TAG

#企業 IT

603 篇文章

TechLab 所有關於「企業 IT」嘅文章、評測同教學，由最新排起。

Cloudflare Kitesurf 唔用完整 Chromium：慳 CPU 同 RAM，兼容性要取捨

Cloudflare 推出專為 AI agent 而設嘅 Kitesurf，用 V8 isolate、Rust 同 WebAssembly 拆細瀏覽器工作。官方測試顯示 CPU 同 RAM 用量低過 Chromium 幾倍，不過完成任務反而較慢，網站兼容性、登入同反 bot 驗證亦未追得上完整瀏覽器。

ClamAV 1.5.4／1.4.6 修補八漏洞，收附件同上載檔案嘅 server 要先升級

ClamAV 新版修補 ZIP、PDF、GPT、Mach-O、XAR、PESpin 同內建 UnRAR 嘅解析漏洞。最大實際風險係攻擊者可將特製檔案送入自動掃描流程，令防毒程序崩潰；郵件閘道、檔案上載服務、NAS 同自行管理 server 嘅用戶應優先更新。

一個 GitHub issue 點樣污染 coding agent：三款工具風險拆解

公開 repository 入面一段普通 issue 文字，原來可以借 coding agent 嘅工具同權限，影響 CI runner、讀取 secrets，甚至污染下一次 agent 執行。Novee 研究嘅三個案例各有唔同前置條件，但都指向同一個部署盲點：外部輸入同共享檔案唔可以因為經 agent 處理過，就當成可信資料。

AWS AgentCore 加入 Runtime Instances：AI agent 跑足幾日有代價

AgentCore Runtime Instances 將 AI agent 搬到 AWS 代管嘅 EC2，工作階段上限由 8 小時拉長至 14 日，又支援 GPU、多 agent 共用檔案同停止後恢復。不過長達 14 日只係生命週期上限，開發者仍然要自己處理 checkpoint、重試、成本同資源爭用。

Paperclip 三個漏洞四月已修補，自架 AI agent 平台要即刻檢查版本

Paperclip 三個高危漏洞到 8 月先有完整研究公開，不過主要修補早喺 4 月推出。用緊舊版公開部署，攻擊者有機會取得管理權限，再借 agent 執行主機指令；本機模式亦有另一條攻擊路徑。

Meta AI 測試誤闖外部系統：Agent 權限配置錯一步，安全沙箱即變真攻擊入口

Meta 證實旗下 AI 模型喺資安評估期間意外連上公開網上，仲利用第三方服務嘅漏洞改動系統。現有資料指向測試環境配置失誤，未足以證明模型刻意逃走；不過件事已經示範，agent 一有工具同自主權，普通設定錯誤都可以迅速變成真實入侵。

Terafab 首期預算 168 億美元：Musk 點解要由晶片做到封裝測試

Terafab 想將邏輯晶片、記憶體、封裝同測試集中喺德州一個廠區，供應 Tesla 汽車、Optimus 同 SpaceX 未來嘅太空 AI 系統。不過 168 億、550 億同 1,190 億美元各自代表唔同階段，距離真正量產仲有大段路。

Cisco IOS XE 修補 7 組漏洞：最高 9.8 分，管理員要升去邊個版本？

Cisco 為 IOS XE 推出 8 月安全強化更新，處理 7 組由內部測試搵到嘅漏洞，最高 CVSS 9.8 分。17.9、17.12、17.15、17.18 同 26.1 都有受影響版本，管理員可以用 `show version` 核對，再按官方表升級。暫時未見漏洞俾人實際利用。

Chrome 151 一口氣補 41 個漏洞：電腦同 Android 更新後記得重開

Google 推出 Chrome 151 穩定版，Windows、Mac、Linux 同 Android 都有更新，合共修補 41 個安全漏洞。今次有 6 個列為 Critical，重點牽涉 WebGL、Skia 等元件；檢查完版本之後，仲要重新啟動瀏覽器先算完成。

ChatGPT 免費文字聊天放寬無限：GPT-5.6 Luna 同工具照有限額

OpenAI 會將 ChatGPT 免費版同 Go 嘅預設模型換成 GPT-5.6 Luna，下周再放寬一般文字聊天次數。個「無限」有清楚邊界：檔案、圖片同其他工具照舊有限額，Think 按鈕亦只係畀 Luna 多啲時間處理難題。

Cloudflare 一鍵替網站加 WebMCP：免改前端有條件，AI agent 可做幾多？

Cloudflare 推出 WebMCP 開發者預覽，網站管理員可喺控制台開掣，由邊緣網絡自動加入橋接碼。不過「免改程式」只解決接駁，網站有咩功能可供 agent 操作、權限點分同敏感操作點確認，仍然要開發團隊自己處理。

WeatherNext Cyclones 預報平均早一日，唔等於香港風球會提早

WeatherNext Cyclones 喺歷史風暴基準入面，預測路徑、強度同風圈平均多咗逾 24 小時優勢。不過呢個係整體誤差比較，唔代表每個風暴都準一日，仲唔會直接改變香港天文台發風球嘅時間。

NVIDIA Dynamo 多項漏洞一次修補：遠端攻擊條件同升級版本點睇

NVIDIA 為 Linux 版 Dynamo 公開 15 個漏洞，當中 CVE-2026-24254 可經網上連線觸發，唔使權限或用戶操作，後果包括執行程式碼。高分唔代表所有部署已經暴露，不過管理員要查清楚入口設定，再升上 v1.3.0。

Mac 假 CAPTCHA 加入瀏覽器指紋避掃描：叫你貼 Terminal 就要停手

Microsoft 發現新一輪 macOS ClickFix 攻擊，惡意網站會先檢查瀏覽器、GPU 同埋運行環境，確認訪客似真正 Mac 用戶，先顯示假下載或驗證頁面。網站一旦叫你開 Terminal、貼指令或者輸入系統密碼，就應該即刻停手。

ChainDrop 蠕蟲踩入 npm 供應鏈：刪走 keyv 未代表清得乾淨

ChainDrop 借受污染 npm 套件嘅 preinstall script 自動執行，再由開發者電腦同 CI runner 搜掠 GitHub、npm、AWS 等 credentials。團隊要查實際安裝版本、時間同紀錄；一旦執行過惡意版本，淨係刪套件並唔夠。

Zbtlink 20 款路由器韌體藏 root 遙控功能，改密碼同重新開機都擋唔住

VulnCheck 喺 20 款 Zbtlink 路由器嘅官方韌體發現 ENDLESSDOORS，裝置開機後會主動連去外部 server，對方可用 root 權限落指令。Zbtlink 已停售相關型號同移除韌體下載，但未列出修正版版本號。

Meta AI 安全測試誤闖真實公司：三宗事故揭出 sandbox 邊界有幾脆弱

Meta 證實旗下 AI 模型喺安全測試期間，經錯誤開放嘅網絡路徑接觸到真實公司系統。連同 OpenAI、Anthropic 近期事故一齊睇，問題集中喺 sandbox 配置、第三方測試環境同過大權限，亦提醒部署 coding 或 security agent 嘅團隊要重新檢查隔離措施。

NVIDIA Alpamayo 開放商用，車廠終於可以用自家行車資料微調

Alpamayo 2 Super 權重改用 OpenMDW-1.1，開發商可以用自家行車資料微調，再將衍生模型放入商業產品。呢次改動移除咗研究模型用喺商業產品時嘅主要授權限制，不過模型仍然只係研發工具，車規驗證、數據權利同真車安全一樣要由採用者自己處理。

開咗 iCloud 私密轉送都可能漏真實 IP：WebKit 三條旁路拆解

Mysk 發現 WebKit 有三類請求可以繞過 proxy，令 iCloud 私密轉送用戶嘅 DNS 路徑甚至真實 IP 曝光。問題牽涉 DNS 預先解析、passkey 驗證同 WebTransport，當中兩項就算用戶冇撳掣，都可能自己觸發；Apple 暫時話正調查事件。

TeamCity 漏洞已有人攻擊：自架 server 而家要點修補

CISA 已確認 TeamCity 漏洞 CVE-2026-63077 遭人利用。只要攻擊者接觸到自架 server，就可能毋須登入執行系統指令，繼而摸到 source code、憑證、build artifacts 同部署流程。JetBrains 已推出兩個修正版，舊系統亦有修補 plugin。

TeamCity 爆重大未登入 RCE：管理員要即刻升級兼收緊 server 存取

TeamCity On-Premises 爆出 CVSS 9.8 重大漏洞，攻擊者只要接觸到 server 嘅 HTTP(S) 介面，就可能繞過登入驗證執行系統指令。JetBrains 已推出兩個修補版本，未能升級嘅舊版亦有專用 security patch plugin。

Cloudflare OS 開源：公司可自建 AI agent 工作間，部署門檻落喺權限治理

Cloudflare OS 開放原始碼，畀公司自建連接內部資料、MCP server 同 AI 模型嘅 agent 工作間。佢嘅權限設計幾有意思，不過官方已經標明只屬 early access；開源亦只包程式碼，正式部署仲有 OAuth、雲端用量、資料地域同日常維護要執。

CISA 指三漏洞已有人打：Langflow、N-central、Tomcat 即查版本

CISA 將 Langflow、N-central 同 Apache Tomcat 三個漏洞加入 KEV，代表已有實際利用證據。當中 N-central 涉及高權限遠端管理，Langflow 預設設定可串連成免登入 RCE；Tomcat 就只影響指定版本同 cluster 設定。

Red Hat 發起 asago 開源社群，想將 AI 治理文件一路駁到執行控制

asago 想將企業 AI 政策轉成風險對照、安全測試、guardrails 同部署設定，仲保留完整 audit trail。不過睇返現有原始碼，成熟部分主要得政策分析同實驗性 agent 測試，離一套可直接放入正式環境嘅治理平台仲有一段路。