本期 Tempest Security Daily 來源僅篩選出 4 則資安相關報導，主軸圍繞 AI 時代下的工程安全治理：Anthropic 推出 Claude Code 內建安全外掛、印度 CERT-In 警示 AI 助攻的攻擊鏈正在升級、GitHub 內部儲存庫遭社交工程攻破事件，以及一份針對 Anthropic 新型安全模型 Glasswing 的實測觀察。整體方向反映出「AI 同時是攻擊放大器與防禦工具」的雙面性，對台灣團隊在 DevSecOps、供應鏈與內部威脅模型規劃上具參考價值。
AI 安全工具與防禦自動化
1. Anthropic 為 Claude Code 推出免費安全外掛，於終端機即時掃出漏洞
Anthropic 為其 Claude Code 終端機工具推出一款安全指引外掛，可在工程師編輯程式碼、模型產生輸出與提交（commit）時自主審查，並於漏洞流向正式環境前提前攔截。該外掛免費提供給所有使用者，目標是把「Shift Left」的安全檢查直接內嵌到 AI 輔助開發流程中，對於採用 Claude Code 作為日常 IDE 替代方案的團隊，可考慮把它列為預設的 pre-commit 安全防線之一，並評估與既有 SAST/Secret Scanner 的覆蓋落差。原文連結：[https://ift.tt/JMnhCR3]
AI 助攻攻擊與國家級警示
2. 印度 CERT-In 警告：AI 加持的對手正放大橫向移動、漏洞利用與資料外洩規模
印度國家網路應變中心（CERT-In）發布最新藍圖，警示人工智慧正在快速重塑網路威脅樣貌——攻擊者已能自動化偵察（Reconnaissance）、漏洞探勘、釣魚郵件、惡意程式生成與大規模攻擊操作。報告特別強調橫向移動（Lateral Movement）、漏洞利用與資料外洩在關鍵基礎設施中的放大效應，提醒主管機關與企業重新檢視偵測閾值與紅隊演練腳本。台灣關鍵基礎設施、金融與電信業者可將其視為更新威脅模型（Threat Model）與 SOC 偵測規則的外部觸發點，特別是針對 AI 生成釣魚與自動化憑證填充的偵測能力。原文連結：[https://ift.tt/lgSQzT8]
開發者工具與供應鏈攻擊
3. GitHub 內部儲存庫遭入侵：員工裝置經 VS Code 惡意外掛被攻破
根據 CyberheistNews Vol 16 #21（2026 年 5 月 27 日）報導，GitHub 揭露攻擊者在入侵一名員工裝置後成功存取其內部儲存庫，初始攻擊向量是一個遭植入惡意程式碼的 Visual Studio Code 擴充套件。該事件再次凸顯「開發者工具就是社交工程目標」這個近年快速浮上檯面的議題：IDE 外掛、CLI 套件、包管理器都已成為攻擊者繞過資安管控、直達原始碼倉庫與 CI 金鑰的高槓桿入口。對台灣團隊而言，建議重新檢視 VS Code、JetBrains、Cursor 等 IDE 的擴充套件白名單機制，以及開發者工作站上對 npm、PyPI、Marketplace 安裝行為的端點偵測與基線控管。原文連結：[https://ift.tt/qT86ZSt]
AI 安全模型實測觀察
4. Glasswing 上線一個月：從實測數據看 Anthropic 新型程式安全模型的衝擊
作者延續上個月《Mythos: The Nuclear Bomb of Software and Code Security》文章，整理 Anthropic 新模型 Glasswing 上線一個月內的觀察與實測發現，從程式與軟體安全的角度評估其影響面與可能的攻防衝擊。對於正在評估「AI for Security」工具鏈、或想了解新型專用安全模型相較通用 LLM 在漏洞偵測表現差異的工程團隊，這篇心得可作為跟進閱讀。需留意原文以 Medium 個人觀察為主，建議與官方基準測試與內部 PoC 結果交叉驗證後再作採購或導入決策。原文連結：[https://ift.tt/x7BpAuQ]
編輯室小結
本日來源僅 4 篇，未能達到日報常態 8 至 12 則的目標數量，但四則新聞恰好形成「攻、守、人、工具」四個切面：CERT-In 揭示 AI 助攻攻擊面正在擴大、Anthropic 與 Glasswing 代表防守端正以模型驅動方式回應、GitHub 事件則提醒「人」與「開發者工具」仍是供應鏈最脆弱的環節。建議台灣團隊在本週短會議程中加入兩項討論點：第一，IDE 擴充套件與開發者工作站的端點安全基線；第二，將 AI 安全外掛（如 Claude Code Security Plugin）納入 SDLC 流程的試點計畫。明日將持續觀察 CVE 通報、廠商安全公告與重大事件揭露的動態。