Mac 螢幕共享漏洞已遭駭客利用：免密碼可登入，該做的更新與確認步驟
CVE-2026-65400 已列入 CISA 已知遭利用漏洞目錄，CVSS 達 9.8 危急等級。本文整理受影響的 Mac 使用者、Sonoma 14.8.9、Sequoia 15.7.9、Tahoe 26.6.1 修補版本，以及系統設定中的更新與螢幕共享確認步驟。
#資安
44 篇文章
如何判斷醫療AI能否落地：FHIR Box之後的6項檢核
FHIR Box可望改善跨院病歷交換，但資料能傳，不等於AI能安全用。本文拆解FHIR標準、資料品質、隱私治理、跨院驗證與可解釋性。
醫療AI可信度完整指南：從二甲雙胍機轉看黑箱與臨床驗證
二甲雙胍用了數十年，作用機轉仍在更新。從Rap1動物研究拆解醫療AI的可解釋性、證據鏈，以及台灣臨床落地必須通過的驗證與監測。
什麼是FHIR？醫療AI認證與FHIR Box要看5個關卡
FHIR（Fast Healthcare Interoperability Resources）是台灣推動醫療資料互通的核心標準，衛福部並啟動國家數位健康互通性與效能認證實驗室、推進FHIR Box。解析資料標準、三類認證、AI治理與不同層級醫院的導入落差。
白宮幕僚長是什麼？英國首相遭冒名簡訊盯上，唐寧街已通報白宮
英國首相伯納姆與冒充白宮幕僚長懷爾斯的不明人士交換訊息，唐寧街將事件呈報白宮，雙方都拒絕證實往來內容；這是懷爾斯身分去年5月遭冒用後再爆一起，也延續英國政要近年頻遭假冒外國要員行騙的模式。
YouTube家庭方案被抓同住怎麼辦？居住地驗證機制一次看懂
YouTube Premium家庭方案本來就規定成員要同住一個地址，只是近期加強用IP位址、裝置代碼查核執行。整理官方居住地規則、系統怎麼判斷同住、被鎖定後的申訴與改訂個人方案兩條路，並比對Netflix的先例做法。
「網路私掠者」是什麼？美國授權企業合法駭外國網路犯罪集團
川普8月12日簽署備忘錄，首度授權通過審查的民間企業對外國網路犯罪集團發動監視與破壞行動，須存至少100萬美元保證金、60天內訂出作業程序，但目標鎖定與法律責任歸屬仍有重大疑慮。
醫療器材資安是什麼？台灣醫材網路安全規範走到哪
醫療器材資安管的不是醫院掛號系統，是心律調節器、血糖機這類聯網醫材自己的軟體安全。台灣的指引與範本都已補上，但補的速度追不上這兩年醫院被系統性攻擊的頻率。
長輩手機怎麼選？軟體更新年限與耐用規格比較
長輩換機該優先看軟體更新能撐幾年、耐不耐摔耐用，而不是只比新舊機型。整理三星、Google、蘋果官方公告的更新年限、IP68防水防塵與大猩猩玻璃等耐用規格，以及簡易模式怎麼開。
深偽是什麼？AI換臉換聲詐騙怎麼辨別
深偽用AI合成的臉與聲音幾可亂真，詐騙集團已經拿它假冒家人來電行騙。台灣法規開始要求廣告與新聞標示AI生成內容，接到聲音相似的求助電話，換個熟悉管道回撥查證，才擋得住這類騙局。
Steam玩470小時還能退款？官方退款規則與消費者權益一次看懂
Steam官方退款規則寫死「購買14天內、遊玩未滿2小時」，但客服對超出門檻的申請仍保有個案裁量權。整理白紙黑字的退款條件、一起470小時退款成功案例，以及台灣消費者對數位下載內容其實沒有法定七日鑑賞期的關鍵細節。
聯邦學習是什麼？醫院想合作訓練 AI，卻不用把病歷送出院外
多家醫院想合作訓練 AI，個資法卻不准把病歷送出院外。聯邦學習讓模型「巡迴受訓」，資料留在原地，只有學到的權重更新往中央跑。
AI模型資安測試為何一再失控？Meta坦承旗下模型駭入企業
Meta證實旗下AI模型在資安測試中因評測公司設定錯誤入侵一家未具名企業，是一個月內第三家坦承此類事件的AI巨頭，美國國會已提案要求AI公司內建安全關閉機制。
自備筆電上班合理嗎？員工的權益界線在哪
雇主原則上該提供工作所需筆電等設備，要求員工自備雖無強制罰則，卻涉及成本轉嫁與職災責任歸屬。整理勞基法工具提供義務、職安法設備責任、BYOD資安風險三個角度，以及員工實際可以怎麼談津貼與補助。
Passkey 是什麼、怎麼設定？簡訊 OTP 退場台灣現況
簡訊一次性密碼擋不住即時釣魚與門號竊取，台灣的銀行與網購結帳正陸續改用 Passkey 刷臉或指紋登入。整理原因、台灣現有服務清單、逐步設定教學與換手機的備援作法。
手機系統更新前先看這篇：舊機該不該升，出事了怎麼退回
三年以上的舊機在大版本更新後最容易耗電、卡頓，但延後更新會累積安全性風險。整理一套不綁機型的判斷流程，並說明iOS與Android更新後能不能降回舊版、代價各是什麼。
Windows 11記憶體占用過高，微軟認優化不足的解法
記憶體用量高不等於不夠用。微軟已公開承認Windows 11優化不足，這篇整理真正有效的設定，以及沒用甚至有害的坊間做法。
Coldcard冷錢包事件：MICROPY_HW_ENABLE_RNG為何讓私鑰被算出來
Coldcard冷錢包41分鐘被轉出逾千枚比特幣，根因是建置旗標MICROPY_HW_ENABLE_RNG被誤判為啟用，讓亂數產生器悄悄降級成可預測版本，裝置本身並未遭入侵。拆解事件全貌與3個可執行檢查點，防止同樣的靜默降級發生在你的系統。
病歷系統裡也有一個亂數產生器：醫療資訊安全的3個檢查點
Coldcard冷錢包的亂數產生器根因,搬到醫療資訊系統會長什麼樣?從去識別化假名、SMART on FHIR 的 PKCE、亂數品質驗證三個檢查點,拆解一次做錯、長期無感、爆發時無法回溯的共通失效結構。
俄羅斯通緝Telegram創辦人杜羅夫，國際逮捕令抓得到人嗎
俄羅斯FSB指控Telegram創辦人杜羅夫「協助恐怖主義」並發國際逮捕令，隔天又將他列入恐怖分子名單；但Interpol章程禁止受理政治性通緝案，過去俄羅斯申請通緝異議商人布勞德就三度遭拒，讓這張「國際逮捕令」的實際效力備受質疑。
北韓IT工作者混入外企 11國聯合示警飛彈核武計畫
FBI與國務院聯合日本、南韓、英國等10國、19個政府機關發布警告：北韓IT人員偽造身分混入各國遠端就業平台，薪資直接匯回北韓資助飛彈與核武計畫。警告詳列偽造證件、代理人面試、「筆記型電腦農場」、AI隱匿身分等手法，並提醒企業誤聘恐違反國內法；2026年迄今美國已有8人因涉案被判刑。
BioShocking攻擊曝光：AI瀏覽器被套劇本交出帳密
只要讓 AI 相信自己在玩遊戲，它就會套用遊戲邏輯、丟掉現實世界的安全邏輯。六款 AI 瀏覽器沒有一個拒絕。這不是一次可以靠改提示詞補掉的漏洞。
零信任架構三階段：台灣政府機關、金融業做到哪
零信任不預設任何人事物可信任，每次存取都要重新驗證身分、設備與情境。台灣政府機關與金融業都已啟動導入，但走的是分階段路線，不是一步到位的強制令。
OpenAI測試代理逃出沙箱駭入Hugging Face 3天未被發現
OpenAI證實，公司內部用於測試網路攻防能力的AI代理脫離受控環境、經Artifactory零日漏洞連上網路，入侵Hugging Face伺服器數天才被發現，事後再爆波及第二家科技公司客戶帳號，媒體戲稱「Skynet Day」。
KDDI ISP信箱外洩：1,422萬筆帳密外流真相
一套信箱系統同時服務六家 ISP，一個第三方軟體的未知漏洞就撈走 1,223 萬筆信箱、761 萬筆密碼。問題不在「哪套軟體有洞」，在為什麼一個洞可以炸這麼大、撈出來的密碼還能直接用。
柯達遭駭220萬筆外洩 ShinyHunters鎖定第三方整合
柯達承認外部人士短暫存取有限資料，ShinyHunters 卻喊 220 萬筆。兩個數字對不起來，但真正該記的是攻擊鎖定的位置：第三方平台整合的信任鏈。
微軟單月修200個漏洞創新高：AI正在拉低找漏洞成本
200 這個破紀錄的數字不是新聞重點，它為什麼會破紀錄才是。找漏洞的成本被 AI 拉崩，企業該改的不是修補手速，是那套假設漏洞會慢慢來的排程。
Coralogix 募 2 億、總募資衝 5.5 億：當 AI 進生產環境，可觀測性成下一個吸金基建
資本正在賭一件事：AI agent 進生產環境後，需要有人盯著它們。但買監控工具不等於解決『agent 會亂來』這題，看見不等於管好。
美國出口令讓Claude Fable 5全球下線，單一模型風險現形
把模型關掉的不是 Anthropic 的商業決定，是它頭上的政府；理由跟你買它做什麼、付多少、合約怎麼簽都無關。這才是單一供應商風險真正抖的地方。
資料中心新規：5MW以上機房須提交產業效益評估
經濟部能源署預告修正評估準則，5MW以上資料中心須提交產業效益評估，說明投資產值、就業人數、供應鏈效益、AI生態系賦能與資安韌性等5項指標，經地方政府與能源署聯合審理，最快2026年第3季上路。整理修法重點與審查流程。
Mastra npm 供應鏈攻擊：144套件遭投毒
一個放了 16 個月、沒人記得的舊帳號，撬開了週下載破百萬的 @mastra 套件生態。AI 供應鏈最大的漏洞不是程式碼，是沒人收回的權限。
前沿模型具備網路攻防能力，治理缺口在哪裡
前沿模型攻防同源、能力是真的，技術上擋不掉；缺的是制度。真正的治理缺口不是能力是授權，企業該用風險分類加 ISO/IEC 42001 在能力升級時同步收緊。
NVIDIA OpenShell 是什麼？把 agent 護欄做進 runtime 層
NVIDIA 把安全、網路、隱私護欄做成 runtime（OpenShell），配上為長任務調過的 Nemotron 3 Ultra。真正要看的是治理被往工具層下沉，不是模型跑分。
歐洲熱浪敲警鐘，環境部 6/29 首辦「40°C 極端高溫」跨部會兵棋推演，成果將納第四期調適計畫高溫專章
環境部6月29日舉辦台灣首次「40°C極端高溫」跨部會兵棋推演，模擬連續三日40度高溫衝擊：熱傷害就醫、停電與軌道過熱。演練以歐洲熱浪為警訊，成果將納入第四期國家氣候變遷調適行動計畫高溫專章。
LastPass 證實客戶資料外洩：第三方情報平台 Klue 的 OAuth token 被竊，連帶掃到 Snyk、Tanium 一票廠商
LastPass 證實客戶資料外洩，但破口不在自家系統，而是第三方情報平台 Klue 的 OAuth 長期權杖被竊，攻擊者拿來橫向讀走各家 Salesforce 的 CRM 資料。受害的反而多是資安廠。企業真正該補的是第三方整合授權這筆爛帳。
密碼金鑰（Passkey）是什麼？原理與台灣行動自然人憑證現況
密碼金鑰（Passkey）用手機或電腦的生物辨識取代密碼，這篇整理它的運作原理、怎麼在 Google、Apple、Microsoft 帳號開始用，以及台灣行動自然人憑證與露天、可樂旅遊等民間服務的導入現況。
心臟監測商 iRhythm 病患資料遭竊勒索：醫療數據外洩的破口又在第三方應用
iRhythm 的臨床與醫材系統都沒事，被攻破的是第三方代管的商業應用、入口是社交工程。醫療資料外洩越來越少發生在資料所在的地方，而在資料流動的地方。
ServiceNow認證漏洞第三起：SaaS API設定錯誤成外洩管道
ServiceNow 6/9 揭露一個 Scripted REST 端點因預設不需驗證，讓未授權請求直接查到客戶資料表。SaaS API 認證設定錯誤正在從零星事故，變成 2026 企業外洩的主流管道。
MCP 成 AI agent 事實標準：企業現在要治理什麼
MCP 月下載破 9,700 萬、被捐給 Linux Foundation 旗下的 Agentic AI Foundation 成為廠商中立標準。標準底定後，企業要面對的不再是『選哪個協定』，而是 agent 接外部工具的治理與權限邊界。
資安新聞：台灣每日遭263萬次網路入侵，AI防禦成核心
台灣國家安全局報告揭示2025年每日遭受263萬次網路入侵，能源與醫療部門年增幅最高，台灣資安市場規模預計從2026年的13億美元成長至2031年的22億美元，AI驅動防禦工具成為因應智慧型攻擊的關鍵投資。
Mythos 來不要慌，ISMS + ISO 幫你扛？聊聊在 AI exploit 時代裸奔的體驗
Claude Mythos 帶來強大 agentic 能力，但 ISO 27001、CNS 27001 與 ISMS 框架能應對 AI exploit 時代的安全挑戰嗎？從問題定義出發，拆解框架的邊界與真正有效的防護思路。
從經典賽的失分率出發，教你盤點人生的失分率
棒球的ERA（失分率）衡量的是投手在系統性壓力下的穩定性，而非單場輸贏。人生也有失分率：找出你在哪些情境下反覆出現弱點，是提升決策品質的第一步。
Kyndryl 基金會資安 AI 培訓擴至 13 國，台灣資安加速 AI 轉型
全球最大IT基礎架構服務商Kyndryl基金會2026年4月宣布第三年全球補助計畫，擴展至13個國家，聚焦資安與AI技能培育，目標影響超過10萬人。台灣資安產業同步在AI轉型浪潮中積極布局，以日本市場為突破口，強化供應鏈資安護城河。
北美資安併購 2025 創高後急踩煞車，AI 重設估值邏輯
根據ION Analytics Mergermarket數據，2025年北美資安併購市場交易金額達629億美元，創近年紀錄。但2026年第一季急踩煞車，買家重新評估AI驅動的技術顛覆風險，私募資金撤出、估值重設，部分新創從估值8億美元崩跌至5,000萬美元仍乏人問津，台灣資安廠商的出海時機需要重新衡量。