開場白
美國 CISA 首度將 LiteLLM 等 AI 框架列入已知遭利用漏洞清單，顯示針對 AI 基礎建設的攻擊已進入實戰。我是沐妍，今天的「AI 資安日報」除了盤點這些被盯上的高風險漏洞，還會聊聊為何工程師的下載資料夾會變成 AI 助理被劫持的溫床，以及利用 AI 挖出的 PHP 核心漏洞會如何波及全球七成網站，等一下告訴你該怎麼防範。
今日 AI 資安焦點
1. CISA 首次將 LiteLLM 與 Langflow 等 AI 框架納入已知遭利用漏洞目錄
- 發生什麼: 美國 CISA 於 10 月 21 日更新了已知遭利用漏洞（KEV）目錄，首次將多個關鍵 AI 堆疊框架漏洞列入其中。這批漏洞包含 LiteLLM 的身份驗證繞過（CVE-2026-59822，CVSS 8.8）與命令注入（CVE-2026-42271，CVSS 8.7）、MLflow 的漏洞（CVE-2026-64849），以及 Langflow 的跨租戶 IDOR 漏洞（CVE-2026-55255，CVSS 9.9）。這意味著上述漏洞在野外已出現實際攻擊活動，防禦難度不容忽視。
- 影響範圍: 影響所有部署了相關 AI 閘道（Gateway，用於串接多個 AI 模型的管理介面）與編排平台（Orchestration Platform，用於串接 AI 工作流的系統）的企業，若未及時修補，攻擊者可能藉此繞過驗證或執行任意命令。
- 防禦建議: 資安主管應立即盤點內部環境中是否有部署 LiteLLM、MLflow 及 Langflow 等工具，並對照 KEV 清單在期限內完成緊急修補。
- 來源: DeepInspect（https://deepinspect.ai/llm-security-news-tracker-the-october-2026-action-queue/）
2. LiteLLM 遭供應鏈攻擊，惡意版本 1.107.0 於 PyPI 與 Docker 散播竊密程式
- 發生什麼: 熱門 AI 閘道工具 LiteLLM 遭到供應鏈（Supply Chain）入侵，攻擊者利用未撤銷的 GitHub 組織擁有者權限，於 10 月 21 日向 PyPI 與 Docker Hub 發布了遭植入惡意程式碼的
1.107.0版本。該惡意版本內建憑證竊取程式與遠端存取木馬（RAT），會在 Python 啟動時自動執行。據 SecurityWeek 報導，該惡意版本在被下架前已被下載超過 49,000 次。 - 影響範圍: 影響所有在 10 月 21 日後下載或更新至
litellm==1.107.0的開發者與企業伺服器，可能導致雲端與 AI 服務憑證外洩。 - 防禦建議: 建議受影響用戶立即移除該版本，將套件回退至安全的
1.106.2版本，並全面輪替可能外洩的雲端與 AI 服務憑證。 - 來源: SecurityWeek（https://www.securityweek.com/malicious-litellm-packages-served-on-pypi-and-docker-after-hackers-compromise-github-cli-oauth-tokens/）
3. 下載資料夾暗藏危機！惡意 Markdown 檔案劫持 AI 程式碼助理安裝惡意軟體
- 發生什麼: 研究人員發現一種新型的間接提示詞注入（Indirect Prompt Injection，一種透過外部輸入誘導 AI 執行非預期指令的攻擊手法），攻擊者利用瀏覽器的靜默下載機制將惡意
AGENTS.md檔案植入開發者的下載資料夾。當開發者在該目錄啟動 OpenAI Codex、Claude Code 或 Cursor 等 AI 程式碼助理時，助理會自動讀取該檔案並執行惡意指令。這會導致系統在背景安裝名為function-color的惡意套件以竊取憑證。 - 影響範圍: 影響習慣在下載目錄直接使用 AI 程式碼助理的開發人員，可能在不知情的情況下遭植入惡意軟體。
- 防禦建議: 建議禁止 AI 助理在下載或暫存目錄中執行、關閉自動核准指令的設定，並在執行前仔細審查專案規則檔。
- 來源: BleepingComputer（https://www.bleepingcomputer.com/news/security/ai-coding-agents-hijacked-using-agentsmd-file-in-downloads-folder/）
4. AI 輔助發現 PHP 核心重大漏洞「PHP2Shell」，波及全球近七成網站
- 發生什麼: 資安研究人員利用 AI 模型輔助，發現了存在於 PHP 核心執行階段的兩項重大記憶體安全漏洞，統稱為「PHP2Shell」（CVE-2026-109618 與 CVE-2026-109619），其 CVSS 4.0 評分高達 9.2。這項漏洞可能導致未經授權的遠端程式碼執行（RCE，意即攻擊者可從遠端控制伺服器）。
- 影響範圍: 影響 PHP 5.4 至 8.5 版本，由於 PHP 應用廣泛，估計波及全球約 70% 的網站。
- 防禦建議: 系統管理員應立即將環境中的 PHP 升級至 8.5.12、8.4.27、8.3.36 或 8.2.35 等安全版本。
- 來源: Akamai（https://www.akamai.com/blog/security/understanding-php2shell-everything-you-need-to-know）
5. OpenAI 強化模型訓練安全，推動「Patch the Planet」計畫修補開源漏洞
- 發生什麼: OpenAI 公布了其前沿模型訓練與評估環境的防護細節，宣布實施「無網路連接」的離線訓練政策，並利用 AI 代理進行大規模紅隊演練。在此安全強化過程中，OpenAI 透過「Patch the Planet」計畫向開源社群回饋了多項安全修補。這些修補涵蓋了 Kata Containers（CVE-2026-24834）、gVisor、Moby/Docker 以及 Linux 核心的多個漏洞（CVE-2026-74753、CVE-2026-80521、CVE-2026-80841）。
- 影響範圍: 提升了整體開源生態系與容器化技術的安全性，特別是使用相關虛擬化與容器技術的雲端運作環境。
- 防禦建議: 企業應定期檢視並更新基礎架構中的 Docker、Linux 核心與虛擬化容器套件，以防範已被揭露的底層漏洞。
- 來源: OpenAI（https://openai.com/index/securing-our-frontier-model-training-environment/）
6. Frenos 工控資安報告：前沿模型已具備 90% 的工業系統攻擊規劃能力
- 發生什麼: 工控安全公司 Frenos 發布了首份《工控安全中的 AI 現狀》年度報告，在超過 500 次模擬運營技術（OT）攻擊場景中測試多款 AI 模型。結果顯示，目前最強大的三款前沿模型在約 90% 的嘗試中，都能規劃出可行的攻擊路徑。據 Frenos 報告指出，關鍵基礎設施營運商大約還有兩年的準備時間，AI 輔助攻擊才會真正成為攻擊者的可靠能力。
- 影響範圍: 威脅關鍵基礎設施與工控系統的安全，降低了攻擊者規劃複雜工業網路攻擊的門檻。
- 防禦建議: 營運商應優先加強工控網路的偵測與回應能力，利用 AI 評估自身環境，並從整體系統視角檢視暴露風險。
- 來源: Hipther（https://hipther.com/2026/10/22/ai-race-is-becoming-a-contest-over-who-controls-the-control-system/）
結尾段落
今天最值得警惕的是，AI 基礎建設的漏洞已經正式被駭客利用，且 CISA 也已發出警訊。建議大家今天下班前，先確認團隊開發環境中是否有使用 LiteLLM 1.107.0 版本，並提醒開發同仁不要直接在下載資料夾中執行 AI 程式碼助理。我是沐妍，我們明天見。
留言