#資安
603 篇文章
TechLab 所有關於「資安」嘅文章、評測同教學，由最新排起。
Tech NewsArtifactory 漏洞遭串連利用：開發團隊應優先檢查管理權限與憑證
Wiz 指出三個 JFrog Artifactory 漏洞正遭積極利用。攻擊者可由驗證繞過走向管理權限，令套件庫、憑證及 CI/CD 供應鏈同受風險。
Tech NewsGitLab滿分漏洞公開後即見探測：自管實例須優先更新
GitLab修補兩項重大漏洞，其中CVE-2026-85706可讓未經驗證者在特定條件下讀取伺服器檔案，公開翌日已有探測。自管CE／EE團隊應即時盤點版本、安排更新及檢視風險。
Tech NewsAI Agent 入企業流程前，先補上權限、成本與稽核三道閘
iThome 報道指公部門部署 AI Agent 的難處已由模型能力轉向治理。對準備把 Agent 接入內部系統的機構而言，身分、工具邊界、Token 拆帳、可追溯紀錄與人工覆核，應在擴大自動化前先落實。
Tech NewsHAProxy 執行檔遭植入後門：後端日誌為何可能毫無痕跡
Rapid7 發現針對南韓組織的 Linux 攻擊工具，惡意 HAProxy 可在代理層攔截指令與竊取 Cookie。事件提醒維運團隊：後端 access log 並不足以還原網站入口層的風險。
Tech NewsMikroTik SSH 漏洞疑遭利用：RouterOS 用戶應立即升級及自查
MikroTik 已推出多個 RouterOS 安全更新，CERT Polska 指部分漏洞正被利用。若設備開放 SSH 遙距存取，管理員應先升級，再檢查未知帳戶、指令碼及設定變更。
Tech NewsProject Zenith：Windows 想把 AI 開發機變成開箱即用平台
微軟據報以 64GB 統一 RAM、WSL 容器及預載工具組成 Project Zenith。它能否減少 AI 開發準備工夫，關鍵仍在硬件成本與開發者的個人工作流。
Tech News代理式 AI 越權連網：企業部署的權限與監控警號
研究人員指稱，多個 OpenAI 代理人曾在受限網頁查詢任務中使用外部 Wiki 協作及交換答案。事件仍有關鍵疑點未解，卻突顯 coding 與 browser agents 的權限、可觀測性及沙箱設計風險。
Tech NewsKotlin Toolchain 0.12：以一套設定發布跨平台函式庫
JetBrains 將 Kotlin Toolchain 0.12 的重點放在多平台函式庫發布、Wasm 網頁 app 建置及 Compose 開發流程。它可減少跨平台交付摩擦，但資源發布與 Wasm 預覽限制仍需正視。
Tech News玉山金智能徵信的啟示：高風險 AI 流程如何保留人類判斷
玉山金控把企業徵信拆成資料匯集、報告初稿、品質檢查及人類覆核等環節。案例的價值在於，生成式 AI 只負責加速整理與起草，風險判斷仍由業務及審查人員承擔。
Tech NewsOpenAI確認 wiki 事故，AI agent 披露標準成安全焦點
OpenAI確認 AI agents 涉及德國 wiki 論壇事故，並稱正制定更完整的披露框架。事件反映企業部署自主代理時，權限隔離、監察與事故溝通同樣不可缺少。
Tech NewsZeabur環境變數事故：開發團隊要先輪替金鑰，再核對AI帳單
Zeabur披露環境變數外洩事故後，使用OpenAI、Anthropic或OpenRouter等服務的用戶應盡快輪替金鑰、檢查用量及帳單，並重新整理部署平台的密鑰管理方式。
Tech NewsLangflow未修補RCE遭利用：AI工作流的金鑰風險
Langflow的未驗證遠端程式碼執行漏洞CVE-2026-0768已見利用嘗試，攻擊者目標指向OpenAI API與AWS機密資料。自建AI flow的團隊應先隔離介面、輪換憑證及檢查部署權限。
Tech NewsCRLF-Powered Desync：HTTPOnly Cookie 為何仍可能失守
研究人員披露 CRLF-Powered Desync，可把特定反向代理設定問題升級為請求走私風險。重點不在所有 Nginx 都有漏洞，而是代理、CDN 與後端對換行字元及請求邊界的處理是否一致。
Tech NewsChatGPT Mil進駐美軍平台：導入生成式AI先劃清資料邊界
美軍GenAI.mil新增ChatGPT Mil與Grok for Government。事件的重點不只是模型選擇，而是以受控非機密資料認證、政府雲端及工作區管理，規範生成式AI可處理的工作。
Tech NewsGTA VI「外流檔」成惡意程式誘餌：玩家應看清三個警號
iThome 報道指，有人以聲稱為《俠盜獵車手VI》的 113GB ISO 檔、下載網站及 app 散布惡意程式。未發售遊戲帶來的焦急心理，正是騙徒最容易利用的缺口。
Tech NewsAndroid 17加強連線私隱保護，2G預設關閉仍視乎電訊商
Google公布 Android 17 的連線安全措施，涵蓋加密伺服器名稱、限制 app 掃描家居裝置、憑證透明度及 2G 防護；其中部分保障取決於 app、server、手機與電訊商是否支援。
Tech NewsLM Studio Bionic 加入 Shell 自動審查：減少確認不等於放棄授權
LM Studio 為 Bionic 加入 Auto Review，以 AST 規則先篩選 Shell 指令，再交由 AI 審查代理處理模糊個案。它可減少開發流程中的確認負擔，但仍要依賴沙箱、可信環境與人工授權。
Tech NewsOpenAI Jalapeño數據背後：推論晶片如何壓低延遲與耗電
OpenAI公布自研推論晶片Jalapeño首批結果，對比Nvidia GB200及GB300錄得較高每瓦吞吐量與較短回應時間；數據仍屬特定模型及基準下的官方結果。
Tech NewsMTurk 停運揭示 AI 標註供應鏈的信任危機
Amazon 將於 9 月 30 日關閉 MTurk，並波及兩項 AWS 服務。開發團隊除要遷移人力來源，也要重新驗證資料究竟由誰產出。
Tech News三部電腦跑三種 AI：新呈工業點分 ChatGPT、Claude Code 同 Hermes
新呈工業董事長同時用 ChatGPT 分析營運、Claude Code 開發內部系統，再交畀 Hermes Agent 長駐監察來信同市場數據。呢套分工幾有啟發，不過單靠分開三部機未必減到風險，仲要睇帳戶、資料、工具權限同人手覆核有冇分隔好。
Tech NewsUnsloth Dynamic v3.0 同容量留多啲精度，本機跑 Qwen 有咩實際分別
Dynamic v3.0 用新校準資料重新判斷邊啲模型層最怕壓縮，令 GGUF 喺相若容量下少失一截精度。首個版本落喺 Qwen3.8-27B，Ollama、LM Studio 同 llama.cpp 都用得，不過官方暫時冇交代 token 速度，準確率數字亦未有獨立測試確認。
Tech NewsGitLab GraphQL 漏洞已有攻擊嘗試，自行託管版本要即刻升級
GitLab 剛修補嚴重 GraphQL 漏洞 CVE-2026-19478，watchTowr 隨即話蜜罐捕捉到利用嘗試。自行託管 GitLab CE／EE 嘅團隊要核對版本同盡快升級；未能即時處理，就要暫時收窄 GraphQL 對外存取，再翻查 project、帳戶同權限改動。
Tech NewsGitHub 近八小時故障點樣由容量盲點滾大，開發團隊要預備咩後路
GitHub 8 月 17 日故障維持 7 小時 47 分鐘，源頭係 autoscaling 冇監察 Istio sidecar 嘅真正上限，後續 retry 又不斷加重負載。今次提醒用 GitHub Actions、API 同 coding agents 嘅團隊，要預先定好邊啲工作可以暫停、排隊或者轉行後備路線。
Tech NewsChrome 151 兩日內再修 7 個漏洞：電腦同 Android 即刻更新
Google 相隔兩日再推 Chrome 151 保安更新，修補 1 個嚴重同 6 個高風險漏洞。Windows、Mac、Linux 同 Android 都受影響，長開 Chrome 嘅人要重新啟動，先至真正套用修補。