今日焦點涵蓋伺服器端範本注入、AI 生成程式碼風險、全儲存庫程式碼安全分析、npm 供應鏈攻擊，以及 AI Agent 與 DevSecOps 的零信任防護。
伺服器端範本注入成為關鍵 Web 風險
伺服器端範本注入（SSTI）發生於應用程式未妥善驗證使用者輸入，便將內容嵌入伺服器端範本。此類弱點可能影響使用 Jinja2、Twig 或 Freemarker 等範本引擎產生動態內容的應用程式。
SSTI 防護應從輸入處理著手
開發團隊應檢視使用者可控資料是否會進入範本內容，並落實輸入驗證與安全的資料處理方式。使用範本引擎時，也應避免讓外部輸入被直接解讀為範本語法。
AI 生成應用程式擴大攻擊面
AI 生成程式碼加快應用程式交付速度，但也可能同步增加需要檢查的程式碼與風險面。若開發流程只重視產出速度，未將安全需求與系統情境一併納入，後續治理難度可能提高。
AI 程式碼安全高度依賴脈絡
AI 生成內容是否安全，不能只看單一程式碼片段，還需理解整體系統架構、資料流與實際使用情境。安全思維應在專案初期導入，讓需求、設計、實作及審查流程具備一致的安全脈絡。
程式碼快速增加，安全檢測面臨新壓力
AI 改變程式碼的產生方式與交付速度，使更多程式碼進入開發管線，其中也包含 AI 生成內容。資安團隊因此需要因應更大的檢測範圍，並重新評估既有程式碼安全流程是否足以支撐。
傳統 SAST 規則比對存在限制
傳統靜態應用程式安全測試（SAST）主要偵測符合既有規則或特徵的問題，面對需要跨檔案或全儲存庫脈絡判斷的風險時可能受限。Orca Code Security Auditor 主打以推理方式進行全儲存庫程式碼安全分析。
蠕蟲攻擊波及大量熱門 npm 套件
2026 年 8 月 4 日，多個知名 npm 套件遭到入侵並被用於散布後門。事件顯示套件生態系一旦遭到污染，惡意程式便可能透過相依套件與發布流程進一步傳播。
npm 供應鏈事件凸顯套件稽核需求
keyv npm 套件的一筆提交被列為此次攻擊活動所使用惡意酬載的案例。開發與維運團隊應盤點 npm 相依套件、鎖定版本、檢查近期更新，並持續監控建置及發布流程中的異常變更。
AI Agent 帶來新的信任邊界
AI 開發工具、Agent 與自主工作流程正在改變組織建置、部署、維運及防禦數位系統的方式。這些能力加速創新的同時，也引入新的攻擊面與信任邊界，需要重新檢視身分、權限及資源存取設計。
零信任原則延伸至 AI 與 DevSecOps
組織導入 AI Agent 與自動化 DevSecOps 流程時，應持續驗證每次存取與執行行為，並限制 Agent 可取得的權限及工具範圍。相關新工具與指引聚焦於推進 AI 環境的零信任防護。