哪些系統正在遭駭？ https://pwn.watch/ pwn.watch 是一個彙整即時資安事件的儀表板，依嚴重性、修補狀態、受影響產品與公告來源排列事件。頁面顯示過去 12 個月共收錄 234 起事件，當下有 36 起仍標為進行中，其中 15 起屬重大等級、18 起尚未完全修補。最新焦點是多家美國大型銀行發現第三方 AI 代理程式進入客戶帳戶；這些工具多半取得客戶帳密與授權後登入，卻可能違反銀行要求本人操作的規範。銀行也難以辨識操作方是人、經授權代理程式或惡意程式，因此 Morgan Stanley 已封鎖此類工具，摩根大通、美國銀行與花旗則採取限制措施；目前尚無帳戶遭接管、詐欺損失或特定產品涉案的通報。 網站列出的重大技術風險涵蓋多項可直接取得主機控制權的漏洞。例如 GitLab 自行管理版本存在 CVSS（Common Vulnerability Scoring System，通用弱點評分系統）滿分 10 分的未驗證遠端程式碼執行漏洞；Linux 核心的 ksmbd 內建 SMB 檔案分享伺服器漏洞細節則因通報信誤寄公開郵件清單而提前外流，修補程式尚未全面釋出。PHP 的兩項 PHP2Shell 漏洞、Plex Media Server 漏洞鏈與 FortiMail 零日漏洞，都已有或曾有實際攻擊跡象。RCE（Remote Code Execution，遠端程式碼執行）意指攻擊者可從遠端在目標設備執行任意程式，通常是最需優先處理的弱點類型。 供應鏈與憑證外洩也是近期高風險來源。LiteLLM 的 PyPI 套件庫與官方 Docker 映像檔曾被植入竊取雲端、開發者及 AI 工具憑證的惡意程式；npm 上的 tensorlake 套件則夾帶會竊取 GitHub、雲端與 SSH 憑證並向其他套件擴散的蠕蟲。Railway、Zeabur 與 PingCAP／TiDB Cloud 分別通報環境變數、內部服務帳戶憑證或客戶資料可能遭未授權存取，受影響者應更換 API（Application Programming Interface，應用程式介面）金鑰、資料庫密碼與其他機密值。網站亦提醒，遭撤銷的 TLS（Transport Layer Security，傳輸層安全協定）憑證即使並非遭駭，也可能造成瀏覽器警告或網站無法連線。 Hacker News 討論普遍肯定這類即時彙整工具有助於快速掌握威脅，但認為網站介面過度密集、深色霓虹風格影響閱讀，熱圖不如提供 7 天與 28 天移動平均的折線圖實用；作者回應將補上多種圖表並調整版面。也有人質疑事件標示的準則，例如已修補且未發現攻擊的漏洞為何仍列為「進行中」，以及 RSS、JSON 等連結一度失效，顯示此站仍在快速迭代。對 AI 代理程式登入銀行帳戶一事，意見分歧：一方認為把帳密交給代理程式是使用者自行承擔的高風險行為，不應視為傳統資安漏洞；另一方則指出，民眾確有整合帳務、排程付款與自動轉帳需求，銀行若未提供安全且可控的正式介面，使用者便可能轉向風險更高的第三方工具。 👥 82 則討論、評論 💬 https://news.ycombinator.com/item?id=50195543