JetBrains開源KotlinLLM，執行中程式可按需呼叫LLM補寫邏輯

來源：https://www.ithome.com.tw/news/177826

JetBrains Research開源KotlinLLM研究原型，供Kotlin/JVM應用程式在執行期間遇到先前生成的程式碼無法處理的新情況時，呼叫外部大型語言模型產生新的Kotlin程式碼。系統完成編譯並更新執行中的程式後，會再次處理原本無法完成的呼叫，而生成的程式碼也會保存在專案中，往後遇到相同情況便不必再次呼叫模型。

KotlinLLM是一款IntelliJ IDEA外掛，導入研究團隊稱為智慧巨集的設計。開發者只需在程式中加入特定函式，外掛便會根據應用程式執行時實際遇到的輸入、資料型別及呼叫情況，補上需要的函式內容。目前提供兩項主要功能，其中asLlm可將文字、表格或格式不固定的資料，轉成程式可直接使用的資料類別、清單或基本型別，而mockLlm則可依介面定義產生測試用的模擬元件，並記住先前呼叫狀態。

當已生成的程式碼無法處理新情況，KotlinLLM會暫停應用程式，取得當下的輸入內容與資料型別，再由大型語言模型修改對應實作。外掛隨後把修改結果寫成一般Kotlin原始碼，重新編譯，並透過Java偵錯介面更新已載入的程式類別。

該作法與每次執行相關功能都直接詢問大型語言模型不同，KotlinLLM只在先前生成的程式碼無法處理新情況時呼叫模型，已涵蓋的情況則直接執行既有程式碼。只要部署版本已涵蓋所需情況，執行時便不必連接模型服務。

JetBrains在修改過的Spring Petclinic Kotlin範例專案中設置18個asLlm呼叫位置。研究團隊表示，程式經過多次更新後完成全部24項測試情境，程式熱載入成功率為100%，編譯與重新定義類別增加的時間開銷約相當於總執行時間1%。

KotlinLLM目前仍是研究原型，只適用於Kotlin/JVM專案，並非Kotlin正式語言功能。專案採Apache License 2.0授權，開源內容包括IntelliJ IDEA外掛、程式介面、範例專案及模型生成的Kotlin原始碼。

'

美國家庭保全業者Brinks Home證實遭駭，ShinyHunters宣稱竊得近500萬筆Salesforce紀錄

來源：https://www.ithome.com.tw/news/177828

美國家庭保全業者Brinks Home於7月22日證實，部分IT系統遭未經授權存取。

Brinks Home是一家美國智慧家庭安全（Smart Home Security）與專業監控服務公司，主要提供住宅及中小企業的防盜、監視、智慧家庭及24小時監控服務。總部位於美國德州達拉斯，目前服務超過100萬名北美客戶。

該公司公告，在7月20日發現部分IT系統遭到了未經授權存取。公司立即啟動應變程序，採取相關措施圍堵與控管威脅，同時展開調查，了解遭到存取的是哪些資訊，影響人員為何。

業者表示，公司警報監控（Alarm Monitoring）及系統核心功能皆持續正常運作。客戶的居家安全防護服務不受影響。

Brinks Home並未說明是什麼資安事件。不過駭客組織ShinyHunters日前在其資料外洩網站宣稱竊得這家保全業者超過490萬筆Salesforce資料。

不確定ShinyHunters對這家保全業者的犯案時間點為何及攻擊手法為何。這群駭客繼去年入侵Salesloft Drift等取得Salesforce憑證後，今年還持續透過Klue、Gainsight等第三方SaaS整合服務發動攻擊，外洩Salesforce資訊。微軟上個月警告企業，ShinyHunters利用語音釣魚及濫用OAuth登入機制，攻擊SaaS應用程式。

'

大型製藥廠安進發生雲端資料外洩事件，病人健康資訊與公司專利資料恐遭曝露

來源：https://www.ithome.com.tw/news/177827

根據資安新聞網站Bleeping Computer報導，大型製藥廠安進（Amgen）於7月31日向美國證券交易所（SEC）提交8-K表單，他們發現第三方雲端服務供應商代管的雲端環境裡，出現未經授權的資料存取活動，部分資料外洩，其中包含專利、受到保護的病人健康資訊。安進表示，旗下產品、製造業務，或是財務報告系統未受影響。

根據7月29日的評估，安進認定這起事故的嚴重程度為重大等級，不過他們認為，對於財務狀況與公司營運應該不會造成重大影響。值得留意的是，這份通報表單並未說明受影響的人數，也沒有透露第三方雲端供應商的廠牌，或是攻擊者入侵的管道。

'

中國駭客利用DeepSeek與Hermes從事AI自主攻擊，鎖定存在已知弱點的應用程式伺服器

來源：https://www.ithome.com.tw/news/177825

威脅情報公司Hunt.io與資安研究員Bob Diachenko於7月中旬發現，中國駭客利用AI代理Hermes滲透泰國財政部（MOF），如今有人結合Hermes與大型語言模型DeepSeek，透過資安漏洞執行AI代理自主攻擊。

資安公司Palo Alto Networks揭露最新一波AI代理自主攻擊活動，化名為knaithe和KnYuan的中國駭客，利用DeepSeek與Hermes作為自主攻擊操作員，透過Telegram下達命令，要求操作員利用物聯網搜尋引擎FOFA找出存在弱點的伺服器，然後尋找漏洞利用工具，並在沒有人為介入的情況下發動攻擊。雖然攻擊者嘗試建置多個大型語言模型與AI代理，不過Palo Alto Networks認為，這些跡象可能是駭客挑選合適工具進行的測試。

研究人員從其中一次發生在5月7日的Hermes代理連線階段（Session）內容，還原整個AI自主攻擊的過程。首先，DeepSeek從GitHub下載Langflow重大漏洞CVE-2026-33017（CVSS評分為9.8）的概念驗證程式（PoC），然後從FOFA找出84臺Langflow執行個體（instance），結果確認其中一臺存在漏洞，但並未成功入侵。

失敗後DeepSeek從FOFA進行自主研究，調查10種應用系統的部署數量，並在GitHub搜尋2026年熱門的概念驗證程式儲存庫，然後選擇鎖定工作流程自動化平臺n8n的重大漏洞CVE-2026-21858、CVE-2025-68613，尋找位於中國且存在弱點的特定版本n8n，結果找到3個執行個體，其中一個雖然曝露3個表單端點，然而都需要通過身分驗證才能存取，因此DeepSeek最終未能得逞。

'

Infoblox計畫併購Kentik，整合DNS與網路可觀測性

來源：https://www.ithome.com.tw/news/177824

企業網路服務與資安業者Infoblox於日前宣布，計畫併購網路情報與可觀測性平臺業者Kentik，雙方已簽署最終協議，預計整合Infoblox的DNS與網路資產資訊，以及Kentik的即時流量、路由與網路效能資料，強化AI網路維運與安全分析能力。Kentik表示，兩家公司已有超過80家共同客戶。

DataBreachToday引述Infoblox執行長Scott Harrell表示，雙方平臺整合後，可自動將網路流量資料與即時裝置身分、資產歸屬、DNS歷史紀錄及威脅情報相互連結，減少跨平臺查找與人工比對需求，並加速釐清服務中斷原因及調查資安事件。

兩家公司也計畫建立持續更新的網路資料與營運脈絡，供企業既有的AI與編排工具運用，協助調查事件、釐清問題並支援後續行動。

這項交易仍須取得主管機關核准並符合其他交割條件。

'

Cloudflare將MoQ中繼網路推向應用部署，支援隔離與權限控管

來源：https://www.ithome.com.tw/news/177821

Cloudflare推出MoQ中繼服務布建API，讓開發者可在Cloudflare全球網路建立彼此隔離的傳輸環境，並分別設定內容發布者與訂閱者的存取權限。新服務目前處於免費測試階段，支援MoQ傳輸協定第14版與第16版草案。

MoQ是IETF正在制定的開放傳輸協定，建立在QUIC之上，採發布與訂閱模式。內容發布者只需將影音或訊息送到中繼站，再由中繼站轉送給所有訂閱者，不必自行處理大量觀眾連線。中繼站只負責轉送，不必解析資料，因此同一套機制可用於直播、視訊通話及低延遲訊息傳遞。

Cloudflare在2025年於全球330多個城市部署MoQ中繼功能，但當時提供的是免驗證公開端點，主要供協定測試及用戶端開發。由於任何人都能連線，開發者無法分別控管內容發布與接收權限，因此不適合需要保密或權限區隔的正式服務。

新的布建API補上存取控制功能，當開發者建立中繼服務時，Cloudflare會在既有全球網路中畫出獨立範圍，將不同應用的串流資料及存取權限分開。用戶端連上Cloudflare提供的全球端點後，連線路由、流量分配及負載平衡都由Cloudflare處理。

每個中繼服務可發出不同用途的存取憑證，分別允許發布、訂閱或兩者兼具，並可設定期限或單獨撤銷。建立服務時，系統會預設產生一組可發布及訂閱的憑證，以及一組只能訂閱的憑證，避免觀眾取得的憑證被用來冒充內容發布者。

MoQ中繼服務布建API只負責建立中繼服務及管理存取權限，不會接觸實際傳輸的影音或訊息內容。第16版草案也允許發布者在觀眾提出訂閱要求前，先將內容送到中繼站。訂閱者則可一次訂閱同一命名空間下的所有串流，訂閱範圍也會涵蓋稍後新增的視訊版本或音訊軌。

Cloudflare另將這套布建方式整理成網際網路草案，希望不同中繼服務採用相近的管理方式。不過，該文件目前尚未成為正式標準，相關API也可能隨測試進展調整。

'

NPM限制可免除2FA的權杖管理權限，2027年1月再取消直接發布能力

來源：https://www.ithome.com.tw/news/177814

GitHub宣布，NPM已限制設定為可繞過雙因素驗證（2FA）的精細度存取權杖（Granular Access Token，GAT），禁止這類權杖執行敏感的帳號、組織及套件管理操作。相關操作現在必須透過網頁或命令列介面，由使用者完成互動式2FA驗證。

可免除2FA的GAT主要用於無法等待人工驗證的自動化流程，過去這些權杖除了存取及發布套件，也能處理部分管理工作，使權杖一旦外洩，攻擊者可能藉此接管帳號、建立新的權杖，還能將其他帳號新增為套件維護者，並維持或擴大對帳號及套件的控制權。

新限制涵蓋建立及刪除權杖、調整套件存取權與維護者、修改可信任發布設定，以及管理組織或團隊成員與授予套件存取權限。GitHub表示，該調整是為了避免原本用來略過2FA的權杖，同時成為管理帳號及擴大權限的工具。

這次變更僅適用於NPM的精細度存取權杖，不影響GitHub個人存取權杖、GitHub App權杖，以及GitHub Actions工作流程使用的GITHUB_TOKEN。要是現有自動化流程透過設定為可繞過2FA的NPM權杖，執行建立權杖、變更套件維護者或管理組織成員等敏感操作，今後這些操作不能再由權杖直接完成，必須改由使用者透過網頁或命令列介面完成2FA驗證。

可繞過2FA的GAT目前仍能直接發布NPM套件，GitHub預計在2027年1月進一步移除直接發布能力，屆時這類權杖的用途將縮減為讀取私有套件，以及將版本送入分階段發布程序，而套件要正式公開，仍須由維護者完成2FA核准。

GitHub建議套件維護者將自動發布流程移轉至採用OIDC的可信任發布，或改用需要維護者核准的分階段發布。該措施延續GitHub於先前公布的逐步淘汰計畫，目前以2027年1月為移除直接發布能力的目標，使用相關發布流程的團隊應在此之前完成調整。

'

AI推動全球雲端市場成長43%，創8年最快增速

來源：https://www.ithome.com.tw/news/177820

市場研究機構Synergy Research Group上周公布，今年第二季全球雲端基礎設施服務營收達1,434億美元，比去年同期成長43%，創8年來最快增速。Synergy認為，生成式AI是市場加速成長的主要動力。

這項統計涵蓋企業向雲端業者租用運算及儲存資源的基礎設施即服務（IaaS）、用來開發及執行應用程式的平臺即服務（PaaS），以及由業者代為管理的私有雲服務。其中，公有雲IaaS與PaaS占整體市場大多數，第二季營收年增47%。

Synergy公布的圖表顯示，全球雲端基礎設施服務營收自2020年第三季以來持續增加，但年成長率曾一路下滑，至2023年第三季降至約17%，隨後連續11季上升，今年第二季達到43%。這11季期間，市場規模從680億美元成長至1,434億美元，增加逾一倍。

圖片來源/Synergy Research Group

Amazon仍是全球最大雲端供應商，第二季市占率為28%，微軟與Google分別以20%及15%居次，且兩者成長率均明顯高於Amazon。在三大業者之外，Synergy點名CoreWeave、OpenAI、Oracle、Crusoe、Nebius、Anthropic及Nscale，表示它們的營收成長速度較快，但未公布個別成長率及排名。

Synergy估計，生成式AI專用雲端服務第二季營收年成長達165%；AI技術也為其他雲端服務增加功能，進而帶動更廣泛的市場需求。不過，Synergy並未揭露生成式AI專用雲端服務的市場規模、涵蓋項目及估算方式。

'

AsyncAPI開發團隊承認是未處理的GitHub Actions配置不當問題引發供應鏈攻擊

來源：https://www.ithome.com.tw/news/177817

7月中旬多家資安公司揭露AsyncAPI供應鏈攻擊事故，並指出攻擊者疑似使用Miasma變種竊取開發人員資料。事隔一週，AsyncAPI開發團隊公布事故調查結果，承認發生的原因來自CI/CD架構的已知弱點。

AsyncAPI表示，這起事故發生的原因，就是有貢獻者發現並提供解決方案的GitHub Actions配置不當問題，其中涉及4種系統性的弱點：包含有問題的pull_request_target實作、過度授權的自動化憑證、缺乏充分驗證流程的自動化OIDC發布機制，以及能讓攻擊者迴避偵測的拉取請求機制。對於這起事故的嚴重性，開發團隊給出了CVSSv3評分達到9.8分的重大等級，並指出整起事故在攻擊者首度推送惡意套件後，他們約在4時20分左右才將惡意版本徹底從NPM清除。

開發團隊指出，攻擊者透過上述的GitHub Actions弱點，取得具有整個組織的管理權限的asyncapi-bot憑證，從而繞過分叉（Branch）防護措施，並執行強制推送，以及在不同的儲存庫之間切換。其中，asyncapi/generator是攻擊者初期滲透的目標，然後向另一個儲存庫asyncapi/spec-json-schemas進行橫向移動。

'