醫療領域和金融領域的企業，都已採用各自的護照版本作為人才能力的辨識指標。護照採電子形式，完全可攜帶——無論轉職、換工作或前往其他服務單位，過去的所有歷練都能一併跟著走。

從4I 框架，學習轉化AI的價值

劉錦芳認為，未來最有競爭力的人才，不只會用AI，更能把AI轉化為價值。要怎麼做到？可以參考「4I框架」，包括：想像力（Imagination）、整合力（Integration）、影響力（Impact）、投資未來（Investment）。

她解釋，「想像力」是在AI的輔助下，看見機會、提出新的可能；「整合力」是串聯資源、讓工具真正落地的能力；「影響力」是創造改變、帶動組織與產業前進的能力；而「投資未來」更是持續學習、投資自己的決心。

劉錦芳也預告，資策會教研所與1111人力銀行將於今年11月聯合發布《2027未來人才白皮書》，針對醫療、金融、製造、服務四大產業，盤點未來的職缺方向與關鍵能力需求，並建立可衡量的人才標準指標，期望為臺灣的人才培育與就業媒合提供更有系統的參考依據。

'