愛立信：AI原生6G將更重視能源效率，AI已用於最佳化行動網路降低耗能

來源：https://www.ithome.com.tw/news/177012

隨著生成式AI、AI代理（AI Agent）、智慧眼鏡及各類智慧裝置快速發展，行動網路正面臨新的流量型態與營運需求。愛立信最新出爐的「行動趨勢報告」指出，AI除了帶動新的連網應用，也逐步成為電信網路最佳化的重要工具，6G網路將進一步採用AI原生架構，將使6G具備提升能源效率的能力。

AI開始導入行動網路最佳化

愛立信表示，目前AI已逐步導入行動網路營運，用於提升網路效能、自動化管理及降低能耗，協助電信業者因應持續增加的資料流量與網路管理需求。

台灣愛立信雲事業群協理魏逸國表示，隨著AI驅動型服務持續發展，行動網路對高效能與智慧自動化的需求同步提升，相關網路架構正加速導入AI能力，以提升營運效率、改善網路效能並降低能耗，逐步朝AI原生網路發展。

根據愛立信在全球15項以上部署與試點成果，AI可使行動網路下行吞吐量最高提升20%、頻譜效率最高提升10%，高流量用戶承載能力最高增加一倍，覆蓋預測精度可達90%至95%，用戶定位精準度最高提升5倍。

AI應用改變網路流量型態

AI應用正悄悄改變行動網路流量結構。

過去行動網路流量是以影音串流等下載應用為主，但智慧眼鏡、自動駕駛及各類穿戴裝置更加依賴影像、感測資料及即時情境資訊的上傳。預估到2031年，全球行動網路的上行流量將比2025年增加3倍，促使行動網路持續提升上行傳輸能力、低延遲及即時處理能力，以支援更多AI應用。

報告也指出，現在已有88%的企業預期未來AI解決方案將依賴即時資料，但僅18%的企業採用可提供安全、可靠且即時連線能力的行動網路技術，顯示電信業者仍有機會透過5G SA及5G Advanced提供支援企業AI應用的基礎設施。

5G SA商用應用持續擴大

報告還指出，目前全球5G用戶數已成長至31億，預期2031年底前將擴大至64億以上。含台灣在內的東北亞區2031年前後5G用戶滲透率將達到9成以上。隨著用戶規模持續增加，5G已成主流行動連取技術，2025年底5G已承載全球近50%的行動數據流量，2031年底將提升至85%。

另外，5G獨立組網（5G SA）正從早期部署逐步進入規模化商用。

目前全球約390家推出商用5G服務的電信業者中，已有超過90家部署5G SA，預估至2031年，5G SA用戶將達39億，占整體5G用戶約6成。

至於建立在5G SA上的差異化連接服務（Differentiated Connectivity）也快速增加，目前全球已有超過80項商用服務，年成長率達58%，應用範圍已從高密度場館擴展至企業專網及公共安全等任務關鍵型通訊場景。

AI原生6G將能源效率列為重要能力

除了5G持續發展，6G標準化工作也已展開。

愛立信預估，首批可實施的6G技術規範將於2028年底至2029年初完成制定，2030年前後有機會展開首波商用服務。

6G預期將會建立在AI原生架構之上，初期部署將延續AI驅動5G系統的發展成果，並進一步將AI納入網路架構設計。除了整合感測與通訊（ISAC）、地面與衛星網路整合等能力外，能源效率也被列為AI原生6G的重要能力之一。

愛立信認為，未來AI將不只是運行於網路上的應用，而是成為行動通訊基礎設施的一部分，在支援更多AI服務的同時，也協助提升網路營運效率與能源使用效率。

'

Anthropic公布科學研究專用開發環境Claude Science

來源：https://www.ithome.com.tw/news/177018

Anthropic周二宣布推出科學家專用的整合式AI開發環境Claude Science，將研究人員過去最常使用、但分散四處的資料庫及研究工具套件，整合進單一AI協作環境中，並有可代為撰寫報告、檢查研究結果、設定運算資源等AI代理人工具。目前Claude Science已在macOS與Linux平臺開放Beta測試，供Claude Pro、Max、Team及Enterprise方案的用戶使用。

研究人員現行必須在十幾種研究資料庫間來回，各有schema、檔案格式各異，需要不同資料處理流程和不同檢視器（viewer），還必須操作PubMed、Jupyter Notebook、R語言、各種終端等工具。Claude Science匯整這些工具於單一開發環境，內建60種專為基因組學（Genomics）、單細胞分析（Single-cell）、蛋白質組學（Proteomics）、結構生物學、化學資訊學（Cheminformatics）配置的專業技能與連接器。

Claude Science也原生支援視覺化，可同時顯示程式碼及其圖表和手稿，直接原生顯示3D蛋白質結構、基因組瀏覽器軌跡（Genome Browser Tracks）與化學分子結構。研究人員可以用自然語言直接與AI討論細節，進行圖表或手稿的即時調整與標註，以便代理人加以修改用以發表。當代理人增加的圖表，也會清楚描述脈絡以供研究人員理解、驗證和日後複製。研究人員可要求代理人變更圖表呈現。

蛋白質結構預測、基因組等大型數據分析往往需要設定運算環境。Claude Science接收這部份任務。它能自動擬定計畫，取得用戶確認後，透過SSH連結實驗室現有的高效能運算叢集（HPC）或Modal等雲端運算服務。它能在背景寫入並提交作業，自動將運算規模從單顆GPU擴展至數百顆。在跑運算時，Claude Science也會有檢視代理人來檢查輸出、標出錯誤引用來源，無法追溯來源的數字，或和底層程式碼不一致的數字，然後自動修正。研究人員也可以將計畫分叉兩種研究路徑進行比較。

Claude Science可支援多種資料庫，包括UniProt、PDB、Ensembl、Reactome、ClinVar、ChEMBL、GEO等。當研究人員問它問題時，Claude Science會由代理人來查詢權威資源並合成答案。例如在生命科學領域，它使用Nvidia的BioNeMo Agent Toolkit來原生串聯Nvidia BioNeMo生命科學模型和函式庫。但研究人員也可以客製化，使Claude Science串聯自有或現有資料集、模型和研究流程管線。

已有幾家頂尖研究機構在早期測試中，包括生技公司Manifold Bio、艾倫腦科學研究所（Allen Institute）及加州大學舊金山分校（UCSF）腦瘤中心。

Anthropic也同步推出了學術與非營利組織的Team方案優惠，並針對「AI for Science」計畫提供最高3萬美元的點數補助。

'

數發部揭主權AI策略：算力中心必須在臺灣、模型需具備3大理解力，另看好主權AI服務出海

來源：https://www.ithome.com.tw/news/177017

數位發展部部長林宜敬昨日（6月30日）出席主權AI峰會時，揭露數發部推動臺灣主權AI的整體策略。首先是建立臺灣境內的AI算力中心；再來，模型必須符合臺灣情境，數發部要透過AI評測中心（AIEC）檢驗模型是否具備臺灣語言、社會與價值觀等3大理解能力；第三，要推動符合臺灣情境的金融、法務等垂直領域大語言模型；第四，將臺灣的硬體、資安、資料治理與模型訓練能力，打包成主權AI解決方案，輸出到東南亞與中東等他國市場。

境內算力成主權AI第一步，數發部用BOO案引導民間投資

林宜敬先是點出，主權AI對臺灣有兩層意義，一是AI模型必須具備臺灣觀點，能熟悉臺灣語言、社會環境與價值觀；二是AI算力中心必須設在臺灣境內，因為「算力中心在哪裡，就受哪個國家的法律管轄。」

他說明，過去數發部在打詐時就面臨類似問題，例如Facebook伺服器位於美國或新加坡，Line伺服器位於日本，臺灣政府法律難以直接管轄。他認為，未來AI的重要性將比社群媒體更高，因此臺灣若要發展可信賴、可治理的AI，就不能只仰賴境外算力，而必須建立自己的AI算力中心。

然而，臺灣現有政府AI算力仍不足。以Nvidia H100等級以上GPU來看，國科會國網中心目前約有2,000多片GPU，預計2027年6月將增加到4,500多片；數發部目前只有40片GPU，預計將再採購，明年6月可達140片。

林宜敬坦言，這樣的算力規模對臺灣來說「絕對不夠」。

因此，數發部改用促參條例推動AI算力中心BOO案，也就是由民間投資興建、擁有並營運算力中心。林宜敬表示，數發部已將AI算力中心納入重大公共建設，與財政部合作，讓參與興建算力中心的業者可享有5年免營利事業所得稅等優惠。

他透露，AI算力中心BOO案目前已開始收案審理，數發部預估，到今年底投資金額將超過1,000億元，可提供2萬片以上Nvidia高階GPU算力。相較之下，數發部一年預算約100億元，因此需仰賴民間資金投入，來擴大境內AI算力。

不過，這些民間投資的算力並非只供商業使用。林宜敬表示，在BOO案中，數發部會保留一定比例GPU算力，提供政府、官方與學術研究單位免費或優惠使用。這也說明，政府希望透過促參制度，把AI算力建設從單純政府採購，擴大成民間投資的公共基礎設施。

主權AI模型要懂臺灣語境，AIEC提出3大測驗範圍、已評測140多種模型

除了算力，林宜敬也強調，臺灣需要具備符合本土價值觀的AI模型。所謂臺灣觀點，包含3個面向：熟悉臺灣語言、熟悉臺灣社會環境，以及具備臺灣價值觀。

數發部的做法是，透過近年成立的AI評測中心AIEC，來把關模型品質。目前，AIEC已評測全球140種AI模型，涵蓋來自美國、中國、法國以及臺灣本土的模型，評測內容分成3類。

第一類是臺灣語言能力，題目包含過去5年的臺灣高中學測國文科題目。第二類是臺灣社會理解能力，包含過去5年臺灣高中學測社會科題目。第三類則是臺灣價值觀，數發部整理出50題「臺灣藍綠白政黨有共識，但與中國共產黨沒有共識」的題目，來測試模型。

林宜敬舉例，像是「二次大戰期間，中國戰場的主力是國軍還是共軍」，在臺灣主流認知中答案是國軍，但中國官方敘事並不同。另一類題目則是民主制度中的制衡機制，例如政治上的check and balance是否是好的制度。林宜敬表示，民主國家普遍認為制衡是好的制度，但中國官方對此有不同詮釋。

也就是說，AIEC評測不是只看模型會不會繁體中文，而是要檢驗模型是否理解臺灣社會、歷史敘事與民主價值。這對主權AI很關鍵，因為模型雖能用繁體中文回答，卻套用其他國家的政治敘事、法律制度或社會脈絡，就不一定適合臺灣的政府、教育、金融與法務等場景。

林宜敬坦言，在AIEC的測試中，臺灣模型一開始表現並不好。但後來，國內團隊開始針對這些能力改善模型，目前，國科會開發的TAIDE已進入前40名；另一家臺灣新創亞太智能訓練的模型，則名列第五。他補充，後者是以Google Gemma模型為基礎，再透過蒸餾技術訓練而成，表現相當好。

金融與法務模型成第一批主權AI應用場景

除了通用模型評測，數發部也推動垂直領域的本土化大語言模型（LLM）。林宜敬舉例，中信金先前就發起金融大型語言模型計畫，找來16家大型銀行共同集資，並委託臺灣本土AI公司訓練。

這項計畫的目標，是要訓練能依照臺灣金融法規回答問題的模型。換句話說，使用者詢問金融相關問題時，模型不能用美國、歐洲或中國法規回答，而是要理解臺灣金融監理制度、臺灣金融用語，以及臺灣金融機構內部實務。

為確認模型是否達標，金管會將負責出題，題目涵蓋保險與銀行等領域，再由數發部AIEC進行評測並公布報告。林宜敬表示，既然是臺灣自己做的金融AI模型，理論上就應該在臺灣金融題目上做到第一名。

另一例是法務大語言模型。林宜敬表示，法務部也有類似計畫，由法務部出資，委託臺灣業者訓練模型，目標是讓模型依照臺灣法律回答問題，而不是用英美法系邏輯回答。

這套模型初期將提供給法務部檢察官使用；若效果不錯，接下來會擴大給法務部其他同仁，最終目標則是開放給全臺灣律師使用。林宜敬甚至指出，未來若採訂閱制，一個月收費約1,000元，也具市場潛力。

這代表，主權AI不只是政府內部工具，也可能形成專業AI服務市場。

臺灣不只賣AI伺服器，還能輸出主權AI整套方案

林宜敬也指出，主權AI不只是臺灣自己的需求，也可能成為國際商機。因為，世界各國都希望發展自己的主權AI，而主權AI的定義，本來就包含不完全受美國或中國等大型強權控制。

在他看來，臺灣是主權AI的理想提供者。這是因為，臺灣本是科技強國，也具備民主、自由與可信賴的形象，對東南亞或中東國家來說更是如此。

他舉例，目前已有臺灣大型硬體公司與大型軟體公司合組新公司，在東南亞與中東等部分國家簽署數億美金的MOU，來提供主權AI相關服務。林宜敬表示，過去許多國家向臺灣購買AI伺服器，但現在，這些國家也會進一步詢問，臺灣能否順便協助解決相關的軟體問題。

也因此，他看好臺灣主權AI服務出海的潛力。結合硬體的GPU、伺服器，軟體的資料治理、資安、主權AI模型訓練與評測服務，以及資料中心管理能力一起輸出。

他以馬來西亞為例，若臺灣協助馬來西亞訓練主權AI模型，就不能只提供通用模型，而要理解當地宗教、文化與社會規範。馬來西亞是穆斯林人口占多數的國家，模型可能不應提供豬肉食譜，也不能在言語上冒犯先知穆罕默德。未來，這類模型評測也可由當地政府出題，再交由臺灣AIEC協助評測。

林宜敬所談的主權AI商機，並不是單純把臺灣模型賣到國外，而是協助其他國家建立符合其語言、文化、法律與價值觀的AI模型和算力基礎設施。

'

Citrix修補NetScaler ADC與Gateway 6項漏洞，包含可能導致敏感資訊外洩或阻斷服務攻擊的重大漏洞

來源：https://www.ithome.com.tw/news/177016

Citrix於6月30日發布資安公告，修補應用程式傳遞控制器NetScaler ADC，以及SSL VPN遠端存取設備NetScaler Gateway的6項漏洞，影響採用14.1、13.1系列版本的系統，用戶應儘速升級到已修補完成的14.1-72.61、13.1-63.18、14.1-72.61 FIPS，以及13.1.37.272等版本。

這次Citrix修補的6項漏洞中，最受關注的是資安公司watchTowr發現與通報的CVE-2026-8451，這項漏洞與2023年曾遭攻擊者大規模濫用的 CitrixBleed漏洞（CVE-2023-4966）同屬敏感資料外洩問題，CVSS v4.0嚴重性評分達8.8分。

Citrix這次修補的另兩項漏洞CVE-2026-8452與CVE-2026-8655，CVSS v4.0嚴重性評分也達到8.8分，兩者都是記憶體溢位（Memory Overflow）導致服務阻斷或不可預期的錯誤。

這次更新值得注意的漏洞還有CVE-2026-13474，涉及格式錯誤的HTTP/2請求導致服務阻斷問題，CVSS v4.0嚴重性評分達8.7分，針對這項漏洞，用戶除了須將設備韌體升級至前述已修補版本外，還需手動調整配置參數，才能完整修補。

'

Anthropic稱Fable 5出口管制解除，7月1日恢復全球上線

來源：https://www.ithome.com.tw/news/177013

Anthropic周二（6/30）宣布，美國政府已解除對Claude Fable 5的出口管制，Claude Fable 5將自7月1日起重新開放全球用戶存取；至於Claude Mythos 5，則已於6月26日獲美國政府核准，先恢復部分美國組織使用，Anthropic仍將與政府協調，逐步擴大Glasswing計畫合作夥伴的存取權限。

Claude Mythos為Anthropic針對高階資安防禦任務所開發的模型，最早於今年4月以Claude Mythos Preview形式推出，透過Glasswing計畫（Project Glasswing）提供少數資安防禦者及關鍵基礎設施供應商使用。Anthropic在6月9日同步發表Claude Fable 5與Claude Mythos 5，兩者採用相同的底層模型，但Fable 5加入安全防護機制並對外開放；Mythos 5則解除部分安全限制，依舊僅提供參與Glasswing計畫的受信任合作夥伴使用。

不過，根據路透社（Reuters）及Axios等美國媒體報導，Amazon研究人員曾向美國政府通報Claude Fable 5的安全疑慮，引發白宮與美國商務部關切。美國政府隨後於6月12日針對Claude Fable 5與Claude Mythos 5實施出口管制，要求限制外籍人士存取這兩款模型。由於Anthropic當時無法即時驗證所有使用者國籍，因而直接暫停Fable 5與Mythos 5的所有存取權限。

Anthropic本周解釋，Amazon研究人員所提出的方法，是透過特定提示繞過Claude Fable 5的資安安全分類器，使模型辨識部分軟體漏洞，並在個別案例中產生漏洞利用方式的示範程式碼。然而，該方法並未取得Claude Mythos 5層級的高階資安能力，而是Claude Fable 5安全分類器的「邊界案例」（Edge Case），亦即僅在特定情境下才能繞過部分安全防護，而非普遍存在的漏洞。

Anthropic指出，就算是Claude Opus 4.8、GPT-5.5及Kimi K2.7等模型也能完成類似任務，因此Amazon提出的方法並未讓Fable 5具備Claude Mythos 5等級能力。儘管如此，Anthropic仍已更新Fable 5的安全分類器，以降低相關風險。

此次事件也促使Anthropic決定與Amazon、Google、Microsoft及Glasswing計畫合作夥伴共同建立AI越獄評估框架（AI Jailbreak Evaluations），以作為未來評估模型安全事件的共同標準。該公司認為，目前業界對於AI越獄的定義與嚴重程度缺乏一致標準，容易因個別案例而產生不同解讀，因此希望建立更客觀、可重複驗證的評估機制。

Anthropic表示，新的評估框架將檢視越獄手法是否真正提升模型能力，而不只是繞過部分安全防護，並評估其攻擊價值、重現穩定性及現實危害，避免模型部署或存取決策僅取決於單一漏洞通報。

自7月1日起，Claude Fable 5將重新開放全球用戶透過Claude Platform、Claude.ai、Claude Code及Claude Cowork存取，AWS、Google Cloud及Microsoft Foundry上的服務也會儘快恢復。至於Claude Mythos 5，則仍限Glasswing計畫的受信任合作夥伴使用，Anthropic將持續與美國政府協調擴大存取範圍。

'

Next.js 16.3大幅改善打包工具Turbopack記憶體用量與建置快取

來源：https://www.ithome.com.tw/news/177006

Next.js團隊釋出前端框架Next.js 16.3預覽版，開放開發者透過npm套件管理工具測試新版功能。官方特別強調16.3版本的Turbopack相關更新，包括降低開發期間的記憶體占用、讓正式建置流程可透過實驗設定使用檔案系統快取，並加入以Rust移植的React編譯器整合，以減少大型Next.js應用在開發與建置時的系統負擔。

Turbopack是Next.js近年開發的新一代打包工具，藉由增量編譯，重用先前完成的處理結果，讓開發期間的編譯時間主要取決於變更範圍，而不是每次都重新處理未變動的檔案與路由內容。雖然這種做法有助於減少處理器負擔，但過去也會把較多編譯結果留在記憶體中。當開發者同時開啟編輯器、型別檢查工具、程式檢查工具，以及近來常見的程式開發代理工具時，記憶體壓力會更明顯。

Next.js團隊表示，過去3個月已針對Turbopack記憶體使用進行調整，包括壓縮資料結構、減少不必要的資料保留，並新增記憶體快取淘汰機制。新版預設會搭配檔案系統快取，把部分曾經計算過的結果保存在磁碟，讓Turbopack不必在記憶體中持續保留所有曾開啟路由的快取內容。

根據官方測試，在編譯50條路由後，Vercel儀表板的記憶體用量由21.5GB降至2GB，nextjs.org則由4,600MB降至840MB。不過官方也說明，實際改善幅度會受到應用程式規模、開發期間觸及的頁面範圍，以及工作階段執行時間影響，因此不宜直接視為所有專案都能達到相同降幅。

新版也讓Turbopack的檔案系統快取可用於正式建置流程。該功能先前已用於開發模式，Next.js 16.3則可透過實驗設定，讓next build重用先前完成的計算結果，縮短後續編譯靜態資源所需時間。官方提到，持續整合環境可保留產生的.next目錄，讓下一次建置啟動時讀取既有快取，再處理新的變更。

Next.js 16.3預覽版也加入以Rust實作的React編譯器實驗整合。Next.js 16.0已支援React Compiler，但先前主要仰賴Babel轉換流程。官方表示，在大型React應用的早期測試中，原生編譯器可帶來約20%到50%的編譯時間改善，但這項功能目前仍需透過實驗設定啟用。

'

【資安日報】7月1日，PChome旗下Pi拍錢包傳出資料外洩

來源：https://www.ithome.com.tw/news/177011

本日新聞焦點

● Pi拍錢包350萬用戶資料傳出遭竊

● 勒索軟體Blackfield聲稱從上市公司尼得科超眾竊得內部資料

● 英國車廠Jaguar Land Rover事故疑俄羅斯駭客所為

勒索軟體Settra聲稱竊得PChome旗下Pi拍錢包350萬用戶資料

近日Settra勒索軟體團體於暗網宣稱，他們在6月10日成功入侵網路家庭PChome，竊得102 GB內部資料，最早報導此事的聯合新聞網指出，這批資料內含350萬名Pi錢包用戶個資、內部系統架構、法遵與稽核文件、人資資料、長達9年的營運記錄，駭客聲稱竊得的資料內容相當詳細，並涵蓋公司內部資料，因此聯合新聞網指出，駭客竊得的資料，很可能並非只是單純的用戶資料庫內容。對此，PChome旗下的拍付國際發出聲明，表示他們確實收到勒索訊息，已啟動資安應變程序並著手調查。詳全文

PChome旗下拍付國際傳遭竊取個資，數發部將進行行政檢查

Settra勒索軟體團體聲稱竊取PChome旗下拍付國際的內部資料，其中包含350萬名Pi錢包用戶個資，引起臺灣社會高度關注。對此，數位發展部數位產業署表示，為維護民眾權益，他們將在7月1日辦理實地行政檢查，以釐清案情，並檢視業者對於個人資料保護的落實作為。數產署表示，他們將持續追蹤這起事故個資外洩的情形，嚴格督導拍付國際後續資安與管理作為，並表示經調查如發現有違反個資法情事，將會依法裁處。詳全文

勒索軟體Blackfield聲稱攻擊散熱解決方案廠商尼得科超眾，向日本母公司勒索200萬美元

6月22日晚間上市公司尼得科超眾於股市公開觀測站發布重大訊息，表示部分伺服器遭勒索軟體攻擊。根據資安新聞網站Bleeping Computer報導，勒索軟體Blackfield近日宣稱這起事故是他們所為，將Nidec Chaun Choung Technology（ccic.com.tw）列於受害者網站，並表示已竊得超過2 TB資料，要求日本母公司尼得科在15天內向他們聯繫，否則他們就會出售或公開竊得資料。駭客在網頁上也開出價碼，任何人想要下載這批資料，需支付40萬美元，若要駭客刪除資料，則要支付200萬美元。詳全文

美國保險龍頭Aflac日本分公司遭駭，438萬用戶資料外洩

根據資安新聞網站SecurityWeek報導，美國家庭人壽保險公司（Aflac）於6月30日向美國證券交易委員會（SEC）提交8-K表單，指出日本子公司Aflac Life Insurance Japan（Aflac Japan）於25日察覺部分系統遭到入侵，並暫停部分系統運作等措施因應。駭客滲透該公司的時間點最早在6月15日，並從15日至25日期間多次存取部分系統。同一天Aflac Japan也在網站說明此事，並透露其中一個受影響的系統是Yoroso Net，估計約有438萬名客戶可能受到影響。詳全文

日產汽車證實美洲分公司的Oracle PeopleSoft系統被駭

日本汽車大廠日產證實，近日公司使用的Oracle PeopleSoft系統遭駭，導致美洲分公司資料外洩，內容包括員工薪資、稅務與人事檔案。北美日產向加州總檢察長辦公室（OAG）提交的資料外洩通知，事件發生在2026年5月27日到6月9日之間，影響範圍涵括美國、加拿大、墨西哥，以及巴西等分公司。攻擊者利用該公司的Oracle PeopleSoft漏洞，存取了屬於前任和現任員工的資訊，涵蓋員工個資、銀行帳號、薪資、稅務資料等財務資訊。詳全文

Jaguar Land Rover傳出遭俄羅斯駭客從事網路破壞攻擊

英國車廠Jaguar Land Rover（JLR）於去年9月遭遇網路攻擊，導致工廠停工長達1個月，損失估計達到19億英鎊，駭客組織Scattered Lapsus$ Hunters聲稱是他們所為，然而6月26日紐約時報引述知情人士的說法指出，這起事故的兇手可能是俄羅斯駭客，根據4名知情人士透露，微軟一直在追蹤犯案的俄羅斯駭客組織，並向JLR通報了入侵其系統的人員身分。駭客部署了新型勒索軟體，採用了資安專家前所未見的加密演算法，有人形容它「令人震撼」。詳全文

新型Mistic後門疑與勒索軟體存取掮客有關，偽裝端點安全工具元件躲避偵測

Broadcom旗下資安部門Symantec與Carbon Black威脅獵捕團隊揭露，新的隱匿型後門程式Mistic自2026年4月起，出現在多起疑似為了財務獲利而發起的攻擊行動，受害組織涵蓋保險、教育、IT與專業服務等產業。研究人員研判，這款後門可能與初始存取掮客（IAB）KongTuke有關，KongTuke並非以直接部署勒索軟體為主要目的，而是先在企業環境建立可長期維持的遠端存取管道，再將存取權轉售給勒索軟體合作夥伴或其他攻擊者。詳全文

Google發布Chrome 150，修補382項漏洞，15項屬於重大等級

Google發布Chrome瀏覽器新版本150.0.7871.46與150.0.7871.47，納入382項資安漏洞的修補。本次修補的重大漏洞有15項，影響元件涵蓋Extensions、GPU、WebUSB、Chromoting、ANGLE、Skia等瀏覽器核心與周邊功能。就漏洞類型來說，以記憶體已釋放卻仍被使用（UAF）問題居多，共11項。另外值得注意的是，本次有7項高風險漏洞獲得Google漏洞懸賞計畫的獎金，其中存在於GPU元件的UAF漏洞CVE-2026-13789，獲得的金額達3.6萬美元。詳全文

WinRAR發布7.23版，修補可能導致記憶體損毀與路徑遍歷攻擊的漏洞

WinRAR於6月30日發布新的7.23版，修補兩項漏洞，分別涉及記憶體安全問題，以及符號連結（Symbolic Link）處理機制缺陷，影響WinRAR、RAR與UnRAR等工具，用戶應儘速更新。第一項漏洞屬於堆積緩衝區溢位（Heap Overflow）問題，源自用於修復受損壓縮檔的修復磁碟區（Recovery Volume）機制；第二項漏洞與符號連結處理有關。WinRAR在解壓縮特製RAR壓縮檔時，有可能存在路徑遍歷（Path Traversal）攻擊的風險。詳全文

macOS權限提升攻擊鏈可暗中停用EDR、MDM代理程式

資安業者XM Cyber揭露macOS權限提升攻擊鏈，指出攻擊者不需管理員權限，也不必利用記憶體破壞或核心漏洞，就可能讓企業端點偵測與回應（EDR）、行動裝置管理（MDM）等代理程式停止運作。該攻擊鏈源於應用程式呼叫具備系統權限的背景程式的機制，背景程式會檢查連線來源的程式碼資料夾雜湊，確認對方是否為合法元件，攻擊者可濫用這段信任驗證流程，使惡意程式得以冒充合法元件，向具有系統權限的背景程式發送指令。詳全文

Veeam強化Microsoft 365資料保護與管理能力，提升Exchange與SharePoint備份效能

資料保護軟體業者Veeam近日發布8.5版Veeam Backup for Microsoft 365更新，針對效能與操作管理等兩大面向，提供一系列改進功能，協助企業提升M365環境的資料復原能力。在Exchange方面，透過同步與儲存庫（Repository）寫入的平行處理，可以讓大型Exchange信箱備份作業效率提高26%；在SharePoint方面，則藉由將非同步處理機制擴展到內容檢索和檔案快取操作，提升SharePoint備份與物件儲存庫效能。詳全文

SQL Server 2025的AI功能存在濫用風險，攻擊者可藉此竊取敏感資訊

資安公司SpecterOps近日便發布報告指出， 微軟新一代資料庫平臺SQL Server 2025導入多項AI功能，存在可能遭攻擊者濫用的問題。存在問題的功能有3項，包括：用於連結外部REST端點的預存程序（stored procedure）sp_invoke_external_rest_endpoint功能，用於引進與建立外部AI模型的CREATE EXTERNAL MODEL指令，以及將文字內容傳送到外部AI模型的AI_GENERATE_EMBEDDINGS。詳全文

PostgreSQL資料庫管理工具pgAdmin 4發布更新，修補7項資安漏洞

PostgreSQL資料庫管理工具pgAdmin 4近日發布9.16版，修補可能導致洩漏憑證、遠端執行程式碼的7項資安漏洞，由於pgAdmin具備管理PostgreSQL資料庫的高權限，用戶應儘速更新，以降低風險。這次9.16版修補的7項漏洞中，CVSS嚴重性評分最高的是CVE-2026-12048，風險評為9.3分，為儲存型跨網站指令碼（XSS）問題，可能導致攻擊者藉此竊取憑證並從遠端操作資料庫。其次是評分為9.0的CVE-2026-12045與CVE-2026-12046。詳全文

群暉修補MailPlus Server重大漏洞，全球近2,100臺系統暴露於網路，面臨潛在攻擊風險

群暉（Synology）於6月26日發布資安公告，修補郵件伺服器套件MailPlus Server的三項漏洞，可能導致未授權存取檔案、拒絕服務、存取內部服務等問題，影響搭配DSM 7.2.1、7.2.2與7.3版的MailPlus Server套件，啟用此套件的用戶應儘速升級至已修補的4.0.1-21663、4.0.1-31663等版本。根據CVSS風險評分，最嚴重的是達到10分滿分的CVE-2026-13136，問題源自授權驗證機制缺陷，可能導致遠端攻擊者讀取或寫入任意檔案，並發動阻斷服務攻擊。詳全文

研究人員揭露WARP攻擊，可透過Reddit等內容誤導AI研究代理

美國康乃爾大學揭露新型攻擊手法Web Agent Retrieval Poisoning（WARP），駭客可透過在Reddit及Wikipedia等使用者生成內容的平臺加入少量惡意內容，誤導AI研究代理（Deep Research Agent）的搜尋與分析結果，使AI將虛構產品、服務或投資標的，納入最終報告或推薦內容。研究團隊以176個真實查詢情境進行測試，這些系統在搜尋與整理資料時，有17%至23%的網址來自Reddit、YouTube、Facebook、Wikipedia、Medium、Quora等使用者生成內容，而有機會導致被誤導。詳全文

知名Chrome廣告攔截擴充套件暗藏遠端執行程式碼後門風險，逾千萬用戶恐受影響

用於阻擋廣告的瀏覽器擴充套件，由於具備較一般擴充套件更大的權限，一旦相關功能遭到濫用，也將帶來更嚴重的風險。資安廠商Island近日發布報告，指出Chrome網站商店上安裝量逾1,100 萬次的廣告攔截擴充套件Adblock for YouTube，具備攻擊者透過控制伺服器端，在用戶端執行JavaScript程式碼的風險，可能導致攻擊者藉此存取用戶敏感資料、甚至冒用帳號等惡意行為。攻擊者只要在網站URL網址上加入youtube.com字串，就能讓擴充套件在各類網站上運作。詳全文

CI/CD供應鏈存在Cordyceps風險，GitHub Actions流程恐遭挾持

AI滲透測試平臺業者Novee Labs公開一類名為Cordyceps的CI/CD供應鏈風險，指出許多開源專案使用GitHub Actions建立自動化工作流程時，若未妥善處理外部輸入與執行權限，攻擊者可能藉由留言、拉取請求（Pull Request，PR）、分支名稱，或流程產生的檔案與輸出資料，讓自動化流程執行非預期指令，進而竊取憑證、操控儲存庫，甚至影響後續軟體發布。Cordyceps風險不一定會出現在單一設定檔中，而是常在多個流程串接之後出現。詳全文

Anthropic推企業協作功能Claude Tag，並允許管理員配置權限與存取範圍

Anthropic近日發表全新企業協作功能Claude Tag，讓Claude以團隊成員身分加入Slack頻道，頻道成員只需標註@Claude，即可將任務交辦給它處理，而無須開啟獨立對話視窗。為降低企業資料外洩風險，Anthropic允許管理員針對不同Slack頻道設定獨立權限與工具存取範圍。例如，負責銷售的Claude不會與工程團隊共用記憶，也無法存取工程相關資料。管理員也能設定Token使用上限，並檢視Claude執行過的所有操作紀錄與任務來源。詳全文

雅婷智慧推FedGPT主權AI平臺，瞄準企業地端部署需求

臺灣人工智慧實驗室與其策略合作夥伴雅婷智慧於6月30日，揭露今年度臺灣企業AI轉型洞察報告，從十多個產業收集562份問卷並進行分析，結果發現，只有15%的受試企業在不同部門使用AI，其餘85%仍在小規模試行或在評估中。調查也發現，高達72%的企業需要地端部署的AI。看準這股需求，雅婷智慧力推FedGPT主權AI平臺，符合資料自主、系統自主等主權AI需求，提供會議記錄和萬能秘書等2大亮點應用。詳全文

資安界如何改進漏洞修補優先順序？HackerCat教你快速搞懂CVSS、EPSS、KEV這三項指標

在今年的DevOpsDays活動上，以HackerCat外號活躍於資安社群的高于凱，針對資安界常見的通用漏洞評分系統（CVSS）、已知被利用漏洞清單（KEV）、漏洞利用機率預測評分系統（EPSS），由淺入深地解構這些核心指標，讓第一線的開發人員或資安新手更快速上手。他強調，CVSS是起點但不是終點，EPSS告訴你機率，而KEV則代表緊急性，同時企業也必須考量自身環境。詳全文

'

Apple修補30餘項iOS、macOS與Safari漏洞，部分WebKit瀏覽器漏洞由AI工具協助發現

來源：https://www.ithome.com.tw/news/177010

Apple於6月29日發布多項資安更新公告，針對iOS、iPadOS、macOS與Safari修補超過30項漏洞，其中部分WebKit瀏覽器引擎漏洞是研究人員藉由AI工具協助發現，包括Anthropic Claude與OpenAI Codex Security等，顯示AI於軟體漏洞研究領域的應用逐漸深入。使用前述Apple裝置的用戶，應儘速升級至已修補完成的iOS/iPadOS 26.5.2、macOS Tahoe 26.5.2與Safari 26.5.2等版本。

這次更新集中於WebKit相關漏洞，共超過20項，涵蓋Safari以及多項採用WebKit的Apple產品，其中最受矚目的，是研究人員藉助AI工具發現的4項漏洞，包括CVE-2026-43707、CVE-2026-43715、CVE-2026-43716與CVE-2026-43745，多屬於記憶體安全問題，如記憶體損毀（Memory Corruption）、記憶體已釋放卻仍被使用（UAF），越界寫入（Out-of-Bounds Write）等，其中CVSS嚴重性評分最高的是CVE-2026-43715，CVSS評分達8.8分。

除WebKit外，Apple這次更新中，較值得注意的還包括部分iOS/iPadOS、macOS等作業系統核心相關漏洞，例如CVSS評分達9.1分，可能導致系統異常中止的CVE-2026-39868，還有CVSS評分7.8分，可能導致核心記憶體寫入的CVE-2026-43724等。

'

勒索軟體Blackfield聲稱攻擊散熱解決方案廠商尼得科超眾，向日本母公司勒索200萬美元

來源：https://www.ithome.com.tw/news/177009

6月22日晚間上市公司尼得科超眾於股市公開觀測站發布重大訊息，表示部分伺服器遭勒索軟體攻擊，導致部分資訊系統無法正常運作，其中包括了ERP。日本母公司尼得科（原日本電產）於24日證實此事，強調尼得科超眾的網路系統建置並獨立於集團之外，母公司與集團其他公司未受波及，亦未有個資或機密資訊外流的情形。如今有駭客組織聲稱犯案，並要求尼得科限期進行談判。

根據資安新聞網站Bleeping Computer報導，勒索軟體Blackfield宣稱這起事故是他們所為，將Nidec Chaun Choung Technology（ccic.com.tw）列於受害者網站，並表示已竊得超過2 TB資料，要求尼得科在15天內向他們聯繫，否則他們就會出售或公開竊得資料。駭客在網頁上也開出價碼，任何人想要下載這批資料，需支付40萬美元，若要駭客刪除資料，則要支付200萬美元。想要駭客將期限延長，一天的代價是5,000美元。駭客上傳了這批資料的目錄結構，以供買家參考。不過，該新聞網站無法確認資料的真實性。

值得留意的是，這並非尼得科集團首度遭到勒索軟體攻擊。2024年10月，該集團的越南分公司Nidec Precision資料外洩，勒索軟體8Base和Everest聲稱竊得逾5萬筆敏感資料。

'

Google關閉Tenor API，第三方GIF搜尋生態重新洗牌

來源：https://www.ithome.com.tw/news/177008

【加速生成式AI發展的下一個關鍵力量】向量資料庫與儲存系統的崛起

'

Google推出成本降價一半的Nano Banana 2 Lite、預覽多模態影片生成模型Gemini Omni Flash

來源：https://www.ithome.com.tw/news/177007

Google週二（6/30）公布方便快速生成與編輯圖片的低成本Nano Banana 2 Lite版本模型，並將低成本影片生成與編輯模型Gemini Omni Flash提供給開發人員預覽。

Nano Banana 2 Lite是Nano Banana家族最新系列，是本系列最低成本的模型，主打輕巧、高產出量、快速生成。Gemini Omni Flash則是在Google I/O時公布的多模態推理結合影片生成和編輯模型。本週Google已將Nano Banana 2 Lite及Gemini Omni Flash預覽版提供給開發人員及消費者。

Nano Banana 2 Lite，模型版本為gemini-3.1-flash-lite-image，專門用於預算有限及講求快速設計與開發的任務。Google宣稱，Nano Banana 2 Lite 4秒就能由文字輸入生成圖片。而且它也是Nano Banana家族收費最低的，每1K解析度圖片生成費用為0.034美元，API費率為輸入／輸出為百萬token為0.25/1.50美元，是Nano Banana 2的一半。對於開發人員，Google建議可用它來取代第一代Nano Banana（gemini-2.5-flash-image）。

Nano Banana 2 Lite即日起已提供給Google AI Studio、Gemini API和Gemini Enterprise Agent平臺。同時也推向消費性Google服務，包括Google搜尋的AI Mode、Gemini App等產品，免費版用戶也可使用。

Gemini Omni Flash

Gemini Omni Flash模型整合多模態推理及影片生成、編輯功能。它讓使用者自然語言輸入文字、並上傳圖片、影片來生成及編輯影片，目前可生成10秒影片，但未來會再加長。透過簡單的提示，Omni Flash能隨著影片進行同步化文字和圖片，此外Omni還能在生成影片時，援引Gemini對真實世界的知識，包括歷史、生物和敍述邏輯，以便生成合理而逼真的影片。Gemini Omni Flash將用以取代Veo模型。

Gemini Omni Flash模型版本為gemini-omni-flash-preview，現已透過Gemini API和Google AI Studio釋出給開發人員。它也可在消費應用如Google Flow和Gemini app付費方案（Google AI Plus/Pro/Ultra）提供。Gemini Omni Flash API存取費用為輸入為每百萬token 1.5美元，涵括文字、圖片和音訊。輸出為百萬token 9/17.5（文字／圖片）美元。Google說，換算起來，Gemini Omni Flash每秒生成的影片約0.10美元，大約僅為Veo 3.1 Fast的水準。免費方案無法使用。圖片來源/Google

'