本期 Tempest Security Daily 彙整 2026 年 6 月 17 日的資安動向。今日來源 security_filtered.json 僅收錄 4 篇文章，因此本報如實整理這 4 則訊號，未進行任何補充或推測，以避免編造未經來源證實的內容。即便篇數有限,今日的訊號呈現出一條清晰的主軸——「開發流程本身正成為被武器化的攻擊面」:朝鮮 APT 集團把 GitHub、VS Code 與假面試任務改造成惡意程式投遞通道、Checkmarx 把 AppSec(應用程式安全)業務推進到美國公部門市場、Chainguard 結合 AI 與開源社群力量打造 Athena 聯盟搶在攻擊者前修補開源漏洞,而 SecurityWeek 也彙整出整個資安產業對 AI 的全面盤點。對台灣的工程與資安團隊而言,今天最值得做的一件事是把「開發者工作流」(IDE、套件、Pull Request、面試任務)正式納入威脅模型,而不再僅僅把它當作生產力工具。
朝鮮 APT 把開發者工具鏈改造成惡意程式投遞通道
從釣魚轉向「開發者導向攻擊」:GitHub、VS Code 與假任務成為入口—— 報導指出,與朝鮮(North Korea)有關聯的攻擊集團正在把攻擊重心從傳統的釣魚郵件,轉向「開發者信任的工具」。具體手法包括:在 GitHub 上散布看似正常的儲存庫、把惡意載荷藏在 VS Code 專案結構裡,以及透過「假面試的程式題」(fake coding tasks)誘導目標執行第三方程式碼,進而把組織納入感染鏈。文章把這波攻勢定調為跨國性的攻擊浪潮(worldwide campaigns),而非單一受害者的事件。對台灣的工程主管,這條訊號的關鍵在於三點:第一,凡是「以面試之名要求候選人在本機 clone 並執行專案」的流程,本身就是高風險入口——求職者(也包括 reverse 場景的招募方)都應建立隔離環境執行未審核程式碼;第二,VS Code 的 tasks.json、launch.json、recommended extensions 等檔案可被當成本地端執行點,team 內部 review 不能只看原始碼,還要看設定檔;第三,內部對於 npm install、go mod download、pip install 之類「拉依賴即執行任意程式碼」的步驟,應在容器或無網路 sandbox 中先跑一輪。原文:https://ift.tt/W5GA2Zx
Checkmarx 攜手 Carahsoft 進軍美國公部門 AppSec 市場
應用程式安全廠商把通路押在政府聚合商上—— Checkmarx 宣布與 Carahsoft 合作,由後者擔任其在美國公部門(public sector)的主要政府聚合商(master government aggregator)。合作內容是 Checkmarx 的應用程式安全(application security)產品線將透過 Carahsoft 的經銷商網路與政府採購管道銷售給政府客戶。對台灣的資安採購端與供應商角度的訊號是:一方面,美國公部門對 SAST、SCA、API security 等 AppSec 工具的採購正持續被「聚合商通路」綁定,意味著想切入該市場的台灣 SaaS 廠商很難跳過 Carahsoft 這類渠道;另一方面,當大客戶把採購權集中在政府聚合商,廠商的功能 roadmap 也容易被公部門合規優先順序(例如 FedRAMP、CMMC、SBOM 要求)牽引,而非完全由商業客戶需求決定——這是評估 Checkmarx 未來產品方向時值得納入的觀察角度。原文:https://ift.tt/YEQBJnr
Chainguard 推出 Athena 聯盟:用 AI 搶在攻擊者前修補開源漏洞
把 AI 模型轉成「漏洞修補機器人」,介入點放在攻擊發生之前—— Chainguard 宣布成立名為 Athena 的新聯盟,核心訴求是用 AI 來修補開源軟體中的漏洞——而且鎖定在「攻擊者實際利用之前」這個時間點。對台灣使用 Wolfi、distroless 映像檔、或大量依賴上游開源元件的團隊而言,這個動作延續了 Chainguard 過去把 supply chain security 視為產品而非服務的路線:過去他們處理的是「打造乾淨的容器基底」,現在則想處理「上游漏洞本身」。值得注意的觀察點有兩個:一是若 Athena 聯盟確實能在 CVE 公告前主動產生 patch,下游組織原本依賴的「等 CVE → 等 vendor patch → 升版」這條反應式流程,將被「上游已預修補」這條主動模式部分取代;二是用 AI 自動產生 patch 帶來的程式碼正確性、授權與維護責任歸屬問題,將成為各組織採用前必須回答的治理題。原文:https://ift.tt/1bB9z5a
SecurityWeek 全景盤點:AI 在資安的真實樣貌
橫跨從業者、研究員、廠商、分析師與 AI 專家的綜合訪談—— SecurityWeek 訪談了數十位安全從業者(security practitioners)、研究員、廠商、分析師與 AI 專家,試圖為當前資安產業內的人工智慧(AI)使用樣貌畫出一張全景圖。文章自我定位為「現況快照」,涵蓋 AI 在當下整個 security landscape(資安生態)的實際應用面。對於台灣的 CISO 與資安主管,這篇值得當成戰略對齊的閱讀材料:當許多廠商正試圖把「AI」貼成行銷標籤,從從業者與研究員角度蒐集而成的綜合觀點,能幫助組織區分「真正進入產線使用」與「demo 用途」的 AI 安全應用,進而把採購、自建與導入順序排出輕重緩急。原文:https://ift.tt/tLx0mvz
結語
今日 4 則訊號雖然篇數不多,主軸卻清楚:當朝鮮 APT 把面試題與 VS Code 專案改造成投遞通道、當 Chainguard 用 AI 重塑開源漏洞修補節奏、當 AppSec 廠商把通路壓在政府聚合商上、當整個產業仍在盤點 AI 究竟為資安帶來什麼,「開發流程」與「AI」這兩個過去被工程團隊視為效率引擎的東西,正同時成為攻擊面與防禦工具。對台灣團隊,今天最值得帶走的一條判斷是:把「開發者工作流」(招募、IDE、套件、PR 流程)正式納入威脅模型,並開始評估 AI 在你的資安鏈中究竟扮演什麼角色——不要把它丟給行銷簡報來定義。