研究揭LLM攻擊新手法HalluSquatting，可誘使AI程式開發助理安裝惡意程式

來源：https://www.ithome.com.tw/news/177230

以色列特拉維夫大學（Tel Aviv University）等研究人員揭露一種名為HalluSquatting的新型大型語言模型（LLM）攻擊手法。攻擊者可先找出LLM在查找儲存庫、AI代理技能（skill）等外部資源時容易編造出的錯誤名稱，搶先註冊這些名稱，藉此建立假資源，並植入對抗性提示內容；一旦AI程式開發助理拉取這些假資源，就可能執行攻擊者控制的指令。

HalluSquatting攻擊結合LLM幻覺與間接提示注入。當使用者要求AI程式開發助理複製熱門儲存庫或安裝AI代理技能時，若LLM找不到正確資源位置，就可能拉取攻擊者搶註的假資源。由於許多代理式AI應用與AI程式開發助理內建終端機，可在使用者環境執行指令，假資源中的對抗性提示內容可能被AI工具納入後續執行流程，觸發工具呼叫，使AI助理執行攻擊者指定的動作，例如在受害裝置上安裝殭屍網路惡意程式。

研究人員測試多款代理式LLM應用程式，驗證這項攻擊可導致遠端工具執行與遠端程式碼執行（RCE）。受測工具包括Cursor、Cursor CLI、Windsurf、GitHub Copilot、Cline、Gemini CLI，以及OpenClaw、ZeroClaw、NanoClaw等AI助理。研究團隊指出，在複製（clone）儲存庫的情境中，模型產生錯誤資源名稱的比例最高可達85%；在安裝AI代理技能資源的情境中，最高可達100%。

研究人員認為，這類手法不需要仰賴弱密碼或蠕蟲式擴散，也可能被用於建立大規模殭屍網路，建議開發者要求AI代理在複製、拉取或安裝外部資源前，先執行明確的搜尋與驗證步驟，並檢查代理產生的執行計畫。企業與開發者也應避免讓AI代理在缺乏人工確認的情況下自動執行指令；導入外部儲存庫、套件或技能資源前，也應確認名稱是否對應到原始專案與可信維護者。

'

OpenAI獲准全面推出GPT-5.6系列，登上GitHub Copilot、M365 Copilot

來源：https://www.ithome.com.tw/news/177229

在預覽最新GPT-5.6模型系列近二周後，OpenAI獲得美國政府許可，周五（7/10）宣布將GPT-5.6旗艦模型Sol及Terra、Luna模型全面推上線，包括合作的GitHub與Microsoft 365 Copilot助理。

GPT-5.6號稱能兼顧智能和運作效率，在程式撰寫、知識工作、生命科學及網路安全領域都達到領先（state-of-the-art）等級，在不同領域超越前代模型，或Google Gemini與Anthropic Claude Mythos。OpenAI還新增ultra模式，可運用多個子代理人加速複雜任務的進行。

超越Claude Fable 5

OpenAI說，Sol具備強大電腦使用及設計判斷能力，是最精良的協同者，可監控代理人執行成果、加以改善、並提供給使用者。根據OpenAI提供的數據，在長程專業工作流程標竿測試Agent's Last Exam適應性推論項目中，Sol以53.6%超越Anthropic最強的Claude Fable 5 13.1%。此外OpenAI強調GPT-5.6眾模型推理成本也都低於Fable 5。而在涵括工作、程式、科學推理及一般能力上，Sol最強推理差對手不到1分，但時間及成本分別少了61%及一半。

部署

GPT-5.6將在24小時內陸續部署給免費及付費用戶，但享有不同等級功能。免費層級用戶可在ChatGPT新推的Work與Codex存取GPT-5.6 Terra，也可以手動開啟「max」選項，提升Terra的推理能力。但這二方案皆無法在ChatGPT的標準對話中使用最高階的Sol系列旗艦模型。

對付費方案Plus、Pro方案用戶而言，新模型即日起隨全球陸續上線。標準ChatGPT對話方面，Plus與Pro用戶可以透過調整推理投入（Effort）設定調用Sol。模型選擇器中會顯示為Medium（標準）、High（延伸）和Extra High（最高）。系統預設日常回覆仍會使用GPT-5.5 Instant，但若遇到複雜任務，ChatGPT的智慧切換功能會自動切換至GPT-5.6 Sol (Medium)來進行深度思考。

ChatGPT Work與Codex工作區方面，Plus與Pro用戶擁有完整選擇權，可任意在Sol、Terra、Luna三個模型之間切換、自由調整推理Effort等級，並可開啟max推理設定。付費用戶（Plus/Pro）於Codex程式開發環境可直接開啟ultra推理等級進行高階自動化編碼。

最高階的Pro方案及Enterprise用戶享有直接選用GPT-5.6 Sol Pro模型的權利，可用於處理極度困難的跨領域任務、高難度程式編碼、資安弱點分析及長時間運行的自動化工作流（Longer-running workflows）。Pro/Enterprise用戶除了在Codex中，也可於ChatGPT Work額外解鎖ultra推理等級，進一步存取模型的思考能力。（其餘Plus等個人方案在Work中僅能使用max）

GitHub Copilot、M365 Copilot

GPT-5.6同時也在GitHub Copilot及Microsoft 365 (M365)Copilot上線。GitHub開發者用戶可在Visual Studio Code、Visual Studio、Copilot CLI、GitHub Copilot cloud agent、GitHub Copilot App、github.com、GitHub iOS與Android App、JetBrains、Xcode、Eclipse的模型選擇器中選用新模型。GPT-5.6也成為M365應用包括Word、Excel、PowerPoint、Chat和Cowork的優先使用模型。

'

金融詐欺攻擊利用ClickFix手法散布SCMBANKER工具包

來源：https://www.ithome.com.tw/news/177227

社交工程手法ClickFix過去常被用於散布竊資軟體與遠端存取木馬，如今也被攻擊者用於金融詐欺。

資安業者Elastic旗下威脅研究團隊揭露代號REF6045的攻擊行動，指出這波攻擊鎖定墨西哥金融服務使用者。攻擊者架設假CAPTCHA驗證頁面，要求使用者完成額外步驟，藉此引導對方將惡意命令貼到Windows的「執行」對話方塊。命令執行後，批次指令碼會開啟假Windows更新畫面作為掩護，並透過Windows內建命令列工具bitsadmin下載SCMBANKER相關元件，再利用Windows登錄機碼Run Key與啟動資料夾（Startup Folder）建立開機自動執行機制，使惡意程式在系統重開機後繼續運作。

圖片來源/Elastic

SCMBANKER植入後，會監看受害者是否開啟網銀或金融服務網站；一旦發現相關活動，攻擊者即可啟用螢幕擷取、剪貼簿竄改與瀏覽器重新導向等功能，將受害者帶往釣魚網站，或替換交易帳號資訊，藉此攔截金融交易。

在偵測與防護方面，研究人員建議企業留意端點是否出現可疑PowerShell命令執行、bitsadmin下載行為、異常處理程序啟動，或登錄機碼遭寫入可疑字串等跡象。企業也應加強員工警覺，提醒使用者避免依照網站指示，在Windows執行對話方塊貼上並執行不明PowerShell或cmd命令。

'

OpenAI升級ChatGPT桌面程式，ChatGPT Atlas瀏覽器將退場

來源：https://www.ithome.com.tw/news/177228

OpenAI周四（7/9）宣布升級ChatGPT桌面程式，新版整合原本獨立的Codex程式開發工具，也內建了瀏覽器與電腦操作等功能，並將逐步淘汰去年10月推出的瀏覽器ChatGPT Atlas。根據The Verge的報導，ChatGPT Atlas預計會在8月9日停止運作。

ChatGPT桌面程式最早是在2024年5月隨著GPT-4o的發表推出macOS版，同年10月再推出Windows版。初期ChatGPT桌面版主要讓使用者可快速叫出ChatGPT，支援文字與語音對話、上傳檔案、擷取螢幕畫面，以及直接針對截圖內容提問，之後也陸續強化與桌面應用程式及外部工具整合的能力。

新版ChatGPT桌面程式首先整合原本獨立的Codex App，讓使用者可在同一個程式中使用一般ChatGPT、Codex，以及新發表的AI代理人ChatGPT Work，不必再分別開啟不同應用程式。

它還新增內建瀏覽器，可直接開啟網站、使用網頁工具，並處理Google Workspace與Microsoft 365等線上文件。

此外，新版加入更完整的電腦操作能力，可在背景跨應用程式、工具與瀏覽器執行點擊、輸入及搬移檔案等動作。舊版雖已能讀取部分桌面應用程式內容，但新版進一步讓ChatGPT實際操作電腦並完成跨應用程式的工作流程。

當初OpenAI推出ChatGPT Atlas，希望以ChatGPT為核心重新設計瀏覽器，讓AI能理解使用者正在瀏覽的網頁內容，並直接摘要資訊、填寫表單或代為執行網路任務。如今OpenAI決定將瀏覽器及網頁操作能力整合至桌面版ChatGPT，獨立的ChatGPT Atlas也將隨之退場。

'

GuardFall攻擊鎖定開源AI程式開發代理，可繞過Shell命令防護

來源：https://www.ithome.com.tw/news/177226

AI安全業者Adversa AI於6月30日揭露名為GuardFall的攻擊手法。研究指出，多款開源AI程式開發代理與電腦操作型AI代理在執行Shell命令前，安全檢查主要仰賴原始命令字串比對或阻擋清單，攻擊者可利用Bash等命令列直譯器（Shell）的特性，在實際執行命令前，先展開變數、移除引號並重新解析命令，避開代理程式檢查，讓惡意命令以開發者帳號權限，在開發者主機或CI環境執行。

這項研究測試opencode、Goose、Cline等11款熱門開源AI程式開發代理與電腦操作型代理。結果顯示，除Continue外，有10款工具在代理程式將命令交由Bash等命令列直譯器執行的流程中，分別存在防護可被繞過、缺乏靜態命令檢查機制，或切換本機模式後失去容器沙箱保護等問題；僅Continue在預設IDE模式下採用較完整的命令解析與安全檢查機制。

不過，GuardFall攻擊並非在所有情境下都會成立，攻擊鏈仍取決於AI模型是否會將惡意內容視為一般開發任務並產生Shell命令，以及代理程式是否允許在缺乏人工確認的情況下自動執行命令。若攻擊成功，可能危及開發者主機上的SSH金鑰、雲端憑證，以及CI環境中的部署金鑰、套件登錄平臺的憑證等敏感資料。

對此，Adversa AI建議開發團隊可先關閉--auto-exec、--auto-run、--auto-test等自動執行旗標或功能，避免AI代理在自動執行模式下處理拉取請求（pull request）中的未受信任內容。長期而言，AI代理不應只依賴阻擋清單，而應在命令交給Shell執行前，完成完整的命令解析與安全檢查。

'

歐盟推AI資安行動計畫，強化模型安全評估與網路韌性

來源：https://www.ithome.com.tw/news/177225

隨著AI加速導入各產業與公共服務，歐盟執委會（Europea n Commission）發布「AI與資安行動計畫」（EU Action Plan on Cybersecurity and Artificial Intelligence），希望提升歐洲整體網路防護能力， 同時降低AI遭攻擊者濫用的風險。

這項行動計畫列出3大方向，包括安全且負責任地使用先進AI、 提升歐盟網路防護與復原能力，以及擴大AI在漏洞分析、 威脅偵測與事件應變等資安工作的應用。

歐盟將依據《AI法案》（AI Act）強化AI模型進入歐盟市場前的安全評估機制， 並與歐盟網路安全局（European Union Agency for Cybersecurity，ENISA）合作，建立先進AI系 統用於資安目的之安全存取應用藍圖，並設置安全測試平臺， 協助能源、交通、衛生醫療、金融與公共行政等關鍵領域組織， 在安全測試環境中驗證並導入AI資安方案。

'

OpenAI推出ChatGPT Work，AI代理人可跨應用程式自主完成多步驟工作

來源：https://www.ithome.com.tw/news/177224

OpenAI周四（7/9）推出ChatGPT Work，將ChatGPT從對話工具擴展為可執行多步驟任務的AI代理人。ChatGPT Work可跨應用程式與檔案蒐集資訊，自主規畫並執行工作流程，定位類似Anthropic的Claude Cowork，主要鎖定企業與知識工作者市場。

當使用者交付任務後，ChatGPT Work會尋找所需資料、讀取已連接的企業工具與檔案、拆解執行步驟，並產出文件、簡報或試算表等成果，必要時可持續執行數小時。相較於一般聊天模式，ChatGPT Work可自行規畫並執行完整工作流程，使用者則可查看進度、補充資訊、調整方向及核准重要動作。

ChatGPT Work可透過Connectors連接Slack、Microsoft Teams、Google Drive、SharePoint、Salesforce、電子郵件及行事曆等工具，自動擷取並整合企業資料。使用者也可利用排程任務，要求ChatGPT定期監控網站更新、整理Slack訊息、彙整客戶回饋或更新簡報，讓工作在背景持續進行。

ChatGPT Work採用最新的GPT-5.6模型，同時支援ChatGPT網頁版、行動版與桌面版，率先向Pro、Enterprise及Edu方案用戶開放，並將於未來幾天擴及Plus及Business方案。其中，桌面版可結合本機檔案、應用程式及內建瀏覽器，提供更完整的工作能力。圖片來源/OpenAI

'

研究人員展示workflow層級的提示注入手法，繞過護欄讓GitHub Copilot撰寫惡意程式

來源：https://www.ithome.com.tw/news/177223

隨著AI模型加入安全護欄，已減少提示注入攻擊的可能性。但研究人員發展出新提示注入手法，將攻擊行為拆成一組工作流（workflow），成功讓GitHub Copilot撰寫出惡意程式碼。

研究人員Abhishek Kumar與Carsten Maple將其手法稱為工作流層級越獄建構（workflow-level jailbreak construction）。這種攻擊法是將一個惡意攻擊指令，切成看似一般軟體開發流程的多個階段，這些階段一旦組合起來，就能對GitHub Copilot起作用，按研究人員意思撰寫攻擊程式碼。

在測試對象方面，研究人員以Visual Studio Code的GitHub Copilot為代理人，後端模型使用4個閉源模型，包括Claude Sonnet 4、Claude Haiku 4.5、Gemini 3.1 Pro和Gemini 3.5 Flash。在聊天介面、CSV讀取及一步程式修補（single-step code-fix）三種情境下輸入204個惡意提示，直接要求Copilot寫有害程式碼，4個模型產生的816個回應幾乎（8/816）都予以拒絕。

研究人員的工作流階層越獄建構中，則是以多個步驟要求GitHub Copilot建立「評估其他模型被惡意提示突破」的標竿測試管線程式（benchmark pipeline）專案。GitHub Copilot首先載入自動化紅隊演練的標準評估框架HarmBench，建立名為ASR的程式。接著，研究人員稱ASR得分太低，要求Copilot自動編寫包含提示／回應的「教學範例」（Teaching Shots），以便改善評估程式。Copilot以為自己正在執行軟工專案任務，於是當它寫出了「範例」的同時，也寫出了能突破其他模型的有害程式，落入研究人員圈套。以新方法，GitHub Copilot搭配4個模型輸出的816個回應中，全部都提供了不安全的程式碼。

研究人員結論道，測試結果顯示，對話式拒絕標竿測試（conversational refusal benchmark）可能高估了程式開發代理人的安全性，程式開發代理人的安全必須在工作流層級來評估和執行。因此，未來防護也不能只監控提示和聊天回應，還必須監控IDE開發流程中，生成的檔案、腳本程式、範例、日誌、和當中生成的過渡性物件。

'

HP Deskjet 2800印表機韌體漏洞可讓駭客竊取憑證及配置資訊，HP尚未修補

來源：https://www.ithome.com.tw/news/177222

CERT/CC協調中心警告，HP家用多功能事務機Deskjet 2800系列傳出韌體存在缺少授權的漏洞CVE-2026-13753，可讓攻擊者可能取得Wi-Fi憑證、管理配置及其他敏感資訊。目前HP尚未修補。

HP現代化的印表機都提供Web管理介面，可讓使用者遠端存取以設定Wi-Fi Direct設定、SNMP管理、及裝置安全選項。正常情況下，存取Web管理頁面需要輸入管理員憑證，才會顯示敏感資訊。但在Deskjet 2800系列的問題版本韌體中，攻擊者可以對多個後端API端點直接傳送非經驗證的GET請求，這些端點並未檢查執行階段的狀態或驗證，就回傳了配置資料如Wi-Fi Direct SSID和明文密碼短語（passphrase）、印表機專有序號或服務ID、裝置管理員密碼狀態等。CERT/CC指出，這些資訊甚至在已執行驗證的Web介面都被曝露出來，顯示是API層的授權漏洞。

CVE-2026-13753讓遠端攻擊者得以繞過Web介面的驗證要求，並從後端API直接擷取敏感的配置資料。外洩的資料包括Wi-Fi憑證、SNMP配置資訊、裝置身份資訊、雲端服務註冊metadata、及其他和裝置管理安全狀態相關的資料。攻擊者可利用這些資訊，非法存取Wi-Fi網路、執行網路或雲端整合的偵察、冒充合法裝置或協助列印環境的進一步攻擊。

這項漏洞風險值7.5，影響韌體版本TBP1CN2612AR及之前版本。

CERT/CC尚無法聯繫到HP解決漏洞，這表示尚無韌體修補程式。研究人員建議用戶將印表機放在受信賴或隔離的網路區段，關閉不必要的Wi-Fi Direct，僅允許受信賴網路的SNMP存取，或是完全關閉。並且使用防火牆或存取控制表（access-control list）規則防範非信任主機存取印表機的管理通訊埠，不必要的發現或雲端服務功能應加以關閉。

'

GitHub前執行長創辦Entire，推分散式Git託管網路分流AI代理讀取負載

來源：https://www.ithome.com.tw/news/177220

GitHub前執行長Thomas Dohmke的新創公司Entire，推出分散式Git託管網路，讓使用者可將GitHub上的公開或私有程式碼儲存庫，鏡像到Entire位於不同區域的節點。AI程式代理不必都向原本的GitHub儲存庫大量讀取資料，而可從較近的Entire節點下載程式碼與拉取更新，降低原始儲存庫在高並行存取下的負載。

Entire指出，Git原本就是分散式版本控制系統，每一份完整下載的儲存庫，都包含程式碼與歷史紀錄。不過，多數開發團隊仍集中使用GitHub這類託管平臺，過去由人類開發者操作時，通常是下載一次儲存庫、在本機工作一段時間後，再偶爾推送變更，但AI代理加入開發流程後，可能在短時間內同時發出大量請求，使原始儲存庫碰到流量限制，也暴露集中式服務的失效風險。

因此Entire透過在GitHub儲存庫之外建立區域鏡像，讓開發者仍可維持原本的GitHub工作流程，AI代理則可改從Entire節點讀取資料。不過，Entire鏡像主要處理的是大量讀取流量，當開發者或AI代理要把變更推送到會同步回GitHub的分支，速度仍受GitHub端處理能力限制。Entire也支援Entire原生分支，可讓特定分支留在區域節點內處理，用來承接較大量的自動化寫入工作。

在架構上，Entire以全域控制層處理身分、存取權限與資料放置位置，實際程式碼內容則存放在各區域資料層。使用者或組織可以指定儲存庫鏡像所在區域，讓程式碼讀取更接近實際運算位置，也避免所有代理請求都集中回到同一個原始儲存庫。

Entire分散式Git託管網路首波開放給既有Entire使用者，初期區域為美國、歐洲與澳洲。新使用者目前採等待名單，Entire表示會依流量與系統負載逐步放行。使用者需安裝Entire GitHub App並授權儲存庫，再透過Entire命令列工具建立鏡像，之後即可從指定區域節點下載儲存庫。

Entire也釋出開源工具ForgeMark，用來測試Git服務在大量AI代理操作模式下，處理並行git-push的吞吐量與延遲。Entire後續計畫支援在其網路上直接託管公開與私有儲存庫，並將Git後端開源，支援使用者自架節點。

'