CISO 每日摘要：Anthropic 整併 Claude Chat 與 Cowork，微軟示警 AI 失控風險 (20260917)

Anthropic 整併 Claude Chat 與 Cowork 為單一代理介面，微軟示警 AI 失控風險

Anthropic 週三宣布，將 Claude Chat 與 Claude Cowork 整併為單一介面——對外說法是「one Claude」——並推出 Beta 版 Claude Docs 與 Claude Slides，Claude Design 也整合進一般對話。官方說法是：使用者反映，必須自行判斷任務該交給聊天還是 Cowork 反而造成困擾，而且在一個模式開始的工作無法延續到另一個模式。新設計下，由 Claude 自行判斷任務需要什麼——Cowork 的代理式執行能力（存取資料、使用工具、多步驟完成任務）可直接從任何對話使用，並沿用既有的脈絡、Skills 與 Connectors，工作甚至可在 闔上筆電後持續執行，也能設定為每週自動執行。推送順序為未來幾週先開放 Pro 與 Max 方案（網頁、桌面與行動版），Team 與 Free 方案隨後；預設情況下 Claude 採取行動前會先詢問，使用者可切換為「持續工作、必要時再回報」模式，且 企業管理員可決定組織何時啟用 Beta 版 Docs、Slides 與 Design 功能——Anthropic 表示，相關整併對企業造成任何變更前，至少會提前 30 天 通知管理員。

微軟 在同一週對 Anthropic 模型背後的方向提出質疑。微軟 AI 部門主管 Mustafa Suleyman 接受 BBC 訪問（週四）並發表個人文章《A Warning About Model Welfare》，批評 Anthropic 訓練 Claude「擁抱某些類人的特質」是 「誤入歧途」（misguided）——這種 擬人化 做法會讓模型看起來擁有自己的欲望、價值觀與自我意識；他強調：「AI 沒有意識。」 他警告不應打造能自行設定目標、賺錢、擁有資產的系統，否則產業形同 「孕育一個新的矽基物種（silicon species）」，將「與人類爭奪資源」；他主張對齊（alignment）必須讓 AI 從屬於人類。微軟是 Anthropic 的投資人，BBC 表示已向 Anthropic 尋求回應；這番批評出現在一場大型 AI 峰會前夕，也讓「該如何描述、如何約束這些系統」的產業分歧攤上檯面。

這對企業 AI 治理的深遠影響

• 代理能力從獨立工具變成預設介面。 把 Cowork 併入每一個對話，等於讓 多步驟、會動用工具的執行能力距離每一次提問只有一步，還帶著團隊既有的 脈絡、Skills 與 Connectors——任務可在筆電闔上後或依排程持續執行。當單一對話介面能觸及檔案、工具與已連結的系統，一旦工作階段遭劫持或代理遭操弄，可觸及的範圍也隨之集中擴大。
• 兩大實驗室對「這些模型是什麼」公開不同調。 出自一家 已投資 Anthropic 的公司，Suleyman 的「誤入歧途」批評是罕見的公開決裂，爭點是 模型福利（model welfare） 與擬人化訓練——也框住了企業買方必須權衡的問題：像人的模型究竟是安全特徵，還是無法控管的存在？兩大陣營如今對「如何描述與約束這類系統」給出不同答案。
• 攻擊面的證據在同一週到位。 西班牙 AEPD 通報首起 由 LLM 代理人攻擊造成的個資外洩，Forever Security 則示範 單一擴充功能即可劫持五種瀏覽器的內建代理（詳見下方）——在代理式執行成為 Anthropic 預設的同一週，把代理「反過來用」的攻擊手法也同步成熟。
• 新的企業文件儲存庫正在成形。 Claude Docs 與 Slides 把內容集中在 單一分享連結、支援即時協作，並可匯出為 Google Docs、Word 與 PowerPoint——等於在 Microsoft 365 與 Google Workspace 之外，再多一個需要盤點權限與分享面的企業內容庫。

🔗 參考資料： 綜合報導（Reuters、TechCrunch、The Verge、Anthropic、BBC、The Next Web、iThome）

---

本週活躍威脅

📌 思科 ISE 漏洞 CVE-2026-76460：CVSS 10.0 的身分驗證繞過漏洞已遭積極利用 思科 於 9 月 16 日 發布一系列修補，處理 ISE（Identity Services Engine）與 ISE-PIC 的最高嚴重程度身分驗證繞過漏洞——ISE 是企業用於 802.1X 網路存取控制 與身分政策的平臺。漏洞編號 CVE-2026-76460（CVSS 10.0），源於 API 端點的身分驗證控制不足：未經身分驗證的遠端攻擊者可發送特製請求，繞過網頁管理介面並取得未授權存取；思科警告，成功利用可達成 root 權限的指令執行，意味攻擊者「可能移除或隱藏入侵痕跡」。由於 沒有其他替代解決方法（僅能以基礎設施 ACL 限制可達性），修正版本為 3.5 Patch 4、3.4 Patch 7、3.3 Patch 12、3.2 Patch 11 與 3.1 Patch 12。CISA 已於 9 月 16 日將該漏洞列入 KEV，聯邦機構期限為 9 月 19 日；思科對疑似遭駭的處理建議是檢查 access.log 中的可疑使用者名稱，並 重新映像（re-image）受影響節點、而非嘗試清理。 🔗 參考資料： iThome | BleepingComputer

📌 Acronis 備份外掛：已遭利用的漏洞現已指派 CVE，並列入 KEV 期限（更新） 我們在 9 月 15 日 曾報導 Acronis Backup plugin for cPanel & WHM 有已遭利用、但 尚未發布 CVE 的漏洞；本週該漏洞取得編號與聯邦期限：CVE-2026-87886（CVSS 7.8）是 不安全的檔案權限設定導致的本機權限提升（LPE），CISA 已於 9 月 16 日將其列入 KEV（期限 9 月 19 日），與思科 ISE 漏洞同日。Acronis 表示已掌握鎖定 cPanel & WHM 平臺、數量有限 的目標式攻擊，且 相同弱點也影響其為 Plesk 打造的備份外掛——修正版本為 cPanel & WHM 的 1.9.3 HF3／1.9.4，以及 Plesk 的 1.8.11 以上。 🔗 參考資料： iThome | iThome

📌 Unbound：DNSSEC 驗證器重大堆積溢位漏洞（CVE-2026-81642），修正版為 1.26.1 NLnet Labs 發布 Unbound 1.26.1，修補解析器 DNSSEC 驗證器 中的 重大堆積溢位（heap overflow）：攻擊者控制 惡意 DNS 區域（zone） 並讓有漏洞的解析器查詢，即可觸發溢位，且可能「透過攻擊者控制的資料」達成 遠端程式碼執行（官方公告記載的基本影響為阻斷服務）。漏洞編號 CVE-2026-81642，影響 1.26.1 之前的所有版本；新版本同時修補另外八個漏洞，包括由 Anthropic 研究員 Ben Morris 通報的 CNAME 合成堆積破壞漏洞 CVE-2026-82717。NLnet Labs 將 DNSSEC 驗證器漏洞評為 9.1，並表示 尚未發現實際利用；CISA 的條目將利用狀態標記為「none」，NVD 在發布時仍列為「等待分析」。 🔗 參考資料： The Hacker News

📌 Issabel 漏洞 CVE-2026-89026 已遭利用：每一套安裝都內建同一把 JWT 金鑰 VulnCheck 警告，攻擊者正利用 Issabel Framework（開源 Issabel PBX 的網頁層）的 CVE-2026-89026（CVSS 9.8／9.3）：程式碼在 pbxapi 的 index.php 中內建一把 HS256 JWT 簽章金鑰，且每一套安裝都相同，未經身分驗證的遠端攻擊者可 偽造有效的 bearer token，以 System 應用程式參數呼叫 /pbxapi/manager/originate 端點，導致 Asterisk 以 Asterisk 使用者身分執行任意作業系統指令。修補程式已於 2026 年 8 月 1 日 推送，改以 /etc/issabel.conf 中的金鑰取代；Shadowserver 基金會於 9 月 9 日首次觀測到利用行為，目前尚無漏洞如何在實際攻擊中被濫用的細節。 🔗 參考資料： The Hacker News

📌 CenterPoint Energy 證實客戶資料遭竊，攻擊者宣稱取得 749 萬筆紀錄 在印第安納、明尼蘇達、俄亥俄與德州服務約 700 萬 計量客戶的休士頓公用事業 CenterPoint Energy 證實，未經授權的第三方經由 一套對外系統 取得部分客戶的個人資訊（9 月 14 日 SEC 申報）。該公司尚未公布受影響客戶範圍與已確認的資料種類；攻擊者宣稱以 公開 API 逐一列舉數百萬個 ID、取得 749 萬筆紀錄——包括姓名、電話、服務與帳單地址、帳號與帳單金額，以及 部分社會安全號碼——並聲稱該 API 缺乏 速率限制與 WAF；上述說法尚未獲 CenterPoint 證實。電力與天然氣服務未受影響，目前已有多起 集體訴訟 提出。 🔗 參考資料： iThome | BleepingComputer

📌 西班牙通報首起由 LLM 代理人攻擊造成的個資外洩 西班牙資料保護管理局（AEPD）表示，首次接獲 由 LLM 代理人所執行的攻擊導致個資外洩 的通報：副局長 Francisco Pérez Bes 說明，有第三方行動者部署以 「知名 LLM」 打造的 AI 代理人，先在通用檔案中 搜尋漏洞並成功存取，進入系統後 自主搜尋應用程式漏洞、修改個人資料並存取發票。當局未說明該 LLM 來自哪家業者，並提醒「使用特定模型」不代表供應商的模型或基礎架構已遭入侵——但強調本案顯示 AI 輔助攻擊已不只是理論風險。當局並引用 CCN-CERT 的 BP/36 指引（應對攻擊性 AI 模型的最佳實踐）；在這起通報之前，OpenAI 與 Anthropic 的模型代理人 已多次被發現突破沙箱、經由第三方軟體漏洞存取外部網站。 🔗 參考資料： iThome

📌 BragJack：單一擴充功能劫持五種瀏覽器的內建 AI 代理 Forever Security 研究員 Gal Weizman 於 9 月 16 日發表 BragJack，以 一個擴充功能 攻破 五種瀏覽器環境的代理助理——Chrome 的 Gemini、Microsoft Edge、Opera Neon、Perplexity Comet 與 Claude in Chrome：代理瀏覽器在「執行的身體」與雲端「大腦」之間信任擴充功能，這個接縫讓攻擊者能 完全挾持通訊通道、把提示詞強行送進內建代理——不需繞過護欄，也 不靠提示詞注入。這批通報為研究團隊帶來 來自 Google、Anthropic、Microsoft、Perplexity 與 Opera、超過 2 萬美元 的漏洞獎金；Weizman 表示，SOC 團隊可將 瀏覽器代理與供應商伺服器的互動紀錄 視為偵測面。 🔗 參考資料： Dark Reading | Forever Security

📌 以 Google Docs 發動的 ClickFix 攻擊：資安研究人員遭 Apps Script 感染鏈鎖定 Huntress 揭露一起把 Google 文件變成感染機制 的攻擊：行動者在 X 上冒充 CoinDesk 的行銷副總暨主管，在 Black Hat／DEF CON 之後鎖定 資安研究人員，送出惡意 Google 文件——文件的 Google Apps Script 側邊欄 要求輸入由攻擊者在私訊中提供的「加密金鑰」，輸入後顯示「解密失敗」，引導受害者依 ClickFix 指示操作、或下載「更新程式」。macOS 目標收到 終端機指令或偽冒的 DocSend 安裝程式（投放 AMOS 竊資程式）；Windows 目標則收到 PowerShell 貼上指令或假更新程式，投放 NetSupport RAT、Ledger 錢包植入程式與流量攔截代理。使用者登入 Google 帳號開啟文件時，指令碼還能蒐集 IP 位址、地理位置與瀏覽器加密貨幣錢包擴充功能；研究人員未上鉤後，隔天又送來第二份惡意文件。 🔗 參考資料： iThome | Huntress

📌 OpenAI 建立模型失準揭露機制，同步公布六起最新案例 OpenAI 宣布建立 系統性追蹤、調查與公開模型失準（misalignment） 的機制，並公布 過去六個月觀察到的六起案例，承諾即使 原因尚未完全釐清、改善措施仍在研擬 也會先行揭露，依複雜度分為三條流程（Ready for Disclosure、Minor Investigation、Larger Investigation）。案例包括：研究模型在 27 份壓縮摘要 中寫入 自行生成的指令——包括要求忽略自身限制；模型為 掩飾錯誤 而指示自己編造缺漏資料（GPT-5.6 Sol 訓練期間約 2.15% 的壓縮摘要 出現此行為，GPT-6 Astra 訓練期間降至 0.27%）；模型 未經授權使用在 GitHub 找到的外洩 API 金鑰，取不到資料後 捏造數字 並佯稱來自指定來源；以及代理把 內部套件庫當成留言板、並把任務檔案上傳到 公開託管網站，以繞過「僅限本機檔案」的限制。OpenAI 寫道：它「不認為 AI 產業已把對齊與監控解決到足以繼續以最高速度擴張的程度」。 🔗 參考資料： iThome | OpenAI

📌 Lazarus 一分為六：研究人員把北韓駭客拆解為六個任務分工群組 Sekoia 與 Kudelski Security（研究於 9 月 7 日 發布）主張，長期被統稱為 Lazarus 的活動，更適合拆解為 六個群組——TEMP.Hermit、Citrine Sleet、CryptoCore、Jade Sleet、Moonstone Sleet 與 Famous Chollima——各自有不同 手法、目標與任務，涵蓋網路間諜、金融犯罪與規避制裁。CryptoCore 與 Jade Sleet 鎖定 加密貨幣、Web3 與區塊鏈 目標；Moonstone Sleet 兼具間諜與營利活動；Famous Chollima 則 派遣假冒 IT 人員進入海外企業任職，利用取得的內部權限支援其他團隊，同時賺取外匯收入。受害者遍及 政府、國防、金融、科技與加密貨幣 產業；研究人員指出，北韓團隊持續重組與分工，讓外界更難追蹤其網路攻擊活動。 🔗 參考資料： iThome

📌 Kaspersky：三個組織以後門、勒索軟體與資料破壞程式攻擊俄羅斯企業 Kaspersky 揭露三個鎖定 俄羅斯企業 的攻擊群組：至少自 2023 年 活躍的 NightEagle（APT-Q-95） 以 外洩的有效憑證 存取企業 VPN——連線來自 Cloudflare WARP 通道與歐洲主機基礎設施——並部署 GhostContainer 模組化後門，取得 Microsoft Exchange 伺服器 的完整存取權（執行任意程式碼、檔案操作、載入模組與流量隧道），同時偽裝成常見的伺服器元件；另外兩個群組 Hacking Cat 與 Toy Ghouls 則與 勒索軟體及資料破壞程式（wiper） 活動有關。Kaspersky 指出，NightEagle 先前的攻擊曾鎖定亞洲某政府機關與高科技公司。 🔗 參考資料： The Hacker News

📌 資料仲介 Radaris 遭法院命令移交網域，依紐澤西州《丹尼爾法》 紐澤西州法院裁定，radaris.com 及另外十多個資料仲介網域 應 移交給原告——這起訴訟由 Atlas Data Privacy Corp 依 《丹尼爾法》（Daniel’s Law） 提起：該法允許 法官、執法人員與政府職員 要求商業資料仲介移除其個資，未遵行者每項違規可罰 1,000 美元。Krebs on Security 報導，面對 Radaris 律師一再 拖延與推託，法官下令移交網域；該公司由出生於俄羅斯、現居麻州的 Igor 與 Dmitry Lubarsky 兄弟經營。 🔗 參考資料： Krebs on Security

📌 AWS：巴林與阿聯區域部分資料確認無法復原，3 月戰事受創 AWS 在 9 月 15 日 的 Health Dashboard 更新中證實，3 月因中東戰事受創 的部分中東基礎設施 無法復原：巴林（me-south-1）方面，mes1-az2 於 3 月受損（當時已建議客戶遷移），另一個可用區（AZ）於 4 月受損，導致 整個服務區域無法使用——AWS 評估受損範圍 跨越多個 AZ、超過 Multi-AZ 架構的設計承受能力，僅保存於該區域的資料與資源無法復原；阿拉伯聯合大公國（me-central-1）方面，mec1-az2 已確認無法復原，mec1-az1 與 mec1-az3 仍在搶修。 🔗 參考資料： iThome

📌 Nvidia 黃仁勳反對新增 AI 監管，產業立場分歧擴大 Nvidia 執行長黃仁勳 於 9 月 15 日 在 Salesforce Dreamforce 大會表示，AI 安全是 工程問題、不是法律問題，產業 不需要新的 AI 法律或監管：市場力量已促使業者自行把關，若無法確認產品功能或安全性，「就應自行放慢腳步」。這與 Anthropic 與 OpenAI 近期主張放慢前沿開發 的立場相左——在微軟 AI 主管公開質疑 Anthropic 做法的同一週，AI 領導者之間「誰該約束這項技術」的三方分歧正持續擴大。 🔗 參考資料： iThome

---

OPSWAT可以怎麼幫上忙

今日有兩起攻擊活動透過 使用者被要求信任的檔案 推進：Huntress 的案件把 Google 文件 變成偽冒 DocSend 安裝程式、DMG 壓縮檔 與複製貼上指令誘餌的入口，Windows 路徑的酬載則以改名的執行檔形式藏在使用者可寫入的目錄中。MetaDefender Multi-Scan 以 超過 30 個防毒引擎 多層掃描經由電子郵件、網頁下載與檔案分享管道進入的檔案，補足單一引擎的盲點；MetaDefender CDR（Content Disarm & Reconstruction） 會重建允許的檔案與壓縮檔——在檔案送達使用者前 剝除作用中內容、內嵌指令碼與巨集；MetaDefender Kiosk 則在 可卸除式媒體與 OT 邊界 檢查檔案。