Amazon揭露數位永續三大策略：打造高效率雲端、把雲端變減碳工具、發展永續IT

來源：https://www.ithome.com.tw/news/177302

隨著生成式AI帶動全球雲端基礎建設快速擴張，Amazo近期發表2025年永續報告，揭露其數位永續策略，聚焦於更高效率的雲端基礎設施、將雲端視為企業減碳工具，以及發展永續IT管理能力。不過，受到資料中心大規模擴建及供應鏈活動增加影響，該公司2025年整體碳排放仍較前一年增加16%，反映AI時代下基礎建設快速成長帶來新的永續挑戰。

提升雲端基礎設施效率

身為雲端巨頭，Amazon直言，2025年其新增的資料中心容量比任何其他公司都多，光是在去年第四季就增加超過1.2GW容量，因此提升AWS資料中心的效率被視為首要策略。

報告指出，AWS資料中心持續優化能源與水資源使用效率，例如全球平均電力使用效率（PUE）達1.14，比公有雲平均高9%效率，也比企業自建資料中心高約30%效率，透過空氣冷卻、再生水利用及冷卻系統優化，提升資料中心用水效率，降低每單位運算所需的能源與水資源。

除了提升資料中心本身的營運效率，該公司也持續擴大碳自由能源(Carbon-free energy)布局。截至2025年底，Amazon在全球建置712個碳自由能源專案，涵蓋太陽能、風力、核能及地熱等能源來源，希望以此支撐AI與雲端服務快速成長所帶來的龐大電力需求，同時降低資料中心的碳排放強度。

除了能源採購與資料中心設計，Amazon也從運算硬體、軟體最佳化及冷卻架構三個層面提升雲端基礎設施效率，以降低AI工作負載快速成長帶來的能源消耗。

在硬體層面，Amazon持續發展自研AI晶片，包括用於AI訓練的Trainium系列與推論用途的Inferentia系列。其中新一代Trainium3採用先進製程與系統設計，相較前一代Trainium2，提供最高4倍的訓練效能提升，並改善每瓦運算效率，協助企業在執行大型AI模型訓練時，以較低能源成本取得更高運算能力。

Amazon認為，專用AI晶片能透過針對雲端AI工作負載最佳化的硬體架構，提高能源使用效率，降低單位運算所需的電力消耗。

在軟體與系統管理方面，Amazon也透過軟體最佳化提升資料中心資源利用率，包括改善伺服器使用效率、最佳化工作負載配置，以及透過自有網路元件提升資料傳輸效率，減少閒置運算資源造成的能源浪費。

在Amazon的資料中心，約有9成的時間使用自然氣冷，即引進室外的空氣，送入資料中心內的伺服器吸收熱量，僅有約1成使用水冷。

因應AI伺服器功耗持續增加，Amazon擴大部署可配置式的Liquid-to-Chip晶片液冷技術，相較於傳統冷卻整個資料中心的作法，Liquid-to-Chip將冷卻能力直接送至產生熱量的晶片位置，換言之，更精準的將冷卻送到晶片層級。Amazon表示，該技術正從新建資料中心延伸至既有設施，在尖峰冷卻期間，最多可降低50%的機械冷卻能耗，同時不會增加每MW運算容量的用水量。

透過自研晶片、軟體最佳化與晶片液冷等技術整合，Amazon希望提升AI資料中心每單位運算的能源效率，在支撐生成式AI需求成長的同時，降低基礎設施擴張對環境造成的影響。

將雲端視為企業IT減碳的重要工具

除了改善自身基礎設施，Amazon也將雲端視為企業數位轉型與減碳的重要手段。

報告指出，相較於企業自建資料中心，AWS透過大型共享基礎設施、更高的伺服器利用率及集中式能源管理，可降低每單位運算的能源消耗。因此，企業將工作負載遷移至雲端，不只取得雲端彈性與擴充能力，也有助於降低IT基礎設施的環境衝擊。

Amazon也強調通過Customer Carbon Footprint Tool等工具，協助企業掌握雲端工作負載所產生的碳排放，作為ESG揭露、碳管理及減碳規畫的依據，將永續能力延伸至企業IT管理層面。

運用AI提升整體營運效率

Amazon的永續IT策略並不僅限於AWS的資料中心基礎建設，還延伸至整體營運流程。

例如在在電商營運方面，他們透過AI、資料分析及自動化技術，來改善物流配送、包裝設計及供應鏈效率，例如最佳化配送路徑、減少包裝材料使用、提升包裝自動化，以及擴大可回收紙材應用，希望降低商品配送過程中的資源消耗與碳排放。

Amazon坦言，在AI需求持續推升雲端基礎建設投資下，2025年整體碳排放仍增加16%，主因為資料中心基礎建設的大規模擴建，以及相關供應鏈活動增加，包括建築施工、設備製造及採購等排放。不過，該公司也強調，自2019年以來，業務規模持續成長，但碳排放強度已下降38%，意謂著透過提升基礎設施效率與能源管理，降低每單位營運帶來的環境衝擊。

'

竊資軟體CrashStealer鎖定macOS用戶，偽裝Apple當機回報工具竊取資料

來源：https://www.ithome.com.tw/news/177303

資安業者Jamf揭露新型macOS竊資軟體CrashStealer，藉由偽裝成macOS內建當機回報工具Crash Reporter，誘騙使用者執行惡意程式並輸入系統密碼，進而竊取敏感資料。研究人員從五月開始追蹤這款惡意軟體，當時似乎仍在開發階段，但在七月初觀察到該軟體已被實際用於攻擊。

Jamf表示CrashStealer的特點是盡可能模仿Apple的合法工具，本身包裝為macOS的當機回報工具元件CrashReporter.app，並透過內含Apple有效程式碼簽章的安裝程式Werkbit Setup來散播與安裝，藉此繞過macOS內建反惡意軟體Gatekeeper的偵測。當受害者執行後，該惡意軟體會顯示偽造的macOS密碼提示視窗，受害者輸入密碼後，惡意軟體便能解開與存取macOS上的「鑰匙圈」（Keychain）密碼管理系統，其中包含本機金鑰，以及Safari瀏覽器與其它應用程式的登入資訊。

此外，CrashStealer瞄準的資料竊取目標，還包括Chromium與Firefox瀏覽器憑證與Cookie、80種加密貨幣錢包、14種密碼管理器，以及Documents與Download等目錄下的受害者檔案等，竊得的資料會經由AES-256-GCM加密與壓縮，再利用傳輸工具libcurl上傳到攻擊者控制的伺服器。

'

韓國友利銀行爆發1.7萬名客戶個資外洩，起因為再委外業者員工擅自保存資料並上傳至開發者平臺

來源：https://www.ithome.com.tw/news/177296

任何產業發生委外供應鏈資安事故都受關注，金融業也不例外，近日韓國友利銀行（Woori Bank）於2026年7月3日向客戶發布公告說明，由於外部開發商員工的作業疏失，導致該行約1.7萬名客戶的個人資訊發生外洩。曾處理該行NFT平臺使用者個資的再委外業者（재수탁사）Blocko，隨後也承認因內部員工管理不當才引發此次事件。

根據韓聯社報導，友利銀行於6月30日晚間得知外洩事故後，立即展開調查行動，確認這批外洩資料源於兩年前執行的非同質化代幣（NFT）平臺建置專案，儘管該計畫早已終止，但仍有委外廠商員工違規私自留存資料，並將包含個資的文件連結上傳至開發者平臺。目前確認受影響人數為17,551人，外洩個資類別包含用戶別名，以及用於線上身分識別的加密資料「連結資訊（Connecting Information，CI）」。

同日，區塊鏈技術公司Blocko也發布相關事件的個資外洩公告，補充此次事件的具體時間軸。Blocko說明他們參與友利銀行在2024年9月23日至2025年2月22日期間的NFT平臺建置專案，曾處理該服務使用者的個人資料，並坦承一名員工於2025年9月左右不慎流出檔案連結，直到2026年6月30日Blocko察覺此異常情況後，已於第一時間通報銀行與個資保護委員會並採取應對行動。

'

日本最大計程車業者遭網路攻擊，電話派車與預約系統暫時停擺

來源：https://www.ithome.com.tw/news/177301

旗下擁有超過一萬部出租車的日本最大計程車業者日本交通（Nihon Kotsu），於7月13日證實內部系統遭外部未授權存取並感染惡意程式，為防止影響擴大，已立即關閉與隔離受影響系統，目前受影響的系統主要為電話派車、租車網路預約管理及部分內部系統，一般民眾仍可透過計程車叫車App「GO」預約該公司車輛，或直接於計程車站及路邊攔車搭乘。

該公司於7月11日凌晨發現系統異常，立即採取系統隔離等緊急措施，目前已與外部資安專家合作調查事件，尚未發現客戶資料或其他資訊遭外洩的跡象，接下來將持續分析系統日誌、釐清受影響範圍及事件原因，並表示若後續確認涉及個人資料外洩，將依相關法規通知受影響客戶並對外公布，同時提醒客戶注意冒充該公司的可疑信件與簡訊。

'

英歐聯手制裁俄羅斯駭客組織，13國同步發布防禦指南

來源：https://www.ithome.com.tw/news/177300

英國周一（7/13）宣布首度與歐盟聯手制裁涉及俄羅斯網路攻擊、資訊戰及混合式作戰的個人與實體，並正式把針對波蘭能源電網的網路攻擊歸因於俄羅斯聯邦安全局（FSB）第16中心（Centre 16）。同一天，英國國家網路安全中心（NCSC）也聯合12國18個資安機構發布防禦指南，協助關鍵基礎設施營運單位防範俄羅斯情報機構的網路攻擊。

英國與歐盟表示，俄羅斯政府長期透過情報機構、網路犯罪集團及代理組織，在歐洲從事網路攻擊、干預選舉、散布反烏克蘭假訊息及其他混合式作戰，企圖製造混亂與分裂。隨著俄羅斯持續對烏克蘭發動戰爭，俄羅斯情報機構也愈來愈依賴網路犯罪集團蒐集情報，支援其軍事及外交目標，因此英國與歐盟同步祭出制裁，打擊相關個人、實體及代理組織。

英國此次制裁24名個人與實體，包括指揮網路與混合威脅行動的俄羅斯軍事情報總局（GRU）高層、協助招募駭客的IMPULS公司、資訊竊取程式Lumma Stealer幕後人士，以及Rybar媒體公司的10名董事、高階主管與內容設計人員。歐盟則制裁9名個人與4個實體，鎖定俄羅斯情報人員、駭客、惡意主機服務商及網路攻擊組織，部分對象與英國名單重疊。

歐盟與英國也正式將2025年12月針對波蘭能源電網的網路攻擊歸因於FSB Centre 16。英國表示，這起攻擊雖未成功，但若得逞，可能導致約50萬名民眾在冬季失去電力供應，顯示俄羅斯正持續將歐洲關鍵基礎設施列為攻擊目標。

歐盟指出，FSB Centre 16控制包括Turla在內的多個駭客組織，長期對歐盟各國政府及關鍵基礎設施發動攻擊。Turla自2010年起就在法國從事政府網路間諜活動，還在2025年攻擊法國國防產業。

同一天，NCSC亦與其它12國的18個資安機構共同發布聯合網路安全公告《Improve Router Hygiene to Protect Against Russian State-Sponsored Targeting》，揭露FSB Centre 16持續利用設定不當或存在已知漏洞的路由器，攻擊全球關鍵基礎設施。

NCSC指出，FSB Centre 16會透過網際網路掃描仍使用預設或弱密碼的路由器，也會利用思科（Cisco）設備、Cisco Smart Install（SMI）功能及網頁管理介面的已知漏洞，取得網路設備控制權。

相關攻擊主要鎖定通訊、國防、能源、金融服務、政府及醫療等關鍵基礎設施，並呼籲相關單位改用SNMPv3、停用舊版SNMP、為網路設備設定高強度且唯一的密碼，並限制管理介面的存取權限，以降低遭入侵風險。

與英國一起發布公告的12個國家為澳洲、加拿大、捷克、丹麥、愛沙尼亞、芬蘭、法國、義大利、紐西蘭、波蘭、瑞典及美國。

'

【資安日報】7月14日，勒索駭客組織Helix竊取SharePoint資料

來源：https://www.ithome.com.tw/news/177297

本日新聞焦點

● 資料勒索駭客Helix專門針對SharePoint存放的資料而來

● 中國駭客WP-ShellStorm攻擊企業Java應用系統的基礎設施

● 13國共同針對俄羅斯軍情單位旗下駭客攻擊行動提出警告

● 駭客以Vibe Coding打造作案工具滲透企業AD環境進行偵察

● 企業開放原始碼軟體供應鏈安全服務Lightwell正式推出

資安新聞總覽

駭客組織Helix鎖定SharePoint竊取資料，以此向企業索討贖金

近兩年不斷透過竊得資料向受害組織進行勒索的駭客組織ShinyHunters（UNC6661），近期傳出疑似衍生出新的團體，引起研究人員的注意。威脅情報公司ReliaQuest於7月10日揭露資料勒索團體Helix，結合語音網釣、裝置驗證碼釣魚，以及自動化SharePoint資料竊取手法，對多個企業組織展開攻擊。研究人員研判，Helix極可能是今年4月宣告解散的勒索集團BlackFile（UNC6671）分裂後的團體，其手法與惡名昭彰的勒索集團ShinyHunters也有交集。詳全文

新型釣魚平臺Forg365結合AI技術，鎖定M365帳號發動攻擊

資安公司ZeroBEC揭露新型釣魚即服務（PhaaS）平臺Forg365，鎖定Microsoft 365帳號發動釣魚攻擊。研究人員指出Forg365採訂閱制營運，並透過Telegram平臺提供銷售、支援及更新服務，其控制面板直接整合AI產生釣魚信件內容的功能，利用Amazon SES發送釣魚信件，並提供多種攻擊路徑，以及透過專用瀏覽器擴充套件協助維持長期存取能力，整體來說，是與今年稍早揭露的Kali365相似的成熟PhaaS平臺，結合多種已知攻擊手法，同時加入AI功能。詳全文

中國駭客團體WP-ShellStorm試圖針對企業的Java基礎設施發動攻擊

威脅情報公司SOCRadar發現中國駭客WP-ShellStorm公開曝露的伺服器，並指出駭客在攻擊WordPress網站之前，曾對企業組織採用的Java基礎設施下手，試圖掃描Apache Nacos、XXL-Job，以及Spring Boot，由於它們是許多微服務與金融科技基礎設施的骨幹，一旦遭到滲透，影響範圍將極為廣泛。基本上，Nacos的設定檔通常包含XXL-Job管理員的網址和存取權杖，若是攻擊者成功繞過Nacos的身分驗證流程，就能得到XXL-Job的有效管理員權杖，然後對執行個體的所有節點遠端執行任何程式碼。詳全文

中國、印度背景駭客分別鎖定巴基斯坦同一警察機關，陳情系統遭植入惡意程式

資安公司SentinelOne指出，與中國和印度相關的駭客團體，在2024年2月至2026年4月間，分別對巴基斯坦多個執法機關發動網路間諜攻擊，兩方都曾攻擊俾路支省（Balochistan）警察機關，該機關有多項IT資產受到影響，包含兩臺網路設備、多臺執行俾路支省警方網站應用程式的伺服器，以及1臺Fortinet FortiMail設備。由於這套系統同時供警察人員與民眾使用，攻擊者若感染警察人員的設備，可能以此作為入侵警察機關內部網路的跳板；若感染民眾設備，則可能監控曾透過該系統提出陳情的民眾。詳全文

CISA要求聯邦機構修補思科IOS平臺跨站偽造請求弱點

美國網路安全與基礎設施安全局（CISA）於7月13日指出，他們發現思科網路設備作業系統IOS的資安漏洞CVE-2008-4128遭積極利用，將其列入KEV並要求聯邦機構在7月16日前完成修補。此弱點存在於12.4版IOS平臺，為跨網站偽造請求（CSRF）類型的漏洞，存在於HTTP Administration元件，攻擊者可發送如show privilege、alias exec等特定請求到指定URI觸發，從而遠端執行任意命令，CVSS風險評為4.3分，為中度風險等級。詳全文

俄羅斯國家級駭客攻擊關鍵基礎設施，13國呼籲強化路由器防護因應

美國國家安全局（NSA）、CISA、FBI，與澳洲、紐西蘭、英國、捷克、丹麥等12個國家的資安機構與軍情單位聯手提出警告，俄羅斯聯邦安全局（FSB）第16單位（Center 16）旗下的多個駭客團體，持續鎖定全球組態設定不佳或存在弱點的網路設備，破壞多個關鍵基礎設施的網路環境，對此，執法機關呼籲關鍵基礎設施業者採取行動因應，包括實作第3代SNMP通訊協定（SNMP v3）、使用高強度的安全密碼、停用Cisco Smart Install功能，並於防火牆封鎖SNMP、TFTP、SMI等通訊協定。詳全文

英歐聯手制裁俄羅斯駭客組織

英國7月13日宣布與歐盟聯手，制裁涉及俄羅斯網路攻擊、資訊戰及混合式作戰的個人與實體，並正式認定波蘭能源電網的攻擊事故由俄羅斯聯邦安全局（FSB）第16單位（Centre 16）主使。此次英國制裁24名個人與實體，包括指揮網路與混合威脅行動的俄羅斯軍事情報總局（GRU）高層、協助招募駭客的IMPULS公司、竊資軟體Lumma Stealer幕後人士，以及Rybar媒體公司的10名董事、高階主管與內容設計人員。詳全文

韓國Kakao Pay違法跨境傳輸個資案延燒，警方發動突擊搜查

韓國最大行動支付平臺Kakao Pay在2024年被爆出違法傳送個資事件，Kakao Pay自2018年至2024年5月，在未經用戶明確同意的情況下，竟將全體用戶個資每日傳輸至支付寶新加坡電子商務公司，韓國個人資訊保護委員會（PIPC）今年1月宣布，Kakao Pay違反個資法跨境傳輸規定，處以59億6,800萬韓元行政罰鍰，如今有新進展。最近韓國多家媒體報導指出，當地警方自7月6日突擊搜查Kakao Pay總部，進行為期兩天的搜查和扣押行動。詳全文

Android木馬RedHook出現新變種，濫用ADB無線偵錯取得Shell層級權限

2025年7月現身的Android遠端存取木馬（RAT）RedHook，近期擴大活動範圍並推出新版本。威脅情報公司Group-IB指出，攻擊者濫用Android偵錯橋接器（Android Debug Bridge，ADB）的無線偵錯功能，讓RedHook取得Shell層級權限，進一步安裝或移除應用程式、修改安全設定，並為自身授予敏感權限。由於這類攻擊會仿冒政府機關與金融服務網站，研究人員建議金融機構監控使用者連線階段，及早發現裝置感染惡意程式或連線行為異常，並持續追蹤仿冒網站及品牌遭冒用情況。詳全文

駭客利用Vibe Coding開發惡意工具，入侵Active Directory環境收集用戶資訊

威脅情報公司Huntress揭露利用AI輔助開發惡意工具的攻擊事件，攻擊者透過直覺式程式開發（Vibe Coding）方式產生PowerShell指令碼，用於收集企業Active Directory（AD）環境資訊，顯示生成式AI正被攻擊者濫用於製作客製化的攻擊工具，儘管這些惡意工具的程式碼可能雜亂無章，但仍能構成實在的威脅，也增加傳統特徵碼偵測的難度，防禦者必須採取行為分析來捕捉其惡意行為。Huntress發現明顯的AI生成特徵，包括過度設計、同時使用多種備用方法來尋找網域控制器等。詳全文

Datadog揭露GitHub API偵察行動，幽靈帳號長期掃描企業儲存庫

資安公司Datadog揭露多起濫用GitHub API的偵察行動，駭客利用建立多年的幽靈（Ghost）帳號，系統性蒐集企業GitHub組織、儲存庫及使用者資訊，以建立企業GitHub組織、開發人員及專案之間的關連；部分行動另使用外洩的OAuth權杖與個人存取權杖（PAT），已有成功複製私有儲存庫的情形。自2025年10月以來，Datadog已觀察到超過50個幽靈帳號參與這類偵察活動，這些帳號多建立於2至5年前，長期閒置後突然開始針對多家企業大量發送API請求，通常持續1至3周後再停止活動。詳全文

金融詐欺攻擊利用ClickFix手法散布SCMBANKER工具包

資安公司Elastic揭露代號REF6045的攻擊行動，鎖定墨西哥金融服務的使用者，攻擊者架設假CAPTCHA驗證頁面，要求使用者完成額外步驟，藉此引導對方將惡意命令貼到Windows的「執行」對話方塊。命令執行後，批次指令碼會開啟假Windows更新畫面作為掩護，並透過Windows內建命令列工具bitsadmin下載SCMBANKER相關元件，再利用Windows登錄機碼Run Key與啟動資料夾（Startup Folder）建立開機自動執行機制，使惡意程式在系統重開機後繼續運作。詳全文

新型攻擊GhostCommit將提示注入指令藏進圖片，誘使AI代理外洩機密

資安研究組織ASSET Research Group公開概念驗證攻擊手法GhostCommit，顯示攻擊者可將提示注入指令藏在PNG圖片中，避開只檢查文字差異的AI程式碼審查工具。惡意內容合併至儲存庫後，具備影像理解能力的程式開發代理可能在後續工作中讀取圖片，圖片要求代理讀取儲存庫根目錄的.env，將其中每個位元組轉成數字，再以名為_PROV_CANARY的整數序列寫進Python程式。研究團隊在受控環境測試多款AI工具，結果顯示，多數工具與模型組合會依照圖片指令，將完整.env內容寫入程式碼。詳全文

研究揭LLM攻擊新手法HalluSquatting，可誘使AI程式開發助理安裝惡意程式

以色列特拉維夫大學（Tel Aviv University）揭露名為HalluSquatting的新型大型語言模型（LLM）攻擊手法。攻擊者可先找出LLM在查找儲存庫、AI代理技能（skill）等外部資源時容易編造出的錯誤名稱，搶先註冊這些名稱，藉此建立假資源，並植入對抗性提示內容；一旦AI程式開發助理拉取這些假資源，就可能執行攻擊者控制的指令。研究人員測試多款代理式LLM應用程式，驗證這項攻擊可導致遠端工具執行與遠端程式碼執行（RCE）。詳全文

GuardFall攻擊鎖定開源AI程式開發代理，繞過Shell命令防護

AI安全業者Adversa AI於6月30日揭露名為GuardFall的攻擊手法，由於多款開源AI程式開發代理與電腦操作型AI代理在執行Shell命令前，安全檢查主要仰賴原始命令字串比對或阻擋清單，攻擊者可利用Bash等命令列直譯器（Shell）的特性，在實際執行命令前，先展開變數、移除引號並重新解析命令，避開代理程式檢查，讓惡意命令以開發者帳號權限，在開發者主機或CI環境執行。GuardFall並非在所有情境下都會成立，攻擊鏈仍取決於AI模型是否會將惡意內容視為一般開發任務並產生Shell命令。詳全文

Palo Alto Networks修補13項漏洞，含防火牆作業系統的高風險緩衝區溢位問題

Palo Alto Networks於7月9日發布資安更新，修補旗下產品的13項漏洞，涵蓋PAN-OS、Cloud NGFW、Prisma Access等網路安全產品，以及Prisma Browser企業瀏覽器。其中最嚴重的是CVE-2026-0288，CVSS嚴重性評分達7.2分，涉及PAN-OS防火牆作業系統的緩衝區溢位問題，可能導致服務中斷，並存在執行任意程式碼的風險，影響PAN-OS 10.x、11.x與12.x版，以及Prisma Access的10.x與11.x版，用戶應更新至公告中指示的各修補版本。詳全文

OpenClaw存在高風險弱點，攻擊者可透過WhatsApp外部訊息觸發

研究人員Chinmohan Nayak發現一批開源AI代理整合平臺OpenClaw資安弱點，涉及環境變數過濾機制、Git傳輸協定，以及沙箱防護功能，攻擊者只要利用偽裝成除錯請求的WhatsApp訊息，就有機會於OpenClaw主機上執行任意程式碼。Nayak強調，這些弱點形成的原因，並非是零時差漏洞或記憶體破壞手法，純粹是利用AI代理程式「照單全收」的特性造成。上述弱點尚無CVE編號，影響2026.6.1版OpenClaw，CVSS風險評為8.8至8.4分，OpenClaw開發團隊已發布2026.6.6版完成修補。詳全文

微軟坦承AI將讓未來Patch Tuesday的修補弱點數量變多

7月9日微軟宣布，隨著AI加速漏洞發現，正擴大利用AI提早找出Windows漏洞、加速修補與驗證流程，並預期未來每次安全更新將納入更多修補內容。上述策略的核心為微軟於5月發表的MDASH多模型代理式AI安全系統，它會掃描Windows重要的二進位檔，並利用多個AI模型驗證潛在漏洞，之後送入Windows專屬流程排除誤報，最後才交由工程師調查。微軟也計畫將MDASH等AI漏洞掃描工具，以及相關的漏洞發現與驗證作法，推廣到其他產品部門。詳全文

IBM與紅帽正式推出Lightwell，首波提供逾6,500個完成安全修補與驗證的相依套件

IBM與紅帽（Red Hat）於7月8日宣布，正式推出企業開放原始碼軟體供應鏈安全服務Lightwell，延續兩家公司先前公布的Project Lightwell計畫，將紅帽長期累積的企業開放原始碼工程與漏洞修補能力，擴大應用於第三方開放原始碼軟體。其中，Lightwell Network已正式供應，首波提供逾6,500個應用程式層相依套件，均已完成漏洞修補、數位簽章及認證，涵蓋Java與Python等軟體生態系。詳全文

資安桌遊Cybercrete融合CTEM與團隊合作，奧義智慧揭設計概念

將複雜的企業資安管理概念融入桌遊，已成為資安教育的新趨勢，先前奧義智慧科技（CyCraft）在此領域的發展引發業界關注，因為他們成功將MITRE ATT&CK與Cyber Defense Matrix（CDM）的資安框架，呈現在遊戲卡牌與桌遊，去年該公司再度推出新作《Cybercrete：守衛資安之路》，進一步將持續威脅曝險（Continuous Threat Exposure Management，CTEM）框架帶到大眾面前，近日奧義智慧資安研究處長陳仲寬公開闡釋其幕後設計概念。詳全文

'

OpenAI的GPT-5.6模型具備更強大的網路安全能力，9月將要求個人用戶啟用硬體安全金鑰

來源：https://www.ithome.com.tw/news/177295

OpenAI上周將最新版GPT-5.6模型開放上線，並要求如欲使用高風險、高權限網路安全功能的個人用戶，應以硬體安全金鑰啟用進階帳戶安全防護（Advanced Account Security）。

GPT-5.6標榜在程式撰寫、生命科學及網路安全領域都更進階，部分項目上超越Google Gemini和Anthropic Claude Mythos及Fable 5。在GPT-5.6的相關網頁，OpenAI說明GPT-5.6支援重要的資安防禦任務，如安全程式碼審查、修補、威脅建模和藍隊演練。OpenAI Daybreak旗下的網路安全可信賴存取計畫（Trusted Access for Cyber），可使用GPT-5.6更進階安全功能，包括漏洞分級處理與驗證、惡意軟體分析、偵測工程及修補程式驗證。

欲使用這些功能的個人用戶，需驗證身分並申請可信賴存取權限，企業或組織則可以為團隊提出申請。個人用戶必須在9月1日前使用硬體金鑰啟用「進階帳戶安全防護」（advanced account security）才能存取安全能力最強的GPT模型。屆時未啟用者將恢復為較低的預設存取權。

進階帳號安全是OpenAI 5月為了防範記者、政治人物等敏感身分人物的模型使用紀錄被人竊取推出，適用於ChatGPT及Codex服務。在這二項服務下，OpenAI帳號支援以YubiKeys等產品登入。除了符合FIDO規範的實體安全金鑰，OpenAI也和Yubico聯名推出YubiKey金鑰。

至於組織用戶，若想使用進階模型能力，則是必須透過加入OpenAI的信賴合作夥伴計畫，即可使用沒有限制的Mythos模型。但合作內容都需向美國政府報告。

'

中國駭客團體WP-ShellStorm試圖針對企業的Java基礎設施發動攻擊

來源：https://www.ithome.com.tw/news/177294

一個月前威脅情報公司SOCRadar發現公開的伺服器137.175.93[.]126，內含Webshell、漏洞利用指令碼、bash執行記錄，以及C2組態資訊，共有434個檔案、大小約800 MB，從而揭露以經濟利益為動機的中國駭客組織WP-ShellStorm，鎖定逾140萬個WordPress網站的大規模攻擊，不過在這波活動之餘，SOCRadar發現，上述的內容管理系統（CMS）並非唯一駭客鎖定的目標，他們曾對企業組織採用的Java基礎設施下手。

SOCRadar根據駭客存放的bash記錄資料內容，發現WP-ShellStorm試圖掃描企業組織採用的Apache Nacos、XXL-Job，以及Spring Boot，由於它們是許多微服務與金融科技基礎設施的骨幹，一旦遭到滲透的影響範圍將極為廣泛。基本上，Nacos的設定檔通常包含XXL-Job管理員的網址和存取權杖，若是攻擊者成功繞過Nacos的身分驗證流程，就能得到XXL-Job的有效管理員權杖，然後對執行個體的所有節點遠端執行任何程式碼。

這波以Java為核心的活動發生在WordPress網站攻擊之前，駭客在今年5月於9個受害企業組織當中，從11個系統竊得613個組態設定檔，過程裡利用Nacos身分驗證繞過漏洞CVE-2021-29441（CVSS風險評為9.8分），攻擊僅花費兩天時間，受害企業遍布金融科技、電子商務、物流、遊戲，以及消費性電子產業。

'