【資安日報】6月17日，歐洲理事會驚傳遭ShinyHunters入侵

來源：https://www.ithome.com.tw/news/176698

歐洲理事會傳資料外洩，駭客組織ShinyHunters聲稱竊得43萬份資料

駭客組織ShinyHunters本周宣稱，駭入歐洲理事會（Council of Europe）內部系統，竊走歐洲多國人員薪資等42.9萬份檔案，內容涵蓋多個歐洲理事會分部的人事及薪資檔案，包括上萬名員工2011到2026年間的薪資單約40.9萬份、內部人事檔案3,700多份、1.4萬份履歷表。外洩的資料型態眾多，包括員工ID、地址、電話號碼、出生日期、薪資、銀行帳號、稅務和社會安全碼資訊、醫療資料和出勤記錄、任務資訊及其他內部機構資料。歐洲理事會以正在著手調查為由，現階段拒絕評論。

駭客宣稱駭入任天堂竊走員工及公司資訊，勒索200萬美元

根據科技新聞網站TechNadu報導，自稱為SHADOWBYT3$的駭客6月13日在地下論壇張貼勒索訊息，宣稱從任天堂的TINYpulse系統竊得近859 MB資料，喊價200萬美元作為贖金。TINYpulse是蒐集員工匿名反饋意見的員工關係管理平臺。這名駭客宣稱從TINYpulse取得員工姓名、電子郵件、分析報告、銀行對帳單PDF檔、以及職場問卷，涵括2016年到2026年的資料。任天堂在同一天接獲勒索恐嚇信，駭客要求任天堂48小時做出回應，若在6月15日前未接獲聯繫，他們將公開竊得資料。

駭客組織ShinyHunters鎖定教育科技公司Infinite Campus，竊取13.7萬名師生個資

今年3月，勒索軟體駭客ShinyHunters聲稱入侵教育科技公司Infinite Campus，從該公司使用的Salesforce平臺竊得1.2 GB的檔案，由於該公司為美國逾3,200個學區提供學生資訊系統，範圍涵蓋46個州、握有約1,100萬名學生個資，使得這起事故在美國受到關注。根據資安新聞網站Bleeping Computer報導，密碼外洩查詢網站Have I Been Pwned（HIBP）本週將這起事故納入資料庫，並指出約有137,100個帳號的資料外洩。

德國多家醫院病患資料外洩，起因於醫療帳務委外服務商Unimed遭駭，突顯第三方供應鏈攻擊風險

近日，德國多家大學附設醫院陸續發布資安事故公告，揭露因委外服務商Unimed遭駭導致的資料外洩災情。受影響的醫院與規模如下：弗萊堡大學附設醫院揭露有5.4萬名病患個資外洩，其中 900名病患的帳單資料遭竊；海德堡大學附設醫院指出1.1萬名病患個資外洩，2,700名病患帳單資料被竊；科隆大學附設醫院表示約3萬名病患紀錄受影響；而烏姆大學附設醫院也同樣證實數千名病患資料遭竊。Unimed發布公告指出，該公司於4月14日遭到攻擊。

冒充官員鎖定CEO！波蘭政府警告大型企業當心社交工程威脅

波蘭數位事務部於6月12日發布警訊，近期出現偽冒當地政府官員的社交工程活動。駭客試圖藉此與大型企業執行長取得聯繫，最終目的可能在於竊取敏感資料、植入惡意軟體或詐取資金。網路犯罪分子主要利用社交工程手法，在WhatsApp和Signal等即時通訊軟體上冒充政府官員與VIP人士。為了提高可信度，攻擊者會從官員的官方帳號下載照片與個人資料來建立偽冒帳號，但使用的電話號碼與官員實際登記的並不相同。

勒索軟體Anubis攻擊亞得里亞海港務局，索討千萬美元贖金

今年1月，義大利亞得里亞海港務局證實遭遇勒索軟體Anubis攻擊，當時該機關表示事故發生在去年12月，約有2%資料外流。近日資安公司Resecurity指出，駭客向員工寄送帶有惡意附件的釣魚信來接觸該組織，成功入侵後便進行權限提升，在內部網路橫向移動，然後利用港務局IT基礎設施中尚未修補的漏洞，逐步取得重要系統的控制權。值得注意的是，本次攻擊駭客並未直接針對OT環境的基礎設施，而是入侵M365與Azure等IT系統來達到目的，使貨物追蹤、船期排程及海關作業等核心系統全面癱瘓。

中國駭客Earth Lusca打造惡意軟體SprySOCKS變種，於政府機關從事攻擊活動

資安公司ESET指出，他們發現中國駭客組織Earth Lusca，將原本針對Linux環境的後門程式SprySOCKS，開發出衍生的Windows版本，他們起初在VirusTotal發現惡意檔案，進一步比對遙測資料，發現這些駭客在2023至2024年用於攻擊行動，受害組織主要是政府機關，範圍涵蓋臺灣、宏都拉斯、泰國和巴基斯坦。ESET一共看到兩種Windows版的SprySOCKS變種WIN_DRV與WIN_PLUS，其中又以WIN_DRV較為特別，內建核心驅動程式RawWNPF來隱藏網路連線。

Awesome Motive旗下外掛遭供應鏈攻擊，120萬個WordPress網站受影響

資安業者Sansec於6月13日揭露，Awesome Motive旗下OptinMonster、TrustPulse及PushEngage的JavaScript檔案遭駭客植入惡意程式，導致使用相關外掛的WordPress網站面臨後門植入風險，影響規模超過120萬個網站。Awesome Motive則說，駭客是利用第三方WordPress備份外掛UpdraftPlus的已知漏洞，取得其行銷網站伺服器存取權。

UpdraftPlus WordPress外掛程式漏洞攻擊活動升溫，Wordfence單日攔截逾7萬次攻擊嘗試

資安業者Wordfence近日警告，6月10日揭露的WordPress網站備份外掛程式UpdraftPlus漏洞CVE-2026-10795，已出現明顯的攻擊活動升溫跡象。根據Wordfence漏洞資料庫統計，該公司旗下防護服務曾在單日內攔截超過7.4萬次針對此漏洞的攻擊嘗試，顯示攻擊者已開始大規模掃描與利用尚未修補的網站，UpdraftPlus用戶應儘速升級至已修補版本，免費版用戶應升級至1.26.5版，Premium付費版用戶則升級至2.6.5版。

美國警告Joomla外掛JCE的滿分重大漏洞已被用於實際攻擊活動

6月16日美國網路安全與基礎設施安全局（CISA）提出警告，由軟體廠商Widget Factory開發的Joomla外掛程式Joomla Content Editor（JCE），存在重大漏洞CVE-2026-48907，CISA已掌握積極利用該弱點的攻擊跡象，因此，他們將其列入已遭利用的漏洞名單（KEV），並要求聯邦機構在6月19日前完成修補。此為存取控制不當類型的弱點，攻擊者有機會造成PHP程式碼上傳及執行，CVSS v4.0評為滿分10分。

Jenkins修補重大遠端執行程式碼漏洞，攻擊者已開始利用漏洞試圖入侵企業CI/CD環境

資安業者Defused Cyber於6月15日警告，開源自動化CI/CD平臺Jenkins的遠端執行程式碼漏洞CVE-2026-53435，漏洞的CVSS嚴重性評分達8.8分，已遭攻擊者實際利用，可能影響企業CI/CD建置流程的安全性，用戶應儘速升級至已修補的2.568版與LTS 2.555.3版。該公司已觀察到攻擊者利用自動化掃描工具搜尋暴露於網際網路的Jenkins主機，並嘗試利用前述漏洞發動攻擊。Jenkins專案已於6月10日發布修補版本，用戶應儘速更新。

Fortinet沙箱平臺3個已知漏洞傳出遭到嘗試利用

上週資安公司Fortinet修補重大等級的作業系統指令注入漏洞CVE-2026-25089，威脅情報公司Defused Cyber於6月16日在社群網站X發文警告，他們看到有人試圖利用CVE-2026-25089、CVE-2026-39813、CVE-2026-39808等已知漏洞攻擊FortiSandbox系統，根據駭客利用CVE-2026-25089的手法，該公司研判是借助AI的力量來達到目的。Defused Cyber提及，這是首度有人成功利用CVE-2026-39813的攻擊活動。

上福全球科技子公司Katun遭網路攻擊

耗材與影像輸出解決方案業者上福全球科技（6128）於6月16日，於股市公開觀測站代重要子公司Katun Corporation發布重大訊息，指出該公司發生網路資安事件，目前已啟動相關應變與調查程序，並評估事件對營運的影響。針對這起事故造成的影響，上福根據初步調查結果指出，尚未對公司整體營運、財務狀況或客戶服務造成重大影響。

美國政府要求Anthropic停止對外國用戶提供Claude Fable 5，原因是傳出有人能成功越獄

上週Anthropic正式發表Claude Fable 5與Mythos 5，不料3天後突然因美國政府禁令被迫宣布停用，有科技新聞網站指出，傳出至少有兩組研究團隊已能成功越獄。根據科技新聞網站SiliconANGLE報導，美國商務部下達出口管制令的原因，很有可能源自英國資安研究機構AI Security Institute（AISI）紅隊負責人Xander Davies的推文；華爾街日報指出，美國政府下令禁止所有外國人士使用，疑似源自Amazon總裁Andy Jassy向美國官員透露已成功越獄的情形。

微軟整合雲端防護與程式碼安全工具，協助企業依正式環境風險排序漏洞修補

微軟在Build 2026揭露軟體安全布局，宣布兩大產品的原生整合正式推出，它們分別是雲端資安防護服務Microsoft Defender for Cloud，以及程式碼安全服務GitHub Code Security，讓企業能將正式環境中的風險資訊納入程式碼漏洞管理與修補流程。企業可透過GitHub connector連接GitHub組織或儲存庫，讓系統自動對應來源儲存庫與正在執行的雲端工作負載，協助團隊判斷哪些漏洞已實際影響運作中的工作負載，應優先修補。

OpenAI、Visa合作共推AI代理人安全支付技術

國際支付卡組織Visa宣布與OpenAI合作，將把其支付網路及安全、身分驗證技術整合到OpenAI ChatGPT使用體驗中，以實現消費者及企業AI代理式支付的安全及流暢度，這項合作讓開發人員或店家得以接受由AI代理人啟動的Visa支付，雙方也計畫將支付安全機制整合到開發或業務流程。其中，Visa將提供底層全球支付網路、支付憑證記號化（tokenization）、授權、代理人識別及風險管理基礎架構以確保交易安全性。

2026年CVE數量恐破6.6萬個，FIRST國際資安應變組織提四項應對建議

FIRST國際資安應變組織於6月15日舉行的第38屆年會裡，發布2026年年中漏洞預測報告，當中指出今年登記在案的CVE漏洞數量將呈現史無前例的激增。根據FIRST最新公布資料顯示，2026年1至4月的實際披露量已較原先預估多出約6,420個漏洞，比例高出46.3%，這使得全年總量從2月份預估的59,427個，現在上修至約66,000個。FIRST指出，這波CVE數量暴增並非軟體安全性下降，而是反映漏洞挖掘技術與回報機制的結構性轉變。

資安署開辦「資安專家會客室」，中小企業可免費申請預約

數位發展部資通安全署針對中小企業的資安輔導措施，於6月11日開辦「資安專家會客室」服務，將邀請具備實務經驗的專家，針對企業面臨的駭客入侵、機敏資料保護等關鍵議題，提供一對一的客製化具體行動建議，並於後續主動關懷企業的落實情況。資安專家會客室採線上視訊為主、實體面談為輔進行，讓缺乏資源的中小企業可以免費預約諮詢。活動期間為6月11日起至10月底，每週共計舉行6場，預估整體量能可達100場次以上。

當Physical AI走進現實，一張傳單就可讓機器人出拳攻擊

【臺灣資安大會直擊】專精車用資安與機器人資安的VicOne執行長鄭奕立指出，在Physical AI（物理AI）的世界裡，機器人的手腳可能會直接傷害人類。只需一張含戰鬥指令的傳單，就能操控機器狗由友善互動轉為攻擊行為。此現象凸顯AI機器人面臨五大資安威脅層面，包括感測器欺騙、AI模型劫持、無線通訊滲透、軟體供應鏈漏洞及硬體弱點。對此，鄭奕立認為，強調資安必須在設計端同步納入，確保未來機器人服務落地時能兼顧安全與隱私。

英國試辦AI臉部年齡估算技術，強化邊境移民身分審查

為了強化國家安全，政府機關導入臉部辨識機制來防範犯罪行為，不過也可能造成隱私層面的疑慮。英國內政部在5月底發布官方指引，宣布在多佛（Dover）等重要邊境港口與拘留中心，全面啟動AI臉部年齡估算技術，協助第一線執法人員對難民與尋求庇護者進行初步的年齡判定，以防範成年人蓄意隱瞞真實年齡、冒充未成年兒童入境，然而，人權團體與隱私倡議組織質疑演算法的準確性、對不同族群可能存在的特徵偏誤，以及個資隱私權保護的擔憂。

近期資安日報

【6月16日】上百名資安專家連署反對Claude Fable禁令

【6月15日】美國政府禁止外國人士使用Claude Fable

【6月12日】Oracle PeopleSoft零時差漏洞被用於大規模攻擊

'

Google發布Chrome 149穩定版更新，修補33項安全問題

來源：https://www.ithome.com.tw/news/176703

Google發布Chrome桌面版瀏覽器新版本，將Windows與Mac平臺穩定版更新至149.0.7827.155與149.0.7827.156，Linux版本更新至149.0.7827.155，此次改版共納入33項資安漏洞的修補。

本次發布的重大漏洞有7項，涉及網頁分享API元件WebShare，嵌入式瀏覽器元件WebView，數位身分憑證元件Digital Credentials、選擇本機檔案元件File Input、密碼管理元件Passwords，以及身分驗證元件Web Authentication。

值得注意的是，其中Digital Credentials、Passwords與Web Authentication等元件，均與數位身分及帳號驗證機制有關。至於在漏洞類型方面，在前述重大漏洞中，除了WebView的漏洞屬於架構實作不當（Inappropriate implementation）以外，其餘全屬於記憶體已釋放卻仍被使用（UAF）問題。

綜觀這次Chrome修補的漏洞，記憶體相關問題仍占最大宗，除重大漏洞中有6項屬於UAF問題外，高風險漏洞中也有8項為UAF問題，再加上3項記憶體溢位與越界讀取問題，合計17項，占這次修補漏洞總數一半以上。

'

Snap發表要價2,195美元的AR眼鏡Specs

來源：https://www.ithome.com.tw/news/176701

Snap周二（6/16）於Augmented World Expo（AWE）2026正式發表擴增實境（AR）眼鏡Specs，售價2,195美元，即日起開放預購，預計今年秋季於美國、英國及法國出貨。

Snap成立於2011年，以主打照片與訊息限時消失的社交通訊服務Snapchat起家。除了軟體服務外，Snap近年也持續投入硬體布局，先後推出多代的Spectacles智慧眼鏡，並曾於2022年推出自拍空拍機Pixy，Specs則是該公司最新一代AR眼鏡產品。

Specs採全獨立設計，不需搭配手機、外接主機或外接電池即可運作。使用者可透過眼鏡觀看虛擬螢幕、瀏覽網頁、觀看影片、執行AR應用及獲得AI協助，也能透過EyeConnect功能與其他配戴者共享AR體驗。

在硬體設計上，Specs搭載兩顆Snapdragon處理器，其中一顆負責電腦視覺運算，另一顆負責執行AR Lens應用。Snap表示，雙晶片架構可支援快速手勢追蹤與低延遲互動，讓虛擬內容更自然地固定於現實環境中。顯示系統提供51度視野角與1,600萬色顯示能力，並提供47毫米與52毫米兩種尺寸，重量分別為132公克與136公克。單次充電最長可使用4小時，搭配充電盒則可延長至20小時。

Snap將Specs定位為可戴在臉上的獨立式AR電腦。該公司表示，Specs可將周遭空間轉變為工作與娛樂環境，讓使用者在眼前投放螢幕、瀏覽網頁、觀看串流內容、開啟白板、執行AR應用，並透過AI理解眼前環境，在工作、學習或創作時提供即時協助。

目前開發者已為Specs打造數百款Lens應用，包括可協助判讀高爾夫果嶺的工具、在鼓組上疊加互動教學的Drum Kit，以及可將抽象力場視覺化的Vector Fields等教育工具，凸顯AR眼鏡在娛樂、學習與共享體驗上的應用潛力。

Specs目前已於官方網站開放預購，消費者需支付200美元的可退還訂金。不過，2,195美元的售價也引發外界質疑，因為此一價格已接近高階電視與高階遊戲電腦，Gizmodo資深編輯Ray Wong則在X上表示，沒有人會真的用只有51度視野的AR眼鏡來做電腦工作或延伸螢幕，更說在看到它的價格之後，有99%的人會直接放棄。

'

Google Vertex AI SDK模型上傳流程漏洞，恐遭攻擊者跨租戶執行任意程式碼

來源：https://www.ithome.com.tw/news/176695

Palo Alto Networks旗下資安研究團隊Unit 42揭露Google Cloud Vertex AI SDK for Python一項已修補漏洞，攻擊者可能在未取得受害者Google Cloud專案權限的情況下，利用模型上傳流程的暫存儲存設計缺陷，替換使用者原本要部署的機器學習模型，並在模型上線後執行任意程式碼。

該漏洞出現在模型註冊前的暫存流程。開發者透過Vertex AI SDK上傳模型時，若未指定自己的暫存儲存位置，舊版SDK會依據Google Cloud專案識別碼與區域，自動產生一個預設儲存桶（bucket）名稱。Unit 42指出，當時SDK只確認這個名稱是否已存在，卻沒有進一步檢查該儲存桶是否真的屬於呼叫者的專案。

由於Google Cloud的儲存桶名稱在全球範圍內不能重複，攻擊者若知道受害者的專案識別碼，就可能先在自己的雲端專案建立同名儲存桶。如此一來，當受害者使用預設流程上傳模型時，模型構件可能被送到攻擊者控制的儲存位置，而不是受害者自己的環境。

攻擊者還可設定自動觸發的雲端函式，在受害者模型檔案上傳後立即替換成惡意檔案。研究團隊測試發現，模型上傳完成到Vertex AI服務代理讀取檔案之間約有2.5秒時間差，攻擊者若能在這段時間完成替換，就可能讓Vertex AI後續讀取並部署遭竄改的模型。

後續風險來自Python機器學習常見的模型儲存方式。許多模型會透過Joblib或pickle保存成檔案，而pickle在還原物件時可能執行程式碼。當攻擊者控制模型檔案，Vertex AI服務環境在載入模型時，就可能觸發惡意程式碼。Unit 42在概念驗證中表示，攻擊程式可嘗試讀取服務帳號電子郵件與OAuth存取權杖、容器環境變數以及雲端中繼資料，並把資料送往攻擊者控制的端點。

不過，這項攻擊要成立需要多個條件配合，包括受害者尚未在該區域建立預設暫存儲存桶、未自行指定暫存位置，攻擊者也必須知道受害者的專案識別碼，並在極短時間內完成檔案替換。

Google已修補此問題，Unit 42指出，修正重點是在模型上傳流程加入儲存桶權屬驗證，以避免SDK只因同名儲存桶存在就繼續上傳。研究人員建議開發者升級至1.148.0或更新版本，並在上傳模型時明確指定由自己控制的暫存用儲存桶。

'

德國多家醫院病患資料外洩，起因於醫療帳務委外服務商Unimed遭駭，突顯第三方供應鏈攻擊風險

來源：https://www.ithome.com.tw/news/176679

日前馬偕醫院外流舊資料遭兜售的消息引發國內關注，而近期德國更是發生大規模病患資料外洩事件，起因於醫療帳務委外服務商Unimed遭駭，導致多家大型醫院受波及。這起事件再次突顯第三方供應鏈攻擊帶來的危害。

自5月21日起，德國多家大學附設醫院陸續發布資安事故公告，揭露因委外服務商Unimed遭駭導致的資料外洩災情。受影響的醫院與規模如下：弗萊堡大學附設醫院揭露有5.4萬名病患個資外洩，其中 900名病患的帳單資料遭竊；海德堡大學附設醫院指出1.1萬名病患個資外洩，2,700名病患帳單資料被竊；科隆大學附設醫院表示約3萬名病患紀錄受影響；而烏姆大學附設醫院也同樣證實數千名病患資料遭竊。

後續德國醫療委外服務商Unimed發布資安事故公告指出，該公司是在4月14日遭受網路攻擊，發現部分IT系統中的資料遭到竊取。受影響的資料範圍主要是帳單爭議溝通紀錄，涵蓋商業保險病患、自費病患，以及擁有私人商業醫療補充保險的病患。該公司在確認受駭後隔天已通知首批受影響的客戶，並於5月中旬起，陸續提供各家醫院個別的影響評估報告。至於攻擊者的具體身分，根據目前揭露的資訊，目前仍未釐清。

'

Fortinet沙箱平臺3個已知漏洞傳出遭到嘗試利用

來源：https://www.ithome.com.tw/news/176694

威脅情報公司Defused Cyber警告，他們偵測到有人利用已知漏洞試圖攻擊沙箱系統FortiSandbox，其中一個是一週前修補的CVE-2026-25089

'

微軟執行長Satya Nadella示警，企業過度依賴AI模型恐削弱差異化

來源：https://www.ithome.com.tw/news/176693

隨著企業加速導入生成式AI，少數大型模型是否會集中吸納企業知識與產業價值，正成為企業科技市場的新一輪討論焦點。微軟執行長Satya Nadella在X貼文中指出，AI時代的重點不應只放在前沿模型（frontier model）本身，而是要建立能讓企業與產業持續累積價值的前沿生態系。這並非否定前沿模型的重要性，而是強調企業若只把AI視為外部供應商提供的通用能力，可能無法保有自身知識、流程與組織經驗所形成的差異化優勢。

Nadella也將這項風險與全球化第一階段的經驗相提並論，指出許多工業經濟體當年因外包而出現產業空洞化現象，雖然GDP數據表面上仍維持良好表現，但產業與就業位移（displacement）等衝擊確實存在，且影響延續至今。他提醒，不應讓類似情況在AI時代重演，讓少數AI系統集中取得大部分經濟回報，並使企業與產業長期累積的知識資產逐步被商品化，變成可由通用模型提供的標準化能力。

VentureBeat報導指出，Nadella的擔憂並非個別看法。雲端資料平臺業者Snowflake執行長Sridhar Ramaswamy今年2月曾警告，大型模型開發商希望讓所有企業資料更容易供模型使用，這可能使企業軟體業者淪為大型模型的資料供應管道。企業內容管理平臺業者Box執行長Aaron Levie也在今年1月指出，當所有企業都能取得同樣的專家級智慧時，如何維持差異化將成為重要問題。

除了提出風險警示，Nadella進一步主張企業應建立自身專屬的學習循環（learning loop），結合員工專業知識、企業營運脈絡與AI工具，持續累積他所稱的token資本（token capital）。這項概念指的是企業自行建立並掌握的AI能力，可透過模型、資料資產、工作流程與回饋機制持續累積，形成不同於單純呼叫外部模型的企業能力。

VentureBeat認為，Nadella的觀點也與微軟在AI產業鏈中的布局相呼應。微軟同時提供前沿模型、雲端基礎架構及企業生產力工具，並與OpenAI等AI研發機構維持合作關係。若企業在通用模型之上，進一步建立學習循環，這類建置需求也可能強化微軟既有雲端與企業AI生態系的優勢。

'

德國BSI核發首張5G核心網路組件NESAS安全證書，Mavenir率先通過驗證

來源：https://www.ithome.com.tw/news/176685

德國聯邦資訊安全局（BSI）於6月15日宣布，核發首張針對5G核心網路組件的BSI NESAS網路設備安全保障計畫認證，此舉標誌著德國在確保5G行動通訊基礎設施安全方面邁入全新里程碑。

首位獲得此項認證的廠商為美國雲端原生網路軟體商Mavenir，獲證產品為其5G匯流封包核心網路（Converged Packet Core）產品組合的關鍵組件──負責網路功能註冊與發現的網路儲存功能（Network Repository Function，版本為CC 24.4.2 p4 SW）。

BSI表示，此項認證是根據BSI NESAS 2.0驗證計畫進行評估，通過驗證的產品組件完全符合BSI、全球行動通訊系統協會（GSMA）以及3GPP的安全規範標準。相關認證申請數量正持續攀升，反映出業界正積極應對德國自2026年1月1日起，針對5G關鍵組件所實施的強制認證規定。

'

Anthropic暫緩Claude Agent SDK新計費，訂閱用戶暫維持既有上限

來源：https://www.ithome.com.tw/news/176683

Anthropic暫緩對Claude Agent SDK導入新的按詞元（Token）用量計費安排，根據外媒Ars Technica報導，Anthropic已通知用戶，原訂自6月15日起實施的Claude Agent SDK新計費暫不生效。該計畫原本會將Claude Agent SDK、以Agent SDK建置的第三方應用程式，以及程式化使用的claude -p命令，從既有Claude訂閱使用上限中獨立出來，改按Anthropic當時的API費率計算用量，訂閱用戶則可獲得等同訂閱費的每月抵用額。

Claude Agent SDK是Anthropic提供給開發者的工具，讓開發者可把Claude Code的代理迴圈、工具執行與脈絡管理能力整合到自己的Python或TypeScript應用程式。官方文件說明，SDK可讓代理讀取檔案、執行指令、搜尋程式碼、編輯內容，也可透過MCP連接外部系統，適合用於本機原型、CI/CD流程或自定代理應用。

新計費模型爭議在於，AI代理工作負載和傳統聊天不同。代理常會為了完成一項任務反覆呼叫模型與工具，將大量輸入、工具回傳結果與中間狀態送回模型，Token消耗可能快速累積。因此若SDK使用情境從訂閱額度轉向更明確的Token成本，原本難以量化的代理工作流就會轉化成更直接的營運成本。

Reddit的ClaudeAI討論串中，有使用者分享Claude通知信截圖，Anthropic在信中表示，不會照原定時間實施新計費變更，並正在調整計畫，以支援使用者透過Claude訂閱方案建置工具。信件也說，目前Claude Agent SDK、claude -p與以Agent SDK建置的第三方應用程式，仍會和過去一樣使用既有訂閱方案，沒有新的抵用額需要申請，訂閱使用上限也不變，後續若有更新，Anthropic會在生效前先行通知。

該討論串中，部分留言把該消息視為短期緩解，而非政策撤回。有使用者認為，Anthropic只是延後執行，之後仍可能把Claude Agent SDK相關用量轉向獨立月度抵用額，或改按API實際用量計費，另也有開發者表示，自己已開始把部分工作流程移出Claude Agent SDK，原因是這項變更既然曾被排入計畫，之後仍可能再次提出。

'

Android 17正式登上Pixel裝置，強化多工與Gemini AI體驗

來源：https://www.ithome.com.tw/news/176692

Google周二（6/16）正式推出Android 17。新版Android新增多工處理、安全防護及創作者工具，而Pixel Drop則進一步導入Gemini影片編輯、音樂生成及即時翻譯等AI功能，強化Pixel裝置的AI體驗。

Android 17最受矚目的更新之一是Bubbles氣泡視窗功能，可將應用程式縮成浮動小視窗並顯示於其他App上方，方便使用者在查閱地圖、觀看教學影片或與AI助手互動時快速切換不同工作內容。而Screen Reactions則可在螢幕錄影時同步加入前置鏡頭畫面，讓使用者直接錄下自己的表情與解說，方便製作教學、遊戲實況或社群短影音。

安全性也是Android 17的更新重點。新版系統讓使用者能更細緻地管理個資權限，例如只暫時開放App取得精確位置，或只分享部分聯絡人，而不是讓App存取整個通訊錄。Google也強化Find Hub的「Mark as Lost」功能，遺失手機可透過生物辨識鎖定，即使他人知道PIN碼，也無法存取裝置資料或關閉追蹤功能。

Android 17亦強化Live Threat Detection即時威脅偵測與Advanced Protection進階保護模式能力，並延長PIN碼連續輸入錯誤後的等待時間，以降低暴力破解風險。新版系統在底層新增App記憶體使用上限，避免應用程式占用過多RAM，以改善裝置整體效能與電池續航。

至於同步推出的6月Pixel Drop是Google定期為Pixel裝置提供的專屬軟體更新。其中，Gemini Omni可讓使用者透過自然語言建立或編輯影片；Lyria 3則能依據文字提示或圖片生成原創音樂與歌詞；Pixel 10a新增Voice Translate即時語音翻譯功能，可在電話通話期間翻譯雙方對話內容。6月Pixel Drop將Quick Share與Apple AirDrop的互通能力擴大至Pixel 8a與Pixel 9a，讓這兩款手機可直接與蘋果裝置分享檔案。

Android 17已開放Pixel 6及後續機種更新，其他Android品牌裝置則將由各家業者於今年稍晚陸續提供；6月Pixel Drop功能則會在未來幾周陸續提供給符合資格的Pixel裝置。

圖片來源／Google

'