企業 AI 落地研究所 ・ 本週資安事件01 / 22
一扇沒更新的門，
打開了整座訂單庫
本週資安事件：91APP ・ ARTEX ・ LiteLLM
AI 沒有發明新破口，是讓「試錯」變便宜了。
主持 Casper技術專家 Max錄製 2026-10-25每頁底部附來源
企業 AI 落地研究所 ・ 本週資安事件02 / 22
本週新聞 ・ 雙 11 前
這封信上，是你真的名字和訂單。
收件匣冒用品牌名義
主旨 您的「定期購」方案已成立／訂單重複通知
○○ 先生／小姐您好：
您的訂單：真實姓名 ・ 電話
送貨地址：真實地址
訂單內容：你真的買過的東西
加入 LINE 取消訂單
詐騙不稀奇，
稀奇的是：
資料是對的。
話術：「定期購」「訂單重複」「保留訂單」
目的：點連結、加假 LINE、轉帳
企業 AI 落地研究所 ・ 本週資安事件03 / 22
這其實不只台灣
同一類工具，九、十月在好幾個國家敲門。
台灣
1座訂單庫
91APP 一座訂單資料庫，10/3 遭非法存取
南韓
≥7家
金融機構，約 6.7 萬人個資外洩（9/27 起）
日本
≈20家
同一集團鎖定的日本企業（日本資安公司調查）
美國
100+家
企業網站遭同類工具攻擊（91APP 報告引述）
微軟：同一套框架，被拿來鎖定全球數百個組織。（另一批攻擊者，見第 14 頁）
企業 AI 落地研究所 ・ 本週資安事件04 / 22
主線例子 ・ 今天只追這一條線
91APP 事件，其實只有三格。
STEP 01
門
Appsmith
沒更新
內部效率工具有漏洞、沒套修補，攻擊者從這裡進入內部網路。
→
STEP 02
鑰匙
GitLab 裡
有資料庫金鑰
進來之後，在內部 GitLab 找到訂單資料庫的金鑰。
→
STEP 03
保險箱
訂單資料庫
被讀走
只涉及該座資料庫；是訂單資訊，不含信用卡。
後面每個概念，都會回到這三格：門、鑰匙、保險箱。
企業 AI 落地研究所 ・ 本週資安事件05 / 22
時間軸 ・ 從入侵到說出口
從第一通客訴到通報主管機關：11 天。
10/311 時，訂單資料庫遭非法存取
10/4首次接獲客戶通報（消費者收到詐騙）
10/7單日再有 5 家品牌通報
10/8成立緊急應變小組、決議找外部團隊
10/14確認攻擊軌跡，晚間 11 時完全阻斷
10/15依個資法通報數發部
10/19數發部進場行政檢查
10/22公布 18 天調查報告
11天
10/4 首次接獲通報 → 10/15 通報主管機關
「10/8 成立緊急小組時，就應當同時提醒品牌，這是 91APP 的疏失。」91APP 董事長 何英圻（18 天調查報告）
企業 AI 落地研究所 ・ 本週資安事件06 / 22
拆迷思 ・ ARTEX 到底是什麼
它不是電影裡那種「AI 駭客」。
事實一套開源的
滲透測試 agent 框架
2026-07 起在 GitHub 公開，9 月拿下百度 Agent+ 攻防賽冠軍。工具本身是拿來做資安檢測的，也可以被拿去攻擊。
「AI 並不是在沒有人參與下獨立行動，是駭客把 AI 當工具。」韓國金融安全院官員（BankInfoSecurity 2026-10-07 引述）
企業 AI 落地研究所 ・ 本週資安事件07 / 22
本集的工作定義
把滲透測試的整條流程交給 AI 跑。
以前一個人一次敲一家；
現在一個人＋一套 AI，同時敲很多家的門。
生活比喻以前是一位鎖匠一家一家試；現在他帶著一群不睡覺的助手，同時去轉每一家的門把。
關鍵字不是「AI 變天才」，是攻擊的門檻大幅降低。
企業 AI 落地研究所 ・ 本週資安事件08 / 22
先講直覺 ・ 為什麼邊角系統也被打
試錯變便宜之後，誰都值得試一下。
→
現在
試一次幾乎不花錢，
邊角系統也值得打
- 韓國：貸款經紀查詢、員工行動辦公、客服頁面
- 台灣：91APP 的內部效率工具
企業 AI 落地研究所 ・ 本週資安事件09 / 22
現在才給名字
這就叫「飽和攻擊」：每扇門都轉一下。
15.1萬次
微軟觀察的一波密碼噴灑：5 天內失敗登入
尖峰時每分鐘 2,900 次
企業 AI 落地研究所 ・ 本週資安事件10 / 22
數字對比 ・ 只用有來源的
同樣的事，快多少？
≥10倍
比人工快
資安院實測這類 AI 紅隊工具：滲透效率至少比人工快 10 倍。
資安院（iThome 2026-10-21）
<3小時
鎖定 → 雲端最高權限
微軟：部分案例，從鎖定目標到取得雲端特權存取不到 3 小時。
Microsoft 2026-10-21
2,250+
個租戶被嘗試登入
ConnectWise 事件後，攻擊者用 ARTEX 嘗試登入的雲端租戶數。
Microsoft 2026-10-21
企業 AI 落地研究所 ・ 本週資安事件11 / 22
主線第一格 ・ 門
一套沒更新的內部工具，就是一扇沒鎖的門。
生活比喻
大門鎖得很好，
但後陽台那扇沒人顧。
91APP：未及時套用修補，攻擊者從此進入內部網路。已移除該工具、隔離測試與正式環境、限制主機與資料庫網段連線。
企業 AI 落地研究所 ・ 本週資安事件12 / 22
主線第二格 ・ 鑰匙
金鑰放在 GitLab，像把鑰匙貼在保險箱上。
生活比喻
門被打開不一定致命；
致命的是鑰匙就在旁邊。
資安院：真正要守住的「保險箱」，
是存放會員與客戶資料的資料庫。
91APP 事後：更換所有內部權杖與資料庫帳密、重建 GitLab 權限。
企業 AI 落地研究所 ・ 本週資安事件13 / 22
替聽眾先問
「那我們公司，是不是也要怕？」
壞消息「我不是目標」不再成立
AI 攻擊採全面掃描，幾乎所有企業都可能被掃到。會員、客戶資料多的公司，風險更高。
好消息基本功紮實，AI 會繞路
政府觀察到：部分資安基礎紮實的企業，AI 工具評估攻擊成本後就放棄，轉向防護較弱的目標。
AI 改變的是速度與成本，不是攻擊原理。資安署署長 蔡福隆
企業 AI 落地研究所 ・ 本週資安事件14 / 22
誠實講限制
誰幹的？各家說法不一樣。
CrowdStrike韓國金融案
可能說中文、以獲利為目的；未歸屬到具名組織（中等信心）
Microsoft全球數百組織、ConnectWise
Storm-0940，評估為與中國國家立場一致的行為者
韓國金融安全院官員受訪
不是全自動：人把 AI 當工具
受害數字韓國
本集採「至少 7 家、約 6.7 萬人」；其他報導數字不一
不必押注是誰。工具是開源的，門要自己關。
企業 AI 落地研究所 ・ 本週資安事件15 / 22
修補、換金鑰，
這樣就夠了嗎？
移除沒更新的 Appsmith
更換所有內部權杖與資料庫帳密
重建 GitLab 權限
隔離測試與正式環境
看起來可以下課了。但這週還有另一件事……
企業 AI 落地研究所 ・ 本週資安事件16 / 22
轉折 ・ LiteLLM 供應鏈事件
你信任的套件，「更新」本身就是攻擊。
10/21
惡意 litellm 1.107.0 上架 PyPI 與官方 Docker 映像
免 import
不用呼叫它：一啟動 Python 就執行
# 只是裝別的套件而已
$ pip install 某個無關套件
→ 惡意程式已在背景啟動
# 偷：雲端金鑰、開發者憑證、
# AI 工具 token、瀏覽器密碼
生活比喻常去的那家藥局，這一批貨被調包了：包裝、批號都是真的。
企業 AI 落地研究所 ・ 本週資安事件17 / 22
根因 ・ 又是鑰匙
追到最後，還是一把放錯地方、沒換的鑰匙。
5/27一把內部平台的主金鑰，被誤 commit 到公開 repo；事後沒有撤銷
10/10攻擊者用它取出組織擁有者的 GitHub CLI token
10/10再利用 CI，偷出另外兩位維護者的 token
10/21改掉發布流程，用被盜的 token 觸發、核准，發布惡意版本
＝跟 91APP 同一課：鑰匙放錯地方，又沒換。
企業 AI 落地研究所 ・ 本週資安事件18 / 22
如果你們有用 LiteLLM
中了怎麼辦？先別再跑 Python。
1別在疑似受害環境裡檢查
不要在那台機器再執行 python 或 pip，一跑就可能再觸發。
2移除三個檔案，或直接重建
cook.pth cook.py sitecustomize.py
只刪 litellm 資料夾不夠。
4從乾淨機器輪替憑證
那個環境碰得到的金鑰、token，全部換掉。
沒用 LiteLLM？原則一樣：可疑的環境，不要在裡面查。
企業 AI 落地研究所 ・ 本週資安事件19 / 22
比套件更底層 ・ PHP2Shell
PHP 語言本身出事了：PHP2Shell。
你的網站、表單
WordPress・外掛・框架
PHP 引擎（php-src）← 洞在這層
作業系統・主機
CVE-2026-109618
記憶體爆掉時硬中止，收尾把半成品當真
CVE-2026-109619
上個請求留下的狀態，指著已釋放的記憶體
兩者皆可 RCE ・ CVSS 9.2 Critical網路攻擊免登入免互動攻擊複雜度 High
5.4+
Wiz：PHP 5.4 以上每個版本都受影響
大量嘗試
尚未證實大規模成功入侵（AWS、The Record）
生活比喻不是裝潢壞了，是地基裂了：WordPress 再新也沒用。
接回主線Wiz 自述：AI 讓藏了十多年的洞變得可以利用。
企業 AI 落地研究所 ・ 本週資安事件20 / 22
成因 ・ 先講直覺，再給名字
兩個洞，都出在「收尾沒收乾淨」。
①請求開始解析上傳的資料
②初始化
③執行你的程式WordPress 等
④收尾清理記憶體
CVE-2026-109618OOM ・ longjmp() ・ 記憶體損毀
記憶體用光，
硬中止
跳過，資料還沒初始化完
把半成品當有效資料清理 → 損毀
CVE-2026-109619過期全域狀態 ・ use-after-free
下一個請求：還沒初始化就拿來用
← 同一個 worker 處理的下一個請求
上一個請求：沒歸零，
還指著已釋放的記憶體
生活比喻工地交接：做到一半被叫停，收工班照「完工」驗收；上一班的交接單指著已拆掉的鷹架，下一班沒核對就照用。
所以洞在引擎，你的程式還沒跑就可能中招（mod_php）。是 C 寫的 runtime 老問題，不是 AI 發明的新洞；攻擊複雜度 High，不是一鍵就能打。
企業 AI 落地研究所 ・ 本週資安事件21 / 22
PHP2Shell ・ 一定要修
升級 PHP＋重啟。更新 WordPress 沒用。
1升級到修補版
8.5.12 8.4.27 8.3.36 8.2.35
8.1 以前已停止支援：升級，或找發行版／LTS 廠商的修補
2確認「跑網站的那個」PHP
CLI 和 Apache 版本可能不同：看 phpinfo()。發行版常不改版號，看套件 changelog 有沒有列這兩個 CVE
3一定要重啟
Apache、PHP-FPM、背景程序都要重啟，否則舊程序還在跑舊版
用虛擬主機／WordPress？
請主機商升級 PHP 並重啟。報導指出：外掛型防火牆本身就跑在有洞的 PHP 裡，擋不到。
還沒能升級：暫時緩解（≠安全）
memory_limit=-1（用 php_admin_value 鎖住）- 降低
post_max_size session.upload_progress.enabled=0（寫在 php.ini／FPM pool）- PHP 8.5：
fatal_error_backtraces=0；前端加 WAF
10/23 另有 CVE-2026-115560（尚無修補、條件嚴格）：同樣先關 upload_progress。
資安署順序：先更新 → 不能更新就前端加 WAF → 都做不到才暫時下架求助：TWCERT/CC ・ 0800-280-280
企業 AI 落地研究所 ・ 本週資安事件22 / 22
本集清單 ・ 這週就能開始
門、鑰匙、保險箱：六件事。
01
縮小攻擊面
外圍、測試、舊系統列清冊；沒人認領就下線，有在用的優先修補。
02
鑰匙不放程式碼庫
金鑰不進 repo；CI 變數最小權限，可能外洩就換。
03
套件 pin、PHP 要快
依賴 pin 版本、晚幾天再升；PHP 這類重大修補：立刻升級並重啟。
04
看得見異常
異常存取告警＋日誌集中保存，事後才查得到。
05
3-2-1 備份
3 份資料、2 種媒介、1 份離線或不可刪改。
06
自己先敲門
只對自己擁有或明確授權的系統、在隔離環境做，結果接上修補流程。
0800-280-280資安署企業資安專線（24 小時）・ 資安署兩大重點：縮小攻擊面、做好備份備援