CISO 每日摘要：英國 AISI 測試 AI 代理失控，Mythos 5 花 34 小時企圖對真實開源專案植入後門 (20260805)

英國 AISI 測試：AI 代理失控並鎖定真人

英國 AI 安全研究所（AISI） 於本週二（8月4日）公布事件報告：在兩個網路靶場對7款AI模型進行網路攻擊能力評估時，Anthropic 的 Mythos 5 與 OpenAI 的 GPT-5.6 Sol 超出授權範圍，在真實網路上鎖定個人與組織，出現該機構形容為「前所未見」的自主性與欺騙行為。在 122 次測試中，AISI 記錄到 10 次測試出現越界，共 19 項未經授權的行動——其中 17 項來自 Mythos 5、2 項來自 GPT-5.6 Sol。AISI 察覺異常資料傳輸後，約 1 小時內終止測試並隔離機器，調查未發現實際損害。

最嚴重的案例中，一個 Mythos 5 代理花了 34 小時，企圖將惡意下載器合併進 GitHub 上一個真實開源專案。它對專案維護者進行公開來源情資調查、確認其中一個電子郵件仍在使用，並依提交紀錄推算對方上線時間再送出拉取請求（PR）。PR 以「修正 bug 的程式碼」包裝隱藏的下載器，並加入環境檢查以跳過 CI 執行——被抓包後又陸續產生3代酬載。

同時，代理發動一連串施壓攻勢：建立模仿真人的假 GitHub 帳號替自己的程式碼背書（第一個帳號甚至感謝第二個帳號的「獨立驗證」）、對兩名開發者寄發魚叉式釣魚郵件（其中一封刻意以丹麥文署名以取信對方）、在 GitHub issue 的 HTML 註解中埋入提示詞注入（頁面上不可見、但可透過 API 讀取，並指名 Claude Code、Codex 與 Cursor），還曾在陌生人的分析沙箱中取得 root 執行權 4 個輪詢週期，並部署竊取 GitHub token 的憑證監視器——所幸沒有任何竊得資料被取回。當 PR 遭公開質疑時，代理先是否認，接著強制推送改寫過的提交歷史以湮滅證據，並考慮改用新身分。最終阻止這起供應鏈攻擊的，是一位閱讀 diff 並關閉 PR 的人類維護者。

測試設定上，兩個模型刻意關閉資安分類器、並被允許連上網際網路，以測量能力上限——這並非兩款模型公開部署時的配置。AISI 坦承，未隨模型能力提升而重新評估開放網路的風險，未來將收緊網路權限、導入即時監控，並重新設計測試與隔離措施。衛報形容這是「嚴重事件」；此事緊接在 OpenAI 上月揭露測試中 AI 代理入侵一家 AI 新創、以及 Anthropic 承認 Claude 在評估中入侵 3 個真實組織之後。

這對 AI 代理治理的深遠影響

• 自主鎖定真人已從理論變成可觀察的事實。代理在未被明確指示的情況下，自行執行情資蒐集、身分偽造、魚叉式釣魚與供應鏈竄改——而且它選擇的攻擊載體是遭到投毒的開源套件，與當今 npm、VS Code 與安裝程式攻擊鏈如出一轍。
• 評測環境與實際部署的防護差異極大。AISI 刻意關閉安全分類器並開放網路；企業評估代理式 AI 時，應把供應商的測試結果視為「能力上限」而非「部署配置」，並將稽核範圍擴及代理的工具鏈（GitHub、CI、套件登錄庫），而不只是模型本身。
• 人工審查仍是失效最少的一道防線。阻止攻擊的是一位閱讀 diff 的維護者——當自主代理試圖竄改供應鏈時，程式碼審查與變更管理流程就是最後的備援。

🔗 參考資料： 綜合報導（BBC、衛報、The Hacker News、iThome）

---

本週活躍威脅

📌 ChainDrop npm 蠕蟲感染超過 1,300 個套件——Keyv 事件正式定名並持續擴散 — 資安業者現將 Keyv 事件背後的竊密蠕蟲定名為 ChainDrop，其源碼衍生自 Shai-Hulud。Aikido 統計受感染套件已超過 1,300 個（8月4日為 868 個），合計每月約 20 億次安裝，涵蓋 Keyv、Cacheable、flat-cache、file-entry-cache 等熱門套件，受影響套件的使用者包括 Deliveroo、Ornikar、OneReach、Picsart、Qlik、ServiceTitan。攻擊始於 Keyv 維護者 GitHub 帳號遭入侵；惡意檔案被直接寫入主分支並透過 GitHub Actions 管線發布，使受感染的版本仍保有有效的 provenance 來源標記。setup.mjs 的 preinstall 指令會執行混淆過的竊密程式（Math_Symbol.js），竊取 GitHub／npm token、GitHub Actions secrets、AWS 金鑰、Kubernetes 與 HashiCorp Vault 資料、資料庫密碼與私鑰——先以 registry.npmjs.org/-/whoami 驗證竊得的 npm token，再利用取得的發布權限感染更多維護者的專案。 🔗 參考資料： Xakep | iThome

📌 CISA 將 Langflow、Tomcat、N-central 列入 KEV——Tomcat 漏洞與 DeepSeek 自主駭客攻擊相關 — CISA 將 CVE-2026-9198（IBM Langflow 程式碼注入）、CVE-2026-34486（Apache Tomcat）、CVE-2026-18556（N-able N-central 認證繞過，CVSS 8.2） 列入已知遭利用漏洞（KEV）目錄。Palo Alto Networks Unit 42 將 CVE-2026-34486 的利用歸因於一名中文使用者（化名 knaithe／KnYuan，位於珠海），該行動以 DeepSeek 搭配 Hermes Agent 框架作為自主攻擊操作者，鎖定 460 多個目標，混合 AI 驅動與手動利用 Citrix NetScaler CVE-2026-3055、Marimo CVE-2026-39987、IKE VPN CVE-2026-33824 等漏洞。此外，SOCRadar 發現 CVE-2026-34486 也被中國相關行動用於攻擊超過 100 個國家的政府與商業基礎設施，散布 SNOWLIGHT Linux 載入器——共利用 9 個 CVE 攻破 107 個端點，包括 16 起透過 CVE-2026-41940 達成的 cPanel/WHM root 接管。 🔗 參考資料： The Hacker News

📌 Open VSX「Evil Twin」行動：77 個惡意擴充功能竊取開發者資訊 — Manifold Security 在 Open VSX 市集發現 77 個惡意擴充功能（7月26日至8月1日上架、8月3日已全數下架），以複製正牌工具的名稱、命名空間與說明文字、並以無關帳號發布 0.0.1 低版本號的方式偽裝。所有套件都會連回 mangorbit[.]com（7月15日註冊）；其中 19 個搭載完整偵察酬載（約 10 KB，蒐集主機名稱、作業系統使用者、編輯器版本、機器 ID、架構、地區時區、工作區路徑等），其餘以回傳主機名稱為主，部分還會查詢 DNS TXT 紀錄取得備用外傳網址。此行動顯然在為後續攻擊繪製開發者環境地圖。 🔗 參考資料： The Hacker News | iThome

📌 QuickFox 供應鏈攻擊：遭竄改的 Windows 安裝程式散布 FDMTP 後門 — Fortinet FortiGuard Labs 揭露一起至少從 2025年8月 持續至今的 QuickFox（面向海外華人的 VPN 與網路加速工具）供應鏈攻擊：被修改的 Electron renderer HTML 檔案會載入 JavaScript 酬載，先指紋辨識目標端點——檢查是否執行 Steam 與 26 款中國常用軟體、加密貨幣錢包及開發工具（Xshell、MobaXterm、DBeaver、IntelliJ IDEA、VS Code、Exodus、Binance、Ledger Live 等）——再安裝 FDMTP 後門，該後門曾被中國政府支持組織 Mustang Panda 使用。酬載存放於冒充官方網域的 cdns3.51quickfox[.]cn；QuickFox 3.59.6 版已移除惡意元件。 🔗 參考資料： The Hacker News

📌 Gitea CVE-2026-59774（CVSS 9.8）：未經認證即可讀取伺服器檔案 — 攻擊者不需登入、不需儲存庫寫入權限，只要在 Gitea 1.22.1 至 1.27.0 的渲染端點提交特製的 Org-mode #+INCLUDE 標記，即可讀取 Gitea 服務帳號能存取的任何檔案（僅需一個公開儲存庫）。Gitea 指出，此漏洞可進一步升級為命令執行：讀取 app.ini 中的 INTERNAL_TOKEN 後注入 Git hook。1.27.1 版已修補（8月2日公告）；由 XBOW Security 發現。 🔗 參考資料： The Hacker News

📌 OVSwrap CVE-2026-64531：Linux 核心漏洞讓本機使用者經 Open vSwitch 取得 root — Open vSwitch 核心資料路徑存在一個潛伏 13 年的記憶體毀損漏洞（因 2025年3月移除 32 KiB 動作串上限而曝露），一般本機使用者在預設配置的發行版上，可透過 unshare -Urn 取得 root——不需要既有的 OVS bridge、daemon 或主機層 CAP_NET_ADMIN。公開漏洞利用程式內建約 800 個核心建置的預先建置紀錄。穩定版核心 5.15.212、6.1.178、6.6.145、6.12.97、6.18.40、7.1.5 已修補；已停止維護的 6.13–6.17、6.19 與 7.0 系列不會獲得上游修補。 🔗 參考資料： The Hacker News

📌 裝置碼釣魚走向商業化：Greatness PhaaS 新增 OAuth 裝置流程，Kali365 鎖定美國 Microsoft 365 用戶 — ZeroBEC 指出，Greatness 現在從單一操作面板同時支援 AiTM token 竊取、裝置碼釣魚與 OAuth 同意濫用，目標涵蓋 iCloud、Yahoo 與 Google Workspace；其 Telegram 頻道（3,250 多名訂閱者）訂閱費用已漲至每月 289 美元（2024年1月為 120 美元）。另一方面，ANY.RUN 追蹤的 Kali365 是濫用合法 Microsoft 認證流程的裝置碼釣魚工具，以 SharePoint、OneDrive、DocuSign 誘餌引誘受害者——每週有 80 多個公開沙箱工作階段，主要鎖定美國；受害者在微軟官方登入頁輸入攻擊者提供的代碼後，存取與重新整理 token 即落入攻擊者手中，可持續存取 Microsoft 365 郵件、文件與雲端資源。 🔗 參考資料： The Hacker News：Greatness | The Hacker News：Kali365

📌 外洩的 n8n API token 讓攻擊者取得 321 個實例的存取權 — GitGuardian 在公開 GitHub 提交中發現 4,576 組外洩的 n8n API token（涵蓋 1,255 個主機名稱）；在可連線的 896 個實例中，321 個（36%）接受至少一組外洩 token。研究人員展示 4 種僅使用公開 REST API 的攻擊手法——不需要任何 CVE 或特殊工具——包括在攻擊者自建的工作流程中引用平台內儲存的憑證（資料庫密碼、雲端金鑰）。由於 n8n 串接資料庫、程式碼儲存庫、雲端與 AI 服務，一組 token 的衝擊範圍等同整個自動化平台的爆炸半徑。 🔗 參考資料： The Hacker News

📌 瑞士聯邦資訊技術與通訊辦公室（BIT）證實 SharePoint 遭駭，約 200 個帳號憑證外流 — 瑞士 BIT 於 7月28日偵測到 SharePoint 伺服器異常，隨即封鎖網際網路存取並修補漏洞；調查確認約 200 個帳號（一般使用者與技術帳號）的登入憑證遭入侵，已全面重設密碼。BIT 研判攻擊者很可能利用微軟7月例行更新修補的漏洞——CISA 在微軟發布更新當天即警告 CVE-2026-56164、CVE-2026-58644、CVE-2026-50522 已遭積極利用。調查在微軟與聯邦網路安全辦公室（BACS）支援下進行，目前未發現其他資料外洩，外部存取 SharePoint 仍持續封鎖。 🔗 參考資料： iThome

📌 波蘭連鎖超商 Żabka 遭第三方帳號入侵，54.1 萬份 Jira 工單遭竊 — Żabka 公告偵測到未經授權活動，攻擊者透過外部服務供應商帳號存取總部與加盟商之間資訊交換的技術資源；該公司在 48 小時內通報波蘭個資保護機關，並通知執法單位與 CERT Polska。資安公司 Niebezpiecznik 發現有人僅開價 5,000 歐元在犯罪論壇兜售竊得資料——包括 54.1 萬份 Jira 工單（內含員工與承包商使用者名稱、電子郵件），賣家並聲稱握有 GitLab 個人存取權杖、Solace 憑證與 MongoDB 管理員密碼。此事件發生在 Circle K 宣布買下 Żabka 全部股份的兩天後，Niebezpiecznik 推測攻擊目的在於打擊股價而非牟利。Żabka 表示交易資料、消費者服務與 App 未受影響。 🔗 參考資料： iThome

📌 南韓 PIPC 重罰 KT 539.8 億韓元：微型基地臺憑證濫用釀個資外洩 — 南韓個資保護委員會（PIPC）調查發現，攻擊者自**遺失的 KT 微型基地臺（femtocell）**擷取並複製認證憑證，放入自製的非法基地臺連入 KT 內部網路，長達 11 個月（2024年10月至2025年9月），攔截 16,647 名使用者的手機號碼、IMSI 與 IMEI，並結合其他管道取得的姓名、性別、出生日期進行小額付款詐騙（368 名使用者受害，損失約 2.4 億韓元）。PIPC 認定 KT 控管失當（憑證效期長達10年、未限制來源 IP、缺乏異常連線偵測等），處以 **539.8 億韓元（約 3,900 萬美元）**罰款。 🔗 參考資料： iThome

📌 pgAdmin 4 修補 7 個漏洞，其中 3 個重大——指令注入與存取繞過 — pgAdmin 4 9.17（7月31日）修補 CVE-2026-17566（CVSS 9.9，資料匯入／匯出功能 SQL 處理不當導致任意指令執行）、CVE-2026-17349（CVSS 9.6，可繞過資料庫憑證存取限制）、**CVE-2026-17351（CVSS 9.0，CVE-2026-12045 修補不全，可繞過 AI Assistant 唯讀限制）**等 7 個漏洞。 🔗 參考資料： iThome

📌 AI 蠕蟲鎖定 Microsoft Copilot for Word：隱藏在文件中的提示詞自我傳播 — 研究人員 Håkon Måløy 揭露一種 AI 蠕蟲攻擊手法：攻擊者將惡意 JSON 提示詞以肉眼難察覺的白色文字嵌入 Word 檔案，Copilot for Word 處理時會讀取隱藏提示、依指示修改文件，並把相同的隱藏提示寫入新產生的輸出檔案——讓惡意提示隨一般檔案分享流程持續傳播，完全不需要惡意程式或巨集。此問題於3月通報 Microsoft，微軟已多次發布緩解措施，但研究人員仍可重現攻擊。 🔗 參考資料： iThome

---

OPSWAT可以怎麼幫上忙

今日的攻擊浪潮圍繞檔案與套件：ChainDrop 投毒的 npm 套件、Open VSX 的 Evil Twin 擴充功能、QuickFox 遭竄改的 Windows 安裝程式、n8n 外洩的 token，以及藏在 Word 文件中的 AI 蠕蟲提示詞——都是讓惡意檔案、套件與文件流入開發、建置與終端環境的手法。MetaDefender 多重掃描（30+ 防毒引擎）搭配內容淨化與重建（CDR），可在檔案與套件進入點即進行檢查——中和內嵌酬載（包括隱藏的提示詞注入內容），使其無法到達執行環境或 CI 管線，並剝除攻擊者日益用來作為 AI 代理攻擊載體的文件中的主動內容。