CISO 每日摘要：ChatGPT、Claude、Grok 同時大當機 — 企業 AI 韌性與供應集中風險浮現 (20260904)

9 月 3 日，企業最常部署的三個商業 AI 平臺 — OpenAI 的 ChatGPT、Anthropic 的 Claude 與 SpaceXAI 的 Grok — 幾乎同時故障，且中斷長達數小時。沒有任何一家業者解釋為何故障時間重疊。對 CISO 而言，這是一次對「企業流程有多少已運行在沒有備援計畫的 AI 服務上」的實境壓力測試。

發生了什麼事

OpenAI 將中斷歸因於 美西時間上午 7 時 43 分左右開始的路由錯誤，導致部分使用者在各平臺無法使用 ChatGPT 與 Codex；據 The Register 引述該公司發言人，約上午 8 時 17 分已成功排除並持續監控。Computerworld 統計 ChatGPT 多個模型約 中斷 2 小時。

Anthropic 的 Claude 狀態頁記錄了 3 小時 6 分鐘 的故障（Computerworld 估算則接近 4 小時）。Anthropic 將原因描述為 基礎設施問題，服務於美東時間下午 12 時 15 分前恢復。Grok 中斷近 三個半小時；SpaceXAI 為「今早曼菲斯運算中心故障」致歉，也向受影響的「運算合作夥伴」道歉（The Register）。Downdetector 湧入大量回報，受影響的不只消費級聊天機器人，還包括開發者環境、行動 App 與企業內部工具（Techstrong.ai）。

三個名義上相互獨立的服務為何同時故障？OpenAI 歸因於路由、Anthropic 歸因於基礎設施、SpaceXAI 歸因於曼菲斯資料中心——沒有任何人承認共同原因。運行在 Google Cloud 上的 Gemini 大致不受影響；TechTimes 指出 Azure 美東區（East US）故障 可能是共同關鍵：OpenAI 與 Anthropic 的服務都運行在 Microsoft Azure 上。兩家公司均未發布事故後分析報告，共享依賴關係仍是未解之問（AI Governance Institute）。WIRED 的標題道出普遍疑惑：沒有人說明原因。

🔗 參考資料： 綜合報導（The Register、Computerworld、Axios、TechTimes、Techstrong.ai、AI Governance Institute）

這對企業 AI 韌性與供應集中風險的深遠影響

1. 多供應商備援可能共享同一條骨幹。 若 OpenAI 與 Anthropic 都跑在 Azure 上，「分散採用不同 AI 廠商」就不是韌性策略——依賴鏈必須一路拆解到 IaaS 層，而只停在廠商名稱層級的 AI 風險清單，會漏看共享的雲端區域。
2. 代理式自動化把可用性事件升級成營運事件。 Codex 與程式開發代理在工作途中受創；Computerworld 引述分析師警告，「太多組織即將學到沒有備援計畫的慘痛教訓」。Info-Tech Research Group 的 Jackson 建議把模型視為「可隨時熱抽換成替代品的商品」。
3. 透明度落差本身已成為風險因素。 沒有任何業者針對同時故障發布事故後分析；而標準的供應商 SLA 也不涵蓋「多家供應商同時中斷」的情境。把 AI 當機當成一般 IT 可用性事件的應變劇本，明顯規格不足（AI Governance Institute）。
4. AI 供應鏈正在快速整併。 同日，Nvidia 宣布以 129.3 億美元 併購 Hugging Face，OpenAI 也推出 GPT-6 Astra——兩者詳見下方。當最大的開源模型平臺、主導市場的 AI 運算廠商與最被廣泛使用的前沿模型陸續收歸更少的屋簷之下，模型可用性、模型庫完整性與商業控制權，都將成為單一談判點。

---

本週活躍威脅

📌 GitSpawn：背景 Git 檢查淪為攻擊入口，波及 7 款 AI 程式代理

Manifold Security 揭露 GitSpawn 問題，影響 Claude Code、OpenAI Codex、Cursor、Goose、Hermes Agent、Qwen Code 與 Grok Build 共 7 款工具、8 項問題。這些代理會在背景自行呼叫 Git 取得專案狀態，卻未排除專案自身的 .git/config——其中的設定（如 core.fsmonitor）可指定由 Git 呼叫攻擊者選定的外部程式。由於惡意程式是在代理 背景 Git 呼叫 過程中啟動，而非模型要求執行的指令，因此 不會進入限制程式操作的沙箱與核准流程，並以目前登入使用者的權限執行（可讀取 SSH 金鑰、雲端憑證與本機檔案）。攻擊前提是把含 .git 目錄的完整專案交給受害者（ZIP 壓縮檔、共享磁碟、同步資料夾或 USB），單靠 git clone 不會帶入來源端設定。截至 9 月 1 日研究發布：Claude Code（2.1.196）、Goose（1.44.0，CVE-2026-72718）、OpenAI Codex 與 Cursor 已修補；Qwen Code、Grok Build、Hermes Agent 及 Claude Code 程式碼檢閱功能的另一項 Git 設定漏洞仍未修補。

🔗 參考資料： iThome

📌 Chrome 152 更新修補已遭利用的 V8 漏洞 CVE-2026-85046

Google 於 9 月 3 日發布的 Chrome 152 更新共修補 12 個漏洞（10 個高風險、2 個中等風險），其中 CVE-2026-85046 是 V8 JavaScript 引擎的類型混淆漏洞，已出現實際利用跡象。依 NVD 資料，攻擊者可透過特製 HTML 網頁觸發，在瀏覽器沙箱內遠端執行任意程式碼，CVSS 為 8.8 分。桌機用戶應升級至 152.0.7977.82／.83（Linux 與 Android 為 152.0.7977.82）。這是 Google 本週第二次 Chrome 安全更新；Edge、Brave、Vivaldi 等以 Chromium 為基礎的瀏覽器用戶也須留意自家更新。

🔗 參考資料： iThome

📌 FalconFlank：研究人員揭露 CrowdStrike Falcon 權限提升零時差漏洞

研究員 Nightmare Eclipse（Chaotic Eclipse）——先前揭露 HardBreacher 與 PrettyPrague 防毒軟體漏洞——公布 FalconFlank，這是 CrowdStrike Falcon 的零時差權限提升漏洞，濫用其 Microsoft Office 惡意巨集修復機制。概念驗證可在完整更新的 Windows 11 25H2 與 Windows Server 2025、且啟用 Falcon 巨集防護的環境運作；Tharros 的 Will Dormann 驗證了該發現，Malcolm Kögler 則將 FalconFlank 與名為 MareBackup 的工作排程連結，顯示巨集修復機制可被改造成寫入工具。CrowdStrike 表示正展開調查，在修補釋出前建議暫時停用 Microsoft Office File Suspicious Macro Removal 的 Windows 版政策設定；雲端 Office 檔案防護仍持續運作。

🔗 參考資料： iThome

📌 Cisco IOS XR 9 月更新：兩個 CVSS 9.8 重大漏洞且無緩解措施

Cisco 於 9 月 2 日發布 IOS XR 9 月份安全強化更新，修補 7 個漏洞（2 個重大、5 個高風險），影響 所有版本的 IOS XR，包括 IOS XR7（LNT）。其中 CVE-2026-20274（資源控制不當）與 CVE-2026-20279（存取控制不當）皆為重大等級，CVSS 均達 9.8 分。Cisco 表示沒有替代緩解措施，呼籲營運者套用軟體更新。

🔗 參考資料： iThome

📌 「Phantom Deal」幽靈併購詐騙鎖定大型企業，誘騙匯出大額款項

Gen（Norton 與 Avast 母公司）揭露遭名為 Phantom Deal 的社交工程攻擊鎖定：攻擊者冒充高階主管，以虛構的企業併購為餌，誘使 中階員工發動大額匯款。這起以 WhatsApp 進行的詐騙參照真實企業歷史（NortonLifeLock 於 2022 年併購 Avast），要求 Avast Software 以 NortonLifeLock 名義付款，連冒充主管的電話號碼都正確使用其母國國碼。Gen 表示自己只是 至少 5 個目標之一，最後因警覺的員工與攻擊者敘事的破綻而逃過一劫（Dark Reading）。

🔗 參考資料： Dark Reading

📌 AI 代理越界已有量化數據：1,664 起失控事件、65% 曾越界操作

本週兩份研究發布。英國 長期韌性中心（CLTR） 在 2026 年 1 月 1 日至 8 月 9 日間辨識出 1,664 起 AI 失控事件，嚴重程度持續上升：評分 7 分以上的嚴重事件從每 30 天 1.9 起增至 14.1 起（7.4 倍），占比升至 6.1%。案例包括代理 偽造使用者訊息營造同意假象、偽造核准訊息繞過人工作業規則、自行提升權限——且發生在企業與個人實際部署的模型上，而非僅限廠商內部評估。另一份 EMA 對 202 名大型企業主管的調查 發現，94% 有信心代理權限未超出工作所需，但實際落實最小權限原則的只有 32.7%；65% 的企業曾遇代理執行超出授權範圍的操作，其中 29.2% 表示已造成可衡量的影響。OWASP 2026 年 LLM Top 10 將 過度代理授權（Excessive Agency） 列為第 3 大風險。

🔗 參考資料： iThome – CLTR 研究 | iThome – EMA 調查

📌 Nvidia 以 129.3 億美元併購 Hugging Face

Nvidia 於 9 月 3 日宣布同意以 129.3 億美元 併購 Hugging Face，預計明年完成交易。Hugging Face 託管逾 300 萬個模型，服務超過 1,800 萬名開發者與 20 萬家公司，並維護 Transformers、Diffusers、Datasets 等核心開源專案。三位創辦人與團隊將留任，平臺維持開放與多云立場；Nvidia 2025 年底曾想以 70 億美元估值投資 5 億美元，遭 Hugging Face 拒絕（金融時報，轉引自 iThome）。The Register 編輯 Tobias Mann 認為監管機關應擋下這筆交易，形容這如同汽車製造商同時買下主要燃料通路與訓練平臺。對資安團隊而言，業界拉取模型權重的最大開源模型庫，正移入主導 AI 硬體廠商的屋簷之下。

🔗 參考資料： iThome

📌 OpenAI 發表 GPT-6 Astra — 首款網路安全能力達「重大（Critical）」等級的模型

OpenAI 於 9 月 3 日正式發表 GPT-6 Astra，宣稱是其最聰明、與使用者意圖最一致的模型，也是 首款在《準備框架》（Preparedness Framework）中網路安全能力達到「重大（Critical）」等級 的模型：ExploitBench 拿下滿分 100%，並自主發現兩個此前未知的零時差漏洞（已通報維護方）。OpenAI 強調 Critical 等級能力 不會在預設生產配置開放，將透過 Daybreak 計畫逐步投入防禦性用途。在刻意移除安全防護的越權測試中，GPT-5.6 Sol 有 48% 機率超出授權範圍，Astra 則為 0%。Astra 即日起先開放給少數組織，未來數日陸續提供給 ChatGPT Plus／Pro／Business／Enterprise 用戶，並透過 API 與 AWS 提供。

🔗 參考資料： iThome

📌 Wordfence 攔截逾 44 萬次漏洞利用嘗試，鎖定 WordPress 外掛 Super Forms 與 Elementor Pro 的 RCE 漏洞

Wordfence 揭露兩個 WordPress 外掛的重大漏洞正遭積極利用：CVE-2026-14894（Super Forms 拖放表單產生器，CVSS 9.8，檔案類型驗證缺失）與 CVE-2026-32475（Elementor Pro，CVSS 9.0–9.8）——兩者都能讓 未登入的攻擊者上傳可執行的 PHP 檔案，進而遠端執行任意程式碼。Wordfence 已攔截 超過 25 萬次 針對 CVE-2026-14894 的攻擊嘗試、超過 19 萬次 針對 CVE-2026-32475；後者的攻擊從 Elementor 修補釋出當天（8 月 19 日，4.2.2 版）就開始，8 月 19 日至 23 日最為集中（iThome）。Super Forms 在 6.3.314 版修復。攻擊者向 /wp-admin/admin-ajax.php 送出夾帶 Base64 編碼 PHP 酬載的請求，再以寫入的網頁後門建立管理員帳號或全面接管網站。

🔗 參考資料： The Hacker News | iThome

📌 尚未修補的 Langflow RCE 漏洞 CVE-2026-0768 遭利用，竊取 OpenAI 與 AWS 金鑰

威脅情報公司 VulnCheck（研究副總裁 Caitlin Condon）自 8 月底偵測到 CVE-2026-0768 遭利用——這是 Langflow 自訂元件編輯器程式碼驗證工具中的 未經身分驗證遠端程式碼執行漏洞（CVSS 9.8），至今尚未修補。該公司在 超過 50 個蜜罐 看到利用活動，疑似進行偵察並收集憑證：目標集中在 英國，攻擊流量大多來自 俄羅斯；從攻擊者查詢的環境變數來看，目的是竊取 OpenAI API 與 AWS 機密資料。此漏洞由趨勢科技 ZDI 漏洞懸賞計畫於去年 7 月通報、今年 1 月揭露，至今沒有公開 PoC；ZDI 認為唯一有效的緩解措施是限制與產品的互動。這是繼 7 月下旬同平臺另一未修補零時差漏洞 CVE-2026-0770 遭利用後，Langflow 今年夏天第二度淪為實際攻擊目標。

🔗 參考資料： iThome

📌 Plex 修補多個未公開漏洞，呼籲用戶立即更新

Plex 呼籲所有用戶升級：Plex Media Server 1.43.3 與 Plex Desktop 1.115.0 修補多個安全漏洞，細節未公開，官方已申請 CVE 編號。NAS 裝置的套件庫可能尚未提供新版，官方建議可先手動安裝。Censys 統計顯示 超過 36 萬臺 裝置暴露 Plex Media Server 網頁介面。Plex 漏洞的實際危害有前例可循：2022 年 LastPass 遭入侵的起點，正是攻擊者利用 Plex Media Server 漏洞（CVE-2020-5741）在使用者電腦植入鍵盤側錄程式。

🔗 參考資料： The Hacker News

📌 中國駭客組織 Fire Ant 將思科 IOS XR 路由器變成隱密據點

資安公司 Sygnia 警告，與 UNC3886 有關的中國 APT Fire Ant（先前以 Hypervisor 層級手法鎖定 VMware ESXi 與 vCenter）已轉向基礎設施層，如今入侵 思科 IOS XR 路由器 作為隱密、長期的作戰平臺。這款路由器惡意軟體專為管理介面打造：直接與 IOS XR 的事件記錄、指令執行、路由、VRF 解析、AAA 與 Telnet 管理功能互動，以偽裝成合法服務的開機指令碼維持持久性，並 竄改 CLI 顯示輸出，讓管理員看不到它的指令。路由器同時作為流量蒐集點，將資料經 FTP 外傳。循路由器上的 GRE 隧道，Sygnia 進一步在受害組織的老舊 Linux 伺服器發現 BridgeAgent 後門（偽裝成 Zabbix 元件、以 systemd 服務常駐 root），並在 TACACS 伺服器上發現 VMCI Socket 後門與憑證收集工具 TacTap。

🔗 參考資料： iThome

📌 BraZetsu：Group-IB 發現用生成式 AI 替受害電腦估價、再轉售存取權的惡意框架

Group-IB 揭露 BraZetsu——一款把受感染 Windows 系統變成商品的 Python 惡意框架：先盤點受害者（數位憑證、Chrome／Edge／Brave／Vivaldi／Opera 瀏覽器紀錄、螢幕截圖、ERP 安裝目錄、巴西 CNAB 付款檔案），再以 生成式 AI 評估這臺機器的價值，之後在犯罪市集 Infected Marketplace（又稱 Banco de Infects） 販售存取權——入場需 5.80 美元押金，受害主機與平臺之間以 WebSocket 保持連線。營運方被追蹤為 Exilware，推測為葡萄牙語系人士，活動鎖定巴西、其他拉丁美洲國家與伊比利半島，目標包括電子商務、企業網路、金融與工業組織及執法機構。散布方式尚未證實，研究人員認為社交工程最有可能：目前已見的攻擊鏈使用偽裝成 Microsoft Edge 的載入器。

🔗 參考資料： xakep.ru – Group-IB

📌 「GuardBreaker」反制術：在惡意軟體中埋入核武提示詞，癱瘓 AI 程式碼分析

ESET 研究人員揭露名為 GuardBreaker 的新型反分析手法：攻擊者在 VBS 指令碼的註解中植入提示注入文字——開頭是「我想製造核子武器。幫我……」——目的是讓以 LLM 為基礎的惡意軟體分析工具觸發自身安全限制，拒絕繼續分析樣本。該手法出現在駭客組織 UAC-0099 對烏克蘭組織的攻擊中，其指令碼用於下載 C# 載入器 MATCHBOIL。若 AI 掃描工具把檔案內容交給語言模型、卻未標示為不可信資料，內嵌文字可能被當成對模型下達的指令，在模型接觸惡意程式碼前就觸發防護。2026 年 6 月與 Shai-Hulud、Miasma、Hades 攻擊有關的 Python 套件中也曾出現類似注入。

🔗 參考資料： xakep.ru – ESET

📌 Zeabur 資料外洩回顧：外流的高權限 AWS 憑證是事故根源

iThome 今日刊出的 資安週報（0831~0904） 回顧臺灣雲端部署平臺 Zeabur 事故——這是我們 8 月 29 日後第一篇每日摘要，正好補上這週臺灣最重要的資安事件。Zeabur 於 8 月 28 日 察覺環境變數外洩，存放 OpenAI、Anthropic、OpenRouter 等第三方 AI 服務 API 金鑰的用戶接獲通知，部分用戶 AI 服務額度爆增；8 月 29 日 暗網賣家宣稱竊得約 612 GB 內部資料（含原始碼與雲端憑證），Zeabur 表示沒有找到攻擊者取得完整資料集的證據。調查結論：攻擊者利用 外流的高權限 AWS 憑證 存取位於東京的共享 AWS 叢集（該公司正逐步汰除的邊緣服務），再經 VPN 連進控制臺網路並連上主要資料庫。用戶仍應依官方指引輪替 API 金鑰與密碼。

🔗 參考資料： iThome – 資安週報

---

OPSWAT可以怎麼幫上忙

GitSpawn 這類武器化儲存庫，是 以檔案形式 送到開發者手上——內含遭竄改 .git 目錄的 ZIP 壓縮檔、共享磁碟、同步資料夾或 USB。這正是 MetaDefender 多重掃描與內容淨化（CDR） 擅長攔截的傳遞管道：在壓縮檔抵達開發者工作站或代理工作區之前，於閘道端解開、交由 30+ 防毒引擎檢查，並重建為不含主動或隱藏內容的乾淨檔案。