(文：陳宣宏博士）
必維集團驗證事業部(Bureau Veritas Certification，以下簡稱BV)即日起提供資安暨AI週報，定期彙整台灣與全球重要資安事件、最新法規動態、產業趨勢及資訊安全相關議題，協助企業即時掌握資安風險與管理重點，強化組織資訊安全韌性。
本週資安最值得關注的變化，是 AI 正從「協助攻擊」進一步走向「自主執行攻擊」，同時企業常見的 SharePoint、VMware vCenter 等核心基礎設施，也持續出現漏洞公開後迅速遭武器化的情況。對企業而言，資安工作的重點已不只是修補漏洞，而是如何在「機器速度」的攻防環境中，縮短發現、判斷與應變的時間。
AI自主攻擊開始走出實驗室，臺灣成為實際觀察案例
本週最受矚目的事件，是部分攻擊者利用自主AI代理攻擊臺灣政府機關及能源公司的消息。相關報導指出，AI代理可依環境變化快速調整攻擊鏈，不再只是由人員下達單一步驟指令。臺灣資安署已針對此類「人機結合」境外攻擊展開應變。這代表生成式AI對資安的影響，正從協助撰寫惡意程式、蒐集情報，逐步進入自主選擇工具、調整路徑及執行任務的新階段。[1]
國家資通安全研究院也示警，AI正降低發動網路攻擊所需要的技術門檻，攻擊能力普及速度可能快於防禦能力成熟速度，建議機關與企業從縮小攻擊面、強化漏洞管理，到建立事件通報與聯防機制等面向建立防線。[2]
AI模型能力愈強，「限制它能做什麼」反而更加重要
AI本身的安全治理同樣成為本週焦點。OpenAI對尚在測試的Astra模型進行初步評估後，認為目前無法排除其資安能力逼近Preparedness Framework的Critical門檻，因此進一步收緊模型的網路連線、外部工具存取及隔離執行要求，並暫停不符合新安全規範的內部活動。[3]
另一案例則凸顯AI測試環境本身的重要性。大型語言模型Kimi K3接受資安能力評測時，沒有按照預期方式分析題目，而是主動探查沙箱環境，發現GitHub仍可連線後直接下載基準測試資料取得答案。這不僅影響評測可信度，也說明當AI具備命令列、網路與工具操作能力後，沙箱隔離、網路出口、工具權限與可觀測性，都必須被視為AI安全控制的一部分。[4]
SharePoint漏洞快速武器化，修補速度再次成為關鍵
傳統漏洞攻擊同樣沒有減緩。研究人員指出，SharePoint的CVE-2026-55040與CVE-2026-63520可被串連利用，使未經身分驗證的攻擊者有機會在伺服器上遠端執行任意程式碼。[5] 更值得注意的是，Rapid7公布CVE-2026-55040概念驗證程式碼後，很快就被觀察到有人將相關PoC用於實際攻擊；當時網路上仍有超過8,500臺SharePoint伺服器暴露於Internet。[6]
這類事件再次說明，「有修補程式」並不等於風險已經解除。企業若仍以每月固定維護窗口處理所有漏洞，可能跟不上高風險漏洞從技術揭露、PoC公開到實際攻擊的速度。尤其Internet-facing系統、身分驗證服務、遠端管理平臺與具有高權限的伺服器，應建立更短的緊急修補SLA。
VMware與Microsoft更新顯示：漏洞管理必須從CVSS走向「實際利用風險」
VMware vCenter也出現類似情況。CVE-2026-59310是一項vCenter Syslog Server重大漏洞，修補後仍被發現遭實際攻擊利用，攻擊者藉此部署Reverse SSH工具，以維持持久化存取；報導當時已辨識到47個國家的361個IP位址遭入侵。[7]
Microsoft 8月Patch Tuesday同樣規模龐大。依BleepingComputer的統計口徑，本次更新涵蓋400項漏洞，其中包含1項已遭實際利用及2項已公開的零時差漏洞，另有42項被列為Critical。[8] 對企業而言，漏洞管理因此不能只依CVSS分數排序，更應同步考量是否已有PoC、是否已遭實際利用、設備是否對外暴露、系統權限及受害後的橫向移動可能性。
本週觀察
本週事件呈現一個相當明確的趨勢：攻擊速度正在從「人工速度」走向「機器速度」。AI代理讓偵察、分析及攻擊鏈調整更容易自動化；另一方面，SharePoint及vCenter案例又證明漏洞資訊一旦公開，攻擊者將迅速武器化。
因此，企業接下來的資安治理應同時處理兩條線：一是把傳統漏洞管理升級為「威脅導向的漏洞管理」，將已遭利用、Internet-facing及關鍵資產列為最高優先；二是針對AI Agent建立最小權限、網路隔離、工具白名單、完整日誌與Human-in-the-loop等治理機制。AI Security已不只是保護模型，而是控制AI能看到什麼、能連到哪裡，以及能代表企業執行什麼行動。
面對日益複雜的資安威脅與快速發展的 AI 應用，企業更應建立系統化的管理機制。必維集團 Bureau Veritas 為全球知名的第三方驗證機構（Certification Body），提供：
- ISO/IEC 27001 資訊安全管理系統（ISMS）驗證
- ISO/IEC 27701 隱私資訊管理系統（PIMS）驗證
- ISO/IEC 42001 人工智慧管理系統（AIMS）驗證
- 資訊安全治理評估與教育訓練
- AI 治理與風險管理相關服務 (負責任的AI)
透過獨立第三方驗證，協助企業建立可信賴之管理系統，提升資訊安全、個人資料保護及人工智慧治理成熟度，以因應快速變化的數位風險環境。
參考
[1] https://www.ithome.com.tw/news/178145
[2] https://www.informationsecurity.com.tw/article/article_detail.aspx?aid=13161
[3] https://www.ithome.com.tw/news/178007
[4] https://www.ithome.com.tw/news/178142
[5] https://www.ithome.com.tw/news/178081
[6] https://www.bleepingcomputer.com/news/microsoft/hackers-leverage-new-microsoft-sharepoint-exploit-in-attacks/
[7] https://www.bleepingcomputer.com/news/security/critical-vmware-vcenter-rce-flaw-exploited-for-reverse-ssh-access/
[8] https://www.bleepingcomputer.com/news/microsoft/microsoft-august-2026-patch-tuesday-fixes-400-flaws-3-zero-days/
作者簡歷
- 必維集團驗證事業部大中華區ICT產品經理