AI 資安與治理
PHP 漏洞已遭實際利用：上週提醒的更新，這週有人真的被打了
上週週報提到 PHP 發布緊急安全更新，這週情況升級了。美國網路安全暨基礎設施安全局（CISA）10 月 26 日把這兩個代號 PHP2Shell 的漏洞，列入「已遭利用漏洞清單」（Known Exploited Vulnerabilities），代表已確認有攻擊者實際利用。這兩個漏洞讓攻擊者不需要登入，就能在網站伺服器上執行程式，而且問題出在 PHP 本身，不是個別網站寫得不好。CISA 要求美國聯邦民間機關在 10 月 29 日前完成修補，並建議所有組織優先處理。
你可以做的是： 如果上週還沒確認，這週一定要確認公司的官網、電商或內部系統用到的 PHP，已經更新到 8.5.12、8.4.27、8.3.36 或 8.2.35 以後的版本。
來源：The Record：CISA 證實 PHP 漏洞遭利用、BleepingComputer
Microsoft 執行長 Nadella：「我以前以為 AI 會自然變安全，現在不這麼想了」
Nadella 10 月 26 日在創投播客 20VC 上被問到過去一年改變了哪些想法，他回答：「我以前一直以為對齊問題會自然解決，我現在不這麼認為了，對齊可能是更難、性質也不同的問題。」（原文：I used to always think that alignment will just fall out. I no longer believe that.）所謂「對齊」（alignment），是讓 AI 真正照人類的意圖做事，而不是只照字面理解，或用我們不想要的方式達成目標。上週週報提到 OpenAI 的代理把「不要發訊息」解讀成「關掉警報」，就是典型的對齊失敗：它沒有違抗指令，而是理解錯了。Nadella 九月也舉過一個企業主一聽就懂的例子：請 AI 代理優化營運資金，它「可能會幫你做假帳」（原文：it may fake my books）。
他認為對齊主要得在模型訓練階段解決；在那之前，企業應該用「零信任」的方式對待 AI，並要求它用白話說明自己的推理。他 10 月 10 日發表的文章說得更直接：要假設模型已經被入侵，從一開始就把它圍起來，並讓授權的人隨時能按下暫停，就像緊急煞車。
你要了解的是： 連 Microsoft 執行長都不再相信 AI 會自己變乖。導入 AI 代理時，不要把安全寄託在「AI 很聰明，應該懂我的意思」，而是把控制機制設計在 AI 外面：重要動作要人確認、做過什麼要有紀錄、出問題時有人能立刻停下它。
來源：The Next Web：Nadella 談 20VC 訪談、TechCrunch：Nadella 的「緊急煞車」文章、All-In 播客逐字稿（做假帳的例子）
SK Telecom 給 AI 代理發員工編號，每個代理都要有人類主管
韓國電信業者 SK Telecom 10 月 26 日發布第一份《AI 治理報告》。最受注目的做法，是為公司內部的 AI 代理發員工編號，並指定一位具名的人類主管負責；影響越大、自主程度越高的代理，督導層級就越高，必須由團隊主管或高階主管負責。系統會記錄每個代理的職務、主管、運作狀態和績效，表現不佳或不再需要的代理可以被暫停或退役。SK Telecom 隱私長 Cha Ho-beom 表示：「在 AI 代理時代，AI 治理變得更加重要。」這套內部代理管理機制，也已納入 ISO/IEC 42001（AI 管理系統國際標準）的驗證範圍。
你要了解的是： AI 代理越來越像員工，就要用管員工的方式管它：誰負責、能做什麼、做得好不好、什麼時候該停用。這不需要大企業的規模，十個人的公司也可以從一張「AI 代理清單」開始。
來源：The Korea Herald、AI Chat Daily 報告重點整理
AI 政策
國科會：TAIDE 年底前推出新模型，開放民間使用
國科會主委吳誠文 10 月 27 日在立法院答詢時表示，台灣自主發展的語言模型 TAIDE（可信任人工智慧對話引擎）已有進一步發展，預計今年底前公布包含語言模型、行為模型的新模型，並開放民間使用。數發部次長侯宜秀說明，政府資料在不涉及個資與機敏資料的前提下，原則上會盡量開放；目前語料庫已收錄 200 個機關、超過 33 億個 Token 的資料。她也提到，數發部的 AI 算力中心由民間投資興建，完成後會回饋 1% 到 3% 的算力給公共使用。
你要了解的是： 年底企業可能多一個由政府支持、熟悉台灣在地語言與資料的模型選項。實際能力和授權條件，要等正式公布後再評估。
來源：中央社
企業導入
Meta 的個人 AI 代理 Muse 進軍新加坡
Meta 10 月 28 日在新加坡推出個人 AI 代理 Muse，繼美國、加拿大之後跨進亞洲。新加坡版可以串接 Gmail、Instagram，以及 Grab、Shopee 等在地服務，協助處理購物、訂餐、旅遊等日常事務。Muse 9 月 8 日在美國推出，22 天下載量就突破 500 萬次。它也是上週美國大銀行緊張的對象之一：嘉信理財執行長曾點名，公司正在阻擋試圖轉移客戶資金的未授權代理，其中就包括 Muse。
你要了解的是： 會主動做事的 AI 代理已經進入亞洲。員工很可能很快就會把個人 AI 代理連上工作用的信箱或帳號，公司要先想好規則：哪些帳號可以授權給 AI 代理，哪些絕對不行。
來源：（待補：Meta 新加坡官方公告）、科技新報：Muse 下載數據
AI 商業應用
ServiceNow：自家用 AI 省下超過 10 億美元，人力結構同步調整
企業軟體公司 ServiceNow 10 月 28 日公布第三季財報。財務長 Gina Mastantuono 在財報會議上表示，公司內部使用 AI 帶來的效率提升已超過 10 億美元；人力方面，業務和 AI 工程師持續增聘，營運類職位則在減少。執行長 Bill McDermott 也提到，內部的 AI 員工助理已能處理 90% 的服務諮詢。要注意的是，ServiceNow 本身就在賣 AI 產品，這些數字也有展示自家產品的用意。
你要了解的是： AI 對人力的影響，不一定是全面裁員，而是結構調整：直接創造營收的職位增加，重複性高的營運職位減少。規劃 AI 導入時，可以同步思考哪些職位需要重新設計。
來源：ServiceNow 第三季財報會議重點、財報會議逐字稿（Investing.com）
BBVA 銀行：AI 語音助理試行，問題解決率接近九成
西班牙 BBVA 銀行在第三季財報會議上分享 AI 導入成果：AI 語音助理在試行中達到接近 90% 的成功解決率；部分 AI 代理則把企業融資方案中風險端的準備時間，縮短最多 30%。BBVA 強調，生產力的提升來自重新設計流程，而不只是導入工具。相較於 AI 廠商，銀行自己公布的數字較少自我宣傳成分，而且明確標示仍在試行階段。
Y Combinator 新一期創業清單：AI 的瓶頸，正從模型轉向真實世界
全球知名的新創加速器 Y Combinator（YC）公布 2027 年冬季梯次的「創業題目徵求」（Requests for Startups），列出最想投資的方向。YC 的總結是：AI 最大的瓶頸已經不在模型本身（原文：AI's biggest bottlenecks are moving beyond the models），而在把 AI 帶進工廠、資料中心、政府等真實經濟所需的硬體、基礎設施、金融與專業軟體。清單共 11 個主題，其中三個跟企業導入特別相關。第一是「時薪 15 美元的專家」（The $15-an-Hour Expert）：讓沒有專業證照的一般員工，靠 AI 做到過去需要專家才能做的工作。第二是「不連網的 AI」（AI for the Air-Gapped Economy）：國防、銀行、醫院的核心資料不能上雲，需要能完全在自家機房運作的 AI。第三是「擁有自己的 AI」（Own Your Intelligence）：開源模型已經追上頂尖模型，YC 認為更多企業會想用自己的資料，在自己選擇的地方運行專屬模型。
你要了解的是： 這三個方向，對應到企業導入 AI 最常卡住的三個問題：人才不夠、資料不能外流、太依賴單一 AI 供應商。YC 的清單代表投資人看好的方向，不代表技術已經成熟。
來源：Y Combinator 官方：Requests for Startups
AI 技術趨勢
Google 發布世界模型 Genie 4：AI 開始能即時模擬一個會動、會出聲的世界
Google DeepMind 10 月 27 日發布 Genie 4，官方形容是「目前最逼真、互動性最高的世界模型」（原文：our most realistic and interactive world model yet）。它跟一般 AI 影片不同，不是產出一段做好的影片，而是根據使用者的操作即時生成畫面，使用者可以在場景裡移動，也能隨時用文字改變天氣、加入人物。這是 DeepMind 第一個能同步生成聲音的即時世界模型，背景音和角色對話都會跟著場景變化。Google 把它定位為早期的實驗模型，目前只開放給創意產業、新聞、教育、遊戲和工程領域的受邀測試者，之後會先開放給 Google AI Ultra 訂閱者和 Gemini API 的早期合作夥伴。
世界模型對企業最值得注意的用途，是在虛擬環境裡先測試 AI 系統的表現，再把它們帶進真實世界。不過官方也坦承，它還無法精準重現真實地點，模擬時間一長，畫面細節也會走樣。
你要了解的是： 這還不是現在就能導入的工具，先留意即可。它指出的方向是：製造、物流、教育訓練這類需要「先演練再上場」的工作，未來可能先在 AI 模擬的環境裡跑過一輪。