#資安
603 篇文章
TechLab 所有關於「資安」嘅文章、評測同教學，由最新排起。
Tech NewsApple Intelligence 完成中國備案：百度、阿里模型點解會取代國際版拍檔？
Apple Intelligence 已列入中國生成式 AI 服務備案，國行 iPhone 距離開通近咗一步。中國版會加入阿里巴巴同百度模型能力，不過推出時間、功能清單、支援裝置同私隱架構仍未公布，香港版亦唔會因今次消息自動轉用中國模型。
Tech NewsAvi Load Balancer 爆 7 個漏洞：最嚴重可免登入闖入控制層
Broadcom 修補 VMware Avi Load Balancer 7 個漏洞，當中 CVE-2026-47865 評分達 CVSS 9.8，攻擊者只要接觸到相關網絡，毋須登入都有機會繞過驗證闖入控制層。官方冇提供 workaround，舊版團隊要盡快安排升級。
Tech NewsFirst Light 全球拘捕 5,811 人：騙款出境後，跨境截款點樣搶時間
Interpol 聯同 97 個國家及地區打擊社交工程騙案，拘捕 5,811 人，截住約 2.93 億美元涉案資產。香港亦喺參與名單，惟官方冇拆出本地成果。今次值得睇嘅重點，係 I-GRIP 點樣跨境追截法幣同虛擬資產，同埋中招後點樣爭取時間。
Tech NewsGPT-Red 自動追住 AI agent 漏洞打，0.05% 成功率其實講少咗好多嘢
OpenAI 用內部紅隊模型 GPT-Red 自動生成提示注入，再將搵到嘅攻擊樣本餵返畀產品模型訓練。GPT-5.6 Sol 喺指定直接注入測試只得 0.05% 失手，不過呢個數字未涵蓋所有間接攻擊，更唔係企業可以放心交出資料同權限嘅保證。
Tech News開咗 Secure Boot 都未夠：11 個舊 Linux Shim 可拖 Windows 落水
ESET 發現 11 個獲 Microsoft 簽章嘅舊版 UEFI Shim，可俾攻擊者繞過 Secure Boot。問題唔只關 Linux 事：只要電腦仍信任 Microsoft 第三方 UEFI 憑證，又未更新 DBX，Windows 機同樣可能載入呢批舊程式。
Tech NewsWget 爆中度 SSRF 漏洞：自動下載外來 URL 嘅服務最要小心
GNU Wget 1.25.0 或之前版本有一個 SSRF 漏洞，惡意 FTP server 可借用執行 Wget 嗰部機連入內網。真正要優先處理嘅係會自動接收外來 URL、跟隨 HTTP 轉址兼容許 FTP 嘅服務；等套件更新期間，亦有幾項限制可以即刻加上。
Tech NewsAI agent 推高漏洞通報量，Node.js 用 AI 協助分流
AI agent 輔助掃描多咗，Node.js 官方話 2026 年 2 月嘅 HackerOne 通報量升至原來 4.6 倍。OpenJS 收緊 JavaScript 重現要求，再用 LLM 分流，不過最終判斷仍然留畀人。
Tech NewsLabubaRAT 扮 Nvidia runtime 元件控制 Windows：下載驅動點自保
LabubaRAT 用 nvidia-sysruntime.exe 呢個名扮 Nvidia runtime 元件，入機後可截圖、傳檔、執行指令同代理流量。今次冇證據指官方驅動受感染；Windows 用戶應收窄下載來源，再核對數碼簽署同執行路徑。
Tech NewsAdobe 一口氣修補 12 款產品：ColdFusion 同 Commerce 邊個要即刻更新
Adobe 7 月保安更新涵蓋 12 款產品。ColdFusion 要盡快升到 2025 Update 11 或 2023 Update 22；Commerce 亦要排入短期維護。一般 Creative Cloud 用戶面對嘅風險層次唔同，跟版本清單更新就得。
Tech NewsGrok Build 未清楚提示就上傳完整 Git 紀錄，受影響 credential 要即刻換
研究人員喺 Grok Build 0.2.93 截到完整 Git bundle 上雲，連 agent 冇讀過嘅 tracked file 同舊 commit 都包埋。SpaceXAI 已用 server 設定停咗上傳，馬斯克亦承諾刪資料；不過未有第三方證實清除完成，用過嘅開發者要當 credential 可能曝光處理。
Tech NewsCISA 催修四個已遭利用漏洞：SharePoint Server 同 SMA1000 最快三日內要補
Microsoft AD FS、SharePoint Server 同 SonicWall SMA1000 appliance 合共四個漏洞入咗 CISA KEV。三項要美國聯邦機構喺 7 月 17 日前處理，企業 IT 亦應即刻查版本、裝更新同排查入侵；SharePoint Online 同一般 SonicWall 防火牆唔喺今次名單。
Tech NewsFIDO 為 AI 代理付款定規矩 OpenAI 入局，離放心交出付款權仲有一段路
AI 代理幫你格價唔難，畀佢代你落單同付款就牽涉身份、授權、欺詐同爭議責任。FIDO 已開展標準工作，OpenAI 亦加入理事會同主持技術小組；不過現階段公開嘅仍係方向同技術底稿，離日常可用仲要等商戶、wallet 同支付網絡接上。
Tech NewsChrome 150 修補兩個 Critical Ozone 漏洞：桌面、Android 更新方法
Google 為 Chrome 150 修補 15 項安全漏洞，當中兩個 Ozone use-after-free 問題列為 Critical。官方冇話漏洞正俾人利用，但自動更新下載完都要重新啟動 browser 先真正生效。
Tech Newsk8s-aibom 開源：唔改 Pod 都可盤點 Kubernetes 入面嘅影子 AI
Google Cloud 開源 k8s-aibom，畀公司用一個冇特殊權限嘅 controller 掃 Kubernetes AI 工作負載，唔使 sidecar、eBPF 或改 Pod。不過 v1 主要睇 image、環境變數同啟動參數，適合資產盤點同審查，未可以當完整 runtime 行為監察。
Tech NewsSonicWall SMA 1000 兩漏洞已有人利用：三款設備要即升級兼查入侵
SonicWall 已確認 SMA 1000 兩個漏洞有人積極利用，受影響重點係 6210、7210、8200v 指定 build。管理員除咗裝 hotfix，仲要照官方 IoC 查入侵跡象；CMS 嘅官方資訊未完全對齊，同樣要即時核對。
Tech NewsAWS 開源 Loom 管 AI agent 越權：保留用家身分，敏感操作要人批
AI agent 開始幫人改資料、叫外部工具同連鎖呼叫其他 agent，企業最怕權限一路放大。AWS 開源 Loom，用身分委派、分層權限同人工核准收窄風險。不過佢仍係要自行部署同審核嘅參考實作，離買完即用嘅商用平台仲有段距離。
Tech NewsMicrosoft 7 月補三個零時差漏洞：一般 Windows 用戶同企業 IT 邊個要即刻更新
Microsoft 7 月安全更新修補三個零時差漏洞，當中 AD FS 同 SharePoint Server 漏洞已遭利用；BitLocker 漏洞就喺修補前公開，但未見攻擊。一般 Windows 用戶同企業 IT 嘅處理次序其實差好遠。
Tech NewsMicrosoft 7 月修補兩個正俾黑客利用嘅漏洞，家用 Windows 要即刻更新？
Microsoft 7 月 Patch Tuesday 有 622 個自家 CVE，另重新發布 428 個 Chromium CVE。兩個企業產品漏洞已經俾人利用；家用 Windows 11 有空檔就即日更新，公司 IT 要先處理對外 SharePoint Server 同 AD FS。
Tech News假 GitHub 工具扮活躍：222 個 repository 背後嘅 Windows RAT 誘餌網
Socket 由一個扮 DNS scanner 嘅惡意 Go module，追到 222 個 GitHub 誘餌 repository。攻擊者用自動 commit、公開 dead drop 同加密壓縮檔藏起載入鏈；開發團隊仲要查 dependency 來源、版本紀錄同 CI/CD credentials。
Tech NewsCloudflare Precursor 持續分析滑鼠同鍵盤節奏，AI agent 過關後都要再驗
Cloudflare 新功能 Precursor 會喺網頁加入 JavaScript，持續分析滑鼠移動、鍵盤節奏、頁面焦點同可見時間，再將結果餵入 bot score 同 Challenge。防護範圍闊咗，但誤判、私隱同方案資格仍有幾個位未講清楚。
Tech NewsGPT-5.6 Sol 刪檔風波：Codex 用家開工前要點鎖實權限
GPT-5.6 Sol 推出後，有開發者報告 Mac 檔案同 production 資料庫俾 agent 刪走。公開個案暫時未獲獨立核實，但 OpenAI System Card 的確記錄過越權操作風險。用 Codex 或 ChatGPT Work 開工前，唯讀權限、隔離目錄、Git 同資料庫備份都要先設好。
Tech News傳 OpenAI 2026 年底公布 AI 喇叭：ChatGPT 走出手機，私隱同兼容有排搞
OpenAI 傳聞會喺 2026 年底公布首款 AI 喇叭，靠 GPT-Live、鏡頭同感測器做到自然啲嘅互動，2027 年先出貨。不過，長開咪、鏡頭資料、Matter 兼容、廣東話同香港發售安排全部未明，實用性仲要過幾關。
Tech NewsMicrosoft 7 月修補四個 Exchange 漏洞：舊版管理員先查 ESU 資格
Microsoft 7 月更新修補四個 Exchange Server 漏洞，最嚴重嗰個 CVSS 達 9.6。純 Exchange Online 租戶已受保護；自建或混合環境就要核對版本，而 Exchange 2016／2019 只有 Period 2 ESU 客戶先攞到更新。
Tech NewsFortiSandbox 未授權 VNC 漏洞：受影響版本同安全更新清單
Fortinet 一口氣修補 9 個企業產品漏洞，當中 FortiSandbox 嘅 CVE-2026-59835 風險最高。攻擊者毋須登入，已有機會接觸掃描中虛擬機嘅 VNC server。用緊受影響版本嘅 IT 團隊應優先更新，同時檢查邊啲網段連到 appliance。