11 篇文章 含有標籤「Security」

🚨 GitHub 2025 年 7 月可用性報告​

Source: https://github.blog/news-insights/company-news/github-availability-report-july-2025/

• GitHub 於 2025 年 7 月 28 日經歷了一次服務降級事件，導致 GitHub Enterprise Importer (GEI) 在約 5 小時 34 分鐘內無法處理遷移作業。
• 事件根源在於 GEI 基礎設施的一個組件在例行內部改進過程中被錯誤地移除服務，且無法恢復到先前的配置，需重新佈建資源解決。
• 為了解決此問題，GitHub 已識別並實施了基礎設施恢復、單元測試以及使用測試數據進行更好驗證的改進。
• 受影響的用戶需更新其 IP 允許清單，新增 GEI 的新 IP 範圍 20.99.172.64/28 和 135.234.59.224/28，並移除不再使用的舊 IP 範圍 40.71.233.224/28 和 20.125.12.8/29。

🌐 從私有到公開：聯合國組織如何分四步開源其技術​

Source: https://github.blog/open-source/social-impact/from-private-to-public-how-a-united-nations-organization-open-sourced-its-tech-in-four-steps/

• 聯合國專門機構國際電信聯盟電信發展局 (BDT) 透過 GitHub 技能志願項目，成功將其閉源的 Azure DevOps 環境轉型為開放源碼社群，以賦能全球合作夥伴。
• 對於聯合國組織和非營利組織，開源能有效應對預算有限和團隊規模小的挑戰，大幅擴大其影響力。
• 開源轉型分為四個關鍵步驟：
  1. 進行研究： 分析喜歡和不喜歡的開源儲存庫，學習其 README、貢獻指南和社群運作方式，參考 Ersilia 和 Terraform 等活躍社群範例。
  2. 優化開源心態與程式碼： 清理敏感信息、提供範例數據，並創建清晰的「入門指南」(Getting Started) 和 CONTRIBUTING.md 文件，確保有自動化測試以維持程式碼品質。
  3. 釐清授權方式： 使用 choosealicense.com 等資源選擇合適的開源許可證（如 ITU 選擇了 BSD-2 許可證），並確保與專案依賴項的兼容性。
  4. 與開源社群互動： 將專案中的「小問題」標記為 good first issue，吸引新貢獻者快速上手並熟悉程式碼庫。
• BDT 與 GitHub 的合作不僅提升了其開源專業知識，也為其開源未來奠定了堅實基礎。

🔗 大規模保障供應鏈安全：從 71 個重要開源專案做起​

Source: https://github.blog/open-source/maintainers/securing-the-supply-chain-at-scale-starting-with-71-important-open-source-projects/

• Log4j 零日漏洞事件後，凸顯了開源庫安全性對整個軟體供應鏈的巨大影響，促使 GitHub 於 2024 年 11 月啟動「GitHub 安全開源基金」（GitHub Secure Open Source Fund）。
• 該基金為維護者提供資金支援，參與為期三週的專案，內容包含安全教育、導師指導、工具、認證及安全意識社群等，旨在提升安全影響力、降低風險，並大規模保護軟體供應鏈。
• 前兩期專案已集合來自 71 個重要開源專案的 125 位維護者，取得了顯著成果：
  • 修復了 1,100 多個由 CodeQL 檢測到的漏洞。
  • 發布了 50 多個新的常見漏洞與暴露（CVE），保護下游依賴項。
  • 阻止了 92 個新機密洩漏，並檢測和解決了 176 個已洩漏的機密。
  • 80% 的專案啟用了三個或更多基於 GitHub 的安全功能，63% 的專案表示對 AI 和 MCP 安全有更好理解。
  • 維護者利用 GitHub Copilot 進行漏洞掃描、安全審計、定義和實施模糊測試策略等。
• 專案涵蓋了 AI/ML 框架（如 Ollama, AutoGPT）、前端/全端框架（如 Next.js, shadcn/ui）、Web 伺服器/網路/閘道（如 Node.js）、DevOps/建置工具（如 Turborepo）、安全框架/身份/合規工具（如 Log4j）、以及開發者工具/CLI 助手（如 Charset-Normalizer, nvm, JUnit）等多個關鍵領域。
• 該計劃的成功關鍵在於：資金支援結合時間限制的專注訓練、互動式編碼經驗以及建立一個以安全為重點的社群，促進了維護者之間的快速交流與協作。

加速 Docker 強化映像的 FedRAMP 合規性 🚀​

Source: https://www.docker.com/blog/fedramp-compliance-with-hardened-images/

• FedRAMP 合規挑戰： 聯邦風險與授權管理計畫 (FedRAMP) 合規成本高昂（45 萬至 200 萬美元以上），且需耗時 12 至 18 個月，這期間競爭對手可能已搶佔政府合約。企業需面對 NIST SP 800-53 中超過 400 項嚴格的安全控制要求。
• Docker 強化映像 (DHI) 解決方案： Docker 硬化映像提供自動化、可稽核的安全解決方案，旨在加速 FedRAMP 合規流程並降低維護成本。DHI 是一系列精簡的映像，持續更新以確保幾乎沒有已知的 CVE。
• FIPS 140 合規性： DHI 支援 FIPS 140 驗證的密碼學模組，預配置並經過測試，可確保正確功能。每個 FIPS 合規映像都附有簽名的證明，列出使用的 FIPS 驗證軟體及其 CMVP 認證和測試結果連結，支援 OpenSSL、Bouncy Castle 和 Go 等主要開源密碼學模組。
• STIG 強化映像： Docker 根據國防信息系統局 (DISA) 發布的通用作業系統 (GPOS) SRG，創建了客製化的容器 STIG。STIG 強化映像在安全建構過程中會使用 OpenSCAP 進行掃描，結果會作為簽名證明提供，其中包含易於查看的 STIG 合規分數，並支援輸出為 HTML 和 XCCDF 格式，便於稽核。
• 持續合規性：
  • 漏洞減少： DHI 起始攻擊面減少高達 95%（按包數量計算），持續更新以確保幾乎沒有已知 CVE，並掃描病毒和機密。
  • 漏洞檢測與修復： Docker 持續監控 CVE 來源，DHI 對嚴重/高風險漏洞的修復 SLA 為 7 天，中/低風險為 30 天，幫助滿足 FedRAMP 修復時限。提供 VEX (Vulnerability Exploitability eXchange) 證明來過濾不適用漏洞。
  • 供應鏈透明度： DHI 使用 SLSA Build Level 3 安全建構管道，確保建構可驗證性與防篡改。提供簽名證明和多種 SBOM 格式。
  • 稽核證據： DHI 證明符合 in-toto 證明標準，作為 provenance、資產管理、漏洞掃描及 FIPS 合規性的安全證據。

使用 GitHub Models 在 Actions 中自動化您的專案 🚀​

Source: https://github.blog/ai-and-ml/generative-ai/automate-your-project-with-github-models-in-actions/

• GitHub Models 將 AI 整合到 GitHub Actions 工作流程中，實現專案內的自動化分類、摘要等功能。
• 權限設置： 使用 GitHub Models 前需在 permissions 區塊中加入 models: read，並建議遵循最小權限原則，以降低提示詞注入攻擊 (prompt injection) 風險。

  permissions:
    contents: read
    issues: write
    models: read
  

• 範例一：在 Bug 報告中請求更多資訊
  • 透過 actions/ai-inference@v1 動作分析 Issue 內容，判斷錯誤報告是否包含足夠的重現資訊（例如：重現步驟、預期行為、實際行為、環境細節）。
  • 若資訊不足，AI 會自動回覆提示作者補齊。此機制利用 AI 模型的回傳值（pass 或詳細說明）建立工作流程中的條件邏輯。

  - name: Analyze Issue For Reproduction
    if: contains(join(github.event.issue.labels.*.name, ','), 'bug')
    id: analyze-issue
    uses: actions/ai-inference@v1
    with:
      model: mistral-ai/ministral-3b
      system-prompt: |
        Given a bug report title and text for an application, return 'pass' if there is enough information to reliably reproduce the issue, meaning the report clearly describes the steps to reproduce the problem, specifies the expected and actual behavior, and includes environment details such as browser and operating system; if any of these elements are missing or unclear, return a brief description of what is missing in a friendly response to the author instead of 'pass'. Consider the following title and body:
      prompt: |
        Title: ${{ steps.issue.outputs.title }}
        Body: ${{ steps.issue.outputs.body }}
  

• 範例二：從合併的 Pull Request 建立發布說明
  • 透過 gh CLI 搭配 gh-models 擴充功能，在 Pull Request 合併時自動摘要其標題、內容、評論及審閱，並將摘要內容追加到指定的發布說明 Issue 中。

  cat pr.json | gh models run xai/grok-3-mini \
    "Given the following pull request information, generate a single, clear, and concise one-line changelog entry that summarizes the main change (feature, fix, or bug) introduced by this PR. Use neutral, user-facing language and avoid technical jargon or internal references. Only write the line, with no additional introduction or explanation text." > summary.md
  

• 範例三：摘要並優先處理 Issue
  • 設定定期排程工作流程 (例如每週一早上 9 點)，使用 gh CLI 抓取過去一週新開啟的 Issue，並將其傳遞給 AI 模型進行摘要、歸納主題及優先級排序，最終創建一個新的 Issue 來呈現週報摘要。
  • 此範例使用獨立的 .prompt.yml 提示文件，提供更複雜的提示邏輯。

Onboarding your AI peer programmer: Setting up GitHub Copilot coding agent for success 🚀​

Source: https://github.blog/ai-and-ml/github-copilot/onboarding-your-ai-peer-programmer-setting-up-github-copilot-coding-agent-for-success/

• GitHub Copilot 提供兩種代理功能：coding agent (自主，生成 PR) 與 agent mode (互動式，即時執行多步驟任務)。
• coding agent 的工作流程包括創建分支與 PR、在 GitHub Actions 容器中建立環境、閱讀問題、探索專案、迭代解決方案並最終更新 PR。
• 可透過自訂 GitHub Actions workflow 檔案（例如 .github/workflows/copilot-setup-steps.yml）來配置 Copilot 的執行環境，確保其能存取所需的工具和服務。

  name: "Copilot Setup Steps"
  
  on:
    workflow_dispatch:
    push:
      paths:
        - .github/workflows/copilot-setup-steps.yml
    pull_request:
      paths:
        - .github/workflows/copilot-setup-steps.yml
  
  jobs:
    copilot-setup-steps:
      runs-on: ubuntu-latest
      permissions:
        contents: read
      steps:
        - name: Checkout code
          uses: actions/checkout@v4
  
        - name: Set up Python
          uses: actions/setup-python@v4
          with:
            python-version: "3.13"
            cache: "pip"
  
        - name: Install Python dependencies
          run: pip install -r requirements.txt
  
        - name: Install SQLite
          run: sudo apt update && sudo apt install sqlite3
  

• 撰寫清晰明確的 Issue 與提示對 Copilot 成功生成高品質 PR 至關重要，應包含問題陳述、重現步驟、相關歷史、建議方法等。
• 透過優化專案結構（README、代碼註釋、良好命名）和自訂指令文件（copilot-instructions.md 或 <file-name>.instructions.md）來提供 Copilot 上下文資訊和組織規範。

  # Classic arcade
  
  This project hosts a classic arcade, themed after the 1980s 8-bit games.
  
  ## Standard player flow
  
  1. Player opens app and sees list of games.
  2. Player selects game to play.
  3. Player sees a splash screen with the message "Insert quarter".
  4. Player presses space to start game and plays game
  6. After game ends, the "Game over" message is displayed.
  7. The player score is checked against high scores. If the score is in top 10, user is prompted for their initials (3 initials).
  8. High scores are displayed, and an option to return to the main menu to start over again.
  
  ## Frameworks
  
  - Python `arcade` library is used for the arcade itself
  - SQLite is used to store all scores
  
  ## Coding guidelines
  
  - All games must inherit from `BaseGame`
  - Python code should follow PEP8 practices, including docstrings and type hints
  
  ## Project structure
  
  - `data`: Stores data abstraction layer and SQLite database
  - `games`: Stores collection of games and `BaseGame`
  - `app`: Stores core app components including menuing system
  

• 可利用 Model Context Protocol (MCP) 擴展 Copilot 的上下文和工具，例如透過 Azure MCP server 支持 Bicep 程式碼生成。

  {
    "mcpServers": {
      "AzureBicep": {
        "type": "local",
        "command": "npx",
        "args": [
          "-y",
          "@azure/mcp@latest",
          "server",
          "start",
          "--namespace",
          "bicepschema",
          "--read-only"
        ]
      }
    }
  }
  

• Copilot coding agent 內建防火牆，可限制對核心服務的存取，以管理數據外洩風險；遠端 MCP server 或網路資源存取需更新允許列表。

🌾 GitHub Copilot 助力小農戶擴大影響力​

Source: https://github.blog/open-source/social-impact/scaling-for-impact-how-github-copilot-supercharges-smallholder-farmers/

• 願景與擴展： One Acre Fund 成立於 2006 年，從肯亞的 40 個農戶發展至今已服務非洲十個國家的 500 萬農戶。他們的目標是到 2030 年每年支援 1000 萬農戶，透過開源技術和 AI 創造 10 億美元的新收入。
• 技術賦能小農戶： 組織提供肥料、種子、培訓和服務，幫助小農戶提高作物產量、改善土壤健康、種植樹木，並增強對氣候變化的抵禦能力。農民對技術的態度從最初的猶豫轉變為積極。
• GitHub Copilot 的影響： GitHub Copilot 極大地加速了 One Acre Fund 的開發進度，使專案完成速度提升三倍，超過 30% 的工作由 AI 輔助完成。這使他們能夠設定並達成更多目標。
• 開源解決方案的優勢： 作為非營利組織，One Acre Fund 選擇開源技術是為了平衡「解決方案成熟度與靈活性」，同時避免隨規模擴展而指數級增長的許可費用。他們已將核心營運系統大部分遷移到開源。

這份摘要聚焦於最新的雲端與人工智能技術趨勢，尤其是 Docker 在代理應用、AWS 的結合應用、以及數據分析、安全規範等方面的創新與實務案例。內容涵蓋從代理應用開發生態、雲端事故調查整合、到資料分析在醫療領域的實務挑戰，提供完整的技術洞見與實務流程。

Docker 推動代理應用的未來 🚀​

Source: https://www.docker.com/blog/wearedevelopers-docker-unveils-the-future-of-agentic-apps/

• Docker在WeAreDevelopers會議展示支持代理應用的工具進展，代理應用定義為利用LLMs來構建以目標為導向，具備訪問工具、資料和系統的應用。
• 代理應用的棧中，Docker支持模型下載執行、容器化的工具伺服器，以及用compose.yaml整合模型、工具及自定義代碼。
• 以範例compose文件整合模型、MCP Gateway與應用，支持多框架（如ADK、CrewAI）並支持雲端部署（Google Cloud Run、Azure）。
• Docker推出Compose for agents、支援Google原生Cloud Run部署、Docker Offload（雲端GPU資源調度）來降低模型部署門檻。
• 大型Workshop及Lightning Talks促進社群交流與實務應用，並宣布2026年的WeAreDevelopers北美盛會。

重點： 代理應用將成為AI應用新生態的核心，Docker提供全方位工具支持開發到部署，並強調雲端資源整合。

IntelliJ IDEA 2025.2 Beta 發布與新溝通策略 🚀​

Source: https://blog.jetbrains.com/idea/2025/07/intellij-idea-2025-2-beta/

• IntelliJ IDEA 2025.2 Beta 現已推出，結束早期測試計劃（EAP），並採用新溝通方式，將更新分為「What's New」與「What's Fixed」兩部分。
• 「What's New」專注於最重要的功能更新，例如支援 Java 25、Maven 4、Spring 改進、AI 支援，讓信息更集中。
• 「What's Fixed」則專注於品質提升，包括Spring + Kotlin 改進、遠端開發、性能優化等。
• 會舉辦專屬直播介紹新特徵，並鼓勵用戶試用Beta版本並提供反饋。
• Overall: IntelJ IDEA 2025.2 採用新的發布資訊策略，專注用戶體驗與產品透明化。

GitHub 6月服務中斷回報 🚧​

Source: https://github.blog/news-insights/company-news/github-availability-report-june-2025/

• 6月發生三次服務事件影響GitHub服務，造成性能下降。
• 5日Actions服務超載，延遲啟動且失敗，影響Copilot和Pages部署，問題由內部請求限制配置錯誤造成，已修正。
• 12日Copilot模型服務中斷，部分模型不可用或延遲，源自模型供應商故障，已透過禁用端點來降低影響，改善偵測和解決流程。
• 17日網路路由政策部署導致部分系統連線中斷，部分請求錯誤率高，部署已回滾，將擴展路由變更審查流程。
• 來源頁面會提供最新狀態及事故回顧，並持續提升監控預警能力。

從研發到部署：Compose 成為應用生命周期的中樞核心 🔗​

Source: https://www.docker.com/blog/docker-compose-powering-the-full-app-lifecycle/

內容摘要：
本文強調 Docker Compose 及其擴展工具 Compose Bridge 在整個應用程式生命周期中的關鍵作用，將本地開發、測試、部署到生產的流程串聯起來，成為「脊椎骨」般的支撐架構。透過自動化、標準化和環境隔離，提高效率、安全性和可靠性，降低人為錯誤，並支援多階段、多環境的整合。