開場白

Binance 在 11 月 3 日發布的首份事件報告指出，那筆 63 億美元的失竊，起點是工程師下載到被竄改的 AI 編碼工具安裝包，以及一份假面試的「作業」。今天沐妍還要談近一個月十餘家 AI 開發平台連環遭駭，攻擊者專搶可以變現的 AI access token；另外 ChatGPT 的 Lockdown Mode 曾被繞過，破口出在一個你每天都在用的功能，等一下告訴你該檢查什麼。

今日 AI 資安焦點

1. Binance 63 億美元失竊首份報告：假面試、0-day 與內部 AI 工具

• 發生什麼: 據 SecurityWeek 於 11 月 4 日報導，Binance 發布了這起竊案的初步事件報告，追查出一場橫跨數月、讓三名工程師電腦遭入侵的行動。報告指出，6 月起有工程師因搜尋 AI 編碼工具而下載到被竄改的安裝包，9 月另一名工程師落入假面試與假「作業」陷阱，當時端點防護並未偵測到該 0-day 惡意程式；10 月 20 日攻擊者再透過內部 AI 工具控制其他主機，一路摸到錢包簽章服務。目前約 28.5 億美元資產已被凍結或攔截。
• 影響範圍: 這不只是加密貨幣業的事。任何讓工程師自行搜尋、下載開發工具的組織都在同一條攻擊面上，而「內部 AI 工具」一旦有跨主機執行能力，就等於多開了一條不受傳統橫向移動偵測覆蓋的通道。
• 防禦建議: 把內部 AI 工具當成特權系統來管，盤點它能碰到哪些主機與憑證，並補上獨立的操作稽核；開發工具一律走內部套件來源或白名單安裝，不要讓搜尋引擎決定工程師裝什麼。
• 來源: SecurityWeek（https://www.securityweek.com/rigged-coding-assignment-abused-ai-tool-opened-path-to-6-billion-binance-heist/）

2. AI 開發平台連環遭入侵，攻擊者專搶 AI access token

• 發生什麼: 同樣是 SecurityWeek 11 月 4 日的報導，近一個月至少十餘家 AI 開發平台揭露遭駭，最新一批包含 WorkOS、Northflank、Trigger.dev 與 Chainstack。攻擊者的目標很明確，就是可以直接變現的 AI access token，也就是俗稱的 LLM-jacking，用別人的額度跑自己的模型；報導指出部分案例以開源 AI 滲透框架 Artex 把攻擊流程自動化。Chainstack 已要求客戶輪換節點憑證。
• 影響範圍: 影響的是所有把 LLM API 金鑰、第三方平台 token 放在 CI/CD 或 SaaS 平台上的團隊。金鑰外流通常不會跳警報，只會在月底帳單上變成一筆說不清楚的用量。
• 防禦建議: 今天就對外部 AI 平台的 token 做一輪盤點與輪換，並在 LLM API 上設用量上限與異常用量告警，至少讓「被別人拿去跑」這件事有機會在四小時內被發現。
• 來源: SecurityWeek（https://www.securityweek.com/ai-linked-breaches-mount-as-workos-northflank-trigger-dev-disclose-hacks/）

3. ChatGPT Lockdown Mode 被繞過：破口在 HTML 預覽沙箱，OpenAI 已修補

• 發生什麼: Check Point Research 今天揭露，ChatGPT 的 HTML 頁面預覽彈窗在處理上有缺陷，可以繞過 Lockdown Mode，造成對話資料被悄悄外傳，也能被用來做釣魚與派送惡意程式。研究指出 Electron 版的 ChatGPT Classic 甚至存在零點擊觸發的情境。OpenAI 已在 2026 年 9 月 18 日移除相關沙箱權限完成修補，研究團隊複測確認原手法失效。
• 影響範圍: 重點不在「現在還會不會中」，而在於你們對 AI 助理的信任假設。Lockdown Mode 這種「我已經開了最嚴格模式」的設定，仍可能被渲染類功能繞過，而對話內容往往就是最敏感的內部資料。
• 防禦建議: 確認企業內使用的是最新版本的桌面與網頁用戶端，淘汰仍在跑舊版 Electron 的 AI 助理；同時把「AI 對話視窗可渲染外部內容」列進資料外洩的風險清單，而不是只盯著檔案上傳。
• 來源: Check Point Research（https://research.checkpoint.com/2026/chatgpt-lockdown-mode-bypass-phishing-malware-delivery-and-silent-data-exfiltration/）

4. 一個人加 12 個 AI agent：Acronis 揭露橫跨 11 國的攻擊網

• 發生什麼: Acronis TRU 今天公布研究，指出單一攻擊者以 12 個 AI agent 組成的攻擊網，鎖定 11 國數百個組織，行為樣態看起來像是一支國家級團隊在運作。研究人員同時觀察到，商用模型雖被用來建置攻擊基礎設施，但在多次實際攻擊請求上拒絕配合，迫使攻擊者改用能力較弱的本地模型。
• 影響範圍: 對防守方的意義是歸因變難了。過去看到「多點同時、節奏一致、涵蓋多國」會直覺往組織型攻擊者想，現在一個人加上自動化就能做出類似的量體，威脅情資的判讀標準要跟著調整。
• 防禦建議: 偵測邏輯別再只看「攻擊者有多少人」，改看行為頻率與自動化特徵，例如異常規律的掃描節奏與跨租戶的同手法重複，並把這類特徵納入 SIEM 的關聯規則。
• 來源: Cybernews（https://cybernews.com/security/single-hacker-twelve-ai-agents-cyberattack）

5. OpenAI 推資安專用模型，限 Daybreak Red 取用，另提 10 億美元支援關鍵基礎設施

• 發生什麼: OpenAI 今天發布一款資安專用模型，先開放給 Daybreak 計畫中最高層級 Daybreak Red 的攻擊性資安研究人員，用於漏洞挖掘與開發。同時宣布 10 億美元計畫，支援電網、供水等關鍵基礎設施的資安人員。據 TechCrunch 報導，目前參與 Daybreak 的資安專業人員僅「數千人」。
• 影響範圍: 這是守方工具與攻方能力的賽跑。分級開放降低了濫用風險，但數千人的規模相對於全球關鍵基礎設施的缺口仍然有限，短期內多數企業不會因此變安全。
• 防禦建議: 不要把這類計畫當成自家防禦的替代品，先確認基本功到位，包括資產清單、修補時效與帳號權限盤點，這些才是能自己掌控的部分。
• 來源: TechCrunch（https://techcrunch.com/2026/11/05/openai-released-a-new-cybersecurity-model-is-that-enough/）

結尾段落

今天最值得記住的一件事：AI 工具已經正式變成入侵路徑的一部分，不管是被竄改的安裝包、被偷走的 token，還是被當成跳板的內部 AI 助理。今天就做一件事，把組織內所有 AI 相關的金鑰與 token 列出來，標註誰在用、什麼時候輪換過，光是這張表就能幫你排除一大半盲點。我是沐妍，明天見。